Ami a tanfolyamból kimaradt –
CA kiszolgáló konfigurálása Cisco routeren

Mielőtt részletesen bemutatom a konkrét konfigurációs lépéseket, tekintsük át, hogy miért van szükség CA kiszolgálóra egy vállalati hálózatban. Ha két felhasználó – a nemzetközi példákban általában Bob és Alice – titkosított vagy digitális aláírással ellátott üzeneteket szeretne küldeni egymásnak, akkor mindkettőjüknek szüksége van egy Publikus/Privát kulcspárra. Feltételezük, hogy ismerik egymás Publikus kulcsát, de saját Privát kulcsukat senkinek nem árulják el. Ennek alapján Bob birtokában van Pub(B), Pub(A) és Pri(B), Alice pedig ismeri Pub(A), Pub(B) és Pri(A) kulcsokat. Ha Bob titkosított üzenetet szeretne küldeni Alice részére, akkor a titkosításhoz Pub(A) kulcsot használja, Alice pedig Pri(A) kulccsal tudja ezt dekódolni. Ha Bob digitálisan aláírt üzenetet szeretne küldeni Alice részére akkor az aláírást Pri(B) kulccsal tudja elkészíteni, Alice pedig Pub(B) kulccsal tudja ellenőrizni, hogy tényleg Pri(B) kulcsot használták az aláírás elkészítéséhez.

Ha ez ilyen jól működik – márpedig jól működik, mióta Rivest, Shamir és Adleman kifejlesztették a híres RSA algoritmust –, akkor joggal kérdezhetjük, hogy miért van szükség tanúsítványokra és egy hatóságra, ami kiadja ezeket. A probléma gyökere az a pillanat amikor Alice és Bob kicserélik egymás Publikus kulcsait. Hogyan történik ez a kulcs csere? A 21. században valószínűleg nem személyesen adják át egymásnak, hanem elküldik elektronikus üzenetben. Honnan tudhatja Alice, hogy ezt a mailt tényleg Bob írta, nem valami hacker, aki azt hazudja magáról, hogy ő Bob?

Itt kerül képbe a tanúsítványkiadó hatóság – azaz a CA szerver. Amikor Bob generál magának egy Publikus/Privát kulcspárt, akkor a Publikus kulcsot beteszi egy Tanúsítvány Kérelembe – Certificate Signing Request (CSR). A kérelem a Pub(B) kulcson kívül tartalmazhatja Bob adatait, nevét, születésnapját vagy akár a fényképét is. A CSR-t Bob elküldi a CA kiszolgálónak, ahol ellenőrzik, hogy tényleg Bob küldte, aztán a CA aláírja azt a saját nagyon titkos Privát kulcsával. Így létrejön Bob tanúsítványa, amit a CA hitelesített és visszaküldik Bob részére. Igen ám, de miért bízik jobban Alice a CA által hitelesített tanúsítványban, mint Bob Publikus kulcsában? Azért, mert amikor Alice notebookját telepítette az IT, akkor felvette a CA tanúsítványát a megbízható CA szerverek közé, egy megbízható IT-s kolléga. Nos, igen: a sor végén valakiben mindig meg kell bízni. :)

Hogyan lesz tehát egy Cisco router CA kiszolgáló? A fenti példában szereplő Alice, Bob és CA most három router, akiket egy LAN hálózat kapcsol össze valahogy úgy, ahogy az 1. ábrán látható. A tanúsítványokon időbélyeg van, és nem használhatók, miután lejár az érvényességük, ezért nagyon fontos, hogy minden játékos órája ugyanazt az időt mutassa. Állítsuk be a CA kiszolgálót NTP szervernek, Alice és Bob routereket pedig NTP klienseknek. A CA, Alice és Bob IP címei rendre: 10.0.1.1/24, 10.0.1.2/24 és 10.0.1.3/24.

1. ábra

A CA szerver HTTP protokollt használ a tanúsítványok terjesztésére, ezért kapcsoljuk be ezt a szolgáltatást, majd indítsuk el a CA funkciót: 

A grant auto paranccsal egy kicsit csalunk mert így a CA boldog-boldogtalannak kiadja majd a hitelesített tanúsítványt minden ellenőrzés nélkül, de egy laborkörnyezetben ez talán megengedhető.

Ellenőrizzük, hogy mit csináltunk.

Azaz fut a CA szolgáltatás, és kiadta magának a CA tanúsítványt. Bob és Alice most generáljon magának egy Publikus/Privát kulcspárt az RSA algoritmussal.

Tanúsítványt csak úgy kaphatunk, ha ismerjük a CA kiszolgálót és megadjuk, hogy mi kerüljön a CSR kérelembe.

Töltsük le a CA tanúsítványát, hogy megbízzunk az általa hitelesített tanúsítványokban.

Ellenőrizzük, hogy van konfigurált CA kiszolgáló, és letöltöttük a tanúsítványát.

Végül kérjünk egy tanúsítványt Bob és Alice részére.

A jelszóra csak a tanúsítvány esetleges visszavonása esetén lesz szükség.

Ellenőrizzük, hogy megkaptuk az aláírt tanúsítványt.

És íme, megérkezett a friss, ropogós tanúsítvány. Máris lehet RSA tanúsítványon alapuló hitelesítéssel kialakított IPSec-csatornákat konfigurálni.

Szeretnél többet tudni?

Vedd fel velünk a kapcsolatot az alábbi elérhetőségen:

• Gőgös Barnabás 
  Senior Systems Engineer 
  +36 30 162 0841 
  barnabas.gogos@alef.com