Site Meter Configuração da Cadeia de Certificados em Sites Web - Negócio de Risco - Site Home - TechNet Blogs

Negócio de Risco

Blog do Time de Segurança da Microsoft Brasil

Configuração da Cadeia de Certificados em Sites Web

Configuração da Cadeia de Certificados em Sites Web

  • Comments 2
  • Likes

Para exemplificarmos este tema, utilizaremos os certificados da estrutura ICP-Brasil. Tanto a primeira versão do certificado root emitido pela ICP-Brasil "Autoridade Certificadora Raiz Brasileira" (ver imagem abaixo) que já é distribuido pelo Windows (tornando-se automaticamente disponivel para as versões do Internet Explorer ),

quanto o novo certificado raiz da ICP-Brasil (mesmo após o usuário ter efetuado a importação), em algumas situações, podem fazer com que o usuário encontre uma mensagem no Internet Explorer dizendo que o certificado digital do site não é confiável.

Em alguns destes estes casos o problema pode estar no servidor Web, e não no computador do usuário.

Quando um cliente acessa um site Web usando SSL, o servidor Web envia para o navegador o certificado digital do servidor. O navegador então valida o certificado do servidor, em seguida o certificado da autoridade certificadora (AC) que emitiu o certificado do servidor, e em seguida o certificado da AC que emitiu o certificado daquela AC, e assim sucessivamente até encontrar no topo da cadeia de confiança uma autoridade certificadora raiz em que o usuário confia.

Para fazer isso, no entanto, o navegador precisa ter os certificados de todas estas autoridades certificadoras intermediárias, isto é, aquelas autoridades certificadoras que estão entre a AC raiz e o certificado do servidor. Como geralmente as distribuições automaticas de certificados digitais contemplam somente a AC raiz (Isto também é verdade no caso do Windows), é necessário que de alguma forma o cliente obtenha também os certificados das autoridades certificadoras intermediárias para fazer a validação.

A maioria dos sites web "dá uma ajuda" ao navegador enviando já todos os certificados da cadeia de confiança, não só o certificado do site. Com isso o cliente monta toda a cadeia e valida o certificado sem que precise previamente ter o certificado de todas as autoridades intermediárias.

Alguns sites no entanto não seguem este comportamente, e enviam somente o certificado do site. O navegador precisa então ter previamente configurados os certificados intermediários, ou usar uma forma para localizá-los automaticamente utilizando uma extensão dos certificados chamada Authority Information Access (AIA), que ainda não está implementada amplamente na ICP-Brasil.

A melhor forma para resolver este problema seria configurar o servidor Web para enviar toda a cadeia de certificação. A forma como isto é feita depende do servidor Web utilizado:

Microsoft IIS - Verifique se toda a cadeia foi importada no seu servidor Windows, incluindo os certificados das ACs intermediárias. O IIS já manda por default toda a cadeia para o cliente, mas a partir do IIS 6 precisa ter instalado localmente todos certificados intermediários para fazer isso.

Apache - Verifique se o parâmetro SSLCertificateChainFile do arquivo de configuração do Apache está apontando para um arquivo que contenha todos os certificados da cadeia de certificação, concatenados em formato PEM (o chamado arquivo "PKCS#7 Bundle" ou .p7b). Este arquivo é em geral fornecido pela autoridade certificadora que emitiu o seu certificado.

Comments
  • O IIS, além de enviar o certificado do servidor e os das AC Intermidiárias, não deveria enviar o certificado da AC-RAIZ ? Ou este tem que estar na estação do cliente ?

    ------

    Resposta (Fernando Cima): Glaucius, o certificado raiz tem que estar já configurado no cliente. O servidor Web normalmente não o envia.

  • O IIS está mandando para o clienet o certificado e as AC´s intermediárias e não está enviando a AC Raiz. Este comportamento está correto ?

Your comment has been posted.   Close
Thank you, your comment requires moderation so it may take a while to appear.   Close
Leave a Comment