SSL : Mettre en place une connexion web sécurisée

Secure Sockets Layer (également nommé Transport Layer Security) est une norme de sécurité de transfert qui fournit le chiffrage des données, l'authentification du serveur et l'intégrité du message.

La mise en place de ce protocole vous permettra de naviguer sur votre site web en mode sécurisé (https).

Pré-requis

Pour mettre en place cette connexion, vous devez disposer :

- de la version 2.0 de Kentika

- d'une infrastructure à clé publique (PKI : Public Key Infrasctructure). C'est elle qui gèrera vos demandes de certification.

Il vous sera indispensable de disposer d'un certificat valide pour utiliser une connexion sécurisée. Un certificat contient :

- le nom de son fournisseur et de son sujet : l'entité certifiée

- une clé publique lié au sujet

- une période de validité

- un numéro de version

- un numéro de série

Générer une demande de certificat

Le certificat et la clé privée doivent être au format PEM. Kentika vous permet de générer une demande de certificat :

Dans les paramètres de connexion, onglet GEIDE - SSO - LDAP, un menu vous permet de générecette demande :

Kentika vous permet de générer la clé publique et la demande de certificat à envoyer à votre autorité de certification.

Les deux fichiers doivent s'intituler "cert.pem" (certificat) et "key.pem" (clé privée), et doivent être placés dans le dossier "Server Database", à côté de l'exécutable Kentika (Server ou Monoposte). La clé doit être fournie au format PKCS#8.

Pour plus d'information, consultez la documentation 4D.

Paramétrage du serveur web

Pour la mise en place de la connexion sécurisée, arrêtez le service et lancez l'application Kentika Server.

Via le menu Edition / Propriétés de la base, accédez au menu "Web".

Cochez la case "Activer SSL".

Le port utilisé par défaut est le 443. Il est possible de le modifier si vous souhaitez utiliser un autre port.

SSL Only

Par défaut, Kentika autorise l'accès sécurisé et non sécurisé. Pour forcer l'utilisation du mode sécurisé (avec une redirection depuis le mode non sécurisé), il faut s'assurer, depuis le poste client, de cocher la case "SSL Only" (voir capture dans la partie "Générer une demande de certificat").

Convertir la clé

Il est possible d'utiliser openssl pour convertir la clé si elle n'est pas fournie au bon format. Le format de la clé peut se déduire de la première ligne du contenu du fichier.

Si c'est "BEGIN PRIVATE KEY", le format est probablement bon.

Si c'est "BEGIN RSA PRIVATE KEY", la clé est au format PKCS#1. Pour la convertir :

openssl pkcs8 -topk8 -inform PEM -outform PEM -nocrypt -in key1.key -out key8.pem