16.1 Activation de SuiteB dans une nouvelle installation

La Figure 16-1 montre la série d'opérations à effectuer pour activer SuiteB sur les composants OpenText eDirectory dans le cadre d'une nouvelle installation.

Figure 16-1 Activation de SuiteB dans une nouvelle installation

16.1.1 Activation de SuiteB dans Certificate Server

Lorsque vous configurez une nouvelle arborescence, Certificate Server crée, en plus des certificats RSA traditionnels, un certificat ECDSA sur la courbe P-384 pour l'autorité de certification (CA) de l'arborescence. Si vous ajoutez de nouveaux serveurs à l'arborescence ou mettez à niveau d'anciens serveurs vers OpenText eDirectory 9.2, Certificate Server émet les certificats ECDSA pour ces serveurs.

REMARQUE :par défaut, OpenText Certificate Server crée les certificats ECDSA sur la courbe P-384. Toutefois, vous pouvez également créer des certificats de serveur sur la courbe P-256.

Il est possible d'utiliser uniquement les certificats ECDSA sans activer SuiteB. L'activation de SuiteB est une étape supplémentaire pour respecter la convention RFC 5759.

Pour configurer le serveur de certificats de l'autorité de certification de manière à ce qu'il fonctionne en mode SuiteB, procédez comme suit :

  1. Configurez l'authentification EBA (Enhanced Background Authentication) pour le serveur de certificats de l'autorité de certification.

    Pour plus d'informations, reportez-vous à la section Activation de l'authentification en arrière-plan.

  2. Lancez OpenText Identity Console, cliquez sur la vignette Gestion des certificats > Gestion de l'autorité de certification.

  3. Cliquez sur Configuration de l'autorité de certification .

  4. Sur la page AUTO-PROVISIONING DU CERTIFICAT, cochez la case Activer le mode SuiteB.

  5. Cliquez sur Appliquer > OK.

Lorsque le serveur de certificats de l'autorité de certification est en mode SuiteB, l'autorité de certification ne vous autorise pas à créer des certificats RSA. En outre, la fonction d'auto-provisioning de serveur ne génère plus de certificats RSA. Si vous envisagez d'ajouter de nouveaux serveurs, assurez-vous qu'ils sont configurés pour exécuter l'authentification EBA.

Lorsque tous les serveurs de l'arborescence ou des services externes se connectant à l'arborescence commencent à utiliser les certificats de serveur ECDSA, vous pouvez révoquer et supprimer les certificats RSA, car ils ne sont plus nécessaires.

REMARQUE :la fonction d'algorithme de suivi de l'autorité de certification introduite dans OpenText eDirectory 8.8.8 Patch 6 n'est plus disponible à partir de la version 9.0 d'OpenText eDirectory. Au lieu de cette fonction, les serveurs OpenText eDirectory 9.2 utilisent par défaut l'algorithme SHA-256 pour les certificats RSA et SHA-384 pour les certificats ECDSA.

16.1.2 Configuration des services LDAP et HTTP pour qu'ils utilisent les certificats ECDSA et les Ciphers SuiteB

OpenText Transport Layer Security (NTLS) prend en charge les algorithmes de chiffrement TLS 1.2 et SuiteB via le module OpenSSL compatible FIPS. Ce module est utilisé par certains composants d'OpenText eDirectory, tels que le service LDAP, httpstk (iMonitor) et le moteur NCP. Pour plus d'informations, reportez-vous à la section Fonctionnement d'OpenText eDirectory en mode FIPS du Guide d'installation d'OpenText™ eDirectory CE 24.4 (v9.3).

Avant d'activer un mode SuiteB sur un serveur, assurez-vous que ce dernier de certificats ECDSA et de clients LDAP, et que les navigateurs LDAP et Web présents dans l'environnement OpenText eDirectory prennent en charge TLS 1.2, les certificats ECDSA et les Ciphers SuiteB. Pour configurer les interfaces LDAP et HTTPS en mode SuiteB, activez-les avec le mode SuiteB souhaité et associez-les à un certificat de serveur ECDSA approprié. Répétez cette procédure pour chaque serveur eDirectory de l'arborescence. Pour afficher le niveau de chiffrement et le certificat de serveur ECDSA d'un serveur, utilisez ses objets de configuration LDAP et httpstk, à savoir ldapServer et httpServer.

Pour configurer le serveur LDAP en mode SuiteB :

  1. Lancez OpenText Identity Console.

  2. Connectez-vous à OpenText eDirectory en tant qu'administrateur disposant des droits appropriés.

  3. Cliquez sur l'objet Serveurs LDAP que vous souhaitez configurer en mode SuiteB.

  4. Cliquez sur Informations.

  5. Dans la liste déroulante Certificat de serveur, sélectionnez le SSL Elliptic Curve CertificateDNS que vous souhaitez utiliser avec l'objet Serveur LDAP.

  6. Cliquez sur la vignette Configuration.

  7. Selon le mode SuiteB que vous voulez activer pour l'objet Serveur LDAP, sélectionnez une valeur dans la liste déroulante Restrictions de liaison pour Cipher.

    Restrictions de liaison pour Cipher

    Suite de chiffrement

    Description

    Utilisez un Cipher SuiteB (128 bits)

    • TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256

    • TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384

    Active un fonctionnement en mode SuiteB en utilisant un niveau de sécurité de 128 bits. Lorsque vous sélectionnez cette option, OpenText eDirectory autorise l'utilisation d'un niveau de sécurité de 128 bits et 192 bits par des homologues (tout client LDAP). Cette option permet d'utiliser des certificats ECDSA 256 ou ECDSA 384.

    Utilisez un Cipher SuiteB (128 bits uniquement)

    TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256

    Active un fonctionnement en mode SuiteB en utilisant un niveau de sécurité de 128 bits. Lorsque vous sélectionnez cette option, OpenText eDirectory n'autorise pas l'utilisation du niveau de sécurité de 192 bits par des homologues (tout client LDAP).

    Tous les certificats d'une chaîne de certificats doivent utiliser des clés ECDSA sur la courbe P-256. Ceci est obligatoire pour les serveurs et applicable aux clients si la validation des certificats clients est activée.

    Utilisez un Cipher SuiteB (192 bits)

    TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384

    Active un fonctionnement en mode SuiteB en utilisant un niveau de sécurité de 192 bits. Lorsque vous sélectionnez cette option, OpenText eDirectory autorise uniquement l'utilisation du niveau de sécurité de 192 bits par des homologues (tout client LDAP).

    Tous les certificats d'une chaîne de certificats doivent utiliser des clés ECDSA sur la courbe P-384. Ceci est obligatoire pour les serveurs et applicable aux clients si la validation des certificats clients est activée.

    OpenText eDirectory vous permet d'utiliser une combinaison de valeurs ldapbindrestrictions et de niveaux de chiffrement. Pour plus d'informations, reportez-vous à la section Tableau 14-1.

  8. Cliquez sur Enregistrer, puis sur OK.

  9. Pour que les modifications soient appliquées, effectuez l'une des opérations suivantes :

    • Redémarrez OpenText eDirectory.

    • Déchargez et chargez le serveur LDAP.

Pour configurer l'interface HTTPS en mode SuiteB :

  1. Dans Identity Console, connectez-vous à l'arborescence OpenText OpenText eDirectory en tant qu'administrateur disposant des droits appropriés.

  2. Accédez à Gestion des objets.

  3. Dans la liste déroulante Type, sélectionnez l'objet httpServer à modifier, puis cliquez sur Rechercher.

  4. Cliquez sur Http Server, puis sélectionnez httpBindRestrictions dans la liste Attributs avec valeur.

  5. Selon le mode SuiteB que vous voulez activer pour l'objet httpserver, remplacez la valeur par 4, 5 ou 6 dans la boîte de dialogue qui s'affiche.

    Restrictions de liaison pour Cipher

    Suite de chiffrement

    Description

    4 - Utilisez un Cipher SuiteB (128 bits)

    • TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256

    • TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384

    Active un fonctionnement en mode SuiteB en utilisant un niveau de sécurité de 128 bits (Cipher SuiteB 128 bits). Lorsque vous sélectionnez cette option, OpenText eDirectory autorise l'utilisation d'un niveau de sécurité de 128 ou 192 bits par les clients (navigateurs Web). Cette option permet d'utiliser des certificats ECDSA 256 ou ECDSA 384.

    5 - Utilisez un Cipher SuiteB (128 bits uniquement)

    TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256

    Active un fonctionnement en mode SuiteB en utilisant un niveau de sécurité de 128 bits (Cipher SuiteB 128 bits uniquement). Lorsque vous sélectionnez cette option, OpenText eDirectory n'autorise pas l'utilisation du niveau de sécurité de 192 bits par les clients (navigateurs Web).

    Tous les certificats d'une chaîne de certificats doivent utiliser des clés ECDSA sur la courbe P-256. Ceci est obligatoire pour les serveurs et applicable aux clients si la validation des certificats clients est activée.

    6 - Utilisez un Cipher SuiteB (192 bits)

    TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384

    Active un fonctionnement en mode SuiteB en utilisant un niveau de sécurité de 192 bits (Cipher SuiteB 192 bits). Lorsque vous sélectionnez cette option, OpenText eDirectory autorise uniquement l'utilisation d'un niveau de sécurité de 192 bits par les clients (navigateurs Web).

    Tous les certificats d'une chaîne de certificats doivent utiliser des clés ECDSA sur la courbe P-384. Ceci est obligatoire pour les serveurs et applicable aux clients si la validation des certificats clients est activée.

  6. Sélectionnez httpKeyMaterialObject dans la liste Attributs avec valeur, puis cliquez sur Éditer.

  7. Recherchez et sélectionnez le certificat à courbe elliptique que vous souhaitez utiliser avec l'interface HTTPS, puis cliquez sur OK.

  8. Cliquez sur Enregistrer.

  9. Cliquez sur OK.

  10. Redémarrez eDirectory pour que les modifications soient appliquées.

16.1.3 Création d'une clé SDI AES 256 bits

Par défaut, la clé SDI NICI est une clé 3DES. Cependant, pour que les modes SuiteB soient pris en charge, vous devez créer manuellement la clé SDI NICI AES 256 bits. Ne créez cette clé que si tous les serveurs de l'arborescence exécutent OpenText eDirectory 9.0 ou une version ultérieure.

Lorsqu'un serveur contenant la réplique accessible en écriture du conteneur KAP.Security est mis à niveau vers OpenText eDirectory 9.2, la fonctionnalité de vérification de l'état de santé de la PKI crée un objet W1 dans ce conteneur. Lorsque tous les serveurs de l'arborescence sont mis à niveau vers eDirectory 9.2, l'administrateur de l'arborescence peut créer la clé SDI NICI AES 256 bits.

Pour créer la clé SDI NICI AES 256 bits, suivez les instructions de la section Creating an AES 256-Bit Tree Key (Création d'une clé d'arborescence AES 256 bits) du NICI Administration Guide (Guide d'administration de NICI).

Rechiffrement de données avec la clé SDI NICI AES 256 bits

NMAS utilise la clé SDI NICI pour stocker en toute sécurité les mots de passe et la configuration des questions/réponses de stimulations. NMAS dispose également d'un SecretStore pour la configuration spécifique de l'utilisateur et de la méthode qui utilise la clé SDI NICI. Pour rechiffrer les mots de passe de plusieurs utilisateurs dans le cadre de déploiements à grande échelle, utilisez l'utilitaire diagpwd. Pour plus d'informations, reportez-vous à la section Utilitaire de diagnostic de mot de passe universel.

IMPORTANT :si votre environnement OpenText OpenText eDirectory intègre des serveurs utilisant des versions antérieures à OpenText eDirectory 9.0, ces serveurs ne peuvent pas déchiffrer les mots de passe ou les données secrètes chiffrés avec la clé d'arborescence AES 256 bits, ce qui entraîne l'échec de la connexion ces serveurs.

16.1.4 Activation de l'authentification en arrière-plan

OpenText eDirectory inclut un mécanisme d'authentification renforcée qui vérifie l'identité des utilisateurs qui tentent d'y accéder. Pour plus d'informations sur l'authentification EBA, reportez-vous au Section 17.0, Activation de l'authentification EBA (Enhanced Background Authentication).