Protegendo dados com HTTPS

Para proteger seus dados durante a transferência do servidor de inicialização WAN para o cliente, é possível utilizar HTTP com Secure Sockets Layer (HTTPS). Para utilizar a configuração de instalação mais segura que é descrita em Configuração de instalação segura do Inicialização WAN, é necessário ativar seu navegador da web para utilizar HTTPS.

Se não desejar realizar uma inicialização WAN segura, ignore os procedimentos desta seção. Para continuar a preparar sua instalação menos segura, consulte Criando os arquivos de instalação JumpStart.

Para permitir que o software do servidor Web no servidor de inicialização WAN utilize HTTPS, é necessário realizar as tarefas a seguir.

• Ative o suporte a SSL (Secure Sockets Layer) no software do servidor Web.

  Os processos para ativar o suporte a SSL e autenticação de clientes variam de acordo com o servidor Web. Este documento não descreve como ativar esses recursos de segurança em seu servidor Web. Para obter informações sobre esse recursos, consulte a documentação do servidor Web. Para obter informações sobre como ativar o SSL no servidor Web Apache, consulte o Apache Documentation Project em http://httpd.apache.org/docs-project/.

• Instale certificados digitais no servidor de inicialização WAN.

  Para obter informações sobre o uso de certificados digitais com a inicialização WAN, consulte Como usar certificados digitais para autenticação de servidor e de cliente.

• Forneça um certificado confiável ao cliente.

  Para obter instruções sobre como criar um certificado confiável, consulte Como usar certificados digitais para autenticação de servidor e de cliente.

• Crie uma chave de hash e uma chave de criptografia.

  Para obter instruções sobre como criar chaves, consulte Como criar uma chave de hash e uma chave de criptografia.

• (Opcional) Configure o software do servidor Web para suportar autenticação de cliente.

  Para obter informações sobre como configurar seu servidor Web para suportar autenticação de cliente, consulte a documentação do servidor Web.

Esta seção descreve como utilizar certificados digitais e chaves na instalação de inicialização WAN.

Como usar certificados digitais para autenticação de servidor e de cliente

O método de instalação de inicialização WAN pode utilizar arquivos PKCS#12 para realizar uma instalação via HTTPS com autenticação de servidor ou de cliente e servidor. Para ver os requisitos e orientações sobre o uso de arquivos PKCS#12, consulte Requisitos de certificados digitais.

Caso não queira executar uma inicialização WAN segura, pule para Criando os arquivos de instalação JumpStart.

Antes de começar

Antes de dividir um arquivo PKCS#12, crie os subdiretórios apropriados da hierarquia /etc/netboot no servidor de inicialização WAN.

• Para informações de visão geral que descreva a hierarquia /etc/netboot , consulte Armazenando informações de configuração e segurança na hierarquia /etc/netboot.

• Para obter instruções sobre como criar a hierarquia /etc/netboot , consulte Criando a hierarquia /etc/netboot no servidor de inicialização WAN.

1. Assuma a mesma função de usuário que o usuário do servidor Web no servidor de inicialização WAN.
2. Extraia o certificado confiável do arquivo PKCS#12 inserindo o certificado no arquivo truststore do cliente na hierarquia /etc/netboot.

   # wanbootutil p12split -i p12cert \
   -t /etc/netboot/net-IP/client-ID/truststore

   p12split

   Divide um arquivo PKCS#12 em arquivos separados de chave privada e de certificado.

   -i p12cert

   Especifica o nome do arquivo PKCS#12 a dividir.

   -t /etc/netboot/net-IP /client-ID/truststore

   Insere o certificado no arquivo truststore do cliente. net-IP é o endereço IP da sub-rede do cliente. client-ID pode ser um ID definido pelo usuário ou um ID do cliente DHCP.

3. (Opcional) Caso queira solicitar autenticação do cliente:

   • Insira o certificado de cliente no arquivo certstore do cliente.

     # wanbootutil p12split -i p12cert -c \
     /etc/netboot/net-IP/client-ID/certstore -k keyfile

     -i p12cert

     Especifica o nome do arquivo PKCS#12 a dividir.

     -c /etc/netboot/net-IP/ client-ID/certstore

     Insira o certificado de cliente no arquivo certstore do cliente. net-IP é o endereço IP da sub-rede do cliente. client-ID pode ser um ID definido pelo usuário ou o ID do cliente DHCP.

     -k keyfile

     Especifica o nome do arquivo da chave privada SSL do cliente a criar a partir do arquivo dividido PKCS#12.

   • Insira a chave privada no keystore do cliente.

     # wanbootutil keymgmt -i -k keyfile \
     -s /etc/netboot/net-IP/client-ID/keystore -o type=rsa

     keymgmt -i

     Insere uma chave SSL privada no keystore. do cliente

     -k keyfile

     Especifica o nome do arquivo da chave privada do cliente que foi criado na etapa anterior

     -s /etc/netboot/net-IP/ client-ID/keystore.

     Especifica o caminho para o keystore do cliente

     -o type=rsa

     Especifica o tipo de chave como RSA

Exemplo 12-4 Criando um certificado confiável para autenticação do servidor

No exemplo a seguir, você usa um arquivo PKCS#12 para instalar o cliente 010003BA152A42 na sub-rede 192.168.198.0. Esse exemplo de comando extrai um certificado de um arquivo PKCS#12 denominado client.p12. O comando coloca o conteúdo do certificado confiável no arquivo truststore do cliente.

Antes de executar esses comandos, é necessário primeiro assumir a mesma função de usuário que o usuário do servidor Web. Neste exemplo, a função do usuário do servidor Web é nobody.

server# su nobody
Password:
nobody# wanbootutil p12split -i client.p12 \
-t /etc/netboot/192.168.198.0/010003BA152A42/truststore
nobody# chmod 600 /etc/netboot/192.168.198.0/010003BA152A42/truststore

Próximas etapas

Depois de criar um certificado digital, crie uma chave de hash e uma chave de criptografia. Para obter instruções, consulte Como criar uma chave de hash e uma chave de criptografia.

Consulte também

Para obter mais informações sobre como criar certificados confiáveis, consulte a página man wanbootutil(1M).

Como criar uma chave de hash e uma chave de criptografia

Se quiser utilizar HTTPS para transmitir seus dados, é necessário criar uma chave de hash HMAC SHA1 e uma chave de criptografia. Se você planeja instalar através de uma rede semiprivada, talvez não queira criptografar os dados de instalação. É possível utilizar uma chave de hash HMAC SHA1 para verificar a integridade do programa wanboot.

Caso não queira executar uma inicialização WAN segura, pule para Criando os arquivos de instalação JumpStart.

1. Assuma a mesma função de usuário que o usuário do servidor Web no servidor de inicialização WAN.
2. Crie uma chave mestre HMAC SHA1.

   # wanbootutil keygen -m

3. Crie a chave de hash HMAC SHA1 para o cliente a partir da chave mestre.

   # wanbootutil keygen -c -o [net=net-IP,{cid=client-ID,}]type=sha1

   -c

   Cria a chave de hash do cliente a partir da chave mestre.

   -o

   Indica que opções adicionais estão incluídas para o comando wanbootutil keygen.

   (Opcional) net=net-IP

   Especifica o endereço IP da sub-rede do cliente. Se você não utilizar a opção net, a chave será armazenada no arquivo /etc/netboot/keystore e poderá ser usada por todos os clientes de inicialização WAN.

   (Opcional) cid=client-ID

   Especifica o ID do cliente. O ID do cliente pode ser definido pelo usuário ou pode ser o ID do cliente DHCP. A opção cid deverá ser precedida por um valor net= válido. Se você não especificar a opção cid com a opção net, a chave será armazenada no arquivo /etc/netboot/ net-IP/keystore. Essa chave pode ser usada por todos os clientes de inicialização WAN na sub-rede net-IP.

   type=sha1

   Instrui o utilitário wanbootutil keygen a criar uma chave de hash HMAC SHA1 para o cliente.

4. Se você estiver executando uma instalação WAN mais segura via HTTPS com autenticação de servidor, crie uma chave de criptografia para o cliente.

   Você precisará criar uma chave de criptografia para realizar uma instalação de inicialização WAN via HTTPS. Antes do cliente estabelecer uma conexão HTTPS com o servidor de inicialização WAN, o servidor de inicialização WAN transmite os dados criptografados e as informações para o cliente. A chave de criptografia permite que o cliente descriptografe estas informações e utilize-as durante a instalação.

   Se só desejar verificar a integridade do programa wanboot, não é necessário criar uma chave de criptografia. ConsulteInstalando chaves no cliente.

   # wanbootutil keygen -c -o [net=net-IP,{cid=client-ID,}]type=key-type

   -c

   Crie a chave de criptografia do cliente.

   -o

   Indica que opções adicionais estão incluídas para o comando wanbootutil keygen.

   (Opcional) net=net-IP

   Especifica o endereço IP de rede do cliente. Se não utilizar a opção net, a chave será armazenada no arquivo /etc/netboot/keystore e poderá ser usada por todos os clientes de inicialização WAN.

   (Opcional) cid=client-ID

   Especifica o ID do cliente. O ID do cliente pode ser um valor definido pelo usuário ou o ID de cliente DHCP. A opção cid deverá ser precedida por um valor net= válido. Se você não especificar a opção cid com a opção net, a chave será armazenada no arquivo /etc/netboot/ net-ip/keystore. Esta chave pode ser usada por todos os clientes com inicialização WAN na sub-rede net-ip.

   type=key-type

   Instrui o utilitário wanbootutil keygen a criar uma chave de criptografia para o cliente. key-type pode ter um valor de 3des ou aes.

Exemplo 12-5 Criando as chaves necessárias para a instalação de inicialização WAN via HTTPS

O exemplo a seguir cria uma chave mestre HMAC SHA1 para o servidor de inicialização WAN. Este exemplo também cria uma chave de hash HMAC SHA1 e uma chave de criptografia 3DES para o cliente 010003BA152A42 na sub-rede 192.168.198.0.

Antes de executar esses comandos, é necessário primeiro assumir a mesma função de usuário que o usuário do servidor Web. Neste exemplo, a função do usuário do servidor Web é nobody.

server# su nobody
Password:
nobody# wanbootutil keygen -m
nobody# wanbootutil keygen -c -o net=192.168.198.0,cid=010003BA152A42,type=sha1
nobody# wanbootutil keygen -c -o net=192.168.198.0,cid=010003BA152A42,type=3des

Próximas etapas

Depois de criar um hashing e uma chave de criptografia, será preciso criar os arquivos de instalação. Para obter instruções, consulte Criando os arquivos de instalação JumpStart

Para obter instruções sobre como instalar chaves no cliente, consulte Instalando chaves no cliente.

Consulte também

Para obter informações gerais sobre chaves de hash e chaves de criptografia, consulte Protegendo dados durante a Instalação Inicialização WAN.

Para obter mais informações sobre como criar chaves de hashing e chaves de criptografia, consulte a página man wanbootutil(1M).