Magasin de certificats d’interception SSL

Un certificat SSL, qui fait partie intégrante de toute transaction SSL, est une forme de données numériques (X509) qui identifie une entreprise (domaine) ou un individu. Un certificat SSL est émis par une autorité de certification (CA). Une CA peut être privée ou publique. Les certificats émis par des CA publiques, telles que Verisign, sont approuvés par les applications qui effectuent des transactions SSL. Ces applications maintiennent une liste des CA auxquelles elles font confiance.

En tant que proxy transparent, une appliance Citrix Secure Web Gateway™ (SWG) effectue le chiffrement et le déchiffrement du trafic entre un client et un serveur. Elle agit comme un serveur pour le client (utilisateur) et comme un client pour le serveur. Avant qu’une appliance ne puisse traiter le trafic HTTPS, elle doit valider l’identité d’un serveur pour éviter toute transaction frauduleuse. Par conséquent, en tant que client du serveur d’origine, l’appliance doit vérifier le certificat du serveur d’origine avant de l’accepter. Pour vérifier le certificat d’un serveur, tous les certificats (par exemple, les certificats racine et intermédiaires) utilisés pour signer et émettre le certificat du serveur doivent être présents sur l’appliance. Un ensemble par défaut de certificats CA est préinstallé sur une appliance. Le Citrix® SWG peut utiliser ces certificats pour vérifier presque tous les certificats de serveur d’origine courants. Cet ensemble par défaut ne peut pas être modifié. Cependant, si votre déploiement nécessite davantage de certificats CA, vous pouvez créer un bundle de ces certificats et l’importer sur l’appliance. Un bundle peut également contenir un seul certificat.

Lorsque vous importez un bundle de certificats sur l’appliance, celle-ci télécharge le bundle depuis l’emplacement distant et, après avoir vérifié qu’il ne contient que des certificats, l’installe sur l’appliance. Vous devez appliquer un bundle de certificats avant de pouvoir l’utiliser pour valider un certificat de serveur. Vous pouvez également exporter un bundle de certificats pour le modifier ou le stocker dans un emplacement hors ligne en tant que sauvegarde.

Importer et appliquer un bundle de certificats CA sur l’appliance à l’aide de l’interface de ligne de commande Citrix SWG

À l’invite de commandes, saisissez :

import ssl certBundle <name> <src>
<!--NeedCopy-->

apply ssl certBundle <name>
<!--NeedCopy-->

show ssl certBundle
<!--NeedCopy-->

ARGUMENTS :

Name :

Nom à attribuer au bundle de certificats importé. Doit commencer par un caractère alphanumérique ASCII ou un trait de soulignement (_) et ne doit contenir que des caractères alphanumériques ASCII, des traits de soulignement, des dièses (#), des points (.), des espaces, des deux-points (:), des arobases (@), des signes égal (=) et des tirets (-). L’exigence suivante s’applique uniquement à l’interface de ligne de commande :

Si le nom inclut un ou plusieurs espaces, mettez le nom entre guillemets doubles ou simples (par exemple, “mon fichier” ou ‘mon fichier’).

Longueur maximale : 31

src :

URL spécifiant le protocole, l’hôte et le chemin, y compris le nom de fichier, du bundle de certificats à importer ou à exporter. Par exemple, http://www.example.com/cert\_bundle\_file.

REMARQUE : L’importation échoue si l’objet à importer se trouve sur un serveur HTTPS qui nécessite une authentification par certificat client pour l’accès.

Longueur maximale : 2047

Exemple :

import ssl certbundle swg-certbundle http://www.example.com/cert_bundle
<!--NeedCopy-->

apply ssl certBundle swg-certbundle
<!--NeedCopy-->

show ssl certbundle

            Name : swg-certbundle(Inuse)

            URL : http://www.example.com/cert_bundle

    Done
<!--NeedCopy-->

Importer et appliquer un bundle de certificats CA sur l’appliance à l’aide de l’interface graphique Citrix SWG

1. Accédez à Secure Web Gateway > Mise en route > Bundles de certificats.
2. Effectuez l’une des opérations suivantes :
   • Sélectionnez un bundle de certificats dans la liste.
   • Pour ajouter un nouveau bundle de certificats, cliquez sur + et spécifiez un nom et une URL source. Cliquez sur OK.
3. Cliquez sur OK.

Supprimer un bundle de certificats CA de l’appliance à l’aide de l’interface de ligne de commande

À l’invite de commandes, saisissez :

remove certBundle <cert bundle name>
<!--NeedCopy-->

Exemple :

remove certBundle mytest-cacert
<!--NeedCopy-->

Exporter un bundle de certificats CA depuis l’appliance à l’aide de l’interface de ligne de commande Citrix SWG

À l’invite de commandes, saisissez :

export certBundle <cert bundle name> <Path to export>
<!--NeedCopy-->

ARGUMENTS :

Name :

Nom à attribuer au bundle de certificats importé. Doit commencer par un caractère alphanumérique ASCII ou un trait de soulignement (_) et ne doit contenir que des caractères alphanumériques ASCII, des traits de soulignement, des dièses (#), des points (.), des espaces, des deux-points (:), des arobases (@), des signes égal (=) et des tirets (-). L’exigence suivante s’applique uniquement à l’interface de ligne de commande :

Si le nom inclut un ou plusieurs espaces, mettez le nom entre guillemets doubles ou simples (par exemple, “mon fichier” ou ‘mon fichier’).

Longueur maximale : 31

src :

URL spécifiant le protocole, l’hôte et le chemin, y compris le nom de fichier, du bundle de certificats à importer ou à exporter. Par exemple, http://www.example.com/cert\_bundle\_file.

REMARQUE : L’importation échoue si l’objet à importer se trouve sur un serveur HTTPS qui nécessite une authentification par certificat client pour l’accès.

Longueur maximale : 2047

Exemple :

export certBundle mytest-cacert http://192.0.2.20/
<!--NeedCopy-->

Importer, appliquer et vérifier un bundle de certificats CA depuis le magasin de certificats CA de Mozilla

À l’invite de commandes, saisissez :

> import certbundle mozilla_public_ca https://curl.haxx.se/ca/cacert.pem
Done
<!--NeedCopy-->

Pour appliquer le bundle, saisissez :

> apply certbundle mozilla_public_ca
Done
<!--NeedCopy-->

Pour vérifier le bundle de certificats utilisé, saisissez :

> sh certbundle | grep mozilla
    Name : mozilla_public_ca (Inuse)
<!--NeedCopy-->

Limitation

Les bundles de certificats ne sont pas pris en charge dans une configuration de cluster ou sur une appliance partitionnée.