Activación de la Autenticación mutua SSL

¿Qué es la Autenticación Mutua?

Mucha gente espera una seguridad adicional y la autenticación mutua ya es compatible con TSplus. Suele ser implementada por Bancos u Organismos Gubernamentales.
Para entender lo que es, podemos compararlo con un proceso SSL estándar en el que se añade una comprobación extra para verificar si el navegador web del usuario permite la conexión SSL. Usted sabe cuál es su certificado SSL del lado del servidor. Imagine que el certificado se importa al navegador web para asegurar que este navegador web específico es de confianza para crear una conexión. En el primer paso de la comunicación, el navegador web está actuando como cliente y en el segundo paso, es lo contrario. Al final, ambas partes, el navegador web cliente y el servidor web, han aceptado la autoridad y la conexión puede comenzar.

Una definición más completa: La autenticación mutua SSL o autenticación mutua basada en certificados se refiere a dos partes que se autentican mutuamente mediante la verificación del certificado digital proporcionado, de modo que ambas partes se aseguran de la identidad de la otra. En términos tecnológicos, se refiere a que un cliente (navegador web o aplicación de cliente) se autentifica ante un servidor (sitio web o aplicación de servidor) y ese servidor también se autentifica ante el cliente mediante la verificación del certificado de clave pública/certificado digital emitido por las autoridades de certificación (CA) de confianza. Dado que la autenticación se basa en certificados digitales, las autoridades de certificación como “Verisign” o “Microsoft Certificate Server” son una parte importante del proceso de autenticación mutua.

Activación en TSplus

El servidor web integrado de TSplus permite configurar la autenticación mutua.

Para activar la autenticación mutua siga este proceso:

Tendrá que instalar el último kit de desarrollo de Java (JDK), disponible en http://java.com > Descargas > JDK.

1. Edite con Notepad el siguiente archivo: 
C:Program Files (x86)TSplusClientswebserversettings.bin 

Añada estas 3 líneas:

disable_http_only=true
disable_print_polling=true
force_mutual_auth_on_https=true

2. Elimine cert.jks 

En "C:Program Files (x86)TSplusClientswebserver" encontrará el fichero cert.jks
Cópielo en "C:Program Files (x86)TSplusClients"
Elimine "C:Program Files (x86)TSplusClientswebservercert.jks"

3. Cree el fichero .bat 

En 'C:Program Files (x86)TSplusClients' cree un fichero .bat, por ejemplo "crearcertusuario.bat", con estos ajustes:

@rem uncomment next line, if you want to generate new self signed cert.jks
@rem keytool -genkey -v -alias jwts -keyalg RSA -validity 3650 -keystore cert.jks -storepass secret -keypass secret -dname "CN=localhost, OU=my_ou, O=my_org, L=my_city, ST=my_state, C=MY"
@keytool -genkey -v -alias AliasUser1 -keyalg RSA -storetype PKCS12 -keystore forBrowserUser1.p12 -dname "CN=some_name, OU=some_ou, O=some_org, L=Paris,
ST=FR, C=FR" -storepass mypassword -keypass mypassword
@keytool -export -alias AliasUser1 -keystore forBrowserUser1.p12 -storetype PKCS12 -storepass mypassword -rfc -file forCertUser1.cer
@keytool -alias AliasCertUser2 -import -v -file forCertUser1.cer -keystore cert.jks -storepass secret
@del forCertUser1.cer

Esto importará automáticamente el par de claves del certificado desde el navegador web a "cert.jks" después de crear su par de claves del navegador.
4. Restablecer el nuevo creado el "cert.jks" modificado

Copy "C:Program Files (x86)TSplusClientscert.jks" into 
"C:Program Files (x86)TSplusClientswebserver" and restart the Web Servers.

5. Certificate import and Testing

The provided batch example should have generated a test file "BrowserUser1.p12". 
When you will open the HTTPS address, you will get a security message and you will be unable to access Web Server pages. 
With Chrome or IE, you can click on this 'BrowserUser1.p12' file to import the certificate into Windows default key store.
With FireFox, you have to go to Settings and to import this "BrowserUser1.p12" file under your certificate folder.

As soon as you have properly imported it, you will be able to access the HTTPS address.

The administrator can create a separate key pair file for each user.

For example:

forBrowserUser1.p12
forBrowserUser2.p12
forBrowserUser3.p12

And he can export theses certificates into cert.jks.
If he wants to disable the access to one user he will just have to delete this user from "cert.jks". 
Doing so, the user will lose his authorization and will not be able to access the web server anymore.

This mutual authentication only affects the HTTPS connections and HTTP connection will be prohibited with the command line: 
settings.bin>disable_http_only=true