Perché servono i certificati per i propri server

1. Autenticazione:
• I certificati verificano l'identità di un server. Quando un client (ad esempio un browser web) si connette a un server, il server presenta il proprio certificato.
• Il client verifica se il certificato è attendibile (emesso da un'autorità di certificazione riconosciuta) e se corrisponde al dominio del server.
• Questo processo garantisce che i client si connettano al server corretto, prevenendo gli attacchi man-in-the-middle.
2. Cifratura:
• I certificati abilitano una comunicazione sicura rendendo possibile la cifratura.
• Il certificato del server contiene la propria chiave pubblica. I client usano questa chiave per cifrare i dati prima di inviarli al server.
• Solo la chiave privata del server può decifrare i dati, garantendo la riservatezza.

Come vengono utilizzati i certificati nei server web?

• Quando si visita un sito web, un processo invisibile chiamato handshake TLS/SSL avviene quasi istantaneamente.
• Il server web e il browser comunicano per stabilire una connessione sicura.
• I siti web protetti da un certificato TLS/SSL mostrano HTTPS e una piccola icona a forma di lucchetto nella barra degli indirizzi del browser.

• Ogni certificato TLS è composto da una coppia di chiavi: una chiave pubblica e una chiave privata.
• Queste chiavi interagiscono dietro le quinte durante le transazioni sui siti web.

• Quando si apre nel browser un sito web protetto:
• Il server del sito web condivide il proprio certificato TLS/SSL e la chiave pubblica con il browser.
• Il browser verifica quanto segue:
• Riconosce e considera attendibile la Certificate Authority (CA) che ha emesso il certificato SSL (ad esempio SCEPman).
• Verifica che il certificato non sia scaduto né revocato.
• Il browser rimanda indietro una chiave di sessione simmetrica al server.
• Queste chiavi interagiscono dietro le quinte durante le transazioni sui siti web.
• Il server decifra la chiave di sessione utilizzando la propria chiave privata.
• Inizia una sessione cifrata, che protegge la riservatezza e l'integrità dei messaggi e la sicurezza del server.

Come vengono utilizzati i certificati nei controller VPN?

• I controller VPN utilizzano i certificati per autenticare se stessi e gli altri componenti di rete.
• Quando un client VPN si connette a un server, il server presenta il proprio certificato. Il client verifica questo certificato rispetto alle Certificate Authority (CA) attendibili.
• Grazie ai certificati, i controller VPN stabiliscono un rapporto di fiducia e garantiscono che i client si connettano a server legittimi, prevenendo gli attacchi man-in-the-middle.

• I certificati agevolano la cifratura all'interno dei tunnel VPN.
• Il certificato del server contiene la sua chiave pubblica, che i client utilizzano per cifrare i dati prima di inviarli.
• Solo la chiave privata del server può decifrare i dati, garantendo la riservatezza durante la trasmissione.

• I controller VPN si affidano ai certificati per le comunicazioni IPsec e TLS.
• I certificati consentono comunicazioni sicure tra gateway VPN, domain controller e member server.
• In questo modo i dati scambiati all'interno della VPN restano protetti.

• I certificati riducono la necessità di modifiche frequenti rispetto alle chiavi pre-condivise.
• I controller VPN possono utilizzare lo stesso certificato per più connessioni, semplificando la gestione.

• Le VPN aziendali richiedono spesso i certificati per rispettare le policy di sicurezza.
• I certificati consentono di monitorare e verificare il traffico VPN, garantendo la conformità alle regole aziendali.

• Alcune VPN utilizzano i certificati client per l'autenticazione bidirezionale.
• In questo modo anche i client vengono autenticati prima di accedere a risorse specifiche.

Quali dispositivi utilizzano i certificati per l'autenticazione dei server?

• Server web (ad esempio server AAA/RADIUS)
• Componenti di rete (ad esempio controller VPN)
• Domain controller

Come emettere certificati con SCEPman?

• Tramite la console web: è possibile emettere certificati inviando una Certificate Signing Request (CSR) oppure inserendo i dati manualmente nella console web di SCEPman. Questo approccio offre flessibilità e semplicità d'uso, adattandosi a preferenze e requisiti diversi.
• Tramite API REST: per processi automatizzati o per l'integrazione con altri sistemi, SCEPman supporta anche l'emissione di certificati tramite la sua API REST. Questo metodo consente un'emissione programmabile dei certificati ed è uno strumento potente per snellire il flusso di lavoro di gestione dei certificati.

Come rinnovare i certificati con SCEPman?

• Tramite EST (con mTLS "simplereenroll"): Utilizzare il protocollo EST (Enrollment over Secure Transport), sfruttando la funzione "simplereenroll", che si basa sul TLS reciproco (mTLS) per l'autenticazione. Questo metodo offre un modo sicuro e automatizzato per rinnovare i certificati e semplifica il processo mantenendo elevati standard di sicurezza, poiché non occorre pubblicare segreti condivisi o challenge sui propri server.
• Tramite un client SCEP e un'attività pianificata: Automatizzare il processo di rinnovo utilizzando un client SCEP insieme a un'attività pianificata. Questa configurazione automatizza il rinnovo e garantisce che i certificati vengano rinnovati secondo la pianificazione impostata, senza necessità di intervento manuale.
• Rinnovo manuale: È possibile rinnovare manualmente i certificati tramite SCEPman. Questo metodo consente un controllo diretto sul processo di rinnovo e permette di gestire i certificati in base alle necessità.