Re: [ml] Apache e autenticazione con smartcard

On mer, 2006-10-18 at 10:55 +0200, Marco Bertorello wrote:
> mi viene richiesto che l'autenticazione ad un sito avvenga tramite
> smartcard. 

Ciao,
un po' di tempo fa ho fatto qualche test sull'argomento.

La buona notizia à che lato server non bisogna fare niente di
speciale... se non abilitare ssl, fornire apache di un bel
certificato/chiave privata per la *sua* autenticazione, e richiedere che
l'autenticazione client avvenga obbligatoriamente.
Apache, inoltre, deve avere la possibilità di verificare la validità dei
certificati dei client e per fare questo deve avere la chiave pubblica
delle CA utilizzate (i.e.: di una CA nel percorso di certificazione dei
certificati client). 
In merito trovi un mucchio di documentazione... ti consiglio comunque di
approfondire le questioni legate alla verifica dello stato dei
certificati (i.e.: CRL e OCSP).

Lato client à necessario che sia installato il driver del lettore
smartcard e che il certificato contenuto nella S/C da utilizzare sia
correttamente installato nel repository dei certificati
d'autenticazione.. questo perà dipende dallo specifico browser/s.o.
(e.g.: in firefox "certificati personali").

Al momento della connessione al web server, il browser richiede la
scelta di un certificato d'autenticazione. Nel caso l'utente scelga
quello contenuto nella S/C, gli verrà richiesto l'inserimento del pin
per "sbloccare" la chiave privata ad esso associata.

La cattiva notizia à che in questo modo il server non "obbliga" l'utente
ad autenticarsi con la S/C ma semplicemente ad autenticarsi. Il fatto
che la verifica dell'identità avvenga per mezzo di un dispositivo
crittografico o meno à del tutto indifferente: quello che conta à che il
certificato presentato dal client al server sia valido e non scaduto.

Non metto in dubbio che possano esistere metodi che garantiscano che
l'autenticazione avvenga precisamente per mezzo di un S/C... ma suppongo
che essi facciano uso di ActiveX o roba simile... e qua alzo le mani. :)


Sciuaz,
   Can't dig that daddy.