MetadataTrust - Laptörténet

Sitya(AT)niif.hu: /* Aláírás ellenőrzése az aláíró kulcs tanúsítványának segítségével */

2011-10-14T10:16:49Z

‎Aláírás ellenőrzése az aláíró kulcs tanúsítványának segítségével

Sitya(AT)niif.hu, 2011. április 5., 12:15-n

2011-04-05T12:15:45Z

Hege(AT)niif.hu: /* Aláírás ellenőrzése */

2010-02-10T15:24:17Z

‎Aláírás ellenőrzése

Hege(AT)niif.hu: /* Aláírás ellenőrzése */

2010-02-10T15:22:22Z

‎Aláírás ellenőrzése

Hege(AT)niif.hu, 2010. február 10., 15:19-n

2010-02-10T15:19:36Z

Hege(AT)niif.hu: Új oldal, tartalma: „Ez a szócikk a Metadata bizalmi kérdéseivel foglalkozik. A föderációk üzemeltetéhez hozzátartozik a föderációs metadata állomány karbantartása is. A fö...”

2010-02-10T11:44:23Z

Új oldal, tartalma: „Ez a szócikk a Metadata bizalmi kérdéseivel foglalkozik. A föderációk üzemeltetéhez hozzátartozik a föderációs metadata állomány karbantartása is. A fö...”

Új lap

Ez a szócikk a [[Metadata]] bizalmi kérdéseivel foglalkozik. A föderációk üzemeltetéhez hozzátartozik a föderációs metadata állomány karbantartása is. A föderációban való bizalom technikai értelemben megegyezik a metadatába vetett bizalommal, így ezen bizalom fenntartása rendkívül fontos.

További információkkal szolgál a [https://spaces.internet2.edu/display/SHIB2/TrustManagement Trust Management oldal] a Shibboleth wikin.

= Központi metadata bizalmi modellek =
Alapvetően kétféle módon lehet biztosítani a metadata hitelességét:
* aláírás + lejárati idő
* hiteles helyről letöltés (SSL/TLS) + gyorstárazási idő

Előbbi módszer esetén a szállítási protokoll biztonsága nem szükséges (tehát a metadata nem hiteles helyről is letölthető - pl. http, email, ...), a digitális aláírás ellenőrzésével a hitelesség megállapítható.

A lejárati idő - [code]validUntil[/code] ebben az esetben kulcsfontosságú, hiszen egy lejárati idő nélküli metadatát nem lehetséges visszavonni (egy rosszindulatú támadó egy régi metadata példányt később bármikor felhasználhat) így az esetleg kompromittált entitások az egész föderáció biztonságát veszélyeztethetik.

Utóbbi módszer használata esetén a föderációs entitások kötelesek a metadatát egy központi helyről, biztonságos csatornán (pl. https megfelelő tanúsítvány-ellenőrzéssel) adott időközönként letölteni. Ezt a frissítési időközt határozza meg a gyorstárazási idő, a [code]cacheDuration[/code]

@@ 18. sor: / 18. sor: @@
 == Aláírás ellenőrzése az aláíró kulcs tanúsítványának segítségével ==
-Az aláírás ellenőrizhető a metadata aláíró kulcs tanúsítványányának segítségével, mely elérhető a https://idp.niif.hu/href_signer.crt címről.
+Az aláírás ellenőrizhető a metadata aláíró kulcs tanúsítványányának segítségével, mely elérhető a https://metadata.eduid.hu/href-metadata-signer-2011.crt címről.
 Shibboleth IdP illetve SP használata esetén a metadata állomány ellenőrzésére az ún. MetadataFilter használatos, mely az aláírást ellenőrzi a tanúsítvány segítségével.
@@ 45. sor: / 45. sor: @@
     xsi:type="security:StaticExplicitKeySignature">
     <security:Credential id="MyFederation1Credentials" xsi:type="security:X509Filesystem">
-      <security:Certificate>/path/to/href_signer.crt</security:Certificate>
+      <security:Certificate>/path/to/href-metadata-signer-2011.crt</security:Certificate>
     </security:Credential>
   </security:TrustEngine>
@@ 53. sor: / 53. sor: @@
 <source lang="xml">
   <MetadataProvider type="XML"
-    url="https://rr.aai.niif.hu/metadata/href-metadata.xml"
+    url="http://metadata.eduid.hu/current/href.xmll"
-    backingFilePath="href-metadata.xml">
+    backingFilePath="href.xml">
    <MetadataFilter type="RequireValidUntil" maxValidityInterval="604800"/>
-   <MetadataFilter type="Signature" certificate="href_signer.pem"/>
+   <MetadataFilter type="Signature" certificate="href-metadata-signer-2011.crt"/>
 </MetadataProvider>
 </source>

@@ 1. sor: / 1. sor: @@
 Ez a szócikk a [[Metadata]] bizalmi kérdéseivel foglalkozik. A föderációk üzemeltetéhez hozzátartozik a föderációs metadata állomány karbantartása is. A föderációban való bizalom technikai értelemben megegyezik a metadatába vetett bizalommal, így ezen bizalom fenntartása rendkívül fontos.
-További információkkal szolgál a [https://spaces.internet2.edu/display/SHIB2/TrustManagement Trust Management oldal] a Shibboleth wikin.
+További információkkal szolgál a [https://wiki.shibboleth.net/confluence/display/SHIB2/TrustManagement Trust Management oldal] a Shibboleth wikin.
 = Központi metadata bizalmi modellek =
@@ 112. sor: / 112. sor: @@
 </source>
-Az újabb Shibboleth SP verziókban lehetőség van a CRL URL-ről történő letöltésére is, ezzel kapcsolatban [https://spaces.internet2.edu/display/SHIB2/NativeSPCredentialResolver további információk].
+Az újabb Shibboleth SP verziókban lehetőség van a CRL URL-ről történő letöltésére is, ezzel kapcsolatban [https://wiki.shibboleth.net/confluence/display/SHIB2/NativeSPCredentialResolver további információk].
 {{ATTENTION|A fenti konfigurációs kódrészlet nem alkalmazható előzetes tesztelés nélkül!}}

@@ 17. sor: / 17. sor: @@
 A HREF Föderációban a metadata biztonságát digitális aláírás és 72 órás lejárati idő együttes alkalmazása biztosítja. A metadata óránként generálódik a [[Resource_Registry]]-ben, és aláírásra kerül a metadata aláíró kulccsal.
-== Aláírás ellenőrzése ==
+== Aláírás ellenőrzése az aláíró kulcs tanúsítványának segítségével ==
 Az aláírás ellenőrizhető a metadata aláíró kulcs tanúsítványányának segítségével, mely elérhető a https://idp.niif.hu/href_signer.crt címről.

@@ 59. sor: / 59. sor: @@
 </MetadataProvider>
 </source>
 === Az aláíró kulcs visszavonása ===

@@ 8. sor: / 8. sor: @@
 * hiteles helyről letöltés (SSL/TLS) + gyorstárazási idő
-Előbbi módszer esetén a szállítási protokoll biztonsága nem szükséges (tehát a metadata nem hiteles helyről is letölthető - pl. http, email, ...), a digitális aláírás ellenőrzésével a hitelesség megállapítható.
+Előbbi módszer esetén a szállítási protokoll biztonsága nem szükséges (tehát a metadata nem hiteles helyről is beszerezhető - pl. http, email, ...), a digitális aláírás ellenőrzésével a hitelesség megállapítható.
-A lejárati idő - [code]validUntil[/code] ebben az esetben kulcsfontosságú, hiszen egy lejárati idő nélküli metadatát nem lehetséges visszavonni (egy rosszindulatú támadó egy régi metadata példányt később bármikor felhasználhat) így az esetleg kompromittált entitások az egész föderáció biztonságát veszélyeztethetik.
+A lejárati idő - <code>validUntil</code> ebben az esetben kulcsfontosságú, hiszen egy lejárati idő nélküli metadatát nem lehetséges visszavonni (egy rosszindulatú támadó egy régi metadata példányt később bármikor felhasználhat), így az esetleg kompromittált entitások az egész föderáció biztonságát veszélyeztethetik.
-Utóbbi módszer használata esetén a föderációs entitások kötelesek a metadatát egy központi helyről, biztonságos csatornán (pl. https megfelelő tanúsítvány-ellenőrzéssel) adott időközönként letölteni. Ezt a frissítési időközt határozza meg a gyorstárazási idő, a [code]cacheDuration[/code]
+Utóbbi módszer használata esetén a föderációs entitások kötelesek a metadatát egy központi helyről, biztonságos csatornán (pl. https megfelelő tanúsítvány-ellenőrzéssel) adott időközönként letölteni. Ezt a frissítési időközt határozza meg a gyorstárazási idő, a <code>cacheDuration</code>.