Nastavenie zabezpečenej komunikácie (SSL/TLS)

Systém D2000 je možné nakonfigurovať tak, aby komunikácia medzi serverom a klientami prebiehala zabezpečeným šifrovaným komunikačným kanálom. Zabezpečenie je implementované protokolom Transport Layer Security (TLS v1.2).

Pre aktiváciu zabezpečenej komunikácie je potrebné vykonať nasledujúce kroky:

1. Pre server je nutné získať/vygenerovať šifrovací kľúč a certifikát. Certifikát je potrebné distribuovať klientským procesom.
2. Kľúč a certifikát je možné vygenerovať napr. pomocou utility openssl (https://slproweb.com/products/Win32OpenSSL.html).

Generovanie šifrovacieho kľúča

 openssl genrsa -out server.key 4096 

Generovanie certificate signing request

 openssl req -new -key server.key -out server.csr 

Generovanie self-signed certifikátu

 openssl x509 -req -days 730 -in server.csr -signkey server.key -out server.crt 

Nastavenia TLS podpory registrov pre kernel

 HKEY_LOCAL_MACHINE\SOFTWARE\Ipesoft\<instalacia>\cfg_<aplikacia>\TLS_Server\TLS_CertFile = c:\<cesta>\server.crt
 HKEY_LOCAL_MACHINE\SOFTWARE\Ipesoft\<instalacia>\cfg_<aplikacia>\TLS_Server\TLS_KeyFile = c:\<cesta>\server.key
 HKEY_LOCAL_MACHINE\SOFTWARE\Ipesoft\<instalacia>\cfg_<aplikacia>\TLS_Server\TLS_RequiredLevel = None 

alebo

 HKEY_LOCAL_MACHINE\SOFTWARE\Ipesoft\<instalacia>\cfg_<aplikacia>\TLS_Server\TLS_RequiredLevel = TLSNoPeerAuth 

Nastavenie vyžadovanej úrovne zabezpečenia pripájajúceho sa klienta:

• None - kernel dovolí pripojiť sa klientovi aj bez zabezpečenia aj so zabezpečením
• TLSNoPeerAuth - kernel dovolí pripojenie len od klienta, ktorý komunikuje zabezpečene

Nastavenia TLS podpory registrov pre klientov

 HKEY_LOCAL_MACHINE\SOFTWARE\Ipesoft\<instalacia>\cfg_<aplikacia>\TLS_Client\TLS_TrustedCerts = c:\\server.crt
 HKEY_LOCAL_MACHINE\SOFTWARE\Ipesoft\<instalacia>\cfg_<aplikacia>\TLS_Client\TLS_RequiredLevel = None 

alebo

 HKEY_LOCAL_MACHINE\SOFTWARE\Ipesoft\<instalacia>\cfg_<aplikacia>\TLS_Client\TLS_RequiredLevel = TLSPeerAuth 

Nastavenie vyžadovanej úrovne zabezpečenia pripájajúceho sa klienta:

• None - klient sa pripojí na kernel aj v prípade, že kernel podporuje zabezpečenú komunikáciu, aj v prípade, že nepodporuje
• TLSNoPeerAuth - klient sa pripojí len na kernel podporujúci zabezpečenú komunikáciu a je overiteľný certifikátom

Pre použitie TLS musí byť klient štartovaný s parametrom /C<nazov_aplikacie>