Authentifizierungsanforderungen für Clientgerätezertifikate <meta name="id" content="client-cert">

Mit der Authentifizierungsfunktion für Clientgerätezertifikate können Sie die Zertifikatauthentifizierung für Clientsysteme für Omnissa Horizon Client für Linux einrichten. Omnissa Unified Access Gateway authentifiziert die Clientsysteme. Die SoftHSM2-Bibliothek verwaltet die Verteilung und Bereitstellung von Zertifikaten auf den Clientsystemen. Nach erfolgreicher Geräteauthentifizierung muss der Benutzer noch eine Benutzerauthentifizierung durchführen.

Voraussetzungen

Für diese Funktion gelten die folgenden Anforderungen.

• Unified Access Gateway 2.6 oder höher
• Das Clientsystem ist mit einem Stammzertifikat der Zertifizierungsstelle (Certification Authority, CA) ausgestattet, das Unified Access Gateway akzeptiert

Weitere Informationen zum Konfigurieren von Unified Access Gateway finden Sie in der Dokumentation zu Unified Access Gateway.

Einrichten des Linux-Clientsystems für die Gerätezertifikatauthentifizierung

Um die Authentifizierung von Gerätezertifikaten einzurichten, müssen Sie diese allgemeinen Aufgaben durchführen:

• Installieren Sie die SoftHSM2-Bibliothek auf dem System.
• Erstellen Sie ein kryptografisches Token für die SoftHSM2-Bibliothek.
• Bereiten Sie das Gerätezertifikat sowie öffentliche und private Schlüssel vor.
• Importieren Sie die Zertifikat- und Schlüsseldatei in die SoftHSM2-Datenbank.
• Konfigurieren Sie die SoftHSM2-Bibliothek für die Verwendung durch Horizon Client.

Das folgende Verfahren enthält Richtlinien für den Abschluss des Setups auf einem allgemeinen Linux-Clientsystem. Bestimmte Schritte können je nach Linux-Distribution variieren.

Hinweis: Die Gerätezertifikatauthentifizierung wird auch auf Thin Clients unterstützt, auf denen Becrypt Paradox ausgeführt wird. Weitere Informationen zur Einrichtung finden Sie in der Dokumentation zu Becrypt Paradox.

1. Installieren Sie die SoftHSM2-Bibliothek auf dem Linux-Clientsystem mithilfe einer der folgenden Methoden.

   1. Methode 1: Verwenden Sie Paketverwaltungstools.

      Auf einem Ubuntu-System können Sie beispielsweise den folgenden Befehl ausführen.

      sudo apt-get install softhsm2
      

   2. Methode 2: Kompilieren und installieren Sie die SoftHSM2-Bibliothek manuell.

      1. Klonen Sie das SoftHSM2-Quellcode-Repository auf dem System.

         git clone [https://github.com/opendnssec/SoftHSMv2.git](https://github.com/opendnssec/SoftHSMv2.git)
         

      2. Kompilieren, konfigurieren und installieren Sie die SoftHSM2-Bibliothek aus dem geklonten Quellcode.

         Hinweis: Horizon Client installiert seine eigene OpenSSL-Bibliothek und nutzt auch die OpenSSL-Bibliothek, die mit SoftHSM2 verknüpft ist. Um Konflikte während der Laufzeit zu vermeiden, stellen Sie sicher, dass Sie SoftHSM2 mit derselben OpenSSL-Bibliothek verknüpfen, die von Horizon Client installiert wurde.

         Im folgenden Befehlsbeispiel sollte der <path to OpenSSL library> den Pfad „include“ und „lib“ enthalten.

         cd SoftHSMv2/
         sh autogen.sh
         ./configure --with-crypto-backend=openssl --with-openssl=<path to OpenSSL library>
         make
         sudo make install
                 
         

2. Erstellen Sie ein kryptografisches Token für die SoftHSM2-Bibliothek.

   Standardmäßig verfügt SoftHSM2 über einen Token-Steckplatz. Wenn Sie ein Token im ersten Steckplatz initialisieren, wird automatisch ein zweiter Steckplatz hinzugefügt. Nachfolgende Steckplätze werden hinzugefügt, wenn Sie in jedem Steckplatz ein neues Token initialisieren.

   1. Führen Sie den Befehl aus, um das Token zu erstellen.

      softhsm2-util --init-token --slot 0 --label "<your token label>"
      

   2. Notieren Sie sich die Steckplatz-ID, die vom Befehl zur Tokenerstellung zurückgegeben wird. Sie benötigen diese Steckplatz-ID später, wenn Sie das X.509-Gerätezertifikat und die X.509-Schlüsseldateien in die SoftHSM2-Datenbank importieren.

3. Bereiten Sie das X.509-Gerätezertifikat sowie öffentliche und private Schlüssel vor.

   1. Rufen Sie das Gerätezertifikat im PFX-Format ab, das den privaten Schlüssel enthält.

   2. Konvertieren Sie die PFX-Datei in eine Schlüsseldatei im PEM-Format. Beispielsweise wandelt der folgende Befehl client.pfx in client-keys.pem um.

      openssl pkcs12 -in client.pfx -nocerts -nodes -out client-keys.pem
      

   3. Konvertieren Sie die PEM-Schlüsseldatei in eine PKCS8-Schlüsseldatei.

      openssl pkcs8 -in client-keys.pem -topk8 -nocrypt -out client-keys.pk8
      

   4. Konvertieren Sie die PFX-Datei in ein X.509-Zertifikat im DER-Format.

      openssl pkcs12 -in client.pfx -nokeys -nodes -out client-cert.pem
      openssl x509 -outform der -in client-cert.pem -out client-cert.der
      

4. Importieren Sie das X.509-Zertifikat und die X.509-Schlüsseldatei in die SoftHSM2-Zertifikatdatenbank.

   1. Importieren Sie die Schlüsseldatei in die SoftHSM2-Datenbank.

      Beispielsweise importiert der folgende Befehl die client-key.pk8-Datei. Ersetzen Sie <your token label> und <slot ID> durch die Werte, die Sie in Schritt 2 erhalten haben.

      softhsm2-util --import client-key.pk8 --token "<your token label>" --slot <slot ID> --label "client" --id 0001
      

   2. Importieren Sie das X.509-Zertifikat in die SoftHSM2-Datenbank.

      Beispielsweise importiert der folgende Befehl die client-cert.der-Datei. Ersetzen Sie <softhsm2-pin> durch die PIN, die für den Zugriff auf die SoftHSM2-Datenbank erforderlich ist.

      pkcs11-tool --module /usr/local/lib/softhsm/libsofthsm2.so -l -p <softhsm2-pin> --write-object client-cert.der --type cert --id 0001
      

   3. Stellen Sie sicher, dass das X.509-Zertifikat, der öffentliche Schlüssel und der private Schlüssel alle in der SoftHSM2-Datenbank gespeichert sind.

      pkcs11-tool --module /usr/local/lib/softhsm/libsofthsm2.so -l -p <softhsm2-pin> --token-label "<your token label>" --list-objects
      

5. Konfigurieren Sie die SoftHSM2-Bibliothek für die Verwendung durch Horizon Client.

Unterstützung für den FIPS-Konformitätsmodus

Wenn Sie die Authentifizierung von Gerätezertifikaten in einer Umgebung verwenden möchten, die dem Bundesstandard für Informationsverarbeitung (Federal Information Processing Standard, FIPS) entspricht, führen Sie zunächst die unter Aktivieren des FIPS-kompatiblen Modus beschriebenen Schritte aus. Führen Sie dann das Setup-Verfahren Einrichten des Linux-Clientsystems für die Gerätezertifikatauthentifizierung mit folgender Änderung durch.

Um die SoftHSM2-Bibliothek mit dem FIPS-Konformitätsmodus zu kompilieren, führen Sie die folgende Befehlssequenz aus.

cd SoftHSMv2/
sh autogen.sh
./configure --with-crypto-backend=openssl --with-openssl=<path to OpenSSL library>  --enable-fips
make
sudo make install

Hinweis: Wenn Sie während der Kompilierung auf Probleme wegen fehlender Header stoßen, können Sie den Quellcode für FIPS-bezogene Header von www.openssl.org/source/ herunterladen. Kopieren Sie die Header in den Pfad zur OpenSSL-Bibliothek und wiederholen Sie die Befehlssequenz, um die SoftHSM2-Bibliothek mit dem FIPS-Konformitätsmodus zu kompilieren.