MID-Webserver-mTLS-Authentifizierung

  • Freigeben Version: Washingtondc
  • Aktualisiert 1. Februar 2024
  • 1 Minute Lesedauer

    • Die gegenseitige Authentifizierung mit dem Transport Layer Security-Protokoll (mTLS) ist ein sicheres, zertifikatbasiertes Authentifizierungsschema, bei dem sich der Server (in diesem Fall die MID-Webservererweiterung) und der Client gegenseitig authentifizieren.

    Die TLS-Authentifizierung erfolgt, wenn ein Client (z. B. ein Webbrowser) den Server authentifiziert, auf den er zugreift, indem er das vom Server bereitgestellte Zertifikat validiert. Vom Client wird überprüft, ob das Zertifikat (oder die Zertifikatkette) von einer vertrauenswürdigen Zertifizierungsstelle (Certificate Authority, CA) signiert ist. Der Client muss Zugriff auf ein Paket von CA-Zertifikaten haben, mit dem das Serverzertifikat validiert wird.

    Wenn mTLS konfiguriert ist, wird vom Client ein Zertifikat oder eine Zertifikatkette dem Server vorgelegt und vom Server wird der Client auf die gleiche Weise authentifiziert wie der Server vom Client (gegenseitige Authentifizierung).

    Von der MID-Webservererweiterung werden die folgenden Speicherorte in der angegebenen Reihenfolge durchsucht, damit auf den Truststore-Speicherort und das Truststore-Passwort zugegriffen werden kann:
    • Truststore-Speicherort: Die JVM-Systemeigenschaft mid.webserver.truststore.path.

      Wenn diese Eigenschaft leer ist, wird von der Erweiterung der Speicherort aus der JVM-Systemeigenschaft javax.net.ssl.trustStore abgerufen.

      Wenn kein Speicherort angegeben ist, wird standardmäßig der absolute Pfad der cacerts-Datei der JRE verwendet, auf der der MID-Server ausgeführt wird.

    • Truststore-Passwort: Das Feld Truststore-Passwort im Erweiterungsformular in der Instanz.

      Wenn dieses Feld leer ist, wird vom System das Passwort aus der JVM-Systemeigenschaft javax.net.ssl.trustStorePassword abgerufen.

      Wenn kein Speicherort angegeben ist, lautet das Passwort standardmäßig changeit.

    Bei einigen TLS-Implementierungen wird nicht nur die Zertifikatsignatur überprüft, sondern auch der Sperrstatus des Zertifikats. In diesen Fällen wird das Online Certificate Status Protocol (OCSP) verwendet. In diesem Protokoll sendet die verifizierende Partei eine Anforderung an den OCSP Responder, der von der CA eingerichtet wurde, die das vorgelegte Zertifikat ausgestellt hat. (Die Adresse des Responders ist normalerweise in den von der CA ausgestellten Zertifikaten eingebettet.) In der Antwort wird angegeben, ob das vorgelegte Zertifikat gesperrt wurde.