Pour les scénarios exigeant un niveau de sécurité élevé, tels que les transactions financières, la santé, le secteur bancaire et les paiements en ligne, l'authentification unidirectionnelle traditionnelle, qui ne vérifie que l'identité du serveur, s'avère souvent insuffisante. Dans ce modèle, le serveur fait confiance à tout client qui s'y connecte, ce qui peut entraîner des risques de sécurité comme les attaques de type « man-in-the-middle » (homme du milieu) et les accès non autorisés. Utilisez la fonctionnalité d'authentification mutuelle HTTPS d'Anti-DDoS Proxy pour renforcer la sécurité. L'authentification mutuelle impose au client et au serveur de vérifier mutuellement leur identité avant d'établir un canal de communication sécurisé. Cette rubrique explique comment configurer l'authentification mutuelle.
Fonctionnement
Pourquoi utiliser l'authentification mutuelle
La plupart des applications web utilisent une authentification unidirectionnelle pour établir des connexions HTTPS. Le client vérifie l'identité du serveur afin de s'assurer qu'il se connecte au bon serveur.
Pour les applications nécessitant un niveau de sécurité supérieur, le serveur doit également vérifier l'identité du client. L'authentification mutuelle garantit que seuls les clients autorisés peuvent accéder au service, réduisant ainsi les risques tels que les attaques de type « man-in-the-middle » et les accès non autorisés.
Comparaison entre l'authentification unidirectionnelle et l'authentification mutuelle
Élément | Authentification unidirectionnelle | Authentification mutuelle |
Fichiers de certificat | Certificat serveur : | |
Processus de négociation (handshake) |  |  |
Cas d'utilisation
Pour les scénarios métier exigeant un haut niveau de sécurité, tels que les transactions financières, la santé, le secteur bancaire, l'Internet des objets (IoT) et les paiements en ligne, vous devez également vérifier l'identité du client.
Si la vérification de l'identité du client n'est pas requise, il n'est pas nécessaire d'utiliser l'authentification mutuelle.
Exemple de scénario
Prenons l'exemple d'une plateforme de services gouvernementaux en ligne qui utilise Anti-DDoS Proxy pour se protéger contre les attaques DDoS. Pour empêcher les attaquants d'usurper le nom de domaine de la plateforme, d'attirer les utilisateurs vers des sites de phishing provoquant des fuites de données ou d'extraire des données via des API publiques à l'aide d'outils automatisés, configurez l'authentification mutuelle HTTPS lors de l'ajout du domaine à Anti-DDoS Proxy.
Authentification du serveur : le client vérifie le certificat serveur configuré sur Anti-DDoS Proxy afin de s'assurer qu'il se connecte à un serveur légitime.
Authentification du client : Anti-DDoS Proxy vérifie le certificat client par rapport à un certificat CA configuré, n'autorisant la connexion qu'aux clients approuvés.
Étape 1 : Créer les certificats CA et client
Méthode 1 : Autorité de certification Alibaba Cloud
Pour plus d'informations, consultez Demander un certificat privé.
-
Acheter et activer une autorité de certification privée.
Remarque
Une autorité de certification privée peut contenir une ou plusieurs autorités de certification subordonnées sous une autorité de certification racine. Seules les autorités de certification subordonnées peuvent émettre des certificats privés, y compris les certificats serveur et les certificats client.
-
Utilisez une autorité de certification subordonnée privée pour demander un certificat client.
Connectez-vous à la console Certificate Management Service. Dans le volet de navigation de gauche, choisissez .
Dans l'onglet Private CAs, localisez l'autorité de certification subordonnée cible et cliquez sur Apply for Certificate dans la colonne Actions.
-
Dans le panneau Apply for Certificate, configurez les informations du certificat et cliquez sur Confirm.
Dans ce scénario, définissez Certificate Type sur Client Certificate et, pour Personal Name, saisissez l'identifiant unique de l'utilisateur client. Vous pouvez conserver les valeurs par défaut pour les autres paramètres ou les modifier selon vos besoins.
Après soumission de la demande, l'autorité de certification privée émet immédiatement le certificat. Vous pouvez ensuite cliquer sur Certificates dans la colonne Actions de l'autorité de certification intermédiaire pour afficher le certificat émis.
-
Exportez le certificat client.
Dans l'onglet Private CAs, localisez l'autorité de certification subordonnée cible et cliquez sur Certificates dans la colonne Actions.
Sur la page Certificates, localisez le certificat privé cible et cliquez sur Download dans la colonne Actions.
-
Dans la boîte de dialogue Download Certificate, sélectionnez le format de certificat requis et cliquez sur Confirm and Download. Cochez la case Include Trust Chain pour inclure la chaîne de certificats complète.
Dans ce scénario, définissez le Certificate Format sur PFX, qui est reconnu par les navigateurs.
Le package de fichiers téléchargé comprend un fichier de certificat client avec le suffixe .pfx et un fichier texte avec le suffixe .txt contenant le mot de passe de la clé privée du client.
Par exemple, client-alb.pfx et pfx-password.txt.
Méthode 2 : Autorité de certification auto-signée
Vous pouvez utiliser soit un certificat d'autorité de certification racine auto-signé, soit un certificat d'autorité de certification subordonnée auto-signé pour l'authentification mutuelle. Cet exemple utilise un certificat d'autorité de certification racine auto-signé.
-
Utilisez OpenSSL pour générer un certificat d'autorité de certification racine auto-signé.
-
Exécutez la commande suivante pour créer une clé privée pour le certificat de l'autorité de certification racine :
openssl genrsa -out root.key 4096
-
Exécutez la commande suivante pour créer une demande de signature de certificat (CSR) pour le certificat de l'autorité de certification racine :
openssl req -new -out root.csr -key root.key
Saisissez les informations requises lorsque vous y êtes invité. Le code suivant fournit un exemple :
Remarque
Assurez-vous que le Common Name du certificat CA est unique et différent du Common Name du certificat serveur ou du certificat client.
Country Name (2 letter code) [XX]:cn
State or Province Name (full name) []:bj
Locality Name (eg, city) [Default City]:bj
Organization Name (eg, company) [Default Company Ltd]:alibaba
Organizational Unit Name (eg, section) []:test
Common Name (eg, your name or your servers hostname) []:root
Email Address []:a****@example.com
A challenge password []:
An optional company name []:
-
Exécutez la commande suivante pour créer le certificat de l'autorité de certification racine :
openssl x509 -req -in root.csr -out root.crt -signkey root.key -CAcreateserial -days 3650
Le résultat suivant s'affiche :
Signature ok
subject=C = cn, ST = bj, L = bj, O = alibaba, OU = test, CN = root, emailAddress = a****@example.com
Getting Private Key
-
Exécutez la commande ls pour afficher le certificat de l'autorité de certification racine généré root.crt et sa clé privée root.key.
Vous pouvez télécharger ces fichiers de certificat d'autorité de certification racine sur votre ordinateur pour une utilisation ultérieure.
-
Utilisez le certificat de l'autorité de certification racine pour générer un certificat client.
-
Exécutez la commande suivante pour générer une clé privée pour le certificat client :
openssl genrsa -out client.key 4096
-
Exécutez la commande suivante pour générer une CSR pour le certificat client :
openssl req -new -out client.csr -key client.key
Saisissez les informations requises lorsque vous y êtes invité. Le code suivant fournit un exemple :
Remarque
Assurez-vous que le Common Name du certificat client est unique et différent du Common Name du certificat serveur, du certificat racine ou de tout autre certificat client.
Country Name (2 letter code) [XX]:cn
State or Province Name (full name) []:bj
Locality Name (eg, city) [Default City]:bj
Organization Name (eg, company) [Default Company Ltd]:alibaba
Organizational Unit Name (eg, section) []:test
Common Name (eg, your name or your servers hostname) []:client-alb-user
Email Address []:username@example.com
A challenge password []:
An optional company name []:
-
Exécutez la commande suivante pour générer le certificat client.
openssl x509 -req -in client.csr -out client.crt -CA root.crt -CAkey root.key -CAcreateserial -days 3650
Le résultat suivant s'affiche :
Signature ok
subject=C = cn, ST = bj, L = bj, O = alibaba, OU = test, CN = client-alb-user, emailAddress = username@example.com
Getting CA Private Key
-
Exécutez la commande suivante pour convertir le certificat client généré client.crt en un fichier PKCS12, reconnaissable par les navigateurs. Saisissez le mot de passe de chiffrement de la clé privée du client lorsque vous y êtes invité.
openssl pkcs12 -export -clcerts -in client.crt -inkey client.key -out client.p12
-
Exécutez la commande ls pour afficher le fichier de certificat client client.p12 généré.
Vous pouvez télécharger le fichier de certificat client sur votre ordinateur pour une utilisation ultérieure sur le client.
-
Importez le certificat d'autorité de certification racine auto-signé dans Alibaba Cloud Certificate Management Service.
Connectez-vous à la console Certificate Management Service.
Dans le volet de navigation de gauche, choisissez .
-
Sur la page Certificate Application Repository, cliquez sur Create Repository. Dans le panneau Create Repository, définissez Data Source sur Uploaded CA Certificates, puis cliquez sur OK.
Définissez Repository Name sur Custom-CA.
Sur la page Certificate Application Repository, cliquez sur le référentiel que vous avez créé.
Sur la page Certificate Management, cliquez sur Upload Certificate. Dans le panneau CA Information, importez le fichier de certificat de l'autorité de certification racine root.crt et cliquez sur Confirm and Enable.
Étape 2 : Configurer le domaine et l'authentification
Connectez-vous à la page Website Config dans la console Anti-DDoS Proxy.
-
Dans la barre de navigation supérieure, sélectionnez la région de votre instance.
-
Sur la page Website Config, cliquez sur Add Website et suivez les instructions pour ajouter votre domaine.
Cette rubrique décrit uniquement comment activer l'authentification mutuelle. Pour plus d'informations sur les autres paramètres, consultez Ajouter un site web.
Dans la section de configuration HTTPS, cochez la case Mutual Authentication. Dans la liste déroulante Select CA Certificate Source, sélectionnez la source du certificat. Dans la liste déroulante Select Default CA Certificate, sélectionnez le certificat CA correspondant.
Une fois la configuration terminée, copiez l'adresse CNAME. Elle s'affiche sous le nom de domaine sur la page Website Config. Vous aurez besoin de cette valeur pour configurer la résolution DNS.
Étape 3 : Configurer la résolution DNS
En production, pointez votre nom de domaine vers l'adresse CNAME d'Anti-DDoS Proxy en créant un enregistrement CNAME.
Cette rubrique utilise un nom de domaine dont le DNS est hébergé sur Alibaba Cloud DNS à titre d'exemple. Si vous utilisez un autre fournisseur de services DNS, ces informations sont fournies à titre indicatif uniquement.
Connectez-vous à la console Alibaba Cloud DNS.
Sur la page Authoritative DNS Resolution, localisez le domaine cible et cliquez sur Settings dans la colonne Actions.
-
Sur la page Settings, localisez l'enregistrement que vous souhaitez modifier et cliquez sur Edit dans la colonne Actions.
Remarque
Si l'enregistrement ne figure pas dans la liste, cliquez sur Add Record.
Dans ce scénario, définissez Record Type sur CNAME et Record Value sur l'adresse CNAME d'Anti-DDoS Proxy. Vous pouvez conserver les valeurs par défaut pour les autres paramètres ou les modifier selon vos besoins.
Cliquez sur OK et attendez que les paramètres DNS prennent effet.
Étape 4 : Tester l'authentification mutuelle HTTPS
Cet exemple utilise le navigateur Chrome sur un client Windows pour les tests.
-
Installez le certificat client de l'étape 1 sur l'appareil client.
Double-cliquez sur le fichier de certificat client téléchargé et suivez l'assistant d'importation du système d'exploitation pour terminer l'installation.
Dans votre navigateur, saisissez https://<your_domain_name>. Lorsque vous y êtes invité, sélectionnez le certificat à utiliser pour la vérification de l'identité du client.
Actualisez le navigateur et vérifiez que vous pouvez accéder au domaine.