Configure HTTPS mutual authentication for Anti-DDoS Proxy - Anti-DDoS: Central de Documentação do Alibaba Cloud

Para cenários de alta segurança, como transações financeiras, área da saúde, setor bancário e pagamentos online, a autenticação unidirecional tradicional, que verifica apenas a identidade do servidor, costuma ser insuficiente. Em um modelo de autenticação unidirecional, o servidor confia em qualquer cliente que se conecta a ele, o que pode gerar riscos de segurança, como ataques man-in-the-middle e acesso não autorizado. Use o recurso de autenticação mútua HTTPS do Anti-DDoS Proxy para aumentar a segurança. A autenticação mútua exige que tanto o cliente quanto o servidor verifiquem a identidade um do outro antes de estabelecer um canal de comunicação seguro. Este tópico descreve como configurar a autenticação mútua.

Como funciona

Por que usar a autenticação mútua

A maioria das aplicações web usa autenticação unidirecional para estabelecer conexões HTTPS. O cliente verifica a identidade do servidor e garante a conexão com o servidor correto.

Para aplicações que exigem maior segurança, o servidor também precisa verificar a identidade do cliente. A autenticação mútua garante que apenas clientes autorizados acessem o serviço, reduzindo riscos como ataques man-in-the-middle e acesso não autorizado.

Comparação entre autenticação unidirecional e mútua

Item

Autenticação unidirecional

Autenticação mútua

Arquivos de certificado

Certificado do servidor:

Certificado de chave pública do servidor
Arquivo de chave privada do servidor

Certificado do servidor:
- Certificado de chave pública do servidor
- Arquivo de chave privada do servidor
Certificado do cliente:
- Certificado de chave pública do cliente
- Arquivo de chave privada do cliente
Certificado da CA raiz

Processo de handshake

Casos de uso

Em cenários de negócios com altos requisitos de segurança, como transações financeiras, área da saúde, setor bancário, Internet das Coisas (IoT) e pagamentos online, você também deve verificar a identidade do cliente.

Se a verificação da identidade do cliente não for necessária, você não precisa usar a autenticação mútua.

Cenário de exemplo

Considere uma plataforma de serviços de governo eletrônico que usa o Anti-DDoS Proxy para se defender contra ataques DDoS. Para impedir que invasores falsifiquem o nome de domínio da plataforma, atraiam usuários para sites de phishing que causem violações de dados ou façam scraping de APIs públicas com ferramentas automatizadas, configure a autenticação mútua HTTPS ao adicionar o domínio ao Anti-DDoS Proxy.

Autenticação do servidor: o cliente verifica o certificado do servidor configurado no Anti-DDoS Proxy para garantir a conexão com um servidor legítimo.
Autenticação do cliente: o Anti-DDoS Proxy verifica o certificado do cliente em relação a um certificado da CA configurado e permite a conexão apenas de clientes autorizados.

Etapa 1: Criar certificados de CA e de cliente

Método 1: CA da Alibaba Cloud

Para mais informações, consulte Apply for a private certificate.

Purchase and enable a private CA.

Nota
Uma CA privada pode conter uma ou mais CAs subordinadas sob uma CA raiz. Apenas as CAs subordinadas podem emitir certificados privados, incluindo certificados de servidor e de cliente.
Use uma CA subordinada privada para solicitar um certificado de cliente.
1. Faça login no console do Certificate Management Service. No painel de navegação à esquerda, escolha Certificate Management > Private Certificate Management.
2. Na aba Private CAs, encontre a CA subordinada de destino e clique em Apply for Certificate na coluna Actions.
3. No painel Apply for Certificate, configure as informações do certificado e clique em Confirm e confirme a operação.
  
  Neste cenário, defina Certificate Type como Client Certificate e, em Personal Name, insira o identificador exclusivo do usuário do cliente. Você pode manter os valores padrão para other parameters ou modifique os valores conforme necessário.
  
  Após você confirmar, envie a solicitação. A CA privada emite o certificado imediatamente. Em seguida, clique em Certificates na coluna Actions da CA intermediária e visualize o certificado emitido.
Exporte o certificado do cliente.
1. Na aba Private CAs, encontre a CA subordinada de destino e clique em Certificates na coluna Actions.
2. Na página Certificates, encontre o certificado privado de destino e clique em Download na coluna Actions.
3. Na caixa de diálogo Download Certificate, selecione o formato de certificado necessário e clique em Confirm and Download. Marque a caixa de seleção Include Trust Chain para incluir a cadeia de certificados completa.
  
  Neste cenário, defina Certificate Format como PFX, que é reconhecido pelos navegadores.
  
  O pacote de arquivos baixado inclui um arquivo de certificado de cliente com o sufixo .pfx e um arquivo de texto com o sufixo .txt que contém a senha da chave privada do cliente.
  
  Por exemplo, client-alb.pfx e pfx-password.txt.

Método 2: CA autoassinada

Você pode usar um certificado de CA raiz autoassinado ou um certificado de CA subordinada autoassinado para a autenticação mútua. Este exemplo usa um certificado de CA raiz autoassinado.

Use o OpenSSL para gerar um certificado de CA raiz autoassinado.
1. Execute o seguinte comando para criar uma chave privada para o certificado de CA raiz:
```
openssl genrsa -out root.key 4096
```
2. Execute o seguinte comando para criar uma solicitação de assinatura de certificado (CSR) para o certificado de CA raiz:
```
openssl req -new -out root.csr -key root.key
```
  Insira as informações necessárias conforme solicitado. O código a seguir fornece um exemplo:
  
  Nota
  Certifique-se de que o Common Name do certificado da CA seja exclusivo e diferente do Common Name do certificado do servidor ou do certificado do cliente.
```
Country Name (2 letter code) [XX]:cn
State or Province Name (full name) []:bj
Locality Name (eg, city) [Default City]:bj
Organization Name (eg, company) [Default Company Ltd]:alibaba
Organizational Unit Name (eg, section) []:test
Common Name (eg, your name or your servers hostname) []:root
Email Address []:a****@example.com
A challenge password []:
An optional company name []:
```
3. Execute o seguinte comando para criar o certificado de CA raiz:
```
openssl x509 -req -in root.csr -out root.crt -signkey root.key -CAcreateserial -days 3650
```
  A saída retornada é a seguinte:
```
Signature ok
subject=C = cn, ST = bj, L = bj, O = alibaba, OU = test, CN = root, emailAddress = a****@example.com
Getting Private Key
```
4. Execute o comando ls para visualizar o certificado de CA raiz gerado root.crt e sua chave privada root.key.
  
  Acesse o console e baixe esses arquivos de certificado de CA raiz para o seu computador para uso posterior.
Use o certificado de CA raiz para gerar um certificado de cliente.
1. Execute o seguinte comando para gerar uma chave privada para o certificado de cliente:
```
openssl genrsa -out client.key 4096
```
2. Execute o seguinte comando para gerar uma CSR para o certificado de cliente:
```
openssl req -new -out client.csr -key client.key
```
  Insira as informações necessárias conforme solicitado. O código a seguir fornece um exemplo:
  
  Nota
  Certifique-se de que o Common Name do certificado do cliente seja exclusivo e diferente do Common Name do certificado do servidor, do certificado raiz ou de qualquer outro certificado de cliente.
```
Country Name (2 letter code) [XX]:cn
State or Province Name (full name) []:bj
Locality Name (eg, city) [Default City]:bj
Organization Name (eg, company) [Default Company Ltd]:alibaba
Organizational Unit Name (eg, section) []:test
Common Name (eg, your name or your servers hostname) []:client-alb-user
Email Address []:username@example.com
A challenge password []:
An optional company name []:
```
3. Execute o seguinte comando para gerar o certificado de cliente.
```
openssl x509 -req -in client.csr -out client.crt -CA root.crt -CAkey root.key -CAcreateserial -days 3650
```
  A saída retornada é a seguinte:
```
Signature ok
subject=C = cn, ST = bj, L = bj, O = alibaba, OU = test, CN = client-alb-user, emailAddress = username@example.com
Getting CA Private Key
```
4. Execute o seguinte comando para converter o certificado de cliente gerado client.crt em um arquivo PKCS12, que é reconhecido pelos navegadores. Insira a senha de criptografia da chave privada do cliente conforme solicitado.
```
openssl pkcs12 -export -clcerts -in client.crt -inkey client.key -out client.p12
```
5. Execute o comando ls para visualizar o arquivo de certificado de cliente client.p12 gerado.
  
  Acesse o console e baixe o arquivo de certificado de cliente para o seu computador para uso posterior no cliente.
Faça upload do certificado de CA raiz autoassinado para o Certificate Management Service da Alibaba Cloud.
1. Faça login no console do Certificate Management Service.
2. No painel de navegação à esquerda, escolha Certificate Service > Certificate Application Repository.
3. Na página Certificate Application Repository, clique em Create Repository. No painel Create Repository, defina Data Source como Uploaded CA Certificates e clique em OK.
  
  Defina Repository Name como Custom-CA.
4. Na página Certificate Application Repository, clique no repositório que você criou.
5. Na página Certificate Management, clique em Upload Certificate. No painel CA Information, faça upload do arquivo de certificado de CA raiz root.crt e clique em Confirm and Enable.

Etapa 2: Configurar o domínio e a autenticação

Faça login na página Website Config no console do Anti-DDoS Proxy.
Na barra de navegação superior, selecione a região da sua instância.
- Anti-DDoS Proxy (Chinese Mainland): Escolha a região Chinese Mainland.
- Anti-DDoS Proxy (Outside Chinese Mainland): Escolha a região Outside Chinese Mainland.
Na página Website Config, clique em Add Website e siga as instruções para adicionar seu domínio.

Este tópico descreve apenas como ativar a autenticação mútua. Para obter informações sobre outros parâmetros, consulte Add a website.

Na seção de configuração HTTPS, marque a caixa de seleção Mutual Authentication para que você ative a autenticação mútua. Na lista suspensa Select CA Certificate Source, selecione a origem do certificado. Na lista suspensa Select Default CA Certificate, selecione o certificado de CA correspondente.
Após concluir a configuração, copie o endereço CNAME, exibido abaixo do nome de domínio na página Website Config. Você precisa desse valor para configurar a resolução do nome de domínio.

Etapa 3: Configurar a resolução de nome de domínio

Em produção, crie um registro CNAME para apontar seu nome de domínio para o endereço CNAME do Anti-DDoS Proxy.

Este tópico usa como exemplo um nome de domínio cujo DNS está hospedado no Alibaba Cloud DNS. Se você usar um provedor de serviços de DNS diferente, essas informações servem apenas como referência.

Faça login no console do Alibaba Cloud DNS.
Na página Authoritative DNS Resolution, encontre o domínio de destino e clique em Settings na coluna Actions.
Na página Settings, encontre o registro que deseja modificar, clique em Edit e edite o registro na coluna Actions.

Nota
Se o registro não estiver na lista, clique em Add Record.

Neste cenário, defina Record Type como CNAME e Record Value como o endereço CNAME do Anti-DDoS Proxy. Você pode manter os valores padrão para other parameters ou modifique os valores conforme necessário.
Clique em OK e aguarde as configurações de DNS entrarem em vigor.

Etapa 4: Testar a autenticação mútua HTTPS

Este exemplo usa o navegador Chrome em um cliente Windows para testes.

Instale o certificado de cliente da Etapa 1 no dispositivo cliente.

Clique duas vezes no arquivo de certificado de cliente baixado e siga o assistente de importação do sistema operacional para concluir a instalação.
No navegador, insira https://<your_domain_name>. Quando solicitado, selecione o certificado para verificar a identidade do cliente.
Atualize o navegador e verifique se você consegue acessar o domínio.