תעודה דיגיטלית - SSL - HTTPS למתקדמים
פרקי ההרצאה: תעודה דיגיטלית - SSL - HTTPS למתקדמים
תמלול ההרצאה: תעודה דיגיטלית - SSL - HTTPS למתקדמים
הטקסט המלא של הדקות הראשונות בהרצאה «תעודה דיגיטלית - SSL - HTTPS למתקדמים» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום לכולם, בסרט הזה אנחנו נגדיר SSL שיהיה אתר אינטרנט מאובטח ב-HTTPS על שרת 2008. נעשה את זה גם מול CA שנמצא ב-Stand Alone וגם מול CA שנמצא ב-Active Directory Enterprise.
זה הולך להיות שיעור קצר, ענייני ומעניין. אנחנו נעבור למכונה וירטואלית. יש לנו שתי מכונות וירטואליות. מכונה וירטואלית אחת, שימו לב, יש עליה גם CA, סרטיפיקט סרוויסס וגם אקטיב דירקטורי כן זאת אומרת זה גם דומיין קונטרולר וגם סרטיפיקט סרוויסס גם תעודות דיגיטליות התעודות דיגיטליות האלו מותקנות כאנטרפרייז
כן כאנטרפרייז זה אומר מובנה באקטיב דירקטורי ויש לנו עוד מכונה וירטואלית אחת שהיא נמצאת בסטנד איילון יש עליה רק שימו לב רק CA ורק ה-IS והיא נמצאת ב-Work Group שימו לב השרת הזה זה שרת ה-IS כמו באינטרנט שהוא נמצא ב-Work Group באינטרנט אין Active Directory כי Active Directory זאת תוכנה שמטרתה לנהל כמות גדולה של תחנות העבודה או כמות גדולה של מחשבים אם יש לי אתר אינטרנט
או חברה קטנה עם כמה אתרי אינטרנט בודדים אני לא צריך ניהול של תחנות העבודה וגם מסיבות של אבטחה אני רוצה שיהיה לי סרטיפיקט סרוויסס תורדות דיגיטליות במחשב שהוא בוורק גרופ שאין עליו שום גרופוליסי שחלה והתקנתי על זה על המחשב הזה ה-IS אתר אינטרנט וסטנדלון סרטיפיקט
סרוויסס במצב סטנדלון בסרטים קודמים הסברנו בדיוק איך מתקינים אותם עכשיו אנחנו רוצים להתחיל להשתמש בהם בשביל לזהות את הלקוחות והלקוחות בשביל להצפין את המידע אוקיי בואו נתחיל באנטרפרייז כי זה יותר פשוט אנחנו נלך לשרת שהוא גם דומיין קונטרולר שלי וגם יש עליו אתר אינטרנט.
אז מה אנחנו רוצים? אנחנו רוצים לבוא לאתר האינטרנט שלנו ובאתר האינטרנט שלנו לעשות "ביילינגס" אתם רואים "ביילינגס" לחבר אותו לפורט 443. כרגע אתר האינטרנט פועל רק בפורט 80. מה זה אומר? זה אומר שאם אני עושה פה HTTPS HTTP ל-IP של האתר נניח מ-2701 אם אני עושה HTTP זה עובד אוקיי?
אתר אינטרנט עובד. אם אני עושה HTTPS, אתר אינטרנט לא יעבוד, כי אין לי ביידינג, אף אחד לא מאזין על הפורט הזה.
אני רוצה לבוא לפה, ביידינגס, ולעשות פה HTTPS. בשביל לעשות HTTPS אני צריך תעודה דיגיטלית, ובשביל לקבל תעודה דיגיטלית אני הולך לרמת שרת, ל-Server Certificates, תעודות של השרת.
אז יש לי פה כמה תעודות שיש לי כבר בשרת, אני רוצה לעשות תעודה חדשה. אז יש לי פה בצד ימין Actions, זה כמו Right Click. אז אופציה ראשונה אומרת לייבא תעודה מוכנה, אופציה שנייה אומרת לעשות בקשה עדנית ולהשלים את הבקשה העדנית, להשלים את התהליך.
זה אומר לייצר מפתחות, לייצר זוג מפתחות public וprivate key, וברגע שעשיתי את הזוג המפתחות הזה, אני מעביר אותם כקובץ טקסט או באיזושהי צורה אחרת לשרת CA שיחתום עליהם.
ואחרי ש-CA חותם עליהם, אני יכול לעשות קומפליט ולייבא את זה חזרה. זאת אומרת, זה מייצר מפתחות, מעביר לחתימה ב-CA ו-CA ברגע שהוא סיים לחתום מחזיר לי אותם.
אז התהליך הזה זה תהליך ידני שאנחנו הולכים לעשות אותו עוד בדיוק 5 דקות בשרת מסוג סטנד-אלון. בגלל שכרגע אנחנו על מחשב שהוא גם דומיין קונטרולר אבל פחות חשוב לי שהוא דומיין קונטרולר.
מה שיותר חשוב לי שהוא חבר בדומיין כי הוא דומיין קונטרולר אז מן הסתם הוא דומיין. אז יש עליו CA מסוג אנטרפרייז זה מה שהתקנתי עליו CA מסוג אנטרפרייז. אז אני יכול לעשות פה דומיין סרטיפיקט.
דומיין סרטיפיקט זה לבקש תעודת אונליין מול שרת CA שנמצא בדומיין. אני מבקש אונליין תעודה, ואם יש לי אישור, אז אני גם מקבל תשובה אונליין, וזה מה שאני הולך לעשות עכשיו על שרת הזה, כי יש לי Enterprise CA, אוקיי? יש לי מותקנת בדומיין הזה CA מסוג Enterprise, אז אני יכול להשתמש באופציה הזאת.
והאופציה האחרונה נקראת Self-Signed Certificate, תעודה דיגיטלית שלא CA ולא אף אחד אני חותם לעצמי סתם לוקח תעודה חותם לעצמי אומר השארתי לעצמי הדבר הזה מאוד מאוד קל לא צריך להתקין שום דבר האופציה הזאת קיימת בכל שרת ה-S וזה עובד הבעיה היחידה עם זה שלדוגמה אייפון עושה עם זה בעיות וזה לא נחשב תקני וזה לא נחשב
טוב זה טוב למטרות קטנות למטרות פנימיות ובדיוק הייתה לי תקלה לפני כמה ימים שאצל לקוח אחד לא עבד האייפון שלא קיבל מיילים, והאייפון מתחבר לקבל מיילים דרך HTTPS מאחורי הקלעים, זאת מערכת מורכבת, אקשיינג'.
בקיצור, בגלל שאתה לא תעודה מסוג סלף סיינס זה לא עבד, אז תדעו שיש תוכנות שלא יודעות לעבוד עם זה כמו שצריך, אל תעשו את זה, בארגון אמיתי, בחברה אמיתית לא עושים דברים כאלה.
עושים את זה ככה למטרות פנימיות, לעצמך על תעודה אוקיי אנחנו עכשיו על האס אנחנו רוצים לעשות ביידינג לאתר אנחנו צריכים תעודה דיגיטלית לשם כך הגענו לרמת שרת נכנסנו לסרבר סרטיפיקייטס ובגלל שאנחנו בדומיין ובדומיין יש תת-CA מסוג אנטרפרייז אנחנו אומרים קריא דומיין סרטיפיקייט הוא שואל אותי מה השם שהלקוחות הולכים לרשום באינטרנט
שימו לב זה לא מעניין אותו מה השם של השרת הלקוחות שלי באינטרנט יחשבו שזה סתם .co.il למה כי זה הדומיין שקניתי אוקיי קניתי דומיין שנקרא סתם סיואל פה צריך common name כי זה השם שהולך להיות בתוך תעודה והשם הזה בתוך תעודה חייב להיות זהה לשם שכותבים על לקוחות בדפדפן אחרת דפדפן האינטרנט של הלקוחות יחשוב שגנבתי את התעודה הזאת בכלל אז פה אני כותב את השם שלי הדנסי
next אומר ממי לבקש ושימו לב יש לי פה כפתור של browse מי שפספס אותי יש לי פה כפתור של סלקט הכפתור הזה אונליין סרטיפיקט אופוריטי אונליין סרטיפיקט אופוריטי לא הולך לחפש את זה באינטרנט מחפש את זה בתוך אקטיב דירקטורי ורואה שיש לי באקטיב דירקטורי יוני סאב סי-איי תעודות בשקל יש לי סי-איי שנקראת תעודות בשקל אני מוכר תעודות בשקל מתחרה מול חברות עולמיות שמוכרות את זה ב-70
דולר ואפשר לבקש ממני תעודה ולקרוא לה www לסתם בקיצור השם הזה זה בשבילכם www סתם ככה אני קראתי לזה זה מה שיופיע בכותרת של התעודה לשימוש הפנימי שלי, לקוחות לא רואים את זה.
אוקיי, מה ההבדל דרך אגב ביני לבין אלו שמוכרים את זה ב-70 דולר? שעל האבא שלי, זאת אומרת עליי, אף אחד לא סומך.
על השיאה שלי אף אחד לא סומך, אבל זה לא אכפת לי, כי כל מי שצריך לסמוך עליי, אני אתן לו את התעודה והוא יסמוך עליי, אנחנו נעשה את זה דרך גוף פוליסי.
אוקיי, אז תעודות בשקל סתם, פיניש. ביקשתי וקיבלתי תעודה אונליין. שימו לב לחצתי פה כפתור אחד, בואו נבקש עוד תעודה, www.co, מה השם שלי, סתם, נקודה co, לא יודע, מה השם שקנינו, חברה, חברה שנייה, נקודה co, נקודה l.
בקיצור, אני יכול לבקש פה תעודות חופשי, אין שום בעיה, מבקש, CA אונליין מאשר אותם, ואני עושה פה www3. ויש לי פה תעודות בשפע, אני מייצר לעצמי תעודות.
בואו נראה בממשק הגרפי, שאנחנו רואים פה issue certificates, תעודות שחילקתי, אתם יכולים לראות שאני פה חילקתי תעודות ל-www.chvra2.co.il.
בואו נעשה עוד דאבל קליק על תעודה מספר 6, www.stam.co.il. אומרים חילקתי תעודה לזה, חילקתי תעודה לזה, אין שום בעיה. אוקיי, טוב מאוד, זה קורה אונליין, בזכות זה שזה Enterprise EA, ואני אדמיניסטרטור, ולאדמיניסטרטור יש זכות לבקש תעודות, ולכן הכל מתקבל אוטומטית.
אני יכול גם לראות פה לאיזה מטרה ביקשו, אתם רואים וב סרבר אוקיי בואו נראה שעכשיו ssl עובד נעשה htts אני אחסוך לנו את הטרחה ואני אגיד לכם שזה לא עובד למה זה לא עובד כי לא עשינו בדינגס זה שיש לי תעודה זה מצוין אני חייב תעודה להצמיד לאתר אינטרנט יש לי כרגע אתר אינטרנט אחד פה אני עושה לו בדינגס הוא עושה עד ידי htts ואומר באיזה תעודה להשתמש
דבר חשוב שנפלו עליו תלמידים רבים הם ניסו להצמיד תעודה של ca תעודה תעודה של CA לא יודעת לעשות SSL. תעודה של CA עצומה מיועדת להיות לשרת CA, לחתום על האישורים שלו.
זאת אומרת, CA שמחלק, לדוגמה, WW סתם, SRV 08, CA שמחלק תעודות לאחרים, הוא חותם עליהן בפרייבט קי שלו, אוקיי?
CA חותם, על כל מה שהוא מחלק הוא חותם עם הפרייבט קי שלו, כדי שידעו שזה הוא נתן את התעודה ולא מישהו אחר.
אז תעודה שנקראת CA זאת תעודה שנועדה לחתימות דיגיטליות של ה-CA עצמה. אי אפשר לעשות איתה SSL. אם אתם רוצים SSL אתם צריכים תעודות שמיועדות למחשב ולא תעודות שמיועדות ל-CA.
אני יודע שכל זה מבלבל, תראו את זה עוד פעם, תקשיבו לזה לאט, אתם תבינו בסוף. לכל תעודה יש ייעוד, תפקיד, ודרך אגב זה נמצא פה Certificates Templates, זה ייעוד של תעודות, תעודה מסוג CA לא יכולה לעשות לכם SSL ותעודה
מסוג מחשב או מסוג SSL לא יכולה לעשות לכם לחתום לכם על CA לכל תעודה יש תעודה של CA זה ה-Private Key שחותם על כל המפקה של CA טוב אנחנו ניקח את התעודה הזאת אנחנו רואים שהתעודה הזאת היא מיועדת לסתם COA יש לי את ה-Private Key שלה שימו לב יש לי את ה-Private Key שלה יופי זאת אומרת הלקוחות שלי הולכים עכשיו להתחבר אליי ב-HTTPs לעשות HTTPS ואני הולך ללקוח של עצמי בשביל לבדוק שזה עובד
הלקוח מקבל פאבליק פרייבט הוא לא מקבל הוא מקבל רק את הפאבליק הלקוח מקבל פאבליק ומצפין לתקשורת והתקשורת ביני לבין הלקוח שלי עכשיו מוצפנת עם הפאבליקי שלי כאשר מי שהצפין בפאבליקי לא יכול לפתוח את ההודעה של עצמו חזרה כי בשביל לפתוח את ההודעה של הפאבליקי חזרה צריך את הפרייבט כי והפרייבט כי נמצא רק פיזית
בתוך המחשב שלי ולא משודר החוצה החוצה לקוחות מקבלים רק את הפאבליק ואתם יכולים לראות את זה פה הם עושים view certificates, הם אומרים אין פה את השורה של הפרייבט כי זה הלקוח והלקוח קיבל את התעודה בלי השורה של הפרייבט ורק עם הפאבליק הוא מצפין אליי את התקשורת עם הפאבליקים.
טוב מאוד, למה יש לי פה הודעה אדומה? כי הכתובת פה למעלה לא תואמת לכתובת שיש בתעודה דיגיטלית, כי בתעודה דיגיטלית כתוב סתם סיורייל ופה כתוב 127.001 ולכן הדבדפן אינטרנט, הדפדפן שלי חושב שהשרת מציג לו תעודה מזויפת, תעודה שהוא גנב ממקום אחר,
שהוא גנב ממישהו אחר, כי זה השם שלו והתעודה זה של מישהו אחר. בואו נתקן זאת זריז, ניכנס ל-DNS, נעשה לעצמי זון חדש מסוג סתם COL, כי אני צריך שהשם יהיה זהה.
אני עשיתי זון חדש, נקסט, נקסט, נקסט. רייט קליק ניו, WWW, אני אעשה מ-270, טוב, בואו נעשה כמו שצריך.
איי-פי קונפיג, מעתיק את האיי-פי שלי. אני צריך שה-DNS יפנה אליי, יופי. ועכשיו אני לוקח את השם סתם coa-l. ואחרי שסידרתי את ה-DNS שיפנה אליי, אני יכול לעשות HTTPS לשם סתם coa-l.
הנה, וההודעה האדומה התחלפה בהודעה לבנה, יפהפייה. יש גם סוג תעודות מיוחד, שזה מחוץ לחומר הלימוד שלנו, שדבדפן אומר, זה סופר נבדק וסופר בטוח, וזה מקבל פה פס ירוק.
ולבן זה אומר שזה בסדר, זו תעודה שהיא בסדר, ואדום זה אומר שאתר מסוכן, משהו לא טוב אצלו, למרות שהצפנה עובדת. טוב מאוד, אז יש לנו עכשיו www.stam.co.il, ראינו איך מקבלים תעודה, ראינו איך מצמידים אותה ל-SSL, וראינו שעשינו פה ב-DNS עוד זון אחד, זון של סתם co.il, כדי שזה יעבוד.
טוב מאוד, דבר אחרון שאני רוצה להראות לכם, שאני רוצה שלאתר הזה תהיה כניסה מאובטחת, כי יש פה מידע מאוד מאוד חשוב, בואו נעשה מידע מאוד מאוד חשוב, נעשה מידע, ניכנס ל-C, אתם יודעים, האתר אינטרנט נמצא ב-C, ה-InetPub, www.root, פה נמצא האתר שלי, זאת התמונה שלי,
תסתכלו אם אני מקשקש פה על התמונה, סתם קשקשתי פה על התמונה, ושמרתי את זה, שימו לב ברפרש מה יקרה, עשיתי רפרש, אתם רואים, הקשקוש הזה עבר לפה, כי זה שני הקבצים של אתר האינטרנט, זה הקובץ בשפת HTML וזה קובץ רגיל, Welcome.