Autenticazione Client con certificati SSL

L'autenticazione con certificati SSL consente, in prima istanza, di collegarsi ad un server WEB solo se si presenta un certificato valido.

È poi possibile utilizzare questo certificato per autorizzare gli utenti passando all'applicativo web dei dettagli dei certificati come ad esempio il DN, tramite variabile

• Attivare il virtualhost SSL come da standard

• Se ad esempio si vuole proteggere solo una location:

<Location /myurl>
    Order allow,deny
    Allow from all
    SSLRequireSSL
    SSLVerifyClient required
    SSLVerifyDepth 1
</Location>

• Verificare che la configurazione sia corretta e riavviare apache

sudo apache2ctl configtest && sudo invoke-rc.d apache2 restart

• Provare ad accedere senza certificato client, si deve ottenere in Firefox questo errore:

Secure Connection Failed

An error occurred during a connection to myserver.example.com. 
SSL peer was unable to negotiate an acceptable set of security parameters. 
(Error code: ssl_error_handshake_failure_alert)

• Se si vuole generare un errore descrittivo in questo caso, veder ei riferimenti, ma possono esserci problemi con mod_rewrite

• Generare un certificato SSL firmato dalla stessa CA utilizzata da Apache
• Convertirlo in PKCS12
• Importarlo in firefox da

Preferenze - Avanzate - Certificati - Visualizza Certificati - Importa

• Accedere: verrà chiesto quale certificato usare: selezionarlo e così si potrà accedere.

Riferimenti

• ApacheServerClientCertificateAuthentication - CAcert Wiki
• mod_ssl: Reference
• FreeBSD Diary: Client Authentication with SSL