InformacaoCertificados » History » Version 5
Version 4 (Gabriel Winckler, 01 Mar 2013 13:58) → Version 5/6 (Gabriel Winckler, 01 Mar 2013 14:08)
h1. Informações gerais Caro usuário,
Grids computacionais consistem de recursos de processamento Essa pagina visa esclarecer alguns detalhes operacionais sobre a geração e utilização de armazenamento distribuídos certificados no GridUNESP e interconectados, e visam atender SPRACE. Esses certificados são uma peça fundamental do funcionamento dos grids computacionais, em especial para a grupos sua segurança.
Explicações sobre mecanismo de usuários geograficamente dispersos. De forma geral, tanto usuários quanto recursos pertencem a domínios administrativos distintos que interagem entre si de forma cooperativa. O gerenciamento desse ambiente cooperativo certamente envolve questões de segurança, requerendo mecanismos que permitam autenticar usuários certificados e recursos e estabelecer níveis e prioridades de acesso.
Os Grids utilizam mecanismos baseados em criptografia de chave pública ou assimétrica, por que viabilizam a efetivação de propriedades eles são tão importantes relativas à proteção da informação, como sigilo, integridade, autenticidade e irretratabilidade (ou não repúdio). Tanto recursos físicos quanto usuários recebem um par de chaves distintas, em uma estrutura de uso estritamente privado e outra tornada pública. Após a geração do par grid, estão detalhados na página [[InformacaoCertificados]]
Através de chaves, a chave pública correspondente precisa ser assinada digitalmente por uma entidade certificadora confiável - e, idealmente, reconhecida internacionalmente - para confirmar parceria com a identidade ANSP, aos usuários do usuário ou do recurso computacional. Essa entidade GridUNESP/SPRACE é conhecida como autoridade de certificação ou CA (Certification Authority), e o procedimento de assinatura é chamado de emissão de emitido um certificado digital. Os certificados digitais são automaticamente, quando ele é registrado.
Para sua conveniência, esse certificado fica armazenado em um dos elementos fundamentais da infraestrutura de segurança em ambientes distribuídos e cooperativos, pois facilitam servidor MyProxy no NCC. Isso facilita a autenticação utilização do grid, permitindo o uso de usuários e recursos de organizações diferentes de modo seguro [1][2]. um simples comando myproxy-logon para obter um proxy, sem se preocupar com outros detalhes.
No ambiente Porém é importante ressaltar que esse certificado é de Grid, o arquivo de chave privada (userkey.pem) uso pessoal e
intransferível. E, caso deseje, você pode tomar algumas ações:
h1. Exportar o arquivo de certificado (usercert.pem) correspondem ao par de chaves da criptografia de chave pública. O arquivo userkey.pem (ou resourcekey.pem no caso de um recurso) contém a chave privada criptografada,
Alguns usuários podem necessitar exportar o certificado (extrair o certificado do servidor MyProxy e só pode ser decriptografada mediante o fornecimento copiar para outro computador) para utilizar como mecanismo de uma senha. O arquivo usercert.pem contém a chave pública autenticação em alguns sistemas (por exemplo CERN e outras informações importantes, MyOSG) ou para assinar documentos, como emails.
Utilizando o nome do titular do certificado e a organização à qual pertence, a identificação da CA que assinou servidor _access.grid.unesp.br_ (ou qualquer máquina com myproxy configurado), execute o certificado e comando:
<pre>
myproxy-retrieve
</pre>
Utilize a assinatura digital da CA. senha cadastrada no NCC. O papel da autoridade certificadora é fundamental, pois ela estabelece uma conexão confiável entre a identidade do usuário seu certificado e a sua chave pública. A assinatura digital da CA serão salvos no arquivo do certificado do usuário declara oficialmente diretório .globus.
Note que a chave pública presente no arquivo pertence àquele usuário. Os será salva descriptografada, o que não é recomendado. Para criptografar, utilize o comando:
<pre>
grid-change-pass-phrase
</pre>
Para importar em um navegador, você precisará converter os arquivos de certificado são codificados no em formato X.509 [3]. PEM para PKCS12. Para isso, utilize:
Os certificados digitais dos usuários e recursos do GridUnesp foram assinados pela ANSP Grid CA, a autoridade certificadora raiz da rede acadêmica paulista, gerida pela rede ANSP. A ANSP Grid CA é uma entidade reconhecida internacionalmente, sendo membro oficial do TAGPMA (The Americas Grid Policy Management Authority), o qual por sua vez pertence à federação IGTF (International Grid Trust Federation) [4]. A ANSP Grid CA, a primeira autoridade da cadeia de certificação, tem a função de criar, manter e controlar todos os certificados por ela emitidos, incluindo a revogação de certificados comprometidos ou <pre>
openssl pkcs12 -export -out cert.p12 -inkey .globus/userkey.pem -in .globus/usercert.pem -certfile /etc/grid-security/certificates/ANSPGrid.pem
</pre>
O arquivo final será *cert.p12*, criptografado com prazo de validade expirada.
Os certificados digitais foram criados no NCC, que é uma autoridade de registro ou RA (Registration Authority) reconhecida e autorizada pela ANSP Grid CA. A autoridade de registro atua como intermediário entre a autoridade de certificação e os usuários dos recursos computacionais sob sua responsabilidade, reconhecendo e validando a autenticidade de cada usuário e de cada recurso perante a autoridade de certificação, visando o cumprimento adequado das normas de segurança relativas à emissão e gerenciamento dos certificados digitais. O NCC, por sua vez, confia senha fornecida. Esse arquivo poderá ser importado nos pesquisadores responsáveis pelos projetos submetidos ao GridUnesp, os quais conhecem pessoalmente os seus usuários e confiam neles. Essa cadeia hierárquica de confiaça é fundamental, pois viabiliza a emissão de certificados digitais navegadores (necessário para todos os usuários alguns sites do GridUnesp CERN e permite manter a integridade do sistema. Vale lembrar que o GridUnesp mantém estreita parceria com a comunidade internacional; de posse de certificados digitais reconhecidos internacionalmente, OSG). Recomenda-se apagar os usuários poderão ter acesso a recursos externos. arquivos originais:
<pre>
rm .globus/user*.pem
</pre>
Pelas razões expostas, lembramos aos usuários que qualquer indício de comprometimento da segurança do h1. Deletar o certificado (suspeita de violação da chave privada) deve ser imediatamente informado à equipe de suporte técnico do GridUnesp, através do email <support@grid.unesp.br>, para que
Após exportar o seu certificado seja revogado e um novo seja emitido. O procedimento é simples e deve ser disparado sempre que como explicado acima, você pode optar por excluir o usuário suspeitar da integridade de seu certificado. A violação do certificado digital, que é de uso pessoal e intransferível, compromete a segurança dos sistemas computacionais não apenas do GridUnesp mas também de sistemas pertencentes a domínios administrativos externos à Unesp. Esse procedimento servidor MyProxy do NCC. *Essa operação é essencial para garantir a segurança de toda a infraestrutura. Os pesquisadores responsáveis por projetos devem zelar pela integridade da infraestrutura de segurança reforçando aos membros de seu grupo a guarda e uso adequados dos certificados.
Recomendamos também aos usuários a instalação do irreversível*. O certificado raiz da ANSP Grid CA em seus navegadores web, disponível em:
http://gridca.ansp.br/en/carootcert continuará válido, porém não será possível executar nenhum outro comando myproxy.
O certificado raiz da ANSP Grid CA também está disponível no repositório internacional de autoridades certificadoras acadêmicas mantido pela TERENA (Trans-European Research and Education Networking Association): <pre>
https://www.tacar.org/cert/list
Referências myproxy-logon
[1] RSA Laboratories' Frequently Asked Questions About Today's Cryptography, Version 4.1. Disponível em: http://www.rsasecurity.com/rsalabs/faq/files/rsalabs_faq41.pdf myproxy-destroy
[2] Overview of the Grid Security Infrastructure. Disponível em: http://www.globus.org/security/overview.html
[3] A. Arsenault, S. Turner, PKIK Working Group. Internet Draft. Internet X.509 Public Key Infrastructure - PKIK Roadmap. October 22, 1999.
[4] D. Simmel, S. Rea, A. Stolk, "An Introduction to The Americas Grid Policy Management Authority (TAGPMA) and the International Grid Trust Federation (IGTF)", CLCAR´12 (Conferencia Latinoamericanda de Computación de Alto Rendimiento), Ciudad de Panamá, Agosto de 2012.
R. L. Iope (Feb 2013-02-24) </pre>
Grids computacionais consistem de recursos de processamento Essa pagina visa esclarecer alguns detalhes operacionais sobre a geração e utilização de armazenamento distribuídos certificados no GridUNESP e interconectados, e visam atender SPRACE. Esses certificados são uma peça fundamental do funcionamento dos grids computacionais, em especial para a grupos sua segurança.
Explicações sobre mecanismo de usuários geograficamente dispersos. De forma geral, tanto usuários quanto recursos pertencem a domínios administrativos distintos que interagem entre si de forma cooperativa. O gerenciamento desse ambiente cooperativo certamente envolve questões de segurança, requerendo mecanismos que permitam autenticar usuários certificados e recursos e estabelecer níveis e prioridades de acesso.
Os Grids utilizam mecanismos baseados em criptografia de chave pública ou assimétrica, por que viabilizam a efetivação de propriedades eles são tão importantes relativas à proteção da informação, como sigilo, integridade, autenticidade e irretratabilidade (ou não repúdio). Tanto recursos físicos quanto usuários recebem um par de chaves distintas, em uma estrutura de uso estritamente privado e outra tornada pública. Após a geração do par grid, estão detalhados na página [[InformacaoCertificados]]
Através de chaves, a chave pública correspondente precisa ser assinada digitalmente por uma entidade certificadora confiável - e, idealmente, reconhecida internacionalmente - para confirmar parceria com a identidade ANSP, aos usuários do usuário ou do recurso computacional. Essa entidade GridUNESP/SPRACE é conhecida como autoridade de certificação ou CA (Certification Authority), e o procedimento de assinatura é chamado de emissão de emitido um certificado digital. Os certificados digitais são automaticamente, quando ele é registrado.
Para sua conveniência, esse certificado fica armazenado em um dos elementos fundamentais da infraestrutura de segurança em ambientes distribuídos e cooperativos, pois facilitam servidor MyProxy no NCC. Isso facilita a autenticação utilização do grid, permitindo o uso de usuários e recursos de organizações diferentes de modo seguro [1][2]. um simples comando myproxy-logon para obter um proxy, sem se preocupar com outros detalhes.
No ambiente Porém é importante ressaltar que esse certificado é de Grid, o arquivo de chave privada (userkey.pem) uso pessoal e
intransferível. E, caso deseje, você pode tomar algumas ações:
h1. Exportar o arquivo de certificado (usercert.pem) correspondem ao par de chaves da criptografia de chave pública. O arquivo userkey.pem (ou resourcekey.pem no caso de um recurso) contém a chave privada criptografada,
Alguns usuários podem necessitar exportar o certificado (extrair o certificado do servidor MyProxy e só pode ser decriptografada mediante o fornecimento copiar para outro computador) para utilizar como mecanismo de uma senha. O arquivo usercert.pem contém a chave pública autenticação em alguns sistemas (por exemplo CERN e outras informações importantes, MyOSG) ou para assinar documentos, como emails.
Utilizando o nome do titular do certificado e a organização à qual pertence, a identificação da CA que assinou servidor _access.grid.unesp.br_ (ou qualquer máquina com myproxy configurado), execute o certificado e comando:
<pre>
myproxy-retrieve
</pre>
Utilize a assinatura digital da CA. senha cadastrada no NCC. O papel da autoridade certificadora é fundamental, pois ela estabelece uma conexão confiável entre a identidade do usuário seu certificado e a sua chave pública. A assinatura digital da CA serão salvos no arquivo do certificado do usuário declara oficialmente diretório .globus.
Note que a chave pública presente no arquivo pertence àquele usuário. Os será salva descriptografada, o que não é recomendado. Para criptografar, utilize o comando:
<pre>
grid-change-pass-phrase
</pre>
Para importar em um navegador, você precisará converter os arquivos de certificado são codificados no em formato X.509 [3]. PEM para PKCS12. Para isso, utilize:
Os certificados digitais dos usuários e recursos do GridUnesp foram assinados pela ANSP Grid CA, a autoridade certificadora raiz da rede acadêmica paulista, gerida pela rede ANSP. A ANSP Grid CA é uma entidade reconhecida internacionalmente, sendo membro oficial do TAGPMA (The Americas Grid Policy Management Authority), o qual por sua vez pertence à federação IGTF (International Grid Trust Federation) [4]. A ANSP Grid CA, a primeira autoridade da cadeia de certificação, tem a função de criar, manter e controlar todos os certificados por ela emitidos, incluindo a revogação de certificados comprometidos ou <pre>
openssl pkcs12 -export -out cert.p12 -inkey .globus/userkey.pem -in .globus/usercert.pem -certfile /etc/grid-security/certificates/ANSPGrid.pem
</pre>
O arquivo final será *cert.p12*, criptografado com prazo de validade expirada.
Os certificados digitais foram criados no NCC, que é uma autoridade de registro ou RA (Registration Authority) reconhecida e autorizada pela ANSP Grid CA. A autoridade de registro atua como intermediário entre a autoridade de certificação e os usuários dos recursos computacionais sob sua responsabilidade, reconhecendo e validando a autenticidade de cada usuário e de cada recurso perante a autoridade de certificação, visando o cumprimento adequado das normas de segurança relativas à emissão e gerenciamento dos certificados digitais. O NCC, por sua vez, confia senha fornecida. Esse arquivo poderá ser importado nos pesquisadores responsáveis pelos projetos submetidos ao GridUnesp, os quais conhecem pessoalmente os seus usuários e confiam neles. Essa cadeia hierárquica de confiaça é fundamental, pois viabiliza a emissão de certificados digitais navegadores (necessário para todos os usuários alguns sites do GridUnesp CERN e permite manter a integridade do sistema. Vale lembrar que o GridUnesp mantém estreita parceria com a comunidade internacional; de posse de certificados digitais reconhecidos internacionalmente, OSG). Recomenda-se apagar os usuários poderão ter acesso a recursos externos. arquivos originais:
<pre>
rm .globus/user*.pem
</pre>
Pelas razões expostas, lembramos aos usuários que qualquer indício de comprometimento da segurança do h1. Deletar o certificado (suspeita de violação da chave privada) deve ser imediatamente informado à equipe de suporte técnico do GridUnesp, através do email <support@grid.unesp.br>, para que
Após exportar o seu certificado seja revogado e um novo seja emitido. O procedimento é simples e deve ser disparado sempre que como explicado acima, você pode optar por excluir o usuário suspeitar da integridade de seu certificado. A violação do certificado digital, que é de uso pessoal e intransferível, compromete a segurança dos sistemas computacionais não apenas do GridUnesp mas também de sistemas pertencentes a domínios administrativos externos à Unesp. Esse procedimento servidor MyProxy do NCC. *Essa operação é essencial para garantir a segurança de toda a infraestrutura. Os pesquisadores responsáveis por projetos devem zelar pela integridade da infraestrutura de segurança reforçando aos membros de seu grupo a guarda e uso adequados dos certificados.
Recomendamos também aos usuários a instalação do irreversível*. O certificado raiz da ANSP Grid CA em seus navegadores web, disponível em:
http://gridca.ansp.br/en/carootcert continuará válido, porém não será possível executar nenhum outro comando myproxy.
O certificado raiz da ANSP Grid CA também está disponível no repositório internacional de autoridades certificadoras acadêmicas mantido pela TERENA (Trans-European Research and Education Networking Association): <pre>
https://www.tacar.org/cert/list
Referências myproxy-logon
[1] RSA Laboratories' Frequently Asked Questions About Today's Cryptography, Version 4.1. Disponível em: http://www.rsasecurity.com/rsalabs/faq/files/rsalabs_faq41.pdf myproxy-destroy
[2] Overview of the Grid Security Infrastructure. Disponível em: http://www.globus.org/security/overview.html
[3] A. Arsenault, S. Turner, PKIK Working Group. Internet Draft. Internet X.509 Public Key Infrastructure - PKIK Roadmap. October 22, 1999.
[4] D. Simmel, S. Rea, A. Stolk, "An Introduction to The Americas Grid Policy Management Authority (TAGPMA) and the International Grid Trust Federation (IGTF)", CLCAR´12 (Conferencia Latinoamericanda de Computación de Alto Rendimiento), Ciudad de Panamá, Agosto de 2012.
R. L. Iope (Feb 2013-02-24) </pre>