הגדרת Online Responder

תמלול ההרצאה: הגדרת Online Responder

הטקסט המלא של הדקות הראשונות בהרצאה «הגדרת Online Responder» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:00

   אז אונליין ריספונדר קודם כל המנגנון הזה מכנים אותו בשפה המקצועית or אונליין ריספונדר בבסיסו נועד לקצר את זמן התגובה ואת התעבורה ברשת בכל הקשור לבדיקת המינותן של תעודות דיגיטליות.

2. 00:14

   מה זה אומר? כמו שאנחנו יודעים כשאנחנו נכנסים לאתר שמאובטח ב-SSL המערכת בודקת אם התעודה עצמה היא תעודה תקינה שלא נפסלה האם האתר הוא אתר מזויף או אתר מתחזה וכן הלאה ובעצם מודיע לנו אם האתר הזה הוא בטוח לכניסה בסופו של דבר או לא.

3. 00:33

   עכשיו מה שהיה קורה בעבר המחשבים היו סופחים אליהם את כל ה-CRL כל בעצם הסרטיפיקט רווקשן ליסט עכשיו הרשימות האלה יכולות להגיע לנפחים מאוד מאוד גדולים מה שהיווה מעמסה מאוד רצינית על רוחב הפס מה שהמנגנון של ה-Owner Responder מבצע ה-OR מה שהוא מבצע באופן מעשי זה בדיקה נקודתית רק של התעודה שהלקוח מבקש לדוגמה אם תיכנסו

4. 00:58

   עכשיו לאתר של בנק מסוים ותרצו לברר המערכת עושה את זה באופן זאת אומרת היא מבררת אם התעודה שלו היא תעודה תקינה.

5. 01:05

   במקום להוריד את כל הרשימה אליה או לסרוק את כל הרשימה היא פונה אך ורק לתעודה הספציפית של הבנק ומתשאלת רק על התעודה הספציפית הזו. במקום לבדוק את כל הרשימה אנחנו בודקים תעודה ספציפית מה שבסופו של דבר גורם למהירות תגובה הרבה יותר טובה.

6. 01:28

   עכשיו כמובן אם תעודה נפסלה ב־CRL אפשר לראות ב־CRL עצמו מתי היא נפסלה, האיידי הייחודי שלה וגם למה היא נפסלה האם פג לה התוקף האם המפתח סוכן האם מישהו עשה שימוש לא הולם בתעודה כמו שיש את זה ב-CRL גם באוליין ריספונדר נוכל לראות את זה עכשיו עוד דבר שהאוליין ריספונדר עושה למרות שלא לזה הוא נועד יהיה רשות CA שהנפיקה את התעודה

7. 01:54

   ופסלה אותה לאחר זמן לא זמינה זאת אומרת במקרה שירת כבוי או כל דבר אחר גם האוליין ריספונדר יכול לספק מענה איך זה יכול להיות מסיבה מאוד פשוטה האוליין ריספונדר כמו שנראה באמת בעוד כמה דקות סופח את הרשימות שלו את כל הרשימות לתעודות הפסולות מה-CA עצמו ובעצם יוצר אצלו כמו לוקל קאש של הרשימות האלה.

8. 02:18

   ברגע שה-CA עצמו למטה, הרשות שסרטיפיקט אסוריטי למטה אינה פעילה, האורי יכול להסתמך על הקאש שלו ולספק מענה. זה גם יכולת למרות שזה לא התפקיד הראשי שלו.

9. 02:32

   מנגנון אונליין ריספונדר שלנו בעצם מתבסס על ה-OCSP, שזה בעצם פרוטוקול Hypertext HTTP. למה הוא עושה את זה? למה הוא מסתמך דווקא על זה?

10. 02:42

    כדי שתהיה לו את היכולת לקבל דיווח על מצב תעודות דיגיטליות. מה זה אומר? זה אומר שה-CA יוכל לשלוח לו דרך הפרוטוקול הזה דו"ח מצב על כל התעודות.

11. 02:53

    כש-CA פוסל תעודה, כמו שראיתם בסרטים על-CA, כשעושים ריווק לתעודה, הוא מפרסם לפי מרחבי זמן קבועים מראש שהאדמיניסטרטור הגדיר, CRL ו-Delta CRL. את ה-CRLים האלה הוא גם יכול לפרסם בעזרת ה-IA.

12. 03:09

    אנחנו תכף נראה את זה. ל-OR, אונלנד ריספונדר. הדבר הבא שבו אנחנו נעסוק גם בשיעור הזה הוא סאן סרטיפיקייטס, אנחנו נדבר עליהם, נקנפג אותם ונטפל אותם.

13. 03:25

    אבל לפני שנעבור לסאן סרטיפיקייטס אנחנו נבצע הגדרה מהירה של אונלנד ריספונדר, כמו שהיינו, אונלנד ריספונדר, מנגנון באמת שאמור להקל עלינו מאוד גם מבחינת תעבורה, רוחב פס ו-CRL, לא לספוך את כל ה-CRL, לתשל רק לגבי התעודה הספציפית שאנחנו צריכים,

14. 03:41

    זה באמת מה שאנחנו נעשה כרגע, ההגדרה היא מאוד פשוטה, מאוד מאוד קצרה יחסית, ולכן מיד ניגש למלאכה. לטובת ההדגמה, אני הכנתי פה שלושה שרתים, שרת מספר אחת דומן קונטרולר, שרת מספר שתיים שלנו הוא שרת אונליין ריספונדר, ושרת שלוש הוא שרת CA. יפה מאוד.

15. 04:16

    זה השרת שלנו, שרת ה-DC. שרת DC גם במקרה הזה ישמש, נכון זה נשמע קצת מצחיק, גם כקליינט, אנחנו נעשה בדיקות עם ה-DC שלנו, שימו לב שם הדומיין אקאונטס לוקאל בדרך כלל יש בפרקטיקיו לאב אבל מכיוון שזה ממחשב אחר שלי יש לי פה את הדומיין אקאונטס לוקאל.

16. 04:38

    הייפ יש לנו 10.0.0.1 אפשר לראות וזה מבט כללי על השרת עצמו. אוקיי הדבר הראשון שיהיה עלינו לעשות זה לגשת לשרת שמשמש אותנו כשרת CA הנה שרת ה-CA שלנו שרת מספר 2 ולהתחיל לבצע את המלאכה להתקין את ה-CA.

17. 05:02

    זה ה-basics, לפני שאנחנו מתקינים ב-online-responder הוא צריך לעבוד עם מול CA, צריך להתקין את ה-CA הזה וזה מה שאנחנו עושים עכשיו.

18. 05:11

    אנחנו ניגש ונתקין לנו כאן underpriced CA, ניתן לזה לעשות את ה-collecting data, מיד לאחר שזה עשה collecting data, הכפתור הזה ייפתח, שימו לב, add wars.

19. 05:24

    מצוין. נקיש על next, נבחר Certificate Services, הראשון ברשימה, ונתקין לנו את הרשות שלנו, רשות ה-CA, Certificate Authority, אני גם אתקין פה אונליין ריספונדר לטובת הדגמה המאוחרת יותר של הסאן סרטיפיקייט כי אנחנו נבקש סאן סרטיפיקייט דרך אונליין ריספונדר כרגע אתם לא יודעים מה זה סאן סרטיפיקייט

20. 05:44

    אבל לא נורא אני אבחר אנדל פרייס סי איי רות סי איי ראש המערך קריא את הניו פרייבט קי אלפא 48 זה בהחלט מספיק כדי להגן על המפתח שלנו אקאונט סי איי סי איי כן זה שמה קצת מצחיק אבל לא נורא אני כרגע אזרום עם הדיפולט את זה אני אשנה כיוון שזה רות סי איי ונתקין כמובן זה לא שיעור בנושא התקנת סי איי אבל מי מכם שכן רוצה ולא סגור על הנושא יכול באמת

21. 06:23

    לראות סרטים של מרי יונתן רבזין בנושא. הסרט שאנחנו כרגע מבצעים והרצאת הוידאו הזו היא בעצם השלמה נוספת לעוד יכולות של סרטיפיקט אסורטי, סרטיפיקט סרוויסיס בסופו של דבר.

22. 06:37

    זאת אומרת קונפיגרציה של הון ריספונדר, סאונד סרטיפיקייט, אנחנו נראה דומיין ווייד סרטיפיקייט שזה גם משהו, אומנם אני לא ממליץ להשתמש בזה אבל גם נראה את זה, היום נדבר על זה.

23. 06:48

    ובסרטים נוספים אנחנו נוכל לראות גם CA delegation, האצלת סמכויות, ונדבר על המאפיינים השונים בתוך מאפייני ה-CA שלנו, גם זה בסרט נפרד, אבל כל דבר בעיתו.

24. 07:04

    בינתיים אני כרגע מבצע פה את ההתקנה של ה-CA שלנו. בזמן שאנחנו מבצעים את ההתקנה הבסיסית, אנחנו נעבור לשרת ה-Online Responder, זה שרת 3 ברשימה שלנו, כי אפשר לראות פה את האנימציות שהוספתי, זה לא מעניין אף אחד, אני אעלים את זה, ואני אגש לשרת 3, הוא אמור להיות ה-Online Responder Server ואנחנו ניגש ל-Server

25. 07:26

    Manager ונתקין את ה-Online Responder. כמובן, נכון שאמרתי שצריך CA כדי לעבוד עם Online Responder אבל אני כרגע מתקין אך ורק את תפקיד הבסיס ללא שום קונפיגרציה, ללא שום הכנסה לפעילות ולכן אני יכול לעשות את זה גם ללא ה-CA כרגע.

26. 07:43

    בזמן שהוא מתקין אני פשוט חוסך זמן ומתקין גם את תפקיד ה-Online Responder. שוב, Certificate Services, אך הפעם אנחנו נבצע בחירה אך ורק של ה-Online Responder ולא של Certificate Authority.

27. 08:00

    יפה מאוד. אונליין רספונדר שימו לב אונליין רספונדר מקס סטיפיקט רווקיישן צ'קינג דאטה אקססיבל טו אקליינטס אין קומפלקס נטוורק אנבווירמנטס האמת זה אפילו לא מעט ממה שהוא עושה דיברנו כבר בהקדמה על מה שהמנגנון הנפלא הזה עושה אנחנו נוכל באמת להתקין אותו כרגע נתקין את כל תתי הפיצ'רים שהמערכת דורשת מה שכן יש סיכון אחד לגבי אונליין ריספונדר מכיוון שהמערכת

28. 08:25

    מתשאלת אותו כשקליינטים באים ומתשאלים אותו לגבי תעודה ספציפית יכולה להיות פנייה מרובה מאוד של קליינינג זה כל פעם תעודה ועוד תעודה ועוד תעודה ועוד תעודה והכל נקודתי אז בגלל שהוא עונה נקודתית לכל קליינט וקליינט יכול להיות מצב מאוד מאוד טוב ששרד פשוט מותש בגלל מספר הבקשות הרב ולכן לפעמים טוב לקנפג

29. 08:45

    ri זה אומר מערך כמה שרתי אונליין ריספונדר יחד שרולקים ביניהם את העומס זו גם אפשרות יפה מאוד. הקונפיגרציה כרגע רצה וניתן לזה באמת לסיים את תהליך ההתקנה.

30. 09:01

    נעבור לשרת ה-CA שלנו בינתיים ונראה אם הוא סיים את תהליך ההתקנה שלו. הנה שרת, איזה שרת בואו נראה אני קצת ברח לפה העניין זה ה-CA יפה. קונפיגרינג ברגע שנסיים את הקונפיגרינג אנחנו נוכל להתקדם הלאה.

31. 09:28

    עכשיו הסיבה שאני מתקין CA זה בגלל שמכדי שהאונליין רספונדר יוכל לעבור הוא צריך תעודה דיגיטלית מאוד מאוד ייחודית ואנחנו בעצם ננפיק לו את התעודה הזאתי תעודה לשימוש האונליין רספונדר דרך ה-CA דרך סרטיפיקט טמפלייט זו גם קונפגרציה שנצטרך לבצע עוד דבר שאנחנו נצטרך לבצע זה בעצם ההוראה לרשות ה-CA שלנו

32. 09:51

    לפרסם את ה-CRL וה-Delta-CRL ואם נרצה בכך לאונליין רספונדר זה קלאוז מצוין עכשיו שימו לב למשהו מאוד מעניין, אם תפתחו פה את ההרחבה של העץ זה לא יופיע ולכן אני ממליץ פשוט לסגור את כל ה-Server Manager ולפתוח אותו מחדש או לחלופין Administrative Tools ו-Certificate Authorities.

33. 10:18

    ככה זה חוסך המון המון כאב ראש מיותר. אנחנו נגדיל פה את החלון, נעבוד בצורה מסודרת ונתחיל לעבוד. השלב הראשון שאנחנו נעשה זה להנפיק תעודת שימוש ל-Online Responder שלנו.

34. 10:30

    כדי לעשות את זה אני ניגש פה ל-Certificate Template ולוחץ על Manage, בתוך Manage אני מגיש על אות O ואני רואה OCSP מוכר לכם המצגת זה בעצם אותו מנגנון שמסתמך על הפרוטוקול היפרטקסט ומה שאני אבצע כרגע זה אני אלחץ לחצן ימני דופליקייט טמפלייט אני אשכפל את הטמפלייט ל-2008 אני אתן לה שם חדש הסיבה שאני

35. 10:39

    משכפל את הטמפלייט זה כדי שאני אוכל לעשות קונפיגרציה מותאמת אישית בלי לפגוע במקור יש גם תעודות מסוימות שמוגנות לגמרי על ידי שינוי או כל קונפיגרציה אחרת לפני שאנחנו עושים להם דופליקייט.

36. 11:12

    ולכן אני מבצע את הדובליקט. אני אתן לזה עכשיו שם של OCS Persponse, סיינינג, חתימה בעצם פה, תודה מאוד ייחודית ל-Online Responder 2011, שם שאני נתתי.

37. 11:24

    אנחנו נפרסם את התודה באקטיב הרקטורי, וניגש ל-Security, וניתן לשרת Online Responder שלנו את הזכות לעשות אין-רול או אוטו אין-רול, תלוי באיזה קונפיגרציה אתם רוצים להשתמש בחברה.

38. 11:36

    אני אגש פה ל-Object Types, ואני אאשר פה Computers. אני אבטל את האחרים כדי שנוכל לעבוד בצורה זריזה ואני אכתוב לו כאן אור. אור זה השם המחשב שנתתי לאונליין ריספונדר שלנו.

39. 11:48

    שימו לב, ה-checknames מיד עבד לי. אני כרגע אבחר את אור ואני אתן לו enroll ו-auto enroll. auto enroll הוא לא חובה אלא אם כן אתם רוצים לקנפג איך אומרים enrollment אוטומטי זה אומר שיש שם מחשב יעלה הוא יקבל כבר את התעודה ולא יצטרך לעשות בקשה ידנית.

40. 12:06

    אני כרגע אאשר את שניהם, אין צורך את שניהם אם אתם עושים את זה בצורה ידנית, אני אראה את זה בצורה ידנית הפעם בהדגמה הזו, אין צורך לעבוד בצורה אוטומטית.

41. 12:19

    יפה, ברגע שעשינו והשארנו את ההגדרות, אני לרצתי אוקיי והשארתי את הטמפלייט. אבל שימו לב, מה שנמצא ב-manage זה בעצם ארסנל התעודות האפשרי, הטמפלייטים האפשריים של סוגי התעודות הדיגיטליות השונות.

42. 12:32

    מה שנמצא פה בסטטיפיקט טמפלייט זה התעודות שבפועל השרת הזה מוסמך לחלק השיא הזה מוסמך לחלק ולכן כדי להוסיף לארסנל הזה את התעודה שתהיה ברת חלוקה שיצרנו כרגע אני אלחץ לחצן עם אני New Certificate Template to Issue ואני אבחר מתוך הרשימה את התעודה הדיגיטלית החדשה שלנו שימו לב OCSP Response Signing 2011 מצוין הנה התעודה שלנו זה שלב

43. 13:01

    ראשון השלב השני יהיה לגשת לה שרת CA עצמו מאפיינים ותחת ארבע Extensions לבחור פה את ה-IA ככה אני קורא לה, תכל'ה זה Asserted Information Access ופה חשוב מאוד שנעשה משהו מאוד מאוד מאוד מאוד מהותי שימו לב אני כרגע ניגש כאן ועושה Add ואני מוסיף פה את הכתובת ה-HTTP של שרת ה-Online Responder שלנו OR אני קורא לזה ופה OCSP

44. 13:42

    מצוין, ואני עושה אוקיי, וכאן אני בא ולוחץ לו כאן include OCSP extensions, רואים את זה? מסמן את ה-checkbox הזה, ועכשיו מה שהשרת הזה בעצם יעשה הוא בעצם ייתן גם את ההעתק של כל מה שנפסל וכן הלאה לשרת אונליין ריספונדר שלנו.

45. 14:02

    שימו לב, ה-v הזה הוא חובה. אני עושה אפליי, ועכשיו אנחנו צריכים לעשות ריסטארט לסרוויס של ה-CA. הנה אנחנו עושים ריסטארט לסרוויס של ה-CA, מצוין.

46. 14:16

    ובצד ה-CA כרגע, אנחנו סיימנו בצד ה-CA, מאוד פשוט כמו שאמרתי התהליך התקנה מאוד מאוד straight forward הוא לא מסובך ואנחנו ניגש כרגע לשרת האונליין ריספונדר שלנו הנה הוא שרת האונליין ריספונדר גם הוא סיים ועכשיו אנחנו נצטרך לבקש את התעודה הדיגיטלית בצורה ידנית.

47. 14:39

    עכשיו שימו לב אני כאן הולך להראות לכאורה שגיאה מכוונת כי הרבה מכם ייתקלו בזה ולכן אני מעדיף להראות את זה עכשיו מאשר לדעת לכם לשבור את הראש אחר כך. זה כרגע מוסיף פה את הסרטיפיקיט סנאפין דרך MMC וכן כבר יודעים מה זה בשלב הזה תחת לוקל