Autenticación SSL en la API del GBDS

Introducción

La API de GBDS provee autenticación SSL para la conexión entre cliente y servidor usando el protocolo TLS, habilitando una nueva capa de seguridad. Este manual cubre los procesos para habilitar la autenticación SSL en la API de GBDS.

Certificados

La autenticación SSL usando TLS requiere autenticación mutua, así que el primer paso es la generación de los certificados del cliente y del servidor, los cuales deben tener un formato válido. Los pasos para permitir la autenticación de ambos lados se explican a continuación.

Certificados del Servidor

Un archivo Keystore y un archivo Truststore deben ser creados en el servidor y ubicados en /etc/griaule/keystore. Ambos archivos deben tener formato PKCS12 (.pfx o .p12).

Las cadenas públicas de certificación de los certificados del cliente y del servidor deben ser añadidas al Truststore para permitir la autenticación.

Certificados del Cliente

Un archivo Keystore y un archivo Truststore deben ser creados en el cliente. Estos serán usados para la autenticación de la aplicación.

La cadena pública de certificación que pertenece al servidor debe ser añadida al Truststore de la aplicación cliente.

Configuración de la API

Algunos parámetros de configuración deben ser editados o añadidos para permitir la autenticación SSL en la API de GBDS. Cuando todos los parámetros estén correctamente incluidos, el servicio de la API debe reiniciarse para aplicar los cambios en el archivo de configuración.

Al habilitar la autenticación SSL en la API de GBDS, será necesaria autenticación TLS para cualquier comunicación con el puerto de la API, no existiendo posibilidad de comunicación vía HTTP.

La ruta del archivo de configuración de la API es /etc/griaule/conf/gbsapi/gbdsapi.properties y los parámetros a modificar son los siguientes:

security.require-ssl

Este parámetro define si SSL es necesario para la comunicación con la API. Su valor debe definirse como true para habilitar la autenticación SSL.

value: true

server.ssl.protocol

Este parámetro define el protocolo SSL a utilizar en la autenticación. Su valor debe definirse como TLS.

value: TLS

server.ssl.client-auth

Este parámetro define si la autenticación del cliente es necesaria para la comunicación con la API. Su valor debe definirse como need.

value: need

server.ssl.key-store

Este parámetro define la ruta al archivo Keystore que será utilizado en el servidor.

value: /etc/griaule/keystore/<keystore>.pfx

server.ssl.key-store-password

Este parámetro define la contraseña a utilizar al acceder al archivo Keystore para validación del certificado.

value: keystore password

server.ssl.trust-store

Este parámetro define la ruta al archivo Truststore que será utilizado en el servidor.

value: /etc/griaule/keystore/<trustore>.pfx

server.ssl.trust-store-password

Este parámetro define la contraseña a utilizar al acceder al archivo Truststore para validación del certificado.

value: <truststore password>