FMK 2016 - Thomas Hirt - FileMaker Server SSL Zertifikate

7. FileMaker Konferenz | Salzburg | 13.-15. Oktober 2016

www.filemaker-konferenz.com

eine Einführung in die Konzepte und eine praktische Anleitung

FileMaker Server und SSL-Zertifikate


"FileMaker Server & SSL-Zertifikate", Thomas Hirt

Über den Sprecher• Studium der Biochemie und des Software Engineering

• betreut seit über 20 Jahren Kleinunternehmen und Privatkunden in Informatikbelangen, die ersten Jahre in Teilzeit, seit 15 Jahren in Vollzeit

• Geschäftsführer und Teilhaber der HRC Informatik GmbH

• Einsatz von FileMaker als Entwicklungsplattform seit 2009



Was erwartet Sie?• SSL wieso?

• Begriffsklärung

• symmetrische Verschlüsselung

• asymmetrische Verschlüsselung

• Hashing

• Wie funktionieren SSL-Zertifikate?

• Ablauf der Ausstellung eines Zertifikates

• Einsatz eines Zertifikates am Beispiel "Webserver"

• Wo erhalte ich ein SSL-Zertifikat?

• Wir lösen für FileMaker Server ein SSL-Zertifikat, Schritt für Schritt.



Wieso überhaupt SSL?• SSL

• Secure Socket Layer

• ursprünglich entwickelt von Netscape

• Verschlüsselung

• sichere Übermittlung von Informationen über Netzwerkverbindungen

• Identifikation der Teilnehmer

• Sind die beiden Endpunkte wirklich, wer sie vorgeben zu sein?

• In der Praxis wird häufig nur einer der beiden Teilnehmer identifiziert.

• Die Identifikation der Teilnehmer läuft über Zertifikate.



Was ist symmetrische Verschlüsselung?

TeilnehmereinigensichaufeinGeheimnis(einenSchlüssel)

übermitteln

verschlüsseln entschlüsseln



Was ist asymmetrische Verschlüsselung?

erzeugtSchlüsselpaar(Public&PrivateKey)

publiziertoderübermitteltPublicKey

verschlüsseltDokumentmitPrivateKey



Was ist asymmetrische Verschlüsselung?

entschlüsseltDokumentmitPublicKey

übermitteln



Berühmte Verschlüsselungs-Algorithmen• DES

• DES = data encryption Standard• symmetrisch, 1977• Schlüssellänge nur 56 Bits, heute

leicht knackbar• AES

• AES = advanced encryptionstandard

• symmetrisch, 2000, Nachfolger von DES

• Schlüssellänge 128, 160, 192, 224 oder 256 Bits

• nach heutigem Stand der Technik sehr sicher

• DSA

• DSA = digital signature algorithm

• asymmetrisch, 1991

• Schlüssellänge in der Praxis 1024 Bits

• gilt heute als relativ unsicher und veraltet

• RSA

• RSA = Rivest, Shamir und Adleman

• asymmetrisch, 1991

• Schlüssellänge in der Praxis meist 2048 oder 4096 Bits

• nach heutigem Stand der Technik sicher



Was ist Hashing?• Reduktion einer beliebigen Bit-/Zeichenfolge auf eine immer gleich lange

Bitfolge

• wird verwendet, um Identität oder Gleichheit/Verschiedenheit zu überprüfen

• Hash Algorithmen bilden eine unendlich grosse Menge an Ausgangsdokumenten in eine endliche, aber immer noch riesig grosse Menge von Bitfolgen ab

• Wahrscheinlichkeit für 2 identische Hashes muss extrem gering sein, so dass für die Praxis die Näherung gilt: "Eine Datei hat einen einzigartigen Hash."hashing

11100100100011101011101000101110

00100100100000101011101011101000

00000111111100000010101011100000



Berühmte Hash-Algorithmen• MD5

• MD = message digest

• 128 Bit Länge, notiert als 32-stellige Hexadezimalzahl

• gilt heute als unsicher

• sog. "Kollisionen" können innert Sekunden errechnet werden

• SHA1

• SHA = secure hash algorithm

• 160 Bit Länge (für Daten bis maximal 264-1 Bit Länge)

• gilt heute als ziemlich unsicher und veraltet

• SHA2 Familie

• SHA-224, SHA-256, SHA-384 und SHA-512

• Zahl im Namen deutet Länge des Hashes in Bit an



Wie funktionieren SSL-Zertifikate?[1] Die Wurzelzertifikate der CAs

CertificateAuthority(CA)

erzeugtPrivateundPublicKey

• CAisteinevertrauenswürdigeOrganisation• CAerstelltWurzelzertifikat(RootCertificate)• WurzelzertifikatwirdvonweiterenSoftwareherstellern

akzeptiertundintegriert• SoftwareherstellervertrauendemRootCertificatederCA• BenutzerderSoftwareakzeptierenZertifikate,welchevonRoot

Certificateabgeleitetsind,als"vertrauenswürdig"

CACA

erzeugtRootCertificatebasierendPublicKey



Wie funktionieren SSL-Zertifikate?[2] Zertifikat beantragen

KundeerzeugtPrivate- undPublicKeyundCertificateSigning Request(CSR)

PrivateundPublicKey

CSRenthältPublicKey sowieInformationenüberdenKunden,wiez.B.:• DomainName• E-Mail-Adresse• Firmenname• Land

übermitteltCSRanCAundbeantragtZertifikat




Wie funktionieren SSL-Zertifikate?[3] Zertifikat ausstellen

Kunde

überprüftAngabendesKunden


oberflächlicheÜberprüfung• ZugriffaufDNSManagement• ZugriffaufE-Mail-Adresse

eingehendeÜberprüfung• Identitätsnachweis(Passkopie)• Handelsregisterauszug• usw.




erstelltZertifikatsangabenausCSR


Hashverschlüsseln01001110010100001110101101010111

Hashing

CA• Zertifikatsangaben• mitPrivateKeyderCAverschlüsselterHash• VerkettungmitWurzelzertifikatderCA




Kunde CertificateAuthority(CA)

übermitteltSSLZertifikatandenKunden



Wie funktionieren SSL-Zertifikate?[4] Anwendungszwecke

Kunde

installiert&verwendetseinZertifikat

Webserver

SSLZertifikatewerdenüblicherweisefüreinenderfolgendenEinsatzzweckeerzeugt:• IdentifikationeinesServers(DNS)+VerschlüsselungderServerkommunikation• IdentifikationeinesE-Mail-AbsendersmitoderohneE-Mail-Verschlüsselung• IdentifikationeinerSofware als"authentisch"und"unverändert"• IdentifikationeinesClients(DNS)

EinSSL-ZertifikatkannimmernureinemZweckdienen.



Wie funktionieren SSL-Zertifikate?[5] Webserver

ClientPC Webserver

symmetrischverschlüsselteDatenverbindung

Clientsendet"Hello"undwünschtsichereVerbindung

Serversendet"Hallo"inkl.seinesZertifikates

ClientüberprüftdasServerzertifikat

ClientsendetneugeneriertenSessionKeyverschlüsseltmitPublicKeydesServers

ServerentschlüsseltSessionKeymitseinemPrivateKey



Wie funktionieren SSL-Zertifikate?[6] Webserver

ClientPC Webserver

symmetrischverschlüsselteDatenverbindung

Clientsendet"Hello"undwünschtsichereVerbindung

Serversendet"Hallo"inkl.seinesZertifikates

ClientüberprüftdasServerzertifikat

ClientsendetneugeneriertenSessionKeyverschlüsseltmitPublicKeydesServers

ServerentschlüsseltSessionKeymitseinemPrivateKey



Wie funktionieren SSL-Zertifikate?[6] Webserverzertifikat überprüfen

ClientPC Webserver

suche"salzburg.fm-example.at"

HALLO,hiermeinZertifikat

1. stimmtderDNS-NameimZertifikat?2. istdasZertifikatgültig?

DNSServer

findestDuunter192.35.50.237

[email protected]



Wie funktionieren SSL-Zertifikate?[6] Webserverzertifikat überprüfen

entschlüsseltverschlüsseltenHashmitPublicKeyderCA

CA

ZertifikatinAngabenundverschlüsseltenHashaufteilen

01001110010100001110101101010111Hashing

PublicKeyderCAausRootCertificateauslesen

01001110010100001110101101010111



Wo kriege ich ein SSL-Zertifikat?• Eigentlich gibt es sehr viele CAs, die SSL-Zertifikate verkaufen, ABER…

• List of supported SSL certificate types and vendors for FileMaker platformhttp://help.filemaker.com/app/answers/detail/a_id/11413/~/list-of-supported-ssl-certificate-types-and-vendors-for-filemaker-platform

• Liste enthält 7 CAs und bei jeder CA 1-5 Zertifikatstypen

• Ideen & Vermutungen zu den Gründen für die Beschränkung:

• FileMaker Go enthält nur bestimmte Root Certificates

• Verträge zwischen den CAs und FileMaker oder Apple?

• Methode zur Umgehung der Einschränkung existiert für WebDirect, FileMaker Pro & Pro Advanced, aber NICHT für FileMaker Go

• Literaturreferenz: "Beliebige SSL-Zertifikate für FileMaker Server 13 und 14", FileMaker Magazin, 201601, pp23-26



Wovon hängen die Kosten eines SSL-Zertifikates ab?

• renommierte CA vs. unbekannte CA

• berühmte, grosse CAs sind z.B. VeriSign, Comodo, Thawte oder GoDaddy

• NameCheap ist ein Wiederverkäufer grosser CA, einige Zertifikate sind viel günstiger als bei den grossen CAs direkt

• StartSSL bietet einfache Gratis-Zertifikate an

• Umfang der Identitätsprüfungen

• Zertifikate mit voll automatisierter, oberflächlicher Prüfung sind preiswert

• Zertifikate mit eingehender Identitätsprüfung benötigen menschliches Personal und sind daher teuer bis sehr teuer

• Anzahl abgedeckte Server und Anzahl DNS-Einträge

• 1 Server und 1 FQDN (Fully Qualified DNS Name) ist preiswert

• beliebig viele Server einer ganzen Domain *.example.at (Wildcard Zertifikat) ist teuer



ein SSL-Zertifikat für FileMaker Server Schritt für Schritt

• Voraussetzungen

• Kontrolle über DNS

• FQDN (fully qualified domain name) des Servers muss von den DNS Servern im Internet (und evtl. firmenintern) sauber aufgelöst werden

• fixe IP oder dynamischer DNS (DDNS) Dienst

• die in vielen Szenarios vorhandene Firewall muss Anfragen an die korrekte IP-Adresse zulassen und/oder weiterleiten
































































Adress- undZahlungsangabeneingeben…






















DomainControl

Validation































DNS-ManagementOberflächedeseigenenDNSProviders


























































• Aufräumarbeiten

• DNS-Eintrag der Domänen-Validierung wieder löschen

• Backup

• CSR

• Private Key

• Private Key Passwort

• Zertifikat

• Intermediate Zertifikate (falls vorhanden)



Vielen Dank unseren Sponsoren

Danke für das Bewerten dieses Vortrages

Presentations & Public Speaking

FMK 2016 - Thomas Hirt - FileMaker Server SSL Zertifikate