J’ai récemment eu à mettre en place un système d’identification par certificats pour une application web qui permet aux clients d’une des sociétés pour lesquelles je travaille de venir consulter le ou les contrats d’entretien qu’elles ont signé [1] et le retour des interventions qui leur ont été prestées afin qu’elles aient un moyen de suivi de ces dernières. Etant donné le caractère confidentiel des données diffusées sur internet, il est important de garantir une sécurité lors de la mise à disposition des informations afin que personne d’extérieur aux sociétés concernées ne puisse consulter les données, ni qu’une société puisse puisse consulter les informations d’une autre. Bref, j’ai décidé de mettre en place un mécanisme d’autentification des clients par certificat afin de garantir la non-divulgabilité des informations.

J’ai donc mis au point cette solution sur un serveur Gentoo Linux avec apache 2.

Les objectifs à remplir pour ce petit projet sont donc :

• Utiliser une encryption SSL/TLS de haut ou moyen niveau au niveau transport (TCP)
• Le navigateur du client doit utiliser SSLv3 ou TLSv1, mais pas SSLv2
• Demander un nom d’utilisateur et mot de passe pour certains sous-répertoires
• Apprendre à utiliser les certificats TLS
• Créer des certificats pour les clients et les demander pour certains répertoires

Note :

Ce document assume que vous utilisez une version de Linux [2], d’Apache 2.0.xx et d’OpenSSL. Autres présomptions :

• Ce système sera utilisé sur Internet [3]
• Votre configuration DNS est correcte. (hostname=FQDN, enregistrements PTR corrects, etc)
• Vous avez une seconde machine avec un browser moderne pour réaliser des tests

[1] A savoir pour la petite histoire que c’est une société qui propose des contrats d’entretien pour les systèmes de chauffage/climatisation/ventilation
[2] Il convient donc d’adapter quelque peu les commandes à suivre en fonction de votre distribution
[3] Malgré le fait qu’il puisse également être utilisé sur l’intranet, mais quel intérêt ?