Cosa Facciamo Richiesta di certificati TLS

Modalità per la richiesta di certificati TLS, chi può richiederli e dati necessari

Richiesta di certificati TLS

A seguito del recente cambio di Certification authority da parte di Geant e del GARR da Sectigo ad Harica siamo stati costretti a rivedere le procedure di richiesta certificati al fine di adattarle alle funzionalità offerte dalla nuova piattaforma.

Bel seguito sono riportate delle istruzioni di esempio per effettuare la richiesta e ricevere un certificato TLS per i domini *.unifi.it

Chi può richiedere un certificato TLS

Dal momento che la richiesta di un certificato TLS presuppone l'esposizione di un servizio con un nome di dominio relativo all'Ateneo è necessario che il richiedente del certificato sia:

• Un Dirigente, Direttore di Dipartimento, Presidente di Scuola al quale afferisca il dominio per cui si richiede il certificato TLS e che il server che eroga il servizio sia afferente alla propria struttura
• Un referente strutturato di un server registrato in Ateneo che richiede per il nome di dominio associato al server stesso il certificato (se referente di più server o di alias di uno stesso server, la richiesta di certificato può contenere anche i SAN aggiuntivi)

Dati da fornire per la richiesta di un certificato

I dati da fornire per la richiesta di un certificato sono i seguenti:

• nome a dominio (i.e. mioservizio.unifi.it)
• SAN aggiuntivi (i.e. www.mioservizio.unifi.it, mioservizio2.unifi.it)
• Motivazione della richiesta (i.e. esposizione di sito web, esposizione di servizio, autenticazione server)
• Accettazione delle condizioni di rilascio

Procedura da seguire per la richiesta

La procedura di compone di 3 passaggi:

1. Inserimento di un ticket su assistenza.unifi.it usando la terna Sicurezza -> Certificati TLS -> Richiesta relativa a certificati unifi.it riportando le informazioni sopra citate
2. Registrazione dell'utente sulla piattaforma di certificazione (da effettuarsi solo la prima volta)
3. Inserimento di una richiesta di certificato e successivo recupero del certificato

Registrazione dell'utente sulla piattaforma di certificazione

Registrarsi su https://cm.harica.gr/ utilizzando Academic Login e quindi le credenziali uniche di Ateneo oppure in caso di problemi creare un utente locale con Sign-Up inserendo la mail @unifi.it per essere associati correttamente all'Ateneo.

Attivare opzionalmente (ma consigliato) l'autenticazione multifattore.

Inserimento di una richiesta di certificato e successivo recupero del certificato

Una volta regitrati e fatto login al servizio scegliere la voce Server nel pannello di sinistra sotto Certificate Requests.

Si aprirà una schermata in cui sono richiesti il friendly name (opzionale) ma che vi consigliamo di inserire. Normalmente si utilizza il nome del dominio, ma può essere anche un identificativo vostro che vi aiuta a ricordare la natura del certificato. Di seguito un esempio di certificato per siaf.unifi.it

Possono essere aggiunti dei SAN ulteriori fino ad un massimo di 20. Nel caso precedente sono 2 (siaf.unifi.it e www.siaf.unifi.it). 

Premere Next

A questo punto viene richiesto il tipo di certificato. Sono disponibili certificati DV e OV, gli EV non sono disponibili perché a pagamento. Selezionate il tipo di certificato e premete Next.

Successivamente viene mostrata una schermata con le informazioni dell’organizzazione. Potete premere Next.

Segue una schermata di riepilogo in cui dovete accettare la privacy policy per poter continuare con Next.

Se avete una CSR (generata con chiavi >= 2048 bit) la potete usare, altrimenti potete far generare al portale chiave privata e CSR. Seguiremo questa seconda strada per completezza selezionando “Auto-generate CSR” ed accettando la privacy policy ulteriore ed inserendo una password per cifrare la chiave CHE NON SARA’ IN ALCUN MODO RECUPERABILE.

Attenzione perché la chiave è cifrata con la password e per renderla fruibile ad esempio in Apache sarà necessario generare una chiave senza password di cifratura, usando ad esempio il comando:

openssl rsa -in privateKey.pem -out PrivateKey-nopwd.pem

A questo si chiede di generare chiave e CSR ed inviare l’ordine con il pulsante apposito.

Essenziale a questo punto scaricare la chiave con il Download link.

Sulla vostra Dashboard apparirà la nuova richiesta.

Non appena sarà validata da uno degli amministratori del portale sarà possibile scaricare il certificato in vari formati.

Per ulteriori informazioni si rimanda al wiki del GARR: https://tcs-docs.aai.garr.it/ ed alla documentazione di Harica: https://guides.harica.gr/