5.15. Procédure d’exploitation pour la révocation des certificats SIA et Personae¶
Cette section fait référence au chapitre Intégration d’une application externe dans Vitam.
La version 1.10.0 (« R8 ») apporte une nouvelle fonctionnalité permettant la révocation des certificats SIA et Personae afin d’empecher des accès non autorisés aux API VITAM (vérification dans la couche https des CRL).
Le fonctionnement de la validation des certifcats VITAM SIA et Personae par CRL est le suivant :
- Le système VITAM récupère le CRL d’un CA qui a émis le certificat présent dans VITAM, via le point d’API suivant : http://{{hosts-security-internal}}:{{vitam.security_internal.port_admin}}/v1/api/crl
Prudence
La CRL fournie doit être obligatoirement au format DER (cf. http://www.ietf.org/rfc/rfc3280.txt »>RFC 3280: Internet X.509 Public Key Infrastructure Certificate and CRL Profile)
- Le système va contrôler tous les certificats (collections identity.Certificate et identity.PersonalCertificate) émis par le “IssuerDN” correspondant à la CRL en vérifiant si ces derniers sont révoqués ou non. Si c’est le cas, alors Le système VITAM positionne le statut du certificat révoqué à “REVOKED”. Cela a pour conséquence le rejet de tout accès aux API VITAM avec utilisation du certificat révoqué (les filtres de sécurité émettront des exceptions dans les journaux de log).
- Une alerte de sécurité est émise dans les journaux en cas de révocation.
5.15.1. Procédure de révocation¶
La prise en compte d’une CRL par le système VITAM s’effecture via la commande suivante:
curl -v -X POST -u {{ admin_basic_auth_user }}:{{ admin_basic_auth_password }} http://{{hosts-security-internal}}:{{vitam.security_internal.port_admin}}/v1/api/crl -H 'Content-Type: application/octet-stream' --data-binary @/path/to/crl/my.crl
Note
Un retour arrière est possible en modifiant le statut du certificat directement dans la base MongoDB (collection identity.Certificate), en passant le champ “Status” de “REVOKED” à “VALID”.