Problemi noti relativi alla sicurezza AS2
Questo argomento descrive i problemi noti relativi alla sicurezza delle soluzioni AS2 di BizTalk Server.
Il decodificatore AS2 non consente di verificare che un certificato sia configurato nell'host o per l'entità di destinazione
Il decodificatore AS2 permette di decrittografare un messaggio solo se il relativo certificato privato è configurato nell'archivio certificati. Tuttavia, non consente di verificare che il certificato di decrittografia sia identico a quello configurato nell'host. Il messaggio ricevuto può essere crittografato con più certificati.
La memorizzazione di messaggi AS2 in formato wire può comportare un problema di sicurezza
Quando non vengono utilizzati certificati, non è consigliabile memorizzare i messaggi AS2 in formato wire nel database di ricezione di non ripudio (NRR), poiché potrebbe provocare problemi di sicurezza.
I messaggi o MDN da memorizzare nel database NRR devono essere firmati
Per garantire il non ripudio della ricezione, è necessario stabilire l'autenticazione e l'integrità del messaggio applicabile. Per eseguire tale operazione, si consiglia di utilizzare una firma digitale sul messaggio. Di conseguenza, se si configurano le proprietà dell'entità AS2 per la memorizzazione di messaggi o MDN nel database di non ripudio, è necessario configurare le proprietà di AS2 per la firma di messaggi o MDN che si intende memorizzare.
BizTalk Server non consente di decrittografare un messaggio salvato in formato wire se il certificato non è valido
Sintomo
BizTalk Server non permette di decrittografare un messaggio AS2 in ingresso salvato in formato wire nel database di non ripudio.
Possibile causa
Il certificato richiesto per decrittografare il messaggio è scaduto o è stato revocato. Questa situazione si verifica in genere se è trascorso un determinato periodo di tempo dal salvataggio del messaggio AS2 nel database di non ripudio. In questo caso, è possibile che non si disponga di accesso immediato a un certificato valido per il messaggio.
Risoluzione
Acquisire un certificato valido per la decrittografia del messaggio.
La busta interna di un messaggio AS2 firmato non deve essere modificata dopo il calcolo della firma
Una volta firmato un messaggio AS2, la firma viene calcolata in base alle intestazioni e al payload della busta interna. Se la busta interna viene modificata dopo il calcolo della firma, quest'ultima risulterà danneggiata. È possibile modificare le intestazioni di limite o qualsiasi elemento all'esterno, ma non è possibile modificare gli elementi all'interno.
Utilizzare lo stesso account di accesso per le istanze host di tipo In-Process e Isolato per garantire il riconoscimento dell'archivio Personale
L'archivio certificati Personale è disponibile per l'elaborazione dei messaggi solo se il profilo utente è caricato per l'utente le cui credenziali di accesso sono associate all'istanza host. L'archivio Personale viene utilizzato per i certificati di firma e decrittazione (chiave privata dell'utente). Il profilo utente viene caricato per impostazione predefinita per l'istanza host di tipo In-process, ma non viene tuttavia caricato per impostazione predefinita per l'istanza host di tipo Isolato. È possibile fare in modo che il profilo utente per l'host di tipo Isolato venga caricato da un'applicazione. In alternativa, è possibile aggirare questo problema utilizzando lo stesso account di accesso per l'istanza host di tipo In-process e per quella di tipo Isolato.
Per caricare il profilo utente è possibile creare un servizio vuoto anziché configurare un'applicazione per tale scopo. Per informazioni sulla creazione di un servizio vuoto, vedere Procedura: Creare servizi Windows. Dopo aver creato il servizio, aprire la finestra di dialogo Gestione computer, aprire la finestra di dialogo Proprietà per il servizio, fare clic sulla scheda Accesso , selezionare Questo account, immettere il nome di accesso usato per l'istanza host isolata e quindi fare clic su OK. È quindi possibile avviare manualmente il servizio per caricare il profilo utente per l'utente connesso.
L'attributo Key Usage di un certificato deve corrispondere all'utilizzo del certificato
I certificati utilizzati per il trasporto AS2 devono disporre degli attributi richiesti per l'utilizzo desiderato. Per la firma e la verifica della firma, l'attributo Utilizzo chiave del certificato deve essere impostato su Firma digitale. Per la crittografia e la decrittografia, l'attributo Utilizzo chiave del certificato deve essere impostato su Crittografia dati o Crittografia chiave. Per verificare l'attributo Utilizzo chiave, fare doppio clic sul certificato, fare clic sulla scheda Dettagli nella finestra di dialogo Certificato e controllare il campo Utilizzo chiave.
L'elenco di risoluzione dei certificati verrà verificato per un MDN in uscita se la proprietà AS2-To non è impostata per l'entità
Nell'accordo predefinito per un MDN in uscita, viene eseguita la verifica dell'elenco di risoluzione dei certificati. Se non si desidera che questa verifica venga eseguita, controllare che sia impostata la proprietà dell'entità AS2-To corretta in modo che l'entità ricevente possa essere risolta e che sia possibile determinare le proprietà dell'entità. In questo caso, l'accordo predefinito che richiede la verifica dell'elenco di risoluzione dei certificati non verrà utilizzato. Sarà inoltre necessario disabilitare la proprietà Controlla elenco di revoche certificati nella pagina Generale delle proprietà dell'entità AS2.