Sécurisation des canaux par la fonction TLS

Le protocole TLS (Transport Layer Security) sécurise la communication entre les gestionnaires de files d'attente et avec leurs clients.

Pourquoi et quand exécuter cette tâche

Concepts TLS

Il existe plusieurs méthodes de sécurisation d'une connexion TLS :

  • Authentification : les gestionnaires de files d'attente ou les clients qui lancent une connexion TLS sont assurés de l'identité du gestionnaire de files d'attente ou du client auquel ils sont connectés, et les gestionnaires recevant les connexions peuvent vérifier l'identité du gestionnaire ou du client lançant la connexion.
  • Confidentialité des messages : grâce à une clé de session unique, TLS, s'il est configuré à cette fin, crypte toutes les informations échangées sur la connexion. Ainsi, les informations ne pourront être lues si elles sont interceptées par des utilisateurs non autorisés.
  • Intégrité des messages : les données ne peuvent pas être modifiées pendant leur transfert.
  • Chaîne d'autorité de certification : chaque certificat de la chaîne d'autorité de certification (CA) est signé par l'entité identifiée par son certificat parent dans la chaîne. En tête de la chaîne figure le certificat de l'autorité de certification racine. Le certificat racine est toujours signé par l'autorité de certification racine. Les signatures de tous les certificats de la chaîne doivent être vérifiées.

Généralités

La sécurité est établie en deux étapes, comme décrit ci-après.

Procédure

  1. Quand deux gestionnaires de files d'attente établissent une connexion, ils procèdent à un échange de certificats TLS, puis effectuent les tests de validation. En cas de réussite, la connexion est établie. Vous devez pour cela configurer les deux gestionnaires de files d'attente et les canaux qu'ils utilisent avec les certificats appropriés.
  2. Quand des messages sont envoyés par un gestionnaire de files d'attente vers un autre via un canal, ses données sont généralement cryptées à l'aide de la clef de session qui a été définie pendant l'échange de certificats. Il faut pour cela configurer les canaux utilisés avec les CipherSpecs appropriés.

Résultats

Séquence détaillée

Voici une séquence caractéristique de connexion TLS simple entre les gestionnaires de files d'attente QM1 et QM2 :

  1. QM1 se connecte à QM2.
  2. Le certificat personnel utilisé par QM2 est envoyé à QM1.
  3. QM1 authentifie le certificat personnel auprès de la chaîne de certificats de l'autorité de certification.
  4. QM1 vérifie, en option, la révocation des certificats si le protocole OCSP (Online Certificate Status Protocol) est pris en charge sur la plateforme de serveur. Pour plus d'informations sur le protocole OCSP, voir : Utilisation du protocole OCSP (Online Certificate Status Protocol).
  5. En option, QM1 peut vérifier le certificat personnel en le comparant à la liste de révocation de certificat. Pour plus d'informations, voir : Configuration de la sécurité TLS sur les gestionnaires de files d'attente.
  6. En option, QM1 peut appliquer un filtre de manière à accepter uniquement les certificats personnels correspondant aux noms d'homologue définis. Pour plus d'informations, voir : Configuration de canaux TLS.
  7. QM1 (si l'authentification s'est déroulée correctement) accepte le certificat personnel envoyé par QM2.
  8. La connexion sécurisée est alors établie.

Pour plus de sécurité, QM2 peut demander un certificat à QM1 ; dans ce cas, les étapes suivantes sont déclenchées :

  1. QM1 envoie à QM2 son certificat personnel attribué.
  2. QM2 effectue les vérifications (étapes 3, 4, et 5) indiquées précédemment.
  3. QM2, si l'authentification s'est déroulée correctement, accepte le certificat personnel envoyé par QM1.

La connexion sécurisée est alors établie.

Pour plus d'informations, voir Securing dans l'IBM Knowledge Center.