ADSS OCSP Server

Caracteristici

O autoritate de validare oferita de Ascertia

ADSS OCSP Server este o autoritate complexa de validare in timp real, complet conforma cu IETF RFC 2560. Serverul a fost implementat complet in Java EE pentru a oferi disponibilitate, performanta inalta si suport pentru platforme multiple. ADSS OCSP Server este denumirea comerciala a lui ADSS Server atunci cand se achizitioneaza numai serviciul OCSP.

Caracteristicile serverului OCSP includ:

Arhitectura

Hub de validare OCSP pentru autoritati de certificare (CA) multiple
La baza lui ADSS OCSP Server se afla un sistem solid de politici. O singura instanta a serverului autoritate de validare poate raspunde pentru un numar nelimitat de CA-uri (numartul este limitat numai de capacitatea serverului si a licentei achizitionate). Beneficiile utilizarii unei singure solutii hub pentru mai multe CA pot fi masurate in termeni de reducere a costurilor operationale, de hardware si software. Ofera o singura interfata coerenta pentru controlarea detaliilor regulii de validare, rezolvarea problemelelor de suport si furnizarea raportarii de management. Pentru exterior se prezinta ca un server de validare dedicat pentru fiecare CA.

Functionalitate divizata
Serviciile de baza din cadrul autoritatii de validare pot fi impartite pentru a permite serverelor separate "back-end" sa proceseze CRL-uri multiple ale autoritatii de certificare. Astfel se  permite serverelor "front-end" sa se concentreze pe gestiunea sarcinilor mari ale tranzactiei OCSP. Aceasta abordare optimizeaza performanta serverelor de infrastructura "high-end".

Fluxuri multiple de intrare
ADSS OCSP Server poate regasi informatii despre statutul certificatelor de la CA-uri folosind abordari multiple. De exemplu CRL-urile se pot regasi folosind protocoale HTTP/S si LDAP/S sau prin acces direct in timp real la baza de date a statutului certificatelor sau prin intermediul serverelor autoritatii de validare. Fiecare CA inregistratpoate fi configurat cu propria metoda. Pot fi configurate o metoda primara si una de continuare pentru a asigura ca nu exista niciun punct de esec.

Suport CRL avansat
ADSS OCSP Server manevreaza atat CRL-uri indirecte, cat si CRL-uri Delta. Modulul CRL Monitor suporta reguli multiple de validare si infrastructuri de incredere complexe.

Usor de folosit

Instalare si configurare bazata pe utilitare
O aplicatie simpla de instalare bazata pe un utilitar permite operatorilor sa configureze rapid serverul autoritatii de validare, baza de date, conturile initiale ale operatorului, ancorele de incredere si alte detalii ale serviciului. Un sistem initial de test poate fi configurat si folosit in 15 minute, fara pregatire speciala.

Management centralizat
Serverele mutiple ale autoritatii de validare care ruleaza pe masini diferite pot fi configurate si monitorizate dintr-o consola centrala.

Arhivarea automata a inregistrarilor in bazele de date
ADSS OCSP Server inregistreaza toate tranzactiile OCSP si informatiile de recuperate a CRL. Dimensiunea bazei de date poate creste in timp. Pentru a evita acest lucru se ofera o optiune de arhivare automata a inregistrarilor pentru a mentine marimea bazei de date usor de gestionat. Inregistrarile sunt securizate HMAC in serverul autoritatii de validare si sunt semnate automat la arhivare.

Performanta si disponibilitate inalta

Autoritatea de validare - Grupare
ADSS OCSP Server a fost creat pentru a fi foarte scalabil si rezilient pentru a indeplini cele mai solicitante nevoi de infrastructura. Servere multiple pot lucra concomitent folosind echilibratori standard de incarcare a retelei si pot fi stabilite site-uri secundare reziliente. HMS-urile variate de retea, platformele de sisteme si sistemele de gestiune a bazelor de date pot fi folosite la cerere pentru a indeplini strategiile IT actuale. Sunt utilizate tehnici standard ale bazelor de date pentru copierea datelor dintr-un "site de procesare" in altul.

Proces CRL Watchdog 
Cand se opereaza cu instante multiple ale serverului de autoritate de validare nu este necesara recuperarea informatiei CRL pentru fiecare instanta, de vreme ce fiecare server va folosi aceeasi informatie. Cu toate acestea este necesar un mecanism pentru a asigura o instanta "slave" care va continua procesul de recuperare CRL, in cazul in care serverul "master" nu functioneaza. Acest lucru este esential pentru a asigura ca nu exista niciun punct de esec pentru acest proces!

Gruparea cheilor de semnare
ADSS OCSP Server poate grupa chei criptografice de semnare in grupuri logice cu disponibilitate inalta. Prin urmare, daca o anumita cheie nu este disponibila (ex. nu este disponibila HMS-ul local), atunci se va folosi urmatoarea cheie din grup. Acest lucru asigura ca disponibilitatea cheii criptografice nu cauzeaza o cadere a sistemului.

Streaming CRL
ADSS OCSP Server include un serviciu "streaming" CRL de inalta performanta care importa si proceseaza rapid CRL-uri mari asigurandu-se ca este disponibila intotdeauna cea mai recenta informatie de revocare.

Republicare CRL
Optional serverul autoritate de validare poate republica un CRL recuperat intr-o destinatie selectata, de ex. pe internet pentru utilizatorii locali ca o solutie de rezerva. Autoarhivarea CRL-urilor vechi este de asemenea posibila.

Conformitate standard si interoperabilitate

Conformitate
ADSS OCSP Server este conform cu cele mai actuale cerinte de verificare RFC 6960 si CAB Forum. Serverul poate verifica daca certificatul digital a fost emis cu adevarat de autoritatea de certificare specificata (suporta definirea extinsa a revocarii conform cu RFC 6960). Acesta este o contra masura la atacurile recente asupra unor autoritati de certificare. Rezultatul atacurilor recente a fost emiterea unor certificate false.

OCSP a fost certificat de US Defense Information Systems Agency, Joint Interoperability Test Command (JITC) (sub fostul nume de piata TrustFinder OSCP). Indeplineste si cerintele extinse ale schemelor financiare de incredere ca IdenTrust si cerinte de proiect UE ca CWA 14167-1. In plus serverul de autoritate de validare de la Ascertia indeplineste urmatoarele standarde PKI: SSL/TLS, PKCS#7, PKCS#10, PKCS#11, PKCS#12, RFC5280.

Interoperabilitate
ADSS OCSP Server a fost testat cu Microsoft Certificate Server, CybertTrust UniCERT, Entrusted Authority, RSA KEON si alte CA-uri (chiar si unele particulare). In general orice CA standard poate fi folosit cu ADSS OCSP Server si CRL-uri recuperate din locatiile HTTP/S sau LDAP/S.

Suport algoritm hash
Legile din mai multe tari solicita acum utilizarea algoritmilor hash care sunt mai avansati decat SHA-1. Serverul autoritatii de validare de la Ascertia permite raspunsurilor OCSP sa fie hash-uite si semnate folosind cel mai recent set de algoritmi SHA-2, inclusiv SHA-512.

Controlul accesului

Autoritatea de validare - clienti
Modulul de control al accesului permite operatorilor sa restrictioneze accesul clientilor bazat pe urmatoarele optiuni:
1)Acces deschis pentru toti solicitantii
2)Folosirea certificatelor client SSL pentru autentificarea clientilor
3) Folosirea semnarii solicitarii OCSP pentru autentificarea clientilor
4) Folosirea verificarii adresei IP pentru autentificarea clientilor

Autoritatea de validare - operatori
Operatorii de server al autoritatii de validare sunt identificati si autentificati folosind certificate client SSL/TLS inainte de a li se permite accesul la consola GUI. Crearea completa a caii certificatelor, validarea si verificarea revocarii este realizata pe certificatul operatorului inainte de permiterea accesului.

Management flexibil al cheilor

Chei de dimensiuni mari
Sunt suportate chei asimetrice de pana la 4096 biti.

Seturi multiple de chei
Perechile multiple de chei ale autoritatii de validare pot fi generate si utilizate pentru CA-uri diferite de la aceeasi instanta server a autoritatii de validare. Cheile pot fi certificate folosind un CA intern sau printr-un server CA extern.

Reinnoire automata a certificatelor
Este posibil sa reinnoiti automat certificatele folosind modulul ADSS intern al CA. Aceasta este o caracteristica importanta care permite certificatului serverului autoritatii de validare sa aiba un timp de viata scurt (de ex. reinnoit zilnic) si astfel sa nu fie nevoie de verificarea revocarii de catre clienti.

Administrare si securitate

Autoritate de validare - identificare si autentificare (I&A)
O I&A puternica pentru aplicatiile business ale operatorilor si clientilor ADSS Server asigura ca numai entitatilor sigure le este permis accesul.

Controlul accesului
Control detaliat bazat pe roluri (RBAC) asigura ca operatorii pot accesa si vedea numai functionalitatea autorizata.

Inregistrari securizate
Activitatea detaliata a operatorului, evenimentele din sistem si inregistrarile tranzactiei sunt inregistrate in sistem. Inregistrarile sunt protejate folosind functii hash sigure. Se ofera facilitate avansata de cautare si filtrare.

Control dual
Optional puteti porni caracteristica de controlul dual pentru a va asigura ca doi sau mai multi operatori sunt necesari pentru a efectua orice schimbari ale configuratiei ADSS Server.

Verificare automata a integritatii sistemului
Verificarea si raportarea automata a tuturor configuratiilor de sistem si a inregistrarilor in baza de date sunt bazate pe un interval configurabil de actiune.

Arhivare automata
Arhiveaza automat inregistrarile bazate pe o politica configurabila pentru a mentine baza de date manevrabila. Fisierele inregistrarilor sunt semnate automat la arhivare.

Alerte in timp real
Alertele configurabile prin e-mail si/ sau SMS si/ sau SNMP pot fi trimise pentru evenimente specifice catre operatorii specifici ai serverului autoritatii de validare.

HSM-uri
ADSS Server poate functiona cu toate PKCS#11 HMS cunoscute, de ex. de la SafeNet si Thales/nCipher. ADSS Server suporta dispozitive multiple PKCS#11 in acelasi timp, inclusiv folosirea smartcard si USB Tokens. Cheile criptografice pot fi grupate pentru motive de disponibilitate ridicata.

Certificari
ADSS OCSP Server este certificat FIPS 201 si se afla pe lista #583 de produse aprobate GSA. ADSS Server este certificat confom cu cerintele CWA 14167-1 pentru credibilizarea sistemelor. Serverul poate fi utilizat de furnizorii de servicii de oferire a certificatelor calificate. Sunt suportate HSM-uri diferite care raspund cerintelor Common Criteria EAL4 si FIPS 140-2 levels 2, 3 si 4.

Raportare

Vizualizarea tranzactiilor
O caracteristica vitala pentru operatori este posibilitatea serverului autoritatii de validare de a inregistra toate cererile si raspunsurile si de a permite operatorilor sa revizuiasca tranzactiile in limba engleza astfel ca problemele sa poata fi rezolvate in cateva minute. Aceasta caracteristica este obligatorie pentru orice echipa de operatori de gestiune.

Raportarea serviciilor
Serviciul ADSS OCSP vine cu propriul modul de gestiune al rapoartelor. Acest lucru ofera capacitatea de a crea rapoarte grafice si tabelare despre toate solicitarile de servicii dintr-o perioada specificata. Rapoartele de gestiune arata numarul de tranzactii procesate, rezultatele lor, care sunt clientii principali OSCP, care certificate ale entitatii finale (tinta) au fost verificate cel mai mult etc. Rapoartele pot fi exportate in format PDF si CSV.

Cost total de proprietate scazut

Costuri reduse
Datorita arhitecturii hub-ului OCSP un singur server al autoritatii de validare poate raspunde in numele mai multor CA, reducand costurile operationale, hardware si software.

Dovezi viitoare
Este inevitabil ca cerintele de business sa nu se schimbe in timp, dar serverul dumneavoastra de securitate este in stare sa faca fata cerintelor viitoare in servicii de validare a certificatelor? ADSS Server suporta cea mai mare gama de protocoale de validare a semnaturii si de verificare a certificatului, inclusiv OASIS DSS, XKMS si SCVP. Puteti fi sigur ca sunt deja acoperite toate optiunile actuale si viitoare. Oricand aveti nevoie de un nou modul de licentiere, tot ce trebuie sa faceti este sa actualizati si sa aplicati fisierul nou de licenta - este atat de simplu!

Independenta platformei

Independenta sistemului de operare
ADSS OCSP Server este o aplicatie standard J2EE si este suportata pe o gama larga de platforme inclusiv Windows si Unix - vezi cerintele de sistem >>

Independenta bazei de date
Toate configuratiile si inregistrarile tranzactiei din ADSS OCSP Server sunt stocate intr-o baza de date. Un numar de baze de date este suportat datorita utilizarii tehnologiei Hibernate®.

Independenta HMS/ Smartcard
Toate dispozitivele criptografice PKCS#11 cunoscute (HSM-uri, smartcard-uri sau USB token) pot functiona cu serverul autoritatii de validare Validation Authority pentru a genera chei criptografice, pentru a le stoca si utiliza in dispozitivul securizat.

Independenta PKI
ADSS OCSP Server suporta standarde cu PKI deschis astfel incat sa poata lucra cu orice CA, emitent de CRL, server de autoritate de validare si depozit LDAP. Ascertia a lucrat intens pentru a elimina toate complicatiile de interoperabilitate!