Nozioni fondamentali di Microsoft Cloud PKI

Microsoft Cloud PKI è una funzionalità di Intune Suite che consente ai professionisti IT di gestire l'infrastruttura a chiave pubblica (PKI) nel cloud. È possibile creare, configurare e gestire le proprie autorità di certificazione (CA) e i propri certificati senza dover installare e mantenere l'infrastruttura locale. Il servizio Microsoft Cloud PKI si integra con Microsoft Entra ID e Microsoft Intune per fornire la gestione delle identità e dei dispositivi per i dispositivi e le app basate sul cloud.

Questo articolo descrive le nozioni fondamentali e i concetti PKI che è necessario conoscere quando si configura Microsoft Cloud PKI. È consigliabile esaminare tutte le informazioni prima di configurare il servizio Microsoft Cloud PKI nel tenant di Intune.

Tipi di Autorità di certificazione

Un'Autorità di certificazione esegue i seguenti compiti:

• Verifica l'identità di un richiedente di certificati
• Rilascia certificati ai richiedenti
• Gestisce la revoca dei certificati

Microsoft Cloud PKI supporta questi tipi di autorità di certificazione:

• CA radice
• CA emittente

Autorità di certificazione radice

Un'Autorità di certificazione (CA) radice è la CA più in cima a una gerarchia di CA. In un'infrastruttura PKI, la CA radice funge da punto di trust per i certificati emessi dalle CA nella gerarchia. Il certificato è considerato attendibile se può essere rintracciato attraverso la gerarchia della CA fino a una CA radice considerata attendibile da un utente, un computer, un dispositivo di rete o un servizio.

Una CA radice è univoca in quanto il certificato è autoemesso, ovvero il nome dell'autorità emittente e il nome del soggetto contengono lo stesso nome distinto. L'unico modo per verificare se un certificato radice è valido o meno consiste nell'includere il certificato CA radice in un archivio radice attendibile. L'archivio radice attendibile contiene il certificato CA radice effettivo per indicare che il certificato è attendibile.

La CA radice può rilasciare certificati ad altre CA o a utenti, computer, dispositivi di rete o servizi della rete. Quando la CA radice rilascia un certificato a un'altra entità, il certificato CA radice firma il certificato con la propria chiave privata. La firma protegge dalla modifica del contenuto e indica che la CA radice ha rilasciato il certificato.

Autorità di certificazione emittente

Una CA emittente è una CA subordinata a un'altra CA e può:

• Rilasciare certificati ad altre CA nella gerarchia CA.
• Rilasciare certificati foglia a un'entità finale come un server, un servizio, un client o un dispositivo.

La CA emittente può esistere a qualsiasi livello della gerarchia della CA, ad eccezione del livello della CA radice.

Concatenamento

Il concatenamento è il processo per capire qual è il percorso di attendibilità migliore per un determinato certificato che deve essere verificato e considerato attendibile. Ogni sistema operativo o servizio esegue questo processo computazionale generalmente noto come motore della catena di certificati.

Il processo di costruzione della catena consiste in:

• Individuazione dei certificati: ricerca del certificato CA emittente di un certificato foglia dell'entità finale fino al certificato CA radice attendibile.
• Convalida certificato: crea tutte le possibili catene di certificati. Convalida ogni certificato nella catena rispetto a vari parametri, ad esempio nome, ora, firma, revoca e potenzialmente altri vincoli definiti.
• Restituisce la catena della qualità migliore.

Quando un certificato viene presentato per la verifica, un motore della catena di certificati esamina l'archivio certificazioni e seleziona i candidati certificati intermedi e radice. Potrebbe essere necessario più di un certificato intermedio per formare una catena completa.

Il motore della catena di certificati tenta di selezionare i certificati utilizzando l'identificatore della chiave oggetto (SKI) e l'identificatore della chiave dell'autorità (AKI). Un certificato di entità finale emesso da una CA Microsoft contiene l'AKI, quindi il motore della catena di certificati deve selezionare un certificato intermedio con uno SKI corrispondente. Il processo si ripete fino a quando non viene enumerato un certificato autofirmato.

Processo di convalida della catena

In Windows esistono tre processi di convalida della catena: corrispondenza esatta, corrispondenza chiave e corrispondenza nome.

• Corrispondenza esatta: se l'estensione AKI contiene l'oggetto, il numero di serie dell'autorità emittente e il KeyID, nel processo di creazione della catena vengono scelti solo i certificati padre che corrispondono all'oggetto, al numero di serie e al KeyID.

• Corrispondenza chiave: se l'estensione AKI contiene solo il KeyID, solo i certificati che contengono un KeyID corrispondente nell'estensione Subject Key Identifier (SKI) vengono scelti come emittenti validi.

• Corrispondenza nome: la corrispondenza dei nomi si verifica quando non esistono informazioni nell'AKI o se l'estensione AKI non è presente nel certificato. In questo caso, il nome del soggetto del certificato emittente deve corrispondere all'attributo emittente del certificato corrente.

Per i certificati che non contengono campi SKI e AKI, il motore di concatenamento tenta di utilizzare la corrispondenza dei nomi per creare una catena. Quando si dispone di due certificati con lo stesso nome, viene selezionato quello più recente.

L'individuazione dei certificati viene avviata quando l'elemento padre immediatamente superiore non è locale nel computer. Il client utilizza questo processo per recuperare i certificati padre mancanti. Gli URL visualizzati nel campo di accesso alle informazioni sull'autorità del certificato vengono analizzati e utilizzati per recuperare i certificati CA padre. Il processo è simile al download dei CRL.

Dopo la creazione della catena, vengono eseguiti i controlli seguenti su ogni certificato della catena:

• Controlla che sia formattato e firmato correttamente. Esegui un controllo hash del certificato.
• Controllare i campi Da e A nel certificato per verificare che non sia scaduto.
• Verificare se il certificato viene revocato.
• Verifica che la catena termini in un certificato che si trova nell'archivio radice attendibile.

Il certificato e la relativa catena sono considerati validi dopo che tutti i controlli sono stati completati e restituiscono con successo.

Una catena di certificati con un elenco ordinato di certificati consente alla relying party di verificare che un mittente sia attendibile. Funziona in entrambi i sensi, da client a server e da server a client.

Il diagramma seguente illustra il flusso di convalida della catena di corrispondenza dei nomi .

Garantire una catena di fiducia

Quando si usano i certificati per eseguire l'autenticazione basata su certificati, è necessario verificare che entrambe le relying party dispongano della catena di certificati di firma (chiavi pubbliche) della catena di attendibilità. In questo caso, le relying party sono il dispositivo gestito da Intune e il punto di accesso all'autenticazione, ad esempio Wi-Fi, VPN o servizio Web.

Deve essere presente la CA radice. Se il certificato di firma emittente non è presente, può essere richiesto dalla relying party usando il motore della catena di certificati nativo per la piattaforma del sistema operativo prevista. La relying party può richiedere il certificato CA emittente utilizzando la proprietà di accesso alle informazioni dell'autorità del certificato foglia.

Autenticazione basata sui certificati

In questa sezione vengono fornite informazioni di base sui vari certificati usati quando un client o un dispositivo esegue l'autenticazione basata su certificati.

La procedura seguente descrive l'handshake che si verifica tra un client e un servizio relying party durante l'autenticazione basata su certificato.

1. Il client invia una qualche forma di pacchetto hello alla relying party.
2. La parte relying party risponde affermando di voler comunicare tramite TLS/SSL sicuri. Il client e la relying party eseguono l'handshake SSL e viene stabilito un canale sicuro.
3. La relying party richiede l'utilizzo di un certificato per l'autenticazione client.
4. Il client presenta il proprio certificato di autenticazione client alla relying party per l'autenticazione.

In un ambiente senza Microsoft Cloud PKI, un'autorità di certificazione privata è responsabile dell'emissione del certificato TLS/SSL usato dalla relying party e del certificato di autenticazione del client del dispositivo. Microsoft Cloud PKI può essere usato per emettere il certificato di autenticazione del client del dispositivo, sostituendo in modo efficace la CA privata per questa attività specifica.