12

Quero fazer uma autenticação via certificado digital em uma aplicação web.

Já consegui ler os dados do meu certificado digital que está conectado a minha máquina.

A pergunta é: "Como fazer a autenticação?".

Devo pegar a public key e serialNumber, salvar em meu banco de produção e verificar se são iguais aos dados locais?

Não sei se entendi bem, mas tem um conceito de assinar xml que acredito que seja: você salvar os dados de seu certificado em alguma AC pra depois verificar se os dados estão lá.

Resumindo tudo como é o ciclo correto para fazer a autenticação?

Desde já, Agradeço.

5
  • Você esta usando o spring security? Commented 15/12/2016 às 16:58
  • Sim @RenatoVieiraDantas Commented 16/12/2016 às 13:12
  • Veja se esse link te ajuda: baeldung.com/x-509-authentication-in-spring-security Commented 21/02/2017 às 23:13
  • Quando você diz certificado, você quer dizer e-CPF ou e-CNPJ? Commented 17/04/2017 às 19:59
  • Devo pegar a public key e serialNumber, salvar em meu banco de produção e verificar se são iguais aos dados locais? Não, o certificado tem validade, então só ele não basta. Você precisa proporcionar meios para que o usuário possa atualizar seu certificado após vencido ou utilizar um certificado oficial de identificação de pessoa como os da ICP Brasil, no caso e-cpf ou e-CNPJ. Commented 17/04/2017 às 20:01

1 Resposta 1

7

A autenticação com certificado digital funciona da seguinte forma:

O servidor, com um certificado válido, precisa solicitar um certificado válido com base em uma lista de certificados raiz pré-configurada no seu servidor web. O certificado do cliente então precisa pertencer à essa cadeia certificadora. Esse processo se chama SSL/TLS Handshake.

O TLS handshake acontece (e é concluído) antes de quaisquer solicitações HTTP são enviadas à sua aplicação. E o handshake envolve várias mensagens entre o cliente e o servidor e vice-versa.

Aqui está uma descrição mais detalhada do handshake SSL/TLS aplicado à uma situação de login.

Portanto, quaisquer solicitações SSL são enviadas somente após a camada SSL / TLS estar pronta.

Devo pegar a public key e serialNumber, salvar em meu banco de produção e verificar se são iguais aos dados locais?

Não, o serial do certificado é unico, porém o certificado tem validade, então só ele não basta. Você precisa proporcionar meios para que o usuário possa atualizar seu certificado após vencido ou utilizar um certificado oficial de identificação de pessoa como os da ICP Brasil, no caso e-CPF ou e-CNPJ. Se seu caso for utilizar o e-CPF ou e-CNPJ você pode vincular através do CPF ou CNPJ que pode ser extraído do campo "DN_CN" do certificado.

Alguns métodos utilizam um applet para criar um servidor web para realizar esse fluxo de handshake na máquina do usuário usando applet, e transportar os dados públicos do certificado de forma criptografada para a aplicação. É assim que funciona a API da Certisign Login funciona. Porém sabemos que os navegadores estão eliminando o suporte à essa tecnologia e devemos evitar implementações desse tipo para não limitar os navegadores suportados pela nossa aplicação.

A pergunta é: "Como fazer a autenticação?".

Você pode implementar de forma similar, um subdomínio configurado para solicitar o certificado, serializar essas informações e por fim criptografar essa informação, e então realizar uma comunicação com a aplicação principal e então autenticar o usuário.

inserir a descrição da imagem aqui

Esta foi a forma que eu implementei em meu projeto, o objetivo é permitir login(ou outra autorização de ação dentro da conta) ou criar a conta.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .