4

Estou tentando implementar no Apache a autenticação através de PKI com certificados digitais armazenados em token/smart card.

Estou utilizando o XAMPP 5.6.8.0-VC11 em um computador com Windows 7.

Seguindo o que descobri pesquisando na internet, descomentei as seguintes configurações do arquivo httpd-ssl.conf nas configurações do Apache:

SSLVerifyClient require
SSLVerifyDepth  10

A partir daí, ao acessar https://localhost, o navegador (IE 11, Chrome 43 e FF 38) exibem a tela de seleção do certificado digital (uso um e-CPF no padrão ICP-Brasil, armazenado em token) e solicita a senha.

Após digitar a senha e pressionar ENTER, o comportamento nos navegadores é o seguinte:

No IE, me é apresentada uma página com a mensagem :

Esta página não pode ser exibida.

No FF, fica carregando a página indefinidamente.

No Chrome, é exibida a mensagem:

A autenticação com base no certificado falhou ERR_BAD_SSL_CLIENT_AUTH_CERT

e clicando em "detalhes" aparece:

Este servidor exige um certificado de autenticação e não aceitou o que foi enviado pelo navegador. O seu certificado pode ter expirado ou o servidor não confia no emissor dele. Tente novamente com um certificado diferente, se tiver um, ou será preciso obter um certificado válido de outro lugar.

Já testei diversas configurações adicionais que encontrei na internet, mas nada funciona. Também já alterei as Opções da Internet do Windows referentes a SSL e TSL, também se sucesso.

Gostaria de descobrir como implementar a autenticação com certificado digital para um sistema de login mais seguro que esté em desenvolvimento.

Alguém já passou por isso ou sabe como solucionar a questão?

2
  • O seu servidor Apache reconhece o certificado raiz do ICP-Brasil? A princípio você precisa baixar o(s) certificado(s) raiz da ICP-Brasil e configurar seu servidor para aceitar especificamente certificados emitidos por essa CA em particular (caso contrário, como o webserver saberia quais certificados são válidos e quais não são?). Não tenho experiência com esse tipo de configuração, mas essa página (em inglês) parece dar uns exemplos.
    – mgibsonbr
    Commented 11/06/2015 às 19:53
  • Achei um script legal que gera o bundle da ICP aqui: gist.github.com/skarllot/9663935
    – chuckedw
    Commented 6/05/2022 às 1:04

1 Resposta 1

3

Problema resolvido. A partir do link indicado pelo mgibsonbr cheguei a outros sites e descobri que o que faltava era realmente indicar para o Apache qual a cadeia de certificação aceitável.

Fiz isso criando um arquivo ca-bundle e indiquei o caminho dele na diretiva SSLCACertificateFile em httpd-ssl.conf

Para criar o ca-bundle, baixei toda a cadeia de certificação (no caso da Certisign), abri no Notepad cada um dos arquivos *.cer, copiei o texto e coloquei num arquivo ca-bundle.crt, também no Notepad. O único cuidado, seguindo as orientações obtidas, foi de colocar cada um dos *.cer na ordem reversa da cadeia, ou seja, o *.cer root da ICPBrasil foi o último.

Assim, o navegador passou a aceitar o certificado do cliente (após reiniciar o Apache), porém informou que o certificado do servidor não era confiável (estava usando o certificado padrão do xampp). Para corrigir isto, adicionei o server.crt como certificado confiável na máquina do cliente (o repositório foi o de Autoridades de Certificação Raiz Confiáveis).

Agora a batalha é pegar os dados do certificado do cliente para usar na autenticação.

4
  • Colega, como você passa os dados do certificado do cliente para o servidor de aplicação? Isto é, como a aplicação sabe quem foi autenticado no caso de um e-CNPJ? Commented 2/01/2017 às 20:25
  • 1
    Poderia compartilhar seu ca-bundle com a ordem dos certificados? Estou tentando acertar aqui mas a caixa de seleção não exibe estes certificados apenas um outro certificado que tenho da GlobalSign Commented 4/04/2017 às 15:16
  • 1
    Para ver como pegar os dados da autenticação veja aqui: pt.stackoverflow.com/questions/139462/… Commented 4/04/2017 às 18:01
  • 1
    No PHP com Apache2, depois que você conseguiu configurar o certificado certinho para passar pelo Apache2, é possível visualizar todas as chaves do certificado na $_SERVER. No caso, consegui através da chave SSL_CLIENT_S_DN_CN, que contém RAZAO_SOCIAL_DA_EMPRESA:CNPJ.
    – chuckedw
    Commented 6/05/2022 às 1:04

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .