Problèmes connus avec la sécurité AS2
Cette rubrique décrit les problèmes connus liés à la sécurité des solutions AS2 BizTalk Server.
Le décodeur AS2 ne valide pas le fait qu'un certificat soit configuré sur l'hôte ou pour le tiers de destination
Le décodeur AS2 déchiffre un message à condition que le certificat privé relatif à ce dernier soit configuré dans le magasin de certificats. En revanche, le décodeur AS2 ne valide pas le fait que le certificat de déchiffrement soit identique au certificat configuré sur l'hôte. Le message reçu peut être chiffré avec plusieurs certificats.
Le stockage des messages AS2 au format câble peut provoquer un problème de sécurité
Dans les cas où les certificats ne sont pas utilisés, il n'est pas recommandé de stocker les messages AS2 au format câble dans la base de données de réception de non-répudiation (NRR), sous peine d'affecter la sécurité.
Les messages ou MDN à stocker dans la base de données de réception de non-répudiation (NRR) doivent être signés
Pour garantir la non-répudiation de réception, vous devez établir l'authentification et l'intégrité des messages. La méthode recommandée pour cela consiste à utiliser une signature numérique sur le message. Par conséquent, si vous configurez les propriétés de tiers AS2 pour stocker des messages ou des MDN dans la base de données de non-répudiation, vous devez configurer les propriétés AS2 de façon à signer les messages ou MDN que vous comptez stocker.
BizTalk Server ne peut pas déchiffrer un message enregistré au format câble si le certificat n'est pas valide
Symptôme
BizTalk Server ne peut pas déchiffrer un message AS2 entrant enregistré au format câble dans la base de données de non-répudiation.
Cause possible
Le certificat requis pour déchiffrer le message a expiré ou été révoqué. La probabilité que cela se produise est supérieure si une certaine période s'est écoulée depuis l'enregistrement du message AS2 dans la base de données de non-répudiation. Si cela ce produit, il se peut que vous n'ayez pas d'accès immédiat à un certificat valide pour le message.
Résolution :
Acquérir un certificat valide pour le déchiffrement du message.
L'enveloppe interne d'un message AS2 signé ne doit pas être modifiée une fois la signature calculée
Une fois un message AS2 signé, la signature est calculée sur la base des en-têtes et de la charge de l'enveloppe interne. En cas de modification de l'enveloppe interne après le calcul de la signature, la signature est endommagée. Vous pouvez modifier les en-têtes de limite ou tout ce qui est situé à l'extérieur de ces derniers, mais pas leur contenu.
Utilisez le même nom de connexion pour l'instance de l'hôte In-process et l'instance de l'hôte isolé pour vous assurer que le magasin Personnel est reconnu
Le magasin de certificats Personnels sera disponible pour le traitement des messages uniquement si le profil utilisateur est chargé pour l'utilisateur dont les informations d'identification sont associées à l'instance hôte. Le magasin Personnel est utilisé pour les certificats de signature et de déchiffrement (la clé propre privée de l'utilisateur). Le profil utilisateur est chargé par défaut pour l'instance hôte In-process ; toutefois, il n'est pas chargé par défaut pour l'instance hôte isolé. Vous pouvez faire en sorte qu'une application charge le profil utilisateur pour l'hôte isolé. Vous pouvez également contourner ce problème en utilisant le même nom de connexion pour l'instance hôte In-process et l'instance hôte isolé.
Plutôt que de faire charger le profil utilisateur par une application, vous pouvez créer un service vide pour charger le profil. Pour plus d’informations sur la création d’un service vide, consultez Guide pratique pour créer des services Windows. Après avoir créé le service, ouvrez la boîte de dialogue Gestion de l’ordinateur, ouvrez la boîte de dialogue Propriétés du service, cliquez sur l’onglet Ouvrir une session, sélectionnez Ce compte, entrez le nom de connexion utilisé pour l’hôte isolé instance, puis cliquez sur OK. Vous pouvez démarrer manuellement le serveur pour charger le profil utilisateur de cet utilisateur de connexion.
L'attribut Utilisation de la clé d'un certificat doit correspondre à l'utilisation du certificat
Les certificats utilisés pour le transport AS2 doivent avoir les attributs requis pour l'utilisation prévue. Pour la signature et la vérification de la signature, l'attribut Utilisation de la clé du certificat doit être Signature numérique. Pour le chiffrement et le déchiffrement, l'attribut Utilisation de la clé du certificat doit être Chiffrement des données ou Chiffrement de la clé. Pour vérifier l'attribut Utilisation de la clé, double-cliquez sur le certificat, cliquez sur l'onglet Détails dans la boîte de dialogue Certificat, puis vérifiez le champ Utilisation de la clé.
La liste de résolution des certificats est vérifiée pour un MDN sortant si la propriété AS2-To n'est pas définie pour le tiers
Dans l'accord par défaut pour un MDN sortant, la vérification de la liste de résolution des certificats est effectuée. Si vous ne voulez pas que cette vérification ait lieu, vérifiez que la propriété AS2-To correcte est définie, de façon à ce que le tiers qui reçoit puisse être résolu et les propriétés du tiers déterminées. Si c'est le cas, l'accord par défaut qui invite à vérifier la liste de résolution des certificats n'est pas utilisé. Vous devez également désactiver la propriété Vérifier la liste de révocation des certificats de la page Général des propriétés de tiers AS2.