SSL certifikáty v IIS 8 - vyšší výkon a zjednodušení

Co je noveho v IIS 8?

Na prvni pohled vypada nove verze weboveho serveru stejne, jako predchudce. Tim se vsak nenechte zmast, protoze zmeny se odehraly hlavne "pod poklickou".

Hlavni vylepseni v IIS 8:

• Vylepseni HTTPS a prace s certifikaty
• Lepsi skalovani SSL
• IIS CPU Throttling (lepsi vyuziti CPU)
• Podpora sifrovaneho FTP (ochrana proti brute force utokum)
• Podpora protokolu WebSockets (obousmerny prenos dat)
• SNI (Server Name Indication)
• Central Certificate Store (centralni a spolecne uloziste certifikatu)
• Vykonnejsi "Web Hosting" store - zabira mene pameti
• Dynamic IP restrictions (lepsi dynamicka blokace IP, vhodne zejm. proti DoS utokum)
• FTP logon restrictions
• Open Web platform (webove standardy)
• Application Initialization

Nas samozrejme zajima zejmena vylepseni prace se SSL certifikaty a SSL/TLS protokolem. Microsoft zrejme vyslysel pripominky administratoru a vyrazne zjednodusil spravu SSL certifikatu pod IIS 8. Nova verze IIS 8 umoznuje napriklad centralni uloziste certifikatu. Dale prichazi s podporou SNI, Central Certificate Store a Web hosting store; tyto funkce jsou nejen prinosem z pohledu spravy, ale i vykonu serveru a vyuzitych prostredku.

Pojdme si tedy popsat jednotlive novinky, tykajici se prace se SSL certifikaty a SSL/TLS protokolu.

SNI (Server Name Indication)

SNI rozsiruje funkcnost weboveho serveru a odstranuje nutnost pouziti samostatne IP adresy pro SSL certifikat. Drive se pred ustavenim zasifrovane komunikace klient se serverem nedokazal domluvit na domene, kterou chce navstivit. Server musel klientovi predlozit certifikat nahodne nebo prvni v poradi dle konfigurace, coz bylo vetsinou nespravne a zpusobilo bezpecnostni varovani v prohlizeci navstevnika. Resenim tohoto problemu bylo napriklad nastaveni jineho portu, nez 443, nebo pouziti certifikatu s podporou vice domeny, napriklad SSL certifikatu se SAN (DNS) nazvy.

Pozadavek na konkretni domenu nebyl puvodne ani v protokolu HTTP, k specifikaci HOST v hlavicce doslo az ve verzi HTTP 1.1. SNI je mozno oznacit za ekvivalent HTTP 1.1 hlavicky pro SSL protokol. S vyuzitim SNI tedy neni nutne prirazovat kazdemu certifikatu IP adresu ci nestandardni port. Prohlizec serveru oznami predem, ktery certifikat chce obdrzet.

Technicteji muzeme SNI definovat jako rozsireni TLS protokolu, ktere umozni zahrnout (virtualni) domenu do SSL negociace (ustaveni SSL spojeni). Virtualni domena ci hostname muze pouzito k identifikovani TCP koncoveho bodu, coz je IP adresa a prislusny port.

Jedinou nevyhodou SNI je fakt, ze Internet Explorer v systemu Windows XP neni s SNI kompatibilni.

Central Certificate Store

Central certificate store je revolucni ulehceni ve sprave SSL certifikatu. Misto ukladani certifikatu na jednotlivych serverech je nyni mozne certifikaty ukladat na jednom miste ve formatu PFX.

Format PFX je, jak jiste vite, uloziste certifikatu vcetne privatniho klice. V jednom souboru je tedy vse, co je pro nasazeni certifikatu potreba. Nyni muzete certifikat v PFX souboru ulozit na jakekoliv uloziste souboru a libovolne mnozstvi serveru na toto uloziste odkazat. Tim usetrite cas i praci, protoze jedno uloziste muze pouzivat napriklad cela serverova farma.

Server si prislusny certifikat v Central certificate store najde podle nazvu, ktery jste mu dle prislusne konvence pridelili. Diky nazvu pozna, pro jakou domenu je certifikat urcen, a vybere vzdy ten nejspecifictejsi. Napriklad pokud bude ve "storu" certifikat pro danou domenu a tez hvezdickovy Wildcard certifikat, vybere ten "specificky" pro konkretni domenove jmeno.

Web Hosting store

Web hosting store je uloziste certifikatu, ktere funguje prakticky stejne, jak znamy Personal store. Vyhodou jsou vsak vylepseni vykonu. Uloziste setri pamet serveru a dokaze nacitat certifikaty rychleji. Jak je to mozne?

Certifikaty ulozene v Personal store se vzdy nacitaji vsechny. Pokud server potrebuje pouze jeden certifikat, musi nacist vsechny certifikaty ve storu. To znamena az minutove prodlevy pri nacitani, a hlavne mnoho vyuzite pameti serveru. Uloziste je tedy vhodne spise pro mensi pocet certifikatu.

S novym ulozistem server nacte pouze jeden konkretni certifikat a setri tak systemove prostredky a cas.

Ve znameni osmicek

Nove IIS 8 se nebojim oznacit za revolucni z pohledu prace s HTTPS a SSL certifikaty. Tematice tohoto weboveho serveru se budeme v budoucnu dale venovat a prineseme vam zajimave navody a postupy.

Vyhod IIS 8 muzete vyuzit i vy

Mate-li zajem vyzkouset vyse uvedene vyhody v praxi a pouzivat pro svuj webovy projekt nejmodernejsi technologie Microsoft, doporucuji webhosting Windows. Sluzby bezi na posledni verzi Windows Serveru 2012 s IIS 8 a nahrazuji drivejsi verzi Windows Server 2008 R2.