Certificates Flashcards
Per quali scopi utilizza Fortigate i certificati?
Fortigate utilizza i certificati per l’inspection SSL, la privacy (per stabilire connessioni SSL con altri dispositivi come FortiGuard) e l’autenticazione (richiedendo certificati da parte degli utenti per connettersi a Internet o alla VPN).
Quali controlli effettua Fortigate prima di trustare un certificato?
Fortigate effettua diversi controlli prima di trustare un certificato, tra cui il revocation check, il possesso del certificato della CA, le date di validità e la digital signature validation.
Quali sono i due tipi di SSL Inspection configurabili su Fortigate?
I due tipi di SSL Inspection configurabili su Fortigate sono l’inspection SSL del certificato e la deep SSL Inspection. La prima verifica l’identità dei server web utilizzando il certificato del server, mentre la seconda fa da proxy, consentendo a Fortigate di decriptare e ispezionare il traffico SSL.
Qual è la differenza tra la configurazione del traffico SSL outbound e inbound su Fortigate?
Il traffico SSL outbound è traffico tra un client interno e un server esterno, FortiGate stabilisce una connessione SSL diversa con il client e con il server.
Inbound prevede il client esterno e il server interno, in questo caso FortiGate deve avere installate chiavi SSL e certificato del server per esporlo al client
Com funziona la SSL handshake tra FortiGate e un server?
- Fortigate manda un hello message con SSL version e gli algoritmi supportati
- Server risponde con SSL version, algoritmie il suo certificato
- FortiGate sceglie i protocolli e verifica il ceritificato
- viene scambiata la chiave tramite asymmetric encryption
- Per verificare la comunicazione entrambe le parti mandano un digest della comunicazione criptata con la chiave simmetrica
Che comportamenti può avere FortiGate di fronte al certificato di un server untrusted con traffico in deep SSL inspection?
Allow: Fa passare il traffico e il certificato che viene esposto al client è firmato dalla CA_untrusted
Block: Il Fortigate interrompe la sessione
Ignore: Fa passare il traffico e espone un certificato firmato dall CA_SSL (il client non riceverà l’avviso)
Come viene effettuata la certificate revocation check da FortiGate?
Scaricando la CRL (Certificate revocation list) o utlizzando OCSP un protocollo per verificare la validità dei certificati, i certificati vengono identificati tramite serial number
Per quali motivi un certificato può essere invalido?
Expired, Revoked (CRL o OCSP), Validation timed out, Validaiton failed
Che comportamento può avere FortiGate di fronte a certificati invalidi?
Keep untrusted and allow, block, trust and allow
