Newsgroup: it.comp.sicurezza.varie
Titolo: Web applications, SSL e Certificati

Se avete pazienza, e dimestichezza con problemi intricati, questo post
fa per voi.
Per gli altri... beh, essere curiosi in questo caso non ucciderà
nessuno!
Ecco il mio grande problema: Web applications, SSL e Certificati
 Il tutto gira su macchine Windows 2003 Server e IIS6. Le applicazioni
sono un mix di 
ASP.NET
 1.1 e 2.0.
Le applicazioni web sono acchittate in 2 differenti architetture, una
INTRANET ed una INTERNET.
L'architettura INTRANET (local) comprende le seguenti web
applications:
- wa1.local residente sul webserver srv.ws1.local
- wa2.local residente sul webserver srv.ws2.local
L'applicazione principale è wa2.local e richiama wa1.local tramite un
link. Il protocollo di trasporto è HTTP.
L'architettura INTERNET (extern) riutilizza la web application
wa1.local su srv.ws1.local associando a srv.ws1.local un ip pubblico
con relativo dominio su dns pubblico: 
extern.ws-2.it
.
Oltre a wa1.local vengono utilizzate le web applications:
- wa3.extern, che risiede sul server 
extern.ws-1.it
- wa3.local che risiede sul server 
extern.ws-2.it
 (come wa1.local)
L'applicazione principale è wa3.extern che è composta da un frameset
da cui viene richiamata wa3.local e ques'ultima va a richiamare
wa2.local.
Quindi ricapitolando:
INTRANET
- wa1.local on srv.ws1.local (main application)
- wa2.local on srv.ws2.local
INTERNET
- wa3.extern on 
extern.ws-1.it
 (main application)
- wa3.local on 
extern.ws-2.it
 (srv.ws1.local)
- wa2.local on 
extern.ws-2.it
 (srv.ws1.local)
Il tutto, funziona correttamente su HTTP.
A questo punto nasce la necessità di mettere sutto sotto HTTPS
installando i certificati come da schema:
- srv.ws1.local (
extern.ws-2.it
 ): cert1.local
- srv.ws2.local (
extern.ws-2.it
 ): cert1.local
- 
extern.ws-1.it
 : cert1.extern
 E qui nascono i problemi...
L'architettura INTRANET funziona senza problemi. I certificati, anche
se su server differenti, hanno lo stesso nome: cert1.local. Quindi
richiamando l'applicazione wa2.local da wa1.local non si crea nessun
conflitto di identità del certificato. Anche se penso che il conflitto
non nasca in quanto wa2.local non è inclusa in wa1.local tramite frame
o iframe.
I problemi nascono invece nell'architettura INTRANET. Dove wa3.extern
nasce come applicazione INTERNET ed è composta da 3 frame. Uno come
intestazione, uno come menù ed uno di contenuto. Il frame "menù" va a
richiamare l'applicazione wa3.local dal server 
extern.ws-2.it
 a cui è
stato applicato in certificato cert1.local. Questo miscuglio di
certificati non sembra dar fastidio ne a IE, ne a IIS6.
Successivamente wa3.local, sempre dal frame menù, va a richiamare una
sua pagina nel frame "contenuto" che, tramite procedura server-side,
va a richiamare l'applicazione wa2.local generando quest'errore:
    The underlying connection was closed: Could not establish trust
relationship for the SSL/TLS secure channel
Penso che sia un problema di certificati, ma non sono sicuro....
Per essere più preciso, non ho idea di cosa voglia dire tecnicamente
questo messaggio, e non so nemmeno come si comportano i certificati in
una situazione del genere, in cui applicazioni diverse, incluse una
nell'altra, fanno riferimento a server diversi con diversi
certificati.
Non riesco a spiegarmi perché wa3.extern e wa3.local dialogano tra di
loro senza problemi nonostante abbiano certificati diversi e
SOPRATTUTTO con wa3.local inclusa tramite frame in wa3.extern. E poi
non mi spiego perché wa3.local non riesca a richiamare server-side
(tramite indrizzo interno) la wa2.local nonostante abbiamo lo stesso
certificato (cert1.local), anche se, però, wa3.local viene richiamata
da un frame di wa3.extern con il certificato cert1.extern.
Lo so, in prima lettura non è una situazione semplice...
Aspetto fiducioso i vostri suggerimenti,
Ciao!!!!!

 wrote in message,
1193261223.7...@v23g2000prn.googlegroups.com
[cut all]
ho letto tutto
ma faccio fatica a capire tutte le matrioske.
ti spiace mandarmi all'indirizzo mail in firma
l'url del tuo sito lato internet ?
-- 
Edoardo Benussi - 
e...@mvps.org
Microsoft® MVP - Windows Server
http://mvp.support.microsoft.com