• Introducción:
• ¿Qué es SSL?
• ¿Qué son los certificados SSL
• Capa de conexión segura (SSL)
• Seguridad de la capa de transporte (TLS)
• Cómo funciona SSL
• Diversas topologías de SSL en Oracle Apps R12
  • Una sola implementación de servidor web SSL en Oracle Apps R12
  • Pasos que se deben seguir al optar por el terminador SSL con las aplicaciones de Oracle R12
  • Pasos para el cifrado de extremo a extremo con configuración Passthrough en Load Balancer
  • Configuración de la base de datos requerida

Introducción:

• Los datos entre el navegador web y el servidor web viajan sin cifrar en la aplicación R12, por lo que el sniffer puede rastrear la contraseña y otra información. Pueden obtener su nombre de usuario/contraseña o cualquier dato confidencial. Esto se vuelve crítico cuando tiene acceso a Internet a las aplicaciones de Oracle
• Con la implementación de SSL, los datos viajan en formularios cifrados y solo el navegador web y el servidor web pueden descifrarlos. La implementación requiere el certificado SSL y la configuración en el entorno R12 según la configuración

¿Qué es SSL?

SSL y TLS son el protocolo criptográfico que garantiza la privacidad entre las aplicaciones que se comunican y sus usuarios en Internet

Qué son los certificados SSL

SSL utiliza 2 tipos de Certificados:

Certificados de usuario:

Son Certificados emitidos a servidores o usuarios para acreditar su identidad en un intercambio de clave pública/clave privada.

Certificados de confianza:
Estos son certificados que representan entidades en las que usted confía, como autoridades de certificación que firman los certificados de usuario que emiten.

Capa de conexión segura (SSL)

SSL es una tecnología que define las funciones esenciales de autenticación mutua, cifrado de datos e integridad de datos para transacciones seguras. Se dice que el intercambio de datos entre el cliente y el servidor en tales transacciones seguras utiliza la capa de conexión segura (SSL).

Seguridad de la capa de transporte (TLS)

Transport Layer Security es un protocolo criptográfico que garantiza la privacidad entre las aplicaciones que se comunican y sus usuarios en Internet. Si bien SSL es compatible con todas las versiones de Oracle Application Server, TLS requiere un mínimo de Application Server 10.1.2.0. Oracle Applications Release 12 admite el uso de SSL y TLS.

Cómo funciona SSL

1. El cliente envía una solicitud al servidor utilizando el modo de conexión HTTPS.
2. El servidor presenta su certificado digital al cliente. Este certificado contiene la información de identificación del servidor, como el nombre del servidor, la organización y la clave pública del servidor y la firma digital de la clave privada de CA
3. El cliente (navegador web) tiene las claves públicas de todas las CA. Descifra la clave privada del certificado digital. Esta verificación demuestra que el remitente tenía acceso a la clave privada y, por lo tanto, es probable que sea la persona asociada con la clave pública. Si la verificación sale bien, el servidor se autentica como servidor de confianza.
4. El cliente envía al servidor una lista de los niveles de cifrado, o cifrados, que puede usar.
5. El servidor recibe la lista y selecciona el nivel de cifrado más fuerte que tienen en común.
6. El cliente cifra un número aleatorio con la clave pública del servidor y envía el resultado al servidor (que solo el servidor debería poder descifrar con su clave privada); ambas partes luego usan el número aleatorio para generar una clave de sesión única para el cifrado y descifrado posterior de los datos durante la sesión

De los pasos anteriores queda claro que necesitaremos un certificado digital para el servidor web y usamos la billetera Oracle en 10.1.3 para almacenar el certificado

Diversas topologías de SSL en Oracle Apps R12

La implementación de SSL dependerá de la topología de la implementación de R12. Estoy aquí destacando todos los principales. Esto es válido para la implementación R12.0 y R12.1.

• Una única implementación de servidor web.

Esto es bastante simple. Necesitaremos el certificado digital para el servidor web. Los pasos son sencillos. El tráfico entre el navegador web y el servidor web se cifrará

• Tener un equilibrador de carga que sirve a 2 o más servidores web lo hace un poco complicado

En este caso, podríamos tener las siguientes opciones

1. Cifrado de tráfico de extremo a extremo

Todo el flujo de tráfico, es decir, desde el navegador hasta el balanceador de carga y desde el balanceador de carga hasta el servidor web está encriptado

Hay dos formas de hacerlo

(a) Configuración de transferencia :El equilibrio de carga en este caso no descifra/cifra el mensaje. Solo pasa el tráfico al servidor web

(b) Descifrado/cifrado :El balance de carga en este caso descifra el tráfico en el nivel del balanceador de carga y luego lo cifra nuevamente y lo envía al servidor web que nuevamente lo descifra

2) Terminador SSL:el tráfico entre el navegador web y el balanceador de carga solo está encriptado. El balance de carga actúa como un terminador SSL y termina el SSL en el nivel del balanceador de carga y pasa el tráfico sin cifrar al servidor web. Tiene los siguientes beneficios.

Los pasos para realizar la configuración en cada topología se dan a continuación

Un SSL de implementación de servidor web único en Oracle Apps R12

Paso 1

Establezca su entorno

1. Inicie sesión en el nivel de la aplicación como el usuario del sistema operativo propietario de los archivos del nivel de la aplicación.
2. Obtenga su archivo de entorno de nivel de aplicación (APPS.env) ubicado en el directorio APPL_TOP.
3. Navegue a $INST_TOP/ora/10.1.3 y busque el archivo .env para configurar sus variables 10.1.3 ORACLE_HOME.

Nota:cuando trabaje con billeteras y certificados, debe usar los ejecutables 10.1.3.

Nota importante

Si está utilizando clientes (JRE 8, algunos navegadores modernos) u Oracle Database 12c, debe realizar lo siguiente:

– Actualice FMW 10.1.3 a 10.1.3.5
– Aplique la CPU de octubre de 2015 (parche 21845960).

Paso 2

Crear una billetera

1. Navegue al directorio $INST_TOP/certs/Apache.
2. Mueva los archivos de billetera existentes a un directorio de respaldo en caso de que desee volver a usarlos en el futuro.
3. Abra el administrador de Wallet como un proceso en segundo plano:

$ owm &

En el menú de Oracle Wallet Manager, vaya a Wallet>Nuevo.

Responda NO a:Su directorio de billetera predeterminado no existe. ¿Desea crearlo ahora?

La nueva pantalla de billetera ahora le pedirá que ingrese una contraseña para su billetera

Introduce la contraseña y recuérdala

Se ha creado una nueva billetera vacía. ¿Desea crear una solicitud de certificado en este momento?

Después de hacer clic en "Sí" en la pantalla Crear solicitud de certificado aparecerá

Rellene los valores apropiados donde:

Seleccione su país de la lista desplegable y, para el tamaño de clave, seleccione 2048 como mínimo. Haga clic en Aceptar.

Nota:Dependiendo de su proveedor de certificados, es posible que no acepten la solicitud de certificado (CSR) basada en MD5 generada por Oracle Wallet Manager (OWM). Por ejemplo, VeriSign ahora solo aceptará CSR basados ​​en SHA12048 bits o superiores. En tales casos, deberá convertir el CSR MD5 en un CSR adecuado basado en SHA1.

Haga clic en el certificado solicitado

Deberá exportar la solicitud de certificado antes de poder enviarla a una autoridad certificadora.

1. Haga clic en Certificado [Solicitado] para resaltarlo.
2. En el menú, haga clic en Operaciones>

Solicitud de certificado de exportación

1. Guarde el archivo como server.csr
2. En el menú, haga clic en Monedero y luego haga clic en Guardar.
3. En la pantalla Seleccionar directorio, cambie el Directorio a su directorio de billetera totalmente calificado.
4. Haga clic en Aceptar.
5. En el menú, haga clic en Monedero y marque la casilla Inicio de sesión automático.

Asegúrese de que esta contraseña sea algo que recordará. Necesitará usar la contraseña cada vez que abra la billetera con Oracle Wallet Manager o realice operaciones en la billetera usando la interfaz de línea de comandos. Con el inicio de sesión automático habilitado, los procesos enviados por el usuario del sistema operativo que creó la billetera no necesitarán proporcionar la contraseña para acceder a la billetera.

1. Salga de Wallet Manager.

El directorio de la billetera ahora contendrá los siguientes archivos:

cwallet.sso
ewallet.p12
server.csr

Ahora puede enviar server.csr a su autoridad de certificación para solicitar un certificado de servidor

Paso 5

Importe su certificado de servidor a la billetera

Después de recibir su certificado de servidor de su autoridad de certificación, deberá importarlo a su billetera. Copie el certificado en tech.crt en el directorio de la billetera en su servidor mediante uno de los siguientes métodos:

1. ftp el certificado (en modo binario)
2. copie y pegue el contenido en server.crt

Siga estos pasos para importar tech.crt a su billetera:

1. Abrir Wallet Manager como un proceso en segundo plano:

$ owm &

1. En el menú, haga clic en Monedero y luego en Abrir.
2. Responda Sí cuando se le solicite:

Su directorio de billetera predeterminado no existe.

¿Quieres continuar?

1. En la pantalla Seleccionar directorio, cambie el Directorio a su directorio de billetera totalmente calificado y

haga clic en Aceptar

1. Ingrese la contraseña de su billetera y haga clic en Aceptar.
2. En el menú de Oracle Wallet Manager, vaya a Importación de operaciones

Certificado de usuario.

Los certificados de servidor son un tipo de certificado de usuario. Dado que la autoridad certificadora emitió un certificado para el servidor, colocando su nombre distinguido (DN) en el campo Asunto, el servidor es el propietario del certificado, por lo tanto, el "usuario" de este certificado de usuario.

1. Haga clic en Aceptar.
2. Haga doble clic en server.crt para importarlo.
3. Guarde la billetera:
4. En el menú de Oracle Wallet Manager, haga clic en Monedero.
5. Verifique que la casilla Inicio de sesión automático esté marcada.
6. Haga clic en Guardar

Nota:Si todos los certificados de confianza que componen la cadena de server.crt no están presentes en la billetera, se producirá un error al agregar el certificado. Cuando se creó la billetera, los certificados de las CA más comunes (como VeriSign, GTE y Entrust) se incluyeron automáticamente. Comuníquese con su autoridad certificadora si necesita agregar su certificado y guarde el archivo provisto como ca.crt en el directorio de la billetera en formato base64. Otra opción es seguir las instrucciones que se dan a continuación para crear ca.crt a partir de su certificado de servidor (server.crt). Si su autoridad de certificación proporcionó un certificado intermedio (para completar la cadena), guarde el archivo proporcionado como intca.crt en un formato Base64, deberá importarlo a Oracle Wallet Manager antes de importar el servidor.crt. Los certificados que constan de varias partes (como el tipo P7B) también entrarían en esta categoría

Creación de su Certificado de Autoridad de Certificación

Para crear ca.crt

1. Copie tech.crt a su PC (si es necesario) usando uno de los siguientes métodos:

ftp (en modo binario) tech.crt a su PC, copie el contenido de server.crt y péguelo en el bloc de notas de la PC. Guarde el archivo como servidor.crt

1. Haga doble clic en server.crt para abrirlo con la extensión Cyrpto Shell.
2. En la pestaña Ruta de certificación, haga clic en la primera línea (superior) y luego en Ver certificado.
3. En la pestaña Detalles, haga clic en Copiar a archivo, esto iniciará el asistente de exportación.
4. Haga clic en Siguiente para continuar.
5. Seleccione X.509 codificado en Base64 (.CER) y haga clic en Siguiente.

1. Haga clic en Examinar y navegue hasta el directorio de su elección.
2. Ingrese ca.crt como nombre y haga clic en Aceptar para exportar el certificado.
3. Cerrar el asistente.
4. Copie ca.crt nuevamente en el directorio de su billetera (si es necesario) usando uno de los siguientes métodos:

ftp (en modo binario) ca.crt en el directorio de la cartera de su aplicación, copie el contenido de ca.crt y péguelo en un archivo nuevo en el directorio de la cartera de su aplicación mediante un editor de texto. Guarde el archivo como ca.crt

Si hay un certificado intermedio, expórtelo también usando la misma técnica

Pasos detallados para importar el certificado con capturas de pantalla

owm &

Luego haga clic en billetera -> abrir

Haga clic en sí

Ingrese la ruta completa del directorio de la billetera

Ingrese la contraseña de la billetera

Operaciones ahora:Importar certificado de usuario

Alternativamente, también puede agregar el certificado usando el comando orapki

monedero orapki añadir \
-monedero . \
-certificado_confiable \
-certificado ca.crt \
-pwd

monedero orapki añadir \
-monedero . \
-certificado_de_confianza \
-cert int.crt \
-pwd

orapki wallet add \
-wallet .\
-user_cert \
-cert tech.crt \
-pwd

Paso importante
Si necesita importar el certificado CA, también deberá agregar el contenido del archivo ca.crt al archivo b64InternetCertificate.txt ubicado en el directorio 10.1.2 ORACLE_HOME/sysman/config:

$ gato ca.crt>> <10.1.2 ORACLE_HOME>/sysman/config/b64InternetCertificate.txt

Si también se le proporcionó un certificado intermedio (intca.crt), también deberá agregarlo a b64InternetCertificate.txt:
$ cat intca.crt>> <10.1.2 ORACLE_HOME>/sysman/config/b64InternetCertificate .txt

Paso 6

Modificar la billetera OPMN

1. Navegue al directorio $INST_TOP/certs/opmn.
2. Cree un nuevo directorio llamado BAK.
3. Mueva los archivos ewallet.p12 y cwallet.sso al directorio BAK que acaba de crear.
4. Copie los archivos ewallet.p12 y cwallet.sso del directorio $INST_TOP/certs/Apache al directorio $INST_TOP/certs/opmn.

Paso 7

Actualice el archivo Cacerts de JDK

Oracle Web Services requiere que el Certificado de la Autoridad Certificadora que emitió su certificado de servidor (ca.crt del paso anterior) esté presente en el archivo cacerts de JDK. Además, algunas funciones de XML Publisher y BI Publisher requieren que esté presente el certificado del servidor (server.crt del paso anterior).

Siga estos pasos para asegurarse de que se cumplan estos requisitos:

1. Navegue al directorio $OA_JRE_TOP/lib/security.
2. Haga una copia de seguridad del archivo cacerts existente.
3. Copie sus archivos ca.crt y server.crt en este directorio y emita el siguiente comando para asegurarse de que cacerts tenga permisos de escritura:

$ chmod u+w cacerts

Paso 8

Actualizar el archivo de contexto

Utilice E-Business Suite – Editor de contexto de Oracle Applications Manager (OAM) para cambiar las variables relacionadas con SSL como se muestra en esta tabla:

Paso 9:ejecutar la configuración automática

La configuración automática se puede ejecutar mediante el script adautocfg.sh en el directorio de nivel de aplicación $ADMIN_SCRIPTS_HOME.

Artículos relacionados

Configuración automática

Pasos para ejecutar la configuración automática en la aplicación R12, incluida la base de datos y el nivel de la aplicación

ubicación de las plantillas de configuración automática de las aplicaciones de Oracle y cómo personalizar la plantilla para los archivos de configuración automática

Paso 10:reiniciar los servicios de nivel de aplicación

Utilice la secuencia de comandos adapcctl.sh en el directorio $ADMIN_SCRIPTS_HOME para detener y reiniciar los servicios Apache de nivel de aplicación.

Pasos que se deben seguir al optar por el terminador SSL con las aplicaciones de Oracle R12

No es necesario crear e instalar un certificado en el servidor web. El certificado se instalará en el terminador SSL. En este caso, solo tenemos que configurar el parámetro del archivo de contexto que se indica a continuación

Ejecutar configuración automática

La configuración automática se puede ejecutar mediante el script adautocfg.sh en el directorio de nivel de aplicación $ADMIN_SCRIPTS_HOME.

Reiniciar los servicios de nivel de aplicación

Utilice la secuencia de comandos adapcctl.sh en el directorio $ADMIN_SCRIPTS_HOME para detener y reiniciar los servicios Apache de nivel de aplicación.

Pasos para el cifrado de extremo a extremo con la configuración Pass Through en Load Balancer

1) Deben ejecutarse todos los pasos dados para un solo servidor web.

2) El certificado debe crearse con el nombre del balanceador de carga

3)   Podemos ejecutar los pasos del certificado en un nodo y luego copiar todos los pasos a los otros nodos

Cambios de valor de contexto

Ejecutar configuración automática

La configuración automática se puede ejecutar mediante el script adautocfg.sh en el directorio de nivel de aplicación $ADMIN_SCRIPTS_HOME.

Reiniciar los servicios de nivel de aplicación

Utilice la secuencia de comandos adapcctl.sh en el directorio $ADMIN_SCRIPTS_HOME para detener y reiniciar los servicios Apache de nivel de aplicación.

Configuración de la base de datos requerida

Los productos de Oracle como Oracle Configurator, Order Management, iStore, Order Capture, Quoting, iPayment, iStore y Pricing acceden a datos a través de Internet en modo de conexión HTTP o HTTPS. La implementación de SSL para Oracle Database Server (que actúa como un cliente que envía solicitudes al servidor web) utiliza Oracle Wallet Manager para configurar una billetera Oracle.

Nota:Este es un requisito obligatorio para las páginas de escaparate de Oracle iStore cuando el nivel web también está habilitado para SSL.

Para habilitar la solicitud del cliente HTTPS desde la base de datos a través de UTL_HTTP, debe establecer un almacén de confianza en formato de billetera. No necesita un certificado de servidor para esta billetera. Solo necesita importar el certificado de CA raíz para las CA raíz que son el ancla de confianza para los sitios a los que necesita UTL_HTTP para conectarse.

donde:

‘[dirección de acceso]’ =la URL de su portal de instalación rápida de E-Business Suite.

'[dirección de proxy]' =la URL de su servidor proxy, o NULL si no usa un servidor proxy.

‘file:[ruta completa al directorio de la billetera]’ =la ubicación de su directorio de la billetera (no especifique los archivos reales de la billetera).

El parámetro final es la contraseña de la billetera, que está configurada como nula de forma predeterminada.

Enlaces relacionados

Habilitación de SSL o TLS en Oracle E-Business Suite versión 12 (Doc ID 2143099.1)
Cómo encontrar componentes R12 Versión
40 Pregunta de Adpatch que todo DBA debe saber
comando awk
Comando Keytool