Il est désormais possible d'activer un mode de chiffrement renforcé des mots de passe dans les fichiers de configuration du Middleware Adélia. Le but de cette opération est de rendre impossible le déchiffrement dans le cas général (en l'absence de la clé privée de chiffrement pour le fichier de configuration client, ou en utilisant un hachage du mot de passe quand il n'est pas nécessaire de le conserver).
Les mots de passe sont chiffrés en RSA par la clé publique du serveur lorsque c'est possible (serveurs sur lesquels le TLS est configuré), ou stockés sous la forme d'un hachage lorsqu'il n'est pas nécessaire de pouvoir les déchiffrer.
Chiffrement des fichiers
Fichier MWCLIENT.INI
- Les mots de passe des serveurs physiques sont chiffrés en RSA en utilisant la clé du serveur si le serveur supporte le TLS (et donc impossible à déchiffrer sans la clé privée du serveur), en AES sinon.
- Les autres mots de passe sont chiffrés en AES avec une clé générée.
Fichier MWSERVER.INI
- Les mots de passe des utilisateur Adélia ne sont pas chiffrés mais sauvegardés sous la forme d'un hachage SHA-256. Il n'est donc pas possible de les déchiffrer par construction.
- Les autres mots de passe (base de données, profils de connexion au LDAP) sont chiffrés en RSA si une clé est fournie, en AES sinon.
Utilisation en mode *LOCAL
Si le fichier MWSERVER.INI est chiffré en RSA (mots de passe des bases de données), vous devez installer la clé de chiffrement utilisée pour chiffrer le fichier sur les postes clients. Voir la section Fonctionnement du Middleware en mode TLS pour plus de détails.
- En Windows, le fichier de clé adelia-middleware-key.key est recherché dans le chemin d'accès. Si vous utilisez un autre fichier de clé, vous devez l'indiquer par la variables d'environnement ADELIA_SERVER_KEY. Il n'est en effet pas possible de passer des paramètres supplémentaires à un processus client Windows.
- En Java, le fichier de clé doit être configuré sur la ligne de commandes comme il le serait pour le démon (-Dadelia.middleware.key ou utilisation du keystore par défaut).