- 問題:使用不受信任的 CA 或自我簽署憑證
修正:針對 Webhook 回呼伺服器使用公開 CA 所核發的 SSL 憑證。
新功能
開始使用
管理
傳送、簽署與管理合約
進階合約功能與工作流程
與其他產品整合
Acrobat Sign 開發人員
支援與疑難排解
雙向 SSL (通常稱為用戶端 SSL 或相互 TLS),是一種 SSL 模式,其中伺服器和用戶端 (網頁瀏覽器) 都提供憑證來識別自己。
帳戶管理員可以在「安全性設定」頁面設定用戶端憑證。
Acrobat Sign 會在將裝載傳送至 Webhook URL 時驗證 SSL 憑證。未通過 SSL 憑證驗證的 Webhook 將無法成功傳遞 JSON 裝載。
使用雙向 SSL 驗證用戶端 (Acrobat Sign) 並偵聽服務,以確保只有 Acrobat Sign 才能訪問您的 Webhook URL。
如果 Webhook 是由合作夥伴應用程式建立,則在傳送 Webhook 通知時,Webhook 將使用合作夥伴應用程式帳戶中的用戶端憑證 (如果可用) 來識別自己。
以下是網頁伺服器驗證程序和用戶端認證驗證的最常見問題。
在註冊 Webhook 期間,Acrobat Sign 會驗證 Webhook 伺服器 URL。
如果無法從 Acrobat Sign 完成與 Webhook 回呼 URL 的連線,客戶將無法註冊 Webhook。
否。
Webhook 回呼 URL 僅能為連接埠 443 或 8443 的 HTTPS。
Acrobat Sign 會封鎖傳出至所有其他連接埠的 HTTPS 流量。
修正:針對 Webhook 回呼伺服器使用公開 CA 所核發的 SSL 憑證。
修正:在 Webhook 回呼伺服器上安裝中繼憑證。
請造訪 https://www.digicert.com/kb/ssl-certificate-installation.htm 以取得詳細資訊。
為了為 Webhook 設定雙向 SSL,管理員需要上傳內含私人金鑰的 .p12 (或 .pfx) 檔案。檔案會安全地儲存在客戶帳戶中,管理員可以完全控制,以隨時移除檔案。
在雙向 Webhook 設定中,Acrobat Sign 為來電者/用戶端,需要私人金鑰以證明是由 Acrobat 代表客戶帳戶進行通話。
用戶端憑證可以是自我簽署憑證或 CA 發行的憑證。但是必須至少符合下列 X.509 v3 擴充功能:
X.509 v3 擴充功能 |
值 |
---|---|
ExtendedKeyUsage |
clientAuth (OID:1.3.6.1.5.5.7.3.2) |
KeyUsage |
digitalSignature |
用戶端憑證必須是副檔名為 .p12 或 .pfx 的 PKCS12 檔案,且必須同時包含用戶端憑證 (以便伺服器可驗證用戶端身分) 及用戶端的私人金鑰 (讓用戶端能夠數位簽署伺服器訊息以在 SSL 交握期間驗證)。
使用 openssl 命令來驗證 p12 (pfx) 檔案:
openssl pkcs12 -info -in outfile.p12
應請求提供私人金鑰的密碼片語。輸出應包含這兩種憑證,以及一個加密的私人金鑰,例如:
Bag Attributes localKeyID: 9D BD 22 80 E7 B2 B7 58 9E AE C8 42 71 F0 39 E1 E7 2B 57 DB subject=/C=US/ST=California/L=San Jose/O=Adobe Inc./CN=sp.adobesignpreview.com issuer=/C=US/O=DigiCert Inc/CN=DigiCert TLS RSA SHA256 2020 CA1 -----BEGIN CERTIFICATE----- MIIGwDCCBaigAwIBAgIQAhJSKDdyQZjlbYO5MJAYOTANBgkqhkiG9w0BAQsFADBP MQswCQYDVQQGEwJVUzEVMBMGA1UEChMMRGlnaUNlcnQgSW5jMSkwJwYDVQQDEyBE ... JAKQLQ== -----END CERTIFICATE----- Bag Attributes: <No Attributes> subject=/C=US/O=DigiCert Inc/CN=DigiCert TLS RSA SHA256 2020 CA1 issuer=/C=US/O=DigiCert Inc/OU=www.digicert.com/CN=DigiCert Global Root CA -----BEGIN CERTIFICATE----- MIIEvjCCA6agAwIBAgIQBtjZBNVYQ0b2ii+nVCJ+xDANBgkqhkiG9w0BAQsFADBh MQswCQYDVQQGEwJVUzEVMBMGA1UEChMMRGlnaUNlcnQgSW5jMRkwFwYDVQQLExB3 ... -----END CERTIFICATE----- Bag Attributes localKeyID: 9D BD 22 80 E7 B2 B7 58 9E AE C8 42 71 F0 39 E1 E7 2B 57 DB Key Attributes: <No Attributes> -----BEGIN ENCRYPTED PRIVATE KEY----- MIIFDjBABgkqhkiG9w0BBQ0wMzAbBgkqhkiG9w0BBQwwDgQI7eNh2qlsLPkCAggA ... FHE= -----END ENCRYPTED PRIVATE KEY-----
憑證應至少包含終端實體憑證和中繼憑證。理想情況下,也會包含根 CA 憑證。
確認 .p12 或 .pfx 檔案有密碼片語保護。
建立自我簽署用戶端憑證 (選用)
視您的需求而定,用戶端憑證可以是由 CA 簽發或自我簽署。
若要產生自我簽署用戶端憑證,請使用下列 openssl 命令:
openssl req -newkey rsa:4096 -keyform PEM -keyout ca.key -x509 -days 3650 -outform PEM -out ca.cer
將產生的檔案保持機密,因為它們是您自我簽署的 CA 憑證。
接下來,產生用戶端 .p12 檔案:
openssl genrsa -out client.key 2048
openssl req -new -key client.key -out client.req
openssl x509 -req -in client.req -CA ca.cer -CAkey ca.key -set_serial 101 -extensions client -days 365 -outform PEM -out client.cer
openssl pkcs12 -export -inkey client.key -in client.cer -out client.p12
rm client.key client.cer client.req
為什麼即使已使用 Postman 驗證過 PFX 檔案,Acrobat Sign 還是拒絕我的 PFX 檔案?
如果您遵循以上程序進行 pfx 檔案驗證,且 Acrobat Sign 仍拒絕 pfx 檔案,則檔案可能是由能夠產生非標準 PKCS12 檔案的 Microsoft 工具所產生。
在這種情況下,請使用下列 openssl 命令從 pfx 檔案解壓縮憑證及私人金鑰,然後產生正確格式的 PKCS12 檔案:
// Extract certificates and private key from pfx file openssl pkcs12 -info -in microsoftclientssl.pfx -passin pass:"" -out clientcert.crt -nokeys openssl pkcs12 -info -in microsoftclientssl.pfx -passin pass:"" -out clientcert.key -nodes -nocerts // Create new PKCS12 file openssl pkcs12 -export -inkey clientcert.key -in clientcert.crt -out clientcert.pfx
法律注意事項 | 線上隱私權原則