Tweerichtings-SSL, vaak Client-Side SSL of wederzijdse TLS genoemd, is een SSL-modus waarbij zowel de server als de client (webbrowser) certificaten presenteren om zichzelf te identificeren.

Accountbeheerders kunnen een 'client-side'-certificaat configureren op de pagina Beveiligingsinstellingen.

Acrobat Sign verifieert de SSL-certificaten bij het leveren van payloads aan de webhook-URL. Als een webhook de SSL-certificaatverificatie niet doorstaat, wordt er geen JSON-payload geleverd.

Gebruik tweezijdige SSL-verificatie om de client (Acrobat Sign) te verifiëren en als listening-service om er zeker van te zijn dat uw webhook-URL alleen bereikbaar is voor Acrobat Sign.

Als de webhook is gemaakt door een partnerapplicatie, gebruikt de webhook een clientcertificaat (indien beschikbaar) van het account van de partnerapplicatie om zichzelf te identificeren bij het maken van webhooknotificaties.

Navigeren naar de bedieningselementen van de gebruikersinterface om een clientcertificaat te uploaden

Hieronder vindt u de meest voorkomende vragen voor zowel het verificatieproces van de webserver als de verificatie van de clientcertificering.

Webserververificatie

Tijdens de registratie van een webhook verifieert Acrobat Sign de URL van de webhookserver.

Klanten kunnen de webhook niet registreren als de verbinding met de terugbel-URL van de webhook niet kan worden voltooid met Acrobat Sign.

Nee.

De webhookcallback-URL kan alleen HTTPS zijn op poort 443 of 8443.

Acrobat Sign blokkeert het uitgaande HTTPS-verkeer naar alle andere poorten.

Een goede manier om het servercertificaat te verifiëren is door de DigiCert® SSL-installatiediagnosetool te gebruiken.

Voer alleen de hostnaam in, bijvoorbeeld: www.digicert.com

Veelvoorkomende problemen zijn:

Probleem: een niet-vertrouwd CA- of zelfondertekend certificaat gebruiken

Oplossing: gebruik een openbaar door CA uitgegeven SSL-certificaat voor de webhookcallback-server.

Probleem: de server verzendt het tussenliggende certificaat niet

Oplossing: installeer de tussenliggende certificaten op de webhookcallback-server.

Zie https://www.digicert.com/kb/ssl-certificate-installation.htm voor meer informatie.

Verificatie van clientcertificaten

Om een tweerichtings-SSL in te stellen voor een webhook vragen we de beheerder een p12- (of pfx)-bestand met de privésleutel te uploaden. Het bestand wordt veilig opgeslagen in het klantaccount en de beheerder heeft volledige controle om het op elk moment te verwijderen.

In een tweerichtingswebhookconfiguratie is Acrobat Sign de beller/client en heeft de privésleutel nodig om te bewijzen dat de aanroep is gedaan door Acrobat Sign namens de klantaccount.

Controleren of SSL in twee richtingen is ingeschakeld

SSL in twee richtingen moet zijn ingeschakeld op de webhookcallback-server.

Maak via elke webbrowser verbinding met de webhookcallback-URL. U zou het volgende moeten krijgen:
```
400 Bad Request
Geen vereist SSL-certificaat verzonden
```
Dit betekent dat de server verwacht dat de client clientcertificaten verzendt (d.w.z.: tweerichtings-SSL is ingeschakeld voor de server).

Als het bovenstaande bericht niet wordt weergegeven, is tweerichtings-SSL niet ingeschakeld.

Opmerking:

U kunt Postman gebruiken en een POST-verzoek doen naar de webhookcallback-URL. U zou een vergelijkbaar resultaat moeten krijgen.

Clientcertificaat lokaal verifiëren

De aanmeldingsgegevens van de klant kunnen een zelfondertekend certificaat of een door CA uitgegeven certificaat zijn. Ze moeten echter minimaal voldoen aan de volgende X.509 v3-uitbreidingen:

X.509 v3-uitbreiding	Waarde
ExtendedKeyUsage	clientAuth (OID: 1.3.6.1.5.5.7.3.2)
KeyUsage	digitalSignature

Het clientcertificaat moet een PKCS12-bestand zijn met de extensie .p12 of .pfx, en het moet zowel het clientcertificaat bevatten (zodat de server de identiteit van de client kan verifiëren) als de persoonlijke sleutel van de client ( zodat de client berichten digitaal kan ondertekenen voor de server om te verifiëren tijdens de SSL-handshake).

Gebruik de opdracht openssl om het p12- (pfx)-bestand te verifiëren:

openssl pkcs12 -info -in outfile.p12

De wachtwoordzin voor de privésleutel moet worden aangevraagd. De uitvoer moet zowel certificaten als een versleutelde privésleutel bevatten, zoals:

Bag Attributes
    localKeyID: 9D BD 22 80 E7 B2 B7 58 9E AE C8 42 71 F0 39 E1 E7 2B 57 DB
subject=/C=US/ST=California/L=San Jose/O=Adobe Inc./CN=sp.adobesignpreview.com
issuer=/C=US/O=DigiCert Inc/CN=DigiCert TLS RSA SHA256 2020 CA1
-----BEGIN CERTIFICATE-----
MIIGwDCCBaigAwIBAgIQAhJSKDdyQZjlbYO5MJAYOTANBgkqhkiG9w0BAQsFADBP
MQswCQYDVQQGEwJVUzEVMBMGA1UEChMMRGlnaUNlcnQgSW5jMSkwJwYDVQQDEyBE
...
JAKQLQ==
-----END CERTIFICATE-----
Bag Attributes: <No Attributes>
subject=/C=US/O=DigiCert Inc/CN=DigiCert TLS RSA SHA256 2020 CA1
issuer=/C=US/O=DigiCert Inc/OU=www.digicert.com/CN=DigiCert Global Root CA
-----BEGIN CERTIFICATE-----
MIIEvjCCA6agAwIBAgIQBtjZBNVYQ0b2ii+nVCJ+xDANBgkqhkiG9w0BAQsFADBh
MQswCQYDVQQGEwJVUzEVMBMGA1UEChMMRGlnaUNlcnQgSW5jMRkwFwYDVQQLExB3
...
-----END CERTIFICATE-----
Bag Attributes
    localKeyID: 9D BD 22 80 E7 B2 B7 58 9E AE C8 42 71 F0 39 E1 E7 2B 57 DB
Key Attributes: <No Attributes>
-----BEGIN ENCRYPTED PRIVATE KEY-----
MIIFDjBABgkqhkiG9w0BBQ0wMzAbBgkqhkiG9w0BBQwwDgQI7eNh2qlsLPkCAggA
...
FHE=
-----END ENCRYPTED PRIVATE KEY-----

De certificaten moeten ten minste het certificaat van de eindentiteit en de tussentijdse certificaten bevatten. Idealiter bevat het ook het CA-rootcertificaat.

Waarschuwing:

Zorg ervoor dat het p12- of pfx-bestand beveiligd is met een wachtwoordzin.

Een zelfondertekend clientcertificaat maken (optioneel)

Clientcertificaten kunnen door een CA worden uitgegeven of zelfondertekend zijn, afhankelijk van uw wensen.

Gebruik de opdracht openssl om een zelfondertekend clientcertificaat te genereren:

openssl req -newkey rsa:4096 -keyform PEM -keyout ca.key -x509 -days 3650 -outform PEM -out ca.cer

Let op:

Houd de resulterende bestanden geheim, aangezien dit uw zelfondertekende CA-certificaten zijn.
Genereer vervolgens het p12-klantbestand:
1. Een privésleutel genereren voor de SSL-klant:
  openssl genrsa -out client.key 2048
2. Gebruik de privésleutel van de klant om een certificatieverzoek te genereren:
  openssl req -new -key client.key -out client.req
3. Het klantcertificaat uitgeven met behulp van het certificeringsverzoek en het CA-certificaat/sleutel:
  openssl x509 -req -in client.req -CA ca.cer -CAkey ca.key -set_serial 101 -extensions client -days 365 -outform PEM -out client.cer
4. Converteer het klantcertificaat en de privésleutel naar pkcs#12-indeling voor gebruik door browsers:
  openssl pkcs12 -export -inkey client.key -in client.cer -out client.p12
5. Verwijder de persoonlijke sleutel van de klant, het klantcertificaat en de klantaanvraagbestanden, aangezien de pkcs12 alles heeft wat u nodig hebt.
  rm client.key client.cer client.req
Het klantcertificaat controleren ten opzichte van de externe server
- Gebruik Postman om het PFX-bestand van de klant te laden in Instellingen > Certificaten.
- Selecteer Certificaat toevoegen om het klantcertificaat toe te voegen.
- Configureer de HTTP-header voor x-adobesign-clientid:
Eenmaal geconfigureerd stuurt u een POST-verzoek naar de webhook callback-URL.

U zou een 200-reactie moeten krijgen.
Waarom weigert Acrobat Sign mijn PFX-bestand, zelfs nadat ik het met Postman heb geverifieerd?

Als u het bovenstaande proces voor pfx-bestandsverificatie hebt gevolgd en Acrobat Sign het pfx-bestand nog steeds weigert, dan is het bestand waarschijnlijk gegenereerd door een Microsoft-tool die een niet-standaard PKCS12-bestand kan produceren.

Gebruik in dat geval de onderstaande openssl-opdrachten om de certificaten en de persoonlijke sleutel uit het pfx-bestand te extraheren en genereer vervolgens een PKCS12-bestand met de juiste indeling:
```
// Certificaten en privésleutel extraheren uit pfx-bestand
openssl pkcs12 -info -in microsoftclientssl.pfx -passin pass:&quot;&quot; -out clientcert.crt -nokeys
openssl pkcs12 -info -in microsoftclientssl.pfx -passin pass:&quot;&quot; -out clientcert.key -nodes -nocerts

// Nieuw PKCS12-bestand maken
openssl pkcs12 -export -inkey clientcert.key -in clientcert.crt -out clientcert.pfx
```

Krijg sneller en gemakkelijker hulp

Nieuwe gebruiker?

Tweezijdige (wederzijdse) SSL-verificatie

Tweezijdige SSL-verificatie

Webserververificatie

Verificatie van clientcertificaten

Krijg sneller en gemakkelijker hulp

Vraag het de community

Contact met ons opnemen