TLS e MTLS para Lync Server 2010

Tópico modificado em: 2011-05-02

Os protocolos TLS e MTLS fornecem comunicações criptografadas e autenticação de ponto de extremidade na Internet. O Microsoft Lync Server 2010 usa esses dois protocolos para criar a rede de servidores confiáveis e para garantir que todas as comunicações sobre esta rede sejam criptografadas. Todas as comunicações SIP entre os servidores são feitas via MTLS. As comunicações SIP do cliente para o servidor são feitas via TLS.

O TLS habilita usuários, através de seus softwares clientes, a autenticar os servidores Lync Server 2010 aos quais se conectam. Em uma conexão TLS, o cliente solicita um certificado válido no servidor. Para ser válido, o certificado deve ser emitido por uma autoridade de certificação confiável para o cliente e o nome DNS do servidor deve corresponder ao nome DNS do certificado. Se o certificado for válido, o cliente usa a chave pública no certificado para criptografar as chaves de criptografia simétrica a serem usadas para a comunicação, de forma que somente o proprietário original do certificado possa usar sua chave privada para descriptografar o conteúdo da comunicação. A conexão resultante é confiável e, daqui por diante, não será desafiada por outros servidores ou clientes confiáveis. Nesse contexto, o SSL usado pelos serviços Web pode ser associado de acordo com o TLS.

As conexões de servidor para servidor se baseiam no MTLS (TLS mútuo) para autenticação mútua. Em uma conexão MTLS, o servidor que está originando uma mensagem e o servidor que a está recebendo trocam certificados de uma AC mutuamente confiável. Os certificados provam a identidade de um servidor para o outro. Em implantações do Lync Server 2010, certificados emitidos pela AC corporativa que estiverem dentro do período de validade e não forem revogados pela AC emissora, são automaticamente considerados válidos por todos os clientes e servidores internos, porque todos os membros de um domínio do Active Directory confiam na AC corporativa naquele domínio. Nos cenários de federação, a autoridade de certificação emissora deve ser confiável para ambos os parceiros federados. Cada parceiro pode usar uma autoridade de certificação diferente, se desejado, desde que ela também seja confiável para o outro parceiro. Essa confiança será obtida com mais facilidade se os Servidores de Borda tiverem o certificado da autoridade de certificação raiz do parceiro em suas autoridades de certificação raiz confiáveis ou através do uso de uma autoridade de certificação de terceiros confiável para ambas as partes.

O TLS e o MTLS ajudam a evitar a interceptação e os ataques no meio do processo. Em um ataque como esse, o invasor roteia novamente as comunicações entre duas entidades de rede através do computador do invasor sem o conhecimento da outra parte. O TLS e a especificação do Lync Server 2010 de servidores confiáveis (somente aqueles especificados no Construtor de Topologias) atenuam o risco de um ataque no meio do processo parcialmente na camada de aplicativos, usando criptografia ponto-a-ponto coordenada com a criptografia de Chave Pública entre os dois pontos de extremidade e um invasor precisaria ter um certificado válido e confiável com a chave privada correspondente e emitida no nome do serviço com o qual o cliente está se comunicando, para descriptografar a comunicação. Finalmente, no entanto, você deve seguir as melhores práticas de segurança com sua infraestrutura de rede (neste caso, DNS corporativo). O Lync Server 2010 assume que o servidor DNS é confiável da mesma forma que os controladores de domínio e catálogos globais são confiáveis, mas o DNS não fornece um nível de garantia contra ataques hijack de DNS evitando que o servidor do invasor responda sucessivamente a uma solicitação para o nome falsificado.

A figura a seguir mostra, em um alto nível, como o Lync Server 2010 usa o MTLS para criar uma rede de servidores confiáveis.

Conexões confiáveis em uma rede Lync Server