Certificados Digitais

A seguir são apresentados os passos para criação e distribuição do Certificado Digital de segurança para os serviços do Foundation Saúde. Será usada a ferramenta Keytool, distribuída junto com a instalação Java JDK.

Observação: A criação do certificado digital deve ser feita apenas para o uso dos serviços TISS. Os serviços do PTU devem utilizar o certificado fornecido pela Unimed do Brasil.

Contenedor de Certificados (keystore)

A keystore é um repositório de certificados. Na keystore configurada no Foundation Saúde, é possível instalar todos os certificados necessários para o funcionamento dos serviços disponibilizados pelo Foundation Saúde, como PTU Online, TISS e GPU.

Para criar o certificado, utilize o keytool e digite a seguinte linha de comando (cmd):

keytool -genkeypair -alias keystore -dname distinguished-name -keypass medical -keystore JBOSS_HOME/server/default/conf/server.keystore -storepass medical -validity 365

A seguir, a descrição das propriedades, onde os valores sublinhados devem ser substituídos:

• • distinguished-name: De preferência em conformidade com a estrutura suportada pelo keytool. Detalhes sobre a ferramenta podem ser encontrados na documentação disponível em http://java.sun.com/javase/6/docs/technotes/tools/windows/keytool.html#DName.

As operadoras devem usar o nome da máquina hospedeira (host) no campo CN (Common Name), é o mesmo nome utilizado na configuração do parâmetro -b, definido na configuração de acesso externo.

Segue abaixo um exemplo: 
CN = foundation.dominio_operadora.com.br 
OU = Totvs Saúde 
O = Totvs 
L = Joinville 
S = SC 
C = BR 

Estes atributos formam o seguinte texto para preenchimento do valor: “CN=foundation.dominio_operadora.com.br, OU=Totvs Saude,O=Totvs, L=Joinville, ST=SC, C=BR”. 
Atenção: Lembre-se de usar aspas na linha de comando para textos com espaços.

• • keypass: Senha para a chave do certificado digital. O valor padrão é medical.
  • keystore: Caminho ou diretório onde serão criados o certificado, o arquivo contenedor de certificados, e o arquivo contenedor dos certicados válidos de clientes. O valor padrão é o JBOSS_HOME.
  • storepass: Senha para o arquivo contenedor de certificados. O valor padrão é medical.
  • validity: Número de dias antes que o certificado se expire. O valor padrão é 365(1 ano);

Atenção: Verifique se o arquivo server.keystore foi criado no diretório escolhido (-keystore).

Exemplos de criação do keystore server e client:

>keytool -genkeypair -alias keystore -dname "CN=LOCALHOST, OU=Totvs Saude,O=Totvs, L=Joinville, ST=SC, C=BR" -keypass medical -keystore "client.keystore" -storepass medical -validity 365

>keytool -genkeypair -alias keystore -dname "CN=LOCALHOST, OU=Totvs Saude,O=Totvs, L=Joinville, ST=SC, C=BR" -keypass medical -keystore "server.keystore" -storepass medical -validity 365

Criação do Certificado

Para extrair o certificado da keystore digite a seguinte linha de comando (cmd) :

keytool -exportcert -alias keystore -file JBOSS_HOME/server/default/conf/certificate.cer -keystore JBOSS_HOME/server/default/conf/keystore.keystore -storepass medical

A seguir, os detalhes de cada propriedade:

• • alias: Crie um alias para seu arquivo de chaves, esse nome será usado internamente. Valor padrão é “keystore”.
  • file: Caminho ou diretório onde serão criados o certificado, o arquivo contenedor de certificados, e o arquivo contenedor dos certicados válidos de clientes. O valor padrão é “JBOSS_HOME/server/default/conf/”.
  • storepass: Senha para o arquivo contenedor de certificados. O valor padrão é “medical”.

Atenção: Verifique se o arquivo “certificate.cer” foi criado no diretório escolhido (-file).

Exemplo de criação dos certificados:

>keytool -exportcert -alias keystore -file "c:/totvs/jboss-4.2.3.GA/server/default/conf/client.cer" -keystore "client.keystore" -storepass medical

>keytool -exportcert -alias keystore -file " c:/totvs/jboss-4.2.3.GA/server/default/conf /server.cer" -keystore "server.keystore" -storepass medical

Importação dos Certificados de Clientes

Cada cliente autorizado a receber ou enviar mensagens através dos Web Services, deve fornecer seu arquivo de certificado pra ser adicionado à lista de clientes confiáveis (truststore).

Também o cliente precisa receber o certificado do provedor(host) dos serviços Web Service para adicioná-lo a sua lista de confiabilidade.

Tendo recebido o arquivo do cliente, executar a seguinte linha de comando (cmd): 

keytool -importcert -alias client_truststore -file “certificado-cliente -keypass “senha-cliente” -keystore “JBOSS_HOME/server/default/conf/truststore.truststore” -storepass medical -noprompt -trustcacerts

Os valores sublinhados devem ser substituídos, e para palavras-chave iguais devem ser os mesmos usados na criação do certificado e keystore. A seguir os detalhes das propriedades:

• • alias: Crie um alias para seu arquivo de armazenamento de certificados de clientes válidos, esse nome será usado internamente. O valor padrão é “client_truststore”.
  • certificado-cliente: Caminho completo onde se encontra o arquivo certificado do cliente, este certificado será adicionado à lista de confiáveis;
  • senha-cliente: Senha do arquivo de certificado do cliente.
  • keystore: Caminho ou diretório onde serão criados o certificado, o arquivo contenedor de certificados, e o arquivo contenedor dos certicados válidos de clientes. Valor padrão é “c:/totvs/jboss-4.2.3.GA/server/default/conf”.
  • storepass: Senha para o arquivo contenedor dos certificados válidos de clientes. Valor padrão é “medical”.

Atenção: Verifique se o arquivo ”truststore.truststore” foi criado no diretório escolhido (-storepass).

Exemplo de importação dos certificados:

• Importando certificado do cliente no servidor: >keytool -importcert -alias clientlocal -file "client.cer" -keypass medical -keystore "server.truststore" -storepass medical -noprompt –trustcacerts
• Importando certificado do servidor no cliente: >keytool -importcert -alias server -file "server.cer" -keypass medical -keystore "client.truststore" -storepass medical -noprompt –trustcacerts

O proximo passo é copiar os arquivos server.keystore e server.truststore, para o diretório JBOSS_HOME/server/default/conf.

Importação de Certificados de Servidores

Para consumir serviços protegidos numa conexão HTTPS, é necessário que o Foundation Saúde reconheça a autenticidade do servidor, do contrário ocorrerão erros de handshake, processo de reconhecimento entre as partes, como os seguintes:

• • No trusted certificate found;
  • Time out;

Essa configuração é realizada através da importação de algum certificado disponibilizado pelo servidor na lista de certificados confiáveis (truststore). Para realizar essa importação, deve-se executar a seguinte linha de comando (cmd):

keytool -import -trustcacerts -alias server_truststore -file “certificado-cliente" -keystore “JBOSS_HOME/server/default/conf/truststore.truststore” -storepass medical -noprompt

• • alias: Crie um alias para seu arquivo de armazenamento de certificados de clientes válidos, esse nome será usado internamente. O valor padrão é “client_truststore”.
  • certificado-cliente: Caminho completo onde se encontra o arquivo certificado do cliente, este certificado será adicionado à lista de confiáveis;
  • senha-cliente: Senha do arquivo de certificado do cliente.
  • keystore: Caminho ou diretório onde serão criados o certificado, o arquivo contenedor de certificados, e o arquivo contenedor dos certicados válidos de clientes. Valor padrão é “c:/totvs/jboss-4.2.3.GA/server/default/conf”.
  • storepass: Senha para o arquivo contenedor dos certificados válidos de clientes. Valor padrão é “medical”.

Exemplo de importação dos certificados:

• Importando certificado do cliente no servidor: >keytool -import -truststore -alias clientlocal -file "client.cer" -keystore "server.truststore" -storepass medical -noprompt

Configuração de Segurança no Servidor de Aplicações

A seguir são mostrados os passos para habilitar e desabilitar o uso do certificado digital. Por padrão algumas configurações estão comentadas para os sistemas não utilizam o certificado digital para TISS e SIB. Caso o cliente utilize os módulos SIB e TISS sem certificado, será necessário fazer as configurações da seção 8.6.2.

Habilitar Certificado Digital - PTU/Tiss/SIB

Para configurar o certificado para o PTU, deve-se gravar os arquivos enviados pela Unimed do Brasil no diretório JBOSS_HOME\server\default\conf. O nome da keystore deve ser igual ao domínio da aplicação, que é informado no parâmetro -b, do arquivo de inicialização do JBoss, conforme definido na configuração de acesso externo. Ex.: foundation.dominio_operadora.com.br.javaks ou foundation.dominio_operadora.com.br.jks.

Na diretório JBOSS_HOME/server/default/conf, é preciso verificar a configuração de dos arquivos jboss-service.xml e login-config.xml.

No arquivo jboss-service.xml deve-se incluir ou atualizar a tag “mbean” de segurança, conforme ilustrado abaixo. Para o módulo PTU, o valor “keystore.keystore” e o valor “truststore. truststore”, na linha em negrito abaixo, deve ser substituído pelo arquivo “*.javaks” enviado pela Unimed do Brasil e as senhas “medical” dos atributos “KeyStorePass” e “TrustStorePass” pela senha fornecida pela Unimed do Brasil.

No arquivo login-config.xml deve-se incluir ou atualizar a tag “application-police”, conforme mostrado abaixo:

No diretório JBOSS_HOME/server/default/deploy, atualizar o arquivo properties-service.xml, conforme mostrado abaixo:

Segue abaixo mais detalhes referente a configuração acima:

• • javax.net.ssl.keyStore – Informe o caminho onde está o seu arquivo keystore, que foi criado anteriormente. Caso o arquivo esteja configurado para o PTU, este valor deve apontar para o arquivo “.javaks” enviado pela Unimed do Brasil.
  • javax.net.ssl.keyStorePassword – Informe a senha do seu keystore. Caso o arquivo esteja configurado para o PTU, este valor deve ser preenchido com a senha fornecida pela Unimed do Brasil.
  • javax.net.ssl.trustStore – Informar o caminho onde está seu arquivo truststore, que foi criado anteriormente. Caso o arquivo esteja configurado para o PTU, este valor deve apontar para o arquivo “.javaks”, enviado pela Unimed do Brasil.
  • javax.net.ssl.trustStorePassword – Informar a senha do seu arquivo truststore. Caso o arquivo esteja configurado para o PTU, este valor deve ser preenchido com a senha fornecida pela Unimed do Brasil.

No diretório JBOSS_HOME/server/default/deploy/jboss-web-deployer”, configurar o arquivo server.xml o serviço jboss.web, conforme mostrado abaixo:

Segue abaixo mais detalhes referente a configuração acima:

• • port: Número da porta para comunicação segura. Valor padrão é 443.
  • keystoreFile: Caminho ou diretório onde está o certificado, o arquivo contenedor de certificados, e o arquivo contenedor dos certificados válidos de clientes. Diretório padrão de certificado é o JBOSS_HOME/server/conf. Caso o arquivo esteja  configurado para o PTU, deve apontar para o arquivo “.javaks”, fornecido pela Unimed do Brasil.
  • keystorePass: Senha para o arquivo contenedor de certificados. Caso o arquivo esteja configurado para o PTU, este valor deve ser preenchido com a senha fornecida pela Unimed do Brasil.
  • senha-truststore: Senha para o arquivo contenedor dos certificados válidos de clientes. Caso o arquivo esteja configurado para o PTU, este valor deverá ser preenchido com a senha fornecida pela Unimed do Brasil.

Nota: A necessidade de configurar portas ocorre principalmente quando há duas instâncias ativas do JBoss. Outras situações referentes à infra-estrutura local podem provocar essa necessidade e devem ser verificadas com o técnico responsável.

Desabilitar Certificado Digital - SIB/Tiss

No diretório JBOSS_HOME/server/default/conf é preciso verificar a configuração de alguns arquivos:

No arquivo jboss-service.xml: comentar a tag “mbean” de segurança, conforme mostrado abaixo:

No arquivo login-config.xml, comentar a tag “application-police”, conforme mostrado abaixo:

No diretório JBOSS_HOME/server/default/deploy deve-se retirar ou comentar as propriedades abaixo do arquivo “properties-service.xml”:

No diretório JBOSS_HOME/server/default/deploy/jboss-web-deployer, deve-se comentar ou retirar a tag Connector referente ao serviço "jboss.web" do arquivo “server.xml” , conforme mostrado abaixo:

No diretório  JBOSS_HOME/server/default/deploy/jbossws.sar/jbossws.beans/META-INF, deve-se retirar ou comentar as propriedades abaixo do arquivo “jboss-beans.xml”: