Certificados y autenticación
Varios componentes desempeñan un papel en la autenticación durante las operaciones de XenMobile®:
-
XenMobile Server: El XenMobile Server es donde se definen la seguridad de la inscripción y la experiencia de inscripción. Las opciones para incorporar usuarios incluyen:
-
Si la inscripción debe ser abierta para todos o solo por invitación.
-
Si se requiere autenticación de dos factores o de tres factores. A través de las propiedades del cliente en XenMobile, puede habilitar la autenticación con PIN de Citrix y configurar la complejidad y el tiempo de caducidad del PIN.
-
-
Citrix ADC: Citrix ADC proporciona la terminación para las sesiones SSL de micro VPN. Citrix ADC también proporciona seguridad de red en tránsito y le permite definir la experiencia de autenticación utilizada cada vez que un usuario accede a una aplicación.
-
Secure Hub: Secure Hub y XenMobile Server trabajan juntos en las operaciones de inscripción. Secure Hub es la entidad en un dispositivo que se comunica con Citrix ADC: Cuando una sesión caduca, Secure Hub obtiene un tíquet de autenticación de Citrix ADC y lo pasa a las aplicaciones MDX. Citrix recomienda el anclaje de certificados (certificate pinning), que evita ataques de intermediario (man-in-the-middle). Para obtener más información, consulte esta sección en el artículo de Secure Hub: Anclaje de certificados.Secure Hub también facilita el contenedor de seguridad MDX: Secure Hub envía políticas, crea una sesión con Citrix ADC cuando una aplicación agota el tiempo de espera y define el tiempo de espera y la experiencia de autenticación de MDX. Secure Hub también es responsable de la detección de jailbreak, las comprobaciones de geolocalización y cualquier política que aplique.
-
Políticas MDX: Las políticas MDX crean la bóveda de datos en el dispositivo. Las políticas MDX dirigen las conexiones micro VPN de vuelta a Citrix ADC, aplican restricciones del modo sin conexión y aplican políticas de cliente, como los tiempos de espera.
Para obtener más información sobre la configuración de la autenticación, incluida una descripción general de los métodos de autenticación de un solo factor y de dos factores, consulte el artículo del Manual de implementación, Autenticación.
Utiliza certificados en XenMobile para crear conexiones seguras y autenticar usuarios. El resto de este artículo trata sobre los certificados. Para otros detalles de configuración, consulte los siguientes artículos:
-
Para enviar un certificado a los dispositivos para autenticarse en el servidor Wi-Fi: Directiva de dispositivo Wi-Fi
-
Para insertar un certificado único no utilizado para la autenticación, como un certificado de entidad de certificación (CA) raíz interna o una directiva específica: Directiva de dispositivo de credenciales
Certificados
XenMobile genera un certificado SSL (Secure Sockets Layer) autofirmado durante la instalación para proteger los flujos de comunicación con el servidor. Debe reemplazar el certificado SSL por un certificado SSL de confianza de una CA conocida.
XenMobile también utiliza su propio servicio de infraestructura de clave pública (PKI) u obtiene certificados de la CA para los certificados de cliente. Todos los productos de Citrix admiten certificados comodín y SAN (Subject Alternative Name). Para la mayoría de las implementaciones, solo necesita dos certificados comodín o SAN.
La autenticación de certificados de cliente proporciona una capa adicional de seguridad para las aplicaciones móviles y permite a los usuarios acceder sin problemas a las aplicaciones HDX™. Cuando la autenticación de certificados de cliente está configurada, los usuarios escriben su PIN de Citrix para el acceso de inicio de sesión único (SSO) a las aplicaciones habilitadas para XenMobile. El PIN de Citrix también simplifica la experiencia de autenticación del usuario. El PIN de Citrix se utiliza para proteger un certificado de cliente o guardar las credenciales de Active Directory localmente en el dispositivo.
Para inscribir y administrar dispositivos iOS con XenMobile, configure y cree un certificado del Servicio de notificaciones push de Apple (APNs) de Apple. Para conocer los pasos, consulte Certificados APNs.
La siguiente tabla muestra el formato y el tipo de certificado para cada componente de XenMobile:
| Componente de XenMobile | Formato de certificado | Tipo de certificado requerido |
|---|---|---|
| Citrix Gateway | PEM (BASE64), PFX (PKCS #12) | SSL, Root (Citrix Gateway convierte PFX a PEM automáticamente.) |
| XenMobile Server | .p12 (.pfx en equipos basados en Windows) | SSL, SAML, APNs (XenMobile también genera una PKI completa durante el proceso de instalación.) Importante: XenMobile Server no admite certificados con extensión .pem. Para usar un certificado .pem, divida el archivo .pem en un certificado y una clave e impórtelos en XenMobile Server. |
| StoreFront™ | PFX (PKCS #12) | SSL, Root |
XenMobile admite certificados de escucha SSL y certificados de cliente con longitudes de bits de 4096, 2048 y 1024. Los certificados de 1024 bits se pueden comprometer fácilmente.
Para Citrix Gateway y XenMobile Server, Citrix recomienda obtener certificados de servidor de una CA pública, como Verisign, DigiCert o Thawte. Puede crear una solicitud de firma de certificado (CSR) desde Citrix Gateway o la utilidad de configuración de XenMobile. Después de crear la CSR, la envía a la CA para su firma. Cuando la CA devuelve el certificado firmado, puede instalar el certificado en Citrix Gateway o XenMobile.
Importante: Requisitos para certificados de confianza en iOS, iPadOS y macOS
Apple tiene nuevos requisitos para los certificados de servidor TLS. verificar que todos los certificados cumplen los nuevos requisitos de Apple. Consulte la publicación de Apple,
<https://support.apple.com/es-es/HT210176>.
Apple está reduciendo la vida útil máxima permitida de los certificados de servidor TLS. Este cambio afecta solo a los certificados de servidor emitidos después de septiembre de 2020. Consulte la publicación de Apple,
<https://support.apple.com/es-es/HT211025>.
Carga de certificados en XenMobile
Cada certificado que carga tiene una entrada en la tabla Certificados, incluido un resumen de su contenido. Al configurar los componentes de integración de PKI que requieren un certificado, elige un certificado de servidor que cumpla los criterios dependientes del contexto. Por ejemplo, es posible que desee configurar XenMobile para que se integre con su entidad de certificación (CA) de Microsoft. La conexión a la CA de Microsoft debe autenticarse mediante un certificado de cliente.
Esta sección proporciona procedimientos generales para cargar certificados. Para obtener detalles sobre cómo crear, cargar y configurar certificados de cliente, consulte Autenticación de certificado de cliente o certificado más dominio.
Requisitos de clave privada
XenMobile puede o no poseer la clave privada de un certificado determinado. Del mismo modo, XenMobile puede o no requerir una clave privada para los certificados cargados.
Carga de certificados
Tiene dos opciones para cargar certificados:
-
Cargue los certificados en la consola individualmente.
-
Realice una carga masiva de certificados en dispositivos iOS con la API REST.
Al cargar certificados en la consola, tiene dos opciones principales:
-
Haga clic para importar un almacén de claves. A continuación, identifique la entrada en el repositorio del almacén de claves que desea instalar, a menos que esté cargando un formato PKCS #12.
-
Haga clic para importar un certificado.
Puede cargar el certificado de CA (sin la clave privada) que la CA utiliza para firmar solicitudes. También puede cargar un certificado de cliente SSL (con la clave privada) para la autenticación de cliente.
Al configurar la entidad de CA de Microsoft, especifica el certificado de CA. Selecciona el certificado de CA de una lista de todos los certificados de servidor que son certificados de CA. Del mismo modo, al configurar la autenticación de cliente, puede seleccionar de una lista de todos los certificados de servidor para los que XenMobile tiene la clave privada.
Para importar un almacén de claves
Por diseño, los almacenes de claves, que son repositorios de certificados de seguridad, pueden contener varias entradas. Por lo tanto, al cargar desde un almacén de claves, se le pedirá que especifique el alias de entrada que identifica la entrada que desea cargar. Si no especifica un alias, se cargará la primera entrada del almacén. Dado que los archivos PKCS #12 suelen contener solo una entrada, el campo de alias no aparece cuando selecciona PKCS #12 como tipo de almacén de claves.
-
En la consola de XenMobile, haga clic en el icono de engranaje en la esquina superior derecha de la consola. Aparece la página Configuración.
-
Haga clic en Certificados. Aparece la página Certificados.
-
Haga clic en Importar. Aparece el cuadro de diálogo Importar.
-
Configure estos ajustes:
-
Importar: En la lista, haga clic en Almacén de claves. El cuadro de diálogo Importar cambia para reflejar las opciones de almacén de claves disponibles.
-
Tipo de almacén de claves: En la lista, haga clic en PKCS #12.
-
Usar como: En la lista, haga clic en cómo piensa usar el certificado. Las opciones disponibles son:
-
Servidor. Los certificados de servidor son certificados utilizados funcionalmente por XenMobile Server que se cargan en la consola web de XenMobile. Incluyen certificados de CA, certificados de RA y certificados para la autenticación de clientes con otros componentes de su infraestructura. Además, puede usar certificados de servidor como almacenamiento para los certificados que desee implementar en los dispositivos. Este uso se aplica especialmente a las CA utilizadas para establecer la confianza en el dispositivo.
-
SAML. La certificación Security Assertion Markup Language (SAML) le permite proporcionar acceso SSO a servidores, sitios web y aplicaciones.
-
APNs. Los certificados APNs de Apple permiten la administración de dispositivos móviles a través de la red Apple Push Network.
-
Agente de escucha SSL. El agente de escucha (Listener) de Secure Sockets Layer (SSL) notifica a XenMobile la actividad criptográfica SSL.
-
-
Archivo de almacén de claves: Busque el almacén de claves que desea importar del tipo de archivo .p12 (o .pfx en equipos basados en Windows).
-
Contraseña: Escriba la contraseña asignada al certificado.
-
Descripción: Opcionalmente, escriba una descripción para el almacén de claves que le ayude a distinguirlo de sus otros almacenes de claves.
-
-
Haga clic en Importar. El almacén de claves se añade a la tabla Certificados.
Para importar un certificado
Al importar un certificado, ya sea desde un archivo o una entrada de almacén de claves, XenMobile intenta construir una cadena de certificados a partir de la entrada. XenMobile importa todos los certificados de esa cadena para crear una entrada de certificado de servidor para cada uno. Esta operación solo funciona si los certificados del archivo o de la entrada del almacén de claves forman una cadena. Por ejemplo, si cada certificado subsiguiente de la cadena es el emisor del certificado anterior.
Puede añadir una descripción opcional para el certificado importado. La descripción solo se adjunta al primer certificado de la cadena. Puede actualizar la descripción de los certificados restantes más tarde.
-
En la consola de XenMobile, haga clic en el icono de engranaje en la esquina superior derecha de la consola y, a continuación, haga clic en Certificados.
-
En la página Certificados, haga clic en Importar. Aparece el cuadro de diálogo Importar.
-
En el cuadro de diálogo Importar, en Importar, si aún no está seleccionado, haga clic en Certificado.
-
El cuadro de diálogo Importar cambia para reflejar las opciones de certificado disponibles. En Usar como, seleccione cómo piensa usar el almacén de claves. Las opciones disponibles son:
-
Servidor. Los certificados de servidor son certificados utilizados funcionalmente por XenMobile Server que se cargan en la consola web de XenMobile. Incluyen certificados de CA, certificados de RA y certificados para la autenticación de clientes con otros componentes de su infraestructura. Además, puede usar certificados de servidor como almacenamiento para los certificados que desee implementar en los dispositivos. Esta opción se aplica especialmente a las CA utilizadas para establecer la confianza en el dispositivo.
-
SAML. La certificación Security Assertion Markup Language (SAML) le permite proporcionar acceso de inicio de sesión único (SSO) a servidores, sitios web y aplicaciones.
-
Agente de escucha SSL. El agente de escucha de Secure Sockets Layer (SSL) notifica a XenMobile la actividad criptográfica SSL.
-
-
Busque el almacén de claves que desea importar del tipo de archivo .p12 (o .pfx en equipos basados en Windows).
-
Busque un archivo de clave privada opcional para el certificado. La clave privada se utiliza para el cifrado y descifrado junto con el certificado.
-
Escriba una descripción para el certificado, opcionalmente, para ayudarle a identificarlo de sus otros certificados.
-
Haga clic en Importar. El certificado se añade a la tabla Certificados.
Cargar certificados en dispositivos iOS de forma masiva con la API REST
Si cargar certificados uno a uno no es práctico, puede cargarlos de forma masiva en dispositivos iOS con la API REST. Este método admite certificados en formato .p12. Para obtener más información sobre la API REST, consulte API REST.
-
Cambie el nombre de cada uno de los archivos de certificado al formato
device_identity_value.p12. Eldevice_identity_valuepuede ser el IMEI, el número de serie o el MEID de cada dispositivo.Por ejemplo, si elige usar números de serie como método de identificación. Un dispositivo tiene el número de serieA12BC3D4EFGH, así que asigne al archivo de certificado que espera instalar en ese dispositivo el nombreA12BC3D4EFGH.p12. -
Cree un archivo de texto para almacenar las contraseñas de los certificados .p12. En ese archivo, escriba el identificador del dispositivo y la contraseña de cada dispositivo en una nueva línea. Utilice el formato
device_identity_value=password. Consulte lo siguiente:A12BC3D4EFGH.p12=password1!
A12BC3D4EFIJ.p12=password2@
A12BC3D4EFKL.p12=password3# -
Empaquete todos los certificados y el archivo de texto que creó en un archivo .zip.
-
Inicie su cliente de API REST, inicie sesión en XenMobile y obtenga un token de autenticación.
-
Importe sus certificados, asegurándose de incluir lo siguiente en el cuerpo del mensaje:
{
"alias": "",
"useAs": "device",
"uploadType": "keystore",
"keystoreType": "PKCS12",
"identityType":"SERIAL_NUMBER", # identity type can be "SERIAL_NUMBER","IMEI","MEID"
"credentialFileName":"credential.txt" # The credential file name in .zip
}
-
Cree una directiva VPN con el tipo de credencial Always on IKEv2 y el método de autenticación de dispositivo Device Certificate Based on Device Identity. Seleccione el tipo de identidad de dispositivo que utilizó en los nombres de sus archivos de certificado. Consulte Directiva de dispositivo VPN.
-
Inscriba un dispositivo iOS y espere a que se implemente la directiva VPN. Confirme la instalación del certificado comprobando la configuración de MDM en el dispositivo. También puede comprobar los detalles del dispositivo en la consola de XenMobile.
También puede eliminar certificados de forma masiva creando un archivo de texto con el
device_identity_value listado para cada certificado que desee eliminar. En la API REST, llame a la API de eliminación y utilice la siguiente solicitud, reemplazando device_identity_value con el identificador apropiado:
```
{
"identityType"="device_identity_value"
}
```
Actualizar un certificado
XenMobile solo permite que exista un certificado por clave pública en el sistema a la vez. Si intenta importar un certificado para el mismo par de claves que un certificado ya importado, puede reemplazar la entrada existente o eliminarla.
Para actualizar sus certificados de la forma más eficaz en la consola de XenMobile, haga lo siguiente. Haga clic en el icono de engranaje en la esquina superior derecha de la consola para abrir la página Parámetros y, a continuación, haga clic en Certificados. En el cuadro de diálogo Importar, importe el nuevo certificado.
Cuando se actualiza un certificado de servidor, los componentes que utilizaban el certificado anterior cambian automáticamente para usar el nuevo certificado. Del mismo modo, si ha implementado el certificado de servidor en los dispositivos, el certificado se actualiza automáticamente en la siguiente implementación.
Renovar un certificado
XenMobile Server utiliza las siguientes entidades de certificación (CA) internamente para PKI: CA raíz, CA de dispositivo y CA de servidor. Esas CA se clasifican como un grupo lógico y se les asigna un nombre de grupo. Cuando se aprovisiona una nueva instancia de XenMobile Server, se generan las tres CA y se les asigna el nombre de grupo "default".
Puede renovar las CA para dispositivos iOS, macOS y Android compatibles mediante la consola de XenMobile Server o la API REST pública. Para los dispositivos Windows inscritos, los usuarios deben volver a inscribir sus dispositivos para recibir una nueva CA de dispositivo.
Las siguientes API están disponibles para renovar o regenerar las CA de PKI internas en XenMobile Server y renovar los certificados de dispositivo emitidos por estas entidades de certificación.
-
Crear entidades de certificación (CA) de grupo.
-
Activar nuevas CA y desactivar las antiguas.
-
Renovar el certificado de dispositivo en una lista configurada de dispositivos. Los dispositivos ya inscritos siguen funcionando sin interrupciones. Se emite un certificado de dispositivo cuando un dispositivo se vuelve a conectar al servidor.
-
Devolver una lista de dispositivos que aún utilizan la CA antigua.
-
Eliminar la CA antigua después de que todos los dispositivos tengan la nueva CA.
Para obtener información, consulte las siguientes secciones en el PDF (/es-es/xenmobile/server/downloads/public-rest-api.pdf):
-
Sección 3.16.58, Renovar certificado de dispositivo
-
Sección 3.23, Grupos de CA de PKI interna
La consola Administrar dispositivos incluye la acción de seguridad Renovación de certificados que se utiliza para renovar el certificado de inscripción en un dispositivo.
Requisitos previos
-
De forma predeterminada, esta función de actualización de certificados está deshabilitada. Para activar las funciones de actualización de certificados, establezca el valor de la propiedad del servidor refresh.internal.ca en True.
Importante:
Si su Citrix ADC está configurado para la descarga SSL, al generar un nuevo certificado, asegúrese de actualizar su equilibrador de carga con el nuevo cacert.perm. Para obtener más información sobre la configuración de Citrix Gateway, consulte Para usar el modo de descarga SSL para VIP de NetScaler.
Opción de CLI para restablecer la contraseña del certificado de CA del servidor para los nodos del clúster
Después de generar un certificado de CA del servidor en un nodo de XenMobile Server, use la CLI de XenMobile para restablecer la contraseña del certificado en otros nodos del clúster. En el menú principal de la CLI, elija Sistema > Configuración avanzada > Restablecer contraseña de certificados de CA. Si restablece la contraseña cuando no hay un nuevo certificado de CA, XenMobile no restablece la contraseña.
Administración de certificados de XenMobile
Le recomendamos que enumere los certificados que utiliza en su implementación de XenMobile, especialmente sus fechas de caducidad y contraseñas asociadas. Esta sección tiene como objetivo ayudarle a facilitar la administración de certificados en XenMobile.
Su entorno puede incluir algunos o todos los siguientes certificados:
-
XenMobile Server
-
Certificado SSL para FQDN de MDM
-
Certificado SAML (para Citrix Files)
-
Certificados de CA raíz e intermedios para los certificados anteriores y cualquier otro recurso interno (StoreFront/Proxy, etc.)
-
Certificado APN para la administración de dispositivos iOS
-
Certificado APNs interno para las notificaciones de Secure Hub de XenMobile Server
-
Certificado de usuario PKI para la conectividad a PKI
-
-
Kit de herramientas MDX
-
Certificado de desarrollador de Apple
-
Perfil de aprovisionamiento de Apple (por aplicación)
-
Certificado APNs de Apple (para usar con Citrix Secure Mail™)
-
Archivo de almacén de claves de Android
El SDK de MAM no encapsula aplicaciones, por lo que no requiere un certificado. -
-
Citrix ADC
-
Certificado SSL para FQDN de MDM
-
Certificado SSL para FQDN de Gateway
-
Certificado SSL para FQDN de ShareFile SZC
-
Certificado SSL para el equilibrio de carga de Exchange (configuración de descarga)
-
Certificado SSL para el equilibrio de carga de StoreFront
-
Certificados de CA raíz e intermedia para los certificados anteriores
-
Política de caducidad de certificados de XenMobile
Si permite que un certificado caduque, el certificado deja de ser válido. Ya no podrá realizar transacciones seguras en su entorno y no podrá acceder a los recursos de XenMobile.
Nota:
La Autoridad de Certificación (CA) le solicita que renueve su certificado SSL antes de la fecha de caducidad.
Certificado APNs para Citrix Secure Mail
Los certificados del Servicio de notificaciones push de Apple (APNs) caducan cada año. Asegúrese de crear un certificado SSL de APNs y actualizarlo en el portal de Citrix antes de que caduque el certificado. Si el certificado caduca, los usuarios experimentarán inconsistencias con las notificaciones push de Secure Mail. Además, ya no podrá enviar notificaciones push para sus aplicaciones.
Certificado APNs para la administración de dispositivos iOS
Para inscribir y administrar dispositivos iOS con XenMobile, configure y cree un certificado APNs de Apple. Si el certificado caduca, los usuarios no podrán inscribirse en XenMobile y usted no podrá administrar sus dispositivos iOS. Para obtener más información, consulte Certificados APNs.
Puede ver el estado y la fecha de caducidad del certificado APNs iniciando sesión en el Portal de certificados push de Apple. Asegúrese de iniciar sesión como el mismo usuario que creó el certificado.
También recibirá una notificación por correo electrónico de Apple 30 y 10 días antes de la fecha de caducidad. La notificación incluye la siguiente información:
The following Apple Push Notification Service certificate, created for Apple ID CustomerID will expire on Date. Revoking or allowing this certificate to expire will require existing devices to be re-enrolled with a new push certificate.
Please contact your vendor to generate a new request (a signed CSR), then visit https://identity.apple.com/pushcert to renew your Apple Push Notification Service certificate.
Thank You,
Apple Push Notification Service
MDX Toolkit (certificado de distribución de iOS)
Una aplicación que se ejecuta en un dispositivo iOS físico (que no sean aplicaciones de la App Store de Apple) tiene estos requisitos de firma:
-
Firme la aplicación con un perfil de aprovisionamiento.
-
Firme la aplicación con un certificado de distribución correspondiente.
Para verificar que tiene un certificado de distribución de iOS válido, haga lo siguiente:
-
Desde el portal de desarrolladores de Apple Enterprise, cree un ID de aplicación explícito para cada aplicación que planee empaquetar con MDX Toolkit. Un ejemplo de ID de aplicación aceptable es:
com.CompanyName.ProductName. -
Desde el portal de desarrolladores de Apple Enterprise, vaya a Perfiles de aprovisionamiento > Distribución y cree un perfil de aprovisionamiento interno. Repita este paso para cada ID de aplicación creado en el paso anterior.
-
Descargue todos los perfiles de aprovisionamiento. Para obtener más información, consulte Empaquetar aplicaciones móviles iOS.
Para confirmar que todos los certificados de XenMobile Server son válidos, haga lo siguiente:
-
En la consola de XenMobile, haga clic en Configuración > Certificados.
-
Compruebe que todos los certificados, incluidos los de APNs, SSL Listener, raíz e intermedios, son válidos.
Almacén de claves de Android
El almacén de claves es un archivo que contiene los certificados utilizados para firmar su aplicación Android. Cuando el período de validez de su clave caduca, los usuarios ya no pueden actualizar sin problemas a nuevas versiones de su aplicación.
Citrix ADC
Para obtener más información sobre cómo gestionar la caducidad de certificados para Citrix ADC, consulte Cómo gestionar la caducidad de certificados en NetScaler en el Centro de conocimientos de soporte de Citrix.
Un certificado de Citrix ADC caducado impide que los usuarios se inscriban y accedan a Store. El certificado caducado también impide que los usuarios se conecten a Exchange Server cuando utilizan Secure Mail. Además, los usuarios no pueden enumerar ni abrir aplicaciones HDX (dependiendo de qué certificado haya caducado).
Expiry Monitor y Command Center pueden ayudarle a realizar un seguimiento de sus certificados de Citrix ADC. El Centro le notifica cuando el certificado caduca. Estas herramientas ayudan a supervisar los siguientes certificados de Citrix ADC:
-
Certificado SSL para FQDN de MDM
-
Certificado SSL para FQDN de Gateway
-
Certificado SSL para FQDN de ShareFile SZC
-
Certificado SSL para equilibrio de carga de Exchange (configuración de descarga)
-
Certificado SSL para equilibrio de carga de StoreFront
-
Certificados de CA raíz e intermedios para los certificados anteriores