Red de facturas electrónicas Especificaciones de Seguridad para Clientes Versión 2.0

Transcripción

1 Red de facturas electrónicas Especificaciones de Seguridad para Clientes Versión 2.0 Especificaciones de Seguridad para Clientes Página 1 de 26

2 Contenido del documento 1. Introducción Objetivo Alcance Acceso a los Web Services Generación del CSR (Certificate Signing Request) Generar un juego de claves Pública y Privada: Guardar el Keystore Generar el CSR en formato PKCS#10: Generar el HASH MD5 del CSR Cargar el request.csr y el hash MD5 al site de Interfacturas: Imprimir la Carta de Ratificación/ Anexo Importación del Certificado Respuesta de la CA Descargar los certificados desde Interfacturas Importar el Certificado de la CA al Keystore: Importar el Certificado Respuesta generado por la CA al Keystore: Guardar el Keystore Exportar la Clave Privada a PKCS#12 con el KeyTool GUI Comprobar conectividad Renovación del certificado desde el Keystore Código Fuente Cliente WS de Ejemplo Generar las clases desde el WSDL JARs necesarios a utilizar Setear el CLASSPATH con los JARs necesarios Armado de clases desde el WSDL Crear una clase java que ejecute el cliente URLs Instalación del certificado en un navegador para consultar el WSDL Especificaciones de Seguridad para Clientes Página 2 de 26

3 Control de cambios Fecha Version Descripción del cambio 15/03/ Se cambiaron en el punto URLs, las IP de QA y Producción 15/11/ Se actualizan pantallas y aclaran algunos puntos 22/01/ Se realiza una revisión del documento y se agregan los pasos a seguir cuando simplemente se debe renovar el certificado Especificaciones de Seguridad para Clientes Página 3 de 26

4 Especificaciones de Seguridad 1. Introducción 1.1 Objetivo El objetivo del presente documento es detallar las especificaciones de seguridad para acceder a los Web Services del sistema interfacturas. 1.2 Alcance Este documento brinda las especificaciones de seguridad para que las Empresas habilitadas puedan acceder a los Web Services de la Red. 2. Acceso a los Web Services El mecanismo implementado para el acceso a los Web Services (SOAP/HTTPS) de la Red de Factura Electrónica se basa en el empleo de "Two Way SSL Authentication" (SSL con autentificación de dos vías). Esto significa que cada empresa deberá contar con un certificado cliente para acceder a los servicios de la Red. A tal fin, se presenta un mecanismo posible para la obtención de los certificados por parte de las empresas: generación de una CSR "Certificate Signing Request" que será procesado on-line por la CA de Interbanking (CA que no cuenta en su raíz con una CA reconocida). 2.1 Generación del CSR (Certificate Signing Request) Se requerie un certificado digital X.509 que debe contener en el Asunto (Subject) los siguientes valores: CN= El CUIT de la Empresa OU= Area de la Organización O= Razón Social de la Empresa C= País Ejemplo: CN= OU=Factura Electrónica O=Empresa S.A. C=AR Es recommendable que el algoritmo de la Clave Publica (Public Key Algorithm) del certificado sea RSA de 1024 bits, y que el algoritmo usado para la firma digital del certificado (Signature Algorithm) sea SHA1withRSA o MD5withRSA. Se puede utilizar el comando keytool que esta incluido en el JDK (Java Development Kit), el KeyTool GUI 1.7 (herramienta open source) o cualuiqer otra herramienta de cualquier plataforma que genere un Certificate Signing Request de un Certificado Digital X.509. Especificaciones de Seguridad para Clientes Página 4 de 26

5 2.1.1 Generar un juego de claves Pública y Privada: Con el keytool de java: keytool -genkey -alias certfactura -sigalg SHA1withRSA - keystore keystorefe.ks -keyalg RSA -validity 365 -dname "CN= ,OU=Factura Electronica,O=EMPRESA S.A.,C=AR" Aclaraciones: -alias certfactura Nombre que tendrá la clave privada dentro del KeyStore. -keystore keystorefe.ks Path absoluto y nombre del archivo del KeyStore. -dname "CN= ,OU=Factura Electronica,O=EMPRESA S.A.,C=AR" Datos de la empresa, en CN=Número del CUIT de la Empresa, OU=Area de la Empresa, O=Razón Social, C=Pais. Con el KeyTool GUI 1.7: Abrir el KeyTool GUI 1.7 y seleccionar File -> New Keystore Especificaciones de Seguridad para Clientes Página 5 de 26

6 Seleccionar el tipo JKS En el menú Tools, seleccionar Generate Key Pair El Key Pair debe ser RSA de 1024 Completar los datos del certificado, el algoritmo debe ser SHA1withRSA Especificaciones de Seguridad para Clientes Página 6 de 26

7 Ingresar un alias para el Key Pair Nos aparecerá una ventana de confirmación de la generación y veremos el Key Pair dentro del Keystore Especificaciones de Seguridad para Clientes Página 7 de 26

8 2.1.2 Guardar el Keystore Esto se realiza desde la opción File-> Save keystore MUY IMPORTANTE: Las dos passwords que solicita el proceso deben ser iguales Generar el CSR en formato PKCS#10: Con el keytool de java: keytool -certreq -alias certfactura -file request.csr -keystore keystorefe.ks -dname "CN= ,OU=Factura Electronica,O= EMPRESA S.A.,C=AR" Con el KeyTool GUI 1.7: Hacer un click con el botón derecho del mouse sobre el Key Pair y seleccionar Generate CSR Guardar el CSR Especificaciones de Seguridad para Clientes Página 8 de 26

9 2.1.4 Generar el HASH MD5 del CSR Este HASH es necesario para validar la integridad del archivo request.csr que se carga en interfacturas; no se refiere a la huella digital del Certificado (Certificate fingerprint), sino al checksum MD5 del contenido del archivo request.csr. Una alternativa es descargar algún programa (que implemente el algoritmo para el calculo del checksum MD5) que dado un archivo le devuelva el hash MD5. Por ejemplo: C:\md5sums-1.2>md5sums request.csr C:\fsum>fsum request.csr Cargar el request.csr y el hash MD5 al site de Interfacturas: En la suscripción luego de seleccionar el servicio adicional Operación Automática - Vía WebService, Si ya existe como empresa desde el menú Administración > Empresa luego de agregar el servicio adicional indicado. Si debe renovar un certificado existente, hágalo desde el menú Administración > Empresa, luego acceder al Detalle del certificado y por último presiones Renovar Visualizará una pantalla similar a la siguiente: Imprimir la Carta de Ratificación/ Anexo Especificaciones de Seguridad para Clientes Página 9 de 26

10 Se debe imprimir la Carta de Ratificación/Anexo y enviarlo al Banco correspondiente cuando se trate del ambiente de producción. Cuando esté haciendo estos pasos en el ambiente de QA (pruebas) envíe un mail a implementaciones@interbanking.com.ar indicando que ha quedado pendiente el certificado. 2.2 Importación del Certificado Respuesta de la CA Descargar los certificados desde Interfacturas Una vez que el Banco (o implementaciones) apruebe la suscripción, el alta del offering o renovación del certificado, ya tendrá disponible para bajar desde el menú Administración Empresa Detalle del Certificado: a) El certificado de la empresa firmado por la CA de Interbanking (CertificadoSigned.zip -> interfacturas cer). b) El certificado publico de la CA de Interbanking (CertificadoCA.zip -> interfacturasca.cer). c) Importante: En el ambiente de QA, la empresa va a necesitar el certificado HTTPS de la URL del Web Service, porque es un Self Signed Certificate, por lo que debe utilizarse con los clientes que intenten establecer una conexión SSL. Solicitarlo a implementaciones@interbanking.com.ar Hay algunos casos que en el ambiente de producción también se necesite incorporar en el keystore el certificado HTTPS a pesar de ser emitido por una entidad certificante de confianza. De ser necesario, solicitarlo también a implementaciones@interbanking.com.ar Pantalla de detalle de certificado Especificaciones de Seguridad para Clientes Página 10 de 26

11 2.2.2 Importar el Certificado de la CA al Keystore: Con el keytool de java: keytool -import -file interfacturasca.cer -keystore keystorefe.ks trustcacerts Con el KeyTool GUI 1.7: En el menú Tools, seleccionar Import Trusted Certificate Seleccionar el archivo del certificado de la CA descargado (interfacturasca.cer). Aparecerá un mensaje de que el certificado no se puede establecer como un certificado de confianza, esto es porque la CA de Interbanking es un Self Signed Certificate. Especificaciones de Seguridad para Clientes Página 11 de 26

12 Muestra el detalle del Certificado de la CA. Aceptar el certificado como uno de confianza. Especificaciones de Seguridad para Clientes Página 12 de 26

13 Asignarle un alias al certificado de la CA para identificarlo dentro del Keystore Importar el Certificado Respuesta generado por la CA al Keystore: Con el keytool de java: keytool -import -alias certfactura -file interfacturas cer -keystore keystorefe.ks Con el KeyTool GUI 1.7: Especificaciones de Seguridad para Clientes Página 13 de 26

14 Hacer un click con el botón derecho del mouse sobre el Key Pair y seleccionar Import CA Reply Seleccionar el archivo del certificado de la empresa firmado por la CA de Interbanking (interfacturas cer), descargado de Interfacturas. Luego del mensaje de finalización, se podrá visualizar que el detalle del KeyPair, ahora en el campo Issuer se ven los datos de la CA de Interbanking. Especificaciones de Seguridad para Clientes Página 14 de 26

15 2.2.4 Guardar el Keystore Esto se realiza desde la opción File-> Save keystore Exportar la Clave Privada a PKCS#12 con el KeyTool GUI 1.7 Para algunas tecnologías distintas de JAVA (por ejemplo.net), podría de ser necesario exportar la clave privada del Keystore a un archivo (.pfx o.p12) en formato PKCS#12, para ser utilizado en algún cliente Web Service al establecer la comunicación SSL de doble autentificación. Especificaciones de Seguridad para Clientes Página 15 de 26

16 2.2.6 Comprobar conectividad Si quisiera comprobar la conectividad o bien visualizar desde un explorador el WSDL por ejemplo de cada WebService, debería instalar el certificado (.pfx o.p12) en formato PKCS#12 en el navegador de Internet que utilice. Y en la barra de direcciones indicar la URL que desee seguida de?wsdl Para más información, ver punto Renovación del certificado desde el Keystore Si ya se está utilizando un Keystore para acceder a los webservices y lo que se desea es renovar el certificado expirado, debe abrir el Keystore y seguir los pasos a partir del punto En el punto 2.2 se puede obviar la importación de los certificados que ya deberían estar incluidos en el Keystore (paso b y c; y paso 2.2.2) 3. Código Fuente Cliente WS de Ejemplo Describiremos los pasos a seguir para generar un cliente Web Service con Axis 1.4, un framework open source para Web Service. 3.1 Generar las clases desde el WSDL JARs necesarios a utilizar wsdl4j jar mail.jar commons-logging jar commons-httpclient-3.0-rc2.jar commons-discovery-0.2.jar commons-codec-1.3.jar axis-wsse-1.0.jar axis-saaj-1.0.jar axis-jaxrpc-1.4.jar axis-1.4.jar activation.jar Especificaciones de Seguridad para Clientes Página 16 de 26

17 saaj.jar log4j jar Setear el CLASSPATH con los JARs necesarios set AXIS_LIB= D:\proyecto\clienteAxisQA set AXISCLASSPATH=%AXIS_LIB%\axis-1.4.jar;%AXIS_LIB%\commons-discovery- 0.2.jar;%AXIS_LIB%\commons-logging jar;%AXIS_LIB%\axis-jaxrpc- 1.4.jar;%AXIS_LIB%\saaj.jar;%AXIS_LIB%\log4j jar;%AXIS_LIB%\activation.jar;%AXIS_LIB%\axis-saaj-1.4.jar;%AXIS_LIB%\axis-wsse- 1.0.jar;%AXIS_LIB%\commons-httpclient-3.0-rc2.jar;%AXIS_LIB%\mail.jar;%AXIS_LIB%\wsdl4j jar Armado de clases desde el WSDL Ejecutar la siguiente clase pasando como parámetro el nombre del archivo del WSDL java -cp %AXISCLASSPATH% org.apache.axis.wsdl.wsdl2java FacturaWebService.wsdl La linea anterior va a generar las siguientes clases: ar.com.ib.cfe.ejb.services.facturawebservicelocator; ar.com.ib.cfe.ejb.services.facturawebservice; ar.com.ib.cfe.ejb.services.facturawebserviceporttype; ar.com.ib.cfe.ejb.services.facturawebservicesoapbindingstub; Crear una clase java que ejecute el cliente Ahora necesitamos una clase que utilice las clases creadas para invocar al Web Service de Interfacturas. A continuación mostramos un código de ejemplo de una clase Main.java que invoca al Web Service. Esta clase recibe 4 parametros al ejecutarse: InputLoteFacturas : Path del xml de Lotes de Facturas a enviar. KeyStore path : Path del keystore y el truststore. KeyStore password : Password del keystore y el truststore. MUY IMPORTANTE: Las dos passwords que solicita el proceso deben ser iguales. [urlws] : (Opcional) URL del WS a enviar las facturas. Por default java cp %AXISCLASSPATH% Main lote.xml "D:\\keyStore.ks" password Especificaciones de Seguridad para Clientes Página 17 de 26

18 import java.io.file; import java.io.fileinputstream; import java.io.ioexception; import java.io.inputstream; import java.net.url; import ar.com.ib.cfe.ejb.services.facturawebservicelocator; import ar.com.ib.cfe.ejb.services.facturawebserviceporttype; public class Main { public Main() { } /** args */ public static void main(string[] args) throws Exception { if ((args.length == 1) && "/?".equals(args[0])) { System.out.println(help()); System.exit(0); } if (args.length < 3) { System.out.println("Faltan parametros."); System.out.println(help()); System.exit(1); } String filename = args[0]; String keystorename = args[1]; String keystorepassword = args[2]; String urlws = null; if (args.length == 4) { } urlws = args[3]; } Main test = new Main(); test.enviarfacturas(filename, keystorename, keystorepassword, urlws); public void enviarfacturas(string filename, String keystorename, String keystorepassword, String urlws) { try { System.out.println("Cliente Web Service de Ejemplo para conectarse a Interfacturas..."); File lotefile = new File(fileName); byte[] lotebyte = getbytesfromfile(lotefile); String lote = new String(loteByte); System.out.println("Enviando Lote de Facturas..."); System.out.println("Lote para Enviar: " + lote); System.setProperty("javax.net.ssl.keyStore", keystorename); System.setProperty("javax.net.ssl.keyStorePassword", keystorepassword); System.setProperty("javax.net.ssl.trustStore", keystorename); System.setProperty("javax.net.ssl.trustStorePassword", keystorepassword); Especificaciones de Seguridad para Clientes Página 18 de 26

19 FacturaWebServiceLocator service = new FacturaWebServiceLocator(); FacturaWebServicePortType port = null; if (urlws!=null) { port = service.getfacturawebserviceport(new URL(urlWS)); } else { port = service.getfacturawebserviceport(); } String respuesta = port.receivefacturas(lote); System.out.println("Respuesta: " + respuesta); } } catch (Exception e) { } e.printstacktrace(); public static String help() { StringBuffer sb = new StringBuffer(); sb.append("cliente Web Service de Ejemplo para conectarse a Interfacturas\n\n"); sb.append("parametros:\n"); sb.append("\tinputlotefacturas : Path del xml de Lotes de Facturas a enviar.\n"); sb.append("\tkeystore path : Path del keystore y el truststore.\n"); sb.append("\tkeystore password : Password del keystore y el truststore. Debe ser la misma que de la clave privada\n"); sb.append("\t[urlws] : (Opcional) URL del WS a enviar las facturas. Por default } return sb.tostring(); public static byte[] getbytesfromfile(file file) throws IOException { InputStream is = new FileInputStream(file); // Get the size of the file long length = file.length(); // You cannot create an array using a long type. // It needs to be an int type. // Before converting to an int type, check // to ensure that file is not larger than Integer.MAX_VALUE. if (length > Integer.MAX_VALUE) { // File is too large } // Create the byte array to hold the data byte[] bytes = new byte[(int) length]; // Read in the bytes int offset = 0; int numread = 0; while ((offset < bytes.length) && ((numread = is.read(bytes, offset, bytes.length - offset)) >= 0)) { offset += numread; } // Ensure all the bytes have been read in if (offset < bytes.length) { throw new IOException("Could not completely read file " + file.getname()); } Especificaciones de Seguridad para Clientes Página 19 de 26

20 } } // Close the input stream and return bytes is.close(); return bytes; 4. URLs Las url de los Web Service por ambiente son las siguientes: Ambiente de pruebas: IP: Ambiente productivo: IP: Siempre hay dos Web Service, uno que recibe el xml como String (texto) y otro que termina con el sufijo ConSchema recibe el xml puro, tiene el schema embebido en el WSDL: Por ejemplo: o Y para consultar el WSDL desde un browser, se le agrega al final?wsdl : o Todos los WebServices poseen métodos, éstos pueden ser consultados en la Guía WS y métodos y los documentos de especificaciones donde se pueden observar el detalle y los esquemas de los mismos. Especificaciones de Seguridad para Clientes Página 20 de 26

21 5. Instalación del certificado en un navegador para consultar el WSDL Si quisiera comprobar la conectividad, validar el certificado o bien visualizar desde un explorador el WSDL por ejemplo de cada WebService, debería instalar el certificado (.pfx o.p12) en formato PKCS#12 en el navegador de Internet que utilice. Y en la barra de direcciones indicar la URL que desee seguida de?wsdl En caso de querer acceder a alguno de los WebServices sin tener instalado el certificado o con un certificado no válido, el mensaje que aparecerá será similar al siguiente Ingresar al menú Herramientas opciones de Internet Especificaciones de Seguridad para Clientes Página 21 de 26

22 Sobre la solapa Contenido acceder al botón Certificados Aparecerá la siguiente pantalla, se debe presionar el botón Importar Especificaciones de Seguridad para Clientes Página 22 de 26

23 Realizar la búsqueda del archivo.p12 Ingresar la clave privada Especificaciones de Seguridad para Clientes Página 23 de 26

24 Indicar que seleccione automáticamente el almacén de certificados Por último confirmar la finalización de la importación de certificados Especificaciones de Seguridad para Clientes Página 24 de 26

25 Confirmar la advertencia de seguridad, la cual aparece sobre todo en el ambiente de pruebas, la probabilidad de que aparezca en el ambiente productivo es baja. Se presentará el siguiente mensaje: Quedará el certificado en el listado de certificados personales Especificaciones de Seguridad para Clientes Página 25 de 26

26 Por último, para chequear la correcta instalación del certificado, se debe probar colocar una URL válida en el explorer, por ejemplo: Si el certificado es correcto, entonces se mostrará una pantalla similiar a la siguiente: Especificaciones de Seguridad para Clientes Página 26 de 26