[z/OS]

Modificando o modo de validação do certificado em z/OS

Como usar a variável GSK_CERT_VALIDATION_MODE de ambiente para modificar o modo de validação do certificado ao z/OS® migrar para TLS 1.3.

Ao estabelecer uma conexão TLS, o padrão da Internet usado para validar certificados depende do valor da variável GSK_CERT_VALIDATION_MODE de ambiente. Para obter mais informações, consulte Variáveis de ambiente na documentação Programação SSL z/OS do Sistema de Serviços Criptográficos.

  • Um valor de 2459 especifica a validação do certificado apenas em relação ao RFC 2459.
  • Um valor de 3280 especifica a validação do certificado apenas em relação ao RFC 3280.
  • Um valor de 5280 especifica a validação do certificado apenas em relação ao RFC 5280.
  • Um valor ANY especifica inicialmente a validação do certificado em relação à RFC 2459. Se isso falhar, valide de acordo com a RFC 3280 e, se isso falhar, valide de acordo com a RFC 5280.

O valor padrão é QUALQUER, a menos que o TLS 1.3 seja negociado para uma conexão segura. Nesse caso, a validação do certificado é feita de acordo com a RFC 5280, a menos que explicitamente especificado.

Em algumas circunstâncias (por exemplo, ao mudar para TLS 1.3 e usar certificados existentes que incluem uma extensão de uso de chave estendida sem o clientAuth uso), é necessário especificar um modo de validação diferente, alterando o valor da variável GSK_CERT_VALIDATION_MODE de ambiente (ou seja, para o exemplo dado, GSK_CERT_VALIDATION_MODE=2459). O valor alterado será aplicado a todos os canais TLS.

É possível configurar esta variável de ambiente TLS na inicialização do inicializador de canais, usando a instrução DD CEEOPTS:
CEEOPTS DD DSN=<dataset-name>,DISP=SHR
No conjunto de dados mencionado neste exemplo, especifique a lista que deseja usar, por exemplo:
ENVAR("GSK_CERT_VALIDATION_MODE=2459")
Importante: não utilize esta instrução CEEOPTS com dados em fluxo, pois isso impede que a variável de ambiente seja definida para todas as tarefas TLS que utilizam essa instrução.

Certifique-se de referenciar um conjunto de dados sequencial ou um membro de conjunto de dados particionado para permitir que isso funcione ao usar um valor SSLTASKS maior que um.

Importante: Importante: É necessário aplicar a correção no z/OS APAR OA68554 para permitir que a configuração do modo de validação seja usada ao verificar o uso estendido da chave em um ambiente 1.3 TLS.