SAS Web Application Server et l’erreur « unable to find valid certification path to requested target »

Si vous utilisez une connexion chiffrée TLS/SSL avec  SAS  Web Server vous pouvez être confronté  à une erreur SSLHandshakeException, lorsqu’une fois connecté (via SASLogin), vous tentez d’accéder à une application web SAS (par exemple SASStudio) :

Avant de vous lancer

Les processus de sécurité et de certification peuvent être très techniques. Vous ne devez exécuter aucune des tâches décrites cs sans une bonne compréhension des procédures de sécurité. Des modifications inappropriées peuvent avoir des effets extrêmement nocifs sur non seulement votre logiciel SAS, mais tous les logiciels que vous utilisez.

Pourquoi cette erreur ?

Il s'agit d'une erreur la plus courante lors de l’implémentation de TLS/SSL (https) dans un environnement SAS de type Office Analytics ou Visual Analytics. Heureusement, il s'agit d'un problème facile à résoudre ! Cette erreur se produit lorsque le magasin de certificat de la JVM (keystore) utilisée par SAS Web Application Server  n’a pas le certificat ayant signé le certificat du SAS  Web Server.

Quelques explications pour comprendre

Pour bien comprendre l’origine de cette erreur, il faut comprendre le fonctionnement SSL Une fois connecté via SASLogon, SAS Web Application Server  tente d’établir une connexion avec le SAS Web Server : Comme cette communication se fait dans un contexte sécurisé, le SAS Web Application Server doit valider l’authentification du certificat sur Web Server. Alors, le SAS Web Application Server étudie le certificat du SAS Web Server. Pour faire simple, il va regarder qui a signé le certificat du SAS Web Server. Comme vous le savez, c’est le rôle de CA (Certificate authority) :   Dans notre exemple le certificat du SAS Web Server a été signé « Nicolas Housset CA » : Une autorité de certification que j’ai créée, que seul moi utilise et que personne ne connait : Maintenant, SAS Web Application Server regarde s’il connait cette autorité. Comme je viens de vous le dire, c’est autorité est une autorité maison, il y a donc peu de chance que SAS Web Application Server connaisse son existence. Pour effectuer cette validation, SAS Web Application Server, va rechercher l’autorité « Nicolas Housset CA »  dans son magasin de certificat (keystore). SAS Web Application Server étant une application JAVA exécuté par la JVM SAS, ce certificat d’autorité doit se trouver dans le magasin jssecacerts :   « Nicolas Housset CA » n’est donc pas présent au milieu des certificat RapidSSL,AlphaSSL,GeoTrust,GlobalSign ou Symantec.  SAS Web Application Server ne peut donc pas valider sa connexion avec le SAS Web Server et remonte l’erreur : « unable to find valid certification path to requested target » Il faut donc ajouter cette autorité dans le keystore jssecacerts  : L’ajout dans le keystore SAS se fait via une commande keytool : Une fois ajouté dans le keystore, vous pouvez valider sa bonne prise en compte en utilisant l’outil SAS TLS/SSL Diagnostic Tool ou l’outil InstallCert. Si tout est ok, adieu ce vilain message d'erreur !

Gérer le bundle CA avec SAS Deployment Manager

À partir de SAS 9.4 (TS1M3 Rev. 940_15w29), il est possible d’utiliser SAS Deployment Manager pour ajouter vos certificats CA. Les bundles CA approuvés fournis avec SAS sont dans des formats multiples, pour une utilisation dans différents contextes SAS Client SSL. Aussi , en utilisant SAS Deployment Manager vos certificats sont ajoutés aux fichiers trustedcerts.pem et trustedcerts.jks.  Le fichier trustedcerts.jks est également copié dans le fichier jssecacerts de la JRE privée SAS. Après avoir ajouté des fichiers à l'aide de SAS Deployment Manager, les trois fichiers contiennent les certificats CA redistribués par SAS à partir de Mozilla ainsi que les certificats que vous venez d'ajouter. Le bundle CA que SAS redistribue provient de Mozilla et la liste des CA racines est disponible : https://wiki.mozilla.org/CA:IncludedCA

Cadeau bonux !

La vidéo complète de mes explications :     Et je vous offre aussi la stack java complète obtenue lors de l'apparition de cette erreur (fichier log dans LevX\Web\Logs\SASServer1_1)     Sources :   Préserver TLS et les personnalisations de proxy inversé existant (En front-end de SAS)  Configuration manuelle du serveur Web SAS pour HTTPS ( Utilisation de TLS avec les applications Web SAS et Reconfiguration pour utiliser HTTPS) Chiffrement (Cryptage) dans SAS 9.4 : L'idéal pour tout comprendre. Si vous vous lancez dans une passage en HTTPS de votre plate-forme SAS, ne passez pas à côté de cette documentation !