Configurar os aspectos da Validação S/MIMENesta página, poderá configurar alguns aspectos da validação dos certificados de S/MIME.
Nota
Para a maior parte dos casos, isto é apenas uma versão mais amigável das mesmas opções que iria encontrar no “Configurar o Sistema GnuPG”. Tudo o que configurar aqui, poderá configurar no outro local também, com a excepção do Verifica a validade dos certificados a cada N horas, que é específico do Kleopatra.
O significado das opções é o seguinte:
- Verifica a validade dos certificados a cada
Nhoras Esta opção activa a verificação periódica da validade dos certificados. Poderá também escolher o intervalo da verificação (em horas). O efeito da verificação periódica é o mesmo que o → (F5) ; não existe nenhuma possibilidade de agendar periodicamente o → ou o → .
- Validar os certificados com as CRLs
Se esta opção estiver seleccionada, os certificados de S/MIME são validados de acordo com as Listas de Revogação de Certificados (CRL's).
Veja o Validar os 'certificados' a nível 'online' (OCSP) para conhecer um método alternativo de verificação da validade dos certificados.
- Validar os 'certificados' a nível 'online' (OCSP)
Se esta opção estiver seleccionada, os certificados de S/MIME são validados a nível 'online', usando o Protocolo 'Online' de Estado dos Certificados (OCSP).
Atenção
Ao escolher este método, é enviado um pedido ao servidor da CA, mais ou menos de cada vez que envia ou recebe uma mensagem criptográfica, o que permite em teoria à agência de emissão de certificados fazer um seguimento das pessoas com quem trocou mensagens (isto é).
Para usar este método, tem de indicar o URL do servidor de respostas de OCSP no URL de resposta do OCSP.
Veja o Validar os 'certificados' a nível 'online' (OCSP) para obter um método mais tradicional de verificação da validação dos certificados, que não passa qualquer informação sobre as pessoas com quem trocou mensagens.
- URL de resposta do OCSP
Indique aqui o endereço do servidor de validação 'online' dos certificados (servidor de respostas do OCSP). O URL normalmente começa por
http://.- Assinatura de resposta do OCSP
Escolha aqui o certificado com o qual o servidor de OCSP assina as suas respostas.
- Ignorar o URL de serviço dos certificados
Cada certificado de S/MIME normalmente contém o URL do servidor de OCSP do seu emissor (o → irá revelar se um dado certificado o contém).
Se assinalar esta opção, fará com que o GpgSM ignore esses URL's e só use o que estiver configurado acima.
Use isto isto é para forçar a utilização de um 'proxy' de OCSP empresarial.
- Não verificar políticas de certificados
Por omissão, o GpgSM usa o ficheiro
~/.gnupg/policies.txtpara verificar se uma dada política de certificados é permitida ou não. Se esta opção estiver seleccionada, as políticas não são verificadas.- Nunca consultar uma CRL
Se esta opção estiver assinalada, as Listas de Revogação de Certificados nunca são usadas para validar os certificados de S/MIME.
- Permitir marcar os certificados de raiz como fidedignos
Se esta opção estiver assinalada quando estiver a importar um certificado da CA de raiz, ser-lhe-á pedida a confirmação da sua impressão digital e se considera este certificado de raiz como sendo fidedigno ou não.
Um certificado de raiz tem de ser considerado fidedigno, antes de confirmar a confiança nos certificados que este certificou; se fizer apenas uma avaliação ligeira dos certificados de raiz, poderá minar a segurança do sistema.
Nota
Se activar esta funcionalidade na infra-estrutura, poderá obter janelas indesejadas do PinEntry (isto é ao verificar as assinaturas), podendo assim bloquear o processamento de correio não-verificado. Por essa razão, e dado que se pretende ser possível renegar um certificado de raiz fidedigno, o Kleopatra permite a definição manual da confiança, usando o → e o → .
Esta opção aqui não influencia o funcionamento do Kleopatra.
- Obter os certificados do emissor em falta
Se esta opção estiver assinalada, os certificados do emissor em falta serão obtidos quando for necessário (isto aplica-se a ambos os métodos de validação, as CRL's e o OCSP).
- Não efectuar pedidos HTTP
Desactiva por completo a utilização do HTTP para o S/MIME.
- Ignorar o ponto de distribuição CRL HTTP dos certificados
Ao procurar pela localização de uma CRL, o certificado a testar contém normalmente alguns elementos chamados de “Pontos de Distribuição da CRL” (DP), que são URL's que descrevem a forma de aceder à CRL. É usado o primeiro item DP que for encontrado.
Com esta opção, todos os itens que usem o esquema de HTTP serão ignorados ao procurar por um DP adequado.
- Utilizar o 'proxy' HTTP do sistema
Se esta opção estiver seleccionada, aparecerá o valor do 'proxy' de HTTP do lado direito (que vem da variável de ambiente
http_proxy) que será usado para qualquer pedido de HTTP.- Utilizar este 'proxy' para pedidos HTTP
Se não estiver definido nenhum 'proxy' do sistema, ou caso precise de usar um 'proxy' diferente para o GpgSM, poderá indicar aqui a sua localização.
Será usada para todos os pedidos de HTTP que digam respeito ao S/MIME.
A sintaxe é
máquina:portoproxy.nenhures.com:3128.
- Não efectuar pedidos LDAP
Desactiva por completo a utilização do LDAP para o S/MIME.
- Ignorar o ponto de distribuição CRL LDAP dos certificados
Ao procurar pela localização de uma CRL, o certificado a testar contém normalmente alguns elementos chamados de "Pontos de Distribuição da CRL" (DP), que são URL's que descrevem a forma de aceder à CRL. É usado o primeiro item DP que for encontrado.
Com esta opção, todos os itens que usam o esquema LDAP são ignorados ao procurar por um DP adequado.
- Servidor primário para pedidos LDAP
Se indicar aqui um servidor de LDAP, fará com que todos os pedidos de LDAP vão primeiro a este servidor. Para ser mais exacto, esta opção substitui todas as definições de
máquinaeportode um URL de LDAP, sendo também usadas caso amáquinae oportotenham sido omitidos do URL.Os outros servidores de LDAP só serão usados se a ligação ao “proxy” for mal-sucedida. A sintaxe é
máquinamáquina:portoportofor omitido, é usado o porto-padrão de LDAP, que é o 389.