Huiswerk Linux: Apache SSL

Transcriptie

1 Huiswerk Linux: Apache SSL Apache SSL (Secure Socket Layer) is een implementatie van IP-SEC, het mechanisme achter HTTPS. Normaal wordt het verkeer tussen de Apache web-server en de browser (client), inclusief wachtwoorden, als platte tekst verstuurd. Daardoor kan iedereen die toegang heeft tot de router meelezen. Onze Apache login is daarom eigenlijk ook niet veilig. SSL versleutelt alle data die heen en weer gaat. De opdracht voor deze week is: zorg ervoor dat Apache pagina s kan serveren via het HTTPS (Secure HTTP) protocol. Over SSL certificaten We gaan een zogenaamd self-signed certificaat aanmaken. Normaal hoor je je certificaten door een derde partij (trusted source) te laten tekenen. Dan pas zijn ook jouw certificaten te vertrouwen. Toch kun je met een door jezelf ondertekend certificaat heel ver komen. Het data-verkeer wordt wel versleuteld, maar je bezoekers krijgen een melding in hun browser. Het sudo mechanisme Het configureren van Apache doen we namens de root gebruiker. We moeten daarom tijdelijk inloggen als Administrator (root). Sudo voor : rechts-klik op het icoon van de Cygwin terminal, en kies voor Als administrator uitvoeren. Installeer de Apache SSL module met het volgende commando: apt-get install apache-mod_ssl Sudo voor de overige Linux-gebruikers (Ubuntu, Lubuntu, Debian, Mint, etc.): start een terminal met de toetsencombinatie <Ctrl><Alt>-T. We gebruiken het commando sudo om in te loggen met het su (become Super User) commando. Daardoor blijven we ingelogd: sudo su Op Debian systemen krijg je de SSL module meestal met Apache meegeleverd. Je moet hem vaak wel nog activeren. Dit doe je met het a2enmod (Apache2 enable module) script: a2enmod ssl Certificaat aanmaken Eerst wisselen we naar de Apache serverroot, zodat we niet steeds het hele pad hoeven in te typen. Dit doen we met het cd (Change Directory) commando. In een Cygwin distributie staan de Apache configuratiebestanden in /etc/httpd. Zorg ervoor dat je in die directory staat: cd /etc/httpd De Apache configuratiebestanden van andere Linux distributies (Ubuntu, Debian, Suze, etc.) staan in /etc/apache2: cd /etc/apache2 Aanmaken map voor certificaten Allereerst gaan we een speciale Apache-map voor certificaten maken. Dit doen we met het commando mkdir (make directory): mkdir certs Vervolgens gaan we de map beschermen tegen ongewenst lezen. Dit doen we met de commando s chgrp (change group) en chmod (change mode):

2 wijzigen alleen de rechten: chmod 0640 certs De gebruiker (root) mag lezen en schrijven (6), de groep (apache) mag alleen lezen (4), de rest mag niets (0). In de andere Linux distributies (Ubuntu, Debian, Suze, etc.) wijzigen we de groeps-eigenaar van de map: chgrp www-data certs chmod 0640 certs We maken de groep www-data eigenaar van de map, zodat onze httpd (Apache) gebruiker straks het certificaat mag inlezen. De httpd gebruiker is namelijk lid van de groep www-data (zie Apache Daemon). Invullen certificaat Nu gaan we in deze map een nieuw self-signed certificaat voor de domeinnaam van onze laptop aanmaken. Dit doen we met het openssl (ssl key creator) programma: openssl req -new -x509 -days 365 -nodes -out certs/dimension.pem -keyout certs/dimension.pem Let op: gebruik in plaats van dimension de naam van je eigen laptop. Als je niet weet wat deze is, gebruik het commando hostname. OpenSSH heeft een eigen command-line interface (CLI), net als telnet. Middels het commando req (request) geven we aan dat we van de localhost een certificaat willen aanvragen. De gebruikte opties hebben de volgende betekenis: Optie new x509 days nodes out keyout Betekenis we willen een nieuw certificaat aanvragen. het bestandsformaat. Het aantal dagen dat het certificaat geldig is. Output-bestand niet versleutelen Output-bestand Bestand waar de sleutel naartoe gestuurd moet worden Je krijgt nu een aantal vragen gesteld. Vul ze één voor één in: You are about to be asked to enter information that will be incorporated into your certificate request. What you are about to enter is what is called a Distinguished Name or a DN. There are quite a few fields but you can leave some blank For some fields there will be a default value, If you enter '.', the field will be left blank Country Name (2 letter code) [AU]: NL State or Province Name (full name) [Some-State]: Zuid-Holland Locality Name (eg, city) []: Zoetermeer Organization Name (eg, company) [Internet Widgits Pty Ltd]: ROC ID College Organizational Unit Name (eg, section) []: ICT Pro Common Name (e.g. server FQDN or YOUR name) []: dimension Address []: dboland@idcollege.nl Let op: gebruik ook hier weer je eigen laptop-naam in plaats van dimension. Vul ook een ander adres in. Het nieuwe certificaat wordt nu opgeslagen en we zijn terug op de commando-prompt. Activeren poort 443 We hebben een certificaat voor de domeinnaam van onze laptop aangemaakt. Nu gaan we Apache instellen zodat hij het nieuwe certificaat kan gebruiken om HTTPS 1 sessies te serveren. 1 Voor uitgebreide info over SSL, zie:

3 We openen het configuratiebestand met de vi tekstverwerker: vi /etc/httpd/conf/httpd.conf Om de juiste instelling te vinden kun je een zoekopdracht geven. Dit doe je met het zoek-symbool ( / ), gevolgd door de instelling die je zoekt: /Listen Bij de overige Linux-smaken (Ubuntu, Debian, Mint, etc.) staat het bestand in de /etc/apache2 directory. Het originele httpd.conf bestand is in tweën opgesplitst: apache2.conf en ports.conf. We openen het configuratiebestand voor de poort-instellingen met de vi tekstverwerker: vi /etc/apache2/ports.conf Plaats de cursor op de Listen optie die er al staat, voeg een regel toe met het o (open) commando en vul de vetgedrukte regel in: # Change this to Listen on specific IP addresses as shown below to # prevent Apache from glomming onto all bound IP addresses ( ) # #Listen :80 Listen 443 Let op: het kan zijn dat deze optie reeds is ingesteld. Je hoeft dan niets te doen. Als we zometeen Apache herstarten, gaat onze httpd niet alleen naar poort 80 (HTTP), maar ook naar poort 443 (HTTPS) luisteren. Toets <Esc> om uit de INSERT modus te komen, gevolgd door de commando s w (write) en q (quit): :wq Het Apache configuratiebestand wordt nu opgeslagen en we zijn terug op de command-line. Activeren SSL We hebben de mod_ssl module geactiveerd en we hebben Apache laten luisteren naar poort 443 (HTTPS). Nu kunnen we voor elke gewenste domeinnaam SSL activeren. In een Cygwin distributie staan de Apache configuratiebestanden in /etc/httpd. Zorg ervoor dat je in die directory staat: cd /etc/httpd De Apache configuratiebestanden van andere Linux distributies (Ubuntu, Debian, Suze, etc.) staan in /etc/apache2. Ga in de map sites-enabled staan: cd /etc/apache2/sites-enabled Open allereerst het Apache configuratiebestand van onze eigen domeinnaam (hostname): vi downloads.dimension.conf Let op: gebruik in plaats van dimension je eigen laptop-naam (hostname). Je ziet de instellingen van de vorige opdrachten staan. Toets i (insert) om naar de INSERT modus te gaan en voeg de vetgedrukte regels toe: <VirtualHost dimension> DocumentRoot "/home/daniel/downloads" </VirtualHost> <Directory "/home/daniel/downloads"> Options Indexes AuthName "Mijn Downloads" AuthType Basic AuthUserFile.htpasswd Require valid-user IndexOptions FancyIndexing NameWidth=* FoldersFirst Options +ExecCGI AddHandler cgi-script.cgi DirectoryIndex upload.cgi </Directory>

4 <VirtualHost dimension:443> DocumentRoot "/home/daniel/downloads" ServerName dimension SSLEngine on SSLCertificateFile certs/dimension.pem </VirtualHost> Let op: gebruik in plaats van dimension je eigen laptop-naam (hostname). Gebruik ook in plaats van Daniel je eigen gebruikersnaam (whoami). Om aan te geven dat deze web-site op HTTPS moet luisteren, voegen we aan de VirtualHost het nummer van de poort toe. Toets <Esc> om uit de INSERT modus te komen, gevolgd door de commando s w (write) en q (quit): :wq Het Apache configuratiebestand wordt nu opgeslagen en we zijn terug op de command-line. Het hoera moment Allereerst moeten we er voor zorgen dat Apache de gewijzigde instellingen inleest. Dit doen we door Apache te herstarten middels het service programma: service apache restart Let op: op de meeste andere Linux systemen is het commando apache2. Dit hoera-moment is een beetje vreemd. Als je nu een browser opent en de volgende URL in de adres-balk ingeeft, zul je zien wat ik bedoel: Let op: gebruik je eigen host-naam i.p.v. dimension. Dit lijkt op een foutmelding betreffende grote risico s welke gelopen gaan worden als je nu nog verder gaat. Dit is enerzijds terecht, maar anderzijds ook onterecht. Het is onterecht, want de web-site is nu veel veiliger geworden doordat alle dataverkeer wordt versleuteld, inclusief wachtwoorden. Aan de andere kant is het terecht omdat iedereen een selfsigned certificaat kan maken. Klik Proceed anyway. Problemen oplossen Als het niet werkt, kijk dan in ieder geval eerst of Apache wel op poort 443 luistert. Dit kun je doen met het netstat commando: netstat -na De optie n (numeric) laat alleen IP-adressen zien, geen domeinnamen. Hierdoor krijg je sneller resultaat, omdat je machine eerst alle domainnamen moet opzoeken. De optie a (all) geeft ook de luisterende processen weer. De output op een Debian machine ziet er alsvolgt uit: Proto Recv-Q Send-Q Local Address Foreign Address State tcp : :* LISTEN tcp : :1045 ESTABLISHED tcp6 0 0 :::443 :::* LISTEN tcp6 0 0 :::80 :::* LISTEN tcp6 0 0 :::22 :::* LISTEN Je kunt zien dat er op poort 443 geluisterd wordt.

5 Huiswerk opsturen Teken de opdracht af door mij jouw command history te sturen. Dit doe je met een pijpleiding tussen de commando s history en . Zorg dat het onderwerp van de tussen aanhalingstekens staat: netstat -na -s "Apache SSL" docent@localhost Administrator uitloggen We hebben OpenSSH geïnstalleerd, een self-signed certificaat gemaakt en de SSL opties voor Apache ingesteld, maar we zijn nog steeds ingelogd als Administrator (root). Geef tot slot <Ctrl>-D om de Administrator uit te loggen.