HTTP: headers. HTTP: hypertext transfer protocol. HTTP: headers. HTTP: commands

Transcriptie

1 HTTP: headers HTTP: hypertext transfer protocol commands headers configuratie: /etc/httpd/httpd.conf virtual hosting beveiliging van documenten Na het GET command worden nog een aantal headers naar de server gestuurd. Deze headers worden afgesloten met een lege lijn. Mogelijke headers van de client naar de server: If-Modified-Since: conditionele GET: het document wordt alleen opgehaald wanneer het veranderd is na een bepaald tijdstip Authorization: om de juiste credentials naar de server te sturen, bij het verlenen van toegang tot bepaalde documenten aan specifieke gebruikers From: aanduiding van de gebruiker (naam of adres) in de browser moet kunnen ingesteld worden of deze informatie al of niet mee gestuurd wordt User-Agent: aanduiding van de gebruikte browser Referer: URL van de pagina van waaruit verwezen wordt naar het huidige document HTTP: headers HTTP: commands GET : opvragen van een pagina: GET / HTTP/1.0 POST : versturen van ingevulde formulieren: POST / HTTP/1.0 PUT : versturen van documenten naar de web-server DELETE : verwijderen van documenten op de web-server Belangrijke opmerking: Een web-pagina bevat geen beelden, alleen maar verwijzingen naar beelden (<img src="beeld.jpg" />) Een browser die een pagina met zo n verwijzing binnen haalt, moet dit beeld met een aparte GET operatie ophalen. Mogelijke headers van de server naar de client bij het antwoord: Content-Type: MIME-type van het teruggegeven document Content-Length: grootte van het document in bytes (zonder de headers) Content-Encoding: aanduiding van de eventueel gebruikte transportcodering, bijv. x-gzip Last-Modified: wanneer het document voor het laatst aangepast geweest is Expires: wanneer de data in het document ongeldig wordt Server: de gebruikte web-server WWW-Authenticate: vraagt de client om credentials; het document wordt nog niet meegestuurd, de client moet eerst bewijzen dat hij gerechtigd is Location: in plaats van de gewenste informatie wordt een verwijzing naar de informatie terug gestuurd naar de browser; in deze header wordt dan de nieuwe locatie aangegeven en de browser kan automatisch deze nieuwe URL raadplegen (redirection)

2 De eerste lijn van het antwoord: Belangrijkste statuscodes: 200 operatie succesvol uitgevoerd Antwoord van de server HTTP/1.1 <statuscode> <omschrijving> 204 operatie succesvol uitgevoerd, client krijgt geen nieuwe pagina 301 URL van het document is veranderd; nieuwe URL is in de Location: header te vinden 304 client vroeg een If-Modified-Since: en document is niet veranderd 401 client is niet geautoriseerd voor gevraagde operatie 403 gevraagde operatie is verboden; autorisatie is niet mogelijk 404 gevraagde document bestaat niet 500 interne fout opgetreden in de server (configuratiefout) 503 server is momenteel niet in staat het verzoek af te handelen (bijv. omwille van een te hoge belasting) ServerType standalone: start als stand-alone ipv. door (x)inetd StartServers 4: naast de portier-server worden bij de start al onmiddellijk vier servers opgestart die de client-verzoeken afhandelen deze binnenkomende verzoeken zullen door de portier over de verschillende servers verdeeld worden ServerRoot /var/www: beginpunt in het filesysteem waaronder de configuratieen logbestanden van de webserver staan Port 80: poortnummer waarop geluisterd wordt naar binnenkomende vezoeken (in Apache 2: Listen 80) User apache: user-id waarmee webserver documenten leest en CGI-scripts uitvoert (deze user-id moet zo weinig mogelijk rechten hebben) Group apache: groep-id waarmee webserver documenten leest en CGI-scripts uitvoert AccessConfig conf/access.conf: relatief tov. ServerRoot ResourceConfig conf/srm.conf: relatief tov. ServerRoot Configuratie van Apache server configuratiefile httpd.conf: instellingen die effect hebben op de web-server zelf resource configuratiefile srm.conf: instellingen die te maken hebben met (de padnamen van) HTML-documenten, CGI-scripts en andere resources access-control configuratiefile access.conf: security-gerelateerde instellingen; bepaalt welke bezoekers welke documenten kunnen benaderen Tegenwoordig: samengevoegd in één bestand: httpd.conf Het bestand bestaat uit directieven: aanwijzingen die elk een verschillend aspect van het gedrag van de server bepalen Een aantal directieven kan samengebracht worden in een sectie: een gedeelte van de configuratiefile tussen een begin en een einde die aangegeven worden met een notatie vergelijkbaar met HTML (bijv. <VirtualHost> en ). DocumentRoot /var/www/htdocs: directory waar de aan te bieden documenten staan DirectoryIndex index.html: bij een URL die eindigt op een directory-naam, wordt in de directory het vermelde bestand gelezen eventueel kunnen meerdere bestandsnamen opgegeven worden wanneer geen enkel bestand gevonden wordt, wordt een directory-listing teruggestuurd Userdir public_html: de subdirectory van een home-directory waaronder een gebruiker zijn persoonlijke homepage kan plaatsen AddType application/x-tar.tgz: koppeling van een bepaald MIME-type aan een bepaalde bestandsnaamextensie server zal bij het doorsturen van het document automatisch het vermelde type in de Content-Type: header invullen browser kan dan hier gepast op reageren door het juiste extern hulpprogramma op te starten DefaultType application/octed-stream: wanneer de server geen typeringsinformatie kan vinden voor een document

3 URL-mapping en redirection CustomLog logs/access_log common: informatie met hostnaam van de client, datum en tijd, HTTP-operatie, statuscode en aantal getransporteerde bytes CustomLog logs/referer_log referer: informatie uit de Referer:-header CustomLog logs/agent_log agent: informatie CustomLog logs/all_log combined: combinatie van de twee vorige logs LogFormat... agent: formaat van de agent logfile ErrorLog logs/error_log: foutboodschappen De normale mapping van padnamen in URL s wordt ingesteld via het DocumentRoot: directief. In deze directory bevinden zich het merendeel van de web-pagina s. Daarnaast is er soms een vertaling van de URL: ofwel naar een echte padnaam in het eigen filesysteem virtual directory (directory met informatie maar niet onder de DocumentRoot directory) Alias /icons/ "/usr/local/httpd/icons/" : in een binnenkomende URL zal /icons/ vervangen worden door de gegeven padnaam ofwel naar een URL op een ander systeem Redirect /info : de web-pagina s die ooit op deze webserver aangeboden geweest zijn in de directory /info zijn nu verplaatst naar een andere webserver CGI-configuratie alle CGI-programma s samen in een centrale directory ScriptAlias /cgi-bin/ /var/www/cgi-bin/ : locatie <a href="/cgi-bin/prog.cgi"> <a href="/var/www/cgi-bin/prog.cgi"> Leuk voor de beheerders want CGI-scripts zijn mogelijke zwakke punten in de beveiliging CGI-programma s verspreid over de hele website: AddHandler cgi-script.cgi : alle bestanden met extensie.cgi worden door de server beschouwd als CGI-programma s Er kunnen ook andere extensies genomen worden, bijv..pl. Daarnaast moet in de Options-lijst van de directory waarin het CGI-programma staat, de ExecCGI-optie voorkomen. <Directory /home/*/public_html/*> Options ExecCGI AddHandler cgi-script.cgi </Directory> Optie-instellingen bij Directory Voorbeeld: Options FollowSymLinks Indexes FollowSymLinks: symbolische links worden gevolgd naar om het even waar in het bestandensysteem (potentieel gevaarlijke situatie) SymLinksIfOwnerMatch: symbolische links worden gevolgd indien de eigenaar van het bestand waar de link naar wijst, gelijk is aan de eigenaar van de link zelf Indexes: het presenteren van een listing met de inhoud van de directory tenzij er een DirectoryIndex-bestand bestaat Includes: server-side includes zijn toegestaan None: alle opties staan uit All: alle opties zijn beschikbaar

4 Virtual hosting Sommige web-servers hosten verschillende web-sites. In plaats van subdirectories per web-site te maken, zou het leuker zijn wanneer elke web-site zijn eigen basis-url heeft: hardware virtual hosting: een apart IP-adres voorzien voor elke virtual host hiervoor moet aan de ene netwerkkaart van de web-server meerdere IP-adressen toegekend worden de configuratie van de web-server moet zodanig zijn dat hij, afhankelijk van het IP-adres waaronder hij benaderd wordt, pagina s van de ene of de andere web-site teruggeeft 2. software virtual hosting: de browser geeft via de Host:-header de naam van de gewenste virtual host de web-server is zodanig geconfigureerd dat hij op basis van deze header de juiste pagina teruggeeft. <NameVirtualHost > Software virtual hosting <VirtualHost > ServerName raket.denayer.be ResourceConfig conf/raket.cnf <VirtualHost > ServerName stoomboot.denayer.be ResourceConfig conf/stoomboot.cnf Het directief NameVirtualHost : IP-adres wordt voor meerdere web-sites gebruikt. In DNS zijn de namen raket.denayer.be en stoomboot.denayer.be gekoppeld aan hetzelfde IP-adres (bij voorkeur via CNAME). Via de Host:-header geeft de client aan welke web-site moet geraadpleegd worden. Hardware virtual hosting <VirtualHost > ServerName raket.denayer.be ResourceConfig conf/raket.cnf <VirtualHost > ServerName stoomboot.denayer.be ResourceConfig conf/stoomboot.cnf de webserver bedient twee web-sites de namen raket.denayer.be en stoomboot.denayer.be zijn in DNS respektievelijk gekoppeld aan en aan de netwerkkaart van de webserver zijn twee IP-adressen toegewezen ifconfig eth netmask ifconfig eth netmask alias de resource configuratie wordt voor elke web-site in een apart bestand uitgewerkt. Beveiliging van documenten dmv naam-paswoord combinatie Afschermen van de toegang tot documenten: op basis van IP-adres via de domeinnaam de volledige documentboom De bescherming kan gebeuren voor een subboom een directory Ofwel in de globale configuratiefile access.conf. Ofwel per stuk een aparte bescherming via configuratiefiles in de te beveiligen subbomen en directory s. De naam van zo n bestand is normaal.htaccess maar kan gewijzigd worden in het srm.conf bestand: AccessFileName.security Als voor een bepaalde directory via beide technieken instellingen te vinden zijn, hebben de instellingen van.htaccess voorrang.

5 In de configuratiefile access.conf: Beveiliging van een subboom <Directory /var/www/htdocs/private> AuthType Basic AuthName firewall_doks AuthUserFile /var/www/conf/passwd AuthGroupFile /var/www/conf/group <Limit GET> require user jeroen require group consultants </Limit> </Directory> Algemeen gedeelte: mechanisme voor authenticatie van bezoekers: Basic: naam-paswoord systeem naam van het domein van beveiliging (realm) namen van de specifieke paswoord- en groep-bestanden om gebruikers te kunnen authenticeren Security-instellingen bij Limit require user xx: verlenen van toegang op basis van gebruikersnaam require group yy: verlenen van toegang via groepsnaam require valid-user: verlenen van toegang aan alle gebruikers die in het paswoordbestand voorkomen (en het paswoord kunnen geven) Deny from all: niemand heeft toegang Allow from wenk.be: toegang voor computers uit het wenk.be domein Allow from : toegang voor computer met het vermelde IP-adres Order deny, allow: eerst wordt de deny regel toegepast en dan de allow, zodat in dit geval sommige toestellen toegang zullen hebben Order allow, deny: niemand heeft toegang satisfy any: wanneer restricties op basis van gebruikersnaam en IP-adres opgelegd zijn, wordt toegang verleend wanneer aan één restrictie voldaan is satisfy all: er moet aan alle restricties voldaan zijn Paswoord- en groep bestand Wanneer de toegang gecontroleerd wordt op basis van een gebruikersnaam- paswoord combinatie is een paswoord bestand nodig. Dit bestand bevat twee velden: de naam en het versleutelde paswoord. Creatie: htpasswd -c /var/www/conf/passwd jeroen Bijvoegen: htpasswd /var/www/conf/passwd janine In beide gevallen zal een paswoord gevraagd worden, dat na versleuteling ook opgeslagen wordt in het bestand Het groep bestand wordt gebruikt om een symbolische naam te geven aan bepaalde groepen van gebruikers: consultants: leo,janine,marleen Wanneer één van deze gebruikers toegang wenst, zal die zijn paswoord moeten doorgeven. Het.htaccess bestand Bestand met securityinstellingen in een te beveiligen subboom Syntax: wat tussen een <Directory> en een </Directory> kan geplaatst worden Dit bestand wordt bij elke access terug gelezen. Bij een wijziging moet de http-server dus niet herstart worden. Gevaarlijk: gebruikers met een eigen public_html zouden daarin een eigen.htaccess bestand kunnen maken waarin van alles en nog wat toegelaten wordt. Beheerder kan gebruik van.htaccess aan banden leggen via het AllowOverride directief in een Directory sectie in het centrale access.conf bestand: None: gebruik van.htaccess bestand is volledig verboden All: alle directieven mogen gebruikt worden Options: Options-directief mag gebruikt worden AuthConfig: AuthName, AuthType, AuthUserFile en AuthGroupFile toegelaten Limit: Allow, Deny, Order directieven mogen gebruikt worden

6 Authenticatie in HTTP Wanneer een client een beschermd document opvraagt: 1. server stuurt een foutboodschap met een WWW-Authenticate:-header 2. browser vraagt via een pop-up om een naam en een paswoord 3. gebruiker tikt de gegevens in en deze worden via een Authorization: header (in base64-vorm) terug naar de server gestuurd 4. server controleert de naam-paswoord combinatie en verleent toegang als alles in orde is 5. browser onthoudt de authorisatie-informatie om deze bij volgende Authorization:-headers mee te sturen, zodat geen nieuwe vraag naar naam-paswoord combinatie moet gedaan worden Base64: symbolen A-Za-z0-9+/ afsluitende 2 nullen: = afsluitende 4 nullen: == Base64 codering A B C D E F G H I J K L M N O P Q R S T U V W X Y Z a b c d e f g h i j k l m n o p q r s t u v w x y z / Voorbeeld: Abc 0x41 0x62 0x Q 22 W 9 J 35 j