CERTYFIKATY SSL W APACHE U C 13

Transkrypt

1 AKTUALIZACJA (113) Październik 2014 CERTYFIKATY SSL W APACHE U C 13 Włączanie obsługi SSL w serwerze Apache Generowanie własnego certyfikatu SSL na serwerach opartych na Windows i Linuksie Rejestracja certyfikatu SSL jak to zrobić LINUX KOMPILACJA JĄDRA L 14 Którą wersję jądra wybrać Co to są moduły i łaty Jak zainstalować łatki (patche) NARZĘDZIA DYSKOWE DLA ZAAWANSOWANYCH N 19 Profesjonalne narzędzia wiersza polecenia Optymalizacja ustawień w celu zwiększenia wydajności Skuteczna ochrona przed atakami na twardy dysk PKI W SERWERZE WINDOWS 2008 R2, CZ. I P 43 Zastosowania certyfikatów Tworzenie infrastruktury klucza publicznego Administracja PKI UWIERZYTELNIANIE 802.1X I KONFIGURACJA KLIENTÓW U 05 Wdrażanie uwierzytelniania IEEE 802.1X z wykorzystaniem narzędzia konfiguracji SU1X Używanie dodatkowych klientów 802.1X w Windows, Linux albo Mac Diagnozowanie problemów z 802.1X w sieci WLAN BEZPIECZEŃSTWO INFORMACJI od A do Z

2 Czy Ty też masz już dość nudnej i męczącej pracy w Excelu? Skorzystaj z najobszerniejszego na polskim rynku zbioru praktycznych wskazówek i porad dla każdego. Nie znajdziesz tutaj zbędnych opisów i niezrozumiałych terminów. Tylko konkretną, praktyczną wiedzę! Z publikacji dowiesz się m.in.: Jak zmienić kwotę wyrażoną liczbami na słowa Jak wybrać z tabeli 10 transakcji o największej kwocie sprzedaży W jaki sposób określić własne kryterium wyszukiwania danych Co zrobić, aby Excel automatycznie wyróżniał kwoty transakcji powyżej określonej wartości Co zrobić, aby móc korzystać z gotowych makr w dowolnych arkuszach Zamów już dzisiaj! Wejdź na stronę i zamów poradnik Excel w praktyce na bezpłatny test. W prezencie jako podziękowanie otrzymasz na płycie CD zestaw najlepszych makr do natychmiastowego wykorzystania.

3 Przeglądanie stron internetowych pociąga za sobą niebezpieczeństwo wykradzenia przesyłanych danych, np. zawartości formularzy przekazywanej metodą POST. Aby temu zapobiec, oprócz standardowego połączenia nieszyfrowanego (http), warto udostępnić również szyfrowane połączenie https. Dzięki temu znacząco zwiększysz bezpieczeństwo nie tylko osób odwiedzających udostępniane przez Ciebie strony WWW, ale także Twojego serwera. Umożliwiają to certyfikaty SSL, o których piszemy w niniejszej aktualizacji. Jądro systemu linuksowego to jego najważniejsza część. Linux to nie Slackware, Debian, Fedora czy jakakolwiek inna dystrybucja. Linuksem jest jego jądro, czyli oparty na licencji GNU/GPL program w języku C, dostępny w postaci kodu źródłowego. Dlatego kompilacja jądra to jedno z istotniejszych zadań administratorów serwerów linuksowych. Posiadanie nowej wersji rdzenia na Twojej maszynie pozwoli Ci na lepszą obsługę sprzętu oraz przede wszystkim zwiększenie bezpieczeństwa. Poza tym samodzielnie skompilowane jądro będzie zawierało tylko to, co jest potrzebne na danym komputerze, i umożliwi stabilną pracę systemu. Wprawdzie możesz łatwo zarządzać woluminami, korzystając z graficznego interfejsu w narzędziach administracyjnych Windows, jednak brakuje w nim wielu ważnych funkcji, takich jak dostęp do głównej tablicy plików (Master-File-Table, MFT), przejrzyste informacje o systemie i statystach działania dysków, jak również narzędzi do rozwiązywania proble-

4 mów z dyskami i systemem plików. Znajdziesz je dopiero ukryte głęboko w systemie i w pakiecie Resource Kit. W tej aktualizacji przeczytasz, jakie są narzędzia do zarządzania systemem plików i jak je stosować w praktyce, np. do usuwania problemów. Gdy udostępniasz w swojej firmie bezprzewodowe połączenia Wi-Fi dla użytkowników końcowych, możesz napotkać kilka typowych problemów. Ta aktualizacja podpowie Ci, jak w łatwy sposób wprowadzić właściwe ustawienia uwierzytelniania 802.1X na urządzeniach użytkowników końcowych oraz zidentyfikować i wyeliminować najczęściej spotykane problemy z konfiguracją uwierzytelniania 802.1X stacji roboczych. Poznasz również kilka najlepszych suplikantów 802.1X, oferujących dodatkowe zabezpieczenie i funkcje ułatwiające wdrażanie. Rafał Janus redaktor prowadzący poradnika Bezpieczeństwo informacji od A do Z

5 Nowości X/2014 Wzrost globalnych wydatków na ochronę danych do 71 mld USD W dobie rosnącej liczby danych, jakimi operują firmy, biznes ma coraz większą świadomość ryzyka utraty bezpieczeństwa posiadanych informacji. Z nowego raportu brytyjskiego ośrodka analiz Gartner wynika, że do końca roku 2014 światowe wydatki na ochronę informacji osiągną wartość 71,1 mld dolarów. Jest to niemal 8% wzrost rok do roku. Co więcej, w 2015 roku wydatki te wzrosną o kolejne 8,2%, do poziomu 76,9 mld dolarów. Według Gartnera wykorzystanie usług ochrony firmowych danych będzie w biznesie sukcesywnie wzrastać. Wynika to z nieustannego postępu technologicznego, który wymaga od przedsiębiorstw większej świadomości zagrożeń stwarzanych poprzez korzystanie z różnorodnych urządzeń. Badanie Gartnera wskazuje, że do końca 2015 roku około 10% produktów bezpieczeństwa IT dla przedsiębiorstw będzie dostarczanych w chmurze. Michał Grabarz, dyrektor ds. Usług ITO w Infosys BPO EMEA, prognozuje, że znaczną część rynku IT w kolejnych latach zdominują narzędzia umożliwiające bezpieczną wirtualizację miejsca pracy. To duże wyzwanie, biorąc pod uwagę konieczność zapewnienia bezpieczeństwa danych firmy, ochrony przed nieuprawnionym dostępem, kradzieżą własności intelektualnej czy wirusami. Zwłaszcza wtedy, gdy pracownik realizuje zadania z różnych miejsc, w różnych sieciach i pracuje przy kilku różnych projektach jednocześnie. To prowadzi do sytuacji, w której w perspektywie najbliższych kilku lat korzystanie z usług gwarantujących bezpieczeństwo danych będzie coraz bardziej powszechne w biznesie. W 2018 r. ponad połowa organizacji będzie korzystać z usług firm specjalizujących się w bezpieczeństwie ochrony danych, zarządzaniu ryzykiem oraz infrastrukturą zabezpieczeń. Wielu organizacjom nadal bowiem brakuje odpowiednich działów bądź specjalistów zdolnych do określenia, wdrożenia i eksploatacji odpowiedniego poziomu ochrony danych oraz kontroli w zakresie ochrony prywatności tłumaczy Wojciech Mach, dyrektor zarządzający Luxoft Poland, polskiego oddziału globalnego dostawcy usług IT oraz platform mobilnych, m.in. dla liderów rynku bankowego. Korzystanie z usług firm zewnętrznych umotywowane jest też często koniecznością pilnego dostosowania się do panujących czy też wchodzących regulacji dotyczących bezpieczeństwa. Często to właśnie wiarygodni partnerzy posiadają dogłębną wiedzę domenową, poszukiwaną przez organizacje dodaje. Jednym z głównych czynników wydatków na bezpieczeństwo informacji są uwarunkowania prawne powstające na różnych kontynentach. Na przykład, Wiedza i Praktyka Bezpieczeństwo informacji od A do Z

6 X/2014 Nowości w Chinach regulacje dotyczące bezpieczeństwa warunkują wytyczne dotyczące informacji osobowych z lutego 2013 roku, a w UE planowane jest wdrożenie dodatku do dyrektywy o ochronie danych. Należy jednak pamiętać, że wciąż duża część zagrożeń firmowych informacji to nie wynik braku wykorzystania zaawansowanych narzędzi bezpieczeństwa, ale przeoczeń pracowników, nieświadomych istotnych zasad korzystania z osiągnięć technologii. Wbrew powszechnemu stereotypowi o zagrożeniach wywołanych atakiem hakerów większe straty związane są z wewnętrznymi zaniedbaniami firm i tzw. czynnikiem ludzkim. Wśród najczęstszych błędów jest nieodpowiednie zabezpieczanie danych czy brak szkoleń w zakresie ochrony danych przekonuje Adam Rasiński, Security Officer w Capgemini Polska. Jak dodaje Leszek Bareja, product manager w Xerox Polska, w takiej sytuacji do podstawowych zadań przeciwdziałających kryzysowi należy tworzenie kopii danych przez pracowników. Regularny, automatyczny backup, wirtualizacja zasobów czy zapasowe centrum danych pozwalają na skuteczną ochronę w tym zakresie. Dotyczy to nie tylko danych znajdujących się na komputerach czy urządzeniach biurowych w siedzibie firmy, ale także tych przechowywanych na tabletach, smartfonach czy laptopach. Jest to szczególnie ważne, w przypadku gdy pracownicy korzystają z własnych urządzeń w celach zawodowych w ramach trendu BYOD (ang. Bring Your Own Device). Należy także zapewnić pracownikom dostęp do danych z różnych urządzeń, co da im większą elastyczność pracy. Co ważne, każdy pracownik powinien mieć indywidualne uprawnienia dostępu, dzięki czemu wrażliwe informacje przetwarzać będą tylko osoby upoważnione mówi Leszek Bareja. Dodatkowo, jak podkreśla Gartner, konsumenci i biznes wciąż w zbyt małym stopniu dbają o bezpieczeństwo mobilne. Wciąż istnieje niewiele narzędzi bezpieczeństwa stosowanych przez użytkowników nowych platform mobilnych, choć np. w biznesie odnotowywany jest niekontrolowany wzrost liczb wykorzystywanych aplikacji. Jak podaje raport Capgemini 2014 Application Landscape, aż blisko połowa doświadczonych decydentów IT uważa, że ich biznes wykorzystuje więcej aplikacji, niż potrzebuje. Co więcej, aż 57% przyznaje, że przynajmniej jedna piąta używanych aplikacji powinna zostać wycofana lub zastąpiona innymi. Tymczasem wciąż według większości konsumentów oprogramowanie antywirusowe nie jest niezbędne w urządzeniach mobilnych. Urządzenia mobilne zyskują jednak na masowej popularności, stąd liczba i skala inwestycji w ich bezpieczeństwo będzie niewątpliwie sukcesywnie wzrastać. Październik 2014 Wiedza i Praktyka

7 Certyfikaty SSL w w Apache u C 01/01 Przeglądanie stron internetowych pociąga za sobą niebezpieczeństwo wykradzenia przesyłanych danych, np. zawartości formularzy przekazywanej metodą POST. Aby temu zapobiec, oprócz standardowego połączenia nieszyfrowanego (http) warto udostępnić również szyfrowane połączenie https. Dzięki temu znacząco zwiększysz bezpieczeństwo nie tylko osób odwiedzających udostępniane przez Ciebie strony WWW, ale także Twojego serwera. Umożliwiają to certyfikaty SSL, o których traktuje niniejszy artykuł. Instalacja serwera Apache i PHP C 01/05 Generowanie własnego certyfikatu SSL na serwerach opartych na Windows i Linuksie C 01/09 Włączanie obsługi SSL w serwerze Apache C 01/10 Rejestracja certyfikatu SSL jak to zrobić C 01/16 Autor: Katarzyna Kaczanowska niezależny konsultant IT

8 C 01/02 Certyfikaty SSL w Apache u Wstęp Szyfrowanie jest procesem, w wyniku którego dane w sieci komputerowej są przesyłane w postaci zmienionej, a nie zwykłym tekstem. Jeżeli więc osoba postronna chce przechwycić Twoje informacje, nie wystarczy już tylko podsłuchanie lub przekierowanie ruchu sieciowego. Włamywacz będzie musiał także wiedzieć, jakim algorytmem dane zostały zaszyfrowane i w jaki sposób je odszyfrować. Rysunek 1. Sniffer Wireshark wyłapał niezaszyfrowany pakiet wysłany komunikatorem Gadu-Gadu (u góry) z wiadomością sie masz :D (na dole) Przejmowanie informacji nieszyfrowanych dotyczy także protokołu HTTP. W szyfrowaniu tego protokołu Październik 2014 Wiedza i Praktyka

9 Certyfikaty SSL w Apache u C 01/03 pomaga mechanizm SSL, który zapewnia poufność informacji przesyłanych między serwerem i klientem, a dodatkowo daje możliwość zweryfikowania tożsamości serwera. Dzięki weryfikacji tożsamości ważnym certyfikatem SSL odwiedzający stronę (np. klient banku) ma pewność, że nie padł ofiarą phishingu. Rysunek 2. Schemat połączenia szyfrowanego z wykorzystaniem certyfikatu SSL. Podczas nawiązywania połączenia zostaje utworzony klucz symetryczny, wykorzystany następnie do zabezpieczenia wymiany informacji w ramach utworzonej sesji Działanie połączenia szyfrowanego można przedstawić w uproszczeniu w następujący sposób: 1. Przeglądarka internetowa wysyła zgłoszenie do serwera po wpisaniu adresu WWW. 2. Serwer wysyła odpowiedź wraz z certyfikatem SSL. 3. Przeglądarka odbiera odpowiedź i sprawdza, czy certyfikat jest ważny oraz zgodny z nazwą domeny. Certyfikat SSL działa wyłącznie na jednej, określonej stronie WWW. Wiedza i Praktyka Bezpieczeństwo informacji od A do Z

10 C 01/04 Certyfikaty SSL w Apache u 4. Na podstawie klucza z serwera generowany jest klucz odpowiedzi, który jest kluczem symetrycznym szyfrowanym asymetrycznie kluczem publicznym serwera (otrzymanym w certyfikacie). 5. Zaszyfrowany klucz odpowiedzi klient przesyła do serwera. 6. Serwer weryfikuje dane i odszyfrowuje klucz. 7. Od tego momentu komunikacja jest szyfrowana. Obecnie przeglądarki sprawdzają certyfikaty SSL w zaufanych centrach autoryzacji. Jeżeli żadne z centrów nie potwierdzi wydania certyfikatu, użytkownik zostaje ostrzeżony, że wprawdzie połączenie jest szyfrowane, ale nie można potwierdzić, że odwiedzana strona internetowa jest na pewno oficjalną stroną danej firmy czy banku. Najczęściej wystarczy rzut oka na pasek przeglądarki. Powinien on być żółty albo zielony, adres musi zaczynać się od https, a obok powinna znajdować się kłódka (elementy te wyglądają różnie w przeglądarkach). Po kliknięciu kłódki zobaczysz, czy certyfikat SSL jest prawidłowy, jaki jest jego termin ważności i kto go wystawił. Możesz więc albo wygenerować własny, darmowy certyfikat SSL, albo też zakupić certyfikat rozpoznawany przez przeglądarki. Jak wygenerować własny certyfikat, pokażemy w dalszej części artykułu w odniesieniu do serwera Apache na systemach operacyjnych Windows i Linux. Październik 2014 Wiedza i Praktyka

11 Certyfikaty SSL w Apache u C 01/05 HTTPS w systemach Windows W tym rozdziale pokażemy, jak wygenerować własny certyfikat SSL dla serwera WWW opartego na Microsoft Windows, Apache a i PHP. Wybraliśmy sposób możliwie prosty, który umożliwi Ci szybkie postawienie bezpiecznego serwera WWW ze wsparciem SSL. Jedyną jego wadą jest to, że Apache z SSL będzie obsługiwał jedynie globalne certyfikaty, czyli wszystkie hosty obsługiwane przez jedną instancję aplikacji będą korzystały z jednego certyfikatu. Możesz sobie z tym jednak poradzić poprzez zainstalowanie Apache a ze wsparciem SSL tyle razy, ile hostów i certyfikatów potrzebujesz. Przed dalszymi czynnościami upewnij się, że jesteś zalogowany z uprawnieniami administratora. Najpierw należy pobrać plik instalacyjny Apache a ( httpd.apache.org/download.cgi). W naszym przypadku był to plik httpd win32-x86-openssl-0.9.8o.msi. Instalacja Apache a Ponadto ze strony pobierz najnowszą wersję PHP. W naszym przypadku było to VC9 x86 Thread Safe (plik php win32- -VC9-x86.zip). Instalacja Apache a jest bardzo prosta i polega głównie na klikaniu przycisków Next lub Install. Instalator zapy- Wiedza i Praktyka Bezpieczeństwo informacji od A do Z

12 C 01/06 Certyfikaty SSL w Apache u ta Cię jedynie o dane serwera, które możesz uzupełnić zgodnie ze swoim uznaniem. Warto również ustawić ścieżkę do zainstalowanego programu na coś w rodzaju C:\Moj_serwer\Apache i mieć w ten sposób wszystkie aplikacje serwerowe w jednym miejscu. Pod koniec instalacji serwer WWW zostanie uruchomiony (może mrugnąć kilka okienek). Jeżeli masz włączony firewall, zezwól Apache owi na połączenia, w tym na nasłuchiwanie na porcie 80. Rysunek 3. Domyślna strona Apache a świeżo po zainstalowaniu i uruchomieniu serwera Październik 2014 Wiedza i Praktyka

13 Certyfikaty SSL w Apache u C 01/07 Przyszedł czas na diagnostykę. Po uruchomieniu przeglądarki wpisz w pasku adresowym , aby sprawdzić, czy Apache działa na Twoim komputerze. Powinieneś zobaczyć stronę domyślną, którą czasami jest po prostu napis It works! (patrz rysunek 3). Aby ręcznie uruchomić Apache a, wystarczy w wierszu polecenia wydać komendę net start apache2. Aby wyłączyć tę usługę, użyj komendy net stop apache2. Zatrzymaj Apache a i wykonaj następujące czynności: 1. Pobrany plik ZIP z PHP rozpakuj do katalogu C:\ Moj_serwer\PHP lub podobnego. 2. Z tego katalogu skopiuj do C: Windows\system32 pliki php5ts.dll oraz ntwdblib.dll. 3. Zmień nazwę pliku php.ini-recommended na php. ini i skopiuj go do katalogu systemowego Windows (najczęściej C:\Windows). 4. W pliku php.ini zmień ustawienie extension_dir =./ na extension_dir = C:\Moj_serwer\PHP\ext lub podobne. 5. Teraz pozostało już tylko podpiąć PHP do Apache a. W tym celu skopiuj plik php5apache2_2.dll z katalogu PHP do podfolderu bin w folderze Apache a. Z kolei w podfolderze conf foldera Apache a znajdziesz plik httpd.conf. 6. Otwórz httpd.conf np. w Notatniku i znajdź sekcję Dynamic Shared Object (DSO) Support i na jej końcu dopisz: LoadModule php5_module bin/php5apache2_2.dll AddType application/x-httpd-php.php Instalacja PHP Wiedza i Praktyka Bezpieczeństwo informacji od A do Z

14 C 01/08 Certyfikaty SSL w Apache u Pozostaje już tylko uruchomić Apache a za pomocą komendy net start apache2, ale teraz już ze wsparciem dla PHP. Zanim to jednak zrobisz, możesz jeszcze dostosować kilka innych podstawowych opcji w pliku konfiguracyjnym Apache a (httpd.conf): DocumentRoot C:\Moj_serwer/Strony dzięki temu w trzecim podkatalogu katalogu Moj_serwer będziesz miał wszystkie hostowane strony. DirectoryIndex index.html index.htm default.html default.htm index.php opcja ta określa pliki, które są stronami głównymi; domyślnie jest to tylko index.html, a przecież nie zawsze tak się on nazywa; posiadasz też już wsparcie dla PHP stąd index. php. Rysunek 4. Plik httpd.conf w oknie Notatnika Październik 2014 Wiedza i Praktyka

15 Certyfikaty SSL w Apache u C 01/09 Postępuj według poniższej instrukcji: 1. Otwórz wiersz polecenia. 2. Przejdź do podkatalogu C:\Moj_serwer\Apache\bin lub podobnego za pomocą polecenia cd. 3. Wykonaj w tym katalogu dwa następujące polecenia: openssl genrsa > server.pem Generowanie certyfikatu SSL Generując tą komendą klucz prywatny, zostaniesz poproszony o podanie hasła, którym zaszyfrujesz klucz. Dzięki temu, nawet jeżeli atakujący zdobędzie Twój klucz prywatny, nie będzie mógł z niego łatwo skorzystać: openssl req -new -x509 -sha1 -days 365 -config..\conf\openssl.cnf -key server. pem > server.crt Zostaniesz poproszony o wpisanie hasła, które przed momentem podałeś dla klucza prywatnego. Komputer może Cię także poprosić o następujące dane, które zostaną zawarte w certyfikacie (podajemy je z przykładowymi odpowiedziami i naszym komentarzem po znaku #): Country = PL # kraj State = Silesia # województwo Localization = Katowice # miasto Organization = Kwiaciarnia # nazwa Twojej firmy czy organizacji Common Name = # Twoja domena (podanie WWW w nazwie domeny sprawi, że certyfikat będzie ważny zarówno dla jak i kwiaciarnia.pl) address = kwiaciarnia@gmail.com # adres do kontaktu w sprawie certyfikatu Wiedza i Praktyka Bezpieczeństwo informacji od A do Z

16 C 01/10 Certyfikaty SSL w Apache u 4. Stwórz katalog C:\Moj_serwer\Apache\conf\ssl lub podobny. 5. Skopiuj stworzone pliki server.pam oraz server.crt do katalogu C: Moj_serwer\Apache\conf\ssl lub podobnego. Włączanie SSL w Apache u Po kolei: 1. Otwórz ponownie plik httpd.conf znajdujący się w podfolderze conf folderu Apache a. 2. Znajdź następujące wiersze: #LoadModule ssl_module modules/mod_ ssl.so #Include conf/extra/httpd-ssl.conf 3. Usuń znaki # na początku obu linijek. 4. Teraz otwórz do edycji plik ssl.conf znajdujący się w tym samym katalogu co httpd.conf. 5. Znajdź w nim wiersze zawierające SSLCertificateFile oraz SSLCertificateKeyFile i wpisz następującą treść: SSLCertificateFile conf/ssl/server.crt SSLCertificateKeyFile conf/ssl/server. pem 6. Zrestartuj Apache a za pomocą komend net stop apache2 oraz net start apache2. 7. Znów uruchom swoją ulubioną przeglądarkę internetową, ale tym razem obejrzyj stronę domyślną w połączeniu szyfrowanym. W tym celu wpisz w pasku adresowym Gotowe Twoją sesję chroni teraz mocny, 256-bitowy algorytm AES. Październik 2014 Wiedza i Praktyka

17 Certyfikaty SSL w Apache u C 01/11 Rysunek 5. Opera ostrzega przed naszym darmowym, nieautoryzowanym certyfikatem, ale postawienie ptaszka przy Zapamiętaj mój wybór dla tego certyfikatu pozwoli uniknąć konieczności oglądania tego ostrzeżenia w przyszłości HTTPS na Linuksie Teraz skonfigurujemy serwer Apache do obsługi połączeń HTTPS także na LAMP-ie. Przede wszystkim musisz zainstalować na swoim Linuksie Apache ze wsparciem SSL oraz PHP. Trudno tu o jedną instrukcję instalowania tych programów, ponieważ w każdej dystrybucji Linuksa robi się to inaczej. Wiedza i Praktyka Bezpieczeństwo informacji od A do Z