APACHE SSL Linux. Uycie certyfikatów niekwalifikowanych w oprogramowaniu APACHE SSL Linux. wersja 1.1 UNIZETO TECHNOLOGIES SA

Transkrypt

1 APACHE SSL Linux Uycie certyfikatów niekwalifikowanych w oprogramowaniu APACHE SSL Linux wersja 1.1

2 Spis treci 1. WSTP TWORZENIE CERTYFIKATU GENEROWANIE WNIOSKU O CERTYFIKAT (CSR) TWORZENIE CERTYFIKATU NA PODSTAWIE UTWORZONEGO DANIA (CSR) IMPORTOWANIE CERTYFIKATÓW INSTALOWANIE KLUCZY I CERTYFIKATÓW INSTALOWANIE CERTYFIKATÓW CERTUM INSTALOWANIE KLUCZA PRYWATNEGO INSTALOWANIE CERTYFIKATU SERWERA UWIERZYTELNIANIE WZGLDEM SERWERA NA PODSTAWIE CERTYFIKATU OBSŁUGA WITRYN WIRTUALNYCH DLA ADRESÓW WIELOZNACZNYCH... 10

3 1. Wstp Apache jest najbardziej zaawansowanym serwerem WWW i mona go pobra w postaci kodu ródłowego. Serwer ten, dziki modułowi modssl ma wsparcie silnej kryptografii. Udział Apache w wiatowym rynku serwerów WWW zdecydowanie przewaa, a jego popularno, ze wzgldu na dostpno dla rónych platform, wci ronie. Aby skonfigurowa Apache w osłonie SSL bdziemy potrzebowali nastpujcych komponentów: 1. Apache OpenSSL mod_ssl Jeli Twoja dystrybucja Linuksa nie obejmuje powyszych składników, cignij je i zainstaluj. UWAGA: W Apache 1.3 komponent mod_ssl naley instalowa jako osobny pakiet. Z kolei Apache 2.0 moe by zintegrowany z mod_ssl. 2. Tworzenie certyfikatu 2.1. Generowanie wniosku o certyfikat (CSR) W celu wygenerowania kluczy dla Apache'a, wykorzystamy zewntrzne narzdzie Openssl, które mona cign ze strony: 1. Po instalacji biblioteki Openssl, wydajemy polecenie: openssl genrsa -des3 -out server.key 1024 Polecenie to spowoduje wygenerowanie klucza prywatnego o nazwie server.key dla naszego serwera. Klucz ten bdzie miał długo 1024 bity i bdzie zaszyfrowany algorytmem symetrycznym 3des. Podczas generowania klucza bdziemy poproszeni o hasło, które zabezpieczy komponent. Plik CSR wraz z kluczem prywatnym server.key naley zabezpieczy na dyskietce lub innym noniku. 2. Po pomylnym wygenerowaniu klucza prywatnego wydajemy polecenie: openssl req -new -key server.key -out server.csr Wynikiem tego polecenia jest danie certyfikatu CSR serwera, które zapisane bdzie w pliku server.csr. Pamitajmy o wskazaniu pliku z kluczem prywatnym server.key. Podczas generowania dania CSR naley poda hasło zabezpieczajce klucz prywatny oraz dane zwizane z nasz firm i stron www: APACHE SSL Linux Wstp 3

4 Country (C) - dwuliterowy symbol kraju (PL). Naley uy kodu ISO, np. poprawnym kodem Polski jest PL (due litery), a nie pl czy RP. State / Province (ST) - nazwa województwa, np.: Zachodniopomorskie. Nie naley stosowa skrótów. Locality (L) - nazwa miasta lub wsi, np.: Szczecin, Kozia Wolka, Warszawa. Organization Name (O) - pełna nazwa swojej organizacji / firmy, np.: Moja Firma Organizational Unit (OU) - jeeli zachodzi taka potrzeba, mona wypełni to pole, wstawiajc nazw działu np. Oddzial w Moja Firma Common Name (CN) - bardzo wane pole. Musi si tutaj znale pełna nazwa DNS (fqdn) serwera np.: pop3.test.net. ( ) - podaj adres pocztowy administratora serwera np.: cunizetowski@certum.pl. Pamitajmy, e w pole Common Name musimy wpisa adres naszej witryny np. mojserwer.com, mojadomena.pl, w przypadku adresu jednoznacznego: np. *.mojserwer.com, *.mojadomena.pl, *.mojastrona.com.pl w przypadku adresu wieloznacznego: UWAGA: Uywanie znaków specjalnych % ^ $ _ lub polskich znaków diakrytycznych: Ł przy podawaniu informacji dla dania CSR spowoduje nieprawidłowe wygenerowanie certyfikatu!!! APACHE SSL Linux Tworzenie certyfikatu 4

5 2.2. Tworzenie certyfikatu na podstawie utworzonego dania (CSR) Wygenerowane w kroku poprzednim danie powinno mie posta podobn do: -----BEGIN NEW CERTIFICATE REQUEST----- MIIDMDCCApkCAQAwgZoxGzAZBgNVBAMTEmRsdWJhY3oudW5pemV0by5wbDEhMB8G A1UECxMYRHppYWwgT2Nocm9ueSBJbmZvcm1hY2ppMRswGQYDVQQKExJVbml6ZXRv IFNwLiB6IG8uby4xETAPBgNVBAcTCFN6Y3plY2luMRswGQYDVQQIExJaYWNob2Ru aw9wb21vcnnrawuxczajbgnvbaytalbmmigfma0gcsqgsib3dqebaquaa4gnadcb iqkbgqc8jvrqrpbltozyvmjfxcef5picylmqv6z2al0j2gmoekbccyzf1khodsww 0ZF54FrTZhyKwYqfgiHO5duLfJSBqb/PTzovZH9qXUtxl+zQIhcJnA4Z/jKyWHGl X7LUlC9u2bas/vWwQZWYvxeqNMW4RZ+LU9Qqm9b/YD2qtOZ2qwIDAQABoIIBUzAa BgorBgEEAYI3DQIDMQwWCjUuMC4yMTk1LjIwNQYKKwYBBAGCNwIBDjEnMCUwDgYD VR0PAQH/BAQDAgTwMBMGA1UdJQQMMAoGCCsGAQUFBwMBMIH9BgorBgEEAYI3DQIC MYHuMIHrAgEBHloATQBpAGMAcgBvAHMAbwBmAHQAIABSAFMAQQAgAFMAQwBoAGEA bgbuaguabaagaemacgb5ahaadabvagcacgbhahaaaabpagmaiabqahiabwb2agka ZABlAHIDgYkAXxNuAz6gcBaZUdef8WQ2PAroKMW8sprcKv7QD2encz6/Wct9DZ5C kgynlgy0f+lff7visdjqxywaj68ddqgxyaqiilf63kivptic6yxlanx65v3cnkfx 4UrUrGXZtub7M7/NuxSipOW0Vv7yCHganypxDyRzp6IhulEnL4APEH4AAAAAAAAA ADANBgkqhkiG9w0BAQUFAAOBgQAsTG3Hu00fFzNTekFo/fb3tKsmuS/1rCCB5sQK inpwgz8z8+tmqbb0tuz4fptkesqlpwv1orfmxmkpiu10dc3qwrp2e//ompnau807 IJIDwn2VZ7qQ/h0KcWoWSPmvt7J0KKshdGgAF7P6AYc7W4yA9B9nPeyEzQRW0t4D YBApPQ== -----END NEW CERTIFICATE REQUEST----- Majc wygenerowane rzdanie wypełniamy formularz zgłoszeniowy i wklejamy CSR na stronie CERTUM ( -> Oferta -> Certyfikaty niekwalifikowane -> Zabezpieczanie serwerów -> Serwery WWW -> wybieramy, który certyfikat chcemy kupi i na dole strony wybieramy Kup certyfikat). APACHE SSL Linux Tworzenie certyfikatu 5

6 UWAGA: W celu wklejania certyfikatu na stronie naley skopiowa fragment tekstu od linii "--BEGIN CERTIFICATE --" do "--END CERTIFICATE--" (razem z tymi liniami!!!), uywajc do tego celu edytora tekstowego. Upewniamy si, e w polu jest wpisany poprawny adres (na ten adres zostan wysłane dalsze instrukcje), oraz, e zaznaczylimy pole Potwierdzam Owiadczenie i klikamy Dalej. Pojawi si strona, na której moemy si upewni, e nasze danie CSR zostało wygenerowane na prawidłowe dane. Uwaga: Naley si upewni, e w polu podmiot jest wpisana poprawna nazwa naszej strony (jesli kupujemy certyfikat na domen upewnijmy si, e ta nazwa widnieje w tym polu)!!! Upewniwszy si co do poprawnoci wprowadzonych danych klikamy Dalej: Pojawi si okno z informacj o wymaganych dokumentach niezbdnych do zako czenia procesu uzyskania certyfikatu Importowanie certyfikatów Po wykonaniu powyszej procedury z poprzedniego punktu otrzymamy stosownego a z adresem strony oraz numerem ID umoliwiajcym aktywacj certyfikatu (umieszczenie certyfikatu w naszym repozytorium dostpnym na stronach www): APACHE SSL Linux Tworzenie certyfikatu 6

7 Wchodzimy na stron, wklejamy ID i aktywujemy certyfikat klikajc Dalej: Pojawi si okno ze szczegółami naszego certyfikatu: Kopiujemy numer naszego certyfikatu, wchodzimy na stron i w polu Nr seryjny: wpisujemy numer naszego certyfikatu: Pojawi si strona, z której bdziemy mogli cign nasz certyfikat w formie binarnej lub tekstowej. Klikamy w Zapisz tekstowo: APACHE SSL Linux Tworzenie certyfikatu 7

8 3. Instalowanie kluczy i certyfikatów 3.1. Instalowanie certyfikatów CERTUM Poza naszym certyfikatem trzeba jeszcze dodatkowo zainstalowa na serwerze certyfikaty CERTUM (certyfikaty CERTUM w jednej paczce znajduj si pod adresem W paczce znajduj si wszystkie certyfikaty CERTUM: wszystkie certyfikaty porednie (w kolejnoci od Level I do Level IV), oraz root CA na ko cu. W celu zainstalowania certyfikatów root CA i certyfikatów porednich kopiujemy (z poziomu Midnight Commandera bd linii polece ) plik z nasz paczk ca-bundle.crt do katalogu, gdzie bdziemy j przechowywa, np. do: /usr/share/ssl/certs/ca-bundle.crt Wpis do pliku ssl.conf bdzie wygldał nastpujco: SSLCACertificateFile /usr/share/ssl/certs/ca-bundle.crt Po tych czynnociach restartujemy serwer poleceniem: #httpd restart Instalacja certyfikatu root CA i certyfikatów porednich została zako czona pomylnie. Dla naszej wygody w pliku ca-bundle.crt moemy umieci na pocztku pliku certyfikat naszego serwera (kopiujemy zawarto z pliku Nr_certyfikatu.pem i wklejamy na pocztku pliku ca-bundle.crt) Instalowanie klucza prywatnego Aby zainstalowa klucz prywatny na serwerze, naley skopiowa (z poziomu Midnight Commandera bd linii polece ) plik z kluczem prywatnym server.key do katalogu, w którym bdziemy go przechowywa, np.: /etc/httpd/conf/ssl.key/server.key Wpis do pliku ssl.conf bdzie wygldał nastpujco: SSLCertificateKeyFile /etc/httpd/conf/ssl.key/server.key Zdejmujemy hasło z klucza prywatnego, (aby przy kadym restarcie Apache nie pytał nas o hasło): Openssl rsa -in server.key -out server.key Zabezpieczamy klucz przed odczytem: #chmod 400 /etc/httpd/conf/ssl.key/server.key Po tych czynnociach restartujemy serwer poleceniem: #httpd restart Instalacja klucza prywatnego została zako czona pomylnie. APACHE SSL Linux Instalowanie kluczy i certyfikatów 8

9 3.3. Instalowanie certyfikatu serwera Po wklejeniu ID na naszych stronach, zostanie nam zwrócony certyfikat naszego serwera www. Naley go skopiowa myszk do dowolnego edytora tekstowego i zapisa plik jako np. server.crt. UWAGA: W celu wklejania certyfikatu ze strony naley skopiowa fragment tekstu od linii "--BEGIN CERTIFICATE --" do "--END CERTIFICATE--", uywajc do tego celu edytora tekstowego np. Notepad i myszki. Nie uywaj do tej operacji Worda, czy innego procesora tekstowego! W przypadku gdybymy stracili plik z certyfikatem serwera, naley pamita, i znajduje si on na pierwszym miejscu w pliku ca-bundle.crt (skd mona go po prostu przekopiowa). Alternatyw dla takiego rozwizania jest wyszukiwanie interesujcego nas certyfikatu w repozytorium na naszych stronach. W celu zainstalowania certyfikatu serwera kopiujemy(z poziomu Midnight Commandera bd linii polece ) plik z certyfikatem do katalogu, gdzie bdziemy go przechowywa, np. do: /etc/httpd/conf/ssl.crt/server.crt Wpis do pliku ssl.conf bdzie wygldał nastpujco: SSLCertificateFile /etc/httpd/conf/ssl.crt/server.crt Po tych czynnociach restartujemy serwer poleceniem: #httpd restart Instalacja certyfikatu serwera została zako czona pomylnie. Po skonfigurowaniu serwera DNS do obsługi naszej domeny (lub poddomeny) www, serwer bdzie obsługiwał certyfikaty zarówno dla adresów jednoznacznych jak i wieloznacznych (jeli dodamy hosty wirtualne opis w pkt. 5). Jeeli nie posiadasz własnego serwera DNS skontaktuj sie ze swoim providerem i przedstaw sytuacj. UWAGA: Klucze i certyfikaty mog by równie przechowywane w jednym pliku. W tym celu naley do pliku ca-bundle.crt dołczy klucz prywatny i odpowiednio zmieni zapisy w pliku konfiguracyjnym ssl.conf: SSLCertificateFile /sciezka_do_pliku/ca-bundle.crt SSLCACertificateFile /sciezka_do_pliku/ca-bundle.crt SSLCertificateKeyFile /sciezka_do_pliku/ca-bundle.crt 4. Uwierzytelnianie wzgldem serwera na podstawie certyfikatu Aby wymusza na kliencie posiadanie certyfikatu w pliku SSL.conf dopisujemy (odkomentowujemy) dwie linie: SSLVerifyClient require SSLVerifyDepth 10 W celu ograniczenia dostpu do strony dla konkretnych uytkowników, np. dysponujcych certyfikatem Certum Level III, o numerze seryjnym 02F110 dodajemy do pliku ssl.conf w sekcji Location wpis: APACHE SSL Linux Uwierzytelnianie wzgldem serwera na podstawie certyfikatu 9

10 <Location /> SSLRequire ( %{SSL_CLIENT_I_DN_CN} eq "Certum Level III" and %{SSL_CLIENT_M_SERIAL} eq "02F128") </Location> W przypadku gdy klient nie ma uprawnie do witryny, zastanie nastpujc stron: Zapisujemy plik SSL.conf i restartujemy serwer: #httpd restart Wicej informacji na ten temat znajdziemy na: 5. Obsługa witryn wirtualnych dla adresów wieloznacznych Aby na jednym serwerze uruchomi wiele poddomen wirtualnych, obsługiwanych przez nasze certyfikaty Wildcard'owe, naley nanie kilka modyfikacji do pliku ssl.conf. W tym celu otwieramy plik w edytorze dodajemy wpis: NameVirtualHost adres_ip_naszego_serwera:443 Sekcja VirtualHost dla pierwszego host wirtualnego: <VirtualHost adres_ip_naszego_serwera:443> w tym katalogu umiecimy nasze pliki www: DocumentRoot /var/www/html1 APACHE SSL Linux Obsługa witryn wirtualnych dla adresów wieloznacznych 10

11 nazwa DNS wirtualnego hosta o certyfikacie *.mojserwer.pl: ServerName poddomena1.mojserwer.pl obsługa sesji szyfrowanych: SSLEnable reszta pozostaje bez zmian:... </VirtualHost> 2. Sekcja VirtualHost dla drugiego hosta wirtualnego: <VirtualHost adres_ip_naszego_serwera:443> DocumentRoot /var/www/html2 ServerName poddomena2.mojserwer.pl SSLEnable... </VirtualHost> Zapisujemy zmiany i restartujemy serwer: #httpd restart Po skonfigurowaniu serwera DNS do obsługi tych domen(jeeli nie posiadasz własnego serwera DNS skontaktuj sie ze swoim providerem i przedstaw sytuacj), serwer bdzie przygotowany do obsługi certyfikatów dla adresów wieloznacznych. Aby sprawdzi działanie wirtualnych serwerów uruchamiamy serwer: #httpd start i wpisujemy w przegldarce: Pojawienie si charakterystycznej kłódki u dołu ekranu: oznacza sesj szyfrowan. W razie problemów warto diagnozowa problem przy uyciu narzdzi typu nmap, ps, netstat czy openssl s_client. APACHE SSL Linux Obsługa witryn wirtualnych dla adresów wieloznacznych 11