Guide@Debianizzati.Org

Apache, SSL e CaCert.Org: differenze tra le versioni

Pagina Discussione

Apache, SSL e CaCert.Org (visualizza wikitesto)

Versione delle 16:25, 19 ott 2006

147 byte aggiunti ,  19 ott 2006
m
→‎Generazione csr
Riga 1: Riga 1:
=Introduzione=
== scrivere su file system ntfs ==
Ci avrà provato ad installare apache (o apache2) con supporto ssl si sarà trovato davanti al problema del certificato: come generarlo? che valore ha? dove posso ottenere un certificato valido? esistono soluzioni gratuite?


Queste sono le domande normali che si pone un utente, soprattutto guardando i prezzi esorbitanti proposti per l'acquisto di certificati [http://it.wikipedia.org/wiki/SSL SSL].
Finalmente possiamo scrivere, creare cartelle, copiare testi e immagini su file system ''ntfs''. Occorrono due programmi ''fuse'' e ''ntfs-3g''.
Iniziamo, scarichiamo ''fuse''


=Generazione del certificato=
http://fuse.sourceforge.net
La generazione di un certificato è un po' macchinosa, ma tutto questo è a favore della sicurezza della procedura.


Per prima cosa è necessario [https://www.cacert.org/index.php?id=1&lang=it_IT registrarsi] su [http://www.cacert.org/index.php?id=0&lang=it_IT Cacert.Org]. Terminata la registrazione (confermando via email la validità del proprio indirizzo email) siamo pronti per iniziare.
lo estraiamo e ci portiamo nella cartella estratta


==Registrazione di un Dominio==
<pre> tar xzvf fuse-2.5.3.tar.gz
Per poter generare un certificato è necessario disporre di un dominio.  
cd fuse-2.5.3 </pre>
* Dopo essersi ''loggati'' nel portale si verrà indirizzati nella propria pagina;
* Selezioniamo, a destra, il menù '''Domini''' e la voce '''Aggiungi''';
* Inseriamo il dominio (senza ''www.'' o altro davanti) e proseguiamo;
* Per poter generare un certificato è necessario verificare che il richiedente sia effettivamente legato al dominio. Per questo motivo sono presenti degli indirizzi email predefiniti a cui inviare l'email di verifica: ''root@dominio.it'', ''hostmaster@dominio.it'', ''postmaster@dominio.it'', ''admin@lerasole.it'', ''webmaster@lerasole.it''.
* All'arrivo dell'email, confermiamo l'aggiunta del dominio.


==Generazione csr==
installiamo, col kernel 2.6.17 il modulo ''fuse'' � gi� abilitato nel kernel, quindi
Per poter ottenere un certificato è necessario avere una Richiesta di Sottoscrizione del Certificato (Certificate Signing Request, CSR). Per crearla usiamo il seguente comando:
<pre>
# openssl req -nodes -new -keyout dominio.it.key -out dominio.it.csr
</pre>
Dove, ovviamente, ''dominio.it'' rappresenta il nome del nostro dominio.


Verranno poste le seguenti domande:
<pre> ./configure--enable-kernel-module </pre>
<pre>
Generating a 1024 bit RSA private key
..............++++++
..................++++++
writing new private key to 'mail.knio.it.key'
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:IT
State or Province Name (full name) [Some-State]:Verona
Locality Name (eg, city) []:Garda
Organization Name (eg, company) [Internet Widgits Pty Ltd]:MaXeR
Organizational Unit Name (eg, section) []:
Common Name (eg, YOUR name) []:dominio.it
Email Address []:admin@dominio.it


Please enter the following 'extra' attributes
Ora scarichiamo ntfs-3g
to be sent with your certificate request
A challenge password []:
An optional company name []:
</pre>


{{Box|Nota:|i dati inseriti sono futtizzi, è d'obbligo sostituirli con quelli reali}}
http://mlf.linux.rulez.org/mlf/ezaz/ntfs-3g-download.html


Verranno generati due file: ''dominio.it.key'', che rappresenta la chiave privata; ''dominio.it.csr'' che rappresenta la Richiesta di Sottoscrizione del Certificato.
estraiamo e ci portiamo nella cartella


==Richiesta del Certificato==
<pre> cd ntfs-3g-20070920-BETA
Visualizziamo il contenuto del file '''dominio.it.csr''' e copiamolo nel form contenuto in ''Certificati per i Server (Server Certificates)'', ''Nuovo''.
./configure
make
make install #ovviamente da root </pre>


Inviamo il contenuto del form e confermiamo. Al termine dell'elaborazione verrà mostrato il codice del certificato (una copia ci verrà inviata anche via email), salviamolo nel file '''dominio.it.crt'''.
OK, se non si sono ricevuti errori, bisogna montare la partizione per poterla utilizzare


==Spostiamo i file sul server==
<pre> ntfs-3g /dev/hda1 /media/windows -o locale=it_IT.utf8 </pre>
Spostiamo i tre file sul server, nella directory '''/etc/apache/ssl/''' nel caso di apache, '''/etc/apache2/ssl''' nel caso di apache2.


==Verifica del Certificato==
se si vuole la partizione montata in auto, editare ''/etc/fstab'' ed aggiungere la seguente riga
Prima di configurare il server è d'obbligo un controllo sulla correttezza del certificato. Per fare questo dobbiamo:
* Scaricare il ''root certificate'' dall'indirizzo http://www.cacert.org/certs/root.crt
* Copiarlo nella directory '''/etc/apache/ssl/''' (o '''/etc/apache2/ssl''' nel caso di apache2)
* Eseguire il comando: <pre>openssl verify -CAfile root.crt -purpose sslserver dominio.it.crt</pre>


Se tutto è stato eseguito correttamente, il controllo avrà esito positivo.
<pre> /dev/hda1 /media/windows ntfs-3g defaults 0 0 </pre>


=Apache=
Bene ora possiamo usare la partizione con file system ''ntfs''.
==Installazione==
''Apache-ssl'' rappresenta il demone Apache con il supporto per ssl abilitato. L'installazione è semplice, rappresentando un pacchetto ''separato'' da apache ''normale'':
<pre>
# apt-get install apache-ssl
</pre>


==Configurazione==
P.S. Potrebbe essere utile installare fuse-utils e ntfsprogs direttamente con apt.
Prima di installare i certificati è consigliabile mettere mano alla configurazione generica del server, in modo da sistemare quei parametri relativi al dominio, all'amministratore e alla directory radice utilizzata da apache.


===Modifica impostazioni base===
== link esterni ==
Il file in questione è '''/etc/apache-ssl/httpd.conf'''. Le voci da adattare alla propria configurazione sono le seguenti:
; ServerName : indica il dominio al quale dovrà rispondere il server. Nel nostro caso sarà ''esempio.it''.
; ServerAdmin : l'email dell'amministratore del server. Nel nostro caso ''sysadmin@esempio.it''.
; DocumentRoot : indica la directory radice in cui si trovano le pagine che verranno mostrate da apache. Nel nostro esempio verrà mantenuto il valore di default.


===Aggiunta del Certificato===
http://wiki.linux-ntfs.org/doku.php?id=ntfs-3g
Il file da modificare è, anche in questo caso, quello principale: '''/etc/apache-ssl/httpd.conf'''. All'interno di questo è presente una sottosezione, preceduta dalla riga
<pre>
# ----------------------------SSL----------------------------------
</pre>
All'interno di questa sezione si trovano tutte le voci di configurazione del modulo SSL; quelli che ci interessano, per una configurazione ''base'' sono ''SSLCertificateFile'' e ''SSLCertificateKeyFile''.


Commentiamo (o modifichiamo) quindi quelle già presenti ed aggiungiamo quelle relative al nostro certificato:
ciao
<pre>
SSLCertificateFile /etc/apache-ssl/ssl/esempio.it.crt
SSLCertificateKeyFile /etc/apache-ssl/ssl/esempio.it.key
</pre>


Salviamo il file e riavviamo apache-ssl.
:[[Utente:Xtow|Xtow]]
<pre>
# /etc/init.d/apache-ssl restart (o reload)
</pre>
 
=Apache2=
==Installazione==
L'installazione di apache2 è semplicissima:
<pre>
# apt-get install apache2
</pre>
 
==Attivazione del supporto SSL==
Per poter usare SSL in apache2 è necessario attivarlo (visto che non è presente un pacchetto apposito come ''apache-ssl''):
<pre>
# a2enmod ssl
</pre>
provvede ad attivare il supporto per SSL.
 
==Creazione VirtualHost==
Dobbiamo, ora, creare un VirtualHost che sia in ascolto sulla porta 443.
 
Prima di procedere, però, dobbiamo modificare il comportamento di Apache relativamente ai ''NameVirtualHost''.
 
Modifichiamo il file '''/etc/apache2/apache.conf''' e aggiungiamo, prima di
<pre>
Include /etc/apache2/sites-enabled/[^.#]*
</pre>
le seguenti righe:
<pre>
NameVirtualHost *:80
NameVirtualHost *:443
</pre>
e assicuriamoci che l'opzione ''NameVirtualHost *'' sia commentata o rimossa dal file '''/etc/apache2/sites-available/default'''.
 
Modifichiamo tutti i VirtualHost aggiungendo l'indicazione delle porte (ad esempio: ''<VirtualHost *>'' diventa ''<VirtualHost *:80>'').
 
Ora creiamo un nuovo file, in ''/etc/apache2/sites-available''' che chiameremo '''dominio.it-ssl''', ed utilizziamo il seguente schema:
<pre>
<VirtualHost *:443>
        SSLEngine On
        ServerName dominio.it
        ServerAdmin admin@dominio.it
        DocumentRoot /var/www
 
        ErrorLog /var/log/apache2/dominio.it-ssl_error.log
        CustomLog /var/log/apache2/dominio.it-ssl_access.log combined
</VirtualHost>
</pre>
 
ovviamente adattando le varie opzioni alla situazione reale...
 
Ora provvediamo ad attivarlo:
<pre>
# a2ensite dominio.it-ssl
</pre>
 
==Aggiunta Certificati==
I certificati, in questo caso, verranno aggiunti in un file a parte: '''/etc/apache2/conf.d/ssl.conf''' con il seguente contenuto:
<pre>
SSLCertificateFile ssl/dominio.it.crt
SSLCertificateKeyFile ssl/dominio.it.key
SSLCertificateChainFile ssl/root.crt
</pre>
 
Per applicare le modifiche è sufficiente riavviare apache:
<pre>
# /etc/init.d/apache2 restart
</pre>
 
=Test di funzionamento=
Il miglior test è forse il più semplice: aprire un browser e collegarsi all'indirizzo https://esempio.it ;-)
 
=Considerazioni=
==Limitazioni nell'utilizzo di VirtualHost==
La limitazione più ''pesante'' che si può notare è l'impossibilità di utilizzare più di un certificato per la stessa accoppiata ''ip:porta''. Il motivo è semplice: i dati inviati sono cifrati, quindi è impossibile, per apache, riuscire ad estrapolare il ''ServerName''... Quindi viene usata l'accoppiata ''ip:porta'' per definirlo.
 
==Diffusione di CaCert==
CaCert inizia ad essere inserito, come certificato root, anche nei vari browser, evidenziando che l'attenzione verso questo progetto sta salendo... Non resta che adottarlo ed, eventualmente, fare richiesta agli sviluppatori del nostro browser preferito affinche CaCert venga inclusa.
 
=Bookmark=
[http://www.cacert.org '''CaCert.Org''']
Mm-barabba
660

contributi

Estratto da "https://guide.debianizzati.org/index.php/Speciale:DiffMobile/14038"