3 581
contributi
Old:Samba e OpenLDAP: creare un controller di dominio con Ubuntu Server TLS e SSL: differenze tra le versioni
Old:Samba e OpenLDAP: creare un controller di dominio con Ubuntu Server TLS e SSL (visualizza wikitesto)
Versione delle 15:18, 7 dic 2019
, 7 dic 2019ha spostato Samba e OpenLDAP: creare un controller di dominio con Ubuntu Server TLS e SSL a Old:Samba e OpenLDAP: creare un controller di dominio con Ubuntu Server TLS e SSL
Nessun oggetto della modifica |
m (ha spostato Samba e OpenLDAP: creare un controller di dominio con Ubuntu Server TLS e SSL a Old:Samba e OpenLDAP: creare un controller di dominio con Ubuntu Server TLS e SSL) |
||
| (7 versioni intermedie di 3 utenti non mostrate) | |||
| Riga 1: | Riga 1: | ||
{{ | {{Old:Template:Samba e OpenLDAP su Ubuntu server}} | ||
}} | |||
== TLS e SSL == | == TLS e SSL == | ||
=== Introduzione === | === Introduzione === | ||
Transport Layer Security (TLS) e il suo predecessore Secure Sockets Layer (SSL) sono dei protocolli crittografici che permettono una comunicazione sicura e una integrità dei dati su reti TCP/IP come, ad esempio, internet. TLS e SSL cifrano la comunicazione dalla sorgente alla destinazione (end-to-end) sul livello di trasporto. | Transport Layer Security (TLS) e il suo predecessore Secure Sockets Layer (SSL) sono dei protocolli crittografici che permettono una comunicazione sicura e una integrità dei dati su reti TCP/IP come, ad esempio, internet. TLS e SSL cifrano la comunicazione dalla sorgente alla destinazione (end-to-end) sul livello di trasporto.<br/> | ||
Il protocollo TLS consente alle applicazioni client/server | Il protocollo TLS consente alle applicazioni client/server di comunicare attraverso una rete in modo tale da prevenire il 'tampering' (manomissione) dei dati, la falsificazione e l'intercettazione.<br/> | ||
Nell'utilizzo tipico di un browser da parte di utente finale, l'autenticazione TLS è unilaterale: solo il server è autenticato (il client conosce l'identità del server), ma non vice-versa (il client rimane anonimo e non autenticato). L'autenticazione del server è molto utile per il software di navigazione e per l'utente. Il browser valida il certificato del server controllando la firma digitale dei certificati del server controllando che questa sia valida e riconosciuta da una certificate authority conosciuta utilizzando una cifratura a chiave pubblica. Dopo questa autenticazione il browser indica una connessione sicura mostrando solitamente un lucchetto in un'icona in basso a destra. Questa autenticazione, però, non è sufficiente per garantire che il sito con cui ci si è collegati sia quello richiesto. Per esserne sicuri è necessario analizzare il contenuto del certificato rilasciato e controllarne la catena di certificazione. I siti che intendono ingannare l'utente non possono utilizzare un certificato del sito che vogliono impersonare perché non hanno la possibilità di cifrare in modo valido il certificato, che include l'indirizzo, in modo tale che risulti valido alla destinazione. Solo le CA possono generare certificati validi con un'URL incorporata in modo che il confronto fra l'URL apparente e quella contenuta nel certificato possa fornire un metodo certo per l'identificazione del sito. Molto spesso questo meccanismo non è noto agli utenti di internet ed è causa di varie frodi dovute, però, ad un incorretto utilizzo del browser non ad una debolezza del protocollo TLS. | Nell'utilizzo tipico di un browser da parte di utente finale, l'autenticazione TLS è unilaterale: solo il server è autenticato (il client conosce l'identità del server), ma non vice-versa (il client rimane anonimo e non autenticato). L'autenticazione del server è molto utile per il software di navigazione e per l'utente. Il browser valida il certificato del server controllando la firma digitale dei certificati del server controllando che questa sia valida e riconosciuta da una certificate authority conosciuta utilizzando una cifratura a chiave pubblica. Dopo questa autenticazione il browser indica una connessione sicura mostrando solitamente un lucchetto in un'icona in basso a destra. Questa autenticazione, però, non è sufficiente per garantire che il sito con cui ci si è collegati sia quello richiesto. Per esserne sicuri è necessario analizzare il contenuto del certificato rilasciato e controllarne la catena di certificazione. I siti che intendono ingannare l'utente non possono utilizzare un certificato del sito che vogliono impersonare perché non hanno la possibilità di cifrare in modo valido il certificato, che include l'indirizzo, in modo tale che risulti valido alla destinazione. Solo le CA possono generare certificati validi con un'URL incorporata in modo che il confronto fra l'URL apparente e quella contenuta nel certificato possa fornire un metodo certo per l'identificazione del sito.<br/> | ||
Ora vedremo come configuare ldap e samba | Molto spesso questo meccanismo non è noto agli utenti di internet ed è causa di varie frodi dovute, però, ad un incorretto utilizzo del browser non ad una debolezza del protocollo TLS.<br/> | ||
Ora vedremo come configuare ldap e samba affinché usino l'autenticazione TLS unilaterale. | |||
=== Configurazione === | === Configurazione === | ||
Per prima cosa procediamo all'installazione di gnutls-bin: | Per prima cosa procediamo all'installazione di <code>gnutls-bin</code>: | ||
<pre> | <pre> | ||
# apt-get install gnutls-bin | # apt-get install gnutls-bin | ||
</pre> | </pre> | ||
==== Creazione Certificato ==== | ==== Creazione Certificato ==== | ||
Successivamente bisognerà ottenere un certificato usando l'utility certtoll: | Successivamente bisognerà ottenere un certificato usando l'utility <code>certtoll</code>: | ||
* Creiamo una chiave privata per Certificate Authority (CA): | * Creiamo una chiave privata per Certificate Authority (CA): | ||
| Riga 35: | Riga 19: | ||
# sh -c "certtool --generate-privkey > /etc/ssl/private/cakey.pem" | # sh -c "certtool --generate-privkey > /etc/ssl/private/cakey.pem" | ||
</pre> | </pre> | ||
* Creare il file /etc/ssl/ca.info, per autofirmare il CA certificate, con il seguente contenuto: | * Creare il file <code>/etc/ssl/ca.info</code>, per autofirmare il CA certificate, con il seguente contenuto: | ||
<pre> | <pre> | ||
cn = server.dominio.local | cn = server.dominio.local | ||
| Riga 46: | Riga 30: | ||
--outfile /etc/ssl/certs/cacert.pem | --outfile /etc/ssl/certs/cacert.pem | ||
</pre> | </pre> | ||
* Generare una chiave | * Generare una chiave privata per il server: | ||
<pre> | <pre> | ||
# sh -c "certtool --generate-privkey > /etc/ssl/private/server_slapd_key.pem" | # sh -c "certtool --generate-privkey > /etc/ssl/private/server_slapd_key.pem" | ||
</pre> | </pre> | ||
* Per firmare il certificato del server con il CA certificate, creare il file /etc/ssl/server.info con il contenuto: | * Per firmare il certificato del server con il CA certificate, creare il file <code>/etc/ssl/server.info</code> con il contenuto: | ||
<pre> | <pre> | ||
organization = Server Dominio | organization = Server Dominio | ||
| Riga 65: | Riga 49: | ||
</pre> | </pre> | ||
==== Modifiche di LDAP ==== | ==== Modifiche di LDAP ==== | ||
Ora dobbiamo modificare il file cn=config.ldif di slapd.d | Ora dobbiamo modificare il file <code>cn=config.ldif</code> di <code>slapd.d</code> affinché usi il certificato.<br/> | ||
Creare il file /etc/ldap/tls.ldif: | Creare il file <code>/etc/ldap/tls.ldif</code>: | ||
<pre> | <pre> | ||
dn: cn=config | dn: cn=config | ||
| Riga 82: | Riga 66: | ||
# ldapmodify -Y EXTERNAL -H ldapi:/// -f /etc/ldap/tls.ldif | # ldapmodify -Y EXTERNAL -H ldapi:/// -f /etc/ldap/tls.ldif | ||
</pre> | </pre> | ||
Aprire il file /etc/default/slapd e togliere il commento dall'opzione SLAPD_SERVICES: | Aprire il file <code>/etc/default/slapd</code> e togliere il commento dall'opzione SLAPD_SERVICES: | ||
<pre> | <pre> | ||
SLAPD_SERVICES="ldap:/// ldapi:/// ldaps:///" | SLAPD_SERVICES="ldap:/// ldapi:/// ldaps:///" | ||
| Riga 95: | Riga 79: | ||
</pre> | </pre> | ||
Modificare /etc/ldap.conf: | Modificare <code>/etc/ldap.conf</code>: | ||
<pre> | <pre> | ||
uri ldpas://127.0.0.1/ | uri ldpas://127.0.0.1/ | ||
| Riga 108: | Riga 92: | ||
==== Configurazione Samba ==== | ==== Configurazione Samba ==== | ||
Modificare la seguente voce di smb.conf: | Modificare la seguente voce di <code>smb.conf</code>: | ||
<pre> | <pre> | ||
.... | .... | ||
| Riga 114: | Riga 98: | ||
.... | .... | ||
</pre> | </pre> | ||
In fine, riavviare slapd: | In fine, riavviare <code>slapd</code>: | ||
<pre> | <pre> | ||
# /etc/init.d/slapd restart | # /etc/init.d/slapd restart | ||
</pre> | </pre> | ||