ot Bondoff(19-02-2005)

reiting (15)   [ dobre ]  [ zle ]

Printer Friendly Variant za otpechatvane


Stupka po stupka: Apache 2 s poddruzhka na SSL/TLS.

CHast I


Predvaritelno se izviniavam za kachestvoto na prilozhenite diagrami (A.B.).

Za poveche ot 10 godini protokolut SSL se nalozhi, kato nachin za kriptiran transfer na danni prez Internet. Nikoi ne mozhe da predpolozhi kolko milioni i miliardi bankovi tranzaktsii sa osushtestveni po kriptirana vruzka osigurena ot protokola SSL. Faktut, che izpolzvame SSL kriptirana vruzka, obache, ne oznachava che tia e sigurna. Vuzmozhnostta za dekriptirane na dannite, vuzmozhnostta za proverka na sertifikatite na ueb survurite, uiazvimostta v SSL bibliotekite, koito ueb survurite izpolzvat, mogat da dovedat do probiv v sigurnostta pri predavane na chuvstvitelna informatsiia.

Tazi statiia e purvata ot tri-seriina poreditsa “Stupka po stupka: Apache 2 s poddruzhka na SSL/TLS”, posvetena na konfigurirane na Apache 2 ueb survur s poddruzhka na SSL/TLS. TSelta na avtora e poreditsata statii da budat spravochen material pri nastroika i konfiguratsiia na ueb survur.

CHast purva na statiiata tretira nachina na rabota na SSL/TLS, kakto i niakoi lyubopitni aspekti. Kak da instalirame i konfigurirame Apache 2.0 ueb survur s poddruzhka na tezi protokoli.

Vtora chast na statiia diskutira problema za konfiguratsiia na mod_ssl modulut na Apache 2 i avtentikatsiiata pri https. Sushto taka vuv vtorata chast na statiiata, shte oburnem vnimanie na suzdavaneto na SSL sertifikat za ueb survur.

Tretata chast na statiiata obsuzhda problemite po klientska avtentikatsiia i niakoi tipichni konfiguratsionni greshki dopuskani ot sistemnite administratori, koito biha mogli da doprinesat za uvelichavane na uiazvimostta na ueb survura.

Predstaviane na SSL.

Secure Socket Layer (SSL) e mozhe bi nai-shiroko izpolzvaniiat protokol, za osushtestviavane na kriptirana vruzka mezhdu klient i ueb survur v Internet. Po svoiata sushtnost SSL e dosta prost protokol: toi predostavia algoritum za kriptirane na danni i klyuchove za dekriptiraneto im mezhdu dve strani na komunikatsionen kanal i predostavia kriptiran “tunel”, za drugi protokoli (naprimer HTTP). Kato dopulnenie, SSL predostavia dvustranna avtentikatsiia mezhdu dvete strani posredstvom sertifikat.


SSL e “sloevi” protokol, koito sudurzha v sebe si chetiri pod-protokola:

  • SSL Handshake Protocol

  • SSL Change Cipher Spec Protocol

  • SSL Alert Protocol

  • SSL Record Layer


Pozitsiiata na vseki edin ot tezi pod-protokoli, v suotvetstvie s TCP/IP modela, mozhe da bude ilyustriran po sledniia nachin:



Kakto se vizhda ot diagramata, SSL se namira v programniia sloi na TCP/IP protokola. Po silata na tova obstoiatelstvo, SSL mozhe da bude implementiran v pochti vsiaka operatsionna sistema, koiato poddurzha TCP/IP protokol, bez da e neobhodima spetsialna konfiguratsiia na iadroto na sistemata ili TCP/IP steka. Tova obstoiatelstvo dava na SSL goliamo predimstvo pred drugi protokoli kato IPSec (IP Security Protokol) naprimer.


Kak raboti SSL? Sledvashtata diagrama pokazva oprosten model na protsesite za ustanoviavane na nova SSL vruzka mezhdu klient (naprimer ueb brauzur) i survur – v nashia sluchai SSL-konfiguriran ueb survur.





Kakto vizhdate, protsesut na ustanoviavane na vsiaka nova SSL vruzka zapochva s razmiana na kriptirashti parametri i avtentikatsiia na survurite, izpolzvaiki SSL rukostiskane (SSL Handshake Protocol). Ako rukostiskaneto e uspeshno, mozhe da zapochne predavane na danni po kriptiran tunel, izpolzvaiki SSL Record Layer.



Na praktika protsesut po ustanoviavane na kriptirana vruzka e malko po-slozhen. Za da se izbegne nenuzhno rukostiskane, niakoi ot kriptirashtite parametri mozhe da buda keshirani, da se izprashtat Alert messages i t.n., no tuk niama da se vpuskame v podrobnosti.


SSL, PCT, TLS i WTLS (a zashto ne SSH?)


Nezavisimo, che SSL e nai-izvestniia i nai-izpolzvaniia, toi ne e edinstveniia protokol za suzdavane na kriptirana tunel.

Vazhno e da se znae, che sled suzdavaneto na SSL v1.0 (koito mezhdu drugoto nikoga ne se poiavi na bial sviat), biaha suzdadeni pone pet protokola, izigrali poveche ili po-malko za roliata na kriptiranoto predavane na danni v Internet. SHTe posochim niakoi ot tiah.


  • SSL v2.0
    Izdaden ot Netscape Communications prez 1994. Kato osnovna tsel, protokolut e suzdaden za osiguriavane na sigurna obmiana na danni pri HTTP sesii v Internet. Za suzhalenie (na Netscape) biaha otkriti znachitelni propuski i uiazvimosti, koeto mu suzdade losha slava i dovede do ogranichenoto mu izpolzvane ot mnogo komersialni organizatsii i finansovi uchrezhdeniia.


  • PCT v1.0
    Razraboten prez 1995 ot Microsoft, Privacy Communication Technology (PCT) v1.0 izchistva niakoi ot propuskite na SSL v2.0. S razrabotvaneto na PCT, Microsoft si postavia za tsel da eliminira SSL. Taka ili inache, tozi protokol nikoga ne dostigna populiarnostta na SSL v3.0.


  • SSL v3.0
    Prez 1996 Netscape Communications uspeshno izigra seriiata “Zavrushtaneto na dzhedaite”. SSL v3.0 izchistva propuskite ot SSL v2.0 i vklyuchva v sebe si povecheto idei i funktsii na PCT. Po tozi nachin, toi se prevurna v nai-populiarniia protokol za osushtestviavane na kriptirana vruzka v Internet.


  • TLS v1.0 (poznat oshte kato SSL v3.1)
    Publikuvan ot IETF prez 1999 (RFC 2246). Baziran na SSL v3.0 i PCT i harmonizira razlichiiata mezhdu kontseptsiite na Netscape i Microsoft. Vazhno e da otbelezhim, che nezavisimo ot tova, che v osnovata si TLS e SSL baziran protokol, toi ne e 100% suvmestim s SSL predshestvenika si. IETF napraviha niakoi novovuvedeniia, kato naprimer izpolzvaneto na HMAC vmesto MAC, dopulvane na alert kod za poddruzhka na Fortezza cipher suites, i drugi. Krainiiat rezultat ot tezi promeni e nepulnoto suvmestiavane sus SSL.


  • WTLS
    "Mobile and wireless" versiia na TLS protokola, izpolzvashta kato nositel UDP deitagrami. Toi e razraboten i optimiziran spetsialno za rabota pri niskoskorostnite vruzki mezhdu WAP-bazirani mobilni ustroistva. WTLS e vklyuchen kato standartna poddruzhka v WAP 1.1 versiia na protokola i e suzdaden ot WAP Forum. Sled izlizaneto na versiia 2 na protokola WAP, WTLS e zamenen ot profiliranata versiia na TLS protokola, koito e dosta po-siguren i ustoichiv glavno poradi fakta, che ne se nuzhdae ot razkriptirane i prekriptirane na dannite, v sluchaite kogato vruzkata minava prez WAP gateway.


Mozhe bi niakoi ot vas si zadavat vuprosa “Zashto SSH ne se izpolzva za osiguriavane na kriptirana vruzka/dostup do WWW?” Mozhem da posochim dve prichini:

      1. Predi vsichko TLS i SSL biaha suzdadeni spetsialno za osiguriavane na kriptirani HTTP sesii, dokato protokolut SSH beshe suzdaden glavno za da zameni Telnet i FTP. SSL ima za zadacha da osushtestvi rukostiskane i da suzdade kriptiran tunel za drugi protokoli, v sushtoto vreme SSH osiguriava kriptirana konzolna konektsiia, kriptiran transfer na failove i poddruzhka na mnozhestvo avtentikatsionni shemi (chrez parola, publichni klyuchove, Kerebros i drugi);

      2. Ot druga strana SSL/TLS sa bazirani na X.509v3 i PKI, koito praviat distributsiiata i menazhiraneto na kriptiran kanal v edna HTTP sesiia dosta po-lesno.


Da obobshtim. Niakolko sa protokolite za osiguriavane na kriptirana vruzka pri HTTP sesii, samo dva ot tiah (pone za momenta) sa se nalozhili: TLS v1.0 i SSL v3.0


Softuerni iziskvaniia.


Vreme e da oburnem malko vnimanie na konfiguriraneto na Apache 2.0 s poddruzhka na SSL/TLS. Predi vsichko za da mozhete da poddurzhate SSL/TLS vi e neobhodim modulut mod_ssl.

Sistemnite iziskvaniia za pravilnata rabota na Apache s poddruzhka na SSL/TLS e da sa instalirani gcc i OpenSSL biblioteki. Prakticheskite primeri predstaveni v statiiata, bi triabvalo da rabotiat na povecheto Linux i BSD bazirani operatsionni sistemi, no kakto znaete garantsiia 100% niama.


Instalirane na Apache sus SSL/TLS poddruzhka.


V prakticheskite primeri, kato osnoven ueb-brauzur izpolzvame MS Internet Explorer, tui kato e nai-shiroko izpolzvan po sveta. Tova ne oznachava, che primerite niama da rabotiat i za drugi populiarni ueb-brauzuri kato FireFox, Mozilla, Netscape, Safari, Opera.

Mozhe da vi prozvuchi smeshno, no nai-napred (ako obichate) si instaliraite Apache 2.0. Sled tova suzdaite v sistemata grupa i potrebitel s ime “apache”.




<< Stupka po Stupka: Apache 2 s poddruzhka na SSL/TLS, CHast III | Promqna firmware-a na Linksys WRT54G s Linux >>