Grundpraktikum Netz- und Datensicherheit. Thema: Konfiguration von Apache HTTPD

Transkript

1 Grundpraktikum Netz- und Datensicherheit Thema: Konfiguration von Apache HTTPD Lehrstuhl für Netz- und Datensicherheit Ruhr-Universität Bochum Versuchdurchführung: Raum ID 2/168 Zusammengestellt von: Andre Adelsbach, Marc Erdmann, Lijun Liao, Florian Bache, Patrick Meier Stand: 11. September 2013 Version: 2.0

2 1 Einleitung 1 Einleitung OpenSSL[5] ist eine freie Implementierung des SSL Protokolls, das sichere Ende-zu-Ende Verbindungen herstellen kann und auf der Transportschicht arbeitet. In diesem Versuch wird ein Webserver mit OpenSSL gegen Abhören der Kommunikation und unbefugten Zugriff gesichert. 1.1 Szenario Sie sind der IT-Verantwortliche eines Zulieferbetriebes. Ihr Auftraggeber möchte in Zukunft alle Bestellungen komfortabel über das Internet abwickeln. Die Geschäftsführung hat bereits eingelenkt und es liegt nun an Ihnen, eine sichere Online-Business-Umgebung zu schaffen. Gleichzeitig stellt auch Ihr Zulieferbetrieb sein Bestellwesen auf eine Internet-basierte Lösung um, die Sie natürlich testen müssen. 2 Technischer Rahmen Ihnen steht ein Rechner unter Ubuntu zur Verfügung auf dem die benötigten Softwarepakete bereits installiert sind. Als Webserver kommt Apache (Version 2.0) zum Einsatz. Die verschiedenen Möglichkeiten der Zugriffskontrolle sind auf der Website[1] des Apache Projekts dokumentiert. Besonders empfehlenswert für die Versuchsdurchführung sind [3] und [2]. Ein einfaches Bestellformular existiert bereits auf den Rechnern und muss nicht von ihnen implementiert werden. Als Browser soll Firefox verwendet werden. 3 Hinweise 3.1 Voraussetzungen für die Teilnahme Grundlagenkenntnisse bei der Bedienung von grafischen und Text-basierten Linux-Systemen. Die Versuchsanleitung muss gelesen und verstanden werden. Ferner müssen Sie die Kontrollfragen beantworten können. Zum besseren Verständnis ist es hilfreich, die angegebenen Links anzuschauen. Eventuelle Nachfragen können gleich zu Beginn des Versuchs geklärt werden. Machen Sie sich mit den benötigten Tools vertraut, damit Sie die erforderlichen Kommandos beherrschen. 3.2 Auswertung Die Versuchsauswertung muss die Beantwortung der Fragen zur Vorbereitung enthalten und alle von Ihnen vorgenommenen Änderungen an Konfigurationen enthalten. Dokumentieren Sie auch Ihren Lösungsweg einschließlich möglicherweise entstandener Fehler und Ihre Diagnose. Grundpraktikum NDS - Apache September 2013

3 4 Versuch Ferner sollten Sie mindestens jeweils ein Beispiel einer mitgeschnittenen unverschlüsselten und verschlüsselten HTTP Verbindung dem Protokoll beifügen und kommentieren. Dazu können Sie die entsprechenden Export-Funktionen von wireshark verwenden. Bitte geben Sie auch Feedback, ob Sie den Praktikumsversuch als interessant empfunden haben und ob dieses Dokument für Sie bei der Versuchsdurchführung hilfreich war. Verbesserungsvorschläge sind willkommen! 4 Versuch 4.1 Unverschlüsselter Passwortschutz Implementieren sie zunächst einen nicht verschlüsselten Passwortschutz für das Webinterface. Richten sie für ihre Nachbargruppe ein Benutzerkonto ein, mit dem Bestellungen simuliert werden können. Legen Sie im Ordner des Webshops eine Datei mit dem Namen.htaccess wie in [3], Abschnitt Getting it working beschrieben. Es soll nur eine Person Zugriff haben, für die Sie einen Account anlegen müssen. Verwenden Sie das Kommando htpasswd auf der Shell. Eine Anleitung für diesen Befehl finden Sie unter [4]. Stellen Sie sicher, dass Apache ihre.htaccess-datei auch benutzt. Ändern Sie dafür das entsprechende Statement in der Konfigurationsdatei des Default-VHots. Überprüfen Sie, ob sie von einem Client aus über den Webbrowser sicherheitsrelevante Daten vom Server abfragen können. Starten Sie dazu den Netzwerksniffer Wireshark[9] und bitten Sie eine andere Gruppe sich in ihren Shop einzuloggen. Durchsuchen Sie die empfangenen Pakete nach den vertraulichen Daten. Durch einen geeigneten Filter können Sie die Ausgabe übersichtlicher gestalten. Hinweise Starten Sie den Apache-Server mit sudo /etc/init.d/apache2 start. Das Bestellsystem ist im Verzeichnis /var/www/shop installiert. Nach jeder Änderung der Apache-Konfiguration muss der Dienst mit dem Befehl /etc/init.d/apache2 restart neugestartet werden. Zur Fehlerdiagnose hilfreich sind die Logfiles, die sich in dem Verzeichnis /var/log/apache2 befinden. Die Konfigurationsdateien der default VHots sind im Verzeichnis /etc/apache2/sites-available/ zu finden. 4.2 SSL-Verschlüsselung und Server Authentifikation mittels Zertifikat Da der von Ihnen implementierte Passwortschutz mängel aufweist werden Sie den Shop nun miteels Verschlüsselung sichern. Außerdem werden Sie sicherstellen, dass ein Kunde guten Gewissens überzeugt sein kann tatsächlich mit dem Shop zu kommunizieren (MITM Schutz). Dazu konfigurien Sie Apache so, dass das Webinterface per HTTPS erreichbar ist. Laden Sie das Stammzertifikat des Netzlabors vom Certification Authority Server (grundsätzliches zu SSL siehe [5]) herunter und importieren Sie es in den Webbrowser. Achten Sie dabei auf den Fingerprint des heruntergeladenen Zertifikats und dokumentieren sie dies. Greifen Sie dazu mit Ihrem Webbrowser auf die Adresse server1.netz1.test/ca zu und wählen Grundpraktikum NDS - Apache September 2013

4 4 Versuch Sie Certification Authority. Laden Sie das Zertifikat, es wird automatisch im Browser installiert. Erzeugen Sie mit Hilfe der CA auf dem Server des Netzlabors ein Zertifikat für Ihren Server und konfigurieren Sie Apache so, dass das Webinterface per HTTPS zugänglich ist. Füllen Sie das Formular für den Netscape Certificate Signing Request geeignet aus. Der Common Name muss der IP-Adresse Ihres Rechners entsprechen. Das Zertifikat wird beim Download automatisch im Browser gespeichert. Sie können den privaten Schlüssel zusammen mit den Zertifikate über das Menü Edit P references Advanced Certif icates mit der Funktion Backup in eine Datei exportieren. Mit dem einzugebenen Kennwort wird die Datei verschlüsselt. Das Zertifikat wird zusammen mit dem privaten Schlüssel im PKCS#12 Format gespeichert und mit dem eingegebenen Kennwort verschlüsselt. Der Webserver benötigt die Daten jedoch im PEM Format. Mit openssl pkcs12 erfolgt die Konvertierung [6]. Kopieren Sie den Teil aus der PEM-kodierten Datei, der den Schlüssel des Webservers enthält, und den welcher das Zertifikat enthält jeweils in eine Datei im Ordner /etc/ssl (Dateinamen frei wählbar). Benutzen Sie die Konfiguration des HTTPS-VHosts um Apache anzuweisen dieses Zertifikat zu verwenden. Sichern Sie auch die HTTPS-Verbindung mit dem Passwortschutz aus der letzten Aufgabe. Aktivieren Sie nun den SSL-Support von Apache und den HTTPS-VHost mit Sudo a2enmod ssl und sudo a2ensite default-ssl. Dokumentieren Sie Ihre Konfigurationsänderungen und dass ein Abhören der Verbindungen nun nicht mehr möglich ist (Wireshark). 4.3 Client Authentifikation mittels Zertifikat Statt einer Authentifikation mittels Benutzername und Kennwort, kann man die Identität eines berechtigten Anwenders auch mit Hilfe eines Zertifikats festellen. Dabei wird ein definiertes Paar aus Zertifikat und privatem Schlüssel im Browser gespeichert. Bei Ihnen ist dies bereits beim ersten Schritt von Teil 2 geschehen. Modifizieren Sie nun Ihre Apache-Konfiguration so, dass nur Browser, die ein von der Netzlabor CA unterschriebenes Zertifikat vorweisen können, auf das Bestellsystem zugreifen können. Der Teil des Webservers, der für HTTPS-Anfragen zuständig ist, wurde in /etc/apache2/sites-available/default-ssl konfiguriert. Kopieren Sie das Zertifikat der Netzlabor CA in den Ordner /etc/ssl. Es wird benötigt um berechtigte Nutzer als solche zu identifizieren. Benutzen Sie die Konfigurationsdatei für ihren SSL-fähigen VHosts um Apache mitzuteilen das er das Zertifikat als CA-Zertifikat nutzen soll. Anschließend müssen sie das zu schützende Verzeichnis definieren (<Location /var/www/shop>) und den Zugang einschränken. SSLVerifyClient require ist die notwenige Direktive für die Zugriffsbeschränkung. Um genau einen Schritt in der Vertrauenskette nach oben zuzulassen, setzen Sie bitte SSLVerifyDepth 1. Verhindern Sie zuletzt den HTTP-Zugriff auf den Shop. Weitere Informationen finden Sie in der Apache Dokumentation [1]. Grundpraktikum NDS - Apache September 2013

5 5 Kontrollfragen 5 Kontrollfragen Als Vorbereitung sollten Sie die Dokumentation der verwendeten Softwarepackete gelesen haben und folgende Fragen kurz schriftlich beantworten: 1. Erklären Sie kurz die Möglichkeiten, die eine.htaccess Datei bietet. Welche Voraussetzungen müssen dafür in der globalen Apache-Konfiguration geschaffen werden? Welche Einträge müssen in einer.htaccess Datei vorhanden sein, um eine Username / Password Authentifikation zu implementieren? Wie wird eine Kennwortdatei für Apache AuthType Basic erstellt? Mit welchem Kommando kann man einen Benutzer hinzufügen? Einige Konfigurationen werden Sie in Dateien wie.htaccess in einem Ordner ablegen, der über das Web zugänglich ist. Überlegen Sie, wie man mit Apache diese Zugriffskonfiguration und die Kennwortdatei mit Hilfe einer globalen Einstellung (in /etc/apache2/sites-available) gegen Download schützen kann. Lesen Sie im RFC 2617 [7] das Kapitel 2. Wie werden Benutzername und Kennwort bei AuthType Basic übertragen? Wie läuft ein SSL Handshake ab? Welche Rolle spielt die CA? Welcher Befehl konvertiert ein PKCS#12 Zertifikat / Schlüssel nach PEM? Überlegen Sie, welchen Zweck der Kennwortschutz hat und wie das Kennwort beschaffen sein sollte. Weche Informationen und Daten werden Sie in der konvertierten Datei finden? Was versteht man bei Apache unter Virtual Hosts? Grundpraktikum NDS - Apache September 2013

6 Literatur Literatur [1] Apache http server version [2] Apache ssl/tls encryption. [3] Authentication, authorization and access control. [4] Manage user files for basic authentication. [5] Open ssl project. [6] Pkcs12. [7] Rfc [8] Virtual hosts. [9] Wireshark. Grundpraktikum NDS - Apache September 2013