Einrichten eines sicheren Webservers

Transkript

1 Einrichten eines sicheren Webservers Tätigkeitsbeschreibung Maximilian Braun Technische Facharbeit Berufsbildende Schule 1 Gewerbe und Technik Mainz BSFI09A mediaman technology GmbH

2 Inhalt 1 Einleitung Der Webserver Sicherheitsaspekt Der Server Benötigte Komponenten Apache Fernsteuerung des V-Servers Microsoft Windows Mac OSx Arbeitsablauf Installation und Konfiguration des Webservers Upgrade aller vorhandenen Programme Grundinstallation des Webservers Nützliche Befehle Überprüfung auf Syntaxfehler in der Konfiguration Status des Webservers Manueller Start des Webservers Beenden des Webservers Neustarten des Webservers Neuladen der Konfiguration Installation von PHP Aktivieren von PHP Konfiguration von PHP Installation und Konfiguration der SSL / TLS Komponenten Zertifikate Generierung eines selbstsignierten Zertifikates Konfiguration von HTTPS Zugangsschutz Smoketests Zusammenfassung Zeitplanung Kostenplanung Quellenangaben Abbildungsverzeichnis English summary

3 1 Einleitung Im Folgenden wird beschrieben, wie ein gesicherter Webserver auf einem Virtuellen Server unter Debian / Unix installiert und konfiguriert wird. Auf Grundlage dieses Textes soll mit Basis-Kenntnissen über das Arbeiten mit einem Debian-/UNIX-Server und der Informatik ein sicherer Webserver im Internet in den Betrieb genommen werden. Zunächst erfolgt eine allgemeine Erklärung des gesicherten Webservers, dann die Erläuterung der Installation und der Konfiguration. 1.1 Der Webserver Ein Webserver ist ein Programm, welches modular aufgebaut ist und meist auf einem Grundmodul, dem Webserver, und mehreren kleinen Modulen, zum Beispiel ein Modul um mehrere Anfragen gleichzeitig zu beantworten, basiert. Der Webserver nimmt Anfragen über einen bestimmten Port entgegen, entscheidet dann, ob es eine gültige Anfrage ist, leitet dann die Anfragen an eine Skriptsprache wie PHP oder Perl weiter; falls die Anfrage ungültig ist, gibt der Webserver eine Fehlerseite zurück. 1.2 Sicherheitsaspekt Große Datenmengen werden im Internet über ungesicherte Verbindungen transferiert. In den meisten Fällen sind die Daten, die übertragen werden, nicht sensibel und enthalten keine wichtigen Informationen wie Kreditkartennummer oder anderen Persönlichendaten, jedoch sollten genau jene Daten zum frühestmöglichen Zeitpunkt gesichert werden. Um schon beim Verbindungsaufbau eine serverseitige Sicherheit sicherzustellen, ist es wichtig die Verbindung zu verschlüsseln. 3

4 2 Der Server Im Testszenario wurde ein virtueller Server mit 512 MB Arbeitsspeicher, 20 GB- Festplatte und 2 CPU à 2,6 Gigahertz gemietet. Dieser erfüllt die Mindestvoraussetzungen für einen Webserver mit mittlerem Besucheraufkommen von Klicks am Tag. Auf diesem Server ist Debian / Etch installiert und es gibt volle Administrator rechte. 3 Benötigte Komponenten Für einen sicheren Webserver benötigen wir folgende Komponenten: Einen Computer, mit welchem wir den V-Server fernsteuern können. Einen Server mit einem Debian / UNIX-Betriebssystem und Root rechten. 4 Apache 2 Der Apache Webserver ist der verbreitetste Webserver im Internet. Mit einer großen Community und einer Vielfalt an Modulen wie sonst keiner. Dieser modular aufgebaute Webserver bietet dem Administrator eine große Anzahl an Konfigurationsmöglichkeiten wie Sicherheit, Authentifizierung, Multithreading und Skalierbarkeit. 5 Fernsteuerung des V-Servers Im Folgenden wird beschrieben, wie man unter Microsoft Windows 7 und unter Mac OsX 10.6 einen Server, auf dem Debian installiert ist, fernsteuert. 5.1 Microsoft Windows 7 Unter Microsoft Windows 7 ist das Fernsteuern eines UNIX-basierenden Systems nicht von Haus aus unterstützt. Es wird das Programm Putty [1] benötigt. Putty ist ein SSH- Client. Nach dem Starten von Putty wird man aufgefordert einen Hostname beziehungsweise eine IP-Adresse einzugeben, nach einem Klick auf Open wird eine 4

5 Verbindung hergestellt. Hier muss nun Benutzername und Passwort eingegeben werden, danach ist man auf dem Server eingeloggt siehe Abbildung 1 Screenshot Putty. Abbildung 1 Screenshot Putty 5.2 Mac OSx 10.6 OSx unterstützt das Fernsteuern von Unix-Systemen von Haus aus, über Terminal.app. Zu finden ist Terminal unter Dienstprogramme. Mit Terminal wird die Verbindung über den SSH-Client hergestellt. Dieser ist in MacOSx schon enthalten, siehe Abbildung 2 Screenshot Terminal. Die Verbindung wird über ssh user@hostname hergestellt, wobei user der Benutzername ist und Hostname sowohl ein Hostname, eine IP-Adresse oder auch eine Domain sein kann. 5

6 Abbildung 2 Screenshot Terminal 6 Arbeitsablauf Im Folgenden wird der komplette Arbeitsablauf beschrieben. Die Beispielumgebung ist eine Debian / Etch mit 512 MB Ram, 2 CPU à 2,6 Gigahertz und 20GB-Festplatte. 6.1 Installation und Konfiguration des Webservers Die Installation des Webservers gestaltet sich nicht als schwierig, jedoch sollten vorher einige Dinge sichergestellt werden. 6

7 6.1.1 Upgrade aller vorhandenen Programme Das Update der vorhandenen Programme wird durch die Paketverwaltung Aptitude übernommen. Zuerst wird ein Update aller Paketquellen durchgeführt. aptitude update Danach ein Upgrade aller vorhandenen Programme. aptitude upgrade Grundinstallation des Webservers Die Installation des Webservers wird von Aptitude übernommen, wir benötigen das Paket apache2. Aptitude wird alle weiteren Abhängigkeiten, wie Programme und Bibliotheken, installieren. aptiude install apache2 Nach der fertiggestellten Installation des Paketes sollte unter der IP beziehungsweise dem Hostname des Servers im Browser eine HTML- Seite ausgeliefert (siehe Abbildung 3 Screenshot nach der Basisinstallation) werden. Falls das nicht der Fall ist und z.b. die Verbindung zum Server nicht aufgebaut werden kann, ist zu überprüfen, ob der Webserver überhaupt läuft, Aptitude startet im Normalfall Apache nach der Installation. 7

8 Abbildung 3 Screenshot nach der Basisinstallation Nützliche Befehle Es ist oft der Fall, dass die Konfiguration des Webservers neu eingelesen werden oder sogar der Webserver neugestartet werden muss. Apache stellt einige Befehle zur Verfügung, welche im Alltag sehr nützlich sind Überprüfung auf Syntaxfehler in der Konfiguration Durch Fehler in der Konfiguration kann es passieren, dass der Webserver nach einem Neustart des Servers nicht mehr startet. In einem solchen Fall sollte zuerst die Konfiguration überprüft werden. Apache bietet von Haus aus Mittel an um die Konfiguration zu überprüfen. 8

9 apache2ctl configtest Status des Webservers Um festzustellen, ob der Webserver überhaupt angeschaltet ist und läuft kann man über /etc/init.d/apache2 status Erfahren, wie der Status des Webservers ist Manueller Start des Webservers Durch nicht überprüfte Änderungen an der Konfiguration kann es passieren, dass der Webserver nicht mehr startet, nach dem Lösen des Konfigurationsproblems kann /etc/init.d/apache2 start ausgeführt werden, um den Webserver zu starten Beenden des Webservers Das Beenden des Webservers kann über /etc/init.d/apache2 stop ausgeführt werden Neustarten des Webservers Der Server kann über /etc/init.d/apache2 restart neugestartet werden. restart ist eine Kombination aus start und stop 9

10 Neuladen der Konfiguration Das Neuladen der Konfiguration ist dann nötig, wenn Konfigurationsänderungen angewandt werden sollen: /etc/init.d/apach2 reload Installation von PHP PHP wird wie auch der Webserver über Aptitude installiert. Aptitude wird auch hier alle benötigten Programme bzw. Bibliotheken herunterladen und installieren. Aptitude install php5 Nach dem Ausführen des Kommandos ist PHP nun auf dem Server installiert, jedoch wurde dem Apache Webserver noch nicht gesagt, dass er PHP- Dateien an PHP zum Interpretieren senden soll Aktivieren von PHP Die Installation von PHP hat ein neues Modul für den Apache mitinstalliert, libapache2-php5, das ist die Schnittstelle zwischen dem Webserver und dem Interpreter PHP. Dieses Modul wird über die Apache-Schnittstelle zum Aktivieren von Modulen aktiviert. a2enmod php5 Nach dem Ausführen dieses Kommandos wird die Konfiguration des Apache Webserver so tiefgreifend geändert, das der Webserver neu gestartet werden muss. 10

11 6.1.4 Konfiguration von PHP Um die Sicherheit des Webservers von zu gewährleisten ist es wichtig in der PHP Konfiguration einige Funktionen zu deaktivieren, da einige ein Sicherheitsrisiko bieten. Dazu muss die Datei /etc/php5/apache2/php.ini editiert werden, zu suchen ist nach der Zeile mit dem Inhalt disable_functions. Hier müssen folgende Parameter, mit Komma separiert mitgegeben werden: apache_child_terminate, apache_setenv, define_syslog_variables, escapeshellarg, escapeshellcmd, eval, exec, fp, fput, ftp_connect, ftp_exec, ftp_get, ftp_login, ftp_nb_fput, ftp_put, ftp_raw, ftp_rawlist, highlight_file, ini_alter, ini_get_all, ini_restore, inject_code, mysql_pconnect, openlog, passthru, php_uname, phpads_remoteinfo, phpads_xmlrpc, phpads_xmlrpcdecode, phpads_xmlrpcencode, popen, posix_getpwuid, posix_kill, posix_mkfifo, posix_setpgid, posix_setsid, posix_setuid, posix_setuid, posix_uname, proc_close, proc_get_status, proc_nice, proc_open, proc_terminate, shell_exec, syslog, system, xmlrpc_entity_decode [2] Installation und Konfiguration der SSL / TLS Komponenten SSL / TLS ist im OSI-Schichtenmodell über TCP und unter HTTPS angeordnet und ist ein Protokoll zur verschlüsselten Datenübertragung im Internet. Auf dem Server muss ein weiteres Programm zur Verfügung stehen, um eine solche Verbindung aufzubauen. OpenSSL wird auch über Aptitude installiert. Aptitude install openssl (OpenSSL ist ein Open Source Tool zur Implementierung der SSL / TLS Schicht.) Zertifikate Ein valides und benutzbares Zertifikat muss immer digital unterzeichnet sein und es muss zurückverfolgbar sein, wer es unterzeichnet hat. Ein Zertifikat wird im 11

12 produktiven Einsatz von einer Organisation (Root-CA) ausgestellt, welche die Identität des Webseiten-Betreibers verifiziert. Für den Testfall reicht es aber, wenn ein selbst signiertes Root-CA erstellt wird und das Webserver-Zertifikat damit generiert wird. Die drei Stufen der Personenvalidierung kann man bei einer bestehenden HTTPS-Verbindung im Browser anhand von Icons in der Nähe der Adressleiste feststellen. Abbildung 4 Einfache Personenvalidierung Abbildung 5 Erweiterte Personenvalidierung Abbildung 6 Komplette Personenvalidierung Die Personenvalidierung fängt bei der -Adresse an und kann, je nach Organisation bis hin zur Weitergabe des Mietvertrages gehen Generierung eines selbstsignierten Zertifikates Zuerst muss das Root -CA erstellt werden. openssl req -new -x509 -keyout ssl_priv.pem -out ca_cert.pem -days 3650 Nach der Eingabe eines sicheren Passwortes und einiger Zertifikatsinformationen wird das Root -CA erstellt. Da der Browser es zur Validierung des Webserver-Zertifikat benötigt, muss es auf dem Webserver publiziert werden, vorher müssen jedoch alle unnötigen Informationen, die im ROOT-CA enthalten sind, entfernt werden. openssl x509 -in ca_cert.pem -out ca_cert.crt Das Root-CA muss nun auf das Hauptverzeichnis des Webservers kopiert werden. 12

13 cp ca_cert.cert /var/www/ca_cert.crt Nun muss ein Certificate Signing Request (CSR) erstellt werden. Damit wird dann das Webserver-Zertifikat erstellt. openssl req -new -keyout client-key.pem -out client-req.pem -days 365 Dieser CSR muss nun von der Root-CA signiert werden. openssl ca -policy policy_anything -config private/openssl.conf \ -out client-cert.pem -infiles client-req.pem Nach dem Signieren des neuen Zertifikates client-cert.pem kann es auch auf den Webserver gelegt werden, damit der Browser das Zertifikat herunterladen kann. cp client-cert.pem /var/www/client-cert.pem Konfiguration von HTTPS Da nun ein Zertifikat vorliegt, muss der Webserver noch konfiguriert werden. Dazu muss die Datei /etc/apache/apache2.conf angepasst werden. NameVirtualHost *:80 NameVirtualHost *:443 Listen *:443 <virtualhost *:443> DocumentRoot /var/www SSLEngine On SSLProtocol All -SSLv2 SSLCertificateFile /var/www/ca_cert.pem SSLCertificateKeyFile /var/www/clien-cert.pem ServerName localhost </virtualhost> Diese Konfigurationsanweisungen müssen der Datei apache2.conf hinzugefügt werden. Mod_SSL muss aktiviert werden. 13

14 a2enmod ssl Nach dem Hinzufügen dieser Zeilen und dem Aktivieren von Mod_SSL muss der Webserver noch neugestartet werden, danach kann eine HTTPS-Verbindung aufgebaut werden, siehe Abbildung 7 HTTPS-Verbindung erfolgreich aufgebaut (Adressleiste). Abbildung 7 HTTPS-Verbindung erfolgreich aufgebaut Zugangsschutz In manchen Fällen ist es wichtig, dass der Zugriff nur von einer oder mehreren Adressen erfolgen darf. Für diesen Fall bringt der Apache-Webserver das Modul mod_access mit. Mod_Access ist hervorragend dazu geeignet, dynamisch oder statisch den Zugriff auf den kompletten Webserver oder nur teile desssen zu regeln. Es besteht die Möglichkeit anhand von Hostnamen, IP-Adressen oder auch IP-Adressspannen den Zugriff zu erlauben oder zu verweigern. 14

15 Bei statischen Regeln sollte man über eine andere Art der Zugriffsregelung nachdenken. Ein Paketfilter wie IPtables sollte dann benutzt werden, um vor unberechtigten Zugriffen zu schützen. 6.2 Smoketests Eine HTTPS-Verbindung sollte auf jeden Fall auf allen gängigen Browsern getestet werden, dazu zählen Internet Explorer 7,8,9, Mozilla Filefox ab der Version 3.6, Google Chrome, Safari und Opera. Das ist wichtig, um sicherzustellen, dass jeder Browser das Zertifikat akzeptiert und die Verbindung zum Webserver zulässt. Ein selbstsigniertes Zertifikat wird zu Problemen bei der Akzeptanz führen 7 Zusammenfassung Die Installation und Konfiguration der Komponenten sollte immer mit größter Sorgfalt geschehen. Fehler sind selbst mit automatisierten Lösungen nie zu vermeiden. Deswegen ist es wichtig die Konfigurationen mehrfach zu überprüfen und regelmäßig Smoketests durchzuführen. 8 Zeitplanung Arbeitsschritt Installation aller Komponenten Konfiguration PHP Konfiguration Apache Erstellen des Zertifikates Konfiguration HTTPS Smoketests Gesamt Zeit 20 Minuten 30 Minuten 30 Minuten 75 Minuten 60 Minuten 60 Minuten 275 Minuten 15

16 9 Kostenplanung Kostenbeschreibung Kosten Zeit Gesamtkosten Arbeitsablauf 105 /h ~5h 525 Server 8 /m 1m 8 Wartung 105 /h 1h /m Quellenangaben [1] Putty Download Page, , 19:05 [2] Disabling Dangerous PHP functions, , 17:45 [3] SSL Zertifikate mit OpenSSL erstellen, , 21:05 11 Abbildungsverzeichnis Abbildung 1 Screenshot Putty... 5 Abbildung 2 Screenshot Terminal... 6 Abbildung 3 Screenshot nach der Basisinstallation... 8 Abbildung 4 Einfache Personenvalidierung Abbildung 5 Erweiterte Personenvalidierung Abbildung 6 Komplette Personenvalidierung Abbildung 7 HTTPS-Verbindung erfolgreich aufgebaut Diese Bilder, Screenshots beziehungsweise Grafiken wuden selbsterstellt. 16

17 12 English summary The following text describes how to deliver contents secure from browser to webserver and from webserver to the browser. This text is a guideline for the installation of a webserver with SSL / TLS on a Server and how restricting access to unauthorized persons. An encrypted connection is more important than ever, more and more hackers are trying to get sensitive data from customers. 17