Na autentizaci uzivatele v prohlizeci se nejcasteji pouziva nejaky zpusob primo nad webserverem, nebo si aplikace resi autentizaci sama. Pokud se overeni deje primo nad webserverem, pouziva se nejcasteji http basic, nebo http digest autentizace.
Protoze se cim dal casteji prosazuje sifrovane HTTPS otevira se nam nova moznsot overeni – klientske SSL certifikaty.
Misto klasickeho dialogu pro zadani jmena a hesla k http basic auth se prohlizec overi svym klientskym ssl certifikatem. Server certifikat overi a uzivateli pristup povoli, nebo zamitne.
Oproti heslu je zde nesrovnatelne vetsi bezpecnost. Heslo typu „nbusr123“ a 4096 bitovy RSA klic se proste neda srovnavat…
Nelze opomenout i nevyhodu – certifikaty. Kazdy klient musi mit vygenerovany svuj certifikat a mit ho naiportovany ve svem prohlizeci. Soukrome klice je dobre chranit heslem, jinak odcizeni klice = ztrata hesla. Certifiakty je v pripade kompromitace mozne pomoci CA revokovat.
Dost nudneho uvodu – jdeme nastavovat!
Na ukazku pouzijeme nginx webserver. Zvolil jsem ho hlavne pro jeho rychle a jednoduche nastaveni ve srovnani s obrim Apachem.
Na serveru bezi Ubuntu 15.10 64b s distribucnim nginx.
Nejdrive naistalujeme nginx:
|
1 |
sudo apt-get install nginx |
a pote vytvorime soubor /etc/nginx/nginx.conf s timto obsahem:
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 |
user www-data; worker_processes auto; pid /run/nginx.pid; events { worker_connections 768; # multi_accept on; } http {<cn> server { listen 443; ssl on; server_name "localhost"; ssl_certificate /etc/nginx/easy-rsa/keys/localhost.crt; ssl_certificate_key /etc/nginx/easy-rsa/keys/localhost.key; ssl_client_certificate /etc/nginx/easy-rsa/keys/ca.crt; ssl_verify_client on; ssl_verify_depth 2; ssl_protocols SSLv3 TLSv1 TLSv1.1 TLSv1.2; ssl_ciphers ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv3:; ssl_prefer_server_ciphers on; ssl_session_timeout 5m; root /var/www/; location / { if ($ssl_client_verify != SUCCESS) { return 403; } autoindex on; # directory listing } } }</cn> |
a mame funkcni nginx server s podporou SSL/TLS. Server posloucha jen na TCP 443, na TCP 80 ne! Neni definovane presmerovani, takze je nutne pristupovat pres HTTPS!
Podle potreby je vhodne nastavit pouzite protokoly a sifry. Aktualne nebezpecne vypnout a nove pridat.
If v sekci location overi klientuv certifikat oproti certifikatu CA. Pokud neprojde, vrati chybu 403.
Aby mohlo vyse uvedene fungovat, musime mit certifikacni autoritu. Idealne je jednoducha autorita easy-rsa, o kterem jsem psal v souvislosti s OpenVPN.
Jmena typu localhost v certifiaktech jsou pouze ne ukazku!
Po otevreni https://ADRESA-SERVERU/ (a odsouhlaseni neduveryhodneho certifikatu) v Chrome dostaneme:
|
1 2 3 |
400 Bad Request No required SSL certificate was sent nginx/1.9.3 (Ubuntu) |
Overeni podle „jmena“ klienta
Konfigurak vyse povolil pristup vsem klientum, jejichz certifikat podepsala nase CA. Co kdyz ale potrebujeme, jako u http basic auth podle jmena/certifikatu klientovi pridelit urcita prava?
Jde to jednoduse pomoci analyzy atributu certifikatu. V certifikatu je dulezite DN, neboli „Distinguished Name (DName)“. Vypada nasledovne:
|
1 |
<span style="font-size: 12.16px; line-height: 20.672px;">/C=CZ/ST=Czech Republic/L=Jicin/O=IT/OU=Firma/CN=mvancl/name=Martin Vancl/emailAddress=mvancl@example.net</span> |
na overeni uzivatele potrebujeme CN (CommonName). Nginx umoznuje jednoduche parsovani CN z DN. Konfigurak nginx serveru vymenime za:
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 |
user www-data; worker_processes auto; pid /run/nginx.pid; events { worker_connections 768; # multi_accept on; } http { # map nemuze byt v sekci server{} !!! map $ssl_client_s_dn $ssl_client_s_dn_cn { default $remote_user; ~/CN=(?<cn>[^/]+) $CN; } server { listen 443; ssl on; server_name "localhost"; ssl_certificate /etc/nginx/easy-rsa/keys/localhost.crt; ssl_certificate_key /etc/nginx/easy-rsa/keys/localhost.key; ssl_client_certificate /etc/nginx/easy-rsa/keys/ca.crt; ssl_verify_client on; ssl_verify_depth 2; ssl_protocols SSLv3 TLSv1 TLSv1.1 TLSv1.2; ssl_ciphers ALL:!ADH:!EXPORT56:RC4+RSA:+HIGH:+MEDIUM:+LOW:+SSLv3:; ssl_prefer_server_ciphers on; ssl_session_timeout 5m; root /var/www/; location / { if ($ssl_client_verify != SUCCESS) { return 403; } if ($ssl_client_s_dn_cn = "client2") { return 302 http://google.cz/; } } } }</cn> |
Funkce map nam zpristupni v promenne $ssl_client_s_dn_cn CN z certifikatu.
Zajimave jsou dva if-y v sekci location. Prvni overi klientuv certifikat a pokud je neplatny(vuci CA), vrati 403.
Druhy porovna CN z certifiaktu. Pokud je CN rovno „client2“, provode neco. Zde presmerovani na google. Pri porovnavani se opravdu pouziva jen jedno rovna se!
Nastaveni Google Chrome
Google Chrome vyzaduje certifikat ve formatu PFX, ve kterem je klientuv certifikat a soukromy klic. Ostatni prohlizece to budou mit asi stejne, nezkousel jsem.
Standardni crt a key soubory prevedeme na pfx pomoci openssl:
|
1 |
openssl pkcs12 -export -out /tmp/client.pfx -inkey /etc/nginx/easy-rsa/keys/client.key -in /etc/nginx/easy-rsa/keys/client.crt |
Popsal jsem pouze jednoduchou, ale funkcni ukazku. Generovani a sprava certifikatu je v odkazovanem clanku o OpenVPN. Pro pokrocilejsi nastaveni staci googlit.