https://wiki.itcollege.ee/api.php?action=feedcontributions&feedformat=atom&user=SbarolICO wiki - User contributions [en]2026-05-06T05:46:17ZUser contributionsMediaWiki 1.45.1https://wiki.itcollege.ee/index.php?title=WordPress_turvamine&diff=44078WordPress turvamine2011-12-07T14:22:16Z<p>Sbarol: /* Iptables */</p>
<hr />
<div>'''!NB Kõik õpetused on tehtud kasutades Ubuntu Server 11.04'''<br />
<br />
Viimati muudetud [[User:Metamm|Metamm]] 11:03, 1 December 2011 (EET)<br />
<br />
== Wordpressi paigaldus ja konfigureerimine ==<br />
<br />
Antud toimingud tuleks teha root õigustes.<br />
<br />
Mine root-iks:<br />
sudo -i<br />
<br />
<br />
Tee update kohalike pakettide cache<br />
aptitude update<br />
<br />
<br />
Tee upgrade pakettidele:<br />
aptitude full-upgrade<br />
<br />
Paigalda acpid daemon<br />
aptitude install acpid<br />
<br />
<br />
Installi apache2 veebi server,mysql andmebaasi server, openssh server, php5 skriptimis keel ning apache2-utils(Apache benchmark tool)<br />
aptitude install apache2 mysql-server ssh php5 php5-mysql apache2-utils<br />
<br />
<br />
Tõmba alla kõige hilisem .tar fail wordpress.org-ist:<br />
wget http://wordpress.org/latest.tar.gz<br />
<br />
<br />
<br />
Paki lahti wordpressi failid /var/www kausta:<br />
sudo tar zxvf latest.tar.gz --directory=/var/www/<br />
<br />
<br />
Logi mysql-i sisse:<br />
<br />
mysql -u root -p<br />
<br />
Loo andmebaas student_wordpress:<br />
<source lang="mysql"><br />
create database student_wordpress;<br />
</source><br />
Loo kasutaja student:<br />
<source lang="mysql"><br />
create user student;<br />
</source><br />
Anna kõik õigused student kasutajale:<br />
<source lang="mysql"><br />
GRANT ALL PRIVILEGES ON student_wordpress.* TO student@localhost IDENTIFIED BY ‘student’;<br />
</source><br />
Välju mysql-ist:<br />
<source lang="mysql"><br />
quit;<br />
</source><br />
<br />
Loo uus default veebi saidil põhinev veebi sait:<br />
<br />
cp /etc/apache2/sites-available/default /etc/apache2/sites-available/wp<br />
<br />
<br />
Muuda ära DocumentRoot /etc/apache2/sites-avalible/wp failis:<br />
<br />
nano /etc/apache2/sites-avalible/wp<br />
<br />
Lisa DocumentRoot /var/www rea lõppu DocumentRoot /var/www/wordpress<br />
DocumentRoot /var/www/wordpress<br />
<br />
<br />
<br />
Keela ära tavaline default veebi sait(seda ei ole vaja antud paigalduses):<br />
<br />
a2dissite default<br />
<br />
<br />
Luba wordpress-i veebisait<br />
<br />
a2ensite wp<br />
<br />
Tee apache-ile restart<br />
<br />
service apache2 restart<br />
<br />
Muuda wordpress konfiguratsiooni faili:<br />
<br />
nano /var/www/wordpress/wp-config-sample.php<br />
<br />
Muuda DB_NAME, DB_USER, DB_PASSWORD vastavalt näitele:<br />
<br />
<source lang="php">define('DB_NAME', 'student_wordpress');<br />
<br />
/** MySQL database username */<br />
define('DB_USER', 'student');<br />
<br />
/** MySQL database password */<br />
define('DB_PASSWORD', 'student');<br />
</source><br />
<br />
Kopeeri uus konfiguratsiooni fail wordpressi konfiguratsiooni failiks:<br />
<br />
cp /var/www/wordpress/wp-config-sample.php /var/www/wordpress/wp-config.php<br />
<br />
<br />
Tee apache2 service-ile reload<br />
<br />
service apache2 reload<br />
<br />
Mine wordpressi saidile kasutades host-i IP aadressi(antud näites:192.168.56.102);<br />
<br />
http://192.168.56.102<br />
<br />
<br />
Vali saidi nimi, kasutajanimi, salasõna ning meili aadress.<br />
<br />
Vali install<br />
<br />
Installi lõppedes tee kindlaks,et kõik toimib(logi sisse, vaata wp verisooni ilmselt midagi sellist: You are using WordPress 3.2.1.)<br />
<br />
== mod_evasive paigaldus ja konfigureerimine ==<br />
<br />
=== Sissejuhatus ===<br />
<br />
Mod_evasive on lisamoodul Apache'i veebiserveri jaoks, mille abil on võimalik vähendada või täielikult tõrjuda<br />
HTTP DoS, DDos või brute force rünnakute mõju. Ühtlasi saab seda kasutada ka monitooringu teostamiseks,<br />
kuna moodulit on lihtne panna suhtlema erinevate tulemüüride ja ruuteritega.<br />
<br />
Monitooring baseerub dünaamilisel IP aadressitest ja URI-dest koosneval räsitabelil,<br />
kust siis keelatakse IP aadressid, mis:<br />
<br />
*küsivad ühte lehte rohkem kui paar korda sekundis<br />
*teevad rohkem kui 50 üheaegset requesti sama laps-protsessi vastu<br />
*üritavad teha ükskõik millist requesti samal ajal kui nad on mustas nimekirjas<br />
<br />
=== Paigaldus ===<br />
<br />
Paigaldamine Ubuntu 11.04 serverile on küllaltki lihtne<br />
<br />
apt-get install libapache2-mod-evasive<br />
<br />
=== Konfigureerimine ===<br />
<br />
Kõigepealt on viisakas luua koht, kuhu antud moodul oma logi saaks salvestada<br />
mkdir /var/log/apache2/mod_evasive<br />
chown www-data:www-data /var/log/apache2/mod_evasive<br />
<br />
'''NB! Logimine praegu ei tööta'''<br />
<br />
Mod_evasive moodulil ei lubata antud kausta kirjutada<br />
Couldn't open logfile /var/log/apache2/mod_evasive/dos-192.168.6.13: Permission denied<br />
<br />
Nüüd jääb üle lisada vastavad read oma virtuaalsesse hosti (N:~/apache2/sites-enabled/wordpress lõppu)<br />
<br />
<ifmodule mod_evasive20.c><br />
DOSHashTableSize 3097<br />
DOSPageCount 2<br />
DOSSiteCount 50<br />
DOSPageInterval 1<br />
DOSSiteInterval 1<br />
DOSBlockingPeriod 10<br />
DOSLogDir /var/log/apache2/mod_evasive<br />
DOSEmailNotify root@localhost<br />
DOSWhitelist 127.0.0.1<br />
</ifmodule><br />
<br />
Antud väärtusi tuleks kohandada vastavalt vajadustele<br />
<br />
Parameetrite kirjeldused:<br />
<br />
*DOSHashTableSize: Räsitabeli suurus, kus IP aadresseid hoitakse.<br />
*DOSPageCount: Lehekülgede arv DOSPageInterval sekundis.<br />
*DOSPageInterval: Aeg sekundites, mida kasutab DOSPageCount.<br />
*DOSSiteCount: Objektide arv DOSSiteInterval sekundites.<br />
*DOSSiteInterval: Aeg sekundites, mida kasutab DOSSiteCount.<br />
*DOSBlockingPeriod: Aeg sekundites, kui kaua IP on bannitud. Kui IP üritab serverile selle aja see ligi pääseda, siis algab loendus ueusti nullist.<br />
*DOSLogDir: Valikuline. Kataloogitee, kuhu logi salvestatakse. Kui pole määratud kasutatakse /tmp.<br />
*DOSEmailNotify: Valikuline. Mail kuhu teated saadetakse.<br />
*DOSSystemCommand: Valikuline. Käsk mis käivitatakse, kui IP bannitakse. Näiteks:<br />
**DOSSystemCommand "/sbin/iptables -I INPUT -p tcp --dport 80 -s %s -j DROP"<br />
*DOSWhitelist: Valikuline. Nimekiri IP aadressitest, mida ei blokita.<br />
<br />
<br />
Kui konfigureerimine valmis, tuleb Apache serverlie teha restart<br />
<br />
/etc/init.d/apache2 restart<br />
VÕI<br />
service apache2 restart<br />
<br />
==Varnish Cache-i paigaldamine ja konfigureerimine==<br />
===Sissejuhatus===<br />
'''Varnish Cache''' – see on HTTP kiirendaja, seda on vaja selleks, et suurendada veebilehekülje kiirust. <br />
<br />
Varnish Cache salvestab mälus veebilehekülgi nii, et veebiserverid ei pea koguma samu lehekülgi uuesti. Seda on vaja selleks, et vähendada koormust I/O süsteemile.<br />
<br />
Varnish kontrollib cache'ist päringu olemasolu ning juhul kui selline leidub siis võetakse sealt päringu vastus ning saadetakse vastus kasutajale. Juhul kui cache'is ei ole konkreetset päringut saadetakse kasutaja päring ''backend''-i ning lisatakse cache'i koos vastusega.<br />
<br />
===Paigaldamine===<br />
Kui te soovite installida Varnishit, siis on vaja teha uuendusi. Selle käsu abil uuendame opsüsteemi:<br />
sudo apt-get update<br />
Paigaldamise käsk:<br />
sudo apt-get install varnish<br />
===Konfiguratsiooni muutmine===<br />
Esimene, mis me teeme on default pordi muutmine. Tuleb muuta faili '''/etc/default/varnish''':<br />
nano /etc/default/varnish<br />
<br />
Konfiguratsioon Varnishi jaoks kirjutatakse VCL keeles. <br />
<br />
Fail konfiguratsioonidega vaikimisi asub siin '''/etc/varnish/default.vcl'''<br />
Fail oleneb mitmest osadest, aga mis on vaja töötamise alguseks - see on backendi viitamine:<br />
<br />
'''Backend''' - see on server, kuhu varnish saadab päringut, kui tal ei ole vastavad andmeid cache-is.<br />
<br />
Kopeerige fail '''/etc/varnish/default.vcl''' ja andke teine nimetus<br />
cp /etc/varnish/default.vcl /etc/varnish/itkool.vcl<br />
<br />
Ava fail '''/etc/varnish/itkool.vcl''' ja sisesta <br />
nano /etc/varnish/itkool.vcl<br />
<br />
<pre><br />
## Redirect requests to Apache, running on port 8000 on localhost<br />
backend apache {<br />
.host = "127.0.0.1";<br />
.port = "8000";<br />
}<br />
## Fetch<br />
sub vcl_fetch {<br />
## Remove the X-Forwarded-For header if it exists.<br />
remove req.http.X-Forwarded-For;<br />
<br />
## insert the client IP address as X-Forwarded-For. This is the normal IP address of the user.<br />
set req.http.X-Forwarded-For = req.http.rlnclientipaddr;<br />
## Added security, the "w00tw00t" attacks are pretty annoying so lets block it before it reaches our webserver<br />
if (req.url ~ "^/w00tw00t") {<br />
error 403 "Not permitted";<br />
}<br />
## Deliver the content<br />
return(deliver);<br />
}<br />
<br />
## Deliver<br />
sub vcl_deliver {<br />
## We'll be hiding some headers added by Varnish. We want to make sure people are not seeing we're using Varnish.<br />
## Since we're not caching (yet), why bother telling people we use it?<br />
remove resp.http.X-Varnish;<br />
remove resp.http.Via;<br />
remove resp.http.Age;<br />
<br />
## We'd like to hide the X-Powered-By headers. Nobody has to know we can run PHP and have version xyz of it.<br />
remove resp.http.X-Powered-By;<br />
}<br />
</pre><br />
Salvesta fail CTRL + O käsuga<br />
<br />
===Apache konfiguratsiooni muutmine===<br />
Ava fail '''/etc/apache2/ports.conf''' ja leia<br />
nano /etc/apache2/ports.conf<br />
<br />
<pre><br />
NameVirtualHost *:80<br />
Listen 192.168.6.101:80<br />
</pre><br />
'''192.168.6.101''' - veebiserveri IP aadress.<br />
<br />
Muuda <br />
<br />
<pre><br />
NameVirtualHost *:8000<br />
Listen 192.168.6.101:8000<br />
</pre><br />
Ava fail '''/etc/apache2/sites-available/wp''' ja leia<br />
<br />
<pre><br />
<VirtualHost *:80><br />
ServerAdmin webmaster@localhost<br />
<br />
</pre><br />
<br />
Muuda<br />
<pre><br />
VirtualHost *:8000><br />
ServerAdmin webmaster@localhost<br />
</pre><br />
<br />
Paigaldame lisa Apache mooduli veendumaks, kas kasutaja IP aadress lahendatakse korrektselt. Kuna Varnish on lähedalt seotud apache2-ga, näete külastaja Ip-na 127.0.0.1<br />
nano apt-get install libapache2-mod-rpaf<br />
<br />
'''RPAF''' (Reverse Proxy Add Forward) moodul holitseb selle eest, et localhosti IP vahetatakse ära IP-ga, mis on seadistatud X-Forwarded-For failis.<br />
<br />
===Deemonide restart===<br />
Restart Apache server:<br />
/etc/init.d/apache2 restart<br />
<br />
Kontrolli kas on olemas IP portid: <br />
netstat -lp | grep apache2<br />
<br />
Kui te näete, siis kõik on korras<br />
tcp 0 0 *:https *:* LISTEN 843/apache2 <br />
tcp 0 0 192.168.6.101:8000 *:* LISTEN 843/apache2 <br />
<br />
Kui ei näita niimodi, siis on viga. Praegu teeme Varnishile restardi, et kuulata teema pordis 80<br />
/etc/init.d/varnish restart <br />
<br />
Kontrolli <br />
netstat -lp | grep varnish<br />
tcp 0 0 *:www *:* LISTEN 781/varnishd <br />
tcp 0 0 localhost:6082 *:* LISTEN 779/varnishd <br />
tcp6 0 0 [::]:www [::]:* LISTEN 781/varnishd<br />
<br />
Varnish on sätitud Apache-is. Külasta saiti ja vaata, kas toimib, kuid üldjuhul ei saa Te aru, et midagi oleks muutunud. Kui sa tõmbad Apache maha, siis näed lehel Varnishi errorit.<br />
<br />
http://www.howtoforge.com/putting-varnish-in-front-of-apache-on-ubuntu-debian<br />
<br />
== Super Cache ==<br />
<br />
'''Sissejuhatus'''<br />
<br />
''Super Cache'' on Wordpressi väga kiire puhvri mootor, mis loob staatilisi html faile.<br />
<br />
See pistikprogramm genereerib staatilisi html faile dünaamilisest Wordpressi blogist. Pärast seda kui html fail on loodud, annab veebiserver seda faili kasutajatele, selle asemel,et loob iga kord uue lehe vastavalt Wordpressi php skritpidele. Suure koormuse puhul on ''Super Cache'' väga kasulik, kuna nagu ka hiljem on testi tulemustest näha siis serverilt vastuse saamiseks kuluv aeg on mitu korda väiksem.<br />
<br />
Staatilisi html-e saavad enamik kasutajaid:<br />
<br />
1.Kasutajad, kes ei ole sisse logitud.<br />
<br />
2.Kasutajad, kes ei ole ühtegi kommentaari blogisse jätnud.<br />
<br />
3.Kasutajad, kes ei ole vaadanud salasõnaga kaitstud postitusi.<br />
<br />
<br />
Suuremale osale kasutajatele antakse staatilisi html faile. Need kasutajad kellele ei edastata puhverdatud lehti siiski saavad kasu, kuna nemad näevad väheke teistsuguseid puverdatud faile, mis küll ei ole nii effektiivsed kuid siiski paremad kui täiesti puhverdamata failid.<br />
<br />
'''Paigaldamine'''<br />
<br />
[[File:Wordpress_Plugins.png|right|]]<br />
<br />
<br />
<br />
[[File:Wordpress_search.png|400px|thumb|right]]<br />
<br />
<br />
''Super Cache''-i paigaldamiseks tuleb sisse logida admin-paneeli. Siis vasakult nimekirjast valida '''''Plugins'''''-i alt '''Add new'''.<br />
<br />
[[File:Install_wordpress.png|400px|thumb|right|]]<br />
<br />
[[File:Activate_wordpress.png|400px|thumb|right|]]<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Siis kirjutada otsingusse "'''WP Super Cache'''".<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Pärast seda valida nimekirjast ''Super Cache'' ning vajutada "'''Install now'''".<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Pärast seda "'''Activate the Plugin'''".<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
[[File:Permset.png|400px|thumb|right|]]<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Pärast seda ilmub "Permlink Structure error", see on see tõttu,et ''Super Cache''-i toimimiseks on vajalik valida '''''Custom structure''''' ''Permalink''-i seadete alt ning sisestada sinna '''/index.php/?p=%post_id%'''<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Edasi vali vasakult '''''Settings'''''-u alt '''WP Super Cache'''.<br />
Nüüd ütleb wordpress,et "WP_CACHE constant set to false" selle muutmiseks tuleb käsurealt avada wp-config-php fail:<br />
<br />
nano /var/www/wordpress/wp-config.php<br />
<br />
ning sinna lisada rida: <br />
<br />
define('WP_CACHE', true);<br />
<br />
Pärast seda salvestada wp-config.php ning brauseris tuleks refresh teha.<br />
<br />
Lisaks tuleb muuta .htaccess faili sisu mis peaks välja nägema selline:<br />
<br />
# BEGIN WordPress<br />
<IfModule mod_rewrite.c><br />
RewriteEngine On<br />
RewriteBase /<br />
RewriteRule ^index\.php$ - [L]<br />
RewriteCond %{REQUEST_FILENAME} !-f<br />
RewriteCond %{REQUEST_FILENAME} !-d<br />
RewriteRule . /index.php [L]<br />
</IfModule><br />
# END WordPress<br />
<br />
kuna wordpress tahab .htaccess faili ka ise muuta aegajalt siis on hea panna htaccessi õigused 777 peale käsuga:<br />
chmod 777 .htaccess<br />
<br />
Pärast konfimist tuleks '''kindlasti''' .htaccess õigused vähemaks võtta kuna konstantselt ei pea õigused 777 peal olema, need on tarvilikud vaid konfi ajaks.<br />
<br />
'''Jõudluse võrdlus SuperCache-iga ja ilma'''<br />
Supercache-iga<br />
Benchmarking www.itkool.ee (be patient)<br />
Completed 100 requests<br />
Completed 200 requests<br />
Finished 200 requests<br />
<br />
<br />
Server Software: Apache/2.2.17<br />
Server Hostname: www.itkool.ee<br />
Server Port: 80<br />
<br />
Document Path: /<br />
Document Length: 9554 bytes<br />
<br />
Concurrency Level: 200<br />
Time taken for tests: 1.457 seconds<br />
Complete requests: 200<br />
Failed requests: 0<br />
Write errors: 0<br />
Total transferred: 1971800 bytes<br />
HTML transferred: 1910800 bytes<br />
Requests per second: 137.30 [#/sec] (mean)<br />
Time per request: 1456.617 [ms] (mean)<br />
Time per request: 7.283 [ms] (mean, across all concurrent requests)<br />
Transfer rate: 1321.96 [Kbytes/sec] received<br />
Connection Times (ms)<br />
min mean[+/-sd] median max<br />
Connect: 7 10 2.1 10 14<br />
Processing: 55 798 409.6 821 1441<br />
Waiting: 8 751 410.1 770 1437<br />
Total: 68 808 407.6 831 1447<br />
Percentage of the requests served within a certain time (ms)<br />
50% 831<br />
66% 1036<br />
75% 1159<br />
80% 1236<br />
90% 1366<br />
95% 1434<br />
98% 1445<br />
99% 1446<br />
100% 1447 (longest request)<br />
<br />
ilma:<br />
<br />
Benchmarking www.itkool.ee (be patient)<br />
Completed 100 requests<br />
Completed 200 requests<br />
Finished 200 requests<br />
<br />
<br />
Server Software: Apache/2.2.17<br />
Server Hostname: www.itkool.ee<br />
Server Port: 80<br />
<br />
Document Path: /<br />
Document Length: 9413 bytes<br />
<br />
Concurrency Level: 20<br />
Time taken for tests: 25.600 seconds<br />
Complete requests: 200<br />
Failed requests: 172<br />
(Connect: 0, Receive: 0, Length: 172, Exceptions: 0)<br />
Write errors: 0<br />
Total transferred: 1932771 bytes<br />
HTML transferred: 1882571 bytes<br />
Requests per second: 7.81 [#/sec] (mean)<br />
Time per request: 2560.029 [ms] (mean)<br />
Time per request: 128.001 [ms] (mean, across all concurrent requests)<br />
Transfer rate: 73.73 [Kbytes/sec] received<br />
<br />
Connection Times (ms)<br />
min mean[+/-sd] median max<br />
Connect: 0 1 1.4 0 5<br />
Processing: 803 2522 572.9 2485 4346<br />
Waiting: 648 2126 526.2 2053 4000<br />
Total: 807 2523 572.5 2485 4346<br />
<br />
Percentage of the requests served within a certain time (ms)<br />
50% 2485<br />
66% 2557<br />
75% 2690<br />
80% 2740<br />
90% 3120<br />
95% 3624<br />
98% 4261<br />
99% 4272<br />
100% 4346 (longest request)<br />
<br />
<br />
'''Ühenduse probleemid'''<br />
<br />
Juhul kui esineb probleem,et serverile on määratud uus ip-aadress ning ip-aadressile minnes näidatakse vanalt ip-aadressilt pärit cache'i sisu siis sellest probleemist mööda saamiseks tuleb käsurealt muuta wp-config.php faili:<br />
<br />
nano /var/www/wordpress/wp-config.php<br />
<br />
ning sealt seest:<br />
<br />
define('WP_CACHE', false); #See tuleb kindlasti tagasi muuta "true"-ks pärast ühenduse saamist.<br />
<br />
Nüüd peaks wordpress jälle näitama uut sisu. Juhul kui siiski on probleeme ning juhul kui '''andmebaas on tühi''' siis võib ka sql-is teha järgmist:<br />
<br />
'''NB Seda teha ainult siis kui andmebaas on tühi!!!'''<br />
<source lang="mysql"><br />
drop database student_wordpress;<br />
</source><br />
ning siis uuesti:<br />
<source lang="mysql"><br />
create database student_wordpress:<br />
</source><br />
Pärast andmebaasi loomist teha apache-ile restart:<br />
<br />
service apache2 restart <br />
<br />
Ja tuleb uuesti seadistada wordpressi lehekülg.<br />
<br />
== Iptables ==<br />
<br />
'''Laboris tuleb kasutada enda arvuti IP'd!'''<br />
<br />
Teie '''iptables.conf''' fail peab välja nägema nii nagu näidatud allpool:<br />
<br />
<pre><br />
-A INPUT -s 192.168.6.101/32 -p tcp -m tcp --dport 8000 -j ACCEPT <br />
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT <br />
-A INPUT -s 192.168.6.1/32 -p tcp -m tcp --dport 22 -j ACCEPT <br />
-A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied:" --log-level 7<br />
-A INPUT -p tcp -m tcp --dport 80 -m connlimit --connlimit-above 10 --connlimit-mask 32 -j REJECT --reject-with icmp-port-unreachable<br />
-A INPUT -s 192.168.6.101/32 -j ACCEPT <br />
-A INPUT -m state --state ESTABLISHED -j ACCEPT <br />
-A OUTPUT -o lo -j ACCEPT <br />
COMMIT<br />
</pre><br />
<br />
'''Räägime täpsemalt milleks need reeglid vaja on.'''<br />
<br />
Kui tahame varnish'it kasutada, tuleb lubada porti 8000:<br />
<pre><br />
iptables -A INPUT -s 192.168.6.101/32 -p tcp -m tcp --dport 8000 -j ACCEPT<br />
</pre><br />
<br />
Lubame weebiserveri:<br />
<pre><br />
iptables -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT<br />
</pre><br />
<br />
SSH lubamiseks sellest IP-st:<br />
<pre><br />
iptables -A INPUT -s 192.168.6.1/32 -p tcp -m tcp --dport 22 -j ACCEPT<br />
</pre><br />
<br />
Näidises on pandud connection limitiks 10, testimiseks seda piisab küll aga seda arvu võib muuta suuremaks. Näiteks suurtes ettevõttetes kliendid kes istuvad NAT'i taga, ei saa liigi leheküljele, sest connection limit ühest IP-st on piiratud 10-ga. Ainult 10 klienti saab korraga vaatada veebilehti.<br />
Allolev rida annab võimalust katkestada ühendusi mille arv on üle 10 pordis 80:<br />
<pre><br />
iptables -A INPUT -p tcp -m tcp --dport 80 -m connlimit --connlimit-above 10 --connlimit-mask 32 -j REJECT --reject-with icmp-port-unreachable<br />
</pre><br />
<br />
Praegu meil ei salvestatakse logi failid. Kui tahame näha täpsemalt millised paketid vistakse minema, peame lubama logimist:<br />
<pre><br />
iptables -A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied:" --log-level 7<br />
</pre><br />
<br />
<pre><br />
iptables -A INPUT -s 192.168.6.101/32 -j ACCEPT<br />
</pre><br />
<br />
Väljaminevate ühenduste jaoks tagasi tulnud pakette lubamiseks:<br />
<pre><br />
iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT<br />
</pre><br />
<br />
On alati tervislik lubada localhost õue: <br />
<pre><br />
iptables -A OUTPUT -o lo -j ACCEPT <br />
</pre><br />
<br />
= Teised turvameetodid = <br />
<br />
On olemas mitmeid erinevaid võimalusi, kuidas veel saab oma wordpressi veebilehe turvata.<br />
<br />
== Späm filter ==<br />
<br />
Akismet (Automattic Kismet) on spämmi filter. Antud teenus püüab filtreerida spämmi mis tuleb blogi kommentaaridest ja TrackPack pingidest. Filter kombineerib informatsiooni mis ta kogus kõikidest blogidest ja kasutab need spämmi reegleid, et blokeerida tuleviku spämmi. Akismet on loodud Automattic firma poolt, ettevõtte mis keskendub vaba-tarkvara arendamisele WordPressi platformi jaoks. Akismet tuli välja 25. oktroobril aastal 2005 ja seisuga Aprill 2011 juba püüdis üle 25 miljardi spämmi kommentaare ja pinge.<br />
<br />
Akisment on WordPressi sisseehitatud aga vaikimisi on ta välja lülitatud, kuna selle sisse lülitamine nõuab võtmegas audentimist. Blogi administratoor peab ise antud teenust aktiveerima. <br />
Selleks, et aktiveerida Akismeti, on vaja:<br />
<br />
1) Administraatoori paneelis on vaja valida '''Plugins - Installed''' <br />
<br />
2) Linnuke Akismeti juurde ja valida '''"Activate"'''<br />
<br />
3) Nüüd peab sisestama Akismeti API võtme. Võtme saab tasuta tellida Akismeti ametlikult veebilehelt.<br />
<br />
4) Vajuta '''"Update options"'''<br />
<br />
5) Akismeti spämmi filter on sisselülitatud.<br />
<br />
Nüüd on vaja mõned postituse reegleid konfigureerida. Selleks on vaja valida '''Settings - Discussion''' menüü alt ja välja lülitada: '''An administrator must always approve the comment'''.<br />
<br />
Nüüd ei pea administraator isiklikult iga kommentaari läbi vaatama ja kinnitama. Antud tööga hakkab tegelema Akismet.<br />
<br />
== Anti-bot lahendus ==<br />
<br />
On olemas mitmeid erinevaid võimalusi kuidas saab kindlaks teha, et kasutaja, kes postitab on inimene. Selle jaoks on igasuguseid captcha meetodeid, näiteks kasutaja peab sisestama juhuslikult kombineeritud teksti või lahendama mingeid lihtsaid matemaatilisi võrrandeid. Antud meetodid ei ole eriti "sõbralikud", sest vahel tekivad probleemid kasutajatele, eriti nendele, kes ei suuda korralikult näha märke.<br />
<br />
Palju sõbralikum ja lihtsam anti-bot meetod on lahendus, kus kasutaja peab märkima linnukese kommentaari alla. Selle jaoks wordpressil on plugin Growmap Anti Spambot Plugin. Plugini installeerimiseks on vaja:<br />
<br />
1) Mine oma wordpress plugin kataloogisse<br />
<br />
<pre>cd /var/www/wp-content/plugins/</pre><br />
<br />
2) Käsuga wget allalaadime plugini<br />
<br />
<pre>wget http://downloads.wordpress.org/plugin/growmap-anti-spambot-plugin.1.1.zip</pre><br />
<br />
3) Pakime lahti antud arhiivi<br />
<br />
<pre>unzip growmap-anti-spambot-plugin.1.1.zip</pre><br />
<br />
Nüüd tuleb minna tagasi oma wordpress administratoori menüüsse ja aktiveerida see plugin.<br />
<br />
== IP kontroll ==<br />
<br />
Tihti on vaja turvata väga vajalikke faile. Selle jaoks on vaja:<br />
<br />
1) Mine oma wordpress kataloogi<br />
<br />
<pre>cd /var/www/wordpress</pre><br />
<br />
2) Teeme .htaccess faile. Antud teksti-fail wordpress kasutab oma reeglite jaoks. <br />
<br />
<pre>touch .htaccess</pre><br />
<br />
3) Kirjuta järgmised reegleid:<br />
<br />
Esiteks, kaitseme meie .htaccess faile, et keegi ei saaks selle vaadata.<br />
<br />
<pre><br />
#protect the htaccess file<br />
<files .htaccess><br />
order allow,deny<br />
deny from all<br />
</files><br />
</pre><br />
<br />
Kaitseme meie admin logini, selleks et adminina saab logida ainult määratud IP aadressilt.<br />
<br />
<pre><br />
<files wp-login.php><br />
Order Deny,Allow<br />
Deny from All<br />
Allow from 192.168.6.2<br />
</files><br />
</pre><br />
<br />
WPconfig on teine väga oluline fail. Seda tuleb ka kaitsta:<br />
<br />
<pre><br />
#protect wpconfig.php<br />
<files wp-config.php><br />
Order Deny,Allow<br />
Deny from All<br />
allow from 192.168.6.2<br />
</files><br />
</pre><br />
<br />
Nüüd tuleb '''wp-admin''' kataloogis teha veel uue '''.htaccess''' faili ja kirjutada järgmised reegleid:<br />
<br />
<pre><br />
AuthUserFile /dev/null<br />
AuthGroupFile /dev/null<br />
AuthName "WordPress Admin Access Control"<br />
AuthType Basic<br />
<LIMIT GET><br />
order deny,allow<br />
deny from all<br />
#kirjuta oma IP<br />
allow from 192.168.6.2<br />
</LIMIT><br />
</pre><br />
<br />
<br />
http://wptidbits.com/tutorials/21-most-popular-htaccess-hacks-for-wordpress/<br />
<br />
=Autorid=<br />
<br />
'''Wordpressi paigaldus ja konfigureerimine''' - Risto Siitan A32<br />
<br />
'''mod_evasive paigaldus ja konfigureerimine''' - Meelis Tamm, A31. Allikas: [http://acidborg.wordpress.com/2009/06/25/installation-configuration-of-mod_evasive-in-ubuntu-server-9-04/]<br />
<br />
'''Varnish Cache-i paigaldamine ja konfigureerimine''' - Jaan Vahtre A31 ja Vadim Vinogradin A31<br />
<br />
'''Super Cache''' - Kristjan Vask A31 Risto Siitan A32<br />
<br />
'''Iptables''' - Sergei Barol A31<br />
<br />
'''Teised turvameetodid''' - Vladimir Kolesnik A32<br />
<br />
[[Category:IT infrastruktuuri teenused]]</div>Sbarolhttps://wiki.itcollege.ee/index.php?title=WordPress_turvamine&diff=44077WordPress turvamine2011-12-07T14:21:46Z<p>Sbarol: /* Iptables */</p>
<hr />
<div>'''!NB Kõik õpetused on tehtud kasutades Ubuntu Server 11.04'''<br />
<br />
Viimati muudetud [[User:Metamm|Metamm]] 11:03, 1 December 2011 (EET)<br />
<br />
== Wordpressi paigaldus ja konfigureerimine ==<br />
<br />
Antud toimingud tuleks teha root õigustes.<br />
<br />
Mine root-iks:<br />
sudo -i<br />
<br />
<br />
Tee update kohalike pakettide cache<br />
aptitude update<br />
<br />
<br />
Tee upgrade pakettidele:<br />
aptitude full-upgrade<br />
<br />
Paigalda acpid daemon<br />
aptitude install acpid<br />
<br />
<br />
Installi apache2 veebi server,mysql andmebaasi server, openssh server, php5 skriptimis keel ning apache2-utils(Apache benchmark tool)<br />
aptitude install apache2 mysql-server ssh php5 php5-mysql apache2-utils<br />
<br />
<br />
Tõmba alla kõige hilisem .tar fail wordpress.org-ist:<br />
wget http://wordpress.org/latest.tar.gz<br />
<br />
<br />
<br />
Paki lahti wordpressi failid /var/www kausta:<br />
sudo tar zxvf latest.tar.gz --directory=/var/www/<br />
<br />
<br />
Logi mysql-i sisse:<br />
<br />
mysql -u root -p<br />
<br />
Loo andmebaas student_wordpress:<br />
<source lang="mysql"><br />
create database student_wordpress;<br />
</source><br />
Loo kasutaja student:<br />
<source lang="mysql"><br />
create user student;<br />
</source><br />
Anna kõik õigused student kasutajale:<br />
<source lang="mysql"><br />
GRANT ALL PRIVILEGES ON student_wordpress.* TO student@localhost IDENTIFIED BY ‘student’;<br />
</source><br />
Välju mysql-ist:<br />
<source lang="mysql"><br />
quit;<br />
</source><br />
<br />
Loo uus default veebi saidil põhinev veebi sait:<br />
<br />
cp /etc/apache2/sites-available/default /etc/apache2/sites-available/wp<br />
<br />
<br />
Muuda ära DocumentRoot /etc/apache2/sites-avalible/wp failis:<br />
<br />
nano /etc/apache2/sites-avalible/wp<br />
<br />
Lisa DocumentRoot /var/www rea lõppu DocumentRoot /var/www/wordpress<br />
DocumentRoot /var/www/wordpress<br />
<br />
<br />
<br />
Keela ära tavaline default veebi sait(seda ei ole vaja antud paigalduses):<br />
<br />
a2dissite default<br />
<br />
<br />
Luba wordpress-i veebisait<br />
<br />
a2ensite wp<br />
<br />
Tee apache-ile restart<br />
<br />
service apache2 restart<br />
<br />
Muuda wordpress konfiguratsiooni faili:<br />
<br />
nano /var/www/wordpress/wp-config-sample.php<br />
<br />
Muuda DB_NAME, DB_USER, DB_PASSWORD vastavalt näitele:<br />
<br />
<source lang="php">define('DB_NAME', 'student_wordpress');<br />
<br />
/** MySQL database username */<br />
define('DB_USER', 'student');<br />
<br />
/** MySQL database password */<br />
define('DB_PASSWORD', 'student');<br />
</source><br />
<br />
Kopeeri uus konfiguratsiooni fail wordpressi konfiguratsiooni failiks:<br />
<br />
cp /var/www/wordpress/wp-config-sample.php /var/www/wordpress/wp-config.php<br />
<br />
<br />
Tee apache2 service-ile reload<br />
<br />
service apache2 reload<br />
<br />
Mine wordpressi saidile kasutades host-i IP aadressi(antud näites:192.168.56.102);<br />
<br />
http://192.168.56.102<br />
<br />
<br />
Vali saidi nimi, kasutajanimi, salasõna ning meili aadress.<br />
<br />
Vali install<br />
<br />
Installi lõppedes tee kindlaks,et kõik toimib(logi sisse, vaata wp verisooni ilmselt midagi sellist: You are using WordPress 3.2.1.)<br />
<br />
== mod_evasive paigaldus ja konfigureerimine ==<br />
<br />
=== Sissejuhatus ===<br />
<br />
Mod_evasive on lisamoodul Apache'i veebiserveri jaoks, mille abil on võimalik vähendada või täielikult tõrjuda<br />
HTTP DoS, DDos või brute force rünnakute mõju. Ühtlasi saab seda kasutada ka monitooringu teostamiseks,<br />
kuna moodulit on lihtne panna suhtlema erinevate tulemüüride ja ruuteritega.<br />
<br />
Monitooring baseerub dünaamilisel IP aadressitest ja URI-dest koosneval räsitabelil,<br />
kust siis keelatakse IP aadressid, mis:<br />
<br />
*küsivad ühte lehte rohkem kui paar korda sekundis<br />
*teevad rohkem kui 50 üheaegset requesti sama laps-protsessi vastu<br />
*üritavad teha ükskõik millist requesti samal ajal kui nad on mustas nimekirjas<br />
<br />
=== Paigaldus ===<br />
<br />
Paigaldamine Ubuntu 11.04 serverile on küllaltki lihtne<br />
<br />
apt-get install libapache2-mod-evasive<br />
<br />
=== Konfigureerimine ===<br />
<br />
Kõigepealt on viisakas luua koht, kuhu antud moodul oma logi saaks salvestada<br />
mkdir /var/log/apache2/mod_evasive<br />
chown www-data:www-data /var/log/apache2/mod_evasive<br />
<br />
'''NB! Logimine praegu ei tööta'''<br />
<br />
Mod_evasive moodulil ei lubata antud kausta kirjutada<br />
Couldn't open logfile /var/log/apache2/mod_evasive/dos-192.168.6.13: Permission denied<br />
<br />
Nüüd jääb üle lisada vastavad read oma virtuaalsesse hosti (N:~/apache2/sites-enabled/wordpress lõppu)<br />
<br />
<ifmodule mod_evasive20.c><br />
DOSHashTableSize 3097<br />
DOSPageCount 2<br />
DOSSiteCount 50<br />
DOSPageInterval 1<br />
DOSSiteInterval 1<br />
DOSBlockingPeriod 10<br />
DOSLogDir /var/log/apache2/mod_evasive<br />
DOSEmailNotify root@localhost<br />
DOSWhitelist 127.0.0.1<br />
</ifmodule><br />
<br />
Antud väärtusi tuleks kohandada vastavalt vajadustele<br />
<br />
Parameetrite kirjeldused:<br />
<br />
*DOSHashTableSize: Räsitabeli suurus, kus IP aadresseid hoitakse.<br />
*DOSPageCount: Lehekülgede arv DOSPageInterval sekundis.<br />
*DOSPageInterval: Aeg sekundites, mida kasutab DOSPageCount.<br />
*DOSSiteCount: Objektide arv DOSSiteInterval sekundites.<br />
*DOSSiteInterval: Aeg sekundites, mida kasutab DOSSiteCount.<br />
*DOSBlockingPeriod: Aeg sekundites, kui kaua IP on bannitud. Kui IP üritab serverile selle aja see ligi pääseda, siis algab loendus ueusti nullist.<br />
*DOSLogDir: Valikuline. Kataloogitee, kuhu logi salvestatakse. Kui pole määratud kasutatakse /tmp.<br />
*DOSEmailNotify: Valikuline. Mail kuhu teated saadetakse.<br />
*DOSSystemCommand: Valikuline. Käsk mis käivitatakse, kui IP bannitakse. Näiteks:<br />
**DOSSystemCommand "/sbin/iptables -I INPUT -p tcp --dport 80 -s %s -j DROP"<br />
*DOSWhitelist: Valikuline. Nimekiri IP aadressitest, mida ei blokita.<br />
<br />
<br />
Kui konfigureerimine valmis, tuleb Apache serverlie teha restart<br />
<br />
/etc/init.d/apache2 restart<br />
VÕI<br />
service apache2 restart<br />
<br />
==Varnish Cache-i paigaldamine ja konfigureerimine==<br />
===Sissejuhatus===<br />
'''Varnish Cache''' – see on HTTP kiirendaja, seda on vaja selleks, et suurendada veebilehekülje kiirust. <br />
<br />
Varnish Cache salvestab mälus veebilehekülgi nii, et veebiserverid ei pea koguma samu lehekülgi uuesti. Seda on vaja selleks, et vähendada koormust I/O süsteemile.<br />
<br />
Varnish kontrollib cache'ist päringu olemasolu ning juhul kui selline leidub siis võetakse sealt päringu vastus ning saadetakse vastus kasutajale. Juhul kui cache'is ei ole konkreetset päringut saadetakse kasutaja päring ''backend''-i ning lisatakse cache'i koos vastusega.<br />
<br />
===Paigaldamine===<br />
Kui te soovite installida Varnishit, siis on vaja teha uuendusi. Selle käsu abil uuendame opsüsteemi:<br />
sudo apt-get update<br />
Paigaldamise käsk:<br />
sudo apt-get install varnish<br />
===Konfiguratsiooni muutmine===<br />
Esimene, mis me teeme on default pordi muutmine. Tuleb muuta faili '''/etc/default/varnish''':<br />
nano /etc/default/varnish<br />
<br />
Konfiguratsioon Varnishi jaoks kirjutatakse VCL keeles. <br />
<br />
Fail konfiguratsioonidega vaikimisi asub siin '''/etc/varnish/default.vcl'''<br />
Fail oleneb mitmest osadest, aga mis on vaja töötamise alguseks - see on backendi viitamine:<br />
<br />
'''Backend''' - see on server, kuhu varnish saadab päringut, kui tal ei ole vastavad andmeid cache-is.<br />
<br />
Kopeerige fail '''/etc/varnish/default.vcl''' ja andke teine nimetus<br />
cp /etc/varnish/default.vcl /etc/varnish/itkool.vcl<br />
<br />
Ava fail '''/etc/varnish/itkool.vcl''' ja sisesta <br />
nano /etc/varnish/itkool.vcl<br />
<br />
<pre><br />
## Redirect requests to Apache, running on port 8000 on localhost<br />
backend apache {<br />
.host = "127.0.0.1";<br />
.port = "8000";<br />
}<br />
## Fetch<br />
sub vcl_fetch {<br />
## Remove the X-Forwarded-For header if it exists.<br />
remove req.http.X-Forwarded-For;<br />
<br />
## insert the client IP address as X-Forwarded-For. This is the normal IP address of the user.<br />
set req.http.X-Forwarded-For = req.http.rlnclientipaddr;<br />
## Added security, the "w00tw00t" attacks are pretty annoying so lets block it before it reaches our webserver<br />
if (req.url ~ "^/w00tw00t") {<br />
error 403 "Not permitted";<br />
}<br />
## Deliver the content<br />
return(deliver);<br />
}<br />
<br />
## Deliver<br />
sub vcl_deliver {<br />
## We'll be hiding some headers added by Varnish. We want to make sure people are not seeing we're using Varnish.<br />
## Since we're not caching (yet), why bother telling people we use it?<br />
remove resp.http.X-Varnish;<br />
remove resp.http.Via;<br />
remove resp.http.Age;<br />
<br />
## We'd like to hide the X-Powered-By headers. Nobody has to know we can run PHP and have version xyz of it.<br />
remove resp.http.X-Powered-By;<br />
}<br />
</pre><br />
Salvesta fail CTRL + O käsuga<br />
<br />
===Apache konfiguratsiooni muutmine===<br />
Ava fail '''/etc/apache2/ports.conf''' ja leia<br />
nano /etc/apache2/ports.conf<br />
<br />
<pre><br />
NameVirtualHost *:80<br />
Listen 192.168.6.101:80<br />
</pre><br />
'''192.168.6.101''' - veebiserveri IP aadress.<br />
<br />
Muuda <br />
<br />
<pre><br />
NameVirtualHost *:8000<br />
Listen 192.168.6.101:8000<br />
</pre><br />
Ava fail '''/etc/apache2/sites-available/wp''' ja leia<br />
<br />
<pre><br />
<VirtualHost *:80><br />
ServerAdmin webmaster@localhost<br />
<br />
</pre><br />
<br />
Muuda<br />
<pre><br />
VirtualHost *:8000><br />
ServerAdmin webmaster@localhost<br />
</pre><br />
<br />
Paigaldame lisa Apache mooduli veendumaks, kas kasutaja IP aadress lahendatakse korrektselt. Kuna Varnish on lähedalt seotud apache2-ga, näete külastaja Ip-na 127.0.0.1<br />
nano apt-get install libapache2-mod-rpaf<br />
<br />
'''RPAF''' (Reverse Proxy Add Forward) moodul holitseb selle eest, et localhosti IP vahetatakse ära IP-ga, mis on seadistatud X-Forwarded-For failis.<br />
<br />
===Deemonide restart===<br />
Restart Apache server:<br />
/etc/init.d/apache2 restart<br />
<br />
Kontrolli kas on olemas IP portid: <br />
netstat -lp | grep apache2<br />
<br />
Kui te näete, siis kõik on korras<br />
tcp 0 0 *:https *:* LISTEN 843/apache2 <br />
tcp 0 0 192.168.6.101:8000 *:* LISTEN 843/apache2 <br />
<br />
Kui ei näita niimodi, siis on viga. Praegu teeme Varnishile restardi, et kuulata teema pordis 80<br />
/etc/init.d/varnish restart <br />
<br />
Kontrolli <br />
netstat -lp | grep varnish<br />
tcp 0 0 *:www *:* LISTEN 781/varnishd <br />
tcp 0 0 localhost:6082 *:* LISTEN 779/varnishd <br />
tcp6 0 0 [::]:www [::]:* LISTEN 781/varnishd<br />
<br />
Varnish on sätitud Apache-is. Külasta saiti ja vaata, kas toimib, kuid üldjuhul ei saa Te aru, et midagi oleks muutunud. Kui sa tõmbad Apache maha, siis näed lehel Varnishi errorit.<br />
<br />
http://www.howtoforge.com/putting-varnish-in-front-of-apache-on-ubuntu-debian<br />
<br />
== Super Cache ==<br />
<br />
'''Sissejuhatus'''<br />
<br />
''Super Cache'' on Wordpressi väga kiire puhvri mootor, mis loob staatilisi html faile.<br />
<br />
See pistikprogramm genereerib staatilisi html faile dünaamilisest Wordpressi blogist. Pärast seda kui html fail on loodud, annab veebiserver seda faili kasutajatele, selle asemel,et loob iga kord uue lehe vastavalt Wordpressi php skritpidele. Suure koormuse puhul on ''Super Cache'' väga kasulik, kuna nagu ka hiljem on testi tulemustest näha siis serverilt vastuse saamiseks kuluv aeg on mitu korda väiksem.<br />
<br />
Staatilisi html-e saavad enamik kasutajaid:<br />
<br />
1.Kasutajad, kes ei ole sisse logitud.<br />
<br />
2.Kasutajad, kes ei ole ühtegi kommentaari blogisse jätnud.<br />
<br />
3.Kasutajad, kes ei ole vaadanud salasõnaga kaitstud postitusi.<br />
<br />
<br />
Suuremale osale kasutajatele antakse staatilisi html faile. Need kasutajad kellele ei edastata puhverdatud lehti siiski saavad kasu, kuna nemad näevad väheke teistsuguseid puverdatud faile, mis küll ei ole nii effektiivsed kuid siiski paremad kui täiesti puhverdamata failid.<br />
<br />
'''Paigaldamine'''<br />
<br />
[[File:Wordpress_Plugins.png|right|]]<br />
<br />
<br />
<br />
[[File:Wordpress_search.png|400px|thumb|right]]<br />
<br />
<br />
''Super Cache''-i paigaldamiseks tuleb sisse logida admin-paneeli. Siis vasakult nimekirjast valida '''''Plugins'''''-i alt '''Add new'''.<br />
<br />
[[File:Install_wordpress.png|400px|thumb|right|]]<br />
<br />
[[File:Activate_wordpress.png|400px|thumb|right|]]<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Siis kirjutada otsingusse "'''WP Super Cache'''".<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Pärast seda valida nimekirjast ''Super Cache'' ning vajutada "'''Install now'''".<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Pärast seda "'''Activate the Plugin'''".<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
[[File:Permset.png|400px|thumb|right|]]<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Pärast seda ilmub "Permlink Structure error", see on see tõttu,et ''Super Cache''-i toimimiseks on vajalik valida '''''Custom structure''''' ''Permalink''-i seadete alt ning sisestada sinna '''/index.php/?p=%post_id%'''<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Edasi vali vasakult '''''Settings'''''-u alt '''WP Super Cache'''.<br />
Nüüd ütleb wordpress,et "WP_CACHE constant set to false" selle muutmiseks tuleb käsurealt avada wp-config-php fail:<br />
<br />
nano /var/www/wordpress/wp-config.php<br />
<br />
ning sinna lisada rida: <br />
<br />
define('WP_CACHE', true);<br />
<br />
Pärast seda salvestada wp-config.php ning brauseris tuleks refresh teha.<br />
<br />
Lisaks tuleb muuta .htaccess faili sisu mis peaks välja nägema selline:<br />
<br />
# BEGIN WordPress<br />
<IfModule mod_rewrite.c><br />
RewriteEngine On<br />
RewriteBase /<br />
RewriteRule ^index\.php$ - [L]<br />
RewriteCond %{REQUEST_FILENAME} !-f<br />
RewriteCond %{REQUEST_FILENAME} !-d<br />
RewriteRule . /index.php [L]<br />
</IfModule><br />
# END WordPress<br />
<br />
kuna wordpress tahab .htaccess faili ka ise muuta aegajalt siis on hea panna htaccessi õigused 777 peale käsuga:<br />
chmod 777 .htaccess<br />
<br />
Pärast konfimist tuleks '''kindlasti''' .htaccess õigused vähemaks võtta kuna konstantselt ei pea õigused 777 peal olema, need on tarvilikud vaid konfi ajaks.<br />
<br />
'''Jõudluse võrdlus SuperCache-iga ja ilma'''<br />
Supercache-iga<br />
Benchmarking www.itkool.ee (be patient)<br />
Completed 100 requests<br />
Completed 200 requests<br />
Finished 200 requests<br />
<br />
<br />
Server Software: Apache/2.2.17<br />
Server Hostname: www.itkool.ee<br />
Server Port: 80<br />
<br />
Document Path: /<br />
Document Length: 9554 bytes<br />
<br />
Concurrency Level: 200<br />
Time taken for tests: 1.457 seconds<br />
Complete requests: 200<br />
Failed requests: 0<br />
Write errors: 0<br />
Total transferred: 1971800 bytes<br />
HTML transferred: 1910800 bytes<br />
Requests per second: 137.30 [#/sec] (mean)<br />
Time per request: 1456.617 [ms] (mean)<br />
Time per request: 7.283 [ms] (mean, across all concurrent requests)<br />
Transfer rate: 1321.96 [Kbytes/sec] received<br />
Connection Times (ms)<br />
min mean[+/-sd] median max<br />
Connect: 7 10 2.1 10 14<br />
Processing: 55 798 409.6 821 1441<br />
Waiting: 8 751 410.1 770 1437<br />
Total: 68 808 407.6 831 1447<br />
Percentage of the requests served within a certain time (ms)<br />
50% 831<br />
66% 1036<br />
75% 1159<br />
80% 1236<br />
90% 1366<br />
95% 1434<br />
98% 1445<br />
99% 1446<br />
100% 1447 (longest request)<br />
<br />
ilma:<br />
<br />
Benchmarking www.itkool.ee (be patient)<br />
Completed 100 requests<br />
Completed 200 requests<br />
Finished 200 requests<br />
<br />
<br />
Server Software: Apache/2.2.17<br />
Server Hostname: www.itkool.ee<br />
Server Port: 80<br />
<br />
Document Path: /<br />
Document Length: 9413 bytes<br />
<br />
Concurrency Level: 20<br />
Time taken for tests: 25.600 seconds<br />
Complete requests: 200<br />
Failed requests: 172<br />
(Connect: 0, Receive: 0, Length: 172, Exceptions: 0)<br />
Write errors: 0<br />
Total transferred: 1932771 bytes<br />
HTML transferred: 1882571 bytes<br />
Requests per second: 7.81 [#/sec] (mean)<br />
Time per request: 2560.029 [ms] (mean)<br />
Time per request: 128.001 [ms] (mean, across all concurrent requests)<br />
Transfer rate: 73.73 [Kbytes/sec] received<br />
<br />
Connection Times (ms)<br />
min mean[+/-sd] median max<br />
Connect: 0 1 1.4 0 5<br />
Processing: 803 2522 572.9 2485 4346<br />
Waiting: 648 2126 526.2 2053 4000<br />
Total: 807 2523 572.5 2485 4346<br />
<br />
Percentage of the requests served within a certain time (ms)<br />
50% 2485<br />
66% 2557<br />
75% 2690<br />
80% 2740<br />
90% 3120<br />
95% 3624<br />
98% 4261<br />
99% 4272<br />
100% 4346 (longest request)<br />
<br />
<br />
'''Ühenduse probleemid'''<br />
<br />
Juhul kui esineb probleem,et serverile on määratud uus ip-aadress ning ip-aadressile minnes näidatakse vanalt ip-aadressilt pärit cache'i sisu siis sellest probleemist mööda saamiseks tuleb käsurealt muuta wp-config.php faili:<br />
<br />
nano /var/www/wordpress/wp-config.php<br />
<br />
ning sealt seest:<br />
<br />
define('WP_CACHE', false); #See tuleb kindlasti tagasi muuta "true"-ks pärast ühenduse saamist.<br />
<br />
Nüüd peaks wordpress jälle näitama uut sisu. Juhul kui siiski on probleeme ning juhul kui '''andmebaas on tühi''' siis võib ka sql-is teha järgmist:<br />
<br />
'''NB Seda teha ainult siis kui andmebaas on tühi!!!'''<br />
<source lang="mysql"><br />
drop database student_wordpress;<br />
</source><br />
ning siis uuesti:<br />
<source lang="mysql"><br />
create database student_wordpress:<br />
</source><br />
Pärast andmebaasi loomist teha apache-ile restart:<br />
<br />
service apache2 restart <br />
<br />
Ja tuleb uuesti seadistada wordpressi lehekülg.<br />
<br />
== Iptables ==<br />
<br />
'''Laboris tuleb kasutada enda arvuti IP'd!'''<br />
<br />
Teie '''iptables.conf''' fail peab välja nägema nii nagu näidatud allpool:<br />
<br />
<pre><br />
-A INPUT -s 192.168.6.101/32 -p tcp -m tcp --dport 8000 -j ACCEPT <br />
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT <br />
-A INPUT -s 192.168.6.1/32 -p tcp -m tcp --dport 22 -j ACCEPT <br />
-A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied:" --log-level 7<br />
-A INPUT -p tcp -m tcp --dport 80 -m connlimit --connlimit-above 10 --connlimit-mask 32 -j REJECT --reject-with icmp-port-unreachable<br />
-A INPUT -s 192.168.6.101/32 -j ACCEPT <br />
-A INPUT -m state --state ESTABLISHED -j ACCEPT <br />
-A OUTPUT -o lo -j ACCEPT <br />
COMMIT<br />
</pre><br />
<br />
'''Räägime täpsemalt milleks need reeglid vaja on.'''<br />
<br />
Kui tahame varnish'it kasutada, tuleb lubada porti 8000:<br />
<pre><br />
iptables -A INPUT -s 192.168.6.101/32 -p tcp -m tcp --dport 8000 -j ACCEPT<br />
</pre><br />
<br />
Lubame weebiserveri:<br />
<pre><br />
iptables -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT<br />
</pre><br />
<br />
SSH lubamiseks sellest IP-st:<br />
<pre><br />
iptables -A INPUT -s 192.168.6.1/32 -p tcp -m tcp --dport 22 -j ACCEPT<br />
</pre><br />
<br />
Näidises on pandud connection limitiks 10, testimiseks seda piisab küll aga seda arvu võib muuta suuremaks. Näiteks suurtes ettevõttetes kliendid kes istuvad NAT'i taga, ei saa liigi leheküljele, sest connection limit ühest IP-st on piiratud 10-ga. Ainult 10 klienti saab korraga vaatada veebilehti.<br />
See rida annab võimalust katkestada ühendusi mille arv on üle 10 pordis 80:<br />
<pre><br />
iptables -A INPUT -p tcp -m tcp --dport 80 -m connlimit --connlimit-above 10 --connlimit-mask 32 -j REJECT --reject-with icmp-port-unreachable<br />
</pre><br />
<br />
Praegu meil ei salvestatakse logi failid. Kui tahame näha täpsemalt millised paketid vistakse minema, peame lubama logimist:<br />
<pre><br />
iptables -A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied:" --log-level 7<br />
</pre><br />
<br />
<pre><br />
iptables -A INPUT -s 192.168.6.101/32 -j ACCEPT<br />
</pre><br />
<br />
Väljaminevate ühenduste jaoks tagasi tulnud pakette lubamiseks:<br />
<pre><br />
iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT<br />
</pre><br />
<br />
On alati tervislik lubada localhost õue: <br />
<pre><br />
iptables -A OUTPUT -o lo -j ACCEPT <br />
</pre><br />
<br />
= Teised turvameetodid = <br />
<br />
On olemas mitmeid erinevaid võimalusi, kuidas veel saab oma wordpressi veebilehe turvata.<br />
<br />
== Späm filter ==<br />
<br />
Akismet (Automattic Kismet) on spämmi filter. Antud teenus püüab filtreerida spämmi mis tuleb blogi kommentaaridest ja TrackPack pingidest. Filter kombineerib informatsiooni mis ta kogus kõikidest blogidest ja kasutab need spämmi reegleid, et blokeerida tuleviku spämmi. Akismet on loodud Automattic firma poolt, ettevõtte mis keskendub vaba-tarkvara arendamisele WordPressi platformi jaoks. Akismet tuli välja 25. oktroobril aastal 2005 ja seisuga Aprill 2011 juba püüdis üle 25 miljardi spämmi kommentaare ja pinge.<br />
<br />
Akisment on WordPressi sisseehitatud aga vaikimisi on ta välja lülitatud, kuna selle sisse lülitamine nõuab võtmegas audentimist. Blogi administratoor peab ise antud teenust aktiveerima. <br />
Selleks, et aktiveerida Akismeti, on vaja:<br />
<br />
1) Administraatoori paneelis on vaja valida '''Plugins - Installed''' <br />
<br />
2) Linnuke Akismeti juurde ja valida '''"Activate"'''<br />
<br />
3) Nüüd peab sisestama Akismeti API võtme. Võtme saab tasuta tellida Akismeti ametlikult veebilehelt.<br />
<br />
4) Vajuta '''"Update options"'''<br />
<br />
5) Akismeti spämmi filter on sisselülitatud.<br />
<br />
Nüüd on vaja mõned postituse reegleid konfigureerida. Selleks on vaja valida '''Settings - Discussion''' menüü alt ja välja lülitada: '''An administrator must always approve the comment'''.<br />
<br />
Nüüd ei pea administraator isiklikult iga kommentaari läbi vaatama ja kinnitama. Antud tööga hakkab tegelema Akismet.<br />
<br />
== Anti-bot lahendus ==<br />
<br />
On olemas mitmeid erinevaid võimalusi kuidas saab kindlaks teha, et kasutaja, kes postitab on inimene. Selle jaoks on igasuguseid captcha meetodeid, näiteks kasutaja peab sisestama juhuslikult kombineeritud teksti või lahendama mingeid lihtsaid matemaatilisi võrrandeid. Antud meetodid ei ole eriti "sõbralikud", sest vahel tekivad probleemid kasutajatele, eriti nendele, kes ei suuda korralikult näha märke.<br />
<br />
Palju sõbralikum ja lihtsam anti-bot meetod on lahendus, kus kasutaja peab märkima linnukese kommentaari alla. Selle jaoks wordpressil on plugin Growmap Anti Spambot Plugin. Plugini installeerimiseks on vaja:<br />
<br />
1) Mine oma wordpress plugin kataloogisse<br />
<br />
<pre>cd /var/www/wp-content/plugins/</pre><br />
<br />
2) Käsuga wget allalaadime plugini<br />
<br />
<pre>wget http://downloads.wordpress.org/plugin/growmap-anti-spambot-plugin.1.1.zip</pre><br />
<br />
3) Pakime lahti antud arhiivi<br />
<br />
<pre>unzip growmap-anti-spambot-plugin.1.1.zip</pre><br />
<br />
Nüüd tuleb minna tagasi oma wordpress administratoori menüüsse ja aktiveerida see plugin.<br />
<br />
== IP kontroll ==<br />
<br />
Tihti on vaja turvata väga vajalikke faile. Selle jaoks on vaja:<br />
<br />
1) Mine oma wordpress kataloogi<br />
<br />
<pre>cd /var/www/wordpress</pre><br />
<br />
2) Teeme .htaccess faile. Antud teksti-fail wordpress kasutab oma reeglite jaoks. <br />
<br />
<pre>touch .htaccess</pre><br />
<br />
3) Kirjuta järgmised reegleid:<br />
<br />
Esiteks, kaitseme meie .htaccess faile, et keegi ei saaks selle vaadata.<br />
<br />
<pre><br />
#protect the htaccess file<br />
<files .htaccess><br />
order allow,deny<br />
deny from all<br />
</files><br />
</pre><br />
<br />
Kaitseme meie admin logini, selleks et adminina saab logida ainult määratud IP aadressilt.<br />
<br />
<pre><br />
<files wp-login.php><br />
Order Deny,Allow<br />
Deny from All<br />
Allow from 192.168.6.2<br />
</files><br />
</pre><br />
<br />
WPconfig on teine väga oluline fail. Seda tuleb ka kaitsta:<br />
<br />
<pre><br />
#protect wpconfig.php<br />
<files wp-config.php><br />
Order Deny,Allow<br />
Deny from All<br />
allow from 192.168.6.2<br />
</files><br />
</pre><br />
<br />
Nüüd tuleb '''wp-admin''' kataloogis teha veel uue '''.htaccess''' faili ja kirjutada järgmised reegleid:<br />
<br />
<pre><br />
AuthUserFile /dev/null<br />
AuthGroupFile /dev/null<br />
AuthName "WordPress Admin Access Control"<br />
AuthType Basic<br />
<LIMIT GET><br />
order deny,allow<br />
deny from all<br />
#kirjuta oma IP<br />
allow from 192.168.6.2<br />
</LIMIT><br />
</pre><br />
<br />
<br />
http://wptidbits.com/tutorials/21-most-popular-htaccess-hacks-for-wordpress/<br />
<br />
=Autorid=<br />
<br />
'''Wordpressi paigaldus ja konfigureerimine''' - Risto Siitan A32<br />
<br />
'''mod_evasive paigaldus ja konfigureerimine''' - Meelis Tamm, A31. Allikas: [http://acidborg.wordpress.com/2009/06/25/installation-configuration-of-mod_evasive-in-ubuntu-server-9-04/]<br />
<br />
'''Varnish Cache-i paigaldamine ja konfigureerimine''' - Jaan Vahtre A31 ja Vadim Vinogradin A31<br />
<br />
'''Super Cache''' - Kristjan Vask A31 Risto Siitan A32<br />
<br />
'''Iptables''' - Sergei Barol A31<br />
<br />
'''Teised turvameetodid''' - Vladimir Kolesnik A32<br />
<br />
[[Category:IT infrastruktuuri teenused]]</div>Sbarolhttps://wiki.itcollege.ee/index.php?title=WordPress_turvamine&diff=44076WordPress turvamine2011-12-07T14:20:37Z<p>Sbarol: /* Iptables */</p>
<hr />
<div>'''!NB Kõik õpetused on tehtud kasutades Ubuntu Server 11.04'''<br />
<br />
Viimati muudetud [[User:Metamm|Metamm]] 11:03, 1 December 2011 (EET)<br />
<br />
== Wordpressi paigaldus ja konfigureerimine ==<br />
<br />
Antud toimingud tuleks teha root õigustes.<br />
<br />
Mine root-iks:<br />
sudo -i<br />
<br />
<br />
Tee update kohalike pakettide cache<br />
aptitude update<br />
<br />
<br />
Tee upgrade pakettidele:<br />
aptitude full-upgrade<br />
<br />
Paigalda acpid daemon<br />
aptitude install acpid<br />
<br />
<br />
Installi apache2 veebi server,mysql andmebaasi server, openssh server, php5 skriptimis keel ning apache2-utils(Apache benchmark tool)<br />
aptitude install apache2 mysql-server ssh php5 php5-mysql apache2-utils<br />
<br />
<br />
Tõmba alla kõige hilisem .tar fail wordpress.org-ist:<br />
wget http://wordpress.org/latest.tar.gz<br />
<br />
<br />
<br />
Paki lahti wordpressi failid /var/www kausta:<br />
sudo tar zxvf latest.tar.gz --directory=/var/www/<br />
<br />
<br />
Logi mysql-i sisse:<br />
<br />
mysql -u root -p<br />
<br />
Loo andmebaas student_wordpress:<br />
<source lang="mysql"><br />
create database student_wordpress;<br />
</source><br />
Loo kasutaja student:<br />
<source lang="mysql"><br />
create user student;<br />
</source><br />
Anna kõik õigused student kasutajale:<br />
<source lang="mysql"><br />
GRANT ALL PRIVILEGES ON student_wordpress.* TO student@localhost IDENTIFIED BY ‘student’;<br />
</source><br />
Välju mysql-ist:<br />
<source lang="mysql"><br />
quit;<br />
</source><br />
<br />
Loo uus default veebi saidil põhinev veebi sait:<br />
<br />
cp /etc/apache2/sites-available/default /etc/apache2/sites-available/wp<br />
<br />
<br />
Muuda ära DocumentRoot /etc/apache2/sites-avalible/wp failis:<br />
<br />
nano /etc/apache2/sites-avalible/wp<br />
<br />
Lisa DocumentRoot /var/www rea lõppu DocumentRoot /var/www/wordpress<br />
DocumentRoot /var/www/wordpress<br />
<br />
<br />
<br />
Keela ära tavaline default veebi sait(seda ei ole vaja antud paigalduses):<br />
<br />
a2dissite default<br />
<br />
<br />
Luba wordpress-i veebisait<br />
<br />
a2ensite wp<br />
<br />
Tee apache-ile restart<br />
<br />
service apache2 restart<br />
<br />
Muuda wordpress konfiguratsiooni faili:<br />
<br />
nano /var/www/wordpress/wp-config-sample.php<br />
<br />
Muuda DB_NAME, DB_USER, DB_PASSWORD vastavalt näitele:<br />
<br />
<source lang="php">define('DB_NAME', 'student_wordpress');<br />
<br />
/** MySQL database username */<br />
define('DB_USER', 'student');<br />
<br />
/** MySQL database password */<br />
define('DB_PASSWORD', 'student');<br />
</source><br />
<br />
Kopeeri uus konfiguratsiooni fail wordpressi konfiguratsiooni failiks:<br />
<br />
cp /var/www/wordpress/wp-config-sample.php /var/www/wordpress/wp-config.php<br />
<br />
<br />
Tee apache2 service-ile reload<br />
<br />
service apache2 reload<br />
<br />
Mine wordpressi saidile kasutades host-i IP aadressi(antud näites:192.168.56.102);<br />
<br />
http://192.168.56.102<br />
<br />
<br />
Vali saidi nimi, kasutajanimi, salasõna ning meili aadress.<br />
<br />
Vali install<br />
<br />
Installi lõppedes tee kindlaks,et kõik toimib(logi sisse, vaata wp verisooni ilmselt midagi sellist: You are using WordPress 3.2.1.)<br />
<br />
== mod_evasive paigaldus ja konfigureerimine ==<br />
<br />
=== Sissejuhatus ===<br />
<br />
Mod_evasive on lisamoodul Apache'i veebiserveri jaoks, mille abil on võimalik vähendada või täielikult tõrjuda<br />
HTTP DoS, DDos või brute force rünnakute mõju. Ühtlasi saab seda kasutada ka monitooringu teostamiseks,<br />
kuna moodulit on lihtne panna suhtlema erinevate tulemüüride ja ruuteritega.<br />
<br />
Monitooring baseerub dünaamilisel IP aadressitest ja URI-dest koosneval räsitabelil,<br />
kust siis keelatakse IP aadressid, mis:<br />
<br />
*küsivad ühte lehte rohkem kui paar korda sekundis<br />
*teevad rohkem kui 50 üheaegset requesti sama laps-protsessi vastu<br />
*üritavad teha ükskõik millist requesti samal ajal kui nad on mustas nimekirjas<br />
<br />
=== Paigaldus ===<br />
<br />
Paigaldamine Ubuntu 11.04 serverile on küllaltki lihtne<br />
<br />
apt-get install libapache2-mod-evasive<br />
<br />
=== Konfigureerimine ===<br />
<br />
Kõigepealt on viisakas luua koht, kuhu antud moodul oma logi saaks salvestada<br />
mkdir /var/log/apache2/mod_evasive<br />
chown www-data:www-data /var/log/apache2/mod_evasive<br />
<br />
'''NB! Logimine praegu ei tööta'''<br />
<br />
Mod_evasive moodulil ei lubata antud kausta kirjutada<br />
Couldn't open logfile /var/log/apache2/mod_evasive/dos-192.168.6.13: Permission denied<br />
<br />
Nüüd jääb üle lisada vastavad read oma virtuaalsesse hosti (N:~/apache2/sites-enabled/wordpress lõppu)<br />
<br />
<ifmodule mod_evasive20.c><br />
DOSHashTableSize 3097<br />
DOSPageCount 2<br />
DOSSiteCount 50<br />
DOSPageInterval 1<br />
DOSSiteInterval 1<br />
DOSBlockingPeriod 10<br />
DOSLogDir /var/log/apache2/mod_evasive<br />
DOSEmailNotify root@localhost<br />
DOSWhitelist 127.0.0.1<br />
</ifmodule><br />
<br />
Antud väärtusi tuleks kohandada vastavalt vajadustele<br />
<br />
Parameetrite kirjeldused:<br />
<br />
*DOSHashTableSize: Räsitabeli suurus, kus IP aadresseid hoitakse.<br />
*DOSPageCount: Lehekülgede arv DOSPageInterval sekundis.<br />
*DOSPageInterval: Aeg sekundites, mida kasutab DOSPageCount.<br />
*DOSSiteCount: Objektide arv DOSSiteInterval sekundites.<br />
*DOSSiteInterval: Aeg sekundites, mida kasutab DOSSiteCount.<br />
*DOSBlockingPeriod: Aeg sekundites, kui kaua IP on bannitud. Kui IP üritab serverile selle aja see ligi pääseda, siis algab loendus ueusti nullist.<br />
*DOSLogDir: Valikuline. Kataloogitee, kuhu logi salvestatakse. Kui pole määratud kasutatakse /tmp.<br />
*DOSEmailNotify: Valikuline. Mail kuhu teated saadetakse.<br />
*DOSSystemCommand: Valikuline. Käsk mis käivitatakse, kui IP bannitakse. Näiteks:<br />
**DOSSystemCommand "/sbin/iptables -I INPUT -p tcp --dport 80 -s %s -j DROP"<br />
*DOSWhitelist: Valikuline. Nimekiri IP aadressitest, mida ei blokita.<br />
<br />
<br />
Kui konfigureerimine valmis, tuleb Apache serverlie teha restart<br />
<br />
/etc/init.d/apache2 restart<br />
VÕI<br />
service apache2 restart<br />
<br />
==Varnish Cache-i paigaldamine ja konfigureerimine==<br />
===Sissejuhatus===<br />
'''Varnish Cache''' – see on HTTP kiirendaja, seda on vaja selleks, et suurendada veebilehekülje kiirust. <br />
<br />
Varnish Cache salvestab mälus veebilehekülgi nii, et veebiserverid ei pea koguma samu lehekülgi uuesti. Seda on vaja selleks, et vähendada koormust I/O süsteemile.<br />
<br />
Varnish kontrollib cache'ist päringu olemasolu ning juhul kui selline leidub siis võetakse sealt päringu vastus ning saadetakse vastus kasutajale. Juhul kui cache'is ei ole konkreetset päringut saadetakse kasutaja päring ''backend''-i ning lisatakse cache'i koos vastusega.<br />
<br />
===Paigaldamine===<br />
Kui te soovite installida Varnishit, siis on vaja teha uuendusi. Selle käsu abil uuendame opsüsteemi:<br />
sudo apt-get update<br />
Paigaldamise käsk:<br />
sudo apt-get install varnish<br />
===Konfiguratsiooni muutmine===<br />
Esimene, mis me teeme on default pordi muutmine. Tuleb muuta faili '''/etc/default/varnish''':<br />
nano /etc/default/varnish<br />
<br />
Konfiguratsioon Varnishi jaoks kirjutatakse VCL keeles. <br />
<br />
Fail konfiguratsioonidega vaikimisi asub siin '''/etc/varnish/default.vcl'''<br />
Fail oleneb mitmest osadest, aga mis on vaja töötamise alguseks - see on backendi viitamine:<br />
<br />
'''Backend''' - see on server, kuhu varnish saadab päringut, kui tal ei ole vastavad andmeid cache-is.<br />
<br />
Kopeerige fail '''/etc/varnish/default.vcl''' ja andke teine nimetus<br />
cp /etc/varnish/default.vcl /etc/varnish/itkool.vcl<br />
<br />
Ava fail '''/etc/varnish/itkool.vcl''' ja sisesta <br />
nano /etc/varnish/itkool.vcl<br />
<br />
<pre><br />
## Redirect requests to Apache, running on port 8000 on localhost<br />
backend apache {<br />
.host = "127.0.0.1";<br />
.port = "8000";<br />
}<br />
## Fetch<br />
sub vcl_fetch {<br />
## Remove the X-Forwarded-For header if it exists.<br />
remove req.http.X-Forwarded-For;<br />
<br />
## insert the client IP address as X-Forwarded-For. This is the normal IP address of the user.<br />
set req.http.X-Forwarded-For = req.http.rlnclientipaddr;<br />
## Added security, the "w00tw00t" attacks are pretty annoying so lets block it before it reaches our webserver<br />
if (req.url ~ "^/w00tw00t") {<br />
error 403 "Not permitted";<br />
}<br />
## Deliver the content<br />
return(deliver);<br />
}<br />
<br />
## Deliver<br />
sub vcl_deliver {<br />
## We'll be hiding some headers added by Varnish. We want to make sure people are not seeing we're using Varnish.<br />
## Since we're not caching (yet), why bother telling people we use it?<br />
remove resp.http.X-Varnish;<br />
remove resp.http.Via;<br />
remove resp.http.Age;<br />
<br />
## We'd like to hide the X-Powered-By headers. Nobody has to know we can run PHP and have version xyz of it.<br />
remove resp.http.X-Powered-By;<br />
}<br />
</pre><br />
Salvesta fail CTRL + O käsuga<br />
<br />
===Apache konfiguratsiooni muutmine===<br />
Ava fail '''/etc/apache2/ports.conf''' ja leia<br />
nano /etc/apache2/ports.conf<br />
<br />
<pre><br />
NameVirtualHost *:80<br />
Listen 192.168.6.101:80<br />
</pre><br />
'''192.168.6.101''' - veebiserveri IP aadress.<br />
<br />
Muuda <br />
<br />
<pre><br />
NameVirtualHost *:8000<br />
Listen 192.168.6.101:8000<br />
</pre><br />
Ava fail '''/etc/apache2/sites-available/wp''' ja leia<br />
<br />
<pre><br />
<VirtualHost *:80><br />
ServerAdmin webmaster@localhost<br />
<br />
</pre><br />
<br />
Muuda<br />
<pre><br />
VirtualHost *:8000><br />
ServerAdmin webmaster@localhost<br />
</pre><br />
<br />
Paigaldame lisa Apache mooduli veendumaks, kas kasutaja IP aadress lahendatakse korrektselt. Kuna Varnish on lähedalt seotud apache2-ga, näete külastaja Ip-na 127.0.0.1<br />
nano apt-get install libapache2-mod-rpaf<br />
<br />
'''RPAF''' (Reverse Proxy Add Forward) moodul holitseb selle eest, et localhosti IP vahetatakse ära IP-ga, mis on seadistatud X-Forwarded-For failis.<br />
<br />
===Deemonide restart===<br />
Restart Apache server:<br />
/etc/init.d/apache2 restart<br />
<br />
Kontrolli kas on olemas IP portid: <br />
netstat -lp | grep apache2<br />
<br />
Kui te näete, siis kõik on korras<br />
tcp 0 0 *:https *:* LISTEN 843/apache2 <br />
tcp 0 0 192.168.6.101:8000 *:* LISTEN 843/apache2 <br />
<br />
Kui ei näita niimodi, siis on viga. Praegu teeme Varnishile restardi, et kuulata teema pordis 80<br />
/etc/init.d/varnish restart <br />
<br />
Kontrolli <br />
netstat -lp | grep varnish<br />
tcp 0 0 *:www *:* LISTEN 781/varnishd <br />
tcp 0 0 localhost:6082 *:* LISTEN 779/varnishd <br />
tcp6 0 0 [::]:www [::]:* LISTEN 781/varnishd<br />
<br />
Varnish on sätitud Apache-is. Külasta saiti ja vaata, kas toimib, kuid üldjuhul ei saa Te aru, et midagi oleks muutunud. Kui sa tõmbad Apache maha, siis näed lehel Varnishi errorit.<br />
<br />
http://www.howtoforge.com/putting-varnish-in-front-of-apache-on-ubuntu-debian<br />
<br />
== Super Cache ==<br />
<br />
'''Sissejuhatus'''<br />
<br />
''Super Cache'' on Wordpressi väga kiire puhvri mootor, mis loob staatilisi html faile.<br />
<br />
See pistikprogramm genereerib staatilisi html faile dünaamilisest Wordpressi blogist. Pärast seda kui html fail on loodud, annab veebiserver seda faili kasutajatele, selle asemel,et loob iga kord uue lehe vastavalt Wordpressi php skritpidele. Suure koormuse puhul on ''Super Cache'' väga kasulik, kuna nagu ka hiljem on testi tulemustest näha siis serverilt vastuse saamiseks kuluv aeg on mitu korda väiksem.<br />
<br />
Staatilisi html-e saavad enamik kasutajaid:<br />
<br />
1.Kasutajad, kes ei ole sisse logitud.<br />
<br />
2.Kasutajad, kes ei ole ühtegi kommentaari blogisse jätnud.<br />
<br />
3.Kasutajad, kes ei ole vaadanud salasõnaga kaitstud postitusi.<br />
<br />
<br />
Suuremale osale kasutajatele antakse staatilisi html faile. Need kasutajad kellele ei edastata puhverdatud lehti siiski saavad kasu, kuna nemad näevad väheke teistsuguseid puverdatud faile, mis küll ei ole nii effektiivsed kuid siiski paremad kui täiesti puhverdamata failid.<br />
<br />
'''Paigaldamine'''<br />
<br />
[[File:Wordpress_Plugins.png|right|]]<br />
<br />
<br />
<br />
[[File:Wordpress_search.png|400px|thumb|right]]<br />
<br />
<br />
''Super Cache''-i paigaldamiseks tuleb sisse logida admin-paneeli. Siis vasakult nimekirjast valida '''''Plugins'''''-i alt '''Add new'''.<br />
<br />
[[File:Install_wordpress.png|400px|thumb|right|]]<br />
<br />
[[File:Activate_wordpress.png|400px|thumb|right|]]<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Siis kirjutada otsingusse "'''WP Super Cache'''".<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Pärast seda valida nimekirjast ''Super Cache'' ning vajutada "'''Install now'''".<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Pärast seda "'''Activate the Plugin'''".<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
[[File:Permset.png|400px|thumb|right|]]<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Pärast seda ilmub "Permlink Structure error", see on see tõttu,et ''Super Cache''-i toimimiseks on vajalik valida '''''Custom structure''''' ''Permalink''-i seadete alt ning sisestada sinna '''/index.php/?p=%post_id%'''<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Edasi vali vasakult '''''Settings'''''-u alt '''WP Super Cache'''.<br />
Nüüd ütleb wordpress,et "WP_CACHE constant set to false" selle muutmiseks tuleb käsurealt avada wp-config-php fail:<br />
<br />
nano /var/www/wordpress/wp-config.php<br />
<br />
ning sinna lisada rida: <br />
<br />
define('WP_CACHE', true);<br />
<br />
Pärast seda salvestada wp-config.php ning brauseris tuleks refresh teha.<br />
<br />
Lisaks tuleb muuta .htaccess faili sisu mis peaks välja nägema selline:<br />
<br />
# BEGIN WordPress<br />
<IfModule mod_rewrite.c><br />
RewriteEngine On<br />
RewriteBase /<br />
RewriteRule ^index\.php$ - [L]<br />
RewriteCond %{REQUEST_FILENAME} !-f<br />
RewriteCond %{REQUEST_FILENAME} !-d<br />
RewriteRule . /index.php [L]<br />
</IfModule><br />
# END WordPress<br />
<br />
kuna wordpress tahab .htaccess faili ka ise muuta aegajalt siis on hea panna htaccessi õigused 777 peale käsuga:<br />
chmod 777 .htaccess<br />
<br />
Pärast konfimist tuleks '''kindlasti''' .htaccess õigused vähemaks võtta kuna konstantselt ei pea õigused 777 peal olema, need on tarvilikud vaid konfi ajaks.<br />
<br />
'''Jõudluse võrdlus SuperCache-iga ja ilma'''<br />
Supercache-iga<br />
Benchmarking www.itkool.ee (be patient)<br />
Completed 100 requests<br />
Completed 200 requests<br />
Finished 200 requests<br />
<br />
<br />
Server Software: Apache/2.2.17<br />
Server Hostname: www.itkool.ee<br />
Server Port: 80<br />
<br />
Document Path: /<br />
Document Length: 9554 bytes<br />
<br />
Concurrency Level: 200<br />
Time taken for tests: 1.457 seconds<br />
Complete requests: 200<br />
Failed requests: 0<br />
Write errors: 0<br />
Total transferred: 1971800 bytes<br />
HTML transferred: 1910800 bytes<br />
Requests per second: 137.30 [#/sec] (mean)<br />
Time per request: 1456.617 [ms] (mean)<br />
Time per request: 7.283 [ms] (mean, across all concurrent requests)<br />
Transfer rate: 1321.96 [Kbytes/sec] received<br />
Connection Times (ms)<br />
min mean[+/-sd] median max<br />
Connect: 7 10 2.1 10 14<br />
Processing: 55 798 409.6 821 1441<br />
Waiting: 8 751 410.1 770 1437<br />
Total: 68 808 407.6 831 1447<br />
Percentage of the requests served within a certain time (ms)<br />
50% 831<br />
66% 1036<br />
75% 1159<br />
80% 1236<br />
90% 1366<br />
95% 1434<br />
98% 1445<br />
99% 1446<br />
100% 1447 (longest request)<br />
<br />
ilma:<br />
<br />
Benchmarking www.itkool.ee (be patient)<br />
Completed 100 requests<br />
Completed 200 requests<br />
Finished 200 requests<br />
<br />
<br />
Server Software: Apache/2.2.17<br />
Server Hostname: www.itkool.ee<br />
Server Port: 80<br />
<br />
Document Path: /<br />
Document Length: 9413 bytes<br />
<br />
Concurrency Level: 20<br />
Time taken for tests: 25.600 seconds<br />
Complete requests: 200<br />
Failed requests: 172<br />
(Connect: 0, Receive: 0, Length: 172, Exceptions: 0)<br />
Write errors: 0<br />
Total transferred: 1932771 bytes<br />
HTML transferred: 1882571 bytes<br />
Requests per second: 7.81 [#/sec] (mean)<br />
Time per request: 2560.029 [ms] (mean)<br />
Time per request: 128.001 [ms] (mean, across all concurrent requests)<br />
Transfer rate: 73.73 [Kbytes/sec] received<br />
<br />
Connection Times (ms)<br />
min mean[+/-sd] median max<br />
Connect: 0 1 1.4 0 5<br />
Processing: 803 2522 572.9 2485 4346<br />
Waiting: 648 2126 526.2 2053 4000<br />
Total: 807 2523 572.5 2485 4346<br />
<br />
Percentage of the requests served within a certain time (ms)<br />
50% 2485<br />
66% 2557<br />
75% 2690<br />
80% 2740<br />
90% 3120<br />
95% 3624<br />
98% 4261<br />
99% 4272<br />
100% 4346 (longest request)<br />
<br />
<br />
'''Ühenduse probleemid'''<br />
<br />
Juhul kui esineb probleem,et serverile on määratud uus ip-aadress ning ip-aadressile minnes näidatakse vanalt ip-aadressilt pärit cache'i sisu siis sellest probleemist mööda saamiseks tuleb käsurealt muuta wp-config.php faili:<br />
<br />
nano /var/www/wordpress/wp-config.php<br />
<br />
ning sealt seest:<br />
<br />
define('WP_CACHE', false); #See tuleb kindlasti tagasi muuta "true"-ks pärast ühenduse saamist.<br />
<br />
Nüüd peaks wordpress jälle näitama uut sisu. Juhul kui siiski on probleeme ning juhul kui '''andmebaas on tühi''' siis võib ka sql-is teha järgmist:<br />
<br />
'''NB Seda teha ainult siis kui andmebaas on tühi!!!'''<br />
<source lang="mysql"><br />
drop database student_wordpress;<br />
</source><br />
ning siis uuesti:<br />
<source lang="mysql"><br />
create database student_wordpress:<br />
</source><br />
Pärast andmebaasi loomist teha apache-ile restart:<br />
<br />
service apache2 restart <br />
<br />
Ja tuleb uuesti seadistada wordpressi lehekülg.<br />
<br />
== Iptables ==<br />
<br />
'''Laboris tuleb kasutada enda arvuti IP'd!'''<br />
<br />
Teie '''iptables.conf''' fail peab välja nägema nii nagu näidatud allpool:<br />
<br />
<pre><br />
-A INPUT -s 192.168.6.101/32 -p tcp -m tcp --dport 8000 -j ACCEPT <br />
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT <br />
-A INPUT -s 192.168.6.1/32 -p tcp -m tcp --dport 22 -j ACCEPT <br />
-A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied:" --log-level 7<br />
-A INPUT -p tcp -m tcp --dport 80 -m connlimit --connlimit-above 10 --connlimit-mask 32 -j REJECT --reject-with icmp-port-unreachable<br />
-A INPUT -s 192.168.6.101/32 -j ACCEPT <br />
-A INPUT -m state --state ESTABLISHED -j ACCEPT <br />
-A OUTPUT -o lo -j ACCEPT <br />
COMMIT<br />
</pre><br />
<br />
'''Räägime täpsemalt milleks need reeglid vaja on.'''<br />
<br />
Kui tahame varnish'it kasutada, tuleb lubada porti 8000:<br />
<pre><br />
iptables -A INPUT -s 192.168.6.101/32 -p tcp -m tcp --dport 8000 -j ACCEPT<br />
</pre><br />
<br />
Lubame weebiserveri:<br />
<pre><br />
iptables -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT<br />
</pre><br />
<br />
SSH lubamiseks sellest IP-st:<br />
<pre><br />
iptables -A INPUT -s 192.168.6.1/32 -p tcp -m tcp --dport 22 -j ACCEPT<br />
</pre><br />
<br />
Näidises on pandud connection limitiks 10, testimiseks seda piisab küll aga seda arvu võib muuta suuremaks, näiteks suurtes ettevõttetes kliendid kes istuvad NAT'i taga, ei saa liigi leheküljele, sest connection limit ühest IP-st on piiratud 10-ga. Ainult 10 klienti saab korraga vaatada veebilehti.<br />
See rida annab võimalust katkestada ühendusi mille arv on üle 10 pordis 80:<br />
<pre><br />
iptables -A INPUT -p tcp -m tcp --dport 80 -m connlimit --connlimit-above 10 --connlimit-mask 32 -j REJECT --reject-with icmp-port-unreachable<br />
</pre><br />
<br />
Praegu meil ei salvestatakse logi failid. Kui tahame näha täpsemalt millised paketid vistakse minema, peame lubama logimist:<br />
<pre><br />
iptables -A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied:" --log-level 7<br />
</pre><br />
<br />
<pre><br />
iptables -A INPUT -s 192.168.6.101/32 -j ACCEPT<br />
</pre><br />
<br />
Väljaminevate ühenduste jaoks tagasi tulnud pakette lubamiseks:<br />
<pre><br />
iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT<br />
</pre><br />
<br />
On alati tervislik lubada localhost õue: <br />
<pre><br />
iptables -A OUTPUT -o lo -j ACCEPT <br />
</pre><br />
<br />
= Teised turvameetodid = <br />
<br />
On olemas mitmeid erinevaid võimalusi, kuidas veel saab oma wordpressi veebilehe turvata.<br />
<br />
== Späm filter ==<br />
<br />
Akismet (Automattic Kismet) on spämmi filter. Antud teenus püüab filtreerida spämmi mis tuleb blogi kommentaaridest ja TrackPack pingidest. Filter kombineerib informatsiooni mis ta kogus kõikidest blogidest ja kasutab need spämmi reegleid, et blokeerida tuleviku spämmi. Akismet on loodud Automattic firma poolt, ettevõtte mis keskendub vaba-tarkvara arendamisele WordPressi platformi jaoks. Akismet tuli välja 25. oktroobril aastal 2005 ja seisuga Aprill 2011 juba püüdis üle 25 miljardi spämmi kommentaare ja pinge.<br />
<br />
Akisment on WordPressi sisseehitatud aga vaikimisi on ta välja lülitatud, kuna selle sisse lülitamine nõuab võtmegas audentimist. Blogi administratoor peab ise antud teenust aktiveerima. <br />
Selleks, et aktiveerida Akismeti, on vaja:<br />
<br />
1) Administraatoori paneelis on vaja valida '''Plugins - Installed''' <br />
<br />
2) Linnuke Akismeti juurde ja valida '''"Activate"'''<br />
<br />
3) Nüüd peab sisestama Akismeti API võtme. Võtme saab tasuta tellida Akismeti ametlikult veebilehelt.<br />
<br />
4) Vajuta '''"Update options"'''<br />
<br />
5) Akismeti spämmi filter on sisselülitatud.<br />
<br />
Nüüd on vaja mõned postituse reegleid konfigureerida. Selleks on vaja valida '''Settings - Discussion''' menüü alt ja välja lülitada: '''An administrator must always approve the comment'''.<br />
<br />
Nüüd ei pea administraator isiklikult iga kommentaari läbi vaatama ja kinnitama. Antud tööga hakkab tegelema Akismet.<br />
<br />
== Anti-bot lahendus ==<br />
<br />
On olemas mitmeid erinevaid võimalusi kuidas saab kindlaks teha, et kasutaja, kes postitab on inimene. Selle jaoks on igasuguseid captcha meetodeid, näiteks kasutaja peab sisestama juhuslikult kombineeritud teksti või lahendama mingeid lihtsaid matemaatilisi võrrandeid. Antud meetodid ei ole eriti "sõbralikud", sest vahel tekivad probleemid kasutajatele, eriti nendele, kes ei suuda korralikult näha märke.<br />
<br />
Palju sõbralikum ja lihtsam anti-bot meetod on lahendus, kus kasutaja peab märkima linnukese kommentaari alla. Selle jaoks wordpressil on plugin Growmap Anti Spambot Plugin. Plugini installeerimiseks on vaja:<br />
<br />
1) Mine oma wordpress plugin kataloogisse<br />
<br />
<pre>cd /var/www/wp-content/plugins/</pre><br />
<br />
2) Käsuga wget allalaadime plugini<br />
<br />
<pre>wget http://downloads.wordpress.org/plugin/growmap-anti-spambot-plugin.1.1.zip</pre><br />
<br />
3) Pakime lahti antud arhiivi<br />
<br />
<pre>unzip growmap-anti-spambot-plugin.1.1.zip</pre><br />
<br />
Nüüd tuleb minna tagasi oma wordpress administratoori menüüsse ja aktiveerida see plugin.<br />
<br />
== IP kontroll ==<br />
<br />
Tihti on vaja turvata väga vajalikke faile. Selle jaoks on vaja:<br />
<br />
1) Mine oma wordpress kataloogi<br />
<br />
<pre>cd /var/www/wordpress</pre><br />
<br />
2) Teeme .htaccess faile. Antud teksti-fail wordpress kasutab oma reeglite jaoks. <br />
<br />
<pre>touch .htaccess</pre><br />
<br />
3) Kirjuta järgmised reegleid:<br />
<br />
Esiteks, kaitseme meie .htaccess faile, et keegi ei saaks selle vaadata.<br />
<br />
<pre><br />
#protect the htaccess file<br />
<files .htaccess><br />
order allow,deny<br />
deny from all<br />
</files><br />
</pre><br />
<br />
Kaitseme meie admin logini, selleks et adminina saab logida ainult määratud IP aadressilt.<br />
<br />
<pre><br />
<files wp-login.php><br />
Order Deny,Allow<br />
Deny from All<br />
Allow from 192.168.6.2<br />
</files><br />
</pre><br />
<br />
WPconfig on teine väga oluline fail. Seda tuleb ka kaitsta:<br />
<br />
<pre><br />
#protect wpconfig.php<br />
<files wp-config.php><br />
Order Deny,Allow<br />
Deny from All<br />
allow from 192.168.6.2<br />
</files><br />
</pre><br />
<br />
Nüüd tuleb '''wp-admin''' kataloogis teha veel uue '''.htaccess''' faili ja kirjutada järgmised reegleid:<br />
<br />
<pre><br />
AuthUserFile /dev/null<br />
AuthGroupFile /dev/null<br />
AuthName "WordPress Admin Access Control"<br />
AuthType Basic<br />
<LIMIT GET><br />
order deny,allow<br />
deny from all<br />
#kirjuta oma IP<br />
allow from 192.168.6.2<br />
</LIMIT><br />
</pre><br />
<br />
<br />
http://wptidbits.com/tutorials/21-most-popular-htaccess-hacks-for-wordpress/<br />
<br />
=Autorid=<br />
<br />
'''Wordpressi paigaldus ja konfigureerimine''' - Risto Siitan A32<br />
<br />
'''mod_evasive paigaldus ja konfigureerimine''' - Meelis Tamm, A31. Allikas: [http://acidborg.wordpress.com/2009/06/25/installation-configuration-of-mod_evasive-in-ubuntu-server-9-04/]<br />
<br />
'''Varnish Cache-i paigaldamine ja konfigureerimine''' - Jaan Vahtre A31 ja Vadim Vinogradin A31<br />
<br />
'''Super Cache''' - Kristjan Vask A31 Risto Siitan A32<br />
<br />
'''Iptables''' - Sergei Barol A31<br />
<br />
'''Teised turvameetodid''' - Vladimir Kolesnik A32<br />
<br />
[[Category:IT infrastruktuuri teenused]]</div>Sbarolhttps://wiki.itcollege.ee/index.php?title=WordPress_turvamine&diff=44033WordPress turvamine2011-12-07T09:22:06Z<p>Sbarol: /* Iptables */</p>
<hr />
<div>'''!NB Kõik õpetused on tehtud kasutades Ubuntu Server 11.04'''<br />
<br />
Viimati muudetud [[User:Metamm|Metamm]] 11:03, 1 December 2011 (EET)<br />
<br />
== Wordpressi paigaldus ja konfigureerimine ==<br />
<br />
Antud toimingud tuleks teha root õigustes.<br />
<br />
Mine root-iks:<br />
sudo -i<br />
<br />
<br />
Tee update kohalike pakettide cache<br />
aptitude update<br />
<br />
<br />
Tee upgrade pakettidele:<br />
aptitude full-upgrade<br />
<br />
Paigalda acpid daemon<br />
aptitude install acpid<br />
<br />
<br />
Installi apache2 veebi server,mysql andmebaasi server, openssh server, php5 skriptimis keel ning apache2-utils(Apache benchmark tool)<br />
aptitude install apache2 mysql-server ssh php5 php5-mysql apache2-utils<br />
<br />
<br />
Tõmba alla kõige hilisem .tar fail wordpress.org-ist:<br />
wget http://wordpress.org/latest.tar.gz<br />
<br />
<br />
<br />
Paki lahti wordpressi failid /var/www kausta:<br />
sudo tar zxvf latest.tar.gz --directory=/var/www/<br />
<br />
<br />
Logi mysql-i sisse:<br />
<br />
mysql -u root -p<br />
<br />
Loo andmebaas student_wordpress:<br />
<source lang="mysql"><br />
create database student_wordpress;<br />
</source><br />
Loo kasutaja student:<br />
<source lang="mysql"><br />
create user student;<br />
</source><br />
Anna kõik õigused student kasutajale:<br />
<source lang="mysql"><br />
GRANT ALL PRIVILEGES ON student_wordpress.* TO student@localhost IDENTIFIED BY ‘student’;<br />
</source><br />
Välju mysql-ist:<br />
<source lang="mysql"><br />
quit;<br />
</source><br />
<br />
Loo uus default veebi saidil põhinev veebi sait:<br />
<br />
cp /etc/apache2/sites-available/default /etc/apache2/sites-available/wp<br />
<br />
<br />
Muuda ära DocumentRoot /etc/apache2/sites-avalible/wp failis:<br />
<br />
nano /etc/apache2/sites-avalible/wp<br />
<br />
Lisa DocumentRoot /var/www rea lõppu DocumentRoot /var/www/wordpress<br />
DocumentRoot /var/www/wordpress<br />
<br />
<br />
<br />
Keela ära tavaline default veebi sait(seda ei ole vaja antud paigalduses):<br />
<br />
a2dissite default<br />
<br />
<br />
Luba wordpress-i veebisait<br />
<br />
a2ensite wp<br />
<br />
Tee apache-ile restart<br />
<br />
service apache2 restart<br />
<br />
Muuda wordpress konfiguratsiooni faili:<br />
<br />
nano /var/www/wordpress/wp-config-sample.php<br />
<br />
Muuda DB_NAME, DB_USER, DB_PASSWORD vastavalt näitele:<br />
<br />
<source lang="php">define('DB_NAME', 'student_wordpress');<br />
<br />
/** MySQL database username */<br />
define('DB_USER', 'student');<br />
<br />
/** MySQL database password */<br />
define('DB_PASSWORD', 'student');<br />
</source><br />
<br />
Kopeeri uus konfiguratsiooni fail wordpressi konfiguratsiooni failiks:<br />
<br />
cp /var/www/wordpress/wp-config-sample.php /var/www/wordpress/wp-config.php<br />
<br />
<br />
Tee apache2 service-ile reload<br />
<br />
service apache2 reload<br />
<br />
Mine wordpressi saidile kasutades host-i IP aadressi(antud näites:192.168.56.102);<br />
<br />
http://192.168.56.102<br />
<br />
<br />
Vali saidi nimi, kasutajanimi, salasõna ning meili aadress.<br />
<br />
Vali install<br />
<br />
Installi lõppedes tee kindlaks,et kõik toimib(logi sisse, vaata wp verisooni ilmselt midagi sellist: You are using WordPress 3.2.1.)<br />
<br />
== mod_evasive paigaldus ja konfigureerimine ==<br />
<br />
=== Sissejuhatus ===<br />
<br />
Mod_evasive on lisamoodul Apache'i veebiserveri jaoks, mille abil on võimalik vähendada või täielikult tõrjuda<br />
HTTP DoS, DDos või brute force rünnakute mõju. Ühtlasi saab seda kasutada ka monitooringu teostamiseks,<br />
kuna moodulit on lihtne panna suhtlema erinevate tulemüüride ja ruuteritega.<br />
<br />
Monitooring baseerub dünaamilisel IP aadressitest ja URI-dest koosneval räsitabelil,<br />
kust siis keelatakse IP aadressid, mis:<br />
<br />
*küsivad ühte lehte rohkem kui paar korda sekundis<br />
*teevad rohkem kui 50 üheaegset requesti sama laps-protsessi vastu<br />
*üritavad teha ükskõik millist requesti samal ajal kui nad on mustas nimekirjas<br />
<br />
=== Paigaldus ===<br />
<br />
Paigaldamine Ubuntu 11.04 serverile on küllaltki lihtne<br />
<br />
apt-get install libapache2-mod-evasive<br />
<br />
=== Konfigureerimine ===<br />
<br />
Kõigepealt on viisakas luua koht, kuhu antud moodul oma logi saaks salvestada<br />
mkdir /var/log/apache2/mod_evasive<br />
chown www-data:www-data /var/log/apache2/mod_evasive<br />
<br />
'''NB! Logimine praegu ei tööta'''<br />
<br />
Mod_evasive moodulil ei lubata antud kausta kirjutada<br />
Couldn't open logfile /var/log/apache2/mod_evasive/dos-192.168.6.13: Permission denied<br />
<br />
Nüüd jääb üle lisada vastavad read oma virtuaalsesse hosti (N:~/apache2/sites-enabled/wordpress lõppu)<br />
<br />
<ifmodule mod_evasive20.c><br />
DOSHashTableSize 3097<br />
DOSPageCount 2<br />
DOSSiteCount 50<br />
DOSPageInterval 1<br />
DOSSiteInterval 1<br />
DOSBlockingPeriod 10<br />
DOSLogDir /var/log/apache2/mod_evasive<br />
DOSEmailNotify root@localhost<br />
DOSWhitelist 127.0.0.1<br />
</ifmodule><br />
<br />
Antud väärtusi tuleks kohandada vastavalt vajadustele<br />
<br />
Parameetrite kirjeldused:<br />
<br />
*DOSHashTableSize: Räsitabeli suurus, kus IP aadresseid hoitakse.<br />
*DOSPageCount: Lehekülgede arv DOSPageInterval sekundis.<br />
*DOSPageInterval: Aeg sekundites, mida kasutab DOSPageCount.<br />
*DOSSiteCount: Objektide arv DOSSiteInterval sekundites.<br />
*DOSSiteInterval: Aeg sekundites, mida kasutab DOSSiteCount.<br />
*DOSBlockingPeriod: Aeg sekundites, kui kaua IP on bannitud. Kui IP üritab serverile selle aja see ligi pääseda, siis algab loendus ueusti nullist.<br />
*DOSLogDir: Valikuline. Kataloogitee, kuhu logi salvestatakse. Kui pole määratud kasutatakse /tmp.<br />
*DOSEmailNotify: Valikuline. Mail kuhu teated saadetakse.<br />
*DOSSystemCommand: Valikuline. Käsk mis käivitatakse, kui IP bannitakse. Näiteks:<br />
**DOSSystemCommand "/sbin/iptables -I INPUT -p tcp --dport 80 -s %s -j DROP"<br />
*DOSWhitelist: Valikuline. Nimekiri IP aadressitest, mida ei blokita.<br />
<br />
<br />
Kui konfigureerimine valmis, tuleb Apache serverlie teha restart<br />
<br />
/etc/init.d/apache2 restart<br />
VÕI<br />
service apache2 restart<br />
<br />
==Varnish Cache-i paigaldamine ja konfigureerimine==<br />
===Sissejuhatus===<br />
'''Varnish Cache''' – see on HTTP kiirendaja, seda on vaja selleks, et suurendada veebilehekülje kiirust. <br />
<br />
Varnish Cache salvestab mälus veebilehekülgi nii, et veebiserverid ei pea koguma samu lehekülgi uuesti. Seda on vaja selleks, et vähendada koormust I/O süsteemile.<br />
<br />
Varnish kontrollib cache'ist päringu olemasolu ning juhul kui selline leidub siis võetakse sealt päringu vastus ning saadetakse vastus kasutajale. Juhul kui cache'is ei ole konkreetset päringut saadetakse kasutaja päring ''backend''-i ning lisatakse cache'i koos vastusega.<br />
<br />
===Paigaldamine===<br />
Kui te soovite installida Varnishit, siis on vaja teha uuendusi. Selle käsu abil uuendame opsüsteemi:<br />
sudo apt-get update<br />
Paigaldamise käsk:<br />
sudo apt-get install varnish<br />
===Konfiguratsiooni muutmine===<br />
Esimene, mis me teeme on default pordi muutmine. Tuleb muuta faili '''/etc/default/varnish''':<br />
nano /etc/default/varnish<br />
<br />
Konfiguratsioon Varnishi jaoks kirjutatakse VCL keeles. <br />
<br />
Fail konfiguratsioonidega vaikimisi asub siin '''/etc/varnish/default.vcl'''<br />
Fail oleneb mitmest osadest, aga mis on vaja töötamise alguseks - see on backendi viitamine:<br />
<br />
'''Backend''' - see on server, kuhu varnish saadab päringut, kui tal ei ole vastavad andmeid cache-is.<br />
<br />
Kopeerige fail '''/etc/varnish/default.vcl''' ja andke teine nimetus<br />
cp /etc/varnish/default.vcl /etc/varnish/itkool.vcl<br />
<br />
Ava fail '''/etc/varnish/itkool.vcl''' ja sisesta <br />
nano /etc/varnish/itkool.vcl<br />
<br />
<pre><br />
## Redirect requests to Apache, running on port 8000 on localhost<br />
backend apache {<br />
.host = "127.0.0.1";<br />
.port = "8000";<br />
}<br />
## Fetch<br />
sub vcl_fetch {<br />
## Remove the X-Forwarded-For header if it exists.<br />
remove req.http.X-Forwarded-For;<br />
<br />
## insert the client IP address as X-Forwarded-For. This is the normal IP address of the user.<br />
set req.http.X-Forwarded-For = req.http.rlnclientipaddr;<br />
## Added security, the "w00tw00t" attacks are pretty annoying so lets block it before it reaches our webserver<br />
if (req.url ~ "^/w00tw00t") {<br />
error 403 "Not permitted";<br />
}<br />
## Deliver the content<br />
return(deliver);<br />
}<br />
<br />
## Deliver<br />
sub vcl_deliver {<br />
## We'll be hiding some headers added by Varnish. We want to make sure people are not seeing we're using Varnish.<br />
## Since we're not caching (yet), why bother telling people we use it?<br />
remove resp.http.X-Varnish;<br />
remove resp.http.Via;<br />
remove resp.http.Age;<br />
<br />
## We'd like to hide the X-Powered-By headers. Nobody has to know we can run PHP and have version xyz of it.<br />
remove resp.http.X-Powered-By;<br />
}<br />
</pre><br />
Salvesta fail CTRL + O käsuga<br />
<br />
===Apache konfiguratsiooni muutmine===<br />
Ava fail '''/etc/apache2/ports.conf''' ja leia<br />
nano /etc/apache2/ports.conf<br />
<br />
<pre><br />
NameVirtualHost *:80<br />
Listen 192.168.6.101:80<br />
</pre><br />
'''192.168.6.101''' - veebiserveri IP aadress.<br />
<br />
Muuda <br />
<br />
<pre><br />
NameVirtualHost *:8000<br />
Listen 192.168.6.101:8000<br />
</pre><br />
Ava fail '''/etc/apache2/sites-available/wp''' ja leia<br />
<br />
<pre><br />
<VirtualHost *:80><br />
ServerAdmin webmaster@localhost<br />
<br />
</pre><br />
<br />
Muuda<br />
<pre><br />
VirtualHost *:8000><br />
ServerAdmin webmaster@localhost<br />
</pre><br />
<br />
Paigaldame lisa Apache mooduli veendumaks, kas kasutaja IP aadress lahendatakse korrektselt. Kuna Varnish on lähedalt seotud apache2-ga, näete külastaja Ip-na 127.0.0.1<br />
nano apt-get install libapache2-mod-rpaf<br />
<br />
'''RPAF''' (Reverse Proxy Add Forward) moodul holitseb selle eest, et localhosti IP vahetatakse ära IP-ga, mis on seadistatud X-Forwarded-For failis.<br />
<br />
===Deemonide restart===<br />
Restart Apache server:<br />
/etc/init.d/apache2 restart<br />
<br />
Kontrolli kas on olemas IP portid: <br />
netstat -lp | grep apache2<br />
<br />
Kui te näete, siis kõik on korras<br />
tcp 0 0 *:https *:* LISTEN 843/apache2 <br />
tcp 0 0 192.168.6.101:8000 *:* LISTEN 843/apache2 <br />
<br />
Kui ei näita niimodi, siis on viga. Praegu teeme Varnishile restardi, et kuulata teema pordis 80<br />
/etc/init.d/varnish restart <br />
<br />
Kontrolli <br />
netstat -lp | grep varnish<br />
tcp 0 0 *:www *:* LISTEN 781/varnishd <br />
tcp 0 0 localhost:6082 *:* LISTEN 779/varnishd <br />
tcp6 0 0 [::]:www [::]:* LISTEN 781/varnishd<br />
<br />
Varnish on sätitud Apache-is. Külasta saiti ja vaata, kas toimib, kuid üldjuhul ei saa Te aru, et midagi oleks muutunud. Kui sa tõmbad Apache maha, siis näed lehel Varnishi errorit.<br />
<br />
http://www.howtoforge.com/putting-varnish-in-front-of-apache-on-ubuntu-debian<br />
<br />
== Super Cache ==<br />
<br />
'''Sissejuhatus'''<br />
<br />
''Super Cache'' on Wordpressi väga kiire puhvri mootor, mis loob staatilisi html faile.<br />
<br />
See pistikprogramm genereerib staatilisi html faile dünaamilisest Wordpressi blogist. Pärast seda kui html fail on loodud, annab veebiserver seda faili kasutajatele, selle asemel,et loob iga kord uue lehe vastavalt Wordpressi php skritpidele. Suure koormuse puhul on ''Super Cache'' väga kasulik, kuna nagu ka hiljem on testi tulemustest näha siis serverilt vastuse saamiseks kuluv aeg on mitu korda väiksem.<br />
<br />
Staatilisi html-e saavad enamik kasutajaid:<br />
<br />
1.Kasutajad, kes ei ole sisse logitud.<br />
<br />
2.Kasutajad, kes ei ole ühtegi kommentaari blogisse jätnud.<br />
<br />
3.Kasutajad, kes ei ole vaadanud salasõnaga kaitstud postitusi.<br />
<br />
<br />
Suuremale osale kasutajatele antakse staatilisi html faile. Need kasutajad kellele ei edastata puhverdatud lehti siiski saavad kasu, kuna nemad näevad väheke teistsuguseid puverdatud faile, mis küll ei ole nii effektiivsed kuid siiski paremad kui täiesti puhverdamata failid.<br />
<br />
'''Paigaldamine'''<br />
<br />
[[File:Wordpress_Plugins.png|right|]]<br />
<br />
<br />
<br />
[[File:Wordpress_search.png|400px|thumb|right]]<br />
<br />
<br />
''Super Cache''-i paigaldamiseks tuleb sisse logida admin-paneeli. Siis vasakult nimekirjast valida '''''Plugins'''''-i alt '''Add new'''.<br />
<br />
[[File:Install_wordpress.png|400px|thumb|right|]]<br />
<br />
[[File:Activate_wordpress.png|400px|thumb|right|]]<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Siis kirjutada otsingusse "'''WP Super Cache'''".<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Pärast seda valida nimekirjast ''Super Cache'' ning vajutada "'''Install now'''".<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Pärast seda "'''Activate the Plugin'''".<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
[[File:Permset.png|400px|thumb|right|]]<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Pärast seda ilmub "Permlink Structure error", see on see tõttu,et ''Super Cache''-i toimimiseks on vajalik valida '''''Custom structure''''' ''Permalink''-i seadete alt ning sisestada sinna '''/index.php/?p=%post_id%'''<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Edasi vali vasakult '''''Settings'''''-u alt '''WP Super Cache'''.<br />
Nüüd ütleb wordpress,et "WP_CACHE constant set to false" selle muutmiseks tuleb käsurealt avada wp-config-php fail:<br />
<br />
nano /var/www/wordpress/wp-config.php<br />
<br />
ning sinna lisada rida: <br />
<br />
define('WP_CACHE', true);<br />
<br />
Pärast seda salvestada wp-config.php ning brauseris tuleks refresh teha.<br />
<br />
Lisaks tuleb muuta .htaccess faili sisu mis peaks välja nägema selline:<br />
<br />
# BEGIN WordPress<br />
<IfModule mod_rewrite.c><br />
RewriteEngine On<br />
RewriteBase /<br />
RewriteRule ^index\.php$ - [L]<br />
RewriteCond %{REQUEST_FILENAME} !-f<br />
RewriteCond %{REQUEST_FILENAME} !-d<br />
RewriteRule . /index.php [L]<br />
</IfModule><br />
# END WordPress<br />
<br />
kuna wordpress tahab .htaccess faili ka ise muuta aegajalt siis on hea panna htaccessi õigused 777 peale käsuga:<br />
chmod 777 .htaccess<br />
<br />
Pärast konfimist tuleks '''kindlasti''' .htaccess õigused vähemaks võtta kuna konstantselt ei pea õigused 777 peal olema, need on tarvilikud vaid konfi ajaks.<br />
<br />
'''Jõudluse võrdlus SuperCache-iga ja ilma'''<br />
Supercache-iga<br />
Benchmarking www.itkool.ee (be patient)<br />
Completed 100 requests<br />
Completed 200 requests<br />
Finished 200 requests<br />
<br />
<br />
Server Software: Apache/2.2.17<br />
Server Hostname: www.itkool.ee<br />
Server Port: 80<br />
<br />
Document Path: /<br />
Document Length: 9554 bytes<br />
<br />
Concurrency Level: 200<br />
Time taken for tests: 1.457 seconds<br />
Complete requests: 200<br />
Failed requests: 0<br />
Write errors: 0<br />
Total transferred: 1971800 bytes<br />
HTML transferred: 1910800 bytes<br />
Requests per second: 137.30 [#/sec] (mean)<br />
Time per request: 1456.617 [ms] (mean)<br />
Time per request: 7.283 [ms] (mean, across all concurrent requests)<br />
Transfer rate: 1321.96 [Kbytes/sec] received<br />
Connection Times (ms)<br />
min mean[+/-sd] median max<br />
Connect: 7 10 2.1 10 14<br />
Processing: 55 798 409.6 821 1441<br />
Waiting: 8 751 410.1 770 1437<br />
Total: 68 808 407.6 831 1447<br />
Percentage of the requests served within a certain time (ms)<br />
50% 831<br />
66% 1036<br />
75% 1159<br />
80% 1236<br />
90% 1366<br />
95% 1434<br />
98% 1445<br />
99% 1446<br />
100% 1447 (longest request)<br />
<br />
ilma:<br />
<br />
Benchmarking www.itkool.ee (be patient)<br />
Completed 100 requests<br />
Completed 200 requests<br />
Finished 200 requests<br />
<br />
<br />
Server Software: Apache/2.2.17<br />
Server Hostname: www.itkool.ee<br />
Server Port: 80<br />
<br />
Document Path: /<br />
Document Length: 9413 bytes<br />
<br />
Concurrency Level: 20<br />
Time taken for tests: 25.600 seconds<br />
Complete requests: 200<br />
Failed requests: 172<br />
(Connect: 0, Receive: 0, Length: 172, Exceptions: 0)<br />
Write errors: 0<br />
Total transferred: 1932771 bytes<br />
HTML transferred: 1882571 bytes<br />
Requests per second: 7.81 [#/sec] (mean)<br />
Time per request: 2560.029 [ms] (mean)<br />
Time per request: 128.001 [ms] (mean, across all concurrent requests)<br />
Transfer rate: 73.73 [Kbytes/sec] received<br />
<br />
Connection Times (ms)<br />
min mean[+/-sd] median max<br />
Connect: 0 1 1.4 0 5<br />
Processing: 803 2522 572.9 2485 4346<br />
Waiting: 648 2126 526.2 2053 4000<br />
Total: 807 2523 572.5 2485 4346<br />
<br />
Percentage of the requests served within a certain time (ms)<br />
50% 2485<br />
66% 2557<br />
75% 2690<br />
80% 2740<br />
90% 3120<br />
95% 3624<br />
98% 4261<br />
99% 4272<br />
100% 4346 (longest request)<br />
<br />
<br />
'''Ühenduse probleemid'''<br />
<br />
Juhul kui esineb probleem,et serverile on määratud uus ip-aadress ning ip-aadressile minnes näidatakse vanalt ip-aadressilt pärit cache'i sisu siis sellest probleemist mööda saamiseks tuleb käsurealt muuta wp-config.php faili:<br />
<br />
nano /var/www/wordpress/wp-config.php<br />
<br />
ning sealt seest:<br />
<br />
define('WP_CACHE', false); #See tuleb kindlasti tagasi muuta "true"-ks pärast ühenduse saamist.<br />
<br />
Nüüd peaks wordpress jälle näitama uut sisu. Juhul kui siiski on probleeme ning juhul kui '''andmebaas on tühi''' siis võib ka sql-is teha järgmist:<br />
<br />
'''NB Seda teha ainult siis kui andmebaas on tühi!!!'''<br />
<source lang="mysql"><br />
drop database student_wordpress;<br />
</source><br />
ning siis uuesti:<br />
<source lang="mysql"><br />
create database student_wordpress:<br />
</source><br />
Pärast andmebaasi loomist teha apache-ile restart:<br />
<br />
service apache2 restart <br />
<br />
Ja tuleb uuesti seadistada wordpressi lehekülg.<br />
<br />
== Iptables ==<br />
<br />
'''Laboris tuleb kasutada enda IP'd!'''<br />
<br />
Teie '''iptables.conf''' fail peab välja nägema nii nagu näidatud allpool:<br />
<br />
<pre><br />
-A INPUT -s 192.168.6.101/32 -p tcp -m tcp --dport 8000 -j ACCEPT <br />
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT <br />
-A INPUT -s 192.168.6.1/32 -p tcp -m tcp --dport 22 -j ACCEPT <br />
-A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied:" --log-level 7<br />
-A INPUT -p tcp -m tcp --dport 80 -m connlimit --connlimit-above 10 --connlimit-mask 32 -j REJECT --reject-with icmp-port-unreachable<br />
-A INPUT -s 192.168.6.101/32 -j ACCEPT <br />
-A INPUT -m state --state ESTABLISHED -j ACCEPT <br />
-A OUTPUT -o lo -j ACCEPT <br />
COMMIT<br />
</pre><br />
<br />
'''Räägime täpsemalt milleks need reeglid vaja on.'''<br />
<br />
Kui tahame varnish'it kasutada, tuleb lubada porti 8000:<br />
<pre><br />
iptables -A INPUT -s 192.168.6.101/32 -p tcp -m tcp --dport 8000 -j ACCEPT<br />
</pre><br />
<br />
Lubame weebiserveri:<br />
<pre><br />
iptables -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT<br />
</pre><br />
<br />
SSH lubamiseks sellest IP-st:<br />
<pre><br />
iptables -A INPUT -s 192.168.6.1/32 -p tcp -m tcp --dport 22 -j ACCEPT<br />
</pre><br />
<br />
Näidises on pandud connection limitiks 10, testimiseks seda piisab küll aga seda arvu võib muuta suuremaks, näiteks suurtes ettevõttetes kliendid kes istuvad NAT'i taga, ei saa liigi leheküljele, sest connection limit ühest IP-st on piiratud 10-ga. Ainult 10 klienti saab korraga vaatada veebilehti.<br />
See rida annab võimalust katkestada ühendusi mille arv on üle 10 pordis 80:<br />
<pre><br />
iptables -A INPUT -p tcp -m tcp --dport 80 -m connlimit --connlimit-above 10 --connlimit-mask 32 -j REJECT --reject-with icmp-port-unreachable<br />
</pre><br />
<br />
Praegu meil ei salvestatakse logi failid. Kui tahame näha täpsemalt millised paketid vistakse minema, peame lubama logimist:<br />
<pre><br />
iptables -A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied:" --log-level 7<br />
</pre><br />
<br />
<pre><br />
iptables -A INPUT -s 192.168.6.101/32 -j ACCEPT<br />
</pre><br />
<br />
Väljaminevate ühenduste jaoks tagasi tulnud pakette lubamiseks:<br />
<pre><br />
iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT<br />
</pre><br />
<br />
On alati tervislik lubada localhost õue: <br />
<pre><br />
iptables -A OUTPUT -o lo -j ACCEPT <br />
</pre><br />
<br />
= Teised turvameetodid = <br />
<br />
On olemas mitmeid erinevaid võimalusi, kuidas veel saab oma wordpressi veebilehe turvata.<br />
<br />
== Späm filter ==<br />
<br />
Akismet (Automattic Kismet) on spämmi filter. Antud teenus püüab filtreerida spämmi mis tuleb blogi kommentaaridest ja TrackPack pingidest. Filter kombineerib informatsiooni mis ta kogus kõikidest blogidest ja kasutab need spämmi reegleid, et blokeerida tuleviku spämmi. Akismet on loodud Automattic firma poolt, ettevõtte mis keskendub vaba-tarkvara arendamisele WordPressi platformi jaoks. Akismet tuli välja 25. oktroobril aastal 2005 ja seisuga Aprill 2011 juba püüdis üle 25 miljardi spämmi kommentaare ja pinge.<br />
<br />
Akisment on WordPressi sisseehitatud aga vaikimisi on ta välja lülitatud, kuna selle sisse lülitamine nõuab võtmegas audentimist. Blogi administratoor peab ise antud teenust aktiveerima. <br />
Selleks, et aktiveerida Akismeti, on vaja:<br />
<br />
1) Administraatoori paneelis on vaja valida '''Plugins - Installed''' <br />
<br />
2) Linnuke Akismeti juurde ja valida '''"Activate"'''<br />
<br />
3) Nüüd peab sisestama Akismeti API võtme. Võtme saab tasuta tellida Akismeti ametlikult veebilehelt.<br />
<br />
4) Vajuta '''"Update options"'''<br />
<br />
5) Akismeti spämmi filter on sisselülitatud.<br />
<br />
Nüüd on vaja mõned postituse reegleid konfigureerida. Selleks on vaja valida '''Settings - Discussion''' menüü alt ja välja lülitada: '''An administrator must always approve the comment'''.<br />
<br />
Nüüd ei pea administraator isiklikult iga kommentaari läbi vaatama ja kinnitama. Antud tööga hakkab tegelema Akismet.<br />
<br />
== Anti-bot lahendus ==<br />
<br />
On olemas mitmeid erinevaid võimalusi kuidas saab kindlaks teha, et kasutaja, kes postitab on inimene. Selle jaoks on igasuguseid captcha meetodeid, näiteks kasutaja peab sisestama juhuslikult kombineeritud teksti või lahendama mingeid lihtsaid matemaatilisi võrrandeid. Antud meetodid ei ole eriti "sõbralikud", sest vahel tekivad probleemid kasutajatele, eriti nendele, kes ei suuda korralikult näha märke.<br />
<br />
Palju sõbralikum ja lihtsam anti-bot meetod on lahendus, kus kasutaja peab märkima linnukese kommentaari alla. Selle jaoks wordpressil on plugin Growmap Anti Spambot Plugin. Plugini installeerimiseks on vaja:<br />
<br />
1) Mine oma wordpress plugin kataloogisse<br />
<br />
<pre>cd /var/www/wp-content/plugins/</pre><br />
<br />
2) Käsuga wget allalaadime plugini<br />
<br />
<pre>wget http://downloads.wordpress.org/plugin/growmap-anti-spambot-plugin.1.1.zip</pre><br />
<br />
3) Pakime lahti antud arhiivi<br />
<br />
<pre>unzip growmap-anti-spambot-plugin.1.1.zip</pre><br />
<br />
Nüüd tuleb minna tagasi oma wordpress administratoori menüüsse ja aktiveerida see plugin.<br />
<br />
== IP kontroll ==<br />
<br />
Tihti on vaja turvata väga vajalikke faile. Selle jaoks on vaja:<br />
<br />
1) Mine oma wordpress kataloogi<br />
<br />
<pre>cd /var/www/wordpress</pre><br />
<br />
2) Teeme .htaccess faile. Antud teksti-fail wordpress kasutab oma reeglite jaoks. <br />
<br />
<pre>touch .htaccess</pre><br />
<br />
3) Kirjuta järgmised reegleid:<br />
<br />
Esiteks, kaitseme meie .htaccess faile, et keegi ei saaks selle vaadata.<br />
<br />
<pre><br />
#protect the htaccess file<br />
<files .htaccess><br />
order allow,deny<br />
deny from all<br />
</files><br />
</pre><br />
<br />
Kaitseme meie admin logini, selleks et adminina saab logida ainult määratud IP aadressilt.<br />
<br />
<pre><br />
<files wp-login.php><br />
Order Deny,Allow<br />
Deny from All<br />
Allow from 192.168.6.2<br />
</files><br />
</pre><br />
<br />
WPconfig on teine väga oluline fail. Seda tuleb ka kaitsta:<br />
<br />
<pre><br />
#protect wpconfig.php<br />
<files wp-config.php><br />
Order Deny,Allow<br />
Deny from All<br />
allow from 192.168.6.2<br />
</files><br />
</pre><br />
<br />
Nüüd tuleb '''wp-admin''' kataloogis teha veel uue '''.htaccess''' faili ja kirjutada järgmised reegleid:<br />
<br />
<pre><br />
AuthUserFile /dev/null<br />
AuthGroupFile /dev/null<br />
AuthName "WordPress Admin Access Control"<br />
AuthType Basic<br />
<LIMIT GET><br />
order deny,allow<br />
deny from all<br />
#kirjuta oma IP<br />
allow from 192.168.6.2<br />
</LIMIT><br />
</pre><br />
<br />
<br />
http://wptidbits.com/tutorials/21-most-popular-htaccess-hacks-for-wordpress/<br />
<br />
=Autorid=<br />
<br />
'''Wordpressi paigaldus ja konfigureerimine''' - Risto Siitan A32<br />
<br />
'''mod_evasive paigaldus ja konfigureerimine''' - Meelis Tamm, A31. Allikas: [http://acidborg.wordpress.com/2009/06/25/installation-configuration-of-mod_evasive-in-ubuntu-server-9-04/]<br />
<br />
'''Varnish Cache-i paigaldamine ja konfigureerimine''' - Jaan Vahtre A31 ja Vadim Vinogradin A31<br />
<br />
'''Super Cache''' - Kristjan Vask A31 Risto Siitan A32<br />
<br />
'''Iptables''' - Sergei Barol A31<br />
<br />
'''Teised turvameetodid''' - Vladimir Kolesnik A32<br />
<br />
[[Category:IT infrastruktuuri teenused]]</div>Sbarolhttps://wiki.itcollege.ee/index.php?title=WordPress_turvamine&diff=44032WordPress turvamine2011-12-07T09:20:15Z<p>Sbarol: /* Iptables */</p>
<hr />
<div>'''!NB Kõik õpetused on tehtud kasutades Ubuntu Server 11.04'''<br />
<br />
Viimati muudetud [[User:Metamm|Metamm]] 11:03, 1 December 2011 (EET)<br />
<br />
== Wordpressi paigaldus ja konfigureerimine ==<br />
<br />
Antud toimingud tuleks teha root õigustes.<br />
<br />
Mine root-iks:<br />
sudo -i<br />
<br />
<br />
Tee update kohalike pakettide cache<br />
aptitude update<br />
<br />
<br />
Tee upgrade pakettidele:<br />
aptitude full-upgrade<br />
<br />
Paigalda acpid daemon<br />
aptitude install acpid<br />
<br />
<br />
Installi apache2 veebi server,mysql andmebaasi server, openssh server, php5 skriptimis keel ning apache2-utils(Apache benchmark tool)<br />
aptitude install apache2 mysql-server ssh php5 php5-mysql apache2-utils<br />
<br />
<br />
Tõmba alla kõige hilisem .tar fail wordpress.org-ist:<br />
wget http://wordpress.org/latest.tar.gz<br />
<br />
<br />
<br />
Paki lahti wordpressi failid /var/www kausta:<br />
sudo tar zxvf latest.tar.gz --directory=/var/www/<br />
<br />
<br />
Logi mysql-i sisse:<br />
<br />
mysql -u root -p<br />
<br />
Loo andmebaas student_wordpress:<br />
<source lang="mysql"><br />
create database student_wordpress;<br />
</source><br />
Loo kasutaja student:<br />
<source lang="mysql"><br />
create user student;<br />
</source><br />
Anna kõik õigused student kasutajale:<br />
<source lang="mysql"><br />
GRANT ALL PRIVILEGES ON student_wordpress.* TO student@localhost IDENTIFIED BY ‘student’;<br />
</source><br />
Välju mysql-ist:<br />
<source lang="mysql"><br />
quit;<br />
</source><br />
<br />
Loo uus default veebi saidil põhinev veebi sait:<br />
<br />
cp /etc/apache2/sites-available/default /etc/apache2/sites-available/wp<br />
<br />
<br />
Muuda ära DocumentRoot /etc/apache2/sites-avalible/wp failis:<br />
<br />
nano /etc/apache2/sites-avalible/wp<br />
<br />
Lisa DocumentRoot /var/www rea lõppu DocumentRoot /var/www/wordpress<br />
DocumentRoot /var/www/wordpress<br />
<br />
<br />
<br />
Keela ära tavaline default veebi sait(seda ei ole vaja antud paigalduses):<br />
<br />
a2dissite default<br />
<br />
<br />
Luba wordpress-i veebisait<br />
<br />
a2ensite wp<br />
<br />
Tee apache-ile restart<br />
<br />
service apache2 restart<br />
<br />
Muuda wordpress konfiguratsiooni faili:<br />
<br />
nano /var/www/wordpress/wp-config-sample.php<br />
<br />
Muuda DB_NAME, DB_USER, DB_PASSWORD vastavalt näitele:<br />
<br />
<source lang="php">define('DB_NAME', 'student_wordpress');<br />
<br />
/** MySQL database username */<br />
define('DB_USER', 'student');<br />
<br />
/** MySQL database password */<br />
define('DB_PASSWORD', 'student');<br />
</source><br />
<br />
Kopeeri uus konfiguratsiooni fail wordpressi konfiguratsiooni failiks:<br />
<br />
cp /var/www/wordpress/wp-config-sample.php /var/www/wordpress/wp-config.php<br />
<br />
<br />
Tee apache2 service-ile reload<br />
<br />
service apache2 reload<br />
<br />
Mine wordpressi saidile kasutades host-i IP aadressi(antud näites:192.168.56.102);<br />
<br />
http://192.168.56.102<br />
<br />
<br />
Vali saidi nimi, kasutajanimi, salasõna ning meili aadress.<br />
<br />
Vali install<br />
<br />
Installi lõppedes tee kindlaks,et kõik toimib(logi sisse, vaata wp verisooni ilmselt midagi sellist: You are using WordPress 3.2.1.)<br />
<br />
== mod_evasive paigaldus ja konfigureerimine ==<br />
<br />
=== Sissejuhatus ===<br />
<br />
Mod_evasive on lisamoodul Apache'i veebiserveri jaoks, mille abil on võimalik vähendada või täielikult tõrjuda<br />
HTTP DoS, DDos või brute force rünnakute mõju. Ühtlasi saab seda kasutada ka monitooringu teostamiseks,<br />
kuna moodulit on lihtne panna suhtlema erinevate tulemüüride ja ruuteritega.<br />
<br />
Monitooring baseerub dünaamilisel IP aadressitest ja URI-dest koosneval räsitabelil,<br />
kust siis keelatakse IP aadressid, mis:<br />
<br />
*küsivad ühte lehte rohkem kui paar korda sekundis<br />
*teevad rohkem kui 50 üheaegset requesti sama laps-protsessi vastu<br />
*üritavad teha ükskõik millist requesti samal ajal kui nad on mustas nimekirjas<br />
<br />
=== Paigaldus ===<br />
<br />
Paigaldamine Ubuntu 11.04 serverile on küllaltki lihtne<br />
<br />
apt-get install libapache2-mod-evasive<br />
<br />
=== Konfigureerimine ===<br />
<br />
Kõigepealt on viisakas luua koht, kuhu antud moodul oma logi saaks salvestada<br />
mkdir /var/log/apache2/mod_evasive<br />
chown www-data:www-data /var/log/apache2/mod_evasive<br />
<br />
'''NB! Logimine praegu ei tööta'''<br />
<br />
Mod_evasive moodulil ei lubata antud kausta kirjutada<br />
Couldn't open logfile /var/log/apache2/mod_evasive/dos-192.168.6.13: Permission denied<br />
<br />
Nüüd jääb üle lisada vastavad read oma virtuaalsesse hosti (N:~/apache2/sites-enabled/wordpress lõppu)<br />
<br />
<ifmodule mod_evasive20.c><br />
DOSHashTableSize 3097<br />
DOSPageCount 2<br />
DOSSiteCount 50<br />
DOSPageInterval 1<br />
DOSSiteInterval 1<br />
DOSBlockingPeriod 10<br />
DOSLogDir /var/log/apache2/mod_evasive<br />
DOSEmailNotify root@localhost<br />
DOSWhitelist 127.0.0.1<br />
</ifmodule><br />
<br />
Antud väärtusi tuleks kohandada vastavalt vajadustele<br />
<br />
Parameetrite kirjeldused:<br />
<br />
*DOSHashTableSize: Räsitabeli suurus, kus IP aadresseid hoitakse.<br />
*DOSPageCount: Lehekülgede arv DOSPageInterval sekundis.<br />
*DOSPageInterval: Aeg sekundites, mida kasutab DOSPageCount.<br />
*DOSSiteCount: Objektide arv DOSSiteInterval sekundites.<br />
*DOSSiteInterval: Aeg sekundites, mida kasutab DOSSiteCount.<br />
*DOSBlockingPeriod: Aeg sekundites, kui kaua IP on bannitud. Kui IP üritab serverile selle aja see ligi pääseda, siis algab loendus ueusti nullist.<br />
*DOSLogDir: Valikuline. Kataloogitee, kuhu logi salvestatakse. Kui pole määratud kasutatakse /tmp.<br />
*DOSEmailNotify: Valikuline. Mail kuhu teated saadetakse.<br />
*DOSSystemCommand: Valikuline. Käsk mis käivitatakse, kui IP bannitakse. Näiteks:<br />
**DOSSystemCommand "/sbin/iptables -I INPUT -p tcp --dport 80 -s %s -j DROP"<br />
*DOSWhitelist: Valikuline. Nimekiri IP aadressitest, mida ei blokita.<br />
<br />
<br />
Kui konfigureerimine valmis, tuleb Apache serverlie teha restart<br />
<br />
/etc/init.d/apache2 restart<br />
VÕI<br />
service apache2 restart<br />
<br />
==Varnish Cache-i paigaldamine ja konfigureerimine==<br />
===Sissejuhatus===<br />
'''Varnish Cache''' – see on HTTP kiirendaja, seda on vaja selleks, et suurendada veebilehekülje kiirust. <br />
<br />
Varnish Cache salvestab mälus veebilehekülgi nii, et veebiserverid ei pea koguma samu lehekülgi uuesti. Seda on vaja selleks, et vähendada koormust I/O süsteemile.<br />
<br />
Varnish kontrollib cache'ist päringu olemasolu ning juhul kui selline leidub siis võetakse sealt päringu vastus ning saadetakse vastus kasutajale. Juhul kui cache'is ei ole konkreetset päringut saadetakse kasutaja päring ''backend''-i ning lisatakse cache'i koos vastusega.<br />
<br />
===Paigaldamine===<br />
Kui te soovite installida Varnishit, siis on vaja teha uuendusi. Selle käsu abil uuendame opsüsteemi:<br />
sudo apt-get update<br />
Paigaldamise käsk:<br />
sudo apt-get install varnish<br />
===Konfiguratsiooni muutmine===<br />
Esimene, mis me teeme on default pordi muutmine. Tuleb muuta faili '''/etc/default/varnish''':<br />
nano /etc/default/varnish<br />
<br />
Konfiguratsioon Varnishi jaoks kirjutatakse VCL keeles. <br />
<br />
Fail konfiguratsioonidega vaikimisi asub siin '''/etc/varnish/default.vcl'''<br />
Fail oleneb mitmest osadest, aga mis on vaja töötamise alguseks - see on backendi viitamine:<br />
<br />
'''Backend''' - see on server, kuhu varnish saadab päringut, kui tal ei ole vastavad andmeid cache-is.<br />
<br />
Kopeerige fail '''/etc/varnish/default.vcl''' ja andke teine nimetus<br />
cp /etc/varnish/default.vcl /etc/varnish/itkool.vcl<br />
<br />
Ava fail '''/etc/varnish/itkool.vcl''' ja sisesta <br />
nano /etc/varnish/itkool.vcl<br />
<br />
<pre><br />
## Redirect requests to Apache, running on port 8000 on localhost<br />
backend apache {<br />
.host = "127.0.0.1";<br />
.port = "8000";<br />
}<br />
## Fetch<br />
sub vcl_fetch {<br />
## Remove the X-Forwarded-For header if it exists.<br />
remove req.http.X-Forwarded-For;<br />
<br />
## insert the client IP address as X-Forwarded-For. This is the normal IP address of the user.<br />
set req.http.X-Forwarded-For = req.http.rlnclientipaddr;<br />
## Added security, the "w00tw00t" attacks are pretty annoying so lets block it before it reaches our webserver<br />
if (req.url ~ "^/w00tw00t") {<br />
error 403 "Not permitted";<br />
}<br />
## Deliver the content<br />
return(deliver);<br />
}<br />
<br />
## Deliver<br />
sub vcl_deliver {<br />
## We'll be hiding some headers added by Varnish. We want to make sure people are not seeing we're using Varnish.<br />
## Since we're not caching (yet), why bother telling people we use it?<br />
remove resp.http.X-Varnish;<br />
remove resp.http.Via;<br />
remove resp.http.Age;<br />
<br />
## We'd like to hide the X-Powered-By headers. Nobody has to know we can run PHP and have version xyz of it.<br />
remove resp.http.X-Powered-By;<br />
}<br />
</pre><br />
Salvesta fail CTRL + O käsuga<br />
<br />
===Apache konfiguratsiooni muutmine===<br />
Ava fail '''/etc/apache2/ports.conf''' ja leia<br />
nano /etc/apache2/ports.conf<br />
<br />
<pre><br />
NameVirtualHost *:80<br />
Listen 192.168.6.101:80<br />
</pre><br />
'''192.168.6.101''' - veebiserveri IP aadress.<br />
<br />
Muuda <br />
<br />
<pre><br />
NameVirtualHost *:8000<br />
Listen 192.168.6.101:8000<br />
</pre><br />
Ava fail '''/etc/apache2/sites-available/wp''' ja leia<br />
<br />
<pre><br />
<VirtualHost *:80><br />
ServerAdmin webmaster@localhost<br />
<br />
</pre><br />
<br />
Muuda<br />
<pre><br />
VirtualHost *:8000><br />
ServerAdmin webmaster@localhost<br />
</pre><br />
<br />
Paigaldame lisa Apache mooduli veendumaks, kas kasutaja IP aadress lahendatakse korrektselt. Kuna Varnish on lähedalt seotud apache2-ga, näete külastaja Ip-na 127.0.0.1<br />
nano apt-get install libapache2-mod-rpaf<br />
<br />
'''RPAF''' (Reverse Proxy Add Forward) moodul holitseb selle eest, et localhosti IP vahetatakse ära IP-ga, mis on seadistatud X-Forwarded-For failis.<br />
<br />
===Deemonide restart===<br />
Restart Apache server:<br />
/etc/init.d/apache2 restart<br />
<br />
Kontrolli kas on olemas IP portid: <br />
netstat -lp | grep apache2<br />
<br />
Kui te näete, siis kõik on korras<br />
tcp 0 0 *:https *:* LISTEN 843/apache2 <br />
tcp 0 0 192.168.6.101:8000 *:* LISTEN 843/apache2 <br />
<br />
Kui ei näita niimodi, siis on viga. Praegu teeme Varnishile restardi, et kuulata teema pordis 80<br />
/etc/init.d/varnish restart <br />
<br />
Kontrolli <br />
netstat -lp | grep varnish<br />
tcp 0 0 *:www *:* LISTEN 781/varnishd <br />
tcp 0 0 localhost:6082 *:* LISTEN 779/varnishd <br />
tcp6 0 0 [::]:www [::]:* LISTEN 781/varnishd<br />
<br />
Varnish on sätitud Apache-is. Külasta saiti ja vaata, kas toimib, kuid üldjuhul ei saa Te aru, et midagi oleks muutunud. Kui sa tõmbad Apache maha, siis näed lehel Varnishi errorit.<br />
<br />
http://www.howtoforge.com/putting-varnish-in-front-of-apache-on-ubuntu-debian<br />
<br />
== Super Cache ==<br />
<br />
'''Sissejuhatus'''<br />
<br />
''Super Cache'' on Wordpressi väga kiire puhvri mootor, mis loob staatilisi html faile.<br />
<br />
See pistikprogramm genereerib staatilisi html faile dünaamilisest Wordpressi blogist. Pärast seda kui html fail on loodud, annab veebiserver seda faili kasutajatele, selle asemel,et loob iga kord uue lehe vastavalt Wordpressi php skritpidele. Suure koormuse puhul on ''Super Cache'' väga kasulik, kuna nagu ka hiljem on testi tulemustest näha siis serverilt vastuse saamiseks kuluv aeg on mitu korda väiksem.<br />
<br />
Staatilisi html-e saavad enamik kasutajaid:<br />
<br />
1.Kasutajad, kes ei ole sisse logitud.<br />
<br />
2.Kasutajad, kes ei ole ühtegi kommentaari blogisse jätnud.<br />
<br />
3.Kasutajad, kes ei ole vaadanud salasõnaga kaitstud postitusi.<br />
<br />
<br />
Suuremale osale kasutajatele antakse staatilisi html faile. Need kasutajad kellele ei edastata puhverdatud lehti siiski saavad kasu, kuna nemad näevad väheke teistsuguseid puverdatud faile, mis küll ei ole nii effektiivsed kuid siiski paremad kui täiesti puhverdamata failid.<br />
<br />
'''Paigaldamine'''<br />
<br />
[[File:Wordpress_Plugins.png|right|]]<br />
<br />
<br />
<br />
[[File:Wordpress_search.png|400px|thumb|right]]<br />
<br />
<br />
''Super Cache''-i paigaldamiseks tuleb sisse logida admin-paneeli. Siis vasakult nimekirjast valida '''''Plugins'''''-i alt '''Add new'''.<br />
<br />
[[File:Install_wordpress.png|400px|thumb|right|]]<br />
<br />
[[File:Activate_wordpress.png|400px|thumb|right|]]<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Siis kirjutada otsingusse "'''WP Super Cache'''".<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Pärast seda valida nimekirjast ''Super Cache'' ning vajutada "'''Install now'''".<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Pärast seda "'''Activate the Plugin'''".<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
[[File:Permset.png|400px|thumb|right|]]<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Pärast seda ilmub "Permlink Structure error", see on see tõttu,et ''Super Cache''-i toimimiseks on vajalik valida '''''Custom structure''''' ''Permalink''-i seadete alt ning sisestada sinna '''/index.php/?p=%post_id%'''<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Edasi vali vasakult '''''Settings'''''-u alt '''WP Super Cache'''.<br />
Nüüd ütleb wordpress,et "WP_CACHE constant set to false" selle muutmiseks tuleb käsurealt avada wp-config-php fail:<br />
<br />
nano /var/www/wordpress/wp-config.php<br />
<br />
ning sinna lisada rida: <br />
<br />
define('WP_CACHE', true);<br />
<br />
Pärast seda salvestada wp-config.php ning brauseris tuleks refresh teha.<br />
<br />
Lisaks tuleb muuta .htaccess faili sisu mis peaks välja nägema selline:<br />
<br />
# BEGIN WordPress<br />
<IfModule mod_rewrite.c><br />
RewriteEngine On<br />
RewriteBase /<br />
RewriteRule ^index\.php$ - [L]<br />
RewriteCond %{REQUEST_FILENAME} !-f<br />
RewriteCond %{REQUEST_FILENAME} !-d<br />
RewriteRule . /index.php [L]<br />
</IfModule><br />
# END WordPress<br />
<br />
kuna wordpress tahab .htaccess faili ka ise muuta aegajalt siis on hea panna htaccessi õigused 777 peale käsuga:<br />
chmod 777 .htaccess<br />
<br />
Pärast konfimist tuleks '''kindlasti''' .htaccess õigused vähemaks võtta kuna konstantselt ei pea õigused 777 peal olema, need on tarvilikud vaid konfi ajaks.<br />
<br />
'''Jõudluse võrdlus SuperCache-iga ja ilma'''<br />
Supercache-iga<br />
Benchmarking www.itkool.ee (be patient)<br />
Completed 100 requests<br />
Completed 200 requests<br />
Finished 200 requests<br />
<br />
<br />
Server Software: Apache/2.2.17<br />
Server Hostname: www.itkool.ee<br />
Server Port: 80<br />
<br />
Document Path: /<br />
Document Length: 9554 bytes<br />
<br />
Concurrency Level: 200<br />
Time taken for tests: 1.457 seconds<br />
Complete requests: 200<br />
Failed requests: 0<br />
Write errors: 0<br />
Total transferred: 1971800 bytes<br />
HTML transferred: 1910800 bytes<br />
Requests per second: 137.30 [#/sec] (mean)<br />
Time per request: 1456.617 [ms] (mean)<br />
Time per request: 7.283 [ms] (mean, across all concurrent requests)<br />
Transfer rate: 1321.96 [Kbytes/sec] received<br />
Connection Times (ms)<br />
min mean[+/-sd] median max<br />
Connect: 7 10 2.1 10 14<br />
Processing: 55 798 409.6 821 1441<br />
Waiting: 8 751 410.1 770 1437<br />
Total: 68 808 407.6 831 1447<br />
Percentage of the requests served within a certain time (ms)<br />
50% 831<br />
66% 1036<br />
75% 1159<br />
80% 1236<br />
90% 1366<br />
95% 1434<br />
98% 1445<br />
99% 1446<br />
100% 1447 (longest request)<br />
<br />
ilma:<br />
<br />
Benchmarking www.itkool.ee (be patient)<br />
Completed 100 requests<br />
Completed 200 requests<br />
Finished 200 requests<br />
<br />
<br />
Server Software: Apache/2.2.17<br />
Server Hostname: www.itkool.ee<br />
Server Port: 80<br />
<br />
Document Path: /<br />
Document Length: 9413 bytes<br />
<br />
Concurrency Level: 20<br />
Time taken for tests: 25.600 seconds<br />
Complete requests: 200<br />
Failed requests: 172<br />
(Connect: 0, Receive: 0, Length: 172, Exceptions: 0)<br />
Write errors: 0<br />
Total transferred: 1932771 bytes<br />
HTML transferred: 1882571 bytes<br />
Requests per second: 7.81 [#/sec] (mean)<br />
Time per request: 2560.029 [ms] (mean)<br />
Time per request: 128.001 [ms] (mean, across all concurrent requests)<br />
Transfer rate: 73.73 [Kbytes/sec] received<br />
<br />
Connection Times (ms)<br />
min mean[+/-sd] median max<br />
Connect: 0 1 1.4 0 5<br />
Processing: 803 2522 572.9 2485 4346<br />
Waiting: 648 2126 526.2 2053 4000<br />
Total: 807 2523 572.5 2485 4346<br />
<br />
Percentage of the requests served within a certain time (ms)<br />
50% 2485<br />
66% 2557<br />
75% 2690<br />
80% 2740<br />
90% 3120<br />
95% 3624<br />
98% 4261<br />
99% 4272<br />
100% 4346 (longest request)<br />
<br />
<br />
'''Ühenduse probleemid'''<br />
<br />
Juhul kui esineb probleem,et serverile on määratud uus ip-aadress ning ip-aadressile minnes näidatakse vanalt ip-aadressilt pärit cache'i sisu siis sellest probleemist mööda saamiseks tuleb käsurealt muuta wp-config.php faili:<br />
<br />
nano /var/www/wordpress/wp-config.php<br />
<br />
ning sealt seest:<br />
<br />
define('WP_CACHE', false); #See tuleb kindlasti tagasi muuta "true"-ks pärast ühenduse saamist.<br />
<br />
Nüüd peaks wordpress jälle näitama uut sisu. Juhul kui siiski on probleeme ning juhul kui '''andmebaas on tühi''' siis võib ka sql-is teha järgmist:<br />
<br />
'''NB Seda teha ainult siis kui andmebaas on tühi!!!'''<br />
<source lang="mysql"><br />
drop database student_wordpress;<br />
</source><br />
ning siis uuesti:<br />
<source lang="mysql"><br />
create database student_wordpress:<br />
</source><br />
Pärast andmebaasi loomist teha apache-ile restart:<br />
<br />
service apache2 restart <br />
<br />
Ja tuleb uuesti seadistada wordpressi lehekülg.<br />
<br />
== Iptables ==<br />
<br />
'''Laboris tuleb kasutada enda IP'd!'''<br />
<br />
Teie '''iptables.conf''' fail peab välja nägema nii nagu näidatud allpool:<br />
<br />
<pre><br />
-A INPUT -s 192.168.6.101/32 -p tcp -m tcp --dport 8000 -j ACCEPT <br />
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT <br />
-A INPUT -s 192.168.6.1/32 -p tcp -m tcp --dport 22 -j ACCEPT <br />
-A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied:" --log-level 7<br />
-A INPUT -p tcp -m tcp --dport 80 -m connlimit --connlimit-above 10 --connlimit-mask 32 -j REJECT --reject-with icmp-port-unreachable<br />
-A INPUT -s 192.168.6.101/32 -j ACCEPT <br />
-A INPUT -m state --state ESTABLISHED -j ACCEPT <br />
-A OUTPUT -o lo -j ACCEPT <br />
COMMIT<br />
</pre><br />
<br />
'''Räägime täpsemalt milleks need reeglid vaja on.'''<br />
<br />
Kui tahame varnish'it kasutada, tuleb lubada porti 8000:<br />
<pre><br />
iptables -A INPUT -s 192.168.6.101/32 -p tcp -m tcp --dport 8000 -j ACCEPT<br />
</pre><br />
<br />
Lubame weebiserveri:<br />
<pre><br />
iptables -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT<br />
</pre><br />
<br />
SSH lubamiseks sellest IP-st:<br />
<pre><br />
iptables -A INPUT -s 192.168.6.1/32 -p tcp -m tcp --dport 22 -j ACCEPT<br />
</pre><br />
<br />
Näidises on pandud connection limitiks 10, testimiseks seda piisab küll aga seda arvu võib muuta suuremaks, näiteks suurtes ettevõttetes kliendid kes istuvad NAT'i taga, ei saa liigi leheküljele, sest connection limit ühest IP-st on piiratud 10-ga. Ainult 10 klienti saab korraga vaatada veebilehti.<br />
See rida annab võimalust katkestada ühendusi mille arv on üle 10 pordis 80:<br />
<pre><br />
iptables -A INPUT -p tcp -m tcp --dport 80 -m connlimit --connlimit-above 10 --connlimit-mask 32 -j REJECT --reject-with icmp-port-unreachable<br />
</pre><br />
<br />
Praegu meil ei salvestatakse logi failid. Kui tahame näha täpsemalt millised paketid vistakse minema, peame lubama logimist:<br />
<pre><br />
iptables -A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied:" --log-level 7<br />
</pre><br />
<br />
<pre><br />
iptables -A INPUT -s 192.168.6.101/32 -j ACCEPT<br />
</pre><br />
<br />
Väljaminevate ühenduste jaoks tagasi tulnud pakette lubamiseks:<br />
<pre><br />
iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT<br />
</pre><br />
<br />
<pre><br />
iptables -A OUTPUT -o lo -j ACCEPT <br />
</pre><br />
<br />
= Teised turvameetodid = <br />
<br />
On olemas mitmeid erinevaid võimalusi, kuidas veel saab oma wordpressi veebilehe turvata.<br />
<br />
== Späm filter ==<br />
<br />
Akismet (Automattic Kismet) on spämmi filter. Antud teenus püüab filtreerida spämmi mis tuleb blogi kommentaaridest ja TrackPack pingidest. Filter kombineerib informatsiooni mis ta kogus kõikidest blogidest ja kasutab need spämmi reegleid, et blokeerida tuleviku spämmi. Akismet on loodud Automattic firma poolt, ettevõtte mis keskendub vaba-tarkvara arendamisele WordPressi platformi jaoks. Akismet tuli välja 25. oktroobril aastal 2005 ja seisuga Aprill 2011 juba püüdis üle 25 miljardi spämmi kommentaare ja pinge.<br />
<br />
Akisment on WordPressi sisseehitatud aga vaikimisi on ta välja lülitatud, kuna selle sisse lülitamine nõuab võtmegas audentimist. Blogi administratoor peab ise antud teenust aktiveerima. <br />
Selleks, et aktiveerida Akismeti, on vaja:<br />
<br />
1) Administraatoori paneelis on vaja valida '''Plugins - Installed''' <br />
<br />
2) Linnuke Akismeti juurde ja valida '''"Activate"'''<br />
<br />
3) Nüüd peab sisestama Akismeti API võtme. Võtme saab tasuta tellida Akismeti ametlikult veebilehelt.<br />
<br />
4) Vajuta '''"Update options"'''<br />
<br />
5) Akismeti spämmi filter on sisselülitatud.<br />
<br />
Nüüd on vaja mõned postituse reegleid konfigureerida. Selleks on vaja valida '''Settings - Discussion''' menüü alt ja välja lülitada: '''An administrator must always approve the comment'''.<br />
<br />
Nüüd ei pea administraator isiklikult iga kommentaari läbi vaatama ja kinnitama. Antud tööga hakkab tegelema Akismet.<br />
<br />
== Anti-bot lahendus ==<br />
<br />
On olemas mitmeid erinevaid võimalusi kuidas saab kindlaks teha, et kasutaja, kes postitab on inimene. Selle jaoks on igasuguseid captcha meetodeid, näiteks kasutaja peab sisestama juhuslikult kombineeritud teksti või lahendama mingeid lihtsaid matemaatilisi võrrandeid. Antud meetodid ei ole eriti "sõbralikud", sest vahel tekivad probleemid kasutajatele, eriti nendele, kes ei suuda korralikult näha märke.<br />
<br />
Palju sõbralikum ja lihtsam anti-bot meetod on lahendus, kus kasutaja peab märkima linnukese kommentaari alla. Selle jaoks wordpressil on plugin Growmap Anti Spambot Plugin. Plugini installeerimiseks on vaja:<br />
<br />
1) Mine oma wordpress plugin kataloogisse<br />
<br />
<pre>cd /var/www/wp-content/plugins/</pre><br />
<br />
2) Käsuga wget allalaadime plugini<br />
<br />
<pre>wget http://downloads.wordpress.org/plugin/growmap-anti-spambot-plugin.1.1.zip</pre><br />
<br />
3) Pakime lahti antud arhiivi<br />
<br />
<pre>unzip growmap-anti-spambot-plugin.1.1.zip</pre><br />
<br />
Nüüd tuleb minna tagasi oma wordpress administratoori menüüsse ja aktiveerida see plugin.<br />
<br />
== IP kontroll ==<br />
<br />
Tihti on vaja turvata väga vajalikke faile. Selle jaoks on vaja:<br />
<br />
1) Mine oma wordpress kataloogi<br />
<br />
<pre>cd /var/www/wordpress</pre><br />
<br />
2) Teeme .htaccess faile. Antud teksti-fail wordpress kasutab oma reeglite jaoks. <br />
<br />
<pre>touch .htaccess</pre><br />
<br />
3) Kirjuta järgmised reegleid:<br />
<br />
Esiteks, kaitseme meie .htaccess faile, et keegi ei saaks selle vaadata.<br />
<br />
<pre><br />
#protect the htaccess file<br />
<files .htaccess><br />
order allow,deny<br />
deny from all<br />
</files><br />
</pre><br />
<br />
Kaitseme meie admin logini, selleks et adminina saab logida ainult määratud IP aadressilt.<br />
<br />
<pre><br />
<files wp-login.php><br />
Order Deny,Allow<br />
Deny from All<br />
Allow from 192.168.6.2<br />
</files><br />
</pre><br />
<br />
WPconfig on teine väga oluline fail. Seda tuleb ka kaitsta:<br />
<br />
<pre><br />
#protect wpconfig.php<br />
<files wp-config.php><br />
Order Deny,Allow<br />
Deny from All<br />
allow from 192.168.6.2<br />
</files><br />
</pre><br />
<br />
Nüüd tuleb '''wp-admin''' kataloogis teha veel uue '''.htaccess''' faili ja kirjutada järgmised reegleid:<br />
<br />
<pre><br />
AuthUserFile /dev/null<br />
AuthGroupFile /dev/null<br />
AuthName "WordPress Admin Access Control"<br />
AuthType Basic<br />
<LIMIT GET><br />
order deny,allow<br />
deny from all<br />
#kirjuta oma IP<br />
allow from 192.168.6.2<br />
</LIMIT><br />
</pre><br />
<br />
<br />
http://wptidbits.com/tutorials/21-most-popular-htaccess-hacks-for-wordpress/<br />
<br />
=Autorid=<br />
<br />
'''Wordpressi paigaldus ja konfigureerimine''' - Risto Siitan A32<br />
<br />
'''mod_evasive paigaldus ja konfigureerimine''' - Meelis Tamm, A31. Allikas: [http://acidborg.wordpress.com/2009/06/25/installation-configuration-of-mod_evasive-in-ubuntu-server-9-04/]<br />
<br />
'''Varnish Cache-i paigaldamine ja konfigureerimine''' - Jaan Vahtre A31 ja Vadim Vinogradin A31<br />
<br />
'''Super Cache''' - Kristjan Vask A31 Risto Siitan A32<br />
<br />
'''Iptables''' - Sergei Barol A31<br />
<br />
'''Teised turvameetodid''' - Vladimir Kolesnik A32<br />
<br />
[[Category:IT infrastruktuuri teenused]]</div>Sbarolhttps://wiki.itcollege.ee/index.php?title=WordPress_turvamine&diff=44031WordPress turvamine2011-12-07T09:20:09Z<p>Sbarol: /* Iptables */</p>
<hr />
<div>'''!NB Kõik õpetused on tehtud kasutades Ubuntu Server 11.04'''<br />
<br />
Viimati muudetud [[User:Metamm|Metamm]] 11:03, 1 December 2011 (EET)<br />
<br />
== Wordpressi paigaldus ja konfigureerimine ==<br />
<br />
Antud toimingud tuleks teha root õigustes.<br />
<br />
Mine root-iks:<br />
sudo -i<br />
<br />
<br />
Tee update kohalike pakettide cache<br />
aptitude update<br />
<br />
<br />
Tee upgrade pakettidele:<br />
aptitude full-upgrade<br />
<br />
Paigalda acpid daemon<br />
aptitude install acpid<br />
<br />
<br />
Installi apache2 veebi server,mysql andmebaasi server, openssh server, php5 skriptimis keel ning apache2-utils(Apache benchmark tool)<br />
aptitude install apache2 mysql-server ssh php5 php5-mysql apache2-utils<br />
<br />
<br />
Tõmba alla kõige hilisem .tar fail wordpress.org-ist:<br />
wget http://wordpress.org/latest.tar.gz<br />
<br />
<br />
<br />
Paki lahti wordpressi failid /var/www kausta:<br />
sudo tar zxvf latest.tar.gz --directory=/var/www/<br />
<br />
<br />
Logi mysql-i sisse:<br />
<br />
mysql -u root -p<br />
<br />
Loo andmebaas student_wordpress:<br />
<source lang="mysql"><br />
create database student_wordpress;<br />
</source><br />
Loo kasutaja student:<br />
<source lang="mysql"><br />
create user student;<br />
</source><br />
Anna kõik õigused student kasutajale:<br />
<source lang="mysql"><br />
GRANT ALL PRIVILEGES ON student_wordpress.* TO student@localhost IDENTIFIED BY ‘student’;<br />
</source><br />
Välju mysql-ist:<br />
<source lang="mysql"><br />
quit;<br />
</source><br />
<br />
Loo uus default veebi saidil põhinev veebi sait:<br />
<br />
cp /etc/apache2/sites-available/default /etc/apache2/sites-available/wp<br />
<br />
<br />
Muuda ära DocumentRoot /etc/apache2/sites-avalible/wp failis:<br />
<br />
nano /etc/apache2/sites-avalible/wp<br />
<br />
Lisa DocumentRoot /var/www rea lõppu DocumentRoot /var/www/wordpress<br />
DocumentRoot /var/www/wordpress<br />
<br />
<br />
<br />
Keela ära tavaline default veebi sait(seda ei ole vaja antud paigalduses):<br />
<br />
a2dissite default<br />
<br />
<br />
Luba wordpress-i veebisait<br />
<br />
a2ensite wp<br />
<br />
Tee apache-ile restart<br />
<br />
service apache2 restart<br />
<br />
Muuda wordpress konfiguratsiooni faili:<br />
<br />
nano /var/www/wordpress/wp-config-sample.php<br />
<br />
Muuda DB_NAME, DB_USER, DB_PASSWORD vastavalt näitele:<br />
<br />
<source lang="php">define('DB_NAME', 'student_wordpress');<br />
<br />
/** MySQL database username */<br />
define('DB_USER', 'student');<br />
<br />
/** MySQL database password */<br />
define('DB_PASSWORD', 'student');<br />
</source><br />
<br />
Kopeeri uus konfiguratsiooni fail wordpressi konfiguratsiooni failiks:<br />
<br />
cp /var/www/wordpress/wp-config-sample.php /var/www/wordpress/wp-config.php<br />
<br />
<br />
Tee apache2 service-ile reload<br />
<br />
service apache2 reload<br />
<br />
Mine wordpressi saidile kasutades host-i IP aadressi(antud näites:192.168.56.102);<br />
<br />
http://192.168.56.102<br />
<br />
<br />
Vali saidi nimi, kasutajanimi, salasõna ning meili aadress.<br />
<br />
Vali install<br />
<br />
Installi lõppedes tee kindlaks,et kõik toimib(logi sisse, vaata wp verisooni ilmselt midagi sellist: You are using WordPress 3.2.1.)<br />
<br />
== mod_evasive paigaldus ja konfigureerimine ==<br />
<br />
=== Sissejuhatus ===<br />
<br />
Mod_evasive on lisamoodul Apache'i veebiserveri jaoks, mille abil on võimalik vähendada või täielikult tõrjuda<br />
HTTP DoS, DDos või brute force rünnakute mõju. Ühtlasi saab seda kasutada ka monitooringu teostamiseks,<br />
kuna moodulit on lihtne panna suhtlema erinevate tulemüüride ja ruuteritega.<br />
<br />
Monitooring baseerub dünaamilisel IP aadressitest ja URI-dest koosneval räsitabelil,<br />
kust siis keelatakse IP aadressid, mis:<br />
<br />
*küsivad ühte lehte rohkem kui paar korda sekundis<br />
*teevad rohkem kui 50 üheaegset requesti sama laps-protsessi vastu<br />
*üritavad teha ükskõik millist requesti samal ajal kui nad on mustas nimekirjas<br />
<br />
=== Paigaldus ===<br />
<br />
Paigaldamine Ubuntu 11.04 serverile on küllaltki lihtne<br />
<br />
apt-get install libapache2-mod-evasive<br />
<br />
=== Konfigureerimine ===<br />
<br />
Kõigepealt on viisakas luua koht, kuhu antud moodul oma logi saaks salvestada<br />
mkdir /var/log/apache2/mod_evasive<br />
chown www-data:www-data /var/log/apache2/mod_evasive<br />
<br />
'''NB! Logimine praegu ei tööta'''<br />
<br />
Mod_evasive moodulil ei lubata antud kausta kirjutada<br />
Couldn't open logfile /var/log/apache2/mod_evasive/dos-192.168.6.13: Permission denied<br />
<br />
Nüüd jääb üle lisada vastavad read oma virtuaalsesse hosti (N:~/apache2/sites-enabled/wordpress lõppu)<br />
<br />
<ifmodule mod_evasive20.c><br />
DOSHashTableSize 3097<br />
DOSPageCount 2<br />
DOSSiteCount 50<br />
DOSPageInterval 1<br />
DOSSiteInterval 1<br />
DOSBlockingPeriod 10<br />
DOSLogDir /var/log/apache2/mod_evasive<br />
DOSEmailNotify root@localhost<br />
DOSWhitelist 127.0.0.1<br />
</ifmodule><br />
<br />
Antud väärtusi tuleks kohandada vastavalt vajadustele<br />
<br />
Parameetrite kirjeldused:<br />
<br />
*DOSHashTableSize: Räsitabeli suurus, kus IP aadresseid hoitakse.<br />
*DOSPageCount: Lehekülgede arv DOSPageInterval sekundis.<br />
*DOSPageInterval: Aeg sekundites, mida kasutab DOSPageCount.<br />
*DOSSiteCount: Objektide arv DOSSiteInterval sekundites.<br />
*DOSSiteInterval: Aeg sekundites, mida kasutab DOSSiteCount.<br />
*DOSBlockingPeriod: Aeg sekundites, kui kaua IP on bannitud. Kui IP üritab serverile selle aja see ligi pääseda, siis algab loendus ueusti nullist.<br />
*DOSLogDir: Valikuline. Kataloogitee, kuhu logi salvestatakse. Kui pole määratud kasutatakse /tmp.<br />
*DOSEmailNotify: Valikuline. Mail kuhu teated saadetakse.<br />
*DOSSystemCommand: Valikuline. Käsk mis käivitatakse, kui IP bannitakse. Näiteks:<br />
**DOSSystemCommand "/sbin/iptables -I INPUT -p tcp --dport 80 -s %s -j DROP"<br />
*DOSWhitelist: Valikuline. Nimekiri IP aadressitest, mida ei blokita.<br />
<br />
<br />
Kui konfigureerimine valmis, tuleb Apache serverlie teha restart<br />
<br />
/etc/init.d/apache2 restart<br />
VÕI<br />
service apache2 restart<br />
<br />
==Varnish Cache-i paigaldamine ja konfigureerimine==<br />
===Sissejuhatus===<br />
'''Varnish Cache''' – see on HTTP kiirendaja, seda on vaja selleks, et suurendada veebilehekülje kiirust. <br />
<br />
Varnish Cache salvestab mälus veebilehekülgi nii, et veebiserverid ei pea koguma samu lehekülgi uuesti. Seda on vaja selleks, et vähendada koormust I/O süsteemile.<br />
<br />
Varnish kontrollib cache'ist päringu olemasolu ning juhul kui selline leidub siis võetakse sealt päringu vastus ning saadetakse vastus kasutajale. Juhul kui cache'is ei ole konkreetset päringut saadetakse kasutaja päring ''backend''-i ning lisatakse cache'i koos vastusega.<br />
<br />
===Paigaldamine===<br />
Kui te soovite installida Varnishit, siis on vaja teha uuendusi. Selle käsu abil uuendame opsüsteemi:<br />
sudo apt-get update<br />
Paigaldamise käsk:<br />
sudo apt-get install varnish<br />
===Konfiguratsiooni muutmine===<br />
Esimene, mis me teeme on default pordi muutmine. Tuleb muuta faili '''/etc/default/varnish''':<br />
nano /etc/default/varnish<br />
<br />
Konfiguratsioon Varnishi jaoks kirjutatakse VCL keeles. <br />
<br />
Fail konfiguratsioonidega vaikimisi asub siin '''/etc/varnish/default.vcl'''<br />
Fail oleneb mitmest osadest, aga mis on vaja töötamise alguseks - see on backendi viitamine:<br />
<br />
'''Backend''' - see on server, kuhu varnish saadab päringut, kui tal ei ole vastavad andmeid cache-is.<br />
<br />
Kopeerige fail '''/etc/varnish/default.vcl''' ja andke teine nimetus<br />
cp /etc/varnish/default.vcl /etc/varnish/itkool.vcl<br />
<br />
Ava fail '''/etc/varnish/itkool.vcl''' ja sisesta <br />
nano /etc/varnish/itkool.vcl<br />
<br />
<pre><br />
## Redirect requests to Apache, running on port 8000 on localhost<br />
backend apache {<br />
.host = "127.0.0.1";<br />
.port = "8000";<br />
}<br />
## Fetch<br />
sub vcl_fetch {<br />
## Remove the X-Forwarded-For header if it exists.<br />
remove req.http.X-Forwarded-For;<br />
<br />
## insert the client IP address as X-Forwarded-For. This is the normal IP address of the user.<br />
set req.http.X-Forwarded-For = req.http.rlnclientipaddr;<br />
## Added security, the "w00tw00t" attacks are pretty annoying so lets block it before it reaches our webserver<br />
if (req.url ~ "^/w00tw00t") {<br />
error 403 "Not permitted";<br />
}<br />
## Deliver the content<br />
return(deliver);<br />
}<br />
<br />
## Deliver<br />
sub vcl_deliver {<br />
## We'll be hiding some headers added by Varnish. We want to make sure people are not seeing we're using Varnish.<br />
## Since we're not caching (yet), why bother telling people we use it?<br />
remove resp.http.X-Varnish;<br />
remove resp.http.Via;<br />
remove resp.http.Age;<br />
<br />
## We'd like to hide the X-Powered-By headers. Nobody has to know we can run PHP and have version xyz of it.<br />
remove resp.http.X-Powered-By;<br />
}<br />
</pre><br />
Salvesta fail CTRL + O käsuga<br />
<br />
===Apache konfiguratsiooni muutmine===<br />
Ava fail '''/etc/apache2/ports.conf''' ja leia<br />
nano /etc/apache2/ports.conf<br />
<br />
<pre><br />
NameVirtualHost *:80<br />
Listen 192.168.6.101:80<br />
</pre><br />
'''192.168.6.101''' - veebiserveri IP aadress.<br />
<br />
Muuda <br />
<br />
<pre><br />
NameVirtualHost *:8000<br />
Listen 192.168.6.101:8000<br />
</pre><br />
Ava fail '''/etc/apache2/sites-available/wp''' ja leia<br />
<br />
<pre><br />
<VirtualHost *:80><br />
ServerAdmin webmaster@localhost<br />
<br />
</pre><br />
<br />
Muuda<br />
<pre><br />
VirtualHost *:8000><br />
ServerAdmin webmaster@localhost<br />
</pre><br />
<br />
Paigaldame lisa Apache mooduli veendumaks, kas kasutaja IP aadress lahendatakse korrektselt. Kuna Varnish on lähedalt seotud apache2-ga, näete külastaja Ip-na 127.0.0.1<br />
nano apt-get install libapache2-mod-rpaf<br />
<br />
'''RPAF''' (Reverse Proxy Add Forward) moodul holitseb selle eest, et localhosti IP vahetatakse ära IP-ga, mis on seadistatud X-Forwarded-For failis.<br />
<br />
===Deemonide restart===<br />
Restart Apache server:<br />
/etc/init.d/apache2 restart<br />
<br />
Kontrolli kas on olemas IP portid: <br />
netstat -lp | grep apache2<br />
<br />
Kui te näete, siis kõik on korras<br />
tcp 0 0 *:https *:* LISTEN 843/apache2 <br />
tcp 0 0 192.168.6.101:8000 *:* LISTEN 843/apache2 <br />
<br />
Kui ei näita niimodi, siis on viga. Praegu teeme Varnishile restardi, et kuulata teema pordis 80<br />
/etc/init.d/varnish restart <br />
<br />
Kontrolli <br />
netstat -lp | grep varnish<br />
tcp 0 0 *:www *:* LISTEN 781/varnishd <br />
tcp 0 0 localhost:6082 *:* LISTEN 779/varnishd <br />
tcp6 0 0 [::]:www [::]:* LISTEN 781/varnishd<br />
<br />
Varnish on sätitud Apache-is. Külasta saiti ja vaata, kas toimib, kuid üldjuhul ei saa Te aru, et midagi oleks muutunud. Kui sa tõmbad Apache maha, siis näed lehel Varnishi errorit.<br />
<br />
http://www.howtoforge.com/putting-varnish-in-front-of-apache-on-ubuntu-debian<br />
<br />
== Super Cache ==<br />
<br />
'''Sissejuhatus'''<br />
<br />
''Super Cache'' on Wordpressi väga kiire puhvri mootor, mis loob staatilisi html faile.<br />
<br />
See pistikprogramm genereerib staatilisi html faile dünaamilisest Wordpressi blogist. Pärast seda kui html fail on loodud, annab veebiserver seda faili kasutajatele, selle asemel,et loob iga kord uue lehe vastavalt Wordpressi php skritpidele. Suure koormuse puhul on ''Super Cache'' väga kasulik, kuna nagu ka hiljem on testi tulemustest näha siis serverilt vastuse saamiseks kuluv aeg on mitu korda väiksem.<br />
<br />
Staatilisi html-e saavad enamik kasutajaid:<br />
<br />
1.Kasutajad, kes ei ole sisse logitud.<br />
<br />
2.Kasutajad, kes ei ole ühtegi kommentaari blogisse jätnud.<br />
<br />
3.Kasutajad, kes ei ole vaadanud salasõnaga kaitstud postitusi.<br />
<br />
<br />
Suuremale osale kasutajatele antakse staatilisi html faile. Need kasutajad kellele ei edastata puhverdatud lehti siiski saavad kasu, kuna nemad näevad väheke teistsuguseid puverdatud faile, mis küll ei ole nii effektiivsed kuid siiski paremad kui täiesti puhverdamata failid.<br />
<br />
'''Paigaldamine'''<br />
<br />
[[File:Wordpress_Plugins.png|right|]]<br />
<br />
<br />
<br />
[[File:Wordpress_search.png|400px|thumb|right]]<br />
<br />
<br />
''Super Cache''-i paigaldamiseks tuleb sisse logida admin-paneeli. Siis vasakult nimekirjast valida '''''Plugins'''''-i alt '''Add new'''.<br />
<br />
[[File:Install_wordpress.png|400px|thumb|right|]]<br />
<br />
[[File:Activate_wordpress.png|400px|thumb|right|]]<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Siis kirjutada otsingusse "'''WP Super Cache'''".<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Pärast seda valida nimekirjast ''Super Cache'' ning vajutada "'''Install now'''".<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Pärast seda "'''Activate the Plugin'''".<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
[[File:Permset.png|400px|thumb|right|]]<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Pärast seda ilmub "Permlink Structure error", see on see tõttu,et ''Super Cache''-i toimimiseks on vajalik valida '''''Custom structure''''' ''Permalink''-i seadete alt ning sisestada sinna '''/index.php/?p=%post_id%'''<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Edasi vali vasakult '''''Settings'''''-u alt '''WP Super Cache'''.<br />
Nüüd ütleb wordpress,et "WP_CACHE constant set to false" selle muutmiseks tuleb käsurealt avada wp-config-php fail:<br />
<br />
nano /var/www/wordpress/wp-config.php<br />
<br />
ning sinna lisada rida: <br />
<br />
define('WP_CACHE', true);<br />
<br />
Pärast seda salvestada wp-config.php ning brauseris tuleks refresh teha.<br />
<br />
Lisaks tuleb muuta .htaccess faili sisu mis peaks välja nägema selline:<br />
<br />
# BEGIN WordPress<br />
<IfModule mod_rewrite.c><br />
RewriteEngine On<br />
RewriteBase /<br />
RewriteRule ^index\.php$ - [L]<br />
RewriteCond %{REQUEST_FILENAME} !-f<br />
RewriteCond %{REQUEST_FILENAME} !-d<br />
RewriteRule . /index.php [L]<br />
</IfModule><br />
# END WordPress<br />
<br />
kuna wordpress tahab .htaccess faili ka ise muuta aegajalt siis on hea panna htaccessi õigused 777 peale käsuga:<br />
chmod 777 .htaccess<br />
<br />
Pärast konfimist tuleks '''kindlasti''' .htaccess õigused vähemaks võtta kuna konstantselt ei pea õigused 777 peal olema, need on tarvilikud vaid konfi ajaks.<br />
<br />
'''Jõudluse võrdlus SuperCache-iga ja ilma'''<br />
Supercache-iga<br />
Benchmarking www.itkool.ee (be patient)<br />
Completed 100 requests<br />
Completed 200 requests<br />
Finished 200 requests<br />
<br />
<br />
Server Software: Apache/2.2.17<br />
Server Hostname: www.itkool.ee<br />
Server Port: 80<br />
<br />
Document Path: /<br />
Document Length: 9554 bytes<br />
<br />
Concurrency Level: 200<br />
Time taken for tests: 1.457 seconds<br />
Complete requests: 200<br />
Failed requests: 0<br />
Write errors: 0<br />
Total transferred: 1971800 bytes<br />
HTML transferred: 1910800 bytes<br />
Requests per second: 137.30 [#/sec] (mean)<br />
Time per request: 1456.617 [ms] (mean)<br />
Time per request: 7.283 [ms] (mean, across all concurrent requests)<br />
Transfer rate: 1321.96 [Kbytes/sec] received<br />
Connection Times (ms)<br />
min mean[+/-sd] median max<br />
Connect: 7 10 2.1 10 14<br />
Processing: 55 798 409.6 821 1441<br />
Waiting: 8 751 410.1 770 1437<br />
Total: 68 808 407.6 831 1447<br />
Percentage of the requests served within a certain time (ms)<br />
50% 831<br />
66% 1036<br />
75% 1159<br />
80% 1236<br />
90% 1366<br />
95% 1434<br />
98% 1445<br />
99% 1446<br />
100% 1447 (longest request)<br />
<br />
ilma:<br />
<br />
Benchmarking www.itkool.ee (be patient)<br />
Completed 100 requests<br />
Completed 200 requests<br />
Finished 200 requests<br />
<br />
<br />
Server Software: Apache/2.2.17<br />
Server Hostname: www.itkool.ee<br />
Server Port: 80<br />
<br />
Document Path: /<br />
Document Length: 9413 bytes<br />
<br />
Concurrency Level: 20<br />
Time taken for tests: 25.600 seconds<br />
Complete requests: 200<br />
Failed requests: 172<br />
(Connect: 0, Receive: 0, Length: 172, Exceptions: 0)<br />
Write errors: 0<br />
Total transferred: 1932771 bytes<br />
HTML transferred: 1882571 bytes<br />
Requests per second: 7.81 [#/sec] (mean)<br />
Time per request: 2560.029 [ms] (mean)<br />
Time per request: 128.001 [ms] (mean, across all concurrent requests)<br />
Transfer rate: 73.73 [Kbytes/sec] received<br />
<br />
Connection Times (ms)<br />
min mean[+/-sd] median max<br />
Connect: 0 1 1.4 0 5<br />
Processing: 803 2522 572.9 2485 4346<br />
Waiting: 648 2126 526.2 2053 4000<br />
Total: 807 2523 572.5 2485 4346<br />
<br />
Percentage of the requests served within a certain time (ms)<br />
50% 2485<br />
66% 2557<br />
75% 2690<br />
80% 2740<br />
90% 3120<br />
95% 3624<br />
98% 4261<br />
99% 4272<br />
100% 4346 (longest request)<br />
<br />
<br />
'''Ühenduse probleemid'''<br />
<br />
Juhul kui esineb probleem,et serverile on määratud uus ip-aadress ning ip-aadressile minnes näidatakse vanalt ip-aadressilt pärit cache'i sisu siis sellest probleemist mööda saamiseks tuleb käsurealt muuta wp-config.php faili:<br />
<br />
nano /var/www/wordpress/wp-config.php<br />
<br />
ning sealt seest:<br />
<br />
define('WP_CACHE', false); #See tuleb kindlasti tagasi muuta "true"-ks pärast ühenduse saamist.<br />
<br />
Nüüd peaks wordpress jälle näitama uut sisu. Juhul kui siiski on probleeme ning juhul kui '''andmebaas on tühi''' siis võib ka sql-is teha järgmist:<br />
<br />
'''NB Seda teha ainult siis kui andmebaas on tühi!!!'''<br />
<source lang="mysql"><br />
drop database student_wordpress;<br />
</source><br />
ning siis uuesti:<br />
<source lang="mysql"><br />
create database student_wordpress:<br />
</source><br />
Pärast andmebaasi loomist teha apache-ile restart:<br />
<br />
service apache2 restart <br />
<br />
Ja tuleb uuesti seadistada wordpressi lehekülg.<br />
<br />
== Iptables ==<br />
<br />
'''Laboris tuleb kasutada enda IP'd!'''<br />
<br />
Teie '''iptables.conf''' fail peab välja nägema nii nagu näidatud allpool:<br />
<br />
<pre><br />
-A INPUT -s 192.168.6.101/32 -p tcp -m tcp --dport 8000 -j ACCEPT <br />
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT <br />
-A INPUT -s 192.168.6.1/32 -p tcp -m tcp --dport 22 -j ACCEPT <br />
-A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied:" --log-level 7<br />
-A INPUT -p tcp -m tcp --dport 80 -m connlimit --connlimit-above 10 --connlimit-mask 32 -j REJECT --reject-with icmp-port-unreachable<br />
-A INPUT -s 192.168.6.101/32 -j ACCEPT <br />
-A INPUT -m state --state ESTABLISHED -j ACCEPT <br />
-A OUTPUT -o lo -j ACCEPT <br />
COMMIT<br />
</pre><br />
<br />
'''Räägime täpsemalt milleks need reeglid vaja on.'''<br />
<br />
<br />
Kui tahame varnish'it kasutada, tuleb lubada porti 8000:<br />
<pre><br />
iptables -A INPUT -s 192.168.6.101/32 -p tcp -m tcp --dport 8000 -j ACCEPT<br />
</pre><br />
<br />
Lubame weebiserveri:<br />
<pre><br />
iptables -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT<br />
</pre><br />
<br />
SSH lubamiseks sellest IP-st:<br />
<pre><br />
iptables -A INPUT -s 192.168.6.1/32 -p tcp -m tcp --dport 22 -j ACCEPT<br />
</pre><br />
<br />
Näidises on pandud connection limitiks 10, testimiseks seda piisab küll aga seda arvu võib muuta suuremaks, näiteks suurtes ettevõttetes kliendid kes istuvad NAT'i taga, ei saa liigi leheküljele, sest connection limit ühest IP-st on piiratud 10-ga. Ainult 10 klienti saab korraga vaatada veebilehti.<br />
See rida annab võimalust katkestada ühendusi mille arv on üle 10 pordis 80:<br />
<pre><br />
iptables -A INPUT -p tcp -m tcp --dport 80 -m connlimit --connlimit-above 10 --connlimit-mask 32 -j REJECT --reject-with icmp-port-unreachable<br />
</pre><br />
<br />
Praegu meil ei salvestatakse logi failid. Kui tahame näha täpsemalt millised paketid vistakse minema, peame lubama logimist:<br />
<pre><br />
iptables -A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied:" --log-level 7<br />
</pre><br />
<br />
<pre><br />
iptables -A INPUT -s 192.168.6.101/32 -j ACCEPT<br />
</pre><br />
<br />
Väljaminevate ühenduste jaoks tagasi tulnud pakette lubamiseks:<br />
<pre><br />
iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT<br />
</pre><br />
<br />
<pre><br />
iptables -A OUTPUT -o lo -j ACCEPT <br />
</pre><br />
<br />
= Teised turvameetodid = <br />
<br />
On olemas mitmeid erinevaid võimalusi, kuidas veel saab oma wordpressi veebilehe turvata.<br />
<br />
== Späm filter ==<br />
<br />
Akismet (Automattic Kismet) on spämmi filter. Antud teenus püüab filtreerida spämmi mis tuleb blogi kommentaaridest ja TrackPack pingidest. Filter kombineerib informatsiooni mis ta kogus kõikidest blogidest ja kasutab need spämmi reegleid, et blokeerida tuleviku spämmi. Akismet on loodud Automattic firma poolt, ettevõtte mis keskendub vaba-tarkvara arendamisele WordPressi platformi jaoks. Akismet tuli välja 25. oktroobril aastal 2005 ja seisuga Aprill 2011 juba püüdis üle 25 miljardi spämmi kommentaare ja pinge.<br />
<br />
Akisment on WordPressi sisseehitatud aga vaikimisi on ta välja lülitatud, kuna selle sisse lülitamine nõuab võtmegas audentimist. Blogi administratoor peab ise antud teenust aktiveerima. <br />
Selleks, et aktiveerida Akismeti, on vaja:<br />
<br />
1) Administraatoori paneelis on vaja valida '''Plugins - Installed''' <br />
<br />
2) Linnuke Akismeti juurde ja valida '''"Activate"'''<br />
<br />
3) Nüüd peab sisestama Akismeti API võtme. Võtme saab tasuta tellida Akismeti ametlikult veebilehelt.<br />
<br />
4) Vajuta '''"Update options"'''<br />
<br />
5) Akismeti spämmi filter on sisselülitatud.<br />
<br />
Nüüd on vaja mõned postituse reegleid konfigureerida. Selleks on vaja valida '''Settings - Discussion''' menüü alt ja välja lülitada: '''An administrator must always approve the comment'''.<br />
<br />
Nüüd ei pea administraator isiklikult iga kommentaari läbi vaatama ja kinnitama. Antud tööga hakkab tegelema Akismet.<br />
<br />
== Anti-bot lahendus ==<br />
<br />
On olemas mitmeid erinevaid võimalusi kuidas saab kindlaks teha, et kasutaja, kes postitab on inimene. Selle jaoks on igasuguseid captcha meetodeid, näiteks kasutaja peab sisestama juhuslikult kombineeritud teksti või lahendama mingeid lihtsaid matemaatilisi võrrandeid. Antud meetodid ei ole eriti "sõbralikud", sest vahel tekivad probleemid kasutajatele, eriti nendele, kes ei suuda korralikult näha märke.<br />
<br />
Palju sõbralikum ja lihtsam anti-bot meetod on lahendus, kus kasutaja peab märkima linnukese kommentaari alla. Selle jaoks wordpressil on plugin Growmap Anti Spambot Plugin. Plugini installeerimiseks on vaja:<br />
<br />
1) Mine oma wordpress plugin kataloogisse<br />
<br />
<pre>cd /var/www/wp-content/plugins/</pre><br />
<br />
2) Käsuga wget allalaadime plugini<br />
<br />
<pre>wget http://downloads.wordpress.org/plugin/growmap-anti-spambot-plugin.1.1.zip</pre><br />
<br />
3) Pakime lahti antud arhiivi<br />
<br />
<pre>unzip growmap-anti-spambot-plugin.1.1.zip</pre><br />
<br />
Nüüd tuleb minna tagasi oma wordpress administratoori menüüsse ja aktiveerida see plugin.<br />
<br />
== IP kontroll ==<br />
<br />
Tihti on vaja turvata väga vajalikke faile. Selle jaoks on vaja:<br />
<br />
1) Mine oma wordpress kataloogi<br />
<br />
<pre>cd /var/www/wordpress</pre><br />
<br />
2) Teeme .htaccess faile. Antud teksti-fail wordpress kasutab oma reeglite jaoks. <br />
<br />
<pre>touch .htaccess</pre><br />
<br />
3) Kirjuta järgmised reegleid:<br />
<br />
Esiteks, kaitseme meie .htaccess faile, et keegi ei saaks selle vaadata.<br />
<br />
<pre><br />
#protect the htaccess file<br />
<files .htaccess><br />
order allow,deny<br />
deny from all<br />
</files><br />
</pre><br />
<br />
Kaitseme meie admin logini, selleks et adminina saab logida ainult määratud IP aadressilt.<br />
<br />
<pre><br />
<files wp-login.php><br />
Order Deny,Allow<br />
Deny from All<br />
Allow from 192.168.6.2<br />
</files><br />
</pre><br />
<br />
WPconfig on teine väga oluline fail. Seda tuleb ka kaitsta:<br />
<br />
<pre><br />
#protect wpconfig.php<br />
<files wp-config.php><br />
Order Deny,Allow<br />
Deny from All<br />
allow from 192.168.6.2<br />
</files><br />
</pre><br />
<br />
Nüüd tuleb '''wp-admin''' kataloogis teha veel uue '''.htaccess''' faili ja kirjutada järgmised reegleid:<br />
<br />
<pre><br />
AuthUserFile /dev/null<br />
AuthGroupFile /dev/null<br />
AuthName "WordPress Admin Access Control"<br />
AuthType Basic<br />
<LIMIT GET><br />
order deny,allow<br />
deny from all<br />
#kirjuta oma IP<br />
allow from 192.168.6.2<br />
</LIMIT><br />
</pre><br />
<br />
<br />
http://wptidbits.com/tutorials/21-most-popular-htaccess-hacks-for-wordpress/<br />
<br />
=Autorid=<br />
<br />
'''Wordpressi paigaldus ja konfigureerimine''' - Risto Siitan A32<br />
<br />
'''mod_evasive paigaldus ja konfigureerimine''' - Meelis Tamm, A31. Allikas: [http://acidborg.wordpress.com/2009/06/25/installation-configuration-of-mod_evasive-in-ubuntu-server-9-04/]<br />
<br />
'''Varnish Cache-i paigaldamine ja konfigureerimine''' - Jaan Vahtre A31 ja Vadim Vinogradin A31<br />
<br />
'''Super Cache''' - Kristjan Vask A31 Risto Siitan A32<br />
<br />
'''Iptables''' - Sergei Barol A31<br />
<br />
'''Teised turvameetodid''' - Vladimir Kolesnik A32<br />
<br />
[[Category:IT infrastruktuuri teenused]]</div>Sbarolhttps://wiki.itcollege.ee/index.php?title=WordPress_turvamine&diff=44030WordPress turvamine2011-12-07T09:19:46Z<p>Sbarol: /* Iptables */</p>
<hr />
<div>'''!NB Kõik õpetused on tehtud kasutades Ubuntu Server 11.04'''<br />
<br />
Viimati muudetud [[User:Metamm|Metamm]] 11:03, 1 December 2011 (EET)<br />
<br />
== Wordpressi paigaldus ja konfigureerimine ==<br />
<br />
Antud toimingud tuleks teha root õigustes.<br />
<br />
Mine root-iks:<br />
sudo -i<br />
<br />
<br />
Tee update kohalike pakettide cache<br />
aptitude update<br />
<br />
<br />
Tee upgrade pakettidele:<br />
aptitude full-upgrade<br />
<br />
Paigalda acpid daemon<br />
aptitude install acpid<br />
<br />
<br />
Installi apache2 veebi server,mysql andmebaasi server, openssh server, php5 skriptimis keel ning apache2-utils(Apache benchmark tool)<br />
aptitude install apache2 mysql-server ssh php5 php5-mysql apache2-utils<br />
<br />
<br />
Tõmba alla kõige hilisem .tar fail wordpress.org-ist:<br />
wget http://wordpress.org/latest.tar.gz<br />
<br />
<br />
<br />
Paki lahti wordpressi failid /var/www kausta:<br />
sudo tar zxvf latest.tar.gz --directory=/var/www/<br />
<br />
<br />
Logi mysql-i sisse:<br />
<br />
mysql -u root -p<br />
<br />
Loo andmebaas student_wordpress:<br />
<source lang="mysql"><br />
create database student_wordpress;<br />
</source><br />
Loo kasutaja student:<br />
<source lang="mysql"><br />
create user student;<br />
</source><br />
Anna kõik õigused student kasutajale:<br />
<source lang="mysql"><br />
GRANT ALL PRIVILEGES ON student_wordpress.* TO student@localhost IDENTIFIED BY ‘student’;<br />
</source><br />
Välju mysql-ist:<br />
<source lang="mysql"><br />
quit;<br />
</source><br />
<br />
Loo uus default veebi saidil põhinev veebi sait:<br />
<br />
cp /etc/apache2/sites-available/default /etc/apache2/sites-available/wp<br />
<br />
<br />
Muuda ära DocumentRoot /etc/apache2/sites-avalible/wp failis:<br />
<br />
nano /etc/apache2/sites-avalible/wp<br />
<br />
Lisa DocumentRoot /var/www rea lõppu DocumentRoot /var/www/wordpress<br />
DocumentRoot /var/www/wordpress<br />
<br />
<br />
<br />
Keela ära tavaline default veebi sait(seda ei ole vaja antud paigalduses):<br />
<br />
a2dissite default<br />
<br />
<br />
Luba wordpress-i veebisait<br />
<br />
a2ensite wp<br />
<br />
Tee apache-ile restart<br />
<br />
service apache2 restart<br />
<br />
Muuda wordpress konfiguratsiooni faili:<br />
<br />
nano /var/www/wordpress/wp-config-sample.php<br />
<br />
Muuda DB_NAME, DB_USER, DB_PASSWORD vastavalt näitele:<br />
<br />
<source lang="php">define('DB_NAME', 'student_wordpress');<br />
<br />
/** MySQL database username */<br />
define('DB_USER', 'student');<br />
<br />
/** MySQL database password */<br />
define('DB_PASSWORD', 'student');<br />
</source><br />
<br />
Kopeeri uus konfiguratsiooni fail wordpressi konfiguratsiooni failiks:<br />
<br />
cp /var/www/wordpress/wp-config-sample.php /var/www/wordpress/wp-config.php<br />
<br />
<br />
Tee apache2 service-ile reload<br />
<br />
service apache2 reload<br />
<br />
Mine wordpressi saidile kasutades host-i IP aadressi(antud näites:192.168.56.102);<br />
<br />
http://192.168.56.102<br />
<br />
<br />
Vali saidi nimi, kasutajanimi, salasõna ning meili aadress.<br />
<br />
Vali install<br />
<br />
Installi lõppedes tee kindlaks,et kõik toimib(logi sisse, vaata wp verisooni ilmselt midagi sellist: You are using WordPress 3.2.1.)<br />
<br />
== mod_evasive paigaldus ja konfigureerimine ==<br />
<br />
=== Sissejuhatus ===<br />
<br />
Mod_evasive on lisamoodul Apache'i veebiserveri jaoks, mille abil on võimalik vähendada või täielikult tõrjuda<br />
HTTP DoS, DDos või brute force rünnakute mõju. Ühtlasi saab seda kasutada ka monitooringu teostamiseks,<br />
kuna moodulit on lihtne panna suhtlema erinevate tulemüüride ja ruuteritega.<br />
<br />
Monitooring baseerub dünaamilisel IP aadressitest ja URI-dest koosneval räsitabelil,<br />
kust siis keelatakse IP aadressid, mis:<br />
<br />
*küsivad ühte lehte rohkem kui paar korda sekundis<br />
*teevad rohkem kui 50 üheaegset requesti sama laps-protsessi vastu<br />
*üritavad teha ükskõik millist requesti samal ajal kui nad on mustas nimekirjas<br />
<br />
=== Paigaldus ===<br />
<br />
Paigaldamine Ubuntu 11.04 serverile on küllaltki lihtne<br />
<br />
apt-get install libapache2-mod-evasive<br />
<br />
=== Konfigureerimine ===<br />
<br />
Kõigepealt on viisakas luua koht, kuhu antud moodul oma logi saaks salvestada<br />
mkdir /var/log/apache2/mod_evasive<br />
chown www-data:www-data /var/log/apache2/mod_evasive<br />
<br />
'''NB! Logimine praegu ei tööta'''<br />
<br />
Mod_evasive moodulil ei lubata antud kausta kirjutada<br />
Couldn't open logfile /var/log/apache2/mod_evasive/dos-192.168.6.13: Permission denied<br />
<br />
Nüüd jääb üle lisada vastavad read oma virtuaalsesse hosti (N:~/apache2/sites-enabled/wordpress lõppu)<br />
<br />
<ifmodule mod_evasive20.c><br />
DOSHashTableSize 3097<br />
DOSPageCount 2<br />
DOSSiteCount 50<br />
DOSPageInterval 1<br />
DOSSiteInterval 1<br />
DOSBlockingPeriod 10<br />
DOSLogDir /var/log/apache2/mod_evasive<br />
DOSEmailNotify root@localhost<br />
DOSWhitelist 127.0.0.1<br />
</ifmodule><br />
<br />
Antud väärtusi tuleks kohandada vastavalt vajadustele<br />
<br />
Parameetrite kirjeldused:<br />
<br />
*DOSHashTableSize: Räsitabeli suurus, kus IP aadresseid hoitakse.<br />
*DOSPageCount: Lehekülgede arv DOSPageInterval sekundis.<br />
*DOSPageInterval: Aeg sekundites, mida kasutab DOSPageCount.<br />
*DOSSiteCount: Objektide arv DOSSiteInterval sekundites.<br />
*DOSSiteInterval: Aeg sekundites, mida kasutab DOSSiteCount.<br />
*DOSBlockingPeriod: Aeg sekundites, kui kaua IP on bannitud. Kui IP üritab serverile selle aja see ligi pääseda, siis algab loendus ueusti nullist.<br />
*DOSLogDir: Valikuline. Kataloogitee, kuhu logi salvestatakse. Kui pole määratud kasutatakse /tmp.<br />
*DOSEmailNotify: Valikuline. Mail kuhu teated saadetakse.<br />
*DOSSystemCommand: Valikuline. Käsk mis käivitatakse, kui IP bannitakse. Näiteks:<br />
**DOSSystemCommand "/sbin/iptables -I INPUT -p tcp --dport 80 -s %s -j DROP"<br />
*DOSWhitelist: Valikuline. Nimekiri IP aadressitest, mida ei blokita.<br />
<br />
<br />
Kui konfigureerimine valmis, tuleb Apache serverlie teha restart<br />
<br />
/etc/init.d/apache2 restart<br />
VÕI<br />
service apache2 restart<br />
<br />
==Varnish Cache-i paigaldamine ja konfigureerimine==<br />
===Sissejuhatus===<br />
'''Varnish Cache''' – see on HTTP kiirendaja, seda on vaja selleks, et suurendada veebilehekülje kiirust. <br />
<br />
Varnish Cache salvestab mälus veebilehekülgi nii, et veebiserverid ei pea koguma samu lehekülgi uuesti. Seda on vaja selleks, et vähendada koormust I/O süsteemile.<br />
<br />
Varnish kontrollib cache'ist päringu olemasolu ning juhul kui selline leidub siis võetakse sealt päringu vastus ning saadetakse vastus kasutajale. Juhul kui cache'is ei ole konkreetset päringut saadetakse kasutaja päring ''backend''-i ning lisatakse cache'i koos vastusega.<br />
<br />
===Paigaldamine===<br />
Kui te soovite installida Varnishit, siis on vaja teha uuendusi. Selle käsu abil uuendame opsüsteemi:<br />
sudo apt-get update<br />
Paigaldamise käsk:<br />
sudo apt-get install varnish<br />
===Konfiguratsiooni muutmine===<br />
Esimene, mis me teeme on default pordi muutmine. Tuleb muuta faili '''/etc/default/varnish''':<br />
nano /etc/default/varnish<br />
<br />
Konfiguratsioon Varnishi jaoks kirjutatakse VCL keeles. <br />
<br />
Fail konfiguratsioonidega vaikimisi asub siin '''/etc/varnish/default.vcl'''<br />
Fail oleneb mitmest osadest, aga mis on vaja töötamise alguseks - see on backendi viitamine:<br />
<br />
'''Backend''' - see on server, kuhu varnish saadab päringut, kui tal ei ole vastavad andmeid cache-is.<br />
<br />
Kopeerige fail '''/etc/varnish/default.vcl''' ja andke teine nimetus<br />
cp /etc/varnish/default.vcl /etc/varnish/itkool.vcl<br />
<br />
Ava fail '''/etc/varnish/itkool.vcl''' ja sisesta <br />
nano /etc/varnish/itkool.vcl<br />
<br />
<pre><br />
## Redirect requests to Apache, running on port 8000 on localhost<br />
backend apache {<br />
.host = "127.0.0.1";<br />
.port = "8000";<br />
}<br />
## Fetch<br />
sub vcl_fetch {<br />
## Remove the X-Forwarded-For header if it exists.<br />
remove req.http.X-Forwarded-For;<br />
<br />
## insert the client IP address as X-Forwarded-For. This is the normal IP address of the user.<br />
set req.http.X-Forwarded-For = req.http.rlnclientipaddr;<br />
## Added security, the "w00tw00t" attacks are pretty annoying so lets block it before it reaches our webserver<br />
if (req.url ~ "^/w00tw00t") {<br />
error 403 "Not permitted";<br />
}<br />
## Deliver the content<br />
return(deliver);<br />
}<br />
<br />
## Deliver<br />
sub vcl_deliver {<br />
## We'll be hiding some headers added by Varnish. We want to make sure people are not seeing we're using Varnish.<br />
## Since we're not caching (yet), why bother telling people we use it?<br />
remove resp.http.X-Varnish;<br />
remove resp.http.Via;<br />
remove resp.http.Age;<br />
<br />
## We'd like to hide the X-Powered-By headers. Nobody has to know we can run PHP and have version xyz of it.<br />
remove resp.http.X-Powered-By;<br />
}<br />
</pre><br />
Salvesta fail CTRL + O käsuga<br />
<br />
===Apache konfiguratsiooni muutmine===<br />
Ava fail '''/etc/apache2/ports.conf''' ja leia<br />
nano /etc/apache2/ports.conf<br />
<br />
<pre><br />
NameVirtualHost *:80<br />
Listen 192.168.6.101:80<br />
</pre><br />
'''192.168.6.101''' - veebiserveri IP aadress.<br />
<br />
Muuda <br />
<br />
<pre><br />
NameVirtualHost *:8000<br />
Listen 192.168.6.101:8000<br />
</pre><br />
Ava fail '''/etc/apache2/sites-available/wp''' ja leia<br />
<br />
<pre><br />
<VirtualHost *:80><br />
ServerAdmin webmaster@localhost<br />
<br />
</pre><br />
<br />
Muuda<br />
<pre><br />
VirtualHost *:8000><br />
ServerAdmin webmaster@localhost<br />
</pre><br />
<br />
Paigaldame lisa Apache mooduli veendumaks, kas kasutaja IP aadress lahendatakse korrektselt. Kuna Varnish on lähedalt seotud apache2-ga, näete külastaja Ip-na 127.0.0.1<br />
nano apt-get install libapache2-mod-rpaf<br />
<br />
'''RPAF''' (Reverse Proxy Add Forward) moodul holitseb selle eest, et localhosti IP vahetatakse ära IP-ga, mis on seadistatud X-Forwarded-For failis.<br />
<br />
===Deemonide restart===<br />
Restart Apache server:<br />
/etc/init.d/apache2 restart<br />
<br />
Kontrolli kas on olemas IP portid: <br />
netstat -lp | grep apache2<br />
<br />
Kui te näete, siis kõik on korras<br />
tcp 0 0 *:https *:* LISTEN 843/apache2 <br />
tcp 0 0 192.168.6.101:8000 *:* LISTEN 843/apache2 <br />
<br />
Kui ei näita niimodi, siis on viga. Praegu teeme Varnishile restardi, et kuulata teema pordis 80<br />
/etc/init.d/varnish restart <br />
<br />
Kontrolli <br />
netstat -lp | grep varnish<br />
tcp 0 0 *:www *:* LISTEN 781/varnishd <br />
tcp 0 0 localhost:6082 *:* LISTEN 779/varnishd <br />
tcp6 0 0 [::]:www [::]:* LISTEN 781/varnishd<br />
<br />
Varnish on sätitud Apache-is. Külasta saiti ja vaata, kas toimib, kuid üldjuhul ei saa Te aru, et midagi oleks muutunud. Kui sa tõmbad Apache maha, siis näed lehel Varnishi errorit.<br />
<br />
http://www.howtoforge.com/putting-varnish-in-front-of-apache-on-ubuntu-debian<br />
<br />
== Super Cache ==<br />
<br />
'''Sissejuhatus'''<br />
<br />
''Super Cache'' on Wordpressi väga kiire puhvri mootor, mis loob staatilisi html faile.<br />
<br />
See pistikprogramm genereerib staatilisi html faile dünaamilisest Wordpressi blogist. Pärast seda kui html fail on loodud, annab veebiserver seda faili kasutajatele, selle asemel,et loob iga kord uue lehe vastavalt Wordpressi php skritpidele. Suure koormuse puhul on ''Super Cache'' väga kasulik, kuna nagu ka hiljem on testi tulemustest näha siis serverilt vastuse saamiseks kuluv aeg on mitu korda väiksem.<br />
<br />
Staatilisi html-e saavad enamik kasutajaid:<br />
<br />
1.Kasutajad, kes ei ole sisse logitud.<br />
<br />
2.Kasutajad, kes ei ole ühtegi kommentaari blogisse jätnud.<br />
<br />
3.Kasutajad, kes ei ole vaadanud salasõnaga kaitstud postitusi.<br />
<br />
<br />
Suuremale osale kasutajatele antakse staatilisi html faile. Need kasutajad kellele ei edastata puhverdatud lehti siiski saavad kasu, kuna nemad näevad väheke teistsuguseid puverdatud faile, mis küll ei ole nii effektiivsed kuid siiski paremad kui täiesti puhverdamata failid.<br />
<br />
'''Paigaldamine'''<br />
<br />
[[File:Wordpress_Plugins.png|right|]]<br />
<br />
<br />
<br />
[[File:Wordpress_search.png|400px|thumb|right]]<br />
<br />
<br />
''Super Cache''-i paigaldamiseks tuleb sisse logida admin-paneeli. Siis vasakult nimekirjast valida '''''Plugins'''''-i alt '''Add new'''.<br />
<br />
[[File:Install_wordpress.png|400px|thumb|right|]]<br />
<br />
[[File:Activate_wordpress.png|400px|thumb|right|]]<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Siis kirjutada otsingusse "'''WP Super Cache'''".<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Pärast seda valida nimekirjast ''Super Cache'' ning vajutada "'''Install now'''".<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Pärast seda "'''Activate the Plugin'''".<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
[[File:Permset.png|400px|thumb|right|]]<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Pärast seda ilmub "Permlink Structure error", see on see tõttu,et ''Super Cache''-i toimimiseks on vajalik valida '''''Custom structure''''' ''Permalink''-i seadete alt ning sisestada sinna '''/index.php/?p=%post_id%'''<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Edasi vali vasakult '''''Settings'''''-u alt '''WP Super Cache'''.<br />
Nüüd ütleb wordpress,et "WP_CACHE constant set to false" selle muutmiseks tuleb käsurealt avada wp-config-php fail:<br />
<br />
nano /var/www/wordpress/wp-config.php<br />
<br />
ning sinna lisada rida: <br />
<br />
define('WP_CACHE', true);<br />
<br />
Pärast seda salvestada wp-config.php ning brauseris tuleks refresh teha.<br />
<br />
Lisaks tuleb muuta .htaccess faili sisu mis peaks välja nägema selline:<br />
<br />
# BEGIN WordPress<br />
<IfModule mod_rewrite.c><br />
RewriteEngine On<br />
RewriteBase /<br />
RewriteRule ^index\.php$ - [L]<br />
RewriteCond %{REQUEST_FILENAME} !-f<br />
RewriteCond %{REQUEST_FILENAME} !-d<br />
RewriteRule . /index.php [L]<br />
</IfModule><br />
# END WordPress<br />
<br />
kuna wordpress tahab .htaccess faili ka ise muuta aegajalt siis on hea panna htaccessi õigused 777 peale käsuga:<br />
chmod 777 .htaccess<br />
<br />
Pärast konfimist tuleks '''kindlasti''' .htaccess õigused vähemaks võtta kuna konstantselt ei pea õigused 777 peal olema, need on tarvilikud vaid konfi ajaks.<br />
<br />
'''Jõudluse võrdlus SuperCache-iga ja ilma'''<br />
Supercache-iga<br />
Benchmarking www.itkool.ee (be patient)<br />
Completed 100 requests<br />
Completed 200 requests<br />
Finished 200 requests<br />
<br />
<br />
Server Software: Apache/2.2.17<br />
Server Hostname: www.itkool.ee<br />
Server Port: 80<br />
<br />
Document Path: /<br />
Document Length: 9554 bytes<br />
<br />
Concurrency Level: 200<br />
Time taken for tests: 1.457 seconds<br />
Complete requests: 200<br />
Failed requests: 0<br />
Write errors: 0<br />
Total transferred: 1971800 bytes<br />
HTML transferred: 1910800 bytes<br />
Requests per second: 137.30 [#/sec] (mean)<br />
Time per request: 1456.617 [ms] (mean)<br />
Time per request: 7.283 [ms] (mean, across all concurrent requests)<br />
Transfer rate: 1321.96 [Kbytes/sec] received<br />
Connection Times (ms)<br />
min mean[+/-sd] median max<br />
Connect: 7 10 2.1 10 14<br />
Processing: 55 798 409.6 821 1441<br />
Waiting: 8 751 410.1 770 1437<br />
Total: 68 808 407.6 831 1447<br />
Percentage of the requests served within a certain time (ms)<br />
50% 831<br />
66% 1036<br />
75% 1159<br />
80% 1236<br />
90% 1366<br />
95% 1434<br />
98% 1445<br />
99% 1446<br />
100% 1447 (longest request)<br />
<br />
ilma:<br />
<br />
Benchmarking www.itkool.ee (be patient)<br />
Completed 100 requests<br />
Completed 200 requests<br />
Finished 200 requests<br />
<br />
<br />
Server Software: Apache/2.2.17<br />
Server Hostname: www.itkool.ee<br />
Server Port: 80<br />
<br />
Document Path: /<br />
Document Length: 9413 bytes<br />
<br />
Concurrency Level: 20<br />
Time taken for tests: 25.600 seconds<br />
Complete requests: 200<br />
Failed requests: 172<br />
(Connect: 0, Receive: 0, Length: 172, Exceptions: 0)<br />
Write errors: 0<br />
Total transferred: 1932771 bytes<br />
HTML transferred: 1882571 bytes<br />
Requests per second: 7.81 [#/sec] (mean)<br />
Time per request: 2560.029 [ms] (mean)<br />
Time per request: 128.001 [ms] (mean, across all concurrent requests)<br />
Transfer rate: 73.73 [Kbytes/sec] received<br />
<br />
Connection Times (ms)<br />
min mean[+/-sd] median max<br />
Connect: 0 1 1.4 0 5<br />
Processing: 803 2522 572.9 2485 4346<br />
Waiting: 648 2126 526.2 2053 4000<br />
Total: 807 2523 572.5 2485 4346<br />
<br />
Percentage of the requests served within a certain time (ms)<br />
50% 2485<br />
66% 2557<br />
75% 2690<br />
80% 2740<br />
90% 3120<br />
95% 3624<br />
98% 4261<br />
99% 4272<br />
100% 4346 (longest request)<br />
<br />
<br />
'''Ühenduse probleemid'''<br />
<br />
Juhul kui esineb probleem,et serverile on määratud uus ip-aadress ning ip-aadressile minnes näidatakse vanalt ip-aadressilt pärit cache'i sisu siis sellest probleemist mööda saamiseks tuleb käsurealt muuta wp-config.php faili:<br />
<br />
nano /var/www/wordpress/wp-config.php<br />
<br />
ning sealt seest:<br />
<br />
define('WP_CACHE', false); #See tuleb kindlasti tagasi muuta "true"-ks pärast ühenduse saamist.<br />
<br />
Nüüd peaks wordpress jälle näitama uut sisu. Juhul kui siiski on probleeme ning juhul kui '''andmebaas on tühi''' siis võib ka sql-is teha järgmist:<br />
<br />
'''NB Seda teha ainult siis kui andmebaas on tühi!!!'''<br />
<source lang="mysql"><br />
drop database student_wordpress;<br />
</source><br />
ning siis uuesti:<br />
<source lang="mysql"><br />
create database student_wordpress:<br />
</source><br />
Pärast andmebaasi loomist teha apache-ile restart:<br />
<br />
service apache2 restart <br />
<br />
Ja tuleb uuesti seadistada wordpressi lehekülg.<br />
<br />
== Iptables ==<br />
<br />
Teie '''iptables.conf''' fail peab välja nägema nii nagu näidatud allpool:<br />
<br />
<pre><br />
-A INPUT -s 192.168.6.101/32 -p tcp -m tcp --dport 8000 -j ACCEPT <br />
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT <br />
-A INPUT -s 192.168.6.1/32 -p tcp -m tcp --dport 22 -j ACCEPT <br />
-A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied:" --log-level 7<br />
-A INPUT -p tcp -m tcp --dport 80 -m connlimit --connlimit-above 10 --connlimit-mask 32 -j REJECT --reject-with icmp-port-unreachable<br />
-A INPUT -s 192.168.6.101/32 -j ACCEPT <br />
-A INPUT -m state --state ESTABLISHED -j ACCEPT <br />
-A OUTPUT -o lo -j ACCEPT <br />
COMMIT<br />
</pre><br />
<br />
'''Räägime täpsemalt milleks need reeglid vaja on.'''<br />
<br />
'''Laboris tuleb kasutada enda IP'd!'''<br />
<br />
Kui tahame varnish'it kasutada, tuleb lubada porti 8000:<br />
<pre><br />
iptables -A INPUT -s 192.168.6.101/32 -p tcp -m tcp --dport 8000 -j ACCEPT<br />
</pre><br />
<br />
Lubame weebiserveri:<br />
<pre><br />
iptables -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT<br />
</pre><br />
<br />
SSH lubamiseks sellest IP-st:<br />
<pre><br />
iptables -A INPUT -s 192.168.6.1/32 -p tcp -m tcp --dport 22 -j ACCEPT<br />
</pre><br />
<br />
Näidises on pandud connection limitiks 10, testimiseks seda piisab küll aga seda arvu võib muuta suuremaks, näiteks suurtes ettevõttetes kliendid kes istuvad NAT'i taga, ei saa liigi leheküljele, sest connection limit ühest IP-st on piiratud 10-ga. Ainult 10 klienti saab korraga vaatada veebilehti.<br />
See rida annab võimalust katkestada ühendusi mille arv on üle 10 pordis 80:<br />
<pre><br />
iptables -A INPUT -p tcp -m tcp --dport 80 -m connlimit --connlimit-above 10 --connlimit-mask 32 -j REJECT --reject-with icmp-port-unreachable<br />
</pre><br />
<br />
Praegu meil ei salvestatakse logi failid. Kui tahame näha täpsemalt millised paketid vistakse minema, peame lubama logimist:<br />
<pre><br />
iptables -A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied:" --log-level 7<br />
</pre><br />
<br />
<pre><br />
iptables -A INPUT -s 192.168.6.101/32 -j ACCEPT<br />
</pre><br />
<br />
Väljaminevate ühenduste jaoks tagasi tulnud pakette lubamiseks:<br />
<pre><br />
iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT<br />
</pre><br />
<br />
<pre><br />
iptables -A OUTPUT -o lo -j ACCEPT <br />
</pre><br />
<br />
= Teised turvameetodid = <br />
<br />
On olemas mitmeid erinevaid võimalusi, kuidas veel saab oma wordpressi veebilehe turvata.<br />
<br />
== Späm filter ==<br />
<br />
Akismet (Automattic Kismet) on spämmi filter. Antud teenus püüab filtreerida spämmi mis tuleb blogi kommentaaridest ja TrackPack pingidest. Filter kombineerib informatsiooni mis ta kogus kõikidest blogidest ja kasutab need spämmi reegleid, et blokeerida tuleviku spämmi. Akismet on loodud Automattic firma poolt, ettevõtte mis keskendub vaba-tarkvara arendamisele WordPressi platformi jaoks. Akismet tuli välja 25. oktroobril aastal 2005 ja seisuga Aprill 2011 juba püüdis üle 25 miljardi spämmi kommentaare ja pinge.<br />
<br />
Akisment on WordPressi sisseehitatud aga vaikimisi on ta välja lülitatud, kuna selle sisse lülitamine nõuab võtmegas audentimist. Blogi administratoor peab ise antud teenust aktiveerima. <br />
Selleks, et aktiveerida Akismeti, on vaja:<br />
<br />
1) Administraatoori paneelis on vaja valida '''Plugins - Installed''' <br />
<br />
2) Linnuke Akismeti juurde ja valida '''"Activate"'''<br />
<br />
3) Nüüd peab sisestama Akismeti API võtme. Võtme saab tasuta tellida Akismeti ametlikult veebilehelt.<br />
<br />
4) Vajuta '''"Update options"'''<br />
<br />
5) Akismeti spämmi filter on sisselülitatud.<br />
<br />
Nüüd on vaja mõned postituse reegleid konfigureerida. Selleks on vaja valida '''Settings - Discussion''' menüü alt ja välja lülitada: '''An administrator must always approve the comment'''.<br />
<br />
Nüüd ei pea administraator isiklikult iga kommentaari läbi vaatama ja kinnitama. Antud tööga hakkab tegelema Akismet.<br />
<br />
== Anti-bot lahendus ==<br />
<br />
On olemas mitmeid erinevaid võimalusi kuidas saab kindlaks teha, et kasutaja, kes postitab on inimene. Selle jaoks on igasuguseid captcha meetodeid, näiteks kasutaja peab sisestama juhuslikult kombineeritud teksti või lahendama mingeid lihtsaid matemaatilisi võrrandeid. Antud meetodid ei ole eriti "sõbralikud", sest vahel tekivad probleemid kasutajatele, eriti nendele, kes ei suuda korralikult näha märke.<br />
<br />
Palju sõbralikum ja lihtsam anti-bot meetod on lahendus, kus kasutaja peab märkima linnukese kommentaari alla. Selle jaoks wordpressil on plugin Growmap Anti Spambot Plugin. Plugini installeerimiseks on vaja:<br />
<br />
1) Mine oma wordpress plugin kataloogisse<br />
<br />
<pre>cd /var/www/wp-content/plugins/</pre><br />
<br />
2) Käsuga wget allalaadime plugini<br />
<br />
<pre>wget http://downloads.wordpress.org/plugin/growmap-anti-spambot-plugin.1.1.zip</pre><br />
<br />
3) Pakime lahti antud arhiivi<br />
<br />
<pre>unzip growmap-anti-spambot-plugin.1.1.zip</pre><br />
<br />
Nüüd tuleb minna tagasi oma wordpress administratoori menüüsse ja aktiveerida see plugin.<br />
<br />
== IP kontroll ==<br />
<br />
Tihti on vaja turvata väga vajalikke faile. Selle jaoks on vaja:<br />
<br />
1) Mine oma wordpress kataloogi<br />
<br />
<pre>cd /var/www/wordpress</pre><br />
<br />
2) Teeme .htaccess faile. Antud teksti-fail wordpress kasutab oma reeglite jaoks. <br />
<br />
<pre>touch .htaccess</pre><br />
<br />
3) Kirjuta järgmised reegleid:<br />
<br />
Esiteks, kaitseme meie .htaccess faile, et keegi ei saaks selle vaadata.<br />
<br />
<pre><br />
#protect the htaccess file<br />
<files .htaccess><br />
order allow,deny<br />
deny from all<br />
</files><br />
</pre><br />
<br />
Kaitseme meie admin logini, selleks et adminina saab logida ainult määratud IP aadressilt.<br />
<br />
<pre><br />
<files wp-login.php><br />
Order Deny,Allow<br />
Deny from All<br />
Allow from 192.168.6.2<br />
</files><br />
</pre><br />
<br />
WPconfig on teine väga oluline fail. Seda tuleb ka kaitsta:<br />
<br />
<pre><br />
#protect wpconfig.php<br />
<files wp-config.php><br />
Order Deny,Allow<br />
Deny from All<br />
allow from 192.168.6.2<br />
</files><br />
</pre><br />
<br />
Nüüd tuleb '''wp-admin''' kataloogis teha veel uue '''.htaccess''' faili ja kirjutada järgmised reegleid:<br />
<br />
<pre><br />
AuthUserFile /dev/null<br />
AuthGroupFile /dev/null<br />
AuthName "WordPress Admin Access Control"<br />
AuthType Basic<br />
<LIMIT GET><br />
order deny,allow<br />
deny from all<br />
#kirjuta oma IP<br />
allow from 192.168.6.2<br />
</LIMIT><br />
</pre><br />
<br />
<br />
http://wptidbits.com/tutorials/21-most-popular-htaccess-hacks-for-wordpress/<br />
<br />
=Autorid=<br />
<br />
'''Wordpressi paigaldus ja konfigureerimine''' - Risto Siitan A32<br />
<br />
'''mod_evasive paigaldus ja konfigureerimine''' - Meelis Tamm, A31. Allikas: [http://acidborg.wordpress.com/2009/06/25/installation-configuration-of-mod_evasive-in-ubuntu-server-9-04/]<br />
<br />
'''Varnish Cache-i paigaldamine ja konfigureerimine''' - Jaan Vahtre A31 ja Vadim Vinogradin A31<br />
<br />
'''Super Cache''' - Kristjan Vask A31 Risto Siitan A32<br />
<br />
'''Iptables''' - Sergei Barol A31<br />
<br />
'''Teised turvameetodid''' - Vladimir Kolesnik A32<br />
<br />
[[Category:IT infrastruktuuri teenused]]</div>Sbarolhttps://wiki.itcollege.ee/index.php?title=WordPress_turvamine&diff=43471WordPress turvamine2011-12-01T08:43:44Z<p>Sbarol: /* Iptables */</p>
<hr />
<div>'''!NB Kõik õpetused on tehtud kasutades Ubuntu Server 11.04'''<br />
<br />
WordPressi paigaldamine<br />
<br />
Varnishi lisamine wordpressile<br />
<br />
SuperCache kasutamine<br />
<br />
DoS rünnaku tõrjumine mod_evasive mooduliga<br />
<br />
== Wordpressi paigaldus ja konfigureerimine ==<br />
<br />
Antud toimingud tuleks teha root õigustes.<br />
<br />
Mine root-iks:<br />
sudo -i<br />
<br />
<br />
Tee update kohalike pakettide cache<br />
aptitude update<br />
<br />
<br />
Tee upgrade pakettidele:<br />
aptitude full-upgrade<br />
<br />
Paigalda acpid daemon<br />
aptitude install acpid<br />
<br />
<br />
Installi apache2 veebi server,mysql andmebaasi server, openssh server, php5 skriptimis keel ning apache2-utils(Apache benchmark tool)<br />
aptitude install apache2 mysql-server ssh php5 php5-mysql apache2-utils<br />
<br />
<br />
Tõmba alla kõige hilisem .tar fail wordpress.org-ist:<br />
wget http://wordpress.org/latest.tar.gz<br />
<br />
<br />
<br />
Paki lahti wordpressi failid /var/www kausta:<br />
sudo tar zxvf latest.tar.gz --directory=/var/www/<br />
<br />
<br />
Logi mysql-i sisse:<br />
<br />
mysql -u root -p<br />
<br />
Loo andmebaas student_wordpress:<br />
<source lang="mysql"><br />
create database student_wordpress;<br />
</source><br />
Loo kasutaja student:<br />
<source lang="mysql"><br />
create user student;<br />
</source><br />
Anna kõik õigused student kasutajale:<br />
<source lang="mysql"><br />
GRANT ALL PRIVILEGES ON student_wordpress.* TO student@localhost IDENTIFIED BY ‘student’;<br />
</source><br />
Välju mysql-ist:<br />
<source lang="mysql"><br />
quit;<br />
</source><br />
<br />
Loo uus default veebi saidil põhinev veebi sait:<br />
<br />
cp /etc/apache2/sites-available/default /etc/apache2/sites-available/wp<br />
<br />
<br />
Muuda ära DocumentRoot /etc/apache2/sites-avalible/wp failis:<br />
<br />
nano /etc/apache2/sites-avalible/wp<br />
<br />
Lisa DocumentRoot /var/www rea lõppu DocumentRoot /var/www/wordpress<br />
DocumentRoot /var/www/wordpress<br />
<br />
<br />
<br />
Keela ära tavaline default veebi sait(seda ei ole vaja antud paigalduses):<br />
<br />
a2dissite default<br />
<br />
<br />
Luba wordpress-i veebisait<br />
<br />
a2ensite wp<br />
<br />
Tee apache-ile restart<br />
<br />
service apache2 restart<br />
<br />
Muuda wordpress konfiguratsiooni faili:<br />
<br />
nano /var/www/wordpress/wp-config-sample.php<br />
<br />
Muuda DB_NAME, DB_USER, DB_PASSWORD vastavalt näitele:<br />
<br />
<source lang="php">define('DB_NAME', 'student_wordpress');<br />
<br />
/** MySQL database username */<br />
define('DB_USER', 'student');<br />
<br />
/** MySQL database password */<br />
define('DB_PASSWORD', 'student');<br />
</source><br />
<br />
Kopeeri uus konfiguratsiooni fail wordpressi konfiguratsiooni failiks:<br />
<br />
cp /var/www/wordpress/wp-config-sample.php /var/www/wordpress/wp-config.php<br />
<br />
<br />
Tee apache2 service-ile reload<br />
<br />
service apache2 reload<br />
<br />
Mine wordpressi saidile kasutades host-i IP aadressi(antud näites:192.168.56.102);<br />
<br />
http://192.168.56.102<br />
<br />
<br />
Vali saidi nimi, kasutajanimi, salasõna ning meili aadress.<br />
<br />
Vali install<br />
<br />
Installi lõppedes tee kindlaks,et kõik toimib(logi sisse, vaata wp verisooni ilmselt midagi sellist: You are using WordPress 3.2.1.)<br />
<br />
== mod_evasive paigaldus ja konfigureerimine ==<br />
<br />
=== Sissejuhatus ===<br />
<br />
Mod_evasive on lisamoodul Apache'i veebiserveri jaoks, mille abil on võimalik vähendada või täielikult tõrjuda<br />
HTTP DoS, DDos või brute force rünnakute mõju. Ühtlasi saab seda kasutada ka monitooringu teostamiseks,<br />
kuna moodulit on lihtne panna suhtlema erinevate tulemüüride ja ruuteritega.<br />
<br />
Monitooring baseerub dünaamilisel IP aadressitest ja URI-dest koosneval räsitabelil,<br />
kust siis keelatakse IP aadressid, mis:<br />
<br />
*küsivad ühte lehte rohkem kui paar korda sekundis<br />
*teevad rohkem kui 50 üheaegset requesti sama laps-protsessi vastu<br />
*üritavad teha ükskõik millist requesti samal ajal kui nad on mustas nimekirjas<br />
<br />
=== Paigaldus ===<br />
<br />
Paigaldamine Ubuntu 11.04 serverile on küllaltki lihtne<br />
<br />
apt-get install libapache2-mod-evasive<br />
<br />
=== Konfigureerimine ===<br />
<br />
Kõigepealt on viisakas luua koht, kuhu antud moodul oma logi saaks salvestada<br />
mkdir /var/log/apache2/mod_evasive<br />
chown www-data:www-data /var/log/apache2/mod_evasive<br />
<br />
'''NB! Logimine praegu ei tööta'''<br />
<br />
Mod_evasive moodulil ei lubata antud kausta kirjutada<br />
Couldn't open logfile /var/log/apache2/mod_evasive/dos-192.168.6.13: Permission denied<br />
<br />
Nüüd jääb üle lisada vastavad read oma virtuaalsesse hosti (N:~/apache2/sites-enabled/wordpress lõppu)<br />
<br />
<ifmodule mod_evasive20.c><br />
DOSHashTableSize 3097<br />
DOSPageCount 2<br />
DOSSiteCount 50<br />
DOSPageInterval 1<br />
DOSSiteInterval 1<br />
DOSBlockingPeriod 10<br />
DOSLogDir /var/log/apache2/mod_evasive<br />
DOSEmailNotify root@localhost<br />
DOSWhitelist 127.0.0.1<br />
</ifmodule><br />
<br />
Antud väärtusi tuleks kohandada vastavalt vajadustele<br />
<br />
Parameetrite kirjeldused:<br />
<br />
*DOSHashTableSize: Räsitabeli suurus, kus IP aadresseid hoitakse.<br />
*DOSPageCount: Lehekülgede arv DOSPageInterval sekundis.<br />
*DOSPageInterval: Aeg sekundites, mida kasutab DOSPageCount.<br />
*DOSSiteCount: Objektide arv DOSSiteInterval sekundites.<br />
*DOSSiteInterval: Aeg sekundites, mida kasutab DOSSiteCount.<br />
*DOSBlockingPeriod: Aeg sekundites, kui kaua IP on bannitud. Kui IP üritab serverile selle aja see ligi pääseda, siis algab loendus ueusti nullist.<br />
*DOSLogDir: Valikuline. Kataloogitee, kuhu logi salvestatakse. Kui pole määratud kasutatakse /tmp.<br />
*DOSEmailNotify: Valikuline. Mail kuhu teated saadetakse.<br />
*DOSSystemCommand: Valikuline. Käsk mis käivitatakse, kui IP bannitakse. Näiteks:<br />
**DOSSystemCommand "/sbin/iptables -I INPUT -p tcp --dport 80 -s %s -j DROP"<br />
*DOSWhitelist: Valikuline. Nimekiri IP aadressitest, mida ei blokita.<br />
<br />
<br />
Kui konfigureerimine valmis, tuleb Apache serverlie teha restart<br />
<br />
/etc/init.d/apache2 restart<br />
VÕI<br />
service apache2 restart<br />
<br />
==Varnish Cache-i paigaldamine ja konfigureerimine==<br />
===Sissejuhatus===<br />
'''Varnish Cache''' – see on HTTP kiirendaja, seda on vaja selleks, et suurendada veebilehekülje kiirust. <br />
<br />
Varnish Cache salvestab mälus veebilehekülgi nii, et veebiserverid ei pea koguma samu lehekülgi uuesti. Seda on vaja selleks, et vähendada koormust I/O süsteemile.<br />
<br />
Varnish kontrollib cache'ist päringu olemasolu ning juhul kui selline leidub siis võetakse sealt päringu vastus ning saadetakse vastus kasutajale. Juhul kui cache'is ei ole konkreetset päringut saadetakse kasutaja päring ''backend''-i ning lisatakse cache'i koos vastusega.<br />
<br />
===Paigaldamine===<br />
Kui te soovite installida Varnishit, siis on vaja teha uuendusi. Selle käsu abil uuendame opsüsteemi:<br />
sudo apt-get update<br />
Paigaldamise käsk:<br />
sudo apt-get install varnish<br />
===Konfiguratsiooni muutmine===<br />
Esimene, mis me teeme on default pordi muutmine. Tuleb muuta faili '''/etc/default/varnish''':<br />
nano /etc/default/varnish<br />
<br />
Konfiguratsioon Varnishi jaoks kirjutatakse VCL keeles. <br />
<br />
Fail konfiguratsioonidega vaikimisi asub siin '''/etc/varnish/default.vcl'''<br />
Fail oleneb mitmest osadest, aga mis on vaja töötamise alguseks - see on backendi viitamine:<br />
<br />
'''Backend''' - see on server, kuhu varnish saadab päringut, kui tal ei ole vastavad andmeid cache-is.<br />
<br />
Kopeerige fail '''/etc/varnish/default.vcl''' ja andke teine nimetus<br />
cp /etc/varnish/default.vcl /etc/varnish/itkool.vcl<br />
<br />
Ava fail '''/etc/varnish/itkool.vcl''' ja sisesta <br />
nano /etc/varnish/itkool.vcl<br />
<br />
<pre><br />
## Redirect requests to Apache, running on port 8000 on localhost<br />
backend apache {<br />
.host = "127.0.0.1";<br />
.port = "8000";<br />
}<br />
## Fetch<br />
sub vcl_fetch {<br />
## Remove the X-Forwarded-For header if it exists.<br />
remove req.http.X-Forwarded-For;<br />
<br />
## insert the client IP address as X-Forwarded-For. This is the normal IP address of the user.<br />
set req.http.X-Forwarded-For = req.http.rlnclientipaddr;<br />
## Added security, the "w00tw00t" attacks are pretty annoying so lets block it before it reaches our webserver<br />
if (req.url ~ "^/w00tw00t") {<br />
error 403 "Not permitted";<br />
}<br />
## Deliver the content<br />
return(deliver);<br />
}<br />
<br />
## Deliver<br />
sub vcl_deliver {<br />
## We'll be hiding some headers added by Varnish. We want to make sure people are not seeing we're using Varnish.<br />
## Since we're not caching (yet), why bother telling people we use it?<br />
remove resp.http.X-Varnish;<br />
remove resp.http.Via;<br />
remove resp.http.Age;<br />
<br />
## We'd like to hide the X-Powered-By headers. Nobody has to know we can run PHP and have version xyz of it.<br />
remove resp.http.X-Powered-By;<br />
}<br />
</pre><br />
Salvesta fail CTRL + O käsuga<br />
<br />
===Apache konfiguratsiooni muutmine===<br />
Ava fail '''/etc/apache2/ports.conf''' ja leia<br />
nano /etc/apache2/ports.conf<br />
<br />
<pre><br />
NameVirtualHost *:80<br />
Listen 192.168.6.101:80<br />
</pre><br />
'''192.168.6.101''' - veebiserveri IP aadress.<br />
<br />
Muuda <br />
<br />
<pre><br />
NameVirtualHost *:8000<br />
Listen 192.168.6.101:8000<br />
</pre><br />
Ava fail '''/etc/apache2/sites-available/wp''' ja leia<br />
<br />
<pre><br />
<VirtualHost *:80><br />
ServerAdmin webmaster@localhost<br />
<br />
</pre><br />
<br />
Muuda<br />
<pre><br />
VirtualHost *:8000><br />
ServerAdmin webmaster@localhost<br />
</pre><br />
<br />
Paigaldame lisa Apache mooduli veendumaks, kas kasutaja IP aadress lahendatakse korrektselt. Kuna Varnish on lähedalt seotud apache2-ga, näete külastaja Ip-na 127.0.0.1<br />
nano apt-get install libapache2-mod-rpaf<br />
<br />
'''RPAF''' (Reverse Proxy Add Forward) moodul holitseb selle eest, et localhosti IP vahetatakse ära IP-ga, mis on seadistatud X-Forwarded-For failis.<br />
<br />
===Deemonide restart===<br />
Restart Apache server:<br />
/etc/init.d/apache2 restart<br />
<br />
Kontrolli kas on olemas IP portid: <br />
netstat -lp | grep apache2<br />
<br />
Kui te näete, siis kõik on korras<br />
tcp 0 0 *:https *:* LISTEN 843/apache2 <br />
tcp 0 0 192.168.6.101:8000 *:* LISTEN 843/apache2 <br />
<br />
Kui ei näita niimodi, siis on viga. Praegu teeme Varnishile restardi, et kuulata teema pordis 80<br />
/etc/init.d/varnish restart <br />
<br />
Kontrolli <br />
netstat -lp | grep varnish<br />
tcp 0 0 *:www *:* LISTEN 781/varnishd <br />
tcp 0 0 localhost:6082 *:* LISTEN 779/varnishd <br />
tcp6 0 0 [::]:www [::]:* LISTEN 781/varnishd<br />
<br />
Varnish on sätitud Apache-is. Külasta saiti ja vaata, kas toimib, kuid üldjuhul ei saa Te aru, et midagi oleks muutunud. Kui sa tõmbad Apache maha, siis näed lehel Varnishi errorit.<br />
<br />
http://www.howtoforge.com/putting-varnish-in-front-of-apache-on-ubuntu-debian<br />
<br />
== Super Cache ==<br />
<br />
'''Sissejuhatus'''<br />
<br />
''Super Cache'' on Wordpressi väga kiire puhvri mootor, mis loob staatilisi html faile.<br />
<br />
See pistikprogramm genereerib staatilisi html faile dünaamilisest Wordpressi blogist. Pärast seda kui html fail on loodud, annab veebiserver seda faili kasutajatele, selle asemel,et loob iga kord uue lehe vastavalt Wordpressi php skritpidele. Suure koormuse puhul on ''Super Cache'' väga kasulik, kuna nagu ka hiljem on testi tulemustest näha siis serverilt vastuse saamiseks kuluv aeg on mitu korda väiksem.<br />
<br />
Staatilisi html-e saavad enamik kasutajaid:<br />
<br />
1.Kasutajad, kes ei ole sisse logitud.<br />
<br />
2.Kasutajad, kes ei ole ühtegi kommentaari blogisse jätnud.<br />
<br />
3.Kasutajad, kes ei ole vaadanud salasõnaga kaitstud postitusi.<br />
<br />
<br />
Suuremale osale kasutajatele antakse staatilisi html faile. Need kasutajad kellele ei edastata puhverdatud lehti siiski saavad kasu, kuna nemad näevad väheke teistsuguseid puverdatud faile, mis küll ei ole nii effektiivsed kuid siiski paremad kui täiesti puhverdamata failid.<br />
<br />
'''Paigaldamine'''<br />
<br />
[[File:Wordpress_Plugins.png|right|]]<br />
<br />
<br />
<br />
[[File:Wordpress_search.png|400px|thumb|right]]<br />
<br />
<br />
''Super Cache''-i paigaldamiseks tuleb sisse logida admin-paneeli. Siis vasakult nimekirjast valida '''''Plugins'''''-i alt '''Add new'''.<br />
<br />
[[File:Install_wordpress.png|400px|thumb|right|]]<br />
<br />
[[File:Activate_wordpress.png|400px|thumb|right|]]<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Siis kirjutada otsingusse "'''WP Super Cache'''".<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Pärast seda valida nimekirjast ''Super Cache'' ning vajutada "'''Install now'''".<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Pärast seda "'''Activate the Plugin'''".<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
[[File:Permset.png|400px|thumb|right|]]<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Pärast seda ilmub "Permlink Structure error", see on see tõttu,et ''Super Cache''-i toimimiseks on vajalik valida '''''Custom structure''''' ''Permalink''-i seadete alt ning sisestada sinna '''/index.php/?p=%post_id%'''<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Edasi vali vasakult '''''Settings'''''-u alt '''WP Super Cache'''.<br />
Nüüd ütleb wordpress,et "WP_CACHE constant set to false" selle muutmiseks tuleb käsurealt avada wp-config-php fail:<br />
<br />
nano /var/www/wordpress/wp-config.php<br />
<br />
ning sinna lisada rida: <br />
<br />
define('WP_CACHE', true);<br />
<br />
Pärast seda salvestada wp-config.php ning brauseris tuleks refresh teha.<br />
<br />
Lisaks tuleb muuta .htaccess faili sisu mis peaks välja nägema selline:<br />
<br />
# BEGIN WordPress<br />
<IfModule mod_rewrite.c><br />
RewriteEngine On<br />
RewriteBase /<br />
RewriteRule ^index\.php$ - [L]<br />
RewriteCond %{REQUEST_FILENAME} !-f<br />
RewriteCond %{REQUEST_FILENAME} !-d<br />
RewriteRule . /index.php [L]<br />
</IfModule><br />
# END WordPress<br />
<br />
kuna wordpress tahab .htaccess faili ka ise muuta aegajalt siis on hea panna htaccessi õigused 777 peale käsuga:<br />
chmod 777 .htaccess<br />
<br />
Pärast konfimist tuleks '''kindlasti''' .htaccess õigused vähemaks võtta kuna konstantselt ei pea õigused 777 peal olema, need on tarvilikud vaid konfi ajaks.<br />
<br />
'''Jõudluse võrdlus SuperCache-iga ja ilma'''<br />
Supercache-iga<br />
Benchmarking www.itkool.ee (be patient)<br />
Completed 100 requests<br />
Completed 200 requests<br />
Finished 200 requests<br />
<br />
<br />
Server Software: Apache/2.2.17<br />
Server Hostname: www.itkool.ee<br />
Server Port: 80<br />
<br />
Document Path: /<br />
Document Length: 9554 bytes<br />
<br />
Concurrency Level: 200<br />
Time taken for tests: 1.457 seconds<br />
Complete requests: 200<br />
Failed requests: 0<br />
Write errors: 0<br />
Total transferred: 1971800 bytes<br />
HTML transferred: 1910800 bytes<br />
Requests per second: 137.30 [#/sec] (mean)<br />
Time per request: 1456.617 [ms] (mean)<br />
Time per request: 7.283 [ms] (mean, across all concurrent requests)<br />
Transfer rate: 1321.96 [Kbytes/sec] received<br />
Connection Times (ms)<br />
min mean[+/-sd] median max<br />
Connect: 7 10 2.1 10 14<br />
Processing: 55 798 409.6 821 1441<br />
Waiting: 8 751 410.1 770 1437<br />
Total: 68 808 407.6 831 1447<br />
Percentage of the requests served within a certain time (ms)<br />
50% 831<br />
66% 1036<br />
75% 1159<br />
80% 1236<br />
90% 1366<br />
95% 1434<br />
98% 1445<br />
99% 1446<br />
100% 1447 (longest request)<br />
<br />
ilma:<br />
<br />
Benchmarking www.itkool.ee (be patient)<br />
Completed 100 requests<br />
Completed 200 requests<br />
Finished 200 requests<br />
<br />
<br />
Server Software: Apache/2.2.17<br />
Server Hostname: www.itkool.ee<br />
Server Port: 80<br />
<br />
Document Path: /<br />
Document Length: 9413 bytes<br />
<br />
Concurrency Level: 20<br />
Time taken for tests: 25.600 seconds<br />
Complete requests: 200<br />
Failed requests: 172<br />
(Connect: 0, Receive: 0, Length: 172, Exceptions: 0)<br />
Write errors: 0<br />
Total transferred: 1932771 bytes<br />
HTML transferred: 1882571 bytes<br />
Requests per second: 7.81 [#/sec] (mean)<br />
Time per request: 2560.029 [ms] (mean)<br />
Time per request: 128.001 [ms] (mean, across all concurrent requests)<br />
Transfer rate: 73.73 [Kbytes/sec] received<br />
<br />
Connection Times (ms)<br />
min mean[+/-sd] median max<br />
Connect: 0 1 1.4 0 5<br />
Processing: 803 2522 572.9 2485 4346<br />
Waiting: 648 2126 526.2 2053 4000<br />
Total: 807 2523 572.5 2485 4346<br />
<br />
Percentage of the requests served within a certain time (ms)<br />
50% 2485<br />
66% 2557<br />
75% 2690<br />
80% 2740<br />
90% 3120<br />
95% 3624<br />
98% 4261<br />
99% 4272<br />
100% 4346 (longest request)<br />
<br />
<br />
'''Ühenduse probleemid'''<br />
<br />
Juhul kui esineb probleem,et serverile on määratud uus ip-aadress ning ip-aadressile minnes näidatakse vanalt ip-aadressilt pärit cache'i sisu siis sellest probleemist mööda saamiseks tuleb käsurealt muuta wp-config.php faili:<br />
<br />
nano /var/www/wordpress/wp-config.php<br />
<br />
ning sealt seest:<br />
<br />
define('WP_CACHE', false); #See tuleb kindlasti tagasi muuta "true"-ks pärast ühenduse saamist.<br />
<br />
Nüüd peaks wordpress jälle näitama uut sisu. Juhul kui siiski on probleeme ning juhul kui '''andmebaas on tühi''' siis võib ka sql-is teha järgmist:<br />
<br />
'''NB Seda teha ainult siis kui andmebaas on tühi!!!'''<br />
<source lang="mysql"><br />
drop database student_wordpress;<br />
</source><br />
ning siis uuesti:<br />
<source lang="mysql"><br />
create database student_wordpress:<br />
</source><br />
Pärast andmebaasi loomist teha apache-ile restart:<br />
<br />
service apache2 restart <br />
<br />
Ja tuleb uuesti seadistada wordpressi lehekülg.<br />
<br />
== Iptables ==<br />
<br />
'''protsessis...'''<br />
<br />
Teie '''iptables.conf''' fail peab välja nägema nii nagu näidatud allpool:<br />
<br />
<pre><br />
-A INPUT -s 192.168.6.101/32 -p tcp -m tcp --dport 8000 -j ACCEPT <br />
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT <br />
-A INPUT -s 192.168.6.1/32 -p tcp -m tcp --dport 22 -j ACCEPT <br />
-A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied:" --log-level 7<br />
-A INPUT -p tcp -m tcp --dport 80 -m connlimit --connlimit-above 10 --connlimit-mask 32 -j REJECT --reject-with icmp-port-unreachable<br />
-A INPUT -s 192.168.6.101/32 -j ACCEPT <br />
-A INPUT -m state --state ESTABLISHED -j ACCEPT <br />
-A OUTPUT -o lo -j ACCEPT <br />
COMMIT<br />
</pre><br />
<br />
'''Räägime täpsemalt milleks need reeglid vaja on.'''<br />
<br />
'''1. Endaoma IP'd'''<br />
<br />
Kui tahame varnish'it kasutada, tuleb lubada porti 8000:<br />
<pre><br />
iptables -A INPUT -s 192.168.6.101/32 -p tcp -m tcp --dport 8000 -j ACCEPT<br />
</pre><br />
<br />
Lubame weebiserveri:<br />
<pre><br />
iptables -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT<br />
</pre><br />
<br />
SSH lubamiseks sellest IP-st:<br />
<pre><br />
iptables -A INPUT -s 192.168.6.1/32 -p tcp -m tcp --dport 22 -j ACCEPT<br />
</pre><br />
<br />
Näidises on pandud connection limitiks 10, testimiseks seda piisab küll aga seda arvu võib muuta suuremaks, näiteks suurtes ettevõttetes kliendid kes istuvad NAT'i taga, ei saa liigi leheküljele, sest connection limit ühest IP-st on piiratud 10-ga. Ainult 10 klienti saab korraga vaatada veebilehti.<br />
See rida annab võimalust katkestada ühendusi mille arv on üle 10 pordis 80:<br />
<pre><br />
iptables -A INPUT -p tcp -m tcp --dport 80 -m connlimit --connlimit-above 10 --connlimit-mask 32 -j REJECT --reject-with icmp-port-unreachable<br />
</pre><br />
<br />
Praegu meil ei salvestatakse logi failid. Kui tahame näha täpsemalt millised paketid vistakse minema, peame lubama logimist:<br />
<pre><br />
iptables -A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied:" --log-level 7<br />
</pre><br />
<br />
<pre><br />
iptables -A INPUT -s 192.168.6.101/32 -j ACCEPT<br />
</pre><br />
<br />
Väljaminevate ühenduste jaoks tagasi tulnud pakette lubamiseks:<br />
<pre><br />
iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT<br />
</pre><br />
<br />
<pre><br />
iptables -A OUTPUT -o lo -j ACCEPT <br />
</pre><br />
<br />
= Teised turvameetodid = <br />
<br />
On olemas mitmeid erinevaid võimalusi, kuidas veel saab oma wordpressi veebilehe turvata.<br />
<br />
== Späm filter ==<br />
<br />
Akismet (Automattic Kismet) on spämmi filter. Antud teenus püüab filtreerida spämmi mis tuleb blogi kommentaaridest ja TrackPack pingidest. Filter kombineerib informatsiooni mis ta kogus kõikidest blogidest ja kasutab need spämmi reegleid, et blokeerida tuleviku spämmi. Akismet on loodud Automattic firma poolt, ettevõtte mis keskendub vaba-tarkvara arendamisele WordPressi platformi jaoks. Akismet tuli välja 25. oktroobril aastal 2005 ja seisuga Aprill 2011 juba püüdis üle 25 miljardi spämmi kommentaare ja pinge.<br />
<br />
Akisment on WordPressi sisseehitatud aga vaikimisi on ta välja lülitatud, kuna selle sisse lülitamine nõuab võtmegas audentimist. Blogi administratoor peab ise antud teenust aktiveerima. <br />
Selleks, et aktiveerida Akismeti, on vaja:<br />
<br />
1) Administraatoori paneelis on vaja valida '''Plugins - Installed''' <br />
<br />
2) Linnuke Akismeti juurde ja valida '''"Activate"'''<br />
<br />
3) Nüüd peab sisestama Akismeti API võtme. Võtme saab tasuta tellida Akismeti ametlikult veebilehelt.<br />
<br />
4) Vajuta '''"Update options"'''<br />
<br />
5) Akismeti spämmi filter on sisselülitatud.<br />
<br />
Nüüd on vaja mõned postituse reegleid konfigureerida. Selleks on vaja valida '''Settings - Discussion''' menüü alt ja välja lülitada: '''An administrator must always approve the comment'''.<br />
<br />
Nüüd ei pea administraator isiklikult iga kommentaari läbi vaatama ja kinnitama. Antud tööga hakkab tegelema Akismet.<br />
<br />
== Anti-bot lahendus ==<br />
<br />
On olemas mitmeid erinevaid võimalusi kuidas saab kindlaks teha, et kasutaja, kes postitab on inimene. Selle jaoks on igasuguseid captcha meetodeid, näiteks kasutaja peab sisestama juhuslikult kombineeritud teksti või lahendama mingeid lihtsaid matemaatilisi võrrandeid. Antud meetodid ei ole eriti "sõbralikud", sest vahel tekivad probleemid kasutajatele, eriti nendele, kes ei suuda korralikult näha märke.<br />
<br />
Palju sõbralikum ja lihtsam anti-bot meetod on lahendus, kus kasutaja peab märkima linnukese kommentaari alla. Selle jaoks wordpressil on plugin Growmap Anti Spambot Plugin. Plugini installeerimiseks on vaja:<br />
<br />
1) Mine oma wordpress plugin kataloogisse<br />
<br />
<pre>cd /var/www/wp-content/plugins/</pre><br />
<br />
2) Käsuga wget allalaadime plugini<br />
<br />
<pre>wget http://downloads.wordpress.org/plugin/growmap-anti-spambot-plugin.1.1.zip</pre><br />
<br />
3) Pakime lahti antud arhiivi<br />
<br />
<pre>unzip growmap-anti-spambot-plugin.1.1.zip</pre><br />
<br />
Nüüd tuleb minna tagasi oma wordpress administratoori menüüsse ja aktiveerida see plugin.<br />
<br />
== IP kontroll ==<br />
<br />
Tihti on vaja turvata väga vajalikke faile. Selle jaoks on vaja:<br />
<br />
1) Mine oma wordpress kataloogi<br />
<br />
<pre>cd /var/www/wordpress</pre><br />
<br />
2) Teeme .htaccess faile. Antud teksti-fail wordpress kasutab oma reeglite jaoks. <br />
<br />
<pre>touch .htaccess</pre><br />
<br />
3) Kirjuta järgmised reegleid:<br />
<br />
Esiteks, kaitseme meie .htaccess faile, et keegi ei saaks selle vaadata.<br />
<br />
<pre><br />
#protect the htaccess file<br />
<files .htaccess><br />
order allow,deny<br />
deny from all<br />
</files><br />
</pre><br />
<br />
Kaitseme meie admin logini, selleks et adminina saab logida ainult määratud IP aadressilt.<br />
<br />
<pre><br />
<files wp-login.php><br />
Order Deny,Allow<br />
Deny from All<br />
Allow from 192.168.6.2<br />
</files><br />
</pre><br />
<br />
WPconfig on teine väga oluline fail. Seda tuleb ka kaitsta:<br />
<br />
<pre><br />
#protect wpconfig.php<br />
<files wp-config.php><br />
Order Deny,Allow<br />
Deny from All<br />
allow from 192.168.6.2<br />
</files><br />
</pre><br />
<br />
Nüüd tuleb '''wp-admin''' kataloogis teha veel uue '''.htaccess''' faili ja kirjutada järgmised reegleid:<br />
<br />
<pre><br />
AuthUserFile /dev/null<br />
AuthGroupFile /dev/null<br />
AuthName "WordPress Admin Access Control"<br />
AuthType Basic<br />
<LIMIT GET><br />
order deny,allow<br />
deny from all<br />
#kirjuta oma IP<br />
allow from 192.168.6.2<br />
</LIMIT><br />
</pre><br />
<br />
<br />
http://wptidbits.com/tutorials/21-most-popular-htaccess-hacks-for-wordpress/<br />
<br />
=Autorid=<br />
<br />
'''Wordpressi paigaldus ja konfigureerimine''' - Risto Siitan A32<br />
<br />
'''mod_evasive paigaldus ja konfigureerimine''' - Meelis Tamm, A31. Allikas: [http://acidborg.wordpress.com/2009/06/25/installation-configuration-of-mod_evasive-in-ubuntu-server-9-04/]<br />
<br />
'''Varnish Cache-i paigaldamine ja konfigureerimine''' - Jaan Vahtre A31 ja Vadim Vinogradin A31<br />
<br />
'''Super Cache''' - Kristjan Vask A31 Risto Siitan A32<br />
<br />
'''Iptables''' - Sergei Barol A31<br />
<br />
'''Teised turvameetodid''' - Vladimir Kolesnik A32<br />
<br />
[[Category:IT infrastruktuuri teenused]]</div>Sbarolhttps://wiki.itcollege.ee/index.php?title=WordPress_turvamine&diff=42397WordPress turvamine2011-11-16T08:49:39Z<p>Sbarol: /* Iptables */</p>
<hr />
<div>'''!NB Kõik õpetused on tehtud kasutades Ubuntu Server 11.04'''<br />
<br />
WordPressi paigaldamine<br />
<br />
Varnishi lisamine wordpressile<br />
<br />
SuperCache kasutamine<br />
<br />
DoS rünnaku tõrjumine mod_evasive mooduliga<br />
<br />
== Wordpressi paigaldus ja konfigureerimine ==<br />
<br />
Antud toimingud tuleks teha root õigustes.<br />
<br />
Mine root-iks:<br />
sudo -i<br />
<br />
<br />
Tee update kohalike pakettide cache<br />
aptitude update<br />
<br />
<br />
Tee upgrade pakettidele:<br />
aptitude full-upgrade<br />
<br />
Paigalda acpid daemon<br />
aptitude install acpid<br />
<br />
<br />
Installi apache2 veebi server,mysql andmebaasi server, openssh server, php5 skriptimis keel ning apache2-utils(Apache benchmark tool)<br />
aptitude install apache2 mysql-server ssh php5 php5-mysql apache2-utils<br />
<br />
<br />
Tõmba alla kõige hilisem .tar fail wordpress.org-ist:<br />
wget http://wordpress.org/latest.tar.gz<br />
<br />
<br />
<br />
Paki lahti wordpressi failid /var/www kausta:<br />
sudo tar zxvf latest.tar.gz --directory=/var/www/<br />
<br />
<br />
Logi mysql-i sisse:<br />
<br />
mysql -u root -p<br />
<br />
Loo andmebaas student_wordpress:<br />
<source lang="mysql"><br />
create database student_wordpress;<br />
</source><br />
Loo kasutaja student:<br />
<source lang="mysql"><br />
create user student;<br />
</source><br />
Anna kõik õigused student kasutajale:<br />
<source lang="mysql"><br />
GRANT ALL PRIVILEGES ON student_wordpress.* TO student@localhost IDENTIFIED BY ‘student’;<br />
</source><br />
Välju mysql-ist:<br />
<source lang="mysql"><br />
quit;<br />
</source><br />
<br />
Loo uus default veebi saidil põhinev veebi sait:<br />
<br />
cp /etc/apache2/sites-available/default /etc/apache2/sites-available/wp<br />
<br />
<br />
Muuda ära DocumentRoot /etc/apache2/sites-avalible/wp failis:<br />
<br />
nano /etc/apache2/sites-avalible/wp<br />
<br />
Lisa DocumentRoot /var/www rea lõppu DocumentRoot /var/www/wordpress<br />
DocumentRoot /var/www/wordpress<br />
<br />
<br />
<br />
<br />
Keela ära tavaline default veebi sait(seda ei ole vaja antud paigalduses):<br />
<br />
a2dissite default<br />
<br />
<br />
Luba wordpress-i veebisait<br />
<br />
a2ensite wp<br />
<br />
Tee apache-ile restart<br />
<br />
service apache2 restart<br />
<br />
Muuda wordpress konfiguratsiooni faili:<br />
<br />
nano /var/www/wordpress/wp-config-sample.php<br />
<br />
Muuda DB_NAME, DB_USER, DB_PASSWORD vastavalt näitele:<br />
<br />
<source lang="php">define('DB_NAME', 'student_wordpress');<br />
<br />
/** MySQL database username */<br />
define('DB_USER', 'student');<br />
<br />
/** MySQL database password */<br />
define('DB_PASSWORD', 'student');<br />
</source><br />
<br />
Kopeeri uus konfiguratsiooni fail wordpressi konfiguratsiooni failiks:<br />
<br />
cp /var/www/wordpress/wp-config-sample.php /var/www/wordpress/wp-config.php<br />
<br />
<br />
Tee apache2 service-ile reload<br />
<br />
service apache2 reload<br />
<br />
Mine wordpressi saidile kasutades host-i IP aadressi(antud näites:192.168.56.102);<br />
<br />
http://192.168.56.102<br />
<br />
<br />
Vali saidi nimi, kasutajanimi, salasõna ning meili aadress.<br />
<br />
Vali install<br />
<br />
Installi lõppedes tee kindlaks,et kõik toimib(log sisse, vaata wp verisooni ilmselt midagi sellist: You are using WordPress 3.2.1.)<br />
<br />
== mod_evasive paigaldus ja konfigureerimine ==<br />
<br />
=== Sissejuhatus ===<br />
<br />
Mod_evasive on lisamoodul Apache'i veebiserveri jaoks, mille abil on võimalik vähendada või täielikult tõrjuda<br />
HTTP DoS, DDos või brute force rünnakute mõju. Ühtlasi saab seda kasutada ka monitooringu teostamiseks,<br />
kuna moodulit on lihtne panna suhtlema erinevate tulemüüride ja ruuteritega.<br />
<br />
Monitooring baseerub dünaamilisel IP aadressitest ja URI-dest koosneval räsitabelil,<br />
kust siis keelatakse IP aadressid, mis:<br />
<br />
*küsivad ühte lehte rohkem kui paar korda sekundis<br />
*teevad rohkem kui 50 üheaegset requesti sama laps-protsessi vastu<br />
*üritavad teha ükskõik millist requesti samal ajal kui nad on mustas nimekirjas<br />
<br />
=== Paigaldus ===<br />
<br />
Paigaldamine Ubuntu 11.04 serverile on küllaltki lihtne<br />
<br />
apt-get install libapache2-mod-evasive<br />
<br />
=== Konfigureerimine ===<br />
<br />
Kõigepealt on viisakas luua koht, kuhu antud moodul oma logi saaks salvestada<br />
mkdir /var/log/apache2/mod_evasive<br />
chown www-data:www-data /var/log/apache2/mod_evasive<br />
<br />
'''NB! Logimine praegu ei tööta'''<br />
<br />
Mod_evasive moodulil ei lubata antud kausta kirjutada<br />
Couldn't open logfile /var/log/apache2/mod_evasive/dos-192.168.6.13: Permission denied<br />
<br />
Nüüd jääb üle lisada vastavad read oma virtuaalsesse hosti (N:~/apache2/sites-enabled/wordpress lõppu)<br />
<br />
<ifmodule mod_evasive20.c><br />
DOSHashTableSize 3097<br />
DOSPageCount 2<br />
DOSSiteCount 50<br />
DOSPageInterval 1<br />
DOSSiteInterval 1<br />
DOSBlockingPeriod 10<br />
DOSLogDir /var/log/apache2/mod_evasive<br />
DOSEmailNotify root@localhost<br />
DOSWhitelist 127.0.0.1<br />
</ifmodule><br />
<br />
Antud väärtusi tuleks kohandada vastavalt vajadustele<br />
<br />
Parameetrite kirjeldused:<br />
<br />
*DOSHashTableSize: Räsitabeli suurus, kus IP aadresseid hoitakse.<br />
*DOSPageCount: Lehekülgede arv DOSPageInterval sekundis.<br />
*DOSPageInterval: Aeg sekundites, mida kasutab DOSPageCount.<br />
*DOSSiteCount: Objektide arv DOSSiteInterval sekundites.<br />
*DOSSiteInterval: Aeg sekundites, mida kasutab DOSSiteCount.<br />
*DOSBlockingPeriod: Aeg sekundites, kui kaua IP on bannitud. Kui IP üritab serverile selle aja see ligi pääseda, siis algab loendus ueusti nullist.<br />
*DOSLogDir: Valikuline. Kataloogitee, kuhu logi salvestatakse. Kui pole määratud kasutatakse /tmp.<br />
*DOSEmailNotify: Valikuline. Mail kuhu teated saadetakse.<br />
*DOSSystemCommand: Valikuline. Käsk mis käivitatakse, kui IP bannitakse. Näiteks:<br />
**DOSSystemCommand "/sbin/iptables -I INPUT -p tcp --dport 80 -s %s -j DROP"<br />
*DOSWhitelist: Valikuline. Nimekiri IP aadressitest, mida ei blokita.<br />
<br />
<br />
Kui konfigureerimine valmis, tuleb Apache serverlie teha restart<br />
<br />
/etc/init.d/apache2 restart<br />
VÕI<br />
service apache2 restart<br />
<br />
=== Autor ===<br />
Meelis Tamm, A31<br />
<br />
Source: [http://acidborg.wordpress.com/2009/06/25/installation-configuration-of-mod_evasive-in-ubuntu-server-9-04/]<br />
<br />
==Varnish Cache-i paigaldamine ja konfigureerimine==<br />
===Sissejuhatus===<br />
'''Varnish Cache''' - on HTTP kiirendaja, seda on vaja selleks, et suurendada veebilehekülje kiirust. <br />
<br />
Varnish Cache salvestab mälus veebilehekülgi nii, et veebiserverid ei pea koguma samu lehekülgi uuesti. Seda on vaja selleks, et vähendada koormust I/O süsteemile.<br />
<br />
Varnish kontrollib cache'ist päringu olemasolu ning juhul kui selline leidub siis võetakse sealt päringu vastus ning saadetakse vastus kasutajale. Juhul kui cache'is ei ole konkreetset päringut saadetakse kasutaja päring ''backend''-i ning lisatakse cache'i koos vastusega.<br />
<br />
===Paigaldamine===<br />
Kui te soovite installida Varnishit, siis on vaja teha uuendusi. Selle käsu abil uuendame opsüsteemi:<br />
sudo apt-get update<br />
Paigaldamise käsk:<br />
sudo apt-get install varnish<br />
===Konfiguratsiooni muutmine===<br />
Esimene, mis me teeme, default pordi muutmine. Tuleb muuta faili '''/etc/default/varnish''':<br />
nano /etc/default/varnish<br />
<br />
Konfigureerimine Varnichi jaoks kirjutatakse VCL keeles. <br />
<br />
Fail konfiguratsioonidega vaikselt asub siin '''/etc/varnish/default.vcl'''<br />
Fail oleneb mitmest osadest, aga mis on vaja töötamise alguseks - see on backendi viitamine:<br />
<br />
'''Backend''' - see on server, kuhu varnish saadab päringut, kui tal ei ole vastavad andmeid cache-is.<br />
<br />
Kopeerige fail '''/etc/varnish/default.vcl''' ja andke teine nimetus<br />
cp /etc/varnish/default.vcl /etc/varnish/itkool.vcl<br />
<br />
Ava fail '''/etc/varnish/itkool.vcl''' ja sisesta <br />
nano /etc/varnish/itkool.vcl<br />
<br />
<pre><br />
## Redirect requests to Apache, running on port 8000 on localhost<br />
backend apache {<br />
.host = "127.0.0.1";<br />
.port = "8000";<br />
}<br />
## Fetch<br />
sub vcl_fetch {<br />
## Remove the X-Forwarded-For header if it exists.<br />
remove req.http.X-Forwarded-For;<br />
<br />
## insert the client IP address as X-Forwarded-For. This is the normal IP address of the user.<br />
set req.http.X-Forwarded-For = req.http.rlnclientipaddr;<br />
## Added security, the "w00tw00t" attacks are pretty annoying so lets block it before it reaches our webserver<br />
if (req.url ~ "^/w00tw00t") {<br />
error 403 "Not permitted";<br />
}<br />
## Deliver the content<br />
return(deliver);<br />
}<br />
<br />
## Deliver<br />
sub vcl_deliver {<br />
## We'll be hiding some headers added by Varnish. We want to make sure people are not seeing we're using Varnish.<br />
## Since we're not caching (yet), why bother telling people we use it?<br />
remove resp.http.X-Varnish;<br />
remove resp.http.Via;<br />
remove resp.http.Age;<br />
<br />
## We'd like to hide the X-Powered-By headers. Nobody has to know we can run PHP and have version xyz of it.<br />
remove resp.http.X-Powered-By;<br />
}<br />
</pre><br />
Salvesta fail CTRL + O käsuga<br />
<br />
===Apache konfiguratsiooni muutmine===<br />
Ava fail '''/etc/apache2/ports.conf''' ja leia<br />
nano /etc/apache2/ports.conf<br />
<br />
<pre><br />
NameVirtualHost *:80<br />
Listen 192.168.6.101:80<br />
</pre><br />
<br />
Muuda <br />
<br />
<pre><br />
NameVirtualHost *:8000<br />
Listen 192.168.6.101:8000<br />
</pre><br />
Ava fail '''/etc/apache2/sites-available/wp''' ja leia<br />
<br />
<pre><br />
<VirtualHost *:80><br />
ServerAdmin webmaster@localhost<br />
<br />
</pre><br />
<br />
Muuda<br />
<pre><br />
VirtualHost *:8000><br />
ServerAdmin webmaster@localhost<br />
</pre><br />
<br />
Praegu paigaldame lisa Apache moodul selle jaoks, et veenduda kas kasutaja IP aadress lõpeb korrektselt. Praegu Varnish on põhimõtteliselt seotud apache2.<br />
Kuna Lakk on põhimõtteliselt rääkides apache2, sa võib näidata aadressil 127.0.0.1 nagu külastaja IP.<br />
nano apt-get install libapache2-mod-rpaf<br />
<br />
'''RPAF''' (Reverse Proxy Add Forward) moodul holitseb selle eest, et localhosti IP vahetatakse ära IP-ga, mis on seadistatud X-Forwarded-For failis.<br />
<br />
===Deemonide restart===<br />
Restart Apache server:<br />
/etc/init.d/apache2 restart<br />
<br />
Kontrolli kas on olemas IP portid: <br />
netstat -lp | grep apache2<br />
<br />
Kui te näete, siis kõik on korras<br />
tcp 0 0 *:https *:* LISTEN 843/apache2 <br />
tcp 0 0 192.168.6.101:8000 *:* LISTEN 843/apache2 <br />
<br />
Kui ei näita niimodi, siis on viga. Praegu teeme Varnishile restardi, et kuulata teema pordis 80<br />
/etc/init.d/varnish restart <br />
<br />
Kontrolli <br />
netstat -lp | grep varnish<br />
tcp 0 0 *:www *:* LISTEN 781/varnishd <br />
tcp 0 0 localhost:6082 *:* LISTEN 779/varnishd <br />
tcp6 0 0 [::]:www [::]:* LISTEN 781/varnishd<br />
<br />
Praegu Varnish on sättinud Apache-is. Külasta saiti ja vaata, kas toimib. Kui sa tõmbad Apache maha, siis näed lehel Varnishi errorit.<br />
<br />
== Super Cache ==<br />
<br />
'''Selle osa koostamine on veel töös.'''<br />
<br />
Super Cache-i paigaldamiseks tuleb sisse logida admin-paneeli. Siis vasakult nimekirjast valida '''''Plugins'''''-i alt '''Add new'''.<br />
<br />
<br />
<br />
[[File:Wordpress_Plugins.png]]<br />
<br />
<br />
[[File:Wordpress_search.png|400px|thumb|left]]<br />
<br />
<br />
[[File:Install_wordpress.png|400px|thumb|left|]]<br />
<br />
[[File:Activate_wordpress.png|400px|thumb|left|]]<br />
<br />
<br />
Siis kirjutada otsingusse "'''WP Super Cache'''".<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Pärast seda valida nimekirjast ''Super Cache'' ning vajutada "'''Install now'''".<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Pärast seda "'''Activate the Plugin'''".<br />
<br />
<br />
<br />
<br />
<br />
<br />
Super Cache -i toimimiseks on vajalik valida '''''Custom structure''''' ''Permalink-i'' seadete alt ning sisestada sinna '''/index.php/?p=%post_id%'''<br />
<br />
[[File:Permset.png|400px|]]<br />
<br />
Edasi vali vasakult '''''Settings'''''-u alt '''WP Super Cache'''.<br />
<br />
Lisaks tuleb muuta .htaccess faili sisu mis peaks välja nägema selline:<br />
<br />
# BEGIN WordPress<br />
<IfModule mod_rewrite.c><br />
RewriteEngine On<br />
RewriteBase /<br />
RewriteRule ^index\.php$ - [L]<br />
RewriteCond %{REQUEST_FILENAME} !-f<br />
RewriteCond %{REQUEST_FILENAME} !-d<br />
RewriteRule . /index.php [L]<br />
</IfModule><br />
# END WordPress<br />
<br />
kuna wordpress tahab htaccess faili ka ise muuta aegajalt siis on hea panna htaccessi õigused 777 peale käsuga:<br />
chmod 777 .htaccess<br />
<br />
Pärast konfimist tuleks kindlasti .htaccess õigused vähemaks võtta kuna konstantselt ei pea õigused 777 peal olema, need tarvilikud vaid konfi ajaks.<br />
<br />
'''Jõudluse võrdlus SuperCache-iga ja ilma'''<br />
Supercache-iga<br />
Benchmarking www.itkool.ee (be patient)<br />
Completed 100 requests<br />
Completed 200 requests<br />
Finished 200 requests<br />
<br />
<br />
Server Software: Apache/2.2.17<br />
Server Hostname: www.itkool.ee<br />
Server Port: 80<br />
<br />
Document Path: /<br />
Document Length: 9554 bytes<br />
<br />
Concurrency Level: 200<br />
Time taken for tests: 1.457 seconds<br />
Complete requests: 200<br />
Failed requests: 0<br />
Write errors: 0<br />
Total transferred: 1971800 bytes<br />
HTML transferred: 1910800 bytes<br />
Requests per second: 137.30 [#/sec] (mean)<br />
Time per request: 1456.617 [ms] (mean)<br />
Time per request: 7.283 [ms] (mean, across all concurrent requests)<br />
Transfer rate: 1321.96 [Kbytes/sec] received<br />
Connection Times (ms)<br />
min mean[+/-sd] median max<br />
Connect: 7 10 2.1 10 14<br />
Processing: 55 798 409.6 821 1441<br />
Waiting: 8 751 410.1 770 1437<br />
Total: 68 808 407.6 831 1447<br />
Percentage of the requests served within a certain time (ms)<br />
50% 831<br />
66% 1036<br />
75% 1159<br />
80% 1236<br />
90% 1366<br />
95% 1434<br />
98% 1445<br />
99% 1446<br />
100% 1447 (longest request)<br />
<br />
ilma:<br />
<br />
Benchmarking www.itkool.ee (be patient)<br />
Completed 100 requests<br />
Completed 200 requests<br />
Finished 200 requests<br />
<br />
<br />
Server Software: Apache/2.2.17<br />
Server Hostname: www.itkool.ee<br />
Server Port: 80<br />
<br />
Document Path: /<br />
Document Length: 9413 bytes<br />
<br />
Concurrency Level: 20<br />
Time taken for tests: 25.600 seconds<br />
Complete requests: 200<br />
Failed requests: 172<br />
(Connect: 0, Receive: 0, Length: 172, Exceptions: 0)<br />
Write errors: 0<br />
Total transferred: 1932771 bytes<br />
HTML transferred: 1882571 bytes<br />
Requests per second: 7.81 [#/sec] (mean)<br />
Time per request: 2560.029 [ms] (mean)<br />
Time per request: 128.001 [ms] (mean, across all concurrent requests)<br />
Transfer rate: 73.73 [Kbytes/sec] received<br />
<br />
Connection Times (ms)<br />
min mean[+/-sd] median max<br />
Connect: 0 1 1.4 0 5<br />
Processing: 803 2522 572.9 2485 4346<br />
Waiting: 648 2126 526.2 2053 4000<br />
Total: 807 2523 572.5 2485 4346<br />
<br />
Percentage of the requests served within a certain time (ms)<br />
50% 2485<br />
66% 2557<br />
75% 2690<br />
80% 2740<br />
90% 3120<br />
95% 3624<br />
98% 4261<br />
99% 4272<br />
100% 4346 (longest request)<br />
<br />
== Iptables ==<br />
<br />
'''protsessis...'''<br />
<br />
Teie '''iptables.conf''' fail peab välja nägema nii nagu näidatud allpool:<br />
<br />
<pre><br />
-A INPUT -s 192.168.6.101/32 -p tcp -m tcp --dport 8000 -j ACCEPT <br />
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT <br />
-A INPUT -s 192.168.6.1/32 -p tcp -m tcp --dport 22 -j ACCEPT <br />
-A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied:" --log-level 7<br />
-A INPUT -p tcp -m tcp --dport 80 -m connlimit --connlimit-above 10 --connlimit-mask 32 -j REJECT --reject-with icmp-port-unreachable<br />
-A INPUT -s 192.168.6.101/32 -j ACCEPT <br />
-A INPUT -m state --state ESTABLISHED -j ACCEPT <br />
-A INPUT -s 192.168.6.200/32 -p tcp -m tcp --dport 53 -j ACCEPT <br />
-A INPUT -s 192.168.6.200/32 -p udp -m udp --dport 53 -j ACCEPT <br />
-A INPUT -s 192.168.6.200/32 -p tcp -m tcp --dport 443 -j ACCEPT <br />
-A OUTPUT -o lo -j ACCEPT <br />
COMMIT<br />
</pre><br />
<br />
'''Räägime täpsemalt milleks need reeglid vaja on.'''<br />
<br />
'''1. Endaoma IP'd'''<br />
<br />
Kui tahame varnish'it kasutada, tuleb lubada porti 8000:<br />
<pre><br />
iptables -A INPUT -s 192.168.6.101/32 -p tcp -m tcp --dport 8000 -j ACCEPT<br />
</pre><br />
<br />
Lubame weebiserveri:<br />
<pre><br />
iptables -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT<br />
</pre><br />
<br />
SSH lubamiseks sellest IP-st:<br />
<pre><br />
iptables -A INPUT -s 192.168.6.1/32 -p tcp -m tcp --dport 22 -j ACCEPT<br />
</pre><br />
<br />
Näidises on pandud connection limitiks 10, testimiseks seda piisab küll aga seda arvu võib muuta suuremaks, näiteks suurtes ettevõttetes kliendid kes istuvad NAT'i taga, ei saa liigi leheküljele, sest connection limit ühest IP-st on piiratud 10-ga. Ainult 10 klienti saab korraga vaatada veebilehti.<br />
See rida annab võimalust katkestada ühendusi mille arv on üle 10 pordis 80:<br />
<pre><br />
iptables -A INPUT -p tcp -m tcp --dport 80 -m connlimit --connlimit-above 10 --connlimit-mask 32 -j REJECT --reject-with icmp-port-unreachable<br />
</pre><br />
<br />
Praegu meil ei salvestatakse logi failid. Kui tahame näha täpsemalt millised paketid vistakse minema, peame lubama logimist:<br />
<pre><br />
iptables -A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied:" --log-level 7<br />
</pre><br />
<br />
<pre><br />
iptables -A INPUT -s 192.168.6.101/32 -j ACCEPT<br />
</pre><br />
<br />
Väljaminevate ühenduste jaoks tagasi tulnud pakette lubamiseks:<br />
<pre><br />
iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT<br />
</pre><br />
<br />
Nimeserveri lubamiseks peame avama nii '''tcp''' kui ka '''udp''' pordid:<br />
<pre><br />
iptables -A INPUT -s 192.168.6.200/32 -p tcp -m tcp --dport 53 -j ACCEPT<br />
iptables -A INPUT -s 192.168.6.200/32 -p udp -m udp --dport 53 -j ACCEPT<br />
</pre><br />
<br />
SSL'i jaoks:<br />
<pre><br />
iptables -A INPUT -s 192.168.6.200/32 -p tcp -m tcp --dport 443 -j ACCEPT<br />
</pre><br />
<br />
<pre><br />
iptables -A OUTPUT -o lo -j ACCEPT <br />
</pre><br />
<br />
= Teised turvameetodid = <br />
<br />
On olemas mitmeid erinevaid võimalusi, kuidas veel saab oma wordpressi veebilehe turvata.<br />
<br />
== Späm filter ==<br />
<br />
Akismet (Automattic Kismet) on spämmi filter. Antud teenus püüab filtreerida spämmi mis tuleb blogi kommentaaridest ja TrackPack pingidest. Filter kombineerib informatsiooni mis ta kogus kõikidest blogidest ja kasutab need spämmi reegleid, et blokeerida tuleviku spämmi. Akismet on loodud Automattic firma poolt, ettevõtte mis keskendub vaba-tarkvara arendamisele WordPressi platformi jaoks. Akismet tuli välja 25. oktroobril aastal 2005 ja seisuga Aprill 2011 juba püüdis üle 25 miljardi spämmi kommentaare ja pinge.<br />
<br />
Akisment on WordPressi sisseehitatud aga vaikimisi on ta välja lülitatud, kuna selle sisse lülitamine nõuab võtmegas audentimist. Blogi administratoor peab ise antud teenust aktiveerima. <br />
Selleks, et aktiveerida Akismeti, on vaja:<br />
<br />
1) Administraatoori paneelis on vaja valida '''Plugins - Installed''' <br />
<br />
2) Linnuke Akismeti juurde ja valida '''"Activate"'''<br />
<br />
3) Nüüd peab sisestama Akismeti API võtme. Võtme saab tasuta tellida Akismeti ametlikult veebilehelt.<br />
<br />
4) Vajuta '''"Update options"'''<br />
<br />
5) Akismeti spämmi filter on sisselülitatud.<br />
<br />
Nüüd on vaja mõned postituse reegleid konfigureerida. Selleks on vaja valida '''Settings - Discussion''' menüü alt ja välja lülitada: '''An administrator must always approve the comment'''.<br />
<br />
Nüüd ei pea administraator isiklikult iga kommentaari läbi vaatama ja kinnitama. Antud tööga hakkab tegelema Akismet.<br />
<br />
== Anti-bot lahendus ==<br />
<br />
On olemas mitmeid erinevaid võimalusi kuidas saab kindlaks teha, et kasutaja, kes postitab on inimene. Selle jaoks on igasuguseid captcha meetodeid, näiteks kasutaja peab sisestama juhuslikult kombineeritud teksti või lahendama mingeid lihtsaid matemaatilisi võrrandeid. Antud meetodid ei ole eriti "sõbralikud", sest vahel tekivad probleemid kasutajatele, eriti nendele, kes ei suuda korralikult näha märke.<br />
<br />
Palju sõbralikum ja lihtsam anti-bot meetod on lahendus, kus kasutaja peab märkima linnukese kommentaari alla. Selle jaoks wordpressil on plugin Growmap Anti Spambot Plugin. Plugini installeerimiseks on vaja:<br />
<br />
1) Mine oma wordpress plugin kataloogisse<br />
<br />
<pre>cd /var/www/wp-content/plugins/</pre><br />
<br />
2) Käsuga wget allalaadime plugini<br />
<br />
<pre>wget http://downloads.wordpress.org/plugin/growmap-anti-spambot-plugin.1.1.zip</pre><br />
<br />
3) Pakime lahti antud arhiivi<br />
<br />
<pre>unzip growmap-anti-spambot-plugin.1.1.zip</pre><br />
<br />
Nüüd tuleb minna tagasi oma wordpress administratoori menüüsse ja aktiveerida see plugin.<br />
<br />
== IP kontroll ==<br />
<br />
Tihti on vaja turvata väga vajalikke faile. Selle jaoks on vaja:<br />
<br />
1) Mine oma wordpress kataloogi<br />
<br />
<pre>cd /var/www/wordpress</pre><br />
<br />
2) Teeme .htaccess faile. Antud teksti-fail wordpress kasutab oma reeglite jaoks. <br />
<br />
<pre>touch .htaccess</pre><br />
<br />
3) Kirjuta järgmised reegleid:<br />
<br />
Esiteks, kaitseme meie .htaccess faile, et keegi ei saaks selle vaadata.<br />
<br />
<pre><br />
#protect the htaccess file<br />
<files .htaccess><br />
order allow,deny<br />
deny from all<br />
</files><br />
</pre><br />
<br />
Kaitseme meie admin logini, selleks et adminina saab logida ainult määratud IP aadressilt_<br />
<br />
<pre><br />
<files wp-login.php><br />
Order Deny,Allow<br />
Deny from All<br />
Allow from 192.168.6.2<br />
</files><br />
</pre><br />
<br />
WPconfig on teine väga oluline fail. Seda tuleb ka kaitsta:<br />
<br />
<pre><br />
#protect wpconfig.php<br />
<files wp-config.php><br />
Order Deny,Allow<br />
Deny from All<br />
allow from 192.168.6.2<br />
</files><br />
</pre><br />
<br />
http://wptidbits.com/tutorials/21-most-popular-htaccess-hacks-for-wordpress/<br />
<br />
[[Category:IT infrastruktuuri teenused]]</div>Sbarolhttps://wiki.itcollege.ee/index.php?title=WordPress_turvamine&diff=41989WordPress turvamine2011-11-10T09:33:44Z<p>Sbarol: /* Iptables */</p>
<hr />
<div>'''!NB Kõik õpetused on tehtud kasutades Ubuntu Server 11.04'''<br />
<br />
WordPressi paigaldamine<br />
<br />
Varnishi lisamine wordpressile<br />
<br />
SuperCache kasutamine<br />
<br />
DoS rünnaku tõrjumine mod_evasive mooduliga<br />
<br />
== Wordpressi paigaldus ja konfigureerimine ==<br />
<br />
Antud toimingud tuleks teha root õigustes.<br />
<br />
Mine root-iks:<br />
sudo -i<br />
<br />
<br />
Tee update kohalike pakettide cache<br />
aptitude update<br />
<br />
<br />
Tee upgrade pakettidele:<br />
aptitude full-upgrade<br />
<br />
Paigalda acpid daemon<br />
aptitude install acpid<br />
<br />
<br />
Installi apache2 veebi server,mysql andmebaasi server, openssh server, php5 skriptimis keel ning apache2-utils(Apache benchmark tool)<br />
aptitude install apache2 mysql-server ssh php5 php5-mysql apache2-utils<br />
<br />
<br />
Tõmba alla kõige hilisem .tar fail wordpress.org-ist:<br />
wget http://wordpress.org/latest.tar.gz<br />
<br />
<br />
<br />
Paki lahti wordpressi failid /var/www kausta:<br />
sudo tar zxvf latest.tar.gz --directory=/var/www/<br />
<br />
<br />
Logi mysql-i sisse:<br />
<br />
mysql -u root -p<br />
<br />
Loo andmebaas student_wordpress:<br />
<source lang="mysql"><br />
create database student_wordpress;<br />
</source><br />
Loo kasutaja student:<br />
<source lang="mysql"><br />
create user student;<br />
</source><br />
Anna kõik õigused student kasutajale:<br />
<source lang="mysql"><br />
GRANT ALL PRIVILEGES ON student_wordpress.* TO student@localhost IDENTIFIED BY ‘student’;<br />
</source><br />
Välju mysql-ist:<br />
<source lang="mysql"><br />
quit;<br />
</source><br />
<br />
Loo uus default veebi saidil põhinev veebi sait:<br />
<br />
cp /etc/apache2/sites-available/default /etc/apache2/sites-available/wp<br />
<br />
<br />
Muuda ära DocumentRoot /etc/apache2/sites-avalible/wp failis:<br />
<br />
nano /etc/apache2/sites-avalible/wp<br />
<br />
Lisa DocumentRoot /var/www rea lõppu DocumentRoot /var/www/wordpress<br />
DocumentRoot /var/www/wordpress<br />
<br />
<br />
<br />
<br />
Keela ära tavaline default veebi sait(seda ei ole vaja antud paigalduses):<br />
<br />
a2dissite default<br />
<br />
<br />
Luba wordpress-i veebisait<br />
<br />
a2ensite wp<br />
<br />
Tee apache-ile restart<br />
<br />
service apache2 restart<br />
<br />
Muuda wordpress konfiguratsiooni faili:<br />
<br />
nano /var/www/wordpress/wp-config-sample.php<br />
<br />
Muuda DB_NAME, DB_USER, DB_PASSWORD vastavalt näitele:<br />
<br />
<source lang="php">define('DB_NAME', 'student_wordpress');<br />
<br />
/** MySQL database username */<br />
define('DB_USER', 'student');<br />
<br />
/** MySQL database password */<br />
define('DB_PASSWORD', 'student');<br />
</source><br />
<br />
Kopeeri uus konfiguratsiooni fail wordpressi konfiguratsiooni failiks:<br />
<br />
cp /var/www/wordpress/wp-config-sample.php /var/www/wordpress/wp-config.php<br />
<br />
<br />
Tee apache2 service-ile reload<br />
<br />
service apache2 reload<br />
<br />
Mine wordpressi saidile kasutades host-i IP aadressi(antud näites:192.168.56.102);<br />
<br />
http://192.168.56.102<br />
<br />
<br />
Vali saidi nimi, kasutajanimi, salasõna ning meili aadress.<br />
<br />
Vali install<br />
<br />
Installi lõppedes tee kindlaks,et kõik toimib(log sisse, vaata wp verisooni ilmselt midagi sellist: You are using WordPress 3.2.1.)<br />
<br />
== mod_evasive paigaldus ja konfigureerimine ==<br />
<br />
=== Sissejuhatus ===<br />
<br />
Mod_evasive on lisamoodul Apache'i veebiserveri jaoks, mille abil on võimalik vähendada või täielikult tõrjuda<br />
HTTP DoS, DDos või brute force rünnakute mõju. Ühtlasi saab seda kasutada ka monitooringu teostamiseks,<br />
kuna moodulit on lihtne panna suhtlema erinevate tulemüüride ja ruuteritega.<br />
<br />
Monitooring baseerub dünaamilisel IP aadressitest ja URI-dest koosneval räsitabelil,<br />
kust siis keelatakse IP aadressid, mis:<br />
<br />
*küsivad ühte lehte rohkem kui paar korda sekundis<br />
*teevad rohkem kui 50 üheaegset requesti sama laps-protsessi vastu<br />
*üritavad teha ükskõik millist requesti samal ajal kui nad on mustas nimekirjas<br />
<br />
=== Paigaldus ===<br />
<br />
Paigaldamine Ubuntu 11.04 serverile on küllaltki lihtne<br />
<br />
apt-get install libapache2-mod-evasive<br />
<br />
=== Konfigureerimine ===<br />
<br />
Kõigepealt on viisakas luua koht, kuhu antud moodul oma logi saaks salvestada<br />
mkdir /var/log/apache2/mod_evasive<br />
chown www-data:www-data /var/log/apache2/mod_evasive<br />
<br />
'''NB! Logimine praegu ei tööta'''<br />
<br />
Mod_evasive moodulil ei lubata antud kausta kirjutada<br />
Couldn't open logfile /var/log/apache2/mod_evasive/dos-192.168.6.13: Permission denied<br />
<br />
Nüüd jääb üle lisada vastavad read oma virtuaalsesse hosti (N:~/apache2/sites-enabled/wordpress lõppu)<br />
<br />
<ifmodule mod_evasive20.c><br />
DOSHashTableSize 3097<br />
DOSPageCount 2<br />
DOSSiteCount 50<br />
DOSPageInterval 1<br />
DOSSiteInterval 1<br />
DOSBlockingPeriod 10<br />
DOSLogDir /var/log/apache2/mod_evasive<br />
DOSEmailNotify root@localhost<br />
DOSWhitelist 127.0.0.1<br />
</ifmodule><br />
<br />
Antud väärtusi tuleks kohandada vastavalt vajadustele<br />
<br />
Parameetrite kirjeldused:<br />
<br />
*DOSHashTableSize: Räsitabeli suurus, kus IP aadresseid hoitakse.<br />
*DOSPageCount: Lehekülgede arv DOSPageInterval sekundis.<br />
*DOSPageInterval: Aeg sekundites, mida kasutab DOSPageCount.<br />
*DOSSiteCount: Objektide arv DOSSiteInterval sekundites.<br />
*DOSSiteInterval: Aeg sekundites, mida kasutab DOSSiteCount.<br />
*DOSBlockingPeriod: Aeg sekundites, kui kaua IP on bannitud. Kui IP üritab serverile selle aja see ligi pääseda, siis algab loendus ueusti nullist.<br />
*DOSLogDir: Valikuline. Kataloogitee, kuhu logi salvestatakse. Kui pole määratud kasutatakse /tmp.<br />
*DOSEmailNotify: Valikuline. Mail kuhu teated saadetakse.<br />
*DOSSystemCommand: Valikuline. Käsk mis käivitatakse, kui IP bannitakse. Näiteks:<br />
**DOSSystemCommand "/sbin/iptables -I INPUT -p tcp --dport 80 -s %s -j DROP"<br />
*DOSWhitelist: Valikuline. Nimekiri IP aadressitest, mida ei blokita.<br />
<br />
<br />
Kui konfigureerimine valmis, tuleb Apache serverlie teha restart<br />
<br />
/etc/init.d/apache2 restart<br />
VÕI<br />
service apache2 restart<br />
<br />
=== Autor ===<br />
Meelis Tamm, A31<br />
<br />
Source: [http://acidborg.wordpress.com/2009/06/25/installation-configuration-of-mod_evasive-in-ubuntu-server-9-04/]<br />
<br />
==Varnish Cache-i paigaldamine ja konfigureerimine==<br />
===Sissejuhatus===<br />
'''Varnish Cache''' - see on HTTP kiirendaja, ta on vaja, et maksimaalselt suurendada veebilehekülje kiirendust. Varnish Cache salvestab mälus veebilehekülg nii, et veebiserverid ei pea koguda sama lehekülg uuesti ja veel kord uuesti.<br />
===Paigaldamine===<br />
Kui te soovite installida Varnishit, siis on vaja teha uuendusi. Selle käsu abil uuendame opsüsteemi:<br />
sudo apt-get update<br />
Paigaldamise käsk:<br />
sudo apt-get install varnish<br />
===Konfiguratsiooni muutmine===<br />
Esimene, mis me teeme, default pordi muutmine. Tuleb muuta faili '''/etc/default/varnish''':<br />
nano /etc/default/varnish<br />
<br />
Konfigureerimine Varnichi jaoks kirjutatakse VCL keeles. <br />
<br />
Fail konfiguratsioonidega vaikselt asub siin '''/etc/varnish/default.vcl'''<br />
Fail oleneb mitmest osadest, aga mis on vaja töötamise alguseks - see on backendi viitamine:<br />
<br />
'''Backend''' - see on server, kuhu varnish saadab päringut, kui tal ei ole vastavad andmeid cache-is.<br />
<br />
Kopeerige fail /etc/varnish/default.vcl ja andke teine nimetus<br />
cp /etc/varnish/default.vcl /etc/varnish/itkool.vcl<br />
<br />
Ava fail /etc/varnish/itkool.vcl ja sisesta <br />
nano /etc/varnish/itkool.vcl<br />
<br />
<pre><br />
## Redirect requests to Apache, running on port 8000 on localhost<br />
backend apache {<br />
.host = "127.0.0.1";<br />
.port = "8000";<br />
}<br />
## Fetch<br />
sub vcl_fetch {<br />
## Remove the X-Forwarded-For header if it exists.<br />
remove req.http.X-Forwarded-For;<br />
<br />
## insert the client IP address as X-Forwarded-For. This is the normal IP address of the user.<br />
set req.http.X-Forwarded-For = req.http.rlnclientipaddr;<br />
## Added security, the "w00tw00t" attacks are pretty annoying so lets block it before it reaches our webserver<br />
if (req.url ~ "^/w00tw00t") {<br />
error 403 "Not permitted";<br />
}<br />
## Deliver the content<br />
return(deliver);<br />
}<br />
<br />
## Deliver<br />
sub vcl_deliver {<br />
## We'll be hiding some headers added by Varnish. We want to make sure people are not seeing we're using Varnish.<br />
## Since we're not caching (yet), why bother telling people we use it?<br />
remove resp.http.X-Varnish;<br />
remove resp.http.Via;<br />
remove resp.http.Age;<br />
<br />
## We'd like to hide the X-Powered-By headers. Nobody has to know we can run PHP and have version xyz of it.<br />
remove resp.http.X-Powered-By;<br />
}<br />
</pre><br />
Salvesta fail CTRL + O käsuga<br />
<br />
===Apache konfiguratsiooni muutmine===<br />
Ava fail etc/apache2/ports.conf ja leia<br />
nano /etc/apache2/ports.conf<br />
<br />
<pre><br />
NameVirtualHost *:80<br />
Listen 192.168.6.101:80<br />
</pre><br />
<br />
Muuda <br />
<br />
<pre><br />
NameVirtualHost *:8000<br />
Listen 192.168.6.101:8000<br />
</pre><br />
Ava fail nano etc/apache2/sites-available/wp ja leia<br />
<br />
<pre><br />
<VirtualHost *:80><br />
ServerAdmin webmaster@localhost<br />
<br />
</pre><br />
<br />
Muuda<br />
<pre><br />
VirtualHost *:8000><br />
ServerAdmin webmaster@localhost<br />
</pre><br />
<br />
<br />
Praegu paigaldame lisa Apache moodul selle jaoks, et veenduda kas kasutaja IP aadress lõpeb korrektselt. Praegu Varnish on põhimõtteliselt seotud apache2.<br />
Kuna Lakk on põhimõtteliselt rääkides apache2, sa võib näidata aadressil 127.0.0.1 nagu külastaja IP.<br />
nano apt-get install libapache2-mod-rpaf<br />
<br />
'''RPAF''' (Reverse Proxy Add Forward) moodul holitseb selle eest, et localhosti IP vahetatakse ära IP-ga, mis on seadistatud X-Forwarded-For failis.<br />
<br />
===Deemonide restart===<br />
Restart Apache server:<br />
/etc/init.d/apache2 restart<br />
<br />
Kontrolli kas on olemas IP portid: <br />
netstat -lp | grep apache2<br />
<br />
Kui te näete, siis kõik on korras<br />
tcp 0 0 *:https *:* LISTEN 843/apache2 <br />
tcp 0 0 192.168.6.101:8000 *:* LISTEN 843/apache2 <br />
<br />
Kui ei näita niimodi, siis on viga. Praegu teeme Varnishile restardi, et kuulata teema pordis 80<br />
/etc/init.d/varnish restart <br />
<br />
Kontrolli <br />
netstat -lp | grep varnish<br />
tcp 0 0 *:www *:* LISTEN 781/varnishd <br />
tcp 0 0 localhost:6082 *:* LISTEN 779/varnishd <br />
tcp6 0 0 [::]:www [::]:* LISTEN 781/varnishd<br />
<br />
Praegu Varnish on sättinud Apache-is. Külasta saiti ja vaata, kas toimib. Kui sa tõmbad Apache maha, siis näed lehel Varnishi errorit.<br />
<br />
== Super Cache ==<br />
<br />
'''Selle osa koostamine on veel töös.'''<br />
<br />
Super Cache-i paigaldamiseks tuleb sisse logida admin-paneeli. Siis vasakult nimekirjast valida '''''Plugins'''''-i alt '''Add new'''.<br />
<br />
<br />
<br />
[[File:Wordpress_Plugins.png]]<br />
<br />
<br />
[[File:Wordpress_search.png|400px|thumb|left]]<br />
<br />
<br />
[[File:Install_wordpress.png|400px|thumb|left|]]<br />
<br />
[[File:Activate_wordpress.png|400px|thumb|left|]]<br />
<br />
<br />
Siis kirjutada otsingusse "'''WP Super Cache'''".<br />
<br />
<br />
<br />
<br />
Pärast seda valida nimekirjast ''Super Cache'' ning vajutada "'''Install now'''".<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Pärast seda "'''Activate the Plugin'''".<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Super Cache -i toimimiseks on vajalik valida '''''Custom structure''''' ''Permalink-i'' seadete alt ning sisestada sinna '''/index.php/?p=%post_id%'''<br />
<br />
[[File:Permset.png|400px|]]<br />
<br />
Edasi vali vasakult '''''Settings'''''-u alt '''WP Super Cache'''.<br />
<br />
Lisaks tuleb muuta .htaccess faili sisu mis peaks välja nägema selline:<br />
<br />
# BEGIN WordPress<br />
<IfModule mod_rewrite.c><br />
RewriteEngine On<br />
RewriteBase /<br />
RewriteRule ^index\.php$ - [L]<br />
RewriteCond %{REQUEST_FILENAME} !-f<br />
RewriteCond %{REQUEST_FILENAME} !-d<br />
RewriteRule . /index.php [L]<br />
</IfModule><br />
# END WordPress<br />
<br />
kuna wordpress tahab htaccess faili ka ise muuta aegajalt siis on hea panna htaccessi õigused 777 peale käsuga:<br />
chmod 777 .htaccess<br />
<br />
Pärast konfimist tuleks kindlasti .htaccess õigused vähemaks võtta kuna konstantselt ei pea õigused 777 peal olema, need tarvilikud vaid konfi ajaks.<br />
<br />
'''Jõudluse võrdlus SuperCache-iga ja ilma'''<br />
Supercache-iga<br />
Benchmarking www.itkool.ee (be patient)<br />
Completed 100 requests<br />
Completed 200 requests<br />
Finished 200 requests<br />
<br />
<br />
Server Software: Apache/2.2.17<br />
Server Hostname: www.itkool.ee<br />
Server Port: 80<br />
<br />
Document Path: /<br />
Document Length: 9554 bytes<br />
<br />
Concurrency Level: 200<br />
Time taken for tests: 1.457 seconds<br />
Complete requests: 200<br />
Failed requests: 0<br />
Write errors: 0<br />
Total transferred: 1971800 bytes<br />
HTML transferred: 1910800 bytes<br />
Requests per second: 137.30 [#/sec] (mean)<br />
Time per request: 1456.617 [ms] (mean)<br />
Time per request: 7.283 [ms] (mean, across all concurrent requests)<br />
Transfer rate: 1321.96 [Kbytes/sec] received<br />
Connection Times (ms)<br />
min mean[+/-sd] median max<br />
Connect: 7 10 2.1 10 14<br />
Processing: 55 798 409.6 821 1441<br />
Waiting: 8 751 410.1 770 1437<br />
Total: 68 808 407.6 831 1447<br />
Percentage of the requests served within a certain time (ms)<br />
50% 831<br />
66% 1036<br />
75% 1159<br />
80% 1236<br />
90% 1366<br />
95% 1434<br />
98% 1445<br />
99% 1446<br />
100% 1447 (longest request)<br />
<br />
ilma:<br />
<br />
Benchmarking www.itkool.ee (be patient)<br />
Completed 100 requests<br />
Completed 200 requests<br />
Finished 200 requests<br />
<br />
<br />
Server Software: Apache/2.2.17<br />
Server Hostname: www.itkool.ee<br />
Server Port: 80<br />
<br />
Document Path: /<br />
Document Length: 9413 bytes<br />
<br />
Concurrency Level: 20<br />
Time taken for tests: 25.600 seconds<br />
Complete requests: 200<br />
Failed requests: 172<br />
(Connect: 0, Receive: 0, Length: 172, Exceptions: 0)<br />
Write errors: 0<br />
Total transferred: 1932771 bytes<br />
HTML transferred: 1882571 bytes<br />
Requests per second: 7.81 [#/sec] (mean)<br />
Time per request: 2560.029 [ms] (mean)<br />
Time per request: 128.001 [ms] (mean, across all concurrent requests)<br />
Transfer rate: 73.73 [Kbytes/sec] received<br />
<br />
Connection Times (ms)<br />
min mean[+/-sd] median max<br />
Connect: 0 1 1.4 0 5<br />
Processing: 803 2522 572.9 2485 4346<br />
Waiting: 648 2126 526.2 2053 4000<br />
Total: 807 2523 572.5 2485 4346<br />
<br />
Percentage of the requests served within a certain time (ms)<br />
50% 2485<br />
66% 2557<br />
75% 2690<br />
80% 2740<br />
90% 3120<br />
95% 3624<br />
98% 4261<br />
99% 4272<br />
100% 4346 (longest request)<br />
<br />
== Iptables ==<br />
<br />
'''protsessis...'''<br />
<br />
Teie '''iptables.conf''' fail peab välja nägema nii nagu näidatud allpool:<br />
<br />
<pre><br />
-A INPUT -s 192.168.6.101/32 -p tcp -m tcp --dport 8000 -j ACCEPT <br />
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT <br />
-A INPUT -s 192.168.6.1/32 -p tcp -m tcp --dport 22 -j ACCEPT <br />
-A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied:" --log-level 7<br />
-A INPUT -p tcp -m tcp --dport 80 -m connlimit --connlimit-above 10 --connlimit-mask 32 -j REJECT --reject-with icmp-port-unreachable<br />
-A INPUT -s 192.168.6.101/32 -j ACCEPT <br />
-A INPUT -m state --state ESTABLISHED -j ACCEPT <br />
-A INPUT -s 192.168.6.200/32 -p tcp -m tcp --dport 53 -j ACCEPT <br />
-A INPUT -s 192.168.6.200/32 -p udp -m udp --dport 53 -j ACCEPT <br />
-A INPUT -s 192.168.6.200/32 -p tcp -m tcp --dport 443 -j ACCEPT <br />
-A OUTPUT -o lo -j ACCEPT <br />
COMMIT<br />
</pre><br />
<br />
'''Räägime täpsemalt milleks need reeglid vaja on.'''<br />
<br />
'''1. Endaoma IP'd'''<br />
'''2. Connection limit (seletada/ seda arvu tuleb muuta suuremaks, näiteks suures ettevõttes kliendid kes istuvad NAT'i taga, ei saa liigi leheküljele, sest conn limit ühest IP on piiratud 10-ga)'''<br />
<br />
Kui tahame varnish'it kasutada, tuleb lubada porti 8000:<br />
<pre><br />
iptables -A INPUT -s 192.168.6.101/32 -p tcp -m tcp --dport 8000 -j ACCEPT<br />
</pre><br />
<br />
Lubame weebiserveri:<br />
<pre><br />
iptables -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT<br />
</pre><br />
<br />
SSH lubamiseks sellest IP-st:<br />
<pre><br />
iptables -A INPUT -s 192.168.6.1/32 -p tcp -m tcp --dport 22 -j ACCEPT<br />
</pre><br />
<br />
See rida annab võimalust katkestada ühendusi mille arv on üle 10 pordis 80:<br />
<pre><br />
iptables -A INPUT -p tcp -m tcp --dport 80 -m connlimit --connlimit-above 10 --connlimit-mask 32 -j REJECT --reject-with icmp-port-unreachable<br />
</pre><br />
<br />
Praegu meil ei salvestatakse logi failid. Kui tahame näha täpsemalt millised paketid vistakse minema, peame lubama logimist:<br />
<pre><br />
iptables -A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied:" --log-level 7<br />
</pre><br />
<br />
<pre><br />
iptables -A INPUT -s 192.168.6.101/32 -j ACCEPT<br />
</pre><br />
<br />
Väljaminevate ühenduste jaoks tagasi tulnud pakette lubamiseks:<br />
<pre><br />
iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT<br />
</pre><br />
<br />
Nimeserveri lubamiseks peame avama nii '''tcp''' kui ka '''udp''' pordid:<br />
<pre><br />
iptables -A INPUT -s 192.168.6.200/32 -p tcp -m tcp --dport 53 -j ACCEPT<br />
iptables -A INPUT -s 192.168.6.200/32 -p udp -m udp --dport 53 -j ACCEPT<br />
</pre><br />
<br />
SSL'i jaoks:<br />
<pre><br />
iptables -A INPUT -s 192.168.6.200/32 -p tcp -m tcp --dport 443 -j ACCEPT<br />
</pre><br />
<br />
<pre><br />
iptables -A OUTPUT -o lo -j ACCEPT <br />
</pre></div>Sbarolhttps://wiki.itcollege.ee/index.php?title=WordPress_turvamine&diff=41974WordPress turvamine2011-11-10T09:20:19Z<p>Sbarol: /* Iptables */</p>
<hr />
<div>'''!NB Kõik õpetused on tehtud kasutades Ubuntu Server 11.04'''<br />
<br />
WordPressi paigaldamine<br />
<br />
Varnishi lisamine wordpressile<br />
<br />
SuperCache kasutamine<br />
<br />
DoS rünnaku tõrjumine mod_evasive mooduliga<br />
<br />
== Wordpressi paigaldus ja konfigureerimine ==<br />
<br />
Antud toimingud tuleks teha root õigustes.<br />
<br />
Mine root-iks:<br />
sudo -i<br />
<br />
<br />
Tee update kohalike pakettide cache<br />
aptitude update<br />
<br />
<br />
Tee upgrade pakettidele:<br />
aptitude full-upgrade<br />
<br />
Paigalda acpid daemon<br />
aptitude install acpid<br />
<br />
<br />
Installi apache2 veebi server,mysql andmebaasi server, openssh server, php5 skriptimis keel ning apache2-utils(Apache benchmark tool)<br />
aptitude install apache2 mysql-server ssh php5 php5-mysql apache2-utils<br />
<br />
<br />
Tõmba alla kõige hilisem .tar fail wordpress.org-ist:<br />
wget http://wordpress.org/latest.tar.gz<br />
<br />
<br />
<br />
Paki lahti wordpressi failid /var/www kausta:<br />
sudo tar zxvf latest.tar.gz --directory=/var/www/<br />
<br />
<br />
Logi mysql-i sisse:<br />
<br />
mysql -u root -p<br />
<br />
Loo andmebaas student_wordpress:<br />
<source lang="mysql"><br />
create database student_wordpress;<br />
</source><br />
Loo kasutaja student:<br />
<source lang="mysql"><br />
create user student;<br />
</source><br />
Anna kõik õigused student kasutajale:<br />
<source lang="mysql"><br />
GRANT ALL PRIVILEGES ON student_wordpress.* TO student@localhost IDENTIFIED BY ‘student’;<br />
</source><br />
Välju mysql-ist:<br />
<source lang="mysql"><br />
quit;<br />
</source><br />
<br />
Loo uus default veebi saidil põhinev veebi sait:<br />
<br />
cp /etc/apache2/sites-available/default /etc/apache2/sites-available/wp<br />
<br />
<br />
Muuda ära DocumentRoot /etc/apache2/sites-avalible/wp failis:<br />
<br />
nano /etc/apache2/sites-avalible/wp<br />
<br />
Lisa DocumentRoot /var/www rea lõppu DocumentRoot /var/www/wordpress<br />
DocumentRoot /var/www/wordpress<br />
<br />
<br />
<br />
<br />
Keela ära tavaline default veebi sait(seda ei ole vaja antud paigalduses):<br />
<br />
a2dissite default<br />
<br />
<br />
Luba wordpress-i veebisait<br />
<br />
a2ensite wp<br />
<br />
Tee apache-ile restart<br />
<br />
service apache2 restart<br />
<br />
Muuda wordpress konfiguratsiooni faili:<br />
<br />
nano /var/www/wordpress/wp-config-sample.php<br />
<br />
Muuda DB_NAME, DB_USER, DB_PASSWORD vastavalt näitele:<br />
<br />
<source lang="php">define('DB_NAME', 'student_wordpress');<br />
<br />
/** MySQL database username */<br />
define('DB_USER', 'student');<br />
<br />
/** MySQL database password */<br />
define('DB_PASSWORD', 'student');<br />
</source><br />
<br />
Kopeeri uus konfiguratsiooni fail wordpressi konfiguratsiooni failiks:<br />
<br />
cp /var/www/wordpress/wp-config-sample.php /var/www/wordpress/wp-config.php<br />
<br />
<br />
Tee apache2 service-ile reload<br />
<br />
service apache2 reload<br />
<br />
Mine wordpressi saidile kasutades host-i IP aadressi(antud näites:192.168.56.102);<br />
<br />
http://192.168.56.102<br />
<br />
<br />
Vali saidi nimi, kasutajanimi, salasõna ning meili aadress.<br />
<br />
Vali install<br />
<br />
Installi lõppedes tee kindlaks,et kõik toimib(log sisse, vaata wp verisooni ilmselt midagi sellist: You are using WordPress 3.2.1.)<br />
<br />
== mod_evasive paigaldus ja konfigureerimine ==<br />
<br />
=== Sissejuhatus ===<br />
<br />
Mod_evasive on lisamoodul Apache'i veebiserveri jaoks, mille abil on võimalik vähendada või täielikult tõrjuda<br />
HTTP DoS, DDos või brute force rünnakute mõju. Ühtlasi saab seda kasutada ka monitooringu teostamiseks,<br />
kuna moodulit on lihtne panna suhtlema erinevate tulemüüride ja ruuteritega.<br />
<br />
Monitooring baseerub dünaamilisel IP aadressitest ja URI-dest koosneval räsitabelil,<br />
kust siis keelatakse IP aadressid, mis:<br />
<br />
*küsivad ühte lehte rohkem kui paar korda sekundis<br />
*teevad rohkem kui 50 üheaegset requesti sama laps-protsessi vastu<br />
*üritavad teha ükskõik millist requesti samal ajal kui nad on mustas nimekirjas<br />
<br />
=== Paigaldus ===<br />
<br />
Paigaldamine Ubuntu 11.04 serverile on küllaltki lihtne<br />
<br />
apt-get install libapache2-mod-evasive<br />
<br />
=== Konfigureerimine ===<br />
<br />
Kõigepealt on viisakas luua koht, kuhu antud moodul oma logi saaks salvestada<br />
mkdir /var/log/apache2/mod_evasive<br />
chown www-data:www-data /var/log/apache2/mod_evasive<br />
<br />
'''NB! Logimine praegu ei tööta'''<br />
<br />
Mod_evasive moodulil ei lubata antud kausta kirjutada<br />
Couldn't open logfile /var/log/apache2/mod_evasive/dos-192.168.6.13: Permission denied<br />
<br />
Nüüd jääb üle lisada vastavad read oma virtuaalsesse hosti (N:~/apache2/sites-enabled/wordpress lõppu)<br />
<br />
<ifmodule mod_evasive20.c><br />
DOSHashTableSize 3097<br />
DOSPageCount 2<br />
DOSSiteCount 50<br />
DOSPageInterval 1<br />
DOSSiteInterval 1<br />
DOSBlockingPeriod 10<br />
DOSLogDir /var/log/apache2/mod_evasive<br />
DOSEmailNotify root@localhost<br />
DOSWhitelist 127.0.0.1<br />
</ifmodule><br />
<br />
Antud väärtusi tuleks kohandada vastavalt vajadustele<br />
<br />
Parameetrite kirjeldused:<br />
<br />
*DOSHashTableSize: Räsitabeli suurus, kus IP aadresseid hoitakse.<br />
*DOSPageCount: Lehekülgede arv DOSPageInterval sekundis.<br />
*DOSPageInterval: Aeg sekundites, mida kasutab DOSPageCount.<br />
*DOSSiteCount: Objektide arv DOSSiteInterval sekundites.<br />
*DOSSiteInterval: Aeg sekundites, mida kasutab DOSSiteCount.<br />
*DOSBlockingPeriod: Aeg sekundites, kui kaua IP on bannitud. Kui IP üritab serverile selle aja see ligi pääseda, siis algab loendus ueusti nullist.<br />
*DOSLogDir: Valikuline. Kataloogitee, kuhu logi salvestatakse. Kui pole määratud kasutatakse /tmp.<br />
*DOSEmailNotify: Valikuline. Mail kuhu teated saadetakse.<br />
*DOSSystemCommand: Valikuline. Käsk mis käivitatakse, kui IP bannitakse. Näiteks:<br />
**DOSSystemCommand "/sbin/iptables -I INPUT -p tcp --dport 80 -s %s -j DROP"<br />
*DOSWhitelist: Valikuline. Nimekiri IP aadressitest, mida ei blokita.<br />
<br />
<br />
Kui konfigureerimine valmis, tuleb Apache serverlie teha restart<br />
<br />
/etc/init.d/apache2 restart<br />
VÕI<br />
service apache2 restart<br />
<br />
=== Autor ===<br />
Meelis Tamm, A31<br />
<br />
Source: [http://acidborg.wordpress.com/2009/06/25/installation-configuration-of-mod_evasive-in-ubuntu-server-9-04/]<br />
<br />
==Varnish Cache-i paigaldamine ja konfigureerimine==<br />
===Sissejuhatus===<br />
'''Varnish Cache''' - see on HTTP kiirendaja, ta on vaja, et maksimaalselt suurendada veebilehekülje kiirendust. Varnish Cache salvestab mälus veebilehekülg nii, et veebiserverid ei pea koguda sama lehekülg uuesti ja veel kord uuesti.<br />
===Paigaldamine===<br />
Kui te soovite installida Varnishit, siis on vaja teha uuendusi. Selle käsu abil uuendame opsüsteemi:<br />
sudo apt-get update<br />
Paigaldamise käsk:<br />
sudo apt-get install varnish<br />
===Konfiguratsiooni muutmine===<br />
Esimene, mis me teeme, default pordi muutmine. Tuleb muuta faili '''/etc/default/varnish''':<br />
nano /etc/default/varnish<br />
<br />
Konfigureerimine Varnichi jaoks kirjutatakse VCL keeles. <br />
<br />
Fail konfiguratsioonidega vaikselt asub siin '''/etc/varnish/default.vcl'''<br />
Fail oleneb mitmest osadest, aga mis on vaja töötamise alguseks - see on backendi viitamine:<br />
<br />
'''Backend''' - see on server, kuhu varnish saadab päringut, kui tal ei ole vastavad andmeid cache-is.<br />
<br />
Kopeerige fail /etc/varnish/default.vcl ja andke teine nimetus<br />
cp /etc/varnish/default.vcl /etc/varnish/itkool.vcl<br />
<br />
Ava fail /etc/varnish/itkool.vcl ja sisesta <br />
nano /etc/varnish/itkool.vcl<br />
<br />
<pre><br />
## Redirect requests to Apache, running on port 8000 on localhost<br />
backend apache {<br />
.host = "127.0.0.1";<br />
.port = "8000";<br />
}<br />
## Fetch<br />
sub vcl_fetch {<br />
## Remove the X-Forwarded-For header if it exists.<br />
remove req.http.X-Forwarded-For;<br />
<br />
## insert the client IP address as X-Forwarded-For. This is the normal IP address of the user.<br />
set req.http.X-Forwarded-For = req.http.rlnclientipaddr;<br />
## Added security, the "w00tw00t" attacks are pretty annoying so lets block it before it reaches our webserver<br />
if (req.url ~ "^/w00tw00t") {<br />
error 403 "Not permitted";<br />
}<br />
## Deliver the content<br />
return(deliver);<br />
}<br />
<br />
## Deliver<br />
sub vcl_deliver {<br />
## We'll be hiding some headers added by Varnish. We want to make sure people are not seeing we're using Varnish.<br />
## Since we're not caching (yet), why bother telling people we use it?<br />
remove resp.http.X-Varnish;<br />
remove resp.http.Via;<br />
remove resp.http.Age;<br />
<br />
## We'd like to hide the X-Powered-By headers. Nobody has to know we can run PHP and have version xyz of it.<br />
remove resp.http.X-Powered-By;<br />
}<br />
</pre><br />
Salvesta fail CTRL + O käsuga<br />
<br />
===Apache konfiguratsiooni muutmine===<br />
Ava fail etc/apache2/ports.conf ja leia<br />
nano /etc/apache2/ports.conf<br />
<br />
<pre><br />
NameVirtualHost *:80<br />
Listen 192.168.6.101:80<br />
</pre><br />
<br />
Muuda <br />
<br />
<pre><br />
NameVirtualHost *:8000<br />
Listen 192.168.6.101:8000<br />
</pre><br />
Ava fail nano etc/apache2/sites-available/wp ja leia<br />
<br />
<pre><br />
<VirtualHost *:80><br />
ServerAdmin webmaster@localhost<br />
<br />
</pre><br />
<br />
Muuda<br />
<pre><br />
VirtualHost *:8000><br />
ServerAdmin webmaster@localhost<br />
</pre><br />
<br />
<br />
Praegu paigaldame lisa Apache moodul selle jaoks, et veenduda kas kasutaja IP aadress lõpeb korrektselt. Praegu Varnish on põhimõtteliselt seotud apache2.<br />
Kuna Lakk on põhimõtteliselt rääkides apache2, sa võib näidata aadressil 127.0.0.1 nagu külastaja IP.<br />
nano apt-get install libapache2-mod-rpaf<br />
<br />
'''RPAF''' (Reverse Proxy Add Forward) moodul holitseb selle eest, et localhosti IP vahetatakse ära IP-ga, mis on seadistatud X-Forwarded-For failis.<br />
<br />
===Deemonide restart===<br />
Restart Apache server:<br />
/etc/init.d/apache2 restart<br />
<br />
Kontrolli kas on olemas IP portid: <br />
netstat -lp | grep apache2<br />
<br />
Kui te näete, siis kõik on korras<br />
tcp 0 0 *:https *:* LISTEN 843/apache2 <br />
tcp 0 0 192.168.6.101:8000 *:* LISTEN 843/apache2 <br />
<br />
Kui ei näita niimodi, siis on viga. Praegu teeme Varnishile restardi, et kuulata teema pordis 80<br />
/etc/init.d/varnish restart <br />
<br />
Kontrolli <br />
netstat -lp | grep varnish<br />
tcp 0 0 *:www *:* LISTEN 781/varnishd <br />
tcp 0 0 localhost:6082 *:* LISTEN 779/varnishd <br />
tcp6 0 0 [::]:www [::]:* LISTEN 781/varnishd<br />
<br />
Praegu Varnish on sättinud Apache-is. Külasta saiti ja vaata, kas toimib. Kui sa tõmbad Apache maha, siis näed lehel Varnishi errorit.<br />
<br />
== Super Cache ==<br />
<br />
'''Selle osa koostamine on veel töös.'''<br />
<br />
Super Cache-i paigaldamiseks tuleb sisse logida admin-paneeli. Siis vasakult nimekirjast valida '''''Plugins'''''-i alt '''Add new'''.<br />
<br />
<br />
<br />
[[File:Wordpress_Plugins.png]]<br />
<br />
<br />
[[File:Wordpress_search.png|400px|thumb|left]]<br />
<br />
<br />
[[File:Install_wordpress.png|400px|thumb|left|]]<br />
<br />
[[File:Activate_wordpress.png|400px|thumb|left|]]<br />
<br />
<br />
Siis kirjutada otsingusse "'''WP Super Cache'''".<br />
<br />
<br />
<br />
<br />
Pärast seda valida nimekirjast ''Super Cache'' ning vajutada "'''Install now'''".<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Pärast seda "'''Activate the Plugin'''".<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Super Cache -i toimimiseks on vajalik valida '''''Custom structure''''' ''Permalink-i'' seadete alt ning sisestada sinna '''/index.php/?p=%post_id%'''<br />
<br />
[[File:Permalink 1.png]]<br />
<br />
Edasi vali vasakult '''''Settings'''''-u alt '''WP Super Cache'''.<br />
<br />
Lisaks tuleb muuta .htaccess faili sisu mis peaks välja nägema selline:<br />
<br />
# BEGIN WordPress<br />
<IfModule mod_rewrite.c><br />
RewriteEngine On<br />
RewriteBase /<br />
RewriteRule ^index\.php$ - [L]<br />
RewriteCond %{REQUEST_FILENAME} !-f<br />
RewriteCond %{REQUEST_FILENAME} !-d<br />
RewriteRule . /index.php [L]<br />
</IfModule><br />
# END WordPress<br />
<br />
kuna wordpress tahab htaccess faili ka ise muuta aegajalt siis on hea panna htaccessi õigused 777 peale käsuga:<br />
chmod 777 .htaccess<br />
<br />
== Iptables ==<br />
<br />
'''protsessis...'''<br />
<br />
Teie '''iptables.conf''' fail peab välja nägema nii nagu näidatud allpool:<br />
<br />
<pre><br />
-A INPUT -s 192.168.6.101/32 -p tcp -m tcp --dport 8000 -j ACCEPT <br />
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT <br />
-A INPUT -s 192.168.6.1/32 -p tcp -m tcp --dport 22 -j ACCEPT <br />
-A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied:" --log-level 7<br />
-A INPUT -p tcp -m tcp --dport 80 -m connlimit --connlimit-above 10 --connlimit-mask 32 -j REJECT --reject-with icmp-port-unreachable<br />
-A INPUT -s 192.168.6.101/32 -j ACCEPT <br />
-A INPUT -m state --state ESTABLISHED -j ACCEPT <br />
-A INPUT -s 192.168.6.200/32 -p tcp -m tcp --dport 53 -j ACCEPT <br />
-A INPUT -s 192.168.6.200/32 -p udp -m udp --dport 53 -j ACCEPT <br />
-A INPUT -s 192.168.6.200/32 -p tcp -m tcp --dport 443 -j ACCEPT <br />
-A OUTPUT -o lo -j ACCEPT <br />
COMMIT<br />
</pre><br />
<br />
'''Räägime täpsemalt milleks need reeglid vaja on.'''<br />
<br />
Kui tahame varnish'it kasutada, tuleb lubada porti 8000:<br />
<pre><br />
iptables -A INPUT -s 192.168.6.101/32 -p tcp -m tcp --dport 8000 -j ACCEPT<br />
</pre><br />
<br />
Lubame weebiserveri:<br />
<pre><br />
iptables -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT<br />
</pre><br />
<br />
SSH lubamiseks sellest IP-st:<br />
<pre><br />
iptables -A INPUT -s 192.168.6.1/32 -p tcp -m tcp --dport 22 -j ACCEPT<br />
</pre><br />
<br />
See rida annab võimalust katkestada ühendusi mille arv on üle 10 pordis 80:<br />
<pre><br />
iptables -A INPUT -p tcp -m tcp --dport 80 -m connlimit --connlimit-above 10 --connlimit-mask 32 -j REJECT --reject-with icmp-port-unreachable<br />
</pre><br />
<br />
Praegu meil ei salvestatakse logi failid. Kui tahame näha täpsemalt millised paketid vistakse minema, peame lubama logimist:<br />
<pre><br />
iptables -A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied:" --log-level 7<br />
</pre><br />
<br />
<pre><br />
iptables -A INPUT -s 192.168.6.101/32 -j ACCEPT<br />
</pre><br />
<br />
Väljaminevate ühenduste jaoks tagasi tulnud pakette lubamiseks:<br />
<pre><br />
iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT<br />
</pre><br />
<br />
Nimeserveri lubamiseks peame avama nii '''tcp''' kui ka '''udp''' pordid:<br />
<pre><br />
iptables -A INPUT -s 192.168.6.200/32 -p tcp -m tcp --dport 53 -j ACCEPT<br />
iptables -A INPUT -s 192.168.6.200/32 -p udp -m udp --dport 53 -j ACCEPT<br />
</pre><br />
<br />
SSL'i jaoks:<br />
<pre><br />
iptables -A INPUT -s 192.168.6.200/32 -p tcp -m tcp --dport 443 -j ACCEPT<br />
</pre><br />
<br />
<pre><br />
iptables -A OUTPUT -o lo -j ACCEPT <br />
</pre></div>Sbarolhttps://wiki.itcollege.ee/index.php?title=WordPress_turvamine&diff=41973WordPress turvamine2011-11-10T09:18:44Z<p>Sbarol: /* Iptables */</p>
<hr />
<div>'''!NB Kõik õpetused on tehtud kasutades Ubuntu Server 11.04'''<br />
<br />
WordPressi paigaldamine<br />
<br />
Varnishi lisamine wordpressile<br />
<br />
SuperCache kasutamine<br />
<br />
DoS rünnaku tõrjumine mod_evasive mooduliga<br />
<br />
== Wordpressi paigaldus ja konfigureerimine ==<br />
<br />
Antud toimingud tuleks teha root õigustes.<br />
<br />
Mine root-iks:<br />
sudo -i<br />
<br />
<br />
Tee update kohalike pakettide cache<br />
aptitude update<br />
<br />
<br />
Tee upgrade pakettidele:<br />
aptitude full-upgrade<br />
<br />
Paigalda acpid daemon<br />
aptitude install acpid<br />
<br />
<br />
Installi apache2 veebi server,mysql andmebaasi server, openssh server, php5 skriptimis keel ning apache2-utils(Apache benchmark tool)<br />
aptitude install apache2 mysql-server ssh php5 php5-mysql apache2-utils<br />
<br />
<br />
Tõmba alla kõige hilisem .tar fail wordpress.org-ist:<br />
wget http://wordpress.org/latest.tar.gz<br />
<br />
<br />
<br />
Paki lahti wordpressi failid /var/www kausta:<br />
sudo tar zxvf latest.tar.gz --directory=/var/www/<br />
<br />
<br />
Logi mysql-i sisse:<br />
<br />
mysql -u root -p<br />
<br />
Loo andmebaas student_wordpress:<br />
<source lang="mysql"><br />
create database student_wordpress;<br />
</source><br />
Loo kasutaja student:<br />
<source lang="mysql"><br />
create user student;<br />
</source><br />
Anna kõik õigused student kasutajale:<br />
<source lang="mysql"><br />
GRANT ALL PRIVILEGES ON student_wordpress.* TO student@localhost IDENTIFIED BY ‘student’;<br />
</source><br />
Välju mysql-ist:<br />
<source lang="mysql"><br />
quit;<br />
</source><br />
<br />
Loo uus default veebi saidil põhinev veebi sait:<br />
<br />
cp /etc/apache2/sites-available/default /etc/apache2/sites-available/wp<br />
<br />
<br />
Muuda ära DocumentRoot /etc/apache2/sites-avalible/wp failis:<br />
<br />
nano /etc/apache2/sites-avalible/wp<br />
<br />
Lisa DocumentRoot /var/www rea lõppu DocumentRoot /var/www/wordpress<br />
DocumentRoot /var/www/wordpress<br />
<br />
<br />
<br />
<br />
Keela ära tavaline default veebi sait(seda ei ole vaja antud paigalduses):<br />
<br />
a2dissite default<br />
<br />
<br />
Luba wordpress-i veebisait<br />
<br />
a2ensite wp<br />
<br />
Tee apache-ile restart<br />
<br />
service apache2 restart<br />
<br />
Muuda wordpress konfiguratsiooni faili:<br />
<br />
nano /var/www/wordpress/wp-config-sample.php<br />
<br />
Muuda DB_NAME, DB_USER, DB_PASSWORD vastavalt näitele:<br />
<br />
<source lang="php">define('DB_NAME', 'student_wordpress');<br />
<br />
/** MySQL database username */<br />
define('DB_USER', 'student');<br />
<br />
/** MySQL database password */<br />
define('DB_PASSWORD', 'student');<br />
</source><br />
<br />
Kopeeri uus konfiguratsiooni fail wordpressi konfiguratsiooni failiks:<br />
<br />
cp /var/www/wordpress/wp-config-sample.php /var/www/wordpress/wp-config.php<br />
<br />
<br />
Tee apache2 service-ile reload<br />
<br />
service apache2 reload<br />
<br />
Mine wordpressi saidile kasutades host-i IP aadressi(antud näites:192.168.56.102);<br />
<br />
http://192.168.56.102<br />
<br />
<br />
Vali saidi nimi, kasutajanimi, salasõna ning meili aadress.<br />
<br />
Vali install<br />
<br />
Installi lõppedes tee kindlaks,et kõik toimib(log sisse, vaata wp verisooni ilmselt midagi sellist: You are using WordPress 3.2.1.)<br />
<br />
== mod_evasive paigaldus ja konfigureerimine ==<br />
<br />
=== Sissejuhatus ===<br />
<br />
Mod_evasive on lisamoodul Apache'i veebiserveri jaoks, mille abil on võimalik vähendada või täielikult tõrjuda<br />
HTTP DoS, DDos või brute force rünnakute mõju. Ühtlasi saab seda kasutada ka monitooringu teostamiseks,<br />
kuna moodulit on lihtne panna suhtlema erinevate tulemüüride ja ruuteritega.<br />
<br />
Monitooring baseerub dünaamilisel IP aadressitest ja URI-dest koosneval räsitabelil,<br />
kust siis keelatakse IP aadressid, mis:<br />
<br />
*küsivad ühte lehte rohkem kui paar korda sekundis<br />
*teevad rohkem kui 50 üheaegset requesti sama laps-protsessi vastu<br />
*üritavad teha ükskõik millist requesti samal ajal kui nad on mustas nimekirjas<br />
<br />
=== Paigaldus ===<br />
<br />
Paigaldamine Ubuntu 11.04 serverile on küllaltki lihtne<br />
<br />
apt-get install libapache2-mod-evasive<br />
<br />
=== Konfigureerimine ===<br />
<br />
Kõigepealt on viisakas luua koht, kuhu antud moodul oma logi saaks salvestada<br />
mkdir /var/log/apache2/mod_evasive<br />
chown www-data:www-data /var/log/apache2/mod_evasive<br />
<br />
'''NB! Logimine praegu ei tööta'''<br />
<br />
Mod_evasive moodulil ei lubata antud kausta kirjutada<br />
Couldn't open logfile /var/log/apache2/mod_evasive/dos-192.168.6.13: Permission denied<br />
<br />
Nüüd jääb üle lisada vastavad read oma virtuaalsesse hosti (N:~/apache2/sites-enabled/wordpress lõppu)<br />
<br />
<ifmodule mod_evasive20.c><br />
DOSHashTableSize 3097<br />
DOSPageCount 2<br />
DOSSiteCount 50<br />
DOSPageInterval 1<br />
DOSSiteInterval 1<br />
DOSBlockingPeriod 10<br />
DOSLogDir /var/log/apache2/mod_evasive<br />
DOSEmailNotify root@localhost<br />
DOSWhitelist 127.0.0.1<br />
</ifmodule><br />
<br />
Antud väärtusi tuleks kohandada vastavalt vajadustele<br />
<br />
Parameetrite kirjeldused:<br />
<br />
*DOSHashTableSize: Räsitabeli suurus, kus IP aadresseid hoitakse.<br />
*DOSPageCount: Lehekülgede arv DOSPageInterval sekundis.<br />
*DOSPageInterval: Aeg sekundites, mida kasutab DOSPageCount.<br />
*DOSSiteCount: Objektide arv DOSSiteInterval sekundites.<br />
*DOSSiteInterval: Aeg sekundites, mida kasutab DOSSiteCount.<br />
*DOSBlockingPeriod: Aeg sekundites, kui kaua IP on bannitud. Kui IP üritab serverile selle aja see ligi pääseda, siis algab loendus ueusti nullist.<br />
*DOSLogDir: Valikuline. Kataloogitee, kuhu logi salvestatakse. Kui pole määratud kasutatakse /tmp.<br />
*DOSEmailNotify: Valikuline. Mail kuhu teated saadetakse.<br />
*DOSSystemCommand: Valikuline. Käsk mis käivitatakse, kui IP bannitakse. Näiteks:<br />
**DOSSystemCommand "/sbin/iptables -I INPUT -p tcp --dport 80 -s %s -j DROP"<br />
*DOSWhitelist: Valikuline. Nimekiri IP aadressitest, mida ei blokita.<br />
<br />
<br />
Kui konfigureerimine valmis, tuleb Apache serverlie teha restart<br />
<br />
/etc/init.d/apache2 restart<br />
VÕI<br />
service apache2 restart<br />
<br />
=== Autor ===<br />
Meelis Tamm, A31<br />
<br />
Source: [http://acidborg.wordpress.com/2009/06/25/installation-configuration-of-mod_evasive-in-ubuntu-server-9-04/]<br />
<br />
==Varnish Cache-i paigaldamine ja konfigureerimine==<br />
===Sissejuhatus===<br />
'''Varnish Cache''' - see on HTTP kiirendaja, ta on vaja, et maksimaalselt suurendada veebilehekülje kiirendust. Varnish Cache salvestab mälus veebilehekülg nii, et veebiserverid ei pea koguda sama lehekülg uuesti ja veel kord uuesti.<br />
===Paigaldamine===<br />
Kui te soovite installida Varnishit, siis on vaja teha uuendusi. Selle käsu abil uuendame opsüsteemi:<br />
sudo apt-get update<br />
Paigaldamise käsk:<br />
sudo apt-get install varnish<br />
===Konfiguratsiooni muutmine===<br />
Esimene, mis me teeme, default pordi muutmine. Tuleb muuta faili '''/etc/default/varnish''':<br />
nano /etc/default/varnish<br />
<br />
Konfigureerimine Varnichi jaoks kirjutatakse VCL keeles. <br />
<br />
Fail konfiguratsioonidega vaikselt asub siin '''/etc/varnish/default.vcl'''<br />
Fail oleneb mitmest osadest, aga mis on vaja töötamise alguseks - see on backendi viitamine:<br />
<br />
'''Backend''' - see on server, kuhu varnish saadab päringut, kui tal ei ole vastavad andmeid cache-is.<br />
<br />
Kopeerige fail /etc/varnish/default.vcl ja andke teine nimetus<br />
cp /etc/varnish/default.vcl /etc/varnish/itkool.vcl<br />
<br />
Ava fail /etc/varnish/itkool.vcl ja sisesta <br />
nano /etc/varnish/itkool.vcl<br />
<br />
<pre><br />
## Redirect requests to Apache, running on port 8000 on localhost<br />
backend apache {<br />
.host = "127.0.0.1";<br />
.port = "8000";<br />
}<br />
## Fetch<br />
sub vcl_fetch {<br />
## Remove the X-Forwarded-For header if it exists.<br />
remove req.http.X-Forwarded-For;<br />
<br />
## insert the client IP address as X-Forwarded-For. This is the normal IP address of the user.<br />
set req.http.X-Forwarded-For = req.http.rlnclientipaddr;<br />
## Added security, the "w00tw00t" attacks are pretty annoying so lets block it before it reaches our webserver<br />
if (req.url ~ "^/w00tw00t") {<br />
error 403 "Not permitted";<br />
}<br />
## Deliver the content<br />
return(deliver);<br />
}<br />
<br />
## Deliver<br />
sub vcl_deliver {<br />
## We'll be hiding some headers added by Varnish. We want to make sure people are not seeing we're using Varnish.<br />
## Since we're not caching (yet), why bother telling people we use it?<br />
remove resp.http.X-Varnish;<br />
remove resp.http.Via;<br />
remove resp.http.Age;<br />
<br />
## We'd like to hide the X-Powered-By headers. Nobody has to know we can run PHP and have version xyz of it.<br />
remove resp.http.X-Powered-By;<br />
}<br />
</pre><br />
Salvesta fail CTRL + O käsuga<br />
<br />
===Apache konfiguratsiooni muutmine===<br />
Ava fail etc/apache2/ports.conf ja leia<br />
nano /etc/apache2/ports.conf<br />
<br />
<pre><br />
NameVirtualHost *:80<br />
Listen 192.168.6.101:80<br />
</pre><br />
<br />
Muuda <br />
<br />
<pre><br />
NameVirtualHost *:8000<br />
Listen 192.168.6.101:8000<br />
</pre><br />
Ava fail nano etc/apache2/sites-available/wp ja leia<br />
<br />
<pre><br />
<VirtualHost *:80><br />
ServerAdmin webmaster@localhost<br />
<br />
</pre><br />
<br />
Muuda<br />
<pre><br />
VirtualHost *:8000><br />
ServerAdmin webmaster@localhost<br />
</pre><br />
<br />
<br />
Praegu paigaldame lisa Apache moodul selle jaoks, et veenduda kas kasutaja IP aadress lõpeb korrektselt. Praegu Varnish on põhimõtteliselt seotud apache2.<br />
Kuna Lakk on põhimõtteliselt rääkides apache2, sa võib näidata aadressil 127.0.0.1 nagu külastaja IP.<br />
nano apt-get install libapache2-mod-rpaf<br />
<br />
'''RPAF''' (Reverse Proxy Add Forward) moodul holitseb selle eest, et localhosti IP vahetatakse ära IP-ga, mis on seadistatud X-Forwarded-For failis.<br />
<br />
===Deemonide restart===<br />
Restart Apache server:<br />
/etc/init.d/apache2 restart<br />
<br />
Kontrolli kas on olemas IP portid: <br />
netstat -lp | grep apache2<br />
<br />
Kui te näete, siis kõik on korras<br />
tcp 0 0 *:https *:* LISTEN 843/apache2 <br />
tcp 0 0 192.168.6.101:8000 *:* LISTEN 843/apache2 <br />
<br />
Kui ei näita niimodi, siis on viga. Praegu teeme Varnishile restardi, et kuulata teema pordis 80<br />
/etc/init.d/varnish restart <br />
<br />
Kontrolli <br />
netstat -lp | grep varnish<br />
tcp 0 0 *:www *:* LISTEN 781/varnishd <br />
tcp 0 0 localhost:6082 *:* LISTEN 779/varnishd <br />
tcp6 0 0 [::]:www [::]:* LISTEN 781/varnishd<br />
<br />
Praegu Varnish on sättinud Apache-is. Külasta saiti ja vaata, kas toimib. Kui sa tõmbad Apache maha, siis näed lehel Varnishi errorit.<br />
<br />
== Super Cache ==<br />
<br />
'''Selle osa koostamine on veel töös.'''<br />
<br />
Super Cache-i paigaldamiseks tuleb sisse logida admin-paneeli. Siis vasakult nimekirjast valida '''''Plugins'''''-i alt '''Add new'''.<br />
<br />
<br />
<br />
[[File:Wordpress_Plugins.png]]<br />
<br />
<br />
[[File:Wordpress_search.png|400px|thumb|left]]<br />
<br />
<br />
[[File:Install_wordpress.png|400px|thumb|left|]]<br />
<br />
[[File:Activate_wordpress.png|400px|thumb|left|]]<br />
<br />
<br />
Siis kirjutada otsingusse "'''WP Super Cache'''".<br />
<br />
<br />
<br />
<br />
Pärast seda valida nimekirjast ''Super Cache'' ning vajutada "'''Install now'''".<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Pärast seda "'''Activate the Plugin'''".<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Super Cache -i toimimiseks on vajalik valida '''''Custom structure''''' ''Permalink-i'' seadete alt ning sisestada sinna '''/index.php/?p=%post_id%'''<br />
<br />
[[File:Permalink 1.png]]<br />
<br />
Edasi vali vasakult '''''Settings'''''-u alt '''WP Super Cache'''.<br />
<br />
Lisaks tuleb muuta .htaccess faili sisu mis peaks välja nägema selline:<br />
<br />
# BEGIN WordPress<br />
<IfModule mod_rewrite.c><br />
RewriteEngine On<br />
RewriteBase /<br />
RewriteRule ^index\.php$ - [L]<br />
RewriteCond %{REQUEST_FILENAME} !-f<br />
RewriteCond %{REQUEST_FILENAME} !-d<br />
RewriteRule . /index.php [L]<br />
</IfModule><br />
# END WordPress<br />
<br />
kuna wordpress tahab htaccess faili ka ise muuta aegajalt siis on hea panna htaccessi õigused 777 peale käsuga:<br />
chmod 777 .htaccess<br />
<br />
== Iptables ==<br />
<br />
'''protsessis...'''<br />
<br />
Teie '''iptables.conf''' fail peab välja nägema nii nagu näidatud allpool:<br />
<br />
<pre><br />
-A INPUT -s 192.168.6.101/32 -p tcp -m tcp --dport 8000 -j ACCEPT <br />
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT <br />
-A INPUT -s 192.168.6.1/32 -p tcp -m tcp --dport 22 -j ACCEPT <br />
-A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied:" --log-level 7<br />
-A INPUT -p tcp -m tcp --dport 80 -m connlimit --connlimit-above 10 --connlimit-mask 32 -j REJECT --reject-with icmp-port-unreachable<br />
-A INPUT -s 192.168.6.101/32 -j ACCEPT <br />
-A INPUT -m state --state ESTABLISHED -j ACCEPT <br />
-A INPUT -s 192.168.6.200/32 -p tcp -m tcp --dport 53 -j ACCEPT <br />
-A INPUT -s 192.168.6.200/32 -p udp -m udp --dport 53 -j ACCEPT <br />
-A INPUT -s 192.168.6.200/32 -p tcp -m tcp --dport 443 -j ACCEPT <br />
-A OUTPUT -o lo -j ACCEPT <br />
COMMIT<br />
</pre><br />
<br />
'''Räägime täpsemalt milleks need reeglid vaja on.'''<br />
<br />
Lubame varnish'it kasutama:<br />
<pre><br />
iptables -A INPUT -s 192.168.6.101/32 -p tcp -m tcp --dport 8000 -j ACCEPT<br />
</pre><br />
<br />
Lubame weebiserveri:<br />
<pre><br />
iptables -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT<br />
</pre><br />
<br />
SSH lubamiseks sellest IP-st:<br />
<pre><br />
iptables -A INPUT -s 192.168.6.1/32 -p tcp -m tcp --dport 22 -j ACCEPT<br />
</pre><br />
<br />
See rida annab võimalust katkestada ühendusi mille arv on üle 10 pordis 80:<br />
<pre><br />
iptables -A INPUT -p tcp -m tcp --dport 80 -m connlimit --connlimit-above 10 --connlimit-mask 32 -j REJECT --reject-with icmp-port-unreachable<br />
</pre><br />
<br />
Praegu meil ei salvestatakse logi failid. Kui tahame näha täpsemalt millised paketid vistakse minema, peame lubama logimist:<br />
<pre><br />
iptables -A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied:" --log-level 7<br />
</pre><br />
<br />
<pre><br />
iptables -A INPUT -s 192.168.6.101/32 -j ACCEPT<br />
</pre><br />
<br />
Väljaminevate ühenduste jaoks tagasi tulnud pakette lubamiseks:<br />
<pre><br />
iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT<br />
</pre><br />
<br />
Nimeserveri lubamiseks peame avama nii '''tcp''' kui ka '''udp''' pordid:<br />
<pre><br />
iptables -A INPUT -s 192.168.6.200/32 -p tcp -m tcp --dport 53 -j ACCEPT<br />
iptables -A INPUT -s 192.168.6.200/32 -p udp -m udp --dport 53 -j ACCEPT<br />
</pre><br />
<br />
SSL'i jaoks:<br />
<pre><br />
iptables -A INPUT -s 192.168.6.200/32 -p tcp -m tcp --dport 443 -j ACCEPT<br />
</pre><br />
<br />
<pre><br />
iptables -A OUTPUT -o lo -j ACCEPT <br />
</pre></div>Sbarolhttps://wiki.itcollege.ee/index.php?title=WordPress_turvamine&diff=41972WordPress turvamine2011-11-10T09:18:28Z<p>Sbarol: /* Iptables */</p>
<hr />
<div>'''!NB Kõik õpetused on tehtud kasutades Ubuntu Server 11.04'''<br />
<br />
WordPressi paigaldamine<br />
<br />
Varnishi lisamine wordpressile<br />
<br />
SuperCache kasutamine<br />
<br />
DoS rünnaku tõrjumine mod_evasive mooduliga<br />
<br />
== Wordpressi paigaldus ja konfigureerimine ==<br />
<br />
Antud toimingud tuleks teha root õigustes.<br />
<br />
Mine root-iks:<br />
sudo -i<br />
<br />
<br />
Tee update kohalike pakettide cache<br />
aptitude update<br />
<br />
<br />
Tee upgrade pakettidele:<br />
aptitude full-upgrade<br />
<br />
Paigalda acpid daemon<br />
aptitude install acpid<br />
<br />
<br />
Installi apache2 veebi server,mysql andmebaasi server, openssh server, php5 skriptimis keel ning apache2-utils(Apache benchmark tool)<br />
aptitude install apache2 mysql-server ssh php5 php5-mysql apache2-utils<br />
<br />
<br />
Tõmba alla kõige hilisem .tar fail wordpress.org-ist:<br />
wget http://wordpress.org/latest.tar.gz<br />
<br />
<br />
<br />
Paki lahti wordpressi failid /var/www kausta:<br />
sudo tar zxvf latest.tar.gz --directory=/var/www/<br />
<br />
<br />
Logi mysql-i sisse:<br />
<br />
mysql -u root -p<br />
<br />
Loo andmebaas student_wordpress:<br />
<source lang="mysql"><br />
create database student_wordpress;<br />
</source><br />
Loo kasutaja student:<br />
<source lang="mysql"><br />
create user student;<br />
</source><br />
Anna kõik õigused student kasutajale:<br />
<source lang="mysql"><br />
GRANT ALL PRIVILEGES ON student_wordpress.* TO student@localhost IDENTIFIED BY ‘student’;<br />
</source><br />
Välju mysql-ist:<br />
<source lang="mysql"><br />
quit;<br />
</source><br />
<br />
Loo uus default veebi saidil põhinev veebi sait:<br />
<br />
cp /etc/apache2/sites-available/default /etc/apache2/sites-available/wp<br />
<br />
<br />
Muuda ära DocumentRoot /etc/apache2/sites-avalible/wp failis:<br />
<br />
nano /etc/apache2/sites-avalible/wp<br />
<br />
Lisa DocumentRoot /var/www rea lõppu DocumentRoot /var/www/wordpress<br />
DocumentRoot /var/www/wordpress<br />
<br />
<br />
<br />
<br />
Keela ära tavaline default veebi sait(seda ei ole vaja antud paigalduses):<br />
<br />
a2dissite default<br />
<br />
<br />
Luba wordpress-i veebisait<br />
<br />
a2ensite wp<br />
<br />
Tee apache-ile restart<br />
<br />
service apache2 restart<br />
<br />
Muuda wordpress konfiguratsiooni faili:<br />
<br />
nano /var/www/wordpress/wp-config-sample.php<br />
<br />
Muuda DB_NAME, DB_USER, DB_PASSWORD vastavalt näitele:<br />
<br />
<source lang="php">define('DB_NAME', 'student_wordpress');<br />
<br />
/** MySQL database username */<br />
define('DB_USER', 'student');<br />
<br />
/** MySQL database password */<br />
define('DB_PASSWORD', 'student');<br />
</source><br />
<br />
Kopeeri uus konfiguratsiooni fail wordpressi konfiguratsiooni failiks:<br />
<br />
cp /var/www/wordpress/wp-config-sample.php /var/www/wordpress/wp-config.php<br />
<br />
<br />
Tee apache2 service-ile reload<br />
<br />
service apache2 reload<br />
<br />
Mine wordpressi saidile kasutades host-i IP aadressi(antud näites:192.168.56.102);<br />
<br />
http://192.168.56.102<br />
<br />
<br />
Vali saidi nimi, kasutajanimi, salasõna ning meili aadress.<br />
<br />
Vali install<br />
<br />
Installi lõppedes tee kindlaks,et kõik toimib(log sisse, vaata wp verisooni ilmselt midagi sellist: You are using WordPress 3.2.1.)<br />
<br />
== mod_evasive paigaldus ja konfigureerimine ==<br />
<br />
=== Sissejuhatus ===<br />
<br />
Mod_evasive on lisamoodul Apache'i veebiserveri jaoks, mille abil on võimalik vähendada või täielikult tõrjuda<br />
HTTP DoS, DDos või brute force rünnakute mõju. Ühtlasi saab seda kasutada ka monitooringu teostamiseks,<br />
kuna moodulit on lihtne panna suhtlema erinevate tulemüüride ja ruuteritega.<br />
<br />
Monitooring baseerub dünaamilisel IP aadressitest ja URI-dest koosneval räsitabelil,<br />
kust siis keelatakse IP aadressid, mis:<br />
<br />
*küsivad ühte lehte rohkem kui paar korda sekundis<br />
*teevad rohkem kui 50 üheaegset requesti sama laps-protsessi vastu<br />
*üritavad teha ükskõik millist requesti samal ajal kui nad on mustas nimekirjas<br />
<br />
=== Paigaldus ===<br />
<br />
Paigaldamine Ubuntu 11.04 serverile on küllaltki lihtne<br />
<br />
apt-get install libapache2-mod-evasive<br />
<br />
=== Konfigureerimine ===<br />
<br />
Kõigepealt on viisakas luua koht, kuhu antud moodul oma logi saaks salvestada<br />
mkdir /var/log/apache2/mod_evasive<br />
chown www-data:www-data /var/log/apache2/mod_evasive<br />
<br />
'''NB! Logimine praegu ei tööta'''<br />
<br />
Mod_evasive moodulil ei lubata antud kausta kirjutada<br />
Couldn't open logfile /var/log/apache2/mod_evasive/dos-192.168.6.13: Permission denied<br />
<br />
Nüüd jääb üle lisada vastavad read oma virtuaalsesse hosti (N:~/apache2/sites-enabled/wordpress lõppu)<br />
<br />
<ifmodule mod_evasive20.c><br />
DOSHashTableSize 3097<br />
DOSPageCount 2<br />
DOSSiteCount 50<br />
DOSPageInterval 1<br />
DOSSiteInterval 1<br />
DOSBlockingPeriod 10<br />
DOSLogDir /var/log/apache2/mod_evasive<br />
DOSEmailNotify root@localhost<br />
DOSWhitelist 127.0.0.1<br />
</ifmodule><br />
<br />
Antud väärtusi tuleks kohandada vastavalt vajadustele<br />
<br />
Parameetrite kirjeldused:<br />
<br />
*DOSHashTableSize: Räsitabeli suurus, kus IP aadresseid hoitakse.<br />
*DOSPageCount: Lehekülgede arv DOSPageInterval sekundis.<br />
*DOSPageInterval: Aeg sekundites, mida kasutab DOSPageCount.<br />
*DOSSiteCount: Objektide arv DOSSiteInterval sekundites.<br />
*DOSSiteInterval: Aeg sekundites, mida kasutab DOSSiteCount.<br />
*DOSBlockingPeriod: Aeg sekundites, kui kaua IP on bannitud. Kui IP üritab serverile selle aja see ligi pääseda, siis algab loendus ueusti nullist.<br />
*DOSLogDir: Valikuline. Kataloogitee, kuhu logi salvestatakse. Kui pole määratud kasutatakse /tmp.<br />
*DOSEmailNotify: Valikuline. Mail kuhu teated saadetakse.<br />
*DOSSystemCommand: Valikuline. Käsk mis käivitatakse, kui IP bannitakse. Näiteks:<br />
**DOSSystemCommand "/sbin/iptables -I INPUT -p tcp --dport 80 -s %s -j DROP"<br />
*DOSWhitelist: Valikuline. Nimekiri IP aadressitest, mida ei blokita.<br />
<br />
<br />
Kui konfigureerimine valmis, tuleb Apache serverlie teha restart<br />
<br />
/etc/init.d/apache2 restart<br />
VÕI<br />
service apache2 restart<br />
<br />
=== Autor ===<br />
Meelis Tamm, A31<br />
<br />
Source: [http://acidborg.wordpress.com/2009/06/25/installation-configuration-of-mod_evasive-in-ubuntu-server-9-04/]<br />
<br />
==Varnish Cache-i paigaldamine ja konfigureerimine==<br />
===Sissejuhatus===<br />
'''Varnish Cache''' - see on HTTP kiirendaja, ta on vaja, et maksimaalselt suurendada veebilehekülje kiirendust. Varnish Cache salvestab mälus veebilehekülg nii, et veebiserverid ei pea koguda sama lehekülg uuesti ja veel kord uuesti.<br />
===Paigaldamine===<br />
Kui te soovite installida Varnishit, siis on vaja teha uuendusi. Selle käsu abil uuendame opsüsteemi:<br />
sudo apt-get update<br />
Paigaldamise käsk:<br />
sudo apt-get install varnish<br />
===Konfiguratsiooni muutmine===<br />
Esimene, mis me teeme, default pordi muutmine. Tuleb muuta faili '''/etc/default/varnish''':<br />
nano /etc/default/varnish<br />
<br />
Konfigureerimine Varnichi jaoks kirjutatakse VCL keeles. <br />
<br />
Fail konfiguratsioonidega vaikselt asub siin '''/etc/varnish/default.vcl'''<br />
Fail oleneb mitmest osadest, aga mis on vaja töötamise alguseks - see on backendi viitamine:<br />
<br />
'''Backend''' - see on server, kuhu varnish saadab päringut, kui tal ei ole vastavad andmeid cache-is.<br />
<br />
Kopeerige fail /etc/varnish/default.vcl ja andke teine nimetus<br />
cp /etc/varnish/default.vcl /etc/varnish/itkool.vcl<br />
<br />
Ava fail /etc/varnish/itkool.vcl ja sisesta <br />
nano /etc/varnish/itkool.vcl<br />
<br />
<pre><br />
## Redirect requests to Apache, running on port 8000 on localhost<br />
backend apache {<br />
.host = "127.0.0.1";<br />
.port = "8000";<br />
}<br />
## Fetch<br />
sub vcl_fetch {<br />
## Remove the X-Forwarded-For header if it exists.<br />
remove req.http.X-Forwarded-For;<br />
<br />
## insert the client IP address as X-Forwarded-For. This is the normal IP address of the user.<br />
set req.http.X-Forwarded-For = req.http.rlnclientipaddr;<br />
## Added security, the "w00tw00t" attacks are pretty annoying so lets block it before it reaches our webserver<br />
if (req.url ~ "^/w00tw00t") {<br />
error 403 "Not permitted";<br />
}<br />
## Deliver the content<br />
return(deliver);<br />
}<br />
<br />
## Deliver<br />
sub vcl_deliver {<br />
## We'll be hiding some headers added by Varnish. We want to make sure people are not seeing we're using Varnish.<br />
## Since we're not caching (yet), why bother telling people we use it?<br />
remove resp.http.X-Varnish;<br />
remove resp.http.Via;<br />
remove resp.http.Age;<br />
<br />
## We'd like to hide the X-Powered-By headers. Nobody has to know we can run PHP and have version xyz of it.<br />
remove resp.http.X-Powered-By;<br />
}<br />
</pre><br />
Salvesta fail CTRL + O käsuga<br />
<br />
===Apache konfiguratsiooni muutmine===<br />
Ava fail etc/apache2/ports.conf ja leia<br />
nano /etc/apache2/ports.conf<br />
<br />
<pre><br />
NameVirtualHost *:80<br />
Listen 192.168.6.101:80<br />
</pre><br />
<br />
Muuda <br />
<br />
<pre><br />
NameVirtualHost *:8000<br />
Listen 192.168.6.101:8000<br />
</pre><br />
Ava fail nano etc/apache2/sites-available/wp ja leia<br />
<br />
<pre><br />
<VirtualHost *:80><br />
ServerAdmin webmaster@localhost<br />
<br />
</pre><br />
<br />
Muuda<br />
<pre><br />
VirtualHost *:8000><br />
ServerAdmin webmaster@localhost<br />
</pre><br />
<br />
<br />
Praegu paigaldame lisa Apache moodul selle jaoks, et veenduda kas kasutaja IP aadress lõpeb korrektselt. Praegu Varnish on põhimõtteliselt seotud apache2.<br />
Kuna Lakk on põhimõtteliselt rääkides apache2, sa võib näidata aadressil 127.0.0.1 nagu külastaja IP.<br />
nano apt-get install libapache2-mod-rpaf<br />
<br />
'''RPAF''' (Reverse Proxy Add Forward) moodul holitseb selle eest, et localhosti IP vahetatakse ära IP-ga, mis on seadistatud X-Forwarded-For failis.<br />
<br />
===Deemonide restart===<br />
Restart Apache server:<br />
/etc/init.d/apache2 restart<br />
<br />
Kontrolli kas on olemas IP portid: <br />
netstat -lp | grep apache2<br />
<br />
Kui te näete, siis kõik on korras<br />
tcp 0 0 *:https *:* LISTEN 843/apache2 <br />
tcp 0 0 192.168.6.101:8000 *:* LISTEN 843/apache2 <br />
<br />
Kui ei näita niimodi, siis on viga. Praegu teeme Varnishile restardi, et kuulata teema pordis 80<br />
/etc/init.d/varnish restart <br />
<br />
Kontrolli <br />
netstat -lp | grep varnish<br />
tcp 0 0 *:www *:* LISTEN 781/varnishd <br />
tcp 0 0 localhost:6082 *:* LISTEN 779/varnishd <br />
tcp6 0 0 [::]:www [::]:* LISTEN 781/varnishd<br />
<br />
Praegu Varnish on sättinud Apache-is. Külasta saiti ja vaata, kas toimib. Kui sa tõmbad Apache maha, siis näed lehel Varnishi errorit.<br />
<br />
== Super Cache ==<br />
<br />
'''Selle osa koostamine on veel töös.'''<br />
<br />
Super Cache-i paigaldamiseks tuleb sisse logida admin-paneeli. Siis vasakult nimekirjast valida '''''Plugins'''''-i alt '''Add new'''.<br />
<br />
<br />
<br />
[[File:Wordpress_Plugins.png]]<br />
<br />
<br />
[[File:Wordpress_search.png|400px|thumb|left]]<br />
<br />
<br />
[[File:Install_wordpress.png|400px|thumb|left|]]<br />
<br />
[[File:Activate_wordpress.png|400px|thumb|left|]]<br />
<br />
<br />
Siis kirjutada otsingusse "'''WP Super Cache'''".<br />
<br />
<br />
<br />
<br />
Pärast seda valida nimekirjast ''Super Cache'' ning vajutada "'''Install now'''".<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Pärast seda "'''Activate the Plugin'''".<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Super Cache -i toimimiseks on vajalik valida '''''Custom structure''''' ''Permalink-i'' seadete alt ning sisestada sinna '''/index.php/?p=%post_id%'''<br />
<br />
[[File:Permalink 1.png]]<br />
<br />
Edasi vali vasakult '''''Settings'''''-u alt '''WP Super Cache'''.<br />
<br />
Lisaks tuleb muuta .htaccess faili sisu mis peaks välja nägema selline:<br />
<br />
# BEGIN WordPress<br />
<IfModule mod_rewrite.c><br />
RewriteEngine On<br />
RewriteBase /<br />
RewriteRule ^index\.php$ - [L]<br />
RewriteCond %{REQUEST_FILENAME} !-f<br />
RewriteCond %{REQUEST_FILENAME} !-d<br />
RewriteRule . /index.php [L]<br />
</IfModule><br />
# END WordPress<br />
<br />
kuna wordpress tahab htaccess faili ka ise muuta aegajalt siis on hea panna htaccessi õigused 777 peale käsuga:<br />
chmod 777 .htaccess<br />
<br />
== Iptables ==<br />
<br />
'''protsessis...'''<br />
<br />
Teie '''iptables.conf''' fail peab välja nägema nii nagu näidatud allpool<br />
<br />
<pre><br />
-A INPUT -s 192.168.6.101/32 -p tcp -m tcp --dport 8000 -j ACCEPT <br />
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT <br />
-A INPUT -s 192.168.6.1/32 -p tcp -m tcp --dport 22 -j ACCEPT <br />
-A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied:" --log-level 7<br />
-A INPUT -p tcp -m tcp --dport 80 -m connlimit --connlimit-above 10 --connlimit-mask 32 -j REJECT --reject-with icmp-port-unreachable<br />
-A INPUT -s 192.168.6.101/32 -j ACCEPT <br />
-A INPUT -m state --state ESTABLISHED -j ACCEPT <br />
-A INPUT -s 192.168.6.200/32 -p tcp -m tcp --dport 53 -j ACCEPT <br />
-A INPUT -s 192.168.6.200/32 -p udp -m udp --dport 53 -j ACCEPT <br />
-A INPUT -s 192.168.6.200/32 -p tcp -m tcp --dport 443 -j ACCEPT <br />
-A OUTPUT -o lo -j ACCEPT <br />
COMMIT<br />
</pre><br />
<br />
'''Räägime täpsemalt milleks need reeglid vaja on.'''<br />
<br />
Lubame varnish'it kasutama:<br />
<pre><br />
iptables -A INPUT -s 192.168.6.101/32 -p tcp -m tcp --dport 8000 -j ACCEPT<br />
</pre><br />
<br />
Lubame weebiserveri:<br />
<pre><br />
iptables -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT<br />
</pre><br />
<br />
SSH lubamiseks sellest IP-st:<br />
<pre><br />
iptables -A INPUT -s 192.168.6.1/32 -p tcp -m tcp --dport 22 -j ACCEPT<br />
</pre><br />
<br />
See rida annab võimalust katkestada ühendusi mille arv on üle 10 pordis 80:<br />
<pre><br />
iptables -A INPUT -p tcp -m tcp --dport 80 -m connlimit --connlimit-above 10 --connlimit-mask 32 -j REJECT --reject-with icmp-port-unreachable<br />
</pre><br />
<br />
Praegu meil ei salvestatakse logi failid. Kui tahame näha täpsemalt millised paketid vistakse minema, peame lubama logimist:<br />
<pre><br />
iptables -A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied:" --log-level 7<br />
</pre><br />
<br />
<pre><br />
iptables -A INPUT -s 192.168.6.101/32 -j ACCEPT<br />
</pre><br />
<br />
Väljaminevate ühenduste jaoks tagasi tulnud pakette lubamiseks:<br />
<pre><br />
iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT<br />
</pre><br />
<br />
Nimeserveri lubamiseks peame avama nii '''tcp''' kui ka '''udp''' pordid:<br />
<pre><br />
iptables -A INPUT -s 192.168.6.200/32 -p tcp -m tcp --dport 53 -j ACCEPT<br />
iptables -A INPUT -s 192.168.6.200/32 -p udp -m udp --dport 53 -j ACCEPT<br />
</pre><br />
<br />
SSL'i jaoks:<br />
<pre><br />
iptables -A INPUT -s 192.168.6.200/32 -p tcp -m tcp --dport 443 -j ACCEPT<br />
</pre><br />
<br />
<pre><br />
iptables -A OUTPUT -o lo -j ACCEPT <br />
</pre></div>Sbarolhttps://wiki.itcollege.ee/index.php?title=WordPress_turvamine&diff=41968WordPress turvamine2011-11-10T09:15:23Z<p>Sbarol: /* Iptables */</p>
<hr />
<div>'''!NB Kõik õpetused on tehtud kasutades Ubuntu Server 11.04'''<br />
<br />
WordPressi paigaldamine<br />
<br />
Varnishi lisamine wordpressile<br />
<br />
SuperCache kasutamine<br />
<br />
DoS rünnaku tõrjumine mod_evasive mooduliga<br />
<br />
== Wordpressi paigaldus ja konfigureerimine ==<br />
<br />
Antud toimingud tuleks teha root õigustes.<br />
<br />
Mine root-iks:<br />
sudo -i<br />
<br />
<br />
Tee update kohalike pakettide cache<br />
aptitude update<br />
<br />
<br />
Tee upgrade pakettidele:<br />
aptitude full-upgrade<br />
<br />
Paigalda acpid daemon<br />
aptitude install acpid<br />
<br />
<br />
Installi apache2 veebi server,mysql andmebaasi server, openssh server, php5 skriptimis keel ning apache2-utils(Apache benchmark tool)<br />
aptitude install apache2 mysql-server ssh php5 php5-mysql apache2-utils<br />
<br />
<br />
Tõmba alla kõige hilisem .tar fail wordpress.org-ist:<br />
wget http://wordpress.org/latest.tar.gz<br />
<br />
<br />
<br />
Paki lahti wordpressi failid /var/www kausta:<br />
sudo tar zxvf latest.tar.gz --directory=/var/www/<br />
<br />
<br />
Logi mysql-i sisse:<br />
<br />
mysql -u root -p<br />
<br />
Loo andmebaas student_wordpress:<br />
<source lang="mysql"><br />
create database student_wordpress;<br />
</source><br />
Loo kasutaja student:<br />
<source lang="mysql"><br />
create user student;<br />
</source><br />
Anna kõik õigused student kasutajale:<br />
<source lang="mysql"><br />
GRANT ALL PRIVILEGES ON student_wordpress.* TO student@localhost IDENTIFIED BY ‘student’;<br />
</source><br />
Välju mysql-ist:<br />
<source lang="mysql"><br />
quit;<br />
</source><br />
<br />
Loo uus default veebi saidil põhinev veebi sait:<br />
<br />
cp /etc/apache2/sites-available/default /etc/apache2/sites-available/wp<br />
<br />
<br />
Muuda ära DocumentRoot /etc/apache2/sites-avalible/wp failis:<br />
<br />
nano /etc/apache2/sites-avalible/wp<br />
<br />
Lisa DocumentRoot /var/www rea lõppu DocumentRoot /var/www/wordpress<br />
DocumentRoot /var/www/wordpress<br />
<br />
<br />
<br />
<br />
Keela ära tavaline default veebi sait(seda ei ole vaja antud paigalduses):<br />
<br />
a2dissite default<br />
<br />
<br />
Luba wordpress-i veebisait<br />
<br />
a2ensite wp<br />
<br />
Tee apache-ile restart<br />
<br />
service apache2 restart<br />
<br />
Muuda wordpress konfiguratsiooni faili:<br />
<br />
nano /var/www/wordpress/wp-config-sample.php<br />
<br />
Muuda DB_NAME, DB_USER, DB_PASSWORD vastavalt näitele:<br />
<br />
<source lang="php">define('DB_NAME', 'student_wordpress');<br />
<br />
/** MySQL database username */<br />
define('DB_USER', 'student');<br />
<br />
/** MySQL database password */<br />
define('DB_PASSWORD', 'student');<br />
</source><br />
<br />
Kopeeri uus konfiguratsiooni fail wordpressi konfiguratsiooni failiks:<br />
<br />
cp /var/www/wordpress/wp-config-sample.php /var/www/wordpress/wp-config.php<br />
<br />
<br />
Tee apache2 service-ile reload<br />
<br />
service apache2 reload<br />
<br />
Mine wordpressi saidile kasutades host-i IP aadressi(antud näites:192.168.56.102);<br />
<br />
http://192.168.56.102<br />
<br />
<br />
Vali saidi nimi, kasutajanimi, salasõna ning meili aadress.<br />
<br />
Vali install<br />
<br />
Installi lõppedes tee kindlaks,et kõik toimib(log sisse, vaata wp verisooni ilmselt midagi sellist: You are using WordPress 3.2.1.)<br />
<br />
== mod_evasive paigaldus ja konfigureerimine ==<br />
<br />
=== Sissejuhatus ===<br />
<br />
Mod_evasive on lisamoodul Apache'i veebiserveri jaoks, mille abil on võimalik vähendada või täielikult tõrjuda<br />
HTTP DoS, DDos või brute force rünnakute mõju. Ühtlasi saab seda kasutada ka monitooringu teostamiseks,<br />
kuna moodulit on lihtne panna suhtlema erinevate tulemüüride ja ruuteritega.<br />
<br />
Monitooring baseerub dünaamilisel IP aadressitest ja URI-dest koosneval räsitabelil,<br />
kust siis keelatakse IP aadressid, mis:<br />
<br />
*küsivad ühte lehte rohkem kui paar korda sekundis<br />
*teevad rohkem kui 50 üheaegset requesti sama laps-protsessi vastu<br />
*üritavad teha ükskõik millist requesti samal ajal kui nad on mustas nimekirjas<br />
<br />
=== Paigaldus ===<br />
<br />
Paigaldamine Ubuntu 11.04 serverile on küllaltki lihtne<br />
<br />
apt-get install libapache2-mod-evasive<br />
<br />
=== Konfigureerimine ===<br />
<br />
Kõigepealt on viisakas luua koht, kuhu antud moodul oma logi saaks salvestada<br />
mkdir /var/log/apache2/mod_evasive<br />
chown www-data:www-data /var/log/apache2/mod_evasive<br />
<br />
'''NB! Logimine praegu ei tööta'''<br />
<br />
Mod_evasive moodulil ei lubata antud kausta kirjutada<br />
Couldn't open logfile /var/log/apache2/mod_evasive/dos-192.168.6.13: Permission denied<br />
<br />
Nüüd jääb üle lisada vastavad read oma virtuaalsesse hosti (N:~/apache2/sites-enabled/wordpress lõppu)<br />
<br />
<ifmodule mod_evasive20.c><br />
DOSHashTableSize 3097<br />
DOSPageCount 2<br />
DOSSiteCount 50<br />
DOSPageInterval 1<br />
DOSSiteInterval 1<br />
DOSBlockingPeriod 10<br />
DOSLogDir /var/log/apache2/mod_evasive<br />
DOSEmailNotify root@localhost<br />
DOSWhitelist 127.0.0.1<br />
</ifmodule><br />
<br />
Antud väärtusi tuleks kohandada vastavalt vajadustele<br />
<br />
Parameetrite kirjeldused:<br />
<br />
*DOSHashTableSize: Räsitabeli suurus, kus IP aadresseid hoitakse.<br />
*DOSPageCount: Lehekülgede arv DOSPageInterval sekundis.<br />
*DOSPageInterval: Aeg sekundites, mida kasutab DOSPageCount.<br />
*DOSSiteCount: Objektide arv DOSSiteInterval sekundites.<br />
*DOSSiteInterval: Aeg sekundites, mida kasutab DOSSiteCount.<br />
*DOSBlockingPeriod: Aeg sekundites, kui kaua IP on bannitud. Kui IP üritab serverile selle aja see ligi pääseda, siis algab loendus ueusti nullist.<br />
*DOSLogDir: Valikuline. Kataloogitee, kuhu logi salvestatakse. Kui pole määratud kasutatakse /tmp.<br />
*DOSEmailNotify: Valikuline. Mail kuhu teated saadetakse.<br />
*DOSSystemCommand: Valikuline. Käsk mis käivitatakse, kui IP bannitakse. Näiteks:<br />
**DOSSystemCommand "/sbin/iptables -I INPUT -p tcp --dport 80 -s %s -j DROP"<br />
*DOSWhitelist: Valikuline. Nimekiri IP aadressitest, mida ei blokita.<br />
<br />
<br />
Kui konfigureerimine valmis, tuleb Apache serverlie teha restart<br />
<br />
/etc/init.d/apache2 restart<br />
VÕI<br />
service apache2 restart<br />
<br />
=== Autor ===<br />
Meelis Tamm, A31<br />
<br />
Source: [http://acidborg.wordpress.com/2009/06/25/installation-configuration-of-mod_evasive-in-ubuntu-server-9-04/]<br />
<br />
==Varnish Cache-i paigaldamine ja konfigureerimine==<br />
===Sissejuhatus===<br />
'''Varnish Cache''' - see on HTTP kiirendaja, ta on vaja, et maksimaalselt suurendada veebilehekülje kiirendust. Varnish Cache salvestab mälus veebilehekülg nii, et veebiserverid ei pea koguda sama lehekülg uuesti ja veel kord uuesti.<br />
===Paigaldamine===<br />
Kui te soovite installida Varnishit, siis on vaja teha uuendusi. Selle käsu abil uuendame opsüsteemi:<br />
sudo apt-get update<br />
Paigaldamise käsk:<br />
sudo apt-get install varnish<br />
===Konfiguratsiooni muutmine===<br />
Esimene, mis me teeme, default pordi muutmine. Tuleb muuta faili '''/etc/default/varnish''':<br />
nano /etc/default/varnish<br />
<br />
Konfigureerimine Varnichi jaoks kirjutatakse VCL keeles. <br />
<br />
Fail konfiguratsioonidega vaikselt asub siin '''/etc/varnish/default.vcl'''<br />
Fail oleneb mitmest osadest, aga mis on vaja töötamise alguseks - see on backendi viitamine:<br />
<br />
'''Backend''' - see on server, kuhu varnish saadab päringut, kui tal ei ole vastavad andmeid cache-is.<br />
<br />
Kopeerige fail /etc/varnish/default.vcl ja andke teine nimetus<br />
cp /etc/varnish/default.vcl /etc/varnish/itkool.vcl<br />
<br />
Ava fail /etc/varnish/itkool.vcl ja sisesta <br />
nano /etc/varnish/itkool.vcl<br />
<br />
<pre><br />
## Redirect requests to Apache, running on port 8000 on localhost<br />
backend apache {<br />
.host = "127.0.0.1";<br />
.port = "8000";<br />
}<br />
## Fetch<br />
sub vcl_fetch {<br />
## Remove the X-Forwarded-For header if it exists.<br />
remove req.http.X-Forwarded-For;<br />
<br />
## insert the client IP address as X-Forwarded-For. This is the normal IP address of the user.<br />
set req.http.X-Forwarded-For = req.http.rlnclientipaddr;<br />
## Added security, the "w00tw00t" attacks are pretty annoying so lets block it before it reaches our webserver<br />
if (req.url ~ "^/w00tw00t") {<br />
error 403 "Not permitted";<br />
}<br />
## Deliver the content<br />
return(deliver);<br />
}<br />
<br />
## Deliver<br />
sub vcl_deliver {<br />
## We'll be hiding some headers added by Varnish. We want to make sure people are not seeing we're using Varnish.<br />
## Since we're not caching (yet), why bother telling people we use it?<br />
remove resp.http.X-Varnish;<br />
remove resp.http.Via;<br />
remove resp.http.Age;<br />
<br />
## We'd like to hide the X-Powered-By headers. Nobody has to know we can run PHP and have version xyz of it.<br />
remove resp.http.X-Powered-By;<br />
}<br />
</pre><br />
Salvesta fail CTRL + O käsuga<br />
<br />
===Apache konfiguratsiooni muutmine===<br />
Ava fail etc/apache2/ports.conf ja leia<br />
nano /etc/apache2/ports.conf<br />
<br />
<pre><br />
NameVirtualHost *:80<br />
Listen 192.168.6.101:80<br />
</pre><br />
<br />
Muuda <br />
<br />
<pre><br />
NameVirtualHost *:8000<br />
Listen 192.168.6.101:8000<br />
</pre><br />
Ava fail nano etc/apache2/sites-available/wp ja leia<br />
<br />
<pre><br />
<VirtualHost *:80><br />
ServerAdmin webmaster@localhost<br />
<br />
</pre><br />
<br />
Muuda<br />
<pre><br />
VirtualHost *:8000><br />
ServerAdmin webmaster@localhost<br />
</pre><br />
<br />
<br />
Praegu paigaldame lisa Apache moodul selle jaoks, et veenduda kas kasutaja IP aadress lõpeb korrektselt. Praegu Varnish on põhimõtteliselt seotud apache2.<br />
Kuna Lakk on põhimõtteliselt rääkides apache2, sa võib näidata aadressil 127.0.0.1 nagu külastaja IP.<br />
nano apt-get install libapache2-mod-rpaf<br />
<br />
'''RPAF''' (Reverse Proxy Add Forward) moodul holitseb selle eest, et localhosti IP vahetatakse ära IP-ga, mis on seadistatud X-Forwarded-For failis.<br />
<br />
===Deemonide restart===<br />
Restart Apache server:<br />
/etc/init.d/apache2 restart<br />
<br />
Kontrolli kas on olemas IP portid: <br />
netstat -lp | grep apache2<br />
<br />
Kui te näete, siis kõik on korras<br />
tcp 0 0 *:https *:* LISTEN 843/apache2 <br />
tcp 0 0 192.168.6.101:8000 *:* LISTEN 843/apache2 <br />
<br />
Kui ei näita niimodi, siis on viga. Praegu teeme Varnishile restardi, et kuulata teema pordis 80<br />
/etc/init.d/varnish restart <br />
<br />
Kontrolli <br />
netstat -lp | grep varnish<br />
tcp 0 0 *:www *:* LISTEN 781/varnishd <br />
tcp 0 0 localhost:6082 *:* LISTEN 779/varnishd <br />
tcp6 0 0 [::]:www [::]:* LISTEN 781/varnishd<br />
<br />
Praegu Varnish on sättinud Apache-is. Külasta saiti ja vaata, kas toimib. Kui sa tõmbad Apache maha, siis näed lehel Varnishi errorit.<br />
<br />
== Super Cache ==<br />
<br />
'''Selle osa koostamine on veel töös.'''<br />
<br />
Super Cache-i paigaldamiseks tuleb sisse logida admin-paneeli. Siis vasakult nimekirjast valida '''''Plugins'''''-i alt '''Add new'''.<br />
<br />
<br />
<br />
[[File:Wordpress_Plugins.png]]<br />
<br />
<br />
[[File:Wordpress_search.png|400px|thumb|left]]<br />
<br />
<br />
[[File:Install_wordpress.png|400px|thumb|left|]]<br />
<br />
[[File:Activate_wordpress.png|400px|thumb|left|]]<br />
<br />
<br />
Siis kirjutada otsingusse "'''WP Super Cache'''".<br />
<br />
<br />
<br />
<br />
Pärast seda valida nimekirjast ''Super Cache'' ning vajutada "'''Install now'''".<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Pärast seda "'''Activate the Plugin'''".<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
<br />
Super Cache -i toimimiseks on vajalik valida '''''Custom structure''''' ''Permalink-i'' seadete alt ning sisestada sinna '''/index.php/?p=%post_id%'''<br />
<br />
[[File:Permalink 1.png]]<br />
<br />
Edasi vali vasakult '''''Settings'''''-u alt '''WP Super Cache'''.<br />
<br />
Lisaks tuleb muuta .htaccess faili sisu mis peaks välja nägema selline:<br />
<br />
# BEGIN WordPress<br />
<IfModule mod_rewrite.c><br />
RewriteEngine On<br />
RewriteBase /<br />
RewriteRule ^index\.php$ - [L]<br />
RewriteCond %{REQUEST_FILENAME} !-f<br />
RewriteCond %{REQUEST_FILENAME} !-d<br />
RewriteRule . /index.php [L]<br />
</IfModule><br />
# END WordPress<br />
<br />
kuna wordpress tahab htaccess faili ka ise muuta aegajalt siis on hea panna htaccessi õigused 777 peale käsuga:<br />
chmod 777 .htaccess<br />
<br />
== Iptables ==<br />
<br />
'''protsessis...'''<br />
<br />
Teie iptables.conf fail peab välja nägema nii nagu näidatud allpool<br />
<br />
<pre><br />
-A INPUT -s 192.168.6.101/32 -p tcp -m tcp --dport 8000 -j ACCEPT <br />
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT <br />
-A INPUT -s 192.168.6.1/32 -p tcp -m tcp --dport 22 -j ACCEPT <br />
-A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied:" --log-level 7<br />
-A INPUT -p tcp -m tcp --dport 80 -m connlimit --connlimit-above 10 --connlimit-mask 32 -j REJECT --reject-with icmp-port-unreachable<br />
-A INPUT -s 192.168.6.101/32 -j ACCEPT <br />
-A INPUT -m state --state ESTABLISHED -j ACCEPT <br />
-A INPUT -s 192.168.6.200/32 -p tcp -m tcp --dport 53 -j ACCEPT <br />
-A INPUT -s 192.168.6.200/32 -p udp -m udp --dport 53 -j ACCEPT <br />
-A INPUT -s 192.168.6.200/32 -p tcp -m tcp --dport 443 -j ACCEPT <br />
-A OUTPUT -o lo -j ACCEPT <br />
COMMIT<br />
</pre><br />
<br />
'''Räägime täpsemalt milleks need reeglid vaja on.'''<br />
<br />
Lubame varnish'it kasutama:<br />
<pre><br />
iptables -A INPUT -s 192.168.6.101/32 -p tcp -m tcp --dport 8000 -j ACCEPT<br />
</pre><br />
<br />
Lubame weebiserveri:<br />
<pre><br />
iptables -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT<br />
</pre><br />
<br />
SSH lubamiseks sellest IP-st:<br />
<pre><br />
iptables -A INPUT -s 192.168.6.1/32 -p tcp -m tcp --dport 22 -j ACCEPT<br />
</pre><br />
<br />
See rida annab võimalust katkestada ühendusi mille arv on üle 10 pordis 80:<br />
<pre><br />
iptables -A INPUT -p tcp -m tcp --dport 80 -m connlimit --connlimit-above 10 --connlimit-mask 32 -j REJECT --reject-with icmp-port-unreachable<br />
</pre><br />
<br />
Praegu meil ei salvestatakse logi failid. Kui tahame näha täpsemalt millised paketid vistakse minema, peame lubama logimist:<br />
<pre><br />
iptables -A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied:" --log-level 7<br />
</pre><br />
<br />
<pre><br />
iptables -A INPUT -s 192.168.6.101/32 -j ACCEPT<br />
</pre><br />
<br />
Väljaminevate ühenduste jaoks tagasi tulnud pakette lubamiseks:<br />
<pre><br />
iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT<br />
</pre><br />
<br />
Nimeserveri lubamiseks peame avama nii '''tcp''' kui ka '''udp''' pordid:<br />
<pre><br />
iptables -A INPUT -s 192.168.6.200/32 -p tcp -m tcp --dport 53 -j ACCEPT<br />
iptables -A INPUT -s 192.168.6.200/32 -p udp -m udp --dport 53 -j ACCEPT<br />
</pre><br />
<br />
SSL'i jaoks:<br />
<pre><br />
iptables -A INPUT -s 192.168.6.200/32 -p tcp -m tcp --dport 443 -j ACCEPT<br />
</pre><br />
<br />
<pre><br />
iptables -A OUTPUT -o lo -j ACCEPT <br />
</pre></div>Sbarolhttps://wiki.itcollege.ee/index.php?title=WordPress_turvamine&diff=41888WordPress turvamine2011-11-09T09:16:39Z<p>Sbarol: /* Iptables */</p>
<hr />
<div>'''!NB Kõik õpetused on tehtud kasutades Ubuntu Server 11.04'''<br />
<br />
WordPressi paigaldamine<br />
<br />
Varnishi lisamine wordpressile<br />
<br />
SuperCache kasutamine<br />
<br />
DoS rünnaku tõrjumine mod_evasive mooduliga<br />
<br />
== Wordpressi paigaldus ja konfigureerimine ==<br />
<br />
Antud toimingud tuleks teha root õigustes.<br />
<br />
Mine root-iks:<br />
sudo -i<br />
<br />
<br />
Tee update kohalike pakettide cache<br />
aptitude update<br />
<br />
<br />
Tee upgrade pakettidele:<br />
aptitude full-upgrade<br />
<br />
Paigalda acpid daemon<br />
aptitude install acpid<br />
<br />
<br />
Installi apache2 veebi server,mysql andmebaasi server, openssh server, php5 skriptimis keel ning apache2-utils(Apache benchmark tool)<br />
aptitude install apache2 mysql-server ssh php5 php5-mysql apache2-utils<br />
<br />
<br />
Tõmba alla kõige hilisem .tar fail wordpress.org-ist:<br />
wget http://wordpress.org/latest.tar.gz<br />
<br />
<br />
<br />
Paki lahti wordpressi failid /var/www kausta:<br />
sudo tar zxvf latest.tar.gz --directory=/var/www/<br />
<br />
<br />
Logi mysql-i sisse:<br />
<br />
mysql -u root -p<br />
<br />
Loo andmebaas student_wordpress:<br />
<source lang="mysql"><br />
create database student_wordpress;<br />
</source><br />
Loo kasutaja student:<br />
<source lang="mysql"><br />
create user student;<br />
</source><br />
Anna kõik õigused student kasutajale:<br />
<source lang="mysql"><br />
GRANT ALL PRIVILEGES ON student_wordpress.* TO student@localhost IDENTIFIED BY ‘student’;<br />
</source><br />
Välju mysql-ist:<br />
<source lang="mysql"><br />
quit;<br />
</source><br />
<br />
Loo uus default veebi saidil põhinev veebi sait:<br />
<br />
cp /etc/apache2/sites-available/default /etc/apache2/sites-available/wp<br />
<br />
<br />
Muuda ära DocumentRoot /etc/apache2/sites-avalible/wp failis:<br />
<br />
nano /etc/apache2/sites-avalible/wp<br />
<br />
Lisa DocumentRoot /var/www rea lõppu DocumentRoot /var/www/wordpress<br />
DocumentRoot /var/www/wordpress<br />
<br />
<br />
<br />
<br />
Keela ära tavaline default veebi sait(seda ei ole vaja antud paigalduses):<br />
<br />
a2dissite default<br />
<br />
<br />
Luba wordpress-i veebisait<br />
<br />
a2ensite wp<br />
<br />
Tee apache-ile restart<br />
<br />
service apache2 restart<br />
<br />
Muuda wordpress konfiguratsiooni faili:<br />
<br />
nano /var/www/wordpress/wp-config-sample.php<br />
<br />
Muuda DB_NAME, DB_USER, DB_PASSWORD vastavalt näitele:<br />
<br />
<source lang="php">define('DB_NAME', 'student_wordpress');<br />
<br />
/** MySQL database username */<br />
define('DB_USER', 'student');<br />
<br />
/** MySQL database password */<br />
define('DB_PASSWORD', 'student');<br />
</source><br />
<br />
Kopeeri uus konfiguratsiooni fail wordpressi konfiguratsiooni failiks:<br />
<br />
cp /var/www/wordpress/wp-config-sample.php /var/www/wordpress/wp-config.php<br />
<br />
<br />
Tee apache2 service-ile reload<br />
<br />
service apache2 reload<br />
<br />
Mine wordpressi saidile kasutades host-i IP aadressi(antud näites:192.168.56.102);<br />
<br />
http://192.168.56.102<br />
<br />
<br />
Vali saidi nimi, kasutajanimi, salasõna ning meili aadress.<br />
<br />
Vali install<br />
<br />
Installi lõppedes tee kindlaks,et kõik toimib(log sisse, vaata wp verisooni ilmselt midagi sellist: You are using WordPress 3.2.1.)<br />
<br />
== mod_evasive paigaldus ja konfigureerimine ==<br />
<br />
=== Sissejuhatus ===<br />
<br />
Mod_evasive on lisamoodul Apache'i veebiserveri jaoks, mille abil on võimalik vähendada või täielikult tõrjuda<br />
HTTP DoS, DDos või brute force rünnakute mõju. Ühtlasi saab seda kasutada ka monitooringu teostamiseks,<br />
kuna moodulit on lihtne panna suhtlema erinevate tulemüüride ja ruuteritega.<br />
<br />
Monitooring baseerub dünaamilisel IP aadressitest ja URI-dest koosneval räsitabelil,<br />
kust siis keelatakse IP aadressid, mis:<br />
<br />
*küsivad ühte lehte rohkem kui paar korda sekundis<br />
*teevad rohkem kui 50 üheaegset requesti sama laps-protsessi vastu<br />
*üritavad teha ükskõik millist requesti samal ajal kui nad on mustas nimekirjas<br />
<br />
=== Paigaldus ===<br />
<br />
Paigaldamine Ubuntu 11.04 serverile on küllaltki lihtne<br />
<br />
apt-get install libapache2-mod-evasive<br />
<br />
=== Konfigureerimine ===<br />
<br />
Kõigepealt on viisakas luua koht, kuhu antud moodul oma logi saaks salvestada (kuigi logimine praegu ei tööta)<br />
<br />
mkdir /var/log/apache2/mod_evasive<br />
chown www-data:www-data /var/log/apache2/mod_evasive<br />
<br />
Nüüd jääb üle lisada vastavad read oma virtuaalsesse hosti (N:~/apache2/sites-enabled/wordpress lõppu)<br />
<br />
<ifmodule mod_evasive20.c><br />
DOSHashTableSize 3097<br />
DOSPageCount 2<br />
DOSSiteCount 50<br />
DOSPageInterval 1<br />
DOSSiteInterval 1<br />
DOSBlockingPeriod 10<br />
DOSLogDir /var/log/apache2/mod_evasive<br />
DOSEmailNotify root@localhost<br />
DOSWhitelist 127.0.0.1<br />
</ifmodule><br />
<br />
Antud väärtusi tuleks kohandada vastavalt vajadustele<br />
<br />
Parameetrite kirjeldused:<br />
<br />
*DOSHashTableSize: Räsitabeli suurus, kus IP aadresseid hoitakse.<br />
*DOSPageCount: Lehekülgede arv DOSPageInterval sekundis.<br />
*DOSPageInterval: Aeg sekundites, mida kasutab DOSPageCount.<br />
*DOSSiteCount: Objektide arv DOSSiteInterval sekundites.<br />
*DOSSiteInterval: Aeg sekundites, mida kasutab DOSSiteCount.<br />
*DOSBlockingPeriod: Aeg sekundites, kui kaua IP on bannitud. Kui IP üritab serverile selle aja see ligi pääseda, siis algab loendus ueusti nullist.<br />
*DOSLogDir: Valikuline. Kataloogitee, kuhu logi salvestatakse. Kui pole määratud kasutatakse /tmp.<br />
*DOSEmailNotify: Valikuline. Mail kuhu teated saadetakse.<br />
*DOSSystemCommand: Valikuline. Käsk mis käivitatakse, kui IP bannitakse. Näiteks:<br />
**DOSSystemCommand "/sbin/iptables -I INPUT -p tcp --dport 80 -s %s -j DROP"<br />
*DOSWhitelist: Valikuline. Nimekiri IP aadressitest, mida ei blokita.<br />
<br />
<br />
Kui konfigureerimine valmis, tuleb Apache serverlie teha restart<br />
<br />
/etc/init.d/apache2 restart<br />
VÕI<br />
service apache2 restart<br />
<br />
==Varnish Cache-i paigaldamine ja konfigureerimine==<br />
===Sissejuhatus===<br />
'''Varnish Cache''' - see on HTTP kiirendaja, ta on vaja, et maksimaalselt suurendada veebilehekülje kiirendust. Varnish Cache salvestab mälus veebilehekülg nii, et veebiserverid ei pea koguda sama lehekülg uuesti ja veel kord uuesti.<br />
===Paigaldamine===<br />
Kui te soovite installida Varnishit, siis on vaja teha uuendusi. Selle käsu abil uuendame opsüsteemi:<br />
sudo apt-get update<br />
Paigaldamise käsk:<br />
sudo apt-get install varnish<br />
===Konfiguratsiooni muutmine===<br />
Esimene, mis me teeme, default pordi muutmine. Tuleb muuta faili '''/etc/default/varnish''':<br />
nano /etc/default/varnish<br />
<br />
Konfigureerimine Varnichi jaoks kirjutatakse VCL keeles. <br />
<br />
Fail konfiguratsioonidega vaikselt asub siin '''/etc/varnish/default.vcl'''<br />
Fail oleneb mitmest osadest, aga mis on vaja töötamise alguseks - see on backendi viitamine:<br />
<br />
'''Backend''' - see on server, kuhu varnish saadab päringut, kui tal ei ole vastavad andmeid cache-is.<br />
<br />
Kopeerige fail /etc/varnish/default.vcl ja andke teine nimetus<br />
cp /etc/varnish/default.vcl /etc/varnish/itkool.vcl<br />
<br />
Ava fail /etc/varnish/itkool.vcl ja sisesta <br />
nano /etc/varnish/itkool.vcl<br />
<br />
<pre><br />
## Redirect requests to Apache, running on port 8000 on localhost<br />
backend apache {<br />
.host = "127.0.0.1";<br />
.port = "8000";<br />
}<br />
## Fetch<br />
sub vcl_fetch {<br />
## Remove the X-Forwarded-For header if it exists.<br />
remove req.http.X-Forwarded-For;<br />
<br />
## insert the client IP address as X-Forwarded-For. This is the normal IP address of the user.<br />
set req.http.X-Forwarded-For = req.http.rlnclientipaddr;<br />
## Added security, the "w00tw00t" attacks are pretty annoying so lets block it before it reaches our webserver<br />
if (req.url ~ "^/w00tw00t") {<br />
error 403 "Not permitted";<br />
}<br />
## Deliver the content<br />
return(deliver);<br />
}<br />
<br />
## Deliver<br />
sub vcl_deliver {<br />
## We'll be hiding some headers added by Varnish. We want to make sure people are not seeing we're using Varnish.<br />
## Since we're not caching (yet), why bother telling people we use it?<br />
remove resp.http.X-Varnish;<br />
remove resp.http.Via;<br />
remove resp.http.Age;<br />
<br />
## We'd like to hide the X-Powered-By headers. Nobody has to know we can run PHP and have version xyz of it.<br />
remove resp.http.X-Powered-By;<br />
}<br />
</pre><br />
Salvesta fail CTRL + O käsuga<br />
<br />
===Apache konfiguratsiooni muutmine===<br />
Ava fail etc/apache2/ports.conf ja leia<br />
nano /etc/apache2/ports.conf<br />
<br />
<pre><br />
NameVirtualHost *:80<br />
Listen 192.168.6.101:80<br />
</pre><br />
<br />
Muuda <br />
<br />
<pre><br />
NameVirtualHost *:8000<br />
Listen 192.168.6.101:8000<br />
</pre><br />
<br />
'''...VHOSTS...'''<br />
<br />
<br />
Praegu paigaldame lisa Apache moodul selle jaoks, et veenduda kas kasutaja IP aadress lõpeb korrektselt. Praegu Varnish on põhimõtteliselt seotud apache2.<br />
Kuna Lakk on põhimõtteliselt rääkides apache2, sa võib näidata aadressil 127.0.0.1 nagu külastaja IP.<br />
nano apt-get install libapache2-mod-rpaf<br />
<br />
'''RPAF''' (Reverse Proxy Add Forward) moodul ...<br />
<br />
<br />
===Deemonide restart===<br />
Restart Apache server:<br />
/etc/init.d/apache2 restart<br />
<br />
== Super Cache ==<br />
<br />
'''Selle osa koostamine on veel töös.'''<br />
<br />
Super Cache-i paigaldamiseks tuleb sisse logida admin-paneeli. Siis vasakult nimekirjast valida '''''Plugins'''''-i alt '''Add new'''.<br />
<br />
[[File:Wordpress_Plugins.png]]<br />
<br />
Siis kirjutada otsingusse "'''WP Super Cache'''".<br />
<br />
[[File:Wordpress_search.png]]<br />
<br />
Pärast seda valida nimekirjast ''Super Cache'' ning vajutada "'''Install now'''".<br />
<br />
[[File:Install_wordpress.png]]<br />
<br />
Pärast seda "'''Activate the Plugin'''".<br />
<br />
[[File:Activate_wordpress.png]]<br />
<br />
Super Cache -i toimimiseks on vajalik valida '''''Custom structure''''' ''Permalink-i'' seadete alt ning sisestada sinna '''"p=?/%post_id%/"'''.<br />
<br />
Edasi vali vasakult '''''Settings'''''-u alt '''WP Super Cache'''.<br />
<br />
== Iptables ==<br />
<br />
'''protsessis...'''<br />
<pre><br />
<br />
*filter<br />
:INPUT DROP [1066:176948]<br />
:FORWARD ACCEPT [0:0]<br />
:OUTPUT ACCEPT [58875:56066315]<br />
-A INPUT -s 192.168.6.101/32 -p tcp -m tcp --dport 8000 -j ACCEPT <br />
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT <br />
-A INPUT -s 192.168.6.1/32 -p tcp -m tcp --dport 22 -j ACCEPT <br />
-A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied:" --log-level 7<br />
-A INPUT -p tcp -m tcp --dport 80 -m connlimit --connlimit-above 10 --connlimit-mask 32 -j REJECT --reject-with icmp-port-unreachable<br />
-A INPUT -s 192.168.6.101/32 -j ACCEPT <br />
-A INPUT -m state --state ESTABLISHED -j ACCEPT <br />
-A INPUT -s 192.168.6.200/32 -p tcp -m tcp --dport 53 -j ACCEPT <br />
-A INPUT -s 192.168.6.200/32 -p udp -m udp --dport 53 -j ACCEPT <br />
-A INPUT -s 192.168.6.200/32 -p tcp -m tcp --dport 443 -j ACCEPT <br />
-A OUTPUT -o lo -j ACCEPT <br />
COMMIT<br />
<br />
</pre></div>Sbarolhttps://wiki.itcollege.ee/index.php?title=WordPress_turvamine&diff=41887WordPress turvamine2011-11-09T09:15:21Z<p>Sbarol: /* Iptables */</p>
<hr />
<div>'''!NB Kõik õpetused on tehtud kasutades Ubuntu Server 11.04'''<br />
<br />
WordPressi paigaldamine<br />
<br />
Varnishi lisamine wordpressile<br />
<br />
SuperCache kasutamine<br />
<br />
DoS rünnaku tõrjumine mod_evasive mooduliga<br />
<br />
== Wordpressi paigaldus ja konfigureerimine ==<br />
<br />
Antud toimingud tuleks teha root õigustes.<br />
<br />
Mine root-iks:<br />
sudo -i<br />
<br />
<br />
Tee update kohalike pakettide cache<br />
aptitude update<br />
<br />
<br />
Tee upgrade pakettidele:<br />
aptitude full-upgrade<br />
<br />
Paigalda acpid daemon<br />
aptitude install acpid<br />
<br />
<br />
Installi apache2 veebi server,mysql andmebaasi server, openssh server, php5 skriptimis keel ning apache2-utils(Apache benchmark tool)<br />
aptitude install apache2 mysql-server ssh php5 php5-mysql apache2-utils<br />
<br />
<br />
Tõmba alla kõige hilisem .tar fail wordpress.org-ist:<br />
wget http://wordpress.org/latest.tar.gz<br />
<br />
<br />
<br />
Paki lahti wordpressi failid /var/www kausta:<br />
sudo tar zxvf latest.tar.gz --directory=/var/www/<br />
<br />
<br />
Logi mysql-i sisse:<br />
<br />
mysql -u root -p<br />
<br />
Loo andmebaas student_wordpress:<br />
<source lang="mysql"><br />
create database student_wordpress;<br />
</source><br />
Loo kasutaja student:<br />
<source lang="mysql"><br />
create user student;<br />
</source><br />
Anna kõik õigused student kasutajale:<br />
<source lang="mysql"><br />
GRANT ALL PRIVILEGES ON student_wordpress.* TO student@localhost IDENTIFIED BY ‘student’;<br />
</source><br />
Välju mysql-ist:<br />
<source lang="mysql"><br />
quit;<br />
</source><br />
<br />
Loo uus default veebi saidil põhinev veebi sait:<br />
<br />
cp /etc/apache2/sites-available/default /etc/apache2/sites-available/wp<br />
<br />
<br />
Muuda ära DocumentRoot /etc/apache2/sites-avalible/wp failis:<br />
<br />
nano /etc/apache2/sites-avalible/wp<br />
<br />
Lisa DocumentRoot /var/www rea lõppu DocumentRoot /var/www/wordpress<br />
DocumentRoot /var/www/wordpress<br />
<br />
<br />
<br />
<br />
Keela ära tavaline default veebi sait(seda ei ole vaja antud paigalduses):<br />
<br />
a2dissite default<br />
<br />
<br />
Luba wordpress-i veebisait<br />
<br />
a2ensite wp<br />
<br />
Tee apache-ile restart<br />
<br />
service apache2 restart<br />
<br />
Muuda wordpress konfiguratsiooni faili:<br />
<br />
nano /var/www/wordpress/wp-config-sample.php<br />
<br />
Muuda DB_NAME, DB_USER, DB_PASSWORD vastavalt näitele:<br />
<br />
<source lang="php">define('DB_NAME', 'student_wordpress');<br />
<br />
/** MySQL database username */<br />
define('DB_USER', 'student');<br />
<br />
/** MySQL database password */<br />
define('DB_PASSWORD', 'student');<br />
</source><br />
<br />
Kopeeri uus konfiguratsiooni fail wordpressi konfiguratsiooni failiks:<br />
<br />
cp /var/www/wordpress/wp-config-sample.php /var/www/wordpress/wp-config.php<br />
<br />
<br />
Tee apache2 service-ile reload<br />
<br />
service apache2 reload<br />
<br />
Mine wordpressi saidile kasutades host-i IP aadressi(antud näites:192.168.56.102);<br />
<br />
http://192.168.56.102<br />
<br />
<br />
Vali saidi nimi, kasutajanimi, salasõna ning meili aadress.<br />
<br />
Vali install<br />
<br />
Installi lõppedes tee kindlaks,et kõik toimib(log sisse, vaata wp verisooni ilmselt midagi sellist: You are using WordPress 3.2.1.)<br />
<br />
== mod_evasive paigaldus ja konfigureerimine ==<br />
<br />
=== Sissejuhatus ===<br />
<br />
Mod_evasive on lisamoodul Apache'i veebiserveri jaoks, mille abil on võimalik vähendada või täielikult tõrjuda<br />
HTTP DoS, DDos või brute force rünnakute mõju. Ühtlasi saab seda kasutada ka monitooringu teostamiseks,<br />
kuna moodulit on lihtne panna suhtlema erinevate tulemüüride ja ruuteritega.<br />
<br />
Monitooring baseerub dünaamilisel IP aadressitest ja URI-dest koosneval räsitabelil,<br />
kust siis keelatakse IP aadressid, mis:<br />
<br />
*küsivad ühte lehte rohkem kui paar korda sekundis<br />
*teevad rohkem kui 50 üheaegset requesti sama laps-protsessi vastu<br />
*üritavad teha ükskõik millist requesti samal ajal kui nad on mustas nimekirjas<br />
<br />
=== Paigaldus ===<br />
<br />
Paigaldamine Ubuntu 11.04 serverile on küllaltki lihtne<br />
<br />
apt-get install libapache2-mod-evasive<br />
<br />
=== Konfigureerimine ===<br />
<br />
Kõigepealt on viisakas luua koht, kuhu antud moodul oma logi saaks salvestada (kuigi logimine praegu ei tööta)<br />
<br />
mkdir /var/log/apache2/mod_evasive<br />
chown www-data:www-data /var/log/apache2/mod_evasive<br />
<br />
Nüüd jääb üle lisada vastavad read oma virtuaalsesse hosti (N:~/apache2/sites-enabled/wordpress lõppu)<br />
<br />
<ifmodule mod_evasive20.c><br />
DOSHashTableSize 3097<br />
DOSPageCount 2<br />
DOSSiteCount 50<br />
DOSPageInterval 1<br />
DOSSiteInterval 1<br />
DOSBlockingPeriod 10<br />
DOSLogDir /var/log/apache2/mod_evasive<br />
DOSEmailNotify root@localhost<br />
DOSWhitelist 127.0.0.1<br />
</ifmodule><br />
<br />
Antud väärtusi tuleks kohandada vastavalt vajadustele<br />
<br />
Parameetrite kirjeldused:<br />
<br />
*DOSHashTableSize: Räsitabeli suurus, kus IP aadresseid hoitakse.<br />
*DOSPageCount: Lehekülgede arv DOSPageInterval sekundis.<br />
*DOSPageInterval: Aeg sekundites, mida kasutab DOSPageCount.<br />
*DOSSiteCount: Objektide arv DOSSiteInterval sekundites.<br />
*DOSSiteInterval: Aeg sekundites, mida kasutab DOSSiteCount.<br />
*DOSBlockingPeriod: Aeg sekundites, kui kaua IP on bannitud. Kui IP üritab serverile selle aja see ligi pääseda, siis algab loendus ueusti nullist.<br />
*DOSLogDir: Valikuline. Kataloogitee, kuhu logi salvestatakse. Kui pole määratud kasutatakse /tmp.<br />
*DOSEmailNotify: Valikuline. Mail kuhu teated saadetakse.<br />
*DOSSystemCommand: Valikuline. Käsk mis käivitatakse, kui IP bannitakse. Näiteks:<br />
**DOSSystemCommand "/sbin/iptables -I INPUT -p tcp --dport 80 -s %s -j DROP"<br />
*DOSWhitelist: Valikuline. Nimekiri IP aadressitest, mida ei blokita.<br />
<br />
<br />
Kui konfigureerimine valmis, tuleb Apache serverlie teha restart<br />
<br />
/etc/init.d/apache2 restart<br />
VÕI<br />
service apache2 restart<br />
<br />
==Varnish Cache-i paigaldamine ja konfigureerimine==<br />
===Sissejuhatus===<br />
'''Varnish Cache''' - see on HTTP kiirendaja, ta on vaja, et maksimaalselt suurendada veebilehekülje kiirendust. Varnish Cache salvestab mälus veebilehekülg nii, et veebiserverid ei pea koguda sama lehekülg uuesti ja veel kord uuesti.<br />
===Paigaldamine===<br />
Kui te soovite installida Varnishit, siis on vaja teha uuendusi. Selle käsu abil uuendame opsüsteemi:<br />
sudo apt-get update<br />
Paigaldamise käsk:<br />
sudo apt-get install varnish<br />
===Konfiguratsiooni muutmine===<br />
Esimene, mis me teeme, default pordi muutmine. Tuleb muuta faili '''/etc/default/varnish''':<br />
nano /etc/default/varnish<br />
<br />
Konfigureerimine Varnichi jaoks kirjutatakse VCL keeles. <br />
<br />
Fail konfiguratsioonidega vaikselt asub siin '''/etc/varnish/default.vcl'''<br />
Fail oleneb mitmest osadest, aga mis on vaja töötamise alguseks - see on backendi viitamine:<br />
<br />
'''Backend''' - see on server, kuhu varnish saadab päringut, kui tal ei ole vastavad andmeid cache-is.<br />
<br />
Kopeerige fail /etc/varnish/default.vcl ja andke teine nimetus<br />
cp /etc/varnish/default.vcl /etc/varnish/itkool.vcl<br />
<br />
Ava fail /etc/varnish/itkool.vcl ja sisesta <br />
nano /etc/varnish/itkool.vcl<br />
<br />
<pre><br />
## Redirect requests to Apache, running on port 8000 on localhost<br />
backend apache {<br />
.host = "127.0.0.1";<br />
.port = "8000";<br />
}<br />
## Fetch<br />
sub vcl_fetch {<br />
## Remove the X-Forwarded-For header if it exists.<br />
remove req.http.X-Forwarded-For;<br />
<br />
## insert the client IP address as X-Forwarded-For. This is the normal IP address of the user.<br />
set req.http.X-Forwarded-For = req.http.rlnclientipaddr;<br />
## Added security, the "w00tw00t" attacks are pretty annoying so lets block it before it reaches our webserver<br />
if (req.url ~ "^/w00tw00t") {<br />
error 403 "Not permitted";<br />
}<br />
## Deliver the content<br />
return(deliver);<br />
}<br />
<br />
## Deliver<br />
sub vcl_deliver {<br />
## We'll be hiding some headers added by Varnish. We want to make sure people are not seeing we're using Varnish.<br />
## Since we're not caching (yet), why bother telling people we use it?<br />
remove resp.http.X-Varnish;<br />
remove resp.http.Via;<br />
remove resp.http.Age;<br />
<br />
## We'd like to hide the X-Powered-By headers. Nobody has to know we can run PHP and have version xyz of it.<br />
remove resp.http.X-Powered-By;<br />
}<br />
</pre><br />
Salvesta fail CTRL + O käsuga<br />
<br />
===Apache konfiguratsiooni muutmine===<br />
Ava fail etc/apache2/ports.conf ja leia<br />
nano /etc/apache2/ports.conf<br />
<br />
<pre><br />
NameVirtualHost *:80<br />
Listen 192.168.6.101:80<br />
</pre><br />
<br />
Muuda <br />
<br />
<pre><br />
NameVirtualHost *:8000<br />
Listen 192.168.6.101:8000<br />
</pre><br />
<br />
'''...VHOSTS...'''<br />
<br />
<br />
Praegu paigaldame lisa Apache moodul selle jaoks, et veenduda kas kasutaja IP aadress lõpeb korrektselt. Praegu Varnish on põhimõtteliselt seotud apache2.<br />
Kuna Lakk on põhimõtteliselt rääkides apache2, sa võib näidata aadressil 127.0.0.1 nagu külastaja IP.<br />
nano apt-get install libapache2-mod-rpaf<br />
<br />
'''RPAF''' (Reverse Proxy Add Forward) moodul ...<br />
<br />
<br />
===Deemonide restart===<br />
Restart Apache server:<br />
/etc/init.d/apache2 restart<br />
<br />
== Super Cache ==<br />
<br />
'''Selle osa koostamine on veel töös.'''<br />
<br />
Super Cache-i paigaldamiseks tuleb sisse logida admin-paneeli. Siis vasakult nimekirjast valida '''''Plugins'''''-i alt '''Add new'''.<br />
<br />
[[File:Wordpress_Plugins.png]]<br />
<br />
Siis kirjutada otsingusse "'''WP Super Cache'''".<br />
<br />
[[File:Wordpress_search.png]]<br />
<br />
Pärast seda valida nimekirjast ''Super Cache'' ning vajutada "'''Install now'''".<br />
<br />
[[File:Install_wordpress.png]]<br />
<br />
Pärast seda "'''Activate the Plugin'''".<br />
<br />
[[File:Activate_wordpress.png]]<br />
<br />
Super Cache -i toimimiseks on vajalik valida '''''Custom structure''''' ''Permalink-i'' seadete alt ning sisestada sinna '''"p=?/%post_id%/"'''.<br />
<br />
Edasi vali vasakult '''''Settings'''''-u alt '''WP Super Cache'''.<br />
<br />
== Iptables ==<br />
<br />
<pre><br />
<br />
*filter<br />
:INPUT DROP [1066:176948]<br />
:FORWARD ACCEPT [0:0]<br />
:OUTPUT ACCEPT [58875:56066315]<br />
-A INPUT -s 192.168.6.101/32 -p tcp -m tcp --dport 8000 -j ACCEPT <br />
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT <br />
-A INPUT -s 192.168.6.1/32 -p tcp -m tcp --dport 22 -j ACCEPT <br />
-A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied:" --log-level 7<br />
-A INPUT -p tcp -m tcp --dport 80 -m connlimit --connlimit-above 10 --connlimit-mask 32 -j REJECT --reject-with icmp-port-unreachable<br />
-A INPUT -s 192.168.6.101/32 -j ACCEPT <br />
-A INPUT -m state --state ESTABLISHED -j ACCEPT <br />
-A INPUT -s 192.168.6.200/32 -p tcp -m tcp --dport 53 -j ACCEPT <br />
-A INPUT -s 192.168.6.200/32 -p udp -m udp --dport 53 -j ACCEPT <br />
-A INPUT -s 192.168.6.200/32 -p tcp -m tcp --dport 443 -j ACCEPT <br />
-A OUTPUT -o lo -j ACCEPT <br />
COMMIT<br />
<br />
</pre></div>Sbarolhttps://wiki.itcollege.ee/index.php?title=WordPress_turvamine&diff=41876WordPress turvamine2011-11-09T08:53:46Z<p>Sbarol: </p>
<hr />
<div>'''!NB Kõik õpetused on tehtud kasutades Ubuntu Server 11.04'''<br />
<br />
WordPressi paigaldamine<br />
<br />
Varnishi lisamine wordpressile<br />
<br />
SuperCache kasutamine<br />
<br />
DoS rünnaku tõrjumine mod_evasive mooduliga<br />
<br />
== Wordpressi paigaldus ja konfigureerimine ==<br />
<br />
Antud toimingud tuleks teha root õigustes.<br />
<br />
Mine root-iks:<br />
sudo -i<br />
<br />
<br />
Tee update kohalike pakettide cache<br />
aptitude update<br />
<br />
<br />
Tee upgrade pakettidele:<br />
aptitude full-upgrade<br />
<br />
Paigalda acpid daemon<br />
aptitude install acpid<br />
<br />
<br />
Installi apache2 veebi server,mysql andmebaasi server, openssh server, php5 skriptimis keel ning apache2-utils(Apache benchmark tool)<br />
aptitude install apache2 mysql-server ssh php5 php5-mysql apache2-utils<br />
<br />
<br />
Tõmba alla kõige hilisem .tar fail wordpress.org-ist:<br />
wget http://wordpress.org/latest.tar.gz<br />
<br />
<br />
<br />
Paki lahti wordpressi failid /var/www kausta:<br />
sudo tar zxvf latest.tar.gz --directory=/var/www/<br />
<br />
<br />
Logi mysql-i sisse:<br />
<br />
mysql -u root -p<br />
<br />
Loo andmebaas student_wordpress:<br />
<source lang="mysql"><br />
create database student_wordpress;<br />
</source><br />
Loo kasutaja student:<br />
<source lang="mysql"><br />
create user student;<br />
</source><br />
Anna kõik õigused student kasutajale:<br />
<source lang="mysql"><br />
GRANT ALL PRIVILEGES ON student_wordpress.* TO student@localhost IDENTIFIED BY ‘student’;<br />
</source><br />
Välju mysql-ist:<br />
<source lang="mysql"><br />
quit;<br />
</source><br />
<br />
Loo uus default veebi saidil põhinev veebi sait:<br />
<br />
cp /etc/apache2/sites-available/default /etc/apache2/sites-available/wp<br />
<br />
<br />
Muuda ära DocumentRoot /etc/apache2/sites-avalible/wp failis:<br />
<br />
nano /etc/apache2/sites-avalible/wp<br />
<br />
Lisa DocumentRoot /var/www rea lõppu DocumentRoot /var/www/wordpress<br />
DocumentRoot /var/www/wordpress<br />
<br />
<br />
<br />
<br />
Keela ära tavaline default veebi sait(seda ei ole vaja antud paigalduses):<br />
<br />
a2dissite default<br />
<br />
<br />
Luba wordpress-i veebisait<br />
<br />
a2ensite wp<br />
<br />
Tee apache-ile restart<br />
<br />
service apache2 restart<br />
<br />
Muuda wordpress konfiguratsiooni faili:<br />
<br />
nano /var/www/wordpress/wp-config-sample.php<br />
<br />
Muuda DB_NAME, DB_USER, DB_PASSWORD vastavalt näitele:<br />
<br />
<source lang="php">define('DB_NAME', 'student_wordpress');<br />
<br />
/** MySQL database username */<br />
define('DB_USER', 'student');<br />
<br />
/** MySQL database password */<br />
define('DB_PASSWORD', 'student');<br />
</source><br />
<br />
Kopeeri uus konfiguratsiooni fail wordpressi konfiguratsiooni failiks:<br />
<br />
cp /var/www/wordpress/wp-config-sample.php /var/www/wordpress/wp-config.php<br />
<br />
<br />
Tee apache2 service-ile reload<br />
<br />
service apache2 reload<br />
<br />
Mine wordpressi saidile kasutades host-i IP aadressi(antud näites:192.168.56.102);<br />
<br />
http://192.168.56.102<br />
<br />
<br />
Vali saidi nimi, kasutajanimi, salasõna ning meili aadress.<br />
<br />
Vali install<br />
<br />
Installi lõppedes tee kindlaks,et kõik toimib(log sisse, vaata wp verisooni ilmselt midagi sellist: You are using WordPress 3.2.1.)<br />
<br />
== mod_evasive paigaldus ja konfigureerimine ==<br />
<br />
=== Sissejuhatus ===<br />
<br />
Mod_evasive on lisamoodul Apache'i veebiserveri jaoks, mille abil on võimalik vähendada või täielikult tõrjuda<br />
HTTP DoS, DDos või brute force rünnakute mõju. Ühtlasi saab seda kasutada ka monitooringu teostamiseks,<br />
kuna moodulit on lihtne panna suhtlema erinevate tulemüüride ja ruuteritega.<br />
<br />
Monitooring baseerub dünaamilisel IP aadressitest ja URI-dest koosneval räsitabelil,<br />
kust siis keelatakse IP aadressid, mis:<br />
<br />
*küsivad ühte lehte rohkem kui paar korda sekundis<br />
*teevad rohkem kui 50 üheaegset requesti sama laps-protsessi vastu<br />
*üritavad teha ükskõik millist requesti samal ajal kui nad on mustas nimekirjas<br />
<br />
=== Paigaldus ===<br />
<br />
Paigaldamine Ubuntu 11.04 serverile on küllaltki lihtne<br />
<br />
apt-get install libapache2-mod-evasive<br />
<br />
=== Konfigureerimine ===<br />
<br />
Kõigepealt on viisakas luua koht, kuhu antud moodul oma logi saaks salvestada (kuigi logimine praegu ei tööta)<br />
<br />
mkdir /var/log/apache2/mod_evasive<br />
chown www-data:www-data /var/log/apache2/mod_evasive<br />
<br />
Nüüd jääb üle lisada vastavad read oma virtuaalsesse hosti (N:~/apache2/sites-enabled/wordpress lõppu)<br />
<br />
<ifmodule mod_evasive20.c><br />
DOSHashTableSize 3097<br />
DOSPageCount 2<br />
DOSSiteCount 50<br />
DOSPageInterval 1<br />
DOSSiteInterval 1<br />
DOSBlockingPeriod 10<br />
DOSLogDir /var/log/apache2/mod_evasive<br />
DOSEmailNotify root@localhost<br />
DOSWhitelist 127.0.0.1<br />
</ifmodule><br />
<br />
Antud väärtusi tuleks kohandada vastavalt vajadustele<br />
<br />
Parameetrite kirjeldused:<br />
<br />
*DOSHashTableSize: Räsitabeli suurus, kus IP aadresseid hoitakse.<br />
*DOSPageCount: Lehekülgede arv DOSPageInterval sekundis.<br />
*DOSPageInterval: Aeg sekundites, mida kasutab DOSPageCount.<br />
*DOSSiteCount: Objektide arv DOSSiteInterval sekundites.<br />
*DOSSiteInterval: Aeg sekundites, mida kasutab DOSSiteCount.<br />
*DOSBlockingPeriod: Aeg sekundites, kui kaua IP on bannitud. Kui IP üritab serverile selle aja see ligi pääseda, siis algab loendus ueusti nullist.<br />
*DOSLogDir: Valikuline. Kataloogitee, kuhu logi salvestatakse. Kui pole määratud kasutatakse /tmp.<br />
*DOSEmailNotify: Valikuline. Mail kuhu teated saadetakse.<br />
*DOSSystemCommand: Valikuline. Käsk mis käivitatakse, kui IP bannitakse. Näiteks:<br />
**DOSSystemCommand "/sbin/iptables -I INPUT -p tcp --dport 80 -s %s -j DROP"<br />
*DOSWhitelist: Valikuline. Nimekiri IP aadressitest, mida ei blokita.<br />
<br />
<br />
Kui konfigureerimine valmis, tuleb Apache serverlie teha restart<br />
<br />
/etc/init.d/apache2 restart<br />
VÕI<br />
service apache2 restart<br />
<br />
==Varnish Cache-i paigaldamine ja konfigureerimine==<br />
===Sissejuhatus===<br />
'''Varnish Cache''' - see on HTTP kiirendaja, ta on vaja, et maksimaalselt suurendada veebilehekülje kiirendust. Varnish Cache salvestab mälus veebilehekülg nii, et veebiserverid ei pea koguda sama lehekülg uuesti ja veel kord uuesti.<br />
===Paigaldamine===<br />
Kui te soovite installida Varnishit, siis on vaja teha uuendusi. Selle käsu abil uuendame opsüsteemi:<br />
sudo apt-get update<br />
Paigaldamise käsk:<br />
sudo apt-get install varnish<br />
===Konfiguratsiooni muutmine===<br />
Esimene, mis me teeme, default pordi muutmine. Tuleb muuta faili '''/etc/default/varnish''':<br />
nano /etc/default/varnish<br />
<br />
Konfigureerimine Varnichi jaoks kirjutatakse VCL keeles. <br />
<br />
Fail konfiguratsioonidega vaikselt asub siin '''/etc/varnish/default.vcl'''<br />
Fail oleneb mitmest osadest, aga mis on vaja töötamise alguseks - see on backendi viitamine:<br />
<br />
'''Backend''' - see on server, kuhu varnish saadab päringut, kui tal ei ole vastavad andmeid cache-is.<br />
<br />
Kopeerige fail /etc/varnish/default.vcl ja andke teine nimetus<br />
cp /etc/varnish/default.vcl /etc/varnish/itkool.vcl<br />
<br />
Ava fail /etc/varnish/itkool.vcl ja sisesta <br />
nano /etc/varnish/itkool.vcl<br />
<br />
<pre><br />
## Redirect requests to Apache, running on port 8000 on localhost<br />
backend apache {<br />
.host = "127.0.0.1";<br />
.port = "8000";<br />
}<br />
## Fetch<br />
sub vcl_fetch {<br />
## Remove the X-Forwarded-For header if it exists.<br />
remove req.http.X-Forwarded-For;<br />
<br />
## insert the client IP address as X-Forwarded-For. This is the normal IP address of the user.<br />
set req.http.X-Forwarded-For = req.http.rlnclientipaddr;<br />
## Added security, the "w00tw00t" attacks are pretty annoying so lets block it before it reaches our webserver<br />
if (req.url ~ "^/w00tw00t") {<br />
error 403 "Not permitted";<br />
}<br />
## Deliver the content<br />
return(deliver);<br />
}<br />
<br />
## Deliver<br />
sub vcl_deliver {<br />
## We'll be hiding some headers added by Varnish. We want to make sure people are not seeing we're using Varnish.<br />
## Since we're not caching (yet), why bother telling people we use it?<br />
remove resp.http.X-Varnish;<br />
remove resp.http.Via;<br />
remove resp.http.Age;<br />
<br />
## We'd like to hide the X-Powered-By headers. Nobody has to know we can run PHP and have version xyz of it.<br />
remove resp.http.X-Powered-By;<br />
}<br />
</pre><br />
Salvesta fail CTRL + O käsuga<br />
<br />
===Apache konfiguratsiooni muutmine===<br />
Ava fail etc/apache2/ports.conf ja leia<br />
nano /etc/apache2/ports.conf<br />
<br />
<pre><br />
NameVirtualHost *:80<br />
Listen 192.168.6.101:80<br />
</pre><br />
<br />
Muuda <br />
<br />
<pre><br />
NameVirtualHost *:8000<br />
Listen 192.168.6.101:8000<br />
</pre><br />
<br />
'''...VHOSTS...'''<br />
<br />
== Super Cache ==<br />
<br />
'''Selle osa koostamine on veel töös.'''<br />
<br />
Super Cache-i paigaldamiseks tuleb sisse logida admin-paneeli. Siis vasakult nimekirjast valida '''''Plugins'''''-i alt '''Add new'''.<br />
<br />
Siis kirjutada otsingusse "'''WP Super Cache'''".<br />
<br />
Pärast seda valida nimekirjast ''Super Cache'' ning vajutada "'''Install'''" ja pärast seda "'''Activate the Plugin'''".<br />
<br />
Super Cache -i toimimiseks on vajalik valida '''''Custom structure''''' ''Permalink-i'' seadete alt ning sisestada sinna '''"p=?/%post_id%/"'''.<br />
<br />
Edasi vali vasakult '''''Settings'''''-u alt '''WP Super Cache'''.<br />
<br />
== Iptables ==</div>Sbarolhttps://wiki.itcollege.ee/index.php?title=WordPress_turvamine&diff=41875WordPress turvamine2011-11-09T08:52:27Z<p>Sbarol: /* Iptables */</p>
<hr />
<div>'''!NB Kõik õpetused on tehtud kasutades Ubuntu Server 11.04'''<br />
<br />
WordPressi paigaldamine<br />
<br />
Varnishi lisamine wordpressile<br />
<br />
SuperCache kasutamine<br />
<br />
DoS rünnaku tõrjumine mod_evasive mooduliga<br />
<br />
== Wordpressi paigaldus ja konfigureerimine ==<br />
<br />
Antud toimingud tuleks teha root õigustes.<br />
<br />
Mine root-iks:<br />
sudo -i<br />
<br />
<br />
Tee update kohalike pakettide cache<br />
aptitude update<br />
<br />
<br />
Tee upgrade pakettidele:<br />
aptitude full-upgrade<br />
<br />
Paigalda acpid daemon<br />
aptitude install acpid<br />
<br />
<br />
Installi apache2 veebi server,mysql andmebaasi server, openssh server, php5 skriptimis keel ning apache2-utils(Apache benchmark tool)<br />
aptitude install apache2 mysql-server ssh php5 php5-mysql apache2-utils<br />
<br />
<br />
Tõmba alla kõige hilisem .tar fail wordpress.org-ist:<br />
wget http://wordpress.org/latest.tar.gz<br />
<br />
<br />
<br />
Paki lahti wordpressi failid /var/www kausta:<br />
sudo tar zxvf latest.tar.gz --directory=/var/www/<br />
<br />
<br />
Logi mysql-i sisse:<br />
<br />
mysql -u root -p<br />
<br />
Loo andmebaas student_wordpress:<br />
<source lang="mysql"><br />
create database student_wordpress;<br />
</source><br />
Loo kasutaja student:<br />
<source lang="mysql"><br />
create user student;<br />
</source><br />
Anna kõik õigused student kasutajale:<br />
<source lang="mysql"><br />
GRANT ALL PRIVILEGES ON student_wordpress.* TO student@localhost IDENTIFIED BY ‘student’;<br />
</source><br />
Välju mysql-ist:<br />
<source lang="mysql"><br />
quit;<br />
</source><br />
<br />
Loo uus default veebi saidil põhinev veebi sait:<br />
<br />
cp /etc/apache2/sites-available/default /etc/apache2/sites-available/wp<br />
<br />
<br />
Muuda ära DocumentRoot /etc/apache2/sites-avalible/wp failis:<br />
<br />
nano /etc/apache2/sites-avalible/wp<br />
<br />
Lisa DocumentRoot /var/www rea lõppu DocumentRoot /var/www/wordpress<br />
DocumentRoot /var/www/wordpress<br />
<br />
<br />
<br />
<br />
Keela ära tavaline default veebi sait(seda ei ole vaja antud paigalduses):<br />
<br />
a2dissite default<br />
<br />
<br />
Luba wordpress-i veebisait<br />
<br />
a2ensite wp<br />
<br />
Tee apache-ile restart<br />
<br />
service apache2 restart<br />
<br />
Muuda wordpress konfiguratsiooni faili:<br />
<br />
nano /var/www/wordpress/wp-config-sample.php<br />
<br />
Muuda DB_NAME, DB_USER, DB_PASSWORD vastavalt näitele:<br />
<br />
<source lang="php">define('DB_NAME', 'student_wordpress');<br />
<br />
/** MySQL database username */<br />
define('DB_USER', 'student');<br />
<br />
/** MySQL database password */<br />
define('DB_PASSWORD', 'student');<br />
</source><br />
<br />
Kopeeri uus konfiguratsiooni fail wordpressi konfiguratsiooni failiks:<br />
<br />
cp /var/www/wordpress/wp-config-sample.php /var/www/wordpress/wp-config.php<br />
<br />
<br />
Tee apache2 service-ile reload<br />
<br />
service apache2 reload<br />
<br />
Mine wordpressi saidile kasutades host-i IP aadressi(antud näites:192.168.56.102);<br />
<br />
http://192.168.56.102<br />
<br />
<br />
Vali saidi nimi, kasutajanimi, salasõna ning meili aadress.<br />
<br />
Vali install<br />
<br />
Installi lõppedes tee kindlaks,et kõik toimib(log sisse, vaata wp verisooni ilmselt midagi sellist: You are using WordPress 3.2.1.)<br />
<br />
== mod_evasive paigaldus ja konfigureerimine ==<br />
<br />
=== Sissejuhatus ===<br />
<br />
Mod_evasive on lisamoodul Apache'i veebiserveri jaoks, mille abil on võimalik vähendada või täielikult tõrjuda<br />
HTTP DoS, DDos või brute force rünnakute mõju. Ühtlasi saab seda kasutada ka monitooringu teostamiseks,<br />
kuna moodulit on lihtne panna suhtlema erinevate tulemüüride ja ruuteritega.<br />
<br />
Monitooring baseerub dünaamilisel IP aadressitest ja URI-dest koosneval räsitabelil,<br />
kust siis keelatakse IP aadressid, mis:<br />
<br />
*küsivad ühte lehte rohkem kui paar korda sekundis<br />
*teevad rohkem kui 50 üheaegset requesti sama laps-protsessi vastu<br />
*üritavad teha ükskõik millist requesti samal ajal kui nad on mustas nimekirjas<br />
<br />
=== Paigaldus ===<br />
<br />
Paigaldamine Ubuntu 11.04 serverile on küllaltki lihtne<br />
<br />
apt-get install libapache2-mod-evasive<br />
<br />
=== Konfigureerimine ===<br />
<br />
Kõigepealt on viisakas luua koht, kuhu antud moodul oma logi saaks salvestada (kuigi logimine praegu ei tööta)<br />
<br />
mkdir /var/log/apache2/mod_evasive<br />
chown www-data:www-data /var/log/apache2/mod_evasive<br />
<br />
Nüüd jääb üle lisada vastavad read oma virtuaalsesse hosti (N:~/apache2/sites-enabled/wordpress lõppu)<br />
<br />
<ifmodule mod_evasive20.c><br />
DOSHashTableSize 3097<br />
DOSPageCount 2<br />
DOSSiteCount 50<br />
DOSPageInterval 1<br />
DOSSiteInterval 1<br />
DOSBlockingPeriod 10<br />
DOSLogDir /var/log/apache2/mod_evasive<br />
DOSEmailNotify root@localhost<br />
DOSWhitelist 127.0.0.1<br />
</ifmodule><br />
<br />
Antud väärtusi tuleks kohandada vastavalt vajadustele<br />
<br />
Parameetrite kirjeldused:<br />
<br />
*DOSHashTableSize: Räsitabeli suurus, kus IP aadresseid hoitakse.<br />
*DOSPageCount: Lehekülgede arv DOSPageInterval sekundis.<br />
*DOSPageInterval: Aeg sekundites, mida kasutab DOSPageCount.<br />
*DOSSiteCount: Objektide arv DOSSiteInterval sekundites.<br />
*DOSSiteInterval: Aeg sekundites, mida kasutab DOSSiteCount.<br />
*DOSBlockingPeriod: Aeg sekundites, kui kaua IP on bannitud. Kui IP üritab serverile selle aja see ligi pääseda, siis algab loendus ueusti nullist.<br />
*DOSLogDir: Valikuline. Kataloogitee, kuhu logi salvestatakse. Kui pole määratud kasutatakse /tmp.<br />
*DOSEmailNotify: Valikuline. Mail kuhu teated saadetakse.<br />
*DOSSystemCommand: Valikuline. Käsk mis käivitatakse, kui IP bannitakse. Näiteks:<br />
**DOSSystemCommand "/sbin/iptables -I INPUT -p tcp --dport 80 -s %s -j DROP"<br />
*DOSWhitelist: Valikuline. Nimekiri IP aadressitest, mida ei blokita.<br />
<br />
<br />
Kui konfigureerimine valmis, tuleb Apache serverlie teha restart<br />
<br />
/etc/init.d/apache2 restart<br />
VÕI<br />
service apache2 restart<br />
<br />
==Varnish Cache-i paigaldamine ja konfigureerimine==<br />
===Sissejuhatus===<br />
'''Varnish Cache''' - see on HTTP kiirendaja, ta on vaja, et maksimaalselt suurendada veebilehekülje kiirendust. Varnish Cache salvestab mälus veebilehekülg nii, et veebiserverid ei pea koguda sama lehekülg uuesti ja veel kord uuesti.<br />
===Paigaldamine===<br />
Kui te soovite installida Varnishit, siis on vaja teha uuendusi. Selle käsu abil uuendame opsüsteemi:<br />
sudo apt-get update<br />
Paigaldamise käsk:<br />
sudo apt-get install varnish<br />
===Konfiguratsiooni muutmine===<br />
Esimene, mis me teeme, default pordi muutmine. Tuleb muuta faili '''/etc/default/varnish''':<br />
nano /etc/default/varnish<br />
<br />
Konfigureerimine Varnichi jaoks kirjutatakse VCL keeles. <br />
<br />
Fail konfiguratsioonidega vaikselt asub siin '''/etc/varnish/default.vcl'''<br />
Fail oleneb mitmest osadest, aga mis on vaja töötamise alguseks - see on backendi viitamine:<br />
<br />
'''Backend''' - see on server, kuhu varnish saadab päringut, kui tal ei ole vastavad andmeid cache-is.<br />
<br />
Kopeerige fail /etc/varnish/default.vcl ja andke teine nimetus<br />
cp /etc/varnish/default.vcl /etc/varnish/itkool.vcl<br />
<br />
Ava fail /etc/varnish/itkool.vcl ja sisesta <br />
nano /etc/varnish/itkool.vcl<br />
<br />
<pre><br />
## Redirect requests to Apache, running on port 8000 on localhost<br />
backend apache {<br />
.host = "127.0.0.1";<br />
.port = "8000";<br />
}<br />
## Fetch<br />
sub vcl_fetch {<br />
## Remove the X-Forwarded-For header if it exists.<br />
remove req.http.X-Forwarded-For;<br />
<br />
## insert the client IP address as X-Forwarded-For. This is the normal IP address of the user.<br />
set req.http.X-Forwarded-For = req.http.rlnclientipaddr;<br />
## Added security, the "w00tw00t" attacks are pretty annoying so lets block it before it reaches our webserver<br />
if (req.url ~ "^/w00tw00t") {<br />
error 403 "Not permitted";<br />
}<br />
## Deliver the content<br />
return(deliver);<br />
}<br />
<br />
## Deliver<br />
sub vcl_deliver {<br />
## We'll be hiding some headers added by Varnish. We want to make sure people are not seeing we're using Varnish.<br />
## Since we're not caching (yet), why bother telling people we use it?<br />
remove resp.http.X-Varnish;<br />
remove resp.http.Via;<br />
remove resp.http.Age;<br />
<br />
## We'd like to hide the X-Powered-By headers. Nobody has to know we can run PHP and have version xyz of it.<br />
remove resp.http.X-Powered-By;<br />
}<br />
</pre><br />
Salvesta fail CTRL + O käsuga<br />
<br />
===Apache konfiguratsiooni muutmine===<br />
Ava fail etc/apache2/ports.conf ja leia<br />
nano /etc/apache2/ports.conf<br />
<br />
<pre><br />
NameVirtualHost *:80<br />
Listen 192.168.6.101:80<br />
</pre><br />
<br />
Muuda <br />
<br />
<pre><br />
NameVirtualHost *:8000<br />
Listen 192.168.6.101:8000<br />
</pre><br />
<br />
'''...VHOSTS...'''<br />
<br />
== Super Cache ==<br />
<br />
'''Selle osa koostamine on veel töös.'''<br />
<br />
Super Cache-i paigaldamiseks tuleb sisse logida admin-paneeli. Siis vasakult nimekirjast valida '''''Plugins'''''-i alt '''Add new'''.<br />
<br />
Siis kirjutada otsingusse "'''WP Super Cache'''".<br />
<br />
Pärast seda valida nimekirjast ''Super Cache'' ning vajutada "'''Install'''" ja pärast seda "'''Activate the Plugin'''".<br />
<br />
Super Cache -i toimimiseks on vajalik valida '''''Custom structure''''' ''Permalink-i'' seadete alt ning sisestada sinna '''"p=?/%post_id%/"'''.<br />
<br />
Edasi vali vasakult '''''Settings'''''-u alt '''WP Super Cache'''.<br />
<br />
=== Iptables ===</div>Sbarolhttps://wiki.itcollege.ee/index.php?title=WordPress_turvamine&diff=41874WordPress turvamine2011-11-09T08:51:30Z<p>Sbarol: /* IPTABLES */</p>
<hr />
<div>'''!NB Kõik õpetused on tehtud kasutades Ubuntu Server 11.04'''<br />
<br />
WordPressi paigaldamine<br />
<br />
Varnishi lisamine wordpressile<br />
<br />
SuperCache kasutamine<br />
<br />
DoS rünnaku tõrjumine mod_evasive mooduliga<br />
<br />
== Wordpressi paigaldus ja konfigureerimine ==<br />
<br />
Antud toimingud tuleks teha root õigustes.<br />
<br />
Mine root-iks:<br />
sudo -i<br />
<br />
<br />
Tee update kohalike pakettide cache<br />
aptitude update<br />
<br />
<br />
Tee upgrade pakettidele:<br />
aptitude full-upgrade<br />
<br />
Paigalda acpid daemon<br />
aptitude install acpid<br />
<br />
<br />
Installi apache2 veebi server,mysql andmebaasi server, openssh server, php5 skriptimis keel ning apache2-utils(Apache benchmark tool)<br />
aptitude install apache2 mysql-server ssh php5 php5-mysql apache2-utils<br />
<br />
<br />
Tõmba alla kõige hilisem .tar fail wordpress.org-ist:<br />
wget http://wordpress.org/latest.tar.gz<br />
<br />
<br />
<br />
Paki lahti wordpressi failid /var/www kausta:<br />
sudo tar zxvf latest.tar.gz --directory=/var/www/<br />
<br />
<br />
Logi mysql-i sisse:<br />
<br />
mysql -u root -p<br />
<br />
Loo andmebaas student_wordpress:<br />
<source lang="mysql"><br />
create database student_wordpress;<br />
</source><br />
Loo kasutaja student:<br />
<source lang="mysql"><br />
create user student;<br />
</source><br />
Anna kõik õigused student kasutajale:<br />
<source lang="mysql"><br />
GRANT ALL PRIVILEGES ON student_wordpress.* TO student@localhost IDENTIFIED BY ‘student’;<br />
</source><br />
Välju mysql-ist:<br />
<source lang="mysql"><br />
quit;<br />
</source><br />
<br />
Loo uus default veebi saidil põhinev veebi sait:<br />
<br />
cp /etc/apache2/sites-available/default /etc/apache2/sites-available/wp<br />
<br />
<br />
Muuda ära DocumentRoot /etc/apache2/sites-avalible/wp failis:<br />
<br />
nano /etc/apache2/sites-avalible/wp<br />
<br />
Lisa DocumentRoot /var/www rea lõppu DocumentRoot /var/www/wordpress<br />
DocumentRoot /var/www/wordpress<br />
<br />
<br />
<br />
<br />
Keela ära tavaline default veebi sait(seda ei ole vaja antud paigalduses):<br />
<br />
a2dissite default<br />
<br />
<br />
Luba wordpress-i veebisait<br />
<br />
a2ensite wp<br />
<br />
Tee apache-ile restart<br />
<br />
service apache2 restart<br />
<br />
Muuda wordpress konfiguratsiooni faili:<br />
<br />
nano /var/www/wordpress/wp-config-sample.php<br />
<br />
Muuda DB_NAME, DB_USER, DB_PASSWORD vastavalt näitele:<br />
<br />
<source lang="php">define('DB_NAME', 'student_wordpress');<br />
<br />
/** MySQL database username */<br />
define('DB_USER', 'student');<br />
<br />
/** MySQL database password */<br />
define('DB_PASSWORD', 'student');<br />
</source><br />
<br />
Kopeeri uus konfiguratsiooni fail wordpressi konfiguratsiooni failiks:<br />
<br />
cp /var/www/wordpress/wp-config-sample.php /var/www/wordpress/wp-config.php<br />
<br />
<br />
Tee apache2 service-ile reload<br />
<br />
service apache2 reload<br />
<br />
Mine wordpressi saidile kasutades host-i IP aadressi(antud näites:192.168.56.102);<br />
<br />
http://192.168.56.102<br />
<br />
<br />
Vali saidi nimi, kasutajanimi, salasõna ning meili aadress.<br />
<br />
Vali install<br />
<br />
Installi lõppedes tee kindlaks,et kõik toimib(log sisse, vaata wp verisooni ilmselt midagi sellist: You are using WordPress 3.2.1.)<br />
<br />
== mod_evasive paigaldus ja konfigureerimine ==<br />
<br />
=== Sissejuhatus ===<br />
<br />
Mod_evasive on lisamoodul Apache'i veebiserveri jaoks, mille abil on võimalik vähendada või täielikult tõrjuda<br />
HTTP DoS, DDos või brute force rünnakute mõju. Ühtlasi saab seda kasutada ka monitooringu teostamiseks,<br />
kuna moodulit on lihtne panna suhtlema erinevate tulemüüride ja ruuteritega.<br />
<br />
Monitooring baseerub dünaamilisel IP aadressitest ja URI-dest koosneval räsitabelil,<br />
kust siis keelatakse IP aadressid, mis:<br />
<br />
*küsivad ühte lehte rohkem kui paar korda sekundis<br />
*teevad rohkem kui 50 üheaegset requesti sama laps-protsessi vastu<br />
*üritavad teha ükskõik millist requesti samal ajal kui nad on mustas nimekirjas<br />
<br />
=== Paigaldus ===<br />
<br />
Paigaldamine Ubuntu 11.04 serverile on küllaltki lihtne<br />
<br />
apt-get install libapache2-mod-evasive<br />
<br />
=== Konfigureerimine ===<br />
<br />
Kõigepealt on viisakas luua koht, kuhu antud moodul oma logi saaks salvestada (kuigi logimine praegu ei tööta)<br />
<br />
mkdir /var/log/apache2/mod_evasive<br />
chown www-data:www-data /var/log/apache2/mod_evasive<br />
<br />
Nüüd jääb üle lisada vastavad read oma virtuaalsesse hosti (N:~/apache2/sites-enabled/wordpress lõppu)<br />
<br />
<ifmodule mod_evasive20.c><br />
DOSHashTableSize 3097<br />
DOSPageCount 2<br />
DOSSiteCount 50<br />
DOSPageInterval 1<br />
DOSSiteInterval 1<br />
DOSBlockingPeriod 10<br />
DOSLogDir /var/log/apache2/mod_evasive<br />
DOSEmailNotify root@localhost<br />
DOSWhitelist 127.0.0.1<br />
</ifmodule><br />
<br />
Antud väärtusi tuleks kohandada vastavalt vajadustele<br />
<br />
Parameetrite kirjeldused:<br />
<br />
*DOSHashTableSize: Räsitabeli suurus, kus IP aadresseid hoitakse.<br />
*DOSPageCount: Lehekülgede arv DOSPageInterval sekundis.<br />
*DOSPageInterval: Aeg sekundites, mida kasutab DOSPageCount.<br />
*DOSSiteCount: Objektide arv DOSSiteInterval sekundites.<br />
*DOSSiteInterval: Aeg sekundites, mida kasutab DOSSiteCount.<br />
*DOSBlockingPeriod: Aeg sekundites, kui kaua IP on bannitud. Kui IP üritab serverile selle aja see ligi pääseda, siis algab loendus ueusti nullist.<br />
*DOSLogDir: Valikuline. Kataloogitee, kuhu logi salvestatakse. Kui pole määratud kasutatakse /tmp.<br />
*DOSEmailNotify: Valikuline. Mail kuhu teated saadetakse.<br />
*DOSSystemCommand: Valikuline. Käsk mis käivitatakse, kui IP bannitakse. Näiteks:<br />
**DOSSystemCommand "/sbin/iptables -I INPUT -p tcp --dport 80 -s %s -j DROP"<br />
*DOSWhitelist: Valikuline. Nimekiri IP aadressitest, mida ei blokita.<br />
<br />
<br />
Kui konfigureerimine valmis, tuleb Apache serverlie teha restart<br />
<br />
/etc/init.d/apache2 restart<br />
VÕI<br />
service apache2 restart<br />
<br />
==Varnish Cache-i paigaldamine ja konfigureerimine==<br />
===Sissejuhatus===<br />
'''Varnish Cache''' - see on HTTP kiirendaja, ta on vaja, et maksimaalselt suurendada veebilehekülje kiirendust. Varnish Cache salvestab mälus veebilehekülg nii, et veebiserverid ei pea koguda sama lehekülg uuesti ja veel kord uuesti.<br />
===Paigaldamine===<br />
Kui te soovite installida Varnishit, siis on vaja teha uuendusi. Selle käsu abil uuendame opsüsteemi:<br />
sudo apt-get update<br />
Paigaldamise käsk:<br />
sudo apt-get install varnish<br />
===Konfiguratsiooni muutmine===<br />
Esimene, mis me teeme, default pordi muutmine. Tuleb muuta faili '''/etc/default/varnish''':<br />
nano /etc/default/varnish<br />
<br />
Konfigureerimine Varnichi jaoks kirjutatakse VCL keeles. <br />
<br />
Fail konfiguratsioonidega vaikselt asub siin '''/etc/varnish/default.vcl'''<br />
Fail oleneb mitmest osadest, aga mis on vaja töötamise alguseks - see on backendi viitamine:<br />
<br />
'''Backend''' - see on server, kuhu varnish saadab päringut, kui tal ei ole vastavad andmeid cache-is.<br />
<br />
Kopeerige fail /etc/varnish/default.vcl ja andke teine nimetus<br />
cp /etc/varnish/default.vcl /etc/varnish/itkool.vcl<br />
<br />
Ava fail /etc/varnish/itkool.vcl ja sisesta <br />
nano /etc/varnish/itkool.vcl<br />
<br />
<pre><br />
## Redirect requests to Apache, running on port 8000 on localhost<br />
backend apache {<br />
.host = "127.0.0.1";<br />
.port = "8000";<br />
}<br />
## Fetch<br />
sub vcl_fetch {<br />
## Remove the X-Forwarded-For header if it exists.<br />
remove req.http.X-Forwarded-For;<br />
<br />
## insert the client IP address as X-Forwarded-For. This is the normal IP address of the user.<br />
set req.http.X-Forwarded-For = req.http.rlnclientipaddr;<br />
## Added security, the "w00tw00t" attacks are pretty annoying so lets block it before it reaches our webserver<br />
if (req.url ~ "^/w00tw00t") {<br />
error 403 "Not permitted";<br />
}<br />
## Deliver the content<br />
return(deliver);<br />
}<br />
<br />
## Deliver<br />
sub vcl_deliver {<br />
## We'll be hiding some headers added by Varnish. We want to make sure people are not seeing we're using Varnish.<br />
## Since we're not caching (yet), why bother telling people we use it?<br />
remove resp.http.X-Varnish;<br />
remove resp.http.Via;<br />
remove resp.http.Age;<br />
<br />
## We'd like to hide the X-Powered-By headers. Nobody has to know we can run PHP and have version xyz of it.<br />
remove resp.http.X-Powered-By;<br />
}<br />
</pre><br />
Salvesta fail CTRL + O käsuga<br />
<br />
===Apache konfiguratsiooni muutmine===<br />
Ava fail etc/apache2/ports.conf ja leia<br />
nano /etc/apache2/ports.conf<br />
<br />
<pre><br />
NameVirtualHost *:80<br />
Listen 192.168.6.101:80<br />
</pre><br />
<br />
Muuda <br />
<br />
<pre><br />
NameVirtualHost *:8000<br />
Listen 192.168.6.101:8000<br />
</pre><br />
<br />
'''...VHOSTS...'''<br />
<br />
== Super Cache ==<br />
<br />
'''Selle osa koostamine on veel töös.'''<br />
<br />
Super Cache-i paigaldamiseks tuleb sisse logida admin-paneeli. Siis vasakult nimekirjast valida '''''Plugins'''''-i alt '''Add new'''.<br />
<br />
Siis kirjutada otsingusse "'''WP Super Cache'''".<br />
<br />
Pärast seda valida nimekirjast ''Super Cache'' ning vajutada "'''Install'''" ja pärast seda "'''Activate the Plugin'''".<br />
<br />
Super Cache -i toimimiseks on vajalik valida '''''Custom structure''''' ''Permalink-i'' seadete alt ning sisestada sinna '''"p=?/%post_id%/"'''.<br />
<br />
Edasi vali vasakult '''''Settings'''''-u alt '''WP Super Cache'''.<br />
<br />
===Iptables===</div>Sbarolhttps://wiki.itcollege.ee/index.php?title=WordPress_turvamine&diff=41873WordPress turvamine2011-11-09T08:51:11Z<p>Sbarol: </p>
<hr />
<div>'''!NB Kõik õpetused on tehtud kasutades Ubuntu Server 11.04'''<br />
<br />
WordPressi paigaldamine<br />
<br />
Varnishi lisamine wordpressile<br />
<br />
SuperCache kasutamine<br />
<br />
DoS rünnaku tõrjumine mod_evasive mooduliga<br />
<br />
== Wordpressi paigaldus ja konfigureerimine ==<br />
<br />
Antud toimingud tuleks teha root õigustes.<br />
<br />
Mine root-iks:<br />
sudo -i<br />
<br />
<br />
Tee update kohalike pakettide cache<br />
aptitude update<br />
<br />
<br />
Tee upgrade pakettidele:<br />
aptitude full-upgrade<br />
<br />
Paigalda acpid daemon<br />
aptitude install acpid<br />
<br />
<br />
Installi apache2 veebi server,mysql andmebaasi server, openssh server, php5 skriptimis keel ning apache2-utils(Apache benchmark tool)<br />
aptitude install apache2 mysql-server ssh php5 php5-mysql apache2-utils<br />
<br />
<br />
Tõmba alla kõige hilisem .tar fail wordpress.org-ist:<br />
wget http://wordpress.org/latest.tar.gz<br />
<br />
<br />
<br />
Paki lahti wordpressi failid /var/www kausta:<br />
sudo tar zxvf latest.tar.gz --directory=/var/www/<br />
<br />
<br />
Logi mysql-i sisse:<br />
<br />
mysql -u root -p<br />
<br />
Loo andmebaas student_wordpress:<br />
<source lang="mysql"><br />
create database student_wordpress;<br />
</source><br />
Loo kasutaja student:<br />
<source lang="mysql"><br />
create user student;<br />
</source><br />
Anna kõik õigused student kasutajale:<br />
<source lang="mysql"><br />
GRANT ALL PRIVILEGES ON student_wordpress.* TO student@localhost IDENTIFIED BY ‘student’;<br />
</source><br />
Välju mysql-ist:<br />
<source lang="mysql"><br />
quit;<br />
</source><br />
<br />
Loo uus default veebi saidil põhinev veebi sait:<br />
<br />
cp /etc/apache2/sites-available/default /etc/apache2/sites-available/wp<br />
<br />
<br />
Muuda ära DocumentRoot /etc/apache2/sites-avalible/wp failis:<br />
<br />
nano /etc/apache2/sites-avalible/wp<br />
<br />
Lisa DocumentRoot /var/www rea lõppu DocumentRoot /var/www/wordpress<br />
DocumentRoot /var/www/wordpress<br />
<br />
<br />
<br />
<br />
Keela ära tavaline default veebi sait(seda ei ole vaja antud paigalduses):<br />
<br />
a2dissite default<br />
<br />
<br />
Luba wordpress-i veebisait<br />
<br />
a2ensite wp<br />
<br />
Tee apache-ile restart<br />
<br />
service apache2 restart<br />
<br />
Muuda wordpress konfiguratsiooni faili:<br />
<br />
nano /var/www/wordpress/wp-config-sample.php<br />
<br />
Muuda DB_NAME, DB_USER, DB_PASSWORD vastavalt näitele:<br />
<br />
<source lang="php">define('DB_NAME', 'student_wordpress');<br />
<br />
/** MySQL database username */<br />
define('DB_USER', 'student');<br />
<br />
/** MySQL database password */<br />
define('DB_PASSWORD', 'student');<br />
</source><br />
<br />
Kopeeri uus konfiguratsiooni fail wordpressi konfiguratsiooni failiks:<br />
<br />
cp /var/www/wordpress/wp-config-sample.php /var/www/wordpress/wp-config.php<br />
<br />
<br />
Tee apache2 service-ile reload<br />
<br />
service apache2 reload<br />
<br />
Mine wordpressi saidile kasutades host-i IP aadressi(antud näites:192.168.56.102);<br />
<br />
http://192.168.56.102<br />
<br />
<br />
Vali saidi nimi, kasutajanimi, salasõna ning meili aadress.<br />
<br />
Vali install<br />
<br />
Installi lõppedes tee kindlaks,et kõik toimib(log sisse, vaata wp verisooni ilmselt midagi sellist: You are using WordPress 3.2.1.)<br />
<br />
== mod_evasive paigaldus ja konfigureerimine ==<br />
<br />
=== Sissejuhatus ===<br />
<br />
Mod_evasive on lisamoodul Apache'i veebiserveri jaoks, mille abil on võimalik vähendada või täielikult tõrjuda<br />
HTTP DoS, DDos või brute force rünnakute mõju. Ühtlasi saab seda kasutada ka monitooringu teostamiseks,<br />
kuna moodulit on lihtne panna suhtlema erinevate tulemüüride ja ruuteritega.<br />
<br />
Monitooring baseerub dünaamilisel IP aadressitest ja URI-dest koosneval räsitabelil,<br />
kust siis keelatakse IP aadressid, mis:<br />
<br />
*küsivad ühte lehte rohkem kui paar korda sekundis<br />
*teevad rohkem kui 50 üheaegset requesti sama laps-protsessi vastu<br />
*üritavad teha ükskõik millist requesti samal ajal kui nad on mustas nimekirjas<br />
<br />
=== Paigaldus ===<br />
<br />
Paigaldamine Ubuntu 11.04 serverile on küllaltki lihtne<br />
<br />
apt-get install libapache2-mod-evasive<br />
<br />
=== Konfigureerimine ===<br />
<br />
Kõigepealt on viisakas luua koht, kuhu antud moodul oma logi saaks salvestada (kuigi logimine praegu ei tööta)<br />
<br />
mkdir /var/log/apache2/mod_evasive<br />
chown www-data:www-data /var/log/apache2/mod_evasive<br />
<br />
Nüüd jääb üle lisada vastavad read oma virtuaalsesse hosti (N:~/apache2/sites-enabled/wordpress lõppu)<br />
<br />
<ifmodule mod_evasive20.c><br />
DOSHashTableSize 3097<br />
DOSPageCount 2<br />
DOSSiteCount 50<br />
DOSPageInterval 1<br />
DOSSiteInterval 1<br />
DOSBlockingPeriod 10<br />
DOSLogDir /var/log/apache2/mod_evasive<br />
DOSEmailNotify root@localhost<br />
DOSWhitelist 127.0.0.1<br />
</ifmodule><br />
<br />
Antud väärtusi tuleks kohandada vastavalt vajadustele<br />
<br />
Parameetrite kirjeldused:<br />
<br />
*DOSHashTableSize: Räsitabeli suurus, kus IP aadresseid hoitakse.<br />
*DOSPageCount: Lehekülgede arv DOSPageInterval sekundis.<br />
*DOSPageInterval: Aeg sekundites, mida kasutab DOSPageCount.<br />
*DOSSiteCount: Objektide arv DOSSiteInterval sekundites.<br />
*DOSSiteInterval: Aeg sekundites, mida kasutab DOSSiteCount.<br />
*DOSBlockingPeriod: Aeg sekundites, kui kaua IP on bannitud. Kui IP üritab serverile selle aja see ligi pääseda, siis algab loendus ueusti nullist.<br />
*DOSLogDir: Valikuline. Kataloogitee, kuhu logi salvestatakse. Kui pole määratud kasutatakse /tmp.<br />
*DOSEmailNotify: Valikuline. Mail kuhu teated saadetakse.<br />
*DOSSystemCommand: Valikuline. Käsk mis käivitatakse, kui IP bannitakse. Näiteks:<br />
**DOSSystemCommand "/sbin/iptables -I INPUT -p tcp --dport 80 -s %s -j DROP"<br />
*DOSWhitelist: Valikuline. Nimekiri IP aadressitest, mida ei blokita.<br />
<br />
<br />
Kui konfigureerimine valmis, tuleb Apache serverlie teha restart<br />
<br />
/etc/init.d/apache2 restart<br />
VÕI<br />
service apache2 restart<br />
<br />
==Varnish Cache-i paigaldamine ja konfigureerimine==<br />
===Sissejuhatus===<br />
'''Varnish Cache''' - see on HTTP kiirendaja, ta on vaja, et maksimaalselt suurendada veebilehekülje kiirendust. Varnish Cache salvestab mälus veebilehekülg nii, et veebiserverid ei pea koguda sama lehekülg uuesti ja veel kord uuesti.<br />
===Paigaldamine===<br />
Kui te soovite installida Varnishit, siis on vaja teha uuendusi. Selle käsu abil uuendame opsüsteemi:<br />
sudo apt-get update<br />
Paigaldamise käsk:<br />
sudo apt-get install varnish<br />
===Konfiguratsiooni muutmine===<br />
Esimene, mis me teeme, default pordi muutmine. Tuleb muuta faili '''/etc/default/varnish''':<br />
nano /etc/default/varnish<br />
<br />
Konfigureerimine Varnichi jaoks kirjutatakse VCL keeles. <br />
<br />
Fail konfiguratsioonidega vaikselt asub siin '''/etc/varnish/default.vcl'''<br />
Fail oleneb mitmest osadest, aga mis on vaja töötamise alguseks - see on backendi viitamine:<br />
<br />
'''Backend''' - see on server, kuhu varnish saadab päringut, kui tal ei ole vastavad andmeid cache-is.<br />
<br />
Kopeerige fail /etc/varnish/default.vcl ja andke teine nimetus<br />
cp /etc/varnish/default.vcl /etc/varnish/itkool.vcl<br />
<br />
Ava fail /etc/varnish/itkool.vcl ja sisesta <br />
nano /etc/varnish/itkool.vcl<br />
<br />
<pre><br />
## Redirect requests to Apache, running on port 8000 on localhost<br />
backend apache {<br />
.host = "127.0.0.1";<br />
.port = "8000";<br />
}<br />
## Fetch<br />
sub vcl_fetch {<br />
## Remove the X-Forwarded-For header if it exists.<br />
remove req.http.X-Forwarded-For;<br />
<br />
## insert the client IP address as X-Forwarded-For. This is the normal IP address of the user.<br />
set req.http.X-Forwarded-For = req.http.rlnclientipaddr;<br />
## Added security, the "w00tw00t" attacks are pretty annoying so lets block it before it reaches our webserver<br />
if (req.url ~ "^/w00tw00t") {<br />
error 403 "Not permitted";<br />
}<br />
## Deliver the content<br />
return(deliver);<br />
}<br />
<br />
## Deliver<br />
sub vcl_deliver {<br />
## We'll be hiding some headers added by Varnish. We want to make sure people are not seeing we're using Varnish.<br />
## Since we're not caching (yet), why bother telling people we use it?<br />
remove resp.http.X-Varnish;<br />
remove resp.http.Via;<br />
remove resp.http.Age;<br />
<br />
## We'd like to hide the X-Powered-By headers. Nobody has to know we can run PHP and have version xyz of it.<br />
remove resp.http.X-Powered-By;<br />
}<br />
</pre><br />
Salvesta fail CTRL + O käsuga<br />
<br />
===Apache konfiguratsiooni muutmine===<br />
Ava fail etc/apache2/ports.conf ja leia<br />
nano /etc/apache2/ports.conf<br />
<br />
<pre><br />
NameVirtualHost *:80<br />
Listen 192.168.6.101:80<br />
</pre><br />
<br />
Muuda <br />
<br />
<pre><br />
NameVirtualHost *:8000<br />
Listen 192.168.6.101:8000<br />
</pre><br />
<br />
'''...VHOSTS...'''<br />
<br />
== Super Cache ==<br />
<br />
'''Selle osa koostamine on veel töös.'''<br />
<br />
Super Cache-i paigaldamiseks tuleb sisse logida admin-paneeli. Siis vasakult nimekirjast valida '''''Plugins'''''-i alt '''Add new'''.<br />
<br />
Siis kirjutada otsingusse "'''WP Super Cache'''".<br />
<br />
Pärast seda valida nimekirjast ''Super Cache'' ning vajutada "'''Install'''" ja pärast seda "'''Activate the Plugin'''".<br />
<br />
Super Cache -i toimimiseks on vajalik valida '''''Custom structure''''' ''Permalink-i'' seadete alt ning sisestada sinna '''"p=?/%post_id%/"'''.<br />
<br />
Edasi vali vasakult '''''Settings'''''-u alt '''WP Super Cache'''.<br />
<br />
===IPTABLES===</div>Sbarolhttps://wiki.itcollege.ee/index.php?title=Tulem%C3%BC%C3%BCri_labor&diff=39277Tulemüüri labor2011-10-19T07:41:48Z<p>Sbarol: </p>
<hr />
<div>=Legend=<br />
Tuleb installeerida tulemüür kus tuleb lubada veebiserver, Open SSH ja Samba.<br />
Tulemüür peaks rakenduma arvuti alglaadimisel. Labor/juhend töötab Linux Ubuntu versioonidega 10.04 ja 10.10.<br />
<br />
<br />
=Installeerimine=<br />
Alguses minna juurkasutajaks <br />
<br />
<source lang="bash"><br />
sudo -i<br />
</source><br />
Veebiserveri lubamiseks:<br />
<br />
<source lang="bash"><br />
iptables -I INPUT -p tcp --dport 80 -j ACCEPT<br />
</source><br />
Turvatud veebiserveri jaoks:<br />
<source lang="bash"><br />
iptables -I INPUT -p tcp --dport 443 -j ACCEPT<br />
</source><br />
SSH lubamiseks:<br />
<source lang="bash"><br />
iptables -I INPUT -p tcp --dport 22 -j ACCEPT<br />
</source><br />
<br />
<br />
Täpsemalt peab lubama järgnevad pordid Samba jaoks:<br />
<br />
<source lang="bash"><br />
iptables -I INPUT -p tcp --dport 445 -j ACCEPT // TCP 445<br />
iptables -I INPUT -p tcp --dport 139 -j ACCEPT // TCP 139<br />
iptables -I INPUT -p udp --dport 138 -j ACCEPT // UDP 138<br />
iptables -I INPUT -p udp --dport 137 -j ACCEPT // UDP 137<br />
</source><br />
<br />
Keelatakse INPUTi liiklus, kui konkreetseid reegleid pole seatud<br />
<source lang="bash"><br />
iptables -P INPUT DROP<br />
</source><br />
Selleks et väljaminevate ühenduste jaoks tagasi tulnud pakette ka lubataks peab tegema nii:<br />
<source lang="bash"><br />
iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT<br />
</source><br />
Muidugi on alati tervislik lubada localhost õue:<br />
<source lang="bash"><br />
iptables -A OUTPUT -o lo -j ACCEPT<br />
</source><br />
<br />
=Reeglite järjekord=<br />
IPTABLES'i seadistamisel tuleb rangelt kinni pidada reeglite järjekorrast, reegleid loetakse ülevalt alla ning sobiva reegli leidmisel rohkem edasi ei kontrollita, näiteks, kui tulemüüriseadistuses on esimene rida mis lubab sisse kõiki ühendusi, ei hakata edasi üldse vaatama, ning kõik ühendused lubatakse olenemata võimalikest järgnevatest keelavatest reeglitest.<br />
<br />
iptables -I INPUT 1 -i lo -j ACCEPT<br />
<br />
Seadistuste tegemisel on hea teada mida teevad -I ja -A võtmed iptables käsu järel.<br />
<br />
*-A käsk lisatakse viimaseks reegliks<br />
<br />
*-I käsk lisatakse kindlale kasutaja poolt määratud reale<br />
iptables -I INPUT 5 -i lo -j ACCEPT<br />
Lisab käsu INPUT CHAIN'i 5. reegliks, ehk kui enne 5. reeglit pole ühtegi keelavat reeglit, on kõik sissetulevad ühendused lubatud.<br />
<br />
Kui jätta määramata reegli rea number, pannakse reegel esimeseks.<br />
<br />
<br />
<br />
<br />
=Teenuse portide leidmine=<br />
NB! Suvalise teenuse pordid saad kindlaks teha netstat abil:<br />
<br />
<source lang="bash"><br />
sudo /etc/init.d/smbd stop && \<br />
netstat -lnut > /tmp/before && \<br />
sudo /etc/init.d/smbd start && \<br />
netstat -lnut > /tmp/after && \<br />
diff -u /tmp/before /tmp/after<br />
</source><br />
<br />
* Stopping Samba daemons [ OK ]<br />
* Starting Samba daemons [ OK ]<br />
<br />
--- /tmp/before 2009-10-26 14:34:08.461610086 +0200<br />
+++ /tmp/after 2009-10-26 14:34:08.533616024 +0200<br />
@@ -1,7 +1,13 @@<br />
Aktiivsed internetiühendused (ainult serverid)<br />
Proto VvJrk SaatJrk Kohalik aadress Väline aadress Olek<br />
tcp 0 0 127.0.0.1:631 0.0.0.0:* LISTEN<br />
+tcp6 0 0 :::445 :::* LISTEN<br />
+tcp6 0 0 :::139 :::* LISTEN<br />
tcp6 0 0 ::1:631 :::* LISTEN<br />
udp 0 0 0.0.0.0:5353 0.0.0.0:*<br />
+udp 0 0 192.168.1.165:137 0.0.0.0:*<br />
+udp 0 0 0.0.0.0:137 0.0.0.0:*<br />
+udp 0 0 192.168.1.165:138 0.0.0.0:*<br />
+udp 0 0 0.0.0.0:138 0.0.0.0:*<br />
udp 0 0 0.0.0.0:57873 0.0.0.0:*<br />
udp 0 0 0.0.0.0:68 0.0.0.0:*<br />
<br />
Kus plussiga on märgitud pordid mis lisandusid.<br />
<br />
=IPTABLES reeglite salvestamine ja taastamine=<br />
<br />
==Salvestamine==<br />
Selleks, et reegleid salvestada, tuleb alguses luua koht kuhu neid reegleid salvestada<br />
<br />
Näiteks:<br />
<pre><br />
mkdir /etc/iptables<br />
</pre><br />
<br />
Salvestamiseks endaks tuleb sisestada käsk :<br />
<br />
<pre><br />
iptables-save > /etc/iptables/iptables.conf<br />
</pre><br />
Fail kuhu reeglid salvestadakse ei pea olema iptables.conf<br />
<br />
==Taastamine==<br />
<br />
Taastamiseks (failist mis sa varem oled salvestanud) tuleb siestada järgmine käsk:<br />
<br />
<pre><br />
iptables-restore < /etc/iptables/iptables.conf<br />
</pre><br />
<br />
==Taastamine alglaadmisel==<br />
<br />
Selleks, et taastada iptables reeglis alglaadimisel, tuleb muuta /etc/network/interfaces faili<br />
<br />
Ava fail<br />
<br />
<pre><br />
nano /etc/network/interfaces <br />
</pre><br />
<br />
ning lisa faili lõppu järgmine rida :<br />
<br />
<pre><br />
pre-up iptables-restore < /etc/iptables/iptables.conf<br />
</pre><br />
<br />
Testimiseks tee reboot ja vaata järmise käsuga kas reeglid on olemas : <pre>iptables -L </pre> <br />
<br />
=Edasijõudnutele=<br />
Siin leiab veel huvitavaid ridu:<br />
<br />
http://ubuntuforums.org/showthread.php?t=159661 - väga põhjalik juhend [Beginners edition]<br />
<br />
http://enos.itcollege.ee/~mernits/infrastruktuur/loeng07%20-%20iptables.pdf - tulemüüri loengumaterjal<br />
<br />
https://help.ubuntu.com/community/IptablesHowTo - ametlik juhend<br />
<br />
http://ubuntuforums.org/showthread.php?t=668148 - pisut huvitavamate reeglite tegemiseks [Advanced user only]<br />
[[Category:IT infrastruktuuri teenused]]</div>Sbarolhttps://wiki.itcollege.ee/index.php?title=Tulem%C3%BC%C3%BCri_labor&diff=39276Tulemüüri labor2011-10-19T07:41:04Z<p>Sbarol: </p>
<hr />
<div>=Legend=<br />
Tuleb installeerida tulemüür kus tuleb lubada veebiserver, Open SSH ja Samba.<br />
Tulemüür peaks rakenduma arvuti alglaadimisel. Labor/juhend töötab Linux Ubuntu versioonidega 10.04 ja 10.10.<br />
<br />
<br />
=Installeerimine=<br />
Alguses minna juurkasutajaks <br />
<br />
<source lang="bash"><br />
sudo -i<br />
</source><br />
Veebiserveri lubamiseks:<br />
<br />
<source lang="bash"><br />
iptables -I INPUT -p tcp --dport 80 -j ACCEPT<br />
</source><br />
Turvatud veebiserveri jaoks:<br />
<source lang="bash"><br />
iptables -I INPUT -p tcp --dport 443 -j ACCEPT<br />
</source><br />
SSH lubamiseks:<br />
<source lang="bash"><br />
iptables -I INPUT -p tcp --dport 22 -j ACCEPT<br />
</source><br />
<br />
<br />
Täpsemalt peab lubama järgnevad pordid Samba jaoks:<br />
<br />
<source lang="bash"><br />
iptables -I INPUT -p tcp --dport 445 -j ACCEPT // TCP 445<br />
iptables -I INPUT -p tcp --dport 139 -j ACCEPT // TCP 139<br />
iptables -I INPUT -p udp --dport 138 -j ACCEPT // UDP 138<br />
iptables -I INPUT -p udp --dport 137 -j ACCEPT // UDP 137<br />
</source><br />
<br />
Keelatakse INPUTi liiklus, kui konkreetseid reegleid pole seatud<br />
<source lang="bash"><br />
iptables -P INPUT DROP<br />
</source><br />
Selleks et väljaminevate ühenduste jaoks tagasi tulnud pakette ka lubataks peab tegema nii:<br />
<source lang="bash"><br />
iptables -A INPUT -m state --state ESTABLISHED -j ACCEPT<br />
</source><br />
Muidugi on alati tervislik lubada localhost õue:<br />
<source lang="bash"><br />
iptables -A OUTPUT -o lo -j ACCEPT<br />
</source><br />
<br />
=Reeglite järjekord=<br />
IPTABLES'i seadistamisel tuleb rangelt kinni pidada reeglite järjekorrast, reegleid loetakse ülevalt alla ning sobiva reegli leidmisel rohkem edasi ei kontrollita, näiteks, kui tulemüüriseadistuses on esimene rida mis lubab sisse kõiki ühendusi, ei hakata edasi üldse vaatama, ning kõik ühendused lubatakse olenemata võimalikest järgnevatest keelavatest reeglitest.<br />
<br />
iptables -I INPUT 1 -i lo -j ACCEPT<br />
<br />
Seadistuste tegemisel on hea teada mida teevad -I ja -A võtmed iptables käsu järel.<br />
<br />
*-A käsk lisatakse viimaseks reegliks<br />
<br />
*-I käsk lisatakse kindlale kasutaja poolt määratud reale<br />
iptables -I INPUT 5 -o lo -j ACCEPT<br />
Lisab käsu INPUT CHAIN'i 5. reegliks, ehk kui enne 5. reeglit pole ühtegi keelavat reeglit, on kõik sissetulevad ühendused lubatud.<br />
<br />
Kui jätta määramata reegli rea number, pannakse reegel esimeseks.<br />
<br />
<br />
<br />
<br />
=Teenuse portide leidmine=<br />
NB! Suvalise teenuse pordid saad kindlaks teha netstat abil:<br />
<br />
<source lang="bash"><br />
sudo /etc/init.d/smbd stop && \<br />
netstat -lnut > /tmp/before && \<br />
sudo /etc/init.d/smbd start && \<br />
netstat -lnut > /tmp/after && \<br />
diff -u /tmp/before /tmp/after<br />
</source><br />
<br />
* Stopping Samba daemons [ OK ]<br />
* Starting Samba daemons [ OK ]<br />
<br />
--- /tmp/before 2009-10-26 14:34:08.461610086 +0200<br />
+++ /tmp/after 2009-10-26 14:34:08.533616024 +0200<br />
@@ -1,7 +1,13 @@<br />
Aktiivsed internetiühendused (ainult serverid)<br />
Proto VvJrk SaatJrk Kohalik aadress Väline aadress Olek<br />
tcp 0 0 127.0.0.1:631 0.0.0.0:* LISTEN<br />
+tcp6 0 0 :::445 :::* LISTEN<br />
+tcp6 0 0 :::139 :::* LISTEN<br />
tcp6 0 0 ::1:631 :::* LISTEN<br />
udp 0 0 0.0.0.0:5353 0.0.0.0:*<br />
+udp 0 0 192.168.1.165:137 0.0.0.0:*<br />
+udp 0 0 0.0.0.0:137 0.0.0.0:*<br />
+udp 0 0 192.168.1.165:138 0.0.0.0:*<br />
+udp 0 0 0.0.0.0:138 0.0.0.0:*<br />
udp 0 0 0.0.0.0:57873 0.0.0.0:*<br />
udp 0 0 0.0.0.0:68 0.0.0.0:*<br />
<br />
Kus plussiga on märgitud pordid mis lisandusid.<br />
<br />
=IPTABLES reeglite salvestamine ja taastamine=<br />
<br />
==Salvestamine==<br />
Selleks, et reegleid salvestada, tuleb alguses luua koht kuhu neid reegleid salvestada<br />
<br />
Näiteks:<br />
<pre><br />
mkdir /etc/iptables<br />
</pre><br />
<br />
Salvestamiseks endaks tuleb sisestada käsk :<br />
<br />
<pre><br />
iptables-save > /etc/iptables/iptables.conf<br />
</pre><br />
Fail kuhu reeglid salvestadakse ei pea olema iptables.conf<br />
<br />
==Taastamine==<br />
<br />
Taastamiseks (failist mis sa varem oled salvestanud) tuleb siestada järgmine käsk:<br />
<br />
<pre><br />
iptables-restore < /etc/iptables/iptables.conf<br />
</pre><br />
<br />
==Taastamine alglaadmisel==<br />
<br />
Selleks, et taastada iptables reeglis alglaadimisel, tuleb muuta /etc/network/interfaces faili<br />
<br />
Ava fail<br />
<br />
<pre><br />
nano /etc/network/interfaces <br />
</pre><br />
<br />
ning lisa faili lõppu järgmine rida :<br />
<br />
<pre><br />
pre-up iptables-restore < /etc/iptables/iptables.conf<br />
</pre><br />
<br />
Testimiseks tee reboot ja vaata järmise käsuga kas reeglid on olemas : <pre>iptables -L </pre> <br />
<br />
=Edasijõudnutele=<br />
Siin leiab veel huvitavaid ridu:<br />
<br />
http://ubuntuforums.org/showthread.php?t=159661 - väga põhjalik juhend [Beginners edition]<br />
<br />
http://enos.itcollege.ee/~mernits/infrastruktuur/loeng07%20-%20iptables.pdf - tulemüüri loengumaterjal<br />
<br />
https://help.ubuntu.com/community/IptablesHowTo - ametlik juhend<br />
<br />
http://ubuntuforums.org/showthread.php?t=668148 - pisut huvitavamate reeglite tegemiseks [Advanced user only]<br />
[[Category:IT infrastruktuuri teenused]]</div>Sbarolhttps://wiki.itcollege.ee/index.php?title=MySQL&diff=11484MySQL2010-06-11T09:02:36Z<p>Sbarol: /* Allikad */</p>
<hr />
<div>'''MySQL''' on relatsiooniline andmebaasi haldamise süsteem. Ametlikult hääldakse "mai-es-kju-el". MySQL omanikuks ja sponsoriks on Rootsi firma MySQL AB, mille praegune omanik on Sun Microsystems.<br />
<br />
== Platvormid ja kasutajaliidesed ==<br />
MySQL toetab mitmeid platvorme, mille hulgas on AIX, BSDi, FreeBSD, HP-UX, i5/OS, Linux, Mac OS X, NetBSD, Novell NetWare, OpenBSD, OpenSolaris, eComStation, OS/2 Warp, QNX, IRIX, Solaris, Symbian, SunOS, SCO OpenServer, SCO UnixWare, Sanos, Tru64 ja Microsoft Windows. Eksisteerib ka MySQL'i port OpenVMS'ile.<br />
<br />
MySQL'i kood kasutab C ja C++ programmeerimiskeelt. <br />
<br />
Kõik peamised programmeerimiskeeled sisaldavad teeke MySQL andmebaasidele ligipääsemiseks.<br />
<br />
== MySQL installeerimine ja konfigureerimine (Ubuntu-server 9.10)==<br />
<br />
Logi sisse juurkasutaja õigustega:<br />
<pre>sudo -i</pre><br />
<br />
===Installeerimine===<br />
<br />
<pre>apt-get install mysql-server</pre><br />
Võimaldab korraga installeerida kõik vajalikud paketid.<br />
<br />
===Konfigureerimine===<br />
<br />
Redigeeri MySQL'i konfiguratsiooni faili:<br />
<pre>nano /etc/mysql/my.cnf</pre><br />
Leia "bind-address = 127.0.0.1" rida ja kommenteeri see välja. Nüüd pääsevad kõik hostid baasile ligi.<br />
<br />
Tee restart:<br />
<pre>/etc/init.d/mysql restart</pre><br />
<br />
Kontrolli pordi "kuulamist" ''netstat'' käsu abil:<br />
<pre>netstat -tap</pre><br />
ja leia sarnane rida: ''tcp 0 0 *:mysql *:* LISTEN 3306/mysqld''<br />
<br />
See tähendab, et MySQL kuulab porti 3306 (seda saab muuta konfiguratsiooni failis /etc/mysql/my.cnf).<br />
<br />
Sea uus salasõna:<br />
<pre>mysqladmin -u root password 'salasõna'</pre><br />
<br />
Ja tee restart veel üks kord:<br />
<pre>/etc/init.d/mysql restart</pre><br />
<br />
Uue andmebaasi loomiseks kirjuta:<br />
<pre>mysqladmin create 'andmebaasinimi'</pre><br />
<br />
==Liigipääs MySQL andmebaasi (teine variant)==<br />
<br />
MySQL omab oma käsurea interpretaatori (command line interpreter e CLI). Liigipääsu MySQL CLI saab kasutades mysql korraldust koos võtmetega -u ja -p. Siin kasutaja root saab liigipääsu:<br />
<pre><br />
[root@xxxxxx tmp]# mysql -u root -p<br />
Enter password:<br />
Welcome to the MySQL monitor. Commands end with ; or \g.<br />
Your MySQL connection id is 14 to server version: 3.23.58<br />
<br />
Type 'help;' or '\h' for help. Type '\c' to clear the buffer.<br />
<br />
mysql><br />
</pre><br />
<br />
===Loome ja Kustutame MySQL andmebaasi===<br />
<br />
Luua andmebaasi saab korraldusega:<br />
<pre><br />
mysql> create database 'andmebaasinimi';<br />
Query OK, 1 row affected (0.00 sec)<br />
<br />
mysql><br />
</pre><br />
<br />
Kui on vaja niiöelda "droppida" andmebaasi siis kasuta korraldust:<br />
<pre><br />
mysql> drop database 'andmebaasinimi';<br />
Query OK, 0 rows affected (0.00 sec)<br />
<br />
mysql><br />
</pre><br />
<br />
==Varukoopia salvestamine ja taastamine==<br />
On väga tähtis teha varukoopiaid oma andmebaasidest. Selleks kirjuta:<br />
<pre>mysqldump -h localhost -u root -p'sinu salasõna' 'andmebaasinimi' > 'failinimi'.sql</pre><br />
<br />
Andmebaasi taastamiseks failist kirjuta:<br />
<pre>mysql -h localhost -u root -p'sinu salasõna' 'andmebaasinimi' < 'failinimi'.sql</pre><br />
Enne taastamist on soovitatav testida varukoopia korrektsust test serveril.<br />
<br />
==MySQL parooli reset==<br />
Kui unustasid MySQLi administraatori parooli<br />
1.SeiskaMySQL Server.<br />
<br />
<pre> sudo /etc/init.d/mysql stop </pre><br />
<br />
2.Käita MySQL võtmega '--skip-grant-tables', siis pannakse MySQL käima ilma õigustesüsteemita!<br />
<br />
<pre>sudo mysqld --skip-grant-tables & </pre><br />
<br />
3.Sisene root kasutajana.<br />
<br />
<pre>mysql -u root mysql </pre><br />
<br />
4.Asenda YOURNEWPASSWORD soovitava parooliga, muud muuta pole vaja!<br />
MySQL promti sisesta järgmised käsud:<br />
<br />
<pre>UPDATE user SET Password=PASSWORD('YOURNEWPASSWORD') WHERE User='root'; </pre><br />
<br />
<pre>FLUSH PRIVILEGES; </pre><br />
<br />
<pre>exit; </pre><br />
<br />
<br />
== Autor ==<br />
Sandra Netšajeva <br>A21<br />
<br />
==Kasulikud viited==<br />
http://www.howtogeek.com/tag/linux/#mysql<br /><br />
http://www.yolinux.com/TUTORIALS/LinuxTutorialMySQL.html<br />
<br />
==Allikad==<br />
https://wiki.itcollege.ee/index.php/Mysql_parooli_reset<br /><br />
http://en.wikipedia.org/wiki/Mysql<br /><br />
http://dev.mysql.com/<br />
[[Category:Operatsioonisüsteemide administreerimine ja sidumine]]</div>Sbarolhttps://wiki.itcollege.ee/index.php?title=MySQL&diff=11482MySQL2010-06-11T09:01:48Z<p>Sbarol: </p>
<hr />
<div>'''MySQL''' on relatsiooniline andmebaasi haldamise süsteem. Ametlikult hääldakse "mai-es-kju-el". MySQL omanikuks ja sponsoriks on Rootsi firma MySQL AB, mille praegune omanik on Sun Microsystems.<br />
<br />
== Platvormid ja kasutajaliidesed ==<br />
MySQL toetab mitmeid platvorme, mille hulgas on AIX, BSDi, FreeBSD, HP-UX, i5/OS, Linux, Mac OS X, NetBSD, Novell NetWare, OpenBSD, OpenSolaris, eComStation, OS/2 Warp, QNX, IRIX, Solaris, Symbian, SunOS, SCO OpenServer, SCO UnixWare, Sanos, Tru64 ja Microsoft Windows. Eksisteerib ka MySQL'i port OpenVMS'ile.<br />
<br />
MySQL'i kood kasutab C ja C++ programmeerimiskeelt. <br />
<br />
Kõik peamised programmeerimiskeeled sisaldavad teeke MySQL andmebaasidele ligipääsemiseks.<br />
<br />
== MySQL installeerimine ja konfigureerimine (Ubuntu-server 9.10)==<br />
<br />
Logi sisse juurkasutaja õigustega:<br />
<pre>sudo -i</pre><br />
<br />
===Installeerimine===<br />
<br />
<pre>apt-get install mysql-server mysql-client</pre><br />
Võimaldab korraga installeerida kõik vajalikud paketid.<br />
<br />
===Konfigureerimine===<br />
<br />
Redigeeri MySQL'i konfiguratsiooni faili:<br />
<pre>nano /etc/mysql/my.cnf</pre><br />
Leia "bind-address = 127.0.0.1" rida ja kommenteeri see välja. Nüüd pääsevad kõik hostid baasile ligi.<br />
<br />
Tee restart:<br />
<pre>/etc/init.d/mysql restart</pre><br />
<br />
Kontrolli pordi "kuulamist" ''netstat'' käsu abil:<br />
<pre>netstat -tap</pre><br />
ja leia sarnane rida: ''tcp 0 0 *:mysql *:* LISTEN 3306/mysqld''<br />
<br />
See tähendab, et MySQL kuulab porti 3306 (seda saab muuta konfiguratsiooni failis /etc/mysql/my.cnf).<br />
<br />
Sea uus salasõna:<br />
<pre>mysqladmin -u root password 'salasõna'</pre><br />
<br />
Ja tee restart veel üks kord:<br />
<pre>/etc/init.d/mysql restart</pre><br />
<br />
Uue andmebaasi loomiseks kirjuta:<br />
<pre>mysqladmin create 'andmebaasinimi'</pre><br />
<br />
==Liigipääs MySQL andmebaasi (teine variant)==<br />
<br />
MySQL omab oma käsurea interpretaatori (command line interpreter e CLI). Liigipääsu MySQL CLI saab kasutades mysql korraldust koos võtmetega -u ja -p. Siin kasutaja root saab liigipääsu:<br />
<pre><br />
[root@xxxxxx tmp]# mysql -u root -p<br />
Enter password:<br />
Welcome to the MySQL monitor. Commands end with ; or \g.<br />
Your MySQL connection id is 14 to server version: 3.23.58<br />
<br />
Type 'help;' or '\h' for help. Type '\c' to clear the buffer.<br />
<br />
mysql><br />
</pre><br />
<br />
===Loome ja Kustutame MySQL andmebaasi===<br />
<br />
Luua andmebaasi saab korraldusega:<br />
<pre><br />
mysql> create database 'andmebaasinimi';<br />
Query OK, 1 row affected (0.00 sec)<br />
<br />
mysql><br />
</pre><br />
<br />
Kui on vaja niiöelda "droppida" andmebaasi siis kasuta korraldust:<br />
<pre><br />
mysql> drop database 'andmebaasinimi';<br />
Query OK, 0 rows affected (0.00 sec)<br />
<br />
mysql><br />
</pre><br />
<br />
==Varukoopia salvestamine ja taastamine==<br />
On väga tähtis teha varukoopiaid oma andmebaasidest. Selleks kirjuta:<br />
<pre>mysqldump -h localhost -u root -p'sinu salasõna' 'andmebaasinimi' > 'failinimi'.sql</pre><br />
<br />
Andmebaasi taastamiseks failist kirjuta:<br />
<pre>mysql -h localhost -u root -p'sinu salasõna' 'andmebaasinimi' < 'failinimi'.sql</pre><br />
Enne taastamist on soovitatav testida varukoopia korrektsust test serveril.<br />
<br />
==MySQL parooli reset==<br />
Kui unustasid MySQLi administraatori parooli<br />
1.SeiskaMySQL Server.<br />
<br />
<pre> sudo /etc/init.d/mysql stop </pre><br />
<br />
2.Käita MySQL võtmega '--skip-grant-tables', siis pannakse MySQL käima ilma õigustesüsteemita!<br />
<br />
<pre>sudo mysqld --skip-grant-tables & </pre><br />
<br />
3.Sisene root kasutajana.<br />
<br />
<pre>mysql -u root mysql </pre><br />
<br />
4.Asenda YOURNEWPASSWORD soovitava parooliga, muud muuta pole vaja!<br />
MySQL promti sisesta järgmised käsud:<br />
<br />
<pre>UPDATE user SET Password=PASSWORD('YOURNEWPASSWORD') WHERE User='root'; </pre><br />
<br />
<pre>FLUSH PRIVILEGES; </pre><br />
<br />
<pre>exit; </pre><br />
<br />
<br />
== Autor ==<br />
Sandra Netšajeva <br>A21<br />
<br />
==Kasulikud viited==<br />
http://www.howtogeek.com/tag/linux/#mysql<br /><br />
http://www.yolinux.com/TUTORIALS/LinuxTutorialMySQL.html<br />
<br />
==Allikad==<br />
http://en.wikipedia.org/wiki/Mysql<br /><br />
http://dev.mysql.com/<br />
[[Category:Operatsioonisüsteemide administreerimine ja sidumine]]</div>Sbarolhttps://wiki.itcollege.ee/index.php?title=MySQL&diff=11459MySQL2010-06-11T08:50:39Z<p>Sbarol: /* Liigipääs MySQL andmebaasi (teine variant) */</p>
<hr />
<div>'''MySQL''' on relatsiooniline andmebaasi haldamise süsteem. Ametlikult hääldakse "mai-es-kju-el". MySQL omanikuks ja sponsoriks on Rootsi firma MySQL AB, mille praegune omanik on Sun Microsystems.<br />
<br />
== Platvormid ja kasutajaliidesed ==<br />
MySQL toetab mitmeid platvorme, mille hulgas on AIX, BSDi, FreeBSD, HP-UX, i5/OS, Linux, Mac OS X, NetBSD, Novell NetWare, OpenBSD, OpenSolaris, eComStation, OS/2 Warp, QNX, IRIX, Solaris, Symbian, SunOS, SCO OpenServer, SCO UnixWare, Sanos, Tru64 ja Microsoft Windows. Eksisteerib ka MySQL'i port OpenVMS'ile.<br />
<br />
MySQL'i kood kasutab C ja C++ programmeerimiskeelt. <br />
<br />
Kõik peamised programmeerimiskeeled sisaldavad teeke MySQL andmebaasidele ligipääsemiseks.<br />
<br />
== MySQL installeerimine ja konfigureerimine (Ubuntu-server 9.10)==<br />
<br />
Logi sisse juurkasutaja õigustega:<br />
<pre>sudo -i</pre><br />
<br />
===Installeerimine===<br />
<br />
<pre>apt-get install mysql-server mysql-client</pre><br />
Võimaldab korraga installeerida kõik vajalikud paketid.<br />
<br />
===Konfigureerimine===<br />
<br />
Redigeeri MySQL'i konfiguratsiooni faili:<br />
<pre>nano /etc/mysql/my.cnf</pre><br />
Leia "bind-address = 127.0.0.1" rida ja kommenteeri see välja. Nüüd pääsevad kõik hostid baasile ligi.<br />
<br />
Tee restart:<br />
<pre>/etc/init.d/mysql restart</pre><br />
<br />
Kontrolli pordi "kuulamist" ''netstat'' käsu abil:<br />
<pre>netstat -tap</pre><br />
ja leia sarnane rida: ''tcp 0 0 *:mysql *:* LISTEN 3306/mysqld''<br />
<br />
See tähendab, et MySQL kuulab porti 3306 (seda saab muuta konfiguratsiooni failis /etc/mysql/my.cnf).<br />
<br />
Sea uus salasõna:<br />
<pre>mysqladmin -u root password 'salasõna'</pre><br />
<br />
Ja tee restart veel üks kord:<br />
<pre>/etc/init.d/mysql restart</pre><br />
<br />
Uue andmebaasi loomiseks kirjuta:<br />
<pre>mysqladmin create 'andmebaasinimi'</pre><br />
<br />
==Liigipääs MySQL andmebaasi (teine variant)==<br />
<br />
MySQL omab oma käsurea interpretaatori (command line interpreter e CLI). Liigipääsu MySQL CLI saab kasutades mysql korraldust koos võtmetega -u ja -p. Siin kasutaja root saab liigipääsu:<br />
<pre><br />
[root@xxxxxx tmp]# mysql -u root -p<br />
Enter password:<br />
Welcome to the MySQL monitor. Commands end with ; or \g.<br />
Your MySQL connection id is 14 to server version: 3.23.58<br />
<br />
Type 'help;' or '\h' for help. Type '\c' to clear the buffer.<br />
<br />
mysql><br />
</pre><br />
<br />
===Loome ja Kustutame MySQL andmebaasi===<br />
<br />
Luua andmebaasi saab korraldusega:<br />
<pre><br />
mysql> create database 'andmebaasinimi';<br />
Query OK, 1 row affected (0.00 sec)<br />
<br />
mysql><br />
</pre><br />
<br />
Kui on vaja niiöelda "droppida" andmebaasi siis kasuta korraldust:<br />
<pre><br />
mysql> drop database 'andmebaasinimi';<br />
Query OK, 0 rows affected (0.00 sec)<br />
<br />
mysql><br />
</pre><br />
<br />
==Varukoopia salvestamine ja taastamine==<br />
On väga tähtis teha varukoopiaid oma andmebaasidest. Selleks kirjuta:<br />
<pre>mysqldump -h localhost -u root -p'sinu salasõna' 'andmebaasinimi' > 'failinimi'.sql</pre><br />
<br />
Andmebaasi taastamiseks failist kirjuta:<br />
<pre>mysql -h localhost -u root -p'sinu salasõna' 'andmebaasinimi' < 'failinimi'.sql</pre><br />
Enne taastamist on soovitatav testida varukoopia korrektsust test serveril.<br />
<br />
== Autor ==<br />
Sandra Netšajeva <br>A21<br />
<br />
==Kasulikud viited==<br />
http://www.howtogeek.com/tag/linux/#mysql<br /><br />
http://www.yolinux.com/TUTORIALS/LinuxTutorialMySQL.html<br />
<br />
==Allikad==<br />
http://en.wikipedia.org/wiki/Mysql<br /><br />
http://dev.mysql.com/<br />
[[Category:Operatsioonisüsteemide administreerimine ja sidumine]]</div>Sbarolhttps://wiki.itcollege.ee/index.php?title=MySQL&diff=11457MySQL2010-06-11T08:49:47Z<p>Sbarol: /* Loome ja Kustutame MySQL andmebaasi */</p>
<hr />
<div>'''MySQL''' on relatsiooniline andmebaasi haldamise süsteem. Ametlikult hääldakse "mai-es-kju-el". MySQL omanikuks ja sponsoriks on Rootsi firma MySQL AB, mille praegune omanik on Sun Microsystems.<br />
<br />
== Platvormid ja kasutajaliidesed ==<br />
MySQL toetab mitmeid platvorme, mille hulgas on AIX, BSDi, FreeBSD, HP-UX, i5/OS, Linux, Mac OS X, NetBSD, Novell NetWare, OpenBSD, OpenSolaris, eComStation, OS/2 Warp, QNX, IRIX, Solaris, Symbian, SunOS, SCO OpenServer, SCO UnixWare, Sanos, Tru64 ja Microsoft Windows. Eksisteerib ka MySQL'i port OpenVMS'ile.<br />
<br />
MySQL'i kood kasutab C ja C++ programmeerimiskeelt. <br />
<br />
Kõik peamised programmeerimiskeeled sisaldavad teeke MySQL andmebaasidele ligipääsemiseks.<br />
<br />
== MySQL installeerimine ja konfigureerimine (Ubuntu-server 9.10)==<br />
<br />
Logi sisse juurkasutaja õigustega:<br />
<pre>sudo -i</pre><br />
<br />
===Installeerimine===<br />
<br />
<pre>apt-get install mysql-server mysql-client</pre><br />
Võimaldab korraga installeerida kõik vajalikud paketid.<br />
<br />
===Konfigureerimine===<br />
<br />
Redigeeri MySQL'i konfiguratsiooni faili:<br />
<pre>nano /etc/mysql/my.cnf</pre><br />
Leia "bind-address = 127.0.0.1" rida ja kommenteeri see välja. Nüüd pääsevad kõik hostid baasile ligi.<br />
<br />
Tee restart:<br />
<pre>/etc/init.d/mysql restart</pre><br />
<br />
Kontrolli pordi "kuulamist" ''netstat'' käsu abil:<br />
<pre>netstat -tap</pre><br />
ja leia sarnane rida: ''tcp 0 0 *:mysql *:* LISTEN 3306/mysqld''<br />
<br />
See tähendab, et MySQL kuulab porti 3306 (seda saab muuta konfiguratsiooni failis /etc/mysql/my.cnf).<br />
<br />
Sea uus salasõna:<br />
<pre>mysqladmin -u root password 'salasõna'</pre><br />
<br />
Ja tee restart veel üks kord:<br />
<pre>/etc/init.d/mysql restart</pre><br />
<br />
Uue andmebaasi loomiseks kirjuta:<br />
<pre>mysqladmin create 'andmebaasinimi'</pre><br />
<br />
==Liigipääs MySQL andmebaasi (teine variant)==<br />
<br />
MySQL omab oma käsurea interpretaatori (command line interpreter e CLI). Liigipääsu MySQL CLI saab kasutades mysql korraldust koos võtmetega -u ja -p. Siin kasutaja root saab liigipääsu:<br />
<pre><br />
[root@xxxxxx tmp]# mysql -u root -p<br />
Enter password:<br />
Welcome to the MySQL monitor. Commands end with ; or \g.<br />
Your MySQL connection id is 14 to server version: 3.23.58<br />
<br />
Type 'help;' or '\h' for help. Type '\c' to clear the buffer.<br />
<br />
mysql><br />
</pre><br />
<br />
===Loome ja Kustutame MySQL andmebaasi===<br />
<br />
Luua andmebaasi nimega 'salesdata' saab korraldusega:<br />
<pre><br />
mysql> create database salesdata;<br />
Query OK, 1 row affected (0.00 sec)<br />
<br />
mysql><br />
</pre><br />
<br />
Kui on vaja niiöelda "droppida" andmebaasi siis kasuta korraldust:<br />
<pre><br />
mysql> drop database salesdata;<br />
Query OK, 0 rows affected (0.00 sec)<br />
<br />
mysql><br />
</pre><br />
<br />
==Varukoopia salvestamine ja taastamine==<br />
On väga tähtis teha varukoopiaid oma andmebaasidest. Selleks kirjuta:<br />
<pre>mysqldump -h localhost -u root -p'sinu salasõna' 'andmebaasinimi' > 'failinimi'.sql</pre><br />
<br />
Andmebaasi taastamiseks failist kirjuta:<br />
<pre>mysql -h localhost -u root -p'sinu salasõna' 'andmebaasinimi' < 'failinimi'.sql</pre><br />
Enne taastamist on soovitatav testida varukoopia korrektsust test serveril.<br />
<br />
== Autor ==<br />
Sandra Netšajeva <br>A21<br />
<br />
==Kasulikud viited==<br />
http://www.howtogeek.com/tag/linux/#mysql<br /><br />
http://www.yolinux.com/TUTORIALS/LinuxTutorialMySQL.html<br />
<br />
==Allikad==<br />
http://en.wikipedia.org/wiki/Mysql<br /><br />
http://dev.mysql.com/<br />
[[Category:Operatsioonisüsteemide administreerimine ja sidumine]]</div>Sbarolhttps://wiki.itcollege.ee/index.php?title=MySQL&diff=11454MySQL2010-06-11T08:48:36Z<p>Sbarol: /* Liigipääs MySQL andmebaasi */</p>
<hr />
<div>'''MySQL''' on relatsiooniline andmebaasi haldamise süsteem. Ametlikult hääldakse "mai-es-kju-el". MySQL omanikuks ja sponsoriks on Rootsi firma MySQL AB, mille praegune omanik on Sun Microsystems.<br />
<br />
== Platvormid ja kasutajaliidesed ==<br />
MySQL toetab mitmeid platvorme, mille hulgas on AIX, BSDi, FreeBSD, HP-UX, i5/OS, Linux, Mac OS X, NetBSD, Novell NetWare, OpenBSD, OpenSolaris, eComStation, OS/2 Warp, QNX, IRIX, Solaris, Symbian, SunOS, SCO OpenServer, SCO UnixWare, Sanos, Tru64 ja Microsoft Windows. Eksisteerib ka MySQL'i port OpenVMS'ile.<br />
<br />
MySQL'i kood kasutab C ja C++ programmeerimiskeelt. <br />
<br />
Kõik peamised programmeerimiskeeled sisaldavad teeke MySQL andmebaasidele ligipääsemiseks.<br />
<br />
== MySQL installeerimine ja konfigureerimine (Ubuntu-server 9.10)==<br />
<br />
Logi sisse juurkasutaja õigustega:<br />
<pre>sudo -i</pre><br />
<br />
===Installeerimine===<br />
<br />
<pre>apt-get install mysql-server mysql-client</pre><br />
Võimaldab korraga installeerida kõik vajalikud paketid.<br />
<br />
===Konfigureerimine===<br />
<br />
Redigeeri MySQL'i konfiguratsiooni faili:<br />
<pre>nano /etc/mysql/my.cnf</pre><br />
Leia "bind-address = 127.0.0.1" rida ja kommenteeri see välja. Nüüd pääsevad kõik hostid baasile ligi.<br />
<br />
Tee restart:<br />
<pre>/etc/init.d/mysql restart</pre><br />
<br />
Kontrolli pordi "kuulamist" ''netstat'' käsu abil:<br />
<pre>netstat -tap</pre><br />
ja leia sarnane rida: ''tcp 0 0 *:mysql *:* LISTEN 3306/mysqld''<br />
<br />
See tähendab, et MySQL kuulab porti 3306 (seda saab muuta konfiguratsiooni failis /etc/mysql/my.cnf).<br />
<br />
Sea uus salasõna:<br />
<pre>mysqladmin -u root password 'salasõna'</pre><br />
<br />
Ja tee restart veel üks kord:<br />
<pre>/etc/init.d/mysql restart</pre><br />
<br />
Uue andmebaasi loomiseks kirjuta:<br />
<pre>mysqladmin create 'andmebaasinimi'</pre><br />
<br />
==Liigipääs MySQL andmebaasi (teine variant)==<br />
<br />
MySQL omab oma käsurea interpretaatori (command line interpreter e CLI). Liigipääsu MySQL CLI saab kasutades mysql korraldust koos võtmetega -u ja -p. Siin kasutaja root saab liigipääsu:<br />
<pre><br />
[root@xxxxxx tmp]# mysql -u root -p<br />
Enter password:<br />
Welcome to the MySQL monitor. Commands end with ; or \g.<br />
Your MySQL connection id is 14 to server version: 3.23.58<br />
<br />
Type 'help;' or '\h' for help. Type '\c' to clear the buffer.<br />
<br />
mysql><br />
</pre><br />
<br />
===Loome ja Kustutame MySQL andmebaasi===<br />
<br />
Luua andmebaasi nimega 'salesdata' saab korraldusega:<br />
<pre><br />
mysql> create database salesdata;<br />
Query OK, 1 row affected (0.00 sec)<br />
<br />
mysql><br />
</pre><br />
<br />
Kui on vaja niiöelda "droppida" andmebaasi siis kasuta korraldust:<br />
<pre><br />
mysql> drop database salesdata;<br />
Query OK, 0 rows affected (0.00 sec)<br />
<br />
mysql><br />
<br />
</pre><br />
<br />
==Varukoopia salvestamine ja taastamine==<br />
On väga tähtis teha varukoopiaid oma andmebaasidest. Selleks kirjuta:<br />
<pre>mysqldump -h localhost -u root -p'sinu salasõna' 'andmebaasinimi' > 'failinimi'.sql</pre><br />
<br />
Andmebaasi taastamiseks failist kirjuta:<br />
<pre>mysql -h localhost -u root -p'sinu salasõna' 'andmebaasinimi' < 'failinimi'.sql</pre><br />
Enne taastamist on soovitatav testida varukoopia korrektsust test serveril.<br />
<br />
== Autor ==<br />
Sandra Netšajeva <br>A21<br />
<br />
==Kasulikud viited==<br />
http://www.howtogeek.com/tag/linux/#mysql<br /><br />
http://www.yolinux.com/TUTORIALS/LinuxTutorialMySQL.html<br />
<br />
==Allikad==<br />
http://en.wikipedia.org/wiki/Mysql<br /><br />
http://dev.mysql.com/<br />
[[Category:Operatsioonisüsteemide administreerimine ja sidumine]]</div>Sbarolhttps://wiki.itcollege.ee/index.php?title=MySQL&diff=11452MySQL2010-06-11T08:48:03Z<p>Sbarol: /* Loome ja Kustutame MySQL andmebaasi */</p>
<hr />
<div>'''MySQL''' on relatsiooniline andmebaasi haldamise süsteem. Ametlikult hääldakse "mai-es-kju-el". MySQL omanikuks ja sponsoriks on Rootsi firma MySQL AB, mille praegune omanik on Sun Microsystems.<br />
<br />
== Platvormid ja kasutajaliidesed ==<br />
MySQL toetab mitmeid platvorme, mille hulgas on AIX, BSDi, FreeBSD, HP-UX, i5/OS, Linux, Mac OS X, NetBSD, Novell NetWare, OpenBSD, OpenSolaris, eComStation, OS/2 Warp, QNX, IRIX, Solaris, Symbian, SunOS, SCO OpenServer, SCO UnixWare, Sanos, Tru64 ja Microsoft Windows. Eksisteerib ka MySQL'i port OpenVMS'ile.<br />
<br />
MySQL'i kood kasutab C ja C++ programmeerimiskeelt. <br />
<br />
Kõik peamised programmeerimiskeeled sisaldavad teeke MySQL andmebaasidele ligipääsemiseks.<br />
<br />
== MySQL installeerimine ja konfigureerimine (Ubuntu-server 9.10)==<br />
<br />
Logi sisse juurkasutaja õigustega:<br />
<pre>sudo -i</pre><br />
<br />
===Installeerimine===<br />
<br />
<pre>apt-get install mysql-server mysql-client</pre><br />
Võimaldab korraga installeerida kõik vajalikud paketid.<br />
<br />
===Konfigureerimine===<br />
<br />
Redigeeri MySQL'i konfiguratsiooni faili:<br />
<pre>nano /etc/mysql/my.cnf</pre><br />
Leia "bind-address = 127.0.0.1" rida ja kommenteeri see välja. Nüüd pääsevad kõik hostid baasile ligi.<br />
<br />
Tee restart:<br />
<pre>/etc/init.d/mysql restart</pre><br />
<br />
Kontrolli pordi "kuulamist" ''netstat'' käsu abil:<br />
<pre>netstat -tap</pre><br />
ja leia sarnane rida: ''tcp 0 0 *:mysql *:* LISTEN 3306/mysqld''<br />
<br />
See tähendab, et MySQL kuulab porti 3306 (seda saab muuta konfiguratsiooni failis /etc/mysql/my.cnf).<br />
<br />
Sea uus salasõna:<br />
<pre>mysqladmin -u root password 'salasõna'</pre><br />
<br />
Ja tee restart veel üks kord:<br />
<pre>/etc/init.d/mysql restart</pre><br />
<br />
Uue andmebaasi loomiseks kirjuta:<br />
<pre>mysqladmin create 'andmebaasinimi'</pre><br />
<br />
==Liigipääs MySQL andmebaasi==<br />
<br />
MySQL omab oma käsurea interpretaatori (command line interpreter e CLI). Liigipääsu MySQL CLI saab kasutades mysql korraldust koos võtmetega -u ja -p. Siin kasutaja root saab liigipääsu:<br />
<pre><br />
[root@xxxxxx tmp]# mysql -u root -p<br />
Enter password:<br />
Welcome to the MySQL monitor. Commands end with ; or \g.<br />
Your MySQL connection id is 14 to server version: 3.23.58<br />
<br />
Type 'help;' or '\h' for help. Type '\c' to clear the buffer.<br />
<br />
mysql><br />
</pre><br />
<br />
===Loome ja Kustutame MySQL andmebaasi===<br />
<br />
Luua andmebaasi nimega 'salesdata' saab korraldusega:<br />
<pre><br />
mysql> create database salesdata;<br />
Query OK, 1 row affected (0.00 sec)<br />
<br />
mysql><br />
</pre><br />
<br />
Kui on vaja niiöelda "droppida" andmebaasi siis kasuta korraldust:<br />
<pre><br />
mysql> drop database salesdata;<br />
Query OK, 0 rows affected (0.00 sec)<br />
<br />
mysql><br />
<br />
</pre><br />
<br />
==Varukoopia salvestamine ja taastamine==<br />
On väga tähtis teha varukoopiaid oma andmebaasidest. Selleks kirjuta:<br />
<pre>mysqldump -h localhost -u root -p'sinu salasõna' 'andmebaasinimi' > 'failinimi'.sql</pre><br />
<br />
Andmebaasi taastamiseks failist kirjuta:<br />
<pre>mysql -h localhost -u root -p'sinu salasõna' 'andmebaasinimi' < 'failinimi'.sql</pre><br />
Enne taastamist on soovitatav testida varukoopia korrektsust test serveril.<br />
<br />
== Autor ==<br />
Sandra Netšajeva <br>A21<br />
<br />
==Kasulikud viited==<br />
http://www.howtogeek.com/tag/linux/#mysql<br /><br />
http://www.yolinux.com/TUTORIALS/LinuxTutorialMySQL.html<br />
<br />
==Allikad==<br />
http://en.wikipedia.org/wiki/Mysql<br /><br />
http://dev.mysql.com/<br />
[[Category:Operatsioonisüsteemide administreerimine ja sidumine]]</div>Sbarolhttps://wiki.itcollege.ee/index.php?title=MySQL&diff=11447MySQL2010-06-11T08:44:50Z<p>Sbarol: /* Loome ja Kustutame MySQL andmebaasi */</p>
<hr />
<div>'''MySQL''' on relatsiooniline andmebaasi haldamise süsteem. Ametlikult hääldakse "mai-es-kju-el". MySQL omanikuks ja sponsoriks on Rootsi firma MySQL AB, mille praegune omanik on Sun Microsystems.<br />
<br />
== Platvormid ja kasutajaliidesed ==<br />
MySQL toetab mitmeid platvorme, mille hulgas on AIX, BSDi, FreeBSD, HP-UX, i5/OS, Linux, Mac OS X, NetBSD, Novell NetWare, OpenBSD, OpenSolaris, eComStation, OS/2 Warp, QNX, IRIX, Solaris, Symbian, SunOS, SCO OpenServer, SCO UnixWare, Sanos, Tru64 ja Microsoft Windows. Eksisteerib ka MySQL'i port OpenVMS'ile.<br />
<br />
MySQL'i kood kasutab C ja C++ programmeerimiskeelt. <br />
<br />
Kõik peamised programmeerimiskeeled sisaldavad teeke MySQL andmebaasidele ligipääsemiseks.<br />
<br />
== MySQL installeerimine ja konfigureerimine (Ubuntu-server 9.10)==<br />
<br />
Logi sisse juurkasutaja õigustega:<br />
<pre>sudo -i</pre><br />
<br />
===Installeerimine===<br />
<br />
<pre>apt-get install mysql-server mysql-client</pre><br />
Võimaldab korraga installeerida kõik vajalikud paketid.<br />
<br />
===Konfigureerimine===<br />
<br />
Redigeeri MySQL'i konfiguratsiooni faili:<br />
<pre>nano /etc/mysql/my.cnf</pre><br />
Leia "bind-address = 127.0.0.1" rida ja kommenteeri see välja. Nüüd pääsevad kõik hostid baasile ligi.<br />
<br />
Tee restart:<br />
<pre>/etc/init.d/mysql restart</pre><br />
<br />
Kontrolli pordi "kuulamist" ''netstat'' käsu abil:<br />
<pre>netstat -tap</pre><br />
ja leia sarnane rida: ''tcp 0 0 *:mysql *:* LISTEN 3306/mysqld''<br />
<br />
See tähendab, et MySQL kuulab porti 3306 (seda saab muuta konfiguratsiooni failis /etc/mysql/my.cnf).<br />
<br />
Sea uus salasõna:<br />
<pre>mysqladmin -u root password 'salasõna'</pre><br />
<br />
Ja tee restart veel üks kord:<br />
<pre>/etc/init.d/mysql restart</pre><br />
<br />
Uue andmebaasi loomiseks kirjuta:<br />
<pre>mysqladmin create 'andmebaasinimi'</pre><br />
<br />
==Liigipääs MySQL andmebaasi==<br />
<br />
MySQL omab oma käsurea interpretaatori (command line interpreter e CLI). Liigipääsu MySQL CLI saab kasutades mysql korraldust koos võtmetega -u ja -p. Siin kasutaja root saab liigipääsu:<br />
<pre><br />
[root@xxxxxx tmp]# mysql -u root -p<br />
Enter password:<br />
Welcome to the MySQL monitor. Commands end with ; or \g.<br />
Your MySQL connection id is 14 to server version: 3.23.58<br />
<br />
Type 'help;' or '\h' for help. Type '\c' to clear the buffer.<br />
<br />
mysql><br />
</pre><br />
<br />
===Loome ja Kustutame MySQL andmebaasi===<br />
<br />
Luua andmebaasi nimega 'salesdata' saab korraldusega:<br />
<pre><br />
mysql> create database salesdata;<br />
Query OK, 1 row affected (0.00 sec)<br />
<br />
mysql><br />
</pre><br />
<br />
==Varukoopia salvestamine ja taastamine==<br />
On väga tähtis teha varukoopiaid oma andmebaasidest. Selleks kirjuta:<br />
<pre>mysqldump -h localhost -u root -p'sinu salasõna' 'andmebaasinimi' > 'failinimi'.sql</pre><br />
<br />
Andmebaasi taastamiseks failist kirjuta:<br />
<pre>mysql -h localhost -u root -p'sinu salasõna' 'andmebaasinimi' < 'failinimi'.sql</pre><br />
Enne taastamist on soovitatav testida varukoopia korrektsust test serveril.<br />
<br />
== Autor ==<br />
Sandra Netšajeva <br>A21<br />
<br />
==Kasulikud viited==<br />
http://www.howtogeek.com/tag/linux/#mysql<br /><br />
http://www.yolinux.com/TUTORIALS/LinuxTutorialMySQL.html<br />
<br />
==Allikad==<br />
http://en.wikipedia.org/wiki/Mysql<br /><br />
http://dev.mysql.com/<br />
[[Category:Operatsioonisüsteemide administreerimine ja sidumine]]</div>Sbarolhttps://wiki.itcollege.ee/index.php?title=MySQL&diff=11444MySQL2010-06-11T08:43:10Z<p>Sbarol: </p>
<hr />
<div>'''MySQL''' on relatsiooniline andmebaasi haldamise süsteem. Ametlikult hääldakse "mai-es-kju-el". MySQL omanikuks ja sponsoriks on Rootsi firma MySQL AB, mille praegune omanik on Sun Microsystems.<br />
<br />
== Platvormid ja kasutajaliidesed ==<br />
MySQL toetab mitmeid platvorme, mille hulgas on AIX, BSDi, FreeBSD, HP-UX, i5/OS, Linux, Mac OS X, NetBSD, Novell NetWare, OpenBSD, OpenSolaris, eComStation, OS/2 Warp, QNX, IRIX, Solaris, Symbian, SunOS, SCO OpenServer, SCO UnixWare, Sanos, Tru64 ja Microsoft Windows. Eksisteerib ka MySQL'i port OpenVMS'ile.<br />
<br />
MySQL'i kood kasutab C ja C++ programmeerimiskeelt. <br />
<br />
Kõik peamised programmeerimiskeeled sisaldavad teeke MySQL andmebaasidele ligipääsemiseks.<br />
<br />
== MySQL installeerimine ja konfigureerimine (Ubuntu-server 9.10)==<br />
<br />
Logi sisse juurkasutaja õigustega:<br />
<pre>sudo -i</pre><br />
<br />
===Installeerimine===<br />
<br />
<pre>apt-get install mysql-server mysql-client</pre><br />
Võimaldab korraga installeerida kõik vajalikud paketid.<br />
<br />
===Konfigureerimine===<br />
<br />
Redigeeri MySQL'i konfiguratsiooni faili:<br />
<pre>nano /etc/mysql/my.cnf</pre><br />
Leia "bind-address = 127.0.0.1" rida ja kommenteeri see välja. Nüüd pääsevad kõik hostid baasile ligi.<br />
<br />
Tee restart:<br />
<pre>/etc/init.d/mysql restart</pre><br />
<br />
Kontrolli pordi "kuulamist" ''netstat'' käsu abil:<br />
<pre>netstat -tap</pre><br />
ja leia sarnane rida: ''tcp 0 0 *:mysql *:* LISTEN 3306/mysqld''<br />
<br />
See tähendab, et MySQL kuulab porti 3306 (seda saab muuta konfiguratsiooni failis /etc/mysql/my.cnf).<br />
<br />
Sea uus salasõna:<br />
<pre>mysqladmin -u root password 'salasõna'</pre><br />
<br />
Ja tee restart veel üks kord:<br />
<pre>/etc/init.d/mysql restart</pre><br />
<br />
Uue andmebaasi loomiseks kirjuta:<br />
<pre>mysqladmin create 'andmebaasinimi'</pre><br />
<br />
==Liigipääs MySQL andmebaasi==<br />
<br />
MySQL omab oma käsurea interpretaatori (command line interpreter e CLI). Liigipääsu MySQL CLI saab kasutades mysql korraldust koos võtmetega -u ja -p. Siin kasutaja root saab liigipääsu:<br />
<pre><br />
[root@xxxxxx tmp]# mysql -u root -p<br />
Enter password:<br />
Welcome to the MySQL monitor. Commands end with ; or \g.<br />
Your MySQL connection id is 14 to server version: 3.23.58<br />
<br />
Type 'help;' or '\h' for help. Type '\c' to clear the buffer.<br />
<br />
mysql><br />
</pre><br />
<br />
===Loome ja Kustutame MySQL andmebaasi===<br />
<br />
<br />
==Varukoopia salvestamine ja taastamine==<br />
On väga tähtis teha varukoopiaid oma andmebaasidest. Selleks kirjuta:<br />
<pre>mysqldump -h localhost -u root -p'sinu salasõna' 'andmebaasinimi' > 'failinimi'.sql</pre><br />
<br />
Andmebaasi taastamiseks failist kirjuta:<br />
<pre>mysql -h localhost -u root -p'sinu salasõna' 'andmebaasinimi' < 'failinimi'.sql</pre><br />
Enne taastamist on soovitatav testida varukoopia korrektsust test serveril.<br />
<br />
== Autor ==<br />
Sandra Netšajeva <br>A21<br />
<br />
==Kasulikud viited==<br />
http://www.howtogeek.com/tag/linux/#mysql<br /><br />
http://www.yolinux.com/TUTORIALS/LinuxTutorialMySQL.html<br />
<br />
==Allikad==<br />
http://en.wikipedia.org/wiki/Mysql<br /><br />
http://dev.mysql.com/<br />
[[Category:Operatsioonisüsteemide administreerimine ja sidumine]]</div>Sbarolhttps://wiki.itcollege.ee/index.php?title=MySQL&diff=11441MySQL2010-06-11T08:40:58Z<p>Sbarol: /* Liigipääs MySQL andmebaasi */</p>
<hr />
<div>'''MySQL''' on relatsiooniline andmebaasi haldamise süsteem. Ametlikult hääldakse "mai-es-kju-el". MySQL omanikuks ja sponsoriks on Rootsi firma MySQL AB, mille praegune omanik on Sun Microsystems.<br />
<br />
== Platvormid ja kasutajaliidesed ==<br />
MySQL toetab mitmeid platvorme, mille hulgas on AIX, BSDi, FreeBSD, HP-UX, i5/OS, Linux, Mac OS X, NetBSD, Novell NetWare, OpenBSD, OpenSolaris, eComStation, OS/2 Warp, QNX, IRIX, Solaris, Symbian, SunOS, SCO OpenServer, SCO UnixWare, Sanos, Tru64 ja Microsoft Windows. Eksisteerib ka MySQL'i port OpenVMS'ile.<br />
<br />
MySQL'i kood kasutab C ja C++ programmeerimiskeelt. <br />
<br />
Kõik peamised programmeerimiskeeled sisaldavad teeke MySQL andmebaasidele ligipääsemiseks.<br />
<br />
== MySQL installeerimine ja konfigureerimine (Ubuntu-server 9.10)==<br />
<br />
Logi sisse juurkasutaja õigustega:<br />
<pre>sudo -i</pre><br />
<br />
===Installeerimine===<br />
<br />
<pre>apt-get install mysql-server mysql-client</pre><br />
Võimaldab korraga installeerida kõik vajalikud paketid.<br />
<br />
===Konfigureerimine===<br />
<br />
Redigeeri MySQL'i konfiguratsiooni faili:<br />
<pre>nano /etc/mysql/my.cnf</pre><br />
Leia "bind-address = 127.0.0.1" rida ja kommenteeri see välja. Nüüd pääsevad kõik hostid baasile ligi.<br />
<br />
Tee restart:<br />
<pre>/etc/init.d/mysql restart</pre><br />
<br />
Kontrolli pordi "kuulamist" ''netstat'' käsu abil:<br />
<pre>netstat -tap</pre><br />
ja leia sarnane rida: ''tcp 0 0 *:mysql *:* LISTEN 3306/mysqld''<br />
<br />
See tähendab, et MySQL kuulab porti 3306 (seda saab muuta konfiguratsiooni failis /etc/mysql/my.cnf).<br />
<br />
Sea uus salasõna:<br />
<pre>mysqladmin -u root password 'salasõna'</pre><br />
<br />
Ja tee restart veel üks kord:<br />
<pre>/etc/init.d/mysql restart</pre><br />
<br />
Uue andmebaasi loomiseks kirjuta:<br />
<pre>mysqladmin create 'andmebaasinimi'</pre><br />
<br />
==Liigipääs MySQL andmebaasi==<br />
MySQL omab oma käsurea interpretaatori (command line interpreter e CLI). Liigipääsu MySQL CLI saab kasutades mysql korraldust koos võtmetega -u ja -p. Siin kasutaja root saab liigipääsu:<br />
<pre><br />
[root@xxxxxx tmp]# mysql -u root -p<br />
Enter password:<br />
Welcome to the MySQL monitor. Commands end with ; or \g.<br />
Your MySQL connection id is 14 to server version: 3.23.58<br />
<br />
Type 'help;' or '\h' for help. Type '\c' to clear the buffer.<br />
<br />
mysql><br />
</pre><br />
<br />
==Varukoopia salvestamine ja taastamine==<br />
On väga tähtis teha varukoopiaid oma andmebaasidest. Selleks kirjuta:<br />
<pre>mysqldump -h localhost -u root -p'sinu salasõna' 'andmebaasinimi' > 'failinimi'.sql</pre><br />
<br />
Andmebaasi taastamiseks failist kirjuta:<br />
<pre>mysql -h localhost -u root -p'sinu salasõna' 'andmebaasinimi' < 'failinimi'.sql</pre><br />
Enne taastamist on soovitatav testida varukoopia korrektsust test serveril.<br />
<br />
== Autor ==<br />
Sandra Netšajeva <br>A21<br />
<br />
==Kasulikud viited==<br />
http://www.howtogeek.com/tag/linux/#mysql<br /><br />
http://www.yolinux.com/TUTORIALS/LinuxTutorialMySQL.html<br />
<br />
==Allikad==<br />
http://en.wikipedia.org/wiki/Mysql<br /><br />
http://dev.mysql.com/<br />
[[Category:Operatsioonisüsteemide administreerimine ja sidumine]]</div>Sbarolhttps://wiki.itcollege.ee/index.php?title=MySQL&diff=11440MySQL2010-06-11T08:39:39Z<p>Sbarol: </p>
<hr />
<div>'''MySQL''' on relatsiooniline andmebaasi haldamise süsteem. Ametlikult hääldakse "mai-es-kju-el". MySQL omanikuks ja sponsoriks on Rootsi firma MySQL AB, mille praegune omanik on Sun Microsystems.<br />
<br />
== Platvormid ja kasutajaliidesed ==<br />
MySQL toetab mitmeid platvorme, mille hulgas on AIX, BSDi, FreeBSD, HP-UX, i5/OS, Linux, Mac OS X, NetBSD, Novell NetWare, OpenBSD, OpenSolaris, eComStation, OS/2 Warp, QNX, IRIX, Solaris, Symbian, SunOS, SCO OpenServer, SCO UnixWare, Sanos, Tru64 ja Microsoft Windows. Eksisteerib ka MySQL'i port OpenVMS'ile.<br />
<br />
MySQL'i kood kasutab C ja C++ programmeerimiskeelt. <br />
<br />
Kõik peamised programmeerimiskeeled sisaldavad teeke MySQL andmebaasidele ligipääsemiseks.<br />
<br />
== MySQL installeerimine ja konfigureerimine (Ubuntu-server 9.10)==<br />
<br />
Logi sisse juurkasutaja õigustega:<br />
<pre>sudo -i</pre><br />
<br />
===Installeerimine===<br />
<br />
<pre>apt-get install mysql-server mysql-client</pre><br />
Võimaldab korraga installeerida kõik vajalikud paketid.<br />
<br />
===Konfigureerimine===<br />
<br />
Redigeeri MySQL'i konfiguratsiooni faili:<br />
<pre>nano /etc/mysql/my.cnf</pre><br />
Leia "bind-address = 127.0.0.1" rida ja kommenteeri see välja. Nüüd pääsevad kõik hostid baasile ligi.<br />
<br />
Tee restart:<br />
<pre>/etc/init.d/mysql restart</pre><br />
<br />
Kontrolli pordi "kuulamist" ''netstat'' käsu abil:<br />
<pre>netstat -tap</pre><br />
ja leia sarnane rida: ''tcp 0 0 *:mysql *:* LISTEN 3306/mysqld''<br />
<br />
See tähendab, et MySQL kuulab porti 3306 (seda saab muuta konfiguratsiooni failis /etc/mysql/my.cnf).<br />
<br />
Sea uus salasõna:<br />
<pre>mysqladmin -u root password 'salasõna'</pre><br />
<br />
Ja tee restart veel üks kord:<br />
<pre>/etc/init.d/mysql restart</pre><br />
<br />
Uue andmebaasi loomiseks kirjuta:<br />
<pre>mysqladmin create 'andmebaasinimi'</pre><br />
<br />
==Liigipääs MySQL andmebaasi==<br />
MySQL omab oma käsurea interpretaatori (command line interpreter e CLI). Liigipääsu MySQL CLI saab kasutades mysql korraldust koos võtmetega -u ja -p. Siin kasutaja root saab liigipääsu:<br />
<pre><br />
[root@bigboy tmp]# mysql -u root -p<br />
Enter password:<br />
Welcome to the MySQL monitor. Commands end with ; or \g.<br />
Your MySQL connection id is 14 to server version: 3.23.58<br />
<br />
Type 'help;' or '\h' for help. Type '\c' to clear the buffer.<br />
<br />
mysql><br />
</pre><br />
<br />
==Varukoopia salvestamine ja taastamine==<br />
On väga tähtis teha varukoopiaid oma andmebaasidest. Selleks kirjuta:<br />
<pre>mysqldump -h localhost -u root -p'sinu salasõna' 'andmebaasinimi' > 'failinimi'.sql</pre><br />
<br />
Andmebaasi taastamiseks failist kirjuta:<br />
<pre>mysql -h localhost -u root -p'sinu salasõna' 'andmebaasinimi' < 'failinimi'.sql</pre><br />
Enne taastamist on soovitatav testida varukoopia korrektsust test serveril.<br />
<br />
== Autor ==<br />
Sandra Netšajeva <br>A21<br />
<br />
==Kasulikud viited==<br />
http://www.howtogeek.com/tag/linux/#mysql<br /><br />
http://www.yolinux.com/TUTORIALS/LinuxTutorialMySQL.html<br />
<br />
==Allikad==<br />
http://en.wikipedia.org/wiki/Mysql<br /><br />
http://dev.mysql.com/<br />
[[Category:Operatsioonisüsteemide administreerimine ja sidumine]]</div>Sbarolhttps://wiki.itcollege.ee/index.php?title=Wifi_turve&diff=9874Wifi turve2010-05-11T18:37:57Z<p>Sbarol: /* Autor */</p>
<hr />
<div>'''WiFi''' (Wireless Fidelity) ehk raadiokohtvõrk või raadio-Ethernet. Wi-Fi on WECA (Wireless Ethernet Compatibility Alliance) poolt propageeritav kaubamärk, vastab raadiokohtvõrgu standardile IEEE 802.11 ning kujutab endast Ethernet-kohtvõrku, kus kaablid on asendatud raadiolinkidega ja kasutatakse raadio-Etherneti otsejada-versiooni (DS). WiFi on ühilduv PC-kaartidega ja WiFi logot kandvate tugijaamadega. Vahel kutsutakse raadiokohtvõrke ka "traadita Internetiks", kuid tegelikult on ikkagi tegemist traadita kohtvõrkudega, mis võivad muidugi olla ühendatud ka Internetiga. <br /><br />
<br />
==Sissejuhatus==<br />
<br />
Paljud inimesed küll kasutavad Wi-Fit kuid pole teadlikud selle erinevatest standarditest ja turvalisusega seotud probleemidest. Nii Eestis kui ka mujal maailmas on viimase kümnendi jooksul toimunud revolutsioon juhtmeta internetiühenduste valdkonnas. Kuigi alles 2001 aastal käivitus esimene avalik WiFi Leviala Eestis, on nüüdseks jõutud olukorda, kus tundub imelik, kui kohvikusse või mõnesse muusse avalikku teenust pakkuvasse asutusse minnes ei ole võimalik ligi pääseda ühessegi traadita interneti levialasse. Lisaks arvutitele on nüüdseks juba ka suuremal osal kallima hinnaklassiga mobiiltelefonidel juures võimalus ühendada ennast traadita interneti võrku. See toob endaga kaasa aga juba uusi funktsioone nagu näiteks tasuta VoIP kõned või internetiraadiod mobiiltelefonides, mis omakorda suurendavad nõudlust järjest rohkemate levialade järele. <br /><br />
Wi-Fi on tänapäeval väga tuntud ja laialdaselt levinud. Wi-Fi leviala võib leida peaaegu igas natuke suuremas kohvikus, pubis, baaris ja nüüd on võimalik seda leida ka pargis, rääkimata kodudest ja kontoritest. Võimalik, et paljud üldse ei tea, mida täpsemalt tähendab see salapärane lühend Wi-Fi, mida kõik nii uljalt kasutavad, rääkimata sellest, et nad teaksid, millised on Wi-Fi erinevad standardid ja andmeturbe protokollid. Kui minna natuke lähemalt siis minu jaoks Wi-Fi ilmumise aeg oli nagu suur revolutsioon, sest mina ei saanud aru kuidas saab kasutada Interneti ilma traadideta, istuda kodus oma läpakaga näiteks voodi peal kuulata muusikat ja surfata internetis. <br /> <br />
Ja kuna see on meie tänapäevane elu siis see on mitteturvaline ja kõik kes tahab midagi kurja teha saab seda kergesti realiseerida ja selleks, et vältida raskuseid ja ründeid Wi-Fi kaitseks tuleksid erinevad turveprotokollid, mis vastavad stardarditele. See on nagu meie elu, kõik peab olema turvaline, näiteks korterites on uksed koos lukuga ja kui mina ei taha, et keegi tuli minu juurde siis ma panen korteri luku või signalisatsiooni. <br /> <br />
Esialgu olid personaalsed võrgud täiesti kaitseta kuni võrguhaldaja ise ta kaitse alla pani. Sellest hoolimata on suur osa võrkudest siiamaani turvatud kas nõrga turvalisusega WEP algoritmiga või üldse laiali maailmale täiesti avatud. Minu kodus näiteks on üks Wi-Fi leviala, mis on turvatud WPA2 abil, aga näiteks kui vaadata milliseid levialad on meie majas veel on olemas, siis on selline pilt, et mõned on täiesti avatud igaühele, kes vähegi soovib internetti kasutada. Minu arvates see on ebamugav, üldse mitteturvaline ja mõtetus asi, kui on olemas Wi-Fi leviala, pane näiteks parooli, et see on parem kui ilma paroolideta. Selline olukord loob aga suurepärase võimaluse pahatahtlikel inimestel võrku pealt kuulata ning saada informatsiooni näiteks salajaste paroolide või muude tähtsate andmete kohta. <br /><br />
Wi-Fi on meie maailmas arenb edasi suure sammudega ja see mis meil on tänapäeval olemas ei ole piir. Kõigepealt, kuna areneb traadita andmeside siis koos sellega ilmuvad uued krüptoalgoritmid ja protokollid mis on loomulikult arenevad koos Wi-Figa. Seega on selge, et interneti tulevik kuulub WiFi-le. <br /><br />
<br />
==Kasutusala==<br />
<br />
Wi-Fi on kasutusel kodustes võrkudes, kontorites, mobiiltelefonides, videomängudes ja paljudes teistes elektroonilistes seadmetes mis vajavad mingisugust traadita võrku. Wi-Fi tehnoloogiat toetavad peaaegu kõik tänapäevased arvuti operatsioonisüsteemid, mängukonsoolid ning ka paljud printerid ja teised välisseadmed. <br /><br />
Wi-Fi eesmärk on pakkuda traadita ligipääsu digitaalsele sisule. Selle sisu alla võivad kuuluda nii rakendused, heli, visuaalne meedia, Interneti ühendus ning ka muud andmed. Wi-Fi muudab informatsioonile ligipääsu üldiselt lihtsamaks, kuna see saab eemaldada mõningad füüsilised piirangud mis on seotud kaabeldusega. Wi-Fi’ga varustatud seade nagu näiteks PC, mängukonsool, mobiiltelefon, MP3 mängija või PDA saab ühenduda Internetiga, kui see asub traadita võrgus, mis on ühendatud internetiga. <br /> <br />
Peale selle, et Wi-Fit kasutatakse kodudes ja kontorites, on see laialt kasutuses ka avalikes kohtades, kus pakutakse traadita Interneti teenust kas tasuta või siis mingi rahasumma eest. Wifi.ee andmetel on praegu Eestis kokku 1175 Wi-Fi- leviala 45 000 km2 kohta. Tartumaal asub neist 98 leviala, millest enamik asub Tartu linnas. <br /><br />
<br />
==Koduvõrgu kaitsmine==<br />
<br />
Kui sõita läbi Tallinna kesklinna Mustamäele ja tagasi, jääb marsruudile ligi 1200 WiFi leviala, paljud küll asutuste, kuid enamus siiski kodukasutajate omad. Rõõmustaval kombel on 80-90% neist kasvõi mingilgi määral kaitstud, nii et pätt, kes neid kuritarvitada püüab, riskib juba ametlikult paragrahviga, mis räägib arvutivõrgu ebaseaduslikust kasutamisest kaitsevahendi kõrvaldamise teel. <br />
Esimene ja kõige tähtsam: muuta ruuteri vaikeseadeid! Iga ruuteri kasutusjuhend koos vaikeparooliga on netist vabalt allalaaditav ning administraatori, mõnel juhul ka vaikekasutaja parooli muutmata jätmine on sama, mis lahtisele uksele veel ka võtmed ette unustada. <br /><br />
Kindlasti tuleks muuta ka SSID (Service Set Identfier ehk teenusevõrgu nimi, mille ruuter välja saadab), kasvõi selleks, et koduvõrk naabrimehe omaga vahetusse ei satuks (mõelge oma üleelamistele olukorras, kus naabrimees kasvõi kogemata teie allalaadimiskiirusest oma osa saab), aga ka sellepärast, et näiteks mõnede Linksys’i mudelite puhul piisas vähemalt mõnda aega tagasi SSID teadmisest, et selle tarkvara uuega asendada. Kui ruuteri tarkvara vähegi võimaldab (ja enamus võimaldab), tuleks SSID väljakuulutamine üldse ära keelata. Suunatud rünnaku vastu see küll ei aita, kuid keskkoolikräkker võib SSID väljanuuskimiseks kuluvat aega liiga tüütuks pidada. <br /><br />
Kui ruuteri tarkvara sellega hakkama saab, tuleks kasutada MAC-aadressi (iga võrgukaardi unikaalne identifikaator) põhist filtreerimist, omistada igale võrku kasutavale arvutile staatiline IP ja ülejäänud IP aadresside vahemikule ligipääs keelata. Jällegi – kunagi ei tea, kas kurjam viitsib MAC- ja IP aadressi võltsimisega vaeva näha. <br /><br />
Kõige tähtsam – kasutage signaali krüpteeringut, nii kanget, kui teie ruuter vähegi kannatab. 64-bitist WEP-i murrab kurikael mõned minutid, 128-bitist WEP-i kuni kaks tundi, kui parool just sõnaraamatus kirjas ei ole, WPA-d võib ta heal juhul murdma jäädagi. Toore jõuga (brute force) kuluks WPA murdmiseks päevi, selle asemel rünnatakse pigem krüpteerimisvõtme vahetushetke, mis WPA lihtsamate versioonide puhul on teinekord veerand tunniga lahtimurtav. Siiski on WPA, eriti selle kommertsversioonid tunduvalt turvalisemad kui WEP, viimane aga on kindlasti parem kui igasuguse krüpteeringu puudumine. <br /><br />
Ja veel kaks võtet koduvõrgu kaitsmiseks: ruuter tuleks püüda paigutada nii, et selle leviala ruumidest võimalikult vähe välja ulatuks, kui aga WiFi-t pikka aega ei kasutata, on targem ruuter üldse välja lülitada. <br /><br />
<br />
==WiFi-võrkude turvalisus==<br />
<br />
WiFi turvalisus on väga keeruline ja mitmetahuline teema. Selge on aga see, et võimalike probleemide ees silma kinnipigistamine olukorda ei lahenda. WiFi levib tahes-tahmata ja ükskõik kui hästi te seda ka varjestada või piiritleda ei prooviks, ikkagi levib see teie eluruumidest kaugemale. <br /><br />
Kogutud Aga kuidas on lood WiFi piiramisega andmete põhjal on 42% Tallinna WiFi-seadmetest lahtise võrguga (ilma WEP või WPA kaitseta). See ei tähenda küll päris nelja tuhandet (mitteametlikku) avalikku internetipunkti, sest selles statistikas ei kajastu MAC-aadressi kontrolliga piiratud võrgud ega keerulisemaid turvameetmeid. Ent kui vaadata, kui palju on samas tootjanimedega võrke (Linksys, Default, Wireless, WLAN), võib kahtlustada, et enamikule neist on täiesti vaba juurdepääs. <br /><br />
Enamik kontvõõrastest kasutajatest pole ju pahatahtlikud – tahavad lihtsalt netis surfata, meile lugeda, sõnumsidet kasutada. Peate ainult arvestama sellega, et võõras arvutis olevad viirused võivad ohustada teiegi arvutit ning kui netiühendus järsku väga aeglaseks jääb, võib olla süüdi teie heatahtlikkust kuritarvitav naabripoiss – kasutage alati tulemüüri, viirusetõrjet ning kahtluste korral jälgige võrguseadmest, millised MAC-aadressid on viimasel ajal teie võrguühendust tarbinud. <br /><br />
<br />
==SSID ja MAC-aadress==<br />
<br />
Igal WiFi-võrgul on oma nimi. Seda saab ise määrata. Mõistlikuks ei saa pidada ka oma aadressi kasutamist SSID-nimena – Korter 12, II korrus, Firmanimi OÜ jne. Kui tõesti tahate, et võõrad teie WiFi-võrguga liituda oskaksid, kasutage meiliaadressi või telefoninumbrit. Firmanime kasutamine hõlbustab häkkerite tööd, kodune aadress võib olla aga reklaamiks varastele – siit on vähemalt arvuti kaasa võtta. MAC-aadress on unikaalne kood, mis on igal võrgukaardil ja võrguseadmel erinev. Tüüpiliselt on see aadress kujul 00:02:3F:33:4A:89. Sellest esimesed kolm märgivad tootjafirmat (00:02:3F – Intel Corp), tagumised kolm moodustavad iga kaardi kordumatu koodi. <br /><br />
MAC-aadresside litsentseerimisega tegeleb IEEE Standards Association. MAC-aadress ehk meediumipöörduse juhtimise aadress (inglise keeles Media Access Control) on võrguseadmete unikaalne identifitseerija, mis määratakse võrgukaardile tootmise käigus. Tootja poolt määratud MAC aadress võiks olla ülemaailmselt unikaalne, kuid on siiski tarkvaraliselt muudetav enamusel 21. saj alguse võrgukaartidel. <br /><br />
<br />
==WEP, WPA, WPA2==<br />
<br />
WEP ehk Wired Equivalent Privacy on protokoll, mis loodi tegemaks standardile IEEE 802.11 vastav traadita internetiühendus sama turvaliseks kui seda on tavaline juhtme teel leviv internetiühendus. WEP kasutab krüpteerimiseks RC4 algoritmi ning tervikluse hindamiseks CRC32 kontrollsummasid. Võtme pikkuse järgi eristatakse 64, 128 ja 256 bitiseid WEP-e, mis kasutavad siis vastavalt 40, 104 ja 232 bitiseid paroole. Igale kasutaja poolt sisestatud salajasele võtmele lisatakse 24 bitine IV (Initialization Vector) vektor, mille järgi siis kokkuvõttes krüpteeritakse paketid kasutades RC4 algoritmi. Üheks suurimaks WEP turvaprobleemiks on liigselt väike erinevate võimalike IV vektorite hulk. WEP on väga lihtsalt lahti murtav, arvuti tegi seda IT Kolledzi laborites viie minuti jooksul, oli väga huvitav. <br /><br />
<br />
WPA loodigi WEP krüpteeringu asendamiseks. Eksisteerib 2 lahendust – WPA-PSK ja WPA Enterprise. WPA-PSK puhul kasutatakse kõigil WiFi klientidel sama 8-63 märgi pikkust parooli. See on turvaline ainult siis, kui valida vähemalt 33 märgi pikkune suvalistest märkidest koosnev parool. WPA Enterprise lahenduses kasutatakse RADIUS serverit, seega iga kasutaja peab WiFi võrku sisse logima oma kasutajanime ja parooliga. <br /><br />
<br />
WPA2 on WPA uuem versioon, milles on kohustuslikuks tehtud tugevama krüpteeringu kasutamine. Praegusel momendil loetakse ainukeseks lihtsasti kättesaadavaks WiFi turvalisuseks WPA2 Enterprise lahendust. WPA on andmeturbe protokoll, mis kasutab TKIP (Temporal Key Integrity Protocol) protokolli ja AES (Advanced Encryption Standard) algoritmi ning autentimiseks EAP (Extensible Authentication Protocol) protokolli. WPA on küll palju turvalisem kui WEP, kuid siiski on tänapäeval juba võimalik ka seda andmeturbe protokolli lahti murda. WPA2 on WPA edasiarendus. Praeguse seisuga on see kõige turvalisem andmeturbe protokoll, mida ei ole võimalik eriti lihtsalt lahti murda. <br /><br />
<br />
==WiFi-võrgu kaitsmine==<br />
<br />
Statistika järgi on 42% Tallinna WiFi-võrkudest kaitseta. Tegelikult päris nii vabameelne meie võrgundus siiski pole – NetStumbleri statistika ei kajasta näiteks MAC-aadressi, captive-veebiserveri või muude keerukamate võtetega piiratud võrke. Ent julgeks siiski väita, et Tallinnas on iga kolmas WiFi-võrk kõigile külastajatele avatud. <br /><br />
<br />
*Valige sobiv kaitsemeetod <br /><br />
Koduse WiFi-võrgu turvamiseks on mitu võimalust. Valikus on peamiselt 64- või 128-bitine WEP (mõnel juhul ka 256-bitine WEP), WPA-PSK ja MAC-aadresside piirang. Kõige turvalisem on WPA-PSK, kõige kesisema turvalisusega aga MAC-aadresside piirang (kuigi juurdepääs on piiratud, on ühendus siiski vabalt pealtkuulatav). Kõik peale WPA-PSK ei paku kogenud häkkerile olulist peavalu, ent peletavad kindlasti eemale soovimatud juhukülalised. Ka WPA-PSK on kindel vaid juhul, kui kasutatud parool on pikk, ei põhine sõnaraamatus leiduval sõnal ning sisaldab nii tähti, numbreid kui ka muid märke (soovitan vähemalt 12-märgilist parooli). <br /><br />
<br />
*Kontrollige turbemeetodi ühilduvust <br /><br />
Valitud turbemeetodit peavad toetama nii WiFi-seade, arvuti WiFi-kaart kui ka opsüsteem. Enamik vanematest WiFi-seadmetest ei toeta WPA-d. Ka uue soetamisel tasub selle kohta poest kindlasti eraldi küsida. Samuti võib odavamatel, väiksema jõudlusega WiFi-seadmetel esineda olulist kiiruse kadu või ajutist ühenduse katkemist tugeva võtme kasutamise korral – krüpteerimise puhul on ikkagi tegu matemaatiliselt ressursinõudliku tegevusega. Probleemide korral peate leppima nõrgema turbemeetodiga. <br /><br />
<br />
==Paragrahvid==<br />
<br />
Loomulikult on e-tiigrina tuntud Eesti Vabariigi Karistusseadustikus ka võrgupättused ära mainitud. AP-de olemasolu ja nende poolt edastatavate eetriandmete (SSID, tootjafirma, krüpteerimismeetod jms) registreerimine, entusiastide keeles wardriving otsesõnu ebaseaduslik ei ole, võrguliikluse pealtkuulamine aga juba küll. Näiteks on karistatav arvuti, arvutisüsteemi ja arvutivõrgu ebaseaduslik kasutamine koodi, salasõna või muu kaitsevahendi kõrvaldamise teel (§217) – selle paragrahvi alla võiks ilusti mahtuda näiteks MAC aadressi võltsimine ruuterisse sisenemiseks, samuti WEP ja WPA võtme lahtimurdmine. Karistatav on ka arvutivõrgu ühenduse kahjustamine (§207) ehk siis DoS rünnak või signaali segamine (jamming). Võõraste meilide ja kiirsõnumite lugemise eest ähvardab pätti sõnumisaladuse rikkumise paragrahv (§156), kui aga pealtkuulatud andmeid kasutatakse varalise kasu saamise eesmärgil (§213), võib kurikaela oodata juba kuni viieaastane puhkus ruudulise päikese paistel. Samuti ei tasu alahinnata Eesti politsei võimekust arvutikurikaelte tabamisel – arvutivõrku tungimise eest on juba kohtu ette viidud rohkem kui üks tegelane… <br /><br />
<br />
==Kokkuvõte==<br />
<br />
Kokkuvõteks võin ütelda, et kõik see on väga hea, et on olemas Wi-Fi leviala mis on turvaline ja palju teadmisi selle kohta, et saab ka teistele sellest rääkida, kõik meie maailmas areneb ja areneb, aga ei tohi unustada, et need kurikaelad ka arenevad koos sellistega krüptoalgoritmidega, nad ei maga! Kõik mida loob inimene on võimalik murta. <br /><br />
Wi-Fi populaarsus kasvab ja seda kasutab rohkem ja rohkem inimesi, siis tuleb järjest rohkem tähelepanu pöörata ka sellele, milliseid Wi-Fi standardeid ja andmeturbe protokolle erinevad seadmed kasutavad. Erinevaid standardeid on vaja teada selleks, et oleks teada millised seadmed on võimelised milliste võrkudega ühenduma. <br /><br />
Samas on sama oluline ka traadita võrkude turvalisus, et keegi pahatahtlik inimene ei pääseks ligi informatsioonile, millega ta saaks sulle ja ka teistele kahju tekitada. Keegi meist ju ei tahaks, et meie isiklikku infot kasutataks meile või kellelegi teisele halva tegemise eesmärgil. Kuna kirjutasin seda referaadi, siis arvan küll et targaks sain, leidsin ja lugesin palju materjale Wi-Fi standarditest, milleks nad üldse olulised on ja sain ette kujutada nende evolutsiooni mis on mulle, nagu tulevikkus IT inimesele väga tarvis ja huvitav. <br /><br />
<br />
==Autor==<br />
<br />
Sergei Barol A21 <br /><br />
[mailto:sbarol@itcollege.ee sbarol@itcollege.ee]<br />
<br />
==Allikad==<br />
<br />
1. http://en.wikipedia.org/wiki/IEEE_802.11 <br /><br />
2. http://www.elenor.ee/artiklid/wifi-ule-kogu-kontori/ <br /><br />
3. http://blog.izall.com/2008/04/03/ainulaadne-wifi-turvalisus/ <br /><br />
4. http://www.arvutikasutaja.ee/artikkel.php?lk=3&id=207&sid=447f621c286189c007c2ccb0e81af757 <br /><br />
5. http://www.arvutikaitse.ee/?p=189 <br /><br />
6. http://www.arvutikaitse.ee/?p=720 <br /><br />
7. http://wiki.wifi.ee/index.php?title=WiFi <br /><br />
8. http://wiki.wifi.ee/index.php?title=Esileht <br /><br />
9. http://wiki.wifi.ee/index.php?title=WPA <br /><br />
10. http://en.wikipedia.org/wiki/Wi-Fi <br /><br />
11. http://en.wikipedia.org/wiki/Wireless_security <br /><br />
12. http://www.wi-fi.org/<br />
<br />
[[Category:Traadita side alused]]</div>Sbarolhttps://wiki.itcollege.ee/index.php?title=PostgreSQL&diff=9873PostgreSQL2010-05-11T18:37:10Z<p>Sbarol: /* Omadused */</p>
<hr />
<div>[[Image:Pg_logo.png|thumb|PostgreSQL logo. Pilt võetud en.wikist [[http://en.wikipedia.org/wiki/PostgreSQL]]]]<br />
<br />
'''PostgreSQL''', tihti lihtsalt '''Postgres''', on objekt-relatsiooniline andmebaasi juhtimissüsteem.<br />
PostgreSQL on tasuta ja avatud lähtekoodiga tarkvara. Võrreldes paljude teiste avatud lähtekoodiga programmidega, ei kontrolli PostgreSQL-i mitte ükski ettevõte, vaid on globaalne kogukond arendajaid ja firmasid selle arendamiseks. <br /><br />
PostgreSQL oli üks esimesi andmebaase, mis pakkus MVCC’d (Multi-Version Concurrency Control, multiversioon-konkurentsjuhtimine on meetod ühiskasutusega andmebaaside jõudluse tõstmiseks), et võiks loobuda realukustusest ja tabelilukustusest ja loomulikult see parandab süsteemi efektiivsust andmebaasi kasutuse korral. PostgreSQL realiseerib ANSI SQL laiendatud alamklassi. Ta töötab paljudel platvormidel. PostrgeSQL AB'sis on olemas erinevad liidesed paljude erinevate programmikeelte ja AB protokollide jaoks. Näiteks: ODBC ja JDBC.<br />
<br />
==Omadused==<br />
<br />
Praegu (versioon 8.4.0), PostgreSQL's on järgmised piirangud:<br />
<br />
{| class="standard" border="1"<br />
|-<br />
|Maksimaalne andmebaasi suurus||Piiranguid ei ole<br />
|-<br />
|Maksimaalne tabeli suurus||32 Tbaiti<br />
|-<br />
|Maksimaalne kirjapaneku suurus||1,6 Tbaiti<br />
|-<br />
|Maksimaalne veergude suurus||1 Gbaiti<br />
|-<br />
|Maksimaalne kirjapanekute maht tabelis||Piiranguid ei ole<br />
|-<br />
|Maksimaalne veergude arv tabelis||250—1600, sõltuvalt veergude tüübidest<br />
|-<br />
|Maksimaalne indekstite arv tabelis||Piiranguid ei ole<br />
|}<br />
<br />
PostgreSQL'i tugevad küljed on: <br /><br />
*Toetab andmebaasi praktiliselt piiramatut suurust; <br /><br />
*Võimsad ja usaldusväärsed tehingute ja replikatsiooni mehhanismid; <br /><br />
*Pärandamine; <br /><br />
*Lihtne tugi. <br /><br />
<br />
==Usaldusväärsus==<br />
<br />
Pärast erinevaid automatiseeritud uuringuid on teada, et PostgreSQL lähtekoodis leiti 20 probleemset kohta 775000 lähtekoodi reast(keskmiselt üks viga 39 000 koodirea kohta). Võrdluseks: MySQL - 97 probleemi, üks viga 4000 koodirea kohta; FreeBSD (terve) - 306 probleemi, üks viga 4000 koodirea kohta; Linux (kernel ainult) - 950 probleemi, üks viga 10 000 koodirea kohta.<br />
<br />
== PostgreSQL installeerimine ja konfigureerimine (Ubuntu-server)==<br />
<br />
Logi sisse juurkasutaja õigustega:<br />
<pre>sudo -i</pre><br />
<br />
===Installeerimine===<br />
Tegelikult, võib paigaldada ühe käsuga:<br />
<pre>sudo apt-get install postgresql postgresql-contrib postgresql-client -y</pre><br />
Kõik, DBMS PostgreSQL paigaldatud ja töökorras. <br /><br />
<br />
===Konfigureerimine===<br />
Kuid andmebaasiga töötamiseks on tarvis teha veel mõned operatsioonid: <br /><br />
Tuleb määrata postgres root parool: <br /><br />
Nüüd on vaja saada postgres'i kasutajaks: <br /><br />
<pre>sudo su postgres</pre><br />
<br />
Käivitame terminaali meie andmebaasile: <br />
<pre>psql</pre><br />
<br />
Muudame kasutaja parooli:<br />
<pre>alter user postgres with password 'uus parool'</pre><br />
<br />
Näiteks:<br />
<pre>alter user postgres with password '&932j(_dskoGhdDG'</pre><br />
<br />
Importeerime skripti, mis sisaldab täiustatud "logeerimise" ja "monitooringu" funktsioone pgAdmin'le<br />
<pre>\i /usr/share/postgresql/8.3/contrib/adminpack.sql</pre><br />
<br />
Sulgeme terminaali ja väljume postgre sessioonist:<br />
<pre>\q <br />
exit</pre><br />
<br />
Lubame ligipääsu meie andmebaasile teistest masinatest. Selleks on meil vaja redigeerida kaks faili. <br /><br />
Fail '''/etc/postgresql/8.3/main/postgresql.conf'''. <br /><br />
Avame faili tekstiredaktoriga nano: <br /><br />
<pre>nano /etc/postgresql/8.3/main/postgresql.conf</pre><br />
Selleks otsime sektsiooni '''CONNECTIONS AND AUTHENTICATION''' ja muudame rida <br /><br />
<pre>#listen_addresses = 'localhost'</pre><br />
niimodi: <br /><br />
<pre>listen_addresses = '*'</pre><br />
<br />
Fail '''/etc/postgresql/8.3/main/pg_hba.conf'''. <br /><br />
Läheme faili lõppu ja otsime read: <br /><br />
<pre># IPv4 local connections:<br />
host all all 127.0.0.1/32 md5</pre><br />
127.0.0.1/32 see on lubatud võrgu mask, asendame vastavalt meie võrgu maskiga, näiteks: <br /><br />
<pre>host all all 192.168.1.0/24 md5</pre><br />
s.t. see võimaldab kõiki ühendusi aadressist 192.168.1.1 kuni 192.168.1.254. <br /><br />
Võime lisada konkreetse masina, kui on vaja tagada turvalisust, nt.: <br /> <br />
<pre>host all all 192.168.1.3/32 md5</pre><br />
<br />
Teeme restart: <br /><br />
<pre>/etc/init.d/postgresql-8.3 restart</pre><br />
<br />
==Varukoopia salvestamine ja taastamine==<br />
Varukoopiate tegemine on väga tähtis osa. Teeme seda, kasutades pg_dump käsu. pg_dump on PostgreSQL utiliit andmebaasi varundamiseks. Ta puistab ainult ühte andmebaasi korraga. Üldine süntaks: '''pg_dump databasename > outputfile'''. Kasutame andmebaasi nimega "payroll". <br /><br />
<pre>pg_dump payroll > payroll.dump.out</pre><br />
<br />
Taastada andmebaasi saab käsuga: <br /><br />
<pre>psql -d payroll -f payroll.dump.out</pre><br />
<br />
==Huvitavad fakte==<br />
*Skype kasutab PostgreSQL'i peamise andmebaasina. <br /><br />
*Yahoo ütleb, et ta suutis võita maailmarekordi, luues suurima ja kõige rohkem koormatud andmebaasi kogu maailmas! Eelmisel aastal saavutas andmebaasi maht 2 Petabaiti. Aga nüüd kõige huvitavam. Seda monstrit haldab modifitseeritud PostgreSQL. :) <br /><br />
<br />
==Autor==<br />
Sergei Barol A21 <br /><br />
[mailto:sbarol@itcollege.ee sbarol@itcollege.ee]<br />
<br />
==Allikad==<br />
http://www.postgresql.org/about/ <br /><br />
http://en.wikipedia.org/wiki/Postgresql <br /><br />
http://www.cyberciti.biz/tips/howto-backup-postgresql-databases.html <br /><br />
http://www.thegeekstuff.com/2009/01/how-to-backup-and-restore-postgres-database-using-pg_dump-and-psql <br /><br />
<br />
[[Category:Operatsioonisüsteemide administreerimine ja sidumine]]</div>Sbarolhttps://wiki.itcollege.ee/index.php?title=Wifi_turve&diff=9872Wifi turve2010-05-11T18:35:55Z<p>Sbarol: /* Autor */</p>
<hr />
<div>'''WiFi''' (Wireless Fidelity) ehk raadiokohtvõrk või raadio-Ethernet. Wi-Fi on WECA (Wireless Ethernet Compatibility Alliance) poolt propageeritav kaubamärk, vastab raadiokohtvõrgu standardile IEEE 802.11 ning kujutab endast Ethernet-kohtvõrku, kus kaablid on asendatud raadiolinkidega ja kasutatakse raadio-Etherneti otsejada-versiooni (DS). WiFi on ühilduv PC-kaartidega ja WiFi logot kandvate tugijaamadega. Vahel kutsutakse raadiokohtvõrke ka "traadita Internetiks", kuid tegelikult on ikkagi tegemist traadita kohtvõrkudega, mis võivad muidugi olla ühendatud ka Internetiga. <br /><br />
<br />
==Sissejuhatus==<br />
<br />
Paljud inimesed küll kasutavad Wi-Fit kuid pole teadlikud selle erinevatest standarditest ja turvalisusega seotud probleemidest. Nii Eestis kui ka mujal maailmas on viimase kümnendi jooksul toimunud revolutsioon juhtmeta internetiühenduste valdkonnas. Kuigi alles 2001 aastal käivitus esimene avalik WiFi Leviala Eestis, on nüüdseks jõutud olukorda, kus tundub imelik, kui kohvikusse või mõnesse muusse avalikku teenust pakkuvasse asutusse minnes ei ole võimalik ligi pääseda ühessegi traadita interneti levialasse. Lisaks arvutitele on nüüdseks juba ka suuremal osal kallima hinnaklassiga mobiiltelefonidel juures võimalus ühendada ennast traadita interneti võrku. See toob endaga kaasa aga juba uusi funktsioone nagu näiteks tasuta VoIP kõned või internetiraadiod mobiiltelefonides, mis omakorda suurendavad nõudlust järjest rohkemate levialade järele. <br /><br />
Wi-Fi on tänapäeval väga tuntud ja laialdaselt levinud. Wi-Fi leviala võib leida peaaegu igas natuke suuremas kohvikus, pubis, baaris ja nüüd on võimalik seda leida ka pargis, rääkimata kodudest ja kontoritest. Võimalik, et paljud üldse ei tea, mida täpsemalt tähendab see salapärane lühend Wi-Fi, mida kõik nii uljalt kasutavad, rääkimata sellest, et nad teaksid, millised on Wi-Fi erinevad standardid ja andmeturbe protokollid. Kui minna natuke lähemalt siis minu jaoks Wi-Fi ilmumise aeg oli nagu suur revolutsioon, sest mina ei saanud aru kuidas saab kasutada Interneti ilma traadideta, istuda kodus oma läpakaga näiteks voodi peal kuulata muusikat ja surfata internetis. <br /> <br />
Ja kuna see on meie tänapäevane elu siis see on mitteturvaline ja kõik kes tahab midagi kurja teha saab seda kergesti realiseerida ja selleks, et vältida raskuseid ja ründeid Wi-Fi kaitseks tuleksid erinevad turveprotokollid, mis vastavad stardarditele. See on nagu meie elu, kõik peab olema turvaline, näiteks korterites on uksed koos lukuga ja kui mina ei taha, et keegi tuli minu juurde siis ma panen korteri luku või signalisatsiooni. <br /> <br />
Esialgu olid personaalsed võrgud täiesti kaitseta kuni võrguhaldaja ise ta kaitse alla pani. Sellest hoolimata on suur osa võrkudest siiamaani turvatud kas nõrga turvalisusega WEP algoritmiga või üldse laiali maailmale täiesti avatud. Minu kodus näiteks on üks Wi-Fi leviala, mis on turvatud WPA2 abil, aga näiteks kui vaadata milliseid levialad on meie majas veel on olemas, siis on selline pilt, et mõned on täiesti avatud igaühele, kes vähegi soovib internetti kasutada. Minu arvates see on ebamugav, üldse mitteturvaline ja mõtetus asi, kui on olemas Wi-Fi leviala, pane näiteks parooli, et see on parem kui ilma paroolideta. Selline olukord loob aga suurepärase võimaluse pahatahtlikel inimestel võrku pealt kuulata ning saada informatsiooni näiteks salajaste paroolide või muude tähtsate andmete kohta. <br /><br />
Wi-Fi on meie maailmas arenb edasi suure sammudega ja see mis meil on tänapäeval olemas ei ole piir. Kõigepealt, kuna areneb traadita andmeside siis koos sellega ilmuvad uued krüptoalgoritmid ja protokollid mis on loomulikult arenevad koos Wi-Figa. Seega on selge, et interneti tulevik kuulub WiFi-le. <br /><br />
<br />
==Kasutusala==<br />
<br />
Wi-Fi on kasutusel kodustes võrkudes, kontorites, mobiiltelefonides, videomängudes ja paljudes teistes elektroonilistes seadmetes mis vajavad mingisugust traadita võrku. Wi-Fi tehnoloogiat toetavad peaaegu kõik tänapäevased arvuti operatsioonisüsteemid, mängukonsoolid ning ka paljud printerid ja teised välisseadmed. <br /><br />
Wi-Fi eesmärk on pakkuda traadita ligipääsu digitaalsele sisule. Selle sisu alla võivad kuuluda nii rakendused, heli, visuaalne meedia, Interneti ühendus ning ka muud andmed. Wi-Fi muudab informatsioonile ligipääsu üldiselt lihtsamaks, kuna see saab eemaldada mõningad füüsilised piirangud mis on seotud kaabeldusega. Wi-Fi’ga varustatud seade nagu näiteks PC, mängukonsool, mobiiltelefon, MP3 mängija või PDA saab ühenduda Internetiga, kui see asub traadita võrgus, mis on ühendatud internetiga. <br /> <br />
Peale selle, et Wi-Fit kasutatakse kodudes ja kontorites, on see laialt kasutuses ka avalikes kohtades, kus pakutakse traadita Interneti teenust kas tasuta või siis mingi rahasumma eest. Wifi.ee andmetel on praegu Eestis kokku 1175 Wi-Fi- leviala 45 000 km2 kohta. Tartumaal asub neist 98 leviala, millest enamik asub Tartu linnas. <br /><br />
<br />
==Koduvõrgu kaitsmine==<br />
<br />
Kui sõita läbi Tallinna kesklinna Mustamäele ja tagasi, jääb marsruudile ligi 1200 WiFi leviala, paljud küll asutuste, kuid enamus siiski kodukasutajate omad. Rõõmustaval kombel on 80-90% neist kasvõi mingilgi määral kaitstud, nii et pätt, kes neid kuritarvitada püüab, riskib juba ametlikult paragrahviga, mis räägib arvutivõrgu ebaseaduslikust kasutamisest kaitsevahendi kõrvaldamise teel. <br />
Esimene ja kõige tähtsam: muuta ruuteri vaikeseadeid! Iga ruuteri kasutusjuhend koos vaikeparooliga on netist vabalt allalaaditav ning administraatori, mõnel juhul ka vaikekasutaja parooli muutmata jätmine on sama, mis lahtisele uksele veel ka võtmed ette unustada. <br /><br />
Kindlasti tuleks muuta ka SSID (Service Set Identfier ehk teenusevõrgu nimi, mille ruuter välja saadab), kasvõi selleks, et koduvõrk naabrimehe omaga vahetusse ei satuks (mõelge oma üleelamistele olukorras, kus naabrimees kasvõi kogemata teie allalaadimiskiirusest oma osa saab), aga ka sellepärast, et näiteks mõnede Linksys’i mudelite puhul piisas vähemalt mõnda aega tagasi SSID teadmisest, et selle tarkvara uuega asendada. Kui ruuteri tarkvara vähegi võimaldab (ja enamus võimaldab), tuleks SSID väljakuulutamine üldse ära keelata. Suunatud rünnaku vastu see küll ei aita, kuid keskkoolikräkker võib SSID väljanuuskimiseks kuluvat aega liiga tüütuks pidada. <br /><br />
Kui ruuteri tarkvara sellega hakkama saab, tuleks kasutada MAC-aadressi (iga võrgukaardi unikaalne identifikaator) põhist filtreerimist, omistada igale võrku kasutavale arvutile staatiline IP ja ülejäänud IP aadresside vahemikule ligipääs keelata. Jällegi – kunagi ei tea, kas kurjam viitsib MAC- ja IP aadressi võltsimisega vaeva näha. <br /><br />
Kõige tähtsam – kasutage signaali krüpteeringut, nii kanget, kui teie ruuter vähegi kannatab. 64-bitist WEP-i murrab kurikael mõned minutid, 128-bitist WEP-i kuni kaks tundi, kui parool just sõnaraamatus kirjas ei ole, WPA-d võib ta heal juhul murdma jäädagi. Toore jõuga (brute force) kuluks WPA murdmiseks päevi, selle asemel rünnatakse pigem krüpteerimisvõtme vahetushetke, mis WPA lihtsamate versioonide puhul on teinekord veerand tunniga lahtimurtav. Siiski on WPA, eriti selle kommertsversioonid tunduvalt turvalisemad kui WEP, viimane aga on kindlasti parem kui igasuguse krüpteeringu puudumine. <br /><br />
Ja veel kaks võtet koduvõrgu kaitsmiseks: ruuter tuleks püüda paigutada nii, et selle leviala ruumidest võimalikult vähe välja ulatuks, kui aga WiFi-t pikka aega ei kasutata, on targem ruuter üldse välja lülitada. <br /><br />
<br />
==WiFi-võrkude turvalisus==<br />
<br />
WiFi turvalisus on väga keeruline ja mitmetahuline teema. Selge on aga see, et võimalike probleemide ees silma kinnipigistamine olukorda ei lahenda. WiFi levib tahes-tahmata ja ükskõik kui hästi te seda ka varjestada või piiritleda ei prooviks, ikkagi levib see teie eluruumidest kaugemale. <br /><br />
Kogutud Aga kuidas on lood WiFi piiramisega andmete põhjal on 42% Tallinna WiFi-seadmetest lahtise võrguga (ilma WEP või WPA kaitseta). See ei tähenda küll päris nelja tuhandet (mitteametlikku) avalikku internetipunkti, sest selles statistikas ei kajastu MAC-aadressi kontrolliga piiratud võrgud ega keerulisemaid turvameetmeid. Ent kui vaadata, kui palju on samas tootjanimedega võrke (Linksys, Default, Wireless, WLAN), võib kahtlustada, et enamikule neist on täiesti vaba juurdepääs. <br /><br />
Enamik kontvõõrastest kasutajatest pole ju pahatahtlikud – tahavad lihtsalt netis surfata, meile lugeda, sõnumsidet kasutada. Peate ainult arvestama sellega, et võõras arvutis olevad viirused võivad ohustada teiegi arvutit ning kui netiühendus järsku väga aeglaseks jääb, võib olla süüdi teie heatahtlikkust kuritarvitav naabripoiss – kasutage alati tulemüüri, viirusetõrjet ning kahtluste korral jälgige võrguseadmest, millised MAC-aadressid on viimasel ajal teie võrguühendust tarbinud. <br /><br />
<br />
==SSID ja MAC-aadress==<br />
<br />
Igal WiFi-võrgul on oma nimi. Seda saab ise määrata. Mõistlikuks ei saa pidada ka oma aadressi kasutamist SSID-nimena – Korter 12, II korrus, Firmanimi OÜ jne. Kui tõesti tahate, et võõrad teie WiFi-võrguga liituda oskaksid, kasutage meiliaadressi või telefoninumbrit. Firmanime kasutamine hõlbustab häkkerite tööd, kodune aadress võib olla aga reklaamiks varastele – siit on vähemalt arvuti kaasa võtta. MAC-aadress on unikaalne kood, mis on igal võrgukaardil ja võrguseadmel erinev. Tüüpiliselt on see aadress kujul 00:02:3F:33:4A:89. Sellest esimesed kolm märgivad tootjafirmat (00:02:3F – Intel Corp), tagumised kolm moodustavad iga kaardi kordumatu koodi. <br /><br />
MAC-aadresside litsentseerimisega tegeleb IEEE Standards Association. MAC-aadress ehk meediumipöörduse juhtimise aadress (inglise keeles Media Access Control) on võrguseadmete unikaalne identifitseerija, mis määratakse võrgukaardile tootmise käigus. Tootja poolt määratud MAC aadress võiks olla ülemaailmselt unikaalne, kuid on siiski tarkvaraliselt muudetav enamusel 21. saj alguse võrgukaartidel. <br /><br />
<br />
==WEP, WPA, WPA2==<br />
<br />
WEP ehk Wired Equivalent Privacy on protokoll, mis loodi tegemaks standardile IEEE 802.11 vastav traadita internetiühendus sama turvaliseks kui seda on tavaline juhtme teel leviv internetiühendus. WEP kasutab krüpteerimiseks RC4 algoritmi ning tervikluse hindamiseks CRC32 kontrollsummasid. Võtme pikkuse järgi eristatakse 64, 128 ja 256 bitiseid WEP-e, mis kasutavad siis vastavalt 40, 104 ja 232 bitiseid paroole. Igale kasutaja poolt sisestatud salajasele võtmele lisatakse 24 bitine IV (Initialization Vector) vektor, mille järgi siis kokkuvõttes krüpteeritakse paketid kasutades RC4 algoritmi. Üheks suurimaks WEP turvaprobleemiks on liigselt väike erinevate võimalike IV vektorite hulk. WEP on väga lihtsalt lahti murtav, arvuti tegi seda IT Kolledzi laborites viie minuti jooksul, oli väga huvitav. <br /><br />
<br />
WPA loodigi WEP krüpteeringu asendamiseks. Eksisteerib 2 lahendust – WPA-PSK ja WPA Enterprise. WPA-PSK puhul kasutatakse kõigil WiFi klientidel sama 8-63 märgi pikkust parooli. See on turvaline ainult siis, kui valida vähemalt 33 märgi pikkune suvalistest märkidest koosnev parool. WPA Enterprise lahenduses kasutatakse RADIUS serverit, seega iga kasutaja peab WiFi võrku sisse logima oma kasutajanime ja parooliga. <br /><br />
<br />
WPA2 on WPA uuem versioon, milles on kohustuslikuks tehtud tugevama krüpteeringu kasutamine. Praegusel momendil loetakse ainukeseks lihtsasti kättesaadavaks WiFi turvalisuseks WPA2 Enterprise lahendust. WPA on andmeturbe protokoll, mis kasutab TKIP (Temporal Key Integrity Protocol) protokolli ja AES (Advanced Encryption Standard) algoritmi ning autentimiseks EAP (Extensible Authentication Protocol) protokolli. WPA on küll palju turvalisem kui WEP, kuid siiski on tänapäeval juba võimalik ka seda andmeturbe protokolli lahti murda. WPA2 on WPA edasiarendus. Praeguse seisuga on see kõige turvalisem andmeturbe protokoll, mida ei ole võimalik eriti lihtsalt lahti murda. <br /><br />
<br />
==WiFi-võrgu kaitsmine==<br />
<br />
Statistika järgi on 42% Tallinna WiFi-võrkudest kaitseta. Tegelikult päris nii vabameelne meie võrgundus siiski pole – NetStumbleri statistika ei kajasta näiteks MAC-aadressi, captive-veebiserveri või muude keerukamate võtetega piiratud võrke. Ent julgeks siiski väita, et Tallinnas on iga kolmas WiFi-võrk kõigile külastajatele avatud. <br /><br />
<br />
*Valige sobiv kaitsemeetod <br /><br />
Koduse WiFi-võrgu turvamiseks on mitu võimalust. Valikus on peamiselt 64- või 128-bitine WEP (mõnel juhul ka 256-bitine WEP), WPA-PSK ja MAC-aadresside piirang. Kõige turvalisem on WPA-PSK, kõige kesisema turvalisusega aga MAC-aadresside piirang (kuigi juurdepääs on piiratud, on ühendus siiski vabalt pealtkuulatav). Kõik peale WPA-PSK ei paku kogenud häkkerile olulist peavalu, ent peletavad kindlasti eemale soovimatud juhukülalised. Ka WPA-PSK on kindel vaid juhul, kui kasutatud parool on pikk, ei põhine sõnaraamatus leiduval sõnal ning sisaldab nii tähti, numbreid kui ka muid märke (soovitan vähemalt 12-märgilist parooli). <br /><br />
<br />
*Kontrollige turbemeetodi ühilduvust <br /><br />
Valitud turbemeetodit peavad toetama nii WiFi-seade, arvuti WiFi-kaart kui ka opsüsteem. Enamik vanematest WiFi-seadmetest ei toeta WPA-d. Ka uue soetamisel tasub selle kohta poest kindlasti eraldi küsida. Samuti võib odavamatel, väiksema jõudlusega WiFi-seadmetel esineda olulist kiiruse kadu või ajutist ühenduse katkemist tugeva võtme kasutamise korral – krüpteerimise puhul on ikkagi tegu matemaatiliselt ressursinõudliku tegevusega. Probleemide korral peate leppima nõrgema turbemeetodiga. <br /><br />
<br />
==Paragrahvid==<br />
<br />
Loomulikult on e-tiigrina tuntud Eesti Vabariigi Karistusseadustikus ka võrgupättused ära mainitud. AP-de olemasolu ja nende poolt edastatavate eetriandmete (SSID, tootjafirma, krüpteerimismeetod jms) registreerimine, entusiastide keeles wardriving otsesõnu ebaseaduslik ei ole, võrguliikluse pealtkuulamine aga juba küll. Näiteks on karistatav arvuti, arvutisüsteemi ja arvutivõrgu ebaseaduslik kasutamine koodi, salasõna või muu kaitsevahendi kõrvaldamise teel (§217) – selle paragrahvi alla võiks ilusti mahtuda näiteks MAC aadressi võltsimine ruuterisse sisenemiseks, samuti WEP ja WPA võtme lahtimurdmine. Karistatav on ka arvutivõrgu ühenduse kahjustamine (§207) ehk siis DoS rünnak või signaali segamine (jamming). Võõraste meilide ja kiirsõnumite lugemise eest ähvardab pätti sõnumisaladuse rikkumise paragrahv (§156), kui aga pealtkuulatud andmeid kasutatakse varalise kasu saamise eesmärgil (§213), võib kurikaela oodata juba kuni viieaastane puhkus ruudulise päikese paistel. Samuti ei tasu alahinnata Eesti politsei võimekust arvutikurikaelte tabamisel – arvutivõrku tungimise eest on juba kohtu ette viidud rohkem kui üks tegelane… <br /><br />
<br />
==Kokkuvõte==<br />
<br />
Kokkuvõteks võin ütelda, et kõik see on väga hea, et on olemas Wi-Fi leviala mis on turvaline ja palju teadmisi selle kohta, et saab ka teistele sellest rääkida, kõik meie maailmas areneb ja areneb, aga ei tohi unustada, et need kurikaelad ka arenevad koos sellistega krüptoalgoritmidega, nad ei maga! Kõik mida loob inimene on võimalik murta. <br /><br />
Wi-Fi populaarsus kasvab ja seda kasutab rohkem ja rohkem inimesi, siis tuleb järjest rohkem tähelepanu pöörata ka sellele, milliseid Wi-Fi standardeid ja andmeturbe protokolle erinevad seadmed kasutavad. Erinevaid standardeid on vaja teada selleks, et oleks teada millised seadmed on võimelised milliste võrkudega ühenduma. <br /><br />
Samas on sama oluline ka traadita võrkude turvalisus, et keegi pahatahtlik inimene ei pääseks ligi informatsioonile, millega ta saaks sulle ja ka teistele kahju tekitada. Keegi meist ju ei tahaks, et meie isiklikku infot kasutataks meile või kellelegi teisele halva tegemise eesmärgil. Kuna kirjutasin seda referaadi, siis arvan küll et targaks sain, leidsin ja lugesin palju materjale Wi-Fi standarditest, milleks nad üldse olulised on ja sain ette kujutada nende evolutsiooni mis on mulle, nagu tulevikkus IT inimesele väga tarvis ja huvitav. <br /><br />
<br />
==Autor==<br />
<br />
Sergei Barol A21 <br /><br />
[mailto:sbarol@itcollege.ee sbarol@itcollege.ee]<br />
<br />
Versioonide ajalugu:<br />
{| class="wikitable" border="1"<br />
|-<br />
! <br />
! <br />
! <br />
|-<br />
| 1.0<br />
| <br />
| Algne versioon<br />
|-<br />
| 1.1<br />
| <br />
| <br />
|-<br />
| 1.2<br />
| <br />
| <br />
|}<br />
<br />
==Allikad==<br />
<br />
1. http://en.wikipedia.org/wiki/IEEE_802.11 <br /><br />
2. http://www.elenor.ee/artiklid/wifi-ule-kogu-kontori/ <br /><br />
3. http://blog.izall.com/2008/04/03/ainulaadne-wifi-turvalisus/ <br /><br />
4. http://www.arvutikasutaja.ee/artikkel.php?lk=3&id=207&sid=447f621c286189c007c2ccb0e81af757 <br /><br />
5. http://www.arvutikaitse.ee/?p=189 <br /><br />
6. http://www.arvutikaitse.ee/?p=720 <br /><br />
7. http://wiki.wifi.ee/index.php?title=WiFi <br /><br />
8. http://wiki.wifi.ee/index.php?title=Esileht <br /><br />
9. http://wiki.wifi.ee/index.php?title=WPA <br /><br />
10. http://en.wikipedia.org/wiki/Wi-Fi <br /><br />
11. http://en.wikipedia.org/wiki/Wireless_security <br /><br />
12. http://www.wi-fi.org/<br />
<br />
[[Category:Traadita side alused]]</div>Sbarolhttps://wiki.itcollege.ee/index.php?title=Wifi_turve&diff=9871Wifi turve2010-05-11T18:35:09Z<p>Sbarol: /* Autor */</p>
<hr />
<div>'''WiFi''' (Wireless Fidelity) ehk raadiokohtvõrk või raadio-Ethernet. Wi-Fi on WECA (Wireless Ethernet Compatibility Alliance) poolt propageeritav kaubamärk, vastab raadiokohtvõrgu standardile IEEE 802.11 ning kujutab endast Ethernet-kohtvõrku, kus kaablid on asendatud raadiolinkidega ja kasutatakse raadio-Etherneti otsejada-versiooni (DS). WiFi on ühilduv PC-kaartidega ja WiFi logot kandvate tugijaamadega. Vahel kutsutakse raadiokohtvõrke ka "traadita Internetiks", kuid tegelikult on ikkagi tegemist traadita kohtvõrkudega, mis võivad muidugi olla ühendatud ka Internetiga. <br /><br />
<br />
==Sissejuhatus==<br />
<br />
Paljud inimesed küll kasutavad Wi-Fit kuid pole teadlikud selle erinevatest standarditest ja turvalisusega seotud probleemidest. Nii Eestis kui ka mujal maailmas on viimase kümnendi jooksul toimunud revolutsioon juhtmeta internetiühenduste valdkonnas. Kuigi alles 2001 aastal käivitus esimene avalik WiFi Leviala Eestis, on nüüdseks jõutud olukorda, kus tundub imelik, kui kohvikusse või mõnesse muusse avalikku teenust pakkuvasse asutusse minnes ei ole võimalik ligi pääseda ühessegi traadita interneti levialasse. Lisaks arvutitele on nüüdseks juba ka suuremal osal kallima hinnaklassiga mobiiltelefonidel juures võimalus ühendada ennast traadita interneti võrku. See toob endaga kaasa aga juba uusi funktsioone nagu näiteks tasuta VoIP kõned või internetiraadiod mobiiltelefonides, mis omakorda suurendavad nõudlust järjest rohkemate levialade järele. <br /><br />
Wi-Fi on tänapäeval väga tuntud ja laialdaselt levinud. Wi-Fi leviala võib leida peaaegu igas natuke suuremas kohvikus, pubis, baaris ja nüüd on võimalik seda leida ka pargis, rääkimata kodudest ja kontoritest. Võimalik, et paljud üldse ei tea, mida täpsemalt tähendab see salapärane lühend Wi-Fi, mida kõik nii uljalt kasutavad, rääkimata sellest, et nad teaksid, millised on Wi-Fi erinevad standardid ja andmeturbe protokollid. Kui minna natuke lähemalt siis minu jaoks Wi-Fi ilmumise aeg oli nagu suur revolutsioon, sest mina ei saanud aru kuidas saab kasutada Interneti ilma traadideta, istuda kodus oma läpakaga näiteks voodi peal kuulata muusikat ja surfata internetis. <br /> <br />
Ja kuna see on meie tänapäevane elu siis see on mitteturvaline ja kõik kes tahab midagi kurja teha saab seda kergesti realiseerida ja selleks, et vältida raskuseid ja ründeid Wi-Fi kaitseks tuleksid erinevad turveprotokollid, mis vastavad stardarditele. See on nagu meie elu, kõik peab olema turvaline, näiteks korterites on uksed koos lukuga ja kui mina ei taha, et keegi tuli minu juurde siis ma panen korteri luku või signalisatsiooni. <br /> <br />
Esialgu olid personaalsed võrgud täiesti kaitseta kuni võrguhaldaja ise ta kaitse alla pani. Sellest hoolimata on suur osa võrkudest siiamaani turvatud kas nõrga turvalisusega WEP algoritmiga või üldse laiali maailmale täiesti avatud. Minu kodus näiteks on üks Wi-Fi leviala, mis on turvatud WPA2 abil, aga näiteks kui vaadata milliseid levialad on meie majas veel on olemas, siis on selline pilt, et mõned on täiesti avatud igaühele, kes vähegi soovib internetti kasutada. Minu arvates see on ebamugav, üldse mitteturvaline ja mõtetus asi, kui on olemas Wi-Fi leviala, pane näiteks parooli, et see on parem kui ilma paroolideta. Selline olukord loob aga suurepärase võimaluse pahatahtlikel inimestel võrku pealt kuulata ning saada informatsiooni näiteks salajaste paroolide või muude tähtsate andmete kohta. <br /><br />
Wi-Fi on meie maailmas arenb edasi suure sammudega ja see mis meil on tänapäeval olemas ei ole piir. Kõigepealt, kuna areneb traadita andmeside siis koos sellega ilmuvad uued krüptoalgoritmid ja protokollid mis on loomulikult arenevad koos Wi-Figa. Seega on selge, et interneti tulevik kuulub WiFi-le. <br /><br />
<br />
==Kasutusala==<br />
<br />
Wi-Fi on kasutusel kodustes võrkudes, kontorites, mobiiltelefonides, videomängudes ja paljudes teistes elektroonilistes seadmetes mis vajavad mingisugust traadita võrku. Wi-Fi tehnoloogiat toetavad peaaegu kõik tänapäevased arvuti operatsioonisüsteemid, mängukonsoolid ning ka paljud printerid ja teised välisseadmed. <br /><br />
Wi-Fi eesmärk on pakkuda traadita ligipääsu digitaalsele sisule. Selle sisu alla võivad kuuluda nii rakendused, heli, visuaalne meedia, Interneti ühendus ning ka muud andmed. Wi-Fi muudab informatsioonile ligipääsu üldiselt lihtsamaks, kuna see saab eemaldada mõningad füüsilised piirangud mis on seotud kaabeldusega. Wi-Fi’ga varustatud seade nagu näiteks PC, mängukonsool, mobiiltelefon, MP3 mängija või PDA saab ühenduda Internetiga, kui see asub traadita võrgus, mis on ühendatud internetiga. <br /> <br />
Peale selle, et Wi-Fit kasutatakse kodudes ja kontorites, on see laialt kasutuses ka avalikes kohtades, kus pakutakse traadita Interneti teenust kas tasuta või siis mingi rahasumma eest. Wifi.ee andmetel on praegu Eestis kokku 1175 Wi-Fi- leviala 45 000 km2 kohta. Tartumaal asub neist 98 leviala, millest enamik asub Tartu linnas. <br /><br />
<br />
==Koduvõrgu kaitsmine==<br />
<br />
Kui sõita läbi Tallinna kesklinna Mustamäele ja tagasi, jääb marsruudile ligi 1200 WiFi leviala, paljud küll asutuste, kuid enamus siiski kodukasutajate omad. Rõõmustaval kombel on 80-90% neist kasvõi mingilgi määral kaitstud, nii et pätt, kes neid kuritarvitada püüab, riskib juba ametlikult paragrahviga, mis räägib arvutivõrgu ebaseaduslikust kasutamisest kaitsevahendi kõrvaldamise teel. <br />
Esimene ja kõige tähtsam: muuta ruuteri vaikeseadeid! Iga ruuteri kasutusjuhend koos vaikeparooliga on netist vabalt allalaaditav ning administraatori, mõnel juhul ka vaikekasutaja parooli muutmata jätmine on sama, mis lahtisele uksele veel ka võtmed ette unustada. <br /><br />
Kindlasti tuleks muuta ka SSID (Service Set Identfier ehk teenusevõrgu nimi, mille ruuter välja saadab), kasvõi selleks, et koduvõrk naabrimehe omaga vahetusse ei satuks (mõelge oma üleelamistele olukorras, kus naabrimees kasvõi kogemata teie allalaadimiskiirusest oma osa saab), aga ka sellepärast, et näiteks mõnede Linksys’i mudelite puhul piisas vähemalt mõnda aega tagasi SSID teadmisest, et selle tarkvara uuega asendada. Kui ruuteri tarkvara vähegi võimaldab (ja enamus võimaldab), tuleks SSID väljakuulutamine üldse ära keelata. Suunatud rünnaku vastu see küll ei aita, kuid keskkoolikräkker võib SSID väljanuuskimiseks kuluvat aega liiga tüütuks pidada. <br /><br />
Kui ruuteri tarkvara sellega hakkama saab, tuleks kasutada MAC-aadressi (iga võrgukaardi unikaalne identifikaator) põhist filtreerimist, omistada igale võrku kasutavale arvutile staatiline IP ja ülejäänud IP aadresside vahemikule ligipääs keelata. Jällegi – kunagi ei tea, kas kurjam viitsib MAC- ja IP aadressi võltsimisega vaeva näha. <br /><br />
Kõige tähtsam – kasutage signaali krüpteeringut, nii kanget, kui teie ruuter vähegi kannatab. 64-bitist WEP-i murrab kurikael mõned minutid, 128-bitist WEP-i kuni kaks tundi, kui parool just sõnaraamatus kirjas ei ole, WPA-d võib ta heal juhul murdma jäädagi. Toore jõuga (brute force) kuluks WPA murdmiseks päevi, selle asemel rünnatakse pigem krüpteerimisvõtme vahetushetke, mis WPA lihtsamate versioonide puhul on teinekord veerand tunniga lahtimurtav. Siiski on WPA, eriti selle kommertsversioonid tunduvalt turvalisemad kui WEP, viimane aga on kindlasti parem kui igasuguse krüpteeringu puudumine. <br /><br />
Ja veel kaks võtet koduvõrgu kaitsmiseks: ruuter tuleks püüda paigutada nii, et selle leviala ruumidest võimalikult vähe välja ulatuks, kui aga WiFi-t pikka aega ei kasutata, on targem ruuter üldse välja lülitada. <br /><br />
<br />
==WiFi-võrkude turvalisus==<br />
<br />
WiFi turvalisus on väga keeruline ja mitmetahuline teema. Selge on aga see, et võimalike probleemide ees silma kinnipigistamine olukorda ei lahenda. WiFi levib tahes-tahmata ja ükskõik kui hästi te seda ka varjestada või piiritleda ei prooviks, ikkagi levib see teie eluruumidest kaugemale. <br /><br />
Kogutud Aga kuidas on lood WiFi piiramisega andmete põhjal on 42% Tallinna WiFi-seadmetest lahtise võrguga (ilma WEP või WPA kaitseta). See ei tähenda küll päris nelja tuhandet (mitteametlikku) avalikku internetipunkti, sest selles statistikas ei kajastu MAC-aadressi kontrolliga piiratud võrgud ega keerulisemaid turvameetmeid. Ent kui vaadata, kui palju on samas tootjanimedega võrke (Linksys, Default, Wireless, WLAN), võib kahtlustada, et enamikule neist on täiesti vaba juurdepääs. <br /><br />
Enamik kontvõõrastest kasutajatest pole ju pahatahtlikud – tahavad lihtsalt netis surfata, meile lugeda, sõnumsidet kasutada. Peate ainult arvestama sellega, et võõras arvutis olevad viirused võivad ohustada teiegi arvutit ning kui netiühendus järsku väga aeglaseks jääb, võib olla süüdi teie heatahtlikkust kuritarvitav naabripoiss – kasutage alati tulemüüri, viirusetõrjet ning kahtluste korral jälgige võrguseadmest, millised MAC-aadressid on viimasel ajal teie võrguühendust tarbinud. <br /><br />
<br />
==SSID ja MAC-aadress==<br />
<br />
Igal WiFi-võrgul on oma nimi. Seda saab ise määrata. Mõistlikuks ei saa pidada ka oma aadressi kasutamist SSID-nimena – Korter 12, II korrus, Firmanimi OÜ jne. Kui tõesti tahate, et võõrad teie WiFi-võrguga liituda oskaksid, kasutage meiliaadressi või telefoninumbrit. Firmanime kasutamine hõlbustab häkkerite tööd, kodune aadress võib olla aga reklaamiks varastele – siit on vähemalt arvuti kaasa võtta. MAC-aadress on unikaalne kood, mis on igal võrgukaardil ja võrguseadmel erinev. Tüüpiliselt on see aadress kujul 00:02:3F:33:4A:89. Sellest esimesed kolm märgivad tootjafirmat (00:02:3F – Intel Corp), tagumised kolm moodustavad iga kaardi kordumatu koodi. <br /><br />
MAC-aadresside litsentseerimisega tegeleb IEEE Standards Association. MAC-aadress ehk meediumipöörduse juhtimise aadress (inglise keeles Media Access Control) on võrguseadmete unikaalne identifitseerija, mis määratakse võrgukaardile tootmise käigus. Tootja poolt määratud MAC aadress võiks olla ülemaailmselt unikaalne, kuid on siiski tarkvaraliselt muudetav enamusel 21. saj alguse võrgukaartidel. <br /><br />
<br />
==WEP, WPA, WPA2==<br />
<br />
WEP ehk Wired Equivalent Privacy on protokoll, mis loodi tegemaks standardile IEEE 802.11 vastav traadita internetiühendus sama turvaliseks kui seda on tavaline juhtme teel leviv internetiühendus. WEP kasutab krüpteerimiseks RC4 algoritmi ning tervikluse hindamiseks CRC32 kontrollsummasid. Võtme pikkuse järgi eristatakse 64, 128 ja 256 bitiseid WEP-e, mis kasutavad siis vastavalt 40, 104 ja 232 bitiseid paroole. Igale kasutaja poolt sisestatud salajasele võtmele lisatakse 24 bitine IV (Initialization Vector) vektor, mille järgi siis kokkuvõttes krüpteeritakse paketid kasutades RC4 algoritmi. Üheks suurimaks WEP turvaprobleemiks on liigselt väike erinevate võimalike IV vektorite hulk. WEP on väga lihtsalt lahti murtav, arvuti tegi seda IT Kolledzi laborites viie minuti jooksul, oli väga huvitav. <br /><br />
<br />
WPA loodigi WEP krüpteeringu asendamiseks. Eksisteerib 2 lahendust – WPA-PSK ja WPA Enterprise. WPA-PSK puhul kasutatakse kõigil WiFi klientidel sama 8-63 märgi pikkust parooli. See on turvaline ainult siis, kui valida vähemalt 33 märgi pikkune suvalistest märkidest koosnev parool. WPA Enterprise lahenduses kasutatakse RADIUS serverit, seega iga kasutaja peab WiFi võrku sisse logima oma kasutajanime ja parooliga. <br /><br />
<br />
WPA2 on WPA uuem versioon, milles on kohustuslikuks tehtud tugevama krüpteeringu kasutamine. Praegusel momendil loetakse ainukeseks lihtsasti kättesaadavaks WiFi turvalisuseks WPA2 Enterprise lahendust. WPA on andmeturbe protokoll, mis kasutab TKIP (Temporal Key Integrity Protocol) protokolli ja AES (Advanced Encryption Standard) algoritmi ning autentimiseks EAP (Extensible Authentication Protocol) protokolli. WPA on küll palju turvalisem kui WEP, kuid siiski on tänapäeval juba võimalik ka seda andmeturbe protokolli lahti murda. WPA2 on WPA edasiarendus. Praeguse seisuga on see kõige turvalisem andmeturbe protokoll, mida ei ole võimalik eriti lihtsalt lahti murda. <br /><br />
<br />
==WiFi-võrgu kaitsmine==<br />
<br />
Statistika järgi on 42% Tallinna WiFi-võrkudest kaitseta. Tegelikult päris nii vabameelne meie võrgundus siiski pole – NetStumbleri statistika ei kajasta näiteks MAC-aadressi, captive-veebiserveri või muude keerukamate võtetega piiratud võrke. Ent julgeks siiski väita, et Tallinnas on iga kolmas WiFi-võrk kõigile külastajatele avatud. <br /><br />
<br />
*Valige sobiv kaitsemeetod <br /><br />
Koduse WiFi-võrgu turvamiseks on mitu võimalust. Valikus on peamiselt 64- või 128-bitine WEP (mõnel juhul ka 256-bitine WEP), WPA-PSK ja MAC-aadresside piirang. Kõige turvalisem on WPA-PSK, kõige kesisema turvalisusega aga MAC-aadresside piirang (kuigi juurdepääs on piiratud, on ühendus siiski vabalt pealtkuulatav). Kõik peale WPA-PSK ei paku kogenud häkkerile olulist peavalu, ent peletavad kindlasti eemale soovimatud juhukülalised. Ka WPA-PSK on kindel vaid juhul, kui kasutatud parool on pikk, ei põhine sõnaraamatus leiduval sõnal ning sisaldab nii tähti, numbreid kui ka muid märke (soovitan vähemalt 12-märgilist parooli). <br /><br />
<br />
*Kontrollige turbemeetodi ühilduvust <br /><br />
Valitud turbemeetodit peavad toetama nii WiFi-seade, arvuti WiFi-kaart kui ka opsüsteem. Enamik vanematest WiFi-seadmetest ei toeta WPA-d. Ka uue soetamisel tasub selle kohta poest kindlasti eraldi küsida. Samuti võib odavamatel, väiksema jõudlusega WiFi-seadmetel esineda olulist kiiruse kadu või ajutist ühenduse katkemist tugeva võtme kasutamise korral – krüpteerimise puhul on ikkagi tegu matemaatiliselt ressursinõudliku tegevusega. Probleemide korral peate leppima nõrgema turbemeetodiga. <br /><br />
<br />
==Paragrahvid==<br />
<br />
Loomulikult on e-tiigrina tuntud Eesti Vabariigi Karistusseadustikus ka võrgupättused ära mainitud. AP-de olemasolu ja nende poolt edastatavate eetriandmete (SSID, tootjafirma, krüpteerimismeetod jms) registreerimine, entusiastide keeles wardriving otsesõnu ebaseaduslik ei ole, võrguliikluse pealtkuulamine aga juba küll. Näiteks on karistatav arvuti, arvutisüsteemi ja arvutivõrgu ebaseaduslik kasutamine koodi, salasõna või muu kaitsevahendi kõrvaldamise teel (§217) – selle paragrahvi alla võiks ilusti mahtuda näiteks MAC aadressi võltsimine ruuterisse sisenemiseks, samuti WEP ja WPA võtme lahtimurdmine. Karistatav on ka arvutivõrgu ühenduse kahjustamine (§207) ehk siis DoS rünnak või signaali segamine (jamming). Võõraste meilide ja kiirsõnumite lugemise eest ähvardab pätti sõnumisaladuse rikkumise paragrahv (§156), kui aga pealtkuulatud andmeid kasutatakse varalise kasu saamise eesmärgil (§213), võib kurikaela oodata juba kuni viieaastane puhkus ruudulise päikese paistel. Samuti ei tasu alahinnata Eesti politsei võimekust arvutikurikaelte tabamisel – arvutivõrku tungimise eest on juba kohtu ette viidud rohkem kui üks tegelane… <br /><br />
<br />
==Kokkuvõte==<br />
<br />
Kokkuvõteks võin ütelda, et kõik see on väga hea, et on olemas Wi-Fi leviala mis on turvaline ja palju teadmisi selle kohta, et saab ka teistele sellest rääkida, kõik meie maailmas areneb ja areneb, aga ei tohi unustada, et need kurikaelad ka arenevad koos sellistega krüptoalgoritmidega, nad ei maga! Kõik mida loob inimene on võimalik murta. <br /><br />
Wi-Fi populaarsus kasvab ja seda kasutab rohkem ja rohkem inimesi, siis tuleb järjest rohkem tähelepanu pöörata ka sellele, milliseid Wi-Fi standardeid ja andmeturbe protokolle erinevad seadmed kasutavad. Erinevaid standardeid on vaja teada selleks, et oleks teada millised seadmed on võimelised milliste võrkudega ühenduma. <br /><br />
Samas on sama oluline ka traadita võrkude turvalisus, et keegi pahatahtlik inimene ei pääseks ligi informatsioonile, millega ta saaks sulle ja ka teistele kahju tekitada. Keegi meist ju ei tahaks, et meie isiklikku infot kasutataks meile või kellelegi teisele halva tegemise eesmärgil. Kuna kirjutasin seda referaadi, siis arvan küll et targaks sain, leidsin ja lugesin palju materjale Wi-Fi standarditest, milleks nad üldse olulised on ja sain ette kujutada nende evolutsiooni mis on mulle, nagu tulevikkus IT inimesele väga tarvis ja huvitav. <br /><br />
<br />
==Autor==<br />
<br />
Sergei Barol A21 <br /><br />
[mailto:sbarol@itcollege.ee sbarol@itcollege.ee]<br />
<br />
Versioonide ajalugu:<br />
{| class="wikitable" border="1"<br />
|-<br />
! Versioon<br />
! Kuupäev<br />
! Muudatused<br />
|-<br />
| 1.0<br />
| <br />
| Algne versioon<br />
|-<br />
| 1.1<br />
| <br />
| <br />
|-<br />
| 1.2<br />
| <br />
| <br />
|}<br />
<br />
==Allikad==<br />
<br />
1. http://en.wikipedia.org/wiki/IEEE_802.11 <br /><br />
2. http://www.elenor.ee/artiklid/wifi-ule-kogu-kontori/ <br /><br />
3. http://blog.izall.com/2008/04/03/ainulaadne-wifi-turvalisus/ <br /><br />
4. http://www.arvutikasutaja.ee/artikkel.php?lk=3&id=207&sid=447f621c286189c007c2ccb0e81af757 <br /><br />
5. http://www.arvutikaitse.ee/?p=189 <br /><br />
6. http://www.arvutikaitse.ee/?p=720 <br /><br />
7. http://wiki.wifi.ee/index.php?title=WiFi <br /><br />
8. http://wiki.wifi.ee/index.php?title=Esileht <br /><br />
9. http://wiki.wifi.ee/index.php?title=WPA <br /><br />
10. http://en.wikipedia.org/wiki/Wi-Fi <br /><br />
11. http://en.wikipedia.org/wiki/Wireless_security <br /><br />
12. http://www.wi-fi.org/<br />
<br />
[[Category:Traadita side alused]]</div>Sbarolhttps://wiki.itcollege.ee/index.php?title=Wifi_turve&diff=9870Wifi turve2010-05-11T18:34:22Z<p>Sbarol: /* Autor */</p>
<hr />
<div>'''WiFi''' (Wireless Fidelity) ehk raadiokohtvõrk või raadio-Ethernet. Wi-Fi on WECA (Wireless Ethernet Compatibility Alliance) poolt propageeritav kaubamärk, vastab raadiokohtvõrgu standardile IEEE 802.11 ning kujutab endast Ethernet-kohtvõrku, kus kaablid on asendatud raadiolinkidega ja kasutatakse raadio-Etherneti otsejada-versiooni (DS). WiFi on ühilduv PC-kaartidega ja WiFi logot kandvate tugijaamadega. Vahel kutsutakse raadiokohtvõrke ka "traadita Internetiks", kuid tegelikult on ikkagi tegemist traadita kohtvõrkudega, mis võivad muidugi olla ühendatud ka Internetiga. <br /><br />
<br />
==Sissejuhatus==<br />
<br />
Paljud inimesed küll kasutavad Wi-Fit kuid pole teadlikud selle erinevatest standarditest ja turvalisusega seotud probleemidest. Nii Eestis kui ka mujal maailmas on viimase kümnendi jooksul toimunud revolutsioon juhtmeta internetiühenduste valdkonnas. Kuigi alles 2001 aastal käivitus esimene avalik WiFi Leviala Eestis, on nüüdseks jõutud olukorda, kus tundub imelik, kui kohvikusse või mõnesse muusse avalikku teenust pakkuvasse asutusse minnes ei ole võimalik ligi pääseda ühessegi traadita interneti levialasse. Lisaks arvutitele on nüüdseks juba ka suuremal osal kallima hinnaklassiga mobiiltelefonidel juures võimalus ühendada ennast traadita interneti võrku. See toob endaga kaasa aga juba uusi funktsioone nagu näiteks tasuta VoIP kõned või internetiraadiod mobiiltelefonides, mis omakorda suurendavad nõudlust järjest rohkemate levialade järele. <br /><br />
Wi-Fi on tänapäeval väga tuntud ja laialdaselt levinud. Wi-Fi leviala võib leida peaaegu igas natuke suuremas kohvikus, pubis, baaris ja nüüd on võimalik seda leida ka pargis, rääkimata kodudest ja kontoritest. Võimalik, et paljud üldse ei tea, mida täpsemalt tähendab see salapärane lühend Wi-Fi, mida kõik nii uljalt kasutavad, rääkimata sellest, et nad teaksid, millised on Wi-Fi erinevad standardid ja andmeturbe protokollid. Kui minna natuke lähemalt siis minu jaoks Wi-Fi ilmumise aeg oli nagu suur revolutsioon, sest mina ei saanud aru kuidas saab kasutada Interneti ilma traadideta, istuda kodus oma läpakaga näiteks voodi peal kuulata muusikat ja surfata internetis. <br /> <br />
Ja kuna see on meie tänapäevane elu siis see on mitteturvaline ja kõik kes tahab midagi kurja teha saab seda kergesti realiseerida ja selleks, et vältida raskuseid ja ründeid Wi-Fi kaitseks tuleksid erinevad turveprotokollid, mis vastavad stardarditele. See on nagu meie elu, kõik peab olema turvaline, näiteks korterites on uksed koos lukuga ja kui mina ei taha, et keegi tuli minu juurde siis ma panen korteri luku või signalisatsiooni. <br /> <br />
Esialgu olid personaalsed võrgud täiesti kaitseta kuni võrguhaldaja ise ta kaitse alla pani. Sellest hoolimata on suur osa võrkudest siiamaani turvatud kas nõrga turvalisusega WEP algoritmiga või üldse laiali maailmale täiesti avatud. Minu kodus näiteks on üks Wi-Fi leviala, mis on turvatud WPA2 abil, aga näiteks kui vaadata milliseid levialad on meie majas veel on olemas, siis on selline pilt, et mõned on täiesti avatud igaühele, kes vähegi soovib internetti kasutada. Minu arvates see on ebamugav, üldse mitteturvaline ja mõtetus asi, kui on olemas Wi-Fi leviala, pane näiteks parooli, et see on parem kui ilma paroolideta. Selline olukord loob aga suurepärase võimaluse pahatahtlikel inimestel võrku pealt kuulata ning saada informatsiooni näiteks salajaste paroolide või muude tähtsate andmete kohta. <br /><br />
Wi-Fi on meie maailmas arenb edasi suure sammudega ja see mis meil on tänapäeval olemas ei ole piir. Kõigepealt, kuna areneb traadita andmeside siis koos sellega ilmuvad uued krüptoalgoritmid ja protokollid mis on loomulikult arenevad koos Wi-Figa. Seega on selge, et interneti tulevik kuulub WiFi-le. <br /><br />
<br />
==Kasutusala==<br />
<br />
Wi-Fi on kasutusel kodustes võrkudes, kontorites, mobiiltelefonides, videomängudes ja paljudes teistes elektroonilistes seadmetes mis vajavad mingisugust traadita võrku. Wi-Fi tehnoloogiat toetavad peaaegu kõik tänapäevased arvuti operatsioonisüsteemid, mängukonsoolid ning ka paljud printerid ja teised välisseadmed. <br /><br />
Wi-Fi eesmärk on pakkuda traadita ligipääsu digitaalsele sisule. Selle sisu alla võivad kuuluda nii rakendused, heli, visuaalne meedia, Interneti ühendus ning ka muud andmed. Wi-Fi muudab informatsioonile ligipääsu üldiselt lihtsamaks, kuna see saab eemaldada mõningad füüsilised piirangud mis on seotud kaabeldusega. Wi-Fi’ga varustatud seade nagu näiteks PC, mängukonsool, mobiiltelefon, MP3 mängija või PDA saab ühenduda Internetiga, kui see asub traadita võrgus, mis on ühendatud internetiga. <br /> <br />
Peale selle, et Wi-Fit kasutatakse kodudes ja kontorites, on see laialt kasutuses ka avalikes kohtades, kus pakutakse traadita Interneti teenust kas tasuta või siis mingi rahasumma eest. Wifi.ee andmetel on praegu Eestis kokku 1175 Wi-Fi- leviala 45 000 km2 kohta. Tartumaal asub neist 98 leviala, millest enamik asub Tartu linnas. <br /><br />
<br />
==Koduvõrgu kaitsmine==<br />
<br />
Kui sõita läbi Tallinna kesklinna Mustamäele ja tagasi, jääb marsruudile ligi 1200 WiFi leviala, paljud küll asutuste, kuid enamus siiski kodukasutajate omad. Rõõmustaval kombel on 80-90% neist kasvõi mingilgi määral kaitstud, nii et pätt, kes neid kuritarvitada püüab, riskib juba ametlikult paragrahviga, mis räägib arvutivõrgu ebaseaduslikust kasutamisest kaitsevahendi kõrvaldamise teel. <br />
Esimene ja kõige tähtsam: muuta ruuteri vaikeseadeid! Iga ruuteri kasutusjuhend koos vaikeparooliga on netist vabalt allalaaditav ning administraatori, mõnel juhul ka vaikekasutaja parooli muutmata jätmine on sama, mis lahtisele uksele veel ka võtmed ette unustada. <br /><br />
Kindlasti tuleks muuta ka SSID (Service Set Identfier ehk teenusevõrgu nimi, mille ruuter välja saadab), kasvõi selleks, et koduvõrk naabrimehe omaga vahetusse ei satuks (mõelge oma üleelamistele olukorras, kus naabrimees kasvõi kogemata teie allalaadimiskiirusest oma osa saab), aga ka sellepärast, et näiteks mõnede Linksys’i mudelite puhul piisas vähemalt mõnda aega tagasi SSID teadmisest, et selle tarkvara uuega asendada. Kui ruuteri tarkvara vähegi võimaldab (ja enamus võimaldab), tuleks SSID väljakuulutamine üldse ära keelata. Suunatud rünnaku vastu see küll ei aita, kuid keskkoolikräkker võib SSID väljanuuskimiseks kuluvat aega liiga tüütuks pidada. <br /><br />
Kui ruuteri tarkvara sellega hakkama saab, tuleks kasutada MAC-aadressi (iga võrgukaardi unikaalne identifikaator) põhist filtreerimist, omistada igale võrku kasutavale arvutile staatiline IP ja ülejäänud IP aadresside vahemikule ligipääs keelata. Jällegi – kunagi ei tea, kas kurjam viitsib MAC- ja IP aadressi võltsimisega vaeva näha. <br /><br />
Kõige tähtsam – kasutage signaali krüpteeringut, nii kanget, kui teie ruuter vähegi kannatab. 64-bitist WEP-i murrab kurikael mõned minutid, 128-bitist WEP-i kuni kaks tundi, kui parool just sõnaraamatus kirjas ei ole, WPA-d võib ta heal juhul murdma jäädagi. Toore jõuga (brute force) kuluks WPA murdmiseks päevi, selle asemel rünnatakse pigem krüpteerimisvõtme vahetushetke, mis WPA lihtsamate versioonide puhul on teinekord veerand tunniga lahtimurtav. Siiski on WPA, eriti selle kommertsversioonid tunduvalt turvalisemad kui WEP, viimane aga on kindlasti parem kui igasuguse krüpteeringu puudumine. <br /><br />
Ja veel kaks võtet koduvõrgu kaitsmiseks: ruuter tuleks püüda paigutada nii, et selle leviala ruumidest võimalikult vähe välja ulatuks, kui aga WiFi-t pikka aega ei kasutata, on targem ruuter üldse välja lülitada. <br /><br />
<br />
==WiFi-võrkude turvalisus==<br />
<br />
WiFi turvalisus on väga keeruline ja mitmetahuline teema. Selge on aga see, et võimalike probleemide ees silma kinnipigistamine olukorda ei lahenda. WiFi levib tahes-tahmata ja ükskõik kui hästi te seda ka varjestada või piiritleda ei prooviks, ikkagi levib see teie eluruumidest kaugemale. <br /><br />
Kogutud Aga kuidas on lood WiFi piiramisega andmete põhjal on 42% Tallinna WiFi-seadmetest lahtise võrguga (ilma WEP või WPA kaitseta). See ei tähenda küll päris nelja tuhandet (mitteametlikku) avalikku internetipunkti, sest selles statistikas ei kajastu MAC-aadressi kontrolliga piiratud võrgud ega keerulisemaid turvameetmeid. Ent kui vaadata, kui palju on samas tootjanimedega võrke (Linksys, Default, Wireless, WLAN), võib kahtlustada, et enamikule neist on täiesti vaba juurdepääs. <br /><br />
Enamik kontvõõrastest kasutajatest pole ju pahatahtlikud – tahavad lihtsalt netis surfata, meile lugeda, sõnumsidet kasutada. Peate ainult arvestama sellega, et võõras arvutis olevad viirused võivad ohustada teiegi arvutit ning kui netiühendus järsku väga aeglaseks jääb, võib olla süüdi teie heatahtlikkust kuritarvitav naabripoiss – kasutage alati tulemüüri, viirusetõrjet ning kahtluste korral jälgige võrguseadmest, millised MAC-aadressid on viimasel ajal teie võrguühendust tarbinud. <br /><br />
<br />
==SSID ja MAC-aadress==<br />
<br />
Igal WiFi-võrgul on oma nimi. Seda saab ise määrata. Mõistlikuks ei saa pidada ka oma aadressi kasutamist SSID-nimena – Korter 12, II korrus, Firmanimi OÜ jne. Kui tõesti tahate, et võõrad teie WiFi-võrguga liituda oskaksid, kasutage meiliaadressi või telefoninumbrit. Firmanime kasutamine hõlbustab häkkerite tööd, kodune aadress võib olla aga reklaamiks varastele – siit on vähemalt arvuti kaasa võtta. MAC-aadress on unikaalne kood, mis on igal võrgukaardil ja võrguseadmel erinev. Tüüpiliselt on see aadress kujul 00:02:3F:33:4A:89. Sellest esimesed kolm märgivad tootjafirmat (00:02:3F – Intel Corp), tagumised kolm moodustavad iga kaardi kordumatu koodi. <br /><br />
MAC-aadresside litsentseerimisega tegeleb IEEE Standards Association. MAC-aadress ehk meediumipöörduse juhtimise aadress (inglise keeles Media Access Control) on võrguseadmete unikaalne identifitseerija, mis määratakse võrgukaardile tootmise käigus. Tootja poolt määratud MAC aadress võiks olla ülemaailmselt unikaalne, kuid on siiski tarkvaraliselt muudetav enamusel 21. saj alguse võrgukaartidel. <br /><br />
<br />
==WEP, WPA, WPA2==<br />
<br />
WEP ehk Wired Equivalent Privacy on protokoll, mis loodi tegemaks standardile IEEE 802.11 vastav traadita internetiühendus sama turvaliseks kui seda on tavaline juhtme teel leviv internetiühendus. WEP kasutab krüpteerimiseks RC4 algoritmi ning tervikluse hindamiseks CRC32 kontrollsummasid. Võtme pikkuse järgi eristatakse 64, 128 ja 256 bitiseid WEP-e, mis kasutavad siis vastavalt 40, 104 ja 232 bitiseid paroole. Igale kasutaja poolt sisestatud salajasele võtmele lisatakse 24 bitine IV (Initialization Vector) vektor, mille järgi siis kokkuvõttes krüpteeritakse paketid kasutades RC4 algoritmi. Üheks suurimaks WEP turvaprobleemiks on liigselt väike erinevate võimalike IV vektorite hulk. WEP on väga lihtsalt lahti murtav, arvuti tegi seda IT Kolledzi laborites viie minuti jooksul, oli väga huvitav. <br /><br />
<br />
WPA loodigi WEP krüpteeringu asendamiseks. Eksisteerib 2 lahendust – WPA-PSK ja WPA Enterprise. WPA-PSK puhul kasutatakse kõigil WiFi klientidel sama 8-63 märgi pikkust parooli. See on turvaline ainult siis, kui valida vähemalt 33 märgi pikkune suvalistest märkidest koosnev parool. WPA Enterprise lahenduses kasutatakse RADIUS serverit, seega iga kasutaja peab WiFi võrku sisse logima oma kasutajanime ja parooliga. <br /><br />
<br />
WPA2 on WPA uuem versioon, milles on kohustuslikuks tehtud tugevama krüpteeringu kasutamine. Praegusel momendil loetakse ainukeseks lihtsasti kättesaadavaks WiFi turvalisuseks WPA2 Enterprise lahendust. WPA on andmeturbe protokoll, mis kasutab TKIP (Temporal Key Integrity Protocol) protokolli ja AES (Advanced Encryption Standard) algoritmi ning autentimiseks EAP (Extensible Authentication Protocol) protokolli. WPA on küll palju turvalisem kui WEP, kuid siiski on tänapäeval juba võimalik ka seda andmeturbe protokolli lahti murda. WPA2 on WPA edasiarendus. Praeguse seisuga on see kõige turvalisem andmeturbe protokoll, mida ei ole võimalik eriti lihtsalt lahti murda. <br /><br />
<br />
==WiFi-võrgu kaitsmine==<br />
<br />
Statistika järgi on 42% Tallinna WiFi-võrkudest kaitseta. Tegelikult päris nii vabameelne meie võrgundus siiski pole – NetStumbleri statistika ei kajasta näiteks MAC-aadressi, captive-veebiserveri või muude keerukamate võtetega piiratud võrke. Ent julgeks siiski väita, et Tallinnas on iga kolmas WiFi-võrk kõigile külastajatele avatud. <br /><br />
<br />
*Valige sobiv kaitsemeetod <br /><br />
Koduse WiFi-võrgu turvamiseks on mitu võimalust. Valikus on peamiselt 64- või 128-bitine WEP (mõnel juhul ka 256-bitine WEP), WPA-PSK ja MAC-aadresside piirang. Kõige turvalisem on WPA-PSK, kõige kesisema turvalisusega aga MAC-aadresside piirang (kuigi juurdepääs on piiratud, on ühendus siiski vabalt pealtkuulatav). Kõik peale WPA-PSK ei paku kogenud häkkerile olulist peavalu, ent peletavad kindlasti eemale soovimatud juhukülalised. Ka WPA-PSK on kindel vaid juhul, kui kasutatud parool on pikk, ei põhine sõnaraamatus leiduval sõnal ning sisaldab nii tähti, numbreid kui ka muid märke (soovitan vähemalt 12-märgilist parooli). <br /><br />
<br />
*Kontrollige turbemeetodi ühilduvust <br /><br />
Valitud turbemeetodit peavad toetama nii WiFi-seade, arvuti WiFi-kaart kui ka opsüsteem. Enamik vanematest WiFi-seadmetest ei toeta WPA-d. Ka uue soetamisel tasub selle kohta poest kindlasti eraldi küsida. Samuti võib odavamatel, väiksema jõudlusega WiFi-seadmetel esineda olulist kiiruse kadu või ajutist ühenduse katkemist tugeva võtme kasutamise korral – krüpteerimise puhul on ikkagi tegu matemaatiliselt ressursinõudliku tegevusega. Probleemide korral peate leppima nõrgema turbemeetodiga. <br /><br />
<br />
==Paragrahvid==<br />
<br />
Loomulikult on e-tiigrina tuntud Eesti Vabariigi Karistusseadustikus ka võrgupättused ära mainitud. AP-de olemasolu ja nende poolt edastatavate eetriandmete (SSID, tootjafirma, krüpteerimismeetod jms) registreerimine, entusiastide keeles wardriving otsesõnu ebaseaduslik ei ole, võrguliikluse pealtkuulamine aga juba küll. Näiteks on karistatav arvuti, arvutisüsteemi ja arvutivõrgu ebaseaduslik kasutamine koodi, salasõna või muu kaitsevahendi kõrvaldamise teel (§217) – selle paragrahvi alla võiks ilusti mahtuda näiteks MAC aadressi võltsimine ruuterisse sisenemiseks, samuti WEP ja WPA võtme lahtimurdmine. Karistatav on ka arvutivõrgu ühenduse kahjustamine (§207) ehk siis DoS rünnak või signaali segamine (jamming). Võõraste meilide ja kiirsõnumite lugemise eest ähvardab pätti sõnumisaladuse rikkumise paragrahv (§156), kui aga pealtkuulatud andmeid kasutatakse varalise kasu saamise eesmärgil (§213), võib kurikaela oodata juba kuni viieaastane puhkus ruudulise päikese paistel. Samuti ei tasu alahinnata Eesti politsei võimekust arvutikurikaelte tabamisel – arvutivõrku tungimise eest on juba kohtu ette viidud rohkem kui üks tegelane… <br /><br />
<br />
==Kokkuvõte==<br />
<br />
Kokkuvõteks võin ütelda, et kõik see on väga hea, et on olemas Wi-Fi leviala mis on turvaline ja palju teadmisi selle kohta, et saab ka teistele sellest rääkida, kõik meie maailmas areneb ja areneb, aga ei tohi unustada, et need kurikaelad ka arenevad koos sellistega krüptoalgoritmidega, nad ei maga! Kõik mida loob inimene on võimalik murta. <br /><br />
Wi-Fi populaarsus kasvab ja seda kasutab rohkem ja rohkem inimesi, siis tuleb järjest rohkem tähelepanu pöörata ka sellele, milliseid Wi-Fi standardeid ja andmeturbe protokolle erinevad seadmed kasutavad. Erinevaid standardeid on vaja teada selleks, et oleks teada millised seadmed on võimelised milliste võrkudega ühenduma. <br /><br />
Samas on sama oluline ka traadita võrkude turvalisus, et keegi pahatahtlik inimene ei pääseks ligi informatsioonile, millega ta saaks sulle ja ka teistele kahju tekitada. Keegi meist ju ei tahaks, et meie isiklikku infot kasutataks meile või kellelegi teisele halva tegemise eesmärgil. Kuna kirjutasin seda referaadi, siis arvan küll et targaks sain, leidsin ja lugesin palju materjale Wi-Fi standarditest, milleks nad üldse olulised on ja sain ette kujutada nende evolutsiooni mis on mulle, nagu tulevikkus IT inimesele väga tarvis ja huvitav. <br /><br />
<br />
==Autor==<br />
<br />
Sergei Barol A21 <br /><br />
[mailto:sbarol@itcollege.ee sbarol@itcollege.ee]<br />
<br />
Versioonide ajalugu:<br />
{| class="wikitable" border="1"<br />
|-<br />
|-<br />
| 1.0<br />
| <br />
| Algne versioon<br />
|-<br />
| 1.1<br />
| <br />
| <br />
|-<br />
| 1.2<br />
| <br />
| <br />
|}<br />
<br />
==Allikad==<br />
<br />
1. http://en.wikipedia.org/wiki/IEEE_802.11 <br /><br />
2. http://www.elenor.ee/artiklid/wifi-ule-kogu-kontori/ <br /><br />
3. http://blog.izall.com/2008/04/03/ainulaadne-wifi-turvalisus/ <br /><br />
4. http://www.arvutikasutaja.ee/artikkel.php?lk=3&id=207&sid=447f621c286189c007c2ccb0e81af757 <br /><br />
5. http://www.arvutikaitse.ee/?p=189 <br /><br />
6. http://www.arvutikaitse.ee/?p=720 <br /><br />
7. http://wiki.wifi.ee/index.php?title=WiFi <br /><br />
8. http://wiki.wifi.ee/index.php?title=Esileht <br /><br />
9. http://wiki.wifi.ee/index.php?title=WPA <br /><br />
10. http://en.wikipedia.org/wiki/Wi-Fi <br /><br />
11. http://en.wikipedia.org/wiki/Wireless_security <br /><br />
12. http://www.wi-fi.org/<br />
<br />
[[Category:Traadita side alused]]</div>Sbarolhttps://wiki.itcollege.ee/index.php?title=Wifi_turve&diff=9869Wifi turve2010-05-11T18:33:57Z<p>Sbarol: /* Allikad */</p>
<hr />
<div>'''WiFi''' (Wireless Fidelity) ehk raadiokohtvõrk või raadio-Ethernet. Wi-Fi on WECA (Wireless Ethernet Compatibility Alliance) poolt propageeritav kaubamärk, vastab raadiokohtvõrgu standardile IEEE 802.11 ning kujutab endast Ethernet-kohtvõrku, kus kaablid on asendatud raadiolinkidega ja kasutatakse raadio-Etherneti otsejada-versiooni (DS). WiFi on ühilduv PC-kaartidega ja WiFi logot kandvate tugijaamadega. Vahel kutsutakse raadiokohtvõrke ka "traadita Internetiks", kuid tegelikult on ikkagi tegemist traadita kohtvõrkudega, mis võivad muidugi olla ühendatud ka Internetiga. <br /><br />
<br />
==Sissejuhatus==<br />
<br />
Paljud inimesed küll kasutavad Wi-Fit kuid pole teadlikud selle erinevatest standarditest ja turvalisusega seotud probleemidest. Nii Eestis kui ka mujal maailmas on viimase kümnendi jooksul toimunud revolutsioon juhtmeta internetiühenduste valdkonnas. Kuigi alles 2001 aastal käivitus esimene avalik WiFi Leviala Eestis, on nüüdseks jõutud olukorda, kus tundub imelik, kui kohvikusse või mõnesse muusse avalikku teenust pakkuvasse asutusse minnes ei ole võimalik ligi pääseda ühessegi traadita interneti levialasse. Lisaks arvutitele on nüüdseks juba ka suuremal osal kallima hinnaklassiga mobiiltelefonidel juures võimalus ühendada ennast traadita interneti võrku. See toob endaga kaasa aga juba uusi funktsioone nagu näiteks tasuta VoIP kõned või internetiraadiod mobiiltelefonides, mis omakorda suurendavad nõudlust järjest rohkemate levialade järele. <br /><br />
Wi-Fi on tänapäeval väga tuntud ja laialdaselt levinud. Wi-Fi leviala võib leida peaaegu igas natuke suuremas kohvikus, pubis, baaris ja nüüd on võimalik seda leida ka pargis, rääkimata kodudest ja kontoritest. Võimalik, et paljud üldse ei tea, mida täpsemalt tähendab see salapärane lühend Wi-Fi, mida kõik nii uljalt kasutavad, rääkimata sellest, et nad teaksid, millised on Wi-Fi erinevad standardid ja andmeturbe protokollid. Kui minna natuke lähemalt siis minu jaoks Wi-Fi ilmumise aeg oli nagu suur revolutsioon, sest mina ei saanud aru kuidas saab kasutada Interneti ilma traadideta, istuda kodus oma läpakaga näiteks voodi peal kuulata muusikat ja surfata internetis. <br /> <br />
Ja kuna see on meie tänapäevane elu siis see on mitteturvaline ja kõik kes tahab midagi kurja teha saab seda kergesti realiseerida ja selleks, et vältida raskuseid ja ründeid Wi-Fi kaitseks tuleksid erinevad turveprotokollid, mis vastavad stardarditele. See on nagu meie elu, kõik peab olema turvaline, näiteks korterites on uksed koos lukuga ja kui mina ei taha, et keegi tuli minu juurde siis ma panen korteri luku või signalisatsiooni. <br /> <br />
Esialgu olid personaalsed võrgud täiesti kaitseta kuni võrguhaldaja ise ta kaitse alla pani. Sellest hoolimata on suur osa võrkudest siiamaani turvatud kas nõrga turvalisusega WEP algoritmiga või üldse laiali maailmale täiesti avatud. Minu kodus näiteks on üks Wi-Fi leviala, mis on turvatud WPA2 abil, aga näiteks kui vaadata milliseid levialad on meie majas veel on olemas, siis on selline pilt, et mõned on täiesti avatud igaühele, kes vähegi soovib internetti kasutada. Minu arvates see on ebamugav, üldse mitteturvaline ja mõtetus asi, kui on olemas Wi-Fi leviala, pane näiteks parooli, et see on parem kui ilma paroolideta. Selline olukord loob aga suurepärase võimaluse pahatahtlikel inimestel võrku pealt kuulata ning saada informatsiooni näiteks salajaste paroolide või muude tähtsate andmete kohta. <br /><br />
Wi-Fi on meie maailmas arenb edasi suure sammudega ja see mis meil on tänapäeval olemas ei ole piir. Kõigepealt, kuna areneb traadita andmeside siis koos sellega ilmuvad uued krüptoalgoritmid ja protokollid mis on loomulikult arenevad koos Wi-Figa. Seega on selge, et interneti tulevik kuulub WiFi-le. <br /><br />
<br />
==Kasutusala==<br />
<br />
Wi-Fi on kasutusel kodustes võrkudes, kontorites, mobiiltelefonides, videomängudes ja paljudes teistes elektroonilistes seadmetes mis vajavad mingisugust traadita võrku. Wi-Fi tehnoloogiat toetavad peaaegu kõik tänapäevased arvuti operatsioonisüsteemid, mängukonsoolid ning ka paljud printerid ja teised välisseadmed. <br /><br />
Wi-Fi eesmärk on pakkuda traadita ligipääsu digitaalsele sisule. Selle sisu alla võivad kuuluda nii rakendused, heli, visuaalne meedia, Interneti ühendus ning ka muud andmed. Wi-Fi muudab informatsioonile ligipääsu üldiselt lihtsamaks, kuna see saab eemaldada mõningad füüsilised piirangud mis on seotud kaabeldusega. Wi-Fi’ga varustatud seade nagu näiteks PC, mängukonsool, mobiiltelefon, MP3 mängija või PDA saab ühenduda Internetiga, kui see asub traadita võrgus, mis on ühendatud internetiga. <br /> <br />
Peale selle, et Wi-Fit kasutatakse kodudes ja kontorites, on see laialt kasutuses ka avalikes kohtades, kus pakutakse traadita Interneti teenust kas tasuta või siis mingi rahasumma eest. Wifi.ee andmetel on praegu Eestis kokku 1175 Wi-Fi- leviala 45 000 km2 kohta. Tartumaal asub neist 98 leviala, millest enamik asub Tartu linnas. <br /><br />
<br />
==Koduvõrgu kaitsmine==<br />
<br />
Kui sõita läbi Tallinna kesklinna Mustamäele ja tagasi, jääb marsruudile ligi 1200 WiFi leviala, paljud küll asutuste, kuid enamus siiski kodukasutajate omad. Rõõmustaval kombel on 80-90% neist kasvõi mingilgi määral kaitstud, nii et pätt, kes neid kuritarvitada püüab, riskib juba ametlikult paragrahviga, mis räägib arvutivõrgu ebaseaduslikust kasutamisest kaitsevahendi kõrvaldamise teel. <br />
Esimene ja kõige tähtsam: muuta ruuteri vaikeseadeid! Iga ruuteri kasutusjuhend koos vaikeparooliga on netist vabalt allalaaditav ning administraatori, mõnel juhul ka vaikekasutaja parooli muutmata jätmine on sama, mis lahtisele uksele veel ka võtmed ette unustada. <br /><br />
Kindlasti tuleks muuta ka SSID (Service Set Identfier ehk teenusevõrgu nimi, mille ruuter välja saadab), kasvõi selleks, et koduvõrk naabrimehe omaga vahetusse ei satuks (mõelge oma üleelamistele olukorras, kus naabrimees kasvõi kogemata teie allalaadimiskiirusest oma osa saab), aga ka sellepärast, et näiteks mõnede Linksys’i mudelite puhul piisas vähemalt mõnda aega tagasi SSID teadmisest, et selle tarkvara uuega asendada. Kui ruuteri tarkvara vähegi võimaldab (ja enamus võimaldab), tuleks SSID väljakuulutamine üldse ära keelata. Suunatud rünnaku vastu see küll ei aita, kuid keskkoolikräkker võib SSID väljanuuskimiseks kuluvat aega liiga tüütuks pidada. <br /><br />
Kui ruuteri tarkvara sellega hakkama saab, tuleks kasutada MAC-aadressi (iga võrgukaardi unikaalne identifikaator) põhist filtreerimist, omistada igale võrku kasutavale arvutile staatiline IP ja ülejäänud IP aadresside vahemikule ligipääs keelata. Jällegi – kunagi ei tea, kas kurjam viitsib MAC- ja IP aadressi võltsimisega vaeva näha. <br /><br />
Kõige tähtsam – kasutage signaali krüpteeringut, nii kanget, kui teie ruuter vähegi kannatab. 64-bitist WEP-i murrab kurikael mõned minutid, 128-bitist WEP-i kuni kaks tundi, kui parool just sõnaraamatus kirjas ei ole, WPA-d võib ta heal juhul murdma jäädagi. Toore jõuga (brute force) kuluks WPA murdmiseks päevi, selle asemel rünnatakse pigem krüpteerimisvõtme vahetushetke, mis WPA lihtsamate versioonide puhul on teinekord veerand tunniga lahtimurtav. Siiski on WPA, eriti selle kommertsversioonid tunduvalt turvalisemad kui WEP, viimane aga on kindlasti parem kui igasuguse krüpteeringu puudumine. <br /><br />
Ja veel kaks võtet koduvõrgu kaitsmiseks: ruuter tuleks püüda paigutada nii, et selle leviala ruumidest võimalikult vähe välja ulatuks, kui aga WiFi-t pikka aega ei kasutata, on targem ruuter üldse välja lülitada. <br /><br />
<br />
==WiFi-võrkude turvalisus==<br />
<br />
WiFi turvalisus on väga keeruline ja mitmetahuline teema. Selge on aga see, et võimalike probleemide ees silma kinnipigistamine olukorda ei lahenda. WiFi levib tahes-tahmata ja ükskõik kui hästi te seda ka varjestada või piiritleda ei prooviks, ikkagi levib see teie eluruumidest kaugemale. <br /><br />
Kogutud Aga kuidas on lood WiFi piiramisega andmete põhjal on 42% Tallinna WiFi-seadmetest lahtise võrguga (ilma WEP või WPA kaitseta). See ei tähenda küll päris nelja tuhandet (mitteametlikku) avalikku internetipunkti, sest selles statistikas ei kajastu MAC-aadressi kontrolliga piiratud võrgud ega keerulisemaid turvameetmeid. Ent kui vaadata, kui palju on samas tootjanimedega võrke (Linksys, Default, Wireless, WLAN), võib kahtlustada, et enamikule neist on täiesti vaba juurdepääs. <br /><br />
Enamik kontvõõrastest kasutajatest pole ju pahatahtlikud – tahavad lihtsalt netis surfata, meile lugeda, sõnumsidet kasutada. Peate ainult arvestama sellega, et võõras arvutis olevad viirused võivad ohustada teiegi arvutit ning kui netiühendus järsku väga aeglaseks jääb, võib olla süüdi teie heatahtlikkust kuritarvitav naabripoiss – kasutage alati tulemüüri, viirusetõrjet ning kahtluste korral jälgige võrguseadmest, millised MAC-aadressid on viimasel ajal teie võrguühendust tarbinud. <br /><br />
<br />
==SSID ja MAC-aadress==<br />
<br />
Igal WiFi-võrgul on oma nimi. Seda saab ise määrata. Mõistlikuks ei saa pidada ka oma aadressi kasutamist SSID-nimena – Korter 12, II korrus, Firmanimi OÜ jne. Kui tõesti tahate, et võõrad teie WiFi-võrguga liituda oskaksid, kasutage meiliaadressi või telefoninumbrit. Firmanime kasutamine hõlbustab häkkerite tööd, kodune aadress võib olla aga reklaamiks varastele – siit on vähemalt arvuti kaasa võtta. MAC-aadress on unikaalne kood, mis on igal võrgukaardil ja võrguseadmel erinev. Tüüpiliselt on see aadress kujul 00:02:3F:33:4A:89. Sellest esimesed kolm märgivad tootjafirmat (00:02:3F – Intel Corp), tagumised kolm moodustavad iga kaardi kordumatu koodi. <br /><br />
MAC-aadresside litsentseerimisega tegeleb IEEE Standards Association. MAC-aadress ehk meediumipöörduse juhtimise aadress (inglise keeles Media Access Control) on võrguseadmete unikaalne identifitseerija, mis määratakse võrgukaardile tootmise käigus. Tootja poolt määratud MAC aadress võiks olla ülemaailmselt unikaalne, kuid on siiski tarkvaraliselt muudetav enamusel 21. saj alguse võrgukaartidel. <br /><br />
<br />
==WEP, WPA, WPA2==<br />
<br />
WEP ehk Wired Equivalent Privacy on protokoll, mis loodi tegemaks standardile IEEE 802.11 vastav traadita internetiühendus sama turvaliseks kui seda on tavaline juhtme teel leviv internetiühendus. WEP kasutab krüpteerimiseks RC4 algoritmi ning tervikluse hindamiseks CRC32 kontrollsummasid. Võtme pikkuse järgi eristatakse 64, 128 ja 256 bitiseid WEP-e, mis kasutavad siis vastavalt 40, 104 ja 232 bitiseid paroole. Igale kasutaja poolt sisestatud salajasele võtmele lisatakse 24 bitine IV (Initialization Vector) vektor, mille järgi siis kokkuvõttes krüpteeritakse paketid kasutades RC4 algoritmi. Üheks suurimaks WEP turvaprobleemiks on liigselt väike erinevate võimalike IV vektorite hulk. WEP on väga lihtsalt lahti murtav, arvuti tegi seda IT Kolledzi laborites viie minuti jooksul, oli väga huvitav. <br /><br />
<br />
WPA loodigi WEP krüpteeringu asendamiseks. Eksisteerib 2 lahendust – WPA-PSK ja WPA Enterprise. WPA-PSK puhul kasutatakse kõigil WiFi klientidel sama 8-63 märgi pikkust parooli. See on turvaline ainult siis, kui valida vähemalt 33 märgi pikkune suvalistest märkidest koosnev parool. WPA Enterprise lahenduses kasutatakse RADIUS serverit, seega iga kasutaja peab WiFi võrku sisse logima oma kasutajanime ja parooliga. <br /><br />
<br />
WPA2 on WPA uuem versioon, milles on kohustuslikuks tehtud tugevama krüpteeringu kasutamine. Praegusel momendil loetakse ainukeseks lihtsasti kättesaadavaks WiFi turvalisuseks WPA2 Enterprise lahendust. WPA on andmeturbe protokoll, mis kasutab TKIP (Temporal Key Integrity Protocol) protokolli ja AES (Advanced Encryption Standard) algoritmi ning autentimiseks EAP (Extensible Authentication Protocol) protokolli. WPA on küll palju turvalisem kui WEP, kuid siiski on tänapäeval juba võimalik ka seda andmeturbe protokolli lahti murda. WPA2 on WPA edasiarendus. Praeguse seisuga on see kõige turvalisem andmeturbe protokoll, mida ei ole võimalik eriti lihtsalt lahti murda. <br /><br />
<br />
==WiFi-võrgu kaitsmine==<br />
<br />
Statistika järgi on 42% Tallinna WiFi-võrkudest kaitseta. Tegelikult päris nii vabameelne meie võrgundus siiski pole – NetStumbleri statistika ei kajasta näiteks MAC-aadressi, captive-veebiserveri või muude keerukamate võtetega piiratud võrke. Ent julgeks siiski väita, et Tallinnas on iga kolmas WiFi-võrk kõigile külastajatele avatud. <br /><br />
<br />
*Valige sobiv kaitsemeetod <br /><br />
Koduse WiFi-võrgu turvamiseks on mitu võimalust. Valikus on peamiselt 64- või 128-bitine WEP (mõnel juhul ka 256-bitine WEP), WPA-PSK ja MAC-aadresside piirang. Kõige turvalisem on WPA-PSK, kõige kesisema turvalisusega aga MAC-aadresside piirang (kuigi juurdepääs on piiratud, on ühendus siiski vabalt pealtkuulatav). Kõik peale WPA-PSK ei paku kogenud häkkerile olulist peavalu, ent peletavad kindlasti eemale soovimatud juhukülalised. Ka WPA-PSK on kindel vaid juhul, kui kasutatud parool on pikk, ei põhine sõnaraamatus leiduval sõnal ning sisaldab nii tähti, numbreid kui ka muid märke (soovitan vähemalt 12-märgilist parooli). <br /><br />
<br />
*Kontrollige turbemeetodi ühilduvust <br /><br />
Valitud turbemeetodit peavad toetama nii WiFi-seade, arvuti WiFi-kaart kui ka opsüsteem. Enamik vanematest WiFi-seadmetest ei toeta WPA-d. Ka uue soetamisel tasub selle kohta poest kindlasti eraldi küsida. Samuti võib odavamatel, väiksema jõudlusega WiFi-seadmetel esineda olulist kiiruse kadu või ajutist ühenduse katkemist tugeva võtme kasutamise korral – krüpteerimise puhul on ikkagi tegu matemaatiliselt ressursinõudliku tegevusega. Probleemide korral peate leppima nõrgema turbemeetodiga. <br /><br />
<br />
==Paragrahvid==<br />
<br />
Loomulikult on e-tiigrina tuntud Eesti Vabariigi Karistusseadustikus ka võrgupättused ära mainitud. AP-de olemasolu ja nende poolt edastatavate eetriandmete (SSID, tootjafirma, krüpteerimismeetod jms) registreerimine, entusiastide keeles wardriving otsesõnu ebaseaduslik ei ole, võrguliikluse pealtkuulamine aga juba küll. Näiteks on karistatav arvuti, arvutisüsteemi ja arvutivõrgu ebaseaduslik kasutamine koodi, salasõna või muu kaitsevahendi kõrvaldamise teel (§217) – selle paragrahvi alla võiks ilusti mahtuda näiteks MAC aadressi võltsimine ruuterisse sisenemiseks, samuti WEP ja WPA võtme lahtimurdmine. Karistatav on ka arvutivõrgu ühenduse kahjustamine (§207) ehk siis DoS rünnak või signaali segamine (jamming). Võõraste meilide ja kiirsõnumite lugemise eest ähvardab pätti sõnumisaladuse rikkumise paragrahv (§156), kui aga pealtkuulatud andmeid kasutatakse varalise kasu saamise eesmärgil (§213), võib kurikaela oodata juba kuni viieaastane puhkus ruudulise päikese paistel. Samuti ei tasu alahinnata Eesti politsei võimekust arvutikurikaelte tabamisel – arvutivõrku tungimise eest on juba kohtu ette viidud rohkem kui üks tegelane… <br /><br />
<br />
==Kokkuvõte==<br />
<br />
Kokkuvõteks võin ütelda, et kõik see on väga hea, et on olemas Wi-Fi leviala mis on turvaline ja palju teadmisi selle kohta, et saab ka teistele sellest rääkida, kõik meie maailmas areneb ja areneb, aga ei tohi unustada, et need kurikaelad ka arenevad koos sellistega krüptoalgoritmidega, nad ei maga! Kõik mida loob inimene on võimalik murta. <br /><br />
Wi-Fi populaarsus kasvab ja seda kasutab rohkem ja rohkem inimesi, siis tuleb järjest rohkem tähelepanu pöörata ka sellele, milliseid Wi-Fi standardeid ja andmeturbe protokolle erinevad seadmed kasutavad. Erinevaid standardeid on vaja teada selleks, et oleks teada millised seadmed on võimelised milliste võrkudega ühenduma. <br /><br />
Samas on sama oluline ka traadita võrkude turvalisus, et keegi pahatahtlik inimene ei pääseks ligi informatsioonile, millega ta saaks sulle ja ka teistele kahju tekitada. Keegi meist ju ei tahaks, et meie isiklikku infot kasutataks meile või kellelegi teisele halva tegemise eesmärgil. Kuna kirjutasin seda referaadi, siis arvan küll et targaks sain, leidsin ja lugesin palju materjale Wi-Fi standarditest, milleks nad üldse olulised on ja sain ette kujutada nende evolutsiooni mis on mulle, nagu tulevikkus IT inimesele väga tarvis ja huvitav. <br /><br />
<br />
==Autor==<br />
<br />
Sergei Barol A21 <br /><br />
[mailto:sbarol@itcollege.ee sbarol@itcollege.ee]<br />
<br />
Versioonide ajalugu:<br />
{| class="wikitable" border="1"<br />
|-<br />
! Versioon<br />
! Kuupäev<br />
! Muudatused<br />
|-<br />
| 1.0<br />
| <br />
| Algne versioon<br />
|-<br />
| 1.1<br />
| <br />
| <br />
|-<br />
| 1.2<br />
| <br />
| <br />
|}<br />
<br />
<br />
<br />
==Allikad==<br />
<br />
1. http://en.wikipedia.org/wiki/IEEE_802.11 <br /><br />
2. http://www.elenor.ee/artiklid/wifi-ule-kogu-kontori/ <br /><br />
3. http://blog.izall.com/2008/04/03/ainulaadne-wifi-turvalisus/ <br /><br />
4. http://www.arvutikasutaja.ee/artikkel.php?lk=3&id=207&sid=447f621c286189c007c2ccb0e81af757 <br /><br />
5. http://www.arvutikaitse.ee/?p=189 <br /><br />
6. http://www.arvutikaitse.ee/?p=720 <br /><br />
7. http://wiki.wifi.ee/index.php?title=WiFi <br /><br />
8. http://wiki.wifi.ee/index.php?title=Esileht <br /><br />
9. http://wiki.wifi.ee/index.php?title=WPA <br /><br />
10. http://en.wikipedia.org/wiki/Wi-Fi <br /><br />
11. http://en.wikipedia.org/wiki/Wireless_security <br /><br />
12. http://www.wi-fi.org/<br />
<br />
[[Category:Traadita side alused]]</div>Sbarolhttps://wiki.itcollege.ee/index.php?title=Wifi_turve&diff=9775Wifi turve2010-05-11T08:48:53Z<p>Sbarol: /* Sissejuhatus */</p>
<hr />
<div>'''WiFi''' (Wireless Fidelity) ehk raadiokohtvõrk või raadio-Ethernet. Wi-Fi on WECA (Wireless Ethernet Compatibility Alliance) poolt propageeritav kaubamärk, vastab raadiokohtvõrgu standardile IEEE 802.11 ning kujutab endast Ethernet-kohtvõrku, kus kaablid on asendatud raadiolinkidega ja kasutatakse raadio-Etherneti otsejada-versiooni (DS). WiFi on ühilduv PC-kaartidega ja WiFi logot kandvate tugijaamadega. Vahel kutsutakse raadiokohtvõrke ka "traadita Internetiks", kuid tegelikult on ikkagi tegemist traadita kohtvõrkudega, mis võivad muidugi olla ühendatud ka Internetiga. <br /><br />
<br />
==Sissejuhatus==<br />
<br />
Paljud inimesed küll kasutavad Wi-Fit kuid pole teadlikud selle erinevatest standarditest ja turvalisusega seotud probleemidest. Nii Eestis kui ka mujal maailmas on viimase kümnendi jooksul toimunud revolutsioon juhtmeta internetiühenduste valdkonnas. Kuigi alles 2001 aastal käivitus esimene avalik WiFi Leviala Eestis, on nüüdseks jõutud olukorda, kus tundub imelik, kui kohvikusse või mõnesse muusse avalikku teenust pakkuvasse asutusse minnes ei ole võimalik ligi pääseda ühessegi traadita interneti levialasse. Lisaks arvutitele on nüüdseks juba ka suuremal osal kallima hinnaklassiga mobiiltelefonidel juures võimalus ühendada ennast traadita interneti võrku. See toob endaga kaasa aga juba uusi funktsioone nagu näiteks tasuta VoIP kõned või internetiraadiod mobiiltelefonides, mis omakorda suurendavad nõudlust järjest rohkemate levialade järele. <br /><br />
Wi-Fi on tänapäeval väga tuntud ja laialdaselt levinud. Wi-Fi leviala võib leida peaaegu igas natuke suuremas kohvikus, pubis, baaris ja nüüd on võimalik seda leida ka pargis, rääkimata kodudest ja kontoritest. Võimalik, et paljud üldse ei tea, mida täpsemalt tähendab see salapärane lühend Wi-Fi, mida kõik nii uljalt kasutavad, rääkimata sellest, et nad teaksid, millised on Wi-Fi erinevad standardid ja andmeturbe protokollid. Kui minna natuke lähemalt siis minu jaoks Wi-Fi ilmumise aeg oli nagu suur revolutsioon, sest mina ei saanud aru kuidas saab kasutada Interneti ilma traadideta, istuda kodus oma läpakaga näiteks voodi peal kuulata muusikat ja surfata internetis. <br /> <br />
Ja kuna see on meie tänapäevane elu siis see on mitteturvaline ja kõik kes tahab midagi kurja teha saab seda kergesti realiseerida ja selleks, et vältida raskuseid ja ründeid Wi-Fi kaitseks tuleksid erinevad turveprotokollid, mis vastavad stardarditele. See on nagu meie elu, kõik peab olema turvaline, näiteks korterites on uksed koos lukuga ja kui mina ei taha, et keegi tuli minu juurde siis ma panen korteri luku või signalisatsiooni. <br /> <br />
Esialgu olid personaalsed võrgud täiesti kaitseta kuni võrguhaldaja ise ta kaitse alla pani. Sellest hoolimata on suur osa võrkudest siiamaani turvatud kas nõrga turvalisusega WEP algoritmiga või üldse laiali maailmale täiesti avatud. Minu kodus näiteks on üks Wi-Fi leviala, mis on turvatud WPA2 abil, aga näiteks kui vaadata milliseid levialad on meie majas veel on olemas, siis on selline pilt, et mõned on täiesti avatud igaühele, kes vähegi soovib internetti kasutada. Minu arvates see on ebamugav, üldse mitteturvaline ja mõtetus asi, kui on olemas Wi-Fi leviala, pane näiteks parooli, et see on parem kui ilma paroolideta. Selline olukord loob aga suurepärase võimaluse pahatahtlikel inimestel võrku pealt kuulata ning saada informatsiooni näiteks salajaste paroolide või muude tähtsate andmete kohta. <br /><br />
Wi-Fi on meie maailmas arenb edasi suure sammudega ja see mis meil on tänapäeval olemas ei ole piir. Kõigepealt, kuna areneb traadita andmeside siis koos sellega ilmuvad uued krüptoalgoritmid ja protokollid mis on loomulikult arenevad koos Wi-Figa. Seega on selge, et interneti tulevik kuulub WiFi-le. <br /><br />
<br />
==Kasutusala==<br />
<br />
Wi-Fi on kasutusel kodustes võrkudes, kontorites, mobiiltelefonides, videomängudes ja paljudes teistes elektroonilistes seadmetes mis vajavad mingisugust traadita võrku. Wi-Fi tehnoloogiat toetavad peaaegu kõik tänapäevased arvuti operatsioonisüsteemid, mängukonsoolid ning ka paljud printerid ja teised välisseadmed. <br /><br />
Wi-Fi eesmärk on pakkuda traadita ligipääsu digitaalsele sisule. Selle sisu alla võivad kuuluda nii rakendused, heli, visuaalne meedia, Interneti ühendus ning ka muud andmed. Wi-Fi muudab informatsioonile ligipääsu üldiselt lihtsamaks, kuna see saab eemaldada mõningad füüsilised piirangud mis on seotud kaabeldusega. Wi-Fi’ga varustatud seade nagu näiteks PC, mängukonsool, mobiiltelefon, MP3 mängija või PDA saab ühenduda Internetiga, kui see asub traadita võrgus, mis on ühendatud internetiga. <br /> <br />
Peale selle, et Wi-Fit kasutatakse kodudes ja kontorites, on see laialt kasutuses ka avalikes kohtades, kus pakutakse traadita Interneti teenust kas tasuta või siis mingi rahasumma eest. Wifi.ee andmetel on praegu Eestis kokku 1175 Wi-Fi- leviala 45 000 km2 kohta. Tartumaal asub neist 98 leviala, millest enamik asub Tartu linnas. <br /><br />
<br />
==Koduvõrgu kaitsmine==<br />
<br />
Kui sõita läbi Tallinna kesklinna Mustamäele ja tagasi, jääb marsruudile ligi 1200 WiFi leviala, paljud küll asutuste, kuid enamus siiski kodukasutajate omad. Rõõmustaval kombel on 80-90% neist kasvõi mingilgi määral kaitstud, nii et pätt, kes neid kuritarvitada püüab, riskib juba ametlikult paragrahviga, mis räägib arvutivõrgu ebaseaduslikust kasutamisest kaitsevahendi kõrvaldamise teel. <br />
Esimene ja kõige tähtsam: muuta ruuteri vaikeseadeid! Iga ruuteri kasutusjuhend koos vaikeparooliga on netist vabalt allalaaditav ning administraatori, mõnel juhul ka vaikekasutaja parooli muutmata jätmine on sama, mis lahtisele uksele veel ka võtmed ette unustada. <br /><br />
Kindlasti tuleks muuta ka SSID (Service Set Identfier ehk teenusevõrgu nimi, mille ruuter välja saadab), kasvõi selleks, et koduvõrk naabrimehe omaga vahetusse ei satuks (mõelge oma üleelamistele olukorras, kus naabrimees kasvõi kogemata teie allalaadimiskiirusest oma osa saab), aga ka sellepärast, et näiteks mõnede Linksys’i mudelite puhul piisas vähemalt mõnda aega tagasi SSID teadmisest, et selle tarkvara uuega asendada. Kui ruuteri tarkvara vähegi võimaldab (ja enamus võimaldab), tuleks SSID väljakuulutamine üldse ära keelata. Suunatud rünnaku vastu see küll ei aita, kuid keskkoolikräkker võib SSID väljanuuskimiseks kuluvat aega liiga tüütuks pidada. <br /><br />
Kui ruuteri tarkvara sellega hakkama saab, tuleks kasutada MAC-aadressi (iga võrgukaardi unikaalne identifikaator) põhist filtreerimist, omistada igale võrku kasutavale arvutile staatiline IP ja ülejäänud IP aadresside vahemikule ligipääs keelata. Jällegi – kunagi ei tea, kas kurjam viitsib MAC- ja IP aadressi võltsimisega vaeva näha. <br /><br />
Kõige tähtsam – kasutage signaali krüpteeringut, nii kanget, kui teie ruuter vähegi kannatab. 64-bitist WEP-i murrab kurikael mõned minutid, 128-bitist WEP-i kuni kaks tundi, kui parool just sõnaraamatus kirjas ei ole, WPA-d võib ta heal juhul murdma jäädagi. Toore jõuga (brute force) kuluks WPA murdmiseks päevi, selle asemel rünnatakse pigem krüpteerimisvõtme vahetushetke, mis WPA lihtsamate versioonide puhul on teinekord veerand tunniga lahtimurtav. Siiski on WPA, eriti selle kommertsversioonid tunduvalt turvalisemad kui WEP, viimane aga on kindlasti parem kui igasuguse krüpteeringu puudumine. <br /><br />
Ja veel kaks võtet koduvõrgu kaitsmiseks: ruuter tuleks püüda paigutada nii, et selle leviala ruumidest võimalikult vähe välja ulatuks, kui aga WiFi-t pikka aega ei kasutata, on targem ruuter üldse välja lülitada. <br /><br />
<br />
==WiFi-võrkude turvalisus==<br />
<br />
WiFi turvalisus on väga keeruline ja mitmetahuline teema. Selge on aga see, et võimalike probleemide ees silma kinnipigistamine olukorda ei lahenda. WiFi levib tahes-tahmata ja ükskõik kui hästi te seda ka varjestada või piiritleda ei prooviks, ikkagi levib see teie eluruumidest kaugemale. <br /><br />
Kogutud Aga kuidas on lood WiFi piiramisega andmete põhjal on 42% Tallinna WiFi-seadmetest lahtise võrguga (ilma WEP või WPA kaitseta). See ei tähenda küll päris nelja tuhandet (mitteametlikku) avalikku internetipunkti, sest selles statistikas ei kajastu MAC-aadressi kontrolliga piiratud võrgud ega keerulisemaid turvameetmeid. Ent kui vaadata, kui palju on samas tootjanimedega võrke (Linksys, Default, Wireless, WLAN), võib kahtlustada, et enamikule neist on täiesti vaba juurdepääs. <br /><br />
Enamik kontvõõrastest kasutajatest pole ju pahatahtlikud – tahavad lihtsalt netis surfata, meile lugeda, sõnumsidet kasutada. Peate ainult arvestama sellega, et võõras arvutis olevad viirused võivad ohustada teiegi arvutit ning kui netiühendus järsku väga aeglaseks jääb, võib olla süüdi teie heatahtlikkust kuritarvitav naabripoiss – kasutage alati tulemüüri, viirusetõrjet ning kahtluste korral jälgige võrguseadmest, millised MAC-aadressid on viimasel ajal teie võrguühendust tarbinud. <br /><br />
<br />
==SSID ja MAC-aadress==<br />
<br />
Igal WiFi-võrgul on oma nimi. Seda saab ise määrata. Mõistlikuks ei saa pidada ka oma aadressi kasutamist SSID-nimena – Korter 12, II korrus, Firmanimi OÜ jne. Kui tõesti tahate, et võõrad teie WiFi-võrguga liituda oskaksid, kasutage meiliaadressi või telefoninumbrit. Firmanime kasutamine hõlbustab häkkerite tööd, kodune aadress võib olla aga reklaamiks varastele – siit on vähemalt arvuti kaasa võtta. MAC-aadress on unikaalne kood, mis on igal võrgukaardil ja võrguseadmel erinev. Tüüpiliselt on see aadress kujul 00:02:3F:33:4A:89. Sellest esimesed kolm märgivad tootjafirmat (00:02:3F – Intel Corp), tagumised kolm moodustavad iga kaardi kordumatu koodi. <br /><br />
MAC-aadresside litsentseerimisega tegeleb IEEE Standards Association. MAC-aadress ehk meediumipöörduse juhtimise aadress (inglise keeles Media Access Control) on võrguseadmete unikaalne identifitseerija, mis määratakse võrgukaardile tootmise käigus. Tootja poolt määratud MAC aadress võiks olla ülemaailmselt unikaalne, kuid on siiski tarkvaraliselt muudetav enamusel 21. saj alguse võrgukaartidel. <br /><br />
<br />
==WEP, WPA, WPA2==<br />
<br />
WEP ehk Wired Equivalent Privacy on protokoll, mis loodi tegemaks standardile IEEE 802.11 vastav traadita internetiühendus sama turvaliseks kui seda on tavaline juhtme teel leviv internetiühendus. WEP kasutab krüpteerimiseks RC4 algoritmi ning tervikluse hindamiseks CRC32 kontrollsummasid. Võtme pikkuse järgi eristatakse 64, 128 ja 256 bitiseid WEP-e, mis kasutavad siis vastavalt 40, 104 ja 232 bitiseid paroole. Igale kasutaja poolt sisestatud salajasele võtmele lisatakse 24 bitine IV (Initialization Vector) vektor, mille järgi siis kokkuvõttes krüpteeritakse paketid kasutades RC4 algoritmi. Üheks suurimaks WEP turvaprobleemiks on liigselt väike erinevate võimalike IV vektorite hulk. WEP on väga lihtsalt lahti murtav, arvuti tegi seda IT Kolledzi laborites viie minuti jooksul, oli väga huvitav. <br /><br />
<br />
WPA loodigi WEP krüpteeringu asendamiseks. Eksisteerib 2 lahendust – WPA-PSK ja WPA Enterprise. WPA-PSK puhul kasutatakse kõigil WiFi klientidel sama 8-63 märgi pikkust parooli. See on turvaline ainult siis, kui valida vähemalt 33 märgi pikkune suvalistest märkidest koosnev parool. WPA Enterprise lahenduses kasutatakse RADIUS serverit, seega iga kasutaja peab WiFi võrku sisse logima oma kasutajanime ja parooliga. <br /><br />
<br />
WPA2 on WPA uuem versioon, milles on kohustuslikuks tehtud tugevama krüpteeringu kasutamine. Praegusel momendil loetakse ainukeseks lihtsasti kättesaadavaks WiFi turvalisuseks WPA2 Enterprise lahendust. WPA on andmeturbe protokoll, mis kasutab TKIP (Temporal Key Integrity Protocol) protokolli ja AES (Advanced Encryption Standard) algoritmi ning autentimiseks EAP (Extensible Authentication Protocol) protokolli. WPA on küll palju turvalisem kui WEP, kuid siiski on tänapäeval juba võimalik ka seda andmeturbe protokolli lahti murda. WPA2 on WPA edasiarendus. Praeguse seisuga on see kõige turvalisem andmeturbe protokoll, mida ei ole võimalik eriti lihtsalt lahti murda. <br /><br />
<br />
==WiFi-võrgu kaitsmine==<br />
<br />
Statistika järgi on 42% Tallinna WiFi-võrkudest kaitseta. Tegelikult päris nii vabameelne meie võrgundus siiski pole – NetStumbleri statistika ei kajasta näiteks MAC-aadressi, captive-veebiserveri või muude keerukamate võtetega piiratud võrke. Ent julgeks siiski väita, et Tallinnas on iga kolmas WiFi-võrk kõigile külastajatele avatud. <br /><br />
<br />
*Valige sobiv kaitsemeetod <br /><br />
Koduse WiFi-võrgu turvamiseks on mitu võimalust. Valikus on peamiselt 64- või 128-bitine WEP (mõnel juhul ka 256-bitine WEP), WPA-PSK ja MAC-aadresside piirang. Kõige turvalisem on WPA-PSK, kõige kesisema turvalisusega aga MAC-aadresside piirang (kuigi juurdepääs on piiratud, on ühendus siiski vabalt pealtkuulatav). Kõik peale WPA-PSK ei paku kogenud häkkerile olulist peavalu, ent peletavad kindlasti eemale soovimatud juhukülalised. Ka WPA-PSK on kindel vaid juhul, kui kasutatud parool on pikk, ei põhine sõnaraamatus leiduval sõnal ning sisaldab nii tähti, numbreid kui ka muid märke (soovitan vähemalt 12-märgilist parooli). <br /><br />
<br />
*Kontrollige turbemeetodi ühilduvust <br /><br />
Valitud turbemeetodit peavad toetama nii WiFi-seade, arvuti WiFi-kaart kui ka opsüsteem. Enamik vanematest WiFi-seadmetest ei toeta WPA-d. Ka uue soetamisel tasub selle kohta poest kindlasti eraldi küsida. Samuti võib odavamatel, väiksema jõudlusega WiFi-seadmetel esineda olulist kiiruse kadu või ajutist ühenduse katkemist tugeva võtme kasutamise korral – krüpteerimise puhul on ikkagi tegu matemaatiliselt ressursinõudliku tegevusega. Probleemide korral peate leppima nõrgema turbemeetodiga. <br /><br />
<br />
==Paragrahvid==<br />
<br />
Loomulikult on e-tiigrina tuntud Eesti Vabariigi Karistusseadustikus ka võrgupättused ära mainitud. AP-de olemasolu ja nende poolt edastatavate eetriandmete (SSID, tootjafirma, krüpteerimismeetod jms) registreerimine, entusiastide keeles wardriving otsesõnu ebaseaduslik ei ole, võrguliikluse pealtkuulamine aga juba küll. Näiteks on karistatav arvuti, arvutisüsteemi ja arvutivõrgu ebaseaduslik kasutamine koodi, salasõna või muu kaitsevahendi kõrvaldamise teel (§217) – selle paragrahvi alla võiks ilusti mahtuda näiteks MAC aadressi võltsimine ruuterisse sisenemiseks, samuti WEP ja WPA võtme lahtimurdmine. Karistatav on ka arvutivõrgu ühenduse kahjustamine (§207) ehk siis DoS rünnak või signaali segamine (jamming). Võõraste meilide ja kiirsõnumite lugemise eest ähvardab pätti sõnumisaladuse rikkumise paragrahv (§156), kui aga pealtkuulatud andmeid kasutatakse varalise kasu saamise eesmärgil (§213), võib kurikaela oodata juba kuni viieaastane puhkus ruudulise päikese paistel. Samuti ei tasu alahinnata Eesti politsei võimekust arvutikurikaelte tabamisel – arvutivõrku tungimise eest on juba kohtu ette viidud rohkem kui üks tegelane… <br /><br />
<br />
==Kokkuvõte==<br />
<br />
Kokkuvõteks võin ütelda, et kõik see on väga hea, et on olemas Wi-Fi leviala mis on turvaline ja palju teadmisi selle kohta, et saab ka teistele sellest rääkida, kõik meie maailmas areneb ja areneb, aga ei tohi unustada, et need kurikaelad ka arenevad koos sellistega krüptoalgoritmidega, nad ei maga! Kõik mida loob inimene on võimalik murta. <br /><br />
Wi-Fi populaarsus kasvab ja seda kasutab rohkem ja rohkem inimesi, siis tuleb järjest rohkem tähelepanu pöörata ka sellele, milliseid Wi-Fi standardeid ja andmeturbe protokolle erinevad seadmed kasutavad. Erinevaid standardeid on vaja teada selleks, et oleks teada millised seadmed on võimelised milliste võrkudega ühenduma. <br /><br />
Samas on sama oluline ka traadita võrkude turvalisus, et keegi pahatahtlik inimene ei pääseks ligi informatsioonile, millega ta saaks sulle ja ka teistele kahju tekitada. Keegi meist ju ei tahaks, et meie isiklikku infot kasutataks meile või kellelegi teisele halva tegemise eesmärgil. Kuna kirjutasin seda referaadi, siis arvan küll et targaks sain, leidsin ja lugesin palju materjale Wi-Fi standarditest, milleks nad üldse olulised on ja sain ette kujutada nende evolutsiooni mis on mulle, nagu tulevikkus IT inimesele väga tarvis ja huvitav. <br /><br />
<br />
==Autor==<br />
<br />
Sergei Barol A21 <br /><br />
[mailto:sbarol@itcollege.ee sbarol@itcollege.ee]<br />
<br />
==Allikad==<br />
<br />
1. http://en.wikipedia.org/wiki/IEEE_802.11 <br /><br />
2. http://www.elenor.ee/artiklid/wifi-ule-kogu-kontori/ <br /><br />
3. http://blog.izall.com/2008/04/03/ainulaadne-wifi-turvalisus/ <br /><br />
4. http://www.arvutikasutaja.ee/artikkel.php?lk=3&id=207&sid=447f621c286189c007c2ccb0e81af757 <br /><br />
5. http://www.arvutikaitse.ee/?p=189 <br /><br />
6. http://www.arvutikaitse.ee/?p=720 <br /><br />
7. http://wiki.wifi.ee/index.php?title=WiFi <br /><br />
8. http://wiki.wifi.ee/index.php?title=Esileht <br /><br />
9. http://wiki.wifi.ee/index.php?title=WPA <br /><br />
10. http://en.wikipedia.org/wiki/Wi-Fi <br /><br />
11. http://en.wikipedia.org/wiki/Wireless_security <br /><br />
12. http://www.wi-fi.org/<br />
<br />
[[Category:Traadita side alused]]</div>Sbarolhttps://wiki.itcollege.ee/index.php?title=Wifi_turve&diff=9774Wifi turve2010-05-11T08:48:21Z<p>Sbarol: /* Sissejuhatus */</p>
<hr />
<div>'''WiFi''' (Wireless Fidelity) ehk raadiokohtvõrk või raadio-Ethernet. Wi-Fi on WECA (Wireless Ethernet Compatibility Alliance) poolt propageeritav kaubamärk, vastab raadiokohtvõrgu standardile IEEE 802.11 ning kujutab endast Ethernet-kohtvõrku, kus kaablid on asendatud raadiolinkidega ja kasutatakse raadio-Etherneti otsejada-versiooni (DS). WiFi on ühilduv PC-kaartidega ja WiFi logot kandvate tugijaamadega. Vahel kutsutakse raadiokohtvõrke ka "traadita Internetiks", kuid tegelikult on ikkagi tegemist traadita kohtvõrkudega, mis võivad muidugi olla ühendatud ka Internetiga. <br /><br />
<br />
==Sissejuhatus==<br />
<br />
Paljud inimesed küll kasutavad Wi-Fit kuid pole teadlikud selle erinevatest standarditest ja turvalisusega seotud probleemidest. Nii Eestis kui ka mujal maailmas on viimase kümnendi jooksul toimunud revolutsioon juhtmeta internetiühenduste valdkonnas. Kuigi alles 2001 aastal käivitus esimene avalik WiFi Leviala Eestis, on nüüdseks jõutud olukorda, kus tundub imelik, kui kohvikusse või mõnesse muusse avalikku teenust pakkuvasse asutusse minnes ei ole võimalik ligi pääseda ühessegi traadita interneti levialasse. Lisaks arvutitele on nüüdseks juba ka suuremal osal kallima hinnaklassiga mobiiltelefonidel juures võimalus ühendada ennast traadita interneti võrku. See toob endaga kaasa aga juba uusi funktsioone nagu näiteks tasuta VoIP kõned või internetiraadiod mobiiltelefonides, mis omakorda suurendavad nõudlust järjest rohkemate levialade järele. <br /><br />
Wi-Fi on tänapäeval väga tuntud ja laialdaselt levinud. Wi-Fi leviala võib leida peaaegu igas natuke suuremas kohvikus, pubis, baaris ja nüüd on võimalik seda leida ka pargis, rääkimata kodudest ja kontoritest. Võimalik, et paljud üldse ei tea, mida täpsemalt tähendab see salapärane lühend Wi-Fi, mida kõik nii uljalt kasutavad, rääkimata sellest, et nad teaksid, millised on Wi-Fi erinevad standardid ja andmeturbe protokollid. Kui minna natuke lähemalt siis minu jaoks Wi-Fi ilmumise aeg oli nagu suur revolutsioon, sest mina ei saanud aru kuidas saab kasutada Interneti ilma traadideta, istuda kodus oma läpakaga näiteks voodi peal kuulata muusikat ja surfata internetis. Ja kuna see on meie tänapäevane elu siis see on mitteturvaline ja kõik kes tahab midagi kurja teha saab seda kergesti realiseerida ja selleks, et vältida raskuseid ja ründeid Wi-Fi kaitseks tuleksid erinevad turveprotokollid, mis vastavad stardarditele. See on nagu meie elu, kõik peab olema turvaline, näiteks korterites on uksed koos lukuga ja kui mina ei taha, et keegi tuli minu juurde siis ma panen korteri luku või signalisatsiooni. <br /> <br />
Esialgu olid personaalsed võrgud täiesti kaitseta kuni võrguhaldaja ise ta kaitse alla pani. Sellest hoolimata on suur osa võrkudest siiamaani turvatud kas nõrga turvalisusega WEP algoritmiga või üldse laiali maailmale täiesti avatud. Minu kodus näiteks on üks Wi-Fi leviala, mis on turvatud WPA2 abil, aga näiteks kui vaadata milliseid levialad on meie majas veel on olemas, siis on selline pilt, et mõned on täiesti avatud igaühele, kes vähegi soovib internetti kasutada. Minu arvates see on ebamugav, üldse mitteturvaline ja mõtetus asi, kui on olemas Wi-Fi leviala, pane näiteks parooli, et see on parem kui ilma paroolideta. Selline olukord loob aga suurepärase võimaluse pahatahtlikel inimestel võrku pealt kuulata ning saada informatsiooni näiteks salajaste paroolide või muude tähtsate andmete kohta. <br /><br />
Wi-Fi on meie maailmas arenb edasi suure sammudega ja see mis meil on tänapäeval olemas ei ole piir. Kõigepealt, kuna areneb traadita andmeside siis koos sellega ilmuvad uued krüptoalgoritmid ja protokollid mis on loomulikult arenevad koos Wi-Figa. Seega on selge, et interneti tulevik kuulub WiFi-le. <br /><br />
<br />
==Kasutusala==<br />
<br />
Wi-Fi on kasutusel kodustes võrkudes, kontorites, mobiiltelefonides, videomängudes ja paljudes teistes elektroonilistes seadmetes mis vajavad mingisugust traadita võrku. Wi-Fi tehnoloogiat toetavad peaaegu kõik tänapäevased arvuti operatsioonisüsteemid, mängukonsoolid ning ka paljud printerid ja teised välisseadmed. <br /><br />
Wi-Fi eesmärk on pakkuda traadita ligipääsu digitaalsele sisule. Selle sisu alla võivad kuuluda nii rakendused, heli, visuaalne meedia, Interneti ühendus ning ka muud andmed. Wi-Fi muudab informatsioonile ligipääsu üldiselt lihtsamaks, kuna see saab eemaldada mõningad füüsilised piirangud mis on seotud kaabeldusega. Wi-Fi’ga varustatud seade nagu näiteks PC, mängukonsool, mobiiltelefon, MP3 mängija või PDA saab ühenduda Internetiga, kui see asub traadita võrgus, mis on ühendatud internetiga. <br /> <br />
Peale selle, et Wi-Fit kasutatakse kodudes ja kontorites, on see laialt kasutuses ka avalikes kohtades, kus pakutakse traadita Interneti teenust kas tasuta või siis mingi rahasumma eest. Wifi.ee andmetel on praegu Eestis kokku 1175 Wi-Fi- leviala 45 000 km2 kohta. Tartumaal asub neist 98 leviala, millest enamik asub Tartu linnas. <br /><br />
<br />
==Koduvõrgu kaitsmine==<br />
<br />
Kui sõita läbi Tallinna kesklinna Mustamäele ja tagasi, jääb marsruudile ligi 1200 WiFi leviala, paljud küll asutuste, kuid enamus siiski kodukasutajate omad. Rõõmustaval kombel on 80-90% neist kasvõi mingilgi määral kaitstud, nii et pätt, kes neid kuritarvitada püüab, riskib juba ametlikult paragrahviga, mis räägib arvutivõrgu ebaseaduslikust kasutamisest kaitsevahendi kõrvaldamise teel. <br />
Esimene ja kõige tähtsam: muuta ruuteri vaikeseadeid! Iga ruuteri kasutusjuhend koos vaikeparooliga on netist vabalt allalaaditav ning administraatori, mõnel juhul ka vaikekasutaja parooli muutmata jätmine on sama, mis lahtisele uksele veel ka võtmed ette unustada. <br /><br />
Kindlasti tuleks muuta ka SSID (Service Set Identfier ehk teenusevõrgu nimi, mille ruuter välja saadab), kasvõi selleks, et koduvõrk naabrimehe omaga vahetusse ei satuks (mõelge oma üleelamistele olukorras, kus naabrimees kasvõi kogemata teie allalaadimiskiirusest oma osa saab), aga ka sellepärast, et näiteks mõnede Linksys’i mudelite puhul piisas vähemalt mõnda aega tagasi SSID teadmisest, et selle tarkvara uuega asendada. Kui ruuteri tarkvara vähegi võimaldab (ja enamus võimaldab), tuleks SSID väljakuulutamine üldse ära keelata. Suunatud rünnaku vastu see küll ei aita, kuid keskkoolikräkker võib SSID väljanuuskimiseks kuluvat aega liiga tüütuks pidada. <br /><br />
Kui ruuteri tarkvara sellega hakkama saab, tuleks kasutada MAC-aadressi (iga võrgukaardi unikaalne identifikaator) põhist filtreerimist, omistada igale võrku kasutavale arvutile staatiline IP ja ülejäänud IP aadresside vahemikule ligipääs keelata. Jällegi – kunagi ei tea, kas kurjam viitsib MAC- ja IP aadressi võltsimisega vaeva näha. <br /><br />
Kõige tähtsam – kasutage signaali krüpteeringut, nii kanget, kui teie ruuter vähegi kannatab. 64-bitist WEP-i murrab kurikael mõned minutid, 128-bitist WEP-i kuni kaks tundi, kui parool just sõnaraamatus kirjas ei ole, WPA-d võib ta heal juhul murdma jäädagi. Toore jõuga (brute force) kuluks WPA murdmiseks päevi, selle asemel rünnatakse pigem krüpteerimisvõtme vahetushetke, mis WPA lihtsamate versioonide puhul on teinekord veerand tunniga lahtimurtav. Siiski on WPA, eriti selle kommertsversioonid tunduvalt turvalisemad kui WEP, viimane aga on kindlasti parem kui igasuguse krüpteeringu puudumine. <br /><br />
Ja veel kaks võtet koduvõrgu kaitsmiseks: ruuter tuleks püüda paigutada nii, et selle leviala ruumidest võimalikult vähe välja ulatuks, kui aga WiFi-t pikka aega ei kasutata, on targem ruuter üldse välja lülitada. <br /><br />
<br />
==WiFi-võrkude turvalisus==<br />
<br />
WiFi turvalisus on väga keeruline ja mitmetahuline teema. Selge on aga see, et võimalike probleemide ees silma kinnipigistamine olukorda ei lahenda. WiFi levib tahes-tahmata ja ükskõik kui hästi te seda ka varjestada või piiritleda ei prooviks, ikkagi levib see teie eluruumidest kaugemale. <br /><br />
Kogutud Aga kuidas on lood WiFi piiramisega andmete põhjal on 42% Tallinna WiFi-seadmetest lahtise võrguga (ilma WEP või WPA kaitseta). See ei tähenda küll päris nelja tuhandet (mitteametlikku) avalikku internetipunkti, sest selles statistikas ei kajastu MAC-aadressi kontrolliga piiratud võrgud ega keerulisemaid turvameetmeid. Ent kui vaadata, kui palju on samas tootjanimedega võrke (Linksys, Default, Wireless, WLAN), võib kahtlustada, et enamikule neist on täiesti vaba juurdepääs. <br /><br />
Enamik kontvõõrastest kasutajatest pole ju pahatahtlikud – tahavad lihtsalt netis surfata, meile lugeda, sõnumsidet kasutada. Peate ainult arvestama sellega, et võõras arvutis olevad viirused võivad ohustada teiegi arvutit ning kui netiühendus järsku väga aeglaseks jääb, võib olla süüdi teie heatahtlikkust kuritarvitav naabripoiss – kasutage alati tulemüüri, viirusetõrjet ning kahtluste korral jälgige võrguseadmest, millised MAC-aadressid on viimasel ajal teie võrguühendust tarbinud. <br /><br />
<br />
==SSID ja MAC-aadress==<br />
<br />
Igal WiFi-võrgul on oma nimi. Seda saab ise määrata. Mõistlikuks ei saa pidada ka oma aadressi kasutamist SSID-nimena – Korter 12, II korrus, Firmanimi OÜ jne. Kui tõesti tahate, et võõrad teie WiFi-võrguga liituda oskaksid, kasutage meiliaadressi või telefoninumbrit. Firmanime kasutamine hõlbustab häkkerite tööd, kodune aadress võib olla aga reklaamiks varastele – siit on vähemalt arvuti kaasa võtta. MAC-aadress on unikaalne kood, mis on igal võrgukaardil ja võrguseadmel erinev. Tüüpiliselt on see aadress kujul 00:02:3F:33:4A:89. Sellest esimesed kolm märgivad tootjafirmat (00:02:3F – Intel Corp), tagumised kolm moodustavad iga kaardi kordumatu koodi. <br /><br />
MAC-aadresside litsentseerimisega tegeleb IEEE Standards Association. MAC-aadress ehk meediumipöörduse juhtimise aadress (inglise keeles Media Access Control) on võrguseadmete unikaalne identifitseerija, mis määratakse võrgukaardile tootmise käigus. Tootja poolt määratud MAC aadress võiks olla ülemaailmselt unikaalne, kuid on siiski tarkvaraliselt muudetav enamusel 21. saj alguse võrgukaartidel. <br /><br />
<br />
==WEP, WPA, WPA2==<br />
<br />
WEP ehk Wired Equivalent Privacy on protokoll, mis loodi tegemaks standardile IEEE 802.11 vastav traadita internetiühendus sama turvaliseks kui seda on tavaline juhtme teel leviv internetiühendus. WEP kasutab krüpteerimiseks RC4 algoritmi ning tervikluse hindamiseks CRC32 kontrollsummasid. Võtme pikkuse järgi eristatakse 64, 128 ja 256 bitiseid WEP-e, mis kasutavad siis vastavalt 40, 104 ja 232 bitiseid paroole. Igale kasutaja poolt sisestatud salajasele võtmele lisatakse 24 bitine IV (Initialization Vector) vektor, mille järgi siis kokkuvõttes krüpteeritakse paketid kasutades RC4 algoritmi. Üheks suurimaks WEP turvaprobleemiks on liigselt väike erinevate võimalike IV vektorite hulk. WEP on väga lihtsalt lahti murtav, arvuti tegi seda IT Kolledzi laborites viie minuti jooksul, oli väga huvitav. <br /><br />
<br />
WPA loodigi WEP krüpteeringu asendamiseks. Eksisteerib 2 lahendust – WPA-PSK ja WPA Enterprise. WPA-PSK puhul kasutatakse kõigil WiFi klientidel sama 8-63 märgi pikkust parooli. See on turvaline ainult siis, kui valida vähemalt 33 märgi pikkune suvalistest märkidest koosnev parool. WPA Enterprise lahenduses kasutatakse RADIUS serverit, seega iga kasutaja peab WiFi võrku sisse logima oma kasutajanime ja parooliga. <br /><br />
<br />
WPA2 on WPA uuem versioon, milles on kohustuslikuks tehtud tugevama krüpteeringu kasutamine. Praegusel momendil loetakse ainukeseks lihtsasti kättesaadavaks WiFi turvalisuseks WPA2 Enterprise lahendust. WPA on andmeturbe protokoll, mis kasutab TKIP (Temporal Key Integrity Protocol) protokolli ja AES (Advanced Encryption Standard) algoritmi ning autentimiseks EAP (Extensible Authentication Protocol) protokolli. WPA on küll palju turvalisem kui WEP, kuid siiski on tänapäeval juba võimalik ka seda andmeturbe protokolli lahti murda. WPA2 on WPA edasiarendus. Praeguse seisuga on see kõige turvalisem andmeturbe protokoll, mida ei ole võimalik eriti lihtsalt lahti murda. <br /><br />
<br />
==WiFi-võrgu kaitsmine==<br />
<br />
Statistika järgi on 42% Tallinna WiFi-võrkudest kaitseta. Tegelikult päris nii vabameelne meie võrgundus siiski pole – NetStumbleri statistika ei kajasta näiteks MAC-aadressi, captive-veebiserveri või muude keerukamate võtetega piiratud võrke. Ent julgeks siiski väita, et Tallinnas on iga kolmas WiFi-võrk kõigile külastajatele avatud. <br /><br />
<br />
*Valige sobiv kaitsemeetod <br /><br />
Koduse WiFi-võrgu turvamiseks on mitu võimalust. Valikus on peamiselt 64- või 128-bitine WEP (mõnel juhul ka 256-bitine WEP), WPA-PSK ja MAC-aadresside piirang. Kõige turvalisem on WPA-PSK, kõige kesisema turvalisusega aga MAC-aadresside piirang (kuigi juurdepääs on piiratud, on ühendus siiski vabalt pealtkuulatav). Kõik peale WPA-PSK ei paku kogenud häkkerile olulist peavalu, ent peletavad kindlasti eemale soovimatud juhukülalised. Ka WPA-PSK on kindel vaid juhul, kui kasutatud parool on pikk, ei põhine sõnaraamatus leiduval sõnal ning sisaldab nii tähti, numbreid kui ka muid märke (soovitan vähemalt 12-märgilist parooli). <br /><br />
<br />
*Kontrollige turbemeetodi ühilduvust <br /><br />
Valitud turbemeetodit peavad toetama nii WiFi-seade, arvuti WiFi-kaart kui ka opsüsteem. Enamik vanematest WiFi-seadmetest ei toeta WPA-d. Ka uue soetamisel tasub selle kohta poest kindlasti eraldi küsida. Samuti võib odavamatel, väiksema jõudlusega WiFi-seadmetel esineda olulist kiiruse kadu või ajutist ühenduse katkemist tugeva võtme kasutamise korral – krüpteerimise puhul on ikkagi tegu matemaatiliselt ressursinõudliku tegevusega. Probleemide korral peate leppima nõrgema turbemeetodiga. <br /><br />
<br />
==Paragrahvid==<br />
<br />
Loomulikult on e-tiigrina tuntud Eesti Vabariigi Karistusseadustikus ka võrgupättused ära mainitud. AP-de olemasolu ja nende poolt edastatavate eetriandmete (SSID, tootjafirma, krüpteerimismeetod jms) registreerimine, entusiastide keeles wardriving otsesõnu ebaseaduslik ei ole, võrguliikluse pealtkuulamine aga juba küll. Näiteks on karistatav arvuti, arvutisüsteemi ja arvutivõrgu ebaseaduslik kasutamine koodi, salasõna või muu kaitsevahendi kõrvaldamise teel (§217) – selle paragrahvi alla võiks ilusti mahtuda näiteks MAC aadressi võltsimine ruuterisse sisenemiseks, samuti WEP ja WPA võtme lahtimurdmine. Karistatav on ka arvutivõrgu ühenduse kahjustamine (§207) ehk siis DoS rünnak või signaali segamine (jamming). Võõraste meilide ja kiirsõnumite lugemise eest ähvardab pätti sõnumisaladuse rikkumise paragrahv (§156), kui aga pealtkuulatud andmeid kasutatakse varalise kasu saamise eesmärgil (§213), võib kurikaela oodata juba kuni viieaastane puhkus ruudulise päikese paistel. Samuti ei tasu alahinnata Eesti politsei võimekust arvutikurikaelte tabamisel – arvutivõrku tungimise eest on juba kohtu ette viidud rohkem kui üks tegelane… <br /><br />
<br />
==Kokkuvõte==<br />
<br />
Kokkuvõteks võin ütelda, et kõik see on väga hea, et on olemas Wi-Fi leviala mis on turvaline ja palju teadmisi selle kohta, et saab ka teistele sellest rääkida, kõik meie maailmas areneb ja areneb, aga ei tohi unustada, et need kurikaelad ka arenevad koos sellistega krüptoalgoritmidega, nad ei maga! Kõik mida loob inimene on võimalik murta. <br /><br />
Wi-Fi populaarsus kasvab ja seda kasutab rohkem ja rohkem inimesi, siis tuleb järjest rohkem tähelepanu pöörata ka sellele, milliseid Wi-Fi standardeid ja andmeturbe protokolle erinevad seadmed kasutavad. Erinevaid standardeid on vaja teada selleks, et oleks teada millised seadmed on võimelised milliste võrkudega ühenduma. <br /><br />
Samas on sama oluline ka traadita võrkude turvalisus, et keegi pahatahtlik inimene ei pääseks ligi informatsioonile, millega ta saaks sulle ja ka teistele kahju tekitada. Keegi meist ju ei tahaks, et meie isiklikku infot kasutataks meile või kellelegi teisele halva tegemise eesmärgil. Kuna kirjutasin seda referaadi, siis arvan küll et targaks sain, leidsin ja lugesin palju materjale Wi-Fi standarditest, milleks nad üldse olulised on ja sain ette kujutada nende evolutsiooni mis on mulle, nagu tulevikkus IT inimesele väga tarvis ja huvitav. <br /><br />
<br />
==Autor==<br />
<br />
Sergei Barol A21 <br /><br />
[mailto:sbarol@itcollege.ee sbarol@itcollege.ee]<br />
<br />
==Allikad==<br />
<br />
1. http://en.wikipedia.org/wiki/IEEE_802.11 <br /><br />
2. http://www.elenor.ee/artiklid/wifi-ule-kogu-kontori/ <br /><br />
3. http://blog.izall.com/2008/04/03/ainulaadne-wifi-turvalisus/ <br /><br />
4. http://www.arvutikasutaja.ee/artikkel.php?lk=3&id=207&sid=447f621c286189c007c2ccb0e81af757 <br /><br />
5. http://www.arvutikaitse.ee/?p=189 <br /><br />
6. http://www.arvutikaitse.ee/?p=720 <br /><br />
7. http://wiki.wifi.ee/index.php?title=WiFi <br /><br />
8. http://wiki.wifi.ee/index.php?title=Esileht <br /><br />
9. http://wiki.wifi.ee/index.php?title=WPA <br /><br />
10. http://en.wikipedia.org/wiki/Wi-Fi <br /><br />
11. http://en.wikipedia.org/wiki/Wireless_security <br /><br />
12. http://www.wi-fi.org/<br />
<br />
[[Category:Traadita side alused]]</div>Sbarolhttps://wiki.itcollege.ee/index.php?title=Wifi_turve&diff=9773Wifi turve2010-05-11T08:47:33Z<p>Sbarol: /* Sissejuhatus */</p>
<hr />
<div>'''WiFi''' (Wireless Fidelity) ehk raadiokohtvõrk või raadio-Ethernet. Wi-Fi on WECA (Wireless Ethernet Compatibility Alliance) poolt propageeritav kaubamärk, vastab raadiokohtvõrgu standardile IEEE 802.11 ning kujutab endast Ethernet-kohtvõrku, kus kaablid on asendatud raadiolinkidega ja kasutatakse raadio-Etherneti otsejada-versiooni (DS). WiFi on ühilduv PC-kaartidega ja WiFi logot kandvate tugijaamadega. Vahel kutsutakse raadiokohtvõrke ka "traadita Internetiks", kuid tegelikult on ikkagi tegemist traadita kohtvõrkudega, mis võivad muidugi olla ühendatud ka Internetiga. <br /><br />
<br />
==Sissejuhatus==<br />
<br />
Paljud inimesed küll kasutavad Wi-Fit kuid pole teadlikud selle erinevatest standarditest ja turvalisusega seotud probleemidest. Nii Eestis kui ka mujal maailmas on viimase kümnendi jooksul toimunud revolutsioon juhtmeta internetiühenduste valdkonnas. Kuigi alles 2001 aastal käivitus esimene avalik WiFi Leviala Eestis, on nüüdseks jõutud olukorda, kus tundub imelik, kui kohvikusse või mõnesse muusse avalikku teenust pakkuvasse asutusse minnes ei ole võimalik ligi pääseda ühessegi traadita interneti levialasse. Lisaks arvutitele on nüüdseks juba ka suuremal osal kallima hinnaklassiga mobiiltelefonidel juures võimalus ühendada ennast traadita interneti võrku. See toob endaga kaasa aga juba uusi funktsioone nagu näiteks tasuta VoIP kõned või internetiraadiod mobiiltelefonides, mis omakorda suurendavad nõudlust järjest rohkemate levialade järele. <br /><br />
Wi-Fi on tänapäeval väga tuntud ja laialdaselt levinud. Wi-Fi leviala võib leida peaaegu igas natuke suuremas kohvikus, pubis, baaris ja nüüd on võimalik seda leida ka pargis, rääkimata kodudest ja kontoritest. Võimalik, et paljud üldse ei tea, mida täpsemalt tähendab see salapärane lühend Wi-Fi, mida kõik nii uljalt kasutavad, rääkimata sellest, et nad teaksid, millised on Wi-Fi erinevad standardid ja andmeturbe protokollid. Kui minna natuke lähemalt siis minu jaoks Wi-Fi ilmumise aeg oli nagu suur revolutsioon, sest mina ei saanud aru kuidas saab kasutada Interneti ilma traadideta, istuda kodus oma läpakaga näiteks voodi peal kuulata muusikat ja surfata internetis. Ja kuna see on meie tänapäevane elu siis see on mitteturvaline ja kõik kes tahab midagi kurja teha saab seda kergesti realiseerida ja selleks, et vältida raskuseid ja ründeid Wi-Fi kaitseks tuleksid erinevad turveprotokollid, mis vastavad stardarditele. <br /> <br />
See on nagu meie elu, kõik peab olema turvaline, näiteks korterites on uksed koos lukuga ja kui mina ei taha, et keegi tuli minu juurde siis ma panen korteri luku või signalisatsiooni. Esialgu olid personaalsed võrgud täiesti kaitseta kuni võrguhaldaja ise ta kaitse alla pani. Sellest hoolimata on suur osa võrkudest siiamaani turvatud kas nõrga turvalisusega WEP algoritmiga või üldse laiali maailmale täiesti avatud. Minu kodus näiteks on üks Wi-Fi leviala, mis on turvatud WPA2 abil, aga näiteks kui vaadata milliseid levialad on meie majas veel on olemas, siis on selline pilt, et mõned on täiesti avatud igaühele, kes vähegi soovib internetti kasutada. Minu arvates see on ebamugav, üldse mitteturvaline ja mõtetus asi, kui on olemas Wi-Fi leviala, pane näiteks parooli, et see on parem kui ilma paroolideta. Selline olukord loob aga suurepärase võimaluse pahatahtlikel inimestel võrku pealt kuulata ning saada informatsiooni näiteks salajaste paroolide või muude tähtsate andmete kohta. <br /><br />
Wi-Fi on meie maailmas arenb edasi suure sammudega ja see mis meil on tänapäeval olemas ei ole piir. Kõigepealt, kuna areneb traadita andmeside siis koos sellega ilmuvad uued krüptoalgoritmid ja protokollid mis on loomulikult arenevad koos Wi-Figa. Seega on selge, et interneti tulevik kuulub WiFi-le. <br /><br />
<br />
==Kasutusala==<br />
<br />
Wi-Fi on kasutusel kodustes võrkudes, kontorites, mobiiltelefonides, videomängudes ja paljudes teistes elektroonilistes seadmetes mis vajavad mingisugust traadita võrku. Wi-Fi tehnoloogiat toetavad peaaegu kõik tänapäevased arvuti operatsioonisüsteemid, mängukonsoolid ning ka paljud printerid ja teised välisseadmed. <br /><br />
Wi-Fi eesmärk on pakkuda traadita ligipääsu digitaalsele sisule. Selle sisu alla võivad kuuluda nii rakendused, heli, visuaalne meedia, Interneti ühendus ning ka muud andmed. Wi-Fi muudab informatsioonile ligipääsu üldiselt lihtsamaks, kuna see saab eemaldada mõningad füüsilised piirangud mis on seotud kaabeldusega. Wi-Fi’ga varustatud seade nagu näiteks PC, mängukonsool, mobiiltelefon, MP3 mängija või PDA saab ühenduda Internetiga, kui see asub traadita võrgus, mis on ühendatud internetiga. <br /> <br />
Peale selle, et Wi-Fit kasutatakse kodudes ja kontorites, on see laialt kasutuses ka avalikes kohtades, kus pakutakse traadita Interneti teenust kas tasuta või siis mingi rahasumma eest. Wifi.ee andmetel on praegu Eestis kokku 1175 Wi-Fi- leviala 45 000 km2 kohta. Tartumaal asub neist 98 leviala, millest enamik asub Tartu linnas. <br /><br />
<br />
==Koduvõrgu kaitsmine==<br />
<br />
Kui sõita läbi Tallinna kesklinna Mustamäele ja tagasi, jääb marsruudile ligi 1200 WiFi leviala, paljud küll asutuste, kuid enamus siiski kodukasutajate omad. Rõõmustaval kombel on 80-90% neist kasvõi mingilgi määral kaitstud, nii et pätt, kes neid kuritarvitada püüab, riskib juba ametlikult paragrahviga, mis räägib arvutivõrgu ebaseaduslikust kasutamisest kaitsevahendi kõrvaldamise teel. <br />
Esimene ja kõige tähtsam: muuta ruuteri vaikeseadeid! Iga ruuteri kasutusjuhend koos vaikeparooliga on netist vabalt allalaaditav ning administraatori, mõnel juhul ka vaikekasutaja parooli muutmata jätmine on sama, mis lahtisele uksele veel ka võtmed ette unustada. <br /><br />
Kindlasti tuleks muuta ka SSID (Service Set Identfier ehk teenusevõrgu nimi, mille ruuter välja saadab), kasvõi selleks, et koduvõrk naabrimehe omaga vahetusse ei satuks (mõelge oma üleelamistele olukorras, kus naabrimees kasvõi kogemata teie allalaadimiskiirusest oma osa saab), aga ka sellepärast, et näiteks mõnede Linksys’i mudelite puhul piisas vähemalt mõnda aega tagasi SSID teadmisest, et selle tarkvara uuega asendada. Kui ruuteri tarkvara vähegi võimaldab (ja enamus võimaldab), tuleks SSID väljakuulutamine üldse ära keelata. Suunatud rünnaku vastu see küll ei aita, kuid keskkoolikräkker võib SSID väljanuuskimiseks kuluvat aega liiga tüütuks pidada. <br /><br />
Kui ruuteri tarkvara sellega hakkama saab, tuleks kasutada MAC-aadressi (iga võrgukaardi unikaalne identifikaator) põhist filtreerimist, omistada igale võrku kasutavale arvutile staatiline IP ja ülejäänud IP aadresside vahemikule ligipääs keelata. Jällegi – kunagi ei tea, kas kurjam viitsib MAC- ja IP aadressi võltsimisega vaeva näha. <br /><br />
Kõige tähtsam – kasutage signaali krüpteeringut, nii kanget, kui teie ruuter vähegi kannatab. 64-bitist WEP-i murrab kurikael mõned minutid, 128-bitist WEP-i kuni kaks tundi, kui parool just sõnaraamatus kirjas ei ole, WPA-d võib ta heal juhul murdma jäädagi. Toore jõuga (brute force) kuluks WPA murdmiseks päevi, selle asemel rünnatakse pigem krüpteerimisvõtme vahetushetke, mis WPA lihtsamate versioonide puhul on teinekord veerand tunniga lahtimurtav. Siiski on WPA, eriti selle kommertsversioonid tunduvalt turvalisemad kui WEP, viimane aga on kindlasti parem kui igasuguse krüpteeringu puudumine. <br /><br />
Ja veel kaks võtet koduvõrgu kaitsmiseks: ruuter tuleks püüda paigutada nii, et selle leviala ruumidest võimalikult vähe välja ulatuks, kui aga WiFi-t pikka aega ei kasutata, on targem ruuter üldse välja lülitada. <br /><br />
<br />
==WiFi-võrkude turvalisus==<br />
<br />
WiFi turvalisus on väga keeruline ja mitmetahuline teema. Selge on aga see, et võimalike probleemide ees silma kinnipigistamine olukorda ei lahenda. WiFi levib tahes-tahmata ja ükskõik kui hästi te seda ka varjestada või piiritleda ei prooviks, ikkagi levib see teie eluruumidest kaugemale. <br /><br />
Kogutud Aga kuidas on lood WiFi piiramisega andmete põhjal on 42% Tallinna WiFi-seadmetest lahtise võrguga (ilma WEP või WPA kaitseta). See ei tähenda küll päris nelja tuhandet (mitteametlikku) avalikku internetipunkti, sest selles statistikas ei kajastu MAC-aadressi kontrolliga piiratud võrgud ega keerulisemaid turvameetmeid. Ent kui vaadata, kui palju on samas tootjanimedega võrke (Linksys, Default, Wireless, WLAN), võib kahtlustada, et enamikule neist on täiesti vaba juurdepääs. <br /><br />
Enamik kontvõõrastest kasutajatest pole ju pahatahtlikud – tahavad lihtsalt netis surfata, meile lugeda, sõnumsidet kasutada. Peate ainult arvestama sellega, et võõras arvutis olevad viirused võivad ohustada teiegi arvutit ning kui netiühendus järsku väga aeglaseks jääb, võib olla süüdi teie heatahtlikkust kuritarvitav naabripoiss – kasutage alati tulemüüri, viirusetõrjet ning kahtluste korral jälgige võrguseadmest, millised MAC-aadressid on viimasel ajal teie võrguühendust tarbinud. <br /><br />
<br />
==SSID ja MAC-aadress==<br />
<br />
Igal WiFi-võrgul on oma nimi. Seda saab ise määrata. Mõistlikuks ei saa pidada ka oma aadressi kasutamist SSID-nimena – Korter 12, II korrus, Firmanimi OÜ jne. Kui tõesti tahate, et võõrad teie WiFi-võrguga liituda oskaksid, kasutage meiliaadressi või telefoninumbrit. Firmanime kasutamine hõlbustab häkkerite tööd, kodune aadress võib olla aga reklaamiks varastele – siit on vähemalt arvuti kaasa võtta. MAC-aadress on unikaalne kood, mis on igal võrgukaardil ja võrguseadmel erinev. Tüüpiliselt on see aadress kujul 00:02:3F:33:4A:89. Sellest esimesed kolm märgivad tootjafirmat (00:02:3F – Intel Corp), tagumised kolm moodustavad iga kaardi kordumatu koodi. <br /><br />
MAC-aadresside litsentseerimisega tegeleb IEEE Standards Association. MAC-aadress ehk meediumipöörduse juhtimise aadress (inglise keeles Media Access Control) on võrguseadmete unikaalne identifitseerija, mis määratakse võrgukaardile tootmise käigus. Tootja poolt määratud MAC aadress võiks olla ülemaailmselt unikaalne, kuid on siiski tarkvaraliselt muudetav enamusel 21. saj alguse võrgukaartidel. <br /><br />
<br />
==WEP, WPA, WPA2==<br />
<br />
WEP ehk Wired Equivalent Privacy on protokoll, mis loodi tegemaks standardile IEEE 802.11 vastav traadita internetiühendus sama turvaliseks kui seda on tavaline juhtme teel leviv internetiühendus. WEP kasutab krüpteerimiseks RC4 algoritmi ning tervikluse hindamiseks CRC32 kontrollsummasid. Võtme pikkuse järgi eristatakse 64, 128 ja 256 bitiseid WEP-e, mis kasutavad siis vastavalt 40, 104 ja 232 bitiseid paroole. Igale kasutaja poolt sisestatud salajasele võtmele lisatakse 24 bitine IV (Initialization Vector) vektor, mille järgi siis kokkuvõttes krüpteeritakse paketid kasutades RC4 algoritmi. Üheks suurimaks WEP turvaprobleemiks on liigselt väike erinevate võimalike IV vektorite hulk. WEP on väga lihtsalt lahti murtav, arvuti tegi seda IT Kolledzi laborites viie minuti jooksul, oli väga huvitav. <br /><br />
<br />
WPA loodigi WEP krüpteeringu asendamiseks. Eksisteerib 2 lahendust – WPA-PSK ja WPA Enterprise. WPA-PSK puhul kasutatakse kõigil WiFi klientidel sama 8-63 märgi pikkust parooli. See on turvaline ainult siis, kui valida vähemalt 33 märgi pikkune suvalistest märkidest koosnev parool. WPA Enterprise lahenduses kasutatakse RADIUS serverit, seega iga kasutaja peab WiFi võrku sisse logima oma kasutajanime ja parooliga. <br /><br />
<br />
WPA2 on WPA uuem versioon, milles on kohustuslikuks tehtud tugevama krüpteeringu kasutamine. Praegusel momendil loetakse ainukeseks lihtsasti kättesaadavaks WiFi turvalisuseks WPA2 Enterprise lahendust. WPA on andmeturbe protokoll, mis kasutab TKIP (Temporal Key Integrity Protocol) protokolli ja AES (Advanced Encryption Standard) algoritmi ning autentimiseks EAP (Extensible Authentication Protocol) protokolli. WPA on küll palju turvalisem kui WEP, kuid siiski on tänapäeval juba võimalik ka seda andmeturbe protokolli lahti murda. WPA2 on WPA edasiarendus. Praeguse seisuga on see kõige turvalisem andmeturbe protokoll, mida ei ole võimalik eriti lihtsalt lahti murda. <br /><br />
<br />
==WiFi-võrgu kaitsmine==<br />
<br />
Statistika järgi on 42% Tallinna WiFi-võrkudest kaitseta. Tegelikult päris nii vabameelne meie võrgundus siiski pole – NetStumbleri statistika ei kajasta näiteks MAC-aadressi, captive-veebiserveri või muude keerukamate võtetega piiratud võrke. Ent julgeks siiski väita, et Tallinnas on iga kolmas WiFi-võrk kõigile külastajatele avatud. <br /><br />
<br />
*Valige sobiv kaitsemeetod <br /><br />
Koduse WiFi-võrgu turvamiseks on mitu võimalust. Valikus on peamiselt 64- või 128-bitine WEP (mõnel juhul ka 256-bitine WEP), WPA-PSK ja MAC-aadresside piirang. Kõige turvalisem on WPA-PSK, kõige kesisema turvalisusega aga MAC-aadresside piirang (kuigi juurdepääs on piiratud, on ühendus siiski vabalt pealtkuulatav). Kõik peale WPA-PSK ei paku kogenud häkkerile olulist peavalu, ent peletavad kindlasti eemale soovimatud juhukülalised. Ka WPA-PSK on kindel vaid juhul, kui kasutatud parool on pikk, ei põhine sõnaraamatus leiduval sõnal ning sisaldab nii tähti, numbreid kui ka muid märke (soovitan vähemalt 12-märgilist parooli). <br /><br />
<br />
*Kontrollige turbemeetodi ühilduvust <br /><br />
Valitud turbemeetodit peavad toetama nii WiFi-seade, arvuti WiFi-kaart kui ka opsüsteem. Enamik vanematest WiFi-seadmetest ei toeta WPA-d. Ka uue soetamisel tasub selle kohta poest kindlasti eraldi küsida. Samuti võib odavamatel, väiksema jõudlusega WiFi-seadmetel esineda olulist kiiruse kadu või ajutist ühenduse katkemist tugeva võtme kasutamise korral – krüpteerimise puhul on ikkagi tegu matemaatiliselt ressursinõudliku tegevusega. Probleemide korral peate leppima nõrgema turbemeetodiga. <br /><br />
<br />
==Paragrahvid==<br />
<br />
Loomulikult on e-tiigrina tuntud Eesti Vabariigi Karistusseadustikus ka võrgupättused ära mainitud. AP-de olemasolu ja nende poolt edastatavate eetriandmete (SSID, tootjafirma, krüpteerimismeetod jms) registreerimine, entusiastide keeles wardriving otsesõnu ebaseaduslik ei ole, võrguliikluse pealtkuulamine aga juba küll. Näiteks on karistatav arvuti, arvutisüsteemi ja arvutivõrgu ebaseaduslik kasutamine koodi, salasõna või muu kaitsevahendi kõrvaldamise teel (§217) – selle paragrahvi alla võiks ilusti mahtuda näiteks MAC aadressi võltsimine ruuterisse sisenemiseks, samuti WEP ja WPA võtme lahtimurdmine. Karistatav on ka arvutivõrgu ühenduse kahjustamine (§207) ehk siis DoS rünnak või signaali segamine (jamming). Võõraste meilide ja kiirsõnumite lugemise eest ähvardab pätti sõnumisaladuse rikkumise paragrahv (§156), kui aga pealtkuulatud andmeid kasutatakse varalise kasu saamise eesmärgil (§213), võib kurikaela oodata juba kuni viieaastane puhkus ruudulise päikese paistel. Samuti ei tasu alahinnata Eesti politsei võimekust arvutikurikaelte tabamisel – arvutivõrku tungimise eest on juba kohtu ette viidud rohkem kui üks tegelane… <br /><br />
<br />
==Kokkuvõte==<br />
<br />
Kokkuvõteks võin ütelda, et kõik see on väga hea, et on olemas Wi-Fi leviala mis on turvaline ja palju teadmisi selle kohta, et saab ka teistele sellest rääkida, kõik meie maailmas areneb ja areneb, aga ei tohi unustada, et need kurikaelad ka arenevad koos sellistega krüptoalgoritmidega, nad ei maga! Kõik mida loob inimene on võimalik murta. <br /><br />
Wi-Fi populaarsus kasvab ja seda kasutab rohkem ja rohkem inimesi, siis tuleb järjest rohkem tähelepanu pöörata ka sellele, milliseid Wi-Fi standardeid ja andmeturbe protokolle erinevad seadmed kasutavad. Erinevaid standardeid on vaja teada selleks, et oleks teada millised seadmed on võimelised milliste võrkudega ühenduma. <br /><br />
Samas on sama oluline ka traadita võrkude turvalisus, et keegi pahatahtlik inimene ei pääseks ligi informatsioonile, millega ta saaks sulle ja ka teistele kahju tekitada. Keegi meist ju ei tahaks, et meie isiklikku infot kasutataks meile või kellelegi teisele halva tegemise eesmärgil. Kuna kirjutasin seda referaadi, siis arvan küll et targaks sain, leidsin ja lugesin palju materjale Wi-Fi standarditest, milleks nad üldse olulised on ja sain ette kujutada nende evolutsiooni mis on mulle, nagu tulevikkus IT inimesele väga tarvis ja huvitav. <br /><br />
<br />
==Autor==<br />
<br />
Sergei Barol A21 <br /><br />
[mailto:sbarol@itcollege.ee sbarol@itcollege.ee]<br />
<br />
==Allikad==<br />
<br />
1. http://en.wikipedia.org/wiki/IEEE_802.11 <br /><br />
2. http://www.elenor.ee/artiklid/wifi-ule-kogu-kontori/ <br /><br />
3. http://blog.izall.com/2008/04/03/ainulaadne-wifi-turvalisus/ <br /><br />
4. http://www.arvutikasutaja.ee/artikkel.php?lk=3&id=207&sid=447f621c286189c007c2ccb0e81af757 <br /><br />
5. http://www.arvutikaitse.ee/?p=189 <br /><br />
6. http://www.arvutikaitse.ee/?p=720 <br /><br />
7. http://wiki.wifi.ee/index.php?title=WiFi <br /><br />
8. http://wiki.wifi.ee/index.php?title=Esileht <br /><br />
9. http://wiki.wifi.ee/index.php?title=WPA <br /><br />
10. http://en.wikipedia.org/wiki/Wi-Fi <br /><br />
11. http://en.wikipedia.org/wiki/Wireless_security <br /><br />
12. http://www.wi-fi.org/<br />
<br />
[[Category:Traadita side alused]]</div>Sbarolhttps://wiki.itcollege.ee/index.php?title=Wifi_turve&diff=9772Wifi turve2010-05-11T08:46:53Z<p>Sbarol: /* Sissejuhatus */</p>
<hr />
<div>'''WiFi''' (Wireless Fidelity) ehk raadiokohtvõrk või raadio-Ethernet. Wi-Fi on WECA (Wireless Ethernet Compatibility Alliance) poolt propageeritav kaubamärk, vastab raadiokohtvõrgu standardile IEEE 802.11 ning kujutab endast Ethernet-kohtvõrku, kus kaablid on asendatud raadiolinkidega ja kasutatakse raadio-Etherneti otsejada-versiooni (DS). WiFi on ühilduv PC-kaartidega ja WiFi logot kandvate tugijaamadega. Vahel kutsutakse raadiokohtvõrke ka "traadita Internetiks", kuid tegelikult on ikkagi tegemist traadita kohtvõrkudega, mis võivad muidugi olla ühendatud ka Internetiga. <br /><br />
<br />
==Sissejuhatus==<br />
<br />
Paljud inimesed küll kasutavad Wi-Fit kuid pole teadlikud selle erinevatest standarditest ja turvalisusega seotud probleemidest. Nii Eestis kui ka mujal maailmas on viimase kümnendi jooksul toimunud revolutsioon juhtmeta internetiühenduste valdkonnas. Kuigi alles 2001 aastal käivitus esimene avalik WiFi Leviala Eestis, on nüüdseks jõutud olukorda, kus tundub imelik, kui kohvikusse või mõnesse muusse avalikku teenust pakkuvasse asutusse minnes ei ole võimalik ligi pääseda ühessegi traadita interneti levialasse. Lisaks arvutitele on nüüdseks juba ka suuremal osal kallima hinnaklassiga mobiiltelefonidel juures võimalus ühendada ennast traadita interneti võrku. See toob endaga kaasa aga juba uusi funktsioone nagu näiteks tasuta VoIP kõned või internetiraadiod mobiiltelefonides, mis omakorda suurendavad nõudlust järjest rohkemate levialade järele. <br /><br />
Wi-Fi on tänapäeval väga tuntud ja laialdaselt levinud. Wi-Fi leviala võib leida peaaegu igas natuke suuremas kohvikus, pubis, baaris ja nüüd on võimalik seda leida ka pargis, rääkimata kodudest ja kontoritest. Võimalik, et paljud üldse ei tea, mida täpsemalt tähendab see salapärane lühend Wi-Fi, mida kõik nii uljalt kasutavad, rääkimata sellest, et nad teaksid, millised on Wi-Fi erinevad standardid ja andmeturbe protokollid. Kui minna natuke lähemalt siis minu jaoks Wi-Fi ilmumise aeg oli nagu suur revolutsioon, sest mina ei saanud aru kuidas saab kasutada Interneti ilma traadideta, istuda kodus oma läpakaga näiteks voodi peal kuulata muusikat ja surfata internetis. Ja kuna see on meie tänapäevane elu siis see on mitteturvaline ja kõik kes tahab midagi kurja teha saab seda kergesti realiseerida ja selleks, et vältida raskuseid ja ründeid Wi-Fi kaitseks tuleksid erinevad turveprotokollid, mis vastavad stardarditele. See on nagu meie elu, kõik peab olema turvaline, näiteks korterites on uksed koos lukuga ja kui mina ei taha, et keegi tuli minu juurde siis ma panen korteri luku või signalisatsiooni. Esialgu olid personaalsed võrgud täiesti kaitseta kuni võrguhaldaja ise ta kaitse alla pani. Sellest hoolimata on suur osa võrkudest siiamaani turvatud kas nõrga turvalisusega WEP algoritmiga või üldse laiali maailmale täiesti avatud. Minu kodus näiteks on üks Wi-Fi leviala, mis on turvatud WPA2 abil, aga näiteks kui vaadata milliseid levialad on meie majas veel on olemas, siis on selline pilt, et mõned on täiesti avatud igaühele, kes vähegi soovib internetti kasutada. Minu arvates see on ebamugav, üldse mitteturvaline ja mõtetus asi, kui on olemas Wi-Fi leviala, pane näiteks parooli, et see on parem kui ilma paroolideta. Selline olukord loob aga suurepärase võimaluse pahatahtlikel inimestel võrku pealt kuulata ning saada informatsiooni näiteks salajaste paroolide või muude tähtsate andmete kohta. <br /><br />
Wi-Fi on meie maailmas arenb edasi suure sammudega ja see mis meil on tänapäeval olemas ei ole piir. Kõigepealt, kuna areneb traadita andmeside siis koos sellega ilmuvad uued krüptoalgoritmid ja protokollid mis on loomulikult arenevad koos Wi-Figa. Seega on selge, et interneti tulevik kuulub WiFi-le. <br /><br />
<br />
==Kasutusala==<br />
<br />
Wi-Fi on kasutusel kodustes võrkudes, kontorites, mobiiltelefonides, videomängudes ja paljudes teistes elektroonilistes seadmetes mis vajavad mingisugust traadita võrku. Wi-Fi tehnoloogiat toetavad peaaegu kõik tänapäevased arvuti operatsioonisüsteemid, mängukonsoolid ning ka paljud printerid ja teised välisseadmed. <br /><br />
Wi-Fi eesmärk on pakkuda traadita ligipääsu digitaalsele sisule. Selle sisu alla võivad kuuluda nii rakendused, heli, visuaalne meedia, Interneti ühendus ning ka muud andmed. Wi-Fi muudab informatsioonile ligipääsu üldiselt lihtsamaks, kuna see saab eemaldada mõningad füüsilised piirangud mis on seotud kaabeldusega. Wi-Fi’ga varustatud seade nagu näiteks PC, mängukonsool, mobiiltelefon, MP3 mängija või PDA saab ühenduda Internetiga, kui see asub traadita võrgus, mis on ühendatud internetiga. <br /> <br />
Peale selle, et Wi-Fit kasutatakse kodudes ja kontorites, on see laialt kasutuses ka avalikes kohtades, kus pakutakse traadita Interneti teenust kas tasuta või siis mingi rahasumma eest. Wifi.ee andmetel on praegu Eestis kokku 1175 Wi-Fi- leviala 45 000 km2 kohta. Tartumaal asub neist 98 leviala, millest enamik asub Tartu linnas. <br /><br />
<br />
==Koduvõrgu kaitsmine==<br />
<br />
Kui sõita läbi Tallinna kesklinna Mustamäele ja tagasi, jääb marsruudile ligi 1200 WiFi leviala, paljud küll asutuste, kuid enamus siiski kodukasutajate omad. Rõõmustaval kombel on 80-90% neist kasvõi mingilgi määral kaitstud, nii et pätt, kes neid kuritarvitada püüab, riskib juba ametlikult paragrahviga, mis räägib arvutivõrgu ebaseaduslikust kasutamisest kaitsevahendi kõrvaldamise teel. <br />
Esimene ja kõige tähtsam: muuta ruuteri vaikeseadeid! Iga ruuteri kasutusjuhend koos vaikeparooliga on netist vabalt allalaaditav ning administraatori, mõnel juhul ka vaikekasutaja parooli muutmata jätmine on sama, mis lahtisele uksele veel ka võtmed ette unustada. <br /><br />
Kindlasti tuleks muuta ka SSID (Service Set Identfier ehk teenusevõrgu nimi, mille ruuter välja saadab), kasvõi selleks, et koduvõrk naabrimehe omaga vahetusse ei satuks (mõelge oma üleelamistele olukorras, kus naabrimees kasvõi kogemata teie allalaadimiskiirusest oma osa saab), aga ka sellepärast, et näiteks mõnede Linksys’i mudelite puhul piisas vähemalt mõnda aega tagasi SSID teadmisest, et selle tarkvara uuega asendada. Kui ruuteri tarkvara vähegi võimaldab (ja enamus võimaldab), tuleks SSID väljakuulutamine üldse ära keelata. Suunatud rünnaku vastu see küll ei aita, kuid keskkoolikräkker võib SSID väljanuuskimiseks kuluvat aega liiga tüütuks pidada. <br /><br />
Kui ruuteri tarkvara sellega hakkama saab, tuleks kasutada MAC-aadressi (iga võrgukaardi unikaalne identifikaator) põhist filtreerimist, omistada igale võrku kasutavale arvutile staatiline IP ja ülejäänud IP aadresside vahemikule ligipääs keelata. Jällegi – kunagi ei tea, kas kurjam viitsib MAC- ja IP aadressi võltsimisega vaeva näha. <br /><br />
Kõige tähtsam – kasutage signaali krüpteeringut, nii kanget, kui teie ruuter vähegi kannatab. 64-bitist WEP-i murrab kurikael mõned minutid, 128-bitist WEP-i kuni kaks tundi, kui parool just sõnaraamatus kirjas ei ole, WPA-d võib ta heal juhul murdma jäädagi. Toore jõuga (brute force) kuluks WPA murdmiseks päevi, selle asemel rünnatakse pigem krüpteerimisvõtme vahetushetke, mis WPA lihtsamate versioonide puhul on teinekord veerand tunniga lahtimurtav. Siiski on WPA, eriti selle kommertsversioonid tunduvalt turvalisemad kui WEP, viimane aga on kindlasti parem kui igasuguse krüpteeringu puudumine. <br /><br />
Ja veel kaks võtet koduvõrgu kaitsmiseks: ruuter tuleks püüda paigutada nii, et selle leviala ruumidest võimalikult vähe välja ulatuks, kui aga WiFi-t pikka aega ei kasutata, on targem ruuter üldse välja lülitada. <br /><br />
<br />
==WiFi-võrkude turvalisus==<br />
<br />
WiFi turvalisus on väga keeruline ja mitmetahuline teema. Selge on aga see, et võimalike probleemide ees silma kinnipigistamine olukorda ei lahenda. WiFi levib tahes-tahmata ja ükskõik kui hästi te seda ka varjestada või piiritleda ei prooviks, ikkagi levib see teie eluruumidest kaugemale. <br /><br />
Kogutud Aga kuidas on lood WiFi piiramisega andmete põhjal on 42% Tallinna WiFi-seadmetest lahtise võrguga (ilma WEP või WPA kaitseta). See ei tähenda küll päris nelja tuhandet (mitteametlikku) avalikku internetipunkti, sest selles statistikas ei kajastu MAC-aadressi kontrolliga piiratud võrgud ega keerulisemaid turvameetmeid. Ent kui vaadata, kui palju on samas tootjanimedega võrke (Linksys, Default, Wireless, WLAN), võib kahtlustada, et enamikule neist on täiesti vaba juurdepääs. <br /><br />
Enamik kontvõõrastest kasutajatest pole ju pahatahtlikud – tahavad lihtsalt netis surfata, meile lugeda, sõnumsidet kasutada. Peate ainult arvestama sellega, et võõras arvutis olevad viirused võivad ohustada teiegi arvutit ning kui netiühendus järsku väga aeglaseks jääb, võib olla süüdi teie heatahtlikkust kuritarvitav naabripoiss – kasutage alati tulemüüri, viirusetõrjet ning kahtluste korral jälgige võrguseadmest, millised MAC-aadressid on viimasel ajal teie võrguühendust tarbinud. <br /><br />
<br />
==SSID ja MAC-aadress==<br />
<br />
Igal WiFi-võrgul on oma nimi. Seda saab ise määrata. Mõistlikuks ei saa pidada ka oma aadressi kasutamist SSID-nimena – Korter 12, II korrus, Firmanimi OÜ jne. Kui tõesti tahate, et võõrad teie WiFi-võrguga liituda oskaksid, kasutage meiliaadressi või telefoninumbrit. Firmanime kasutamine hõlbustab häkkerite tööd, kodune aadress võib olla aga reklaamiks varastele – siit on vähemalt arvuti kaasa võtta. MAC-aadress on unikaalne kood, mis on igal võrgukaardil ja võrguseadmel erinev. Tüüpiliselt on see aadress kujul 00:02:3F:33:4A:89. Sellest esimesed kolm märgivad tootjafirmat (00:02:3F – Intel Corp), tagumised kolm moodustavad iga kaardi kordumatu koodi. <br /><br />
MAC-aadresside litsentseerimisega tegeleb IEEE Standards Association. MAC-aadress ehk meediumipöörduse juhtimise aadress (inglise keeles Media Access Control) on võrguseadmete unikaalne identifitseerija, mis määratakse võrgukaardile tootmise käigus. Tootja poolt määratud MAC aadress võiks olla ülemaailmselt unikaalne, kuid on siiski tarkvaraliselt muudetav enamusel 21. saj alguse võrgukaartidel. <br /><br />
<br />
==WEP, WPA, WPA2==<br />
<br />
WEP ehk Wired Equivalent Privacy on protokoll, mis loodi tegemaks standardile IEEE 802.11 vastav traadita internetiühendus sama turvaliseks kui seda on tavaline juhtme teel leviv internetiühendus. WEP kasutab krüpteerimiseks RC4 algoritmi ning tervikluse hindamiseks CRC32 kontrollsummasid. Võtme pikkuse järgi eristatakse 64, 128 ja 256 bitiseid WEP-e, mis kasutavad siis vastavalt 40, 104 ja 232 bitiseid paroole. Igale kasutaja poolt sisestatud salajasele võtmele lisatakse 24 bitine IV (Initialization Vector) vektor, mille järgi siis kokkuvõttes krüpteeritakse paketid kasutades RC4 algoritmi. Üheks suurimaks WEP turvaprobleemiks on liigselt väike erinevate võimalike IV vektorite hulk. WEP on väga lihtsalt lahti murtav, arvuti tegi seda IT Kolledzi laborites viie minuti jooksul, oli väga huvitav. <br /><br />
<br />
WPA loodigi WEP krüpteeringu asendamiseks. Eksisteerib 2 lahendust – WPA-PSK ja WPA Enterprise. WPA-PSK puhul kasutatakse kõigil WiFi klientidel sama 8-63 märgi pikkust parooli. See on turvaline ainult siis, kui valida vähemalt 33 märgi pikkune suvalistest märkidest koosnev parool. WPA Enterprise lahenduses kasutatakse RADIUS serverit, seega iga kasutaja peab WiFi võrku sisse logima oma kasutajanime ja parooliga. <br /><br />
<br />
WPA2 on WPA uuem versioon, milles on kohustuslikuks tehtud tugevama krüpteeringu kasutamine. Praegusel momendil loetakse ainukeseks lihtsasti kättesaadavaks WiFi turvalisuseks WPA2 Enterprise lahendust. WPA on andmeturbe protokoll, mis kasutab TKIP (Temporal Key Integrity Protocol) protokolli ja AES (Advanced Encryption Standard) algoritmi ning autentimiseks EAP (Extensible Authentication Protocol) protokolli. WPA on küll palju turvalisem kui WEP, kuid siiski on tänapäeval juba võimalik ka seda andmeturbe protokolli lahti murda. WPA2 on WPA edasiarendus. Praeguse seisuga on see kõige turvalisem andmeturbe protokoll, mida ei ole võimalik eriti lihtsalt lahti murda. <br /><br />
<br />
==WiFi-võrgu kaitsmine==<br />
<br />
Statistika järgi on 42% Tallinna WiFi-võrkudest kaitseta. Tegelikult päris nii vabameelne meie võrgundus siiski pole – NetStumbleri statistika ei kajasta näiteks MAC-aadressi, captive-veebiserveri või muude keerukamate võtetega piiratud võrke. Ent julgeks siiski väita, et Tallinnas on iga kolmas WiFi-võrk kõigile külastajatele avatud. <br /><br />
<br />
*Valige sobiv kaitsemeetod <br /><br />
Koduse WiFi-võrgu turvamiseks on mitu võimalust. Valikus on peamiselt 64- või 128-bitine WEP (mõnel juhul ka 256-bitine WEP), WPA-PSK ja MAC-aadresside piirang. Kõige turvalisem on WPA-PSK, kõige kesisema turvalisusega aga MAC-aadresside piirang (kuigi juurdepääs on piiratud, on ühendus siiski vabalt pealtkuulatav). Kõik peale WPA-PSK ei paku kogenud häkkerile olulist peavalu, ent peletavad kindlasti eemale soovimatud juhukülalised. Ka WPA-PSK on kindel vaid juhul, kui kasutatud parool on pikk, ei põhine sõnaraamatus leiduval sõnal ning sisaldab nii tähti, numbreid kui ka muid märke (soovitan vähemalt 12-märgilist parooli). <br /><br />
<br />
*Kontrollige turbemeetodi ühilduvust <br /><br />
Valitud turbemeetodit peavad toetama nii WiFi-seade, arvuti WiFi-kaart kui ka opsüsteem. Enamik vanematest WiFi-seadmetest ei toeta WPA-d. Ka uue soetamisel tasub selle kohta poest kindlasti eraldi küsida. Samuti võib odavamatel, väiksema jõudlusega WiFi-seadmetel esineda olulist kiiruse kadu või ajutist ühenduse katkemist tugeva võtme kasutamise korral – krüpteerimise puhul on ikkagi tegu matemaatiliselt ressursinõudliku tegevusega. Probleemide korral peate leppima nõrgema turbemeetodiga. <br /><br />
<br />
==Paragrahvid==<br />
<br />
Loomulikult on e-tiigrina tuntud Eesti Vabariigi Karistusseadustikus ka võrgupättused ära mainitud. AP-de olemasolu ja nende poolt edastatavate eetriandmete (SSID, tootjafirma, krüpteerimismeetod jms) registreerimine, entusiastide keeles wardriving otsesõnu ebaseaduslik ei ole, võrguliikluse pealtkuulamine aga juba küll. Näiteks on karistatav arvuti, arvutisüsteemi ja arvutivõrgu ebaseaduslik kasutamine koodi, salasõna või muu kaitsevahendi kõrvaldamise teel (§217) – selle paragrahvi alla võiks ilusti mahtuda näiteks MAC aadressi võltsimine ruuterisse sisenemiseks, samuti WEP ja WPA võtme lahtimurdmine. Karistatav on ka arvutivõrgu ühenduse kahjustamine (§207) ehk siis DoS rünnak või signaali segamine (jamming). Võõraste meilide ja kiirsõnumite lugemise eest ähvardab pätti sõnumisaladuse rikkumise paragrahv (§156), kui aga pealtkuulatud andmeid kasutatakse varalise kasu saamise eesmärgil (§213), võib kurikaela oodata juba kuni viieaastane puhkus ruudulise päikese paistel. Samuti ei tasu alahinnata Eesti politsei võimekust arvutikurikaelte tabamisel – arvutivõrku tungimise eest on juba kohtu ette viidud rohkem kui üks tegelane… <br /><br />
<br />
==Kokkuvõte==<br />
<br />
Kokkuvõteks võin ütelda, et kõik see on väga hea, et on olemas Wi-Fi leviala mis on turvaline ja palju teadmisi selle kohta, et saab ka teistele sellest rääkida, kõik meie maailmas areneb ja areneb, aga ei tohi unustada, et need kurikaelad ka arenevad koos sellistega krüptoalgoritmidega, nad ei maga! Kõik mida loob inimene on võimalik murta. <br /><br />
Wi-Fi populaarsus kasvab ja seda kasutab rohkem ja rohkem inimesi, siis tuleb järjest rohkem tähelepanu pöörata ka sellele, milliseid Wi-Fi standardeid ja andmeturbe protokolle erinevad seadmed kasutavad. Erinevaid standardeid on vaja teada selleks, et oleks teada millised seadmed on võimelised milliste võrkudega ühenduma. <br /><br />
Samas on sama oluline ka traadita võrkude turvalisus, et keegi pahatahtlik inimene ei pääseks ligi informatsioonile, millega ta saaks sulle ja ka teistele kahju tekitada. Keegi meist ju ei tahaks, et meie isiklikku infot kasutataks meile või kellelegi teisele halva tegemise eesmärgil. Kuna kirjutasin seda referaadi, siis arvan küll et targaks sain, leidsin ja lugesin palju materjale Wi-Fi standarditest, milleks nad üldse olulised on ja sain ette kujutada nende evolutsiooni mis on mulle, nagu tulevikkus IT inimesele väga tarvis ja huvitav. <br /><br />
<br />
==Autor==<br />
<br />
Sergei Barol A21 <br /><br />
[mailto:sbarol@itcollege.ee sbarol@itcollege.ee]<br />
<br />
==Allikad==<br />
<br />
1. http://en.wikipedia.org/wiki/IEEE_802.11 <br /><br />
2. http://www.elenor.ee/artiklid/wifi-ule-kogu-kontori/ <br /><br />
3. http://blog.izall.com/2008/04/03/ainulaadne-wifi-turvalisus/ <br /><br />
4. http://www.arvutikasutaja.ee/artikkel.php?lk=3&id=207&sid=447f621c286189c007c2ccb0e81af757 <br /><br />
5. http://www.arvutikaitse.ee/?p=189 <br /><br />
6. http://www.arvutikaitse.ee/?p=720 <br /><br />
7. http://wiki.wifi.ee/index.php?title=WiFi <br /><br />
8. http://wiki.wifi.ee/index.php?title=Esileht <br /><br />
9. http://wiki.wifi.ee/index.php?title=WPA <br /><br />
10. http://en.wikipedia.org/wiki/Wi-Fi <br /><br />
11. http://en.wikipedia.org/wiki/Wireless_security <br /><br />
12. http://www.wi-fi.org/<br />
<br />
[[Category:Traadita side alused]]</div>Sbarolhttps://wiki.itcollege.ee/index.php?title=Wifi_turve&diff=9770Wifi turve2010-05-11T08:44:29Z<p>Sbarol: /* Sissejuhatus */</p>
<hr />
<div>'''WiFi''' (Wireless Fidelity) ehk raadiokohtvõrk või raadio-Ethernet. Wi-Fi on WECA (Wireless Ethernet Compatibility Alliance) poolt propageeritav kaubamärk, vastab raadiokohtvõrgu standardile IEEE 802.11 ning kujutab endast Ethernet-kohtvõrku, kus kaablid on asendatud raadiolinkidega ja kasutatakse raadio-Etherneti otsejada-versiooni (DS). WiFi on ühilduv PC-kaartidega ja WiFi logot kandvate tugijaamadega. Vahel kutsutakse raadiokohtvõrke ka "traadita Internetiks", kuid tegelikult on ikkagi tegemist traadita kohtvõrkudega, mis võivad muidugi olla ühendatud ka Internetiga. <br /><br />
<br />
==Sissejuhatus==<br />
<br />
Paljud inimesed küll kasutavad Wi-Fit kuid pole teadlikud selle erinevatest standarditest ja turvalisusega seotud probleemidest. Nii Eestis kui ka mujal maailmas on viimase kümnendi jooksul toimunud revolutsioon juhtmeta internetiühenduste valdkonnas. Kuigi alles 2001 aastal käivitus esimene avalik WiFi Leviala Eestis, on nüüdseks jõutud olukorda, kus tundub imelik, kui kohvikusse või mõnesse muusse avalikku teenust pakkuvasse asutusse minnes ei ole võimalik ligi pääseda ühessegi traadita interneti levialasse. Lisaks arvutitele on nüüdseks juba ka suuremal osal kallima hinnaklassiga mobiiltelefonidel juures võimalus ühendada ennast traadita interneti võrku. See toob endaga kaasa aga juba uusi funktsioone nagu näiteks tasuta VoIP kõned või internetiraadiod mobiiltelefonides, mis omakorda suurendavad nõudlust järjest rohkemate levialade järele. <br /><br />
Wi-Fi on tänapäeval väga tuntud ja laialdaselt levinud. Wi-Fi leviala võib leida peaaegu igas natuke suuremas kohvikus, pubis, baaris ja nüüd on võimalik seda leida ka pargis, rääkimata kodudest ja kontoritest. Võimalik, et paljud üldse ei tea, mida täpsemalt tähendab see salapärane lühend Wi-Fi, mida kõik nii uljalt kasutavad, rääkimata sellest, et nad teaksid, millised on Wi-Fi erinevad standardid ja andmeturbe protokollid. Kui minna natuke lähemalt siis minu jaoks Wi-Fi ilmumise aeg oli nagu suur revolutsioon, sest mina ei saanud aru kuidas saab kasutada Interneti ilma traadideta, istuda kodus oma läpakaga näiteks voodi peal kuulata muusikat ja surfata internetis. Ja kuna see on meie tänapäevane elu siis see on mitteturvaline ja kõik kes tahab midagi kurja teha saab seda kergesti realiseerida ja selleks, et vältida raskuseid ja ründeid Wi-Fi kaitseks tuleksid erinevad turveprotokollid, mis vastavad stardarditele. See on nagu meie elu, kõik peab olema turvaline, näiteks korterites on uksed koos lukuga ja kui mina ei taha, et keegi tuli minu juurde siis ma panen korteri luku või signalisatsiooni. Esialgu olid personaalsed võrgud täiesti kaitseta kuni võrguhaldaja ise ta kaitse alla pani. Sellest hoolimata on suur osa võrkudest siiamaani turvatud kas nõrga turvalisusega WEP algoritmiga või üldse laiali maailmale täiesti avatud. Minu kodus näiteks on üks Wi-Fi leviala, mis on turvatud WPA2 abil, aga näiteks kui vaadata milliseid levialad on meie majas veel on olemas, siis on selline pilt, et mõned on täiesti avatud igaühele, kes vähegi soovib internetti kasutada. Minu arvates see on ebamugav, üldse mitteturvaline ja mõtetus asi, kui on olemas Wi-Fi leviala, pane näiteks parooli, et see on parem kui ilma paroolideta. Selline olukord loob aga suurepärase võimaluse pahatahtlikel inimestel võrku pealt kuulata ning saada informatsiooni näiteks salajaste paroolide või muude tähtsate andmete kohta. <br /><br />
Minu referaadis jutt läheb sellest, millised on tänapäeval kõige populaarsemad turveprotokollid, näiteks WEP, WPA ja WP2 see on nagu evolutsioon: WEP on näiteks kõige esimesem turve protokoll ja tänapäeval on ta lihtsalt murtav, WPAga on asi natuke keerulisem sest see kasutab raskeid krüptoalgoritmeid. WPA on andmeturbe protokoll, mis kasutab TKIP protokolli ja AES algoritmi ning autentimiseks EAP protokolli. WPA2 on WPA edasiarendus. Praeguse seisuga on see kõige turvalisem andmeturbe protokoll, mida ei ole võimalik eriti lihtsalt lahti murda. Alguses jutt tuleb sellest, mis on üldse see sõna Wi-Fi tähendab, kuidas seda kasutab, milliseid standardid on maailmas olemas, milliseid on neist kõige levinunaid. Kuidas kodus ja mingis asutuses oma võrgu kaitsta, mida selleks tuleb teada, mida tuleb teha ja milliseid tegevused on keelatud, see on kõik selleks et võrk töötaks nii nagu ta peab! Meie laias maailmas on nii palju inimesi, kes tahab midagi saada näiteks ilma rahata ja veel paha asju kaasa tuua, selleks, et krakkerid ei saaksid minu asju varastada ja midgi halba mulle teha, ülioluline on see, et kõik peab olema turvaline, kui ostad mingi asju nt. ruuterit, siis sina pead mõelda kuidas saab seda kaitsta. Mõned ei taha ainult traadita interneti tasuta kasutada, nad tahavad midagi varastada või kui see on mitte kättesaadav siis teha katki see mis sulle vaja on. Lõpuks kirjutasin natuke sellist asjast nagu kuritegevused ja paragrahvid, sest kõik mida need kräkkerid tegevad on karistatav. <br /><br />
Wi-Fi on meie maailmas arenb edasi suure sammudega ja see mis meil on tänapäeval olemas ei ole piir. Kõigepealt, kuna areneb traadita andmeside siis koos sellega ilmuvad uued krüptoalgoritmid ja protokollid mis on loomulikult arenevad koos Wi-Figa. Seega on selge, et interneti tulevik kuulub WiFi-le. <br /><br />
<br />
==Kasutusala==<br />
<br />
Wi-Fi on kasutusel kodustes võrkudes, kontorites, mobiiltelefonides, videomängudes ja paljudes teistes elektroonilistes seadmetes mis vajavad mingisugust traadita võrku. Wi-Fi tehnoloogiat toetavad peaaegu kõik tänapäevased arvuti operatsioonisüsteemid, mängukonsoolid ning ka paljud printerid ja teised välisseadmed. <br /><br />
Wi-Fi eesmärk on pakkuda traadita ligipääsu digitaalsele sisule. Selle sisu alla võivad kuuluda nii rakendused, heli, visuaalne meedia, Interneti ühendus ning ka muud andmed. Wi-Fi muudab informatsioonile ligipääsu üldiselt lihtsamaks, kuna see saab eemaldada mõningad füüsilised piirangud mis on seotud kaabeldusega. Wi-Fi’ga varustatud seade nagu näiteks PC, mängukonsool, mobiiltelefon, MP3 mängija või PDA saab ühenduda Internetiga, kui see asub traadita võrgus, mis on ühendatud internetiga. <br /> <br />
Peale selle, et Wi-Fit kasutatakse kodudes ja kontorites, on see laialt kasutuses ka avalikes kohtades, kus pakutakse traadita Interneti teenust kas tasuta või siis mingi rahasumma eest. Wifi.ee andmetel on praegu Eestis kokku 1175 Wi-Fi- leviala 45 000 km2 kohta. Tartumaal asub neist 98 leviala, millest enamik asub Tartu linnas. <br /><br />
<br />
==Koduvõrgu kaitsmine==<br />
<br />
Kui sõita läbi Tallinna kesklinna Mustamäele ja tagasi, jääb marsruudile ligi 1200 WiFi leviala, paljud küll asutuste, kuid enamus siiski kodukasutajate omad. Rõõmustaval kombel on 80-90% neist kasvõi mingilgi määral kaitstud, nii et pätt, kes neid kuritarvitada püüab, riskib juba ametlikult paragrahviga, mis räägib arvutivõrgu ebaseaduslikust kasutamisest kaitsevahendi kõrvaldamise teel. <br />
Esimene ja kõige tähtsam: muuta ruuteri vaikeseadeid! Iga ruuteri kasutusjuhend koos vaikeparooliga on netist vabalt allalaaditav ning administraatori, mõnel juhul ka vaikekasutaja parooli muutmata jätmine on sama, mis lahtisele uksele veel ka võtmed ette unustada. <br /><br />
Kindlasti tuleks muuta ka SSID (Service Set Identfier ehk teenusevõrgu nimi, mille ruuter välja saadab), kasvõi selleks, et koduvõrk naabrimehe omaga vahetusse ei satuks (mõelge oma üleelamistele olukorras, kus naabrimees kasvõi kogemata teie allalaadimiskiirusest oma osa saab), aga ka sellepärast, et näiteks mõnede Linksys’i mudelite puhul piisas vähemalt mõnda aega tagasi SSID teadmisest, et selle tarkvara uuega asendada. Kui ruuteri tarkvara vähegi võimaldab (ja enamus võimaldab), tuleks SSID väljakuulutamine üldse ära keelata. Suunatud rünnaku vastu see küll ei aita, kuid keskkoolikräkker võib SSID väljanuuskimiseks kuluvat aega liiga tüütuks pidada. <br /><br />
Kui ruuteri tarkvara sellega hakkama saab, tuleks kasutada MAC-aadressi (iga võrgukaardi unikaalne identifikaator) põhist filtreerimist, omistada igale võrku kasutavale arvutile staatiline IP ja ülejäänud IP aadresside vahemikule ligipääs keelata. Jällegi – kunagi ei tea, kas kurjam viitsib MAC- ja IP aadressi võltsimisega vaeva näha. <br /><br />
Kõige tähtsam – kasutage signaali krüpteeringut, nii kanget, kui teie ruuter vähegi kannatab. 64-bitist WEP-i murrab kurikael mõned minutid, 128-bitist WEP-i kuni kaks tundi, kui parool just sõnaraamatus kirjas ei ole, WPA-d võib ta heal juhul murdma jäädagi. Toore jõuga (brute force) kuluks WPA murdmiseks päevi, selle asemel rünnatakse pigem krüpteerimisvõtme vahetushetke, mis WPA lihtsamate versioonide puhul on teinekord veerand tunniga lahtimurtav. Siiski on WPA, eriti selle kommertsversioonid tunduvalt turvalisemad kui WEP, viimane aga on kindlasti parem kui igasuguse krüpteeringu puudumine. <br /><br />
Ja veel kaks võtet koduvõrgu kaitsmiseks: ruuter tuleks püüda paigutada nii, et selle leviala ruumidest võimalikult vähe välja ulatuks, kui aga WiFi-t pikka aega ei kasutata, on targem ruuter üldse välja lülitada. <br /><br />
<br />
==WiFi-võrkude turvalisus==<br />
<br />
WiFi turvalisus on väga keeruline ja mitmetahuline teema. Selge on aga see, et võimalike probleemide ees silma kinnipigistamine olukorda ei lahenda. WiFi levib tahes-tahmata ja ükskõik kui hästi te seda ka varjestada või piiritleda ei prooviks, ikkagi levib see teie eluruumidest kaugemale. <br /><br />
Kogutud Aga kuidas on lood WiFi piiramisega andmete põhjal on 42% Tallinna WiFi-seadmetest lahtise võrguga (ilma WEP või WPA kaitseta). See ei tähenda küll päris nelja tuhandet (mitteametlikku) avalikku internetipunkti, sest selles statistikas ei kajastu MAC-aadressi kontrolliga piiratud võrgud ega keerulisemaid turvameetmeid. Ent kui vaadata, kui palju on samas tootjanimedega võrke (Linksys, Default, Wireless, WLAN), võib kahtlustada, et enamikule neist on täiesti vaba juurdepääs. <br /><br />
Enamik kontvõõrastest kasutajatest pole ju pahatahtlikud – tahavad lihtsalt netis surfata, meile lugeda, sõnumsidet kasutada. Peate ainult arvestama sellega, et võõras arvutis olevad viirused võivad ohustada teiegi arvutit ning kui netiühendus järsku väga aeglaseks jääb, võib olla süüdi teie heatahtlikkust kuritarvitav naabripoiss – kasutage alati tulemüüri, viirusetõrjet ning kahtluste korral jälgige võrguseadmest, millised MAC-aadressid on viimasel ajal teie võrguühendust tarbinud. <br /><br />
<br />
==SSID ja MAC-aadress==<br />
<br />
Igal WiFi-võrgul on oma nimi. Seda saab ise määrata. Mõistlikuks ei saa pidada ka oma aadressi kasutamist SSID-nimena – Korter 12, II korrus, Firmanimi OÜ jne. Kui tõesti tahate, et võõrad teie WiFi-võrguga liituda oskaksid, kasutage meiliaadressi või telefoninumbrit. Firmanime kasutamine hõlbustab häkkerite tööd, kodune aadress võib olla aga reklaamiks varastele – siit on vähemalt arvuti kaasa võtta. MAC-aadress on unikaalne kood, mis on igal võrgukaardil ja võrguseadmel erinev. Tüüpiliselt on see aadress kujul 00:02:3F:33:4A:89. Sellest esimesed kolm märgivad tootjafirmat (00:02:3F – Intel Corp), tagumised kolm moodustavad iga kaardi kordumatu koodi. <br /><br />
MAC-aadresside litsentseerimisega tegeleb IEEE Standards Association. MAC-aadress ehk meediumipöörduse juhtimise aadress (inglise keeles Media Access Control) on võrguseadmete unikaalne identifitseerija, mis määratakse võrgukaardile tootmise käigus. Tootja poolt määratud MAC aadress võiks olla ülemaailmselt unikaalne, kuid on siiski tarkvaraliselt muudetav enamusel 21. saj alguse võrgukaartidel. <br /><br />
<br />
==WEP, WPA, WPA2==<br />
<br />
WEP ehk Wired Equivalent Privacy on protokoll, mis loodi tegemaks standardile IEEE 802.11 vastav traadita internetiühendus sama turvaliseks kui seda on tavaline juhtme teel leviv internetiühendus. WEP kasutab krüpteerimiseks RC4 algoritmi ning tervikluse hindamiseks CRC32 kontrollsummasid. Võtme pikkuse järgi eristatakse 64, 128 ja 256 bitiseid WEP-e, mis kasutavad siis vastavalt 40, 104 ja 232 bitiseid paroole. Igale kasutaja poolt sisestatud salajasele võtmele lisatakse 24 bitine IV (Initialization Vector) vektor, mille järgi siis kokkuvõttes krüpteeritakse paketid kasutades RC4 algoritmi. Üheks suurimaks WEP turvaprobleemiks on liigselt väike erinevate võimalike IV vektorite hulk. WEP on väga lihtsalt lahti murtav, arvuti tegi seda IT Kolledzi laborites viie minuti jooksul, oli väga huvitav. <br /><br />
<br />
WPA loodigi WEP krüpteeringu asendamiseks. Eksisteerib 2 lahendust – WPA-PSK ja WPA Enterprise. WPA-PSK puhul kasutatakse kõigil WiFi klientidel sama 8-63 märgi pikkust parooli. See on turvaline ainult siis, kui valida vähemalt 33 märgi pikkune suvalistest märkidest koosnev parool. WPA Enterprise lahenduses kasutatakse RADIUS serverit, seega iga kasutaja peab WiFi võrku sisse logima oma kasutajanime ja parooliga. <br /><br />
<br />
WPA2 on WPA uuem versioon, milles on kohustuslikuks tehtud tugevama krüpteeringu kasutamine. Praegusel momendil loetakse ainukeseks lihtsasti kättesaadavaks WiFi turvalisuseks WPA2 Enterprise lahendust. WPA on andmeturbe protokoll, mis kasutab TKIP (Temporal Key Integrity Protocol) protokolli ja AES (Advanced Encryption Standard) algoritmi ning autentimiseks EAP (Extensible Authentication Protocol) protokolli. WPA on küll palju turvalisem kui WEP, kuid siiski on tänapäeval juba võimalik ka seda andmeturbe protokolli lahti murda. WPA2 on WPA edasiarendus. Praeguse seisuga on see kõige turvalisem andmeturbe protokoll, mida ei ole võimalik eriti lihtsalt lahti murda. <br /><br />
<br />
==WiFi-võrgu kaitsmine==<br />
<br />
Statistika järgi on 42% Tallinna WiFi-võrkudest kaitseta. Tegelikult päris nii vabameelne meie võrgundus siiski pole – NetStumbleri statistika ei kajasta näiteks MAC-aadressi, captive-veebiserveri või muude keerukamate võtetega piiratud võrke. Ent julgeks siiski väita, et Tallinnas on iga kolmas WiFi-võrk kõigile külastajatele avatud. <br /><br />
<br />
*Valige sobiv kaitsemeetod <br /><br />
Koduse WiFi-võrgu turvamiseks on mitu võimalust. Valikus on peamiselt 64- või 128-bitine WEP (mõnel juhul ka 256-bitine WEP), WPA-PSK ja MAC-aadresside piirang. Kõige turvalisem on WPA-PSK, kõige kesisema turvalisusega aga MAC-aadresside piirang (kuigi juurdepääs on piiratud, on ühendus siiski vabalt pealtkuulatav). Kõik peale WPA-PSK ei paku kogenud häkkerile olulist peavalu, ent peletavad kindlasti eemale soovimatud juhukülalised. Ka WPA-PSK on kindel vaid juhul, kui kasutatud parool on pikk, ei põhine sõnaraamatus leiduval sõnal ning sisaldab nii tähti, numbreid kui ka muid märke (soovitan vähemalt 12-märgilist parooli). <br /><br />
<br />
*Kontrollige turbemeetodi ühilduvust <br /><br />
Valitud turbemeetodit peavad toetama nii WiFi-seade, arvuti WiFi-kaart kui ka opsüsteem. Enamik vanematest WiFi-seadmetest ei toeta WPA-d. Ka uue soetamisel tasub selle kohta poest kindlasti eraldi küsida. Samuti võib odavamatel, väiksema jõudlusega WiFi-seadmetel esineda olulist kiiruse kadu või ajutist ühenduse katkemist tugeva võtme kasutamise korral – krüpteerimise puhul on ikkagi tegu matemaatiliselt ressursinõudliku tegevusega. Probleemide korral peate leppima nõrgema turbemeetodiga. <br /><br />
<br />
==Paragrahvid==<br />
<br />
Loomulikult on e-tiigrina tuntud Eesti Vabariigi Karistusseadustikus ka võrgupättused ära mainitud. AP-de olemasolu ja nende poolt edastatavate eetriandmete (SSID, tootjafirma, krüpteerimismeetod jms) registreerimine, entusiastide keeles wardriving otsesõnu ebaseaduslik ei ole, võrguliikluse pealtkuulamine aga juba küll. Näiteks on karistatav arvuti, arvutisüsteemi ja arvutivõrgu ebaseaduslik kasutamine koodi, salasõna või muu kaitsevahendi kõrvaldamise teel (§217) – selle paragrahvi alla võiks ilusti mahtuda näiteks MAC aadressi võltsimine ruuterisse sisenemiseks, samuti WEP ja WPA võtme lahtimurdmine. Karistatav on ka arvutivõrgu ühenduse kahjustamine (§207) ehk siis DoS rünnak või signaali segamine (jamming). Võõraste meilide ja kiirsõnumite lugemise eest ähvardab pätti sõnumisaladuse rikkumise paragrahv (§156), kui aga pealtkuulatud andmeid kasutatakse varalise kasu saamise eesmärgil (§213), võib kurikaela oodata juba kuni viieaastane puhkus ruudulise päikese paistel. Samuti ei tasu alahinnata Eesti politsei võimekust arvutikurikaelte tabamisel – arvutivõrku tungimise eest on juba kohtu ette viidud rohkem kui üks tegelane… <br /><br />
<br />
==Kokkuvõte==<br />
<br />
Kokkuvõteks võin ütelda, et kõik see on väga hea, et on olemas Wi-Fi leviala mis on turvaline ja palju teadmisi selle kohta, et saab ka teistele sellest rääkida, kõik meie maailmas areneb ja areneb, aga ei tohi unustada, et need kurikaelad ka arenevad koos sellistega krüptoalgoritmidega, nad ei maga! Kõik mida loob inimene on võimalik murta. <br /><br />
Wi-Fi populaarsus kasvab ja seda kasutab rohkem ja rohkem inimesi, siis tuleb järjest rohkem tähelepanu pöörata ka sellele, milliseid Wi-Fi standardeid ja andmeturbe protokolle erinevad seadmed kasutavad. Erinevaid standardeid on vaja teada selleks, et oleks teada millised seadmed on võimelised milliste võrkudega ühenduma. <br /><br />
Samas on sama oluline ka traadita võrkude turvalisus, et keegi pahatahtlik inimene ei pääseks ligi informatsioonile, millega ta saaks sulle ja ka teistele kahju tekitada. Keegi meist ju ei tahaks, et meie isiklikku infot kasutataks meile või kellelegi teisele halva tegemise eesmärgil. Kuna kirjutasin seda referaadi, siis arvan küll et targaks sain, leidsin ja lugesin palju materjale Wi-Fi standarditest, milleks nad üldse olulised on ja sain ette kujutada nende evolutsiooni mis on mulle, nagu tulevikkus IT inimesele väga tarvis ja huvitav. <br /><br />
<br />
==Autor==<br />
<br />
Sergei Barol A21 <br /><br />
[mailto:sbarol@itcollege.ee sbarol@itcollege.ee]<br />
<br />
==Allikad==<br />
<br />
1. http://en.wikipedia.org/wiki/IEEE_802.11 <br /><br />
2. http://www.elenor.ee/artiklid/wifi-ule-kogu-kontori/ <br /><br />
3. http://blog.izall.com/2008/04/03/ainulaadne-wifi-turvalisus/ <br /><br />
4. http://www.arvutikasutaja.ee/artikkel.php?lk=3&id=207&sid=447f621c286189c007c2ccb0e81af757 <br /><br />
5. http://www.arvutikaitse.ee/?p=189 <br /><br />
6. http://www.arvutikaitse.ee/?p=720 <br /><br />
7. http://wiki.wifi.ee/index.php?title=WiFi <br /><br />
8. http://wiki.wifi.ee/index.php?title=Esileht <br /><br />
9. http://wiki.wifi.ee/index.php?title=WPA <br /><br />
10. http://en.wikipedia.org/wiki/Wi-Fi <br /><br />
11. http://en.wikipedia.org/wiki/Wireless_security <br /><br />
12. http://www.wi-fi.org/<br />
<br />
[[Category:Traadita side alused]]</div>Sbarolhttps://wiki.itcollege.ee/index.php?title=Wifi_turve&diff=9769Wifi turve2010-05-11T08:40:01Z<p>Sbarol: </p>
<hr />
<div>'''WiFi''' (Wireless Fidelity) ehk raadiokohtvõrk või raadio-Ethernet. Wi-Fi on WECA (Wireless Ethernet Compatibility Alliance) poolt propageeritav kaubamärk, vastab raadiokohtvõrgu standardile IEEE 802.11 ning kujutab endast Ethernet-kohtvõrku, kus kaablid on asendatud raadiolinkidega ja kasutatakse raadio-Etherneti otsejada-versiooni (DS). WiFi on ühilduv PC-kaartidega ja WiFi logot kandvate tugijaamadega. Vahel kutsutakse raadiokohtvõrke ka "traadita Internetiks", kuid tegelikult on ikkagi tegemist traadita kohtvõrkudega, mis võivad muidugi olla ühendatud ka Internetiga. <br /><br />
<br />
==Sissejuhatus==<br />
<br />
Paljud inimesed küll kasutavad Wi-Fit kuid pole teadlikud selle erinevatest standarditest ja turvalisusega seotud probleemidest. Nii Eestis kui ka mujal maailmas on viimase kümnendi jooksul toimunud revolutsioon juhtmeta internetiühenduste valdkonnas. Kuigi alles 2001 aastal käivitus esimene avalik WiFi Leviala Eestis, on nüüdseks jõutud olukorda, kus tundub imelik, kui kohvikusse või mõnesse muusse avalikku teenust pakkuvasse asutusse minnes ei ole võimalik ligi pääseda ühessegi traadita interneti levialasse. Lisaks arvutitele on nüüdseks juba ka suuremal osal kallima hinnaklassiga mobiiltelefonidel juures võimalus ühendada ennast traadita interneti võrku. See toob endaga kaasa aga juba uusi funktsioone nagu näiteks tasuta VoIP kõned või internetiraadiod mobiiltelefonides, mis omakorda suurendavad nõudlust järjest rohkemate levialade järele. <br /><br />
Wi-Fi on tänapäeval väga tuntud ja laialdaselt levinud. Wi-Fi leviala võib leida peaaegu igas natuke suuremas kohvikus, pubis, baaris ja nüüd on võimalik seda leida ka pargis, rääkimata kodudest ja kontoritest. Võimalik, et paljud üldse ei tea, mida täpsemalt tähendab see salapärane lühend Wi-Fi, mida kõik nii uljalt kasutavad, rääkimata sellest, et nad teaksid, millised on Wi-Fi erinevad standardid ja andmeturbe protokollid. Kui minna natuke lähemalt siis minu jaoks Wi-Fi ilmumise aeg oli nagu suur revolutsioon, sest mina ei saanud aru kuidas saab kasutada Interneti ilma traadideta, istuda kodus oma läpakaga näiteks voodi peal kuulata muusikat ja surfata internetis. Ja kuna see on meie tänapäevane elu siis see on mitteturvaline ja kõik kes tahab midagi kurja teha saab seda kergesti realiseerida ja selleks, et vältida raskuseid ja ründeid Wi-Fi kaitseks tuleksid erinevad turveprotokollid, mis vastavad stardarditele. See on nagu meie elu, kõik peab olema turvaline, näiteks korterites on uksed koos lukuga ja kui mina ei taha, et keegi tuli minu juurde siis ma panen korteri luku või signalisatsiooni. Esialgu olid personaalsed võrgud täiesti kaitseta kuni võrguhaldaja ise ta kaitse alla pani. Sellest hoolimata on suur osa võrkudest siiamaani turvatud kas nõrga turvalisusega WEP algoritmiga või üldse laiali maailmale täiesti avatud. Minu kodus näiteks on üks Wi-Fi leviala, mis on turvatud WEP abil, aga näiteks kui vaadata milliseid levialad on meie majas veel on olemas, siis on selline pilt, et mõned on täiesti avatud igaühele, kes vähegi soovib internetti kasutada. Minu arvates see on ebamugav, üldse mitteturvaline ja mõtetus asi, kui on olemas Wi-Fi leviala, pane näiteks parooli, et see on parem kui ilma paroolideta. Selline olukord loob aga suurepärase võimaluse pahatahtlikel inimestel võrku pealt kuulata ning saada informatsiooni näiteks salajaste paroolide või muude tähtsate andmete kohta. <br /><br />
Minu referaadis jutt läheb sellest, millised on tänapäeval kõige populaarsemad turveprotokollid, näiteks WEP, WPA ja WP2 see on nagu evolutsioon: WEP on näiteks kõige esimesem turve protokoll ja tänapäeval on ta lihtsalt murtav, WPAga on asi natuke keerulisem sest see kasutab raskeid krüptoalgoritmeid. WPA on andmeturbe protokoll, mis kasutab TKIP protokolli ja AES algoritmi ning autentimiseks EAP protokolli. WPA2 on WPA edasiarendus. Praeguse seisuga on see kõige turvalisem andmeturbe protokoll, mida ei ole võimalik eriti lihtsalt lahti murda. Alguses jutt tuleb sellest, mis on üldse see sõna Wi-Fi tähendab, kuidas seda kasutab, milliseid standardid on maailmas olemas, milliseid on neist kõige levinunaid. Kuidas kodus ja mingis asutuses oma võrgu kaitsta, mida selleks tuleb teada, mida tuleb teha ja milliseid tegevused on keelatud, see on kõik selleks et võrk töötaks nii nagu ta peab! Meie laias maailmas on nii palju inimesi, kes tahab midagi saada näiteks ilma rahata ja veel paha asju kaasa tuua, selleks, et krakkerid ei saaksid minu asju varastada ja midgi halba mulle teha, ülioluline on see, et kõik peab olema turvaline, kui ostad mingi asju nt. ruuterit, siis sina pead mõelda kuidas saab seda kaitsta. Mõned ei taha ainult traadita interneti tasuta kasutada, nad tahavad midagi varastada või kui see on mitte kättesaadav siis teha katki see mis sulle vaja on. Lõpuks kirjutasin natuke sellist asjast nagu kuritegevused ja paragrahvid, sest kõik mida need kräkkerid tegevad on karistatav. <br /><br />
Wi-Fi on meie maailmas arenb edasi suure sammudega ja see mis meil on tänapäeval olemas ei ole piir. Kõigepealt, kuna areneb traadita andmeside siis koos sellega ilmuvad uued krüptoalgoritmid ja protokollid mis on loomulikult arenevad koos Wi-Figa. Seega on selge, et interneti tulevik kuulub WiFi-le. <br /><br />
<br />
==Kasutusala==<br />
<br />
Wi-Fi on kasutusel kodustes võrkudes, kontorites, mobiiltelefonides, videomängudes ja paljudes teistes elektroonilistes seadmetes mis vajavad mingisugust traadita võrku. Wi-Fi tehnoloogiat toetavad peaaegu kõik tänapäevased arvuti operatsioonisüsteemid, mängukonsoolid ning ka paljud printerid ja teised välisseadmed. <br /><br />
Wi-Fi eesmärk on pakkuda traadita ligipääsu digitaalsele sisule. Selle sisu alla võivad kuuluda nii rakendused, heli, visuaalne meedia, Interneti ühendus ning ka muud andmed. Wi-Fi muudab informatsioonile ligipääsu üldiselt lihtsamaks, kuna see saab eemaldada mõningad füüsilised piirangud mis on seotud kaabeldusega. Wi-Fi’ga varustatud seade nagu näiteks PC, mängukonsool, mobiiltelefon, MP3 mängija või PDA saab ühenduda Internetiga, kui see asub traadita võrgus, mis on ühendatud internetiga. <br /> <br />
Peale selle, et Wi-Fit kasutatakse kodudes ja kontorites, on see laialt kasutuses ka avalikes kohtades, kus pakutakse traadita Interneti teenust kas tasuta või siis mingi rahasumma eest. Wifi.ee andmetel on praegu Eestis kokku 1175 Wi-Fi- leviala 45 000 km2 kohta. Tartumaal asub neist 98 leviala, millest enamik asub Tartu linnas. <br /><br />
<br />
==Koduvõrgu kaitsmine==<br />
<br />
Kui sõita läbi Tallinna kesklinna Mustamäele ja tagasi, jääb marsruudile ligi 1200 WiFi leviala, paljud küll asutuste, kuid enamus siiski kodukasutajate omad. Rõõmustaval kombel on 80-90% neist kasvõi mingilgi määral kaitstud, nii et pätt, kes neid kuritarvitada püüab, riskib juba ametlikult paragrahviga, mis räägib arvutivõrgu ebaseaduslikust kasutamisest kaitsevahendi kõrvaldamise teel. <br />
Esimene ja kõige tähtsam: muuta ruuteri vaikeseadeid! Iga ruuteri kasutusjuhend koos vaikeparooliga on netist vabalt allalaaditav ning administraatori, mõnel juhul ka vaikekasutaja parooli muutmata jätmine on sama, mis lahtisele uksele veel ka võtmed ette unustada. <br /><br />
Kindlasti tuleks muuta ka SSID (Service Set Identfier ehk teenusevõrgu nimi, mille ruuter välja saadab), kasvõi selleks, et koduvõrk naabrimehe omaga vahetusse ei satuks (mõelge oma üleelamistele olukorras, kus naabrimees kasvõi kogemata teie allalaadimiskiirusest oma osa saab), aga ka sellepärast, et näiteks mõnede Linksys’i mudelite puhul piisas vähemalt mõnda aega tagasi SSID teadmisest, et selle tarkvara uuega asendada. Kui ruuteri tarkvara vähegi võimaldab (ja enamus võimaldab), tuleks SSID väljakuulutamine üldse ära keelata. Suunatud rünnaku vastu see küll ei aita, kuid keskkoolikräkker võib SSID väljanuuskimiseks kuluvat aega liiga tüütuks pidada. <br /><br />
Kui ruuteri tarkvara sellega hakkama saab, tuleks kasutada MAC-aadressi (iga võrgukaardi unikaalne identifikaator) põhist filtreerimist, omistada igale võrku kasutavale arvutile staatiline IP ja ülejäänud IP aadresside vahemikule ligipääs keelata. Jällegi – kunagi ei tea, kas kurjam viitsib MAC- ja IP aadressi võltsimisega vaeva näha. <br /><br />
Kõige tähtsam – kasutage signaali krüpteeringut, nii kanget, kui teie ruuter vähegi kannatab. 64-bitist WEP-i murrab kurikael mõned minutid, 128-bitist WEP-i kuni kaks tundi, kui parool just sõnaraamatus kirjas ei ole, WPA-d võib ta heal juhul murdma jäädagi. Toore jõuga (brute force) kuluks WPA murdmiseks päevi, selle asemel rünnatakse pigem krüpteerimisvõtme vahetushetke, mis WPA lihtsamate versioonide puhul on teinekord veerand tunniga lahtimurtav. Siiski on WPA, eriti selle kommertsversioonid tunduvalt turvalisemad kui WEP, viimane aga on kindlasti parem kui igasuguse krüpteeringu puudumine. <br /><br />
Ja veel kaks võtet koduvõrgu kaitsmiseks: ruuter tuleks püüda paigutada nii, et selle leviala ruumidest võimalikult vähe välja ulatuks, kui aga WiFi-t pikka aega ei kasutata, on targem ruuter üldse välja lülitada. <br /><br />
<br />
==WiFi-võrkude turvalisus==<br />
<br />
WiFi turvalisus on väga keeruline ja mitmetahuline teema. Selge on aga see, et võimalike probleemide ees silma kinnipigistamine olukorda ei lahenda. WiFi levib tahes-tahmata ja ükskõik kui hästi te seda ka varjestada või piiritleda ei prooviks, ikkagi levib see teie eluruumidest kaugemale. <br /><br />
Kogutud Aga kuidas on lood WiFi piiramisega andmete põhjal on 42% Tallinna WiFi-seadmetest lahtise võrguga (ilma WEP või WPA kaitseta). See ei tähenda küll päris nelja tuhandet (mitteametlikku) avalikku internetipunkti, sest selles statistikas ei kajastu MAC-aadressi kontrolliga piiratud võrgud ega keerulisemaid turvameetmeid. Ent kui vaadata, kui palju on samas tootjanimedega võrke (Linksys, Default, Wireless, WLAN), võib kahtlustada, et enamikule neist on täiesti vaba juurdepääs. <br /><br />
Enamik kontvõõrastest kasutajatest pole ju pahatahtlikud – tahavad lihtsalt netis surfata, meile lugeda, sõnumsidet kasutada. Peate ainult arvestama sellega, et võõras arvutis olevad viirused võivad ohustada teiegi arvutit ning kui netiühendus järsku väga aeglaseks jääb, võib olla süüdi teie heatahtlikkust kuritarvitav naabripoiss – kasutage alati tulemüüri, viirusetõrjet ning kahtluste korral jälgige võrguseadmest, millised MAC-aadressid on viimasel ajal teie võrguühendust tarbinud. <br /><br />
<br />
==SSID ja MAC-aadress==<br />
<br />
Igal WiFi-võrgul on oma nimi. Seda saab ise määrata. Mõistlikuks ei saa pidada ka oma aadressi kasutamist SSID-nimena – Korter 12, II korrus, Firmanimi OÜ jne. Kui tõesti tahate, et võõrad teie WiFi-võrguga liituda oskaksid, kasutage meiliaadressi või telefoninumbrit. Firmanime kasutamine hõlbustab häkkerite tööd, kodune aadress võib olla aga reklaamiks varastele – siit on vähemalt arvuti kaasa võtta. MAC-aadress on unikaalne kood, mis on igal võrgukaardil ja võrguseadmel erinev. Tüüpiliselt on see aadress kujul 00:02:3F:33:4A:89. Sellest esimesed kolm märgivad tootjafirmat (00:02:3F – Intel Corp), tagumised kolm moodustavad iga kaardi kordumatu koodi. <br /><br />
MAC-aadresside litsentseerimisega tegeleb IEEE Standards Association. MAC-aadress ehk meediumipöörduse juhtimise aadress (inglise keeles Media Access Control) on võrguseadmete unikaalne identifitseerija, mis määratakse võrgukaardile tootmise käigus. Tootja poolt määratud MAC aadress võiks olla ülemaailmselt unikaalne, kuid on siiski tarkvaraliselt muudetav enamusel 21. saj alguse võrgukaartidel. <br /><br />
<br />
==WEP, WPA, WPA2==<br />
<br />
WEP ehk Wired Equivalent Privacy on protokoll, mis loodi tegemaks standardile IEEE 802.11 vastav traadita internetiühendus sama turvaliseks kui seda on tavaline juhtme teel leviv internetiühendus. WEP kasutab krüpteerimiseks RC4 algoritmi ning tervikluse hindamiseks CRC32 kontrollsummasid. Võtme pikkuse järgi eristatakse 64, 128 ja 256 bitiseid WEP-e, mis kasutavad siis vastavalt 40, 104 ja 232 bitiseid paroole. Igale kasutaja poolt sisestatud salajasele võtmele lisatakse 24 bitine IV (Initialization Vector) vektor, mille järgi siis kokkuvõttes krüpteeritakse paketid kasutades RC4 algoritmi. Üheks suurimaks WEP turvaprobleemiks on liigselt väike erinevate võimalike IV vektorite hulk. WEP on väga lihtsalt lahti murtav, arvuti tegi seda IT Kolledzi laborites viie minuti jooksul, oli väga huvitav. <br /><br />
<br />
WPA loodigi WEP krüpteeringu asendamiseks. Eksisteerib 2 lahendust – WPA-PSK ja WPA Enterprise. WPA-PSK puhul kasutatakse kõigil WiFi klientidel sama 8-63 märgi pikkust parooli. See on turvaline ainult siis, kui valida vähemalt 33 märgi pikkune suvalistest märkidest koosnev parool. WPA Enterprise lahenduses kasutatakse RADIUS serverit, seega iga kasutaja peab WiFi võrku sisse logima oma kasutajanime ja parooliga. <br /><br />
<br />
WPA2 on WPA uuem versioon, milles on kohustuslikuks tehtud tugevama krüpteeringu kasutamine. Praegusel momendil loetakse ainukeseks lihtsasti kättesaadavaks WiFi turvalisuseks WPA2 Enterprise lahendust. WPA on andmeturbe protokoll, mis kasutab TKIP (Temporal Key Integrity Protocol) protokolli ja AES (Advanced Encryption Standard) algoritmi ning autentimiseks EAP (Extensible Authentication Protocol) protokolli. WPA on küll palju turvalisem kui WEP, kuid siiski on tänapäeval juba võimalik ka seda andmeturbe protokolli lahti murda. WPA2 on WPA edasiarendus. Praeguse seisuga on see kõige turvalisem andmeturbe protokoll, mida ei ole võimalik eriti lihtsalt lahti murda. <br /><br />
<br />
==WiFi-võrgu kaitsmine==<br />
<br />
Statistika järgi on 42% Tallinna WiFi-võrkudest kaitseta. Tegelikult päris nii vabameelne meie võrgundus siiski pole – NetStumbleri statistika ei kajasta näiteks MAC-aadressi, captive-veebiserveri või muude keerukamate võtetega piiratud võrke. Ent julgeks siiski väita, et Tallinnas on iga kolmas WiFi-võrk kõigile külastajatele avatud. <br /><br />
<br />
*Valige sobiv kaitsemeetod <br /><br />
Koduse WiFi-võrgu turvamiseks on mitu võimalust. Valikus on peamiselt 64- või 128-bitine WEP (mõnel juhul ka 256-bitine WEP), WPA-PSK ja MAC-aadresside piirang. Kõige turvalisem on WPA-PSK, kõige kesisema turvalisusega aga MAC-aadresside piirang (kuigi juurdepääs on piiratud, on ühendus siiski vabalt pealtkuulatav). Kõik peale WPA-PSK ei paku kogenud häkkerile olulist peavalu, ent peletavad kindlasti eemale soovimatud juhukülalised. Ka WPA-PSK on kindel vaid juhul, kui kasutatud parool on pikk, ei põhine sõnaraamatus leiduval sõnal ning sisaldab nii tähti, numbreid kui ka muid märke (soovitan vähemalt 12-märgilist parooli). <br /><br />
<br />
*Kontrollige turbemeetodi ühilduvust <br /><br />
Valitud turbemeetodit peavad toetama nii WiFi-seade, arvuti WiFi-kaart kui ka opsüsteem. Enamik vanematest WiFi-seadmetest ei toeta WPA-d. Ka uue soetamisel tasub selle kohta poest kindlasti eraldi küsida. Samuti võib odavamatel, väiksema jõudlusega WiFi-seadmetel esineda olulist kiiruse kadu või ajutist ühenduse katkemist tugeva võtme kasutamise korral – krüpteerimise puhul on ikkagi tegu matemaatiliselt ressursinõudliku tegevusega. Probleemide korral peate leppima nõrgema turbemeetodiga. <br /><br />
<br />
==Paragrahvid==<br />
<br />
Loomulikult on e-tiigrina tuntud Eesti Vabariigi Karistusseadustikus ka võrgupättused ära mainitud. AP-de olemasolu ja nende poolt edastatavate eetriandmete (SSID, tootjafirma, krüpteerimismeetod jms) registreerimine, entusiastide keeles wardriving otsesõnu ebaseaduslik ei ole, võrguliikluse pealtkuulamine aga juba küll. Näiteks on karistatav arvuti, arvutisüsteemi ja arvutivõrgu ebaseaduslik kasutamine koodi, salasõna või muu kaitsevahendi kõrvaldamise teel (§217) – selle paragrahvi alla võiks ilusti mahtuda näiteks MAC aadressi võltsimine ruuterisse sisenemiseks, samuti WEP ja WPA võtme lahtimurdmine. Karistatav on ka arvutivõrgu ühenduse kahjustamine (§207) ehk siis DoS rünnak või signaali segamine (jamming). Võõraste meilide ja kiirsõnumite lugemise eest ähvardab pätti sõnumisaladuse rikkumise paragrahv (§156), kui aga pealtkuulatud andmeid kasutatakse varalise kasu saamise eesmärgil (§213), võib kurikaela oodata juba kuni viieaastane puhkus ruudulise päikese paistel. Samuti ei tasu alahinnata Eesti politsei võimekust arvutikurikaelte tabamisel – arvutivõrku tungimise eest on juba kohtu ette viidud rohkem kui üks tegelane… <br /><br />
<br />
==Kokkuvõte==<br />
<br />
Kokkuvõteks võin ütelda, et kõik see on väga hea, et on olemas Wi-Fi leviala mis on turvaline ja palju teadmisi selle kohta, et saab ka teistele sellest rääkida, kõik meie maailmas areneb ja areneb, aga ei tohi unustada, et need kurikaelad ka arenevad koos sellistega krüptoalgoritmidega, nad ei maga! Kõik mida loob inimene on võimalik murta. <br /><br />
Wi-Fi populaarsus kasvab ja seda kasutab rohkem ja rohkem inimesi, siis tuleb järjest rohkem tähelepanu pöörata ka sellele, milliseid Wi-Fi standardeid ja andmeturbe protokolle erinevad seadmed kasutavad. Erinevaid standardeid on vaja teada selleks, et oleks teada millised seadmed on võimelised milliste võrkudega ühenduma. <br /><br />
Samas on sama oluline ka traadita võrkude turvalisus, et keegi pahatahtlik inimene ei pääseks ligi informatsioonile, millega ta saaks sulle ja ka teistele kahju tekitada. Keegi meist ju ei tahaks, et meie isiklikku infot kasutataks meile või kellelegi teisele halva tegemise eesmärgil. Kuna kirjutasin seda referaadi, siis arvan küll et targaks sain, leidsin ja lugesin palju materjale Wi-Fi standarditest, milleks nad üldse olulised on ja sain ette kujutada nende evolutsiooni mis on mulle, nagu tulevikkus IT inimesele väga tarvis ja huvitav. <br /><br />
<br />
==Autor==<br />
<br />
Sergei Barol A21 <br /><br />
[mailto:sbarol@itcollege.ee sbarol@itcollege.ee]<br />
<br />
==Allikad==<br />
<br />
1. http://en.wikipedia.org/wiki/IEEE_802.11 <br /><br />
2. http://www.elenor.ee/artiklid/wifi-ule-kogu-kontori/ <br /><br />
3. http://blog.izall.com/2008/04/03/ainulaadne-wifi-turvalisus/ <br /><br />
4. http://www.arvutikasutaja.ee/artikkel.php?lk=3&id=207&sid=447f621c286189c007c2ccb0e81af757 <br /><br />
5. http://www.arvutikaitse.ee/?p=189 <br /><br />
6. http://www.arvutikaitse.ee/?p=720 <br /><br />
7. http://wiki.wifi.ee/index.php?title=WiFi <br /><br />
8. http://wiki.wifi.ee/index.php?title=Esileht <br /><br />
9. http://wiki.wifi.ee/index.php?title=WPA <br /><br />
10. http://en.wikipedia.org/wiki/Wi-Fi <br /><br />
11. http://en.wikipedia.org/wiki/Wireless_security <br /><br />
12. http://www.wi-fi.org/<br />
<br />
[[Category:Traadita side alused]]</div>Sbarolhttps://wiki.itcollege.ee/index.php?title=Wifi_turve&diff=9768Wifi turve2010-05-11T08:37:04Z<p>Sbarol: /* Allikad */</p>
<hr />
<div>'''WiFi''' (Wireless Fidelity) ehk raadiokohtvõrk või raadio-Ethernet. Wi-Fi on WECA (Wireless Ethernet Compatibility Alliance) poolt propageeritav kaubamärk, vastab raadiokohtvõrgu standardile IEEE 802.11 ning kujutab endast Ethernet-kohtvõrku, kus kaablid on asendatud raadiolinkidega ja kasutatakse raadio-Etherneti otsejada-versiooni (DS). WiFi on ühilduv PC-kaartidega ja WiFi logot kandvate tugijaamadega. Vahel kutsutakse raadiokohtvõrke ka "traadita Internetiks", kuid tegelikult on ikkagi tegemist traadita kohtvõrkudega, mis võivad muidugi olla ühendatud ka Internetiga. <br /><br />
<br />
<br />
<br />
==Sissejuhatus==<br />
<br />
Paljud inimesed küll kasutavad Wi-Fit kuid pole teadlikud selle erinevatest standarditest ja turvalisusega seotud probleemidest. Nii Eestis kui ka mujal maailmas on viimase kümnendi jooksul toimunud revolutsioon juhtmeta internetiühenduste valdkonnas. Kuigi alles 2001 aastal käivitus esimene avalik WiFi Leviala Eestis, on nüüdseks jõutud olukorda, kus tundub imelik, kui kohvikusse või mõnesse muusse avalikku teenust pakkuvasse asutusse minnes ei ole võimalik ligi pääseda ühessegi traadita interneti levialasse. Lisaks arvutitele on nüüdseks juba ka suuremal osal kallima hinnaklassiga mobiiltelefonidel juures võimalus ühendada ennast traadita interneti võrku. See toob endaga kaasa aga juba uusi funktsioone nagu näiteks tasuta VoIP kõned või internetiraadiod mobiiltelefonides, mis omakorda suurendavad nõudlust järjest rohkemate levialade järele. <br /><br />
Wi-Fi on tänapäeval väga tuntud ja laialdaselt levinud. Wi-Fi leviala võib leida peaaegu igas natuke suuremas kohvikus, pubis, baaris ja nüüd on võimalik seda leida ka pargis, rääkimata kodudest ja kontoritest. Võimalik, et paljud üldse ei tea, mida täpsemalt tähendab see salapärane lühend Wi-Fi, mida kõik nii uljalt kasutavad, rääkimata sellest, et nad teaksid, millised on Wi-Fi erinevad standardid ja andmeturbe protokollid. Kui minna natuke lähemalt siis minu jaoks Wi-Fi ilmumise aeg oli nagu suur revolutsioon, sest mina ei saanud aru kuidas saab kasutada Interneti ilma traadideta, istuda kodus oma läpakaga näiteks voodi peal kuulata muusikat ja surfata internetis. Ja kuna see on meie tänapäevane elu siis see on mitteturvaline ja kõik kes tahab midagi kurja teha saab seda kergesti realiseerida ja selleks, et vältida raskuseid ja ründeid Wi-Fi kaitseks tuleksid erinevad turveprotokollid, mis vastavad stardarditele. See on nagu meie elu, kõik peab olema turvaline, näiteks korterites on uksed koos lukuga ja kui mina ei taha, et keegi tuli minu juurde siis ma panen korteri luku või signalisatsiooni. Esialgu olid personaalsed võrgud täiesti kaitseta kuni võrguhaldaja ise ta kaitse alla pani. Sellest hoolimata on suur osa võrkudest siiamaani turvatud kas nõrga turvalisusega WEP algoritmiga või üldse laiali maailmale täiesti avatud. Minu kodus näiteks on üks Wi-Fi leviala, mis on turvatud WEP abil, aga näiteks kui vaadata milliseid levialad on meie majas veel on olemas, siis on selline pilt, et mõned on täiesti avatud igaühele, kes vähegi soovib internetti kasutada. Minu arvates see on ebamugav, üldse mitteturvaline ja mõtetus asi, kui on olemas Wi-Fi leviala, pane näiteks parooli, et see on parem kui ilma paroolideta. Selline olukord loob aga suurepärase võimaluse pahatahtlikel inimestel võrku pealt kuulata ning saada informatsiooni näiteks salajaste paroolide või muude tähtsate andmete kohta. <br /><br />
Minu referaadis jutt läheb sellest, millised on tänapäeval kõige populaarsemad turveprotokollid, näiteks WEP, WPA ja WP2 see on nagu evolutsioon: WEP on näiteks kõige esimesem turve protokoll ja tänapäeval on ta lihtsalt murtav, WPAga on asi natuke keerulisem sest see kasutab raskeid krüptoalgoritmeid. WPA on andmeturbe protokoll, mis kasutab TKIP protokolli ja AES algoritmi ning autentimiseks EAP protokolli. WPA2 on WPA edasiarendus. Praeguse seisuga on see kõige turvalisem andmeturbe protokoll, mida ei ole võimalik eriti lihtsalt lahti murda. Alguses jutt tuleb sellest, mis on üldse see sõna Wi-Fi tähendab, kuidas seda kasutab, milliseid standardid on maailmas olemas, milliseid on neist kõige levinunaid. Kuidas kodus ja mingis asutuses oma võrgu kaitsta, mida selleks tuleb teada, mida tuleb teha ja milliseid tegevused on keelatud, see on kõik selleks et võrk töötaks nii nagu ta peab! Meie laias maailmas on nii palju inimesi, kes tahab midagi saada näiteks ilma rahata ja veel paha asju kaasa tuua, selleks, et krakkerid ei saaksid minu asju varastada ja midgi halba mulle teha, ülioluline on see, et kõik peab olema turvaline, kui ostad mingi asju nt. ruuterit, siis sina pead mõelda kuidas saab seda kaitsta. Mõned ei taha ainult traadita interneti tasuta kasutada, nad tahavad midagi varastada või kui see on mitte kättesaadav siis teha katki see mis sulle vaja on. Lõpuks kirjutasin natuke sellist asjast nagu kuritegevused ja paragrahvid, sest kõik mida need kräkkerid tegevad on karistatav. <br /><br />
Wi-Fi on meie maailmas arenb edasi suure sammudega ja see mis meil on tänapäeval olemas ei ole piir. Kõigepealt, kuna areneb traadita andmeside siis koos sellega ilmuvad uued krüptoalgoritmid ja protokollid mis on loomulikult arenevad koos Wi-Figa. Seega on selge, et interneti tulevik kuulub WiFi-le. <br /><br />
<br />
==Kasutusala==<br />
<br />
Wi-Fi on kasutusel kodustes võrkudes, kontorites, mobiiltelefonides, videomängudes ja paljudes teistes elektroonilistes seadmetes mis vajavad mingisugust traadita võrku. Wi-Fi tehnoloogiat toetavad peaaegu kõik tänapäevased arvuti operatsioonisüsteemid, mängukonsoolid ning ka paljud printerid ja teised välisseadmed. <br /><br />
Wi-Fi eesmärk on pakkuda traadita ligipääsu digitaalsele sisule. Selle sisu alla võivad kuuluda nii rakendused, heli, visuaalne meedia, Interneti ühendus ning ka muud andmed. Wi-Fi muudab informatsioonile ligipääsu üldiselt lihtsamaks, kuna see saab eemaldada mõningad füüsilised piirangud mis on seotud kaabeldusega. Wi-Fi’ga varustatud seade nagu näiteks PC, mängukonsool, mobiiltelefon, MP3 mängija või PDA saab ühenduda Internetiga, kui see asub traadita võrgus, mis on ühendatud internetiga. <br /> <br />
Peale selle, et Wi-Fit kasutatakse kodudes ja kontorites, on see laialt kasutuses ka avalikes kohtades, kus pakutakse traadita Interneti teenust kas tasuta või siis mingi rahasumma eest. Wifi.ee andmetel on praegu Eestis kokku 1175 Wi-Fi- leviala 45 000 km2 kohta. Tartumaal asub neist 98 leviala, millest enamik asub Tartu linnas. <br /><br />
<br />
==Koduvõrgu kaitsmine==<br />
<br />
Kui sõita läbi Tallinna kesklinna Mustamäele ja tagasi, jääb marsruudile ligi 1200 WiFi leviala, paljud küll asutuste, kuid enamus siiski kodukasutajate omad. Rõõmustaval kombel on 80-90% neist kasvõi mingilgi määral kaitstud, nii et pätt, kes neid kuritarvitada püüab, riskib juba ametlikult paragrahviga, mis räägib arvutivõrgu ebaseaduslikust kasutamisest kaitsevahendi kõrvaldamise teel. <br />
Esimene ja kõige tähtsam: muuta ruuteri vaikeseadeid! Iga ruuteri kasutusjuhend koos vaikeparooliga on netist vabalt allalaaditav ning administraatori, mõnel juhul ka vaikekasutaja parooli muutmata jätmine on sama, mis lahtisele uksele veel ka võtmed ette unustada. <br /><br />
Kindlasti tuleks muuta ka SSID (Service Set Identfier ehk teenusevõrgu nimi, mille ruuter välja saadab), kasvõi selleks, et koduvõrk naabrimehe omaga vahetusse ei satuks (mõelge oma üleelamistele olukorras, kus naabrimees kasvõi kogemata teie allalaadimiskiirusest oma osa saab), aga ka sellepärast, et näiteks mõnede Linksys’i mudelite puhul piisas vähemalt mõnda aega tagasi SSID teadmisest, et selle tarkvara uuega asendada. Kui ruuteri tarkvara vähegi võimaldab (ja enamus võimaldab), tuleks SSID väljakuulutamine üldse ära keelata. Suunatud rünnaku vastu see küll ei aita, kuid keskkoolikräkker võib SSID väljanuuskimiseks kuluvat aega liiga tüütuks pidada. <br /><br />
Kui ruuteri tarkvara sellega hakkama saab, tuleks kasutada MAC-aadressi (iga võrgukaardi unikaalne identifikaator) põhist filtreerimist, omistada igale võrku kasutavale arvutile staatiline IP ja ülejäänud IP aadresside vahemikule ligipääs keelata. Jällegi – kunagi ei tea, kas kurjam viitsib MAC- ja IP aadressi võltsimisega vaeva näha. <br /><br />
Kõige tähtsam – kasutage signaali krüpteeringut, nii kanget, kui teie ruuter vähegi kannatab. 64-bitist WEP-i murrab kurikael mõned minutid, 128-bitist WEP-i kuni kaks tundi, kui parool just sõnaraamatus kirjas ei ole, WPA-d võib ta heal juhul murdma jäädagi. Toore jõuga (brute force) kuluks WPA murdmiseks päevi, selle asemel rünnatakse pigem krüpteerimisvõtme vahetushetke, mis WPA lihtsamate versioonide puhul on teinekord veerand tunniga lahtimurtav. Siiski on WPA, eriti selle kommertsversioonid tunduvalt turvalisemad kui WEP, viimane aga on kindlasti parem kui igasuguse krüpteeringu puudumine. <br /><br />
Ja veel kaks võtet koduvõrgu kaitsmiseks: ruuter tuleks püüda paigutada nii, et selle leviala ruumidest võimalikult vähe välja ulatuks, kui aga WiFi-t pikka aega ei kasutata, on targem ruuter üldse välja lülitada. <br /><br />
<br />
==WiFi-võrkude turvalisus==<br />
<br />
WiFi turvalisus on väga keeruline ja mitmetahuline teema. Selge on aga see, et võimalike probleemide ees silma kinnipigistamine olukorda ei lahenda. WiFi levib tahes-tahmata ja ükskõik kui hästi te seda ka varjestada või piiritleda ei prooviks, ikkagi levib see teie eluruumidest kaugemale. <br /><br />
Kogutud Aga kuidas on lood WiFi piiramisega andmete põhjal on 42% Tallinna WiFi-seadmetest lahtise võrguga (ilma WEP või WPA kaitseta). See ei tähenda küll päris nelja tuhandet (mitteametlikku) avalikku internetipunkti, sest selles statistikas ei kajastu MAC-aadressi kontrolliga piiratud võrgud ega keerulisemaid turvameetmeid. Ent kui vaadata, kui palju on samas tootjanimedega võrke (Linksys, Default, Wireless, WLAN), võib kahtlustada, et enamikule neist on täiesti vaba juurdepääs. <br /><br />
Enamik kontvõõrastest kasutajatest pole ju pahatahtlikud – tahavad lihtsalt netis surfata, meile lugeda, sõnumsidet kasutada. Peate ainult arvestama sellega, et võõras arvutis olevad viirused võivad ohustada teiegi arvutit ning kui netiühendus järsku väga aeglaseks jääb, võib olla süüdi teie heatahtlikkust kuritarvitav naabripoiss – kasutage alati tulemüüri, viirusetõrjet ning kahtluste korral jälgige võrguseadmest, millised MAC-aadressid on viimasel ajal teie võrguühendust tarbinud. <br /><br />
<br />
==SSID ja MAC-aadress==<br />
<br />
Igal WiFi-võrgul on oma nimi. Seda saab ise määrata. Mõistlikuks ei saa pidada ka oma aadressi kasutamist SSID-nimena – Korter 12, II korrus, Firmanimi OÜ jne. Kui tõesti tahate, et võõrad teie WiFi-võrguga liituda oskaksid, kasutage meiliaadressi või telefoninumbrit. Firmanime kasutamine hõlbustab häkkerite tööd, kodune aadress võib olla aga reklaamiks varastele – siit on vähemalt arvuti kaasa võtta. MAC-aadress on unikaalne kood, mis on igal võrgukaardil ja võrguseadmel erinev. Tüüpiliselt on see aadress kujul 00:02:3F:33:4A:89. Sellest esimesed kolm märgivad tootjafirmat (00:02:3F – Intel Corp), tagumised kolm moodustavad iga kaardi kordumatu koodi. <br /><br />
MAC-aadresside litsentseerimisega tegeleb IEEE Standards Association. MAC-aadress ehk meediumipöörduse juhtimise aadress (inglise keeles Media Access Control) on võrguseadmete unikaalne identifitseerija, mis määratakse võrgukaardile tootmise käigus. Tootja poolt määratud MAC aadress võiks olla ülemaailmselt unikaalne, kuid on siiski tarkvaraliselt muudetav enamusel 21. saj alguse võrgukaartidel. <br /><br />
<br />
==WEP, WPA, WPA2==<br />
<br />
WEP ehk Wired Equivalent Privacy on protokoll, mis loodi tegemaks standardile IEEE 802.11 vastav traadita internetiühendus sama turvaliseks kui seda on tavaline juhtme teel leviv internetiühendus. WEP kasutab krüpteerimiseks RC4 algoritmi ning tervikluse hindamiseks CRC32 kontrollsummasid. Võtme pikkuse järgi eristatakse 64, 128 ja 256 bitiseid WEP-e, mis kasutavad siis vastavalt 40, 104 ja 232 bitiseid paroole. Igale kasutaja poolt sisestatud salajasele võtmele lisatakse 24 bitine IV (Initialization Vector) vektor, mille järgi siis kokkuvõttes krüpteeritakse paketid kasutades RC4 algoritmi. Üheks suurimaks WEP turvaprobleemiks on liigselt väike erinevate võimalike IV vektorite hulk. WEP on väga lihtsalt lahti murtav, arvuti tegi seda IT Kolledzi laborites viie minuti jooksul, oli väga huvitav. <br /><br />
<br />
WPA loodigi WEP krüpteeringu asendamiseks. Eksisteerib 2 lahendust – WPA-PSK ja WPA Enterprise. WPA-PSK puhul kasutatakse kõigil WiFi klientidel sama 8-63 märgi pikkust parooli. See on turvaline ainult siis, kui valida vähemalt 33 märgi pikkune suvalistest märkidest koosnev parool. WPA Enterprise lahenduses kasutatakse RADIUS serverit, seega iga kasutaja peab WiFi võrku sisse logima oma kasutajanime ja parooliga. <br /><br />
<br />
WPA2 on WPA uuem versioon, milles on kohustuslikuks tehtud tugevama krüpteeringu kasutamine. Praegusel momendil loetakse ainukeseks lihtsasti kättesaadavaks WiFi turvalisuseks WPA2 Enterprise lahendust. WPA on andmeturbe protokoll, mis kasutab TKIP (Temporal Key Integrity Protocol) protokolli ja AES (Advanced Encryption Standard) algoritmi ning autentimiseks EAP (Extensible Authentication Protocol) protokolli. WPA on küll palju turvalisem kui WEP, kuid siiski on tänapäeval juba võimalik ka seda andmeturbe protokolli lahti murda. WPA2 on WPA edasiarendus. Praeguse seisuga on see kõige turvalisem andmeturbe protokoll, mida ei ole võimalik eriti lihtsalt lahti murda. <br /><br />
<br />
==WiFi-võrgu kaitsmine==<br />
<br />
Statistika järgi on 42% Tallinna WiFi-võrkudest kaitseta. Tegelikult päris nii vabameelne meie võrgundus siiski pole – NetStumbleri statistika ei kajasta näiteks MAC-aadressi, captive-veebiserveri või muude keerukamate võtetega piiratud võrke. Ent julgeks siiski väita, et Tallinnas on iga kolmas WiFi-võrk kõigile külastajatele avatud. <br /><br />
<br />
*Valige sobiv kaitsemeetod <br /><br />
Koduse WiFi-võrgu turvamiseks on mitu võimalust. Valikus on peamiselt 64- või 128-bitine WEP (mõnel juhul ka 256-bitine WEP), WPA-PSK ja MAC-aadresside piirang. Kõige turvalisem on WPA-PSK, kõige kesisema turvalisusega aga MAC-aadresside piirang (kuigi juurdepääs on piiratud, on ühendus siiski vabalt pealtkuulatav). Kõik peale WPA-PSK ei paku kogenud häkkerile olulist peavalu, ent peletavad kindlasti eemale soovimatud juhukülalised. Ka WPA-PSK on kindel vaid juhul, kui kasutatud parool on pikk, ei põhine sõnaraamatus leiduval sõnal ning sisaldab nii tähti, numbreid kui ka muid märke (soovitan vähemalt 12-märgilist parooli). <br /><br />
<br />
*Kontrollige turbemeetodi ühilduvust <br /><br />
Valitud turbemeetodit peavad toetama nii WiFi-seade, arvuti WiFi-kaart kui ka opsüsteem. Enamik vanematest WiFi-seadmetest ei toeta WPA-d. Ka uue soetamisel tasub selle kohta poest kindlasti eraldi küsida. Samuti võib odavamatel, väiksema jõudlusega WiFi-seadmetel esineda olulist kiiruse kadu või ajutist ühenduse katkemist tugeva võtme kasutamise korral – krüpteerimise puhul on ikkagi tegu matemaatiliselt ressursinõudliku tegevusega. Probleemide korral peate leppima nõrgema turbemeetodiga. <br /><br />
<br />
==Paragrahvid==<br />
<br />
Loomulikult on e-tiigrina tuntud Eesti Vabariigi Karistusseadustikus ka võrgupättused ära mainitud. AP-de olemasolu ja nende poolt edastatavate eetriandmete (SSID, tootjafirma, krüpteerimismeetod jms) registreerimine, entusiastide keeles wardriving otsesõnu ebaseaduslik ei ole, võrguliikluse pealtkuulamine aga juba küll. Näiteks on karistatav arvuti, arvutisüsteemi ja arvutivõrgu ebaseaduslik kasutamine koodi, salasõna või muu kaitsevahendi kõrvaldamise teel (§217) – selle paragrahvi alla võiks ilusti mahtuda näiteks MAC aadressi võltsimine ruuterisse sisenemiseks, samuti WEP ja WPA võtme lahtimurdmine. Karistatav on ka arvutivõrgu ühenduse kahjustamine (§207) ehk siis DoS rünnak või signaali segamine (jamming). Võõraste meilide ja kiirsõnumite lugemise eest ähvardab pätti sõnumisaladuse rikkumise paragrahv (§156), kui aga pealtkuulatud andmeid kasutatakse varalise kasu saamise eesmärgil (§213), võib kurikaela oodata juba kuni viieaastane puhkus ruudulise päikese paistel. Samuti ei tasu alahinnata Eesti politsei võimekust arvutikurikaelte tabamisel – arvutivõrku tungimise eest on juba kohtu ette viidud rohkem kui üks tegelane… <br /><br />
<br />
==Kokkuvõte==<br />
<br />
Kokkuvõteks võin ütelda, et kõik see on väga hea, et on olemas Wi-Fi leviala mis on turvaline ja palju teadmisi selle kohta, et saab ka teistele sellest rääkida, kõik meie maailmas areneb ja areneb, aga ei tohi unustada, et need kurikaelad ka arenevad koos sellistega krüptoalgoritmidega, nad ei maga! Kõik mida loob inimene on võimalik murta. <br /><br />
Wi-Fi populaarsus kasvab ja seda kasutab rohkem ja rohkem inimesi, siis tuleb järjest rohkem tähelepanu pöörata ka sellele, milliseid Wi-Fi standardeid ja andmeturbe protokolle erinevad seadmed kasutavad. Erinevaid standardeid on vaja teada selleks, et oleks teada millised seadmed on võimelised milliste võrkudega ühenduma. <br /><br />
Samas on sama oluline ka traadita võrkude turvalisus, et keegi pahatahtlik inimene ei pääseks ligi informatsioonile, millega ta saaks sulle ja ka teistele kahju tekitada. Keegi meist ju ei tahaks, et meie isiklikku infot kasutataks meile või kellelegi teisele halva tegemise eesmärgil. Kuna kirjutasin seda referaadi, siis arvan küll et targaks sain, leidsin ja lugesin palju materjale Wi-Fi standarditest, milleks nad üldse olulised on ja sain ette kujutada nende evolutsiooni mis on mulle, nagu tulevikkus IT inimesele väga tarvis ja huvitav. <br /><br />
<br />
==Autor==<br />
<br />
Sergei Barol A21 <br /><br />
[mailto:sbarol@itcollege.ee sbarol@itcollege.ee]<br />
<br />
==Allikad==<br />
<br />
1. http://en.wikipedia.org/wiki/IEEE_802.11 <br /><br />
2. http://www.elenor.ee/artiklid/wifi-ule-kogu-kontori/ <br /><br />
3. http://blog.izall.com/2008/04/03/ainulaadne-wifi-turvalisus/ <br /><br />
4. http://www.arvutikasutaja.ee/artikkel.php?lk=3&id=207&sid=447f621c286189c007c2ccb0e81af757 <br /><br />
5. http://www.arvutikaitse.ee/?p=189 <br /><br />
6. http://www.arvutikaitse.ee/?p=720 <br /><br />
7. http://wiki.wifi.ee/index.php?title=WiFi <br /><br />
8. http://wiki.wifi.ee/index.php?title=Esileht <br /><br />
9. http://wiki.wifi.ee/index.php?title=WPA <br /><br />
10. http://en.wikipedia.org/wiki/Wi-Fi <br /><br />
11. http://en.wikipedia.org/wiki/Wireless_security <br /><br />
12. http://www.wi-fi.org/<br />
<br />
[[Category:Traadita side alused]]</div>Sbarolhttps://wiki.itcollege.ee/index.php?title=Wifi_turve&diff=9767Wifi turve2010-05-11T08:34:43Z<p>Sbarol: </p>
<hr />
<div>'''WiFi''' (Wireless Fidelity) ehk raadiokohtvõrk või raadio-Ethernet. Wi-Fi on WECA (Wireless Ethernet Compatibility Alliance) poolt propageeritav kaubamärk, vastab raadiokohtvõrgu standardile IEEE 802.11 ning kujutab endast Ethernet-kohtvõrku, kus kaablid on asendatud raadiolinkidega ja kasutatakse raadio-Etherneti otsejada-versiooni (DS). WiFi on ühilduv PC-kaartidega ja WiFi logot kandvate tugijaamadega. Vahel kutsutakse raadiokohtvõrke ka "traadita Internetiks", kuid tegelikult on ikkagi tegemist traadita kohtvõrkudega, mis võivad muidugi olla ühendatud ka Internetiga. <br /><br />
<br />
<br />
<br />
==Sissejuhatus==<br />
<br />
Paljud inimesed küll kasutavad Wi-Fit kuid pole teadlikud selle erinevatest standarditest ja turvalisusega seotud probleemidest. Nii Eestis kui ka mujal maailmas on viimase kümnendi jooksul toimunud revolutsioon juhtmeta internetiühenduste valdkonnas. Kuigi alles 2001 aastal käivitus esimene avalik WiFi Leviala Eestis, on nüüdseks jõutud olukorda, kus tundub imelik, kui kohvikusse või mõnesse muusse avalikku teenust pakkuvasse asutusse minnes ei ole võimalik ligi pääseda ühessegi traadita interneti levialasse. Lisaks arvutitele on nüüdseks juba ka suuremal osal kallima hinnaklassiga mobiiltelefonidel juures võimalus ühendada ennast traadita interneti võrku. See toob endaga kaasa aga juba uusi funktsioone nagu näiteks tasuta VoIP kõned või internetiraadiod mobiiltelefonides, mis omakorda suurendavad nõudlust järjest rohkemate levialade järele. <br /><br />
Wi-Fi on tänapäeval väga tuntud ja laialdaselt levinud. Wi-Fi leviala võib leida peaaegu igas natuke suuremas kohvikus, pubis, baaris ja nüüd on võimalik seda leida ka pargis, rääkimata kodudest ja kontoritest. Võimalik, et paljud üldse ei tea, mida täpsemalt tähendab see salapärane lühend Wi-Fi, mida kõik nii uljalt kasutavad, rääkimata sellest, et nad teaksid, millised on Wi-Fi erinevad standardid ja andmeturbe protokollid. Kui minna natuke lähemalt siis minu jaoks Wi-Fi ilmumise aeg oli nagu suur revolutsioon, sest mina ei saanud aru kuidas saab kasutada Interneti ilma traadideta, istuda kodus oma läpakaga näiteks voodi peal kuulata muusikat ja surfata internetis. Ja kuna see on meie tänapäevane elu siis see on mitteturvaline ja kõik kes tahab midagi kurja teha saab seda kergesti realiseerida ja selleks, et vältida raskuseid ja ründeid Wi-Fi kaitseks tuleksid erinevad turveprotokollid, mis vastavad stardarditele. See on nagu meie elu, kõik peab olema turvaline, näiteks korterites on uksed koos lukuga ja kui mina ei taha, et keegi tuli minu juurde siis ma panen korteri luku või signalisatsiooni. Esialgu olid personaalsed võrgud täiesti kaitseta kuni võrguhaldaja ise ta kaitse alla pani. Sellest hoolimata on suur osa võrkudest siiamaani turvatud kas nõrga turvalisusega WEP algoritmiga või üldse laiali maailmale täiesti avatud. Minu kodus näiteks on üks Wi-Fi leviala, mis on turvatud WEP abil, aga näiteks kui vaadata milliseid levialad on meie majas veel on olemas, siis on selline pilt, et mõned on täiesti avatud igaühele, kes vähegi soovib internetti kasutada. Minu arvates see on ebamugav, üldse mitteturvaline ja mõtetus asi, kui on olemas Wi-Fi leviala, pane näiteks parooli, et see on parem kui ilma paroolideta. Selline olukord loob aga suurepärase võimaluse pahatahtlikel inimestel võrku pealt kuulata ning saada informatsiooni näiteks salajaste paroolide või muude tähtsate andmete kohta. <br /><br />
Minu referaadis jutt läheb sellest, millised on tänapäeval kõige populaarsemad turveprotokollid, näiteks WEP, WPA ja WP2 see on nagu evolutsioon: WEP on näiteks kõige esimesem turve protokoll ja tänapäeval on ta lihtsalt murtav, WPAga on asi natuke keerulisem sest see kasutab raskeid krüptoalgoritmeid. WPA on andmeturbe protokoll, mis kasutab TKIP protokolli ja AES algoritmi ning autentimiseks EAP protokolli. WPA2 on WPA edasiarendus. Praeguse seisuga on see kõige turvalisem andmeturbe protokoll, mida ei ole võimalik eriti lihtsalt lahti murda. Alguses jutt tuleb sellest, mis on üldse see sõna Wi-Fi tähendab, kuidas seda kasutab, milliseid standardid on maailmas olemas, milliseid on neist kõige levinunaid. Kuidas kodus ja mingis asutuses oma võrgu kaitsta, mida selleks tuleb teada, mida tuleb teha ja milliseid tegevused on keelatud, see on kõik selleks et võrk töötaks nii nagu ta peab! Meie laias maailmas on nii palju inimesi, kes tahab midagi saada näiteks ilma rahata ja veel paha asju kaasa tuua, selleks, et krakkerid ei saaksid minu asju varastada ja midgi halba mulle teha, ülioluline on see, et kõik peab olema turvaline, kui ostad mingi asju nt. ruuterit, siis sina pead mõelda kuidas saab seda kaitsta. Mõned ei taha ainult traadita interneti tasuta kasutada, nad tahavad midagi varastada või kui see on mitte kättesaadav siis teha katki see mis sulle vaja on. Lõpuks kirjutasin natuke sellist asjast nagu kuritegevused ja paragrahvid, sest kõik mida need kräkkerid tegevad on karistatav. <br /><br />
Wi-Fi on meie maailmas arenb edasi suure sammudega ja see mis meil on tänapäeval olemas ei ole piir. Kõigepealt, kuna areneb traadita andmeside siis koos sellega ilmuvad uued krüptoalgoritmid ja protokollid mis on loomulikult arenevad koos Wi-Figa. Seega on selge, et interneti tulevik kuulub WiFi-le. <br /><br />
<br />
==Kasutusala==<br />
<br />
Wi-Fi on kasutusel kodustes võrkudes, kontorites, mobiiltelefonides, videomängudes ja paljudes teistes elektroonilistes seadmetes mis vajavad mingisugust traadita võrku. Wi-Fi tehnoloogiat toetavad peaaegu kõik tänapäevased arvuti operatsioonisüsteemid, mängukonsoolid ning ka paljud printerid ja teised välisseadmed. <br /><br />
Wi-Fi eesmärk on pakkuda traadita ligipääsu digitaalsele sisule. Selle sisu alla võivad kuuluda nii rakendused, heli, visuaalne meedia, Interneti ühendus ning ka muud andmed. Wi-Fi muudab informatsioonile ligipääsu üldiselt lihtsamaks, kuna see saab eemaldada mõningad füüsilised piirangud mis on seotud kaabeldusega. Wi-Fi’ga varustatud seade nagu näiteks PC, mängukonsool, mobiiltelefon, MP3 mängija või PDA saab ühenduda Internetiga, kui see asub traadita võrgus, mis on ühendatud internetiga. <br /> <br />
Peale selle, et Wi-Fit kasutatakse kodudes ja kontorites, on see laialt kasutuses ka avalikes kohtades, kus pakutakse traadita Interneti teenust kas tasuta või siis mingi rahasumma eest. Wifi.ee andmetel on praegu Eestis kokku 1175 Wi-Fi- leviala 45 000 km2 kohta. Tartumaal asub neist 98 leviala, millest enamik asub Tartu linnas. <br /><br />
<br />
==Koduvõrgu kaitsmine==<br />
<br />
Kui sõita läbi Tallinna kesklinna Mustamäele ja tagasi, jääb marsruudile ligi 1200 WiFi leviala, paljud küll asutuste, kuid enamus siiski kodukasutajate omad. Rõõmustaval kombel on 80-90% neist kasvõi mingilgi määral kaitstud, nii et pätt, kes neid kuritarvitada püüab, riskib juba ametlikult paragrahviga, mis räägib arvutivõrgu ebaseaduslikust kasutamisest kaitsevahendi kõrvaldamise teel. <br />
Esimene ja kõige tähtsam: muuta ruuteri vaikeseadeid! Iga ruuteri kasutusjuhend koos vaikeparooliga on netist vabalt allalaaditav ning administraatori, mõnel juhul ka vaikekasutaja parooli muutmata jätmine on sama, mis lahtisele uksele veel ka võtmed ette unustada. <br /><br />
Kindlasti tuleks muuta ka SSID (Service Set Identfier ehk teenusevõrgu nimi, mille ruuter välja saadab), kasvõi selleks, et koduvõrk naabrimehe omaga vahetusse ei satuks (mõelge oma üleelamistele olukorras, kus naabrimees kasvõi kogemata teie allalaadimiskiirusest oma osa saab), aga ka sellepärast, et näiteks mõnede Linksys’i mudelite puhul piisas vähemalt mõnda aega tagasi SSID teadmisest, et selle tarkvara uuega asendada. Kui ruuteri tarkvara vähegi võimaldab (ja enamus võimaldab), tuleks SSID väljakuulutamine üldse ära keelata. Suunatud rünnaku vastu see küll ei aita, kuid keskkoolikräkker võib SSID väljanuuskimiseks kuluvat aega liiga tüütuks pidada. <br /><br />
Kui ruuteri tarkvara sellega hakkama saab, tuleks kasutada MAC-aadressi (iga võrgukaardi unikaalne identifikaator) põhist filtreerimist, omistada igale võrku kasutavale arvutile staatiline IP ja ülejäänud IP aadresside vahemikule ligipääs keelata. Jällegi – kunagi ei tea, kas kurjam viitsib MAC- ja IP aadressi võltsimisega vaeva näha. <br /><br />
Kõige tähtsam – kasutage signaali krüpteeringut, nii kanget, kui teie ruuter vähegi kannatab. 64-bitist WEP-i murrab kurikael mõned minutid, 128-bitist WEP-i kuni kaks tundi, kui parool just sõnaraamatus kirjas ei ole, WPA-d võib ta heal juhul murdma jäädagi. Toore jõuga (brute force) kuluks WPA murdmiseks päevi, selle asemel rünnatakse pigem krüpteerimisvõtme vahetushetke, mis WPA lihtsamate versioonide puhul on teinekord veerand tunniga lahtimurtav. Siiski on WPA, eriti selle kommertsversioonid tunduvalt turvalisemad kui WEP, viimane aga on kindlasti parem kui igasuguse krüpteeringu puudumine. <br /><br />
Ja veel kaks võtet koduvõrgu kaitsmiseks: ruuter tuleks püüda paigutada nii, et selle leviala ruumidest võimalikult vähe välja ulatuks, kui aga WiFi-t pikka aega ei kasutata, on targem ruuter üldse välja lülitada. <br /><br />
<br />
==WiFi-võrkude turvalisus==<br />
<br />
WiFi turvalisus on väga keeruline ja mitmetahuline teema. Selge on aga see, et võimalike probleemide ees silma kinnipigistamine olukorda ei lahenda. WiFi levib tahes-tahmata ja ükskõik kui hästi te seda ka varjestada või piiritleda ei prooviks, ikkagi levib see teie eluruumidest kaugemale. <br /><br />
Kogutud Aga kuidas on lood WiFi piiramisega andmete põhjal on 42% Tallinna WiFi-seadmetest lahtise võrguga (ilma WEP või WPA kaitseta). See ei tähenda küll päris nelja tuhandet (mitteametlikku) avalikku internetipunkti, sest selles statistikas ei kajastu MAC-aadressi kontrolliga piiratud võrgud ega keerulisemaid turvameetmeid. Ent kui vaadata, kui palju on samas tootjanimedega võrke (Linksys, Default, Wireless, WLAN), võib kahtlustada, et enamikule neist on täiesti vaba juurdepääs. <br /><br />
Enamik kontvõõrastest kasutajatest pole ju pahatahtlikud – tahavad lihtsalt netis surfata, meile lugeda, sõnumsidet kasutada. Peate ainult arvestama sellega, et võõras arvutis olevad viirused võivad ohustada teiegi arvutit ning kui netiühendus järsku väga aeglaseks jääb, võib olla süüdi teie heatahtlikkust kuritarvitav naabripoiss – kasutage alati tulemüüri, viirusetõrjet ning kahtluste korral jälgige võrguseadmest, millised MAC-aadressid on viimasel ajal teie võrguühendust tarbinud. <br /><br />
<br />
==SSID ja MAC-aadress==<br />
<br />
Igal WiFi-võrgul on oma nimi. Seda saab ise määrata. Mõistlikuks ei saa pidada ka oma aadressi kasutamist SSID-nimena – Korter 12, II korrus, Firmanimi OÜ jne. Kui tõesti tahate, et võõrad teie WiFi-võrguga liituda oskaksid, kasutage meiliaadressi või telefoninumbrit. Firmanime kasutamine hõlbustab häkkerite tööd, kodune aadress võib olla aga reklaamiks varastele – siit on vähemalt arvuti kaasa võtta. MAC-aadress on unikaalne kood, mis on igal võrgukaardil ja võrguseadmel erinev. Tüüpiliselt on see aadress kujul 00:02:3F:33:4A:89. Sellest esimesed kolm märgivad tootjafirmat (00:02:3F – Intel Corp), tagumised kolm moodustavad iga kaardi kordumatu koodi. <br /><br />
MAC-aadresside litsentseerimisega tegeleb IEEE Standards Association. MAC-aadress ehk meediumipöörduse juhtimise aadress (inglise keeles Media Access Control) on võrguseadmete unikaalne identifitseerija, mis määratakse võrgukaardile tootmise käigus. Tootja poolt määratud MAC aadress võiks olla ülemaailmselt unikaalne, kuid on siiski tarkvaraliselt muudetav enamusel 21. saj alguse võrgukaartidel. <br /><br />
<br />
==WEP, WPA, WPA2==<br />
<br />
WEP ehk Wired Equivalent Privacy on protokoll, mis loodi tegemaks standardile IEEE 802.11 vastav traadita internetiühendus sama turvaliseks kui seda on tavaline juhtme teel leviv internetiühendus. WEP kasutab krüpteerimiseks RC4 algoritmi ning tervikluse hindamiseks CRC32 kontrollsummasid. Võtme pikkuse järgi eristatakse 64, 128 ja 256 bitiseid WEP-e, mis kasutavad siis vastavalt 40, 104 ja 232 bitiseid paroole. Igale kasutaja poolt sisestatud salajasele võtmele lisatakse 24 bitine IV (Initialization Vector) vektor, mille järgi siis kokkuvõttes krüpteeritakse paketid kasutades RC4 algoritmi. Üheks suurimaks WEP turvaprobleemiks on liigselt väike erinevate võimalike IV vektorite hulk. WEP on väga lihtsalt lahti murtav, arvuti tegi seda IT Kolledzi laborites viie minuti jooksul, oli väga huvitav. <br /><br />
<br />
WPA loodigi WEP krüpteeringu asendamiseks. Eksisteerib 2 lahendust – WPA-PSK ja WPA Enterprise. WPA-PSK puhul kasutatakse kõigil WiFi klientidel sama 8-63 märgi pikkust parooli. See on turvaline ainult siis, kui valida vähemalt 33 märgi pikkune suvalistest märkidest koosnev parool. WPA Enterprise lahenduses kasutatakse RADIUS serverit, seega iga kasutaja peab WiFi võrku sisse logima oma kasutajanime ja parooliga. <br /><br />
<br />
WPA2 on WPA uuem versioon, milles on kohustuslikuks tehtud tugevama krüpteeringu kasutamine. Praegusel momendil loetakse ainukeseks lihtsasti kättesaadavaks WiFi turvalisuseks WPA2 Enterprise lahendust. WPA on andmeturbe protokoll, mis kasutab TKIP (Temporal Key Integrity Protocol) protokolli ja AES (Advanced Encryption Standard) algoritmi ning autentimiseks EAP (Extensible Authentication Protocol) protokolli. WPA on küll palju turvalisem kui WEP, kuid siiski on tänapäeval juba võimalik ka seda andmeturbe protokolli lahti murda. WPA2 on WPA edasiarendus. Praeguse seisuga on see kõige turvalisem andmeturbe protokoll, mida ei ole võimalik eriti lihtsalt lahti murda. <br /><br />
<br />
==WiFi-võrgu kaitsmine==<br />
<br />
Statistika järgi on 42% Tallinna WiFi-võrkudest kaitseta. Tegelikult päris nii vabameelne meie võrgundus siiski pole – NetStumbleri statistika ei kajasta näiteks MAC-aadressi, captive-veebiserveri või muude keerukamate võtetega piiratud võrke. Ent julgeks siiski väita, et Tallinnas on iga kolmas WiFi-võrk kõigile külastajatele avatud. <br /><br />
<br />
*Valige sobiv kaitsemeetod <br /><br />
Koduse WiFi-võrgu turvamiseks on mitu võimalust. Valikus on peamiselt 64- või 128-bitine WEP (mõnel juhul ka 256-bitine WEP), WPA-PSK ja MAC-aadresside piirang. Kõige turvalisem on WPA-PSK, kõige kesisema turvalisusega aga MAC-aadresside piirang (kuigi juurdepääs on piiratud, on ühendus siiski vabalt pealtkuulatav). Kõik peale WPA-PSK ei paku kogenud häkkerile olulist peavalu, ent peletavad kindlasti eemale soovimatud juhukülalised. Ka WPA-PSK on kindel vaid juhul, kui kasutatud parool on pikk, ei põhine sõnaraamatus leiduval sõnal ning sisaldab nii tähti, numbreid kui ka muid märke (soovitan vähemalt 12-märgilist parooli). <br /><br />
<br />
*Kontrollige turbemeetodi ühilduvust <br /><br />
Valitud turbemeetodit peavad toetama nii WiFi-seade, arvuti WiFi-kaart kui ka opsüsteem. Enamik vanematest WiFi-seadmetest ei toeta WPA-d. Ka uue soetamisel tasub selle kohta poest kindlasti eraldi küsida. Samuti võib odavamatel, väiksema jõudlusega WiFi-seadmetel esineda olulist kiiruse kadu või ajutist ühenduse katkemist tugeva võtme kasutamise korral – krüpteerimise puhul on ikkagi tegu matemaatiliselt ressursinõudliku tegevusega. Probleemide korral peate leppima nõrgema turbemeetodiga. <br /><br />
<br />
==Paragrahvid==<br />
<br />
Loomulikult on e-tiigrina tuntud Eesti Vabariigi Karistusseadustikus ka võrgupättused ära mainitud. AP-de olemasolu ja nende poolt edastatavate eetriandmete (SSID, tootjafirma, krüpteerimismeetod jms) registreerimine, entusiastide keeles wardriving otsesõnu ebaseaduslik ei ole, võrguliikluse pealtkuulamine aga juba küll. Näiteks on karistatav arvuti, arvutisüsteemi ja arvutivõrgu ebaseaduslik kasutamine koodi, salasõna või muu kaitsevahendi kõrvaldamise teel (§217) – selle paragrahvi alla võiks ilusti mahtuda näiteks MAC aadressi võltsimine ruuterisse sisenemiseks, samuti WEP ja WPA võtme lahtimurdmine. Karistatav on ka arvutivõrgu ühenduse kahjustamine (§207) ehk siis DoS rünnak või signaali segamine (jamming). Võõraste meilide ja kiirsõnumite lugemise eest ähvardab pätti sõnumisaladuse rikkumise paragrahv (§156), kui aga pealtkuulatud andmeid kasutatakse varalise kasu saamise eesmärgil (§213), võib kurikaela oodata juba kuni viieaastane puhkus ruudulise päikese paistel. Samuti ei tasu alahinnata Eesti politsei võimekust arvutikurikaelte tabamisel – arvutivõrku tungimise eest on juba kohtu ette viidud rohkem kui üks tegelane… <br /><br />
<br />
==Kokkuvõte==<br />
<br />
Kokkuvõteks võin ütelda, et kõik see on väga hea, et on olemas Wi-Fi leviala mis on turvaline ja palju teadmisi selle kohta, et saab ka teistele sellest rääkida, kõik meie maailmas areneb ja areneb, aga ei tohi unustada, et need kurikaelad ka arenevad koos sellistega krüptoalgoritmidega, nad ei maga! Kõik mida loob inimene on võimalik murta. <br /><br />
Wi-Fi populaarsus kasvab ja seda kasutab rohkem ja rohkem inimesi, siis tuleb järjest rohkem tähelepanu pöörata ka sellele, milliseid Wi-Fi standardeid ja andmeturbe protokolle erinevad seadmed kasutavad. Erinevaid standardeid on vaja teada selleks, et oleks teada millised seadmed on võimelised milliste võrkudega ühenduma. <br /><br />
Samas on sama oluline ka traadita võrkude turvalisus, et keegi pahatahtlik inimene ei pääseks ligi informatsioonile, millega ta saaks sulle ja ka teistele kahju tekitada. Keegi meist ju ei tahaks, et meie isiklikku infot kasutataks meile või kellelegi teisele halva tegemise eesmärgil. Kuna kirjutasin seda referaadi, siis arvan küll et targaks sain, leidsin ja lugesin palju materjale Wi-Fi standarditest, milleks nad üldse olulised on ja sain ette kujutada nende evolutsiooni mis on mulle, nagu tulevikkus IT inimesele väga tarvis ja huvitav. <br /><br />
<br />
==Autor==<br />
<br />
Sergei Barol A21 <br /><br />
[mailto:sbarol@itcollege.ee sbarol@itcollege.ee]<br />
<br />
==Allikad==<br />
<br />
1. http://en.wikipedia.org/wiki/IEEE_802.11 <br /><br />
2. http://www.elenor.ee/artiklid/wifi-ule-kogu-kontori/ <br /><br />
3. http://blog.izall.com/2008/04/03/ainulaadne-wifi-turvalisus/ <br /><br />
4. http://www.arvutikasutaja.ee/artikkel.php?lk=3&id=207&sid=447f621c286189c007c2ccb0e81af757 <br /><br />
5. http://www.arvutikaitse.ee/?p=189 <br /><br />
6. http://www.arvutikaitse.ee/?p=720 <br /><br />
7. http://wiki.wifi.ee/index.php?title=WiFi <br /><br />
8. http://wiki.wifi.ee/index.php?title=Esileht <br /><br />
9. http://wiki.wifi.ee/index.php?title=WPA <br /><br />
10. http://en.wikipedia.org/wiki/Wi-Fi <br /><br />
11. http://en.wikipedia.org/wiki/Wireless_security <br /><br />
<br />
[[Category:Traadita side alused]]</div>Sbarolhttps://wiki.itcollege.ee/index.php?title=Wifi_turve&diff=9766Wifi turve2010-05-11T08:34:14Z<p>Sbarol: /* Mis on Wi-Fi */</p>
<hr />
<div>==Sissejuhatus==<br />
<br />
Paljud inimesed küll kasutavad Wi-Fit kuid pole teadlikud selle erinevatest standarditest ja turvalisusega seotud probleemidest. Nii Eestis kui ka mujal maailmas on viimase kümnendi jooksul toimunud revolutsioon juhtmeta internetiühenduste valdkonnas. Kuigi alles 2001 aastal käivitus esimene avalik WiFi Leviala Eestis, on nüüdseks jõutud olukorda, kus tundub imelik, kui kohvikusse või mõnesse muusse avalikku teenust pakkuvasse asutusse minnes ei ole võimalik ligi pääseda ühessegi traadita interneti levialasse. Lisaks arvutitele on nüüdseks juba ka suuremal osal kallima hinnaklassiga mobiiltelefonidel juures võimalus ühendada ennast traadita interneti võrku. See toob endaga kaasa aga juba uusi funktsioone nagu näiteks tasuta VoIP kõned või internetiraadiod mobiiltelefonides, mis omakorda suurendavad nõudlust järjest rohkemate levialade järele. <br /><br />
Wi-Fi on tänapäeval väga tuntud ja laialdaselt levinud. Wi-Fi leviala võib leida peaaegu igas natuke suuremas kohvikus, pubis, baaris ja nüüd on võimalik seda leida ka pargis, rääkimata kodudest ja kontoritest. Võimalik, et paljud üldse ei tea, mida täpsemalt tähendab see salapärane lühend Wi-Fi, mida kõik nii uljalt kasutavad, rääkimata sellest, et nad teaksid, millised on Wi-Fi erinevad standardid ja andmeturbe protokollid. Kui minna natuke lähemalt siis minu jaoks Wi-Fi ilmumise aeg oli nagu suur revolutsioon, sest mina ei saanud aru kuidas saab kasutada Interneti ilma traadideta, istuda kodus oma läpakaga näiteks voodi peal kuulata muusikat ja surfata internetis. Ja kuna see on meie tänapäevane elu siis see on mitteturvaline ja kõik kes tahab midagi kurja teha saab seda kergesti realiseerida ja selleks, et vältida raskuseid ja ründeid Wi-Fi kaitseks tuleksid erinevad turveprotokollid, mis vastavad stardarditele. See on nagu meie elu, kõik peab olema turvaline, näiteks korterites on uksed koos lukuga ja kui mina ei taha, et keegi tuli minu juurde siis ma panen korteri luku või signalisatsiooni. Esialgu olid personaalsed võrgud täiesti kaitseta kuni võrguhaldaja ise ta kaitse alla pani. Sellest hoolimata on suur osa võrkudest siiamaani turvatud kas nõrga turvalisusega WEP algoritmiga või üldse laiali maailmale täiesti avatud. Minu kodus näiteks on üks Wi-Fi leviala, mis on turvatud WEP abil, aga näiteks kui vaadata milliseid levialad on meie majas veel on olemas, siis on selline pilt, et mõned on täiesti avatud igaühele, kes vähegi soovib internetti kasutada. Minu arvates see on ebamugav, üldse mitteturvaline ja mõtetus asi, kui on olemas Wi-Fi leviala, pane näiteks parooli, et see on parem kui ilma paroolideta. Selline olukord loob aga suurepärase võimaluse pahatahtlikel inimestel võrku pealt kuulata ning saada informatsiooni näiteks salajaste paroolide või muude tähtsate andmete kohta. <br /><br />
Minu referaadis jutt läheb sellest, millised on tänapäeval kõige populaarsemad turveprotokollid, näiteks WEP, WPA ja WP2 see on nagu evolutsioon: WEP on näiteks kõige esimesem turve protokoll ja tänapäeval on ta lihtsalt murtav, WPAga on asi natuke keerulisem sest see kasutab raskeid krüptoalgoritmeid. WPA on andmeturbe protokoll, mis kasutab TKIP protokolli ja AES algoritmi ning autentimiseks EAP protokolli. WPA2 on WPA edasiarendus. Praeguse seisuga on see kõige turvalisem andmeturbe protokoll, mida ei ole võimalik eriti lihtsalt lahti murda. Alguses jutt tuleb sellest, mis on üldse see sõna Wi-Fi tähendab, kuidas seda kasutab, milliseid standardid on maailmas olemas, milliseid on neist kõige levinunaid. Kuidas kodus ja mingis asutuses oma võrgu kaitsta, mida selleks tuleb teada, mida tuleb teha ja milliseid tegevused on keelatud, see on kõik selleks et võrk töötaks nii nagu ta peab! Meie laias maailmas on nii palju inimesi, kes tahab midagi saada näiteks ilma rahata ja veel paha asju kaasa tuua, selleks, et krakkerid ei saaksid minu asju varastada ja midgi halba mulle teha, ülioluline on see, et kõik peab olema turvaline, kui ostad mingi asju nt. ruuterit, siis sina pead mõelda kuidas saab seda kaitsta. Mõned ei taha ainult traadita interneti tasuta kasutada, nad tahavad midagi varastada või kui see on mitte kättesaadav siis teha katki see mis sulle vaja on. Lõpuks kirjutasin natuke sellist asjast nagu kuritegevused ja paragrahvid, sest kõik mida need kräkkerid tegevad on karistatav. <br /><br />
Wi-Fi on meie maailmas arenb edasi suure sammudega ja see mis meil on tänapäeval olemas ei ole piir. Kõigepealt, kuna areneb traadita andmeside siis koos sellega ilmuvad uued krüptoalgoritmid ja protokollid mis on loomulikult arenevad koos Wi-Figa. Seega on selge, et interneti tulevik kuulub WiFi-le. <br /><br />
<br />
==Kasutusala==<br />
<br />
Wi-Fi on kasutusel kodustes võrkudes, kontorites, mobiiltelefonides, videomängudes ja paljudes teistes elektroonilistes seadmetes mis vajavad mingisugust traadita võrku. Wi-Fi tehnoloogiat toetavad peaaegu kõik tänapäevased arvuti operatsioonisüsteemid, mängukonsoolid ning ka paljud printerid ja teised välisseadmed. <br /><br />
Wi-Fi eesmärk on pakkuda traadita ligipääsu digitaalsele sisule. Selle sisu alla võivad kuuluda nii rakendused, heli, visuaalne meedia, Interneti ühendus ning ka muud andmed. Wi-Fi muudab informatsioonile ligipääsu üldiselt lihtsamaks, kuna see saab eemaldada mõningad füüsilised piirangud mis on seotud kaabeldusega. Wi-Fi’ga varustatud seade nagu näiteks PC, mängukonsool, mobiiltelefon, MP3 mängija või PDA saab ühenduda Internetiga, kui see asub traadita võrgus, mis on ühendatud internetiga. <br /> <br />
Peale selle, et Wi-Fit kasutatakse kodudes ja kontorites, on see laialt kasutuses ka avalikes kohtades, kus pakutakse traadita Interneti teenust kas tasuta või siis mingi rahasumma eest. Wifi.ee andmetel on praegu Eestis kokku 1175 Wi-Fi- leviala 45 000 km2 kohta. Tartumaal asub neist 98 leviala, millest enamik asub Tartu linnas. <br /><br />
<br />
==Koduvõrgu kaitsmine==<br />
<br />
Kui sõita läbi Tallinna kesklinna Mustamäele ja tagasi, jääb marsruudile ligi 1200 WiFi leviala, paljud küll asutuste, kuid enamus siiski kodukasutajate omad. Rõõmustaval kombel on 80-90% neist kasvõi mingilgi määral kaitstud, nii et pätt, kes neid kuritarvitada püüab, riskib juba ametlikult paragrahviga, mis räägib arvutivõrgu ebaseaduslikust kasutamisest kaitsevahendi kõrvaldamise teel. <br />
Esimene ja kõige tähtsam: muuta ruuteri vaikeseadeid! Iga ruuteri kasutusjuhend koos vaikeparooliga on netist vabalt allalaaditav ning administraatori, mõnel juhul ka vaikekasutaja parooli muutmata jätmine on sama, mis lahtisele uksele veel ka võtmed ette unustada. <br /><br />
Kindlasti tuleks muuta ka SSID (Service Set Identfier ehk teenusevõrgu nimi, mille ruuter välja saadab), kasvõi selleks, et koduvõrk naabrimehe omaga vahetusse ei satuks (mõelge oma üleelamistele olukorras, kus naabrimees kasvõi kogemata teie allalaadimiskiirusest oma osa saab), aga ka sellepärast, et näiteks mõnede Linksys’i mudelite puhul piisas vähemalt mõnda aega tagasi SSID teadmisest, et selle tarkvara uuega asendada. Kui ruuteri tarkvara vähegi võimaldab (ja enamus võimaldab), tuleks SSID väljakuulutamine üldse ära keelata. Suunatud rünnaku vastu see küll ei aita, kuid keskkoolikräkker võib SSID väljanuuskimiseks kuluvat aega liiga tüütuks pidada. <br /><br />
Kui ruuteri tarkvara sellega hakkama saab, tuleks kasutada MAC-aadressi (iga võrgukaardi unikaalne identifikaator) põhist filtreerimist, omistada igale võrku kasutavale arvutile staatiline IP ja ülejäänud IP aadresside vahemikule ligipääs keelata. Jällegi – kunagi ei tea, kas kurjam viitsib MAC- ja IP aadressi võltsimisega vaeva näha. <br /><br />
Kõige tähtsam – kasutage signaali krüpteeringut, nii kanget, kui teie ruuter vähegi kannatab. 64-bitist WEP-i murrab kurikael mõned minutid, 128-bitist WEP-i kuni kaks tundi, kui parool just sõnaraamatus kirjas ei ole, WPA-d võib ta heal juhul murdma jäädagi. Toore jõuga (brute force) kuluks WPA murdmiseks päevi, selle asemel rünnatakse pigem krüpteerimisvõtme vahetushetke, mis WPA lihtsamate versioonide puhul on teinekord veerand tunniga lahtimurtav. Siiski on WPA, eriti selle kommertsversioonid tunduvalt turvalisemad kui WEP, viimane aga on kindlasti parem kui igasuguse krüpteeringu puudumine. <br /><br />
Ja veel kaks võtet koduvõrgu kaitsmiseks: ruuter tuleks püüda paigutada nii, et selle leviala ruumidest võimalikult vähe välja ulatuks, kui aga WiFi-t pikka aega ei kasutata, on targem ruuter üldse välja lülitada. <br /><br />
<br />
==WiFi-võrkude turvalisus==<br />
<br />
WiFi turvalisus on väga keeruline ja mitmetahuline teema. Selge on aga see, et võimalike probleemide ees silma kinnipigistamine olukorda ei lahenda. WiFi levib tahes-tahmata ja ükskõik kui hästi te seda ka varjestada või piiritleda ei prooviks, ikkagi levib see teie eluruumidest kaugemale. <br /><br />
Kogutud Aga kuidas on lood WiFi piiramisega andmete põhjal on 42% Tallinna WiFi-seadmetest lahtise võrguga (ilma WEP või WPA kaitseta). See ei tähenda küll päris nelja tuhandet (mitteametlikku) avalikku internetipunkti, sest selles statistikas ei kajastu MAC-aadressi kontrolliga piiratud võrgud ega keerulisemaid turvameetmeid. Ent kui vaadata, kui palju on samas tootjanimedega võrke (Linksys, Default, Wireless, WLAN), võib kahtlustada, et enamikule neist on täiesti vaba juurdepääs. <br /><br />
Enamik kontvõõrastest kasutajatest pole ju pahatahtlikud – tahavad lihtsalt netis surfata, meile lugeda, sõnumsidet kasutada. Peate ainult arvestama sellega, et võõras arvutis olevad viirused võivad ohustada teiegi arvutit ning kui netiühendus järsku väga aeglaseks jääb, võib olla süüdi teie heatahtlikkust kuritarvitav naabripoiss – kasutage alati tulemüüri, viirusetõrjet ning kahtluste korral jälgige võrguseadmest, millised MAC-aadressid on viimasel ajal teie võrguühendust tarbinud. <br /><br />
<br />
==SSID ja MAC-aadress==<br />
<br />
Igal WiFi-võrgul on oma nimi. Seda saab ise määrata. Mõistlikuks ei saa pidada ka oma aadressi kasutamist SSID-nimena – Korter 12, II korrus, Firmanimi OÜ jne. Kui tõesti tahate, et võõrad teie WiFi-võrguga liituda oskaksid, kasutage meiliaadressi või telefoninumbrit. Firmanime kasutamine hõlbustab häkkerite tööd, kodune aadress võib olla aga reklaamiks varastele – siit on vähemalt arvuti kaasa võtta. MAC-aadress on unikaalne kood, mis on igal võrgukaardil ja võrguseadmel erinev. Tüüpiliselt on see aadress kujul 00:02:3F:33:4A:89. Sellest esimesed kolm märgivad tootjafirmat (00:02:3F – Intel Corp), tagumised kolm moodustavad iga kaardi kordumatu koodi. <br /><br />
MAC-aadresside litsentseerimisega tegeleb IEEE Standards Association. MAC-aadress ehk meediumipöörduse juhtimise aadress (inglise keeles Media Access Control) on võrguseadmete unikaalne identifitseerija, mis määratakse võrgukaardile tootmise käigus. Tootja poolt määratud MAC aadress võiks olla ülemaailmselt unikaalne, kuid on siiski tarkvaraliselt muudetav enamusel 21. saj alguse võrgukaartidel. <br /><br />
<br />
==WEP, WPA, WPA2==<br />
<br />
WEP ehk Wired Equivalent Privacy on protokoll, mis loodi tegemaks standardile IEEE 802.11 vastav traadita internetiühendus sama turvaliseks kui seda on tavaline juhtme teel leviv internetiühendus. WEP kasutab krüpteerimiseks RC4 algoritmi ning tervikluse hindamiseks CRC32 kontrollsummasid. Võtme pikkuse järgi eristatakse 64, 128 ja 256 bitiseid WEP-e, mis kasutavad siis vastavalt 40, 104 ja 232 bitiseid paroole. Igale kasutaja poolt sisestatud salajasele võtmele lisatakse 24 bitine IV (Initialization Vector) vektor, mille järgi siis kokkuvõttes krüpteeritakse paketid kasutades RC4 algoritmi. Üheks suurimaks WEP turvaprobleemiks on liigselt väike erinevate võimalike IV vektorite hulk. WEP on väga lihtsalt lahti murtav, arvuti tegi seda IT Kolledzi laborites viie minuti jooksul, oli väga huvitav. <br /><br />
<br />
WPA loodigi WEP krüpteeringu asendamiseks. Eksisteerib 2 lahendust – WPA-PSK ja WPA Enterprise. WPA-PSK puhul kasutatakse kõigil WiFi klientidel sama 8-63 märgi pikkust parooli. See on turvaline ainult siis, kui valida vähemalt 33 märgi pikkune suvalistest märkidest koosnev parool. WPA Enterprise lahenduses kasutatakse RADIUS serverit, seega iga kasutaja peab WiFi võrku sisse logima oma kasutajanime ja parooliga. <br /><br />
<br />
WPA2 on WPA uuem versioon, milles on kohustuslikuks tehtud tugevama krüpteeringu kasutamine. Praegusel momendil loetakse ainukeseks lihtsasti kättesaadavaks WiFi turvalisuseks WPA2 Enterprise lahendust. WPA on andmeturbe protokoll, mis kasutab TKIP (Temporal Key Integrity Protocol) protokolli ja AES (Advanced Encryption Standard) algoritmi ning autentimiseks EAP (Extensible Authentication Protocol) protokolli. WPA on küll palju turvalisem kui WEP, kuid siiski on tänapäeval juba võimalik ka seda andmeturbe protokolli lahti murda. WPA2 on WPA edasiarendus. Praeguse seisuga on see kõige turvalisem andmeturbe protokoll, mida ei ole võimalik eriti lihtsalt lahti murda. <br /><br />
<br />
==WiFi-võrgu kaitsmine==<br />
<br />
Statistika järgi on 42% Tallinna WiFi-võrkudest kaitseta. Tegelikult päris nii vabameelne meie võrgundus siiski pole – NetStumbleri statistika ei kajasta näiteks MAC-aadressi, captive-veebiserveri või muude keerukamate võtetega piiratud võrke. Ent julgeks siiski väita, et Tallinnas on iga kolmas WiFi-võrk kõigile külastajatele avatud. <br /><br />
<br />
*Valige sobiv kaitsemeetod <br /><br />
Koduse WiFi-võrgu turvamiseks on mitu võimalust. Valikus on peamiselt 64- või 128-bitine WEP (mõnel juhul ka 256-bitine WEP), WPA-PSK ja MAC-aadresside piirang. Kõige turvalisem on WPA-PSK, kõige kesisema turvalisusega aga MAC-aadresside piirang (kuigi juurdepääs on piiratud, on ühendus siiski vabalt pealtkuulatav). Kõik peale WPA-PSK ei paku kogenud häkkerile olulist peavalu, ent peletavad kindlasti eemale soovimatud juhukülalised. Ka WPA-PSK on kindel vaid juhul, kui kasutatud parool on pikk, ei põhine sõnaraamatus leiduval sõnal ning sisaldab nii tähti, numbreid kui ka muid märke (soovitan vähemalt 12-märgilist parooli). <br /><br />
<br />
*Kontrollige turbemeetodi ühilduvust <br /><br />
Valitud turbemeetodit peavad toetama nii WiFi-seade, arvuti WiFi-kaart kui ka opsüsteem. Enamik vanematest WiFi-seadmetest ei toeta WPA-d. Ka uue soetamisel tasub selle kohta poest kindlasti eraldi küsida. Samuti võib odavamatel, väiksema jõudlusega WiFi-seadmetel esineda olulist kiiruse kadu või ajutist ühenduse katkemist tugeva võtme kasutamise korral – krüpteerimise puhul on ikkagi tegu matemaatiliselt ressursinõudliku tegevusega. Probleemide korral peate leppima nõrgema turbemeetodiga. <br /><br />
<br />
==Paragrahvid==<br />
<br />
Loomulikult on e-tiigrina tuntud Eesti Vabariigi Karistusseadustikus ka võrgupättused ära mainitud. AP-de olemasolu ja nende poolt edastatavate eetriandmete (SSID, tootjafirma, krüpteerimismeetod jms) registreerimine, entusiastide keeles wardriving otsesõnu ebaseaduslik ei ole, võrguliikluse pealtkuulamine aga juba küll. Näiteks on karistatav arvuti, arvutisüsteemi ja arvutivõrgu ebaseaduslik kasutamine koodi, salasõna või muu kaitsevahendi kõrvaldamise teel (§217) – selle paragrahvi alla võiks ilusti mahtuda näiteks MAC aadressi võltsimine ruuterisse sisenemiseks, samuti WEP ja WPA võtme lahtimurdmine. Karistatav on ka arvutivõrgu ühenduse kahjustamine (§207) ehk siis DoS rünnak või signaali segamine (jamming). Võõraste meilide ja kiirsõnumite lugemise eest ähvardab pätti sõnumisaladuse rikkumise paragrahv (§156), kui aga pealtkuulatud andmeid kasutatakse varalise kasu saamise eesmärgil (§213), võib kurikaela oodata juba kuni viieaastane puhkus ruudulise päikese paistel. Samuti ei tasu alahinnata Eesti politsei võimekust arvutikurikaelte tabamisel – arvutivõrku tungimise eest on juba kohtu ette viidud rohkem kui üks tegelane… <br /><br />
<br />
==Kokkuvõte==<br />
<br />
Kokkuvõteks võin ütelda, et kõik see on väga hea, et on olemas Wi-Fi leviala mis on turvaline ja palju teadmisi selle kohta, et saab ka teistele sellest rääkida, kõik meie maailmas areneb ja areneb, aga ei tohi unustada, et need kurikaelad ka arenevad koos sellistega krüptoalgoritmidega, nad ei maga! Kõik mida loob inimene on võimalik murta. <br /><br />
Wi-Fi populaarsus kasvab ja seda kasutab rohkem ja rohkem inimesi, siis tuleb järjest rohkem tähelepanu pöörata ka sellele, milliseid Wi-Fi standardeid ja andmeturbe protokolle erinevad seadmed kasutavad. Erinevaid standardeid on vaja teada selleks, et oleks teada millised seadmed on võimelised milliste võrkudega ühenduma. <br /><br />
Samas on sama oluline ka traadita võrkude turvalisus, et keegi pahatahtlik inimene ei pääseks ligi informatsioonile, millega ta saaks sulle ja ka teistele kahju tekitada. Keegi meist ju ei tahaks, et meie isiklikku infot kasutataks meile või kellelegi teisele halva tegemise eesmärgil. Kuna kirjutasin seda referaadi, siis arvan küll et targaks sain, leidsin ja lugesin palju materjale Wi-Fi standarditest, milleks nad üldse olulised on ja sain ette kujutada nende evolutsiooni mis on mulle, nagu tulevikkus IT inimesele väga tarvis ja huvitav. <br /><br />
<br />
==Autor==<br />
<br />
Sergei Barol A21 <br /><br />
[mailto:sbarol@itcollege.ee sbarol@itcollege.ee]<br />
<br />
==Allikad==<br />
<br />
1. http://en.wikipedia.org/wiki/IEEE_802.11 <br /><br />
2. http://www.elenor.ee/artiklid/wifi-ule-kogu-kontori/ <br /><br />
3. http://blog.izall.com/2008/04/03/ainulaadne-wifi-turvalisus/ <br /><br />
4. http://www.arvutikasutaja.ee/artikkel.php?lk=3&id=207&sid=447f621c286189c007c2ccb0e81af757 <br /><br />
5. http://www.arvutikaitse.ee/?p=189 <br /><br />
6. http://www.arvutikaitse.ee/?p=720 <br /><br />
7. http://wiki.wifi.ee/index.php?title=WiFi <br /><br />
8. http://wiki.wifi.ee/index.php?title=Esileht <br /><br />
9. http://wiki.wifi.ee/index.php?title=WPA <br /><br />
10. http://en.wikipedia.org/wiki/Wi-Fi <br /><br />
11. http://en.wikipedia.org/wiki/Wireless_security <br /><br />
<br />
[[Category:Traadita side alused]]</div>Sbarolhttps://wiki.itcollege.ee/index.php?title=Wifi_turve&diff=9764Wifi turve2010-05-11T08:33:14Z<p>Sbarol: /* Kokkuvõte */</p>
<hr />
<div>==Sissejuhatus==<br />
<br />
Paljud inimesed küll kasutavad Wi-Fit kuid pole teadlikud selle erinevatest standarditest ja turvalisusega seotud probleemidest. Nii Eestis kui ka mujal maailmas on viimase kümnendi jooksul toimunud revolutsioon juhtmeta internetiühenduste valdkonnas. Kuigi alles 2001 aastal käivitus esimene avalik WiFi Leviala Eestis, on nüüdseks jõutud olukorda, kus tundub imelik, kui kohvikusse või mõnesse muusse avalikku teenust pakkuvasse asutusse minnes ei ole võimalik ligi pääseda ühessegi traadita interneti levialasse. Lisaks arvutitele on nüüdseks juba ka suuremal osal kallima hinnaklassiga mobiiltelefonidel juures võimalus ühendada ennast traadita interneti võrku. See toob endaga kaasa aga juba uusi funktsioone nagu näiteks tasuta VoIP kõned või internetiraadiod mobiiltelefonides, mis omakorda suurendavad nõudlust järjest rohkemate levialade järele. <br /><br />
Wi-Fi on tänapäeval väga tuntud ja laialdaselt levinud. Wi-Fi leviala võib leida peaaegu igas natuke suuremas kohvikus, pubis, baaris ja nüüd on võimalik seda leida ka pargis, rääkimata kodudest ja kontoritest. Võimalik, et paljud üldse ei tea, mida täpsemalt tähendab see salapärane lühend Wi-Fi, mida kõik nii uljalt kasutavad, rääkimata sellest, et nad teaksid, millised on Wi-Fi erinevad standardid ja andmeturbe protokollid. Kui minna natuke lähemalt siis minu jaoks Wi-Fi ilmumise aeg oli nagu suur revolutsioon, sest mina ei saanud aru kuidas saab kasutada Interneti ilma traadideta, istuda kodus oma läpakaga näiteks voodi peal kuulata muusikat ja surfata internetis. Ja kuna see on meie tänapäevane elu siis see on mitteturvaline ja kõik kes tahab midagi kurja teha saab seda kergesti realiseerida ja selleks, et vältida raskuseid ja ründeid Wi-Fi kaitseks tuleksid erinevad turveprotokollid, mis vastavad stardarditele. See on nagu meie elu, kõik peab olema turvaline, näiteks korterites on uksed koos lukuga ja kui mina ei taha, et keegi tuli minu juurde siis ma panen korteri luku või signalisatsiooni. Esialgu olid personaalsed võrgud täiesti kaitseta kuni võrguhaldaja ise ta kaitse alla pani. Sellest hoolimata on suur osa võrkudest siiamaani turvatud kas nõrga turvalisusega WEP algoritmiga või üldse laiali maailmale täiesti avatud. Minu kodus näiteks on üks Wi-Fi leviala, mis on turvatud WEP abil, aga näiteks kui vaadata milliseid levialad on meie majas veel on olemas, siis on selline pilt, et mõned on täiesti avatud igaühele, kes vähegi soovib internetti kasutada. Minu arvates see on ebamugav, üldse mitteturvaline ja mõtetus asi, kui on olemas Wi-Fi leviala, pane näiteks parooli, et see on parem kui ilma paroolideta. Selline olukord loob aga suurepärase võimaluse pahatahtlikel inimestel võrku pealt kuulata ning saada informatsiooni näiteks salajaste paroolide või muude tähtsate andmete kohta. <br /><br />
Minu referaadis jutt läheb sellest, millised on tänapäeval kõige populaarsemad turveprotokollid, näiteks WEP, WPA ja WP2 see on nagu evolutsioon: WEP on näiteks kõige esimesem turve protokoll ja tänapäeval on ta lihtsalt murtav, WPAga on asi natuke keerulisem sest see kasutab raskeid krüptoalgoritmeid. WPA on andmeturbe protokoll, mis kasutab TKIP protokolli ja AES algoritmi ning autentimiseks EAP protokolli. WPA2 on WPA edasiarendus. Praeguse seisuga on see kõige turvalisem andmeturbe protokoll, mida ei ole võimalik eriti lihtsalt lahti murda. Alguses jutt tuleb sellest, mis on üldse see sõna Wi-Fi tähendab, kuidas seda kasutab, milliseid standardid on maailmas olemas, milliseid on neist kõige levinunaid. Kuidas kodus ja mingis asutuses oma võrgu kaitsta, mida selleks tuleb teada, mida tuleb teha ja milliseid tegevused on keelatud, see on kõik selleks et võrk töötaks nii nagu ta peab! Meie laias maailmas on nii palju inimesi, kes tahab midagi saada näiteks ilma rahata ja veel paha asju kaasa tuua, selleks, et krakkerid ei saaksid minu asju varastada ja midgi halba mulle teha, ülioluline on see, et kõik peab olema turvaline, kui ostad mingi asju nt. ruuterit, siis sina pead mõelda kuidas saab seda kaitsta. Mõned ei taha ainult traadita interneti tasuta kasutada, nad tahavad midagi varastada või kui see on mitte kättesaadav siis teha katki see mis sulle vaja on. Lõpuks kirjutasin natuke sellist asjast nagu kuritegevused ja paragrahvid, sest kõik mida need kräkkerid tegevad on karistatav. <br /><br />
Wi-Fi on meie maailmas arenb edasi suure sammudega ja see mis meil on tänapäeval olemas ei ole piir. Kõigepealt, kuna areneb traadita andmeside siis koos sellega ilmuvad uued krüptoalgoritmid ja protokollid mis on loomulikult arenevad koos Wi-Figa. Seega on selge, et interneti tulevik kuulub WiFi-le. <br /><br />
<br />
==Mis on Wi-Fi==<br />
<br />
WiFi (Wireless Fidelity) ehk raadiokohtvõrk või raadio-Ethernet. Wi-Fi on WECA (Wireless Ethernet Compatibility Alliance) poolt propageeritav kaubamärk, vastab raadiokohtvõrgu standardile IEEE 802.11 ning kujutab endast Ethernet-kohtvõrku, kus kaablid on asendatud raadiolinkidega ja kasutatakse raadio-Etherneti otsejada-versiooni (DS). WiFi on ühilduv PC-kaartidega ja WiFi logot kandvate tugijaamadega. Vahel kutsutakse raadiokohtvõrke ka "traadita Internetiks", kuid tegelikult on ikkagi tegemist traadita kohtvõrkudega, mis võivad muidugi olla ühendatud ka Internetiga. <br /><br />
<br />
==Kasutusala==<br />
<br />
Wi-Fi on kasutusel kodustes võrkudes, kontorites, mobiiltelefonides, videomängudes ja paljudes teistes elektroonilistes seadmetes mis vajavad mingisugust traadita võrku. Wi-Fi tehnoloogiat toetavad peaaegu kõik tänapäevased arvuti operatsioonisüsteemid, mängukonsoolid ning ka paljud printerid ja teised välisseadmed. <br /><br />
Wi-Fi eesmärk on pakkuda traadita ligipääsu digitaalsele sisule. Selle sisu alla võivad kuuluda nii rakendused, heli, visuaalne meedia, Interneti ühendus ning ka muud andmed. Wi-Fi muudab informatsioonile ligipääsu üldiselt lihtsamaks, kuna see saab eemaldada mõningad füüsilised piirangud mis on seotud kaabeldusega. Wi-Fi’ga varustatud seade nagu näiteks PC, mängukonsool, mobiiltelefon, MP3 mängija või PDA saab ühenduda Internetiga, kui see asub traadita võrgus, mis on ühendatud internetiga. <br /> <br />
Peale selle, et Wi-Fit kasutatakse kodudes ja kontorites, on see laialt kasutuses ka avalikes kohtades, kus pakutakse traadita Interneti teenust kas tasuta või siis mingi rahasumma eest. Wifi.ee andmetel on praegu Eestis kokku 1175 Wi-Fi- leviala 45 000 km2 kohta. Tartumaal asub neist 98 leviala, millest enamik asub Tartu linnas. <br /><br />
<br />
==Koduvõrgu kaitsmine==<br />
<br />
Kui sõita läbi Tallinna kesklinna Mustamäele ja tagasi, jääb marsruudile ligi 1200 WiFi leviala, paljud küll asutuste, kuid enamus siiski kodukasutajate omad. Rõõmustaval kombel on 80-90% neist kasvõi mingilgi määral kaitstud, nii et pätt, kes neid kuritarvitada püüab, riskib juba ametlikult paragrahviga, mis räägib arvutivõrgu ebaseaduslikust kasutamisest kaitsevahendi kõrvaldamise teel. <br />
Esimene ja kõige tähtsam: muuta ruuteri vaikeseadeid! Iga ruuteri kasutusjuhend koos vaikeparooliga on netist vabalt allalaaditav ning administraatori, mõnel juhul ka vaikekasutaja parooli muutmata jätmine on sama, mis lahtisele uksele veel ka võtmed ette unustada. <br /><br />
Kindlasti tuleks muuta ka SSID (Service Set Identfier ehk teenusevõrgu nimi, mille ruuter välja saadab), kasvõi selleks, et koduvõrk naabrimehe omaga vahetusse ei satuks (mõelge oma üleelamistele olukorras, kus naabrimees kasvõi kogemata teie allalaadimiskiirusest oma osa saab), aga ka sellepärast, et näiteks mõnede Linksys’i mudelite puhul piisas vähemalt mõnda aega tagasi SSID teadmisest, et selle tarkvara uuega asendada. Kui ruuteri tarkvara vähegi võimaldab (ja enamus võimaldab), tuleks SSID väljakuulutamine üldse ära keelata. Suunatud rünnaku vastu see küll ei aita, kuid keskkoolikräkker võib SSID väljanuuskimiseks kuluvat aega liiga tüütuks pidada. <br /><br />
Kui ruuteri tarkvara sellega hakkama saab, tuleks kasutada MAC-aadressi (iga võrgukaardi unikaalne identifikaator) põhist filtreerimist, omistada igale võrku kasutavale arvutile staatiline IP ja ülejäänud IP aadresside vahemikule ligipääs keelata. Jällegi – kunagi ei tea, kas kurjam viitsib MAC- ja IP aadressi võltsimisega vaeva näha. <br /><br />
Kõige tähtsam – kasutage signaali krüpteeringut, nii kanget, kui teie ruuter vähegi kannatab. 64-bitist WEP-i murrab kurikael mõned minutid, 128-bitist WEP-i kuni kaks tundi, kui parool just sõnaraamatus kirjas ei ole, WPA-d võib ta heal juhul murdma jäädagi. Toore jõuga (brute force) kuluks WPA murdmiseks päevi, selle asemel rünnatakse pigem krüpteerimisvõtme vahetushetke, mis WPA lihtsamate versioonide puhul on teinekord veerand tunniga lahtimurtav. Siiski on WPA, eriti selle kommertsversioonid tunduvalt turvalisemad kui WEP, viimane aga on kindlasti parem kui igasuguse krüpteeringu puudumine. <br /><br />
Ja veel kaks võtet koduvõrgu kaitsmiseks: ruuter tuleks püüda paigutada nii, et selle leviala ruumidest võimalikult vähe välja ulatuks, kui aga WiFi-t pikka aega ei kasutata, on targem ruuter üldse välja lülitada. <br /><br />
<br />
==WiFi-võrkude turvalisus==<br />
<br />
WiFi turvalisus on väga keeruline ja mitmetahuline teema. Selge on aga see, et võimalike probleemide ees silma kinnipigistamine olukorda ei lahenda. WiFi levib tahes-tahmata ja ükskõik kui hästi te seda ka varjestada või piiritleda ei prooviks, ikkagi levib see teie eluruumidest kaugemale. <br /><br />
Kogutud Aga kuidas on lood WiFi piiramisega andmete põhjal on 42% Tallinna WiFi-seadmetest lahtise võrguga (ilma WEP või WPA kaitseta). See ei tähenda küll päris nelja tuhandet (mitteametlikku) avalikku internetipunkti, sest selles statistikas ei kajastu MAC-aadressi kontrolliga piiratud võrgud ega keerulisemaid turvameetmeid. Ent kui vaadata, kui palju on samas tootjanimedega võrke (Linksys, Default, Wireless, WLAN), võib kahtlustada, et enamikule neist on täiesti vaba juurdepääs. <br /><br />
Enamik kontvõõrastest kasutajatest pole ju pahatahtlikud – tahavad lihtsalt netis surfata, meile lugeda, sõnumsidet kasutada. Peate ainult arvestama sellega, et võõras arvutis olevad viirused võivad ohustada teiegi arvutit ning kui netiühendus järsku väga aeglaseks jääb, võib olla süüdi teie heatahtlikkust kuritarvitav naabripoiss – kasutage alati tulemüüri, viirusetõrjet ning kahtluste korral jälgige võrguseadmest, millised MAC-aadressid on viimasel ajal teie võrguühendust tarbinud. <br /><br />
<br />
==SSID ja MAC-aadress==<br />
<br />
Igal WiFi-võrgul on oma nimi. Seda saab ise määrata. Mõistlikuks ei saa pidada ka oma aadressi kasutamist SSID-nimena – Korter 12, II korrus, Firmanimi OÜ jne. Kui tõesti tahate, et võõrad teie WiFi-võrguga liituda oskaksid, kasutage meiliaadressi või telefoninumbrit. Firmanime kasutamine hõlbustab häkkerite tööd, kodune aadress võib olla aga reklaamiks varastele – siit on vähemalt arvuti kaasa võtta. MAC-aadress on unikaalne kood, mis on igal võrgukaardil ja võrguseadmel erinev. Tüüpiliselt on see aadress kujul 00:02:3F:33:4A:89. Sellest esimesed kolm märgivad tootjafirmat (00:02:3F – Intel Corp), tagumised kolm moodustavad iga kaardi kordumatu koodi. <br /><br />
MAC-aadresside litsentseerimisega tegeleb IEEE Standards Association. MAC-aadress ehk meediumipöörduse juhtimise aadress (inglise keeles Media Access Control) on võrguseadmete unikaalne identifitseerija, mis määratakse võrgukaardile tootmise käigus. Tootja poolt määratud MAC aadress võiks olla ülemaailmselt unikaalne, kuid on siiski tarkvaraliselt muudetav enamusel 21. saj alguse võrgukaartidel. <br /><br />
<br />
==WEP, WPA, WPA2==<br />
<br />
WEP ehk Wired Equivalent Privacy on protokoll, mis loodi tegemaks standardile IEEE 802.11 vastav traadita internetiühendus sama turvaliseks kui seda on tavaline juhtme teel leviv internetiühendus. WEP kasutab krüpteerimiseks RC4 algoritmi ning tervikluse hindamiseks CRC32 kontrollsummasid. Võtme pikkuse järgi eristatakse 64, 128 ja 256 bitiseid WEP-e, mis kasutavad siis vastavalt 40, 104 ja 232 bitiseid paroole. Igale kasutaja poolt sisestatud salajasele võtmele lisatakse 24 bitine IV (Initialization Vector) vektor, mille järgi siis kokkuvõttes krüpteeritakse paketid kasutades RC4 algoritmi. Üheks suurimaks WEP turvaprobleemiks on liigselt väike erinevate võimalike IV vektorite hulk. WEP on väga lihtsalt lahti murtav, arvuti tegi seda IT Kolledzi laborites viie minuti jooksul, oli väga huvitav. <br /><br />
<br />
WPA loodigi WEP krüpteeringu asendamiseks. Eksisteerib 2 lahendust – WPA-PSK ja WPA Enterprise. WPA-PSK puhul kasutatakse kõigil WiFi klientidel sama 8-63 märgi pikkust parooli. See on turvaline ainult siis, kui valida vähemalt 33 märgi pikkune suvalistest märkidest koosnev parool. WPA Enterprise lahenduses kasutatakse RADIUS serverit, seega iga kasutaja peab WiFi võrku sisse logima oma kasutajanime ja parooliga. <br /><br />
<br />
WPA2 on WPA uuem versioon, milles on kohustuslikuks tehtud tugevama krüpteeringu kasutamine. Praegusel momendil loetakse ainukeseks lihtsasti kättesaadavaks WiFi turvalisuseks WPA2 Enterprise lahendust. WPA on andmeturbe protokoll, mis kasutab TKIP (Temporal Key Integrity Protocol) protokolli ja AES (Advanced Encryption Standard) algoritmi ning autentimiseks EAP (Extensible Authentication Protocol) protokolli. WPA on küll palju turvalisem kui WEP, kuid siiski on tänapäeval juba võimalik ka seda andmeturbe protokolli lahti murda. WPA2 on WPA edasiarendus. Praeguse seisuga on see kõige turvalisem andmeturbe protokoll, mida ei ole võimalik eriti lihtsalt lahti murda. <br /><br />
<br />
==WiFi-võrgu kaitsmine==<br />
<br />
Statistika järgi on 42% Tallinna WiFi-võrkudest kaitseta. Tegelikult päris nii vabameelne meie võrgundus siiski pole – NetStumbleri statistika ei kajasta näiteks MAC-aadressi, captive-veebiserveri või muude keerukamate võtetega piiratud võrke. Ent julgeks siiski väita, et Tallinnas on iga kolmas WiFi-võrk kõigile külastajatele avatud. <br /><br />
<br />
*Valige sobiv kaitsemeetod <br /><br />
Koduse WiFi-võrgu turvamiseks on mitu võimalust. Valikus on peamiselt 64- või 128-bitine WEP (mõnel juhul ka 256-bitine WEP), WPA-PSK ja MAC-aadresside piirang. Kõige turvalisem on WPA-PSK, kõige kesisema turvalisusega aga MAC-aadresside piirang (kuigi juurdepääs on piiratud, on ühendus siiski vabalt pealtkuulatav). Kõik peale WPA-PSK ei paku kogenud häkkerile olulist peavalu, ent peletavad kindlasti eemale soovimatud juhukülalised. Ka WPA-PSK on kindel vaid juhul, kui kasutatud parool on pikk, ei põhine sõnaraamatus leiduval sõnal ning sisaldab nii tähti, numbreid kui ka muid märke (soovitan vähemalt 12-märgilist parooli). <br /><br />
<br />
*Kontrollige turbemeetodi ühilduvust <br /><br />
Valitud turbemeetodit peavad toetama nii WiFi-seade, arvuti WiFi-kaart kui ka opsüsteem. Enamik vanematest WiFi-seadmetest ei toeta WPA-d. Ka uue soetamisel tasub selle kohta poest kindlasti eraldi küsida. Samuti võib odavamatel, väiksema jõudlusega WiFi-seadmetel esineda olulist kiiruse kadu või ajutist ühenduse katkemist tugeva võtme kasutamise korral – krüpteerimise puhul on ikkagi tegu matemaatiliselt ressursinõudliku tegevusega. Probleemide korral peate leppima nõrgema turbemeetodiga. <br /><br />
<br />
==Paragrahvid==<br />
<br />
Loomulikult on e-tiigrina tuntud Eesti Vabariigi Karistusseadustikus ka võrgupättused ära mainitud. AP-de olemasolu ja nende poolt edastatavate eetriandmete (SSID, tootjafirma, krüpteerimismeetod jms) registreerimine, entusiastide keeles wardriving otsesõnu ebaseaduslik ei ole, võrguliikluse pealtkuulamine aga juba küll. Näiteks on karistatav arvuti, arvutisüsteemi ja arvutivõrgu ebaseaduslik kasutamine koodi, salasõna või muu kaitsevahendi kõrvaldamise teel (§217) – selle paragrahvi alla võiks ilusti mahtuda näiteks MAC aadressi võltsimine ruuterisse sisenemiseks, samuti WEP ja WPA võtme lahtimurdmine. Karistatav on ka arvutivõrgu ühenduse kahjustamine (§207) ehk siis DoS rünnak või signaali segamine (jamming). Võõraste meilide ja kiirsõnumite lugemise eest ähvardab pätti sõnumisaladuse rikkumise paragrahv (§156), kui aga pealtkuulatud andmeid kasutatakse varalise kasu saamise eesmärgil (§213), võib kurikaela oodata juba kuni viieaastane puhkus ruudulise päikese paistel. Samuti ei tasu alahinnata Eesti politsei võimekust arvutikurikaelte tabamisel – arvutivõrku tungimise eest on juba kohtu ette viidud rohkem kui üks tegelane… <br /><br />
<br />
==Kokkuvõte==<br />
<br />
Kokkuvõteks võin ütelda, et kõik see on väga hea, et on olemas Wi-Fi leviala mis on turvaline ja palju teadmisi selle kohta, et saab ka teistele sellest rääkida, kõik meie maailmas areneb ja areneb, aga ei tohi unustada, et need kurikaelad ka arenevad koos sellistega krüptoalgoritmidega, nad ei maga! Kõik mida loob inimene on võimalik murta. <br /><br />
Wi-Fi populaarsus kasvab ja seda kasutab rohkem ja rohkem inimesi, siis tuleb järjest rohkem tähelepanu pöörata ka sellele, milliseid Wi-Fi standardeid ja andmeturbe protokolle erinevad seadmed kasutavad. Erinevaid standardeid on vaja teada selleks, et oleks teada millised seadmed on võimelised milliste võrkudega ühenduma. <br /><br />
Samas on sama oluline ka traadita võrkude turvalisus, et keegi pahatahtlik inimene ei pääseks ligi informatsioonile, millega ta saaks sulle ja ka teistele kahju tekitada. Keegi meist ju ei tahaks, et meie isiklikku infot kasutataks meile või kellelegi teisele halva tegemise eesmärgil. Kuna kirjutasin seda referaadi, siis arvan küll et targaks sain, leidsin ja lugesin palju materjale Wi-Fi standarditest, milleks nad üldse olulised on ja sain ette kujutada nende evolutsiooni mis on mulle, nagu tulevikkus IT inimesele väga tarvis ja huvitav. <br /><br />
<br />
==Autor==<br />
<br />
Sergei Barol A21 <br /><br />
[mailto:sbarol@itcollege.ee sbarol@itcollege.ee]<br />
<br />
==Allikad==<br />
<br />
1. http://en.wikipedia.org/wiki/IEEE_802.11 <br /><br />
2. http://www.elenor.ee/artiklid/wifi-ule-kogu-kontori/ <br /><br />
3. http://blog.izall.com/2008/04/03/ainulaadne-wifi-turvalisus/ <br /><br />
4. http://www.arvutikasutaja.ee/artikkel.php?lk=3&id=207&sid=447f621c286189c007c2ccb0e81af757 <br /><br />
5. http://www.arvutikaitse.ee/?p=189 <br /><br />
6. http://www.arvutikaitse.ee/?p=720 <br /><br />
7. http://wiki.wifi.ee/index.php?title=WiFi <br /><br />
8. http://wiki.wifi.ee/index.php?title=Esileht <br /><br />
9. http://wiki.wifi.ee/index.php?title=WPA <br /><br />
10. http://en.wikipedia.org/wiki/Wi-Fi <br /><br />
11. http://en.wikipedia.org/wiki/Wireless_security <br /><br />
<br />
[[Category:Traadita side alused]]</div>Sbarolhttps://wiki.itcollege.ee/index.php?title=Wifi_turve&diff=9763Wifi turve2010-05-11T08:32:30Z<p>Sbarol: /* WEP, WPA, WPA2 */</p>
<hr />
<div>==Sissejuhatus==<br />
<br />
Paljud inimesed küll kasutavad Wi-Fit kuid pole teadlikud selle erinevatest standarditest ja turvalisusega seotud probleemidest. Nii Eestis kui ka mujal maailmas on viimase kümnendi jooksul toimunud revolutsioon juhtmeta internetiühenduste valdkonnas. Kuigi alles 2001 aastal käivitus esimene avalik WiFi Leviala Eestis, on nüüdseks jõutud olukorda, kus tundub imelik, kui kohvikusse või mõnesse muusse avalikku teenust pakkuvasse asutusse minnes ei ole võimalik ligi pääseda ühessegi traadita interneti levialasse. Lisaks arvutitele on nüüdseks juba ka suuremal osal kallima hinnaklassiga mobiiltelefonidel juures võimalus ühendada ennast traadita interneti võrku. See toob endaga kaasa aga juba uusi funktsioone nagu näiteks tasuta VoIP kõned või internetiraadiod mobiiltelefonides, mis omakorda suurendavad nõudlust järjest rohkemate levialade järele. <br /><br />
Wi-Fi on tänapäeval väga tuntud ja laialdaselt levinud. Wi-Fi leviala võib leida peaaegu igas natuke suuremas kohvikus, pubis, baaris ja nüüd on võimalik seda leida ka pargis, rääkimata kodudest ja kontoritest. Võimalik, et paljud üldse ei tea, mida täpsemalt tähendab see salapärane lühend Wi-Fi, mida kõik nii uljalt kasutavad, rääkimata sellest, et nad teaksid, millised on Wi-Fi erinevad standardid ja andmeturbe protokollid. Kui minna natuke lähemalt siis minu jaoks Wi-Fi ilmumise aeg oli nagu suur revolutsioon, sest mina ei saanud aru kuidas saab kasutada Interneti ilma traadideta, istuda kodus oma läpakaga näiteks voodi peal kuulata muusikat ja surfata internetis. Ja kuna see on meie tänapäevane elu siis see on mitteturvaline ja kõik kes tahab midagi kurja teha saab seda kergesti realiseerida ja selleks, et vältida raskuseid ja ründeid Wi-Fi kaitseks tuleksid erinevad turveprotokollid, mis vastavad stardarditele. See on nagu meie elu, kõik peab olema turvaline, näiteks korterites on uksed koos lukuga ja kui mina ei taha, et keegi tuli minu juurde siis ma panen korteri luku või signalisatsiooni. Esialgu olid personaalsed võrgud täiesti kaitseta kuni võrguhaldaja ise ta kaitse alla pani. Sellest hoolimata on suur osa võrkudest siiamaani turvatud kas nõrga turvalisusega WEP algoritmiga või üldse laiali maailmale täiesti avatud. Minu kodus näiteks on üks Wi-Fi leviala, mis on turvatud WEP abil, aga näiteks kui vaadata milliseid levialad on meie majas veel on olemas, siis on selline pilt, et mõned on täiesti avatud igaühele, kes vähegi soovib internetti kasutada. Minu arvates see on ebamugav, üldse mitteturvaline ja mõtetus asi, kui on olemas Wi-Fi leviala, pane näiteks parooli, et see on parem kui ilma paroolideta. Selline olukord loob aga suurepärase võimaluse pahatahtlikel inimestel võrku pealt kuulata ning saada informatsiooni näiteks salajaste paroolide või muude tähtsate andmete kohta. <br /><br />
Minu referaadis jutt läheb sellest, millised on tänapäeval kõige populaarsemad turveprotokollid, näiteks WEP, WPA ja WP2 see on nagu evolutsioon: WEP on näiteks kõige esimesem turve protokoll ja tänapäeval on ta lihtsalt murtav, WPAga on asi natuke keerulisem sest see kasutab raskeid krüptoalgoritmeid. WPA on andmeturbe protokoll, mis kasutab TKIP protokolli ja AES algoritmi ning autentimiseks EAP protokolli. WPA2 on WPA edasiarendus. Praeguse seisuga on see kõige turvalisem andmeturbe protokoll, mida ei ole võimalik eriti lihtsalt lahti murda. Alguses jutt tuleb sellest, mis on üldse see sõna Wi-Fi tähendab, kuidas seda kasutab, milliseid standardid on maailmas olemas, milliseid on neist kõige levinunaid. Kuidas kodus ja mingis asutuses oma võrgu kaitsta, mida selleks tuleb teada, mida tuleb teha ja milliseid tegevused on keelatud, see on kõik selleks et võrk töötaks nii nagu ta peab! Meie laias maailmas on nii palju inimesi, kes tahab midagi saada näiteks ilma rahata ja veel paha asju kaasa tuua, selleks, et krakkerid ei saaksid minu asju varastada ja midgi halba mulle teha, ülioluline on see, et kõik peab olema turvaline, kui ostad mingi asju nt. ruuterit, siis sina pead mõelda kuidas saab seda kaitsta. Mõned ei taha ainult traadita interneti tasuta kasutada, nad tahavad midagi varastada või kui see on mitte kättesaadav siis teha katki see mis sulle vaja on. Lõpuks kirjutasin natuke sellist asjast nagu kuritegevused ja paragrahvid, sest kõik mida need kräkkerid tegevad on karistatav. <br /><br />
Wi-Fi on meie maailmas arenb edasi suure sammudega ja see mis meil on tänapäeval olemas ei ole piir. Kõigepealt, kuna areneb traadita andmeside siis koos sellega ilmuvad uued krüptoalgoritmid ja protokollid mis on loomulikult arenevad koos Wi-Figa. Seega on selge, et interneti tulevik kuulub WiFi-le. <br /><br />
<br />
==Mis on Wi-Fi==<br />
<br />
WiFi (Wireless Fidelity) ehk raadiokohtvõrk või raadio-Ethernet. Wi-Fi on WECA (Wireless Ethernet Compatibility Alliance) poolt propageeritav kaubamärk, vastab raadiokohtvõrgu standardile IEEE 802.11 ning kujutab endast Ethernet-kohtvõrku, kus kaablid on asendatud raadiolinkidega ja kasutatakse raadio-Etherneti otsejada-versiooni (DS). WiFi on ühilduv PC-kaartidega ja WiFi logot kandvate tugijaamadega. Vahel kutsutakse raadiokohtvõrke ka "traadita Internetiks", kuid tegelikult on ikkagi tegemist traadita kohtvõrkudega, mis võivad muidugi olla ühendatud ka Internetiga. <br /><br />
<br />
==Kasutusala==<br />
<br />
Wi-Fi on kasutusel kodustes võrkudes, kontorites, mobiiltelefonides, videomängudes ja paljudes teistes elektroonilistes seadmetes mis vajavad mingisugust traadita võrku. Wi-Fi tehnoloogiat toetavad peaaegu kõik tänapäevased arvuti operatsioonisüsteemid, mängukonsoolid ning ka paljud printerid ja teised välisseadmed. <br /><br />
Wi-Fi eesmärk on pakkuda traadita ligipääsu digitaalsele sisule. Selle sisu alla võivad kuuluda nii rakendused, heli, visuaalne meedia, Interneti ühendus ning ka muud andmed. Wi-Fi muudab informatsioonile ligipääsu üldiselt lihtsamaks, kuna see saab eemaldada mõningad füüsilised piirangud mis on seotud kaabeldusega. Wi-Fi’ga varustatud seade nagu näiteks PC, mängukonsool, mobiiltelefon, MP3 mängija või PDA saab ühenduda Internetiga, kui see asub traadita võrgus, mis on ühendatud internetiga. <br /> <br />
Peale selle, et Wi-Fit kasutatakse kodudes ja kontorites, on see laialt kasutuses ka avalikes kohtades, kus pakutakse traadita Interneti teenust kas tasuta või siis mingi rahasumma eest. Wifi.ee andmetel on praegu Eestis kokku 1175 Wi-Fi- leviala 45 000 km2 kohta. Tartumaal asub neist 98 leviala, millest enamik asub Tartu linnas. <br /><br />
<br />
==Koduvõrgu kaitsmine==<br />
<br />
Kui sõita läbi Tallinna kesklinna Mustamäele ja tagasi, jääb marsruudile ligi 1200 WiFi leviala, paljud küll asutuste, kuid enamus siiski kodukasutajate omad. Rõõmustaval kombel on 80-90% neist kasvõi mingilgi määral kaitstud, nii et pätt, kes neid kuritarvitada püüab, riskib juba ametlikult paragrahviga, mis räägib arvutivõrgu ebaseaduslikust kasutamisest kaitsevahendi kõrvaldamise teel. <br />
Esimene ja kõige tähtsam: muuta ruuteri vaikeseadeid! Iga ruuteri kasutusjuhend koos vaikeparooliga on netist vabalt allalaaditav ning administraatori, mõnel juhul ka vaikekasutaja parooli muutmata jätmine on sama, mis lahtisele uksele veel ka võtmed ette unustada. <br /><br />
Kindlasti tuleks muuta ka SSID (Service Set Identfier ehk teenusevõrgu nimi, mille ruuter välja saadab), kasvõi selleks, et koduvõrk naabrimehe omaga vahetusse ei satuks (mõelge oma üleelamistele olukorras, kus naabrimees kasvõi kogemata teie allalaadimiskiirusest oma osa saab), aga ka sellepärast, et näiteks mõnede Linksys’i mudelite puhul piisas vähemalt mõnda aega tagasi SSID teadmisest, et selle tarkvara uuega asendada. Kui ruuteri tarkvara vähegi võimaldab (ja enamus võimaldab), tuleks SSID väljakuulutamine üldse ära keelata. Suunatud rünnaku vastu see küll ei aita, kuid keskkoolikräkker võib SSID väljanuuskimiseks kuluvat aega liiga tüütuks pidada. <br /><br />
Kui ruuteri tarkvara sellega hakkama saab, tuleks kasutada MAC-aadressi (iga võrgukaardi unikaalne identifikaator) põhist filtreerimist, omistada igale võrku kasutavale arvutile staatiline IP ja ülejäänud IP aadresside vahemikule ligipääs keelata. Jällegi – kunagi ei tea, kas kurjam viitsib MAC- ja IP aadressi võltsimisega vaeva näha. <br /><br />
Kõige tähtsam – kasutage signaali krüpteeringut, nii kanget, kui teie ruuter vähegi kannatab. 64-bitist WEP-i murrab kurikael mõned minutid, 128-bitist WEP-i kuni kaks tundi, kui parool just sõnaraamatus kirjas ei ole, WPA-d võib ta heal juhul murdma jäädagi. Toore jõuga (brute force) kuluks WPA murdmiseks päevi, selle asemel rünnatakse pigem krüpteerimisvõtme vahetushetke, mis WPA lihtsamate versioonide puhul on teinekord veerand tunniga lahtimurtav. Siiski on WPA, eriti selle kommertsversioonid tunduvalt turvalisemad kui WEP, viimane aga on kindlasti parem kui igasuguse krüpteeringu puudumine. <br /><br />
Ja veel kaks võtet koduvõrgu kaitsmiseks: ruuter tuleks püüda paigutada nii, et selle leviala ruumidest võimalikult vähe välja ulatuks, kui aga WiFi-t pikka aega ei kasutata, on targem ruuter üldse välja lülitada. <br /><br />
<br />
==WiFi-võrkude turvalisus==<br />
<br />
WiFi turvalisus on väga keeruline ja mitmetahuline teema. Selge on aga see, et võimalike probleemide ees silma kinnipigistamine olukorda ei lahenda. WiFi levib tahes-tahmata ja ükskõik kui hästi te seda ka varjestada või piiritleda ei prooviks, ikkagi levib see teie eluruumidest kaugemale. <br /><br />
Kogutud Aga kuidas on lood WiFi piiramisega andmete põhjal on 42% Tallinna WiFi-seadmetest lahtise võrguga (ilma WEP või WPA kaitseta). See ei tähenda küll päris nelja tuhandet (mitteametlikku) avalikku internetipunkti, sest selles statistikas ei kajastu MAC-aadressi kontrolliga piiratud võrgud ega keerulisemaid turvameetmeid. Ent kui vaadata, kui palju on samas tootjanimedega võrke (Linksys, Default, Wireless, WLAN), võib kahtlustada, et enamikule neist on täiesti vaba juurdepääs. <br /><br />
Enamik kontvõõrastest kasutajatest pole ju pahatahtlikud – tahavad lihtsalt netis surfata, meile lugeda, sõnumsidet kasutada. Peate ainult arvestama sellega, et võõras arvutis olevad viirused võivad ohustada teiegi arvutit ning kui netiühendus järsku väga aeglaseks jääb, võib olla süüdi teie heatahtlikkust kuritarvitav naabripoiss – kasutage alati tulemüüri, viirusetõrjet ning kahtluste korral jälgige võrguseadmest, millised MAC-aadressid on viimasel ajal teie võrguühendust tarbinud. <br /><br />
<br />
==SSID ja MAC-aadress==<br />
<br />
Igal WiFi-võrgul on oma nimi. Seda saab ise määrata. Mõistlikuks ei saa pidada ka oma aadressi kasutamist SSID-nimena – Korter 12, II korrus, Firmanimi OÜ jne. Kui tõesti tahate, et võõrad teie WiFi-võrguga liituda oskaksid, kasutage meiliaadressi või telefoninumbrit. Firmanime kasutamine hõlbustab häkkerite tööd, kodune aadress võib olla aga reklaamiks varastele – siit on vähemalt arvuti kaasa võtta. MAC-aadress on unikaalne kood, mis on igal võrgukaardil ja võrguseadmel erinev. Tüüpiliselt on see aadress kujul 00:02:3F:33:4A:89. Sellest esimesed kolm märgivad tootjafirmat (00:02:3F – Intel Corp), tagumised kolm moodustavad iga kaardi kordumatu koodi. <br /><br />
MAC-aadresside litsentseerimisega tegeleb IEEE Standards Association. MAC-aadress ehk meediumipöörduse juhtimise aadress (inglise keeles Media Access Control) on võrguseadmete unikaalne identifitseerija, mis määratakse võrgukaardile tootmise käigus. Tootja poolt määratud MAC aadress võiks olla ülemaailmselt unikaalne, kuid on siiski tarkvaraliselt muudetav enamusel 21. saj alguse võrgukaartidel. <br /><br />
<br />
==WEP, WPA, WPA2==<br />
<br />
WEP ehk Wired Equivalent Privacy on protokoll, mis loodi tegemaks standardile IEEE 802.11 vastav traadita internetiühendus sama turvaliseks kui seda on tavaline juhtme teel leviv internetiühendus. WEP kasutab krüpteerimiseks RC4 algoritmi ning tervikluse hindamiseks CRC32 kontrollsummasid. Võtme pikkuse järgi eristatakse 64, 128 ja 256 bitiseid WEP-e, mis kasutavad siis vastavalt 40, 104 ja 232 bitiseid paroole. Igale kasutaja poolt sisestatud salajasele võtmele lisatakse 24 bitine IV (Initialization Vector) vektor, mille järgi siis kokkuvõttes krüpteeritakse paketid kasutades RC4 algoritmi. Üheks suurimaks WEP turvaprobleemiks on liigselt väike erinevate võimalike IV vektorite hulk. WEP on väga lihtsalt lahti murtav, arvuti tegi seda IT Kolledzi laborites viie minuti jooksul, oli väga huvitav. <br /><br />
<br />
WPA loodigi WEP krüpteeringu asendamiseks. Eksisteerib 2 lahendust – WPA-PSK ja WPA Enterprise. WPA-PSK puhul kasutatakse kõigil WiFi klientidel sama 8-63 märgi pikkust parooli. See on turvaline ainult siis, kui valida vähemalt 33 märgi pikkune suvalistest märkidest koosnev parool. WPA Enterprise lahenduses kasutatakse RADIUS serverit, seega iga kasutaja peab WiFi võrku sisse logima oma kasutajanime ja parooliga. <br /><br />
<br />
WPA2 on WPA uuem versioon, milles on kohustuslikuks tehtud tugevama krüpteeringu kasutamine. Praegusel momendil loetakse ainukeseks lihtsasti kättesaadavaks WiFi turvalisuseks WPA2 Enterprise lahendust. WPA on andmeturbe protokoll, mis kasutab TKIP (Temporal Key Integrity Protocol) protokolli ja AES (Advanced Encryption Standard) algoritmi ning autentimiseks EAP (Extensible Authentication Protocol) protokolli. WPA on küll palju turvalisem kui WEP, kuid siiski on tänapäeval juba võimalik ka seda andmeturbe protokolli lahti murda. WPA2 on WPA edasiarendus. Praeguse seisuga on see kõige turvalisem andmeturbe protokoll, mida ei ole võimalik eriti lihtsalt lahti murda. <br /><br />
<br />
==WiFi-võrgu kaitsmine==<br />
<br />
Statistika järgi on 42% Tallinna WiFi-võrkudest kaitseta. Tegelikult päris nii vabameelne meie võrgundus siiski pole – NetStumbleri statistika ei kajasta näiteks MAC-aadressi, captive-veebiserveri või muude keerukamate võtetega piiratud võrke. Ent julgeks siiski väita, et Tallinnas on iga kolmas WiFi-võrk kõigile külastajatele avatud. <br /><br />
<br />
*Valige sobiv kaitsemeetod <br /><br />
Koduse WiFi-võrgu turvamiseks on mitu võimalust. Valikus on peamiselt 64- või 128-bitine WEP (mõnel juhul ka 256-bitine WEP), WPA-PSK ja MAC-aadresside piirang. Kõige turvalisem on WPA-PSK, kõige kesisema turvalisusega aga MAC-aadresside piirang (kuigi juurdepääs on piiratud, on ühendus siiski vabalt pealtkuulatav). Kõik peale WPA-PSK ei paku kogenud häkkerile olulist peavalu, ent peletavad kindlasti eemale soovimatud juhukülalised. Ka WPA-PSK on kindel vaid juhul, kui kasutatud parool on pikk, ei põhine sõnaraamatus leiduval sõnal ning sisaldab nii tähti, numbreid kui ka muid märke (soovitan vähemalt 12-märgilist parooli). <br /><br />
<br />
*Kontrollige turbemeetodi ühilduvust <br /><br />
Valitud turbemeetodit peavad toetama nii WiFi-seade, arvuti WiFi-kaart kui ka opsüsteem. Enamik vanematest WiFi-seadmetest ei toeta WPA-d. Ka uue soetamisel tasub selle kohta poest kindlasti eraldi küsida. Samuti võib odavamatel, väiksema jõudlusega WiFi-seadmetel esineda olulist kiiruse kadu või ajutist ühenduse katkemist tugeva võtme kasutamise korral – krüpteerimise puhul on ikkagi tegu matemaatiliselt ressursinõudliku tegevusega. Probleemide korral peate leppima nõrgema turbemeetodiga. <br /><br />
<br />
==Paragrahvid==<br />
<br />
Loomulikult on e-tiigrina tuntud Eesti Vabariigi Karistusseadustikus ka võrgupättused ära mainitud. AP-de olemasolu ja nende poolt edastatavate eetriandmete (SSID, tootjafirma, krüpteerimismeetod jms) registreerimine, entusiastide keeles wardriving otsesõnu ebaseaduslik ei ole, võrguliikluse pealtkuulamine aga juba küll. Näiteks on karistatav arvuti, arvutisüsteemi ja arvutivõrgu ebaseaduslik kasutamine koodi, salasõna või muu kaitsevahendi kõrvaldamise teel (§217) – selle paragrahvi alla võiks ilusti mahtuda näiteks MAC aadressi võltsimine ruuterisse sisenemiseks, samuti WEP ja WPA võtme lahtimurdmine. Karistatav on ka arvutivõrgu ühenduse kahjustamine (§207) ehk siis DoS rünnak või signaali segamine (jamming). Võõraste meilide ja kiirsõnumite lugemise eest ähvardab pätti sõnumisaladuse rikkumise paragrahv (§156), kui aga pealtkuulatud andmeid kasutatakse varalise kasu saamise eesmärgil (§213), võib kurikaela oodata juba kuni viieaastane puhkus ruudulise päikese paistel. Samuti ei tasu alahinnata Eesti politsei võimekust arvutikurikaelte tabamisel – arvutivõrku tungimise eest on juba kohtu ette viidud rohkem kui üks tegelane… <br /><br />
<br />
==Kokkuvõte==<br />
<br />
Kokkuvõteks võin ütelda, et kõik see on väga hea, et on olemas Wi-Fi leviala mis on turvaline ja palju teadmisi selle kohta, et saab ka teistele sellest rääkida, kõik meie maailmas areneb ja areneb, aga ei tohi unustada, et need kurikaelad ka arenevad koos sellistega krüptoalgoritmidega, nad ei maga! Kõik mida loob inimene on võimalik murta. <br /><br />
Wi-Fi populaarsus kasvab ja seda kasutab rohkem ja rohkem inimesi, siis tuleb järjest rohkem tähelepanu pöörata ka sellele, milliseid Wi-Fi standardeid ja andmeturbe protokolle erinevad seadmed kasutavad. Erinevaid standardeid on vaja teada selleks, et oleks teada millised seadmed on võimelised milliste võrkudega ühenduma. Samas on sama oluline ka traadita võrkude turvalisus, et keegi pahatahtlik inimene ei pääseks ligi informatsioonile, millega ta saaks sulle ja ka teistele kahju tekitada. Keegi meist ju ei tahaks, et meie isiklikku infot kasutataks meile või kellelegi teisele halva tegemise eesmärgil. Kuna kirjutasin seda referaadi, siis arvan küll et targaks sain, leidsin ja lugesin palju materjale Wi-Fi standarditest, milleks nad üldse olulised on ja sain ette kujutada nende evolutsiooni mis on mulle, nagu tulevikkus IT inimesele väga tarvis ja huvitav. <br /><br />
<br />
==Autor==<br />
<br />
Sergei Barol A21 <br /><br />
[mailto:sbarol@itcollege.ee sbarol@itcollege.ee]<br />
<br />
==Allikad==<br />
<br />
1. http://en.wikipedia.org/wiki/IEEE_802.11 <br /><br />
2. http://www.elenor.ee/artiklid/wifi-ule-kogu-kontori/ <br /><br />
3. http://blog.izall.com/2008/04/03/ainulaadne-wifi-turvalisus/ <br /><br />
4. http://www.arvutikasutaja.ee/artikkel.php?lk=3&id=207&sid=447f621c286189c007c2ccb0e81af757 <br /><br />
5. http://www.arvutikaitse.ee/?p=189 <br /><br />
6. http://www.arvutikaitse.ee/?p=720 <br /><br />
7. http://wiki.wifi.ee/index.php?title=WiFi <br /><br />
8. http://wiki.wifi.ee/index.php?title=Esileht <br /><br />
9. http://wiki.wifi.ee/index.php?title=WPA <br /><br />
10. http://en.wikipedia.org/wiki/Wi-Fi <br /><br />
11. http://en.wikipedia.org/wiki/Wireless_security <br /><br />
<br />
[[Category:Traadita side alused]]</div>Sbarolhttps://wiki.itcollege.ee/index.php?title=Wifi_turve&diff=9762Wifi turve2010-05-11T08:29:33Z<p>Sbarol: /* Allikad */</p>
<hr />
<div>==Sissejuhatus==<br />
<br />
Paljud inimesed küll kasutavad Wi-Fit kuid pole teadlikud selle erinevatest standarditest ja turvalisusega seotud probleemidest. Nii Eestis kui ka mujal maailmas on viimase kümnendi jooksul toimunud revolutsioon juhtmeta internetiühenduste valdkonnas. Kuigi alles 2001 aastal käivitus esimene avalik WiFi Leviala Eestis, on nüüdseks jõutud olukorda, kus tundub imelik, kui kohvikusse või mõnesse muusse avalikku teenust pakkuvasse asutusse minnes ei ole võimalik ligi pääseda ühessegi traadita interneti levialasse. Lisaks arvutitele on nüüdseks juba ka suuremal osal kallima hinnaklassiga mobiiltelefonidel juures võimalus ühendada ennast traadita interneti võrku. See toob endaga kaasa aga juba uusi funktsioone nagu näiteks tasuta VoIP kõned või internetiraadiod mobiiltelefonides, mis omakorda suurendavad nõudlust järjest rohkemate levialade järele. <br /><br />
Wi-Fi on tänapäeval väga tuntud ja laialdaselt levinud. Wi-Fi leviala võib leida peaaegu igas natuke suuremas kohvikus, pubis, baaris ja nüüd on võimalik seda leida ka pargis, rääkimata kodudest ja kontoritest. Võimalik, et paljud üldse ei tea, mida täpsemalt tähendab see salapärane lühend Wi-Fi, mida kõik nii uljalt kasutavad, rääkimata sellest, et nad teaksid, millised on Wi-Fi erinevad standardid ja andmeturbe protokollid. Kui minna natuke lähemalt siis minu jaoks Wi-Fi ilmumise aeg oli nagu suur revolutsioon, sest mina ei saanud aru kuidas saab kasutada Interneti ilma traadideta, istuda kodus oma läpakaga näiteks voodi peal kuulata muusikat ja surfata internetis. Ja kuna see on meie tänapäevane elu siis see on mitteturvaline ja kõik kes tahab midagi kurja teha saab seda kergesti realiseerida ja selleks, et vältida raskuseid ja ründeid Wi-Fi kaitseks tuleksid erinevad turveprotokollid, mis vastavad stardarditele. See on nagu meie elu, kõik peab olema turvaline, näiteks korterites on uksed koos lukuga ja kui mina ei taha, et keegi tuli minu juurde siis ma panen korteri luku või signalisatsiooni. Esialgu olid personaalsed võrgud täiesti kaitseta kuni võrguhaldaja ise ta kaitse alla pani. Sellest hoolimata on suur osa võrkudest siiamaani turvatud kas nõrga turvalisusega WEP algoritmiga või üldse laiali maailmale täiesti avatud. Minu kodus näiteks on üks Wi-Fi leviala, mis on turvatud WEP abil, aga näiteks kui vaadata milliseid levialad on meie majas veel on olemas, siis on selline pilt, et mõned on täiesti avatud igaühele, kes vähegi soovib internetti kasutada. Minu arvates see on ebamugav, üldse mitteturvaline ja mõtetus asi, kui on olemas Wi-Fi leviala, pane näiteks parooli, et see on parem kui ilma paroolideta. Selline olukord loob aga suurepärase võimaluse pahatahtlikel inimestel võrku pealt kuulata ning saada informatsiooni näiteks salajaste paroolide või muude tähtsate andmete kohta. <br /><br />
Minu referaadis jutt läheb sellest, millised on tänapäeval kõige populaarsemad turveprotokollid, näiteks WEP, WPA ja WP2 see on nagu evolutsioon: WEP on näiteks kõige esimesem turve protokoll ja tänapäeval on ta lihtsalt murtav, WPAga on asi natuke keerulisem sest see kasutab raskeid krüptoalgoritmeid. WPA on andmeturbe protokoll, mis kasutab TKIP protokolli ja AES algoritmi ning autentimiseks EAP protokolli. WPA2 on WPA edasiarendus. Praeguse seisuga on see kõige turvalisem andmeturbe protokoll, mida ei ole võimalik eriti lihtsalt lahti murda. Alguses jutt tuleb sellest, mis on üldse see sõna Wi-Fi tähendab, kuidas seda kasutab, milliseid standardid on maailmas olemas, milliseid on neist kõige levinunaid. Kuidas kodus ja mingis asutuses oma võrgu kaitsta, mida selleks tuleb teada, mida tuleb teha ja milliseid tegevused on keelatud, see on kõik selleks et võrk töötaks nii nagu ta peab! Meie laias maailmas on nii palju inimesi, kes tahab midagi saada näiteks ilma rahata ja veel paha asju kaasa tuua, selleks, et krakkerid ei saaksid minu asju varastada ja midgi halba mulle teha, ülioluline on see, et kõik peab olema turvaline, kui ostad mingi asju nt. ruuterit, siis sina pead mõelda kuidas saab seda kaitsta. Mõned ei taha ainult traadita interneti tasuta kasutada, nad tahavad midagi varastada või kui see on mitte kättesaadav siis teha katki see mis sulle vaja on. Lõpuks kirjutasin natuke sellist asjast nagu kuritegevused ja paragrahvid, sest kõik mida need kräkkerid tegevad on karistatav. <br /><br />
Wi-Fi on meie maailmas arenb edasi suure sammudega ja see mis meil on tänapäeval olemas ei ole piir. Kõigepealt, kuna areneb traadita andmeside siis koos sellega ilmuvad uued krüptoalgoritmid ja protokollid mis on loomulikult arenevad koos Wi-Figa. Seega on selge, et interneti tulevik kuulub WiFi-le. <br /><br />
<br />
==Mis on Wi-Fi==<br />
<br />
WiFi (Wireless Fidelity) ehk raadiokohtvõrk või raadio-Ethernet. Wi-Fi on WECA (Wireless Ethernet Compatibility Alliance) poolt propageeritav kaubamärk, vastab raadiokohtvõrgu standardile IEEE 802.11 ning kujutab endast Ethernet-kohtvõrku, kus kaablid on asendatud raadiolinkidega ja kasutatakse raadio-Etherneti otsejada-versiooni (DS). WiFi on ühilduv PC-kaartidega ja WiFi logot kandvate tugijaamadega. Vahel kutsutakse raadiokohtvõrke ka "traadita Internetiks", kuid tegelikult on ikkagi tegemist traadita kohtvõrkudega, mis võivad muidugi olla ühendatud ka Internetiga. <br /><br />
<br />
==Kasutusala==<br />
<br />
Wi-Fi on kasutusel kodustes võrkudes, kontorites, mobiiltelefonides, videomängudes ja paljudes teistes elektroonilistes seadmetes mis vajavad mingisugust traadita võrku. Wi-Fi tehnoloogiat toetavad peaaegu kõik tänapäevased arvuti operatsioonisüsteemid, mängukonsoolid ning ka paljud printerid ja teised välisseadmed. <br /><br />
Wi-Fi eesmärk on pakkuda traadita ligipääsu digitaalsele sisule. Selle sisu alla võivad kuuluda nii rakendused, heli, visuaalne meedia, Interneti ühendus ning ka muud andmed. Wi-Fi muudab informatsioonile ligipääsu üldiselt lihtsamaks, kuna see saab eemaldada mõningad füüsilised piirangud mis on seotud kaabeldusega. Wi-Fi’ga varustatud seade nagu näiteks PC, mängukonsool, mobiiltelefon, MP3 mängija või PDA saab ühenduda Internetiga, kui see asub traadita võrgus, mis on ühendatud internetiga. <br /> <br />
Peale selle, et Wi-Fit kasutatakse kodudes ja kontorites, on see laialt kasutuses ka avalikes kohtades, kus pakutakse traadita Interneti teenust kas tasuta või siis mingi rahasumma eest. Wifi.ee andmetel on praegu Eestis kokku 1175 Wi-Fi- leviala 45 000 km2 kohta. Tartumaal asub neist 98 leviala, millest enamik asub Tartu linnas. <br /><br />
<br />
==Koduvõrgu kaitsmine==<br />
<br />
Kui sõita läbi Tallinna kesklinna Mustamäele ja tagasi, jääb marsruudile ligi 1200 WiFi leviala, paljud küll asutuste, kuid enamus siiski kodukasutajate omad. Rõõmustaval kombel on 80-90% neist kasvõi mingilgi määral kaitstud, nii et pätt, kes neid kuritarvitada püüab, riskib juba ametlikult paragrahviga, mis räägib arvutivõrgu ebaseaduslikust kasutamisest kaitsevahendi kõrvaldamise teel. <br />
Esimene ja kõige tähtsam: muuta ruuteri vaikeseadeid! Iga ruuteri kasutusjuhend koos vaikeparooliga on netist vabalt allalaaditav ning administraatori, mõnel juhul ka vaikekasutaja parooli muutmata jätmine on sama, mis lahtisele uksele veel ka võtmed ette unustada. <br /><br />
Kindlasti tuleks muuta ka SSID (Service Set Identfier ehk teenusevõrgu nimi, mille ruuter välja saadab), kasvõi selleks, et koduvõrk naabrimehe omaga vahetusse ei satuks (mõelge oma üleelamistele olukorras, kus naabrimees kasvõi kogemata teie allalaadimiskiirusest oma osa saab), aga ka sellepärast, et näiteks mõnede Linksys’i mudelite puhul piisas vähemalt mõnda aega tagasi SSID teadmisest, et selle tarkvara uuega asendada. Kui ruuteri tarkvara vähegi võimaldab (ja enamus võimaldab), tuleks SSID väljakuulutamine üldse ära keelata. Suunatud rünnaku vastu see küll ei aita, kuid keskkoolikräkker võib SSID väljanuuskimiseks kuluvat aega liiga tüütuks pidada. <br /><br />
Kui ruuteri tarkvara sellega hakkama saab, tuleks kasutada MAC-aadressi (iga võrgukaardi unikaalne identifikaator) põhist filtreerimist, omistada igale võrku kasutavale arvutile staatiline IP ja ülejäänud IP aadresside vahemikule ligipääs keelata. Jällegi – kunagi ei tea, kas kurjam viitsib MAC- ja IP aadressi võltsimisega vaeva näha. <br /><br />
Kõige tähtsam – kasutage signaali krüpteeringut, nii kanget, kui teie ruuter vähegi kannatab. 64-bitist WEP-i murrab kurikael mõned minutid, 128-bitist WEP-i kuni kaks tundi, kui parool just sõnaraamatus kirjas ei ole, WPA-d võib ta heal juhul murdma jäädagi. Toore jõuga (brute force) kuluks WPA murdmiseks päevi, selle asemel rünnatakse pigem krüpteerimisvõtme vahetushetke, mis WPA lihtsamate versioonide puhul on teinekord veerand tunniga lahtimurtav. Siiski on WPA, eriti selle kommertsversioonid tunduvalt turvalisemad kui WEP, viimane aga on kindlasti parem kui igasuguse krüpteeringu puudumine. <br /><br />
Ja veel kaks võtet koduvõrgu kaitsmiseks: ruuter tuleks püüda paigutada nii, et selle leviala ruumidest võimalikult vähe välja ulatuks, kui aga WiFi-t pikka aega ei kasutata, on targem ruuter üldse välja lülitada. <br /><br />
<br />
==WiFi-võrkude turvalisus==<br />
<br />
WiFi turvalisus on väga keeruline ja mitmetahuline teema. Selge on aga see, et võimalike probleemide ees silma kinnipigistamine olukorda ei lahenda. WiFi levib tahes-tahmata ja ükskõik kui hästi te seda ka varjestada või piiritleda ei prooviks, ikkagi levib see teie eluruumidest kaugemale. <br /><br />
Kogutud Aga kuidas on lood WiFi piiramisega andmete põhjal on 42% Tallinna WiFi-seadmetest lahtise võrguga (ilma WEP või WPA kaitseta). See ei tähenda küll päris nelja tuhandet (mitteametlikku) avalikku internetipunkti, sest selles statistikas ei kajastu MAC-aadressi kontrolliga piiratud võrgud ega keerulisemaid turvameetmeid. Ent kui vaadata, kui palju on samas tootjanimedega võrke (Linksys, Default, Wireless, WLAN), võib kahtlustada, et enamikule neist on täiesti vaba juurdepääs. <br /><br />
Enamik kontvõõrastest kasutajatest pole ju pahatahtlikud – tahavad lihtsalt netis surfata, meile lugeda, sõnumsidet kasutada. Peate ainult arvestama sellega, et võõras arvutis olevad viirused võivad ohustada teiegi arvutit ning kui netiühendus järsku väga aeglaseks jääb, võib olla süüdi teie heatahtlikkust kuritarvitav naabripoiss – kasutage alati tulemüüri, viirusetõrjet ning kahtluste korral jälgige võrguseadmest, millised MAC-aadressid on viimasel ajal teie võrguühendust tarbinud. <br /><br />
<br />
==SSID ja MAC-aadress==<br />
<br />
Igal WiFi-võrgul on oma nimi. Seda saab ise määrata. Mõistlikuks ei saa pidada ka oma aadressi kasutamist SSID-nimena – Korter 12, II korrus, Firmanimi OÜ jne. Kui tõesti tahate, et võõrad teie WiFi-võrguga liituda oskaksid, kasutage meiliaadressi või telefoninumbrit. Firmanime kasutamine hõlbustab häkkerite tööd, kodune aadress võib olla aga reklaamiks varastele – siit on vähemalt arvuti kaasa võtta. MAC-aadress on unikaalne kood, mis on igal võrgukaardil ja võrguseadmel erinev. Tüüpiliselt on see aadress kujul 00:02:3F:33:4A:89. Sellest esimesed kolm märgivad tootjafirmat (00:02:3F – Intel Corp), tagumised kolm moodustavad iga kaardi kordumatu koodi. <br /><br />
MAC-aadresside litsentseerimisega tegeleb IEEE Standards Association. MAC-aadress ehk meediumipöörduse juhtimise aadress (inglise keeles Media Access Control) on võrguseadmete unikaalne identifitseerija, mis määratakse võrgukaardile tootmise käigus. Tootja poolt määratud MAC aadress võiks olla ülemaailmselt unikaalne, kuid on siiski tarkvaraliselt muudetav enamusel 21. saj alguse võrgukaartidel. <br /><br />
<br />
==WEP, WPA, WPA2==<br />
<br />
WEP ehk Wired Equivalent Privacy on protokoll, mis loodi tegemaks standardile IEEE 802.11 vastav traadita internetiühendus sama turvaliseks kui seda on tavaline juhtme teel leviv internetiühendus. WEP kasutab krüpteerimiseks RC4 algoritmi ning tervikluse hindamiseks CRC32 kontrollsummasid. Võtme pikkuse järgi eristatakse 64, 128 ja 256 bitiseid WEP-e, mis kasutavad siis vastavalt 40, 104 ja 232 bitiseid paroole. Igale kasutaja poolt sisestatud salajasele võtmele lisatakse 24 bitine IV (Initialization Vector) vektor, mille järgi siis kokkuvõttes krüpteeritakse paketid kasutades RC4 algoritmi. Üheks suurimaks WEP turvaprobleemiks on liigselt väike erinevate võimalike IV vektorite hulk. <br /><br />
<br />
WPA loodigi WEP krüpteeringu asendamiseks. Eksisteerib 2 lahendust – WPA-PSK ja WPA Enterprise. WPA-PSK puhul kasutatakse kõigil WiFi klientidel sama 8-63 märgi pikkust parooli. See on turvaline ainult siis, kui valida vähemalt 33 märgi pikkune suvalistest märkidest koosnev parool. WPA Enterprise lahenduses kasutatakse RADIUS serverit, seega iga kasutaja peab WiFi võrku sisse logima oma kasutajanime ja parooliga. <br /><br />
<br />
WPA2 on WPA uuem versioon, milles on kohustuslikuks tehtud tugevama krüpteeringu kasutamine. Praegusel momendil loetakse ainukeseks lihtsasti kättesaadavaks WiFi turvalisuseks WPA2 Enterprise lahendust. WPA on andmeturbe protokoll, mis kasutab TKIP (Temporal Key Integrity Protocol) protokolli ja AES (Advanced Encryption Standard) algoritmi ning autentimiseks EAP (Extensible Authentication Protocol) protokolli. WPA on küll palju turvalisem kui WEP, kuid siiski on tänapäeval juba võimalik ka seda andmeturbe protokolli lahti murda. WPA2 on WPA edasiarendus. Praeguse seisuga on see kõige turvalisem andmeturbe protokoll, mida ei ole võimalik eriti lihtsalt lahti murda. <br /><br />
<br />
==WiFi-võrgu kaitsmine==<br />
<br />
Statistika järgi on 42% Tallinna WiFi-võrkudest kaitseta. Tegelikult päris nii vabameelne meie võrgundus siiski pole – NetStumbleri statistika ei kajasta näiteks MAC-aadressi, captive-veebiserveri või muude keerukamate võtetega piiratud võrke. Ent julgeks siiski väita, et Tallinnas on iga kolmas WiFi-võrk kõigile külastajatele avatud. <br /><br />
<br />
*Valige sobiv kaitsemeetod <br /><br />
Koduse WiFi-võrgu turvamiseks on mitu võimalust. Valikus on peamiselt 64- või 128-bitine WEP (mõnel juhul ka 256-bitine WEP), WPA-PSK ja MAC-aadresside piirang. Kõige turvalisem on WPA-PSK, kõige kesisema turvalisusega aga MAC-aadresside piirang (kuigi juurdepääs on piiratud, on ühendus siiski vabalt pealtkuulatav). Kõik peale WPA-PSK ei paku kogenud häkkerile olulist peavalu, ent peletavad kindlasti eemale soovimatud juhukülalised. Ka WPA-PSK on kindel vaid juhul, kui kasutatud parool on pikk, ei põhine sõnaraamatus leiduval sõnal ning sisaldab nii tähti, numbreid kui ka muid märke (soovitan vähemalt 12-märgilist parooli). <br /><br />
<br />
*Kontrollige turbemeetodi ühilduvust <br /><br />
Valitud turbemeetodit peavad toetama nii WiFi-seade, arvuti WiFi-kaart kui ka opsüsteem. Enamik vanematest WiFi-seadmetest ei toeta WPA-d. Ka uue soetamisel tasub selle kohta poest kindlasti eraldi küsida. Samuti võib odavamatel, väiksema jõudlusega WiFi-seadmetel esineda olulist kiiruse kadu või ajutist ühenduse katkemist tugeva võtme kasutamise korral – krüpteerimise puhul on ikkagi tegu matemaatiliselt ressursinõudliku tegevusega. Probleemide korral peate leppima nõrgema turbemeetodiga. <br /><br />
<br />
==Paragrahvid==<br />
<br />
Loomulikult on e-tiigrina tuntud Eesti Vabariigi Karistusseadustikus ka võrgupättused ära mainitud. AP-de olemasolu ja nende poolt edastatavate eetriandmete (SSID, tootjafirma, krüpteerimismeetod jms) registreerimine, entusiastide keeles wardriving otsesõnu ebaseaduslik ei ole, võrguliikluse pealtkuulamine aga juba küll. Näiteks on karistatav arvuti, arvutisüsteemi ja arvutivõrgu ebaseaduslik kasutamine koodi, salasõna või muu kaitsevahendi kõrvaldamise teel (§217) – selle paragrahvi alla võiks ilusti mahtuda näiteks MAC aadressi võltsimine ruuterisse sisenemiseks, samuti WEP ja WPA võtme lahtimurdmine. Karistatav on ka arvutivõrgu ühenduse kahjustamine (§207) ehk siis DoS rünnak või signaali segamine (jamming). Võõraste meilide ja kiirsõnumite lugemise eest ähvardab pätti sõnumisaladuse rikkumise paragrahv (§156), kui aga pealtkuulatud andmeid kasutatakse varalise kasu saamise eesmärgil (§213), võib kurikaela oodata juba kuni viieaastane puhkus ruudulise päikese paistel. Samuti ei tasu alahinnata Eesti politsei võimekust arvutikurikaelte tabamisel – arvutivõrku tungimise eest on juba kohtu ette viidud rohkem kui üks tegelane… <br /><br />
<br />
==Kokkuvõte==<br />
<br />
Kokkuvõteks võin ütelda, et kõik see on väga hea, et on olemas Wi-Fi leviala mis on turvaline ja palju teadmisi selle kohta, et saab ka teistele sellest rääkida, kõik meie maailmas areneb ja areneb, aga ei tohi unustada, et need kurikaelad ka arenevad koos sellistega krüptoalgoritmidega, nad ei maga! Kõik mida loob inimene on võimalik murta. <br /><br />
Wi-Fi populaarsus kasvab ja seda kasutab rohkem ja rohkem inimesi, siis tuleb järjest rohkem tähelepanu pöörata ka sellele, milliseid Wi-Fi standardeid ja andmeturbe protokolle erinevad seadmed kasutavad. Erinevaid standardeid on vaja teada selleks, et oleks teada millised seadmed on võimelised milliste võrkudega ühenduma. Samas on sama oluline ka traadita võrkude turvalisus, et keegi pahatahtlik inimene ei pääseks ligi informatsioonile, millega ta saaks sulle ja ka teistele kahju tekitada. Keegi meist ju ei tahaks, et meie isiklikku infot kasutataks meile või kellelegi teisele halva tegemise eesmärgil. Kuna kirjutasin seda referaadi, siis arvan küll et targaks sain, leidsin ja lugesin palju materjale Wi-Fi standarditest, milleks nad üldse olulised on ja sain ette kujutada nende evolutsiooni mis on mulle, nagu tulevikkus IT inimesele väga tarvis ja huvitav. <br /><br />
<br />
==Autor==<br />
<br />
Sergei Barol A21 <br /><br />
[mailto:sbarol@itcollege.ee sbarol@itcollege.ee]<br />
<br />
==Allikad==<br />
<br />
1. http://en.wikipedia.org/wiki/IEEE_802.11 <br /><br />
2. http://www.elenor.ee/artiklid/wifi-ule-kogu-kontori/ <br /><br />
3. http://blog.izall.com/2008/04/03/ainulaadne-wifi-turvalisus/ <br /><br />
4. http://www.arvutikasutaja.ee/artikkel.php?lk=3&id=207&sid=447f621c286189c007c2ccb0e81af757 <br /><br />
5. http://www.arvutikaitse.ee/?p=189 <br /><br />
6. http://www.arvutikaitse.ee/?p=720 <br /><br />
7. http://wiki.wifi.ee/index.php?title=WiFi <br /><br />
8. http://wiki.wifi.ee/index.php?title=Esileht <br /><br />
9. http://wiki.wifi.ee/index.php?title=WPA <br /><br />
10. http://en.wikipedia.org/wiki/Wi-Fi <br /><br />
11. http://en.wikipedia.org/wiki/Wireless_security <br /><br />
<br />
[[Category:Traadita side alused]]</div>Sbarol