ID kaardiga autentimine Apache2 veebiserveriga - Revision history

Mernits: /* Juhendist */

2012-03-07T09:17:06Z

Juhendist

← Older revision		Revision as of 12:17, 7 March 2012
Line 283:		Line 283:
	* Loe ka http://www.arvutikaitse.ee/?p=2772		* Loe ka http://www.arvutikaitse.ee/?p=2772

			=Chromiumile autentimine=

			<pre>
			sudo apt-get install libnss3-tools
			modutil -dbdir sql:$HOME/.pki/nssdb -delete opensc-pkcs11
			modutil -dbdir sql:$HOME/.pki/nssdb -add opensc-pkcs11 -libfile /usr/lib/onepin-opensc-pkcs11.so -mechanisms FRIENDLY
			</pre>
	=Juhendist=		=Juhendist=

Mernits: /* Installeerimine */

2011-12-16T07:56:17Z

Installeerimine

← Older revision		Revision as of 10:56, 16 December 2011
Line 53:		Line 53:
	sudo mkdir /etc/apache2/crl		sudo mkdir /etc/apache2/crl
	cd /etc/apache2/crl		cd /etc/apache2/crl
	sudo http://www.sk.ee/crls/esteid/esteid.crl		sudo wget http://www.sk.ee/crls/esteid/esteid.crl
	sudo http://www.sk.ee/crls/juur/crl.crl		sudo wget http://www.sk.ee/crls/juur/crl.crl
	sudo http://www.sk.ee/crls/esteid/esteid2007.crl		sudo wget http://www.sk.ee/crls/esteid/esteid2007.crl
	sudo http://www.sk.ee/crls/eeccrca/eeccrca.crl		sudo wget http://www.sk.ee/crls/eeccrca/eeccrca.crl
	sudo http://www.sk.ee/repository/crls/esteid2011.crl		sudo wget http://www.sk.ee/repository/crls/esteid2011.crl
	</pre>		</pre>

Kkalder at 10:33, 11 September 2011

2011-09-11T10:33:55Z

← Older revision		Revision as of 13:33, 11 September 2011
Line 40:		Line 40:
	<pre>		<pre>
	cd /etc/apache2		cd /etc/apache2
	sudo wget http://~~www.~~sk.ee/files/JUUR-SK.PEM.cer		sudo wget http://sk.ee/upload/files/JUUR-SK.PEM.cer
	sudo wget http://~~www~~.sk.ee/files/ESTEID-SK.PEM.cer		sudo wget http://sk.ee/upload/files/EECCRCA.pem.cer
	sudo wget http://~~www.~~sk.ee/files/ESTEID-SK%202007.PEM.cer		sudo wget http://sk.ee/upload/files/ESTEID-SK.PEM.cer
			sudo wget http://sk.ee/upload/files/ESTEID-SK%202007.PEM.cer
			sudo wget http://sk.ee/upload/files/ESTEID-SK%202011.pem.cer
	</pre>		</pre>

Line 51:		Line 53:
	sudo mkdir /etc/apache2/crl		sudo mkdir /etc/apache2/crl
	cd /etc/apache2/crl		cd /etc/apache2/crl
	sudo ~~wget~~ http://www.sk.ee/crls/esteid/esteid.crl		sudo http://www.sk.ee/crls/esteid/esteid.crl
	sudo ~~wget~~ http://www.sk.ee/crls/esteid/esteid2007.crl		sudo http://www.sk.ee/crls/juur/crl.crl
	sudo ~~wget~~ http://www.sk.ee/crls/~~juur~~/crl.crl		sudo http://www.sk.ee/crls/esteid/esteid2007.crl
			sudo http://www.sk.ee/crls/eeccrca/eeccrca.crl
			sudo http://www.sk.ee/repository/crls/esteid2011.crl
	</pre>		</pre>

Line 63:		Line 67:
	<pre>		<pre>
	cd /etc/apache2		cd /etc/apache2
	sudo cat JUUR-SK.PEM.cer ESTEID-SK.PEM.cer ESTEID-SK\ 2007.PEM.cer > juur.crt		sudo cat JUUR-SK.PEM.cer EECCRCA.pem.cer ESTEID-SK.PEM.cer ESTEID-SK\ 2007.PEM.cer ESTEID-SK\ 2011.pem.cer > juur.crt
	</pre>		</pre>

Line 72:		Line 76:
	sudo -i		sudo -i
	cd /etc/apache2/crl		cd /etc/apache2/crl
	openssl crl -in esteid.crl -out esteid.crl -inform DER		openssl crl -in esteid.crl -out esteid.crl -inform DER
	openssl crl -in esteid2007.crl -out esteid2007.crl -inform DER		openssl crl -in esteid2007.crl -out esteid2007.crl -inform DER
	openssl crl -in crl.crl -out crl.crl -inform DER		openssl crl -in crl.crl -out crl.crl -inform DER
			openssl crl -in eeccrca.crl -out eeccrca.crl -inform DER
			openssl crl -in esteid2011.crl -out esteid2011.crl -inform DER
	</pre>		</pre>

Line 181:		Line 187:
	wget http://www.sk.ee/crls/esteid/esteid2007.crl		wget http://www.sk.ee/crls/esteid/esteid2007.crl
	wget http://www.sk.ee/crls/juur/crl.crl		wget http://www.sk.ee/crls/juur/crl.crl
			wget http://www.sk.ee/crls/eeccrca/eeccrca.crl
			wget http://www.sk.ee/repository/crls/esteid2011.crl
	openssl crl -in esteid.crl -out esteid.crl -inform DER		openssl crl -in esteid.crl -out esteid.crl -inform DER
	openssl crl -in esteid2007.crl -out esteid2007.crl -inform DER		openssl crl -in esteid2007.crl -out esteid2007.crl -inform DER
	openssl crl -in crl.crl -out crl.crl -inform DER		openssl crl -in crl.crl -out crl.crl -inform DER
			openssl crl -in eeccrca.crl -out eeccrca.crl -inform DER
			openssl crl -in esteid2011.crl -out esteid2011.crl -inform DER
	rm -f *.r?		rm -f *.r?
	n="0";for f in `ls *.crl`;do ln -s $f `openssl crl -hash -noout -in $f`.r$n ;let n=n+1;done		n="0";for f in `ls *.crl`;do ln -s $f `openssl crl -hash -noout -in $f`.r$n ;let n=n+1;done
Line 298:		Line 308:
	\| [[User:Apelesev\|Apelesev]] 04:40, 17 January 2010 (EET)		\| [[User:Apelesev\|Apelesev]] 04:40, 17 January 2010 (EET)
	\| Eemaldatud üleliigsed sudo käsud		\| Eemaldatud üleliigsed sudo käsud
			\|-
			\| 1.3
			\| [[User:Kkalder\|Kkalder]] 13:34, 11 September 2011 (EET)
			\| Sertifikaatide asukoht on muutnud ja sertifikaate on juurde tulnud
	\|}		\|}

	[[Category:IT infrastruktuuri teenused]]		[[Category:IT infrastruktuuri teenused]]

Apelesev at 02:40, 17 January 2010

2010-01-17T02:40:58Z

← Older revision		Revision as of 05:40, 17 January 2010
Line 296:		Line 296:
	\|-		\|-
	\| 1.2		\| 1.2
	\| 4:22, 15 January 2010 (EET)		\| [[User:Apelesev\|Apelesev]] 04:40, 17 January 2010 (EET)
	\| Eemaldatud üleliigsed sudo käsud		\| Eemaldatud üleliigsed sudo käsud
	\|}		\|}

	[[Category:IT infrastruktuuri teenused]]		[[Category:IT infrastruktuuri teenused]]

Apelesev at 02:34, 17 January 2010

2010-01-17T02:34:23Z

← Older revision		Revision as of 05:34, 17 January 2010
Line 62:		Line 62:
	Pane kõik 3 juursertifikaati kokku ühte faili, et veebiserveril oleks lihtsam neid lugeda:		Pane kõik 3 juursertifikaati kokku ühte faili, et veebiserveril oleks lihtsam neid lugeda:
	<pre>		<pre>
	~~sudo -i~~
	cd /etc/apache2		cd /etc/apache2
	cat JUUR-SK.PEM.cer ESTEID-SK.PEM.cer ESTEID-SK\ 2007.PEM.cer > juur.crt		sudo cat JUUR-SK.PEM.cer ESTEID-SK.PEM.cer ESTEID-SK\ 2007.PEM.cer > juur.crt
	</pre>		</pre>

Line 71:		Line 70:
	Kuna allalaetavad tühistusnimekirjad on apache jaoks loetamatul kujul, siis on vaja need konverteerida PEM formaati:		Kuna allalaetavad tühistusnimekirjad on apache jaoks loetamatul kujul, siis on vaja need konverteerida PEM formaati:
	<pre>		<pre>
			sudo -i
	cd /etc/apache2/crl		cd /etc/apache2/crl
	~~sudo~~ openssl crl -in esteid.crl -out esteid.crl -inform DER		openssl crl -in esteid.crl -out esteid.crl -inform DER
	~~sudo~~ openssl crl -in esteid2007.crl -out esteid2007.crl -inform DER		openssl crl -in esteid2007.crl -out esteid2007.crl -inform DER
	~~sudo~~ openssl crl -in crl.crl -out crl.crl -inform DER		openssl crl -in crl.crl -out crl.crl -inform DER
	</pre>		</pre>

Line 80:		Line 80:

	<pre>		<pre>
	~~sudo -i~~
	cd /etc/apache2/crl		cd /etc/apache2/crl
	rm *.r?		rm *.r?
Line 110:		Line 109:
	Loome selle kataloogi ning nõuame secure kataloogi sisenedes ID-kaarti, luues sinna .htaccess faili:		Loome selle kataloogi ning nõuame secure kataloogi sisenedes ID-kaarti, luues sinna .htaccess faili:
	<pre>		<pre>
	~~sudo~~ mkdir /var/www/www/secure		mkdir /var/www/www/secure
	~~sudo~~ vi /var/www/www/secure/.htaccess		vi /var/www/www/secure/.htaccess
	</pre>		</pre>
	Ja lisame .htaccess faili järgmised read:		Ja lisame .htaccess faili järgmised read:
Line 148:		Line 147:
	</pre>		</pre>

	* Istu nüüd mõne arvuti taha, kus on kiipkaardilugeja ja brauser, millele on ID-kaardi asi selgeks tehtud ning katseta ligipääsu.		Istu nüüd mõne arvuti taha, kus on kiipkaardilugeja ja brauser, millele on ID-kaardi asi selgeks tehtud ning katseta ligipääsu.

	Võta ühendust oma serveriga: https://ip_aadress/secure või https://www.firma.ee/secure		Võta ühendust oma serveriga: https://ip_aadress/secure või https://www.firma.ee/secure
Line 295:		Line 294:
	\| 17:17, 29 December 2009 (EET)		\| 17:17, 29 December 2009 (EET)
	\| Lisatud secure kataloogile http kaudu ligipääsu keelamine		\| Lisatud secure kataloogile http kaudu ligipääsu keelamine
			\|-
			\| 1.2
			\| 4:22, 15 January 2010 (EET)
			\| Eemaldatud üleliigsed sudo käsud
	\|}		\|}

	[[Category:IT infrastruktuuri teenused]]		[[Category:IT infrastruktuuri teenused]]

Aellisso: /* Mis saab edasi? */

2010-01-10T09:19:22Z

Mis saab edasi?

← Older revision		Revision as of 12:19, 10 January 2010
Line 272:		Line 272:
	=Mis saab edasi?=		=Mis saab edasi?=
	* Kui sinu veebirakendus ei tohi mitte mingil juhul tühistatud sertifikaatidega autentijaid ligi lubada, siis seadista [http://id.ee/?id=10821 Sertifikaadi kehtivuse kontroll OCSP-ga]		* Kui sinu veebirakendus ei tohi mitte mingil juhul tühistatud sertifikaatidega autentijaid ligi lubada, siis seadista [http://id.ee/?id=10821 Sertifikaadi kehtivuse kontroll OCSP-ga]
			* Loe ka http://www.arvutikaitse.ee/?p=2772

	=Juhendist=		=Juhendist=

Aellisso: /* Juhendist */

2009-12-29T15:53:37Z

Juhendist

← Older revision		Revision as of 18:53, 29 December 2009
Line 280:		Line 280:
	* Argo Ellisson		* Argo Ellisson

	~~Juhendi versioon 1.0~~		Versioonide ajalugu:
	{\| class="wikitable" border="1"		{\| class="wikitable" border="1"
	\|-		\|-
Line 295:		Line 295:
	\| Lisatud secure kataloogile http kaudu ligipääsu keelamine		\| Lisatud secure kataloogile http kaudu ligipääsu keelamine
	\|}		\|}

	~~viimati muudetud~~

	[[Category:IT infrastruktuuri teenused]]		[[Category:IT infrastruktuuri teenused]]

Aellisso: /* Tulemuse kontroll */

2009-12-29T15:52:23Z

Tulemuse kontroll

← Older revision		Revision as of 18:52, 29 December 2009
Line 155:		Line 155:

	Server peaks nüüd sellele kataloogile ligi lubama AINULT eesti ID-kaardiga.		Server peaks nüüd sellele kataloogile ligi lubama AINULT eesti ID-kaardiga.

			'''Veendu, et ligipääsu ei ole lubatud mõne teise virtuaalsaidi kaudu n. http://www.firma.ee/secure/ ja http://firma.ee/www/secure/ !'''

	=Tühistusnimekirjade uuendamine=		=Tühistusnimekirjade uuendamine=

Aellisso: /* SSL keskkonna seadistamine */

2009-12-29T15:49:32Z

SSL keskkonna seadistamine

← Older revision		Revision as of 18:49, 29 December 2009
Line 123:		Line 123:

	<pre>		<pre>
	<Directory /var/www/www/secure>		<Directory "/var/www/www/secure">
	Order allow,deny		Order allow,deny
	deny from all		deny from all
	</Directory>		</Directory>
	</pre>		</pre>

			Arvesta, et ligipääs on vaikimisi lubatud kõikide lubatud (enabled) virtuaalsaitide kaudu. [[Veebiserveri labor v.2]]-s seadistati '''www''' ja '''sales''' ning lisaks on ka vaikimisi sait nimega '''default'''. Käi kindlasti kõik konfid üle.

	Kõige lõpuks restardime veebiserveri:		Kõige lõpuks restardime veebiserveri:

Aellisso at 15:33, 29 December 2009

2009-12-29T15:33:48Z

← Older revision		Revision as of 18:33, 29 December 2009
Line 119:		Line 119:
	</pre>		</pre>

	Põhimõtteliselt on nüüd kõik seadistatud '''AGA''' kui sul on tõesti kõik nii seadistatud nagu ~~veebiserveri laboris~~ nõutud, siis on võimalik /var/www/www/secure kataloogile siiski ligi pääseda kasutades http protokolli ning järgmist URL-i: http://<serverinimi>/www/secure/ .		Põhimõtteliselt on nüüd kõik seadistatud '''AGA''' kui sul on tõesti kõik nii seadistatud nagu [[Veebiserveri labor v.2]]-s nõutud, siis on võimalik '''/var/www/www/secure''' kataloogile siiski ligi pääseda kasutades http protokolli ning järgmist URL-i: <nowiki>http://<serverinimi>/www/secure/</nowiki> .
	Selle vältimiseks lisa kõikide, väljaarvatud HTTPS (443 port), virtuaalsaitide konfiguratsioonidesse, <VirtualHost> sektsioonidesse, teiste kataloogiõiguste juurde järgmised read:		Selle vältimiseks lisa kõikide, väljaarvatud HTTPS (443 port), virtuaalsaitide konfiguratsioonidesse, <VirtualHost> sektsioonidesse, teiste kataloogiõiguste juurde järgmised read: