TLS sąranka su „Apache2¶

Nitrokey 3	Nitrokey Passkey	Nitrokey FIDO2	„Nitrokey U2F	„Nitrokey HSM 2	Nitrokey Pro 2	„Nitrokey Start	„Nitrokey“ saugykla 2
⨯	⨯	⨯	⨯	✓	⨯	⨯	⨯

Patarimas

Tą pačią čia aprašytą koncepciją galima naudoti daugelyje programų, kuriose openssl naudojamas kaip kriptografinis serveris. Koncepcija dažniausiai yra tokia: pakeisti (slaptą) rakto failą į PKCS#11 URL, kuriame pateikiama nuoroda į raktą, esantį saugumo ženkle (Nitrokey).

Paruošimas ¶

įsitikinkite, kad apache2 versija yra ne mažesnė kaip 2.4.42, kad būtų tinkamai mod_ssl palaikoma
suaktyvinti mod_ssl naudojant a2enmod ssl, jei tai dar nepadaryta
papildomai reikia openssl ir libengine-pkcs11-openssl žr. PKCS#11 URL

Sukonfigūruokite „Apache2“ naudoti saugumo raktą ¶

Iš esmės reikia tik pakeisti SSLCertificateFile tinkamu PKCS#11 URL ir ištrinti visas kitas nuorodas į raktus ar sertifikatus. Pavyzdžiui, SSLCertificateKeyFile nebereikia.

Direktyvos pavyzdys gali atrodyti taip:

SSLCertificateFile   "pkcs11:model=PKCS%2315%20emulated;manufacturer=www.CardContact.de;serial=DENK0123123;token=UserPIN%20%28SmartCard-HSM%29;id%01"

Tinkamą PKCS#11 URL galima išgauti, kaip aprašyta PKCS#11 URL generavimas

Įsitikinkite, kad ši direktyva yra VirtualHost konfigūracijos viduje.

PIN kodo pateikimas „Apache2“ paleidimo metu ¶

Naudojant anksčiau aprašytą metodą, „Apache2“ kiekvieno paleidimo metu paprašys vartotojo PIN kodo, taigi iš esmės atsisakys paketinio paleidimo. Apache2 pateikia kitą direktyvą, leidžiančią pateikti PIN kodą paleidimo metu.

SSLPassPhraseDialog     "|/bin/echo 123456"

Po | laukiama vykdomosios programos, kuri bus paleista paleidimo metu, o jos’išvestis (tikimasi naujos eilutės pabaigos) bus naudojama kaip PIN. Akivaizdu, kad taikant šį metodą galima įgyvendinti bet kokius sudėtingus PIN gavimo metodus. Nors čia pasirinktas trivialus pavyzdys, kai paleidimo metu tiesiog echo išvedamas PIN kodas.

Be to, SSLPassPhraseDialog yra globalioji direktyva, todėl ji turi būti patalpinta „Apache2“ globaliosios konfigūracijos srityje.

Įspėjimas

Šis pavyzdys nėra saugus PIN kodo perdavimo mechanizmas, nes jis bus įrašytas atviru tekstu konfigūracijos viduje.

Daugiau informacijos apie šią funkciją rasite Apache2 mod_ssl dokumentacijoje.

Pilnas „Apache2“ konfigūracijos pavyzdys ¶

Pilna „Apache2“ (VirtualHost) konfigūracijos fragmentas gali atrodyti taip:

<IfModule mod_ssl.c>
  SSLPassPhraseDialog     "|/bin/echo 123456"
  <VirtualHost _default_:443>
     ServerAdmin webmaster@localhost

     DocumentRoot /var/www/html

     ErrorLog ${APACHE_LOG_DIR}/error.log
     CustomLog ${APACHE_LOG_DIR}/access.log combined

     SSLEngine on

     SSLCertificateFile      "pkcs11:model=PKCS%2315%20emulated;manufacturer=www.CardContact.de;serial=DENK0105076;token=UserPIN%20%28SmartCard-HSM%29"

     #SSLCertificateKeyFile /etc/ssl/private/ssl-cert-snakeoil.key

     <FilesMatch "\.(cgi|shtml|phtml|php)$">
                     SSLOptions +StdEnvVars
     </FilesMatch>
     <Directory /usr/lib/cgi-bin>
                     SSLOptions +StdEnvVars
     </Directory>

  </VirtualHost>
</IfModule>

TLS sąranka su „Apache2¶

Paruošimas¶

Sukonfigūruokite „Apache2“ naudoti saugumo raktą¶

PIN kodo pateikimas „Apache2“ paleidimo metu¶

Pilnas „Apache2“ konfigūracijos pavyzdys¶

Paruošimas ¶

Sukonfigūruokite „Apache2“ naudoti saugumo raktą ¶

PIN kodo pateikimas „Apache2“ paleidimo metu ¶

Pilnas „Apache2“ konfigūracijos pavyzdys ¶