Télécharger - Site personnel de Serge Moutou

More documents

Recommendations

Info

Chapitre 15 : SSL La Free Software Fundation (Europe) a obtenu que l'utilisation d' OpenSSL soit légale en France pour une durée de 5 ans (jusqu'en 2007) auprès du SCSSI (www.scssi.gouv.fr) Utilisation d'OpenSSL pour les applications SSL/TLS par Franck Davy (21/12/2001) Cette brève aborde quelques aspects de la configuration d'applications supportant les protocoles SSL/TLS et se fondant sur la bibliothèque openssl, de la génération des certificats aux options les plus souvent rencontrées. 3 applications sont citées en exemple : le serveur de test fourni avec openssl, Apache+mod_ssl et enfin Postfix-TLS. 1. Format du fichier openssl.cnf Il faut se référer au fichier openssl.cnf par défaut pour avoir le format général. La documentation se trouve principalement dans le fichier doc/openssl.txt. Seules les extensions v3 seront manipulées, respectant la syntaxe : extension_name=[critical,] extension_options Ces extensions sont introduites car les bi-clés générés peuvent être de divers usages (bi-clé de chiffrement, bi-clé de signature et bi-clé d'échange de clés) et les exigences en terme de sécurité différentes (recouvrement pour un bi-clé de chiffrement, auquel un service de non répudiation ne peut donc être associé). Outre des informations sur le bi-clé, ces extensions permettent d'imposer des contraintes sur l'itinéraire de certification à parcourir (autrement dit la chaîne à parcourir pour valider un certificat), renseigner sur la politique de certification concernant le certificat présenté, ou encore sur la façon d'accèder aux listes de révocation. Les plus courantes sont brièvement abordées : * basicConstraints - pathlen : nombre de CA pouvant apparaître sous (autrement signés par) le certificat - CA : TRUE pour une autorité, inutile pour une entité terminale (mais à FALSE pour compatibilité) * keyUsage - digitalSignature (RSA/DSA) : pour la signature (en tant que mécanisme, autrement dit le chiffrement d'une empreinte avec une clé privée) - nonRepudiation (RSA/DSA) : idem, mais en tant que service (autrement dit la volonté d'ajouter un service de non répudiation à une signature). Pour du S/MIME, bit positionné avec digitalSignature typiquement - keyEncipherment (RSA) : chiffrement de clé (clé secrète d'algorithme symétrique généralement, ou premaster secret ou encore clé RSA éphémère en SSL/TLS) - dataEncipherment (RSA) : chiffrement de données (hors clé de session, crl, certificat) - keyCertSign (RSA/DSA) : signature de certificats (pour les CA donc) - cRLSign (RSA/DSA) : signature de listes de révocation - keyAgreement (DH) : pour la négociation d'une clé de session - encipherOnly et decipherOnly (DH) : positionnés conjointement à keyAgreement * nsCertType - client ou server : pour une authentification client ou serveur en SSL/TLS - email : pour du S/MIME 144 /163
- objsign : pour la signature de code (applet java typiquement) - sslCA, emailCA, objCA : pour délivrer des certificats ayant les propriétés précédentes * extendedKeyUsage serverAuth, clientAuth, codeSigning, emailProtection, pour les plus courantes. Les noms sont suffisamment explicites. * subjectAltName Utiles pour les hôtes virtuels par nom, ou encore les adresses emails multiples associées à un même certificat. Malheureusement, c'est le commonName qui est généralement utilisé. * crlDistributionPoints Indique le(s) façon(s) de télécharger les listes de révocation, via LDAP ou HTTP. 2. Génération des certificats Le fichier de configuration openssl.cnf, donné en annexe, est supposé situé dans le répertoire courant. On crée les fichiers et répertoires nécessaires : $ mkdir -p ca/newcerts # Répertoire recueillant les certificats # émis par CA ROOT $ touch ca/index.txt # Base de données des certificats émis $ echo '01' > ca/serial # Numéro de série, initialisé à 1. # Incrémenté par la suite $ mkdir -p cassl/newcerts #idem, pour CA SSL $ touch cassl/index.txt $ echo '01' > cassl/serial 2.1. Génération du certificat de l'autorité racine Il s'agit du CA racine, par conséquent autosigné. * Génération du bi-clé RSA, protégé par une passphrase $ openssl genrsa -out ca/ca.key -des3 2048 * Génération du certificat auto-signé $ openssl req -new \ -x509 \ # Génération d'un certificat autosigné, # et non d'une simple requête -key ca/ca.key \ # La clé publique est extraite du bi-clé précédente -out ca/ca.pem \ # Le certificat est copié -config ./openssl.cnf \ # Le fichier de configuration n'est pas celui # par défaut -extensions CA_ROOT # La section CA_ROOT est utilisée (cf Annexe) Pour vérifier le bon usage du certificat : $ openssl x509 -in ca/ca.pem -text -noout $ openssl x509 -purpose -in ca/ca.pem -noout 2.2. Génération du certificat de l'autorité intermédiaire SSL 145 /163
Page 1 and 2:
Chapitre 1 : Généralités sur les
Page 3 and 4:
• Interface système/applications
Page 5 and 6:
Applications utilisateurs Niveau Ut
Page 7 and 8:
C. Carrez "Les systèmes informatiq
Page 9 and 10:
0x000 Master Boot Record Chargeur p
Page 11 and 12:
Table de partition Partition 1 Part
Page 13 and 14:
Linux) qu'il faut créer avec l'uti
Page 15 and 16:
suffit). Il faut au moins une parti
Page 17 and 18:
Installation de paquetages rpm On p
Page 19 and 20:
BROADCAST = 10.194.2.255 ONBOOT = y
Page 21 and 22:
Connexion Après le chargement du b
Page 23 and 24:
Manipulation Si par mégarde, sous
Page 25 and 26:
kill PID : met fin normalement à l
Page 27 and 28:
suivante dans une ligne de la table
Page 29 and 30:
Sauvegarde et archivage avec tar G
Page 31 and 32:
2°) Opérations sur un registre. L
Page 33 and 34:
2°) Registres l'UCT doit posséder
Page 35 and 36:
Exercice 9 On donne le programme :
Page 37 and 38:
Si op1< op2 OF est mis à 1. Si op1
Page 39 and 40:
Les appels systèmes On peut conna
Page 41 and 42:
Chapitre 5 : Gestion des utilisateu
Page 43 and 44:
Compléments Si le rep. de base n'e
Page 45 and 46:
Les différentes catégories de fic
Page 47 and 48:
Les options les options par défaut
Page 49 and 50:
un rép. obligatoirement démonté
Page 51 and 52:
la date de dernière modification l
Page 53 and 54:
Ajout, retrait ou fixation des perm
Page 55 and 56:
777 = 111 111 111 permissions maxi
Page 57 and 58:
2. Effectuer des vérifications : p
Page 59 and 60:
Vérifiez bien que le problème est
Page 61 and 62:
Enfin le fichier rc.local est lu (/
Page 63 and 64:
en local, par exemple linuxconf, pe
Page 65 and 66:
var/run/squid.pid'. 6 Envoyer un si
Page 67 and 68:
chkconfig netstat -na Permet de cr
Page 69 and 70:
Chapitre7 : Shell Bash et Scripts (
Page 71 and 72:
TP 1 1. Personnaliser le script .ba
Page 73 and 74:
Les commandes du shell référence
Page 75 and 76:
Tester ll --help | less < redirecti
Page 77 and 78:
Créer un script Variables : ne son
Page 79 and 80:
Mise au point, débogage Exécution
Page 81 and 82:
lecture. Ces variables sont automat
Page 83 and 84:
[toto@p00]$ [ -r "/etc/shadow" ] ||
Page 85 and 86:
then echo "je vais vérifier ton de
Page 87 and 88:
Boucle while Si aucune liste n'est
Page 89 and 90:
En connexion root, on doit relancer
Page 91 and 92:
cat < users.txt | while true do rea
Page 93 and 94: II. Créer des comptes décrits dan
Page 95 and 96: serveur LDAP. La configuration va p
Page 97 and 98: ootdn "cn=Manager, o=INT, c=FR" 3.3
Page 99 and 100: one » retourne tous les objets sit
Page 101 and 102: et ldapsearch -L -x -H ldap://machi
Page 103 and 104: Si l'on rend le fichier /etc/passwd
Page 105 and 106: PAM - © Philippe Chadefaux - 10/1/
Page 107 and 108: Ligne 5 Comptabilise la "vie" du mo
Page 109 and 110: # pour permettre l'accès sur le se
Page 111 and 112: passwd en relançant /usr/bin/make
Page 113 and 114: Rappelons que ces 2 serveurs permet
Page 115 and 116: I) Chiffrement monoalphabétique 1
Page 117 and 118: Mot clef: chiffré : ROUGEROUGEROUG
Page 119 and 120: 119 /163
Page 121 and 122: Pourquoi la cryptographie ? 2500 an
Page 123 and 124: exemple. La solution tout à fait n
Page 125 and 126: différence, on n'est jamais à l'a
Page 127 and 128: On commence le protocole par échan
Page 129 and 130: Le principe consacré par l'article
Page 131 and 132: $ md5sum -v -c mesfichiers.md5 caff
Page 133 and 134: Vous allez alors avoir les fichiers
Page 135 and 136: La première partie qui est entre p
Page 137 and 138: Chapitre 13 : L'espionnage du rése
Page 139 and 140: Chapitre 14 : Gnu Privacy Guard (Gn
Page 141 and 142: X [Y p2 Y]$ gpg --import X.gpg ou Y
Page 143: On construit sur ce principe un ré
Page 147 and 148: Les paramètres généralement renc
Page 149 and 150: verify return:1 CONNECTED(00000003)
Page 151 and 152: tiers à relayer son courrier sur l
Page 153 and 154: emailAddress_max = 40 [CA_ROOT] nsC
Page 155 and 156: Chapitre 16 : SSH/SSF (21 Mai 2001
Page 157 and 158: Utilisation HTTP : Apache port 80 P
Page 159 and 160: Port 22 ListenAddress 0.0.0.0 HostK
Page 161 and 162: machine locale : locale, login : us
Page 163: User Name / Password : comme d'hab
show all

Télécharger - Site personnel de Serge Moutou

You also want an ePaper? Increase the reach of your titles

Delete template?

Save as template?