Connexion sécurisée et redirection https

Version imprimable

Voir 40 message(s) de cette discussion en une page

11/06/2009, 10h42
marcandre

Connexion sécurisée et redirection https
Bonjour a tous,

Actuellement je suis en train de tester une redirection vers https sur une page web.
Je me suis inspiré de la faq sur Apache et choisi la redirection par php :
Code:

1 2 3 4 5 6 <?php if (!isset($_SERVER['HTTPS']) || $_SERVER['HTTPS'] != 'on') { header('Location: https://' . $_SERVER['SERVER_NAME'] . $_SERVER['REQUEST_URI']); exit; }
Seulement voilà lorsque j'accède à cette page, cette dernière
affiche une erreur qui ne rassure pas les internautes :
Code:

1 2 3 Echec de connexion sécurisée www.nom_de_domaine.com utilise un certificat de sécurité invalide.
Quel sont les procédures complémentaires pour obtenir un certificat de sécurité et l'installer sur notre serveur ?

Voici l'environnement technique utilisé par le serveur web :
Apache 2.2.3
php 5.1.6
RedHat Enterprise Linux Server 5.1 64 bit

Cordialement.
11/06/2009, 10h50
_Mac_

A priori, il faut l'acheter auprès d'une autorité de certification reconnue. Le certificat SSL que tu utilises actuellement, tu as dû le générer toi-même, il doit être auto-signé, ce que n'aiment pas les navigateurs. Est-ce bien cela ?
11/06/2009, 11h14
marcandre

Pour le moment je n'ai pas installé de certificat SSL, ni généré moi même .

J'ai juste suivi la procédure pour rediriger vers https par la FAQ d'Apache.

Justement, comment installer un certificat SSL ?
11/06/2009, 12h56
_Mac_

Ca doit être ça le problème : c'est le certificat par défaut qui est utilisé, si tant est qu'il y en a un.

Tu peux déjà commencer par récupérer un certificat de test auprès de Thawte ou Verisign. Pour l'installation, c'est dans les tutos.
15/06/2009, 09h00
marcandre
Bonjour,

Je reviens vers toi, puisque j'ai obtenu le certificat SSL .

Voici les lignes que j'ai ajoutés dans le fichier de configuration ssl.conf :
Code:

1 2 3 4 SSLCertificateFile /etc/httpd/conf/ssl.crt/server.crt SSLCertificateKeyFile /etc/httpd/conf/ssl.key/siteweb.key SSLCACertificateFile /etc/httpd/conf/ssl.crt/intermediate.crt
Ces lignes ont été ajoutées dans la balise :
<VirtualHost _default_:443></VirtualHost>

Seulement voilà, lorsque je redémarre apache, son démarrage échoue .
Je souhaite savoir comment peut-on débugger et vérifier le fonctionnement du SSL sans que cela puisse géner le démarrage du serveur ?

Cordialement .
15/06/2009, 09h53
_Mac_

Si le démarrage échoue, il faut aller voir dans le fichier error_log d'Apache ce qu'il se passe. Tu ne peux pas vraiment tester le SSL sans démarrer Apache, il faut bien qu'il tourne. Donc tout ce que tu peux faire c'est essayer sur un autre serveur Apache.

Je viens de jeter un coup d'oeil sur le fichier error_log j'ai l'erreur suivante :

Code:

1
2
3
4
5
6
 
[Mon Jun 15 10:16:43 2009] [notice] suEXEC mechanism enabled (wrapper: /usr/sbin/suexec)
[Mon Jun 15 10:16:43 2009] [error] Init: Unable to read server certificate from file /etc/httpd/conf/ssl.crt/server.crt
[Mon Jun 15 10:16:43 2009] [error] SSL Library Error: 218570875 error:0D07207B:asn1 encoding routines:ASN1_get_object:header too long
[Mon Jun 15 10:17:18 2009] [notice] suEXEC mechanism enabled (wrapper: /usr/sbin/suexec)
[Mon Jun 15 10:17:18 2009] [notice] Digest: generating secret for digest authentication ...

15/06/2009, 11h06
_Mac_
mod_ssl n'arrive visiblement pas à lire le certificat serveur. Es-tu sûr que ce certificat est au format PEM ? Pour le savoir, ouvre le fichier du certificat avec vi et là, tu dois voir un truc du genre :
Code:

1 2 3 -----BEGIN CERTIFICATE----- 4RGHZ1... -----END CERTIFICATE-----
Si ce n'est pas le cas, ce n'est pas le bon format, il faut le convertir.
15/06/2009, 11h18
marcandre
J'ai ouvert le fichier avec vi et j'ai bien ce format :
Code:

1 2 3 4 -----BEGIN CERTIFICATE----- MIIFmTCCB... -----END CERTIFICATE-----
15/06/2009, 12h01
_Mac_

Tu as obtenu ton certificat comment ? C'est un certificat de test ? La clé fait combien de bits ? Le peu d'info qu'il y a sur le net sur le sujet dit que c'est un problème de certificat corrompu, mais je ne sais pas ce que ça veut dire. Essaie de l'ouvrir avec Internet Explorer, pour voir.
15/06/2009, 12h42
marcandre
Le certificat je l'ai obtenu dans le corps du message sous la forme
Code:

1 2 3 -----BEGIN CERTIFICAT----- MIIFmTCCBIGgAwIBAgIQEP/hNA52vfRLf... -----END CERTIFICAT-----
Il s'agit d'un certificat d'essais .

J'ai ouvert un notepad sous XP j'ai copié le contenu du certificat du mail et collé dans le notepad . J'ai enregistré ce fichier sous l'extension .crt et sous codage UTF-8. Je l'ai téléchargé par FTP vers le serveur web. Et placé dans le bon répertoire.

Avant de recevoir le mail contenant le crt . Lors de l'inscription pour obtenir le certificat d'essais j'ai effectué une génération du fichier .csr (requête de signature). J'ai copié le contenu dans le formulaire d'inscription, avant de valider l'inscription.

La clé public fait 1024 bits.
15/06/2009, 14h37
_Mac_

C'est logique, en effet, il faut toujours passer par un CSR. C'est ce qui contient la clé publique qui figurera dans le certificat final (tu gardes la clé privée dans un quoi que tu déclares dans SSLCertificateKeyFile. Donc s'il te manque la clé privée, tu es quitte pour refaire un CSR et une nouvelle demande).

Tu as essayé d'ouvrir ce fichier .crt avec Windows en double-cliquant dessus ? Il peut l'ouvrir et te dire ce qu'il y a dedans ?

J'ai ouvert le fichier .crt sous windows ce fichier s'ouvre normalement :
Code:

1 2 3 4 5 6 ce certificat est conçu pour les rôles suivants Garantit l'identitié de l'ordinateur distant Garantit votre identité auprès d'un ordinateur distant Délivré à www.monsiteweb.com Délivré par .... Validité du // au //
Voici les commandes openssl que j'ai fait avant l'inscription :

Code:

openssl genrsa -des3 1024 > monsiteweb.key

le fichier est créé dans /usr/local/ssl/private

ensuite :

Code:

openssl req -new -key /usr/local/ssl/private/monsiteweb.key > monsiteweb.csr

le fichier monsiteweb.csr est dans le dossier /usr/local/ssl/crt/
j'ai utilisé monsiteweb.csr pour copier le contenu est renseigner au moment de l'inscription .

et enfin toujours dans /usr/local/ssl/crt/

Code:

openssl req -x509 -key /usr/local/ssl/private/monsiteweb.key -in monsiteweb.csr > monsiteweb.crt

15/06/2009, 16h36
_Mac_

Comprends pas : le fichier server.crt contient le certificat de test que tu es allé récupérer je ne sais où, ou bien c'est le résultat de la dernière commande openssl que tu donnes ? Si tu fais un certificat de test chez Thawte, de mémoire le fichier server.crt doit contenir le code ---BEGIN CERTIFICATE--- qui s'affiche sur la page du site de Thawte quand tu demandes ton certificat de test.
15/06/2009, 17h01
marcandre

En faite j'ai fait mon inscription auprès de Verisign et j'ai reçu le contenu de -----BEGIN CERTIFICATE----- par mail du support
que j'ai sauvegardé dans le fichier server.crt
15/06/2009, 17h11
_Mac_

OK. Dans ce cas, à quoi sert la dernière commande que tu as exécutée et la fichier monsiteweb.crt ? L'as-tu déclaré quelque part dans la conf Apache ?
15/06/2009, 22h00
marcandre

Le fichier monsiteweb.crt créé ne servais pas finalement, au moment de creer les fichiers .key, .csr et .crt .
Au fur et à mesure que je suivais la procédure pour obtenir le certificat je me suis rendu compte qu'il fallait utiliser le contenu du mail de réponse à l'inscription de Verisign pour créer le fichier server.crt.

Le fichier monsiteweb.crt, je ne l'utilise pas, il n'est pas déclaré dans le fichier de configuration Apache .

C'est le fichier server.crt qui est utilisé pour la configuration.
16/06/2009, 10h08
_Mac_

Je viens de générer un certificat de test chez Verisign et j'arrive à l'utiliser sans problème avec mon Wamp (mais c'est du Windows) :aie:

Tu as bien récupéré le certificat CA de test de Verisign et tu l'as bien déclaré avec la directive SSLCACertificateFile ? Tu peux donner toute ta conf SSL ?

Voici le contenu de la configuration pour ssl :

Code:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214
215
216
217
218
219
220
221
222
223
224
225
226
227
228
229
230
231
232
233
234
235
 
#
# This is the Apache server configuration file providing SSL support.
# It contains the configuration directives to instruct the server how to
# serve pages over an https connection. For detailing information about these 
# directives see <URL:http://httpd.apache.org/docs/2.2/mod/mod_ssl.html>
# 
# Do NOT simply read the instructions in here without understanding
# what they do.  They're here only as hints or reminders.  If you are unsure
# consult the online docs. You have been warned.  
#
 
LoadModule ssl_module modules/mod_ssl.so
 
#
# When we also provide SSL we have to listen to the 
# the HTTPS port in addition.
#
Listen 443
 
##
##  SSL Global Context
##
##  All SSL configuration in this context applies both to
##  the main server and all SSL-enabled virtual hosts.
##
 
#
#   Some MIME-types for downloading Certificates and CRLs
#
AddType application/x-x509-ca-cert .crt
AddType application/x-pkcs7-crl    .crl
 
#   Pass Phrase Dialog:
#   Configure the pass phrase gathering process.
#   The filtering dialog program (`builtin' is a internal
#   terminal dialog) has to provide the pass phrase on stdout.
SSLPassPhraseDialog  builtin
 
#   Inter-Process Session Cache:
#   Configure the SSL Session Cache: First the mechanism 
#   to use and second the expiring timeout (in seconds).
#SSLSessionCache        dc:UNIX:/var/cache/mod_ssl/distcache
SSLSessionCache         shmcb:/var/cache/mod_ssl/scache(512000)
SSLSessionCacheTimeout  300
 
#   Semaphore:
#   Configure the path to the mutual exclusion semaphore the
#   SSL engine uses internally for inter-process synchronization. 
SSLMutex default
 
#   Pseudo Random Number Generator (PRNG):
#   Configure one or more sources to seed the PRNG of the 
#   SSL library. The seed data should be of good random quality.
#   WARNING! On some platforms /dev/random blocks if not enough entropy
#   is available. This means you then cannot use the /dev/random device
#   because it would lead to very long connection times (as long as
#   it requires to make more entropy available). But usually those
#   platforms additionally provide a /dev/urandom device which doesn't
#   block. So, if available, use this one instead. Read the mod_ssl User
#   Manual for more details.
SSLRandomSeed startup file:/dev/urandom  256
SSLRandomSeed connect builtin
#SSLRandomSeed startup file:/dev/random  512
#SSLRandomSeed connect file:/dev/random  512
#SSLRandomSeed connect file:/dev/urandom 512
 
#
# Use "SSLCryptoDevice" to enable any supported hardware
# accelerators. Use "openssl engine -v" to list supported
# engine names.  NOTE: If you enable an accelerator and the
# server does not start, consult the error logs and ensure
# your accelerator is functioning properly. 
#
SSLCryptoDevice builtin
#SSLCryptoDevice ubsec
 
##
## SSL Virtual Host Context
##
 
<VirtualHost _default_:443>
#<VirtualHost www.monsiteweb.fr:443>
 
# General setup for the virtual host, inherited from global configuration
#DocumentRoot "/var/www/html"
#ServerName www.example.com:443
ServerName www.monsiteweb.fr:443
 
# Use separate log files for the SSL virtual host; note that LogLevel
# is not inherited from httpd.conf.
ErrorLog logs/ssl_error_log
TransferLog logs/ssl_access_log
#LogLevel warn
LogLevel debug
 
#   SSL Engine Switch:
#   Enable/Disable SSL for this virtual host.
SSLEngine on
 
#   SSL Protocol support:
# List the enable protocol levels with which clients will be able to
# connect.  Disable SSLv2 access by default:
SSLProtocol all -SSLv2
 
#   SSL Cipher Suite:
# List the ciphers that the client is permitted to negotiate.
# See the mod_ssl documentation for a complete list.
SSLCipherSuite ALL:!ADH:!EXPORT:!SSLv2:RC4+RSA:+HIGH:+MEDIUM:+LOW
 
#   Server Certificate:
# Point SSLCertificateFile at a PEM encoded certificate.  If
# the certificate is encrypted, then you will be prompted for a
# pass phrase.  Note that a kill -HUP will prompt again.  A new
# certificate can be generated using the genkey(1) command.
#SSLCertificateFile /etc/pki/tls/certs/localhost.crt
SSLCertificateFile /etc/httpd/conf/ssl.crt/server.crt
 
#   Server Private Key:
#   If the key is not combined with the certificate, use this
#   directive to point at the key file.  Keep in mind that if
#   you've both a RSA and a DSA private key you can configure
#   both in parallel (to also allow the use of DSA ciphers, etc.)
#SSLCertificateKeyFile /etc/pki/tls/private/localhost.key
SSLCertificateKeyFile /etc/httpd/conf/ssl.key/monsiteweb.key
 
#   Server Certificate Chain:
#   Point SSLCertificateChainFile at a file containing the
#   concatenation of PEM encoded CA certificates which form the
#   certificate chain for the server certificate. Alternatively
#   the referenced file can be the same as SSLCertificateFile
#   when the CA certificates are directly appended to the server
#   certificate for convinience.
#SSLCertificateChainFile /etc/pki/tls/certs/server-chain.crt
 
#   Certificate Authority (CA):
#   Set the CA certificate verification path where to find CA
#   certificates for client authentication or alternatively one
#   huge file containing all of them (file must be PEM encoded)
#SSLCACertificateFile /etc/pki/tls/certs/ca-bundle.crt
SSLCACertificateFile /etc/httpd/conf/ssl.crt/intermediate.crt
 
#   Client Authentication (Type):
#   Client certificate verification type and depth.  Types are
#   none, optional, require and optional_no_ca.  Depth is a
#   number which specifies how deeply to verify the certificate
#   issuer chain before deciding the certificate is not valid.
#SSLVerifyClient require
#SSLVerifyDepth  10
 
#   Access Control:
#   With SSLRequire you can do per-directory access control based
#   on arbitrary complex boolean expressions containing server
#   variable checks and other lookup directives.  The syntax is a
#   mixture between C and Perl.  See the mod_ssl documentation
#   for more details.
#<Location />
#SSLRequire (    %{SSL_CIPHER} !~ m/^(EXP|NULL)/ \
#            and %{SSL_CLIENT_S_DN_O} eq "Snake Oil, Ltd." \
#            and %{SSL_CLIENT_S_DN_OU} in {"Staff", "CA", "Dev"} \
#            and %{TIME_WDAY} >= 1 and %{TIME_WDAY} <= 5 \
#            and %{TIME_HOUR} >= 8 and %{TIME_HOUR} <= 20       ) \
#           or %{REMOTE_ADDR} =~ m/^192\.76\.162\.[0-9]+$/
#</Location>
 
#   SSL Engine Options:
#   Set various options for the SSL engine.
#   o FakeBasicAuth:
#     Translate the client X.509 into a Basic Authorisation.  This means that
#     the standard Auth/DBMAuth methods can be used for access control.  The
#     user name is the `one line' version of the client's X.509 certificate.
#     Note that no password is obtained from the user. Every entry in the user
#     file needs this password: `xxj31ZMTZzkVA'.
#   o ExportCertData:
#     This exports two additional environment variables: SSL_CLIENT_CERT and
#     SSL_SERVER_CERT. These contain the PEM-encoded certificates of the
#     server (always existing) and the client (only existing when client
#     authentication is used). This can be used to import the certificates
#     into CGI scripts.
#   o StdEnvVars:
#     This exports the standard SSL/TLS related `SSL_*' environment variables.
#     Per default this exportation is switched off for performance reasons,
#     because the extraction step is an expensive operation and is usually
#     useless for serving static content. So one usually enables the
#     exportation for CGI and SSI requests only.
#   o StrictRequire:
#     This denies access when "SSLRequireSSL" or "SSLRequire" applied even
#     under a "Satisfy any" situation, i.e. when it applies access is denied
#     and no other module can change it.
#   o OptRenegotiate:
#     This enables optimized SSL connection renegotiation handling when SSL
#     directives are used in per-directory context. 
#SSLOptions +FakeBasicAuth +ExportCertData +StrictRequire
<Files ~ "\.(cgi|shtml|phtml|php3?)$">
    SSLOptions +StdEnvVars
</Files>
<Directory "/var/www/cgi-bin">
    SSLOptions +StdEnvVars
</Directory>
 
#   SSL Protocol Adjustments:
#   The safe and default but still SSL/TLS standard compliant shutdown
#   approach is that mod_ssl sends the close notify alert but doesn't wait for
#   the close notify alert from client. When you need a different shutdown
#   approach you can use one of the following variables:
#   o ssl-unclean-shutdown:
#     This forces an unclean shutdown when the connection is closed, i.e. no
#     SSL close notify alert is send or allowed to received.  This violates
#     the SSL/TLS standard but is needed for some brain-dead browsers. Use
#     this when you receive I/O errors because of the standard approach where
#     mod_ssl sends the close notify alert.
#   o ssl-accurate-shutdown:
#     This forces an accurate shutdown when the connection is closed, i.e. a
#     SSL close notify alert is send and mod_ssl waits for the close notify
#     alert of the client. This is 100% SSL/TLS standard compliant, but in
#     practice often causes hanging connections with brain-dead browsers. Use
#     this only for browsers where you know that their SSL implementation
#     works correctly. 
#   Notice: Most problems of broken clients are also related to the HTTP
#   keep-alive facility, so you usually additionally want to disable
#   keep-alive for those clients, too. Use variable "nokeepalive" for this.
#   Similarly, one has to force some clients to use HTTP/1.0 to workaround
#   their broken HTTP/1.1 implementation. Use variables "downgrade-1.0" and
#   "force-response-1.0" for this.
SetEnvIf User-Agent ".*MSIE.*" \
         nokeepalive ssl-unclean-shutdown \
         downgrade-1.0 force-response-1.0
 
#   Per-Server Logging:
#   The home of a custom SSL log file. Use this when you want a
#   compact non-error SSL logfile on a virtual host basis.
CustomLog logs/ssl_request_log \
          "%t %h %{SSL_PROTOCOL}x %{SSL_CIPHER}x \"%r\" %b"
 
</VirtualHost>

Le contenu du fichier intermediate.crt , je l'ai récupéré sur le site du support de verisign

16/06/2009, 11h48
_Mac_

Y a quoi dans ce fichier /etc/httpd/conf/ssl.crt/intermediate.crt ? Tu as récupéré ce fichier comment ?

Voir 40 message(s) de cette discussion en une page