Elementi di Sicurezza e Privatezza Laboratorio 4. Chiara Braghin. Caso di studio: Apache Web Server

Transcript

1 Elementi di Sicurezza e Privatezza Laboratorio 4 Chiara Braghin Caso di studio: Apache Web Server 1

2 References Pagina web di Apache Pagina relativa al modulo di autenticazione Articoli interessanti su Apache 2 Apache - Caratteristiche (1) Ha una struttura modulare per una più semplice ed efficace gestione I moduli possono venire rimossi o rimpiazziati, si possono aggiungere nuovi moduli L architettura modulare permette a chiunque di aggiungere nuove funzionalità al server 3 2

3 Apache - Caratteristiche (2) Ci sono alcuni moduli standard inclusi nella distribuzione, altri sono scritti da sviluppatori esterni e non sono garantiti mod_access (dalla versione 2.1 mod_authz_host) mod_auth (dalla versione 2.1 mod_auth_basic e mod_auth_digest) 4 Controllo degli Accessi (1) Il WS Apache è configurato inserendo delle direttive (o regole) nei file di configurazione che sono file di testo Il file di configurazione principale è httpd.conf (apache2.conf) La locazione del file è stabilita a tempo di compilazione, dipende dalla distribuzione Si possono aggiungere altri file di configurazione usando la direttiva Include File incluso per default: /etc/apache2/sites-available/default 5 3

4 Controllo degli Accessi (2) Il WS permette una gestione distribuita e decentralizzata della configuazione mediante l uso di file speciali inseriti nel Web tree Di solito i file speciali sono chiamati.htaccess, ma usando la direttiva AccessFileName si può indicare un nome diverso Le direttive nel file.htaccess si applicano alla directory in cui viene messo il file, e alle sottodirectory 6 Controllo degli Accessi (3) NB1: il file.htaccess viene letto ad ogni richiesta quindi le modifiche hanno effetto immediato NB2: il file segue la stessa sintassi degli altri file di configurazione NB3: bisogna comunicare al server che deve cercare gli eventuali file.htaccess AllowOverride All 7 4

5 Controllo degli Accessi (4) Le direttive per il controllo degli accessi possono essere: Host-based: le regole vengono definite in base all indirizzo IP, al nome di dominio o al valore di una variabile d ambiente del richiedente User-based: regole definite in base all identità dell utente (richiedono autenticazione) 8 Direttive Principali Allow (= permetti) determina chi può accedere ad una risorsa Deny (= nega) determina a chi è negato lʼaccesso ad una risorsa Order stabilisce lʼordine di valutazione delle direttive allow e deny 9 5

6 Allow Sintassi: Allow from hosts env=variabile Dove: hosts = host 1 host 2 host 3 (lista di host) Host i = all nome di dominio completo ( mioserver.miodominio.it ) nome di dominio parziale ( miodominio.it o.org ) indirizzo IP completo ( ) pattern IP ( ) rete/maschera ( / ) variabile = variabile di ambiente basata sullʼheader HTTP BrowserMatch MSIE ms_browser SetEnvIf Referer www\.miosito\.it internal_pg 10 Deny Sintassi: Deny from hosts Dove: hosts = host 1 host 2 host 3 (lista di host) Host i = all nome di dominio completo ( mioserver.miodominio.it ) nome di dominio parziale ( miodominio.it o.org ) indirizzo IP completo ( ) pattern IP ( ) rete/maschera ( / ) variabile = variabile di ambiente basata sullʼheader HTTP 11 6

7 Order Sintassi: Order tipo_ordine Dove: tipo_ordine = Deny,Allow: deny viene valutata prima di allow, lʼaccesso è permesso di default (politica aperta) Allow,Deny: allow viene valutata prima di deny, lʼaccesso è negato di default (politica chiusa) Mutual-failure: solo gli host della lista di allow che non compaiono in deny hanno il permesso di accedere 12 Esempi Allow from all Allow from miodominio.it Allow from.org altrodominio.biz Allow from Uso di variabili 1: BrowserMatch MSIE ms_browser Allow from env=ms_browser Uso di variabili 2: SetEnvIf Referer www\.miosito\.it internal_pg Allow from env=internal_pg Uso di Order: Order Deny/Allow Deny from all Allow from dominiofidato.it 13 7

8 Granularità delle regole di accesso (1) Se le direttive si trovano nel file.htaccess c è già un indicazione dello scope Altrimenti, altre direttive: Directory: le direttive si applicano alla directory indicata e alle sue sottodirectory Files: le direttive influenzano tutti i file corrispondenti al nome indicato Location: si riferisce allo spazio Web Limit: restringe l uso dei metodi HTTP 14 Granularità delle regole di accesso (2) Sintassi: <Directory /web > direttive principali </Directory> <Files index.html> direttive principali </Files> <Location /prova> direttive principali </Location> <Limit POST PUT> direttive principali </Limit> 15 8

9 Granularità delle regole di accesso (3) 16 Granularità delle regole di accesso (4) 17 9

10 Granularità delle regole di accesso (5) 18 Esempi (1) 1: <Directory /dir_controllata> Order Allow,Deny </Directory> 2: <Directory /miosito/dir_controllata> Order Allow,Deny Allow from dominiofidato.it Deny from escluso.dominiofidato.it </Directory> 19 10

11 Esempi (2) 3: <Limit POST PUT> Order Deny,Allow Deny from all Allow from dominiofidato.it </Limit> 4: <Files nonsitocca.html> Order allow,deny Deny from all </Files> 20 Apache e Ubuntu (1) Il Web Server Apache2 è disponibile per Ubuntu Linux. Per installare Apache2: Da linea di comando inserire il seguente comando (a meno che non si sia già root): sudo apt-get install apache2 Il file di configurazione principale (apache2.conf) si trova in: /etc/apache2/apache2.conf 21 11

12 Apache e Ubuntu (2) Document root (del Web docs tree) /var/www Come far partire il server? ps aux per vedere se è già in esecuzione sudo /etc/init.d/apache2 start sudo /etc/init.d/apache2 restart Come vedere le pagine? Apache e Ubuntu (3) Quale versione di Apache? apache2 -v chiara@ubuntu:/etc/apache2$ apache2 -v Server version: Apache/ (Ubuntu) Server built: Feb :34:09 Quali librerie già installate? apache2 -l chiara@ubuntu:/etc/apache2$ apache2 -l Compiled in modules: core.c mod_log_config.c mod_logio.c worker.c http_core.c mod_so.c 23 12

13 Assignment 3 Da consegnare entro giovedì 2 giugno 2011 Esercizi da NON consegnare Usando il file di configurazione principale e file.htpaccess separati: 1. Creare 2 directory, imgs e docs, nella root directory di Apache. Dentro imgs mettere alcuni file jpeg e un file file.html, in docs mettere solo alcuni file html 2. Fare in modo che nella directory imgs sia possibile visualizzare solo i file jpeg 3. Aggiungere una direttiva in modo che il file specifico file.html inserito nella directory imgs sia visibile 4. Fare in modo che i file in docs siano visibili solo a richieste che provengono dal vostro indirizzo IP (ottenuto usando ifconfig) 25 13

14 Esercizi DA CONSEGNARE 1. Nella direttiva <Directory> si deve usare il path assoluto o quello relativo? Giustificare la risposta. 2. Cercare nel user manual a cosa serva la parola chiave Indexes. Mostrare un esempio di come utilizzarla. 3. Quali sono i permessi minimi che si devono dare ad un file e ad una directory nel Web tree per fare in modo che vengano letti? 26 14