sshd (secure shell daemon) sshd (secure shell daemon) sshd (secure shell daemon) sshd (secure shell daemon)

Transcript

1 sshd (secure shell daemon) ssh consente l'accesso ad una shell su di una macchina remota. I dati trasmessi sono cifrati, e per questo si può considerare l'evoluzione del servizio telnet, sempre meno utilizzato. OpenSSH: implementazione libera, molto simile all'originale ssh. Configurazione del client e del server: nella cartella (globali) ed in (personali). permette di generare le chiavi. È possibile utilizzarlo in abbinamento a Kerberos. sshd (secure shell daemon) Autenticazione con passphrase Bisogna aggiungere, nel proprio file, la propria chiave pubblica. In questo modo, verrà richiesto all'utente l'inserimento della passphrase associata alla chiave (impostata durante la sua creazione). Autenticazione con password ( normale ) Bisogna aggiungere la chiave pubblica del server in. Attenzione ai cambiamenti di questa chiave (il client ssh rifiuta il collegamento, bisogna controllare se aggiornamento normale o tentativo fraudolento). sshd (secure shell daemon) sshd: configurazione in. Tra le molte opzioni: / configurazione dei log abilita disabilita compressione dei dati trasmessi (gzip) conviene impostarlo a no : per accedere al sistema come root, si utilizza un utente non privilegiato, abilitato però a richiamare su. e abilita/disabilita autenticazione rispettivamente tramite password e tramite chiavi pubbliche (passphrase) sshd (secure shell daemon) X11, il protocollo per l'interfaccia grafica, è un vero e proprio protocollo client/server di rete, attivo normalmente sulla porta Per evitare di aprire all'esterno questa porta, è possibile incapsulare i pacchetti X11 all'interno di un tunnel ssh. Lato server, bisogna impostare questa opzione a yes. configura un sottosistema esterno. Normalmente usato per sftp, protocollo di trasferimento file su ssh: Impostando come shell di un utente, questi potrà collegarsi esclusivamente tramite sftp, senza accesso ad una vera shell locale.,

2 sshd (secure shell daemon) Se presente, l'accesso è riservato esclusivamente agli utenti specificati. Possono essere utilizzati caratteri jolly (* e?). Si può utilizzare la forma Analogamente sono definibili, e. limita l'accesso alle macchine delle sottoreti / e / consente l'accesso a tizio da qualsiasi macchina. consente l'accesso a tizio esclusivamente da www ssh: client Configurazione in. Molte opzioni hanno lo stesso significato di quelle presenti in sshd_config. : l'utente predefinito con cui collegarsi alla macchina remota. oppure Alcune opzioni: :opzioni nel formato del file di configurazione : abilita X11Forwarding (i dati del protocollo X vengono incapsulati nella connessione ssh) ssh: client copia di file cifrata tra host differenti. Attenzione ai : copia ricorsiva Esempio copia prova.txt nella cartella html di tizio sul computer reliant copia la cartella esempi nell'account di caio sul computer ds9 : client ftp minimale (parametri simili) consiglio: utilizzare client avanzati (yafc, konqueror/fish) screen Utile per amministrazione remota. Consente di: avviare sessioni di lavoro (terminale) multiple, passando da una all'altra; effettuare il distacco ( detach ) di sessioni di lavoro e di riprenderle da un terminale differente (un'altra connessione). Caso d'uso tipico: accesso in ssh ad una macchina. Senza screen, per lanciare contemporaneamente più processi interattivi bisogna avviare più sessioni remote; con screen, si può avviare una sola sessione remota tramite ssh e successivamente utilizzare i terminali multipli messi a disposizione da screen.

3 screen Inoltre, è utile nel caso di connessioni dialup soggette a frequente caduta. utilizzando i terminali multipli messi a disposizione da screen è possibile recuperare in un secondo momento la sessione altrimenti persa per la caduta della connessione. I comandi per la gestione delle sessioni vanno preceduti dalla combinazione C-a (Control-a). C-a n : attiva una nuova sessione di terminale (finestra) C-a w : lista delle finestre attive (nell'ultima riga) C-a C-a : passa alternativamente alla finestra precedente e a quella successiva; screen Altri comandi: C-a SPAZIO: passa alla successiva finestra. C-a 0,..., C-a 9: passa direttamente alla finestra specificata. C-a d: detach, provvede a sganciare la finestra corrente dalla sessione di terminale. C-a l: lock, avvia il programma di lock modo testo blocca tutte le sessioni di terminale controllate da screen Per riagganciare una sessione: ci sono altre opzioni per consentire di scegliere quando sono presenti più sessioni attive di screen. apache Il server web attualmente più diffuso. adottato da oltre il 60% dei siti web (fonte: netcraft.net) multipiattaforma: la versione 2 ha un nuova architettura multithread e con un nuovo runtime portabile, per sfruttare al meglio ogni piattaforma (in precedenza sviluppo principalmente per Unix). Permette di caricare moduli aggiuntivi a runtime, che provvedono differenti funzionalità: interpreti per linguaggi di scripting (mod_perl, mod_php,...) ecc ecc ecc (mod_auth, mod_alias, mod_userdir, mod_ssl, mod_frontpage,...) apache: configurazione Configurazione: httpd.conf Permette di includere file di configurazione esterni tramite alla direttiva. Direttive opzionali: racchiuse tra Le direttive legate a moduli aggiuntivi (non facenti parte del core di apache) sono racchiuse tra:

4 apache: configurazione Direttive di base: avvia il server in modalità standalone oppure in modalità atta a funzionare con inetd (va modificato il relativo file di conf). : il nome del server (deve essere un nome valido, risolvibile dal DNS)., : rispettivamente la porta primaria in cui resta in ascolto ed eventuali porte aggiuntive., : specificano rispettivamente l'utente ed il gruppo con i permessi dei quali gira apache (normalmente nobody.nobody, o www-data.www-data),, il percorso dei file di log (rispettivamente per gli accessi e gli errori). apache: configurazione : la cartella iniziale dei documenti html (ovvero la cartella corrispondente alla radice del sito : permette di definire degli alias cartelle virtuali: ogni riferimento all'alias viene trasformato in un accesso alla vera cartella. Utile ad esempio per la sicurezza. Motivi di sicurezza : analogo, per le directory contenenti script CGI. CGI: programmi che generano come output una pagina html, e prendono in input le variabili passate via form. apache:configurazione : se viene richiamata una cartella (via browser), il server cerca e visualizza i file presenti nella cartella. questa direttiva è relativa al modulo mod_dir.c: : relativa al modulo userdir, specifica quale cartella va considerata la cartella personale degli utenti. accessibile tramite : consente di caricare moduli aggiuntivi. apache: opzioni per le cartelle Direttive contenitore: Directory Ogni blocco raccoglie le opzioni specifiche per la cartella indicate (e relative sottocartelle). Le opzioni specificate per sottocartelle di norma sovrascrivono quelle impostate per le cartelle di livello Tra le opzioni disponibili:, impostazioni per l'accesso,,.

5 apache Option: parametri (None: nessuno, All: tutti). Indexes: visualizza il contenuto della cartella. FollowSymLinks: segue i link simbolici. SymLinksIfOwnerMatch: segue i link simbolici, se il proprietario coincide possibili problemi di sicurezza, può uscire dal filesystem ingabbiato. ExecCGI: la cartella contiene script CGI che e' possibile eseguire. Se le opzioni vengono precedute da + o -, vengono rispettivamente aggiunte o tolte da quelle impostate per le cartelle di livello superiore. apache : indica l'ordine con cui vengono considerate le direttive e. : prima allow, poi deny e : sintassi simile, semantica speculare. nodi possono essere nomi di dominio, suffissi/prefissi di nomi di dominio, indirizzi ip con netmask. AllowOverride: quali parametri possono essere ridefiniti dagli utenti tramite un file.htaccess (da inserire nella propria cartelle).,,,,... apache: virtual hosts IP-based virtual hosts: ad ogni sito ospitato sul server corrisponde un differente indirizzo IP. Name-based virtual hosts: più siti risiedono sullo stesso IP. Apache discrimina in base al nome Name-based: Parametro : l'indirizzo che resta in ascolto delle richieste. Può essere * per indicare tutti. apache: name-based virtual hosts Definizione dei virtual hosts: sezioni ip deve coincidere con quello specificato in NameVirtualHost (quindi anche *). Sicuramente, vanno ridefinite ServerName e DocumentRoot. Si possono definire opzioni personalizzate (CustomLog, ErrorLog, ServerAdmin,...)

6 apache: name-based virtual hosts Posta elettronica: struttura Quattro componenti: mail user agent (MUA): consente agli utenti di leggere e comporre . client di posta: mail, mutt, pine (a linea di comando) thunderbird, kmail, evolution, (grafici),... non rientra nella gestione amministrativa, anche se alcuni servizi comunicano con l'amministratore tramite le caselle di posta locali (cron,...). mail transport agent (MTA): si occupa dello scambio dei messaggi di posta tra le macchine. il postino che preleva la posta dalla cassetta e la fa giungere fino alla centrale di posta dove è presente la casella postale dell'utente, utilizzando il protocollo SMTP. Questa è la parte del sistema di posta normalmente identificata come server di posta. Posta elettronica: struttura delivery agent: si occupa di smistare la posta alle caselle degli utenti. dalla centrale, dove l'ha lasciata il MTA, fino alle caselle postali dei singoli utenti. in origine, semplicemente la shell, normalmente integrato con i server di posta. procmail: preprocessa la posta, può integrare filtri. access agent: consente all'utente di prelevare i propri messaggi dal server, normalmente tramite il MUA. In origine non obbligatorio: utenti avevano l'accesso alla macchina contenente le proprie caselle di posta (diretto, telnet,...), utilizzando quindi client testuali (mail, elm, mutt, pine) Esempi: POP3, imap. MTA: sendmail, qmail sendmail il più utilizzato, ha una lunga storia. Sistema monolitico. Configurazione: utilizza un linguaggio di macro (m4) qmail i file di configurazione vanno processati per generare il vero file utilizzati da sendmail. robusto, pochissimi bug rilevati (c'è un premio per chi trova bug). sviluppato con particolare attenzione ai problemi di sicurezza.

7 MTA: postfix Come qmail, appartiene alla nuova generazione: sistemi sviluppati con attenzione alla sicurezza. In generale, postfix offre un'ottima compatibilità con sendmail (i programmi esterni lo vedono a tutti gli effetti come sendmail, mette a disposizione Si compone di vari moduli, slegati il più possibile l'uno dall'altro, ognuno con compiti ben precisi. I moduli comunicano tra loro tramite socket unix o code fifo. daemon master si occupa dell'avvio degli altri demoni MTA: postfix Schema di funzionamento riportato unicamente per far notare la complessità: main.cf : corrisponde a sendmail.cf (il file di configurazione di sendmail). Opzioni del tipo: nome = valori Alcune opzioni il nome della macchina (qualificato: con l'indicazione del dominio) normalmente ricavabile da myhostname, rimuovendo il nome della macchina. Potrebbe essere necessario modificarlo manualmente. main.cf l'elenco delle reti a cui è connessa la macchina, loopback compreso, ad es: mynetworks = / /8 il dominio da utilizzare per la posta in uscita. Ad esempio, la macchina che consente di spedire la posta per un dominio deve consegnarla a nome del dominio, non a proprio nome; mbox.dmi.unict.it deve spedire la posta come dmi.unict.it (masquerading). in questo caso,

8 main.cf i domini per cui si accetta la posta in arrivo. imposta l'elenco delle categorie di problemi che vanno segnalati alla casella del postmaster (il gestore del sistema di posta). ad es: delay (messaggio ritardato), buonce, 2buonce (il messaggio torna indietro), policy, protocol (problemi in smtp), resource (relativi alle risorse del sistema operativo, come filesystem pieni, ecc), software (errori interni). e : il percorso dei file di alias. Ad es: alias (posta) Le mail indirizzate ad un alias vengono in realtà re-indirizzate all'utente/utenti specificato. Definibili dai vari MTA, tramite un opportuno file di configurazione. Normalmente (o o ) Per motivi di efficenza, questo file non viene utilizzato direttamente dal MTA. si rigenera una mappa hash binaria (di solito aliases.db, posizionato nella stessa cartella del file degli alias), tramite il comando. alias (posta) Formato del file degli alias: Normalmente deve essere definito l'alias postmaster, l'amministratore del sistema di posta. Ogni destinatario può essere un utente della macchina locale, un indirizzo di posta (un utente su una macchina remota); una file contenente un elenco di indirizzi, tramite la direttiva alias (posta) un file, a cui i messaggi devono essere aggiunti utile per creare un archivio storico dei messaggi: oppure per ignorare vecchie caselle ora disattivate: un comando, il cui input (stdin) sarà costituito dai messaggi arrivati. questo meccanismo consente di passare far preprocessare la posta in arrivo a dei filtri, come procmail indicato precedentemente. può introdurre problemi di sicurezza... Si utilizza il carattere :

9 utility postconf permette di modificare e visualizzare le impostazioni di postfix. postalias -> newaliases equivalente a newaliases, rigenera le hash degli alias. postsuper manutenzione della coda dei messaggi (ad es. postsuper -d CODICE rimuove il messaggio avente il CODICE specificato).