Seminario WebServer. Contenuti. Come funziona la navigazione web. Struttura Client/Server. WebServer: Apache e IIS

Transcript

1 Seminario WebServer Contenuti Come funziona la navigazione web Struttura Client/Server WebServer: Apache e IIS Hardware: i requisiti per un webserver DNS: Domain Name System Il Protocollo HTTP Script lato client e lato server Sicurezza sui server HTTP

2 Come funziona la navigazione web: struttura client-server La navigazione web, si basa sull'architettura client-server. Un'applicazione client-server (letteralmente cliente-servitore) è un tipo di applicazione di rete nel quale un computer client istanzia l'interfaccia utente di un'applicazione connettendosi ad una server application o ad un sistema di database. Più semplicemente, i sistemi client-server sono un'evoluzione dei sistemi basati sulla condivisione semplice delle risorse. La presenza di un server permette ad un certo numero di client di condividerne le risorse, lasciando che sia il server a gestire gli accessi alle risorse per evitare conflitti tipici dei primi sistemi informatici. Il software client in genere è di limitata complessità, limitandosi normalmente ad operare come interfaccia verso il server. In generale nel campo informatico il termine client indica una componente che accede ai servizi o alle risorse di un'altra componente, detta server. In questo contesto si può quindi parlare di client riferendosi all'hardware o al software. Un computer collegato ad un server tramite rete locale o geografica, ed al quale richiede uno o più servizi, utilizzando uno o più protocolli di rete è un esempio di client hardware. Un programma di posta elettronica è un esempio di client software. Sono sempre di più i software, come il web, l' , i database, che sono divisi in una parte client (residente ed in esecuzione sul pc client) ed una parte server (residente ed in esecuzione sul server). Il termine client indica anche il software usato sul computer client per accedere alle funzionalità offerte dal server. Nel web il software client è il browser, e parla con un server web attraverso il protocollo HTTP; per l' il client è detto in gergo mail user agent o MUA (ad esempio, Outlook, Mozilla Thunderbird, Eudora,...), e parla con il server attraverso i protocollo SMTP e POP o IMAP; il client per la consultazione o la modifica del database (spesso costituito da librerie software utilizzate da una applicazione) parla con il DBMS, che gestisce il database e risponde alle interrogazioni del client. Il software server, oltre alla gestione logica del sistema, deve implementare tutte le tecniche di gestione degli accessi, allocazione e rilascio delle risorse, condivisione e sicurezza dei dati o delle risorse. Ad esempio un server di posta elettronica è paragonabile ad un qualunque ufficio postale. Gli utilizzatori per accedere via client alla loro cassetta di posta elettronica devono essere stati autorizzati. In modo analogo un utente deve possedere la chiave della cassetta sita presso un ufficio postale dalla quale vuole prelevare la corrispondenza. Un particolare client (web) è detto User Agent ed è il software in grado di inoltrare richieste via internet (e quindi di navigare sul web). Può essere un Browser (Mozilla Firefox, Safari, Internet Explorer) ma non solo: crawler, telefoni cellulari, aggregatori di RSS, client di webservices. I WebServer: connotazione hardware e software I server web (anche detti server HTTP) sono programmi che consentono di distribuire i

3 contenuti ai WebAgent. I WebServer accettano richieste dai browser e rispondono inviando il risultato della richiesta, che sarà in seguito visibile sul client. Normalmente un web server risiede su sistemi dedicati ma può essere eseguito su computer ove risiedano altri server o che vengano utilizzati anche per altri scopi. Per esempio si può installare un web server su un normale personal computer allo scopo di provare il proprio sito web. L'insieme di webserver presenti su Internet forma il World Wide Web (WWW), uno dei servizi più sfruttati della Grande Rete. Esistono oggi sul mercato circa 30 server HTTP per diverse piattaforme ed esigenze. Apache è il nome dato alla piattaforma server Web più diffusa (ma anche al gruppo di lavoro open source che ha creato, sviluppato e aggiornato il software server), in grado di operare su diversi sistemi operativi (ad es. UNIX-Linux e Microsoft). Apache è un software che realizza le funzioni di trasporto delle informazioni, di internetwork e di collegamento, ha il vantaggio di offrire anche funzioni di controllo per la sicurezza come quelli che compie il proxy. Operativamente, è composto da un demone, in ambiente UNIX, o da un servizio, in ambiente Microsoft, che sulla base delle impostazioni contenute nel file di configurazione httpd.conf permette l'accesso a un o più siti, gestendo varie caratteristiche di sicurezza e potendo ospitare diverse estensioni per pagine attive (o dinamiche), come PHP o Jakarta/Tomcat. Apache è un server HTTP opensource. La prima versione, è stata sviluppata nel In breve tempo, è diventato il server web più popolare al mondo per la sua elevata scalabilità e flessibilità, le eccellenti performance e la gratuità. Circa il 70% dei server web utilizzano Apache. Microsoft Internet Information Services, è un complesso di servizi server Internet per sistemi operativi Microsoft Windows. La versione corrente, integrata in Windows 2003, è la 6.0 ed include i servizi server per i protocolli FTP, SMTP, NNTP e HTTP/HTTPS. Si tratta di un web server strettamente integrato con il sistema operativo e quindi facile da amministrare. Per IIS negli anni passati sono stati segnalati numerosi security exploit, la gran parte dei quali pericolosi se non vengono applicati filtri adeguati alle applicazioni ISAPI. Microsoft, dalla versione distribuita con Windows Server 2003 ha disabilitato per default il supporto ad estensioni non utilizzate, rendendolo, di fatto, più sicuro nella configurazione standard. Microsoft, inoltre, ha modificato gli account sui cui viene eseguito il server. Nelle versioni precendenti la 6.0 tutte le operazioni venivano eseguite con le credenziali di amministrazione, permettendo agli exploit di ottenere il pieno controllo del sistema. Dalla versione 6.0 l'account è diventato un account di rete, con privilegi più limitati e quindi meno pericoloso. Dopo circa 3 anni sul mercato, IIS 6 può vantare, rispetto ai Web Server concorrenti, solo 3 bug di sicurezza noti. IIS incluso in Windows Vista - è ancora più sicuro anche grazie al fatto che è un server web modulare, composto da un server di base leggero a cui è possibile aggiungere più di 40 moduli funzionali che possono essere connessi al server di base. Tale aggiunta avviene in base a delle precise necessità del sistemista e pertanto espone il server a rischi

4 minori. Rispetto ad altri web server ha lo svantaggio di girare solo su una piattaforma, ma detiene comunque circa il 23% del mercato. Abbiamo quindi inteso, che il WebServer è un software svincolato dall'hardware su cui è in esecuzione. Quali sono i requisiti hardware per far funzionare con profitto un software WebServer? Non c'è risposta univoca a questa domanda. Dipende da: Tipologia di servizi offerti Numero di client da servire Tipologia di script lato server Eventuali altre operazioni accessorie Eventuali altri server in esecuzione sullo stesso sistema. I requisiti fondamentali riguardano principalmente la connettività, con un particolare accento alla larghezza di banda. Più abbiamo disponibilità di banda in uscita è più client potranno essere connessi contemporaneamente al nostro webserver, e accedere ai relativi servizi. E' necessario considerare anche la potenza di calcolo dell'elaboratore. Elevata potenza di calcolo, permette una maggiore stabilità dei software in esecuzione, e permette di servire un numero maggiore di client connessi contemporaneamente. Nonostante ciò, un webserver può funzionare efficacemente installato sul nostro personal computer casalingo, anche se dotato di limitate risorse. URL Un Uniform Resource Locator o URL è una sequenza di caratteri che identifica univocamente l'indirizzo di una risorsa in Internet, come una pagina, un documento o un'immagine. La forma generale dell URL è la seguente protocollo://server[:porta]/[path/][file] Ad es. In questo esempio, si chiede di utilizzare il protocollo HTTP per reperire sul server web il cui nome è it.wikipedia.org e che risponde alla porta 80 il file Uniform_Resource_Locator.html che sta nella directory wiki. Ad ogni URL è associato uno e un solo indirizzo IP (ma non vale il contrario: ad un indirizzo Ip possono essere associati più URL). L'indirizzo IP è il numero che identifica una

5 pagina, file, programma o altra risorsa in Internet, e l'url è l'equivalente nome testuale, più parlante. Nelle pagine dinamiche (sviluppate con linguaggi quali PHP, ASP, ecc.), gli URL possono anche contenere una Query string, preceduta dal carattere '?' (e intervallata dal carattere '&' quando ne è presente più di una), che serve per trasmettere informazioni alla pagina seguente, ad esempio La parte successiva al segno "?", la query-string non è letta ed eseguita dal browser. Se l'indirizzo richiama un'applicazione installata sul server, è passata a questo programma. Se l'indirizzo punta a un file presente sul server, la stringa non modifica la pagina che si presenterà all'utente. Può contenere delle informazioni comunque utili e che sono memorizzate sul server, come un identificativo dell'utente, usato in alternativa ai cookies. Se alla fine dell'url si trova il segno "@", il browser esegue quello che è scritto dopo tale simbolo. Ad esempio: "it.wikipedia.org@ apre il sito di Google. DNS Domain Name System (spesso indicato con DNS) è un servizio utilizzato per la risoluzione di nomi di host in indirizzi IP e viceversa. Un sistema con cui I nomi di Dominio ( vengono tradotti in indirizzi IP ( ). Il servizio è realizzato tramite un database distribuito, costituito dai server DNS. Il nome DNS denota anche il protocollo che regola il funzionamento del servizio, i programmi che lo implementano, i server su cui questi girano, l'insieme di questi server che cooperano per fornire il servizio. I nomi DNS, o "nomi di domino", sono una delle caratteristiche più visibili di Internet. Motivazioni ed utilizzi: La possibilità di attribuire un nome testuale facile da memorizzare a un server (ad esempio un sito world wide web) migliora di molto l'uso del servizio, in quanto gli esseri umani trovano più facile ricordare nomi testuali (mentre gli host e i router sono raggiungibili utilizzando gli indirizzi IP numerici). Per questo, il DNS è fondamentale per l'ampia diffusione di internet anche tra utenti non tecnici, ed è una delle sue caratteristiche più visibili. È possibile attribuire più nomi allo stesso indirizzo IP (o viceversa) per rappresentare diversi servizi o funzioni forniti da uno stesso host (o più host che erogano lo stesso servizio. Questa flessibilità risulta utile in molti casi: Nel caso il server debba sostituire il server che ospita un servizio, o si debba modificare il suo indirizzo IP, è sufficiente modificare il record DNS, senza dover intervenire sui client. Un utilizzo molto popolare di questa possibilità è il cosiddetto virtual hosting basato sui nomi, una tecnica per cui un web server dotato di una singola interfaccia di rete e di singolo indirizzo IP può ospitare più siti web, usando l'indirizzo alfanumerico

6 trasmesso nell'header HTTP per identificare il sito per cui viene fatta la richiesta. Utilizzando nomi diversi per riferirsi ai diversi servizi erogati da un host, è possibile spostare una parte dei servizi su un altro host, e spostare i client su questo nuovo host modificando il suo record nel DNS. Facendo corrispondere più indirizzi IP a un nome, il carico dei client viene distribuito su diversi server, ottenendo un aumento delle prestazioni complessive del servizio e una tolleranza ai guasti (ma è necessario assicurarsi che i diversi server siano sempre allineati, ovvero offrano esattamente lo stesso servizio ai client). La risoluzione inversa è utile per identificare l'identità di un host, o per leggere il risultato di un traceroute. Il DNS viene usato da numerose tecnologie in modo poco visibile agli utenti, per organizzare le informazioni necessarie al funzionamento del servizio. Protocollo HTTP HTTP è l'acronimo di HyperText Transfer Protocol (protocollo di trasferimento di un ipertesto). Usato come principale sistema per la trasmissione di informazioni sul web. Le specifiche del protocollo sono attualmente in carica al W3C (World Wide Web Consortium) La prima versione, la 0.9, dell'http risale alla fine degli anni '80 del XX secolo e costituiva, insieme con l'html e gli URL, il nucleo base della World Wide Web WWW global information initiative" portata avanti da Tim Berners-Lee al CERN di Ginevra per la condivisione delle informazioni tra la comunità dei fisici delle alte energie. La prima versione effettivamente disponibile del protocollo, la HTTP/1.0, venne implementata dallo stesso Berners-Lee nel 1991 e proposta come RFC 1945 all'ente normatore IETF nel Con la diffusione di NCSA Mosaic, un browser grafico di facile uso, il WWW conobbe un successo crescente e divennero evidenti alcuni limiti della versione 1.0 del protocollo, in particolare: l'impossibilità di ospitare più siti www sullo stesso server (virtual host) il mancato riuso delle connessioni disponibili l'insufficienza dei meccanismi di sicurezza Il protocollo venne quindi esteso nella versione HTTP/1.1, presentato come RFC 2068 nel 1997 e successivamente aggiornato nel 1999 come descritto dal RFC 2616 HTTP differisce da altri protocolli (di livello 7) come FTP, per il fatto che le connessioni vengono generalmente chiuse una volta che una particolare richiesta (o una serie di richieste correlate) è stata soddisfatta. Questo comportamento rende il protocollo HTTP ideale per il World Wide Web, in cui le pagine molto spesso contengono dei collegamenti (link) a pagine ospitate da altri server. Talvolta però pone problemi agli sviluppatori di contenuti web, perché la natura senza stato (stateless) costringe ad utilizzare dei metodi alternativi per conservare lo stato dell'utente. Spesso questi metodi si basano sull'uso dei cookie. Tutte le comunicazioni tra client e server web avvengono mediate il protocollo HTTP (HyperText Transfer Protocol), che può essere definito come un insieme di regole per richiedere e fornire risorse Internet. Il protocollo HTTP definisce un metodo di interazione client-server ottimizzato per le connessioni brevi e veloci necessarie per le connessione tra client web e server web. Si

7 tratta di un protocollo generico, stateless e leggero. Generico, significa facilmente estensibile per comprendere servizi di vario tipo, non solo transazione ipertestuali. Stateless significa che, tra una connessione e l altra, il server non tiene nota della connessione precedente, e quindi tutte le connessioni sono trattate alla stessa maniera, come se si trattasse ogni volta di un nuovo client. Leggero, significa che il client si connette al server solo per il tempo strettamente necessario per trasmettere la risorsa, e quindi chiude la connessione. L'HTTP funziona su un meccanismo richiesta/risposta (client/server): il client esegue una richiesta ed il server restituisce la risposta. Nell'uso comune il client corrisponde al browser ed il server al sito web. Vi sono quindi due tipi di messaggi HTTP: messaggi richiesta e messaggi risposta. Il messaggio richiesta è composto di tre parti: Riga di richiesta (request line) Sezione Header (informazioni aggiuntive) Body (corpo del messaggio) Riga di richiesta La riga di richiesta è composta dal metodo, URI e versione del protocollo. Il metodo di richiesta, per la versione 1.1, può essere uno dei seguenti: GET POST HEAD PUT DELETE TRACE OPTIONS l'uri sta per Uniform Resource Identifier ed indica l'oggetto della richiesta (ad esempio la pagina web che si intende ottenere) I metodi HTTP più comuni sono GET, HEAD e POST. Il metodo GET è usato per ottenere il contenuto della risorsa indicata come URI (come può essere il contenuto di una pagina HTML). HEAD è analogo a GET, ma restituisce solo i campi dell'header, ad esempio per verificare la data di modifica del file. Una richiesta con metodo HEAD non prevede l'uso del body. Il metodo POST è usato di norma per inviare informazioni al server (ad esempio i dati di un form). In questo caso l'uri indica che cosa si sta inviando e il body ne indica il contenuto. Gli header di richiesta più comuni sono: Host: Nome del server a cui si riferisce l'uri. È obbligatorio nelle richieste conformi HTTP/1.1 perché permette l'uso dei virtual host basati sui nomi. User-Agent: Identificazione del tipo di client:

8 Messaggio di risposta Il messaggio di risposta è composto dalle seguenti tre parti: Riga di stato (status-line) Sezione header Body (contenuto della risposta) Riga di stato tipo browser, produttore, versione... La riga di stato riporta un codice a tre cifre catalogato nel seguente modo: 1xx: Informational (messaggi informativi) 2xx: Success (la richiesta è stata soddisfatta) 3xx: Redirection (non c'è risposta immediata, ma la richiesta è sensata e viene detto come ottenere la risposta) 4xx: Client error (la richiesta non può essere soddisfatta perché sbagliata) 5xx: Server error (la richiesta non può essere soddisfatta per un problema interno del server) Nel caso più comune il server risponde con un codice 200 (OK) e fornisce il contenuto nella sezione body. Altri casi comuni sono: 301 Moved Permanently. La risorsa che abbiamo richiesto non è raggiungibile perché è stata spostata in modo permanente. 302 Found. La risorsa è raggiungibile con un altro URI indicato nel header Location. Di norma i browser eseguono la richiesta all'uri indicato in modo automatico senza interazione dell'utente. 400 Bad Request. La risorsa richiesta non è comprensibile al server. 404 Not Found. La risorsa richiesta non è stata trovata e non se ne conosce l'ubicazione. Di solito avviene quando l'uri è stato indicato in modo incorretto, oppure è stato rimosso il contenuto dal server. 500 Internal Server Error. Il server non è in grado di rispondere alla richiesta per un suo problema interno. 505 HTTP Version Not Supported. La versione di http non è supportata. Gli header della risposta più comuni sono: Server. Indica il tipo e la versione del server. Può essere visto come l'equivalente dell'header di richiesta User-Agent Content-Type. Indica il tipo di contenuto restituito. La codifica di tali tipi (detti Media type) è registrata presso lo IANA (Internet Assigned Number Authority ); essi sono detti tipi MIME (Multimedia Internet Message Extensions), la cui codifica è descritta nel documento RFC Alcuni tipi usuali di tipi MIME incontrati in una risposta HTML sono: text/html. Documento HTML)

9 Esempi di messaggi HTTP Richiesta: text/plain. Documento di testo non formattato) image/jpeg. Immagine di formato JPEG GET /wiki/pagina_principale HTTP/1.1 Connection: Keep-Alive User-Agent: Mozilla/5.0 (compatible; Konqueror/3.2; Linux) (KHTML, like Gecko) Accept: text/html, image/jpeg, image/png, text/*, image/*, */* Accept-Encoding: x-gzip, x-deflate, gzip, deflate, identity Accept-Charset: iso , utf-8;q=0.5, *;q=0.5 Accept-Language: en Host: it.wikipedia.org (la richiesta deve terminare con una riga vuota, cioè con due "a capo" consecutivi) Risposta: HTTP/ OK Date: Mon, 28 Jun :47:31 GMT Server: Apache/ (Unix) PHP/4.3.4 X-Powered-By: PHP/4.3.4 Vary: Accept-Encoding,Cookie Cache-Control: private, s-maxage=0, max-age=0, must-revalidate Content-Language: it Content-Type: text/html; charset=utf-8 Age: 7673 X-Cache: HIT from wikipedia.org Connection: close seguita dai dati richiesti. La pagina web Nella maggior parte dei casi la pagina web è il risultato di una transazione HTTP (ma non sempre) Una pagina web non è altro che un file di testo che contiene al suo interno codice XHTML. Solitamente le pagine HTML sono definite statiche, ma grazie all utilizzo di linguaggi di script (lato client e lato server) possono diventare dinamiche (e cioè cambiare il loro contenuto in base a determinati fattori esterni). Il termine client-side (o lato client) indica le operazioni effettuate da un client in un rapporto client-server. Un rapporto tipico di questo tipo è quello effettuato da un'applicazione, come un Browser, che avvia una connessione ad un server per poter funzionare. Le operazioni effettuate in modo client-side di solito vengono effettuate in questo modo poiché richiedono risorse che non possono essere prese sul server ma che lo sono sul client, perché l'utente deve poter inserire dati da cui avere risposte od osservare il funzionamento dello script, oppure perché al server manca la potenza per poter far funzionare lo script su tutti i client. Inoltre se non serve che i risultati siano salvati sul server, le operazioni risulteranno nettamente più veloci (ovviamente a seconda della potenza del client).

10 Quando il protocollo utilizzato è uno dei più comuni, come l'http o l'ftp, possono esistere vari programmi client (ad esempio i browser moderni supportano spesso sia HTTP che FTP). Di conseguenza spesso uno script che passa per questi protocolli è compatibile con più PC. Uno script lato client è una porzione di codice (scritto in un particolare linguaggio di programmazione) che viene inserito all interno delle pagine web e viene poi interpretato direttamente dal Browser. Un esempio di linguaggio di programmazione lato client è JavaScript Nell'ambito della programmazione web, si definiscono linguaggi lato server quei linguaggi di programmazione che vengono interpretati ed elaborati dal server il quale, successivamente, invia i risultati al client (il browser dell'utente). I linguaggi lato server più diffusi sono il PHP e l'asp. Un programma scritto con questo tipo di linguaggi viene sempre elaborato sul server e mai reso disponibile all'utente, il quale può visualizzare solo il risultato del programma. Questo concetto è molto importante in quanto sta alla base della sicurezza e dell'affidabilità offerti dalla programmazione lato server. Sicurezza nei server web Dal momento che tutto il traffico HTTP è anonimo e in chiaro, sono state sviluppate diverse alternative per garantire differenti livelli di sicurezza, in termini di: cifratura del traffico verifica di integrità del traffico autenticazione del server autenticazione dell'utente La prima proposta venne direttamente da NCSA, con le versioni server 1.1 e client 2.2 che supportavano un meccanismo di autenticazione utente e cifratura dati basati su messaggi formato PEM e chiavi PGP. In seguito, sono state standardizzate due versioni sicure del protocollo HTTP chiamate SHTTP e HTTPS. La prima, modellata sulla posta cifrata S/MIME, è ormai caduta in disuso e prevede meccanismi crittografici a livello di payload: le richieste e gli header vengono scambiati in chiaro mentre il contenuto della pagina viene cifrato come una struttura MIME multipart. Il meccanismo HTTPS, inventato da Netscape, usa invece il sottostante canale cifrato a livello di trasporto mediante SSL o TLS per impedire l'intercettazione di qualsiasi parte della transazione. Entrambe i protocolli possono garantire l'integrità del mittente, ma solo SHTTP è in grado di garantire anche l'integrità del contenuto dopo averlo, ad esempio, memorizzato su un disco. Il tema della sicurezza in ambito server è continuo oggetto di studio, ed è una materia molto complessa, che si evolve rapidamente con l'evolversi delle tecnologie e delle metodologie utilizzate sul web.

11 Riferimenti