---

hvordan ? (subj)

---

SoulMate <soulmate@vvvDOTsubnet.dk> wrote:

>hvordan ? (subj)

Jeg har bare genereret mit (test)certificate uden password.

--
Allan Joergensen (AJ1382-RIPE) - [DW] on the Undernet
Homepage: <URL:http://www.nowhere.dk/>
NEWS! Farmer Bill dies in house.

---

SoulMate wrote:
>
> hvordan ? (subj)
Det er en klassiker

Jeg har beskrevet hvad der skal gøres i dette afsnit:
http://www.gnuskole.dk/bog/webserver/ssl.html#certifikat

Held og lykke.

---

"Gunner Poulsen" <gp@lyngbjerggaardskolen.dk> skrev i en meddelelse
news:3A79C0B3.CE760316@lyngbjerggaardskolen.dk...
> SoulMate wrote:
> >
> > hvordan ? (subj)
> Det er en klassiker
>
> Jeg har beskrevet hvad der skal gøres i dette afsnit:
> http://www.gnuskole.dk/bog/webserver/ssl.html#certifikat

er det ikke lavet til RedHat ? - min svarer i hvert fald fejl på
openssl kommandoen! :/

---

On Thu, 1 Feb 2001 20:07:16 +0100, SoulMate wrote:

> hvordan ? (subj)

Du kan lave et lille script, som giver Apache passwordet.

Check SSLPassPhraseDialog in mod_ssl dokumentationen, f.eks. her:
http://www.modssl.org/docs/2.6/ssl_reference.html

Stig

---

>>>>> "Stig" == Stig H Jacobsen <shj@bigfoot.com> writes:

Stig> On Thu, 1 Feb 2001 20:07:16 +0100, SoulMate wrote:
>> hvordan ? (subj)

Stig> Du kan lave et lille script, som giver Apache passwordet.

Stig> Check SSLPassPhraseDialog in mod_ssl dokumentationen,
Stig> f.eks. her: http://www.modssl.org/docs/2.6/ssl_reference.html

Stig> Stig

Eller man kan lave en key uden passphrase, f.eks.:

$ cp server.key server.key.org
$ openssl rsa -in server.key.org -out server.key

[http://weburb.dyndns.org/manual/mod/mod_ssl/ssl_faq.html#ToC31]

Jeg kan ikke se sikkerhedsforskellen i at have passphrase liggende i
et beskyttet script eller at have en key der ikke er krypteret, som
ogsaa er beskyttet af filrettighederne. I begge tilfaelde har du det
samme problem hvis en ondsindet person skaffer sig adgang til
scriptet/key-filen.

--
Lars Haugaard Kristensen
Remove -NOSPAM- if replying by email

---

On Fri, 02 Feb 2001 09:37:04 GMT, Lars Haugaard Kristensen wrote:

> Jeg kan ikke se sikkerhedsforskellen i at have passphrase liggende i
> et beskyttet script eller at have en key der ikke er krypteret, som
> ogsaa er beskyttet af filrettighederne.

Der er heller ikke den vilde forskel. Dog behøver passphrasen
ikke at være simpel at få ud af scriptet/programmet - den kunne
hentes fra en anden server, som kun vil aflevere den under
specifikke omstændigheder. Og så skal du lige pludselig bøvle med
andre ting end bare at blive root.

Stig

---

>>>>> "Stig" == Stig H Jacobsen <shj@bigfoot.com> writes:

Stig> On Fri, 02 Feb 2001 09:37:04 GMT, Lars Haugaard Kristensen
Stig> wrote:
>> Jeg kan ikke se sikkerhedsforskellen i at have passphrase liggende
>> i et beskyttet script eller at have en key der ikke er krypteret,
>> som ogsaa er beskyttet af filrettighederne.

Stig> Der er heller ikke den vilde forskel. Dog behøver passphrasen
Stig> ikke at være simpel at få ud af scriptet/programmet - den kunne
Stig> hentes fra en anden server, som kun vil aflevere den under
Stig> specifikke omstændigheder. Og så skal du lige pludselig bøvle
Stig> med andre ting end bare at blive root.

Stig> Stig

Man kan sikkert spare tid paa at lade vaere med at lave alle de
spidsfindigheder, og saa bare starte apache op med passphrase de faa
gange skidtet skulle gaa ned. Det er jo ogsaa klart den sikreste
metode.

Hvis man skal overfoere passphrase fra en anden host skal man
pludselig ogsaa til at taenke paa kryptering af denne overfoersel. Saa
er det jeg synes, at det begynder at blive lidt for langt ude...

--
Lars Haugaard Kristensen
Remove -NOSPAM- if replying by email

---

On Fri, 02 Feb 2001 10:48:31 GMT, Lars Haugaard Kristensen wrote:

> Man kan sikkert spare tid paa at lade vaere med at lave alle de
> spidsfindigheder, og saa bare starte apache op med passphrase de faa
> gange skidtet skulle gaa ned.

Ehh? Forestil dig at serveren står et andet sted end du er (du
kunne f.eks. være til familiefest), der er 10 andre sysadmins på
den end dig (mere eller mindre velbevandrede i Apache-SSL) eller
at den bliver rebootet automatisk hver morgen kl. 3:30 fordi der
kører noget skrotsoftware på den.

> Det er jo ogsaa klart den sikreste metode.

Ja - og den der giver mest nedetid. Hvis du sidder med 45 servere
mellem hænderne, så kan det godt undre en del, at lige præcist på
_denne_ server starter Apache ikke automatisk. Og du har lavet 15
andre Apache-installs siden denne og lykkeligt glemt det med
passwordet. Og siden du ikke lige kan se om der står noget
spændende på consollen fordi du ikke har fysisk adgang til
maskinen, så bruger du 10 minutter på at komme i tanke om hvad
problemet er. Plus de 15 minutter der gik fra serveren kom op og
til nogen ringede og sagde, at web'et ikke virkede.

25 minutter, 10 ordrer i minuttet, 800 kroner på en
gennemsnitsordre, find selv lommeregneren frem for prisen på
nedetiden i din manuelle løsning

> Hvis man skal overfoere passphrase fra en anden host skal man
> pludselig ogsaa til at taenke paa kryptering af denne overfoersel.
> Saa er det jeg synes, at det begynder at blive lidt for langt
> ude...

Hvis serveren behandler f.eks. kreditkorttransaktioner eller
lignende følsomme ting (en naturlig antagelse siden der køres
SSL), så vil jeg sørme håbe at sikkerheden vitterligt _er_ "langt
ude".

Stig

---

>>>>> "Stig" == Stig H Jacobsen <shj@bigfoot.com> writes:

[snip]
Stig> at den bliver rebootet automatisk hver morgen kl. 3:30 fordi der
Stig> kører noget skrotsoftware på den.

Hmmm. Meget lidt optimalt!

>> Det er jo ogsaa klart den sikreste metode.

Stig> Ja - og den der giver mest nedetid. Hvis du sidder med 45
Stig> servere mellem hænderne, så kan det godt undre en del, at lige
Stig> præcist på _denne_ server starter Apache ikke automatisk. Og du
Stig> har lavet 15 andre Apache-installs siden denne og lykkeligt
Stig> glemt det med passwordet. Og siden du ikke lige kan se om der
Stig> står noget spændende på consollen fordi du ikke har fysisk
Stig> adgang til maskinen, så bruger du 10 minutter på at komme i
Stig> tanke om hvad problemet er. Plus de 15 minutter der gik fra
Stig> serveren kom op og til nogen ringede og sagde, at web'et ikke
Stig> virkede.

Stig> 25 minutter, 10 ordrer i minuttet, 800 kroner på en
Stig> gennemsnitsordre, find selv lommeregneren frem for prisen på
Stig> nedetiden i din manuelle løsning

Fair nok. Man maa saa opveje hvad der er vigtigst. Minimal nedetid
eller stoerst sikkerhed.

>> Hvis man skal overfoere passphrase fra en anden host skal man
>> pludselig ogsaa til at taenke paa kryptering af denne overfoersel.
>> Saa er det jeg synes, at det begynder at blive lidt for langt
>> ude...

Stig> Hvis serveren behandler f.eks. kreditkorttransaktioner eller
Stig> lignende følsomme ting (en naturlig antagelse siden der køres
Stig> SSL), så vil jeg sørme håbe at sikkerheden vitterligt _er_
Stig> "langt ude".

Af ren nysgerrighed:

Hvordan vil du egentlig lave et script, der henter passphrase fra en
anden host, hvor det samtidigt gaelder, at en ondsindet person, der
har adgang til scriptet (f.eks. root password), ikke kan hente din
passphrase paa samme maade som scriptet goer det?

--
Lars Haugaard Kristensen
Remove -NOSPAM- if replying by email

---

On Fri, 02 Feb 2001 12:57:40 GMT, Lars Haugaard Kristensen wrote:

> Stig> at den bliver rebootet automatisk hver morgen kl. 3:30 fordi der
> Stig> kører noget skrotsoftware på den.
> Hmmm. Meget lidt optimalt!

Jep, det er generelt en møgirriterende ting ved den virkelige
verden

> Hvordan vil du egentlig lave et script, der henter passphrase fra en
> anden host, hvor det samtidigt gaelder, at en ondsindet person, der
> har adgang til scriptet (f.eks. root password), ikke kan hente din
> passphrase paa samme maade som scriptet goer det?

Det skulle ikke være et script, men et compileret program. Hvis
der alligevel er ekstern overvågning af web-serveren (alting
bimler og bamler, hvis den går ned), så kan det laves så den
remote server kræver at Apache er _nede_ før den vil aflevere
noget password (baseret på f.eks. processlisten eller netstat).

Så skal Joe Hacker først lukke Apache ned (og her går alarmerne
så) før han kan få passphrasen - plus at han skal bruge tid på at
finde ud af hvorfor script/program ikke giver ham passphrasen
umiddelbart.

Eller at passphrase serveren kun vil udlevere hvis
Apache-serveren har været nede (svarer ikke på pings, eller noget
andet) indenfor de sidste 15 minutter.

Og nej, det giver ikke ultimativ sikkerhed, det skal bare være så
besværligt at den gode Joe ikke kan finde ud af det eller spilder
en masse tid, opgiver og finder et lettere offer.

Stig

---

"Lars Haugaard Kristensen" <lars-NOSPAM-@WebUrb.net> skrev i en
meddelelse news:yvt28znpzarp.fsf@dupond.control.auc.dk...
> >>>>> "Stig" == Stig H Jacobsen <shj@bigfoot.com> writes:
>
> Stig> On Thu, 1 Feb 2001 20:07:16 +0100, SoulMate wrote:
> >> hvordan ? (subj)
>
> Stig> Du kan lave et lille script, som giver Apache passwordet.
>
> Stig> Check SSLPassPhraseDialog in mod_ssl dokumentationen,
> Stig> f.eks. her: http://www.modssl.org/docs/2.6/ssl_reference.html
>
> Stig> Stig
>
> Eller man kan lave en key uden passphrase, f.eks.:
>
> $ cp server.key server.key.org
> $ openssl rsa -in server.key.org -out server.key

hmm, har lige gjort sådan, den spørger stadig efter password...

---

"Lars Haugaard Kristensen" <lars-NOSPAM-@WebUrb.net> skrev i en
meddelelse news:yvt28znpzarp.fsf@dupond.control.auc.dk...
> >>>>> "Stig" == Stig H Jacobsen <shj@bigfoot.com> writes:
>
> Stig> On Thu, 1 Feb 2001 20:07:16 +0100, SoulMate wrote:
> >> hvordan ? (subj)
>
> Stig> Du kan lave et lille script, som giver Apache passwordet.
>
> Stig> Check SSLPassPhraseDialog in mod_ssl dokumentationen,
> Stig> f.eks. her: http://www.modssl.org/docs/2.6/ssl_reference.html
>
> Stig> Stig
>
> Eller man kan lave en key uden passphrase, f.eks.:
>
> $ cp server.key server.key.org
> $ openssl rsa -in server.key.org -out server.key

der er da stadig password på...