Segurança - HTTP. Carlos Gustavo A. da Rocha. Segurança de Redes carlos.rocha@ifrn.edu.br

Transcrição

1 Segurança - HTTP Carlos Gustavo A. da Rocha

2 De forma semelhante ao sistema operacional a configuração de um servidor HTTP (apache ou IIS) pode ser ajustada em termos de segurança Limitar a quantidade de informações exibidas sobre o servidor Remover funcionalidades desnecessárias Configurar corretamente o LOG

3 Limitar a quantidade de informações exibidas sobre o servidor Em sua configuração padrão, servidores HTTP irão exibir uma série de informações contendo, por ex: Sistema Operacional do servidor Nome e versão do servidor HTTP Principais módulos instalados Esta é uma rica fonte de informação para atacantes Devemos limitar ao máximo a sua exibição

4 Limitar a quantidade de informações exibidas sobre o servidor Apache - Assinatura do servidor ServerSignature Off - Informações do sistema ServerTokens Prod IIS - Em cada Site da Web - Em Erros personalizados ajustar as páginas com mensagens de erro - Em cabeçalhos HTTP remover os desnecessários - Documentos de erros ErrorDocument...

5 Remover funcionalidades desnecessárias Em sua instalação, servidores HTTP irão habilitar uma série de funcionalidades e configurações nem sempre necessárias Módulos para autenticação, redirecionamentos, páginas pessoais de usuários, Uma falha de segurança em um módulo ou configuração desnecessária pode por em risco a segurança de todo o servidor

6 Remover funcionalidades desnecessárias Apache - Remover funcionalidades (modulos) desnecessários, com o comando: a2dismod - Verificar configurações padrões do VirtualHost, remover as que forem desnecessárias IIS - Em cada Site da Web - Remover filtros ISAPI desnecessários - Em pasta base remover permissões não necessárias - Em Extensões de serviços da Web - Proibir todas as não necessárias

7 Configurar corretamente o LOG O registro de funcionamento (acessos), bem como dos erros ocorridos em um servidor HTTP é de extrema importância Um LOG bem configurado armazena o máximo de informações, em arquivos independentes para cada VirtualHost existente no servidor

8 Configurar corretamente o LOG Apache - Configurar LOG de forma independente (por VirtualHost) ErrorLog... CustomLog... IIS - Em cada um dos Sites da Web - Abrir suas propriedades - Clicar na aba Site da Web - Marcar Ativar logs - Clicar em Propriedades - Crie uma pasta para cada site - Configure o Novo agendamento...

9 Criando seu próprio certificado digital para uso em uma página HTTPS

10 A seguir serão apresentados a sequência de comandos necessários para Criar uma autoridade certificadora Criar o par de chaves assimétricas de um site e o pedido de geração de um certificado para o mesmo Gerar um certificado digital para este site O certificado digital gerado poderá ser utilizados nos servidores HTTP Apache e IIS

11 - Criar o par de chaves (pública/privada) e o certificado de sua autoridade certificadora (realizado pela AC) openssl genrsa -des3 -out ca.key 1024 openssl req -new -x509 -days 365 -key ca.key -out ca.crt - Criar o par de chaves (pública/privada) do servidor e a requisição de assinatura do certificado (realizado pelo servidor que requisita o certificado) openssl genrsa -des3 -out server.key 1024 openssl req -new -key server.key -out server.csr - Gerar o certificado (realizado pela AC) openssl x509 -req -days 365 -in server.csr -CA ca.crt \ -CAkey ca.key -set_serial 01 -out server.crt

12 Configurando VirtualHost HTTPS Apache - Habilitar módulo e VirtualHost SSL a2enmod ssl a2ensite default-ssl - Editar arquivo /etc/apache2/sites-enable/default-ssl e alterar, pelo menos SSLCertificateFile <caminho-para-server.crt> SSLCertificateKeyFile <caminho-para-server.key> - Reiniciar o Apache - Será solicitada a senha que criptografa a chave privada do servidor (server.key)

13 Configurando VirtualHost HTTPS IIS - Criar novo site da web - Abrir suas Propriedades Segurança de diretório - Clicar em Certificado de servidor e seguir o passo a passo até gerar o arquivo com a requisição de assinatura de certificado - Enviar o arquivo gerado para a autoridade certificadora - De posse do certificado executar novamente o assistente Certificado de servidor