https://morfikov.github.io/tags/certyfikaty/ Recent content in Certyfikaty on Morfitronik Hugo -- gohugo.io pl-PL Sat, 23 Jul 2016 12:00:28 +0000 Mikhail Morfikov https://morfikov.github.io/post/certyfikat-letsencrypt-dla-bloga-certbot/ Sat, 23 Jul 2016 12:00:28 +0000 https://morfikov.github.io/post/certyfikat-letsencrypt-dla-bloga-certbot/ <p>Jeszcze nie tak dawno temu, rzadko który serwis internetowy wykorzystywał certyfikaty SSL/TLS do zabezpieczenia komunikacji między serwerem, a łączącymi się do niego klientami. W dalszym ciągu jednak notuje się strony bez &quot;zielonej kłódki&quot; ale na szczęście jest ich coraz mniej w naszym otoczeniu. Liczbę tych stron można by z powodzeniem ograniczyć jeszcze bardziej, gdyby takie certyfikaty były za free, łatwe do zaimplementowania i dostępne praktycznie dla każdego od tak. No i na dobrą sprawę są, tylko ludzie jeszcze nie zdają sobie z tego sprawy. Istnieje bowiem <a href="https://letsencrypt.org/">projekt Let's Encrypt</a>, który umożliwia stosunkowo bardzo proste wdrożenie certyfikatu na serwerze www opartym, np. o oprogramowanie Apache2. W tym wpisie zobaczymy jak ta cała procedura implementacji certyfikatu SSL/TLS przebiega.</p> Mikhail Morfikov https://morfikov.github.io/post/certyfikat-chroniacy-wp-login-php-wp-admin/ Tue, 19 Jul 2016 14:07:05 +0000 https://morfikov.github.io/post/certyfikat-chroniacy-wp-login-php-wp-admin/ <p>Jednym z bardziej wyrafinowanych sposobów ochrony zasobów (katalogów) na serwerze www opartym o oprogramowanie Apache2 jest wykorzystanie certyfikatów klienckich. Tego typu zabezpieczenie można jednak zastosować tylko i wyłącznie w przypadku stron, które korzystają z szyfrowania SSL/TLS. Dla przykładu weźmy sobie blog WordPress'a, gdzie mamy katalog <code>wp-admin/</code> i plik <code>wp-login.php</code> . Formularz logowania oraz panel admina zwykle są szyfrowane. Zatem każdy taki blog powinien robić już użytek z tunelu SSL/TLS w mniejszym lub większym stopniu. Jeśli teraz mamy dość niestandardową instalację WordPress'a, to przy pomocy certyfikatów możemy weryfikować użytkowników, którzy chcą uzyskać dostęp do tych w/w lokalizacji. Jest to nieco inne podejście w stosunku do tego, które zostało opisane w artykule o <a href="https://morfikov.github.io/post/wordpress-ukrycie-wp-login-php-oraz-wp-admin/">ukrywaniu wp-login.php oraz wp-admin</a>, gdzie był wykorzystywany moduł <code>mod_rewrite</code> oraz dyrektywy <code>Files</code> i <code>MatchFiles</code> . Takie certyfikaty klienckie dają nam jednak większe pole manewru, bo identyfikują konkretnego użytkownika chcącego uzyskać dostęp do zasobów serwera. Ten wpis ma na celu pokazanie w jaki sposób zaimplementować obsługę certyfikatów klienckich w Apache2.</p> Mikhail Morfikov https://morfikov.github.io/post/migracja-certyfikatow-openssl-z-sha-1/ Sat, 05 Sep 2015 17:15:12 +0000 https://morfikov.github.io/post/migracja-certyfikatow-openssl-z-sha-1/ <p>Szukając co by tutaj jeszcze poprawić w moim środowisku testowym, w którym działa między innymi apache, natrafiłem na komunikat w firefoxie, który oznajmił mi, że certyfikat mojego serwera korzysta z przestarzałego już algorytmu mieszającego (hash). W tym przypadku jest to SHA-1. <a href="https://blog.mozilla.org/security/2014/09/23/phasing-out-certificates-with-sha-1-based-signature-algorithms/">Jak można przeczytać na blogu mozilli</a>, algorytm SHA-1 wypadł z łask jakiś czas temu i obecnie nie zaleca się jego używania ze względów bezpieczeństwa. Postanowiłem zatem poprawić tę lukę.</p>