Ep. 47: Protezione dell'interfaccia web di Checkmk con HTTPS

[0:00:00]	Salve, mi chiamo Bastian Kuhn e oggi vi mostrerò come proteggere l'interfaccia web di Checkmk (con HTTPS).
[0:00:18]	A tal fine, avremo bisogno di un certificato. Vi mostrerò come crearlo, come creare una chiave privata, come creare una richiesta di firma per questo certificato e poi come implementarlo nella configurazione di Apache. All'inizio, controlleremo se avete già una connessione sicura. Potete vederlo nel vostro browser con questa piccola icona.
[0:00:40]	Il bordo rosso indica che attualmente la pagina non è sicura. Quindi, cambiamola. Per prima cosa genererò la chiave privata e la richiesta di firma del certificato. Dovremmo farlo sempre sul server, in modo che la chiave privata rimanga al sicuro. La prima cosa da fare ora è generare la chiave privata.
[0:01:09]	Userò il comando "openssl genrsa -out:". Ho inserito il nome della chiave e il numero di bit. Questa è la prima cosa, e la seconda è la richiesta di firma. È il file che invierò in seguito al dipartimento o al sito web che crea la chiave. Di nuovo, è con openSSL.
[0:01:44]	Questa volta, "req -new". Inserisco la mia chiave privata e il nome del file di richiesta. Ora mi vengono poste alcune domande. Le risposte a queste domande sono normalmente fornite dal vostro dipartimento SSL o dal dipartimento che può generare le chiavi per voi. In questo caso userò i miei dati.
[0:02:22]	Il campo del nome comune è il più importante perché qui potete inserire il nome del vostro certificato. Assicuratevi di avere il nome completo del dominio, come indicato qui. Inoltre, voglio darvi l'avvertenza che se richiedete il certificato esattamente per questo nome, www.monitoring.lan, non funzionerà. Quindi, è necessario avere il nome esatto. Quindi, il gioco è fatto, in pratica. A questo punto inviamo il file di richiesta al dipartimento o al sito web. Una volta ricevuto il file del certificato, si può procedere all'implementazione in Apache.
[0:03:20]	Nel mio esempio, ho il certificato. Ho anche la catena completa del certificato. E questa è solo la chiave privata che ho generato prima. Il primo passo è copiare il certificato nella directory corretta. Innanzitutto, il file private.pem deve andare in /etc/ssl/private/. Il certificate.pem va in /etc/ssl/certs/.
[0:03:59]	Inoltre, metterò il file della catena nella stessa directory. Questo è il primo passo e la seconda parte consiste nel cambiare il percorso in Apache. Per questo, andiamo in /etc/apache2/. Se si utilizza Red Hat, la cartella sarà /etc/httpd/. Lì dobbiamo cercare il file di configurazione di lettura consentito per l'SSL. La parte di questo dipende dalla vostra distribuzione Linux. In Ubuntu, come qui, è possibile trovarlo in sites-available.
[0:04:47]	Lì troverete il file default-ssl.conf. Se non si dispone di questa directory o di questo file, occorre cercare questa parte in cui sono indicati l'host e la porta 443, che è la porta per l'HTTPS. Lì dovrete cercare la parte di SSLCertificateFile, SSLCertificateKeyFile e qui, in questo caso, SSLCertificateChainFile.
[0:05:26]	Ora lo sostituirò con il mio. Abbiamo un certificate.pem. Qui abbiamo il private.pem. E qui, dobbiamo solo rimuovere il #. Abbiamo il chain.pem.
[0:06:06]	Il passo successivo consiste nell'abilitare il sito. Per questo, abbiamo il comando a2ensite, dove abilitiamo default-ssl. Il secondo passo potrebbe essere la mancanza del modulo SSL. Per questo, abbiamo appena abilitato a2emod ssl.
[0:06:28]	Infine, riavviamo Apache. Dopo questo riavvio, si dovrebbe essere in grado di interrogare la nostra pagina con https. E ora sembra tutto a posto. Il blocco è intatto e la connessione è sicura. In caso di problemi, è possibile utilizzare un piccolo comando per ottenere aiuto. È apache2ctl configtest.
[0:07:09]	Quindi, ad esempio, se Apache non si avvia, basta eseguire questo configtest. Questo configtest vi darà informazioni, ad esempio, se avete inserito la directory sbagliata per i certificati o se c'è qualcos'altro di sbagliato, ad esempio il certificato SSL mancante. Spero che questo vi abbia dato un'idea di come proteggere l'interfaccia web di Checkmk. Per ulteriori informazioni, vi rimandiamo a un articolo del nostro blog.
[0:07:35]	Grazie per aver guardato. Non dimenticate di abbonarvi. Alla prossima puntata.