Install SSL Certificate on Apache for Debian

Prerequisites
OpenSSL installed and updated (should be installed by default)

apt-get update 

apt-get upgrade openssl

Apache will be our HTTPS server. To install it, run the following:

apt-get install apache2

Enable the Apache SSL module

a2enmod ssl

The default Apache website comes with a useful template for enabling SSL, so we will activate the default website now

a2ensite default-ssl

Configure Apache to Use SSL

Edit server configuration file

nano /etc/apache2/sites-enabled/default-ssl.conf

Locate the section that begins with <VirtualHost _default_:443>.
Add a line with your server name directy below the ServerAdmin email line. This can be your domain name or IP address:

ServerAdmin webmaster@localhost 

ServerName example.com:443

Find the following two lines, and update the paths to match the locations of the certificate and key. If you purchased a certificate or generated your certificate elsewhere, make sure the paths here match the actual locations of your certificate and key:

SSLCertificateFile /etc/apache2/ssl/apache.crt 

SSLCertificateKeyFile /etc/apache2/ssl/apache.key

Restart Apache to put these changes into effect

service apache2 restart

Google: la sicurezza su chiavette USB

Google ha annunciato di voler adottare una nuova forma di autenticazione forte a due fattori conforme alla tecnologia Universal Second Factor messa a punto dalla Fast IDentity Online (FIDO) Alliance. U2F consente agli utenti di Chrome un accesso sicuro agli account Google attraverso un dispositivo fisico come una chiavetta USB di sicurezza. La FIDO Alliance è nata nel febbraio dello scorso anno con l’obiettivo di abilitare forme più avanzate di autenticazione per l’utente per rendere sicuro l’accesso. Mentre la chiavetta di sicurezza è ancora un opzione per gli utenti che desiderano uno strumento più sicuro di autenticazione, l’attuale metodo Google Authenticator può essere sempre adottato.

Utilizzare gli Hotspot Wi-Fi pubblici in modo sicuro

Spesso è indispensabile accedere al web dal proprio dispositivo portatile. Ma è sicuro farlo utilizzando gli Hotspot pubblici? E' bene prestare attenzione ed adottare alcune accortezze...

Utilizzare una connessione VPN

Usando una rete pubblica si ha l'incognita che possibili vulnerabilità di tale infrastruttura consentano a terzi di portare a compimento azioni malevole, e tali azioni si concretizzano agendo direttamente sui dati scambiati dalla nostra scheda di rete con infrastrutture remote. Nel momento in cui è attivo il collegamento VPN tra due punti tutti i dati scambiati da tali dispositivi vengono sottoposti a crittografia, quindi anche l'eventuale presenza sulla rete pubblica di un malintenzionato non comporta rischi. Il vantaggio offerto consiste proprio nella possibilità di disporre di un collegamento reso sicuro da tecnologie crittografiche pur utilizzando un'infrastruttura di rete pubblica, ampiamente diffusa e disponibile a condizioni economiche vantaggiose rispetto a altre opzioni dedicate.

Usando una VPN va anche tenuto in considerazione il fatto che - solitamente - navigando sul web il traffico dal nostro PC verrà inviato verso l'altro punto terminale del tunnel, e poi da questo instradato verso la rete internet. In questo modo si sfrutteranno le risorse di sicurezza poste in essere dal fornitore del servizio VPN, forse ben più solide rispetto a quelle disponibili in mobilità.

Uno degli strumenti gratuiti più semplici ed utili è Hotspot Shield scaricabile gratuitamente e di facile installazione. L'utilizzo gratuito impone la visualizzazione di alcune pubblicità durante la navigazione, ma a parte questo fastidio l'utente potrà contare su una protezione VPN in pochi click. Questo strumento offre inoltre la possibilità di selezionare un Paese verso il quale instradare il proprio traffico scegliendo tra IP collocati in USA, Giappone e Australia: il traffico generato dal nostro PC verrà visto da terzi come proveniente da tali aree geografiche e in alcune situazioni questa caratteristica può rivelarsi utile.

Come proteggere il server contro la vulnerabilità di Heartbleed OpenSSL

Importante Vulnerabilità di Sicurezza SSL
Lunedì, 7 aprile 2014, è stata comunicata una vulnerabilità di OpenSSL che è stata chiamata una delle peggiori falle di sicurezza nella storia recente di Internet. Il bug, chiamato il Heartbleed bug, è stato introdotto in OpenSSL versione 1.0.1. E' presente dal marzo del 2012 ed è patchato con OpenSSL versione 1.0.1g rilasciata il 7 aprile 2014. Il problema, etichettato CVE-2014-0160, è descritto in dettaglio qui.

Il bug consente a qualsiasi malintenzionato di leggere la memoria di un host vulnerabile, il che significa che tutte le chiavi che sono state utilizzate su un host con una versione vulnerabile di OpenSSL devono essere considerate compromesse. Le distribuzioni stanno aggiornando i loro pacchetti e spingendo gli aggiornamenti, ma gli utenti hanno bisogno di abbattere i più recenti pacchetti e revocare le chiavi precedenti basate su versioni insicure.

Vi mostrerò come aggiornare i propri sistemi con una versione sicura di OpenSSL, revocare i certificati SSL insicuri, e verificare se siete vulnerabili o meno.

Aggiorna il tuo Sistema
Il modo più semplice per aggiornare i pacchetti è quello di aggiornare l'intero sistema.

Su Ubuntu e Debian, puoi aggiornarlo digitando:

sudo apt-get update
sudo apt-get dist-upgrade

Se si desidera solo di aggiornare i pacchetti interessati, e non aggiornare l'intero sistema (consigliato solo se si ha motivo di ritenere che gli aggiornamenti agli altri componenti romperanno il vostro sistema), si possono selettivamente aggiornare i pacchetti OpenSSL digitando:

sudo apt-get install --only-upgrade openssl
sudo apt-get install --only-upgrade libssl1.0.0

Questo aggiornerà i pacchetti vulnerabili, lasciando il resto del sistema in uno stato non aggiornato.

Verifica i tuoi Numeri di Versione
Si consiglia di controllare la versione di OpenSSL dopo aver aggiornato il sistema.

Mentre OpenSSL versione 1.0.1g è il fix ufficiale di questo problema, la versione che corregge questo per diverse distribuzioni e versioni può variare. Alcune versioni e distribuzioni patchati le loro versioni più vecchie per risolvere il problema, piuttosto che rilasciare una versione completamente nuova in un vecchio, ecosistema stabile.

A causa di questo motivo, è meglio controllare attraverso il sistema di pacchettizzazione della vostra distribuzione, dal momento che il comando versione openssl potrebbe non riflettere le informazioni necessarie.

Releases Debian e Ubuntu e Versioni Corrette
Per i sistemi Debian e Ubuntu, ottieni la versione di OpenSSL digitando:

dpkg -l | grep "openssl"

Per gli utenti Debian, la release di Debian che si esegue determinerà la versione corretta per la correzione. Se la versione di OpenSSL è almeno recente come la versione elencata qui per la vostra distribuzione, dovreste essere protetti:

• Debian 6 (Squeeze): Non influenzato (fornito con una versione precedente alla vulnerabilità)
• Debian 7 (Wheezy): 1.0.1e-2+deb7u6
• Debian testing (Jessie): 1.0.1g-1
• Debian unstable (Sid): 1.0.1g-1

SSL con Tomcat

Vediamo come abilitare SSL in Tomcat...

Per creare un certificato auto firmato

%JAVA_HOME%/bin/keytool -genkey -alias miodominio.com -keyalg RSA -keystore /path/to/my/tomcat.keystore

Per installare un certificato acquistato da una authority

1 - Creazione di un keystore e di un CSR in Tomcat

keytool -keysize 2048 -genkey -alias tomcat -keyalg RSA -keystore tomcat.keystore

Immetti in Keytool il comando seguente per creare un CSR

keytool -certreq -keyalg RSA -alias tomcat -file csr.csr -keystore tomcat.keystore

Apri il file CSR e copia tutto il testo, incluso. Incolla tutto il testo nel modulo di richiesta online e completa la richiesta.

2 - Installazione del certificato SSL in Tomcat

Installa il certificato principale (root) eseguendo il seguente comando

keytool -import -alias root -keystore tomcat.keystore -trustcacerts -file [nome del certificato root]

Installa il certificato intermedio eseguendo il seguente comando.

keytool -import -alias intermed -keystore tomcat.keystore -trustcacerts -file [nome del certificato intermedio]

Installa il certificato rilasciato nel keystore eseguendo il seguente comando

keytool -import -alias tomcat -keystore tomcat.keystore -trustcacerts -file [nome del certificato]

Configurazione di Tomcat
Dopo aver creato il certificato va modificato il file server.xml nella directory conf di Tomcat, va decommentata la parte relativa al connettore SSL che dovrebbe essere simile a:

<-- Define a SSL Coyote HTTP/1.1 Connector on port 8443 -->

impostando i parametri specificati nell’importazione del certificato. Il risultato dovrebbe essere simile al seguente:

 <Connector port="8443" protocol="HTTP/1.1"  

         connectionTimeout="20000"
         redirectPort="8443"
         SSLEnabled="true"
         scheme="https"
         secure="true"
         sslProtocol="TLS"
         keystoreFile="/etc/pki/keystore"
         keystorePass="_password_" />


Infine va riavviato il servizio Tomcat.

Aumentare la sicurezza di un sito Joomla

• Settare in sola lettura il file configuration.php
• Modificare lo username "admin" con uno più complesso, utilizzando anche una password complessa
• Mettere in sicurezza PHP, editando il file php.ini con le seguenti righe

register_globals = Off

magic_quotes_gpc = On

allow_url_fopen = Off

disable_functions = system, shell_exec, exec, phpinfo, proc_open

• Proteggere la cartella "administrator" nel seguente modo

- Se il Web Serve è Apache, creare nella cartella administrator due files

- .htaccess, che dovrà contenere

AuthUserFile /percorsoMiaWebRoot/administrator/.htpasswd AuthGroupFile /dev/null AuthName "Protezione directory administrator di Joomla" AuthType Basic Require valid-user

- .htpassword, che dovrà contenere

nome:password

La password deve essere criptata, per criptarla è possibile utilizzare questa comoda utility online messa a disposizione gratuitamente

- Se il Web Server è IIS, dalla console di amministrazione di IIS selezionare il sito web di interesse, ed al suo interno selezionare la cartella administrator. Cliccarci sopra col tasto destro del mouse e selezionare la voce "Properties", poi selezionare il Tab "Directory Security", click su Edit, deselezionare la casella "Enable anonymous access" abilitata di default e scegliere un tipo di autentica