ProyectoF3-Autenticacion Proyecto Foro en PHP mediante DNI Electrónico

2012

AUTENTICACIÓN SEGURA EN FORO MEDIANTE DNIE

Javier García Cambronel SEGUNDO DE ASIR 14/02/2012

Titles you can't find anywhere else

Try Scribd FREE for 30 days to access over 125 million titles without ads or interruptions! Start Free Trial Cancel Anytime.











[AUTENTICACIÓN SEGURA EN FORO MEDIANTE DNIE] DNIE ]

14 de febrero de 2012

PREPARAMOS APACHE CON PHP Y MYSQL ¿CREAMOS O IMPORTAMOS LA BASE DE DATOS? OPCION 1 CREAMOS LA BASE DE DATOS DE CERO OPCION 2 IMPORTAMOS LA BASE DE DATOS

AUTENTICACION DNI ELECTRONICO VENTAJAS DE LA VALIDACIÓN MEDIANTE DNI ELECTRONICO OCSP Y CLR













PREPARAMOS APACHE CON PHP Y MYSQL Lo primero que tendríamos que hacer si s i no lo hemos hecho ya, seria instalar tanto PHP con dependencias para trabajar con mysql, como php. Lo dicho anteriormente, si no lo hemos hecho, seguimos estos pasos. Introducir el siguiente comando para instalar PHP en apache con c on dependencias MYSQL sudo apt-get install php5 php5-mysql Y este último para instalar MYSQL, en el que recomiendo encarecidamente que pongamos una contraseña sudo apt-get install mysql-server

Una vez hecho esto, nuestro Apache será capaz de interpretar PHP y trabajar con MYSQL.













¿CREAMOS O IMPORTAMOS LA BASE DE DATOS? OPCION 1 CREAMOS LA BASE DE DATOS DE CERO VENTAJAS: 1. ningún problema de incompatibilidad con nuevas versiones motores de bases de datos. INCONVENIENTES: 1. tener a manos los códigos de creación o volver a crearlos con el mismo nombre para tablas y demás que los archivos en php o cambiar estos con todo el trabajo que conlleva sobretodo en bases de datos complejas. 2. la base de datos, estaría virgen, sin ningún dato y también tendríamos que empezar de nuevo recu recu erando erando los ue tuvié tuviéram ramos os

INTRODUCCION CREANDO NUESTRA BASE DE DATOS Lo primero que hacemos es entrar como usuario en mysql, es decir nos identificamos. Creamos nuestra base de datos con el nombre que queramos como vamos a trabajar sobre un foro, lo más lógico será llamarla así

Y con la siguiente orden empezamos a trabajar sobre ella













CREANDO LAS TABLAS DE NUESTRO FORO Lo siguiente que debemos hacer es crear las tablas sobre las que vamos a trabajar, aquí tenemos los códigos que tenemos que introducir, para que cada una de ellas tenga efecto, recordemos que si cambiamos el nombre a alguna tabla, ese cambio también tendrá que ser realizado debidamente en los códigos php correspondientes, para que los datos se inserten correctamente y no tengamos ningún tipo de fallo f allo

CODIGO TABLA USUARIOS CREATE TABLE usuarios( email VARCHAR(150) NOT NULL PRIMARY KEY, password VARCHAR(150));

CODIGO TABLA TEMAS CREATE TABLE temas_foro( id_tema INT NOT NULL PRIMARY KEY AUTO_INCREMENT, titulo_tema VARCHAR(150), fecha_creacion DATETIME, email VARCHAR(150) NOT NULL, FOREIGN KEY (email) REFERENCES usuarios(email));











[AUTENTICACIÓN SEGURA EN FORO MEDIANTE DNIE] DNIE ] CODIGO TABLA POSTS CREATE TABLE posts_foro( id_post INT NOT NULL PRIMARY KEY AUTO_INCREMENT, id_tema INT NOT NULL, texto_post TEXT, fecha_creacion DATETIME, email VARCHAR(150) NOT NULL, creacion VARCHAR(10), FOREIGN KEY (id_tema) REFERENCES temas_foro(id_tema) ON DELETE CASCADE, FOREIGN KEY (email) REFERENCES usuarios(email));

OPCION PARA AÑADIR ARCHIVOS AL CONTESTAR A UN TEMA Alter table posts_foro add (file varchar(150));

TABLA SESIONES CREATE TABLE sesiones( id_sesion VARCHAR(500) NOT NULL PRIMARY KEY, email VARCHAR(150) NOT NULL, FOREIGN KEY (email) REFERENCES usuarios(email) ON DELETE CASCADE);
















OPCION 2 IMPORTAMOS LA BASE DE DATOS VENTAJAS: 1. No necesitamos saber como construimos las tablas, pues la estructura completa se clona. 2. Todos los datos que tuviéramos anteriormente, los seguiremos teniendo., sin necesidad de volver a introducirlos nuevamente. INCONVENIENTES: 1. Posibles problemas en la configuración c onfiguración a la hora de importar datos sobre versiones anteriores de mysql que la original.

PRIMERO: EXPORTAMOS Lo primero que hacemos es ir donde tenemos nuestra base de datos creada, la escogemos y pulsamos el botón de exportar.

Tenemos muchas opciones para exportar, desde formato (pdf,Excel…)como tipo de codificación….













INSTALAMOS PHPMYADMIN DONDE IMPORTAREMOS LOS DATOS Para tener phpMyAdmin, podemos instalar el paquete phpmyadmin de los repositorios oficiales de Ubuntu. sudo apt-get install phpmyadmin

Nos saldrá la siguiente ventana y elegiremos apache2

Introducimos la contraseña de la cuenta c uenta de Administración (la que hubiéramos dado en root)













Después de esto veríamos como todo el proceso se ha llevado a cabo perfectamente

Después de instalarlo hay que hacer un enlace simbólico desde /usr/share/phpmyadmin hacia /var/www/phpmyadmin para que podamos acceder desde el navegador, sin ningún problema, lo hacemos con el siguiente comando: sudo ln -s /usr/share/phpmyadmin /var/www/

Una vez hecho esto, como podemos ver ya podríamos acceder perfectamente desde el navegador a nuestro phpmyadmin recién instalado.













IMPORTAMOS LOS DATOS Una vez hemos entrado en phpmyadmin, seleccionamos la pestaña de importar y el botón examinar, seleccionando el archivo que habíamos guardado.

Puede que nos de un error como el siguiente













La solución a este error, es añadir las siguientes líneas al archivo, desde el cual importamos los datos, la primera para crear nuestra base de datos y la segunda para seleccionarla.

Una vez hemos hecho estos cambios, volvemos volvemos a intentar importar la base de datos y vemos que ahora el resultado es satisfactorio.

Y como vemos si miramos el contenido de nuestra base de datos podemos ver como los datos que tuviéramos guardados se han importado correctamente.















AUTENTICACION DNI ELECTRONICO ACTIVAR MODULO SSL Para poder realizar conexiones mediante sockets de tipo SSL es necesario tener instalado ins talado y activo el módulo SSL del servidor. En servidores de tipo Debian como nuestro Ubuntu, se puede activar el módulo utilizando el comando: sudo a2enmod mod_ssl Nosotros ya lo habíamos hecho anteriormente, a nteriormente, al igual que el crear nuestro certificado, c ertificado, en la anterior práctica.

DESACTIVAMOS SITIO POR DEFECTO SSL Lo que tenemos que hacer, es desactivar el sitio por defecto SSL que habíamos creado en la anterior práctica. Aunque también podríamos modificarlo para adaptarlo. Pero es mejor crear un host virtual de cero para no liarnos con las directivas. sudo a2dissite default-ssl













CÓDIGO HOST VIRTUAL COMENTADO Para crear este host virtual vamos a modificar el archivo httpd.conf el cual, c ual, trabajamos en él, para crear el host virtual he creado el siguiente código el cual está comentado, para mayor aclaración. #se especifica que va a tener efecto en todas las direcciones que utilicen el puerto 443 #se indica el nombre del servidor y el puerto ServerAdmin webmaster@localhost # La ruta hasta la carpeta raíz del entorno web en este caso donde esta nuestro foro DocumentRoot /var/www/foro # Indicamos donde se guardaran todos los logs de acceso y de errores ErrorLog /var/log/apache2/site2-error_log TransferLog /var/log/apache2/site2-access_log #Se activa el protocolo SSL SSLEngine on #se indica la configuración de seguridad, y desactivamos des activamos sslv2 debido a sus vulnerabilidades













# la ruta y el nombre del certificado raiz DNIe SSLCACertificateFile "/etc/ssl/certs/ac_raiz_dnie "/etc/ssl/certs/ac_raiz_dnie.crt" .crt" # El cliente debe autenticarse obligatoriamente con el certificado c ertificado sino no se podrá acceder a cceder SSLVerifyClient require # Nivel máximo de profundidad (según infraestructura actual, 2) SSLVerifyDepth 2 AllowOverride None Order allow,deny allow from all #Indicamos al servidor que exporte los datos SSLOptions +StdEnvVars +ExportCertData













COMPROBAMOS LAS FUENTES El certificado de la CA del DNIe (ac_raiz_dnie.crt) se puede obtener desde del Portal del DNI electrónico en la siguiente dirección.

http://www.dnielectronico.es/seccion_integradores/autoridades_cert.html

Como vemos se nos informa de cuales son las funciones hash sha1 y md5 del archivo, lo subimos como ya viene siendo habitual a virustotal y asi comprobar las fuentes del archivo que descargamos. Vemos que el archivo ya ha sido analizado, pues si vamos a implementar un sistema tan seguro, tendremos que comprobar que realmente es, lo que queremos instalar.













INSTALAMOS Y CONFIGURAMOS EL CERTIFICADO RAIZ PARA EL SERVIDOR Este certificado que hemos descargado esta en formato DER y el servidor web Apache espera un certificado en formato PEM. Para convertirlo de formato DER a PEM se puede utilizar la herramienta openssl tal y como se muestra a continuación: openssl x509 -in ACRAIZ-SHA1.crt -inform DER -out ac_raiz_dnie.crt -outform PEM

Como vemos una vez realizada la operación tendremos el archivo que queremos y lo ponemos en la ruta donde guardamos los certificados que es la que hemos indicado en el archivo de configuración en nuestro caso /etc/ssl/certs

INSTALAMOS EL MODULO CRIPTOGRÁFICO DEL DNIE EN LOS L OS CLIENTES Una vez hecho esto, nos descargamos desde la página Web el modulo criptográfico de el DNI electrónico.















EN WINDOWS: Necesitaremos reiniciar después de la instalación para que los cambios se lleven a cabo. Si usamos Firefox nos dara error al implementarlo y tendremos que hacerlo a mano Desde Opciones->Avanzado-> Opciones->Avanzado->Cifrado->Ver Cifrado->Ver cifrado->importar y seleccionaremos la ruta

La ruta por defecto del certificado es la siguiente: C:/Program Files (x86)/DNIe/ACRAIZ_CERTIFICATE_AND_CRL_SIGNING_SH (x86)/DNIe/ACRAIZ_CERTIFICATE_AND_CRL_SIGNING_SHA1.crt A1.crt













ACCEDEMOS MEDIANTE EXPLORER 9 Al intentar entrar en nuestro foro necesitaremos tener el DNI electrónico en nuestro lector, e introducimos el PIN.

Nos dira, si queremos acceder al sitio WEB, ay que nuestro certificado no esta emitido por una entidad nos saldrá el siguiente aviso y pulsamos en el botón de ir a este sitio web.













ACCEDEMOS MEDIANTE CHROME 17 Intentamos acceder a nuestro foro y pulsamos en continuar de todos modos

Introducimos nuestro Pin con el DNI metido en la lectora













ACCEDEMOS MEDIANTE FIREFOX 10.1 Nos aparece la siguiente ventana en la que pulsaremos en entiendo los riesgos y en añadir excepción al ser un certificado autofirmado.

Introduciríamos nuestro PIN

Veríamos información de nuestro certificado













COMPORTAMIENTO DE EXPLORADORES SI NO INSERTAMOS EL DNI ELECTRONICO En el caso de no tener nuestro DNI electrónico introducido los errores variarían dependiendo del navegador EXPLORER















VENTAJAS DE LA VALIDACIÓN MEDIANTE DNI ELECTRONICO Solo podrán acceder usuarios con DNI electrónico con toda la seguridad que su infraestructura conlleva.













OCSP Y CLR Si quisiéramos poner todo esto en marcha en una situación real habrá que tener en cuenta los métodos de validación ocsp o clr para myor seguridad ¿todavía más? Si, es lo suyo. Pero no solo seguridad sino para la propia integridad Por ejemplo, si nosotros perdemos nuestro DNI, lo tendríamos que dar de baja, para que dicho certificado dejara de ser valido. Pese Pes e a que el que lo tuviera necesitara nuestro pin, si por algún caso lo consiguiera, con una aplicación como la que tenemos podría acceder. O













NUESTRO CASO: VERSIONES DE APACHE MÁS ANTIGUAS Como nuestra versión de Apache es la 2.2.17 podríamos crear un index.php con el siguiente contenido, en el que nos diría el estado del DNI introducido. <meta http-equip="content-type" content="text/html; charset=UTF-8" /> Página de validación mediante HTTPS

ProyectoF3-Autenticacion Proyecto Foro en PHP mediante DNI Electrónico

Recommend Documents