Re: apache (.htaccess)
roberto pasini ha scritto:
faresti un grosso favore pure a me se postassi un file di configurazione
base,
ok, allora ovviamente innanzitutto devi creare un certificato ssl per il
server e i vari certificati per i client (e su questo non mi dilungo, se
ti interessa la procedura per creare una tua Certificatio Authority per
rilasciare i vari certificati te la posto, oppure basta sgooglare)
in httpd.conf poi imposti (ovviamente sotto il virtual host ssl)
SSLEngine on
SSLCACertificatePath /path/della/CA
SSLCACertificateFile /path/del/certificato/della/CA.crt
SSLCertificateFile /path/del/cert/server.crt
SSLCertificateKeyFile /path/della/key/server.key
<Directory /mia/dir/privata>
SSLCipherSuite HIGH:MEDIUM
SSLVerifyClient require
SSLVerifyDepth 1
# ^ numero di CA intermediarie accettate: 1: accettati certificati solo
dalla propria CA
SSLRequireSSL
SSLOptions +FakeBasicAuth
# puoi ora impostare i parametri del certificato accettati (esempio:
accetta solo determinati client)
SSLRequire %{SSL_CLIENT_S_DN_O} eq "Mia CA" and %{SSL_CLIENT_S_DN_CN} in
{"Utente 1", "Utente 2"}
# utilizzo di un file di password
AuthName "Accesso Ristretto"
AuthType Basic
AuthUserFile /path/del/file/htpasswd
require valid-user
</Directory>
########################################
una riga del file htpasswd sara' quindi cosi' composta:
/C=IT/O=Mia CA/OU=Mia societa'/CN=Utente
1/emailAddress=utente1@societa.it:password_criptata
per ottenere il DN (quello prima della password) si puo' usare il comando
openssl x509 -noout -subject -in certificato_utente1.pem
ovviamente i certificati della tua CA e il certificato client devono
essere importati nel browser (anche qui basta sgooglare).
l'ho provato tempo fa, poi l'ho abbandonato (per utilizzare ssl senza
certificati client), ma mi sembra che quanto scritto sopra possa
bastare. se ho fatto qualche errore (in buona fede) e' perche' e'
passato del tempo dall'ultima molta che ho implementato qualcosa del
genere... quindi non fustigatemi :)))
per altre info sentiti libero di contattarmi (anche in privato)
ciao
Stefano
-------------------------------------------------------------------
Per favore non mandate allegati in Word o PowerPoint.
Si veda http://www.gnu.org/philosophy/no-word-attachments.it.html
-------------------------------------------------------------------
Stefano Sasso
stefano AT sasso DOT no-ip DOT org
Linux User #330315
http://sasso.no-ip.org/
http://www.dscnet.org/stefano
http://www.dscnet.org/
Reply to: