Let's Encrypt on Michael’s Domain

Asiakirjojen ilmainen digitaalinen allekirjoittaminen Linuxissa – mahdotonta?

Sun, 01 Dec 2019 00:00:00 +0000

Koko juttu alkoi, kun yritin allekirjoittaa LibreOffice-asiakirjan. Jos internetin tietoja on uskominen, asiakirjojen allekirjoittaminen on sisäänrakennettu LibreOfficeen. En ole vieläkään löytänyt ketään, joka olisi onnistunut allekirjoittamaan LibreOffice-asiakirjan digitaalisesti. Tämä kokemus osoittaa, että Edward Snowdenista huolimatta useimmat ihmiset eivät välitä aktiivisesti turvallisuudesta ja yksityisyydestä. Debian poisti scdaemonin gnupg2-paketista, ja kuten tavallista, tämän korjaaminen vaatii komentorivin ninjan taitoja. Scdaemon tarjoaa älykorttituen (jota minulla ei ole, mutta ilman scdaemonia Kleopatra-avainhallinta kieltäytyy toimimasta). Käytän Ubuntu 18.04:n oletusasennusta, ja asiakirjan allekirjoittaminen oli melkoinen seikkailu. Itse asiassa minulla ei vieläkään ole tyydyttävää tapaa tehdä tätä. Miten sen sitten tekeekin, jokin ei ole kohdallaan. Ubuntu 19.10 on korjannut ainakin avainhallinnan käynnistämisen LibreOfficesta, ja voin käynnistää SeaHorsen asiakirjan allekirjoitusvalintaikkunasta, mutta minulla ei vieläkään ole aavistustakaan, miten saisin GPG-avaimeni näkyviin LibreOfficessa. Onko kukaan selvittänyt tätä? Kunnes joku näyttää minulle, miten allekirjoitetaan LibreOfficella, käytän erittäin hyvää, mutta omaa ohjelmistoa PDFStudio GPG-avainten tuomiseen ja PDF-tiedostojen allekirjoittamiseen.Allekirjoituspalvelut (DocuSign, HelloSign) Mitä siis teet, jos sinun täytyy allekirjoittaa esimerkiksi PDF-tiedosto, mutta sinulla ei ole keinoja tai et halua tilata jotakin asiakirjojen allekirjoitukseen tarkoitettua varmennepalvelua, kuten DocuSign ? Jopa DocuSignin edullisimmalla paketilla yksi digitaalinen allekirjoitus maksaa 2 dollaria. DocuSign tarjoaa 30 päivän ilmaisen kokeilujakson, mutta en tiedä, pysyvätkö kokeilujakson aikana luomasi varmenteet voimassa kokeilujakson päättymisen jälkeen. HelloSignilla ( https://www.hellosign.com , nykyisin DropBoxin omistama ) on myös ilmainen taso (jolla voi allekirjoittaa 3 asiakirjaa kuukaudessa), ja allekirjoituksen yhteydessä se upottaa näkymättömän allekirjoituksen (joka oli jostain oudosta syystä pätemätön, kun testasin sitä, vaikka HelloSign onkin Adoben hyväksyttyjen luotettavien palveluntarjoajien listalla).Itse allekirjoitetut, CAcert ja StartSSL Teknisesti voit luoda omia allekirjoituksia (itse allekirjoitettuja varmenteita), mutta jos tällaisia PDF-tiedostoja katsellaan Acrobat Readerilla, allekirjoitus merkitään virheelliseksi ja itse allekirjoittaminen ilmoitetaan. Aikaisemmin oli olemasshttp://www.cacert.org/ -sertifikaatteja, mutta tietääkseni kaikki selaimet ovat poistaneet CAcert-sertifikaatit, ja sama pätee todennäköisesti myös Acrobatiin. StartSSL jakoi aiemmin ilmaisia sertifikaatteja, mutta niitä ei enää ole (niiden oma turvallisuus oli vakavasti kyseenalainen).PDF-katseluohjelmien tukiMielenkiintoista on, että monet PDF-katseluohjelmat jättävät allekirjoituksen joka tapauksessa huomiotta (esim. Firefoxin sisäänrakennettu PDF-katseluohjelma ei näytä mitään). Toiset PDF-katseluohjelmat näyttävät allekirjoituksen, mutta EIVÄT ilmoita, että sitä ei pidetä luotettavana (esim. Chrome-selaimen PDF-katseluohjelma ja Ubuntun oletuskatseluohjelma Evince). Koska et voi tietää, mitä katseluohjelmaa vastaanottaja käyttää allekirjoitetun PDF-tiedostosi näyttämiseen, olet joka tapauksessa hankalassa tilanteessa (vaikka tilaisitkin asiakirjojen allekirjoituspalvelun). Letsencrypt Allekirjoituksen luotettavuuden lisäämiseksi voi käyttää Letsencrypt -varmennetta allekirjoittamiseen. Tämä allekirjoitus todistaa, että asiakirjan laatija hallinnoi tiettyä verkkosivustoa (minun tapauksessani jeltsch.org). Se on enemmän kuin itse allekirjoitettu varmenne (ja jos verkkosivusto on luotettava, tämä on kiistatta myös enemmän kuin DocuSign-tilauksen ostaminen), mutta Adobe ei luota uudelleen käytettyyn Letsencrypt-varmenteeseen, koska Letsencrypt-hanke ei tietenkään ole koskaan ollut tarkoitettu asiakirjojen allekirjoittamiseen (“Allekirjoittajan identiteettiä ei tunneta, koska sitä ei ole lisätty luotettujen varmenteiden luetteloon eikä mikään sen vanhemmista varmenteista ole luotettu varmenne”). Tällaisen varmenteen enimmäisvoimassaoloaika on kuitenkin 3 kuukautta, minkä jälkeen se menettää voimassaolonsa. Sitä voidaan edelleen käyttää, mutta se näkyy voimattomana, koska se on vanhentunut (tai ei ole vielä voimassa).Kuinka käyttää Let’s Encrypt -varmennetta väärinEnsinnäkin tarvitset verkkopalvelimen, joka käyttää Let’s Encrypt -varmenteita verkkosivuston identiteetin todentamiseen. Tämä ei kuulu tämän blogikirjoituksen aihepiiriin, mutta aiheesta löytyy useita hyviä oppaita (esim. Let’s Encryptin omilta sivuilta tai Digital Oceanilta ). Kun olet hankkinut Let’s Encrypt -varmenteesi, voit ”käyttää niitä väärin” asiakirjojen allekirjoittamiseen seuraavasti: Koska Let’s Encrypt vaatii varmenteen uusimista kolmen kuukauden välein, samaan hakemistoon kertyy paljon fullchain.pem- ja privkey.pem-tiedostoja, jotka on numeroitu. Haluat tietysti käyttää uusinta (ainoa voimassa oleva) varmennetta ja ehkä haluat uusia Let’s Encrypt -varmenteen välittömästi ennen sen viemistä asiakirjojen allekirjoittamista varten: certbot --apache --force-renewal -n -d jeltsch.org tai jos haluat uusia kaikki varmenteet: certbot --apache --force-renewal Jos päätät uusia kaikki varmenteet, certbot yrittää myöntää yhden varmenteen kaikille palvelimellasi oleville verkkotunnuksille (tätä mahdollisuutta ei ollut Let’s Encrypt -ekosysteemin alkuvaiheessa, mutta se otettiin käyttöön myöhemmin). Jos palvelimesi palvelee useampaa kuin yhtä verkkotunnusta, sinun on määritettävä manuaalisesti se verkkotunnus, jolle haluat varmenteen. Lisätietoja certbot-skriptin käytöstä löytyy osoitteesta https://certbot.eff.org/docs/using.html#certbot-komennotT ämä komento muuntaa varmenteet PKCS#12-tiedostoksi:openssl pkcs12 -export -out signing_certificat.p12 -in /etc/letsencrypt/archive/website-name/fullchain1.pem -inkey /etc/letsencrypt/archive/website-name/privkey1.pemPKCS#12-tiedosto tallentaa varmenteen ja yksityisen avaimen yhteen salattuun tiedostoon (tiedostotunniste .p12). Siksi komento pyytää sinulta salasanalauseen, joka sinun on ehdottomasti muistettava, jotta voit käyttää varmennetta. Sen jälkeen voit siirtää p12-tiedoston pöytätietokoneellesi ja käyttää sitä PDF-tiedostojen allekirjoittamiseen.AikaleimauspalvelimetJos PDF-sovelluksesi pyytää aikaleimauspalvelinta, voit käyttää jotakin ilmaispalveluista, kuten ca.signFiles.com/TSAServer.aspx tai http://zeitstempel.dfn.de . Adobe Acrobat ei kuitenkaan luota myöskään näihin aikaleimauspalveluihin.Tässä ovat komennot itseallekirjoitetun varmenteen luomiseen (ohjelma pyytää (väliaikaista) salasanaa; keksi vain jotain ja muista se, tarvitset sitä toisessa vaiheessa):openssl req -x509 -newkey rsa:4096 -keyout key.pem -out cert.pem -days 3650Muuntaminen allekirjoitussertifikaatiksi (ohjelma pyytää ensin edellä mainittua väliaikaista salasanaa ja sitten lopullista salasanaa, jonka sinun on muistettava sertifikaatin käyttämiseksi:openssl pkcs12 -export -out signing_certificat.p12 -in cert.pem -inkey key.pem

Let's Encrypt on luonut kaksoiskappaleet lokitiedostoistani

Wed, 19 Oct 2016 00:00:00 +0000

En ole pitänyt verkkopalvelimeni lokitiedostoja ennen vuoden 2016 alkua, jolloin minun piti jäljittää tiettyihin tiedostoihin kohdistuneet pääsyt (aloin käyttää awstatsia , lähinnä siksi, että se oli minulle tuttu, sillä olin käyttänyt sitä vuosia sitten, kun sivustoni toimi vielä Red Hat -palvelimella). Maaliskuussa 2016 aloin onneksi käyttää Let’s Encryptia . Olin aiemmin käyttänyt toista ”ilmaista” palvelua, joka joutui äskettäin suuriin vaikeuksiin, sillä se ei ilmeisesti pystynyt hallitsemaan omaa tietoturvaansa. Kun tarkastelin Apache-palvelimeni lokitiedostoja (Ubuntu 14.04:llä), huomasin, että Apache teki kaksoislokitusta (sekä yksittäisen virtuaalipalvelimen lokitiedostoon että yhteiseen lokitiedostoon). Huomasin, että Let’s Encrypt määrittää jokaisen virtuaalipalvelimen konfiguraatiotiedostoon Import-direktiivin, joka viittaa tiedostoon /etc/letsencrypt/options-ssl-apache.conf. Ja tämä tiedosto puolestaan määrittää yhteiset access.log- ja error.log-tiedostot kaikille virtuaalipalvelimille hakemistoon /var/log/apache2/. Poistin kommenttimerkit viidestä tähän lokitiedostojen tallennukseen liittyvästä rivistä, ja päällekkäinen lokitiedostojen tallennus loppui (alun perin olin luullut, että tätä Let’s Encrypt -direktiiviä käytettiin vain Let’s Encryptin alkuasetuksissa varmenteen luomista varten).

OpenBIS aloittelijoille

Tue, 06 Sep 2016 00:00:00 +0000

Jos olet harkinnut siirtymistä paperisista laboratoriomuistiinpanoista sähköisiin , kuten me tällä hetkellä teemme, olet ehkä törmännyt OpenBIS -ratkaisuun. Haluatko asentaa OpenBIS:n, mutta et tiedä miten? Minullakaan ei ollut aavistustakaan, joten yritin toistuvasti, kunnes onnistuin. Onneksi sain apua ETHZ:n OpenBIS-tiimiltä ja paikalliselta IT-tukitiimiltä, mutta he eivät tietenkään voi korvata Jetty- ja PostgreSQL-ohjelmistoihin liittyvän osaamisen puutetta….Jos haluat vain kokeilla sitä nopeasti, voi olla helpompaa ladata VirtualBox-kuva, jossa kaikki on esiasennettu ja esiasetettu ( https://wiki-bsse.ethz.ch/display/bis/openBIS+ELN-LIMS+Virtual+Machine ). Minulla ei kuitenkaan ollut tarpeeksi nopeaa laitteistoa VirtualBox-kuvan ajamiseen, joten päätin, että vanha tietokone riittää hyvin myös ilman virtuaalikoneen käyttöä. Alla olevat ohjeet on kirjoitettu muistista ja niiden lopullisten konfiguraatiotiedostojen perusteella, jotka toimivat. Aion kuitenkin vielä asentaa palvelimen alusta alkaen suorittamalla vain alla kirjoittamani ohjeet varmistaakseni, etten ole jättänyt mitään tärkeää huomiotta. Sillä välin haluan kuitenkin julkaista nämä tiedot. Olisin ollut iloinen, jos olisin löytänyt jonkinlaisen ”OpenBIS-asennus aloittelijoille” -ohjeen. Jotta tuki olisi mahdollisimman pitkäaikaista, valitsin asennukseen Ubuntu 16.04 Serverin (VirtualBox-kuvassa käytetään Ubuntu 14.04 Desktopia) ja OpenBIS 16.05.1 -ohjelmiston uusimman version.ethz.ch/display/bis/Production+Releases) (ohjelmiston lataaminen edellyttää tilin luomista). Sähköisen laboratoriomuistikirjan (ELN) laajennus sisältyy kyseiseen versioon. Tällöin sinulla on ongelma Java 7:n tuen kanssa (sitä ei ylläpidetä enää kauan, ja aion pian kokeilla OpenBIS ELN:n käyttöä Java 8:n kanssa, mutta tässä ohjeessa käytetään Java 7 PPA:ta Ubuntu 16.04:lle).1. Asenna Ubuntu 16.04.1 Server puhtaalta pöydältä. Luo asennuksen aikana järjestelmänvalvojakäyttäjä ”openbis”. Kun ohjelma pyytää valitsemaan ohjelmistot, valitse vakiotyyppisten järjestelmätyökalujen lisäksi OpenSSH ja PostgreSQL. Ensimmäisen kirjautumisen yhteydessä (käyttäjänä openbis) päivitä ja päivitä kaikki ohjelmistot uusimpaan versioon ja asenna emacs (tai mikä tahansa mieluisasi tekstieditori) sekä unzip:sudo apt install unzip emacs24-nox2. Asenna Java 7. Tässä on yksi tapa tehdä se:sudo add-apt-repository ppa:openjdk-r/ppa sudo apt-get updatesudo apt-get install openjdk-7-jre-headless3. Jotta PostgreSQL asennettaisiin oikein, muokkaa asetustiedostoa /etc/postgres/9.5/main/pg_hba.conf. Kaikissa peer-sanalla päättyvissä riveissä peer on vaihdettava sanaksi trust! Sen jälkeen lataa PostgreSQL uudelleen: sudo systemctl reload postgreql4. Jos asennat VirtualBoxin kaltaiseen virtuaalikoneeseen, on järkevää asentaa vierasapuohjelmat (virtualbox-guest-utils), sillä ne helpottavat käyttöä. Luo jaettu (pysyvä, automaattisesti avautuva kansio) ja lisää openbis vboxsf-ryhmään: sudo usermod -a -G vboxsf openbis 4. Siirrä pakattu openBIS-asennustiedosto openbis-käyttäjän kotikansioon. 5. Pura asennustiedosto:tar -xvzf openBIS-installation-standard-technologies-S233.0-r36799.tar.gz6. Siirry purkettuun hakemistoon: cd openBIS-installation-standard-technologies-S233.0-r36799 7. Muuta seuraavia asetuksia console.properties-tiedostossa: INSTALL_PATH=/home/openbis/DSS_ROOT_DIR=/home/openbis/dataELN-LIMS = truePATHINFO_DB_ENABLED = trueINSTALLATION_TYPE = serverTässä kokeilussa en ole muuttanut avainvaraston salasanaa, mutta sinun tulisi tehdä se turvallisuussyistä, jos käytät palvelinta tuotantokäytössä!8. Suorita asennusohjelma (ei root-käyttäjänä, vaan openbis-käyttäjänä):./run-console.sh9. Kun asennusohjelma pyytää antamaan openBIS-käyttäjän ”admin” salasanan, kirjoita salasana, jota haluat käyttää kirjautuessasi admin-käyttäjänä verkkokäyttöliittymään.10. Kun asennus on valmis, siirry kansioon ~/openbis/servers/openBIS-server/jetty/etc ja muokkaa tiedostoa service.properties. Itse asiassa sinun ei tarvitse muokata mitään, jotta asennus toimisi, mutta meidän piti määrittää järjestelmä Ldap-pohjaista kirjautumistodennusta varten.authentication-service = file-authentication-service => authentication-service = file-ldap-authentication-serviceJos käytät pelkästään LDAP:tä (eli authentication-service = ldap-authentication-service), LDAP-hakemistossa on oltava tiettyjä erityiskäyttäjiä. Todennamme yliopistomme LDAP-palvelimen kautta vain järjestelmän tavallisia käyttäjiä, joten esimerkiksi järjestelmänvalvojan käyttäjä on todennettava paikallisesti. Tämä järjestelmänvalvojan käyttäjä määritetään asennuksen aikana, mutta jotta tämä toimisi, sekä tiedosto- että LDAP-todennuksen on oltava käytössä. Tämä on ldap-palvelimemme osoite, sellaisena kuin se on määritelty service.properties-tiedostossa. Se sisältää todennusperustan, jonka sinun on pyydettävä järjestelmänvalvojiltasi:ldap.server.url = ldap://ldap2015.it.helsinki.fi/OU=people,DC=helsinki,DC=fiTämä on LDAP-käyttäjä ja hänen salasanansa LDAP-palvelimella (älä kysy minulta, miksi LDAP-väki käyttää niin monimutkaista sanamonsteria niin yksinkertaisen käsitteen kuvaamiseen):ldap.security.principal.distinguished.name = OU=openbis,OU=login,DC=helsinki,DC=fi``ldap.security.principal.password = PASSWORDSeuraavat parametrit koskevat nimenomaan LDAP-palvelintamme. Käytämme OpenLDAP:ia, ja koska OpenBIS ei näytä tukevan TLS:ää, käytämme SSL:ää:ldap.security.protocol = ssl``ldap.security.authentication-method = simple``ldap.queryTemplate = (&(%s))OpenBIS vaatii HTTPS:ää. Voit joko jättää itse allekirjoitetun varmenteen (jonka ETHZ on toimittanut) voimaan tai asentaa oman varmenteen. Jos pidät itse allekirjoitetun varmenteen voimassa, kaikki käyttäjät saavat varoituksen yrittäessään kirjautua verkkopalveluun. Lisäongelmana näyttää olevan se, että tiedostojen lähettäminen ei näytä toimivan itse allekirjoitetulla varmenteella, koska portin 8444 kautta lähetetty https-pyyntö ei tuota sellaista välityspyyntöä, joka näkyisi käyttäjille selainikkunassa ja jonka he voisivat ohittaa.Siksi meillä ei ollut muuta vaihtoehtoa kuin hankkia oikea varmenne, mikä onneksi on nykyään helpompaa kuin vielä vuosi sitten Let’s Encryptin ansiosta. Siitä huolimatta varmenteen hankkiminen kesti jonkin aikaa. Käytämme OpenBIS-palvelinta yliopiston sisäverkossa, eikä se ole näkyvissä ulkopuolelta. Käyttäjien, jotka haluavat käyttää palvelinta ulkopuolelta, on käytettävä VPN:ää. Siksi jouduimme asentamaan väliaikaisen ”väärennetyn” palvelimen, jolla on sama nimi, julkisesti saavutettavalle IP-osoitteelle ja luomaan Let’s Encrypt -varmenteen (Let’s Encrypt ei ole vielä automatisoitu Jetty-sovellukselle). Käytin automaattista menetelmää Apache2:lle omalla Digital Ocean -palvelimellani ja hain sitten kaksi tärkeää tiedostoa (fullchain1.pem ja privkey1.pem) hakemistosta /etc/letsencrypt/archive/eln.jeltsch.org ja siirrin ne OpenBIS-palvelimellemme. Muuntaakseni ne Java-avainvarastolle sopivaan muotoon käytin seuraavia komentoja:openssl pkcs12 -export -out keystore.pkcs12 -in fullchain1.pem -inkey privkey1.pemkeytool -importkeystore -srckeystore keystore.pkcs12 -srcstoretype PKCS12 -destkeystore keystore.jksEnsimmäinen komento pyytää vientisalasanaa. Ei ole väliä, mitä salasanaa käytät (minä käytin 12345678). Toinen komento pyytää kohdeavainvaraston salasanaa. Kirjoita tähän “changeit”, jos et ole muuttanut avainvaraston oletussalasanaa (“changeit”) asennuksen aikana. Sitten se pyytää myös lähdeavainvaraston salasanaa (joka on se 12345678, jota käytin juuri yllä).Sitten sinun on vielä lisättävä tämän avainvaraston sisältö jo olemassa olevaan avainvarastoon. Tähän on luultavasti monia tapoja, mutta minä käytin graafista työkalua nimeltä Keystore Explorer . Avaa vain molemmat avainvarastot (tähän tarvitset salasanan ”changeit”), poista olemassa oleva ETHZ-merkintä ja lisää ainoa (letsencrypt) merkintä äskettäin luodusta avainvarastosta. Korvaa hakemistossa ~/openbis/servers/openBIS-server/jetty/etc/ olevat tiedostot ”keystore” ja ”openBIS.keystore” muokatulla avainvarastolla. Molemmat tiedostot ovat identtisiä, enkä tällä hetkellä tiedä, miksi ne on kopioitu kahdesti. Sinun on myös korvattava ~/openbis/servers/datastore_server/etc/openBIS.keystore avainvaraston uudella versiolla. Jostain syystä tiedostojen lähetys ei toiminut, ja jotta lähetys saadaan toimimaan, datastore-palvelimen service.properties-tiedostossa on määritettävä datastore-palvelimen isäntäosoite: https://eln tarvitsee => https://eln.jeltsch.org. Koska käytimme eri isäntää varmenteen luomiseen, isäntänimissä oli ristiriita, ja jouduimme korvaamaan isäntänimen asetukset manuaalisesti: Muuta ne tiedostoissa /etc/hostname ja /etc/hosts ja käynnistä sitten järjestelmä uudelleen. Asennusohjelma otti kuitenkin datastore-palvelimen service.properties-tiedostoihin vain nimen ensimmäisen osan. Palvelimemme nimi on eln.jeltsch.org, mikä johti muotoon https://eln. Tätä osoitetta ei voitu ratkaista verkossamme, koska Let’s Encrypt -varmenne oli allekirjoitettu toisella palvelimella. Kun olimme muuttaneet service.properties-tiedostoja ja käynnistäneet järjestelmän uudelleen, olimme vihdoin valmiita testaamaan palvelinta: 11. Palvelimen käynnistäminen: Kirjaudu palvelimeen openbis-käyttäjänä. cd ~/openbis/bin/./allup.sh 12. Siirry toisella tietokoneella selaimellasi osoitteeseen “ https://eln.jeltsch.org:8443/openbis/webapp/eln-lims" . Jos et ole asentanut julkisesti luotettua varmennetta, selain varoittaa sinua nyt, että yhteys ei ole suojattu. Napsauta vain “Lisäasetukset” ja vahvista suojauspoikkeus. Sinun on kirjauduttava sisään käyttäjätunnuksella admin/PASSWORD (jonka määritit asennuksen yhteydessä). ELN:n käytöstä on saatavilla joitakin oppaita . Laboratoriossani työskentelevät kollegat ovat kuitenkin kertoneet, että käyttöliittymä ei ole kovin intuitiivinen ja että minun on opetettava heille perusasiat. Mielestäni voisi olla järkevää kuvata oppaassa tyypillisen pienen biotieteiden laboratorion asetukset: mitkä työtilat, millaiset käyttöoikeudet ja kenelle, sekä kuvata yleisiä tilanteita (esim. jos joidenkin reagenssiluetteloiden on oltava ulkopuolisten saatavilla jne.). Minulla on myös paljon parannusehdotuksia. Olisi esimerkiksi mukavaa saada lisää ”ELN-esikatseluja” ladatuille asiakirjoille. Tällä hetkellä kuvia voi esikatsella, mutta esimerkiksi PDF-tiedostoja ei (en ole vielä kokeillut SVG-tiedostoja, mutta käytämme niitä melko paljon kuvien merkitsemiseen). Tämä ei todellakaan ole viimeinen OpenBIS-aiheinen kirjoitukseni, ja ennen kuin otamme järjestelmän tuotantokäyttöön (todennäköisesti ensi vuoden alussa), minulla on vielä paljon opittavaa.