Tag: https

วิธีติดตั้ง HTTPS ด้วย Certificate ของ Let’s Encrypt
จาก มาใช้งาน let’s encrypt กันเถอะ ของอาจารย์ฉัตรชัย ผมขอขยายความต่อ เอาแบบว่า Copy-Paste กันเลย

โดยในที่นี้ …
- OS เป็น Ubuntu 18.04
- Web Server เป็น Apache
- ที่ Firewall เปิดให้เข้าถึง TCP 80 / 443 จาก Internet ได้ — มันจำเป็นสำหรับการ Verification ของ Certbot ครับ *** ในเบื้องต้นนะ 🙂 ***
Let’s Encrypt คืออะไร อ่าน …
https://letsencrypt.org/getting-started/

เริ่มต้น ต้องติดตั้ง Certbot ก่อน อ่าน …
https://certbot.eff.org/

ดูต้นฉบับการติดตั้งของ Ubuntu 18.04 และใช้ Apache ได้จาก
https://certbot.eff.org/lets-encrypt/ubuntubionic-apache

ติดตั้ง Certbot ก่อน

ใช้คำสั่งต่อไปนี้ จาก User ที่สามารถ sudo ได้
```
sudo apt-get update
sudo apt-get install software-properties-common
sudo add-apt-repository ppa:certbot/certbot
sudo apt-get update
sudo apt-get install python-certbot-apache 
```
แบบ Auto

จากนั้นใช้คำสั่งต่อไปนี้ เพื่อให้ certbot ทำการติดตั้ง Certificate และแก้ไขไฟล์ (ในที่นี้ใช้ Apache) Configuration ให้เลย
```
sudo certbot --apache
```
แบบแก้ไขเอง

หรือถ้าจะทำเอง โดยต้องการเอาเฉพาะ Certificate มา แล้วทำการแก้ไขไฟล์ Apache Configuration เองก็ได้
```
sudo certbot --apache certonly 
```
ระบบจะถาม
- ยอมรับเงื่อนไขไม๊ –> แน่นอน (A) Accept
- email address ให้ใส่ไปตามจริง
- ต้องการให้แสดง email address เปิดเผยหรือไม่ –> ผมตอบ No นะ
- และ บอกว่า Domain Name ของเราคืออะไร ให้ใส่ FQDN ไป เช่น kx1.in.psu.ac.th เป็นต้น
จากนั้น Certbot จะ Callback ไป ให้มีการ Verification จาก Internet ว่าสามารถเข้าถึงได้จริงหรือไม่ (ตรงนี้ ใน PSU ต้องแจ้งทาง Network Admin เพื่อเปิด Port ที่ Firewall ให้เข้าถึง TCP 80 และ 443 ให้สำเร็จก่อน)

เมื่อ Verification สำเร็จ ก็จะได้ไฟล์ Certificate และ Private Key มา จะอยู่ที่ (path แต่ละเครื่องจะแตกต่างกันตรงที่ Domain Name ที่กำหนดข้างต้น) ตามลำดับ
```
/etc/letsencrypt/live/kx1.in.psu.ac.th/fullchain.pem
/etc/letsencrypt/live/kx1.in.psu.ac.th/privkey.pem
```
แก้ไขไฟล์
```
/etc/apache2/sites-available/default-ssl.conf
```
ให้มีค่าต่อไปนี้
```
SSLCertificateFile  
   /etc/letsencrypt/live/kx1.in.psu.ac.th/fullchain.pem
SSLCertificateKeyFile 
    /etc/letsencrypt/live/kx1.in.psu.ac.th/privkey.pem
```
จากนั้นใช้คำสั่งนี้ เพื่อเปิดใช้งาน https
```
sudo a2enmod ssl
```
ใช้คำสั่งนี้ เพื่อใช้งาน default-ssl
```
sudo a2ensite default-ssl
```
และทำการ Restart apache ด้วยคำสั่งนี้

sudo systemctl reload apache2

ทดสอบใช้งาน HTTPS

ใช้งานได้

NOTE
- จริง ๆ แล้ว ในองค์กร สามารถทำเครื่อง ๆ หนึ่งขึ้นมา เพื่อติดตั้ง certbot แล้วขอ Certificate มา ของ Domain ต่าง ๆ แล้วค่อย “ย้าย” certificate และ key file ไปเครื่องที่จะใช้งานจริง แล้ว ชี้ Domain Name ใหม่ไปยังเครื่องนั้นก็ได้ แต่เมื่อครบ 90 วัน ต้อง Renew ใหม่ (ทดลองทำกับ Google Compute Engine โดยสร้าง Certificate โดยชี้ Domain ไปยัง IP จริง ของ Google พอเรียบร้อยแล้ว ก็แล้วย้ายไฟล์ ย้าย Domain Name มาที่ IP ภายใน ใช้งานได้ เหมือนกัน) — วิธีนี้ลักไก่เอาได้ แต่ก็จะยุ่งยากหน่อย และต้องระวัง 90 วันที่จะต้อง Renew
- แต่จะให้ถูกต้อง ก็ควรใช้งานกับเครื่องที่เปิด Firewall ให้เข้าถึง TCP 80 / 443 ได้ เพื่อติดตั้ง certbot จะดีกว่า
- สามารถขอ Wildcard ได้ เช่น จะขอ *.kx1.in.psu.ac.th ก็ได้ แต่ต้องมีความรู้ DNS กว่านี้หน่อย เดี๋ยวค่อยมาเล่าให้ฟังครับ
- [UPDATE] กรณีเป็น Web Hosting กล่าวคือ ให้บริการหลาย ๆ Virtual Host เช่น เครื่องหลักใช้ชื่อว่า kx1.in.psu.ac.th ถ้าต้องการให้ www.something.psu.ac.th ชี้มาที่เครื่องนี้ด้วย ก็ทำ www CNAME kx1.in.psu.ac.th. (ที่ zone something.psu.ac.th) มาก็ได้ แล้วค่อยใช้ certbot ที่เครื่อง kx1.in.psu.ac.th นี้ สร้าง Certificate ให้ก็ได้ครับ
หวังว่าจะเป็นประโยชน์ครับ
November 13, 2018
วิธีตั้งค่า HTTPS บน Apache2 รุ่นที่สูงกว่า 2.4.8
จากบทความ การแก้ไข Certificate สำหรับ Apache Web Server (Ubuntu 14.04 LTS) ตอนนี้ Apache2 รุ่นที่สูงกว่า 2.4.8 ประกาศให้ SSLCertificateChainFile นั้น obsolete หรือ จะไม่ใช้อีกต่อไป

จากเดิม เราเคยใช้
```
SSLCertificateFile /etc/apache2/cer/[cer-file-name].crt
SSLCertificateKeyFile /etc/apache2/cer/[cer-file-name].key
SSLCertificateChainFile /etc/apache2/cer/[cer-file-name].ca-bundle
```
ต่อไปนี้ แนะนำให้ใช้แค่
```
SSLCertificateFile /etc/apache2/cer/[cer-file-name]_combined.crt
SSLCertificateKeyFile /etc/apache2/cer/[cer-file-name].key
```
แล้ว
```
/etc/apache2/cer/[cer-file-name]_combined.crt
```
มาจากไหน ??? มันมากจากการเอาไฟล์ [cer-file-name].crt แล้วต่อท้ายด้วยไฟล์ [cer-file-name].ca-bundle ด้วยคำสั่ง
```
cat [cer-file-name].crt [cer-file-name].ca-bundle > [cer-file-name]_combined.crt
```
เช่น
```
cat in_psu.crt intermediate_ca.crt > in_psu_combined.crt
```
เป็นต้น เสร็จแล้ว ก็ Restart Apache — จบแค่นี้ ใช้งานได้

TL;DR

Q: มีไฟล์ .crt เต็มไปหมด จะรู้ได้ไงว่า อันไหนคือ Certificate ของอะไร อย่างไร

A: สมมุติ Certificate ของ Server ที่ได้มา ชื่อ server.crt ต้องใช้คำสั่งนี้ ดูรายละเอียด
```
openssl x509 -in server.crt -text
```
ผลที่ได้ จะประมาณนี้

สิ่งสำคัญที่ควรดู ในที่นี้คือ Issuer จะเห็นว่า CN หรือ common name คือ AlphaSSL CA – SHA256 – G2 และบรรทัด Subject จะบอกว่า Domain (*.xxxxx.psu.ac.th) ที่ลงทะเบียนไว้ อยู่ภายใต้ “AlphaSSL CA” อีกที

ซึ่ง ถ้าไปดูใน /etc/ssl/certs ก็จะเห็นว่า ไม่มี CA Certificate ของ “AlphaSSL CA” นี้อยู่ แต่จะมีของ “GlobalSign Root CA” อยู่

ทำไมเป็นอย่างนั้น ??? เพราะ CA เค้าต้องรักษา Root Certificate ของตนเองไว้ให้ดี จึงออกสิ่งที่เรียกว่า Intermediate CA ขึ้นมาอีกชั้นหนึ่ง แล้วแจกจ่ายให้กับผู้ที่ซื้อ Certificate ของเค้าอีกชั้นหนึ่ง

คราวนี้ มาลองดูข้อมูลใน intermediate_ca.crt ว่ามีข้อมูลเป็นอย่างไร ด้วยคำสั่ง
```
openssl x509 -in intermediate_ca.crt -text
```
จะเห็นได้ว่า Issuer เป็น “GlobalSign Root CA” และ Subject เป็น “AlphaSSL CA”

จากเดิม Apache2 รุ่น < 2.4.8 ให้ใช้ Directive “SSLCertificateChainFile” ในการกำหนด Intermediate CA ได้ แต่หลังจากนั้น ก็ให้ Obsolete เพราะ สามารถเอา 2 ไฟล์มาต่อกันได้ตามที่เขียนไว้ข้างต้น

ในทางปฏิบัติ จริง ๆ แล้ว ก็ยังใช้ได้อยู่ แต่เป็น Obsolete ทางที่ดี ก็ควรจะปรับปรุงตามที่แนะนำไว้จะดีกว่า

และ ถ้าใช้งานแค่ SSLCertificateFile (แบบที่มีแต่ Server Certificate) และ SSLCertificateKey (Server Private Key) นั้น เมื่อ Restart apache2 แล้ว ทดสอบใช้งานกับ Web Browser ส่วนใหญ่ จะใช้งานได้ ไม่ต้องอ้าง Intermediate CA ก็ได้ *** เพราะใน Web Browser ได้ติดตั้ง Intermediate CA พวกนี้ไว้เป็นส่วนใหญ่แล้ *** แต่ถ้าลองเรียกผ่าน curl หรือบริการอื่น ๆ เช่น จาก Google DialogFlow Fulfillment ก็จะเรียกไม่ผ่าน เพราะในระบบเค้าไม่ได้ใส่ Intermediate CA ไว้นั่นเอง

การที่ Combined ทั้ง Server Certificate และ Intermediate CA ไว้ในไฟล์เดียวกัน ทำให้มั่นใจได้ว่า สามารถใช้งาน https ได้จากทุก Platform นั่นเอง

หวังว่าจะเป็นประโยชน์ครับ
October 12, 2018
COMODO Certificates บรรทัดที่หายไปใน Google Chrome บน Ubuntu

ผมทำ Zeroshell Firewall สำหรับเป็น network authentication หลังจากผม setup ส่วนที่เกี่ยวกับ Certificate ที่จะใช้กับ https ผมได้ import COMODO Certificates (ที่มหาวิทยาลัยใช้บริการ)

เมื่อทดสอบการใช้งาน เข้าโปรแกรม Firefox บน Ubuntu เมื่อผู้ใช้ใส่ URL เพื่อไปเว็บไซต์ใด ๆ จะพบกับหน้า network authentication และ https ถูกต้อง (เป็นสีเขียว) แต่เมื่อเปิดด้วย Google Chrome จะพบว่า https จะไม่ถูกต้อง (เป็นขีด / สีแดง) ทำไมจึงเป็นเช่นนั้น

เปิดเข้าไปดูรายการ Certificates ที่อยู่ใน Browser Firefox เทียบกับ Google Chrome ก็พบว่ามีความแตกต่างต่างกันที่บรรทัด คือ COMODO RSA Domain Validation Secure Server CA ดังนี้

รูปข้างล่างนี้เป็นรายการ Certificates ของ COMODO ใน Firefox บน Ubuntu 16.04 ซึ่ง มี บรรทัดที่ว่านี้

รูปข้างล่างนี้เป็นรายการ Certificates ของ Comodo ใน Google Chrome บน Ubuntu 16.04 ซึ่ง ไม่มี

รูปข้างล่างนี้เป็นรายการ Certificates ของ COMODO ใน Google Chrome for Windows 10 ซึ่ง มี บรรทัดดังกล่าวอยู่ในแท็บ Intermediate Certification Authorities ซึ่งผมพบว่ารายการมันจะเกิดขึ้นหลังจากเคยไปเว็บไซต์ใด ๆ ที่ติดตั้ง COMODO Certs ไว้

ผมก็ไป export “COMODO RSA Domain Validation Secure Server CA” จาก Firefox แล้วนำไป import ใน Google Chrome บน Ubuntu 16.04 เพื่อทดสอบว่ามันเกี่ยวกันมั้ย มันเกี่ยวกันจริง ๆ ด้วย แต่ผมไม่รู้ว่าทำไมจึงเป็นเช่นนั้น จึงต้องการจะบันทึกไว้ เผื่อใครที่รู้จะมาช่วยอธิบาย

ในหน้า Login นั้น สัญลักษณ์ https แสดงเป็นสีเขียว ถูกต้องได้ ตามรูป

ใครรู้มาเฉลยที

เพิ่มเติมท่อนข้างล่างนี้เมื่อ 11 พ.ค. 60 ครับ

ตอนนี้ผมได้คำตอบมาอัปเดตแล้วครับ จากที่ได้ความช่วยเหลือจากคุณพรพิทักษ์ สันติภาพถาวร ผู้ดูแล PSU CERTS เราพบว่าในหน้าคอนฟิกของ Zeroshell นั้น ในเมนู Captive Portal X.509 Authentication นั้นหลังจากเรา import #1 Trusted CA จากไฟล์ STAR_psu_ac_th.ca-bundle ดังรูป

แล้วเราจะได้บรรทัด COMODO RSA Domain Validation Secure Server CA เพิ่มขึ้นมา ดังรูป

และ #2 Imported Certificates and Keys ด้วยไฟล์ STAR_psu_ac_th.crt และ STAR_psu_ac_th_nopass.key ดังรูป

แล้วเราจะได้บรรทัด OU=Domain Control Validated, OU=PositiveSSL Wildcard, CN=*.psu.ac.th มาดังรูป

จากนั้น เราจะต้องไปคลิกตัวเลือก Authentication เพื่อ เลือก Allow the X.509 login with the certificates signed by the following Trusted CAs: ด้วย COMODO RSA Domain Validation Secure Server CA ดังรูป

สรุปว่าผมยังตั้งค่าไม่ครบถ้วนนั่นเอง คือ ขาดการตั้งค่าเรื่อง Authentication นี่เองว่าให้อนุญาตการ login ด้วย certificate ที่ signed โดย Trusted CAs ที่เรา import เข้าไปนั่นเอง

ขอให้บทความนี้มีประโยชน์ สร้างความเข้าใจ และ เป็นการบันทึกไว้ว่า หากเรานำ PSU CERTs ไปติดตั้งทำเป็น Captive Portal ในระดับคณะ ก็สามารถทำได้โดยอาจจะนำบทความนี้ไปเป็นตัวอย่างประกอบครับ

May 8, 2017
รวมวิธีลดช่องโหว่ Server

“บทความนี้เป็นบทความเกี่ยวกับวิธีการปิดช่องโหว่ รวมถึงวิธีการ Monitor ตรวจสอบช่องโหว่ด้วยโปรแกรมต่าง ๆ ครับ”

วิธีการตรวจสอบช่องโหว่

Blog 1 : ตรวจสอบความปลอดภัย web server https โดย Qualys

Blog 2 : วิธีการตรวจสอบระดับความปลอดภัยของ Certificate

วิธีการแก้ไข Certificate เพื่อให้มีความปลอดภัยมากขึ้น

Blog 1 : Windows Server 2003 R2

Blog 2 : Windows Server 2008 / 2008 R2 / 2012 / 2012 R2

Blog 3 : Apache Web Server (Ubuntu 14.04 LTS)

Blog 4 : Lighttpd Web Server (Ubuntu 14.04 LTS)

วิธีการปิดช่องโหว่ Logjam,Freak,Poodle,Beast

Blog 1 : Windows Server 2003 R2

Blog 2 : Windows Server 2008/2008 R2/2012/2012 R2

Blog 3 : Apache Web Server (Ubuntu 14.04 LTS)

Blog 4 : Lighttpd Web Server (Ubuntu 14.04 LTS)

อ่านวิธีแก้ไขเพิ่มเติมได้ที่ : http://disablessl3.com/

November 10, 2015
การสร้าง virtualhost บน Apache2 web server (2.4.x ขึ้นไป)

ขอเล่าเรื่องการสร้าง virtualhost บน Apache2 web server (2.4.x ขึ้นไป) อย่างง่ายๆ แต่ก็เป็นผลมาจากการเปลี่ยนจาก ubuntu 12.04 server ไปเป็น ubuntu 14.04 server เมื่อเร็วๆนี้

Apache 2.4.x เช่น 2.4.7 ที่มาพร้อม ubuntu 14.04 server จะมีการจัดการเรื่อง Document root ที่แตกต่างจากเวอร์ชั่นที่ต่ำกว่า เช่น Document root จะอยู่ที่ /var/www/html แทนที่จะเป็น /var/www เหมือนเดิม ดังนั้นเมื่อทำ virtualhost จึงต้องมีการวางไดเรกทอรีไว้ที่ /var/www และทำ virtualhost เช่น www.example.com และชี้ documentroot ที่ /var/www/www.example.com

มาดูกันครับว่าจะต้องทำอย่างไรบ้าง เริ่มต้นที่หลังจากติดตั้ง ubuntu 14.04 เสร็จแล้ว พร้อมทั้งได้ติดตั้ง packages LAMP หากไม่แน่ใจก็ตรวจสอบด้วยคำสั่ง sudo tasksel
ในบทความมีการอ้างถึง editor ที่ใช้แก้ไขไฟล์ชื่อ vi หากไม่คุ้นเคยวิธีใช้ก็ให้เปลี่ยนเป็นคำว่า nano จะเป็น full screen editor ใช้ง่ายกว่า

ตรวจสอบว่าเรามีโดเมนเนมแล้ว (check domain name)
mama@ubuntu:$ host www.example.com
www.example.com is an alias for iserver.example.com.
iserver.example.com has address 10.0.100.9

เข้าไปที่ไดเรกทอรี
mama@ubuntu:$ cd /var/www/

สร้างไดเรกทอรีชื่อ www.example.com
mama@ubuntu:/var/www$ sudo mkdir www.example.com

สร้างไฟล์ตัวอย่างของเว็บไซต์
mama@ubuntu:/var/www$ sudo vi www.example.com/index.php
มีข้อความเพียง 1 บรรทัด
<?php echo “WWW Hello, world!”; ?>

ใช้คำสั่งแสดงรายการ จะเห็น
mama@ubuntu:/var/www$ ls www.example.com/
index.php

ใช้คำสั่งแสดงข้อมูลในไฟล์ จะเห็น
mama@ubuntu:/var/www$ cat www.example.com/index.php
<?php echo “WWW Hello, world!”; ?>

เข้าไปไดเรกทอรีสำหรับจัดการ config site
mama@ubuntu:/var/www/html$ cd /etc/apache2/sites-available

ใช้คำสั่งแสดงรายการ จะเห็น
mama@ubuntu:/etc/apache2/sites-available$ ls
000-default.conf default-ssl.conf

สร้างไฟล์สำหรับ config virtual host ชื่อมี .conf ต่อท้ายด้วย
mama@ubuntu:/etc/apache2/sites-available$ sudo cp 000-default.conf www.example.com.conf

แก้ไขไฟล์ www.example.com.conf
mama@ubuntu:/etc/apache2/sites-available$ sudo vi www.example.com.conf
แก้ไขเฉพาะบรรทัดข้างล่างนี้
NameVirtualHost www.example.com:80
<VirtualHost www.example.com:80>
ServerName www.example.com
ServerAdmin webmaster@localhost
DocumentRoot /var/www/www.example.com

สั่งให้ apache2 รับ site ใหม่
mama@ubuntu:/etc/apache2/sites-available$ sudo a2ensite www.example.com

สั่ง reload apache2
mama@ubuntu:/etc/apache2/sites-available$ sudo service apache2 reload

ทดสอบ www.example.com ด้วยคำสั่ง w3m
mama@ubuntu:/etc/apache2/sites-available$ w3m http://www.example.com
จะเห็นหน้าเว็บเพจ
WWW Hello, world!
กด Ctrl+c เลิกดู

หากทำอีก site ชื่อ iserver.example.com ก็เลียนแบบด้านบน และเมื่อทดสอบด้วยคำสั่ง w3m
mama@ubuntu:/etc/apache2/sites-available$ w3m http://iserver.example.com
ก็จะได้เช่นเดียวกัน (ควรใส่ข้อความให้เกิดความแตกต่าง)
ISERVER Hello, world!

ต่อไปคุณต้องคิดต่อเองว่าถ้าต้องใช้ https ด้วยหรือไม่ ถ้าต้องการ จะใช้ self-signed certificate ที่ apache2 ให้มา หรือว่า จะซื้อ trusted root certificate ที่มีขายในอินเทอร์เน็ต

เริ่มต้นตรวจสอบ จะพบว่า https ยังใช้งานไม่ได้ ควรที่จะเกิด error ไม่สามารถเข้าถึงได้ เพราะเรายังไม่ได้ enable https บน www.example.com
จะเห็นแบบนี้
mama@ubuntu:/etc/apache2/sites-available$ w3m https://www.example.com
w3m: Can’t load https://www.example.com.

เราสามารถ enable https โดยใช้คำสั่ง
sudo a2enmod ssl
sudo a2ensite default-ssl
sudo service apache2 reload

w3m https://www.example.com
ก็ควรที่จะเชื่อมต่อไปยัง web server ได้ โดยที่จะยังมีคำเตือนในเรื่อง certificate ที่ไม่ถูกต้อง เนื่องจากเป็น self-signed certificate แต่จะเข้าไปยังเว็บเพจได้
จะเห็นแบบนี้
Apache2 Ubuntu Default Page
It work!

ต่อไปก็จะทำให้ใช้ https ได้แบบใช้ self-signed certificate
ให้ copy ไฟล์ www.example.com.cof เป็นอีกไฟล์ให้มีชื่อ ssl ด้วยเพื่อให้จำง่าย
mama@ubuntu:/etc/apache2/sites-available$ sudo cp www.example.com.conf www.example.com-ssl.conf

แก้ไขไฟล์ www.example.com-ssl.conf
mama@ubuntu:/etc/apache2/sites-available$ sudo vi www.example.com-ssl.conf
แก้ไขสองบรรทัดแรกจาก
NameVirtualHost www.example.com:80
<VirtualHost www.example.com:80>
เป็น
NameVirtualHost www.example.com:443
<VirtualHost www.example.com:443>
และเพิ่ม
SSLEngine on
SSLCertificateFile /etc/ssl/certs/ssl-cert-snakeoil.pem
SSLCertificateKeyFile /etc/ssl/private/ssl-cert-snakeoil.key
ก่อนบรรทัด
</VirtualHost>
หลังจากนั้น save file

และใช้คำสั่งเพื่อให้ apache2 รับ site ใหม่
sudo a2ensite www.example.com-ssl

สั่ง reload apache2
sudo service apache2 reload

หลังจากนั้นเราก็จะสามารถเข้าถึง URL https://www.example.com ได้อย่างถูกต้อง

June 15, 2014