Certificats SSL, HTTP i protecció de directoris

HTTP – HyperText Transfer Protocol

• HTTP significa HyperText Transfer Protocol, traduït com a Protocol de Transferència de HiperText.
• La funció principal del protocol HTTP és transferir arxius de text (o de qualsevol tipus) codificats en llenguatge HTML o pàgines web des d'un servidor a un client.

Versions i Seguretat

• La darrera versió 1.1 del protocol HTTP està definida a la RFC 2616 (1999).
• La versió segura del protocol HTTP és HTTPS, que utilitza diversos mètodes/algorismes de xifrat per enviar els arxius entre el servidor i el client.

Ús i Origen de la WWW

• El protocol HTTP és el protocol més utilitzat d'Internet.
• La World Wide Web (WWW) va ser desenvolupada al Laboratori Europeu de Física de Partícules (CERN) al 1990.
• La WWW va ser inicialment un sistema de relació documental basat en un format de text ric.
• Aquesta tenia una sintaxi específica que permetia que alguns caràcters del text apuntessin a altres arxius de text amb informació més detallada.
• Actualment, la WWW s'ha convertit en un sistema de navegació d'informació multimèdia amb pàgines web que contenen imatges, so, vídeos, etc.

Hipertext

• L'hipertext és un format de text ric amb una sintaxi específica que permet que alguns caràcters del text apuntin a altres arxius de text amb informació més detallada.

Clients i Servidors HTTP

• Exemples de clients HTTP: Mozilla Firefox, Internet Explorer, Opera, Google Chrome.
• Exemples de servidors HTTP: Apache (codi lliure), Internet Information Server (IIS de Microsoft), Nginx.

Ports i Protocols de Transport

• El servidor HTTP utilitza el port 80 amb el protocol TCP.
• El servidor HTTPS utilitza el port 443 amb els protocols TCP i UDP.

Llenguatge de les Pàgines Web

• Les pàgines web estan definides en llenguatge HTML (HyperText Tag Markup Language).

Navegadors i Documents

• Quan el navegador web rep quelcom que no és un document de text, activa una aplicació externa per gestionar l'arxiu o pregunta a l'usuari què vol fer amb l'arxiu (desar-lo o executar-lo amb alguna aplicació).

Cookies

• Les cookies són fitxers de text que s'intercanvien entre el servidor i el client, guardant informació de la connexió.
• A la pròxima connexió del client amb el servidor, es tindrà informació de les connexions anteriors.
• Exemple d'informació guardada a les cookies: la data i hora de la darrera connexió al servidor web o recordar la contrasenya.
• HTTP és un protocol sense estat, per tant HTTP no recorda cap succés de connexions anteriors a l'actual amb l'excepció de l'ús de cookies.

Noves Funcionalitats del Protocol HTTP

• Accés per contrasenya per protegir determinades carpetes amb contrassenya.
• Caché de documents per accelerar el servei.
• Suport de programes externs com flash i reproductors de vídeo.
• Transaccions segures com https i ssh.

Servidors Web i les seves Característiques

• NCSA HTTPd: Un dels primers servidors web, gratuït, no funcionava com a proxy i no permet transaccions segures.
• Apache: Basat inicialment en el NCSA, actualment es troba a la versió 2, facilitat de configuració i corre damunt varios sistemes, és líder a Internet.
• IIS: Servidor Web de Microsoft, inclòs en els seus sistemes servidors i també funciona damunt Win XP Pro.

Protocols Admesos pels Navegadors

• A part del HTTP, els navegadors web suporten actualment el protocol FTP.

Webmail

• Webmail és la integració del programari client de correu electrònic implementat en format web.

Parts d'una URL o URI

• Una URL o URI es compon de: protocol://<IP o nom de domini (màquina servidor)>://<nom de l'arxiu>.
• URL significa Universal Resource Locator.
• URI significa Universal Resource Identifier.

Protocol i Port per Defecte

• El protocol http i el port 80 són assumits per defecte pels navegadors web.

Procés de Transferència d'una Pàgina Web

• L'usuari especifica al client HTTP l'adreça de la màquina que vol carregar.
• El client HTTP decodifica la informació de la URL.
• El client estableix connexió amb el servidor web i sol·licita la pàgina i/o objecte sol·licitats.
• El servidor envia la pàgina i/o objecte sol·licitats i, si no la troba, envia un codi d'error, el client inicia la interpretació dels codis HTML.
• Es tanca la connexió.

Connexions HTTP i Imatges

• Si un client HTTP sol·licita una pàgina web que conté 3 imatges, realitza 4 connexions amb el servidor: una per la sol·licitud de la pàgina i 3 una per cada imatge.

Característiques Principals del Protocol HTTP

• Utilitza l'arquitectura client-servidor que permet l'enviament de qualsevol tipus d'arxiu.
• A la versió 1.0 existeixen 3 mètodes bàsics de petició.
• Estableix comunicacions unitàries entre el client i servidor de forma que cada connexió és contestada amb l'objecte sol·licitat o un codi d'error.
• És un protocol sense estat (no recorda cap succés ocorregut en connexions anteriors).
• Cada objecte sol·licitat està definit al final de la URL.

Mètodes de Petició de la Versió 1.0

• GET: Per obtenir qualsevol tipus d'informació del servidor (quan cliquem damunt un enllaç s'envia un mètode de petició GET).
• HEAD: Paregut al GET però sense el camp cos del missatge.
• POST: Utilitzat per enviar informació des del client al servidor.

Mètodes de Petició de la Versió 1.1

• PUT: Per enviar el recurs/objecte referenciat per la URL del client cap al servidor (per exemple, quan pugem un video a YouTube).
• DELETE: Per esborrar un recurs al servidor (esborrar un video a YouTube, evidentment hem de tenir permisos d'escriptura damunt la carpeta del servidor).
• OPTIONS: El client obté informació del servidor (per exemple, versió de l'Apache i mòduls que té instal·lats) i així poder negociar els paràmetres de la connexió.
• GET: Per obtenir qualsevol tipus d'informació del servidor (quan cliquem damunt un enllaç s'envia un mètode de petició GET).

Identificació dels Codis d'Estat:

• Els codis d'estat s'identifiquen mitjançant números de 3 xifres, classificats en 5 grups.

Tipus de Codis d'Estat:

• Informatius (1xx)
• Èxit de la sol·licitud (2xx)
• Readreçament de la sol·licitud (3xx)
• Error produït pel client (4xx), com "404 Page not found"
• Error produït pel servidor (5xx), com "500 Internal Server Error"

Respostes Típiques d'un Servidor Web:

• 200 per indicar l'OK de la petició
• 404 per indicar que l'objecte sol·licitat no està disponible (per exemple, perquè no existeix o l'usuari ha introduït malament la URL)

Línies d'Encapçalament

• Les línies d'encapçalament permeten enviar informació, com l'autenticació d'usuaris.

Sintaxi d'una Línia d'Encapçalament:

• Nom de l'encapçalament seguit del caràcter dos punts i el valor corresponent.

Exemples de Línies d'Encapçalament:

• Date: Thu, 10 Feb 2005 10:14:20 GMT (dóna la data del servidor)
• Server: Apache/1.3.26 (UNIX) ... (indica que el servidor web és l'Apache, la versió, que corre damunt un sistema Linux i els mòduls configurats damunt l'Apache)
• Content Type: text/html (indica que el servidor està enviant un arxiu de text en format html)

Origen dels Tipus MIME:

• Els tipus MIME van ser creats inicialment per extendre les característiques del servei de correu electrònic, i el seu ús s'ha extès amb el que s'anomena Internet Media Types.

Composició d'un Tipus MIME:

• Es compon d'un tipus i subtipus.
• Un exemple és <text/html>, que indica que es tracta d'un arxiu de text escrit en HTML.

Ús dels Tipus MIME en HTTP

• El protocol HTTP utilitza els tipus MIME en els seus encapçalaments per informar al client del tipus de dades que està rebent, mitjançant l'encapçalament Content-Type.
• Un client pot manejar les dades rebudes així:
  • Visualitzar el document en el cas Content-Type:<text/html>
  • Cridar a una aplicació externa en el cas Content-Type:<application/pdf>
  • Demanar a l'usuari que fer amb un tipus que no entén Content-Type:<image/x-fwf>

Característiques/Serveis del Protocol SSL:

• S'utilitza a les transaccions segures via web (mitjançant autenticació) entre un client i un servidor.
• Utilitza signatures digitals, algorismes de criptografia i algorismes de Digest (que prenen com a entrada un missatge de longitud variable i produeixen un resum de longitud fixa).

Llei sobre la Signatura Electrònica:

• La llei que va regular l'ús de la signatura electrònica és el Real decreto ley 14/1999 de 17 de setembre sobre signatura electrònica.

Organisme Estatal i Ministeri:

• La Secretaria d'Estat de Telecomunicacions, que pertany al Ministerio de Industria, Turismo y Comercio, va fer aquesta llei.

Servei de la Signatura Electrònica:

• Permet identificar a la persona que realitza una transacció electrònica (dóna autenticació i fiabilitat de que l'autor és qui diu esser).

Document que Substituirà la Signatura Electrònica:

• El Document Nacional de Identitat substituirà la signatura electrònica.

Qui Expedeix els Certificats Digitals:

• L'Autoritat Certificadora expedeix els certificats digitals.

Funció de les Autoritats Certificadores (CA)

• La missió de les Autoritats Certificadores és garantir que l'usuari sigui la persona que realment diu ser; emeten certificats i permeten la signatura electrònica i l'intercanvi de claus de xifrat.

Tipus de Certificats:

• B1. Certificat de correu temporal: vàlid durant un mes o un any, estableix una correspondència entre el nom i un compte de correu electrònic, permet signar i encriptar correu i no és vàlid comercialment.
• B2. Certificat personal: comprova la identitat de l'usuari mitjançant DNI i té cost econòmic.
• B3. Certificat més complet: s'ha d'acreditar la identitat mitjançant DNI en persona i s'han de pagar unes taxes.

Exemples d'Autoritats Certificadores:

• FNMT: Autoritat pública de certificació espanyola, utilitzada per a la relació dels usuaris en els seus tràmits amb l'administració pública.
• FESTE: Patronat de la Fundació per a l'Estudi de la Seguretat de les Telecomunicacions, format pel Consell General del Notariat, CG de l'Abogacia i Universitat de Saragossa, garantitza les comunicacions de tipus electrònic i emet 3 tipus de certificats: Notarials, Web i per a institucions privades.
• IPSCA: Empresa espanyola que comercialitza l'emissió de certificats digitals, com certificats de servidor segur per al comerç electrònic.

Altres emissores de certificats

• VERISIGN: Pionera i líder mundial, proporciona serveis de seguretat a Internet a empreses i particulars, i emet certificats digitals.

Aquest qüestionari avalua conceptes clau sobre la creació de certificats SSL, configuració SSL al Webmin, protecció de directoris amb contrasenya i addicions al protocol HTTP. Comprova el teu coneixement sobre la seguretat web i la gestió d'accés.