യുഎസ്ബി ടോക്കൺ ഉപയോഗിച്ച് സൈറ്റിലെ ടു-ഫാക്ടർ പ്രാമാണീകരണം. ഇപ്പോൾ ലിനക്സിലും

В ഞങ്ങളുടെ മുൻ ലേഖനങ്ങളിൽ ഒന്ന് കമ്പനികളുടെ കോർപ്പറേറ്റ് പോർട്ടലുകളിൽ രണ്ട്-ഘടക പ്രാമാണീകരണത്തിൻ്റെ പ്രാധാന്യത്തെക്കുറിച്ച് ഞങ്ങൾ സംസാരിച്ചു. IIS വെബ് സെർവറിൽ സുരക്ഷിതമായ പ്രാമാണീകരണം എങ്ങനെ സജ്ജീകരിക്കാമെന്ന് ഞങ്ങൾ കഴിഞ്ഞ തവണ തെളിയിച്ചു.

അഭിപ്രായങ്ങളിൽ, Linux - nginx, Apache എന്നിവയ്‌ക്കായുള്ള ഏറ്റവും സാധാരണമായ വെബ് സെർവറുകളുടെ നിർദ്ദേശങ്ങൾ എഴുതാൻ ഞങ്ങളോട് ആവശ്യപ്പെട്ടു.

നിങ്ങൾ ചോദിച്ചു - ഞങ്ങൾ എഴുതി.

ആരംഭിക്കാൻ നിങ്ങൾക്ക് എന്താണ് വേണ്ടത്?

• ഏത് ആധുനിക ലിനക്സ് വിതരണവും. ഞാൻ MX Linux 18.2_x64-ൽ ഒരു ടെസ്റ്റ് സജ്ജീകരണം നടത്തി. ഇത് തീർച്ചയായും ഒരു സെർവർ വിതരണമല്ല, പക്ഷേ ഡെബിയനിൽ എന്തെങ്കിലും വ്യത്യാസങ്ങൾ ഉണ്ടാകാൻ സാധ്യതയില്ല. മറ്റ് വിതരണങ്ങൾക്ക്, കോൺഫിഗറേഷൻ ലൈബ്രറികളിലേക്കുള്ള പാതകൾ അല്പം വ്യത്യാസപ്പെടാം.
• ടോക്കൺ. ഞങ്ങൾ മോഡൽ ഉപയോഗിക്കുന്നത് തുടരുന്നു Rutoken EDS PKI, കോർപ്പറേറ്റ് ഉപയോഗത്തിന് സ്പീഡ് സ്വഭാവസവിശേഷതകളുടെ കാര്യത്തിൽ ഇത് അനുയോജ്യമാണ്.
• Linux-ൽ ഒരു ടോക്കൺ ഉപയോഗിച്ച് പ്രവർത്തിക്കാൻ, നിങ്ങൾ ഇനിപ്പറയുന്ന പാക്കേജുകൾ ഇൻസ്റ്റാൾ ചെയ്യേണ്ടതുണ്ട്:
  libccid libpcsclite1 pcscd pcsc-tools opensc

സർട്ടിഫിക്കറ്റുകൾ വിതരണം ചെയ്യുന്നു

മുമ്പത്തെ ലേഖനങ്ങളിൽ, Microsoft CA ഉപയോഗിച്ച് സെർവറും ക്ലയൻ്റ് സർട്ടിഫിക്കറ്റുകളും നൽകുമെന്ന വസ്തുതയെ ഞങ്ങൾ ആശ്രയിച്ചിരുന്നു. എന്നാൽ ഞങ്ങൾ ലിനക്സിൽ എല്ലാം സജ്ജീകരിക്കുന്നതിനാൽ, ലിനക്സിൽ നിന്ന് പുറത്തുപോകാതെ തന്നെ ഈ സർട്ടിഫിക്കറ്റുകൾ ഇഷ്യൂ ചെയ്യുന്നതിനുള്ള ഒരു ബദൽ മാർഗത്തെക്കുറിച്ചും ഞങ്ങൾ നിങ്ങളോട് പറയും.
ഞങ്ങൾ CA ആയി XCA ഉപയോഗിക്കും (https://hohnstaedt.de/xca/), ഏത് ആധുനിക ലിനക്സ് വിതരണത്തിലും ലഭ്യമാണ്. XCA-യിൽ ഞങ്ങൾ ചെയ്യുന്ന എല്ലാ പ്രവർത്തനങ്ങളും OpenSSL, pkcs11-ടൂൾ യൂട്ടിലിറ്റികൾ ഉപയോഗിച്ച് കമാൻഡ് ലൈൻ മോഡിൽ ചെയ്യാൻ കഴിയും, എന്നാൽ കൂടുതൽ ലാളിത്യത്തിനും വ്യക്തതയ്ക്കും വേണ്ടി, ഈ ലേഖനത്തിൽ ഞങ്ങൾ അവ അവതരിപ്പിക്കില്ല.

ആരംഭിക്കുന്നു

1. ഇൻസ്റ്റാൾ ചെയ്യുക:

   $ apt-get install xca

2. ഞങ്ങൾ ഓടുന്നു:

   $ xca

3. CA - /root/CA.xdb-യ്‌ക്കായി ഞങ്ങൾ ഞങ്ങളുടെ ഡാറ്റാബേസ് സൃഷ്‌ടിക്കുന്നു
   അഡ്‌മിനിസ്‌ട്രേറ്റർക്ക് മാത്രം ആക്‌സസ് ഉള്ള ഒരു ഫോൾഡറിൽ സർട്ടിഫിക്കറ്റ് അതോറിറ്റി ഡാറ്റാബേസ് സംഭരിക്കാൻ ഞങ്ങൾ ശുപാർശ ചെയ്യുന്നു. മറ്റെല്ലാ സർട്ടിഫിക്കറ്റുകളിലും ഒപ്പിടാൻ ഉപയോഗിക്കുന്ന റൂട്ട് സർട്ടിഫിക്കറ്റുകളുടെ സ്വകാര്യ കീകൾ സംരക്ഷിക്കുന്നതിന് ഇത് പ്രധാനമാണ്.

കീകളും റൂട്ട് CA സർട്ടിഫിക്കറ്റും സൃഷ്ടിക്കുക

ഒരു പബ്ലിക് കീ ഇൻഫ്രാസ്ട്രക്ചർ (PKI) ഒരു ശ്രേണി സംവിധാനത്തെ അടിസ്ഥാനമാക്കിയുള്ളതാണ്. ഈ സിസ്റ്റത്തിലെ പ്രധാന കാര്യം റൂട്ട് സർട്ടിഫിക്കേഷൻ അതോറിറ്റി അല്ലെങ്കിൽ റൂട്ട് സിഎ ആണ്. അതിൻ്റെ സർട്ടിഫിക്കറ്റ് ആദ്യം സൃഷ്ടിക്കണം.

1. CA-യ്‌ക്കായി ഞങ്ങൾ ഒരു RSA-2048 സ്വകാര്യ കീ സൃഷ്‌ടിക്കുന്നു. ഇത് ചെയ്യുന്നതിന്, ടാബിൽ സ്വകാര്യ കീകൾ എ പുതിയ കീ അനുയോജ്യമായ തരം തിരഞ്ഞെടുക്കുക.
2. പുതിയ കീ ജോഡിക്ക് ഒരു പേര് സജ്ജീകരിക്കുക. ഞാൻ അതിനെ CA കീ എന്ന് വിളിച്ചു.
3. സൃഷ്ടിച്ച കീ ജോഡി ഉപയോഗിച്ച് ഞങ്ങൾ CA സർട്ടിഫിക്കറ്റ് തന്നെ നൽകുന്നു. ഇത് ചെയ്യുന്നതിന്, ടാബിലേക്ക് പോകുക സർട്ടിഫിക്കറ്റുകൾ ക്ലിക്കുചെയ്യുക പുതിയ സർട്ടിഫിക്കറ്റ്.
4. തിരഞ്ഞെടുക്കുന്നത് ഉറപ്പാക്കുക SHA-256, കാരണം SHA-1 ഉപയോഗിക്കുന്നത് ഇനി സുരക്ഷിതമായി കണക്കാക്കാനാവില്ല.
5. ഒരു ടെംപ്ലേറ്റായി തിരഞ്ഞെടുക്കുന്നത് ഉറപ്പാക്കുക [സ്ഥിരസ്ഥിതി] CA. ക്ലിക്ക് ചെയ്യാൻ മറക്കരുത് എല്ലാം പ്രയോഗിക്കുക, അല്ലെങ്കിൽ ടെംപ്ലേറ്റ് പ്രയോഗിക്കില്ല.
6. ടാബിൽ വിഷയം ഞങ്ങളുടെ കീ ജോഡി തിരഞ്ഞെടുക്കുക. അവിടെ നിങ്ങൾക്ക് സർട്ടിഫിക്കറ്റിൻ്റെ എല്ലാ പ്രധാന ഫീൽഡുകളും പൂരിപ്പിക്കാൻ കഴിയും.

കീകളും ഒരു https സെർവർ സർട്ടിഫിക്കറ്റും സൃഷ്ടിക്കുന്നു

1. സമാനമായ രീതിയിൽ, സെർവറിനായി ഞങ്ങൾ ഒരു RSA-2048 സ്വകാര്യ കീ സൃഷ്ടിക്കുന്നു, ഞാൻ അതിനെ സെർവർ കീ എന്ന് വിളിച്ചു.
2. ഒരു സർട്ടിഫിക്കറ്റ് സൃഷ്‌ടിക്കുമ്പോൾ, സെർവർ സർട്ടിഫിക്കറ്റ് CA സർട്ടിഫിക്കറ്റ് ഉപയോഗിച്ച് ഒപ്പിട്ടിരിക്കണം എന്ന് ഞങ്ങൾ തിരഞ്ഞെടുക്കുന്നു.
3. തിരഞ്ഞെടുക്കാൻ മറക്കരുത് SHA-256.
4. ഞങ്ങൾ ഒരു ടെംപ്ലേറ്റായി തിരഞ്ഞെടുക്കുന്നു [സ്ഥിരസ്ഥിതി] HTTPS_server. ക്ലിക്ക് ചെയ്യുക എല്ലാം പ്രയോഗിക്കുക.
5. പിന്നെ ടാബിൽ വിഷയം ഞങ്ങളുടെ കീ തിരഞ്ഞെടുത്ത് ആവശ്യമായ ഫീൽഡുകൾ പൂരിപ്പിക്കുക.

ഉപയോക്താവിനായി കീകളും സർട്ടിഫിക്കറ്റും സൃഷ്ടിക്കുക

1. ഉപയോക്താവിൻ്റെ സ്വകാര്യ കീ ഞങ്ങളുടെ ടോക്കണിൽ സംഭരിക്കും. ഇത് ഉപയോഗിച്ച് പ്രവർത്തിക്കാൻ, നിങ്ങൾ ഞങ്ങളുടെ വെബ്സൈറ്റിൽ നിന്ന് PKCS#11 ലൈബ്രറി ഇൻസ്റ്റാൾ ചെയ്യേണ്ടതുണ്ട്. ജനപ്രിയ വിതരണങ്ങൾക്കായി, ഞങ്ങൾ റെഡിമെയ്ഡ് പാക്കേജുകൾ വിതരണം ചെയ്യുന്നു, അവ ഇവിടെയുണ്ട് - https://www.rutoken.ru/support/download/pkcs/. arm64, armv7el, armv7hf, e2k, mipso32el എന്നിവയ്‌ക്കായുള്ള അസംബ്ലികളും ഞങ്ങൾക്കുണ്ട്, അവ ഞങ്ങളുടെ SDK-യിൽ നിന്ന് ഡൗൺലോഡ് ചെയ്യാം - https://www.rutoken.ru/developers/sdk/. Linux-നുള്ള അസംബ്ലികൾക്ക് പുറമേ, macOS, freebsd, android എന്നിവയ്‌ക്കുള്ള അസംബ്ലികളും ഉണ്ട്.
2. XCA-യിലേക്ക് ഒരു പുതിയ PKCS#11 ദാതാവിനെ ചേർക്കുന്നു. ഇത് ചെയ്യുന്നതിന്, മെനുവിലേക്ക് പോകുക ഓപ്ഷനുകൾ ടാബിലേക്ക് PKCS#11 ദാതാവ്.
3. ഞങ്ങൾ അമർത്തുക ചേർക്കുക കൂടാതെ PKCS#11 ലൈബ്രറിയിലേക്കുള്ള പാത തിരഞ്ഞെടുക്കുക. എൻ്റെ കാര്യത്തിൽ ഇത് usrliblibrtpkcs11ecp.so ആണ്.
4. ഞങ്ങൾക്ക് ഫോർമാറ്റ് ചെയ്ത Rutoken EDS PKI ടോക്കൺ ആവശ്യമാണ്. rtAdmin യൂട്ടിലിറ്റി ഡൗൺലോഡ് ചെയ്യുക - https://dev.rutoken.ru/pages/viewpage.action?pageId=7995615
5. ഞങ്ങൾ നിർവ്വഹിക്കുന്നു

   $ rtAdmin -f -q -z /usr/lib/librtpkcs11ecp.so -u <PIN-код пользователя>

6. Rutoken EDS PKI-നുള്ള RSA-2048 കീ ഞങ്ങൾ കീ തരമായി തിരഞ്ഞെടുക്കുന്നു. ഞാൻ ഈ കീയെ ക്ലയൻ്റ് കീ എന്ന് വിളിച്ചു.

   

7. പിൻ കോഡ് നൽകുക. കീ ജോഡിയുടെ ഹാർഡ്‌വെയർ നിർമ്മാണം പൂർത്തിയാകുന്നതിനായി ഞങ്ങൾ കാത്തിരിക്കുന്നു

   

8. സെർവർ സർട്ടിഫിക്കറ്റുമായി സാമ്യപ്പെടുത്തി ഞങ്ങൾ ഉപയോക്താവിനായി ഒരു സർട്ടിഫിക്കറ്റ് സൃഷ്ടിക്കുന്നു. ഇത്തവണ ഞങ്ങൾ ഒരു ടെംപ്ലേറ്റ് തിരഞ്ഞെടുക്കുന്നു [സ്ഥിരസ്ഥിതി] HTTPS_client ക്ലിക്ക് ചെയ്യാൻ മറക്കരുത് എല്ലാം പ്രയോഗിക്കുക.
9. ടാബിൽ വിഷയം ഉപയോക്താവിനെക്കുറിച്ചുള്ള വിവരങ്ങൾ നൽകുക. ടോക്കണിനായി സർട്ടിഫിക്കറ്റ് സംരക്ഷിക്കാനുള്ള അഭ്യർത്ഥനയ്ക്ക് ഞങ്ങൾ സ്ഥിരീകരണത്തിൽ ഉത്തരം നൽകുന്നു.

ഫലമായി, ടാബിൽ സർട്ടിഫിക്കറ്റുകൾ XCA-യിൽ നിങ്ങൾക്ക് ഇതുപോലൊന്ന് ലഭിക്കണം.

സെർവറുകൾ സ്വയം സജ്ജീകരിക്കാൻ ഈ ഏറ്റവും കുറഞ്ഞ കീകളും സർട്ടിഫിക്കറ്റുകളും മതിയാകും.

കോൺഫിഗർ ചെയ്യുന്നതിന്, ഞങ്ങൾ CA സർട്ടിഫിക്കറ്റ്, സെർവർ സർട്ടിഫിക്കറ്റ്, സെർവർ പ്രൈവറ്റ് കീ എന്നിവ കയറ്റുമതി ചെയ്യേണ്ടതുണ്ട്.

ഇത് ചെയ്യുന്നതിന്, XCA-യിലെ അനുബന്ധ ടാബിൽ ആവശ്യമുള്ള എൻട്രി തിരഞ്ഞെടുത്ത് ക്ലിക്ക് ചെയ്യുക കയറ്റുമതി.

നിക്കിക്സ്

ഒരു nginx സെർവർ എങ്ങനെ ഇൻസ്റ്റാൾ ചെയ്യാമെന്നും പ്രവർത്തിപ്പിക്കാമെന്നും ഞാൻ എഴുതില്ല - ഈ വിഷയത്തിൽ ഇൻ്റർനെറ്റിൽ മതിയായ ലേഖനങ്ങളുണ്ട്, ഔദ്യോഗിക ഡോക്യുമെൻ്റേഷൻ പരാമർശിക്കേണ്ടതില്ല. ഒരു ടോക്കൺ ഉപയോഗിച്ച് എച്ച്ടിടിപിഎസും ടു-ഫാക്ടർ പ്രാമാണീകരണവും സജ്ജീകരിക്കുന്നതിലേക്ക് നമുക്ക് നേരിട്ട് പോകാം.

nginx.conf-ലെ സെർവർ വിഭാഗത്തിലേക്ക് ഇനിപ്പറയുന്ന വരികൾ ചേർക്കുക:

server {
	listen 443 ssl;
	ssl_verify_depth 1;
	ssl_certificate /etc/nginx/Server.crt;
	ssl_certificate_key /etc/nginx/ServerKey.pem;
	ssl_client_certificate /etc/nginx/CA.crt;
	ssl_verify_client on;
}

nginx-ൽ ssl കോൺഫിഗർ ചെയ്യുന്നതുമായി ബന്ധപ്പെട്ട എല്ലാ പാരാമീറ്ററുകളുടെയും വിശദമായ വിവരണം ഇവിടെ കാണാം - https://nginx.org/en/docs/http/ngx_http_ssl_module.html#ssl_client_certificate

ഞാൻ എന്നോട് തന്നെ ചോദിച്ചതിനെ ഞാൻ ചുരുക്കമായി വിവരിക്കും:

• ssl_verify_client - സർട്ടിഫിക്കറ്റിനായുള്ള ട്രസ്റ്റ് ശൃംഖല പരിശോധിക്കേണ്ടതുണ്ടെന്ന് വ്യക്തമാക്കുന്നു.
• ssl_verify_depth - ശൃംഖലയിലെ വിശ്വസനീയമായ റൂട്ട് സർട്ടിഫിക്കറ്റിനായുള്ള തിരയൽ ആഴം നിർവചിക്കുന്നു. റൂട്ട് സർട്ടിഫിക്കറ്റിൽ ഞങ്ങളുടെ ക്ലയൻ്റ് സർട്ടിഫിക്കറ്റ് ഉടനടി ഒപ്പിട്ടിരിക്കുന്നതിനാൽ, ഡെപ്ത് 1 ആയി സജ്ജീകരിച്ചിരിക്കുന്നു. ഉപയോക്തൃ സർട്ടിഫിക്കറ്റ് ഒരു ഇൻ്റർമീഡിയറ്റ് CA-യിൽ ഒപ്പിട്ടിട്ടുണ്ടെങ്കിൽ, ഈ പരാമീറ്ററിൽ 2 വ്യക്തമാക്കണം, അങ്ങനെ പലതും.
• ssl_client_certificate - ഉപയോക്താവിൻ്റെ സർട്ടിഫിക്കറ്റിൽ വിശ്വാസ്യത പരിശോധിക്കുമ്പോൾ ഉപയോഗിക്കുന്ന വിശ്വസനീയമായ റൂട്ട് സർട്ടിഫിക്കറ്റിലേക്കുള്ള പാത വ്യക്തമാക്കുന്നു.
• ssl_certificate/ssl_certificate_key - സെർവർ സർട്ടിഫിക്കറ്റ്/പ്രൈവറ്റ് കീയിലേക്കുള്ള പാത സൂചിപ്പിക്കുക.

കോൺഫിഗറേഷനിൽ അക്ഷരത്തെറ്റുകൾ ഇല്ലെന്നും എല്ലാ ഫയലുകളും ശരിയായ സ്ഥലത്താണെന്നും മറ്റും പരിശോധിക്കാൻ nginx -t പ്രവർത്തിപ്പിക്കാൻ മറക്കരുത്.

അത്രമാത്രം! നിങ്ങൾക്ക് കാണാനാകുന്നതുപോലെ, ക്രമീകരണം വളരെ ലളിതമാണ്.

ഫയർഫോക്സിൽ ഇത് പ്രവർത്തിക്കുന്നുണ്ടോയെന്ന് പരിശോധിക്കുന്നു

ഞങ്ങൾ എല്ലാം പൂർണ്ണമായും ലിനക്സിൽ ചെയ്യുന്നതിനാൽ, ഞങ്ങളുടെ ഉപയോക്താക്കളും ലിനക്സിൽ പ്രവർത്തിക്കുന്നുവെന്ന് ഞങ്ങൾ അനുമാനിക്കും (അവർക്ക് വിൻഡോസ് ഉണ്ടെങ്കിൽ, മുമ്പത്തെ ലേഖനത്തിൽ ബ്രൗസറുകൾ സജ്ജീകരിക്കുന്നതിനുള്ള നിർദ്ദേശങ്ങൾ കാണുക.

1. നമുക്ക് Firefox സമാരംഭിക്കാം.
2. ആദ്യം ടോക്കൺ ഇല്ലാതെ ലോഗിൻ ചെയ്യാൻ ശ്രമിക്കാം. ഞങ്ങൾക്ക് ഈ ചിത്രം ലഭിക്കുന്നു:

   

3. നമുക്ക് പോകാം കുറിച്ച്: മുൻ‌ഗണനകൾ # സ്വകാര്യത, ഞങ്ങൾ പോകുന്നു സുരക്ഷാ ഉപകരണങ്ങൾ…
4. ഞങ്ങൾ അമർത്തുക ഭാരംഒരു പുതിയ PKCS#11 ഉപകരണ ഡ്രൈവർ ചേർക്കുന്നതിനും ഞങ്ങളുടെ librtpkcs11ecp.so-ലേക്കുള്ള പാത വ്യക്തമാക്കുന്നതിനും.
5. സർട്ടിഫിക്കറ്റ് ദൃശ്യമാണോയെന്ന് പരിശോധിക്കാൻ, നിങ്ങൾക്ക് ഇതിലേക്ക് പോകാം സർട്ടിഫിക്കറ്റ് മാനേജർ. നിങ്ങളുടെ പിൻ നൽകാൻ നിങ്ങളോട് ആവശ്യപ്പെടും. ശരിയായ ഇൻപുട്ടിനുശേഷം, ടാബിൽ എന്താണെന്ന് നിങ്ങൾക്ക് പരിശോധിക്കാം നിങ്ങളുടെ സർട്ടിഫിക്കറ്റുകൾ ടോക്കണിൽ നിന്നുള്ള ഞങ്ങളുടെ സർട്ടിഫിക്കറ്റ് പ്രത്യക്ഷപ്പെട്ടു.
6. ഇനി നമുക്ക് ടോക്കണുമായി പോകാം. സെർവറിനായി തിരഞ്ഞെടുക്കുന്ന ഒരു സർട്ടിഫിക്കറ്റ് തിരഞ്ഞെടുക്കാൻ ഫയർഫോക്സ് നിങ്ങളോട് ആവശ്യപ്പെടുന്നു. ഞങ്ങളുടെ സർട്ടിഫിക്കറ്റ് തിരഞ്ഞെടുക്കുക.

   

7. ലാഭം!

   

സജ്ജീകരണം ഒരിക്കൽ പൂർത്തിയായി, സർട്ടിഫിക്കറ്റ് അഭ്യർത്ഥന വിൻഡോയിൽ നിങ്ങൾക്ക് കാണാനാകുന്നതുപോലെ, ഞങ്ങളുടെ തിരഞ്ഞെടുപ്പ് സംരക്ഷിക്കാൻ കഴിയും. ഇതിനുശേഷം, ഓരോ തവണയും ഞങ്ങൾ പോർട്ടലിലേക്ക് ലോഗിൻ ചെയ്യുമ്പോൾ, ഞങ്ങൾ ഒരു ടോക്കൺ തിരുകുകയും ഫോർമാറ്റിംഗ് സമയത്ത് വ്യക്തമാക്കിയ ഉപയോക്തൃ പിൻ കോഡ് നൽകുകയും ചെയ്താൽ മതിയാകും. അത്തരം പ്രാമാണീകരണത്തിന് ശേഷം, ഏത് ഉപയോക്താവാണ് ലോഗിൻ ചെയ്‌തതെന്ന് സെർവറിന് ഇതിനകം അറിയാം, കൂടാതെ സ്ഥിരീകരണത്തിനായി നിങ്ങൾക്ക് മേലിൽ അധിക വിൻഡോകളൊന്നും സൃഷ്ടിക്കാൻ കഴിയില്ല, പക്ഷേ ഉപയോക്താവിനെ അവൻ്റെ സ്വകാര്യ അക്കൗണ്ടിലേക്ക് ഉടൻ അനുവദിക്കുക.

അപ്പാച്ചെ

nginx പോലെ, അപ്പാച്ചെ ഇൻസ്റ്റാൾ ചെയ്യുന്നതിൽ ആർക്കും പ്രശ്‌നങ്ങളൊന്നും ഉണ്ടാകരുത്. ഈ വെബ് സെർവർ എങ്ങനെ ഇൻസ്റ്റാൾ ചെയ്യണമെന്ന് നിങ്ങൾക്കറിയില്ലെങ്കിൽ, ഔദ്യോഗിക ഡോക്യുമെൻ്റേഷൻ ഉപയോഗിക്കുക.

ഞങ്ങൾ ഞങ്ങളുടെ HTTPS ഉം രണ്ട്-ഘടക പ്രാമാണീകരണവും സജ്ജീകരിക്കാൻ തുടങ്ങുന്നു:

1. ആദ്യം നിങ്ങൾ mod_ssl സജീവമാക്കേണ്ടതുണ്ട്:

   $ a2enmod ssl

2. തുടർന്ന് സൈറ്റിൻ്റെ ഡിഫോൾട്ട് HTTPS ക്രമീകരണങ്ങൾ പ്രവർത്തനക്ഷമമാക്കുക:

   $ a2ensite default-ssl

3. ഇപ്പോൾ നമ്മൾ കോൺഫിഗറേഷൻ ഫയൽ എഡിറ്റ് ചെയ്യുന്നു: /etc/apache2/sites-enabled/default-ssl.conf:

       SSLEngine on
       SSLProtocol all -SSLv2
   
       SSLCertificateFile	/etc/apache2/sites-enabled/Server.crt
       SSLCertificateKeyFile /etc/apache2/sites-enabled/ServerKey.pem
   
       SSLCACertificateFile /etc/apache2/sites-enabled/CA.crt
   
       SSLVerifyClient require
       SSLVerifyDepth  10

   നിങ്ങൾക്ക് കാണാനാകുന്നതുപോലെ, പാരാമീറ്ററുകളുടെ പേരുകൾ പ്രായോഗികമായി nginx ലെ പാരാമീറ്ററുകളുടെ പേരുകളുമായി പൊരുത്തപ്പെടുന്നു, അതിനാൽ ഞാൻ അവ വിശദീകരിക്കില്ല. വീണ്ടും, വിശദാംശങ്ങളിൽ താൽപ്പര്യമുള്ള ആർക്കും ഡോക്യുമെൻ്റേഷനിലേക്ക് സ്വാഗതം.
   ഇപ്പോൾ ഞങ്ങൾ ഞങ്ങളുടെ സെർവർ പുനരാരംഭിക്കുന്നു:

   $ service apache2 reload
   $ service apache2 restart

നിങ്ങൾക്ക് കാണാനാകുന്നതുപോലെ, വിൻഡോസിലോ ലിനക്സിലോ ആകട്ടെ, ഏത് വെബ് സെർവറിലും ടു-ഫാക്ടർ പ്രാമാണീകരണം സജ്ജീകരിക്കാൻ പരമാവധി ഒരു മണിക്കൂർ എടുക്കും. ബ്രൗസറുകൾ സജ്ജീകരിക്കാൻ ഏകദേശം 5 മിനിറ്റ് എടുക്കും. രണ്ട്-ഘടക പ്രാമാണീകരണം സജ്ജീകരിക്കുന്നതും പ്രവർത്തിക്കുന്നതും ബുദ്ധിമുട്ടുള്ളതും അവ്യക്തവുമാണെന്ന് പലരും കരുതുന്നു. ഞങ്ങളുടെ ലേഖനം ഈ മിഥ്യയെ ചെറുതായെങ്കിലും ഇല്ലാതാക്കുമെന്ന് ഞാൻ പ്രതീക്ഷിക്കുന്നു.

രജിസ്റ്റർ ചെയ്ത ഉപയോക്താക്കൾക്ക് മാത്രമേ സർവേയിൽ പങ്കെടുക്കാൻ കഴിയൂ. സൈൻ ഇൻദയവായി.

GOST 34.10-2012 അനുസരിച്ച് സർട്ടിഫിക്കറ്റുകൾ ഉപയോഗിച്ച് TLS സജ്ജീകരിക്കുന്നതിന് നിങ്ങൾക്ക് നിർദ്ദേശങ്ങൾ ആവശ്യമുണ്ടോ:

• അതെ, TLS-GOST വളരെ അത്യാവശ്യമാണ്

• ഇല്ല, GOST അൽഗോരിതങ്ങൾ ഉപയോഗിച്ച് ട്യൂൺ ചെയ്യുന്നത് രസകരമല്ല

44 ഉപയോക്താക്കൾ വോട്ട് ചെയ്തു. 9 ഉപയോക്താക്കൾ വിട്ടുനിന്നു.

അവലംബം: www.habr.com