DailyStuff

Er is veel te doen over HTTP versus HTTPS en met de “gratis” SSL-offloaders in de systemen van Sun Microsystems met de UltraSPARC T1, T2 en T2+ processor wordt het interessant om af te stappen van HTTP. Gelukkig hebben oa Intel-processoren optimalisatie voor oa AES en is met de juiste aanpassing aan het besturingssysteem en middleware zoals Apache mogelijk om SSL-verkeer sneller te laten afhandelen.

Nu kan je in de webapplicatie inbouwen dat dit moet gebeuren, maar als je massaal HTTP-verkeer naar HTTPS wilt migreren is het verstandiger om dit af te dwingen in de webserver. Zo ook voor een webmail-applicatie in dit geval waarbij de configuratie fouten kan opleveren en programmeurs snel fouten kunnen maken.

Door de volgende regels in de .htaccess-file te zetten in de documentroot van de website zal Apache tegen de webbrowser vertellen dat dit moet worden aangeleverd via HTTPS. Elke webbrowser die de HTTP statuscodes begrijpt zal dit vlekkeloos uitvoeren.

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI}

Aan deze oplossing zit wel een performance penalty verbonden. De initiale opbouw naar de website kan iets langer duren door de redirect naar de HTTPS-site, maar de grootste penalty zal zitten in de .htaccess-file. Bij productie websites is het dan ook verstandig om dit op te nemen in de virtual host configuratie binnen Apache zelf en de ondersteuning voor .htaccess-files uit te zetten. Hierdoor hoeft we webserver minder de documentroot voor de website af te zoeken naar oa de .htaccess-file.

Hoewel de weg al in 1998 was ingezet met RFC2476 om mail te kunnen injecteren via een aparte poort, maar helaas kwam in 1999 ook RFC2487. Deze laatste RFC ging over SMTP over SSL, maar heeft nooit echt een vlucht genomen gelukkig. Sommige mensen zien het wel als een alternatief voor de mail submission oplossing en andere zien het als oplossing om SMTP over SSL te versturen.

Gelukkig heeft TLS sindsdien een vlucht genomen en kan tegenwoordig TLS worden gebruikt voor zowel SMTP-verbindingen als voor Submission-verbindingen. Door de splitsing van server-to-server verkeer over poort 25 en client-to-server verkeer over poort 587 is er een verduidelijking gekomen in de soorten verkeer. TLS afdwingen op client-to-server verkeer is een mogelijkheid geworden en worden username/password combinaties afgeschermd. Het nut van SMTP over SSL is dus verdwenen, maar hoe faseer je het uit?

Je kan gewoon uitzetten in Postfix door het bestand master.cf aan te passen, zodat de regels voor smtps niet meer actief zijn. Simpeler is het gelukkig niet, maar de kans bestaat dat sommige verbindingen ineens stoppen met werken. Helaas is het in logfiles niet te herleiden of er verbindingen over poort 465 lopen ipv poort 25 of 587.

Op platformen zoals Linux, BSD en Solaris zijn packetfilters beschikbaar en kan met behulp van een paar simpele regels toch informatie worden verkregen. Zoals de onderstaande regel voor Netfilter.

iptables -A INPUT_ETH0 -d 192.0.2.1 -p tcp \
--sport 1024:65535 --dport 465 \
-j LOG --log-level DEBUG --log-prefix "SERVICE MONITORING: "

Voor elke verbinding naar de server zal melding worden gemaakt door de kernel naar syslog en deze zijn hierna terug te lezen in bv /var/log/syslog. Door deze opstelling een paar maanden te volgen kan je bepalen of er echt geen verbindingen meer zijn.

SSLScan is een applicatie om te controleren welke ciphers een SSL beveiligde dienst zoals een webserver of mailserver ondersteunt, maar ook welke ciphers de voorkeur genieten. Dit geeft ook een overzicht of een website ondersteuning heeft voor bijvoorbeeld SSLv2, SSLv3 of zelfs TLSv1. Zeker nu ondersteuning voor SSL versie 2 wordt stopgezet in bijvoorbeeld Internet Explorer en Firefox.

Sinds vandaag is SSLScan ook beschikbaar in de testing release van Debian en zal daarmee ook beschikbaar komen in de volgende stable release die eind van dit jaar wordt verwacht. Hopelijk volgen anders distributies en platformen ook om deze tool gaan meeleveren, maar gezien dat de licentie GPL versie 3 betreft valt dat nog te bezien.