Vediamo come procedere. Innanzitutto ci assicuriamo che il sistema sia aggiornato:

apt update && apt upgrade

Passiamo poi all’installazione dei pacchetti che servono:

apt install certbot python3-certbot-apache

Procediamo ora con l’emissione di un certificato. Innanzitutto bisogna assicurarsi che il sito sia raggiungibile sulla porta 80 e che anche la porta 443 sia aperta sul firewall, poi eseguiamo:

certbot --apache --agree-tos --non-interactive --no-eff-email --redirect --key-type ecdsa --email admin@example.com -d example.com

dove admin@example.com ed example.com saranno una email di riferimento ed il sito per cui generare il certificato.

I vari flag significano:

--apache: Utilizza il plugin di installazione di Apache per modificare l'host virtuale corrispondente.
--agree-tos: Accetta il contratto di abbonamento di Let's Encrypt per questo account.
--non-interactive: Impedisce al comando di interrompersi in caso di richieste relative all'account o al programma di installazione.
--no-eff-email: Rifiuta la condivisione facoltativa dell'email con l'Electronic Frontier Foundation.
--redirect: Aggiunge un reindirizzamento permanente da HTTP a HTTPS nella configurazione di Apache.
--key-type ecdsa: Richiede una chiave di certificato ECDSA in modo che Debian 11, 12 e 13 utilizzino lo stesso tipo di chiave.
--email: Imposta l'indirizzo email dell'account Let's Encrypt per il rinnovo e le notifiche di sicurezza.

Se tutto è andato a buon fine possiamo procedere con la verifica del certificato:

certbot certificates

Se abbiamo più nomi a dominio su cui abilitare il certificato HTTPS, possiamo digitare:

certbot --apache --agree-tos --non-interactive --no-eff-email --redirect --key-type ecdsa --email admin@example.com -d example.com -d www.example.com -d blog.example.com

Se invece non abbiamo un elenco o vogliamo farci chiedere come gestire l’emissione del certificato, possiamo digitare semplicemente:

certbot --apache

a cui seguiranno una serie di domande, a partire dalla scelta dei domini per cui emettere i certificati.

A questo punto resta solo da gestire il rinnovo automatico dei certificati. Possiamo digitare:

systemctl is-enabled certbot.timer
systemctl is-active certbot.timer

e se vogliamo fare un test di rinnovo senza effettivamente farlo, digitiamo:

certbot renew --dry-run

Se vogliamo verificare che il certificato sia stato correttamente emesso e sia configurato correttamente, possiamo usare il servizio, es:

https://www.ssllabs.com/ssltest/analyze.html?d=example.com

Qualora sia necessario aggiungere un nuovo dominio al certificato, possiamo digitare:

certbot --apache

scegliere i nomi a dominio per cui generare il certificato e poi espandere (premendo il pulsante E) il certificato corrente.

enjoy!

Dopo alcune ricerche è emerso che dalla versione 2.4.59, per gli script CGI-like (come PHP) non possono più restituire l’header Content-Length per motivi di sicurezza (rif CVE-2024-24795).

Per ambienti sicuri è possibile ripristinare il precedente funzionamento tramite una nuova direttiva di apache chiamata ap_trust_cgilike_cl.

Per impostarla, creiamo un file chiamato /etc/apache2/conf-available/fix-cgi.conf con all’interno:

SetEnv ap_trust_cgilike_cl 1

e poi abilitiamolo con:

a2enconf fix-cgi
systemctl reload apache2

enjoy!

Per abilitare la cache basta digitare:

a2enmod cache_disk

e poi modificare il file /etc/apache2/mods-enabled/cache_disk.conf come segue:

    CacheIgnoreNoLastMod On
    CacheIgnoreCacheControl On
    CacheLastModifiedFactor 0.5
    CacheLock on
    CacheLockPath "/tmp/mod_cache-lock"
    CacheLockMaxAge 5

    CacheHeader on
    CacheDefaultExpire 180

    CacheDisable /server-status

    CacheRoot /var/cache/apache2/mod_cache_disk
    # CacheEnable disk /  # <-- importante, leggi dopo....
    CacheDirLevels 2
    CacheDirLength 1

Per abilitare la cache in modo globale bisogna inserire nel file /etc/apache2/mods-enabled/cache_disk.conf la direttiva:

CacheEnable disk /

e successivamente si potrà disabilitare la cache per singolo virtual host inserendo, nel file di configurazione dello stesso, la direttiva:

CacheDisable "/" 

Se invece preferiamo lavorare al contrario, bisogna commentare nel file /etc/apache2/mods-enabled/cache_disk.conf la direttiva:

# CacheEnable disk /

e poi abilitare manualmente la cache per singolo virtual host inserendo, nel file di configurazione dello stesso, la direttiva:

CacheEnable disk /

enjoy!

      DirectoryIndex index.html
      ErrorDocument 404 /index.html
      RewriteEngine On
      RewriteBase /
      RewriteRule ^index\.html$ - [L]
      RewriteCond %{REQUEST_FILENAME} !-f
      RewriteCond %{REQUEST_FILENAME} !-d
      RewriteRule . /index.html [L,R=301]

enjoy!

/usr/sbin/apachectl: 113: www-browser: not found
'www-browser -dump http://localhost:80/server-status' failed.
Maybe you need to install a package providing www-browser or you
need to adjust the APACHE_LYNX variable in /etc/apache2/envvars

significa che manca un browser testuale per poter visualizzare i dati prodotti dal comando.

Installiamo un browser testuale (preferisco w3m perché ha qualche funzionalità in più del classico lynx)

apt install w3m

Bene, ora riproviamo con:

apachectl status

oppure

apachectl fullstatus

enjoy!

Su Debian è possibile abilitare/disabilitare/rendere di default una lingua tramite dpkg-reconfigure:

dpkg-reconfigure locales

Tramite l’interfaccia curses mostrata, sarà possibile abilitare/disabilitare le lingue da usare e poi definire quella di default.

Solitamente per la ligua italiana si sceglie it_IT.UTF-8.

Dopo aver fatto questo, sarà possibile inserire all’inizio del nostro script PHP la riga:

setlocale(LC_TIME, 'it_IT.utf8');

e poi stampare le date in italiano, es:

echo strftime("%a %d %b %Y");

enjoy!

In questo caso possiamo limitare i danni (nel senso di bloccare le richieste per taluni IP), creando una regola nel file .htaccess posizionato nella nostra webroot che vada a bloccare le richieste se l’IP viene identificato da qualche regola di fail2ban.

Ipotizziamo che la webroot sia /var/www/web1/htdocs e che vogliamo usare la cartella blockedip per contenere i riferimenti per gli IP bloccati.

Scriviamo all’inizio del nel nostro file .htaccess le seguenti direttive (le prime due righe non servono ma le lascio perché a qualcuno possono essere utili per farci altro):

RewriteCond %{DOCUMENT_ROOT}/blockedip/%{REMOTE_ADDR} -f
RewriteRule . - F]
RewriteCond %{DOCUMENT_ROOT}/blockedip/%{HTTP:X-FORWARDED-FOR} -f
RewriteRule . - F]

Dopo aver fatto la classica configurazione di fail2ban in coppia con nftables, bisognerà aprire il file /etc/fail2ban/action.d/nftables.conf e scrivere, sotto la direttiva actionban, la riga:

touch /var/www/web1/htdocs/blockedip/<ip>

e sotto la direttiva actionunban, la riga:

rm /var/www/web1/htdocs/blockedip/<ip>

Bene, ora riavviamo fail2ban e non appena ci saranno IP bloccati, li troverete riepilogati nella cartella /var/www/web1/htdocs e la regola di rewrite nel file .htaccess provvederà a bloccare le richieste per tali IP.

enjoy!

zgrep -e "pippo.pdf" /var/log/apache2/access.log* |grep ' 200 ' |grep 'GET /' | awk -F\: '{print $2}' | awk -F[ '{print $2}' | sed "s/\//\ /g" | date -f - +%Y%m%d | sort | uniq -c

enjoy!

Per fare questo bisogna modificare le stringhe di LogFormat che trovate in /etc/apache/apache.conf (su Debian), aggiungendo alla fine il parametro %{cache-status}e, ovvero avere qualcosa di questo tipo:

LogFormat "%v:%p %h %l %u %t \"%r\" %>s %O \"%{Referer}i\" \"%{User-Agent}i\" %{cache-status}e" vhost_combined
LogFormat "%h %l %u %t \"%r\" %>s %O \"%{Referer}i\" \"%{User-Agent}i\" %{cache-status}e" combined
LogFormat "%h %l %u %t \"%r\" %>s %O %{cache-status}e" common

Fatto questo, dopo aver riavviato Apache, se andremo a controllare i logs, noteremo al termine di ogni riga un nuovo parametro che potrà indicarci con “cache hit che la pagina è stata servita con contenuti in cache oppure con altra informazione utile a capire se il contenuti verrà messo in cache oppure è escluso dal salvataggio in cache per qualche motivo.

Nota: piccola nota finale, cosa che spesso mi chiedono. Ma se volessi escludere un file php dalla cache?

E’ possibile farlo in due modi, indicando l’url da escludere nel file /etc/apache2/mods-enabled/cache_disk.conf, es:

CacheDisable /import.php

oppure inserendo come header del file qualcosa di questo tipo:

header("Cache-Control: no-store, no-cache, must-revalidate, max-age=0");
header("Cache-Control: post-check=0, pre-check=0", false);
header("Pragma: no-cache");

enjoy!

Per l’installazione possiamo affidarci a let’s encrypt oppure a qualcuna delle azienda commerciali più note.

Oggi volevo però parlarvi della configurazione e non dell’installazione. Una volta installato il certificato, se non ben configurato, si avranno comunque potenziali problemi di sicurezza.

Innanzitutto consiglio https://www.ssllabs.com/ssltest/analyze.html per verificare la situazione del certificato HTTPS del proprio sito.

Per quanto riguarda invece la configurazione, consiglio di dare un’occhiata a https://ssl-config.mozilla.org/. Dal portale si sceglie il tipo di server web, quanto la configurazione deve essere compatibile con i vecchi browser e si possono specificare la versione di server web e di openssl.

enjoy!