abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×

dnes 13:11 | Nová verze

Po téměř dvou letech byla vydána nová verze 4.0 linuxové distribuce Audiophile Linux (též AP-Linux-V4). Tato distribuce vychází z Arch Linuxu, používá systemd, správce oken Fluxbox a vlastní real-time jádro pro nižší latence. Z novinek můžeme jmenovat podporu nových procesorů Intel Skylake a Kaby Lake nebo možnost instalace vedle jiných OS na stejný disk. Pokud se zajímáte o přehrávání hudby v Linuxu, doporučuji návštěvu webu této

… více »
Blaazen | Komentářů: 0
včera 18:55 | Nová verze

Byla vydána nová stabilní verze 1.9 (1.9.818.44) webového prohlížeče Vivaldi (Wikipedie). Z novinek vývojáři zdůrazňují podporu nového vyhledávače Ecosia. Ten z příjmů z reklam podporuje výsadbu stromů po celém světě (YouTube). Nově lze přeskupovat ikonky rozšíření nebo řadit poznámky. Nejnovější Vivaldi je postaveno na Chromiu 58.0.3029.82.

Ladislav Hagara | Komentářů: 9
včera 17:00 | Nová verze

Byla vydána verze 3.7.0 svobodného systému pro správu obsahu (CMS) Joomla!. V oznámení o vydání (YouTube) se píše o 700 vylepšeních. Opraveno bylo také 8 bezpečnostních chyb.

Ladislav Hagara | Komentářů: 0
včera 08:22 | Komunita

Grsecurity (Wikipedie) je sada bezpečnostních patchů pro linuxové jádro (porovnání se SELinuxem, AppArmorem a KSPP). Od září 2015 nejsou stabilní verze těchto patchů volně k dispozici. Dle včerejšího oznámení (FAQ) nejsou s okamžitou platností volně k dispozici už ani jejich testovací verze.

Ladislav Hagara | Komentářů: 41
26.4. 23:33 | Komunita

OpenBSD 6.1 vyšlo již 11. dubna. Po dvou týdnech byla vydána i oficiální píseň. Její název je Winter of 95 a k dispozici je ve formátech MP3 a OGG.

Ladislav Hagara | Komentářů: 0
26.4. 18:55 | Nová verze

Byla vydána verze 2017.1 linuxové distribuce navržené pro digitální forenzní analýzu a penetrační testování Kali Linux. S vydáním verze 2016.1 se Kali Linux stal průběžně aktualizovanou distribucí. Aktualizovat jej lze pomocí příkazů "apt update; apt dist-upgrade; reboot".

Ladislav Hagara | Komentářů: 0
26.4. 18:22 | Nová verze

Po téměř pěti letech od vydání verze 2.00 byla vydána nová stabilní verze 2.02 systémového zavaděče GNU GRUB (GRand Unified Bootloader). Přehled novinek v souboru NEWS.

Ladislav Hagara | Komentářů: 15
26.4. 17:55 | Komunita

Vývojáři Debianu oznámili, že od 1. listopadu letošního roku nebudou jejich archivy dostupné pomocí protokolu FTP. Již v lednu oznámil ukončení podpory FTP kernel.org (The Linux Kernel Archives).

Ladislav Hagara | Komentářů: 28
26.4. 17:00 | Bezpečnostní upozornění

V oblíbeném webmailu postaveném na PHP SquirrelMail (Wikipedie) byla nalezena bezpečnostní chyba CVE-2017-7692, jež může být útočníkem zneužita ke spuštění libovolných příkazů a kompletnímu ovládnutí dotčeného serveru. Zranitelnost se týká pouze instancí, kde je pro transport používán Sendmail.

Ladislav Hagara | Komentářů: 3
26.4. 13:11 | Zajímavý článek

Soudní dvůr Evropské unie rozhodl (tisková zpráva) ve věci C-527/15: Prodej multimediálního přehrávače, který umožňuje zdarma a jednoduše zhlédnout na televizní obrazovce filmy protiprávně zpřístupněné na internetu, může představovat porušení autorského práva.

Ladislav Hagara | Komentářů: 32
Chystáte se pořídit CPU AMD Ryzen?
 (4%)
 (35%)
 (1%)
 (6%)
 (45%)
 (9%)
Celkem 333 hlasů
 Komentářů: 50, poslední včera 04:06
    Rozcestník

    Dotaz: Squid a řízení HTTPS provozu

    19.9.2010 12:33 Matěj Vaňátko | skóre: 19 | Brno
    Squid a řízení HTTPS provozu
    Přečteno: 1369×
    Zdravím pánové. Už několik dní řeším problém, jak nastavit Squid na to, aby uměl filtrovat i provoz pro port 443. Potřebuju řídit HTTP a HTTPS do internetu... Pro HTTP funguje vše OK v transparent režimu, ale potřeboval bych to samé uplatnit i pro HTTPS a nechci to zakazovat v iptables. Je možné to nějako nakonfigurovat korektně ve squidu ? Mám distribuci Debian Lenny a squid 3.1.5.. Můj konfigurák vypadá zatím takto.
    visible_hostname proxy.skola.local
    http_port 3128 transparent
    https_port 3129 transparent sslBump cert=/usr/newrprgate/CertAuth/testcert.cert key=/usr/newrprgate/CertAuth/testkey.pem defaultsite=oatrutnov.cz vhost
    ssl_unclean_shutdown on
    sslproxy_cafile /usr/newrprgate/CertAuth/cacert.pem
    sslproxy_flags DONT_VERIFY_PEER
    
    cache_swap_low 50
    cache_swap_high 100
    cache_store_log /cache/store.log
    cache_log /cache/cache.log
    coredump_dir /cache
    access_log /cache/access.log
    pid_filename /cache/squid.pid
    
    error_directory /share/squid/errors/cs
    
    acl manager proto cache_object
    acl localhost src 127.0.0.1/32
    acl POKUS src 192.168.11.0/24
    
    acl SSL_Ports port 443
    acl Safe_ports port 80
    acl Safe_ports port 21
    acl CONNECT method CONNECT
    acl https proto https
    
    http_access allow manager localhost
    http_access deny manager
    
    http_access deny CONNECT SSL_Ports
    http_access deny SSL_Ports
    http_access deny POKUS
    
    HTTPS provoz se sice řídit dá, ale browsery házejí chybu zabezpečení certifikátu. Nemohli byste mi poradit, jak to dotáhnout do takového konce, že bude možné ve squidu řídit https přístup bez toho, aby browsery vyhazovaly tu bezpečností hlášku ?

    Díky za pomoc

    Řešení dotazu:


    Odpovědi

    19.9.2010 12:46 Martin Šebek | skóre: 18 | blog: Tady je Indiánovo | Mladá Boleslav
    Rozbalit Rozbalit vše Re: Squid a řízení HTTPS provozu
    Transparentní proxy pro https není z principu možné. Proxy by se pak chovala jako při MITM útoku.
    19.9.2010 13:09 Matěj Vaňátko | skóre: 19 | Brno
    Rozbalit Rozbalit vše Re: Squid a řízení HTTPS provozu
    To je mi jasné. Ale proč má tedy squid příkazy typu https_port a další ssl věci. To mi na tom není jasné. Ona samotná blokace HTTPS přístupu mi v tom konfiguráku funguje. Jenom browsery hází tu chybu, že je certifikát neplatný. A já potřebuju vědět, zda-li se dá té chyby nějako zbavit. Bude to asi někdě v nastavení certifikátů v OpelSSL, ale vůbec mě nenapadá kde a hlavně jak.
    19.9.2010 13:32 Filip Jirsák | skóre: 66 | blog: Fa & Bi
    Rozbalit Rozbalit vše Re: Squid a řízení HTTPS provozu
    Prohlížeč neplatný certifikát hlásí správně, protože vy se pokoušíte udělat man-in-the-middle útok, proti kterému právě certifikáty chrání.

    Můžete buď udělat velmi ošklivý hack, zprovoznit si vlastní certifikační autoritu, tu vnutit uživatelům do prohlížečů a pak všechny weby podepisovat touto autoritou. Veškeré zabezpečení HTTPS tím ale berete na sebe, a třeba přihlášení klientským certifikátem tím zcela znemožníte. Jediné rozumné řešení je udělat ze Squida normální proxy server, tj. ne transparentní. Prohlížeč pak bude vědět, že komunikuje s proxy serverem a přizpůsobí tomu svou komunikaci. Squid pak funguje jenom jako prostředník, který navazuje spojení a dovnitř komunikace nevidí.
    19.9.2010 13:47 Matěj Vaňátko | skóre: 19 | Brno
    Rozbalit Rozbalit vše Re: Squid a řízení HTTPS provozu
    To mi ani tak nevadí. Ono tohle nebude sloužit ve velkém komerčním použití. Je to potřeba na školu, aby se studentům ořezal přístup nejen přes HTTP, ale i HTTPS, protože studenti jsou vynalézaví a rychle HTTPS našli a když byl Squid jen v transparentním HTTP, tak si to obcházeli přes HTTPS.

    A) Pokud bych tedy chtěl udělat vlastní certifikační autoritu, je nějaká možnost, jak ji vnutit uživatelům pro vŠech prohlížečů nějak centrálně ?

    B) Kdyby byl squid normálním proxy serverem, jak ho vnutím uživatelům, aby museli nastavení squidu používat, protože když ho dám žákům do nastavení prohlížeče, tak oni nejsou tak blbí, aby si ho zase sami vyhodili.

    Přiznám se, že možnost A se mi líbí pro toto použití o něco víc.
    19.9.2010 13:55 Filip Jirsák | skóre: 66 | blog: Fa & Bi
    Rozbalit Rozbalit vše Re: Squid a řízení HTTPS provozu
    Varianta A) záleží na konkrétním prohlížeči, a v žádném případě bych to nedělal. Varianta B je snadná – na routeru zakážete komunikaci na porty 80 a 443 (případně i na další) z jiných počítačů, než je proxy server. Takže žákům nezbyde nic jiného, než použít proxy server. Pak můžete zase v závislosti na typu prohlížeče udělat nějaké globální nastavení, aby ten proxy server měli už přednastavený. Např. pro MSIE to jde určitě pomocí politik nastavit i tak, že proxy server nebudou moci měnit, Firefox jde myslím takto nakonfigurovat (editací nějakého souboru).
    19.9.2010 14:07 Matěj Vaňátko | skóre: 19 | Brno
    Rozbalit Rozbalit vše Re: Squid a řízení HTTPS provozu
    Aha, díky. Vyzkouším. Je vidět, že jednoduchá řešení bývají vždy ta nejlepší. A mohu ještě otázečku ? Jak pak tedy bude vypadat squid.conf potom, co squid nebude v transparent modu oproti tomu, jak vypadá teď ten můj ? Vypadne pouze slovíčko "transparent" ? Nikdy jsem zatím normál proxy nekonfiguroval, jsem samouk, tak se omlouvám za takto blbé dotazy. A v iptables tedy bude zakázán forward portů 80 a 443 z vnitřní sítě kromě adresy toho proxy, chápu-li to správně
    19.9.2010 14:19 Matěj Vaňátko | skóre: 19 | Brno
    Rozbalit Rozbalit vše Re: Squid a řízení HTTPS provozu
    Odpovím si sám. Už to všechno funguje jak má. Je blokován jak HTTP tak HTTPS provoz. Sice jakoby na údržbu by bylo lepší, kdyby to šlo udělat vše v transparentním režimu, ale tohle je naprosto super :-). Studenti aspoň budou muset konečně poslouchat nějaké nastavení, jinak mají smůlu.

    Děkuji pane Jirsák za pomoc. Squid v normálním režimu je funkčně určitě lepší než transparentní.
    19.9.2010 14:23 Filip Jirsák | skóre: 66 | blog: Fa & Bi
    Rozbalit Rozbalit vše Re: Squid a řízení HTTPS provozu
    Mělo by tam být jen http_port 3128 a https_port vůbec. iptables jak píšete. Samozřejmě může web běžet třeba na portu 81 nebo 8080, ale asi nemáte žádný web, který by běžel na nestandardním portu, který byste chtěl blokovat. Další věc je, že si studenti mohou rozchodit vlastní proxy někde na internetu a přistupovat k němu přes jiný port, než je 80 nebo 443, mohou si udělat tunel přes SSH… Záleží na tom, jak moc to chcete blokovat, ale jakmile jim jednou dáte možnost na web se dostat, je to jenom otázka toho, kolik práce chtějí věnovat tomu, aby to obešli. Ale předpokládám, že zákaz portů 80 a 443 by měl stačit, pokud byste tam měl někoho tak šikovného, že by to dokázal obejít, snažil bych se s ním spíš domluvit :-)
    19.9.2010 20:29 rob
    Rozbalit Rozbalit vše Re: Squid a řízení HTTPS provozu
    Ja jen doufam, ze to delate jen jako konicek. I kdyz v tyhle dobe ... :)
    19.9.2010 20:55 Matěj Vaňátko | skóre: 19 | Brno
    Rozbalit Rozbalit vše Re: Squid a řízení HTTPS provozu
    Sice nevim, jestli váš příspěvek brát jako ironii nebo jako urážku, ale v podstatě zatím ano. Jsem zatím ve třetím ročníku na průmyslovce - elektronické počítačové systémy, takže do vejšky si takhle zkoušim věci napřed :-)

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.