INSTALLATION ET SECURISATION SERVEUR WEB

Transcription

1 INSTALLATION ET SECURISATION SERVEUR WEB Résumé La mise en ligne d un site web d entreprise permet à l entreprise une meilleure visibilité et potentiellement visé une clientèle plus large que la région ou le département dans lequel elle est implantée. Dimitri CERVANTES Dimitri.cervantes@protonmail.com

2 Table des matières Cahier des charges... 2 Demande du client... 2 Infrastructure présente... 2 Contraintes... 3 Analyse... 3 Solutions envisagées... 3 Solution choisie :... 3 Mise en place... 4 Etape de mise en place... 4 Protocole de test... 4 Déploiement de l infrastructure... 4 Impact sur le SI... 4 Installation de la machine CentOS... 5 Installation du serveur LAMP... 6 Sécurisation des accès au serveur... 6 Configuration du Vhost et ajout du domaine... 8 Installation du certificat HTTPS... 9 Protocole de test Test de mise en ligne d une page HTML Test de mise en ligne d une page PHP Amélioration à apporter

3 Cahier des charges INSTALLATION ET SECURISATION SERVEUR WEB Demande du client L entreprise Grmp possede un fichier client n évoluant pas ou très peu, l idée du dirigeant est d avoir un site web permettant de couvrir une plus grande clientèle et plus se résumé au seul département de la Drôme. Le site web permettra alors une meilleure visibilité à l échelle nationale voir mondiale le permettant d engendrer un plus gros bénéfice et continuer le développement de l entreprise. Infrastructure présente GRMP ne possède aujourd hui aucune visibilité sur le web. L entreprise possède aujourd hui un serveur de virtualisation ESX hébergeant les deux serveurs de l entreprise dont un serveur Windows 2012 R2 comportant comme rôle l Active Directory, le DNS et le DHCP. L autre serveur hébergeant les mails et l ERP développer en interne est hébergé sur un système RHEL. Nom IP Masque Passerelle Virtualiseur Serveur Windows ERP Routeur Routeur coté FAI Gestion par le FAI Gestion par le FAI Gestion par le FAI PC Utilisateurs

4 Contraintes Le DSI de GRMP appuyant le fait que la connexion du siège social est peu fiable et peu performante, demande d héberger le site web chez un hébergeur et non au siège social de l entreprise. La seconde demande du DSI est d avoir la main total sur la machine hébergeant le site web, leurs permettant d affiné les règles de sécurité au mieux, ne voulant pas laisser la sécurisation du serveur au fournisseur de l hébergement. Analyse Solutions envisagées Note : Au vu des contraintes imposées par le DSI, la solution d hébergement se fera chez OVH, donnant accès à la machine via KVM. 1 ere solution : L hébergement d un site web peut se faire via un serveur Linux, ce sera alors un serveur LAMP (Linux, Apache, MySQL/MariaDB, PHP). La solution LAMP étant une solution libre, la communauté autour du projet est énorme, de ce fait une documentation extrêmement bien fournis est disponible. De plus, la solution LAMP a comme avantage d être très peu gourmande en performance. 2 eme solution : La deuxième solution est une solution IIS (Internet Information Services) de Windows, la solution de Windows propose autant de fonctionnalité que son homologue Linux, la communauté est aujourd hui bien présente, et une documentation officielle de Microsoft permet un bon maintien de la solution. Le problème de la solution IIS est qu elle est une solution propriétaire, ne permettant pas de garantir l inexistence d une backdoor. De plus, la solution IIS est aujourd hui une solution plus lourde et moins performante que LAMP, nécessitant alors une machine plus performante, de plus, une licence payante sera nécessaire pour faire fonctionner le Windows serveur. Solution choisie : Le DSI de l entreprise GRMP soucieux de réduire les coûts engendrer par son SI souhaite se porté sur la solution Linux, en effet, la solution LAMP étant peu gourmande en ressource, la location du serveur dédié sera moins cher car moins demandant en ressource, de plus, le DSI économisera aussi le prix d une licence Windows Server. Note : Le client étant habitué à une distribution RHEL, le serveur sera alors sous CentOS, la version communautaire de RHEL. 3

5 Mise en place INSTALLATION ET SECURISATION SERVEUR WEB Etape de mise en place 1. Installation de la machine CentOS 2. Installation du serveur LAMP 3. Sécurisation des accès au serveur 4. Configuration du Vhost et ajout du domaine 5. Installation du certificat HTTPS Protocole de test 1. Test de mise en ligne d une page HTML 2. Test de mise en ligne d une page PHP Déploiement de l infrastructure La solution Cloud héberger chez OVH est complètement dissocié du réseau existant de la société, de ce fait, le déploiement se fera dès le feu vert du client. Aucune coupure du SI n est à prévoir pendant ce laps de temps. Impact sur le SI L entreprise sera à terme plus visible sur internet et donc une recrudescence de contact par mail est à prévoir. De plus, l entreprise gagnant en visibilité pour les clients, elle devient aussi plus visible aux yeux des clients, de ce fait, des attaques pourront être observées sur le réseau de l entreprise et sur le serveur dédié, le DSI devra alors gérer ces attaques. 4

6 Installation de la machine CentOS Via l interface web d OVH on sélectionne la distribution voulu soit CentOS puis on clique sur suivant, on renseigne les paramètres que l on souhaite puis on laisse l utilitaire installer la machine : Après l installation le service OVH nous envoie un mail nous informants de la bonne installation de la machine en nous indiquant nos accès SSH : On peut alors se connecter sur l IP de notre serveur indiqué dans notre interface d administration OVH soit : 5

7 Installation du serveur LAMP L installation d un serveur LAMP comprend le serveur Apache (HTTPD) le serveur SQL (MariaDB) et le module PHP avec son connecteur MYSQL, on l installe comme suit : On va ensuite devoir activer ces services au lancement de la machine puis les lancer manuellement grâce à la commande : Note : && permet de lancer la deuxième commande si la première s est bien exécuté (ET logique en programmation) Sécurisation des accès au serveur Le système se trouvant en frontal sur internet, il va falloir réduire les accès au strict minimum, soit HTTP, HTTPS et SSH, le reste sera bloqué, on va ensuite ajouter des adresses IP autorisées à se connecter aux services internes du système tel que SSH, puis on va ajouter un système type iptable pour bannir les personnes essayant de se connecter à notre serveur. On installe tout d abord les paquets nécessaires, soit Firewalld (Pare-feu de CentOS) et Fail2ban (compris dans le depot epel-release) : Après ceci il faut les activer au démarrage et les démarrer : Les services sont donc en route, il faut maintenant ajouter les protocoles HTTPS et HTTP au pare-feu pour qu il autorise la connexion via navigateur : Note : on voit bien via --list-all que les ports HTTPS (443) et HTTP (80) ont bien été ajouté à la zone publique de notre pare-feu. Le pare-feu étant configuré pour laisser passer seulement les deux ports que l on veut utiliser, on va maintenant passer à l activation des jails fail2ban permettant de bannir les IP attaquants notre serveur. En premier lieu, le fichier jail.conf dans /etc/fail2ban/ est à copier en jail.local le fichier.conf est à conserver pour permettre une restauration des paramètres par défaut, le fichier.local est utilisé en priorité par fail2ban. 6

8 En premier lieu on spécifie la durée du bannissement d une IP, le délai avant bannissement, et l intervalle de temps sur lequel on scanne nos logs comme suit dans la catégorie [DEFAULT] : Note : bantime = -1 bannit définitivement, maxretry = 3 est le nombre de tentatives échouer avant le bannissement, enfin, findtime = 7200 est l intervalle de scan de nos logs, si fail2ban trouve trois échecs de connexion par une adresse IP sur ces 7200 secondes (soit 2 heures) il la bannira. Ensuite, il faudra rajouter la ligne enabled = true sur chaque service que l on veut surveiller. Les services que l on veut surveiller sont : - sshd - Tous les modules apaches Lorsque les services sont activés il faut redémarrer le service fail2ban. Après toutes ces configurations, on va renseigner des IP autorisées à se connecter aux processus internes (SSH, telnet, etc), pour cela, on va déjà ajouter dans le fichier /etc/host.deny la directive ALL:ALL indiquant que personne n est autorisé à accéder aux processus internes. On va ensuite indiquer au serveur qui peut se connecter aux processus internes en modifiant le fichier /etc/host.allow puis on indique à l intérieur les IP autorisé à accéder à ces processus, voici la configuration permettant une connexion sur tous les services internes : Note : On peut si l on veut réduire les accès seulement au SSH ou d autres processus en remplacent la variable ALL par le nom du processus voulu. Si nous voulons ajouter une autre adresse IP à se connecter, il faut alors faire une nouvelle ligne et renseigner de nouveau Nom_process:IP 7

9 Configuration du Vhost et ajout du domaine Note : L entreprise a déjà réservé un domaine en grmp.fr lors de sa création, évitant une utilisation non voulu du nom de l entreprise. En premier lieu on va configurer notre serveur pour le domaine grmp.fr acheter auprès de notre hébergeur OVH, pour ce faire, il faut allez sur l interface d administration OVH puis dans redirection indiquée l adresse de notre serveur avec son domaine grmp.fr, cette configuration permet une propagation de l enregistrement vers les serveur DNS du monde entier : Note : est l adresse fournie par l hébergeur Bien penser à ajouter le domaine en www. On peut maintenant passer à la sécurisation du serveur SQL via l utilitaire mysql_secure_installation intégré à mariadb : Ce script permet de réduire les accès à notre base de données, mettre un mdp de connexion de la console SQL puis de supprimer toutes les entrées par défaut (base de données, connexion À d ici notre serveur SQL est OK, on passe maintenant à l ajout des vhost apache, on va ajouter un fichier de configuration pour le site web dans /etc/httpd/conf.d/ on le nommera grmp.fr.conf, voici son contenu : 8

10 Installation du certificat HTTPS Le certificat SSL que l on utilisera se basera sur l autorité Let s Encrypt (Gratuit), pour l installation du certificat on va utiliser Certbot, un utilitaire permettant la génération de certificats, son déploiement et son activation dans les vhost apaches automatiquement, tout en redirigeant tout le trafic sur HTTPS. On commence par l installation de certbot via : Note : Il faut avoir activé dépôt epel-release On lance ensuite la commande : Note : on génère une clé de 4096 bits pour plus de sécurité, par défaut la clé est générée en 2048 bits. On sélectionne ensuite les domaines sur lesquels on veut activer le chiffrage SSL soit grmp.fr et : (on laisse vide pour sélectionner tous les domaines) Certbot va alors générer les certificats nécessaires, puis nous demande si l on veut donner accès à notre serveur seulement en HTTPS ou garder le HTTP. Dans notre cas, on va lui demander l option n 2 pour obliger la connexion via HTTPS, empêchant toutes attaques de type MAN IN THE MIDDLE Après ceci, certbot va automatiquement changer nos fichiers de configuration apache en xxxxle-ssl.conf. Grmp.fr devient grmp.fr-le-ssl-.conf et aura son contenu changé en : Note : Les rewrite cond permettent de rediriger tout le trafic vers le protocole HTTPS 9

11 Protocole de test INSTALLATION ET SECURISATION SERVEUR WEB Test de mise en ligne d une page HTML Pour tester la mise en ligne d un fichier HTML basique, on va créer un fichier index.html à la racine du répertoire de travail de apache soit /var/www/html, puis on renseignera un message «Blurp.» On peut alors verifier que le texte «Blurp» en titre 1 est bien afficher sur grmp.fr et que le site est bien en HTTPS : On voit bien ici que le message est affiché et que le site est bien en HTTPS Test de mise en ligne d une page PHP O va modifier notre fichier index.html en index.php puis on va lui rajouter du code php avec un echo «Hello World», l ajout de code html et l affichage du nom du serveur: On voit bien que le code HTML est toujours présent et que les affichages PHP demander son bien exécuter. Amélioration à apporter Le client pourra à l avenir ajouter des sous domaine s il le souhaite pour proposer plus qu un site web, par exemple une solution type extranet, permettant au client de consulter les pièces et les prix des machines en ventes. 10