Autenticación y Seguridad en Apache: SSL y Firma Digital

Autenticación y Seguridad en Apache

Cuando el servidor Apache recibe la petición de una página web, antes de ofrecerla, verifica que dicha petición esté autorizada. Para ello, realiza las siguientes comprobaciones:

1. Autenticación

Comprueba la identificación del usuario. Existen dos métodos de autenticación HTTP:

• Básico o simple: el usuario introduce en el navegador web su login o nombre de usuario y contraseña, y estos se envían sin cifrar al servidor.
• Digest: el usuario introduce en el navegador web su login de usuario y contraseña, y estos se mandan cifrados al servidor.

2. Autorización

El servidor debe comprobar si el usuario validado tiene acceso a la información que solicita.

3. Control de Acceso

Establece y controla las máquinas que tienen acceso a un recurso.

El Servidor Web Seguro

Decimos que un servidor web es seguro cuando garantiza la comunicación con el cliente web con autenticación y confidencialidad. El protocolo SSL permite establecer una comunicación segura y codificada entre el servidor web y el navegador. El protocolo HTTP se basa en dos tipos de criptografía:

• Simétrica o de clave compartida.
• Asimétrica o de clave pública/privada.

Firma Digital

¿Qué es la Firma Digital?

Una porción de código que se adjunta a un mensaje para garantizar al destinatario quién es el remitente del mismo y que su información no ha sido alterada.

El proceso de firma digital comprende estas fases:

1. El usuario origen aplica un algoritmo hash sobre los datos y genera un hash.
2. El usuario origen transforma el hash en una firma digital con su clave privada.
3. El usuario origen envía al usuario destino los datos, la firma y el certificado.
4. El usuario destino aplica el algoritmo hash a los datos recibidos y genera un valor hash.
5. El usuario destino usa la clave pública del usuario origen y el valor hash para comprobar la firma. Si coincide, se asegura lo siguiente:

• El mensaje no ha sido modificado, con lo que se garantiza la integridad del mismo.
• El único usuario que lo ha podido firmar ha sido el origen, con lo que se garantiza la identificación del firmante.

Funcionamiento de SSL (Secure Socket Layer)

El protocolo SSL garantiza que todo el intercambio de información se lleva a cabo de forma segura mediante encriptación.

El protocolo SSL en una conexión TCP/IP proporciona:

• Confidencialidad: cifra la información.
• Integridad del mensaje: controla modificaciones intencionadas mientras se transmite por Internet.
• Autenticación del servidor: asegura la identidad del servidor con el que se establece conexión y al que el usuario envía información personal.
• Autenticación del cliente: el servidor conoce la identidad del usuario y le permite o no su acceso.

El protocolo SSL usa una clave de sesión que se genera en cada transacción. La comunicación se realiza en dos fases:

1. Fase de saludo: cliente y servidor se identifican mediante el intercambio de claves públicas.
2. Fase de comunicación: se realiza el intercambio de datos usando una clave de tipo simétrico.

Los navegadores incorporan un módulo SSL que se activa normalmente cuando en la URL se escribe HTTPS://.

Activar la Seguridad en Apache

1. Paso 1: Activación del módulo SSL desde Webmin.
2. Paso 2: Creación del host virtual.
3. Paso 3: Obtención del certificado.
4. Paso 4: Instalación del certificado.
5. Paso 5: Certificados para Webmin.
6. Paso 6: Comprobación de funcionamiento.