Архив рубрики: Из жизни

Сюда тащатся заметки из ЖЖшки

Защита сайта сертификатом p12

19.12.2022 Павел Грибов Оставить комментарий

Задача: обеспечить вход на сайт только при наличии действующего сертификата формата p12.

Решение:

Инструкция создана на основе нескольких источников, в т.ч. этого и этого, но с внесением поправок что год уже конец 2022, и появились некоторые нюансы, что старые инструкции не работают по умолчанию для новых дистрибутивов.

Сначала создадим корневой сертификат сервера и необходимые для дальнейшей работы файлы и папки. Для этого создадим в любой папке файл root_cer.sh с содержимым вида:

mkdir db                # БД сертификатов
mkdir certs             # ключ и сертификат сервера
mkdir db/certs          # пользовательские сертификаты
mkdir db/newcerts       # новые сертификаты
mkdir p12               # сертификаты для передачи клиентам (p12)
touch db/index.txt
echo "01" > db/serial
openssl req -new -newkey rsa:2048 -nodes -keyout certs/server.key -x509 -days 1024 \
          -subj /C=RU/ST=Vol/L=Vol/O=LTD\ ElkiPalki/OU=Sale/CN=zz/emailAddress=wefwerfwe@gmail.com \
          -out certs/server.crt

mkdir db # БД сертификатов

mkdir certs # ключ и сертификат сервера

mkdir db/certs # пользовательские сертификаты

mkdir db/newcerts # новые сертификаты

mkdir p12 # сертификаты для передачи клиентам (p12)

touch db/index.txt

echo "01" > db/serial

openssl req -new -newkey rsa:2048 -nodes -keyout certs/server.key -x509 -days 1024 \

-subj /C=RU/ST=Vol/L=Vol/O=LTD\ ElkiPalki/OU=Sale/CN=zz/emailAddress=wefwerfwe@gmail.com \

-out certs/server.crt

, где:

rsa:2048- длина ключа, -days — сколько дней действителен сертификат, -x509 — создаём самоподписаный сертификат, /C — страна, /ST — область, /L — город, /O — организация, /OU — отдел,

Результатом работы будут два файла в папке certs: servert.crt (сертификат) и serverk.key (закрытый ключ). Данные закрытого ключа можно посмотреть при помощи:

openssl rsa -noout -text -in server.key  
openssl x509 -noout -text -in server.crt

1 2	openssl rsa -noout -text -in server.key openssl x509 -noout -text -in server.crt

В файле db/serial записывается текущий серийный номер
подписываемого сертификата в шестнадцатиричном формате.

В файл db/index.txt сохраняются данные о подписываемых сертификатах.

Далее необходимо создать файл с настройками для генерации пользовательских сертификатов ca.config:

 [ ca ]
        default_ca             = CA_CLIENT       # При подписи сертификатов  использовать секцию CA_CLIENT

        [ CA_CLIENT ]
        dir                    = ./db            # Каталог для служебных файлов
        certs                  = $dir/certs      # Каталог для сертификатов
        new_certs_dir          = $dir/newcerts   # Каталог для новых сертификатов

        database               = $dir/index.txt  # Файл с базой данных
        # подписанных сертификатов
        serial                 = $dir/serial     # Файл содержащий серийный номер
        # сертификата
        # (в шестнадцатиричном формате)
        certificate            = ./certs/server.crt        # Файл сертификата CA
        private_key            = ./certs/server.key        # Файл закрытого ключа CA

        default_days           = 365             # Срок действия подписываемого
        # сертификата
        default_crl_days       = 7               # Срок действия CRL (см. $4)
        default_md             = sha256          # Алгоритм подписи

        policy                 = policy_anything # Название секции с описанием политики в отношении данных сертификата

        [ policy_anything ]
        countryName            = optional        # Код страны - не обязателен
        stateOrProvinceName    = optional        # ......
        localityName           = optional        # ......
        organizationName       = optional        # ......
        organizationalUnitName = optional        # ......
        commonName             = supplied        # ...... - обязателен
        emailAddress           = optional        # ......

[ ca ]

default_ca = CA_CLIENT # При подписи сертификатов использовать секцию CA_CLIENT

[ CA_CLIENT ]

dir = ./db # Каталог для служебных файлов

certs = $dir/certs # Каталог для сертификатов

new_certs_dir = $dir/newcerts # Каталог для новых сертификатов

database = $dir/index.txt # Файл с базой данных

# подписанных сертификатов

serial = $dir/serial # Файл содержащий серийный номер

# сертификата

# (в шестнадцатиричном формате)

certificate = ./certs/server.crt # Файл сертификата CA

private_key = ./certs/server.key # Файл закрытого ключа CA

default_days = 365 # Срок действия подписываемого

# сертификата

default_crl_days = 7 # Срок действия CRL (см. $4)

default_md = sha256 # Алгоритм подписи

policy = policy_anything # Название секции с описанием политики в отношении данных сертификата

[ policy_anything ]

countryName = optional # Код страны - не обязателен

stateOrProvinceName = optional # ......

localityName = optional # ......

organizationName = optional # ......

organizationalUnitName = optional # ......

commonName = supplied # ...... - обязателен

emailAddress = optional # ......

Для автоматизации генерации клиентских сертификатов можно собрать небольшой bash скрипт:

#!/bin/bash
NO_ARGS=0
BASE_DIR=""
P12_DIR="$BASE_DIR/p12"
CA_CFG="$BASE_DIR/ca.config"            # Конфигурационный файл для подписи
CERTS="$BASE_DIR/db/certs"              # Каталог для хранения сертификатов
CA_FILE="$BASE_DIR/certs/server.crt"    # Доверенный сертификат (Им подписывам)

usage () {
  echo "Скрипт `basename $0` предназначен для создания клиентских SSL сертификатов."
  echo ""
  echo "Использование: `basename $0` email name password"
}

if [ $# -eq "$NO_ARGS" ]  # Сценарий вызван без аргументов?
then
  usage                   # Если запущен без "аргуменотов" - вывести справку
  exit $E_OPTERROR        # и выйти с кодом ошибки
fi

EMAIL=$1
echo "Email:$EMAIL"
NAME=$2
echo "Name:$NAME"
PASSWORD=$3
echo "Password:$PASSWORD"

# создаём запрос на клиентский сертификат
openssl req -new -newkey rsa:2048 -nodes -keyout "$CERTS/$NAME.key" \
        -subj /C=RU/CN=usr/emailAddress="$EMAIL" \
        -out "$CERT/$NAME.csr"

# подписываем запрос на сертификат при помощи доверенного сертификата
openssl ca -config "$CA_CFG" -in "$CERT/$NAME.csr" -out "$CERT/$NAME.crt" -batch

# создаём файл p12 для передачи клиенту
openssl pkcs12 -export -in "$CERT/$NAME.crt" -inkey "$CERTS/$NAME.key" \
        -certfile "$CA_FILE" -out "$P12_DIR/$NAME.p12" -passout pass:"$PASSWORD"

#!/bin/bash

NO_ARGS=0

BASE_DIR=""

P12_DIR="$BASE_DIR/p12"

CA_CFG="$BASE_DIR/ca.config" # Конфигурационный файл для подписи

CERTS="$BASE_DIR/db/certs" # Каталог для хранения сертификатов

CA_FILE="$BASE_DIR/certs/server.crt" # Доверенный сертификат (Им подписывам)

usage () {

echo "Скрипт `basename $0` предназначен для создания клиентских SSL сертификатов."

echo ""

echo "Использование: `basename $0` email name password"

}

if [ $# -eq "$NO_ARGS" ] # Сценарий вызван без аргументов?

then

usage # Если запущен без "аргуменотов" - вывести справку

exit $E_OPTERROR # и выйти с кодом ошибки

EMAIL=$1

echo "Email:$EMAIL"

NAME=$2

echo "Name:$NAME"

PASSWORD=$3

echo "Password:$PASSWORD"

# создаём запрос на клиентский сертификат

openssl req -new -newkey rsa:2048 -nodes -keyout "$CERTS/$NAME.key" \

-subj /C=RU/CN=usr/emailAddress="$EMAIL" \

-out "$CERT/$NAME.csr"

# подписываем запрос на сертификат при помощи доверенного сертификата

openssl ca -config "$CA_CFG" -in "$CERT/$NAME.csr" -out "$CERT/$NAME.crt" -batch

# создаём файл p12 для передачи клиенту

openssl pkcs12 -export -in "$CERT/$NAME.crt" -inkey "$CERTS/$NAME.key" \

-certfile "$CA_FILE" -out "$P12_DIR/$NAME.p12" -passout pass:"$PASSWORD"

На входе скрипта необходимо задать email, имя пользователя без пробелов и пароль на установку сертификата. На выходе будет запись в БД сертификатов и непосредственно сам контейнер p12 в папке p12 для передачи клиенту.

И ещё один полезный скрипт, для автоматизации отзыва сертификатов revote.sh:

#!/bin/bash
NO_ARGS=0
BASE_DIR=""
CA_CFG="$BASE_DIR/ca.config"
CERTS="$BASE_DIR/db/newcerts"
usage () {
  echo "Скрипт `basename $0` предназначен для отзыва клиентских SSL сертификатов."
  echo ""
  echo "Использование: `basename $0` serial"
}
if [ $# -eq "$NO_ARGS" ]  # Сценарий вызван без аргументов?
then
  usage                   # Если запущен без "аргуменотов" - вывести справку
  exit $E_OPTERROR        # и выйти с кодом ошибки
fi

SERIAL=$1
echo "Отзываю сертификат: $CERTS/$SERIAL.pem"
openssl ca -config "$CA_CFG" -revoke "$CERTS/$SERIAL.pem"
# составим список отозваных в файл revoked.crl
openssl ca -gencrl -config "$CA_CFG" -out revoked.crl

#!/bin/bash

NO_ARGS=0

BASE_DIR=""

CA_CFG="$BASE_DIR/ca.config"

CERTS="$BASE_DIR/db/newcerts"

usage () {

echo "Скрипт `basename $0` предназначен для отзыва клиентских SSL сертификатов."

echo ""

echo "Использование: `basename $0` serial"

}

if [ $# -eq "$NO_ARGS" ] # Сценарий вызван без аргументов?

then

usage # Если запущен без "аргуменотов" - вывести справку

exit $E_OPTERROR # и выйти с кодом ошибки

SERIAL=$1

echo "Отзываю сертификат: $CERTS/$SERIAL.pem"

openssl ca -config "$CA_CFG" -revoke "$CERTS/$SERIAL.pem"

# составим список отозваных в файл revoked.crl

openssl ca -gencrl -config "$CA_CFG" -out revoked.crl

Посмотреть список отозваных сертификатов можно при помощи команды:

openssl crl -in revoked.crl -text -noout

1	openssl crl -in revoked.crl -text -noout

Осталось только настроить apache для того что бы он пускал на сайт, только при наличии сертификата, добавив:

SSLCACertificateFile /path/to/server.crt
SSLVerifyClient require

1 2	SSLCACertificateFile /path/to/server.crt SSLVerifyClient require

Из жизни

Хорошая картинка..Оставлю на память

24.11.2022 Павел Грибов Оставить комментарий

Flutter, Из жизни

Flutter: Хранение данных приложения

06.07.2022 Павел Грибов Оставить комментарий

На этом месте должна была быть статья по работу Flutter с SQLite, но не сложилось. Не умеет Flutter без плясок с бубном работать с SQLite одновременно на всех целевых платформах сразу: WIndows/Android/IOS. Самый популярный пакет sqflite — работает только на Android/IOS, остальные, задекларированные как рабочие под Windows, по оной так запустить мне и не удалось, с учётом что у меня ограниченные права Windows. Потому, стал смотреть в сторону пакета Hive — работающего на всех целевых платформах, т.к. написан изначально на языке Dart.

Hive -это быстрая локальная база для Flutter, Dart работающая на основе ключ-значение.

Установка: добавить в зависимости pubsec.yaml:

dependencies:
  hive: ^2.2.3

1 2	dependencies: hive: ^2.2.3

Для удобства можно написать маленький класс для работы с ключами-значениями:

import 'dart:io';
import 'package:hive/hive.dart';

class THave {
  String bname="";
  void Init(String basename)  {
    var path = Directory.current.path;
    Hive.init(path);
    bname=basename;
  }
  void Add(String key,var value) async {
    var box = await Hive.openBox(bname);
    await box.put(key, value);
  }
  void Delete(String key) async {
    var box = await Hive.openBox(bname);
    await box.delete(key);
  }
  dynamic  Get(String key) async  {
    var box =  await Hive.openBox(bname);
    return (box.get(key));
  }
  Future <Iterable> GetKeys() async {
    var box = await Hive.openBox(bname);
    return await box.keys;
  }
}

import 'dart:io';

import 'package:hive/hive.dart';

class THave {

String bname="";

void Init(String basename) {

var path = Directory.current.path;

Hive.init(path);

bname=basename;

}

void Add(String key,var value) async {

var box = await Hive.openBox(bname);

await box.put(key, value);

}

void Delete(String key) async {

var box = await Hive.openBox(bname);

await box.delete(key);

}

dynamic Get(String key) async {

var box = await Hive.openBox(bname);

return (box.get(key));

}

Future <Iterable> GetKeys() async {

var box = await Hive.openBox(bname);

return await box.keys;

}

И теперь например можно при новом запуске приложения «вспоминать» авторизацию:

main.dart:

void main() {
  THave have=THave();
  have.Init("auth");
  have.Get("UserId").then((UserId){
    if (UserId!=null){
      globals.UserId=UserId;
    };
    have.Get("UserName").then((UserName){
      if (UserId!=null){
        globals.UserName=UserName;
        globals.is_login=true;
      };
      runApp(const MyApp());
    });
  });
}

void main() {

THave have=THave();

have.Init("auth");

have.Get("UserId").then((UserId){

if (UserId!=null){

globals.UserId=UserId;

};

have.Get("UserName").then((UserName){

if (UserId!=null){

globals.UserName=UserName;

globals.is_login=true;

};

runApp(const MyApp());

});

}

                      onPressed: (){
                        http.post(Uri.parse('https://erfwe.ru/1.php'),body: {'login':_controller1.text,'password':_controller2.text}).then((response) {
                          print("Response status: ${response.statusCode}");
                          print("Response body: ${response.body}");
                          Map<String, dynamic> user = jsonDecode(response.body);
                          setState(() {
                            globals.UserName = user["UserName"];
                            globals.is_login = true;
                            globals.UserId = user["UserId"];
                            THave have=THave();
                            have.Init("auth");
                            have.Add("UserName", globals.UserName);
                            have.Add("UserId", globals.UserId);
                          });
                        }).catchError((error){
                          print("Error: $error");
                        });
                      },

onPressed: (){

http.post(Uri.parse('https://erfwe.ru/1.php'),body: {'login':_controller1.text,'password':_controller2.text}).then((response) {

print("Response status: ${response.statusCode}");

print("Response body: ${response.body}");

Map<String, dynamic> user = jsonDecode(response.body);

setState(() {

globals.UserName = user["UserName"];

globals.is_login = true;

globals.UserId = user["UserId"];

THave have=THave();

have.Init("auth");

have.Add("UserName", globals.UserName);

have.Add("UserId", globals.UserId);

});

}).catchError((error){

print("Error: $error");

});

Причем нужно отметить свойства сохранения и извлечения ключ-значение: при сохранении мы не ждем результата записи. При чтении — соответственно необходимо дождаться.

Flutter, Из жизни

Flutter: работа с json

04.07.2022 Павел Грибов Оставить комментарий

В предыдущей статье мы получили по URL json данные. Теперь задача их обработать.

{
"UserId":10,
"UserName":"Vasya Pukin"
}

{

"UserId":10,

"UserName":"Vasya Pukin"

}

Для работы с json, необходимо импортировать библиотеку:

<strong>import </strong><strong>'dart:convert'</strong>;

1	<strong>import </strong><strong>'dart:convert'</strong>;

Далее загрузим данные в тип Map:

 Map<String, dynamic> user = jsonDecode(response.body);
                        print (user["UserName"]);

1 2	Map<String, dynamic> user = jsonDecode(response.body); print (user["UserName"]);

А что если это массив?

[
  {"UserId":10,"UserName":"Vasya Pukin 1"},
  {"UserId":10,"UserName":"Vasya Pukin 2"}
  ]

[

{"UserId":10,"UserName":"Vasya Pukin 1"},

{"UserId":10,"UserName":"Vasya Pukin 2"}

]

В этом случае загрузим JSON в объет List:

                        List users = jsonDecode(response.body);
                        for(int i=0; i < users.length; i++){
                          print(users[i]["UserName"]);
                        }

List users = jsonDecode(response.body);

for(int i=0; i < users.length; i++){

print(users[i]["UserName"]);

}

Обратная конвертация:

                        String json = jsonEncode(user);
                        print (json);

String json = jsonEncode(user);

print (json);

Flutter, Из жизни

Flutter: сканирование штрихкода

04.07.2022 Павел Грибов Оставить комментарий

1. Добавим в pubspec.yaml зависимость

dependencies:
  flutter_barcode_scanner: ^2.0.0

dependencies:

flutter_barcode_scanner: ^2.0.0

Добавим в код предыдущего проекта:

class _Page1State extends State<Page1> { // _ впереди класса, означает чтоб скрыть доступ из других файлов
...
....
  String _scanBarcode = 'Unknown';
  Future<void> startBarcodeScanStream() async {
      FlutterBarcodeScanner.getBarcodeStreamReceiver(
          '#ff6666', 'Cancel', true, ScanMode.BARCODE)!
          .listen((barcode) => print(barcode));
  }
  Future<void> scanBar() async {
    String barcodeScanRes;
    try {
      barcodeScanRes = await FlutterBarcodeScanner.scanBarcode('#ff6666', 'Отменить', false, ScanMode.BARCODE);
      Fluttertoast.showToast(
          msg: "Прочитано:"+barcodeScanRes,
          toastLength: Toast.LENGTH_SHORT,
          gravity: ToastGravity.CENTER,
          timeInSecForIosWeb: 1,
          backgroundColor: Colors.red,
          textColor: Colors.white,
          fontSize: 16.0
      );
    } on PlatformException {
      barcodeScanRes = 'Ошибка получения версии платформы';
    }
    if (!mounted) return;
    setState(() {
      _scanBarcode = barcodeScanRes;
    });
  }
....
....
....
   ListTile(
                onTap: (){
                  print(scanBar());
                },
                leading: Icon(
                  Icons.sick,
                ),

class _Page1State extends State<Page1> { // _ впереди класса, означает чтоб скрыть доступ из других файлов

...

....

String _scanBarcode = 'Unknown';

Future<void> startBarcodeScanStream() async {

FlutterBarcodeScanner.getBarcodeStreamReceiver(

'#ff6666', 'Cancel', true, ScanMode.BARCODE)!

.listen((barcode) => print(barcode));

}

Future<void> scanBar() async {

String barcodeScanRes;

try {

barcodeScanRes = await FlutterBarcodeScanner.scanBarcode('#ff6666', 'Отменить', false, ScanMode.BARCODE);

Fluttertoast.showToast(

msg: "Прочитано:"+barcodeScanRes,

toastLength: Toast.LENGTH_SHORT,

gravity: ToastGravity.CENTER,

timeInSecForIosWeb: 1,

backgroundColor: Colors.red,

textColor: Colors.white,

fontSize: 16.0

);

} on PlatformException {

barcodeScanRes = 'Ошибка получения версии платформы';

}

if (!mounted) return;

setState(() {

_scanBarcode = barcodeScanRes;

});

}

....

ListTile(

onTap: (){

print(scanBar());

leading: Icon(

Icons.sick,

Следует отметить, что при запуске кода на Android/IOS приложение самостоятельно попросит доступ к камере, а потому еще одной проблемой — обработкой запросов доступа меньше.

Пн	Вт	Ср	Чт	Пт	Сб	Вс
		1	2	3	4	5
6	7	8	9	10	11	12
13	14	15	16	17	18	19
20	21	22	23	24	25	26
27	28

ЖЗГ

Архив рубрики: Из жизни

Защита сайта сертификатом p12

Хорошая картинка..Оставлю на память

Flutter: Хранение данных приложения

Flutter: работа с json

Flutter: сканирование штрихкода

Жизнь замечательных грибов