seguridad

Crear claves GPG2 en GNU/Linux con Ed25519

keopx — Sun, 13 Jan 2019 10:19:23 +0000

Crear claves GPG2 en GNU/Linux con Ed25519

Vamos a crear un par de claves GPG2 basados en cifrado Ed25519. Lo realizaremos en la consola aunque también se puede realizar utilizando "Contraseñas y claves de cifrado".

A continuación, invocamos gpg en la consola con la opción --expert y --full-gen-key.

$ gpg2 --expert --full-gen-key
gpg (GnuPG) 2.1.8; Copyright (C) 2015 Free Software Foundation, Inc. This is free software: you are free to change and redistribute it. There is NO WARRANTY, to the extent permitted by law.

Luego, seleccionamos el 9 para seleccionar la clave principal de ECC y la subclave de cifrado de ECC.

Please select what kind of key you want:
   (1) RSA and RSA (default)
   (2) DSA and Elgamal
   (3) DSA (sign only)
   (4) RSA (sign only)
   (7) DSA (set your own capabilities)
   (8) RSA (set your own capabilities)
   (9) ECC and ECC
  (10) ECC (sign only)
  (11) ECC (set your own capabilities)
Your selection? 9

La siguiente es la selección importante. Seleccionamos 1 para seleccionar "Curve25519".

Please select which elliptic curve you want:
   (1) Curve 25519
   (2) NIST P-256
   (3) NIST P-384
   (4) NIST P-521
   (5) Brainpool P-256
   (6) Brainpool P-384
   (7) Brainpool P-512
   (8) secp256k1
Your selection? 1

Verás una ADVERTENCIA, pero es lo que quieres.

gpg: WARNING: Curve25519 is not yet part of the OpenPGP standard.
Use this curve anyway? (y/N) y

Se le pregunta sobre la caducidad de la clave.

Please specify how long the key should be valid.
         0 = key does not expire
      <n>  = key expires in n days
      <n>w = key expires in n weeks
      <n>m = key expires in n months
      <n>y = key expires in n years
Key is valid for? (0)
Key does not expire at all
Is this correct? (y/N) y

Luego, pregunta sobre una identidad de usuario.



GnuPG needs to construct a user ID to identify your key.

Real name: keopx
Email address: keopx@keopx.net
Comment:
You selected this USER-ID:
    "keopx <keopx@keopx.net>"

Por último, pide confirmación.

Change (N)ame, (C)omment, (E)mail or (O)kay/(Q)uit? o

Entonces, va así.

We need to generate a lot of random bytes. It is a good idea to perform
some other action (type on the keyboard, move the mouse, utilize the
disks) during the prime generation; this gives the random number
generator a better chance to gain enough entropy.
We need to generate a lot of random bytes. It is a good idea to perform
some other action (type on the keyboard, move the mouse, utilize the
disks) during the prime generation; this gives the random number
generator a better chance to gain enough entropy.

Pide a la frase de contraseña las claves por ventana emergente y, a continuación, finaliza.

gpg: key D1A0681AAEDE141B marked as ultimately trusted
gpg: directory '/home/user/.gnupg/openpgp-revocs.d' created
gpg: revocation certificate stored as '/home/user/.gnupg/openpgp-revocs.d/4E2A32714B8E5ADAECA181ABD1A0681AAEDE141B.rev'
public and secret key created and signed.

pub   ed25519 2019-01-13 [SC]
      4E2A32714B8E5ADAECA181ABD1A0681AAEDE141B
      4E2A32714B8E5ADAECA181ABD1A0681AAEDE141B
uid                      keopx <keopx@keopx.net>
sub   cv25519 2019-01-13 [E]

Referencia:

keopx Dom, 13/01/2019 - 11:19

Categoria

Tag

GPG

GNU Linux

Comentarios

Instalar certificados SSL en Debian 9 con certbot (Let's Encrypt - Free SSL/TLS Certificates)

keopx — Sat, 02 Sep 2017 10:34:20 +0000

Instalar certificados SSL en Debian 9 con certbot (Let's Encrypt - Free SSL/TLS Certificates)

Hace tiempo escribit un articulo sobre Instalar certificados de Let's Encrypt - Free SSL/TLS Certificates en Debian / Ubuntu

Este post es una revisión de que escribí.

Instalación

# apt-get install certbot

Configurar Apache

# nano /etc/apache2/sites-available/www.keopx.net-ssl.conf

Y añadimos el -ssl por la existencia de un bug en el certbot, que solo es capaz de distinguir un virtualhost por fichero *.conf

<VirtualHost *:443>
        ServerAdmin keopx@keopx.net
        ServerName www.keopx.net
        DocumentRoot /var/www/keopx.net/web
        <Directory /var/www/keopx.net/web/>
                Options FollowSymLinks                
                AllowOverride All
                Require all granted
        </Directory>
        ErrorLog /var/log/apache2/error.log
        # Possible values include: debug, info, notice, warn, error, crit,
        # alert, emerg.
        LogLevel warn
        CustomLog /var/log/apache2/access.log combined
        ServerSignature On
	SSLCertificateFile /etc/letsencrypt/live/www.keopx.net/fullchain.pem
	SSLCertificateKeyFile /etc/letsencrypt/live/www.keopx.net/privkey.pem
	Include /etc/letsencrypt/options-ssl-apache.conf
</VirtualHost>

Creamos el SSL

certbot --apache -d www.keopx.net

Actualizamos los certificados

certbot renew --dry-run

Referencias

keopx Sáb, 02/09/2017 - 12:34

Categoria

Tag

Comentarios

Cambiar el uid en Debian GNU/Linux

keopx — Thu, 26 Jan 2012 17:56:28 +0000

Cambiar el uid en Debian GNU/Linux

Hay necesidades de las más variadas, en este caso para conectar un NAS por NFS me fue necesario cambiar el uid de un usuario para que pudiese tener la acceso al recurso.

Antes de realizar estos pasos es necesario que el usuario este deslogueado del sistema. Puede ser que el usuario root no este habilitado y el unico usuario que tengamos en el equipo sea un sudoer, para eso visitar el post anterior.

Ver id del usuario:

# id keopx

Cambiamos el uid:

# usermod -u 1002 keopx

Comprobamos el nuevo id:

# id keopx

keopx Jue, 26/01/2012 - 18:56

Categoria

Tag

Comentarios

Instalación y configuración de SAI-UPS APC

keopx — Mon, 31 Jan 2011 17:11:36 +0000

Instalación y configuración de SAI-UPS APC

En principio en gnome el servicio ups-monitor nos mantiene controlado el sistema SAI y nos permite configurarlo en caso de que la red eléctrica falle. Siempre que se haya iniciado una sesión en el equipo, de no ser así no mantendremos el control. Para solucionar esto en equipos servidor tenemos un paquete para esto, apcupsd:

$ sudo aptitude install apcupsd

Cambiamos los parámetros en:

$ sudo cp /etc/apcupsd/apcupsd.conf /etc/apcupsd/apcupsd.conf.orig
$ sudo nano /etc/apcupsd/apcupsd.conf

Cambiamos

UPSCABLE smart

Por

UPSCABLE usb

Y más abajo tambien modificamos UPSTYPE y DEVICE: Cambiamos:

UPSTYPE apcsmart
DEVICE /dev/ttys0

Por:

UPSTYPE usb
DEVICE

* Si en DEVICE lo dejamos blanco. Resultado similar al siguiente:

## apcupsd.conf ##
UPSNAME Back-900
UPSCABLE usb
UPSTYPE usb
DEVICE
POLLTIME 60
LOCKFILE /var/lock

Reiniciamos el servicio:

$ sudo /etc/init.d/apcupsd restart

Arrancamos el servicio a mano:

$ sudo /sbin/apcupsd

Probamos la configuración:

$ sudo /sbin/apcaccess status

Nos devolverá algo similar a esto:

APC      : 001,037,0931
DATE     : 2011-01-30 18:39:34 +0100  
HOSTNAME : server-host
VERSION  : 3.14.8 (16 January 2010) debian
UPSNAME  : Back-900
CABLE    : USB Cable
MODEL    : Back-UPS BR 900GI 
UPSMODE  : Stand Alone
STARTTIME: 2011-01-30 18:39:16 +0100  
STATUS   : ONLINE 
LINEV    : 215.0 Volts
LOADPCT  :  27.0 Percent Load Capacity
BCHARGE  : 100.0 Percent
TIMELEFT :  37.2 Minutes
MBATTCHG : 5 Percent
MINTIMEL : 3 Minutes
MAXTIME  : 0 Seconds
SENSE    : Medium
LOTRANS  : 176.0 Volts
HITRANS  : 294.0 Volts
ALARMDEL : Always
BATTV    : 27.0 Volts
LASTXFER : Unacceptable line voltage changes
NUMXFERS : 0
TONBATT  : 0 seconds
CUMONBATT: 0 seconds
XOFFBATT : N/A
SELFTEST : NO
STATFLAG : 0x07000008 Status Flag
MANDATE  : 2010-08-14
SERIALNO : 3B1022X43411  
BATTDATE : 2010-08-14
NOMINV   : 230 Volts
NOMBATTV :  24.0 Volts
NOMPOWER : 540 Watts
FIRMWARE : 879.L1d.I USB FW:L1
APCMODEL : Back-UPS BR 900GI 
END APC  : 2011-01-30 18:39:35 +0100

Si reiniciamos nos encontraremos con el siguiente mensaje:

$ sudo /sbin/apcaccess status
Error contacting apcupsd @ localhost:3551: Connection refused

Para que se inicia de forma automatica debemos cambiar el siguiente parametro:

$ sudo nano /etc/default/apcupsd

Y dejamos así:

# Apcupsd-devel internal configuration
APCACCESS=/sbin/apcaccess
#ISCONFIGURED=no
ISCONFIGURED=yes

Ya tenemos automatizado!!! Relacionados:

keopx Lun, 31/01/2011 - 18:11

Categoria

Tag

Comentarios

Carpetas chroot personalizadas para cada usuario

keopx — Wed, 14 Apr 2010 09:27:24 +0000

Carpetas chroot personalizadas para cada usuario

Puede que nos interese el crear el más usuarios con sus carpetas chroot personalizadas.

Para ello es necesario el modificar la siguiente linea:

ChrootDirectory /var/www/web

Por: ChrootDirectory %h

El %h es la carpeta personal de cada usuario que lo definimos al crear el usuario con la opción -d:

sudo useradd -g sftponly -G sftponly -s /bin/false -d /var/www/web usuarioweb

Ahora con cada usuario que creemos tendrá su propio chroot, sino se le define sera /.

Relacionado con: http://www.keopx.net/blog/chroot-para-usuario-sftp/

keopx Mié, 14/04/2010 - 11:27

Categoria

Tag

Comentarios

Chroot para usuario sftp

keopx — Tue, 13 Apr 2010 08:57:22 +0000

Chroot para usuario sftp

Vamos a crear una especie de jaula para un usuario. Este usuario lo vamos a utilizar para un entorno web donde pueda subir ficheros y modificarlos, pero que no pueda salir de ese directorio.

Lo primero es editar el fichero /etc/ssh/sshd_config:

sudo nano /etc/ssh/sshd_config

y al final lo dejamos así:

#Subsystem sftp /usr/lib/openssh/sftp-server
...
UsePAM yes
... Subsystem sftp internal-sftp
Match group sftponly
ForceCommand internal-sftp
ChrootDirectory /var/www/web

Creamos la carpeta, con usuario y grupo root en la carpeta /var/www/web:

sudo mkdir /var/www/web drwxr-xr-x 5 root root 4,0K 2010-04-11 09:55 web

Dentro de /var/www/web pondremos los permisos que correspondan a los ficheros.

$ ls -lah
total 260K
drwxr-xr-x 5 root       root     4,0K mar 22 12:28 .
drwxr-xr-x 6 root       root     4,0K mar 22 12:28 ..
-rwxr-xr-x 1 usuarioweb www-data 3,9K mar 22 12:28 funciones.php
-rwxr-xr-x 1 usuarioweb www-data 3,9K mar 22 12:28 insertar.php
-rwxr-xr-x 1 usuarioweb www-data 3,3K mar 22 12:28 modificar.php

Creamos el grupo sftponly:

sudo groupadd sftponly

Ahora creamos el usuario con el valor -d que sirve para definirle su directorio:

$ sudo useradd -g sftponly -G sftponly -s /bin/false -d /var/www/web usuarioweb

Le asignamos la contraseña oportuna:

$ sudo passwd usuarioweb

Reiniciamos el ssh:

$ sudo /etc/init.d/ssh restart

Ya tenemos nuestro directorio funcionando para que el usuarioweb no pueda salir de esa carpeta.

keopx Mar, 13/04/2010 - 10:57

Categoria

Tag

Comentarios

Generar nuestro propio certificado SSL

keopx — Fri, 23 Oct 2009 16:58:31 +0000

Generar nuestro propio certificado SSL

Para generar un certificado valido (ejemplo web):

openssl req -nodes -new -keyout web.key -out web.csr

keopx@prueba:/etc/apache2$ openssl req -nodes -new -keyout web.key -out web.csr
Generating a 1024 bit RSA private key
...............................................++++++
........................................................++++++
writing new private key to 'web.key'
-----
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:ES
State or Province Name (full name) [Some-State]:Provincia
Locality Name (eg, city) []:Localidad
Organization Name (eg, company) [Internet Widgits Pty Ltd]:nombre_empresa
Organizational Unit Name (eg, section) []:Sistemas
Common Name (eg, YOUR name) []:www.web.com
Email Address []:tu_usuario@web.com
-----
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

** Recordar que password y company name se han dejar en blanco.

Clave Privada

cat web.key

Certificado de envío

En caso de tener que enviar a una entidad certificadora (ej.: Verisign) les mandaremos este fichero:

cat web.csr

Entidad certificadora

En caso de tener una central certificadora como puede ser Verisign, a la central certificadora le enviamos el web.csr para que no devuelva en fichero en texto plano web.crt (certificado).

cat web.crt

Auto certificarse

En este caso no tener una entidad certificadora (la mayoría de casos), nos auto certificaremos.

openssl x509 -in web.csr -out web.crt -req -signkey web.key -days 365

keopx@prueba:/etc/apache2$ openssl x509 -in web.csr -out web.crt -req -signkey web.key -days 365
Signature ok
subject=/C=ES/ST=Provincia/L=Localidad/O=nombre_empresa./OU=Sistemas/CN=www.web.com/emailAddress=tu_usuario@web.com
Getting Private key

cat web.crt

Instalar certificado en el servidor

Copias los ficheros web.crt y web.key a la ruta correspondiente:

sudo mv web.crt /etc/ssl/certs/web.crt
sudo mv web.key /etc/ssl/private/web.key

Esto dependerá del tipo servidor, una vez instalado procedemos a reiniciar. Se reinicia el servidor y están operativas. ** Las rutas y forma de instalar dependerán del tipo del server.

Otras opciones

Vamos a ver otras posibilidades Ver datos de un certificado:

openssl req -in web.csr -noout -text

Certificado con RSA de 2048 bits

openssl req -nodes -new -keyout web.key -out web.csr -newkey rsa:2048

keopx Vie, 23/10/2009 - 18:58

Categoria

Tag

Comentarios

Recuperar contrseña de root de MySQL

keopx — Tue, 22 Sep 2009 09:00:06 +0000

Recuperar contrseña de root de MySQL

Bueno en este post vamos a recuperar la password de root de MySQL.

Lo primero es para nuestra mysql:

sudo /etc/init.d/mysql stop

Y reiniciamos sin la password de la siguiente manera:

sudo mysqld_safe –skip-grant-tables &

Puede que nos salga alguna salida extraña, ahora le damos al Enter y escribimos:

mysql -u root

Seleccionamos la BBDD:

mysql> use mysql;

Añadimos la nueva password:

mysql> update user set password=PASSWORD(”nueva_password) where User=’root’;

Refrescamos los permisos:

mysql> flush privileges;

Salimos:

mysql> quit

Reiniciamos:

sudo /etc/init.d/mysql restart

keopx Mar, 22/09/2009 - 11:00

Categoria

Tag

Comentarios

Recuperar contrseña de root de nuestra maquina en GNU/Linux

keopx — Mon, 21 Sep 2009 08:59:05 +0000

Recuperar contrseña de root de nuestra maquina en GNU/Linux

on unos sencillos pasos que nos ayudaran a recuperar la password (root) de nuestra maquina.

Antes de nada tendremos que iniciar la maquina en single mode. Para ello en la pantalla del grub elegimos esa opción, en caso de tenerla deberemos editar la que tenemos.

Le damos a la e vamos al final y escribimos linux single una vez echo eso le damos a la b para que inicie. Este cambio solo es temporal en el siguiente inicio no estará.

Empezamos con la consola:

nano /etc/passwd

Dejamos la root que sera así:

root:x:0:0:root:/root:/bin/bash

Y eliminamos la x dejándolo así:

root::0:0:root:/root:/bin/bash

Guardamos el fichero y modificamos el /etc/shadow:

nano /etc/shadow

Editamos la linea que tiene root y la dejaremos con 4 : así:

root::::

Guardamos los cambios.

Reiniciamos la maquina de forma normal, accedemos y vamos a la consola. Ahora no stoca poner la nueva password:

su passwd

Ahora ya tendremos la nueva password funcionando.

keopx Lun, 21/09/2009 - 10:59

Categoria

Tag

Comentarios

Crear claves GPG en GNU/Linux

keopx — Sat, 04 Jul 2009 17:04:33 +0000

Crear claves GPG en GNU/Linux

Vamos a crear un par de claves GPG. Lo realizaremos en la consola aunque también se puede realizar "Contraseñas y claves de cifrado".

Creación de clave

gpg --gen-key

Elegir, eso si tener en cuenta que la clave que se utilice hará que sea mas robusta ante un ataque por fuerza bruta por eso mínimo de 8 caracteres de todo tipo, mayúsculas, minúsculas, numérico...

Por favor seleccione tipo de clave deseado: (1) DSA y ElGamal (por defecto) (2) DSA (sólo firmar) (5) RSA (sólo firmar) ¿Su elección?: 1

El par de claves DSA tendrá 1024 bits. las claves ELG-E pueden tener entre 1024 y 4096 bits de longitud. ¿De qué tamaño quiere la clave? (2048) 4096

El tamaño requerido es de 4096 bits Por favor, especifique el período de validez de la clave. 0 = la clave nunca caduca = la clave caduca en n días w = la clave caduca en n semanas m = la clave caduca en n meses y = la clave caduca en n años ¿Validez de la clave (0)? 0 Key does not expire at all nunca caduca ¿Es correcto (s/n)? s

Ya tenemos la clave eso si nos pedirá que realicemos tareas para recoger info aleatoria para generar la clave.

Listar las claves

gpg --list-keys

Clave de revocación

Esto es necesario ya que si algún día queremos eliminar la clave por cualquier motivo sin esto sera imposible.

gpg --output nombre_revoke.asc --gen-revoke tu_email@email.com

¿Crear un certificado de revocación para esta clave? s Por favor elija una razón para la revocación: 0 = No se dio ninguna razón 1 = La clave ha sido comprometida 2 = La clave ha sido reemplazada. 3 = La clave ya no está en uso Q = Cancelar

Te pedirá el contraseña.