Arxiu de la categoria: Seguretat

Shibboleth IDP3 + SP + jetty9 + nginx sobre Debian

Publicat el per

Objectiu:

Fa uns anys vaig fer una sèrie d’entrades sobre com instal·lar Shibboleth 2.x. Això ha quedat una mica desfasat i, a la vegada, els protocols han evolucionat. La idea d’aquesta entrada és actualitzar el procediment d’instal·lació de la versió 3.x de l’IDP de Shibboleth i disposar d’un SP que autentiqui via IDP + LDAP i obtingui atributs de l’IDP.

Procediment:

El procediment no és senzill i hi ha moltes coses que poden anar, i segur que aniran, malament. A la vegada, ara que no ens llegeixen els de Shibboleth… no he vist mai documentació més feixuga i pesada de seguir. La veritat és que no sé quin és el seu usuari tipus, però si no es disposa de tres doctorats i dos màsters es fa molt difícil seguir el que ells consideren un howto bàsic. Dit això, preparem-nos per embrutar-nos i som-hi…

Continua llegint →

nginx amb rtmp amb autenticació d’usuari

Publicat el per

Objectiu:

Volem disposar d’un servidor d’streaming que accepti el protocol RTMP. A més volem poder autenticar d’alguna manera els usuaris per a permetre la reproducció o no.

Procediment:

Per dur a terme la tasca utilitzarem nginx i el compilarem amb el mòdul nginx-rtmp-module. Com sempre, utilitzarem el sistema operatiu Debian, en aquest cas la versió 7 (Wheezy).

Continua llegint →

Autenticar aplicacions de correu web via Shibboleth

Publicat el per

Objectiu:

Aplicacions de correu web com ara RoundCube o Horde autentiquen els usuaris mitjançant una pàgina típica però, després, utilitzen les credencials subministrades constantment amb els servidors IMAP, CardDAV i/o CalDAV. Si autentiquem l’usuari mitjançant Shibboleth en aquestes aplicacions no es disposarà de la contrasenya per accedir als serveis dels que depenen.

El que aquesta entrada explica és com subministrar la contrasenya com a atribut entre l’idp i l’sp. És important notar que aquesta configuració només s’hauria d’aplicar en entorns controlats i mai enviar la contrasenya a proveïdors de serveis fora de l’organització. Precisament la gràcia de Shibboleth és abstreure la capa d’autenticació de les aplicacions web, si tornem a enviar la contrasenya a aquestes aplicacions no estem aconseguint res. El cas de les aplicacions de correu web és un cas molt particular i, com a tal, s’ha de tractar.

Continua llegint →

Shibboleth SP amb múltiples VirtualHosts

Publicat el per

Objectiu:

Ens podem trobar amb el cas que disposem de diverses aplicacions web en el mateix servidor apache, configurats mitjançant VirtualHosts i cadascun d’ells volem que autentiqui mitjançant Shibboleth. L’objectiu d’aquesta entrada és configurar Shibboleth en aquesta situació creant un host virtual a Shibboleth per a cada VirtualHost d’apache.

Continua llegint →

Shibboleth IDP 2.4 amb Debian Wheezy (amb SSL offloading via nginx)

Publicat el per

Objectiu:

L’objectiu d’aquesta entrada és disposar d’una màquina que executi el servei de proveïdor d’identitat (en endavant idp) Shibboleth versió 2.4 fent l’SSL offloading des d’un servei nginx. Aquesta màquina serà l’encarregada d’autenticar els usuaris dels diferents serveis web de la nostra organització tot proporcionant un entorn d’entrada única (Single Sign On) a la vegada que subministrarà els atributs que aquestes aplicacions web requereixin. L’autenticació i l’obtenció dels atributs es duran a terme mitjançant un directori LDAP.

En una entrada anterior es va configurar l’idp darrere un apache2 que utilitzava AJP. En aquesta entrada, bàsicament, substituirem apache2 per nginx fins on sigui possible.

Continua llegint →