Security on 七三的小站

GnuPG 安装与使用

Sat, 09 Nov 2024 00:00:00 +0800

1. 关于 GPG

1.1. GPG 是什么?

GnuPG，即 GNU Privacy Guard (GPG) 是一个密码学软件，用于加密、签名内容及管理非对称密钥。

GPG 的核心是 GPG 密钥对，分为公钥和私钥。在密码学技术上，GPG 可以使用若干不同的加密算法来向外提供加密解密服务。

1.2. KEYID 是什么？

KEYID 就是你的 GPG Key 指纹的缩短版：

Long Fingerprint 的末尾 16 位数字
Short Fingerprint 的末尾 8 位数字

在很多命令中，--keyid-format [none|short|0xshort|long|0xlong] 可以决定 KEYID 的显示格式。

1.3. USER-ID 是什么？

USER-ID 通常是指你为邮箱地址所关联的姓名字段，有时候也指所关联的注释文本。

2. 安装 GPG

2.1. macOS

https://gpgtools.org

2.2. windows

https://gpg4win.org/download.html

2.3. Linux

gpg --version # 查看是否安装
sudo apt-get install -y gnupg
sudo yum install -y gnupg

3. GPG 密钥管理

3.1. 生成 GPG 密钥对

gpg --full-generate-key

gpg 密钥是与 email 绑定的，它是一个身份证明。
算法建议选择默认值 RSA，其用途是完整的。
密钥强度首选 4096 bits。
建议生成一个不过期的根密钥，然后再建立若干子密钥，用于不同的用途。

3.2. 列出密钥

# 列出公钥和指纹
gpg --list-keys --keyid-format=short

# 列出私钥和指纹
gpg --list-secret-keys -keyid-format=short

参数 --keyid-format 可以指定长度。

3.3. 列出指纹

gpg --fingerprint me@wangyan.org

3.4. 生成子密钥

gpg --expert --edit-key 2E0E8722
gpg> addkey

3.5. 删除密钥

# 删除公钥
gpg --delete-key [USER-ID or KEYID]

# 删除私钥
gpg --delete-secret-key [USER-ID or KEYID]

3.6. 导出密钥

# 导出公钥
gpg --armor --output user.gpg.public.asc --export MASTER-KEYID

# 导出私钥
gpg --armor --output user.gpg.private.key.asc --export-secret-keys MASTER-KEYID

# 不导出子密钥
gpg --armor --output user.gpg.private.key.asc --export-secret-keys MASTER-KEYID!

# 导出指定子密钥
gpg --armor --output 2E0E8722.pub.asc --export 2E0E8722

默认导出主密钥的同时，将会连同其全部子密钥一起导出
根据非对称密钥体系原理，导出私钥就代表着同时也导出了公钥，因为私钥能够推导出公钥。
使用子密钥的公钥KEYID，可以指定导出子密钥

3.7. 导入密钥

gpg --import user.gpg.public.pem
gpg --import user.gpg.private.key

3.8. 信任密钥

重新导入密钥后会显示未知，因此需要信任。

gpg --edit-key user@useremail.com
gpg> trust
gpg> 5
gpg> save

导出信任文件：gpg --export-ownertrust > file.txt

3.9. 分发公钥

一旦密钥创建就绪，你就可以将其发表到 GPG 公共服务器，其他人通过指纹或者邮箱地址能够检索到你的公钥。

# 默认发布到 hkps://keys.openpgp.org 服务器
gpg --send-keys 2E0E8722

# 发布到指定服务器
gpg  --keyserver hkps://keyserver.ubuntu.com --send-keys 2E0E8722

3.10. 检索公钥

# 检索默认服务器
gpg --search-keys 70B152332E0E8722
gpg --auto-key-locate keyserver --locate-keys no-reply@wangyan.org

# 检索指定服务器
gpg --keyserver hkps://keyserver.ubuntu.com --search-keys 70B152332E0E8722
gpg --keyserver hkps://keyserver.ubuntu.com --search-keys no-reply@wangyan.org

3.11. 接收他人的公钥

# 使用 Long-KEYID 从指定服务器接收
gpg --keyserver hkps://keyserver.ubuntu.com --recv-keys 70B152332E0E8722

3.12. 签名他人公钥

接收他的公钥

gpg -recv-keys 70B152332E0E8722
签名这个公钥

gpg –ask-cert-level –sign-key no-reply@wangyan.org
签名后导出

#使用他的公钥加密签名再导出 gpg -a –export no-reply@wangyan.org | gpg -se -r no-reply@wangyan.org > no-reply@wangyan.org.asc.pgp
接收方解密并导入

gpg –decrypt no-reply@wangyan.org.asc.pgp > no-reply@wangyan.org.asc gpg –import no-reply@wangyan.org.asc
发布新公钥到服务器

gpg –send-keys no-reply@wangyan.org.

4. GPG 文件操作

4.1. 加解与解密

4.1.1. 加密

gpg -e -r 2E0E8722 original.file

-e, --encrypt 加密数据
-r, --recipient 为 USER-ID 加密
加密后默认生成一个新文件 original.file.gpg

4.1.2. 解密

gpg -d -r 2E0E8722 original.file.gp

-d, --decrypt 解密数据

4.2. 签名与验证

4.2.1. 签名且加密

gpg -u 2E0E8722 -s original.file

-u, --local-user 使用 USER-ID 来签名或者解密
-s, --sign 生成一份签名
这会生成一个加密文件 original.file.gpg，同时它也是被签名的。
发给他人，只需分发加密文件，无需附带原始文件。

4.2.2. 只签名不加密

gpg -u 2E0E8722 -a -b -s original.file

-a, --armor 创建 ASCII 字符封装的输出
-b, --detach-sign 生成一份分离的签名
签名后生成一个纯文本的签名文件 original.file.asc。
发给他人，需要和原始文件一同分发。

4.2.3. 只签名不加密，且使用明文签名

gpg -u 2E0E8722 --clear-sign original.file

--clear-sign 生成一份明文签名
区别在于包含了原始文件的内容，无需和原始文件一同分发。

4.2.4. 验证

gpg -u 2E0E8722 --verify original.file.gpg
gpg -u 2E0E8722 --verify original.file.asc

5. GPG 吊销操作

一旦发布到 keyserver 上，你的 GPG Key 就不能被真正删除了。

对于失效的、过时的、可能已经泄漏的密钥，你要使用吊销功能。

5.1. 生成吊销证书

gpg --output revoke.asc --gen-revoke key-ID

5.2. 导入吊销证书

gpg --import revoke.asc

注意：吊销并不删除密钥本身，它是标记该密钥被作废了

5.3. 撤销密钥服务器上的密钥

gpg --keyserver hkps://keys.openpgp.org --send-keys key-ID

已标记作废的密钥会被发送到服务器

6. Git 配置

git config --global gpg.program gpg
git config --global commit.gpgsign true
git config user.name wangyan
git config user.email no-reply@wangyan.org
git config user.signingkey 2E0E8722
git commit -S -m your commit message

参考文档：

https://hedzr.com/security/gpg/gpg-short-guide/

Mariadb 日志审计与密码插件

Thu, 07 Nov 2024 00:00:00 +0800

一、启用日志

1.1. 错误日志

Error Log

# /etc/my.cnf.d/mariadb-logs.cnf
[mariadb]
......
# Error Log
log_error=/var/log/mariadb/error.log
log_warnings=3

日志详细程度：0-9，默认值为 2

1.2. 通用查询日志

General Query Log

通用查询日志是从客户端接收到的每个 SQL 查询以及每个客户端连接和断开连接的日志。由于它是服务器收到的每个查询的记录，因此它可能会很快变大。

但是，如果您只想记录更改数据的查询，那么最好使用二进制日志。一个重要的区别是，二进制日志仅在服务器提交事务时记录查询，而通用查询日志在服务器接收到查询后立即记录查询。

# /etc/my.cnf.d/mariadb-logs.cnf
[mariadb]
......
# General Query Log
general_log
log_output=FILE
general_log_file=/var/log/mariadb/queries.log
log_disabled_statements='slave,sp'

1.3. 二进制日志

Binary Log

二进制日志包含对数据库的所有更改（数据和结构）以及每个语句执行所需时间的记录。它由一组二进制日志文件和一个索引组成。

这意味着诸如 CREATE、ALTER、INSERT、UPDATE 和 DELETE 之类的语句将被记录，但对数据没有影响的语句（如 SELECT 和 SHOW ）将不会被记录。如果您想记录这些（以性能为代价），请使用通用查询日志。

# /etc/my.cnf.d/mariadb-logs.cnf
[mariadb]
# Binary Log
# datadir/log-basename-bin
log_bin=ON
log_basename=mariadb
binlog_format=mixed
expire_logs_days=90
max_binlog_size=512M
max_binlog_total_size=5G
--binlog-ignore-db=database_name

1.4. 清除二进制日志

PURGE BINARY LOGS

# 列出所有日志
SHOW BINARY LOGS;

# 查看正在读取的文件
SHOW SLAVE STATUS;

# 删除所有二进制日志文件
RESET MASTER;

# 清除到指定位置
PURGE BINARY LOGS TO 'mariadb-bin.000057';

# 清除指定日期之前的
PURGE BINARY LOGS BEFORE '2019-04-02 22:46:26';

# 清除3天前的日志
#SELECT DATE_SUB(CURRENT_DATE, INTERVAL 3 DAY);
PURGE MASTER LOGS BEFORE DATE_SUB(CURRENT_DATE, INTERVAL 3 DAY);
PURGE BINARY LOGS BEFORE DATE_SUB(CURRENT_DATE, INTERVAL 3 DAY);

1.5. 慢查询日志

Slow Query Log

慢查询日志是执行时间较长的 SQL 查询的记录。

请注意，如果您的查询包含用户的密码，则慢查询日志也可能包含密码。因此，应该对其进行保护。

# /etc/my.cnf.d/mariadb-logs.cnf
[mariadb]
......
## Slow Query Log
log_output=FILE
slow_query_log
slow_query_log_file=/var/log/mariadb/slow.log
long_query_time=5.0
log_queries_not_using_indexes=ON
log_slow_admin_statements=ON
log_slow_rate_limit=10

long_query_time 定义慢速查询的时间
log_queries_not_using_indexes 记录不使用索引的查询
log_slow_admin_statements 记录缓慢的管理语句
log_slow_rate_limit 限制每10次慢查询才记录一次

二、轮换日志

2.1. Logrotate

2.1.1. 身份验证

使用 MariaDB 进行身份验证的最简单方法是将用户帐户配置 root@localhost 为使用 unix_socket 身份验证。

在MariaDB 10.4及更高版本不许设置

ALTER USER 'root'@'localhost' IDENTIFIED VIA unix_socket;

2.1.2. 配置文件

/etc/logrotate.conf
/etc/logrotate.d/

$ sudo tee /etc/logrotate.d/mariadb <<EOF
/var/log/mysql/* {
        su mysql mysql
        missingok
        create 660 mysql mysql
        notifempty
        daily
        minsize 1M
        maxsize 100M
        rotate 30
        dateext
        dateformat .%Y-%m-%d-%H-%M-%S
        compress
        delaycompress
        sharedscripts 
        olddir archive/
        createolddir 770 mysql mysql # only use with logrotate >= 3.8.9
    postrotate
        # just if mysqld is really running
        if test -x /usr/local/mysql/bin/mysqladmin && \
           /usr/local/mysql/bin/mariadb-admin ping &>/dev/null
        then
           /usr/local/mysql/bin/mariadb-admin --local flush-error-log \
              flush-engine-log flush-general-log flush-slow-log
        fi
    endscript
}
EOF

重要参数：

daily：每天轮换每个日志文件一次。
minsize 1M：该指令将其配置为在日志轮转期间跳过小于 1 MB 的日志文件。
maxsize 100M：此指令将其配置为在日志文件增长超过 100 MB 时比每天更频繁地轮换日志文件。
rotate 30：该指令将其配置为保留每个日志文件的 30 个旧副本。
dateext：该指令将其配置为使用日期作为扩展名，而不仅仅是数字。
olddir archive/：该指令将其配置为将轮换日志文件存档在/var/log/mariadb/archive/.

2.2. Journal

systemd-journal 是一个改进型的日志管理服务。

常见用法如下：

# 查看文件情况
du -h --max-depth=1 /var/log

# 日志总体磁盘占用情况
journalctl --disk-usage

# 硬性指定日志总体体积，删除超出部分
journalctl --vacuum-size=10M

# 只保留近一周的日志
journalctl --vacuum-time=1w

# 直接删除 /var/log/journal/ 目录下的日志文件
rm -rf /var/log/journal/f9d400c5e1e8c3a8209e990d887d4ac1

三、启用审计

3.1. 查看当前开启审计

show variables like '%audit%';

如果没有，则先查看审计插件目录

SHOW VARIABLES LIKE 'plugin_dir';

3.2. 启用审计

具体参数详见官方文档：

MariaDB Audit Plugin Options and System Variables

# /etc/my.cnf.d/server-audit.cnf

[mariadb]
## MariaDB Audit Plugin
server_audit_events=CONNECT,QUERY,TABLE,QUERY_DDL,QUERY_DML,QUERY_DCL,QUERY_DML_NO_SELECT
server_audit_file_path=/var/log/mariadb/server_audit.log
server_audit_file_rotate_size=100M
server_audit_file_rotations=10
server_audit_logging=ON
server_audit_output_type=file
server_audit=FORCE_PLUS_PERMANENT

3.3. 重启

sudo systemctl restart mariadb

四、密码插件

Password Validation Plugin API

4.1. simple_password_check

Simple Password Check Plugin

# /etc/my.cnf.d/simple_password_check.cnf
[mariadb]
# Password Validation
plugin_load_add = simple_password_check.so
simple_password_check_digits=1
simple_password_check_letters_same_case=1
simple_password_check_minimal_length=8
simple_password_check_other_characters=1

4.2. cracklib_password_check

Cracklib Password Check Plugin

sudo yum install MariaDB-cracklib-password-check
sudo apt-get install mariadb-plugin-cracklib-password-check

安装

[mariadb]
...
plugin_load_add = cracklib_password_check

CentOS 密码安全策略

Sat, 15 Apr 2017 00:00:00 +0800

1. 设置密码长度和有效期

每180天需要更改密码，并且会提前7天提醒用户密码快到期了。

vim /etc/login.defs

PASS_MAX_DAYS   180
PASS_MIN_DAYS   1
PASS_MIN_LEN    8
PASS_WARN_AGE   7

2. 设置密码复杂度

检查是否安装了 cracklib 模块

rpm -qa | grep cracklib

vim /etc/pam.d/system-auth

参数说明

retry=N 如果用户输入的密码强度不够可以重复输入的次数，默认值是 1，一般设置为 3。 difok=M 新密码与前一个旧密码之间至少有 M 个字符不相同 minlen=N 密码最小长度 dcredit=N 密码中至少有几个数字（至少 N<0 或至多 N>=0） ucredit=N 密码中至少有几个大写字母（至少 N<0 或至多 N>=0） lcredit=N 密码中至少有几个小写字母（至少 N<0 或至多 N>=0） ocredit=N 密码中至少有几个特殊字符（至少 N<0 或至多 N>=0）

password    requisite     pam_cracklib.so try_first_pass retry=3 difok=3 minlen=8 dcredit=-1 ucredit=-1 lcredit=-1 ocredit=-1

防止用户再次使用以前使用过的密码remember=3（3次）

password    sufficient    pam_unix.so sha512 shadow nullok try_first_pass use_authtok remember=3

4、配置登录失败处理

失败5次后需要180秒才解锁

auth        required      pam_tally2.so deny=3 unlock_time=300 even_deny_root root_unlock_time=300

5、配置用户最大登录数

vim /etc/security/limits.conf

root – maxlogins 3
dmfy – maxlogins 3

登录超时

vim /etc/profile
export TMOUT=600

避免普通用户 su 到 root 用户

vim /etc/pam.d/su

auth            sufficient      pam_rootok.so debug
auth            required        pam_wheel.so group=wheel

usermod -G wheel [username] #加入wheel用户组

Apache2.4 访问控制

Tue, 12 Aug 2014 00:00:00 +0800

一、访问控制

在Apache2.2版本中，访问控制是基于客户端的主机名、IP地址以及客户端请求中的其他特征，使用Order(排序), Allow(允许), Deny(拒绝),Satisfy(满足)指令来实现。

在Apache2.4版本中，使用mod_authz_host这个新的模块，来实现访问控制，其他授权检查也以同样的方式来完成。旧的访问控制语句应当被新的授权认证机制所取代，即便Apache已经提供了mod_access_compat这一新模块来兼容旧语句。

这里有一些实例，用新方法取代旧语句实现相同的访问控制

实例1：所有请求都被拒绝

Apache2.2 配置:

  Order deny,allow #排序，先拒绝后允许
  Deny from all #拒绝所有

Apache2.4 配置:

  Require all denied #拒绝所有

实例2：所有请求都被允许

Apache2.2 配置:

  Order allow,deny #排序，先允许后拒绝
  Allow from all #允许所有

Apache2.4 配置:

  Require all granted #拒绝所有

实例3：example.org所有请求都被允许，其他拒绝

Apache2.2 配置:

  Order Deny,Allow #排序，先拒绝后允许
  Deny from all #拒绝所有
  Allow from example.org #允许example.org

Apache2.4 配置:

  Require host example.org #拒绝所有

二、Apache Require 指令

了解更多require指令用法：《Apache Module mod_authz_core》

附：常见访问控制指令

Require all granted #允许所有
Require all denied #拒绝所有
Require env env-var [env-var] ... #允许，匹配环境变量中任意一个
Require method http-method [http-method] ... #允许，特定的HTTP方法
Require expr expression #允许，表达式为true
Require user userid [ userid ] ... #允许，特定用户
Require group group-name [group-name] ... #允许，特定用户组
Require valid-user # #允许，有效用户
Require ip 10 172.20 192.168.2 #允许 特定IP