Kuutõrvaja - Kasutaja kaastöö [et]

Linux mount

2019-12-02T00:12:27Z

Imre: /* scsi seadme eemaldamine */

===Sissejuhatus===

[[Pilt:2879430437 975b4e8d5f.jpg]]

Nagu teada asuvad Linux'i puhul kõik failid ühtses kataloogipuus (aga nt. MS Windows'ites kasutatakse partitsioonide tähistamiseks nn. kettatähti: A, B on pehmeketta seadmed ja C, D, E ... Z - kõvaketaste partitsioonid).

Linuxi puhul on tähelepanuväärne see, et ta suudab lugeda ja kirjutada peale enda Second Extended (ext2, ext3, ext4) failisüsteemi ka paljusid teisi levinud failisüsteeme (mh. FAT pikkade ja lühikeste nimedega, OS2 HPFS, minix). Et see tõesti nii oleks on vaja vastav tugi kernelisse sisse või mooduliteks kompileerida. Soovitavalt mooduliteks. Muuseas, moodulid asuvad kataloogis /lib/modules/... ja kui seal on nt. fail vfat.o, siis on tõenäoliselt võimalik lugeda kirjutada W95 partitsiooni. Seda kas moodul on kasutusel saab näha käsuga lsmod; ja kui ei ole kasutusel, siis aitab käsk modprobe vfat. Jne.

Linux käsitleb pehme- ja kõvakettaid kaunis võrdväärsete seadmetena. Vähemalt selles mõttes, et enne floppy ketta seadmesse panekut ja peale väljavõtmist tuleb täita samad käsud,et mis kõvaketta juurde ja tagant ühendamisel.

Failisüsteem on vahend andmete organiseerimiseks andmekandjal. Failisüsteem asub tavaliselt infokandjale (kõvaketas, USB pulk) partitsioonil ja tema poole pöördutakse seadmenimega. Näiteks esimese IDE kanali teise kõvaketta kolmas partitsioon kannab nime

b - esimene IDE kanal teine ketas (nn primary slave, esimene ketas algab tähega a)
|
|
/dev/hdb3
| |
| |
| 3 - kolmas partitsioon
|
hd - ata hard disk (sata kettad algavad sd lühendiga)

Kui te ei tea täpselt millised partisioonid on kõvakettale moodustatud kasutage järelevaatamiseks programmi fdisk

# fdisk /dev/hdb

Ettevaatust fdiski kasutamisel, peale vaatamise saab sellega ka partitsioone muuta.

Failisüsteemide kasutamine eeldab, et vastav toetus on tuuma kompileeritud. Et näha milliseid failisüsteeme masin parasjagu toetab vaadake tuuma moodulite kataloogi /lib/modules/2.2.xx või uurige faili /proc/filesystems sisu.

UNIXi kataloogistruktuur on traditsiooniline ja seal ei kõnelda ketastest (A:\, C:\ jne). Kõikide võimalike andmekandajate pöördutakse sisenedes vastavasse kataloogi. Seda millise kataloogi all külgeühendatud failisüteem asub nimetatakse külgeühendamiskohaks.

Peale andmekandja kasutamist ja enne selle seadmest väljavõtmist tuleb ta lahti ühendada, näiteks kataloogi /floppy alla ühendatud pehmeketta failisüsteemi lahtiühendamine käib nii

bash# umount /floppy

Seejärel võib pehmeketta seadmest välja võtta. Kui failisüsteemi keegi kasutab, näiteks mõni fail on avatud lugemiseks, siis ei saa seda lahti ühendada. Kasutage programmi fuser failisüteemi kasutuse uurimiseks ja vastavate protsesside lõpetamiseks.

Parasjagu külgeühendatud failisüsteeme näeb käsuga df

Failisüsteemide külgeühendamine toimub programmiga mount mille süntaks on selline

mount [-t failisüsteemi_tüüp] [-o võtmed] seadme_nimi külgeühendamiskoht

===Floppy ketta ühendamine===

'''4. kontrollige kas seadmel on bad block'e:'''

# badblocks -v /dev/fd0

'''5. Tehke kettale fsck:'''

# fsck /dev/fd0

'''4. Vajadusel looge failisüsteem'''

kõvaketta ja floppy peale nii:

süsteemi tüüp käsk
ext2 mke2fs /dev/fd0
ext2 mke2fs /dev/hda1
msdos mkdosfs - " - (praktiliselt soovitatakse teha vastav
partitsioon ja failisüsteem dos'i enda fdiski ja format'iga)
'''5. Looge mount point ehk kataloog kuhu alla seadme failisüsteem ühendub'''

Linuxis on universaalseks kohaks kuhu võib kiirelt ajutisi failisüsteeme külge haakida /mnt, kui on aga vaja rohkem kui 1 seade külge haakida tuleb tekitada uusi harusid.

kõigi seadmete puhul

mkdir /soovitud_nimi

Näiteks

mkdir /a
mkdir /floppy
mkdir /hda2_ext
mkdir /hda3_msdos
mkdir /hda4_vfat

'''6. Mount'ime seadme külge:'''

vastavalt mountitavale süsteemile tuleb teist parameetrit muuta:

failisüsteem käsk

ext2 (linux) mount -t ext2 /dev/fd0 /floppy
iso9660 (cdrom) iso9660 /dev/hda2 /hda2_ext2
msdos (lühikesed nimed) msdos /dev/hda3 /hda3_msdos
vfat (pikad nimed) vfat /dev/hda4 /hda4_vfat
image failid vfat -o loop /img.fail /a

'''7. Toimetame seadmel olevate failidega'''

'''8. Umount'ime seadme:'''

# umount /dev/fd0

'''9. Alles nüüd võib floppy või cd -rom'i plaadi välja võtta'''

'''2. Floppy kettad'''

Floppy'de peale tehakse tavaliselt kas vfat, msdos, ext2 või ei tehtagi failisüsteemi. Viimasel juhul kantakse info sinna/sealt:

# dd if=/bare.i of=/dev/fd0
# dd if=/dev/fd0 of=/disk.image.144

Need mainitud failisüsteemid peavad olema kernelis või moodulitena olemas

# modprobe vfat
# modprobe msdos

Allpool on näiatud kuidas image faile mountida.

===CD-ROM===

CD-ROM'i dele kirjutatakse tavaliselt iso9660 failisüsteem. Ja seadmed ise on nn. IDE-ATAPI tüüpi. Et nendega tegelda tuleb vastav asi kernelisse kompileerida ja moodul vajadusel laadida 'modprob iso9660'

Füüsiliselt on vahest vaja seade ka arvutile külge ühendada

Samasugune on lugu ka kõvaketta partitsioonidega:

Lülitage arvutil vool välja, ühendage kõvaketas juurde, vajadusel paigutage jumpereid ümber ja detectige CMOS SETUP'ist uus vint ära. Seejärel bootige linux üles ja samad sammud nagu floppy puhul.

CDROM -iga on sama asi: kui CD peab enne mountimist sees olema ja seda ei tohi välja võtta enne umount'i.

Soovides CD/DVD plaadist koopiat teha tuleb anda lihtsalt käsk

# dd if=/dev/cdrom of=/kaust/ketas.iso

Ning kettale tekib iso fail mida saab siis vastavalt mountida või teisele plaadile paigaldada.

===Kõvaketas===

Kõvaketta partitsioonide mountimine toimub sarnaselt eeltoodutele. Kõvakettaga tegelemisel on linuxi puhul tänuväärne see, et isegi partitsioonide ja failisüsteemide muutmisel ei pea arvutit rebootima nagu, praegu ei tule keelele, aga on üks teine OS.

Külla aga saab badblocks'iga kontrollida bad blocke. Ja vee on üks abiks programm:

# fuser -v -m /dev/hda6
USER PID ACCESS COMMAND
/dev/hda6 root 1 .rce. init
root 9 .rce. update
root 10 frce. kerneld
root 30 frce. kerneld
root 65 .rce. klogd
root 66 frce. syslogd
root 68 frce. rpc.portmap
root 70 frce. inetd
root 72 .rce. rpc.mountd
root 74 .rce. rpc.nfsd
root 76 frce. crond
root 82 frce. sendmail
root 89 frce. bash
root 90 frce. agetty
root 91 frce. agetty
root 92 frce. agetty
root 93 frce. agetty
root 94 frce. agetty

Teadupärast annavad käsub umount ja mount vahet busy veateate - siit on aga näha mis seis on.

Ning käsk fsck (file system check) võimaldab kontrollida failisüsteemi korrasolekut. NB! enne tuleb failisüsteem umount'ida.

# fsck /dev/hda8
Parallelizing fsck version 1.10 (24-Apr-97)
e2fsck 1.10, 24-Apr-97 for EXT2 FS 0.5b, 95/08/09
/dev/hda8 is mounted. Do you really want to continue (y/n)? no

check aborted.

# umount /dev/hda8
# fsck /dev/hda8
Parallelizing fsck version 1.10 (24-Apr-97)
e2fsck 1.10, 24-Apr-97 for EXT2 FS 0.5b, 95/08/09
/dev/hda8: clean, 5358/665840 files, 605366/665248 blocks

Kasutades -C 0 näeb tegevuse progressi, nt

# e2fsck -C 0 -f /dev/c_data/test
e2fsck 1.41.11 (14-Mar-2010)
Pass 1: Checking inodes, blocks, and sizes
/dev/c_data/test: |= \ 2.0%

===Image file===

See on tõeliselt 'weird'- linux võimaldab mountida image file. Toome näite floppy kohta:

'''1. teeme /dev/fd0 -s olevat vfat failisüsteemiga floppyst image faili (floppy ei pruugi olla mountitud)'''

selleks on kolm võimalust, kasutage vaid ühte!

# cat /dev/fd0 > /img.144
# dd if=/dev/fd0 of=/img.144
# cp /dev/fd0 /img.144

'''2. veendume, et kernelis on loobback sees (mitte see mis puutub network'i :)'''

make menuconfig; Floppy, IDE and other block devices -> Loopback device support
vajadusel modprobe loop

'''3. mountime image faili /a alla'''

bash# mount -t vfat -o loop /img.144 /a
mount: Could not find any loop device, and, according to /proc/devices,
this kernel does not know about the loop device.
(If so, then recompile or `insmod loop.o'.)

# modprobe loop
# mount -t vfat -o loop /img.144 /a
# df
Filesystem 1024-blocks Used Available Capacity Mounted on
/dev/hda6 991000 895730 44066 95% /
/dev/hda2 1023856 996400 27456 97% /nt.40
/dev/hda5 310264 292016 18248 94% /os2
/img.144 1423 1111 312 78% /a

Ja töö lõpetamisel umount!

'''4. seadme image kasutamine'''

Järgnev kehtib eeldusel, et toimetamised mahuvad ära nn 32bit sisse.

Olgu kõvakettaseadmel /dev/hdb kolm partitsiooni ning on tehtud kogu seadmest image fail

# fdisk -l -u hdb.img
...
34 heads, 61 sectors/track, 0 cylinders, total 0 sectors
Units = sectors of 1 * 512 = 512 bytes
Device Boot Start End Blocks Id System
hdb.img1 61 232287 116113+ 83 Linux
hdb.img2 232288 485315 126514 83 Linux
hdb.img3 485316 549609 32147 83 Linux

Soovides ühendada külge sellest image failist teisel partitsioonil olevat failisüsteemi, tuleb öelda

mount -o loop,offset=118931456 hda.img /yhenduspunkt

arvestades asjaolu, et 512*232288 = 118931456

Tõmmise, millel on ilma partitsioonitabelita nö otse tehtud ext3 failisüsteem, ühendamiseks /etc/fstab abil sobib kasutada nt sellist rida

/mnt/tommis.img /mnt/tommis ext3 loop 0 2

===Suured kataloogid eraldi partitsioonidel===

Niisiis oletame, et meil on kaks kõvaketast partitsioonidega:

/dev/hda1 - swap, 96 M
/dev/hda2 - root, 600 M
/dev/hda3 - /home, kasutajate kodukataloogid, 2 000 M
/dev/hdb1 - /usr kataloogi alla jäävad failid 1200 M

Selgitused:

swap on arvuti nö. mälu pikendus ja seda kasutab ta 'iseenesest' peale inistsialiseerimist rc scriptides:

# mkwap /dev/hda1
# swapon /dev/hda1

root on see partitsioon kus asub kernel /vmlinuz ja enamus juurika kataloogidest (/etc, /bin, /root, /dev)

Tavaliselt on nii, et kasutajate kodukataloogid moodustavad küllalt suure struktuuri ja süsteemi uuendamisel või ümbersättimisel on mugavam, kui see asub kas füüsiliselt erineval kettal või vähemalt eraldi partitsioonil mida on nii kergem backup'pida.

Toodud näite olukorra kohta öeldakse, et hda3 on mount'itud juurika /home kataloogiks. Seda tehakse praktiliselt nii:

1. luuakse juurikale tühi /home kataloog:
(Tõsi, tavaliselt on ta sel olemas, sel juhul tuleks tema sisu kopeerida teise nime alla: ) mkdir /home (mv /home /home_old; mkdir /home)
2. Mountime tühja failisüsteemiga partitsiooni /dev/hda3 -e /home -ks mount -t ext2 /dev/hda3 /home
3. Vajadusel liigutame vana tagasi: mv /home_old /home

Tulemuseks on see, et failid mis asuvad /home'ist allpool asuvad reaalselt teises partitsioonis kui muu juurikas.

Sarnaselt on toimitud /usr kataloogiga.

===/etc/fstab===

See on fail kus on kirjas millised kataloogid mountida külge süsteemi bootimisel; tüüpiliselt näeb see fail välja selline:

/dev/hda7 swap swap defaults 0 0
/dev/hda6 / ext2 defaults,usrquota 0 1
/dev/hda2 /nt.40 vfat defaults 0 2
/dev/hda5 /os2 vfat defaults 0 2
/dev/hda8 /hda8 ext2 defaults 0 2
/dev/fd0 /floppy ext2 noauto 0 0
/dev/fd0 /a vfat noauto 0 0
/dev/hdd /cdrom iso9660 ro,noauto 0 0
none /proc proc defaults 0 0
laura:/ /fromlaura nfs noauto,rsize=8192,wsize=8192,timeo=14,intr 0 0

Selgitused:

tulp
1: seade kus füüsiliselt mountitav asi asub
2: kataloog kuhu seade läheb
3: failisüsteem
4: nn. optionid
5: dump info
6: fsck info

optionid:

defaults on defaults
noauto tähendab, et failisüsteemi ei laeta kohe külge aga hiljem piisab anda nt vfat floppy jaoks käsk: mount /a
ro on 'read only'
usrquota näitab, et seadet kontrollib quota

eelviimane tulp:

soovitatakse panna tavaliselt 0, seda väärtust kasutab program dumpe2fs oma salapärastel eesmärkidel

viimane tulp:

root'il soovitatakse panna 1
teistel 2

need arvud näitavad check'imise järjekorda bootimisel omal moel. Kui panna 0 siis fsck ei pööra talle tähelepanu.
Muide, fstab-i failisüsteemid laadib /etc/rc.d/rc.S -i rida

# /sbin/mount -avt nonfs

====UUID kasutamine====

Plokkseadme nn /dev kataloogi failinime asemel saab kasutada ka plokkseadme UUID väärtust, nt

UUID=7cd6e9de-18d1-4d55-8d46-4d96ce8f492d /boot ext3 defaults 0 2

UUID eeliseks on, et ta on seotud nt konkreetsel füüsilisel kõvakettal asuva failisüsteemiga.

====LABEL kasutamine====

TODO

===losetup===

Programmiga losetup saab korraldada faili käsitlemise plokkseadmena. Näiteks moodustame faili

# dd if=/dev/zero of=/data/plokkseadmefail.img bs=1024x1024 count=4x1024

ning seostame ta seadmega /dev/loop0

# losetup /dev/loop0 /data/plokkseadmefail.img

Kõiki losetup abil tekitaud plokkseadmeid näeb käsuga

# losetup -a
/dev/loop0: [fe0c]:22439673 (/data/plokkseadmefail.img)

Seadet /dev/loop0 saab käsitleda seejärel nagu tavalist plokkseadet, näiteks saab sinna moodustada failisüsteemi, tekitada partitsioone, kasutada mdadm või lvm juures.

Moodustatud plokkseadme saab eemaldada öeldes

# losetup -d /dev/loop0

===kpartx utiliidi kasutamine===

Mitmeid partitsioone sisaldava tõmmisfaili kasutamiseks on abi programmist kpartx

# apt-get install kpartx

Tõmmisest partitsioonide nimekirja küsimine

# kpartx -l tommisefailinimi.img
loop1p1 : 0 19631367 /dev/loop1 63

Tõmmise partitsioonidele vastavate seadmete tekitamiseks tuleb öelda

# kpartx -a tommisefailinimi.img

Tekkinud seadmete kasutamiseks, nt külge ühendamiseks sobib öelda

# mount -o ro /dev/mapper/loop1p1 /mnt/tommis-hda1

Mäppingute kustutamine (kusjuures oluline on kasutada täpselt sama path'i mida kasutati ühendamisel)

# kpartx -d tommisefailinimi.img
loop deleted : /dev/loop0

Kui plokkseadmele on moodustad nö otse failisüsteem, st ilma partitsioonitabelit tekitamata, siis paistab selline seade nt sarnaselt

# parted /dev/system/xl-deb-7-91.arendus.kit-disk p
Model: Linux device-mapper (linear) (dm)
Disk /dev/dm-10: 2147MB
Sector size (logical/physical): 512B/512B
Partition Table: loop

Number Start End Size File system Flags
1 0.00B 2147MB 2147MB ext3

kus

* Partitsioonitabeli tüüp - loop

Sellise failisüsteemi külgeühendamiseks pole vaja kpartx programmi kasutada, piisab niisama öelda

# mount /dev/system/xl-deb-7-91.arendus.kit-disk /mnt/xl-deb-7-91

===partprobe utiliidi kasutamine===

Kui kõvaketta osa partitsioone on kasutuses, nt /dev/sda1 osaleb mdadm RAID lülituses ja on soov ilma arvutit rebootimata nt sama ketta /dev/sda2 eemaldada ja asendada suuremaga (eeldades, et /dev/sda seadmel on kasutamata ruumi), siis sobib selleks järgmine protseduur

* veenduda, et /dev/sda2 partitsioon ei ole kasutuses
* fdisk, parted vms programmi abil kustutada olemasolev /dev/sda2 ja tekitada uus
* cat /proc/partitios näitab tuuma ettekujutust ketta partitsioonitabelit

* öelda

# partprobe /dev/sda

* veenduda, et tuumal on uus ettekujutus

Analoogiline tegevus toimub lisades kasutuses ja partitsioneerimata ruumi sisaldavale kettale partitsiooni, nt lisades fdisk abil /dev/sda4

* enne

<pre>
# ls -ld /dev/sda*
brw-rw---- 1 root disk 8, 0 Aug 13 17:17 /dev/sda
brw-rw---- 1 root disk 8, 1 Aug 13 17:20 /dev/sda1
brw-rw---- 1 root disk 8, 2 Aug 13 12:29 /dev/sda2
brw-rw---- 1 root disk 8, 3 Aug 13 17:20 /dev/sda3
</pre>

* peale 'partprobe /dev/sda' ütlemist

<pre>
# ls -ld /dev/sda*
brw-rw---- 1 root disk 8, 0 Aug 13 17:17 /dev/sda
brw-rw---- 1 root disk 8, 1 Aug 13 17:20 /dev/sda1
brw-rw---- 1 root disk 8, 2 Aug 13 12:29 /dev/sda2
brw-rw---- 1 root disk 8, 3 Aug 13 17:20 /dev/sda3
brw-rw---- 1 root disk 8, 4 Aug 13 17:20 /dev/sda4
</pre>

===Krüptitud plokkseadme kasutamine===

Kõvakettal olevaid andmeid saab krüptida mitmes kihis, alates plokkseadme plokkidest (need 512B suurused tükid) kuni failisüsteemis asuvate üksikute failide krüptimiseni. Järnev käsitleb plokkseadme (nt partitsiooni või LVM voluumi) krüptimist

Paigaldage vajalik tarkvara

# apt-get install cryptsetup

Eeldusena peab olema kasutada partitsioon või LVM voluum, näiteks /dev/sda2

# cryptsetup -y create data /dev/sda2
Enter passphrase:
Verify passphrase:

Moodusteme failisüsteemi

# mke2fs -j /dev/mapper/data

Ning ühendame külge

# mount /dev/mapper/data /data

Selleks, et alglaadimisel toimuks failisüsteemi külgeühendamine automaatselt tuleb sisestada faili /etc/crypttab rida

data /dev/sda2 none cipher=aes

Ning faili /etc/fstab rida

/dev/mapper/data /data ext3 defaults 0 1

Alglaadimise käigus küsitakse parooli ja seejärel toimub krüptitud failisüsteemi kasutamine nagu tavalise failisüsteemi puhul.

===fdisk partitsioonil asuva ext3 failisüsteemi suuruse muutmine===

====ext3 failisüsteemi suurendamine====

Olgu lähtepunktiks sellise msdos partitsioonitabeliga plokkseade

# parted /dev/vdc p
Model: Virtio Block Device (virtblk)
Disk /dev/vdc: 17.2GB
Sector size (logical/physical): 512B/512B
Partition Table: msdos

Number Start End Size Type File system Flags
1 32.3kB 255MB 255MB primary
2 255MB 4557MB 4302MB primary ext3

Eesmärgiks on suurendada /dev/vdc2 failisüsteemi, selleks tuleb

* ühendada failisüsteem lahti (kusjuures suurendamine on võimalik ka külgeühendatud olekus) ning öelda

# e2fsck -f /dev/vdc2

* kustutada fdisk või parted abil olemasolev partitsioon
* moodustada fdisk või parted abil sama algusega, aga suurem partitsioon
* suurendada resize2fs programmiga failisüsteem

# resize2fs -p /dev/vdc2

* monteerida failisüsteem ning kasutada

====ext3 failisüsteemi vähendamine====

Olgu lähtepunktiks sellise msdos partitsioonitabeliga plokkseade

# parted /dev/vdc p
Model: Virtio Block Device (virtblk)
Disk /dev/vdc: 17.2GB
Sector size (logical/physical): 512B/512B
Partition Table: msdos

Number Start End Size Type File system Flags
1 32.3kB 255MB 255MB primary
2 255MB 4557MB 4302MB primary ext3

Eesmärgiks on vähendada /dev/vdc2 failisüsteemi, millest on kasutusel 500MB suurusele 1.2G, selleks tuleb

* ühendada failisüsteem lahti ning öelda

# e2fsck -f /dev/vdc2

* vähendada failisüsteem, suurus peab olema suurem kui kasutusel olev maht

# resize2fs -p /dev/vdc2 1G

* kustutada fdisk või parted abil olemasolev partitsioon
* moodustada fdisk või parted abil sama algusega, aga arvutuste lihtsustamiseks natuke suurem partitsioon kui failisüsteemi uus suurus, nt 1.2G
* suurendada resize2fs programmiga failisüsteem

# resize2fs -p /dev/vdc2

* monteerida failisüsteem ning kasutada

===LVM voluumil asuva ext3 failisüsteemi suuruse muutmine===

Plokkseadmele moodustatud ext3 failisüsteemi suurust saab muuta resize2fs utiliidi abil kusjuures praktiliselt on tarvis reeglina võimalust muuta failisüsteemi all oleva plokkseadme suurust. Ehk kõige mugavam on seda teha kui failisüsteem asub LVM voluumil.

Näiteks on võimalik selline järgnevus

* tekitame voluumi suurusega 4 GB

# lvcreate -L4G -n vol1 test

* moodustame voluumile failisüsteemi

# mke2fs -j /dev/test/vol1

Märkused

* Failisüsteemi suuruse muutmisega tegelemisel on oluline tähele panna, et failisüsteem ei pruugi kasutada kogu plokkseadet.
* Failisüsteemile vastaval LVM voluumil ei tohis olla suuruse muutmise ajal snapshotte

====ext3 failisüsteemi suurendamine====

Suurust saab muuta

* lahti ühendatud failisüsteemiga
* külge ühendatud failisüsteemiga

Esmalt suurendame algselt 4 GB voluumi 8 GB suuruseks

# lvresize -L8G /dev/test/vol1
Extending logical volume vol1 to 8.00 GB
Logical volume vol1 successfully resized

Failisüsteemi suurendamiseks lahtiühendatud olekus tuleb esmalt teha fsck ning seejärel resize2fs, nt nii

# umount /dev/test/vol1
# e2fsck -f /dev/test/vol1
# resize2fs -p /dev/test/vol1

kus -p näitab progressi ning kui viimaseks argumendiks näidata arv, nt 6G, siis see määraks tekkiva failisüsteemi suuruse.

Failisüsteemi suurendamiseks külgeühendatud olekus täitma kogu uue suurusega voluumi sobib öelda (ilma eelnevalt e2fsck tegemata)

# resize2fs -p /dev/test/vol1
resize2fs 1.41.3 (12-Oct-2008)
Filesystem at /dev/test/vol1 is mounted on /data; on-line resizing required
old desc_blocks = 3, new_desc_blocks = 4
Performing an on-line resize of /dev/test/vol1 to 14680064 (4k) blocks.
The filesystem on /dev/test/vol1 is now 14680064 blocks long.

====ext3 failisüsteemi vähendamine====

2009 aastal saab ext3 failisüsteemi vähendada (ingl. k. shrink) ainult lahtiühendatud olekus. Vähendada saab mitte väiksemaks kui failisüsteemis on ruumi kasutusel. Tavaliselt vähendatakse failisüsteemi eesmärgil vabastada kõnealuse failisüsteemi aluselt plokkseadmelt (antud juhul Volume Grupilt) ruumi muuks kasutuseks, nt vähendame 48 GB suuruse failisüsteemi, mis kasutab 2.4 GB suurusele 16GB kusjuures 13.8 G jääb failisüsteemis vabaks, tegevus võiks koosneda nt sellistest sammudest

* failisüsteem vähendatakse nõutud suurusest pisut väiksemaks, nt 10 G
* plokkseade st antud juhul LVM köide vähendatakse suurusele 16 GB
* failisüsteem suurendatakse kogu LVM köitele (st suurusele 16 GB)

Sellise tegevuse sooritamiseks tuleb failisüsteem esmalt lahti monteerida

# umount /dev/vg/data_postgresql

Seejärel rakendada failisüsteemi kontroll, mille käigus failisüsteem defragmenteeritakse, -C 0 esitab progressi

# e2fsck -C 0 -f /dev/vg/data_postgresql
e2fsck 1.41.12 (17-May-2010)
Pass 1: Checking inodes, blocks, and sizes
Pass 2: Checking directory structure
Pass 3: Checking directory connectivity
Pass 4: Checking reference counts
Pass 5: Checking group summary information
/dev/vg/data_postgresql: 1820/3145728 files (4.1% non-contiguous), 802405/12582912 blocks

Seejärel failisüsteemi suurus vähendatakse 10 GB suurusele

# resize2fs -p /dev/vg/data_postgresql 10G
resize2fs 1.41.12 (17-May-2010)
Resizing the filesystem on /dev/vg/data_postgresql to 2621440 (4k) blocks.
Begin pass 2 (max = 6)
Relocating blocks XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
Begin pass 3 (max = 384)
Scanning inode table XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
Begin pass 4 (max = 38)
Updating inode references XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
The filesystem on /dev/vg/data_postgresql is now 2621440 blocks long.

Seejärel märgitakse köide mitte-aktiivseks

# lvchange -a n /dev/vg/data_postgresql

ning vähendatakse LVM köite suurus 16 GB väärtusele (kusjuures tab ei lõpeta enam seadmenime, st tuleb omal välja kirjutada)

# lvresize -L16G /dev/vg/data_postgresql
Reducing logical volume data_postgresql to 16.00 GiB
Logical volume data_postgresql successfully resized

ja muuta LVM köide uuesti aktiivseks

# lvchange -a y /dev/vg/data_postgresql

Vähendatud LVM köite failisüsteemiga täitmiseks tuleb öelda

# resize2fs -p /dev/vg/data_postgresql
resize2fs 1.41.12 (17-May-2010)
Resizing the filesystem on /dev/vg/data_postgresql to 4194304 (4k) blocks.
Begin pass 1 (max = 48)
Extending the inode table XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
The filesystem on /dev/vg/data_postgresql is now 4194304 blocks long.

Lõpuks monteerida failisüsteem külge ja kasutada edasi

# mount /dev/vg/data_postgresql

Märkused

* failisüsteemi maksimaalselt väikesele suurusele vähendamiseks sobib öelda, st tulemusena on ta 100% täis

# umount /dev/test/vol1
# e2fsck -f /dev/test/vol1
# resize2fs -M /dev/test/vol1

===ext3 failisüsteemi all oleva LVMi all oleva plokkseadme partitsiooni suuruse muutmine===

Olgu lähtepunktiks selliste partitsioonidega plokkseade

# parted /dev/vdc p
Model: Virtio Block Device (virtblk)
Disk /dev/vdc: 17.2GB
Sector size (logical/physical): 512B/512B
Partition Table: msdos

Number Start End Size Type File system Flags
1 32.3kB 255MB 255MB primary ext3
2 255MB 4550MB 4295MB primary lvm

Kusjuures /dev/vdc2 on LVM PV millel on VG ning omakorda LV'd. Eesmärgiks on muuta teise partitsiooni suurust.

====Suurendamine====

Suurendamiseks tuleb failisüsteemi kasutamine lõpetada ning märkida kõited mitte-aktiivseks (tundub, et töötavas arvutis saab fdisk abil partitsioonid ära suurendada samuti, aga muudatuse kehtestamiseks tuleb nt rebootida)

# vgchange -a n koited

Seejärel tuleb

* PV'le vastava partitsioon fdisk abil kustutada ning moodustada sama algusega uus suurem partitsioon
* suurendada PV kusjuures nii suureneb automaatselt ka VG, LV suurused jäävad samaks

# pvresize /dev/vdc2

* teha kõited kasutatavaks

# vgchange -a y koited

* teha huvipakkuvale failisüsteemile fsck

# e2fsck -f /dev/koited/koide_2

* suurendada vajaliku kõite suurust

# lvresize -L4G /dev/koited/koide_2

* suurendada kõitel oleva failisüsteemi suurust

# resize2fs -p /dev/koited/koide_2

* asuda kasutama

====Vähendamine====

Vähendamiseks tuleb

* failisüsteemi kasutamine lõpetada ja mõne LV all olevat failisüsteemi vähendada

# e2fsck -f /dev/koited/koide_2
# resize2fs -p /dev/koited/koide_2 400M

* märkida kõited mitte-aktiivseks

# vgchange -a n koited

* vähendada LV, nt

# lvresize -L512M /dev/koited/koide_2

* suurendada failisüsteem täis-suuruseni

# vgchange -a y
# resize2fs -p /dev/koited/koide_2
# vgchange -a n

* vähendada PV

# pvresize /dev/vdc2 --setphysicalvolumesize 1536M

* PV'le vastava partitsioon fdisk abil kustutada ning moodustada sama algusega uus väiksem partitsioon
* suurendada PV partitsiooni täis-suuruseni

# pvresize /dev/vdc2

* teha kõited kasutatavaks

# vgchange -a y koited

* asuda kasutama

Märkused

* Kui seadme lõpus on PE kasutuses saab nt sellise teate

pvresize /dev/cciss/c0d0p2 --setphysicalvolumesize 60G
/dev/block/104:2: cannot resize to 15359 extents as later ones are allocated.
0 physical volume(s) resized / 1 physical volume(s) not resized

===NTFS failisüsteemi all oleva LVMi volüümi suuruse muutmine===

====Vähendamine====

Olgu kasutuses Windows 7 operatsioonisüsteemiga virtuaalne arvuti, mille mitte-süsteemsele plokkseadmele (nt D:\> ketas) vastab host arvutis LVM köide. Windows 7 poolt vaadates on sellel köitel tõenäoliselt DOS fdisk label ning üks NTFS partitsioon. LVM köite suuruse vähendamiseks tuleb

* vabastada failisüsteemis ruumi
* Windows 7 keskkonnas shinkida failisüsteemi
* failisüsteemi shrinkimise käigus vähendatakse ka partitsiooni

# fdisk -l /dev/vg_data/vga_win7_32_backup

Disk /dev/vg_data/vga_win7_32_backup: 200 GiB, 214748364800 bytes, 419430400 sectors
Units: sectors of 1 * 512 = 512 bytes
Sector size (logical/physical): 512 bytes / 512 bytes
I/O size (minimum/optimal): 512 bytes / 512 bytes
Disklabel type: dos
Disk identifier: 0x25b98324

Device Boot Start End Sectors Size Id Type
/dev/vg_data/vga_win7_32_backup1 2048 30306303 30304256 14.5G 7 HPFS/NTFS/exFAT

Seejärel tuleb Windows 7 virtuaalne arvuti sulgeda ning lvresize abil vähendada lvm voluumi, usutavalt on turvaline uus suurus valida varuga. Ja Windows keskkonnas suurendada failisüsteem (ja partitsioon) kasutama kogu plokkseadet (st LVM voluumi).

===MBR partitsioonitabeliga plokkseadme suuruse muutmine===

MBR partitsioonitabeliga plokkseadme suurendamiseks reeglina piisab

* plokkseadme kasutamine lõpetada, nt virtuaalne arvuti panna seisma
* suurendada plokkseadmele vastav ressurss, nt LVM kõide hostis
* käivitada virtuaalne arvuti
* kasutada suuremana paistvat plokkseadet edasi, nt moodustada sinna uus MBR partitsioon või suurendada olemasolevaid

====Primaarse partitsiooni lisamise teel====

Kui plokkseadmel on extended partitsioon, siis võib olla mõistlikum sda5 ja sda2 kustutamise asemel lihtsalt moodustada juurde /dev/sd3

<pre>
Device Boot Start End Sectors Size Id Type
/dev/sda1 * 2048 999423 997376 487M 83 Linux
/dev/sda2 1001470 33552383 32550914 15.5G 5 Extended
/dev/sda5 1001472 33552383 32550912 15.5G 8e Linux LVM

Command (m for help): n
Partition type
p primary (1 primary, 1 extended, 2 free)
l logical (numbered from 5)
Select (default p): p
Partition number (3,4, default 3):
First sector (999424-67108863, default 999424): 33552384
Last sector, +sectors or +size{K,M,G,T,P} (33552384-67108863, default 67108863):

Created a new partition 3 of type 'Linux' and of size 16 GiB.
</pre>

Tulemus paistab nii

<pre>
Device Boot Start End Sectors Size Id Type
/dev/sda1 * 2048 999423 997376 487M 83 Linux
/dev/sda2 1001470 33552383 32550914 15.5G 5 Extended
/dev/sda3 33552384 67108863 33556480 16G 8e Linux LVM
/dev/sda5 1001472 33552383 32550912 15.5G 8e Linux LVM
</pre>

Seejärel saab nt olemasolevat lvm'i extendida /dev/sda3 abil.

Kasulikud lisamaterjalid

* https://www.rootusers.com/how-to-increase-the-size-of-a-linux-lvm-by-expanding-the-virtual-machine-disk/

====Olemasolevate partitsioonide suurendamise teel====

Olgu lähtepunkt selline, virtuaalne arvuti, kus kasutatakse /dev/vdb plokkseadet (8388607 on partitsiooni lõpp, arvuliselt ühe võrra väiksem seadme sektorite arvust)

<pre>
# parted /dev/vdb
GNU Parted 3.2
Using /dev/vdb
Welcome to GNU Parted! Type 'help' to view a list of commands.
(parted) unit s
(parted) p
Model: Virtio Block Device (virtblk)
Disk /dev/vdb: 8388608s
Sector size (logical/physical): 512B/512B
Partition Table: msdos
Disk Flags:

Number Start End Size Type File system Flags
1 2048s 1050623s 1048576s primary
2 1050624s 8388607s 7337984s extended
5 1052672s 8388607s 7335936s logical lvm
</pre>

Eesmärgiks on suurendada logical partitsioonil asuval lvm köitel asuvat ext4 failisüsteemi. Selleks tuleb esmalt lisada virtualiseerimise keskkonna haldusliideses /dev/vdb seadmele ruumi juurde, 8388608 -> 16777216

<pre>
Model: Virtio Block Device (virtblk)
Disk /dev/vdb: 16777216s
Sector size (logical/physical): 512B/512B
Partition Table: msdos
Disk Flags:

Number Start End Size Type File system Flags
1 2048s 1050623s 1048576s primary
2 1050624s 8388607s 7337984s extended
5 1052672s 8388607s 7335936s logical lvm
</pre>

Seejärel nihutada partitsioonide 2 ja 5 lõpp edasi (nt uude seadme lõppu, 16777215 on plokkseadme viimane sektor, 'size - 1')

(parted) resizepart 2 16777215
(parted) resizepart 5 16777215

tulemuseks

<pre>
Number Start End Size Type File system Flags
1 2048s 1050623s 1048576s primary
2 1050624s 16777215s 15726592s extended
5 1052672s 16777215s 15724544s logical lvm
</pre>

Suurendada lvm pv (automaatselt suureneb lvm volume grupp)

# pvresize /dev/vdb5

Suurendada lvm köide (-l +100%FREE tähendab, et suurendamiseks kasutatakse ära kõik vastava volume group'i vaba ressurss)

# lvextend -l +100%FREE /dev/data/www

või nt (ei ole eelmisega samaväärne üldiselt)

# lvextend -L+50G /dev/data/www

Suurendada failisüsteem

# resize2fs -p /dev/data/www

Kasulikud lisamaterjalid

* http://yy27.blogspot.com.ee/2009/02/resizing-extended-partitions-with-gnu.html

===XFS failisüsteemi kasutamine===

XFS http://oss.sgi.com/projects/xfs/ on kaasaegne failisüsteem, kasutamiseks tuleb paigaldada xfs utiliidid öeldes
# emerge xfsprogs

====XFS failisüsteemi moodustamine====

Failisüsteemi moodustamiseks seadmele /dev/xvda2 sobib öelda

# mkfs.xfs /dev/xvda2
meta-data=/dev/xvda2 isize=256 agcount=4, agsize=786432 blks
= sectsz=512 attr=2
data = bsize=4096 blocks=3145728, imaxpct=25
= sunit=0 swidth=0 blks
naming =version 2 bsize=4096
log =internal log bsize=4096 blocks=2560, version=2
= sectsz=512 sunit=0 blks, lazy-count=0
realtime =none extsz=4096 blocks=0, rtextents=0

XFS failisüsteemi kasutamisega on seotud sellised nn tuuma lõimed

# ps aux | grep xfs
root 4334 0.0 0.0 0 0 ? S< 23:40 0:00 [xfslogd/0]
root 4336 0.0 0.0 0 0 ? S< 23:40 0:00 [xfslogd/1]
root 4337 0.0 0.0 0 0 ? S< 23:40 0:00 [xfsdatad/0]
root 4338 0.0 0.0 0 0 ? S< 23:40 0:00 [xfsdatad/1]
root 4339 0.0 0.0 0 0 ? S< 23:40 0:00 [xfs_mru_cache]
root 4382 0.0 0.0 0 0 ? S< 23:44 0:00 [xfsbufd]
root 4384 0.0 0.0 0 0 ? S< 23:44 0:00 [xfsaild]
root 4385 0.0 0.0 0 0 ? S< 23:44 0:00 [xfssyncd]

64 bit keskkonnas võib xfs kasutamisel tekkida sarnaseid probleeme, mida kirjeldab vestluslõim aadressil http://oss.sgi.com/archives/xfs/2005-06/msg00347.html.

Failisüsteemi automaatseks külgeühendamiseks sobib /etc/fstab failis kasutada nt rida

/dev/xvda2 /srv/data xfs noatime,nodiratime,inode64,logbufs=8 1 2

kus

* noatime - failide access time aega ei kasutata
* nodiratime - kataloogide access time aega ei kasutata
* inode64 - failisüsteemi inode numbrid võivad olla suuremad kui 32 bit
* logbufs=8

Olemasoleva xfs failisüsteemi omaduste esitamiseks sobib öelda (ei ole kooskõlas ülaltoodud mkfs.xfs andmetega)

xfs_info /dev/data/xfs
meta-data=/dev/mapper/data-xfs isize=256 agcount=4, agsize=268435455 blks
= sectsz=512 attr=2
data = bsize=4096 blocks=1073741820, imaxpct=5
= sunit=0 swidth=0 blks
naming =version 2 bsize=4096 ascii-ci=0
log =internal bsize=4096 blocks=32768, version=2
= sectsz=512 sunit=0 blks, lazy-count=0
realtime =none extsz=4096 blocks=0, rtextents=0

XFS failisüsteemis asuvate kõikide kasutajate quota tabeli saamiseks tuleb anda käsk

# xfs_quota -x -c "report -nu"

XFSi probleemidest: Failid on asendunud 0 baidistega.

*https://github.com/odoucet/xfsrepair
*http://centos.distrosfaqs.org/centos/xfs-zero-length-file-problem/
*http://jackal.livejournal.com/2162387.html
*http://toruonu.blogspot.com/2012/12/xfs-vs-ext4.html

====LVMi peale tehtud XFS failisüsteemi suurendamine====

XFS failisüsteem peab olema suurendamisel külge monteeritud olekus. XFS failisüteemi suurendamiseks tuleb esmalt failisüteemi all olevat plokkseadet suurendada, nt LVM köite puhul öelda

# lvresize -L40G /dev/system/xfs
Extending logical volume xfs to 40.00 GiB
Logical volume xfs successfully resized

ning seejärel öelda

# xfs_growfs /dev/system/xfs
meta-data=/dev/mapper/system-xfs isize=256 agcount=6, agsize=1310720 blks
= sectsz=512 attr=2
data = bsize=4096 blocks=7864320, imaxpct=25
= sunit=0 swidth=0 blks
naming =version 2 bsize=4096 ascii-ci=0
log =internal bsize=4096 blocks=2560, version=2
= sectsz=512 sunit=0 blks, lazy-count=1
realtime =none extsz=4096 blocks=0, rtextents=0
data blocks changed from 7864320 to 10485760

====XFS failisüteemi vähendamine====

XFS failisüsteemi ei saa otseselt vähendada,
http://xfs.org/index.php/XFS_FAQ#Q%3A_Is_there_a_way_to_make_a_XFS_filesystem_larger_or_smaller.3F, kaudselt on võimalik tekitada uus sobiva suurusega failisüstee ning kopeerida andmed sinna ümber ning kustutada algselt kasutuses olnud failisüsteem.

===Reiser failisüsteemi kasutamine===

Failisüsteemi plokkseadmele moodustamiseks tuleb süsteemipaigaldada reiserfsprogs pakett

# apt-get install reiserfsprogs

ja öelda näiteks

# mkreiserfs /dev/cciss/c0d0p2

/etc/fstab failis tuleb vastavalt kasutada rida

/dev/cciss/c0d0p2 /srv reiserfs rw 0 0

===Mount bind===

nn mount bind võimaldab sama kataloogi sisu teha nähtavaks failisüsteemis mitmes kohas

# mount --bind /tmp/src /tmp/dst

/etc/fstab failis sobib kasutada rida

/tmp/src /tmp/dst none defaults,bind 0 0

===AUFS===

AUFS (Another Union File System) võimaldab koondada erinevate kataloogide sisu nähtavale ühe kataloogi alla. AUFS kasutamiseks tuleb paigaldada tuuma moodul ja utiliidid

# apt-get install aufs-modules-2.6-amd64 aufs-tools

Kasutamine toimub nt selliselt

# mount -t aufs -o dirs=/tmp/src/essa:/tmp/src/tessa none /tmp/dst

===OpenBSD failisüsteemi kasutamine Linuxist===

Esmalt vaadata, millese loogilise nime all vastav OpenBSD partitsioon esineb

# cat /proc/partitions

ja siis külge monteerida, nt

# mount -t ufs -o ro,ufstype=44bsd /dev/hda5 /tmp/hda5

===USB pulk ja FAT 32 failisüsteem===

# apt-get install dosfstools
# fdisk ... valida partitsiooni tüüp 'b'
# mkdosfs -F 32 -I /dev/sdc1

===df programmi kasutamine===

df abil saab küsida nimekirja süsteemile teada olevatest failisüsteemidest, nö füüsilistest kui muudest, nt Debian v. 7 Wheezy puhul esitatakse vaikimisi selline väljund

# df -h -T -a
Filesystem Type Size Used Avail Use% Mounted on
rootfs rootfs 12G 3.3G 8.1G 29% /
sysfs sysfs 0 0 0 - /sys
proc proc 0 0 0 - /proc
udev devtmpfs 10M 0 10M 0% /dev
devpts devpts 0 0 0 - /dev/pts
tmpfs tmpfs 195M 312K 195M 1% /run
/dev/mapper/system-root ext3 12G 3.3G 8.1G 29% /
tmpfs tmpfs 5.0M 0 5.0M 0% /run/lock
tmpfs tmpfs 390M 0 390M 0% /run/shm
/dev/sda2 ext3 504M 168M 311M 35% /boot
nfsd nfsd 0 0 0 - /proc/fs/nfsd

kus

* -a - esitada info kõigi failisüsteemide kohta
* -h - esitada suurused GB, MB vms ühikutes
* -T - esitada lisaks failisüsteemi tüüp

Lisaks saab küsida andmeid nt teatud tüüpi failisüsteemide kohta, nt ainult devpts

# df -h -T -a -t devpts
Filesystem Type Size Used Avail Use% Mounted on
devpts devpts 0 0 0 - /dev/pts

===Ketaste trimmimine===

Tegemist tehnikaga mis mõeldud storage "thin provisioning" ja ssd ketaste jaoks ning tähendab seda, et kustutatud andmed eemaldatakse koheselt. Nt storagest loodud ning iSCSI vms tehnikaga jagatud kettal tähendab Thin Provisioning enabled, et antakse küll välja nt 20 TB-suurune kettaviilakas, aga "allocation" (ehk kasutatud) on vaid reaalselt seal peal olevate andmete maht ehk vaid paar terabaiti. Tavalisel moel jagatud kettal on kogu jagatud maht reserveeritud ning seda enam välja jagada ei saa. Samuti on võimalik määrata tase, kus maal "häiret antakse". Samas on vaja storagele anda teada, et mingid andmed on määratud kustutamisele (tavaliselt failisüsteem seda ei tee) ning siin tulebki mängu discard.

Ketta mountimisel tuleb mount käsule anda võti '''discard''' või siis aeg-ajalt '''fstrim''' käsk käima panna. Kui discard võti on mountimisel antud teatab süsteem kustutamisel automaatselt
allolevale kettale, et info vaja eemaldada. Fstrim käsk on selleks, et tagasiulatuvalt kustutada ka see info, mis sai kustutatud enne mount võtme muutmist ehk discard lisamist.

===scsi rescan===

scsi rescan'ist on abi, kui on vaja töötava arvuti LVM ressurssi suurendada. Teatud tingimustel saab arvutile operatsiooni töötamise ajal lisada plokkseadmeid, nt ESXi virtuaalsele arvutile Hard Disk tüüpi seadme. Selleks, et operatsioonisüsteem saaks lisatud seadet asuda kasutama tuleb öelda nt

# echo "- - -" > /sys/class/scsi_host/host#/scan

kusjuures # voimalikud väärtused näeb ära vastava kataloogis sisust, tundub, et vale numbri kasutamine midagi halba ei tee, maksab alustada suuremast

..
# echo "- - -" > /sys/class/scsi_host/host2/scan
# echo "- - -" > /sys/class/scsi_host/host1/scan
...

scan nimeline fail kusjuures failisüsteemis ei eksisteeri, aga see ei sega seda echo käsku kasutamisel ja tulemuse saavutamisel. Tulemus paistab nt sedasi

[23416.047799] scsi 2:0:1:0: Direct-Access VMware Virtual disk 1.0 PQ: 0 ANSI: 2
[23416.047811] scsi target2:0:1: Beginning Domain Validation
[23416.048832] scsi target2:0:1: Domain Validation skipping write tests
[23416.048836] scsi target2:0:1: Ending Domain Validation
[23416.048916] scsi target2:0:1: FAST-40 WIDE SCSI 80.0 MB/s ST (25 ns, offset 127)
[23416.050526] sd 2:0:1:0: [sdc] 167772160 512-byte logical blocks: (85.8 GB/80.0 GiB)
[23416.050566] sd 2:0:1:0: [sdc] Write Protect is off
[23416.050570] sd 2:0:1:0: [sdc] Mode Sense: 61 00 00 00
[23416.050623] sd 2:0:1:0: [sdc] Cache data unavailable
[23416.050626] sd 2:0:1:0: [sdc] Assuming drive cache: write through
[23416.050985] sd 2:0:1:0: [sdc] Cache data unavailable
[23416.050988] sd 2:0:1:0: [sdc] Assuming drive cache: write through
[23416.051241] sd 2:0:1:0: Attached scsi generic sg3 type 0
[23416.074279] sdc: unknown partition table
[23416.074536] sd 2:0:1:0: [sdc] Cache data unavailable
[23416.074540] sd 2:0:1:0: [sdc] Assuming drive cache: write through
[23416.074637] sd 2:0:1:0: [sdc] Attached SCSI disk

Seejärel tuleb tekitada LVM PV

# pvcreate /dev/sdc

ja LVM VG suurendada

# vgextend pgdata /dev/sdc

Ning tulemusena on kasutada suurenenud ruumiga pgdata LVM volume grupp.

===device rescan===

Olemasoleva plokkseadme suuruse muudatuse operatsioonisüsteemile õpetamiseks sobib öelda

# echo 1>/sys/class/block/sdd/device/rescan

===scsi seadme eemaldamine===

scsi seadme kasutamine esmalt lõpetada failisüsteemi, lvm, mdadm jne poolt ning lõpus öelda kus ketta täht asendada sobivaga, nt vaadata lsscsi väljundist

# echo 1 > /sys/block/sdb/device/delete

Seejärel võib hotswap ketta arvutist eemaldada, virtuaalse ketta arvutist eemalda vms.

===btrfs failisüsteemi kasutamine===

2015 aasta suvel on nö hästi varustatud Linux distributsioonides olemas btrfs tugi, kerneli osa niigi, haldusutiliiditeda paigaldamiseks tuleb paigaldada nt APT paketihaldusega keskkonnas sarnane pakett

# apt-get install btrfs-tools

tulemusena tekib failisüsteemi

* /sbin/btfrs - TODO
* TODO

Plokkseadmele /dev/vdb failisüsteemi tekitamiseks sobib öelda

# mkfs.btrfs /dev/vdb
Btrfs v3.17
See http://btrfs.wiki.kernel.org for more information.

Turning ON incompat feature 'extref': increased hardlink limit per file to 65536
fs created label (null) on /dev/vdb
nodesize 16384 leafsize 16384 sectorsize 4096 size 8.00GiB

Failisüsteemi monteerimiseks koos pakkimisega

# mount -o compression=lzo /dev/vdb /mnt/vdb

või fstab failis rida (kusjuures mount | grep btrfs näitab sama väljundit sõltumata kas compress on või pole sees)

/dev/sdb /mnt/sdb btrfs defaults,compress=lzo 0 1

Tundub, et tavaliste sync, df jt utiliitide asemel on sobivam teha

# btrfs filesystem sync /mnt/sdb
FSSync '/mnt/sdb'

# btrfs filesystem df /mnt/sdb
Data, single: total=45.01GiB, used=44.91GiB
System, DUP: total=8.00MiB, used=16.00KiB
System, single: total=4.00MiB, used=0.00B
Metadata, DUP: total=1.00GiB, used=169.09MiB
Metadata, single: total=8.00MiB, used=0.00B
GlobalReserve, single: total=64.00MiB, used=0.00B

kus

* Data, single - used väljendab, palju on kasutuses reaalselt

# btrfs filesystem show
Label: none uuid: 26ef34be-1c0c-4578-88a1-bc0810b0ebd9
Total devices 1 FS bytes used 45.07GiB
devid 1 size 596.17GiB used 47.04GiB path /dev/sdb

Btrfs v3.17

Kasulikud lisamaterjalid

* https://wiki.debian.org/Btrfs

===Märkused===

* Monteeritud failisüsteemi ühenduspunktil on monteeritud failisüsteemi juurika kasutaja:grupp.

===Kasulikud lisamaterjalid===

* http://en.wikipedia.org/wiki/XFS

Linux mount

2019-12-02T00:11:56Z

Imre: /* device rescan */

===Sissejuhatus===

[[Pilt:2879430437 975b4e8d5f.jpg]]

Nagu teada asuvad Linux'i puhul kõik failid ühtses kataloogipuus (aga nt. MS Windows'ites kasutatakse partitsioonide tähistamiseks nn. kettatähti: A, B on pehmeketta seadmed ja C, D, E ... Z - kõvaketaste partitsioonid).

Linuxi puhul on tähelepanuväärne see, et ta suudab lugeda ja kirjutada peale enda Second Extended (ext2, ext3, ext4) failisüsteemi ka paljusid teisi levinud failisüsteeme (mh. FAT pikkade ja lühikeste nimedega, OS2 HPFS, minix). Et see tõesti nii oleks on vaja vastav tugi kernelisse sisse või mooduliteks kompileerida. Soovitavalt mooduliteks. Muuseas, moodulid asuvad kataloogis /lib/modules/... ja kui seal on nt. fail vfat.o, siis on tõenäoliselt võimalik lugeda kirjutada W95 partitsiooni. Seda kas moodul on kasutusel saab näha käsuga lsmod; ja kui ei ole kasutusel, siis aitab käsk modprobe vfat. Jne.

Linux käsitleb pehme- ja kõvakettaid kaunis võrdväärsete seadmetena. Vähemalt selles mõttes, et enne floppy ketta seadmesse panekut ja peale väljavõtmist tuleb täita samad käsud,et mis kõvaketta juurde ja tagant ühendamisel.

Failisüsteem on vahend andmete organiseerimiseks andmekandjal. Failisüsteem asub tavaliselt infokandjale (kõvaketas, USB pulk) partitsioonil ja tema poole pöördutakse seadmenimega. Näiteks esimese IDE kanali teise kõvaketta kolmas partitsioon kannab nime

b - esimene IDE kanal teine ketas (nn primary slave, esimene ketas algab tähega a)
|
|
/dev/hdb3
| |
| |
| 3 - kolmas partitsioon
|
hd - ata hard disk (sata kettad algavad sd lühendiga)

Kui te ei tea täpselt millised partisioonid on kõvakettale moodustatud kasutage järelevaatamiseks programmi fdisk

# fdisk /dev/hdb

Ettevaatust fdiski kasutamisel, peale vaatamise saab sellega ka partitsioone muuta.

Failisüsteemide kasutamine eeldab, et vastav toetus on tuuma kompileeritud. Et näha milliseid failisüsteeme masin parasjagu toetab vaadake tuuma moodulite kataloogi /lib/modules/2.2.xx või uurige faili /proc/filesystems sisu.

UNIXi kataloogistruktuur on traditsiooniline ja seal ei kõnelda ketastest (A:\, C:\ jne). Kõikide võimalike andmekandajate pöördutakse sisenedes vastavasse kataloogi. Seda millise kataloogi all külgeühendatud failisüteem asub nimetatakse külgeühendamiskohaks.

Peale andmekandja kasutamist ja enne selle seadmest väljavõtmist tuleb ta lahti ühendada, näiteks kataloogi /floppy alla ühendatud pehmeketta failisüsteemi lahtiühendamine käib nii

bash# umount /floppy

Seejärel võib pehmeketta seadmest välja võtta. Kui failisüsteemi keegi kasutab, näiteks mõni fail on avatud lugemiseks, siis ei saa seda lahti ühendada. Kasutage programmi fuser failisüteemi kasutuse uurimiseks ja vastavate protsesside lõpetamiseks.

Parasjagu külgeühendatud failisüsteeme näeb käsuga df

Failisüsteemide külgeühendamine toimub programmiga mount mille süntaks on selline

mount [-t failisüsteemi_tüüp] [-o võtmed] seadme_nimi külgeühendamiskoht

===Floppy ketta ühendamine===

'''4. kontrollige kas seadmel on bad block'e:'''

# badblocks -v /dev/fd0

'''5. Tehke kettale fsck:'''

# fsck /dev/fd0

'''4. Vajadusel looge failisüsteem'''

kõvaketta ja floppy peale nii:

süsteemi tüüp käsk
ext2 mke2fs /dev/fd0
ext2 mke2fs /dev/hda1
msdos mkdosfs - " - (praktiliselt soovitatakse teha vastav
partitsioon ja failisüsteem dos'i enda fdiski ja format'iga)
'''5. Looge mount point ehk kataloog kuhu alla seadme failisüsteem ühendub'''

Linuxis on universaalseks kohaks kuhu võib kiirelt ajutisi failisüsteeme külge haakida /mnt, kui on aga vaja rohkem kui 1 seade külge haakida tuleb tekitada uusi harusid.

kõigi seadmete puhul

mkdir /soovitud_nimi

Näiteks

mkdir /a
mkdir /floppy
mkdir /hda2_ext
mkdir /hda3_msdos
mkdir /hda4_vfat

'''6. Mount'ime seadme külge:'''

vastavalt mountitavale süsteemile tuleb teist parameetrit muuta:

failisüsteem käsk

ext2 (linux) mount -t ext2 /dev/fd0 /floppy
iso9660 (cdrom) iso9660 /dev/hda2 /hda2_ext2
msdos (lühikesed nimed) msdos /dev/hda3 /hda3_msdos
vfat (pikad nimed) vfat /dev/hda4 /hda4_vfat
image failid vfat -o loop /img.fail /a

'''7. Toimetame seadmel olevate failidega'''

'''8. Umount'ime seadme:'''

# umount /dev/fd0

'''9. Alles nüüd võib floppy või cd -rom'i plaadi välja võtta'''

'''2. Floppy kettad'''

Floppy'de peale tehakse tavaliselt kas vfat, msdos, ext2 või ei tehtagi failisüsteemi. Viimasel juhul kantakse info sinna/sealt:

# dd if=/bare.i of=/dev/fd0
# dd if=/dev/fd0 of=/disk.image.144

Need mainitud failisüsteemid peavad olema kernelis või moodulitena olemas

# modprobe vfat
# modprobe msdos

Allpool on näiatud kuidas image faile mountida.

===CD-ROM===

CD-ROM'i dele kirjutatakse tavaliselt iso9660 failisüsteem. Ja seadmed ise on nn. IDE-ATAPI tüüpi. Et nendega tegelda tuleb vastav asi kernelisse kompileerida ja moodul vajadusel laadida 'modprob iso9660'

Füüsiliselt on vahest vaja seade ka arvutile külge ühendada

Samasugune on lugu ka kõvaketta partitsioonidega:

Lülitage arvutil vool välja, ühendage kõvaketas juurde, vajadusel paigutage jumpereid ümber ja detectige CMOS SETUP'ist uus vint ära. Seejärel bootige linux üles ja samad sammud nagu floppy puhul.

CDROM -iga on sama asi: kui CD peab enne mountimist sees olema ja seda ei tohi välja võtta enne umount'i.

Soovides CD/DVD plaadist koopiat teha tuleb anda lihtsalt käsk

# dd if=/dev/cdrom of=/kaust/ketas.iso

Ning kettale tekib iso fail mida saab siis vastavalt mountida või teisele plaadile paigaldada.

===Kõvaketas===

Kõvaketta partitsioonide mountimine toimub sarnaselt eeltoodutele. Kõvakettaga tegelemisel on linuxi puhul tänuväärne see, et isegi partitsioonide ja failisüsteemide muutmisel ei pea arvutit rebootima nagu, praegu ei tule keelele, aga on üks teine OS.

Külla aga saab badblocks'iga kontrollida bad blocke. Ja vee on üks abiks programm:

# fuser -v -m /dev/hda6
USER PID ACCESS COMMAND
/dev/hda6 root 1 .rce. init
root 9 .rce. update
root 10 frce. kerneld
root 30 frce. kerneld
root 65 .rce. klogd
root 66 frce. syslogd
root 68 frce. rpc.portmap
root 70 frce. inetd
root 72 .rce. rpc.mountd
root 74 .rce. rpc.nfsd
root 76 frce. crond
root 82 frce. sendmail
root 89 frce. bash
root 90 frce. agetty
root 91 frce. agetty
root 92 frce. agetty
root 93 frce. agetty
root 94 frce. agetty

Teadupärast annavad käsub umount ja mount vahet busy veateate - siit on aga näha mis seis on.

Ning käsk fsck (file system check) võimaldab kontrollida failisüsteemi korrasolekut. NB! enne tuleb failisüsteem umount'ida.

# fsck /dev/hda8
Parallelizing fsck version 1.10 (24-Apr-97)
e2fsck 1.10, 24-Apr-97 for EXT2 FS 0.5b, 95/08/09
/dev/hda8 is mounted. Do you really want to continue (y/n)? no

check aborted.

# umount /dev/hda8
# fsck /dev/hda8
Parallelizing fsck version 1.10 (24-Apr-97)
e2fsck 1.10, 24-Apr-97 for EXT2 FS 0.5b, 95/08/09
/dev/hda8: clean, 5358/665840 files, 605366/665248 blocks

Kasutades -C 0 näeb tegevuse progressi, nt

# e2fsck -C 0 -f /dev/c_data/test
e2fsck 1.41.11 (14-Mar-2010)
Pass 1: Checking inodes, blocks, and sizes
/dev/c_data/test: |= \ 2.0%

===Image file===

See on tõeliselt 'weird'- linux võimaldab mountida image file. Toome näite floppy kohta:

'''1. teeme /dev/fd0 -s olevat vfat failisüsteemiga floppyst image faili (floppy ei pruugi olla mountitud)'''

selleks on kolm võimalust, kasutage vaid ühte!

# cat /dev/fd0 > /img.144
# dd if=/dev/fd0 of=/img.144
# cp /dev/fd0 /img.144

'''2. veendume, et kernelis on loobback sees (mitte see mis puutub network'i :)'''

make menuconfig; Floppy, IDE and other block devices -> Loopback device support
vajadusel modprobe loop

'''3. mountime image faili /a alla'''

bash# mount -t vfat -o loop /img.144 /a
mount: Could not find any loop device, and, according to /proc/devices,
this kernel does not know about the loop device.
(If so, then recompile or `insmod loop.o'.)

# modprobe loop
# mount -t vfat -o loop /img.144 /a
# df
Filesystem 1024-blocks Used Available Capacity Mounted on
/dev/hda6 991000 895730 44066 95% /
/dev/hda2 1023856 996400 27456 97% /nt.40
/dev/hda5 310264 292016 18248 94% /os2
/img.144 1423 1111 312 78% /a

Ja töö lõpetamisel umount!

'''4. seadme image kasutamine'''

Järgnev kehtib eeldusel, et toimetamised mahuvad ära nn 32bit sisse.

Olgu kõvakettaseadmel /dev/hdb kolm partitsiooni ning on tehtud kogu seadmest image fail

# fdisk -l -u hdb.img
...
34 heads, 61 sectors/track, 0 cylinders, total 0 sectors
Units = sectors of 1 * 512 = 512 bytes
Device Boot Start End Blocks Id System
hdb.img1 61 232287 116113+ 83 Linux
hdb.img2 232288 485315 126514 83 Linux
hdb.img3 485316 549609 32147 83 Linux

Soovides ühendada külge sellest image failist teisel partitsioonil olevat failisüsteemi, tuleb öelda

mount -o loop,offset=118931456 hda.img /yhenduspunkt

arvestades asjaolu, et 512*232288 = 118931456

Tõmmise, millel on ilma partitsioonitabelita nö otse tehtud ext3 failisüsteem, ühendamiseks /etc/fstab abil sobib kasutada nt sellist rida

/mnt/tommis.img /mnt/tommis ext3 loop 0 2

===Suured kataloogid eraldi partitsioonidel===

Niisiis oletame, et meil on kaks kõvaketast partitsioonidega:

/dev/hda1 - swap, 96 M
/dev/hda2 - root, 600 M
/dev/hda3 - /home, kasutajate kodukataloogid, 2 000 M
/dev/hdb1 - /usr kataloogi alla jäävad failid 1200 M

Selgitused:

swap on arvuti nö. mälu pikendus ja seda kasutab ta 'iseenesest' peale inistsialiseerimist rc scriptides:

# mkwap /dev/hda1
# swapon /dev/hda1

root on see partitsioon kus asub kernel /vmlinuz ja enamus juurika kataloogidest (/etc, /bin, /root, /dev)

Tavaliselt on nii, et kasutajate kodukataloogid moodustavad küllalt suure struktuuri ja süsteemi uuendamisel või ümbersättimisel on mugavam, kui see asub kas füüsiliselt erineval kettal või vähemalt eraldi partitsioonil mida on nii kergem backup'pida.

Toodud näite olukorra kohta öeldakse, et hda3 on mount'itud juurika /home kataloogiks. Seda tehakse praktiliselt nii:

1. luuakse juurikale tühi /home kataloog:
(Tõsi, tavaliselt on ta sel olemas, sel juhul tuleks tema sisu kopeerida teise nime alla: ) mkdir /home (mv /home /home_old; mkdir /home)
2. Mountime tühja failisüsteemiga partitsiooni /dev/hda3 -e /home -ks mount -t ext2 /dev/hda3 /home
3. Vajadusel liigutame vana tagasi: mv /home_old /home

Tulemuseks on see, et failid mis asuvad /home'ist allpool asuvad reaalselt teises partitsioonis kui muu juurikas.

Sarnaselt on toimitud /usr kataloogiga.

===/etc/fstab===

See on fail kus on kirjas millised kataloogid mountida külge süsteemi bootimisel; tüüpiliselt näeb see fail välja selline:

/dev/hda7 swap swap defaults 0 0
/dev/hda6 / ext2 defaults,usrquota 0 1
/dev/hda2 /nt.40 vfat defaults 0 2
/dev/hda5 /os2 vfat defaults 0 2
/dev/hda8 /hda8 ext2 defaults 0 2
/dev/fd0 /floppy ext2 noauto 0 0
/dev/fd0 /a vfat noauto 0 0
/dev/hdd /cdrom iso9660 ro,noauto 0 0
none /proc proc defaults 0 0
laura:/ /fromlaura nfs noauto,rsize=8192,wsize=8192,timeo=14,intr 0 0

Selgitused:

tulp
1: seade kus füüsiliselt mountitav asi asub
2: kataloog kuhu seade läheb
3: failisüsteem
4: nn. optionid
5: dump info
6: fsck info

optionid:

defaults on defaults
noauto tähendab, et failisüsteemi ei laeta kohe külge aga hiljem piisab anda nt vfat floppy jaoks käsk: mount /a
ro on 'read only'
usrquota näitab, et seadet kontrollib quota

eelviimane tulp:

soovitatakse panna tavaliselt 0, seda väärtust kasutab program dumpe2fs oma salapärastel eesmärkidel

viimane tulp:

root'il soovitatakse panna 1
teistel 2

need arvud näitavad check'imise järjekorda bootimisel omal moel. Kui panna 0 siis fsck ei pööra talle tähelepanu.
Muide, fstab-i failisüsteemid laadib /etc/rc.d/rc.S -i rida

# /sbin/mount -avt nonfs

====UUID kasutamine====

Plokkseadme nn /dev kataloogi failinime asemel saab kasutada ka plokkseadme UUID väärtust, nt

UUID=7cd6e9de-18d1-4d55-8d46-4d96ce8f492d /boot ext3 defaults 0 2

UUID eeliseks on, et ta on seotud nt konkreetsel füüsilisel kõvakettal asuva failisüsteemiga.

====LABEL kasutamine====

TODO

===losetup===

Programmiga losetup saab korraldada faili käsitlemise plokkseadmena. Näiteks moodustame faili

# dd if=/dev/zero of=/data/plokkseadmefail.img bs=1024x1024 count=4x1024

ning seostame ta seadmega /dev/loop0

# losetup /dev/loop0 /data/plokkseadmefail.img

Kõiki losetup abil tekitaud plokkseadmeid näeb käsuga

# losetup -a
/dev/loop0: [fe0c]:22439673 (/data/plokkseadmefail.img)

Seadet /dev/loop0 saab käsitleda seejärel nagu tavalist plokkseadet, näiteks saab sinna moodustada failisüsteemi, tekitada partitsioone, kasutada mdadm või lvm juures.

Moodustatud plokkseadme saab eemaldada öeldes

# losetup -d /dev/loop0

===kpartx utiliidi kasutamine===

Mitmeid partitsioone sisaldava tõmmisfaili kasutamiseks on abi programmist kpartx

# apt-get install kpartx

Tõmmisest partitsioonide nimekirja küsimine

# kpartx -l tommisefailinimi.img
loop1p1 : 0 19631367 /dev/loop1 63

Tõmmise partitsioonidele vastavate seadmete tekitamiseks tuleb öelda

# kpartx -a tommisefailinimi.img

Tekkinud seadmete kasutamiseks, nt külge ühendamiseks sobib öelda

# mount -o ro /dev/mapper/loop1p1 /mnt/tommis-hda1

Mäppingute kustutamine (kusjuures oluline on kasutada täpselt sama path'i mida kasutati ühendamisel)

# kpartx -d tommisefailinimi.img
loop deleted : /dev/loop0

Kui plokkseadmele on moodustad nö otse failisüsteem, st ilma partitsioonitabelit tekitamata, siis paistab selline seade nt sarnaselt

# parted /dev/system/xl-deb-7-91.arendus.kit-disk p
Model: Linux device-mapper (linear) (dm)
Disk /dev/dm-10: 2147MB
Sector size (logical/physical): 512B/512B
Partition Table: loop

Number Start End Size File system Flags
1 0.00B 2147MB 2147MB ext3

kus

* Partitsioonitabeli tüüp - loop

Sellise failisüsteemi külgeühendamiseks pole vaja kpartx programmi kasutada, piisab niisama öelda

# mount /dev/system/xl-deb-7-91.arendus.kit-disk /mnt/xl-deb-7-91

===partprobe utiliidi kasutamine===

Kui kõvaketta osa partitsioone on kasutuses, nt /dev/sda1 osaleb mdadm RAID lülituses ja on soov ilma arvutit rebootimata nt sama ketta /dev/sda2 eemaldada ja asendada suuremaga (eeldades, et /dev/sda seadmel on kasutamata ruumi), siis sobib selleks järgmine protseduur

* veenduda, et /dev/sda2 partitsioon ei ole kasutuses
* fdisk, parted vms programmi abil kustutada olemasolev /dev/sda2 ja tekitada uus
* cat /proc/partitios näitab tuuma ettekujutust ketta partitsioonitabelit

* öelda

# partprobe /dev/sda

* veenduda, et tuumal on uus ettekujutus

Analoogiline tegevus toimub lisades kasutuses ja partitsioneerimata ruumi sisaldavale kettale partitsiooni, nt lisades fdisk abil /dev/sda4

* enne

<pre>
# ls -ld /dev/sda*
brw-rw---- 1 root disk 8, 0 Aug 13 17:17 /dev/sda
brw-rw---- 1 root disk 8, 1 Aug 13 17:20 /dev/sda1
brw-rw---- 1 root disk 8, 2 Aug 13 12:29 /dev/sda2
brw-rw---- 1 root disk 8, 3 Aug 13 17:20 /dev/sda3
</pre>

* peale 'partprobe /dev/sda' ütlemist

<pre>
# ls -ld /dev/sda*
brw-rw---- 1 root disk 8, 0 Aug 13 17:17 /dev/sda
brw-rw---- 1 root disk 8, 1 Aug 13 17:20 /dev/sda1
brw-rw---- 1 root disk 8, 2 Aug 13 12:29 /dev/sda2
brw-rw---- 1 root disk 8, 3 Aug 13 17:20 /dev/sda3
brw-rw---- 1 root disk 8, 4 Aug 13 17:20 /dev/sda4
</pre>

===Krüptitud plokkseadme kasutamine===

Kõvakettal olevaid andmeid saab krüptida mitmes kihis, alates plokkseadme plokkidest (need 512B suurused tükid) kuni failisüsteemis asuvate üksikute failide krüptimiseni. Järnev käsitleb plokkseadme (nt partitsiooni või LVM voluumi) krüptimist

Paigaldage vajalik tarkvara

# apt-get install cryptsetup

Eeldusena peab olema kasutada partitsioon või LVM voluum, näiteks /dev/sda2

# cryptsetup -y create data /dev/sda2
Enter passphrase:
Verify passphrase:

Moodusteme failisüsteemi

# mke2fs -j /dev/mapper/data

Ning ühendame külge

# mount /dev/mapper/data /data

Selleks, et alglaadimisel toimuks failisüsteemi külgeühendamine automaatselt tuleb sisestada faili /etc/crypttab rida

data /dev/sda2 none cipher=aes

Ning faili /etc/fstab rida

/dev/mapper/data /data ext3 defaults 0 1

Alglaadimise käigus küsitakse parooli ja seejärel toimub krüptitud failisüsteemi kasutamine nagu tavalise failisüsteemi puhul.

===fdisk partitsioonil asuva ext3 failisüsteemi suuruse muutmine===

====ext3 failisüsteemi suurendamine====

Olgu lähtepunktiks sellise msdos partitsioonitabeliga plokkseade

# parted /dev/vdc p
Model: Virtio Block Device (virtblk)
Disk /dev/vdc: 17.2GB
Sector size (logical/physical): 512B/512B
Partition Table: msdos

Number Start End Size Type File system Flags
1 32.3kB 255MB 255MB primary
2 255MB 4557MB 4302MB primary ext3

Eesmärgiks on suurendada /dev/vdc2 failisüsteemi, selleks tuleb

* ühendada failisüsteem lahti (kusjuures suurendamine on võimalik ka külgeühendatud olekus) ning öelda

# e2fsck -f /dev/vdc2

* kustutada fdisk või parted abil olemasolev partitsioon
* moodustada fdisk või parted abil sama algusega, aga suurem partitsioon
* suurendada resize2fs programmiga failisüsteem

# resize2fs -p /dev/vdc2

* monteerida failisüsteem ning kasutada

====ext3 failisüsteemi vähendamine====

Olgu lähtepunktiks sellise msdos partitsioonitabeliga plokkseade

# parted /dev/vdc p
Model: Virtio Block Device (virtblk)
Disk /dev/vdc: 17.2GB
Sector size (logical/physical): 512B/512B
Partition Table: msdos

Number Start End Size Type File system Flags
1 32.3kB 255MB 255MB primary
2 255MB 4557MB 4302MB primary ext3

Eesmärgiks on vähendada /dev/vdc2 failisüsteemi, millest on kasutusel 500MB suurusele 1.2G, selleks tuleb

* ühendada failisüsteem lahti ning öelda

# e2fsck -f /dev/vdc2

* vähendada failisüsteem, suurus peab olema suurem kui kasutusel olev maht

# resize2fs -p /dev/vdc2 1G

* kustutada fdisk või parted abil olemasolev partitsioon
* moodustada fdisk või parted abil sama algusega, aga arvutuste lihtsustamiseks natuke suurem partitsioon kui failisüsteemi uus suurus, nt 1.2G
* suurendada resize2fs programmiga failisüsteem

# resize2fs -p /dev/vdc2

* monteerida failisüsteem ning kasutada

===LVM voluumil asuva ext3 failisüsteemi suuruse muutmine===

Plokkseadmele moodustatud ext3 failisüsteemi suurust saab muuta resize2fs utiliidi abil kusjuures praktiliselt on tarvis reeglina võimalust muuta failisüsteemi all oleva plokkseadme suurust. Ehk kõige mugavam on seda teha kui failisüsteem asub LVM voluumil.

Näiteks on võimalik selline järgnevus

* tekitame voluumi suurusega 4 GB

# lvcreate -L4G -n vol1 test

* moodustame voluumile failisüsteemi

# mke2fs -j /dev/test/vol1

Märkused

* Failisüsteemi suuruse muutmisega tegelemisel on oluline tähele panna, et failisüsteem ei pruugi kasutada kogu plokkseadet.
* Failisüsteemile vastaval LVM voluumil ei tohis olla suuruse muutmise ajal snapshotte

====ext3 failisüsteemi suurendamine====

Suurust saab muuta

* lahti ühendatud failisüsteemiga
* külge ühendatud failisüsteemiga

Esmalt suurendame algselt 4 GB voluumi 8 GB suuruseks

# lvresize -L8G /dev/test/vol1
Extending logical volume vol1 to 8.00 GB
Logical volume vol1 successfully resized

Failisüsteemi suurendamiseks lahtiühendatud olekus tuleb esmalt teha fsck ning seejärel resize2fs, nt nii

# umount /dev/test/vol1
# e2fsck -f /dev/test/vol1
# resize2fs -p /dev/test/vol1

kus -p näitab progressi ning kui viimaseks argumendiks näidata arv, nt 6G, siis see määraks tekkiva failisüsteemi suuruse.

Failisüsteemi suurendamiseks külgeühendatud olekus täitma kogu uue suurusega voluumi sobib öelda (ilma eelnevalt e2fsck tegemata)

# resize2fs -p /dev/test/vol1
resize2fs 1.41.3 (12-Oct-2008)
Filesystem at /dev/test/vol1 is mounted on /data; on-line resizing required
old desc_blocks = 3, new_desc_blocks = 4
Performing an on-line resize of /dev/test/vol1 to 14680064 (4k) blocks.
The filesystem on /dev/test/vol1 is now 14680064 blocks long.

====ext3 failisüsteemi vähendamine====

2009 aastal saab ext3 failisüsteemi vähendada (ingl. k. shrink) ainult lahtiühendatud olekus. Vähendada saab mitte väiksemaks kui failisüsteemis on ruumi kasutusel. Tavaliselt vähendatakse failisüsteemi eesmärgil vabastada kõnealuse failisüsteemi aluselt plokkseadmelt (antud juhul Volume Grupilt) ruumi muuks kasutuseks, nt vähendame 48 GB suuruse failisüsteemi, mis kasutab 2.4 GB suurusele 16GB kusjuures 13.8 G jääb failisüsteemis vabaks, tegevus võiks koosneda nt sellistest sammudest

* failisüsteem vähendatakse nõutud suurusest pisut väiksemaks, nt 10 G
* plokkseade st antud juhul LVM köide vähendatakse suurusele 16 GB
* failisüsteem suurendatakse kogu LVM köitele (st suurusele 16 GB)

Sellise tegevuse sooritamiseks tuleb failisüsteem esmalt lahti monteerida

# umount /dev/vg/data_postgresql

Seejärel rakendada failisüsteemi kontroll, mille käigus failisüsteem defragmenteeritakse, -C 0 esitab progressi

# e2fsck -C 0 -f /dev/vg/data_postgresql
e2fsck 1.41.12 (17-May-2010)
Pass 1: Checking inodes, blocks, and sizes
Pass 2: Checking directory structure
Pass 3: Checking directory connectivity
Pass 4: Checking reference counts
Pass 5: Checking group summary information
/dev/vg/data_postgresql: 1820/3145728 files (4.1% non-contiguous), 802405/12582912 blocks

Seejärel failisüsteemi suurus vähendatakse 10 GB suurusele

# resize2fs -p /dev/vg/data_postgresql 10G
resize2fs 1.41.12 (17-May-2010)
Resizing the filesystem on /dev/vg/data_postgresql to 2621440 (4k) blocks.
Begin pass 2 (max = 6)
Relocating blocks XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
Begin pass 3 (max = 384)
Scanning inode table XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
Begin pass 4 (max = 38)
Updating inode references XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
The filesystem on /dev/vg/data_postgresql is now 2621440 blocks long.

Seejärel märgitakse köide mitte-aktiivseks

# lvchange -a n /dev/vg/data_postgresql

ning vähendatakse LVM köite suurus 16 GB väärtusele (kusjuures tab ei lõpeta enam seadmenime, st tuleb omal välja kirjutada)

# lvresize -L16G /dev/vg/data_postgresql
Reducing logical volume data_postgresql to 16.00 GiB
Logical volume data_postgresql successfully resized

ja muuta LVM köide uuesti aktiivseks

# lvchange -a y /dev/vg/data_postgresql

Vähendatud LVM köite failisüsteemiga täitmiseks tuleb öelda

# resize2fs -p /dev/vg/data_postgresql
resize2fs 1.41.12 (17-May-2010)
Resizing the filesystem on /dev/vg/data_postgresql to 4194304 (4k) blocks.
Begin pass 1 (max = 48)
Extending the inode table XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
The filesystem on /dev/vg/data_postgresql is now 4194304 blocks long.

Lõpuks monteerida failisüsteem külge ja kasutada edasi

# mount /dev/vg/data_postgresql

Märkused

* failisüsteemi maksimaalselt väikesele suurusele vähendamiseks sobib öelda, st tulemusena on ta 100% täis

# umount /dev/test/vol1
# e2fsck -f /dev/test/vol1
# resize2fs -M /dev/test/vol1

===ext3 failisüsteemi all oleva LVMi all oleva plokkseadme partitsiooni suuruse muutmine===

Olgu lähtepunktiks selliste partitsioonidega plokkseade

# parted /dev/vdc p
Model: Virtio Block Device (virtblk)
Disk /dev/vdc: 17.2GB
Sector size (logical/physical): 512B/512B
Partition Table: msdos

Number Start End Size Type File system Flags
1 32.3kB 255MB 255MB primary ext3
2 255MB 4550MB 4295MB primary lvm

Kusjuures /dev/vdc2 on LVM PV millel on VG ning omakorda LV'd. Eesmärgiks on muuta teise partitsiooni suurust.

====Suurendamine====

Suurendamiseks tuleb failisüsteemi kasutamine lõpetada ning märkida kõited mitte-aktiivseks (tundub, et töötavas arvutis saab fdisk abil partitsioonid ära suurendada samuti, aga muudatuse kehtestamiseks tuleb nt rebootida)

# vgchange -a n koited

Seejärel tuleb

* PV'le vastava partitsioon fdisk abil kustutada ning moodustada sama algusega uus suurem partitsioon
* suurendada PV kusjuures nii suureneb automaatselt ka VG, LV suurused jäävad samaks

# pvresize /dev/vdc2

* teha kõited kasutatavaks

# vgchange -a y koited

* teha huvipakkuvale failisüsteemile fsck

# e2fsck -f /dev/koited/koide_2

* suurendada vajaliku kõite suurust

# lvresize -L4G /dev/koited/koide_2

* suurendada kõitel oleva failisüsteemi suurust

# resize2fs -p /dev/koited/koide_2

* asuda kasutama

====Vähendamine====

Vähendamiseks tuleb

* failisüsteemi kasutamine lõpetada ja mõne LV all olevat failisüsteemi vähendada

# e2fsck -f /dev/koited/koide_2
# resize2fs -p /dev/koited/koide_2 400M

* märkida kõited mitte-aktiivseks

# vgchange -a n koited

* vähendada LV, nt

# lvresize -L512M /dev/koited/koide_2

* suurendada failisüsteem täis-suuruseni

# vgchange -a y
# resize2fs -p /dev/koited/koide_2
# vgchange -a n

* vähendada PV

# pvresize /dev/vdc2 --setphysicalvolumesize 1536M

* PV'le vastava partitsioon fdisk abil kustutada ning moodustada sama algusega uus väiksem partitsioon
* suurendada PV partitsiooni täis-suuruseni

# pvresize /dev/vdc2

* teha kõited kasutatavaks

# vgchange -a y koited

* asuda kasutama

Märkused

* Kui seadme lõpus on PE kasutuses saab nt sellise teate

pvresize /dev/cciss/c0d0p2 --setphysicalvolumesize 60G
/dev/block/104:2: cannot resize to 15359 extents as later ones are allocated.
0 physical volume(s) resized / 1 physical volume(s) not resized

===NTFS failisüsteemi all oleva LVMi volüümi suuruse muutmine===

====Vähendamine====

Olgu kasutuses Windows 7 operatsioonisüsteemiga virtuaalne arvuti, mille mitte-süsteemsele plokkseadmele (nt D:\> ketas) vastab host arvutis LVM köide. Windows 7 poolt vaadates on sellel köitel tõenäoliselt DOS fdisk label ning üks NTFS partitsioon. LVM köite suuruse vähendamiseks tuleb

* vabastada failisüsteemis ruumi
* Windows 7 keskkonnas shinkida failisüsteemi
* failisüsteemi shrinkimise käigus vähendatakse ka partitsiooni

# fdisk -l /dev/vg_data/vga_win7_32_backup

Disk /dev/vg_data/vga_win7_32_backup: 200 GiB, 214748364800 bytes, 419430400 sectors
Units: sectors of 1 * 512 = 512 bytes
Sector size (logical/physical): 512 bytes / 512 bytes
I/O size (minimum/optimal): 512 bytes / 512 bytes
Disklabel type: dos
Disk identifier: 0x25b98324

Device Boot Start End Sectors Size Id Type
/dev/vg_data/vga_win7_32_backup1 2048 30306303 30304256 14.5G 7 HPFS/NTFS/exFAT

Seejärel tuleb Windows 7 virtuaalne arvuti sulgeda ning lvresize abil vähendada lvm voluumi, usutavalt on turvaline uus suurus valida varuga. Ja Windows keskkonnas suurendada failisüsteem (ja partitsioon) kasutama kogu plokkseadet (st LVM voluumi).

===MBR partitsioonitabeliga plokkseadme suuruse muutmine===

MBR partitsioonitabeliga plokkseadme suurendamiseks reeglina piisab

* plokkseadme kasutamine lõpetada, nt virtuaalne arvuti panna seisma
* suurendada plokkseadmele vastav ressurss, nt LVM kõide hostis
* käivitada virtuaalne arvuti
* kasutada suuremana paistvat plokkseadet edasi, nt moodustada sinna uus MBR partitsioon või suurendada olemasolevaid

====Primaarse partitsiooni lisamise teel====

Kui plokkseadmel on extended partitsioon, siis võib olla mõistlikum sda5 ja sda2 kustutamise asemel lihtsalt moodustada juurde /dev/sd3

<pre>
Device Boot Start End Sectors Size Id Type
/dev/sda1 * 2048 999423 997376 487M 83 Linux
/dev/sda2 1001470 33552383 32550914 15.5G 5 Extended
/dev/sda5 1001472 33552383 32550912 15.5G 8e Linux LVM

Command (m for help): n
Partition type
p primary (1 primary, 1 extended, 2 free)
l logical (numbered from 5)
Select (default p): p
Partition number (3,4, default 3):
First sector (999424-67108863, default 999424): 33552384
Last sector, +sectors or +size{K,M,G,T,P} (33552384-67108863, default 67108863):

Created a new partition 3 of type 'Linux' and of size 16 GiB.
</pre>

Tulemus paistab nii

<pre>
Device Boot Start End Sectors Size Id Type
/dev/sda1 * 2048 999423 997376 487M 83 Linux
/dev/sda2 1001470 33552383 32550914 15.5G 5 Extended
/dev/sda3 33552384 67108863 33556480 16G 8e Linux LVM
/dev/sda5 1001472 33552383 32550912 15.5G 8e Linux LVM
</pre>

Seejärel saab nt olemasolevat lvm'i extendida /dev/sda3 abil.

Kasulikud lisamaterjalid

* https://www.rootusers.com/how-to-increase-the-size-of-a-linux-lvm-by-expanding-the-virtual-machine-disk/

====Olemasolevate partitsioonide suurendamise teel====

Olgu lähtepunkt selline, virtuaalne arvuti, kus kasutatakse /dev/vdb plokkseadet (8388607 on partitsiooni lõpp, arvuliselt ühe võrra väiksem seadme sektorite arvust)

<pre>
# parted /dev/vdb
GNU Parted 3.2
Using /dev/vdb
Welcome to GNU Parted! Type 'help' to view a list of commands.
(parted) unit s
(parted) p
Model: Virtio Block Device (virtblk)
Disk /dev/vdb: 8388608s
Sector size (logical/physical): 512B/512B
Partition Table: msdos
Disk Flags:

Number Start End Size Type File system Flags
1 2048s 1050623s 1048576s primary
2 1050624s 8388607s 7337984s extended
5 1052672s 8388607s 7335936s logical lvm
</pre>

Eesmärgiks on suurendada logical partitsioonil asuval lvm köitel asuvat ext4 failisüsteemi. Selleks tuleb esmalt lisada virtualiseerimise keskkonna haldusliideses /dev/vdb seadmele ruumi juurde, 8388608 -> 16777216

<pre>
Model: Virtio Block Device (virtblk)
Disk /dev/vdb: 16777216s
Sector size (logical/physical): 512B/512B
Partition Table: msdos
Disk Flags:

Number Start End Size Type File system Flags
1 2048s 1050623s 1048576s primary
2 1050624s 8388607s 7337984s extended
5 1052672s 8388607s 7335936s logical lvm
</pre>

Seejärel nihutada partitsioonide 2 ja 5 lõpp edasi (nt uude seadme lõppu, 16777215 on plokkseadme viimane sektor, 'size - 1')

(parted) resizepart 2 16777215
(parted) resizepart 5 16777215

tulemuseks

<pre>
Number Start End Size Type File system Flags
1 2048s 1050623s 1048576s primary
2 1050624s 16777215s 15726592s extended
5 1052672s 16777215s 15724544s logical lvm
</pre>

Suurendada lvm pv (automaatselt suureneb lvm volume grupp)

# pvresize /dev/vdb5

Suurendada lvm köide (-l +100%FREE tähendab, et suurendamiseks kasutatakse ära kõik vastava volume group'i vaba ressurss)

# lvextend -l +100%FREE /dev/data/www

või nt (ei ole eelmisega samaväärne üldiselt)

# lvextend -L+50G /dev/data/www

Suurendada failisüsteem

# resize2fs -p /dev/data/www

Kasulikud lisamaterjalid

* http://yy27.blogspot.com.ee/2009/02/resizing-extended-partitions-with-gnu.html

===XFS failisüsteemi kasutamine===

XFS http://oss.sgi.com/projects/xfs/ on kaasaegne failisüsteem, kasutamiseks tuleb paigaldada xfs utiliidid öeldes
# emerge xfsprogs

====XFS failisüsteemi moodustamine====

Failisüsteemi moodustamiseks seadmele /dev/xvda2 sobib öelda

# mkfs.xfs /dev/xvda2
meta-data=/dev/xvda2 isize=256 agcount=4, agsize=786432 blks
= sectsz=512 attr=2
data = bsize=4096 blocks=3145728, imaxpct=25
= sunit=0 swidth=0 blks
naming =version 2 bsize=4096
log =internal log bsize=4096 blocks=2560, version=2
= sectsz=512 sunit=0 blks, lazy-count=0
realtime =none extsz=4096 blocks=0, rtextents=0

XFS failisüsteemi kasutamisega on seotud sellised nn tuuma lõimed

# ps aux | grep xfs
root 4334 0.0 0.0 0 0 ? S< 23:40 0:00 [xfslogd/0]
root 4336 0.0 0.0 0 0 ? S< 23:40 0:00 [xfslogd/1]
root 4337 0.0 0.0 0 0 ? S< 23:40 0:00 [xfsdatad/0]
root 4338 0.0 0.0 0 0 ? S< 23:40 0:00 [xfsdatad/1]
root 4339 0.0 0.0 0 0 ? S< 23:40 0:00 [xfs_mru_cache]
root 4382 0.0 0.0 0 0 ? S< 23:44 0:00 [xfsbufd]
root 4384 0.0 0.0 0 0 ? S< 23:44 0:00 [xfsaild]
root 4385 0.0 0.0 0 0 ? S< 23:44 0:00 [xfssyncd]

64 bit keskkonnas võib xfs kasutamisel tekkida sarnaseid probleeme, mida kirjeldab vestluslõim aadressil http://oss.sgi.com/archives/xfs/2005-06/msg00347.html.

Failisüsteemi automaatseks külgeühendamiseks sobib /etc/fstab failis kasutada nt rida

/dev/xvda2 /srv/data xfs noatime,nodiratime,inode64,logbufs=8 1 2

kus

* noatime - failide access time aega ei kasutata
* nodiratime - kataloogide access time aega ei kasutata
* inode64 - failisüsteemi inode numbrid võivad olla suuremad kui 32 bit
* logbufs=8

Olemasoleva xfs failisüsteemi omaduste esitamiseks sobib öelda (ei ole kooskõlas ülaltoodud mkfs.xfs andmetega)

xfs_info /dev/data/xfs
meta-data=/dev/mapper/data-xfs isize=256 agcount=4, agsize=268435455 blks
= sectsz=512 attr=2
data = bsize=4096 blocks=1073741820, imaxpct=5
= sunit=0 swidth=0 blks
naming =version 2 bsize=4096 ascii-ci=0
log =internal bsize=4096 blocks=32768, version=2
= sectsz=512 sunit=0 blks, lazy-count=0
realtime =none extsz=4096 blocks=0, rtextents=0

XFS failisüsteemis asuvate kõikide kasutajate quota tabeli saamiseks tuleb anda käsk

# xfs_quota -x -c "report -nu"

XFSi probleemidest: Failid on asendunud 0 baidistega.

*https://github.com/odoucet/xfsrepair
*http://centos.distrosfaqs.org/centos/xfs-zero-length-file-problem/
*http://jackal.livejournal.com/2162387.html
*http://toruonu.blogspot.com/2012/12/xfs-vs-ext4.html

====LVMi peale tehtud XFS failisüsteemi suurendamine====

XFS failisüsteem peab olema suurendamisel külge monteeritud olekus. XFS failisüteemi suurendamiseks tuleb esmalt failisüteemi all olevat plokkseadet suurendada, nt LVM köite puhul öelda

# lvresize -L40G /dev/system/xfs
Extending logical volume xfs to 40.00 GiB
Logical volume xfs successfully resized

ning seejärel öelda

# xfs_growfs /dev/system/xfs
meta-data=/dev/mapper/system-xfs isize=256 agcount=6, agsize=1310720 blks
= sectsz=512 attr=2
data = bsize=4096 blocks=7864320, imaxpct=25
= sunit=0 swidth=0 blks
naming =version 2 bsize=4096 ascii-ci=0
log =internal bsize=4096 blocks=2560, version=2
= sectsz=512 sunit=0 blks, lazy-count=1
realtime =none extsz=4096 blocks=0, rtextents=0
data blocks changed from 7864320 to 10485760

====XFS failisüteemi vähendamine====

XFS failisüsteemi ei saa otseselt vähendada,
http://xfs.org/index.php/XFS_FAQ#Q%3A_Is_there_a_way_to_make_a_XFS_filesystem_larger_or_smaller.3F, kaudselt on võimalik tekitada uus sobiva suurusega failisüstee ning kopeerida andmed sinna ümber ning kustutada algselt kasutuses olnud failisüsteem.

===Reiser failisüsteemi kasutamine===

Failisüsteemi plokkseadmele moodustamiseks tuleb süsteemipaigaldada reiserfsprogs pakett

# apt-get install reiserfsprogs

ja öelda näiteks

# mkreiserfs /dev/cciss/c0d0p2

/etc/fstab failis tuleb vastavalt kasutada rida

/dev/cciss/c0d0p2 /srv reiserfs rw 0 0

===Mount bind===

nn mount bind võimaldab sama kataloogi sisu teha nähtavaks failisüsteemis mitmes kohas

# mount --bind /tmp/src /tmp/dst

/etc/fstab failis sobib kasutada rida

/tmp/src /tmp/dst none defaults,bind 0 0

===AUFS===

AUFS (Another Union File System) võimaldab koondada erinevate kataloogide sisu nähtavale ühe kataloogi alla. AUFS kasutamiseks tuleb paigaldada tuuma moodul ja utiliidid

# apt-get install aufs-modules-2.6-amd64 aufs-tools

Kasutamine toimub nt selliselt

# mount -t aufs -o dirs=/tmp/src/essa:/tmp/src/tessa none /tmp/dst

===OpenBSD failisüsteemi kasutamine Linuxist===

Esmalt vaadata, millese loogilise nime all vastav OpenBSD partitsioon esineb

# cat /proc/partitions

ja siis külge monteerida, nt

# mount -t ufs -o ro,ufstype=44bsd /dev/hda5 /tmp/hda5

===USB pulk ja FAT 32 failisüsteem===

# apt-get install dosfstools
# fdisk ... valida partitsiooni tüüp 'b'
# mkdosfs -F 32 -I /dev/sdc1

===df programmi kasutamine===

df abil saab küsida nimekirja süsteemile teada olevatest failisüsteemidest, nö füüsilistest kui muudest, nt Debian v. 7 Wheezy puhul esitatakse vaikimisi selline väljund

# df -h -T -a
Filesystem Type Size Used Avail Use% Mounted on
rootfs rootfs 12G 3.3G 8.1G 29% /
sysfs sysfs 0 0 0 - /sys
proc proc 0 0 0 - /proc
udev devtmpfs 10M 0 10M 0% /dev
devpts devpts 0 0 0 - /dev/pts
tmpfs tmpfs 195M 312K 195M 1% /run
/dev/mapper/system-root ext3 12G 3.3G 8.1G 29% /
tmpfs tmpfs 5.0M 0 5.0M 0% /run/lock
tmpfs tmpfs 390M 0 390M 0% /run/shm
/dev/sda2 ext3 504M 168M 311M 35% /boot
nfsd nfsd 0 0 0 - /proc/fs/nfsd

kus

* -a - esitada info kõigi failisüsteemide kohta
* -h - esitada suurused GB, MB vms ühikutes
* -T - esitada lisaks failisüsteemi tüüp

Lisaks saab küsida andmeid nt teatud tüüpi failisüsteemide kohta, nt ainult devpts

# df -h -T -a -t devpts
Filesystem Type Size Used Avail Use% Mounted on
devpts devpts 0 0 0 - /dev/pts

===Ketaste trimmimine===

Tegemist tehnikaga mis mõeldud storage "thin provisioning" ja ssd ketaste jaoks ning tähendab seda, et kustutatud andmed eemaldatakse koheselt. Nt storagest loodud ning iSCSI vms tehnikaga jagatud kettal tähendab Thin Provisioning enabled, et antakse küll välja nt 20 TB-suurune kettaviilakas, aga "allocation" (ehk kasutatud) on vaid reaalselt seal peal olevate andmete maht ehk vaid paar terabaiti. Tavalisel moel jagatud kettal on kogu jagatud maht reserveeritud ning seda enam välja jagada ei saa. Samuti on võimalik määrata tase, kus maal "häiret antakse". Samas on vaja storagele anda teada, et mingid andmed on määratud kustutamisele (tavaliselt failisüsteem seda ei tee) ning siin tulebki mängu discard.

Ketta mountimisel tuleb mount käsule anda võti '''discard''' või siis aeg-ajalt '''fstrim''' käsk käima panna. Kui discard võti on mountimisel antud teatab süsteem kustutamisel automaatselt
allolevale kettale, et info vaja eemaldada. Fstrim käsk on selleks, et tagasiulatuvalt kustutada ka see info, mis sai kustutatud enne mount võtme muutmist ehk discard lisamist.

===scsi rescan===

scsi rescan'ist on abi, kui on vaja töötava arvuti LVM ressurssi suurendada. Teatud tingimustel saab arvutile operatsiooni töötamise ajal lisada plokkseadmeid, nt ESXi virtuaalsele arvutile Hard Disk tüüpi seadme. Selleks, et operatsioonisüsteem saaks lisatud seadet asuda kasutama tuleb öelda nt

# echo "- - -" > /sys/class/scsi_host/host#/scan

kusjuures # voimalikud väärtused näeb ära vastava kataloogis sisust, tundub, et vale numbri kasutamine midagi halba ei tee, maksab alustada suuremast

..
# echo "- - -" > /sys/class/scsi_host/host2/scan
# echo "- - -" > /sys/class/scsi_host/host1/scan
...

scan nimeline fail kusjuures failisüsteemis ei eksisteeri, aga see ei sega seda echo käsku kasutamisel ja tulemuse saavutamisel. Tulemus paistab nt sedasi

[23416.047799] scsi 2:0:1:0: Direct-Access VMware Virtual disk 1.0 PQ: 0 ANSI: 2
[23416.047811] scsi target2:0:1: Beginning Domain Validation
[23416.048832] scsi target2:0:1: Domain Validation skipping write tests
[23416.048836] scsi target2:0:1: Ending Domain Validation
[23416.048916] scsi target2:0:1: FAST-40 WIDE SCSI 80.0 MB/s ST (25 ns, offset 127)
[23416.050526] sd 2:0:1:0: [sdc] 167772160 512-byte logical blocks: (85.8 GB/80.0 GiB)
[23416.050566] sd 2:0:1:0: [sdc] Write Protect is off
[23416.050570] sd 2:0:1:0: [sdc] Mode Sense: 61 00 00 00
[23416.050623] sd 2:0:1:0: [sdc] Cache data unavailable
[23416.050626] sd 2:0:1:0: [sdc] Assuming drive cache: write through
[23416.050985] sd 2:0:1:0: [sdc] Cache data unavailable
[23416.050988] sd 2:0:1:0: [sdc] Assuming drive cache: write through
[23416.051241] sd 2:0:1:0: Attached scsi generic sg3 type 0
[23416.074279] sdc: unknown partition table
[23416.074536] sd 2:0:1:0: [sdc] Cache data unavailable
[23416.074540] sd 2:0:1:0: [sdc] Assuming drive cache: write through
[23416.074637] sd 2:0:1:0: [sdc] Attached SCSI disk

Seejärel tuleb tekitada LVM PV

# pvcreate /dev/sdc

ja LVM VG suurendada

# vgextend pgdata /dev/sdc

Ning tulemusena on kasutada suurenenud ruumiga pgdata LVM volume grupp.

===device rescan===

Olemasoleva plokkseadme suuruse muudatuse operatsioonisüsteemile õpetamiseks sobib öelda

# echo 1>/sys/class/block/sdd/device/rescan

===scsi seadme eemaldamine===

scsi seadme kasutamine esmalt lõpetada failisüsteemi, lvm, mdadm jne poolt ning lõpus öelda

# echo 1 > /sys/block/sdb/device/delete

Seejärel võib hotswap ketta arvutist eemaldada, virtuaalse ketta arvutist eemalda vms.

===btrfs failisüsteemi kasutamine===

2015 aasta suvel on nö hästi varustatud Linux distributsioonides olemas btrfs tugi, kerneli osa niigi, haldusutiliiditeda paigaldamiseks tuleb paigaldada nt APT paketihaldusega keskkonnas sarnane pakett

# apt-get install btrfs-tools

tulemusena tekib failisüsteemi

* /sbin/btfrs - TODO
* TODO

Plokkseadmele /dev/vdb failisüsteemi tekitamiseks sobib öelda

# mkfs.btrfs /dev/vdb
Btrfs v3.17
See http://btrfs.wiki.kernel.org for more information.

Turning ON incompat feature 'extref': increased hardlink limit per file to 65536
fs created label (null) on /dev/vdb
nodesize 16384 leafsize 16384 sectorsize 4096 size 8.00GiB

Failisüsteemi monteerimiseks koos pakkimisega

# mount -o compression=lzo /dev/vdb /mnt/vdb

või fstab failis rida (kusjuures mount | grep btrfs näitab sama väljundit sõltumata kas compress on või pole sees)

/dev/sdb /mnt/sdb btrfs defaults,compress=lzo 0 1

Tundub, et tavaliste sync, df jt utiliitide asemel on sobivam teha

# btrfs filesystem sync /mnt/sdb
FSSync '/mnt/sdb'

# btrfs filesystem df /mnt/sdb
Data, single: total=45.01GiB, used=44.91GiB
System, DUP: total=8.00MiB, used=16.00KiB
System, single: total=4.00MiB, used=0.00B
Metadata, DUP: total=1.00GiB, used=169.09MiB
Metadata, single: total=8.00MiB, used=0.00B
GlobalReserve, single: total=64.00MiB, used=0.00B

kus

* Data, single - used väljendab, palju on kasutuses reaalselt

# btrfs filesystem show
Label: none uuid: 26ef34be-1c0c-4578-88a1-bc0810b0ebd9
Total devices 1 FS bytes used 45.07GiB
devid 1 size 596.17GiB used 47.04GiB path /dev/sdb

Btrfs v3.17

Kasulikud lisamaterjalid

* https://wiki.debian.org/Btrfs

===Märkused===

* Monteeritud failisüsteemi ühenduspunktil on monteeritud failisüsteemi juurika kasutaja:grupp.

===Kasulikud lisamaterjalid===

* http://en.wikipedia.org/wiki/XFS

Eesti ID-kaardi kasutamine Debianiga

2019-04-21T20:36:09Z

Imre: /* Eesti ID kaardi kasutamine - Ubuntu 18.04 */

===Sissejuhatus===

Eesti ID-kaart on nn protsessorkaart, mis võimaldab autentimist ja allkirjastamist. ID-kaardi kasutamiseks on vajalikud

* kehtiv Eesti ID-kaart
* kasutada oleva arvuti ja operatsioonisüsteemiga sobiv kaardilugeja
* internetiühendus
* ID-kaardi võimaluste kasutamiseks sobiv kliendipoolne tarkvara
* ID-kaardi võimaluste kasutamiseks sobiv teenus internetis

Eesti ID-kaardi töö põhineb avaliku võtme (ingl. k. public key) krüptograafia kasutamisel. Avaliku võtme infrastruktuuris (ingl. k. PKI - public key infrastructure) esitatakse kasutaja avalik võti koos kasutaja kohta käivate muude andmetega, nt kasutaja nimi ja eposti aadress selle konkreetse infrastruktuuri mõne ülemise sajalase võtmega signeeritud kujul ja seda tulemust nimetatakse kasutaja sertifikaadiks. Lisaks on sertifikaadis kirjas andmed selle sertifikaadi väljastaja kohta ja sertifikaadi kehtivuse aeg.

Eesti ID-kaartidega seotud avaliku võtme infrastruktuuri haldab sh väljastab ID-kaarte Sertifitseerimiskeskus http://www.sk.ee/ kusjuures ID-kaardil on kaks paari võtmeid, öeldakse ka, et kaks sertifikaati

* isikutuvastuse ehk autentimise sertifikaat
* allkirjastamise sertifikaat

Kahe erineva sertifikaadi kasutuselevõtmise põhjuseks on asjaolu, et sertifikaatidel on nö oluliselt erinev kaal

* isikutuvastuse sertfikaadiga kasutaja autendib ennast teenusele (st praktiliselt logib ennast sisse portaali internetis, siseneb kooduksega kaitstud ruumi füüsilises maailmas)
* allkirjastamise sertifikaati kasutatakse reeglina ainult digitaalallkirja andmiseks ja Eesti Vabariigis on digitaalallkirjastatud dokument võrdsustatud omakäeliselt allkirjatatud dokumendiga; reeglina pangaülekannete sooritamisel toimub sisemiselt samuti digitaalallkirjastamise protseduur

Oletame, et kui oleks kasutuses ainult üks sertifikaat ja nt kasutaja siseneb koodukse kaudu ruumi, siis võiks konstrueerida skeemi, kus ta pahaaimamatult allkirjastab mõne dokumendi, mida ta muul juhul ei oleks nõus allkirjastama. Kahe sertifikaadi kasutamisel on võimalik erinevaid rolle lahus hoida.

Kuigi eelmises lõigus kasutati väljendeid 'isikutuvastuse sertifikaadiga kasutaja identifitseerib' ja 'allkirjastamise sertifikaati kasutatakse reeglina digitaalallkirja andmiseks' tuleb seda seda mõista nii, et sisuliselt neid protseduure sooritades kasutaja kasutab vastava sertifikaadi salajast võtit. ID-kaardil asuvate salajaste võtmete kasutamine on turvakaalutlustel piiratud täiendava parooliga, nn PIN koodiga, kummalgi salajasel võtmel on oma PIN kood ja võtme kasutamise eel küsib ID-kaardi tarkvara kasutajalt seda koodi.

ID-kaardiga autentimine on dual-factor ehk two-factor autentimine http://en.wikipedia.org/wiki/Two-factor_authentication kuna see sisaldab kahte kontrolli

* midagi mida saab omada - ID-kaardi kui füüsilise eseme olemasolu kontroll
* midagi mida saab teada - salajase võtme teadmise kontroll

Võrreldes parooliga on ID-kaardi kasutamise üheks erinevuseks, et seda saab kasutada korraga ainult üks kasutaja nö ühest kasutuspunktist.

===Eesti ID-kaardi sertifikaatide LDAP kataloogiteenus===

Kuna avaliku võtme infrastruktuuri üheks koostisosaks on, et kõigi kasutajate avalikud võtmed st sertifikaadid on kõigile avalikult kättesaadavad, siis SK on teinud kasutajate sertifikaadid internetis kättesaadavaks LDAP kataloogiteenuse abil aadressil ldap.sk.ee. Kasutaja sertifikaate (mis sisaldavad avalikke võtmeid) saab teades tema isikukoodi kopeerida öeldes nt

$ ldapsearch -LLL -H ldap://ldap.sk.ee -x -b "c=EE" "(serialNumber=37003212713)"
dn: cn=OOLBERG\2CIMRE\2C37003212713,ou=Authentication,o=ESTEID,c=EE
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
cn: OOLBERG,IMRE,37003212713
serialNumber: 37003212713
userCertificate;binary:: MIIEGjCCAwKgAwIBAgIESIQxaDANBgkqhkiG9w0BAQUFADBbMQswC
QYDVQQGEwJFRTEiMCAGA1UEChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMGRV
...
z5vZN4059dNaqZqVg5rlVrLS5/T+sK8PHxYcO+SKDZYobddJIv6i2XlpVAQLgkChEiXI2Bd3AMfpw
fVbAjDsHXasblBtut7k1MItT3YLaNZ/xq9BY/B7afXqg==

dn: cn=OOLBERG\2CIMRE\2C37003212713,ou=Digital Signature,o=ESTEID,c=EE
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
cn: OOLBERG,IMRE,37003212713
serialNumber: 37003212713
userCertificate;binary:: MIID2jCCAsKgAwIBAgIESIQxaTANBgkqhkiG9w0BAQUFADBbMQswC
QYDVQQGEwJFRTEiMCAGA1UEChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMGRV
..

Konkreetse sertifikaadi dn elemendi kopeerimiseks sobib öelda nt

$ ldapsearch -LLL -H ldap://ldap.sk.ee -x -b ou=authentication,o=ESTEID,c=EE "(serialNumber=37003212713)" dn
dn: cn=OOLBERG\2CIMRE\2C37003212713,ou=Authentication,o=ESTEID,c=EE

===Kaardilugeja ühendamine operatsioonisüsteemiga===

Märkus: 2010 kevade seisuga peaks töötama täitsa hästi Linuxi ja Windowsiga nt kaks sellist mudelit, mida on ka kauplustes suhteliselt hästi saada

* Omnikey Cardman 1021 - USB (lauaarvutile, sülearvutile)
* Omnikey Cardman 4321 - ExpressCard http://en.wikipedia.org/wiki/ExpressCard (sülearvutile)

Ehk kõige parem kui kaardilugeja ühendub arvutiga USB abil, nt sobib mudel SRC-331. Debian Etch ja Lenny sisaldavad paketihalduses ID-kaardi kasutamiseks sobivat tarkvara, mille koduleht asub aadressil http://ideelabor.ee/ ja mille kasutamist käesolev tekst kirjeldab.

USB kaudu ühendatud ID-kaardilugeja kasutamise eelduseks on, et operatsioonisüsteem toetab USB seadmete kasutamist, sellest annab tunnistust peale kaardilugeja ühendamist lsusb sarnane väljund, kus on muu seas näha SCR331 seadmele vastav rida

# lsusb
Bus 004 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub
Bus 003 Device 002: ID 0483:2016 SGS Thomson Microelectronics Fingerprint Reader
Bus 003 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub
Bus 002 Device 006: ID 04e6:e001 SCM Microsystems, Inc. SCR331 SmartCard Reader
Bus 002 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub
Bus 001 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub

ID-kaardiga suhtlemiseks vajaliku tarkvara paigaldamiseks tuleb öelda

# apt-get install opensc pcscd libccid

Seejärel tuleb redigeerida kahte faili

* Näitena jagatavas /etc/opensc/opensc.conf failis tuleb teha kolm muudatust

# zcat /usr/share/doc/libopensc2/examples/opensc.conf.gz > /etc/opensc/opensc.conf

Leidke failist üles need parameetrid ning muutke nende väärtused sellisteks

try_emulation_first = yes;
lock_login = false;
reader_drivers = pcsc, ctapi;

* Failis /usr/lib/pcsc/drivers/ifd-ccid.bundle/Contents/Info.plist peavad sisalduma sellised read (tundub, et see on teatud SRC331 mudelite või eksemplaride spetsiifiline asi), leidke ja muutke olemasolevaid

<key>ifdDriverOptions</key>
<string>0x0004</string>

Seejärel seisake ja käivitage pcscd deemon

# /etc/init.d/pcscd restart

Kontrollimaks, et tarkvara sai korrektselt paigaldatud küsime süsteemi ühendatud kaardilugejate nimekirja

# opensc-tool -l
Readers known about:
Nr. Driver Name
0 pcsc SCM SCR 331 00 00

Ning küsime ID-kaardile kantud sertifikaatide nimekirja

# pkcs15-tool -c
X.509 Certificate [Isikutuvastus]
Flags : 0
Authority: no
Path : 3f00eeeeaace
ID : 01

X.509 Certificate [Allkirjastamine]
Flags : 0
Authority: no
Path : 3f00eeeeddce
ID : 02

===pkcs11-tool utiliidi kasutamine===

PKCS#11 is a software API for accessing cryptographic hardware like smart cards or HSM. pkcs11-tool realiseerib PKCS11 (Public Key Cryptography Standards) standardit ja võimaldab suhelda krüptoseadmega üle Cryptoki (Cryptographic Token Interface) API. Slottide nimekirja esitamiseks sobib öelda

<pre>
# pkcs11-tool -L
Available slots:
Slot 0 (0x0): Alcor Micro AU9540 00 00
(empty)
Slot 1 (0x4): Gemalto PC Twin Reader (A76A2DE4) 01 00
token label : PIN1 (OOLBERG,IMRE,37003212713)
token manufacturer : AS Sertifitseerimiskeskus
token model : PKCS#15 emulated
token flags : login required, rng, token initialized, PIN initialized
hardware version : 0.0
firmware version : 0.0
serial num : AA9909781
pin min/max : 4/12
Slot 2 (0x5): Gemalto PC Twin Reader (A76A2DE4) 01 00
token label : PIN2 (OOLBERG,IMRE,37003212713)
token manufacturer : AS Sertifitseerimiskeskus
token model : PKCS#15 emulated
token flags : login required, rng, token initialized, PIN initialized
hardware version : 0.0
firmware version : 0.0
serial num : AA9909781
pin min/max : 5/12
</pre>

Slot sisu esitamiseks, nb! slot numbri väärtus tuleb võtta sulgudest, küsitakse pin1 väärtust

<pre>
# pkcs11-tool --slot 4 -O -l
Logging in to "PIN1 (OOLBERG,IMRE,37003212713)".
Please enter User PIN:

Private Key Object; EC
label: Isikutuvastus
ID: 01
Usage: sign, derive
Certificate Object; type = X.509 cert
label: Isikutuvastus
ID: 01
Public Key Object; EC EC_POINT 384 bits
EC_POINT: 0461046231c67...
EC_PARAMS: 06052b81040023
label: Isikutuvastus
ID: 01
Usage: encrypt, verify
</pre>

kus

* ühes slotis on paistab olevat kolm objekti, private key, sertifikaat ja public key

Kasulikud lisamaterjalid

* https://en.wikipedia.org/wiki/PKCS
* https://github.com/OpenSC/OpenSC/wiki/Frequently-Asked-Questions

===pkcs15-tool utiliidi kasutamine===

PKCS#15 is a format of on-card structures that defines a “filesystem layout” for smart cards. pkcs15-tool abil saab kopeerida ID-kaardilt sertifikaate, sedasi

# pkcs15-tool -r 01
-----BEGIN CERTIFICATE-----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==
-----END CERTIFICATE-----

Selle sertifikaadi sisu arusaadavamale kujule viimiseks tuleb öelda

# pkcs15-tool -r 01 > imreoolberg-autentimise-sertifikaat.pub
# openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -text
Certificate:
Data:
Version: 3 (0x2)
Serial Number: 1216622952 (0x48843168)
Signature Algorithm: sha1WithRSAEncryption
Issuer: C=EE, O=AS Sertifitseerimiskeskus, OU=ESTEID, CN=ESTEID-SK 2007
Validity
Not Before: Jul 21 06:49:12 2008 GMT
Not After : Sep 11 21:00:00 2012 GMT
Subject: C=EE, O=ESTEID, OU=authentication, CN=OOLBERG,IMRE,37003212713, SN=OOLBERG, GN=IMRE/serialNumber=37003212713
Subject Public Key Info:
Public Key Algorithm: rsaEncryption
RSA Public Key: (1024 bit)
Modulus (1024 bit):
..

Sertifikaadist saab küsida ka üksikuid elemente, nt Subject'i, mis näitab kellele on sertifikaat väljastatud

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -subject
subject= /C=EE/O=ESTEID/OU=authentication/CN=OOLBERG,IMRE,37003212713/SN=OOLBERG/GN=IMRE/serialNumber=37003212713

või Issuer'i, mis näitab, kes sertifikaadi väljastas

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -issuer
issuer= /C=EE/O=AS Sertifitseerimiskeskus/OU=ESTEID/CN=ESTEID-SK 2007

või ajavahemiku, mil sertifikaat kehtib

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -dates
notBefore=Jul 21 06:49:12 2008 GMT
notAfter=Sep 11 21:00:00 2012 GMT

Lisaks sertifikaatidele ja võtmetele sisaldab veel andmeid id kaardi nö elektroolilises osas, nt dokumendi number. Seda ja muid andmeid saab küsides nn dump'i

# pkcs15-tool -D -r 01
Using reader with a card: SCM SCR 331 [CCID Interface] (504005BE) 00 00
..
PKCS#15 Card [IMRE OOLBERG]:
Version : 2
Serial number : A0055799
Manufacturer ID: AS Sertifitseerimiskeskus
Flags : Read-only, PRN generation, EID compliant
...

Kui arvutis on kasutusel mitu ID kaarti, siis saab kontrollida millisega tegeledakse parameetri abil

--reader N

===Iceweasel brauseri kasutamine===

Iceweasel brauseri abil on iseenesest võimalik kahe tegevuse sooritamine

* autentimine - kasutaja kinnitab teenusele, nt veebiportaalile, et tema kasutuses on tema autentimise sertifikaadis sisalduvale avalikule võtmele vastav salajane võti
* digitaalne allkirjastamine - kastutaja kinnitab teenusele, nt pangaülekande sooritamisel, et tema kasutuses on tema allkirjastamise sertifikaadis sisalduvale avalikule võtmele vastav salajane võti

Kuivõrd teenuse jaoks on praktiliselt oluline, et kasutaja kinnitaks sertifikaadile vastava salajase võtme olemasolu PIN koodi sisestamise teel, siis siit järeldub, et tuleb hoolega hoida ID-kaarti ning ID-kaardi PIN koode enda teada.

Brauseri tööleseadmine autentimiseks on lihtsam ning allkirjastamiseks keerulisem. Tundub, et praktiliselt on 2009 klienditarkvara ja nende teenuste tarkvara, mida saab Iceweaseliga kasutada seis selline, et Iceweasel brauser iseseisvalt ei tegele andmete allkirjastamisega; allkirjastamine toimub nt Java appleti abil, kusjuures applet küsib kasutajalt allkirjastamiseks vajalikku PIN2 koodi. Seda arvestades on soovitav kasutada turvaseadme kirjeldamisel spetsiaalselt ettevalmistatud teeki onepin-opensc-pkcs11.so, mis efektiivselt varjab brauseri eest ära teise sertifikaadi, kui seda mitte teha, siis praktililiselt hakkab brauser kasutajalt küsima ise vaheldumisi mõlema sertifikaadi PIN koodi ja see oleks üsna eksitav.

Brauseri ID-kaardiga kasutamise ettevalmistamiseks tuleb avada

Edit -> Preferences -> Advanced -> Encryption -> Security Devices -> Load

ning kirjeldada Eesti ID-kaardile vastav turvaseade (ingl. k. security device)

Module Name: esteid
Module filename: /usr/lib/onepin-opensc-pkcs11.so

Sõltuvalt sellest, kas soovitakse, et peale PIN1 sisestamist küsiks brauser kasutajalt igal ID-kaardiga autentimise korral kinnitust või mitte tuleb valida

* Select one automatically
* Ask me every time

[[Pilt:Id-auth-cc.gif]]

====Iceweasel brauseri kasutamine autentimiseks====

Auntentimiseks piisab turvaseadme ettevalmistamisest ning seejärel saab näiteks logida sisse riigiportaali, küsitakse PIN1 koodi

[[Pilt:Id-auth-java-pin1.gif]]

====Iceweasel brauseri kasutamine allkirjastamiseks====

Nt SEB pangas makset sooritades toimub digitaal-allkirjastamise protseduur; ja https://digidoc.sk.ee/ või riigiportaali eesti.ee kasutamisel saab moodustada uut digitaalselt allkirjastatud dokumenti või kontrollida olemasoleval digitaalselt allkirjastatud dokumendil allkirja kehtivust. Osa kasutajaid suhtub veebiliidese kaudu dokumentide allkirjastamisse äärmiselt kahtlustavalt, kuna kui juba lokaalse rakendusega digitaalallkirja andmisel ei saa olla täiesti kindel, millele ikkagi allkiri antakse, siis veebirakenduse puhul on see veel eriti nii.

Iceweasel brauseriga allkirjastamiseks peab olema paigaldatud Mozilla Sun Java plugini tarkvara pakett (millega koos paigaldatakse vajadusel ka JVM, kusjuures on oluline kasutada justnimelt Sun Java mitte IBM või GCJ implementatsioone)

# apt-get install sun-java5-plugin

Ning lisaks kopeerida teek

# mkdir /tmp/teek && cd /tmp/teek
# wget http://ideelabor.ee/downloads/pkcs11wrapper-linux.tar.gz
# tar zxf pkcs11wrapper-linux.tar.gz
# find . -type f -ls
442489 104 -rwxr-xr-x 1 501 501 99004 Apr 23 2004 ./libpkcs11wrapper.so

Seejärel tuleb otsida üles arvutist JVM kataloog

# find /usr -type f -name java -ls
173534 68 -rwxr-xr-x 1 root root 65116 May 28 2008 /usr/lib/jvm/java-1.5.0-sun-1.5.0.16/jre/bin/java

mis tähendab, et

JAVA_HOME=/usr/lib/jvm/java-1.5.0-sun-1.5.0.16

Lõpuks tuleb kopeerida lahtipakitud teek kataloogi ${JAVA_HOME}/jre/lib/i386

# cp libpkcs11wrapper.so /usr/lib/jvm/java-1.5.0-sun-1.5.0.16/jre/lib/i386

Lisaks peavad olema lingid, esimene on vajalik digidoc portaali kasutamiseks ja teine SEB pangas

# ln -s /usr/lib/opensc-pkcs11.so /usr/lib/libopensc-pkcs11.so
# ln -s /usr/lib/opensc-pkcs11.so /usr/lib/libesteid-pkcs11.so

NB! Java tarkvara uuendamisel mõnel juhul muutub ka versiooni number nii, et muutub java asukoht failisüsteemis, nt

/usr/lib/jvm/java-1.5.0-sun-1.5.0.16 -> /usr/lib/jvm/java-1.5.0-sun-1.5.0.17

Sel juhul tuleb libpkcs11wrapper.so kopeerida samasse alamkataloogi kuhu ennegi uue java kataloogi sisse.

Kui süsteemi on paigaldatud lisaks mõni uuem java versioon, nt paketist sun-java6-*, siis tuleb kõnealune wrapper kopeerida kõige uuema Java vastavasse kataloogi, nt

# cp libpkcs11wrapper.so /usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/i386/

=====Allkirjastamine SEB pangas=====

Peale panga keskkonda sisselogimist (kas otseselt või läbi mõne muu teenusepakkuja, nt www.if.ee, www.energia.ee jt) ning maksekorralduse ettevalmistamist esitatakse allkirja andmise juurde esmakordsel minemisel küsimus rakenduse usaldusväärsuse kohta

[[Pilt:Id-allkiri-java-pin4.gif]]

ja seejärel tuleb ära oodata pisut eksitav tühi aken, kus tuleb valida Cancel

[[Pilt:Id-allkiri-java-pin3.gif]]

ning seejärel valides Allkirjasta öeldakse, et loetakse andmeid kiipkaardilt ning küsitakse PIN2 koodi

[[Pilt:Id-allkiri-java-pin2.gif]]

Allkirjastamise ajal töötab java rakendus sun.plugin2.main.client.PluginMain

$ ps aux | grep java
mart 6859 10.1 4.7 242668 48832 ? Sl 10:55 0:04 /usr/lib/jvm/java-6-sun-1.6.0.12/jre/bin/java -D__jvm_launched=5951554477 \
-Xbootclasspath/a:/usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/deploy.jar:/usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/javaws.jar:\
/usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/plugin.jar -Djava.class.path=/usr/lib/jvm/java-6-sun-1.6.0.12/jre/classes \
sun.plugin2.main.client.PluginMain write_pipe_name=/tmp/.com.sun.deploy.net.socket.5659.2862701817965363267.AF_UNIX

=====Allkirjastamine Sertifitseerimiskeskuse digidoc.sk.ee portaalis=====

https://digidoc.sk.ee/ portaal võimaldab veebipõhises keskkonnas sooritada digitaalallkirjastamisega seotud protseduure, nt anda allkirja, kontrollida allkirja ja jagada sama dokumenti teiste portaali kasutajatega selleks, et ühte dokumenti saaks allkirjastada mitu osapoolt. Portaali sisenemisel avaneb kasutuskeskkonnale sarnane vaade, süsteemi on laaditud kaks dokumenti, ühel on üks allkiri ja teisel ei ole ühtegi allkirja

[[Pilt:Digidoc-1.gif]]

Keskkonna kasutamine võiks toimuda suhteliselt intuatiivselt, dokumenti allkirjastamisel tuleb täita sarnased lahtrid nagu nn lokaalset digidoc klienti kasutades

[[Pilt:Digidoc-2.gif]]

Allkirjastamisel küsitakse kasutajalt PIN2 koodi

[[Pilt:Digidoc-3.gif]]

https://digidoc.sk.ee/ keskkonnas ei saa tegeleda krüptitud dokumentidega ehk nn .cdoc failidega.

=====Allkirjastamine riigiportaalis www.eesti.ee=====

Aadressil https://www.eesti.ee/ asuvas riigiportaalis sektsioonis

Kodanikule -> Digitaalallkiri

saab veebipõhises keskkonnas sooritada digitaalallkirjastamisega seotud protseduure, nt anda allkirja, kontrollida allkirja ja jagada sama dokumenti teiste portaali kasutajatega selleks, et ühte dokumenti saaks allkirjastada mitu osapoolt.

Portaali Digiallkirja sektsiooni sisenemisel avaneb kasutuskeskkonnale sarnane vaade, süsteemi on laaditud kaks dokumenti, ühel on üks allkiri ja teisel ei ole ühtegi allkirja

[[Pilt:Riigiportaal-digiallkiri-1.gif]]

Keskkonna kasutamine võiks toimuda suhteliselt intuatiivselt, dokumendi allkirjastamisel tuleb täita sarnased lahtrid nagu nn lokaalset digidoc klienti kasutades, PIN2 sisestamine toimub Java appleti abil, sarnaselt

[[Pilt:Riigiportaal-digiallkiri-2.gif]]

Riigiportaalis ei saa tegeleda krüptitud dokumentidega ehk nn .cdoc failidega.

===Icedove postikliendi kasutamine===

Lisaks nö tavalistele e-kirjadele on võimalik moodustada spetsiaalsete lisaomadustega kirju

* allkirjastatud kiri - kirja saatja moodustab allkirja oma salajase võtmega; kirja saaja saab olla kindel, et kiri on saadetud just selle kasutaja poolt kelle sertifikaadi (avaliku võtme) abil õnnestub kirja autentsust kontrollida; kirja sisu on kõigile avalik, kuid kirjale on nö attachmentiga sarnaselt juurde digitaalse allkirja osa; oluline erinevus nö .ddoc allkirjastamisest on, et reeglina ei kasutata seejuures Sertifitseerimiskeskusest saadud kehtivuskinnitust
* krüptitud kiri - kirja saatja krüptib kirja adressaadi avaliku võtmega (sertifikaadiga); kirja saatja saab olla kindel, et mitte keegi peale selle kasutaja, kelle kasutuses on vastav salajane võti saab kirja sisuga tutvuda

Tuleb arvestada, et eposti allkirjastamine ja krüptimine omab tähendust ainult epostiga tegelemisel ning kuigi see tehnika pakub võimaluse täiendava turvalisuse saavutamiseks ei ole tegu Eesti Vabariigi seaduse mõttes kehtiva digitaalselt allkirjastatud dokumendiga juba seetõttu, et mõlemal juhul kasutatakse autentimise sertifikaati.

Kirja krüptimisel ei ole see tingimata oluline, aga allkirjastamiseks Eesti ID-kaardil asuva autentimise sertifikaadile vastava salajase võtmega eeltingimuseks on, et kasutaja on oma postiprogrammis kirjeldanud tema sertifikaadil leiduva postiaadressiga seotud konto. Sertifikaadile märgitud postiaadressi saab küsida sertifikaadilt öeldes

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -email
imre.oolberg@eesti.ee

Iceweasel programmi ID-kaardiga kasutamise ettevalmistamiseks tuleb avada

Edit -> Preferences -> Advanced -> Certificates -> Security devices -> Load

ning kirjeldada Eesti ID-kaardile vastava turvaseade (ingl. k. security device)

Module Name: esteid
Module filename: /usr/lib/onepin-opensc-pkcs11.so

Lisaks tuleb laadida Icedove'i SK juursertifikaat, ESTEID-SK ja ESTEID-SK 2007 sertifikaadid, mis saab kopeerida http://www.sk.ee/ (Avaleht -> Sertifitseerimine -> Baasinfo -> Juursertifikaadid) veebikohast

Edit -> Preferences -> Advanced -> Certificates -> View Certificates -> Authorities -> Import

Kusjuures tuleb kindlasti vastata jaatavalt küsimusele, et neid usaldatakse eposti jaoks kasutamiseks

[[Pilt:Id-sign-0.gif]]

Seejärel tuleb Icedove'is seoses nn @eesti.ee aadressiga, nt imre.oolberg@eesti.ee, kirjeldatud konto juures näidata, milliseid sertifikaate kasutatakse eposti allkirjastamise ning krüptimise juures, valida ülemine Select (Digital Signing)

[[Pilt:Id-sign-1.gif]]

Peale PIN1 koodi sisestamist esitab arvuti valitud sertifikaadi andmed

[[Pilt:Id-sign-2.gif]]

Valides järgmisena Encryption juures Select küsib arvuti, kas ma soovin kasutada sama sertifikaati (õigemini sama sertifikaadiga seotud salajast võtit) teiste kasutajate poolt mulle saadetud krüptitud kirjade (mis on krüptitud minu avaliku võtmega) lahtikürptimiseks, sobib vastata jaatavalt.

====Icedove postikliendi kasutamine eposti allkirjastamiseks====

Kirja saatmine toimub tavapäraselt ainukese erinevusega, et enne kirja saatmist tuleb valida Security alt

Digitally Sign This Message

[[Pilt:Id-sign-3-1.gif]]

Kirja saajal peab olema postiprogrammi laaditud vähemalt SK juursertifikaat (sellest piisab allkirja kontrollimiseks, sest signatuur sisaldab ka allkirjastaja sertifikaati ning ahelat SK juursertifikaadini ja brauseris oleva SK juursertifikaadiga saab seega tuvastada kasutaja allkirja kehtivust) abil ning kiri pasitab sellisena

[[Pilt:Id-sign-3-2.gif]]

Messsage Security aken avaneb vajutades programmiakna paremas servas asuvale kollane-punane värvi ümbriku kujutisele ja ütleb, et vaatlusalune kiri on allkirjastatud (ingl. k. signed) ning allkiri (ingl. k. signature) on kehtiv. St kirja saaja saab olla kindel, et kiri on saadetud selle poolt, kelle kasutada on allkirja kontrollimisel kasutatud sertifikaadile vastav salajane võti.

====Icedove postikliendi kasutamine eposti krüptimiseks====

Eposti krüptimine toimub adressaadi Eesti ID-kaardi autentimise avaliku võtmega, mis tähendab, et keegi teine peale vastava salajase võtme valdaja ei saa sõnumi teksti sisuga tutvuda. Kirja saatmisel tuleb valida

Security -> Encrypt This Message

[[Pilt:Id-sign-3-3.gif]]

Kirja lugemisel peab olema võimalik kasutada ID-kaarti ning tulemus võiks paista sarnane

[[Pilt:Id-sign-3-4.gif]]

Security Message aken avaneb vajutades programmiakna paremas servas asuvale tabaluku kujutisele ja ütleb, et kiri on krüptitud ning selle sisuga on peale adressaadi teistel kasutajatel ülimalt raske tutvuda.

Kui krüptitud kirja adressaadil on ID-kaardi kasutamine seadistamata, siis esitab programm kasutajale veateadet

Icedove cannot decrypt this message

The sender encrypted this message to you using one of your digital certificates, however Icedove was not able to find
this certificate and corresponding private key.

Possible solutions:

* If you have a smartcard, please insert it now.
* If you are using a new machine, or if you are using a new Icedove profile, you will need to restore your certificate
and private key from a backup. Certificate backups usually end in ".p12".

Krüptimisel tuleb arvestada, et kirja päised sh Message-ID, Date, From, To, Subject jt ei ole krüptitud

..
Message-ID: <49B277C9.8010303@eesti.ee>
Date: Sat, 07 Mar 2009 15:34:01 +0200
From: Imre Oolberg <imre.oolberg@eesti.ee>
User-Agent: Mozilla-Thunderbird 2.0.0.19 (X11/20090103)
MIME-Version: 1.0
To: imre.oolberg@eesti.ee
Subject: eesti muld ja eesti =?ISO-8859-1?Q?s=FCda?=
Content-Type: application/x-pkcs7-mime; name="smime.p7m"
Content-Transfer-Encoding: base64
Content-Disposition: attachment; filename="smime.p7m"
Content-Description: S/MIME Encrypted Message

MIAGCSqGSIb3DQEHA6CAMIACAQAxgf0wgfoCAQAwYzBbMQswCQYDVQQGEwJFRTEiMCAGA1UE
ChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMGRVNURUlEMRcwFQYDVQQD
Ew5FU1RFSUQtU0sgMjAwNwIESIQxaDANBgkqhkiG9w0BAQEFAASBgB4isztO9MjE1ZQUzA7e
U1E0YTQZF0nIW4b46Nn/Be+DtUgzZWyZjgln4YxqQ7vDWPJiFNJTqdLjNCPGb6WEJ7ddZJGp
hM/z+tyCNHrXP6DbvjtmF9qJ9WgvyiqHyQMr8FKRCnLdcj70G+N0EzFnsMq4QsvLi6PHaE7v
rWGWq1ynMIAGCSqGSIb3DQEHATAUBggqhkiG9w0DBwQInoBpNLI3/IOggASCAijikH35Tqn9
..

====Teiste kasutajate sertifikaatide kasutamine====

Selleks, et

* saata teisele @eesti.ee postisüsteemi kasutajale krüptitud kirja
* kontrollida teise @eesti.ee postisüsteemi kasutaja poolt saadetud allkirjastatud kirja allkirja

peab olema Icedove'i laaditud teise kasutaja avalik võti, mis esineb nn autentimise sertifikaadi kujul. Selleks tuleb teades kasutaja isikukoodi kopeerida sertifikaadid ldap.sk.ee serverist, nt

$ ldapsearch -LLL -H ldap://ldap.sk.ee -x -b "c=EE" "(serialNumber=37003212713)"

Salvestada esimesele sertifikaadile vastav tekstiosa st

...
userCertificate;binary:: MIID2jCCAsKgAwIBAgIESIQxaTANBgkqhkiG9w0BAQUFADBbMQswC
..
cOXVX08WgFeVtlH1S6AeDIuY1i/EIngiAUV
....

tekstifaili, alates MIID2.. osast, tekstifail peab algama ja lõppema spetsiaalse tunnusega, kokku peab saama sarnane fail

-----BEGIN CERTIFICATE-----
MIID2jCCAsKgAwIBAgIESIQxaTANBgkqhkiG9w0BAQUFADBbMQswC
..
cOXVX08WgFeVtlH1S6AeDIuY1i/EIngiAUV
-----END CERTIFICATE-----

Ning see fail tuleb laadida Icedove'i valides

Edit -> Preferences -> Advanced -> Certificates -> View Certificates -> Other People's -> Import

Seejärel saab saada sertifikaadis näidatud eposti aadressile krüptitud posti ning samuti kontrollida selle kasutaja poolt allkirjastatud eposti signatuuri.

Kui on võimalik, siis saab teise kasutaja isikutuvastuse sertifikaadi postiklienti laadimiseks kasutada ka lihtsamat protseduuri. Nimelt, piisab kui teine kasutaja saadab esmalt signeeritud kirja ning see kiri postikliendiga avada. Sel juhul salvestatakse sertifikaat automaaselt postikliendi Other people's sertifikaatide hoidlasse.

Üldiselt võib üks ja sama kiri olla samaaegselt nii signeeritud kui ka krüptitud.

===@eesti.ee aadresside kasutamine===

Kuna Eesti ID-kaardi autentimise sertifikaadile vastava avaliku võtmega kürptitud kirju saab saata tingimusel, et adressaadiks on sertifikaadis esitatud aadress, mis on kujul

eesnimi.perekonnanimi@eesti.ee

või kui sama ees-ja perekonnanimega kasutajaid oma rohkem kui üks, siis järgmistele aadressidele on perekonnanime järele lisatud arv

eesnimi.perekonnanimi.1@eesti.ee

siis oleks hea kui sellistele aadressidele saadetud kirjad mugavasti adressaadi postkasti jõuaksid.

Käesolev asjakorraldus võimaldab Eesti ID-kaardi omanikel aadressil http://www.eesti.ee/ asuvas riigiportaalis seadistada, kuhu tema @eesti.ee aadressile saadetud kirjad edasi saadetakse. Tavaliselt on selleks nt mail.ee, gmail.com vms teenusepakkuja postkastiga seotud eposti aadress.

Kuigi tehniliselt teeb @eesti.ee aadressi kasutamine mugavaks signeeritud ja krüptitud kirjade vahetamise, töötab see ka nö tavaliste kirjade puhul.

Kusjuures varasemal ajal on kasutatud ID-kaardi autentimise sertifikaadis ka aadressi kujul, kus nnnn on neljakohaline arv

eesnimi.perekonnanimi_nnnn@eesti.ee

Lisaks, @eesti.ee postisüsteem võimaldab seadistada kasutajal omale edasisuunamise aadressi aadressile

isikukood@eesti.ee

kuid kuna see aadress ei esine sertifikaadis, siis ei ole võimalik seda kasutada eposti allkirjastamisel ega krüptimisel.

===Sertifikaadi kehtivuse kontrollimine===

Avaliku võtme infrastruktuuri üheks ülesandeks on hallata kasutajate sertifikaate sh mitmetel põhjusel sertifikaat kehtetuks kuulutada. Seega, sertifikaadi kasutamisel on oluline kontrollida, kas sertifikaat kasutamise ajal kehtib, seda saab teha SK OCSP (Online Certificate Status Protocol) abil öeldes

$ openssl ocsp -issuer esteid.pem -cert idkaardiltsert.pem -url http://ocsp.sk.ee -noverify -text
OCSP Request Data:
Version: 1 (0x0)
Requestor List:
Certificate ID:
Hash Algorithm: sha1
Issuer Name Hash: 4508A41C355C0A72485FE2DF7B6A6788C6A55022
Issuer Key Hash: 4806DEBE8C875795807863FA9C232B2BA03A1875
Serial Number: 48843168
Request Extensions:
OCSP Nonce:
0410090A1FA4F0555E82C1DFB4722FC61696
OCSP Response Data:
OCSP Response Status: successful (0x0)
Response Type: Basic OCSP Response
Version: 1 (0x0)
Responder Id: C = EE, O = ESTEID, OU = OCSP, CN = ESTEID-SK 2007 OCSP RESPONDER, emailAddress = pki@sk.ee
Produced At: Oct 7 22:15:36 2008 GMT
Responses:
Certificate ID:
Hash Algorithm: sha1
Issuer Name Hash: 4508A41C355C0A72485FE2DF7B6A6788C6A55022
Issuer Key Hash: 4806DEBE8C875795807863FA9C232B2BA03A1875
Serial Number: 48843168
Cert Status: good
This Update: Oct 7 22:15:36 2008 GMT

Response Extensions:
OCSP Nonce:
0410090A1FA4F0555E82C1DFB4722FC61696
cert.pem: good
This Update: Oct 7 22:15:36 2008 GMT

Kus esteid.pem sertifikaadi saab kopeerida SK veebikohast.

===ID-kaardi kasutamine chroot keskkonnast===

Märkus: 20090314 stabiilne Debian Lenny sisaldab sun-java6-plugin paketti.

Üks praktiline vajadus kasutada ID-kaarti chroot programmiga moodustatud chroot keskkonnast oleks 64 bit Debiani operatsioonisüsteemis kasutada 32 bit Iceweaselit'i. Põhjusel, et 32 bit arhitektuurile on olemas Iceweaseli java plugin (pakett sun-java6-plugin), aga 64 bitile seda 2008 aastal pole. Omakorda on java vajalik, et saaks nt SEB pangas allkirjastada st sooritada ülekannet.

Tundub, et kui arvutile külge ühendatud ID-kaarti on tarvis kasutada chroot käsu abil moodustatud chroot keskkonnast, siis tuleb öelda (pcscd deemon töötab nn absoluutses arvutis)

# mount --bind /var/run/pcscd /srv/arvuti-32/var/run/pcscd

ning seejärel tuleb käivitada iceweasel nt selliselt läbi sudo

$ sudo /usr/sbin/chroot /srv/arvuti-32 iceweasel

Selleks, et chroot keskkonnas käivitatud iceweasel saaks näidata oma pilti X serverile tuleb xhost käsuga kaasa aidata, nt öelda

$ xhost +iceweaseliarvutinimi

kusjuures ilma argumentideta xhost näitab, millistest arvutitest on võimalik X serveri poole pöörduda.

Kirjeldatud asjakorralduse puhul ei ole tarvis chroot keskkonda ühendada külge mingeid muid failisüsteeme (nt /proc, /sys) ega käivitada seal deemoneid pcscd vms.

Sudo töötamiseks on vajalik omakorda sellist sisu /etc/sudoers faili

User_Alias CHROOT_USERS = mart
Cmnd_Alias CHROOT_CMD = /usr/sbin/chroot
Host_Alias MORAAL = arvuti
CHROOT_USERS MORAAL = (root) NOPASSWD: CHROOT_CMD

Milliseid turvariske selline asjakorraldus tema jaoks toob peab iga kasutaja ise hindama, eriti seoses X serverile ligipääsemisega kus on avatud ID-kaarti kasutav rakendus.

===ID-kaardi kasutamine konsoolilt arvutisse sisselogimiseks===

Arvutisse sisselogimise kontrollimist on võimalik korraldada ID-kaardi isikutuvastuse sertifikaadiga. Ehk täpsemini, sisselogimisel peab kasutaja tõendama, et ta saab kasutada isikutuvastuse sertifikaadile vastavat salajast võtit ja seda ta teeb PIN1 koodi sisestamise teel.

Tööleseadistatud süsteemi kasutamine näeb välja mitte-graafilise konsooli (tõenäoliselt mingi getty) kasutamisel selliselt, tulemusena on kasutaja süsteemi sisse loginud, nt juurkasutaja

Debian GNU/Linux 5.0 arvutinimi tty4

arvutinimi login: root
Please insert your smart card or enter your username.
Smart card inserted.
Welcome to ID-kaart (PIN1, Isikutuvastus)!
Smart card password:
...

bash#

Sellise asjakorralduse tööleseadmiseks tuleb üldiselt ID-kaart arvutiga ära ühendada nii nagu on ülal punktis 'Kaardilugeja ühendamine operatsioonisüsteemiga' kirjeldatud ning seejärel

* seadistada sisselogimise kontrolli süsteemne osa
* seadistada sisselogimise kontrolli kasutajaspetsiifiline osa

====Süsteemi ettevalmistamine====

Süsteemi ettevalmistamiseks tuleb lisaks paigaldada pakett libpam-pkcs11

# apt-get install libpam-pkcs11

Seejärel moodustada kataloog /etc/pam_pkcs11, sinna näidise eeskujul seadistusfail

# mkdir /etc/pam_pkcs11
# zcat /usr/share/doc/libpam-pkcs11/examples/pam_pkcs11.conf.gz > /etc/pam_pkcs11/pam_pkcs11.conf
# zcat /usr/share/doc/libpam-pkcs11/examples/pam_pkcs11.conf.gz > /etc/pam_pkcs11/pam_pkcs11.conf-orig

ja teha seadistusfailis sellised muudatused

# diff pam_pkcs11.conf pam_pkcs11.conf-orig
85,86c85
< # module = /usr/lib/pam_pkcs11/pkcs11_module.so;
< module = /usr/lib/opensc-pkcs11.so;
---
> module = /usr/lib/pam_pkcs11/pkcs11_module.so;
116c115
< use_mappers = opensc, digest, cn, pwent, uid, mail, subject, null;
---
> use_mappers = digest, cn, pwent, uid, mail, subject, null;
122,123c121
< # mapper_search_path = /usr/lib/pam_pkcs11;
< mapper_search_path = /lib/pam_pkcs11;
---
> mapper_search_path = /usr/lib/pam_pkcs11;
160,161c158
< # module = /usr/lib/pam_pkcs11/opensc_mapper.so;
< module = /lib/pam_pkcs11/opensc_mapper.so
---
> module = /usr/lib/pam_pkcs11/opensc_mapper.so;

SK sertifikaatide kopeerimine ja nn hash linkide moodustmine toimub selliselt (eeldusel, et kasutaja isikutuvastuse sertifikaat on antud välja ESTEID-SK 2007 sertifikaadi suhtes)

# mkdir /etc/pam_pkcs11/cacerts
# cd /etc/pam_pkcs11/cacerts
# wget http://www.sk.ee/files/JUUR-SK.PEM.cer -O JUUR-SK.PEM.pem
# wget http://www.sk.ee/files/ESTEID-SK%202007.PEM.cer -O ESTEID-SK%202007.PEM.pem
# c_rehash .

Tulemus

# find . -ls
183909 4 drwxr-xr-x 2 root root 4096 Mar 15 12:28 .
183911 4 -rw-r--r-- 1 root root 1404 Jan 3 2007 ./ESTEID-SK\ 2007.PEM.pem
183910 4 -rw-r--r-- 1 root root 1790 Feb 6 2006 ./JUUR-SK.PEM.pem
183913 0 lrwxrwxrwx 1 root root 15 Mar 15 12:28 ./119afc2e.0 -> JUUR-SK.PEM.pem
183912 0 lrwxrwxrwx 1 root root 22 Mar 15 12:28 ./590f5e9e.0 -> ESTEID-SK\ 2007.PEM.pem

Lõpuks tuleb kirjeldada PAM mooduli seadistusfailis uus autentimisviis lisades faili /etc/pam.d/common-auth juurde esimeseks reaks

auth sufficient pam_pkcs11.so nullok

====Kasutajakeskkonna ettevalmistamine====

Selleks, et konktreene kasutaja, nt juurkasutaja saaks süsteemi siseneda tuleb moodustada kataloog

# mkdir /root/.eid

ning kopeerida ID-kaardilt isikutuvastuse sertifikaat faili /root/.eid/authorized_certificates

# pkcs15-tool -r 01 > /root/.eid/authorized_certificates

===Eesti ID-kaardi kasutamine OpenVPN lahendusega===

OpenVPN pala tekstis http://kuutorvaja.eenet.ee/wiki/OpenVPN_ja_Eesti_ID-kaardi_kasutamine on kirjeldatud, kuidas kasutada Eesti ID-kaarti VPN kasutajate autentimiseks.

===Eesti ID-kaardi kasutamine GnuPG-2 tarkvaraga===

Märkmed Eesti ID-kaardi võimalikust kasutamisest GnuPG-2 tarkvaraga, mis kahjuks ei vii tulemuseni, aga võimalik, et ühel päeval viivad, http://kuutorvaja.eenet.ee/wiki/GnuPG_kasutamine_Debianiga#Eesti_ID-kaardi_kasutamine_GnuPG-2_tarkvaraga

===ID-kaardi koodide muutmine===

ID-kaardi isikutuvastuse ja allkirjastamise võtmete kasutamist kaitstakse koodidega, vastavalt PIN1 ja PIN2 koodid. Lisaks on kasutusel PUK kood, mille abil saab PIN1 ja PIN2 koodi vajadusel muuta, näiteks kui mõni PIN kood on saanud teatavaks kellelegi teisele või mõni PIN kood on ära ununenud. Kui sooritada kolm järjestikulist ebaõnnestunud koodi sisestamist, siis ligipääs kõnelusele salajasele võtmele lukustatakse, st et enne kui seda saab uuesti kasutada, tuleb ligipääs võtmele PUK koodi abil lahti lukustada.

ID-kaardi PIN koodide lahtilukustamiseks sobib kasutada pkcs15-tool utiliiti, nt öelda PIN 1 koodi lahtilukustamiseks

# pkcs15-tool --unblock-pin -a 1
Enter PUK [PIN1, Isikutuvastus]:
Enter new PIN [PIN1, Isikutuvastus]:
Enter new PIN again [PIN1, Isikutuvastus]:

Muud käsud:

PIN1 koodi muutmiseks

# pkcs15-tool --change-pin -a 1

PIN2 koodi muutmiseks

# pkcs15-tool --change-pin -a 2

PIN2 koodi lahtilukustamiseks

# pkcs15-tool --unblock-pin -a 2

PUK koodi muutmiseks

# pkcs15-tool --change-pin -a 3

Kui aga PUK kood on kadunud, siis saab ID-kaarti kasutada seni kuni pole tarvis PIN koode muuta, vastasel korral tuleb teeninduspunktist, nt pangas paluda paigaldada ID-kaardile uus nn ümbrik.

===e-valimistel osalemine===

e-valimistel osalemiseks tuleb valimiste veebikohta sisse logida ning kopeerida lokaalselt töötav rakendus. Kävitamisel paistab selline pilt

[[Pilt:Evalimised-2009-1.gif]]

===Mobiil-ID===

Mobiil-ID tehnika võimaldab kasutada mobiiltelefoni sarnaselt ID-kaardile, mobiil-ID toimimist on kirjeldatud aadressil http://www.id.ee/10958

===ID-kaardi rakenduste arendamine===

ID-kaardi rakenduste arendajale on Sertifitseerimiskeskus tekitanud projekti OpenXades aadressil http://www.openxades.org/

* saab testida id-kaardiga allkirjastamist vastu test digidocservice teenust (selleks tuleb üles laadida oma sertifikaadid)
* saab testida mobiil-id kaardi kasutamist (selleks tuleb üles laadida oma sertifikaadid)

===Eesti ID-kaardi tarkvara arendus 2009===

Smartlink arendab RIA tellimusel 2009 aastal Eesti ID-kaardi kasutamise tarkvara https://id.eesti.ee/idtrac/, mis sisaldab muu hulgas kasutaja töökohaarvutis kasutamiseks graafilise kasutajaliidesega programme

* qesteidutil - ID-kaardi haldamise tarkvara, sertifikaatide kehtivuse kontroll, PIN koodide muutmine, sertifikaatide uuendamine jms
* qdigidocclient - andmete allkirjastamine ja allkirjade kontrollimine, st nn .ddoc ja .bdoc failidega tegelemine
* qdigidoccrypto - andmete krüptimine teise ID-kaardi kasutaja avaliku võtmega, st .cdoc failidega tegelemine

Lisaks asendab Smartlink lahendus Debian Lenny nö ametlikust tarkvarast sellised paketid

* libopensc2 - OpenSC teek
* opensc - OpenSC utiliidid, kuigi selle paketi paigaldamine ei ole lõppkasutaja seisukohast tingimata vajalik (seal sisaldub nt pkcs15-tool utiliit)

2009 aasta juuli keskel on see selle tarkvara arendusetapp lõpule jõudmas ning praktiselt saab tarkvara võimalustega tutvuda ja tasakesi kasutada.

====Tarkvara paigaldamine====

Kõnealune lahendus kasutab eraldiseisvalt eksisteerivaid OpenSC teeke (pakett libopensc2, seadistusfail /etc/opensc/opensc.conf) ning PC/SC vahendeid (pakett pcscd), Eesti ID-kaardi tarkvara paigaldamiseks tuleb lisada /etc/apt/sources.list faili rida

deb ftp://ftp.smartlink.ee/pub/id/debian/ lenny main

usaldada Smartlinki repositooriumi Release faili võtit

# wget ftp://ftp.smartlink.ee/pub/id/apt-esteid-test.gpg.asc
# apt-key add apt-esteid-test.gpg.asc
OK

NB! 20090928 seisuga selle repo kasutamisel asendatakse Debian Lenny nö enda opensc jt teeke ära Smartlinki omadega ja tulemusena ID-kaarti ei saa kasutada, vähemalt mitte ilma vajalike muudatusteta.

Tarkvara paigaldamiseks tuleb öelda

# apt-get install qesteidutil qdigidoc

paigaldatakse neli kõnealuse arendusega seotud paketti ning vajadusel sõltuvustena ka OpenSC, PC/SC jm tarkvara

* qesteidutil - Eesti ID-kaardi haldusvahend qesteidutil
* qdigidoc - programmid qdigidocclient ja qdigidoccrypto
* libdigidoc2 - nn vana teek, käsurealt kasutatav utiliit cdigidoc
* libdigidocpp0 - nn uus teek

Tarkvara kasutamiseks tuleb OpenSC ja PC/SC seada käima nii nagu on käesoleva pala alguses punktis [[:Eesti ID-kaardi kasutamine Debianiga#Kaardilugeja ühendamine operatsioonisüsteemiga]] kirjeldatud.

====Eesti ID-kaardi haldusvahend====

Eesti ID kaardi haldusvahendi qesteidutil kasutamiseks tuleb käivitada programm, nt valides menüüst või XTerm aknas öeldes

$ qesteidutil

ning avaneb aken

[[Pilt:qesteidutil-1.gif]]

Kasutajaliideses esitatud pilt kopeeritakse riigiportaali www.eesti.ee süsteemi kaudu üle X-tee KMA andmekogust.

====Digidoc klient====

Qt teeke kasutava Digidoc kliendi qdigidocclient käivitamiseks tuleb käivitada programm nt valides menüüst või XTerm aknas öeldes

$ qdigidocclient

ning avaneb aken

[[Pilt:qdigidocclient-1.gif]]

Krüptimise utiliidi saab käivitada öeldes

$ qdigidoccrypto

ning avaneb pilt

[[Pilt:qdigidoccrypto-1.gif]]

Utiliit sisalab LDAP klienti, millega saab teades teise kasutaja isikukoodi kopeerida Sertifitseerimiskeskuse LDAP kataloogist tema isikutuvastuse sertifikaadi.

====cdigidoc utiliit====

Paketi libdigidoc2 koosseisus on utiliit cdigidoc, millega saab käsurealt DigiDoc failidega töötada, näiteks fail.cdoc lahtikrüptimiseks sobib öelda

$ cdigidoc -decrypt fail.cdoc PIN_KOOD -out fail.ddoc

Faili fail.ddoc seest esimene faili nimega sisufail.txt konteinerist välja kopeerimiseks sobib öelda

$ cdigidoc -extract D0 sisufail.txt -in fail.ddoc

Ilma argumentideta käsk väljastab abi

$ cdigidoc
USAGE: cdigidoc <command(s)> [-in <input-file>] [-out <output-file>] [-config <config-file>]
COMMANDS:
[-new] [format] [version]
-check-cert <-cerificate-file-name (PEM format)>
-add <file-name> <mime-type> [<content-type>] [<charset>]
-verify
-list
-sign <pin> [<manifest>] [<city> <state> <zip> <country>]
-extract <doc-id> <file-name> [<charset>] [<file-name-charset>]
-encrypt <file-name>
-encrecv <cert-file> [<recipient>] [<keyname>] [<carried-key-name>]
-decrypt <file-name> <pin1>
-denc-list <file-name>
-encrypt-file <in-file-name> <out-file-name> [<in-file-mime-type>]
-decrypt-file <in-file-name> <out-file-name> <pin1>
-calc-sign <cert-file> [<manifest>] [<city> <state> <zip> <country>]
-add-sign-value <sign-value-file> <sign-id>
-del-sign <sign-id>
-get-confirmation <sign-id>
OPTIONS:
-cgimode [<ouput-separator] - output in CGI mode
-SAX - use SAX parser
-XRDR - use XmlReader parser

====Märkused====

20090714 seisuga tehtud tähelepanekud

* programmidel puuduvad manuaalid (ingl. k. manpage) ning praktiliselt dokumentatsioon kataloogis /usr/share/doc/paketinimi
* paketihalduse nimekirjas esineb ka pakett qdigidoccrypto, mida asendab qdigidoc, kui qdigidoc* pakettide traditsioon alles algab, äkki siis see 'Replaces' eemaldada
* sõltuvustest ei paigaldata opensc paketti, mis iseenesest ei ole ka vajalik, vajalik on just libopensc2 teekide pakett
* q* programmide kasutamisel tuleb olla kannatlik, kuigi esmalt teatab programm, et 'Ei leitud ühtegi ID-kaarti' voi 'Kaarti pole lugejas', siis tegelikult võidakse tegeleda alles kaardi otsimisega ja mõne sekundi pärast on kõik korras ja saab jätkata programmi kasutamist
* q* programmide akendest ei saa alati hiirega teksti kopeerida
* paketi libopensc2 seadistusfailis /etc/opensc/opensc.conf võiks parameetri muudatus toimuda ehk debconf dialoogi abil pakkudes kasutajale sobivat vaikeväärtust

reader_drivers = openct, pcsc, ctapi; -> reader_drivers = pcsc, ctapi;

* IP aadressipõhisel ocsp teenusele ligipääsu puhul küsitakse 'Did not find any server access certificate! Start downloading?'
* Kas programmide töö lõpetamiseks on muid võimalusi peale akna sulgemise?

===Eesti ID kaardi tarkvara v. 3.8 kasutamine 2014 suvel===

Käesolevas punktis kirjeldatakse 2014 aasta suvel olemasolevate tarkvara komponentidega Eesti ID kaardi kasutamist (autentimist ja allkirjastamist)

* Debian testing (Jessie) operatsioonisüsteem (32 või 64 bit, tõenäoliselt sarnaselt toimub paigaldamine-seadistamine-kasutamine ka muude Debiani versioonide ja Linux distributsioonidega)
* Eesti ID kaardi tarkvara v. 3.8.0 Ubuntu v. 12.04 (Precise) paketid

Tulemusena saab

* Chrome brauseriga autentida ja allkirjastada
* ID kaardi haldusvahendiga pin koode hallata
* lokaalse DigiDoc kliendiga allkirjastada ja krüptida

Juhised kehtivad

* Chrome < v. 35 (tundub, et alates v. 35 on smart card autentimise tehnika oluliselt muutunud, väidetavalt Eesti ID kaardi tarkvara v. 3.9 teeb selle korda)
* OpenSC kuni 0.12 ja kaasa arvatud (0.13 juures puudub brauseri kasutamist abistav onepin teek)

====Tarkvara paigaldamine====

Eeldusel, et arvutis on töötav kasutajakeskkond (XCFE, Gnome vms) ning Chrome brauser versioon < 35, lisada süsteemi üldotstarbelised paketid

# apt-get install opensc pcscd libccid libnss3-tools apt-transport-https

Kuna onepin-opensc-pkcs11.so teek on vajalik, aga opensc v. 0.13 tarkvaras puudub ning see on nt Debian v. 7 Wheezy paketihalduses v. 0.12 juures olemas (ja tundub, et sobib kasutada), siis aitab lisada /etc/apt/sources.list faili Debian v. 7 Wheezy repositoorium

deb http://ftp.us.debian.org/debian/ wheezy main contrib non-free

ning öelda 0.12 versiooni paigaldamiseks (downgrade'iks)

# apt-get update
# apt-get install opensc=0.12.2-3

Lisaks tuleb Wheezy pakettidest paigaldada

# apt-get -t wheezy install libxml-security-c16

Eesti ID kaardi tarkvara paigaldamise ettevalmistamiseks laadida võti

# wget -O /tmp/ria-public.key https://installer.id.ee/media/install-scripts/ria-public.key
# apt-key add /tmp/ria-public.key

lisada /etc/apt/sources.list faili rida

deb https://installer.id.ee/media/ubuntu/ precise main

ja tarvkara paigaldamiseks öelda

# apt-get update
# apt-get install estonianidcard qesteidutil esteidcerts esteidfirefoxplugin

====ID kaardilugejaga suhtlemise kontrollimine====

Peale tarkvara paigaldamist ja eeldusel, et lugeja on arvutiga ühendatud saab öelda

# opensc-tool -l
# Detected readers (pcsc)
Nr. Card Features Name
0 Yes SCM Microsystems Inc. SCR 331 [CCID Interface] (504005BE) 00 00

Kui lisaks on ID kaart on lugejas saab öelda (jms pkcs15-tool käske)

# pkcs15-tool -c
Using reader with a card: SCM Microsystems Inc. SCR 331 [CCID Interface] (504005BE) 00 00
X.509 Certificate [Isikutuvastus]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeaace
ID : 01
Encoded serial : 02 10 3BF4F7CBE36A655050DC20A42E9EFBAA

X.509 Certificate [Allkirjastamine]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeddce
ID : 02
Encoded serial : 02 10 0D1864A01391996750DC20AC1BF2FDE5

====ID kaardi haldusvahend====

Peale tarkvara paigaldamist maksab esmalt veenduda, et id kaardilugeja riistvara on ära tuntud ja kaart on üldiselt ligipääsetav. Selleks käivitada ID kaardi haldusvahend ja peab nägema oma sertifikaadiandmeid.

Interneti kasutamise olemasolul saab Lae pilt valikuga küsida rahvastikuregistris olevat pilti.

====Chrome brauseriga autentimine ja allkirjastamine====

Esmalt tuleb kord brauser käivitada, et kasutaja kodukataloogi tekiksid vajalikud nn punktifailid (~/.pki), seejärel brauseri protsessid lõpetada st brauseri sulgeda ning öelda sama kasutajana

$ modutil -dbdir sql:$HOME/.pki/nssdb -delete opensc-pkcs11
$ modutil -dbdir sql:$HOME/.pki/nssdb -add opensc-pkcs11 -libfile onepin-opensc-pkcs11.so -mechanisms FRIENDLY

kus

* esimese käsu väljundiks on tõenäoliselt veateade kuna pole midagi kustutada
* teise käsu väljundiks

...
Module "opensc-pkcs11" added to database.

Seejärel tuleb Chrome pluginate settingutest aadressilt chrome://plugins (sisestada nii aadressreale) seadistada EstEID plugin

* Enabled
* Always Allowed

Tulemusena paistab selline pilt

[[Pilt:Chrome-esteid-2.gif]]

kust on näha, et kasutatakse paketis esteidfirefoxplugin olevat teeki

$ dpkg -S /usr/lib/mozilla/plugins/npesteid-firefox-plugin.so
esteidfirefoxplugin: /usr/lib/mozilla/plugins/npesteid-firefox-plugin.so

Autentimiseks sobib minna mõnda portaali, kus on võimaluda kasutaja autentmiseks ID kaardiga, nt https://www.eesti.ee/. Samas saab ka allkirjastada valides

Minu asjad -> Minu dokumendid

Katsetada sobib ka aadressil https://www.openxades.org/web_sign_demo/sign.html.

====Firefox/Iceweasel brauseriga autentimine ja allkirjastamine====

Kontrollida, et paketi esteidfirefoxplugin paigaldamisel tekkinud EstEID plugin on Always Activate olekus

about:addons -> Plugins -> EstEID plug-in -> More

ID kaardi kasutamiseks tuleb brauseri seadistustes kirjeldada onepin teek valides

Edit -> Preferences -> Advanced -> Certificates -> Security Devices -> Load

ja avanenud dialoogis sisestada nt

* Module name - EstEID
* Module filename - /usr/lib/x86_64-linux-gnu/onepin-opensc-pkcs11.so

kus mooduli asukoht failisüsteemis sõltub arhitektuurist jms natuke, find leiab üles

$ find /usr/ -name onepin\*
/usr/lib/x86_64-linux-gnu/onepin-opensc-pkcs11.so

Tulemusena saab ID kaardiga autentida ning allkirjastada.

====Lokaalne DigiDoc klient====

Tarkvara paigaldamise käigus paigaldati ka lokaalne DigiDoc klient. Esmakordsel käivitamisel pakutakse võimalust laadida Sertifitseerimiskeskuse kehtivuskinnituse kasutamiseks vastav juurdepääsutõend, millega saab allkirjastada kuni kümme korda kuus.

====Probleemid====

* Kui allkirjastamisel küsitakse luba kahe plugina käivitamiseks (või öeldakse, et Java plugin on puudu)

[[Pilt:Chrome-esteid-1.gif]]

siis on põhjuseks, et EstEID plugin ei ole seadistatud õieti. Peab olema valitud 'Always allowed'. Oluline on teada, et Java ei ole Chrome brauseriga allkirjastamisel reeglina vajalik.

====Kasulikud lisamaterjalid====

* https://installer.id.ee/
* https://github.com/martinpaljak/ria-debian-build
* http://lauri.võsandi.com/posts/ubuntu-trusty-esteid.html
* http://pingviin.org/portal.php?topic_id=9727
* https://installer.id.ee/media/install-scripts/install-esteid-ubuntu.sh
* https://wiki.debian.org/Smartcards
* http://id.ee/?id=34228
* http://packages.ubuntu.com/lucid/libccid

===Eesti ID kaardi tarkvara v. 17.01.1686-1604 kasutamine 2017 kevadel===

Käesolevas punktis käsitletakse Eesti ID kaardi tarkvara kasutamist operatsioonisüsteem Debian v. 9 Stretch keskkonnas. Debian jaoks üldiselt pakette ei valmistata, aga osutub, et saab kasutada Ubuntu v. 16.04 Xenial pakette.

====Tööpõhimõte====

TODO

====Ettevalmistused====

Kuna Ubuntu v. 16.04 Xenial libssl1.0.0 v. 1.0.2g paketis on ka v. 1.0.0 sümbolid

<pre>
ubuntu-1604$ strings /lib/x86_64-linux-gnu/libssl.so.1.0.0 | grep ^OPENSSL_1
OPENSSL_1.0.0
OPENSSL_1.0.1
OPENSSL_1.0.1d
OPENSSL_1.0.2
OPENSSL_1.0.2g
</pre>

ja Debian v. 9 Stretch libssl1.0.2 v. 1.0.2k paketis ei ole 1.0.0 sümboleid

<pre>
debian-9$ strings /usr/lib/x86_64-linux-gnu/libssl.so.1.0.2 | grep ^OPENSSL_1
OPENSSL_1.0.2d
OPENSSL_1.0.2g
</pre>

siis on vaja leida mingi workaround. Tundub, et kaaluda maksab

* kopeerida internetist Ubuntu v. 16.04 Xenial libssl1.0.0 pakett ja kasutada sealt kahte teeki libssl.so.1.0.0 ja libcrypto.so.1.0.0 (selle lähenemise puuduseks on, et edaspidi vaevalt keegi viitsib neid teeke uuendada)
* paigaldada Debian v. 8 Jessie libssl1.0.0 pakett, http://priit.joeruut.com/archives/Eesti-ID-kaardi-tarkvara-ehk-open-eid-v.-3.12-kasutamine-Debianis.html (lähenemise puuduseks on, et Debian v. 8 Jessie tugi lõpeb tõnäoliselt varem kui Ubuntu v. 16.04 Xenial, aga väga võimalik, et veel enne tekib Debian + ID kaardi kasutamiseks mingi normaalsem lahendus)

Ubuntu libssl1.0.0 paketi saab kopeerida aadressilt http://packages.ubuntu.com/search?keywords=libssl1.0.0&searchon=names&suite=xenial&section=all

Paketi lahti pakkimiseks sobib öelda

$ cd /var/tmp/libssl1.0.0-ubuntu
$ dpkg -x /home/imre/Downloads/libssl1.0.0_1.0.2g-1ubuntu4.6_amd64.deb .

ning (kuna selliste nimedega faili enne pole)

# cp libssl.so.1.0.0 libcrypto.so.1.0.0 /usr/lib/x86_64-linux-gnu

Selleks, et süsteemis oleks paketihalduse mõttes libssl1.0.0 nimeline pakett, sobib kasutada equivs abi

* öelda

$ equivs-control libssl1.0.0

* redigeerida natuke tekkinud faili

<pre>
$ egrep -v "^$|^#" libssl1.0.0
Section: misc
Priority: optional
Standards-Version: 3.9.2
Package: libssl1.0.0
Version: 1.0.0
Maintainer: Imre <imre@auul.pri.ee>
Description: libssl1.0.0 abistaja
Testime
.
Testime 2
</pre>

* öelda

$ equivs-build libssl1.0.0

* paigaldada (kuidagi ta paigaldatakse vaatamata signatuuri puudumisele jms)

# dpkg -i libssl1.0.0_1.0.0_all.deb

====Paigaldamine====

* lisada apt võtmete hulka aadressil https://installer.id.ee/media/install-scripts/install-open-eid.sh oleva skripti algusest kaks sissekannet

# apt-key add failinimi

* lisada apt source

# cat /etc/apt/sources.list.d/ria-repository.list
deb http://installer.id.ee/media/ubuntu xenial main

* värskendada

# apt-get update

ID kaardi tarkvara paigaldamiseks sobib öelda

# apt-get install open-eid

tulemusena tekib failisüsteemi

* kümmekond paketti, enamus installer.id.ee pealt
* /etc/X11/Xsession.d/95-esteid-update-nssdb - selle faili abil X konsoolil töötamise alguses nö korraldakse sobiv seis olulistest asjadest (mh öeldakse modutil jt käske)

Paigaldamise lõpus tuleb Desktop keskkonnast logida välja ja tagasi sisse selleks, et Xsession kasutaks nssdb osa.

====ID kaardilugejaga suhtlemise kontrollimine====

Peale tarkvara paigaldamist ja eeldusel, et lugeja on arvutiga ühendatud saab öelda

<pre>
$ opensc-tool -l
# Detected readers (pcsc)
Nr. Card Features Name
0 Yes Gemalto PC Twin Reader (FB00DB62) 00 00
</pre>

Kui lisaks on ID kaart on lugejas saab öelda (jms pkcs15-tool käske)

<pre>
$ pkcs15-tool -c
Using reader with a card: Gemalto PC Twin Reader (FB00DB62) 00 00
X.509 Certificate [Isikutuvastus]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeaace
ID : 01
Encoded serial : 02 10 775DD64056F35E7954C8CB3EFEB3C8EE
X.509 Certificate [Allkirjastamine]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeddce
ID : 02
Encoded serial : 02 10 2D5E4D8F644E041454C8CB5236F7D2D6
</pre>

====ID kaardi haldusvahend====

Peale tarkvara paigaldamist maksab esmalt veenduda, et id kaardilugeja riistvara on ära tuntud ja kaart on üldiselt ligipääsetav. Selleks käivitada ID kaardi haldusvahend ja peab nägema oma sertifikaadiandmeid.

Interneti kasutamise olemasolul saab Lae pilt valikuga küsida rahvastikuregistiris olevat pilti.

====Chromium brauseriga autentimine ja allkirjastamine====

Veenduda, et Chromiumil on olemas vastav plugin (see on kopeeritav ka üldisest Google Chrome extensions repositooriumist)

[[Pilt:Chrome-esteid-3.gif]]

Tulemusena peab töötama autentimine ja allkirjastamine.

====Firefox brauseriga autentimine ja allkirjastamine====

TODO

* Tundub, et autentimine töötab nö iseenesest.

====Kasulikud lisamaterjalid====

* https://github.com/web-eid/
* https://github.com/open-eid
* https://github.com/open-eid/chrome-token-signing/wiki
* https://lauri.xn--vsandi-pxa.com/2014/04/ubuntu-trusty-esteid.html
* http://installer.id.ee/
* http://priit.joeruut.com/archives/Eesti-ID-kaardi-tarkvara-ehk-open-eid-v.-3.12-kasutamine-Debianis.html
* https://installer.id.ee/media/install-scripts/install-open-eid.sh
* https://www.auul.pri.ee/wiki/Operatsioonis%C3%BCsteem_Debian_GNU/Linux_paketihalduse_kasutamine#Equivs_kasutamine

===Eesti ID kaardi kasutamine - Ubuntu 16.04===

Alustada aadressilt https://installer.id.ee/

# apt-key add ria-key1.pem
# apt-key add ria-key2.pem

# cat /etc/apt/sources.list.d/ria-repository.list
deb http://installer.id.ee/media/ubuntu xenial main

# apt-get update
# apt-get install open-eid

Kui lähtepunktiks on nö tavaline töökohaarvuti, siis lisanduvad paketid

chrome-token-signing esteidfirefoxplugin esteidpkcs11loader libccid libdigidoc-common libdigidoc-tools libdigidoc2 libdigidocpp-common libdigidocpp-tools
libdigidocpp1 libminizip1 libnss3-tools libxerces-c3.1 libxml-security-c17v5 libzip4 open-eid opensc opensc-pkcs11 pcscd qdigidoc qdigidoc-tera qesteidutil

Kasulikud lisamaterjalid

* https://installer.id.ee/?lang=est
* https://installer.id.ee/media/install-scripts/install-open-eid.sh
* https://installer.id.ee/media/ubuntu/

===Eesti ID kaardi kasutamine - Ubuntu 18.04===

Alustada aadressilt https://installer.id.ee/, st sarnaselt eelmisele punktile, aga paistab, et 2019 aasta alguses paketihaldus lõpetab veaga (postinstall skripti sisu on natuke vastuoluline). Seejärel sobib kasutada skripti /var/lib/dpkg/info/awp.postinst alguses exit

# cat /var/lib/dpkg/info/awp.postinst
#!/bin/bash

exit;
...

ning loksutada paketihaldust 'apt-get install -f' vms käskudega. Seejjärel qdigidoc4 utiliit töötab.

Selleks, et EID tarkvara töötaks Chrome brauseriga sobib kasutajana logida sisse desktop keskkonda (nt XFCE4) ja öelda

$ modutil -dbdir sql:$HOME/.pki/nssdb -delete opensc-pkcs11
$ modutil -dbdir sql:$HOME/.pki/nssdb -add opensc-pkcs11 -libfile onepin-opensc-pkcs11.so -mechanisms FRIENDLY

Seejärel Chrome brauseris peaks saama kasutada id kaarti autentimiseks ja allkirjastamiseks. Need kaks käsku võiks idee poolest automaatselt öeldada skripti /usr/bin/esteid-update-nssdb poolt, aga paistab, et millegipärast minul see nii ei ole (äkki XFCE4 desktop tarkvara ei tee koostööd)

<pre>
$ cat /etc/xdg/autostart/chrome-pkcs11.desktop
[Desktop Entry]
Type=Application
Name=Configure Chrome PKCS11
Exec=/usr/bin/esteid-update-nssdb
NoDisplay=true
X-GNOME-AutoRestart=true
X-GNOME-Autostart-Phase=Initialization
</pre>

Kui kasutada on uus eid kaart (mitte uus ECC sertifikaat aga füüsiline uus kaart), siis tõenäoliselt on vajalik öelda awp.postinst skriptis sisalduvad sarnased käsud samuti.

Uue id kaardi käsurealt kasutamiseks sobib öelda

<pre>
$ pkcs11-tool --module /usr/local/AWP/lib/libOcsPKCS11Wrapper.so --list-objects --type cert
Using slot 0 with a present token (0x0)
Certificate Object; type = X.509 cert
label: Authentication 01
subject: DN: C=EE, CN=OOLBERG,IMRE,37003212713, SN=OOLBERG, GN=IMRE/serialNumber=PNOEE-37003212713
ID: 1242394aba4fab7e58d4f062a44f77b7edf3b577
</pre>

ning

<pre>
$ pkcs11-tool --module /usr/local/AWP/lib/libOcsPKCS11Wrapper.so --read-object --id 1242394aba4fab7e58d4f062a44f77b7edf3b577 --type cert -o cert.der
Using slot 0 with a present token (0x0)
</pre>

Tulemuse der -> pem teisenduseks

$ openssl x509 -inform DER -outform PEM -in cert.der -out cert.pem

Kasulikud lisamaterjalid

* https://github.com/open-eid/linux-installer/issues/36

===Test ID-kaart===

Lisaks nö päris ID-kaartidele väljastab Sertifitseerimiskeskus teatud juhtumiteks ka test ID-kaarte, nt on seal kasutatav sertifikaat selline

-----BEGIN CERTIFICATE-----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 2AjWXfHNDc0oWr7CBV9HRLmpidJQtQCwoUt6Y2NA==
-----END CERTIFICATE-----

Tekstikujul vaadatest on Issuer ja Subject väärtused

# openssl x509 -in /tmp/zaikovski.pem -noout -text
Certificate:
Data:
Version: 3 (0x2)
Serial Number: 1244104848 (0x4a278890)
Signature Algorithm: sha1WithRSAEncryption
Issuer: C=EE, O=AS Sertifitseerimiskeskus, OU=Testsertifikaadid, CN=TEST-SK
Validity
Not Before: Jun 4 08:40:48 2009 GMT
Not After : Apr 7 11:42:17 2012 GMT
Subject: C=EE, O=TEST-ESTEID, OU=authentication, \
CN=\x01}\x00A\x00I\x00K\x00O\x00V\x00S\x00K\x00I\x00,\x00I\x00G\x00O\x00R\x00,\x003\
\x007\x001\x000\x001\x000\x001\x000\x000\x002\x001, SN=\x01}\x00A\x00I\x00K\x00O\x00V\x00S\
\x00K\x00I, GN=IGOR/serialNumber=37101010021
...

Tundub, et kõigil test kaartidel on algselt samad pinid ja puk, mida saab muuta id kaardi utiliidiga, http://www.id.ee/index.php?id=30379

* PIN1 kood - 0090
* PIN2 kood - 01497
* PUK kood - 17258403

===Kaardilugeja firmware uuendamine===

Kui kaardilugeja nö peaks töötama, aga ei tööta, siis mõnel juhul on otstarbekas kaaluda kaardilugeja firmware uuendamist. Nt SCR311 kaardilugeja puhul sobib selleks kasutada Windows 7 keskkonda, et uuendada 4. -> 5. versoonide vahel.

Kasulikud lisamaterjalid

* http://www.jasemccarty.com/blog/?p=1134
* https://militarycac.com/cacdrivers.htm

===Märkused===

* Kui brauser või postiklient lakkavad töötamast ID-kaardiga, siis maksab need programmid sulgeda ja samuti peatada pcscd deemon ning seejärel esmalt deemon ning siis rakendusprogrammi uuesti käivitada.
* Kuivõrd ID-kaardi sertifikaadid kehtivad suhteliselt lühikest aega ning sertifikaatide uuendamisel praktiliselt kirjutatakse vanad sertifikaadid üle uutega, siis sobib ID-kaardi vahendeid andmete krüptimiseks kasutada nö turvalise transpordi sooritamiseks ja mitte andmete pikaajaliseks turvaliseks säilitamiseks. Lisaks on veel muid ohte, näiteks et ID-kaart rikneb füüsiliselt.

===Sertifikaatide uuendamine===

Sertifikaatide saab uuendada id kaarti utiliidiga, peale uuendamist näidatakse sellist pilti, tegevuse käigus küsitakse vana sertifikaadi PIN1

[[Pilt:Qesteidutil-2.gif]]

===TODO===

* ipsec lahenduse juures kasutamine

===Kasulikud lisamaterjalid===

* Eesti ID-kaardi tarkvara - http://ideelabor.ee/
* Sertifitseerimiskeskus - http://www.sk.ee/
* http://kuutorvaja.eenet.ee/wiki/Apache'i_veebiserver#ID_kaardiga_kasutaja_autentimine
* http://kuutorvaja.eenet.ee/wiki/OpenLDAP_kasutamine_Debianiga#Icedove.27i_aadressraamatu_pidamine
* https://digidoccheck.sk.ee/
* https://id.eesti.ee/trac/
* http://pcsclite.alioth.debian.org/supported.html
* http://code.google.com/p/esteid/

Eesti ID-kaardi kasutamine Debianiga

2019-04-21T20:35:47Z

Imre: /* Eesti ID kaardi kasutamine - Ubuntu 18.04 */

===Sissejuhatus===

Eesti ID-kaart on nn protsessorkaart, mis võimaldab autentimist ja allkirjastamist. ID-kaardi kasutamiseks on vajalikud

* kehtiv Eesti ID-kaart
* kasutada oleva arvuti ja operatsioonisüsteemiga sobiv kaardilugeja
* internetiühendus
* ID-kaardi võimaluste kasutamiseks sobiv kliendipoolne tarkvara
* ID-kaardi võimaluste kasutamiseks sobiv teenus internetis

Eesti ID-kaardi töö põhineb avaliku võtme (ingl. k. public key) krüptograafia kasutamisel. Avaliku võtme infrastruktuuris (ingl. k. PKI - public key infrastructure) esitatakse kasutaja avalik võti koos kasutaja kohta käivate muude andmetega, nt kasutaja nimi ja eposti aadress selle konkreetse infrastruktuuri mõne ülemise sajalase võtmega signeeritud kujul ja seda tulemust nimetatakse kasutaja sertifikaadiks. Lisaks on sertifikaadis kirjas andmed selle sertifikaadi väljastaja kohta ja sertifikaadi kehtivuse aeg.

Eesti ID-kaartidega seotud avaliku võtme infrastruktuuri haldab sh väljastab ID-kaarte Sertifitseerimiskeskus http://www.sk.ee/ kusjuures ID-kaardil on kaks paari võtmeid, öeldakse ka, et kaks sertifikaati

* isikutuvastuse ehk autentimise sertifikaat
* allkirjastamise sertifikaat

Kahe erineva sertifikaadi kasutuselevõtmise põhjuseks on asjaolu, et sertifikaatidel on nö oluliselt erinev kaal

* isikutuvastuse sertfikaadiga kasutaja autendib ennast teenusele (st praktiliselt logib ennast sisse portaali internetis, siseneb kooduksega kaitstud ruumi füüsilises maailmas)
* allkirjastamise sertifikaati kasutatakse reeglina ainult digitaalallkirja andmiseks ja Eesti Vabariigis on digitaalallkirjastatud dokument võrdsustatud omakäeliselt allkirjatatud dokumendiga; reeglina pangaülekannete sooritamisel toimub sisemiselt samuti digitaalallkirjastamise protseduur

Oletame, et kui oleks kasutuses ainult üks sertifikaat ja nt kasutaja siseneb koodukse kaudu ruumi, siis võiks konstrueerida skeemi, kus ta pahaaimamatult allkirjastab mõne dokumendi, mida ta muul juhul ei oleks nõus allkirjastama. Kahe sertifikaadi kasutamisel on võimalik erinevaid rolle lahus hoida.

Kuigi eelmises lõigus kasutati väljendeid 'isikutuvastuse sertifikaadiga kasutaja identifitseerib' ja 'allkirjastamise sertifikaati kasutatakse reeglina digitaalallkirja andmiseks' tuleb seda seda mõista nii, et sisuliselt neid protseduure sooritades kasutaja kasutab vastava sertifikaadi salajast võtit. ID-kaardil asuvate salajaste võtmete kasutamine on turvakaalutlustel piiratud täiendava parooliga, nn PIN koodiga, kummalgi salajasel võtmel on oma PIN kood ja võtme kasutamise eel küsib ID-kaardi tarkvara kasutajalt seda koodi.

ID-kaardiga autentimine on dual-factor ehk two-factor autentimine http://en.wikipedia.org/wiki/Two-factor_authentication kuna see sisaldab kahte kontrolli

* midagi mida saab omada - ID-kaardi kui füüsilise eseme olemasolu kontroll
* midagi mida saab teada - salajase võtme teadmise kontroll

Võrreldes parooliga on ID-kaardi kasutamise üheks erinevuseks, et seda saab kasutada korraga ainult üks kasutaja nö ühest kasutuspunktist.

===Eesti ID-kaardi sertifikaatide LDAP kataloogiteenus===

Kuna avaliku võtme infrastruktuuri üheks koostisosaks on, et kõigi kasutajate avalikud võtmed st sertifikaadid on kõigile avalikult kättesaadavad, siis SK on teinud kasutajate sertifikaadid internetis kättesaadavaks LDAP kataloogiteenuse abil aadressil ldap.sk.ee. Kasutaja sertifikaate (mis sisaldavad avalikke võtmeid) saab teades tema isikukoodi kopeerida öeldes nt

$ ldapsearch -LLL -H ldap://ldap.sk.ee -x -b "c=EE" "(serialNumber=37003212713)"
dn: cn=OOLBERG\2CIMRE\2C37003212713,ou=Authentication,o=ESTEID,c=EE
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
cn: OOLBERG,IMRE,37003212713
serialNumber: 37003212713
userCertificate;binary:: MIIEGjCCAwKgAwIBAgIESIQxaDANBgkqhkiG9w0BAQUFADBbMQswC
QYDVQQGEwJFRTEiMCAGA1UEChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMGRV
...
z5vZN4059dNaqZqVg5rlVrLS5/T+sK8PHxYcO+SKDZYobddJIv6i2XlpVAQLgkChEiXI2Bd3AMfpw
fVbAjDsHXasblBtut7k1MItT3YLaNZ/xq9BY/B7afXqg==

dn: cn=OOLBERG\2CIMRE\2C37003212713,ou=Digital Signature,o=ESTEID,c=EE
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
cn: OOLBERG,IMRE,37003212713
serialNumber: 37003212713
userCertificate;binary:: MIID2jCCAsKgAwIBAgIESIQxaTANBgkqhkiG9w0BAQUFADBbMQswC
QYDVQQGEwJFRTEiMCAGA1UEChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMGRV
..

Konkreetse sertifikaadi dn elemendi kopeerimiseks sobib öelda nt

$ ldapsearch -LLL -H ldap://ldap.sk.ee -x -b ou=authentication,o=ESTEID,c=EE "(serialNumber=37003212713)" dn
dn: cn=OOLBERG\2CIMRE\2C37003212713,ou=Authentication,o=ESTEID,c=EE

===Kaardilugeja ühendamine operatsioonisüsteemiga===

Märkus: 2010 kevade seisuga peaks töötama täitsa hästi Linuxi ja Windowsiga nt kaks sellist mudelit, mida on ka kauplustes suhteliselt hästi saada

* Omnikey Cardman 1021 - USB (lauaarvutile, sülearvutile)
* Omnikey Cardman 4321 - ExpressCard http://en.wikipedia.org/wiki/ExpressCard (sülearvutile)

Ehk kõige parem kui kaardilugeja ühendub arvutiga USB abil, nt sobib mudel SRC-331. Debian Etch ja Lenny sisaldavad paketihalduses ID-kaardi kasutamiseks sobivat tarkvara, mille koduleht asub aadressil http://ideelabor.ee/ ja mille kasutamist käesolev tekst kirjeldab.

USB kaudu ühendatud ID-kaardilugeja kasutamise eelduseks on, et operatsioonisüsteem toetab USB seadmete kasutamist, sellest annab tunnistust peale kaardilugeja ühendamist lsusb sarnane väljund, kus on muu seas näha SCR331 seadmele vastav rida

# lsusb
Bus 004 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub
Bus 003 Device 002: ID 0483:2016 SGS Thomson Microelectronics Fingerprint Reader
Bus 003 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub
Bus 002 Device 006: ID 04e6:e001 SCM Microsystems, Inc. SCR331 SmartCard Reader
Bus 002 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub
Bus 001 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub

ID-kaardiga suhtlemiseks vajaliku tarkvara paigaldamiseks tuleb öelda

# apt-get install opensc pcscd libccid

Seejärel tuleb redigeerida kahte faili

* Näitena jagatavas /etc/opensc/opensc.conf failis tuleb teha kolm muudatust

# zcat /usr/share/doc/libopensc2/examples/opensc.conf.gz > /etc/opensc/opensc.conf

Leidke failist üles need parameetrid ning muutke nende väärtused sellisteks

try_emulation_first = yes;
lock_login = false;
reader_drivers = pcsc, ctapi;

* Failis /usr/lib/pcsc/drivers/ifd-ccid.bundle/Contents/Info.plist peavad sisalduma sellised read (tundub, et see on teatud SRC331 mudelite või eksemplaride spetsiifiline asi), leidke ja muutke olemasolevaid

<key>ifdDriverOptions</key>
<string>0x0004</string>

Seejärel seisake ja käivitage pcscd deemon

# /etc/init.d/pcscd restart

Kontrollimaks, et tarkvara sai korrektselt paigaldatud küsime süsteemi ühendatud kaardilugejate nimekirja

# opensc-tool -l
Readers known about:
Nr. Driver Name
0 pcsc SCM SCR 331 00 00

Ning küsime ID-kaardile kantud sertifikaatide nimekirja

# pkcs15-tool -c
X.509 Certificate [Isikutuvastus]
Flags : 0
Authority: no
Path : 3f00eeeeaace
ID : 01

X.509 Certificate [Allkirjastamine]
Flags : 0
Authority: no
Path : 3f00eeeeddce
ID : 02

===pkcs11-tool utiliidi kasutamine===

PKCS#11 is a software API for accessing cryptographic hardware like smart cards or HSM. pkcs11-tool realiseerib PKCS11 (Public Key Cryptography Standards) standardit ja võimaldab suhelda krüptoseadmega üle Cryptoki (Cryptographic Token Interface) API. Slottide nimekirja esitamiseks sobib öelda

<pre>
# pkcs11-tool -L
Available slots:
Slot 0 (0x0): Alcor Micro AU9540 00 00
(empty)
Slot 1 (0x4): Gemalto PC Twin Reader (A76A2DE4) 01 00
token label : PIN1 (OOLBERG,IMRE,37003212713)
token manufacturer : AS Sertifitseerimiskeskus
token model : PKCS#15 emulated
token flags : login required, rng, token initialized, PIN initialized
hardware version : 0.0
firmware version : 0.0
serial num : AA9909781
pin min/max : 4/12
Slot 2 (0x5): Gemalto PC Twin Reader (A76A2DE4) 01 00
token label : PIN2 (OOLBERG,IMRE,37003212713)
token manufacturer : AS Sertifitseerimiskeskus
token model : PKCS#15 emulated
token flags : login required, rng, token initialized, PIN initialized
hardware version : 0.0
firmware version : 0.0
serial num : AA9909781
pin min/max : 5/12
</pre>

Slot sisu esitamiseks, nb! slot numbri väärtus tuleb võtta sulgudest, küsitakse pin1 väärtust

<pre>
# pkcs11-tool --slot 4 -O -l
Logging in to "PIN1 (OOLBERG,IMRE,37003212713)".
Please enter User PIN:

Private Key Object; EC
label: Isikutuvastus
ID: 01
Usage: sign, derive
Certificate Object; type = X.509 cert
label: Isikutuvastus
ID: 01
Public Key Object; EC EC_POINT 384 bits
EC_POINT: 0461046231c67...
EC_PARAMS: 06052b81040023
label: Isikutuvastus
ID: 01
Usage: encrypt, verify
</pre>

kus

* ühes slotis on paistab olevat kolm objekti, private key, sertifikaat ja public key

Kasulikud lisamaterjalid

* https://en.wikipedia.org/wiki/PKCS
* https://github.com/OpenSC/OpenSC/wiki/Frequently-Asked-Questions

===pkcs15-tool utiliidi kasutamine===

PKCS#15 is a format of on-card structures that defines a “filesystem layout” for smart cards. pkcs15-tool abil saab kopeerida ID-kaardilt sertifikaate, sedasi

# pkcs15-tool -r 01
-----BEGIN CERTIFICATE-----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==
-----END CERTIFICATE-----

Selle sertifikaadi sisu arusaadavamale kujule viimiseks tuleb öelda

# pkcs15-tool -r 01 > imreoolberg-autentimise-sertifikaat.pub
# openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -text
Certificate:
Data:
Version: 3 (0x2)
Serial Number: 1216622952 (0x48843168)
Signature Algorithm: sha1WithRSAEncryption
Issuer: C=EE, O=AS Sertifitseerimiskeskus, OU=ESTEID, CN=ESTEID-SK 2007
Validity
Not Before: Jul 21 06:49:12 2008 GMT
Not After : Sep 11 21:00:00 2012 GMT
Subject: C=EE, O=ESTEID, OU=authentication, CN=OOLBERG,IMRE,37003212713, SN=OOLBERG, GN=IMRE/serialNumber=37003212713
Subject Public Key Info:
Public Key Algorithm: rsaEncryption
RSA Public Key: (1024 bit)
Modulus (1024 bit):
..

Sertifikaadist saab küsida ka üksikuid elemente, nt Subject'i, mis näitab kellele on sertifikaat väljastatud

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -subject
subject= /C=EE/O=ESTEID/OU=authentication/CN=OOLBERG,IMRE,37003212713/SN=OOLBERG/GN=IMRE/serialNumber=37003212713

või Issuer'i, mis näitab, kes sertifikaadi väljastas

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -issuer
issuer= /C=EE/O=AS Sertifitseerimiskeskus/OU=ESTEID/CN=ESTEID-SK 2007

või ajavahemiku, mil sertifikaat kehtib

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -dates
notBefore=Jul 21 06:49:12 2008 GMT
notAfter=Sep 11 21:00:00 2012 GMT

Lisaks sertifikaatidele ja võtmetele sisaldab veel andmeid id kaardi nö elektroolilises osas, nt dokumendi number. Seda ja muid andmeid saab küsides nn dump'i

# pkcs15-tool -D -r 01
Using reader with a card: SCM SCR 331 [CCID Interface] (504005BE) 00 00
..
PKCS#15 Card [IMRE OOLBERG]:
Version : 2
Serial number : A0055799
Manufacturer ID: AS Sertifitseerimiskeskus
Flags : Read-only, PRN generation, EID compliant
...

Kui arvutis on kasutusel mitu ID kaarti, siis saab kontrollida millisega tegeledakse parameetri abil

--reader N

===Iceweasel brauseri kasutamine===

Iceweasel brauseri abil on iseenesest võimalik kahe tegevuse sooritamine

* autentimine - kasutaja kinnitab teenusele, nt veebiportaalile, et tema kasutuses on tema autentimise sertifikaadis sisalduvale avalikule võtmele vastav salajane võti
* digitaalne allkirjastamine - kastutaja kinnitab teenusele, nt pangaülekande sooritamisel, et tema kasutuses on tema allkirjastamise sertifikaadis sisalduvale avalikule võtmele vastav salajane võti

Kuivõrd teenuse jaoks on praktiliselt oluline, et kasutaja kinnitaks sertifikaadile vastava salajase võtme olemasolu PIN koodi sisestamise teel, siis siit järeldub, et tuleb hoolega hoida ID-kaarti ning ID-kaardi PIN koode enda teada.

Brauseri tööleseadmine autentimiseks on lihtsam ning allkirjastamiseks keerulisem. Tundub, et praktiliselt on 2009 klienditarkvara ja nende teenuste tarkvara, mida saab Iceweaseliga kasutada seis selline, et Iceweasel brauser iseseisvalt ei tegele andmete allkirjastamisega; allkirjastamine toimub nt Java appleti abil, kusjuures applet küsib kasutajalt allkirjastamiseks vajalikku PIN2 koodi. Seda arvestades on soovitav kasutada turvaseadme kirjeldamisel spetsiaalselt ettevalmistatud teeki onepin-opensc-pkcs11.so, mis efektiivselt varjab brauseri eest ära teise sertifikaadi, kui seda mitte teha, siis praktililiselt hakkab brauser kasutajalt küsima ise vaheldumisi mõlema sertifikaadi PIN koodi ja see oleks üsna eksitav.

Brauseri ID-kaardiga kasutamise ettevalmistamiseks tuleb avada

Edit -> Preferences -> Advanced -> Encryption -> Security Devices -> Load

ning kirjeldada Eesti ID-kaardile vastav turvaseade (ingl. k. security device)

Module Name: esteid
Module filename: /usr/lib/onepin-opensc-pkcs11.so

Sõltuvalt sellest, kas soovitakse, et peale PIN1 sisestamist küsiks brauser kasutajalt igal ID-kaardiga autentimise korral kinnitust või mitte tuleb valida

* Select one automatically
* Ask me every time

[[Pilt:Id-auth-cc.gif]]

====Iceweasel brauseri kasutamine autentimiseks====

Auntentimiseks piisab turvaseadme ettevalmistamisest ning seejärel saab näiteks logida sisse riigiportaali, küsitakse PIN1 koodi

[[Pilt:Id-auth-java-pin1.gif]]

====Iceweasel brauseri kasutamine allkirjastamiseks====

Nt SEB pangas makset sooritades toimub digitaal-allkirjastamise protseduur; ja https://digidoc.sk.ee/ või riigiportaali eesti.ee kasutamisel saab moodustada uut digitaalselt allkirjastatud dokumenti või kontrollida olemasoleval digitaalselt allkirjastatud dokumendil allkirja kehtivust. Osa kasutajaid suhtub veebiliidese kaudu dokumentide allkirjastamisse äärmiselt kahtlustavalt, kuna kui juba lokaalse rakendusega digitaalallkirja andmisel ei saa olla täiesti kindel, millele ikkagi allkiri antakse, siis veebirakenduse puhul on see veel eriti nii.

Iceweasel brauseriga allkirjastamiseks peab olema paigaldatud Mozilla Sun Java plugini tarkvara pakett (millega koos paigaldatakse vajadusel ka JVM, kusjuures on oluline kasutada justnimelt Sun Java mitte IBM või GCJ implementatsioone)

# apt-get install sun-java5-plugin

Ning lisaks kopeerida teek

# mkdir /tmp/teek && cd /tmp/teek
# wget http://ideelabor.ee/downloads/pkcs11wrapper-linux.tar.gz
# tar zxf pkcs11wrapper-linux.tar.gz
# find . -type f -ls
442489 104 -rwxr-xr-x 1 501 501 99004 Apr 23 2004 ./libpkcs11wrapper.so

Seejärel tuleb otsida üles arvutist JVM kataloog

# find /usr -type f -name java -ls
173534 68 -rwxr-xr-x 1 root root 65116 May 28 2008 /usr/lib/jvm/java-1.5.0-sun-1.5.0.16/jre/bin/java

mis tähendab, et

JAVA_HOME=/usr/lib/jvm/java-1.5.0-sun-1.5.0.16

Lõpuks tuleb kopeerida lahtipakitud teek kataloogi ${JAVA_HOME}/jre/lib/i386

# cp libpkcs11wrapper.so /usr/lib/jvm/java-1.5.0-sun-1.5.0.16/jre/lib/i386

Lisaks peavad olema lingid, esimene on vajalik digidoc portaali kasutamiseks ja teine SEB pangas

# ln -s /usr/lib/opensc-pkcs11.so /usr/lib/libopensc-pkcs11.so
# ln -s /usr/lib/opensc-pkcs11.so /usr/lib/libesteid-pkcs11.so

NB! Java tarkvara uuendamisel mõnel juhul muutub ka versiooni number nii, et muutub java asukoht failisüsteemis, nt

/usr/lib/jvm/java-1.5.0-sun-1.5.0.16 -> /usr/lib/jvm/java-1.5.0-sun-1.5.0.17

Sel juhul tuleb libpkcs11wrapper.so kopeerida samasse alamkataloogi kuhu ennegi uue java kataloogi sisse.

Kui süsteemi on paigaldatud lisaks mõni uuem java versioon, nt paketist sun-java6-*, siis tuleb kõnealune wrapper kopeerida kõige uuema Java vastavasse kataloogi, nt

# cp libpkcs11wrapper.so /usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/i386/

=====Allkirjastamine SEB pangas=====

Peale panga keskkonda sisselogimist (kas otseselt või läbi mõne muu teenusepakkuja, nt www.if.ee, www.energia.ee jt) ning maksekorralduse ettevalmistamist esitatakse allkirja andmise juurde esmakordsel minemisel küsimus rakenduse usaldusväärsuse kohta

[[Pilt:Id-allkiri-java-pin4.gif]]

ja seejärel tuleb ära oodata pisut eksitav tühi aken, kus tuleb valida Cancel

[[Pilt:Id-allkiri-java-pin3.gif]]

ning seejärel valides Allkirjasta öeldakse, et loetakse andmeid kiipkaardilt ning küsitakse PIN2 koodi

[[Pilt:Id-allkiri-java-pin2.gif]]

Allkirjastamise ajal töötab java rakendus sun.plugin2.main.client.PluginMain

$ ps aux | grep java
mart 6859 10.1 4.7 242668 48832 ? Sl 10:55 0:04 /usr/lib/jvm/java-6-sun-1.6.0.12/jre/bin/java -D__jvm_launched=5951554477 \
-Xbootclasspath/a:/usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/deploy.jar:/usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/javaws.jar:\
/usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/plugin.jar -Djava.class.path=/usr/lib/jvm/java-6-sun-1.6.0.12/jre/classes \
sun.plugin2.main.client.PluginMain write_pipe_name=/tmp/.com.sun.deploy.net.socket.5659.2862701817965363267.AF_UNIX

=====Allkirjastamine Sertifitseerimiskeskuse digidoc.sk.ee portaalis=====

https://digidoc.sk.ee/ portaal võimaldab veebipõhises keskkonnas sooritada digitaalallkirjastamisega seotud protseduure, nt anda allkirja, kontrollida allkirja ja jagada sama dokumenti teiste portaali kasutajatega selleks, et ühte dokumenti saaks allkirjastada mitu osapoolt. Portaali sisenemisel avaneb kasutuskeskkonnale sarnane vaade, süsteemi on laaditud kaks dokumenti, ühel on üks allkiri ja teisel ei ole ühtegi allkirja

[[Pilt:Digidoc-1.gif]]

Keskkonna kasutamine võiks toimuda suhteliselt intuatiivselt, dokumenti allkirjastamisel tuleb täita sarnased lahtrid nagu nn lokaalset digidoc klienti kasutades

[[Pilt:Digidoc-2.gif]]

Allkirjastamisel küsitakse kasutajalt PIN2 koodi

[[Pilt:Digidoc-3.gif]]

https://digidoc.sk.ee/ keskkonnas ei saa tegeleda krüptitud dokumentidega ehk nn .cdoc failidega.

=====Allkirjastamine riigiportaalis www.eesti.ee=====

Aadressil https://www.eesti.ee/ asuvas riigiportaalis sektsioonis

Kodanikule -> Digitaalallkiri

saab veebipõhises keskkonnas sooritada digitaalallkirjastamisega seotud protseduure, nt anda allkirja, kontrollida allkirja ja jagada sama dokumenti teiste portaali kasutajatega selleks, et ühte dokumenti saaks allkirjastada mitu osapoolt.

Portaali Digiallkirja sektsiooni sisenemisel avaneb kasutuskeskkonnale sarnane vaade, süsteemi on laaditud kaks dokumenti, ühel on üks allkiri ja teisel ei ole ühtegi allkirja

[[Pilt:Riigiportaal-digiallkiri-1.gif]]

Keskkonna kasutamine võiks toimuda suhteliselt intuatiivselt, dokumendi allkirjastamisel tuleb täita sarnased lahtrid nagu nn lokaalset digidoc klienti kasutades, PIN2 sisestamine toimub Java appleti abil, sarnaselt

[[Pilt:Riigiportaal-digiallkiri-2.gif]]

Riigiportaalis ei saa tegeleda krüptitud dokumentidega ehk nn .cdoc failidega.

===Icedove postikliendi kasutamine===

Lisaks nö tavalistele e-kirjadele on võimalik moodustada spetsiaalsete lisaomadustega kirju

* allkirjastatud kiri - kirja saatja moodustab allkirja oma salajase võtmega; kirja saaja saab olla kindel, et kiri on saadetud just selle kasutaja poolt kelle sertifikaadi (avaliku võtme) abil õnnestub kirja autentsust kontrollida; kirja sisu on kõigile avalik, kuid kirjale on nö attachmentiga sarnaselt juurde digitaalse allkirja osa; oluline erinevus nö .ddoc allkirjastamisest on, et reeglina ei kasutata seejuures Sertifitseerimiskeskusest saadud kehtivuskinnitust
* krüptitud kiri - kirja saatja krüptib kirja adressaadi avaliku võtmega (sertifikaadiga); kirja saatja saab olla kindel, et mitte keegi peale selle kasutaja, kelle kasutuses on vastav salajane võti saab kirja sisuga tutvuda

Tuleb arvestada, et eposti allkirjastamine ja krüptimine omab tähendust ainult epostiga tegelemisel ning kuigi see tehnika pakub võimaluse täiendava turvalisuse saavutamiseks ei ole tegu Eesti Vabariigi seaduse mõttes kehtiva digitaalselt allkirjastatud dokumendiga juba seetõttu, et mõlemal juhul kasutatakse autentimise sertifikaati.

Kirja krüptimisel ei ole see tingimata oluline, aga allkirjastamiseks Eesti ID-kaardil asuva autentimise sertifikaadile vastava salajase võtmega eeltingimuseks on, et kasutaja on oma postiprogrammis kirjeldanud tema sertifikaadil leiduva postiaadressiga seotud konto. Sertifikaadile märgitud postiaadressi saab küsida sertifikaadilt öeldes

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -email
imre.oolberg@eesti.ee

Iceweasel programmi ID-kaardiga kasutamise ettevalmistamiseks tuleb avada

Edit -> Preferences -> Advanced -> Certificates -> Security devices -> Load

ning kirjeldada Eesti ID-kaardile vastava turvaseade (ingl. k. security device)

Module Name: esteid
Module filename: /usr/lib/onepin-opensc-pkcs11.so

Lisaks tuleb laadida Icedove'i SK juursertifikaat, ESTEID-SK ja ESTEID-SK 2007 sertifikaadid, mis saab kopeerida http://www.sk.ee/ (Avaleht -> Sertifitseerimine -> Baasinfo -> Juursertifikaadid) veebikohast

Edit -> Preferences -> Advanced -> Certificates -> View Certificates -> Authorities -> Import

Kusjuures tuleb kindlasti vastata jaatavalt küsimusele, et neid usaldatakse eposti jaoks kasutamiseks

[[Pilt:Id-sign-0.gif]]

Seejärel tuleb Icedove'is seoses nn @eesti.ee aadressiga, nt imre.oolberg@eesti.ee, kirjeldatud konto juures näidata, milliseid sertifikaate kasutatakse eposti allkirjastamise ning krüptimise juures, valida ülemine Select (Digital Signing)

[[Pilt:Id-sign-1.gif]]

Peale PIN1 koodi sisestamist esitab arvuti valitud sertifikaadi andmed

[[Pilt:Id-sign-2.gif]]

Valides järgmisena Encryption juures Select küsib arvuti, kas ma soovin kasutada sama sertifikaati (õigemini sama sertifikaadiga seotud salajast võtit) teiste kasutajate poolt mulle saadetud krüptitud kirjade (mis on krüptitud minu avaliku võtmega) lahtikürptimiseks, sobib vastata jaatavalt.

====Icedove postikliendi kasutamine eposti allkirjastamiseks====

Kirja saatmine toimub tavapäraselt ainukese erinevusega, et enne kirja saatmist tuleb valida Security alt

Digitally Sign This Message

[[Pilt:Id-sign-3-1.gif]]

Kirja saajal peab olema postiprogrammi laaditud vähemalt SK juursertifikaat (sellest piisab allkirja kontrollimiseks, sest signatuur sisaldab ka allkirjastaja sertifikaati ning ahelat SK juursertifikaadini ja brauseris oleva SK juursertifikaadiga saab seega tuvastada kasutaja allkirja kehtivust) abil ning kiri pasitab sellisena

[[Pilt:Id-sign-3-2.gif]]

Messsage Security aken avaneb vajutades programmiakna paremas servas asuvale kollane-punane värvi ümbriku kujutisele ja ütleb, et vaatlusalune kiri on allkirjastatud (ingl. k. signed) ning allkiri (ingl. k. signature) on kehtiv. St kirja saaja saab olla kindel, et kiri on saadetud selle poolt, kelle kasutada on allkirja kontrollimisel kasutatud sertifikaadile vastav salajane võti.

====Icedove postikliendi kasutamine eposti krüptimiseks====

Eposti krüptimine toimub adressaadi Eesti ID-kaardi autentimise avaliku võtmega, mis tähendab, et keegi teine peale vastava salajase võtme valdaja ei saa sõnumi teksti sisuga tutvuda. Kirja saatmisel tuleb valida

Security -> Encrypt This Message

[[Pilt:Id-sign-3-3.gif]]

Kirja lugemisel peab olema võimalik kasutada ID-kaarti ning tulemus võiks paista sarnane

[[Pilt:Id-sign-3-4.gif]]

Security Message aken avaneb vajutades programmiakna paremas servas asuvale tabaluku kujutisele ja ütleb, et kiri on krüptitud ning selle sisuga on peale adressaadi teistel kasutajatel ülimalt raske tutvuda.

Kui krüptitud kirja adressaadil on ID-kaardi kasutamine seadistamata, siis esitab programm kasutajale veateadet

Icedove cannot decrypt this message

The sender encrypted this message to you using one of your digital certificates, however Icedove was not able to find
this certificate and corresponding private key.

Possible solutions:

* If you have a smartcard, please insert it now.
* If you are using a new machine, or if you are using a new Icedove profile, you will need to restore your certificate
and private key from a backup. Certificate backups usually end in ".p12".

Krüptimisel tuleb arvestada, et kirja päised sh Message-ID, Date, From, To, Subject jt ei ole krüptitud

..
Message-ID: <49B277C9.8010303@eesti.ee>
Date: Sat, 07 Mar 2009 15:34:01 +0200
From: Imre Oolberg <imre.oolberg@eesti.ee>
User-Agent: Mozilla-Thunderbird 2.0.0.19 (X11/20090103)
MIME-Version: 1.0
To: imre.oolberg@eesti.ee
Subject: eesti muld ja eesti =?ISO-8859-1?Q?s=FCda?=
Content-Type: application/x-pkcs7-mime; name="smime.p7m"
Content-Transfer-Encoding: base64
Content-Disposition: attachment; filename="smime.p7m"
Content-Description: S/MIME Encrypted Message

MIAGCSqGSIb3DQEHA6CAMIACAQAxgf0wgfoCAQAwYzBbMQswCQYDVQQGEwJFRTEiMCAGA1UE
ChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMGRVNURUlEMRcwFQYDVQQD
Ew5FU1RFSUQtU0sgMjAwNwIESIQxaDANBgkqhkiG9w0BAQEFAASBgB4isztO9MjE1ZQUzA7e
U1E0YTQZF0nIW4b46Nn/Be+DtUgzZWyZjgln4YxqQ7vDWPJiFNJTqdLjNCPGb6WEJ7ddZJGp
hM/z+tyCNHrXP6DbvjtmF9qJ9WgvyiqHyQMr8FKRCnLdcj70G+N0EzFnsMq4QsvLi6PHaE7v
rWGWq1ynMIAGCSqGSIb3DQEHATAUBggqhkiG9w0DBwQInoBpNLI3/IOggASCAijikH35Tqn9
..

====Teiste kasutajate sertifikaatide kasutamine====

Selleks, et

* saata teisele @eesti.ee postisüsteemi kasutajale krüptitud kirja
* kontrollida teise @eesti.ee postisüsteemi kasutaja poolt saadetud allkirjastatud kirja allkirja

peab olema Icedove'i laaditud teise kasutaja avalik võti, mis esineb nn autentimise sertifikaadi kujul. Selleks tuleb teades kasutaja isikukoodi kopeerida sertifikaadid ldap.sk.ee serverist, nt

$ ldapsearch -LLL -H ldap://ldap.sk.ee -x -b "c=EE" "(serialNumber=37003212713)"

Salvestada esimesele sertifikaadile vastav tekstiosa st

...
userCertificate;binary:: MIID2jCCAsKgAwIBAgIESIQxaTANBgkqhkiG9w0BAQUFADBbMQswC
..
cOXVX08WgFeVtlH1S6AeDIuY1i/EIngiAUV
....

tekstifaili, alates MIID2.. osast, tekstifail peab algama ja lõppema spetsiaalse tunnusega, kokku peab saama sarnane fail

-----BEGIN CERTIFICATE-----
MIID2jCCAsKgAwIBAgIESIQxaTANBgkqhkiG9w0BAQUFADBbMQswC
..
cOXVX08WgFeVtlH1S6AeDIuY1i/EIngiAUV
-----END CERTIFICATE-----

Ning see fail tuleb laadida Icedove'i valides

Edit -> Preferences -> Advanced -> Certificates -> View Certificates -> Other People's -> Import

Seejärel saab saada sertifikaadis näidatud eposti aadressile krüptitud posti ning samuti kontrollida selle kasutaja poolt allkirjastatud eposti signatuuri.

Kui on võimalik, siis saab teise kasutaja isikutuvastuse sertifikaadi postiklienti laadimiseks kasutada ka lihtsamat protseduuri. Nimelt, piisab kui teine kasutaja saadab esmalt signeeritud kirja ning see kiri postikliendiga avada. Sel juhul salvestatakse sertifikaat automaaselt postikliendi Other people's sertifikaatide hoidlasse.

Üldiselt võib üks ja sama kiri olla samaaegselt nii signeeritud kui ka krüptitud.

===@eesti.ee aadresside kasutamine===

Kuna Eesti ID-kaardi autentimise sertifikaadile vastava avaliku võtmega kürptitud kirju saab saata tingimusel, et adressaadiks on sertifikaadis esitatud aadress, mis on kujul

eesnimi.perekonnanimi@eesti.ee

või kui sama ees-ja perekonnanimega kasutajaid oma rohkem kui üks, siis järgmistele aadressidele on perekonnanime järele lisatud arv

eesnimi.perekonnanimi.1@eesti.ee

siis oleks hea kui sellistele aadressidele saadetud kirjad mugavasti adressaadi postkasti jõuaksid.

Käesolev asjakorraldus võimaldab Eesti ID-kaardi omanikel aadressil http://www.eesti.ee/ asuvas riigiportaalis seadistada, kuhu tema @eesti.ee aadressile saadetud kirjad edasi saadetakse. Tavaliselt on selleks nt mail.ee, gmail.com vms teenusepakkuja postkastiga seotud eposti aadress.

Kuigi tehniliselt teeb @eesti.ee aadressi kasutamine mugavaks signeeritud ja krüptitud kirjade vahetamise, töötab see ka nö tavaliste kirjade puhul.

Kusjuures varasemal ajal on kasutatud ID-kaardi autentimise sertifikaadis ka aadressi kujul, kus nnnn on neljakohaline arv

eesnimi.perekonnanimi_nnnn@eesti.ee

Lisaks, @eesti.ee postisüsteem võimaldab seadistada kasutajal omale edasisuunamise aadressi aadressile

isikukood@eesti.ee

kuid kuna see aadress ei esine sertifikaadis, siis ei ole võimalik seda kasutada eposti allkirjastamisel ega krüptimisel.

===Sertifikaadi kehtivuse kontrollimine===

Avaliku võtme infrastruktuuri üheks ülesandeks on hallata kasutajate sertifikaate sh mitmetel põhjusel sertifikaat kehtetuks kuulutada. Seega, sertifikaadi kasutamisel on oluline kontrollida, kas sertifikaat kasutamise ajal kehtib, seda saab teha SK OCSP (Online Certificate Status Protocol) abil öeldes

$ openssl ocsp -issuer esteid.pem -cert idkaardiltsert.pem -url http://ocsp.sk.ee -noverify -text
OCSP Request Data:
Version: 1 (0x0)
Requestor List:
Certificate ID:
Hash Algorithm: sha1
Issuer Name Hash: 4508A41C355C0A72485FE2DF7B6A6788C6A55022
Issuer Key Hash: 4806DEBE8C875795807863FA9C232B2BA03A1875
Serial Number: 48843168
Request Extensions:
OCSP Nonce:
0410090A1FA4F0555E82C1DFB4722FC61696
OCSP Response Data:
OCSP Response Status: successful (0x0)
Response Type: Basic OCSP Response
Version: 1 (0x0)
Responder Id: C = EE, O = ESTEID, OU = OCSP, CN = ESTEID-SK 2007 OCSP RESPONDER, emailAddress = pki@sk.ee
Produced At: Oct 7 22:15:36 2008 GMT
Responses:
Certificate ID:
Hash Algorithm: sha1
Issuer Name Hash: 4508A41C355C0A72485FE2DF7B6A6788C6A55022
Issuer Key Hash: 4806DEBE8C875795807863FA9C232B2BA03A1875
Serial Number: 48843168
Cert Status: good
This Update: Oct 7 22:15:36 2008 GMT

Response Extensions:
OCSP Nonce:
0410090A1FA4F0555E82C1DFB4722FC61696
cert.pem: good
This Update: Oct 7 22:15:36 2008 GMT

Kus esteid.pem sertifikaadi saab kopeerida SK veebikohast.

===ID-kaardi kasutamine chroot keskkonnast===

Märkus: 20090314 stabiilne Debian Lenny sisaldab sun-java6-plugin paketti.

Üks praktiline vajadus kasutada ID-kaarti chroot programmiga moodustatud chroot keskkonnast oleks 64 bit Debiani operatsioonisüsteemis kasutada 32 bit Iceweaselit'i. Põhjusel, et 32 bit arhitektuurile on olemas Iceweaseli java plugin (pakett sun-java6-plugin), aga 64 bitile seda 2008 aastal pole. Omakorda on java vajalik, et saaks nt SEB pangas allkirjastada st sooritada ülekannet.

Tundub, et kui arvutile külge ühendatud ID-kaarti on tarvis kasutada chroot käsu abil moodustatud chroot keskkonnast, siis tuleb öelda (pcscd deemon töötab nn absoluutses arvutis)

# mount --bind /var/run/pcscd /srv/arvuti-32/var/run/pcscd

ning seejärel tuleb käivitada iceweasel nt selliselt läbi sudo

$ sudo /usr/sbin/chroot /srv/arvuti-32 iceweasel

Selleks, et chroot keskkonnas käivitatud iceweasel saaks näidata oma pilti X serverile tuleb xhost käsuga kaasa aidata, nt öelda

$ xhost +iceweaseliarvutinimi

kusjuures ilma argumentideta xhost näitab, millistest arvutitest on võimalik X serveri poole pöörduda.

Kirjeldatud asjakorralduse puhul ei ole tarvis chroot keskkonda ühendada külge mingeid muid failisüsteeme (nt /proc, /sys) ega käivitada seal deemoneid pcscd vms.

Sudo töötamiseks on vajalik omakorda sellist sisu /etc/sudoers faili

User_Alias CHROOT_USERS = mart
Cmnd_Alias CHROOT_CMD = /usr/sbin/chroot
Host_Alias MORAAL = arvuti
CHROOT_USERS MORAAL = (root) NOPASSWD: CHROOT_CMD

Milliseid turvariske selline asjakorraldus tema jaoks toob peab iga kasutaja ise hindama, eriti seoses X serverile ligipääsemisega kus on avatud ID-kaarti kasutav rakendus.

===ID-kaardi kasutamine konsoolilt arvutisse sisselogimiseks===

Arvutisse sisselogimise kontrollimist on võimalik korraldada ID-kaardi isikutuvastuse sertifikaadiga. Ehk täpsemini, sisselogimisel peab kasutaja tõendama, et ta saab kasutada isikutuvastuse sertifikaadile vastavat salajast võtit ja seda ta teeb PIN1 koodi sisestamise teel.

Tööleseadistatud süsteemi kasutamine näeb välja mitte-graafilise konsooli (tõenäoliselt mingi getty) kasutamisel selliselt, tulemusena on kasutaja süsteemi sisse loginud, nt juurkasutaja

Debian GNU/Linux 5.0 arvutinimi tty4

arvutinimi login: root
Please insert your smart card or enter your username.
Smart card inserted.
Welcome to ID-kaart (PIN1, Isikutuvastus)!
Smart card password:
...

bash#

Sellise asjakorralduse tööleseadmiseks tuleb üldiselt ID-kaart arvutiga ära ühendada nii nagu on ülal punktis 'Kaardilugeja ühendamine operatsioonisüsteemiga' kirjeldatud ning seejärel

* seadistada sisselogimise kontrolli süsteemne osa
* seadistada sisselogimise kontrolli kasutajaspetsiifiline osa

====Süsteemi ettevalmistamine====

Süsteemi ettevalmistamiseks tuleb lisaks paigaldada pakett libpam-pkcs11

# apt-get install libpam-pkcs11

Seejärel moodustada kataloog /etc/pam_pkcs11, sinna näidise eeskujul seadistusfail

# mkdir /etc/pam_pkcs11
# zcat /usr/share/doc/libpam-pkcs11/examples/pam_pkcs11.conf.gz > /etc/pam_pkcs11/pam_pkcs11.conf
# zcat /usr/share/doc/libpam-pkcs11/examples/pam_pkcs11.conf.gz > /etc/pam_pkcs11/pam_pkcs11.conf-orig

ja teha seadistusfailis sellised muudatused

# diff pam_pkcs11.conf pam_pkcs11.conf-orig
85,86c85
< # module = /usr/lib/pam_pkcs11/pkcs11_module.so;
< module = /usr/lib/opensc-pkcs11.so;
---
> module = /usr/lib/pam_pkcs11/pkcs11_module.so;
116c115
< use_mappers = opensc, digest, cn, pwent, uid, mail, subject, null;
---
> use_mappers = digest, cn, pwent, uid, mail, subject, null;
122,123c121
< # mapper_search_path = /usr/lib/pam_pkcs11;
< mapper_search_path = /lib/pam_pkcs11;
---
> mapper_search_path = /usr/lib/pam_pkcs11;
160,161c158
< # module = /usr/lib/pam_pkcs11/opensc_mapper.so;
< module = /lib/pam_pkcs11/opensc_mapper.so
---
> module = /usr/lib/pam_pkcs11/opensc_mapper.so;

SK sertifikaatide kopeerimine ja nn hash linkide moodustmine toimub selliselt (eeldusel, et kasutaja isikutuvastuse sertifikaat on antud välja ESTEID-SK 2007 sertifikaadi suhtes)

# mkdir /etc/pam_pkcs11/cacerts
# cd /etc/pam_pkcs11/cacerts
# wget http://www.sk.ee/files/JUUR-SK.PEM.cer -O JUUR-SK.PEM.pem
# wget http://www.sk.ee/files/ESTEID-SK%202007.PEM.cer -O ESTEID-SK%202007.PEM.pem
# c_rehash .

Tulemus

# find . -ls
183909 4 drwxr-xr-x 2 root root 4096 Mar 15 12:28 .
183911 4 -rw-r--r-- 1 root root 1404 Jan 3 2007 ./ESTEID-SK\ 2007.PEM.pem
183910 4 -rw-r--r-- 1 root root 1790 Feb 6 2006 ./JUUR-SK.PEM.pem
183913 0 lrwxrwxrwx 1 root root 15 Mar 15 12:28 ./119afc2e.0 -> JUUR-SK.PEM.pem
183912 0 lrwxrwxrwx 1 root root 22 Mar 15 12:28 ./590f5e9e.0 -> ESTEID-SK\ 2007.PEM.pem

Lõpuks tuleb kirjeldada PAM mooduli seadistusfailis uus autentimisviis lisades faili /etc/pam.d/common-auth juurde esimeseks reaks

auth sufficient pam_pkcs11.so nullok

====Kasutajakeskkonna ettevalmistamine====

Selleks, et konktreene kasutaja, nt juurkasutaja saaks süsteemi siseneda tuleb moodustada kataloog

# mkdir /root/.eid

ning kopeerida ID-kaardilt isikutuvastuse sertifikaat faili /root/.eid/authorized_certificates

# pkcs15-tool -r 01 > /root/.eid/authorized_certificates

===Eesti ID-kaardi kasutamine OpenVPN lahendusega===

OpenVPN pala tekstis http://kuutorvaja.eenet.ee/wiki/OpenVPN_ja_Eesti_ID-kaardi_kasutamine on kirjeldatud, kuidas kasutada Eesti ID-kaarti VPN kasutajate autentimiseks.

===Eesti ID-kaardi kasutamine GnuPG-2 tarkvaraga===

Märkmed Eesti ID-kaardi võimalikust kasutamisest GnuPG-2 tarkvaraga, mis kahjuks ei vii tulemuseni, aga võimalik, et ühel päeval viivad, http://kuutorvaja.eenet.ee/wiki/GnuPG_kasutamine_Debianiga#Eesti_ID-kaardi_kasutamine_GnuPG-2_tarkvaraga

===ID-kaardi koodide muutmine===

ID-kaardi isikutuvastuse ja allkirjastamise võtmete kasutamist kaitstakse koodidega, vastavalt PIN1 ja PIN2 koodid. Lisaks on kasutusel PUK kood, mille abil saab PIN1 ja PIN2 koodi vajadusel muuta, näiteks kui mõni PIN kood on saanud teatavaks kellelegi teisele või mõni PIN kood on ära ununenud. Kui sooritada kolm järjestikulist ebaõnnestunud koodi sisestamist, siis ligipääs kõnelusele salajasele võtmele lukustatakse, st et enne kui seda saab uuesti kasutada, tuleb ligipääs võtmele PUK koodi abil lahti lukustada.

ID-kaardi PIN koodide lahtilukustamiseks sobib kasutada pkcs15-tool utiliiti, nt öelda PIN 1 koodi lahtilukustamiseks

# pkcs15-tool --unblock-pin -a 1
Enter PUK [PIN1, Isikutuvastus]:
Enter new PIN [PIN1, Isikutuvastus]:
Enter new PIN again [PIN1, Isikutuvastus]:

Muud käsud:

PIN1 koodi muutmiseks

# pkcs15-tool --change-pin -a 1

PIN2 koodi muutmiseks

# pkcs15-tool --change-pin -a 2

PIN2 koodi lahtilukustamiseks

# pkcs15-tool --unblock-pin -a 2

PUK koodi muutmiseks

# pkcs15-tool --change-pin -a 3

Kui aga PUK kood on kadunud, siis saab ID-kaarti kasutada seni kuni pole tarvis PIN koode muuta, vastasel korral tuleb teeninduspunktist, nt pangas paluda paigaldada ID-kaardile uus nn ümbrik.

===e-valimistel osalemine===

e-valimistel osalemiseks tuleb valimiste veebikohta sisse logida ning kopeerida lokaalselt töötav rakendus. Kävitamisel paistab selline pilt

[[Pilt:Evalimised-2009-1.gif]]

===Mobiil-ID===

Mobiil-ID tehnika võimaldab kasutada mobiiltelefoni sarnaselt ID-kaardile, mobiil-ID toimimist on kirjeldatud aadressil http://www.id.ee/10958

===ID-kaardi rakenduste arendamine===

ID-kaardi rakenduste arendajale on Sertifitseerimiskeskus tekitanud projekti OpenXades aadressil http://www.openxades.org/

* saab testida id-kaardiga allkirjastamist vastu test digidocservice teenust (selleks tuleb üles laadida oma sertifikaadid)
* saab testida mobiil-id kaardi kasutamist (selleks tuleb üles laadida oma sertifikaadid)

===Eesti ID-kaardi tarkvara arendus 2009===

Smartlink arendab RIA tellimusel 2009 aastal Eesti ID-kaardi kasutamise tarkvara https://id.eesti.ee/idtrac/, mis sisaldab muu hulgas kasutaja töökohaarvutis kasutamiseks graafilise kasutajaliidesega programme

* qesteidutil - ID-kaardi haldamise tarkvara, sertifikaatide kehtivuse kontroll, PIN koodide muutmine, sertifikaatide uuendamine jms
* qdigidocclient - andmete allkirjastamine ja allkirjade kontrollimine, st nn .ddoc ja .bdoc failidega tegelemine
* qdigidoccrypto - andmete krüptimine teise ID-kaardi kasutaja avaliku võtmega, st .cdoc failidega tegelemine

Lisaks asendab Smartlink lahendus Debian Lenny nö ametlikust tarkvarast sellised paketid

* libopensc2 - OpenSC teek
* opensc - OpenSC utiliidid, kuigi selle paketi paigaldamine ei ole lõppkasutaja seisukohast tingimata vajalik (seal sisaldub nt pkcs15-tool utiliit)

2009 aasta juuli keskel on see selle tarkvara arendusetapp lõpule jõudmas ning praktiselt saab tarkvara võimalustega tutvuda ja tasakesi kasutada.

====Tarkvara paigaldamine====

Kõnealune lahendus kasutab eraldiseisvalt eksisteerivaid OpenSC teeke (pakett libopensc2, seadistusfail /etc/opensc/opensc.conf) ning PC/SC vahendeid (pakett pcscd), Eesti ID-kaardi tarkvara paigaldamiseks tuleb lisada /etc/apt/sources.list faili rida

deb ftp://ftp.smartlink.ee/pub/id/debian/ lenny main

usaldada Smartlinki repositooriumi Release faili võtit

# wget ftp://ftp.smartlink.ee/pub/id/apt-esteid-test.gpg.asc
# apt-key add apt-esteid-test.gpg.asc
OK

NB! 20090928 seisuga selle repo kasutamisel asendatakse Debian Lenny nö enda opensc jt teeke ära Smartlinki omadega ja tulemusena ID-kaarti ei saa kasutada, vähemalt mitte ilma vajalike muudatusteta.

Tarkvara paigaldamiseks tuleb öelda

# apt-get install qesteidutil qdigidoc

paigaldatakse neli kõnealuse arendusega seotud paketti ning vajadusel sõltuvustena ka OpenSC, PC/SC jm tarkvara

* qesteidutil - Eesti ID-kaardi haldusvahend qesteidutil
* qdigidoc - programmid qdigidocclient ja qdigidoccrypto
* libdigidoc2 - nn vana teek, käsurealt kasutatav utiliit cdigidoc
* libdigidocpp0 - nn uus teek

Tarkvara kasutamiseks tuleb OpenSC ja PC/SC seada käima nii nagu on käesoleva pala alguses punktis [[:Eesti ID-kaardi kasutamine Debianiga#Kaardilugeja ühendamine operatsioonisüsteemiga]] kirjeldatud.

====Eesti ID-kaardi haldusvahend====

Eesti ID kaardi haldusvahendi qesteidutil kasutamiseks tuleb käivitada programm, nt valides menüüst või XTerm aknas öeldes

$ qesteidutil

ning avaneb aken

[[Pilt:qesteidutil-1.gif]]

Kasutajaliideses esitatud pilt kopeeritakse riigiportaali www.eesti.ee süsteemi kaudu üle X-tee KMA andmekogust.

====Digidoc klient====

Qt teeke kasutava Digidoc kliendi qdigidocclient käivitamiseks tuleb käivitada programm nt valides menüüst või XTerm aknas öeldes

$ qdigidocclient

ning avaneb aken

[[Pilt:qdigidocclient-1.gif]]

Krüptimise utiliidi saab käivitada öeldes

$ qdigidoccrypto

ning avaneb pilt

[[Pilt:qdigidoccrypto-1.gif]]

Utiliit sisalab LDAP klienti, millega saab teades teise kasutaja isikukoodi kopeerida Sertifitseerimiskeskuse LDAP kataloogist tema isikutuvastuse sertifikaadi.

====cdigidoc utiliit====

Paketi libdigidoc2 koosseisus on utiliit cdigidoc, millega saab käsurealt DigiDoc failidega töötada, näiteks fail.cdoc lahtikrüptimiseks sobib öelda

$ cdigidoc -decrypt fail.cdoc PIN_KOOD -out fail.ddoc

Faili fail.ddoc seest esimene faili nimega sisufail.txt konteinerist välja kopeerimiseks sobib öelda

$ cdigidoc -extract D0 sisufail.txt -in fail.ddoc

Ilma argumentideta käsk väljastab abi

$ cdigidoc
USAGE: cdigidoc <command(s)> [-in <input-file>] [-out <output-file>] [-config <config-file>]
COMMANDS:
[-new] [format] [version]
-check-cert <-cerificate-file-name (PEM format)>
-add <file-name> <mime-type> [<content-type>] [<charset>]
-verify
-list
-sign <pin> [<manifest>] [<city> <state> <zip> <country>]
-extract <doc-id> <file-name> [<charset>] [<file-name-charset>]
-encrypt <file-name>
-encrecv <cert-file> [<recipient>] [<keyname>] [<carried-key-name>]
-decrypt <file-name> <pin1>
-denc-list <file-name>
-encrypt-file <in-file-name> <out-file-name> [<in-file-mime-type>]
-decrypt-file <in-file-name> <out-file-name> <pin1>
-calc-sign <cert-file> [<manifest>] [<city> <state> <zip> <country>]
-add-sign-value <sign-value-file> <sign-id>
-del-sign <sign-id>
-get-confirmation <sign-id>
OPTIONS:
-cgimode [<ouput-separator] - output in CGI mode
-SAX - use SAX parser
-XRDR - use XmlReader parser

====Märkused====

20090714 seisuga tehtud tähelepanekud

* programmidel puuduvad manuaalid (ingl. k. manpage) ning praktiliselt dokumentatsioon kataloogis /usr/share/doc/paketinimi
* paketihalduse nimekirjas esineb ka pakett qdigidoccrypto, mida asendab qdigidoc, kui qdigidoc* pakettide traditsioon alles algab, äkki siis see 'Replaces' eemaldada
* sõltuvustest ei paigaldata opensc paketti, mis iseenesest ei ole ka vajalik, vajalik on just libopensc2 teekide pakett
* q* programmide kasutamisel tuleb olla kannatlik, kuigi esmalt teatab programm, et 'Ei leitud ühtegi ID-kaarti' voi 'Kaarti pole lugejas', siis tegelikult võidakse tegeleda alles kaardi otsimisega ja mõne sekundi pärast on kõik korras ja saab jätkata programmi kasutamist
* q* programmide akendest ei saa alati hiirega teksti kopeerida
* paketi libopensc2 seadistusfailis /etc/opensc/opensc.conf võiks parameetri muudatus toimuda ehk debconf dialoogi abil pakkudes kasutajale sobivat vaikeväärtust

reader_drivers = openct, pcsc, ctapi; -> reader_drivers = pcsc, ctapi;

* IP aadressipõhisel ocsp teenusele ligipääsu puhul küsitakse 'Did not find any server access certificate! Start downloading?'
* Kas programmide töö lõpetamiseks on muid võimalusi peale akna sulgemise?

===Eesti ID kaardi tarkvara v. 3.8 kasutamine 2014 suvel===

Käesolevas punktis kirjeldatakse 2014 aasta suvel olemasolevate tarkvara komponentidega Eesti ID kaardi kasutamist (autentimist ja allkirjastamist)

* Debian testing (Jessie) operatsioonisüsteem (32 või 64 bit, tõenäoliselt sarnaselt toimub paigaldamine-seadistamine-kasutamine ka muude Debiani versioonide ja Linux distributsioonidega)
* Eesti ID kaardi tarkvara v. 3.8.0 Ubuntu v. 12.04 (Precise) paketid

Tulemusena saab

* Chrome brauseriga autentida ja allkirjastada
* ID kaardi haldusvahendiga pin koode hallata
* lokaalse DigiDoc kliendiga allkirjastada ja krüptida

Juhised kehtivad

* Chrome < v. 35 (tundub, et alates v. 35 on smart card autentimise tehnika oluliselt muutunud, väidetavalt Eesti ID kaardi tarkvara v. 3.9 teeb selle korda)
* OpenSC kuni 0.12 ja kaasa arvatud (0.13 juures puudub brauseri kasutamist abistav onepin teek)

====Tarkvara paigaldamine====

Eeldusel, et arvutis on töötav kasutajakeskkond (XCFE, Gnome vms) ning Chrome brauser versioon < 35, lisada süsteemi üldotstarbelised paketid

# apt-get install opensc pcscd libccid libnss3-tools apt-transport-https

Kuna onepin-opensc-pkcs11.so teek on vajalik, aga opensc v. 0.13 tarkvaras puudub ning see on nt Debian v. 7 Wheezy paketihalduses v. 0.12 juures olemas (ja tundub, et sobib kasutada), siis aitab lisada /etc/apt/sources.list faili Debian v. 7 Wheezy repositoorium

deb http://ftp.us.debian.org/debian/ wheezy main contrib non-free

ning öelda 0.12 versiooni paigaldamiseks (downgrade'iks)

# apt-get update
# apt-get install opensc=0.12.2-3

Lisaks tuleb Wheezy pakettidest paigaldada

# apt-get -t wheezy install libxml-security-c16

Eesti ID kaardi tarkvara paigaldamise ettevalmistamiseks laadida võti

# wget -O /tmp/ria-public.key https://installer.id.ee/media/install-scripts/ria-public.key
# apt-key add /tmp/ria-public.key

lisada /etc/apt/sources.list faili rida

deb https://installer.id.ee/media/ubuntu/ precise main

ja tarvkara paigaldamiseks öelda

# apt-get update
# apt-get install estonianidcard qesteidutil esteidcerts esteidfirefoxplugin

====ID kaardilugejaga suhtlemise kontrollimine====

Peale tarkvara paigaldamist ja eeldusel, et lugeja on arvutiga ühendatud saab öelda

# opensc-tool -l
# Detected readers (pcsc)
Nr. Card Features Name
0 Yes SCM Microsystems Inc. SCR 331 [CCID Interface] (504005BE) 00 00

Kui lisaks on ID kaart on lugejas saab öelda (jms pkcs15-tool käske)

# pkcs15-tool -c
Using reader with a card: SCM Microsystems Inc. SCR 331 [CCID Interface] (504005BE) 00 00
X.509 Certificate [Isikutuvastus]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeaace
ID : 01
Encoded serial : 02 10 3BF4F7CBE36A655050DC20A42E9EFBAA

X.509 Certificate [Allkirjastamine]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeddce
ID : 02
Encoded serial : 02 10 0D1864A01391996750DC20AC1BF2FDE5

====ID kaardi haldusvahend====

Peale tarkvara paigaldamist maksab esmalt veenduda, et id kaardilugeja riistvara on ära tuntud ja kaart on üldiselt ligipääsetav. Selleks käivitada ID kaardi haldusvahend ja peab nägema oma sertifikaadiandmeid.

Interneti kasutamise olemasolul saab Lae pilt valikuga küsida rahvastikuregistris olevat pilti.

====Chrome brauseriga autentimine ja allkirjastamine====

Esmalt tuleb kord brauser käivitada, et kasutaja kodukataloogi tekiksid vajalikud nn punktifailid (~/.pki), seejärel brauseri protsessid lõpetada st brauseri sulgeda ning öelda sama kasutajana

$ modutil -dbdir sql:$HOME/.pki/nssdb -delete opensc-pkcs11
$ modutil -dbdir sql:$HOME/.pki/nssdb -add opensc-pkcs11 -libfile onepin-opensc-pkcs11.so -mechanisms FRIENDLY

kus

* esimese käsu väljundiks on tõenäoliselt veateade kuna pole midagi kustutada
* teise käsu väljundiks

...
Module "opensc-pkcs11" added to database.

Seejärel tuleb Chrome pluginate settingutest aadressilt chrome://plugins (sisestada nii aadressreale) seadistada EstEID plugin

* Enabled
* Always Allowed

Tulemusena paistab selline pilt

[[Pilt:Chrome-esteid-2.gif]]

kust on näha, et kasutatakse paketis esteidfirefoxplugin olevat teeki

$ dpkg -S /usr/lib/mozilla/plugins/npesteid-firefox-plugin.so
esteidfirefoxplugin: /usr/lib/mozilla/plugins/npesteid-firefox-plugin.so

Autentimiseks sobib minna mõnda portaali, kus on võimaluda kasutaja autentmiseks ID kaardiga, nt https://www.eesti.ee/. Samas saab ka allkirjastada valides

Minu asjad -> Minu dokumendid

Katsetada sobib ka aadressil https://www.openxades.org/web_sign_demo/sign.html.

====Firefox/Iceweasel brauseriga autentimine ja allkirjastamine====

Kontrollida, et paketi esteidfirefoxplugin paigaldamisel tekkinud EstEID plugin on Always Activate olekus

about:addons -> Plugins -> EstEID plug-in -> More

ID kaardi kasutamiseks tuleb brauseri seadistustes kirjeldada onepin teek valides

Edit -> Preferences -> Advanced -> Certificates -> Security Devices -> Load

ja avanenud dialoogis sisestada nt

* Module name - EstEID
* Module filename - /usr/lib/x86_64-linux-gnu/onepin-opensc-pkcs11.so

kus mooduli asukoht failisüsteemis sõltub arhitektuurist jms natuke, find leiab üles

$ find /usr/ -name onepin\*
/usr/lib/x86_64-linux-gnu/onepin-opensc-pkcs11.so

Tulemusena saab ID kaardiga autentida ning allkirjastada.

====Lokaalne DigiDoc klient====

Tarkvara paigaldamise käigus paigaldati ka lokaalne DigiDoc klient. Esmakordsel käivitamisel pakutakse võimalust laadida Sertifitseerimiskeskuse kehtivuskinnituse kasutamiseks vastav juurdepääsutõend, millega saab allkirjastada kuni kümme korda kuus.

====Probleemid====

* Kui allkirjastamisel küsitakse luba kahe plugina käivitamiseks (või öeldakse, et Java plugin on puudu)

[[Pilt:Chrome-esteid-1.gif]]

siis on põhjuseks, et EstEID plugin ei ole seadistatud õieti. Peab olema valitud 'Always allowed'. Oluline on teada, et Java ei ole Chrome brauseriga allkirjastamisel reeglina vajalik.

====Kasulikud lisamaterjalid====

* https://installer.id.ee/
* https://github.com/martinpaljak/ria-debian-build
* http://lauri.võsandi.com/posts/ubuntu-trusty-esteid.html
* http://pingviin.org/portal.php?topic_id=9727
* https://installer.id.ee/media/install-scripts/install-esteid-ubuntu.sh
* https://wiki.debian.org/Smartcards
* http://id.ee/?id=34228
* http://packages.ubuntu.com/lucid/libccid

===Eesti ID kaardi tarkvara v. 17.01.1686-1604 kasutamine 2017 kevadel===

Käesolevas punktis käsitletakse Eesti ID kaardi tarkvara kasutamist operatsioonisüsteem Debian v. 9 Stretch keskkonnas. Debian jaoks üldiselt pakette ei valmistata, aga osutub, et saab kasutada Ubuntu v. 16.04 Xenial pakette.

====Tööpõhimõte====

TODO

====Ettevalmistused====

Kuna Ubuntu v. 16.04 Xenial libssl1.0.0 v. 1.0.2g paketis on ka v. 1.0.0 sümbolid

<pre>
ubuntu-1604$ strings /lib/x86_64-linux-gnu/libssl.so.1.0.0 | grep ^OPENSSL_1
OPENSSL_1.0.0
OPENSSL_1.0.1
OPENSSL_1.0.1d
OPENSSL_1.0.2
OPENSSL_1.0.2g
</pre>

ja Debian v. 9 Stretch libssl1.0.2 v. 1.0.2k paketis ei ole 1.0.0 sümboleid

<pre>
debian-9$ strings /usr/lib/x86_64-linux-gnu/libssl.so.1.0.2 | grep ^OPENSSL_1
OPENSSL_1.0.2d
OPENSSL_1.0.2g
</pre>

siis on vaja leida mingi workaround. Tundub, et kaaluda maksab

* kopeerida internetist Ubuntu v. 16.04 Xenial libssl1.0.0 pakett ja kasutada sealt kahte teeki libssl.so.1.0.0 ja libcrypto.so.1.0.0 (selle lähenemise puuduseks on, et edaspidi vaevalt keegi viitsib neid teeke uuendada)
* paigaldada Debian v. 8 Jessie libssl1.0.0 pakett, http://priit.joeruut.com/archives/Eesti-ID-kaardi-tarkvara-ehk-open-eid-v.-3.12-kasutamine-Debianis.html (lähenemise puuduseks on, et Debian v. 8 Jessie tugi lõpeb tõnäoliselt varem kui Ubuntu v. 16.04 Xenial, aga väga võimalik, et veel enne tekib Debian + ID kaardi kasutamiseks mingi normaalsem lahendus)

Ubuntu libssl1.0.0 paketi saab kopeerida aadressilt http://packages.ubuntu.com/search?keywords=libssl1.0.0&searchon=names&suite=xenial&section=all

Paketi lahti pakkimiseks sobib öelda

$ cd /var/tmp/libssl1.0.0-ubuntu
$ dpkg -x /home/imre/Downloads/libssl1.0.0_1.0.2g-1ubuntu4.6_amd64.deb .

ning (kuna selliste nimedega faili enne pole)

# cp libssl.so.1.0.0 libcrypto.so.1.0.0 /usr/lib/x86_64-linux-gnu

Selleks, et süsteemis oleks paketihalduse mõttes libssl1.0.0 nimeline pakett, sobib kasutada equivs abi

* öelda

$ equivs-control libssl1.0.0

* redigeerida natuke tekkinud faili

<pre>
$ egrep -v "^$|^#" libssl1.0.0
Section: misc
Priority: optional
Standards-Version: 3.9.2
Package: libssl1.0.0
Version: 1.0.0
Maintainer: Imre <imre@auul.pri.ee>
Description: libssl1.0.0 abistaja
Testime
.
Testime 2
</pre>

* öelda

$ equivs-build libssl1.0.0

* paigaldada (kuidagi ta paigaldatakse vaatamata signatuuri puudumisele jms)

# dpkg -i libssl1.0.0_1.0.0_all.deb

====Paigaldamine====

* lisada apt võtmete hulka aadressil https://installer.id.ee/media/install-scripts/install-open-eid.sh oleva skripti algusest kaks sissekannet

# apt-key add failinimi

* lisada apt source

# cat /etc/apt/sources.list.d/ria-repository.list
deb http://installer.id.ee/media/ubuntu xenial main

* värskendada

# apt-get update

ID kaardi tarkvara paigaldamiseks sobib öelda

# apt-get install open-eid

tulemusena tekib failisüsteemi

* kümmekond paketti, enamus installer.id.ee pealt
* /etc/X11/Xsession.d/95-esteid-update-nssdb - selle faili abil X konsoolil töötamise alguses nö korraldakse sobiv seis olulistest asjadest (mh öeldakse modutil jt käske)

Paigaldamise lõpus tuleb Desktop keskkonnast logida välja ja tagasi sisse selleks, et Xsession kasutaks nssdb osa.

====ID kaardilugejaga suhtlemise kontrollimine====

Peale tarkvara paigaldamist ja eeldusel, et lugeja on arvutiga ühendatud saab öelda

<pre>
$ opensc-tool -l
# Detected readers (pcsc)
Nr. Card Features Name
0 Yes Gemalto PC Twin Reader (FB00DB62) 00 00
</pre>

Kui lisaks on ID kaart on lugejas saab öelda (jms pkcs15-tool käske)

<pre>
$ pkcs15-tool -c
Using reader with a card: Gemalto PC Twin Reader (FB00DB62) 00 00
X.509 Certificate [Isikutuvastus]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeaace
ID : 01
Encoded serial : 02 10 775DD64056F35E7954C8CB3EFEB3C8EE
X.509 Certificate [Allkirjastamine]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeddce
ID : 02
Encoded serial : 02 10 2D5E4D8F644E041454C8CB5236F7D2D6
</pre>

====ID kaardi haldusvahend====

Peale tarkvara paigaldamist maksab esmalt veenduda, et id kaardilugeja riistvara on ära tuntud ja kaart on üldiselt ligipääsetav. Selleks käivitada ID kaardi haldusvahend ja peab nägema oma sertifikaadiandmeid.

Interneti kasutamise olemasolul saab Lae pilt valikuga küsida rahvastikuregistiris olevat pilti.

====Chromium brauseriga autentimine ja allkirjastamine====

Veenduda, et Chromiumil on olemas vastav plugin (see on kopeeritav ka üldisest Google Chrome extensions repositooriumist)

[[Pilt:Chrome-esteid-3.gif]]

Tulemusena peab töötama autentimine ja allkirjastamine.

====Firefox brauseriga autentimine ja allkirjastamine====

TODO

* Tundub, et autentimine töötab nö iseenesest.

====Kasulikud lisamaterjalid====

* https://github.com/web-eid/
* https://github.com/open-eid
* https://github.com/open-eid/chrome-token-signing/wiki
* https://lauri.xn--vsandi-pxa.com/2014/04/ubuntu-trusty-esteid.html
* http://installer.id.ee/
* http://priit.joeruut.com/archives/Eesti-ID-kaardi-tarkvara-ehk-open-eid-v.-3.12-kasutamine-Debianis.html
* https://installer.id.ee/media/install-scripts/install-open-eid.sh
* https://www.auul.pri.ee/wiki/Operatsioonis%C3%BCsteem_Debian_GNU/Linux_paketihalduse_kasutamine#Equivs_kasutamine

===Eesti ID kaardi kasutamine - Ubuntu 16.04===

Alustada aadressilt https://installer.id.ee/

# apt-key add ria-key1.pem
# apt-key add ria-key2.pem

# cat /etc/apt/sources.list.d/ria-repository.list
deb http://installer.id.ee/media/ubuntu xenial main

# apt-get update
# apt-get install open-eid

Kui lähtepunktiks on nö tavaline töökohaarvuti, siis lisanduvad paketid

chrome-token-signing esteidfirefoxplugin esteidpkcs11loader libccid libdigidoc-common libdigidoc-tools libdigidoc2 libdigidocpp-common libdigidocpp-tools
libdigidocpp1 libminizip1 libnss3-tools libxerces-c3.1 libxml-security-c17v5 libzip4 open-eid opensc opensc-pkcs11 pcscd qdigidoc qdigidoc-tera qesteidutil

Kasulikud lisamaterjalid

* https://installer.id.ee/?lang=est
* https://installer.id.ee/media/install-scripts/install-open-eid.sh
* https://installer.id.ee/media/ubuntu/

===Eesti ID kaardi kasutamine - Ubuntu 18.04===

Alustada aadressilt https://installer.id.ee/, st sarnaselt eelmisele punktile, aga paistab, et 2019 aasta alguses paketihaldus lõpetab veaga (postinstall skripti sisu on natuke vastuoluline). Seejärel sobib kasutada skripti /var/lib/dpkg/info/awp.postinst alguses exit

# cat /var/lib/dpkg/info/awp.postinst
#!/bin/bash

exit;
...

ning loksutada paketihaldust 'apt-get install -f' vms käskudega. Seejjärel qdigidoc4 utiliit töötab.

Selleks, et EID tarkvara töötaks Chrome brauseriga sobib kasutajana logida sisse desktop keskkonda (nt XFCE4) ja öelda

$ modutil -dbdir sql:$HOME/.pki/nssdb -delete opensc-pkcs11
$ modutil -dbdir sql:$HOME/.pki/nssdb -add opensc-pkcs11 -libfile onepin-opensc-pkcs11.so -mechanisms FRIENDLY

Seejärel Chrome brauseris peaks saama kasutada id kaarti autentimiseks ja allkirjastamiseks. Need kaks käsku võiks idee poolest automaatselt öeldada skripti /usr/bin/esteid-update-nssdb poolt, aga paistab, et millegipärast minul see nii ei ole (äkki XFCE4 desktop tarkvara ei tee koostööd)

<pre>
$ cat /etc/xdg/autostart/chrome-pkcs11.desktop
[Desktop Entry]
Type=Application
Name=Configure Chrome PKCS11
Exec=/usr/bin/esteid-update-nssdb
NoDisplay=true
X-GNOME-AutoRestart=true
X-GNOME-Autostart-Phase=Initialization
</pre>

Kui kasutada on uus eid kaart (mitte uus ECC sertifikaat aga füüsiline uus kaart), siis tõenäoliselt on vajalik öelda awp.postinst skriptis sisalduvad sarnased käsud samuti.

Uue id kaardi käsurealt kasutamiseks sobib öelda

<pre>
$ pkcs11-tool --module /usr/local/AWP/lib/libOcsPKCS11Wrapper.so --list-objects --type cert
Using slot 0 with a present token (0x0)
Certificate Object; type = X.509 cert
label: Authentication 01
subject: DN: C=EE, CN=OOLBERG,IMRE,37003212713, SN=OOLBERG, GN=IMRE/serialNumber=PNOEE-37003212713
ID: 1242394aba4fab7e58d4f062a44f77b7edf3b577
</pre>

ning

<pre>
$ pkcs11-tool --module /usr/local/AWP/lib/libOcsPKCS11Wrapper.so --read-object --id 1142394aba4fab7e58d4f062a44f77b7edf3b574 --type cert -o cert.der
Using slot 0 with a present token (0x0)
</pre>

Tulemuse der -> pem teisenduseks

$ openssl x509 -inform DER -outform PEM -in cert.der -out cert.pem

Kasulikud lisamaterjalid

* https://github.com/open-eid/linux-installer/issues/36

===Test ID-kaart===

Lisaks nö päris ID-kaartidele väljastab Sertifitseerimiskeskus teatud juhtumiteks ka test ID-kaarte, nt on seal kasutatav sertifikaat selline

-----BEGIN CERTIFICATE-----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 2AjWXfHNDc0oWr7CBV9HRLmpidJQtQCwoUt6Y2NA==
-----END CERTIFICATE-----

Tekstikujul vaadatest on Issuer ja Subject väärtused

# openssl x509 -in /tmp/zaikovski.pem -noout -text
Certificate:
Data:
Version: 3 (0x2)
Serial Number: 1244104848 (0x4a278890)
Signature Algorithm: sha1WithRSAEncryption
Issuer: C=EE, O=AS Sertifitseerimiskeskus, OU=Testsertifikaadid, CN=TEST-SK
Validity
Not Before: Jun 4 08:40:48 2009 GMT
Not After : Apr 7 11:42:17 2012 GMT
Subject: C=EE, O=TEST-ESTEID, OU=authentication, \
CN=\x01}\x00A\x00I\x00K\x00O\x00V\x00S\x00K\x00I\x00,\x00I\x00G\x00O\x00R\x00,\x003\
\x007\x001\x000\x001\x000\x001\x000\x000\x002\x001, SN=\x01}\x00A\x00I\x00K\x00O\x00V\x00S\
\x00K\x00I, GN=IGOR/serialNumber=37101010021
...

Tundub, et kõigil test kaartidel on algselt samad pinid ja puk, mida saab muuta id kaardi utiliidiga, http://www.id.ee/index.php?id=30379

* PIN1 kood - 0090
* PIN2 kood - 01497
* PUK kood - 17258403

===Kaardilugeja firmware uuendamine===

Kui kaardilugeja nö peaks töötama, aga ei tööta, siis mõnel juhul on otstarbekas kaaluda kaardilugeja firmware uuendamist. Nt SCR311 kaardilugeja puhul sobib selleks kasutada Windows 7 keskkonda, et uuendada 4. -> 5. versoonide vahel.

Kasulikud lisamaterjalid

* http://www.jasemccarty.com/blog/?p=1134
* https://militarycac.com/cacdrivers.htm

===Märkused===

* Kui brauser või postiklient lakkavad töötamast ID-kaardiga, siis maksab need programmid sulgeda ja samuti peatada pcscd deemon ning seejärel esmalt deemon ning siis rakendusprogrammi uuesti käivitada.
* Kuivõrd ID-kaardi sertifikaadid kehtivad suhteliselt lühikest aega ning sertifikaatide uuendamisel praktiliselt kirjutatakse vanad sertifikaadid üle uutega, siis sobib ID-kaardi vahendeid andmete krüptimiseks kasutada nö turvalise transpordi sooritamiseks ja mitte andmete pikaajaliseks turvaliseks säilitamiseks. Lisaks on veel muid ohte, näiteks et ID-kaart rikneb füüsiliselt.

===Sertifikaatide uuendamine===

Sertifikaatide saab uuendada id kaarti utiliidiga, peale uuendamist näidatakse sellist pilti, tegevuse käigus küsitakse vana sertifikaadi PIN1

[[Pilt:Qesteidutil-2.gif]]

===TODO===

* ipsec lahenduse juures kasutamine

===Kasulikud lisamaterjalid===

* Eesti ID-kaardi tarkvara - http://ideelabor.ee/
* Sertifitseerimiskeskus - http://www.sk.ee/
* http://kuutorvaja.eenet.ee/wiki/Apache'i_veebiserver#ID_kaardiga_kasutaja_autentimine
* http://kuutorvaja.eenet.ee/wiki/OpenLDAP_kasutamine_Debianiga#Icedove.27i_aadressraamatu_pidamine
* https://digidoccheck.sk.ee/
* https://id.eesti.ee/trac/
* http://pcsclite.alioth.debian.org/supported.html
* http://code.google.com/p/esteid/

Eesti ID-kaardi kasutamine Debianiga

2019-03-01T07:39:43Z

Imre: /* Eesti ID kaardi kasutamine - Ubuntu 18.04 */

===Sissejuhatus===

Eesti ID-kaart on nn protsessorkaart, mis võimaldab autentimist ja allkirjastamist. ID-kaardi kasutamiseks on vajalikud

* kehtiv Eesti ID-kaart
* kasutada oleva arvuti ja operatsioonisüsteemiga sobiv kaardilugeja
* internetiühendus
* ID-kaardi võimaluste kasutamiseks sobiv kliendipoolne tarkvara
* ID-kaardi võimaluste kasutamiseks sobiv teenus internetis

Eesti ID-kaardi töö põhineb avaliku võtme (ingl. k. public key) krüptograafia kasutamisel. Avaliku võtme infrastruktuuris (ingl. k. PKI - public key infrastructure) esitatakse kasutaja avalik võti koos kasutaja kohta käivate muude andmetega, nt kasutaja nimi ja eposti aadress selle konkreetse infrastruktuuri mõne ülemise sajalase võtmega signeeritud kujul ja seda tulemust nimetatakse kasutaja sertifikaadiks. Lisaks on sertifikaadis kirjas andmed selle sertifikaadi väljastaja kohta ja sertifikaadi kehtivuse aeg.

Eesti ID-kaartidega seotud avaliku võtme infrastruktuuri haldab sh väljastab ID-kaarte Sertifitseerimiskeskus http://www.sk.ee/ kusjuures ID-kaardil on kaks paari võtmeid, öeldakse ka, et kaks sertifikaati

* isikutuvastuse ehk autentimise sertifikaat
* allkirjastamise sertifikaat

Kahe erineva sertifikaadi kasutuselevõtmise põhjuseks on asjaolu, et sertifikaatidel on nö oluliselt erinev kaal

* isikutuvastuse sertfikaadiga kasutaja autendib ennast teenusele (st praktiliselt logib ennast sisse portaali internetis, siseneb kooduksega kaitstud ruumi füüsilises maailmas)
* allkirjastamise sertifikaati kasutatakse reeglina ainult digitaalallkirja andmiseks ja Eesti Vabariigis on digitaalallkirjastatud dokument võrdsustatud omakäeliselt allkirjatatud dokumendiga; reeglina pangaülekannete sooritamisel toimub sisemiselt samuti digitaalallkirjastamise protseduur

Oletame, et kui oleks kasutuses ainult üks sertifikaat ja nt kasutaja siseneb koodukse kaudu ruumi, siis võiks konstrueerida skeemi, kus ta pahaaimamatult allkirjastab mõne dokumendi, mida ta muul juhul ei oleks nõus allkirjastama. Kahe sertifikaadi kasutamisel on võimalik erinevaid rolle lahus hoida.

Kuigi eelmises lõigus kasutati väljendeid 'isikutuvastuse sertifikaadiga kasutaja identifitseerib' ja 'allkirjastamise sertifikaati kasutatakse reeglina digitaalallkirja andmiseks' tuleb seda seda mõista nii, et sisuliselt neid protseduure sooritades kasutaja kasutab vastava sertifikaadi salajast võtit. ID-kaardil asuvate salajaste võtmete kasutamine on turvakaalutlustel piiratud täiendava parooliga, nn PIN koodiga, kummalgi salajasel võtmel on oma PIN kood ja võtme kasutamise eel küsib ID-kaardi tarkvara kasutajalt seda koodi.

ID-kaardiga autentimine on dual-factor ehk two-factor autentimine http://en.wikipedia.org/wiki/Two-factor_authentication kuna see sisaldab kahte kontrolli

* midagi mida saab omada - ID-kaardi kui füüsilise eseme olemasolu kontroll
* midagi mida saab teada - salajase võtme teadmise kontroll

Võrreldes parooliga on ID-kaardi kasutamise üheks erinevuseks, et seda saab kasutada korraga ainult üks kasutaja nö ühest kasutuspunktist.

===Eesti ID-kaardi sertifikaatide LDAP kataloogiteenus===

Kuna avaliku võtme infrastruktuuri üheks koostisosaks on, et kõigi kasutajate avalikud võtmed st sertifikaadid on kõigile avalikult kättesaadavad, siis SK on teinud kasutajate sertifikaadid internetis kättesaadavaks LDAP kataloogiteenuse abil aadressil ldap.sk.ee. Kasutaja sertifikaate (mis sisaldavad avalikke võtmeid) saab teades tema isikukoodi kopeerida öeldes nt

$ ldapsearch -LLL -H ldap://ldap.sk.ee -x -b "c=EE" "(serialNumber=37003212713)"
dn: cn=OOLBERG\2CIMRE\2C37003212713,ou=Authentication,o=ESTEID,c=EE
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
cn: OOLBERG,IMRE,37003212713
serialNumber: 37003212713
userCertificate;binary:: MIIEGjCCAwKgAwIBAgIESIQxaDANBgkqhkiG9w0BAQUFADBbMQswC
QYDVQQGEwJFRTEiMCAGA1UEChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMGRV
...
z5vZN4059dNaqZqVg5rlVrLS5/T+sK8PHxYcO+SKDZYobddJIv6i2XlpVAQLgkChEiXI2Bd3AMfpw
fVbAjDsHXasblBtut7k1MItT3YLaNZ/xq9BY/B7afXqg==

dn: cn=OOLBERG\2CIMRE\2C37003212713,ou=Digital Signature,o=ESTEID,c=EE
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
cn: OOLBERG,IMRE,37003212713
serialNumber: 37003212713
userCertificate;binary:: MIID2jCCAsKgAwIBAgIESIQxaTANBgkqhkiG9w0BAQUFADBbMQswC
QYDVQQGEwJFRTEiMCAGA1UEChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMGRV
..

Konkreetse sertifikaadi dn elemendi kopeerimiseks sobib öelda nt

$ ldapsearch -LLL -H ldap://ldap.sk.ee -x -b ou=authentication,o=ESTEID,c=EE "(serialNumber=37003212713)" dn
dn: cn=OOLBERG\2CIMRE\2C37003212713,ou=Authentication,o=ESTEID,c=EE

===Kaardilugeja ühendamine operatsioonisüsteemiga===

Märkus: 2010 kevade seisuga peaks töötama täitsa hästi Linuxi ja Windowsiga nt kaks sellist mudelit, mida on ka kauplustes suhteliselt hästi saada

* Omnikey Cardman 1021 - USB (lauaarvutile, sülearvutile)
* Omnikey Cardman 4321 - ExpressCard http://en.wikipedia.org/wiki/ExpressCard (sülearvutile)

Ehk kõige parem kui kaardilugeja ühendub arvutiga USB abil, nt sobib mudel SRC-331. Debian Etch ja Lenny sisaldavad paketihalduses ID-kaardi kasutamiseks sobivat tarkvara, mille koduleht asub aadressil http://ideelabor.ee/ ja mille kasutamist käesolev tekst kirjeldab.

USB kaudu ühendatud ID-kaardilugeja kasutamise eelduseks on, et operatsioonisüsteem toetab USB seadmete kasutamist, sellest annab tunnistust peale kaardilugeja ühendamist lsusb sarnane väljund, kus on muu seas näha SCR331 seadmele vastav rida

# lsusb
Bus 004 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub
Bus 003 Device 002: ID 0483:2016 SGS Thomson Microelectronics Fingerprint Reader
Bus 003 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub
Bus 002 Device 006: ID 04e6:e001 SCM Microsystems, Inc. SCR331 SmartCard Reader
Bus 002 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub
Bus 001 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub

ID-kaardiga suhtlemiseks vajaliku tarkvara paigaldamiseks tuleb öelda

# apt-get install opensc pcscd libccid

Seejärel tuleb redigeerida kahte faili

* Näitena jagatavas /etc/opensc/opensc.conf failis tuleb teha kolm muudatust

# zcat /usr/share/doc/libopensc2/examples/opensc.conf.gz > /etc/opensc/opensc.conf

Leidke failist üles need parameetrid ning muutke nende väärtused sellisteks

try_emulation_first = yes;
lock_login = false;
reader_drivers = pcsc, ctapi;

* Failis /usr/lib/pcsc/drivers/ifd-ccid.bundle/Contents/Info.plist peavad sisalduma sellised read (tundub, et see on teatud SRC331 mudelite või eksemplaride spetsiifiline asi), leidke ja muutke olemasolevaid

<key>ifdDriverOptions</key>
<string>0x0004</string>

Seejärel seisake ja käivitage pcscd deemon

# /etc/init.d/pcscd restart

Kontrollimaks, et tarkvara sai korrektselt paigaldatud küsime süsteemi ühendatud kaardilugejate nimekirja

# opensc-tool -l
Readers known about:
Nr. Driver Name
0 pcsc SCM SCR 331 00 00

Ning küsime ID-kaardile kantud sertifikaatide nimekirja

# pkcs15-tool -c
X.509 Certificate [Isikutuvastus]
Flags : 0
Authority: no
Path : 3f00eeeeaace
ID : 01

X.509 Certificate [Allkirjastamine]
Flags : 0
Authority: no
Path : 3f00eeeeddce
ID : 02

===pkcs11-tool utiliidi kasutamine===

PKCS#11 is a software API for accessing cryptographic hardware like smart cards or HSM. pkcs11-tool realiseerib PKCS11 (Public Key Cryptography Standards) standardit ja võimaldab suhelda krüptoseadmega üle Cryptoki (Cryptographic Token Interface) API. Slottide nimekirja esitamiseks sobib öelda

<pre>
# pkcs11-tool -L
Available slots:
Slot 0 (0x0): Alcor Micro AU9540 00 00
(empty)
Slot 1 (0x4): Gemalto PC Twin Reader (A76A2DE4) 01 00
token label : PIN1 (OOLBERG,IMRE,37003212713)
token manufacturer : AS Sertifitseerimiskeskus
token model : PKCS#15 emulated
token flags : login required, rng, token initialized, PIN initialized
hardware version : 0.0
firmware version : 0.0
serial num : AA9909781
pin min/max : 4/12
Slot 2 (0x5): Gemalto PC Twin Reader (A76A2DE4) 01 00
token label : PIN2 (OOLBERG,IMRE,37003212713)
token manufacturer : AS Sertifitseerimiskeskus
token model : PKCS#15 emulated
token flags : login required, rng, token initialized, PIN initialized
hardware version : 0.0
firmware version : 0.0
serial num : AA9909781
pin min/max : 5/12
</pre>

Slot sisu esitamiseks, nb! slot numbri väärtus tuleb võtta sulgudest, küsitakse pin1 väärtust

<pre>
# pkcs11-tool --slot 4 -O -l
Logging in to "PIN1 (OOLBERG,IMRE,37003212713)".
Please enter User PIN:

Private Key Object; EC
label: Isikutuvastus
ID: 01
Usage: sign, derive
Certificate Object; type = X.509 cert
label: Isikutuvastus
ID: 01
Public Key Object; EC EC_POINT 384 bits
EC_POINT: 0461046231c67...
EC_PARAMS: 06052b81040023
label: Isikutuvastus
ID: 01
Usage: encrypt, verify
</pre>

kus

* ühes slotis on paistab olevat kolm objekti, private key, sertifikaat ja public key

Kasulikud lisamaterjalid

* https://en.wikipedia.org/wiki/PKCS
* https://github.com/OpenSC/OpenSC/wiki/Frequently-Asked-Questions

===pkcs15-tool utiliidi kasutamine===

PKCS#15 is a format of on-card structures that defines a “filesystem layout” for smart cards. pkcs15-tool abil saab kopeerida ID-kaardilt sertifikaate, sedasi

# pkcs15-tool -r 01
-----BEGIN CERTIFICATE-----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==
-----END CERTIFICATE-----

Selle sertifikaadi sisu arusaadavamale kujule viimiseks tuleb öelda

# pkcs15-tool -r 01 > imreoolberg-autentimise-sertifikaat.pub
# openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -text
Certificate:
Data:
Version: 3 (0x2)
Serial Number: 1216622952 (0x48843168)
Signature Algorithm: sha1WithRSAEncryption
Issuer: C=EE, O=AS Sertifitseerimiskeskus, OU=ESTEID, CN=ESTEID-SK 2007
Validity
Not Before: Jul 21 06:49:12 2008 GMT
Not After : Sep 11 21:00:00 2012 GMT
Subject: C=EE, O=ESTEID, OU=authentication, CN=OOLBERG,IMRE,37003212713, SN=OOLBERG, GN=IMRE/serialNumber=37003212713
Subject Public Key Info:
Public Key Algorithm: rsaEncryption
RSA Public Key: (1024 bit)
Modulus (1024 bit):
..

Sertifikaadist saab küsida ka üksikuid elemente, nt Subject'i, mis näitab kellele on sertifikaat väljastatud

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -subject
subject= /C=EE/O=ESTEID/OU=authentication/CN=OOLBERG,IMRE,37003212713/SN=OOLBERG/GN=IMRE/serialNumber=37003212713

või Issuer'i, mis näitab, kes sertifikaadi väljastas

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -issuer
issuer= /C=EE/O=AS Sertifitseerimiskeskus/OU=ESTEID/CN=ESTEID-SK 2007

või ajavahemiku, mil sertifikaat kehtib

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -dates
notBefore=Jul 21 06:49:12 2008 GMT
notAfter=Sep 11 21:00:00 2012 GMT

Lisaks sertifikaatidele ja võtmetele sisaldab veel andmeid id kaardi nö elektroolilises osas, nt dokumendi number. Seda ja muid andmeid saab küsides nn dump'i

# pkcs15-tool -D -r 01
Using reader with a card: SCM SCR 331 [CCID Interface] (504005BE) 00 00
..
PKCS#15 Card [IMRE OOLBERG]:
Version : 2
Serial number : A0055799
Manufacturer ID: AS Sertifitseerimiskeskus
Flags : Read-only, PRN generation, EID compliant
...

Kui arvutis on kasutusel mitu ID kaarti, siis saab kontrollida millisega tegeledakse parameetri abil

--reader N

===Iceweasel brauseri kasutamine===

Iceweasel brauseri abil on iseenesest võimalik kahe tegevuse sooritamine

* autentimine - kasutaja kinnitab teenusele, nt veebiportaalile, et tema kasutuses on tema autentimise sertifikaadis sisalduvale avalikule võtmele vastav salajane võti
* digitaalne allkirjastamine - kastutaja kinnitab teenusele, nt pangaülekande sooritamisel, et tema kasutuses on tema allkirjastamise sertifikaadis sisalduvale avalikule võtmele vastav salajane võti

Kuivõrd teenuse jaoks on praktiliselt oluline, et kasutaja kinnitaks sertifikaadile vastava salajase võtme olemasolu PIN koodi sisestamise teel, siis siit järeldub, et tuleb hoolega hoida ID-kaarti ning ID-kaardi PIN koode enda teada.

Brauseri tööleseadmine autentimiseks on lihtsam ning allkirjastamiseks keerulisem. Tundub, et praktiliselt on 2009 klienditarkvara ja nende teenuste tarkvara, mida saab Iceweaseliga kasutada seis selline, et Iceweasel brauser iseseisvalt ei tegele andmete allkirjastamisega; allkirjastamine toimub nt Java appleti abil, kusjuures applet küsib kasutajalt allkirjastamiseks vajalikku PIN2 koodi. Seda arvestades on soovitav kasutada turvaseadme kirjeldamisel spetsiaalselt ettevalmistatud teeki onepin-opensc-pkcs11.so, mis efektiivselt varjab brauseri eest ära teise sertifikaadi, kui seda mitte teha, siis praktililiselt hakkab brauser kasutajalt küsima ise vaheldumisi mõlema sertifikaadi PIN koodi ja see oleks üsna eksitav.

Brauseri ID-kaardiga kasutamise ettevalmistamiseks tuleb avada

Edit -> Preferences -> Advanced -> Encryption -> Security Devices -> Load

ning kirjeldada Eesti ID-kaardile vastav turvaseade (ingl. k. security device)

Module Name: esteid
Module filename: /usr/lib/onepin-opensc-pkcs11.so

Sõltuvalt sellest, kas soovitakse, et peale PIN1 sisestamist küsiks brauser kasutajalt igal ID-kaardiga autentimise korral kinnitust või mitte tuleb valida

* Select one automatically
* Ask me every time

[[Pilt:Id-auth-cc.gif]]

====Iceweasel brauseri kasutamine autentimiseks====

Auntentimiseks piisab turvaseadme ettevalmistamisest ning seejärel saab näiteks logida sisse riigiportaali, küsitakse PIN1 koodi

[[Pilt:Id-auth-java-pin1.gif]]

====Iceweasel brauseri kasutamine allkirjastamiseks====

Nt SEB pangas makset sooritades toimub digitaal-allkirjastamise protseduur; ja https://digidoc.sk.ee/ või riigiportaali eesti.ee kasutamisel saab moodustada uut digitaalselt allkirjastatud dokumenti või kontrollida olemasoleval digitaalselt allkirjastatud dokumendil allkirja kehtivust. Osa kasutajaid suhtub veebiliidese kaudu dokumentide allkirjastamisse äärmiselt kahtlustavalt, kuna kui juba lokaalse rakendusega digitaalallkirja andmisel ei saa olla täiesti kindel, millele ikkagi allkiri antakse, siis veebirakenduse puhul on see veel eriti nii.

Iceweasel brauseriga allkirjastamiseks peab olema paigaldatud Mozilla Sun Java plugini tarkvara pakett (millega koos paigaldatakse vajadusel ka JVM, kusjuures on oluline kasutada justnimelt Sun Java mitte IBM või GCJ implementatsioone)

# apt-get install sun-java5-plugin

Ning lisaks kopeerida teek

# mkdir /tmp/teek && cd /tmp/teek
# wget http://ideelabor.ee/downloads/pkcs11wrapper-linux.tar.gz
# tar zxf pkcs11wrapper-linux.tar.gz
# find . -type f -ls
442489 104 -rwxr-xr-x 1 501 501 99004 Apr 23 2004 ./libpkcs11wrapper.so

Seejärel tuleb otsida üles arvutist JVM kataloog

# find /usr -type f -name java -ls
173534 68 -rwxr-xr-x 1 root root 65116 May 28 2008 /usr/lib/jvm/java-1.5.0-sun-1.5.0.16/jre/bin/java

mis tähendab, et

JAVA_HOME=/usr/lib/jvm/java-1.5.0-sun-1.5.0.16

Lõpuks tuleb kopeerida lahtipakitud teek kataloogi ${JAVA_HOME}/jre/lib/i386

# cp libpkcs11wrapper.so /usr/lib/jvm/java-1.5.0-sun-1.5.0.16/jre/lib/i386

Lisaks peavad olema lingid, esimene on vajalik digidoc portaali kasutamiseks ja teine SEB pangas

# ln -s /usr/lib/opensc-pkcs11.so /usr/lib/libopensc-pkcs11.so
# ln -s /usr/lib/opensc-pkcs11.so /usr/lib/libesteid-pkcs11.so

NB! Java tarkvara uuendamisel mõnel juhul muutub ka versiooni number nii, et muutub java asukoht failisüsteemis, nt

/usr/lib/jvm/java-1.5.0-sun-1.5.0.16 -> /usr/lib/jvm/java-1.5.0-sun-1.5.0.17

Sel juhul tuleb libpkcs11wrapper.so kopeerida samasse alamkataloogi kuhu ennegi uue java kataloogi sisse.

Kui süsteemi on paigaldatud lisaks mõni uuem java versioon, nt paketist sun-java6-*, siis tuleb kõnealune wrapper kopeerida kõige uuema Java vastavasse kataloogi, nt

# cp libpkcs11wrapper.so /usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/i386/

=====Allkirjastamine SEB pangas=====

Peale panga keskkonda sisselogimist (kas otseselt või läbi mõne muu teenusepakkuja, nt www.if.ee, www.energia.ee jt) ning maksekorralduse ettevalmistamist esitatakse allkirja andmise juurde esmakordsel minemisel küsimus rakenduse usaldusväärsuse kohta

[[Pilt:Id-allkiri-java-pin4.gif]]

ja seejärel tuleb ära oodata pisut eksitav tühi aken, kus tuleb valida Cancel

[[Pilt:Id-allkiri-java-pin3.gif]]

ning seejärel valides Allkirjasta öeldakse, et loetakse andmeid kiipkaardilt ning küsitakse PIN2 koodi

[[Pilt:Id-allkiri-java-pin2.gif]]

Allkirjastamise ajal töötab java rakendus sun.plugin2.main.client.PluginMain

$ ps aux | grep java
mart 6859 10.1 4.7 242668 48832 ? Sl 10:55 0:04 /usr/lib/jvm/java-6-sun-1.6.0.12/jre/bin/java -D__jvm_launched=5951554477 \
-Xbootclasspath/a:/usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/deploy.jar:/usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/javaws.jar:\
/usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/plugin.jar -Djava.class.path=/usr/lib/jvm/java-6-sun-1.6.0.12/jre/classes \
sun.plugin2.main.client.PluginMain write_pipe_name=/tmp/.com.sun.deploy.net.socket.5659.2862701817965363267.AF_UNIX

=====Allkirjastamine Sertifitseerimiskeskuse digidoc.sk.ee portaalis=====

https://digidoc.sk.ee/ portaal võimaldab veebipõhises keskkonnas sooritada digitaalallkirjastamisega seotud protseduure, nt anda allkirja, kontrollida allkirja ja jagada sama dokumenti teiste portaali kasutajatega selleks, et ühte dokumenti saaks allkirjastada mitu osapoolt. Portaali sisenemisel avaneb kasutuskeskkonnale sarnane vaade, süsteemi on laaditud kaks dokumenti, ühel on üks allkiri ja teisel ei ole ühtegi allkirja

[[Pilt:Digidoc-1.gif]]

Keskkonna kasutamine võiks toimuda suhteliselt intuatiivselt, dokumenti allkirjastamisel tuleb täita sarnased lahtrid nagu nn lokaalset digidoc klienti kasutades

[[Pilt:Digidoc-2.gif]]

Allkirjastamisel küsitakse kasutajalt PIN2 koodi

[[Pilt:Digidoc-3.gif]]

https://digidoc.sk.ee/ keskkonnas ei saa tegeleda krüptitud dokumentidega ehk nn .cdoc failidega.

=====Allkirjastamine riigiportaalis www.eesti.ee=====

Aadressil https://www.eesti.ee/ asuvas riigiportaalis sektsioonis

Kodanikule -> Digitaalallkiri

saab veebipõhises keskkonnas sooritada digitaalallkirjastamisega seotud protseduure, nt anda allkirja, kontrollida allkirja ja jagada sama dokumenti teiste portaali kasutajatega selleks, et ühte dokumenti saaks allkirjastada mitu osapoolt.

Portaali Digiallkirja sektsiooni sisenemisel avaneb kasutuskeskkonnale sarnane vaade, süsteemi on laaditud kaks dokumenti, ühel on üks allkiri ja teisel ei ole ühtegi allkirja

[[Pilt:Riigiportaal-digiallkiri-1.gif]]

Keskkonna kasutamine võiks toimuda suhteliselt intuatiivselt, dokumendi allkirjastamisel tuleb täita sarnased lahtrid nagu nn lokaalset digidoc klienti kasutades, PIN2 sisestamine toimub Java appleti abil, sarnaselt

[[Pilt:Riigiportaal-digiallkiri-2.gif]]

Riigiportaalis ei saa tegeleda krüptitud dokumentidega ehk nn .cdoc failidega.

===Icedove postikliendi kasutamine===

Lisaks nö tavalistele e-kirjadele on võimalik moodustada spetsiaalsete lisaomadustega kirju

* allkirjastatud kiri - kirja saatja moodustab allkirja oma salajase võtmega; kirja saaja saab olla kindel, et kiri on saadetud just selle kasutaja poolt kelle sertifikaadi (avaliku võtme) abil õnnestub kirja autentsust kontrollida; kirja sisu on kõigile avalik, kuid kirjale on nö attachmentiga sarnaselt juurde digitaalse allkirja osa; oluline erinevus nö .ddoc allkirjastamisest on, et reeglina ei kasutata seejuures Sertifitseerimiskeskusest saadud kehtivuskinnitust
* krüptitud kiri - kirja saatja krüptib kirja adressaadi avaliku võtmega (sertifikaadiga); kirja saatja saab olla kindel, et mitte keegi peale selle kasutaja, kelle kasutuses on vastav salajane võti saab kirja sisuga tutvuda

Tuleb arvestada, et eposti allkirjastamine ja krüptimine omab tähendust ainult epostiga tegelemisel ning kuigi see tehnika pakub võimaluse täiendava turvalisuse saavutamiseks ei ole tegu Eesti Vabariigi seaduse mõttes kehtiva digitaalselt allkirjastatud dokumendiga juba seetõttu, et mõlemal juhul kasutatakse autentimise sertifikaati.

Kirja krüptimisel ei ole see tingimata oluline, aga allkirjastamiseks Eesti ID-kaardil asuva autentimise sertifikaadile vastava salajase võtmega eeltingimuseks on, et kasutaja on oma postiprogrammis kirjeldanud tema sertifikaadil leiduva postiaadressiga seotud konto. Sertifikaadile märgitud postiaadressi saab küsida sertifikaadilt öeldes

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -email
imre.oolberg@eesti.ee

Iceweasel programmi ID-kaardiga kasutamise ettevalmistamiseks tuleb avada

Edit -> Preferences -> Advanced -> Certificates -> Security devices -> Load

ning kirjeldada Eesti ID-kaardile vastava turvaseade (ingl. k. security device)

Module Name: esteid
Module filename: /usr/lib/onepin-opensc-pkcs11.so

Lisaks tuleb laadida Icedove'i SK juursertifikaat, ESTEID-SK ja ESTEID-SK 2007 sertifikaadid, mis saab kopeerida http://www.sk.ee/ (Avaleht -> Sertifitseerimine -> Baasinfo -> Juursertifikaadid) veebikohast

Edit -> Preferences -> Advanced -> Certificates -> View Certificates -> Authorities -> Import

Kusjuures tuleb kindlasti vastata jaatavalt küsimusele, et neid usaldatakse eposti jaoks kasutamiseks

[[Pilt:Id-sign-0.gif]]

Seejärel tuleb Icedove'is seoses nn @eesti.ee aadressiga, nt imre.oolberg@eesti.ee, kirjeldatud konto juures näidata, milliseid sertifikaate kasutatakse eposti allkirjastamise ning krüptimise juures, valida ülemine Select (Digital Signing)

[[Pilt:Id-sign-1.gif]]

Peale PIN1 koodi sisestamist esitab arvuti valitud sertifikaadi andmed

[[Pilt:Id-sign-2.gif]]

Valides järgmisena Encryption juures Select küsib arvuti, kas ma soovin kasutada sama sertifikaati (õigemini sama sertifikaadiga seotud salajast võtit) teiste kasutajate poolt mulle saadetud krüptitud kirjade (mis on krüptitud minu avaliku võtmega) lahtikürptimiseks, sobib vastata jaatavalt.

====Icedove postikliendi kasutamine eposti allkirjastamiseks====

Kirja saatmine toimub tavapäraselt ainukese erinevusega, et enne kirja saatmist tuleb valida Security alt

Digitally Sign This Message

[[Pilt:Id-sign-3-1.gif]]

Kirja saajal peab olema postiprogrammi laaditud vähemalt SK juursertifikaat (sellest piisab allkirja kontrollimiseks, sest signatuur sisaldab ka allkirjastaja sertifikaati ning ahelat SK juursertifikaadini ja brauseris oleva SK juursertifikaadiga saab seega tuvastada kasutaja allkirja kehtivust) abil ning kiri pasitab sellisena

[[Pilt:Id-sign-3-2.gif]]

Messsage Security aken avaneb vajutades programmiakna paremas servas asuvale kollane-punane värvi ümbriku kujutisele ja ütleb, et vaatlusalune kiri on allkirjastatud (ingl. k. signed) ning allkiri (ingl. k. signature) on kehtiv. St kirja saaja saab olla kindel, et kiri on saadetud selle poolt, kelle kasutada on allkirja kontrollimisel kasutatud sertifikaadile vastav salajane võti.

====Icedove postikliendi kasutamine eposti krüptimiseks====

Eposti krüptimine toimub adressaadi Eesti ID-kaardi autentimise avaliku võtmega, mis tähendab, et keegi teine peale vastava salajase võtme valdaja ei saa sõnumi teksti sisuga tutvuda. Kirja saatmisel tuleb valida

Security -> Encrypt This Message

[[Pilt:Id-sign-3-3.gif]]

Kirja lugemisel peab olema võimalik kasutada ID-kaarti ning tulemus võiks paista sarnane

[[Pilt:Id-sign-3-4.gif]]

Security Message aken avaneb vajutades programmiakna paremas servas asuvale tabaluku kujutisele ja ütleb, et kiri on krüptitud ning selle sisuga on peale adressaadi teistel kasutajatel ülimalt raske tutvuda.

Kui krüptitud kirja adressaadil on ID-kaardi kasutamine seadistamata, siis esitab programm kasutajale veateadet

Icedove cannot decrypt this message

The sender encrypted this message to you using one of your digital certificates, however Icedove was not able to find
this certificate and corresponding private key.

Possible solutions:

* If you have a smartcard, please insert it now.
* If you are using a new machine, or if you are using a new Icedove profile, you will need to restore your certificate
and private key from a backup. Certificate backups usually end in ".p12".

Krüptimisel tuleb arvestada, et kirja päised sh Message-ID, Date, From, To, Subject jt ei ole krüptitud

..
Message-ID: <49B277C9.8010303@eesti.ee>
Date: Sat, 07 Mar 2009 15:34:01 +0200
From: Imre Oolberg <imre.oolberg@eesti.ee>
User-Agent: Mozilla-Thunderbird 2.0.0.19 (X11/20090103)
MIME-Version: 1.0
To: imre.oolberg@eesti.ee
Subject: eesti muld ja eesti =?ISO-8859-1?Q?s=FCda?=
Content-Type: application/x-pkcs7-mime; name="smime.p7m"
Content-Transfer-Encoding: base64
Content-Disposition: attachment; filename="smime.p7m"
Content-Description: S/MIME Encrypted Message

MIAGCSqGSIb3DQEHA6CAMIACAQAxgf0wgfoCAQAwYzBbMQswCQYDVQQGEwJFRTEiMCAGA1UE
ChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMGRVNURUlEMRcwFQYDVQQD
Ew5FU1RFSUQtU0sgMjAwNwIESIQxaDANBgkqhkiG9w0BAQEFAASBgB4isztO9MjE1ZQUzA7e
U1E0YTQZF0nIW4b46Nn/Be+DtUgzZWyZjgln4YxqQ7vDWPJiFNJTqdLjNCPGb6WEJ7ddZJGp
hM/z+tyCNHrXP6DbvjtmF9qJ9WgvyiqHyQMr8FKRCnLdcj70G+N0EzFnsMq4QsvLi6PHaE7v
rWGWq1ynMIAGCSqGSIb3DQEHATAUBggqhkiG9w0DBwQInoBpNLI3/IOggASCAijikH35Tqn9
..

====Teiste kasutajate sertifikaatide kasutamine====

Selleks, et

* saata teisele @eesti.ee postisüsteemi kasutajale krüptitud kirja
* kontrollida teise @eesti.ee postisüsteemi kasutaja poolt saadetud allkirjastatud kirja allkirja

peab olema Icedove'i laaditud teise kasutaja avalik võti, mis esineb nn autentimise sertifikaadi kujul. Selleks tuleb teades kasutaja isikukoodi kopeerida sertifikaadid ldap.sk.ee serverist, nt

$ ldapsearch -LLL -H ldap://ldap.sk.ee -x -b "c=EE" "(serialNumber=37003212713)"

Salvestada esimesele sertifikaadile vastav tekstiosa st

...
userCertificate;binary:: MIID2jCCAsKgAwIBAgIESIQxaTANBgkqhkiG9w0BAQUFADBbMQswC
..
cOXVX08WgFeVtlH1S6AeDIuY1i/EIngiAUV
....

tekstifaili, alates MIID2.. osast, tekstifail peab algama ja lõppema spetsiaalse tunnusega, kokku peab saama sarnane fail

-----BEGIN CERTIFICATE-----
MIID2jCCAsKgAwIBAgIESIQxaTANBgkqhkiG9w0BAQUFADBbMQswC
..
cOXVX08WgFeVtlH1S6AeDIuY1i/EIngiAUV
-----END CERTIFICATE-----

Ning see fail tuleb laadida Icedove'i valides

Edit -> Preferences -> Advanced -> Certificates -> View Certificates -> Other People's -> Import

Seejärel saab saada sertifikaadis näidatud eposti aadressile krüptitud posti ning samuti kontrollida selle kasutaja poolt allkirjastatud eposti signatuuri.

Kui on võimalik, siis saab teise kasutaja isikutuvastuse sertifikaadi postiklienti laadimiseks kasutada ka lihtsamat protseduuri. Nimelt, piisab kui teine kasutaja saadab esmalt signeeritud kirja ning see kiri postikliendiga avada. Sel juhul salvestatakse sertifikaat automaaselt postikliendi Other people's sertifikaatide hoidlasse.

Üldiselt võib üks ja sama kiri olla samaaegselt nii signeeritud kui ka krüptitud.

===@eesti.ee aadresside kasutamine===

Kuna Eesti ID-kaardi autentimise sertifikaadile vastava avaliku võtmega kürptitud kirju saab saata tingimusel, et adressaadiks on sertifikaadis esitatud aadress, mis on kujul

eesnimi.perekonnanimi@eesti.ee

või kui sama ees-ja perekonnanimega kasutajaid oma rohkem kui üks, siis järgmistele aadressidele on perekonnanime järele lisatud arv

eesnimi.perekonnanimi.1@eesti.ee

siis oleks hea kui sellistele aadressidele saadetud kirjad mugavasti adressaadi postkasti jõuaksid.

Käesolev asjakorraldus võimaldab Eesti ID-kaardi omanikel aadressil http://www.eesti.ee/ asuvas riigiportaalis seadistada, kuhu tema @eesti.ee aadressile saadetud kirjad edasi saadetakse. Tavaliselt on selleks nt mail.ee, gmail.com vms teenusepakkuja postkastiga seotud eposti aadress.

Kuigi tehniliselt teeb @eesti.ee aadressi kasutamine mugavaks signeeritud ja krüptitud kirjade vahetamise, töötab see ka nö tavaliste kirjade puhul.

Kusjuures varasemal ajal on kasutatud ID-kaardi autentimise sertifikaadis ka aadressi kujul, kus nnnn on neljakohaline arv

eesnimi.perekonnanimi_nnnn@eesti.ee

Lisaks, @eesti.ee postisüsteem võimaldab seadistada kasutajal omale edasisuunamise aadressi aadressile

isikukood@eesti.ee

kuid kuna see aadress ei esine sertifikaadis, siis ei ole võimalik seda kasutada eposti allkirjastamisel ega krüptimisel.

===Sertifikaadi kehtivuse kontrollimine===

Avaliku võtme infrastruktuuri üheks ülesandeks on hallata kasutajate sertifikaate sh mitmetel põhjusel sertifikaat kehtetuks kuulutada. Seega, sertifikaadi kasutamisel on oluline kontrollida, kas sertifikaat kasutamise ajal kehtib, seda saab teha SK OCSP (Online Certificate Status Protocol) abil öeldes

$ openssl ocsp -issuer esteid.pem -cert idkaardiltsert.pem -url http://ocsp.sk.ee -noverify -text
OCSP Request Data:
Version: 1 (0x0)
Requestor List:
Certificate ID:
Hash Algorithm: sha1
Issuer Name Hash: 4508A41C355C0A72485FE2DF7B6A6788C6A55022
Issuer Key Hash: 4806DEBE8C875795807863FA9C232B2BA03A1875
Serial Number: 48843168
Request Extensions:
OCSP Nonce:
0410090A1FA4F0555E82C1DFB4722FC61696
OCSP Response Data:
OCSP Response Status: successful (0x0)
Response Type: Basic OCSP Response
Version: 1 (0x0)
Responder Id: C = EE, O = ESTEID, OU = OCSP, CN = ESTEID-SK 2007 OCSP RESPONDER, emailAddress = pki@sk.ee
Produced At: Oct 7 22:15:36 2008 GMT
Responses:
Certificate ID:
Hash Algorithm: sha1
Issuer Name Hash: 4508A41C355C0A72485FE2DF7B6A6788C6A55022
Issuer Key Hash: 4806DEBE8C875795807863FA9C232B2BA03A1875
Serial Number: 48843168
Cert Status: good
This Update: Oct 7 22:15:36 2008 GMT

Response Extensions:
OCSP Nonce:
0410090A1FA4F0555E82C1DFB4722FC61696
cert.pem: good
This Update: Oct 7 22:15:36 2008 GMT

Kus esteid.pem sertifikaadi saab kopeerida SK veebikohast.

===ID-kaardi kasutamine chroot keskkonnast===

Märkus: 20090314 stabiilne Debian Lenny sisaldab sun-java6-plugin paketti.

Üks praktiline vajadus kasutada ID-kaarti chroot programmiga moodustatud chroot keskkonnast oleks 64 bit Debiani operatsioonisüsteemis kasutada 32 bit Iceweaselit'i. Põhjusel, et 32 bit arhitektuurile on olemas Iceweaseli java plugin (pakett sun-java6-plugin), aga 64 bitile seda 2008 aastal pole. Omakorda on java vajalik, et saaks nt SEB pangas allkirjastada st sooritada ülekannet.

Tundub, et kui arvutile külge ühendatud ID-kaarti on tarvis kasutada chroot käsu abil moodustatud chroot keskkonnast, siis tuleb öelda (pcscd deemon töötab nn absoluutses arvutis)

# mount --bind /var/run/pcscd /srv/arvuti-32/var/run/pcscd

ning seejärel tuleb käivitada iceweasel nt selliselt läbi sudo

$ sudo /usr/sbin/chroot /srv/arvuti-32 iceweasel

Selleks, et chroot keskkonnas käivitatud iceweasel saaks näidata oma pilti X serverile tuleb xhost käsuga kaasa aidata, nt öelda

$ xhost +iceweaseliarvutinimi

kusjuures ilma argumentideta xhost näitab, millistest arvutitest on võimalik X serveri poole pöörduda.

Kirjeldatud asjakorralduse puhul ei ole tarvis chroot keskkonda ühendada külge mingeid muid failisüsteeme (nt /proc, /sys) ega käivitada seal deemoneid pcscd vms.

Sudo töötamiseks on vajalik omakorda sellist sisu /etc/sudoers faili

User_Alias CHROOT_USERS = mart
Cmnd_Alias CHROOT_CMD = /usr/sbin/chroot
Host_Alias MORAAL = arvuti
CHROOT_USERS MORAAL = (root) NOPASSWD: CHROOT_CMD

Milliseid turvariske selline asjakorraldus tema jaoks toob peab iga kasutaja ise hindama, eriti seoses X serverile ligipääsemisega kus on avatud ID-kaarti kasutav rakendus.

===ID-kaardi kasutamine konsoolilt arvutisse sisselogimiseks===

Arvutisse sisselogimise kontrollimist on võimalik korraldada ID-kaardi isikutuvastuse sertifikaadiga. Ehk täpsemini, sisselogimisel peab kasutaja tõendama, et ta saab kasutada isikutuvastuse sertifikaadile vastavat salajast võtit ja seda ta teeb PIN1 koodi sisestamise teel.

Tööleseadistatud süsteemi kasutamine näeb välja mitte-graafilise konsooli (tõenäoliselt mingi getty) kasutamisel selliselt, tulemusena on kasutaja süsteemi sisse loginud, nt juurkasutaja

Debian GNU/Linux 5.0 arvutinimi tty4

arvutinimi login: root
Please insert your smart card or enter your username.
Smart card inserted.
Welcome to ID-kaart (PIN1, Isikutuvastus)!
Smart card password:
...

bash#

Sellise asjakorralduse tööleseadmiseks tuleb üldiselt ID-kaart arvutiga ära ühendada nii nagu on ülal punktis 'Kaardilugeja ühendamine operatsioonisüsteemiga' kirjeldatud ning seejärel

* seadistada sisselogimise kontrolli süsteemne osa
* seadistada sisselogimise kontrolli kasutajaspetsiifiline osa

====Süsteemi ettevalmistamine====

Süsteemi ettevalmistamiseks tuleb lisaks paigaldada pakett libpam-pkcs11

# apt-get install libpam-pkcs11

Seejärel moodustada kataloog /etc/pam_pkcs11, sinna näidise eeskujul seadistusfail

# mkdir /etc/pam_pkcs11
# zcat /usr/share/doc/libpam-pkcs11/examples/pam_pkcs11.conf.gz > /etc/pam_pkcs11/pam_pkcs11.conf
# zcat /usr/share/doc/libpam-pkcs11/examples/pam_pkcs11.conf.gz > /etc/pam_pkcs11/pam_pkcs11.conf-orig

ja teha seadistusfailis sellised muudatused

# diff pam_pkcs11.conf pam_pkcs11.conf-orig
85,86c85
< # module = /usr/lib/pam_pkcs11/pkcs11_module.so;
< module = /usr/lib/opensc-pkcs11.so;
---
> module = /usr/lib/pam_pkcs11/pkcs11_module.so;
116c115
< use_mappers = opensc, digest, cn, pwent, uid, mail, subject, null;
---
> use_mappers = digest, cn, pwent, uid, mail, subject, null;
122,123c121
< # mapper_search_path = /usr/lib/pam_pkcs11;
< mapper_search_path = /lib/pam_pkcs11;
---
> mapper_search_path = /usr/lib/pam_pkcs11;
160,161c158
< # module = /usr/lib/pam_pkcs11/opensc_mapper.so;
< module = /lib/pam_pkcs11/opensc_mapper.so
---
> module = /usr/lib/pam_pkcs11/opensc_mapper.so;

SK sertifikaatide kopeerimine ja nn hash linkide moodustmine toimub selliselt (eeldusel, et kasutaja isikutuvastuse sertifikaat on antud välja ESTEID-SK 2007 sertifikaadi suhtes)

# mkdir /etc/pam_pkcs11/cacerts
# cd /etc/pam_pkcs11/cacerts
# wget http://www.sk.ee/files/JUUR-SK.PEM.cer -O JUUR-SK.PEM.pem
# wget http://www.sk.ee/files/ESTEID-SK%202007.PEM.cer -O ESTEID-SK%202007.PEM.pem
# c_rehash .

Tulemus

# find . -ls
183909 4 drwxr-xr-x 2 root root 4096 Mar 15 12:28 .
183911 4 -rw-r--r-- 1 root root 1404 Jan 3 2007 ./ESTEID-SK\ 2007.PEM.pem
183910 4 -rw-r--r-- 1 root root 1790 Feb 6 2006 ./JUUR-SK.PEM.pem
183913 0 lrwxrwxrwx 1 root root 15 Mar 15 12:28 ./119afc2e.0 -> JUUR-SK.PEM.pem
183912 0 lrwxrwxrwx 1 root root 22 Mar 15 12:28 ./590f5e9e.0 -> ESTEID-SK\ 2007.PEM.pem

Lõpuks tuleb kirjeldada PAM mooduli seadistusfailis uus autentimisviis lisades faili /etc/pam.d/common-auth juurde esimeseks reaks

auth sufficient pam_pkcs11.so nullok

====Kasutajakeskkonna ettevalmistamine====

Selleks, et konktreene kasutaja, nt juurkasutaja saaks süsteemi siseneda tuleb moodustada kataloog

# mkdir /root/.eid

ning kopeerida ID-kaardilt isikutuvastuse sertifikaat faili /root/.eid/authorized_certificates

# pkcs15-tool -r 01 > /root/.eid/authorized_certificates

===Eesti ID-kaardi kasutamine OpenVPN lahendusega===

OpenVPN pala tekstis http://kuutorvaja.eenet.ee/wiki/OpenVPN_ja_Eesti_ID-kaardi_kasutamine on kirjeldatud, kuidas kasutada Eesti ID-kaarti VPN kasutajate autentimiseks.

===Eesti ID-kaardi kasutamine GnuPG-2 tarkvaraga===

Märkmed Eesti ID-kaardi võimalikust kasutamisest GnuPG-2 tarkvaraga, mis kahjuks ei vii tulemuseni, aga võimalik, et ühel päeval viivad, http://kuutorvaja.eenet.ee/wiki/GnuPG_kasutamine_Debianiga#Eesti_ID-kaardi_kasutamine_GnuPG-2_tarkvaraga

===ID-kaardi koodide muutmine===

ID-kaardi isikutuvastuse ja allkirjastamise võtmete kasutamist kaitstakse koodidega, vastavalt PIN1 ja PIN2 koodid. Lisaks on kasutusel PUK kood, mille abil saab PIN1 ja PIN2 koodi vajadusel muuta, näiteks kui mõni PIN kood on saanud teatavaks kellelegi teisele või mõni PIN kood on ära ununenud. Kui sooritada kolm järjestikulist ebaõnnestunud koodi sisestamist, siis ligipääs kõnelusele salajasele võtmele lukustatakse, st et enne kui seda saab uuesti kasutada, tuleb ligipääs võtmele PUK koodi abil lahti lukustada.

ID-kaardi PIN koodide lahtilukustamiseks sobib kasutada pkcs15-tool utiliiti, nt öelda PIN 1 koodi lahtilukustamiseks

# pkcs15-tool --unblock-pin -a 1
Enter PUK [PIN1, Isikutuvastus]:
Enter new PIN [PIN1, Isikutuvastus]:
Enter new PIN again [PIN1, Isikutuvastus]:

Muud käsud:

PIN1 koodi muutmiseks

# pkcs15-tool --change-pin -a 1

PIN2 koodi muutmiseks

# pkcs15-tool --change-pin -a 2

PIN2 koodi lahtilukustamiseks

# pkcs15-tool --unblock-pin -a 2

PUK koodi muutmiseks

# pkcs15-tool --change-pin -a 3

Kui aga PUK kood on kadunud, siis saab ID-kaarti kasutada seni kuni pole tarvis PIN koode muuta, vastasel korral tuleb teeninduspunktist, nt pangas paluda paigaldada ID-kaardile uus nn ümbrik.

===e-valimistel osalemine===

e-valimistel osalemiseks tuleb valimiste veebikohta sisse logida ning kopeerida lokaalselt töötav rakendus. Kävitamisel paistab selline pilt

[[Pilt:Evalimised-2009-1.gif]]

===Mobiil-ID===

Mobiil-ID tehnika võimaldab kasutada mobiiltelefoni sarnaselt ID-kaardile, mobiil-ID toimimist on kirjeldatud aadressil http://www.id.ee/10958

===ID-kaardi rakenduste arendamine===

ID-kaardi rakenduste arendajale on Sertifitseerimiskeskus tekitanud projekti OpenXades aadressil http://www.openxades.org/

* saab testida id-kaardiga allkirjastamist vastu test digidocservice teenust (selleks tuleb üles laadida oma sertifikaadid)
* saab testida mobiil-id kaardi kasutamist (selleks tuleb üles laadida oma sertifikaadid)

===Eesti ID-kaardi tarkvara arendus 2009===

Smartlink arendab RIA tellimusel 2009 aastal Eesti ID-kaardi kasutamise tarkvara https://id.eesti.ee/idtrac/, mis sisaldab muu hulgas kasutaja töökohaarvutis kasutamiseks graafilise kasutajaliidesega programme

* qesteidutil - ID-kaardi haldamise tarkvara, sertifikaatide kehtivuse kontroll, PIN koodide muutmine, sertifikaatide uuendamine jms
* qdigidocclient - andmete allkirjastamine ja allkirjade kontrollimine, st nn .ddoc ja .bdoc failidega tegelemine
* qdigidoccrypto - andmete krüptimine teise ID-kaardi kasutaja avaliku võtmega, st .cdoc failidega tegelemine

Lisaks asendab Smartlink lahendus Debian Lenny nö ametlikust tarkvarast sellised paketid

* libopensc2 - OpenSC teek
* opensc - OpenSC utiliidid, kuigi selle paketi paigaldamine ei ole lõppkasutaja seisukohast tingimata vajalik (seal sisaldub nt pkcs15-tool utiliit)

2009 aasta juuli keskel on see selle tarkvara arendusetapp lõpule jõudmas ning praktiselt saab tarkvara võimalustega tutvuda ja tasakesi kasutada.

====Tarkvara paigaldamine====

Kõnealune lahendus kasutab eraldiseisvalt eksisteerivaid OpenSC teeke (pakett libopensc2, seadistusfail /etc/opensc/opensc.conf) ning PC/SC vahendeid (pakett pcscd), Eesti ID-kaardi tarkvara paigaldamiseks tuleb lisada /etc/apt/sources.list faili rida

deb ftp://ftp.smartlink.ee/pub/id/debian/ lenny main

usaldada Smartlinki repositooriumi Release faili võtit

# wget ftp://ftp.smartlink.ee/pub/id/apt-esteid-test.gpg.asc
# apt-key add apt-esteid-test.gpg.asc
OK

NB! 20090928 seisuga selle repo kasutamisel asendatakse Debian Lenny nö enda opensc jt teeke ära Smartlinki omadega ja tulemusena ID-kaarti ei saa kasutada, vähemalt mitte ilma vajalike muudatusteta.

Tarkvara paigaldamiseks tuleb öelda

# apt-get install qesteidutil qdigidoc

paigaldatakse neli kõnealuse arendusega seotud paketti ning vajadusel sõltuvustena ka OpenSC, PC/SC jm tarkvara

* qesteidutil - Eesti ID-kaardi haldusvahend qesteidutil
* qdigidoc - programmid qdigidocclient ja qdigidoccrypto
* libdigidoc2 - nn vana teek, käsurealt kasutatav utiliit cdigidoc
* libdigidocpp0 - nn uus teek

Tarkvara kasutamiseks tuleb OpenSC ja PC/SC seada käima nii nagu on käesoleva pala alguses punktis [[:Eesti ID-kaardi kasutamine Debianiga#Kaardilugeja ühendamine operatsioonisüsteemiga]] kirjeldatud.

====Eesti ID-kaardi haldusvahend====

Eesti ID kaardi haldusvahendi qesteidutil kasutamiseks tuleb käivitada programm, nt valides menüüst või XTerm aknas öeldes

$ qesteidutil

ning avaneb aken

[[Pilt:qesteidutil-1.gif]]

Kasutajaliideses esitatud pilt kopeeritakse riigiportaali www.eesti.ee süsteemi kaudu üle X-tee KMA andmekogust.

====Digidoc klient====

Qt teeke kasutava Digidoc kliendi qdigidocclient käivitamiseks tuleb käivitada programm nt valides menüüst või XTerm aknas öeldes

$ qdigidocclient

ning avaneb aken

[[Pilt:qdigidocclient-1.gif]]

Krüptimise utiliidi saab käivitada öeldes

$ qdigidoccrypto

ning avaneb pilt

[[Pilt:qdigidoccrypto-1.gif]]

Utiliit sisalab LDAP klienti, millega saab teades teise kasutaja isikukoodi kopeerida Sertifitseerimiskeskuse LDAP kataloogist tema isikutuvastuse sertifikaadi.

====cdigidoc utiliit====

Paketi libdigidoc2 koosseisus on utiliit cdigidoc, millega saab käsurealt DigiDoc failidega töötada, näiteks fail.cdoc lahtikrüptimiseks sobib öelda

$ cdigidoc -decrypt fail.cdoc PIN_KOOD -out fail.ddoc

Faili fail.ddoc seest esimene faili nimega sisufail.txt konteinerist välja kopeerimiseks sobib öelda

$ cdigidoc -extract D0 sisufail.txt -in fail.ddoc

Ilma argumentideta käsk väljastab abi

$ cdigidoc
USAGE: cdigidoc <command(s)> [-in <input-file>] [-out <output-file>] [-config <config-file>]
COMMANDS:
[-new] [format] [version]
-check-cert <-cerificate-file-name (PEM format)>
-add <file-name> <mime-type> [<content-type>] [<charset>]
-verify
-list
-sign <pin> [<manifest>] [<city> <state> <zip> <country>]
-extract <doc-id> <file-name> [<charset>] [<file-name-charset>]
-encrypt <file-name>
-encrecv <cert-file> [<recipient>] [<keyname>] [<carried-key-name>]
-decrypt <file-name> <pin1>
-denc-list <file-name>
-encrypt-file <in-file-name> <out-file-name> [<in-file-mime-type>]
-decrypt-file <in-file-name> <out-file-name> <pin1>
-calc-sign <cert-file> [<manifest>] [<city> <state> <zip> <country>]
-add-sign-value <sign-value-file> <sign-id>
-del-sign <sign-id>
-get-confirmation <sign-id>
OPTIONS:
-cgimode [<ouput-separator] - output in CGI mode
-SAX - use SAX parser
-XRDR - use XmlReader parser

====Märkused====

20090714 seisuga tehtud tähelepanekud

* programmidel puuduvad manuaalid (ingl. k. manpage) ning praktiliselt dokumentatsioon kataloogis /usr/share/doc/paketinimi
* paketihalduse nimekirjas esineb ka pakett qdigidoccrypto, mida asendab qdigidoc, kui qdigidoc* pakettide traditsioon alles algab, äkki siis see 'Replaces' eemaldada
* sõltuvustest ei paigaldata opensc paketti, mis iseenesest ei ole ka vajalik, vajalik on just libopensc2 teekide pakett
* q* programmide kasutamisel tuleb olla kannatlik, kuigi esmalt teatab programm, et 'Ei leitud ühtegi ID-kaarti' voi 'Kaarti pole lugejas', siis tegelikult võidakse tegeleda alles kaardi otsimisega ja mõne sekundi pärast on kõik korras ja saab jätkata programmi kasutamist
* q* programmide akendest ei saa alati hiirega teksti kopeerida
* paketi libopensc2 seadistusfailis /etc/opensc/opensc.conf võiks parameetri muudatus toimuda ehk debconf dialoogi abil pakkudes kasutajale sobivat vaikeväärtust

reader_drivers = openct, pcsc, ctapi; -> reader_drivers = pcsc, ctapi;

* IP aadressipõhisel ocsp teenusele ligipääsu puhul küsitakse 'Did not find any server access certificate! Start downloading?'
* Kas programmide töö lõpetamiseks on muid võimalusi peale akna sulgemise?

===Eesti ID kaardi tarkvara v. 3.8 kasutamine 2014 suvel===

Käesolevas punktis kirjeldatakse 2014 aasta suvel olemasolevate tarkvara komponentidega Eesti ID kaardi kasutamist (autentimist ja allkirjastamist)

* Debian testing (Jessie) operatsioonisüsteem (32 või 64 bit, tõenäoliselt sarnaselt toimub paigaldamine-seadistamine-kasutamine ka muude Debiani versioonide ja Linux distributsioonidega)
* Eesti ID kaardi tarkvara v. 3.8.0 Ubuntu v. 12.04 (Precise) paketid

Tulemusena saab

* Chrome brauseriga autentida ja allkirjastada
* ID kaardi haldusvahendiga pin koode hallata
* lokaalse DigiDoc kliendiga allkirjastada ja krüptida

Juhised kehtivad

* Chrome < v. 35 (tundub, et alates v. 35 on smart card autentimise tehnika oluliselt muutunud, väidetavalt Eesti ID kaardi tarkvara v. 3.9 teeb selle korda)
* OpenSC kuni 0.12 ja kaasa arvatud (0.13 juures puudub brauseri kasutamist abistav onepin teek)

====Tarkvara paigaldamine====

Eeldusel, et arvutis on töötav kasutajakeskkond (XCFE, Gnome vms) ning Chrome brauser versioon < 35, lisada süsteemi üldotstarbelised paketid

# apt-get install opensc pcscd libccid libnss3-tools apt-transport-https

Kuna onepin-opensc-pkcs11.so teek on vajalik, aga opensc v. 0.13 tarkvaras puudub ning see on nt Debian v. 7 Wheezy paketihalduses v. 0.12 juures olemas (ja tundub, et sobib kasutada), siis aitab lisada /etc/apt/sources.list faili Debian v. 7 Wheezy repositoorium

deb http://ftp.us.debian.org/debian/ wheezy main contrib non-free

ning öelda 0.12 versiooni paigaldamiseks (downgrade'iks)

# apt-get update
# apt-get install opensc=0.12.2-3

Lisaks tuleb Wheezy pakettidest paigaldada

# apt-get -t wheezy install libxml-security-c16

Eesti ID kaardi tarkvara paigaldamise ettevalmistamiseks laadida võti

# wget -O /tmp/ria-public.key https://installer.id.ee/media/install-scripts/ria-public.key
# apt-key add /tmp/ria-public.key

lisada /etc/apt/sources.list faili rida

deb https://installer.id.ee/media/ubuntu/ precise main

ja tarvkara paigaldamiseks öelda

# apt-get update
# apt-get install estonianidcard qesteidutil esteidcerts esteidfirefoxplugin

====ID kaardilugejaga suhtlemise kontrollimine====

Peale tarkvara paigaldamist ja eeldusel, et lugeja on arvutiga ühendatud saab öelda

# opensc-tool -l
# Detected readers (pcsc)
Nr. Card Features Name
0 Yes SCM Microsystems Inc. SCR 331 [CCID Interface] (504005BE) 00 00

Kui lisaks on ID kaart on lugejas saab öelda (jms pkcs15-tool käske)

# pkcs15-tool -c
Using reader with a card: SCM Microsystems Inc. SCR 331 [CCID Interface] (504005BE) 00 00
X.509 Certificate [Isikutuvastus]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeaace
ID : 01
Encoded serial : 02 10 3BF4F7CBE36A655050DC20A42E9EFBAA

X.509 Certificate [Allkirjastamine]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeddce
ID : 02
Encoded serial : 02 10 0D1864A01391996750DC20AC1BF2FDE5

====ID kaardi haldusvahend====

Peale tarkvara paigaldamist maksab esmalt veenduda, et id kaardilugeja riistvara on ära tuntud ja kaart on üldiselt ligipääsetav. Selleks käivitada ID kaardi haldusvahend ja peab nägema oma sertifikaadiandmeid.

Interneti kasutamise olemasolul saab Lae pilt valikuga küsida rahvastikuregistris olevat pilti.

====Chrome brauseriga autentimine ja allkirjastamine====

Esmalt tuleb kord brauser käivitada, et kasutaja kodukataloogi tekiksid vajalikud nn punktifailid (~/.pki), seejärel brauseri protsessid lõpetada st brauseri sulgeda ning öelda sama kasutajana

$ modutil -dbdir sql:$HOME/.pki/nssdb -delete opensc-pkcs11
$ modutil -dbdir sql:$HOME/.pki/nssdb -add opensc-pkcs11 -libfile onepin-opensc-pkcs11.so -mechanisms FRIENDLY

kus

* esimese käsu väljundiks on tõenäoliselt veateade kuna pole midagi kustutada
* teise käsu väljundiks

...
Module "opensc-pkcs11" added to database.

Seejärel tuleb Chrome pluginate settingutest aadressilt chrome://plugins (sisestada nii aadressreale) seadistada EstEID plugin

* Enabled
* Always Allowed

Tulemusena paistab selline pilt

[[Pilt:Chrome-esteid-2.gif]]

kust on näha, et kasutatakse paketis esteidfirefoxplugin olevat teeki

$ dpkg -S /usr/lib/mozilla/plugins/npesteid-firefox-plugin.so
esteidfirefoxplugin: /usr/lib/mozilla/plugins/npesteid-firefox-plugin.so

Autentimiseks sobib minna mõnda portaali, kus on võimaluda kasutaja autentmiseks ID kaardiga, nt https://www.eesti.ee/. Samas saab ka allkirjastada valides

Minu asjad -> Minu dokumendid

Katsetada sobib ka aadressil https://www.openxades.org/web_sign_demo/sign.html.

====Firefox/Iceweasel brauseriga autentimine ja allkirjastamine====

Kontrollida, et paketi esteidfirefoxplugin paigaldamisel tekkinud EstEID plugin on Always Activate olekus

about:addons -> Plugins -> EstEID plug-in -> More

ID kaardi kasutamiseks tuleb brauseri seadistustes kirjeldada onepin teek valides

Edit -> Preferences -> Advanced -> Certificates -> Security Devices -> Load

ja avanenud dialoogis sisestada nt

* Module name - EstEID
* Module filename - /usr/lib/x86_64-linux-gnu/onepin-opensc-pkcs11.so

kus mooduli asukoht failisüsteemis sõltub arhitektuurist jms natuke, find leiab üles

$ find /usr/ -name onepin\*
/usr/lib/x86_64-linux-gnu/onepin-opensc-pkcs11.so

Tulemusena saab ID kaardiga autentida ning allkirjastada.

====Lokaalne DigiDoc klient====

Tarkvara paigaldamise käigus paigaldati ka lokaalne DigiDoc klient. Esmakordsel käivitamisel pakutakse võimalust laadida Sertifitseerimiskeskuse kehtivuskinnituse kasutamiseks vastav juurdepääsutõend, millega saab allkirjastada kuni kümme korda kuus.

====Probleemid====

* Kui allkirjastamisel küsitakse luba kahe plugina käivitamiseks (või öeldakse, et Java plugin on puudu)

[[Pilt:Chrome-esteid-1.gif]]

siis on põhjuseks, et EstEID plugin ei ole seadistatud õieti. Peab olema valitud 'Always allowed'. Oluline on teada, et Java ei ole Chrome brauseriga allkirjastamisel reeglina vajalik.

====Kasulikud lisamaterjalid====

* https://installer.id.ee/
* https://github.com/martinpaljak/ria-debian-build
* http://lauri.võsandi.com/posts/ubuntu-trusty-esteid.html
* http://pingviin.org/portal.php?topic_id=9727
* https://installer.id.ee/media/install-scripts/install-esteid-ubuntu.sh
* https://wiki.debian.org/Smartcards
* http://id.ee/?id=34228
* http://packages.ubuntu.com/lucid/libccid

===Eesti ID kaardi tarkvara v. 17.01.1686-1604 kasutamine 2017 kevadel===

Käesolevas punktis käsitletakse Eesti ID kaardi tarkvara kasutamist operatsioonisüsteem Debian v. 9 Stretch keskkonnas. Debian jaoks üldiselt pakette ei valmistata, aga osutub, et saab kasutada Ubuntu v. 16.04 Xenial pakette.

====Tööpõhimõte====

TODO

====Ettevalmistused====

Kuna Ubuntu v. 16.04 Xenial libssl1.0.0 v. 1.0.2g paketis on ka v. 1.0.0 sümbolid

<pre>
ubuntu-1604$ strings /lib/x86_64-linux-gnu/libssl.so.1.0.0 | grep ^OPENSSL_1
OPENSSL_1.0.0
OPENSSL_1.0.1
OPENSSL_1.0.1d
OPENSSL_1.0.2
OPENSSL_1.0.2g
</pre>

ja Debian v. 9 Stretch libssl1.0.2 v. 1.0.2k paketis ei ole 1.0.0 sümboleid

<pre>
debian-9$ strings /usr/lib/x86_64-linux-gnu/libssl.so.1.0.2 | grep ^OPENSSL_1
OPENSSL_1.0.2d
OPENSSL_1.0.2g
</pre>

siis on vaja leida mingi workaround. Tundub, et kaaluda maksab

* kopeerida internetist Ubuntu v. 16.04 Xenial libssl1.0.0 pakett ja kasutada sealt kahte teeki libssl.so.1.0.0 ja libcrypto.so.1.0.0 (selle lähenemise puuduseks on, et edaspidi vaevalt keegi viitsib neid teeke uuendada)
* paigaldada Debian v. 8 Jessie libssl1.0.0 pakett, http://priit.joeruut.com/archives/Eesti-ID-kaardi-tarkvara-ehk-open-eid-v.-3.12-kasutamine-Debianis.html (lähenemise puuduseks on, et Debian v. 8 Jessie tugi lõpeb tõnäoliselt varem kui Ubuntu v. 16.04 Xenial, aga väga võimalik, et veel enne tekib Debian + ID kaardi kasutamiseks mingi normaalsem lahendus)

Ubuntu libssl1.0.0 paketi saab kopeerida aadressilt http://packages.ubuntu.com/search?keywords=libssl1.0.0&searchon=names&suite=xenial&section=all

Paketi lahti pakkimiseks sobib öelda

$ cd /var/tmp/libssl1.0.0-ubuntu
$ dpkg -x /home/imre/Downloads/libssl1.0.0_1.0.2g-1ubuntu4.6_amd64.deb .

ning (kuna selliste nimedega faili enne pole)

# cp libssl.so.1.0.0 libcrypto.so.1.0.0 /usr/lib/x86_64-linux-gnu

Selleks, et süsteemis oleks paketihalduse mõttes libssl1.0.0 nimeline pakett, sobib kasutada equivs abi

* öelda

$ equivs-control libssl1.0.0

* redigeerida natuke tekkinud faili

<pre>
$ egrep -v "^$|^#" libssl1.0.0
Section: misc
Priority: optional
Standards-Version: 3.9.2
Package: libssl1.0.0
Version: 1.0.0
Maintainer: Imre <imre@auul.pri.ee>
Description: libssl1.0.0 abistaja
Testime
.
Testime 2
</pre>

* öelda

$ equivs-build libssl1.0.0

* paigaldada (kuidagi ta paigaldatakse vaatamata signatuuri puudumisele jms)

# dpkg -i libssl1.0.0_1.0.0_all.deb

====Paigaldamine====

* lisada apt võtmete hulka aadressil https://installer.id.ee/media/install-scripts/install-open-eid.sh oleva skripti algusest kaks sissekannet

# apt-key add failinimi

* lisada apt source

# cat /etc/apt/sources.list.d/ria-repository.list
deb http://installer.id.ee/media/ubuntu xenial main

* värskendada

# apt-get update

ID kaardi tarkvara paigaldamiseks sobib öelda

# apt-get install open-eid

tulemusena tekib failisüsteemi

* kümmekond paketti, enamus installer.id.ee pealt
* /etc/X11/Xsession.d/95-esteid-update-nssdb - selle faili abil X konsoolil töötamise alguses nö korraldakse sobiv seis olulistest asjadest (mh öeldakse modutil jt käske)

Paigaldamise lõpus tuleb Desktop keskkonnast logida välja ja tagasi sisse selleks, et Xsession kasutaks nssdb osa.

====ID kaardilugejaga suhtlemise kontrollimine====

Peale tarkvara paigaldamist ja eeldusel, et lugeja on arvutiga ühendatud saab öelda

<pre>
$ opensc-tool -l
# Detected readers (pcsc)
Nr. Card Features Name
0 Yes Gemalto PC Twin Reader (FB00DB62) 00 00
</pre>

Kui lisaks on ID kaart on lugejas saab öelda (jms pkcs15-tool käske)

<pre>
$ pkcs15-tool -c
Using reader with a card: Gemalto PC Twin Reader (FB00DB62) 00 00
X.509 Certificate [Isikutuvastus]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeaace
ID : 01
Encoded serial : 02 10 775DD64056F35E7954C8CB3EFEB3C8EE
X.509 Certificate [Allkirjastamine]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeddce
ID : 02
Encoded serial : 02 10 2D5E4D8F644E041454C8CB5236F7D2D6
</pre>

====ID kaardi haldusvahend====

Peale tarkvara paigaldamist maksab esmalt veenduda, et id kaardilugeja riistvara on ära tuntud ja kaart on üldiselt ligipääsetav. Selleks käivitada ID kaardi haldusvahend ja peab nägema oma sertifikaadiandmeid.

Interneti kasutamise olemasolul saab Lae pilt valikuga küsida rahvastikuregistiris olevat pilti.

====Chromium brauseriga autentimine ja allkirjastamine====

Veenduda, et Chromiumil on olemas vastav plugin (see on kopeeritav ka üldisest Google Chrome extensions repositooriumist)

[[Pilt:Chrome-esteid-3.gif]]

Tulemusena peab töötama autentimine ja allkirjastamine.

====Firefox brauseriga autentimine ja allkirjastamine====

TODO

* Tundub, et autentimine töötab nö iseenesest.

====Kasulikud lisamaterjalid====

* https://github.com/web-eid/
* https://github.com/open-eid
* https://github.com/open-eid/chrome-token-signing/wiki
* https://lauri.xn--vsandi-pxa.com/2014/04/ubuntu-trusty-esteid.html
* http://installer.id.ee/
* http://priit.joeruut.com/archives/Eesti-ID-kaardi-tarkvara-ehk-open-eid-v.-3.12-kasutamine-Debianis.html
* https://installer.id.ee/media/install-scripts/install-open-eid.sh
* https://www.auul.pri.ee/wiki/Operatsioonis%C3%BCsteem_Debian_GNU/Linux_paketihalduse_kasutamine#Equivs_kasutamine

===Eesti ID kaardi kasutamine - Ubuntu 16.04===

Alustada aadressilt https://installer.id.ee/

# apt-key add ria-key1.pem
# apt-key add ria-key2.pem

# cat /etc/apt/sources.list.d/ria-repository.list
deb http://installer.id.ee/media/ubuntu xenial main

# apt-get update
# apt-get install open-eid

Kui lähtepunktiks on nö tavaline töökohaarvuti, siis lisanduvad paketid

chrome-token-signing esteidfirefoxplugin esteidpkcs11loader libccid libdigidoc-common libdigidoc-tools libdigidoc2 libdigidocpp-common libdigidocpp-tools
libdigidocpp1 libminizip1 libnss3-tools libxerces-c3.1 libxml-security-c17v5 libzip4 open-eid opensc opensc-pkcs11 pcscd qdigidoc qdigidoc-tera qesteidutil

Kasulikud lisamaterjalid

* https://installer.id.ee/?lang=est
* https://installer.id.ee/media/install-scripts/install-open-eid.sh
* https://installer.id.ee/media/ubuntu/

===Eesti ID kaardi kasutamine - Ubuntu 18.04===

Alustada aadressilt https://installer.id.ee/, st sarnaselt eelmisele punktile, aga paistab, et 2019 aasta alguses paketihaldus lõpetab veaga (postinstall skripti sisu on natuke vastuoluline). Seejärel sobib kasutada skripti /var/lib/dpkg/info/awp.postinst alguses exit

# cat /var/lib/dpkg/info/awp.postinst
#!/bin/bash

exit;
...

ning loksutada paketihaldust 'apt-get install -f' vms käskudega. Seejjärel qdigidoc4 utiliit töötab.

Selleks, et EID tarkvara töötaks Chrome brauseriga sobib kasutajana logida sisse desktop keskkonda (nt XFCE4) ja öelda

$ modutil -dbdir sql:$HOME/.pki/nssdb -delete opensc-pkcs11
$ modutil -dbdir sql:$HOME/.pki/nssdb -add opensc-pkcs11 -libfile onepin-opensc-pkcs11.so -mechanisms FRIENDLY

Seejärel Chrome brauseris peaks saama kasutada id kaarti autentimiseks ja allkirjastamiseks. Need kaks käsku võiks idee poolest automaatselt öeldada skripti /usr/bin/esteid-update-nssdb poolt, aga paistab, et millegipärast minul see nii ei ole (äkki XFCE4 desktop tarkvara ei tee koostööd)

<pre>
$ cat /etc/xdg/autostart/chrome-pkcs11.desktop
[Desktop Entry]
Type=Application
Name=Configure Chrome PKCS11
Exec=/usr/bin/esteid-update-nssdb
NoDisplay=true
X-GNOME-AutoRestart=true
X-GNOME-Autostart-Phase=Initialization
</pre>

Kui kasutada on uus eid kaart (mitte uus ECC sertifikaat aga füüsiline uus kaart), siis tõenäoliselt on vajalik öelda awp.postinst skriptis sisalduvad sarnased käsud samuti.

Kasulikud lisamaterjalid

* https://github.com/open-eid/linux-installer/issues/36

===Test ID-kaart===

Lisaks nö päris ID-kaartidele väljastab Sertifitseerimiskeskus teatud juhtumiteks ka test ID-kaarte, nt on seal kasutatav sertifikaat selline

-----BEGIN CERTIFICATE-----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 2AjWXfHNDc0oWr7CBV9HRLmpidJQtQCwoUt6Y2NA==
-----END CERTIFICATE-----

Tekstikujul vaadatest on Issuer ja Subject väärtused

# openssl x509 -in /tmp/zaikovski.pem -noout -text
Certificate:
Data:
Version: 3 (0x2)
Serial Number: 1244104848 (0x4a278890)
Signature Algorithm: sha1WithRSAEncryption
Issuer: C=EE, O=AS Sertifitseerimiskeskus, OU=Testsertifikaadid, CN=TEST-SK
Validity
Not Before: Jun 4 08:40:48 2009 GMT
Not After : Apr 7 11:42:17 2012 GMT
Subject: C=EE, O=TEST-ESTEID, OU=authentication, \
CN=\x01}\x00A\x00I\x00K\x00O\x00V\x00S\x00K\x00I\x00,\x00I\x00G\x00O\x00R\x00,\x003\
\x007\x001\x000\x001\x000\x001\x000\x000\x002\x001, SN=\x01}\x00A\x00I\x00K\x00O\x00V\x00S\
\x00K\x00I, GN=IGOR/serialNumber=37101010021
...

Tundub, et kõigil test kaartidel on algselt samad pinid ja puk, mida saab muuta id kaardi utiliidiga, http://www.id.ee/index.php?id=30379

* PIN1 kood - 0090
* PIN2 kood - 01497
* PUK kood - 17258403

===Kaardilugeja firmware uuendamine===

Kui kaardilugeja nö peaks töötama, aga ei tööta, siis mõnel juhul on otstarbekas kaaluda kaardilugeja firmware uuendamist. Nt SCR311 kaardilugeja puhul sobib selleks kasutada Windows 7 keskkonda, et uuendada 4. -> 5. versoonide vahel.

Kasulikud lisamaterjalid

* http://www.jasemccarty.com/blog/?p=1134
* https://militarycac.com/cacdrivers.htm

===Märkused===

* Kui brauser või postiklient lakkavad töötamast ID-kaardiga, siis maksab need programmid sulgeda ja samuti peatada pcscd deemon ning seejärel esmalt deemon ning siis rakendusprogrammi uuesti käivitada.
* Kuivõrd ID-kaardi sertifikaadid kehtivad suhteliselt lühikest aega ning sertifikaatide uuendamisel praktiliselt kirjutatakse vanad sertifikaadid üle uutega, siis sobib ID-kaardi vahendeid andmete krüptimiseks kasutada nö turvalise transpordi sooritamiseks ja mitte andmete pikaajaliseks turvaliseks säilitamiseks. Lisaks on veel muid ohte, näiteks et ID-kaart rikneb füüsiliselt.

===Sertifikaatide uuendamine===

Sertifikaatide saab uuendada id kaarti utiliidiga, peale uuendamist näidatakse sellist pilti, tegevuse käigus küsitakse vana sertifikaadi PIN1

[[Pilt:Qesteidutil-2.gif]]

===TODO===

* ipsec lahenduse juures kasutamine

===Kasulikud lisamaterjalid===

* Eesti ID-kaardi tarkvara - http://ideelabor.ee/
* Sertifitseerimiskeskus - http://www.sk.ee/
* http://kuutorvaja.eenet.ee/wiki/Apache'i_veebiserver#ID_kaardiga_kasutaja_autentimine
* http://kuutorvaja.eenet.ee/wiki/OpenLDAP_kasutamine_Debianiga#Icedove.27i_aadressraamatu_pidamine
* https://digidoccheck.sk.ee/
* https://id.eesti.ee/trac/
* http://pcsclite.alioth.debian.org/supported.html
* http://code.google.com/p/esteid/

Eesti ID-kaardi kasutamine Debianiga

2019-03-01T07:38:32Z

Imre: /* Eesti ID kaardi kasutamine - Ubuntu 18.04 */

===Sissejuhatus===

Eesti ID-kaart on nn protsessorkaart, mis võimaldab autentimist ja allkirjastamist. ID-kaardi kasutamiseks on vajalikud

* kehtiv Eesti ID-kaart
* kasutada oleva arvuti ja operatsioonisüsteemiga sobiv kaardilugeja
* internetiühendus
* ID-kaardi võimaluste kasutamiseks sobiv kliendipoolne tarkvara
* ID-kaardi võimaluste kasutamiseks sobiv teenus internetis

Eesti ID-kaardi töö põhineb avaliku võtme (ingl. k. public key) krüptograafia kasutamisel. Avaliku võtme infrastruktuuris (ingl. k. PKI - public key infrastructure) esitatakse kasutaja avalik võti koos kasutaja kohta käivate muude andmetega, nt kasutaja nimi ja eposti aadress selle konkreetse infrastruktuuri mõne ülemise sajalase võtmega signeeritud kujul ja seda tulemust nimetatakse kasutaja sertifikaadiks. Lisaks on sertifikaadis kirjas andmed selle sertifikaadi väljastaja kohta ja sertifikaadi kehtivuse aeg.

Eesti ID-kaartidega seotud avaliku võtme infrastruktuuri haldab sh väljastab ID-kaarte Sertifitseerimiskeskus http://www.sk.ee/ kusjuures ID-kaardil on kaks paari võtmeid, öeldakse ka, et kaks sertifikaati

* isikutuvastuse ehk autentimise sertifikaat
* allkirjastamise sertifikaat

Kahe erineva sertifikaadi kasutuselevõtmise põhjuseks on asjaolu, et sertifikaatidel on nö oluliselt erinev kaal

* isikutuvastuse sertfikaadiga kasutaja autendib ennast teenusele (st praktiliselt logib ennast sisse portaali internetis, siseneb kooduksega kaitstud ruumi füüsilises maailmas)
* allkirjastamise sertifikaati kasutatakse reeglina ainult digitaalallkirja andmiseks ja Eesti Vabariigis on digitaalallkirjastatud dokument võrdsustatud omakäeliselt allkirjatatud dokumendiga; reeglina pangaülekannete sooritamisel toimub sisemiselt samuti digitaalallkirjastamise protseduur

Oletame, et kui oleks kasutuses ainult üks sertifikaat ja nt kasutaja siseneb koodukse kaudu ruumi, siis võiks konstrueerida skeemi, kus ta pahaaimamatult allkirjastab mõne dokumendi, mida ta muul juhul ei oleks nõus allkirjastama. Kahe sertifikaadi kasutamisel on võimalik erinevaid rolle lahus hoida.

Kuigi eelmises lõigus kasutati väljendeid 'isikutuvastuse sertifikaadiga kasutaja identifitseerib' ja 'allkirjastamise sertifikaati kasutatakse reeglina digitaalallkirja andmiseks' tuleb seda seda mõista nii, et sisuliselt neid protseduure sooritades kasutaja kasutab vastava sertifikaadi salajast võtit. ID-kaardil asuvate salajaste võtmete kasutamine on turvakaalutlustel piiratud täiendava parooliga, nn PIN koodiga, kummalgi salajasel võtmel on oma PIN kood ja võtme kasutamise eel küsib ID-kaardi tarkvara kasutajalt seda koodi.

ID-kaardiga autentimine on dual-factor ehk two-factor autentimine http://en.wikipedia.org/wiki/Two-factor_authentication kuna see sisaldab kahte kontrolli

* midagi mida saab omada - ID-kaardi kui füüsilise eseme olemasolu kontroll
* midagi mida saab teada - salajase võtme teadmise kontroll

Võrreldes parooliga on ID-kaardi kasutamise üheks erinevuseks, et seda saab kasutada korraga ainult üks kasutaja nö ühest kasutuspunktist.

===Eesti ID-kaardi sertifikaatide LDAP kataloogiteenus===

Kuna avaliku võtme infrastruktuuri üheks koostisosaks on, et kõigi kasutajate avalikud võtmed st sertifikaadid on kõigile avalikult kättesaadavad, siis SK on teinud kasutajate sertifikaadid internetis kättesaadavaks LDAP kataloogiteenuse abil aadressil ldap.sk.ee. Kasutaja sertifikaate (mis sisaldavad avalikke võtmeid) saab teades tema isikukoodi kopeerida öeldes nt

$ ldapsearch -LLL -H ldap://ldap.sk.ee -x -b "c=EE" "(serialNumber=37003212713)"
dn: cn=OOLBERG\2CIMRE\2C37003212713,ou=Authentication,o=ESTEID,c=EE
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
cn: OOLBERG,IMRE,37003212713
serialNumber: 37003212713
userCertificate;binary:: MIIEGjCCAwKgAwIBAgIESIQxaDANBgkqhkiG9w0BAQUFADBbMQswC
QYDVQQGEwJFRTEiMCAGA1UEChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMGRV
...
z5vZN4059dNaqZqVg5rlVrLS5/T+sK8PHxYcO+SKDZYobddJIv6i2XlpVAQLgkChEiXI2Bd3AMfpw
fVbAjDsHXasblBtut7k1MItT3YLaNZ/xq9BY/B7afXqg==

dn: cn=OOLBERG\2CIMRE\2C37003212713,ou=Digital Signature,o=ESTEID,c=EE
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
cn: OOLBERG,IMRE,37003212713
serialNumber: 37003212713
userCertificate;binary:: MIID2jCCAsKgAwIBAgIESIQxaTANBgkqhkiG9w0BAQUFADBbMQswC
QYDVQQGEwJFRTEiMCAGA1UEChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMGRV
..

Konkreetse sertifikaadi dn elemendi kopeerimiseks sobib öelda nt

$ ldapsearch -LLL -H ldap://ldap.sk.ee -x -b ou=authentication,o=ESTEID,c=EE "(serialNumber=37003212713)" dn
dn: cn=OOLBERG\2CIMRE\2C37003212713,ou=Authentication,o=ESTEID,c=EE

===Kaardilugeja ühendamine operatsioonisüsteemiga===

Märkus: 2010 kevade seisuga peaks töötama täitsa hästi Linuxi ja Windowsiga nt kaks sellist mudelit, mida on ka kauplustes suhteliselt hästi saada

* Omnikey Cardman 1021 - USB (lauaarvutile, sülearvutile)
* Omnikey Cardman 4321 - ExpressCard http://en.wikipedia.org/wiki/ExpressCard (sülearvutile)

Ehk kõige parem kui kaardilugeja ühendub arvutiga USB abil, nt sobib mudel SRC-331. Debian Etch ja Lenny sisaldavad paketihalduses ID-kaardi kasutamiseks sobivat tarkvara, mille koduleht asub aadressil http://ideelabor.ee/ ja mille kasutamist käesolev tekst kirjeldab.

USB kaudu ühendatud ID-kaardilugeja kasutamise eelduseks on, et operatsioonisüsteem toetab USB seadmete kasutamist, sellest annab tunnistust peale kaardilugeja ühendamist lsusb sarnane väljund, kus on muu seas näha SCR331 seadmele vastav rida

# lsusb
Bus 004 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub
Bus 003 Device 002: ID 0483:2016 SGS Thomson Microelectronics Fingerprint Reader
Bus 003 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub
Bus 002 Device 006: ID 04e6:e001 SCM Microsystems, Inc. SCR331 SmartCard Reader
Bus 002 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub
Bus 001 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub

ID-kaardiga suhtlemiseks vajaliku tarkvara paigaldamiseks tuleb öelda

# apt-get install opensc pcscd libccid

Seejärel tuleb redigeerida kahte faili

* Näitena jagatavas /etc/opensc/opensc.conf failis tuleb teha kolm muudatust

# zcat /usr/share/doc/libopensc2/examples/opensc.conf.gz > /etc/opensc/opensc.conf

Leidke failist üles need parameetrid ning muutke nende väärtused sellisteks

try_emulation_first = yes;
lock_login = false;
reader_drivers = pcsc, ctapi;

* Failis /usr/lib/pcsc/drivers/ifd-ccid.bundle/Contents/Info.plist peavad sisalduma sellised read (tundub, et see on teatud SRC331 mudelite või eksemplaride spetsiifiline asi), leidke ja muutke olemasolevaid

<key>ifdDriverOptions</key>
<string>0x0004</string>

Seejärel seisake ja käivitage pcscd deemon

# /etc/init.d/pcscd restart

Kontrollimaks, et tarkvara sai korrektselt paigaldatud küsime süsteemi ühendatud kaardilugejate nimekirja

# opensc-tool -l
Readers known about:
Nr. Driver Name
0 pcsc SCM SCR 331 00 00

Ning küsime ID-kaardile kantud sertifikaatide nimekirja

# pkcs15-tool -c
X.509 Certificate [Isikutuvastus]
Flags : 0
Authority: no
Path : 3f00eeeeaace
ID : 01

X.509 Certificate [Allkirjastamine]
Flags : 0
Authority: no
Path : 3f00eeeeddce
ID : 02

===pkcs11-tool utiliidi kasutamine===

PKCS#11 is a software API for accessing cryptographic hardware like smart cards or HSM. pkcs11-tool realiseerib PKCS11 (Public Key Cryptography Standards) standardit ja võimaldab suhelda krüptoseadmega üle Cryptoki (Cryptographic Token Interface) API. Slottide nimekirja esitamiseks sobib öelda

<pre>
# pkcs11-tool -L
Available slots:
Slot 0 (0x0): Alcor Micro AU9540 00 00
(empty)
Slot 1 (0x4): Gemalto PC Twin Reader (A76A2DE4) 01 00
token label : PIN1 (OOLBERG,IMRE,37003212713)
token manufacturer : AS Sertifitseerimiskeskus
token model : PKCS#15 emulated
token flags : login required, rng, token initialized, PIN initialized
hardware version : 0.0
firmware version : 0.0
serial num : AA9909781
pin min/max : 4/12
Slot 2 (0x5): Gemalto PC Twin Reader (A76A2DE4) 01 00
token label : PIN2 (OOLBERG,IMRE,37003212713)
token manufacturer : AS Sertifitseerimiskeskus
token model : PKCS#15 emulated
token flags : login required, rng, token initialized, PIN initialized
hardware version : 0.0
firmware version : 0.0
serial num : AA9909781
pin min/max : 5/12
</pre>

Slot sisu esitamiseks, nb! slot numbri väärtus tuleb võtta sulgudest, küsitakse pin1 väärtust

<pre>
# pkcs11-tool --slot 4 -O -l
Logging in to "PIN1 (OOLBERG,IMRE,37003212713)".
Please enter User PIN:

Private Key Object; EC
label: Isikutuvastus
ID: 01
Usage: sign, derive
Certificate Object; type = X.509 cert
label: Isikutuvastus
ID: 01
Public Key Object; EC EC_POINT 384 bits
EC_POINT: 0461046231c67...
EC_PARAMS: 06052b81040023
label: Isikutuvastus
ID: 01
Usage: encrypt, verify
</pre>

kus

* ühes slotis on paistab olevat kolm objekti, private key, sertifikaat ja public key

Kasulikud lisamaterjalid

* https://en.wikipedia.org/wiki/PKCS
* https://github.com/OpenSC/OpenSC/wiki/Frequently-Asked-Questions

===pkcs15-tool utiliidi kasutamine===

PKCS#15 is a format of on-card structures that defines a “filesystem layout” for smart cards. pkcs15-tool abil saab kopeerida ID-kaardilt sertifikaate, sedasi

# pkcs15-tool -r 01
-----BEGIN CERTIFICATE-----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==
-----END CERTIFICATE-----

Selle sertifikaadi sisu arusaadavamale kujule viimiseks tuleb öelda

# pkcs15-tool -r 01 > imreoolberg-autentimise-sertifikaat.pub
# openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -text
Certificate:
Data:
Version: 3 (0x2)
Serial Number: 1216622952 (0x48843168)
Signature Algorithm: sha1WithRSAEncryption
Issuer: C=EE, O=AS Sertifitseerimiskeskus, OU=ESTEID, CN=ESTEID-SK 2007
Validity
Not Before: Jul 21 06:49:12 2008 GMT
Not After : Sep 11 21:00:00 2012 GMT
Subject: C=EE, O=ESTEID, OU=authentication, CN=OOLBERG,IMRE,37003212713, SN=OOLBERG, GN=IMRE/serialNumber=37003212713
Subject Public Key Info:
Public Key Algorithm: rsaEncryption
RSA Public Key: (1024 bit)
Modulus (1024 bit):
..

Sertifikaadist saab küsida ka üksikuid elemente, nt Subject'i, mis näitab kellele on sertifikaat väljastatud

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -subject
subject= /C=EE/O=ESTEID/OU=authentication/CN=OOLBERG,IMRE,37003212713/SN=OOLBERG/GN=IMRE/serialNumber=37003212713

või Issuer'i, mis näitab, kes sertifikaadi väljastas

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -issuer
issuer= /C=EE/O=AS Sertifitseerimiskeskus/OU=ESTEID/CN=ESTEID-SK 2007

või ajavahemiku, mil sertifikaat kehtib

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -dates
notBefore=Jul 21 06:49:12 2008 GMT
notAfter=Sep 11 21:00:00 2012 GMT

Lisaks sertifikaatidele ja võtmetele sisaldab veel andmeid id kaardi nö elektroolilises osas, nt dokumendi number. Seda ja muid andmeid saab küsides nn dump'i

# pkcs15-tool -D -r 01
Using reader with a card: SCM SCR 331 [CCID Interface] (504005BE) 00 00
..
PKCS#15 Card [IMRE OOLBERG]:
Version : 2
Serial number : A0055799
Manufacturer ID: AS Sertifitseerimiskeskus
Flags : Read-only, PRN generation, EID compliant
...

Kui arvutis on kasutusel mitu ID kaarti, siis saab kontrollida millisega tegeledakse parameetri abil

--reader N

===Iceweasel brauseri kasutamine===

Iceweasel brauseri abil on iseenesest võimalik kahe tegevuse sooritamine

* autentimine - kasutaja kinnitab teenusele, nt veebiportaalile, et tema kasutuses on tema autentimise sertifikaadis sisalduvale avalikule võtmele vastav salajane võti
* digitaalne allkirjastamine - kastutaja kinnitab teenusele, nt pangaülekande sooritamisel, et tema kasutuses on tema allkirjastamise sertifikaadis sisalduvale avalikule võtmele vastav salajane võti

Kuivõrd teenuse jaoks on praktiliselt oluline, et kasutaja kinnitaks sertifikaadile vastava salajase võtme olemasolu PIN koodi sisestamise teel, siis siit järeldub, et tuleb hoolega hoida ID-kaarti ning ID-kaardi PIN koode enda teada.

Brauseri tööleseadmine autentimiseks on lihtsam ning allkirjastamiseks keerulisem. Tundub, et praktiliselt on 2009 klienditarkvara ja nende teenuste tarkvara, mida saab Iceweaseliga kasutada seis selline, et Iceweasel brauser iseseisvalt ei tegele andmete allkirjastamisega; allkirjastamine toimub nt Java appleti abil, kusjuures applet küsib kasutajalt allkirjastamiseks vajalikku PIN2 koodi. Seda arvestades on soovitav kasutada turvaseadme kirjeldamisel spetsiaalselt ettevalmistatud teeki onepin-opensc-pkcs11.so, mis efektiivselt varjab brauseri eest ära teise sertifikaadi, kui seda mitte teha, siis praktililiselt hakkab brauser kasutajalt küsima ise vaheldumisi mõlema sertifikaadi PIN koodi ja see oleks üsna eksitav.

Brauseri ID-kaardiga kasutamise ettevalmistamiseks tuleb avada

Edit -> Preferences -> Advanced -> Encryption -> Security Devices -> Load

ning kirjeldada Eesti ID-kaardile vastav turvaseade (ingl. k. security device)

Module Name: esteid
Module filename: /usr/lib/onepin-opensc-pkcs11.so

Sõltuvalt sellest, kas soovitakse, et peale PIN1 sisestamist küsiks brauser kasutajalt igal ID-kaardiga autentimise korral kinnitust või mitte tuleb valida

* Select one automatically
* Ask me every time

[[Pilt:Id-auth-cc.gif]]

====Iceweasel brauseri kasutamine autentimiseks====

Auntentimiseks piisab turvaseadme ettevalmistamisest ning seejärel saab näiteks logida sisse riigiportaali, küsitakse PIN1 koodi

[[Pilt:Id-auth-java-pin1.gif]]

====Iceweasel brauseri kasutamine allkirjastamiseks====

Nt SEB pangas makset sooritades toimub digitaal-allkirjastamise protseduur; ja https://digidoc.sk.ee/ või riigiportaali eesti.ee kasutamisel saab moodustada uut digitaalselt allkirjastatud dokumenti või kontrollida olemasoleval digitaalselt allkirjastatud dokumendil allkirja kehtivust. Osa kasutajaid suhtub veebiliidese kaudu dokumentide allkirjastamisse äärmiselt kahtlustavalt, kuna kui juba lokaalse rakendusega digitaalallkirja andmisel ei saa olla täiesti kindel, millele ikkagi allkiri antakse, siis veebirakenduse puhul on see veel eriti nii.

Iceweasel brauseriga allkirjastamiseks peab olema paigaldatud Mozilla Sun Java plugini tarkvara pakett (millega koos paigaldatakse vajadusel ka JVM, kusjuures on oluline kasutada justnimelt Sun Java mitte IBM või GCJ implementatsioone)

# apt-get install sun-java5-plugin

Ning lisaks kopeerida teek

# mkdir /tmp/teek && cd /tmp/teek
# wget http://ideelabor.ee/downloads/pkcs11wrapper-linux.tar.gz
# tar zxf pkcs11wrapper-linux.tar.gz
# find . -type f -ls
442489 104 -rwxr-xr-x 1 501 501 99004 Apr 23 2004 ./libpkcs11wrapper.so

Seejärel tuleb otsida üles arvutist JVM kataloog

# find /usr -type f -name java -ls
173534 68 -rwxr-xr-x 1 root root 65116 May 28 2008 /usr/lib/jvm/java-1.5.0-sun-1.5.0.16/jre/bin/java

mis tähendab, et

JAVA_HOME=/usr/lib/jvm/java-1.5.0-sun-1.5.0.16

Lõpuks tuleb kopeerida lahtipakitud teek kataloogi ${JAVA_HOME}/jre/lib/i386

# cp libpkcs11wrapper.so /usr/lib/jvm/java-1.5.0-sun-1.5.0.16/jre/lib/i386

Lisaks peavad olema lingid, esimene on vajalik digidoc portaali kasutamiseks ja teine SEB pangas

# ln -s /usr/lib/opensc-pkcs11.so /usr/lib/libopensc-pkcs11.so
# ln -s /usr/lib/opensc-pkcs11.so /usr/lib/libesteid-pkcs11.so

NB! Java tarkvara uuendamisel mõnel juhul muutub ka versiooni number nii, et muutub java asukoht failisüsteemis, nt

/usr/lib/jvm/java-1.5.0-sun-1.5.0.16 -> /usr/lib/jvm/java-1.5.0-sun-1.5.0.17

Sel juhul tuleb libpkcs11wrapper.so kopeerida samasse alamkataloogi kuhu ennegi uue java kataloogi sisse.

Kui süsteemi on paigaldatud lisaks mõni uuem java versioon, nt paketist sun-java6-*, siis tuleb kõnealune wrapper kopeerida kõige uuema Java vastavasse kataloogi, nt

# cp libpkcs11wrapper.so /usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/i386/

=====Allkirjastamine SEB pangas=====

Peale panga keskkonda sisselogimist (kas otseselt või läbi mõne muu teenusepakkuja, nt www.if.ee, www.energia.ee jt) ning maksekorralduse ettevalmistamist esitatakse allkirja andmise juurde esmakordsel minemisel küsimus rakenduse usaldusväärsuse kohta

[[Pilt:Id-allkiri-java-pin4.gif]]

ja seejärel tuleb ära oodata pisut eksitav tühi aken, kus tuleb valida Cancel

[[Pilt:Id-allkiri-java-pin3.gif]]

ning seejärel valides Allkirjasta öeldakse, et loetakse andmeid kiipkaardilt ning küsitakse PIN2 koodi

[[Pilt:Id-allkiri-java-pin2.gif]]

Allkirjastamise ajal töötab java rakendus sun.plugin2.main.client.PluginMain

$ ps aux | grep java
mart 6859 10.1 4.7 242668 48832 ? Sl 10:55 0:04 /usr/lib/jvm/java-6-sun-1.6.0.12/jre/bin/java -D__jvm_launched=5951554477 \
-Xbootclasspath/a:/usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/deploy.jar:/usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/javaws.jar:\
/usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/plugin.jar -Djava.class.path=/usr/lib/jvm/java-6-sun-1.6.0.12/jre/classes \
sun.plugin2.main.client.PluginMain write_pipe_name=/tmp/.com.sun.deploy.net.socket.5659.2862701817965363267.AF_UNIX

=====Allkirjastamine Sertifitseerimiskeskuse digidoc.sk.ee portaalis=====

https://digidoc.sk.ee/ portaal võimaldab veebipõhises keskkonnas sooritada digitaalallkirjastamisega seotud protseduure, nt anda allkirja, kontrollida allkirja ja jagada sama dokumenti teiste portaali kasutajatega selleks, et ühte dokumenti saaks allkirjastada mitu osapoolt. Portaali sisenemisel avaneb kasutuskeskkonnale sarnane vaade, süsteemi on laaditud kaks dokumenti, ühel on üks allkiri ja teisel ei ole ühtegi allkirja

[[Pilt:Digidoc-1.gif]]

Keskkonna kasutamine võiks toimuda suhteliselt intuatiivselt, dokumenti allkirjastamisel tuleb täita sarnased lahtrid nagu nn lokaalset digidoc klienti kasutades

[[Pilt:Digidoc-2.gif]]

Allkirjastamisel küsitakse kasutajalt PIN2 koodi

[[Pilt:Digidoc-3.gif]]

https://digidoc.sk.ee/ keskkonnas ei saa tegeleda krüptitud dokumentidega ehk nn .cdoc failidega.

=====Allkirjastamine riigiportaalis www.eesti.ee=====

Aadressil https://www.eesti.ee/ asuvas riigiportaalis sektsioonis

Kodanikule -> Digitaalallkiri

saab veebipõhises keskkonnas sooritada digitaalallkirjastamisega seotud protseduure, nt anda allkirja, kontrollida allkirja ja jagada sama dokumenti teiste portaali kasutajatega selleks, et ühte dokumenti saaks allkirjastada mitu osapoolt.

Portaali Digiallkirja sektsiooni sisenemisel avaneb kasutuskeskkonnale sarnane vaade, süsteemi on laaditud kaks dokumenti, ühel on üks allkiri ja teisel ei ole ühtegi allkirja

[[Pilt:Riigiportaal-digiallkiri-1.gif]]

Keskkonna kasutamine võiks toimuda suhteliselt intuatiivselt, dokumendi allkirjastamisel tuleb täita sarnased lahtrid nagu nn lokaalset digidoc klienti kasutades, PIN2 sisestamine toimub Java appleti abil, sarnaselt

[[Pilt:Riigiportaal-digiallkiri-2.gif]]

Riigiportaalis ei saa tegeleda krüptitud dokumentidega ehk nn .cdoc failidega.

===Icedove postikliendi kasutamine===

Lisaks nö tavalistele e-kirjadele on võimalik moodustada spetsiaalsete lisaomadustega kirju

* allkirjastatud kiri - kirja saatja moodustab allkirja oma salajase võtmega; kirja saaja saab olla kindel, et kiri on saadetud just selle kasutaja poolt kelle sertifikaadi (avaliku võtme) abil õnnestub kirja autentsust kontrollida; kirja sisu on kõigile avalik, kuid kirjale on nö attachmentiga sarnaselt juurde digitaalse allkirja osa; oluline erinevus nö .ddoc allkirjastamisest on, et reeglina ei kasutata seejuures Sertifitseerimiskeskusest saadud kehtivuskinnitust
* krüptitud kiri - kirja saatja krüptib kirja adressaadi avaliku võtmega (sertifikaadiga); kirja saatja saab olla kindel, et mitte keegi peale selle kasutaja, kelle kasutuses on vastav salajane võti saab kirja sisuga tutvuda

Tuleb arvestada, et eposti allkirjastamine ja krüptimine omab tähendust ainult epostiga tegelemisel ning kuigi see tehnika pakub võimaluse täiendava turvalisuse saavutamiseks ei ole tegu Eesti Vabariigi seaduse mõttes kehtiva digitaalselt allkirjastatud dokumendiga juba seetõttu, et mõlemal juhul kasutatakse autentimise sertifikaati.

Kirja krüptimisel ei ole see tingimata oluline, aga allkirjastamiseks Eesti ID-kaardil asuva autentimise sertifikaadile vastava salajase võtmega eeltingimuseks on, et kasutaja on oma postiprogrammis kirjeldanud tema sertifikaadil leiduva postiaadressiga seotud konto. Sertifikaadile märgitud postiaadressi saab küsida sertifikaadilt öeldes

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -email
imre.oolberg@eesti.ee

Iceweasel programmi ID-kaardiga kasutamise ettevalmistamiseks tuleb avada

Edit -> Preferences -> Advanced -> Certificates -> Security devices -> Load

ning kirjeldada Eesti ID-kaardile vastava turvaseade (ingl. k. security device)

Module Name: esteid
Module filename: /usr/lib/onepin-opensc-pkcs11.so

Lisaks tuleb laadida Icedove'i SK juursertifikaat, ESTEID-SK ja ESTEID-SK 2007 sertifikaadid, mis saab kopeerida http://www.sk.ee/ (Avaleht -> Sertifitseerimine -> Baasinfo -> Juursertifikaadid) veebikohast

Edit -> Preferences -> Advanced -> Certificates -> View Certificates -> Authorities -> Import

Kusjuures tuleb kindlasti vastata jaatavalt küsimusele, et neid usaldatakse eposti jaoks kasutamiseks

[[Pilt:Id-sign-0.gif]]

Seejärel tuleb Icedove'is seoses nn @eesti.ee aadressiga, nt imre.oolberg@eesti.ee, kirjeldatud konto juures näidata, milliseid sertifikaate kasutatakse eposti allkirjastamise ning krüptimise juures, valida ülemine Select (Digital Signing)

[[Pilt:Id-sign-1.gif]]

Peale PIN1 koodi sisestamist esitab arvuti valitud sertifikaadi andmed

[[Pilt:Id-sign-2.gif]]

Valides järgmisena Encryption juures Select küsib arvuti, kas ma soovin kasutada sama sertifikaati (õigemini sama sertifikaadiga seotud salajast võtit) teiste kasutajate poolt mulle saadetud krüptitud kirjade (mis on krüptitud minu avaliku võtmega) lahtikürptimiseks, sobib vastata jaatavalt.

====Icedove postikliendi kasutamine eposti allkirjastamiseks====

Kirja saatmine toimub tavapäraselt ainukese erinevusega, et enne kirja saatmist tuleb valida Security alt

Digitally Sign This Message

[[Pilt:Id-sign-3-1.gif]]

Kirja saajal peab olema postiprogrammi laaditud vähemalt SK juursertifikaat (sellest piisab allkirja kontrollimiseks, sest signatuur sisaldab ka allkirjastaja sertifikaati ning ahelat SK juursertifikaadini ja brauseris oleva SK juursertifikaadiga saab seega tuvastada kasutaja allkirja kehtivust) abil ning kiri pasitab sellisena

[[Pilt:Id-sign-3-2.gif]]

Messsage Security aken avaneb vajutades programmiakna paremas servas asuvale kollane-punane värvi ümbriku kujutisele ja ütleb, et vaatlusalune kiri on allkirjastatud (ingl. k. signed) ning allkiri (ingl. k. signature) on kehtiv. St kirja saaja saab olla kindel, et kiri on saadetud selle poolt, kelle kasutada on allkirja kontrollimisel kasutatud sertifikaadile vastav salajane võti.

====Icedove postikliendi kasutamine eposti krüptimiseks====

Eposti krüptimine toimub adressaadi Eesti ID-kaardi autentimise avaliku võtmega, mis tähendab, et keegi teine peale vastava salajase võtme valdaja ei saa sõnumi teksti sisuga tutvuda. Kirja saatmisel tuleb valida

Security -> Encrypt This Message

[[Pilt:Id-sign-3-3.gif]]

Kirja lugemisel peab olema võimalik kasutada ID-kaarti ning tulemus võiks paista sarnane

[[Pilt:Id-sign-3-4.gif]]

Security Message aken avaneb vajutades programmiakna paremas servas asuvale tabaluku kujutisele ja ütleb, et kiri on krüptitud ning selle sisuga on peale adressaadi teistel kasutajatel ülimalt raske tutvuda.

Kui krüptitud kirja adressaadil on ID-kaardi kasutamine seadistamata, siis esitab programm kasutajale veateadet

Icedove cannot decrypt this message

The sender encrypted this message to you using one of your digital certificates, however Icedove was not able to find
this certificate and corresponding private key.

Possible solutions:

* If you have a smartcard, please insert it now.
* If you are using a new machine, or if you are using a new Icedove profile, you will need to restore your certificate
and private key from a backup. Certificate backups usually end in ".p12".

Krüptimisel tuleb arvestada, et kirja päised sh Message-ID, Date, From, To, Subject jt ei ole krüptitud

..
Message-ID: <49B277C9.8010303@eesti.ee>
Date: Sat, 07 Mar 2009 15:34:01 +0200
From: Imre Oolberg <imre.oolberg@eesti.ee>
User-Agent: Mozilla-Thunderbird 2.0.0.19 (X11/20090103)
MIME-Version: 1.0
To: imre.oolberg@eesti.ee
Subject: eesti muld ja eesti =?ISO-8859-1?Q?s=FCda?=
Content-Type: application/x-pkcs7-mime; name="smime.p7m"
Content-Transfer-Encoding: base64
Content-Disposition: attachment; filename="smime.p7m"
Content-Description: S/MIME Encrypted Message

MIAGCSqGSIb3DQEHA6CAMIACAQAxgf0wgfoCAQAwYzBbMQswCQYDVQQGEwJFRTEiMCAGA1UE
ChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMGRVNURUlEMRcwFQYDVQQD
Ew5FU1RFSUQtU0sgMjAwNwIESIQxaDANBgkqhkiG9w0BAQEFAASBgB4isztO9MjE1ZQUzA7e
U1E0YTQZF0nIW4b46Nn/Be+DtUgzZWyZjgln4YxqQ7vDWPJiFNJTqdLjNCPGb6WEJ7ddZJGp
hM/z+tyCNHrXP6DbvjtmF9qJ9WgvyiqHyQMr8FKRCnLdcj70G+N0EzFnsMq4QsvLi6PHaE7v
rWGWq1ynMIAGCSqGSIb3DQEHATAUBggqhkiG9w0DBwQInoBpNLI3/IOggASCAijikH35Tqn9
..

====Teiste kasutajate sertifikaatide kasutamine====

Selleks, et

* saata teisele @eesti.ee postisüsteemi kasutajale krüptitud kirja
* kontrollida teise @eesti.ee postisüsteemi kasutaja poolt saadetud allkirjastatud kirja allkirja

peab olema Icedove'i laaditud teise kasutaja avalik võti, mis esineb nn autentimise sertifikaadi kujul. Selleks tuleb teades kasutaja isikukoodi kopeerida sertifikaadid ldap.sk.ee serverist, nt

$ ldapsearch -LLL -H ldap://ldap.sk.ee -x -b "c=EE" "(serialNumber=37003212713)"

Salvestada esimesele sertifikaadile vastav tekstiosa st

...
userCertificate;binary:: MIID2jCCAsKgAwIBAgIESIQxaTANBgkqhkiG9w0BAQUFADBbMQswC
..
cOXVX08WgFeVtlH1S6AeDIuY1i/EIngiAUV
....

tekstifaili, alates MIID2.. osast, tekstifail peab algama ja lõppema spetsiaalse tunnusega, kokku peab saama sarnane fail

-----BEGIN CERTIFICATE-----
MIID2jCCAsKgAwIBAgIESIQxaTANBgkqhkiG9w0BAQUFADBbMQswC
..
cOXVX08WgFeVtlH1S6AeDIuY1i/EIngiAUV
-----END CERTIFICATE-----

Ning see fail tuleb laadida Icedove'i valides

Edit -> Preferences -> Advanced -> Certificates -> View Certificates -> Other People's -> Import

Seejärel saab saada sertifikaadis näidatud eposti aadressile krüptitud posti ning samuti kontrollida selle kasutaja poolt allkirjastatud eposti signatuuri.

Kui on võimalik, siis saab teise kasutaja isikutuvastuse sertifikaadi postiklienti laadimiseks kasutada ka lihtsamat protseduuri. Nimelt, piisab kui teine kasutaja saadab esmalt signeeritud kirja ning see kiri postikliendiga avada. Sel juhul salvestatakse sertifikaat automaaselt postikliendi Other people's sertifikaatide hoidlasse.

Üldiselt võib üks ja sama kiri olla samaaegselt nii signeeritud kui ka krüptitud.

===@eesti.ee aadresside kasutamine===

Kuna Eesti ID-kaardi autentimise sertifikaadile vastava avaliku võtmega kürptitud kirju saab saata tingimusel, et adressaadiks on sertifikaadis esitatud aadress, mis on kujul

eesnimi.perekonnanimi@eesti.ee

või kui sama ees-ja perekonnanimega kasutajaid oma rohkem kui üks, siis järgmistele aadressidele on perekonnanime järele lisatud arv

eesnimi.perekonnanimi.1@eesti.ee

siis oleks hea kui sellistele aadressidele saadetud kirjad mugavasti adressaadi postkasti jõuaksid.

Käesolev asjakorraldus võimaldab Eesti ID-kaardi omanikel aadressil http://www.eesti.ee/ asuvas riigiportaalis seadistada, kuhu tema @eesti.ee aadressile saadetud kirjad edasi saadetakse. Tavaliselt on selleks nt mail.ee, gmail.com vms teenusepakkuja postkastiga seotud eposti aadress.

Kuigi tehniliselt teeb @eesti.ee aadressi kasutamine mugavaks signeeritud ja krüptitud kirjade vahetamise, töötab see ka nö tavaliste kirjade puhul.

Kusjuures varasemal ajal on kasutatud ID-kaardi autentimise sertifikaadis ka aadressi kujul, kus nnnn on neljakohaline arv

eesnimi.perekonnanimi_nnnn@eesti.ee

Lisaks, @eesti.ee postisüsteem võimaldab seadistada kasutajal omale edasisuunamise aadressi aadressile

isikukood@eesti.ee

kuid kuna see aadress ei esine sertifikaadis, siis ei ole võimalik seda kasutada eposti allkirjastamisel ega krüptimisel.

===Sertifikaadi kehtivuse kontrollimine===

Avaliku võtme infrastruktuuri üheks ülesandeks on hallata kasutajate sertifikaate sh mitmetel põhjusel sertifikaat kehtetuks kuulutada. Seega, sertifikaadi kasutamisel on oluline kontrollida, kas sertifikaat kasutamise ajal kehtib, seda saab teha SK OCSP (Online Certificate Status Protocol) abil öeldes

$ openssl ocsp -issuer esteid.pem -cert idkaardiltsert.pem -url http://ocsp.sk.ee -noverify -text
OCSP Request Data:
Version: 1 (0x0)
Requestor List:
Certificate ID:
Hash Algorithm: sha1
Issuer Name Hash: 4508A41C355C0A72485FE2DF7B6A6788C6A55022
Issuer Key Hash: 4806DEBE8C875795807863FA9C232B2BA03A1875
Serial Number: 48843168
Request Extensions:
OCSP Nonce:
0410090A1FA4F0555E82C1DFB4722FC61696
OCSP Response Data:
OCSP Response Status: successful (0x0)
Response Type: Basic OCSP Response
Version: 1 (0x0)
Responder Id: C = EE, O = ESTEID, OU = OCSP, CN = ESTEID-SK 2007 OCSP RESPONDER, emailAddress = pki@sk.ee
Produced At: Oct 7 22:15:36 2008 GMT
Responses:
Certificate ID:
Hash Algorithm: sha1
Issuer Name Hash: 4508A41C355C0A72485FE2DF7B6A6788C6A55022
Issuer Key Hash: 4806DEBE8C875795807863FA9C232B2BA03A1875
Serial Number: 48843168
Cert Status: good
This Update: Oct 7 22:15:36 2008 GMT

Response Extensions:
OCSP Nonce:
0410090A1FA4F0555E82C1DFB4722FC61696
cert.pem: good
This Update: Oct 7 22:15:36 2008 GMT

Kus esteid.pem sertifikaadi saab kopeerida SK veebikohast.

===ID-kaardi kasutamine chroot keskkonnast===

Märkus: 20090314 stabiilne Debian Lenny sisaldab sun-java6-plugin paketti.

Üks praktiline vajadus kasutada ID-kaarti chroot programmiga moodustatud chroot keskkonnast oleks 64 bit Debiani operatsioonisüsteemis kasutada 32 bit Iceweaselit'i. Põhjusel, et 32 bit arhitektuurile on olemas Iceweaseli java plugin (pakett sun-java6-plugin), aga 64 bitile seda 2008 aastal pole. Omakorda on java vajalik, et saaks nt SEB pangas allkirjastada st sooritada ülekannet.

Tundub, et kui arvutile külge ühendatud ID-kaarti on tarvis kasutada chroot käsu abil moodustatud chroot keskkonnast, siis tuleb öelda (pcscd deemon töötab nn absoluutses arvutis)

# mount --bind /var/run/pcscd /srv/arvuti-32/var/run/pcscd

ning seejärel tuleb käivitada iceweasel nt selliselt läbi sudo

$ sudo /usr/sbin/chroot /srv/arvuti-32 iceweasel

Selleks, et chroot keskkonnas käivitatud iceweasel saaks näidata oma pilti X serverile tuleb xhost käsuga kaasa aidata, nt öelda

$ xhost +iceweaseliarvutinimi

kusjuures ilma argumentideta xhost näitab, millistest arvutitest on võimalik X serveri poole pöörduda.

Kirjeldatud asjakorralduse puhul ei ole tarvis chroot keskkonda ühendada külge mingeid muid failisüsteeme (nt /proc, /sys) ega käivitada seal deemoneid pcscd vms.

Sudo töötamiseks on vajalik omakorda sellist sisu /etc/sudoers faili

User_Alias CHROOT_USERS = mart
Cmnd_Alias CHROOT_CMD = /usr/sbin/chroot
Host_Alias MORAAL = arvuti
CHROOT_USERS MORAAL = (root) NOPASSWD: CHROOT_CMD

Milliseid turvariske selline asjakorraldus tema jaoks toob peab iga kasutaja ise hindama, eriti seoses X serverile ligipääsemisega kus on avatud ID-kaarti kasutav rakendus.

===ID-kaardi kasutamine konsoolilt arvutisse sisselogimiseks===

Arvutisse sisselogimise kontrollimist on võimalik korraldada ID-kaardi isikutuvastuse sertifikaadiga. Ehk täpsemini, sisselogimisel peab kasutaja tõendama, et ta saab kasutada isikutuvastuse sertifikaadile vastavat salajast võtit ja seda ta teeb PIN1 koodi sisestamise teel.

Tööleseadistatud süsteemi kasutamine näeb välja mitte-graafilise konsooli (tõenäoliselt mingi getty) kasutamisel selliselt, tulemusena on kasutaja süsteemi sisse loginud, nt juurkasutaja

Debian GNU/Linux 5.0 arvutinimi tty4

arvutinimi login: root
Please insert your smart card or enter your username.
Smart card inserted.
Welcome to ID-kaart (PIN1, Isikutuvastus)!
Smart card password:
...

bash#

Sellise asjakorralduse tööleseadmiseks tuleb üldiselt ID-kaart arvutiga ära ühendada nii nagu on ülal punktis 'Kaardilugeja ühendamine operatsioonisüsteemiga' kirjeldatud ning seejärel

* seadistada sisselogimise kontrolli süsteemne osa
* seadistada sisselogimise kontrolli kasutajaspetsiifiline osa

====Süsteemi ettevalmistamine====

Süsteemi ettevalmistamiseks tuleb lisaks paigaldada pakett libpam-pkcs11

# apt-get install libpam-pkcs11

Seejärel moodustada kataloog /etc/pam_pkcs11, sinna näidise eeskujul seadistusfail

# mkdir /etc/pam_pkcs11
# zcat /usr/share/doc/libpam-pkcs11/examples/pam_pkcs11.conf.gz > /etc/pam_pkcs11/pam_pkcs11.conf
# zcat /usr/share/doc/libpam-pkcs11/examples/pam_pkcs11.conf.gz > /etc/pam_pkcs11/pam_pkcs11.conf-orig

ja teha seadistusfailis sellised muudatused

# diff pam_pkcs11.conf pam_pkcs11.conf-orig
85,86c85
< # module = /usr/lib/pam_pkcs11/pkcs11_module.so;
< module = /usr/lib/opensc-pkcs11.so;
---
> module = /usr/lib/pam_pkcs11/pkcs11_module.so;
116c115
< use_mappers = opensc, digest, cn, pwent, uid, mail, subject, null;
---
> use_mappers = digest, cn, pwent, uid, mail, subject, null;
122,123c121
< # mapper_search_path = /usr/lib/pam_pkcs11;
< mapper_search_path = /lib/pam_pkcs11;
---
> mapper_search_path = /usr/lib/pam_pkcs11;
160,161c158
< # module = /usr/lib/pam_pkcs11/opensc_mapper.so;
< module = /lib/pam_pkcs11/opensc_mapper.so
---
> module = /usr/lib/pam_pkcs11/opensc_mapper.so;

SK sertifikaatide kopeerimine ja nn hash linkide moodustmine toimub selliselt (eeldusel, et kasutaja isikutuvastuse sertifikaat on antud välja ESTEID-SK 2007 sertifikaadi suhtes)

# mkdir /etc/pam_pkcs11/cacerts
# cd /etc/pam_pkcs11/cacerts
# wget http://www.sk.ee/files/JUUR-SK.PEM.cer -O JUUR-SK.PEM.pem
# wget http://www.sk.ee/files/ESTEID-SK%202007.PEM.cer -O ESTEID-SK%202007.PEM.pem
# c_rehash .

Tulemus

# find . -ls
183909 4 drwxr-xr-x 2 root root 4096 Mar 15 12:28 .
183911 4 -rw-r--r-- 1 root root 1404 Jan 3 2007 ./ESTEID-SK\ 2007.PEM.pem
183910 4 -rw-r--r-- 1 root root 1790 Feb 6 2006 ./JUUR-SK.PEM.pem
183913 0 lrwxrwxrwx 1 root root 15 Mar 15 12:28 ./119afc2e.0 -> JUUR-SK.PEM.pem
183912 0 lrwxrwxrwx 1 root root 22 Mar 15 12:28 ./590f5e9e.0 -> ESTEID-SK\ 2007.PEM.pem

Lõpuks tuleb kirjeldada PAM mooduli seadistusfailis uus autentimisviis lisades faili /etc/pam.d/common-auth juurde esimeseks reaks

auth sufficient pam_pkcs11.so nullok

====Kasutajakeskkonna ettevalmistamine====

Selleks, et konktreene kasutaja, nt juurkasutaja saaks süsteemi siseneda tuleb moodustada kataloog

# mkdir /root/.eid

ning kopeerida ID-kaardilt isikutuvastuse sertifikaat faili /root/.eid/authorized_certificates

# pkcs15-tool -r 01 > /root/.eid/authorized_certificates

===Eesti ID-kaardi kasutamine OpenVPN lahendusega===

OpenVPN pala tekstis http://kuutorvaja.eenet.ee/wiki/OpenVPN_ja_Eesti_ID-kaardi_kasutamine on kirjeldatud, kuidas kasutada Eesti ID-kaarti VPN kasutajate autentimiseks.

===Eesti ID-kaardi kasutamine GnuPG-2 tarkvaraga===

Märkmed Eesti ID-kaardi võimalikust kasutamisest GnuPG-2 tarkvaraga, mis kahjuks ei vii tulemuseni, aga võimalik, et ühel päeval viivad, http://kuutorvaja.eenet.ee/wiki/GnuPG_kasutamine_Debianiga#Eesti_ID-kaardi_kasutamine_GnuPG-2_tarkvaraga

===ID-kaardi koodide muutmine===

ID-kaardi isikutuvastuse ja allkirjastamise võtmete kasutamist kaitstakse koodidega, vastavalt PIN1 ja PIN2 koodid. Lisaks on kasutusel PUK kood, mille abil saab PIN1 ja PIN2 koodi vajadusel muuta, näiteks kui mõni PIN kood on saanud teatavaks kellelegi teisele või mõni PIN kood on ära ununenud. Kui sooritada kolm järjestikulist ebaõnnestunud koodi sisestamist, siis ligipääs kõnelusele salajasele võtmele lukustatakse, st et enne kui seda saab uuesti kasutada, tuleb ligipääs võtmele PUK koodi abil lahti lukustada.

ID-kaardi PIN koodide lahtilukustamiseks sobib kasutada pkcs15-tool utiliiti, nt öelda PIN 1 koodi lahtilukustamiseks

# pkcs15-tool --unblock-pin -a 1
Enter PUK [PIN1, Isikutuvastus]:
Enter new PIN [PIN1, Isikutuvastus]:
Enter new PIN again [PIN1, Isikutuvastus]:

Muud käsud:

PIN1 koodi muutmiseks

# pkcs15-tool --change-pin -a 1

PIN2 koodi muutmiseks

# pkcs15-tool --change-pin -a 2

PIN2 koodi lahtilukustamiseks

# pkcs15-tool --unblock-pin -a 2

PUK koodi muutmiseks

# pkcs15-tool --change-pin -a 3

Kui aga PUK kood on kadunud, siis saab ID-kaarti kasutada seni kuni pole tarvis PIN koode muuta, vastasel korral tuleb teeninduspunktist, nt pangas paluda paigaldada ID-kaardile uus nn ümbrik.

===e-valimistel osalemine===

e-valimistel osalemiseks tuleb valimiste veebikohta sisse logida ning kopeerida lokaalselt töötav rakendus. Kävitamisel paistab selline pilt

[[Pilt:Evalimised-2009-1.gif]]

===Mobiil-ID===

Mobiil-ID tehnika võimaldab kasutada mobiiltelefoni sarnaselt ID-kaardile, mobiil-ID toimimist on kirjeldatud aadressil http://www.id.ee/10958

===ID-kaardi rakenduste arendamine===

ID-kaardi rakenduste arendajale on Sertifitseerimiskeskus tekitanud projekti OpenXades aadressil http://www.openxades.org/

* saab testida id-kaardiga allkirjastamist vastu test digidocservice teenust (selleks tuleb üles laadida oma sertifikaadid)
* saab testida mobiil-id kaardi kasutamist (selleks tuleb üles laadida oma sertifikaadid)

===Eesti ID-kaardi tarkvara arendus 2009===

Smartlink arendab RIA tellimusel 2009 aastal Eesti ID-kaardi kasutamise tarkvara https://id.eesti.ee/idtrac/, mis sisaldab muu hulgas kasutaja töökohaarvutis kasutamiseks graafilise kasutajaliidesega programme

* qesteidutil - ID-kaardi haldamise tarkvara, sertifikaatide kehtivuse kontroll, PIN koodide muutmine, sertifikaatide uuendamine jms
* qdigidocclient - andmete allkirjastamine ja allkirjade kontrollimine, st nn .ddoc ja .bdoc failidega tegelemine
* qdigidoccrypto - andmete krüptimine teise ID-kaardi kasutaja avaliku võtmega, st .cdoc failidega tegelemine

Lisaks asendab Smartlink lahendus Debian Lenny nö ametlikust tarkvarast sellised paketid

* libopensc2 - OpenSC teek
* opensc - OpenSC utiliidid, kuigi selle paketi paigaldamine ei ole lõppkasutaja seisukohast tingimata vajalik (seal sisaldub nt pkcs15-tool utiliit)

2009 aasta juuli keskel on see selle tarkvara arendusetapp lõpule jõudmas ning praktiselt saab tarkvara võimalustega tutvuda ja tasakesi kasutada.

====Tarkvara paigaldamine====

Kõnealune lahendus kasutab eraldiseisvalt eksisteerivaid OpenSC teeke (pakett libopensc2, seadistusfail /etc/opensc/opensc.conf) ning PC/SC vahendeid (pakett pcscd), Eesti ID-kaardi tarkvara paigaldamiseks tuleb lisada /etc/apt/sources.list faili rida

deb ftp://ftp.smartlink.ee/pub/id/debian/ lenny main

usaldada Smartlinki repositooriumi Release faili võtit

# wget ftp://ftp.smartlink.ee/pub/id/apt-esteid-test.gpg.asc
# apt-key add apt-esteid-test.gpg.asc
OK

NB! 20090928 seisuga selle repo kasutamisel asendatakse Debian Lenny nö enda opensc jt teeke ära Smartlinki omadega ja tulemusena ID-kaarti ei saa kasutada, vähemalt mitte ilma vajalike muudatusteta.

Tarkvara paigaldamiseks tuleb öelda

# apt-get install qesteidutil qdigidoc

paigaldatakse neli kõnealuse arendusega seotud paketti ning vajadusel sõltuvustena ka OpenSC, PC/SC jm tarkvara

* qesteidutil - Eesti ID-kaardi haldusvahend qesteidutil
* qdigidoc - programmid qdigidocclient ja qdigidoccrypto
* libdigidoc2 - nn vana teek, käsurealt kasutatav utiliit cdigidoc
* libdigidocpp0 - nn uus teek

Tarkvara kasutamiseks tuleb OpenSC ja PC/SC seada käima nii nagu on käesoleva pala alguses punktis [[:Eesti ID-kaardi kasutamine Debianiga#Kaardilugeja ühendamine operatsioonisüsteemiga]] kirjeldatud.

====Eesti ID-kaardi haldusvahend====

Eesti ID kaardi haldusvahendi qesteidutil kasutamiseks tuleb käivitada programm, nt valides menüüst või XTerm aknas öeldes

$ qesteidutil

ning avaneb aken

[[Pilt:qesteidutil-1.gif]]

Kasutajaliideses esitatud pilt kopeeritakse riigiportaali www.eesti.ee süsteemi kaudu üle X-tee KMA andmekogust.

====Digidoc klient====

Qt teeke kasutava Digidoc kliendi qdigidocclient käivitamiseks tuleb käivitada programm nt valides menüüst või XTerm aknas öeldes

$ qdigidocclient

ning avaneb aken

[[Pilt:qdigidocclient-1.gif]]

Krüptimise utiliidi saab käivitada öeldes

$ qdigidoccrypto

ning avaneb pilt

[[Pilt:qdigidoccrypto-1.gif]]

Utiliit sisalab LDAP klienti, millega saab teades teise kasutaja isikukoodi kopeerida Sertifitseerimiskeskuse LDAP kataloogist tema isikutuvastuse sertifikaadi.

====cdigidoc utiliit====

Paketi libdigidoc2 koosseisus on utiliit cdigidoc, millega saab käsurealt DigiDoc failidega töötada, näiteks fail.cdoc lahtikrüptimiseks sobib öelda

$ cdigidoc -decrypt fail.cdoc PIN_KOOD -out fail.ddoc

Faili fail.ddoc seest esimene faili nimega sisufail.txt konteinerist välja kopeerimiseks sobib öelda

$ cdigidoc -extract D0 sisufail.txt -in fail.ddoc

Ilma argumentideta käsk väljastab abi

$ cdigidoc
USAGE: cdigidoc <command(s)> [-in <input-file>] [-out <output-file>] [-config <config-file>]
COMMANDS:
[-new] [format] [version]
-check-cert <-cerificate-file-name (PEM format)>
-add <file-name> <mime-type> [<content-type>] [<charset>]
-verify
-list
-sign <pin> [<manifest>] [<city> <state> <zip> <country>]
-extract <doc-id> <file-name> [<charset>] [<file-name-charset>]
-encrypt <file-name>
-encrecv <cert-file> [<recipient>] [<keyname>] [<carried-key-name>]
-decrypt <file-name> <pin1>
-denc-list <file-name>
-encrypt-file <in-file-name> <out-file-name> [<in-file-mime-type>]
-decrypt-file <in-file-name> <out-file-name> <pin1>
-calc-sign <cert-file> [<manifest>] [<city> <state> <zip> <country>]
-add-sign-value <sign-value-file> <sign-id>
-del-sign <sign-id>
-get-confirmation <sign-id>
OPTIONS:
-cgimode [<ouput-separator] - output in CGI mode
-SAX - use SAX parser
-XRDR - use XmlReader parser

====Märkused====

20090714 seisuga tehtud tähelepanekud

* programmidel puuduvad manuaalid (ingl. k. manpage) ning praktiliselt dokumentatsioon kataloogis /usr/share/doc/paketinimi
* paketihalduse nimekirjas esineb ka pakett qdigidoccrypto, mida asendab qdigidoc, kui qdigidoc* pakettide traditsioon alles algab, äkki siis see 'Replaces' eemaldada
* sõltuvustest ei paigaldata opensc paketti, mis iseenesest ei ole ka vajalik, vajalik on just libopensc2 teekide pakett
* q* programmide kasutamisel tuleb olla kannatlik, kuigi esmalt teatab programm, et 'Ei leitud ühtegi ID-kaarti' voi 'Kaarti pole lugejas', siis tegelikult võidakse tegeleda alles kaardi otsimisega ja mõne sekundi pärast on kõik korras ja saab jätkata programmi kasutamist
* q* programmide akendest ei saa alati hiirega teksti kopeerida
* paketi libopensc2 seadistusfailis /etc/opensc/opensc.conf võiks parameetri muudatus toimuda ehk debconf dialoogi abil pakkudes kasutajale sobivat vaikeväärtust

reader_drivers = openct, pcsc, ctapi; -> reader_drivers = pcsc, ctapi;

* IP aadressipõhisel ocsp teenusele ligipääsu puhul küsitakse 'Did not find any server access certificate! Start downloading?'
* Kas programmide töö lõpetamiseks on muid võimalusi peale akna sulgemise?

===Eesti ID kaardi tarkvara v. 3.8 kasutamine 2014 suvel===

Käesolevas punktis kirjeldatakse 2014 aasta suvel olemasolevate tarkvara komponentidega Eesti ID kaardi kasutamist (autentimist ja allkirjastamist)

* Debian testing (Jessie) operatsioonisüsteem (32 või 64 bit, tõenäoliselt sarnaselt toimub paigaldamine-seadistamine-kasutamine ka muude Debiani versioonide ja Linux distributsioonidega)
* Eesti ID kaardi tarkvara v. 3.8.0 Ubuntu v. 12.04 (Precise) paketid

Tulemusena saab

* Chrome brauseriga autentida ja allkirjastada
* ID kaardi haldusvahendiga pin koode hallata
* lokaalse DigiDoc kliendiga allkirjastada ja krüptida

Juhised kehtivad

* Chrome < v. 35 (tundub, et alates v. 35 on smart card autentimise tehnika oluliselt muutunud, väidetavalt Eesti ID kaardi tarkvara v. 3.9 teeb selle korda)
* OpenSC kuni 0.12 ja kaasa arvatud (0.13 juures puudub brauseri kasutamist abistav onepin teek)

====Tarkvara paigaldamine====

Eeldusel, et arvutis on töötav kasutajakeskkond (XCFE, Gnome vms) ning Chrome brauser versioon < 35, lisada süsteemi üldotstarbelised paketid

# apt-get install opensc pcscd libccid libnss3-tools apt-transport-https

Kuna onepin-opensc-pkcs11.so teek on vajalik, aga opensc v. 0.13 tarkvaras puudub ning see on nt Debian v. 7 Wheezy paketihalduses v. 0.12 juures olemas (ja tundub, et sobib kasutada), siis aitab lisada /etc/apt/sources.list faili Debian v. 7 Wheezy repositoorium

deb http://ftp.us.debian.org/debian/ wheezy main contrib non-free

ning öelda 0.12 versiooni paigaldamiseks (downgrade'iks)

# apt-get update
# apt-get install opensc=0.12.2-3

Lisaks tuleb Wheezy pakettidest paigaldada

# apt-get -t wheezy install libxml-security-c16

Eesti ID kaardi tarkvara paigaldamise ettevalmistamiseks laadida võti

# wget -O /tmp/ria-public.key https://installer.id.ee/media/install-scripts/ria-public.key
# apt-key add /tmp/ria-public.key

lisada /etc/apt/sources.list faili rida

deb https://installer.id.ee/media/ubuntu/ precise main

ja tarvkara paigaldamiseks öelda

# apt-get update
# apt-get install estonianidcard qesteidutil esteidcerts esteidfirefoxplugin

====ID kaardilugejaga suhtlemise kontrollimine====

Peale tarkvara paigaldamist ja eeldusel, et lugeja on arvutiga ühendatud saab öelda

# opensc-tool -l
# Detected readers (pcsc)
Nr. Card Features Name
0 Yes SCM Microsystems Inc. SCR 331 [CCID Interface] (504005BE) 00 00

Kui lisaks on ID kaart on lugejas saab öelda (jms pkcs15-tool käske)

# pkcs15-tool -c
Using reader with a card: SCM Microsystems Inc. SCR 331 [CCID Interface] (504005BE) 00 00
X.509 Certificate [Isikutuvastus]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeaace
ID : 01
Encoded serial : 02 10 3BF4F7CBE36A655050DC20A42E9EFBAA

X.509 Certificate [Allkirjastamine]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeddce
ID : 02
Encoded serial : 02 10 0D1864A01391996750DC20AC1BF2FDE5

====ID kaardi haldusvahend====

Peale tarkvara paigaldamist maksab esmalt veenduda, et id kaardilugeja riistvara on ära tuntud ja kaart on üldiselt ligipääsetav. Selleks käivitada ID kaardi haldusvahend ja peab nägema oma sertifikaadiandmeid.

Interneti kasutamise olemasolul saab Lae pilt valikuga küsida rahvastikuregistris olevat pilti.

====Chrome brauseriga autentimine ja allkirjastamine====

Esmalt tuleb kord brauser käivitada, et kasutaja kodukataloogi tekiksid vajalikud nn punktifailid (~/.pki), seejärel brauseri protsessid lõpetada st brauseri sulgeda ning öelda sama kasutajana

$ modutil -dbdir sql:$HOME/.pki/nssdb -delete opensc-pkcs11
$ modutil -dbdir sql:$HOME/.pki/nssdb -add opensc-pkcs11 -libfile onepin-opensc-pkcs11.so -mechanisms FRIENDLY

kus

* esimese käsu väljundiks on tõenäoliselt veateade kuna pole midagi kustutada
* teise käsu väljundiks

...
Module "opensc-pkcs11" added to database.

Seejärel tuleb Chrome pluginate settingutest aadressilt chrome://plugins (sisestada nii aadressreale) seadistada EstEID plugin

* Enabled
* Always Allowed

Tulemusena paistab selline pilt

[[Pilt:Chrome-esteid-2.gif]]

kust on näha, et kasutatakse paketis esteidfirefoxplugin olevat teeki

$ dpkg -S /usr/lib/mozilla/plugins/npesteid-firefox-plugin.so
esteidfirefoxplugin: /usr/lib/mozilla/plugins/npesteid-firefox-plugin.so

Autentimiseks sobib minna mõnda portaali, kus on võimaluda kasutaja autentmiseks ID kaardiga, nt https://www.eesti.ee/. Samas saab ka allkirjastada valides

Minu asjad -> Minu dokumendid

Katsetada sobib ka aadressil https://www.openxades.org/web_sign_demo/sign.html.

====Firefox/Iceweasel brauseriga autentimine ja allkirjastamine====

Kontrollida, et paketi esteidfirefoxplugin paigaldamisel tekkinud EstEID plugin on Always Activate olekus

about:addons -> Plugins -> EstEID plug-in -> More

ID kaardi kasutamiseks tuleb brauseri seadistustes kirjeldada onepin teek valides

Edit -> Preferences -> Advanced -> Certificates -> Security Devices -> Load

ja avanenud dialoogis sisestada nt

* Module name - EstEID
* Module filename - /usr/lib/x86_64-linux-gnu/onepin-opensc-pkcs11.so

kus mooduli asukoht failisüsteemis sõltub arhitektuurist jms natuke, find leiab üles

$ find /usr/ -name onepin\*
/usr/lib/x86_64-linux-gnu/onepin-opensc-pkcs11.so

Tulemusena saab ID kaardiga autentida ning allkirjastada.

====Lokaalne DigiDoc klient====

Tarkvara paigaldamise käigus paigaldati ka lokaalne DigiDoc klient. Esmakordsel käivitamisel pakutakse võimalust laadida Sertifitseerimiskeskuse kehtivuskinnituse kasutamiseks vastav juurdepääsutõend, millega saab allkirjastada kuni kümme korda kuus.

====Probleemid====

* Kui allkirjastamisel küsitakse luba kahe plugina käivitamiseks (või öeldakse, et Java plugin on puudu)

[[Pilt:Chrome-esteid-1.gif]]

siis on põhjuseks, et EstEID plugin ei ole seadistatud õieti. Peab olema valitud 'Always allowed'. Oluline on teada, et Java ei ole Chrome brauseriga allkirjastamisel reeglina vajalik.

====Kasulikud lisamaterjalid====

* https://installer.id.ee/
* https://github.com/martinpaljak/ria-debian-build
* http://lauri.võsandi.com/posts/ubuntu-trusty-esteid.html
* http://pingviin.org/portal.php?topic_id=9727
* https://installer.id.ee/media/install-scripts/install-esteid-ubuntu.sh
* https://wiki.debian.org/Smartcards
* http://id.ee/?id=34228
* http://packages.ubuntu.com/lucid/libccid

===Eesti ID kaardi tarkvara v. 17.01.1686-1604 kasutamine 2017 kevadel===

Käesolevas punktis käsitletakse Eesti ID kaardi tarkvara kasutamist operatsioonisüsteem Debian v. 9 Stretch keskkonnas. Debian jaoks üldiselt pakette ei valmistata, aga osutub, et saab kasutada Ubuntu v. 16.04 Xenial pakette.

====Tööpõhimõte====

TODO

====Ettevalmistused====

Kuna Ubuntu v. 16.04 Xenial libssl1.0.0 v. 1.0.2g paketis on ka v. 1.0.0 sümbolid

<pre>
ubuntu-1604$ strings /lib/x86_64-linux-gnu/libssl.so.1.0.0 | grep ^OPENSSL_1
OPENSSL_1.0.0
OPENSSL_1.0.1
OPENSSL_1.0.1d
OPENSSL_1.0.2
OPENSSL_1.0.2g
</pre>

ja Debian v. 9 Stretch libssl1.0.2 v. 1.0.2k paketis ei ole 1.0.0 sümboleid

<pre>
debian-9$ strings /usr/lib/x86_64-linux-gnu/libssl.so.1.0.2 | grep ^OPENSSL_1
OPENSSL_1.0.2d
OPENSSL_1.0.2g
</pre>

siis on vaja leida mingi workaround. Tundub, et kaaluda maksab

* kopeerida internetist Ubuntu v. 16.04 Xenial libssl1.0.0 pakett ja kasutada sealt kahte teeki libssl.so.1.0.0 ja libcrypto.so.1.0.0 (selle lähenemise puuduseks on, et edaspidi vaevalt keegi viitsib neid teeke uuendada)
* paigaldada Debian v. 8 Jessie libssl1.0.0 pakett, http://priit.joeruut.com/archives/Eesti-ID-kaardi-tarkvara-ehk-open-eid-v.-3.12-kasutamine-Debianis.html (lähenemise puuduseks on, et Debian v. 8 Jessie tugi lõpeb tõnäoliselt varem kui Ubuntu v. 16.04 Xenial, aga väga võimalik, et veel enne tekib Debian + ID kaardi kasutamiseks mingi normaalsem lahendus)

Ubuntu libssl1.0.0 paketi saab kopeerida aadressilt http://packages.ubuntu.com/search?keywords=libssl1.0.0&searchon=names&suite=xenial&section=all

Paketi lahti pakkimiseks sobib öelda

$ cd /var/tmp/libssl1.0.0-ubuntu
$ dpkg -x /home/imre/Downloads/libssl1.0.0_1.0.2g-1ubuntu4.6_amd64.deb .

ning (kuna selliste nimedega faili enne pole)

# cp libssl.so.1.0.0 libcrypto.so.1.0.0 /usr/lib/x86_64-linux-gnu

Selleks, et süsteemis oleks paketihalduse mõttes libssl1.0.0 nimeline pakett, sobib kasutada equivs abi

* öelda

$ equivs-control libssl1.0.0

* redigeerida natuke tekkinud faili

<pre>
$ egrep -v "^$|^#" libssl1.0.0
Section: misc
Priority: optional
Standards-Version: 3.9.2
Package: libssl1.0.0
Version: 1.0.0
Maintainer: Imre <imre@auul.pri.ee>
Description: libssl1.0.0 abistaja
Testime
.
Testime 2
</pre>

* öelda

$ equivs-build libssl1.0.0

* paigaldada (kuidagi ta paigaldatakse vaatamata signatuuri puudumisele jms)

# dpkg -i libssl1.0.0_1.0.0_all.deb

====Paigaldamine====

* lisada apt võtmete hulka aadressil https://installer.id.ee/media/install-scripts/install-open-eid.sh oleva skripti algusest kaks sissekannet

# apt-key add failinimi

* lisada apt source

# cat /etc/apt/sources.list.d/ria-repository.list
deb http://installer.id.ee/media/ubuntu xenial main

* värskendada

# apt-get update

ID kaardi tarkvara paigaldamiseks sobib öelda

# apt-get install open-eid

tulemusena tekib failisüsteemi

* kümmekond paketti, enamus installer.id.ee pealt
* /etc/X11/Xsession.d/95-esteid-update-nssdb - selle faili abil X konsoolil töötamise alguses nö korraldakse sobiv seis olulistest asjadest (mh öeldakse modutil jt käske)

Paigaldamise lõpus tuleb Desktop keskkonnast logida välja ja tagasi sisse selleks, et Xsession kasutaks nssdb osa.

====ID kaardilugejaga suhtlemise kontrollimine====

Peale tarkvara paigaldamist ja eeldusel, et lugeja on arvutiga ühendatud saab öelda

<pre>
$ opensc-tool -l
# Detected readers (pcsc)
Nr. Card Features Name
0 Yes Gemalto PC Twin Reader (FB00DB62) 00 00
</pre>

Kui lisaks on ID kaart on lugejas saab öelda (jms pkcs15-tool käske)

<pre>
$ pkcs15-tool -c
Using reader with a card: Gemalto PC Twin Reader (FB00DB62) 00 00
X.509 Certificate [Isikutuvastus]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeaace
ID : 01
Encoded serial : 02 10 775DD64056F35E7954C8CB3EFEB3C8EE
X.509 Certificate [Allkirjastamine]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeddce
ID : 02
Encoded serial : 02 10 2D5E4D8F644E041454C8CB5236F7D2D6
</pre>

====ID kaardi haldusvahend====

Peale tarkvara paigaldamist maksab esmalt veenduda, et id kaardilugeja riistvara on ära tuntud ja kaart on üldiselt ligipääsetav. Selleks käivitada ID kaardi haldusvahend ja peab nägema oma sertifikaadiandmeid.

Interneti kasutamise olemasolul saab Lae pilt valikuga küsida rahvastikuregistiris olevat pilti.

====Chromium brauseriga autentimine ja allkirjastamine====

Veenduda, et Chromiumil on olemas vastav plugin (see on kopeeritav ka üldisest Google Chrome extensions repositooriumist)

[[Pilt:Chrome-esteid-3.gif]]

Tulemusena peab töötama autentimine ja allkirjastamine.

====Firefox brauseriga autentimine ja allkirjastamine====

TODO

* Tundub, et autentimine töötab nö iseenesest.

====Kasulikud lisamaterjalid====

* https://github.com/web-eid/
* https://github.com/open-eid
* https://github.com/open-eid/chrome-token-signing/wiki
* https://lauri.xn--vsandi-pxa.com/2014/04/ubuntu-trusty-esteid.html
* http://installer.id.ee/
* http://priit.joeruut.com/archives/Eesti-ID-kaardi-tarkvara-ehk-open-eid-v.-3.12-kasutamine-Debianis.html
* https://installer.id.ee/media/install-scripts/install-open-eid.sh
* https://www.auul.pri.ee/wiki/Operatsioonis%C3%BCsteem_Debian_GNU/Linux_paketihalduse_kasutamine#Equivs_kasutamine

===Eesti ID kaardi kasutamine - Ubuntu 16.04===

Alustada aadressilt https://installer.id.ee/

# apt-key add ria-key1.pem
# apt-key add ria-key2.pem

# cat /etc/apt/sources.list.d/ria-repository.list
deb http://installer.id.ee/media/ubuntu xenial main

# apt-get update
# apt-get install open-eid

Kui lähtepunktiks on nö tavaline töökohaarvuti, siis lisanduvad paketid

chrome-token-signing esteidfirefoxplugin esteidpkcs11loader libccid libdigidoc-common libdigidoc-tools libdigidoc2 libdigidocpp-common libdigidocpp-tools
libdigidocpp1 libminizip1 libnss3-tools libxerces-c3.1 libxml-security-c17v5 libzip4 open-eid opensc opensc-pkcs11 pcscd qdigidoc qdigidoc-tera qesteidutil

Kasulikud lisamaterjalid

* https://installer.id.ee/?lang=est
* https://installer.id.ee/media/install-scripts/install-open-eid.sh
* https://installer.id.ee/media/ubuntu/

===Eesti ID kaardi kasutamine - Ubuntu 18.04===

Alustada aadressilt https://installer.id.ee/, st sarnaselt eelmisele punktile, aga paistab, et 2019 aasta alguses paketihaldus lõpetab veaga, Seejärel sobib kasutada skripti /var/lib/dpkg/info/awp.postinst alguses exit

# cat /var/lib/dpkg/info/awp.postinst
#!/bin/bash

exit;
...

ning loksutada paketihaldust 'apt-get install -f' vms käskudega. Seejjärel qdigidoc4 utiliit töötab.

Selleks, et EID tarkvara töötaks Chrome brauseriga sobib kasutajana logida sisse desktop keskkonda (nt XFCE4) ja öelda

$ modutil -dbdir sql:$HOME/.pki/nssdb -delete opensc-pkcs11
$ modutil -dbdir sql:$HOME/.pki/nssdb -add opensc-pkcs11 -libfile onepin-opensc-pkcs11.so -mechanisms FRIENDLY

Seejärel Chrome brauseris peaks saama kasutada id kaarti autentimiseks ja allkirjastamiseks. Need kaks käsku võiks idee poolest automaatselt öeldada skripti /usr/bin/esteid-update-nssdb poolt, aga paistab, et millegipärast minul see nii ei ole (äkki XFCE4 desktop tarkvara ei tee koostööd)

<pre>
$ cat /etc/xdg/autostart/chrome-pkcs11.desktop
[Desktop Entry]
Type=Application
Name=Configure Chrome PKCS11
Exec=/usr/bin/esteid-update-nssdb
NoDisplay=true
X-GNOME-AutoRestart=true
X-GNOME-Autostart-Phase=Initialization
</pre>

Kui kasutada on uus eid kaart (mitte uus ECC sertifikaat aga füüsiline uus kaart), siis tõenäoliselt on vajalik öelda awp.postinst skriptis sisalduvad sarnased käsud samuti.

Kasulikud lisamaterjalid

* https://github.com/open-eid/linux-installer/issues/36

===Test ID-kaart===

Lisaks nö päris ID-kaartidele väljastab Sertifitseerimiskeskus teatud juhtumiteks ka test ID-kaarte, nt on seal kasutatav sertifikaat selline

-----BEGIN CERTIFICATE-----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 2AjWXfHNDc0oWr7CBV9HRLmpidJQtQCwoUt6Y2NA==
-----END CERTIFICATE-----

Tekstikujul vaadatest on Issuer ja Subject väärtused

# openssl x509 -in /tmp/zaikovski.pem -noout -text
Certificate:
Data:
Version: 3 (0x2)
Serial Number: 1244104848 (0x4a278890)
Signature Algorithm: sha1WithRSAEncryption
Issuer: C=EE, O=AS Sertifitseerimiskeskus, OU=Testsertifikaadid, CN=TEST-SK
Validity
Not Before: Jun 4 08:40:48 2009 GMT
Not After : Apr 7 11:42:17 2012 GMT
Subject: C=EE, O=TEST-ESTEID, OU=authentication, \
CN=\x01}\x00A\x00I\x00K\x00O\x00V\x00S\x00K\x00I\x00,\x00I\x00G\x00O\x00R\x00,\x003\
\x007\x001\x000\x001\x000\x001\x000\x000\x002\x001, SN=\x01}\x00A\x00I\x00K\x00O\x00V\x00S\
\x00K\x00I, GN=IGOR/serialNumber=37101010021
...

Tundub, et kõigil test kaartidel on algselt samad pinid ja puk, mida saab muuta id kaardi utiliidiga, http://www.id.ee/index.php?id=30379

* PIN1 kood - 0090
* PIN2 kood - 01497
* PUK kood - 17258403

===Kaardilugeja firmware uuendamine===

Kui kaardilugeja nö peaks töötama, aga ei tööta, siis mõnel juhul on otstarbekas kaaluda kaardilugeja firmware uuendamist. Nt SCR311 kaardilugeja puhul sobib selleks kasutada Windows 7 keskkonda, et uuendada 4. -> 5. versoonide vahel.

Kasulikud lisamaterjalid

* http://www.jasemccarty.com/blog/?p=1134
* https://militarycac.com/cacdrivers.htm

===Märkused===

* Kui brauser või postiklient lakkavad töötamast ID-kaardiga, siis maksab need programmid sulgeda ja samuti peatada pcscd deemon ning seejärel esmalt deemon ning siis rakendusprogrammi uuesti käivitada.
* Kuivõrd ID-kaardi sertifikaadid kehtivad suhteliselt lühikest aega ning sertifikaatide uuendamisel praktiliselt kirjutatakse vanad sertifikaadid üle uutega, siis sobib ID-kaardi vahendeid andmete krüptimiseks kasutada nö turvalise transpordi sooritamiseks ja mitte andmete pikaajaliseks turvaliseks säilitamiseks. Lisaks on veel muid ohte, näiteks et ID-kaart rikneb füüsiliselt.

===Sertifikaatide uuendamine===

Sertifikaatide saab uuendada id kaarti utiliidiga, peale uuendamist näidatakse sellist pilti, tegevuse käigus küsitakse vana sertifikaadi PIN1

[[Pilt:Qesteidutil-2.gif]]

===TODO===

* ipsec lahenduse juures kasutamine

===Kasulikud lisamaterjalid===

* Eesti ID-kaardi tarkvara - http://ideelabor.ee/
* Sertifitseerimiskeskus - http://www.sk.ee/
* http://kuutorvaja.eenet.ee/wiki/Apache'i_veebiserver#ID_kaardiga_kasutaja_autentimine
* http://kuutorvaja.eenet.ee/wiki/OpenLDAP_kasutamine_Debianiga#Icedove.27i_aadressraamatu_pidamine
* https://digidoccheck.sk.ee/
* https://id.eesti.ee/trac/
* http://pcsclite.alioth.debian.org/supported.html
* http://code.google.com/p/esteid/

Eesti ID-kaardi kasutamine Debianiga

2019-03-01T07:37:48Z

Imre: /* Eesti ID kaardi kasutamine - Ubuntu 18.04 */

===Sissejuhatus===

Eesti ID-kaart on nn protsessorkaart, mis võimaldab autentimist ja allkirjastamist. ID-kaardi kasutamiseks on vajalikud

* kehtiv Eesti ID-kaart
* kasutada oleva arvuti ja operatsioonisüsteemiga sobiv kaardilugeja
* internetiühendus
* ID-kaardi võimaluste kasutamiseks sobiv kliendipoolne tarkvara
* ID-kaardi võimaluste kasutamiseks sobiv teenus internetis

Eesti ID-kaardi töö põhineb avaliku võtme (ingl. k. public key) krüptograafia kasutamisel. Avaliku võtme infrastruktuuris (ingl. k. PKI - public key infrastructure) esitatakse kasutaja avalik võti koos kasutaja kohta käivate muude andmetega, nt kasutaja nimi ja eposti aadress selle konkreetse infrastruktuuri mõne ülemise sajalase võtmega signeeritud kujul ja seda tulemust nimetatakse kasutaja sertifikaadiks. Lisaks on sertifikaadis kirjas andmed selle sertifikaadi väljastaja kohta ja sertifikaadi kehtivuse aeg.

Eesti ID-kaartidega seotud avaliku võtme infrastruktuuri haldab sh väljastab ID-kaarte Sertifitseerimiskeskus http://www.sk.ee/ kusjuures ID-kaardil on kaks paari võtmeid, öeldakse ka, et kaks sertifikaati

* isikutuvastuse ehk autentimise sertifikaat
* allkirjastamise sertifikaat

Kahe erineva sertifikaadi kasutuselevõtmise põhjuseks on asjaolu, et sertifikaatidel on nö oluliselt erinev kaal

* isikutuvastuse sertfikaadiga kasutaja autendib ennast teenusele (st praktiliselt logib ennast sisse portaali internetis, siseneb kooduksega kaitstud ruumi füüsilises maailmas)
* allkirjastamise sertifikaati kasutatakse reeglina ainult digitaalallkirja andmiseks ja Eesti Vabariigis on digitaalallkirjastatud dokument võrdsustatud omakäeliselt allkirjatatud dokumendiga; reeglina pangaülekannete sooritamisel toimub sisemiselt samuti digitaalallkirjastamise protseduur

Oletame, et kui oleks kasutuses ainult üks sertifikaat ja nt kasutaja siseneb koodukse kaudu ruumi, siis võiks konstrueerida skeemi, kus ta pahaaimamatult allkirjastab mõne dokumendi, mida ta muul juhul ei oleks nõus allkirjastama. Kahe sertifikaadi kasutamisel on võimalik erinevaid rolle lahus hoida.

Kuigi eelmises lõigus kasutati väljendeid 'isikutuvastuse sertifikaadiga kasutaja identifitseerib' ja 'allkirjastamise sertifikaati kasutatakse reeglina digitaalallkirja andmiseks' tuleb seda seda mõista nii, et sisuliselt neid protseduure sooritades kasutaja kasutab vastava sertifikaadi salajast võtit. ID-kaardil asuvate salajaste võtmete kasutamine on turvakaalutlustel piiratud täiendava parooliga, nn PIN koodiga, kummalgi salajasel võtmel on oma PIN kood ja võtme kasutamise eel küsib ID-kaardi tarkvara kasutajalt seda koodi.

ID-kaardiga autentimine on dual-factor ehk two-factor autentimine http://en.wikipedia.org/wiki/Two-factor_authentication kuna see sisaldab kahte kontrolli

* midagi mida saab omada - ID-kaardi kui füüsilise eseme olemasolu kontroll
* midagi mida saab teada - salajase võtme teadmise kontroll

Võrreldes parooliga on ID-kaardi kasutamise üheks erinevuseks, et seda saab kasutada korraga ainult üks kasutaja nö ühest kasutuspunktist.

===Eesti ID-kaardi sertifikaatide LDAP kataloogiteenus===

Kuna avaliku võtme infrastruktuuri üheks koostisosaks on, et kõigi kasutajate avalikud võtmed st sertifikaadid on kõigile avalikult kättesaadavad, siis SK on teinud kasutajate sertifikaadid internetis kättesaadavaks LDAP kataloogiteenuse abil aadressil ldap.sk.ee. Kasutaja sertifikaate (mis sisaldavad avalikke võtmeid) saab teades tema isikukoodi kopeerida öeldes nt

$ ldapsearch -LLL -H ldap://ldap.sk.ee -x -b "c=EE" "(serialNumber=37003212713)"
dn: cn=OOLBERG\2CIMRE\2C37003212713,ou=Authentication,o=ESTEID,c=EE
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
cn: OOLBERG,IMRE,37003212713
serialNumber: 37003212713
userCertificate;binary:: MIIEGjCCAwKgAwIBAgIESIQxaDANBgkqhkiG9w0BAQUFADBbMQswC
QYDVQQGEwJFRTEiMCAGA1UEChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMGRV
...
z5vZN4059dNaqZqVg5rlVrLS5/T+sK8PHxYcO+SKDZYobddJIv6i2XlpVAQLgkChEiXI2Bd3AMfpw
fVbAjDsHXasblBtut7k1MItT3YLaNZ/xq9BY/B7afXqg==

dn: cn=OOLBERG\2CIMRE\2C37003212713,ou=Digital Signature,o=ESTEID,c=EE
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
cn: OOLBERG,IMRE,37003212713
serialNumber: 37003212713
userCertificate;binary:: MIID2jCCAsKgAwIBAgIESIQxaTANBgkqhkiG9w0BAQUFADBbMQswC
QYDVQQGEwJFRTEiMCAGA1UEChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMGRV
..

Konkreetse sertifikaadi dn elemendi kopeerimiseks sobib öelda nt

$ ldapsearch -LLL -H ldap://ldap.sk.ee -x -b ou=authentication,o=ESTEID,c=EE "(serialNumber=37003212713)" dn
dn: cn=OOLBERG\2CIMRE\2C37003212713,ou=Authentication,o=ESTEID,c=EE

===Kaardilugeja ühendamine operatsioonisüsteemiga===

Märkus: 2010 kevade seisuga peaks töötama täitsa hästi Linuxi ja Windowsiga nt kaks sellist mudelit, mida on ka kauplustes suhteliselt hästi saada

* Omnikey Cardman 1021 - USB (lauaarvutile, sülearvutile)
* Omnikey Cardman 4321 - ExpressCard http://en.wikipedia.org/wiki/ExpressCard (sülearvutile)

Ehk kõige parem kui kaardilugeja ühendub arvutiga USB abil, nt sobib mudel SRC-331. Debian Etch ja Lenny sisaldavad paketihalduses ID-kaardi kasutamiseks sobivat tarkvara, mille koduleht asub aadressil http://ideelabor.ee/ ja mille kasutamist käesolev tekst kirjeldab.

USB kaudu ühendatud ID-kaardilugeja kasutamise eelduseks on, et operatsioonisüsteem toetab USB seadmete kasutamist, sellest annab tunnistust peale kaardilugeja ühendamist lsusb sarnane väljund, kus on muu seas näha SCR331 seadmele vastav rida

# lsusb
Bus 004 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub
Bus 003 Device 002: ID 0483:2016 SGS Thomson Microelectronics Fingerprint Reader
Bus 003 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub
Bus 002 Device 006: ID 04e6:e001 SCM Microsystems, Inc. SCR331 SmartCard Reader
Bus 002 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub
Bus 001 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub

ID-kaardiga suhtlemiseks vajaliku tarkvara paigaldamiseks tuleb öelda

# apt-get install opensc pcscd libccid

Seejärel tuleb redigeerida kahte faili

* Näitena jagatavas /etc/opensc/opensc.conf failis tuleb teha kolm muudatust

# zcat /usr/share/doc/libopensc2/examples/opensc.conf.gz > /etc/opensc/opensc.conf

Leidke failist üles need parameetrid ning muutke nende väärtused sellisteks

try_emulation_first = yes;
lock_login = false;
reader_drivers = pcsc, ctapi;

* Failis /usr/lib/pcsc/drivers/ifd-ccid.bundle/Contents/Info.plist peavad sisalduma sellised read (tundub, et see on teatud SRC331 mudelite või eksemplaride spetsiifiline asi), leidke ja muutke olemasolevaid

<key>ifdDriverOptions</key>
<string>0x0004</string>

Seejärel seisake ja käivitage pcscd deemon

# /etc/init.d/pcscd restart

Kontrollimaks, et tarkvara sai korrektselt paigaldatud küsime süsteemi ühendatud kaardilugejate nimekirja

# opensc-tool -l
Readers known about:
Nr. Driver Name
0 pcsc SCM SCR 331 00 00

Ning küsime ID-kaardile kantud sertifikaatide nimekirja

# pkcs15-tool -c
X.509 Certificate [Isikutuvastus]
Flags : 0
Authority: no
Path : 3f00eeeeaace
ID : 01

X.509 Certificate [Allkirjastamine]
Flags : 0
Authority: no
Path : 3f00eeeeddce
ID : 02

===pkcs11-tool utiliidi kasutamine===

PKCS#11 is a software API for accessing cryptographic hardware like smart cards or HSM. pkcs11-tool realiseerib PKCS11 (Public Key Cryptography Standards) standardit ja võimaldab suhelda krüptoseadmega üle Cryptoki (Cryptographic Token Interface) API. Slottide nimekirja esitamiseks sobib öelda

<pre>
# pkcs11-tool -L
Available slots:
Slot 0 (0x0): Alcor Micro AU9540 00 00
(empty)
Slot 1 (0x4): Gemalto PC Twin Reader (A76A2DE4) 01 00
token label : PIN1 (OOLBERG,IMRE,37003212713)
token manufacturer : AS Sertifitseerimiskeskus
token model : PKCS#15 emulated
token flags : login required, rng, token initialized, PIN initialized
hardware version : 0.0
firmware version : 0.0
serial num : AA9909781
pin min/max : 4/12
Slot 2 (0x5): Gemalto PC Twin Reader (A76A2DE4) 01 00
token label : PIN2 (OOLBERG,IMRE,37003212713)
token manufacturer : AS Sertifitseerimiskeskus
token model : PKCS#15 emulated
token flags : login required, rng, token initialized, PIN initialized
hardware version : 0.0
firmware version : 0.0
serial num : AA9909781
pin min/max : 5/12
</pre>

Slot sisu esitamiseks, nb! slot numbri väärtus tuleb võtta sulgudest, küsitakse pin1 väärtust

<pre>
# pkcs11-tool --slot 4 -O -l
Logging in to "PIN1 (OOLBERG,IMRE,37003212713)".
Please enter User PIN:

Private Key Object; EC
label: Isikutuvastus
ID: 01
Usage: sign, derive
Certificate Object; type = X.509 cert
label: Isikutuvastus
ID: 01
Public Key Object; EC EC_POINT 384 bits
EC_POINT: 0461046231c67...
EC_PARAMS: 06052b81040023
label: Isikutuvastus
ID: 01
Usage: encrypt, verify
</pre>

kus

* ühes slotis on paistab olevat kolm objekti, private key, sertifikaat ja public key

Kasulikud lisamaterjalid

* https://en.wikipedia.org/wiki/PKCS
* https://github.com/OpenSC/OpenSC/wiki/Frequently-Asked-Questions

===pkcs15-tool utiliidi kasutamine===

PKCS#15 is a format of on-card structures that defines a “filesystem layout” for smart cards. pkcs15-tool abil saab kopeerida ID-kaardilt sertifikaate, sedasi

# pkcs15-tool -r 01
-----BEGIN CERTIFICATE-----
MIIEGjCCAwKgAwIBAgIESIQxaDANBgkqhkiG9w0BAQUFADBbMQswCQYDVQQGEwJF
RTEiMCAGA1UEChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMG
RVNURUlEMRcwFQYDVQQDEw5FU1RFSUQtU0sgMjAwNzAeFw0wODA3MjEwNjQ5MTJa
Fw0xMjA5MTEyMTAwMDBaMIGRMQswCQYDVQQGEwJFRTEPMA0GA1UEChMGRVNURUlE
MRcwFQYDVQQLEw5hdXRoZW50aWNhdGlvbjEhMB8GA1UEAxMYT09MQkVSRyxJTVJF
LDM3MDAzMjEyNzEzMRAwDgYDVQQEEwdPT0xCRVJHMQ0wCwYDVQQqEwRJTVJFMRQw
EgYDVQQFEwszNzAwMzIxMjcxMzCBnzANBgkqhkiG9w0BAQEFAAOBjQAwgYkCgYEA
3FR0AP2oX5NCs8+u/hNpnYWyB2eNrnWyG3JXsiqCo14uAaOVmMb82g73SRLPEnAG
yxU/GtRuKT7iOg4f+HTy9bGBaJp6/N9uH8MNtkOzoDppMn909Rm+OqIaHMQkskFC
Kd8X3deAtEwI/YektKKnPbFEZFfLxLKbxvB4WNhFbYECA1W7daOCATEwggEtMA4G
A1UdDwEB/wQEAwIEsDAdBgNVHSUEFjAUBggrBgEFBQcDAgYIKwYBBQUHAwQwPAYD
VR0fBDUwMzAxoC+gLYYraHR0cDovL3d3dy5zay5lZS9jcmxzL2VzdGVpZC9lc3Rl
aWQyMDA3LmNybDAgBgNVHREEGTAXgRVpbXJlLm9vbGJlcmdAZWVzdGkuZWUwUQYD
VR0gBEowSDBGBgsrBgEEAc4fAQEBATA3MBIGCCsGAQUFBwICMAYaBG5vbmUwIQYI
KwYBBQUHAgEWFWh0dHA6Ly93d3cuc2suZWUvY3BzLzAfBgNVHSMEGDAWgBRIBt6+
jIdXlYB4Y/qcIysroDoYdTAdBgNVHQ4EFgQUvIL+20MDRof3J9Avt6Z3d1obuAUw
CQYDVR0TBAIwADANBgkqhkiG9w0BAQUFAAOCAQEAajU/cJ7zVocAkJDgIrV8gXn3
hZ9CM5k1/W3GVEEXqkdTHU/clW5D14PmC+f2a7rN2FxJ3bQuxU/xB6W4xKDZ9fys
Y31lGxpPHIsHwqaPl93l1u3iaMo9835yMVfiZOi0Iq2y0ZlnPwVAOjWNUzMwikdj
1ElhnHacFc4NrevOqgaOZIN2A1DIDgxMXLiR8PAHlPSnK8cXnClRXgcIT3p4OPYy
rH6z7z5vZN4059dNaqZqVg5rlVrLS5/T+sK8PHxYcO+SKDZYobddJIv6i2XlpVAQ
LgkChEiXI2Bd3AMfpwfVbAjDsHXasblBtut7k1MItT3YLaNZ/xq9BY/B7afXqg==
-----END CERTIFICATE-----

Selle sertifikaadi sisu arusaadavamale kujule viimiseks tuleb öelda

# pkcs15-tool -r 01 > imreoolberg-autentimise-sertifikaat.pub
# openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -text
Certificate:
Data:
Version: 3 (0x2)
Serial Number: 1216622952 (0x48843168)
Signature Algorithm: sha1WithRSAEncryption
Issuer: C=EE, O=AS Sertifitseerimiskeskus, OU=ESTEID, CN=ESTEID-SK 2007
Validity
Not Before: Jul 21 06:49:12 2008 GMT
Not After : Sep 11 21:00:00 2012 GMT
Subject: C=EE, O=ESTEID, OU=authentication, CN=OOLBERG,IMRE,37003212713, SN=OOLBERG, GN=IMRE/serialNumber=37003212713
Subject Public Key Info:
Public Key Algorithm: rsaEncryption
RSA Public Key: (1024 bit)
Modulus (1024 bit):
..

Sertifikaadist saab küsida ka üksikuid elemente, nt Subject'i, mis näitab kellele on sertifikaat väljastatud

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -subject
subject= /C=EE/O=ESTEID/OU=authentication/CN=OOLBERG,IMRE,37003212713/SN=OOLBERG/GN=IMRE/serialNumber=37003212713

või Issuer'i, mis näitab, kes sertifikaadi väljastas

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -issuer
issuer= /C=EE/O=AS Sertifitseerimiskeskus/OU=ESTEID/CN=ESTEID-SK 2007

või ajavahemiku, mil sertifikaat kehtib

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -dates
notBefore=Jul 21 06:49:12 2008 GMT
notAfter=Sep 11 21:00:00 2012 GMT

Lisaks sertifikaatidele ja võtmetele sisaldab veel andmeid id kaardi nö elektroolilises osas, nt dokumendi number. Seda ja muid andmeid saab küsides nn dump'i

# pkcs15-tool -D -r 01
Using reader with a card: SCM SCR 331 [CCID Interface] (504005BE) 00 00
..
PKCS#15 Card [IMRE OOLBERG]:
Version : 2
Serial number : A0055799
Manufacturer ID: AS Sertifitseerimiskeskus
Flags : Read-only, PRN generation, EID compliant
...

Kui arvutis on kasutusel mitu ID kaarti, siis saab kontrollida millisega tegeledakse parameetri abil

--reader N

===Iceweasel brauseri kasutamine===

Iceweasel brauseri abil on iseenesest võimalik kahe tegevuse sooritamine

* autentimine - kasutaja kinnitab teenusele, nt veebiportaalile, et tema kasutuses on tema autentimise sertifikaadis sisalduvale avalikule võtmele vastav salajane võti
* digitaalne allkirjastamine - kastutaja kinnitab teenusele, nt pangaülekande sooritamisel, et tema kasutuses on tema allkirjastamise sertifikaadis sisalduvale avalikule võtmele vastav salajane võti

Kuivõrd teenuse jaoks on praktiliselt oluline, et kasutaja kinnitaks sertifikaadile vastava salajase võtme olemasolu PIN koodi sisestamise teel, siis siit järeldub, et tuleb hoolega hoida ID-kaarti ning ID-kaardi PIN koode enda teada.

Brauseri tööleseadmine autentimiseks on lihtsam ning allkirjastamiseks keerulisem. Tundub, et praktiliselt on 2009 klienditarkvara ja nende teenuste tarkvara, mida saab Iceweaseliga kasutada seis selline, et Iceweasel brauser iseseisvalt ei tegele andmete allkirjastamisega; allkirjastamine toimub nt Java appleti abil, kusjuures applet küsib kasutajalt allkirjastamiseks vajalikku PIN2 koodi. Seda arvestades on soovitav kasutada turvaseadme kirjeldamisel spetsiaalselt ettevalmistatud teeki onepin-opensc-pkcs11.so, mis efektiivselt varjab brauseri eest ära teise sertifikaadi, kui seda mitte teha, siis praktililiselt hakkab brauser kasutajalt küsima ise vaheldumisi mõlema sertifikaadi PIN koodi ja see oleks üsna eksitav.

Brauseri ID-kaardiga kasutamise ettevalmistamiseks tuleb avada

Edit -> Preferences -> Advanced -> Encryption -> Security Devices -> Load

ning kirjeldada Eesti ID-kaardile vastav turvaseade (ingl. k. security device)

Module Name: esteid
Module filename: /usr/lib/onepin-opensc-pkcs11.so

Sõltuvalt sellest, kas soovitakse, et peale PIN1 sisestamist küsiks brauser kasutajalt igal ID-kaardiga autentimise korral kinnitust või mitte tuleb valida

* Select one automatically
* Ask me every time

[[Pilt:Id-auth-cc.gif]]

====Iceweasel brauseri kasutamine autentimiseks====

Auntentimiseks piisab turvaseadme ettevalmistamisest ning seejärel saab näiteks logida sisse riigiportaali, küsitakse PIN1 koodi

[[Pilt:Id-auth-java-pin1.gif]]

====Iceweasel brauseri kasutamine allkirjastamiseks====

Nt SEB pangas makset sooritades toimub digitaal-allkirjastamise protseduur; ja https://digidoc.sk.ee/ või riigiportaali eesti.ee kasutamisel saab moodustada uut digitaalselt allkirjastatud dokumenti või kontrollida olemasoleval digitaalselt allkirjastatud dokumendil allkirja kehtivust. Osa kasutajaid suhtub veebiliidese kaudu dokumentide allkirjastamisse äärmiselt kahtlustavalt, kuna kui juba lokaalse rakendusega digitaalallkirja andmisel ei saa olla täiesti kindel, millele ikkagi allkiri antakse, siis veebirakenduse puhul on see veel eriti nii.

Iceweasel brauseriga allkirjastamiseks peab olema paigaldatud Mozilla Sun Java plugini tarkvara pakett (millega koos paigaldatakse vajadusel ka JVM, kusjuures on oluline kasutada justnimelt Sun Java mitte IBM või GCJ implementatsioone)

# apt-get install sun-java5-plugin

Ning lisaks kopeerida teek

# mkdir /tmp/teek && cd /tmp/teek
# wget http://ideelabor.ee/downloads/pkcs11wrapper-linux.tar.gz
# tar zxf pkcs11wrapper-linux.tar.gz
# find . -type f -ls
442489 104 -rwxr-xr-x 1 501 501 99004 Apr 23 2004 ./libpkcs11wrapper.so

Seejärel tuleb otsida üles arvutist JVM kataloog

# find /usr -type f -name java -ls
173534 68 -rwxr-xr-x 1 root root 65116 May 28 2008 /usr/lib/jvm/java-1.5.0-sun-1.5.0.16/jre/bin/java

mis tähendab, et

JAVA_HOME=/usr/lib/jvm/java-1.5.0-sun-1.5.0.16

Lõpuks tuleb kopeerida lahtipakitud teek kataloogi ${JAVA_HOME}/jre/lib/i386

# cp libpkcs11wrapper.so /usr/lib/jvm/java-1.5.0-sun-1.5.0.16/jre/lib/i386

Lisaks peavad olema lingid, esimene on vajalik digidoc portaali kasutamiseks ja teine SEB pangas

# ln -s /usr/lib/opensc-pkcs11.so /usr/lib/libopensc-pkcs11.so
# ln -s /usr/lib/opensc-pkcs11.so /usr/lib/libesteid-pkcs11.so

NB! Java tarkvara uuendamisel mõnel juhul muutub ka versiooni number nii, et muutub java asukoht failisüsteemis, nt

/usr/lib/jvm/java-1.5.0-sun-1.5.0.16 -> /usr/lib/jvm/java-1.5.0-sun-1.5.0.17

Sel juhul tuleb libpkcs11wrapper.so kopeerida samasse alamkataloogi kuhu ennegi uue java kataloogi sisse.

Kui süsteemi on paigaldatud lisaks mõni uuem java versioon, nt paketist sun-java6-*, siis tuleb kõnealune wrapper kopeerida kõige uuema Java vastavasse kataloogi, nt

# cp libpkcs11wrapper.so /usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/i386/

=====Allkirjastamine SEB pangas=====

Peale panga keskkonda sisselogimist (kas otseselt või läbi mõne muu teenusepakkuja, nt www.if.ee, www.energia.ee jt) ning maksekorralduse ettevalmistamist esitatakse allkirja andmise juurde esmakordsel minemisel küsimus rakenduse usaldusväärsuse kohta

[[Pilt:Id-allkiri-java-pin4.gif]]

ja seejärel tuleb ära oodata pisut eksitav tühi aken, kus tuleb valida Cancel

[[Pilt:Id-allkiri-java-pin3.gif]]

ning seejärel valides Allkirjasta öeldakse, et loetakse andmeid kiipkaardilt ning küsitakse PIN2 koodi

[[Pilt:Id-allkiri-java-pin2.gif]]

Allkirjastamise ajal töötab java rakendus sun.plugin2.main.client.PluginMain

$ ps aux | grep java
mart 6859 10.1 4.7 242668 48832 ? Sl 10:55 0:04 /usr/lib/jvm/java-6-sun-1.6.0.12/jre/bin/java -D__jvm_launched=5951554477 \
-Xbootclasspath/a:/usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/deploy.jar:/usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/javaws.jar:\
/usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/plugin.jar -Djava.class.path=/usr/lib/jvm/java-6-sun-1.6.0.12/jre/classes \
sun.plugin2.main.client.PluginMain write_pipe_name=/tmp/.com.sun.deploy.net.socket.5659.2862701817965363267.AF_UNIX

=====Allkirjastamine Sertifitseerimiskeskuse digidoc.sk.ee portaalis=====

https://digidoc.sk.ee/ portaal võimaldab veebipõhises keskkonnas sooritada digitaalallkirjastamisega seotud protseduure, nt anda allkirja, kontrollida allkirja ja jagada sama dokumenti teiste portaali kasutajatega selleks, et ühte dokumenti saaks allkirjastada mitu osapoolt. Portaali sisenemisel avaneb kasutuskeskkonnale sarnane vaade, süsteemi on laaditud kaks dokumenti, ühel on üks allkiri ja teisel ei ole ühtegi allkirja

[[Pilt:Digidoc-1.gif]]

Keskkonna kasutamine võiks toimuda suhteliselt intuatiivselt, dokumenti allkirjastamisel tuleb täita sarnased lahtrid nagu nn lokaalset digidoc klienti kasutades

[[Pilt:Digidoc-2.gif]]

Allkirjastamisel küsitakse kasutajalt PIN2 koodi

[[Pilt:Digidoc-3.gif]]

https://digidoc.sk.ee/ keskkonnas ei saa tegeleda krüptitud dokumentidega ehk nn .cdoc failidega.

=====Allkirjastamine riigiportaalis www.eesti.ee=====

Aadressil https://www.eesti.ee/ asuvas riigiportaalis sektsioonis

Kodanikule -> Digitaalallkiri

saab veebipõhises keskkonnas sooritada digitaalallkirjastamisega seotud protseduure, nt anda allkirja, kontrollida allkirja ja jagada sama dokumenti teiste portaali kasutajatega selleks, et ühte dokumenti saaks allkirjastada mitu osapoolt.

Portaali Digiallkirja sektsiooni sisenemisel avaneb kasutuskeskkonnale sarnane vaade, süsteemi on laaditud kaks dokumenti, ühel on üks allkiri ja teisel ei ole ühtegi allkirja

[[Pilt:Riigiportaal-digiallkiri-1.gif]]

Keskkonna kasutamine võiks toimuda suhteliselt intuatiivselt, dokumendi allkirjastamisel tuleb täita sarnased lahtrid nagu nn lokaalset digidoc klienti kasutades, PIN2 sisestamine toimub Java appleti abil, sarnaselt

[[Pilt:Riigiportaal-digiallkiri-2.gif]]

Riigiportaalis ei saa tegeleda krüptitud dokumentidega ehk nn .cdoc failidega.

===Icedove postikliendi kasutamine===

Lisaks nö tavalistele e-kirjadele on võimalik moodustada spetsiaalsete lisaomadustega kirju

* allkirjastatud kiri - kirja saatja moodustab allkirja oma salajase võtmega; kirja saaja saab olla kindel, et kiri on saadetud just selle kasutaja poolt kelle sertifikaadi (avaliku võtme) abil õnnestub kirja autentsust kontrollida; kirja sisu on kõigile avalik, kuid kirjale on nö attachmentiga sarnaselt juurde digitaalse allkirja osa; oluline erinevus nö .ddoc allkirjastamisest on, et reeglina ei kasutata seejuures Sertifitseerimiskeskusest saadud kehtivuskinnitust
* krüptitud kiri - kirja saatja krüptib kirja adressaadi avaliku võtmega (sertifikaadiga); kirja saatja saab olla kindel, et mitte keegi peale selle kasutaja, kelle kasutuses on vastav salajane võti saab kirja sisuga tutvuda

Tuleb arvestada, et eposti allkirjastamine ja krüptimine omab tähendust ainult epostiga tegelemisel ning kuigi see tehnika pakub võimaluse täiendava turvalisuse saavutamiseks ei ole tegu Eesti Vabariigi seaduse mõttes kehtiva digitaalselt allkirjastatud dokumendiga juba seetõttu, et mõlemal juhul kasutatakse autentimise sertifikaati.

Kirja krüptimisel ei ole see tingimata oluline, aga allkirjastamiseks Eesti ID-kaardil asuva autentimise sertifikaadile vastava salajase võtmega eeltingimuseks on, et kasutaja on oma postiprogrammis kirjeldanud tema sertifikaadil leiduva postiaadressiga seotud konto. Sertifikaadile märgitud postiaadressi saab küsida sertifikaadilt öeldes

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -email
imre.oolberg@eesti.ee

Iceweasel programmi ID-kaardiga kasutamise ettevalmistamiseks tuleb avada

Edit -> Preferences -> Advanced -> Certificates -> Security devices -> Load

ning kirjeldada Eesti ID-kaardile vastava turvaseade (ingl. k. security device)

Module Name: esteid
Module filename: /usr/lib/onepin-opensc-pkcs11.so

Lisaks tuleb laadida Icedove'i SK juursertifikaat, ESTEID-SK ja ESTEID-SK 2007 sertifikaadid, mis saab kopeerida http://www.sk.ee/ (Avaleht -> Sertifitseerimine -> Baasinfo -> Juursertifikaadid) veebikohast

Edit -> Preferences -> Advanced -> Certificates -> View Certificates -> Authorities -> Import

Kusjuures tuleb kindlasti vastata jaatavalt küsimusele, et neid usaldatakse eposti jaoks kasutamiseks

[[Pilt:Id-sign-0.gif]]

Seejärel tuleb Icedove'is seoses nn @eesti.ee aadressiga, nt imre.oolberg@eesti.ee, kirjeldatud konto juures näidata, milliseid sertifikaate kasutatakse eposti allkirjastamise ning krüptimise juures, valida ülemine Select (Digital Signing)

[[Pilt:Id-sign-1.gif]]

Peale PIN1 koodi sisestamist esitab arvuti valitud sertifikaadi andmed

[[Pilt:Id-sign-2.gif]]

Valides järgmisena Encryption juures Select küsib arvuti, kas ma soovin kasutada sama sertifikaati (õigemini sama sertifikaadiga seotud salajast võtit) teiste kasutajate poolt mulle saadetud krüptitud kirjade (mis on krüptitud minu avaliku võtmega) lahtikürptimiseks, sobib vastata jaatavalt.

====Icedove postikliendi kasutamine eposti allkirjastamiseks====

Kirja saatmine toimub tavapäraselt ainukese erinevusega, et enne kirja saatmist tuleb valida Security alt

Digitally Sign This Message

[[Pilt:Id-sign-3-1.gif]]

Kirja saajal peab olema postiprogrammi laaditud vähemalt SK juursertifikaat (sellest piisab allkirja kontrollimiseks, sest signatuur sisaldab ka allkirjastaja sertifikaati ning ahelat SK juursertifikaadini ja brauseris oleva SK juursertifikaadiga saab seega tuvastada kasutaja allkirja kehtivust) abil ning kiri pasitab sellisena

[[Pilt:Id-sign-3-2.gif]]

Messsage Security aken avaneb vajutades programmiakna paremas servas asuvale kollane-punane värvi ümbriku kujutisele ja ütleb, et vaatlusalune kiri on allkirjastatud (ingl. k. signed) ning allkiri (ingl. k. signature) on kehtiv. St kirja saaja saab olla kindel, et kiri on saadetud selle poolt, kelle kasutada on allkirja kontrollimisel kasutatud sertifikaadile vastav salajane võti.

====Icedove postikliendi kasutamine eposti krüptimiseks====

Eposti krüptimine toimub adressaadi Eesti ID-kaardi autentimise avaliku võtmega, mis tähendab, et keegi teine peale vastava salajase võtme valdaja ei saa sõnumi teksti sisuga tutvuda. Kirja saatmisel tuleb valida

Security -> Encrypt This Message

[[Pilt:Id-sign-3-3.gif]]

Kirja lugemisel peab olema võimalik kasutada ID-kaarti ning tulemus võiks paista sarnane

[[Pilt:Id-sign-3-4.gif]]

Security Message aken avaneb vajutades programmiakna paremas servas asuvale tabaluku kujutisele ja ütleb, et kiri on krüptitud ning selle sisuga on peale adressaadi teistel kasutajatel ülimalt raske tutvuda.

Kui krüptitud kirja adressaadil on ID-kaardi kasutamine seadistamata, siis esitab programm kasutajale veateadet

Icedove cannot decrypt this message

The sender encrypted this message to you using one of your digital certificates, however Icedove was not able to find
this certificate and corresponding private key.

Possible solutions:

* If you have a smartcard, please insert it now.
* If you are using a new machine, or if you are using a new Icedove profile, you will need to restore your certificate
and private key from a backup. Certificate backups usually end in ".p12".

Krüptimisel tuleb arvestada, et kirja päised sh Message-ID, Date, From, To, Subject jt ei ole krüptitud

..
Message-ID: <49B277C9.8010303@eesti.ee>
Date: Sat, 07 Mar 2009 15:34:01 +0200
From: Imre Oolberg <imre.oolberg@eesti.ee>
User-Agent: Mozilla-Thunderbird 2.0.0.19 (X11/20090103)
MIME-Version: 1.0
To: imre.oolberg@eesti.ee
Subject: eesti muld ja eesti =?ISO-8859-1?Q?s=FCda?=
Content-Type: application/x-pkcs7-mime; name="smime.p7m"
Content-Transfer-Encoding: base64
Content-Disposition: attachment; filename="smime.p7m"
Content-Description: S/MIME Encrypted Message

MIAGCSqGSIb3DQEHA6CAMIACAQAxgf0wgfoCAQAwYzBbMQswCQYDVQQGEwJFRTEiMCAGA1UE
ChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMGRVNURUlEMRcwFQYDVQQD
Ew5FU1RFSUQtU0sgMjAwNwIESIQxaDANBgkqhkiG9w0BAQEFAASBgB4isztO9MjE1ZQUzA7e
U1E0YTQZF0nIW4b46Nn/Be+DtUgzZWyZjgln4YxqQ7vDWPJiFNJTqdLjNCPGb6WEJ7ddZJGp
hM/z+tyCNHrXP6DbvjtmF9qJ9WgvyiqHyQMr8FKRCnLdcj70G+N0EzFnsMq4QsvLi6PHaE7v
rWGWq1ynMIAGCSqGSIb3DQEHATAUBggqhkiG9w0DBwQInoBpNLI3/IOggASCAijikH35Tqn9
..

====Teiste kasutajate sertifikaatide kasutamine====

Selleks, et

* saata teisele @eesti.ee postisüsteemi kasutajale krüptitud kirja
* kontrollida teise @eesti.ee postisüsteemi kasutaja poolt saadetud allkirjastatud kirja allkirja

peab olema Icedove'i laaditud teise kasutaja avalik võti, mis esineb nn autentimise sertifikaadi kujul. Selleks tuleb teades kasutaja isikukoodi kopeerida sertifikaadid ldap.sk.ee serverist, nt

$ ldapsearch -LLL -H ldap://ldap.sk.ee -x -b "c=EE" "(serialNumber=37003212713)"

Salvestada esimesele sertifikaadile vastav tekstiosa st

...
userCertificate;binary:: MIID2jCCAsKgAwIBAgIESIQxaTANBgkqhkiG9w0BAQUFADBbMQswC
..
cOXVX08WgFeVtlH1S6AeDIuY1i/EIngiAUV
....

tekstifaili, alates MIID2.. osast, tekstifail peab algama ja lõppema spetsiaalse tunnusega, kokku peab saama sarnane fail

-----BEGIN CERTIFICATE-----
MIID2jCCAsKgAwIBAgIESIQxaTANBgkqhkiG9w0BAQUFADBbMQswC
..
cOXVX08WgFeVtlH1S6AeDIuY1i/EIngiAUV
-----END CERTIFICATE-----

Ning see fail tuleb laadida Icedove'i valides

Edit -> Preferences -> Advanced -> Certificates -> View Certificates -> Other People's -> Import

Seejärel saab saada sertifikaadis näidatud eposti aadressile krüptitud posti ning samuti kontrollida selle kasutaja poolt allkirjastatud eposti signatuuri.

Kui on võimalik, siis saab teise kasutaja isikutuvastuse sertifikaadi postiklienti laadimiseks kasutada ka lihtsamat protseduuri. Nimelt, piisab kui teine kasutaja saadab esmalt signeeritud kirja ning see kiri postikliendiga avada. Sel juhul salvestatakse sertifikaat automaaselt postikliendi Other people's sertifikaatide hoidlasse.

Üldiselt võib üks ja sama kiri olla samaaegselt nii signeeritud kui ka krüptitud.

===@eesti.ee aadresside kasutamine===

Kuna Eesti ID-kaardi autentimise sertifikaadile vastava avaliku võtmega kürptitud kirju saab saata tingimusel, et adressaadiks on sertifikaadis esitatud aadress, mis on kujul

eesnimi.perekonnanimi@eesti.ee

või kui sama ees-ja perekonnanimega kasutajaid oma rohkem kui üks, siis järgmistele aadressidele on perekonnanime järele lisatud arv

eesnimi.perekonnanimi.1@eesti.ee

siis oleks hea kui sellistele aadressidele saadetud kirjad mugavasti adressaadi postkasti jõuaksid.

Käesolev asjakorraldus võimaldab Eesti ID-kaardi omanikel aadressil http://www.eesti.ee/ asuvas riigiportaalis seadistada, kuhu tema @eesti.ee aadressile saadetud kirjad edasi saadetakse. Tavaliselt on selleks nt mail.ee, gmail.com vms teenusepakkuja postkastiga seotud eposti aadress.

Kuigi tehniliselt teeb @eesti.ee aadressi kasutamine mugavaks signeeritud ja krüptitud kirjade vahetamise, töötab see ka nö tavaliste kirjade puhul.

Kusjuures varasemal ajal on kasutatud ID-kaardi autentimise sertifikaadis ka aadressi kujul, kus nnnn on neljakohaline arv

eesnimi.perekonnanimi_nnnn@eesti.ee

Lisaks, @eesti.ee postisüsteem võimaldab seadistada kasutajal omale edasisuunamise aadressi aadressile

isikukood@eesti.ee

kuid kuna see aadress ei esine sertifikaadis, siis ei ole võimalik seda kasutada eposti allkirjastamisel ega krüptimisel.

===Sertifikaadi kehtivuse kontrollimine===

Avaliku võtme infrastruktuuri üheks ülesandeks on hallata kasutajate sertifikaate sh mitmetel põhjusel sertifikaat kehtetuks kuulutada. Seega, sertifikaadi kasutamisel on oluline kontrollida, kas sertifikaat kasutamise ajal kehtib, seda saab teha SK OCSP (Online Certificate Status Protocol) abil öeldes

$ openssl ocsp -issuer esteid.pem -cert idkaardiltsert.pem -url http://ocsp.sk.ee -noverify -text
OCSP Request Data:
Version: 1 (0x0)
Requestor List:
Certificate ID:
Hash Algorithm: sha1
Issuer Name Hash: 4508A41C355C0A72485FE2DF7B6A6788C6A55022
Issuer Key Hash: 4806DEBE8C875795807863FA9C232B2BA03A1875
Serial Number: 48843168
Request Extensions:
OCSP Nonce:
0410090A1FA4F0555E82C1DFB4722FC61696
OCSP Response Data:
OCSP Response Status: successful (0x0)
Response Type: Basic OCSP Response
Version: 1 (0x0)
Responder Id: C = EE, O = ESTEID, OU = OCSP, CN = ESTEID-SK 2007 OCSP RESPONDER, emailAddress = pki@sk.ee
Produced At: Oct 7 22:15:36 2008 GMT
Responses:
Certificate ID:
Hash Algorithm: sha1
Issuer Name Hash: 4508A41C355C0A72485FE2DF7B6A6788C6A55022
Issuer Key Hash: 4806DEBE8C875795807863FA9C232B2BA03A1875
Serial Number: 48843168
Cert Status: good
This Update: Oct 7 22:15:36 2008 GMT

Response Extensions:
OCSP Nonce:
0410090A1FA4F0555E82C1DFB4722FC61696
cert.pem: good
This Update: Oct 7 22:15:36 2008 GMT

Kus esteid.pem sertifikaadi saab kopeerida SK veebikohast.

===ID-kaardi kasutamine chroot keskkonnast===

Märkus: 20090314 stabiilne Debian Lenny sisaldab sun-java6-plugin paketti.

Üks praktiline vajadus kasutada ID-kaarti chroot programmiga moodustatud chroot keskkonnast oleks 64 bit Debiani operatsioonisüsteemis kasutada 32 bit Iceweaselit'i. Põhjusel, et 32 bit arhitektuurile on olemas Iceweaseli java plugin (pakett sun-java6-plugin), aga 64 bitile seda 2008 aastal pole. Omakorda on java vajalik, et saaks nt SEB pangas allkirjastada st sooritada ülekannet.

Tundub, et kui arvutile külge ühendatud ID-kaarti on tarvis kasutada chroot käsu abil moodustatud chroot keskkonnast, siis tuleb öelda (pcscd deemon töötab nn absoluutses arvutis)

# mount --bind /var/run/pcscd /srv/arvuti-32/var/run/pcscd

ning seejärel tuleb käivitada iceweasel nt selliselt läbi sudo

$ sudo /usr/sbin/chroot /srv/arvuti-32 iceweasel

Selleks, et chroot keskkonnas käivitatud iceweasel saaks näidata oma pilti X serverile tuleb xhost käsuga kaasa aidata, nt öelda

$ xhost +iceweaseliarvutinimi

kusjuures ilma argumentideta xhost näitab, millistest arvutitest on võimalik X serveri poole pöörduda.

Kirjeldatud asjakorralduse puhul ei ole tarvis chroot keskkonda ühendada külge mingeid muid failisüsteeme (nt /proc, /sys) ega käivitada seal deemoneid pcscd vms.

Sudo töötamiseks on vajalik omakorda sellist sisu /etc/sudoers faili

User_Alias CHROOT_USERS = mart
Cmnd_Alias CHROOT_CMD = /usr/sbin/chroot
Host_Alias MORAAL = arvuti
CHROOT_USERS MORAAL = (root) NOPASSWD: CHROOT_CMD

Milliseid turvariske selline asjakorraldus tema jaoks toob peab iga kasutaja ise hindama, eriti seoses X serverile ligipääsemisega kus on avatud ID-kaarti kasutav rakendus.

===ID-kaardi kasutamine konsoolilt arvutisse sisselogimiseks===

Arvutisse sisselogimise kontrollimist on võimalik korraldada ID-kaardi isikutuvastuse sertifikaadiga. Ehk täpsemini, sisselogimisel peab kasutaja tõendama, et ta saab kasutada isikutuvastuse sertifikaadile vastavat salajast võtit ja seda ta teeb PIN1 koodi sisestamise teel.

Tööleseadistatud süsteemi kasutamine näeb välja mitte-graafilise konsooli (tõenäoliselt mingi getty) kasutamisel selliselt, tulemusena on kasutaja süsteemi sisse loginud, nt juurkasutaja

Debian GNU/Linux 5.0 arvutinimi tty4

arvutinimi login: root
Please insert your smart card or enter your username.
Smart card inserted.
Welcome to ID-kaart (PIN1, Isikutuvastus)!
Smart card password:
...

bash#

Sellise asjakorralduse tööleseadmiseks tuleb üldiselt ID-kaart arvutiga ära ühendada nii nagu on ülal punktis 'Kaardilugeja ühendamine operatsioonisüsteemiga' kirjeldatud ning seejärel

* seadistada sisselogimise kontrolli süsteemne osa
* seadistada sisselogimise kontrolli kasutajaspetsiifiline osa

====Süsteemi ettevalmistamine====

Süsteemi ettevalmistamiseks tuleb lisaks paigaldada pakett libpam-pkcs11

# apt-get install libpam-pkcs11

Seejärel moodustada kataloog /etc/pam_pkcs11, sinna näidise eeskujul seadistusfail

# mkdir /etc/pam_pkcs11
# zcat /usr/share/doc/libpam-pkcs11/examples/pam_pkcs11.conf.gz > /etc/pam_pkcs11/pam_pkcs11.conf
# zcat /usr/share/doc/libpam-pkcs11/examples/pam_pkcs11.conf.gz > /etc/pam_pkcs11/pam_pkcs11.conf-orig

ja teha seadistusfailis sellised muudatused

# diff pam_pkcs11.conf pam_pkcs11.conf-orig
85,86c85
< # module = /usr/lib/pam_pkcs11/pkcs11_module.so;
< module = /usr/lib/opensc-pkcs11.so;
---
> module = /usr/lib/pam_pkcs11/pkcs11_module.so;
116c115
< use_mappers = opensc, digest, cn, pwent, uid, mail, subject, null;
---
> use_mappers = digest, cn, pwent, uid, mail, subject, null;
122,123c121
< # mapper_search_path = /usr/lib/pam_pkcs11;
< mapper_search_path = /lib/pam_pkcs11;
---
> mapper_search_path = /usr/lib/pam_pkcs11;
160,161c158
< # module = /usr/lib/pam_pkcs11/opensc_mapper.so;
< module = /lib/pam_pkcs11/opensc_mapper.so
---
> module = /usr/lib/pam_pkcs11/opensc_mapper.so;

SK sertifikaatide kopeerimine ja nn hash linkide moodustmine toimub selliselt (eeldusel, et kasutaja isikutuvastuse sertifikaat on antud välja ESTEID-SK 2007 sertifikaadi suhtes)

# mkdir /etc/pam_pkcs11/cacerts
# cd /etc/pam_pkcs11/cacerts
# wget http://www.sk.ee/files/JUUR-SK.PEM.cer -O JUUR-SK.PEM.pem
# wget http://www.sk.ee/files/ESTEID-SK%202007.PEM.cer -O ESTEID-SK%202007.PEM.pem
# c_rehash .

Tulemus

# find . -ls
183909 4 drwxr-xr-x 2 root root 4096 Mar 15 12:28 .
183911 4 -rw-r--r-- 1 root root 1404 Jan 3 2007 ./ESTEID-SK\ 2007.PEM.pem
183910 4 -rw-r--r-- 1 root root 1790 Feb 6 2006 ./JUUR-SK.PEM.pem
183913 0 lrwxrwxrwx 1 root root 15 Mar 15 12:28 ./119afc2e.0 -> JUUR-SK.PEM.pem
183912 0 lrwxrwxrwx 1 root root 22 Mar 15 12:28 ./590f5e9e.0 -> ESTEID-SK\ 2007.PEM.pem

Lõpuks tuleb kirjeldada PAM mooduli seadistusfailis uus autentimisviis lisades faili /etc/pam.d/common-auth juurde esimeseks reaks

auth sufficient pam_pkcs11.so nullok

====Kasutajakeskkonna ettevalmistamine====

Selleks, et konktreene kasutaja, nt juurkasutaja saaks süsteemi siseneda tuleb moodustada kataloog

# mkdir /root/.eid

ning kopeerida ID-kaardilt isikutuvastuse sertifikaat faili /root/.eid/authorized_certificates

# pkcs15-tool -r 01 > /root/.eid/authorized_certificates

===Eesti ID-kaardi kasutamine OpenVPN lahendusega===

OpenVPN pala tekstis http://kuutorvaja.eenet.ee/wiki/OpenVPN_ja_Eesti_ID-kaardi_kasutamine on kirjeldatud, kuidas kasutada Eesti ID-kaarti VPN kasutajate autentimiseks.

===Eesti ID-kaardi kasutamine GnuPG-2 tarkvaraga===

Märkmed Eesti ID-kaardi võimalikust kasutamisest GnuPG-2 tarkvaraga, mis kahjuks ei vii tulemuseni, aga võimalik, et ühel päeval viivad, http://kuutorvaja.eenet.ee/wiki/GnuPG_kasutamine_Debianiga#Eesti_ID-kaardi_kasutamine_GnuPG-2_tarkvaraga

===ID-kaardi koodide muutmine===

ID-kaardi isikutuvastuse ja allkirjastamise võtmete kasutamist kaitstakse koodidega, vastavalt PIN1 ja PIN2 koodid. Lisaks on kasutusel PUK kood, mille abil saab PIN1 ja PIN2 koodi vajadusel muuta, näiteks kui mõni PIN kood on saanud teatavaks kellelegi teisele või mõni PIN kood on ära ununenud. Kui sooritada kolm järjestikulist ebaõnnestunud koodi sisestamist, siis ligipääs kõnelusele salajasele võtmele lukustatakse, st et enne kui seda saab uuesti kasutada, tuleb ligipääs võtmele PUK koodi abil lahti lukustada.

ID-kaardi PIN koodide lahtilukustamiseks sobib kasutada pkcs15-tool utiliiti, nt öelda PIN 1 koodi lahtilukustamiseks

# pkcs15-tool --unblock-pin -a 1
Enter PUK [PIN1, Isikutuvastus]:
Enter new PIN [PIN1, Isikutuvastus]:
Enter new PIN again [PIN1, Isikutuvastus]:

Muud käsud:

PIN1 koodi muutmiseks

# pkcs15-tool --change-pin -a 1

PIN2 koodi muutmiseks

# pkcs15-tool --change-pin -a 2

PIN2 koodi lahtilukustamiseks

# pkcs15-tool --unblock-pin -a 2

PUK koodi muutmiseks

# pkcs15-tool --change-pin -a 3

Kui aga PUK kood on kadunud, siis saab ID-kaarti kasutada seni kuni pole tarvis PIN koode muuta, vastasel korral tuleb teeninduspunktist, nt pangas paluda paigaldada ID-kaardile uus nn ümbrik.

===e-valimistel osalemine===

e-valimistel osalemiseks tuleb valimiste veebikohta sisse logida ning kopeerida lokaalselt töötav rakendus. Kävitamisel paistab selline pilt

[[Pilt:Evalimised-2009-1.gif]]

===Mobiil-ID===

Mobiil-ID tehnika võimaldab kasutada mobiiltelefoni sarnaselt ID-kaardile, mobiil-ID toimimist on kirjeldatud aadressil http://www.id.ee/10958

===ID-kaardi rakenduste arendamine===

ID-kaardi rakenduste arendajale on Sertifitseerimiskeskus tekitanud projekti OpenXades aadressil http://www.openxades.org/

* saab testida id-kaardiga allkirjastamist vastu test digidocservice teenust (selleks tuleb üles laadida oma sertifikaadid)
* saab testida mobiil-id kaardi kasutamist (selleks tuleb üles laadida oma sertifikaadid)

===Eesti ID-kaardi tarkvara arendus 2009===

Smartlink arendab RIA tellimusel 2009 aastal Eesti ID-kaardi kasutamise tarkvara https://id.eesti.ee/idtrac/, mis sisaldab muu hulgas kasutaja töökohaarvutis kasutamiseks graafilise kasutajaliidesega programme

* qesteidutil - ID-kaardi haldamise tarkvara, sertifikaatide kehtivuse kontroll, PIN koodide muutmine, sertifikaatide uuendamine jms
* qdigidocclient - andmete allkirjastamine ja allkirjade kontrollimine, st nn .ddoc ja .bdoc failidega tegelemine
* qdigidoccrypto - andmete krüptimine teise ID-kaardi kasutaja avaliku võtmega, st .cdoc failidega tegelemine

Lisaks asendab Smartlink lahendus Debian Lenny nö ametlikust tarkvarast sellised paketid

* libopensc2 - OpenSC teek
* opensc - OpenSC utiliidid, kuigi selle paketi paigaldamine ei ole lõppkasutaja seisukohast tingimata vajalik (seal sisaldub nt pkcs15-tool utiliit)

2009 aasta juuli keskel on see selle tarkvara arendusetapp lõpule jõudmas ning praktiselt saab tarkvara võimalustega tutvuda ja tasakesi kasutada.

====Tarkvara paigaldamine====

Kõnealune lahendus kasutab eraldiseisvalt eksisteerivaid OpenSC teeke (pakett libopensc2, seadistusfail /etc/opensc/opensc.conf) ning PC/SC vahendeid (pakett pcscd), Eesti ID-kaardi tarkvara paigaldamiseks tuleb lisada /etc/apt/sources.list faili rida

deb ftp://ftp.smartlink.ee/pub/id/debian/ lenny main

usaldada Smartlinki repositooriumi Release faili võtit

# wget ftp://ftp.smartlink.ee/pub/id/apt-esteid-test.gpg.asc
# apt-key add apt-esteid-test.gpg.asc
OK

NB! 20090928 seisuga selle repo kasutamisel asendatakse Debian Lenny nö enda opensc jt teeke ära Smartlinki omadega ja tulemusena ID-kaarti ei saa kasutada, vähemalt mitte ilma vajalike muudatusteta.

Tarkvara paigaldamiseks tuleb öelda

# apt-get install qesteidutil qdigidoc

paigaldatakse neli kõnealuse arendusega seotud paketti ning vajadusel sõltuvustena ka OpenSC, PC/SC jm tarkvara

* qesteidutil - Eesti ID-kaardi haldusvahend qesteidutil
* qdigidoc - programmid qdigidocclient ja qdigidoccrypto
* libdigidoc2 - nn vana teek, käsurealt kasutatav utiliit cdigidoc
* libdigidocpp0 - nn uus teek

Tarkvara kasutamiseks tuleb OpenSC ja PC/SC seada käima nii nagu on käesoleva pala alguses punktis [[:Eesti ID-kaardi kasutamine Debianiga#Kaardilugeja ühendamine operatsioonisüsteemiga]] kirjeldatud.

====Eesti ID-kaardi haldusvahend====

Eesti ID kaardi haldusvahendi qesteidutil kasutamiseks tuleb käivitada programm, nt valides menüüst või XTerm aknas öeldes

$ qesteidutil

ning avaneb aken

[[Pilt:qesteidutil-1.gif]]

Kasutajaliideses esitatud pilt kopeeritakse riigiportaali www.eesti.ee süsteemi kaudu üle X-tee KMA andmekogust.

====Digidoc klient====

Qt teeke kasutava Digidoc kliendi qdigidocclient käivitamiseks tuleb käivitada programm nt valides menüüst või XTerm aknas öeldes

$ qdigidocclient

ning avaneb aken

[[Pilt:qdigidocclient-1.gif]]

Krüptimise utiliidi saab käivitada öeldes

$ qdigidoccrypto

ning avaneb pilt

[[Pilt:qdigidoccrypto-1.gif]]

Utiliit sisalab LDAP klienti, millega saab teades teise kasutaja isikukoodi kopeerida Sertifitseerimiskeskuse LDAP kataloogist tema isikutuvastuse sertifikaadi.

====cdigidoc utiliit====

Paketi libdigidoc2 koosseisus on utiliit cdigidoc, millega saab käsurealt DigiDoc failidega töötada, näiteks fail.cdoc lahtikrüptimiseks sobib öelda

$ cdigidoc -decrypt fail.cdoc PIN_KOOD -out fail.ddoc

Faili fail.ddoc seest esimene faili nimega sisufail.txt konteinerist välja kopeerimiseks sobib öelda

$ cdigidoc -extract D0 sisufail.txt -in fail.ddoc

Ilma argumentideta käsk väljastab abi

$ cdigidoc
USAGE: cdigidoc <command(s)> [-in <input-file>] [-out <output-file>] [-config <config-file>]
COMMANDS:
[-new] [format] [version]
-check-cert <-cerificate-file-name (PEM format)>
-add <file-name> <mime-type> [<content-type>] [<charset>]
-verify
-list
-sign <pin> [<manifest>] [<city> <state> <zip> <country>]
-extract <doc-id> <file-name> [<charset>] [<file-name-charset>]
-encrypt <file-name>
-encrecv <cert-file> [<recipient>] [<keyname>] [<carried-key-name>]
-decrypt <file-name> <pin1>
-denc-list <file-name>
-encrypt-file <in-file-name> <out-file-name> [<in-file-mime-type>]
-decrypt-file <in-file-name> <out-file-name> <pin1>
-calc-sign <cert-file> [<manifest>] [<city> <state> <zip> <country>]
-add-sign-value <sign-value-file> <sign-id>
-del-sign <sign-id>
-get-confirmation <sign-id>
OPTIONS:
-cgimode [<ouput-separator] - output in CGI mode
-SAX - use SAX parser
-XRDR - use XmlReader parser

====Märkused====

20090714 seisuga tehtud tähelepanekud

* programmidel puuduvad manuaalid (ingl. k. manpage) ning praktiliselt dokumentatsioon kataloogis /usr/share/doc/paketinimi
* paketihalduse nimekirjas esineb ka pakett qdigidoccrypto, mida asendab qdigidoc, kui qdigidoc* pakettide traditsioon alles algab, äkki siis see 'Replaces' eemaldada
* sõltuvustest ei paigaldata opensc paketti, mis iseenesest ei ole ka vajalik, vajalik on just libopensc2 teekide pakett
* q* programmide kasutamisel tuleb olla kannatlik, kuigi esmalt teatab programm, et 'Ei leitud ühtegi ID-kaarti' voi 'Kaarti pole lugejas', siis tegelikult võidakse tegeleda alles kaardi otsimisega ja mõne sekundi pärast on kõik korras ja saab jätkata programmi kasutamist
* q* programmide akendest ei saa alati hiirega teksti kopeerida
* paketi libopensc2 seadistusfailis /etc/opensc/opensc.conf võiks parameetri muudatus toimuda ehk debconf dialoogi abil pakkudes kasutajale sobivat vaikeväärtust

reader_drivers = openct, pcsc, ctapi; -> reader_drivers = pcsc, ctapi;

* IP aadressipõhisel ocsp teenusele ligipääsu puhul küsitakse 'Did not find any server access certificate! Start downloading?'
* Kas programmide töö lõpetamiseks on muid võimalusi peale akna sulgemise?

===Eesti ID kaardi tarkvara v. 3.8 kasutamine 2014 suvel===

Käesolevas punktis kirjeldatakse 2014 aasta suvel olemasolevate tarkvara komponentidega Eesti ID kaardi kasutamist (autentimist ja allkirjastamist)

* Debian testing (Jessie) operatsioonisüsteem (32 või 64 bit, tõenäoliselt sarnaselt toimub paigaldamine-seadistamine-kasutamine ka muude Debiani versioonide ja Linux distributsioonidega)
* Eesti ID kaardi tarkvara v. 3.8.0 Ubuntu v. 12.04 (Precise) paketid

Tulemusena saab

* Chrome brauseriga autentida ja allkirjastada
* ID kaardi haldusvahendiga pin koode hallata
* lokaalse DigiDoc kliendiga allkirjastada ja krüptida

Juhised kehtivad

* Chrome < v. 35 (tundub, et alates v. 35 on smart card autentimise tehnika oluliselt muutunud, väidetavalt Eesti ID kaardi tarkvara v. 3.9 teeb selle korda)
* OpenSC kuni 0.12 ja kaasa arvatud (0.13 juures puudub brauseri kasutamist abistav onepin teek)

====Tarkvara paigaldamine====

Eeldusel, et arvutis on töötav kasutajakeskkond (XCFE, Gnome vms) ning Chrome brauser versioon < 35, lisada süsteemi üldotstarbelised paketid

# apt-get install opensc pcscd libccid libnss3-tools apt-transport-https

Kuna onepin-opensc-pkcs11.so teek on vajalik, aga opensc v. 0.13 tarkvaras puudub ning see on nt Debian v. 7 Wheezy paketihalduses v. 0.12 juures olemas (ja tundub, et sobib kasutada), siis aitab lisada /etc/apt/sources.list faili Debian v. 7 Wheezy repositoorium

deb http://ftp.us.debian.org/debian/ wheezy main contrib non-free

ning öelda 0.12 versiooni paigaldamiseks (downgrade'iks)

# apt-get update
# apt-get install opensc=0.12.2-3

Lisaks tuleb Wheezy pakettidest paigaldada

# apt-get -t wheezy install libxml-security-c16

Eesti ID kaardi tarkvara paigaldamise ettevalmistamiseks laadida võti

# wget -O /tmp/ria-public.key https://installer.id.ee/media/install-scripts/ria-public.key
# apt-key add /tmp/ria-public.key

lisada /etc/apt/sources.list faili rida

deb https://installer.id.ee/media/ubuntu/ precise main

ja tarvkara paigaldamiseks öelda

# apt-get update
# apt-get install estonianidcard qesteidutil esteidcerts esteidfirefoxplugin

====ID kaardilugejaga suhtlemise kontrollimine====

Peale tarkvara paigaldamist ja eeldusel, et lugeja on arvutiga ühendatud saab öelda

# opensc-tool -l
# Detected readers (pcsc)
Nr. Card Features Name
0 Yes SCM Microsystems Inc. SCR 331 [CCID Interface] (504005BE) 00 00

Kui lisaks on ID kaart on lugejas saab öelda (jms pkcs15-tool käske)

# pkcs15-tool -c
Using reader with a card: SCM Microsystems Inc. SCR 331 [CCID Interface] (504005BE) 00 00
X.509 Certificate [Isikutuvastus]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeaace
ID : 01
Encoded serial : 02 10 3BF4F7CBE36A655050DC20A42E9EFBAA

X.509 Certificate [Allkirjastamine]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeddce
ID : 02
Encoded serial : 02 10 0D1864A01391996750DC20AC1BF2FDE5

====ID kaardi haldusvahend====

Peale tarkvara paigaldamist maksab esmalt veenduda, et id kaardilugeja riistvara on ära tuntud ja kaart on üldiselt ligipääsetav. Selleks käivitada ID kaardi haldusvahend ja peab nägema oma sertifikaadiandmeid.

Interneti kasutamise olemasolul saab Lae pilt valikuga küsida rahvastikuregistris olevat pilti.

====Chrome brauseriga autentimine ja allkirjastamine====

Esmalt tuleb kord brauser käivitada, et kasutaja kodukataloogi tekiksid vajalikud nn punktifailid (~/.pki), seejärel brauseri protsessid lõpetada st brauseri sulgeda ning öelda sama kasutajana

$ modutil -dbdir sql:$HOME/.pki/nssdb -delete opensc-pkcs11
$ modutil -dbdir sql:$HOME/.pki/nssdb -add opensc-pkcs11 -libfile onepin-opensc-pkcs11.so -mechanisms FRIENDLY

kus

* esimese käsu väljundiks on tõenäoliselt veateade kuna pole midagi kustutada
* teise käsu väljundiks

...
Module "opensc-pkcs11" added to database.

Seejärel tuleb Chrome pluginate settingutest aadressilt chrome://plugins (sisestada nii aadressreale) seadistada EstEID plugin

* Enabled
* Always Allowed

Tulemusena paistab selline pilt

[[Pilt:Chrome-esteid-2.gif]]

kust on näha, et kasutatakse paketis esteidfirefoxplugin olevat teeki

$ dpkg -S /usr/lib/mozilla/plugins/npesteid-firefox-plugin.so
esteidfirefoxplugin: /usr/lib/mozilla/plugins/npesteid-firefox-plugin.so

Autentimiseks sobib minna mõnda portaali, kus on võimaluda kasutaja autentmiseks ID kaardiga, nt https://www.eesti.ee/. Samas saab ka allkirjastada valides

Minu asjad -> Minu dokumendid

Katsetada sobib ka aadressil https://www.openxades.org/web_sign_demo/sign.html.

====Firefox/Iceweasel brauseriga autentimine ja allkirjastamine====

Kontrollida, et paketi esteidfirefoxplugin paigaldamisel tekkinud EstEID plugin on Always Activate olekus

about:addons -> Plugins -> EstEID plug-in -> More

ID kaardi kasutamiseks tuleb brauseri seadistustes kirjeldada onepin teek valides

Edit -> Preferences -> Advanced -> Certificates -> Security Devices -> Load

ja avanenud dialoogis sisestada nt

* Module name - EstEID
* Module filename - /usr/lib/x86_64-linux-gnu/onepin-opensc-pkcs11.so

kus mooduli asukoht failisüsteemis sõltub arhitektuurist jms natuke, find leiab üles

$ find /usr/ -name onepin\*
/usr/lib/x86_64-linux-gnu/onepin-opensc-pkcs11.so

Tulemusena saab ID kaardiga autentida ning allkirjastada.

====Lokaalne DigiDoc klient====

Tarkvara paigaldamise käigus paigaldati ka lokaalne DigiDoc klient. Esmakordsel käivitamisel pakutakse võimalust laadida Sertifitseerimiskeskuse kehtivuskinnituse kasutamiseks vastav juurdepääsutõend, millega saab allkirjastada kuni kümme korda kuus.

====Probleemid====

* Kui allkirjastamisel küsitakse luba kahe plugina käivitamiseks (või öeldakse, et Java plugin on puudu)

[[Pilt:Chrome-esteid-1.gif]]

siis on põhjuseks, et EstEID plugin ei ole seadistatud õieti. Peab olema valitud 'Always allowed'. Oluline on teada, et Java ei ole Chrome brauseriga allkirjastamisel reeglina vajalik.

====Kasulikud lisamaterjalid====

* https://installer.id.ee/
* https://github.com/martinpaljak/ria-debian-build
* http://lauri.võsandi.com/posts/ubuntu-trusty-esteid.html
* http://pingviin.org/portal.php?topic_id=9727
* https://installer.id.ee/media/install-scripts/install-esteid-ubuntu.sh
* https://wiki.debian.org/Smartcards
* http://id.ee/?id=34228
* http://packages.ubuntu.com/lucid/libccid

===Eesti ID kaardi tarkvara v. 17.01.1686-1604 kasutamine 2017 kevadel===

Käesolevas punktis käsitletakse Eesti ID kaardi tarkvara kasutamist operatsioonisüsteem Debian v. 9 Stretch keskkonnas. Debian jaoks üldiselt pakette ei valmistata, aga osutub, et saab kasutada Ubuntu v. 16.04 Xenial pakette.

====Tööpõhimõte====

TODO

====Ettevalmistused====

Kuna Ubuntu v. 16.04 Xenial libssl1.0.0 v. 1.0.2g paketis on ka v. 1.0.0 sümbolid

<pre>
ubuntu-1604$ strings /lib/x86_64-linux-gnu/libssl.so.1.0.0 | grep ^OPENSSL_1
OPENSSL_1.0.0
OPENSSL_1.0.1
OPENSSL_1.0.1d
OPENSSL_1.0.2
OPENSSL_1.0.2g
</pre>

ja Debian v. 9 Stretch libssl1.0.2 v. 1.0.2k paketis ei ole 1.0.0 sümboleid

<pre>
debian-9$ strings /usr/lib/x86_64-linux-gnu/libssl.so.1.0.2 | grep ^OPENSSL_1
OPENSSL_1.0.2d
OPENSSL_1.0.2g
</pre>

siis on vaja leida mingi workaround. Tundub, et kaaluda maksab

* kopeerida internetist Ubuntu v. 16.04 Xenial libssl1.0.0 pakett ja kasutada sealt kahte teeki libssl.so.1.0.0 ja libcrypto.so.1.0.0 (selle lähenemise puuduseks on, et edaspidi vaevalt keegi viitsib neid teeke uuendada)
* paigaldada Debian v. 8 Jessie libssl1.0.0 pakett, http://priit.joeruut.com/archives/Eesti-ID-kaardi-tarkvara-ehk-open-eid-v.-3.12-kasutamine-Debianis.html (lähenemise puuduseks on, et Debian v. 8 Jessie tugi lõpeb tõnäoliselt varem kui Ubuntu v. 16.04 Xenial, aga väga võimalik, et veel enne tekib Debian + ID kaardi kasutamiseks mingi normaalsem lahendus)

Ubuntu libssl1.0.0 paketi saab kopeerida aadressilt http://packages.ubuntu.com/search?keywords=libssl1.0.0&searchon=names&suite=xenial&section=all

Paketi lahti pakkimiseks sobib öelda

$ cd /var/tmp/libssl1.0.0-ubuntu
$ dpkg -x /home/imre/Downloads/libssl1.0.0_1.0.2g-1ubuntu4.6_amd64.deb .

ning (kuna selliste nimedega faili enne pole)

# cp libssl.so.1.0.0 libcrypto.so.1.0.0 /usr/lib/x86_64-linux-gnu

Selleks, et süsteemis oleks paketihalduse mõttes libssl1.0.0 nimeline pakett, sobib kasutada equivs abi

* öelda

$ equivs-control libssl1.0.0

* redigeerida natuke tekkinud faili

<pre>
$ egrep -v "^$|^#" libssl1.0.0
Section: misc
Priority: optional
Standards-Version: 3.9.2
Package: libssl1.0.0
Version: 1.0.0
Maintainer: Imre <imre@auul.pri.ee>
Description: libssl1.0.0 abistaja
Testime
.
Testime 2
</pre>

* öelda

$ equivs-build libssl1.0.0

* paigaldada (kuidagi ta paigaldatakse vaatamata signatuuri puudumisele jms)

# dpkg -i libssl1.0.0_1.0.0_all.deb

====Paigaldamine====

* lisada apt võtmete hulka aadressil https://installer.id.ee/media/install-scripts/install-open-eid.sh oleva skripti algusest kaks sissekannet

# apt-key add failinimi

* lisada apt source

# cat /etc/apt/sources.list.d/ria-repository.list
deb http://installer.id.ee/media/ubuntu xenial main

* värskendada

# apt-get update

ID kaardi tarkvara paigaldamiseks sobib öelda

# apt-get install open-eid

tulemusena tekib failisüsteemi

* kümmekond paketti, enamus installer.id.ee pealt
* /etc/X11/Xsession.d/95-esteid-update-nssdb - selle faili abil X konsoolil töötamise alguses nö korraldakse sobiv seis olulistest asjadest (mh öeldakse modutil jt käske)

Paigaldamise lõpus tuleb Desktop keskkonnast logida välja ja tagasi sisse selleks, et Xsession kasutaks nssdb osa.

====ID kaardilugejaga suhtlemise kontrollimine====

Peale tarkvara paigaldamist ja eeldusel, et lugeja on arvutiga ühendatud saab öelda

<pre>
$ opensc-tool -l
# Detected readers (pcsc)
Nr. Card Features Name
0 Yes Gemalto PC Twin Reader (FB00DB62) 00 00
</pre>

Kui lisaks on ID kaart on lugejas saab öelda (jms pkcs15-tool käske)

<pre>
$ pkcs15-tool -c
Using reader with a card: Gemalto PC Twin Reader (FB00DB62) 00 00
X.509 Certificate [Isikutuvastus]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeaace
ID : 01
Encoded serial : 02 10 775DD64056F35E7954C8CB3EFEB3C8EE
X.509 Certificate [Allkirjastamine]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeddce
ID : 02
Encoded serial : 02 10 2D5E4D8F644E041454C8CB5236F7D2D6
</pre>

====ID kaardi haldusvahend====

Peale tarkvara paigaldamist maksab esmalt veenduda, et id kaardilugeja riistvara on ära tuntud ja kaart on üldiselt ligipääsetav. Selleks käivitada ID kaardi haldusvahend ja peab nägema oma sertifikaadiandmeid.

Interneti kasutamise olemasolul saab Lae pilt valikuga küsida rahvastikuregistiris olevat pilti.

====Chromium brauseriga autentimine ja allkirjastamine====

Veenduda, et Chromiumil on olemas vastav plugin (see on kopeeritav ka üldisest Google Chrome extensions repositooriumist)

[[Pilt:Chrome-esteid-3.gif]]

Tulemusena peab töötama autentimine ja allkirjastamine.

====Firefox brauseriga autentimine ja allkirjastamine====

TODO

* Tundub, et autentimine töötab nö iseenesest.

====Kasulikud lisamaterjalid====

* https://github.com/web-eid/
* https://github.com/open-eid
* https://github.com/open-eid/chrome-token-signing/wiki
* https://lauri.xn--vsandi-pxa.com/2014/04/ubuntu-trusty-esteid.html
* http://installer.id.ee/
* http://priit.joeruut.com/archives/Eesti-ID-kaardi-tarkvara-ehk-open-eid-v.-3.12-kasutamine-Debianis.html
* https://installer.id.ee/media/install-scripts/install-open-eid.sh
* https://www.auul.pri.ee/wiki/Operatsioonis%C3%BCsteem_Debian_GNU/Linux_paketihalduse_kasutamine#Equivs_kasutamine

===Eesti ID kaardi kasutamine - Ubuntu 16.04===

Alustada aadressilt https://installer.id.ee/

# apt-key add ria-key1.pem
# apt-key add ria-key2.pem

# cat /etc/apt/sources.list.d/ria-repository.list
deb http://installer.id.ee/media/ubuntu xenial main

# apt-get update
# apt-get install open-eid

Kui lähtepunktiks on nö tavaline töökohaarvuti, siis lisanduvad paketid

chrome-token-signing esteidfirefoxplugin esteidpkcs11loader libccid libdigidoc-common libdigidoc-tools libdigidoc2 libdigidocpp-common libdigidocpp-tools
libdigidocpp1 libminizip1 libnss3-tools libxerces-c3.1 libxml-security-c17v5 libzip4 open-eid opensc opensc-pkcs11 pcscd qdigidoc qdigidoc-tera qesteidutil

Kasulikud lisamaterjalid

* https://installer.id.ee/?lang=est
* https://installer.id.ee/media/install-scripts/install-open-eid.sh
* https://installer.id.ee/media/ubuntu/

===Eesti ID kaardi kasutamine - Ubuntu 18.04===

Alustada aadressilt https://installer.id.ee/, st sarnaselt eelmisele punktile, aga paistab, et 2019 aasta alguses paketihaldus lõpetab veaga, Seejärel sobib kasutada skripti /var/lib/dpkg/info/awp.postinst alguses exit

# cat /var/lib/dpkg/info/awp.postinst
#!/bin/bash

exit;
...

ning loksutada paketihaldust 'apt-get install -f' vms käskudega. Seejjärel qdigidoc4 utiliit töötab.

Selleks, et EID tarkvara töötaks Chrome brauseriga sobib kasutajana logida sisse desktop keskkonda (nt XFCE4) ja öelda

$ modutil -dbdir sql:$HOME/.pki/nssdb -delete opensc-pkcs11
$ modutil -dbdir sql:$HOME/.pki/nssdb -add opensc-pkcs11 -libfile onepin-opensc-pkcs11.so -mechanisms FRIENDLY

Seejärel Chrome brauseris peaks saama kasutada id kaarti autentimiseks ja allkirjastamiseks. Need kaks käsku võiks idee poolest automaatselt öeldada skripti /usr/bin/esteid-update-nssdb poolt, aga paistab, et millegipärast minul see nii ei ole (äkki XFCE4 desktop tarkvara ei tee koostööd)

<pre>
$ cat /etc/xdg/autostart/chrome-pkcs11.desktop
[Desktop Entry]
Type=Application
Name=Configure Chrome PKCS11
Exec=/usr/bin/esteid-update-nssdb
NoDisplay=true
X-GNOME-AutoRestart=true
X-GNOME-Autostart-Phase=Initialization
</pre>

Kui kasutada on uus eid kaart, siis tõenäoliselt on vajalik öelda awp.postinst skriptis sisalduvad sarnased käsud samuti.

Kasulikud lisamaterjalid

* https://github.com/open-eid/linux-installer/issues/36

===Test ID-kaart===

Lisaks nö päris ID-kaartidele väljastab Sertifitseerimiskeskus teatud juhtumiteks ka test ID-kaarte, nt on seal kasutatav sertifikaat selline

-----BEGIN CERTIFICATE-----
MIIEazCCA1OgAwIBAgIESieIkDANBgkqhkiG9w0BAQUFADBfMQswCQYDVQQGEwJF
RTEiMCAGA1UEChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEaMBgGA1UECxMR
VGVzdHNlcnRpZmlrYWFkaWQxEDAOBgNVBAMTB1RFU1QtU0swHhcNMDkwNjA0MDg0
MDQ4WhcNMTIwNDA3MTE0MjE3WjCBvTELMAkGA1UEBhMCRUUxFDASBgNVBAoTC1RF
U1QtRVNURUlEMRcwFQYDVQQLEw5hdXRoZW50aWNhdGlvbjE9MDsGA1UEAx40AX0A
QQBJAEsATwBWAFMASwBJACwASQBHAE8AUgAsADMANwAxADAAMQAwADEAMAAwADIA
MTEbMBkGA1UEBB4SAX0AQQBJAEsATwBWAFMASwBJMQ0wCwYDVQQqEwRJR09SMRQw
EgYDVQQFEwszNzEwMTAxMDAyMTCBnzANBgkqhkiG9w0BAQEFAAOBjQAwgYkCgYEA
tuYk/lFpCAKtKQPy1Bb1K9zNsMjJbRMJmHTnmlLBqtUs8OUWBHJJmKqlGzHwZ/UL
JM8+CaFoXK1JWtvqhQ/rR6XUsch1KzwGgGyYFqT8BVJJEFNb6c+chR2gmNdVV/Ks
X3jWNKxB0p7E/9p8MCyt9sNhViYDrDDraedq92JbtEkCAwsjwaOCAVIwggFOMA4G
A1UdDwEB/wQEAwIEsDAdBgNVHSUEFjAUBggrBgEFBQcDAgYIKwYBBQUHAwQwMwYD
VR0fBCwwKjAooCagJIYiaHR0cDovL3d3dy5zay5lZS9jcmxzL3Rlc3QvY3JsLmNy
bDAkBgNVHREEHTAbgRlpZ29yLnphaWtvdnNraS4yQGVlc3RpLmVlMF0GA1UdIARW
MFQwUgYLKwYBBAHOHwMBAQEwQzAeBggrBgEFBQcCAjASGhBUZXN0c2VydGlmaWth
YXQuMCEGCCsGAQUFBwIBFhVodHRwOi8vd3d3LnNrLmVlL2Nwcy8wGAYIKwYBBQUH
AQMEDDAKMAgGBgQAjkYBATAfBgNVHSMEGDAWgBQCBSfdqHKHt4LAWzkqf+M48vpS
CTAdBgNVHQ4EFgQUX/PLzRnTyncYkG2a8JHv6GDmw5UwCQYDVR0TBAIwADANBgkq
hkiG9w0BAQUFAAOCAQEAXWI1VL7Lhyi5JtwTUhlT9CimN/ImM45x6J6jwD9uyY5G
rgdRGEK1Hgi+gj6Lylk6khADRQJi/KshNVPP7GTCpTj7qR05QQ8WI0lmNfDNUT2a
HYhPyOK4J6IJ6RdAqizhSnHOOZxSWS6kN9ncVlRSJ5DF+IJgAjpcv30+2hz3tB20
3cB+Ptoud2oxSjIHdBDwGuo/L065JtCtuJYwojdyzUDUZaNkwF+f44WL0IvFzHEu
fSwpyHjZDuuZfiwL1N8COAPi0yODEm9PL1ntMpSwwqnG+PPUVlXIMzYytc0MqHD0
5H 2AjWXfHNDc0oWr7CBV9HRLmpidJQtQCwoUt6Y2NA==
-----END CERTIFICATE-----

Tekstikujul vaadatest on Issuer ja Subject väärtused

# openssl x509 -in /tmp/zaikovski.pem -noout -text
Certificate:
Data:
Version: 3 (0x2)
Serial Number: 1244104848 (0x4a278890)
Signature Algorithm: sha1WithRSAEncryption
Issuer: C=EE, O=AS Sertifitseerimiskeskus, OU=Testsertifikaadid, CN=TEST-SK
Validity
Not Before: Jun 4 08:40:48 2009 GMT
Not After : Apr 7 11:42:17 2012 GMT
Subject: C=EE, O=TEST-ESTEID, OU=authentication, \
CN=\x01}\x00A\x00I\x00K\x00O\x00V\x00S\x00K\x00I\x00,\x00I\x00G\x00O\x00R\x00,\x003\
\x007\x001\x000\x001\x000\x001\x000\x000\x002\x001, SN=\x01}\x00A\x00I\x00K\x00O\x00V\x00S\
\x00K\x00I, GN=IGOR/serialNumber=37101010021
...

Tundub, et kõigil test kaartidel on algselt samad pinid ja puk, mida saab muuta id kaardi utiliidiga, http://www.id.ee/index.php?id=30379

* PIN1 kood - 0090
* PIN2 kood - 01497
* PUK kood - 17258403

===Kaardilugeja firmware uuendamine===

Kui kaardilugeja nö peaks töötama, aga ei tööta, siis mõnel juhul on otstarbekas kaaluda kaardilugeja firmware uuendamist. Nt SCR311 kaardilugeja puhul sobib selleks kasutada Windows 7 keskkonda, et uuendada 4. -> 5. versoonide vahel.

Kasulikud lisamaterjalid

* http://www.jasemccarty.com/blog/?p=1134
* https://militarycac.com/cacdrivers.htm

===Märkused===

* Kui brauser või postiklient lakkavad töötamast ID-kaardiga, siis maksab need programmid sulgeda ja samuti peatada pcscd deemon ning seejärel esmalt deemon ning siis rakendusprogrammi uuesti käivitada.
* Kuivõrd ID-kaardi sertifikaadid kehtivad suhteliselt lühikest aega ning sertifikaatide uuendamisel praktiliselt kirjutatakse vanad sertifikaadid üle uutega, siis sobib ID-kaardi vahendeid andmete krüptimiseks kasutada nö turvalise transpordi sooritamiseks ja mitte andmete pikaajaliseks turvaliseks säilitamiseks. Lisaks on veel muid ohte, näiteks et ID-kaart rikneb füüsiliselt.

===Sertifikaatide uuendamine===

Sertifikaatide saab uuendada id kaarti utiliidiga, peale uuendamist näidatakse sellist pilti, tegevuse käigus küsitakse vana sertifikaadi PIN1

[[Pilt:Qesteidutil-2.gif]]

===TODO===

* ipsec lahenduse juures kasutamine

===Kasulikud lisamaterjalid===

* Eesti ID-kaardi tarkvara - http://ideelabor.ee/
* Sertifitseerimiskeskus - http://www.sk.ee/
* http://kuutorvaja.eenet.ee/wiki/Apache'i_veebiserver#ID_kaardiga_kasutaja_autentimine
* http://kuutorvaja.eenet.ee/wiki/OpenLDAP_kasutamine_Debianiga#Icedove.27i_aadressraamatu_pidamine
* https://digidoccheck.sk.ee/
* https://id.eesti.ee/trac/
* http://pcsclite.alioth.debian.org/supported.html
* http://code.google.com/p/esteid/

Eesti ID-kaardi kasutamine Debianiga

2019-03-01T07:35:49Z

Imre: /* Eesti ID kaardi kasutamine - Ubuntu 18.04 */

===Sissejuhatus===

Eesti ID-kaart on nn protsessorkaart, mis võimaldab autentimist ja allkirjastamist. ID-kaardi kasutamiseks on vajalikud

* kehtiv Eesti ID-kaart
* kasutada oleva arvuti ja operatsioonisüsteemiga sobiv kaardilugeja
* internetiühendus
* ID-kaardi võimaluste kasutamiseks sobiv kliendipoolne tarkvara
* ID-kaardi võimaluste kasutamiseks sobiv teenus internetis

Eesti ID-kaardi töö põhineb avaliku võtme (ingl. k. public key) krüptograafia kasutamisel. Avaliku võtme infrastruktuuris (ingl. k. PKI - public key infrastructure) esitatakse kasutaja avalik võti koos kasutaja kohta käivate muude andmetega, nt kasutaja nimi ja eposti aadress selle konkreetse infrastruktuuri mõne ülemise sajalase võtmega signeeritud kujul ja seda tulemust nimetatakse kasutaja sertifikaadiks. Lisaks on sertifikaadis kirjas andmed selle sertifikaadi väljastaja kohta ja sertifikaadi kehtivuse aeg.

Eesti ID-kaartidega seotud avaliku võtme infrastruktuuri haldab sh väljastab ID-kaarte Sertifitseerimiskeskus http://www.sk.ee/ kusjuures ID-kaardil on kaks paari võtmeid, öeldakse ka, et kaks sertifikaati

* isikutuvastuse ehk autentimise sertifikaat
* allkirjastamise sertifikaat

Kahe erineva sertifikaadi kasutuselevõtmise põhjuseks on asjaolu, et sertifikaatidel on nö oluliselt erinev kaal

* isikutuvastuse sertfikaadiga kasutaja autendib ennast teenusele (st praktiliselt logib ennast sisse portaali internetis, siseneb kooduksega kaitstud ruumi füüsilises maailmas)
* allkirjastamise sertifikaati kasutatakse reeglina ainult digitaalallkirja andmiseks ja Eesti Vabariigis on digitaalallkirjastatud dokument võrdsustatud omakäeliselt allkirjatatud dokumendiga; reeglina pangaülekannete sooritamisel toimub sisemiselt samuti digitaalallkirjastamise protseduur

Oletame, et kui oleks kasutuses ainult üks sertifikaat ja nt kasutaja siseneb koodukse kaudu ruumi, siis võiks konstrueerida skeemi, kus ta pahaaimamatult allkirjastab mõne dokumendi, mida ta muul juhul ei oleks nõus allkirjastama. Kahe sertifikaadi kasutamisel on võimalik erinevaid rolle lahus hoida.

Kuigi eelmises lõigus kasutati väljendeid 'isikutuvastuse sertifikaadiga kasutaja identifitseerib' ja 'allkirjastamise sertifikaati kasutatakse reeglina digitaalallkirja andmiseks' tuleb seda seda mõista nii, et sisuliselt neid protseduure sooritades kasutaja kasutab vastava sertifikaadi salajast võtit. ID-kaardil asuvate salajaste võtmete kasutamine on turvakaalutlustel piiratud täiendava parooliga, nn PIN koodiga, kummalgi salajasel võtmel on oma PIN kood ja võtme kasutamise eel küsib ID-kaardi tarkvara kasutajalt seda koodi.

ID-kaardiga autentimine on dual-factor ehk two-factor autentimine http://en.wikipedia.org/wiki/Two-factor_authentication kuna see sisaldab kahte kontrolli

* midagi mida saab omada - ID-kaardi kui füüsilise eseme olemasolu kontroll
* midagi mida saab teada - salajase võtme teadmise kontroll

Võrreldes parooliga on ID-kaardi kasutamise üheks erinevuseks, et seda saab kasutada korraga ainult üks kasutaja nö ühest kasutuspunktist.

===Eesti ID-kaardi sertifikaatide LDAP kataloogiteenus===

Kuna avaliku võtme infrastruktuuri üheks koostisosaks on, et kõigi kasutajate avalikud võtmed st sertifikaadid on kõigile avalikult kättesaadavad, siis SK on teinud kasutajate sertifikaadid internetis kättesaadavaks LDAP kataloogiteenuse abil aadressil ldap.sk.ee. Kasutaja sertifikaate (mis sisaldavad avalikke võtmeid) saab teades tema isikukoodi kopeerida öeldes nt

$ ldapsearch -LLL -H ldap://ldap.sk.ee -x -b "c=EE" "(serialNumber=37003212713)"
dn: cn=OOLBERG\2CIMRE\2C37003212713,ou=Authentication,o=ESTEID,c=EE
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
cn: OOLBERG,IMRE,37003212713
serialNumber: 37003212713
userCertificate;binary:: MIIEGjCCAwKgAwIBAgIESIQxaDANBgkqhkiG9w0BAQUFADBbMQswC
QYDVQQGEwJFRTEiMCAGA1UEChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMGRV
...
z5vZN4059dNaqZqVg5rlVrLS5/T+sK8PHxYcO+SKDZYobddJIv6i2XlpVAQLgkChEiXI2Bd3AMfpw
fVbAjDsHXasblBtut7k1MItT3YLaNZ/xq9BY/B7afXqg==

dn: cn=OOLBERG\2CIMRE\2C37003212713,ou=Digital Signature,o=ESTEID,c=EE
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
cn: OOLBERG,IMRE,37003212713
serialNumber: 37003212713
userCertificate;binary:: MIID2jCCAsKgAwIBAgIESIQxaTANBgkqhkiG9w0BAQUFADBbMQswC
QYDVQQGEwJFRTEiMCAGA1UEChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMGRV
..

Konkreetse sertifikaadi dn elemendi kopeerimiseks sobib öelda nt

$ ldapsearch -LLL -H ldap://ldap.sk.ee -x -b ou=authentication,o=ESTEID,c=EE "(serialNumber=37003212713)" dn
dn: cn=OOLBERG\2CIMRE\2C37003212713,ou=Authentication,o=ESTEID,c=EE

===Kaardilugeja ühendamine operatsioonisüsteemiga===

Märkus: 2010 kevade seisuga peaks töötama täitsa hästi Linuxi ja Windowsiga nt kaks sellist mudelit, mida on ka kauplustes suhteliselt hästi saada

* Omnikey Cardman 1021 - USB (lauaarvutile, sülearvutile)
* Omnikey Cardman 4321 - ExpressCard http://en.wikipedia.org/wiki/ExpressCard (sülearvutile)

Ehk kõige parem kui kaardilugeja ühendub arvutiga USB abil, nt sobib mudel SRC-331. Debian Etch ja Lenny sisaldavad paketihalduses ID-kaardi kasutamiseks sobivat tarkvara, mille koduleht asub aadressil http://ideelabor.ee/ ja mille kasutamist käesolev tekst kirjeldab.

USB kaudu ühendatud ID-kaardilugeja kasutamise eelduseks on, et operatsioonisüsteem toetab USB seadmete kasutamist, sellest annab tunnistust peale kaardilugeja ühendamist lsusb sarnane väljund, kus on muu seas näha SCR331 seadmele vastav rida

# lsusb
Bus 004 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub
Bus 003 Device 002: ID 0483:2016 SGS Thomson Microelectronics Fingerprint Reader
Bus 003 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub
Bus 002 Device 006: ID 04e6:e001 SCM Microsystems, Inc. SCR331 SmartCard Reader
Bus 002 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub
Bus 001 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub

ID-kaardiga suhtlemiseks vajaliku tarkvara paigaldamiseks tuleb öelda

# apt-get install opensc pcscd libccid

Seejärel tuleb redigeerida kahte faili

* Näitena jagatavas /etc/opensc/opensc.conf failis tuleb teha kolm muudatust

# zcat /usr/share/doc/libopensc2/examples/opensc.conf.gz > /etc/opensc/opensc.conf

Leidke failist üles need parameetrid ning muutke nende väärtused sellisteks

try_emulation_first = yes;
lock_login = false;
reader_drivers = pcsc, ctapi;

* Failis /usr/lib/pcsc/drivers/ifd-ccid.bundle/Contents/Info.plist peavad sisalduma sellised read (tundub, et see on teatud SRC331 mudelite või eksemplaride spetsiifiline asi), leidke ja muutke olemasolevaid

<key>ifdDriverOptions</key>
<string>0x0004</string>

Seejärel seisake ja käivitage pcscd deemon

# /etc/init.d/pcscd restart

Kontrollimaks, et tarkvara sai korrektselt paigaldatud küsime süsteemi ühendatud kaardilugejate nimekirja

# opensc-tool -l
Readers known about:
Nr. Driver Name
0 pcsc SCM SCR 331 00 00

Ning küsime ID-kaardile kantud sertifikaatide nimekirja

# pkcs15-tool -c
X.509 Certificate [Isikutuvastus]
Flags : 0
Authority: no
Path : 3f00eeeeaace
ID : 01

X.509 Certificate [Allkirjastamine]
Flags : 0
Authority: no
Path : 3f00eeeeddce
ID : 02

===pkcs11-tool utiliidi kasutamine===

PKCS#11 is a software API for accessing cryptographic hardware like smart cards or HSM. pkcs11-tool realiseerib PKCS11 (Public Key Cryptography Standards) standardit ja võimaldab suhelda krüptoseadmega üle Cryptoki (Cryptographic Token Interface) API. Slottide nimekirja esitamiseks sobib öelda

<pre>
# pkcs11-tool -L
Available slots:
Slot 0 (0x0): Alcor Micro AU9540 00 00
(empty)
Slot 1 (0x4): Gemalto PC Twin Reader (A76A2DE4) 01 00
token label : PIN1 (OOLBERG,IMRE,37003212713)
token manufacturer : AS Sertifitseerimiskeskus
token model : PKCS#15 emulated
token flags : login required, rng, token initialized, PIN initialized
hardware version : 0.0
firmware version : 0.0
serial num : AA9909781
pin min/max : 4/12
Slot 2 (0x5): Gemalto PC Twin Reader (A76A2DE4) 01 00
token label : PIN2 (OOLBERG,IMRE,37003212713)
token manufacturer : AS Sertifitseerimiskeskus
token model : PKCS#15 emulated
token flags : login required, rng, token initialized, PIN initialized
hardware version : 0.0
firmware version : 0.0
serial num : AA9909781
pin min/max : 5/12
</pre>

Slot sisu esitamiseks, nb! slot numbri väärtus tuleb võtta sulgudest, küsitakse pin1 väärtust

<pre>
# pkcs11-tool --slot 4 -O -l
Logging in to "PIN1 (OOLBERG,IMRE,37003212713)".
Please enter User PIN:

Private Key Object; EC
label: Isikutuvastus
ID: 01
Usage: sign, derive
Certificate Object; type = X.509 cert
label: Isikutuvastus
ID: 01
Public Key Object; EC EC_POINT 384 bits
EC_POINT: 0461046231c67...
EC_PARAMS: 06052b81040023
label: Isikutuvastus
ID: 01
Usage: encrypt, verify
</pre>

kus

* ühes slotis on paistab olevat kolm objekti, private key, sertifikaat ja public key

Kasulikud lisamaterjalid

* https://en.wikipedia.org/wiki/PKCS
* https://github.com/OpenSC/OpenSC/wiki/Frequently-Asked-Questions

===pkcs15-tool utiliidi kasutamine===

PKCS#15 is a format of on-card structures that defines a “filesystem layout” for smart cards. pkcs15-tool abil saab kopeerida ID-kaardilt sertifikaate, sedasi

# pkcs15-tool -r 01
-----BEGIN CERTIFICATE-----
MIIEGjCCAwKgAwIBAgIESIQxaDANBgkqhkiG9w0BAQUFADBbMQswCQYDVQQGEwJF
RTEiMCAGA1UEChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMG
RVNURUlEMRcwFQYDVQQDEw5FU1RFSUQtU0sgMjAwNzAeFw0wODA3MjEwNjQ5MTJa
Fw0xMjA5MTEyMTAwMDBaMIGRMQswCQYDVQQGEwJFRTEPMA0GA1UEChMGRVNURUlE
MRcwFQYDVQQLEw5hdXRoZW50aWNhdGlvbjEhMB8GA1UEAxMYT09MQkVSRyxJTVJF
LDM3MDAzMjEyNzEzMRAwDgYDVQQEEwdPT0xCRVJHMQ0wCwYDVQQqEwRJTVJFMRQw
EgYDVQQFEwszNzAwMzIxMjcxMzCBnzANBgkqhkiG9w0BAQEFAAOBjQAwgYkCgYEA
3FR0AP2oX5NCs8+u/hNpnYWyB2eNrnWyG3JXsiqCo14uAaOVmMb82g73SRLPEnAG
yxU/GtRuKT7iOg4f+HTy9bGBaJp6/N9uH8MNtkOzoDppMn909Rm+OqIaHMQkskFC
Kd8X3deAtEwI/YektKKnPbFEZFfLxLKbxvB4WNhFbYECA1W7daOCATEwggEtMA4G
A1UdDwEB/wQEAwIEsDAdBgNVHSUEFjAUBggrBgEFBQcDAgYIKwYBBQUHAwQwPAYD
VR0fBDUwMzAxoC+gLYYraHR0cDovL3d3dy5zay5lZS9jcmxzL2VzdGVpZC9lc3Rl
aWQyMDA3LmNybDAgBgNVHREEGTAXgRVpbXJlLm9vbGJlcmdAZWVzdGkuZWUwUQYD
VR0gBEowSDBGBgsrBgEEAc4fAQEBATA3MBIGCCsGAQUFBwICMAYaBG5vbmUwIQYI
KwYBBQUHAgEWFWh0dHA6Ly93d3cuc2suZWUvY3BzLzAfBgNVHSMEGDAWgBRIBt6+
jIdXlYB4Y/qcIysroDoYdTAdBgNVHQ4EFgQUvIL+20MDRof3J9Avt6Z3d1obuAUw
CQYDVR0TBAIwADANBgkqhkiG9w0BAQUFAAOCAQEAajU/cJ7zVocAkJDgIrV8gXn3
hZ9CM5k1/W3GVEEXqkdTHU/clW5D14PmC+f2a7rN2FxJ3bQuxU/xB6W4xKDZ9fys
Y31lGxpPHIsHwqaPl93l1u3iaMo9835yMVfiZOi0Iq2y0ZlnPwVAOjWNUzMwikdj
1ElhnHacFc4NrevOqgaOZIN2A1DIDgxMXLiR8PAHlPSnK8cXnClRXgcIT3p4OPYy
rH6z7z5vZN4059dNaqZqVg5rlVrLS5/T+sK8PHxYcO+SKDZYobddJIv6i2XlpVAQ
LgkChEiXI2Bd3AMfpwfVbAjDsHXasblBtut7k1MItT3YLaNZ/xq9BY/B7afXqg==
-----END CERTIFICATE-----

Selle sertifikaadi sisu arusaadavamale kujule viimiseks tuleb öelda

# pkcs15-tool -r 01 > imreoolberg-autentimise-sertifikaat.pub
# openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -text
Certificate:
Data:
Version: 3 (0x2)
Serial Number: 1216622952 (0x48843168)
Signature Algorithm: sha1WithRSAEncryption
Issuer: C=EE, O=AS Sertifitseerimiskeskus, OU=ESTEID, CN=ESTEID-SK 2007
Validity
Not Before: Jul 21 06:49:12 2008 GMT
Not After : Sep 11 21:00:00 2012 GMT
Subject: C=EE, O=ESTEID, OU=authentication, CN=OOLBERG,IMRE,37003212713, SN=OOLBERG, GN=IMRE/serialNumber=37003212713
Subject Public Key Info:
Public Key Algorithm: rsaEncryption
RSA Public Key: (1024 bit)
Modulus (1024 bit):
..

Sertifikaadist saab küsida ka üksikuid elemente, nt Subject'i, mis näitab kellele on sertifikaat väljastatud

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -subject
subject= /C=EE/O=ESTEID/OU=authentication/CN=OOLBERG,IMRE,37003212713/SN=OOLBERG/GN=IMRE/serialNumber=37003212713

või Issuer'i, mis näitab, kes sertifikaadi väljastas

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -issuer
issuer= /C=EE/O=AS Sertifitseerimiskeskus/OU=ESTEID/CN=ESTEID-SK 2007

või ajavahemiku, mil sertifikaat kehtib

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -dates
notBefore=Jul 21 06:49:12 2008 GMT
notAfter=Sep 11 21:00:00 2012 GMT

Lisaks sertifikaatidele ja võtmetele sisaldab veel andmeid id kaardi nö elektroolilises osas, nt dokumendi number. Seda ja muid andmeid saab küsides nn dump'i

# pkcs15-tool -D -r 01
Using reader with a card: SCM SCR 331 [CCID Interface] (504005BE) 00 00
..
PKCS#15 Card [IMRE OOLBERG]:
Version : 2
Serial number : A0055799
Manufacturer ID: AS Sertifitseerimiskeskus
Flags : Read-only, PRN generation, EID compliant
...

Kui arvutis on kasutusel mitu ID kaarti, siis saab kontrollida millisega tegeledakse parameetri abil

--reader N

===Iceweasel brauseri kasutamine===

Iceweasel brauseri abil on iseenesest võimalik kahe tegevuse sooritamine

* autentimine - kasutaja kinnitab teenusele, nt veebiportaalile, et tema kasutuses on tema autentimise sertifikaadis sisalduvale avalikule võtmele vastav salajane võti
* digitaalne allkirjastamine - kastutaja kinnitab teenusele, nt pangaülekande sooritamisel, et tema kasutuses on tema allkirjastamise sertifikaadis sisalduvale avalikule võtmele vastav salajane võti

Kuivõrd teenuse jaoks on praktiliselt oluline, et kasutaja kinnitaks sertifikaadile vastava salajase võtme olemasolu PIN koodi sisestamise teel, siis siit järeldub, et tuleb hoolega hoida ID-kaarti ning ID-kaardi PIN koode enda teada.

Brauseri tööleseadmine autentimiseks on lihtsam ning allkirjastamiseks keerulisem. Tundub, et praktiliselt on 2009 klienditarkvara ja nende teenuste tarkvara, mida saab Iceweaseliga kasutada seis selline, et Iceweasel brauser iseseisvalt ei tegele andmete allkirjastamisega; allkirjastamine toimub nt Java appleti abil, kusjuures applet küsib kasutajalt allkirjastamiseks vajalikku PIN2 koodi. Seda arvestades on soovitav kasutada turvaseadme kirjeldamisel spetsiaalselt ettevalmistatud teeki onepin-opensc-pkcs11.so, mis efektiivselt varjab brauseri eest ära teise sertifikaadi, kui seda mitte teha, siis praktililiselt hakkab brauser kasutajalt küsima ise vaheldumisi mõlema sertifikaadi PIN koodi ja see oleks üsna eksitav.

Brauseri ID-kaardiga kasutamise ettevalmistamiseks tuleb avada

Edit -> Preferences -> Advanced -> Encryption -> Security Devices -> Load

ning kirjeldada Eesti ID-kaardile vastav turvaseade (ingl. k. security device)

Module Name: esteid
Module filename: /usr/lib/onepin-opensc-pkcs11.so

Sõltuvalt sellest, kas soovitakse, et peale PIN1 sisestamist küsiks brauser kasutajalt igal ID-kaardiga autentimise korral kinnitust või mitte tuleb valida

* Select one automatically
* Ask me every time

[[Pilt:Id-auth-cc.gif]]

====Iceweasel brauseri kasutamine autentimiseks====

Auntentimiseks piisab turvaseadme ettevalmistamisest ning seejärel saab näiteks logida sisse riigiportaali, küsitakse PIN1 koodi

[[Pilt:Id-auth-java-pin1.gif]]

====Iceweasel brauseri kasutamine allkirjastamiseks====

Nt SEB pangas makset sooritades toimub digitaal-allkirjastamise protseduur; ja https://digidoc.sk.ee/ või riigiportaali eesti.ee kasutamisel saab moodustada uut digitaalselt allkirjastatud dokumenti või kontrollida olemasoleval digitaalselt allkirjastatud dokumendil allkirja kehtivust. Osa kasutajaid suhtub veebiliidese kaudu dokumentide allkirjastamisse äärmiselt kahtlustavalt, kuna kui juba lokaalse rakendusega digitaalallkirja andmisel ei saa olla täiesti kindel, millele ikkagi allkiri antakse, siis veebirakenduse puhul on see veel eriti nii.

Iceweasel brauseriga allkirjastamiseks peab olema paigaldatud Mozilla Sun Java plugini tarkvara pakett (millega koos paigaldatakse vajadusel ka JVM, kusjuures on oluline kasutada justnimelt Sun Java mitte IBM või GCJ implementatsioone)

# apt-get install sun-java5-plugin

Ning lisaks kopeerida teek

# mkdir /tmp/teek && cd /tmp/teek
# wget http://ideelabor.ee/downloads/pkcs11wrapper-linux.tar.gz
# tar zxf pkcs11wrapper-linux.tar.gz
# find . -type f -ls
442489 104 -rwxr-xr-x 1 501 501 99004 Apr 23 2004 ./libpkcs11wrapper.so

Seejärel tuleb otsida üles arvutist JVM kataloog

# find /usr -type f -name java -ls
173534 68 -rwxr-xr-x 1 root root 65116 May 28 2008 /usr/lib/jvm/java-1.5.0-sun-1.5.0.16/jre/bin/java

mis tähendab, et

JAVA_HOME=/usr/lib/jvm/java-1.5.0-sun-1.5.0.16

Lõpuks tuleb kopeerida lahtipakitud teek kataloogi ${JAVA_HOME}/jre/lib/i386

# cp libpkcs11wrapper.so /usr/lib/jvm/java-1.5.0-sun-1.5.0.16/jre/lib/i386

Lisaks peavad olema lingid, esimene on vajalik digidoc portaali kasutamiseks ja teine SEB pangas

# ln -s /usr/lib/opensc-pkcs11.so /usr/lib/libopensc-pkcs11.so
# ln -s /usr/lib/opensc-pkcs11.so /usr/lib/libesteid-pkcs11.so

NB! Java tarkvara uuendamisel mõnel juhul muutub ka versiooni number nii, et muutub java asukoht failisüsteemis, nt

/usr/lib/jvm/java-1.5.0-sun-1.5.0.16 -> /usr/lib/jvm/java-1.5.0-sun-1.5.0.17

Sel juhul tuleb libpkcs11wrapper.so kopeerida samasse alamkataloogi kuhu ennegi uue java kataloogi sisse.

Kui süsteemi on paigaldatud lisaks mõni uuem java versioon, nt paketist sun-java6-*, siis tuleb kõnealune wrapper kopeerida kõige uuema Java vastavasse kataloogi, nt

# cp libpkcs11wrapper.so /usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/i386/

=====Allkirjastamine SEB pangas=====

Peale panga keskkonda sisselogimist (kas otseselt või läbi mõne muu teenusepakkuja, nt www.if.ee, www.energia.ee jt) ning maksekorralduse ettevalmistamist esitatakse allkirja andmise juurde esmakordsel minemisel küsimus rakenduse usaldusväärsuse kohta

[[Pilt:Id-allkiri-java-pin4.gif]]

ja seejärel tuleb ära oodata pisut eksitav tühi aken, kus tuleb valida Cancel

[[Pilt:Id-allkiri-java-pin3.gif]]

ning seejärel valides Allkirjasta öeldakse, et loetakse andmeid kiipkaardilt ning küsitakse PIN2 koodi

[[Pilt:Id-allkiri-java-pin2.gif]]

Allkirjastamise ajal töötab java rakendus sun.plugin2.main.client.PluginMain

$ ps aux | grep java
mart 6859 10.1 4.7 242668 48832 ? Sl 10:55 0:04 /usr/lib/jvm/java-6-sun-1.6.0.12/jre/bin/java -D__jvm_launched=5951554477 \
-Xbootclasspath/a:/usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/deploy.jar:/usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/javaws.jar:\
/usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/plugin.jar -Djava.class.path=/usr/lib/jvm/java-6-sun-1.6.0.12/jre/classes \
sun.plugin2.main.client.PluginMain write_pipe_name=/tmp/.com.sun.deploy.net.socket.5659.2862701817965363267.AF_UNIX

=====Allkirjastamine Sertifitseerimiskeskuse digidoc.sk.ee portaalis=====

https://digidoc.sk.ee/ portaal võimaldab veebipõhises keskkonnas sooritada digitaalallkirjastamisega seotud protseduure, nt anda allkirja, kontrollida allkirja ja jagada sama dokumenti teiste portaali kasutajatega selleks, et ühte dokumenti saaks allkirjastada mitu osapoolt. Portaali sisenemisel avaneb kasutuskeskkonnale sarnane vaade, süsteemi on laaditud kaks dokumenti, ühel on üks allkiri ja teisel ei ole ühtegi allkirja

[[Pilt:Digidoc-1.gif]]

Keskkonna kasutamine võiks toimuda suhteliselt intuatiivselt, dokumenti allkirjastamisel tuleb täita sarnased lahtrid nagu nn lokaalset digidoc klienti kasutades

[[Pilt:Digidoc-2.gif]]

Allkirjastamisel küsitakse kasutajalt PIN2 koodi

[[Pilt:Digidoc-3.gif]]

https://digidoc.sk.ee/ keskkonnas ei saa tegeleda krüptitud dokumentidega ehk nn .cdoc failidega.

=====Allkirjastamine riigiportaalis www.eesti.ee=====

Aadressil https://www.eesti.ee/ asuvas riigiportaalis sektsioonis

Kodanikule -> Digitaalallkiri

saab veebipõhises keskkonnas sooritada digitaalallkirjastamisega seotud protseduure, nt anda allkirja, kontrollida allkirja ja jagada sama dokumenti teiste portaali kasutajatega selleks, et ühte dokumenti saaks allkirjastada mitu osapoolt.

Portaali Digiallkirja sektsiooni sisenemisel avaneb kasutuskeskkonnale sarnane vaade, süsteemi on laaditud kaks dokumenti, ühel on üks allkiri ja teisel ei ole ühtegi allkirja

[[Pilt:Riigiportaal-digiallkiri-1.gif]]

Keskkonna kasutamine võiks toimuda suhteliselt intuatiivselt, dokumendi allkirjastamisel tuleb täita sarnased lahtrid nagu nn lokaalset digidoc klienti kasutades, PIN2 sisestamine toimub Java appleti abil, sarnaselt

[[Pilt:Riigiportaal-digiallkiri-2.gif]]

Riigiportaalis ei saa tegeleda krüptitud dokumentidega ehk nn .cdoc failidega.

===Icedove postikliendi kasutamine===

Lisaks nö tavalistele e-kirjadele on võimalik moodustada spetsiaalsete lisaomadustega kirju

* allkirjastatud kiri - kirja saatja moodustab allkirja oma salajase võtmega; kirja saaja saab olla kindel, et kiri on saadetud just selle kasutaja poolt kelle sertifikaadi (avaliku võtme) abil õnnestub kirja autentsust kontrollida; kirja sisu on kõigile avalik, kuid kirjale on nö attachmentiga sarnaselt juurde digitaalse allkirja osa; oluline erinevus nö .ddoc allkirjastamisest on, et reeglina ei kasutata seejuures Sertifitseerimiskeskusest saadud kehtivuskinnitust
* krüptitud kiri - kirja saatja krüptib kirja adressaadi avaliku võtmega (sertifikaadiga); kirja saatja saab olla kindel, et mitte keegi peale selle kasutaja, kelle kasutuses on vastav salajane võti saab kirja sisuga tutvuda

Tuleb arvestada, et eposti allkirjastamine ja krüptimine omab tähendust ainult epostiga tegelemisel ning kuigi see tehnika pakub võimaluse täiendava turvalisuse saavutamiseks ei ole tegu Eesti Vabariigi seaduse mõttes kehtiva digitaalselt allkirjastatud dokumendiga juba seetõttu, et mõlemal juhul kasutatakse autentimise sertifikaati.

Kirja krüptimisel ei ole see tingimata oluline, aga allkirjastamiseks Eesti ID-kaardil asuva autentimise sertifikaadile vastava salajase võtmega eeltingimuseks on, et kasutaja on oma postiprogrammis kirjeldanud tema sertifikaadil leiduva postiaadressiga seotud konto. Sertifikaadile märgitud postiaadressi saab küsida sertifikaadilt öeldes

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -email
imre.oolberg@eesti.ee

Iceweasel programmi ID-kaardiga kasutamise ettevalmistamiseks tuleb avada

Edit -> Preferences -> Advanced -> Certificates -> Security devices -> Load

ning kirjeldada Eesti ID-kaardile vastava turvaseade (ingl. k. security device)

Module Name: esteid
Module filename: /usr/lib/onepin-opensc-pkcs11.so

Lisaks tuleb laadida Icedove'i SK juursertifikaat, ESTEID-SK ja ESTEID-SK 2007 sertifikaadid, mis saab kopeerida http://www.sk.ee/ (Avaleht -> Sertifitseerimine -> Baasinfo -> Juursertifikaadid) veebikohast

Edit -> Preferences -> Advanced -> Certificates -> View Certificates -> Authorities -> Import

Kusjuures tuleb kindlasti vastata jaatavalt küsimusele, et neid usaldatakse eposti jaoks kasutamiseks

[[Pilt:Id-sign-0.gif]]

Seejärel tuleb Icedove'is seoses nn @eesti.ee aadressiga, nt imre.oolberg@eesti.ee, kirjeldatud konto juures näidata, milliseid sertifikaate kasutatakse eposti allkirjastamise ning krüptimise juures, valida ülemine Select (Digital Signing)

[[Pilt:Id-sign-1.gif]]

Peale PIN1 koodi sisestamist esitab arvuti valitud sertifikaadi andmed

[[Pilt:Id-sign-2.gif]]

Valides järgmisena Encryption juures Select küsib arvuti, kas ma soovin kasutada sama sertifikaati (õigemini sama sertifikaadiga seotud salajast võtit) teiste kasutajate poolt mulle saadetud krüptitud kirjade (mis on krüptitud minu avaliku võtmega) lahtikürptimiseks, sobib vastata jaatavalt.

====Icedove postikliendi kasutamine eposti allkirjastamiseks====

Kirja saatmine toimub tavapäraselt ainukese erinevusega, et enne kirja saatmist tuleb valida Security alt

Digitally Sign This Message

[[Pilt:Id-sign-3-1.gif]]

Kirja saajal peab olema postiprogrammi laaditud vähemalt SK juursertifikaat (sellest piisab allkirja kontrollimiseks, sest signatuur sisaldab ka allkirjastaja sertifikaati ning ahelat SK juursertifikaadini ja brauseris oleva SK juursertifikaadiga saab seega tuvastada kasutaja allkirja kehtivust) abil ning kiri pasitab sellisena

[[Pilt:Id-sign-3-2.gif]]

Messsage Security aken avaneb vajutades programmiakna paremas servas asuvale kollane-punane värvi ümbriku kujutisele ja ütleb, et vaatlusalune kiri on allkirjastatud (ingl. k. signed) ning allkiri (ingl. k. signature) on kehtiv. St kirja saaja saab olla kindel, et kiri on saadetud selle poolt, kelle kasutada on allkirja kontrollimisel kasutatud sertifikaadile vastav salajane võti.

====Icedove postikliendi kasutamine eposti krüptimiseks====

Eposti krüptimine toimub adressaadi Eesti ID-kaardi autentimise avaliku võtmega, mis tähendab, et keegi teine peale vastava salajase võtme valdaja ei saa sõnumi teksti sisuga tutvuda. Kirja saatmisel tuleb valida

Security -> Encrypt This Message

[[Pilt:Id-sign-3-3.gif]]

Kirja lugemisel peab olema võimalik kasutada ID-kaarti ning tulemus võiks paista sarnane

[[Pilt:Id-sign-3-4.gif]]

Security Message aken avaneb vajutades programmiakna paremas servas asuvale tabaluku kujutisele ja ütleb, et kiri on krüptitud ning selle sisuga on peale adressaadi teistel kasutajatel ülimalt raske tutvuda.

Kui krüptitud kirja adressaadil on ID-kaardi kasutamine seadistamata, siis esitab programm kasutajale veateadet

Icedove cannot decrypt this message

The sender encrypted this message to you using one of your digital certificates, however Icedove was not able to find
this certificate and corresponding private key.

Possible solutions:

* If you have a smartcard, please insert it now.
* If you are using a new machine, or if you are using a new Icedove profile, you will need to restore your certificate
and private key from a backup. Certificate backups usually end in ".p12".

Krüptimisel tuleb arvestada, et kirja päised sh Message-ID, Date, From, To, Subject jt ei ole krüptitud

..
Message-ID: <49B277C9.8010303@eesti.ee>
Date: Sat, 07 Mar 2009 15:34:01 +0200
From: Imre Oolberg <imre.oolberg@eesti.ee>
User-Agent: Mozilla-Thunderbird 2.0.0.19 (X11/20090103)
MIME-Version: 1.0
To: imre.oolberg@eesti.ee
Subject: eesti muld ja eesti =?ISO-8859-1?Q?s=FCda?=
Content-Type: application/x-pkcs7-mime; name="smime.p7m"
Content-Transfer-Encoding: base64
Content-Disposition: attachment; filename="smime.p7m"
Content-Description: S/MIME Encrypted Message

MIAGCSqGSIb3DQEHA6CAMIACAQAxgf0wgfoCAQAwYzBbMQswCQYDVQQGEwJFRTEiMCAGA1UE
ChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMGRVNURUlEMRcwFQYDVQQD
Ew5FU1RFSUQtU0sgMjAwNwIESIQxaDANBgkqhkiG9w0BAQEFAASBgB4isztO9MjE1ZQUzA7e
U1E0YTQZF0nIW4b46Nn/Be+DtUgzZWyZjgln4YxqQ7vDWPJiFNJTqdLjNCPGb6WEJ7ddZJGp
hM/z+tyCNHrXP6DbvjtmF9qJ9WgvyiqHyQMr8FKRCnLdcj70G+N0EzFnsMq4QsvLi6PHaE7v
rWGWq1ynMIAGCSqGSIb3DQEHATAUBggqhkiG9w0DBwQInoBpNLI3/IOggASCAijikH35Tqn9
..

====Teiste kasutajate sertifikaatide kasutamine====

Selleks, et

* saata teisele @eesti.ee postisüsteemi kasutajale krüptitud kirja
* kontrollida teise @eesti.ee postisüsteemi kasutaja poolt saadetud allkirjastatud kirja allkirja

peab olema Icedove'i laaditud teise kasutaja avalik võti, mis esineb nn autentimise sertifikaadi kujul. Selleks tuleb teades kasutaja isikukoodi kopeerida sertifikaadid ldap.sk.ee serverist, nt

$ ldapsearch -LLL -H ldap://ldap.sk.ee -x -b "c=EE" "(serialNumber=37003212713)"

Salvestada esimesele sertifikaadile vastav tekstiosa st

...
userCertificate;binary:: MIID2jCCAsKgAwIBAgIESIQxaTANBgkqhkiG9w0BAQUFADBbMQswC
..
cOXVX08WgFeVtlH1S6AeDIuY1i/EIngiAUV
....

tekstifaili, alates MIID2.. osast, tekstifail peab algama ja lõppema spetsiaalse tunnusega, kokku peab saama sarnane fail

-----BEGIN CERTIFICATE-----
MIID2jCCAsKgAwIBAgIESIQxaTANBgkqhkiG9w0BAQUFADBbMQswC
..
cOXVX08WgFeVtlH1S6AeDIuY1i/EIngiAUV
-----END CERTIFICATE-----

Ning see fail tuleb laadida Icedove'i valides

Edit -> Preferences -> Advanced -> Certificates -> View Certificates -> Other People's -> Import

Seejärel saab saada sertifikaadis näidatud eposti aadressile krüptitud posti ning samuti kontrollida selle kasutaja poolt allkirjastatud eposti signatuuri.

Kui on võimalik, siis saab teise kasutaja isikutuvastuse sertifikaadi postiklienti laadimiseks kasutada ka lihtsamat protseduuri. Nimelt, piisab kui teine kasutaja saadab esmalt signeeritud kirja ning see kiri postikliendiga avada. Sel juhul salvestatakse sertifikaat automaaselt postikliendi Other people's sertifikaatide hoidlasse.

Üldiselt võib üks ja sama kiri olla samaaegselt nii signeeritud kui ka krüptitud.

===@eesti.ee aadresside kasutamine===

Kuna Eesti ID-kaardi autentimise sertifikaadile vastava avaliku võtmega kürptitud kirju saab saata tingimusel, et adressaadiks on sertifikaadis esitatud aadress, mis on kujul

eesnimi.perekonnanimi@eesti.ee

või kui sama ees-ja perekonnanimega kasutajaid oma rohkem kui üks, siis järgmistele aadressidele on perekonnanime järele lisatud arv

eesnimi.perekonnanimi.1@eesti.ee

siis oleks hea kui sellistele aadressidele saadetud kirjad mugavasti adressaadi postkasti jõuaksid.

Käesolev asjakorraldus võimaldab Eesti ID-kaardi omanikel aadressil http://www.eesti.ee/ asuvas riigiportaalis seadistada, kuhu tema @eesti.ee aadressile saadetud kirjad edasi saadetakse. Tavaliselt on selleks nt mail.ee, gmail.com vms teenusepakkuja postkastiga seotud eposti aadress.

Kuigi tehniliselt teeb @eesti.ee aadressi kasutamine mugavaks signeeritud ja krüptitud kirjade vahetamise, töötab see ka nö tavaliste kirjade puhul.

Kusjuures varasemal ajal on kasutatud ID-kaardi autentimise sertifikaadis ka aadressi kujul, kus nnnn on neljakohaline arv

eesnimi.perekonnanimi_nnnn@eesti.ee

Lisaks, @eesti.ee postisüsteem võimaldab seadistada kasutajal omale edasisuunamise aadressi aadressile

isikukood@eesti.ee

kuid kuna see aadress ei esine sertifikaadis, siis ei ole võimalik seda kasutada eposti allkirjastamisel ega krüptimisel.

===Sertifikaadi kehtivuse kontrollimine===

Avaliku võtme infrastruktuuri üheks ülesandeks on hallata kasutajate sertifikaate sh mitmetel põhjusel sertifikaat kehtetuks kuulutada. Seega, sertifikaadi kasutamisel on oluline kontrollida, kas sertifikaat kasutamise ajal kehtib, seda saab teha SK OCSP (Online Certificate Status Protocol) abil öeldes

$ openssl ocsp -issuer esteid.pem -cert idkaardiltsert.pem -url http://ocsp.sk.ee -noverify -text
OCSP Request Data:
Version: 1 (0x0)
Requestor List:
Certificate ID:
Hash Algorithm: sha1
Issuer Name Hash: 4508A41C355C0A72485FE2DF7B6A6788C6A55022
Issuer Key Hash: 4806DEBE8C875795807863FA9C232B2BA03A1875
Serial Number: 48843168
Request Extensions:
OCSP Nonce:
0410090A1FA4F0555E82C1DFB4722FC61696
OCSP Response Data:
OCSP Response Status: successful (0x0)
Response Type: Basic OCSP Response
Version: 1 (0x0)
Responder Id: C = EE, O = ESTEID, OU = OCSP, CN = ESTEID-SK 2007 OCSP RESPONDER, emailAddress = pki@sk.ee
Produced At: Oct 7 22:15:36 2008 GMT
Responses:
Certificate ID:
Hash Algorithm: sha1
Issuer Name Hash: 4508A41C355C0A72485FE2DF7B6A6788C6A55022
Issuer Key Hash: 4806DEBE8C875795807863FA9C232B2BA03A1875
Serial Number: 48843168
Cert Status: good
This Update: Oct 7 22:15:36 2008 GMT

Response Extensions:
OCSP Nonce:
0410090A1FA4F0555E82C1DFB4722FC61696
cert.pem: good
This Update: Oct 7 22:15:36 2008 GMT

Kus esteid.pem sertifikaadi saab kopeerida SK veebikohast.

===ID-kaardi kasutamine chroot keskkonnast===

Märkus: 20090314 stabiilne Debian Lenny sisaldab sun-java6-plugin paketti.

Üks praktiline vajadus kasutada ID-kaarti chroot programmiga moodustatud chroot keskkonnast oleks 64 bit Debiani operatsioonisüsteemis kasutada 32 bit Iceweaselit'i. Põhjusel, et 32 bit arhitektuurile on olemas Iceweaseli java plugin (pakett sun-java6-plugin), aga 64 bitile seda 2008 aastal pole. Omakorda on java vajalik, et saaks nt SEB pangas allkirjastada st sooritada ülekannet.

Tundub, et kui arvutile külge ühendatud ID-kaarti on tarvis kasutada chroot käsu abil moodustatud chroot keskkonnast, siis tuleb öelda (pcscd deemon töötab nn absoluutses arvutis)

# mount --bind /var/run/pcscd /srv/arvuti-32/var/run/pcscd

ning seejärel tuleb käivitada iceweasel nt selliselt läbi sudo

$ sudo /usr/sbin/chroot /srv/arvuti-32 iceweasel

Selleks, et chroot keskkonnas käivitatud iceweasel saaks näidata oma pilti X serverile tuleb xhost käsuga kaasa aidata, nt öelda

$ xhost +iceweaseliarvutinimi

kusjuures ilma argumentideta xhost näitab, millistest arvutitest on võimalik X serveri poole pöörduda.

Kirjeldatud asjakorralduse puhul ei ole tarvis chroot keskkonda ühendada külge mingeid muid failisüsteeme (nt /proc, /sys) ega käivitada seal deemoneid pcscd vms.

Sudo töötamiseks on vajalik omakorda sellist sisu /etc/sudoers faili

User_Alias CHROOT_USERS = mart
Cmnd_Alias CHROOT_CMD = /usr/sbin/chroot
Host_Alias MORAAL = arvuti
CHROOT_USERS MORAAL = (root) NOPASSWD: CHROOT_CMD

Milliseid turvariske selline asjakorraldus tema jaoks toob peab iga kasutaja ise hindama, eriti seoses X serverile ligipääsemisega kus on avatud ID-kaarti kasutav rakendus.

===ID-kaardi kasutamine konsoolilt arvutisse sisselogimiseks===

Arvutisse sisselogimise kontrollimist on võimalik korraldada ID-kaardi isikutuvastuse sertifikaadiga. Ehk täpsemini, sisselogimisel peab kasutaja tõendama, et ta saab kasutada isikutuvastuse sertifikaadile vastavat salajast võtit ja seda ta teeb PIN1 koodi sisestamise teel.

Tööleseadistatud süsteemi kasutamine näeb välja mitte-graafilise konsooli (tõenäoliselt mingi getty) kasutamisel selliselt, tulemusena on kasutaja süsteemi sisse loginud, nt juurkasutaja

Debian GNU/Linux 5.0 arvutinimi tty4

arvutinimi login: root
Please insert your smart card or enter your username.
Smart card inserted.
Welcome to ID-kaart (PIN1, Isikutuvastus)!
Smart card password:
...

bash#

Sellise asjakorralduse tööleseadmiseks tuleb üldiselt ID-kaart arvutiga ära ühendada nii nagu on ülal punktis 'Kaardilugeja ühendamine operatsioonisüsteemiga' kirjeldatud ning seejärel

* seadistada sisselogimise kontrolli süsteemne osa
* seadistada sisselogimise kontrolli kasutajaspetsiifiline osa

====Süsteemi ettevalmistamine====

Süsteemi ettevalmistamiseks tuleb lisaks paigaldada pakett libpam-pkcs11

# apt-get install libpam-pkcs11

Seejärel moodustada kataloog /etc/pam_pkcs11, sinna näidise eeskujul seadistusfail

# mkdir /etc/pam_pkcs11
# zcat /usr/share/doc/libpam-pkcs11/examples/pam_pkcs11.conf.gz > /etc/pam_pkcs11/pam_pkcs11.conf
# zcat /usr/share/doc/libpam-pkcs11/examples/pam_pkcs11.conf.gz > /etc/pam_pkcs11/pam_pkcs11.conf-orig

ja teha seadistusfailis sellised muudatused

# diff pam_pkcs11.conf pam_pkcs11.conf-orig
85,86c85
< # module = /usr/lib/pam_pkcs11/pkcs11_module.so;
< module = /usr/lib/opensc-pkcs11.so;
---
> module = /usr/lib/pam_pkcs11/pkcs11_module.so;
116c115
< use_mappers = opensc, digest, cn, pwent, uid, mail, subject, null;
---
> use_mappers = digest, cn, pwent, uid, mail, subject, null;
122,123c121
< # mapper_search_path = /usr/lib/pam_pkcs11;
< mapper_search_path = /lib/pam_pkcs11;
---
> mapper_search_path = /usr/lib/pam_pkcs11;
160,161c158
< # module = /usr/lib/pam_pkcs11/opensc_mapper.so;
< module = /lib/pam_pkcs11/opensc_mapper.so
---
> module = /usr/lib/pam_pkcs11/opensc_mapper.so;

SK sertifikaatide kopeerimine ja nn hash linkide moodustmine toimub selliselt (eeldusel, et kasutaja isikutuvastuse sertifikaat on antud välja ESTEID-SK 2007 sertifikaadi suhtes)

# mkdir /etc/pam_pkcs11/cacerts
# cd /etc/pam_pkcs11/cacerts
# wget http://www.sk.ee/files/JUUR-SK.PEM.cer -O JUUR-SK.PEM.pem
# wget http://www.sk.ee/files/ESTEID-SK%202007.PEM.cer -O ESTEID-SK%202007.PEM.pem
# c_rehash .

Tulemus

# find . -ls
183909 4 drwxr-xr-x 2 root root 4096 Mar 15 12:28 .
183911 4 -rw-r--r-- 1 root root 1404 Jan 3 2007 ./ESTEID-SK\ 2007.PEM.pem
183910 4 -rw-r--r-- 1 root root 1790 Feb 6 2006 ./JUUR-SK.PEM.pem
183913 0 lrwxrwxrwx 1 root root 15 Mar 15 12:28 ./119afc2e.0 -> JUUR-SK.PEM.pem
183912 0 lrwxrwxrwx 1 root root 22 Mar 15 12:28 ./590f5e9e.0 -> ESTEID-SK\ 2007.PEM.pem

Lõpuks tuleb kirjeldada PAM mooduli seadistusfailis uus autentimisviis lisades faili /etc/pam.d/common-auth juurde esimeseks reaks

auth sufficient pam_pkcs11.so nullok

====Kasutajakeskkonna ettevalmistamine====

Selleks, et konktreene kasutaja, nt juurkasutaja saaks süsteemi siseneda tuleb moodustada kataloog

# mkdir /root/.eid

ning kopeerida ID-kaardilt isikutuvastuse sertifikaat faili /root/.eid/authorized_certificates

# pkcs15-tool -r 01 > /root/.eid/authorized_certificates

===Eesti ID-kaardi kasutamine OpenVPN lahendusega===

OpenVPN pala tekstis http://kuutorvaja.eenet.ee/wiki/OpenVPN_ja_Eesti_ID-kaardi_kasutamine on kirjeldatud, kuidas kasutada Eesti ID-kaarti VPN kasutajate autentimiseks.

===Eesti ID-kaardi kasutamine GnuPG-2 tarkvaraga===

Märkmed Eesti ID-kaardi võimalikust kasutamisest GnuPG-2 tarkvaraga, mis kahjuks ei vii tulemuseni, aga võimalik, et ühel päeval viivad, http://kuutorvaja.eenet.ee/wiki/GnuPG_kasutamine_Debianiga#Eesti_ID-kaardi_kasutamine_GnuPG-2_tarkvaraga

===ID-kaardi koodide muutmine===

ID-kaardi isikutuvastuse ja allkirjastamise võtmete kasutamist kaitstakse koodidega, vastavalt PIN1 ja PIN2 koodid. Lisaks on kasutusel PUK kood, mille abil saab PIN1 ja PIN2 koodi vajadusel muuta, näiteks kui mõni PIN kood on saanud teatavaks kellelegi teisele või mõni PIN kood on ära ununenud. Kui sooritada kolm järjestikulist ebaõnnestunud koodi sisestamist, siis ligipääs kõnelusele salajasele võtmele lukustatakse, st et enne kui seda saab uuesti kasutada, tuleb ligipääs võtmele PUK koodi abil lahti lukustada.

ID-kaardi PIN koodide lahtilukustamiseks sobib kasutada pkcs15-tool utiliiti, nt öelda PIN 1 koodi lahtilukustamiseks

# pkcs15-tool --unblock-pin -a 1
Enter PUK [PIN1, Isikutuvastus]:
Enter new PIN [PIN1, Isikutuvastus]:
Enter new PIN again [PIN1, Isikutuvastus]:

Muud käsud:

PIN1 koodi muutmiseks

# pkcs15-tool --change-pin -a 1

PIN2 koodi muutmiseks

# pkcs15-tool --change-pin -a 2

PIN2 koodi lahtilukustamiseks

# pkcs15-tool --unblock-pin -a 2

PUK koodi muutmiseks

# pkcs15-tool --change-pin -a 3

Kui aga PUK kood on kadunud, siis saab ID-kaarti kasutada seni kuni pole tarvis PIN koode muuta, vastasel korral tuleb teeninduspunktist, nt pangas paluda paigaldada ID-kaardile uus nn ümbrik.

===e-valimistel osalemine===

e-valimistel osalemiseks tuleb valimiste veebikohta sisse logida ning kopeerida lokaalselt töötav rakendus. Kävitamisel paistab selline pilt

[[Pilt:Evalimised-2009-1.gif]]

===Mobiil-ID===

Mobiil-ID tehnika võimaldab kasutada mobiiltelefoni sarnaselt ID-kaardile, mobiil-ID toimimist on kirjeldatud aadressil http://www.id.ee/10958

===ID-kaardi rakenduste arendamine===

ID-kaardi rakenduste arendajale on Sertifitseerimiskeskus tekitanud projekti OpenXades aadressil http://www.openxades.org/

* saab testida id-kaardiga allkirjastamist vastu test digidocservice teenust (selleks tuleb üles laadida oma sertifikaadid)
* saab testida mobiil-id kaardi kasutamist (selleks tuleb üles laadida oma sertifikaadid)

===Eesti ID-kaardi tarkvara arendus 2009===

Smartlink arendab RIA tellimusel 2009 aastal Eesti ID-kaardi kasutamise tarkvara https://id.eesti.ee/idtrac/, mis sisaldab muu hulgas kasutaja töökohaarvutis kasutamiseks graafilise kasutajaliidesega programme

* qesteidutil - ID-kaardi haldamise tarkvara, sertifikaatide kehtivuse kontroll, PIN koodide muutmine, sertifikaatide uuendamine jms
* qdigidocclient - andmete allkirjastamine ja allkirjade kontrollimine, st nn .ddoc ja .bdoc failidega tegelemine
* qdigidoccrypto - andmete krüptimine teise ID-kaardi kasutaja avaliku võtmega, st .cdoc failidega tegelemine

Lisaks asendab Smartlink lahendus Debian Lenny nö ametlikust tarkvarast sellised paketid

* libopensc2 - OpenSC teek
* opensc - OpenSC utiliidid, kuigi selle paketi paigaldamine ei ole lõppkasutaja seisukohast tingimata vajalik (seal sisaldub nt pkcs15-tool utiliit)

2009 aasta juuli keskel on see selle tarkvara arendusetapp lõpule jõudmas ning praktiselt saab tarkvara võimalustega tutvuda ja tasakesi kasutada.

====Tarkvara paigaldamine====

Kõnealune lahendus kasutab eraldiseisvalt eksisteerivaid OpenSC teeke (pakett libopensc2, seadistusfail /etc/opensc/opensc.conf) ning PC/SC vahendeid (pakett pcscd), Eesti ID-kaardi tarkvara paigaldamiseks tuleb lisada /etc/apt/sources.list faili rida

deb ftp://ftp.smartlink.ee/pub/id/debian/ lenny main

usaldada Smartlinki repositooriumi Release faili võtit

# wget ftp://ftp.smartlink.ee/pub/id/apt-esteid-test.gpg.asc
# apt-key add apt-esteid-test.gpg.asc
OK

NB! 20090928 seisuga selle repo kasutamisel asendatakse Debian Lenny nö enda opensc jt teeke ära Smartlinki omadega ja tulemusena ID-kaarti ei saa kasutada, vähemalt mitte ilma vajalike muudatusteta.

Tarkvara paigaldamiseks tuleb öelda

# apt-get install qesteidutil qdigidoc

paigaldatakse neli kõnealuse arendusega seotud paketti ning vajadusel sõltuvustena ka OpenSC, PC/SC jm tarkvara

* qesteidutil - Eesti ID-kaardi haldusvahend qesteidutil
* qdigidoc - programmid qdigidocclient ja qdigidoccrypto
* libdigidoc2 - nn vana teek, käsurealt kasutatav utiliit cdigidoc
* libdigidocpp0 - nn uus teek

Tarkvara kasutamiseks tuleb OpenSC ja PC/SC seada käima nii nagu on käesoleva pala alguses punktis [[:Eesti ID-kaardi kasutamine Debianiga#Kaardilugeja ühendamine operatsioonisüsteemiga]] kirjeldatud.

====Eesti ID-kaardi haldusvahend====

Eesti ID kaardi haldusvahendi qesteidutil kasutamiseks tuleb käivitada programm, nt valides menüüst või XTerm aknas öeldes

$ qesteidutil

ning avaneb aken

[[Pilt:qesteidutil-1.gif]]

Kasutajaliideses esitatud pilt kopeeritakse riigiportaali www.eesti.ee süsteemi kaudu üle X-tee KMA andmekogust.

====Digidoc klient====

Qt teeke kasutava Digidoc kliendi qdigidocclient käivitamiseks tuleb käivitada programm nt valides menüüst või XTerm aknas öeldes

$ qdigidocclient

ning avaneb aken

[[Pilt:qdigidocclient-1.gif]]

Krüptimise utiliidi saab käivitada öeldes

$ qdigidoccrypto

ning avaneb pilt

[[Pilt:qdigidoccrypto-1.gif]]

Utiliit sisalab LDAP klienti, millega saab teades teise kasutaja isikukoodi kopeerida Sertifitseerimiskeskuse LDAP kataloogist tema isikutuvastuse sertifikaadi.

====cdigidoc utiliit====

Paketi libdigidoc2 koosseisus on utiliit cdigidoc, millega saab käsurealt DigiDoc failidega töötada, näiteks fail.cdoc lahtikrüptimiseks sobib öelda

$ cdigidoc -decrypt fail.cdoc PIN_KOOD -out fail.ddoc

Faili fail.ddoc seest esimene faili nimega sisufail.txt konteinerist välja kopeerimiseks sobib öelda

$ cdigidoc -extract D0 sisufail.txt -in fail.ddoc

Ilma argumentideta käsk väljastab abi

$ cdigidoc
USAGE: cdigidoc <command(s)> [-in <input-file>] [-out <output-file>] [-config <config-file>]
COMMANDS:
[-new] [format] [version]
-check-cert <-cerificate-file-name (PEM format)>
-add <file-name> <mime-type> [<content-type>] [<charset>]
-verify
-list
-sign <pin> [<manifest>] [<city> <state> <zip> <country>]
-extract <doc-id> <file-name> [<charset>] [<file-name-charset>]
-encrypt <file-name>
-encrecv <cert-file> [<recipient>] [<keyname>] [<carried-key-name>]
-decrypt <file-name> <pin1>
-denc-list <file-name>
-encrypt-file <in-file-name> <out-file-name> [<in-file-mime-type>]
-decrypt-file <in-file-name> <out-file-name> <pin1>
-calc-sign <cert-file> [<manifest>] [<city> <state> <zip> <country>]
-add-sign-value <sign-value-file> <sign-id>
-del-sign <sign-id>
-get-confirmation <sign-id>
OPTIONS:
-cgimode [<ouput-separator] - output in CGI mode
-SAX - use SAX parser
-XRDR - use XmlReader parser

====Märkused====

20090714 seisuga tehtud tähelepanekud

* programmidel puuduvad manuaalid (ingl. k. manpage) ning praktiliselt dokumentatsioon kataloogis /usr/share/doc/paketinimi
* paketihalduse nimekirjas esineb ka pakett qdigidoccrypto, mida asendab qdigidoc, kui qdigidoc* pakettide traditsioon alles algab, äkki siis see 'Replaces' eemaldada
* sõltuvustest ei paigaldata opensc paketti, mis iseenesest ei ole ka vajalik, vajalik on just libopensc2 teekide pakett
* q* programmide kasutamisel tuleb olla kannatlik, kuigi esmalt teatab programm, et 'Ei leitud ühtegi ID-kaarti' voi 'Kaarti pole lugejas', siis tegelikult võidakse tegeleda alles kaardi otsimisega ja mõne sekundi pärast on kõik korras ja saab jätkata programmi kasutamist
* q* programmide akendest ei saa alati hiirega teksti kopeerida
* paketi libopensc2 seadistusfailis /etc/opensc/opensc.conf võiks parameetri muudatus toimuda ehk debconf dialoogi abil pakkudes kasutajale sobivat vaikeväärtust

reader_drivers = openct, pcsc, ctapi; -> reader_drivers = pcsc, ctapi;

* IP aadressipõhisel ocsp teenusele ligipääsu puhul küsitakse 'Did not find any server access certificate! Start downloading?'
* Kas programmide töö lõpetamiseks on muid võimalusi peale akna sulgemise?

===Eesti ID kaardi tarkvara v. 3.8 kasutamine 2014 suvel===

Käesolevas punktis kirjeldatakse 2014 aasta suvel olemasolevate tarkvara komponentidega Eesti ID kaardi kasutamist (autentimist ja allkirjastamist)

* Debian testing (Jessie) operatsioonisüsteem (32 või 64 bit, tõenäoliselt sarnaselt toimub paigaldamine-seadistamine-kasutamine ka muude Debiani versioonide ja Linux distributsioonidega)
* Eesti ID kaardi tarkvara v. 3.8.0 Ubuntu v. 12.04 (Precise) paketid

Tulemusena saab

* Chrome brauseriga autentida ja allkirjastada
* ID kaardi haldusvahendiga pin koode hallata
* lokaalse DigiDoc kliendiga allkirjastada ja krüptida

Juhised kehtivad

* Chrome < v. 35 (tundub, et alates v. 35 on smart card autentimise tehnika oluliselt muutunud, väidetavalt Eesti ID kaardi tarkvara v. 3.9 teeb selle korda)
* OpenSC kuni 0.12 ja kaasa arvatud (0.13 juures puudub brauseri kasutamist abistav onepin teek)

====Tarkvara paigaldamine====

Eeldusel, et arvutis on töötav kasutajakeskkond (XCFE, Gnome vms) ning Chrome brauser versioon < 35, lisada süsteemi üldotstarbelised paketid

# apt-get install opensc pcscd libccid libnss3-tools apt-transport-https

Kuna onepin-opensc-pkcs11.so teek on vajalik, aga opensc v. 0.13 tarkvaras puudub ning see on nt Debian v. 7 Wheezy paketihalduses v. 0.12 juures olemas (ja tundub, et sobib kasutada), siis aitab lisada /etc/apt/sources.list faili Debian v. 7 Wheezy repositoorium

deb http://ftp.us.debian.org/debian/ wheezy main contrib non-free

ning öelda 0.12 versiooni paigaldamiseks (downgrade'iks)

# apt-get update
# apt-get install opensc=0.12.2-3

Lisaks tuleb Wheezy pakettidest paigaldada

# apt-get -t wheezy install libxml-security-c16

Eesti ID kaardi tarkvara paigaldamise ettevalmistamiseks laadida võti

# wget -O /tmp/ria-public.key https://installer.id.ee/media/install-scripts/ria-public.key
# apt-key add /tmp/ria-public.key

lisada /etc/apt/sources.list faili rida

deb https://installer.id.ee/media/ubuntu/ precise main

ja tarvkara paigaldamiseks öelda

# apt-get update
# apt-get install estonianidcard qesteidutil esteidcerts esteidfirefoxplugin

====ID kaardilugejaga suhtlemise kontrollimine====

Peale tarkvara paigaldamist ja eeldusel, et lugeja on arvutiga ühendatud saab öelda

# opensc-tool -l
# Detected readers (pcsc)
Nr. Card Features Name
0 Yes SCM Microsystems Inc. SCR 331 [CCID Interface] (504005BE) 00 00

Kui lisaks on ID kaart on lugejas saab öelda (jms pkcs15-tool käske)

# pkcs15-tool -c
Using reader with a card: SCM Microsystems Inc. SCR 331 [CCID Interface] (504005BE) 00 00
X.509 Certificate [Isikutuvastus]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeaace
ID : 01
Encoded serial : 02 10 3BF4F7CBE36A655050DC20A42E9EFBAA

X.509 Certificate [Allkirjastamine]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeddce
ID : 02
Encoded serial : 02 10 0D1864A01391996750DC20AC1BF2FDE5

====ID kaardi haldusvahend====

Peale tarkvara paigaldamist maksab esmalt veenduda, et id kaardilugeja riistvara on ära tuntud ja kaart on üldiselt ligipääsetav. Selleks käivitada ID kaardi haldusvahend ja peab nägema oma sertifikaadiandmeid.

Interneti kasutamise olemasolul saab Lae pilt valikuga küsida rahvastikuregistris olevat pilti.

====Chrome brauseriga autentimine ja allkirjastamine====

Esmalt tuleb kord brauser käivitada, et kasutaja kodukataloogi tekiksid vajalikud nn punktifailid (~/.pki), seejärel brauseri protsessid lõpetada st brauseri sulgeda ning öelda sama kasutajana

$ modutil -dbdir sql:$HOME/.pki/nssdb -delete opensc-pkcs11
$ modutil -dbdir sql:$HOME/.pki/nssdb -add opensc-pkcs11 -libfile onepin-opensc-pkcs11.so -mechanisms FRIENDLY

kus

* esimese käsu väljundiks on tõenäoliselt veateade kuna pole midagi kustutada
* teise käsu väljundiks

...
Module "opensc-pkcs11" added to database.

Seejärel tuleb Chrome pluginate settingutest aadressilt chrome://plugins (sisestada nii aadressreale) seadistada EstEID plugin

* Enabled
* Always Allowed

Tulemusena paistab selline pilt

[[Pilt:Chrome-esteid-2.gif]]

kust on näha, et kasutatakse paketis esteidfirefoxplugin olevat teeki

$ dpkg -S /usr/lib/mozilla/plugins/npesteid-firefox-plugin.so
esteidfirefoxplugin: /usr/lib/mozilla/plugins/npesteid-firefox-plugin.so

Autentimiseks sobib minna mõnda portaali, kus on võimaluda kasutaja autentmiseks ID kaardiga, nt https://www.eesti.ee/. Samas saab ka allkirjastada valides

Minu asjad -> Minu dokumendid

Katsetada sobib ka aadressil https://www.openxades.org/web_sign_demo/sign.html.

====Firefox/Iceweasel brauseriga autentimine ja allkirjastamine====

Kontrollida, et paketi esteidfirefoxplugin paigaldamisel tekkinud EstEID plugin on Always Activate olekus

about:addons -> Plugins -> EstEID plug-in -> More

ID kaardi kasutamiseks tuleb brauseri seadistustes kirjeldada onepin teek valides

Edit -> Preferences -> Advanced -> Certificates -> Security Devices -> Load

ja avanenud dialoogis sisestada nt

* Module name - EstEID
* Module filename - /usr/lib/x86_64-linux-gnu/onepin-opensc-pkcs11.so

kus mooduli asukoht failisüsteemis sõltub arhitektuurist jms natuke, find leiab üles

$ find /usr/ -name onepin\*
/usr/lib/x86_64-linux-gnu/onepin-opensc-pkcs11.so

Tulemusena saab ID kaardiga autentida ning allkirjastada.

====Lokaalne DigiDoc klient====

Tarkvara paigaldamise käigus paigaldati ka lokaalne DigiDoc klient. Esmakordsel käivitamisel pakutakse võimalust laadida Sertifitseerimiskeskuse kehtivuskinnituse kasutamiseks vastav juurdepääsutõend, millega saab allkirjastada kuni kümme korda kuus.

====Probleemid====

* Kui allkirjastamisel küsitakse luba kahe plugina käivitamiseks (või öeldakse, et Java plugin on puudu)

[[Pilt:Chrome-esteid-1.gif]]

siis on põhjuseks, et EstEID plugin ei ole seadistatud õieti. Peab olema valitud 'Always allowed'. Oluline on teada, et Java ei ole Chrome brauseriga allkirjastamisel reeglina vajalik.

====Kasulikud lisamaterjalid====

* https://installer.id.ee/
* https://github.com/martinpaljak/ria-debian-build
* http://lauri.võsandi.com/posts/ubuntu-trusty-esteid.html
* http://pingviin.org/portal.php?topic_id=9727
* https://installer.id.ee/media/install-scripts/install-esteid-ubuntu.sh
* https://wiki.debian.org/Smartcards
* http://id.ee/?id=34228
* http://packages.ubuntu.com/lucid/libccid

===Eesti ID kaardi tarkvara v. 17.01.1686-1604 kasutamine 2017 kevadel===

Käesolevas punktis käsitletakse Eesti ID kaardi tarkvara kasutamist operatsioonisüsteem Debian v. 9 Stretch keskkonnas. Debian jaoks üldiselt pakette ei valmistata, aga osutub, et saab kasutada Ubuntu v. 16.04 Xenial pakette.

====Tööpõhimõte====

TODO

====Ettevalmistused====

Kuna Ubuntu v. 16.04 Xenial libssl1.0.0 v. 1.0.2g paketis on ka v. 1.0.0 sümbolid

<pre>
ubuntu-1604$ strings /lib/x86_64-linux-gnu/libssl.so.1.0.0 | grep ^OPENSSL_1
OPENSSL_1.0.0
OPENSSL_1.0.1
OPENSSL_1.0.1d
OPENSSL_1.0.2
OPENSSL_1.0.2g
</pre>

ja Debian v. 9 Stretch libssl1.0.2 v. 1.0.2k paketis ei ole 1.0.0 sümboleid

<pre>
debian-9$ strings /usr/lib/x86_64-linux-gnu/libssl.so.1.0.2 | grep ^OPENSSL_1
OPENSSL_1.0.2d
OPENSSL_1.0.2g
</pre>

siis on vaja leida mingi workaround. Tundub, et kaaluda maksab

* kopeerida internetist Ubuntu v. 16.04 Xenial libssl1.0.0 pakett ja kasutada sealt kahte teeki libssl.so.1.0.0 ja libcrypto.so.1.0.0 (selle lähenemise puuduseks on, et edaspidi vaevalt keegi viitsib neid teeke uuendada)
* paigaldada Debian v. 8 Jessie libssl1.0.0 pakett, http://priit.joeruut.com/archives/Eesti-ID-kaardi-tarkvara-ehk-open-eid-v.-3.12-kasutamine-Debianis.html (lähenemise puuduseks on, et Debian v. 8 Jessie tugi lõpeb tõnäoliselt varem kui Ubuntu v. 16.04 Xenial, aga väga võimalik, et veel enne tekib Debian + ID kaardi kasutamiseks mingi normaalsem lahendus)

Ubuntu libssl1.0.0 paketi saab kopeerida aadressilt http://packages.ubuntu.com/search?keywords=libssl1.0.0&searchon=names&suite=xenial&section=all

Paketi lahti pakkimiseks sobib öelda

$ cd /var/tmp/libssl1.0.0-ubuntu
$ dpkg -x /home/imre/Downloads/libssl1.0.0_1.0.2g-1ubuntu4.6_amd64.deb .

ning (kuna selliste nimedega faili enne pole)

# cp libssl.so.1.0.0 libcrypto.so.1.0.0 /usr/lib/x86_64-linux-gnu

Selleks, et süsteemis oleks paketihalduse mõttes libssl1.0.0 nimeline pakett, sobib kasutada equivs abi

* öelda

$ equivs-control libssl1.0.0

* redigeerida natuke tekkinud faili

<pre>
$ egrep -v "^$|^#" libssl1.0.0
Section: misc
Priority: optional
Standards-Version: 3.9.2
Package: libssl1.0.0
Version: 1.0.0
Maintainer: Imre <imre@auul.pri.ee>
Description: libssl1.0.0 abistaja
Testime
.
Testime 2
</pre>

* öelda

$ equivs-build libssl1.0.0

* paigaldada (kuidagi ta paigaldatakse vaatamata signatuuri puudumisele jms)

# dpkg -i libssl1.0.0_1.0.0_all.deb

====Paigaldamine====

* lisada apt võtmete hulka aadressil https://installer.id.ee/media/install-scripts/install-open-eid.sh oleva skripti algusest kaks sissekannet

# apt-key add failinimi

* lisada apt source

# cat /etc/apt/sources.list.d/ria-repository.list
deb http://installer.id.ee/media/ubuntu xenial main

* värskendada

# apt-get update

ID kaardi tarkvara paigaldamiseks sobib öelda

# apt-get install open-eid

tulemusena tekib failisüsteemi

* kümmekond paketti, enamus installer.id.ee pealt
* /etc/X11/Xsession.d/95-esteid-update-nssdb - selle faili abil X konsoolil töötamise alguses nö korraldakse sobiv seis olulistest asjadest (mh öeldakse modutil jt käske)

Paigaldamise lõpus tuleb Desktop keskkonnast logida välja ja tagasi sisse selleks, et Xsession kasutaks nssdb osa.

====ID kaardilugejaga suhtlemise kontrollimine====

Peale tarkvara paigaldamist ja eeldusel, et lugeja on arvutiga ühendatud saab öelda

<pre>
$ opensc-tool -l
# Detected readers (pcsc)
Nr. Card Features Name
0 Yes Gemalto PC Twin Reader (FB00DB62) 00 00
</pre>

Kui lisaks on ID kaart on lugejas saab öelda (jms pkcs15-tool käske)

<pre>
$ pkcs15-tool -c
Using reader with a card: Gemalto PC Twin Reader (FB00DB62) 00 00
X.509 Certificate [Isikutuvastus]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeaace
ID : 01
Encoded serial : 02 10 775DD64056F35E7954C8CB3EFEB3C8EE
X.509 Certificate [Allkirjastamine]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeddce
ID : 02
Encoded serial : 02 10 2D5E4D8F644E041454C8CB5236F7D2D6
</pre>

====ID kaardi haldusvahend====

Peale tarkvara paigaldamist maksab esmalt veenduda, et id kaardilugeja riistvara on ära tuntud ja kaart on üldiselt ligipääsetav. Selleks käivitada ID kaardi haldusvahend ja peab nägema oma sertifikaadiandmeid.

Interneti kasutamise olemasolul saab Lae pilt valikuga küsida rahvastikuregistiris olevat pilti.

====Chromium brauseriga autentimine ja allkirjastamine====

Veenduda, et Chromiumil on olemas vastav plugin (see on kopeeritav ka üldisest Google Chrome extensions repositooriumist)

[[Pilt:Chrome-esteid-3.gif]]

Tulemusena peab töötama autentimine ja allkirjastamine.

====Firefox brauseriga autentimine ja allkirjastamine====

TODO

* Tundub, et autentimine töötab nö iseenesest.

====Kasulikud lisamaterjalid====

* https://github.com/web-eid/
* https://github.com/open-eid
* https://github.com/open-eid/chrome-token-signing/wiki
* https://lauri.xn--vsandi-pxa.com/2014/04/ubuntu-trusty-esteid.html
* http://installer.id.ee/
* http://priit.joeruut.com/archives/Eesti-ID-kaardi-tarkvara-ehk-open-eid-v.-3.12-kasutamine-Debianis.html
* https://installer.id.ee/media/install-scripts/install-open-eid.sh
* https://www.auul.pri.ee/wiki/Operatsioonis%C3%BCsteem_Debian_GNU/Linux_paketihalduse_kasutamine#Equivs_kasutamine

===Eesti ID kaardi kasutamine - Ubuntu 16.04===

Alustada aadressilt https://installer.id.ee/

# apt-key add ria-key1.pem
# apt-key add ria-key2.pem

# cat /etc/apt/sources.list.d/ria-repository.list
deb http://installer.id.ee/media/ubuntu xenial main

# apt-get update
# apt-get install open-eid

Kui lähtepunktiks on nö tavaline töökohaarvuti, siis lisanduvad paketid

chrome-token-signing esteidfirefoxplugin esteidpkcs11loader libccid libdigidoc-common libdigidoc-tools libdigidoc2 libdigidocpp-common libdigidocpp-tools
libdigidocpp1 libminizip1 libnss3-tools libxerces-c3.1 libxml-security-c17v5 libzip4 open-eid opensc opensc-pkcs11 pcscd qdigidoc qdigidoc-tera qesteidutil

Kasulikud lisamaterjalid

* https://installer.id.ee/?lang=est
* https://installer.id.ee/media/install-scripts/install-open-eid.sh
* https://installer.id.ee/media/ubuntu/

===Eesti ID kaardi kasutamine - Ubuntu 18.04===

Alustada aadressilt https://installer.id.ee/, st sarnaselt eelmisele punktile, aga paistab, et 2019 aasta alguses paketihaldus lõpetab veaga, Seejärel sobib kasutada skripti /var/lib/dpkg/info/awp.postinst alguses exit

# cat /var/lib/dpkg/info/awp.postinst
#!/bin/bash

exit;
...

ning loksutada paketihaldust 'apt-get install -f' vms käskudega.

Seejärel kasutajana logida sisse desktop keskkonda (nt XFCE4) ja öelda

$ modutil -dbdir sql:$HOME/.pki/nssdb -delete opensc-pkcs11
$ modutil -dbdir sql:$HOME/.pki/nssdb -add opensc-pkcs11 -libfile onepin-opensc-pkcs11.so -mechanisms FRIENDLY

Seejärel Chrome brauseris peaks saama kasutada id kaarti autentimiseks ja allkirjastamiseks. Need kaks käsku võiks idee poolest automaatselt öeldada skripti /usr/bin/esteid-update-nssdb poolt, aga paistab, et millegipärast minul see nii ei ole (äkki XFCE4 desktop tarkvara ei tee koostööd)

<pre>
$ cat /etc/xdg/autostart/chrome-pkcs11.desktop
[Desktop Entry]
Type=Application
Name=Configure Chrome PKCS11
Exec=/usr/bin/esteid-update-nssdb
NoDisplay=true
X-GNOME-AutoRestart=true
X-GNOME-Autostart-Phase=Initialization
</pre>

Kui kasutada on uus eid kaart, siis tõenäoliselt on vajalik öelda awp.postinst skriptis sisalduvad sarnased käsud samuti.

Kasulikud lisamaterjalid

* https://github.com/open-eid/linux-installer/issues/36

===Test ID-kaart===

Lisaks nö päris ID-kaartidele väljastab Sertifitseerimiskeskus teatud juhtumiteks ka test ID-kaarte, nt on seal kasutatav sertifikaat selline

-----BEGIN CERTIFICATE-----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 2AjWXfHNDc0oWr7CBV9HRLmpidJQtQCwoUt6Y2NA==
-----END CERTIFICATE-----

Tekstikujul vaadatest on Issuer ja Subject väärtused

# openssl x509 -in /tmp/zaikovski.pem -noout -text
Certificate:
Data:
Version: 3 (0x2)
Serial Number: 1244104848 (0x4a278890)
Signature Algorithm: sha1WithRSAEncryption
Issuer: C=EE, O=AS Sertifitseerimiskeskus, OU=Testsertifikaadid, CN=TEST-SK
Validity
Not Before: Jun 4 08:40:48 2009 GMT
Not After : Apr 7 11:42:17 2012 GMT
Subject: C=EE, O=TEST-ESTEID, OU=authentication, \
CN=\x01}\x00A\x00I\x00K\x00O\x00V\x00S\x00K\x00I\x00,\x00I\x00G\x00O\x00R\x00,\x003\
\x007\x001\x000\x001\x000\x001\x000\x000\x002\x001, SN=\x01}\x00A\x00I\x00K\x00O\x00V\x00S\
\x00K\x00I, GN=IGOR/serialNumber=37101010021
...

Tundub, et kõigil test kaartidel on algselt samad pinid ja puk, mida saab muuta id kaardi utiliidiga, http://www.id.ee/index.php?id=30379

* PIN1 kood - 0090
* PIN2 kood - 01497
* PUK kood - 17258403

===Kaardilugeja firmware uuendamine===

Kui kaardilugeja nö peaks töötama, aga ei tööta, siis mõnel juhul on otstarbekas kaaluda kaardilugeja firmware uuendamist. Nt SCR311 kaardilugeja puhul sobib selleks kasutada Windows 7 keskkonda, et uuendada 4. -> 5. versoonide vahel.

Kasulikud lisamaterjalid

* http://www.jasemccarty.com/blog/?p=1134
* https://militarycac.com/cacdrivers.htm

===Märkused===

* Kui brauser või postiklient lakkavad töötamast ID-kaardiga, siis maksab need programmid sulgeda ja samuti peatada pcscd deemon ning seejärel esmalt deemon ning siis rakendusprogrammi uuesti käivitada.
* Kuivõrd ID-kaardi sertifikaadid kehtivad suhteliselt lühikest aega ning sertifikaatide uuendamisel praktiliselt kirjutatakse vanad sertifikaadid üle uutega, siis sobib ID-kaardi vahendeid andmete krüptimiseks kasutada nö turvalise transpordi sooritamiseks ja mitte andmete pikaajaliseks turvaliseks säilitamiseks. Lisaks on veel muid ohte, näiteks et ID-kaart rikneb füüsiliselt.

===Sertifikaatide uuendamine===

Sertifikaatide saab uuendada id kaarti utiliidiga, peale uuendamist näidatakse sellist pilti, tegevuse käigus küsitakse vana sertifikaadi PIN1

[[Pilt:Qesteidutil-2.gif]]

===TODO===

* ipsec lahenduse juures kasutamine

===Kasulikud lisamaterjalid===

* Eesti ID-kaardi tarkvara - http://ideelabor.ee/
* Sertifitseerimiskeskus - http://www.sk.ee/
* http://kuutorvaja.eenet.ee/wiki/Apache'i_veebiserver#ID_kaardiga_kasutaja_autentimine
* http://kuutorvaja.eenet.ee/wiki/OpenLDAP_kasutamine_Debianiga#Icedove.27i_aadressraamatu_pidamine
* https://digidoccheck.sk.ee/
* https://id.eesti.ee/trac/
* http://pcsclite.alioth.debian.org/supported.html
* http://code.google.com/p/esteid/

Eesti ID-kaardi kasutamine Debianiga

2019-03-01T07:31:11Z

Imre: /* Eesti ID kaardi kasutamine - Ubuntu 18.04 */

===Sissejuhatus===

Eesti ID-kaart on nn protsessorkaart, mis võimaldab autentimist ja allkirjastamist. ID-kaardi kasutamiseks on vajalikud

* kehtiv Eesti ID-kaart
* kasutada oleva arvuti ja operatsioonisüsteemiga sobiv kaardilugeja
* internetiühendus
* ID-kaardi võimaluste kasutamiseks sobiv kliendipoolne tarkvara
* ID-kaardi võimaluste kasutamiseks sobiv teenus internetis

Eesti ID-kaardi töö põhineb avaliku võtme (ingl. k. public key) krüptograafia kasutamisel. Avaliku võtme infrastruktuuris (ingl. k. PKI - public key infrastructure) esitatakse kasutaja avalik võti koos kasutaja kohta käivate muude andmetega, nt kasutaja nimi ja eposti aadress selle konkreetse infrastruktuuri mõne ülemise sajalase võtmega signeeritud kujul ja seda tulemust nimetatakse kasutaja sertifikaadiks. Lisaks on sertifikaadis kirjas andmed selle sertifikaadi väljastaja kohta ja sertifikaadi kehtivuse aeg.

Eesti ID-kaartidega seotud avaliku võtme infrastruktuuri haldab sh väljastab ID-kaarte Sertifitseerimiskeskus http://www.sk.ee/ kusjuures ID-kaardil on kaks paari võtmeid, öeldakse ka, et kaks sertifikaati

* isikutuvastuse ehk autentimise sertifikaat
* allkirjastamise sertifikaat

Kahe erineva sertifikaadi kasutuselevõtmise põhjuseks on asjaolu, et sertifikaatidel on nö oluliselt erinev kaal

* isikutuvastuse sertfikaadiga kasutaja autendib ennast teenusele (st praktiliselt logib ennast sisse portaali internetis, siseneb kooduksega kaitstud ruumi füüsilises maailmas)
* allkirjastamise sertifikaati kasutatakse reeglina ainult digitaalallkirja andmiseks ja Eesti Vabariigis on digitaalallkirjastatud dokument võrdsustatud omakäeliselt allkirjatatud dokumendiga; reeglina pangaülekannete sooritamisel toimub sisemiselt samuti digitaalallkirjastamise protseduur

Oletame, et kui oleks kasutuses ainult üks sertifikaat ja nt kasutaja siseneb koodukse kaudu ruumi, siis võiks konstrueerida skeemi, kus ta pahaaimamatult allkirjastab mõne dokumendi, mida ta muul juhul ei oleks nõus allkirjastama. Kahe sertifikaadi kasutamisel on võimalik erinevaid rolle lahus hoida.

Kuigi eelmises lõigus kasutati väljendeid 'isikutuvastuse sertifikaadiga kasutaja identifitseerib' ja 'allkirjastamise sertifikaati kasutatakse reeglina digitaalallkirja andmiseks' tuleb seda seda mõista nii, et sisuliselt neid protseduure sooritades kasutaja kasutab vastava sertifikaadi salajast võtit. ID-kaardil asuvate salajaste võtmete kasutamine on turvakaalutlustel piiratud täiendava parooliga, nn PIN koodiga, kummalgi salajasel võtmel on oma PIN kood ja võtme kasutamise eel küsib ID-kaardi tarkvara kasutajalt seda koodi.

ID-kaardiga autentimine on dual-factor ehk two-factor autentimine http://en.wikipedia.org/wiki/Two-factor_authentication kuna see sisaldab kahte kontrolli

* midagi mida saab omada - ID-kaardi kui füüsilise eseme olemasolu kontroll
* midagi mida saab teada - salajase võtme teadmise kontroll

Võrreldes parooliga on ID-kaardi kasutamise üheks erinevuseks, et seda saab kasutada korraga ainult üks kasutaja nö ühest kasutuspunktist.

===Eesti ID-kaardi sertifikaatide LDAP kataloogiteenus===

Kuna avaliku võtme infrastruktuuri üheks koostisosaks on, et kõigi kasutajate avalikud võtmed st sertifikaadid on kõigile avalikult kättesaadavad, siis SK on teinud kasutajate sertifikaadid internetis kättesaadavaks LDAP kataloogiteenuse abil aadressil ldap.sk.ee. Kasutaja sertifikaate (mis sisaldavad avalikke võtmeid) saab teades tema isikukoodi kopeerida öeldes nt

$ ldapsearch -LLL -H ldap://ldap.sk.ee -x -b "c=EE" "(serialNumber=37003212713)"
dn: cn=OOLBERG\2CIMRE\2C37003212713,ou=Authentication,o=ESTEID,c=EE
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
cn: OOLBERG,IMRE,37003212713
serialNumber: 37003212713
userCertificate;binary:: MIIEGjCCAwKgAwIBAgIESIQxaDANBgkqhkiG9w0BAQUFADBbMQswC
QYDVQQGEwJFRTEiMCAGA1UEChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMGRV
...
z5vZN4059dNaqZqVg5rlVrLS5/T+sK8PHxYcO+SKDZYobddJIv6i2XlpVAQLgkChEiXI2Bd3AMfpw
fVbAjDsHXasblBtut7k1MItT3YLaNZ/xq9BY/B7afXqg==

dn: cn=OOLBERG\2CIMRE\2C37003212713,ou=Digital Signature,o=ESTEID,c=EE
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
cn: OOLBERG,IMRE,37003212713
serialNumber: 37003212713
userCertificate;binary:: MIID2jCCAsKgAwIBAgIESIQxaTANBgkqhkiG9w0BAQUFADBbMQswC
QYDVQQGEwJFRTEiMCAGA1UEChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMGRV
..

Konkreetse sertifikaadi dn elemendi kopeerimiseks sobib öelda nt

$ ldapsearch -LLL -H ldap://ldap.sk.ee -x -b ou=authentication,o=ESTEID,c=EE "(serialNumber=37003212713)" dn
dn: cn=OOLBERG\2CIMRE\2C37003212713,ou=Authentication,o=ESTEID,c=EE

===Kaardilugeja ühendamine operatsioonisüsteemiga===

Märkus: 2010 kevade seisuga peaks töötama täitsa hästi Linuxi ja Windowsiga nt kaks sellist mudelit, mida on ka kauplustes suhteliselt hästi saada

* Omnikey Cardman 1021 - USB (lauaarvutile, sülearvutile)
* Omnikey Cardman 4321 - ExpressCard http://en.wikipedia.org/wiki/ExpressCard (sülearvutile)

Ehk kõige parem kui kaardilugeja ühendub arvutiga USB abil, nt sobib mudel SRC-331. Debian Etch ja Lenny sisaldavad paketihalduses ID-kaardi kasutamiseks sobivat tarkvara, mille koduleht asub aadressil http://ideelabor.ee/ ja mille kasutamist käesolev tekst kirjeldab.

USB kaudu ühendatud ID-kaardilugeja kasutamise eelduseks on, et operatsioonisüsteem toetab USB seadmete kasutamist, sellest annab tunnistust peale kaardilugeja ühendamist lsusb sarnane väljund, kus on muu seas näha SCR331 seadmele vastav rida

# lsusb
Bus 004 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub
Bus 003 Device 002: ID 0483:2016 SGS Thomson Microelectronics Fingerprint Reader
Bus 003 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub
Bus 002 Device 006: ID 04e6:e001 SCM Microsystems, Inc. SCR331 SmartCard Reader
Bus 002 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub
Bus 001 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub

ID-kaardiga suhtlemiseks vajaliku tarkvara paigaldamiseks tuleb öelda

# apt-get install opensc pcscd libccid

Seejärel tuleb redigeerida kahte faili

* Näitena jagatavas /etc/opensc/opensc.conf failis tuleb teha kolm muudatust

# zcat /usr/share/doc/libopensc2/examples/opensc.conf.gz > /etc/opensc/opensc.conf

Leidke failist üles need parameetrid ning muutke nende väärtused sellisteks

try_emulation_first = yes;
lock_login = false;
reader_drivers = pcsc, ctapi;

* Failis /usr/lib/pcsc/drivers/ifd-ccid.bundle/Contents/Info.plist peavad sisalduma sellised read (tundub, et see on teatud SRC331 mudelite või eksemplaride spetsiifiline asi), leidke ja muutke olemasolevaid

<key>ifdDriverOptions</key>
<string>0x0004</string>

Seejärel seisake ja käivitage pcscd deemon

# /etc/init.d/pcscd restart

Kontrollimaks, et tarkvara sai korrektselt paigaldatud küsime süsteemi ühendatud kaardilugejate nimekirja

# opensc-tool -l
Readers known about:
Nr. Driver Name
0 pcsc SCM SCR 331 00 00

Ning küsime ID-kaardile kantud sertifikaatide nimekirja

# pkcs15-tool -c
X.509 Certificate [Isikutuvastus]
Flags : 0
Authority: no
Path : 3f00eeeeaace
ID : 01

X.509 Certificate [Allkirjastamine]
Flags : 0
Authority: no
Path : 3f00eeeeddce
ID : 02

===pkcs11-tool utiliidi kasutamine===

PKCS#11 is a software API for accessing cryptographic hardware like smart cards or HSM. pkcs11-tool realiseerib PKCS11 (Public Key Cryptography Standards) standardit ja võimaldab suhelda krüptoseadmega üle Cryptoki (Cryptographic Token Interface) API. Slottide nimekirja esitamiseks sobib öelda

<pre>
# pkcs11-tool -L
Available slots:
Slot 0 (0x0): Alcor Micro AU9540 00 00
(empty)
Slot 1 (0x4): Gemalto PC Twin Reader (A76A2DE4) 01 00
token label : PIN1 (OOLBERG,IMRE,37003212713)
token manufacturer : AS Sertifitseerimiskeskus
token model : PKCS#15 emulated
token flags : login required, rng, token initialized, PIN initialized
hardware version : 0.0
firmware version : 0.0
serial num : AA9909781
pin min/max : 4/12
Slot 2 (0x5): Gemalto PC Twin Reader (A76A2DE4) 01 00
token label : PIN2 (OOLBERG,IMRE,37003212713)
token manufacturer : AS Sertifitseerimiskeskus
token model : PKCS#15 emulated
token flags : login required, rng, token initialized, PIN initialized
hardware version : 0.0
firmware version : 0.0
serial num : AA9909781
pin min/max : 5/12
</pre>

Slot sisu esitamiseks, nb! slot numbri väärtus tuleb võtta sulgudest, küsitakse pin1 väärtust

<pre>
# pkcs11-tool --slot 4 -O -l
Logging in to "PIN1 (OOLBERG,IMRE,37003212713)".
Please enter User PIN:

Private Key Object; EC
label: Isikutuvastus
ID: 01
Usage: sign, derive
Certificate Object; type = X.509 cert
label: Isikutuvastus
ID: 01
Public Key Object; EC EC_POINT 384 bits
EC_POINT: 0461046231c67...
EC_PARAMS: 06052b81040023
label: Isikutuvastus
ID: 01
Usage: encrypt, verify
</pre>

kus

* ühes slotis on paistab olevat kolm objekti, private key, sertifikaat ja public key

Kasulikud lisamaterjalid

* https://en.wikipedia.org/wiki/PKCS
* https://github.com/OpenSC/OpenSC/wiki/Frequently-Asked-Questions

===pkcs15-tool utiliidi kasutamine===

PKCS#15 is a format of on-card structures that defines a “filesystem layout” for smart cards. pkcs15-tool abil saab kopeerida ID-kaardilt sertifikaate, sedasi

# pkcs15-tool -r 01
-----BEGIN CERTIFICATE-----
MIIEGjCCAwKgAwIBAgIESIQxaDANBgkqhkiG9w0BAQUFADBbMQswCQYDVQQGEwJF
RTEiMCAGA1UEChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMG
RVNURUlEMRcwFQYDVQQDEw5FU1RFSUQtU0sgMjAwNzAeFw0wODA3MjEwNjQ5MTJa
Fw0xMjA5MTEyMTAwMDBaMIGRMQswCQYDVQQGEwJFRTEPMA0GA1UEChMGRVNURUlE
MRcwFQYDVQQLEw5hdXRoZW50aWNhdGlvbjEhMB8GA1UEAxMYT09MQkVSRyxJTVJF
LDM3MDAzMjEyNzEzMRAwDgYDVQQEEwdPT0xCRVJHMQ0wCwYDVQQqEwRJTVJFMRQw
EgYDVQQFEwszNzAwMzIxMjcxMzCBnzANBgkqhkiG9w0BAQEFAAOBjQAwgYkCgYEA
3FR0AP2oX5NCs8+u/hNpnYWyB2eNrnWyG3JXsiqCo14uAaOVmMb82g73SRLPEnAG
yxU/GtRuKT7iOg4f+HTy9bGBaJp6/N9uH8MNtkOzoDppMn909Rm+OqIaHMQkskFC
Kd8X3deAtEwI/YektKKnPbFEZFfLxLKbxvB4WNhFbYECA1W7daOCATEwggEtMA4G
A1UdDwEB/wQEAwIEsDAdBgNVHSUEFjAUBggrBgEFBQcDAgYIKwYBBQUHAwQwPAYD
VR0fBDUwMzAxoC+gLYYraHR0cDovL3d3dy5zay5lZS9jcmxzL2VzdGVpZC9lc3Rl
aWQyMDA3LmNybDAgBgNVHREEGTAXgRVpbXJlLm9vbGJlcmdAZWVzdGkuZWUwUQYD
VR0gBEowSDBGBgsrBgEEAc4fAQEBATA3MBIGCCsGAQUFBwICMAYaBG5vbmUwIQYI
KwYBBQUHAgEWFWh0dHA6Ly93d3cuc2suZWUvY3BzLzAfBgNVHSMEGDAWgBRIBt6+
jIdXlYB4Y/qcIysroDoYdTAdBgNVHQ4EFgQUvIL+20MDRof3J9Avt6Z3d1obuAUw
CQYDVR0TBAIwADANBgkqhkiG9w0BAQUFAAOCAQEAajU/cJ7zVocAkJDgIrV8gXn3
hZ9CM5k1/W3GVEEXqkdTHU/clW5D14PmC+f2a7rN2FxJ3bQuxU/xB6W4xKDZ9fys
Y31lGxpPHIsHwqaPl93l1u3iaMo9835yMVfiZOi0Iq2y0ZlnPwVAOjWNUzMwikdj
1ElhnHacFc4NrevOqgaOZIN2A1DIDgxMXLiR8PAHlPSnK8cXnClRXgcIT3p4OPYy
rH6z7z5vZN4059dNaqZqVg5rlVrLS5/T+sK8PHxYcO+SKDZYobddJIv6i2XlpVAQ
LgkChEiXI2Bd3AMfpwfVbAjDsHXasblBtut7k1MItT3YLaNZ/xq9BY/B7afXqg==
-----END CERTIFICATE-----

Selle sertifikaadi sisu arusaadavamale kujule viimiseks tuleb öelda

# pkcs15-tool -r 01 > imreoolberg-autentimise-sertifikaat.pub
# openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -text
Certificate:
Data:
Version: 3 (0x2)
Serial Number: 1216622952 (0x48843168)
Signature Algorithm: sha1WithRSAEncryption
Issuer: C=EE, O=AS Sertifitseerimiskeskus, OU=ESTEID, CN=ESTEID-SK 2007
Validity
Not Before: Jul 21 06:49:12 2008 GMT
Not After : Sep 11 21:00:00 2012 GMT
Subject: C=EE, O=ESTEID, OU=authentication, CN=OOLBERG,IMRE,37003212713, SN=OOLBERG, GN=IMRE/serialNumber=37003212713
Subject Public Key Info:
Public Key Algorithm: rsaEncryption
RSA Public Key: (1024 bit)
Modulus (1024 bit):
..

Sertifikaadist saab küsida ka üksikuid elemente, nt Subject'i, mis näitab kellele on sertifikaat väljastatud

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -subject
subject= /C=EE/O=ESTEID/OU=authentication/CN=OOLBERG,IMRE,37003212713/SN=OOLBERG/GN=IMRE/serialNumber=37003212713

või Issuer'i, mis näitab, kes sertifikaadi väljastas

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -issuer
issuer= /C=EE/O=AS Sertifitseerimiskeskus/OU=ESTEID/CN=ESTEID-SK 2007

või ajavahemiku, mil sertifikaat kehtib

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -dates
notBefore=Jul 21 06:49:12 2008 GMT
notAfter=Sep 11 21:00:00 2012 GMT

Lisaks sertifikaatidele ja võtmetele sisaldab veel andmeid id kaardi nö elektroolilises osas, nt dokumendi number. Seda ja muid andmeid saab küsides nn dump'i

# pkcs15-tool -D -r 01
Using reader with a card: SCM SCR 331 [CCID Interface] (504005BE) 00 00
..
PKCS#15 Card [IMRE OOLBERG]:
Version : 2
Serial number : A0055799
Manufacturer ID: AS Sertifitseerimiskeskus
Flags : Read-only, PRN generation, EID compliant
...

Kui arvutis on kasutusel mitu ID kaarti, siis saab kontrollida millisega tegeledakse parameetri abil

--reader N

===Iceweasel brauseri kasutamine===

Iceweasel brauseri abil on iseenesest võimalik kahe tegevuse sooritamine

* autentimine - kasutaja kinnitab teenusele, nt veebiportaalile, et tema kasutuses on tema autentimise sertifikaadis sisalduvale avalikule võtmele vastav salajane võti
* digitaalne allkirjastamine - kastutaja kinnitab teenusele, nt pangaülekande sooritamisel, et tema kasutuses on tema allkirjastamise sertifikaadis sisalduvale avalikule võtmele vastav salajane võti

Kuivõrd teenuse jaoks on praktiliselt oluline, et kasutaja kinnitaks sertifikaadile vastava salajase võtme olemasolu PIN koodi sisestamise teel, siis siit järeldub, et tuleb hoolega hoida ID-kaarti ning ID-kaardi PIN koode enda teada.

Brauseri tööleseadmine autentimiseks on lihtsam ning allkirjastamiseks keerulisem. Tundub, et praktiliselt on 2009 klienditarkvara ja nende teenuste tarkvara, mida saab Iceweaseliga kasutada seis selline, et Iceweasel brauser iseseisvalt ei tegele andmete allkirjastamisega; allkirjastamine toimub nt Java appleti abil, kusjuures applet küsib kasutajalt allkirjastamiseks vajalikku PIN2 koodi. Seda arvestades on soovitav kasutada turvaseadme kirjeldamisel spetsiaalselt ettevalmistatud teeki onepin-opensc-pkcs11.so, mis efektiivselt varjab brauseri eest ära teise sertifikaadi, kui seda mitte teha, siis praktililiselt hakkab brauser kasutajalt küsima ise vaheldumisi mõlema sertifikaadi PIN koodi ja see oleks üsna eksitav.

Brauseri ID-kaardiga kasutamise ettevalmistamiseks tuleb avada

Edit -> Preferences -> Advanced -> Encryption -> Security Devices -> Load

ning kirjeldada Eesti ID-kaardile vastav turvaseade (ingl. k. security device)

Module Name: esteid
Module filename: /usr/lib/onepin-opensc-pkcs11.so

Sõltuvalt sellest, kas soovitakse, et peale PIN1 sisestamist küsiks brauser kasutajalt igal ID-kaardiga autentimise korral kinnitust või mitte tuleb valida

* Select one automatically
* Ask me every time

[[Pilt:Id-auth-cc.gif]]

====Iceweasel brauseri kasutamine autentimiseks====

Auntentimiseks piisab turvaseadme ettevalmistamisest ning seejärel saab näiteks logida sisse riigiportaali, küsitakse PIN1 koodi

[[Pilt:Id-auth-java-pin1.gif]]

====Iceweasel brauseri kasutamine allkirjastamiseks====

Nt SEB pangas makset sooritades toimub digitaal-allkirjastamise protseduur; ja https://digidoc.sk.ee/ või riigiportaali eesti.ee kasutamisel saab moodustada uut digitaalselt allkirjastatud dokumenti või kontrollida olemasoleval digitaalselt allkirjastatud dokumendil allkirja kehtivust. Osa kasutajaid suhtub veebiliidese kaudu dokumentide allkirjastamisse äärmiselt kahtlustavalt, kuna kui juba lokaalse rakendusega digitaalallkirja andmisel ei saa olla täiesti kindel, millele ikkagi allkiri antakse, siis veebirakenduse puhul on see veel eriti nii.

Iceweasel brauseriga allkirjastamiseks peab olema paigaldatud Mozilla Sun Java plugini tarkvara pakett (millega koos paigaldatakse vajadusel ka JVM, kusjuures on oluline kasutada justnimelt Sun Java mitte IBM või GCJ implementatsioone)

# apt-get install sun-java5-plugin

Ning lisaks kopeerida teek

# mkdir /tmp/teek && cd /tmp/teek
# wget http://ideelabor.ee/downloads/pkcs11wrapper-linux.tar.gz
# tar zxf pkcs11wrapper-linux.tar.gz
# find . -type f -ls
442489 104 -rwxr-xr-x 1 501 501 99004 Apr 23 2004 ./libpkcs11wrapper.so

Seejärel tuleb otsida üles arvutist JVM kataloog

# find /usr -type f -name java -ls
173534 68 -rwxr-xr-x 1 root root 65116 May 28 2008 /usr/lib/jvm/java-1.5.0-sun-1.5.0.16/jre/bin/java

mis tähendab, et

JAVA_HOME=/usr/lib/jvm/java-1.5.0-sun-1.5.0.16

Lõpuks tuleb kopeerida lahtipakitud teek kataloogi ${JAVA_HOME}/jre/lib/i386

# cp libpkcs11wrapper.so /usr/lib/jvm/java-1.5.0-sun-1.5.0.16/jre/lib/i386

Lisaks peavad olema lingid, esimene on vajalik digidoc portaali kasutamiseks ja teine SEB pangas

# ln -s /usr/lib/opensc-pkcs11.so /usr/lib/libopensc-pkcs11.so
# ln -s /usr/lib/opensc-pkcs11.so /usr/lib/libesteid-pkcs11.so

NB! Java tarkvara uuendamisel mõnel juhul muutub ka versiooni number nii, et muutub java asukoht failisüsteemis, nt

/usr/lib/jvm/java-1.5.0-sun-1.5.0.16 -> /usr/lib/jvm/java-1.5.0-sun-1.5.0.17

Sel juhul tuleb libpkcs11wrapper.so kopeerida samasse alamkataloogi kuhu ennegi uue java kataloogi sisse.

Kui süsteemi on paigaldatud lisaks mõni uuem java versioon, nt paketist sun-java6-*, siis tuleb kõnealune wrapper kopeerida kõige uuema Java vastavasse kataloogi, nt

# cp libpkcs11wrapper.so /usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/i386/

=====Allkirjastamine SEB pangas=====

Peale panga keskkonda sisselogimist (kas otseselt või läbi mõne muu teenusepakkuja, nt www.if.ee, www.energia.ee jt) ning maksekorralduse ettevalmistamist esitatakse allkirja andmise juurde esmakordsel minemisel küsimus rakenduse usaldusväärsuse kohta

[[Pilt:Id-allkiri-java-pin4.gif]]

ja seejärel tuleb ära oodata pisut eksitav tühi aken, kus tuleb valida Cancel

[[Pilt:Id-allkiri-java-pin3.gif]]

ning seejärel valides Allkirjasta öeldakse, et loetakse andmeid kiipkaardilt ning küsitakse PIN2 koodi

[[Pilt:Id-allkiri-java-pin2.gif]]

Allkirjastamise ajal töötab java rakendus sun.plugin2.main.client.PluginMain

$ ps aux | grep java
mart 6859 10.1 4.7 242668 48832 ? Sl 10:55 0:04 /usr/lib/jvm/java-6-sun-1.6.0.12/jre/bin/java -D__jvm_launched=5951554477 \
-Xbootclasspath/a:/usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/deploy.jar:/usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/javaws.jar:\
/usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/plugin.jar -Djava.class.path=/usr/lib/jvm/java-6-sun-1.6.0.12/jre/classes \
sun.plugin2.main.client.PluginMain write_pipe_name=/tmp/.com.sun.deploy.net.socket.5659.2862701817965363267.AF_UNIX

=====Allkirjastamine Sertifitseerimiskeskuse digidoc.sk.ee portaalis=====

https://digidoc.sk.ee/ portaal võimaldab veebipõhises keskkonnas sooritada digitaalallkirjastamisega seotud protseduure, nt anda allkirja, kontrollida allkirja ja jagada sama dokumenti teiste portaali kasutajatega selleks, et ühte dokumenti saaks allkirjastada mitu osapoolt. Portaali sisenemisel avaneb kasutuskeskkonnale sarnane vaade, süsteemi on laaditud kaks dokumenti, ühel on üks allkiri ja teisel ei ole ühtegi allkirja

[[Pilt:Digidoc-1.gif]]

Keskkonna kasutamine võiks toimuda suhteliselt intuatiivselt, dokumenti allkirjastamisel tuleb täita sarnased lahtrid nagu nn lokaalset digidoc klienti kasutades

[[Pilt:Digidoc-2.gif]]

Allkirjastamisel küsitakse kasutajalt PIN2 koodi

[[Pilt:Digidoc-3.gif]]

https://digidoc.sk.ee/ keskkonnas ei saa tegeleda krüptitud dokumentidega ehk nn .cdoc failidega.

=====Allkirjastamine riigiportaalis www.eesti.ee=====

Aadressil https://www.eesti.ee/ asuvas riigiportaalis sektsioonis

Kodanikule -> Digitaalallkiri

saab veebipõhises keskkonnas sooritada digitaalallkirjastamisega seotud protseduure, nt anda allkirja, kontrollida allkirja ja jagada sama dokumenti teiste portaali kasutajatega selleks, et ühte dokumenti saaks allkirjastada mitu osapoolt.

Portaali Digiallkirja sektsiooni sisenemisel avaneb kasutuskeskkonnale sarnane vaade, süsteemi on laaditud kaks dokumenti, ühel on üks allkiri ja teisel ei ole ühtegi allkirja

[[Pilt:Riigiportaal-digiallkiri-1.gif]]

Keskkonna kasutamine võiks toimuda suhteliselt intuatiivselt, dokumendi allkirjastamisel tuleb täita sarnased lahtrid nagu nn lokaalset digidoc klienti kasutades, PIN2 sisestamine toimub Java appleti abil, sarnaselt

[[Pilt:Riigiportaal-digiallkiri-2.gif]]

Riigiportaalis ei saa tegeleda krüptitud dokumentidega ehk nn .cdoc failidega.

===Icedove postikliendi kasutamine===

Lisaks nö tavalistele e-kirjadele on võimalik moodustada spetsiaalsete lisaomadustega kirju

* allkirjastatud kiri - kirja saatja moodustab allkirja oma salajase võtmega; kirja saaja saab olla kindel, et kiri on saadetud just selle kasutaja poolt kelle sertifikaadi (avaliku võtme) abil õnnestub kirja autentsust kontrollida; kirja sisu on kõigile avalik, kuid kirjale on nö attachmentiga sarnaselt juurde digitaalse allkirja osa; oluline erinevus nö .ddoc allkirjastamisest on, et reeglina ei kasutata seejuures Sertifitseerimiskeskusest saadud kehtivuskinnitust
* krüptitud kiri - kirja saatja krüptib kirja adressaadi avaliku võtmega (sertifikaadiga); kirja saatja saab olla kindel, et mitte keegi peale selle kasutaja, kelle kasutuses on vastav salajane võti saab kirja sisuga tutvuda

Tuleb arvestada, et eposti allkirjastamine ja krüptimine omab tähendust ainult epostiga tegelemisel ning kuigi see tehnika pakub võimaluse täiendava turvalisuse saavutamiseks ei ole tegu Eesti Vabariigi seaduse mõttes kehtiva digitaalselt allkirjastatud dokumendiga juba seetõttu, et mõlemal juhul kasutatakse autentimise sertifikaati.

Kirja krüptimisel ei ole see tingimata oluline, aga allkirjastamiseks Eesti ID-kaardil asuva autentimise sertifikaadile vastava salajase võtmega eeltingimuseks on, et kasutaja on oma postiprogrammis kirjeldanud tema sertifikaadil leiduva postiaadressiga seotud konto. Sertifikaadile märgitud postiaadressi saab küsida sertifikaadilt öeldes

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -email
imre.oolberg@eesti.ee

Iceweasel programmi ID-kaardiga kasutamise ettevalmistamiseks tuleb avada

Edit -> Preferences -> Advanced -> Certificates -> Security devices -> Load

ning kirjeldada Eesti ID-kaardile vastava turvaseade (ingl. k. security device)

Module Name: esteid
Module filename: /usr/lib/onepin-opensc-pkcs11.so

Lisaks tuleb laadida Icedove'i SK juursertifikaat, ESTEID-SK ja ESTEID-SK 2007 sertifikaadid, mis saab kopeerida http://www.sk.ee/ (Avaleht -> Sertifitseerimine -> Baasinfo -> Juursertifikaadid) veebikohast

Edit -> Preferences -> Advanced -> Certificates -> View Certificates -> Authorities -> Import

Kusjuures tuleb kindlasti vastata jaatavalt küsimusele, et neid usaldatakse eposti jaoks kasutamiseks

[[Pilt:Id-sign-0.gif]]

Seejärel tuleb Icedove'is seoses nn @eesti.ee aadressiga, nt imre.oolberg@eesti.ee, kirjeldatud konto juures näidata, milliseid sertifikaate kasutatakse eposti allkirjastamise ning krüptimise juures, valida ülemine Select (Digital Signing)

[[Pilt:Id-sign-1.gif]]

Peale PIN1 koodi sisestamist esitab arvuti valitud sertifikaadi andmed

[[Pilt:Id-sign-2.gif]]

Valides järgmisena Encryption juures Select küsib arvuti, kas ma soovin kasutada sama sertifikaati (õigemini sama sertifikaadiga seotud salajast võtit) teiste kasutajate poolt mulle saadetud krüptitud kirjade (mis on krüptitud minu avaliku võtmega) lahtikürptimiseks, sobib vastata jaatavalt.

====Icedove postikliendi kasutamine eposti allkirjastamiseks====

Kirja saatmine toimub tavapäraselt ainukese erinevusega, et enne kirja saatmist tuleb valida Security alt

Digitally Sign This Message

[[Pilt:Id-sign-3-1.gif]]

Kirja saajal peab olema postiprogrammi laaditud vähemalt SK juursertifikaat (sellest piisab allkirja kontrollimiseks, sest signatuur sisaldab ka allkirjastaja sertifikaati ning ahelat SK juursertifikaadini ja brauseris oleva SK juursertifikaadiga saab seega tuvastada kasutaja allkirja kehtivust) abil ning kiri pasitab sellisena

[[Pilt:Id-sign-3-2.gif]]

Messsage Security aken avaneb vajutades programmiakna paremas servas asuvale kollane-punane värvi ümbriku kujutisele ja ütleb, et vaatlusalune kiri on allkirjastatud (ingl. k. signed) ning allkiri (ingl. k. signature) on kehtiv. St kirja saaja saab olla kindel, et kiri on saadetud selle poolt, kelle kasutada on allkirja kontrollimisel kasutatud sertifikaadile vastav salajane võti.

====Icedove postikliendi kasutamine eposti krüptimiseks====

Eposti krüptimine toimub adressaadi Eesti ID-kaardi autentimise avaliku võtmega, mis tähendab, et keegi teine peale vastava salajase võtme valdaja ei saa sõnumi teksti sisuga tutvuda. Kirja saatmisel tuleb valida

Security -> Encrypt This Message

[[Pilt:Id-sign-3-3.gif]]

Kirja lugemisel peab olema võimalik kasutada ID-kaarti ning tulemus võiks paista sarnane

[[Pilt:Id-sign-3-4.gif]]

Security Message aken avaneb vajutades programmiakna paremas servas asuvale tabaluku kujutisele ja ütleb, et kiri on krüptitud ning selle sisuga on peale adressaadi teistel kasutajatel ülimalt raske tutvuda.

Kui krüptitud kirja adressaadil on ID-kaardi kasutamine seadistamata, siis esitab programm kasutajale veateadet

Icedove cannot decrypt this message

The sender encrypted this message to you using one of your digital certificates, however Icedove was not able to find
this certificate and corresponding private key.

Possible solutions:

* If you have a smartcard, please insert it now.
* If you are using a new machine, or if you are using a new Icedove profile, you will need to restore your certificate
and private key from a backup. Certificate backups usually end in ".p12".

Krüptimisel tuleb arvestada, et kirja päised sh Message-ID, Date, From, To, Subject jt ei ole krüptitud

..
Message-ID: <49B277C9.8010303@eesti.ee>
Date: Sat, 07 Mar 2009 15:34:01 +0200
From: Imre Oolberg <imre.oolberg@eesti.ee>
User-Agent: Mozilla-Thunderbird 2.0.0.19 (X11/20090103)
MIME-Version: 1.0
To: imre.oolberg@eesti.ee
Subject: eesti muld ja eesti =?ISO-8859-1?Q?s=FCda?=
Content-Type: application/x-pkcs7-mime; name="smime.p7m"
Content-Transfer-Encoding: base64
Content-Disposition: attachment; filename="smime.p7m"
Content-Description: S/MIME Encrypted Message

MIAGCSqGSIb3DQEHA6CAMIACAQAxgf0wgfoCAQAwYzBbMQswCQYDVQQGEwJFRTEiMCAGA1UE
ChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMGRVNURUlEMRcwFQYDVQQD
Ew5FU1RFSUQtU0sgMjAwNwIESIQxaDANBgkqhkiG9w0BAQEFAASBgB4isztO9MjE1ZQUzA7e
U1E0YTQZF0nIW4b46Nn/Be+DtUgzZWyZjgln4YxqQ7vDWPJiFNJTqdLjNCPGb6WEJ7ddZJGp
hM/z+tyCNHrXP6DbvjtmF9qJ9WgvyiqHyQMr8FKRCnLdcj70G+N0EzFnsMq4QsvLi6PHaE7v
rWGWq1ynMIAGCSqGSIb3DQEHATAUBggqhkiG9w0DBwQInoBpNLI3/IOggASCAijikH35Tqn9
..

====Teiste kasutajate sertifikaatide kasutamine====

Selleks, et

* saata teisele @eesti.ee postisüsteemi kasutajale krüptitud kirja
* kontrollida teise @eesti.ee postisüsteemi kasutaja poolt saadetud allkirjastatud kirja allkirja

peab olema Icedove'i laaditud teise kasutaja avalik võti, mis esineb nn autentimise sertifikaadi kujul. Selleks tuleb teades kasutaja isikukoodi kopeerida sertifikaadid ldap.sk.ee serverist, nt

$ ldapsearch -LLL -H ldap://ldap.sk.ee -x -b "c=EE" "(serialNumber=37003212713)"

Salvestada esimesele sertifikaadile vastav tekstiosa st

...
userCertificate;binary:: MIID2jCCAsKgAwIBAgIESIQxaTANBgkqhkiG9w0BAQUFADBbMQswC
..
cOXVX08WgFeVtlH1S6AeDIuY1i/EIngiAUV
....

tekstifaili, alates MIID2.. osast, tekstifail peab algama ja lõppema spetsiaalse tunnusega, kokku peab saama sarnane fail

-----BEGIN CERTIFICATE-----
MIID2jCCAsKgAwIBAgIESIQxaTANBgkqhkiG9w0BAQUFADBbMQswC
..
cOXVX08WgFeVtlH1S6AeDIuY1i/EIngiAUV
-----END CERTIFICATE-----

Ning see fail tuleb laadida Icedove'i valides

Edit -> Preferences -> Advanced -> Certificates -> View Certificates -> Other People's -> Import

Seejärel saab saada sertifikaadis näidatud eposti aadressile krüptitud posti ning samuti kontrollida selle kasutaja poolt allkirjastatud eposti signatuuri.

Kui on võimalik, siis saab teise kasutaja isikutuvastuse sertifikaadi postiklienti laadimiseks kasutada ka lihtsamat protseduuri. Nimelt, piisab kui teine kasutaja saadab esmalt signeeritud kirja ning see kiri postikliendiga avada. Sel juhul salvestatakse sertifikaat automaaselt postikliendi Other people's sertifikaatide hoidlasse.

Üldiselt võib üks ja sama kiri olla samaaegselt nii signeeritud kui ka krüptitud.

===@eesti.ee aadresside kasutamine===

Kuna Eesti ID-kaardi autentimise sertifikaadile vastava avaliku võtmega kürptitud kirju saab saata tingimusel, et adressaadiks on sertifikaadis esitatud aadress, mis on kujul

eesnimi.perekonnanimi@eesti.ee

või kui sama ees-ja perekonnanimega kasutajaid oma rohkem kui üks, siis järgmistele aadressidele on perekonnanime järele lisatud arv

eesnimi.perekonnanimi.1@eesti.ee

siis oleks hea kui sellistele aadressidele saadetud kirjad mugavasti adressaadi postkasti jõuaksid.

Käesolev asjakorraldus võimaldab Eesti ID-kaardi omanikel aadressil http://www.eesti.ee/ asuvas riigiportaalis seadistada, kuhu tema @eesti.ee aadressile saadetud kirjad edasi saadetakse. Tavaliselt on selleks nt mail.ee, gmail.com vms teenusepakkuja postkastiga seotud eposti aadress.

Kuigi tehniliselt teeb @eesti.ee aadressi kasutamine mugavaks signeeritud ja krüptitud kirjade vahetamise, töötab see ka nö tavaliste kirjade puhul.

Kusjuures varasemal ajal on kasutatud ID-kaardi autentimise sertifikaadis ka aadressi kujul, kus nnnn on neljakohaline arv

eesnimi.perekonnanimi_nnnn@eesti.ee

Lisaks, @eesti.ee postisüsteem võimaldab seadistada kasutajal omale edasisuunamise aadressi aadressile

isikukood@eesti.ee

kuid kuna see aadress ei esine sertifikaadis, siis ei ole võimalik seda kasutada eposti allkirjastamisel ega krüptimisel.

===Sertifikaadi kehtivuse kontrollimine===

Avaliku võtme infrastruktuuri üheks ülesandeks on hallata kasutajate sertifikaate sh mitmetel põhjusel sertifikaat kehtetuks kuulutada. Seega, sertifikaadi kasutamisel on oluline kontrollida, kas sertifikaat kasutamise ajal kehtib, seda saab teha SK OCSP (Online Certificate Status Protocol) abil öeldes

$ openssl ocsp -issuer esteid.pem -cert idkaardiltsert.pem -url http://ocsp.sk.ee -noverify -text
OCSP Request Data:
Version: 1 (0x0)
Requestor List:
Certificate ID:
Hash Algorithm: sha1
Issuer Name Hash: 4508A41C355C0A72485FE2DF7B6A6788C6A55022
Issuer Key Hash: 4806DEBE8C875795807863FA9C232B2BA03A1875
Serial Number: 48843168
Request Extensions:
OCSP Nonce:
0410090A1FA4F0555E82C1DFB4722FC61696
OCSP Response Data:
OCSP Response Status: successful (0x0)
Response Type: Basic OCSP Response
Version: 1 (0x0)
Responder Id: C = EE, O = ESTEID, OU = OCSP, CN = ESTEID-SK 2007 OCSP RESPONDER, emailAddress = pki@sk.ee
Produced At: Oct 7 22:15:36 2008 GMT
Responses:
Certificate ID:
Hash Algorithm: sha1
Issuer Name Hash: 4508A41C355C0A72485FE2DF7B6A6788C6A55022
Issuer Key Hash: 4806DEBE8C875795807863FA9C232B2BA03A1875
Serial Number: 48843168
Cert Status: good
This Update: Oct 7 22:15:36 2008 GMT

Response Extensions:
OCSP Nonce:
0410090A1FA4F0555E82C1DFB4722FC61696
cert.pem: good
This Update: Oct 7 22:15:36 2008 GMT

Kus esteid.pem sertifikaadi saab kopeerida SK veebikohast.

===ID-kaardi kasutamine chroot keskkonnast===

Märkus: 20090314 stabiilne Debian Lenny sisaldab sun-java6-plugin paketti.

Üks praktiline vajadus kasutada ID-kaarti chroot programmiga moodustatud chroot keskkonnast oleks 64 bit Debiani operatsioonisüsteemis kasutada 32 bit Iceweaselit'i. Põhjusel, et 32 bit arhitektuurile on olemas Iceweaseli java plugin (pakett sun-java6-plugin), aga 64 bitile seda 2008 aastal pole. Omakorda on java vajalik, et saaks nt SEB pangas allkirjastada st sooritada ülekannet.

Tundub, et kui arvutile külge ühendatud ID-kaarti on tarvis kasutada chroot käsu abil moodustatud chroot keskkonnast, siis tuleb öelda (pcscd deemon töötab nn absoluutses arvutis)

# mount --bind /var/run/pcscd /srv/arvuti-32/var/run/pcscd

ning seejärel tuleb käivitada iceweasel nt selliselt läbi sudo

$ sudo /usr/sbin/chroot /srv/arvuti-32 iceweasel

Selleks, et chroot keskkonnas käivitatud iceweasel saaks näidata oma pilti X serverile tuleb xhost käsuga kaasa aidata, nt öelda

$ xhost +iceweaseliarvutinimi

kusjuures ilma argumentideta xhost näitab, millistest arvutitest on võimalik X serveri poole pöörduda.

Kirjeldatud asjakorralduse puhul ei ole tarvis chroot keskkonda ühendada külge mingeid muid failisüsteeme (nt /proc, /sys) ega käivitada seal deemoneid pcscd vms.

Sudo töötamiseks on vajalik omakorda sellist sisu /etc/sudoers faili

User_Alias CHROOT_USERS = mart
Cmnd_Alias CHROOT_CMD = /usr/sbin/chroot
Host_Alias MORAAL = arvuti
CHROOT_USERS MORAAL = (root) NOPASSWD: CHROOT_CMD

Milliseid turvariske selline asjakorraldus tema jaoks toob peab iga kasutaja ise hindama, eriti seoses X serverile ligipääsemisega kus on avatud ID-kaarti kasutav rakendus.

===ID-kaardi kasutamine konsoolilt arvutisse sisselogimiseks===

Arvutisse sisselogimise kontrollimist on võimalik korraldada ID-kaardi isikutuvastuse sertifikaadiga. Ehk täpsemini, sisselogimisel peab kasutaja tõendama, et ta saab kasutada isikutuvastuse sertifikaadile vastavat salajast võtit ja seda ta teeb PIN1 koodi sisestamise teel.

Tööleseadistatud süsteemi kasutamine näeb välja mitte-graafilise konsooli (tõenäoliselt mingi getty) kasutamisel selliselt, tulemusena on kasutaja süsteemi sisse loginud, nt juurkasutaja

Debian GNU/Linux 5.0 arvutinimi tty4

arvutinimi login: root
Please insert your smart card or enter your username.
Smart card inserted.
Welcome to ID-kaart (PIN1, Isikutuvastus)!
Smart card password:
...

bash#

Sellise asjakorralduse tööleseadmiseks tuleb üldiselt ID-kaart arvutiga ära ühendada nii nagu on ülal punktis 'Kaardilugeja ühendamine operatsioonisüsteemiga' kirjeldatud ning seejärel

* seadistada sisselogimise kontrolli süsteemne osa
* seadistada sisselogimise kontrolli kasutajaspetsiifiline osa

====Süsteemi ettevalmistamine====

Süsteemi ettevalmistamiseks tuleb lisaks paigaldada pakett libpam-pkcs11

# apt-get install libpam-pkcs11

Seejärel moodustada kataloog /etc/pam_pkcs11, sinna näidise eeskujul seadistusfail

# mkdir /etc/pam_pkcs11
# zcat /usr/share/doc/libpam-pkcs11/examples/pam_pkcs11.conf.gz > /etc/pam_pkcs11/pam_pkcs11.conf
# zcat /usr/share/doc/libpam-pkcs11/examples/pam_pkcs11.conf.gz > /etc/pam_pkcs11/pam_pkcs11.conf-orig

ja teha seadistusfailis sellised muudatused

# diff pam_pkcs11.conf pam_pkcs11.conf-orig
85,86c85
< # module = /usr/lib/pam_pkcs11/pkcs11_module.so;
< module = /usr/lib/opensc-pkcs11.so;
---
> module = /usr/lib/pam_pkcs11/pkcs11_module.so;
116c115
< use_mappers = opensc, digest, cn, pwent, uid, mail, subject, null;
---
> use_mappers = digest, cn, pwent, uid, mail, subject, null;
122,123c121
< # mapper_search_path = /usr/lib/pam_pkcs11;
< mapper_search_path = /lib/pam_pkcs11;
---
> mapper_search_path = /usr/lib/pam_pkcs11;
160,161c158
< # module = /usr/lib/pam_pkcs11/opensc_mapper.so;
< module = /lib/pam_pkcs11/opensc_mapper.so
---
> module = /usr/lib/pam_pkcs11/opensc_mapper.so;

SK sertifikaatide kopeerimine ja nn hash linkide moodustmine toimub selliselt (eeldusel, et kasutaja isikutuvastuse sertifikaat on antud välja ESTEID-SK 2007 sertifikaadi suhtes)

# mkdir /etc/pam_pkcs11/cacerts
# cd /etc/pam_pkcs11/cacerts
# wget http://www.sk.ee/files/JUUR-SK.PEM.cer -O JUUR-SK.PEM.pem
# wget http://www.sk.ee/files/ESTEID-SK%202007.PEM.cer -O ESTEID-SK%202007.PEM.pem
# c_rehash .

Tulemus

# find . -ls
183909 4 drwxr-xr-x 2 root root 4096 Mar 15 12:28 .
183911 4 -rw-r--r-- 1 root root 1404 Jan 3 2007 ./ESTEID-SK\ 2007.PEM.pem
183910 4 -rw-r--r-- 1 root root 1790 Feb 6 2006 ./JUUR-SK.PEM.pem
183913 0 lrwxrwxrwx 1 root root 15 Mar 15 12:28 ./119afc2e.0 -> JUUR-SK.PEM.pem
183912 0 lrwxrwxrwx 1 root root 22 Mar 15 12:28 ./590f5e9e.0 -> ESTEID-SK\ 2007.PEM.pem

Lõpuks tuleb kirjeldada PAM mooduli seadistusfailis uus autentimisviis lisades faili /etc/pam.d/common-auth juurde esimeseks reaks

auth sufficient pam_pkcs11.so nullok

====Kasutajakeskkonna ettevalmistamine====

Selleks, et konktreene kasutaja, nt juurkasutaja saaks süsteemi siseneda tuleb moodustada kataloog

# mkdir /root/.eid

ning kopeerida ID-kaardilt isikutuvastuse sertifikaat faili /root/.eid/authorized_certificates

# pkcs15-tool -r 01 > /root/.eid/authorized_certificates

===Eesti ID-kaardi kasutamine OpenVPN lahendusega===

OpenVPN pala tekstis http://kuutorvaja.eenet.ee/wiki/OpenVPN_ja_Eesti_ID-kaardi_kasutamine on kirjeldatud, kuidas kasutada Eesti ID-kaarti VPN kasutajate autentimiseks.

===Eesti ID-kaardi kasutamine GnuPG-2 tarkvaraga===

Märkmed Eesti ID-kaardi võimalikust kasutamisest GnuPG-2 tarkvaraga, mis kahjuks ei vii tulemuseni, aga võimalik, et ühel päeval viivad, http://kuutorvaja.eenet.ee/wiki/GnuPG_kasutamine_Debianiga#Eesti_ID-kaardi_kasutamine_GnuPG-2_tarkvaraga

===ID-kaardi koodide muutmine===

ID-kaardi isikutuvastuse ja allkirjastamise võtmete kasutamist kaitstakse koodidega, vastavalt PIN1 ja PIN2 koodid. Lisaks on kasutusel PUK kood, mille abil saab PIN1 ja PIN2 koodi vajadusel muuta, näiteks kui mõni PIN kood on saanud teatavaks kellelegi teisele või mõni PIN kood on ära ununenud. Kui sooritada kolm järjestikulist ebaõnnestunud koodi sisestamist, siis ligipääs kõnelusele salajasele võtmele lukustatakse, st et enne kui seda saab uuesti kasutada, tuleb ligipääs võtmele PUK koodi abil lahti lukustada.

ID-kaardi PIN koodide lahtilukustamiseks sobib kasutada pkcs15-tool utiliiti, nt öelda PIN 1 koodi lahtilukustamiseks

# pkcs15-tool --unblock-pin -a 1
Enter PUK [PIN1, Isikutuvastus]:
Enter new PIN [PIN1, Isikutuvastus]:
Enter new PIN again [PIN1, Isikutuvastus]:

Muud käsud:

PIN1 koodi muutmiseks

# pkcs15-tool --change-pin -a 1

PIN2 koodi muutmiseks

# pkcs15-tool --change-pin -a 2

PIN2 koodi lahtilukustamiseks

# pkcs15-tool --unblock-pin -a 2

PUK koodi muutmiseks

# pkcs15-tool --change-pin -a 3

Kui aga PUK kood on kadunud, siis saab ID-kaarti kasutada seni kuni pole tarvis PIN koode muuta, vastasel korral tuleb teeninduspunktist, nt pangas paluda paigaldada ID-kaardile uus nn ümbrik.

===e-valimistel osalemine===

e-valimistel osalemiseks tuleb valimiste veebikohta sisse logida ning kopeerida lokaalselt töötav rakendus. Kävitamisel paistab selline pilt

[[Pilt:Evalimised-2009-1.gif]]

===Mobiil-ID===

Mobiil-ID tehnika võimaldab kasutada mobiiltelefoni sarnaselt ID-kaardile, mobiil-ID toimimist on kirjeldatud aadressil http://www.id.ee/10958

===ID-kaardi rakenduste arendamine===

ID-kaardi rakenduste arendajale on Sertifitseerimiskeskus tekitanud projekti OpenXades aadressil http://www.openxades.org/

* saab testida id-kaardiga allkirjastamist vastu test digidocservice teenust (selleks tuleb üles laadida oma sertifikaadid)
* saab testida mobiil-id kaardi kasutamist (selleks tuleb üles laadida oma sertifikaadid)

===Eesti ID-kaardi tarkvara arendus 2009===

Smartlink arendab RIA tellimusel 2009 aastal Eesti ID-kaardi kasutamise tarkvara https://id.eesti.ee/idtrac/, mis sisaldab muu hulgas kasutaja töökohaarvutis kasutamiseks graafilise kasutajaliidesega programme

* qesteidutil - ID-kaardi haldamise tarkvara, sertifikaatide kehtivuse kontroll, PIN koodide muutmine, sertifikaatide uuendamine jms
* qdigidocclient - andmete allkirjastamine ja allkirjade kontrollimine, st nn .ddoc ja .bdoc failidega tegelemine
* qdigidoccrypto - andmete krüptimine teise ID-kaardi kasutaja avaliku võtmega, st .cdoc failidega tegelemine

Lisaks asendab Smartlink lahendus Debian Lenny nö ametlikust tarkvarast sellised paketid

* libopensc2 - OpenSC teek
* opensc - OpenSC utiliidid, kuigi selle paketi paigaldamine ei ole lõppkasutaja seisukohast tingimata vajalik (seal sisaldub nt pkcs15-tool utiliit)

2009 aasta juuli keskel on see selle tarkvara arendusetapp lõpule jõudmas ning praktiselt saab tarkvara võimalustega tutvuda ja tasakesi kasutada.

====Tarkvara paigaldamine====

Kõnealune lahendus kasutab eraldiseisvalt eksisteerivaid OpenSC teeke (pakett libopensc2, seadistusfail /etc/opensc/opensc.conf) ning PC/SC vahendeid (pakett pcscd), Eesti ID-kaardi tarkvara paigaldamiseks tuleb lisada /etc/apt/sources.list faili rida

deb ftp://ftp.smartlink.ee/pub/id/debian/ lenny main

usaldada Smartlinki repositooriumi Release faili võtit

# wget ftp://ftp.smartlink.ee/pub/id/apt-esteid-test.gpg.asc
# apt-key add apt-esteid-test.gpg.asc
OK

NB! 20090928 seisuga selle repo kasutamisel asendatakse Debian Lenny nö enda opensc jt teeke ära Smartlinki omadega ja tulemusena ID-kaarti ei saa kasutada, vähemalt mitte ilma vajalike muudatusteta.

Tarkvara paigaldamiseks tuleb öelda

# apt-get install qesteidutil qdigidoc

paigaldatakse neli kõnealuse arendusega seotud paketti ning vajadusel sõltuvustena ka OpenSC, PC/SC jm tarkvara

* qesteidutil - Eesti ID-kaardi haldusvahend qesteidutil
* qdigidoc - programmid qdigidocclient ja qdigidoccrypto
* libdigidoc2 - nn vana teek, käsurealt kasutatav utiliit cdigidoc
* libdigidocpp0 - nn uus teek

Tarkvara kasutamiseks tuleb OpenSC ja PC/SC seada käima nii nagu on käesoleva pala alguses punktis [[:Eesti ID-kaardi kasutamine Debianiga#Kaardilugeja ühendamine operatsioonisüsteemiga]] kirjeldatud.

====Eesti ID-kaardi haldusvahend====

Eesti ID kaardi haldusvahendi qesteidutil kasutamiseks tuleb käivitada programm, nt valides menüüst või XTerm aknas öeldes

$ qesteidutil

ning avaneb aken

[[Pilt:qesteidutil-1.gif]]

Kasutajaliideses esitatud pilt kopeeritakse riigiportaali www.eesti.ee süsteemi kaudu üle X-tee KMA andmekogust.

====Digidoc klient====

Qt teeke kasutava Digidoc kliendi qdigidocclient käivitamiseks tuleb käivitada programm nt valides menüüst või XTerm aknas öeldes

$ qdigidocclient

ning avaneb aken

[[Pilt:qdigidocclient-1.gif]]

Krüptimise utiliidi saab käivitada öeldes

$ qdigidoccrypto

ning avaneb pilt

[[Pilt:qdigidoccrypto-1.gif]]

Utiliit sisalab LDAP klienti, millega saab teades teise kasutaja isikukoodi kopeerida Sertifitseerimiskeskuse LDAP kataloogist tema isikutuvastuse sertifikaadi.

====cdigidoc utiliit====

Paketi libdigidoc2 koosseisus on utiliit cdigidoc, millega saab käsurealt DigiDoc failidega töötada, näiteks fail.cdoc lahtikrüptimiseks sobib öelda

$ cdigidoc -decrypt fail.cdoc PIN_KOOD -out fail.ddoc

Faili fail.ddoc seest esimene faili nimega sisufail.txt konteinerist välja kopeerimiseks sobib öelda

$ cdigidoc -extract D0 sisufail.txt -in fail.ddoc

Ilma argumentideta käsk väljastab abi

$ cdigidoc
USAGE: cdigidoc <command(s)> [-in <input-file>] [-out <output-file>] [-config <config-file>]
COMMANDS:
[-new] [format] [version]
-check-cert <-cerificate-file-name (PEM format)>
-add <file-name> <mime-type> [<content-type>] [<charset>]
-verify
-list
-sign <pin> [<manifest>] [<city> <state> <zip> <country>]
-extract <doc-id> <file-name> [<charset>] [<file-name-charset>]
-encrypt <file-name>
-encrecv <cert-file> [<recipient>] [<keyname>] [<carried-key-name>]
-decrypt <file-name> <pin1>
-denc-list <file-name>
-encrypt-file <in-file-name> <out-file-name> [<in-file-mime-type>]
-decrypt-file <in-file-name> <out-file-name> <pin1>
-calc-sign <cert-file> [<manifest>] [<city> <state> <zip> <country>]
-add-sign-value <sign-value-file> <sign-id>
-del-sign <sign-id>
-get-confirmation <sign-id>
OPTIONS:
-cgimode [<ouput-separator] - output in CGI mode
-SAX - use SAX parser
-XRDR - use XmlReader parser

====Märkused====

20090714 seisuga tehtud tähelepanekud

* programmidel puuduvad manuaalid (ingl. k. manpage) ning praktiliselt dokumentatsioon kataloogis /usr/share/doc/paketinimi
* paketihalduse nimekirjas esineb ka pakett qdigidoccrypto, mida asendab qdigidoc, kui qdigidoc* pakettide traditsioon alles algab, äkki siis see 'Replaces' eemaldada
* sõltuvustest ei paigaldata opensc paketti, mis iseenesest ei ole ka vajalik, vajalik on just libopensc2 teekide pakett
* q* programmide kasutamisel tuleb olla kannatlik, kuigi esmalt teatab programm, et 'Ei leitud ühtegi ID-kaarti' voi 'Kaarti pole lugejas', siis tegelikult võidakse tegeleda alles kaardi otsimisega ja mõne sekundi pärast on kõik korras ja saab jätkata programmi kasutamist
* q* programmide akendest ei saa alati hiirega teksti kopeerida
* paketi libopensc2 seadistusfailis /etc/opensc/opensc.conf võiks parameetri muudatus toimuda ehk debconf dialoogi abil pakkudes kasutajale sobivat vaikeväärtust

reader_drivers = openct, pcsc, ctapi; -> reader_drivers = pcsc, ctapi;

* IP aadressipõhisel ocsp teenusele ligipääsu puhul küsitakse 'Did not find any server access certificate! Start downloading?'
* Kas programmide töö lõpetamiseks on muid võimalusi peale akna sulgemise?

===Eesti ID kaardi tarkvara v. 3.8 kasutamine 2014 suvel===

Käesolevas punktis kirjeldatakse 2014 aasta suvel olemasolevate tarkvara komponentidega Eesti ID kaardi kasutamist (autentimist ja allkirjastamist)

* Debian testing (Jessie) operatsioonisüsteem (32 või 64 bit, tõenäoliselt sarnaselt toimub paigaldamine-seadistamine-kasutamine ka muude Debiani versioonide ja Linux distributsioonidega)
* Eesti ID kaardi tarkvara v. 3.8.0 Ubuntu v. 12.04 (Precise) paketid

Tulemusena saab

* Chrome brauseriga autentida ja allkirjastada
* ID kaardi haldusvahendiga pin koode hallata
* lokaalse DigiDoc kliendiga allkirjastada ja krüptida

Juhised kehtivad

* Chrome < v. 35 (tundub, et alates v. 35 on smart card autentimise tehnika oluliselt muutunud, väidetavalt Eesti ID kaardi tarkvara v. 3.9 teeb selle korda)
* OpenSC kuni 0.12 ja kaasa arvatud (0.13 juures puudub brauseri kasutamist abistav onepin teek)

====Tarkvara paigaldamine====

Eeldusel, et arvutis on töötav kasutajakeskkond (XCFE, Gnome vms) ning Chrome brauser versioon < 35, lisada süsteemi üldotstarbelised paketid

# apt-get install opensc pcscd libccid libnss3-tools apt-transport-https

Kuna onepin-opensc-pkcs11.so teek on vajalik, aga opensc v. 0.13 tarkvaras puudub ning see on nt Debian v. 7 Wheezy paketihalduses v. 0.12 juures olemas (ja tundub, et sobib kasutada), siis aitab lisada /etc/apt/sources.list faili Debian v. 7 Wheezy repositoorium

deb http://ftp.us.debian.org/debian/ wheezy main contrib non-free

ning öelda 0.12 versiooni paigaldamiseks (downgrade'iks)

# apt-get update
# apt-get install opensc=0.12.2-3

Lisaks tuleb Wheezy pakettidest paigaldada

# apt-get -t wheezy install libxml-security-c16

Eesti ID kaardi tarkvara paigaldamise ettevalmistamiseks laadida võti

# wget -O /tmp/ria-public.key https://installer.id.ee/media/install-scripts/ria-public.key
# apt-key add /tmp/ria-public.key

lisada /etc/apt/sources.list faili rida

deb https://installer.id.ee/media/ubuntu/ precise main

ja tarvkara paigaldamiseks öelda

# apt-get update
# apt-get install estonianidcard qesteidutil esteidcerts esteidfirefoxplugin

====ID kaardilugejaga suhtlemise kontrollimine====

Peale tarkvara paigaldamist ja eeldusel, et lugeja on arvutiga ühendatud saab öelda

# opensc-tool -l
# Detected readers (pcsc)
Nr. Card Features Name
0 Yes SCM Microsystems Inc. SCR 331 [CCID Interface] (504005BE) 00 00

Kui lisaks on ID kaart on lugejas saab öelda (jms pkcs15-tool käske)

# pkcs15-tool -c
Using reader with a card: SCM Microsystems Inc. SCR 331 [CCID Interface] (504005BE) 00 00
X.509 Certificate [Isikutuvastus]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeaace
ID : 01
Encoded serial : 02 10 3BF4F7CBE36A655050DC20A42E9EFBAA

X.509 Certificate [Allkirjastamine]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeddce
ID : 02
Encoded serial : 02 10 0D1864A01391996750DC20AC1BF2FDE5

====ID kaardi haldusvahend====

Peale tarkvara paigaldamist maksab esmalt veenduda, et id kaardilugeja riistvara on ära tuntud ja kaart on üldiselt ligipääsetav. Selleks käivitada ID kaardi haldusvahend ja peab nägema oma sertifikaadiandmeid.

Interneti kasutamise olemasolul saab Lae pilt valikuga küsida rahvastikuregistris olevat pilti.

====Chrome brauseriga autentimine ja allkirjastamine====

Esmalt tuleb kord brauser käivitada, et kasutaja kodukataloogi tekiksid vajalikud nn punktifailid (~/.pki), seejärel brauseri protsessid lõpetada st brauseri sulgeda ning öelda sama kasutajana

$ modutil -dbdir sql:$HOME/.pki/nssdb -delete opensc-pkcs11
$ modutil -dbdir sql:$HOME/.pki/nssdb -add opensc-pkcs11 -libfile onepin-opensc-pkcs11.so -mechanisms FRIENDLY

kus

* esimese käsu väljundiks on tõenäoliselt veateade kuna pole midagi kustutada
* teise käsu väljundiks

...
Module "opensc-pkcs11" added to database.

Seejärel tuleb Chrome pluginate settingutest aadressilt chrome://plugins (sisestada nii aadressreale) seadistada EstEID plugin

* Enabled
* Always Allowed

Tulemusena paistab selline pilt

[[Pilt:Chrome-esteid-2.gif]]

kust on näha, et kasutatakse paketis esteidfirefoxplugin olevat teeki

$ dpkg -S /usr/lib/mozilla/plugins/npesteid-firefox-plugin.so
esteidfirefoxplugin: /usr/lib/mozilla/plugins/npesteid-firefox-plugin.so

Autentimiseks sobib minna mõnda portaali, kus on võimaluda kasutaja autentmiseks ID kaardiga, nt https://www.eesti.ee/. Samas saab ka allkirjastada valides

Minu asjad -> Minu dokumendid

Katsetada sobib ka aadressil https://www.openxades.org/web_sign_demo/sign.html.

====Firefox/Iceweasel brauseriga autentimine ja allkirjastamine====

Kontrollida, et paketi esteidfirefoxplugin paigaldamisel tekkinud EstEID plugin on Always Activate olekus

about:addons -> Plugins -> EstEID plug-in -> More

ID kaardi kasutamiseks tuleb brauseri seadistustes kirjeldada onepin teek valides

Edit -> Preferences -> Advanced -> Certificates -> Security Devices -> Load

ja avanenud dialoogis sisestada nt

* Module name - EstEID
* Module filename - /usr/lib/x86_64-linux-gnu/onepin-opensc-pkcs11.so

kus mooduli asukoht failisüsteemis sõltub arhitektuurist jms natuke, find leiab üles

$ find /usr/ -name onepin\*
/usr/lib/x86_64-linux-gnu/onepin-opensc-pkcs11.so

Tulemusena saab ID kaardiga autentida ning allkirjastada.

====Lokaalne DigiDoc klient====

Tarkvara paigaldamise käigus paigaldati ka lokaalne DigiDoc klient. Esmakordsel käivitamisel pakutakse võimalust laadida Sertifitseerimiskeskuse kehtivuskinnituse kasutamiseks vastav juurdepääsutõend, millega saab allkirjastada kuni kümme korda kuus.

====Probleemid====

* Kui allkirjastamisel küsitakse luba kahe plugina käivitamiseks (või öeldakse, et Java plugin on puudu)

[[Pilt:Chrome-esteid-1.gif]]

siis on põhjuseks, et EstEID plugin ei ole seadistatud õieti. Peab olema valitud 'Always allowed'. Oluline on teada, et Java ei ole Chrome brauseriga allkirjastamisel reeglina vajalik.

====Kasulikud lisamaterjalid====

* https://installer.id.ee/
* https://github.com/martinpaljak/ria-debian-build
* http://lauri.võsandi.com/posts/ubuntu-trusty-esteid.html
* http://pingviin.org/portal.php?topic_id=9727
* https://installer.id.ee/media/install-scripts/install-esteid-ubuntu.sh
* https://wiki.debian.org/Smartcards
* http://id.ee/?id=34228
* http://packages.ubuntu.com/lucid/libccid

===Eesti ID kaardi tarkvara v. 17.01.1686-1604 kasutamine 2017 kevadel===

Käesolevas punktis käsitletakse Eesti ID kaardi tarkvara kasutamist operatsioonisüsteem Debian v. 9 Stretch keskkonnas. Debian jaoks üldiselt pakette ei valmistata, aga osutub, et saab kasutada Ubuntu v. 16.04 Xenial pakette.

====Tööpõhimõte====

TODO

====Ettevalmistused====

Kuna Ubuntu v. 16.04 Xenial libssl1.0.0 v. 1.0.2g paketis on ka v. 1.0.0 sümbolid

<pre>
ubuntu-1604$ strings /lib/x86_64-linux-gnu/libssl.so.1.0.0 | grep ^OPENSSL_1
OPENSSL_1.0.0
OPENSSL_1.0.1
OPENSSL_1.0.1d
OPENSSL_1.0.2
OPENSSL_1.0.2g
</pre>

ja Debian v. 9 Stretch libssl1.0.2 v. 1.0.2k paketis ei ole 1.0.0 sümboleid

<pre>
debian-9$ strings /usr/lib/x86_64-linux-gnu/libssl.so.1.0.2 | grep ^OPENSSL_1
OPENSSL_1.0.2d
OPENSSL_1.0.2g
</pre>

siis on vaja leida mingi workaround. Tundub, et kaaluda maksab

* kopeerida internetist Ubuntu v. 16.04 Xenial libssl1.0.0 pakett ja kasutada sealt kahte teeki libssl.so.1.0.0 ja libcrypto.so.1.0.0 (selle lähenemise puuduseks on, et edaspidi vaevalt keegi viitsib neid teeke uuendada)
* paigaldada Debian v. 8 Jessie libssl1.0.0 pakett, http://priit.joeruut.com/archives/Eesti-ID-kaardi-tarkvara-ehk-open-eid-v.-3.12-kasutamine-Debianis.html (lähenemise puuduseks on, et Debian v. 8 Jessie tugi lõpeb tõnäoliselt varem kui Ubuntu v. 16.04 Xenial, aga väga võimalik, et veel enne tekib Debian + ID kaardi kasutamiseks mingi normaalsem lahendus)

Ubuntu libssl1.0.0 paketi saab kopeerida aadressilt http://packages.ubuntu.com/search?keywords=libssl1.0.0&searchon=names&suite=xenial&section=all

Paketi lahti pakkimiseks sobib öelda

$ cd /var/tmp/libssl1.0.0-ubuntu
$ dpkg -x /home/imre/Downloads/libssl1.0.0_1.0.2g-1ubuntu4.6_amd64.deb .

ning (kuna selliste nimedega faili enne pole)

# cp libssl.so.1.0.0 libcrypto.so.1.0.0 /usr/lib/x86_64-linux-gnu

Selleks, et süsteemis oleks paketihalduse mõttes libssl1.0.0 nimeline pakett, sobib kasutada equivs abi

* öelda

$ equivs-control libssl1.0.0

* redigeerida natuke tekkinud faili

<pre>
$ egrep -v "^$|^#" libssl1.0.0
Section: misc
Priority: optional
Standards-Version: 3.9.2
Package: libssl1.0.0
Version: 1.0.0
Maintainer: Imre <imre@auul.pri.ee>
Description: libssl1.0.0 abistaja
Testime
.
Testime 2
</pre>

* öelda

$ equivs-build libssl1.0.0

* paigaldada (kuidagi ta paigaldatakse vaatamata signatuuri puudumisele jms)

# dpkg -i libssl1.0.0_1.0.0_all.deb

====Paigaldamine====

* lisada apt võtmete hulka aadressil https://installer.id.ee/media/install-scripts/install-open-eid.sh oleva skripti algusest kaks sissekannet

# apt-key add failinimi

* lisada apt source

# cat /etc/apt/sources.list.d/ria-repository.list
deb http://installer.id.ee/media/ubuntu xenial main

* värskendada

# apt-get update

ID kaardi tarkvara paigaldamiseks sobib öelda

# apt-get install open-eid

tulemusena tekib failisüsteemi

* kümmekond paketti, enamus installer.id.ee pealt
* /etc/X11/Xsession.d/95-esteid-update-nssdb - selle faili abil X konsoolil töötamise alguses nö korraldakse sobiv seis olulistest asjadest (mh öeldakse modutil jt käske)

Paigaldamise lõpus tuleb Desktop keskkonnast logida välja ja tagasi sisse selleks, et Xsession kasutaks nssdb osa.

====ID kaardilugejaga suhtlemise kontrollimine====

Peale tarkvara paigaldamist ja eeldusel, et lugeja on arvutiga ühendatud saab öelda

<pre>
$ opensc-tool -l
# Detected readers (pcsc)
Nr. Card Features Name
0 Yes Gemalto PC Twin Reader (FB00DB62) 00 00
</pre>

Kui lisaks on ID kaart on lugejas saab öelda (jms pkcs15-tool käske)

<pre>
$ pkcs15-tool -c
Using reader with a card: Gemalto PC Twin Reader (FB00DB62) 00 00
X.509 Certificate [Isikutuvastus]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeaace
ID : 01
Encoded serial : 02 10 775DD64056F35E7954C8CB3EFEB3C8EE
X.509 Certificate [Allkirjastamine]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeddce
ID : 02
Encoded serial : 02 10 2D5E4D8F644E041454C8CB5236F7D2D6
</pre>

====ID kaardi haldusvahend====

Peale tarkvara paigaldamist maksab esmalt veenduda, et id kaardilugeja riistvara on ära tuntud ja kaart on üldiselt ligipääsetav. Selleks käivitada ID kaardi haldusvahend ja peab nägema oma sertifikaadiandmeid.

Interneti kasutamise olemasolul saab Lae pilt valikuga küsida rahvastikuregistiris olevat pilti.

====Chromium brauseriga autentimine ja allkirjastamine====

Veenduda, et Chromiumil on olemas vastav plugin (see on kopeeritav ka üldisest Google Chrome extensions repositooriumist)

[[Pilt:Chrome-esteid-3.gif]]

Tulemusena peab töötama autentimine ja allkirjastamine.

====Firefox brauseriga autentimine ja allkirjastamine====

TODO

* Tundub, et autentimine töötab nö iseenesest.

====Kasulikud lisamaterjalid====

* https://github.com/web-eid/
* https://github.com/open-eid
* https://github.com/open-eid/chrome-token-signing/wiki
* https://lauri.xn--vsandi-pxa.com/2014/04/ubuntu-trusty-esteid.html
* http://installer.id.ee/
* http://priit.joeruut.com/archives/Eesti-ID-kaardi-tarkvara-ehk-open-eid-v.-3.12-kasutamine-Debianis.html
* https://installer.id.ee/media/install-scripts/install-open-eid.sh
* https://www.auul.pri.ee/wiki/Operatsioonis%C3%BCsteem_Debian_GNU/Linux_paketihalduse_kasutamine#Equivs_kasutamine

===Eesti ID kaardi kasutamine - Ubuntu 16.04===

Alustada aadressilt https://installer.id.ee/

# apt-key add ria-key1.pem
# apt-key add ria-key2.pem

# cat /etc/apt/sources.list.d/ria-repository.list
deb http://installer.id.ee/media/ubuntu xenial main

# apt-get update
# apt-get install open-eid

Kui lähtepunktiks on nö tavaline töökohaarvuti, siis lisanduvad paketid

chrome-token-signing esteidfirefoxplugin esteidpkcs11loader libccid libdigidoc-common libdigidoc-tools libdigidoc2 libdigidocpp-common libdigidocpp-tools
libdigidocpp1 libminizip1 libnss3-tools libxerces-c3.1 libxml-security-c17v5 libzip4 open-eid opensc opensc-pkcs11 pcscd qdigidoc qdigidoc-tera qesteidutil

Kasulikud lisamaterjalid

* https://installer.id.ee/?lang=est
* https://installer.id.ee/media/install-scripts/install-open-eid.sh
* https://installer.id.ee/media/ubuntu/

===Eesti ID kaardi kasutamine - Ubuntu 18.04===

Alustada aadressilt https://installer.id.ee/, st sarnaselt eelmisele punktile, aga paistab, et 2019 aasta alguses paketihaldus lõpetab veaga, Seejärel sobib kasutada skripti /var/lib/dpkg/info/awp.postinst alguses exit

# cat /var/lib/dpkg/info/awp.postinst
#!/bin/bash

exit;
...

ning loksutada paketihaldust 'apt-get install -f' vms käskudega.

Seejärel kasutajana logida sisse desktop keskkonda (nt XFCE4) ja öelda

$ modutil -dbdir sql:$HOME/.pki/nssdb -delete opensc-pkcs11
$ modutil -dbdir sql:$HOME/.pki/nssdb -add opensc-pkcs11 -libfile onepin-opensc-pkcs11.so -mechanisms FRIENDLY

Seejärel Chrome brauseris peaks saama kasutada id kaarti autentimiseks ja allkirjastamiseks. Need kaks käsku võiks idee poolest automaatselt öeldada skripti /usr/bin/esteid-update-nssdb poolt, aga paistab, et millegipärast minul see nii ei ole

<pre>
$ cat /etc/xdg/autostart/chrome-pkcs11.desktop
[Desktop Entry]
Type=Application
Name=Configure Chrome PKCS11
Exec=/usr/bin/esteid-update-nssdb
NoDisplay=true
X-GNOME-AutoRestart=true
X-GNOME-Autostart-Phase=Initialization
</pre>

Kui kasutada on uus eid kaart, siis tõenäoliselt on vajalik öelda awp.postinst skriptis sisalduvad sarnased käsud samuti.

Kasulikud lisamaterjalid

* https://github.com/open-eid/linux-installer/issues/36

===Test ID-kaart===

Lisaks nö päris ID-kaartidele väljastab Sertifitseerimiskeskus teatud juhtumiteks ka test ID-kaarte, nt on seal kasutatav sertifikaat selline

-----BEGIN CERTIFICATE-----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 2AjWXfHNDc0oWr7CBV9HRLmpidJQtQCwoUt6Y2NA==
-----END CERTIFICATE-----

Tekstikujul vaadatest on Issuer ja Subject väärtused

# openssl x509 -in /tmp/zaikovski.pem -noout -text
Certificate:
Data:
Version: 3 (0x2)
Serial Number: 1244104848 (0x4a278890)
Signature Algorithm: sha1WithRSAEncryption
Issuer: C=EE, O=AS Sertifitseerimiskeskus, OU=Testsertifikaadid, CN=TEST-SK
Validity
Not Before: Jun 4 08:40:48 2009 GMT
Not After : Apr 7 11:42:17 2012 GMT
Subject: C=EE, O=TEST-ESTEID, OU=authentication, \
CN=\x01}\x00A\x00I\x00K\x00O\x00V\x00S\x00K\x00I\x00,\x00I\x00G\x00O\x00R\x00,\x003\
\x007\x001\x000\x001\x000\x001\x000\x000\x002\x001, SN=\x01}\x00A\x00I\x00K\x00O\x00V\x00S\
\x00K\x00I, GN=IGOR/serialNumber=37101010021
...

Tundub, et kõigil test kaartidel on algselt samad pinid ja puk, mida saab muuta id kaardi utiliidiga, http://www.id.ee/index.php?id=30379

* PIN1 kood - 0090
* PIN2 kood - 01497
* PUK kood - 17258403

===Kaardilugeja firmware uuendamine===

Kui kaardilugeja nö peaks töötama, aga ei tööta, siis mõnel juhul on otstarbekas kaaluda kaardilugeja firmware uuendamist. Nt SCR311 kaardilugeja puhul sobib selleks kasutada Windows 7 keskkonda, et uuendada 4. -> 5. versoonide vahel.

Kasulikud lisamaterjalid

* http://www.jasemccarty.com/blog/?p=1134
* https://militarycac.com/cacdrivers.htm

===Märkused===

* Kui brauser või postiklient lakkavad töötamast ID-kaardiga, siis maksab need programmid sulgeda ja samuti peatada pcscd deemon ning seejärel esmalt deemon ning siis rakendusprogrammi uuesti käivitada.
* Kuivõrd ID-kaardi sertifikaadid kehtivad suhteliselt lühikest aega ning sertifikaatide uuendamisel praktiliselt kirjutatakse vanad sertifikaadid üle uutega, siis sobib ID-kaardi vahendeid andmete krüptimiseks kasutada nö turvalise transpordi sooritamiseks ja mitte andmete pikaajaliseks turvaliseks säilitamiseks. Lisaks on veel muid ohte, näiteks et ID-kaart rikneb füüsiliselt.

===Sertifikaatide uuendamine===

Sertifikaatide saab uuendada id kaarti utiliidiga, peale uuendamist näidatakse sellist pilti, tegevuse käigus küsitakse vana sertifikaadi PIN1

[[Pilt:Qesteidutil-2.gif]]

===TODO===

* ipsec lahenduse juures kasutamine

===Kasulikud lisamaterjalid===

* Eesti ID-kaardi tarkvara - http://ideelabor.ee/
* Sertifitseerimiskeskus - http://www.sk.ee/
* http://kuutorvaja.eenet.ee/wiki/Apache'i_veebiserver#ID_kaardiga_kasutaja_autentimine
* http://kuutorvaja.eenet.ee/wiki/OpenLDAP_kasutamine_Debianiga#Icedove.27i_aadressraamatu_pidamine
* https://digidoccheck.sk.ee/
* https://id.eesti.ee/trac/
* http://pcsclite.alioth.debian.org/supported.html
* http://code.google.com/p/esteid/

Eesti ID-kaardi kasutamine Debianiga

2019-03-01T07:26:27Z

Imre: /* Eesti ID kaardi kasutamine - Ubuntu 16.04 */

===Sissejuhatus===

Eesti ID-kaart on nn protsessorkaart, mis võimaldab autentimist ja allkirjastamist. ID-kaardi kasutamiseks on vajalikud

* kehtiv Eesti ID-kaart
* kasutada oleva arvuti ja operatsioonisüsteemiga sobiv kaardilugeja
* internetiühendus
* ID-kaardi võimaluste kasutamiseks sobiv kliendipoolne tarkvara
* ID-kaardi võimaluste kasutamiseks sobiv teenus internetis

Eesti ID-kaardi töö põhineb avaliku võtme (ingl. k. public key) krüptograafia kasutamisel. Avaliku võtme infrastruktuuris (ingl. k. PKI - public key infrastructure) esitatakse kasutaja avalik võti koos kasutaja kohta käivate muude andmetega, nt kasutaja nimi ja eposti aadress selle konkreetse infrastruktuuri mõne ülemise sajalase võtmega signeeritud kujul ja seda tulemust nimetatakse kasutaja sertifikaadiks. Lisaks on sertifikaadis kirjas andmed selle sertifikaadi väljastaja kohta ja sertifikaadi kehtivuse aeg.

Eesti ID-kaartidega seotud avaliku võtme infrastruktuuri haldab sh väljastab ID-kaarte Sertifitseerimiskeskus http://www.sk.ee/ kusjuures ID-kaardil on kaks paari võtmeid, öeldakse ka, et kaks sertifikaati

* isikutuvastuse ehk autentimise sertifikaat
* allkirjastamise sertifikaat

Kahe erineva sertifikaadi kasutuselevõtmise põhjuseks on asjaolu, et sertifikaatidel on nö oluliselt erinev kaal

* isikutuvastuse sertfikaadiga kasutaja autendib ennast teenusele (st praktiliselt logib ennast sisse portaali internetis, siseneb kooduksega kaitstud ruumi füüsilises maailmas)
* allkirjastamise sertifikaati kasutatakse reeglina ainult digitaalallkirja andmiseks ja Eesti Vabariigis on digitaalallkirjastatud dokument võrdsustatud omakäeliselt allkirjatatud dokumendiga; reeglina pangaülekannete sooritamisel toimub sisemiselt samuti digitaalallkirjastamise protseduur

Oletame, et kui oleks kasutuses ainult üks sertifikaat ja nt kasutaja siseneb koodukse kaudu ruumi, siis võiks konstrueerida skeemi, kus ta pahaaimamatult allkirjastab mõne dokumendi, mida ta muul juhul ei oleks nõus allkirjastama. Kahe sertifikaadi kasutamisel on võimalik erinevaid rolle lahus hoida.

Kuigi eelmises lõigus kasutati väljendeid 'isikutuvastuse sertifikaadiga kasutaja identifitseerib' ja 'allkirjastamise sertifikaati kasutatakse reeglina digitaalallkirja andmiseks' tuleb seda seda mõista nii, et sisuliselt neid protseduure sooritades kasutaja kasutab vastava sertifikaadi salajast võtit. ID-kaardil asuvate salajaste võtmete kasutamine on turvakaalutlustel piiratud täiendava parooliga, nn PIN koodiga, kummalgi salajasel võtmel on oma PIN kood ja võtme kasutamise eel küsib ID-kaardi tarkvara kasutajalt seda koodi.

ID-kaardiga autentimine on dual-factor ehk two-factor autentimine http://en.wikipedia.org/wiki/Two-factor_authentication kuna see sisaldab kahte kontrolli

* midagi mida saab omada - ID-kaardi kui füüsilise eseme olemasolu kontroll
* midagi mida saab teada - salajase võtme teadmise kontroll

Võrreldes parooliga on ID-kaardi kasutamise üheks erinevuseks, et seda saab kasutada korraga ainult üks kasutaja nö ühest kasutuspunktist.

===Eesti ID-kaardi sertifikaatide LDAP kataloogiteenus===

Kuna avaliku võtme infrastruktuuri üheks koostisosaks on, et kõigi kasutajate avalikud võtmed st sertifikaadid on kõigile avalikult kättesaadavad, siis SK on teinud kasutajate sertifikaadid internetis kättesaadavaks LDAP kataloogiteenuse abil aadressil ldap.sk.ee. Kasutaja sertifikaate (mis sisaldavad avalikke võtmeid) saab teades tema isikukoodi kopeerida öeldes nt

$ ldapsearch -LLL -H ldap://ldap.sk.ee -x -b "c=EE" "(serialNumber=37003212713)"
dn: cn=OOLBERG\2CIMRE\2C37003212713,ou=Authentication,o=ESTEID,c=EE
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
cn: OOLBERG,IMRE,37003212713
serialNumber: 37003212713
userCertificate;binary:: MIIEGjCCAwKgAwIBAgIESIQxaDANBgkqhkiG9w0BAQUFADBbMQswC
QYDVQQGEwJFRTEiMCAGA1UEChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMGRV
...
z5vZN4059dNaqZqVg5rlVrLS5/T+sK8PHxYcO+SKDZYobddJIv6i2XlpVAQLgkChEiXI2Bd3AMfpw
fVbAjDsHXasblBtut7k1MItT3YLaNZ/xq9BY/B7afXqg==

dn: cn=OOLBERG\2CIMRE\2C37003212713,ou=Digital Signature,o=ESTEID,c=EE
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
cn: OOLBERG,IMRE,37003212713
serialNumber: 37003212713
userCertificate;binary:: MIID2jCCAsKgAwIBAgIESIQxaTANBgkqhkiG9w0BAQUFADBbMQswC
QYDVQQGEwJFRTEiMCAGA1UEChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMGRV
..

Konkreetse sertifikaadi dn elemendi kopeerimiseks sobib öelda nt

$ ldapsearch -LLL -H ldap://ldap.sk.ee -x -b ou=authentication,o=ESTEID,c=EE "(serialNumber=37003212713)" dn
dn: cn=OOLBERG\2CIMRE\2C37003212713,ou=Authentication,o=ESTEID,c=EE

===Kaardilugeja ühendamine operatsioonisüsteemiga===

Märkus: 2010 kevade seisuga peaks töötama täitsa hästi Linuxi ja Windowsiga nt kaks sellist mudelit, mida on ka kauplustes suhteliselt hästi saada

* Omnikey Cardman 1021 - USB (lauaarvutile, sülearvutile)
* Omnikey Cardman 4321 - ExpressCard http://en.wikipedia.org/wiki/ExpressCard (sülearvutile)

Ehk kõige parem kui kaardilugeja ühendub arvutiga USB abil, nt sobib mudel SRC-331. Debian Etch ja Lenny sisaldavad paketihalduses ID-kaardi kasutamiseks sobivat tarkvara, mille koduleht asub aadressil http://ideelabor.ee/ ja mille kasutamist käesolev tekst kirjeldab.

USB kaudu ühendatud ID-kaardilugeja kasutamise eelduseks on, et operatsioonisüsteem toetab USB seadmete kasutamist, sellest annab tunnistust peale kaardilugeja ühendamist lsusb sarnane väljund, kus on muu seas näha SCR331 seadmele vastav rida

# lsusb
Bus 004 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub
Bus 003 Device 002: ID 0483:2016 SGS Thomson Microelectronics Fingerprint Reader
Bus 003 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub
Bus 002 Device 006: ID 04e6:e001 SCM Microsystems, Inc. SCR331 SmartCard Reader
Bus 002 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub
Bus 001 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub

ID-kaardiga suhtlemiseks vajaliku tarkvara paigaldamiseks tuleb öelda

# apt-get install opensc pcscd libccid

Seejärel tuleb redigeerida kahte faili

* Näitena jagatavas /etc/opensc/opensc.conf failis tuleb teha kolm muudatust

# zcat /usr/share/doc/libopensc2/examples/opensc.conf.gz > /etc/opensc/opensc.conf

Leidke failist üles need parameetrid ning muutke nende väärtused sellisteks

try_emulation_first = yes;
lock_login = false;
reader_drivers = pcsc, ctapi;

* Failis /usr/lib/pcsc/drivers/ifd-ccid.bundle/Contents/Info.plist peavad sisalduma sellised read (tundub, et see on teatud SRC331 mudelite või eksemplaride spetsiifiline asi), leidke ja muutke olemasolevaid

<key>ifdDriverOptions</key>
<string>0x0004</string>

Seejärel seisake ja käivitage pcscd deemon

# /etc/init.d/pcscd restart

Kontrollimaks, et tarkvara sai korrektselt paigaldatud küsime süsteemi ühendatud kaardilugejate nimekirja

# opensc-tool -l
Readers known about:
Nr. Driver Name
0 pcsc SCM SCR 331 00 00

Ning küsime ID-kaardile kantud sertifikaatide nimekirja

# pkcs15-tool -c
X.509 Certificate [Isikutuvastus]
Flags : 0
Authority: no
Path : 3f00eeeeaace
ID : 01

X.509 Certificate [Allkirjastamine]
Flags : 0
Authority: no
Path : 3f00eeeeddce
ID : 02

===pkcs11-tool utiliidi kasutamine===

PKCS#11 is a software API for accessing cryptographic hardware like smart cards or HSM. pkcs11-tool realiseerib PKCS11 (Public Key Cryptography Standards) standardit ja võimaldab suhelda krüptoseadmega üle Cryptoki (Cryptographic Token Interface) API. Slottide nimekirja esitamiseks sobib öelda

<pre>
# pkcs11-tool -L
Available slots:
Slot 0 (0x0): Alcor Micro AU9540 00 00
(empty)
Slot 1 (0x4): Gemalto PC Twin Reader (A76A2DE4) 01 00
token label : PIN1 (OOLBERG,IMRE,37003212713)
token manufacturer : AS Sertifitseerimiskeskus
token model : PKCS#15 emulated
token flags : login required, rng, token initialized, PIN initialized
hardware version : 0.0
firmware version : 0.0
serial num : AA9909781
pin min/max : 4/12
Slot 2 (0x5): Gemalto PC Twin Reader (A76A2DE4) 01 00
token label : PIN2 (OOLBERG,IMRE,37003212713)
token manufacturer : AS Sertifitseerimiskeskus
token model : PKCS#15 emulated
token flags : login required, rng, token initialized, PIN initialized
hardware version : 0.0
firmware version : 0.0
serial num : AA9909781
pin min/max : 5/12
</pre>

Slot sisu esitamiseks, nb! slot numbri väärtus tuleb võtta sulgudest, küsitakse pin1 väärtust

<pre>
# pkcs11-tool --slot 4 -O -l
Logging in to "PIN1 (OOLBERG,IMRE,37003212713)".
Please enter User PIN:

Private Key Object; EC
label: Isikutuvastus
ID: 01
Usage: sign, derive
Certificate Object; type = X.509 cert
label: Isikutuvastus
ID: 01
Public Key Object; EC EC_POINT 384 bits
EC_POINT: 0461046231c67...
EC_PARAMS: 06052b81040023
label: Isikutuvastus
ID: 01
Usage: encrypt, verify
</pre>

kus

* ühes slotis on paistab olevat kolm objekti, private key, sertifikaat ja public key

Kasulikud lisamaterjalid

* https://en.wikipedia.org/wiki/PKCS
* https://github.com/OpenSC/OpenSC/wiki/Frequently-Asked-Questions

===pkcs15-tool utiliidi kasutamine===

PKCS#15 is a format of on-card structures that defines a “filesystem layout” for smart cards. pkcs15-tool abil saab kopeerida ID-kaardilt sertifikaate, sedasi

# pkcs15-tool -r 01
-----BEGIN CERTIFICATE-----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==
-----END CERTIFICATE-----

Selle sertifikaadi sisu arusaadavamale kujule viimiseks tuleb öelda

# pkcs15-tool -r 01 > imreoolberg-autentimise-sertifikaat.pub
# openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -text
Certificate:
Data:
Version: 3 (0x2)
Serial Number: 1216622952 (0x48843168)
Signature Algorithm: sha1WithRSAEncryption
Issuer: C=EE, O=AS Sertifitseerimiskeskus, OU=ESTEID, CN=ESTEID-SK 2007
Validity
Not Before: Jul 21 06:49:12 2008 GMT
Not After : Sep 11 21:00:00 2012 GMT
Subject: C=EE, O=ESTEID, OU=authentication, CN=OOLBERG,IMRE,37003212713, SN=OOLBERG, GN=IMRE/serialNumber=37003212713
Subject Public Key Info:
Public Key Algorithm: rsaEncryption
RSA Public Key: (1024 bit)
Modulus (1024 bit):
..

Sertifikaadist saab küsida ka üksikuid elemente, nt Subject'i, mis näitab kellele on sertifikaat väljastatud

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -subject
subject= /C=EE/O=ESTEID/OU=authentication/CN=OOLBERG,IMRE,37003212713/SN=OOLBERG/GN=IMRE/serialNumber=37003212713

või Issuer'i, mis näitab, kes sertifikaadi väljastas

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -issuer
issuer= /C=EE/O=AS Sertifitseerimiskeskus/OU=ESTEID/CN=ESTEID-SK 2007

või ajavahemiku, mil sertifikaat kehtib

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -dates
notBefore=Jul 21 06:49:12 2008 GMT
notAfter=Sep 11 21:00:00 2012 GMT

Lisaks sertifikaatidele ja võtmetele sisaldab veel andmeid id kaardi nö elektroolilises osas, nt dokumendi number. Seda ja muid andmeid saab küsides nn dump'i

# pkcs15-tool -D -r 01
Using reader with a card: SCM SCR 331 [CCID Interface] (504005BE) 00 00
..
PKCS#15 Card [IMRE OOLBERG]:
Version : 2
Serial number : A0055799
Manufacturer ID: AS Sertifitseerimiskeskus
Flags : Read-only, PRN generation, EID compliant
...

Kui arvutis on kasutusel mitu ID kaarti, siis saab kontrollida millisega tegeledakse parameetri abil

--reader N

===Iceweasel brauseri kasutamine===

Iceweasel brauseri abil on iseenesest võimalik kahe tegevuse sooritamine

* autentimine - kasutaja kinnitab teenusele, nt veebiportaalile, et tema kasutuses on tema autentimise sertifikaadis sisalduvale avalikule võtmele vastav salajane võti
* digitaalne allkirjastamine - kastutaja kinnitab teenusele, nt pangaülekande sooritamisel, et tema kasutuses on tema allkirjastamise sertifikaadis sisalduvale avalikule võtmele vastav salajane võti

Kuivõrd teenuse jaoks on praktiliselt oluline, et kasutaja kinnitaks sertifikaadile vastava salajase võtme olemasolu PIN koodi sisestamise teel, siis siit järeldub, et tuleb hoolega hoida ID-kaarti ning ID-kaardi PIN koode enda teada.

Brauseri tööleseadmine autentimiseks on lihtsam ning allkirjastamiseks keerulisem. Tundub, et praktiliselt on 2009 klienditarkvara ja nende teenuste tarkvara, mida saab Iceweaseliga kasutada seis selline, et Iceweasel brauser iseseisvalt ei tegele andmete allkirjastamisega; allkirjastamine toimub nt Java appleti abil, kusjuures applet küsib kasutajalt allkirjastamiseks vajalikku PIN2 koodi. Seda arvestades on soovitav kasutada turvaseadme kirjeldamisel spetsiaalselt ettevalmistatud teeki onepin-opensc-pkcs11.so, mis efektiivselt varjab brauseri eest ära teise sertifikaadi, kui seda mitte teha, siis praktililiselt hakkab brauser kasutajalt küsima ise vaheldumisi mõlema sertifikaadi PIN koodi ja see oleks üsna eksitav.

Brauseri ID-kaardiga kasutamise ettevalmistamiseks tuleb avada

Edit -> Preferences -> Advanced -> Encryption -> Security Devices -> Load

ning kirjeldada Eesti ID-kaardile vastav turvaseade (ingl. k. security device)

Module Name: esteid
Module filename: /usr/lib/onepin-opensc-pkcs11.so

Sõltuvalt sellest, kas soovitakse, et peale PIN1 sisestamist küsiks brauser kasutajalt igal ID-kaardiga autentimise korral kinnitust või mitte tuleb valida

* Select one automatically
* Ask me every time

[[Pilt:Id-auth-cc.gif]]

====Iceweasel brauseri kasutamine autentimiseks====

Auntentimiseks piisab turvaseadme ettevalmistamisest ning seejärel saab näiteks logida sisse riigiportaali, küsitakse PIN1 koodi

[[Pilt:Id-auth-java-pin1.gif]]

====Iceweasel brauseri kasutamine allkirjastamiseks====

Nt SEB pangas makset sooritades toimub digitaal-allkirjastamise protseduur; ja https://digidoc.sk.ee/ või riigiportaali eesti.ee kasutamisel saab moodustada uut digitaalselt allkirjastatud dokumenti või kontrollida olemasoleval digitaalselt allkirjastatud dokumendil allkirja kehtivust. Osa kasutajaid suhtub veebiliidese kaudu dokumentide allkirjastamisse äärmiselt kahtlustavalt, kuna kui juba lokaalse rakendusega digitaalallkirja andmisel ei saa olla täiesti kindel, millele ikkagi allkiri antakse, siis veebirakenduse puhul on see veel eriti nii.

Iceweasel brauseriga allkirjastamiseks peab olema paigaldatud Mozilla Sun Java plugini tarkvara pakett (millega koos paigaldatakse vajadusel ka JVM, kusjuures on oluline kasutada justnimelt Sun Java mitte IBM või GCJ implementatsioone)

# apt-get install sun-java5-plugin

Ning lisaks kopeerida teek

# mkdir /tmp/teek && cd /tmp/teek
# wget http://ideelabor.ee/downloads/pkcs11wrapper-linux.tar.gz
# tar zxf pkcs11wrapper-linux.tar.gz
# find . -type f -ls
442489 104 -rwxr-xr-x 1 501 501 99004 Apr 23 2004 ./libpkcs11wrapper.so

Seejärel tuleb otsida üles arvutist JVM kataloog

# find /usr -type f -name java -ls
173534 68 -rwxr-xr-x 1 root root 65116 May 28 2008 /usr/lib/jvm/java-1.5.0-sun-1.5.0.16/jre/bin/java

mis tähendab, et

JAVA_HOME=/usr/lib/jvm/java-1.5.0-sun-1.5.0.16

Lõpuks tuleb kopeerida lahtipakitud teek kataloogi ${JAVA_HOME}/jre/lib/i386

# cp libpkcs11wrapper.so /usr/lib/jvm/java-1.5.0-sun-1.5.0.16/jre/lib/i386

Lisaks peavad olema lingid, esimene on vajalik digidoc portaali kasutamiseks ja teine SEB pangas

# ln -s /usr/lib/opensc-pkcs11.so /usr/lib/libopensc-pkcs11.so
# ln -s /usr/lib/opensc-pkcs11.so /usr/lib/libesteid-pkcs11.so

NB! Java tarkvara uuendamisel mõnel juhul muutub ka versiooni number nii, et muutub java asukoht failisüsteemis, nt

/usr/lib/jvm/java-1.5.0-sun-1.5.0.16 -> /usr/lib/jvm/java-1.5.0-sun-1.5.0.17

Sel juhul tuleb libpkcs11wrapper.so kopeerida samasse alamkataloogi kuhu ennegi uue java kataloogi sisse.

Kui süsteemi on paigaldatud lisaks mõni uuem java versioon, nt paketist sun-java6-*, siis tuleb kõnealune wrapper kopeerida kõige uuema Java vastavasse kataloogi, nt

# cp libpkcs11wrapper.so /usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/i386/

=====Allkirjastamine SEB pangas=====

Peale panga keskkonda sisselogimist (kas otseselt või läbi mõne muu teenusepakkuja, nt www.if.ee, www.energia.ee jt) ning maksekorralduse ettevalmistamist esitatakse allkirja andmise juurde esmakordsel minemisel küsimus rakenduse usaldusväärsuse kohta

[[Pilt:Id-allkiri-java-pin4.gif]]

ja seejärel tuleb ära oodata pisut eksitav tühi aken, kus tuleb valida Cancel

[[Pilt:Id-allkiri-java-pin3.gif]]

ning seejärel valides Allkirjasta öeldakse, et loetakse andmeid kiipkaardilt ning küsitakse PIN2 koodi

[[Pilt:Id-allkiri-java-pin2.gif]]

Allkirjastamise ajal töötab java rakendus sun.plugin2.main.client.PluginMain

$ ps aux | grep java
mart 6859 10.1 4.7 242668 48832 ? Sl 10:55 0:04 /usr/lib/jvm/java-6-sun-1.6.0.12/jre/bin/java -D__jvm_launched=5951554477 \
-Xbootclasspath/a:/usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/deploy.jar:/usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/javaws.jar:\
/usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/plugin.jar -Djava.class.path=/usr/lib/jvm/java-6-sun-1.6.0.12/jre/classes \
sun.plugin2.main.client.PluginMain write_pipe_name=/tmp/.com.sun.deploy.net.socket.5659.2862701817965363267.AF_UNIX

=====Allkirjastamine Sertifitseerimiskeskuse digidoc.sk.ee portaalis=====

https://digidoc.sk.ee/ portaal võimaldab veebipõhises keskkonnas sooritada digitaalallkirjastamisega seotud protseduure, nt anda allkirja, kontrollida allkirja ja jagada sama dokumenti teiste portaali kasutajatega selleks, et ühte dokumenti saaks allkirjastada mitu osapoolt. Portaali sisenemisel avaneb kasutuskeskkonnale sarnane vaade, süsteemi on laaditud kaks dokumenti, ühel on üks allkiri ja teisel ei ole ühtegi allkirja

[[Pilt:Digidoc-1.gif]]

Keskkonna kasutamine võiks toimuda suhteliselt intuatiivselt, dokumenti allkirjastamisel tuleb täita sarnased lahtrid nagu nn lokaalset digidoc klienti kasutades

[[Pilt:Digidoc-2.gif]]

Allkirjastamisel küsitakse kasutajalt PIN2 koodi

[[Pilt:Digidoc-3.gif]]

https://digidoc.sk.ee/ keskkonnas ei saa tegeleda krüptitud dokumentidega ehk nn .cdoc failidega.

=====Allkirjastamine riigiportaalis www.eesti.ee=====

Aadressil https://www.eesti.ee/ asuvas riigiportaalis sektsioonis

Kodanikule -> Digitaalallkiri

saab veebipõhises keskkonnas sooritada digitaalallkirjastamisega seotud protseduure, nt anda allkirja, kontrollida allkirja ja jagada sama dokumenti teiste portaali kasutajatega selleks, et ühte dokumenti saaks allkirjastada mitu osapoolt.

Portaali Digiallkirja sektsiooni sisenemisel avaneb kasutuskeskkonnale sarnane vaade, süsteemi on laaditud kaks dokumenti, ühel on üks allkiri ja teisel ei ole ühtegi allkirja

[[Pilt:Riigiportaal-digiallkiri-1.gif]]

Keskkonna kasutamine võiks toimuda suhteliselt intuatiivselt, dokumendi allkirjastamisel tuleb täita sarnased lahtrid nagu nn lokaalset digidoc klienti kasutades, PIN2 sisestamine toimub Java appleti abil, sarnaselt

[[Pilt:Riigiportaal-digiallkiri-2.gif]]

Riigiportaalis ei saa tegeleda krüptitud dokumentidega ehk nn .cdoc failidega.

===Icedove postikliendi kasutamine===

Lisaks nö tavalistele e-kirjadele on võimalik moodustada spetsiaalsete lisaomadustega kirju

* allkirjastatud kiri - kirja saatja moodustab allkirja oma salajase võtmega; kirja saaja saab olla kindel, et kiri on saadetud just selle kasutaja poolt kelle sertifikaadi (avaliku võtme) abil õnnestub kirja autentsust kontrollida; kirja sisu on kõigile avalik, kuid kirjale on nö attachmentiga sarnaselt juurde digitaalse allkirja osa; oluline erinevus nö .ddoc allkirjastamisest on, et reeglina ei kasutata seejuures Sertifitseerimiskeskusest saadud kehtivuskinnitust
* krüptitud kiri - kirja saatja krüptib kirja adressaadi avaliku võtmega (sertifikaadiga); kirja saatja saab olla kindel, et mitte keegi peale selle kasutaja, kelle kasutuses on vastav salajane võti saab kirja sisuga tutvuda

Tuleb arvestada, et eposti allkirjastamine ja krüptimine omab tähendust ainult epostiga tegelemisel ning kuigi see tehnika pakub võimaluse täiendava turvalisuse saavutamiseks ei ole tegu Eesti Vabariigi seaduse mõttes kehtiva digitaalselt allkirjastatud dokumendiga juba seetõttu, et mõlemal juhul kasutatakse autentimise sertifikaati.

Kirja krüptimisel ei ole see tingimata oluline, aga allkirjastamiseks Eesti ID-kaardil asuva autentimise sertifikaadile vastava salajase võtmega eeltingimuseks on, et kasutaja on oma postiprogrammis kirjeldanud tema sertifikaadil leiduva postiaadressiga seotud konto. Sertifikaadile märgitud postiaadressi saab küsida sertifikaadilt öeldes

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -email
imre.oolberg@eesti.ee

Iceweasel programmi ID-kaardiga kasutamise ettevalmistamiseks tuleb avada

Edit -> Preferences -> Advanced -> Certificates -> Security devices -> Load

ning kirjeldada Eesti ID-kaardile vastava turvaseade (ingl. k. security device)

Module Name: esteid
Module filename: /usr/lib/onepin-opensc-pkcs11.so

Lisaks tuleb laadida Icedove'i SK juursertifikaat, ESTEID-SK ja ESTEID-SK 2007 sertifikaadid, mis saab kopeerida http://www.sk.ee/ (Avaleht -> Sertifitseerimine -> Baasinfo -> Juursertifikaadid) veebikohast

Edit -> Preferences -> Advanced -> Certificates -> View Certificates -> Authorities -> Import

Kusjuures tuleb kindlasti vastata jaatavalt küsimusele, et neid usaldatakse eposti jaoks kasutamiseks

[[Pilt:Id-sign-0.gif]]

Seejärel tuleb Icedove'is seoses nn @eesti.ee aadressiga, nt imre.oolberg@eesti.ee, kirjeldatud konto juures näidata, milliseid sertifikaate kasutatakse eposti allkirjastamise ning krüptimise juures, valida ülemine Select (Digital Signing)

[[Pilt:Id-sign-1.gif]]

Peale PIN1 koodi sisestamist esitab arvuti valitud sertifikaadi andmed

[[Pilt:Id-sign-2.gif]]

Valides järgmisena Encryption juures Select küsib arvuti, kas ma soovin kasutada sama sertifikaati (õigemini sama sertifikaadiga seotud salajast võtit) teiste kasutajate poolt mulle saadetud krüptitud kirjade (mis on krüptitud minu avaliku võtmega) lahtikürptimiseks, sobib vastata jaatavalt.

====Icedove postikliendi kasutamine eposti allkirjastamiseks====

Kirja saatmine toimub tavapäraselt ainukese erinevusega, et enne kirja saatmist tuleb valida Security alt

Digitally Sign This Message

[[Pilt:Id-sign-3-1.gif]]

Kirja saajal peab olema postiprogrammi laaditud vähemalt SK juursertifikaat (sellest piisab allkirja kontrollimiseks, sest signatuur sisaldab ka allkirjastaja sertifikaati ning ahelat SK juursertifikaadini ja brauseris oleva SK juursertifikaadiga saab seega tuvastada kasutaja allkirja kehtivust) abil ning kiri pasitab sellisena

[[Pilt:Id-sign-3-2.gif]]

Messsage Security aken avaneb vajutades programmiakna paremas servas asuvale kollane-punane värvi ümbriku kujutisele ja ütleb, et vaatlusalune kiri on allkirjastatud (ingl. k. signed) ning allkiri (ingl. k. signature) on kehtiv. St kirja saaja saab olla kindel, et kiri on saadetud selle poolt, kelle kasutada on allkirja kontrollimisel kasutatud sertifikaadile vastav salajane võti.

====Icedove postikliendi kasutamine eposti krüptimiseks====

Eposti krüptimine toimub adressaadi Eesti ID-kaardi autentimise avaliku võtmega, mis tähendab, et keegi teine peale vastava salajase võtme valdaja ei saa sõnumi teksti sisuga tutvuda. Kirja saatmisel tuleb valida

Security -> Encrypt This Message

[[Pilt:Id-sign-3-3.gif]]

Kirja lugemisel peab olema võimalik kasutada ID-kaarti ning tulemus võiks paista sarnane

[[Pilt:Id-sign-3-4.gif]]

Security Message aken avaneb vajutades programmiakna paremas servas asuvale tabaluku kujutisele ja ütleb, et kiri on krüptitud ning selle sisuga on peale adressaadi teistel kasutajatel ülimalt raske tutvuda.

Kui krüptitud kirja adressaadil on ID-kaardi kasutamine seadistamata, siis esitab programm kasutajale veateadet

Icedove cannot decrypt this message

The sender encrypted this message to you using one of your digital certificates, however Icedove was not able to find
this certificate and corresponding private key.

Possible solutions:

* If you have a smartcard, please insert it now.
* If you are using a new machine, or if you are using a new Icedove profile, you will need to restore your certificate
and private key from a backup. Certificate backups usually end in ".p12".

Krüptimisel tuleb arvestada, et kirja päised sh Message-ID, Date, From, To, Subject jt ei ole krüptitud

..
Message-ID: <49B277C9.8010303@eesti.ee>
Date: Sat, 07 Mar 2009 15:34:01 +0200
From: Imre Oolberg <imre.oolberg@eesti.ee>
User-Agent: Mozilla-Thunderbird 2.0.0.19 (X11/20090103)
MIME-Version: 1.0
To: imre.oolberg@eesti.ee
Subject: eesti muld ja eesti =?ISO-8859-1?Q?s=FCda?=
Content-Type: application/x-pkcs7-mime; name="smime.p7m"
Content-Transfer-Encoding: base64
Content-Disposition: attachment; filename="smime.p7m"
Content-Description: S/MIME Encrypted Message

MIAGCSqGSIb3DQEHA6CAMIACAQAxgf0wgfoCAQAwYzBbMQswCQYDVQQGEwJFRTEiMCAGA1UE
ChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMGRVNURUlEMRcwFQYDVQQD
Ew5FU1RFSUQtU0sgMjAwNwIESIQxaDANBgkqhkiG9w0BAQEFAASBgB4isztO9MjE1ZQUzA7e
U1E0YTQZF0nIW4b46Nn/Be+DtUgzZWyZjgln4YxqQ7vDWPJiFNJTqdLjNCPGb6WEJ7ddZJGp
hM/z+tyCNHrXP6DbvjtmF9qJ9WgvyiqHyQMr8FKRCnLdcj70G+N0EzFnsMq4QsvLi6PHaE7v
rWGWq1ynMIAGCSqGSIb3DQEHATAUBggqhkiG9w0DBwQInoBpNLI3/IOggASCAijikH35Tqn9
..

====Teiste kasutajate sertifikaatide kasutamine====

Selleks, et

* saata teisele @eesti.ee postisüsteemi kasutajale krüptitud kirja
* kontrollida teise @eesti.ee postisüsteemi kasutaja poolt saadetud allkirjastatud kirja allkirja

peab olema Icedove'i laaditud teise kasutaja avalik võti, mis esineb nn autentimise sertifikaadi kujul. Selleks tuleb teades kasutaja isikukoodi kopeerida sertifikaadid ldap.sk.ee serverist, nt

$ ldapsearch -LLL -H ldap://ldap.sk.ee -x -b "c=EE" "(serialNumber=37003212713)"

Salvestada esimesele sertifikaadile vastav tekstiosa st

...
userCertificate;binary:: MIID2jCCAsKgAwIBAgIESIQxaTANBgkqhkiG9w0BAQUFADBbMQswC
..
cOXVX08WgFeVtlH1S6AeDIuY1i/EIngiAUV
....

tekstifaili, alates MIID2.. osast, tekstifail peab algama ja lõppema spetsiaalse tunnusega, kokku peab saama sarnane fail

-----BEGIN CERTIFICATE-----
MIID2jCCAsKgAwIBAgIESIQxaTANBgkqhkiG9w0BAQUFADBbMQswC
..
cOXVX08WgFeVtlH1S6AeDIuY1i/EIngiAUV
-----END CERTIFICATE-----

Ning see fail tuleb laadida Icedove'i valides

Edit -> Preferences -> Advanced -> Certificates -> View Certificates -> Other People's -> Import

Seejärel saab saada sertifikaadis näidatud eposti aadressile krüptitud posti ning samuti kontrollida selle kasutaja poolt allkirjastatud eposti signatuuri.

Kui on võimalik, siis saab teise kasutaja isikutuvastuse sertifikaadi postiklienti laadimiseks kasutada ka lihtsamat protseduuri. Nimelt, piisab kui teine kasutaja saadab esmalt signeeritud kirja ning see kiri postikliendiga avada. Sel juhul salvestatakse sertifikaat automaaselt postikliendi Other people's sertifikaatide hoidlasse.

Üldiselt võib üks ja sama kiri olla samaaegselt nii signeeritud kui ka krüptitud.

===@eesti.ee aadresside kasutamine===

Kuna Eesti ID-kaardi autentimise sertifikaadile vastava avaliku võtmega kürptitud kirju saab saata tingimusel, et adressaadiks on sertifikaadis esitatud aadress, mis on kujul

eesnimi.perekonnanimi@eesti.ee

või kui sama ees-ja perekonnanimega kasutajaid oma rohkem kui üks, siis järgmistele aadressidele on perekonnanime järele lisatud arv

eesnimi.perekonnanimi.1@eesti.ee

siis oleks hea kui sellistele aadressidele saadetud kirjad mugavasti adressaadi postkasti jõuaksid.

Käesolev asjakorraldus võimaldab Eesti ID-kaardi omanikel aadressil http://www.eesti.ee/ asuvas riigiportaalis seadistada, kuhu tema @eesti.ee aadressile saadetud kirjad edasi saadetakse. Tavaliselt on selleks nt mail.ee, gmail.com vms teenusepakkuja postkastiga seotud eposti aadress.

Kuigi tehniliselt teeb @eesti.ee aadressi kasutamine mugavaks signeeritud ja krüptitud kirjade vahetamise, töötab see ka nö tavaliste kirjade puhul.

Kusjuures varasemal ajal on kasutatud ID-kaardi autentimise sertifikaadis ka aadressi kujul, kus nnnn on neljakohaline arv

eesnimi.perekonnanimi_nnnn@eesti.ee

Lisaks, @eesti.ee postisüsteem võimaldab seadistada kasutajal omale edasisuunamise aadressi aadressile

isikukood@eesti.ee

kuid kuna see aadress ei esine sertifikaadis, siis ei ole võimalik seda kasutada eposti allkirjastamisel ega krüptimisel.

===Sertifikaadi kehtivuse kontrollimine===

Avaliku võtme infrastruktuuri üheks ülesandeks on hallata kasutajate sertifikaate sh mitmetel põhjusel sertifikaat kehtetuks kuulutada. Seega, sertifikaadi kasutamisel on oluline kontrollida, kas sertifikaat kasutamise ajal kehtib, seda saab teha SK OCSP (Online Certificate Status Protocol) abil öeldes

$ openssl ocsp -issuer esteid.pem -cert idkaardiltsert.pem -url http://ocsp.sk.ee -noverify -text
OCSP Request Data:
Version: 1 (0x0)
Requestor List:
Certificate ID:
Hash Algorithm: sha1
Issuer Name Hash: 4508A41C355C0A72485FE2DF7B6A6788C6A55022
Issuer Key Hash: 4806DEBE8C875795807863FA9C232B2BA03A1875
Serial Number: 48843168
Request Extensions:
OCSP Nonce:
0410090A1FA4F0555E82C1DFB4722FC61696
OCSP Response Data:
OCSP Response Status: successful (0x0)
Response Type: Basic OCSP Response
Version: 1 (0x0)
Responder Id: C = EE, O = ESTEID, OU = OCSP, CN = ESTEID-SK 2007 OCSP RESPONDER, emailAddress = pki@sk.ee
Produced At: Oct 7 22:15:36 2008 GMT
Responses:
Certificate ID:
Hash Algorithm: sha1
Issuer Name Hash: 4508A41C355C0A72485FE2DF7B6A6788C6A55022
Issuer Key Hash: 4806DEBE8C875795807863FA9C232B2BA03A1875
Serial Number: 48843168
Cert Status: good
This Update: Oct 7 22:15:36 2008 GMT

Response Extensions:
OCSP Nonce:
0410090A1FA4F0555E82C1DFB4722FC61696
cert.pem: good
This Update: Oct 7 22:15:36 2008 GMT

Kus esteid.pem sertifikaadi saab kopeerida SK veebikohast.

===ID-kaardi kasutamine chroot keskkonnast===

Märkus: 20090314 stabiilne Debian Lenny sisaldab sun-java6-plugin paketti.

Üks praktiline vajadus kasutada ID-kaarti chroot programmiga moodustatud chroot keskkonnast oleks 64 bit Debiani operatsioonisüsteemis kasutada 32 bit Iceweaselit'i. Põhjusel, et 32 bit arhitektuurile on olemas Iceweaseli java plugin (pakett sun-java6-plugin), aga 64 bitile seda 2008 aastal pole. Omakorda on java vajalik, et saaks nt SEB pangas allkirjastada st sooritada ülekannet.

Tundub, et kui arvutile külge ühendatud ID-kaarti on tarvis kasutada chroot käsu abil moodustatud chroot keskkonnast, siis tuleb öelda (pcscd deemon töötab nn absoluutses arvutis)

# mount --bind /var/run/pcscd /srv/arvuti-32/var/run/pcscd

ning seejärel tuleb käivitada iceweasel nt selliselt läbi sudo

$ sudo /usr/sbin/chroot /srv/arvuti-32 iceweasel

Selleks, et chroot keskkonnas käivitatud iceweasel saaks näidata oma pilti X serverile tuleb xhost käsuga kaasa aidata, nt öelda

$ xhost +iceweaseliarvutinimi

kusjuures ilma argumentideta xhost näitab, millistest arvutitest on võimalik X serveri poole pöörduda.

Kirjeldatud asjakorralduse puhul ei ole tarvis chroot keskkonda ühendada külge mingeid muid failisüsteeme (nt /proc, /sys) ega käivitada seal deemoneid pcscd vms.

Sudo töötamiseks on vajalik omakorda sellist sisu /etc/sudoers faili

User_Alias CHROOT_USERS = mart
Cmnd_Alias CHROOT_CMD = /usr/sbin/chroot
Host_Alias MORAAL = arvuti
CHROOT_USERS MORAAL = (root) NOPASSWD: CHROOT_CMD

Milliseid turvariske selline asjakorraldus tema jaoks toob peab iga kasutaja ise hindama, eriti seoses X serverile ligipääsemisega kus on avatud ID-kaarti kasutav rakendus.

===ID-kaardi kasutamine konsoolilt arvutisse sisselogimiseks===

Arvutisse sisselogimise kontrollimist on võimalik korraldada ID-kaardi isikutuvastuse sertifikaadiga. Ehk täpsemini, sisselogimisel peab kasutaja tõendama, et ta saab kasutada isikutuvastuse sertifikaadile vastavat salajast võtit ja seda ta teeb PIN1 koodi sisestamise teel.

Tööleseadistatud süsteemi kasutamine näeb välja mitte-graafilise konsooli (tõenäoliselt mingi getty) kasutamisel selliselt, tulemusena on kasutaja süsteemi sisse loginud, nt juurkasutaja

Debian GNU/Linux 5.0 arvutinimi tty4

arvutinimi login: root
Please insert your smart card or enter your username.
Smart card inserted.
Welcome to ID-kaart (PIN1, Isikutuvastus)!
Smart card password:
...

bash#

Sellise asjakorralduse tööleseadmiseks tuleb üldiselt ID-kaart arvutiga ära ühendada nii nagu on ülal punktis 'Kaardilugeja ühendamine operatsioonisüsteemiga' kirjeldatud ning seejärel

* seadistada sisselogimise kontrolli süsteemne osa
* seadistada sisselogimise kontrolli kasutajaspetsiifiline osa

====Süsteemi ettevalmistamine====

Süsteemi ettevalmistamiseks tuleb lisaks paigaldada pakett libpam-pkcs11

# apt-get install libpam-pkcs11

Seejärel moodustada kataloog /etc/pam_pkcs11, sinna näidise eeskujul seadistusfail

# mkdir /etc/pam_pkcs11
# zcat /usr/share/doc/libpam-pkcs11/examples/pam_pkcs11.conf.gz > /etc/pam_pkcs11/pam_pkcs11.conf
# zcat /usr/share/doc/libpam-pkcs11/examples/pam_pkcs11.conf.gz > /etc/pam_pkcs11/pam_pkcs11.conf-orig

ja teha seadistusfailis sellised muudatused

# diff pam_pkcs11.conf pam_pkcs11.conf-orig
85,86c85
< # module = /usr/lib/pam_pkcs11/pkcs11_module.so;
< module = /usr/lib/opensc-pkcs11.so;
---
> module = /usr/lib/pam_pkcs11/pkcs11_module.so;
116c115
< use_mappers = opensc, digest, cn, pwent, uid, mail, subject, null;
---
> use_mappers = digest, cn, pwent, uid, mail, subject, null;
122,123c121
< # mapper_search_path = /usr/lib/pam_pkcs11;
< mapper_search_path = /lib/pam_pkcs11;
---
> mapper_search_path = /usr/lib/pam_pkcs11;
160,161c158
< # module = /usr/lib/pam_pkcs11/opensc_mapper.so;
< module = /lib/pam_pkcs11/opensc_mapper.so
---
> module = /usr/lib/pam_pkcs11/opensc_mapper.so;

SK sertifikaatide kopeerimine ja nn hash linkide moodustmine toimub selliselt (eeldusel, et kasutaja isikutuvastuse sertifikaat on antud välja ESTEID-SK 2007 sertifikaadi suhtes)

# mkdir /etc/pam_pkcs11/cacerts
# cd /etc/pam_pkcs11/cacerts
# wget http://www.sk.ee/files/JUUR-SK.PEM.cer -O JUUR-SK.PEM.pem
# wget http://www.sk.ee/files/ESTEID-SK%202007.PEM.cer -O ESTEID-SK%202007.PEM.pem
# c_rehash .

Tulemus

# find . -ls
183909 4 drwxr-xr-x 2 root root 4096 Mar 15 12:28 .
183911 4 -rw-r--r-- 1 root root 1404 Jan 3 2007 ./ESTEID-SK\ 2007.PEM.pem
183910 4 -rw-r--r-- 1 root root 1790 Feb 6 2006 ./JUUR-SK.PEM.pem
183913 0 lrwxrwxrwx 1 root root 15 Mar 15 12:28 ./119afc2e.0 -> JUUR-SK.PEM.pem
183912 0 lrwxrwxrwx 1 root root 22 Mar 15 12:28 ./590f5e9e.0 -> ESTEID-SK\ 2007.PEM.pem

Lõpuks tuleb kirjeldada PAM mooduli seadistusfailis uus autentimisviis lisades faili /etc/pam.d/common-auth juurde esimeseks reaks

auth sufficient pam_pkcs11.so nullok

====Kasutajakeskkonna ettevalmistamine====

Selleks, et konktreene kasutaja, nt juurkasutaja saaks süsteemi siseneda tuleb moodustada kataloog

# mkdir /root/.eid

ning kopeerida ID-kaardilt isikutuvastuse sertifikaat faili /root/.eid/authorized_certificates

# pkcs15-tool -r 01 > /root/.eid/authorized_certificates

===Eesti ID-kaardi kasutamine OpenVPN lahendusega===

OpenVPN pala tekstis http://kuutorvaja.eenet.ee/wiki/OpenVPN_ja_Eesti_ID-kaardi_kasutamine on kirjeldatud, kuidas kasutada Eesti ID-kaarti VPN kasutajate autentimiseks.

===Eesti ID-kaardi kasutamine GnuPG-2 tarkvaraga===

Märkmed Eesti ID-kaardi võimalikust kasutamisest GnuPG-2 tarkvaraga, mis kahjuks ei vii tulemuseni, aga võimalik, et ühel päeval viivad, http://kuutorvaja.eenet.ee/wiki/GnuPG_kasutamine_Debianiga#Eesti_ID-kaardi_kasutamine_GnuPG-2_tarkvaraga

===ID-kaardi koodide muutmine===

ID-kaardi isikutuvastuse ja allkirjastamise võtmete kasutamist kaitstakse koodidega, vastavalt PIN1 ja PIN2 koodid. Lisaks on kasutusel PUK kood, mille abil saab PIN1 ja PIN2 koodi vajadusel muuta, näiteks kui mõni PIN kood on saanud teatavaks kellelegi teisele või mõni PIN kood on ära ununenud. Kui sooritada kolm järjestikulist ebaõnnestunud koodi sisestamist, siis ligipääs kõnelusele salajasele võtmele lukustatakse, st et enne kui seda saab uuesti kasutada, tuleb ligipääs võtmele PUK koodi abil lahti lukustada.

ID-kaardi PIN koodide lahtilukustamiseks sobib kasutada pkcs15-tool utiliiti, nt öelda PIN 1 koodi lahtilukustamiseks

# pkcs15-tool --unblock-pin -a 1
Enter PUK [PIN1, Isikutuvastus]:
Enter new PIN [PIN1, Isikutuvastus]:
Enter new PIN again [PIN1, Isikutuvastus]:

Muud käsud:

PIN1 koodi muutmiseks

# pkcs15-tool --change-pin -a 1

PIN2 koodi muutmiseks

# pkcs15-tool --change-pin -a 2

PIN2 koodi lahtilukustamiseks

# pkcs15-tool --unblock-pin -a 2

PUK koodi muutmiseks

# pkcs15-tool --change-pin -a 3

Kui aga PUK kood on kadunud, siis saab ID-kaarti kasutada seni kuni pole tarvis PIN koode muuta, vastasel korral tuleb teeninduspunktist, nt pangas paluda paigaldada ID-kaardile uus nn ümbrik.

===e-valimistel osalemine===

e-valimistel osalemiseks tuleb valimiste veebikohta sisse logida ning kopeerida lokaalselt töötav rakendus. Kävitamisel paistab selline pilt

[[Pilt:Evalimised-2009-1.gif]]

===Mobiil-ID===

Mobiil-ID tehnika võimaldab kasutada mobiiltelefoni sarnaselt ID-kaardile, mobiil-ID toimimist on kirjeldatud aadressil http://www.id.ee/10958

===ID-kaardi rakenduste arendamine===

ID-kaardi rakenduste arendajale on Sertifitseerimiskeskus tekitanud projekti OpenXades aadressil http://www.openxades.org/

* saab testida id-kaardiga allkirjastamist vastu test digidocservice teenust (selleks tuleb üles laadida oma sertifikaadid)
* saab testida mobiil-id kaardi kasutamist (selleks tuleb üles laadida oma sertifikaadid)

===Eesti ID-kaardi tarkvara arendus 2009===

Smartlink arendab RIA tellimusel 2009 aastal Eesti ID-kaardi kasutamise tarkvara https://id.eesti.ee/idtrac/, mis sisaldab muu hulgas kasutaja töökohaarvutis kasutamiseks graafilise kasutajaliidesega programme

* qesteidutil - ID-kaardi haldamise tarkvara, sertifikaatide kehtivuse kontroll, PIN koodide muutmine, sertifikaatide uuendamine jms
* qdigidocclient - andmete allkirjastamine ja allkirjade kontrollimine, st nn .ddoc ja .bdoc failidega tegelemine
* qdigidoccrypto - andmete krüptimine teise ID-kaardi kasutaja avaliku võtmega, st .cdoc failidega tegelemine

Lisaks asendab Smartlink lahendus Debian Lenny nö ametlikust tarkvarast sellised paketid

* libopensc2 - OpenSC teek
* opensc - OpenSC utiliidid, kuigi selle paketi paigaldamine ei ole lõppkasutaja seisukohast tingimata vajalik (seal sisaldub nt pkcs15-tool utiliit)

2009 aasta juuli keskel on see selle tarkvara arendusetapp lõpule jõudmas ning praktiselt saab tarkvara võimalustega tutvuda ja tasakesi kasutada.

====Tarkvara paigaldamine====

Kõnealune lahendus kasutab eraldiseisvalt eksisteerivaid OpenSC teeke (pakett libopensc2, seadistusfail /etc/opensc/opensc.conf) ning PC/SC vahendeid (pakett pcscd), Eesti ID-kaardi tarkvara paigaldamiseks tuleb lisada /etc/apt/sources.list faili rida

deb ftp://ftp.smartlink.ee/pub/id/debian/ lenny main

usaldada Smartlinki repositooriumi Release faili võtit

# wget ftp://ftp.smartlink.ee/pub/id/apt-esteid-test.gpg.asc
# apt-key add apt-esteid-test.gpg.asc
OK

NB! 20090928 seisuga selle repo kasutamisel asendatakse Debian Lenny nö enda opensc jt teeke ära Smartlinki omadega ja tulemusena ID-kaarti ei saa kasutada, vähemalt mitte ilma vajalike muudatusteta.

Tarkvara paigaldamiseks tuleb öelda

# apt-get install qesteidutil qdigidoc

paigaldatakse neli kõnealuse arendusega seotud paketti ning vajadusel sõltuvustena ka OpenSC, PC/SC jm tarkvara

* qesteidutil - Eesti ID-kaardi haldusvahend qesteidutil
* qdigidoc - programmid qdigidocclient ja qdigidoccrypto
* libdigidoc2 - nn vana teek, käsurealt kasutatav utiliit cdigidoc
* libdigidocpp0 - nn uus teek

Tarkvara kasutamiseks tuleb OpenSC ja PC/SC seada käima nii nagu on käesoleva pala alguses punktis [[:Eesti ID-kaardi kasutamine Debianiga#Kaardilugeja ühendamine operatsioonisüsteemiga]] kirjeldatud.

====Eesti ID-kaardi haldusvahend====

Eesti ID kaardi haldusvahendi qesteidutil kasutamiseks tuleb käivitada programm, nt valides menüüst või XTerm aknas öeldes

$ qesteidutil

ning avaneb aken

[[Pilt:qesteidutil-1.gif]]

Kasutajaliideses esitatud pilt kopeeritakse riigiportaali www.eesti.ee süsteemi kaudu üle X-tee KMA andmekogust.

====Digidoc klient====

Qt teeke kasutava Digidoc kliendi qdigidocclient käivitamiseks tuleb käivitada programm nt valides menüüst või XTerm aknas öeldes

$ qdigidocclient

ning avaneb aken

[[Pilt:qdigidocclient-1.gif]]

Krüptimise utiliidi saab käivitada öeldes

$ qdigidoccrypto

ning avaneb pilt

[[Pilt:qdigidoccrypto-1.gif]]

Utiliit sisalab LDAP klienti, millega saab teades teise kasutaja isikukoodi kopeerida Sertifitseerimiskeskuse LDAP kataloogist tema isikutuvastuse sertifikaadi.

====cdigidoc utiliit====

Paketi libdigidoc2 koosseisus on utiliit cdigidoc, millega saab käsurealt DigiDoc failidega töötada, näiteks fail.cdoc lahtikrüptimiseks sobib öelda

$ cdigidoc -decrypt fail.cdoc PIN_KOOD -out fail.ddoc

Faili fail.ddoc seest esimene faili nimega sisufail.txt konteinerist välja kopeerimiseks sobib öelda

$ cdigidoc -extract D0 sisufail.txt -in fail.ddoc

Ilma argumentideta käsk väljastab abi

$ cdigidoc
USAGE: cdigidoc <command(s)> [-in <input-file>] [-out <output-file>] [-config <config-file>]
COMMANDS:
[-new] [format] [version]
-check-cert <-cerificate-file-name (PEM format)>
-add <file-name> <mime-type> [<content-type>] [<charset>]
-verify
-list
-sign <pin> [<manifest>] [<city> <state> <zip> <country>]
-extract <doc-id> <file-name> [<charset>] [<file-name-charset>]
-encrypt <file-name>
-encrecv <cert-file> [<recipient>] [<keyname>] [<carried-key-name>]
-decrypt <file-name> <pin1>
-denc-list <file-name>
-encrypt-file <in-file-name> <out-file-name> [<in-file-mime-type>]
-decrypt-file <in-file-name> <out-file-name> <pin1>
-calc-sign <cert-file> [<manifest>] [<city> <state> <zip> <country>]
-add-sign-value <sign-value-file> <sign-id>
-del-sign <sign-id>
-get-confirmation <sign-id>
OPTIONS:
-cgimode [<ouput-separator] - output in CGI mode
-SAX - use SAX parser
-XRDR - use XmlReader parser

====Märkused====

20090714 seisuga tehtud tähelepanekud

* programmidel puuduvad manuaalid (ingl. k. manpage) ning praktiliselt dokumentatsioon kataloogis /usr/share/doc/paketinimi
* paketihalduse nimekirjas esineb ka pakett qdigidoccrypto, mida asendab qdigidoc, kui qdigidoc* pakettide traditsioon alles algab, äkki siis see 'Replaces' eemaldada
* sõltuvustest ei paigaldata opensc paketti, mis iseenesest ei ole ka vajalik, vajalik on just libopensc2 teekide pakett
* q* programmide kasutamisel tuleb olla kannatlik, kuigi esmalt teatab programm, et 'Ei leitud ühtegi ID-kaarti' voi 'Kaarti pole lugejas', siis tegelikult võidakse tegeleda alles kaardi otsimisega ja mõne sekundi pärast on kõik korras ja saab jätkata programmi kasutamist
* q* programmide akendest ei saa alati hiirega teksti kopeerida
* paketi libopensc2 seadistusfailis /etc/opensc/opensc.conf võiks parameetri muudatus toimuda ehk debconf dialoogi abil pakkudes kasutajale sobivat vaikeväärtust

reader_drivers = openct, pcsc, ctapi; -> reader_drivers = pcsc, ctapi;

* IP aadressipõhisel ocsp teenusele ligipääsu puhul küsitakse 'Did not find any server access certificate! Start downloading?'
* Kas programmide töö lõpetamiseks on muid võimalusi peale akna sulgemise?

===Eesti ID kaardi tarkvara v. 3.8 kasutamine 2014 suvel===

Käesolevas punktis kirjeldatakse 2014 aasta suvel olemasolevate tarkvara komponentidega Eesti ID kaardi kasutamist (autentimist ja allkirjastamist)

* Debian testing (Jessie) operatsioonisüsteem (32 või 64 bit, tõenäoliselt sarnaselt toimub paigaldamine-seadistamine-kasutamine ka muude Debiani versioonide ja Linux distributsioonidega)
* Eesti ID kaardi tarkvara v. 3.8.0 Ubuntu v. 12.04 (Precise) paketid

Tulemusena saab

* Chrome brauseriga autentida ja allkirjastada
* ID kaardi haldusvahendiga pin koode hallata
* lokaalse DigiDoc kliendiga allkirjastada ja krüptida

Juhised kehtivad

* Chrome < v. 35 (tundub, et alates v. 35 on smart card autentimise tehnika oluliselt muutunud, väidetavalt Eesti ID kaardi tarkvara v. 3.9 teeb selle korda)
* OpenSC kuni 0.12 ja kaasa arvatud (0.13 juures puudub brauseri kasutamist abistav onepin teek)

====Tarkvara paigaldamine====

Eeldusel, et arvutis on töötav kasutajakeskkond (XCFE, Gnome vms) ning Chrome brauser versioon < 35, lisada süsteemi üldotstarbelised paketid

# apt-get install opensc pcscd libccid libnss3-tools apt-transport-https

Kuna onepin-opensc-pkcs11.so teek on vajalik, aga opensc v. 0.13 tarkvaras puudub ning see on nt Debian v. 7 Wheezy paketihalduses v. 0.12 juures olemas (ja tundub, et sobib kasutada), siis aitab lisada /etc/apt/sources.list faili Debian v. 7 Wheezy repositoorium

deb http://ftp.us.debian.org/debian/ wheezy main contrib non-free

ning öelda 0.12 versiooni paigaldamiseks (downgrade'iks)

# apt-get update
# apt-get install opensc=0.12.2-3

Lisaks tuleb Wheezy pakettidest paigaldada

# apt-get -t wheezy install libxml-security-c16

Eesti ID kaardi tarkvara paigaldamise ettevalmistamiseks laadida võti

# wget -O /tmp/ria-public.key https://installer.id.ee/media/install-scripts/ria-public.key
# apt-key add /tmp/ria-public.key

lisada /etc/apt/sources.list faili rida

deb https://installer.id.ee/media/ubuntu/ precise main

ja tarvkara paigaldamiseks öelda

# apt-get update
# apt-get install estonianidcard qesteidutil esteidcerts esteidfirefoxplugin

====ID kaardilugejaga suhtlemise kontrollimine====

Peale tarkvara paigaldamist ja eeldusel, et lugeja on arvutiga ühendatud saab öelda

# opensc-tool -l
# Detected readers (pcsc)
Nr. Card Features Name
0 Yes SCM Microsystems Inc. SCR 331 [CCID Interface] (504005BE) 00 00

Kui lisaks on ID kaart on lugejas saab öelda (jms pkcs15-tool käske)

# pkcs15-tool -c
Using reader with a card: SCM Microsystems Inc. SCR 331 [CCID Interface] (504005BE) 00 00
X.509 Certificate [Isikutuvastus]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeaace
ID : 01
Encoded serial : 02 10 3BF4F7CBE36A655050DC20A42E9EFBAA

X.509 Certificate [Allkirjastamine]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeddce
ID : 02
Encoded serial : 02 10 0D1864A01391996750DC20AC1BF2FDE5

====ID kaardi haldusvahend====

Peale tarkvara paigaldamist maksab esmalt veenduda, et id kaardilugeja riistvara on ära tuntud ja kaart on üldiselt ligipääsetav. Selleks käivitada ID kaardi haldusvahend ja peab nägema oma sertifikaadiandmeid.

Interneti kasutamise olemasolul saab Lae pilt valikuga küsida rahvastikuregistris olevat pilti.

====Chrome brauseriga autentimine ja allkirjastamine====

Esmalt tuleb kord brauser käivitada, et kasutaja kodukataloogi tekiksid vajalikud nn punktifailid (~/.pki), seejärel brauseri protsessid lõpetada st brauseri sulgeda ning öelda sama kasutajana

$ modutil -dbdir sql:$HOME/.pki/nssdb -delete opensc-pkcs11
$ modutil -dbdir sql:$HOME/.pki/nssdb -add opensc-pkcs11 -libfile onepin-opensc-pkcs11.so -mechanisms FRIENDLY

kus

* esimese käsu väljundiks on tõenäoliselt veateade kuna pole midagi kustutada
* teise käsu väljundiks

...
Module "opensc-pkcs11" added to database.

Seejärel tuleb Chrome pluginate settingutest aadressilt chrome://plugins (sisestada nii aadressreale) seadistada EstEID plugin

* Enabled
* Always Allowed

Tulemusena paistab selline pilt

[[Pilt:Chrome-esteid-2.gif]]

kust on näha, et kasutatakse paketis esteidfirefoxplugin olevat teeki

$ dpkg -S /usr/lib/mozilla/plugins/npesteid-firefox-plugin.so
esteidfirefoxplugin: /usr/lib/mozilla/plugins/npesteid-firefox-plugin.so

Autentimiseks sobib minna mõnda portaali, kus on võimaluda kasutaja autentmiseks ID kaardiga, nt https://www.eesti.ee/. Samas saab ka allkirjastada valides

Minu asjad -> Minu dokumendid

Katsetada sobib ka aadressil https://www.openxades.org/web_sign_demo/sign.html.

====Firefox/Iceweasel brauseriga autentimine ja allkirjastamine====

Kontrollida, et paketi esteidfirefoxplugin paigaldamisel tekkinud EstEID plugin on Always Activate olekus

about:addons -> Plugins -> EstEID plug-in -> More

ID kaardi kasutamiseks tuleb brauseri seadistustes kirjeldada onepin teek valides

Edit -> Preferences -> Advanced -> Certificates -> Security Devices -> Load

ja avanenud dialoogis sisestada nt

* Module name - EstEID
* Module filename - /usr/lib/x86_64-linux-gnu/onepin-opensc-pkcs11.so

kus mooduli asukoht failisüsteemis sõltub arhitektuurist jms natuke, find leiab üles

$ find /usr/ -name onepin\*
/usr/lib/x86_64-linux-gnu/onepin-opensc-pkcs11.so

Tulemusena saab ID kaardiga autentida ning allkirjastada.

====Lokaalne DigiDoc klient====

Tarkvara paigaldamise käigus paigaldati ka lokaalne DigiDoc klient. Esmakordsel käivitamisel pakutakse võimalust laadida Sertifitseerimiskeskuse kehtivuskinnituse kasutamiseks vastav juurdepääsutõend, millega saab allkirjastada kuni kümme korda kuus.

====Probleemid====

* Kui allkirjastamisel küsitakse luba kahe plugina käivitamiseks (või öeldakse, et Java plugin on puudu)

[[Pilt:Chrome-esteid-1.gif]]

siis on põhjuseks, et EstEID plugin ei ole seadistatud õieti. Peab olema valitud 'Always allowed'. Oluline on teada, et Java ei ole Chrome brauseriga allkirjastamisel reeglina vajalik.

====Kasulikud lisamaterjalid====

* https://installer.id.ee/
* https://github.com/martinpaljak/ria-debian-build
* http://lauri.võsandi.com/posts/ubuntu-trusty-esteid.html
* http://pingviin.org/portal.php?topic_id=9727
* https://installer.id.ee/media/install-scripts/install-esteid-ubuntu.sh
* https://wiki.debian.org/Smartcards
* http://id.ee/?id=34228
* http://packages.ubuntu.com/lucid/libccid

===Eesti ID kaardi tarkvara v. 17.01.1686-1604 kasutamine 2017 kevadel===

Käesolevas punktis käsitletakse Eesti ID kaardi tarkvara kasutamist operatsioonisüsteem Debian v. 9 Stretch keskkonnas. Debian jaoks üldiselt pakette ei valmistata, aga osutub, et saab kasutada Ubuntu v. 16.04 Xenial pakette.

====Tööpõhimõte====

TODO

====Ettevalmistused====

Kuna Ubuntu v. 16.04 Xenial libssl1.0.0 v. 1.0.2g paketis on ka v. 1.0.0 sümbolid

<pre>
ubuntu-1604$ strings /lib/x86_64-linux-gnu/libssl.so.1.0.0 | grep ^OPENSSL_1
OPENSSL_1.0.0
OPENSSL_1.0.1
OPENSSL_1.0.1d
OPENSSL_1.0.2
OPENSSL_1.0.2g
</pre>

ja Debian v. 9 Stretch libssl1.0.2 v. 1.0.2k paketis ei ole 1.0.0 sümboleid

<pre>
debian-9$ strings /usr/lib/x86_64-linux-gnu/libssl.so.1.0.2 | grep ^OPENSSL_1
OPENSSL_1.0.2d
OPENSSL_1.0.2g
</pre>

siis on vaja leida mingi workaround. Tundub, et kaaluda maksab

* kopeerida internetist Ubuntu v. 16.04 Xenial libssl1.0.0 pakett ja kasutada sealt kahte teeki libssl.so.1.0.0 ja libcrypto.so.1.0.0 (selle lähenemise puuduseks on, et edaspidi vaevalt keegi viitsib neid teeke uuendada)
* paigaldada Debian v. 8 Jessie libssl1.0.0 pakett, http://priit.joeruut.com/archives/Eesti-ID-kaardi-tarkvara-ehk-open-eid-v.-3.12-kasutamine-Debianis.html (lähenemise puuduseks on, et Debian v. 8 Jessie tugi lõpeb tõnäoliselt varem kui Ubuntu v. 16.04 Xenial, aga väga võimalik, et veel enne tekib Debian + ID kaardi kasutamiseks mingi normaalsem lahendus)

Ubuntu libssl1.0.0 paketi saab kopeerida aadressilt http://packages.ubuntu.com/search?keywords=libssl1.0.0&searchon=names&suite=xenial&section=all

Paketi lahti pakkimiseks sobib öelda

$ cd /var/tmp/libssl1.0.0-ubuntu
$ dpkg -x /home/imre/Downloads/libssl1.0.0_1.0.2g-1ubuntu4.6_amd64.deb .

ning (kuna selliste nimedega faili enne pole)

# cp libssl.so.1.0.0 libcrypto.so.1.0.0 /usr/lib/x86_64-linux-gnu

Selleks, et süsteemis oleks paketihalduse mõttes libssl1.0.0 nimeline pakett, sobib kasutada equivs abi

* öelda

$ equivs-control libssl1.0.0

* redigeerida natuke tekkinud faili

<pre>
$ egrep -v "^$|^#" libssl1.0.0
Section: misc
Priority: optional
Standards-Version: 3.9.2
Package: libssl1.0.0
Version: 1.0.0
Maintainer: Imre <imre@auul.pri.ee>
Description: libssl1.0.0 abistaja
Testime
.
Testime 2
</pre>

* öelda

$ equivs-build libssl1.0.0

* paigaldada (kuidagi ta paigaldatakse vaatamata signatuuri puudumisele jms)

# dpkg -i libssl1.0.0_1.0.0_all.deb

====Paigaldamine====

* lisada apt võtmete hulka aadressil https://installer.id.ee/media/install-scripts/install-open-eid.sh oleva skripti algusest kaks sissekannet

# apt-key add failinimi

* lisada apt source

# cat /etc/apt/sources.list.d/ria-repository.list
deb http://installer.id.ee/media/ubuntu xenial main

* värskendada

# apt-get update

ID kaardi tarkvara paigaldamiseks sobib öelda

# apt-get install open-eid

tulemusena tekib failisüsteemi

* kümmekond paketti, enamus installer.id.ee pealt
* /etc/X11/Xsession.d/95-esteid-update-nssdb - selle faili abil X konsoolil töötamise alguses nö korraldakse sobiv seis olulistest asjadest (mh öeldakse modutil jt käske)

Paigaldamise lõpus tuleb Desktop keskkonnast logida välja ja tagasi sisse selleks, et Xsession kasutaks nssdb osa.

====ID kaardilugejaga suhtlemise kontrollimine====

Peale tarkvara paigaldamist ja eeldusel, et lugeja on arvutiga ühendatud saab öelda

<pre>
$ opensc-tool -l
# Detected readers (pcsc)
Nr. Card Features Name
0 Yes Gemalto PC Twin Reader (FB00DB62) 00 00
</pre>

Kui lisaks on ID kaart on lugejas saab öelda (jms pkcs15-tool käske)

<pre>
$ pkcs15-tool -c
Using reader with a card: Gemalto PC Twin Reader (FB00DB62) 00 00
X.509 Certificate [Isikutuvastus]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeaace
ID : 01
Encoded serial : 02 10 775DD64056F35E7954C8CB3EFEB3C8EE
X.509 Certificate [Allkirjastamine]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeddce
ID : 02
Encoded serial : 02 10 2D5E4D8F644E041454C8CB5236F7D2D6
</pre>

====ID kaardi haldusvahend====

Peale tarkvara paigaldamist maksab esmalt veenduda, et id kaardilugeja riistvara on ära tuntud ja kaart on üldiselt ligipääsetav. Selleks käivitada ID kaardi haldusvahend ja peab nägema oma sertifikaadiandmeid.

Interneti kasutamise olemasolul saab Lae pilt valikuga küsida rahvastikuregistiris olevat pilti.

====Chromium brauseriga autentimine ja allkirjastamine====

Veenduda, et Chromiumil on olemas vastav plugin (see on kopeeritav ka üldisest Google Chrome extensions repositooriumist)

[[Pilt:Chrome-esteid-3.gif]]

Tulemusena peab töötama autentimine ja allkirjastamine.

====Firefox brauseriga autentimine ja allkirjastamine====

TODO

* Tundub, et autentimine töötab nö iseenesest.

====Kasulikud lisamaterjalid====

* https://github.com/web-eid/
* https://github.com/open-eid
* https://github.com/open-eid/chrome-token-signing/wiki
* https://lauri.xn--vsandi-pxa.com/2014/04/ubuntu-trusty-esteid.html
* http://installer.id.ee/
* http://priit.joeruut.com/archives/Eesti-ID-kaardi-tarkvara-ehk-open-eid-v.-3.12-kasutamine-Debianis.html
* https://installer.id.ee/media/install-scripts/install-open-eid.sh
* https://www.auul.pri.ee/wiki/Operatsioonis%C3%BCsteem_Debian_GNU/Linux_paketihalduse_kasutamine#Equivs_kasutamine

===Eesti ID kaardi kasutamine - Ubuntu 16.04===

Alustada aadressilt https://installer.id.ee/

# apt-key add ria-key1.pem
# apt-key add ria-key2.pem

# cat /etc/apt/sources.list.d/ria-repository.list
deb http://installer.id.ee/media/ubuntu xenial main

# apt-get update
# apt-get install open-eid

Kui lähtepunktiks on nö tavaline töökohaarvuti, siis lisanduvad paketid

chrome-token-signing esteidfirefoxplugin esteidpkcs11loader libccid libdigidoc-common libdigidoc-tools libdigidoc2 libdigidocpp-common libdigidocpp-tools
libdigidocpp1 libminizip1 libnss3-tools libxerces-c3.1 libxml-security-c17v5 libzip4 open-eid opensc opensc-pkcs11 pcscd qdigidoc qdigidoc-tera qesteidutil

Kasulikud lisamaterjalid

* https://installer.id.ee/?lang=est
* https://installer.id.ee/media/install-scripts/install-open-eid.sh
* https://installer.id.ee/media/ubuntu/

===Eesti ID kaardi kasutamine - Ubuntu 18.04===

Sarnaselt eelmisele punktile, aga paistab, et 2019 aasta alguses tuleb lisaks kasutada skriptis

# cat /var/lib/dpkg/info/awp.postinst
#!/bin/bash

exit;
...

ning loksutada paketihaldust 'apt-get install -f' vms käskudega.

Seejärel kasutajana logida sisse desktop keskkonda (nt XFCE4) ja öelda

$ modutil -dbdir sql:$HOME/.pki/nssdb -delete opensc-pkcs11
$ modutil -dbdir sql:$HOME/.pki/nssdb -add opensc-pkcs11 -libfile onepin-opensc-pkcs11.so -mechanisms FRIENDLY

Seejärel Chrome brauseris peaks saama kasutada id kaarti autentimiseks ja allkirjastamiseks. Need kaks käsku võiks idee poolest automaatselt öeldada skripti /usr/bin/esteid-update-nssdb poolt, aga paistab, et millegipärast minul see nii ei ole

<pre>
$ cat /etc/xdg/autostart/chrome-pkcs11.desktop
[Desktop Entry]
Type=Application
Name=Configure Chrome PKCS11
Exec=/usr/bin/esteid-update-nssdb
NoDisplay=true
X-GNOME-AutoRestart=true
X-GNOME-Autostart-Phase=Initialization
</pre>

Kui kasutada on uus eid kaart, siis tõenäoliselt on vajalik öelda awp.postinst skriptis sisalduvad sarnased käsud samuti.

Kasulikud lisamaterjalid

* https://github.com/open-eid/linux-installer/issues/36

===Test ID-kaart===

Lisaks nö päris ID-kaartidele väljastab Sertifitseerimiskeskus teatud juhtumiteks ka test ID-kaarte, nt on seal kasutatav sertifikaat selline

-----BEGIN CERTIFICATE-----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 2AjWXfHNDc0oWr7CBV9HRLmpidJQtQCwoUt6Y2NA==
-----END CERTIFICATE-----

Tekstikujul vaadatest on Issuer ja Subject väärtused

# openssl x509 -in /tmp/zaikovski.pem -noout -text
Certificate:
Data:
Version: 3 (0x2)
Serial Number: 1244104848 (0x4a278890)
Signature Algorithm: sha1WithRSAEncryption
Issuer: C=EE, O=AS Sertifitseerimiskeskus, OU=Testsertifikaadid, CN=TEST-SK
Validity
Not Before: Jun 4 08:40:48 2009 GMT
Not After : Apr 7 11:42:17 2012 GMT
Subject: C=EE, O=TEST-ESTEID, OU=authentication, \
CN=\x01}\x00A\x00I\x00K\x00O\x00V\x00S\x00K\x00I\x00,\x00I\x00G\x00O\x00R\x00,\x003\
\x007\x001\x000\x001\x000\x001\x000\x000\x002\x001, SN=\x01}\x00A\x00I\x00K\x00O\x00V\x00S\
\x00K\x00I, GN=IGOR/serialNumber=37101010021
...

Tundub, et kõigil test kaartidel on algselt samad pinid ja puk, mida saab muuta id kaardi utiliidiga, http://www.id.ee/index.php?id=30379

* PIN1 kood - 0090
* PIN2 kood - 01497
* PUK kood - 17258403

===Kaardilugeja firmware uuendamine===

Kui kaardilugeja nö peaks töötama, aga ei tööta, siis mõnel juhul on otstarbekas kaaluda kaardilugeja firmware uuendamist. Nt SCR311 kaardilugeja puhul sobib selleks kasutada Windows 7 keskkonda, et uuendada 4. -> 5. versoonide vahel.

Kasulikud lisamaterjalid

* http://www.jasemccarty.com/blog/?p=1134
* https://militarycac.com/cacdrivers.htm

===Märkused===

* Kui brauser või postiklient lakkavad töötamast ID-kaardiga, siis maksab need programmid sulgeda ja samuti peatada pcscd deemon ning seejärel esmalt deemon ning siis rakendusprogrammi uuesti käivitada.
* Kuivõrd ID-kaardi sertifikaadid kehtivad suhteliselt lühikest aega ning sertifikaatide uuendamisel praktiliselt kirjutatakse vanad sertifikaadid üle uutega, siis sobib ID-kaardi vahendeid andmete krüptimiseks kasutada nö turvalise transpordi sooritamiseks ja mitte andmete pikaajaliseks turvaliseks säilitamiseks. Lisaks on veel muid ohte, näiteks et ID-kaart rikneb füüsiliselt.

===Sertifikaatide uuendamine===

Sertifikaatide saab uuendada id kaarti utiliidiga, peale uuendamist näidatakse sellist pilti, tegevuse käigus küsitakse vana sertifikaadi PIN1

[[Pilt:Qesteidutil-2.gif]]

===TODO===

* ipsec lahenduse juures kasutamine

===Kasulikud lisamaterjalid===

* Eesti ID-kaardi tarkvara - http://ideelabor.ee/
* Sertifitseerimiskeskus - http://www.sk.ee/
* http://kuutorvaja.eenet.ee/wiki/Apache'i_veebiserver#ID_kaardiga_kasutaja_autentimine
* http://kuutorvaja.eenet.ee/wiki/OpenLDAP_kasutamine_Debianiga#Icedove.27i_aadressraamatu_pidamine
* https://digidoccheck.sk.ee/
* https://id.eesti.ee/trac/
* http://pcsclite.alioth.debian.org/supported.html
* http://code.google.com/p/esteid/

Eesti ID-kaardi kasutamine Debianiga

2019-03-01T07:25:38Z

Imre: /* Test ID-kaart */

===Sissejuhatus===

Eesti ID-kaart on nn protsessorkaart, mis võimaldab autentimist ja allkirjastamist. ID-kaardi kasutamiseks on vajalikud

* kehtiv Eesti ID-kaart
* kasutada oleva arvuti ja operatsioonisüsteemiga sobiv kaardilugeja
* internetiühendus
* ID-kaardi võimaluste kasutamiseks sobiv kliendipoolne tarkvara
* ID-kaardi võimaluste kasutamiseks sobiv teenus internetis

Eesti ID-kaardi töö põhineb avaliku võtme (ingl. k. public key) krüptograafia kasutamisel. Avaliku võtme infrastruktuuris (ingl. k. PKI - public key infrastructure) esitatakse kasutaja avalik võti koos kasutaja kohta käivate muude andmetega, nt kasutaja nimi ja eposti aadress selle konkreetse infrastruktuuri mõne ülemise sajalase võtmega signeeritud kujul ja seda tulemust nimetatakse kasutaja sertifikaadiks. Lisaks on sertifikaadis kirjas andmed selle sertifikaadi väljastaja kohta ja sertifikaadi kehtivuse aeg.

Eesti ID-kaartidega seotud avaliku võtme infrastruktuuri haldab sh väljastab ID-kaarte Sertifitseerimiskeskus http://www.sk.ee/ kusjuures ID-kaardil on kaks paari võtmeid, öeldakse ka, et kaks sertifikaati

* isikutuvastuse ehk autentimise sertifikaat
* allkirjastamise sertifikaat

Kahe erineva sertifikaadi kasutuselevõtmise põhjuseks on asjaolu, et sertifikaatidel on nö oluliselt erinev kaal

* isikutuvastuse sertfikaadiga kasutaja autendib ennast teenusele (st praktiliselt logib ennast sisse portaali internetis, siseneb kooduksega kaitstud ruumi füüsilises maailmas)
* allkirjastamise sertifikaati kasutatakse reeglina ainult digitaalallkirja andmiseks ja Eesti Vabariigis on digitaalallkirjastatud dokument võrdsustatud omakäeliselt allkirjatatud dokumendiga; reeglina pangaülekannete sooritamisel toimub sisemiselt samuti digitaalallkirjastamise protseduur

Oletame, et kui oleks kasutuses ainult üks sertifikaat ja nt kasutaja siseneb koodukse kaudu ruumi, siis võiks konstrueerida skeemi, kus ta pahaaimamatult allkirjastab mõne dokumendi, mida ta muul juhul ei oleks nõus allkirjastama. Kahe sertifikaadi kasutamisel on võimalik erinevaid rolle lahus hoida.

Kuigi eelmises lõigus kasutati väljendeid 'isikutuvastuse sertifikaadiga kasutaja identifitseerib' ja 'allkirjastamise sertifikaati kasutatakse reeglina digitaalallkirja andmiseks' tuleb seda seda mõista nii, et sisuliselt neid protseduure sooritades kasutaja kasutab vastava sertifikaadi salajast võtit. ID-kaardil asuvate salajaste võtmete kasutamine on turvakaalutlustel piiratud täiendava parooliga, nn PIN koodiga, kummalgi salajasel võtmel on oma PIN kood ja võtme kasutamise eel küsib ID-kaardi tarkvara kasutajalt seda koodi.

ID-kaardiga autentimine on dual-factor ehk two-factor autentimine http://en.wikipedia.org/wiki/Two-factor_authentication kuna see sisaldab kahte kontrolli

* midagi mida saab omada - ID-kaardi kui füüsilise eseme olemasolu kontroll
* midagi mida saab teada - salajase võtme teadmise kontroll

Võrreldes parooliga on ID-kaardi kasutamise üheks erinevuseks, et seda saab kasutada korraga ainult üks kasutaja nö ühest kasutuspunktist.

===Eesti ID-kaardi sertifikaatide LDAP kataloogiteenus===

Kuna avaliku võtme infrastruktuuri üheks koostisosaks on, et kõigi kasutajate avalikud võtmed st sertifikaadid on kõigile avalikult kättesaadavad, siis SK on teinud kasutajate sertifikaadid internetis kättesaadavaks LDAP kataloogiteenuse abil aadressil ldap.sk.ee. Kasutaja sertifikaate (mis sisaldavad avalikke võtmeid) saab teades tema isikukoodi kopeerida öeldes nt

$ ldapsearch -LLL -H ldap://ldap.sk.ee -x -b "c=EE" "(serialNumber=37003212713)"
dn: cn=OOLBERG\2CIMRE\2C37003212713,ou=Authentication,o=ESTEID,c=EE
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
cn: OOLBERG,IMRE,37003212713
serialNumber: 37003212713
userCertificate;binary:: MIIEGjCCAwKgAwIBAgIESIQxaDANBgkqhkiG9w0BAQUFADBbMQswC
QYDVQQGEwJFRTEiMCAGA1UEChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMGRV
...
z5vZN4059dNaqZqVg5rlVrLS5/T+sK8PHxYcO+SKDZYobddJIv6i2XlpVAQLgkChEiXI2Bd3AMfpw
fVbAjDsHXasblBtut7k1MItT3YLaNZ/xq9BY/B7afXqg==

dn: cn=OOLBERG\2CIMRE\2C37003212713,ou=Digital Signature,o=ESTEID,c=EE
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
cn: OOLBERG,IMRE,37003212713
serialNumber: 37003212713
userCertificate;binary:: MIID2jCCAsKgAwIBAgIESIQxaTANBgkqhkiG9w0BAQUFADBbMQswC
QYDVQQGEwJFRTEiMCAGA1UEChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMGRV
..

Konkreetse sertifikaadi dn elemendi kopeerimiseks sobib öelda nt

$ ldapsearch -LLL -H ldap://ldap.sk.ee -x -b ou=authentication,o=ESTEID,c=EE "(serialNumber=37003212713)" dn
dn: cn=OOLBERG\2CIMRE\2C37003212713,ou=Authentication,o=ESTEID,c=EE

===Kaardilugeja ühendamine operatsioonisüsteemiga===

Märkus: 2010 kevade seisuga peaks töötama täitsa hästi Linuxi ja Windowsiga nt kaks sellist mudelit, mida on ka kauplustes suhteliselt hästi saada

* Omnikey Cardman 1021 - USB (lauaarvutile, sülearvutile)
* Omnikey Cardman 4321 - ExpressCard http://en.wikipedia.org/wiki/ExpressCard (sülearvutile)

Ehk kõige parem kui kaardilugeja ühendub arvutiga USB abil, nt sobib mudel SRC-331. Debian Etch ja Lenny sisaldavad paketihalduses ID-kaardi kasutamiseks sobivat tarkvara, mille koduleht asub aadressil http://ideelabor.ee/ ja mille kasutamist käesolev tekst kirjeldab.

USB kaudu ühendatud ID-kaardilugeja kasutamise eelduseks on, et operatsioonisüsteem toetab USB seadmete kasutamist, sellest annab tunnistust peale kaardilugeja ühendamist lsusb sarnane väljund, kus on muu seas näha SCR331 seadmele vastav rida

# lsusb
Bus 004 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub
Bus 003 Device 002: ID 0483:2016 SGS Thomson Microelectronics Fingerprint Reader
Bus 003 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub
Bus 002 Device 006: ID 04e6:e001 SCM Microsystems, Inc. SCR331 SmartCard Reader
Bus 002 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub
Bus 001 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub

ID-kaardiga suhtlemiseks vajaliku tarkvara paigaldamiseks tuleb öelda

# apt-get install opensc pcscd libccid

Seejärel tuleb redigeerida kahte faili

* Näitena jagatavas /etc/opensc/opensc.conf failis tuleb teha kolm muudatust

# zcat /usr/share/doc/libopensc2/examples/opensc.conf.gz > /etc/opensc/opensc.conf

Leidke failist üles need parameetrid ning muutke nende väärtused sellisteks

try_emulation_first = yes;
lock_login = false;
reader_drivers = pcsc, ctapi;

* Failis /usr/lib/pcsc/drivers/ifd-ccid.bundle/Contents/Info.plist peavad sisalduma sellised read (tundub, et see on teatud SRC331 mudelite või eksemplaride spetsiifiline asi), leidke ja muutke olemasolevaid

<key>ifdDriverOptions</key>
<string>0x0004</string>

Seejärel seisake ja käivitage pcscd deemon

# /etc/init.d/pcscd restart

Kontrollimaks, et tarkvara sai korrektselt paigaldatud küsime süsteemi ühendatud kaardilugejate nimekirja

# opensc-tool -l
Readers known about:
Nr. Driver Name
0 pcsc SCM SCR 331 00 00

Ning küsime ID-kaardile kantud sertifikaatide nimekirja

# pkcs15-tool -c
X.509 Certificate [Isikutuvastus]
Flags : 0
Authority: no
Path : 3f00eeeeaace
ID : 01

X.509 Certificate [Allkirjastamine]
Flags : 0
Authority: no
Path : 3f00eeeeddce
ID : 02

===pkcs11-tool utiliidi kasutamine===

PKCS#11 is a software API for accessing cryptographic hardware like smart cards or HSM. pkcs11-tool realiseerib PKCS11 (Public Key Cryptography Standards) standardit ja võimaldab suhelda krüptoseadmega üle Cryptoki (Cryptographic Token Interface) API. Slottide nimekirja esitamiseks sobib öelda

<pre>
# pkcs11-tool -L
Available slots:
Slot 0 (0x0): Alcor Micro AU9540 00 00
(empty)
Slot 1 (0x4): Gemalto PC Twin Reader (A76A2DE4) 01 00
token label : PIN1 (OOLBERG,IMRE,37003212713)
token manufacturer : AS Sertifitseerimiskeskus
token model : PKCS#15 emulated
token flags : login required, rng, token initialized, PIN initialized
hardware version : 0.0
firmware version : 0.0
serial num : AA9909781
pin min/max : 4/12
Slot 2 (0x5): Gemalto PC Twin Reader (A76A2DE4) 01 00
token label : PIN2 (OOLBERG,IMRE,37003212713)
token manufacturer : AS Sertifitseerimiskeskus
token model : PKCS#15 emulated
token flags : login required, rng, token initialized, PIN initialized
hardware version : 0.0
firmware version : 0.0
serial num : AA9909781
pin min/max : 5/12
</pre>

Slot sisu esitamiseks, nb! slot numbri väärtus tuleb võtta sulgudest, küsitakse pin1 väärtust

<pre>
# pkcs11-tool --slot 4 -O -l
Logging in to "PIN1 (OOLBERG,IMRE,37003212713)".
Please enter User PIN:

Private Key Object; EC
label: Isikutuvastus
ID: 01
Usage: sign, derive
Certificate Object; type = X.509 cert
label: Isikutuvastus
ID: 01
Public Key Object; EC EC_POINT 384 bits
EC_POINT: 0461046231c67...
EC_PARAMS: 06052b81040023
label: Isikutuvastus
ID: 01
Usage: encrypt, verify
</pre>

kus

* ühes slotis on paistab olevat kolm objekti, private key, sertifikaat ja public key

Kasulikud lisamaterjalid

* https://en.wikipedia.org/wiki/PKCS
* https://github.com/OpenSC/OpenSC/wiki/Frequently-Asked-Questions

===pkcs15-tool utiliidi kasutamine===

PKCS#15 is a format of on-card structures that defines a “filesystem layout” for smart cards. pkcs15-tool abil saab kopeerida ID-kaardilt sertifikaate, sedasi

# pkcs15-tool -r 01
-----BEGIN CERTIFICATE-----
MIIEGjCCAwKgAwIBAgIESIQxaDANBgkqhkiG9w0BAQUFADBbMQswCQYDVQQGEwJF
RTEiMCAGA1UEChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMG
RVNURUlEMRcwFQYDVQQDEw5FU1RFSUQtU0sgMjAwNzAeFw0wODA3MjEwNjQ5MTJa
Fw0xMjA5MTEyMTAwMDBaMIGRMQswCQYDVQQGEwJFRTEPMA0GA1UEChMGRVNURUlE
MRcwFQYDVQQLEw5hdXRoZW50aWNhdGlvbjEhMB8GA1UEAxMYT09MQkVSRyxJTVJF
LDM3MDAzMjEyNzEzMRAwDgYDVQQEEwdPT0xCRVJHMQ0wCwYDVQQqEwRJTVJFMRQw
EgYDVQQFEwszNzAwMzIxMjcxMzCBnzANBgkqhkiG9w0BAQEFAAOBjQAwgYkCgYEA
3FR0AP2oX5NCs8+u/hNpnYWyB2eNrnWyG3JXsiqCo14uAaOVmMb82g73SRLPEnAG
yxU/GtRuKT7iOg4f+HTy9bGBaJp6/N9uH8MNtkOzoDppMn909Rm+OqIaHMQkskFC
Kd8X3deAtEwI/YektKKnPbFEZFfLxLKbxvB4WNhFbYECA1W7daOCATEwggEtMA4G
A1UdDwEB/wQEAwIEsDAdBgNVHSUEFjAUBggrBgEFBQcDAgYIKwYBBQUHAwQwPAYD
VR0fBDUwMzAxoC+gLYYraHR0cDovL3d3dy5zay5lZS9jcmxzL2VzdGVpZC9lc3Rl
aWQyMDA3LmNybDAgBgNVHREEGTAXgRVpbXJlLm9vbGJlcmdAZWVzdGkuZWUwUQYD
VR0gBEowSDBGBgsrBgEEAc4fAQEBATA3MBIGCCsGAQUFBwICMAYaBG5vbmUwIQYI
KwYBBQUHAgEWFWh0dHA6Ly93d3cuc2suZWUvY3BzLzAfBgNVHSMEGDAWgBRIBt6+
jIdXlYB4Y/qcIysroDoYdTAdBgNVHQ4EFgQUvIL+20MDRof3J9Avt6Z3d1obuAUw
CQYDVR0TBAIwADANBgkqhkiG9w0BAQUFAAOCAQEAajU/cJ7zVocAkJDgIrV8gXn3
hZ9CM5k1/W3GVEEXqkdTHU/clW5D14PmC+f2a7rN2FxJ3bQuxU/xB6W4xKDZ9fys
Y31lGxpPHIsHwqaPl93l1u3iaMo9835yMVfiZOi0Iq2y0ZlnPwVAOjWNUzMwikdj
1ElhnHacFc4NrevOqgaOZIN2A1DIDgxMXLiR8PAHlPSnK8cXnClRXgcIT3p4OPYy
rH6z7z5vZN4059dNaqZqVg5rlVrLS5/T+sK8PHxYcO+SKDZYobddJIv6i2XlpVAQ
LgkChEiXI2Bd3AMfpwfVbAjDsHXasblBtut7k1MItT3YLaNZ/xq9BY/B7afXqg==
-----END CERTIFICATE-----

Selle sertifikaadi sisu arusaadavamale kujule viimiseks tuleb öelda

# pkcs15-tool -r 01 > imreoolberg-autentimise-sertifikaat.pub
# openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -text
Certificate:
Data:
Version: 3 (0x2)
Serial Number: 1216622952 (0x48843168)
Signature Algorithm: sha1WithRSAEncryption
Issuer: C=EE, O=AS Sertifitseerimiskeskus, OU=ESTEID, CN=ESTEID-SK 2007
Validity
Not Before: Jul 21 06:49:12 2008 GMT
Not After : Sep 11 21:00:00 2012 GMT
Subject: C=EE, O=ESTEID, OU=authentication, CN=OOLBERG,IMRE,37003212713, SN=OOLBERG, GN=IMRE/serialNumber=37003212713
Subject Public Key Info:
Public Key Algorithm: rsaEncryption
RSA Public Key: (1024 bit)
Modulus (1024 bit):
..

Sertifikaadist saab küsida ka üksikuid elemente, nt Subject'i, mis näitab kellele on sertifikaat väljastatud

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -subject
subject= /C=EE/O=ESTEID/OU=authentication/CN=OOLBERG,IMRE,37003212713/SN=OOLBERG/GN=IMRE/serialNumber=37003212713

või Issuer'i, mis näitab, kes sertifikaadi väljastas

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -issuer
issuer= /C=EE/O=AS Sertifitseerimiskeskus/OU=ESTEID/CN=ESTEID-SK 2007

või ajavahemiku, mil sertifikaat kehtib

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -dates
notBefore=Jul 21 06:49:12 2008 GMT
notAfter=Sep 11 21:00:00 2012 GMT

Lisaks sertifikaatidele ja võtmetele sisaldab veel andmeid id kaardi nö elektroolilises osas, nt dokumendi number. Seda ja muid andmeid saab küsides nn dump'i

# pkcs15-tool -D -r 01
Using reader with a card: SCM SCR 331 [CCID Interface] (504005BE) 00 00
..
PKCS#15 Card [IMRE OOLBERG]:
Version : 2
Serial number : A0055799
Manufacturer ID: AS Sertifitseerimiskeskus
Flags : Read-only, PRN generation, EID compliant
...

Kui arvutis on kasutusel mitu ID kaarti, siis saab kontrollida millisega tegeledakse parameetri abil

--reader N

===Iceweasel brauseri kasutamine===

Iceweasel brauseri abil on iseenesest võimalik kahe tegevuse sooritamine

* autentimine - kasutaja kinnitab teenusele, nt veebiportaalile, et tema kasutuses on tema autentimise sertifikaadis sisalduvale avalikule võtmele vastav salajane võti
* digitaalne allkirjastamine - kastutaja kinnitab teenusele, nt pangaülekande sooritamisel, et tema kasutuses on tema allkirjastamise sertifikaadis sisalduvale avalikule võtmele vastav salajane võti

Kuivõrd teenuse jaoks on praktiliselt oluline, et kasutaja kinnitaks sertifikaadile vastava salajase võtme olemasolu PIN koodi sisestamise teel, siis siit järeldub, et tuleb hoolega hoida ID-kaarti ning ID-kaardi PIN koode enda teada.

Brauseri tööleseadmine autentimiseks on lihtsam ning allkirjastamiseks keerulisem. Tundub, et praktiliselt on 2009 klienditarkvara ja nende teenuste tarkvara, mida saab Iceweaseliga kasutada seis selline, et Iceweasel brauser iseseisvalt ei tegele andmete allkirjastamisega; allkirjastamine toimub nt Java appleti abil, kusjuures applet küsib kasutajalt allkirjastamiseks vajalikku PIN2 koodi. Seda arvestades on soovitav kasutada turvaseadme kirjeldamisel spetsiaalselt ettevalmistatud teeki onepin-opensc-pkcs11.so, mis efektiivselt varjab brauseri eest ära teise sertifikaadi, kui seda mitte teha, siis praktililiselt hakkab brauser kasutajalt küsima ise vaheldumisi mõlema sertifikaadi PIN koodi ja see oleks üsna eksitav.

Brauseri ID-kaardiga kasutamise ettevalmistamiseks tuleb avada

Edit -> Preferences -> Advanced -> Encryption -> Security Devices -> Load

ning kirjeldada Eesti ID-kaardile vastav turvaseade (ingl. k. security device)

Module Name: esteid
Module filename: /usr/lib/onepin-opensc-pkcs11.so

Sõltuvalt sellest, kas soovitakse, et peale PIN1 sisestamist küsiks brauser kasutajalt igal ID-kaardiga autentimise korral kinnitust või mitte tuleb valida

* Select one automatically
* Ask me every time

[[Pilt:Id-auth-cc.gif]]

====Iceweasel brauseri kasutamine autentimiseks====

Auntentimiseks piisab turvaseadme ettevalmistamisest ning seejärel saab näiteks logida sisse riigiportaali, küsitakse PIN1 koodi

[[Pilt:Id-auth-java-pin1.gif]]

====Iceweasel brauseri kasutamine allkirjastamiseks====

Nt SEB pangas makset sooritades toimub digitaal-allkirjastamise protseduur; ja https://digidoc.sk.ee/ või riigiportaali eesti.ee kasutamisel saab moodustada uut digitaalselt allkirjastatud dokumenti või kontrollida olemasoleval digitaalselt allkirjastatud dokumendil allkirja kehtivust. Osa kasutajaid suhtub veebiliidese kaudu dokumentide allkirjastamisse äärmiselt kahtlustavalt, kuna kui juba lokaalse rakendusega digitaalallkirja andmisel ei saa olla täiesti kindel, millele ikkagi allkiri antakse, siis veebirakenduse puhul on see veel eriti nii.

Iceweasel brauseriga allkirjastamiseks peab olema paigaldatud Mozilla Sun Java plugini tarkvara pakett (millega koos paigaldatakse vajadusel ka JVM, kusjuures on oluline kasutada justnimelt Sun Java mitte IBM või GCJ implementatsioone)

# apt-get install sun-java5-plugin

Ning lisaks kopeerida teek

# mkdir /tmp/teek && cd /tmp/teek
# wget http://ideelabor.ee/downloads/pkcs11wrapper-linux.tar.gz
# tar zxf pkcs11wrapper-linux.tar.gz
# find . -type f -ls
442489 104 -rwxr-xr-x 1 501 501 99004 Apr 23 2004 ./libpkcs11wrapper.so

Seejärel tuleb otsida üles arvutist JVM kataloog

# find /usr -type f -name java -ls
173534 68 -rwxr-xr-x 1 root root 65116 May 28 2008 /usr/lib/jvm/java-1.5.0-sun-1.5.0.16/jre/bin/java

mis tähendab, et

JAVA_HOME=/usr/lib/jvm/java-1.5.0-sun-1.5.0.16

Lõpuks tuleb kopeerida lahtipakitud teek kataloogi ${JAVA_HOME}/jre/lib/i386

# cp libpkcs11wrapper.so /usr/lib/jvm/java-1.5.0-sun-1.5.0.16/jre/lib/i386

Lisaks peavad olema lingid, esimene on vajalik digidoc portaali kasutamiseks ja teine SEB pangas

# ln -s /usr/lib/opensc-pkcs11.so /usr/lib/libopensc-pkcs11.so
# ln -s /usr/lib/opensc-pkcs11.so /usr/lib/libesteid-pkcs11.so

NB! Java tarkvara uuendamisel mõnel juhul muutub ka versiooni number nii, et muutub java asukoht failisüsteemis, nt

/usr/lib/jvm/java-1.5.0-sun-1.5.0.16 -> /usr/lib/jvm/java-1.5.0-sun-1.5.0.17

Sel juhul tuleb libpkcs11wrapper.so kopeerida samasse alamkataloogi kuhu ennegi uue java kataloogi sisse.

Kui süsteemi on paigaldatud lisaks mõni uuem java versioon, nt paketist sun-java6-*, siis tuleb kõnealune wrapper kopeerida kõige uuema Java vastavasse kataloogi, nt

# cp libpkcs11wrapper.so /usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/i386/

=====Allkirjastamine SEB pangas=====

Peale panga keskkonda sisselogimist (kas otseselt või läbi mõne muu teenusepakkuja, nt www.if.ee, www.energia.ee jt) ning maksekorralduse ettevalmistamist esitatakse allkirja andmise juurde esmakordsel minemisel küsimus rakenduse usaldusväärsuse kohta

[[Pilt:Id-allkiri-java-pin4.gif]]

ja seejärel tuleb ära oodata pisut eksitav tühi aken, kus tuleb valida Cancel

[[Pilt:Id-allkiri-java-pin3.gif]]

ning seejärel valides Allkirjasta öeldakse, et loetakse andmeid kiipkaardilt ning küsitakse PIN2 koodi

[[Pilt:Id-allkiri-java-pin2.gif]]

Allkirjastamise ajal töötab java rakendus sun.plugin2.main.client.PluginMain

$ ps aux | grep java
mart 6859 10.1 4.7 242668 48832 ? Sl 10:55 0:04 /usr/lib/jvm/java-6-sun-1.6.0.12/jre/bin/java -D__jvm_launched=5951554477 \
-Xbootclasspath/a:/usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/deploy.jar:/usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/javaws.jar:\
/usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/plugin.jar -Djava.class.path=/usr/lib/jvm/java-6-sun-1.6.0.12/jre/classes \
sun.plugin2.main.client.PluginMain write_pipe_name=/tmp/.com.sun.deploy.net.socket.5659.2862701817965363267.AF_UNIX

=====Allkirjastamine Sertifitseerimiskeskuse digidoc.sk.ee portaalis=====

https://digidoc.sk.ee/ portaal võimaldab veebipõhises keskkonnas sooritada digitaalallkirjastamisega seotud protseduure, nt anda allkirja, kontrollida allkirja ja jagada sama dokumenti teiste portaali kasutajatega selleks, et ühte dokumenti saaks allkirjastada mitu osapoolt. Portaali sisenemisel avaneb kasutuskeskkonnale sarnane vaade, süsteemi on laaditud kaks dokumenti, ühel on üks allkiri ja teisel ei ole ühtegi allkirja

[[Pilt:Digidoc-1.gif]]

Keskkonna kasutamine võiks toimuda suhteliselt intuatiivselt, dokumenti allkirjastamisel tuleb täita sarnased lahtrid nagu nn lokaalset digidoc klienti kasutades

[[Pilt:Digidoc-2.gif]]

Allkirjastamisel küsitakse kasutajalt PIN2 koodi

[[Pilt:Digidoc-3.gif]]

https://digidoc.sk.ee/ keskkonnas ei saa tegeleda krüptitud dokumentidega ehk nn .cdoc failidega.

=====Allkirjastamine riigiportaalis www.eesti.ee=====

Aadressil https://www.eesti.ee/ asuvas riigiportaalis sektsioonis

Kodanikule -> Digitaalallkiri

saab veebipõhises keskkonnas sooritada digitaalallkirjastamisega seotud protseduure, nt anda allkirja, kontrollida allkirja ja jagada sama dokumenti teiste portaali kasutajatega selleks, et ühte dokumenti saaks allkirjastada mitu osapoolt.

Portaali Digiallkirja sektsiooni sisenemisel avaneb kasutuskeskkonnale sarnane vaade, süsteemi on laaditud kaks dokumenti, ühel on üks allkiri ja teisel ei ole ühtegi allkirja

[[Pilt:Riigiportaal-digiallkiri-1.gif]]

Keskkonna kasutamine võiks toimuda suhteliselt intuatiivselt, dokumendi allkirjastamisel tuleb täita sarnased lahtrid nagu nn lokaalset digidoc klienti kasutades, PIN2 sisestamine toimub Java appleti abil, sarnaselt

[[Pilt:Riigiportaal-digiallkiri-2.gif]]

Riigiportaalis ei saa tegeleda krüptitud dokumentidega ehk nn .cdoc failidega.

===Icedove postikliendi kasutamine===

Lisaks nö tavalistele e-kirjadele on võimalik moodustada spetsiaalsete lisaomadustega kirju

* allkirjastatud kiri - kirja saatja moodustab allkirja oma salajase võtmega; kirja saaja saab olla kindel, et kiri on saadetud just selle kasutaja poolt kelle sertifikaadi (avaliku võtme) abil õnnestub kirja autentsust kontrollida; kirja sisu on kõigile avalik, kuid kirjale on nö attachmentiga sarnaselt juurde digitaalse allkirja osa; oluline erinevus nö .ddoc allkirjastamisest on, et reeglina ei kasutata seejuures Sertifitseerimiskeskusest saadud kehtivuskinnitust
* krüptitud kiri - kirja saatja krüptib kirja adressaadi avaliku võtmega (sertifikaadiga); kirja saatja saab olla kindel, et mitte keegi peale selle kasutaja, kelle kasutuses on vastav salajane võti saab kirja sisuga tutvuda

Tuleb arvestada, et eposti allkirjastamine ja krüptimine omab tähendust ainult epostiga tegelemisel ning kuigi see tehnika pakub võimaluse täiendava turvalisuse saavutamiseks ei ole tegu Eesti Vabariigi seaduse mõttes kehtiva digitaalselt allkirjastatud dokumendiga juba seetõttu, et mõlemal juhul kasutatakse autentimise sertifikaati.

Kirja krüptimisel ei ole see tingimata oluline, aga allkirjastamiseks Eesti ID-kaardil asuva autentimise sertifikaadile vastava salajase võtmega eeltingimuseks on, et kasutaja on oma postiprogrammis kirjeldanud tema sertifikaadil leiduva postiaadressiga seotud konto. Sertifikaadile märgitud postiaadressi saab küsida sertifikaadilt öeldes

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -email
imre.oolberg@eesti.ee

Iceweasel programmi ID-kaardiga kasutamise ettevalmistamiseks tuleb avada

Edit -> Preferences -> Advanced -> Certificates -> Security devices -> Load

ning kirjeldada Eesti ID-kaardile vastava turvaseade (ingl. k. security device)

Module Name: esteid
Module filename: /usr/lib/onepin-opensc-pkcs11.so

Lisaks tuleb laadida Icedove'i SK juursertifikaat, ESTEID-SK ja ESTEID-SK 2007 sertifikaadid, mis saab kopeerida http://www.sk.ee/ (Avaleht -> Sertifitseerimine -> Baasinfo -> Juursertifikaadid) veebikohast

Edit -> Preferences -> Advanced -> Certificates -> View Certificates -> Authorities -> Import

Kusjuures tuleb kindlasti vastata jaatavalt küsimusele, et neid usaldatakse eposti jaoks kasutamiseks

[[Pilt:Id-sign-0.gif]]

Seejärel tuleb Icedove'is seoses nn @eesti.ee aadressiga, nt imre.oolberg@eesti.ee, kirjeldatud konto juures näidata, milliseid sertifikaate kasutatakse eposti allkirjastamise ning krüptimise juures, valida ülemine Select (Digital Signing)

[[Pilt:Id-sign-1.gif]]

Peale PIN1 koodi sisestamist esitab arvuti valitud sertifikaadi andmed

[[Pilt:Id-sign-2.gif]]

Valides järgmisena Encryption juures Select küsib arvuti, kas ma soovin kasutada sama sertifikaati (õigemini sama sertifikaadiga seotud salajast võtit) teiste kasutajate poolt mulle saadetud krüptitud kirjade (mis on krüptitud minu avaliku võtmega) lahtikürptimiseks, sobib vastata jaatavalt.

====Icedove postikliendi kasutamine eposti allkirjastamiseks====

Kirja saatmine toimub tavapäraselt ainukese erinevusega, et enne kirja saatmist tuleb valida Security alt

Digitally Sign This Message

[[Pilt:Id-sign-3-1.gif]]

Kirja saajal peab olema postiprogrammi laaditud vähemalt SK juursertifikaat (sellest piisab allkirja kontrollimiseks, sest signatuur sisaldab ka allkirjastaja sertifikaati ning ahelat SK juursertifikaadini ja brauseris oleva SK juursertifikaadiga saab seega tuvastada kasutaja allkirja kehtivust) abil ning kiri pasitab sellisena

[[Pilt:Id-sign-3-2.gif]]

Messsage Security aken avaneb vajutades programmiakna paremas servas asuvale kollane-punane värvi ümbriku kujutisele ja ütleb, et vaatlusalune kiri on allkirjastatud (ingl. k. signed) ning allkiri (ingl. k. signature) on kehtiv. St kirja saaja saab olla kindel, et kiri on saadetud selle poolt, kelle kasutada on allkirja kontrollimisel kasutatud sertifikaadile vastav salajane võti.

====Icedove postikliendi kasutamine eposti krüptimiseks====

Eposti krüptimine toimub adressaadi Eesti ID-kaardi autentimise avaliku võtmega, mis tähendab, et keegi teine peale vastava salajase võtme valdaja ei saa sõnumi teksti sisuga tutvuda. Kirja saatmisel tuleb valida

Security -> Encrypt This Message

[[Pilt:Id-sign-3-3.gif]]

Kirja lugemisel peab olema võimalik kasutada ID-kaarti ning tulemus võiks paista sarnane

[[Pilt:Id-sign-3-4.gif]]

Security Message aken avaneb vajutades programmiakna paremas servas asuvale tabaluku kujutisele ja ütleb, et kiri on krüptitud ning selle sisuga on peale adressaadi teistel kasutajatel ülimalt raske tutvuda.

Kui krüptitud kirja adressaadil on ID-kaardi kasutamine seadistamata, siis esitab programm kasutajale veateadet

Icedove cannot decrypt this message

The sender encrypted this message to you using one of your digital certificates, however Icedove was not able to find
this certificate and corresponding private key.

Possible solutions:

* If you have a smartcard, please insert it now.
* If you are using a new machine, or if you are using a new Icedove profile, you will need to restore your certificate
and private key from a backup. Certificate backups usually end in ".p12".

Krüptimisel tuleb arvestada, et kirja päised sh Message-ID, Date, From, To, Subject jt ei ole krüptitud

..
Message-ID: <49B277C9.8010303@eesti.ee>
Date: Sat, 07 Mar 2009 15:34:01 +0200
From: Imre Oolberg <imre.oolberg@eesti.ee>
User-Agent: Mozilla-Thunderbird 2.0.0.19 (X11/20090103)
MIME-Version: 1.0
To: imre.oolberg@eesti.ee
Subject: eesti muld ja eesti =?ISO-8859-1?Q?s=FCda?=
Content-Type: application/x-pkcs7-mime; name="smime.p7m"
Content-Transfer-Encoding: base64
Content-Disposition: attachment; filename="smime.p7m"
Content-Description: S/MIME Encrypted Message

MIAGCSqGSIb3DQEHA6CAMIACAQAxgf0wgfoCAQAwYzBbMQswCQYDVQQGEwJFRTEiMCAGA1UE
ChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMGRVNURUlEMRcwFQYDVQQD
Ew5FU1RFSUQtU0sgMjAwNwIESIQxaDANBgkqhkiG9w0BAQEFAASBgB4isztO9MjE1ZQUzA7e
U1E0YTQZF0nIW4b46Nn/Be+DtUgzZWyZjgln4YxqQ7vDWPJiFNJTqdLjNCPGb6WEJ7ddZJGp
hM/z+tyCNHrXP6DbvjtmF9qJ9WgvyiqHyQMr8FKRCnLdcj70G+N0EzFnsMq4QsvLi6PHaE7v
rWGWq1ynMIAGCSqGSIb3DQEHATAUBggqhkiG9w0DBwQInoBpNLI3/IOggASCAijikH35Tqn9
..

====Teiste kasutajate sertifikaatide kasutamine====

Selleks, et

* saata teisele @eesti.ee postisüsteemi kasutajale krüptitud kirja
* kontrollida teise @eesti.ee postisüsteemi kasutaja poolt saadetud allkirjastatud kirja allkirja

peab olema Icedove'i laaditud teise kasutaja avalik võti, mis esineb nn autentimise sertifikaadi kujul. Selleks tuleb teades kasutaja isikukoodi kopeerida sertifikaadid ldap.sk.ee serverist, nt

$ ldapsearch -LLL -H ldap://ldap.sk.ee -x -b "c=EE" "(serialNumber=37003212713)"

Salvestada esimesele sertifikaadile vastav tekstiosa st

...
userCertificate;binary:: MIID2jCCAsKgAwIBAgIESIQxaTANBgkqhkiG9w0BAQUFADBbMQswC
..
cOXVX08WgFeVtlH1S6AeDIuY1i/EIngiAUV
....

tekstifaili, alates MIID2.. osast, tekstifail peab algama ja lõppema spetsiaalse tunnusega, kokku peab saama sarnane fail

-----BEGIN CERTIFICATE-----
MIID2jCCAsKgAwIBAgIESIQxaTANBgkqhkiG9w0BAQUFADBbMQswC
..
cOXVX08WgFeVtlH1S6AeDIuY1i/EIngiAUV
-----END CERTIFICATE-----

Ning see fail tuleb laadida Icedove'i valides

Edit -> Preferences -> Advanced -> Certificates -> View Certificates -> Other People's -> Import

Seejärel saab saada sertifikaadis näidatud eposti aadressile krüptitud posti ning samuti kontrollida selle kasutaja poolt allkirjastatud eposti signatuuri.

Kui on võimalik, siis saab teise kasutaja isikutuvastuse sertifikaadi postiklienti laadimiseks kasutada ka lihtsamat protseduuri. Nimelt, piisab kui teine kasutaja saadab esmalt signeeritud kirja ning see kiri postikliendiga avada. Sel juhul salvestatakse sertifikaat automaaselt postikliendi Other people's sertifikaatide hoidlasse.

Üldiselt võib üks ja sama kiri olla samaaegselt nii signeeritud kui ka krüptitud.

===@eesti.ee aadresside kasutamine===

Kuna Eesti ID-kaardi autentimise sertifikaadile vastava avaliku võtmega kürptitud kirju saab saata tingimusel, et adressaadiks on sertifikaadis esitatud aadress, mis on kujul

eesnimi.perekonnanimi@eesti.ee

või kui sama ees-ja perekonnanimega kasutajaid oma rohkem kui üks, siis järgmistele aadressidele on perekonnanime järele lisatud arv

eesnimi.perekonnanimi.1@eesti.ee

siis oleks hea kui sellistele aadressidele saadetud kirjad mugavasti adressaadi postkasti jõuaksid.

Käesolev asjakorraldus võimaldab Eesti ID-kaardi omanikel aadressil http://www.eesti.ee/ asuvas riigiportaalis seadistada, kuhu tema @eesti.ee aadressile saadetud kirjad edasi saadetakse. Tavaliselt on selleks nt mail.ee, gmail.com vms teenusepakkuja postkastiga seotud eposti aadress.

Kuigi tehniliselt teeb @eesti.ee aadressi kasutamine mugavaks signeeritud ja krüptitud kirjade vahetamise, töötab see ka nö tavaliste kirjade puhul.

Kusjuures varasemal ajal on kasutatud ID-kaardi autentimise sertifikaadis ka aadressi kujul, kus nnnn on neljakohaline arv

eesnimi.perekonnanimi_nnnn@eesti.ee

Lisaks, @eesti.ee postisüsteem võimaldab seadistada kasutajal omale edasisuunamise aadressi aadressile

isikukood@eesti.ee

kuid kuna see aadress ei esine sertifikaadis, siis ei ole võimalik seda kasutada eposti allkirjastamisel ega krüptimisel.

===Sertifikaadi kehtivuse kontrollimine===

Avaliku võtme infrastruktuuri üheks ülesandeks on hallata kasutajate sertifikaate sh mitmetel põhjusel sertifikaat kehtetuks kuulutada. Seega, sertifikaadi kasutamisel on oluline kontrollida, kas sertifikaat kasutamise ajal kehtib, seda saab teha SK OCSP (Online Certificate Status Protocol) abil öeldes

$ openssl ocsp -issuer esteid.pem -cert idkaardiltsert.pem -url http://ocsp.sk.ee -noverify -text
OCSP Request Data:
Version: 1 (0x0)
Requestor List:
Certificate ID:
Hash Algorithm: sha1
Issuer Name Hash: 4508A41C355C0A72485FE2DF7B6A6788C6A55022
Issuer Key Hash: 4806DEBE8C875795807863FA9C232B2BA03A1875
Serial Number: 48843168
Request Extensions:
OCSP Nonce:
0410090A1FA4F0555E82C1DFB4722FC61696
OCSP Response Data:
OCSP Response Status: successful (0x0)
Response Type: Basic OCSP Response
Version: 1 (0x0)
Responder Id: C = EE, O = ESTEID, OU = OCSP, CN = ESTEID-SK 2007 OCSP RESPONDER, emailAddress = pki@sk.ee
Produced At: Oct 7 22:15:36 2008 GMT
Responses:
Certificate ID:
Hash Algorithm: sha1
Issuer Name Hash: 4508A41C355C0A72485FE2DF7B6A6788C6A55022
Issuer Key Hash: 4806DEBE8C875795807863FA9C232B2BA03A1875
Serial Number: 48843168
Cert Status: good
This Update: Oct 7 22:15:36 2008 GMT

Response Extensions:
OCSP Nonce:
0410090A1FA4F0555E82C1DFB4722FC61696
cert.pem: good
This Update: Oct 7 22:15:36 2008 GMT

Kus esteid.pem sertifikaadi saab kopeerida SK veebikohast.

===ID-kaardi kasutamine chroot keskkonnast===

Märkus: 20090314 stabiilne Debian Lenny sisaldab sun-java6-plugin paketti.

Üks praktiline vajadus kasutada ID-kaarti chroot programmiga moodustatud chroot keskkonnast oleks 64 bit Debiani operatsioonisüsteemis kasutada 32 bit Iceweaselit'i. Põhjusel, et 32 bit arhitektuurile on olemas Iceweaseli java plugin (pakett sun-java6-plugin), aga 64 bitile seda 2008 aastal pole. Omakorda on java vajalik, et saaks nt SEB pangas allkirjastada st sooritada ülekannet.

Tundub, et kui arvutile külge ühendatud ID-kaarti on tarvis kasutada chroot käsu abil moodustatud chroot keskkonnast, siis tuleb öelda (pcscd deemon töötab nn absoluutses arvutis)

# mount --bind /var/run/pcscd /srv/arvuti-32/var/run/pcscd

ning seejärel tuleb käivitada iceweasel nt selliselt läbi sudo

$ sudo /usr/sbin/chroot /srv/arvuti-32 iceweasel

Selleks, et chroot keskkonnas käivitatud iceweasel saaks näidata oma pilti X serverile tuleb xhost käsuga kaasa aidata, nt öelda

$ xhost +iceweaseliarvutinimi

kusjuures ilma argumentideta xhost näitab, millistest arvutitest on võimalik X serveri poole pöörduda.

Kirjeldatud asjakorralduse puhul ei ole tarvis chroot keskkonda ühendada külge mingeid muid failisüsteeme (nt /proc, /sys) ega käivitada seal deemoneid pcscd vms.

Sudo töötamiseks on vajalik omakorda sellist sisu /etc/sudoers faili

User_Alias CHROOT_USERS = mart
Cmnd_Alias CHROOT_CMD = /usr/sbin/chroot
Host_Alias MORAAL = arvuti
CHROOT_USERS MORAAL = (root) NOPASSWD: CHROOT_CMD

Milliseid turvariske selline asjakorraldus tema jaoks toob peab iga kasutaja ise hindama, eriti seoses X serverile ligipääsemisega kus on avatud ID-kaarti kasutav rakendus.

===ID-kaardi kasutamine konsoolilt arvutisse sisselogimiseks===

Arvutisse sisselogimise kontrollimist on võimalik korraldada ID-kaardi isikutuvastuse sertifikaadiga. Ehk täpsemini, sisselogimisel peab kasutaja tõendama, et ta saab kasutada isikutuvastuse sertifikaadile vastavat salajast võtit ja seda ta teeb PIN1 koodi sisestamise teel.

Tööleseadistatud süsteemi kasutamine näeb välja mitte-graafilise konsooli (tõenäoliselt mingi getty) kasutamisel selliselt, tulemusena on kasutaja süsteemi sisse loginud, nt juurkasutaja

Debian GNU/Linux 5.0 arvutinimi tty4

arvutinimi login: root
Please insert your smart card or enter your username.
Smart card inserted.
Welcome to ID-kaart (PIN1, Isikutuvastus)!
Smart card password:
...

bash#

Sellise asjakorralduse tööleseadmiseks tuleb üldiselt ID-kaart arvutiga ära ühendada nii nagu on ülal punktis 'Kaardilugeja ühendamine operatsioonisüsteemiga' kirjeldatud ning seejärel

* seadistada sisselogimise kontrolli süsteemne osa
* seadistada sisselogimise kontrolli kasutajaspetsiifiline osa

====Süsteemi ettevalmistamine====

Süsteemi ettevalmistamiseks tuleb lisaks paigaldada pakett libpam-pkcs11

# apt-get install libpam-pkcs11

Seejärel moodustada kataloog /etc/pam_pkcs11, sinna näidise eeskujul seadistusfail

# mkdir /etc/pam_pkcs11
# zcat /usr/share/doc/libpam-pkcs11/examples/pam_pkcs11.conf.gz > /etc/pam_pkcs11/pam_pkcs11.conf
# zcat /usr/share/doc/libpam-pkcs11/examples/pam_pkcs11.conf.gz > /etc/pam_pkcs11/pam_pkcs11.conf-orig

ja teha seadistusfailis sellised muudatused

# diff pam_pkcs11.conf pam_pkcs11.conf-orig
85,86c85
< # module = /usr/lib/pam_pkcs11/pkcs11_module.so;
< module = /usr/lib/opensc-pkcs11.so;
---
> module = /usr/lib/pam_pkcs11/pkcs11_module.so;
116c115
< use_mappers = opensc, digest, cn, pwent, uid, mail, subject, null;
---
> use_mappers = digest, cn, pwent, uid, mail, subject, null;
122,123c121
< # mapper_search_path = /usr/lib/pam_pkcs11;
< mapper_search_path = /lib/pam_pkcs11;
---
> mapper_search_path = /usr/lib/pam_pkcs11;
160,161c158
< # module = /usr/lib/pam_pkcs11/opensc_mapper.so;
< module = /lib/pam_pkcs11/opensc_mapper.so
---
> module = /usr/lib/pam_pkcs11/opensc_mapper.so;

SK sertifikaatide kopeerimine ja nn hash linkide moodustmine toimub selliselt (eeldusel, et kasutaja isikutuvastuse sertifikaat on antud välja ESTEID-SK 2007 sertifikaadi suhtes)

# mkdir /etc/pam_pkcs11/cacerts
# cd /etc/pam_pkcs11/cacerts
# wget http://www.sk.ee/files/JUUR-SK.PEM.cer -O JUUR-SK.PEM.pem
# wget http://www.sk.ee/files/ESTEID-SK%202007.PEM.cer -O ESTEID-SK%202007.PEM.pem
# c_rehash .

Tulemus

# find . -ls
183909 4 drwxr-xr-x 2 root root 4096 Mar 15 12:28 .
183911 4 -rw-r--r-- 1 root root 1404 Jan 3 2007 ./ESTEID-SK\ 2007.PEM.pem
183910 4 -rw-r--r-- 1 root root 1790 Feb 6 2006 ./JUUR-SK.PEM.pem
183913 0 lrwxrwxrwx 1 root root 15 Mar 15 12:28 ./119afc2e.0 -> JUUR-SK.PEM.pem
183912 0 lrwxrwxrwx 1 root root 22 Mar 15 12:28 ./590f5e9e.0 -> ESTEID-SK\ 2007.PEM.pem

Lõpuks tuleb kirjeldada PAM mooduli seadistusfailis uus autentimisviis lisades faili /etc/pam.d/common-auth juurde esimeseks reaks

auth sufficient pam_pkcs11.so nullok

====Kasutajakeskkonna ettevalmistamine====

Selleks, et konktreene kasutaja, nt juurkasutaja saaks süsteemi siseneda tuleb moodustada kataloog

# mkdir /root/.eid

ning kopeerida ID-kaardilt isikutuvastuse sertifikaat faili /root/.eid/authorized_certificates

# pkcs15-tool -r 01 > /root/.eid/authorized_certificates

===Eesti ID-kaardi kasutamine OpenVPN lahendusega===

OpenVPN pala tekstis http://kuutorvaja.eenet.ee/wiki/OpenVPN_ja_Eesti_ID-kaardi_kasutamine on kirjeldatud, kuidas kasutada Eesti ID-kaarti VPN kasutajate autentimiseks.

===Eesti ID-kaardi kasutamine GnuPG-2 tarkvaraga===

Märkmed Eesti ID-kaardi võimalikust kasutamisest GnuPG-2 tarkvaraga, mis kahjuks ei vii tulemuseni, aga võimalik, et ühel päeval viivad, http://kuutorvaja.eenet.ee/wiki/GnuPG_kasutamine_Debianiga#Eesti_ID-kaardi_kasutamine_GnuPG-2_tarkvaraga

===ID-kaardi koodide muutmine===

ID-kaardi isikutuvastuse ja allkirjastamise võtmete kasutamist kaitstakse koodidega, vastavalt PIN1 ja PIN2 koodid. Lisaks on kasutusel PUK kood, mille abil saab PIN1 ja PIN2 koodi vajadusel muuta, näiteks kui mõni PIN kood on saanud teatavaks kellelegi teisele või mõni PIN kood on ära ununenud. Kui sooritada kolm järjestikulist ebaõnnestunud koodi sisestamist, siis ligipääs kõnelusele salajasele võtmele lukustatakse, st et enne kui seda saab uuesti kasutada, tuleb ligipääs võtmele PUK koodi abil lahti lukustada.

ID-kaardi PIN koodide lahtilukustamiseks sobib kasutada pkcs15-tool utiliiti, nt öelda PIN 1 koodi lahtilukustamiseks

# pkcs15-tool --unblock-pin -a 1
Enter PUK [PIN1, Isikutuvastus]:
Enter new PIN [PIN1, Isikutuvastus]:
Enter new PIN again [PIN1, Isikutuvastus]:

Muud käsud:

PIN1 koodi muutmiseks

# pkcs15-tool --change-pin -a 1

PIN2 koodi muutmiseks

# pkcs15-tool --change-pin -a 2

PIN2 koodi lahtilukustamiseks

# pkcs15-tool --unblock-pin -a 2

PUK koodi muutmiseks

# pkcs15-tool --change-pin -a 3

Kui aga PUK kood on kadunud, siis saab ID-kaarti kasutada seni kuni pole tarvis PIN koode muuta, vastasel korral tuleb teeninduspunktist, nt pangas paluda paigaldada ID-kaardile uus nn ümbrik.

===e-valimistel osalemine===

e-valimistel osalemiseks tuleb valimiste veebikohta sisse logida ning kopeerida lokaalselt töötav rakendus. Kävitamisel paistab selline pilt

[[Pilt:Evalimised-2009-1.gif]]

===Mobiil-ID===

Mobiil-ID tehnika võimaldab kasutada mobiiltelefoni sarnaselt ID-kaardile, mobiil-ID toimimist on kirjeldatud aadressil http://www.id.ee/10958

===ID-kaardi rakenduste arendamine===

ID-kaardi rakenduste arendajale on Sertifitseerimiskeskus tekitanud projekti OpenXades aadressil http://www.openxades.org/

* saab testida id-kaardiga allkirjastamist vastu test digidocservice teenust (selleks tuleb üles laadida oma sertifikaadid)
* saab testida mobiil-id kaardi kasutamist (selleks tuleb üles laadida oma sertifikaadid)

===Eesti ID-kaardi tarkvara arendus 2009===

Smartlink arendab RIA tellimusel 2009 aastal Eesti ID-kaardi kasutamise tarkvara https://id.eesti.ee/idtrac/, mis sisaldab muu hulgas kasutaja töökohaarvutis kasutamiseks graafilise kasutajaliidesega programme

* qesteidutil - ID-kaardi haldamise tarkvara, sertifikaatide kehtivuse kontroll, PIN koodide muutmine, sertifikaatide uuendamine jms
* qdigidocclient - andmete allkirjastamine ja allkirjade kontrollimine, st nn .ddoc ja .bdoc failidega tegelemine
* qdigidoccrypto - andmete krüptimine teise ID-kaardi kasutaja avaliku võtmega, st .cdoc failidega tegelemine

Lisaks asendab Smartlink lahendus Debian Lenny nö ametlikust tarkvarast sellised paketid

* libopensc2 - OpenSC teek
* opensc - OpenSC utiliidid, kuigi selle paketi paigaldamine ei ole lõppkasutaja seisukohast tingimata vajalik (seal sisaldub nt pkcs15-tool utiliit)

2009 aasta juuli keskel on see selle tarkvara arendusetapp lõpule jõudmas ning praktiselt saab tarkvara võimalustega tutvuda ja tasakesi kasutada.

====Tarkvara paigaldamine====

Kõnealune lahendus kasutab eraldiseisvalt eksisteerivaid OpenSC teeke (pakett libopensc2, seadistusfail /etc/opensc/opensc.conf) ning PC/SC vahendeid (pakett pcscd), Eesti ID-kaardi tarkvara paigaldamiseks tuleb lisada /etc/apt/sources.list faili rida

deb ftp://ftp.smartlink.ee/pub/id/debian/ lenny main

usaldada Smartlinki repositooriumi Release faili võtit

# wget ftp://ftp.smartlink.ee/pub/id/apt-esteid-test.gpg.asc
# apt-key add apt-esteid-test.gpg.asc
OK

NB! 20090928 seisuga selle repo kasutamisel asendatakse Debian Lenny nö enda opensc jt teeke ära Smartlinki omadega ja tulemusena ID-kaarti ei saa kasutada, vähemalt mitte ilma vajalike muudatusteta.

Tarkvara paigaldamiseks tuleb öelda

# apt-get install qesteidutil qdigidoc

paigaldatakse neli kõnealuse arendusega seotud paketti ning vajadusel sõltuvustena ka OpenSC, PC/SC jm tarkvara

* qesteidutil - Eesti ID-kaardi haldusvahend qesteidutil
* qdigidoc - programmid qdigidocclient ja qdigidoccrypto
* libdigidoc2 - nn vana teek, käsurealt kasutatav utiliit cdigidoc
* libdigidocpp0 - nn uus teek

Tarkvara kasutamiseks tuleb OpenSC ja PC/SC seada käima nii nagu on käesoleva pala alguses punktis [[:Eesti ID-kaardi kasutamine Debianiga#Kaardilugeja ühendamine operatsioonisüsteemiga]] kirjeldatud.

====Eesti ID-kaardi haldusvahend====

Eesti ID kaardi haldusvahendi qesteidutil kasutamiseks tuleb käivitada programm, nt valides menüüst või XTerm aknas öeldes

$ qesteidutil

ning avaneb aken

[[Pilt:qesteidutil-1.gif]]

Kasutajaliideses esitatud pilt kopeeritakse riigiportaali www.eesti.ee süsteemi kaudu üle X-tee KMA andmekogust.

====Digidoc klient====

Qt teeke kasutava Digidoc kliendi qdigidocclient käivitamiseks tuleb käivitada programm nt valides menüüst või XTerm aknas öeldes

$ qdigidocclient

ning avaneb aken

[[Pilt:qdigidocclient-1.gif]]

Krüptimise utiliidi saab käivitada öeldes

$ qdigidoccrypto

ning avaneb pilt

[[Pilt:qdigidoccrypto-1.gif]]

Utiliit sisalab LDAP klienti, millega saab teades teise kasutaja isikukoodi kopeerida Sertifitseerimiskeskuse LDAP kataloogist tema isikutuvastuse sertifikaadi.

====cdigidoc utiliit====

Paketi libdigidoc2 koosseisus on utiliit cdigidoc, millega saab käsurealt DigiDoc failidega töötada, näiteks fail.cdoc lahtikrüptimiseks sobib öelda

$ cdigidoc -decrypt fail.cdoc PIN_KOOD -out fail.ddoc

Faili fail.ddoc seest esimene faili nimega sisufail.txt konteinerist välja kopeerimiseks sobib öelda

$ cdigidoc -extract D0 sisufail.txt -in fail.ddoc

Ilma argumentideta käsk väljastab abi

$ cdigidoc
USAGE: cdigidoc <command(s)> [-in <input-file>] [-out <output-file>] [-config <config-file>]
COMMANDS:
[-new] [format] [version]
-check-cert <-cerificate-file-name (PEM format)>
-add <file-name> <mime-type> [<content-type>] [<charset>]
-verify
-list
-sign <pin> [<manifest>] [<city> <state> <zip> <country>]
-extract <doc-id> <file-name> [<charset>] [<file-name-charset>]
-encrypt <file-name>
-encrecv <cert-file> [<recipient>] [<keyname>] [<carried-key-name>]
-decrypt <file-name> <pin1>
-denc-list <file-name>
-encrypt-file <in-file-name> <out-file-name> [<in-file-mime-type>]
-decrypt-file <in-file-name> <out-file-name> <pin1>
-calc-sign <cert-file> [<manifest>] [<city> <state> <zip> <country>]
-add-sign-value <sign-value-file> <sign-id>
-del-sign <sign-id>
-get-confirmation <sign-id>
OPTIONS:
-cgimode [<ouput-separator] - output in CGI mode
-SAX - use SAX parser
-XRDR - use XmlReader parser

====Märkused====

20090714 seisuga tehtud tähelepanekud

* programmidel puuduvad manuaalid (ingl. k. manpage) ning praktiliselt dokumentatsioon kataloogis /usr/share/doc/paketinimi
* paketihalduse nimekirjas esineb ka pakett qdigidoccrypto, mida asendab qdigidoc, kui qdigidoc* pakettide traditsioon alles algab, äkki siis see 'Replaces' eemaldada
* sõltuvustest ei paigaldata opensc paketti, mis iseenesest ei ole ka vajalik, vajalik on just libopensc2 teekide pakett
* q* programmide kasutamisel tuleb olla kannatlik, kuigi esmalt teatab programm, et 'Ei leitud ühtegi ID-kaarti' voi 'Kaarti pole lugejas', siis tegelikult võidakse tegeleda alles kaardi otsimisega ja mõne sekundi pärast on kõik korras ja saab jätkata programmi kasutamist
* q* programmide akendest ei saa alati hiirega teksti kopeerida
* paketi libopensc2 seadistusfailis /etc/opensc/opensc.conf võiks parameetri muudatus toimuda ehk debconf dialoogi abil pakkudes kasutajale sobivat vaikeväärtust

reader_drivers = openct, pcsc, ctapi; -> reader_drivers = pcsc, ctapi;

* IP aadressipõhisel ocsp teenusele ligipääsu puhul küsitakse 'Did not find any server access certificate! Start downloading?'
* Kas programmide töö lõpetamiseks on muid võimalusi peale akna sulgemise?

===Eesti ID kaardi tarkvara v. 3.8 kasutamine 2014 suvel===

Käesolevas punktis kirjeldatakse 2014 aasta suvel olemasolevate tarkvara komponentidega Eesti ID kaardi kasutamist (autentimist ja allkirjastamist)

* Debian testing (Jessie) operatsioonisüsteem (32 või 64 bit, tõenäoliselt sarnaselt toimub paigaldamine-seadistamine-kasutamine ka muude Debiani versioonide ja Linux distributsioonidega)
* Eesti ID kaardi tarkvara v. 3.8.0 Ubuntu v. 12.04 (Precise) paketid

Tulemusena saab

* Chrome brauseriga autentida ja allkirjastada
* ID kaardi haldusvahendiga pin koode hallata
* lokaalse DigiDoc kliendiga allkirjastada ja krüptida

Juhised kehtivad

* Chrome < v. 35 (tundub, et alates v. 35 on smart card autentimise tehnika oluliselt muutunud, väidetavalt Eesti ID kaardi tarkvara v. 3.9 teeb selle korda)
* OpenSC kuni 0.12 ja kaasa arvatud (0.13 juures puudub brauseri kasutamist abistav onepin teek)

====Tarkvara paigaldamine====

Eeldusel, et arvutis on töötav kasutajakeskkond (XCFE, Gnome vms) ning Chrome brauser versioon < 35, lisada süsteemi üldotstarbelised paketid

# apt-get install opensc pcscd libccid libnss3-tools apt-transport-https

Kuna onepin-opensc-pkcs11.so teek on vajalik, aga opensc v. 0.13 tarkvaras puudub ning see on nt Debian v. 7 Wheezy paketihalduses v. 0.12 juures olemas (ja tundub, et sobib kasutada), siis aitab lisada /etc/apt/sources.list faili Debian v. 7 Wheezy repositoorium

deb http://ftp.us.debian.org/debian/ wheezy main contrib non-free

ning öelda 0.12 versiooni paigaldamiseks (downgrade'iks)

# apt-get update
# apt-get install opensc=0.12.2-3

Lisaks tuleb Wheezy pakettidest paigaldada

# apt-get -t wheezy install libxml-security-c16

Eesti ID kaardi tarkvara paigaldamise ettevalmistamiseks laadida võti

# wget -O /tmp/ria-public.key https://installer.id.ee/media/install-scripts/ria-public.key
# apt-key add /tmp/ria-public.key

lisada /etc/apt/sources.list faili rida

deb https://installer.id.ee/media/ubuntu/ precise main

ja tarvkara paigaldamiseks öelda

# apt-get update
# apt-get install estonianidcard qesteidutil esteidcerts esteidfirefoxplugin

====ID kaardilugejaga suhtlemise kontrollimine====

Peale tarkvara paigaldamist ja eeldusel, et lugeja on arvutiga ühendatud saab öelda

# opensc-tool -l
# Detected readers (pcsc)
Nr. Card Features Name
0 Yes SCM Microsystems Inc. SCR 331 [CCID Interface] (504005BE) 00 00

Kui lisaks on ID kaart on lugejas saab öelda (jms pkcs15-tool käske)

# pkcs15-tool -c
Using reader with a card: SCM Microsystems Inc. SCR 331 [CCID Interface] (504005BE) 00 00
X.509 Certificate [Isikutuvastus]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeaace
ID : 01
Encoded serial : 02 10 3BF4F7CBE36A655050DC20A42E9EFBAA

X.509 Certificate [Allkirjastamine]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeddce
ID : 02
Encoded serial : 02 10 0D1864A01391996750DC20AC1BF2FDE5

====ID kaardi haldusvahend====

Peale tarkvara paigaldamist maksab esmalt veenduda, et id kaardilugeja riistvara on ära tuntud ja kaart on üldiselt ligipääsetav. Selleks käivitada ID kaardi haldusvahend ja peab nägema oma sertifikaadiandmeid.

Interneti kasutamise olemasolul saab Lae pilt valikuga küsida rahvastikuregistris olevat pilti.

====Chrome brauseriga autentimine ja allkirjastamine====

Esmalt tuleb kord brauser käivitada, et kasutaja kodukataloogi tekiksid vajalikud nn punktifailid (~/.pki), seejärel brauseri protsessid lõpetada st brauseri sulgeda ning öelda sama kasutajana

$ modutil -dbdir sql:$HOME/.pki/nssdb -delete opensc-pkcs11
$ modutil -dbdir sql:$HOME/.pki/nssdb -add opensc-pkcs11 -libfile onepin-opensc-pkcs11.so -mechanisms FRIENDLY

kus

* esimese käsu väljundiks on tõenäoliselt veateade kuna pole midagi kustutada
* teise käsu väljundiks

...
Module "opensc-pkcs11" added to database.

Seejärel tuleb Chrome pluginate settingutest aadressilt chrome://plugins (sisestada nii aadressreale) seadistada EstEID plugin

* Enabled
* Always Allowed

Tulemusena paistab selline pilt

[[Pilt:Chrome-esteid-2.gif]]

kust on näha, et kasutatakse paketis esteidfirefoxplugin olevat teeki

$ dpkg -S /usr/lib/mozilla/plugins/npesteid-firefox-plugin.so
esteidfirefoxplugin: /usr/lib/mozilla/plugins/npesteid-firefox-plugin.so

Autentimiseks sobib minna mõnda portaali, kus on võimaluda kasutaja autentmiseks ID kaardiga, nt https://www.eesti.ee/. Samas saab ka allkirjastada valides

Minu asjad -> Minu dokumendid

Katsetada sobib ka aadressil https://www.openxades.org/web_sign_demo/sign.html.

====Firefox/Iceweasel brauseriga autentimine ja allkirjastamine====

Kontrollida, et paketi esteidfirefoxplugin paigaldamisel tekkinud EstEID plugin on Always Activate olekus

about:addons -> Plugins -> EstEID plug-in -> More

ID kaardi kasutamiseks tuleb brauseri seadistustes kirjeldada onepin teek valides

Edit -> Preferences -> Advanced -> Certificates -> Security Devices -> Load

ja avanenud dialoogis sisestada nt

* Module name - EstEID
* Module filename - /usr/lib/x86_64-linux-gnu/onepin-opensc-pkcs11.so

kus mooduli asukoht failisüsteemis sõltub arhitektuurist jms natuke, find leiab üles

$ find /usr/ -name onepin\*
/usr/lib/x86_64-linux-gnu/onepin-opensc-pkcs11.so

Tulemusena saab ID kaardiga autentida ning allkirjastada.

====Lokaalne DigiDoc klient====

Tarkvara paigaldamise käigus paigaldati ka lokaalne DigiDoc klient. Esmakordsel käivitamisel pakutakse võimalust laadida Sertifitseerimiskeskuse kehtivuskinnituse kasutamiseks vastav juurdepääsutõend, millega saab allkirjastada kuni kümme korda kuus.

====Probleemid====

* Kui allkirjastamisel küsitakse luba kahe plugina käivitamiseks (või öeldakse, et Java plugin on puudu)

[[Pilt:Chrome-esteid-1.gif]]

siis on põhjuseks, et EstEID plugin ei ole seadistatud õieti. Peab olema valitud 'Always allowed'. Oluline on teada, et Java ei ole Chrome brauseriga allkirjastamisel reeglina vajalik.

====Kasulikud lisamaterjalid====

* https://installer.id.ee/
* https://github.com/martinpaljak/ria-debian-build
* http://lauri.võsandi.com/posts/ubuntu-trusty-esteid.html
* http://pingviin.org/portal.php?topic_id=9727
* https://installer.id.ee/media/install-scripts/install-esteid-ubuntu.sh
* https://wiki.debian.org/Smartcards
* http://id.ee/?id=34228
* http://packages.ubuntu.com/lucid/libccid

===Eesti ID kaardi tarkvara v. 17.01.1686-1604 kasutamine 2017 kevadel===

Käesolevas punktis käsitletakse Eesti ID kaardi tarkvara kasutamist operatsioonisüsteem Debian v. 9 Stretch keskkonnas. Debian jaoks üldiselt pakette ei valmistata, aga osutub, et saab kasutada Ubuntu v. 16.04 Xenial pakette.

====Tööpõhimõte====

TODO

====Ettevalmistused====

Kuna Ubuntu v. 16.04 Xenial libssl1.0.0 v. 1.0.2g paketis on ka v. 1.0.0 sümbolid

<pre>
ubuntu-1604$ strings /lib/x86_64-linux-gnu/libssl.so.1.0.0 | grep ^OPENSSL_1
OPENSSL_1.0.0
OPENSSL_1.0.1
OPENSSL_1.0.1d
OPENSSL_1.0.2
OPENSSL_1.0.2g
</pre>

ja Debian v. 9 Stretch libssl1.0.2 v. 1.0.2k paketis ei ole 1.0.0 sümboleid

<pre>
debian-9$ strings /usr/lib/x86_64-linux-gnu/libssl.so.1.0.2 | grep ^OPENSSL_1
OPENSSL_1.0.2d
OPENSSL_1.0.2g
</pre>

siis on vaja leida mingi workaround. Tundub, et kaaluda maksab

* kopeerida internetist Ubuntu v. 16.04 Xenial libssl1.0.0 pakett ja kasutada sealt kahte teeki libssl.so.1.0.0 ja libcrypto.so.1.0.0 (selle lähenemise puuduseks on, et edaspidi vaevalt keegi viitsib neid teeke uuendada)
* paigaldada Debian v. 8 Jessie libssl1.0.0 pakett, http://priit.joeruut.com/archives/Eesti-ID-kaardi-tarkvara-ehk-open-eid-v.-3.12-kasutamine-Debianis.html (lähenemise puuduseks on, et Debian v. 8 Jessie tugi lõpeb tõnäoliselt varem kui Ubuntu v. 16.04 Xenial, aga väga võimalik, et veel enne tekib Debian + ID kaardi kasutamiseks mingi normaalsem lahendus)

Ubuntu libssl1.0.0 paketi saab kopeerida aadressilt http://packages.ubuntu.com/search?keywords=libssl1.0.0&searchon=names&suite=xenial&section=all

Paketi lahti pakkimiseks sobib öelda

$ cd /var/tmp/libssl1.0.0-ubuntu
$ dpkg -x /home/imre/Downloads/libssl1.0.0_1.0.2g-1ubuntu4.6_amd64.deb .

ning (kuna selliste nimedega faili enne pole)

# cp libssl.so.1.0.0 libcrypto.so.1.0.0 /usr/lib/x86_64-linux-gnu

Selleks, et süsteemis oleks paketihalduse mõttes libssl1.0.0 nimeline pakett, sobib kasutada equivs abi

* öelda

$ equivs-control libssl1.0.0

* redigeerida natuke tekkinud faili

<pre>
$ egrep -v "^$|^#" libssl1.0.0
Section: misc
Priority: optional
Standards-Version: 3.9.2
Package: libssl1.0.0
Version: 1.0.0
Maintainer: Imre <imre@auul.pri.ee>
Description: libssl1.0.0 abistaja
Testime
.
Testime 2
</pre>

* öelda

$ equivs-build libssl1.0.0

* paigaldada (kuidagi ta paigaldatakse vaatamata signatuuri puudumisele jms)

# dpkg -i libssl1.0.0_1.0.0_all.deb

====Paigaldamine====

* lisada apt võtmete hulka aadressil https://installer.id.ee/media/install-scripts/install-open-eid.sh oleva skripti algusest kaks sissekannet

# apt-key add failinimi

* lisada apt source

# cat /etc/apt/sources.list.d/ria-repository.list
deb http://installer.id.ee/media/ubuntu xenial main

* värskendada

# apt-get update

ID kaardi tarkvara paigaldamiseks sobib öelda

# apt-get install open-eid

tulemusena tekib failisüsteemi

* kümmekond paketti, enamus installer.id.ee pealt
* /etc/X11/Xsession.d/95-esteid-update-nssdb - selle faili abil X konsoolil töötamise alguses nö korraldakse sobiv seis olulistest asjadest (mh öeldakse modutil jt käske)

Paigaldamise lõpus tuleb Desktop keskkonnast logida välja ja tagasi sisse selleks, et Xsession kasutaks nssdb osa.

====ID kaardilugejaga suhtlemise kontrollimine====

Peale tarkvara paigaldamist ja eeldusel, et lugeja on arvutiga ühendatud saab öelda

<pre>
$ opensc-tool -l
# Detected readers (pcsc)
Nr. Card Features Name
0 Yes Gemalto PC Twin Reader (FB00DB62) 00 00
</pre>

Kui lisaks on ID kaart on lugejas saab öelda (jms pkcs15-tool käske)

<pre>
$ pkcs15-tool -c
Using reader with a card: Gemalto PC Twin Reader (FB00DB62) 00 00
X.509 Certificate [Isikutuvastus]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeaace
ID : 01
Encoded serial : 02 10 775DD64056F35E7954C8CB3EFEB3C8EE
X.509 Certificate [Allkirjastamine]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeddce
ID : 02
Encoded serial : 02 10 2D5E4D8F644E041454C8CB5236F7D2D6
</pre>

====ID kaardi haldusvahend====

Peale tarkvara paigaldamist maksab esmalt veenduda, et id kaardilugeja riistvara on ära tuntud ja kaart on üldiselt ligipääsetav. Selleks käivitada ID kaardi haldusvahend ja peab nägema oma sertifikaadiandmeid.

Interneti kasutamise olemasolul saab Lae pilt valikuga küsida rahvastikuregistiris olevat pilti.

====Chromium brauseriga autentimine ja allkirjastamine====

Veenduda, et Chromiumil on olemas vastav plugin (see on kopeeritav ka üldisest Google Chrome extensions repositooriumist)

[[Pilt:Chrome-esteid-3.gif]]

Tulemusena peab töötama autentimine ja allkirjastamine.

====Firefox brauseriga autentimine ja allkirjastamine====

TODO

* Tundub, et autentimine töötab nö iseenesest.

====Kasulikud lisamaterjalid====

* https://github.com/web-eid/
* https://github.com/open-eid
* https://github.com/open-eid/chrome-token-signing/wiki
* https://lauri.xn--vsandi-pxa.com/2014/04/ubuntu-trusty-esteid.html
* http://installer.id.ee/
* http://priit.joeruut.com/archives/Eesti-ID-kaardi-tarkvara-ehk-open-eid-v.-3.12-kasutamine-Debianis.html
* https://installer.id.ee/media/install-scripts/install-open-eid.sh
* https://www.auul.pri.ee/wiki/Operatsioonis%C3%BCsteem_Debian_GNU/Linux_paketihalduse_kasutamine#Equivs_kasutamine

===Eesti ID kaardi kasutamine - Ubuntu 16.04===

# apt-key add ria-key1.pem
# apt-key add ria-key2.pem

# cat /etc/apt/sources.list.d/ria-repository.list
deb http://installer.id.ee/media/ubuntu xenial main

# apt-get update
# apt-get install open-eid

Kui lähtepunktiks on nö tavaline töökohaarvuti, siis lisanduvad paketid

chrome-token-signing esteidfirefoxplugin esteidpkcs11loader libccid libdigidoc-common libdigidoc-tools libdigidoc2 libdigidocpp-common libdigidocpp-tools
libdigidocpp1 libminizip1 libnss3-tools libxerces-c3.1 libxml-security-c17v5 libzip4 open-eid opensc opensc-pkcs11 pcscd qdigidoc qdigidoc-tera qesteidutil

Kasulikud lisamaterjalid

* https://installer.id.ee/?lang=est
* https://installer.id.ee/media/install-scripts/install-open-eid.sh
* https://installer.id.ee/media/ubuntu/

===Eesti ID kaardi kasutamine - Ubuntu 18.04===

Sarnaselt eelmisele punktile, aga paistab, et 2019 aasta alguses tuleb lisaks kasutada skriptis

# cat /var/lib/dpkg/info/awp.postinst
#!/bin/bash

exit;
...

ning loksutada paketihaldust 'apt-get install -f' vms käskudega.

Seejärel kasutajana logida sisse desktop keskkonda (nt XFCE4) ja öelda

$ modutil -dbdir sql:$HOME/.pki/nssdb -delete opensc-pkcs11
$ modutil -dbdir sql:$HOME/.pki/nssdb -add opensc-pkcs11 -libfile onepin-opensc-pkcs11.so -mechanisms FRIENDLY

Seejärel Chrome brauseris peaks saama kasutada id kaarti autentimiseks ja allkirjastamiseks. Need kaks käsku võiks idee poolest automaatselt öeldada skripti /usr/bin/esteid-update-nssdb poolt, aga paistab, et millegipärast minul see nii ei ole

<pre>
$ cat /etc/xdg/autostart/chrome-pkcs11.desktop
[Desktop Entry]
Type=Application
Name=Configure Chrome PKCS11
Exec=/usr/bin/esteid-update-nssdb
NoDisplay=true
X-GNOME-AutoRestart=true
X-GNOME-Autostart-Phase=Initialization
</pre>

Kui kasutada on uus eid kaart, siis tõenäoliselt on vajalik öelda awp.postinst skriptis sisalduvad sarnased käsud samuti.

Kasulikud lisamaterjalid

* https://github.com/open-eid/linux-installer/issues/36

===Test ID-kaart===

Lisaks nö päris ID-kaartidele väljastab Sertifitseerimiskeskus teatud juhtumiteks ka test ID-kaarte, nt on seal kasutatav sertifikaat selline

-----BEGIN CERTIFICATE-----
MIIEazCCA1OgAwIBAgIESieIkDANBgkqhkiG9w0BAQUFADBfMQswCQYDVQQGEwJF
RTEiMCAGA1UEChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEaMBgGA1UECxMR
VGVzdHNlcnRpZmlrYWFkaWQxEDAOBgNVBAMTB1RFU1QtU0swHhcNMDkwNjA0MDg0
MDQ4WhcNMTIwNDA3MTE0MjE3WjCBvTELMAkGA1UEBhMCRUUxFDASBgNVBAoTC1RF
U1QtRVNURUlEMRcwFQYDVQQLEw5hdXRoZW50aWNhdGlvbjE9MDsGA1UEAx40AX0A
QQBJAEsATwBWAFMASwBJACwASQBHAE8AUgAsADMANwAxADAAMQAwADEAMAAwADIA
MTEbMBkGA1UEBB4SAX0AQQBJAEsATwBWAFMASwBJMQ0wCwYDVQQqEwRJR09SMRQw
EgYDVQQFEwszNzEwMTAxMDAyMTCBnzANBgkqhkiG9w0BAQEFAAOBjQAwgYkCgYEA
tuYk/lFpCAKtKQPy1Bb1K9zNsMjJbRMJmHTnmlLBqtUs8OUWBHJJmKqlGzHwZ/UL
JM8+CaFoXK1JWtvqhQ/rR6XUsch1KzwGgGyYFqT8BVJJEFNb6c+chR2gmNdVV/Ks
X3jWNKxB0p7E/9p8MCyt9sNhViYDrDDraedq92JbtEkCAwsjwaOCAVIwggFOMA4G
A1UdDwEB/wQEAwIEsDAdBgNVHSUEFjAUBggrBgEFBQcDAgYIKwYBBQUHAwQwMwYD
VR0fBCwwKjAooCagJIYiaHR0cDovL3d3dy5zay5lZS9jcmxzL3Rlc3QvY3JsLmNy
bDAkBgNVHREEHTAbgRlpZ29yLnphaWtvdnNraS4yQGVlc3RpLmVlMF0GA1UdIARW
MFQwUgYLKwYBBAHOHwMBAQEwQzAeBggrBgEFBQcCAjASGhBUZXN0c2VydGlmaWth
YXQuMCEGCCsGAQUFBwIBFhVodHRwOi8vd3d3LnNrLmVlL2Nwcy8wGAYIKwYBBQUH
AQMEDDAKMAgGBgQAjkYBATAfBgNVHSMEGDAWgBQCBSfdqHKHt4LAWzkqf+M48vpS
CTAdBgNVHQ4EFgQUX/PLzRnTyncYkG2a8JHv6GDmw5UwCQYDVR0TBAIwADANBgkq
hkiG9w0BAQUFAAOCAQEAXWI1VL7Lhyi5JtwTUhlT9CimN/ImM45x6J6jwD9uyY5G
rgdRGEK1Hgi+gj6Lylk6khADRQJi/KshNVPP7GTCpTj7qR05QQ8WI0lmNfDNUT2a
HYhPyOK4J6IJ6RdAqizhSnHOOZxSWS6kN9ncVlRSJ5DF+IJgAjpcv30+2hz3tB20
3cB+Ptoud2oxSjIHdBDwGuo/L065JtCtuJYwojdyzUDUZaNkwF+f44WL0IvFzHEu
fSwpyHjZDuuZfiwL1N8COAPi0yODEm9PL1ntMpSwwqnG+PPUVlXIMzYytc0MqHD0
5H 2AjWXfHNDc0oWr7CBV9HRLmpidJQtQCwoUt6Y2NA==
-----END CERTIFICATE-----

Tekstikujul vaadatest on Issuer ja Subject väärtused

# openssl x509 -in /tmp/zaikovski.pem -noout -text
Certificate:
Data:
Version: 3 (0x2)
Serial Number: 1244104848 (0x4a278890)
Signature Algorithm: sha1WithRSAEncryption
Issuer: C=EE, O=AS Sertifitseerimiskeskus, OU=Testsertifikaadid, CN=TEST-SK
Validity
Not Before: Jun 4 08:40:48 2009 GMT
Not After : Apr 7 11:42:17 2012 GMT
Subject: C=EE, O=TEST-ESTEID, OU=authentication, \
CN=\x01}\x00A\x00I\x00K\x00O\x00V\x00S\x00K\x00I\x00,\x00I\x00G\x00O\x00R\x00,\x003\
\x007\x001\x000\x001\x000\x001\x000\x000\x002\x001, SN=\x01}\x00A\x00I\x00K\x00O\x00V\x00S\
\x00K\x00I, GN=IGOR/serialNumber=37101010021
...

Tundub, et kõigil test kaartidel on algselt samad pinid ja puk, mida saab muuta id kaardi utiliidiga, http://www.id.ee/index.php?id=30379

* PIN1 kood - 0090
* PIN2 kood - 01497
* PUK kood - 17258403

===Kaardilugeja firmware uuendamine===

Kui kaardilugeja nö peaks töötama, aga ei tööta, siis mõnel juhul on otstarbekas kaaluda kaardilugeja firmware uuendamist. Nt SCR311 kaardilugeja puhul sobib selleks kasutada Windows 7 keskkonda, et uuendada 4. -> 5. versoonide vahel.

Kasulikud lisamaterjalid

* http://www.jasemccarty.com/blog/?p=1134
* https://militarycac.com/cacdrivers.htm

===Märkused===

* Kui brauser või postiklient lakkavad töötamast ID-kaardiga, siis maksab need programmid sulgeda ja samuti peatada pcscd deemon ning seejärel esmalt deemon ning siis rakendusprogrammi uuesti käivitada.
* Kuivõrd ID-kaardi sertifikaadid kehtivad suhteliselt lühikest aega ning sertifikaatide uuendamisel praktiliselt kirjutatakse vanad sertifikaadid üle uutega, siis sobib ID-kaardi vahendeid andmete krüptimiseks kasutada nö turvalise transpordi sooritamiseks ja mitte andmete pikaajaliseks turvaliseks säilitamiseks. Lisaks on veel muid ohte, näiteks et ID-kaart rikneb füüsiliselt.

===Sertifikaatide uuendamine===

Sertifikaatide saab uuendada id kaarti utiliidiga, peale uuendamist näidatakse sellist pilti, tegevuse käigus küsitakse vana sertifikaadi PIN1

[[Pilt:Qesteidutil-2.gif]]

===TODO===

* ipsec lahenduse juures kasutamine

===Kasulikud lisamaterjalid===

* Eesti ID-kaardi tarkvara - http://ideelabor.ee/
* Sertifitseerimiskeskus - http://www.sk.ee/
* http://kuutorvaja.eenet.ee/wiki/Apache'i_veebiserver#ID_kaardiga_kasutaja_autentimine
* http://kuutorvaja.eenet.ee/wiki/OpenLDAP_kasutamine_Debianiga#Icedove.27i_aadressraamatu_pidamine
* https://digidoccheck.sk.ee/
* https://id.eesti.ee/trac/
* http://pcsclite.alioth.debian.org/supported.html
* http://code.google.com/p/esteid/

Linux mount

2018-03-26T06:13:04Z

Imre: /* scsi rescan */

===Sissejuhatus===

[[Pilt:2879430437 975b4e8d5f.jpg]]

Nagu teada asuvad Linux'i puhul kõik failid ühtses kataloogipuus (aga nt. MS Windows'ites kasutatakse partitsioonide tähistamiseks nn. kettatähti: A, B on pehmeketta seadmed ja C, D, E ... Z - kõvaketaste partitsioonid).

Linuxi puhul on tähelepanuväärne see, et ta suudab lugeda ja kirjutada peale enda Second Extended (ext2, ext3, ext4) failisüsteemi ka paljusid teisi levinud failisüsteeme (mh. FAT pikkade ja lühikeste nimedega, OS2 HPFS, minix). Et see tõesti nii oleks on vaja vastav tugi kernelisse sisse või mooduliteks kompileerida. Soovitavalt mooduliteks. Muuseas, moodulid asuvad kataloogis /lib/modules/... ja kui seal on nt. fail vfat.o, siis on tõenäoliselt võimalik lugeda kirjutada W95 partitsiooni. Seda kas moodul on kasutusel saab näha käsuga lsmod; ja kui ei ole kasutusel, siis aitab käsk modprobe vfat. Jne.

Linux käsitleb pehme- ja kõvakettaid kaunis võrdväärsete seadmetena. Vähemalt selles mõttes, et enne floppy ketta seadmesse panekut ja peale väljavõtmist tuleb täita samad käsud,et mis kõvaketta juurde ja tagant ühendamisel.

Failisüsteem on vahend andmete organiseerimiseks andmekandjal. Failisüsteem asub tavaliselt infokandjale (kõvaketas, USB pulk) partitsioonil ja tema poole pöördutakse seadmenimega. Näiteks esimese IDE kanali teise kõvaketta kolmas partitsioon kannab nime

b - esimene IDE kanal teine ketas (nn primary slave, esimene ketas algab tähega a)
|
|
/dev/hdb3
| |
| |
| 3 - kolmas partitsioon
|
hd - ata hard disk (sata kettad algavad sd lühendiga)

Kui te ei tea täpselt millised partisioonid on kõvakettale moodustatud kasutage järelevaatamiseks programmi fdisk

# fdisk /dev/hdb

Ettevaatust fdiski kasutamisel, peale vaatamise saab sellega ka partitsioone muuta.

Failisüsteemide kasutamine eeldab, et vastav toetus on tuuma kompileeritud. Et näha milliseid failisüsteeme masin parasjagu toetab vaadake tuuma moodulite kataloogi /lib/modules/2.2.xx või uurige faili /proc/filesystems sisu.

UNIXi kataloogistruktuur on traditsiooniline ja seal ei kõnelda ketastest (A:\, C:\ jne). Kõikide võimalike andmekandajate pöördutakse sisenedes vastavasse kataloogi. Seda millise kataloogi all külgeühendatud failisüteem asub nimetatakse külgeühendamiskohaks.

Peale andmekandja kasutamist ja enne selle seadmest väljavõtmist tuleb ta lahti ühendada, näiteks kataloogi /floppy alla ühendatud pehmeketta failisüsteemi lahtiühendamine käib nii

bash# umount /floppy

Seejärel võib pehmeketta seadmest välja võtta. Kui failisüsteemi keegi kasutab, näiteks mõni fail on avatud lugemiseks, siis ei saa seda lahti ühendada. Kasutage programmi fuser failisüteemi kasutuse uurimiseks ja vastavate protsesside lõpetamiseks.

Parasjagu külgeühendatud failisüsteeme näeb käsuga df

Failisüsteemide külgeühendamine toimub programmiga mount mille süntaks on selline

mount [-t failisüsteemi_tüüp] [-o võtmed] seadme_nimi külgeühendamiskoht

===Floppy ketta ühendamine===

'''4. kontrollige kas seadmel on bad block'e:'''

# badblocks -v /dev/fd0

'''5. Tehke kettale fsck:'''

# fsck /dev/fd0

'''4. Vajadusel looge failisüsteem'''

kõvaketta ja floppy peale nii:

süsteemi tüüp käsk
ext2 mke2fs /dev/fd0
ext2 mke2fs /dev/hda1
msdos mkdosfs - " - (praktiliselt soovitatakse teha vastav
partitsioon ja failisüsteem dos'i enda fdiski ja format'iga)
'''5. Looge mount point ehk kataloog kuhu alla seadme failisüsteem ühendub'''

Linuxis on universaalseks kohaks kuhu võib kiirelt ajutisi failisüsteeme külge haakida /mnt, kui on aga vaja rohkem kui 1 seade külge haakida tuleb tekitada uusi harusid.

kõigi seadmete puhul

mkdir /soovitud_nimi

Näiteks

mkdir /a
mkdir /floppy
mkdir /hda2_ext
mkdir /hda3_msdos
mkdir /hda4_vfat

'''6. Mount'ime seadme külge:'''

vastavalt mountitavale süsteemile tuleb teist parameetrit muuta:

failisüsteem käsk

ext2 (linux) mount -t ext2 /dev/fd0 /floppy
iso9660 (cdrom) iso9660 /dev/hda2 /hda2_ext2
msdos (lühikesed nimed) msdos /dev/hda3 /hda3_msdos
vfat (pikad nimed) vfat /dev/hda4 /hda4_vfat
image failid vfat -o loop /img.fail /a

'''7. Toimetame seadmel olevate failidega'''

'''8. Umount'ime seadme:'''

# umount /dev/fd0

'''9. Alles nüüd võib floppy või cd -rom'i plaadi välja võtta'''

'''2. Floppy kettad'''

Floppy'de peale tehakse tavaliselt kas vfat, msdos, ext2 või ei tehtagi failisüsteemi. Viimasel juhul kantakse info sinna/sealt:

# dd if=/bare.i of=/dev/fd0
# dd if=/dev/fd0 of=/disk.image.144

Need mainitud failisüsteemid peavad olema kernelis või moodulitena olemas

# modprobe vfat
# modprobe msdos

Allpool on näiatud kuidas image faile mountida.

===CD-ROM===

CD-ROM'i dele kirjutatakse tavaliselt iso9660 failisüsteem. Ja seadmed ise on nn. IDE-ATAPI tüüpi. Et nendega tegelda tuleb vastav asi kernelisse kompileerida ja moodul vajadusel laadida 'modprob iso9660'

Füüsiliselt on vahest vaja seade ka arvutile külge ühendada

Samasugune on lugu ka kõvaketta partitsioonidega:

Lülitage arvutil vool välja, ühendage kõvaketas juurde, vajadusel paigutage jumpereid ümber ja detectige CMOS SETUP'ist uus vint ära. Seejärel bootige linux üles ja samad sammud nagu floppy puhul.

CDROM -iga on sama asi: kui CD peab enne mountimist sees olema ja seda ei tohi välja võtta enne umount'i.

Soovides CD/DVD plaadist koopiat teha tuleb anda lihtsalt käsk

# dd if=/dev/cdrom of=/kaust/ketas.iso

Ning kettale tekib iso fail mida saab siis vastavalt mountida või teisele plaadile paigaldada.

===Kõvaketas===

Kõvaketta partitsioonide mountimine toimub sarnaselt eeltoodutele. Kõvakettaga tegelemisel on linuxi puhul tänuväärne see, et isegi partitsioonide ja failisüsteemide muutmisel ei pea arvutit rebootima nagu, praegu ei tule keelele, aga on üks teine OS.

Külla aga saab badblocks'iga kontrollida bad blocke. Ja vee on üks abiks programm:

# fuser -v -m /dev/hda6
USER PID ACCESS COMMAND
/dev/hda6 root 1 .rce. init
root 9 .rce. update
root 10 frce. kerneld
root 30 frce. kerneld
root 65 .rce. klogd
root 66 frce. syslogd
root 68 frce. rpc.portmap
root 70 frce. inetd
root 72 .rce. rpc.mountd
root 74 .rce. rpc.nfsd
root 76 frce. crond
root 82 frce. sendmail
root 89 frce. bash
root 90 frce. agetty
root 91 frce. agetty
root 92 frce. agetty
root 93 frce. agetty
root 94 frce. agetty

Teadupärast annavad käsub umount ja mount vahet busy veateate - siit on aga näha mis seis on.

Ning käsk fsck (file system check) võimaldab kontrollida failisüsteemi korrasolekut. NB! enne tuleb failisüsteem umount'ida.

# fsck /dev/hda8
Parallelizing fsck version 1.10 (24-Apr-97)
e2fsck 1.10, 24-Apr-97 for EXT2 FS 0.5b, 95/08/09
/dev/hda8 is mounted. Do you really want to continue (y/n)? no

check aborted.

# umount /dev/hda8
# fsck /dev/hda8
Parallelizing fsck version 1.10 (24-Apr-97)
e2fsck 1.10, 24-Apr-97 for EXT2 FS 0.5b, 95/08/09
/dev/hda8: clean, 5358/665840 files, 605366/665248 blocks

Kasutades -C 0 näeb tegevuse progressi, nt

# e2fsck -C 0 -f /dev/c_data/test
e2fsck 1.41.11 (14-Mar-2010)
Pass 1: Checking inodes, blocks, and sizes
/dev/c_data/test: |= \ 2.0%

===Image file===

See on tõeliselt 'weird'- linux võimaldab mountida image file. Toome näite floppy kohta:

'''1. teeme /dev/fd0 -s olevat vfat failisüsteemiga floppyst image faili (floppy ei pruugi olla mountitud)'''

selleks on kolm võimalust, kasutage vaid ühte!

# cat /dev/fd0 > /img.144
# dd if=/dev/fd0 of=/img.144
# cp /dev/fd0 /img.144

'''2. veendume, et kernelis on loobback sees (mitte see mis puutub network'i :)'''

make menuconfig; Floppy, IDE and other block devices -> Loopback device support
vajadusel modprobe loop

'''3. mountime image faili /a alla'''

bash# mount -t vfat -o loop /img.144 /a
mount: Could not find any loop device, and, according to /proc/devices,
this kernel does not know about the loop device.
(If so, then recompile or `insmod loop.o'.)

# modprobe loop
# mount -t vfat -o loop /img.144 /a
# df
Filesystem 1024-blocks Used Available Capacity Mounted on
/dev/hda6 991000 895730 44066 95% /
/dev/hda2 1023856 996400 27456 97% /nt.40
/dev/hda5 310264 292016 18248 94% /os2
/img.144 1423 1111 312 78% /a

Ja töö lõpetamisel umount!

'''4. seadme image kasutamine'''

Järgnev kehtib eeldusel, et toimetamised mahuvad ära nn 32bit sisse.

Olgu kõvakettaseadmel /dev/hdb kolm partitsiooni ning on tehtud kogu seadmest image fail

# fdisk -l -u hdb.img
...
34 heads, 61 sectors/track, 0 cylinders, total 0 sectors
Units = sectors of 1 * 512 = 512 bytes
Device Boot Start End Blocks Id System
hdb.img1 61 232287 116113+ 83 Linux
hdb.img2 232288 485315 126514 83 Linux
hdb.img3 485316 549609 32147 83 Linux

Soovides ühendada külge sellest image failist teisel partitsioonil olevat failisüsteemi, tuleb öelda

mount -o loop,offset=118931456 hda.img /yhenduspunkt

arvestades asjaolu, et 512*232288 = 118931456

Tõmmise, millel on ilma partitsioonitabelita nö otse tehtud ext3 failisüsteem, ühendamiseks /etc/fstab abil sobib kasutada nt sellist rida

/mnt/tommis.img /mnt/tommis ext3 loop 0 2

===Suured kataloogid eraldi partitsioonidel===

Niisiis oletame, et meil on kaks kõvaketast partitsioonidega:

/dev/hda1 - swap, 96 M
/dev/hda2 - root, 600 M
/dev/hda3 - /home, kasutajate kodukataloogid, 2 000 M
/dev/hdb1 - /usr kataloogi alla jäävad failid 1200 M

Selgitused:

swap on arvuti nö. mälu pikendus ja seda kasutab ta 'iseenesest' peale inistsialiseerimist rc scriptides:

# mkwap /dev/hda1
# swapon /dev/hda1

root on see partitsioon kus asub kernel /vmlinuz ja enamus juurika kataloogidest (/etc, /bin, /root, /dev)

Tavaliselt on nii, et kasutajate kodukataloogid moodustavad küllalt suure struktuuri ja süsteemi uuendamisel või ümbersättimisel on mugavam, kui see asub kas füüsiliselt erineval kettal või vähemalt eraldi partitsioonil mida on nii kergem backup'pida.

Toodud näite olukorra kohta öeldakse, et hda3 on mount'itud juurika /home kataloogiks. Seda tehakse praktiliselt nii:

1. luuakse juurikale tühi /home kataloog:
(Tõsi, tavaliselt on ta sel olemas, sel juhul tuleks tema sisu kopeerida teise nime alla: ) mkdir /home (mv /home /home_old; mkdir /home)
2. Mountime tühja failisüsteemiga partitsiooni /dev/hda3 -e /home -ks mount -t ext2 /dev/hda3 /home
3. Vajadusel liigutame vana tagasi: mv /home_old /home

Tulemuseks on see, et failid mis asuvad /home'ist allpool asuvad reaalselt teises partitsioonis kui muu juurikas.

Sarnaselt on toimitud /usr kataloogiga.

===/etc/fstab===

See on fail kus on kirjas millised kataloogid mountida külge süsteemi bootimisel; tüüpiliselt näeb see fail välja selline:

/dev/hda7 swap swap defaults 0 0
/dev/hda6 / ext2 defaults,usrquota 0 1
/dev/hda2 /nt.40 vfat defaults 0 2
/dev/hda5 /os2 vfat defaults 0 2
/dev/hda8 /hda8 ext2 defaults 0 2
/dev/fd0 /floppy ext2 noauto 0 0
/dev/fd0 /a vfat noauto 0 0
/dev/hdd /cdrom iso9660 ro,noauto 0 0
none /proc proc defaults 0 0
laura:/ /fromlaura nfs noauto,rsize=8192,wsize=8192,timeo=14,intr 0 0

Selgitused:

tulp
1: seade kus füüsiliselt mountitav asi asub
2: kataloog kuhu seade läheb
3: failisüsteem
4: nn. optionid
5: dump info
6: fsck info

optionid:

defaults on defaults
noauto tähendab, et failisüsteemi ei laeta kohe külge aga hiljem piisab anda nt vfat floppy jaoks käsk: mount /a
ro on 'read only'
usrquota näitab, et seadet kontrollib quota

eelviimane tulp:

soovitatakse panna tavaliselt 0, seda väärtust kasutab program dumpe2fs oma salapärastel eesmärkidel

viimane tulp:

root'il soovitatakse panna 1
teistel 2

need arvud näitavad check'imise järjekorda bootimisel omal moel. Kui panna 0 siis fsck ei pööra talle tähelepanu.
Muide, fstab-i failisüsteemid laadib /etc/rc.d/rc.S -i rida

# /sbin/mount -avt nonfs

====UUID kasutamine====

Plokkseadme nn /dev kataloogi failinime asemel saab kasutada ka plokkseadme UUID väärtust, nt

UUID=7cd6e9de-18d1-4d55-8d46-4d96ce8f492d /boot ext3 defaults 0 2

UUID eeliseks on, et ta on seotud nt konkreetsel füüsilisel kõvakettal asuva failisüsteemiga.

====LABEL kasutamine====

TODO

===losetup===

Programmiga losetup saab korraldada faili käsitlemise plokkseadmena. Näiteks moodustame faili

# dd if=/dev/zero of=/data/plokkseadmefail.img bs=1024x1024 count=4x1024

ning seostame ta seadmega /dev/loop0

# losetup /dev/loop0 /data/plokkseadmefail.img

Kõiki losetup abil tekitaud plokkseadmeid näeb käsuga

# losetup -a
/dev/loop0: [fe0c]:22439673 (/data/plokkseadmefail.img)

Seadet /dev/loop0 saab käsitleda seejärel nagu tavalist plokkseadet, näiteks saab sinna moodustada failisüsteemi, tekitada partitsioone, kasutada mdadm või lvm juures.

Moodustatud plokkseadme saab eemaldada öeldes

# losetup -d /dev/loop0

===kpartx utiliidi kasutamine===

Mitmeid partitsioone sisaldava tõmmisfaili kasutamiseks on abi programmist kpartx

# apt-get install kpartx

Tõmmisest partitsioonide nimekirja küsimine

# kpartx -l tommisefailinimi.img
loop1p1 : 0 19631367 /dev/loop1 63

Tõmmise partitsioonidele vastavate seadmete tekitamiseks tuleb öelda

# kpartx -a tommisefailinimi.img

Tekkinud seadmete kasutamiseks, nt külge ühendamiseks sobib öelda

# mount -o ro /dev/mapper/loop1p1 /mnt/tommis-hda1

Mäppingute kustutamine (kusjuures oluline on kasutada täpselt sama path'i mida kasutati ühendamisel)

# kpartx -d tommisefailinimi.img
loop deleted : /dev/loop0

Kui plokkseadmele on moodustad nö otse failisüsteem, st ilma partitsioonitabelit tekitamata, siis paistab selline seade nt sarnaselt

# parted /dev/system/xl-deb-7-91.arendus.kit-disk p
Model: Linux device-mapper (linear) (dm)
Disk /dev/dm-10: 2147MB
Sector size (logical/physical): 512B/512B
Partition Table: loop

Number Start End Size File system Flags
1 0.00B 2147MB 2147MB ext3

kus

* Partitsioonitabeli tüüp - loop

Sellise failisüsteemi külgeühendamiseks pole vaja kpartx programmi kasutada, piisab niisama öelda

# mount /dev/system/xl-deb-7-91.arendus.kit-disk /mnt/xl-deb-7-91

===partprobe utiliidi kasutamine===

Kui kõvaketta osa partitsioone on kasutuses, nt /dev/sda1 osaleb mdadm RAID lülituses ja on soov ilma arvutit rebootimata nt sama ketta /dev/sda2 eemaldada ja asendada suuremaga (eeldades, et /dev/sda seadmel on kasutamata ruumi), siis sobib selleks järgmine protseduur

* veenduda, et /dev/sda2 partitsioon ei ole kasutuses
* fdisk, parted vms programmi abil kustutada olemasolev /dev/sda2 ja tekitada uus
* cat /proc/partitios näitab tuuma ettekujutust ketta partitsioonitabelit

* öelda

# partprobe /dev/sda

* veenduda, et tuumal on uus ettekujutus

Analoogiline tegevus toimub lisades kasutuses ja partitsioneerimata ruumi sisaldavale kettale partitsiooni, nt lisades fdisk abil /dev/sda4

* enne

<pre>
# ls -ld /dev/sda*
brw-rw---- 1 root disk 8, 0 Aug 13 17:17 /dev/sda
brw-rw---- 1 root disk 8, 1 Aug 13 17:20 /dev/sda1
brw-rw---- 1 root disk 8, 2 Aug 13 12:29 /dev/sda2
brw-rw---- 1 root disk 8, 3 Aug 13 17:20 /dev/sda3
</pre>

* peale 'partprobe /dev/sda' ütlemist

<pre>
# ls -ld /dev/sda*
brw-rw---- 1 root disk 8, 0 Aug 13 17:17 /dev/sda
brw-rw---- 1 root disk 8, 1 Aug 13 17:20 /dev/sda1
brw-rw---- 1 root disk 8, 2 Aug 13 12:29 /dev/sda2
brw-rw---- 1 root disk 8, 3 Aug 13 17:20 /dev/sda3
brw-rw---- 1 root disk 8, 4 Aug 13 17:20 /dev/sda4
</pre>

===Krüptitud plokkseadme kasutamine===

Kõvakettal olevaid andmeid saab krüptida mitmes kihis, alates plokkseadme plokkidest (need 512B suurused tükid) kuni failisüsteemis asuvate üksikute failide krüptimiseni. Järnev käsitleb plokkseadme (nt partitsiooni või LVM voluumi) krüptimist

Paigaldage vajalik tarkvara

# apt-get install cryptsetup

Eeldusena peab olema kasutada partitsioon või LVM voluum, näiteks /dev/sda2

# cryptsetup -y create data /dev/sda2
Enter passphrase:
Verify passphrase:

Moodusteme failisüsteemi

# mke2fs -j /dev/mapper/data

Ning ühendame külge

# mount /dev/mapper/data /data

Selleks, et alglaadimisel toimuks failisüsteemi külgeühendamine automaatselt tuleb sisestada faili /etc/crypttab rida

data /dev/sda2 none cipher=aes

Ning faili /etc/fstab rida

/dev/mapper/data /data ext3 defaults 0 1

Alglaadimise käigus küsitakse parooli ja seejärel toimub krüptitud failisüsteemi kasutamine nagu tavalise failisüsteemi puhul.

===fdisk partitsioonil asuva ext3 failisüsteemi suuruse muutmine===

====ext3 failisüsteemi suurendamine====

Olgu lähtepunktiks sellise msdos partitsioonitabeliga plokkseade

# parted /dev/vdc p
Model: Virtio Block Device (virtblk)
Disk /dev/vdc: 17.2GB
Sector size (logical/physical): 512B/512B
Partition Table: msdos

Number Start End Size Type File system Flags
1 32.3kB 255MB 255MB primary
2 255MB 4557MB 4302MB primary ext3

Eesmärgiks on suurendada /dev/vdc2 failisüsteemi, selleks tuleb

* ühendada failisüsteem lahti (kusjuures suurendamine on võimalik ka külgeühendatud olekus) ning öelda

# e2fsck -f /dev/vdc2

* kustutada fdisk või parted abil olemasolev partitsioon
* moodustada fdisk või parted abil sama algusega, aga suurem partitsioon
* suurendada resize2fs programmiga failisüsteem

# resize2fs -p /dev/vdc2

* monteerida failisüsteem ning kasutada

====ext3 failisüsteemi vähendamine====

Olgu lähtepunktiks sellise msdos partitsioonitabeliga plokkseade

# parted /dev/vdc p
Model: Virtio Block Device (virtblk)
Disk /dev/vdc: 17.2GB
Sector size (logical/physical): 512B/512B
Partition Table: msdos

Number Start End Size Type File system Flags
1 32.3kB 255MB 255MB primary
2 255MB 4557MB 4302MB primary ext3

Eesmärgiks on vähendada /dev/vdc2 failisüsteemi, millest on kasutusel 500MB suurusele 1.2G, selleks tuleb

* ühendada failisüsteem lahti ning öelda

# e2fsck -f /dev/vdc2

* vähendada failisüsteem, suurus peab olema suurem kui kasutusel olev maht

# resize2fs -p /dev/vdc2 1G

* kustutada fdisk või parted abil olemasolev partitsioon
* moodustada fdisk või parted abil sama algusega, aga arvutuste lihtsustamiseks natuke suurem partitsioon kui failisüsteemi uus suurus, nt 1.2G
* suurendada resize2fs programmiga failisüsteem

# resize2fs -p /dev/vdc2

* monteerida failisüsteem ning kasutada

===LVM voluumil asuva ext3 failisüsteemi suuruse muutmine===

Plokkseadmele moodustatud ext3 failisüsteemi suurust saab muuta resize2fs utiliidi abil kusjuures praktiliselt on tarvis reeglina võimalust muuta failisüsteemi all oleva plokkseadme suurust. Ehk kõige mugavam on seda teha kui failisüsteem asub LVM voluumil.

Näiteks on võimalik selline järgnevus

* tekitame voluumi suurusega 4 GB

# lvcreate -L4G -n vol1 test

* moodustame voluumile failisüsteemi

# mke2fs -j /dev/test/vol1

Märkused

* Failisüsteemi suuruse muutmisega tegelemisel on oluline tähele panna, et failisüsteem ei pruugi kasutada kogu plokkseadet.
* Failisüsteemile vastaval LVM voluumil ei tohis olla suuruse muutmise ajal snapshotte

====ext3 failisüsteemi suurendamine====

Suurust saab muuta

* lahti ühendatud failisüsteemiga
* külge ühendatud failisüsteemiga

Esmalt suurendame algselt 4 GB voluumi 8 GB suuruseks

# lvresize -L8G /dev/test/vol1
Extending logical volume vol1 to 8.00 GB
Logical volume vol1 successfully resized

Failisüsteemi suurendamiseks lahtiühendatud olekus tuleb esmalt teha fsck ning seejärel resize2fs, nt nii

# umount /dev/test/vol1
# e2fsck -f /dev/test/vol1
# resize2fs -p /dev/test/vol1

kus -p näitab progressi ning kui viimaseks argumendiks näidata arv, nt 6G, siis see määraks tekkiva failisüsteemi suuruse.

Failisüsteemi suurendamiseks külgeühendatud olekus täitma kogu uue suurusega voluumi sobib öelda (ilma eelnevalt e2fsck tegemata)

# resize2fs -p /dev/test/vol1
resize2fs 1.41.3 (12-Oct-2008)
Filesystem at /dev/test/vol1 is mounted on /data; on-line resizing required
old desc_blocks = 3, new_desc_blocks = 4
Performing an on-line resize of /dev/test/vol1 to 14680064 (4k) blocks.
The filesystem on /dev/test/vol1 is now 14680064 blocks long.

====ext3 failisüsteemi vähendamine====

2009 aastal saab ext3 failisüsteemi vähendada (ingl. k. shrink) ainult lahtiühendatud olekus. Vähendada saab mitte väiksemaks kui failisüsteemis on ruumi kasutusel. Tavaliselt vähendatakse failisüsteemi eesmärgil vabastada kõnealuse failisüsteemi aluselt plokkseadmelt (antud juhul Volume Grupilt) ruumi muuks kasutuseks, nt vähendame 48 GB suuruse failisüsteemi, mis kasutab 2.4 GB suurusele 16GB kusjuures 13.8 G jääb failisüsteemis vabaks, tegevus võiks koosneda nt sellistest sammudest

* failisüsteem vähendatakse nõutud suurusest pisut väiksemaks, nt 10 G
* plokkseade st antud juhul LVM köide vähendatakse suurusele 16 GB
* failisüsteem suurendatakse kogu LVM köitele (st suurusele 16 GB)

Sellise tegevuse sooritamiseks tuleb failisüsteem esmalt lahti monteerida

# umount /dev/vg/data_postgresql

Seejärel rakendada failisüsteemi kontroll, mille käigus failisüsteem defragmenteeritakse, -C 0 esitab progressi

# e2fsck -C 0 -f /dev/vg/data_postgresql
e2fsck 1.41.12 (17-May-2010)
Pass 1: Checking inodes, blocks, and sizes
Pass 2: Checking directory structure
Pass 3: Checking directory connectivity
Pass 4: Checking reference counts
Pass 5: Checking group summary information
/dev/vg/data_postgresql: 1820/3145728 files (4.1% non-contiguous), 802405/12582912 blocks

Seejärel failisüsteemi suurus vähendatakse 10 GB suurusele

# resize2fs -p /dev/vg/data_postgresql 10G
resize2fs 1.41.12 (17-May-2010)
Resizing the filesystem on /dev/vg/data_postgresql to 2621440 (4k) blocks.
Begin pass 2 (max = 6)
Relocating blocks XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
Begin pass 3 (max = 384)
Scanning inode table XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
Begin pass 4 (max = 38)
Updating inode references XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
The filesystem on /dev/vg/data_postgresql is now 2621440 blocks long.

Seejärel märgitakse köide mitte-aktiivseks

# lvchange -a n /dev/vg/data_postgresql

ning vähendatakse LVM köite suurus 16 GB väärtusele (kusjuures tab ei lõpeta enam seadmenime, st tuleb omal välja kirjutada)

# lvresize -L16G /dev/vg/data_postgresql
Reducing logical volume data_postgresql to 16.00 GiB
Logical volume data_postgresql successfully resized

ja muuta LVM köide uuesti aktiivseks

# lvchange -a y /dev/vg/data_postgresql

Vähendatud LVM köite failisüsteemiga täitmiseks tuleb öelda

# resize2fs -p /dev/vg/data_postgresql
resize2fs 1.41.12 (17-May-2010)
Resizing the filesystem on /dev/vg/data_postgresql to 4194304 (4k) blocks.
Begin pass 1 (max = 48)
Extending the inode table XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
The filesystem on /dev/vg/data_postgresql is now 4194304 blocks long.

Lõpuks monteerida failisüsteem külge ja kasutada edasi

# mount /dev/vg/data_postgresql

Märkused

* failisüsteemi maksimaalselt väikesele suurusele vähendamiseks sobib öelda, st tulemusena on ta 100% täis

# umount /dev/test/vol1
# e2fsck -f /dev/test/vol1
# resize2fs -M /dev/test/vol1

===ext3 failisüsteemi all oleva LVMi all oleva plokkseadme partitsiooni suuruse muutmine===

Olgu lähtepunktiks selliste partitsioonidega plokkseade

# parted /dev/vdc p
Model: Virtio Block Device (virtblk)
Disk /dev/vdc: 17.2GB
Sector size (logical/physical): 512B/512B
Partition Table: msdos

Number Start End Size Type File system Flags
1 32.3kB 255MB 255MB primary ext3
2 255MB 4550MB 4295MB primary lvm

Kusjuures /dev/vdc2 on LVM PV millel on VG ning omakorda LV'd. Eesmärgiks on muuta teise partitsiooni suurust.

====Suurendamine====

Suurendamiseks tuleb failisüsteemi kasutamine lõpetada ning märkida kõited mitte-aktiivseks (tundub, et töötavas arvutis saab fdisk abil partitsioonid ära suurendada samuti, aga muudatuse kehtestamiseks tuleb nt rebootida)

# vgchange -a n koited

Seejärel tuleb

* PV'le vastava partitsioon fdisk abil kustutada ning moodustada sama algusega uus suurem partitsioon
* suurendada PV kusjuures nii suureneb automaatselt ka VG, LV suurused jäävad samaks

# pvresize /dev/vdc2

* teha kõited kasutatavaks

# vgchange -a y koited

* teha huvipakkuvale failisüsteemile fsck

# e2fsck -f /dev/koited/koide_2

* suurendada vajaliku kõite suurust

# lvresize -L4G /dev/koited/koide_2

* suurendada kõitel oleva failisüsteemi suurust

# resize2fs -p /dev/koited/koide_2

* asuda kasutama

====Vähendamine====

Vähendamiseks tuleb

* failisüsteemi kasutamine lõpetada ja mõne LV all olevat failisüsteemi vähendada

# e2fsck -f /dev/koited/koide_2
# resize2fs -p /dev/koited/koide_2 400M

* märkida kõited mitte-aktiivseks

# vgchange -a n koited

* vähendada LV, nt

# lvresize -L512M /dev/koited/koide_2

* suurendada failisüsteem täis-suuruseni

# vgchange -a y
# resize2fs -p /dev/koited/koide_2
# vgchange -a n

* vähendada PV

# pvresize /dev/vdc2 --setphysicalvolumesize 1536M

* PV'le vastava partitsioon fdisk abil kustutada ning moodustada sama algusega uus väiksem partitsioon
* suurendada PV partitsiooni täis-suuruseni

# pvresize /dev/vdc2

* teha kõited kasutatavaks

# vgchange -a y koited

* asuda kasutama

Märkused

* Kui seadme lõpus on PE kasutuses saab nt sellise teate

pvresize /dev/cciss/c0d0p2 --setphysicalvolumesize 60G
/dev/block/104:2: cannot resize to 15359 extents as later ones are allocated.
0 physical volume(s) resized / 1 physical volume(s) not resized

===NTFS failisüsteemi all oleva LVMi volüümi suuruse muutmine===

====Vähendamine====

Olgu kasutuses Windows 7 operatsioonisüsteemiga virtuaalne arvuti, mille mitte-süsteemsele plokkseadmele (nt D:\> ketas) vastab host arvutis LVM köide. Windows 7 poolt vaadates on sellel köitel tõenäoliselt DOS fdisk label ning üks NTFS partitsioon. LVM köite suuruse vähendamiseks tuleb

* vabastada failisüsteemis ruumi
* Windows 7 keskkonnas shinkida failisüsteemi
* failisüsteemi shrinkimise käigus vähendatakse ka partitsiooni

# fdisk -l /dev/vg_data/vga_win7_32_backup

Disk /dev/vg_data/vga_win7_32_backup: 200 GiB, 214748364800 bytes, 419430400 sectors
Units: sectors of 1 * 512 = 512 bytes
Sector size (logical/physical): 512 bytes / 512 bytes
I/O size (minimum/optimal): 512 bytes / 512 bytes
Disklabel type: dos
Disk identifier: 0x25b98324

Device Boot Start End Sectors Size Id Type
/dev/vg_data/vga_win7_32_backup1 2048 30306303 30304256 14.5G 7 HPFS/NTFS/exFAT

Seejärel tuleb Windows 7 virtuaalne arvuti sulgeda ning lvresize abil vähendada lvm voluumi, usutavalt on turvaline uus suurus valida varuga. Ja Windows keskkonnas suurendada failisüsteem (ja partitsioon) kasutama kogu plokkseadet (st LVM voluumi).

===MBR partitsioonitabeliga plokkseadme suuruse muutmine===

MBR partitsioonitabeliga plokkseadme suurendamiseks reeglina piisab

* plokkseadme kasutamine lõpetada, nt virtuaalne arvuti panna seisma
* suurendada plokkseadmele vastav ressurss, nt LVM kõide hostis
* käivitada virtuaalne arvuti
* kasutada suuremana paistvat plokkseadet edasi, nt moodustada sinna uus MBR partitsioon või suurendada olemasolevaid

====Primaarse partitsiooni lisamise teel====

Kui plokkseadmel on extended partitsioon, siis võib olla mõistlikum sda5 ja sda2 kustutamise asemel lihtsalt moodustada juurde /dev/sd3

<pre>
Device Boot Start End Sectors Size Id Type
/dev/sda1 * 2048 999423 997376 487M 83 Linux
/dev/sda2 1001470 33552383 32550914 15.5G 5 Extended
/dev/sda5 1001472 33552383 32550912 15.5G 8e Linux LVM

Command (m for help): n
Partition type
p primary (1 primary, 1 extended, 2 free)
l logical (numbered from 5)
Select (default p): p
Partition number (3,4, default 3):
First sector (999424-67108863, default 999424): 33552384
Last sector, +sectors or +size{K,M,G,T,P} (33552384-67108863, default 67108863):

Created a new partition 3 of type 'Linux' and of size 16 GiB.
</pre>

Tulemus paistab nii

<pre>
Device Boot Start End Sectors Size Id Type
/dev/sda1 * 2048 999423 997376 487M 83 Linux
/dev/sda2 1001470 33552383 32550914 15.5G 5 Extended
/dev/sda3 33552384 67108863 33556480 16G 8e Linux LVM
/dev/sda5 1001472 33552383 32550912 15.5G 8e Linux LVM
</pre>

Seejärel saab nt olemasolevat lvm'i extendida /dev/sda3 abil.

Kasulikud lisamaterjalid

* https://www.rootusers.com/how-to-increase-the-size-of-a-linux-lvm-by-expanding-the-virtual-machine-disk/

====Olemasolevate partitsioonide suurendamise teel====

Olgu lähtepunkt selline, virtuaalne arvuti, kus kasutatakse /dev/vdb plokkseadet (8388607 on partitsiooni lõpp, arvuliselt ühe võrra väiksem seadme sektorite arvust)

<pre>
# parted /dev/vdb
GNU Parted 3.2
Using /dev/vdb
Welcome to GNU Parted! Type 'help' to view a list of commands.
(parted) unit s
(parted) p
Model: Virtio Block Device (virtblk)
Disk /dev/vdb: 8388608s
Sector size (logical/physical): 512B/512B
Partition Table: msdos
Disk Flags:

Number Start End Size Type File system Flags
1 2048s 1050623s 1048576s primary
2 1050624s 8388607s 7337984s extended
5 1052672s 8388607s 7335936s logical lvm
</pre>

Eesmärgiks on suurendada logical partitsioonil asuval lvm köitel asuvat ext4 failisüsteemi. Selleks tuleb esmalt lisada virtualiseerimise keskkonna haldusliideses /dev/vdb seadmele ruumi juurde, 8388608 -> 16777216

<pre>
Model: Virtio Block Device (virtblk)
Disk /dev/vdb: 16777216s
Sector size (logical/physical): 512B/512B
Partition Table: msdos
Disk Flags:

Number Start End Size Type File system Flags
1 2048s 1050623s 1048576s primary
2 1050624s 8388607s 7337984s extended
5 1052672s 8388607s 7335936s logical lvm
</pre>

Seejärel nihutada partitsioonide 2 ja 5 lõpp edasi (nt uude seadme lõppu, 16777215 on plokkseadme viimane sektor, 'size - 1')

(parted) resizepart 2 16777215
(parted) resizepart 5 16777215

tulemuseks

<pre>
Number Start End Size Type File system Flags
1 2048s 1050623s 1048576s primary
2 1050624s 16777215s 15726592s extended
5 1052672s 16777215s 15724544s logical lvm
</pre>

Suurendada lvm pv (automaatselt suureneb lvm volume grupp)

# pvresize /dev/vdb5

Suurendada lvm köide (-l +100%FREE tähendab, et suurendamiseks kasutatakse ära kõik vastava volume group'i vaba ressurss)

# lvextend -l +100%FREE /dev/data/www

või nt (ei ole eelmisega samaväärne üldiselt)

# lvextend -L+50G /dev/data/www

Suurendada failisüsteem

# resize2fs -p /dev/data/www

Kasulikud lisamaterjalid

* http://yy27.blogspot.com.ee/2009/02/resizing-extended-partitions-with-gnu.html

===XFS failisüsteemi kasutamine===

XFS http://oss.sgi.com/projects/xfs/ on kaasaegne failisüsteem, kasutamiseks tuleb paigaldada xfs utiliidid öeldes
# emerge xfsprogs

====XFS failisüsteemi moodustamine====

Failisüsteemi moodustamiseks seadmele /dev/xvda2 sobib öelda

# mkfs.xfs /dev/xvda2
meta-data=/dev/xvda2 isize=256 agcount=4, agsize=786432 blks
= sectsz=512 attr=2
data = bsize=4096 blocks=3145728, imaxpct=25
= sunit=0 swidth=0 blks
naming =version 2 bsize=4096
log =internal log bsize=4096 blocks=2560, version=2
= sectsz=512 sunit=0 blks, lazy-count=0
realtime =none extsz=4096 blocks=0, rtextents=0

XFS failisüsteemi kasutamisega on seotud sellised nn tuuma lõimed

# ps aux | grep xfs
root 4334 0.0 0.0 0 0 ? S< 23:40 0:00 [xfslogd/0]
root 4336 0.0 0.0 0 0 ? S< 23:40 0:00 [xfslogd/1]
root 4337 0.0 0.0 0 0 ? S< 23:40 0:00 [xfsdatad/0]
root 4338 0.0 0.0 0 0 ? S< 23:40 0:00 [xfsdatad/1]
root 4339 0.0 0.0 0 0 ? S< 23:40 0:00 [xfs_mru_cache]
root 4382 0.0 0.0 0 0 ? S< 23:44 0:00 [xfsbufd]
root 4384 0.0 0.0 0 0 ? S< 23:44 0:00 [xfsaild]
root 4385 0.0 0.0 0 0 ? S< 23:44 0:00 [xfssyncd]

64 bit keskkonnas võib xfs kasutamisel tekkida sarnaseid probleeme, mida kirjeldab vestluslõim aadressil http://oss.sgi.com/archives/xfs/2005-06/msg00347.html.

Failisüsteemi automaatseks külgeühendamiseks sobib /etc/fstab failis kasutada nt rida

/dev/xvda2 /srv/data xfs noatime,nodiratime,inode64,logbufs=8 1 2

kus

* noatime - failide access time aega ei kasutata
* nodiratime - kataloogide access time aega ei kasutata
* inode64 - failisüsteemi inode numbrid võivad olla suuremad kui 32 bit
* logbufs=8

Olemasoleva xfs failisüsteemi omaduste esitamiseks sobib öelda (ei ole kooskõlas ülaltoodud mkfs.xfs andmetega)

xfs_info /dev/data/xfs
meta-data=/dev/mapper/data-xfs isize=256 agcount=4, agsize=268435455 blks
= sectsz=512 attr=2
data = bsize=4096 blocks=1073741820, imaxpct=5
= sunit=0 swidth=0 blks
naming =version 2 bsize=4096 ascii-ci=0
log =internal bsize=4096 blocks=32768, version=2
= sectsz=512 sunit=0 blks, lazy-count=0
realtime =none extsz=4096 blocks=0, rtextents=0

XFS failisüsteemis asuvate kõikide kasutajate quota tabeli saamiseks tuleb anda käsk

# xfs_quota -x -c "report -nu"

XFSi probleemidest: Failid on asendunud 0 baidistega.

*https://github.com/odoucet/xfsrepair
*http://centos.distrosfaqs.org/centos/xfs-zero-length-file-problem/
*http://jackal.livejournal.com/2162387.html
*http://toruonu.blogspot.com/2012/12/xfs-vs-ext4.html

====LVMi peale tehtud XFS failisüsteemi suurendamine====

XFS failisüsteem peab olema suurendamisel külge monteeritud olekus. XFS failisüteemi suurendamiseks tuleb esmalt failisüteemi all olevat plokkseadet suurendada, nt LVM köite puhul öelda

# lvresize -L40G /dev/system/xfs
Extending logical volume xfs to 40.00 GiB
Logical volume xfs successfully resized

ning seejärel öelda

# xfs_growfs /dev/system/xfs
meta-data=/dev/mapper/system-xfs isize=256 agcount=6, agsize=1310720 blks
= sectsz=512 attr=2
data = bsize=4096 blocks=7864320, imaxpct=25
= sunit=0 swidth=0 blks
naming =version 2 bsize=4096 ascii-ci=0
log =internal bsize=4096 blocks=2560, version=2
= sectsz=512 sunit=0 blks, lazy-count=1
realtime =none extsz=4096 blocks=0, rtextents=0
data blocks changed from 7864320 to 10485760

====XFS failisüteemi vähendamine====

XFS failisüsteemi ei saa otseselt vähendada,
http://xfs.org/index.php/XFS_FAQ#Q%3A_Is_there_a_way_to_make_a_XFS_filesystem_larger_or_smaller.3F, kaudselt on võimalik tekitada uus sobiva suurusega failisüstee ning kopeerida andmed sinna ümber ning kustutada algselt kasutuses olnud failisüsteem.

===Reiser failisüsteemi kasutamine===

Failisüsteemi plokkseadmele moodustamiseks tuleb süsteemipaigaldada reiserfsprogs pakett

# apt-get install reiserfsprogs

ja öelda näiteks

# mkreiserfs /dev/cciss/c0d0p2

/etc/fstab failis tuleb vastavalt kasutada rida

/dev/cciss/c0d0p2 /srv reiserfs rw 0 0

===Mount bind===

nn mount bind võimaldab sama kataloogi sisu teha nähtavaks failisüsteemis mitmes kohas

# mount --bind /tmp/src /tmp/dst

/etc/fstab failis sobib kasutada rida

/tmp/src /tmp/dst none defaults,bind 0 0

===AUFS===

AUFS (Another Union File System) võimaldab koondada erinevate kataloogide sisu nähtavale ühe kataloogi alla. AUFS kasutamiseks tuleb paigaldada tuuma moodul ja utiliidid

# apt-get install aufs-modules-2.6-amd64 aufs-tools

Kasutamine toimub nt selliselt

# mount -t aufs -o dirs=/tmp/src/essa:/tmp/src/tessa none /tmp/dst

===OpenBSD failisüsteemi kasutamine Linuxist===

Esmalt vaadata, millese loogilise nime all vastav OpenBSD partitsioon esineb

# cat /proc/partitions

ja siis külge monteerida, nt

# mount -t ufs -o ro,ufstype=44bsd /dev/hda5 /tmp/hda5

===USB pulk ja FAT 32 failisüsteem===

# apt-get install dosfstools
# fdisk ... valida partitsiooni tüüp 'b'
# mkdosfs -F 32 -I /dev/sdc1

===df programmi kasutamine===

df abil saab küsida nimekirja süsteemile teada olevatest failisüsteemidest, nö füüsilistest kui muudest, nt Debian v. 7 Wheezy puhul esitatakse vaikimisi selline väljund

# df -h -T -a
Filesystem Type Size Used Avail Use% Mounted on
rootfs rootfs 12G 3.3G 8.1G 29% /
sysfs sysfs 0 0 0 - /sys
proc proc 0 0 0 - /proc
udev devtmpfs 10M 0 10M 0% /dev
devpts devpts 0 0 0 - /dev/pts
tmpfs tmpfs 195M 312K 195M 1% /run
/dev/mapper/system-root ext3 12G 3.3G 8.1G 29% /
tmpfs tmpfs 5.0M 0 5.0M 0% /run/lock
tmpfs tmpfs 390M 0 390M 0% /run/shm
/dev/sda2 ext3 504M 168M 311M 35% /boot
nfsd nfsd 0 0 0 - /proc/fs/nfsd

kus

* -a - esitada info kõigi failisüsteemide kohta
* -h - esitada suurused GB, MB vms ühikutes
* -T - esitada lisaks failisüsteemi tüüp

Lisaks saab küsida andmeid nt teatud tüüpi failisüsteemide kohta, nt ainult devpts

# df -h -T -a -t devpts
Filesystem Type Size Used Avail Use% Mounted on
devpts devpts 0 0 0 - /dev/pts

===Ketaste trimmimine===

Tegemist tehnikaga mis mõeldud storage "thin provisioning" ja ssd ketaste jaoks ning tähendab seda, et kustutatud andmed eemaldatakse koheselt. Nt storagest loodud ning iSCSI vms tehnikaga jagatud kettal tähendab Thin Provisioning enabled, et antakse küll välja nt 20 TB-suurune kettaviilakas, aga "allocation" (ehk kasutatud) on vaid reaalselt seal peal olevate andmete maht ehk vaid paar terabaiti. Tavalisel moel jagatud kettal on kogu jagatud maht reserveeritud ning seda enam välja jagada ei saa. Samuti on võimalik määrata tase, kus maal "häiret antakse". Samas on vaja storagele anda teada, et mingid andmed on määratud kustutamisele (tavaliselt failisüsteem seda ei tee) ning siin tulebki mängu discard.

Ketta mountimisel tuleb mount käsule anda võti '''discard''' või siis aeg-ajalt '''fstrim''' käsk käima panna. Kui discard võti on mountimisel antud teatab süsteem kustutamisel automaatselt
allolevale kettale, et info vaja eemaldada. Fstrim käsk on selleks, et tagasiulatuvalt kustutada ka see info, mis sai kustutatud enne mount võtme muutmist ehk discard lisamist.

===scsi rescan===

scsi rescan'ist on abi, kui on vaja töötava arvuti LVM ressurssi suurendada. Teatud tingimustel saab arvutile operatsiooni töötamise ajal lisada plokkseadmeid, nt ESXi virtuaalsele arvutile Hard Disk tüüpi seadme. Selleks, et operatsioonisüsteem saaks lisatud seadet asuda kasutama tuleb öelda nt

# echo "- - -" > /sys/class/scsi_host/host#/scan

kusjuures # voimalikud väärtused näeb ära vastava kataloogis sisust, tundub, et vale numbri kasutamine midagi halba ei tee, maksab alustada suuremast

..
# echo "- - -" > /sys/class/scsi_host/host2/scan
# echo "- - -" > /sys/class/scsi_host/host1/scan
...

scan nimeline fail kusjuures failisüsteemis ei eksisteeri, aga see ei sega seda echo käsku kasutamisel ja tulemuse saavutamisel. Tulemus paistab nt sedasi

[23416.047799] scsi 2:0:1:0: Direct-Access VMware Virtual disk 1.0 PQ: 0 ANSI: 2
[23416.047811] scsi target2:0:1: Beginning Domain Validation
[23416.048832] scsi target2:0:1: Domain Validation skipping write tests
[23416.048836] scsi target2:0:1: Ending Domain Validation
[23416.048916] scsi target2:0:1: FAST-40 WIDE SCSI 80.0 MB/s ST (25 ns, offset 127)
[23416.050526] sd 2:0:1:0: [sdc] 167772160 512-byte logical blocks: (85.8 GB/80.0 GiB)
[23416.050566] sd 2:0:1:0: [sdc] Write Protect is off
[23416.050570] sd 2:0:1:0: [sdc] Mode Sense: 61 00 00 00
[23416.050623] sd 2:0:1:0: [sdc] Cache data unavailable
[23416.050626] sd 2:0:1:0: [sdc] Assuming drive cache: write through
[23416.050985] sd 2:0:1:0: [sdc] Cache data unavailable
[23416.050988] sd 2:0:1:0: [sdc] Assuming drive cache: write through
[23416.051241] sd 2:0:1:0: Attached scsi generic sg3 type 0
[23416.074279] sdc: unknown partition table
[23416.074536] sd 2:0:1:0: [sdc] Cache data unavailable
[23416.074540] sd 2:0:1:0: [sdc] Assuming drive cache: write through
[23416.074637] sd 2:0:1:0: [sdc] Attached SCSI disk

Seejärel tuleb tekitada LVM PV

# pvcreate /dev/sdc

ja LVM VG suurendada

# vgextend pgdata /dev/sdc

Ning tulemusena on kasutada suurenenud ruumiga pgdata LVM volume grupp.

===device rescan===

Olemasoleva plokkseadme suuruse muudatuse operatsioonisüsteemile õpetamiseks sobib öelda

# echo 1>/sys/class/block/sdd/device/rescan

===btrfs failisüsteemi kasutamine===

2015 aasta suvel on nö hästi varustatud Linux distributsioonides olemas btrfs tugi, kerneli osa niigi, haldusutiliiditeda paigaldamiseks tuleb paigaldada nt APT paketihaldusega keskkonnas sarnane pakett

# apt-get install btrfs-tools

tulemusena tekib failisüsteemi

* /sbin/btfrs - TODO
* TODO

Plokkseadmele /dev/vdb failisüsteemi tekitamiseks sobib öelda

# mkfs.btrfs /dev/vdb
Btrfs v3.17
See http://btrfs.wiki.kernel.org for more information.

Turning ON incompat feature 'extref': increased hardlink limit per file to 65536
fs created label (null) on /dev/vdb
nodesize 16384 leafsize 16384 sectorsize 4096 size 8.00GiB

Failisüsteemi monteerimiseks koos pakkimisega

# mount -o compression=lzo /dev/vdb /mnt/vdb

või fstab failis rida (kusjuures mount | grep btrfs näitab sama väljundit sõltumata kas compress on või pole sees)

/dev/sdb /mnt/sdb btrfs defaults,compress=lzo 0 1

Tundub, et tavaliste sync, df jt utiliitide asemel on sobivam teha

# btrfs filesystem sync /mnt/sdb
FSSync '/mnt/sdb'

# btrfs filesystem df /mnt/sdb
Data, single: total=45.01GiB, used=44.91GiB
System, DUP: total=8.00MiB, used=16.00KiB
System, single: total=4.00MiB, used=0.00B
Metadata, DUP: total=1.00GiB, used=169.09MiB
Metadata, single: total=8.00MiB, used=0.00B
GlobalReserve, single: total=64.00MiB, used=0.00B

kus

* Data, single - used väljendab, palju on kasutuses reaalselt

# btrfs filesystem show
Label: none uuid: 26ef34be-1c0c-4578-88a1-bc0810b0ebd9
Total devices 1 FS bytes used 45.07GiB
devid 1 size 596.17GiB used 47.04GiB path /dev/sdb

Btrfs v3.17

Kasulikud lisamaterjalid

* https://wiki.debian.org/Btrfs

===Märkused===

* Monteeritud failisüsteemi ühenduspunktil on monteeritud failisüsteemi juurika kasutaja:grupp.

===Kasulikud lisamaterjalid===

* http://en.wikipedia.org/wiki/XFS

Võrgudiagnostika

2018-02-22T14:53:53Z

Imre: /* Üksikute arvutite omaduste kindlakstegemine */

===Sissejuhatus===

Käesolev tekst on esitatud oma võrgu ja tulemüüride ning tcp/ip protokolli paremaks tundmaõppimiseks.
Ühtlasi tutvustatakse programme, millega saab uurida, kas võrk töötab ning kui, siis kuidas see töötab. Näiteks hinnata andmevahetuskiirusi, kuulata Ethernetti pealt ja uurida millised pordid on serveritel lahti.

Ilmselt saab allpool esitatud õpetusi kasutada nii hea-kui kuritahtlikul eesmärgil, manitseme seda tegema mitte kuritahtlikult. Tavaliselt on tuvastatav, kust tehakse ping floodi või nmapiga masinad skanneeritakse.

Reeglina tuleb esitatud programme kasutada juurkasutajana. Näiteks toodud viiba järgi saab teada, kas programm on kasutatav ka tavakasutaja ($) või ainult juurkasutaja (#) õigustes.

===Võrguseadmed===

Käesoleva teksti tähenduses mõeldakse võrguseadme all arvuti füüsilist või loogilist võrguseadet, nt

* füüsiline võrguseade - Linux puhul wlan0, eth0, eth1 jne; BSD puhul nt em0, bnx0 jne
* lokaalne võrguseade - Linux puhul lo; BSD puhul lo1, lo2
* sild - Linux puhul nt br0, br1; BSD puhul bridge0
* VLAN seade - Linux puhul nt vlan513, BSD puhul vlan513

Võrguseadmete jälgimisel tuleb arvestada, et arvuti kohalik liiklus toimub üle lokaalse võrguseadme, kusjuures ka juhtumil kui arvuti eth0 seadmele on omistatud nt aadress 192.168.1.15 ning arvutist pöördutakse selle aadressi poole.

===tcpdump===

Programm tcpdump (kuulub paljude operatsioonisüsteemide tarkvara põhiosa koosseisu) abil saab nö kuulata võrguseadmel pealt liiklust. Tulemust võib salvestada fail täies mahus või esitada ip paketti puudutavaid huvipakkuvaid andmeid programmi standardväljundisse. Oluline on tähele panna, et tcpdump kuulab liiklust seadel, st sisenevad paketid paistavad nii nagu nad olid enne RDR-teisendust ning väljuvad paketid on sellised nagu nad on peale NAT-teisendust.

tcpdump programmiga saab filtreerida liiklust selliste standardsete tunnuste järgi

* protokoll (nt icmp, tcp, udp, arp)
* andmevahetuse lähte ja sihtpunkti ip aadress
* andmevahetuse lähte ja sihtpunkti port
* ip paketi lippude järgi (nt salvestada vaid SYN pakette)
* paketi suurus

OpenBSD puhul lisanduvad järgmised võimalused

* paketifiltri reegli number, ''
* paketifiltri reegline määratud tegevus (pass, block, nat, rdr jt ning logitud liiklus)

Pakettide korjamise alustamiseks kindlalt võrguseadmelt

# tcpdump -i ed0

Oletame, et kahtlustame broadcast pakette ning seda, et nad
aeglustavad võrgutööd:

# tcpdump -i ed0 broadcast

Uurime kahe masina vahelist liiklust

# tcpdump -i ed0 host klient and server

Veel täpsep on vaadata

# tcpdump -i ed0 src host klient and dnst host server

Kõigi arvuti võrguseadmete peal töötamiseks sobib öelda

# tcpdump -i any ...

====ICMP====

Kui näiteks on kahtlusi kas kaks arvutit, 192.168.10.210 ja 192.168.10.11 (vastav võrguseade olgu em0) näevad üksteist, siis tuleks arvutis 192.168.10.210 öelda

# ping 192.168.10.11
PING 192.168.10.11 (192.168.10.11): 56 data bytes
64 bytes from 192.168.10.11: icmp_seq=0 ttl=64 time=0.422 ms
64 bytes from 192.168.10.11: icmp_seq=1 ttl=64 time=0.306 ms

ning teises arvutis võrguseadmel em0 ICMP protokolli filtreerimiseks tuleb öelda

# tcpdump -nettti em0 icmp
tcpdump: listening on em0, link-type EN10MB
May 19 16:23:10.480585 00:0e:0c:ba:4b:3e 00:16:3e:6a:0c:4b 0800 98: 192.168.10.210 > 192.168.10.11: icmp: echo request
May 19 16:23:10.480829 00:16:3e:6a:0c:4b 00:0e:0c:ba:4b:3e 0800 98: 192.168.10.11 > 192.168.10.210: icmp: echo reply
May 19 16:23:11.490525 00:0e:0c:ba:4b:3e 00:16:3e:6a:0c:4b 0800 98: 192.168.10.210 > 192.168.10.11: icmp: echo request
May 19 16:23:11.490639 00:16:3e:6a:0c:4b 00:0e:0c:ba:4b:3e 0800 98: 192.168.10.11 > 192.168.10.210: icmp: echo reply

Väljundina esitatakse

* paketi jälgimise aeg (-ttt, vt man tcpdump -t erinevaid variante)
* kummagi poole MAC aadressid (-e)
* paketi ethertype (-e, 0800 on ipv4 protokoll)
* ip paketi suurus baitides
* osaliste ip aadressid nimelahenduseta kujul (-n)
* paketi sisulisemad andmed, antud juhul on tegu icmp echo pärginute ja vastustega

Antud juhul saab järeldada, et võrguühendus arvutite vahel on olemas. St kuigi ping ise näitab väljundit annab teises arvutis võrgu pealtkuulamine täieliku kinnituse, et paketid just sinna välja jõuavad.

====TCP====

tcpdump võimaldab kasutada avaldisi, millega peab pakett klappima, nt SYN pakettide jälgmiseks

# tcpdump -n -i em0 'tcp[13] & 2 != 0' and dst 10.0.6.180 and port 80

TCP liikluse tõlgendamine

22:05:25.828149 10.50.96.138.50215 > 10.184.32.82.80: S 1263958777:1263958777(0) win 5840 \
<mss 1460,sackOK,timestamp 787576523 0,nop,wscale 6> (DF)
22:05:25.845445 10.184.32.82.80 > 10.50.96.138.50215: S 1989118317:1989118317(0) ack 1263958778 win 5792 \
<mss 1460,sackOK,timestamp 539529245 787576523,nop,wscale 6> (DF)
22:05:25.845896 10.50.96.138.50215 > 10.184.32.82.80: . ack 1 win 92 <nop,nop,timestamp 787576527 539529245> (DF)
22:05:25.845908 10.50.96.138.50215 > 10.184.32.82.80: P 1:134(133) ack 1 win 92 <nop,nop,timestamp 787576527 539529245> (DF)
22:05:25.856417 10.184.32.82.80 > 10.50.96.138.50215: . ack 134 win 108 <nop,nop,timestamp 539529249 787576527> (DF)
22:05:25.862904 10.184.32.82.80 > 10.50.96.138.50215: . 1:1449(1448) ack 134 win 108 <nop,nop,timestamp 539529249 787576527> (DF)
22:05:25.863286 10.50.96.138.50215 > 10.184.32.82.80: . ack 1449 win 137 <nop,nop,timestamp 787576532 539529249> (DF)
22:05:25.868800 10.184.32.82.80 > 10.50.96.138.50215: . 1449:2897(1448) ack 134 win 108 <nop,nop,timestamp 539529249 787576527> (DF)
22:05:25.869206 10.50.96.138.50215 > 10.184.32.82.80: . ack 2897 win 182 <nop,nop,timestamp 787576533 539529249> (DF)
22:05:25.878659 10.184.32.82.80 > 10.50.96.138.50215: . 2897:4345(1448) ack 134 win 108 <nop,nop,timestamp 539529253 787576532> (DF)
22:05:25.879036 10.50.96.138.50215 > 10.184.32.82.80: . ack 4345 win 227 <nop,nop,timestamp 787576536 539529253> (DF)
...

kus

* esimene rida vastab ühenduse algatamise SYN paketile
* mss 1460 - tcp maximum segment size väärtus, ütleb teisele poolele, kui suuri tcp pakette saata
* sackOK - selective acknowledgement on ok paketi saatja jaoks
* win 5840 - paketi saatja teatab paketi vastuvõtjale, et tal on puhvrit võtta ise pakette vastu 5840 baiti
* win 92 - kuna alguses lepiti kokku wscale=6, siis 92 tähendab 92 * 2^6 = 5888 baiti
* ack arv - loeb kui palju baite on paketi saatja teise poole käest vastu võtnud;
* DF - kõigil pakettidel on seatud don't fragment
* nop - not operating, sisuliselt kasutatakse paddinguks
* 1449:2897(1448) - sulgudes olev väärtus on tcp paketi sisu suurus baitides
* kasutades lisaks võtit -e esitatakse eraldi tulbas ethnerneti frame sees kantud protokolli nimi, nt ip ning vastava paketi suurus

====ARP====

Huvitav on tähele panna, et tcpdump tegeleb mitme protokolliga, nt ip (0800) ja arp (0806) protokolli pakettidega, mis on saadetud arp broadcast aadressile

# tcpdump -nei re0 ether host ff:ff:ff:ff:ff:ff
tcpdump: listening on re0, link-type EN10MB
11:00:49.928582 00:0e:0c:b0:96:b6 ff:ff:ff:ff:ff:ff 0800 210: 192.168.10.10.631 > 192.168.10.255.631: udp 168 (DF)
11:01:08.024422 00:16:3e:00:00:01 ff:ff:ff:ff:ff:ff 0800 249: 192.168.10.41.138 > 192.168.10.255.138: udp 207
11:01:26.338380 00:1b:21:1d:f6:06 ff:ff:ff:ff:ff:ff 0806 60: arp who-has 192.168.10.254 tell 192.168.10.250

Kui tcpdump väljundit on vaja saata toru kaudu mõne teksti töötlevale programmile edasi on asjakohane kasutada lisaks -l võtit, mis puhverdab rea kaupa, nt

# tcpdump -nlei re0 ether host ff:ff:ff:ff:ff:ff | grep 0806

====Liikluse salvestamine faili====

Selleks, et salvestada tulemus ka faili:

# tcpdump -i ed0 -w liiklus.log

Liikluse faili salvestamiseks sobib öelda nö tavalise MTU'ga (1,5 kBaiti) võrgus nt (-s 0 võti tähendab, et salvestatakse kõik paketi sisu suurusest hoolimata)

# tcpdump -s 1600 -w /tmp/liiklus.log -i em0 host 10.0.6.180 and port 80

Selliselt salvestatud liikluse analüüsimiseks sobib öelda nt

# tcpdump -r /tmp/liiklus.log

====IP====

Kui IP kihis leiab aset pakettide fragmenteerumine, siis paistab see tcpdump väljundis nt selliselt

23:43:36.802989 10.100.0.161.32545 > 10.100.1.190.80: S 3394332515:3394332515(0) win 16384 \
<mss 8960,nop,nop,sackOK,nop,wscale 0,nop,nop,timestamp 3055259272 0>
23:43:36.803982 10.100.1.190.80 > 10.100.0.161.32545: S 2791894032:2791894032(0) ack 3394332516 win 16384 \
<mss 8960,nop,nop,sackOK,nop,wscale 0,nop,nop,timestamp 313564159 3055259272>
23:43:36.805275 10.100.0.161.32545 > 10.100.1.190.80: . ack 1 win 16384 <nop,nop,timestamp 3055259272 313564159>
23:43:36.805527 10.100.0.161.32545 > 10.100.1.190.80: P 1:67(66) ack 1 win 16384 <nop,nop,timestamp 3055259272 313564159>
23:43:36.809486 10.100.1.190.80 > 10.100.0.161.32545: . 1:1449(1448) ack 67 win 17896 \
<nop,nop,timestamp 313564159 0> (frag 35143:1480@0+)
23:43:36.809503 10.100.1.190 > 10.100.0.161: (frag 35143:1480@1480+)
23:43:36.809515 10.100.1.190 > 10.100.0.161: (frag 35143:1480@2960+)
23:43:36.809527 10.100.1.190 > 10.100.0.161: (frag 35143:1480@4440+)
23:43:36.809539 10.100.1.190 > 10.100.0.161: (frag 35143:1480@5920+)
23:43:36.809554 10.100.1.190 > 10.100.0.161: (frag 35143:824@7400)
23:43:36.810014 10.100.1.190.80 > 10.100.0.161.32545: P 8193:9641(1448) ack 67 win 17896 \
<nop,nop,timestamp 313564159 0> (frag 46914:1480@0+)
23:43:36.810030 10.100.1.190 > 10.100.0.161: (frag 46914:1480@1480+)
23:43:36.810045 10.100.1.190 > 10.100.0.161: (frag 46914:1452@2960)
23:43:36.810157 10.100.1.190.80 > 10.100.0.161.32545: F 12573:12573(0) ack 67 win 17896 <nop,nop,timestamp 313564159 0>
23:43:36.813600 10.100.0.161.32545 > 10.100.1.190.80: . ack 8193 win 16384 <nop,nop,timestamp 3055259272 313564159>
23:43:36.813856 10.100.0.161.32545 > 10.100.1.190.80: . ack 12574 win 12004 <nop,nop,timestamp 3055259272 313564159>
23:43:36.816244 10.100.0.161.32545 > 10.100.1.190.80: F 67:67(0) ack 12574 win 16384 <nop,nop,timestamp 3055259272 313564159>
23:43:36.817042 10.100.1.190.80 > 10.100.0.161.32545: . ack 68 win 17896 <nop,nop,timestamp 313564159 0>

kus

* (frag 35143:1480@0+) - järgnevad IP fragmendid
* (frag 35143:824@7400) - viimane IP fragment kuna järel + märk puudub

ICMP pakettide puhul on fragmenteerimist veel otsekohesem jälgida, öeldes ühes aknas

# ping -c 1 -s 6000 192.168.209.245
PING 192.168.209.245 (192.168.209.245): 6000 data bytes
6008 bytes from 192.168.209.245: icmp_seq=0 ttl=56 time=74.206 ms

võib võrku pealt kuulates paista midagi sellist

22:30:44.799162 84.50.96.138 > 192.168..209.245: icmp: echo request (frag 36688:1480@0+)
22:30:44.799168 84.50.96.138 > 192.168..209.245: (frag 36688:1480@1480+)
22:30:44.799175 84.50.96.138 > 192.168..209.245: (frag 36688:1480@2960+)
22:30:44.799180 84.50.96.138 > 192.168..209.245: (frag 36688:1480@4440+)
22:30:44.799187 84.50.96.138 > 192.168..209.245: (frag 36688:88@5920)
22:30:44.872529 192.168.209.245 > 84.50.96.138: icmp: echo reply (frag 42199:1480@0+)
22:30:44.872674 192.168.209.245 > 84.50.96.138: (frag 42199:1480@1480+)
22:30:44.872774 192.168.209.245 > 84.50.96.138: (frag 42199:1480@2960+)
22:30:44.872899 192.168.209.245 > 84.50.96.138: (frag 42199:1480@4440+)
22:30:44.872913 192.168.209.245 > 84.50.96.138: (frag 42199:88@5920)

===ping===

Kuulub enamuse operatsioonisüsteemide pakettide hulka

Ping utiliidi abil saab hõlpasti veenduda, et kahe punkti vahel on füüsiliselt võrguühendus olemas. Ping kasutab andmevahetuseks ICMP (Internet Control Message Protocol) protokolli ja arusaadavalt ei tohi sellise kontrolli õnnestumiseks kahe punkti vahel olla ICMP protokolli kasutamine takistatud, täpsemini ICMP echo request ja ICMP echo reply sõnumite vahetamine.

Kasutamiseks tuleb ühes punktis öelda

# ping 192.168.10.11
PING 192.168.10.11 (192.168.10.11): 56 data bytes
64 bytes from 192.168.10.11: icmp_seq=0 ttl=64 time=3.922 ms
64 bytes from 192.168.10.11: icmp_seq=1 ttl=64 time=0.286 ms
64 bytes from 192.168.10.11: icmp_seq=2 ttl=64 time=0.274 ms
64 bytes from 192.168.10.11: icmp_seq=3 ttl=64 time=0.193 ms

Väljundist on näha, et pöördutud aadress vastab, vastused on järjekorras ja kadudeta saabunud ning vastuse saamise aeg on suhteliselt stabiilne. Võib järeldada, et võrk toimib.

Kasutades võtit -n ei püüa Ping lahendada nimesid, tihti seisneb võrgu nö mittetöötamine valesti konfigureeritud nimeserveris või nimeserveri mittekasutamises.

Pingimise intervalli võib ka vähendada järgnevalt:

# ping -i 0 -c 5 neti.ee

Silmas tasub ainult sel juhul pidada järgnevaid asju:

*flood ping (intervall 0) on masinate kiusamine, mõned tulemüürid võivad seda spetsiifiliselt detectida ja blokkida,
*mida lühem intervall, seda hüplikumaks muutub tulemus, pendeldades rohkem 100% ja 0% vahel,
*alla 1 sek intervalliga ping tuleb ruudu poolt käivitada.

===traceroute===

Samuti enamuse operatsioonisüsteemides leiduv programm

Traceroute utiliidi abil saab jälgida, millistest võrgusõlmedest käib kahe punkti vahel toimuv liiklus läbi. Traceroute kasutab andmevahetuseks vaikimisi UDP protokolli ning asjaolu, et kui IP pakett läbib võrgusõlme, siis vähendatakse päises olevat TTL väärtust ühe võrra kusjuures kui võrgusõlme jõuab pakett, mille TTL väärtus on üks, siis saadetakse tagasi ICMP vastus

icmp: time exceeded in-transit

UDP pakett saadetakse vaikimisi porti 33434 (eeldades, et sihtpunktiks olevas arvutis ei kuula seal teenust). Esimese paketi TTL on väärtusega 1 ning 'icmp: time exceeded in-transit' saadakse vaikelüüsilt. Järgmise paketi TTL seatakse 2 ning 'icmp: time exceeded in-transit' saadakse järgmises võrgu sõlmpunktis asuvalt ruuterilt jne kuni lõpuks UDP puhul saadakse sihtpunktilt vastuseks

icmp: 172.168.1.1 udp port 33443 unreachable

UDP asemel on võimalik kasutada ka ICMP või TCP protokolli, aga UDP annab praktikas kõige paremaid tulemusi. Toome näite kasutades ICMP protokolli kuna liiklust sisaldavas võrgus on tulemust nii parem näha ja esitada. Ütleme arvuti ühes promptis

# traceroute -n -q 1 -I cache.eenet.ee
traceroute to cache.eenet.ee (193.40.133.134), 64 hops max, 40 byte packets
1 195.80.102.33 0.494 ms
2 213.184.51.121 0.418 ms
3 194.116.188.19 0.524 ms
4 193.40.133.187 4.724 ms
5 193.40.133.134 3.760 ms

kus

* väljundis esitatakse järjekorras kõigi võrgusõlmede aadressid, mida pakett läbib sihtpunkti jõudmiseks; täpsemalt, need on võrgusõlmpunktide traceroute kasutaja poolsete võrguseadmede aadressid
* iga aadressi järel esitatakse vastuse tagasijõudmiseks kulunud aeg, kusjuures aeg esitatakse iga rea kohta eraldi st viimase rea aeg ei ole kõige aegade summa (antud juhul on see ka selgesti näha, et mingil põhjusel jõudis viimase hosti juurest vastus kiiremini tagasi kui eelviimasest)

Kuulates samas arvutis liiklust pealt teises promptis näeme

# tcpdump -nttti em3 icmp
tcpdump: listening on em3, link-type EN10MB
May 19 18:12:08.419036 195.80.102.35 > 193.40.133.134: icmp: echo request [ttl 1]
May 19 18:12:08.419459 195.80.102.33 > 195.80.102.35: icmp: time exceeded in-transit [tos 0xc0]
May 19 18:12:08.419659 195.80.102.35 > 193.40.133.134: icmp: echo request
May 19 18:12:08.419957 213.184.51.121 > 195.80.102.35: icmp: time exceeded in-transit [tos 0xc0]
May 19 18:12:08.420152 195.80.102.35 > 193.40.133.134: icmp: echo request
May 19 18:12:08.420582 194.116.188.19 > 195.80.102.35: icmp: time exceeded in-transit
May 19 18:12:08.420760 195.80.102.35 > 193.40.133.134: icmp: echo request
May 19 18:12:08.424455 193.40.133.187 > 195.80.102.35: icmp: time exceeded in-transit
May 19 18:12:08.424638 195.80.102.35 > 193.40.133.134: icmp: echo request
May 19 18:12:08.428660 193.40.133.134 > 195.80.102.35: icmp: echo reply

Vahel esineb traceroute väljundis real * märk, mis tähendab, et vaatlusalune võrgusõlm ei vastanud 'icmp: time exceeded in-transit' teatega või see teade ei jõudnud kohale

# traceroute -n -q 1 -I www.eenet.ee
traceroute to www.eenet.ee (193.40.0.131), 64 hops max, 60 byte packets
1 84.50.96.137 58.500 ms
2 88.196.144.137 5.230 ms
3 90.190.153.17 4.325 ms
4 195.250.191.17 8.805 ms
5 *
6 194.116.188.19 9.124 ms
7 193.40.133.187 11.953 ms
8 193.40.0.131 11.744 ms

TCP ja port 80 tracroute

# traceroute -n -q 1 -T www.eenet.ee -p 80
traceroute to www.eenet.ee (193.40.0.131), 30 hops max, 60 byte packets
1 10.0.0.1 0.313 ms
2 184.50.25.1 0.659 ms
3 184.50.157.2 5.896 ms
4 213.168.1.18 3.562 ms
5 213.168.1.27 3.680 ms
6 195.250.170.70 3.797 ms
7 193.40.133.6 6.987 ms
8 193.40.133.26 7.113 ms
9 193.40.0.131 7.993 ms

===tracepath===

tracepath programmi abil saab teha kindlaks Path MTU väärtusi, paigaldamiseks tuleb Debian Lenny keskkonnas öelda

# apt-get install iputils-tracepath

Kasutamisene toimub selliselt

$ tracepath -n 192.168.1.4
1: 192.168.10.10 0.062ms pmtu 1500
1: 192.168.10.210 0.444ms
1: 192.168.10.210 0.220ms
2: 192.168.1.4 0.835ms reached
Resume: pmtu 1500 hops 2 back 63

Kasulikud lisamaterjalid

* http://en.wikipedia.org/wiki/Path_MTU_Discovery

===nmap===

Programm nmap on populaarne võrgu kaardistamise vahend, mida võrguadministraatorid ja süsteemiadministraatorid armastavad kasutada teenuste kontrollimiseks, samuti diagnostikavahendina probleemide või kahtluste olemasolul. Lisaks tundub, et pahalased kasutavad sarnast võrgu kaardistamise vahendit ründe sihtmärkide kindlakstegemiseks. Nmap töö põhineb erinevate omadustega pakettide väljasaatmisel ning vastuste (sh saamatajätmise) analüüsil. Üldiselt võiks eristada kahte taset nmapi kasutamisel

* võrgus arvutite leidmine (ingl. k. host discovery)
* üksikute arvutite omaduste kindlakstegemine (nt millistel portidel pakutakse teenust) (ingl. k. port scanning)

Nmap ei kuulu enamuse operatsioonisüsteemi baaskonfiguratsiooni ning tuleb eelnevalt
paketihalduse vahenditega paigaldada

Nt Debian v. 7 Wheezy puhul sobib öelda, et ei paigaldatakse hulka Recommends olekus pakette

# apt-get --no-install-recommends install nmap

====võrgust arvutite leidmine====

Võrgus arvutite kindlakstegemiseks on nmap'il kaks võtitit, -sL ja -sP

Selleks, et lihtsalt kuvada subnetis olevad ip aadressid koos pöördteisendustega, mingit skaneerimist ei toimu

# nmap -sL 192.168.1.0/24

Starting Nmap 4.53 ( http://insecure.org ) at 2008-06-23 22:30 EEST
Host 192.168.1.0 not scanned
Host sipsik.loomaaed.tartu.ee (192.168.1.1) not scanned
Host www.loomaaed.tartu.ee (192.168.1.2) not scanned
Host vaktsiin.loomaaed.tartu.ee (192.168.1.3) not scanned
Host loomaaed.tartu.ee (192.168.1.4) not scanned
Host 192.168.1.5 not scanned
Host hilja.loomaaed.tartu.ee (192.168.1.6) not scanned
..
Nmap done: 256 IP addresses (0 hosts up) scanned in 0.142 seconds

Selleks, et saada subnetis olevate arvutite mac aadresside nimekirja sobib öelda

# nmap -sP 192.168.1.0/24 -n

Starting Nmap 4.53 ( http://insecure.org ) at 2008-06-23 23:03 EEST
Host 192.168.1.1 appears to be up.
MAC Address: 00:16:3E:1C:3C:B3 (Xensource)
Host 192.168.1.2 appears to be up.
MAC Address: 00:16:3E:2C:7E:DD (Xensource)
Host 192.168.1.3 appears to be up.
MAC Address: 00:18:F8:E5:F8:F2 (Cisco-Linksys)
Host 192.168.1.4 appears to be up.
MAC Address: 00:0C:42:07:1A:46 (Routerboard.com)
Nmap done: 256 IP addresses (5 hosts up) scanned in 6.054 seconds

Kui nö teises aknas võrku kuulata, näeb, et nmap teeb subneti iga ip aadressi kohta arp päringu, väga efektiivne moodus arvuti olemasolu kindlakstegemiseks

# tcpdump -nettti fxp1 arp
Jun 23 22:49:26.743432 00:02:55:ee:42:72 ff:ff:ff:ff:ff:ff 0806 42: arp who-has 192.168.1.1 (ff:ff:ff:ff:ff:ff) tell 192.168.1.254
Jun 23 22:49:26.743466 00:02:55:ee:42:72 ff:ff:ff:ff:ff:ff 0806 42: arp who-has 192.168.1.2 (ff:ff:ff:ff:ff:ff) tell 192.168.1.254
Jun 23 22:49:26.943286 00:02:55:ee:42:72 ff:ff:ff:ff:ff:ff 0806 42: arp who-has 192.168.1.3 (ff:ff:ff:ff:ff:ff) tell 192.168.1.254
Jun 23 22:49:26.943339 00:02:55:ee:42:72 ff:ff:ff:ff:ff:ff 0806 42: arp who-has 192.168.1.4 (ff:ff:ff:ff:ff:ff) tell 192.168.1.254
..

Kui sedasi pöörduda mittelokaalse võrgu poole, siis nmap saadab icmp echo requesti ning tcp ack paketi porti 80 (mis tavaliselt ei saa tulemüüridest edasi, kuna ei kuulu ühenduse hulka) ning näitab samuti tulemust.

Lisaks saab -sP võtmega koos kasutada nn probe'isid (-PS, -PA jt) võtmeid, et vaikimisi käitumist muuta.

Nmap programmi võrgust arvutite leidmise protseduuri väljundi saab salvestada faili, et seda seejärel üksikute arvutite omaduste kindlakstegemiseks kasutada, näiteks selliselt, -oG võtme kasutamisel salvestatakse väljund võimalikult nö grep'itavas formaadis

# nmap -sP 192.168.1.0/24 -oG /tmp/nmap-192.168.1.0-24.log

====Üksikute arvutite omaduste kindlakstegemine====

Üksikute arvutite omaduste all mõeldaks seda, millises olekus on tema erinevad pordid, näiteks

* open - pordil töötab rakendus
* closed - pordile ei ole ligipääs takistatud, aga rakendust ei tööta (tavaliselt saadab arvuti nmapile vastuseks RST paketi)
* filtered - nmap ei saa kindlaks teha pordi olekut (kas open või closed) kuna vaatlusaluses endas või tema eest töötab paketifilter

Tegemaks kindlaks, kas failis /tmp/192.168.1.0-24.log sisalduvatel ip aadressidel vastab SYN paketile 22 port tuleb näiteks öelda

# nmap -p T:22 -sS -iL /tmp/nmap.log -PN -oG -

* -oG - tundub, et väljund on sedasi pisut paremini loetav kui vaikimisi
* -PN - nmap ei soorita taustal nn host discovery't, kui tcpflow abil liiklust jälgida, on pilt selgem

Sedasi on näiteks ka hea kontrollida, kas oma synproxy režiimis käivitatud tulemüür ikka toimib nõuetekohaselt.

Nmap võimaldab vaatlusaluse arvuti tcp/ip stackiga suhtlemisel saadud info põhjal kaudselt ennustada selle arvuti operatsioonisüsteemi ning portidel kuulavate tarkvarade versioonid

# nmap -A 192.168.0.239
Starting Nmap 4.53 ( http://insecure.org ) at 2008-04-10 23:12 EEST
Interesting ports on 192.168.0.239:
Not shown: 1711 closed ports
PORT STATE SERVICE VERSION
22/tcp open ssh OpenSSH 4.7p1 Debian 2 (protocol 2.0)
MAC Address: 00:11:25:85:64:34 (IBM)
Device type: general purpose
Running: Linux 2.6.X
OS details: Linux 2.6.17 - 2.6.20
Uptime: 0.640 days (since Thu Apr 10 07:51:45 2008)
Network Distance: 1 hop
Service Info: OSs: Unix, Linux

OS and Service detection performed. Please report any incorrect results at http://insecure.org/nmap/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 20.592 seconds

TCP handshake'i tegemiseks sobib kasutada, nn connect scan

# nmap -p T:443 -sT -PN 192.168.0.239

Lisaks saab seada tcp paketi lippe ka näidates vajalikud lipud otse, nt seada SYN ja ACK, korrektselt seadistatud tulemüürist selline pakett läbi minna ei tohiks

# nmap -p T:80 --scanflags SYNACK -PN 192.168.0.239

IP aadressiga seotud portide vahemiku tcp handshake skaneerimine

# nmap -p T:22-100 -sT -Pn 192.168.0.111

kus

* -p T:22-100 - portide vahemik ja TCP (tegelikult -T on ta niikuinii antud juhul ja selle võiks ka ära jätta)
* -Pn - mitte pingida, st saadetakse vaid tcp syn jne pakette
* -sT - tcp handshake skaneerimine

Mitme ip aadressi puhul

# nmap -p T:22-100 -sT -Pn 192.168.0.111-116 -o /var/tmp/nmap-20180222.log

====Võrgust teatud omadustega arvutite otsimine====

# nmap -PS -p 443 192.168.2.200-245

kus

* -PS - tcp syn
* -p 443 - port
* 192.168.2.200-245 - ip vahemik

====Turvavigade kontroll====

Tööks vajalikud huvitavad failid asuvad kaustas nmap/scripts/smb-check-vulns.nse
nt FreeBSD's /usr/local/share/nmap/scripts/

Ideepoolest peaks töötama ka käsk

# nmap --script-updatedb
Starting Nmap 4.85BETA7 ( http://nmap.org ) at 2009-09-15 00:33 EEST
NSE script database updated successfully.
Nmap done: 0 IP addresses (0 hosts up) scanned in 0.23 seconds

Salvestame nmapi töö faili mis meie subneti nimeline ning viime läbi
SYN skänni pordile 445 ning käivitame SMB vigade kontrollimiseks mõeldud NSE skripti
ja teeme seda kõigile arvutitele 192.168.1.0/24 võrgus.

nmap -oA 192168-filename -sS -p445 --script smb-check-vulns.nse 192.168.1.0/24

Tulemused võivad välja näha näiteks järgnevad

Interesting ports on kasutaja.zoo.tartu.ee (192.168.1.5):
PORT STATE SERVICE
445/tcp open microsoft-ds
MAC Address: 00:03:0D:51:E5:CA (Uniwill Computer)

Host script results:
|_ smb-check-vulns: This host is likely vulnerable to MS08-067 (it
stopped responding during the test)

Skriptide poole pöördudes võib kasutada ka järgmist lähenemist:

nmap --script "http-*"

Mis laadib kõik skriptid millede nimi agab httpd- reaga, näiteks http-auth ja http-open-proxy

Või siis laadime kõik skriptid, välja arvatud intrusive kategooriast:

nmap --script "not intrusive"

Vaikimisi kategoriseeritud default ja safe kataloogi.

nmap --script "default or safe"

====nping====

nmap paketi koosseisu kuulub nping programm, mis on natuke sarnane oma võimlustelt hping ja pingile.

TODO

====ncat====

nmap paketi koosseisu kuulub ncat programm, mis on natuke sarnane oma võimalustelt netcat programmile.

===arping===

Erinevalt programmist ping, mis saadab võrku ip pakette (ethertype 0x0800) tekitab arping arp pakette (ethertype 0x0806). Kui ühes aknas pingida/arpingida ja teises jälgida liiklust, siis paistavad erinevused sellised

Tuleb eelnevalt paigaldada operatsioonisüsteemi pakihalduse vahendite abil

# ping 192.168.10.251

# tcpdump -nettti em0 arp or icmp
Jun 24 13:27:08.032376 00:0e:0c:ba:4b:3e 00:0c:42:07:1a:45 0800 98: 192.168.10.210 > 192.168.10.251: icmp: echo request
Jun 24 13:27:08.032511 00:0c:42:07:1a:45 00:0e:0c:ba:4b:3e 0800 98: 192.168.10.251 > 192.168.10.210: icmp: echo reply

# arping 192.168.10.251

# tcpdump -nettti em0 arp or icmp
Jun 24 13:27:10.069533 0c:80:18:03:00:00 ff:ff:ff:ff:ff:ff 0806 42: arp who-has 192.168.10.251 tell 192.168.10.210
Jun 24 13:27:10.069644 00:0c:42:07:1a:45 0c:80:18:03:00:00 0806 60: arp reply 192.168.10.251 is-at 00:0c:42:07:1a:45

===Ssmpingiga multicasti toimimise testimine===

Multicast ehk multiedastus võimaldab ühe saatekorraga edastada sama infot korraga valitud arvutite rühmale. Seda ei tohi segi ajada broadcastiga, mis edastab paketi absoluutselt kõigile võrgus olevatele masinatele. Multicasti töötamise jaoks on switchis tarvilik IGMP (Internet Group Management Protocol) tugi (snooping ja query). Ruuteril on tarvilik "multicast routing" tuge. Multiedastust kasutatakse laialdaselt audio-video ülekandmiseks ja clustri nodede sünkroniseerimiseks. Rumalad ja mittemanageeritavad switchid võivad multiedastus teated edastada kui broadcasti kõigisse switchi portidesse ja tekitada seega võrgus üleliigst liiklust. IGMP Snoopingu halvaks küljeks on aga suurem switchi protsessori ja mälu kasutus.

http://et.wikipedia.org/wiki/Multiedastus
http://en.wikipedia.org/wiki/Multicast

Kahe masina vahel multicasti tesitmine ssmpingi abil. Paigaldamiseks

# apt-get install ssmping

Esimeses masinas

# ssmpingd

Teises masinas

# ssmping -I eth0 <IP aadress>

Tulem võiks näha välja järgnev

asmping joined (S,G) = (*,224.0.2.234)
pinging 192.168.8.6 from 192.168.8.5
unicast from 192.168.8.6, seq=1 dist=0 time=0.221 ms
unicast from 192.168.8.6, seq=2 dist=0 time=0.229 ms
multicast from 192.168.8.6, seq=2 dist=0 time=0.261 ms
unicast from 192.168.8.6, seq=3 dist=0 time=0.198 ms
multicast from 192.168.8.6, seq=3 dist=0 time=0.213 ms
unicast from 192.168.8.6, seq=4 dist=0 time=0.234 ms
multicast from 192.168.8.6, seq=4 dist=0 time=0.248 ms
unicast from 192.168.8.6, seq=5 dist=0 time=0.249 ms
multicast from 192.168.8.6, seq=5 dist=0 time=0.263 ms
unicast from 192.168.8.6, seq=6 dist=0 time=0.250 ms
multicast from 192.168.8.6, seq=6 dist=0 time=0.264 ms
unicast from 192.168.8.6, seq=7 dist=0 time=0.245 ms
multicast from 192.168.8.6, seq=7 dist=0 time=0.260 ms

Nii unicast kui multicast tunduvad töötavat.

Võime testida ka mõne kaugema serveri pihta:

# ssmping ssmping.uninett.no
ssmping joined (S,G) = (2001:700:0:4501:158:38:0:230,ff3e::4321:1234)
pinging S from 2001:bb8:2001:2:21b:21ff:fe65:54c9
unicast from 2001:700:0:4501:158:38:0:230, seq=1 dist=14 time=39.017 ms
unicast from 2001:700:0:4501:158:38:0:230, seq=2 dist=14 time=38.840 ms
unicast from 2001:700:0:4501:158:38:0:230, seq=3 dist=14 time=38.950 ms
unicast from 2001:700:0:4501:158:38:0:230, seq=4 dist=14 time=38.704 ms
--- 2001:700:0:4501:158:38:0:230 statistics ---
4 packets transmitted, time 3564 ms
unicast:
4 packets received, 0% packet loss
rtt min/avg/max/std-dev = 38.704/38.877/39.017/0.269 ms
multicast:
0 packets received, 100% packet loss

Viimase näite puhul multicast üle ipv6 ei paista töötavat. Unicast aga küll..

===Ethtool===

Selleks, et vaadata ühenduse parameetreid ning seda, kas võrgukaarti on ühendatud kaabel või ei ole on olemas töövahend ethtool. Üsna sageli võib olla segadus, et serveril
on 4+ võrguseadet ning raske öelda kuidaspidi on udev nad jaganud

# apt-get install ethtool

Kasutamine

# ethtool eth0

Ja sealt antud infost saab vaadata nt välja

Link detected: yes

Rohkema info omandamiseks

# ethtool -i eth5
driver: i40e
version: 1.2.37
firmware-version: f4.22.27454 a1.2 n4.25 e143f
bus-info: 0000:06:00.1
supports-statistics: yes
supports-test: yes
supports-eeprom-access: yes
supports-register-dump: yes
supports-priv-flags: yes

===tcpflow===

Programm tcpflow abil on hea uurida rakenduskihile vastavate andmete liikumist võrgus, nt jälgida http päringud ja vastuseid. tcpflow salvestab käesolevasse kataloogi (ingl. k. current directory) tabatud liikluse automaatselt moodustatud failinimesid kasutades

Tuleb eelnevalt paigaldada operatsioonisüsteemi vahendite abil

# mkdir /tmp/ftp.aso.ee
# cd /tmp/ftp.aso.ee
# tcpflow -i rl0 host ftp.aso.ee
# ls -l
total 8
-rw-r--r-- 1 root wheel 104 Jun 13 10:22 084.050.096.138.50120-213.184.032.082.00080
-rw-r--r-- 1 root wheel 847 Jun 13 10:22 213.184.032.082.00080-084.050.096.138.50120

Failinimedes kasutatakse kasutatud pordinumbreid, päring

# cat 084.050.096.138.50120-213.184.032.082.00080
GET /README HTTP/1.0
User-Agent: Wget/1.11.2
Accept: */*
Host: ftp.aso.ee
Connection: Keep-Alive

ning vastus

# cat 213.184.032.082.00080-084.050.096.138.50
HTTP/1.1 200 OK
Date: Fri, 13 Jun 2008 07:22:50 GMT
Server: Apache
Last-Modified: Mon, 05 Nov 2007 19:14:36 GMT
ETag: "1c980fa-22e-53bd1f00"
Accept-Ranges: bytes
Content-Length: 558
Keep-Alive: timeout=15, max=100
Connection: Keep-Alive
Content-Type: text/plain; charset=UTF-8

Welcome to the Estonian Informatics Center's FTP server!

On this server are hosted following software distributions

Debian GNU/Linux - /debian
Ubuntu Linux - /pub/ubuntu
Mandriva Linux - /pub/Mandrake
X-Road System - /pub/x-tee
Solaris CSW - /pub/csw
OpenBSD - /pub/OpenBSD

You can access data anonymously using http, ftp or rsync protocol and
one of these domainnames:

ftp.aso.ee
ftp.ria.ee
ftp.ee.debian.org

If you have any comments or encounter problems using this archive, please send
them via e-mail to ftpmaster_at_aso.ee.

tcpdump abil salvestatud faile saab uurida

$ tcpflow -r failinimi.pcap

===hping===

Programm hping võimaldab konstrueerida ja võrku saata igasuguseid pakette ja sobib seetõttu hästi nt võrgusõlmede testimiseks. Tarkvarast on kolm populaarset versiooni, hping, hping2 ja hping3. Näiteks SYN paketi tekitamiseks tuleb öelda

Tuleb eelnevalt paigaldada operatsioonisüsteemi vahendite abil

# hping -S -c 4 -p 80 192.168.10.12
HPING farm.loomaaed.tartu.ee (em0 192.168.10.12): S set, 40 headers + 0 data bytes
len=46 ip=192.168.10.12 ttl=56 DF id=60008 sport=80 flags=SA seq=0 win=5840 rtt=9.4 ms
len=46 ip=192.168.10.12 ttl=56 DF id=53433 sport=80 flags=SA seq=1 win=5840 rtt=9.8 ms
len=46 ip=192.168.10.12 ttl=56 DF id=39504 sport=80 flags=SA seq=2 win=5840 rtt=9.5 ms
len=46 ip=192.168.10.12 ttl=56 DF id=54821 sport=80 flags=SA seq=3 win=5840 rtt=9.5 ms

kus võtmed

* -S - konstrueerida SYN pakett
* -c 4 - saata viis paketti
* -i arv - saata intervalliga arv sekundit, vaikimisi ühe sekundise intervalliga
* -p - pordile 80

Näiteks nii saab nö tavalist ICMP pingi sooritada öeldes paketi src aadressiks 192.168.12.144

# hping3 -1 -a 192.168.12.144 192.168.11.145

Fragmenteeritud IP pakettide genereerimiseks sobib öelda

# hping3 -d 5400 -E /tmp/50M -S -c 3 -p 80 192.168.10.12 -m 200

kus

* -d paketi andmeosa suurus
* -E - mida kasutada andmeosa täitmiseks
* -m - mtu suurus

===netcat===

Programm netcat võimaldab hõlpsasti testida võrku, või vahetda arvutite ning programmide vahel infot. Sarnane tuntub programmile socket. Ühes arvutis tuleb ta käivitada porti kuulama öeldes, näiteks faili /tmp/filename.out kopeerimiseks

Tuleb osades operatsioonisüsteemides paigaldada, nt OpenBSD's on ta olemas

# nc -l -p 1010 > /tmp/filename.out

ja teisest pöörduda

# nc teise.arvuti.ip.aadress 1010 < /tmp/filename.out

Linuxi peal töötab sedasi lihtne server

# while true ; do cat /tmp/http.txt | nc -l -p 1500 head --bytes 2000 >>/tmp/requests ; date >>/tmp/requests ; done

Hädapärast saab netcati vahendusel vahendada ka arvutite vahel ja skriptide vahel infot näiteks kuulame 1001 porti ühes masinas

abiks käsk testimisel ka

nc -l -p 1001 | awk -F"," '{print $2}'

Syslogiga suhtlemine

$ echo '<0>message' | nc -w 1 -u 192.168.102.114 514

Whois teenuse kasutamine (20131116 - tundub, et päris nii see alati ei tööta)

$ echo "loomaaed.tartu.ee" | netcat 193.40.0.12 43
The registry database contains only .EE, .COM.EE, .PRI.EE, .FIE.EE,
.ORG.EE and .MED.EE domains.

Registrant:
Tartu Loomaaed
Looma tee 1
TEL 1234 5678
FAX 8765 4321

Domain Name: loomaaed.tartu.ee

Contacts:
Priit Kask priit@loomaaed.tartu.ee
..

Netcat abil saab hõlpsasti demonstreerida kui lihtne on nö pordile shelli külge ühendada (see on üks põhjus, miks tuleb pigem paketifiltriga kasutamata pordid blokeerida), serveris öelda

$ nc -l -p 8443 -e /bin/bash

ja kliendis

$ nc 192.168.10.10 8443
/sbin/route -n
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
0.0.0.0 192.168.10.254 0.0.0.0 UG 0 0 0 eth0
192.168.10.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0

Mingi määratluse järgi jagatakse turvaauke local ja remote alla kuuluvateks. Tihtipeale annavad local augud rohkem võimalusi ja neide parandamisse suhtutaks kergekäelisemalt. Kui selline shell on kasutada, siis arusaadavalt saab eemalt ligi local aukudesse (nt kävitada spetsiaalselt ettevalmistatud faile jms).

Tundub, et uuemal ajal sobib öelda

$ cat /tmp/f | /bin/sh -i 2>&1 | nc -l 127.0.0.1 8443 > /tmp/f

Võrgukiiruse primitiivseks testimine sobib öelda, iseäralik antud juhul on et mõõdetakse puhast võrgukiirust, kohalike ketaste io ei sega

netcat-server$ nc -l -p 6000 > /dev/null
netcat-klient$ nc 192.168.10.189 6000 < /dev/zero

ja liikluse kiiruse hindamiseks öelda ükskõik kummas arvutis

# tcpstat -i eth0 -o "Time:%S\tn=%n\tavg=%a\tstddev=%d\tBaitspersecond=%B\n" -f "tcp and host 192.168.10.189 and port 6000" 1
Time:1463902007 n=11782 avg=1044.15 stddev=672.42 Baitspersecond=12302148.00
Time:1463902008 n=11603 avg=1046.16 stddev=671.66 Baitspersecond=12138628.00
Time:1463902009 n=11367 avg=1056.14 stddev=667.52 Baitspersecond=12005096.00
Time:1463902010 n=11652 avg=1051.81 stddev=669.35 Baitspersecond=12255700.00
Time:1463902011 n=11514 avg=1053.25 stddev=668.74 Baitspersecond=12127072.00

Lisaks peaks jälgima võrguliidestel toimuvat liiklus vigade osas, nt (errors, dropped jt)

# ifconfig
eth0 Link encap:Ethernet HWaddr 00:1c:c0:38:97:a9
inet addr:192.168.10.8 Bcast:192.168.10.255 Mask:255.255.255.0
inet6 addr: fe80::21c:c0ff:fe38:97a9/64 Scope:Link
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:47321279 errors:0 dropped:0 overruns:0 frame:0
TX packets:42781684 errors:0 dropped:0 overruns:0 carrier:0

===IPerf===

IPerf http://www.noc.ucf.edu/Tools/Iperf/ tarkvaraga saab mõõta kahe arvuti vahelise võrguühenduse jõudlust.

====TCP====

Vaikimisi kasutatakse TCP protokolli, näide: kaks masinat klient 192.168.1.2 ja server 192.168.1.3

Server

# iperf -s
------------------------------------------------------------
Server listening on TCP port 5001
TCP window size: 85.3 KByte (default)
------------------------------------------------------------
[ 4] local 192.168.1.3 port 5001 connected with 192.168.1.2 port 32054
[ ID] Interval Transfer Bandwidth
[ 4] 0.0-10.0 sec 826 MBytes 692 Mbits/sec

klient

# iperf -c 192.168.1.3
------------------------------------------------------------
Client connecting to 192.168.1.2, TCP port 5001
TCP window size: 32.5 KByte (default)
------------------------------------------------------------
[ 3] local 192.168.1.2 port 32054 connected with 192.168.1.3 port 5001
[ ID] Interval Transfer Bandwidth
[ 3] 0.0-10.0 sec 826 MBytes 693 Mbits/sec

Soovides täpsemat andmehulka ette anda tuleb täpsustada kasutades võtit '-l'

Vaikimisi kestab test 10 sekundit, soovides seda ajaakent suurendada tuleb kasutada võtit '-t'

# iperf -t 60 -c 192.168.1.3

Täpsem jooksev statistika

# iperf -c 192.168.1.2 -w 400k -P 2 -i 1
Client connecting to 192.168.1.2, TCP port 5001
TCP window size: 400 KByte
------------------------------------------------------------
[ ID] Interval Transfer Bandwidth
[SUM] 0.0- 1.0 sec 1.06 GBytes 9.07 Gbits/sec
[SUM] 1.0- 2.0 sec 1.08 GBytes 9.30 Gbits/sec
[SUM] 2.0- 3.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 3.0- 4.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 4.0- 5.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 5.0- 6.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 6.0- 7.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 7.0- 8.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 8.0- 9.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 9.0-10.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 0.0-10.0 sec 11.4 GBytes 9.75 Gbits/sec

Vaikimisi kestab test 10 sekundit -t parameetriga saab muuta, lisaks saab muuta -i parameetriga statistika kuvamise intervalli.

====UDP====

UDP protokolli kasutamiseks tuleb lisaks kasutada kliendi ja serveri poolel lisaks suvandit -u, kusjuures UDP puhul on kiiruse piirang vaikimisi 1 Mbit/s. Kiirust saab täpsustada suvandiga -b 1000M, nt

# iperf -s -u
# iperf -c 192.0.0.118 -t 600 -i 10 -l 1472 -b 20M -u

====IPv6====

IPv6 kasutamiseks tuleb serveri ja kliendi poolel lisaks kasutada suvandit, nt

server # iperf -V -s -u
klient # iperf -V -c 2a02:98:0:a07::a00:7bf -t 600 -i 10 -l 1452 -b 20M -u

kus

* ipv6 puhul on ip paketi kapsli overhead 40 baiti (erinevalt ipv4 20 baidist)
* udp kapsli overhead on 8 baiti
* -l 1452 puhul ei toimu veel fragmentimist, suurema väärtuse puhul tekivad tõenäoliselt fragmenditud paketid

===netstrain===

Programm netstrain paigaldamine toimub paketist

võimaldab tekitada ja jälgida võrgus tcp koormust. Ühes arvutis tuleb netstraind käivitada

# netstraind -4 1010
NetStrain 3.0 (c) 2002 Christoph Pfisterer <cp@chrisp.de>
Listening on 0.0.0.0 port 1010 using IPv4...
One-shot server waiting for connection
Incoming connection from 172.16.3.254 port 5606

ning teisest pöörduda

# netstrain -4 172.16.3.251 1010 both
NetStrain 3.0 (c) 2002 Christoph Pfisterer <cp@chrisp.de>
Looking up hostname 172.16.3.251...
Connecting to 172.16.3.251 port 1010 using IPv4...
Connected
sent: 6450M, 10589.2K/s total, 10586.8K/s current
recv'd: 6252M, 10264.4K/s total, 10286.5K/s current

===ipcalc ja ipv6calc===

ipcalc on paketist paigaldatav pisike utiliit, millega saab nö võrke arvutada. Näiteks küsida milline on kaheksane subnet kuhu kuulub ip aadress 192.168.2.201

# ipcalc 192.168.2.201/29
address : 192.168.2.201
netmask : 255.255.255.248 (0xfffffff8)
network : 192.168.2.200 /29
broadcast : 192.168.2.207
host min : 192.168.2.201
host max : 192.168.2.206
hosts/net : 6

===sipcalc===

sipcalc (IP subnet calculator) programmiga saab arvutada IPv4 ja IPv6 võrguaadresse, nt

$ sipcalc -a 2a01:88:0:21::2
-[ipv6 : 2a01:88:0:21::2] - 0

[IPV6 INFO]
Expanded Address - 2a01:0088:0000:0021:0000:0000:0000:0002
Compressed address - 2a01:88:0:21::2
Subnet prefix (masked) - 2a01:88:0:21:0:0:0:2/128
Address ID (masked) - 0:0:0:0:0:0:0:0/128
Prefix address - ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff
Prefix length - 128
Address type - Aggregatable Global Unicast Addresses
Network range - 2a01:0088:0000:0021:0000:0000:0000:0002 -
2a01:0088:0000:0021:0000:0000:0000:0002

[V4INV6]
Expanded v4inv6 address - 2a01:0088:0000:0021:0000:0000:0.0.0.2
Compr. v4inv6 address - 2a01:88:0:21::0.0.0.2

[IPV6 DNS]
Reverse DNS (ip6.arpa) -
2.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.1.2.0.0.0.0.0.0.8.8.0.0.1.0.a.2.ip6.arpa.

===httping===

httping programmiga saab esitada http päringuid eesmärgiga jälgida veebiserveri vastuste andmist, kusjuures nt on võimalik täpsustades, kas esitatakse GET või HEAD päringuid või millise sagedusega päringuid esitatakse. Nt võiks toimuda programmi kasutamine selliselt

$ httping -s -S -i 2 -r -g http://www.loomaaed.tartu.ee/loomafail.cgi
PING www.loomaaed.tartu.ee:80 (http://www.loomaaed.tartu.ee/loomafail.cgi):
connected to www.loomaaed.tartu.ee:80, seq=0 time=11.99+501.00=512.99 ms 200 OK
connected to www.loomaaed.tartu.ee:80, seq=1 time=10.20+475.94=486.14 ms 200 OK
connected to www.loomaaed.tartu.ee:80, seq=2 time=9.71+471.03=480.74 ms 200 OK
connected to www.loomaaed.tartu.ee:80, seq=3 time=10.88+420.74=431.62 ms 200 OK
connected to www.loomaaed.tartu.ee:80, seq=4 time=9.99+336.93=346.92 ms 200 OK

kus on kasutatud võtmeid

* -s - esitab http päringu vastuse nn http koodi, st 200, 403, 404, 500 jne
* -S - esitab vastuses eraldi tcp ühenduse moodustamiseks ja vastuse saamiseks kulunud aja
* -i - päringuid esitamise intervall sekundites
* -r - nimelahendus sooritatakse vaid üks kord
* -g - esitatakse GET päringuid, vaikimisi esitatakse HEAD päringuid

Üks abiks httping programmi kasutusjuht võiks olla näiteks veebikoha koormustesti ajal jälgida milline nö tavakasutaja jaoks võiks kõnealuse veebikoha kättesaadavus.

https teenuse jälgimiseks sobib öelda

$ httping -G -l -g "/index.html" -h 192.168.10.12

* -l - pöörduda https abil

===tcpstat===

Vahel on selle programmi kasutamine muutnud süsteemi ebastabiilseks, tõenäoliselt on seoses konkreetselt kasutuses oleva riistvaraga. Muidu aga võimaldab ta jälgida tingimustele vastava andmevahetuse kiirust

# tcpstat -i vlan13 -o "Time:%S\tn=%n\tavg=%a\tstddev=%d\tBaitspersecond=%B\n" -f "tcp and host 192.168.110.149" 10

kus

* -i - võrguseade
* -o - väljundi formaat
* -f - nö tcpdump formaadis filter
* 10 - väljundi esitamise intervall, kusjuures kui andmeid ei ole, siis intervalli möödudes nö nulle ei esitata

===tcptrace===

tcptrace on üks paljudest programmidest, millega esitada salvetatud võrguliikluse kohta ülevaatlikke andmeid, võimalik, et programmi kõige olulisem väärtus on pedagoogiline väärtus

$ tcptrace -l tt.log
1 arg remaining, starting with 'tt.log'
Ostermann's tcptrace -- version 6.6.1 -- Wed Nov 19, 2003

54 packets seen, 54 TCP packets traced
elapsed wallclock time: 0:00:00.007053, 7656 pkts/sec analyzed
trace file elapsed time: 0:00:02.787589
TCP connection info:
1 TCP connection traced:
TCP connection 1:
host a: moraal.auul:52081
host b: ftp.loomaaed.tartu.ee:22
complete conn: yes
first packet: Sat Oct 10 12:56:15.713740 2009
last packet: Sat Oct 10 12:56:18.501330 2009
elapsed time: 0:00:02.787589
total packets: 54
filename: tt.log
a->b: b->a:
total packets: 30 total packets: 24
ack pkts sent: 29 ack pkts sent: 24
pure acks sent: 14 pure acks sent: 7
sack pkts sent: 0 sack pkts sent: 0
dsack pkts sent: 0 dsack pkts sent: 0
max sack blks/ack: 0 max sack blks/ack: 0
..
data xmit time: 2.547 secs data xmit time: 2.547 secs
idletime max: 1141.1 ms idletime max: 1151.3 ms
throughput: 1291 Bps throughput: 1072 Bps

===Wireshark===

Tarkvara Wireshark eelised avalduvad tema ülevaatlikkust võimaldavas graafilises kasutajaliideses, kus on võimalus

* liiklust filtreerida nt otspunktide ip aadresside, protokolli vms parameetrite alusel
* saab hõlpsasti eristada liiklusest tcp sessioone
* saab ülevaatlikult näha paketi kapseldust OSI kihtide mõttes

'''Lihtne wiresharki kasutusjuhus tööarvutis'''

Käivita wireshark programm. Vajuta nupule "List available capture interfaces..." (tööriistariba kõige vasakpoolsem nupp) ja seejärel võib alustada pakettide püüdmist soovitud võrguaadressil. Pakettide püüdmise lõpetab nupp "Stop the running live capture".

Kui võrguliiklust on palju, võib wiresharki väljund tulla liiga kirju. Otsitava informatsiooni väljafiltreerimiseks võib kasutada erinevaid filtreid (trükkida Wiresharki filtriribale):

* ip.addr == 192.168.1.253 - Näitab ainult pakette, mis kas pärinevad või on suunatud antud aadressile
* tcp.port == 22 - Näitab ainult pakette, mis kas pärinevad või on suunatud TCP porti 22
* !(udp.port == 80) - näitab ainult pakette, mille src ega dst pooles ei esine port 80

Erinevaid filtreid saab kombineerida loogiliste tehetega: &&, ||, !

Wireshark kasutamist on keerukamatel juhtudel mõistlik korraldada nii, et tulemüüris/serveris salvestatakse liiklus tcpdump abil faili ning see fail kopeeritakse töökohaarvutisse kuhu on paigaldatud Wireshark. Wireshark kasutajaliides näeb välja selline, antud juhul on kuulatud pealt liiklust tulemüürist ftp.aso.ee arvutiga

# tcpdump -n -i eth0 -s 1600 -w /tmp/ftp.aso.ee.log host ftp.aso.ee

Seejärel on käivitatud wireshark

linux$ wireshark ftp.aso.ee.log

Wiresharkis on filtreeritud välja ainult liiklus ftp.aso.ee arvutiga (kui seda praktiliselt pole ka vaja filtreerida, kuna ainult seda kuulatigi tcpflow'ga). Allolevalt pildilt on näha kuidas Wireshark esitab väljundit kolmas üksteise kohal paiknevas raamis

# ülemises raamis on esitatud filtreeritud 10 paketti, järjekorranumber, aeg, lähte ja siht aadress, protokoll ja muu info
# keskmises raamis esitatakse ülemises raamis ära märgitud paketi kapseldatud koosseis, on näha ISO kihid kusjuures wireshark interpreteerib lisaks paketi nn payloadis olevaid andmeid
# alumises raamis on esitatud paketi sisu kõrvuti kahes tulbas, 16nd süsteemis ning võimalusel vastavad ascii sümbolid, kusjuures keskmises raamis märgitule on ära vastav osa ära tähistatud

[[Pilt:Wireshark-ftp.aso.ee.log-1.gif]]

Näiteks võib antud juhul jälgida kuidas ühenduse loomiseks ja lõpetamiseks on vahetatud vastavalt kolm ja kolm paketti, ning sisuliste andmete vahetamiseks on kokku saadetud neli paketti. Välja arvatud erijuhud üldiselt ongi nii, et andmevahetusel osapooled saadavad üksteisele samas suurusjärgus pakette, isegi kui tegu on sisuliselt ühesuunalise andmevahetusega. Ja eriliselt võiks antud juhul tähele panna, et tcp ühenduse sees saadetakse andmeid mõlemas suunas.

Antud juhul kuuluvad juba tcpdump abil salvestatud ühte tcp sessiooni, kuid wiresharkil on võimalus suuremat hulgast pakettidest välja filtreerida ka ühe tcp sessiooni. Selleks tuleb ülemises raamis valida mingi paketi peal olles hiire parema nupuga avanevast hüpikmenüüst 'Follow TCP Stream' ning esitakse sessioonis toimunud http get päringu sisu ja vastuse sisu

[[Pilt:Wireshark-ftp.aso.ee.log-2.gif]]

====editcap ja mergecap kasutamine====

editcap programmiga saab varem salvestatud pcap formaadis faili osadeks jagada, nt pakettide arvu järgi, tulemusena tekivad osad* nimelised failid

# editcap -c 100 tcp.log osad

mergecap programmiga saab pcap formaadis osad ühendada kokku üheks failiks, nt

# mergecap -w tcp-kokkuyhendatud.log osad*

====capinfos====

Salvestatud pcap faili kohta saab küsida capinfos programmiga, nt

# capinfos tcp.log
File name: tcp.log
File type: Wireshark/tcpdump/... - libpcap
File encapsulation: Ethernet
Number of packets: 1000
File size: 590818 bytes
Data size: 592758 bytes
Capture duration: 6 seconds
Start time: Sat Oct 22 20:06:11 2011
End time: Sat Oct 22 20:06:16 2011
Data byte rate: 106709.45 bytes/sec
Data bit rate: 853675.63 bits/sec
Average packet size: 592.76 bytes
Average packet rate: 180.02 packets/sec

====RSA võtmevahetusega SSL liikluse dekrüptimine====

* http://wiki.wireshark.org/SSL
* http://wirewatcher.wordpress.com/2010/07/20/decrypting-ssl-traffic-with-wireshark-and-ways-to-prevent-it/

===tcpbench===

OpenBSD nn baas sisaldab tcpbench utiliiti, mille abil saab otsekoheselt testida kahe OpenBSD arvuti vahelist võrguühendust. Utiliidi kasutamisel hakkab klient serverisse kopeerima maksimaalse võimaliku suurusega tcp pakette, tegevuse käigus esitavad klient ja server programmi väljundis toimuvat andmevahetust iseloomustavat infot

server# tcpbench -s
pid elapsed_ms bytes Mbps
25537 1009 20811800 165.009
25537 2009 20610544 165.049
25537 3013 20230168 161.197
25537 closed by remote end

klient# tcpbench 192.168.10.8
pid elapsed_ms bytes Mbps
2628 1026 20990016 163.665
2628 2008 20460296 166.683
2628 3037 20230168 157.433
^Ctcpbench: Terminated by signal 2

===ssldump===

ssldump võimaldab SSL/TLS liiklust analüüsida, tarkvara paigaldamiseks tuleb öelda Debian keskkonnas

# apt-get install ssldump

FreeBSD's asub pakett net/ssldump

ja kasutamiseks nt

# ssldump -i eth0 -d port 993
New TCP connection #1: moraal.auul(49305) <-> smtp.loomaaed.tartu.ee(993)
1 1 0.0100 (0.0100) C>S Handshake
ClientHello
Version 3.1
resume [32]=
9c 5e 98 a5 0c 7a e1 f6 59 70 cb 42 ff 7e d0 2c
0c d6 03 57 34 e5 01 74 4e 4f fb 70 3b a5 61 02
cipher suites
Unknown value 0xc00a
TLS_RSA_WITH_RC4_128_MD5
TLS_RSA_WITH_RC4_128_SHA
TLS_RSA_WITH_3DES_EDE_CBC_SHA
...
compression methods
NULL
1 2 0.0342 (0.0242) S>C Handshake
ServerHello
Version 3.1
session_id[32]=
9c 5e 98 a5 0c 7a e1 f6 59 70 cb 42 ff 7e d0 2c
0c d6 03 57 34 e5 01 74 4e 4f fb 70 3b a5 61 02
cipherSuite Unknown value 0x35
compressionMethod NULL
1 3 0.0342 (0.0000) S>C ChangeCipherSpec
1 4 0.0342 (0.0000) S>C Handshake
1 5 0.0349 (0.0006) C>S ChangeCipherSpec
1 6 0.0349 (0.0000) C>S Handshake
1 7 0.0443 (0.0094) S>C application_data
1 8 0.0450 (0.0006) C>S application_data
1 9 0.0546 (0.0095) S>C application_data
..

kust on näha

* C>S, S>C - vastavalt kliendilt serveri ja serverilt kliendi suunal toimuv liiklus
* ClientHallo, ServerHallo, jt - kliendi ja serveri vahel toimub SSL ühenduse parameetrite kokkuleppimine
* application_data - antud juhul jääb ssldump jaoks sisuline andmevahetus ligipääsemata

Kui lisaks on kasutada ssl võtmed, siis saab teatud juhtumitel ka liikluse sisu debugida, nt https puhul

# cat www.loomaaed.tartu.ee.key www.loomaaed.tartu.ee.crt > www.pem
# ssldump -i eth0 -d -k www.pem port 443
..
1 10 0.0849 (0.0341) C>S application_data
---------------------------------------------------------------
GET /text.html HTTP/1.1
Host: 192.168.10.53
User-Agent: Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.9.0.14) \
Gecko/2009091010 Iceweasel/3.0.6 (Debian-3.0.6-3)
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: en-us,en;q=0.5
Accept-Encoding: gzip,deflate
Accept-Charset: ISO-8859-1,utf-8;q=0.7,*;q=0.7
Keep-Alive: 300
Connection: keep-alive
Pragma: no-cache
Cache-Control: no-cache

---------------------------------------------------------------
1 11 0.0857 (0.0007) S>C application_data
---------------------------------------------------------------
HTTP/1.1 200 OK
Date: Fri, 23 Oct 2009 06:32:59 GMT
Server: Apache/2.2.9 (Debian) mod_jk/1.2.26 mod_ssl/2.2.9 OpenSSL/0.9.8g
Vary: Accept-Encoding
Content-Encoding: gzip
Content-Length: 266
Keep-Alive: timeout=15, max=100
Connection: Keep-Alive
Content-Type: text/html; charset=iso-8859-1

Seejuures tuleb veebiserveris kasutada sobivat SSLCipherSuite väärtust, nt selline töötab nö natuke

SSLCipherSuite RSA:-HIGH:MEDIUM:-EXP:-DH

Kasutatud järgnevusele 'RSA:-HIGH:MEDIUM:-EXP:-DH' vastavaid väärtusi näeb

# openssl ciphers -v 'RSA:-HIGH:MEDIUM:-EXP:-DH'
DES-CBC-SHA SSLv3 Kx=RSA Au=RSA Enc=DES(56) Mac=SHA1
RC4-SHA SSLv3 Kx=RSA Au=RSA Enc=RC4(128) Mac=SHA1
RC4-MD5 SSLv3 Kx=RSA Au=RSA Enc=RC4(128) Mac=MD5
NULL-SHA SSLv3 Kx=RSA Au=RSA Enc=None Mac=SHA1
NULL-MD5 SSLv3 Kx=RSA Au=RSA Enc=None Mac=MD5
DES-CBC-MD5 SSLv2 Kx=RSA Au=RSA Enc=DES(56) Mac=MD5
RC2-CBC-MD5 SSLv2 Kx=RSA Au=RSA Enc=RC2(128) Mac=MD5
RC4-MD5 SSLv2 Kx=RSA Au=RSA Enc=RC4(128) Mac=MD5

Lisaks saab ssldump jaoks kaustada tcpdump abil kogutud pcap faili (eriti see on -s 0 võtmega salvestatud)

$ ssldump -r failinimi.pcap

===ICMP redirect===

Olgu selliste ruutingutega olukord

....
|
_|_ tulemüür
| | vaikelüüs, kus on kirjeldatud staatiline ruuting 192.168.201.0/24 -> 192.168.2.201
|___| 192.168.2.1
192.168.2.0/24 |
--|-------------------|--------------|--
_|_ _|_
| | 192.168.2.30 | | 192.168.2.201
|___| host-1 |___| ruuter-2
|
| 192.168.201.0/24
-----|-------------------------|---
_|_
| | 192.168.201.30
|___| host-2

ICMP redirect http://en.wikipedia.org/wiki/ICMP_Redirect_Message sõnumiga juhatab tulemüür host-1 pöörduma host-2 poole läbi ruuter-2 seadme.

09:42:25.399922 192.168.2.1 > 192.168.2.30: icmp: redirect 192.168.201.30 to host 192.168.2.201

Parasjagu kehtivad redirectid ei ole paista linux hostis ei nö tavalistes arp ega route andmebaasides, vaid

# cat /proc/net/rt_cache

Sissekande kustutamiseks tuleb vastav ruuting eemaldada ja tagasi tekitada, näiteks.

===ARP flux===

Olgu üks arvuti on oma kahe füüsiliste võrguseadmega ühendatud sama etherneti peale ning seal ethernetis on veel teisi arvuteid

--|--|---------------------------|----------------
eth0 _|__|_ eth1 _|_
10.0.2.30 | | 192.168.2.30 | | 192.168.2.201
|______| |___|

host-1 host-2

Tundub, et reeglina käituvad 2011 aastal Linux distributsioonide tuumad selliselt, et joonisel kujutatud ühenduse puhul vastab host-2 poolt aadressile 192.168.2.30 tehtud arp päringule host-1 kahe arp vastusega, kummagi ethernet seadme mac aadressiga, kusjuures host-2 kasutab esimesena kohale jõudnud vastust järgnevaks andmevahetuseks. Selline olukord põhjustab selles mõttes segadust, et kui host-1 võrguseadmed on sarnaste omadustega, siis vahel kasutab host-2 ühe ja vahel teise ethernet seadme mac aadressi ning liiklus käib vastavalt läbi ühe või teise host-1 võrguseadme (lisaks võib ka nii olla, et ühes suunas liiguvad paketid läbi host-1 eth0 ja teises suunas läbi eth1 seadme). Kui host-1 peal ei ole paketifiltrit seadistatud, siis seal töötavate rakenduste jaoks andmevahetus töötab, kuid nt võrgu debugimine on raskendatud.

Selleks, et host-2 arp päringule vastaks host-1 vaid selle mac aadressiga, millele vastava võrguseadme kaudu toimuks ip mõttes korrektne ruuting sobib öelda host-1 arvutis

# sysctl -w net.ipv4.conf.all.arp_filter=1

Kasulikud lisamaterjalid

* http://linux-ip.net/html/ether-arp.html
* http://robertlathanh.com/2009/08/two-subnetworks-on-one-lan-and-linux-arp_filter/
* http://www.embedded-bits.co.uk/tag/arp_filter/

===tcpkill===

tcpkill programmi abil saab ühenduse osapoolele saata sobiva RST paketi eesmärgiga ühendus lõpetada, tarkvara paigaldamiseks tuleb nt Debian Lenny keskkonnas paigaldada pakett dsniff

# apt-get install dsniff

ja kasutamiseks öelda

# tcpkill -i eth0 port 80 and host ftp.loomaaed.tartu.ee

Tulemusena jääb tcpkill käima arvuti eth0 seadmel ja tegeleb näidatud regulaaravaldisega klappivate ühendustega.

===lsof===

Kasutaja priit (-u priit) programmiga Firefox (-c firefox-bin) seotud võrguühenduste (-i) esitamine

$ lsof -n -a -u priit -c firefox-bin -i
COMMAND PID USER FD TYPE DEVICE SIZE NODE NAME
firefox-b 22322 priit 51u IPv4 1870238 TCP 192.168.10.10:53360->113.184.32.83:https (ESTABLISHED)
firefox-b 22322 priit 72u IPv4 1870025 TCP 192.168.10.10:35441->74.125.43.100:www (ESTABLISHED)
firefox-b 22322 priit 73u IPv4 1870035 TCP 192.168.10.10:53903->74.125.10.213:www (ESTABLISHED)

kus

* -n - mitte teisendada ip aadresse nimedeks
* -a - järgnevad muud suvandid loogiliselt korrutada
* PID - protsessi ID

Pordile vastava protsessi küsimine

# lsof -i :514
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
syslogd 6628 _syslogd 4u IPv4 0xfffffe803f51d000 0t0 UDP *:syslog

Kasulikud lisamaterjalid

* http://ph7spot.com/musings/leveraging-lsof

===strace===

strace kasutusala on laiem, kuid seoses võrguga on tal samuti rakendus, nt esitada jooksvalt protsessiga seotud võrgu syscallid, 4940 on w3m brauseri protsess

# strace -e trace=network -p 4940
...
socket(PF_NETLINK, SOCK_RAW, 0) = 4
bind(4, {sa_family=AF_NETLINK, pid=0, groups=00000000}, 12) = 0
getsockname(4, {sa_family=AF_NETLINK, pid=4940, groups=00000000}, [12]) = 0
...

===Arpwatch===

Võimaldab jälgidan võrgus liikuvaid ARP teateid ning avastada ARP tabeli mürgitamisjuhtumeid

Koduleht
*http://ee.lbl.gov/
arbi mürgitamise täpselt toimimine ja selle takistamine
*http://shsc.info/ARPPoisoning
Mõned võrguhaldurile abiks skriptid
*http://blog.stardothosting.com/2009/05/01/detect-arp-poisoning-on-lan/

===Ettercap===

Ettercap http://ettercap.sourceforge.net/ tarkvara võimaldab kohtvõrgus korraldada MITM tüüpi ründeid ja seejuures kontrollida kui tundlik kohtvõrk on selliste rünnete suhtes sh kas need avastatakse. Ettercap kasutab oma tööks põhiliselt arp-mürgitamist (ingl. k. arp poisoning). Tarkvara paigaldamiseks on tavaliselt piisav paigalda operatsioonisüsteemi paketihaldusvahenditega ettercap nimeline pakett. Ettercap programmi saab käivitada kolme erineva kasutajaliidesega

* käsurealt -ettercap -T
* curses liidesega - ettercap -C
* gtk gui liidesega - ettercap -G

Kasulikud lisamaterjalid

* http://en.wikipedia.org/wiki/Ettercap_%28computing%29
* http://openmaniak.com/ettercap.php

===Scapy===

Scapy http://www.secdev.org/projects/scapy/ abil saab töötada pakettidega. Tarkvarale on tehtud Python keeles ja sellele on iseloomulik, et saab nö programmeerimise võtteid kasutades nt koostada sobiva sisuga paketi ja saata võrku; seejärel saab käsitleda sarnaselt vastuseks tulnud paketti. Scapy sisaldab mitmeid lisasid, nt saab lasta esitada graafiliselt traceroute tulemuse. Tarkvara paigaldamiseks sobib paigaldada nt Debian Squeeze all pakett python-scapy

# apt-get install python-scapy

Lisaks on vajalikud

# apt-get install tcpdump graphviz imagemagick

Interaktiivselt käivitamiseks tuleb öelda

# scapy
...
Welcome to Scapy (2.1.0)
>>> res,unans = traceroute(["www.eesti.ee", "www.eenet.ee"],dport=[80,443],maxttl=20,retry=-2)
..
>>> res.graph()

Tulemusena esitatakse sarnane pilt

[[Pilt:Scapy-1.gif]]

Scapy sisaldab mitmeid funktsioone, millega pakette moodustada, neid välja saata ning vastuseid lugeda

* ICMP paketi saatmine

>>> send(IP(dst="192.168.10.123")/ICMP())

* DNS päringu esitamine

>>> sr(IP(dst="10.192.0.53")/UDP()/DNS(rd=1,qd=DNSQR(qname="www.loomaaed.tartu.ee")))

* etteantud subnetti kuuluva juhusliku src aadressiga pakettide saatmine

>>> send(IP(src=RandIP("192.168.10.0/24"), dst="10.192.0.53")/TCP(dport=80,flags="S"), loop=1)

===Socat===

* Pordi edasisuunamine

# socat TCP-LISTEN:8888,fork TCP:192.168.1.4:80

* pordi edasisuunamine lokaalselt (mida tavaliselt tehakse paketifiltri abil)

# socat TCP-L:2323 TCP:localhost:22

* unixi soketi ühendamine interneti soketiga, kuulaku unix soketil MySQL ning peab saama hakata pöörduma MySQL poole üle võrgu arvuti mõnel ip aadressil, port 3308

# socat -v tcp-l:3308,bind=192.168.10.10,reuseaddr,fork unix:/var/run/mysqld/mysqld.sock

* remote shell (nt sellepärast võiks pigem olla serverite pordid tulemüürist vaikimisi blokeeritud), EXEC täidetakse kliendi pöördumisel

server:~$ socat TCP-LISTEN:2323,reuseaddr,fork EXEC:/bin/bash

ja vastav klient

$ socat STDIO TCP:server-loomaaed:2323
hostname -f
server.loomaaed
...

* PostgreSQL soketi suunamine üle võrgu

tookohaarvuti$ socat "UNIX-LISTEN:/tmp/.s.PGSQL.5432,reuseaddr,fork" \
EXEC:'ssh postgres@192.168.1.105 socat STDIO UNIX-CONNECT\:/var/run/postgresql/.s.PGSQL.5432'

kasutamiseks öelda, kusjuures EXEC täidetakse, st ssh ühendus käivitatakse alles psql kliendi abil pöördumisel

tookohaarvuti$ psql -h /tmp -U postgres

Faili sisu esitamiseks üle võrgu, kasutamiseks nt netcat abil pöörduda

$ socat -u FILE:/opt/suricata/var/log/suricata/eve.json,ignoreeof TCP4-LISTEN:12345,fork,reuseaddr

Kasulikud lisamaterjalid

* http://technostuff.blogspot.com/2008/10/some-useful-socat-commands.html
* http://jdimpson.livejournal.com/6534.html
* http://www.debian-administration.org/users/dkg/weblog/68

===vnstat===

Tarkvara paigaldamiseks sobib öelda nt

# apt-get install vnstat

Kasutamine paistab välja nt selline

# vnstat -l
Monitoring eth0... (press CTRL-C to stop)

rx: 0 kbit/s 1 p/s tx: 0 kbit/s 0 p/s^C

eth0 / traffic statistics

rx | tx
--------------------------------------+------------------
bytes 385.08 MiB | 990.42 MiB
--------------------------------------+------------------
max 88.19 Mbit/s | 227.04 Mbit/s
average 57.36 Mbit/s | 147.52 Mbit/s
min 0 kbit/s | 0 kbit/s
--------------------------------------+------------------
packets 4588718 | 3670125
--------------------------------------+------------------
max 128266 p/s | 102612 p/s
average 83431 p/s | 66729 p/s
min 1 p/s | 0 p/s
--------------------------------------+------------------
time 55 seconds

kus

* rx, tx - vastavalt saabumised ja väljumised
* bytes, packet - andmete mahu ja pakettide arvu järgi

===iptstate===

iptstate kasutab kerneli conntrack sistemat ja esitab võrguliikluse kohta andmeid, tarkvara paigaldamiseks

# apt-get install iptstate

Kasutamiseks peab olema laaditud nt ip_conntrack moodul

# modprobe ip_conntrack

Käivitamiseks öelda

# iptstate

ja paistab sarnane pilt

TODO

Tundub, et samad andmed on teksti kujul esitatavad selliselt

# cat /proc/net/ip_conntrack

===tcptrack===

Programm tcptrack annab top väljundi sarnase ülevaate toimuvatest tcp ühendustest. Paigaldamiseks sobib öelda

# apt-get install tcptrack

Kasutamiseks nt

# tcptrack -i eth0 -r 10 port 80

ja paistab selline pilt

TODO

===conntrack===

# modprobe nf_conntrack_ipv4
# conntrack -p tcp --dport 80 -E -e NEW | pv -l -i 1 -r > /dev/null

===Kasulikud lisamaterjalid===

* Soovides muide teada mis ISP omandusse mingi ip kuulub tasub kasutada aadress http://www.ip-adress.com/ip_tracer/'''<IP>'''
* http://www.linuxfoundation.org/collaborate/workgroups/networking/netem
* http://tools.netsa.cert.org/silk/docs.html

Eesti ID-kaardi kasutamine Debianiga

2018-02-14T23:56:24Z

Imre: /* pkcs11-tool utiliidi kasutamine */

===Sissejuhatus===

Eesti ID-kaart on nn protsessorkaart, mis võimaldab autentimist ja allkirjastamist. ID-kaardi kasutamiseks on vajalikud

* kehtiv Eesti ID-kaart
* kasutada oleva arvuti ja operatsioonisüsteemiga sobiv kaardilugeja
* internetiühendus
* ID-kaardi võimaluste kasutamiseks sobiv kliendipoolne tarkvara
* ID-kaardi võimaluste kasutamiseks sobiv teenus internetis

Eesti ID-kaardi töö põhineb avaliku võtme (ingl. k. public key) krüptograafia kasutamisel. Avaliku võtme infrastruktuuris (ingl. k. PKI - public key infrastructure) esitatakse kasutaja avalik võti koos kasutaja kohta käivate muude andmetega, nt kasutaja nimi ja eposti aadress selle konkreetse infrastruktuuri mõne ülemise sajalase võtmega signeeritud kujul ja seda tulemust nimetatakse kasutaja sertifikaadiks. Lisaks on sertifikaadis kirjas andmed selle sertifikaadi väljastaja kohta ja sertifikaadi kehtivuse aeg.

Eesti ID-kaartidega seotud avaliku võtme infrastruktuuri haldab sh väljastab ID-kaarte Sertifitseerimiskeskus http://www.sk.ee/ kusjuures ID-kaardil on kaks paari võtmeid, öeldakse ka, et kaks sertifikaati

* isikutuvastuse ehk autentimise sertifikaat
* allkirjastamise sertifikaat

Kahe erineva sertifikaadi kasutuselevõtmise põhjuseks on asjaolu, et sertifikaatidel on nö oluliselt erinev kaal

* isikutuvastuse sertfikaadiga kasutaja autendib ennast teenusele (st praktiliselt logib ennast sisse portaali internetis, siseneb kooduksega kaitstud ruumi füüsilises maailmas)
* allkirjastamise sertifikaati kasutatakse reeglina ainult digitaalallkirja andmiseks ja Eesti Vabariigis on digitaalallkirjastatud dokument võrdsustatud omakäeliselt allkirjatatud dokumendiga; reeglina pangaülekannete sooritamisel toimub sisemiselt samuti digitaalallkirjastamise protseduur

Oletame, et kui oleks kasutuses ainult üks sertifikaat ja nt kasutaja siseneb koodukse kaudu ruumi, siis võiks konstrueerida skeemi, kus ta pahaaimamatult allkirjastab mõne dokumendi, mida ta muul juhul ei oleks nõus allkirjastama. Kahe sertifikaadi kasutamisel on võimalik erinevaid rolle lahus hoida.

Kuigi eelmises lõigus kasutati väljendeid 'isikutuvastuse sertifikaadiga kasutaja identifitseerib' ja 'allkirjastamise sertifikaati kasutatakse reeglina digitaalallkirja andmiseks' tuleb seda seda mõista nii, et sisuliselt neid protseduure sooritades kasutaja kasutab vastava sertifikaadi salajast võtit. ID-kaardil asuvate salajaste võtmete kasutamine on turvakaalutlustel piiratud täiendava parooliga, nn PIN koodiga, kummalgi salajasel võtmel on oma PIN kood ja võtme kasutamise eel küsib ID-kaardi tarkvara kasutajalt seda koodi.

ID-kaardiga autentimine on dual-factor ehk two-factor autentimine http://en.wikipedia.org/wiki/Two-factor_authentication kuna see sisaldab kahte kontrolli

* midagi mida saab omada - ID-kaardi kui füüsilise eseme olemasolu kontroll
* midagi mida saab teada - salajase võtme teadmise kontroll

Võrreldes parooliga on ID-kaardi kasutamise üheks erinevuseks, et seda saab kasutada korraga ainult üks kasutaja nö ühest kasutuspunktist.

===Eesti ID-kaardi sertifikaatide LDAP kataloogiteenus===

Kuna avaliku võtme infrastruktuuri üheks koostisosaks on, et kõigi kasutajate avalikud võtmed st sertifikaadid on kõigile avalikult kättesaadavad, siis SK on teinud kasutajate sertifikaadid internetis kättesaadavaks LDAP kataloogiteenuse abil aadressil ldap.sk.ee. Kasutaja sertifikaate (mis sisaldavad avalikke võtmeid) saab teades tema isikukoodi kopeerida öeldes nt

$ ldapsearch -LLL -H ldap://ldap.sk.ee -x -b "c=EE" "(serialNumber=37003212713)"
dn: cn=OOLBERG\2CIMRE\2C37003212713,ou=Authentication,o=ESTEID,c=EE
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
cn: OOLBERG,IMRE,37003212713
serialNumber: 37003212713
userCertificate;binary:: MIIEGjCCAwKgAwIBAgIESIQxaDANBgkqhkiG9w0BAQUFADBbMQswC
QYDVQQGEwJFRTEiMCAGA1UEChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMGRV
...
z5vZN4059dNaqZqVg5rlVrLS5/T+sK8PHxYcO+SKDZYobddJIv6i2XlpVAQLgkChEiXI2Bd3AMfpw
fVbAjDsHXasblBtut7k1MItT3YLaNZ/xq9BY/B7afXqg==

dn: cn=OOLBERG\2CIMRE\2C37003212713,ou=Digital Signature,o=ESTEID,c=EE
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
cn: OOLBERG,IMRE,37003212713
serialNumber: 37003212713
userCertificate;binary:: MIID2jCCAsKgAwIBAgIESIQxaTANBgkqhkiG9w0BAQUFADBbMQswC
QYDVQQGEwJFRTEiMCAGA1UEChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMGRV
..

Konkreetse sertifikaadi dn elemendi kopeerimiseks sobib öelda nt

$ ldapsearch -LLL -H ldap://ldap.sk.ee -x -b ou=authentication,o=ESTEID,c=EE "(serialNumber=37003212713)" dn
dn: cn=OOLBERG\2CIMRE\2C37003212713,ou=Authentication,o=ESTEID,c=EE

===Kaardilugeja ühendamine operatsioonisüsteemiga===

Märkus: 2010 kevade seisuga peaks töötama täitsa hästi Linuxi ja Windowsiga nt kaks sellist mudelit, mida on ka kauplustes suhteliselt hästi saada

* Omnikey Cardman 1021 - USB (lauaarvutile, sülearvutile)
* Omnikey Cardman 4321 - ExpressCard http://en.wikipedia.org/wiki/ExpressCard (sülearvutile)

Ehk kõige parem kui kaardilugeja ühendub arvutiga USB abil, nt sobib mudel SRC-331. Debian Etch ja Lenny sisaldavad paketihalduses ID-kaardi kasutamiseks sobivat tarkvara, mille koduleht asub aadressil http://ideelabor.ee/ ja mille kasutamist käesolev tekst kirjeldab.

USB kaudu ühendatud ID-kaardilugeja kasutamise eelduseks on, et operatsioonisüsteem toetab USB seadmete kasutamist, sellest annab tunnistust peale kaardilugeja ühendamist lsusb sarnane väljund, kus on muu seas näha SCR331 seadmele vastav rida

# lsusb
Bus 004 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub
Bus 003 Device 002: ID 0483:2016 SGS Thomson Microelectronics Fingerprint Reader
Bus 003 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub
Bus 002 Device 006: ID 04e6:e001 SCM Microsystems, Inc. SCR331 SmartCard Reader
Bus 002 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub
Bus 001 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub

ID-kaardiga suhtlemiseks vajaliku tarkvara paigaldamiseks tuleb öelda

# apt-get install opensc pcscd libccid

Seejärel tuleb redigeerida kahte faili

* Näitena jagatavas /etc/opensc/opensc.conf failis tuleb teha kolm muudatust

# zcat /usr/share/doc/libopensc2/examples/opensc.conf.gz > /etc/opensc/opensc.conf

Leidke failist üles need parameetrid ning muutke nende väärtused sellisteks

try_emulation_first = yes;
lock_login = false;
reader_drivers = pcsc, ctapi;

* Failis /usr/lib/pcsc/drivers/ifd-ccid.bundle/Contents/Info.plist peavad sisalduma sellised read (tundub, et see on teatud SRC331 mudelite või eksemplaride spetsiifiline asi), leidke ja muutke olemasolevaid

<key>ifdDriverOptions</key>
<string>0x0004</string>

Seejärel seisake ja käivitage pcscd deemon

# /etc/init.d/pcscd restart

Kontrollimaks, et tarkvara sai korrektselt paigaldatud küsime süsteemi ühendatud kaardilugejate nimekirja

# opensc-tool -l
Readers known about:
Nr. Driver Name
0 pcsc SCM SCR 331 00 00

Ning küsime ID-kaardile kantud sertifikaatide nimekirja

# pkcs15-tool -c
X.509 Certificate [Isikutuvastus]
Flags : 0
Authority: no
Path : 3f00eeeeaace
ID : 01

X.509 Certificate [Allkirjastamine]
Flags : 0
Authority: no
Path : 3f00eeeeddce
ID : 02

===pkcs11-tool utiliidi kasutamine===

PKCS#11 is a software API for accessing cryptographic hardware like smart cards or HSM. pkcs11-tool realiseerib PKCS11 (Public Key Cryptography Standards) standardit ja võimaldab suhelda krüptoseadmega üle Cryptoki (Cryptographic Token Interface) API. Slottide nimekirja esitamiseks sobib öelda

<pre>
# pkcs11-tool -L
Available slots:
Slot 0 (0x0): Alcor Micro AU9540 00 00
(empty)
Slot 1 (0x4): Gemalto PC Twin Reader (A76A2DE4) 01 00
token label : PIN1 (OOLBERG,IMRE,37003212713)
token manufacturer : AS Sertifitseerimiskeskus
token model : PKCS#15 emulated
token flags : login required, rng, token initialized, PIN initialized
hardware version : 0.0
firmware version : 0.0
serial num : AA9909781
pin min/max : 4/12
Slot 2 (0x5): Gemalto PC Twin Reader (A76A2DE4) 01 00
token label : PIN2 (OOLBERG,IMRE,37003212713)
token manufacturer : AS Sertifitseerimiskeskus
token model : PKCS#15 emulated
token flags : login required, rng, token initialized, PIN initialized
hardware version : 0.0
firmware version : 0.0
serial num : AA9909781
pin min/max : 5/12
</pre>

Slot sisu esitamiseks, nb! slot numbri väärtus tuleb võtta sulgudest, küsitakse pin1 väärtust

<pre>
# pkcs11-tool --slot 4 -O -l
Logging in to "PIN1 (OOLBERG,IMRE,37003212713)".
Please enter User PIN:

Private Key Object; EC
label: Isikutuvastus
ID: 01
Usage: sign, derive
Certificate Object; type = X.509 cert
label: Isikutuvastus
ID: 01
Public Key Object; EC EC_POINT 384 bits
EC_POINT: 0461046231c67...
EC_PARAMS: 06052b81040023
label: Isikutuvastus
ID: 01
Usage: encrypt, verify
</pre>

kus

* ühes slotis on paistab olevat kolm objekti, private key, sertifikaat ja public key

Kasulikud lisamaterjalid

* https://en.wikipedia.org/wiki/PKCS
* https://github.com/OpenSC/OpenSC/wiki/Frequently-Asked-Questions

===pkcs15-tool utiliidi kasutamine===

PKCS#15 is a format of on-card structures that defines a “filesystem layout” for smart cards. pkcs15-tool abil saab kopeerida ID-kaardilt sertifikaate, sedasi

# pkcs15-tool -r 01
-----BEGIN CERTIFICATE-----
MIIEGjCCAwKgAwIBAgIESIQxaDANBgkqhkiG9w0BAQUFADBbMQswCQYDVQQGEwJF
RTEiMCAGA1UEChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMG
RVNURUlEMRcwFQYDVQQDEw5FU1RFSUQtU0sgMjAwNzAeFw0wODA3MjEwNjQ5MTJa
Fw0xMjA5MTEyMTAwMDBaMIGRMQswCQYDVQQGEwJFRTEPMA0GA1UEChMGRVNURUlE
MRcwFQYDVQQLEw5hdXRoZW50aWNhdGlvbjEhMB8GA1UEAxMYT09MQkVSRyxJTVJF
LDM3MDAzMjEyNzEzMRAwDgYDVQQEEwdPT0xCRVJHMQ0wCwYDVQQqEwRJTVJFMRQw
EgYDVQQFEwszNzAwMzIxMjcxMzCBnzANBgkqhkiG9w0BAQEFAAOBjQAwgYkCgYEA
3FR0AP2oX5NCs8+u/hNpnYWyB2eNrnWyG3JXsiqCo14uAaOVmMb82g73SRLPEnAG
yxU/GtRuKT7iOg4f+HTy9bGBaJp6/N9uH8MNtkOzoDppMn909Rm+OqIaHMQkskFC
Kd8X3deAtEwI/YektKKnPbFEZFfLxLKbxvB4WNhFbYECA1W7daOCATEwggEtMA4G
A1UdDwEB/wQEAwIEsDAdBgNVHSUEFjAUBggrBgEFBQcDAgYIKwYBBQUHAwQwPAYD
VR0fBDUwMzAxoC+gLYYraHR0cDovL3d3dy5zay5lZS9jcmxzL2VzdGVpZC9lc3Rl
aWQyMDA3LmNybDAgBgNVHREEGTAXgRVpbXJlLm9vbGJlcmdAZWVzdGkuZWUwUQYD
VR0gBEowSDBGBgsrBgEEAc4fAQEBATA3MBIGCCsGAQUFBwICMAYaBG5vbmUwIQYI
KwYBBQUHAgEWFWh0dHA6Ly93d3cuc2suZWUvY3BzLzAfBgNVHSMEGDAWgBRIBt6+
jIdXlYB4Y/qcIysroDoYdTAdBgNVHQ4EFgQUvIL+20MDRof3J9Avt6Z3d1obuAUw
CQYDVR0TBAIwADANBgkqhkiG9w0BAQUFAAOCAQEAajU/cJ7zVocAkJDgIrV8gXn3
hZ9CM5k1/W3GVEEXqkdTHU/clW5D14PmC+f2a7rN2FxJ3bQuxU/xB6W4xKDZ9fys
Y31lGxpPHIsHwqaPl93l1u3iaMo9835yMVfiZOi0Iq2y0ZlnPwVAOjWNUzMwikdj
1ElhnHacFc4NrevOqgaOZIN2A1DIDgxMXLiR8PAHlPSnK8cXnClRXgcIT3p4OPYy
rH6z7z5vZN4059dNaqZqVg5rlVrLS5/T+sK8PHxYcO+SKDZYobddJIv6i2XlpVAQ
LgkChEiXI2Bd3AMfpwfVbAjDsHXasblBtut7k1MItT3YLaNZ/xq9BY/B7afXqg==
-----END CERTIFICATE-----

Selle sertifikaadi sisu arusaadavamale kujule viimiseks tuleb öelda

# pkcs15-tool -r 01 > imreoolberg-autentimise-sertifikaat.pub
# openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -text
Certificate:
Data:
Version: 3 (0x2)
Serial Number: 1216622952 (0x48843168)
Signature Algorithm: sha1WithRSAEncryption
Issuer: C=EE, O=AS Sertifitseerimiskeskus, OU=ESTEID, CN=ESTEID-SK 2007
Validity
Not Before: Jul 21 06:49:12 2008 GMT
Not After : Sep 11 21:00:00 2012 GMT
Subject: C=EE, O=ESTEID, OU=authentication, CN=OOLBERG,IMRE,37003212713, SN=OOLBERG, GN=IMRE/serialNumber=37003212713
Subject Public Key Info:
Public Key Algorithm: rsaEncryption
RSA Public Key: (1024 bit)
Modulus (1024 bit):
..

Sertifikaadist saab küsida ka üksikuid elemente, nt Subject'i, mis näitab kellele on sertifikaat väljastatud

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -subject
subject= /C=EE/O=ESTEID/OU=authentication/CN=OOLBERG,IMRE,37003212713/SN=OOLBERG/GN=IMRE/serialNumber=37003212713

või Issuer'i, mis näitab, kes sertifikaadi väljastas

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -issuer
issuer= /C=EE/O=AS Sertifitseerimiskeskus/OU=ESTEID/CN=ESTEID-SK 2007

või ajavahemiku, mil sertifikaat kehtib

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -dates
notBefore=Jul 21 06:49:12 2008 GMT
notAfter=Sep 11 21:00:00 2012 GMT

Lisaks sertifikaatidele ja võtmetele sisaldab veel andmeid id kaardi nö elektroolilises osas, nt dokumendi number. Seda ja muid andmeid saab küsides nn dump'i

# pkcs15-tool -D -r 01
Using reader with a card: SCM SCR 331 [CCID Interface] (504005BE) 00 00
..
PKCS#15 Card [IMRE OOLBERG]:
Version : 2
Serial number : A0055799
Manufacturer ID: AS Sertifitseerimiskeskus
Flags : Read-only, PRN generation, EID compliant
...

Kui arvutis on kasutusel mitu ID kaarti, siis saab kontrollida millisega tegeledakse parameetri abil

--reader N

===Iceweasel brauseri kasutamine===

Iceweasel brauseri abil on iseenesest võimalik kahe tegevuse sooritamine

* autentimine - kasutaja kinnitab teenusele, nt veebiportaalile, et tema kasutuses on tema autentimise sertifikaadis sisalduvale avalikule võtmele vastav salajane võti
* digitaalne allkirjastamine - kastutaja kinnitab teenusele, nt pangaülekande sooritamisel, et tema kasutuses on tema allkirjastamise sertifikaadis sisalduvale avalikule võtmele vastav salajane võti

Kuivõrd teenuse jaoks on praktiliselt oluline, et kasutaja kinnitaks sertifikaadile vastava salajase võtme olemasolu PIN koodi sisestamise teel, siis siit järeldub, et tuleb hoolega hoida ID-kaarti ning ID-kaardi PIN koode enda teada.

Brauseri tööleseadmine autentimiseks on lihtsam ning allkirjastamiseks keerulisem. Tundub, et praktiliselt on 2009 klienditarkvara ja nende teenuste tarkvara, mida saab Iceweaseliga kasutada seis selline, et Iceweasel brauser iseseisvalt ei tegele andmete allkirjastamisega; allkirjastamine toimub nt Java appleti abil, kusjuures applet küsib kasutajalt allkirjastamiseks vajalikku PIN2 koodi. Seda arvestades on soovitav kasutada turvaseadme kirjeldamisel spetsiaalselt ettevalmistatud teeki onepin-opensc-pkcs11.so, mis efektiivselt varjab brauseri eest ära teise sertifikaadi, kui seda mitte teha, siis praktililiselt hakkab brauser kasutajalt küsima ise vaheldumisi mõlema sertifikaadi PIN koodi ja see oleks üsna eksitav.

Brauseri ID-kaardiga kasutamise ettevalmistamiseks tuleb avada

Edit -> Preferences -> Advanced -> Encryption -> Security Devices -> Load

ning kirjeldada Eesti ID-kaardile vastav turvaseade (ingl. k. security device)

Module Name: esteid
Module filename: /usr/lib/onepin-opensc-pkcs11.so

Sõltuvalt sellest, kas soovitakse, et peale PIN1 sisestamist küsiks brauser kasutajalt igal ID-kaardiga autentimise korral kinnitust või mitte tuleb valida

* Select one automatically
* Ask me every time

[[Pilt:Id-auth-cc.gif]]

====Iceweasel brauseri kasutamine autentimiseks====

Auntentimiseks piisab turvaseadme ettevalmistamisest ning seejärel saab näiteks logida sisse riigiportaali, küsitakse PIN1 koodi

[[Pilt:Id-auth-java-pin1.gif]]

====Iceweasel brauseri kasutamine allkirjastamiseks====

Nt SEB pangas makset sooritades toimub digitaal-allkirjastamise protseduur; ja https://digidoc.sk.ee/ või riigiportaali eesti.ee kasutamisel saab moodustada uut digitaalselt allkirjastatud dokumenti või kontrollida olemasoleval digitaalselt allkirjastatud dokumendil allkirja kehtivust. Osa kasutajaid suhtub veebiliidese kaudu dokumentide allkirjastamisse äärmiselt kahtlustavalt, kuna kui juba lokaalse rakendusega digitaalallkirja andmisel ei saa olla täiesti kindel, millele ikkagi allkiri antakse, siis veebirakenduse puhul on see veel eriti nii.

Iceweasel brauseriga allkirjastamiseks peab olema paigaldatud Mozilla Sun Java plugini tarkvara pakett (millega koos paigaldatakse vajadusel ka JVM, kusjuures on oluline kasutada justnimelt Sun Java mitte IBM või GCJ implementatsioone)

# apt-get install sun-java5-plugin

Ning lisaks kopeerida teek

# mkdir /tmp/teek && cd /tmp/teek
# wget http://ideelabor.ee/downloads/pkcs11wrapper-linux.tar.gz
# tar zxf pkcs11wrapper-linux.tar.gz
# find . -type f -ls
442489 104 -rwxr-xr-x 1 501 501 99004 Apr 23 2004 ./libpkcs11wrapper.so

Seejärel tuleb otsida üles arvutist JVM kataloog

# find /usr -type f -name java -ls
173534 68 -rwxr-xr-x 1 root root 65116 May 28 2008 /usr/lib/jvm/java-1.5.0-sun-1.5.0.16/jre/bin/java

mis tähendab, et

JAVA_HOME=/usr/lib/jvm/java-1.5.0-sun-1.5.0.16

Lõpuks tuleb kopeerida lahtipakitud teek kataloogi ${JAVA_HOME}/jre/lib/i386

# cp libpkcs11wrapper.so /usr/lib/jvm/java-1.5.0-sun-1.5.0.16/jre/lib/i386

Lisaks peavad olema lingid, esimene on vajalik digidoc portaali kasutamiseks ja teine SEB pangas

# ln -s /usr/lib/opensc-pkcs11.so /usr/lib/libopensc-pkcs11.so
# ln -s /usr/lib/opensc-pkcs11.so /usr/lib/libesteid-pkcs11.so

NB! Java tarkvara uuendamisel mõnel juhul muutub ka versiooni number nii, et muutub java asukoht failisüsteemis, nt

/usr/lib/jvm/java-1.5.0-sun-1.5.0.16 -> /usr/lib/jvm/java-1.5.0-sun-1.5.0.17

Sel juhul tuleb libpkcs11wrapper.so kopeerida samasse alamkataloogi kuhu ennegi uue java kataloogi sisse.

Kui süsteemi on paigaldatud lisaks mõni uuem java versioon, nt paketist sun-java6-*, siis tuleb kõnealune wrapper kopeerida kõige uuema Java vastavasse kataloogi, nt

# cp libpkcs11wrapper.so /usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/i386/

=====Allkirjastamine SEB pangas=====

Peale panga keskkonda sisselogimist (kas otseselt või läbi mõne muu teenusepakkuja, nt www.if.ee, www.energia.ee jt) ning maksekorralduse ettevalmistamist esitatakse allkirja andmise juurde esmakordsel minemisel küsimus rakenduse usaldusväärsuse kohta

[[Pilt:Id-allkiri-java-pin4.gif]]

ja seejärel tuleb ära oodata pisut eksitav tühi aken, kus tuleb valida Cancel

[[Pilt:Id-allkiri-java-pin3.gif]]

ning seejärel valides Allkirjasta öeldakse, et loetakse andmeid kiipkaardilt ning küsitakse PIN2 koodi

[[Pilt:Id-allkiri-java-pin2.gif]]

Allkirjastamise ajal töötab java rakendus sun.plugin2.main.client.PluginMain

$ ps aux | grep java
mart 6859 10.1 4.7 242668 48832 ? Sl 10:55 0:04 /usr/lib/jvm/java-6-sun-1.6.0.12/jre/bin/java -D__jvm_launched=5951554477 \
-Xbootclasspath/a:/usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/deploy.jar:/usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/javaws.jar:\
/usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/plugin.jar -Djava.class.path=/usr/lib/jvm/java-6-sun-1.6.0.12/jre/classes \
sun.plugin2.main.client.PluginMain write_pipe_name=/tmp/.com.sun.deploy.net.socket.5659.2862701817965363267.AF_UNIX

=====Allkirjastamine Sertifitseerimiskeskuse digidoc.sk.ee portaalis=====

https://digidoc.sk.ee/ portaal võimaldab veebipõhises keskkonnas sooritada digitaalallkirjastamisega seotud protseduure, nt anda allkirja, kontrollida allkirja ja jagada sama dokumenti teiste portaali kasutajatega selleks, et ühte dokumenti saaks allkirjastada mitu osapoolt. Portaali sisenemisel avaneb kasutuskeskkonnale sarnane vaade, süsteemi on laaditud kaks dokumenti, ühel on üks allkiri ja teisel ei ole ühtegi allkirja

[[Pilt:Digidoc-1.gif]]

Keskkonna kasutamine võiks toimuda suhteliselt intuatiivselt, dokumenti allkirjastamisel tuleb täita sarnased lahtrid nagu nn lokaalset digidoc klienti kasutades

[[Pilt:Digidoc-2.gif]]

Allkirjastamisel küsitakse kasutajalt PIN2 koodi

[[Pilt:Digidoc-3.gif]]

https://digidoc.sk.ee/ keskkonnas ei saa tegeleda krüptitud dokumentidega ehk nn .cdoc failidega.

=====Allkirjastamine riigiportaalis www.eesti.ee=====

Aadressil https://www.eesti.ee/ asuvas riigiportaalis sektsioonis

Kodanikule -> Digitaalallkiri

saab veebipõhises keskkonnas sooritada digitaalallkirjastamisega seotud protseduure, nt anda allkirja, kontrollida allkirja ja jagada sama dokumenti teiste portaali kasutajatega selleks, et ühte dokumenti saaks allkirjastada mitu osapoolt.

Portaali Digiallkirja sektsiooni sisenemisel avaneb kasutuskeskkonnale sarnane vaade, süsteemi on laaditud kaks dokumenti, ühel on üks allkiri ja teisel ei ole ühtegi allkirja

[[Pilt:Riigiportaal-digiallkiri-1.gif]]

Keskkonna kasutamine võiks toimuda suhteliselt intuatiivselt, dokumendi allkirjastamisel tuleb täita sarnased lahtrid nagu nn lokaalset digidoc klienti kasutades, PIN2 sisestamine toimub Java appleti abil, sarnaselt

[[Pilt:Riigiportaal-digiallkiri-2.gif]]

Riigiportaalis ei saa tegeleda krüptitud dokumentidega ehk nn .cdoc failidega.

===Icedove postikliendi kasutamine===

Lisaks nö tavalistele e-kirjadele on võimalik moodustada spetsiaalsete lisaomadustega kirju

* allkirjastatud kiri - kirja saatja moodustab allkirja oma salajase võtmega; kirja saaja saab olla kindel, et kiri on saadetud just selle kasutaja poolt kelle sertifikaadi (avaliku võtme) abil õnnestub kirja autentsust kontrollida; kirja sisu on kõigile avalik, kuid kirjale on nö attachmentiga sarnaselt juurde digitaalse allkirja osa; oluline erinevus nö .ddoc allkirjastamisest on, et reeglina ei kasutata seejuures Sertifitseerimiskeskusest saadud kehtivuskinnitust
* krüptitud kiri - kirja saatja krüptib kirja adressaadi avaliku võtmega (sertifikaadiga); kirja saatja saab olla kindel, et mitte keegi peale selle kasutaja, kelle kasutuses on vastav salajane võti saab kirja sisuga tutvuda

Tuleb arvestada, et eposti allkirjastamine ja krüptimine omab tähendust ainult epostiga tegelemisel ning kuigi see tehnika pakub võimaluse täiendava turvalisuse saavutamiseks ei ole tegu Eesti Vabariigi seaduse mõttes kehtiva digitaalselt allkirjastatud dokumendiga juba seetõttu, et mõlemal juhul kasutatakse autentimise sertifikaati.

Kirja krüptimisel ei ole see tingimata oluline, aga allkirjastamiseks Eesti ID-kaardil asuva autentimise sertifikaadile vastava salajase võtmega eeltingimuseks on, et kasutaja on oma postiprogrammis kirjeldanud tema sertifikaadil leiduva postiaadressiga seotud konto. Sertifikaadile märgitud postiaadressi saab küsida sertifikaadilt öeldes

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -email
imre.oolberg@eesti.ee

Iceweasel programmi ID-kaardiga kasutamise ettevalmistamiseks tuleb avada

Edit -> Preferences -> Advanced -> Certificates -> Security devices -> Load

ning kirjeldada Eesti ID-kaardile vastava turvaseade (ingl. k. security device)

Module Name: esteid
Module filename: /usr/lib/onepin-opensc-pkcs11.so

Lisaks tuleb laadida Icedove'i SK juursertifikaat, ESTEID-SK ja ESTEID-SK 2007 sertifikaadid, mis saab kopeerida http://www.sk.ee/ (Avaleht -> Sertifitseerimine -> Baasinfo -> Juursertifikaadid) veebikohast

Edit -> Preferences -> Advanced -> Certificates -> View Certificates -> Authorities -> Import

Kusjuures tuleb kindlasti vastata jaatavalt küsimusele, et neid usaldatakse eposti jaoks kasutamiseks

[[Pilt:Id-sign-0.gif]]

Seejärel tuleb Icedove'is seoses nn @eesti.ee aadressiga, nt imre.oolberg@eesti.ee, kirjeldatud konto juures näidata, milliseid sertifikaate kasutatakse eposti allkirjastamise ning krüptimise juures, valida ülemine Select (Digital Signing)

[[Pilt:Id-sign-1.gif]]

Peale PIN1 koodi sisestamist esitab arvuti valitud sertifikaadi andmed

[[Pilt:Id-sign-2.gif]]

Valides järgmisena Encryption juures Select küsib arvuti, kas ma soovin kasutada sama sertifikaati (õigemini sama sertifikaadiga seotud salajast võtit) teiste kasutajate poolt mulle saadetud krüptitud kirjade (mis on krüptitud minu avaliku võtmega) lahtikürptimiseks, sobib vastata jaatavalt.

====Icedove postikliendi kasutamine eposti allkirjastamiseks====

Kirja saatmine toimub tavapäraselt ainukese erinevusega, et enne kirja saatmist tuleb valida Security alt

Digitally Sign This Message

[[Pilt:Id-sign-3-1.gif]]

Kirja saajal peab olema postiprogrammi laaditud vähemalt SK juursertifikaat (sellest piisab allkirja kontrollimiseks, sest signatuur sisaldab ka allkirjastaja sertifikaati ning ahelat SK juursertifikaadini ja brauseris oleva SK juursertifikaadiga saab seega tuvastada kasutaja allkirja kehtivust) abil ning kiri pasitab sellisena

[[Pilt:Id-sign-3-2.gif]]

Messsage Security aken avaneb vajutades programmiakna paremas servas asuvale kollane-punane värvi ümbriku kujutisele ja ütleb, et vaatlusalune kiri on allkirjastatud (ingl. k. signed) ning allkiri (ingl. k. signature) on kehtiv. St kirja saaja saab olla kindel, et kiri on saadetud selle poolt, kelle kasutada on allkirja kontrollimisel kasutatud sertifikaadile vastav salajane võti.

====Icedove postikliendi kasutamine eposti krüptimiseks====

Eposti krüptimine toimub adressaadi Eesti ID-kaardi autentimise avaliku võtmega, mis tähendab, et keegi teine peale vastava salajase võtme valdaja ei saa sõnumi teksti sisuga tutvuda. Kirja saatmisel tuleb valida

Security -> Encrypt This Message

[[Pilt:Id-sign-3-3.gif]]

Kirja lugemisel peab olema võimalik kasutada ID-kaarti ning tulemus võiks paista sarnane

[[Pilt:Id-sign-3-4.gif]]

Security Message aken avaneb vajutades programmiakna paremas servas asuvale tabaluku kujutisele ja ütleb, et kiri on krüptitud ning selle sisuga on peale adressaadi teistel kasutajatel ülimalt raske tutvuda.

Kui krüptitud kirja adressaadil on ID-kaardi kasutamine seadistamata, siis esitab programm kasutajale veateadet

Icedove cannot decrypt this message

The sender encrypted this message to you using one of your digital certificates, however Icedove was not able to find
this certificate and corresponding private key.

Possible solutions:

* If you have a smartcard, please insert it now.
* If you are using a new machine, or if you are using a new Icedove profile, you will need to restore your certificate
and private key from a backup. Certificate backups usually end in ".p12".

Krüptimisel tuleb arvestada, et kirja päised sh Message-ID, Date, From, To, Subject jt ei ole krüptitud

..
Message-ID: <49B277C9.8010303@eesti.ee>
Date: Sat, 07 Mar 2009 15:34:01 +0200
From: Imre Oolberg <imre.oolberg@eesti.ee>
User-Agent: Mozilla-Thunderbird 2.0.0.19 (X11/20090103)
MIME-Version: 1.0
To: imre.oolberg@eesti.ee
Subject: eesti muld ja eesti =?ISO-8859-1?Q?s=FCda?=
Content-Type: application/x-pkcs7-mime; name="smime.p7m"
Content-Transfer-Encoding: base64
Content-Disposition: attachment; filename="smime.p7m"
Content-Description: S/MIME Encrypted Message

MIAGCSqGSIb3DQEHA6CAMIACAQAxgf0wgfoCAQAwYzBbMQswCQYDVQQGEwJFRTEiMCAGA1UE
ChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMGRVNURUlEMRcwFQYDVQQD
Ew5FU1RFSUQtU0sgMjAwNwIESIQxaDANBgkqhkiG9w0BAQEFAASBgB4isztO9MjE1ZQUzA7e
U1E0YTQZF0nIW4b46Nn/Be+DtUgzZWyZjgln4YxqQ7vDWPJiFNJTqdLjNCPGb6WEJ7ddZJGp
hM/z+tyCNHrXP6DbvjtmF9qJ9WgvyiqHyQMr8FKRCnLdcj70G+N0EzFnsMq4QsvLi6PHaE7v
rWGWq1ynMIAGCSqGSIb3DQEHATAUBggqhkiG9w0DBwQInoBpNLI3/IOggASCAijikH35Tqn9
..

====Teiste kasutajate sertifikaatide kasutamine====

Selleks, et

* saata teisele @eesti.ee postisüsteemi kasutajale krüptitud kirja
* kontrollida teise @eesti.ee postisüsteemi kasutaja poolt saadetud allkirjastatud kirja allkirja

peab olema Icedove'i laaditud teise kasutaja avalik võti, mis esineb nn autentimise sertifikaadi kujul. Selleks tuleb teades kasutaja isikukoodi kopeerida sertifikaadid ldap.sk.ee serverist, nt

$ ldapsearch -LLL -H ldap://ldap.sk.ee -x -b "c=EE" "(serialNumber=37003212713)"

Salvestada esimesele sertifikaadile vastav tekstiosa st

...
userCertificate;binary:: MIID2jCCAsKgAwIBAgIESIQxaTANBgkqhkiG9w0BAQUFADBbMQswC
..
cOXVX08WgFeVtlH1S6AeDIuY1i/EIngiAUV
....

tekstifaili, alates MIID2.. osast, tekstifail peab algama ja lõppema spetsiaalse tunnusega, kokku peab saama sarnane fail

-----BEGIN CERTIFICATE-----
MIID2jCCAsKgAwIBAgIESIQxaTANBgkqhkiG9w0BAQUFADBbMQswC
..
cOXVX08WgFeVtlH1S6AeDIuY1i/EIngiAUV
-----END CERTIFICATE-----

Ning see fail tuleb laadida Icedove'i valides

Edit -> Preferences -> Advanced -> Certificates -> View Certificates -> Other People's -> Import

Seejärel saab saada sertifikaadis näidatud eposti aadressile krüptitud posti ning samuti kontrollida selle kasutaja poolt allkirjastatud eposti signatuuri.

Kui on võimalik, siis saab teise kasutaja isikutuvastuse sertifikaadi postiklienti laadimiseks kasutada ka lihtsamat protseduuri. Nimelt, piisab kui teine kasutaja saadab esmalt signeeritud kirja ning see kiri postikliendiga avada. Sel juhul salvestatakse sertifikaat automaaselt postikliendi Other people's sertifikaatide hoidlasse.

Üldiselt võib üks ja sama kiri olla samaaegselt nii signeeritud kui ka krüptitud.

===@eesti.ee aadresside kasutamine===

Kuna Eesti ID-kaardi autentimise sertifikaadile vastava avaliku võtmega kürptitud kirju saab saata tingimusel, et adressaadiks on sertifikaadis esitatud aadress, mis on kujul

eesnimi.perekonnanimi@eesti.ee

või kui sama ees-ja perekonnanimega kasutajaid oma rohkem kui üks, siis järgmistele aadressidele on perekonnanime järele lisatud arv

eesnimi.perekonnanimi.1@eesti.ee

siis oleks hea kui sellistele aadressidele saadetud kirjad mugavasti adressaadi postkasti jõuaksid.

Käesolev asjakorraldus võimaldab Eesti ID-kaardi omanikel aadressil http://www.eesti.ee/ asuvas riigiportaalis seadistada, kuhu tema @eesti.ee aadressile saadetud kirjad edasi saadetakse. Tavaliselt on selleks nt mail.ee, gmail.com vms teenusepakkuja postkastiga seotud eposti aadress.

Kuigi tehniliselt teeb @eesti.ee aadressi kasutamine mugavaks signeeritud ja krüptitud kirjade vahetamise, töötab see ka nö tavaliste kirjade puhul.

Kusjuures varasemal ajal on kasutatud ID-kaardi autentimise sertifikaadis ka aadressi kujul, kus nnnn on neljakohaline arv

eesnimi.perekonnanimi_nnnn@eesti.ee

Lisaks, @eesti.ee postisüsteem võimaldab seadistada kasutajal omale edasisuunamise aadressi aadressile

isikukood@eesti.ee

kuid kuna see aadress ei esine sertifikaadis, siis ei ole võimalik seda kasutada eposti allkirjastamisel ega krüptimisel.

===Sertifikaadi kehtivuse kontrollimine===

Avaliku võtme infrastruktuuri üheks ülesandeks on hallata kasutajate sertifikaate sh mitmetel põhjusel sertifikaat kehtetuks kuulutada. Seega, sertifikaadi kasutamisel on oluline kontrollida, kas sertifikaat kasutamise ajal kehtib, seda saab teha SK OCSP (Online Certificate Status Protocol) abil öeldes

$ openssl ocsp -issuer esteid.pem -cert idkaardiltsert.pem -url http://ocsp.sk.ee -noverify -text
OCSP Request Data:
Version: 1 (0x0)
Requestor List:
Certificate ID:
Hash Algorithm: sha1
Issuer Name Hash: 4508A41C355C0A72485FE2DF7B6A6788C6A55022
Issuer Key Hash: 4806DEBE8C875795807863FA9C232B2BA03A1875
Serial Number: 48843168
Request Extensions:
OCSP Nonce:
0410090A1FA4F0555E82C1DFB4722FC61696
OCSP Response Data:
OCSP Response Status: successful (0x0)
Response Type: Basic OCSP Response
Version: 1 (0x0)
Responder Id: C = EE, O = ESTEID, OU = OCSP, CN = ESTEID-SK 2007 OCSP RESPONDER, emailAddress = pki@sk.ee
Produced At: Oct 7 22:15:36 2008 GMT
Responses:
Certificate ID:
Hash Algorithm: sha1
Issuer Name Hash: 4508A41C355C0A72485FE2DF7B6A6788C6A55022
Issuer Key Hash: 4806DEBE8C875795807863FA9C232B2BA03A1875
Serial Number: 48843168
Cert Status: good
This Update: Oct 7 22:15:36 2008 GMT

Response Extensions:
OCSP Nonce:
0410090A1FA4F0555E82C1DFB4722FC61696
cert.pem: good
This Update: Oct 7 22:15:36 2008 GMT

Kus esteid.pem sertifikaadi saab kopeerida SK veebikohast.

===ID-kaardi kasutamine chroot keskkonnast===

Märkus: 20090314 stabiilne Debian Lenny sisaldab sun-java6-plugin paketti.

Üks praktiline vajadus kasutada ID-kaarti chroot programmiga moodustatud chroot keskkonnast oleks 64 bit Debiani operatsioonisüsteemis kasutada 32 bit Iceweaselit'i. Põhjusel, et 32 bit arhitektuurile on olemas Iceweaseli java plugin (pakett sun-java6-plugin), aga 64 bitile seda 2008 aastal pole. Omakorda on java vajalik, et saaks nt SEB pangas allkirjastada st sooritada ülekannet.

Tundub, et kui arvutile külge ühendatud ID-kaarti on tarvis kasutada chroot käsu abil moodustatud chroot keskkonnast, siis tuleb öelda (pcscd deemon töötab nn absoluutses arvutis)

# mount --bind /var/run/pcscd /srv/arvuti-32/var/run/pcscd

ning seejärel tuleb käivitada iceweasel nt selliselt läbi sudo

$ sudo /usr/sbin/chroot /srv/arvuti-32 iceweasel

Selleks, et chroot keskkonnas käivitatud iceweasel saaks näidata oma pilti X serverile tuleb xhost käsuga kaasa aidata, nt öelda

$ xhost +iceweaseliarvutinimi

kusjuures ilma argumentideta xhost näitab, millistest arvutitest on võimalik X serveri poole pöörduda.

Kirjeldatud asjakorralduse puhul ei ole tarvis chroot keskkonda ühendada külge mingeid muid failisüsteeme (nt /proc, /sys) ega käivitada seal deemoneid pcscd vms.

Sudo töötamiseks on vajalik omakorda sellist sisu /etc/sudoers faili

User_Alias CHROOT_USERS = mart
Cmnd_Alias CHROOT_CMD = /usr/sbin/chroot
Host_Alias MORAAL = arvuti
CHROOT_USERS MORAAL = (root) NOPASSWD: CHROOT_CMD

Milliseid turvariske selline asjakorraldus tema jaoks toob peab iga kasutaja ise hindama, eriti seoses X serverile ligipääsemisega kus on avatud ID-kaarti kasutav rakendus.

===ID-kaardi kasutamine konsoolilt arvutisse sisselogimiseks===

Arvutisse sisselogimise kontrollimist on võimalik korraldada ID-kaardi isikutuvastuse sertifikaadiga. Ehk täpsemini, sisselogimisel peab kasutaja tõendama, et ta saab kasutada isikutuvastuse sertifikaadile vastavat salajast võtit ja seda ta teeb PIN1 koodi sisestamise teel.

Tööleseadistatud süsteemi kasutamine näeb välja mitte-graafilise konsooli (tõenäoliselt mingi getty) kasutamisel selliselt, tulemusena on kasutaja süsteemi sisse loginud, nt juurkasutaja

Debian GNU/Linux 5.0 arvutinimi tty4

arvutinimi login: root
Please insert your smart card or enter your username.
Smart card inserted.
Welcome to ID-kaart (PIN1, Isikutuvastus)!
Smart card password:
...

bash#

Sellise asjakorralduse tööleseadmiseks tuleb üldiselt ID-kaart arvutiga ära ühendada nii nagu on ülal punktis 'Kaardilugeja ühendamine operatsioonisüsteemiga' kirjeldatud ning seejärel

* seadistada sisselogimise kontrolli süsteemne osa
* seadistada sisselogimise kontrolli kasutajaspetsiifiline osa

====Süsteemi ettevalmistamine====

Süsteemi ettevalmistamiseks tuleb lisaks paigaldada pakett libpam-pkcs11

# apt-get install libpam-pkcs11

Seejärel moodustada kataloog /etc/pam_pkcs11, sinna näidise eeskujul seadistusfail

# mkdir /etc/pam_pkcs11
# zcat /usr/share/doc/libpam-pkcs11/examples/pam_pkcs11.conf.gz > /etc/pam_pkcs11/pam_pkcs11.conf
# zcat /usr/share/doc/libpam-pkcs11/examples/pam_pkcs11.conf.gz > /etc/pam_pkcs11/pam_pkcs11.conf-orig

ja teha seadistusfailis sellised muudatused

# diff pam_pkcs11.conf pam_pkcs11.conf-orig
85,86c85
< # module = /usr/lib/pam_pkcs11/pkcs11_module.so;
< module = /usr/lib/opensc-pkcs11.so;
---
> module = /usr/lib/pam_pkcs11/pkcs11_module.so;
116c115
< use_mappers = opensc, digest, cn, pwent, uid, mail, subject, null;
---
> use_mappers = digest, cn, pwent, uid, mail, subject, null;
122,123c121
< # mapper_search_path = /usr/lib/pam_pkcs11;
< mapper_search_path = /lib/pam_pkcs11;
---
> mapper_search_path = /usr/lib/pam_pkcs11;
160,161c158
< # module = /usr/lib/pam_pkcs11/opensc_mapper.so;
< module = /lib/pam_pkcs11/opensc_mapper.so
---
> module = /usr/lib/pam_pkcs11/opensc_mapper.so;

SK sertifikaatide kopeerimine ja nn hash linkide moodustmine toimub selliselt (eeldusel, et kasutaja isikutuvastuse sertifikaat on antud välja ESTEID-SK 2007 sertifikaadi suhtes)

# mkdir /etc/pam_pkcs11/cacerts
# cd /etc/pam_pkcs11/cacerts
# wget http://www.sk.ee/files/JUUR-SK.PEM.cer -O JUUR-SK.PEM.pem
# wget http://www.sk.ee/files/ESTEID-SK%202007.PEM.cer -O ESTEID-SK%202007.PEM.pem
# c_rehash .

Tulemus

# find . -ls
183909 4 drwxr-xr-x 2 root root 4096 Mar 15 12:28 .
183911 4 -rw-r--r-- 1 root root 1404 Jan 3 2007 ./ESTEID-SK\ 2007.PEM.pem
183910 4 -rw-r--r-- 1 root root 1790 Feb 6 2006 ./JUUR-SK.PEM.pem
183913 0 lrwxrwxrwx 1 root root 15 Mar 15 12:28 ./119afc2e.0 -> JUUR-SK.PEM.pem
183912 0 lrwxrwxrwx 1 root root 22 Mar 15 12:28 ./590f5e9e.0 -> ESTEID-SK\ 2007.PEM.pem

Lõpuks tuleb kirjeldada PAM mooduli seadistusfailis uus autentimisviis lisades faili /etc/pam.d/common-auth juurde esimeseks reaks

auth sufficient pam_pkcs11.so nullok

====Kasutajakeskkonna ettevalmistamine====

Selleks, et konktreene kasutaja, nt juurkasutaja saaks süsteemi siseneda tuleb moodustada kataloog

# mkdir /root/.eid

ning kopeerida ID-kaardilt isikutuvastuse sertifikaat faili /root/.eid/authorized_certificates

# pkcs15-tool -r 01 > /root/.eid/authorized_certificates

===Eesti ID-kaardi kasutamine OpenVPN lahendusega===

OpenVPN pala tekstis http://kuutorvaja.eenet.ee/wiki/OpenVPN_ja_Eesti_ID-kaardi_kasutamine on kirjeldatud, kuidas kasutada Eesti ID-kaarti VPN kasutajate autentimiseks.

===Eesti ID-kaardi kasutamine GnuPG-2 tarkvaraga===

Märkmed Eesti ID-kaardi võimalikust kasutamisest GnuPG-2 tarkvaraga, mis kahjuks ei vii tulemuseni, aga võimalik, et ühel päeval viivad, http://kuutorvaja.eenet.ee/wiki/GnuPG_kasutamine_Debianiga#Eesti_ID-kaardi_kasutamine_GnuPG-2_tarkvaraga

===ID-kaardi koodide muutmine===

ID-kaardi isikutuvastuse ja allkirjastamise võtmete kasutamist kaitstakse koodidega, vastavalt PIN1 ja PIN2 koodid. Lisaks on kasutusel PUK kood, mille abil saab PIN1 ja PIN2 koodi vajadusel muuta, näiteks kui mõni PIN kood on saanud teatavaks kellelegi teisele või mõni PIN kood on ära ununenud. Kui sooritada kolm järjestikulist ebaõnnestunud koodi sisestamist, siis ligipääs kõnelusele salajasele võtmele lukustatakse, st et enne kui seda saab uuesti kasutada, tuleb ligipääs võtmele PUK koodi abil lahti lukustada.

ID-kaardi PIN koodide lahtilukustamiseks sobib kasutada pkcs15-tool utiliiti, nt öelda PIN 1 koodi lahtilukustamiseks

# pkcs15-tool --unblock-pin -a 1
Enter PUK [PIN1, Isikutuvastus]:
Enter new PIN [PIN1, Isikutuvastus]:
Enter new PIN again [PIN1, Isikutuvastus]:

Muud käsud:

PIN1 koodi muutmiseks

# pkcs15-tool --change-pin -a 1

PIN2 koodi muutmiseks

# pkcs15-tool --change-pin -a 2

PIN2 koodi lahtilukustamiseks

# pkcs15-tool --unblock-pin -a 2

PUK koodi muutmiseks

# pkcs15-tool --change-pin -a 3

Kui aga PUK kood on kadunud, siis saab ID-kaarti kasutada seni kuni pole tarvis PIN koode muuta, vastasel korral tuleb teeninduspunktist, nt pangas paluda paigaldada ID-kaardile uus nn ümbrik.

===e-valimistel osalemine===

e-valimistel osalemiseks tuleb valimiste veebikohta sisse logida ning kopeerida lokaalselt töötav rakendus. Kävitamisel paistab selline pilt

[[Pilt:Evalimised-2009-1.gif]]

===Mobiil-ID===

Mobiil-ID tehnika võimaldab kasutada mobiiltelefoni sarnaselt ID-kaardile, mobiil-ID toimimist on kirjeldatud aadressil http://www.id.ee/10958

===ID-kaardi rakenduste arendamine===

ID-kaardi rakenduste arendajale on Sertifitseerimiskeskus tekitanud projekti OpenXades aadressil http://www.openxades.org/

* saab testida id-kaardiga allkirjastamist vastu test digidocservice teenust (selleks tuleb üles laadida oma sertifikaadid)
* saab testida mobiil-id kaardi kasutamist (selleks tuleb üles laadida oma sertifikaadid)

===Eesti ID-kaardi tarkvara arendus 2009===

Smartlink arendab RIA tellimusel 2009 aastal Eesti ID-kaardi kasutamise tarkvara https://id.eesti.ee/idtrac/, mis sisaldab muu hulgas kasutaja töökohaarvutis kasutamiseks graafilise kasutajaliidesega programme

* qesteidutil - ID-kaardi haldamise tarkvara, sertifikaatide kehtivuse kontroll, PIN koodide muutmine, sertifikaatide uuendamine jms
* qdigidocclient - andmete allkirjastamine ja allkirjade kontrollimine, st nn .ddoc ja .bdoc failidega tegelemine
* qdigidoccrypto - andmete krüptimine teise ID-kaardi kasutaja avaliku võtmega, st .cdoc failidega tegelemine

Lisaks asendab Smartlink lahendus Debian Lenny nö ametlikust tarkvarast sellised paketid

* libopensc2 - OpenSC teek
* opensc - OpenSC utiliidid, kuigi selle paketi paigaldamine ei ole lõppkasutaja seisukohast tingimata vajalik (seal sisaldub nt pkcs15-tool utiliit)

2009 aasta juuli keskel on see selle tarkvara arendusetapp lõpule jõudmas ning praktiselt saab tarkvara võimalustega tutvuda ja tasakesi kasutada.

====Tarkvara paigaldamine====

Kõnealune lahendus kasutab eraldiseisvalt eksisteerivaid OpenSC teeke (pakett libopensc2, seadistusfail /etc/opensc/opensc.conf) ning PC/SC vahendeid (pakett pcscd), Eesti ID-kaardi tarkvara paigaldamiseks tuleb lisada /etc/apt/sources.list faili rida

deb ftp://ftp.smartlink.ee/pub/id/debian/ lenny main

usaldada Smartlinki repositooriumi Release faili võtit

# wget ftp://ftp.smartlink.ee/pub/id/apt-esteid-test.gpg.asc
# apt-key add apt-esteid-test.gpg.asc
OK

NB! 20090928 seisuga selle repo kasutamisel asendatakse Debian Lenny nö enda opensc jt teeke ära Smartlinki omadega ja tulemusena ID-kaarti ei saa kasutada, vähemalt mitte ilma vajalike muudatusteta.

Tarkvara paigaldamiseks tuleb öelda

# apt-get install qesteidutil qdigidoc

paigaldatakse neli kõnealuse arendusega seotud paketti ning vajadusel sõltuvustena ka OpenSC, PC/SC jm tarkvara

* qesteidutil - Eesti ID-kaardi haldusvahend qesteidutil
* qdigidoc - programmid qdigidocclient ja qdigidoccrypto
* libdigidoc2 - nn vana teek, käsurealt kasutatav utiliit cdigidoc
* libdigidocpp0 - nn uus teek

Tarkvara kasutamiseks tuleb OpenSC ja PC/SC seada käima nii nagu on käesoleva pala alguses punktis [[:Eesti ID-kaardi kasutamine Debianiga#Kaardilugeja ühendamine operatsioonisüsteemiga]] kirjeldatud.

====Eesti ID-kaardi haldusvahend====

Eesti ID kaardi haldusvahendi qesteidutil kasutamiseks tuleb käivitada programm, nt valides menüüst või XTerm aknas öeldes

$ qesteidutil

ning avaneb aken

[[Pilt:qesteidutil-1.gif]]

Kasutajaliideses esitatud pilt kopeeritakse riigiportaali www.eesti.ee süsteemi kaudu üle X-tee KMA andmekogust.

====Digidoc klient====

Qt teeke kasutava Digidoc kliendi qdigidocclient käivitamiseks tuleb käivitada programm nt valides menüüst või XTerm aknas öeldes

$ qdigidocclient

ning avaneb aken

[[Pilt:qdigidocclient-1.gif]]

Krüptimise utiliidi saab käivitada öeldes

$ qdigidoccrypto

ning avaneb pilt

[[Pilt:qdigidoccrypto-1.gif]]

Utiliit sisalab LDAP klienti, millega saab teades teise kasutaja isikukoodi kopeerida Sertifitseerimiskeskuse LDAP kataloogist tema isikutuvastuse sertifikaadi.

====cdigidoc utiliit====

Paketi libdigidoc2 koosseisus on utiliit cdigidoc, millega saab käsurealt DigiDoc failidega töötada, näiteks fail.cdoc lahtikrüptimiseks sobib öelda

$ cdigidoc -decrypt fail.cdoc PIN_KOOD -out fail.ddoc

Faili fail.ddoc seest esimene faili nimega sisufail.txt konteinerist välja kopeerimiseks sobib öelda

$ cdigidoc -extract D0 sisufail.txt -in fail.ddoc

Ilma argumentideta käsk väljastab abi

$ cdigidoc
USAGE: cdigidoc <command(s)> [-in <input-file>] [-out <output-file>] [-config <config-file>]
COMMANDS:
[-new] [format] [version]
-check-cert <-cerificate-file-name (PEM format)>
-add <file-name> <mime-type> [<content-type>] [<charset>]
-verify
-list
-sign <pin> [<manifest>] [<city> <state> <zip> <country>]
-extract <doc-id> <file-name> [<charset>] [<file-name-charset>]
-encrypt <file-name>
-encrecv <cert-file> [<recipient>] [<keyname>] [<carried-key-name>]
-decrypt <file-name> <pin1>
-denc-list <file-name>
-encrypt-file <in-file-name> <out-file-name> [<in-file-mime-type>]
-decrypt-file <in-file-name> <out-file-name> <pin1>
-calc-sign <cert-file> [<manifest>] [<city> <state> <zip> <country>]
-add-sign-value <sign-value-file> <sign-id>
-del-sign <sign-id>
-get-confirmation <sign-id>
OPTIONS:
-cgimode [<ouput-separator] - output in CGI mode
-SAX - use SAX parser
-XRDR - use XmlReader parser

====Märkused====

20090714 seisuga tehtud tähelepanekud

* programmidel puuduvad manuaalid (ingl. k. manpage) ning praktiliselt dokumentatsioon kataloogis /usr/share/doc/paketinimi
* paketihalduse nimekirjas esineb ka pakett qdigidoccrypto, mida asendab qdigidoc, kui qdigidoc* pakettide traditsioon alles algab, äkki siis see 'Replaces' eemaldada
* sõltuvustest ei paigaldata opensc paketti, mis iseenesest ei ole ka vajalik, vajalik on just libopensc2 teekide pakett
* q* programmide kasutamisel tuleb olla kannatlik, kuigi esmalt teatab programm, et 'Ei leitud ühtegi ID-kaarti' voi 'Kaarti pole lugejas', siis tegelikult võidakse tegeleda alles kaardi otsimisega ja mõne sekundi pärast on kõik korras ja saab jätkata programmi kasutamist
* q* programmide akendest ei saa alati hiirega teksti kopeerida
* paketi libopensc2 seadistusfailis /etc/opensc/opensc.conf võiks parameetri muudatus toimuda ehk debconf dialoogi abil pakkudes kasutajale sobivat vaikeväärtust

reader_drivers = openct, pcsc, ctapi; -> reader_drivers = pcsc, ctapi;

* IP aadressipõhisel ocsp teenusele ligipääsu puhul küsitakse 'Did not find any server access certificate! Start downloading?'
* Kas programmide töö lõpetamiseks on muid võimalusi peale akna sulgemise?

===Eesti ID kaardi tarkvara v. 3.8 kasutamine 2014 suvel===

Käesolevas punktis kirjeldatakse 2014 aasta suvel olemasolevate tarkvara komponentidega Eesti ID kaardi kasutamist (autentimist ja allkirjastamist)

* Debian testing (Jessie) operatsioonisüsteem (32 või 64 bit, tõenäoliselt sarnaselt toimub paigaldamine-seadistamine-kasutamine ka muude Debiani versioonide ja Linux distributsioonidega)
* Eesti ID kaardi tarkvara v. 3.8.0 Ubuntu v. 12.04 (Precise) paketid

Tulemusena saab

* Chrome brauseriga autentida ja allkirjastada
* ID kaardi haldusvahendiga pin koode hallata
* lokaalse DigiDoc kliendiga allkirjastada ja krüptida

Juhised kehtivad

* Chrome < v. 35 (tundub, et alates v. 35 on smart card autentimise tehnika oluliselt muutunud, väidetavalt Eesti ID kaardi tarkvara v. 3.9 teeb selle korda)
* OpenSC kuni 0.12 ja kaasa arvatud (0.13 juures puudub brauseri kasutamist abistav onepin teek)

====Tarkvara paigaldamine====

Eeldusel, et arvutis on töötav kasutajakeskkond (XCFE, Gnome vms) ning Chrome brauser versioon < 35, lisada süsteemi üldotstarbelised paketid

# apt-get install opensc pcscd libccid libnss3-tools apt-transport-https

Kuna onepin-opensc-pkcs11.so teek on vajalik, aga opensc v. 0.13 tarkvaras puudub ning see on nt Debian v. 7 Wheezy paketihalduses v. 0.12 juures olemas (ja tundub, et sobib kasutada), siis aitab lisada /etc/apt/sources.list faili Debian v. 7 Wheezy repositoorium

deb http://ftp.us.debian.org/debian/ wheezy main contrib non-free

ning öelda 0.12 versiooni paigaldamiseks (downgrade'iks)

# apt-get update
# apt-get install opensc=0.12.2-3

Lisaks tuleb Wheezy pakettidest paigaldada

# apt-get -t wheezy install libxml-security-c16

Eesti ID kaardi tarkvara paigaldamise ettevalmistamiseks laadida võti

# wget -O /tmp/ria-public.key https://installer.id.ee/media/install-scripts/ria-public.key
# apt-key add /tmp/ria-public.key

lisada /etc/apt/sources.list faili rida

deb https://installer.id.ee/media/ubuntu/ precise main

ja tarvkara paigaldamiseks öelda

# apt-get update
# apt-get install estonianidcard qesteidutil esteidcerts esteidfirefoxplugin

====ID kaardilugejaga suhtlemise kontrollimine====

Peale tarkvara paigaldamist ja eeldusel, et lugeja on arvutiga ühendatud saab öelda

# opensc-tool -l
# Detected readers (pcsc)
Nr. Card Features Name
0 Yes SCM Microsystems Inc. SCR 331 [CCID Interface] (504005BE) 00 00

Kui lisaks on ID kaart on lugejas saab öelda (jms pkcs15-tool käske)

# pkcs15-tool -c
Using reader with a card: SCM Microsystems Inc. SCR 331 [CCID Interface] (504005BE) 00 00
X.509 Certificate [Isikutuvastus]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeaace
ID : 01
Encoded serial : 02 10 3BF4F7CBE36A655050DC20A42E9EFBAA

X.509 Certificate [Allkirjastamine]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeddce
ID : 02
Encoded serial : 02 10 0D1864A01391996750DC20AC1BF2FDE5

====ID kaardi haldusvahend====

Peale tarkvara paigaldamist maksab esmalt veenduda, et id kaardilugeja riistvara on ära tuntud ja kaart on üldiselt ligipääsetav. Selleks käivitada ID kaardi haldusvahend ja peab nägema oma sertifikaadiandmeid.

Interneti kasutamise olemasolul saab Lae pilt valikuga küsida rahvastikuregistris olevat pilti.

====Chrome brauseriga autentimine ja allkirjastamine====

Esmalt tuleb kord brauser käivitada, et kasutaja kodukataloogi tekiksid vajalikud nn punktifailid (~/.pki), seejärel brauseri protsessid lõpetada st brauseri sulgeda ning öelda sama kasutajana

$ modutil -dbdir sql:$HOME/.pki/nssdb -delete opensc-pkcs11
$ modutil -dbdir sql:$HOME/.pki/nssdb -add opensc-pkcs11 -libfile onepin-opensc-pkcs11.so -mechanisms FRIENDLY

kus

* esimese käsu väljundiks on tõenäoliselt veateade kuna pole midagi kustutada
* teise käsu väljundiks

...
Module "opensc-pkcs11" added to database.

Seejärel tuleb Chrome pluginate settingutest aadressilt chrome://plugins (sisestada nii aadressreale) seadistada EstEID plugin

* Enabled
* Always Allowed

Tulemusena paistab selline pilt

[[Pilt:Chrome-esteid-2.gif]]

kust on näha, et kasutatakse paketis esteidfirefoxplugin olevat teeki

$ dpkg -S /usr/lib/mozilla/plugins/npesteid-firefox-plugin.so
esteidfirefoxplugin: /usr/lib/mozilla/plugins/npesteid-firefox-plugin.so

Autentimiseks sobib minna mõnda portaali, kus on võimaluda kasutaja autentmiseks ID kaardiga, nt https://www.eesti.ee/. Samas saab ka allkirjastada valides

Minu asjad -> Minu dokumendid

Katsetada sobib ka aadressil https://www.openxades.org/web_sign_demo/sign.html.

====Firefox/Iceweasel brauseriga autentimine ja allkirjastamine====

Kontrollida, et paketi esteidfirefoxplugin paigaldamisel tekkinud EstEID plugin on Always Activate olekus

about:addons -> Plugins -> EstEID plug-in -> More

ID kaardi kasutamiseks tuleb brauseri seadistustes kirjeldada onepin teek valides

Edit -> Preferences -> Advanced -> Certificates -> Security Devices -> Load

ja avanenud dialoogis sisestada nt

* Module name - EstEID
* Module filename - /usr/lib/x86_64-linux-gnu/onepin-opensc-pkcs11.so

kus mooduli asukoht failisüsteemis sõltub arhitektuurist jms natuke, find leiab üles

$ find /usr/ -name onepin\*
/usr/lib/x86_64-linux-gnu/onepin-opensc-pkcs11.so

Tulemusena saab ID kaardiga autentida ning allkirjastada.

====Lokaalne DigiDoc klient====

Tarkvara paigaldamise käigus paigaldati ka lokaalne DigiDoc klient. Esmakordsel käivitamisel pakutakse võimalust laadida Sertifitseerimiskeskuse kehtivuskinnituse kasutamiseks vastav juurdepääsutõend, millega saab allkirjastada kuni kümme korda kuus.

====Probleemid====

* Kui allkirjastamisel küsitakse luba kahe plugina käivitamiseks (või öeldakse, et Java plugin on puudu)

[[Pilt:Chrome-esteid-1.gif]]

siis on põhjuseks, et EstEID plugin ei ole seadistatud õieti. Peab olema valitud 'Always allowed'. Oluline on teada, et Java ei ole Chrome brauseriga allkirjastamisel reeglina vajalik.

====Kasulikud lisamaterjalid====

* https://installer.id.ee/
* https://github.com/martinpaljak/ria-debian-build
* http://lauri.võsandi.com/posts/ubuntu-trusty-esteid.html
* http://pingviin.org/portal.php?topic_id=9727
* https://installer.id.ee/media/install-scripts/install-esteid-ubuntu.sh
* https://wiki.debian.org/Smartcards
* http://id.ee/?id=34228
* http://packages.ubuntu.com/lucid/libccid

===Eesti ID kaardi tarkvara v. 17.01.1686-1604 kasutamine 2017 kevadel===

Käesolevas punktis käsitletakse Eesti ID kaardi tarkvara kasutamist operatsioonisüsteem Debian v. 9 Stretch keskkonnas. Debian jaoks üldiselt pakette ei valmistata, aga osutub, et saab kasutada Ubuntu v. 16.04 Xenial pakette.

====Tööpõhimõte====

TODO

====Ettevalmistused====

Kuna Ubuntu v. 16.04 Xenial libssl1.0.0 v. 1.0.2g paketis on ka v. 1.0.0 sümbolid

<pre>
ubuntu-1604$ strings /lib/x86_64-linux-gnu/libssl.so.1.0.0 | grep ^OPENSSL_1
OPENSSL_1.0.0
OPENSSL_1.0.1
OPENSSL_1.0.1d
OPENSSL_1.0.2
OPENSSL_1.0.2g
</pre>

ja Debian v. 9 Stretch libssl1.0.2 v. 1.0.2k paketis ei ole 1.0.0 sümboleid

<pre>
debian-9$ strings /usr/lib/x86_64-linux-gnu/libssl.so.1.0.2 | grep ^OPENSSL_1
OPENSSL_1.0.2d
OPENSSL_1.0.2g
</pre>

siis on vaja leida mingi workaround. Tundub, et kaaluda maksab

* kopeerida internetist Ubuntu v. 16.04 Xenial libssl1.0.0 pakett ja kasutada sealt kahte teeki libssl.so.1.0.0 ja libcrypto.so.1.0.0 (selle lähenemise puuduseks on, et edaspidi vaevalt keegi viitsib neid teeke uuendada)
* paigaldada Debian v. 8 Jessie libssl1.0.0 pakett, http://priit.joeruut.com/archives/Eesti-ID-kaardi-tarkvara-ehk-open-eid-v.-3.12-kasutamine-Debianis.html (lähenemise puuduseks on, et Debian v. 8 Jessie tugi lõpeb tõnäoliselt varem kui Ubuntu v. 16.04 Xenial, aga väga võimalik, et veel enne tekib Debian + ID kaardi kasutamiseks mingi normaalsem lahendus)

Ubuntu libssl1.0.0 paketi saab kopeerida aadressilt http://packages.ubuntu.com/search?keywords=libssl1.0.0&searchon=names&suite=xenial&section=all

Paketi lahti pakkimiseks sobib öelda

$ cd /var/tmp/libssl1.0.0-ubuntu
$ dpkg -x /home/imre/Downloads/libssl1.0.0_1.0.2g-1ubuntu4.6_amd64.deb .

ning (kuna selliste nimedega faili enne pole)

# cp libssl.so.1.0.0 libcrypto.so.1.0.0 /usr/lib/x86_64-linux-gnu

Selleks, et süsteemis oleks paketihalduse mõttes libssl1.0.0 nimeline pakett, sobib kasutada equivs abi

* öelda

$ equivs-control libssl1.0.0

* redigeerida natuke tekkinud faili

<pre>
$ egrep -v "^$|^#" libssl1.0.0
Section: misc
Priority: optional
Standards-Version: 3.9.2
Package: libssl1.0.0
Version: 1.0.0
Maintainer: Imre <imre@auul.pri.ee>
Description: libssl1.0.0 abistaja
Testime
.
Testime 2
</pre>

* öelda

$ equivs-build libssl1.0.0

* paigaldada (kuidagi ta paigaldatakse vaatamata signatuuri puudumisele jms)

# dpkg -i libssl1.0.0_1.0.0_all.deb

====Paigaldamine====

* lisada apt võtmete hulka aadressil https://installer.id.ee/media/install-scripts/install-open-eid.sh oleva skripti algusest kaks sissekannet

# apt-key add failinimi

* lisada apt source

# cat /etc/apt/sources.list.d/ria-repository.list
deb http://installer.id.ee/media/ubuntu xenial main

* värskendada

# apt-get update

ID kaardi tarkvara paigaldamiseks sobib öelda

# apt-get install open-eid

tulemusena tekib failisüsteemi

* kümmekond paketti, enamus installer.id.ee pealt
* /etc/X11/Xsession.d/95-esteid-update-nssdb - selle faili abil X konsoolil töötamise alguses nö korraldakse sobiv seis olulistest asjadest (mh öeldakse modutil jt käske)

Paigaldamise lõpus tuleb Desktop keskkonnast logida välja ja tagasi sisse selleks, et Xsession kasutaks nssdb osa.

====ID kaardilugejaga suhtlemise kontrollimine====

Peale tarkvara paigaldamist ja eeldusel, et lugeja on arvutiga ühendatud saab öelda

<pre>
$ opensc-tool -l
# Detected readers (pcsc)
Nr. Card Features Name
0 Yes Gemalto PC Twin Reader (FB00DB62) 00 00
</pre>

Kui lisaks on ID kaart on lugejas saab öelda (jms pkcs15-tool käske)

<pre>
$ pkcs15-tool -c
Using reader with a card: Gemalto PC Twin Reader (FB00DB62) 00 00
X.509 Certificate [Isikutuvastus]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeaace
ID : 01
Encoded serial : 02 10 775DD64056F35E7954C8CB3EFEB3C8EE
X.509 Certificate [Allkirjastamine]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeddce
ID : 02
Encoded serial : 02 10 2D5E4D8F644E041454C8CB5236F7D2D6
</pre>

====ID kaardi haldusvahend====

Peale tarkvara paigaldamist maksab esmalt veenduda, et id kaardilugeja riistvara on ära tuntud ja kaart on üldiselt ligipääsetav. Selleks käivitada ID kaardi haldusvahend ja peab nägema oma sertifikaadiandmeid.

Interneti kasutamise olemasolul saab Lae pilt valikuga küsida rahvastikuregistiris olevat pilti.

====Chromium brauseriga autentimine ja allkirjastamine====

Veenduda, et Chromiumil on olemas vastav plugin (see on kopeeritav ka üldisest Google Chrome extensions repositooriumist)

[[Pilt:Chrome-esteid-3.gif]]

Tulemusena peab töötama autentimine ja allkirjastamine.

====Firefox brauseriga autentimine ja allkirjastamine====

TODO

* Tundub, et autentimine töötab nö iseenesest.

====Kasulikud lisamaterjalid====

* https://github.com/web-eid/
* https://github.com/open-eid
* https://github.com/open-eid/chrome-token-signing/wiki
* https://lauri.xn--vsandi-pxa.com/2014/04/ubuntu-trusty-esteid.html
* http://installer.id.ee/
* http://priit.joeruut.com/archives/Eesti-ID-kaardi-tarkvara-ehk-open-eid-v.-3.12-kasutamine-Debianis.html
* https://installer.id.ee/media/install-scripts/install-open-eid.sh
* https://www.auul.pri.ee/wiki/Operatsioonis%C3%BCsteem_Debian_GNU/Linux_paketihalduse_kasutamine#Equivs_kasutamine

===Test ID-kaart===

Lisaks nö päris ID-kaartidele väljastab Sertifitseerimiskeskus teatud juhtumiteks ka test ID-kaarte, nt on seal kasutatav sertifikaat selline

-----BEGIN CERTIFICATE-----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 2AjWXfHNDc0oWr7CBV9HRLmpidJQtQCwoUt6Y2NA==
-----END CERTIFICATE-----

Tekstikujul vaadatest on Issuer ja Subject väärtused

# openssl x509 -in /tmp/zaikovski.pem -noout -text
Certificate:
Data:
Version: 3 (0x2)
Serial Number: 1244104848 (0x4a278890)
Signature Algorithm: sha1WithRSAEncryption
Issuer: C=EE, O=AS Sertifitseerimiskeskus, OU=Testsertifikaadid, CN=TEST-SK
Validity
Not Before: Jun 4 08:40:48 2009 GMT
Not After : Apr 7 11:42:17 2012 GMT
Subject: C=EE, O=TEST-ESTEID, OU=authentication, \
CN=\x01}\x00A\x00I\x00K\x00O\x00V\x00S\x00K\x00I\x00,\x00I\x00G\x00O\x00R\x00,\x003\
\x007\x001\x000\x001\x000\x001\x000\x000\x002\x001, SN=\x01}\x00A\x00I\x00K\x00O\x00V\x00S\
\x00K\x00I, GN=IGOR/serialNumber=37101010021
...

Tundub, et kõigil test kaartidel on algselt samad pinid ja puk, mida saab muuta id kaardi utiliidiga, http://www.id.ee/index.php?id=30379

* PIN1 kood - 0090
* PIN2 kood - 01497
* PUK kood - 17258403

===Kaardilugeja firmware uuendamine===

Kui kaardilugeja nö peaks töötama, aga ei tööta, siis mõnel juhul on otstarbekas kaaluda kaardilugeja firmware uuendamist. Nt SCR311 kaardilugeja puhul sobib selleks kasutada Windows 7 keskkonda, et uuendada 4. -> 5. versoonide vahel.

Kasulikud lisamaterjalid

* http://www.jasemccarty.com/blog/?p=1134
* https://militarycac.com/cacdrivers.htm

===Märkused===

* Kui brauser või postiklient lakkavad töötamast ID-kaardiga, siis maksab need programmid sulgeda ja samuti peatada pcscd deemon ning seejärel esmalt deemon ning siis rakendusprogrammi uuesti käivitada.
* Kuivõrd ID-kaardi sertifikaadid kehtivad suhteliselt lühikest aega ning sertifikaatide uuendamisel praktiliselt kirjutatakse vanad sertifikaadid üle uutega, siis sobib ID-kaardi vahendeid andmete krüptimiseks kasutada nö turvalise transpordi sooritamiseks ja mitte andmete pikaajaliseks turvaliseks säilitamiseks. Lisaks on veel muid ohte, näiteks et ID-kaart rikneb füüsiliselt.

===Sertifikaatide uuendamine===

Sertifikaatide saab uuendada id kaarti utiliidiga, peale uuendamist näidatakse sellist pilti, tegevuse käigus küsitakse vana sertifikaadi PIN1

[[Pilt:Qesteidutil-2.gif]]

===TODO===

* ipsec lahenduse juures kasutamine

===Kasulikud lisamaterjalid===

* Eesti ID-kaardi tarkvara - http://ideelabor.ee/
* Sertifitseerimiskeskus - http://www.sk.ee/
* http://kuutorvaja.eenet.ee/wiki/Apache'i_veebiserver#ID_kaardiga_kasutaja_autentimine
* http://kuutorvaja.eenet.ee/wiki/OpenLDAP_kasutamine_Debianiga#Icedove.27i_aadressraamatu_pidamine
* https://digidoccheck.sk.ee/
* https://id.eesti.ee/trac/
* http://pcsclite.alioth.debian.org/supported.html
* http://code.google.com/p/esteid/

Eesti ID-kaardi kasutamine Debianiga

2018-02-14T23:48:18Z

Imre: /* pkcs11-tool utiliidi kasutamine */

===Sissejuhatus===

Eesti ID-kaart on nn protsessorkaart, mis võimaldab autentimist ja allkirjastamist. ID-kaardi kasutamiseks on vajalikud

* kehtiv Eesti ID-kaart
* kasutada oleva arvuti ja operatsioonisüsteemiga sobiv kaardilugeja
* internetiühendus
* ID-kaardi võimaluste kasutamiseks sobiv kliendipoolne tarkvara
* ID-kaardi võimaluste kasutamiseks sobiv teenus internetis

Eesti ID-kaardi töö põhineb avaliku võtme (ingl. k. public key) krüptograafia kasutamisel. Avaliku võtme infrastruktuuris (ingl. k. PKI - public key infrastructure) esitatakse kasutaja avalik võti koos kasutaja kohta käivate muude andmetega, nt kasutaja nimi ja eposti aadress selle konkreetse infrastruktuuri mõne ülemise sajalase võtmega signeeritud kujul ja seda tulemust nimetatakse kasutaja sertifikaadiks. Lisaks on sertifikaadis kirjas andmed selle sertifikaadi väljastaja kohta ja sertifikaadi kehtivuse aeg.

Eesti ID-kaartidega seotud avaliku võtme infrastruktuuri haldab sh väljastab ID-kaarte Sertifitseerimiskeskus http://www.sk.ee/ kusjuures ID-kaardil on kaks paari võtmeid, öeldakse ka, et kaks sertifikaati

* isikutuvastuse ehk autentimise sertifikaat
* allkirjastamise sertifikaat

Kahe erineva sertifikaadi kasutuselevõtmise põhjuseks on asjaolu, et sertifikaatidel on nö oluliselt erinev kaal

* isikutuvastuse sertfikaadiga kasutaja autendib ennast teenusele (st praktiliselt logib ennast sisse portaali internetis, siseneb kooduksega kaitstud ruumi füüsilises maailmas)
* allkirjastamise sertifikaati kasutatakse reeglina ainult digitaalallkirja andmiseks ja Eesti Vabariigis on digitaalallkirjastatud dokument võrdsustatud omakäeliselt allkirjatatud dokumendiga; reeglina pangaülekannete sooritamisel toimub sisemiselt samuti digitaalallkirjastamise protseduur

Oletame, et kui oleks kasutuses ainult üks sertifikaat ja nt kasutaja siseneb koodukse kaudu ruumi, siis võiks konstrueerida skeemi, kus ta pahaaimamatult allkirjastab mõne dokumendi, mida ta muul juhul ei oleks nõus allkirjastama. Kahe sertifikaadi kasutamisel on võimalik erinevaid rolle lahus hoida.

Kuigi eelmises lõigus kasutati väljendeid 'isikutuvastuse sertifikaadiga kasutaja identifitseerib' ja 'allkirjastamise sertifikaati kasutatakse reeglina digitaalallkirja andmiseks' tuleb seda seda mõista nii, et sisuliselt neid protseduure sooritades kasutaja kasutab vastava sertifikaadi salajast võtit. ID-kaardil asuvate salajaste võtmete kasutamine on turvakaalutlustel piiratud täiendava parooliga, nn PIN koodiga, kummalgi salajasel võtmel on oma PIN kood ja võtme kasutamise eel küsib ID-kaardi tarkvara kasutajalt seda koodi.

ID-kaardiga autentimine on dual-factor ehk two-factor autentimine http://en.wikipedia.org/wiki/Two-factor_authentication kuna see sisaldab kahte kontrolli

* midagi mida saab omada - ID-kaardi kui füüsilise eseme olemasolu kontroll
* midagi mida saab teada - salajase võtme teadmise kontroll

Võrreldes parooliga on ID-kaardi kasutamise üheks erinevuseks, et seda saab kasutada korraga ainult üks kasutaja nö ühest kasutuspunktist.

===Eesti ID-kaardi sertifikaatide LDAP kataloogiteenus===

Kuna avaliku võtme infrastruktuuri üheks koostisosaks on, et kõigi kasutajate avalikud võtmed st sertifikaadid on kõigile avalikult kättesaadavad, siis SK on teinud kasutajate sertifikaadid internetis kättesaadavaks LDAP kataloogiteenuse abil aadressil ldap.sk.ee. Kasutaja sertifikaate (mis sisaldavad avalikke võtmeid) saab teades tema isikukoodi kopeerida öeldes nt

$ ldapsearch -LLL -H ldap://ldap.sk.ee -x -b "c=EE" "(serialNumber=37003212713)"
dn: cn=OOLBERG\2CIMRE\2C37003212713,ou=Authentication,o=ESTEID,c=EE
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
cn: OOLBERG,IMRE,37003212713
serialNumber: 37003212713
userCertificate;binary:: MIIEGjCCAwKgAwIBAgIESIQxaDANBgkqhkiG9w0BAQUFADBbMQswC
QYDVQQGEwJFRTEiMCAGA1UEChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMGRV
...
z5vZN4059dNaqZqVg5rlVrLS5/T+sK8PHxYcO+SKDZYobddJIv6i2XlpVAQLgkChEiXI2Bd3AMfpw
fVbAjDsHXasblBtut7k1MItT3YLaNZ/xq9BY/B7afXqg==

dn: cn=OOLBERG\2CIMRE\2C37003212713,ou=Digital Signature,o=ESTEID,c=EE
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
cn: OOLBERG,IMRE,37003212713
serialNumber: 37003212713
userCertificate;binary:: MIID2jCCAsKgAwIBAgIESIQxaTANBgkqhkiG9w0BAQUFADBbMQswC
QYDVQQGEwJFRTEiMCAGA1UEChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMGRV
..

Konkreetse sertifikaadi dn elemendi kopeerimiseks sobib öelda nt

$ ldapsearch -LLL -H ldap://ldap.sk.ee -x -b ou=authentication,o=ESTEID,c=EE "(serialNumber=37003212713)" dn
dn: cn=OOLBERG\2CIMRE\2C37003212713,ou=Authentication,o=ESTEID,c=EE

===Kaardilugeja ühendamine operatsioonisüsteemiga===

Märkus: 2010 kevade seisuga peaks töötama täitsa hästi Linuxi ja Windowsiga nt kaks sellist mudelit, mida on ka kauplustes suhteliselt hästi saada

* Omnikey Cardman 1021 - USB (lauaarvutile, sülearvutile)
* Omnikey Cardman 4321 - ExpressCard http://en.wikipedia.org/wiki/ExpressCard (sülearvutile)

Ehk kõige parem kui kaardilugeja ühendub arvutiga USB abil, nt sobib mudel SRC-331. Debian Etch ja Lenny sisaldavad paketihalduses ID-kaardi kasutamiseks sobivat tarkvara, mille koduleht asub aadressil http://ideelabor.ee/ ja mille kasutamist käesolev tekst kirjeldab.

USB kaudu ühendatud ID-kaardilugeja kasutamise eelduseks on, et operatsioonisüsteem toetab USB seadmete kasutamist, sellest annab tunnistust peale kaardilugeja ühendamist lsusb sarnane väljund, kus on muu seas näha SCR331 seadmele vastav rida

# lsusb
Bus 004 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub
Bus 003 Device 002: ID 0483:2016 SGS Thomson Microelectronics Fingerprint Reader
Bus 003 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub
Bus 002 Device 006: ID 04e6:e001 SCM Microsystems, Inc. SCR331 SmartCard Reader
Bus 002 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub
Bus 001 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub

ID-kaardiga suhtlemiseks vajaliku tarkvara paigaldamiseks tuleb öelda

# apt-get install opensc pcscd libccid

Seejärel tuleb redigeerida kahte faili

* Näitena jagatavas /etc/opensc/opensc.conf failis tuleb teha kolm muudatust

# zcat /usr/share/doc/libopensc2/examples/opensc.conf.gz > /etc/opensc/opensc.conf

Leidke failist üles need parameetrid ning muutke nende väärtused sellisteks

try_emulation_first = yes;
lock_login = false;
reader_drivers = pcsc, ctapi;

* Failis /usr/lib/pcsc/drivers/ifd-ccid.bundle/Contents/Info.plist peavad sisalduma sellised read (tundub, et see on teatud SRC331 mudelite või eksemplaride spetsiifiline asi), leidke ja muutke olemasolevaid

<key>ifdDriverOptions</key>
<string>0x0004</string>

Seejärel seisake ja käivitage pcscd deemon

# /etc/init.d/pcscd restart

Kontrollimaks, et tarkvara sai korrektselt paigaldatud küsime süsteemi ühendatud kaardilugejate nimekirja

# opensc-tool -l
Readers known about:
Nr. Driver Name
0 pcsc SCM SCR 331 00 00

Ning küsime ID-kaardile kantud sertifikaatide nimekirja

# pkcs15-tool -c
X.509 Certificate [Isikutuvastus]
Flags : 0
Authority: no
Path : 3f00eeeeaace
ID : 01

X.509 Certificate [Allkirjastamine]
Flags : 0
Authority: no
Path : 3f00eeeeddce
ID : 02

===pkcs11-tool utiliidi kasutamine===

PKCS#11 is a software API for accessing cryptographic hardware like smart cards or HSM. pkcs11-tool realiseerib PKCS11 (Public Key Cryptography Standards) standardit ja võimaldab suhelda krüptoseadmega üle Cryptoki (Cryptographic Token Interface) API. Slottide nimekirja esitamiseks sobib öelda

<pre>
# pkcs11-tool -L
Available slots:
Slot 0 (0x0): Alcor Micro AU9540 00 00
(empty)
Slot 1 (0x4): Gemalto PC Twin Reader (A76A2DE4) 01 00
token label : PIN1 (OOLBERG,IMRE,37003212713)
token manufacturer : AS Sertifitseerimiskeskus
token model : PKCS#15 emulated
token flags : login required, rng, token initialized, PIN initialized
hardware version : 0.0
firmware version : 0.0
serial num : AA9909781
pin min/max : 4/12
Slot 2 (0x5): Gemalto PC Twin Reader (A76A2DE4) 01 00
token label : PIN2 (OOLBERG,IMRE,37003212713)
token manufacturer : AS Sertifitseerimiskeskus
token model : PKCS#15 emulated
token flags : login required, rng, token initialized, PIN initialized
hardware version : 0.0
firmware version : 0.0
serial num : AA9909781
pin min/max : 5/12
</pre>

Slot sisu esitamiseks, nb! slot numbri väärtus tuleb võtta sulgudest, küsitakse pin1 väärtust

<pre>
# pkcs11-tool --slot 4 -O -l
Logging in to "PIN1 (OOLBERG,IMRE,37003212713)".
Please enter User PIN:

Private Key Object; EC
label: Isikutuvastus
ID: 01
Usage: sign, derive
Certificate Object; type = X.509 cert
label: Isikutuvastus
ID: 01
Public Key Object; EC EC_POINT 384 bits
EC_POINT: 0461046231c67
EC_PARAMS: 06052b81040023
label: Isikutuvastus
ID: 01
Usage: encrypt, verify
</pre>

kus

* ühes slotis on paistab olevat kolm objekti, private key, sertifikaat ja public key

Kasulikud lisamaterjalid

* https://en.wikipedia.org/wiki/PKCS
* https://github.com/OpenSC/OpenSC/wiki/Frequently-Asked-Questions

===pkcs15-tool utiliidi kasutamine===

PKCS#15 is a format of on-card structures that defines a “filesystem layout” for smart cards. pkcs15-tool abil saab kopeerida ID-kaardilt sertifikaate, sedasi

# pkcs15-tool -r 01
-----BEGIN CERTIFICATE-----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==
-----END CERTIFICATE-----

Selle sertifikaadi sisu arusaadavamale kujule viimiseks tuleb öelda

# pkcs15-tool -r 01 > imreoolberg-autentimise-sertifikaat.pub
# openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -text
Certificate:
Data:
Version: 3 (0x2)
Serial Number: 1216622952 (0x48843168)
Signature Algorithm: sha1WithRSAEncryption
Issuer: C=EE, O=AS Sertifitseerimiskeskus, OU=ESTEID, CN=ESTEID-SK 2007
Validity
Not Before: Jul 21 06:49:12 2008 GMT
Not After : Sep 11 21:00:00 2012 GMT
Subject: C=EE, O=ESTEID, OU=authentication, CN=OOLBERG,IMRE,37003212713, SN=OOLBERG, GN=IMRE/serialNumber=37003212713
Subject Public Key Info:
Public Key Algorithm: rsaEncryption
RSA Public Key: (1024 bit)
Modulus (1024 bit):
..

Sertifikaadist saab küsida ka üksikuid elemente, nt Subject'i, mis näitab kellele on sertifikaat väljastatud

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -subject
subject= /C=EE/O=ESTEID/OU=authentication/CN=OOLBERG,IMRE,37003212713/SN=OOLBERG/GN=IMRE/serialNumber=37003212713

või Issuer'i, mis näitab, kes sertifikaadi väljastas

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -issuer
issuer= /C=EE/O=AS Sertifitseerimiskeskus/OU=ESTEID/CN=ESTEID-SK 2007

või ajavahemiku, mil sertifikaat kehtib

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -dates
notBefore=Jul 21 06:49:12 2008 GMT
notAfter=Sep 11 21:00:00 2012 GMT

Lisaks sertifikaatidele ja võtmetele sisaldab veel andmeid id kaardi nö elektroolilises osas, nt dokumendi number. Seda ja muid andmeid saab küsides nn dump'i

# pkcs15-tool -D -r 01
Using reader with a card: SCM SCR 331 [CCID Interface] (504005BE) 00 00
..
PKCS#15 Card [IMRE OOLBERG]:
Version : 2
Serial number : A0055799
Manufacturer ID: AS Sertifitseerimiskeskus
Flags : Read-only, PRN generation, EID compliant
...

Kui arvutis on kasutusel mitu ID kaarti, siis saab kontrollida millisega tegeledakse parameetri abil

--reader N

===Iceweasel brauseri kasutamine===

Iceweasel brauseri abil on iseenesest võimalik kahe tegevuse sooritamine

* autentimine - kasutaja kinnitab teenusele, nt veebiportaalile, et tema kasutuses on tema autentimise sertifikaadis sisalduvale avalikule võtmele vastav salajane võti
* digitaalne allkirjastamine - kastutaja kinnitab teenusele, nt pangaülekande sooritamisel, et tema kasutuses on tema allkirjastamise sertifikaadis sisalduvale avalikule võtmele vastav salajane võti

Kuivõrd teenuse jaoks on praktiliselt oluline, et kasutaja kinnitaks sertifikaadile vastava salajase võtme olemasolu PIN koodi sisestamise teel, siis siit järeldub, et tuleb hoolega hoida ID-kaarti ning ID-kaardi PIN koode enda teada.

Brauseri tööleseadmine autentimiseks on lihtsam ning allkirjastamiseks keerulisem. Tundub, et praktiliselt on 2009 klienditarkvara ja nende teenuste tarkvara, mida saab Iceweaseliga kasutada seis selline, et Iceweasel brauser iseseisvalt ei tegele andmete allkirjastamisega; allkirjastamine toimub nt Java appleti abil, kusjuures applet küsib kasutajalt allkirjastamiseks vajalikku PIN2 koodi. Seda arvestades on soovitav kasutada turvaseadme kirjeldamisel spetsiaalselt ettevalmistatud teeki onepin-opensc-pkcs11.so, mis efektiivselt varjab brauseri eest ära teise sertifikaadi, kui seda mitte teha, siis praktililiselt hakkab brauser kasutajalt küsima ise vaheldumisi mõlema sertifikaadi PIN koodi ja see oleks üsna eksitav.

Brauseri ID-kaardiga kasutamise ettevalmistamiseks tuleb avada

Edit -> Preferences -> Advanced -> Encryption -> Security Devices -> Load

ning kirjeldada Eesti ID-kaardile vastav turvaseade (ingl. k. security device)

Module Name: esteid
Module filename: /usr/lib/onepin-opensc-pkcs11.so

Sõltuvalt sellest, kas soovitakse, et peale PIN1 sisestamist küsiks brauser kasutajalt igal ID-kaardiga autentimise korral kinnitust või mitte tuleb valida

* Select one automatically
* Ask me every time

[[Pilt:Id-auth-cc.gif]]

====Iceweasel brauseri kasutamine autentimiseks====

Auntentimiseks piisab turvaseadme ettevalmistamisest ning seejärel saab näiteks logida sisse riigiportaali, küsitakse PIN1 koodi

[[Pilt:Id-auth-java-pin1.gif]]

====Iceweasel brauseri kasutamine allkirjastamiseks====

Nt SEB pangas makset sooritades toimub digitaal-allkirjastamise protseduur; ja https://digidoc.sk.ee/ või riigiportaali eesti.ee kasutamisel saab moodustada uut digitaalselt allkirjastatud dokumenti või kontrollida olemasoleval digitaalselt allkirjastatud dokumendil allkirja kehtivust. Osa kasutajaid suhtub veebiliidese kaudu dokumentide allkirjastamisse äärmiselt kahtlustavalt, kuna kui juba lokaalse rakendusega digitaalallkirja andmisel ei saa olla täiesti kindel, millele ikkagi allkiri antakse, siis veebirakenduse puhul on see veel eriti nii.

Iceweasel brauseriga allkirjastamiseks peab olema paigaldatud Mozilla Sun Java plugini tarkvara pakett (millega koos paigaldatakse vajadusel ka JVM, kusjuures on oluline kasutada justnimelt Sun Java mitte IBM või GCJ implementatsioone)

# apt-get install sun-java5-plugin

Ning lisaks kopeerida teek

# mkdir /tmp/teek && cd /tmp/teek
# wget http://ideelabor.ee/downloads/pkcs11wrapper-linux.tar.gz
# tar zxf pkcs11wrapper-linux.tar.gz
# find . -type f -ls
442489 104 -rwxr-xr-x 1 501 501 99004 Apr 23 2004 ./libpkcs11wrapper.so

Seejärel tuleb otsida üles arvutist JVM kataloog

# find /usr -type f -name java -ls
173534 68 -rwxr-xr-x 1 root root 65116 May 28 2008 /usr/lib/jvm/java-1.5.0-sun-1.5.0.16/jre/bin/java

mis tähendab, et

JAVA_HOME=/usr/lib/jvm/java-1.5.0-sun-1.5.0.16

Lõpuks tuleb kopeerida lahtipakitud teek kataloogi ${JAVA_HOME}/jre/lib/i386

# cp libpkcs11wrapper.so /usr/lib/jvm/java-1.5.0-sun-1.5.0.16/jre/lib/i386

Lisaks peavad olema lingid, esimene on vajalik digidoc portaali kasutamiseks ja teine SEB pangas

# ln -s /usr/lib/opensc-pkcs11.so /usr/lib/libopensc-pkcs11.so
# ln -s /usr/lib/opensc-pkcs11.so /usr/lib/libesteid-pkcs11.so

NB! Java tarkvara uuendamisel mõnel juhul muutub ka versiooni number nii, et muutub java asukoht failisüsteemis, nt

/usr/lib/jvm/java-1.5.0-sun-1.5.0.16 -> /usr/lib/jvm/java-1.5.0-sun-1.5.0.17

Sel juhul tuleb libpkcs11wrapper.so kopeerida samasse alamkataloogi kuhu ennegi uue java kataloogi sisse.

Kui süsteemi on paigaldatud lisaks mõni uuem java versioon, nt paketist sun-java6-*, siis tuleb kõnealune wrapper kopeerida kõige uuema Java vastavasse kataloogi, nt

# cp libpkcs11wrapper.so /usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/i386/

=====Allkirjastamine SEB pangas=====

Peale panga keskkonda sisselogimist (kas otseselt või läbi mõne muu teenusepakkuja, nt www.if.ee, www.energia.ee jt) ning maksekorralduse ettevalmistamist esitatakse allkirja andmise juurde esmakordsel minemisel küsimus rakenduse usaldusväärsuse kohta

[[Pilt:Id-allkiri-java-pin4.gif]]

ja seejärel tuleb ära oodata pisut eksitav tühi aken, kus tuleb valida Cancel

[[Pilt:Id-allkiri-java-pin3.gif]]

ning seejärel valides Allkirjasta öeldakse, et loetakse andmeid kiipkaardilt ning küsitakse PIN2 koodi

[[Pilt:Id-allkiri-java-pin2.gif]]

Allkirjastamise ajal töötab java rakendus sun.plugin2.main.client.PluginMain

$ ps aux | grep java
mart 6859 10.1 4.7 242668 48832 ? Sl 10:55 0:04 /usr/lib/jvm/java-6-sun-1.6.0.12/jre/bin/java -D__jvm_launched=5951554477 \
-Xbootclasspath/a:/usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/deploy.jar:/usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/javaws.jar:\
/usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/plugin.jar -Djava.class.path=/usr/lib/jvm/java-6-sun-1.6.0.12/jre/classes \
sun.plugin2.main.client.PluginMain write_pipe_name=/tmp/.com.sun.deploy.net.socket.5659.2862701817965363267.AF_UNIX

=====Allkirjastamine Sertifitseerimiskeskuse digidoc.sk.ee portaalis=====

https://digidoc.sk.ee/ portaal võimaldab veebipõhises keskkonnas sooritada digitaalallkirjastamisega seotud protseduure, nt anda allkirja, kontrollida allkirja ja jagada sama dokumenti teiste portaali kasutajatega selleks, et ühte dokumenti saaks allkirjastada mitu osapoolt. Portaali sisenemisel avaneb kasutuskeskkonnale sarnane vaade, süsteemi on laaditud kaks dokumenti, ühel on üks allkiri ja teisel ei ole ühtegi allkirja

[[Pilt:Digidoc-1.gif]]

Keskkonna kasutamine võiks toimuda suhteliselt intuatiivselt, dokumenti allkirjastamisel tuleb täita sarnased lahtrid nagu nn lokaalset digidoc klienti kasutades

[[Pilt:Digidoc-2.gif]]

Allkirjastamisel küsitakse kasutajalt PIN2 koodi

[[Pilt:Digidoc-3.gif]]

https://digidoc.sk.ee/ keskkonnas ei saa tegeleda krüptitud dokumentidega ehk nn .cdoc failidega.

=====Allkirjastamine riigiportaalis www.eesti.ee=====

Aadressil https://www.eesti.ee/ asuvas riigiportaalis sektsioonis

Kodanikule -> Digitaalallkiri

saab veebipõhises keskkonnas sooritada digitaalallkirjastamisega seotud protseduure, nt anda allkirja, kontrollida allkirja ja jagada sama dokumenti teiste portaali kasutajatega selleks, et ühte dokumenti saaks allkirjastada mitu osapoolt.

Portaali Digiallkirja sektsiooni sisenemisel avaneb kasutuskeskkonnale sarnane vaade, süsteemi on laaditud kaks dokumenti, ühel on üks allkiri ja teisel ei ole ühtegi allkirja

[[Pilt:Riigiportaal-digiallkiri-1.gif]]

Keskkonna kasutamine võiks toimuda suhteliselt intuatiivselt, dokumendi allkirjastamisel tuleb täita sarnased lahtrid nagu nn lokaalset digidoc klienti kasutades, PIN2 sisestamine toimub Java appleti abil, sarnaselt

[[Pilt:Riigiportaal-digiallkiri-2.gif]]

Riigiportaalis ei saa tegeleda krüptitud dokumentidega ehk nn .cdoc failidega.

===Icedove postikliendi kasutamine===

Lisaks nö tavalistele e-kirjadele on võimalik moodustada spetsiaalsete lisaomadustega kirju

* allkirjastatud kiri - kirja saatja moodustab allkirja oma salajase võtmega; kirja saaja saab olla kindel, et kiri on saadetud just selle kasutaja poolt kelle sertifikaadi (avaliku võtme) abil õnnestub kirja autentsust kontrollida; kirja sisu on kõigile avalik, kuid kirjale on nö attachmentiga sarnaselt juurde digitaalse allkirja osa; oluline erinevus nö .ddoc allkirjastamisest on, et reeglina ei kasutata seejuures Sertifitseerimiskeskusest saadud kehtivuskinnitust
* krüptitud kiri - kirja saatja krüptib kirja adressaadi avaliku võtmega (sertifikaadiga); kirja saatja saab olla kindel, et mitte keegi peale selle kasutaja, kelle kasutuses on vastav salajane võti saab kirja sisuga tutvuda

Tuleb arvestada, et eposti allkirjastamine ja krüptimine omab tähendust ainult epostiga tegelemisel ning kuigi see tehnika pakub võimaluse täiendava turvalisuse saavutamiseks ei ole tegu Eesti Vabariigi seaduse mõttes kehtiva digitaalselt allkirjastatud dokumendiga juba seetõttu, et mõlemal juhul kasutatakse autentimise sertifikaati.

Kirja krüptimisel ei ole see tingimata oluline, aga allkirjastamiseks Eesti ID-kaardil asuva autentimise sertifikaadile vastava salajase võtmega eeltingimuseks on, et kasutaja on oma postiprogrammis kirjeldanud tema sertifikaadil leiduva postiaadressiga seotud konto. Sertifikaadile märgitud postiaadressi saab küsida sertifikaadilt öeldes

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -email
imre.oolberg@eesti.ee

Iceweasel programmi ID-kaardiga kasutamise ettevalmistamiseks tuleb avada

Edit -> Preferences -> Advanced -> Certificates -> Security devices -> Load

ning kirjeldada Eesti ID-kaardile vastava turvaseade (ingl. k. security device)

Module Name: esteid
Module filename: /usr/lib/onepin-opensc-pkcs11.so

Lisaks tuleb laadida Icedove'i SK juursertifikaat, ESTEID-SK ja ESTEID-SK 2007 sertifikaadid, mis saab kopeerida http://www.sk.ee/ (Avaleht -> Sertifitseerimine -> Baasinfo -> Juursertifikaadid) veebikohast

Edit -> Preferences -> Advanced -> Certificates -> View Certificates -> Authorities -> Import

Kusjuures tuleb kindlasti vastata jaatavalt küsimusele, et neid usaldatakse eposti jaoks kasutamiseks

[[Pilt:Id-sign-0.gif]]

Seejärel tuleb Icedove'is seoses nn @eesti.ee aadressiga, nt imre.oolberg@eesti.ee, kirjeldatud konto juures näidata, milliseid sertifikaate kasutatakse eposti allkirjastamise ning krüptimise juures, valida ülemine Select (Digital Signing)

[[Pilt:Id-sign-1.gif]]

Peale PIN1 koodi sisestamist esitab arvuti valitud sertifikaadi andmed

[[Pilt:Id-sign-2.gif]]

Valides järgmisena Encryption juures Select küsib arvuti, kas ma soovin kasutada sama sertifikaati (õigemini sama sertifikaadiga seotud salajast võtit) teiste kasutajate poolt mulle saadetud krüptitud kirjade (mis on krüptitud minu avaliku võtmega) lahtikürptimiseks, sobib vastata jaatavalt.

====Icedove postikliendi kasutamine eposti allkirjastamiseks====

Kirja saatmine toimub tavapäraselt ainukese erinevusega, et enne kirja saatmist tuleb valida Security alt

Digitally Sign This Message

[[Pilt:Id-sign-3-1.gif]]

Kirja saajal peab olema postiprogrammi laaditud vähemalt SK juursertifikaat (sellest piisab allkirja kontrollimiseks, sest signatuur sisaldab ka allkirjastaja sertifikaati ning ahelat SK juursertifikaadini ja brauseris oleva SK juursertifikaadiga saab seega tuvastada kasutaja allkirja kehtivust) abil ning kiri pasitab sellisena

[[Pilt:Id-sign-3-2.gif]]

Messsage Security aken avaneb vajutades programmiakna paremas servas asuvale kollane-punane värvi ümbriku kujutisele ja ütleb, et vaatlusalune kiri on allkirjastatud (ingl. k. signed) ning allkiri (ingl. k. signature) on kehtiv. St kirja saaja saab olla kindel, et kiri on saadetud selle poolt, kelle kasutada on allkirja kontrollimisel kasutatud sertifikaadile vastav salajane võti.

====Icedove postikliendi kasutamine eposti krüptimiseks====

Eposti krüptimine toimub adressaadi Eesti ID-kaardi autentimise avaliku võtmega, mis tähendab, et keegi teine peale vastava salajase võtme valdaja ei saa sõnumi teksti sisuga tutvuda. Kirja saatmisel tuleb valida

Security -> Encrypt This Message

[[Pilt:Id-sign-3-3.gif]]

Kirja lugemisel peab olema võimalik kasutada ID-kaarti ning tulemus võiks paista sarnane

[[Pilt:Id-sign-3-4.gif]]

Security Message aken avaneb vajutades programmiakna paremas servas asuvale tabaluku kujutisele ja ütleb, et kiri on krüptitud ning selle sisuga on peale adressaadi teistel kasutajatel ülimalt raske tutvuda.

Kui krüptitud kirja adressaadil on ID-kaardi kasutamine seadistamata, siis esitab programm kasutajale veateadet

Icedove cannot decrypt this message

The sender encrypted this message to you using one of your digital certificates, however Icedove was not able to find
this certificate and corresponding private key.

Possible solutions:

* If you have a smartcard, please insert it now.
* If you are using a new machine, or if you are using a new Icedove profile, you will need to restore your certificate
and private key from a backup. Certificate backups usually end in ".p12".

Krüptimisel tuleb arvestada, et kirja päised sh Message-ID, Date, From, To, Subject jt ei ole krüptitud

..
Message-ID: <49B277C9.8010303@eesti.ee>
Date: Sat, 07 Mar 2009 15:34:01 +0200
From: Imre Oolberg <imre.oolberg@eesti.ee>
User-Agent: Mozilla-Thunderbird 2.0.0.19 (X11/20090103)
MIME-Version: 1.0
To: imre.oolberg@eesti.ee
Subject: eesti muld ja eesti =?ISO-8859-1?Q?s=FCda?=
Content-Type: application/x-pkcs7-mime; name="smime.p7m"
Content-Transfer-Encoding: base64
Content-Disposition: attachment; filename="smime.p7m"
Content-Description: S/MIME Encrypted Message

MIAGCSqGSIb3DQEHA6CAMIACAQAxgf0wgfoCAQAwYzBbMQswCQYDVQQGEwJFRTEiMCAGA1UE
ChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMGRVNURUlEMRcwFQYDVQQD
Ew5FU1RFSUQtU0sgMjAwNwIESIQxaDANBgkqhkiG9w0BAQEFAASBgB4isztO9MjE1ZQUzA7e
U1E0YTQZF0nIW4b46Nn/Be+DtUgzZWyZjgln4YxqQ7vDWPJiFNJTqdLjNCPGb6WEJ7ddZJGp
hM/z+tyCNHrXP6DbvjtmF9qJ9WgvyiqHyQMr8FKRCnLdcj70G+N0EzFnsMq4QsvLi6PHaE7v
rWGWq1ynMIAGCSqGSIb3DQEHATAUBggqhkiG9w0DBwQInoBpNLI3/IOggASCAijikH35Tqn9
..

====Teiste kasutajate sertifikaatide kasutamine====

Selleks, et

* saata teisele @eesti.ee postisüsteemi kasutajale krüptitud kirja
* kontrollida teise @eesti.ee postisüsteemi kasutaja poolt saadetud allkirjastatud kirja allkirja

peab olema Icedove'i laaditud teise kasutaja avalik võti, mis esineb nn autentimise sertifikaadi kujul. Selleks tuleb teades kasutaja isikukoodi kopeerida sertifikaadid ldap.sk.ee serverist, nt

$ ldapsearch -LLL -H ldap://ldap.sk.ee -x -b "c=EE" "(serialNumber=37003212713)"

Salvestada esimesele sertifikaadile vastav tekstiosa st

...
userCertificate;binary:: MIID2jCCAsKgAwIBAgIESIQxaTANBgkqhkiG9w0BAQUFADBbMQswC
..
cOXVX08WgFeVtlH1S6AeDIuY1i/EIngiAUV
....

tekstifaili, alates MIID2.. osast, tekstifail peab algama ja lõppema spetsiaalse tunnusega, kokku peab saama sarnane fail

-----BEGIN CERTIFICATE-----
MIID2jCCAsKgAwIBAgIESIQxaTANBgkqhkiG9w0BAQUFADBbMQswC
..
cOXVX08WgFeVtlH1S6AeDIuY1i/EIngiAUV
-----END CERTIFICATE-----

Ning see fail tuleb laadida Icedove'i valides

Edit -> Preferences -> Advanced -> Certificates -> View Certificates -> Other People's -> Import

Seejärel saab saada sertifikaadis näidatud eposti aadressile krüptitud posti ning samuti kontrollida selle kasutaja poolt allkirjastatud eposti signatuuri.

Kui on võimalik, siis saab teise kasutaja isikutuvastuse sertifikaadi postiklienti laadimiseks kasutada ka lihtsamat protseduuri. Nimelt, piisab kui teine kasutaja saadab esmalt signeeritud kirja ning see kiri postikliendiga avada. Sel juhul salvestatakse sertifikaat automaaselt postikliendi Other people's sertifikaatide hoidlasse.

Üldiselt võib üks ja sama kiri olla samaaegselt nii signeeritud kui ka krüptitud.

===@eesti.ee aadresside kasutamine===

Kuna Eesti ID-kaardi autentimise sertifikaadile vastava avaliku võtmega kürptitud kirju saab saata tingimusel, et adressaadiks on sertifikaadis esitatud aadress, mis on kujul

eesnimi.perekonnanimi@eesti.ee

või kui sama ees-ja perekonnanimega kasutajaid oma rohkem kui üks, siis järgmistele aadressidele on perekonnanime järele lisatud arv

eesnimi.perekonnanimi.1@eesti.ee

siis oleks hea kui sellistele aadressidele saadetud kirjad mugavasti adressaadi postkasti jõuaksid.

Käesolev asjakorraldus võimaldab Eesti ID-kaardi omanikel aadressil http://www.eesti.ee/ asuvas riigiportaalis seadistada, kuhu tema @eesti.ee aadressile saadetud kirjad edasi saadetakse. Tavaliselt on selleks nt mail.ee, gmail.com vms teenusepakkuja postkastiga seotud eposti aadress.

Kuigi tehniliselt teeb @eesti.ee aadressi kasutamine mugavaks signeeritud ja krüptitud kirjade vahetamise, töötab see ka nö tavaliste kirjade puhul.

Kusjuures varasemal ajal on kasutatud ID-kaardi autentimise sertifikaadis ka aadressi kujul, kus nnnn on neljakohaline arv

eesnimi.perekonnanimi_nnnn@eesti.ee

Lisaks, @eesti.ee postisüsteem võimaldab seadistada kasutajal omale edasisuunamise aadressi aadressile

isikukood@eesti.ee

kuid kuna see aadress ei esine sertifikaadis, siis ei ole võimalik seda kasutada eposti allkirjastamisel ega krüptimisel.

===Sertifikaadi kehtivuse kontrollimine===

Avaliku võtme infrastruktuuri üheks ülesandeks on hallata kasutajate sertifikaate sh mitmetel põhjusel sertifikaat kehtetuks kuulutada. Seega, sertifikaadi kasutamisel on oluline kontrollida, kas sertifikaat kasutamise ajal kehtib, seda saab teha SK OCSP (Online Certificate Status Protocol) abil öeldes

$ openssl ocsp -issuer esteid.pem -cert idkaardiltsert.pem -url http://ocsp.sk.ee -noverify -text
OCSP Request Data:
Version: 1 (0x0)
Requestor List:
Certificate ID:
Hash Algorithm: sha1
Issuer Name Hash: 4508A41C355C0A72485FE2DF7B6A6788C6A55022
Issuer Key Hash: 4806DEBE8C875795807863FA9C232B2BA03A1875
Serial Number: 48843168
Request Extensions:
OCSP Nonce:
0410090A1FA4F0555E82C1DFB4722FC61696
OCSP Response Data:
OCSP Response Status: successful (0x0)
Response Type: Basic OCSP Response
Version: 1 (0x0)
Responder Id: C = EE, O = ESTEID, OU = OCSP, CN = ESTEID-SK 2007 OCSP RESPONDER, emailAddress = pki@sk.ee
Produced At: Oct 7 22:15:36 2008 GMT
Responses:
Certificate ID:
Hash Algorithm: sha1
Issuer Name Hash: 4508A41C355C0A72485FE2DF7B6A6788C6A55022
Issuer Key Hash: 4806DEBE8C875795807863FA9C232B2BA03A1875
Serial Number: 48843168
Cert Status: good
This Update: Oct 7 22:15:36 2008 GMT

Response Extensions:
OCSP Nonce:
0410090A1FA4F0555E82C1DFB4722FC61696
cert.pem: good
This Update: Oct 7 22:15:36 2008 GMT

Kus esteid.pem sertifikaadi saab kopeerida SK veebikohast.

===ID-kaardi kasutamine chroot keskkonnast===

Märkus: 20090314 stabiilne Debian Lenny sisaldab sun-java6-plugin paketti.

Üks praktiline vajadus kasutada ID-kaarti chroot programmiga moodustatud chroot keskkonnast oleks 64 bit Debiani operatsioonisüsteemis kasutada 32 bit Iceweaselit'i. Põhjusel, et 32 bit arhitektuurile on olemas Iceweaseli java plugin (pakett sun-java6-plugin), aga 64 bitile seda 2008 aastal pole. Omakorda on java vajalik, et saaks nt SEB pangas allkirjastada st sooritada ülekannet.

Tundub, et kui arvutile külge ühendatud ID-kaarti on tarvis kasutada chroot käsu abil moodustatud chroot keskkonnast, siis tuleb öelda (pcscd deemon töötab nn absoluutses arvutis)

# mount --bind /var/run/pcscd /srv/arvuti-32/var/run/pcscd

ning seejärel tuleb käivitada iceweasel nt selliselt läbi sudo

$ sudo /usr/sbin/chroot /srv/arvuti-32 iceweasel

Selleks, et chroot keskkonnas käivitatud iceweasel saaks näidata oma pilti X serverile tuleb xhost käsuga kaasa aidata, nt öelda

$ xhost +iceweaseliarvutinimi

kusjuures ilma argumentideta xhost näitab, millistest arvutitest on võimalik X serveri poole pöörduda.

Kirjeldatud asjakorralduse puhul ei ole tarvis chroot keskkonda ühendada külge mingeid muid failisüsteeme (nt /proc, /sys) ega käivitada seal deemoneid pcscd vms.

Sudo töötamiseks on vajalik omakorda sellist sisu /etc/sudoers faili

User_Alias CHROOT_USERS = mart
Cmnd_Alias CHROOT_CMD = /usr/sbin/chroot
Host_Alias MORAAL = arvuti
CHROOT_USERS MORAAL = (root) NOPASSWD: CHROOT_CMD

Milliseid turvariske selline asjakorraldus tema jaoks toob peab iga kasutaja ise hindama, eriti seoses X serverile ligipääsemisega kus on avatud ID-kaarti kasutav rakendus.

===ID-kaardi kasutamine konsoolilt arvutisse sisselogimiseks===

Arvutisse sisselogimise kontrollimist on võimalik korraldada ID-kaardi isikutuvastuse sertifikaadiga. Ehk täpsemini, sisselogimisel peab kasutaja tõendama, et ta saab kasutada isikutuvastuse sertifikaadile vastavat salajast võtit ja seda ta teeb PIN1 koodi sisestamise teel.

Tööleseadistatud süsteemi kasutamine näeb välja mitte-graafilise konsooli (tõenäoliselt mingi getty) kasutamisel selliselt, tulemusena on kasutaja süsteemi sisse loginud, nt juurkasutaja

Debian GNU/Linux 5.0 arvutinimi tty4

arvutinimi login: root
Please insert your smart card or enter your username.
Smart card inserted.
Welcome to ID-kaart (PIN1, Isikutuvastus)!
Smart card password:
...

bash#

Sellise asjakorralduse tööleseadmiseks tuleb üldiselt ID-kaart arvutiga ära ühendada nii nagu on ülal punktis 'Kaardilugeja ühendamine operatsioonisüsteemiga' kirjeldatud ning seejärel

* seadistada sisselogimise kontrolli süsteemne osa
* seadistada sisselogimise kontrolli kasutajaspetsiifiline osa

====Süsteemi ettevalmistamine====

Süsteemi ettevalmistamiseks tuleb lisaks paigaldada pakett libpam-pkcs11

# apt-get install libpam-pkcs11

Seejärel moodustada kataloog /etc/pam_pkcs11, sinna näidise eeskujul seadistusfail

# mkdir /etc/pam_pkcs11
# zcat /usr/share/doc/libpam-pkcs11/examples/pam_pkcs11.conf.gz > /etc/pam_pkcs11/pam_pkcs11.conf
# zcat /usr/share/doc/libpam-pkcs11/examples/pam_pkcs11.conf.gz > /etc/pam_pkcs11/pam_pkcs11.conf-orig

ja teha seadistusfailis sellised muudatused

# diff pam_pkcs11.conf pam_pkcs11.conf-orig
85,86c85
< # module = /usr/lib/pam_pkcs11/pkcs11_module.so;
< module = /usr/lib/opensc-pkcs11.so;
---
> module = /usr/lib/pam_pkcs11/pkcs11_module.so;
116c115
< use_mappers = opensc, digest, cn, pwent, uid, mail, subject, null;
---
> use_mappers = digest, cn, pwent, uid, mail, subject, null;
122,123c121
< # mapper_search_path = /usr/lib/pam_pkcs11;
< mapper_search_path = /lib/pam_pkcs11;
---
> mapper_search_path = /usr/lib/pam_pkcs11;
160,161c158
< # module = /usr/lib/pam_pkcs11/opensc_mapper.so;
< module = /lib/pam_pkcs11/opensc_mapper.so
---
> module = /usr/lib/pam_pkcs11/opensc_mapper.so;

SK sertifikaatide kopeerimine ja nn hash linkide moodustmine toimub selliselt (eeldusel, et kasutaja isikutuvastuse sertifikaat on antud välja ESTEID-SK 2007 sertifikaadi suhtes)

# mkdir /etc/pam_pkcs11/cacerts
# cd /etc/pam_pkcs11/cacerts
# wget http://www.sk.ee/files/JUUR-SK.PEM.cer -O JUUR-SK.PEM.pem
# wget http://www.sk.ee/files/ESTEID-SK%202007.PEM.cer -O ESTEID-SK%202007.PEM.pem
# c_rehash .

Tulemus

# find . -ls
183909 4 drwxr-xr-x 2 root root 4096 Mar 15 12:28 .
183911 4 -rw-r--r-- 1 root root 1404 Jan 3 2007 ./ESTEID-SK\ 2007.PEM.pem
183910 4 -rw-r--r-- 1 root root 1790 Feb 6 2006 ./JUUR-SK.PEM.pem
183913 0 lrwxrwxrwx 1 root root 15 Mar 15 12:28 ./119afc2e.0 -> JUUR-SK.PEM.pem
183912 0 lrwxrwxrwx 1 root root 22 Mar 15 12:28 ./590f5e9e.0 -> ESTEID-SK\ 2007.PEM.pem

Lõpuks tuleb kirjeldada PAM mooduli seadistusfailis uus autentimisviis lisades faili /etc/pam.d/common-auth juurde esimeseks reaks

auth sufficient pam_pkcs11.so nullok

====Kasutajakeskkonna ettevalmistamine====

Selleks, et konktreene kasutaja, nt juurkasutaja saaks süsteemi siseneda tuleb moodustada kataloog

# mkdir /root/.eid

ning kopeerida ID-kaardilt isikutuvastuse sertifikaat faili /root/.eid/authorized_certificates

# pkcs15-tool -r 01 > /root/.eid/authorized_certificates

===Eesti ID-kaardi kasutamine OpenVPN lahendusega===

OpenVPN pala tekstis http://kuutorvaja.eenet.ee/wiki/OpenVPN_ja_Eesti_ID-kaardi_kasutamine on kirjeldatud, kuidas kasutada Eesti ID-kaarti VPN kasutajate autentimiseks.

===Eesti ID-kaardi kasutamine GnuPG-2 tarkvaraga===

Märkmed Eesti ID-kaardi võimalikust kasutamisest GnuPG-2 tarkvaraga, mis kahjuks ei vii tulemuseni, aga võimalik, et ühel päeval viivad, http://kuutorvaja.eenet.ee/wiki/GnuPG_kasutamine_Debianiga#Eesti_ID-kaardi_kasutamine_GnuPG-2_tarkvaraga

===ID-kaardi koodide muutmine===

ID-kaardi isikutuvastuse ja allkirjastamise võtmete kasutamist kaitstakse koodidega, vastavalt PIN1 ja PIN2 koodid. Lisaks on kasutusel PUK kood, mille abil saab PIN1 ja PIN2 koodi vajadusel muuta, näiteks kui mõni PIN kood on saanud teatavaks kellelegi teisele või mõni PIN kood on ära ununenud. Kui sooritada kolm järjestikulist ebaõnnestunud koodi sisestamist, siis ligipääs kõnelusele salajasele võtmele lukustatakse, st et enne kui seda saab uuesti kasutada, tuleb ligipääs võtmele PUK koodi abil lahti lukustada.

ID-kaardi PIN koodide lahtilukustamiseks sobib kasutada pkcs15-tool utiliiti, nt öelda PIN 1 koodi lahtilukustamiseks

# pkcs15-tool --unblock-pin -a 1
Enter PUK [PIN1, Isikutuvastus]:
Enter new PIN [PIN1, Isikutuvastus]:
Enter new PIN again [PIN1, Isikutuvastus]:

Muud käsud:

PIN1 koodi muutmiseks

# pkcs15-tool --change-pin -a 1

PIN2 koodi muutmiseks

# pkcs15-tool --change-pin -a 2

PIN2 koodi lahtilukustamiseks

# pkcs15-tool --unblock-pin -a 2

PUK koodi muutmiseks

# pkcs15-tool --change-pin -a 3

Kui aga PUK kood on kadunud, siis saab ID-kaarti kasutada seni kuni pole tarvis PIN koode muuta, vastasel korral tuleb teeninduspunktist, nt pangas paluda paigaldada ID-kaardile uus nn ümbrik.

===e-valimistel osalemine===

e-valimistel osalemiseks tuleb valimiste veebikohta sisse logida ning kopeerida lokaalselt töötav rakendus. Kävitamisel paistab selline pilt

[[Pilt:Evalimised-2009-1.gif]]

===Mobiil-ID===

Mobiil-ID tehnika võimaldab kasutada mobiiltelefoni sarnaselt ID-kaardile, mobiil-ID toimimist on kirjeldatud aadressil http://www.id.ee/10958

===ID-kaardi rakenduste arendamine===

ID-kaardi rakenduste arendajale on Sertifitseerimiskeskus tekitanud projekti OpenXades aadressil http://www.openxades.org/

* saab testida id-kaardiga allkirjastamist vastu test digidocservice teenust (selleks tuleb üles laadida oma sertifikaadid)
* saab testida mobiil-id kaardi kasutamist (selleks tuleb üles laadida oma sertifikaadid)

===Eesti ID-kaardi tarkvara arendus 2009===

Smartlink arendab RIA tellimusel 2009 aastal Eesti ID-kaardi kasutamise tarkvara https://id.eesti.ee/idtrac/, mis sisaldab muu hulgas kasutaja töökohaarvutis kasutamiseks graafilise kasutajaliidesega programme

* qesteidutil - ID-kaardi haldamise tarkvara, sertifikaatide kehtivuse kontroll, PIN koodide muutmine, sertifikaatide uuendamine jms
* qdigidocclient - andmete allkirjastamine ja allkirjade kontrollimine, st nn .ddoc ja .bdoc failidega tegelemine
* qdigidoccrypto - andmete krüptimine teise ID-kaardi kasutaja avaliku võtmega, st .cdoc failidega tegelemine

Lisaks asendab Smartlink lahendus Debian Lenny nö ametlikust tarkvarast sellised paketid

* libopensc2 - OpenSC teek
* opensc - OpenSC utiliidid, kuigi selle paketi paigaldamine ei ole lõppkasutaja seisukohast tingimata vajalik (seal sisaldub nt pkcs15-tool utiliit)

2009 aasta juuli keskel on see selle tarkvara arendusetapp lõpule jõudmas ning praktiselt saab tarkvara võimalustega tutvuda ja tasakesi kasutada.

====Tarkvara paigaldamine====

Kõnealune lahendus kasutab eraldiseisvalt eksisteerivaid OpenSC teeke (pakett libopensc2, seadistusfail /etc/opensc/opensc.conf) ning PC/SC vahendeid (pakett pcscd), Eesti ID-kaardi tarkvara paigaldamiseks tuleb lisada /etc/apt/sources.list faili rida

deb ftp://ftp.smartlink.ee/pub/id/debian/ lenny main

usaldada Smartlinki repositooriumi Release faili võtit

# wget ftp://ftp.smartlink.ee/pub/id/apt-esteid-test.gpg.asc
# apt-key add apt-esteid-test.gpg.asc
OK

NB! 20090928 seisuga selle repo kasutamisel asendatakse Debian Lenny nö enda opensc jt teeke ära Smartlinki omadega ja tulemusena ID-kaarti ei saa kasutada, vähemalt mitte ilma vajalike muudatusteta.

Tarkvara paigaldamiseks tuleb öelda

# apt-get install qesteidutil qdigidoc

paigaldatakse neli kõnealuse arendusega seotud paketti ning vajadusel sõltuvustena ka OpenSC, PC/SC jm tarkvara

* qesteidutil - Eesti ID-kaardi haldusvahend qesteidutil
* qdigidoc - programmid qdigidocclient ja qdigidoccrypto
* libdigidoc2 - nn vana teek, käsurealt kasutatav utiliit cdigidoc
* libdigidocpp0 - nn uus teek

Tarkvara kasutamiseks tuleb OpenSC ja PC/SC seada käima nii nagu on käesoleva pala alguses punktis [[:Eesti ID-kaardi kasutamine Debianiga#Kaardilugeja ühendamine operatsioonisüsteemiga]] kirjeldatud.

====Eesti ID-kaardi haldusvahend====

Eesti ID kaardi haldusvahendi qesteidutil kasutamiseks tuleb käivitada programm, nt valides menüüst või XTerm aknas öeldes

$ qesteidutil

ning avaneb aken

[[Pilt:qesteidutil-1.gif]]

Kasutajaliideses esitatud pilt kopeeritakse riigiportaali www.eesti.ee süsteemi kaudu üle X-tee KMA andmekogust.

====Digidoc klient====

Qt teeke kasutava Digidoc kliendi qdigidocclient käivitamiseks tuleb käivitada programm nt valides menüüst või XTerm aknas öeldes

$ qdigidocclient

ning avaneb aken

[[Pilt:qdigidocclient-1.gif]]

Krüptimise utiliidi saab käivitada öeldes

$ qdigidoccrypto

ning avaneb pilt

[[Pilt:qdigidoccrypto-1.gif]]

Utiliit sisalab LDAP klienti, millega saab teades teise kasutaja isikukoodi kopeerida Sertifitseerimiskeskuse LDAP kataloogist tema isikutuvastuse sertifikaadi.

====cdigidoc utiliit====

Paketi libdigidoc2 koosseisus on utiliit cdigidoc, millega saab käsurealt DigiDoc failidega töötada, näiteks fail.cdoc lahtikrüptimiseks sobib öelda

$ cdigidoc -decrypt fail.cdoc PIN_KOOD -out fail.ddoc

Faili fail.ddoc seest esimene faili nimega sisufail.txt konteinerist välja kopeerimiseks sobib öelda

$ cdigidoc -extract D0 sisufail.txt -in fail.ddoc

Ilma argumentideta käsk väljastab abi

$ cdigidoc
USAGE: cdigidoc <command(s)> [-in <input-file>] [-out <output-file>] [-config <config-file>]
COMMANDS:
[-new] [format] [version]
-check-cert <-cerificate-file-name (PEM format)>
-add <file-name> <mime-type> [<content-type>] [<charset>]
-verify
-list
-sign <pin> [<manifest>] [<city> <state> <zip> <country>]
-extract <doc-id> <file-name> [<charset>] [<file-name-charset>]
-encrypt <file-name>
-encrecv <cert-file> [<recipient>] [<keyname>] [<carried-key-name>]
-decrypt <file-name> <pin1>
-denc-list <file-name>
-encrypt-file <in-file-name> <out-file-name> [<in-file-mime-type>]
-decrypt-file <in-file-name> <out-file-name> <pin1>
-calc-sign <cert-file> [<manifest>] [<city> <state> <zip> <country>]
-add-sign-value <sign-value-file> <sign-id>
-del-sign <sign-id>
-get-confirmation <sign-id>
OPTIONS:
-cgimode [<ouput-separator] - output in CGI mode
-SAX - use SAX parser
-XRDR - use XmlReader parser

====Märkused====

20090714 seisuga tehtud tähelepanekud

* programmidel puuduvad manuaalid (ingl. k. manpage) ning praktiliselt dokumentatsioon kataloogis /usr/share/doc/paketinimi
* paketihalduse nimekirjas esineb ka pakett qdigidoccrypto, mida asendab qdigidoc, kui qdigidoc* pakettide traditsioon alles algab, äkki siis see 'Replaces' eemaldada
* sõltuvustest ei paigaldata opensc paketti, mis iseenesest ei ole ka vajalik, vajalik on just libopensc2 teekide pakett
* q* programmide kasutamisel tuleb olla kannatlik, kuigi esmalt teatab programm, et 'Ei leitud ühtegi ID-kaarti' voi 'Kaarti pole lugejas', siis tegelikult võidakse tegeleda alles kaardi otsimisega ja mõne sekundi pärast on kõik korras ja saab jätkata programmi kasutamist
* q* programmide akendest ei saa alati hiirega teksti kopeerida
* paketi libopensc2 seadistusfailis /etc/opensc/opensc.conf võiks parameetri muudatus toimuda ehk debconf dialoogi abil pakkudes kasutajale sobivat vaikeväärtust

reader_drivers = openct, pcsc, ctapi; -> reader_drivers = pcsc, ctapi;

* IP aadressipõhisel ocsp teenusele ligipääsu puhul küsitakse 'Did not find any server access certificate! Start downloading?'
* Kas programmide töö lõpetamiseks on muid võimalusi peale akna sulgemise?

===Eesti ID kaardi tarkvara v. 3.8 kasutamine 2014 suvel===

Käesolevas punktis kirjeldatakse 2014 aasta suvel olemasolevate tarkvara komponentidega Eesti ID kaardi kasutamist (autentimist ja allkirjastamist)

* Debian testing (Jessie) operatsioonisüsteem (32 või 64 bit, tõenäoliselt sarnaselt toimub paigaldamine-seadistamine-kasutamine ka muude Debiani versioonide ja Linux distributsioonidega)
* Eesti ID kaardi tarkvara v. 3.8.0 Ubuntu v. 12.04 (Precise) paketid

Tulemusena saab

* Chrome brauseriga autentida ja allkirjastada
* ID kaardi haldusvahendiga pin koode hallata
* lokaalse DigiDoc kliendiga allkirjastada ja krüptida

Juhised kehtivad

* Chrome < v. 35 (tundub, et alates v. 35 on smart card autentimise tehnika oluliselt muutunud, väidetavalt Eesti ID kaardi tarkvara v. 3.9 teeb selle korda)
* OpenSC kuni 0.12 ja kaasa arvatud (0.13 juures puudub brauseri kasutamist abistav onepin teek)

====Tarkvara paigaldamine====

Eeldusel, et arvutis on töötav kasutajakeskkond (XCFE, Gnome vms) ning Chrome brauser versioon < 35, lisada süsteemi üldotstarbelised paketid

# apt-get install opensc pcscd libccid libnss3-tools apt-transport-https

Kuna onepin-opensc-pkcs11.so teek on vajalik, aga opensc v. 0.13 tarkvaras puudub ning see on nt Debian v. 7 Wheezy paketihalduses v. 0.12 juures olemas (ja tundub, et sobib kasutada), siis aitab lisada /etc/apt/sources.list faili Debian v. 7 Wheezy repositoorium

deb http://ftp.us.debian.org/debian/ wheezy main contrib non-free

ning öelda 0.12 versiooni paigaldamiseks (downgrade'iks)

# apt-get update
# apt-get install opensc=0.12.2-3

Lisaks tuleb Wheezy pakettidest paigaldada

# apt-get -t wheezy install libxml-security-c16

Eesti ID kaardi tarkvara paigaldamise ettevalmistamiseks laadida võti

# wget -O /tmp/ria-public.key https://installer.id.ee/media/install-scripts/ria-public.key
# apt-key add /tmp/ria-public.key

lisada /etc/apt/sources.list faili rida

deb https://installer.id.ee/media/ubuntu/ precise main

ja tarvkara paigaldamiseks öelda

# apt-get update
# apt-get install estonianidcard qesteidutil esteidcerts esteidfirefoxplugin

====ID kaardilugejaga suhtlemise kontrollimine====

Peale tarkvara paigaldamist ja eeldusel, et lugeja on arvutiga ühendatud saab öelda

# opensc-tool -l
# Detected readers (pcsc)
Nr. Card Features Name
0 Yes SCM Microsystems Inc. SCR 331 [CCID Interface] (504005BE) 00 00

Kui lisaks on ID kaart on lugejas saab öelda (jms pkcs15-tool käske)

# pkcs15-tool -c
Using reader with a card: SCM Microsystems Inc. SCR 331 [CCID Interface] (504005BE) 00 00
X.509 Certificate [Isikutuvastus]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeaace
ID : 01
Encoded serial : 02 10 3BF4F7CBE36A655050DC20A42E9EFBAA

X.509 Certificate [Allkirjastamine]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeddce
ID : 02
Encoded serial : 02 10 0D1864A01391996750DC20AC1BF2FDE5

====ID kaardi haldusvahend====

Peale tarkvara paigaldamist maksab esmalt veenduda, et id kaardilugeja riistvara on ära tuntud ja kaart on üldiselt ligipääsetav. Selleks käivitada ID kaardi haldusvahend ja peab nägema oma sertifikaadiandmeid.

Interneti kasutamise olemasolul saab Lae pilt valikuga küsida rahvastikuregistris olevat pilti.

====Chrome brauseriga autentimine ja allkirjastamine====

Esmalt tuleb kord brauser käivitada, et kasutaja kodukataloogi tekiksid vajalikud nn punktifailid (~/.pki), seejärel brauseri protsessid lõpetada st brauseri sulgeda ning öelda sama kasutajana

$ modutil -dbdir sql:$HOME/.pki/nssdb -delete opensc-pkcs11
$ modutil -dbdir sql:$HOME/.pki/nssdb -add opensc-pkcs11 -libfile onepin-opensc-pkcs11.so -mechanisms FRIENDLY

kus

* esimese käsu väljundiks on tõenäoliselt veateade kuna pole midagi kustutada
* teise käsu väljundiks

...
Module "opensc-pkcs11" added to database.

Seejärel tuleb Chrome pluginate settingutest aadressilt chrome://plugins (sisestada nii aadressreale) seadistada EstEID plugin

* Enabled
* Always Allowed

Tulemusena paistab selline pilt

[[Pilt:Chrome-esteid-2.gif]]

kust on näha, et kasutatakse paketis esteidfirefoxplugin olevat teeki

$ dpkg -S /usr/lib/mozilla/plugins/npesteid-firefox-plugin.so
esteidfirefoxplugin: /usr/lib/mozilla/plugins/npesteid-firefox-plugin.so

Autentimiseks sobib minna mõnda portaali, kus on võimaluda kasutaja autentmiseks ID kaardiga, nt https://www.eesti.ee/. Samas saab ka allkirjastada valides

Minu asjad -> Minu dokumendid

Katsetada sobib ka aadressil https://www.openxades.org/web_sign_demo/sign.html.

====Firefox/Iceweasel brauseriga autentimine ja allkirjastamine====

Kontrollida, et paketi esteidfirefoxplugin paigaldamisel tekkinud EstEID plugin on Always Activate olekus

about:addons -> Plugins -> EstEID plug-in -> More

ID kaardi kasutamiseks tuleb brauseri seadistustes kirjeldada onepin teek valides

Edit -> Preferences -> Advanced -> Certificates -> Security Devices -> Load

ja avanenud dialoogis sisestada nt

* Module name - EstEID
* Module filename - /usr/lib/x86_64-linux-gnu/onepin-opensc-pkcs11.so

kus mooduli asukoht failisüsteemis sõltub arhitektuurist jms natuke, find leiab üles

$ find /usr/ -name onepin\*
/usr/lib/x86_64-linux-gnu/onepin-opensc-pkcs11.so

Tulemusena saab ID kaardiga autentida ning allkirjastada.

====Lokaalne DigiDoc klient====

Tarkvara paigaldamise käigus paigaldati ka lokaalne DigiDoc klient. Esmakordsel käivitamisel pakutakse võimalust laadida Sertifitseerimiskeskuse kehtivuskinnituse kasutamiseks vastav juurdepääsutõend, millega saab allkirjastada kuni kümme korda kuus.

====Probleemid====

* Kui allkirjastamisel küsitakse luba kahe plugina käivitamiseks (või öeldakse, et Java plugin on puudu)

[[Pilt:Chrome-esteid-1.gif]]

siis on põhjuseks, et EstEID plugin ei ole seadistatud õieti. Peab olema valitud 'Always allowed'. Oluline on teada, et Java ei ole Chrome brauseriga allkirjastamisel reeglina vajalik.

====Kasulikud lisamaterjalid====

* https://installer.id.ee/
* https://github.com/martinpaljak/ria-debian-build
* http://lauri.võsandi.com/posts/ubuntu-trusty-esteid.html
* http://pingviin.org/portal.php?topic_id=9727
* https://installer.id.ee/media/install-scripts/install-esteid-ubuntu.sh
* https://wiki.debian.org/Smartcards
* http://id.ee/?id=34228
* http://packages.ubuntu.com/lucid/libccid

===Eesti ID kaardi tarkvara v. 17.01.1686-1604 kasutamine 2017 kevadel===

Käesolevas punktis käsitletakse Eesti ID kaardi tarkvara kasutamist operatsioonisüsteem Debian v. 9 Stretch keskkonnas. Debian jaoks üldiselt pakette ei valmistata, aga osutub, et saab kasutada Ubuntu v. 16.04 Xenial pakette.

====Tööpõhimõte====

TODO

====Ettevalmistused====

Kuna Ubuntu v. 16.04 Xenial libssl1.0.0 v. 1.0.2g paketis on ka v. 1.0.0 sümbolid

<pre>
ubuntu-1604$ strings /lib/x86_64-linux-gnu/libssl.so.1.0.0 | grep ^OPENSSL_1
OPENSSL_1.0.0
OPENSSL_1.0.1
OPENSSL_1.0.1d
OPENSSL_1.0.2
OPENSSL_1.0.2g
</pre>

ja Debian v. 9 Stretch libssl1.0.2 v. 1.0.2k paketis ei ole 1.0.0 sümboleid

<pre>
debian-9$ strings /usr/lib/x86_64-linux-gnu/libssl.so.1.0.2 | grep ^OPENSSL_1
OPENSSL_1.0.2d
OPENSSL_1.0.2g
</pre>

siis on vaja leida mingi workaround. Tundub, et kaaluda maksab

* kopeerida internetist Ubuntu v. 16.04 Xenial libssl1.0.0 pakett ja kasutada sealt kahte teeki libssl.so.1.0.0 ja libcrypto.so.1.0.0 (selle lähenemise puuduseks on, et edaspidi vaevalt keegi viitsib neid teeke uuendada)
* paigaldada Debian v. 8 Jessie libssl1.0.0 pakett, http://priit.joeruut.com/archives/Eesti-ID-kaardi-tarkvara-ehk-open-eid-v.-3.12-kasutamine-Debianis.html (lähenemise puuduseks on, et Debian v. 8 Jessie tugi lõpeb tõnäoliselt varem kui Ubuntu v. 16.04 Xenial, aga väga võimalik, et veel enne tekib Debian + ID kaardi kasutamiseks mingi normaalsem lahendus)

Ubuntu libssl1.0.0 paketi saab kopeerida aadressilt http://packages.ubuntu.com/search?keywords=libssl1.0.0&searchon=names&suite=xenial&section=all

Paketi lahti pakkimiseks sobib öelda

$ cd /var/tmp/libssl1.0.0-ubuntu
$ dpkg -x /home/imre/Downloads/libssl1.0.0_1.0.2g-1ubuntu4.6_amd64.deb .

ning (kuna selliste nimedega faili enne pole)

# cp libssl.so.1.0.0 libcrypto.so.1.0.0 /usr/lib/x86_64-linux-gnu

Selleks, et süsteemis oleks paketihalduse mõttes libssl1.0.0 nimeline pakett, sobib kasutada equivs abi

* öelda

$ equivs-control libssl1.0.0

* redigeerida natuke tekkinud faili

<pre>
$ egrep -v "^$|^#" libssl1.0.0
Section: misc
Priority: optional
Standards-Version: 3.9.2
Package: libssl1.0.0
Version: 1.0.0
Maintainer: Imre <imre@auul.pri.ee>
Description: libssl1.0.0 abistaja
Testime
.
Testime 2
</pre>

* öelda

$ equivs-build libssl1.0.0

* paigaldada (kuidagi ta paigaldatakse vaatamata signatuuri puudumisele jms)

# dpkg -i libssl1.0.0_1.0.0_all.deb

====Paigaldamine====

* lisada apt võtmete hulka aadressil https://installer.id.ee/media/install-scripts/install-open-eid.sh oleva skripti algusest kaks sissekannet

# apt-key add failinimi

* lisada apt source

# cat /etc/apt/sources.list.d/ria-repository.list
deb http://installer.id.ee/media/ubuntu xenial main

* värskendada

# apt-get update

ID kaardi tarkvara paigaldamiseks sobib öelda

# apt-get install open-eid

tulemusena tekib failisüsteemi

* kümmekond paketti, enamus installer.id.ee pealt
* /etc/X11/Xsession.d/95-esteid-update-nssdb - selle faili abil X konsoolil töötamise alguses nö korraldakse sobiv seis olulistest asjadest (mh öeldakse modutil jt käske)

Paigaldamise lõpus tuleb Desktop keskkonnast logida välja ja tagasi sisse selleks, et Xsession kasutaks nssdb osa.

====ID kaardilugejaga suhtlemise kontrollimine====

Peale tarkvara paigaldamist ja eeldusel, et lugeja on arvutiga ühendatud saab öelda

<pre>
$ opensc-tool -l
# Detected readers (pcsc)
Nr. Card Features Name
0 Yes Gemalto PC Twin Reader (FB00DB62) 00 00
</pre>

Kui lisaks on ID kaart on lugejas saab öelda (jms pkcs15-tool käske)

<pre>
$ pkcs15-tool -c
Using reader with a card: Gemalto PC Twin Reader (FB00DB62) 00 00
X.509 Certificate [Isikutuvastus]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeaace
ID : 01
Encoded serial : 02 10 775DD64056F35E7954C8CB3EFEB3C8EE
X.509 Certificate [Allkirjastamine]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeddce
ID : 02
Encoded serial : 02 10 2D5E4D8F644E041454C8CB5236F7D2D6
</pre>

====ID kaardi haldusvahend====

Peale tarkvara paigaldamist maksab esmalt veenduda, et id kaardilugeja riistvara on ära tuntud ja kaart on üldiselt ligipääsetav. Selleks käivitada ID kaardi haldusvahend ja peab nägema oma sertifikaadiandmeid.

Interneti kasutamise olemasolul saab Lae pilt valikuga küsida rahvastikuregistiris olevat pilti.

====Chromium brauseriga autentimine ja allkirjastamine====

Veenduda, et Chromiumil on olemas vastav plugin (see on kopeeritav ka üldisest Google Chrome extensions repositooriumist)

[[Pilt:Chrome-esteid-3.gif]]

Tulemusena peab töötama autentimine ja allkirjastamine.

====Firefox brauseriga autentimine ja allkirjastamine====

TODO

* Tundub, et autentimine töötab nö iseenesest.

====Kasulikud lisamaterjalid====

* https://github.com/web-eid/
* https://github.com/open-eid
* https://github.com/open-eid/chrome-token-signing/wiki
* https://lauri.xn--vsandi-pxa.com/2014/04/ubuntu-trusty-esteid.html
* http://installer.id.ee/
* http://priit.joeruut.com/archives/Eesti-ID-kaardi-tarkvara-ehk-open-eid-v.-3.12-kasutamine-Debianis.html
* https://installer.id.ee/media/install-scripts/install-open-eid.sh
* https://www.auul.pri.ee/wiki/Operatsioonis%C3%BCsteem_Debian_GNU/Linux_paketihalduse_kasutamine#Equivs_kasutamine

===Test ID-kaart===

Lisaks nö päris ID-kaartidele väljastab Sertifitseerimiskeskus teatud juhtumiteks ka test ID-kaarte, nt on seal kasutatav sertifikaat selline

-----BEGIN CERTIFICATE-----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 2AjWXfHNDc0oWr7CBV9HRLmpidJQtQCwoUt6Y2NA==
-----END CERTIFICATE-----

Tekstikujul vaadatest on Issuer ja Subject väärtused

# openssl x509 -in /tmp/zaikovski.pem -noout -text
Certificate:
Data:
Version: 3 (0x2)
Serial Number: 1244104848 (0x4a278890)
Signature Algorithm: sha1WithRSAEncryption
Issuer: C=EE, O=AS Sertifitseerimiskeskus, OU=Testsertifikaadid, CN=TEST-SK
Validity
Not Before: Jun 4 08:40:48 2009 GMT
Not After : Apr 7 11:42:17 2012 GMT
Subject: C=EE, O=TEST-ESTEID, OU=authentication, \
CN=\x01}\x00A\x00I\x00K\x00O\x00V\x00S\x00K\x00I\x00,\x00I\x00G\x00O\x00R\x00,\x003\
\x007\x001\x000\x001\x000\x001\x000\x000\x002\x001, SN=\x01}\x00A\x00I\x00K\x00O\x00V\x00S\
\x00K\x00I, GN=IGOR/serialNumber=37101010021
...

Tundub, et kõigil test kaartidel on algselt samad pinid ja puk, mida saab muuta id kaardi utiliidiga, http://www.id.ee/index.php?id=30379

* PIN1 kood - 0090
* PIN2 kood - 01497
* PUK kood - 17258403

===Kaardilugeja firmware uuendamine===

Kui kaardilugeja nö peaks töötama, aga ei tööta, siis mõnel juhul on otstarbekas kaaluda kaardilugeja firmware uuendamist. Nt SCR311 kaardilugeja puhul sobib selleks kasutada Windows 7 keskkonda, et uuendada 4. -> 5. versoonide vahel.

Kasulikud lisamaterjalid

* http://www.jasemccarty.com/blog/?p=1134
* https://militarycac.com/cacdrivers.htm

===Märkused===

* Kui brauser või postiklient lakkavad töötamast ID-kaardiga, siis maksab need programmid sulgeda ja samuti peatada pcscd deemon ning seejärel esmalt deemon ning siis rakendusprogrammi uuesti käivitada.
* Kuivõrd ID-kaardi sertifikaadid kehtivad suhteliselt lühikest aega ning sertifikaatide uuendamisel praktiliselt kirjutatakse vanad sertifikaadid üle uutega, siis sobib ID-kaardi vahendeid andmete krüptimiseks kasutada nö turvalise transpordi sooritamiseks ja mitte andmete pikaajaliseks turvaliseks säilitamiseks. Lisaks on veel muid ohte, näiteks et ID-kaart rikneb füüsiliselt.

===Sertifikaatide uuendamine===

Sertifikaatide saab uuendada id kaarti utiliidiga, peale uuendamist näidatakse sellist pilti, tegevuse käigus küsitakse vana sertifikaadi PIN1

[[Pilt:Qesteidutil-2.gif]]

===TODO===

* ipsec lahenduse juures kasutamine

===Kasulikud lisamaterjalid===

* Eesti ID-kaardi tarkvara - http://ideelabor.ee/
* Sertifitseerimiskeskus - http://www.sk.ee/
* http://kuutorvaja.eenet.ee/wiki/Apache'i_veebiserver#ID_kaardiga_kasutaja_autentimine
* http://kuutorvaja.eenet.ee/wiki/OpenLDAP_kasutamine_Debianiga#Icedove.27i_aadressraamatu_pidamine
* https://digidoccheck.sk.ee/
* https://id.eesti.ee/trac/
* http://pcsclite.alioth.debian.org/supported.html
* http://code.google.com/p/esteid/

Eesti ID-kaardi kasutamine Debianiga

2018-02-14T23:37:36Z

Imre: /* pkcs11-tool utiliidi kasutamine */

===Sissejuhatus===

Eesti ID-kaart on nn protsessorkaart, mis võimaldab autentimist ja allkirjastamist. ID-kaardi kasutamiseks on vajalikud

* kehtiv Eesti ID-kaart
* kasutada oleva arvuti ja operatsioonisüsteemiga sobiv kaardilugeja
* internetiühendus
* ID-kaardi võimaluste kasutamiseks sobiv kliendipoolne tarkvara
* ID-kaardi võimaluste kasutamiseks sobiv teenus internetis

Eesti ID-kaardi töö põhineb avaliku võtme (ingl. k. public key) krüptograafia kasutamisel. Avaliku võtme infrastruktuuris (ingl. k. PKI - public key infrastructure) esitatakse kasutaja avalik võti koos kasutaja kohta käivate muude andmetega, nt kasutaja nimi ja eposti aadress selle konkreetse infrastruktuuri mõne ülemise sajalase võtmega signeeritud kujul ja seda tulemust nimetatakse kasutaja sertifikaadiks. Lisaks on sertifikaadis kirjas andmed selle sertifikaadi väljastaja kohta ja sertifikaadi kehtivuse aeg.

Eesti ID-kaartidega seotud avaliku võtme infrastruktuuri haldab sh väljastab ID-kaarte Sertifitseerimiskeskus http://www.sk.ee/ kusjuures ID-kaardil on kaks paari võtmeid, öeldakse ka, et kaks sertifikaati

* isikutuvastuse ehk autentimise sertifikaat
* allkirjastamise sertifikaat

Kahe erineva sertifikaadi kasutuselevõtmise põhjuseks on asjaolu, et sertifikaatidel on nö oluliselt erinev kaal

* isikutuvastuse sertfikaadiga kasutaja autendib ennast teenusele (st praktiliselt logib ennast sisse portaali internetis, siseneb kooduksega kaitstud ruumi füüsilises maailmas)
* allkirjastamise sertifikaati kasutatakse reeglina ainult digitaalallkirja andmiseks ja Eesti Vabariigis on digitaalallkirjastatud dokument võrdsustatud omakäeliselt allkirjatatud dokumendiga; reeglina pangaülekannete sooritamisel toimub sisemiselt samuti digitaalallkirjastamise protseduur

Oletame, et kui oleks kasutuses ainult üks sertifikaat ja nt kasutaja siseneb koodukse kaudu ruumi, siis võiks konstrueerida skeemi, kus ta pahaaimamatult allkirjastab mõne dokumendi, mida ta muul juhul ei oleks nõus allkirjastama. Kahe sertifikaadi kasutamisel on võimalik erinevaid rolle lahus hoida.

Kuigi eelmises lõigus kasutati väljendeid 'isikutuvastuse sertifikaadiga kasutaja identifitseerib' ja 'allkirjastamise sertifikaati kasutatakse reeglina digitaalallkirja andmiseks' tuleb seda seda mõista nii, et sisuliselt neid protseduure sooritades kasutaja kasutab vastava sertifikaadi salajast võtit. ID-kaardil asuvate salajaste võtmete kasutamine on turvakaalutlustel piiratud täiendava parooliga, nn PIN koodiga, kummalgi salajasel võtmel on oma PIN kood ja võtme kasutamise eel küsib ID-kaardi tarkvara kasutajalt seda koodi.

ID-kaardiga autentimine on dual-factor ehk two-factor autentimine http://en.wikipedia.org/wiki/Two-factor_authentication kuna see sisaldab kahte kontrolli

* midagi mida saab omada - ID-kaardi kui füüsilise eseme olemasolu kontroll
* midagi mida saab teada - salajase võtme teadmise kontroll

Võrreldes parooliga on ID-kaardi kasutamise üheks erinevuseks, et seda saab kasutada korraga ainult üks kasutaja nö ühest kasutuspunktist.

===Eesti ID-kaardi sertifikaatide LDAP kataloogiteenus===

Kuna avaliku võtme infrastruktuuri üheks koostisosaks on, et kõigi kasutajate avalikud võtmed st sertifikaadid on kõigile avalikult kättesaadavad, siis SK on teinud kasutajate sertifikaadid internetis kättesaadavaks LDAP kataloogiteenuse abil aadressil ldap.sk.ee. Kasutaja sertifikaate (mis sisaldavad avalikke võtmeid) saab teades tema isikukoodi kopeerida öeldes nt

$ ldapsearch -LLL -H ldap://ldap.sk.ee -x -b "c=EE" "(serialNumber=37003212713)"
dn: cn=OOLBERG\2CIMRE\2C37003212713,ou=Authentication,o=ESTEID,c=EE
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
cn: OOLBERG,IMRE,37003212713
serialNumber: 37003212713
userCertificate;binary:: MIIEGjCCAwKgAwIBAgIESIQxaDANBgkqhkiG9w0BAQUFADBbMQswC
QYDVQQGEwJFRTEiMCAGA1UEChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMGRV
...
z5vZN4059dNaqZqVg5rlVrLS5/T+sK8PHxYcO+SKDZYobddJIv6i2XlpVAQLgkChEiXI2Bd3AMfpw
fVbAjDsHXasblBtut7k1MItT3YLaNZ/xq9BY/B7afXqg==

dn: cn=OOLBERG\2CIMRE\2C37003212713,ou=Digital Signature,o=ESTEID,c=EE
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
cn: OOLBERG,IMRE,37003212713
serialNumber: 37003212713
userCertificate;binary:: MIID2jCCAsKgAwIBAgIESIQxaTANBgkqhkiG9w0BAQUFADBbMQswC
QYDVQQGEwJFRTEiMCAGA1UEChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMGRV
..

Konkreetse sertifikaadi dn elemendi kopeerimiseks sobib öelda nt

$ ldapsearch -LLL -H ldap://ldap.sk.ee -x -b ou=authentication,o=ESTEID,c=EE "(serialNumber=37003212713)" dn
dn: cn=OOLBERG\2CIMRE\2C37003212713,ou=Authentication,o=ESTEID,c=EE

===Kaardilugeja ühendamine operatsioonisüsteemiga===

Märkus: 2010 kevade seisuga peaks töötama täitsa hästi Linuxi ja Windowsiga nt kaks sellist mudelit, mida on ka kauplustes suhteliselt hästi saada

* Omnikey Cardman 1021 - USB (lauaarvutile, sülearvutile)
* Omnikey Cardman 4321 - ExpressCard http://en.wikipedia.org/wiki/ExpressCard (sülearvutile)

Ehk kõige parem kui kaardilugeja ühendub arvutiga USB abil, nt sobib mudel SRC-331. Debian Etch ja Lenny sisaldavad paketihalduses ID-kaardi kasutamiseks sobivat tarkvara, mille koduleht asub aadressil http://ideelabor.ee/ ja mille kasutamist käesolev tekst kirjeldab.

USB kaudu ühendatud ID-kaardilugeja kasutamise eelduseks on, et operatsioonisüsteem toetab USB seadmete kasutamist, sellest annab tunnistust peale kaardilugeja ühendamist lsusb sarnane väljund, kus on muu seas näha SCR331 seadmele vastav rida

# lsusb
Bus 004 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub
Bus 003 Device 002: ID 0483:2016 SGS Thomson Microelectronics Fingerprint Reader
Bus 003 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub
Bus 002 Device 006: ID 04e6:e001 SCM Microsystems, Inc. SCR331 SmartCard Reader
Bus 002 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub
Bus 001 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub

ID-kaardiga suhtlemiseks vajaliku tarkvara paigaldamiseks tuleb öelda

# apt-get install opensc pcscd libccid

Seejärel tuleb redigeerida kahte faili

* Näitena jagatavas /etc/opensc/opensc.conf failis tuleb teha kolm muudatust

# zcat /usr/share/doc/libopensc2/examples/opensc.conf.gz > /etc/opensc/opensc.conf

Leidke failist üles need parameetrid ning muutke nende väärtused sellisteks

try_emulation_first = yes;
lock_login = false;
reader_drivers = pcsc, ctapi;

* Failis /usr/lib/pcsc/drivers/ifd-ccid.bundle/Contents/Info.plist peavad sisalduma sellised read (tundub, et see on teatud SRC331 mudelite või eksemplaride spetsiifiline asi), leidke ja muutke olemasolevaid

<key>ifdDriverOptions</key>
<string>0x0004</string>

Seejärel seisake ja käivitage pcscd deemon

# /etc/init.d/pcscd restart

Kontrollimaks, et tarkvara sai korrektselt paigaldatud küsime süsteemi ühendatud kaardilugejate nimekirja

# opensc-tool -l
Readers known about:
Nr. Driver Name
0 pcsc SCM SCR 331 00 00

Ning küsime ID-kaardile kantud sertifikaatide nimekirja

# pkcs15-tool -c
X.509 Certificate [Isikutuvastus]
Flags : 0
Authority: no
Path : 3f00eeeeaace
ID : 01

X.509 Certificate [Allkirjastamine]
Flags : 0
Authority: no
Path : 3f00eeeeddce
ID : 02

===pkcs11-tool utiliidi kasutamine===

PKCS#11 is a software API for accessing cryptographic hardware like smart cards or HSM. pkcs11-tool realiseerib PKCS11 (Public Key Cryptography Standards) standardit ja võimaldab suhelda krüptoseadmega üle Cryptoki (Cryptographic Token Interface) API. Slottide nimekirja esitamiseks sobib öelda

<pre>
# pkcs11-tool -L
Available slots:
Slot 0 (0x0): Alcor Micro AU9540 00 00
(empty)
Slot 1 (0x4): Gemalto PC Twin Reader (A76A2DE4) 01 00
token label : PIN1 (OOLBERG,IMRE,37003212713)
token manufacturer : AS Sertifitseerimiskeskus
token model : PKCS#15 emulated
token flags : login required, rng, token initialized, PIN initialized
hardware version : 0.0
firmware version : 0.0
serial num : AA9909781
pin min/max : 4/12
Slot 2 (0x5): Gemalto PC Twin Reader (A76A2DE4) 01 00
token label : PIN2 (OOLBERG,IMRE,37003212713)
token manufacturer : AS Sertifitseerimiskeskus
token model : PKCS#15 emulated
token flags : login required, rng, token initialized, PIN initialized
hardware version : 0.0
firmware version : 0.0
serial num : AA9909781
pin min/max : 5/12
</pre>

Slot sisu esitamiseks, nb! slot numbri väärtus tuleb võtta sulgudest

<pre>
# pkcs11-tool --slot 4 -O
Certificate Object; type = X.509 cert
label: Isikutuvastus
ID: 01
Public Key Object; EC EC_POINT 384 bits
EC_POINT: 046104 ...
EC_PARAMS: 06052b81040023
label: Isikutuvastus
ID: 01
Usage: encrypt, verify
</pre>

kus

* ühes slotis on paistab olevat kaks objekti, sertifikaat ja public key, ilmselt on seal kaardil ka salajane võti, aga millegipärast antud vaates seda ei esitata

Kasulikud lisamaterjalid

* https://en.wikipedia.org/wiki/PKCS
* https://github.com/OpenSC/OpenSC/wiki/Frequently-Asked-Questions

===pkcs15-tool utiliidi kasutamine===

PKCS#15 is a format of on-card structures that defines a “filesystem layout” for smart cards. pkcs15-tool abil saab kopeerida ID-kaardilt sertifikaate, sedasi

# pkcs15-tool -r 01
-----BEGIN CERTIFICATE-----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==
-----END CERTIFICATE-----

Selle sertifikaadi sisu arusaadavamale kujule viimiseks tuleb öelda

# pkcs15-tool -r 01 > imreoolberg-autentimise-sertifikaat.pub
# openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -text
Certificate:
Data:
Version: 3 (0x2)
Serial Number: 1216622952 (0x48843168)
Signature Algorithm: sha1WithRSAEncryption
Issuer: C=EE, O=AS Sertifitseerimiskeskus, OU=ESTEID, CN=ESTEID-SK 2007
Validity
Not Before: Jul 21 06:49:12 2008 GMT
Not After : Sep 11 21:00:00 2012 GMT
Subject: C=EE, O=ESTEID, OU=authentication, CN=OOLBERG,IMRE,37003212713, SN=OOLBERG, GN=IMRE/serialNumber=37003212713
Subject Public Key Info:
Public Key Algorithm: rsaEncryption
RSA Public Key: (1024 bit)
Modulus (1024 bit):
..

Sertifikaadist saab küsida ka üksikuid elemente, nt Subject'i, mis näitab kellele on sertifikaat väljastatud

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -subject
subject= /C=EE/O=ESTEID/OU=authentication/CN=OOLBERG,IMRE,37003212713/SN=OOLBERG/GN=IMRE/serialNumber=37003212713

või Issuer'i, mis näitab, kes sertifikaadi väljastas

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -issuer
issuer= /C=EE/O=AS Sertifitseerimiskeskus/OU=ESTEID/CN=ESTEID-SK 2007

või ajavahemiku, mil sertifikaat kehtib

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -dates
notBefore=Jul 21 06:49:12 2008 GMT
notAfter=Sep 11 21:00:00 2012 GMT

Lisaks sertifikaatidele ja võtmetele sisaldab veel andmeid id kaardi nö elektroolilises osas, nt dokumendi number. Seda ja muid andmeid saab küsides nn dump'i

# pkcs15-tool -D -r 01
Using reader with a card: SCM SCR 331 [CCID Interface] (504005BE) 00 00
..
PKCS#15 Card [IMRE OOLBERG]:
Version : 2
Serial number : A0055799
Manufacturer ID: AS Sertifitseerimiskeskus
Flags : Read-only, PRN generation, EID compliant
...

Kui arvutis on kasutusel mitu ID kaarti, siis saab kontrollida millisega tegeledakse parameetri abil

--reader N

===Iceweasel brauseri kasutamine===

Iceweasel brauseri abil on iseenesest võimalik kahe tegevuse sooritamine

* autentimine - kasutaja kinnitab teenusele, nt veebiportaalile, et tema kasutuses on tema autentimise sertifikaadis sisalduvale avalikule võtmele vastav salajane võti
* digitaalne allkirjastamine - kastutaja kinnitab teenusele, nt pangaülekande sooritamisel, et tema kasutuses on tema allkirjastamise sertifikaadis sisalduvale avalikule võtmele vastav salajane võti

Kuivõrd teenuse jaoks on praktiliselt oluline, et kasutaja kinnitaks sertifikaadile vastava salajase võtme olemasolu PIN koodi sisestamise teel, siis siit järeldub, et tuleb hoolega hoida ID-kaarti ning ID-kaardi PIN koode enda teada.

Brauseri tööleseadmine autentimiseks on lihtsam ning allkirjastamiseks keerulisem. Tundub, et praktiliselt on 2009 klienditarkvara ja nende teenuste tarkvara, mida saab Iceweaseliga kasutada seis selline, et Iceweasel brauser iseseisvalt ei tegele andmete allkirjastamisega; allkirjastamine toimub nt Java appleti abil, kusjuures applet küsib kasutajalt allkirjastamiseks vajalikku PIN2 koodi. Seda arvestades on soovitav kasutada turvaseadme kirjeldamisel spetsiaalselt ettevalmistatud teeki onepin-opensc-pkcs11.so, mis efektiivselt varjab brauseri eest ära teise sertifikaadi, kui seda mitte teha, siis praktililiselt hakkab brauser kasutajalt küsima ise vaheldumisi mõlema sertifikaadi PIN koodi ja see oleks üsna eksitav.

Brauseri ID-kaardiga kasutamise ettevalmistamiseks tuleb avada

Edit -> Preferences -> Advanced -> Encryption -> Security Devices -> Load

ning kirjeldada Eesti ID-kaardile vastav turvaseade (ingl. k. security device)

Module Name: esteid
Module filename: /usr/lib/onepin-opensc-pkcs11.so

Sõltuvalt sellest, kas soovitakse, et peale PIN1 sisestamist küsiks brauser kasutajalt igal ID-kaardiga autentimise korral kinnitust või mitte tuleb valida

* Select one automatically
* Ask me every time

[[Pilt:Id-auth-cc.gif]]

====Iceweasel brauseri kasutamine autentimiseks====

Auntentimiseks piisab turvaseadme ettevalmistamisest ning seejärel saab näiteks logida sisse riigiportaali, küsitakse PIN1 koodi

[[Pilt:Id-auth-java-pin1.gif]]

====Iceweasel brauseri kasutamine allkirjastamiseks====

Nt SEB pangas makset sooritades toimub digitaal-allkirjastamise protseduur; ja https://digidoc.sk.ee/ või riigiportaali eesti.ee kasutamisel saab moodustada uut digitaalselt allkirjastatud dokumenti või kontrollida olemasoleval digitaalselt allkirjastatud dokumendil allkirja kehtivust. Osa kasutajaid suhtub veebiliidese kaudu dokumentide allkirjastamisse äärmiselt kahtlustavalt, kuna kui juba lokaalse rakendusega digitaalallkirja andmisel ei saa olla täiesti kindel, millele ikkagi allkiri antakse, siis veebirakenduse puhul on see veel eriti nii.

Iceweasel brauseriga allkirjastamiseks peab olema paigaldatud Mozilla Sun Java plugini tarkvara pakett (millega koos paigaldatakse vajadusel ka JVM, kusjuures on oluline kasutada justnimelt Sun Java mitte IBM või GCJ implementatsioone)

# apt-get install sun-java5-plugin

Ning lisaks kopeerida teek

# mkdir /tmp/teek && cd /tmp/teek
# wget http://ideelabor.ee/downloads/pkcs11wrapper-linux.tar.gz
# tar zxf pkcs11wrapper-linux.tar.gz
# find . -type f -ls
442489 104 -rwxr-xr-x 1 501 501 99004 Apr 23 2004 ./libpkcs11wrapper.so

Seejärel tuleb otsida üles arvutist JVM kataloog

# find /usr -type f -name java -ls
173534 68 -rwxr-xr-x 1 root root 65116 May 28 2008 /usr/lib/jvm/java-1.5.0-sun-1.5.0.16/jre/bin/java

mis tähendab, et

JAVA_HOME=/usr/lib/jvm/java-1.5.0-sun-1.5.0.16

Lõpuks tuleb kopeerida lahtipakitud teek kataloogi ${JAVA_HOME}/jre/lib/i386

# cp libpkcs11wrapper.so /usr/lib/jvm/java-1.5.0-sun-1.5.0.16/jre/lib/i386

Lisaks peavad olema lingid, esimene on vajalik digidoc portaali kasutamiseks ja teine SEB pangas

# ln -s /usr/lib/opensc-pkcs11.so /usr/lib/libopensc-pkcs11.so
# ln -s /usr/lib/opensc-pkcs11.so /usr/lib/libesteid-pkcs11.so

NB! Java tarkvara uuendamisel mõnel juhul muutub ka versiooni number nii, et muutub java asukoht failisüsteemis, nt

/usr/lib/jvm/java-1.5.0-sun-1.5.0.16 -> /usr/lib/jvm/java-1.5.0-sun-1.5.0.17

Sel juhul tuleb libpkcs11wrapper.so kopeerida samasse alamkataloogi kuhu ennegi uue java kataloogi sisse.

Kui süsteemi on paigaldatud lisaks mõni uuem java versioon, nt paketist sun-java6-*, siis tuleb kõnealune wrapper kopeerida kõige uuema Java vastavasse kataloogi, nt

# cp libpkcs11wrapper.so /usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/i386/

=====Allkirjastamine SEB pangas=====

Peale panga keskkonda sisselogimist (kas otseselt või läbi mõne muu teenusepakkuja, nt www.if.ee, www.energia.ee jt) ning maksekorralduse ettevalmistamist esitatakse allkirja andmise juurde esmakordsel minemisel küsimus rakenduse usaldusväärsuse kohta

[[Pilt:Id-allkiri-java-pin4.gif]]

ja seejärel tuleb ära oodata pisut eksitav tühi aken, kus tuleb valida Cancel

[[Pilt:Id-allkiri-java-pin3.gif]]

ning seejärel valides Allkirjasta öeldakse, et loetakse andmeid kiipkaardilt ning küsitakse PIN2 koodi

[[Pilt:Id-allkiri-java-pin2.gif]]

Allkirjastamise ajal töötab java rakendus sun.plugin2.main.client.PluginMain

$ ps aux | grep java
mart 6859 10.1 4.7 242668 48832 ? Sl 10:55 0:04 /usr/lib/jvm/java-6-sun-1.6.0.12/jre/bin/java -D__jvm_launched=5951554477 \
-Xbootclasspath/a:/usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/deploy.jar:/usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/javaws.jar:\
/usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/plugin.jar -Djava.class.path=/usr/lib/jvm/java-6-sun-1.6.0.12/jre/classes \
sun.plugin2.main.client.PluginMain write_pipe_name=/tmp/.com.sun.deploy.net.socket.5659.2862701817965363267.AF_UNIX

=====Allkirjastamine Sertifitseerimiskeskuse digidoc.sk.ee portaalis=====

https://digidoc.sk.ee/ portaal võimaldab veebipõhises keskkonnas sooritada digitaalallkirjastamisega seotud protseduure, nt anda allkirja, kontrollida allkirja ja jagada sama dokumenti teiste portaali kasutajatega selleks, et ühte dokumenti saaks allkirjastada mitu osapoolt. Portaali sisenemisel avaneb kasutuskeskkonnale sarnane vaade, süsteemi on laaditud kaks dokumenti, ühel on üks allkiri ja teisel ei ole ühtegi allkirja

[[Pilt:Digidoc-1.gif]]

Keskkonna kasutamine võiks toimuda suhteliselt intuatiivselt, dokumenti allkirjastamisel tuleb täita sarnased lahtrid nagu nn lokaalset digidoc klienti kasutades

[[Pilt:Digidoc-2.gif]]

Allkirjastamisel küsitakse kasutajalt PIN2 koodi

[[Pilt:Digidoc-3.gif]]

https://digidoc.sk.ee/ keskkonnas ei saa tegeleda krüptitud dokumentidega ehk nn .cdoc failidega.

=====Allkirjastamine riigiportaalis www.eesti.ee=====

Aadressil https://www.eesti.ee/ asuvas riigiportaalis sektsioonis

Kodanikule -> Digitaalallkiri

saab veebipõhises keskkonnas sooritada digitaalallkirjastamisega seotud protseduure, nt anda allkirja, kontrollida allkirja ja jagada sama dokumenti teiste portaali kasutajatega selleks, et ühte dokumenti saaks allkirjastada mitu osapoolt.

Portaali Digiallkirja sektsiooni sisenemisel avaneb kasutuskeskkonnale sarnane vaade, süsteemi on laaditud kaks dokumenti, ühel on üks allkiri ja teisel ei ole ühtegi allkirja

[[Pilt:Riigiportaal-digiallkiri-1.gif]]

Keskkonna kasutamine võiks toimuda suhteliselt intuatiivselt, dokumendi allkirjastamisel tuleb täita sarnased lahtrid nagu nn lokaalset digidoc klienti kasutades, PIN2 sisestamine toimub Java appleti abil, sarnaselt

[[Pilt:Riigiportaal-digiallkiri-2.gif]]

Riigiportaalis ei saa tegeleda krüptitud dokumentidega ehk nn .cdoc failidega.

===Icedove postikliendi kasutamine===

Lisaks nö tavalistele e-kirjadele on võimalik moodustada spetsiaalsete lisaomadustega kirju

* allkirjastatud kiri - kirja saatja moodustab allkirja oma salajase võtmega; kirja saaja saab olla kindel, et kiri on saadetud just selle kasutaja poolt kelle sertifikaadi (avaliku võtme) abil õnnestub kirja autentsust kontrollida; kirja sisu on kõigile avalik, kuid kirjale on nö attachmentiga sarnaselt juurde digitaalse allkirja osa; oluline erinevus nö .ddoc allkirjastamisest on, et reeglina ei kasutata seejuures Sertifitseerimiskeskusest saadud kehtivuskinnitust
* krüptitud kiri - kirja saatja krüptib kirja adressaadi avaliku võtmega (sertifikaadiga); kirja saatja saab olla kindel, et mitte keegi peale selle kasutaja, kelle kasutuses on vastav salajane võti saab kirja sisuga tutvuda

Tuleb arvestada, et eposti allkirjastamine ja krüptimine omab tähendust ainult epostiga tegelemisel ning kuigi see tehnika pakub võimaluse täiendava turvalisuse saavutamiseks ei ole tegu Eesti Vabariigi seaduse mõttes kehtiva digitaalselt allkirjastatud dokumendiga juba seetõttu, et mõlemal juhul kasutatakse autentimise sertifikaati.

Kirja krüptimisel ei ole see tingimata oluline, aga allkirjastamiseks Eesti ID-kaardil asuva autentimise sertifikaadile vastava salajase võtmega eeltingimuseks on, et kasutaja on oma postiprogrammis kirjeldanud tema sertifikaadil leiduva postiaadressiga seotud konto. Sertifikaadile märgitud postiaadressi saab küsida sertifikaadilt öeldes

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -email
imre.oolberg@eesti.ee

Iceweasel programmi ID-kaardiga kasutamise ettevalmistamiseks tuleb avada

Edit -> Preferences -> Advanced -> Certificates -> Security devices -> Load

ning kirjeldada Eesti ID-kaardile vastava turvaseade (ingl. k. security device)

Module Name: esteid
Module filename: /usr/lib/onepin-opensc-pkcs11.so

Lisaks tuleb laadida Icedove'i SK juursertifikaat, ESTEID-SK ja ESTEID-SK 2007 sertifikaadid, mis saab kopeerida http://www.sk.ee/ (Avaleht -> Sertifitseerimine -> Baasinfo -> Juursertifikaadid) veebikohast

Edit -> Preferences -> Advanced -> Certificates -> View Certificates -> Authorities -> Import

Kusjuures tuleb kindlasti vastata jaatavalt küsimusele, et neid usaldatakse eposti jaoks kasutamiseks

[[Pilt:Id-sign-0.gif]]

Seejärel tuleb Icedove'is seoses nn @eesti.ee aadressiga, nt imre.oolberg@eesti.ee, kirjeldatud konto juures näidata, milliseid sertifikaate kasutatakse eposti allkirjastamise ning krüptimise juures, valida ülemine Select (Digital Signing)

[[Pilt:Id-sign-1.gif]]

Peale PIN1 koodi sisestamist esitab arvuti valitud sertifikaadi andmed

[[Pilt:Id-sign-2.gif]]

Valides järgmisena Encryption juures Select küsib arvuti, kas ma soovin kasutada sama sertifikaati (õigemini sama sertifikaadiga seotud salajast võtit) teiste kasutajate poolt mulle saadetud krüptitud kirjade (mis on krüptitud minu avaliku võtmega) lahtikürptimiseks, sobib vastata jaatavalt.

====Icedove postikliendi kasutamine eposti allkirjastamiseks====

Kirja saatmine toimub tavapäraselt ainukese erinevusega, et enne kirja saatmist tuleb valida Security alt

Digitally Sign This Message

[[Pilt:Id-sign-3-1.gif]]

Kirja saajal peab olema postiprogrammi laaditud vähemalt SK juursertifikaat (sellest piisab allkirja kontrollimiseks, sest signatuur sisaldab ka allkirjastaja sertifikaati ning ahelat SK juursertifikaadini ja brauseris oleva SK juursertifikaadiga saab seega tuvastada kasutaja allkirja kehtivust) abil ning kiri pasitab sellisena

[[Pilt:Id-sign-3-2.gif]]

Messsage Security aken avaneb vajutades programmiakna paremas servas asuvale kollane-punane värvi ümbriku kujutisele ja ütleb, et vaatlusalune kiri on allkirjastatud (ingl. k. signed) ning allkiri (ingl. k. signature) on kehtiv. St kirja saaja saab olla kindel, et kiri on saadetud selle poolt, kelle kasutada on allkirja kontrollimisel kasutatud sertifikaadile vastav salajane võti.

====Icedove postikliendi kasutamine eposti krüptimiseks====

Eposti krüptimine toimub adressaadi Eesti ID-kaardi autentimise avaliku võtmega, mis tähendab, et keegi teine peale vastava salajase võtme valdaja ei saa sõnumi teksti sisuga tutvuda. Kirja saatmisel tuleb valida

Security -> Encrypt This Message

[[Pilt:Id-sign-3-3.gif]]

Kirja lugemisel peab olema võimalik kasutada ID-kaarti ning tulemus võiks paista sarnane

[[Pilt:Id-sign-3-4.gif]]

Security Message aken avaneb vajutades programmiakna paremas servas asuvale tabaluku kujutisele ja ütleb, et kiri on krüptitud ning selle sisuga on peale adressaadi teistel kasutajatel ülimalt raske tutvuda.

Kui krüptitud kirja adressaadil on ID-kaardi kasutamine seadistamata, siis esitab programm kasutajale veateadet

Icedove cannot decrypt this message

The sender encrypted this message to you using one of your digital certificates, however Icedove was not able to find
this certificate and corresponding private key.

Possible solutions:

* If you have a smartcard, please insert it now.
* If you are using a new machine, or if you are using a new Icedove profile, you will need to restore your certificate
and private key from a backup. Certificate backups usually end in ".p12".

Krüptimisel tuleb arvestada, et kirja päised sh Message-ID, Date, From, To, Subject jt ei ole krüptitud

..
Message-ID: <49B277C9.8010303@eesti.ee>
Date: Sat, 07 Mar 2009 15:34:01 +0200
From: Imre Oolberg <imre.oolberg@eesti.ee>
User-Agent: Mozilla-Thunderbird 2.0.0.19 (X11/20090103)
MIME-Version: 1.0
To: imre.oolberg@eesti.ee
Subject: eesti muld ja eesti =?ISO-8859-1?Q?s=FCda?=
Content-Type: application/x-pkcs7-mime; name="smime.p7m"
Content-Transfer-Encoding: base64
Content-Disposition: attachment; filename="smime.p7m"
Content-Description: S/MIME Encrypted Message

MIAGCSqGSIb3DQEHA6CAMIACAQAxgf0wgfoCAQAwYzBbMQswCQYDVQQGEwJFRTEiMCAGA1UE
ChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMGRVNURUlEMRcwFQYDVQQD
Ew5FU1RFSUQtU0sgMjAwNwIESIQxaDANBgkqhkiG9w0BAQEFAASBgB4isztO9MjE1ZQUzA7e
U1E0YTQZF0nIW4b46Nn/Be+DtUgzZWyZjgln4YxqQ7vDWPJiFNJTqdLjNCPGb6WEJ7ddZJGp
hM/z+tyCNHrXP6DbvjtmF9qJ9WgvyiqHyQMr8FKRCnLdcj70G+N0EzFnsMq4QsvLi6PHaE7v
rWGWq1ynMIAGCSqGSIb3DQEHATAUBggqhkiG9w0DBwQInoBpNLI3/IOggASCAijikH35Tqn9
..

====Teiste kasutajate sertifikaatide kasutamine====

Selleks, et

* saata teisele @eesti.ee postisüsteemi kasutajale krüptitud kirja
* kontrollida teise @eesti.ee postisüsteemi kasutaja poolt saadetud allkirjastatud kirja allkirja

peab olema Icedove'i laaditud teise kasutaja avalik võti, mis esineb nn autentimise sertifikaadi kujul. Selleks tuleb teades kasutaja isikukoodi kopeerida sertifikaadid ldap.sk.ee serverist, nt

$ ldapsearch -LLL -H ldap://ldap.sk.ee -x -b "c=EE" "(serialNumber=37003212713)"

Salvestada esimesele sertifikaadile vastav tekstiosa st

...
userCertificate;binary:: MIID2jCCAsKgAwIBAgIESIQxaTANBgkqhkiG9w0BAQUFADBbMQswC
..
cOXVX08WgFeVtlH1S6AeDIuY1i/EIngiAUV
....

tekstifaili, alates MIID2.. osast, tekstifail peab algama ja lõppema spetsiaalse tunnusega, kokku peab saama sarnane fail

-----BEGIN CERTIFICATE-----
MIID2jCCAsKgAwIBAgIESIQxaTANBgkqhkiG9w0BAQUFADBbMQswC
..
cOXVX08WgFeVtlH1S6AeDIuY1i/EIngiAUV
-----END CERTIFICATE-----

Ning see fail tuleb laadida Icedove'i valides

Edit -> Preferences -> Advanced -> Certificates -> View Certificates -> Other People's -> Import

Seejärel saab saada sertifikaadis näidatud eposti aadressile krüptitud posti ning samuti kontrollida selle kasutaja poolt allkirjastatud eposti signatuuri.

Kui on võimalik, siis saab teise kasutaja isikutuvastuse sertifikaadi postiklienti laadimiseks kasutada ka lihtsamat protseduuri. Nimelt, piisab kui teine kasutaja saadab esmalt signeeritud kirja ning see kiri postikliendiga avada. Sel juhul salvestatakse sertifikaat automaaselt postikliendi Other people's sertifikaatide hoidlasse.

Üldiselt võib üks ja sama kiri olla samaaegselt nii signeeritud kui ka krüptitud.

===@eesti.ee aadresside kasutamine===

Kuna Eesti ID-kaardi autentimise sertifikaadile vastava avaliku võtmega kürptitud kirju saab saata tingimusel, et adressaadiks on sertifikaadis esitatud aadress, mis on kujul

eesnimi.perekonnanimi@eesti.ee

või kui sama ees-ja perekonnanimega kasutajaid oma rohkem kui üks, siis järgmistele aadressidele on perekonnanime järele lisatud arv

eesnimi.perekonnanimi.1@eesti.ee

siis oleks hea kui sellistele aadressidele saadetud kirjad mugavasti adressaadi postkasti jõuaksid.

Käesolev asjakorraldus võimaldab Eesti ID-kaardi omanikel aadressil http://www.eesti.ee/ asuvas riigiportaalis seadistada, kuhu tema @eesti.ee aadressile saadetud kirjad edasi saadetakse. Tavaliselt on selleks nt mail.ee, gmail.com vms teenusepakkuja postkastiga seotud eposti aadress.

Kuigi tehniliselt teeb @eesti.ee aadressi kasutamine mugavaks signeeritud ja krüptitud kirjade vahetamise, töötab see ka nö tavaliste kirjade puhul.

Kusjuures varasemal ajal on kasutatud ID-kaardi autentimise sertifikaadis ka aadressi kujul, kus nnnn on neljakohaline arv

eesnimi.perekonnanimi_nnnn@eesti.ee

Lisaks, @eesti.ee postisüsteem võimaldab seadistada kasutajal omale edasisuunamise aadressi aadressile

isikukood@eesti.ee

kuid kuna see aadress ei esine sertifikaadis, siis ei ole võimalik seda kasutada eposti allkirjastamisel ega krüptimisel.

===Sertifikaadi kehtivuse kontrollimine===

Avaliku võtme infrastruktuuri üheks ülesandeks on hallata kasutajate sertifikaate sh mitmetel põhjusel sertifikaat kehtetuks kuulutada. Seega, sertifikaadi kasutamisel on oluline kontrollida, kas sertifikaat kasutamise ajal kehtib, seda saab teha SK OCSP (Online Certificate Status Protocol) abil öeldes

$ openssl ocsp -issuer esteid.pem -cert idkaardiltsert.pem -url http://ocsp.sk.ee -noverify -text
OCSP Request Data:
Version: 1 (0x0)
Requestor List:
Certificate ID:
Hash Algorithm: sha1
Issuer Name Hash: 4508A41C355C0A72485FE2DF7B6A6788C6A55022
Issuer Key Hash: 4806DEBE8C875795807863FA9C232B2BA03A1875
Serial Number: 48843168
Request Extensions:
OCSP Nonce:
0410090A1FA4F0555E82C1DFB4722FC61696
OCSP Response Data:
OCSP Response Status: successful (0x0)
Response Type: Basic OCSP Response
Version: 1 (0x0)
Responder Id: C = EE, O = ESTEID, OU = OCSP, CN = ESTEID-SK 2007 OCSP RESPONDER, emailAddress = pki@sk.ee
Produced At: Oct 7 22:15:36 2008 GMT
Responses:
Certificate ID:
Hash Algorithm: sha1
Issuer Name Hash: 4508A41C355C0A72485FE2DF7B6A6788C6A55022
Issuer Key Hash: 4806DEBE8C875795807863FA9C232B2BA03A1875
Serial Number: 48843168
Cert Status: good
This Update: Oct 7 22:15:36 2008 GMT

Response Extensions:
OCSP Nonce:
0410090A1FA4F0555E82C1DFB4722FC61696
cert.pem: good
This Update: Oct 7 22:15:36 2008 GMT

Kus esteid.pem sertifikaadi saab kopeerida SK veebikohast.

===ID-kaardi kasutamine chroot keskkonnast===

Märkus: 20090314 stabiilne Debian Lenny sisaldab sun-java6-plugin paketti.

Üks praktiline vajadus kasutada ID-kaarti chroot programmiga moodustatud chroot keskkonnast oleks 64 bit Debiani operatsioonisüsteemis kasutada 32 bit Iceweaselit'i. Põhjusel, et 32 bit arhitektuurile on olemas Iceweaseli java plugin (pakett sun-java6-plugin), aga 64 bitile seda 2008 aastal pole. Omakorda on java vajalik, et saaks nt SEB pangas allkirjastada st sooritada ülekannet.

Tundub, et kui arvutile külge ühendatud ID-kaarti on tarvis kasutada chroot käsu abil moodustatud chroot keskkonnast, siis tuleb öelda (pcscd deemon töötab nn absoluutses arvutis)

# mount --bind /var/run/pcscd /srv/arvuti-32/var/run/pcscd

ning seejärel tuleb käivitada iceweasel nt selliselt läbi sudo

$ sudo /usr/sbin/chroot /srv/arvuti-32 iceweasel

Selleks, et chroot keskkonnas käivitatud iceweasel saaks näidata oma pilti X serverile tuleb xhost käsuga kaasa aidata, nt öelda

$ xhost +iceweaseliarvutinimi

kusjuures ilma argumentideta xhost näitab, millistest arvutitest on võimalik X serveri poole pöörduda.

Kirjeldatud asjakorralduse puhul ei ole tarvis chroot keskkonda ühendada külge mingeid muid failisüsteeme (nt /proc, /sys) ega käivitada seal deemoneid pcscd vms.

Sudo töötamiseks on vajalik omakorda sellist sisu /etc/sudoers faili

User_Alias CHROOT_USERS = mart
Cmnd_Alias CHROOT_CMD = /usr/sbin/chroot
Host_Alias MORAAL = arvuti
CHROOT_USERS MORAAL = (root) NOPASSWD: CHROOT_CMD

Milliseid turvariske selline asjakorraldus tema jaoks toob peab iga kasutaja ise hindama, eriti seoses X serverile ligipääsemisega kus on avatud ID-kaarti kasutav rakendus.

===ID-kaardi kasutamine konsoolilt arvutisse sisselogimiseks===

Arvutisse sisselogimise kontrollimist on võimalik korraldada ID-kaardi isikutuvastuse sertifikaadiga. Ehk täpsemini, sisselogimisel peab kasutaja tõendama, et ta saab kasutada isikutuvastuse sertifikaadile vastavat salajast võtit ja seda ta teeb PIN1 koodi sisestamise teel.

Tööleseadistatud süsteemi kasutamine näeb välja mitte-graafilise konsooli (tõenäoliselt mingi getty) kasutamisel selliselt, tulemusena on kasutaja süsteemi sisse loginud, nt juurkasutaja

Debian GNU/Linux 5.0 arvutinimi tty4

arvutinimi login: root
Please insert your smart card or enter your username.
Smart card inserted.
Welcome to ID-kaart (PIN1, Isikutuvastus)!
Smart card password:
...

bash#

Sellise asjakorralduse tööleseadmiseks tuleb üldiselt ID-kaart arvutiga ära ühendada nii nagu on ülal punktis 'Kaardilugeja ühendamine operatsioonisüsteemiga' kirjeldatud ning seejärel

* seadistada sisselogimise kontrolli süsteemne osa
* seadistada sisselogimise kontrolli kasutajaspetsiifiline osa

====Süsteemi ettevalmistamine====

Süsteemi ettevalmistamiseks tuleb lisaks paigaldada pakett libpam-pkcs11

# apt-get install libpam-pkcs11

Seejärel moodustada kataloog /etc/pam_pkcs11, sinna näidise eeskujul seadistusfail

# mkdir /etc/pam_pkcs11
# zcat /usr/share/doc/libpam-pkcs11/examples/pam_pkcs11.conf.gz > /etc/pam_pkcs11/pam_pkcs11.conf
# zcat /usr/share/doc/libpam-pkcs11/examples/pam_pkcs11.conf.gz > /etc/pam_pkcs11/pam_pkcs11.conf-orig

ja teha seadistusfailis sellised muudatused

# diff pam_pkcs11.conf pam_pkcs11.conf-orig
85,86c85
< # module = /usr/lib/pam_pkcs11/pkcs11_module.so;
< module = /usr/lib/opensc-pkcs11.so;
---
> module = /usr/lib/pam_pkcs11/pkcs11_module.so;
116c115
< use_mappers = opensc, digest, cn, pwent, uid, mail, subject, null;
---
> use_mappers = digest, cn, pwent, uid, mail, subject, null;
122,123c121
< # mapper_search_path = /usr/lib/pam_pkcs11;
< mapper_search_path = /lib/pam_pkcs11;
---
> mapper_search_path = /usr/lib/pam_pkcs11;
160,161c158
< # module = /usr/lib/pam_pkcs11/opensc_mapper.so;
< module = /lib/pam_pkcs11/opensc_mapper.so
---
> module = /usr/lib/pam_pkcs11/opensc_mapper.so;

SK sertifikaatide kopeerimine ja nn hash linkide moodustmine toimub selliselt (eeldusel, et kasutaja isikutuvastuse sertifikaat on antud välja ESTEID-SK 2007 sertifikaadi suhtes)

# mkdir /etc/pam_pkcs11/cacerts
# cd /etc/pam_pkcs11/cacerts
# wget http://www.sk.ee/files/JUUR-SK.PEM.cer -O JUUR-SK.PEM.pem
# wget http://www.sk.ee/files/ESTEID-SK%202007.PEM.cer -O ESTEID-SK%202007.PEM.pem
# c_rehash .

Tulemus

# find . -ls
183909 4 drwxr-xr-x 2 root root 4096 Mar 15 12:28 .
183911 4 -rw-r--r-- 1 root root 1404 Jan 3 2007 ./ESTEID-SK\ 2007.PEM.pem
183910 4 -rw-r--r-- 1 root root 1790 Feb 6 2006 ./JUUR-SK.PEM.pem
183913 0 lrwxrwxrwx 1 root root 15 Mar 15 12:28 ./119afc2e.0 -> JUUR-SK.PEM.pem
183912 0 lrwxrwxrwx 1 root root 22 Mar 15 12:28 ./590f5e9e.0 -> ESTEID-SK\ 2007.PEM.pem

Lõpuks tuleb kirjeldada PAM mooduli seadistusfailis uus autentimisviis lisades faili /etc/pam.d/common-auth juurde esimeseks reaks

auth sufficient pam_pkcs11.so nullok

====Kasutajakeskkonna ettevalmistamine====

Selleks, et konktreene kasutaja, nt juurkasutaja saaks süsteemi siseneda tuleb moodustada kataloog

# mkdir /root/.eid

ning kopeerida ID-kaardilt isikutuvastuse sertifikaat faili /root/.eid/authorized_certificates

# pkcs15-tool -r 01 > /root/.eid/authorized_certificates

===Eesti ID-kaardi kasutamine OpenVPN lahendusega===

OpenVPN pala tekstis http://kuutorvaja.eenet.ee/wiki/OpenVPN_ja_Eesti_ID-kaardi_kasutamine on kirjeldatud, kuidas kasutada Eesti ID-kaarti VPN kasutajate autentimiseks.

===Eesti ID-kaardi kasutamine GnuPG-2 tarkvaraga===

Märkmed Eesti ID-kaardi võimalikust kasutamisest GnuPG-2 tarkvaraga, mis kahjuks ei vii tulemuseni, aga võimalik, et ühel päeval viivad, http://kuutorvaja.eenet.ee/wiki/GnuPG_kasutamine_Debianiga#Eesti_ID-kaardi_kasutamine_GnuPG-2_tarkvaraga

===ID-kaardi koodide muutmine===

ID-kaardi isikutuvastuse ja allkirjastamise võtmete kasutamist kaitstakse koodidega, vastavalt PIN1 ja PIN2 koodid. Lisaks on kasutusel PUK kood, mille abil saab PIN1 ja PIN2 koodi vajadusel muuta, näiteks kui mõni PIN kood on saanud teatavaks kellelegi teisele või mõni PIN kood on ära ununenud. Kui sooritada kolm järjestikulist ebaõnnestunud koodi sisestamist, siis ligipääs kõnelusele salajasele võtmele lukustatakse, st et enne kui seda saab uuesti kasutada, tuleb ligipääs võtmele PUK koodi abil lahti lukustada.

ID-kaardi PIN koodide lahtilukustamiseks sobib kasutada pkcs15-tool utiliiti, nt öelda PIN 1 koodi lahtilukustamiseks

# pkcs15-tool --unblock-pin -a 1
Enter PUK [PIN1, Isikutuvastus]:
Enter new PIN [PIN1, Isikutuvastus]:
Enter new PIN again [PIN1, Isikutuvastus]:

Muud käsud:

PIN1 koodi muutmiseks

# pkcs15-tool --change-pin -a 1

PIN2 koodi muutmiseks

# pkcs15-tool --change-pin -a 2

PIN2 koodi lahtilukustamiseks

# pkcs15-tool --unblock-pin -a 2

PUK koodi muutmiseks

# pkcs15-tool --change-pin -a 3

Kui aga PUK kood on kadunud, siis saab ID-kaarti kasutada seni kuni pole tarvis PIN koode muuta, vastasel korral tuleb teeninduspunktist, nt pangas paluda paigaldada ID-kaardile uus nn ümbrik.

===e-valimistel osalemine===

e-valimistel osalemiseks tuleb valimiste veebikohta sisse logida ning kopeerida lokaalselt töötav rakendus. Kävitamisel paistab selline pilt

[[Pilt:Evalimised-2009-1.gif]]

===Mobiil-ID===

Mobiil-ID tehnika võimaldab kasutada mobiiltelefoni sarnaselt ID-kaardile, mobiil-ID toimimist on kirjeldatud aadressil http://www.id.ee/10958

===ID-kaardi rakenduste arendamine===

ID-kaardi rakenduste arendajale on Sertifitseerimiskeskus tekitanud projekti OpenXades aadressil http://www.openxades.org/

* saab testida id-kaardiga allkirjastamist vastu test digidocservice teenust (selleks tuleb üles laadida oma sertifikaadid)
* saab testida mobiil-id kaardi kasutamist (selleks tuleb üles laadida oma sertifikaadid)

===Eesti ID-kaardi tarkvara arendus 2009===

Smartlink arendab RIA tellimusel 2009 aastal Eesti ID-kaardi kasutamise tarkvara https://id.eesti.ee/idtrac/, mis sisaldab muu hulgas kasutaja töökohaarvutis kasutamiseks graafilise kasutajaliidesega programme

* qesteidutil - ID-kaardi haldamise tarkvara, sertifikaatide kehtivuse kontroll, PIN koodide muutmine, sertifikaatide uuendamine jms
* qdigidocclient - andmete allkirjastamine ja allkirjade kontrollimine, st nn .ddoc ja .bdoc failidega tegelemine
* qdigidoccrypto - andmete krüptimine teise ID-kaardi kasutaja avaliku võtmega, st .cdoc failidega tegelemine

Lisaks asendab Smartlink lahendus Debian Lenny nö ametlikust tarkvarast sellised paketid

* libopensc2 - OpenSC teek
* opensc - OpenSC utiliidid, kuigi selle paketi paigaldamine ei ole lõppkasutaja seisukohast tingimata vajalik (seal sisaldub nt pkcs15-tool utiliit)

2009 aasta juuli keskel on see selle tarkvara arendusetapp lõpule jõudmas ning praktiselt saab tarkvara võimalustega tutvuda ja tasakesi kasutada.

====Tarkvara paigaldamine====

Kõnealune lahendus kasutab eraldiseisvalt eksisteerivaid OpenSC teeke (pakett libopensc2, seadistusfail /etc/opensc/opensc.conf) ning PC/SC vahendeid (pakett pcscd), Eesti ID-kaardi tarkvara paigaldamiseks tuleb lisada /etc/apt/sources.list faili rida

deb ftp://ftp.smartlink.ee/pub/id/debian/ lenny main

usaldada Smartlinki repositooriumi Release faili võtit

# wget ftp://ftp.smartlink.ee/pub/id/apt-esteid-test.gpg.asc
# apt-key add apt-esteid-test.gpg.asc
OK

NB! 20090928 seisuga selle repo kasutamisel asendatakse Debian Lenny nö enda opensc jt teeke ära Smartlinki omadega ja tulemusena ID-kaarti ei saa kasutada, vähemalt mitte ilma vajalike muudatusteta.

Tarkvara paigaldamiseks tuleb öelda

# apt-get install qesteidutil qdigidoc

paigaldatakse neli kõnealuse arendusega seotud paketti ning vajadusel sõltuvustena ka OpenSC, PC/SC jm tarkvara

* qesteidutil - Eesti ID-kaardi haldusvahend qesteidutil
* qdigidoc - programmid qdigidocclient ja qdigidoccrypto
* libdigidoc2 - nn vana teek, käsurealt kasutatav utiliit cdigidoc
* libdigidocpp0 - nn uus teek

Tarkvara kasutamiseks tuleb OpenSC ja PC/SC seada käima nii nagu on käesoleva pala alguses punktis [[:Eesti ID-kaardi kasutamine Debianiga#Kaardilugeja ühendamine operatsioonisüsteemiga]] kirjeldatud.

====Eesti ID-kaardi haldusvahend====

Eesti ID kaardi haldusvahendi qesteidutil kasutamiseks tuleb käivitada programm, nt valides menüüst või XTerm aknas öeldes

$ qesteidutil

ning avaneb aken

[[Pilt:qesteidutil-1.gif]]

Kasutajaliideses esitatud pilt kopeeritakse riigiportaali www.eesti.ee süsteemi kaudu üle X-tee KMA andmekogust.

====Digidoc klient====

Qt teeke kasutava Digidoc kliendi qdigidocclient käivitamiseks tuleb käivitada programm nt valides menüüst või XTerm aknas öeldes

$ qdigidocclient

ning avaneb aken

[[Pilt:qdigidocclient-1.gif]]

Krüptimise utiliidi saab käivitada öeldes

$ qdigidoccrypto

ning avaneb pilt

[[Pilt:qdigidoccrypto-1.gif]]

Utiliit sisalab LDAP klienti, millega saab teades teise kasutaja isikukoodi kopeerida Sertifitseerimiskeskuse LDAP kataloogist tema isikutuvastuse sertifikaadi.

====cdigidoc utiliit====

Paketi libdigidoc2 koosseisus on utiliit cdigidoc, millega saab käsurealt DigiDoc failidega töötada, näiteks fail.cdoc lahtikrüptimiseks sobib öelda

$ cdigidoc -decrypt fail.cdoc PIN_KOOD -out fail.ddoc

Faili fail.ddoc seest esimene faili nimega sisufail.txt konteinerist välja kopeerimiseks sobib öelda

$ cdigidoc -extract D0 sisufail.txt -in fail.ddoc

Ilma argumentideta käsk väljastab abi

$ cdigidoc
USAGE: cdigidoc <command(s)> [-in <input-file>] [-out <output-file>] [-config <config-file>]
COMMANDS:
[-new] [format] [version]
-check-cert <-cerificate-file-name (PEM format)>
-add <file-name> <mime-type> [<content-type>] [<charset>]
-verify
-list
-sign <pin> [<manifest>] [<city> <state> <zip> <country>]
-extract <doc-id> <file-name> [<charset>] [<file-name-charset>]
-encrypt <file-name>
-encrecv <cert-file> [<recipient>] [<keyname>] [<carried-key-name>]
-decrypt <file-name> <pin1>
-denc-list <file-name>
-encrypt-file <in-file-name> <out-file-name> [<in-file-mime-type>]
-decrypt-file <in-file-name> <out-file-name> <pin1>
-calc-sign <cert-file> [<manifest>] [<city> <state> <zip> <country>]
-add-sign-value <sign-value-file> <sign-id>
-del-sign <sign-id>
-get-confirmation <sign-id>
OPTIONS:
-cgimode [<ouput-separator] - output in CGI mode
-SAX - use SAX parser
-XRDR - use XmlReader parser

====Märkused====

20090714 seisuga tehtud tähelepanekud

* programmidel puuduvad manuaalid (ingl. k. manpage) ning praktiliselt dokumentatsioon kataloogis /usr/share/doc/paketinimi
* paketihalduse nimekirjas esineb ka pakett qdigidoccrypto, mida asendab qdigidoc, kui qdigidoc* pakettide traditsioon alles algab, äkki siis see 'Replaces' eemaldada
* sõltuvustest ei paigaldata opensc paketti, mis iseenesest ei ole ka vajalik, vajalik on just libopensc2 teekide pakett
* q* programmide kasutamisel tuleb olla kannatlik, kuigi esmalt teatab programm, et 'Ei leitud ühtegi ID-kaarti' voi 'Kaarti pole lugejas', siis tegelikult võidakse tegeleda alles kaardi otsimisega ja mõne sekundi pärast on kõik korras ja saab jätkata programmi kasutamist
* q* programmide akendest ei saa alati hiirega teksti kopeerida
* paketi libopensc2 seadistusfailis /etc/opensc/opensc.conf võiks parameetri muudatus toimuda ehk debconf dialoogi abil pakkudes kasutajale sobivat vaikeväärtust

reader_drivers = openct, pcsc, ctapi; -> reader_drivers = pcsc, ctapi;

* IP aadressipõhisel ocsp teenusele ligipääsu puhul küsitakse 'Did not find any server access certificate! Start downloading?'
* Kas programmide töö lõpetamiseks on muid võimalusi peale akna sulgemise?

===Eesti ID kaardi tarkvara v. 3.8 kasutamine 2014 suvel===

Käesolevas punktis kirjeldatakse 2014 aasta suvel olemasolevate tarkvara komponentidega Eesti ID kaardi kasutamist (autentimist ja allkirjastamist)

* Debian testing (Jessie) operatsioonisüsteem (32 või 64 bit, tõenäoliselt sarnaselt toimub paigaldamine-seadistamine-kasutamine ka muude Debiani versioonide ja Linux distributsioonidega)
* Eesti ID kaardi tarkvara v. 3.8.0 Ubuntu v. 12.04 (Precise) paketid

Tulemusena saab

* Chrome brauseriga autentida ja allkirjastada
* ID kaardi haldusvahendiga pin koode hallata
* lokaalse DigiDoc kliendiga allkirjastada ja krüptida

Juhised kehtivad

* Chrome < v. 35 (tundub, et alates v. 35 on smart card autentimise tehnika oluliselt muutunud, väidetavalt Eesti ID kaardi tarkvara v. 3.9 teeb selle korda)
* OpenSC kuni 0.12 ja kaasa arvatud (0.13 juures puudub brauseri kasutamist abistav onepin teek)

====Tarkvara paigaldamine====

Eeldusel, et arvutis on töötav kasutajakeskkond (XCFE, Gnome vms) ning Chrome brauser versioon < 35, lisada süsteemi üldotstarbelised paketid

# apt-get install opensc pcscd libccid libnss3-tools apt-transport-https

Kuna onepin-opensc-pkcs11.so teek on vajalik, aga opensc v. 0.13 tarkvaras puudub ning see on nt Debian v. 7 Wheezy paketihalduses v. 0.12 juures olemas (ja tundub, et sobib kasutada), siis aitab lisada /etc/apt/sources.list faili Debian v. 7 Wheezy repositoorium

deb http://ftp.us.debian.org/debian/ wheezy main contrib non-free

ning öelda 0.12 versiooni paigaldamiseks (downgrade'iks)

# apt-get update
# apt-get install opensc=0.12.2-3

Lisaks tuleb Wheezy pakettidest paigaldada

# apt-get -t wheezy install libxml-security-c16

Eesti ID kaardi tarkvara paigaldamise ettevalmistamiseks laadida võti

# wget -O /tmp/ria-public.key https://installer.id.ee/media/install-scripts/ria-public.key
# apt-key add /tmp/ria-public.key

lisada /etc/apt/sources.list faili rida

deb https://installer.id.ee/media/ubuntu/ precise main

ja tarvkara paigaldamiseks öelda

# apt-get update
# apt-get install estonianidcard qesteidutil esteidcerts esteidfirefoxplugin

====ID kaardilugejaga suhtlemise kontrollimine====

Peale tarkvara paigaldamist ja eeldusel, et lugeja on arvutiga ühendatud saab öelda

# opensc-tool -l
# Detected readers (pcsc)
Nr. Card Features Name
0 Yes SCM Microsystems Inc. SCR 331 [CCID Interface] (504005BE) 00 00

Kui lisaks on ID kaart on lugejas saab öelda (jms pkcs15-tool käske)

# pkcs15-tool -c
Using reader with a card: SCM Microsystems Inc. SCR 331 [CCID Interface] (504005BE) 00 00
X.509 Certificate [Isikutuvastus]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeaace
ID : 01
Encoded serial : 02 10 3BF4F7CBE36A655050DC20A42E9EFBAA

X.509 Certificate [Allkirjastamine]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeddce
ID : 02
Encoded serial : 02 10 0D1864A01391996750DC20AC1BF2FDE5

====ID kaardi haldusvahend====

Peale tarkvara paigaldamist maksab esmalt veenduda, et id kaardilugeja riistvara on ära tuntud ja kaart on üldiselt ligipääsetav. Selleks käivitada ID kaardi haldusvahend ja peab nägema oma sertifikaadiandmeid.

Interneti kasutamise olemasolul saab Lae pilt valikuga küsida rahvastikuregistris olevat pilti.

====Chrome brauseriga autentimine ja allkirjastamine====

Esmalt tuleb kord brauser käivitada, et kasutaja kodukataloogi tekiksid vajalikud nn punktifailid (~/.pki), seejärel brauseri protsessid lõpetada st brauseri sulgeda ning öelda sama kasutajana

$ modutil -dbdir sql:$HOME/.pki/nssdb -delete opensc-pkcs11
$ modutil -dbdir sql:$HOME/.pki/nssdb -add opensc-pkcs11 -libfile onepin-opensc-pkcs11.so -mechanisms FRIENDLY

kus

* esimese käsu väljundiks on tõenäoliselt veateade kuna pole midagi kustutada
* teise käsu väljundiks

...
Module "opensc-pkcs11" added to database.

Seejärel tuleb Chrome pluginate settingutest aadressilt chrome://plugins (sisestada nii aadressreale) seadistada EstEID plugin

* Enabled
* Always Allowed

Tulemusena paistab selline pilt

[[Pilt:Chrome-esteid-2.gif]]

kust on näha, et kasutatakse paketis esteidfirefoxplugin olevat teeki

$ dpkg -S /usr/lib/mozilla/plugins/npesteid-firefox-plugin.so
esteidfirefoxplugin: /usr/lib/mozilla/plugins/npesteid-firefox-plugin.so

Autentimiseks sobib minna mõnda portaali, kus on võimaluda kasutaja autentmiseks ID kaardiga, nt https://www.eesti.ee/. Samas saab ka allkirjastada valides

Minu asjad -> Minu dokumendid

Katsetada sobib ka aadressil https://www.openxades.org/web_sign_demo/sign.html.

====Firefox/Iceweasel brauseriga autentimine ja allkirjastamine====

Kontrollida, et paketi esteidfirefoxplugin paigaldamisel tekkinud EstEID plugin on Always Activate olekus

about:addons -> Plugins -> EstEID plug-in -> More

ID kaardi kasutamiseks tuleb brauseri seadistustes kirjeldada onepin teek valides

Edit -> Preferences -> Advanced -> Certificates -> Security Devices -> Load

ja avanenud dialoogis sisestada nt

* Module name - EstEID
* Module filename - /usr/lib/x86_64-linux-gnu/onepin-opensc-pkcs11.so

kus mooduli asukoht failisüsteemis sõltub arhitektuurist jms natuke, find leiab üles

$ find /usr/ -name onepin\*
/usr/lib/x86_64-linux-gnu/onepin-opensc-pkcs11.so

Tulemusena saab ID kaardiga autentida ning allkirjastada.

====Lokaalne DigiDoc klient====

Tarkvara paigaldamise käigus paigaldati ka lokaalne DigiDoc klient. Esmakordsel käivitamisel pakutakse võimalust laadida Sertifitseerimiskeskuse kehtivuskinnituse kasutamiseks vastav juurdepääsutõend, millega saab allkirjastada kuni kümme korda kuus.

====Probleemid====

* Kui allkirjastamisel küsitakse luba kahe plugina käivitamiseks (või öeldakse, et Java plugin on puudu)

[[Pilt:Chrome-esteid-1.gif]]

siis on põhjuseks, et EstEID plugin ei ole seadistatud õieti. Peab olema valitud 'Always allowed'. Oluline on teada, et Java ei ole Chrome brauseriga allkirjastamisel reeglina vajalik.

====Kasulikud lisamaterjalid====

* https://installer.id.ee/
* https://github.com/martinpaljak/ria-debian-build
* http://lauri.võsandi.com/posts/ubuntu-trusty-esteid.html
* http://pingviin.org/portal.php?topic_id=9727
* https://installer.id.ee/media/install-scripts/install-esteid-ubuntu.sh
* https://wiki.debian.org/Smartcards
* http://id.ee/?id=34228
* http://packages.ubuntu.com/lucid/libccid

===Eesti ID kaardi tarkvara v. 17.01.1686-1604 kasutamine 2017 kevadel===

Käesolevas punktis käsitletakse Eesti ID kaardi tarkvara kasutamist operatsioonisüsteem Debian v. 9 Stretch keskkonnas. Debian jaoks üldiselt pakette ei valmistata, aga osutub, et saab kasutada Ubuntu v. 16.04 Xenial pakette.

====Tööpõhimõte====

TODO

====Ettevalmistused====

Kuna Ubuntu v. 16.04 Xenial libssl1.0.0 v. 1.0.2g paketis on ka v. 1.0.0 sümbolid

<pre>
ubuntu-1604$ strings /lib/x86_64-linux-gnu/libssl.so.1.0.0 | grep ^OPENSSL_1
OPENSSL_1.0.0
OPENSSL_1.0.1
OPENSSL_1.0.1d
OPENSSL_1.0.2
OPENSSL_1.0.2g
</pre>

ja Debian v. 9 Stretch libssl1.0.2 v. 1.0.2k paketis ei ole 1.0.0 sümboleid

<pre>
debian-9$ strings /usr/lib/x86_64-linux-gnu/libssl.so.1.0.2 | grep ^OPENSSL_1
OPENSSL_1.0.2d
OPENSSL_1.0.2g
</pre>

siis on vaja leida mingi workaround. Tundub, et kaaluda maksab

* kopeerida internetist Ubuntu v. 16.04 Xenial libssl1.0.0 pakett ja kasutada sealt kahte teeki libssl.so.1.0.0 ja libcrypto.so.1.0.0 (selle lähenemise puuduseks on, et edaspidi vaevalt keegi viitsib neid teeke uuendada)
* paigaldada Debian v. 8 Jessie libssl1.0.0 pakett, http://priit.joeruut.com/archives/Eesti-ID-kaardi-tarkvara-ehk-open-eid-v.-3.12-kasutamine-Debianis.html (lähenemise puuduseks on, et Debian v. 8 Jessie tugi lõpeb tõnäoliselt varem kui Ubuntu v. 16.04 Xenial, aga väga võimalik, et veel enne tekib Debian + ID kaardi kasutamiseks mingi normaalsem lahendus)

Ubuntu libssl1.0.0 paketi saab kopeerida aadressilt http://packages.ubuntu.com/search?keywords=libssl1.0.0&searchon=names&suite=xenial&section=all

Paketi lahti pakkimiseks sobib öelda

$ cd /var/tmp/libssl1.0.0-ubuntu
$ dpkg -x /home/imre/Downloads/libssl1.0.0_1.0.2g-1ubuntu4.6_amd64.deb .

ning (kuna selliste nimedega faili enne pole)

# cp libssl.so.1.0.0 libcrypto.so.1.0.0 /usr/lib/x86_64-linux-gnu

Selleks, et süsteemis oleks paketihalduse mõttes libssl1.0.0 nimeline pakett, sobib kasutada equivs abi

* öelda

$ equivs-control libssl1.0.0

* redigeerida natuke tekkinud faili

<pre>
$ egrep -v "^$|^#" libssl1.0.0
Section: misc
Priority: optional
Standards-Version: 3.9.2
Package: libssl1.0.0
Version: 1.0.0
Maintainer: Imre <imre@auul.pri.ee>
Description: libssl1.0.0 abistaja
Testime
.
Testime 2
</pre>

* öelda

$ equivs-build libssl1.0.0

* paigaldada (kuidagi ta paigaldatakse vaatamata signatuuri puudumisele jms)

# dpkg -i libssl1.0.0_1.0.0_all.deb

====Paigaldamine====

* lisada apt võtmete hulka aadressil https://installer.id.ee/media/install-scripts/install-open-eid.sh oleva skripti algusest kaks sissekannet

# apt-key add failinimi

* lisada apt source

# cat /etc/apt/sources.list.d/ria-repository.list
deb http://installer.id.ee/media/ubuntu xenial main

* värskendada

# apt-get update

ID kaardi tarkvara paigaldamiseks sobib öelda

# apt-get install open-eid

tulemusena tekib failisüsteemi

* kümmekond paketti, enamus installer.id.ee pealt
* /etc/X11/Xsession.d/95-esteid-update-nssdb - selle faili abil X konsoolil töötamise alguses nö korraldakse sobiv seis olulistest asjadest (mh öeldakse modutil jt käske)

Paigaldamise lõpus tuleb Desktop keskkonnast logida välja ja tagasi sisse selleks, et Xsession kasutaks nssdb osa.

====ID kaardilugejaga suhtlemise kontrollimine====

Peale tarkvara paigaldamist ja eeldusel, et lugeja on arvutiga ühendatud saab öelda

<pre>
$ opensc-tool -l
# Detected readers (pcsc)
Nr. Card Features Name
0 Yes Gemalto PC Twin Reader (FB00DB62) 00 00
</pre>

Kui lisaks on ID kaart on lugejas saab öelda (jms pkcs15-tool käske)

<pre>
$ pkcs15-tool -c
Using reader with a card: Gemalto PC Twin Reader (FB00DB62) 00 00
X.509 Certificate [Isikutuvastus]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeaace
ID : 01
Encoded serial : 02 10 775DD64056F35E7954C8CB3EFEB3C8EE
X.509 Certificate [Allkirjastamine]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeddce
ID : 02
Encoded serial : 02 10 2D5E4D8F644E041454C8CB5236F7D2D6
</pre>

====ID kaardi haldusvahend====

Peale tarkvara paigaldamist maksab esmalt veenduda, et id kaardilugeja riistvara on ära tuntud ja kaart on üldiselt ligipääsetav. Selleks käivitada ID kaardi haldusvahend ja peab nägema oma sertifikaadiandmeid.

Interneti kasutamise olemasolul saab Lae pilt valikuga küsida rahvastikuregistiris olevat pilti.

====Chromium brauseriga autentimine ja allkirjastamine====

Veenduda, et Chromiumil on olemas vastav plugin (see on kopeeritav ka üldisest Google Chrome extensions repositooriumist)

[[Pilt:Chrome-esteid-3.gif]]

Tulemusena peab töötama autentimine ja allkirjastamine.

====Firefox brauseriga autentimine ja allkirjastamine====

TODO

* Tundub, et autentimine töötab nö iseenesest.

====Kasulikud lisamaterjalid====

* https://github.com/web-eid/
* https://github.com/open-eid
* https://github.com/open-eid/chrome-token-signing/wiki
* https://lauri.xn--vsandi-pxa.com/2014/04/ubuntu-trusty-esteid.html
* http://installer.id.ee/
* http://priit.joeruut.com/archives/Eesti-ID-kaardi-tarkvara-ehk-open-eid-v.-3.12-kasutamine-Debianis.html
* https://installer.id.ee/media/install-scripts/install-open-eid.sh
* https://www.auul.pri.ee/wiki/Operatsioonis%C3%BCsteem_Debian_GNU/Linux_paketihalduse_kasutamine#Equivs_kasutamine

===Test ID-kaart===

Lisaks nö päris ID-kaartidele väljastab Sertifitseerimiskeskus teatud juhtumiteks ka test ID-kaarte, nt on seal kasutatav sertifikaat selline

-----BEGIN CERTIFICATE-----
MIIEazCCA1OgAwIBAgIESieIkDANBgkqhkiG9w0BAQUFADBfMQswCQYDVQQGEwJF
RTEiMCAGA1UEChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEaMBgGA1UECxMR
VGVzdHNlcnRpZmlrYWFkaWQxEDAOBgNVBAMTB1RFU1QtU0swHhcNMDkwNjA0MDg0
MDQ4WhcNMTIwNDA3MTE0MjE3WjCBvTELMAkGA1UEBhMCRUUxFDASBgNVBAoTC1RF
U1QtRVNURUlEMRcwFQYDVQQLEw5hdXRoZW50aWNhdGlvbjE9MDsGA1UEAx40AX0A
QQBJAEsATwBWAFMASwBJACwASQBHAE8AUgAsADMANwAxADAAMQAwADEAMAAwADIA
MTEbMBkGA1UEBB4SAX0AQQBJAEsATwBWAFMASwBJMQ0wCwYDVQQqEwRJR09SMRQw
EgYDVQQFEwszNzEwMTAxMDAyMTCBnzANBgkqhkiG9w0BAQEFAAOBjQAwgYkCgYEA
tuYk/lFpCAKtKQPy1Bb1K9zNsMjJbRMJmHTnmlLBqtUs8OUWBHJJmKqlGzHwZ/UL
JM8+CaFoXK1JWtvqhQ/rR6XUsch1KzwGgGyYFqT8BVJJEFNb6c+chR2gmNdVV/Ks
X3jWNKxB0p7E/9p8MCyt9sNhViYDrDDraedq92JbtEkCAwsjwaOCAVIwggFOMA4G
A1UdDwEB/wQEAwIEsDAdBgNVHSUEFjAUBggrBgEFBQcDAgYIKwYBBQUHAwQwMwYD
VR0fBCwwKjAooCagJIYiaHR0cDovL3d3dy5zay5lZS9jcmxzL3Rlc3QvY3JsLmNy
bDAkBgNVHREEHTAbgRlpZ29yLnphaWtvdnNraS4yQGVlc3RpLmVlMF0GA1UdIARW
MFQwUgYLKwYBBAHOHwMBAQEwQzAeBggrBgEFBQcCAjASGhBUZXN0c2VydGlmaWth
YXQuMCEGCCsGAQUFBwIBFhVodHRwOi8vd3d3LnNrLmVlL2Nwcy8wGAYIKwYBBQUH
AQMEDDAKMAgGBgQAjkYBATAfBgNVHSMEGDAWgBQCBSfdqHKHt4LAWzkqf+M48vpS
CTAdBgNVHQ4EFgQUX/PLzRnTyncYkG2a8JHv6GDmw5UwCQYDVR0TBAIwADANBgkq
hkiG9w0BAQUFAAOCAQEAXWI1VL7Lhyi5JtwTUhlT9CimN/ImM45x6J6jwD9uyY5G
rgdRGEK1Hgi+gj6Lylk6khADRQJi/KshNVPP7GTCpTj7qR05QQ8WI0lmNfDNUT2a
HYhPyOK4J6IJ6RdAqizhSnHOOZxSWS6kN9ncVlRSJ5DF+IJgAjpcv30+2hz3tB20
3cB+Ptoud2oxSjIHdBDwGuo/L065JtCtuJYwojdyzUDUZaNkwF+f44WL0IvFzHEu
fSwpyHjZDuuZfiwL1N8COAPi0yODEm9PL1ntMpSwwqnG+PPUVlXIMzYytc0MqHD0
5H 2AjWXfHNDc0oWr7CBV9HRLmpidJQtQCwoUt6Y2NA==
-----END CERTIFICATE-----

Tekstikujul vaadatest on Issuer ja Subject väärtused

# openssl x509 -in /tmp/zaikovski.pem -noout -text
Certificate:
Data:
Version: 3 (0x2)
Serial Number: 1244104848 (0x4a278890)
Signature Algorithm: sha1WithRSAEncryption
Issuer: C=EE, O=AS Sertifitseerimiskeskus, OU=Testsertifikaadid, CN=TEST-SK
Validity
Not Before: Jun 4 08:40:48 2009 GMT
Not After : Apr 7 11:42:17 2012 GMT
Subject: C=EE, O=TEST-ESTEID, OU=authentication, \
CN=\x01}\x00A\x00I\x00K\x00O\x00V\x00S\x00K\x00I\x00,\x00I\x00G\x00O\x00R\x00,\x003\
\x007\x001\x000\x001\x000\x001\x000\x000\x002\x001, SN=\x01}\x00A\x00I\x00K\x00O\x00V\x00S\
\x00K\x00I, GN=IGOR/serialNumber=37101010021
...

Tundub, et kõigil test kaartidel on algselt samad pinid ja puk, mida saab muuta id kaardi utiliidiga, http://www.id.ee/index.php?id=30379

* PIN1 kood - 0090
* PIN2 kood - 01497
* PUK kood - 17258403

===Kaardilugeja firmware uuendamine===

Kui kaardilugeja nö peaks töötama, aga ei tööta, siis mõnel juhul on otstarbekas kaaluda kaardilugeja firmware uuendamist. Nt SCR311 kaardilugeja puhul sobib selleks kasutada Windows 7 keskkonda, et uuendada 4. -> 5. versoonide vahel.

Kasulikud lisamaterjalid

* http://www.jasemccarty.com/blog/?p=1134
* https://militarycac.com/cacdrivers.htm

===Märkused===

* Kui brauser või postiklient lakkavad töötamast ID-kaardiga, siis maksab need programmid sulgeda ja samuti peatada pcscd deemon ning seejärel esmalt deemon ning siis rakendusprogrammi uuesti käivitada.
* Kuivõrd ID-kaardi sertifikaadid kehtivad suhteliselt lühikest aega ning sertifikaatide uuendamisel praktiliselt kirjutatakse vanad sertifikaadid üle uutega, siis sobib ID-kaardi vahendeid andmete krüptimiseks kasutada nö turvalise transpordi sooritamiseks ja mitte andmete pikaajaliseks turvaliseks säilitamiseks. Lisaks on veel muid ohte, näiteks et ID-kaart rikneb füüsiliselt.

===Sertifikaatide uuendamine===

Sertifikaatide saab uuendada id kaarti utiliidiga, peale uuendamist näidatakse sellist pilti, tegevuse käigus küsitakse vana sertifikaadi PIN1

[[Pilt:Qesteidutil-2.gif]]

===TODO===

* ipsec lahenduse juures kasutamine

===Kasulikud lisamaterjalid===

* Eesti ID-kaardi tarkvara - http://ideelabor.ee/
* Sertifitseerimiskeskus - http://www.sk.ee/
* http://kuutorvaja.eenet.ee/wiki/Apache'i_veebiserver#ID_kaardiga_kasutaja_autentimine
* http://kuutorvaja.eenet.ee/wiki/OpenLDAP_kasutamine_Debianiga#Icedove.27i_aadressraamatu_pidamine
* https://digidoccheck.sk.ee/
* https://id.eesti.ee/trac/
* http://pcsclite.alioth.debian.org/supported.html
* http://code.google.com/p/esteid/

Eesti ID-kaardi kasutamine Debianiga

2018-02-14T23:35:35Z

Imre: /* pkcs15-tool utiliidi kasutamine */

===Sissejuhatus===

Eesti ID-kaart on nn protsessorkaart, mis võimaldab autentimist ja allkirjastamist. ID-kaardi kasutamiseks on vajalikud

* kehtiv Eesti ID-kaart
* kasutada oleva arvuti ja operatsioonisüsteemiga sobiv kaardilugeja
* internetiühendus
* ID-kaardi võimaluste kasutamiseks sobiv kliendipoolne tarkvara
* ID-kaardi võimaluste kasutamiseks sobiv teenus internetis

Eesti ID-kaardi töö põhineb avaliku võtme (ingl. k. public key) krüptograafia kasutamisel. Avaliku võtme infrastruktuuris (ingl. k. PKI - public key infrastructure) esitatakse kasutaja avalik võti koos kasutaja kohta käivate muude andmetega, nt kasutaja nimi ja eposti aadress selle konkreetse infrastruktuuri mõne ülemise sajalase võtmega signeeritud kujul ja seda tulemust nimetatakse kasutaja sertifikaadiks. Lisaks on sertifikaadis kirjas andmed selle sertifikaadi väljastaja kohta ja sertifikaadi kehtivuse aeg.

Eesti ID-kaartidega seotud avaliku võtme infrastruktuuri haldab sh väljastab ID-kaarte Sertifitseerimiskeskus http://www.sk.ee/ kusjuures ID-kaardil on kaks paari võtmeid, öeldakse ka, et kaks sertifikaati

* isikutuvastuse ehk autentimise sertifikaat
* allkirjastamise sertifikaat

Kahe erineva sertifikaadi kasutuselevõtmise põhjuseks on asjaolu, et sertifikaatidel on nö oluliselt erinev kaal

* isikutuvastuse sertfikaadiga kasutaja autendib ennast teenusele (st praktiliselt logib ennast sisse portaali internetis, siseneb kooduksega kaitstud ruumi füüsilises maailmas)
* allkirjastamise sertifikaati kasutatakse reeglina ainult digitaalallkirja andmiseks ja Eesti Vabariigis on digitaalallkirjastatud dokument võrdsustatud omakäeliselt allkirjatatud dokumendiga; reeglina pangaülekannete sooritamisel toimub sisemiselt samuti digitaalallkirjastamise protseduur

Oletame, et kui oleks kasutuses ainult üks sertifikaat ja nt kasutaja siseneb koodukse kaudu ruumi, siis võiks konstrueerida skeemi, kus ta pahaaimamatult allkirjastab mõne dokumendi, mida ta muul juhul ei oleks nõus allkirjastama. Kahe sertifikaadi kasutamisel on võimalik erinevaid rolle lahus hoida.

Kuigi eelmises lõigus kasutati väljendeid 'isikutuvastuse sertifikaadiga kasutaja identifitseerib' ja 'allkirjastamise sertifikaati kasutatakse reeglina digitaalallkirja andmiseks' tuleb seda seda mõista nii, et sisuliselt neid protseduure sooritades kasutaja kasutab vastava sertifikaadi salajast võtit. ID-kaardil asuvate salajaste võtmete kasutamine on turvakaalutlustel piiratud täiendava parooliga, nn PIN koodiga, kummalgi salajasel võtmel on oma PIN kood ja võtme kasutamise eel küsib ID-kaardi tarkvara kasutajalt seda koodi.

ID-kaardiga autentimine on dual-factor ehk two-factor autentimine http://en.wikipedia.org/wiki/Two-factor_authentication kuna see sisaldab kahte kontrolli

* midagi mida saab omada - ID-kaardi kui füüsilise eseme olemasolu kontroll
* midagi mida saab teada - salajase võtme teadmise kontroll

Võrreldes parooliga on ID-kaardi kasutamise üheks erinevuseks, et seda saab kasutada korraga ainult üks kasutaja nö ühest kasutuspunktist.

===Eesti ID-kaardi sertifikaatide LDAP kataloogiteenus===

Kuna avaliku võtme infrastruktuuri üheks koostisosaks on, et kõigi kasutajate avalikud võtmed st sertifikaadid on kõigile avalikult kättesaadavad, siis SK on teinud kasutajate sertifikaadid internetis kättesaadavaks LDAP kataloogiteenuse abil aadressil ldap.sk.ee. Kasutaja sertifikaate (mis sisaldavad avalikke võtmeid) saab teades tema isikukoodi kopeerida öeldes nt

$ ldapsearch -LLL -H ldap://ldap.sk.ee -x -b "c=EE" "(serialNumber=37003212713)"
dn: cn=OOLBERG\2CIMRE\2C37003212713,ou=Authentication,o=ESTEID,c=EE
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
cn: OOLBERG,IMRE,37003212713
serialNumber: 37003212713
userCertificate;binary:: MIIEGjCCAwKgAwIBAgIESIQxaDANBgkqhkiG9w0BAQUFADBbMQswC
QYDVQQGEwJFRTEiMCAGA1UEChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMGRV
...
z5vZN4059dNaqZqVg5rlVrLS5/T+sK8PHxYcO+SKDZYobddJIv6i2XlpVAQLgkChEiXI2Bd3AMfpw
fVbAjDsHXasblBtut7k1MItT3YLaNZ/xq9BY/B7afXqg==

dn: cn=OOLBERG\2CIMRE\2C37003212713,ou=Digital Signature,o=ESTEID,c=EE
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: inetOrgPerson
cn: OOLBERG,IMRE,37003212713
serialNumber: 37003212713
userCertificate;binary:: MIID2jCCAsKgAwIBAgIESIQxaTANBgkqhkiG9w0BAQUFADBbMQswC
QYDVQQGEwJFRTEiMCAGA1UEChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMGRV
..

Konkreetse sertifikaadi dn elemendi kopeerimiseks sobib öelda nt

$ ldapsearch -LLL -H ldap://ldap.sk.ee -x -b ou=authentication,o=ESTEID,c=EE "(serialNumber=37003212713)" dn
dn: cn=OOLBERG\2CIMRE\2C37003212713,ou=Authentication,o=ESTEID,c=EE

===Kaardilugeja ühendamine operatsioonisüsteemiga===

Märkus: 2010 kevade seisuga peaks töötama täitsa hästi Linuxi ja Windowsiga nt kaks sellist mudelit, mida on ka kauplustes suhteliselt hästi saada

* Omnikey Cardman 1021 - USB (lauaarvutile, sülearvutile)
* Omnikey Cardman 4321 - ExpressCard http://en.wikipedia.org/wiki/ExpressCard (sülearvutile)

Ehk kõige parem kui kaardilugeja ühendub arvutiga USB abil, nt sobib mudel SRC-331. Debian Etch ja Lenny sisaldavad paketihalduses ID-kaardi kasutamiseks sobivat tarkvara, mille koduleht asub aadressil http://ideelabor.ee/ ja mille kasutamist käesolev tekst kirjeldab.

USB kaudu ühendatud ID-kaardilugeja kasutamise eelduseks on, et operatsioonisüsteem toetab USB seadmete kasutamist, sellest annab tunnistust peale kaardilugeja ühendamist lsusb sarnane väljund, kus on muu seas näha SCR331 seadmele vastav rida

# lsusb
Bus 004 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub
Bus 003 Device 002: ID 0483:2016 SGS Thomson Microelectronics Fingerprint Reader
Bus 003 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub
Bus 002 Device 006: ID 04e6:e001 SCM Microsystems, Inc. SCR331 SmartCard Reader
Bus 002 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub
Bus 001 Device 001: ID 1d6b:0001 Linux Foundation 1.1 root hub

ID-kaardiga suhtlemiseks vajaliku tarkvara paigaldamiseks tuleb öelda

# apt-get install opensc pcscd libccid

Seejärel tuleb redigeerida kahte faili

* Näitena jagatavas /etc/opensc/opensc.conf failis tuleb teha kolm muudatust

# zcat /usr/share/doc/libopensc2/examples/opensc.conf.gz > /etc/opensc/opensc.conf

Leidke failist üles need parameetrid ning muutke nende väärtused sellisteks

try_emulation_first = yes;
lock_login = false;
reader_drivers = pcsc, ctapi;

* Failis /usr/lib/pcsc/drivers/ifd-ccid.bundle/Contents/Info.plist peavad sisalduma sellised read (tundub, et see on teatud SRC331 mudelite või eksemplaride spetsiifiline asi), leidke ja muutke olemasolevaid

<key>ifdDriverOptions</key>
<string>0x0004</string>

Seejärel seisake ja käivitage pcscd deemon

# /etc/init.d/pcscd restart

Kontrollimaks, et tarkvara sai korrektselt paigaldatud küsime süsteemi ühendatud kaardilugejate nimekirja

# opensc-tool -l
Readers known about:
Nr. Driver Name
0 pcsc SCM SCR 331 00 00

Ning küsime ID-kaardile kantud sertifikaatide nimekirja

# pkcs15-tool -c
X.509 Certificate [Isikutuvastus]
Flags : 0
Authority: no
Path : 3f00eeeeaace
ID : 01

X.509 Certificate [Allkirjastamine]
Flags : 0
Authority: no
Path : 3f00eeeeddce
ID : 02

===pkcs11-tool utiliidi kasutamine===

PKCS#11 is a software API for accessing cryptographic hardware like smart cards or HSM. pkcs11-tool realiseerib PKCS11 (Public Key Cryptography Standards) standardit ja võimaldab suhelda krüptoseadmega üle Cryptoki (Cryptographic Token Interface) API. Slottide nimekirja esitamiseks sobib öelda

<pre>
# pkcs11-tool -L
Available slots:
Slot 0 (0x0): Alcor Micro AU9540 00 00
(empty)
Slot 1 (0x4): Gemalto PC Twin Reader (A76A2DE4) 01 00
token label : PIN1 (OOLBERG,IMRE,37003212713)
token manufacturer : AS Sertifitseerimiskeskus
token model : PKCS#15 emulated
token flags : login required, rng, token initialized, PIN initialized
hardware version : 0.0
firmware version : 0.0
serial num : AA9909781
pin min/max : 4/12
Slot 2 (0x5): Gemalto PC Twin Reader (A76A2DE4) 01 00
token label : PIN2 (OOLBERG,IMRE,37003212713)
token manufacturer : AS Sertifitseerimiskeskus
token model : PKCS#15 emulated
token flags : login required, rng, token initialized, PIN initialized
hardware version : 0.0
firmware version : 0.0
serial num : AA9909781
pin min/max : 5/12
</pre>

Slot sisu esitamiseks, nb! slot numbri väärtus tuleb võtta sulgudest

<pre>
# pkcs11-tool --slot 4 -O
Certificate Object; type = X.509 cert
label: Isikutuvastus
ID: 01
Public Key Object; EC EC_POINT 384 bits
EC_POINT: 046104 ...
EC_PARAMS: 06052b81040023
label: Isikutuvastus
ID: 01
Usage: encrypt, verify
</pre>

Kasulikud lisamaterjalid

* https://en.wikipedia.org/wiki/PKCS
* https://github.com/OpenSC/OpenSC/wiki/Frequently-Asked-Questions

===pkcs15-tool utiliidi kasutamine===

PKCS#15 is a format of on-card structures that defines a “filesystem layout” for smart cards. pkcs15-tool abil saab kopeerida ID-kaardilt sertifikaate, sedasi

# pkcs15-tool -r 01
-----BEGIN CERTIFICATE-----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==
-----END CERTIFICATE-----

Selle sertifikaadi sisu arusaadavamale kujule viimiseks tuleb öelda

# pkcs15-tool -r 01 > imreoolberg-autentimise-sertifikaat.pub
# openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -text
Certificate:
Data:
Version: 3 (0x2)
Serial Number: 1216622952 (0x48843168)
Signature Algorithm: sha1WithRSAEncryption
Issuer: C=EE, O=AS Sertifitseerimiskeskus, OU=ESTEID, CN=ESTEID-SK 2007
Validity
Not Before: Jul 21 06:49:12 2008 GMT
Not After : Sep 11 21:00:00 2012 GMT
Subject: C=EE, O=ESTEID, OU=authentication, CN=OOLBERG,IMRE,37003212713, SN=OOLBERG, GN=IMRE/serialNumber=37003212713
Subject Public Key Info:
Public Key Algorithm: rsaEncryption
RSA Public Key: (1024 bit)
Modulus (1024 bit):
..

Sertifikaadist saab küsida ka üksikuid elemente, nt Subject'i, mis näitab kellele on sertifikaat väljastatud

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -subject
subject= /C=EE/O=ESTEID/OU=authentication/CN=OOLBERG,IMRE,37003212713/SN=OOLBERG/GN=IMRE/serialNumber=37003212713

või Issuer'i, mis näitab, kes sertifikaadi väljastas

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -issuer
issuer= /C=EE/O=AS Sertifitseerimiskeskus/OU=ESTEID/CN=ESTEID-SK 2007

või ajavahemiku, mil sertifikaat kehtib

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -dates
notBefore=Jul 21 06:49:12 2008 GMT
notAfter=Sep 11 21:00:00 2012 GMT

Lisaks sertifikaatidele ja võtmetele sisaldab veel andmeid id kaardi nö elektroolilises osas, nt dokumendi number. Seda ja muid andmeid saab küsides nn dump'i

# pkcs15-tool -D -r 01
Using reader with a card: SCM SCR 331 [CCID Interface] (504005BE) 00 00
..
PKCS#15 Card [IMRE OOLBERG]:
Version : 2
Serial number : A0055799
Manufacturer ID: AS Sertifitseerimiskeskus
Flags : Read-only, PRN generation, EID compliant
...

Kui arvutis on kasutusel mitu ID kaarti, siis saab kontrollida millisega tegeledakse parameetri abil

--reader N

===Iceweasel brauseri kasutamine===

Iceweasel brauseri abil on iseenesest võimalik kahe tegevuse sooritamine

* autentimine - kasutaja kinnitab teenusele, nt veebiportaalile, et tema kasutuses on tema autentimise sertifikaadis sisalduvale avalikule võtmele vastav salajane võti
* digitaalne allkirjastamine - kastutaja kinnitab teenusele, nt pangaülekande sooritamisel, et tema kasutuses on tema allkirjastamise sertifikaadis sisalduvale avalikule võtmele vastav salajane võti

Kuivõrd teenuse jaoks on praktiliselt oluline, et kasutaja kinnitaks sertifikaadile vastava salajase võtme olemasolu PIN koodi sisestamise teel, siis siit järeldub, et tuleb hoolega hoida ID-kaarti ning ID-kaardi PIN koode enda teada.

Brauseri tööleseadmine autentimiseks on lihtsam ning allkirjastamiseks keerulisem. Tundub, et praktiliselt on 2009 klienditarkvara ja nende teenuste tarkvara, mida saab Iceweaseliga kasutada seis selline, et Iceweasel brauser iseseisvalt ei tegele andmete allkirjastamisega; allkirjastamine toimub nt Java appleti abil, kusjuures applet küsib kasutajalt allkirjastamiseks vajalikku PIN2 koodi. Seda arvestades on soovitav kasutada turvaseadme kirjeldamisel spetsiaalselt ettevalmistatud teeki onepin-opensc-pkcs11.so, mis efektiivselt varjab brauseri eest ära teise sertifikaadi, kui seda mitte teha, siis praktililiselt hakkab brauser kasutajalt küsima ise vaheldumisi mõlema sertifikaadi PIN koodi ja see oleks üsna eksitav.

Brauseri ID-kaardiga kasutamise ettevalmistamiseks tuleb avada

Edit -> Preferences -> Advanced -> Encryption -> Security Devices -> Load

ning kirjeldada Eesti ID-kaardile vastav turvaseade (ingl. k. security device)

Module Name: esteid
Module filename: /usr/lib/onepin-opensc-pkcs11.so

Sõltuvalt sellest, kas soovitakse, et peale PIN1 sisestamist küsiks brauser kasutajalt igal ID-kaardiga autentimise korral kinnitust või mitte tuleb valida

* Select one automatically
* Ask me every time

[[Pilt:Id-auth-cc.gif]]

====Iceweasel brauseri kasutamine autentimiseks====

Auntentimiseks piisab turvaseadme ettevalmistamisest ning seejärel saab näiteks logida sisse riigiportaali, küsitakse PIN1 koodi

[[Pilt:Id-auth-java-pin1.gif]]

====Iceweasel brauseri kasutamine allkirjastamiseks====

Nt SEB pangas makset sooritades toimub digitaal-allkirjastamise protseduur; ja https://digidoc.sk.ee/ või riigiportaali eesti.ee kasutamisel saab moodustada uut digitaalselt allkirjastatud dokumenti või kontrollida olemasoleval digitaalselt allkirjastatud dokumendil allkirja kehtivust. Osa kasutajaid suhtub veebiliidese kaudu dokumentide allkirjastamisse äärmiselt kahtlustavalt, kuna kui juba lokaalse rakendusega digitaalallkirja andmisel ei saa olla täiesti kindel, millele ikkagi allkiri antakse, siis veebirakenduse puhul on see veel eriti nii.

Iceweasel brauseriga allkirjastamiseks peab olema paigaldatud Mozilla Sun Java plugini tarkvara pakett (millega koos paigaldatakse vajadusel ka JVM, kusjuures on oluline kasutada justnimelt Sun Java mitte IBM või GCJ implementatsioone)

# apt-get install sun-java5-plugin

Ning lisaks kopeerida teek

# mkdir /tmp/teek && cd /tmp/teek
# wget http://ideelabor.ee/downloads/pkcs11wrapper-linux.tar.gz
# tar zxf pkcs11wrapper-linux.tar.gz
# find . -type f -ls
442489 104 -rwxr-xr-x 1 501 501 99004 Apr 23 2004 ./libpkcs11wrapper.so

Seejärel tuleb otsida üles arvutist JVM kataloog

# find /usr -type f -name java -ls
173534 68 -rwxr-xr-x 1 root root 65116 May 28 2008 /usr/lib/jvm/java-1.5.0-sun-1.5.0.16/jre/bin/java

mis tähendab, et

JAVA_HOME=/usr/lib/jvm/java-1.5.0-sun-1.5.0.16

Lõpuks tuleb kopeerida lahtipakitud teek kataloogi ${JAVA_HOME}/jre/lib/i386

# cp libpkcs11wrapper.so /usr/lib/jvm/java-1.5.0-sun-1.5.0.16/jre/lib/i386

Lisaks peavad olema lingid, esimene on vajalik digidoc portaali kasutamiseks ja teine SEB pangas

# ln -s /usr/lib/opensc-pkcs11.so /usr/lib/libopensc-pkcs11.so
# ln -s /usr/lib/opensc-pkcs11.so /usr/lib/libesteid-pkcs11.so

NB! Java tarkvara uuendamisel mõnel juhul muutub ka versiooni number nii, et muutub java asukoht failisüsteemis, nt

/usr/lib/jvm/java-1.5.0-sun-1.5.0.16 -> /usr/lib/jvm/java-1.5.0-sun-1.5.0.17

Sel juhul tuleb libpkcs11wrapper.so kopeerida samasse alamkataloogi kuhu ennegi uue java kataloogi sisse.

Kui süsteemi on paigaldatud lisaks mõni uuem java versioon, nt paketist sun-java6-*, siis tuleb kõnealune wrapper kopeerida kõige uuema Java vastavasse kataloogi, nt

# cp libpkcs11wrapper.so /usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/i386/

=====Allkirjastamine SEB pangas=====

Peale panga keskkonda sisselogimist (kas otseselt või läbi mõne muu teenusepakkuja, nt www.if.ee, www.energia.ee jt) ning maksekorralduse ettevalmistamist esitatakse allkirja andmise juurde esmakordsel minemisel küsimus rakenduse usaldusväärsuse kohta

[[Pilt:Id-allkiri-java-pin4.gif]]

ja seejärel tuleb ära oodata pisut eksitav tühi aken, kus tuleb valida Cancel

[[Pilt:Id-allkiri-java-pin3.gif]]

ning seejärel valides Allkirjasta öeldakse, et loetakse andmeid kiipkaardilt ning küsitakse PIN2 koodi

[[Pilt:Id-allkiri-java-pin2.gif]]

Allkirjastamise ajal töötab java rakendus sun.plugin2.main.client.PluginMain

$ ps aux | grep java
mart 6859 10.1 4.7 242668 48832 ? Sl 10:55 0:04 /usr/lib/jvm/java-6-sun-1.6.0.12/jre/bin/java -D__jvm_launched=5951554477 \
-Xbootclasspath/a:/usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/deploy.jar:/usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/javaws.jar:\
/usr/lib/jvm/java-6-sun-1.6.0.12/jre/lib/plugin.jar -Djava.class.path=/usr/lib/jvm/java-6-sun-1.6.0.12/jre/classes \
sun.plugin2.main.client.PluginMain write_pipe_name=/tmp/.com.sun.deploy.net.socket.5659.2862701817965363267.AF_UNIX

=====Allkirjastamine Sertifitseerimiskeskuse digidoc.sk.ee portaalis=====

https://digidoc.sk.ee/ portaal võimaldab veebipõhises keskkonnas sooritada digitaalallkirjastamisega seotud protseduure, nt anda allkirja, kontrollida allkirja ja jagada sama dokumenti teiste portaali kasutajatega selleks, et ühte dokumenti saaks allkirjastada mitu osapoolt. Portaali sisenemisel avaneb kasutuskeskkonnale sarnane vaade, süsteemi on laaditud kaks dokumenti, ühel on üks allkiri ja teisel ei ole ühtegi allkirja

[[Pilt:Digidoc-1.gif]]

Keskkonna kasutamine võiks toimuda suhteliselt intuatiivselt, dokumenti allkirjastamisel tuleb täita sarnased lahtrid nagu nn lokaalset digidoc klienti kasutades

[[Pilt:Digidoc-2.gif]]

Allkirjastamisel küsitakse kasutajalt PIN2 koodi

[[Pilt:Digidoc-3.gif]]

https://digidoc.sk.ee/ keskkonnas ei saa tegeleda krüptitud dokumentidega ehk nn .cdoc failidega.

=====Allkirjastamine riigiportaalis www.eesti.ee=====

Aadressil https://www.eesti.ee/ asuvas riigiportaalis sektsioonis

Kodanikule -> Digitaalallkiri

saab veebipõhises keskkonnas sooritada digitaalallkirjastamisega seotud protseduure, nt anda allkirja, kontrollida allkirja ja jagada sama dokumenti teiste portaali kasutajatega selleks, et ühte dokumenti saaks allkirjastada mitu osapoolt.

Portaali Digiallkirja sektsiooni sisenemisel avaneb kasutuskeskkonnale sarnane vaade, süsteemi on laaditud kaks dokumenti, ühel on üks allkiri ja teisel ei ole ühtegi allkirja

[[Pilt:Riigiportaal-digiallkiri-1.gif]]

Keskkonna kasutamine võiks toimuda suhteliselt intuatiivselt, dokumendi allkirjastamisel tuleb täita sarnased lahtrid nagu nn lokaalset digidoc klienti kasutades, PIN2 sisestamine toimub Java appleti abil, sarnaselt

[[Pilt:Riigiportaal-digiallkiri-2.gif]]

Riigiportaalis ei saa tegeleda krüptitud dokumentidega ehk nn .cdoc failidega.

===Icedove postikliendi kasutamine===

Lisaks nö tavalistele e-kirjadele on võimalik moodustada spetsiaalsete lisaomadustega kirju

* allkirjastatud kiri - kirja saatja moodustab allkirja oma salajase võtmega; kirja saaja saab olla kindel, et kiri on saadetud just selle kasutaja poolt kelle sertifikaadi (avaliku võtme) abil õnnestub kirja autentsust kontrollida; kirja sisu on kõigile avalik, kuid kirjale on nö attachmentiga sarnaselt juurde digitaalse allkirja osa; oluline erinevus nö .ddoc allkirjastamisest on, et reeglina ei kasutata seejuures Sertifitseerimiskeskusest saadud kehtivuskinnitust
* krüptitud kiri - kirja saatja krüptib kirja adressaadi avaliku võtmega (sertifikaadiga); kirja saatja saab olla kindel, et mitte keegi peale selle kasutaja, kelle kasutuses on vastav salajane võti saab kirja sisuga tutvuda

Tuleb arvestada, et eposti allkirjastamine ja krüptimine omab tähendust ainult epostiga tegelemisel ning kuigi see tehnika pakub võimaluse täiendava turvalisuse saavutamiseks ei ole tegu Eesti Vabariigi seaduse mõttes kehtiva digitaalselt allkirjastatud dokumendiga juba seetõttu, et mõlemal juhul kasutatakse autentimise sertifikaati.

Kirja krüptimisel ei ole see tingimata oluline, aga allkirjastamiseks Eesti ID-kaardil asuva autentimise sertifikaadile vastava salajase võtmega eeltingimuseks on, et kasutaja on oma postiprogrammis kirjeldanud tema sertifikaadil leiduva postiaadressiga seotud konto. Sertifikaadile märgitud postiaadressi saab küsida sertifikaadilt öeldes

$ openssl x509 -in imreoolberg-autentimise-sertifikaat.pub -noout -email
imre.oolberg@eesti.ee

Iceweasel programmi ID-kaardiga kasutamise ettevalmistamiseks tuleb avada

Edit -> Preferences -> Advanced -> Certificates -> Security devices -> Load

ning kirjeldada Eesti ID-kaardile vastava turvaseade (ingl. k. security device)

Module Name: esteid
Module filename: /usr/lib/onepin-opensc-pkcs11.so

Lisaks tuleb laadida Icedove'i SK juursertifikaat, ESTEID-SK ja ESTEID-SK 2007 sertifikaadid, mis saab kopeerida http://www.sk.ee/ (Avaleht -> Sertifitseerimine -> Baasinfo -> Juursertifikaadid) veebikohast

Edit -> Preferences -> Advanced -> Certificates -> View Certificates -> Authorities -> Import

Kusjuures tuleb kindlasti vastata jaatavalt küsimusele, et neid usaldatakse eposti jaoks kasutamiseks

[[Pilt:Id-sign-0.gif]]

Seejärel tuleb Icedove'is seoses nn @eesti.ee aadressiga, nt imre.oolberg@eesti.ee, kirjeldatud konto juures näidata, milliseid sertifikaate kasutatakse eposti allkirjastamise ning krüptimise juures, valida ülemine Select (Digital Signing)

[[Pilt:Id-sign-1.gif]]

Peale PIN1 koodi sisestamist esitab arvuti valitud sertifikaadi andmed

[[Pilt:Id-sign-2.gif]]

Valides järgmisena Encryption juures Select küsib arvuti, kas ma soovin kasutada sama sertifikaati (õigemini sama sertifikaadiga seotud salajast võtit) teiste kasutajate poolt mulle saadetud krüptitud kirjade (mis on krüptitud minu avaliku võtmega) lahtikürptimiseks, sobib vastata jaatavalt.

====Icedove postikliendi kasutamine eposti allkirjastamiseks====

Kirja saatmine toimub tavapäraselt ainukese erinevusega, et enne kirja saatmist tuleb valida Security alt

Digitally Sign This Message

[[Pilt:Id-sign-3-1.gif]]

Kirja saajal peab olema postiprogrammi laaditud vähemalt SK juursertifikaat (sellest piisab allkirja kontrollimiseks, sest signatuur sisaldab ka allkirjastaja sertifikaati ning ahelat SK juursertifikaadini ja brauseris oleva SK juursertifikaadiga saab seega tuvastada kasutaja allkirja kehtivust) abil ning kiri pasitab sellisena

[[Pilt:Id-sign-3-2.gif]]

Messsage Security aken avaneb vajutades programmiakna paremas servas asuvale kollane-punane värvi ümbriku kujutisele ja ütleb, et vaatlusalune kiri on allkirjastatud (ingl. k. signed) ning allkiri (ingl. k. signature) on kehtiv. St kirja saaja saab olla kindel, et kiri on saadetud selle poolt, kelle kasutada on allkirja kontrollimisel kasutatud sertifikaadile vastav salajane võti.

====Icedove postikliendi kasutamine eposti krüptimiseks====

Eposti krüptimine toimub adressaadi Eesti ID-kaardi autentimise avaliku võtmega, mis tähendab, et keegi teine peale vastava salajase võtme valdaja ei saa sõnumi teksti sisuga tutvuda. Kirja saatmisel tuleb valida

Security -> Encrypt This Message

[[Pilt:Id-sign-3-3.gif]]

Kirja lugemisel peab olema võimalik kasutada ID-kaarti ning tulemus võiks paista sarnane

[[Pilt:Id-sign-3-4.gif]]

Security Message aken avaneb vajutades programmiakna paremas servas asuvale tabaluku kujutisele ja ütleb, et kiri on krüptitud ning selle sisuga on peale adressaadi teistel kasutajatel ülimalt raske tutvuda.

Kui krüptitud kirja adressaadil on ID-kaardi kasutamine seadistamata, siis esitab programm kasutajale veateadet

Icedove cannot decrypt this message

The sender encrypted this message to you using one of your digital certificates, however Icedove was not able to find
this certificate and corresponding private key.

Possible solutions:

* If you have a smartcard, please insert it now.
* If you are using a new machine, or if you are using a new Icedove profile, you will need to restore your certificate
and private key from a backup. Certificate backups usually end in ".p12".

Krüptimisel tuleb arvestada, et kirja päised sh Message-ID, Date, From, To, Subject jt ei ole krüptitud

..
Message-ID: <49B277C9.8010303@eesti.ee>
Date: Sat, 07 Mar 2009 15:34:01 +0200
From: Imre Oolberg <imre.oolberg@eesti.ee>
User-Agent: Mozilla-Thunderbird 2.0.0.19 (X11/20090103)
MIME-Version: 1.0
To: imre.oolberg@eesti.ee
Subject: eesti muld ja eesti =?ISO-8859-1?Q?s=FCda?=
Content-Type: application/x-pkcs7-mime; name="smime.p7m"
Content-Transfer-Encoding: base64
Content-Disposition: attachment; filename="smime.p7m"
Content-Description: S/MIME Encrypted Message

MIAGCSqGSIb3DQEHA6CAMIACAQAxgf0wgfoCAQAwYzBbMQswCQYDVQQGEwJFRTEiMCAGA1UE
ChMZQVMgU2VydGlmaXRzZWVyaW1pc2tlc2t1czEPMA0GA1UECxMGRVNURUlEMRcwFQYDVQQD
Ew5FU1RFSUQtU0sgMjAwNwIESIQxaDANBgkqhkiG9w0BAQEFAASBgB4isztO9MjE1ZQUzA7e
U1E0YTQZF0nIW4b46Nn/Be+DtUgzZWyZjgln4YxqQ7vDWPJiFNJTqdLjNCPGb6WEJ7ddZJGp
hM/z+tyCNHrXP6DbvjtmF9qJ9WgvyiqHyQMr8FKRCnLdcj70G+N0EzFnsMq4QsvLi6PHaE7v
rWGWq1ynMIAGCSqGSIb3DQEHATAUBggqhkiG9w0DBwQInoBpNLI3/IOggASCAijikH35Tqn9
..

====Teiste kasutajate sertifikaatide kasutamine====

Selleks, et

* saata teisele @eesti.ee postisüsteemi kasutajale krüptitud kirja
* kontrollida teise @eesti.ee postisüsteemi kasutaja poolt saadetud allkirjastatud kirja allkirja

peab olema Icedove'i laaditud teise kasutaja avalik võti, mis esineb nn autentimise sertifikaadi kujul. Selleks tuleb teades kasutaja isikukoodi kopeerida sertifikaadid ldap.sk.ee serverist, nt

$ ldapsearch -LLL -H ldap://ldap.sk.ee -x -b "c=EE" "(serialNumber=37003212713)"

Salvestada esimesele sertifikaadile vastav tekstiosa st

...
userCertificate;binary:: MIID2jCCAsKgAwIBAgIESIQxaTANBgkqhkiG9w0BAQUFADBbMQswC
..
cOXVX08WgFeVtlH1S6AeDIuY1i/EIngiAUV
....

tekstifaili, alates MIID2.. osast, tekstifail peab algama ja lõppema spetsiaalse tunnusega, kokku peab saama sarnane fail

-----BEGIN CERTIFICATE-----
MIID2jCCAsKgAwIBAgIESIQxaTANBgkqhkiG9w0BAQUFADBbMQswC
..
cOXVX08WgFeVtlH1S6AeDIuY1i/EIngiAUV
-----END CERTIFICATE-----

Ning see fail tuleb laadida Icedove'i valides

Edit -> Preferences -> Advanced -> Certificates -> View Certificates -> Other People's -> Import

Seejärel saab saada sertifikaadis näidatud eposti aadressile krüptitud posti ning samuti kontrollida selle kasutaja poolt allkirjastatud eposti signatuuri.

Kui on võimalik, siis saab teise kasutaja isikutuvastuse sertifikaadi postiklienti laadimiseks kasutada ka lihtsamat protseduuri. Nimelt, piisab kui teine kasutaja saadab esmalt signeeritud kirja ning see kiri postikliendiga avada. Sel juhul salvestatakse sertifikaat automaaselt postikliendi Other people's sertifikaatide hoidlasse.

Üldiselt võib üks ja sama kiri olla samaaegselt nii signeeritud kui ka krüptitud.

===@eesti.ee aadresside kasutamine===

Kuna Eesti ID-kaardi autentimise sertifikaadile vastava avaliku võtmega kürptitud kirju saab saata tingimusel, et adressaadiks on sertifikaadis esitatud aadress, mis on kujul

eesnimi.perekonnanimi@eesti.ee

või kui sama ees-ja perekonnanimega kasutajaid oma rohkem kui üks, siis järgmistele aadressidele on perekonnanime järele lisatud arv

eesnimi.perekonnanimi.1@eesti.ee

siis oleks hea kui sellistele aadressidele saadetud kirjad mugavasti adressaadi postkasti jõuaksid.

Käesolev asjakorraldus võimaldab Eesti ID-kaardi omanikel aadressil http://www.eesti.ee/ asuvas riigiportaalis seadistada, kuhu tema @eesti.ee aadressile saadetud kirjad edasi saadetakse. Tavaliselt on selleks nt mail.ee, gmail.com vms teenusepakkuja postkastiga seotud eposti aadress.

Kuigi tehniliselt teeb @eesti.ee aadressi kasutamine mugavaks signeeritud ja krüptitud kirjade vahetamise, töötab see ka nö tavaliste kirjade puhul.

Kusjuures varasemal ajal on kasutatud ID-kaardi autentimise sertifikaadis ka aadressi kujul, kus nnnn on neljakohaline arv

eesnimi.perekonnanimi_nnnn@eesti.ee

Lisaks, @eesti.ee postisüsteem võimaldab seadistada kasutajal omale edasisuunamise aadressi aadressile

isikukood@eesti.ee

kuid kuna see aadress ei esine sertifikaadis, siis ei ole võimalik seda kasutada eposti allkirjastamisel ega krüptimisel.

===Sertifikaadi kehtivuse kontrollimine===

Avaliku võtme infrastruktuuri üheks ülesandeks on hallata kasutajate sertifikaate sh mitmetel põhjusel sertifikaat kehtetuks kuulutada. Seega, sertifikaadi kasutamisel on oluline kontrollida, kas sertifikaat kasutamise ajal kehtib, seda saab teha SK OCSP (Online Certificate Status Protocol) abil öeldes

$ openssl ocsp -issuer esteid.pem -cert idkaardiltsert.pem -url http://ocsp.sk.ee -noverify -text
OCSP Request Data:
Version: 1 (0x0)
Requestor List:
Certificate ID:
Hash Algorithm: sha1
Issuer Name Hash: 4508A41C355C0A72485FE2DF7B6A6788C6A55022
Issuer Key Hash: 4806DEBE8C875795807863FA9C232B2BA03A1875
Serial Number: 48843168
Request Extensions:
OCSP Nonce:
0410090A1FA4F0555E82C1DFB4722FC61696
OCSP Response Data:
OCSP Response Status: successful (0x0)
Response Type: Basic OCSP Response
Version: 1 (0x0)
Responder Id: C = EE, O = ESTEID, OU = OCSP, CN = ESTEID-SK 2007 OCSP RESPONDER, emailAddress = pki@sk.ee
Produced At: Oct 7 22:15:36 2008 GMT
Responses:
Certificate ID:
Hash Algorithm: sha1
Issuer Name Hash: 4508A41C355C0A72485FE2DF7B6A6788C6A55022
Issuer Key Hash: 4806DEBE8C875795807863FA9C232B2BA03A1875
Serial Number: 48843168
Cert Status: good
This Update: Oct 7 22:15:36 2008 GMT

Response Extensions:
OCSP Nonce:
0410090A1FA4F0555E82C1DFB4722FC61696
cert.pem: good
This Update: Oct 7 22:15:36 2008 GMT

Kus esteid.pem sertifikaadi saab kopeerida SK veebikohast.

===ID-kaardi kasutamine chroot keskkonnast===

Märkus: 20090314 stabiilne Debian Lenny sisaldab sun-java6-plugin paketti.

Üks praktiline vajadus kasutada ID-kaarti chroot programmiga moodustatud chroot keskkonnast oleks 64 bit Debiani operatsioonisüsteemis kasutada 32 bit Iceweaselit'i. Põhjusel, et 32 bit arhitektuurile on olemas Iceweaseli java plugin (pakett sun-java6-plugin), aga 64 bitile seda 2008 aastal pole. Omakorda on java vajalik, et saaks nt SEB pangas allkirjastada st sooritada ülekannet.

Tundub, et kui arvutile külge ühendatud ID-kaarti on tarvis kasutada chroot käsu abil moodustatud chroot keskkonnast, siis tuleb öelda (pcscd deemon töötab nn absoluutses arvutis)

# mount --bind /var/run/pcscd /srv/arvuti-32/var/run/pcscd

ning seejärel tuleb käivitada iceweasel nt selliselt läbi sudo

$ sudo /usr/sbin/chroot /srv/arvuti-32 iceweasel

Selleks, et chroot keskkonnas käivitatud iceweasel saaks näidata oma pilti X serverile tuleb xhost käsuga kaasa aidata, nt öelda

$ xhost +iceweaseliarvutinimi

kusjuures ilma argumentideta xhost näitab, millistest arvutitest on võimalik X serveri poole pöörduda.

Kirjeldatud asjakorralduse puhul ei ole tarvis chroot keskkonda ühendada külge mingeid muid failisüsteeme (nt /proc, /sys) ega käivitada seal deemoneid pcscd vms.

Sudo töötamiseks on vajalik omakorda sellist sisu /etc/sudoers faili

User_Alias CHROOT_USERS = mart
Cmnd_Alias CHROOT_CMD = /usr/sbin/chroot
Host_Alias MORAAL = arvuti
CHROOT_USERS MORAAL = (root) NOPASSWD: CHROOT_CMD

Milliseid turvariske selline asjakorraldus tema jaoks toob peab iga kasutaja ise hindama, eriti seoses X serverile ligipääsemisega kus on avatud ID-kaarti kasutav rakendus.

===ID-kaardi kasutamine konsoolilt arvutisse sisselogimiseks===

Arvutisse sisselogimise kontrollimist on võimalik korraldada ID-kaardi isikutuvastuse sertifikaadiga. Ehk täpsemini, sisselogimisel peab kasutaja tõendama, et ta saab kasutada isikutuvastuse sertifikaadile vastavat salajast võtit ja seda ta teeb PIN1 koodi sisestamise teel.

Tööleseadistatud süsteemi kasutamine näeb välja mitte-graafilise konsooli (tõenäoliselt mingi getty) kasutamisel selliselt, tulemusena on kasutaja süsteemi sisse loginud, nt juurkasutaja

Debian GNU/Linux 5.0 arvutinimi tty4

arvutinimi login: root
Please insert your smart card or enter your username.
Smart card inserted.
Welcome to ID-kaart (PIN1, Isikutuvastus)!
Smart card password:
...

bash#

Sellise asjakorralduse tööleseadmiseks tuleb üldiselt ID-kaart arvutiga ära ühendada nii nagu on ülal punktis 'Kaardilugeja ühendamine operatsioonisüsteemiga' kirjeldatud ning seejärel

* seadistada sisselogimise kontrolli süsteemne osa
* seadistada sisselogimise kontrolli kasutajaspetsiifiline osa

====Süsteemi ettevalmistamine====

Süsteemi ettevalmistamiseks tuleb lisaks paigaldada pakett libpam-pkcs11

# apt-get install libpam-pkcs11

Seejärel moodustada kataloog /etc/pam_pkcs11, sinna näidise eeskujul seadistusfail

# mkdir /etc/pam_pkcs11
# zcat /usr/share/doc/libpam-pkcs11/examples/pam_pkcs11.conf.gz > /etc/pam_pkcs11/pam_pkcs11.conf
# zcat /usr/share/doc/libpam-pkcs11/examples/pam_pkcs11.conf.gz > /etc/pam_pkcs11/pam_pkcs11.conf-orig

ja teha seadistusfailis sellised muudatused

# diff pam_pkcs11.conf pam_pkcs11.conf-orig
85,86c85
< # module = /usr/lib/pam_pkcs11/pkcs11_module.so;
< module = /usr/lib/opensc-pkcs11.so;
---
> module = /usr/lib/pam_pkcs11/pkcs11_module.so;
116c115
< use_mappers = opensc, digest, cn, pwent, uid, mail, subject, null;
---
> use_mappers = digest, cn, pwent, uid, mail, subject, null;
122,123c121
< # mapper_search_path = /usr/lib/pam_pkcs11;
< mapper_search_path = /lib/pam_pkcs11;
---
> mapper_search_path = /usr/lib/pam_pkcs11;
160,161c158
< # module = /usr/lib/pam_pkcs11/opensc_mapper.so;
< module = /lib/pam_pkcs11/opensc_mapper.so
---
> module = /usr/lib/pam_pkcs11/opensc_mapper.so;

SK sertifikaatide kopeerimine ja nn hash linkide moodustmine toimub selliselt (eeldusel, et kasutaja isikutuvastuse sertifikaat on antud välja ESTEID-SK 2007 sertifikaadi suhtes)

# mkdir /etc/pam_pkcs11/cacerts
# cd /etc/pam_pkcs11/cacerts
# wget http://www.sk.ee/files/JUUR-SK.PEM.cer -O JUUR-SK.PEM.pem
# wget http://www.sk.ee/files/ESTEID-SK%202007.PEM.cer -O ESTEID-SK%202007.PEM.pem
# c_rehash .

Tulemus

# find . -ls
183909 4 drwxr-xr-x 2 root root 4096 Mar 15 12:28 .
183911 4 -rw-r--r-- 1 root root 1404 Jan 3 2007 ./ESTEID-SK\ 2007.PEM.pem
183910 4 -rw-r--r-- 1 root root 1790 Feb 6 2006 ./JUUR-SK.PEM.pem
183913 0 lrwxrwxrwx 1 root root 15 Mar 15 12:28 ./119afc2e.0 -> JUUR-SK.PEM.pem
183912 0 lrwxrwxrwx 1 root root 22 Mar 15 12:28 ./590f5e9e.0 -> ESTEID-SK\ 2007.PEM.pem

Lõpuks tuleb kirjeldada PAM mooduli seadistusfailis uus autentimisviis lisades faili /etc/pam.d/common-auth juurde esimeseks reaks

auth sufficient pam_pkcs11.so nullok

====Kasutajakeskkonna ettevalmistamine====

Selleks, et konktreene kasutaja, nt juurkasutaja saaks süsteemi siseneda tuleb moodustada kataloog

# mkdir /root/.eid

ning kopeerida ID-kaardilt isikutuvastuse sertifikaat faili /root/.eid/authorized_certificates

# pkcs15-tool -r 01 > /root/.eid/authorized_certificates

===Eesti ID-kaardi kasutamine OpenVPN lahendusega===

OpenVPN pala tekstis http://kuutorvaja.eenet.ee/wiki/OpenVPN_ja_Eesti_ID-kaardi_kasutamine on kirjeldatud, kuidas kasutada Eesti ID-kaarti VPN kasutajate autentimiseks.

===Eesti ID-kaardi kasutamine GnuPG-2 tarkvaraga===

Märkmed Eesti ID-kaardi võimalikust kasutamisest GnuPG-2 tarkvaraga, mis kahjuks ei vii tulemuseni, aga võimalik, et ühel päeval viivad, http://kuutorvaja.eenet.ee/wiki/GnuPG_kasutamine_Debianiga#Eesti_ID-kaardi_kasutamine_GnuPG-2_tarkvaraga

===ID-kaardi koodide muutmine===

ID-kaardi isikutuvastuse ja allkirjastamise võtmete kasutamist kaitstakse koodidega, vastavalt PIN1 ja PIN2 koodid. Lisaks on kasutusel PUK kood, mille abil saab PIN1 ja PIN2 koodi vajadusel muuta, näiteks kui mõni PIN kood on saanud teatavaks kellelegi teisele või mõni PIN kood on ära ununenud. Kui sooritada kolm järjestikulist ebaõnnestunud koodi sisestamist, siis ligipääs kõnelusele salajasele võtmele lukustatakse, st et enne kui seda saab uuesti kasutada, tuleb ligipääs võtmele PUK koodi abil lahti lukustada.

ID-kaardi PIN koodide lahtilukustamiseks sobib kasutada pkcs15-tool utiliiti, nt öelda PIN 1 koodi lahtilukustamiseks

# pkcs15-tool --unblock-pin -a 1
Enter PUK [PIN1, Isikutuvastus]:
Enter new PIN [PIN1, Isikutuvastus]:
Enter new PIN again [PIN1, Isikutuvastus]:

Muud käsud:

PIN1 koodi muutmiseks

# pkcs15-tool --change-pin -a 1

PIN2 koodi muutmiseks

# pkcs15-tool --change-pin -a 2

PIN2 koodi lahtilukustamiseks

# pkcs15-tool --unblock-pin -a 2

PUK koodi muutmiseks

# pkcs15-tool --change-pin -a 3

Kui aga PUK kood on kadunud, siis saab ID-kaarti kasutada seni kuni pole tarvis PIN koode muuta, vastasel korral tuleb teeninduspunktist, nt pangas paluda paigaldada ID-kaardile uus nn ümbrik.

===e-valimistel osalemine===

e-valimistel osalemiseks tuleb valimiste veebikohta sisse logida ning kopeerida lokaalselt töötav rakendus. Kävitamisel paistab selline pilt

[[Pilt:Evalimised-2009-1.gif]]

===Mobiil-ID===

Mobiil-ID tehnika võimaldab kasutada mobiiltelefoni sarnaselt ID-kaardile, mobiil-ID toimimist on kirjeldatud aadressil http://www.id.ee/10958

===ID-kaardi rakenduste arendamine===

ID-kaardi rakenduste arendajale on Sertifitseerimiskeskus tekitanud projekti OpenXades aadressil http://www.openxades.org/

* saab testida id-kaardiga allkirjastamist vastu test digidocservice teenust (selleks tuleb üles laadida oma sertifikaadid)
* saab testida mobiil-id kaardi kasutamist (selleks tuleb üles laadida oma sertifikaadid)

===Eesti ID-kaardi tarkvara arendus 2009===

Smartlink arendab RIA tellimusel 2009 aastal Eesti ID-kaardi kasutamise tarkvara https://id.eesti.ee/idtrac/, mis sisaldab muu hulgas kasutaja töökohaarvutis kasutamiseks graafilise kasutajaliidesega programme

* qesteidutil - ID-kaardi haldamise tarkvara, sertifikaatide kehtivuse kontroll, PIN koodide muutmine, sertifikaatide uuendamine jms
* qdigidocclient - andmete allkirjastamine ja allkirjade kontrollimine, st nn .ddoc ja .bdoc failidega tegelemine
* qdigidoccrypto - andmete krüptimine teise ID-kaardi kasutaja avaliku võtmega, st .cdoc failidega tegelemine

Lisaks asendab Smartlink lahendus Debian Lenny nö ametlikust tarkvarast sellised paketid

* libopensc2 - OpenSC teek
* opensc - OpenSC utiliidid, kuigi selle paketi paigaldamine ei ole lõppkasutaja seisukohast tingimata vajalik (seal sisaldub nt pkcs15-tool utiliit)

2009 aasta juuli keskel on see selle tarkvara arendusetapp lõpule jõudmas ning praktiselt saab tarkvara võimalustega tutvuda ja tasakesi kasutada.

====Tarkvara paigaldamine====

Kõnealune lahendus kasutab eraldiseisvalt eksisteerivaid OpenSC teeke (pakett libopensc2, seadistusfail /etc/opensc/opensc.conf) ning PC/SC vahendeid (pakett pcscd), Eesti ID-kaardi tarkvara paigaldamiseks tuleb lisada /etc/apt/sources.list faili rida

deb ftp://ftp.smartlink.ee/pub/id/debian/ lenny main

usaldada Smartlinki repositooriumi Release faili võtit

# wget ftp://ftp.smartlink.ee/pub/id/apt-esteid-test.gpg.asc
# apt-key add apt-esteid-test.gpg.asc
OK

NB! 20090928 seisuga selle repo kasutamisel asendatakse Debian Lenny nö enda opensc jt teeke ära Smartlinki omadega ja tulemusena ID-kaarti ei saa kasutada, vähemalt mitte ilma vajalike muudatusteta.

Tarkvara paigaldamiseks tuleb öelda

# apt-get install qesteidutil qdigidoc

paigaldatakse neli kõnealuse arendusega seotud paketti ning vajadusel sõltuvustena ka OpenSC, PC/SC jm tarkvara

* qesteidutil - Eesti ID-kaardi haldusvahend qesteidutil
* qdigidoc - programmid qdigidocclient ja qdigidoccrypto
* libdigidoc2 - nn vana teek, käsurealt kasutatav utiliit cdigidoc
* libdigidocpp0 - nn uus teek

Tarkvara kasutamiseks tuleb OpenSC ja PC/SC seada käima nii nagu on käesoleva pala alguses punktis [[:Eesti ID-kaardi kasutamine Debianiga#Kaardilugeja ühendamine operatsioonisüsteemiga]] kirjeldatud.

====Eesti ID-kaardi haldusvahend====

Eesti ID kaardi haldusvahendi qesteidutil kasutamiseks tuleb käivitada programm, nt valides menüüst või XTerm aknas öeldes

$ qesteidutil

ning avaneb aken

[[Pilt:qesteidutil-1.gif]]

Kasutajaliideses esitatud pilt kopeeritakse riigiportaali www.eesti.ee süsteemi kaudu üle X-tee KMA andmekogust.

====Digidoc klient====

Qt teeke kasutava Digidoc kliendi qdigidocclient käivitamiseks tuleb käivitada programm nt valides menüüst või XTerm aknas öeldes

$ qdigidocclient

ning avaneb aken

[[Pilt:qdigidocclient-1.gif]]

Krüptimise utiliidi saab käivitada öeldes

$ qdigidoccrypto

ning avaneb pilt

[[Pilt:qdigidoccrypto-1.gif]]

Utiliit sisalab LDAP klienti, millega saab teades teise kasutaja isikukoodi kopeerida Sertifitseerimiskeskuse LDAP kataloogist tema isikutuvastuse sertifikaadi.

====cdigidoc utiliit====

Paketi libdigidoc2 koosseisus on utiliit cdigidoc, millega saab käsurealt DigiDoc failidega töötada, näiteks fail.cdoc lahtikrüptimiseks sobib öelda

$ cdigidoc -decrypt fail.cdoc PIN_KOOD -out fail.ddoc

Faili fail.ddoc seest esimene faili nimega sisufail.txt konteinerist välja kopeerimiseks sobib öelda

$ cdigidoc -extract D0 sisufail.txt -in fail.ddoc

Ilma argumentideta käsk väljastab abi

$ cdigidoc
USAGE: cdigidoc <command(s)> [-in <input-file>] [-out <output-file>] [-config <config-file>]
COMMANDS:
[-new] [format] [version]
-check-cert <-cerificate-file-name (PEM format)>
-add <file-name> <mime-type> [<content-type>] [<charset>]
-verify
-list
-sign <pin> [<manifest>] [<city> <state> <zip> <country>]
-extract <doc-id> <file-name> [<charset>] [<file-name-charset>]
-encrypt <file-name>
-encrecv <cert-file> [<recipient>] [<keyname>] [<carried-key-name>]
-decrypt <file-name> <pin1>
-denc-list <file-name>
-encrypt-file <in-file-name> <out-file-name> [<in-file-mime-type>]
-decrypt-file <in-file-name> <out-file-name> <pin1>
-calc-sign <cert-file> [<manifest>] [<city> <state> <zip> <country>]
-add-sign-value <sign-value-file> <sign-id>
-del-sign <sign-id>
-get-confirmation <sign-id>
OPTIONS:
-cgimode [<ouput-separator] - output in CGI mode
-SAX - use SAX parser
-XRDR - use XmlReader parser

====Märkused====

20090714 seisuga tehtud tähelepanekud

* programmidel puuduvad manuaalid (ingl. k. manpage) ning praktiliselt dokumentatsioon kataloogis /usr/share/doc/paketinimi
* paketihalduse nimekirjas esineb ka pakett qdigidoccrypto, mida asendab qdigidoc, kui qdigidoc* pakettide traditsioon alles algab, äkki siis see 'Replaces' eemaldada
* sõltuvustest ei paigaldata opensc paketti, mis iseenesest ei ole ka vajalik, vajalik on just libopensc2 teekide pakett
* q* programmide kasutamisel tuleb olla kannatlik, kuigi esmalt teatab programm, et 'Ei leitud ühtegi ID-kaarti' voi 'Kaarti pole lugejas', siis tegelikult võidakse tegeleda alles kaardi otsimisega ja mõne sekundi pärast on kõik korras ja saab jätkata programmi kasutamist
* q* programmide akendest ei saa alati hiirega teksti kopeerida
* paketi libopensc2 seadistusfailis /etc/opensc/opensc.conf võiks parameetri muudatus toimuda ehk debconf dialoogi abil pakkudes kasutajale sobivat vaikeväärtust

reader_drivers = openct, pcsc, ctapi; -> reader_drivers = pcsc, ctapi;

* IP aadressipõhisel ocsp teenusele ligipääsu puhul küsitakse 'Did not find any server access certificate! Start downloading?'
* Kas programmide töö lõpetamiseks on muid võimalusi peale akna sulgemise?

===Eesti ID kaardi tarkvara v. 3.8 kasutamine 2014 suvel===

Käesolevas punktis kirjeldatakse 2014 aasta suvel olemasolevate tarkvara komponentidega Eesti ID kaardi kasutamist (autentimist ja allkirjastamist)

* Debian testing (Jessie) operatsioonisüsteem (32 või 64 bit, tõenäoliselt sarnaselt toimub paigaldamine-seadistamine-kasutamine ka muude Debiani versioonide ja Linux distributsioonidega)
* Eesti ID kaardi tarkvara v. 3.8.0 Ubuntu v. 12.04 (Precise) paketid

Tulemusena saab

* Chrome brauseriga autentida ja allkirjastada
* ID kaardi haldusvahendiga pin koode hallata
* lokaalse DigiDoc kliendiga allkirjastada ja krüptida

Juhised kehtivad

* Chrome < v. 35 (tundub, et alates v. 35 on smart card autentimise tehnika oluliselt muutunud, väidetavalt Eesti ID kaardi tarkvara v. 3.9 teeb selle korda)
* OpenSC kuni 0.12 ja kaasa arvatud (0.13 juures puudub brauseri kasutamist abistav onepin teek)

====Tarkvara paigaldamine====

Eeldusel, et arvutis on töötav kasutajakeskkond (XCFE, Gnome vms) ning Chrome brauser versioon < 35, lisada süsteemi üldotstarbelised paketid

# apt-get install opensc pcscd libccid libnss3-tools apt-transport-https

Kuna onepin-opensc-pkcs11.so teek on vajalik, aga opensc v. 0.13 tarkvaras puudub ning see on nt Debian v. 7 Wheezy paketihalduses v. 0.12 juures olemas (ja tundub, et sobib kasutada), siis aitab lisada /etc/apt/sources.list faili Debian v. 7 Wheezy repositoorium

deb http://ftp.us.debian.org/debian/ wheezy main contrib non-free

ning öelda 0.12 versiooni paigaldamiseks (downgrade'iks)

# apt-get update
# apt-get install opensc=0.12.2-3

Lisaks tuleb Wheezy pakettidest paigaldada

# apt-get -t wheezy install libxml-security-c16

Eesti ID kaardi tarkvara paigaldamise ettevalmistamiseks laadida võti

# wget -O /tmp/ria-public.key https://installer.id.ee/media/install-scripts/ria-public.key
# apt-key add /tmp/ria-public.key

lisada /etc/apt/sources.list faili rida

deb https://installer.id.ee/media/ubuntu/ precise main

ja tarvkara paigaldamiseks öelda

# apt-get update
# apt-get install estonianidcard qesteidutil esteidcerts esteidfirefoxplugin

====ID kaardilugejaga suhtlemise kontrollimine====

Peale tarkvara paigaldamist ja eeldusel, et lugeja on arvutiga ühendatud saab öelda

# opensc-tool -l
# Detected readers (pcsc)
Nr. Card Features Name
0 Yes SCM Microsystems Inc. SCR 331 [CCID Interface] (504005BE) 00 00

Kui lisaks on ID kaart on lugejas saab öelda (jms pkcs15-tool käske)

# pkcs15-tool -c
Using reader with a card: SCM Microsystems Inc. SCR 331 [CCID Interface] (504005BE) 00 00
X.509 Certificate [Isikutuvastus]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeaace
ID : 01
Encoded serial : 02 10 3BF4F7CBE36A655050DC20A42E9EFBAA

X.509 Certificate [Allkirjastamine]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeddce
ID : 02
Encoded serial : 02 10 0D1864A01391996750DC20AC1BF2FDE5

====ID kaardi haldusvahend====

Peale tarkvara paigaldamist maksab esmalt veenduda, et id kaardilugeja riistvara on ära tuntud ja kaart on üldiselt ligipääsetav. Selleks käivitada ID kaardi haldusvahend ja peab nägema oma sertifikaadiandmeid.

Interneti kasutamise olemasolul saab Lae pilt valikuga küsida rahvastikuregistris olevat pilti.

====Chrome brauseriga autentimine ja allkirjastamine====

Esmalt tuleb kord brauser käivitada, et kasutaja kodukataloogi tekiksid vajalikud nn punktifailid (~/.pki), seejärel brauseri protsessid lõpetada st brauseri sulgeda ning öelda sama kasutajana

$ modutil -dbdir sql:$HOME/.pki/nssdb -delete opensc-pkcs11
$ modutil -dbdir sql:$HOME/.pki/nssdb -add opensc-pkcs11 -libfile onepin-opensc-pkcs11.so -mechanisms FRIENDLY

kus

* esimese käsu väljundiks on tõenäoliselt veateade kuna pole midagi kustutada
* teise käsu väljundiks

...
Module "opensc-pkcs11" added to database.

Seejärel tuleb Chrome pluginate settingutest aadressilt chrome://plugins (sisestada nii aadressreale) seadistada EstEID plugin

* Enabled
* Always Allowed

Tulemusena paistab selline pilt

[[Pilt:Chrome-esteid-2.gif]]

kust on näha, et kasutatakse paketis esteidfirefoxplugin olevat teeki

$ dpkg -S /usr/lib/mozilla/plugins/npesteid-firefox-plugin.so
esteidfirefoxplugin: /usr/lib/mozilla/plugins/npesteid-firefox-plugin.so

Autentimiseks sobib minna mõnda portaali, kus on võimaluda kasutaja autentmiseks ID kaardiga, nt https://www.eesti.ee/. Samas saab ka allkirjastada valides

Minu asjad -> Minu dokumendid

Katsetada sobib ka aadressil https://www.openxades.org/web_sign_demo/sign.html.

====Firefox/Iceweasel brauseriga autentimine ja allkirjastamine====

Kontrollida, et paketi esteidfirefoxplugin paigaldamisel tekkinud EstEID plugin on Always Activate olekus

about:addons -> Plugins -> EstEID plug-in -> More

ID kaardi kasutamiseks tuleb brauseri seadistustes kirjeldada onepin teek valides

Edit -> Preferences -> Advanced -> Certificates -> Security Devices -> Load

ja avanenud dialoogis sisestada nt

* Module name - EstEID
* Module filename - /usr/lib/x86_64-linux-gnu/onepin-opensc-pkcs11.so

kus mooduli asukoht failisüsteemis sõltub arhitektuurist jms natuke, find leiab üles

$ find /usr/ -name onepin\*
/usr/lib/x86_64-linux-gnu/onepin-opensc-pkcs11.so

Tulemusena saab ID kaardiga autentida ning allkirjastada.

====Lokaalne DigiDoc klient====

Tarkvara paigaldamise käigus paigaldati ka lokaalne DigiDoc klient. Esmakordsel käivitamisel pakutakse võimalust laadida Sertifitseerimiskeskuse kehtivuskinnituse kasutamiseks vastav juurdepääsutõend, millega saab allkirjastada kuni kümme korda kuus.

====Probleemid====

* Kui allkirjastamisel küsitakse luba kahe plugina käivitamiseks (või öeldakse, et Java plugin on puudu)

[[Pilt:Chrome-esteid-1.gif]]

siis on põhjuseks, et EstEID plugin ei ole seadistatud õieti. Peab olema valitud 'Always allowed'. Oluline on teada, et Java ei ole Chrome brauseriga allkirjastamisel reeglina vajalik.

====Kasulikud lisamaterjalid====

* https://installer.id.ee/
* https://github.com/martinpaljak/ria-debian-build
* http://lauri.võsandi.com/posts/ubuntu-trusty-esteid.html
* http://pingviin.org/portal.php?topic_id=9727
* https://installer.id.ee/media/install-scripts/install-esteid-ubuntu.sh
* https://wiki.debian.org/Smartcards
* http://id.ee/?id=34228
* http://packages.ubuntu.com/lucid/libccid

===Eesti ID kaardi tarkvara v. 17.01.1686-1604 kasutamine 2017 kevadel===

Käesolevas punktis käsitletakse Eesti ID kaardi tarkvara kasutamist operatsioonisüsteem Debian v. 9 Stretch keskkonnas. Debian jaoks üldiselt pakette ei valmistata, aga osutub, et saab kasutada Ubuntu v. 16.04 Xenial pakette.

====Tööpõhimõte====

TODO

====Ettevalmistused====

Kuna Ubuntu v. 16.04 Xenial libssl1.0.0 v. 1.0.2g paketis on ka v. 1.0.0 sümbolid

<pre>
ubuntu-1604$ strings /lib/x86_64-linux-gnu/libssl.so.1.0.0 | grep ^OPENSSL_1
OPENSSL_1.0.0
OPENSSL_1.0.1
OPENSSL_1.0.1d
OPENSSL_1.0.2
OPENSSL_1.0.2g
</pre>

ja Debian v. 9 Stretch libssl1.0.2 v. 1.0.2k paketis ei ole 1.0.0 sümboleid

<pre>
debian-9$ strings /usr/lib/x86_64-linux-gnu/libssl.so.1.0.2 | grep ^OPENSSL_1
OPENSSL_1.0.2d
OPENSSL_1.0.2g
</pre>

siis on vaja leida mingi workaround. Tundub, et kaaluda maksab

* kopeerida internetist Ubuntu v. 16.04 Xenial libssl1.0.0 pakett ja kasutada sealt kahte teeki libssl.so.1.0.0 ja libcrypto.so.1.0.0 (selle lähenemise puuduseks on, et edaspidi vaevalt keegi viitsib neid teeke uuendada)
* paigaldada Debian v. 8 Jessie libssl1.0.0 pakett, http://priit.joeruut.com/archives/Eesti-ID-kaardi-tarkvara-ehk-open-eid-v.-3.12-kasutamine-Debianis.html (lähenemise puuduseks on, et Debian v. 8 Jessie tugi lõpeb tõnäoliselt varem kui Ubuntu v. 16.04 Xenial, aga väga võimalik, et veel enne tekib Debian + ID kaardi kasutamiseks mingi normaalsem lahendus)

Ubuntu libssl1.0.0 paketi saab kopeerida aadressilt http://packages.ubuntu.com/search?keywords=libssl1.0.0&searchon=names&suite=xenial&section=all

Paketi lahti pakkimiseks sobib öelda

$ cd /var/tmp/libssl1.0.0-ubuntu
$ dpkg -x /home/imre/Downloads/libssl1.0.0_1.0.2g-1ubuntu4.6_amd64.deb .

ning (kuna selliste nimedega faili enne pole)

# cp libssl.so.1.0.0 libcrypto.so.1.0.0 /usr/lib/x86_64-linux-gnu

Selleks, et süsteemis oleks paketihalduse mõttes libssl1.0.0 nimeline pakett, sobib kasutada equivs abi

* öelda

$ equivs-control libssl1.0.0

* redigeerida natuke tekkinud faili

<pre>
$ egrep -v "^$|^#" libssl1.0.0
Section: misc
Priority: optional
Standards-Version: 3.9.2
Package: libssl1.0.0
Version: 1.0.0
Maintainer: Imre <imre@auul.pri.ee>
Description: libssl1.0.0 abistaja
Testime
.
Testime 2
</pre>

* öelda

$ equivs-build libssl1.0.0

* paigaldada (kuidagi ta paigaldatakse vaatamata signatuuri puudumisele jms)

# dpkg -i libssl1.0.0_1.0.0_all.deb

====Paigaldamine====

* lisada apt võtmete hulka aadressil https://installer.id.ee/media/install-scripts/install-open-eid.sh oleva skripti algusest kaks sissekannet

# apt-key add failinimi

* lisada apt source

# cat /etc/apt/sources.list.d/ria-repository.list
deb http://installer.id.ee/media/ubuntu xenial main

* värskendada

# apt-get update

ID kaardi tarkvara paigaldamiseks sobib öelda

# apt-get install open-eid

tulemusena tekib failisüsteemi

* kümmekond paketti, enamus installer.id.ee pealt
* /etc/X11/Xsession.d/95-esteid-update-nssdb - selle faili abil X konsoolil töötamise alguses nö korraldakse sobiv seis olulistest asjadest (mh öeldakse modutil jt käske)

Paigaldamise lõpus tuleb Desktop keskkonnast logida välja ja tagasi sisse selleks, et Xsession kasutaks nssdb osa.

====ID kaardilugejaga suhtlemise kontrollimine====

Peale tarkvara paigaldamist ja eeldusel, et lugeja on arvutiga ühendatud saab öelda

<pre>
$ opensc-tool -l
# Detected readers (pcsc)
Nr. Card Features Name
0 Yes Gemalto PC Twin Reader (FB00DB62) 00 00
</pre>

Kui lisaks on ID kaart on lugejas saab öelda (jms pkcs15-tool käske)

<pre>
$ pkcs15-tool -c
Using reader with a card: Gemalto PC Twin Reader (FB00DB62) 00 00
X.509 Certificate [Isikutuvastus]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeaace
ID : 01
Encoded serial : 02 10 775DD64056F35E7954C8CB3EFEB3C8EE
X.509 Certificate [Allkirjastamine]
Object Flags : [0x0]
Authority : no
Path : 3f00eeeeddce
ID : 02
Encoded serial : 02 10 2D5E4D8F644E041454C8CB5236F7D2D6
</pre>

====ID kaardi haldusvahend====

Peale tarkvara paigaldamist maksab esmalt veenduda, et id kaardilugeja riistvara on ära tuntud ja kaart on üldiselt ligipääsetav. Selleks käivitada ID kaardi haldusvahend ja peab nägema oma sertifikaadiandmeid.

Interneti kasutamise olemasolul saab Lae pilt valikuga küsida rahvastikuregistiris olevat pilti.

====Chromium brauseriga autentimine ja allkirjastamine====

Veenduda, et Chromiumil on olemas vastav plugin (see on kopeeritav ka üldisest Google Chrome extensions repositooriumist)

[[Pilt:Chrome-esteid-3.gif]]

Tulemusena peab töötama autentimine ja allkirjastamine.

====Firefox brauseriga autentimine ja allkirjastamine====

TODO

* Tundub, et autentimine töötab nö iseenesest.

====Kasulikud lisamaterjalid====

* https://github.com/web-eid/
* https://github.com/open-eid
* https://github.com/open-eid/chrome-token-signing/wiki
* https://lauri.xn--vsandi-pxa.com/2014/04/ubuntu-trusty-esteid.html
* http://installer.id.ee/
* http://priit.joeruut.com/archives/Eesti-ID-kaardi-tarkvara-ehk-open-eid-v.-3.12-kasutamine-Debianis.html
* https://installer.id.ee/media/install-scripts/install-open-eid.sh
* https://www.auul.pri.ee/wiki/Operatsioonis%C3%BCsteem_Debian_GNU/Linux_paketihalduse_kasutamine#Equivs_kasutamine

===Test ID-kaart===

Lisaks nö päris ID-kaartidele väljastab Sertifitseerimiskeskus teatud juhtumiteks ka test ID-kaarte, nt on seal kasutatav sertifikaat selline

-----BEGIN CERTIFICATE-----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 2AjWXfHNDc0oWr7CBV9HRLmpidJQtQCwoUt6Y2NA==
-----END CERTIFICATE-----

Tekstikujul vaadatest on Issuer ja Subject väärtused

# openssl x509 -in /tmp/zaikovski.pem -noout -text
Certificate:
Data:
Version: 3 (0x2)
Serial Number: 1244104848 (0x4a278890)
Signature Algorithm: sha1WithRSAEncryption
Issuer: C=EE, O=AS Sertifitseerimiskeskus, OU=Testsertifikaadid, CN=TEST-SK
Validity
Not Before: Jun 4 08:40:48 2009 GMT
Not After : Apr 7 11:42:17 2012 GMT
Subject: C=EE, O=TEST-ESTEID, OU=authentication, \
CN=\x01}\x00A\x00I\x00K\x00O\x00V\x00S\x00K\x00I\x00,\x00I\x00G\x00O\x00R\x00,\x003\
\x007\x001\x000\x001\x000\x001\x000\x000\x002\x001, SN=\x01}\x00A\x00I\x00K\x00O\x00V\x00S\
\x00K\x00I, GN=IGOR/serialNumber=37101010021
...

Tundub, et kõigil test kaartidel on algselt samad pinid ja puk, mida saab muuta id kaardi utiliidiga, http://www.id.ee/index.php?id=30379

* PIN1 kood - 0090
* PIN2 kood - 01497
* PUK kood - 17258403

===Kaardilugeja firmware uuendamine===

Kui kaardilugeja nö peaks töötama, aga ei tööta, siis mõnel juhul on otstarbekas kaaluda kaardilugeja firmware uuendamist. Nt SCR311 kaardilugeja puhul sobib selleks kasutada Windows 7 keskkonda, et uuendada 4. -> 5. versoonide vahel.

Kasulikud lisamaterjalid

* http://www.jasemccarty.com/blog/?p=1134
* https://militarycac.com/cacdrivers.htm

===Märkused===

* Kui brauser või postiklient lakkavad töötamast ID-kaardiga, siis maksab need programmid sulgeda ja samuti peatada pcscd deemon ning seejärel esmalt deemon ning siis rakendusprogrammi uuesti käivitada.
* Kuivõrd ID-kaardi sertifikaadid kehtivad suhteliselt lühikest aega ning sertifikaatide uuendamisel praktiliselt kirjutatakse vanad sertifikaadid üle uutega, siis sobib ID-kaardi vahendeid andmete krüptimiseks kasutada nö turvalise transpordi sooritamiseks ja mitte andmete pikaajaliseks turvaliseks säilitamiseks. Lisaks on veel muid ohte, näiteks et ID-kaart rikneb füüsiliselt.

===Sertifikaatide uuendamine===

Sertifikaatide saab uuendada id kaarti utiliidiga, peale uuendamist näidatakse sellist pilti, tegevuse käigus küsitakse vana sertifikaadi PIN1

[[Pilt:Qesteidutil-2.gif]]

===TODO===

* ipsec lahenduse juures kasutamine

===Kasulikud lisamaterjalid===

* Eesti ID-kaardi tarkvara - http://ideelabor.ee/
* Sertifitseerimiskeskus - http://www.sk.ee/
* http://kuutorvaja.eenet.ee/wiki/Apache'i_veebiserver#ID_kaardiga_kasutaja_autentimine
* http://kuutorvaja.eenet.ee/wiki/OpenLDAP_kasutamine_Debianiga#Icedove.27i_aadressraamatu_pidamine
* https://digidoccheck.sk.ee/
* https://id.eesti.ee/trac/
* http://pcsclite.alioth.debian.org/supported.html
* http://code.google.com/p/esteid/

Linux mount

2018-02-06T21:48:28Z

Imre: /* Olemasolevate partitsioonide suurendamise teel */

===Sissejuhatus===

[[Pilt:2879430437 975b4e8d5f.jpg]]

Nagu teada asuvad Linux'i puhul kõik failid ühtses kataloogipuus (aga nt. MS Windows'ites kasutatakse partitsioonide tähistamiseks nn. kettatähti: A, B on pehmeketta seadmed ja C, D, E ... Z - kõvaketaste partitsioonid).

Linuxi puhul on tähelepanuväärne see, et ta suudab lugeda ja kirjutada peale enda Second Extended (ext2, ext3, ext4) failisüsteemi ka paljusid teisi levinud failisüsteeme (mh. FAT pikkade ja lühikeste nimedega, OS2 HPFS, minix). Et see tõesti nii oleks on vaja vastav tugi kernelisse sisse või mooduliteks kompileerida. Soovitavalt mooduliteks. Muuseas, moodulid asuvad kataloogis /lib/modules/... ja kui seal on nt. fail vfat.o, siis on tõenäoliselt võimalik lugeda kirjutada W95 partitsiooni. Seda kas moodul on kasutusel saab näha käsuga lsmod; ja kui ei ole kasutusel, siis aitab käsk modprobe vfat. Jne.

Linux käsitleb pehme- ja kõvakettaid kaunis võrdväärsete seadmetena. Vähemalt selles mõttes, et enne floppy ketta seadmesse panekut ja peale väljavõtmist tuleb täita samad käsud,et mis kõvaketta juurde ja tagant ühendamisel.

Failisüsteem on vahend andmete organiseerimiseks andmekandjal. Failisüsteem asub tavaliselt infokandjale (kõvaketas, USB pulk) partitsioonil ja tema poole pöördutakse seadmenimega. Näiteks esimese IDE kanali teise kõvaketta kolmas partitsioon kannab nime

b - esimene IDE kanal teine ketas (nn primary slave, esimene ketas algab tähega a)
|
|
/dev/hdb3
| |
| |
| 3 - kolmas partitsioon
|
hd - ata hard disk (sata kettad algavad sd lühendiga)

Kui te ei tea täpselt millised partisioonid on kõvakettale moodustatud kasutage järelevaatamiseks programmi fdisk

# fdisk /dev/hdb

Ettevaatust fdiski kasutamisel, peale vaatamise saab sellega ka partitsioone muuta.

Failisüsteemide kasutamine eeldab, et vastav toetus on tuuma kompileeritud. Et näha milliseid failisüsteeme masin parasjagu toetab vaadake tuuma moodulite kataloogi /lib/modules/2.2.xx või uurige faili /proc/filesystems sisu.

UNIXi kataloogistruktuur on traditsiooniline ja seal ei kõnelda ketastest (A:\, C:\ jne). Kõikide võimalike andmekandajate pöördutakse sisenedes vastavasse kataloogi. Seda millise kataloogi all külgeühendatud failisüteem asub nimetatakse külgeühendamiskohaks.

Peale andmekandja kasutamist ja enne selle seadmest väljavõtmist tuleb ta lahti ühendada, näiteks kataloogi /floppy alla ühendatud pehmeketta failisüsteemi lahtiühendamine käib nii

bash# umount /floppy

Seejärel võib pehmeketta seadmest välja võtta. Kui failisüsteemi keegi kasutab, näiteks mõni fail on avatud lugemiseks, siis ei saa seda lahti ühendada. Kasutage programmi fuser failisüteemi kasutuse uurimiseks ja vastavate protsesside lõpetamiseks.

Parasjagu külgeühendatud failisüsteeme näeb käsuga df

Failisüsteemide külgeühendamine toimub programmiga mount mille süntaks on selline

mount [-t failisüsteemi_tüüp] [-o võtmed] seadme_nimi külgeühendamiskoht

===Floppy ketta ühendamine===

'''4. kontrollige kas seadmel on bad block'e:'''

# badblocks -v /dev/fd0

'''5. Tehke kettale fsck:'''

# fsck /dev/fd0

'''4. Vajadusel looge failisüsteem'''

kõvaketta ja floppy peale nii:

süsteemi tüüp käsk
ext2 mke2fs /dev/fd0
ext2 mke2fs /dev/hda1
msdos mkdosfs - " - (praktiliselt soovitatakse teha vastav
partitsioon ja failisüsteem dos'i enda fdiski ja format'iga)
'''5. Looge mount point ehk kataloog kuhu alla seadme failisüsteem ühendub'''

Linuxis on universaalseks kohaks kuhu võib kiirelt ajutisi failisüsteeme külge haakida /mnt, kui on aga vaja rohkem kui 1 seade külge haakida tuleb tekitada uusi harusid.

kõigi seadmete puhul

mkdir /soovitud_nimi

Näiteks

mkdir /a
mkdir /floppy
mkdir /hda2_ext
mkdir /hda3_msdos
mkdir /hda4_vfat

'''6. Mount'ime seadme külge:'''

vastavalt mountitavale süsteemile tuleb teist parameetrit muuta:

failisüsteem käsk

ext2 (linux) mount -t ext2 /dev/fd0 /floppy
iso9660 (cdrom) iso9660 /dev/hda2 /hda2_ext2
msdos (lühikesed nimed) msdos /dev/hda3 /hda3_msdos
vfat (pikad nimed) vfat /dev/hda4 /hda4_vfat
image failid vfat -o loop /img.fail /a

'''7. Toimetame seadmel olevate failidega'''

'''8. Umount'ime seadme:'''

# umount /dev/fd0

'''9. Alles nüüd võib floppy või cd -rom'i plaadi välja võtta'''

'''2. Floppy kettad'''

Floppy'de peale tehakse tavaliselt kas vfat, msdos, ext2 või ei tehtagi failisüsteemi. Viimasel juhul kantakse info sinna/sealt:

# dd if=/bare.i of=/dev/fd0
# dd if=/dev/fd0 of=/disk.image.144

Need mainitud failisüsteemid peavad olema kernelis või moodulitena olemas

# modprobe vfat
# modprobe msdos

Allpool on näiatud kuidas image faile mountida.

===CD-ROM===

CD-ROM'i dele kirjutatakse tavaliselt iso9660 failisüsteem. Ja seadmed ise on nn. IDE-ATAPI tüüpi. Et nendega tegelda tuleb vastav asi kernelisse kompileerida ja moodul vajadusel laadida 'modprob iso9660'

Füüsiliselt on vahest vaja seade ka arvutile külge ühendada

Samasugune on lugu ka kõvaketta partitsioonidega:

Lülitage arvutil vool välja, ühendage kõvaketas juurde, vajadusel paigutage jumpereid ümber ja detectige CMOS SETUP'ist uus vint ära. Seejärel bootige linux üles ja samad sammud nagu floppy puhul.

CDROM -iga on sama asi: kui CD peab enne mountimist sees olema ja seda ei tohi välja võtta enne umount'i.

Soovides CD/DVD plaadist koopiat teha tuleb anda lihtsalt käsk

# dd if=/dev/cdrom of=/kaust/ketas.iso

Ning kettale tekib iso fail mida saab siis vastavalt mountida või teisele plaadile paigaldada.

===Kõvaketas===

Kõvaketta partitsioonide mountimine toimub sarnaselt eeltoodutele. Kõvakettaga tegelemisel on linuxi puhul tänuväärne see, et isegi partitsioonide ja failisüsteemide muutmisel ei pea arvutit rebootima nagu, praegu ei tule keelele, aga on üks teine OS.

Külla aga saab badblocks'iga kontrollida bad blocke. Ja vee on üks abiks programm:

# fuser -v -m /dev/hda6
USER PID ACCESS COMMAND
/dev/hda6 root 1 .rce. init
root 9 .rce. update
root 10 frce. kerneld
root 30 frce. kerneld
root 65 .rce. klogd
root 66 frce. syslogd
root 68 frce. rpc.portmap
root 70 frce. inetd
root 72 .rce. rpc.mountd
root 74 .rce. rpc.nfsd
root 76 frce. crond
root 82 frce. sendmail
root 89 frce. bash
root 90 frce. agetty
root 91 frce. agetty
root 92 frce. agetty
root 93 frce. agetty
root 94 frce. agetty

Teadupärast annavad käsub umount ja mount vahet busy veateate - siit on aga näha mis seis on.

Ning käsk fsck (file system check) võimaldab kontrollida failisüsteemi korrasolekut. NB! enne tuleb failisüsteem umount'ida.

# fsck /dev/hda8
Parallelizing fsck version 1.10 (24-Apr-97)
e2fsck 1.10, 24-Apr-97 for EXT2 FS 0.5b, 95/08/09
/dev/hda8 is mounted. Do you really want to continue (y/n)? no

check aborted.

# umount /dev/hda8
# fsck /dev/hda8
Parallelizing fsck version 1.10 (24-Apr-97)
e2fsck 1.10, 24-Apr-97 for EXT2 FS 0.5b, 95/08/09
/dev/hda8: clean, 5358/665840 files, 605366/665248 blocks

Kasutades -C 0 näeb tegevuse progressi, nt

# e2fsck -C 0 -f /dev/c_data/test
e2fsck 1.41.11 (14-Mar-2010)
Pass 1: Checking inodes, blocks, and sizes
/dev/c_data/test: |= \ 2.0%

===Image file===

See on tõeliselt 'weird'- linux võimaldab mountida image file. Toome näite floppy kohta:

'''1. teeme /dev/fd0 -s olevat vfat failisüsteemiga floppyst image faili (floppy ei pruugi olla mountitud)'''

selleks on kolm võimalust, kasutage vaid ühte!

# cat /dev/fd0 > /img.144
# dd if=/dev/fd0 of=/img.144
# cp /dev/fd0 /img.144

'''2. veendume, et kernelis on loobback sees (mitte see mis puutub network'i :)'''

make menuconfig; Floppy, IDE and other block devices -> Loopback device support
vajadusel modprobe loop

'''3. mountime image faili /a alla'''

bash# mount -t vfat -o loop /img.144 /a
mount: Could not find any loop device, and, according to /proc/devices,
this kernel does not know about the loop device.
(If so, then recompile or `insmod loop.o'.)

# modprobe loop
# mount -t vfat -o loop /img.144 /a
# df
Filesystem 1024-blocks Used Available Capacity Mounted on
/dev/hda6 991000 895730 44066 95% /
/dev/hda2 1023856 996400 27456 97% /nt.40
/dev/hda5 310264 292016 18248 94% /os2
/img.144 1423 1111 312 78% /a

Ja töö lõpetamisel umount!

'''4. seadme image kasutamine'''

Järgnev kehtib eeldusel, et toimetamised mahuvad ära nn 32bit sisse.

Olgu kõvakettaseadmel /dev/hdb kolm partitsiooni ning on tehtud kogu seadmest image fail

# fdisk -l -u hdb.img
...
34 heads, 61 sectors/track, 0 cylinders, total 0 sectors
Units = sectors of 1 * 512 = 512 bytes
Device Boot Start End Blocks Id System
hdb.img1 61 232287 116113+ 83 Linux
hdb.img2 232288 485315 126514 83 Linux
hdb.img3 485316 549609 32147 83 Linux

Soovides ühendada külge sellest image failist teisel partitsioonil olevat failisüsteemi, tuleb öelda

mount -o loop,offset=118931456 hda.img /yhenduspunkt

arvestades asjaolu, et 512*232288 = 118931456

Tõmmise, millel on ilma partitsioonitabelita nö otse tehtud ext3 failisüsteem, ühendamiseks /etc/fstab abil sobib kasutada nt sellist rida

/mnt/tommis.img /mnt/tommis ext3 loop 0 2

===Suured kataloogid eraldi partitsioonidel===

Niisiis oletame, et meil on kaks kõvaketast partitsioonidega:

/dev/hda1 - swap, 96 M
/dev/hda2 - root, 600 M
/dev/hda3 - /home, kasutajate kodukataloogid, 2 000 M
/dev/hdb1 - /usr kataloogi alla jäävad failid 1200 M

Selgitused:

swap on arvuti nö. mälu pikendus ja seda kasutab ta 'iseenesest' peale inistsialiseerimist rc scriptides:

# mkwap /dev/hda1
# swapon /dev/hda1

root on see partitsioon kus asub kernel /vmlinuz ja enamus juurika kataloogidest (/etc, /bin, /root, /dev)

Tavaliselt on nii, et kasutajate kodukataloogid moodustavad küllalt suure struktuuri ja süsteemi uuendamisel või ümbersättimisel on mugavam, kui see asub kas füüsiliselt erineval kettal või vähemalt eraldi partitsioonil mida on nii kergem backup'pida.

Toodud näite olukorra kohta öeldakse, et hda3 on mount'itud juurika /home kataloogiks. Seda tehakse praktiliselt nii:

1. luuakse juurikale tühi /home kataloog:
(Tõsi, tavaliselt on ta sel olemas, sel juhul tuleks tema sisu kopeerida teise nime alla: ) mkdir /home (mv /home /home_old; mkdir /home)
2. Mountime tühja failisüsteemiga partitsiooni /dev/hda3 -e /home -ks mount -t ext2 /dev/hda3 /home
3. Vajadusel liigutame vana tagasi: mv /home_old /home

Tulemuseks on see, et failid mis asuvad /home'ist allpool asuvad reaalselt teises partitsioonis kui muu juurikas.

Sarnaselt on toimitud /usr kataloogiga.

===/etc/fstab===

See on fail kus on kirjas millised kataloogid mountida külge süsteemi bootimisel; tüüpiliselt näeb see fail välja selline:

/dev/hda7 swap swap defaults 0 0
/dev/hda6 / ext2 defaults,usrquota 0 1
/dev/hda2 /nt.40 vfat defaults 0 2
/dev/hda5 /os2 vfat defaults 0 2
/dev/hda8 /hda8 ext2 defaults 0 2
/dev/fd0 /floppy ext2 noauto 0 0
/dev/fd0 /a vfat noauto 0 0
/dev/hdd /cdrom iso9660 ro,noauto 0 0
none /proc proc defaults 0 0
laura:/ /fromlaura nfs noauto,rsize=8192,wsize=8192,timeo=14,intr 0 0

Selgitused:

tulp
1: seade kus füüsiliselt mountitav asi asub
2: kataloog kuhu seade läheb
3: failisüsteem
4: nn. optionid
5: dump info
6: fsck info

optionid:

defaults on defaults
noauto tähendab, et failisüsteemi ei laeta kohe külge aga hiljem piisab anda nt vfat floppy jaoks käsk: mount /a
ro on 'read only'
usrquota näitab, et seadet kontrollib quota

eelviimane tulp:

soovitatakse panna tavaliselt 0, seda väärtust kasutab program dumpe2fs oma salapärastel eesmärkidel

viimane tulp:

root'il soovitatakse panna 1
teistel 2

need arvud näitavad check'imise järjekorda bootimisel omal moel. Kui panna 0 siis fsck ei pööra talle tähelepanu.
Muide, fstab-i failisüsteemid laadib /etc/rc.d/rc.S -i rida

# /sbin/mount -avt nonfs

====UUID kasutamine====

Plokkseadme nn /dev kataloogi failinime asemel saab kasutada ka plokkseadme UUID väärtust, nt

UUID=7cd6e9de-18d1-4d55-8d46-4d96ce8f492d /boot ext3 defaults 0 2

UUID eeliseks on, et ta on seotud nt konkreetsel füüsilisel kõvakettal asuva failisüsteemiga.

====LABEL kasutamine====

TODO

===losetup===

Programmiga losetup saab korraldada faili käsitlemise plokkseadmena. Näiteks moodustame faili

# dd if=/dev/zero of=/data/plokkseadmefail.img bs=1024x1024 count=4x1024

ning seostame ta seadmega /dev/loop0

# losetup /dev/loop0 /data/plokkseadmefail.img

Kõiki losetup abil tekitaud plokkseadmeid näeb käsuga

# losetup -a
/dev/loop0: [fe0c]:22439673 (/data/plokkseadmefail.img)

Seadet /dev/loop0 saab käsitleda seejärel nagu tavalist plokkseadet, näiteks saab sinna moodustada failisüsteemi, tekitada partitsioone, kasutada mdadm või lvm juures.

Moodustatud plokkseadme saab eemaldada öeldes

# losetup -d /dev/loop0

===kpartx utiliidi kasutamine===

Mitmeid partitsioone sisaldava tõmmisfaili kasutamiseks on abi programmist kpartx

# apt-get install kpartx

Tõmmisest partitsioonide nimekirja küsimine

# kpartx -l tommisefailinimi.img
loop1p1 : 0 19631367 /dev/loop1 63

Tõmmise partitsioonidele vastavate seadmete tekitamiseks tuleb öelda

# kpartx -a tommisefailinimi.img

Tekkinud seadmete kasutamiseks, nt külge ühendamiseks sobib öelda

# mount -o ro /dev/mapper/loop1p1 /mnt/tommis-hda1

Mäppingute kustutamine (kusjuures oluline on kasutada täpselt sama path'i mida kasutati ühendamisel)

# kpartx -d tommisefailinimi.img
loop deleted : /dev/loop0

Kui plokkseadmele on moodustad nö otse failisüsteem, st ilma partitsioonitabelit tekitamata, siis paistab selline seade nt sarnaselt

# parted /dev/system/xl-deb-7-91.arendus.kit-disk p
Model: Linux device-mapper (linear) (dm)
Disk /dev/dm-10: 2147MB
Sector size (logical/physical): 512B/512B
Partition Table: loop

Number Start End Size File system Flags
1 0.00B 2147MB 2147MB ext3

kus

* Partitsioonitabeli tüüp - loop

Sellise failisüsteemi külgeühendamiseks pole vaja kpartx programmi kasutada, piisab niisama öelda

# mount /dev/system/xl-deb-7-91.arendus.kit-disk /mnt/xl-deb-7-91

===partprobe utiliidi kasutamine===

Kui kõvaketta osa partitsioone on kasutuses, nt /dev/sda1 osaleb mdadm RAID lülituses ja on soov ilma arvutit rebootimata nt sama ketta /dev/sda2 eemaldada ja asendada suuremaga (eeldades, et /dev/sda seadmel on kasutamata ruumi), siis sobib selleks järgmine protseduur

* veenduda, et /dev/sda2 partitsioon ei ole kasutuses
* fdisk, parted vms programmi abil kustutada olemasolev /dev/sda2 ja tekitada uus
* cat /proc/partitios näitab tuuma ettekujutust ketta partitsioonitabelit

* öelda

# partprobe /dev/sda

* veenduda, et tuumal on uus ettekujutus

Analoogiline tegevus toimub lisades kasutuses ja partitsioneerimata ruumi sisaldavale kettale partitsiooni, nt lisades fdisk abil /dev/sda4

* enne

<pre>
# ls -ld /dev/sda*
brw-rw---- 1 root disk 8, 0 Aug 13 17:17 /dev/sda
brw-rw---- 1 root disk 8, 1 Aug 13 17:20 /dev/sda1
brw-rw---- 1 root disk 8, 2 Aug 13 12:29 /dev/sda2
brw-rw---- 1 root disk 8, 3 Aug 13 17:20 /dev/sda3
</pre>

* peale 'partprobe /dev/sda' ütlemist

<pre>
# ls -ld /dev/sda*
brw-rw---- 1 root disk 8, 0 Aug 13 17:17 /dev/sda
brw-rw---- 1 root disk 8, 1 Aug 13 17:20 /dev/sda1
brw-rw---- 1 root disk 8, 2 Aug 13 12:29 /dev/sda2
brw-rw---- 1 root disk 8, 3 Aug 13 17:20 /dev/sda3
brw-rw---- 1 root disk 8, 4 Aug 13 17:20 /dev/sda4
</pre>

===Krüptitud plokkseadme kasutamine===

Kõvakettal olevaid andmeid saab krüptida mitmes kihis, alates plokkseadme plokkidest (need 512B suurused tükid) kuni failisüsteemis asuvate üksikute failide krüptimiseni. Järnev käsitleb plokkseadme (nt partitsiooni või LVM voluumi) krüptimist

Paigaldage vajalik tarkvara

# apt-get install cryptsetup

Eeldusena peab olema kasutada partitsioon või LVM voluum, näiteks /dev/sda2

# cryptsetup -y create data /dev/sda2
Enter passphrase:
Verify passphrase:

Moodusteme failisüsteemi

# mke2fs -j /dev/mapper/data

Ning ühendame külge

# mount /dev/mapper/data /data

Selleks, et alglaadimisel toimuks failisüsteemi külgeühendamine automaatselt tuleb sisestada faili /etc/crypttab rida

data /dev/sda2 none cipher=aes

Ning faili /etc/fstab rida

/dev/mapper/data /data ext3 defaults 0 1

Alglaadimise käigus küsitakse parooli ja seejärel toimub krüptitud failisüsteemi kasutamine nagu tavalise failisüsteemi puhul.

===fdisk partitsioonil asuva ext3 failisüsteemi suuruse muutmine===

====ext3 failisüsteemi suurendamine====

Olgu lähtepunktiks sellise msdos partitsioonitabeliga plokkseade

# parted /dev/vdc p
Model: Virtio Block Device (virtblk)
Disk /dev/vdc: 17.2GB
Sector size (logical/physical): 512B/512B
Partition Table: msdos

Number Start End Size Type File system Flags
1 32.3kB 255MB 255MB primary
2 255MB 4557MB 4302MB primary ext3

Eesmärgiks on suurendada /dev/vdc2 failisüsteemi, selleks tuleb

* ühendada failisüsteem lahti (kusjuures suurendamine on võimalik ka külgeühendatud olekus) ning öelda

# e2fsck -f /dev/vdc2

* kustutada fdisk või parted abil olemasolev partitsioon
* moodustada fdisk või parted abil sama algusega, aga suurem partitsioon
* suurendada resize2fs programmiga failisüsteem

# resize2fs -p /dev/vdc2

* monteerida failisüsteem ning kasutada

====ext3 failisüsteemi vähendamine====

Olgu lähtepunktiks sellise msdos partitsioonitabeliga plokkseade

# parted /dev/vdc p
Model: Virtio Block Device (virtblk)
Disk /dev/vdc: 17.2GB
Sector size (logical/physical): 512B/512B
Partition Table: msdos

Number Start End Size Type File system Flags
1 32.3kB 255MB 255MB primary
2 255MB 4557MB 4302MB primary ext3

Eesmärgiks on vähendada /dev/vdc2 failisüsteemi, millest on kasutusel 500MB suurusele 1.2G, selleks tuleb

* ühendada failisüsteem lahti ning öelda

# e2fsck -f /dev/vdc2

* vähendada failisüsteem, suurus peab olema suurem kui kasutusel olev maht

# resize2fs -p /dev/vdc2 1G

* kustutada fdisk või parted abil olemasolev partitsioon
* moodustada fdisk või parted abil sama algusega, aga arvutuste lihtsustamiseks natuke suurem partitsioon kui failisüsteemi uus suurus, nt 1.2G
* suurendada resize2fs programmiga failisüsteem

# resize2fs -p /dev/vdc2

* monteerida failisüsteem ning kasutada

===LVM voluumil asuva ext3 failisüsteemi suuruse muutmine===

Plokkseadmele moodustatud ext3 failisüsteemi suurust saab muuta resize2fs utiliidi abil kusjuures praktiliselt on tarvis reeglina võimalust muuta failisüsteemi all oleva plokkseadme suurust. Ehk kõige mugavam on seda teha kui failisüsteem asub LVM voluumil.

Näiteks on võimalik selline järgnevus

* tekitame voluumi suurusega 4 GB

# lvcreate -L4G -n vol1 test

* moodustame voluumile failisüsteemi

# mke2fs -j /dev/test/vol1

Märkused

* Failisüsteemi suuruse muutmisega tegelemisel on oluline tähele panna, et failisüsteem ei pruugi kasutada kogu plokkseadet.
* Failisüsteemile vastaval LVM voluumil ei tohis olla suuruse muutmise ajal snapshotte

====ext3 failisüsteemi suurendamine====

Suurust saab muuta

* lahti ühendatud failisüsteemiga
* külge ühendatud failisüsteemiga

Esmalt suurendame algselt 4 GB voluumi 8 GB suuruseks

# lvresize -L8G /dev/test/vol1
Extending logical volume vol1 to 8.00 GB
Logical volume vol1 successfully resized

Failisüsteemi suurendamiseks lahtiühendatud olekus tuleb esmalt teha fsck ning seejärel resize2fs, nt nii

# umount /dev/test/vol1
# e2fsck -f /dev/test/vol1
# resize2fs -p /dev/test/vol1

kus -p näitab progressi ning kui viimaseks argumendiks näidata arv, nt 6G, siis see määraks tekkiva failisüsteemi suuruse.

Failisüsteemi suurendamiseks külgeühendatud olekus täitma kogu uue suurusega voluumi sobib öelda (ilma eelnevalt e2fsck tegemata)

# resize2fs -p /dev/test/vol1
resize2fs 1.41.3 (12-Oct-2008)
Filesystem at /dev/test/vol1 is mounted on /data; on-line resizing required
old desc_blocks = 3, new_desc_blocks = 4
Performing an on-line resize of /dev/test/vol1 to 14680064 (4k) blocks.
The filesystem on /dev/test/vol1 is now 14680064 blocks long.

====ext3 failisüsteemi vähendamine====

2009 aastal saab ext3 failisüsteemi vähendada (ingl. k. shrink) ainult lahtiühendatud olekus. Vähendada saab mitte väiksemaks kui failisüsteemis on ruumi kasutusel. Tavaliselt vähendatakse failisüsteemi eesmärgil vabastada kõnealuse failisüsteemi aluselt plokkseadmelt (antud juhul Volume Grupilt) ruumi muuks kasutuseks, nt vähendame 48 GB suuruse failisüsteemi, mis kasutab 2.4 GB suurusele 16GB kusjuures 13.8 G jääb failisüsteemis vabaks, tegevus võiks koosneda nt sellistest sammudest

* failisüsteem vähendatakse nõutud suurusest pisut väiksemaks, nt 10 G
* plokkseade st antud juhul LVM köide vähendatakse suurusele 16 GB
* failisüsteem suurendatakse kogu LVM köitele (st suurusele 16 GB)

Sellise tegevuse sooritamiseks tuleb failisüsteem esmalt lahti monteerida

# umount /dev/vg/data_postgresql

Seejärel rakendada failisüsteemi kontroll, mille käigus failisüsteem defragmenteeritakse, -C 0 esitab progressi

# e2fsck -C 0 -f /dev/vg/data_postgresql
e2fsck 1.41.12 (17-May-2010)
Pass 1: Checking inodes, blocks, and sizes
Pass 2: Checking directory structure
Pass 3: Checking directory connectivity
Pass 4: Checking reference counts
Pass 5: Checking group summary information
/dev/vg/data_postgresql: 1820/3145728 files (4.1% non-contiguous), 802405/12582912 blocks

Seejärel failisüsteemi suurus vähendatakse 10 GB suurusele

# resize2fs -p /dev/vg/data_postgresql 10G
resize2fs 1.41.12 (17-May-2010)
Resizing the filesystem on /dev/vg/data_postgresql to 2621440 (4k) blocks.
Begin pass 2 (max = 6)
Relocating blocks XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
Begin pass 3 (max = 384)
Scanning inode table XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
Begin pass 4 (max = 38)
Updating inode references XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
The filesystem on /dev/vg/data_postgresql is now 2621440 blocks long.

Seejärel märgitakse köide mitte-aktiivseks

# lvchange -a n /dev/vg/data_postgresql

ning vähendatakse LVM köite suurus 16 GB väärtusele (kusjuures tab ei lõpeta enam seadmenime, st tuleb omal välja kirjutada)

# lvresize -L16G /dev/vg/data_postgresql
Reducing logical volume data_postgresql to 16.00 GiB
Logical volume data_postgresql successfully resized

ja muuta LVM köide uuesti aktiivseks

# lvchange -a y /dev/vg/data_postgresql

Vähendatud LVM köite failisüsteemiga täitmiseks tuleb öelda

# resize2fs -p /dev/vg/data_postgresql
resize2fs 1.41.12 (17-May-2010)
Resizing the filesystem on /dev/vg/data_postgresql to 4194304 (4k) blocks.
Begin pass 1 (max = 48)
Extending the inode table XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
The filesystem on /dev/vg/data_postgresql is now 4194304 blocks long.

Lõpuks monteerida failisüsteem külge ja kasutada edasi

# mount /dev/vg/data_postgresql

Märkused

* failisüsteemi maksimaalselt väikesele suurusele vähendamiseks sobib öelda, st tulemusena on ta 100% täis

# umount /dev/test/vol1
# e2fsck -f /dev/test/vol1
# resize2fs -M /dev/test/vol1

===ext3 failisüsteemi all oleva LVMi all oleva plokkseadme partitsiooni suuruse muutmine===

Olgu lähtepunktiks selliste partitsioonidega plokkseade

# parted /dev/vdc p
Model: Virtio Block Device (virtblk)
Disk /dev/vdc: 17.2GB
Sector size (logical/physical): 512B/512B
Partition Table: msdos

Number Start End Size Type File system Flags
1 32.3kB 255MB 255MB primary ext3
2 255MB 4550MB 4295MB primary lvm

Kusjuures /dev/vdc2 on LVM PV millel on VG ning omakorda LV'd. Eesmärgiks on muuta teise partitsiooni suurust.

====Suurendamine====

Suurendamiseks tuleb failisüsteemi kasutamine lõpetada ning märkida kõited mitte-aktiivseks (tundub, et töötavas arvutis saab fdisk abil partitsioonid ära suurendada samuti, aga muudatuse kehtestamiseks tuleb nt rebootida)

# vgchange -a n koited

Seejärel tuleb

* PV'le vastava partitsioon fdisk abil kustutada ning moodustada sama algusega uus suurem partitsioon
* suurendada PV kusjuures nii suureneb automaatselt ka VG, LV suurused jäävad samaks

# pvresize /dev/vdc2

* teha kõited kasutatavaks

# vgchange -a y koited

* teha huvipakkuvale failisüsteemile fsck

# e2fsck -f /dev/koited/koide_2

* suurendada vajaliku kõite suurust

# lvresize -L4G /dev/koited/koide_2

* suurendada kõitel oleva failisüsteemi suurust

# resize2fs -p /dev/koited/koide_2

* asuda kasutama

====Vähendamine====

Vähendamiseks tuleb

* failisüsteemi kasutamine lõpetada ja mõne LV all olevat failisüsteemi vähendada

# e2fsck -f /dev/koited/koide_2
# resize2fs -p /dev/koited/koide_2 400M

* märkida kõited mitte-aktiivseks

# vgchange -a n koited

* vähendada LV, nt

# lvresize -L512M /dev/koited/koide_2

* suurendada failisüsteem täis-suuruseni

# vgchange -a y
# resize2fs -p /dev/koited/koide_2
# vgchange -a n

* vähendada PV

# pvresize /dev/vdc2 --setphysicalvolumesize 1536M

* PV'le vastava partitsioon fdisk abil kustutada ning moodustada sama algusega uus väiksem partitsioon
* suurendada PV partitsiooni täis-suuruseni

# pvresize /dev/vdc2

* teha kõited kasutatavaks

# vgchange -a y koited

* asuda kasutama

Märkused

* Kui seadme lõpus on PE kasutuses saab nt sellise teate

pvresize /dev/cciss/c0d0p2 --setphysicalvolumesize 60G
/dev/block/104:2: cannot resize to 15359 extents as later ones are allocated.
0 physical volume(s) resized / 1 physical volume(s) not resized

===NTFS failisüsteemi all oleva LVMi volüümi suuruse muutmine===

====Vähendamine====

Olgu kasutuses Windows 7 operatsioonisüsteemiga virtuaalne arvuti, mille mitte-süsteemsele plokkseadmele (nt D:\> ketas) vastab host arvutis LVM köide. Windows 7 poolt vaadates on sellel köitel tõenäoliselt DOS fdisk label ning üks NTFS partitsioon. LVM köite suuruse vähendamiseks tuleb

* vabastada failisüsteemis ruumi
* Windows 7 keskkonnas shinkida failisüsteemi
* failisüsteemi shrinkimise käigus vähendatakse ka partitsiooni

# fdisk -l /dev/vg_data/vga_win7_32_backup

Disk /dev/vg_data/vga_win7_32_backup: 200 GiB, 214748364800 bytes, 419430400 sectors
Units: sectors of 1 * 512 = 512 bytes
Sector size (logical/physical): 512 bytes / 512 bytes
I/O size (minimum/optimal): 512 bytes / 512 bytes
Disklabel type: dos
Disk identifier: 0x25b98324

Device Boot Start End Sectors Size Id Type
/dev/vg_data/vga_win7_32_backup1 2048 30306303 30304256 14.5G 7 HPFS/NTFS/exFAT

Seejärel tuleb Windows 7 virtuaalne arvuti sulgeda ning lvresize abil vähendada lvm voluumi, usutavalt on turvaline uus suurus valida varuga. Ja Windows keskkonnas suurendada failisüsteem (ja partitsioon) kasutama kogu plokkseadet (st LVM voluumi).

===MBR partitsioonitabeliga plokkseadme suuruse muutmine===

MBR partitsioonitabeliga plokkseadme suurendamiseks reeglina piisab

* plokkseadme kasutamine lõpetada, nt virtuaalne arvuti panna seisma
* suurendada plokkseadmele vastav ressurss, nt LVM kõide hostis
* käivitada virtuaalne arvuti
* kasutada suuremana paistvat plokkseadet edasi, nt moodustada sinna uus MBR partitsioon või suurendada olemasolevaid

====Primaarse partitsiooni lisamise teel====

Kui plokkseadmel on extended partitsioon, siis võib olla mõistlikum sda5 ja sda2 kustutamise asemel lihtsalt moodustada juurde /dev/sd3

<pre>
Device Boot Start End Sectors Size Id Type
/dev/sda1 * 2048 999423 997376 487M 83 Linux
/dev/sda2 1001470 33552383 32550914 15.5G 5 Extended
/dev/sda5 1001472 33552383 32550912 15.5G 8e Linux LVM

Command (m for help): n
Partition type
p primary (1 primary, 1 extended, 2 free)
l logical (numbered from 5)
Select (default p): p
Partition number (3,4, default 3):
First sector (999424-67108863, default 999424): 33552384
Last sector, +sectors or +size{K,M,G,T,P} (33552384-67108863, default 67108863):

Created a new partition 3 of type 'Linux' and of size 16 GiB.
</pre>

Tulemus paistab nii

<pre>
Device Boot Start End Sectors Size Id Type
/dev/sda1 * 2048 999423 997376 487M 83 Linux
/dev/sda2 1001470 33552383 32550914 15.5G 5 Extended
/dev/sda3 33552384 67108863 33556480 16G 8e Linux LVM
/dev/sda5 1001472 33552383 32550912 15.5G 8e Linux LVM
</pre>

Seejärel saab nt olemasolevat lvm'i extendida /dev/sda3 abil.

Kasulikud lisamaterjalid

* https://www.rootusers.com/how-to-increase-the-size-of-a-linux-lvm-by-expanding-the-virtual-machine-disk/

====Olemasolevate partitsioonide suurendamise teel====

Olgu lähtepunkt selline, virtuaalne arvuti, kus kasutatakse /dev/vdb plokkseadet (8388607 on partitsiooni lõpp, arvuliselt ühe võrra väiksem seadme sektorite arvust)

<pre>
# parted /dev/vdb
GNU Parted 3.2
Using /dev/vdb
Welcome to GNU Parted! Type 'help' to view a list of commands.
(parted) unit s
(parted) p
Model: Virtio Block Device (virtblk)
Disk /dev/vdb: 8388608s
Sector size (logical/physical): 512B/512B
Partition Table: msdos
Disk Flags:

Number Start End Size Type File system Flags
1 2048s 1050623s 1048576s primary
2 1050624s 8388607s 7337984s extended
5 1052672s 8388607s 7335936s logical lvm
</pre>

Eesmärgiks on suurendada logical partitsioonil asuval lvm köitel asuvat ext4 failisüsteemi. Selleks tuleb esmalt lisada virtualiseerimise keskkonna haldusliideses /dev/vdb seadmele ruumi juurde, 8388608 -> 16777216

<pre>
Model: Virtio Block Device (virtblk)
Disk /dev/vdb: 16777216s
Sector size (logical/physical): 512B/512B
Partition Table: msdos
Disk Flags:

Number Start End Size Type File system Flags
1 2048s 1050623s 1048576s primary
2 1050624s 8388607s 7337984s extended
5 1052672s 8388607s 7335936s logical lvm
</pre>

Seejärel nihutada partitsioonide 2 ja 5 lõpp edasi (nt uude seadme lõppu, 16777215 on plokkseadme viimane sektor, 'size - 1')

(parted) resizepart 2 16777215
(parted) resizepart 5 16777215

tulemuseks

<pre>
Number Start End Size Type File system Flags
1 2048s 1050623s 1048576s primary
2 1050624s 16777215s 15726592s extended
5 1052672s 16777215s 15724544s logical lvm
</pre>

Suurendada lvm pv (automaatselt suureneb lvm volume grupp)

# pvresize /dev/vdb5

Suurendada lvm köide (-l +100%FREE tähendab, et suurendamiseks kasutatakse ära kõik vastava volume group'i vaba ressurss)

# lvextend -l +100%FREE /dev/data/www

või nt (ei ole eelmisega samaväärne üldiselt)

# lvextend -L+50G /dev/data/www

Suurendada failisüsteem

# resize2fs -p /dev/data/www

Kasulikud lisamaterjalid

* http://yy27.blogspot.com.ee/2009/02/resizing-extended-partitions-with-gnu.html

===XFS failisüsteemi kasutamine===

XFS http://oss.sgi.com/projects/xfs/ on kaasaegne failisüsteem, kasutamiseks tuleb paigaldada xfs utiliidid öeldes
# emerge xfsprogs

====XFS failisüsteemi moodustamine====

Failisüsteemi moodustamiseks seadmele /dev/xvda2 sobib öelda

# mkfs.xfs /dev/xvda2
meta-data=/dev/xvda2 isize=256 agcount=4, agsize=786432 blks
= sectsz=512 attr=2
data = bsize=4096 blocks=3145728, imaxpct=25
= sunit=0 swidth=0 blks
naming =version 2 bsize=4096
log =internal log bsize=4096 blocks=2560, version=2
= sectsz=512 sunit=0 blks, lazy-count=0
realtime =none extsz=4096 blocks=0, rtextents=0

XFS failisüsteemi kasutamisega on seotud sellised nn tuuma lõimed

# ps aux | grep xfs
root 4334 0.0 0.0 0 0 ? S< 23:40 0:00 [xfslogd/0]
root 4336 0.0 0.0 0 0 ? S< 23:40 0:00 [xfslogd/1]
root 4337 0.0 0.0 0 0 ? S< 23:40 0:00 [xfsdatad/0]
root 4338 0.0 0.0 0 0 ? S< 23:40 0:00 [xfsdatad/1]
root 4339 0.0 0.0 0 0 ? S< 23:40 0:00 [xfs_mru_cache]
root 4382 0.0 0.0 0 0 ? S< 23:44 0:00 [xfsbufd]
root 4384 0.0 0.0 0 0 ? S< 23:44 0:00 [xfsaild]
root 4385 0.0 0.0 0 0 ? S< 23:44 0:00 [xfssyncd]

64 bit keskkonnas võib xfs kasutamisel tekkida sarnaseid probleeme, mida kirjeldab vestluslõim aadressil http://oss.sgi.com/archives/xfs/2005-06/msg00347.html.

Failisüsteemi automaatseks külgeühendamiseks sobib /etc/fstab failis kasutada nt rida

/dev/xvda2 /srv/data xfs noatime,nodiratime,inode64,logbufs=8 1 2

kus

* noatime - failide access time aega ei kasutata
* nodiratime - kataloogide access time aega ei kasutata
* inode64 - failisüsteemi inode numbrid võivad olla suuremad kui 32 bit
* logbufs=8

Olemasoleva xfs failisüsteemi omaduste esitamiseks sobib öelda (ei ole kooskõlas ülaltoodud mkfs.xfs andmetega)

xfs_info /dev/data/xfs
meta-data=/dev/mapper/data-xfs isize=256 agcount=4, agsize=268435455 blks
= sectsz=512 attr=2
data = bsize=4096 blocks=1073741820, imaxpct=5
= sunit=0 swidth=0 blks
naming =version 2 bsize=4096 ascii-ci=0
log =internal bsize=4096 blocks=32768, version=2
= sectsz=512 sunit=0 blks, lazy-count=0
realtime =none extsz=4096 blocks=0, rtextents=0

XFS failisüsteemis asuvate kõikide kasutajate quota tabeli saamiseks tuleb anda käsk

# xfs_quota -x -c "report -nu"

XFSi probleemidest: Failid on asendunud 0 baidistega.

*https://github.com/odoucet/xfsrepair
*http://centos.distrosfaqs.org/centos/xfs-zero-length-file-problem/
*http://jackal.livejournal.com/2162387.html
*http://toruonu.blogspot.com/2012/12/xfs-vs-ext4.html

====LVMi peale tehtud XFS failisüsteemi suurendamine====

XFS failisüsteem peab olema suurendamisel külge monteeritud olekus. XFS failisüteemi suurendamiseks tuleb esmalt failisüteemi all olevat plokkseadet suurendada, nt LVM köite puhul öelda

# lvresize -L40G /dev/system/xfs
Extending logical volume xfs to 40.00 GiB
Logical volume xfs successfully resized

ning seejärel öelda

# xfs_growfs /dev/system/xfs
meta-data=/dev/mapper/system-xfs isize=256 agcount=6, agsize=1310720 blks
= sectsz=512 attr=2
data = bsize=4096 blocks=7864320, imaxpct=25
= sunit=0 swidth=0 blks
naming =version 2 bsize=4096 ascii-ci=0
log =internal bsize=4096 blocks=2560, version=2
= sectsz=512 sunit=0 blks, lazy-count=1
realtime =none extsz=4096 blocks=0, rtextents=0
data blocks changed from 7864320 to 10485760

====XFS failisüteemi vähendamine====

XFS failisüsteemi ei saa otseselt vähendada,
http://xfs.org/index.php/XFS_FAQ#Q%3A_Is_there_a_way_to_make_a_XFS_filesystem_larger_or_smaller.3F, kaudselt on võimalik tekitada uus sobiva suurusega failisüstee ning kopeerida andmed sinna ümber ning kustutada algselt kasutuses olnud failisüsteem.

===Reiser failisüsteemi kasutamine===

Failisüsteemi plokkseadmele moodustamiseks tuleb süsteemipaigaldada reiserfsprogs pakett

# apt-get install reiserfsprogs

ja öelda näiteks

# mkreiserfs /dev/cciss/c0d0p2

/etc/fstab failis tuleb vastavalt kasutada rida

/dev/cciss/c0d0p2 /srv reiserfs rw 0 0

===Mount bind===

nn mount bind võimaldab sama kataloogi sisu teha nähtavaks failisüsteemis mitmes kohas

# mount --bind /tmp/src /tmp/dst

/etc/fstab failis sobib kasutada rida

/tmp/src /tmp/dst none defaults,bind 0 0

===AUFS===

AUFS (Another Union File System) võimaldab koondada erinevate kataloogide sisu nähtavale ühe kataloogi alla. AUFS kasutamiseks tuleb paigaldada tuuma moodul ja utiliidid

# apt-get install aufs-modules-2.6-amd64 aufs-tools

Kasutamine toimub nt selliselt

# mount -t aufs -o dirs=/tmp/src/essa:/tmp/src/tessa none /tmp/dst

===OpenBSD failisüsteemi kasutamine Linuxist===

Esmalt vaadata, millese loogilise nime all vastav OpenBSD partitsioon esineb

# cat /proc/partitions

ja siis külge monteerida, nt

# mount -t ufs -o ro,ufstype=44bsd /dev/hda5 /tmp/hda5

===USB pulk ja FAT 32 failisüsteem===

# apt-get install dosfstools
# fdisk ... valida partitsiooni tüüp 'b'
# mkdosfs -F 32 -I /dev/sdc1

===df programmi kasutamine===

df abil saab küsida nimekirja süsteemile teada olevatest failisüsteemidest, nö füüsilistest kui muudest, nt Debian v. 7 Wheezy puhul esitatakse vaikimisi selline väljund

# df -h -T -a
Filesystem Type Size Used Avail Use% Mounted on
rootfs rootfs 12G 3.3G 8.1G 29% /
sysfs sysfs 0 0 0 - /sys
proc proc 0 0 0 - /proc
udev devtmpfs 10M 0 10M 0% /dev
devpts devpts 0 0 0 - /dev/pts
tmpfs tmpfs 195M 312K 195M 1% /run
/dev/mapper/system-root ext3 12G 3.3G 8.1G 29% /
tmpfs tmpfs 5.0M 0 5.0M 0% /run/lock
tmpfs tmpfs 390M 0 390M 0% /run/shm
/dev/sda2 ext3 504M 168M 311M 35% /boot
nfsd nfsd 0 0 0 - /proc/fs/nfsd

kus

* -a - esitada info kõigi failisüsteemide kohta
* -h - esitada suurused GB, MB vms ühikutes
* -T - esitada lisaks failisüsteemi tüüp

Lisaks saab küsida andmeid nt teatud tüüpi failisüsteemide kohta, nt ainult devpts

# df -h -T -a -t devpts
Filesystem Type Size Used Avail Use% Mounted on
devpts devpts 0 0 0 - /dev/pts

===Ketaste trimmimine===

Tegemist tehnikaga mis mõeldud storage "thin provisioning" ja ssd ketaste jaoks ning tähendab seda, et kustutatud andmed eemaldatakse koheselt. Nt storagest loodud ning iSCSI vms tehnikaga jagatud kettal tähendab Thin Provisioning enabled, et antakse küll välja nt 20 TB-suurune kettaviilakas, aga "allocation" (ehk kasutatud) on vaid reaalselt seal peal olevate andmete maht ehk vaid paar terabaiti. Tavalisel moel jagatud kettal on kogu jagatud maht reserveeritud ning seda enam välja jagada ei saa. Samuti on võimalik määrata tase, kus maal "häiret antakse". Samas on vaja storagele anda teada, et mingid andmed on määratud kustutamisele (tavaliselt failisüsteem seda ei tee) ning siin tulebki mängu discard.

Ketta mountimisel tuleb mount käsule anda võti '''discard''' või siis aeg-ajalt '''fstrim''' käsk käima panna. Kui discard võti on mountimisel antud teatab süsteem kustutamisel automaatselt
allolevale kettale, et info vaja eemaldada. Fstrim käsk on selleks, et tagasiulatuvalt kustutada ka see info, mis sai kustutatud enne mount võtme muutmist ehk discard lisamist.

===scsi rescan===

scsi rescan'ist on abi, kui on vaja töötava arvuti LVM ressurssi suurendada. Teatud tingimustel saab arvutile operatsiooni töötamise ajal lisada plokkseadmeid, nt ESXi virtuaalsele arvutile Hard Disk tüüpi seadme. Selleks, et operatsioonisüsteem saaks lisatud seadet asuda kasutama tuleb öelda nt

# echo "- - -" > /sys/class/scsi_host/host#/scan

kusjuures # voimalikud väärtused näeb ära vastava kataloogis sisust, tundub, et vale numbri kasutamine midagi halba ei tee, maksab alustada suuremast

..
# echo "- - -" > /sys/class/scsi_host/host2/scan
# echo "- - -" > /sys/class/scsi_host/host1/scan
...

scan nimeline fail kusjuures failisüsteemis ei eksisteeri, aga see ei sega seda echo käsku kasutamisel ja tulemuse saavutamisel. Tulemus paistab nt sedasi

[23416.047799] scsi 2:0:1:0: Direct-Access VMware Virtual disk 1.0 PQ: 0 ANSI: 2
[23416.047811] scsi target2:0:1: Beginning Domain Validation
[23416.048832] scsi target2:0:1: Domain Validation skipping write tests
[23416.048836] scsi target2:0:1: Ending Domain Validation
[23416.048916] scsi target2:0:1: FAST-40 WIDE SCSI 80.0 MB/s ST (25 ns, offset 127)
[23416.050526] sd 2:0:1:0: [sdc] 167772160 512-byte logical blocks: (85.8 GB/80.0 GiB)
[23416.050566] sd 2:0:1:0: [sdc] Write Protect is off
[23416.050570] sd 2:0:1:0: [sdc] Mode Sense: 61 00 00 00
[23416.050623] sd 2:0:1:0: [sdc] Cache data unavailable
[23416.050626] sd 2:0:1:0: [sdc] Assuming drive cache: write through
[23416.050985] sd 2:0:1:0: [sdc] Cache data unavailable
[23416.050988] sd 2:0:1:0: [sdc] Assuming drive cache: write through
[23416.051241] sd 2:0:1:0: Attached scsi generic sg3 type 0
[23416.074279] sdc: unknown partition table
[23416.074536] sd 2:0:1:0: [sdc] Cache data unavailable
[23416.074540] sd 2:0:1:0: [sdc] Assuming drive cache: write through
[23416.074637] sd 2:0:1:0: [sdc] Attached SCSI disk

Seejärel tuleb tekitada LVM PV

# pvcreate /dev/sdc

ja LVM VG suurendada

# vgextend pgdata /dev/sdc

Ning tulemusena on kasutada suurenenud ruumiga pgdata LVM volume grupp.

===btrfs failisüsteemi kasutamine===

2015 aasta suvel on nö hästi varustatud Linux distributsioonides olemas btrfs tugi, kerneli osa niigi, haldusutiliiditeda paigaldamiseks tuleb paigaldada nt APT paketihaldusega keskkonnas sarnane pakett

# apt-get install btrfs-tools

tulemusena tekib failisüsteemi

* /sbin/btfrs - TODO
* TODO

Plokkseadmele /dev/vdb failisüsteemi tekitamiseks sobib öelda

# mkfs.btrfs /dev/vdb
Btrfs v3.17
See http://btrfs.wiki.kernel.org for more information.

Turning ON incompat feature 'extref': increased hardlink limit per file to 65536
fs created label (null) on /dev/vdb
nodesize 16384 leafsize 16384 sectorsize 4096 size 8.00GiB

Failisüsteemi monteerimiseks koos pakkimisega

# mount -o compression=lzo /dev/vdb /mnt/vdb

või fstab failis rida (kusjuures mount | grep btrfs näitab sama väljundit sõltumata kas compress on või pole sees)

/dev/sdb /mnt/sdb btrfs defaults,compress=lzo 0 1

Tundub, et tavaliste sync, df jt utiliitide asemel on sobivam teha

# btrfs filesystem sync /mnt/sdb
FSSync '/mnt/sdb'

# btrfs filesystem df /mnt/sdb
Data, single: total=45.01GiB, used=44.91GiB
System, DUP: total=8.00MiB, used=16.00KiB
System, single: total=4.00MiB, used=0.00B
Metadata, DUP: total=1.00GiB, used=169.09MiB
Metadata, single: total=8.00MiB, used=0.00B
GlobalReserve, single: total=64.00MiB, used=0.00B

kus

* Data, single - used väljendab, palju on kasutuses reaalselt

# btrfs filesystem show
Label: none uuid: 26ef34be-1c0c-4578-88a1-bc0810b0ebd9
Total devices 1 FS bytes used 45.07GiB
devid 1 size 596.17GiB used 47.04GiB path /dev/sdb

Btrfs v3.17

Kasulikud lisamaterjalid

* https://wiki.debian.org/Btrfs

===Märkused===

* Monteeritud failisüsteemi ühenduspunktil on monteeritud failisüsteemi juurika kasutaja:grupp.

===Kasulikud lisamaterjalid===

* http://en.wikipedia.org/wiki/XFS

Võrgudiagnostika

2018-01-21T16:45:22Z

Imre: /* IPerf */

===Sissejuhatus===

Käesolev tekst on esitatud oma võrgu ja tulemüüride ning tcp/ip protokolli paremaks tundmaõppimiseks.
Ühtlasi tutvustatakse programme, millega saab uurida, kas võrk töötab ning kui, siis kuidas see töötab. Näiteks hinnata andmevahetuskiirusi, kuulata Ethernetti pealt ja uurida millised pordid on serveritel lahti.

Ilmselt saab allpool esitatud õpetusi kasutada nii hea-kui kuritahtlikul eesmärgil, manitseme seda tegema mitte kuritahtlikult. Tavaliselt on tuvastatav, kust tehakse ping floodi või nmapiga masinad skanneeritakse.

Reeglina tuleb esitatud programme kasutada juurkasutajana. Näiteks toodud viiba järgi saab teada, kas programm on kasutatav ka tavakasutaja ($) või ainult juurkasutaja (#) õigustes.

===Võrguseadmed===

Käesoleva teksti tähenduses mõeldakse võrguseadme all arvuti füüsilist või loogilist võrguseadet, nt

* füüsiline võrguseade - Linux puhul wlan0, eth0, eth1 jne; BSD puhul nt em0, bnx0 jne
* lokaalne võrguseade - Linux puhul lo; BSD puhul lo1, lo2
* sild - Linux puhul nt br0, br1; BSD puhul bridge0
* VLAN seade - Linux puhul nt vlan513, BSD puhul vlan513

Võrguseadmete jälgimisel tuleb arvestada, et arvuti kohalik liiklus toimub üle lokaalse võrguseadme, kusjuures ka juhtumil kui arvuti eth0 seadmele on omistatud nt aadress 192.168.1.15 ning arvutist pöördutakse selle aadressi poole.

===tcpdump===

Programm tcpdump (kuulub paljude operatsioonisüsteemide tarkvara põhiosa koosseisu) abil saab nö kuulata võrguseadmel pealt liiklust. Tulemust võib salvestada fail täies mahus või esitada ip paketti puudutavaid huvipakkuvaid andmeid programmi standardväljundisse. Oluline on tähele panna, et tcpdump kuulab liiklust seadel, st sisenevad paketid paistavad nii nagu nad olid enne RDR-teisendust ning väljuvad paketid on sellised nagu nad on peale NAT-teisendust.

tcpdump programmiga saab filtreerida liiklust selliste standardsete tunnuste järgi

* protokoll (nt icmp, tcp, udp, arp)
* andmevahetuse lähte ja sihtpunkti ip aadress
* andmevahetuse lähte ja sihtpunkti port
* ip paketi lippude järgi (nt salvestada vaid SYN pakette)
* paketi suurus

OpenBSD puhul lisanduvad järgmised võimalused

* paketifiltri reegli number, ''
* paketifiltri reegline määratud tegevus (pass, block, nat, rdr jt ning logitud liiklus)

Pakettide korjamise alustamiseks kindlalt võrguseadmelt

# tcpdump -i ed0

Oletame, et kahtlustame broadcast pakette ning seda, et nad
aeglustavad võrgutööd:

# tcpdump -i ed0 broadcast

Uurime kahe masina vahelist liiklust

# tcpdump -i ed0 host klient and server

Veel täpsep on vaadata

# tcpdump -i ed0 src host klient and dnst host server

Kõigi arvuti võrguseadmete peal töötamiseks sobib öelda

# tcpdump -i any ...

====ICMP====

Kui näiteks on kahtlusi kas kaks arvutit, 192.168.10.210 ja 192.168.10.11 (vastav võrguseade olgu em0) näevad üksteist, siis tuleks arvutis 192.168.10.210 öelda

# ping 192.168.10.11
PING 192.168.10.11 (192.168.10.11): 56 data bytes
64 bytes from 192.168.10.11: icmp_seq=0 ttl=64 time=0.422 ms
64 bytes from 192.168.10.11: icmp_seq=1 ttl=64 time=0.306 ms

ning teises arvutis võrguseadmel em0 ICMP protokolli filtreerimiseks tuleb öelda

# tcpdump -nettti em0 icmp
tcpdump: listening on em0, link-type EN10MB
May 19 16:23:10.480585 00:0e:0c:ba:4b:3e 00:16:3e:6a:0c:4b 0800 98: 192.168.10.210 > 192.168.10.11: icmp: echo request
May 19 16:23:10.480829 00:16:3e:6a:0c:4b 00:0e:0c:ba:4b:3e 0800 98: 192.168.10.11 > 192.168.10.210: icmp: echo reply
May 19 16:23:11.490525 00:0e:0c:ba:4b:3e 00:16:3e:6a:0c:4b 0800 98: 192.168.10.210 > 192.168.10.11: icmp: echo request
May 19 16:23:11.490639 00:16:3e:6a:0c:4b 00:0e:0c:ba:4b:3e 0800 98: 192.168.10.11 > 192.168.10.210: icmp: echo reply

Väljundina esitatakse

* paketi jälgimise aeg (-ttt, vt man tcpdump -t erinevaid variante)
* kummagi poole MAC aadressid (-e)
* paketi ethertype (-e, 0800 on ipv4 protokoll)
* ip paketi suurus baitides
* osaliste ip aadressid nimelahenduseta kujul (-n)
* paketi sisulisemad andmed, antud juhul on tegu icmp echo pärginute ja vastustega

Antud juhul saab järeldada, et võrguühendus arvutite vahel on olemas. St kuigi ping ise näitab väljundit annab teises arvutis võrgu pealtkuulamine täieliku kinnituse, et paketid just sinna välja jõuavad.

====TCP====

tcpdump võimaldab kasutada avaldisi, millega peab pakett klappima, nt SYN pakettide jälgmiseks

# tcpdump -n -i em0 'tcp[13] & 2 != 0' and dst 10.0.6.180 and port 80

TCP liikluse tõlgendamine

22:05:25.828149 10.50.96.138.50215 > 10.184.32.82.80: S 1263958777:1263958777(0) win 5840 \
<mss 1460,sackOK,timestamp 787576523 0,nop,wscale 6> (DF)
22:05:25.845445 10.184.32.82.80 > 10.50.96.138.50215: S 1989118317:1989118317(0) ack 1263958778 win 5792 \
<mss 1460,sackOK,timestamp 539529245 787576523,nop,wscale 6> (DF)
22:05:25.845896 10.50.96.138.50215 > 10.184.32.82.80: . ack 1 win 92 <nop,nop,timestamp 787576527 539529245> (DF)
22:05:25.845908 10.50.96.138.50215 > 10.184.32.82.80: P 1:134(133) ack 1 win 92 <nop,nop,timestamp 787576527 539529245> (DF)
22:05:25.856417 10.184.32.82.80 > 10.50.96.138.50215: . ack 134 win 108 <nop,nop,timestamp 539529249 787576527> (DF)
22:05:25.862904 10.184.32.82.80 > 10.50.96.138.50215: . 1:1449(1448) ack 134 win 108 <nop,nop,timestamp 539529249 787576527> (DF)
22:05:25.863286 10.50.96.138.50215 > 10.184.32.82.80: . ack 1449 win 137 <nop,nop,timestamp 787576532 539529249> (DF)
22:05:25.868800 10.184.32.82.80 > 10.50.96.138.50215: . 1449:2897(1448) ack 134 win 108 <nop,nop,timestamp 539529249 787576527> (DF)
22:05:25.869206 10.50.96.138.50215 > 10.184.32.82.80: . ack 2897 win 182 <nop,nop,timestamp 787576533 539529249> (DF)
22:05:25.878659 10.184.32.82.80 > 10.50.96.138.50215: . 2897:4345(1448) ack 134 win 108 <nop,nop,timestamp 539529253 787576532> (DF)
22:05:25.879036 10.50.96.138.50215 > 10.184.32.82.80: . ack 4345 win 227 <nop,nop,timestamp 787576536 539529253> (DF)
...

kus

* esimene rida vastab ühenduse algatamise SYN paketile
* mss 1460 - tcp maximum segment size väärtus, ütleb teisele poolele, kui suuri tcp pakette saata
* sackOK - selective acknowledgement on ok paketi saatja jaoks
* win 5840 - paketi saatja teatab paketi vastuvõtjale, et tal on puhvrit võtta ise pakette vastu 5840 baiti
* win 92 - kuna alguses lepiti kokku wscale=6, siis 92 tähendab 92 * 2^6 = 5888 baiti
* ack arv - loeb kui palju baite on paketi saatja teise poole käest vastu võtnud;
* DF - kõigil pakettidel on seatud don't fragment
* nop - not operating, sisuliselt kasutatakse paddinguks
* 1449:2897(1448) - sulgudes olev väärtus on tcp paketi sisu suurus baitides
* kasutades lisaks võtit -e esitatakse eraldi tulbas ethnerneti frame sees kantud protokolli nimi, nt ip ning vastava paketi suurus

====ARP====

Huvitav on tähele panna, et tcpdump tegeleb mitme protokolliga, nt ip (0800) ja arp (0806) protokolli pakettidega, mis on saadetud arp broadcast aadressile

# tcpdump -nei re0 ether host ff:ff:ff:ff:ff:ff
tcpdump: listening on re0, link-type EN10MB
11:00:49.928582 00:0e:0c:b0:96:b6 ff:ff:ff:ff:ff:ff 0800 210: 192.168.10.10.631 > 192.168.10.255.631: udp 168 (DF)
11:01:08.024422 00:16:3e:00:00:01 ff:ff:ff:ff:ff:ff 0800 249: 192.168.10.41.138 > 192.168.10.255.138: udp 207
11:01:26.338380 00:1b:21:1d:f6:06 ff:ff:ff:ff:ff:ff 0806 60: arp who-has 192.168.10.254 tell 192.168.10.250

Kui tcpdump väljundit on vaja saata toru kaudu mõne teksti töötlevale programmile edasi on asjakohane kasutada lisaks -l võtit, mis puhverdab rea kaupa, nt

# tcpdump -nlei re0 ether host ff:ff:ff:ff:ff:ff | grep 0806

====Liikluse salvestamine faili====

Selleks, et salvestada tulemus ka faili:

# tcpdump -i ed0 -w liiklus.log

Liikluse faili salvestamiseks sobib öelda nö tavalise MTU'ga (1,5 kBaiti) võrgus nt (-s 0 võti tähendab, et salvestatakse kõik paketi sisu suurusest hoolimata)

# tcpdump -s 1600 -w /tmp/liiklus.log -i em0 host 10.0.6.180 and port 80

Selliselt salvestatud liikluse analüüsimiseks sobib öelda nt

# tcpdump -r /tmp/liiklus.log

====IP====

Kui IP kihis leiab aset pakettide fragmenteerumine, siis paistab see tcpdump väljundis nt selliselt

23:43:36.802989 10.100.0.161.32545 > 10.100.1.190.80: S 3394332515:3394332515(0) win 16384 \
<mss 8960,nop,nop,sackOK,nop,wscale 0,nop,nop,timestamp 3055259272 0>
23:43:36.803982 10.100.1.190.80 > 10.100.0.161.32545: S 2791894032:2791894032(0) ack 3394332516 win 16384 \
<mss 8960,nop,nop,sackOK,nop,wscale 0,nop,nop,timestamp 313564159 3055259272>
23:43:36.805275 10.100.0.161.32545 > 10.100.1.190.80: . ack 1 win 16384 <nop,nop,timestamp 3055259272 313564159>
23:43:36.805527 10.100.0.161.32545 > 10.100.1.190.80: P 1:67(66) ack 1 win 16384 <nop,nop,timestamp 3055259272 313564159>
23:43:36.809486 10.100.1.190.80 > 10.100.0.161.32545: . 1:1449(1448) ack 67 win 17896 \
<nop,nop,timestamp 313564159 0> (frag 35143:1480@0+)
23:43:36.809503 10.100.1.190 > 10.100.0.161: (frag 35143:1480@1480+)
23:43:36.809515 10.100.1.190 > 10.100.0.161: (frag 35143:1480@2960+)
23:43:36.809527 10.100.1.190 > 10.100.0.161: (frag 35143:1480@4440+)
23:43:36.809539 10.100.1.190 > 10.100.0.161: (frag 35143:1480@5920+)
23:43:36.809554 10.100.1.190 > 10.100.0.161: (frag 35143:824@7400)
23:43:36.810014 10.100.1.190.80 > 10.100.0.161.32545: P 8193:9641(1448) ack 67 win 17896 \
<nop,nop,timestamp 313564159 0> (frag 46914:1480@0+)
23:43:36.810030 10.100.1.190 > 10.100.0.161: (frag 46914:1480@1480+)
23:43:36.810045 10.100.1.190 > 10.100.0.161: (frag 46914:1452@2960)
23:43:36.810157 10.100.1.190.80 > 10.100.0.161.32545: F 12573:12573(0) ack 67 win 17896 <nop,nop,timestamp 313564159 0>
23:43:36.813600 10.100.0.161.32545 > 10.100.1.190.80: . ack 8193 win 16384 <nop,nop,timestamp 3055259272 313564159>
23:43:36.813856 10.100.0.161.32545 > 10.100.1.190.80: . ack 12574 win 12004 <nop,nop,timestamp 3055259272 313564159>
23:43:36.816244 10.100.0.161.32545 > 10.100.1.190.80: F 67:67(0) ack 12574 win 16384 <nop,nop,timestamp 3055259272 313564159>
23:43:36.817042 10.100.1.190.80 > 10.100.0.161.32545: . ack 68 win 17896 <nop,nop,timestamp 313564159 0>

kus

* (frag 35143:1480@0+) - järgnevad IP fragmendid
* (frag 35143:824@7400) - viimane IP fragment kuna järel + märk puudub

ICMP pakettide puhul on fragmenteerimist veel otsekohesem jälgida, öeldes ühes aknas

# ping -c 1 -s 6000 192.168.209.245
PING 192.168.209.245 (192.168.209.245): 6000 data bytes
6008 bytes from 192.168.209.245: icmp_seq=0 ttl=56 time=74.206 ms

võib võrku pealt kuulates paista midagi sellist

22:30:44.799162 84.50.96.138 > 192.168..209.245: icmp: echo request (frag 36688:1480@0+)
22:30:44.799168 84.50.96.138 > 192.168..209.245: (frag 36688:1480@1480+)
22:30:44.799175 84.50.96.138 > 192.168..209.245: (frag 36688:1480@2960+)
22:30:44.799180 84.50.96.138 > 192.168..209.245: (frag 36688:1480@4440+)
22:30:44.799187 84.50.96.138 > 192.168..209.245: (frag 36688:88@5920)
22:30:44.872529 192.168.209.245 > 84.50.96.138: icmp: echo reply (frag 42199:1480@0+)
22:30:44.872674 192.168.209.245 > 84.50.96.138: (frag 42199:1480@1480+)
22:30:44.872774 192.168.209.245 > 84.50.96.138: (frag 42199:1480@2960+)
22:30:44.872899 192.168.209.245 > 84.50.96.138: (frag 42199:1480@4440+)
22:30:44.872913 192.168.209.245 > 84.50.96.138: (frag 42199:88@5920)

===ping===

Kuulub enamuse operatsioonisüsteemide pakettide hulka

Ping utiliidi abil saab hõlpasti veenduda, et kahe punkti vahel on füüsiliselt võrguühendus olemas. Ping kasutab andmevahetuseks ICMP (Internet Control Message Protocol) protokolli ja arusaadavalt ei tohi sellise kontrolli õnnestumiseks kahe punkti vahel olla ICMP protokolli kasutamine takistatud, täpsemini ICMP echo request ja ICMP echo reply sõnumite vahetamine.

Kasutamiseks tuleb ühes punktis öelda

# ping 192.168.10.11
PING 192.168.10.11 (192.168.10.11): 56 data bytes
64 bytes from 192.168.10.11: icmp_seq=0 ttl=64 time=3.922 ms
64 bytes from 192.168.10.11: icmp_seq=1 ttl=64 time=0.286 ms
64 bytes from 192.168.10.11: icmp_seq=2 ttl=64 time=0.274 ms
64 bytes from 192.168.10.11: icmp_seq=3 ttl=64 time=0.193 ms

Väljundist on näha, et pöördutud aadress vastab, vastused on järjekorras ja kadudeta saabunud ning vastuse saamise aeg on suhteliselt stabiilne. Võib järeldada, et võrk toimib.

Kasutades võtit -n ei püüa Ping lahendada nimesid, tihti seisneb võrgu nö mittetöötamine valesti konfigureeritud nimeserveris või nimeserveri mittekasutamises.

Pingimise intervalli võib ka vähendada järgnevalt:

# ping -i 0 -c 5 neti.ee

Silmas tasub ainult sel juhul pidada järgnevaid asju:

*flood ping (intervall 0) on masinate kiusamine, mõned tulemüürid võivad seda spetsiifiliselt detectida ja blokkida,
*mida lühem intervall, seda hüplikumaks muutub tulemus, pendeldades rohkem 100% ja 0% vahel,
*alla 1 sek intervalliga ping tuleb ruudu poolt käivitada.

===traceroute===

Samuti enamuse operatsioonisüsteemides leiduv programm

Traceroute utiliidi abil saab jälgida, millistest võrgusõlmedest käib kahe punkti vahel toimuv liiklus läbi. Traceroute kasutab andmevahetuseks vaikimisi UDP protokolli ning asjaolu, et kui IP pakett läbib võrgusõlme, siis vähendatakse päises olevat TTL väärtust ühe võrra kusjuures kui võrgusõlme jõuab pakett, mille TTL väärtus on üks, siis saadetakse tagasi ICMP vastus

icmp: time exceeded in-transit

UDP pakett saadetakse vaikimisi porti 33434 (eeldades, et sihtpunktiks olevas arvutis ei kuula seal teenust). Esimese paketi TTL on väärtusega 1 ning 'icmp: time exceeded in-transit' saadakse vaikelüüsilt. Järgmise paketi TTL seatakse 2 ning 'icmp: time exceeded in-transit' saadakse järgmises võrgu sõlmpunktis asuvalt ruuterilt jne kuni lõpuks UDP puhul saadakse sihtpunktilt vastuseks

icmp: 172.168.1.1 udp port 33443 unreachable

UDP asemel on võimalik kasutada ka ICMP või TCP protokolli, aga UDP annab praktikas kõige paremaid tulemusi. Toome näite kasutades ICMP protokolli kuna liiklust sisaldavas võrgus on tulemust nii parem näha ja esitada. Ütleme arvuti ühes promptis

# traceroute -n -q 1 -I cache.eenet.ee
traceroute to cache.eenet.ee (193.40.133.134), 64 hops max, 40 byte packets
1 195.80.102.33 0.494 ms
2 213.184.51.121 0.418 ms
3 194.116.188.19 0.524 ms
4 193.40.133.187 4.724 ms
5 193.40.133.134 3.760 ms

kus

* väljundis esitatakse järjekorras kõigi võrgusõlmede aadressid, mida pakett läbib sihtpunkti jõudmiseks; täpsemalt, need on võrgusõlmpunktide traceroute kasutaja poolsete võrguseadmede aadressid
* iga aadressi järel esitatakse vastuse tagasijõudmiseks kulunud aeg, kusjuures aeg esitatakse iga rea kohta eraldi st viimase rea aeg ei ole kõige aegade summa (antud juhul on see ka selgesti näha, et mingil põhjusel jõudis viimase hosti juurest vastus kiiremini tagasi kui eelviimasest)

Kuulates samas arvutis liiklust pealt teises promptis näeme

# tcpdump -nttti em3 icmp
tcpdump: listening on em3, link-type EN10MB
May 19 18:12:08.419036 195.80.102.35 > 193.40.133.134: icmp: echo request [ttl 1]
May 19 18:12:08.419459 195.80.102.33 > 195.80.102.35: icmp: time exceeded in-transit [tos 0xc0]
May 19 18:12:08.419659 195.80.102.35 > 193.40.133.134: icmp: echo request
May 19 18:12:08.419957 213.184.51.121 > 195.80.102.35: icmp: time exceeded in-transit [tos 0xc0]
May 19 18:12:08.420152 195.80.102.35 > 193.40.133.134: icmp: echo request
May 19 18:12:08.420582 194.116.188.19 > 195.80.102.35: icmp: time exceeded in-transit
May 19 18:12:08.420760 195.80.102.35 > 193.40.133.134: icmp: echo request
May 19 18:12:08.424455 193.40.133.187 > 195.80.102.35: icmp: time exceeded in-transit
May 19 18:12:08.424638 195.80.102.35 > 193.40.133.134: icmp: echo request
May 19 18:12:08.428660 193.40.133.134 > 195.80.102.35: icmp: echo reply

Vahel esineb traceroute väljundis real * märk, mis tähendab, et vaatlusalune võrgusõlm ei vastanud 'icmp: time exceeded in-transit' teatega või see teade ei jõudnud kohale

# traceroute -n -q 1 -I www.eenet.ee
traceroute to www.eenet.ee (193.40.0.131), 64 hops max, 60 byte packets
1 84.50.96.137 58.500 ms
2 88.196.144.137 5.230 ms
3 90.190.153.17 4.325 ms
4 195.250.191.17 8.805 ms
5 *
6 194.116.188.19 9.124 ms
7 193.40.133.187 11.953 ms
8 193.40.0.131 11.744 ms

TCP ja port 80 tracroute

# traceroute -n -q 1 -T www.eenet.ee -p 80
traceroute to www.eenet.ee (193.40.0.131), 30 hops max, 60 byte packets
1 10.0.0.1 0.313 ms
2 184.50.25.1 0.659 ms
3 184.50.157.2 5.896 ms
4 213.168.1.18 3.562 ms
5 213.168.1.27 3.680 ms
6 195.250.170.70 3.797 ms
7 193.40.133.6 6.987 ms
8 193.40.133.26 7.113 ms
9 193.40.0.131 7.993 ms

===tracepath===

tracepath programmi abil saab teha kindlaks Path MTU väärtusi, paigaldamiseks tuleb Debian Lenny keskkonnas öelda

# apt-get install iputils-tracepath

Kasutamisene toimub selliselt

$ tracepath -n 192.168.1.4
1: 192.168.10.10 0.062ms pmtu 1500
1: 192.168.10.210 0.444ms
1: 192.168.10.210 0.220ms
2: 192.168.1.4 0.835ms reached
Resume: pmtu 1500 hops 2 back 63

Kasulikud lisamaterjalid

* http://en.wikipedia.org/wiki/Path_MTU_Discovery

===nmap===

Programm nmap on populaarne võrgu kaardistamise vahend, mida võrguadministraatorid ja süsteemiadministraatorid armastavad kasutada teenuste kontrollimiseks, samuti diagnostikavahendina probleemide või kahtluste olemasolul. Lisaks tundub, et pahalased kasutavad sarnast võrgu kaardistamise vahendit ründe sihtmärkide kindlakstegemiseks. Nmap töö põhineb erinevate omadustega pakettide väljasaatmisel ning vastuste (sh saamatajätmise) analüüsil. Üldiselt võiks eristada kahte taset nmapi kasutamisel

* võrgus arvutite leidmine (ingl. k. host discovery)
* üksikute arvutite omaduste kindlakstegemine (nt millistel portidel pakutakse teenust) (ingl. k. port scanning)

Nmap ei kuulu enamuse operatsioonisüsteemi baaskonfiguratsiooni ning tuleb eelnevalt
paketihalduse vahenditega paigaldada

Nt Debian v. 7 Wheezy puhul sobib öelda, et ei paigaldatakse hulka Recommends olekus pakette

# apt-get --no-install-recommends install nmap

====võrgust arvutite leidmine====

Võrgus arvutite kindlakstegemiseks on nmap'il kaks võtitit, -sL ja -sP

Selleks, et lihtsalt kuvada subnetis olevad ip aadressid koos pöördteisendustega, mingit skaneerimist ei toimu

# nmap -sL 192.168.1.0/24

Starting Nmap 4.53 ( http://insecure.org ) at 2008-06-23 22:30 EEST
Host 192.168.1.0 not scanned
Host sipsik.loomaaed.tartu.ee (192.168.1.1) not scanned
Host www.loomaaed.tartu.ee (192.168.1.2) not scanned
Host vaktsiin.loomaaed.tartu.ee (192.168.1.3) not scanned
Host loomaaed.tartu.ee (192.168.1.4) not scanned
Host 192.168.1.5 not scanned
Host hilja.loomaaed.tartu.ee (192.168.1.6) not scanned
..
Nmap done: 256 IP addresses (0 hosts up) scanned in 0.142 seconds

Selleks, et saada subnetis olevate arvutite mac aadresside nimekirja sobib öelda

# nmap -sP 192.168.1.0/24 -n

Starting Nmap 4.53 ( http://insecure.org ) at 2008-06-23 23:03 EEST
Host 192.168.1.1 appears to be up.
MAC Address: 00:16:3E:1C:3C:B3 (Xensource)
Host 192.168.1.2 appears to be up.
MAC Address: 00:16:3E:2C:7E:DD (Xensource)
Host 192.168.1.3 appears to be up.
MAC Address: 00:18:F8:E5:F8:F2 (Cisco-Linksys)
Host 192.168.1.4 appears to be up.
MAC Address: 00:0C:42:07:1A:46 (Routerboard.com)
Nmap done: 256 IP addresses (5 hosts up) scanned in 6.054 seconds

Kui nö teises aknas võrku kuulata, näeb, et nmap teeb subneti iga ip aadressi kohta arp päringu, väga efektiivne moodus arvuti olemasolu kindlakstegemiseks

# tcpdump -nettti fxp1 arp
Jun 23 22:49:26.743432 00:02:55:ee:42:72 ff:ff:ff:ff:ff:ff 0806 42: arp who-has 192.168.1.1 (ff:ff:ff:ff:ff:ff) tell 192.168.1.254
Jun 23 22:49:26.743466 00:02:55:ee:42:72 ff:ff:ff:ff:ff:ff 0806 42: arp who-has 192.168.1.2 (ff:ff:ff:ff:ff:ff) tell 192.168.1.254
Jun 23 22:49:26.943286 00:02:55:ee:42:72 ff:ff:ff:ff:ff:ff 0806 42: arp who-has 192.168.1.3 (ff:ff:ff:ff:ff:ff) tell 192.168.1.254
Jun 23 22:49:26.943339 00:02:55:ee:42:72 ff:ff:ff:ff:ff:ff 0806 42: arp who-has 192.168.1.4 (ff:ff:ff:ff:ff:ff) tell 192.168.1.254
..

Kui sedasi pöörduda mittelokaalse võrgu poole, siis nmap saadab icmp echo requesti ning tcp ack paketi porti 80 (mis tavaliselt ei saa tulemüüridest edasi, kuna ei kuulu ühenduse hulka) ning näitab samuti tulemust.

Lisaks saab -sP võtmega koos kasutada nn probe'isid (-PS, -PA jt) võtmeid, et vaikimisi käitumist muuta.

Nmap programmi võrgust arvutite leidmise protseduuri väljundi saab salvestada faili, et seda seejärel üksikute arvutite omaduste kindlakstegemiseks kasutada, näiteks selliselt, -oG võtme kasutamisel salvestatakse väljund võimalikult nö grep'itavas formaadis

# nmap -sP 192.168.1.0/24 -oG /tmp/nmap-192.168.1.0-24.log

====Üksikute arvutite omaduste kindlakstegemine====

Üksikute arvutite omaduste all mõeldaks seda, millises olekus on tema erinevad pordid, näiteks

* open - pordil töötab rakendus
* closed - pordile ei ole ligipääs takistatud, aga rakendust ei tööta (tavaliselt saadab arvuti nmapile vastuseks RST paketi)
* filtered - nmap ei saa kindlaks teha pordi olekut (kas open või closed) kuna vaatlusaluses endas või tema eest töötab paketifilter

Tegemaks kindlaks, kas failis /tmp/192.168.1.0-24.log sisalduvatel ip aadressidel vastab SYN paketile 22 port tuleb näiteks öelda

# nmap -p T:22 -sS -iL /tmp/nmap.log -PN -oG -

* -oG - tundub, et väljund on sedasi pisut paremini loetav kui vaikimisi
* -PN - nmap ei soorita taustal nn host discovery't, kui tcpflow abil liiklust jälgida, on pilt selgem

Sedasi on näiteks ka hea kontrollida, kas oma synproxy režiimis käivitatud tulemüür ikka toimib nõuetekohaselt.

Nmap võimaldab vaatlusaluse arvuti tcp/ip stackiga suhtlemisel saadud info põhjal kaudselt ennustada selle arvuti operatsioonisüsteemi ning portidel kuulavate tarkvarade versioonid

# nmap -A 192.168.0.239
Starting Nmap 4.53 ( http://insecure.org ) at 2008-04-10 23:12 EEST
Interesting ports on 192.168.0.239:
Not shown: 1711 closed ports
PORT STATE SERVICE VERSION
22/tcp open ssh OpenSSH 4.7p1 Debian 2 (protocol 2.0)
MAC Address: 00:11:25:85:64:34 (IBM)
Device type: general purpose
Running: Linux 2.6.X
OS details: Linux 2.6.17 - 2.6.20
Uptime: 0.640 days (since Thu Apr 10 07:51:45 2008)
Network Distance: 1 hop
Service Info: OSs: Unix, Linux

OS and Service detection performed. Please report any incorrect results at http://insecure.org/nmap/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 20.592 seconds

TCP handshake'i tegemiseks sobib kasutada, nn connect scan

# nmap -p T:443 -sT -PN 192.168.0.239

Lisaks saab seada tcp paketi lippe ka näidates vajalikud lipud otse, nt seada SYN ja ACK, korrektselt seadistatud tulemüürist selline pakett läbi minna ei tohiks

# nmap -p T:80 --scanflags SYNACK -PN 192.168.0.239

IP aadressiga seotud portide vahemiku tcp handshake skaneerimine

# nmap -p T:22-100 -sT -Pn 192.168.0.111

kus

* -p T:22-100 - portide vahemik ja TCP (tegelikult -T on ta niikuinii antud juhul ja selle võiks ka ära jätta)
* -Pn - mitte pingida, st saadetakse vaid tcp syn jne pakette
* -sT - tcp handshake skaneerimine

====Võrgust teatud omadustega arvutite otsimine====

# nmap -PS -p 443 192.168.2.200-245

kus

* -PS - tcp syn
* -p 443 - port
* 192.168.2.200-245 - ip vahemik

====Turvavigade kontroll====

Tööks vajalikud huvitavad failid asuvad kaustas nmap/scripts/smb-check-vulns.nse
nt FreeBSD's /usr/local/share/nmap/scripts/

Ideepoolest peaks töötama ka käsk

# nmap --script-updatedb
Starting Nmap 4.85BETA7 ( http://nmap.org ) at 2009-09-15 00:33 EEST
NSE script database updated successfully.
Nmap done: 0 IP addresses (0 hosts up) scanned in 0.23 seconds

Salvestame nmapi töö faili mis meie subneti nimeline ning viime läbi
SYN skänni pordile 445 ning käivitame SMB vigade kontrollimiseks mõeldud NSE skripti
ja teeme seda kõigile arvutitele 192.168.1.0/24 võrgus.

nmap -oA 192168-filename -sS -p445 --script smb-check-vulns.nse 192.168.1.0/24

Tulemused võivad välja näha näiteks järgnevad

Interesting ports on kasutaja.zoo.tartu.ee (192.168.1.5):
PORT STATE SERVICE
445/tcp open microsoft-ds
MAC Address: 00:03:0D:51:E5:CA (Uniwill Computer)

Host script results:
|_ smb-check-vulns: This host is likely vulnerable to MS08-067 (it
stopped responding during the test)

Skriptide poole pöördudes võib kasutada ka järgmist lähenemist:

nmap --script "http-*"

Mis laadib kõik skriptid millede nimi agab httpd- reaga, näiteks http-auth ja http-open-proxy

Või siis laadime kõik skriptid, välja arvatud intrusive kategooriast:

nmap --script "not intrusive"

Vaikimisi kategoriseeritud default ja safe kataloogi.

nmap --script "default or safe"

====nping====

nmap paketi koosseisu kuulub nping programm, mis on natuke sarnane oma võimlustelt hping ja pingile.

TODO

====ncat====

nmap paketi koosseisu kuulub ncat programm, mis on natuke sarnane oma võimalustelt netcat programmile.

===arping===

Erinevalt programmist ping, mis saadab võrku ip pakette (ethertype 0x0800) tekitab arping arp pakette (ethertype 0x0806). Kui ühes aknas pingida/arpingida ja teises jälgida liiklust, siis paistavad erinevused sellised

Tuleb eelnevalt paigaldada operatsioonisüsteemi pakihalduse vahendite abil

# ping 192.168.10.251

# tcpdump -nettti em0 arp or icmp
Jun 24 13:27:08.032376 00:0e:0c:ba:4b:3e 00:0c:42:07:1a:45 0800 98: 192.168.10.210 > 192.168.10.251: icmp: echo request
Jun 24 13:27:08.032511 00:0c:42:07:1a:45 00:0e:0c:ba:4b:3e 0800 98: 192.168.10.251 > 192.168.10.210: icmp: echo reply

# arping 192.168.10.251

# tcpdump -nettti em0 arp or icmp
Jun 24 13:27:10.069533 0c:80:18:03:00:00 ff:ff:ff:ff:ff:ff 0806 42: arp who-has 192.168.10.251 tell 192.168.10.210
Jun 24 13:27:10.069644 00:0c:42:07:1a:45 0c:80:18:03:00:00 0806 60: arp reply 192.168.10.251 is-at 00:0c:42:07:1a:45

===Ssmpingiga multicasti toimimise testimine===

Multicast ehk multiedastus võimaldab ühe saatekorraga edastada sama infot korraga valitud arvutite rühmale. Seda ei tohi segi ajada broadcastiga, mis edastab paketi absoluutselt kõigile võrgus olevatele masinatele. Multicasti töötamise jaoks on switchis tarvilik IGMP (Internet Group Management Protocol) tugi (snooping ja query). Ruuteril on tarvilik "multicast routing" tuge. Multiedastust kasutatakse laialdaselt audio-video ülekandmiseks ja clustri nodede sünkroniseerimiseks. Rumalad ja mittemanageeritavad switchid võivad multiedastus teated edastada kui broadcasti kõigisse switchi portidesse ja tekitada seega võrgus üleliigst liiklust. IGMP Snoopingu halvaks küljeks on aga suurem switchi protsessori ja mälu kasutus.

http://et.wikipedia.org/wiki/Multiedastus
http://en.wikipedia.org/wiki/Multicast

Kahe masina vahel multicasti tesitmine ssmpingi abil. Paigaldamiseks

# apt-get install ssmping

Esimeses masinas

# ssmpingd

Teises masinas

# ssmping -I eth0 <IP aadress>

Tulem võiks näha välja järgnev

asmping joined (S,G) = (*,224.0.2.234)
pinging 192.168.8.6 from 192.168.8.5
unicast from 192.168.8.6, seq=1 dist=0 time=0.221 ms
unicast from 192.168.8.6, seq=2 dist=0 time=0.229 ms
multicast from 192.168.8.6, seq=2 dist=0 time=0.261 ms
unicast from 192.168.8.6, seq=3 dist=0 time=0.198 ms
multicast from 192.168.8.6, seq=3 dist=0 time=0.213 ms
unicast from 192.168.8.6, seq=4 dist=0 time=0.234 ms
multicast from 192.168.8.6, seq=4 dist=0 time=0.248 ms
unicast from 192.168.8.6, seq=5 dist=0 time=0.249 ms
multicast from 192.168.8.6, seq=5 dist=0 time=0.263 ms
unicast from 192.168.8.6, seq=6 dist=0 time=0.250 ms
multicast from 192.168.8.6, seq=6 dist=0 time=0.264 ms
unicast from 192.168.8.6, seq=7 dist=0 time=0.245 ms
multicast from 192.168.8.6, seq=7 dist=0 time=0.260 ms

Nii unicast kui multicast tunduvad töötavat.

Võime testida ka mõne kaugema serveri pihta:

# ssmping ssmping.uninett.no
ssmping joined (S,G) = (2001:700:0:4501:158:38:0:230,ff3e::4321:1234)
pinging S from 2001:bb8:2001:2:21b:21ff:fe65:54c9
unicast from 2001:700:0:4501:158:38:0:230, seq=1 dist=14 time=39.017 ms
unicast from 2001:700:0:4501:158:38:0:230, seq=2 dist=14 time=38.840 ms
unicast from 2001:700:0:4501:158:38:0:230, seq=3 dist=14 time=38.950 ms
unicast from 2001:700:0:4501:158:38:0:230, seq=4 dist=14 time=38.704 ms
--- 2001:700:0:4501:158:38:0:230 statistics ---
4 packets transmitted, time 3564 ms
unicast:
4 packets received, 0% packet loss
rtt min/avg/max/std-dev = 38.704/38.877/39.017/0.269 ms
multicast:
0 packets received, 100% packet loss

Viimase näite puhul multicast üle ipv6 ei paista töötavat. Unicast aga küll..

===Ethtool===

Selleks, et vaadata ühenduse parameetreid ning seda, kas võrgukaarti on ühendatud kaabel või ei ole on olemas töövahend ethtool. Üsna sageli võib olla segadus, et serveril
on 4+ võrguseadet ning raske öelda kuidaspidi on udev nad jaganud

# apt-get install ethtool

Kasutamine

# ethtool eth0

Ja sealt antud infost saab vaadata nt välja

Link detected: yes

Rohkema info omandamiseks

# ethtool -i eth5
driver: i40e
version: 1.2.37
firmware-version: f4.22.27454 a1.2 n4.25 e143f
bus-info: 0000:06:00.1
supports-statistics: yes
supports-test: yes
supports-eeprom-access: yes
supports-register-dump: yes
supports-priv-flags: yes

===tcpflow===

Programm tcpflow abil on hea uurida rakenduskihile vastavate andmete liikumist võrgus, nt jälgida http päringud ja vastuseid. tcpflow salvestab käesolevasse kataloogi (ingl. k. current directory) tabatud liikluse automaatselt moodustatud failinimesid kasutades

Tuleb eelnevalt paigaldada operatsioonisüsteemi vahendite abil

# mkdir /tmp/ftp.aso.ee
# cd /tmp/ftp.aso.ee
# tcpflow -i rl0 host ftp.aso.ee
# ls -l
total 8
-rw-r--r-- 1 root wheel 104 Jun 13 10:22 084.050.096.138.50120-213.184.032.082.00080
-rw-r--r-- 1 root wheel 847 Jun 13 10:22 213.184.032.082.00080-084.050.096.138.50120

Failinimedes kasutatakse kasutatud pordinumbreid, päring

# cat 084.050.096.138.50120-213.184.032.082.00080
GET /README HTTP/1.0
User-Agent: Wget/1.11.2
Accept: */*
Host: ftp.aso.ee
Connection: Keep-Alive

ning vastus

# cat 213.184.032.082.00080-084.050.096.138.50
HTTP/1.1 200 OK
Date: Fri, 13 Jun 2008 07:22:50 GMT
Server: Apache
Last-Modified: Mon, 05 Nov 2007 19:14:36 GMT
ETag: "1c980fa-22e-53bd1f00"
Accept-Ranges: bytes
Content-Length: 558
Keep-Alive: timeout=15, max=100
Connection: Keep-Alive
Content-Type: text/plain; charset=UTF-8

Welcome to the Estonian Informatics Center's FTP server!

On this server are hosted following software distributions

Debian GNU/Linux - /debian
Ubuntu Linux - /pub/ubuntu
Mandriva Linux - /pub/Mandrake
X-Road System - /pub/x-tee
Solaris CSW - /pub/csw
OpenBSD - /pub/OpenBSD

You can access data anonymously using http, ftp or rsync protocol and
one of these domainnames:

ftp.aso.ee
ftp.ria.ee
ftp.ee.debian.org

If you have any comments or encounter problems using this archive, please send
them via e-mail to ftpmaster_at_aso.ee.

tcpdump abil salvestatud faile saab uurida

$ tcpflow -r failinimi.pcap

===hping===

Programm hping võimaldab konstrueerida ja võrku saata igasuguseid pakette ja sobib seetõttu hästi nt võrgusõlmede testimiseks. Tarkvarast on kolm populaarset versiooni, hping, hping2 ja hping3. Näiteks SYN paketi tekitamiseks tuleb öelda

Tuleb eelnevalt paigaldada operatsioonisüsteemi vahendite abil

# hping -S -c 4 -p 80 192.168.10.12
HPING farm.loomaaed.tartu.ee (em0 192.168.10.12): S set, 40 headers + 0 data bytes
len=46 ip=192.168.10.12 ttl=56 DF id=60008 sport=80 flags=SA seq=0 win=5840 rtt=9.4 ms
len=46 ip=192.168.10.12 ttl=56 DF id=53433 sport=80 flags=SA seq=1 win=5840 rtt=9.8 ms
len=46 ip=192.168.10.12 ttl=56 DF id=39504 sport=80 flags=SA seq=2 win=5840 rtt=9.5 ms
len=46 ip=192.168.10.12 ttl=56 DF id=54821 sport=80 flags=SA seq=3 win=5840 rtt=9.5 ms

kus võtmed

* -S - konstrueerida SYN pakett
* -c 4 - saata viis paketti
* -i arv - saata intervalliga arv sekundit, vaikimisi ühe sekundise intervalliga
* -p - pordile 80

Näiteks nii saab nö tavalist ICMP pingi sooritada öeldes paketi src aadressiks 192.168.12.144

# hping3 -1 -a 192.168.12.144 192.168.11.145

Fragmenteeritud IP pakettide genereerimiseks sobib öelda

# hping3 -d 5400 -E /tmp/50M -S -c 3 -p 80 192.168.10.12 -m 200

kus

* -d paketi andmeosa suurus
* -E - mida kasutada andmeosa täitmiseks
* -m - mtu suurus

===netcat===

Programm netcat võimaldab hõlpsasti testida võrku, või vahetda arvutite ning programmide vahel infot. Sarnane tuntub programmile socket. Ühes arvutis tuleb ta käivitada porti kuulama öeldes, näiteks faili /tmp/filename.out kopeerimiseks

Tuleb osades operatsioonisüsteemides paigaldada, nt OpenBSD's on ta olemas

# nc -l -p 1010 > /tmp/filename.out

ja teisest pöörduda

# nc teise.arvuti.ip.aadress 1010 < /tmp/filename.out

Linuxi peal töötab sedasi lihtne server

# while true ; do cat /tmp/http.txt | nc -l -p 1500 head --bytes 2000 >>/tmp/requests ; date >>/tmp/requests ; done

Hädapärast saab netcati vahendusel vahendada ka arvutite vahel ja skriptide vahel infot näiteks kuulame 1001 porti ühes masinas

abiks käsk testimisel ka

nc -l -p 1001 | awk -F"," '{print $2}'

Syslogiga suhtlemine

$ echo '<0>message' | nc -w 1 -u 192.168.102.114 514

Whois teenuse kasutamine (20131116 - tundub, et päris nii see alati ei tööta)

$ echo "loomaaed.tartu.ee" | netcat 193.40.0.12 43
The registry database contains only .EE, .COM.EE, .PRI.EE, .FIE.EE,
.ORG.EE and .MED.EE domains.

Registrant:
Tartu Loomaaed
Looma tee 1
TEL 1234 5678
FAX 8765 4321

Domain Name: loomaaed.tartu.ee

Contacts:
Priit Kask priit@loomaaed.tartu.ee
..

Netcat abil saab hõlpsasti demonstreerida kui lihtne on nö pordile shelli külge ühendada (see on üks põhjus, miks tuleb pigem paketifiltriga kasutamata pordid blokeerida), serveris öelda

$ nc -l -p 8443 -e /bin/bash

ja kliendis

$ nc 192.168.10.10 8443
/sbin/route -n
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
0.0.0.0 192.168.10.254 0.0.0.0 UG 0 0 0 eth0
192.168.10.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0

Mingi määratluse järgi jagatakse turvaauke local ja remote alla kuuluvateks. Tihtipeale annavad local augud rohkem võimalusi ja neide parandamisse suhtutaks kergekäelisemalt. Kui selline shell on kasutada, siis arusaadavalt saab eemalt ligi local aukudesse (nt kävitada spetsiaalselt ettevalmistatud faile jms).

Tundub, et uuemal ajal sobib öelda

$ cat /tmp/f | /bin/sh -i 2>&1 | nc -l 127.0.0.1 8443 > /tmp/f

Võrgukiiruse primitiivseks testimine sobib öelda, iseäralik antud juhul on et mõõdetakse puhast võrgukiirust, kohalike ketaste io ei sega

netcat-server$ nc -l -p 6000 > /dev/null
netcat-klient$ nc 192.168.10.189 6000 < /dev/zero

ja liikluse kiiruse hindamiseks öelda ükskõik kummas arvutis

# tcpstat -i eth0 -o "Time:%S\tn=%n\tavg=%a\tstddev=%d\tBaitspersecond=%B\n" -f "tcp and host 192.168.10.189 and port 6000" 1
Time:1463902007 n=11782 avg=1044.15 stddev=672.42 Baitspersecond=12302148.00
Time:1463902008 n=11603 avg=1046.16 stddev=671.66 Baitspersecond=12138628.00
Time:1463902009 n=11367 avg=1056.14 stddev=667.52 Baitspersecond=12005096.00
Time:1463902010 n=11652 avg=1051.81 stddev=669.35 Baitspersecond=12255700.00
Time:1463902011 n=11514 avg=1053.25 stddev=668.74 Baitspersecond=12127072.00

Lisaks peaks jälgima võrguliidestel toimuvat liiklus vigade osas, nt (errors, dropped jt)

# ifconfig
eth0 Link encap:Ethernet HWaddr 00:1c:c0:38:97:a9
inet addr:192.168.10.8 Bcast:192.168.10.255 Mask:255.255.255.0
inet6 addr: fe80::21c:c0ff:fe38:97a9/64 Scope:Link
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:47321279 errors:0 dropped:0 overruns:0 frame:0
TX packets:42781684 errors:0 dropped:0 overruns:0 carrier:0

===IPerf===

IPerf http://www.noc.ucf.edu/Tools/Iperf/ tarkvaraga saab mõõta kahe arvuti vahelise võrguühenduse jõudlust.

====TCP====

Vaikimisi kasutatakse TCP protokolli, näide: kaks masinat klient 192.168.1.2 ja server 192.168.1.3

Server

# iperf -s
------------------------------------------------------------
Server listening on TCP port 5001
TCP window size: 85.3 KByte (default)
------------------------------------------------------------
[ 4] local 192.168.1.3 port 5001 connected with 192.168.1.2 port 32054
[ ID] Interval Transfer Bandwidth
[ 4] 0.0-10.0 sec 826 MBytes 692 Mbits/sec

klient

# iperf -c 192.168.1.3
------------------------------------------------------------
Client connecting to 192.168.1.2, TCP port 5001
TCP window size: 32.5 KByte (default)
------------------------------------------------------------
[ 3] local 192.168.1.2 port 32054 connected with 192.168.1.3 port 5001
[ ID] Interval Transfer Bandwidth
[ 3] 0.0-10.0 sec 826 MBytes 693 Mbits/sec

Soovides täpsemat andmehulka ette anda tuleb täpsustada kasutades võtit '-l'

Vaikimisi kestab test 10 sekundit, soovides seda ajaakent suurendada tuleb kasutada võtit '-t'

# iperf -t 60 -c 192.168.1.3

Täpsem jooksev statistika

# iperf -c 192.168.1.2 -w 400k -P 2 -i 1
Client connecting to 192.168.1.2, TCP port 5001
TCP window size: 400 KByte
------------------------------------------------------------
[ ID] Interval Transfer Bandwidth
[SUM] 0.0- 1.0 sec 1.06 GBytes 9.07 Gbits/sec
[SUM] 1.0- 2.0 sec 1.08 GBytes 9.30 Gbits/sec
[SUM] 2.0- 3.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 3.0- 4.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 4.0- 5.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 5.0- 6.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 6.0- 7.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 7.0- 8.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 8.0- 9.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 9.0-10.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 0.0-10.0 sec 11.4 GBytes 9.75 Gbits/sec

Vaikimisi kestab test 10 sekundit -t parameetriga saab muuta, lisaks saab muuta -i parameetriga statistika kuvamise intervalli.

====UDP====

UDP protokolli kasutamiseks tuleb lisaks kasutada kliendi ja serveri poolel lisaks suvandit -u, kusjuures UDP puhul on kiiruse piirang vaikimisi 1 Mbit/s. Kiirust saab täpsustada suvandiga -b 1000M, nt

# iperf -s -u
# iperf -c 192.0.0.118 -t 600 -i 10 -l 1472 -b 20M -u

====IPv6====

IPv6 kasutamiseks tuleb serveri ja kliendi poolel lisaks kasutada suvandit, nt

server # iperf -V -s -u
klient # iperf -V -c 2a02:98:0:a07::a00:7bf -t 600 -i 10 -l 1452 -b 20M -u

kus

* ipv6 puhul on ip paketi kapsli overhead 40 baiti (erinevalt ipv4 20 baidist)
* udp kapsli overhead on 8 baiti
* -l 1452 puhul ei toimu veel fragmentimist, suurema väärtuse puhul tekivad tõenäoliselt fragmenditud paketid

===netstrain===

Programm netstrain paigaldamine toimub paketist

võimaldab tekitada ja jälgida võrgus tcp koormust. Ühes arvutis tuleb netstraind käivitada

# netstraind -4 1010
NetStrain 3.0 (c) 2002 Christoph Pfisterer <cp@chrisp.de>
Listening on 0.0.0.0 port 1010 using IPv4...
One-shot server waiting for connection
Incoming connection from 172.16.3.254 port 5606

ning teisest pöörduda

# netstrain -4 172.16.3.251 1010 both
NetStrain 3.0 (c) 2002 Christoph Pfisterer <cp@chrisp.de>
Looking up hostname 172.16.3.251...
Connecting to 172.16.3.251 port 1010 using IPv4...
Connected
sent: 6450M, 10589.2K/s total, 10586.8K/s current
recv'd: 6252M, 10264.4K/s total, 10286.5K/s current

===ipcalc ja ipv6calc===

ipcalc on paketist paigaldatav pisike utiliit, millega saab nö võrke arvutada. Näiteks küsida milline on kaheksane subnet kuhu kuulub ip aadress 192.168.2.201

# ipcalc 192.168.2.201/29
address : 192.168.2.201
netmask : 255.255.255.248 (0xfffffff8)
network : 192.168.2.200 /29
broadcast : 192.168.2.207
host min : 192.168.2.201
host max : 192.168.2.206
hosts/net : 6

===sipcalc===

sipcalc (IP subnet calculator) programmiga saab arvutada IPv4 ja IPv6 võrguaadresse, nt

$ sipcalc -a 2a01:88:0:21::2
-[ipv6 : 2a01:88:0:21::2] - 0

[IPV6 INFO]
Expanded Address - 2a01:0088:0000:0021:0000:0000:0000:0002
Compressed address - 2a01:88:0:21::2
Subnet prefix (masked) - 2a01:88:0:21:0:0:0:2/128
Address ID (masked) - 0:0:0:0:0:0:0:0/128
Prefix address - ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff
Prefix length - 128
Address type - Aggregatable Global Unicast Addresses
Network range - 2a01:0088:0000:0021:0000:0000:0000:0002 -
2a01:0088:0000:0021:0000:0000:0000:0002

[V4INV6]
Expanded v4inv6 address - 2a01:0088:0000:0021:0000:0000:0.0.0.2
Compr. v4inv6 address - 2a01:88:0:21::0.0.0.2

[IPV6 DNS]
Reverse DNS (ip6.arpa) -
2.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.1.2.0.0.0.0.0.0.8.8.0.0.1.0.a.2.ip6.arpa.

===httping===

httping programmiga saab esitada http päringuid eesmärgiga jälgida veebiserveri vastuste andmist, kusjuures nt on võimalik täpsustades, kas esitatakse GET või HEAD päringuid või millise sagedusega päringuid esitatakse. Nt võiks toimuda programmi kasutamine selliselt

$ httping -s -S -i 2 -r -g http://www.loomaaed.tartu.ee/loomafail.cgi
PING www.loomaaed.tartu.ee:80 (http://www.loomaaed.tartu.ee/loomafail.cgi):
connected to www.loomaaed.tartu.ee:80, seq=0 time=11.99+501.00=512.99 ms 200 OK
connected to www.loomaaed.tartu.ee:80, seq=1 time=10.20+475.94=486.14 ms 200 OK
connected to www.loomaaed.tartu.ee:80, seq=2 time=9.71+471.03=480.74 ms 200 OK
connected to www.loomaaed.tartu.ee:80, seq=3 time=10.88+420.74=431.62 ms 200 OK
connected to www.loomaaed.tartu.ee:80, seq=4 time=9.99+336.93=346.92 ms 200 OK

kus on kasutatud võtmeid

* -s - esitab http päringu vastuse nn http koodi, st 200, 403, 404, 500 jne
* -S - esitab vastuses eraldi tcp ühenduse moodustamiseks ja vastuse saamiseks kulunud aja
* -i - päringuid esitamise intervall sekundites
* -r - nimelahendus sooritatakse vaid üks kord
* -g - esitatakse GET päringuid, vaikimisi esitatakse HEAD päringuid

Üks abiks httping programmi kasutusjuht võiks olla näiteks veebikoha koormustesti ajal jälgida milline nö tavakasutaja jaoks võiks kõnealuse veebikoha kättesaadavus.

https teenuse jälgimiseks sobib öelda

$ httping -G -l -g "/index.html" -h 192.168.10.12

* -l - pöörduda https abil

===tcpstat===

Vahel on selle programmi kasutamine muutnud süsteemi ebastabiilseks, tõenäoliselt on seoses konkreetselt kasutuses oleva riistvaraga. Muidu aga võimaldab ta jälgida tingimustele vastava andmevahetuse kiirust

# tcpstat -i vlan13 -o "Time:%S\tn=%n\tavg=%a\tstddev=%d\tBaitspersecond=%B\n" -f "tcp and host 192.168.110.149" 10

kus

* -i - võrguseade
* -o - väljundi formaat
* -f - nö tcpdump formaadis filter
* 10 - väljundi esitamise intervall, kusjuures kui andmeid ei ole, siis intervalli möödudes nö nulle ei esitata

===tcptrace===

tcptrace on üks paljudest programmidest, millega esitada salvetatud võrguliikluse kohta ülevaatlikke andmeid, võimalik, et programmi kõige olulisem väärtus on pedagoogiline väärtus

$ tcptrace -l tt.log
1 arg remaining, starting with 'tt.log'
Ostermann's tcptrace -- version 6.6.1 -- Wed Nov 19, 2003

54 packets seen, 54 TCP packets traced
elapsed wallclock time: 0:00:00.007053, 7656 pkts/sec analyzed
trace file elapsed time: 0:00:02.787589
TCP connection info:
1 TCP connection traced:
TCP connection 1:
host a: moraal.auul:52081
host b: ftp.loomaaed.tartu.ee:22
complete conn: yes
first packet: Sat Oct 10 12:56:15.713740 2009
last packet: Sat Oct 10 12:56:18.501330 2009
elapsed time: 0:00:02.787589
total packets: 54
filename: tt.log
a->b: b->a:
total packets: 30 total packets: 24
ack pkts sent: 29 ack pkts sent: 24
pure acks sent: 14 pure acks sent: 7
sack pkts sent: 0 sack pkts sent: 0
dsack pkts sent: 0 dsack pkts sent: 0
max sack blks/ack: 0 max sack blks/ack: 0
..
data xmit time: 2.547 secs data xmit time: 2.547 secs
idletime max: 1141.1 ms idletime max: 1151.3 ms
throughput: 1291 Bps throughput: 1072 Bps

===Wireshark===

Tarkvara Wireshark eelised avalduvad tema ülevaatlikkust võimaldavas graafilises kasutajaliideses, kus on võimalus

* liiklust filtreerida nt otspunktide ip aadresside, protokolli vms parameetrite alusel
* saab hõlpsasti eristada liiklusest tcp sessioone
* saab ülevaatlikult näha paketi kapseldust OSI kihtide mõttes

'''Lihtne wiresharki kasutusjuhus tööarvutis'''

Käivita wireshark programm. Vajuta nupule "List available capture interfaces..." (tööriistariba kõige vasakpoolsem nupp) ja seejärel võib alustada pakettide püüdmist soovitud võrguaadressil. Pakettide püüdmise lõpetab nupp "Stop the running live capture".

Kui võrguliiklust on palju, võib wiresharki väljund tulla liiga kirju. Otsitava informatsiooni väljafiltreerimiseks võib kasutada erinevaid filtreid (trükkida Wiresharki filtriribale):

* ip.addr == 192.168.1.253 - Näitab ainult pakette, mis kas pärinevad või on suunatud antud aadressile
* tcp.port == 22 - Näitab ainult pakette, mis kas pärinevad või on suunatud TCP porti 22
* !(udp.port == 80) - näitab ainult pakette, mille src ega dst pooles ei esine port 80

Erinevaid filtreid saab kombineerida loogiliste tehetega: &&, ||, !

Wireshark kasutamist on keerukamatel juhtudel mõistlik korraldada nii, et tulemüüris/serveris salvestatakse liiklus tcpdump abil faili ning see fail kopeeritakse töökohaarvutisse kuhu on paigaldatud Wireshark. Wireshark kasutajaliides näeb välja selline, antud juhul on kuulatud pealt liiklust tulemüürist ftp.aso.ee arvutiga

# tcpdump -n -i eth0 -s 1600 -w /tmp/ftp.aso.ee.log host ftp.aso.ee

Seejärel on käivitatud wireshark

linux$ wireshark ftp.aso.ee.log

Wiresharkis on filtreeritud välja ainult liiklus ftp.aso.ee arvutiga (kui seda praktiliselt pole ka vaja filtreerida, kuna ainult seda kuulatigi tcpflow'ga). Allolevalt pildilt on näha kuidas Wireshark esitab väljundit kolmas üksteise kohal paiknevas raamis

# ülemises raamis on esitatud filtreeritud 10 paketti, järjekorranumber, aeg, lähte ja siht aadress, protokoll ja muu info
# keskmises raamis esitatakse ülemises raamis ära märgitud paketi kapseldatud koosseis, on näha ISO kihid kusjuures wireshark interpreteerib lisaks paketi nn payloadis olevaid andmeid
# alumises raamis on esitatud paketi sisu kõrvuti kahes tulbas, 16nd süsteemis ning võimalusel vastavad ascii sümbolid, kusjuures keskmises raamis märgitule on ära vastav osa ära tähistatud

[[Pilt:Wireshark-ftp.aso.ee.log-1.gif]]

Näiteks võib antud juhul jälgida kuidas ühenduse loomiseks ja lõpetamiseks on vahetatud vastavalt kolm ja kolm paketti, ning sisuliste andmete vahetamiseks on kokku saadetud neli paketti. Välja arvatud erijuhud üldiselt ongi nii, et andmevahetusel osapooled saadavad üksteisele samas suurusjärgus pakette, isegi kui tegu on sisuliselt ühesuunalise andmevahetusega. Ja eriliselt võiks antud juhul tähele panna, et tcp ühenduse sees saadetakse andmeid mõlemas suunas.

Antud juhul kuuluvad juba tcpdump abil salvestatud ühte tcp sessiooni, kuid wiresharkil on võimalus suuremat hulgast pakettidest välja filtreerida ka ühe tcp sessiooni. Selleks tuleb ülemises raamis valida mingi paketi peal olles hiire parema nupuga avanevast hüpikmenüüst 'Follow TCP Stream' ning esitakse sessioonis toimunud http get päringu sisu ja vastuse sisu

[[Pilt:Wireshark-ftp.aso.ee.log-2.gif]]

====editcap ja mergecap kasutamine====

editcap programmiga saab varem salvestatud pcap formaadis faili osadeks jagada, nt pakettide arvu järgi, tulemusena tekivad osad* nimelised failid

# editcap -c 100 tcp.log osad

mergecap programmiga saab pcap formaadis osad ühendada kokku üheks failiks, nt

# mergecap -w tcp-kokkuyhendatud.log osad*

====capinfos====

Salvestatud pcap faili kohta saab küsida capinfos programmiga, nt

# capinfos tcp.log
File name: tcp.log
File type: Wireshark/tcpdump/... - libpcap
File encapsulation: Ethernet
Number of packets: 1000
File size: 590818 bytes
Data size: 592758 bytes
Capture duration: 6 seconds
Start time: Sat Oct 22 20:06:11 2011
End time: Sat Oct 22 20:06:16 2011
Data byte rate: 106709.45 bytes/sec
Data bit rate: 853675.63 bits/sec
Average packet size: 592.76 bytes
Average packet rate: 180.02 packets/sec

====RSA võtmevahetusega SSL liikluse dekrüptimine====

* http://wiki.wireshark.org/SSL
* http://wirewatcher.wordpress.com/2010/07/20/decrypting-ssl-traffic-with-wireshark-and-ways-to-prevent-it/

===tcpbench===

OpenBSD nn baas sisaldab tcpbench utiliiti, mille abil saab otsekoheselt testida kahe OpenBSD arvuti vahelist võrguühendust. Utiliidi kasutamisel hakkab klient serverisse kopeerima maksimaalse võimaliku suurusega tcp pakette, tegevuse käigus esitavad klient ja server programmi väljundis toimuvat andmevahetust iseloomustavat infot

server# tcpbench -s
pid elapsed_ms bytes Mbps
25537 1009 20811800 165.009
25537 2009 20610544 165.049
25537 3013 20230168 161.197
25537 closed by remote end

klient# tcpbench 192.168.10.8
pid elapsed_ms bytes Mbps
2628 1026 20990016 163.665
2628 2008 20460296 166.683
2628 3037 20230168 157.433
^Ctcpbench: Terminated by signal 2

===ssldump===

ssldump võimaldab SSL/TLS liiklust analüüsida, tarkvara paigaldamiseks tuleb öelda Debian keskkonnas

# apt-get install ssldump

FreeBSD's asub pakett net/ssldump

ja kasutamiseks nt

# ssldump -i eth0 -d port 993
New TCP connection #1: moraal.auul(49305) <-> smtp.loomaaed.tartu.ee(993)
1 1 0.0100 (0.0100) C>S Handshake
ClientHello
Version 3.1
resume [32]=
9c 5e 98 a5 0c 7a e1 f6 59 70 cb 42 ff 7e d0 2c
0c d6 03 57 34 e5 01 74 4e 4f fb 70 3b a5 61 02
cipher suites
Unknown value 0xc00a
TLS_RSA_WITH_RC4_128_MD5
TLS_RSA_WITH_RC4_128_SHA
TLS_RSA_WITH_3DES_EDE_CBC_SHA
...
compression methods
NULL
1 2 0.0342 (0.0242) S>C Handshake
ServerHello
Version 3.1
session_id[32]=
9c 5e 98 a5 0c 7a e1 f6 59 70 cb 42 ff 7e d0 2c
0c d6 03 57 34 e5 01 74 4e 4f fb 70 3b a5 61 02
cipherSuite Unknown value 0x35
compressionMethod NULL
1 3 0.0342 (0.0000) S>C ChangeCipherSpec
1 4 0.0342 (0.0000) S>C Handshake
1 5 0.0349 (0.0006) C>S ChangeCipherSpec
1 6 0.0349 (0.0000) C>S Handshake
1 7 0.0443 (0.0094) S>C application_data
1 8 0.0450 (0.0006) C>S application_data
1 9 0.0546 (0.0095) S>C application_data
..

kust on näha

* C>S, S>C - vastavalt kliendilt serveri ja serverilt kliendi suunal toimuv liiklus
* ClientHallo, ServerHallo, jt - kliendi ja serveri vahel toimub SSL ühenduse parameetrite kokkuleppimine
* application_data - antud juhul jääb ssldump jaoks sisuline andmevahetus ligipääsemata

Kui lisaks on kasutada ssl võtmed, siis saab teatud juhtumitel ka liikluse sisu debugida, nt https puhul

# cat www.loomaaed.tartu.ee.key www.loomaaed.tartu.ee.crt > www.pem
# ssldump -i eth0 -d -k www.pem port 443
..
1 10 0.0849 (0.0341) C>S application_data
---------------------------------------------------------------
GET /text.html HTTP/1.1
Host: 192.168.10.53
User-Agent: Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.9.0.14) \
Gecko/2009091010 Iceweasel/3.0.6 (Debian-3.0.6-3)
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: en-us,en;q=0.5
Accept-Encoding: gzip,deflate
Accept-Charset: ISO-8859-1,utf-8;q=0.7,*;q=0.7
Keep-Alive: 300
Connection: keep-alive
Pragma: no-cache
Cache-Control: no-cache

---------------------------------------------------------------
1 11 0.0857 (0.0007) S>C application_data
---------------------------------------------------------------
HTTP/1.1 200 OK
Date: Fri, 23 Oct 2009 06:32:59 GMT
Server: Apache/2.2.9 (Debian) mod_jk/1.2.26 mod_ssl/2.2.9 OpenSSL/0.9.8g
Vary: Accept-Encoding
Content-Encoding: gzip
Content-Length: 266
Keep-Alive: timeout=15, max=100
Connection: Keep-Alive
Content-Type: text/html; charset=iso-8859-1

Seejuures tuleb veebiserveris kasutada sobivat SSLCipherSuite väärtust, nt selline töötab nö natuke

SSLCipherSuite RSA:-HIGH:MEDIUM:-EXP:-DH

Kasutatud järgnevusele 'RSA:-HIGH:MEDIUM:-EXP:-DH' vastavaid väärtusi näeb

# openssl ciphers -v 'RSA:-HIGH:MEDIUM:-EXP:-DH'
DES-CBC-SHA SSLv3 Kx=RSA Au=RSA Enc=DES(56) Mac=SHA1
RC4-SHA SSLv3 Kx=RSA Au=RSA Enc=RC4(128) Mac=SHA1
RC4-MD5 SSLv3 Kx=RSA Au=RSA Enc=RC4(128) Mac=MD5
NULL-SHA SSLv3 Kx=RSA Au=RSA Enc=None Mac=SHA1
NULL-MD5 SSLv3 Kx=RSA Au=RSA Enc=None Mac=MD5
DES-CBC-MD5 SSLv2 Kx=RSA Au=RSA Enc=DES(56) Mac=MD5
RC2-CBC-MD5 SSLv2 Kx=RSA Au=RSA Enc=RC2(128) Mac=MD5
RC4-MD5 SSLv2 Kx=RSA Au=RSA Enc=RC4(128) Mac=MD5

Lisaks saab ssldump jaoks kaustada tcpdump abil kogutud pcap faili (eriti see on -s 0 võtmega salvestatud)

$ ssldump -r failinimi.pcap

===ICMP redirect===

Olgu selliste ruutingutega olukord

....
|
_|_ tulemüür
| | vaikelüüs, kus on kirjeldatud staatiline ruuting 192.168.201.0/24 -> 192.168.2.201
|___| 192.168.2.1
192.168.2.0/24 |
--|-------------------|--------------|--
_|_ _|_
| | 192.168.2.30 | | 192.168.2.201
|___| host-1 |___| ruuter-2
|
| 192.168.201.0/24
-----|-------------------------|---
_|_
| | 192.168.201.30
|___| host-2

ICMP redirect http://en.wikipedia.org/wiki/ICMP_Redirect_Message sõnumiga juhatab tulemüür host-1 pöörduma host-2 poole läbi ruuter-2 seadme.

09:42:25.399922 192.168.2.1 > 192.168.2.30: icmp: redirect 192.168.201.30 to host 192.168.2.201

Parasjagu kehtivad redirectid ei ole paista linux hostis ei nö tavalistes arp ega route andmebaasides, vaid

# cat /proc/net/rt_cache

Sissekande kustutamiseks tuleb vastav ruuting eemaldada ja tagasi tekitada, näiteks.

===ARP flux===

Olgu üks arvuti on oma kahe füüsiliste võrguseadmega ühendatud sama etherneti peale ning seal ethernetis on veel teisi arvuteid

--|--|---------------------------|----------------
eth0 _|__|_ eth1 _|_
10.0.2.30 | | 192.168.2.30 | | 192.168.2.201
|______| |___|

host-1 host-2

Tundub, et reeglina käituvad 2011 aastal Linux distributsioonide tuumad selliselt, et joonisel kujutatud ühenduse puhul vastab host-2 poolt aadressile 192.168.2.30 tehtud arp päringule host-1 kahe arp vastusega, kummagi ethernet seadme mac aadressiga, kusjuures host-2 kasutab esimesena kohale jõudnud vastust järgnevaks andmevahetuseks. Selline olukord põhjustab selles mõttes segadust, et kui host-1 võrguseadmed on sarnaste omadustega, siis vahel kasutab host-2 ühe ja vahel teise ethernet seadme mac aadressi ning liiklus käib vastavalt läbi ühe või teise host-1 võrguseadme (lisaks võib ka nii olla, et ühes suunas liiguvad paketid läbi host-1 eth0 ja teises suunas läbi eth1 seadme). Kui host-1 peal ei ole paketifiltrit seadistatud, siis seal töötavate rakenduste jaoks andmevahetus töötab, kuid nt võrgu debugimine on raskendatud.

Selleks, et host-2 arp päringule vastaks host-1 vaid selle mac aadressiga, millele vastava võrguseadme kaudu toimuks ip mõttes korrektne ruuting sobib öelda host-1 arvutis

# sysctl -w net.ipv4.conf.all.arp_filter=1

Kasulikud lisamaterjalid

* http://linux-ip.net/html/ether-arp.html
* http://robertlathanh.com/2009/08/two-subnetworks-on-one-lan-and-linux-arp_filter/
* http://www.embedded-bits.co.uk/tag/arp_filter/

===tcpkill===

tcpkill programmi abil saab ühenduse osapoolele saata sobiva RST paketi eesmärgiga ühendus lõpetada, tarkvara paigaldamiseks tuleb nt Debian Lenny keskkonnas paigaldada pakett dsniff

# apt-get install dsniff

ja kasutamiseks öelda

# tcpkill -i eth0 port 80 and host ftp.loomaaed.tartu.ee

Tulemusena jääb tcpkill käima arvuti eth0 seadmel ja tegeleb näidatud regulaaravaldisega klappivate ühendustega.

===lsof===

Kasutaja priit (-u priit) programmiga Firefox (-c firefox-bin) seotud võrguühenduste (-i) esitamine

$ lsof -n -a -u priit -c firefox-bin -i
COMMAND PID USER FD TYPE DEVICE SIZE NODE NAME
firefox-b 22322 priit 51u IPv4 1870238 TCP 192.168.10.10:53360->113.184.32.83:https (ESTABLISHED)
firefox-b 22322 priit 72u IPv4 1870025 TCP 192.168.10.10:35441->74.125.43.100:www (ESTABLISHED)
firefox-b 22322 priit 73u IPv4 1870035 TCP 192.168.10.10:53903->74.125.10.213:www (ESTABLISHED)

kus

* -n - mitte teisendada ip aadresse nimedeks
* -a - järgnevad muud suvandid loogiliselt korrutada
* PID - protsessi ID

Pordile vastava protsessi küsimine

# lsof -i :514
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
syslogd 6628 _syslogd 4u IPv4 0xfffffe803f51d000 0t0 UDP *:syslog

Kasulikud lisamaterjalid

* http://ph7spot.com/musings/leveraging-lsof

===strace===

strace kasutusala on laiem, kuid seoses võrguga on tal samuti rakendus, nt esitada jooksvalt protsessiga seotud võrgu syscallid, 4940 on w3m brauseri protsess

# strace -e trace=network -p 4940
...
socket(PF_NETLINK, SOCK_RAW, 0) = 4
bind(4, {sa_family=AF_NETLINK, pid=0, groups=00000000}, 12) = 0
getsockname(4, {sa_family=AF_NETLINK, pid=4940, groups=00000000}, [12]) = 0
...

===Arpwatch===

Võimaldab jälgidan võrgus liikuvaid ARP teateid ning avastada ARP tabeli mürgitamisjuhtumeid

Koduleht
*http://ee.lbl.gov/
arbi mürgitamise täpselt toimimine ja selle takistamine
*http://shsc.info/ARPPoisoning
Mõned võrguhaldurile abiks skriptid
*http://blog.stardothosting.com/2009/05/01/detect-arp-poisoning-on-lan/

===Ettercap===

Ettercap http://ettercap.sourceforge.net/ tarkvara võimaldab kohtvõrgus korraldada MITM tüüpi ründeid ja seejuures kontrollida kui tundlik kohtvõrk on selliste rünnete suhtes sh kas need avastatakse. Ettercap kasutab oma tööks põhiliselt arp-mürgitamist (ingl. k. arp poisoning). Tarkvara paigaldamiseks on tavaliselt piisav paigalda operatsioonisüsteemi paketihaldusvahenditega ettercap nimeline pakett. Ettercap programmi saab käivitada kolme erineva kasutajaliidesega

* käsurealt -ettercap -T
* curses liidesega - ettercap -C
* gtk gui liidesega - ettercap -G

Kasulikud lisamaterjalid

* http://en.wikipedia.org/wiki/Ettercap_%28computing%29
* http://openmaniak.com/ettercap.php

===Scapy===

Scapy http://www.secdev.org/projects/scapy/ abil saab töötada pakettidega. Tarkvarale on tehtud Python keeles ja sellele on iseloomulik, et saab nö programmeerimise võtteid kasutades nt koostada sobiva sisuga paketi ja saata võrku; seejärel saab käsitleda sarnaselt vastuseks tulnud paketti. Scapy sisaldab mitmeid lisasid, nt saab lasta esitada graafiliselt traceroute tulemuse. Tarkvara paigaldamiseks sobib paigaldada nt Debian Squeeze all pakett python-scapy

# apt-get install python-scapy

Lisaks on vajalikud

# apt-get install tcpdump graphviz imagemagick

Interaktiivselt käivitamiseks tuleb öelda

# scapy
...
Welcome to Scapy (2.1.0)
>>> res,unans = traceroute(["www.eesti.ee", "www.eenet.ee"],dport=[80,443],maxttl=20,retry=-2)
..
>>> res.graph()

Tulemusena esitatakse sarnane pilt

[[Pilt:Scapy-1.gif]]

Scapy sisaldab mitmeid funktsioone, millega pakette moodustada, neid välja saata ning vastuseid lugeda

* ICMP paketi saatmine

>>> send(IP(dst="192.168.10.123")/ICMP())

* DNS päringu esitamine

>>> sr(IP(dst="10.192.0.53")/UDP()/DNS(rd=1,qd=DNSQR(qname="www.loomaaed.tartu.ee")))

* etteantud subnetti kuuluva juhusliku src aadressiga pakettide saatmine

>>> send(IP(src=RandIP("192.168.10.0/24"), dst="10.192.0.53")/TCP(dport=80,flags="S"), loop=1)

===Socat===

* Pordi edasisuunamine

# socat TCP-LISTEN:8888,fork TCP:192.168.1.4:80

* pordi edasisuunamine lokaalselt (mida tavaliselt tehakse paketifiltri abil)

# socat TCP-L:2323 TCP:localhost:22

* unixi soketi ühendamine interneti soketiga, kuulaku unix soketil MySQL ning peab saama hakata pöörduma MySQL poole üle võrgu arvuti mõnel ip aadressil, port 3308

# socat -v tcp-l:3308,bind=192.168.10.10,reuseaddr,fork unix:/var/run/mysqld/mysqld.sock

* remote shell (nt sellepärast võiks pigem olla serverite pordid tulemüürist vaikimisi blokeeritud), EXEC täidetakse kliendi pöördumisel

server:~$ socat TCP-LISTEN:2323,reuseaddr,fork EXEC:/bin/bash

ja vastav klient

$ socat STDIO TCP:server-loomaaed:2323
hostname -f
server.loomaaed
...

* PostgreSQL soketi suunamine üle võrgu

tookohaarvuti$ socat "UNIX-LISTEN:/tmp/.s.PGSQL.5432,reuseaddr,fork" \
EXEC:'ssh postgres@192.168.1.105 socat STDIO UNIX-CONNECT\:/var/run/postgresql/.s.PGSQL.5432'

kasutamiseks öelda, kusjuures EXEC täidetakse, st ssh ühendus käivitatakse alles psql kliendi abil pöördumisel

tookohaarvuti$ psql -h /tmp -U postgres

Faili sisu esitamiseks üle võrgu, kasutamiseks nt netcat abil pöörduda

$ socat -u FILE:/opt/suricata/var/log/suricata/eve.json,ignoreeof TCP4-LISTEN:12345,fork,reuseaddr

Kasulikud lisamaterjalid

* http://technostuff.blogspot.com/2008/10/some-useful-socat-commands.html
* http://jdimpson.livejournal.com/6534.html
* http://www.debian-administration.org/users/dkg/weblog/68

===vnstat===

Tarkvara paigaldamiseks sobib öelda nt

# apt-get install vnstat

Kasutamine paistab välja nt selline

# vnstat -l
Monitoring eth0... (press CTRL-C to stop)

rx: 0 kbit/s 1 p/s tx: 0 kbit/s 0 p/s^C

eth0 / traffic statistics

rx | tx
--------------------------------------+------------------
bytes 385.08 MiB | 990.42 MiB
--------------------------------------+------------------
max 88.19 Mbit/s | 227.04 Mbit/s
average 57.36 Mbit/s | 147.52 Mbit/s
min 0 kbit/s | 0 kbit/s
--------------------------------------+------------------
packets 4588718 | 3670125
--------------------------------------+------------------
max 128266 p/s | 102612 p/s
average 83431 p/s | 66729 p/s
min 1 p/s | 0 p/s
--------------------------------------+------------------
time 55 seconds

kus

* rx, tx - vastavalt saabumised ja väljumised
* bytes, packet - andmete mahu ja pakettide arvu järgi

===iptstate===

iptstate kasutab kerneli conntrack sistemat ja esitab võrguliikluse kohta andmeid, tarkvara paigaldamiseks

# apt-get install iptstate

Kasutamiseks peab olema laaditud nt ip_conntrack moodul

# modprobe ip_conntrack

Käivitamiseks öelda

# iptstate

ja paistab sarnane pilt

TODO

Tundub, et samad andmed on teksti kujul esitatavad selliselt

# cat /proc/net/ip_conntrack

===tcptrack===

Programm tcptrack annab top väljundi sarnase ülevaate toimuvatest tcp ühendustest. Paigaldamiseks sobib öelda

# apt-get install tcptrack

Kasutamiseks nt

# tcptrack -i eth0 -r 10 port 80

ja paistab selline pilt

TODO

===conntrack===

# modprobe nf_conntrack_ipv4
# conntrack -p tcp --dport 80 -E -e NEW | pv -l -i 1 -r > /dev/null

===Kasulikud lisamaterjalid===

* Soovides muide teada mis ISP omandusse mingi ip kuulub tasub kasutada aadress http://www.ip-adress.com/ip_tracer/'''<IP>'''
* http://www.linuxfoundation.org/collaborate/workgroups/networking/netem
* http://tools.netsa.cert.org/silk/docs.html

Võrgudiagnostika

2018-01-21T16:44:40Z

Imre: /* IPerf */

===Sissejuhatus===

Käesolev tekst on esitatud oma võrgu ja tulemüüride ning tcp/ip protokolli paremaks tundmaõppimiseks.
Ühtlasi tutvustatakse programme, millega saab uurida, kas võrk töötab ning kui, siis kuidas see töötab. Näiteks hinnata andmevahetuskiirusi, kuulata Ethernetti pealt ja uurida millised pordid on serveritel lahti.

Ilmselt saab allpool esitatud õpetusi kasutada nii hea-kui kuritahtlikul eesmärgil, manitseme seda tegema mitte kuritahtlikult. Tavaliselt on tuvastatav, kust tehakse ping floodi või nmapiga masinad skanneeritakse.

Reeglina tuleb esitatud programme kasutada juurkasutajana. Näiteks toodud viiba järgi saab teada, kas programm on kasutatav ka tavakasutaja ($) või ainult juurkasutaja (#) õigustes.

===Võrguseadmed===

Käesoleva teksti tähenduses mõeldakse võrguseadme all arvuti füüsilist või loogilist võrguseadet, nt

* füüsiline võrguseade - Linux puhul wlan0, eth0, eth1 jne; BSD puhul nt em0, bnx0 jne
* lokaalne võrguseade - Linux puhul lo; BSD puhul lo1, lo2
* sild - Linux puhul nt br0, br1; BSD puhul bridge0
* VLAN seade - Linux puhul nt vlan513, BSD puhul vlan513

Võrguseadmete jälgimisel tuleb arvestada, et arvuti kohalik liiklus toimub üle lokaalse võrguseadme, kusjuures ka juhtumil kui arvuti eth0 seadmele on omistatud nt aadress 192.168.1.15 ning arvutist pöördutakse selle aadressi poole.

===tcpdump===

Programm tcpdump (kuulub paljude operatsioonisüsteemide tarkvara põhiosa koosseisu) abil saab nö kuulata võrguseadmel pealt liiklust. Tulemust võib salvestada fail täies mahus või esitada ip paketti puudutavaid huvipakkuvaid andmeid programmi standardväljundisse. Oluline on tähele panna, et tcpdump kuulab liiklust seadel, st sisenevad paketid paistavad nii nagu nad olid enne RDR-teisendust ning väljuvad paketid on sellised nagu nad on peale NAT-teisendust.

tcpdump programmiga saab filtreerida liiklust selliste standardsete tunnuste järgi

* protokoll (nt icmp, tcp, udp, arp)
* andmevahetuse lähte ja sihtpunkti ip aadress
* andmevahetuse lähte ja sihtpunkti port
* ip paketi lippude järgi (nt salvestada vaid SYN pakette)
* paketi suurus

OpenBSD puhul lisanduvad järgmised võimalused

* paketifiltri reegli number, ''
* paketifiltri reegline määratud tegevus (pass, block, nat, rdr jt ning logitud liiklus)

Pakettide korjamise alustamiseks kindlalt võrguseadmelt

# tcpdump -i ed0

Oletame, et kahtlustame broadcast pakette ning seda, et nad
aeglustavad võrgutööd:

# tcpdump -i ed0 broadcast

Uurime kahe masina vahelist liiklust

# tcpdump -i ed0 host klient and server

Veel täpsep on vaadata

# tcpdump -i ed0 src host klient and dnst host server

Kõigi arvuti võrguseadmete peal töötamiseks sobib öelda

# tcpdump -i any ...

====ICMP====

Kui näiteks on kahtlusi kas kaks arvutit, 192.168.10.210 ja 192.168.10.11 (vastav võrguseade olgu em0) näevad üksteist, siis tuleks arvutis 192.168.10.210 öelda

# ping 192.168.10.11
PING 192.168.10.11 (192.168.10.11): 56 data bytes
64 bytes from 192.168.10.11: icmp_seq=0 ttl=64 time=0.422 ms
64 bytes from 192.168.10.11: icmp_seq=1 ttl=64 time=0.306 ms

ning teises arvutis võrguseadmel em0 ICMP protokolli filtreerimiseks tuleb öelda

# tcpdump -nettti em0 icmp
tcpdump: listening on em0, link-type EN10MB
May 19 16:23:10.480585 00:0e:0c:ba:4b:3e 00:16:3e:6a:0c:4b 0800 98: 192.168.10.210 > 192.168.10.11: icmp: echo request
May 19 16:23:10.480829 00:16:3e:6a:0c:4b 00:0e:0c:ba:4b:3e 0800 98: 192.168.10.11 > 192.168.10.210: icmp: echo reply
May 19 16:23:11.490525 00:0e:0c:ba:4b:3e 00:16:3e:6a:0c:4b 0800 98: 192.168.10.210 > 192.168.10.11: icmp: echo request
May 19 16:23:11.490639 00:16:3e:6a:0c:4b 00:0e:0c:ba:4b:3e 0800 98: 192.168.10.11 > 192.168.10.210: icmp: echo reply

Väljundina esitatakse

* paketi jälgimise aeg (-ttt, vt man tcpdump -t erinevaid variante)
* kummagi poole MAC aadressid (-e)
* paketi ethertype (-e, 0800 on ipv4 protokoll)
* ip paketi suurus baitides
* osaliste ip aadressid nimelahenduseta kujul (-n)
* paketi sisulisemad andmed, antud juhul on tegu icmp echo pärginute ja vastustega

Antud juhul saab järeldada, et võrguühendus arvutite vahel on olemas. St kuigi ping ise näitab väljundit annab teises arvutis võrgu pealtkuulamine täieliku kinnituse, et paketid just sinna välja jõuavad.

====TCP====

tcpdump võimaldab kasutada avaldisi, millega peab pakett klappima, nt SYN pakettide jälgmiseks

# tcpdump -n -i em0 'tcp[13] & 2 != 0' and dst 10.0.6.180 and port 80

TCP liikluse tõlgendamine

22:05:25.828149 10.50.96.138.50215 > 10.184.32.82.80: S 1263958777:1263958777(0) win 5840 \
<mss 1460,sackOK,timestamp 787576523 0,nop,wscale 6> (DF)
22:05:25.845445 10.184.32.82.80 > 10.50.96.138.50215: S 1989118317:1989118317(0) ack 1263958778 win 5792 \
<mss 1460,sackOK,timestamp 539529245 787576523,nop,wscale 6> (DF)
22:05:25.845896 10.50.96.138.50215 > 10.184.32.82.80: . ack 1 win 92 <nop,nop,timestamp 787576527 539529245> (DF)
22:05:25.845908 10.50.96.138.50215 > 10.184.32.82.80: P 1:134(133) ack 1 win 92 <nop,nop,timestamp 787576527 539529245> (DF)
22:05:25.856417 10.184.32.82.80 > 10.50.96.138.50215: . ack 134 win 108 <nop,nop,timestamp 539529249 787576527> (DF)
22:05:25.862904 10.184.32.82.80 > 10.50.96.138.50215: . 1:1449(1448) ack 134 win 108 <nop,nop,timestamp 539529249 787576527> (DF)
22:05:25.863286 10.50.96.138.50215 > 10.184.32.82.80: . ack 1449 win 137 <nop,nop,timestamp 787576532 539529249> (DF)
22:05:25.868800 10.184.32.82.80 > 10.50.96.138.50215: . 1449:2897(1448) ack 134 win 108 <nop,nop,timestamp 539529249 787576527> (DF)
22:05:25.869206 10.50.96.138.50215 > 10.184.32.82.80: . ack 2897 win 182 <nop,nop,timestamp 787576533 539529249> (DF)
22:05:25.878659 10.184.32.82.80 > 10.50.96.138.50215: . 2897:4345(1448) ack 134 win 108 <nop,nop,timestamp 539529253 787576532> (DF)
22:05:25.879036 10.50.96.138.50215 > 10.184.32.82.80: . ack 4345 win 227 <nop,nop,timestamp 787576536 539529253> (DF)
...

kus

* esimene rida vastab ühenduse algatamise SYN paketile
* mss 1460 - tcp maximum segment size väärtus, ütleb teisele poolele, kui suuri tcp pakette saata
* sackOK - selective acknowledgement on ok paketi saatja jaoks
* win 5840 - paketi saatja teatab paketi vastuvõtjale, et tal on puhvrit võtta ise pakette vastu 5840 baiti
* win 92 - kuna alguses lepiti kokku wscale=6, siis 92 tähendab 92 * 2^6 = 5888 baiti
* ack arv - loeb kui palju baite on paketi saatja teise poole käest vastu võtnud;
* DF - kõigil pakettidel on seatud don't fragment
* nop - not operating, sisuliselt kasutatakse paddinguks
* 1449:2897(1448) - sulgudes olev väärtus on tcp paketi sisu suurus baitides
* kasutades lisaks võtit -e esitatakse eraldi tulbas ethnerneti frame sees kantud protokolli nimi, nt ip ning vastava paketi suurus

====ARP====

Huvitav on tähele panna, et tcpdump tegeleb mitme protokolliga, nt ip (0800) ja arp (0806) protokolli pakettidega, mis on saadetud arp broadcast aadressile

# tcpdump -nei re0 ether host ff:ff:ff:ff:ff:ff
tcpdump: listening on re0, link-type EN10MB
11:00:49.928582 00:0e:0c:b0:96:b6 ff:ff:ff:ff:ff:ff 0800 210: 192.168.10.10.631 > 192.168.10.255.631: udp 168 (DF)
11:01:08.024422 00:16:3e:00:00:01 ff:ff:ff:ff:ff:ff 0800 249: 192.168.10.41.138 > 192.168.10.255.138: udp 207
11:01:26.338380 00:1b:21:1d:f6:06 ff:ff:ff:ff:ff:ff 0806 60: arp who-has 192.168.10.254 tell 192.168.10.250

Kui tcpdump väljundit on vaja saata toru kaudu mõne teksti töötlevale programmile edasi on asjakohane kasutada lisaks -l võtit, mis puhverdab rea kaupa, nt

# tcpdump -nlei re0 ether host ff:ff:ff:ff:ff:ff | grep 0806

====Liikluse salvestamine faili====

Selleks, et salvestada tulemus ka faili:

# tcpdump -i ed0 -w liiklus.log

Liikluse faili salvestamiseks sobib öelda nö tavalise MTU'ga (1,5 kBaiti) võrgus nt (-s 0 võti tähendab, et salvestatakse kõik paketi sisu suurusest hoolimata)

# tcpdump -s 1600 -w /tmp/liiklus.log -i em0 host 10.0.6.180 and port 80

Selliselt salvestatud liikluse analüüsimiseks sobib öelda nt

# tcpdump -r /tmp/liiklus.log

====IP====

Kui IP kihis leiab aset pakettide fragmenteerumine, siis paistab see tcpdump väljundis nt selliselt

23:43:36.802989 10.100.0.161.32545 > 10.100.1.190.80: S 3394332515:3394332515(0) win 16384 \
<mss 8960,nop,nop,sackOK,nop,wscale 0,nop,nop,timestamp 3055259272 0>
23:43:36.803982 10.100.1.190.80 > 10.100.0.161.32545: S 2791894032:2791894032(0) ack 3394332516 win 16384 \
<mss 8960,nop,nop,sackOK,nop,wscale 0,nop,nop,timestamp 313564159 3055259272>
23:43:36.805275 10.100.0.161.32545 > 10.100.1.190.80: . ack 1 win 16384 <nop,nop,timestamp 3055259272 313564159>
23:43:36.805527 10.100.0.161.32545 > 10.100.1.190.80: P 1:67(66) ack 1 win 16384 <nop,nop,timestamp 3055259272 313564159>
23:43:36.809486 10.100.1.190.80 > 10.100.0.161.32545: . 1:1449(1448) ack 67 win 17896 \
<nop,nop,timestamp 313564159 0> (frag 35143:1480@0+)
23:43:36.809503 10.100.1.190 > 10.100.0.161: (frag 35143:1480@1480+)
23:43:36.809515 10.100.1.190 > 10.100.0.161: (frag 35143:1480@2960+)
23:43:36.809527 10.100.1.190 > 10.100.0.161: (frag 35143:1480@4440+)
23:43:36.809539 10.100.1.190 > 10.100.0.161: (frag 35143:1480@5920+)
23:43:36.809554 10.100.1.190 > 10.100.0.161: (frag 35143:824@7400)
23:43:36.810014 10.100.1.190.80 > 10.100.0.161.32545: P 8193:9641(1448) ack 67 win 17896 \
<nop,nop,timestamp 313564159 0> (frag 46914:1480@0+)
23:43:36.810030 10.100.1.190 > 10.100.0.161: (frag 46914:1480@1480+)
23:43:36.810045 10.100.1.190 > 10.100.0.161: (frag 46914:1452@2960)
23:43:36.810157 10.100.1.190.80 > 10.100.0.161.32545: F 12573:12573(0) ack 67 win 17896 <nop,nop,timestamp 313564159 0>
23:43:36.813600 10.100.0.161.32545 > 10.100.1.190.80: . ack 8193 win 16384 <nop,nop,timestamp 3055259272 313564159>
23:43:36.813856 10.100.0.161.32545 > 10.100.1.190.80: . ack 12574 win 12004 <nop,nop,timestamp 3055259272 313564159>
23:43:36.816244 10.100.0.161.32545 > 10.100.1.190.80: F 67:67(0) ack 12574 win 16384 <nop,nop,timestamp 3055259272 313564159>
23:43:36.817042 10.100.1.190.80 > 10.100.0.161.32545: . ack 68 win 17896 <nop,nop,timestamp 313564159 0>

kus

* (frag 35143:1480@0+) - järgnevad IP fragmendid
* (frag 35143:824@7400) - viimane IP fragment kuna järel + märk puudub

ICMP pakettide puhul on fragmenteerimist veel otsekohesem jälgida, öeldes ühes aknas

# ping -c 1 -s 6000 192.168.209.245
PING 192.168.209.245 (192.168.209.245): 6000 data bytes
6008 bytes from 192.168.209.245: icmp_seq=0 ttl=56 time=74.206 ms

võib võrku pealt kuulates paista midagi sellist

22:30:44.799162 84.50.96.138 > 192.168..209.245: icmp: echo request (frag 36688:1480@0+)
22:30:44.799168 84.50.96.138 > 192.168..209.245: (frag 36688:1480@1480+)
22:30:44.799175 84.50.96.138 > 192.168..209.245: (frag 36688:1480@2960+)
22:30:44.799180 84.50.96.138 > 192.168..209.245: (frag 36688:1480@4440+)
22:30:44.799187 84.50.96.138 > 192.168..209.245: (frag 36688:88@5920)
22:30:44.872529 192.168.209.245 > 84.50.96.138: icmp: echo reply (frag 42199:1480@0+)
22:30:44.872674 192.168.209.245 > 84.50.96.138: (frag 42199:1480@1480+)
22:30:44.872774 192.168.209.245 > 84.50.96.138: (frag 42199:1480@2960+)
22:30:44.872899 192.168.209.245 > 84.50.96.138: (frag 42199:1480@4440+)
22:30:44.872913 192.168.209.245 > 84.50.96.138: (frag 42199:88@5920)

===ping===

Kuulub enamuse operatsioonisüsteemide pakettide hulka

Ping utiliidi abil saab hõlpasti veenduda, et kahe punkti vahel on füüsiliselt võrguühendus olemas. Ping kasutab andmevahetuseks ICMP (Internet Control Message Protocol) protokolli ja arusaadavalt ei tohi sellise kontrolli õnnestumiseks kahe punkti vahel olla ICMP protokolli kasutamine takistatud, täpsemini ICMP echo request ja ICMP echo reply sõnumite vahetamine.

Kasutamiseks tuleb ühes punktis öelda

# ping 192.168.10.11
PING 192.168.10.11 (192.168.10.11): 56 data bytes
64 bytes from 192.168.10.11: icmp_seq=0 ttl=64 time=3.922 ms
64 bytes from 192.168.10.11: icmp_seq=1 ttl=64 time=0.286 ms
64 bytes from 192.168.10.11: icmp_seq=2 ttl=64 time=0.274 ms
64 bytes from 192.168.10.11: icmp_seq=3 ttl=64 time=0.193 ms

Väljundist on näha, et pöördutud aadress vastab, vastused on järjekorras ja kadudeta saabunud ning vastuse saamise aeg on suhteliselt stabiilne. Võib järeldada, et võrk toimib.

Kasutades võtit -n ei püüa Ping lahendada nimesid, tihti seisneb võrgu nö mittetöötamine valesti konfigureeritud nimeserveris või nimeserveri mittekasutamises.

Pingimise intervalli võib ka vähendada järgnevalt:

# ping -i 0 -c 5 neti.ee

Silmas tasub ainult sel juhul pidada järgnevaid asju:

*flood ping (intervall 0) on masinate kiusamine, mõned tulemüürid võivad seda spetsiifiliselt detectida ja blokkida,
*mida lühem intervall, seda hüplikumaks muutub tulemus, pendeldades rohkem 100% ja 0% vahel,
*alla 1 sek intervalliga ping tuleb ruudu poolt käivitada.

===traceroute===

Samuti enamuse operatsioonisüsteemides leiduv programm

Traceroute utiliidi abil saab jälgida, millistest võrgusõlmedest käib kahe punkti vahel toimuv liiklus läbi. Traceroute kasutab andmevahetuseks vaikimisi UDP protokolli ning asjaolu, et kui IP pakett läbib võrgusõlme, siis vähendatakse päises olevat TTL väärtust ühe võrra kusjuures kui võrgusõlme jõuab pakett, mille TTL väärtus on üks, siis saadetakse tagasi ICMP vastus

icmp: time exceeded in-transit

UDP pakett saadetakse vaikimisi porti 33434 (eeldades, et sihtpunktiks olevas arvutis ei kuula seal teenust). Esimese paketi TTL on väärtusega 1 ning 'icmp: time exceeded in-transit' saadakse vaikelüüsilt. Järgmise paketi TTL seatakse 2 ning 'icmp: time exceeded in-transit' saadakse järgmises võrgu sõlmpunktis asuvalt ruuterilt jne kuni lõpuks UDP puhul saadakse sihtpunktilt vastuseks

icmp: 172.168.1.1 udp port 33443 unreachable

UDP asemel on võimalik kasutada ka ICMP või TCP protokolli, aga UDP annab praktikas kõige paremaid tulemusi. Toome näite kasutades ICMP protokolli kuna liiklust sisaldavas võrgus on tulemust nii parem näha ja esitada. Ütleme arvuti ühes promptis

# traceroute -n -q 1 -I cache.eenet.ee
traceroute to cache.eenet.ee (193.40.133.134), 64 hops max, 40 byte packets
1 195.80.102.33 0.494 ms
2 213.184.51.121 0.418 ms
3 194.116.188.19 0.524 ms
4 193.40.133.187 4.724 ms
5 193.40.133.134 3.760 ms

kus

* väljundis esitatakse järjekorras kõigi võrgusõlmede aadressid, mida pakett läbib sihtpunkti jõudmiseks; täpsemalt, need on võrgusõlmpunktide traceroute kasutaja poolsete võrguseadmede aadressid
* iga aadressi järel esitatakse vastuse tagasijõudmiseks kulunud aeg, kusjuures aeg esitatakse iga rea kohta eraldi st viimase rea aeg ei ole kõige aegade summa (antud juhul on see ka selgesti näha, et mingil põhjusel jõudis viimase hosti juurest vastus kiiremini tagasi kui eelviimasest)

Kuulates samas arvutis liiklust pealt teises promptis näeme

# tcpdump -nttti em3 icmp
tcpdump: listening on em3, link-type EN10MB
May 19 18:12:08.419036 195.80.102.35 > 193.40.133.134: icmp: echo request [ttl 1]
May 19 18:12:08.419459 195.80.102.33 > 195.80.102.35: icmp: time exceeded in-transit [tos 0xc0]
May 19 18:12:08.419659 195.80.102.35 > 193.40.133.134: icmp: echo request
May 19 18:12:08.419957 213.184.51.121 > 195.80.102.35: icmp: time exceeded in-transit [tos 0xc0]
May 19 18:12:08.420152 195.80.102.35 > 193.40.133.134: icmp: echo request
May 19 18:12:08.420582 194.116.188.19 > 195.80.102.35: icmp: time exceeded in-transit
May 19 18:12:08.420760 195.80.102.35 > 193.40.133.134: icmp: echo request
May 19 18:12:08.424455 193.40.133.187 > 195.80.102.35: icmp: time exceeded in-transit
May 19 18:12:08.424638 195.80.102.35 > 193.40.133.134: icmp: echo request
May 19 18:12:08.428660 193.40.133.134 > 195.80.102.35: icmp: echo reply

Vahel esineb traceroute väljundis real * märk, mis tähendab, et vaatlusalune võrgusõlm ei vastanud 'icmp: time exceeded in-transit' teatega või see teade ei jõudnud kohale

# traceroute -n -q 1 -I www.eenet.ee
traceroute to www.eenet.ee (193.40.0.131), 64 hops max, 60 byte packets
1 84.50.96.137 58.500 ms
2 88.196.144.137 5.230 ms
3 90.190.153.17 4.325 ms
4 195.250.191.17 8.805 ms
5 *
6 194.116.188.19 9.124 ms
7 193.40.133.187 11.953 ms
8 193.40.0.131 11.744 ms

TCP ja port 80 tracroute

# traceroute -n -q 1 -T www.eenet.ee -p 80
traceroute to www.eenet.ee (193.40.0.131), 30 hops max, 60 byte packets
1 10.0.0.1 0.313 ms
2 184.50.25.1 0.659 ms
3 184.50.157.2 5.896 ms
4 213.168.1.18 3.562 ms
5 213.168.1.27 3.680 ms
6 195.250.170.70 3.797 ms
7 193.40.133.6 6.987 ms
8 193.40.133.26 7.113 ms
9 193.40.0.131 7.993 ms

===tracepath===

tracepath programmi abil saab teha kindlaks Path MTU väärtusi, paigaldamiseks tuleb Debian Lenny keskkonnas öelda

# apt-get install iputils-tracepath

Kasutamisene toimub selliselt

$ tracepath -n 192.168.1.4
1: 192.168.10.10 0.062ms pmtu 1500
1: 192.168.10.210 0.444ms
1: 192.168.10.210 0.220ms
2: 192.168.1.4 0.835ms reached
Resume: pmtu 1500 hops 2 back 63

Kasulikud lisamaterjalid

* http://en.wikipedia.org/wiki/Path_MTU_Discovery

===nmap===

Programm nmap on populaarne võrgu kaardistamise vahend, mida võrguadministraatorid ja süsteemiadministraatorid armastavad kasutada teenuste kontrollimiseks, samuti diagnostikavahendina probleemide või kahtluste olemasolul. Lisaks tundub, et pahalased kasutavad sarnast võrgu kaardistamise vahendit ründe sihtmärkide kindlakstegemiseks. Nmap töö põhineb erinevate omadustega pakettide väljasaatmisel ning vastuste (sh saamatajätmise) analüüsil. Üldiselt võiks eristada kahte taset nmapi kasutamisel

* võrgus arvutite leidmine (ingl. k. host discovery)
* üksikute arvutite omaduste kindlakstegemine (nt millistel portidel pakutakse teenust) (ingl. k. port scanning)

Nmap ei kuulu enamuse operatsioonisüsteemi baaskonfiguratsiooni ning tuleb eelnevalt
paketihalduse vahenditega paigaldada

Nt Debian v. 7 Wheezy puhul sobib öelda, et ei paigaldatakse hulka Recommends olekus pakette

# apt-get --no-install-recommends install nmap

====võrgust arvutite leidmine====

Võrgus arvutite kindlakstegemiseks on nmap'il kaks võtitit, -sL ja -sP

Selleks, et lihtsalt kuvada subnetis olevad ip aadressid koos pöördteisendustega, mingit skaneerimist ei toimu

# nmap -sL 192.168.1.0/24

Starting Nmap 4.53 ( http://insecure.org ) at 2008-06-23 22:30 EEST
Host 192.168.1.0 not scanned
Host sipsik.loomaaed.tartu.ee (192.168.1.1) not scanned
Host www.loomaaed.tartu.ee (192.168.1.2) not scanned
Host vaktsiin.loomaaed.tartu.ee (192.168.1.3) not scanned
Host loomaaed.tartu.ee (192.168.1.4) not scanned
Host 192.168.1.5 not scanned
Host hilja.loomaaed.tartu.ee (192.168.1.6) not scanned
..
Nmap done: 256 IP addresses (0 hosts up) scanned in 0.142 seconds

Selleks, et saada subnetis olevate arvutite mac aadresside nimekirja sobib öelda

# nmap -sP 192.168.1.0/24 -n

Starting Nmap 4.53 ( http://insecure.org ) at 2008-06-23 23:03 EEST
Host 192.168.1.1 appears to be up.
MAC Address: 00:16:3E:1C:3C:B3 (Xensource)
Host 192.168.1.2 appears to be up.
MAC Address: 00:16:3E:2C:7E:DD (Xensource)
Host 192.168.1.3 appears to be up.
MAC Address: 00:18:F8:E5:F8:F2 (Cisco-Linksys)
Host 192.168.1.4 appears to be up.
MAC Address: 00:0C:42:07:1A:46 (Routerboard.com)
Nmap done: 256 IP addresses (5 hosts up) scanned in 6.054 seconds

Kui nö teises aknas võrku kuulata, näeb, et nmap teeb subneti iga ip aadressi kohta arp päringu, väga efektiivne moodus arvuti olemasolu kindlakstegemiseks

# tcpdump -nettti fxp1 arp
Jun 23 22:49:26.743432 00:02:55:ee:42:72 ff:ff:ff:ff:ff:ff 0806 42: arp who-has 192.168.1.1 (ff:ff:ff:ff:ff:ff) tell 192.168.1.254
Jun 23 22:49:26.743466 00:02:55:ee:42:72 ff:ff:ff:ff:ff:ff 0806 42: arp who-has 192.168.1.2 (ff:ff:ff:ff:ff:ff) tell 192.168.1.254
Jun 23 22:49:26.943286 00:02:55:ee:42:72 ff:ff:ff:ff:ff:ff 0806 42: arp who-has 192.168.1.3 (ff:ff:ff:ff:ff:ff) tell 192.168.1.254
Jun 23 22:49:26.943339 00:02:55:ee:42:72 ff:ff:ff:ff:ff:ff 0806 42: arp who-has 192.168.1.4 (ff:ff:ff:ff:ff:ff) tell 192.168.1.254
..

Kui sedasi pöörduda mittelokaalse võrgu poole, siis nmap saadab icmp echo requesti ning tcp ack paketi porti 80 (mis tavaliselt ei saa tulemüüridest edasi, kuna ei kuulu ühenduse hulka) ning näitab samuti tulemust.

Lisaks saab -sP võtmega koos kasutada nn probe'isid (-PS, -PA jt) võtmeid, et vaikimisi käitumist muuta.

Nmap programmi võrgust arvutite leidmise protseduuri väljundi saab salvestada faili, et seda seejärel üksikute arvutite omaduste kindlakstegemiseks kasutada, näiteks selliselt, -oG võtme kasutamisel salvestatakse väljund võimalikult nö grep'itavas formaadis

# nmap -sP 192.168.1.0/24 -oG /tmp/nmap-192.168.1.0-24.log

====Üksikute arvutite omaduste kindlakstegemine====

Üksikute arvutite omaduste all mõeldaks seda, millises olekus on tema erinevad pordid, näiteks

* open - pordil töötab rakendus
* closed - pordile ei ole ligipääs takistatud, aga rakendust ei tööta (tavaliselt saadab arvuti nmapile vastuseks RST paketi)
* filtered - nmap ei saa kindlaks teha pordi olekut (kas open või closed) kuna vaatlusaluses endas või tema eest töötab paketifilter

Tegemaks kindlaks, kas failis /tmp/192.168.1.0-24.log sisalduvatel ip aadressidel vastab SYN paketile 22 port tuleb näiteks öelda

# nmap -p T:22 -sS -iL /tmp/nmap.log -PN -oG -

* -oG - tundub, et väljund on sedasi pisut paremini loetav kui vaikimisi
* -PN - nmap ei soorita taustal nn host discovery't, kui tcpflow abil liiklust jälgida, on pilt selgem

Sedasi on näiteks ka hea kontrollida, kas oma synproxy režiimis käivitatud tulemüür ikka toimib nõuetekohaselt.

Nmap võimaldab vaatlusaluse arvuti tcp/ip stackiga suhtlemisel saadud info põhjal kaudselt ennustada selle arvuti operatsioonisüsteemi ning portidel kuulavate tarkvarade versioonid

# nmap -A 192.168.0.239
Starting Nmap 4.53 ( http://insecure.org ) at 2008-04-10 23:12 EEST
Interesting ports on 192.168.0.239:
Not shown: 1711 closed ports
PORT STATE SERVICE VERSION
22/tcp open ssh OpenSSH 4.7p1 Debian 2 (protocol 2.0)
MAC Address: 00:11:25:85:64:34 (IBM)
Device type: general purpose
Running: Linux 2.6.X
OS details: Linux 2.6.17 - 2.6.20
Uptime: 0.640 days (since Thu Apr 10 07:51:45 2008)
Network Distance: 1 hop
Service Info: OSs: Unix, Linux

OS and Service detection performed. Please report any incorrect results at http://insecure.org/nmap/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 20.592 seconds

TCP handshake'i tegemiseks sobib kasutada, nn connect scan

# nmap -p T:443 -sT -PN 192.168.0.239

Lisaks saab seada tcp paketi lippe ka näidates vajalikud lipud otse, nt seada SYN ja ACK, korrektselt seadistatud tulemüürist selline pakett läbi minna ei tohiks

# nmap -p T:80 --scanflags SYNACK -PN 192.168.0.239

IP aadressiga seotud portide vahemiku tcp handshake skaneerimine

# nmap -p T:22-100 -sT -Pn 192.168.0.111

kus

* -p T:22-100 - portide vahemik ja TCP (tegelikult -T on ta niikuinii antud juhul ja selle võiks ka ära jätta)
* -Pn - mitte pingida, st saadetakse vaid tcp syn jne pakette
* -sT - tcp handshake skaneerimine

====Võrgust teatud omadustega arvutite otsimine====

# nmap -PS -p 443 192.168.2.200-245

kus

* -PS - tcp syn
* -p 443 - port
* 192.168.2.200-245 - ip vahemik

====Turvavigade kontroll====

Tööks vajalikud huvitavad failid asuvad kaustas nmap/scripts/smb-check-vulns.nse
nt FreeBSD's /usr/local/share/nmap/scripts/

Ideepoolest peaks töötama ka käsk

# nmap --script-updatedb
Starting Nmap 4.85BETA7 ( http://nmap.org ) at 2009-09-15 00:33 EEST
NSE script database updated successfully.
Nmap done: 0 IP addresses (0 hosts up) scanned in 0.23 seconds

Salvestame nmapi töö faili mis meie subneti nimeline ning viime läbi
SYN skänni pordile 445 ning käivitame SMB vigade kontrollimiseks mõeldud NSE skripti
ja teeme seda kõigile arvutitele 192.168.1.0/24 võrgus.

nmap -oA 192168-filename -sS -p445 --script smb-check-vulns.nse 192.168.1.0/24

Tulemused võivad välja näha näiteks järgnevad

Interesting ports on kasutaja.zoo.tartu.ee (192.168.1.5):
PORT STATE SERVICE
445/tcp open microsoft-ds
MAC Address: 00:03:0D:51:E5:CA (Uniwill Computer)

Host script results:
|_ smb-check-vulns: This host is likely vulnerable to MS08-067 (it
stopped responding during the test)

Skriptide poole pöördudes võib kasutada ka järgmist lähenemist:

nmap --script "http-*"

Mis laadib kõik skriptid millede nimi agab httpd- reaga, näiteks http-auth ja http-open-proxy

Või siis laadime kõik skriptid, välja arvatud intrusive kategooriast:

nmap --script "not intrusive"

Vaikimisi kategoriseeritud default ja safe kataloogi.

nmap --script "default or safe"

====nping====

nmap paketi koosseisu kuulub nping programm, mis on natuke sarnane oma võimlustelt hping ja pingile.

TODO

====ncat====

nmap paketi koosseisu kuulub ncat programm, mis on natuke sarnane oma võimalustelt netcat programmile.

===arping===

Erinevalt programmist ping, mis saadab võrku ip pakette (ethertype 0x0800) tekitab arping arp pakette (ethertype 0x0806). Kui ühes aknas pingida/arpingida ja teises jälgida liiklust, siis paistavad erinevused sellised

Tuleb eelnevalt paigaldada operatsioonisüsteemi pakihalduse vahendite abil

# ping 192.168.10.251

# tcpdump -nettti em0 arp or icmp
Jun 24 13:27:08.032376 00:0e:0c:ba:4b:3e 00:0c:42:07:1a:45 0800 98: 192.168.10.210 > 192.168.10.251: icmp: echo request
Jun 24 13:27:08.032511 00:0c:42:07:1a:45 00:0e:0c:ba:4b:3e 0800 98: 192.168.10.251 > 192.168.10.210: icmp: echo reply

# arping 192.168.10.251

# tcpdump -nettti em0 arp or icmp
Jun 24 13:27:10.069533 0c:80:18:03:00:00 ff:ff:ff:ff:ff:ff 0806 42: arp who-has 192.168.10.251 tell 192.168.10.210
Jun 24 13:27:10.069644 00:0c:42:07:1a:45 0c:80:18:03:00:00 0806 60: arp reply 192.168.10.251 is-at 00:0c:42:07:1a:45

===Ssmpingiga multicasti toimimise testimine===

Multicast ehk multiedastus võimaldab ühe saatekorraga edastada sama infot korraga valitud arvutite rühmale. Seda ei tohi segi ajada broadcastiga, mis edastab paketi absoluutselt kõigile võrgus olevatele masinatele. Multicasti töötamise jaoks on switchis tarvilik IGMP (Internet Group Management Protocol) tugi (snooping ja query). Ruuteril on tarvilik "multicast routing" tuge. Multiedastust kasutatakse laialdaselt audio-video ülekandmiseks ja clustri nodede sünkroniseerimiseks. Rumalad ja mittemanageeritavad switchid võivad multiedastus teated edastada kui broadcasti kõigisse switchi portidesse ja tekitada seega võrgus üleliigst liiklust. IGMP Snoopingu halvaks küljeks on aga suurem switchi protsessori ja mälu kasutus.

http://et.wikipedia.org/wiki/Multiedastus
http://en.wikipedia.org/wiki/Multicast

Kahe masina vahel multicasti tesitmine ssmpingi abil. Paigaldamiseks

# apt-get install ssmping

Esimeses masinas

# ssmpingd

Teises masinas

# ssmping -I eth0 <IP aadress>

Tulem võiks näha välja järgnev

asmping joined (S,G) = (*,224.0.2.234)
pinging 192.168.8.6 from 192.168.8.5
unicast from 192.168.8.6, seq=1 dist=0 time=0.221 ms
unicast from 192.168.8.6, seq=2 dist=0 time=0.229 ms
multicast from 192.168.8.6, seq=2 dist=0 time=0.261 ms
unicast from 192.168.8.6, seq=3 dist=0 time=0.198 ms
multicast from 192.168.8.6, seq=3 dist=0 time=0.213 ms
unicast from 192.168.8.6, seq=4 dist=0 time=0.234 ms
multicast from 192.168.8.6, seq=4 dist=0 time=0.248 ms
unicast from 192.168.8.6, seq=5 dist=0 time=0.249 ms
multicast from 192.168.8.6, seq=5 dist=0 time=0.263 ms
unicast from 192.168.8.6, seq=6 dist=0 time=0.250 ms
multicast from 192.168.8.6, seq=6 dist=0 time=0.264 ms
unicast from 192.168.8.6, seq=7 dist=0 time=0.245 ms
multicast from 192.168.8.6, seq=7 dist=0 time=0.260 ms

Nii unicast kui multicast tunduvad töötavat.

Võime testida ka mõne kaugema serveri pihta:

# ssmping ssmping.uninett.no
ssmping joined (S,G) = (2001:700:0:4501:158:38:0:230,ff3e::4321:1234)
pinging S from 2001:bb8:2001:2:21b:21ff:fe65:54c9
unicast from 2001:700:0:4501:158:38:0:230, seq=1 dist=14 time=39.017 ms
unicast from 2001:700:0:4501:158:38:0:230, seq=2 dist=14 time=38.840 ms
unicast from 2001:700:0:4501:158:38:0:230, seq=3 dist=14 time=38.950 ms
unicast from 2001:700:0:4501:158:38:0:230, seq=4 dist=14 time=38.704 ms
--- 2001:700:0:4501:158:38:0:230 statistics ---
4 packets transmitted, time 3564 ms
unicast:
4 packets received, 0% packet loss
rtt min/avg/max/std-dev = 38.704/38.877/39.017/0.269 ms
multicast:
0 packets received, 100% packet loss

Viimase näite puhul multicast üle ipv6 ei paista töötavat. Unicast aga küll..

===Ethtool===

Selleks, et vaadata ühenduse parameetreid ning seda, kas võrgukaarti on ühendatud kaabel või ei ole on olemas töövahend ethtool. Üsna sageli võib olla segadus, et serveril
on 4+ võrguseadet ning raske öelda kuidaspidi on udev nad jaganud

# apt-get install ethtool

Kasutamine

# ethtool eth0

Ja sealt antud infost saab vaadata nt välja

Link detected: yes

Rohkema info omandamiseks

# ethtool -i eth5
driver: i40e
version: 1.2.37
firmware-version: f4.22.27454 a1.2 n4.25 e143f
bus-info: 0000:06:00.1
supports-statistics: yes
supports-test: yes
supports-eeprom-access: yes
supports-register-dump: yes
supports-priv-flags: yes

===tcpflow===

Programm tcpflow abil on hea uurida rakenduskihile vastavate andmete liikumist võrgus, nt jälgida http päringud ja vastuseid. tcpflow salvestab käesolevasse kataloogi (ingl. k. current directory) tabatud liikluse automaatselt moodustatud failinimesid kasutades

Tuleb eelnevalt paigaldada operatsioonisüsteemi vahendite abil

# mkdir /tmp/ftp.aso.ee
# cd /tmp/ftp.aso.ee
# tcpflow -i rl0 host ftp.aso.ee
# ls -l
total 8
-rw-r--r-- 1 root wheel 104 Jun 13 10:22 084.050.096.138.50120-213.184.032.082.00080
-rw-r--r-- 1 root wheel 847 Jun 13 10:22 213.184.032.082.00080-084.050.096.138.50120

Failinimedes kasutatakse kasutatud pordinumbreid, päring

# cat 084.050.096.138.50120-213.184.032.082.00080
GET /README HTTP/1.0
User-Agent: Wget/1.11.2
Accept: */*
Host: ftp.aso.ee
Connection: Keep-Alive

ning vastus

# cat 213.184.032.082.00080-084.050.096.138.50
HTTP/1.1 200 OK
Date: Fri, 13 Jun 2008 07:22:50 GMT
Server: Apache
Last-Modified: Mon, 05 Nov 2007 19:14:36 GMT
ETag: "1c980fa-22e-53bd1f00"
Accept-Ranges: bytes
Content-Length: 558
Keep-Alive: timeout=15, max=100
Connection: Keep-Alive
Content-Type: text/plain; charset=UTF-8

Welcome to the Estonian Informatics Center's FTP server!

On this server are hosted following software distributions

Debian GNU/Linux - /debian
Ubuntu Linux - /pub/ubuntu
Mandriva Linux - /pub/Mandrake
X-Road System - /pub/x-tee
Solaris CSW - /pub/csw
OpenBSD - /pub/OpenBSD

You can access data anonymously using http, ftp or rsync protocol and
one of these domainnames:

ftp.aso.ee
ftp.ria.ee
ftp.ee.debian.org

If you have any comments or encounter problems using this archive, please send
them via e-mail to ftpmaster_at_aso.ee.

tcpdump abil salvestatud faile saab uurida

$ tcpflow -r failinimi.pcap

===hping===

Programm hping võimaldab konstrueerida ja võrku saata igasuguseid pakette ja sobib seetõttu hästi nt võrgusõlmede testimiseks. Tarkvarast on kolm populaarset versiooni, hping, hping2 ja hping3. Näiteks SYN paketi tekitamiseks tuleb öelda

Tuleb eelnevalt paigaldada operatsioonisüsteemi vahendite abil

# hping -S -c 4 -p 80 192.168.10.12
HPING farm.loomaaed.tartu.ee (em0 192.168.10.12): S set, 40 headers + 0 data bytes
len=46 ip=192.168.10.12 ttl=56 DF id=60008 sport=80 flags=SA seq=0 win=5840 rtt=9.4 ms
len=46 ip=192.168.10.12 ttl=56 DF id=53433 sport=80 flags=SA seq=1 win=5840 rtt=9.8 ms
len=46 ip=192.168.10.12 ttl=56 DF id=39504 sport=80 flags=SA seq=2 win=5840 rtt=9.5 ms
len=46 ip=192.168.10.12 ttl=56 DF id=54821 sport=80 flags=SA seq=3 win=5840 rtt=9.5 ms

kus võtmed

* -S - konstrueerida SYN pakett
* -c 4 - saata viis paketti
* -i arv - saata intervalliga arv sekundit, vaikimisi ühe sekundise intervalliga
* -p - pordile 80

Näiteks nii saab nö tavalist ICMP pingi sooritada öeldes paketi src aadressiks 192.168.12.144

# hping3 -1 -a 192.168.12.144 192.168.11.145

Fragmenteeritud IP pakettide genereerimiseks sobib öelda

# hping3 -d 5400 -E /tmp/50M -S -c 3 -p 80 192.168.10.12 -m 200

kus

* -d paketi andmeosa suurus
* -E - mida kasutada andmeosa täitmiseks
* -m - mtu suurus

===netcat===

Programm netcat võimaldab hõlpsasti testida võrku, või vahetda arvutite ning programmide vahel infot. Sarnane tuntub programmile socket. Ühes arvutis tuleb ta käivitada porti kuulama öeldes, näiteks faili /tmp/filename.out kopeerimiseks

Tuleb osades operatsioonisüsteemides paigaldada, nt OpenBSD's on ta olemas

# nc -l -p 1010 > /tmp/filename.out

ja teisest pöörduda

# nc teise.arvuti.ip.aadress 1010 < /tmp/filename.out

Linuxi peal töötab sedasi lihtne server

# while true ; do cat /tmp/http.txt | nc -l -p 1500 head --bytes 2000 >>/tmp/requests ; date >>/tmp/requests ; done

Hädapärast saab netcati vahendusel vahendada ka arvutite vahel ja skriptide vahel infot näiteks kuulame 1001 porti ühes masinas

abiks käsk testimisel ka

nc -l -p 1001 | awk -F"," '{print $2}'

Syslogiga suhtlemine

$ echo '<0>message' | nc -w 1 -u 192.168.102.114 514

Whois teenuse kasutamine (20131116 - tundub, et päris nii see alati ei tööta)

$ echo "loomaaed.tartu.ee" | netcat 193.40.0.12 43
The registry database contains only .EE, .COM.EE, .PRI.EE, .FIE.EE,
.ORG.EE and .MED.EE domains.

Registrant:
Tartu Loomaaed
Looma tee 1
TEL 1234 5678
FAX 8765 4321

Domain Name: loomaaed.tartu.ee

Contacts:
Priit Kask priit@loomaaed.tartu.ee
..

Netcat abil saab hõlpsasti demonstreerida kui lihtne on nö pordile shelli külge ühendada (see on üks põhjus, miks tuleb pigem paketifiltriga kasutamata pordid blokeerida), serveris öelda

$ nc -l -p 8443 -e /bin/bash

ja kliendis

$ nc 192.168.10.10 8443
/sbin/route -n
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
0.0.0.0 192.168.10.254 0.0.0.0 UG 0 0 0 eth0
192.168.10.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0

Mingi määratluse järgi jagatakse turvaauke local ja remote alla kuuluvateks. Tihtipeale annavad local augud rohkem võimalusi ja neide parandamisse suhtutaks kergekäelisemalt. Kui selline shell on kasutada, siis arusaadavalt saab eemalt ligi local aukudesse (nt kävitada spetsiaalselt ettevalmistatud faile jms).

Tundub, et uuemal ajal sobib öelda

$ cat /tmp/f | /bin/sh -i 2>&1 | nc -l 127.0.0.1 8443 > /tmp/f

Võrgukiiruse primitiivseks testimine sobib öelda, iseäralik antud juhul on et mõõdetakse puhast võrgukiirust, kohalike ketaste io ei sega

netcat-server$ nc -l -p 6000 > /dev/null
netcat-klient$ nc 192.168.10.189 6000 < /dev/zero

ja liikluse kiiruse hindamiseks öelda ükskõik kummas arvutis

# tcpstat -i eth0 -o "Time:%S\tn=%n\tavg=%a\tstddev=%d\tBaitspersecond=%B\n" -f "tcp and host 192.168.10.189 and port 6000" 1
Time:1463902007 n=11782 avg=1044.15 stddev=672.42 Baitspersecond=12302148.00
Time:1463902008 n=11603 avg=1046.16 stddev=671.66 Baitspersecond=12138628.00
Time:1463902009 n=11367 avg=1056.14 stddev=667.52 Baitspersecond=12005096.00
Time:1463902010 n=11652 avg=1051.81 stddev=669.35 Baitspersecond=12255700.00
Time:1463902011 n=11514 avg=1053.25 stddev=668.74 Baitspersecond=12127072.00

Lisaks peaks jälgima võrguliidestel toimuvat liiklus vigade osas, nt (errors, dropped jt)

# ifconfig
eth0 Link encap:Ethernet HWaddr 00:1c:c0:38:97:a9
inet addr:192.168.10.8 Bcast:192.168.10.255 Mask:255.255.255.0
inet6 addr: fe80::21c:c0ff:fe38:97a9/64 Scope:Link
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:47321279 errors:0 dropped:0 overruns:0 frame:0
TX packets:42781684 errors:0 dropped:0 overruns:0 carrier:0

===IPerf===

IPerf http://www.noc.ucf.edu/Tools/Iperf/ tarkvaraga saab mõõda kahe arvuti vahelise võrguühenduse jõudlust.

====TCP====

Vaikimisi kasutatakse TCP protokolli, näide: kaks masinat klient 192.168.1.2 ja server 192.168.1.3

Server

# iperf -s
------------------------------------------------------------
Server listening on TCP port 5001
TCP window size: 85.3 KByte (default)
------------------------------------------------------------
[ 4] local 192.168.1.3 port 5001 connected with 192.168.1.2 port 32054
[ ID] Interval Transfer Bandwidth
[ 4] 0.0-10.0 sec 826 MBytes 692 Mbits/sec

klient

# iperf -c 192.168.1.3
------------------------------------------------------------
Client connecting to 192.168.1.2, TCP port 5001
TCP window size: 32.5 KByte (default)
------------------------------------------------------------
[ 3] local 192.168.1.2 port 32054 connected with 192.168.1.3 port 5001
[ ID] Interval Transfer Bandwidth
[ 3] 0.0-10.0 sec 826 MBytes 693 Mbits/sec

Soovides täpsemat andmehulka ette anda tuleb täpsustada kasutades võtit '-l'

Vaikimisi kestab test 10 sekundit, soovides seda ajaakent suurendada tuleb kasutada võtit '-t'

# iperf -t 60 -c 192.168.1.3

Täpsem jooksev statistika

# iperf -c 192.168.1.2 -w 400k -P 2 -i 1
Client connecting to 192.168.1.2, TCP port 5001
TCP window size: 400 KByte
------------------------------------------------------------
[ ID] Interval Transfer Bandwidth
[SUM] 0.0- 1.0 sec 1.06 GBytes 9.07 Gbits/sec
[SUM] 1.0- 2.0 sec 1.08 GBytes 9.30 Gbits/sec
[SUM] 2.0- 3.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 3.0- 4.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 4.0- 5.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 5.0- 6.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 6.0- 7.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 7.0- 8.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 8.0- 9.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 9.0-10.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 0.0-10.0 sec 11.4 GBytes 9.75 Gbits/sec

Vaikimisi kestab test 10 sekundit -t parameetriga saab muuta, lisaks saab muuta -i parameetriga statistika kuvamise intervalli.

====UDP====

UDP protokolli kasutamiseks tuleb lisaks kasutada kliendi ja serveri poolel lisaks suvandit -u, kusjuures UDP puhul on kiiruse piirang vaikimisi 1 Mbit/s. Kiirust saab täpsustada suvandiga -b 1000M, nt

# iperf -s -u
# iperf -c 192.0.0.118 -t 600 -i 10 -l 1472 -b 20M -u

====IPv6====

IPv6 kasutamiseks tuleb serveri ja kliendi poolel lisaks kasutada suvandit, nt

server # iperf -V -s -u
klient # iperf -V -c 2a02:98:0:a07::a00:7bf -t 600 -i 10 -l 1452 -b 20M -u

kus

* ipv6 puhul on ip paketi kapsli overhead 40 baiti (erinevalt ipv4 20 baidist)
* udp kapsli overhead on 8 baiti
* -l 1452 puhul ei toimu veel fragmentimist, suurema väärtuse puhul tekivad tõenäoliselt fragmenditud paketid

===netstrain===

Programm netstrain paigaldamine toimub paketist

võimaldab tekitada ja jälgida võrgus tcp koormust. Ühes arvutis tuleb netstraind käivitada

# netstraind -4 1010
NetStrain 3.0 (c) 2002 Christoph Pfisterer <cp@chrisp.de>
Listening on 0.0.0.0 port 1010 using IPv4...
One-shot server waiting for connection
Incoming connection from 172.16.3.254 port 5606

ning teisest pöörduda

# netstrain -4 172.16.3.251 1010 both
NetStrain 3.0 (c) 2002 Christoph Pfisterer <cp@chrisp.de>
Looking up hostname 172.16.3.251...
Connecting to 172.16.3.251 port 1010 using IPv4...
Connected
sent: 6450M, 10589.2K/s total, 10586.8K/s current
recv'd: 6252M, 10264.4K/s total, 10286.5K/s current

===ipcalc ja ipv6calc===

ipcalc on paketist paigaldatav pisike utiliit, millega saab nö võrke arvutada. Näiteks küsida milline on kaheksane subnet kuhu kuulub ip aadress 192.168.2.201

# ipcalc 192.168.2.201/29
address : 192.168.2.201
netmask : 255.255.255.248 (0xfffffff8)
network : 192.168.2.200 /29
broadcast : 192.168.2.207
host min : 192.168.2.201
host max : 192.168.2.206
hosts/net : 6

===sipcalc===

sipcalc (IP subnet calculator) programmiga saab arvutada IPv4 ja IPv6 võrguaadresse, nt

$ sipcalc -a 2a01:88:0:21::2
-[ipv6 : 2a01:88:0:21::2] - 0

[IPV6 INFO]
Expanded Address - 2a01:0088:0000:0021:0000:0000:0000:0002
Compressed address - 2a01:88:0:21::2
Subnet prefix (masked) - 2a01:88:0:21:0:0:0:2/128
Address ID (masked) - 0:0:0:0:0:0:0:0/128
Prefix address - ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff
Prefix length - 128
Address type - Aggregatable Global Unicast Addresses
Network range - 2a01:0088:0000:0021:0000:0000:0000:0002 -
2a01:0088:0000:0021:0000:0000:0000:0002

[V4INV6]
Expanded v4inv6 address - 2a01:0088:0000:0021:0000:0000:0.0.0.2
Compr. v4inv6 address - 2a01:88:0:21::0.0.0.2

[IPV6 DNS]
Reverse DNS (ip6.arpa) -
2.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.1.2.0.0.0.0.0.0.8.8.0.0.1.0.a.2.ip6.arpa.

===httping===

httping programmiga saab esitada http päringuid eesmärgiga jälgida veebiserveri vastuste andmist, kusjuures nt on võimalik täpsustades, kas esitatakse GET või HEAD päringuid või millise sagedusega päringuid esitatakse. Nt võiks toimuda programmi kasutamine selliselt

$ httping -s -S -i 2 -r -g http://www.loomaaed.tartu.ee/loomafail.cgi
PING www.loomaaed.tartu.ee:80 (http://www.loomaaed.tartu.ee/loomafail.cgi):
connected to www.loomaaed.tartu.ee:80, seq=0 time=11.99+501.00=512.99 ms 200 OK
connected to www.loomaaed.tartu.ee:80, seq=1 time=10.20+475.94=486.14 ms 200 OK
connected to www.loomaaed.tartu.ee:80, seq=2 time=9.71+471.03=480.74 ms 200 OK
connected to www.loomaaed.tartu.ee:80, seq=3 time=10.88+420.74=431.62 ms 200 OK
connected to www.loomaaed.tartu.ee:80, seq=4 time=9.99+336.93=346.92 ms 200 OK

kus on kasutatud võtmeid

* -s - esitab http päringu vastuse nn http koodi, st 200, 403, 404, 500 jne
* -S - esitab vastuses eraldi tcp ühenduse moodustamiseks ja vastuse saamiseks kulunud aja
* -i - päringuid esitamise intervall sekundites
* -r - nimelahendus sooritatakse vaid üks kord
* -g - esitatakse GET päringuid, vaikimisi esitatakse HEAD päringuid

Üks abiks httping programmi kasutusjuht võiks olla näiteks veebikoha koormustesti ajal jälgida milline nö tavakasutaja jaoks võiks kõnealuse veebikoha kättesaadavus.

https teenuse jälgimiseks sobib öelda

$ httping -G -l -g "/index.html" -h 192.168.10.12

* -l - pöörduda https abil

===tcpstat===

Vahel on selle programmi kasutamine muutnud süsteemi ebastabiilseks, tõenäoliselt on seoses konkreetselt kasutuses oleva riistvaraga. Muidu aga võimaldab ta jälgida tingimustele vastava andmevahetuse kiirust

# tcpstat -i vlan13 -o "Time:%S\tn=%n\tavg=%a\tstddev=%d\tBaitspersecond=%B\n" -f "tcp and host 192.168.110.149" 10

kus

* -i - võrguseade
* -o - väljundi formaat
* -f - nö tcpdump formaadis filter
* 10 - väljundi esitamise intervall, kusjuures kui andmeid ei ole, siis intervalli möödudes nö nulle ei esitata

===tcptrace===

tcptrace on üks paljudest programmidest, millega esitada salvetatud võrguliikluse kohta ülevaatlikke andmeid, võimalik, et programmi kõige olulisem väärtus on pedagoogiline väärtus

$ tcptrace -l tt.log
1 arg remaining, starting with 'tt.log'
Ostermann's tcptrace -- version 6.6.1 -- Wed Nov 19, 2003

54 packets seen, 54 TCP packets traced
elapsed wallclock time: 0:00:00.007053, 7656 pkts/sec analyzed
trace file elapsed time: 0:00:02.787589
TCP connection info:
1 TCP connection traced:
TCP connection 1:
host a: moraal.auul:52081
host b: ftp.loomaaed.tartu.ee:22
complete conn: yes
first packet: Sat Oct 10 12:56:15.713740 2009
last packet: Sat Oct 10 12:56:18.501330 2009
elapsed time: 0:00:02.787589
total packets: 54
filename: tt.log
a->b: b->a:
total packets: 30 total packets: 24
ack pkts sent: 29 ack pkts sent: 24
pure acks sent: 14 pure acks sent: 7
sack pkts sent: 0 sack pkts sent: 0
dsack pkts sent: 0 dsack pkts sent: 0
max sack blks/ack: 0 max sack blks/ack: 0
..
data xmit time: 2.547 secs data xmit time: 2.547 secs
idletime max: 1141.1 ms idletime max: 1151.3 ms
throughput: 1291 Bps throughput: 1072 Bps

===Wireshark===

Tarkvara Wireshark eelised avalduvad tema ülevaatlikkust võimaldavas graafilises kasutajaliideses, kus on võimalus

* liiklust filtreerida nt otspunktide ip aadresside, protokolli vms parameetrite alusel
* saab hõlpsasti eristada liiklusest tcp sessioone
* saab ülevaatlikult näha paketi kapseldust OSI kihtide mõttes

'''Lihtne wiresharki kasutusjuhus tööarvutis'''

Käivita wireshark programm. Vajuta nupule "List available capture interfaces..." (tööriistariba kõige vasakpoolsem nupp) ja seejärel võib alustada pakettide püüdmist soovitud võrguaadressil. Pakettide püüdmise lõpetab nupp "Stop the running live capture".

Kui võrguliiklust on palju, võib wiresharki väljund tulla liiga kirju. Otsitava informatsiooni väljafiltreerimiseks võib kasutada erinevaid filtreid (trükkida Wiresharki filtriribale):

* ip.addr == 192.168.1.253 - Näitab ainult pakette, mis kas pärinevad või on suunatud antud aadressile
* tcp.port == 22 - Näitab ainult pakette, mis kas pärinevad või on suunatud TCP porti 22
* !(udp.port == 80) - näitab ainult pakette, mille src ega dst pooles ei esine port 80

Erinevaid filtreid saab kombineerida loogiliste tehetega: &&, ||, !

Wireshark kasutamist on keerukamatel juhtudel mõistlik korraldada nii, et tulemüüris/serveris salvestatakse liiklus tcpdump abil faili ning see fail kopeeritakse töökohaarvutisse kuhu on paigaldatud Wireshark. Wireshark kasutajaliides näeb välja selline, antud juhul on kuulatud pealt liiklust tulemüürist ftp.aso.ee arvutiga

# tcpdump -n -i eth0 -s 1600 -w /tmp/ftp.aso.ee.log host ftp.aso.ee

Seejärel on käivitatud wireshark

linux$ wireshark ftp.aso.ee.log

Wiresharkis on filtreeritud välja ainult liiklus ftp.aso.ee arvutiga (kui seda praktiliselt pole ka vaja filtreerida, kuna ainult seda kuulatigi tcpflow'ga). Allolevalt pildilt on näha kuidas Wireshark esitab väljundit kolmas üksteise kohal paiknevas raamis

# ülemises raamis on esitatud filtreeritud 10 paketti, järjekorranumber, aeg, lähte ja siht aadress, protokoll ja muu info
# keskmises raamis esitatakse ülemises raamis ära märgitud paketi kapseldatud koosseis, on näha ISO kihid kusjuures wireshark interpreteerib lisaks paketi nn payloadis olevaid andmeid
# alumises raamis on esitatud paketi sisu kõrvuti kahes tulbas, 16nd süsteemis ning võimalusel vastavad ascii sümbolid, kusjuures keskmises raamis märgitule on ära vastav osa ära tähistatud

[[Pilt:Wireshark-ftp.aso.ee.log-1.gif]]

Näiteks võib antud juhul jälgida kuidas ühenduse loomiseks ja lõpetamiseks on vahetatud vastavalt kolm ja kolm paketti, ning sisuliste andmete vahetamiseks on kokku saadetud neli paketti. Välja arvatud erijuhud üldiselt ongi nii, et andmevahetusel osapooled saadavad üksteisele samas suurusjärgus pakette, isegi kui tegu on sisuliselt ühesuunalise andmevahetusega. Ja eriliselt võiks antud juhul tähele panna, et tcp ühenduse sees saadetakse andmeid mõlemas suunas.

Antud juhul kuuluvad juba tcpdump abil salvestatud ühte tcp sessiooni, kuid wiresharkil on võimalus suuremat hulgast pakettidest välja filtreerida ka ühe tcp sessiooni. Selleks tuleb ülemises raamis valida mingi paketi peal olles hiire parema nupuga avanevast hüpikmenüüst 'Follow TCP Stream' ning esitakse sessioonis toimunud http get päringu sisu ja vastuse sisu

[[Pilt:Wireshark-ftp.aso.ee.log-2.gif]]

====editcap ja mergecap kasutamine====

editcap programmiga saab varem salvestatud pcap formaadis faili osadeks jagada, nt pakettide arvu järgi, tulemusena tekivad osad* nimelised failid

# editcap -c 100 tcp.log osad

mergecap programmiga saab pcap formaadis osad ühendada kokku üheks failiks, nt

# mergecap -w tcp-kokkuyhendatud.log osad*

====capinfos====

Salvestatud pcap faili kohta saab küsida capinfos programmiga, nt

# capinfos tcp.log
File name: tcp.log
File type: Wireshark/tcpdump/... - libpcap
File encapsulation: Ethernet
Number of packets: 1000
File size: 590818 bytes
Data size: 592758 bytes
Capture duration: 6 seconds
Start time: Sat Oct 22 20:06:11 2011
End time: Sat Oct 22 20:06:16 2011
Data byte rate: 106709.45 bytes/sec
Data bit rate: 853675.63 bits/sec
Average packet size: 592.76 bytes
Average packet rate: 180.02 packets/sec

====RSA võtmevahetusega SSL liikluse dekrüptimine====

* http://wiki.wireshark.org/SSL
* http://wirewatcher.wordpress.com/2010/07/20/decrypting-ssl-traffic-with-wireshark-and-ways-to-prevent-it/

===tcpbench===

OpenBSD nn baas sisaldab tcpbench utiliiti, mille abil saab otsekoheselt testida kahe OpenBSD arvuti vahelist võrguühendust. Utiliidi kasutamisel hakkab klient serverisse kopeerima maksimaalse võimaliku suurusega tcp pakette, tegevuse käigus esitavad klient ja server programmi väljundis toimuvat andmevahetust iseloomustavat infot

server# tcpbench -s
pid elapsed_ms bytes Mbps
25537 1009 20811800 165.009
25537 2009 20610544 165.049
25537 3013 20230168 161.197
25537 closed by remote end

klient# tcpbench 192.168.10.8
pid elapsed_ms bytes Mbps
2628 1026 20990016 163.665
2628 2008 20460296 166.683
2628 3037 20230168 157.433
^Ctcpbench: Terminated by signal 2

===ssldump===

ssldump võimaldab SSL/TLS liiklust analüüsida, tarkvara paigaldamiseks tuleb öelda Debian keskkonnas

# apt-get install ssldump

FreeBSD's asub pakett net/ssldump

ja kasutamiseks nt

# ssldump -i eth0 -d port 993
New TCP connection #1: moraal.auul(49305) <-> smtp.loomaaed.tartu.ee(993)
1 1 0.0100 (0.0100) C>S Handshake
ClientHello
Version 3.1
resume [32]=
9c 5e 98 a5 0c 7a e1 f6 59 70 cb 42 ff 7e d0 2c
0c d6 03 57 34 e5 01 74 4e 4f fb 70 3b a5 61 02
cipher suites
Unknown value 0xc00a
TLS_RSA_WITH_RC4_128_MD5
TLS_RSA_WITH_RC4_128_SHA
TLS_RSA_WITH_3DES_EDE_CBC_SHA
...
compression methods
NULL
1 2 0.0342 (0.0242) S>C Handshake
ServerHello
Version 3.1
session_id[32]=
9c 5e 98 a5 0c 7a e1 f6 59 70 cb 42 ff 7e d0 2c
0c d6 03 57 34 e5 01 74 4e 4f fb 70 3b a5 61 02
cipherSuite Unknown value 0x35
compressionMethod NULL
1 3 0.0342 (0.0000) S>C ChangeCipherSpec
1 4 0.0342 (0.0000) S>C Handshake
1 5 0.0349 (0.0006) C>S ChangeCipherSpec
1 6 0.0349 (0.0000) C>S Handshake
1 7 0.0443 (0.0094) S>C application_data
1 8 0.0450 (0.0006) C>S application_data
1 9 0.0546 (0.0095) S>C application_data
..

kust on näha

* C>S, S>C - vastavalt kliendilt serveri ja serverilt kliendi suunal toimuv liiklus
* ClientHallo, ServerHallo, jt - kliendi ja serveri vahel toimub SSL ühenduse parameetrite kokkuleppimine
* application_data - antud juhul jääb ssldump jaoks sisuline andmevahetus ligipääsemata

Kui lisaks on kasutada ssl võtmed, siis saab teatud juhtumitel ka liikluse sisu debugida, nt https puhul

# cat www.loomaaed.tartu.ee.key www.loomaaed.tartu.ee.crt > www.pem
# ssldump -i eth0 -d -k www.pem port 443
..
1 10 0.0849 (0.0341) C>S application_data
---------------------------------------------------------------
GET /text.html HTTP/1.1
Host: 192.168.10.53
User-Agent: Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.9.0.14) \
Gecko/2009091010 Iceweasel/3.0.6 (Debian-3.0.6-3)
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: en-us,en;q=0.5
Accept-Encoding: gzip,deflate
Accept-Charset: ISO-8859-1,utf-8;q=0.7,*;q=0.7
Keep-Alive: 300
Connection: keep-alive
Pragma: no-cache
Cache-Control: no-cache

---------------------------------------------------------------
1 11 0.0857 (0.0007) S>C application_data
---------------------------------------------------------------
HTTP/1.1 200 OK
Date: Fri, 23 Oct 2009 06:32:59 GMT
Server: Apache/2.2.9 (Debian) mod_jk/1.2.26 mod_ssl/2.2.9 OpenSSL/0.9.8g
Vary: Accept-Encoding
Content-Encoding: gzip
Content-Length: 266
Keep-Alive: timeout=15, max=100
Connection: Keep-Alive
Content-Type: text/html; charset=iso-8859-1

Seejuures tuleb veebiserveris kasutada sobivat SSLCipherSuite väärtust, nt selline töötab nö natuke

SSLCipherSuite RSA:-HIGH:MEDIUM:-EXP:-DH

Kasutatud järgnevusele 'RSA:-HIGH:MEDIUM:-EXP:-DH' vastavaid väärtusi näeb

# openssl ciphers -v 'RSA:-HIGH:MEDIUM:-EXP:-DH'
DES-CBC-SHA SSLv3 Kx=RSA Au=RSA Enc=DES(56) Mac=SHA1
RC4-SHA SSLv3 Kx=RSA Au=RSA Enc=RC4(128) Mac=SHA1
RC4-MD5 SSLv3 Kx=RSA Au=RSA Enc=RC4(128) Mac=MD5
NULL-SHA SSLv3 Kx=RSA Au=RSA Enc=None Mac=SHA1
NULL-MD5 SSLv3 Kx=RSA Au=RSA Enc=None Mac=MD5
DES-CBC-MD5 SSLv2 Kx=RSA Au=RSA Enc=DES(56) Mac=MD5
RC2-CBC-MD5 SSLv2 Kx=RSA Au=RSA Enc=RC2(128) Mac=MD5
RC4-MD5 SSLv2 Kx=RSA Au=RSA Enc=RC4(128) Mac=MD5

Lisaks saab ssldump jaoks kaustada tcpdump abil kogutud pcap faili (eriti see on -s 0 võtmega salvestatud)

$ ssldump -r failinimi.pcap

===ICMP redirect===

Olgu selliste ruutingutega olukord

....
|
_|_ tulemüür
| | vaikelüüs, kus on kirjeldatud staatiline ruuting 192.168.201.0/24 -> 192.168.2.201
|___| 192.168.2.1
192.168.2.0/24 |
--|-------------------|--------------|--
_|_ _|_
| | 192.168.2.30 | | 192.168.2.201
|___| host-1 |___| ruuter-2
|
| 192.168.201.0/24
-----|-------------------------|---
_|_
| | 192.168.201.30
|___| host-2

ICMP redirect http://en.wikipedia.org/wiki/ICMP_Redirect_Message sõnumiga juhatab tulemüür host-1 pöörduma host-2 poole läbi ruuter-2 seadme.

09:42:25.399922 192.168.2.1 > 192.168.2.30: icmp: redirect 192.168.201.30 to host 192.168.2.201

Parasjagu kehtivad redirectid ei ole paista linux hostis ei nö tavalistes arp ega route andmebaasides, vaid

# cat /proc/net/rt_cache

Sissekande kustutamiseks tuleb vastav ruuting eemaldada ja tagasi tekitada, näiteks.

===ARP flux===

Olgu üks arvuti on oma kahe füüsiliste võrguseadmega ühendatud sama etherneti peale ning seal ethernetis on veel teisi arvuteid

--|--|---------------------------|----------------
eth0 _|__|_ eth1 _|_
10.0.2.30 | | 192.168.2.30 | | 192.168.2.201
|______| |___|

host-1 host-2

Tundub, et reeglina käituvad 2011 aastal Linux distributsioonide tuumad selliselt, et joonisel kujutatud ühenduse puhul vastab host-2 poolt aadressile 192.168.2.30 tehtud arp päringule host-1 kahe arp vastusega, kummagi ethernet seadme mac aadressiga, kusjuures host-2 kasutab esimesena kohale jõudnud vastust järgnevaks andmevahetuseks. Selline olukord põhjustab selles mõttes segadust, et kui host-1 võrguseadmed on sarnaste omadustega, siis vahel kasutab host-2 ühe ja vahel teise ethernet seadme mac aadressi ning liiklus käib vastavalt läbi ühe või teise host-1 võrguseadme (lisaks võib ka nii olla, et ühes suunas liiguvad paketid läbi host-1 eth0 ja teises suunas läbi eth1 seadme). Kui host-1 peal ei ole paketifiltrit seadistatud, siis seal töötavate rakenduste jaoks andmevahetus töötab, kuid nt võrgu debugimine on raskendatud.

Selleks, et host-2 arp päringule vastaks host-1 vaid selle mac aadressiga, millele vastava võrguseadme kaudu toimuks ip mõttes korrektne ruuting sobib öelda host-1 arvutis

# sysctl -w net.ipv4.conf.all.arp_filter=1

Kasulikud lisamaterjalid

* http://linux-ip.net/html/ether-arp.html
* http://robertlathanh.com/2009/08/two-subnetworks-on-one-lan-and-linux-arp_filter/
* http://www.embedded-bits.co.uk/tag/arp_filter/

===tcpkill===

tcpkill programmi abil saab ühenduse osapoolele saata sobiva RST paketi eesmärgiga ühendus lõpetada, tarkvara paigaldamiseks tuleb nt Debian Lenny keskkonnas paigaldada pakett dsniff

# apt-get install dsniff

ja kasutamiseks öelda

# tcpkill -i eth0 port 80 and host ftp.loomaaed.tartu.ee

Tulemusena jääb tcpkill käima arvuti eth0 seadmel ja tegeleb näidatud regulaaravaldisega klappivate ühendustega.

===lsof===

Kasutaja priit (-u priit) programmiga Firefox (-c firefox-bin) seotud võrguühenduste (-i) esitamine

$ lsof -n -a -u priit -c firefox-bin -i
COMMAND PID USER FD TYPE DEVICE SIZE NODE NAME
firefox-b 22322 priit 51u IPv4 1870238 TCP 192.168.10.10:53360->113.184.32.83:https (ESTABLISHED)
firefox-b 22322 priit 72u IPv4 1870025 TCP 192.168.10.10:35441->74.125.43.100:www (ESTABLISHED)
firefox-b 22322 priit 73u IPv4 1870035 TCP 192.168.10.10:53903->74.125.10.213:www (ESTABLISHED)

kus

* -n - mitte teisendada ip aadresse nimedeks
* -a - järgnevad muud suvandid loogiliselt korrutada
* PID - protsessi ID

Pordile vastava protsessi küsimine

# lsof -i :514
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
syslogd 6628 _syslogd 4u IPv4 0xfffffe803f51d000 0t0 UDP *:syslog

Kasulikud lisamaterjalid

* http://ph7spot.com/musings/leveraging-lsof

===strace===

strace kasutusala on laiem, kuid seoses võrguga on tal samuti rakendus, nt esitada jooksvalt protsessiga seotud võrgu syscallid, 4940 on w3m brauseri protsess

# strace -e trace=network -p 4940
...
socket(PF_NETLINK, SOCK_RAW, 0) = 4
bind(4, {sa_family=AF_NETLINK, pid=0, groups=00000000}, 12) = 0
getsockname(4, {sa_family=AF_NETLINK, pid=4940, groups=00000000}, [12]) = 0
...

===Arpwatch===

Võimaldab jälgidan võrgus liikuvaid ARP teateid ning avastada ARP tabeli mürgitamisjuhtumeid

Koduleht
*http://ee.lbl.gov/
arbi mürgitamise täpselt toimimine ja selle takistamine
*http://shsc.info/ARPPoisoning
Mõned võrguhaldurile abiks skriptid
*http://blog.stardothosting.com/2009/05/01/detect-arp-poisoning-on-lan/

===Ettercap===

Ettercap http://ettercap.sourceforge.net/ tarkvara võimaldab kohtvõrgus korraldada MITM tüüpi ründeid ja seejuures kontrollida kui tundlik kohtvõrk on selliste rünnete suhtes sh kas need avastatakse. Ettercap kasutab oma tööks põhiliselt arp-mürgitamist (ingl. k. arp poisoning). Tarkvara paigaldamiseks on tavaliselt piisav paigalda operatsioonisüsteemi paketihaldusvahenditega ettercap nimeline pakett. Ettercap programmi saab käivitada kolme erineva kasutajaliidesega

* käsurealt -ettercap -T
* curses liidesega - ettercap -C
* gtk gui liidesega - ettercap -G

Kasulikud lisamaterjalid

* http://en.wikipedia.org/wiki/Ettercap_%28computing%29
* http://openmaniak.com/ettercap.php

===Scapy===

Scapy http://www.secdev.org/projects/scapy/ abil saab töötada pakettidega. Tarkvarale on tehtud Python keeles ja sellele on iseloomulik, et saab nö programmeerimise võtteid kasutades nt koostada sobiva sisuga paketi ja saata võrku; seejärel saab käsitleda sarnaselt vastuseks tulnud paketti. Scapy sisaldab mitmeid lisasid, nt saab lasta esitada graafiliselt traceroute tulemuse. Tarkvara paigaldamiseks sobib paigaldada nt Debian Squeeze all pakett python-scapy

# apt-get install python-scapy

Lisaks on vajalikud

# apt-get install tcpdump graphviz imagemagick

Interaktiivselt käivitamiseks tuleb öelda

# scapy
...
Welcome to Scapy (2.1.0)
>>> res,unans = traceroute(["www.eesti.ee", "www.eenet.ee"],dport=[80,443],maxttl=20,retry=-2)
..
>>> res.graph()

Tulemusena esitatakse sarnane pilt

[[Pilt:Scapy-1.gif]]

Scapy sisaldab mitmeid funktsioone, millega pakette moodustada, neid välja saata ning vastuseid lugeda

* ICMP paketi saatmine

>>> send(IP(dst="192.168.10.123")/ICMP())

* DNS päringu esitamine

>>> sr(IP(dst="10.192.0.53")/UDP()/DNS(rd=1,qd=DNSQR(qname="www.loomaaed.tartu.ee")))

* etteantud subnetti kuuluva juhusliku src aadressiga pakettide saatmine

>>> send(IP(src=RandIP("192.168.10.0/24"), dst="10.192.0.53")/TCP(dport=80,flags="S"), loop=1)

===Socat===

* Pordi edasisuunamine

# socat TCP-LISTEN:8888,fork TCP:192.168.1.4:80

* pordi edasisuunamine lokaalselt (mida tavaliselt tehakse paketifiltri abil)

# socat TCP-L:2323 TCP:localhost:22

* unixi soketi ühendamine interneti soketiga, kuulaku unix soketil MySQL ning peab saama hakata pöörduma MySQL poole üle võrgu arvuti mõnel ip aadressil, port 3308

# socat -v tcp-l:3308,bind=192.168.10.10,reuseaddr,fork unix:/var/run/mysqld/mysqld.sock

* remote shell (nt sellepärast võiks pigem olla serverite pordid tulemüürist vaikimisi blokeeritud), EXEC täidetakse kliendi pöördumisel

server:~$ socat TCP-LISTEN:2323,reuseaddr,fork EXEC:/bin/bash

ja vastav klient

$ socat STDIO TCP:server-loomaaed:2323
hostname -f
server.loomaaed
...

* PostgreSQL soketi suunamine üle võrgu

tookohaarvuti$ socat "UNIX-LISTEN:/tmp/.s.PGSQL.5432,reuseaddr,fork" \
EXEC:'ssh postgres@192.168.1.105 socat STDIO UNIX-CONNECT\:/var/run/postgresql/.s.PGSQL.5432'

kasutamiseks öelda, kusjuures EXEC täidetakse, st ssh ühendus käivitatakse alles psql kliendi abil pöördumisel

tookohaarvuti$ psql -h /tmp -U postgres

Faili sisu esitamiseks üle võrgu, kasutamiseks nt netcat abil pöörduda

$ socat -u FILE:/opt/suricata/var/log/suricata/eve.json,ignoreeof TCP4-LISTEN:12345,fork,reuseaddr

Kasulikud lisamaterjalid

* http://technostuff.blogspot.com/2008/10/some-useful-socat-commands.html
* http://jdimpson.livejournal.com/6534.html
* http://www.debian-administration.org/users/dkg/weblog/68

===vnstat===

Tarkvara paigaldamiseks sobib öelda nt

# apt-get install vnstat

Kasutamine paistab välja nt selline

# vnstat -l
Monitoring eth0... (press CTRL-C to stop)

rx: 0 kbit/s 1 p/s tx: 0 kbit/s 0 p/s^C

eth0 / traffic statistics

rx | tx
--------------------------------------+------------------
bytes 385.08 MiB | 990.42 MiB
--------------------------------------+------------------
max 88.19 Mbit/s | 227.04 Mbit/s
average 57.36 Mbit/s | 147.52 Mbit/s
min 0 kbit/s | 0 kbit/s
--------------------------------------+------------------
packets 4588718 | 3670125
--------------------------------------+------------------
max 128266 p/s | 102612 p/s
average 83431 p/s | 66729 p/s
min 1 p/s | 0 p/s
--------------------------------------+------------------
time 55 seconds

kus

* rx, tx - vastavalt saabumised ja väljumised
* bytes, packet - andmete mahu ja pakettide arvu järgi

===iptstate===

iptstate kasutab kerneli conntrack sistemat ja esitab võrguliikluse kohta andmeid, tarkvara paigaldamiseks

# apt-get install iptstate

Kasutamiseks peab olema laaditud nt ip_conntrack moodul

# modprobe ip_conntrack

Käivitamiseks öelda

# iptstate

ja paistab sarnane pilt

TODO

Tundub, et samad andmed on teksti kujul esitatavad selliselt

# cat /proc/net/ip_conntrack

===tcptrack===

Programm tcptrack annab top väljundi sarnase ülevaate toimuvatest tcp ühendustest. Paigaldamiseks sobib öelda

# apt-get install tcptrack

Kasutamiseks nt

# tcptrack -i eth0 -r 10 port 80

ja paistab selline pilt

TODO

===conntrack===

# modprobe nf_conntrack_ipv4
# conntrack -p tcp --dport 80 -E -e NEW | pv -l -i 1 -r > /dev/null

===Kasulikud lisamaterjalid===

* Soovides muide teada mis ISP omandusse mingi ip kuulub tasub kasutada aadress http://www.ip-adress.com/ip_tracer/'''<IP>'''
* http://www.linuxfoundation.org/collaborate/workgroups/networking/netem
* http://tools.netsa.cert.org/silk/docs.html

Võrgudiagnostika

2018-01-20T18:29:31Z

Imre: /* IPerf */

===Sissejuhatus===

Käesolev tekst on esitatud oma võrgu ja tulemüüride ning tcp/ip protokolli paremaks tundmaõppimiseks.
Ühtlasi tutvustatakse programme, millega saab uurida, kas võrk töötab ning kui, siis kuidas see töötab. Näiteks hinnata andmevahetuskiirusi, kuulata Ethernetti pealt ja uurida millised pordid on serveritel lahti.

Ilmselt saab allpool esitatud õpetusi kasutada nii hea-kui kuritahtlikul eesmärgil, manitseme seda tegema mitte kuritahtlikult. Tavaliselt on tuvastatav, kust tehakse ping floodi või nmapiga masinad skanneeritakse.

Reeglina tuleb esitatud programme kasutada juurkasutajana. Näiteks toodud viiba järgi saab teada, kas programm on kasutatav ka tavakasutaja ($) või ainult juurkasutaja (#) õigustes.

===Võrguseadmed===

Käesoleva teksti tähenduses mõeldakse võrguseadme all arvuti füüsilist või loogilist võrguseadet, nt

* füüsiline võrguseade - Linux puhul wlan0, eth0, eth1 jne; BSD puhul nt em0, bnx0 jne
* lokaalne võrguseade - Linux puhul lo; BSD puhul lo1, lo2
* sild - Linux puhul nt br0, br1; BSD puhul bridge0
* VLAN seade - Linux puhul nt vlan513, BSD puhul vlan513

Võrguseadmete jälgimisel tuleb arvestada, et arvuti kohalik liiklus toimub üle lokaalse võrguseadme, kusjuures ka juhtumil kui arvuti eth0 seadmele on omistatud nt aadress 192.168.1.15 ning arvutist pöördutakse selle aadressi poole.

===tcpdump===

Programm tcpdump (kuulub paljude operatsioonisüsteemide tarkvara põhiosa koosseisu) abil saab nö kuulata võrguseadmel pealt liiklust. Tulemust võib salvestada fail täies mahus või esitada ip paketti puudutavaid huvipakkuvaid andmeid programmi standardväljundisse. Oluline on tähele panna, et tcpdump kuulab liiklust seadel, st sisenevad paketid paistavad nii nagu nad olid enne RDR-teisendust ning väljuvad paketid on sellised nagu nad on peale NAT-teisendust.

tcpdump programmiga saab filtreerida liiklust selliste standardsete tunnuste järgi

* protokoll (nt icmp, tcp, udp, arp)
* andmevahetuse lähte ja sihtpunkti ip aadress
* andmevahetuse lähte ja sihtpunkti port
* ip paketi lippude järgi (nt salvestada vaid SYN pakette)
* paketi suurus

OpenBSD puhul lisanduvad järgmised võimalused

* paketifiltri reegli number, ''
* paketifiltri reegline määratud tegevus (pass, block, nat, rdr jt ning logitud liiklus)

Pakettide korjamise alustamiseks kindlalt võrguseadmelt

# tcpdump -i ed0

Oletame, et kahtlustame broadcast pakette ning seda, et nad
aeglustavad võrgutööd:

# tcpdump -i ed0 broadcast

Uurime kahe masina vahelist liiklust

# tcpdump -i ed0 host klient and server

Veel täpsep on vaadata

# tcpdump -i ed0 src host klient and dnst host server

Kõigi arvuti võrguseadmete peal töötamiseks sobib öelda

# tcpdump -i any ...

====ICMP====

Kui näiteks on kahtlusi kas kaks arvutit, 192.168.10.210 ja 192.168.10.11 (vastav võrguseade olgu em0) näevad üksteist, siis tuleks arvutis 192.168.10.210 öelda

# ping 192.168.10.11
PING 192.168.10.11 (192.168.10.11): 56 data bytes
64 bytes from 192.168.10.11: icmp_seq=0 ttl=64 time=0.422 ms
64 bytes from 192.168.10.11: icmp_seq=1 ttl=64 time=0.306 ms

ning teises arvutis võrguseadmel em0 ICMP protokolli filtreerimiseks tuleb öelda

# tcpdump -nettti em0 icmp
tcpdump: listening on em0, link-type EN10MB
May 19 16:23:10.480585 00:0e:0c:ba:4b:3e 00:16:3e:6a:0c:4b 0800 98: 192.168.10.210 > 192.168.10.11: icmp: echo request
May 19 16:23:10.480829 00:16:3e:6a:0c:4b 00:0e:0c:ba:4b:3e 0800 98: 192.168.10.11 > 192.168.10.210: icmp: echo reply
May 19 16:23:11.490525 00:0e:0c:ba:4b:3e 00:16:3e:6a:0c:4b 0800 98: 192.168.10.210 > 192.168.10.11: icmp: echo request
May 19 16:23:11.490639 00:16:3e:6a:0c:4b 00:0e:0c:ba:4b:3e 0800 98: 192.168.10.11 > 192.168.10.210: icmp: echo reply

Väljundina esitatakse

* paketi jälgimise aeg (-ttt, vt man tcpdump -t erinevaid variante)
* kummagi poole MAC aadressid (-e)
* paketi ethertype (-e, 0800 on ipv4 protokoll)
* ip paketi suurus baitides
* osaliste ip aadressid nimelahenduseta kujul (-n)
* paketi sisulisemad andmed, antud juhul on tegu icmp echo pärginute ja vastustega

Antud juhul saab järeldada, et võrguühendus arvutite vahel on olemas. St kuigi ping ise näitab väljundit annab teises arvutis võrgu pealtkuulamine täieliku kinnituse, et paketid just sinna välja jõuavad.

====TCP====

tcpdump võimaldab kasutada avaldisi, millega peab pakett klappima, nt SYN pakettide jälgmiseks

# tcpdump -n -i em0 'tcp[13] & 2 != 0' and dst 10.0.6.180 and port 80

TCP liikluse tõlgendamine

22:05:25.828149 10.50.96.138.50215 > 10.184.32.82.80: S 1263958777:1263958777(0) win 5840 \
<mss 1460,sackOK,timestamp 787576523 0,nop,wscale 6> (DF)
22:05:25.845445 10.184.32.82.80 > 10.50.96.138.50215: S 1989118317:1989118317(0) ack 1263958778 win 5792 \
<mss 1460,sackOK,timestamp 539529245 787576523,nop,wscale 6> (DF)
22:05:25.845896 10.50.96.138.50215 > 10.184.32.82.80: . ack 1 win 92 <nop,nop,timestamp 787576527 539529245> (DF)
22:05:25.845908 10.50.96.138.50215 > 10.184.32.82.80: P 1:134(133) ack 1 win 92 <nop,nop,timestamp 787576527 539529245> (DF)
22:05:25.856417 10.184.32.82.80 > 10.50.96.138.50215: . ack 134 win 108 <nop,nop,timestamp 539529249 787576527> (DF)
22:05:25.862904 10.184.32.82.80 > 10.50.96.138.50215: . 1:1449(1448) ack 134 win 108 <nop,nop,timestamp 539529249 787576527> (DF)
22:05:25.863286 10.50.96.138.50215 > 10.184.32.82.80: . ack 1449 win 137 <nop,nop,timestamp 787576532 539529249> (DF)
22:05:25.868800 10.184.32.82.80 > 10.50.96.138.50215: . 1449:2897(1448) ack 134 win 108 <nop,nop,timestamp 539529249 787576527> (DF)
22:05:25.869206 10.50.96.138.50215 > 10.184.32.82.80: . ack 2897 win 182 <nop,nop,timestamp 787576533 539529249> (DF)
22:05:25.878659 10.184.32.82.80 > 10.50.96.138.50215: . 2897:4345(1448) ack 134 win 108 <nop,nop,timestamp 539529253 787576532> (DF)
22:05:25.879036 10.50.96.138.50215 > 10.184.32.82.80: . ack 4345 win 227 <nop,nop,timestamp 787576536 539529253> (DF)
...

kus

* esimene rida vastab ühenduse algatamise SYN paketile
* mss 1460 - tcp maximum segment size väärtus, ütleb teisele poolele, kui suuri tcp pakette saata
* sackOK - selective acknowledgement on ok paketi saatja jaoks
* win 5840 - paketi saatja teatab paketi vastuvõtjale, et tal on puhvrit võtta ise pakette vastu 5840 baiti
* win 92 - kuna alguses lepiti kokku wscale=6, siis 92 tähendab 92 * 2^6 = 5888 baiti
* ack arv - loeb kui palju baite on paketi saatja teise poole käest vastu võtnud;
* DF - kõigil pakettidel on seatud don't fragment
* nop - not operating, sisuliselt kasutatakse paddinguks
* 1449:2897(1448) - sulgudes olev väärtus on tcp paketi sisu suurus baitides
* kasutades lisaks võtit -e esitatakse eraldi tulbas ethnerneti frame sees kantud protokolli nimi, nt ip ning vastava paketi suurus

====ARP====

Huvitav on tähele panna, et tcpdump tegeleb mitme protokolliga, nt ip (0800) ja arp (0806) protokolli pakettidega, mis on saadetud arp broadcast aadressile

# tcpdump -nei re0 ether host ff:ff:ff:ff:ff:ff
tcpdump: listening on re0, link-type EN10MB
11:00:49.928582 00:0e:0c:b0:96:b6 ff:ff:ff:ff:ff:ff 0800 210: 192.168.10.10.631 > 192.168.10.255.631: udp 168 (DF)
11:01:08.024422 00:16:3e:00:00:01 ff:ff:ff:ff:ff:ff 0800 249: 192.168.10.41.138 > 192.168.10.255.138: udp 207
11:01:26.338380 00:1b:21:1d:f6:06 ff:ff:ff:ff:ff:ff 0806 60: arp who-has 192.168.10.254 tell 192.168.10.250

Kui tcpdump väljundit on vaja saata toru kaudu mõne teksti töötlevale programmile edasi on asjakohane kasutada lisaks -l võtit, mis puhverdab rea kaupa, nt

# tcpdump -nlei re0 ether host ff:ff:ff:ff:ff:ff | grep 0806

====Liikluse salvestamine faili====

Selleks, et salvestada tulemus ka faili:

# tcpdump -i ed0 -w liiklus.log

Liikluse faili salvestamiseks sobib öelda nö tavalise MTU'ga (1,5 kBaiti) võrgus nt (-s 0 võti tähendab, et salvestatakse kõik paketi sisu suurusest hoolimata)

# tcpdump -s 1600 -w /tmp/liiklus.log -i em0 host 10.0.6.180 and port 80

Selliselt salvestatud liikluse analüüsimiseks sobib öelda nt

# tcpdump -r /tmp/liiklus.log

====IP====

Kui IP kihis leiab aset pakettide fragmenteerumine, siis paistab see tcpdump väljundis nt selliselt

23:43:36.802989 10.100.0.161.32545 > 10.100.1.190.80: S 3394332515:3394332515(0) win 16384 \
<mss 8960,nop,nop,sackOK,nop,wscale 0,nop,nop,timestamp 3055259272 0>
23:43:36.803982 10.100.1.190.80 > 10.100.0.161.32545: S 2791894032:2791894032(0) ack 3394332516 win 16384 \
<mss 8960,nop,nop,sackOK,nop,wscale 0,nop,nop,timestamp 313564159 3055259272>
23:43:36.805275 10.100.0.161.32545 > 10.100.1.190.80: . ack 1 win 16384 <nop,nop,timestamp 3055259272 313564159>
23:43:36.805527 10.100.0.161.32545 > 10.100.1.190.80: P 1:67(66) ack 1 win 16384 <nop,nop,timestamp 3055259272 313564159>
23:43:36.809486 10.100.1.190.80 > 10.100.0.161.32545: . 1:1449(1448) ack 67 win 17896 \
<nop,nop,timestamp 313564159 0> (frag 35143:1480@0+)
23:43:36.809503 10.100.1.190 > 10.100.0.161: (frag 35143:1480@1480+)
23:43:36.809515 10.100.1.190 > 10.100.0.161: (frag 35143:1480@2960+)
23:43:36.809527 10.100.1.190 > 10.100.0.161: (frag 35143:1480@4440+)
23:43:36.809539 10.100.1.190 > 10.100.0.161: (frag 35143:1480@5920+)
23:43:36.809554 10.100.1.190 > 10.100.0.161: (frag 35143:824@7400)
23:43:36.810014 10.100.1.190.80 > 10.100.0.161.32545: P 8193:9641(1448) ack 67 win 17896 \
<nop,nop,timestamp 313564159 0> (frag 46914:1480@0+)
23:43:36.810030 10.100.1.190 > 10.100.0.161: (frag 46914:1480@1480+)
23:43:36.810045 10.100.1.190 > 10.100.0.161: (frag 46914:1452@2960)
23:43:36.810157 10.100.1.190.80 > 10.100.0.161.32545: F 12573:12573(0) ack 67 win 17896 <nop,nop,timestamp 313564159 0>
23:43:36.813600 10.100.0.161.32545 > 10.100.1.190.80: . ack 8193 win 16384 <nop,nop,timestamp 3055259272 313564159>
23:43:36.813856 10.100.0.161.32545 > 10.100.1.190.80: . ack 12574 win 12004 <nop,nop,timestamp 3055259272 313564159>
23:43:36.816244 10.100.0.161.32545 > 10.100.1.190.80: F 67:67(0) ack 12574 win 16384 <nop,nop,timestamp 3055259272 313564159>
23:43:36.817042 10.100.1.190.80 > 10.100.0.161.32545: . ack 68 win 17896 <nop,nop,timestamp 313564159 0>

kus

* (frag 35143:1480@0+) - järgnevad IP fragmendid
* (frag 35143:824@7400) - viimane IP fragment kuna järel + märk puudub

ICMP pakettide puhul on fragmenteerimist veel otsekohesem jälgida, öeldes ühes aknas

# ping -c 1 -s 6000 192.168.209.245
PING 192.168.209.245 (192.168.209.245): 6000 data bytes
6008 bytes from 192.168.209.245: icmp_seq=0 ttl=56 time=74.206 ms

võib võrku pealt kuulates paista midagi sellist

22:30:44.799162 84.50.96.138 > 192.168..209.245: icmp: echo request (frag 36688:1480@0+)
22:30:44.799168 84.50.96.138 > 192.168..209.245: (frag 36688:1480@1480+)
22:30:44.799175 84.50.96.138 > 192.168..209.245: (frag 36688:1480@2960+)
22:30:44.799180 84.50.96.138 > 192.168..209.245: (frag 36688:1480@4440+)
22:30:44.799187 84.50.96.138 > 192.168..209.245: (frag 36688:88@5920)
22:30:44.872529 192.168.209.245 > 84.50.96.138: icmp: echo reply (frag 42199:1480@0+)
22:30:44.872674 192.168.209.245 > 84.50.96.138: (frag 42199:1480@1480+)
22:30:44.872774 192.168.209.245 > 84.50.96.138: (frag 42199:1480@2960+)
22:30:44.872899 192.168.209.245 > 84.50.96.138: (frag 42199:1480@4440+)
22:30:44.872913 192.168.209.245 > 84.50.96.138: (frag 42199:88@5920)

===ping===

Kuulub enamuse operatsioonisüsteemide pakettide hulka

Ping utiliidi abil saab hõlpasti veenduda, et kahe punkti vahel on füüsiliselt võrguühendus olemas. Ping kasutab andmevahetuseks ICMP (Internet Control Message Protocol) protokolli ja arusaadavalt ei tohi sellise kontrolli õnnestumiseks kahe punkti vahel olla ICMP protokolli kasutamine takistatud, täpsemini ICMP echo request ja ICMP echo reply sõnumite vahetamine.

Kasutamiseks tuleb ühes punktis öelda

# ping 192.168.10.11
PING 192.168.10.11 (192.168.10.11): 56 data bytes
64 bytes from 192.168.10.11: icmp_seq=0 ttl=64 time=3.922 ms
64 bytes from 192.168.10.11: icmp_seq=1 ttl=64 time=0.286 ms
64 bytes from 192.168.10.11: icmp_seq=2 ttl=64 time=0.274 ms
64 bytes from 192.168.10.11: icmp_seq=3 ttl=64 time=0.193 ms

Väljundist on näha, et pöördutud aadress vastab, vastused on järjekorras ja kadudeta saabunud ning vastuse saamise aeg on suhteliselt stabiilne. Võib järeldada, et võrk toimib.

Kasutades võtit -n ei püüa Ping lahendada nimesid, tihti seisneb võrgu nö mittetöötamine valesti konfigureeritud nimeserveris või nimeserveri mittekasutamises.

Pingimise intervalli võib ka vähendada järgnevalt:

# ping -i 0 -c 5 neti.ee

Silmas tasub ainult sel juhul pidada järgnevaid asju:

*flood ping (intervall 0) on masinate kiusamine, mõned tulemüürid võivad seda spetsiifiliselt detectida ja blokkida,
*mida lühem intervall, seda hüplikumaks muutub tulemus, pendeldades rohkem 100% ja 0% vahel,
*alla 1 sek intervalliga ping tuleb ruudu poolt käivitada.

===traceroute===

Samuti enamuse operatsioonisüsteemides leiduv programm

Traceroute utiliidi abil saab jälgida, millistest võrgusõlmedest käib kahe punkti vahel toimuv liiklus läbi. Traceroute kasutab andmevahetuseks vaikimisi UDP protokolli ning asjaolu, et kui IP pakett läbib võrgusõlme, siis vähendatakse päises olevat TTL väärtust ühe võrra kusjuures kui võrgusõlme jõuab pakett, mille TTL väärtus on üks, siis saadetakse tagasi ICMP vastus

icmp: time exceeded in-transit

UDP pakett saadetakse vaikimisi porti 33434 (eeldades, et sihtpunktiks olevas arvutis ei kuula seal teenust). Esimese paketi TTL on väärtusega 1 ning 'icmp: time exceeded in-transit' saadakse vaikelüüsilt. Järgmise paketi TTL seatakse 2 ning 'icmp: time exceeded in-transit' saadakse järgmises võrgu sõlmpunktis asuvalt ruuterilt jne kuni lõpuks UDP puhul saadakse sihtpunktilt vastuseks

icmp: 172.168.1.1 udp port 33443 unreachable

UDP asemel on võimalik kasutada ka ICMP või TCP protokolli, aga UDP annab praktikas kõige paremaid tulemusi. Toome näite kasutades ICMP protokolli kuna liiklust sisaldavas võrgus on tulemust nii parem näha ja esitada. Ütleme arvuti ühes promptis

# traceroute -n -q 1 -I cache.eenet.ee
traceroute to cache.eenet.ee (193.40.133.134), 64 hops max, 40 byte packets
1 195.80.102.33 0.494 ms
2 213.184.51.121 0.418 ms
3 194.116.188.19 0.524 ms
4 193.40.133.187 4.724 ms
5 193.40.133.134 3.760 ms

kus

* väljundis esitatakse järjekorras kõigi võrgusõlmede aadressid, mida pakett läbib sihtpunkti jõudmiseks; täpsemalt, need on võrgusõlmpunktide traceroute kasutaja poolsete võrguseadmede aadressid
* iga aadressi järel esitatakse vastuse tagasijõudmiseks kulunud aeg, kusjuures aeg esitatakse iga rea kohta eraldi st viimase rea aeg ei ole kõige aegade summa (antud juhul on see ka selgesti näha, et mingil põhjusel jõudis viimase hosti juurest vastus kiiremini tagasi kui eelviimasest)

Kuulates samas arvutis liiklust pealt teises promptis näeme

# tcpdump -nttti em3 icmp
tcpdump: listening on em3, link-type EN10MB
May 19 18:12:08.419036 195.80.102.35 > 193.40.133.134: icmp: echo request [ttl 1]
May 19 18:12:08.419459 195.80.102.33 > 195.80.102.35: icmp: time exceeded in-transit [tos 0xc0]
May 19 18:12:08.419659 195.80.102.35 > 193.40.133.134: icmp: echo request
May 19 18:12:08.419957 213.184.51.121 > 195.80.102.35: icmp: time exceeded in-transit [tos 0xc0]
May 19 18:12:08.420152 195.80.102.35 > 193.40.133.134: icmp: echo request
May 19 18:12:08.420582 194.116.188.19 > 195.80.102.35: icmp: time exceeded in-transit
May 19 18:12:08.420760 195.80.102.35 > 193.40.133.134: icmp: echo request
May 19 18:12:08.424455 193.40.133.187 > 195.80.102.35: icmp: time exceeded in-transit
May 19 18:12:08.424638 195.80.102.35 > 193.40.133.134: icmp: echo request
May 19 18:12:08.428660 193.40.133.134 > 195.80.102.35: icmp: echo reply

Vahel esineb traceroute väljundis real * märk, mis tähendab, et vaatlusalune võrgusõlm ei vastanud 'icmp: time exceeded in-transit' teatega või see teade ei jõudnud kohale

# traceroute -n -q 1 -I www.eenet.ee
traceroute to www.eenet.ee (193.40.0.131), 64 hops max, 60 byte packets
1 84.50.96.137 58.500 ms
2 88.196.144.137 5.230 ms
3 90.190.153.17 4.325 ms
4 195.250.191.17 8.805 ms
5 *
6 194.116.188.19 9.124 ms
7 193.40.133.187 11.953 ms
8 193.40.0.131 11.744 ms

TCP ja port 80 tracroute

# traceroute -n -q 1 -T www.eenet.ee -p 80
traceroute to www.eenet.ee (193.40.0.131), 30 hops max, 60 byte packets
1 10.0.0.1 0.313 ms
2 184.50.25.1 0.659 ms
3 184.50.157.2 5.896 ms
4 213.168.1.18 3.562 ms
5 213.168.1.27 3.680 ms
6 195.250.170.70 3.797 ms
7 193.40.133.6 6.987 ms
8 193.40.133.26 7.113 ms
9 193.40.0.131 7.993 ms

===tracepath===

tracepath programmi abil saab teha kindlaks Path MTU väärtusi, paigaldamiseks tuleb Debian Lenny keskkonnas öelda

# apt-get install iputils-tracepath

Kasutamisene toimub selliselt

$ tracepath -n 192.168.1.4
1: 192.168.10.10 0.062ms pmtu 1500
1: 192.168.10.210 0.444ms
1: 192.168.10.210 0.220ms
2: 192.168.1.4 0.835ms reached
Resume: pmtu 1500 hops 2 back 63

Kasulikud lisamaterjalid

* http://en.wikipedia.org/wiki/Path_MTU_Discovery

===nmap===

Programm nmap on populaarne võrgu kaardistamise vahend, mida võrguadministraatorid ja süsteemiadministraatorid armastavad kasutada teenuste kontrollimiseks, samuti diagnostikavahendina probleemide või kahtluste olemasolul. Lisaks tundub, et pahalased kasutavad sarnast võrgu kaardistamise vahendit ründe sihtmärkide kindlakstegemiseks. Nmap töö põhineb erinevate omadustega pakettide väljasaatmisel ning vastuste (sh saamatajätmise) analüüsil. Üldiselt võiks eristada kahte taset nmapi kasutamisel

* võrgus arvutite leidmine (ingl. k. host discovery)
* üksikute arvutite omaduste kindlakstegemine (nt millistel portidel pakutakse teenust) (ingl. k. port scanning)

Nmap ei kuulu enamuse operatsioonisüsteemi baaskonfiguratsiooni ning tuleb eelnevalt
paketihalduse vahenditega paigaldada

Nt Debian v. 7 Wheezy puhul sobib öelda, et ei paigaldatakse hulka Recommends olekus pakette

# apt-get --no-install-recommends install nmap

====võrgust arvutite leidmine====

Võrgus arvutite kindlakstegemiseks on nmap'il kaks võtitit, -sL ja -sP

Selleks, et lihtsalt kuvada subnetis olevad ip aadressid koos pöördteisendustega, mingit skaneerimist ei toimu

# nmap -sL 192.168.1.0/24

Starting Nmap 4.53 ( http://insecure.org ) at 2008-06-23 22:30 EEST
Host 192.168.1.0 not scanned
Host sipsik.loomaaed.tartu.ee (192.168.1.1) not scanned
Host www.loomaaed.tartu.ee (192.168.1.2) not scanned
Host vaktsiin.loomaaed.tartu.ee (192.168.1.3) not scanned
Host loomaaed.tartu.ee (192.168.1.4) not scanned
Host 192.168.1.5 not scanned
Host hilja.loomaaed.tartu.ee (192.168.1.6) not scanned
..
Nmap done: 256 IP addresses (0 hosts up) scanned in 0.142 seconds

Selleks, et saada subnetis olevate arvutite mac aadresside nimekirja sobib öelda

# nmap -sP 192.168.1.0/24 -n

Starting Nmap 4.53 ( http://insecure.org ) at 2008-06-23 23:03 EEST
Host 192.168.1.1 appears to be up.
MAC Address: 00:16:3E:1C:3C:B3 (Xensource)
Host 192.168.1.2 appears to be up.
MAC Address: 00:16:3E:2C:7E:DD (Xensource)
Host 192.168.1.3 appears to be up.
MAC Address: 00:18:F8:E5:F8:F2 (Cisco-Linksys)
Host 192.168.1.4 appears to be up.
MAC Address: 00:0C:42:07:1A:46 (Routerboard.com)
Nmap done: 256 IP addresses (5 hosts up) scanned in 6.054 seconds

Kui nö teises aknas võrku kuulata, näeb, et nmap teeb subneti iga ip aadressi kohta arp päringu, väga efektiivne moodus arvuti olemasolu kindlakstegemiseks

# tcpdump -nettti fxp1 arp
Jun 23 22:49:26.743432 00:02:55:ee:42:72 ff:ff:ff:ff:ff:ff 0806 42: arp who-has 192.168.1.1 (ff:ff:ff:ff:ff:ff) tell 192.168.1.254
Jun 23 22:49:26.743466 00:02:55:ee:42:72 ff:ff:ff:ff:ff:ff 0806 42: arp who-has 192.168.1.2 (ff:ff:ff:ff:ff:ff) tell 192.168.1.254
Jun 23 22:49:26.943286 00:02:55:ee:42:72 ff:ff:ff:ff:ff:ff 0806 42: arp who-has 192.168.1.3 (ff:ff:ff:ff:ff:ff) tell 192.168.1.254
Jun 23 22:49:26.943339 00:02:55:ee:42:72 ff:ff:ff:ff:ff:ff 0806 42: arp who-has 192.168.1.4 (ff:ff:ff:ff:ff:ff) tell 192.168.1.254
..

Kui sedasi pöörduda mittelokaalse võrgu poole, siis nmap saadab icmp echo requesti ning tcp ack paketi porti 80 (mis tavaliselt ei saa tulemüüridest edasi, kuna ei kuulu ühenduse hulka) ning näitab samuti tulemust.

Lisaks saab -sP võtmega koos kasutada nn probe'isid (-PS, -PA jt) võtmeid, et vaikimisi käitumist muuta.

Nmap programmi võrgust arvutite leidmise protseduuri väljundi saab salvestada faili, et seda seejärel üksikute arvutite omaduste kindlakstegemiseks kasutada, näiteks selliselt, -oG võtme kasutamisel salvestatakse väljund võimalikult nö grep'itavas formaadis

# nmap -sP 192.168.1.0/24 -oG /tmp/nmap-192.168.1.0-24.log

====Üksikute arvutite omaduste kindlakstegemine====

Üksikute arvutite omaduste all mõeldaks seda, millises olekus on tema erinevad pordid, näiteks

* open - pordil töötab rakendus
* closed - pordile ei ole ligipääs takistatud, aga rakendust ei tööta (tavaliselt saadab arvuti nmapile vastuseks RST paketi)
* filtered - nmap ei saa kindlaks teha pordi olekut (kas open või closed) kuna vaatlusaluses endas või tema eest töötab paketifilter

Tegemaks kindlaks, kas failis /tmp/192.168.1.0-24.log sisalduvatel ip aadressidel vastab SYN paketile 22 port tuleb näiteks öelda

# nmap -p T:22 -sS -iL /tmp/nmap.log -PN -oG -

* -oG - tundub, et väljund on sedasi pisut paremini loetav kui vaikimisi
* -PN - nmap ei soorita taustal nn host discovery't, kui tcpflow abil liiklust jälgida, on pilt selgem

Sedasi on näiteks ka hea kontrollida, kas oma synproxy režiimis käivitatud tulemüür ikka toimib nõuetekohaselt.

Nmap võimaldab vaatlusaluse arvuti tcp/ip stackiga suhtlemisel saadud info põhjal kaudselt ennustada selle arvuti operatsioonisüsteemi ning portidel kuulavate tarkvarade versioonid

# nmap -A 192.168.0.239
Starting Nmap 4.53 ( http://insecure.org ) at 2008-04-10 23:12 EEST
Interesting ports on 192.168.0.239:
Not shown: 1711 closed ports
PORT STATE SERVICE VERSION
22/tcp open ssh OpenSSH 4.7p1 Debian 2 (protocol 2.0)
MAC Address: 00:11:25:85:64:34 (IBM)
Device type: general purpose
Running: Linux 2.6.X
OS details: Linux 2.6.17 - 2.6.20
Uptime: 0.640 days (since Thu Apr 10 07:51:45 2008)
Network Distance: 1 hop
Service Info: OSs: Unix, Linux

OS and Service detection performed. Please report any incorrect results at http://insecure.org/nmap/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 20.592 seconds

TCP handshake'i tegemiseks sobib kasutada, nn connect scan

# nmap -p T:443 -sT -PN 192.168.0.239

Lisaks saab seada tcp paketi lippe ka näidates vajalikud lipud otse, nt seada SYN ja ACK, korrektselt seadistatud tulemüürist selline pakett läbi minna ei tohiks

# nmap -p T:80 --scanflags SYNACK -PN 192.168.0.239

IP aadressiga seotud portide vahemiku tcp handshake skaneerimine

# nmap -p T:22-100 -sT -Pn 192.168.0.111

kus

* -p T:22-100 - portide vahemik ja TCP (tegelikult -T on ta niikuinii antud juhul ja selle võiks ka ära jätta)
* -Pn - mitte pingida, st saadetakse vaid tcp syn jne pakette
* -sT - tcp handshake skaneerimine

====Võrgust teatud omadustega arvutite otsimine====

# nmap -PS -p 443 192.168.2.200-245

kus

* -PS - tcp syn
* -p 443 - port
* 192.168.2.200-245 - ip vahemik

====Turvavigade kontroll====

Tööks vajalikud huvitavad failid asuvad kaustas nmap/scripts/smb-check-vulns.nse
nt FreeBSD's /usr/local/share/nmap/scripts/

Ideepoolest peaks töötama ka käsk

# nmap --script-updatedb
Starting Nmap 4.85BETA7 ( http://nmap.org ) at 2009-09-15 00:33 EEST
NSE script database updated successfully.
Nmap done: 0 IP addresses (0 hosts up) scanned in 0.23 seconds

Salvestame nmapi töö faili mis meie subneti nimeline ning viime läbi
SYN skänni pordile 445 ning käivitame SMB vigade kontrollimiseks mõeldud NSE skripti
ja teeme seda kõigile arvutitele 192.168.1.0/24 võrgus.

nmap -oA 192168-filename -sS -p445 --script smb-check-vulns.nse 192.168.1.0/24

Tulemused võivad välja näha näiteks järgnevad

Interesting ports on kasutaja.zoo.tartu.ee (192.168.1.5):
PORT STATE SERVICE
445/tcp open microsoft-ds
MAC Address: 00:03:0D:51:E5:CA (Uniwill Computer)

Host script results:
|_ smb-check-vulns: This host is likely vulnerable to MS08-067 (it
stopped responding during the test)

Skriptide poole pöördudes võib kasutada ka järgmist lähenemist:

nmap --script "http-*"

Mis laadib kõik skriptid millede nimi agab httpd- reaga, näiteks http-auth ja http-open-proxy

Või siis laadime kõik skriptid, välja arvatud intrusive kategooriast:

nmap --script "not intrusive"

Vaikimisi kategoriseeritud default ja safe kataloogi.

nmap --script "default or safe"

====nping====

nmap paketi koosseisu kuulub nping programm, mis on natuke sarnane oma võimlustelt hping ja pingile.

TODO

====ncat====

nmap paketi koosseisu kuulub ncat programm, mis on natuke sarnane oma võimalustelt netcat programmile.

===arping===

Erinevalt programmist ping, mis saadab võrku ip pakette (ethertype 0x0800) tekitab arping arp pakette (ethertype 0x0806). Kui ühes aknas pingida/arpingida ja teises jälgida liiklust, siis paistavad erinevused sellised

Tuleb eelnevalt paigaldada operatsioonisüsteemi pakihalduse vahendite abil

# ping 192.168.10.251

# tcpdump -nettti em0 arp or icmp
Jun 24 13:27:08.032376 00:0e:0c:ba:4b:3e 00:0c:42:07:1a:45 0800 98: 192.168.10.210 > 192.168.10.251: icmp: echo request
Jun 24 13:27:08.032511 00:0c:42:07:1a:45 00:0e:0c:ba:4b:3e 0800 98: 192.168.10.251 > 192.168.10.210: icmp: echo reply

# arping 192.168.10.251

# tcpdump -nettti em0 arp or icmp
Jun 24 13:27:10.069533 0c:80:18:03:00:00 ff:ff:ff:ff:ff:ff 0806 42: arp who-has 192.168.10.251 tell 192.168.10.210
Jun 24 13:27:10.069644 00:0c:42:07:1a:45 0c:80:18:03:00:00 0806 60: arp reply 192.168.10.251 is-at 00:0c:42:07:1a:45

===Ssmpingiga multicasti toimimise testimine===

Multicast ehk multiedastus võimaldab ühe saatekorraga edastada sama infot korraga valitud arvutite rühmale. Seda ei tohi segi ajada broadcastiga, mis edastab paketi absoluutselt kõigile võrgus olevatele masinatele. Multicasti töötamise jaoks on switchis tarvilik IGMP (Internet Group Management Protocol) tugi (snooping ja query). Ruuteril on tarvilik "multicast routing" tuge. Multiedastust kasutatakse laialdaselt audio-video ülekandmiseks ja clustri nodede sünkroniseerimiseks. Rumalad ja mittemanageeritavad switchid võivad multiedastus teated edastada kui broadcasti kõigisse switchi portidesse ja tekitada seega võrgus üleliigst liiklust. IGMP Snoopingu halvaks küljeks on aga suurem switchi protsessori ja mälu kasutus.

http://et.wikipedia.org/wiki/Multiedastus
http://en.wikipedia.org/wiki/Multicast

Kahe masina vahel multicasti tesitmine ssmpingi abil. Paigaldamiseks

# apt-get install ssmping

Esimeses masinas

# ssmpingd

Teises masinas

# ssmping -I eth0 <IP aadress>

Tulem võiks näha välja järgnev

asmping joined (S,G) = (*,224.0.2.234)
pinging 192.168.8.6 from 192.168.8.5
unicast from 192.168.8.6, seq=1 dist=0 time=0.221 ms
unicast from 192.168.8.6, seq=2 dist=0 time=0.229 ms
multicast from 192.168.8.6, seq=2 dist=0 time=0.261 ms
unicast from 192.168.8.6, seq=3 dist=0 time=0.198 ms
multicast from 192.168.8.6, seq=3 dist=0 time=0.213 ms
unicast from 192.168.8.6, seq=4 dist=0 time=0.234 ms
multicast from 192.168.8.6, seq=4 dist=0 time=0.248 ms
unicast from 192.168.8.6, seq=5 dist=0 time=0.249 ms
multicast from 192.168.8.6, seq=5 dist=0 time=0.263 ms
unicast from 192.168.8.6, seq=6 dist=0 time=0.250 ms
multicast from 192.168.8.6, seq=6 dist=0 time=0.264 ms
unicast from 192.168.8.6, seq=7 dist=0 time=0.245 ms
multicast from 192.168.8.6, seq=7 dist=0 time=0.260 ms

Nii unicast kui multicast tunduvad töötavat.

Võime testida ka mõne kaugema serveri pihta:

# ssmping ssmping.uninett.no
ssmping joined (S,G) = (2001:700:0:4501:158:38:0:230,ff3e::4321:1234)
pinging S from 2001:bb8:2001:2:21b:21ff:fe65:54c9
unicast from 2001:700:0:4501:158:38:0:230, seq=1 dist=14 time=39.017 ms
unicast from 2001:700:0:4501:158:38:0:230, seq=2 dist=14 time=38.840 ms
unicast from 2001:700:0:4501:158:38:0:230, seq=3 dist=14 time=38.950 ms
unicast from 2001:700:0:4501:158:38:0:230, seq=4 dist=14 time=38.704 ms
--- 2001:700:0:4501:158:38:0:230 statistics ---
4 packets transmitted, time 3564 ms
unicast:
4 packets received, 0% packet loss
rtt min/avg/max/std-dev = 38.704/38.877/39.017/0.269 ms
multicast:
0 packets received, 100% packet loss

Viimase näite puhul multicast üle ipv6 ei paista töötavat. Unicast aga küll..

===Ethtool===

Selleks, et vaadata ühenduse parameetreid ning seda, kas võrgukaarti on ühendatud kaabel või ei ole on olemas töövahend ethtool. Üsna sageli võib olla segadus, et serveril
on 4+ võrguseadet ning raske öelda kuidaspidi on udev nad jaganud

# apt-get install ethtool

Kasutamine

# ethtool eth0

Ja sealt antud infost saab vaadata nt välja

Link detected: yes

Rohkema info omandamiseks

# ethtool -i eth5
driver: i40e
version: 1.2.37
firmware-version: f4.22.27454 a1.2 n4.25 e143f
bus-info: 0000:06:00.1
supports-statistics: yes
supports-test: yes
supports-eeprom-access: yes
supports-register-dump: yes
supports-priv-flags: yes

===tcpflow===

Programm tcpflow abil on hea uurida rakenduskihile vastavate andmete liikumist võrgus, nt jälgida http päringud ja vastuseid. tcpflow salvestab käesolevasse kataloogi (ingl. k. current directory) tabatud liikluse automaatselt moodustatud failinimesid kasutades

Tuleb eelnevalt paigaldada operatsioonisüsteemi vahendite abil

# mkdir /tmp/ftp.aso.ee
# cd /tmp/ftp.aso.ee
# tcpflow -i rl0 host ftp.aso.ee
# ls -l
total 8
-rw-r--r-- 1 root wheel 104 Jun 13 10:22 084.050.096.138.50120-213.184.032.082.00080
-rw-r--r-- 1 root wheel 847 Jun 13 10:22 213.184.032.082.00080-084.050.096.138.50120

Failinimedes kasutatakse kasutatud pordinumbreid, päring

# cat 084.050.096.138.50120-213.184.032.082.00080
GET /README HTTP/1.0
User-Agent: Wget/1.11.2
Accept: */*
Host: ftp.aso.ee
Connection: Keep-Alive

ning vastus

# cat 213.184.032.082.00080-084.050.096.138.50
HTTP/1.1 200 OK
Date: Fri, 13 Jun 2008 07:22:50 GMT
Server: Apache
Last-Modified: Mon, 05 Nov 2007 19:14:36 GMT
ETag: "1c980fa-22e-53bd1f00"
Accept-Ranges: bytes
Content-Length: 558
Keep-Alive: timeout=15, max=100
Connection: Keep-Alive
Content-Type: text/plain; charset=UTF-8

Welcome to the Estonian Informatics Center's FTP server!

On this server are hosted following software distributions

Debian GNU/Linux - /debian
Ubuntu Linux - /pub/ubuntu
Mandriva Linux - /pub/Mandrake
X-Road System - /pub/x-tee
Solaris CSW - /pub/csw
OpenBSD - /pub/OpenBSD

You can access data anonymously using http, ftp or rsync protocol and
one of these domainnames:

ftp.aso.ee
ftp.ria.ee
ftp.ee.debian.org

If you have any comments or encounter problems using this archive, please send
them via e-mail to ftpmaster_at_aso.ee.

tcpdump abil salvestatud faile saab uurida

$ tcpflow -r failinimi.pcap

===hping===

Programm hping võimaldab konstrueerida ja võrku saata igasuguseid pakette ja sobib seetõttu hästi nt võrgusõlmede testimiseks. Tarkvarast on kolm populaarset versiooni, hping, hping2 ja hping3. Näiteks SYN paketi tekitamiseks tuleb öelda

Tuleb eelnevalt paigaldada operatsioonisüsteemi vahendite abil

# hping -S -c 4 -p 80 192.168.10.12
HPING farm.loomaaed.tartu.ee (em0 192.168.10.12): S set, 40 headers + 0 data bytes
len=46 ip=192.168.10.12 ttl=56 DF id=60008 sport=80 flags=SA seq=0 win=5840 rtt=9.4 ms
len=46 ip=192.168.10.12 ttl=56 DF id=53433 sport=80 flags=SA seq=1 win=5840 rtt=9.8 ms
len=46 ip=192.168.10.12 ttl=56 DF id=39504 sport=80 flags=SA seq=2 win=5840 rtt=9.5 ms
len=46 ip=192.168.10.12 ttl=56 DF id=54821 sport=80 flags=SA seq=3 win=5840 rtt=9.5 ms

kus võtmed

* -S - konstrueerida SYN pakett
* -c 4 - saata viis paketti
* -i arv - saata intervalliga arv sekundit, vaikimisi ühe sekundise intervalliga
* -p - pordile 80

Näiteks nii saab nö tavalist ICMP pingi sooritada öeldes paketi src aadressiks 192.168.12.144

# hping3 -1 -a 192.168.12.144 192.168.11.145

Fragmenteeritud IP pakettide genereerimiseks sobib öelda

# hping3 -d 5400 -E /tmp/50M -S -c 3 -p 80 192.168.10.12 -m 200

kus

* -d paketi andmeosa suurus
* -E - mida kasutada andmeosa täitmiseks
* -m - mtu suurus

===netcat===

Programm netcat võimaldab hõlpsasti testida võrku, või vahetda arvutite ning programmide vahel infot. Sarnane tuntub programmile socket. Ühes arvutis tuleb ta käivitada porti kuulama öeldes, näiteks faili /tmp/filename.out kopeerimiseks

Tuleb osades operatsioonisüsteemides paigaldada, nt OpenBSD's on ta olemas

# nc -l -p 1010 > /tmp/filename.out

ja teisest pöörduda

# nc teise.arvuti.ip.aadress 1010 < /tmp/filename.out

Linuxi peal töötab sedasi lihtne server

# while true ; do cat /tmp/http.txt | nc -l -p 1500 head --bytes 2000 >>/tmp/requests ; date >>/tmp/requests ; done

Hädapärast saab netcati vahendusel vahendada ka arvutite vahel ja skriptide vahel infot näiteks kuulame 1001 porti ühes masinas

abiks käsk testimisel ka

nc -l -p 1001 | awk -F"," '{print $2}'

Syslogiga suhtlemine

$ echo '<0>message' | nc -w 1 -u 192.168.102.114 514

Whois teenuse kasutamine (20131116 - tundub, et päris nii see alati ei tööta)

$ echo "loomaaed.tartu.ee" | netcat 193.40.0.12 43
The registry database contains only .EE, .COM.EE, .PRI.EE, .FIE.EE,
.ORG.EE and .MED.EE domains.

Registrant:
Tartu Loomaaed
Looma tee 1
TEL 1234 5678
FAX 8765 4321

Domain Name: loomaaed.tartu.ee

Contacts:
Priit Kask priit@loomaaed.tartu.ee
..

Netcat abil saab hõlpsasti demonstreerida kui lihtne on nö pordile shelli külge ühendada (see on üks põhjus, miks tuleb pigem paketifiltriga kasutamata pordid blokeerida), serveris öelda

$ nc -l -p 8443 -e /bin/bash

ja kliendis

$ nc 192.168.10.10 8443
/sbin/route -n
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
0.0.0.0 192.168.10.254 0.0.0.0 UG 0 0 0 eth0
192.168.10.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0

Mingi määratluse järgi jagatakse turvaauke local ja remote alla kuuluvateks. Tihtipeale annavad local augud rohkem võimalusi ja neide parandamisse suhtutaks kergekäelisemalt. Kui selline shell on kasutada, siis arusaadavalt saab eemalt ligi local aukudesse (nt kävitada spetsiaalselt ettevalmistatud faile jms).

Tundub, et uuemal ajal sobib öelda

$ cat /tmp/f | /bin/sh -i 2>&1 | nc -l 127.0.0.1 8443 > /tmp/f

Võrgukiiruse primitiivseks testimine sobib öelda, iseäralik antud juhul on et mõõdetakse puhast võrgukiirust, kohalike ketaste io ei sega

netcat-server$ nc -l -p 6000 > /dev/null
netcat-klient$ nc 192.168.10.189 6000 < /dev/zero

ja liikluse kiiruse hindamiseks öelda ükskõik kummas arvutis

# tcpstat -i eth0 -o "Time:%S\tn=%n\tavg=%a\tstddev=%d\tBaitspersecond=%B\n" -f "tcp and host 192.168.10.189 and port 6000" 1
Time:1463902007 n=11782 avg=1044.15 stddev=672.42 Baitspersecond=12302148.00
Time:1463902008 n=11603 avg=1046.16 stddev=671.66 Baitspersecond=12138628.00
Time:1463902009 n=11367 avg=1056.14 stddev=667.52 Baitspersecond=12005096.00
Time:1463902010 n=11652 avg=1051.81 stddev=669.35 Baitspersecond=12255700.00
Time:1463902011 n=11514 avg=1053.25 stddev=668.74 Baitspersecond=12127072.00

Lisaks peaks jälgima võrguliidestel toimuvat liiklus vigade osas, nt (errors, dropped jt)

# ifconfig
eth0 Link encap:Ethernet HWaddr 00:1c:c0:38:97:a9
inet addr:192.168.10.8 Bcast:192.168.10.255 Mask:255.255.255.0
inet6 addr: fe80::21c:c0ff:fe38:97a9/64 Scope:Link
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:47321279 errors:0 dropped:0 overruns:0 frame:0
TX packets:42781684 errors:0 dropped:0 overruns:0 carrier:0

===IPerf===

Kahe masina vahelise võrgujõudluse testimiseks. Vaikimisi kasutatakse TCP protokolli, -u suvandiga UDP protokoll kusjuures UDP puhul on kiiruse piirang vaikimisi 1 Mbit/s, muutmiseks lisada nt suvan -u 1000M.

näide: kaks masinat klient 192.168.1.2 ja server 192.168.1.3

Server

# iperf -s
------------------------------------------------------------
Server listening on TCP port 5001
TCP window size: 85.3 KByte (default)
------------------------------------------------------------
[ 4] local 192.168.1.3 port 5001 connected with 192.168.1.2 port 32054
[ ID] Interval Transfer Bandwidth
[ 4] 0.0-10.0 sec 826 MBytes 692 Mbits/sec

klient

# iperf -c 192.168.1.3
------------------------------------------------------------
Client connecting to 192.168.1.2, TCP port 5001
TCP window size: 32.5 KByte (default)
------------------------------------------------------------
[ 3] local 192.168.1.2 port 32054 connected with 192.168.1.3 port 5001
[ ID] Interval Transfer Bandwidth
[ 3] 0.0-10.0 sec 826 MBytes 693 Mbits/sec

Soovides täpsemat andmehulka ette anda tuleb täpsustada kasutades võtit '-l'

Vaikimisi kestab test 10 sekundit, soovides seda ajaakent suurendada tuleb kasutada võtit '-t'

# iperf -t 60 -c 192.168.1.3

Täpsem jooksev statistika

# iperf -c 192.168.1.2 -w 400k -P 2 -i 1
Client connecting to 192.168.1.2, TCP port 5001
TCP window size: 400 KByte
------------------------------------------------------------
[ ID] Interval Transfer Bandwidth
[SUM] 0.0- 1.0 sec 1.06 GBytes 9.07 Gbits/sec
[SUM] 1.0- 2.0 sec 1.08 GBytes 9.30 Gbits/sec
[SUM] 2.0- 3.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 3.0- 4.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 4.0- 5.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 5.0- 6.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 6.0- 7.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 7.0- 8.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 8.0- 9.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 9.0-10.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 0.0-10.0 sec 11.4 GBytes 9.75 Gbits/sec

Vaikimisi kestab test 10 sekundit -t parameetriga saab muuta, lisaks saab muuta -i parameetriga statistika kuvamise aega-

* http://www.noc.ucf.edu/Tools/Iperf/

===netstrain===

Programm netstrain paigaldamine toimub paketist

võimaldab tekitada ja jälgida võrgus tcp koormust. Ühes arvutis tuleb netstraind käivitada

# netstraind -4 1010
NetStrain 3.0 (c) 2002 Christoph Pfisterer <cp@chrisp.de>
Listening on 0.0.0.0 port 1010 using IPv4...
One-shot server waiting for connection
Incoming connection from 172.16.3.254 port 5606

ning teisest pöörduda

# netstrain -4 172.16.3.251 1010 both
NetStrain 3.0 (c) 2002 Christoph Pfisterer <cp@chrisp.de>
Looking up hostname 172.16.3.251...
Connecting to 172.16.3.251 port 1010 using IPv4...
Connected
sent: 6450M, 10589.2K/s total, 10586.8K/s current
recv'd: 6252M, 10264.4K/s total, 10286.5K/s current

===ipcalc ja ipv6calc===

ipcalc on paketist paigaldatav pisike utiliit, millega saab nö võrke arvutada. Näiteks küsida milline on kaheksane subnet kuhu kuulub ip aadress 192.168.2.201

# ipcalc 192.168.2.201/29
address : 192.168.2.201
netmask : 255.255.255.248 (0xfffffff8)
network : 192.168.2.200 /29
broadcast : 192.168.2.207
host min : 192.168.2.201
host max : 192.168.2.206
hosts/net : 6

===sipcalc===

sipcalc (IP subnet calculator) programmiga saab arvutada IPv4 ja IPv6 võrguaadresse, nt

$ sipcalc -a 2a01:88:0:21::2
-[ipv6 : 2a01:88:0:21::2] - 0

[IPV6 INFO]
Expanded Address - 2a01:0088:0000:0021:0000:0000:0000:0002
Compressed address - 2a01:88:0:21::2
Subnet prefix (masked) - 2a01:88:0:21:0:0:0:2/128
Address ID (masked) - 0:0:0:0:0:0:0:0/128
Prefix address - ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff
Prefix length - 128
Address type - Aggregatable Global Unicast Addresses
Network range - 2a01:0088:0000:0021:0000:0000:0000:0002 -
2a01:0088:0000:0021:0000:0000:0000:0002

[V4INV6]
Expanded v4inv6 address - 2a01:0088:0000:0021:0000:0000:0.0.0.2
Compr. v4inv6 address - 2a01:88:0:21::0.0.0.2

[IPV6 DNS]
Reverse DNS (ip6.arpa) -
2.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.1.2.0.0.0.0.0.0.8.8.0.0.1.0.a.2.ip6.arpa.

===httping===

httping programmiga saab esitada http päringuid eesmärgiga jälgida veebiserveri vastuste andmist, kusjuures nt on võimalik täpsustades, kas esitatakse GET või HEAD päringuid või millise sagedusega päringuid esitatakse. Nt võiks toimuda programmi kasutamine selliselt

$ httping -s -S -i 2 -r -g http://www.loomaaed.tartu.ee/loomafail.cgi
PING www.loomaaed.tartu.ee:80 (http://www.loomaaed.tartu.ee/loomafail.cgi):
connected to www.loomaaed.tartu.ee:80, seq=0 time=11.99+501.00=512.99 ms 200 OK
connected to www.loomaaed.tartu.ee:80, seq=1 time=10.20+475.94=486.14 ms 200 OK
connected to www.loomaaed.tartu.ee:80, seq=2 time=9.71+471.03=480.74 ms 200 OK
connected to www.loomaaed.tartu.ee:80, seq=3 time=10.88+420.74=431.62 ms 200 OK
connected to www.loomaaed.tartu.ee:80, seq=4 time=9.99+336.93=346.92 ms 200 OK

kus on kasutatud võtmeid

* -s - esitab http päringu vastuse nn http koodi, st 200, 403, 404, 500 jne
* -S - esitab vastuses eraldi tcp ühenduse moodustamiseks ja vastuse saamiseks kulunud aja
* -i - päringuid esitamise intervall sekundites
* -r - nimelahendus sooritatakse vaid üks kord
* -g - esitatakse GET päringuid, vaikimisi esitatakse HEAD päringuid

Üks abiks httping programmi kasutusjuht võiks olla näiteks veebikoha koormustesti ajal jälgida milline nö tavakasutaja jaoks võiks kõnealuse veebikoha kättesaadavus.

https teenuse jälgimiseks sobib öelda

$ httping -G -l -g "/index.html" -h 192.168.10.12

* -l - pöörduda https abil

===tcpstat===

Vahel on selle programmi kasutamine muutnud süsteemi ebastabiilseks, tõenäoliselt on seoses konkreetselt kasutuses oleva riistvaraga. Muidu aga võimaldab ta jälgida tingimustele vastava andmevahetuse kiirust

# tcpstat -i vlan13 -o "Time:%S\tn=%n\tavg=%a\tstddev=%d\tBaitspersecond=%B\n" -f "tcp and host 192.168.110.149" 10

kus

* -i - võrguseade
* -o - väljundi formaat
* -f - nö tcpdump formaadis filter
* 10 - väljundi esitamise intervall, kusjuures kui andmeid ei ole, siis intervalli möödudes nö nulle ei esitata

===tcptrace===

tcptrace on üks paljudest programmidest, millega esitada salvetatud võrguliikluse kohta ülevaatlikke andmeid, võimalik, et programmi kõige olulisem väärtus on pedagoogiline väärtus

$ tcptrace -l tt.log
1 arg remaining, starting with 'tt.log'
Ostermann's tcptrace -- version 6.6.1 -- Wed Nov 19, 2003

54 packets seen, 54 TCP packets traced
elapsed wallclock time: 0:00:00.007053, 7656 pkts/sec analyzed
trace file elapsed time: 0:00:02.787589
TCP connection info:
1 TCP connection traced:
TCP connection 1:
host a: moraal.auul:52081
host b: ftp.loomaaed.tartu.ee:22
complete conn: yes
first packet: Sat Oct 10 12:56:15.713740 2009
last packet: Sat Oct 10 12:56:18.501330 2009
elapsed time: 0:00:02.787589
total packets: 54
filename: tt.log
a->b: b->a:
total packets: 30 total packets: 24
ack pkts sent: 29 ack pkts sent: 24
pure acks sent: 14 pure acks sent: 7
sack pkts sent: 0 sack pkts sent: 0
dsack pkts sent: 0 dsack pkts sent: 0
max sack blks/ack: 0 max sack blks/ack: 0
..
data xmit time: 2.547 secs data xmit time: 2.547 secs
idletime max: 1141.1 ms idletime max: 1151.3 ms
throughput: 1291 Bps throughput: 1072 Bps

===Wireshark===

Tarkvara Wireshark eelised avalduvad tema ülevaatlikkust võimaldavas graafilises kasutajaliideses, kus on võimalus

* liiklust filtreerida nt otspunktide ip aadresside, protokolli vms parameetrite alusel
* saab hõlpsasti eristada liiklusest tcp sessioone
* saab ülevaatlikult näha paketi kapseldust OSI kihtide mõttes

'''Lihtne wiresharki kasutusjuhus tööarvutis'''

Käivita wireshark programm. Vajuta nupule "List available capture interfaces..." (tööriistariba kõige vasakpoolsem nupp) ja seejärel võib alustada pakettide püüdmist soovitud võrguaadressil. Pakettide püüdmise lõpetab nupp "Stop the running live capture".

Kui võrguliiklust on palju, võib wiresharki väljund tulla liiga kirju. Otsitava informatsiooni väljafiltreerimiseks võib kasutada erinevaid filtreid (trükkida Wiresharki filtriribale):

* ip.addr == 192.168.1.253 - Näitab ainult pakette, mis kas pärinevad või on suunatud antud aadressile
* tcp.port == 22 - Näitab ainult pakette, mis kas pärinevad või on suunatud TCP porti 22
* !(udp.port == 80) - näitab ainult pakette, mille src ega dst pooles ei esine port 80

Erinevaid filtreid saab kombineerida loogiliste tehetega: &&, ||, !

Wireshark kasutamist on keerukamatel juhtudel mõistlik korraldada nii, et tulemüüris/serveris salvestatakse liiklus tcpdump abil faili ning see fail kopeeritakse töökohaarvutisse kuhu on paigaldatud Wireshark. Wireshark kasutajaliides näeb välja selline, antud juhul on kuulatud pealt liiklust tulemüürist ftp.aso.ee arvutiga

# tcpdump -n -i eth0 -s 1600 -w /tmp/ftp.aso.ee.log host ftp.aso.ee

Seejärel on käivitatud wireshark

linux$ wireshark ftp.aso.ee.log

Wiresharkis on filtreeritud välja ainult liiklus ftp.aso.ee arvutiga (kui seda praktiliselt pole ka vaja filtreerida, kuna ainult seda kuulatigi tcpflow'ga). Allolevalt pildilt on näha kuidas Wireshark esitab väljundit kolmas üksteise kohal paiknevas raamis

# ülemises raamis on esitatud filtreeritud 10 paketti, järjekorranumber, aeg, lähte ja siht aadress, protokoll ja muu info
# keskmises raamis esitatakse ülemises raamis ära märgitud paketi kapseldatud koosseis, on näha ISO kihid kusjuures wireshark interpreteerib lisaks paketi nn payloadis olevaid andmeid
# alumises raamis on esitatud paketi sisu kõrvuti kahes tulbas, 16nd süsteemis ning võimalusel vastavad ascii sümbolid, kusjuures keskmises raamis märgitule on ära vastav osa ära tähistatud

[[Pilt:Wireshark-ftp.aso.ee.log-1.gif]]

Näiteks võib antud juhul jälgida kuidas ühenduse loomiseks ja lõpetamiseks on vahetatud vastavalt kolm ja kolm paketti, ning sisuliste andmete vahetamiseks on kokku saadetud neli paketti. Välja arvatud erijuhud üldiselt ongi nii, et andmevahetusel osapooled saadavad üksteisele samas suurusjärgus pakette, isegi kui tegu on sisuliselt ühesuunalise andmevahetusega. Ja eriliselt võiks antud juhul tähele panna, et tcp ühenduse sees saadetakse andmeid mõlemas suunas.

Antud juhul kuuluvad juba tcpdump abil salvestatud ühte tcp sessiooni, kuid wiresharkil on võimalus suuremat hulgast pakettidest välja filtreerida ka ühe tcp sessiooni. Selleks tuleb ülemises raamis valida mingi paketi peal olles hiire parema nupuga avanevast hüpikmenüüst 'Follow TCP Stream' ning esitakse sessioonis toimunud http get päringu sisu ja vastuse sisu

[[Pilt:Wireshark-ftp.aso.ee.log-2.gif]]

====editcap ja mergecap kasutamine====

editcap programmiga saab varem salvestatud pcap formaadis faili osadeks jagada, nt pakettide arvu järgi, tulemusena tekivad osad* nimelised failid

# editcap -c 100 tcp.log osad

mergecap programmiga saab pcap formaadis osad ühendada kokku üheks failiks, nt

# mergecap -w tcp-kokkuyhendatud.log osad*

====capinfos====

Salvestatud pcap faili kohta saab küsida capinfos programmiga, nt

# capinfos tcp.log
File name: tcp.log
File type: Wireshark/tcpdump/... - libpcap
File encapsulation: Ethernet
Number of packets: 1000
File size: 590818 bytes
Data size: 592758 bytes
Capture duration: 6 seconds
Start time: Sat Oct 22 20:06:11 2011
End time: Sat Oct 22 20:06:16 2011
Data byte rate: 106709.45 bytes/sec
Data bit rate: 853675.63 bits/sec
Average packet size: 592.76 bytes
Average packet rate: 180.02 packets/sec

====RSA võtmevahetusega SSL liikluse dekrüptimine====

* http://wiki.wireshark.org/SSL
* http://wirewatcher.wordpress.com/2010/07/20/decrypting-ssl-traffic-with-wireshark-and-ways-to-prevent-it/

===tcpbench===

OpenBSD nn baas sisaldab tcpbench utiliiti, mille abil saab otsekoheselt testida kahe OpenBSD arvuti vahelist võrguühendust. Utiliidi kasutamisel hakkab klient serverisse kopeerima maksimaalse võimaliku suurusega tcp pakette, tegevuse käigus esitavad klient ja server programmi väljundis toimuvat andmevahetust iseloomustavat infot

server# tcpbench -s
pid elapsed_ms bytes Mbps
25537 1009 20811800 165.009
25537 2009 20610544 165.049
25537 3013 20230168 161.197
25537 closed by remote end

klient# tcpbench 192.168.10.8
pid elapsed_ms bytes Mbps
2628 1026 20990016 163.665
2628 2008 20460296 166.683
2628 3037 20230168 157.433
^Ctcpbench: Terminated by signal 2

===ssldump===

ssldump võimaldab SSL/TLS liiklust analüüsida, tarkvara paigaldamiseks tuleb öelda Debian keskkonnas

# apt-get install ssldump

FreeBSD's asub pakett net/ssldump

ja kasutamiseks nt

# ssldump -i eth0 -d port 993
New TCP connection #1: moraal.auul(49305) <-> smtp.loomaaed.tartu.ee(993)
1 1 0.0100 (0.0100) C>S Handshake
ClientHello
Version 3.1
resume [32]=
9c 5e 98 a5 0c 7a e1 f6 59 70 cb 42 ff 7e d0 2c
0c d6 03 57 34 e5 01 74 4e 4f fb 70 3b a5 61 02
cipher suites
Unknown value 0xc00a
TLS_RSA_WITH_RC4_128_MD5
TLS_RSA_WITH_RC4_128_SHA
TLS_RSA_WITH_3DES_EDE_CBC_SHA
...
compression methods
NULL
1 2 0.0342 (0.0242) S>C Handshake
ServerHello
Version 3.1
session_id[32]=
9c 5e 98 a5 0c 7a e1 f6 59 70 cb 42 ff 7e d0 2c
0c d6 03 57 34 e5 01 74 4e 4f fb 70 3b a5 61 02
cipherSuite Unknown value 0x35
compressionMethod NULL
1 3 0.0342 (0.0000) S>C ChangeCipherSpec
1 4 0.0342 (0.0000) S>C Handshake
1 5 0.0349 (0.0006) C>S ChangeCipherSpec
1 6 0.0349 (0.0000) C>S Handshake
1 7 0.0443 (0.0094) S>C application_data
1 8 0.0450 (0.0006) C>S application_data
1 9 0.0546 (0.0095) S>C application_data
..

kust on näha

* C>S, S>C - vastavalt kliendilt serveri ja serverilt kliendi suunal toimuv liiklus
* ClientHallo, ServerHallo, jt - kliendi ja serveri vahel toimub SSL ühenduse parameetrite kokkuleppimine
* application_data - antud juhul jääb ssldump jaoks sisuline andmevahetus ligipääsemata

Kui lisaks on kasutada ssl võtmed, siis saab teatud juhtumitel ka liikluse sisu debugida, nt https puhul

# cat www.loomaaed.tartu.ee.key www.loomaaed.tartu.ee.crt > www.pem
# ssldump -i eth0 -d -k www.pem port 443
..
1 10 0.0849 (0.0341) C>S application_data
---------------------------------------------------------------
GET /text.html HTTP/1.1
Host: 192.168.10.53
User-Agent: Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.9.0.14) \
Gecko/2009091010 Iceweasel/3.0.6 (Debian-3.0.6-3)
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: en-us,en;q=0.5
Accept-Encoding: gzip,deflate
Accept-Charset: ISO-8859-1,utf-8;q=0.7,*;q=0.7
Keep-Alive: 300
Connection: keep-alive
Pragma: no-cache
Cache-Control: no-cache

---------------------------------------------------------------
1 11 0.0857 (0.0007) S>C application_data
---------------------------------------------------------------
HTTP/1.1 200 OK
Date: Fri, 23 Oct 2009 06:32:59 GMT
Server: Apache/2.2.9 (Debian) mod_jk/1.2.26 mod_ssl/2.2.9 OpenSSL/0.9.8g
Vary: Accept-Encoding
Content-Encoding: gzip
Content-Length: 266
Keep-Alive: timeout=15, max=100
Connection: Keep-Alive
Content-Type: text/html; charset=iso-8859-1

Seejuures tuleb veebiserveris kasutada sobivat SSLCipherSuite väärtust, nt selline töötab nö natuke

SSLCipherSuite RSA:-HIGH:MEDIUM:-EXP:-DH

Kasutatud järgnevusele 'RSA:-HIGH:MEDIUM:-EXP:-DH' vastavaid väärtusi näeb

# openssl ciphers -v 'RSA:-HIGH:MEDIUM:-EXP:-DH'
DES-CBC-SHA SSLv3 Kx=RSA Au=RSA Enc=DES(56) Mac=SHA1
RC4-SHA SSLv3 Kx=RSA Au=RSA Enc=RC4(128) Mac=SHA1
RC4-MD5 SSLv3 Kx=RSA Au=RSA Enc=RC4(128) Mac=MD5
NULL-SHA SSLv3 Kx=RSA Au=RSA Enc=None Mac=SHA1
NULL-MD5 SSLv3 Kx=RSA Au=RSA Enc=None Mac=MD5
DES-CBC-MD5 SSLv2 Kx=RSA Au=RSA Enc=DES(56) Mac=MD5
RC2-CBC-MD5 SSLv2 Kx=RSA Au=RSA Enc=RC2(128) Mac=MD5
RC4-MD5 SSLv2 Kx=RSA Au=RSA Enc=RC4(128) Mac=MD5

Lisaks saab ssldump jaoks kaustada tcpdump abil kogutud pcap faili (eriti see on -s 0 võtmega salvestatud)

$ ssldump -r failinimi.pcap

===ICMP redirect===

Olgu selliste ruutingutega olukord

....
|
_|_ tulemüür
| | vaikelüüs, kus on kirjeldatud staatiline ruuting 192.168.201.0/24 -> 192.168.2.201
|___| 192.168.2.1
192.168.2.0/24 |
--|-------------------|--------------|--
_|_ _|_
| | 192.168.2.30 | | 192.168.2.201
|___| host-1 |___| ruuter-2
|
| 192.168.201.0/24
-----|-------------------------|---
_|_
| | 192.168.201.30
|___| host-2

ICMP redirect http://en.wikipedia.org/wiki/ICMP_Redirect_Message sõnumiga juhatab tulemüür host-1 pöörduma host-2 poole läbi ruuter-2 seadme.

09:42:25.399922 192.168.2.1 > 192.168.2.30: icmp: redirect 192.168.201.30 to host 192.168.2.201

Parasjagu kehtivad redirectid ei ole paista linux hostis ei nö tavalistes arp ega route andmebaasides, vaid

# cat /proc/net/rt_cache

Sissekande kustutamiseks tuleb vastav ruuting eemaldada ja tagasi tekitada, näiteks.

===ARP flux===

Olgu üks arvuti on oma kahe füüsiliste võrguseadmega ühendatud sama etherneti peale ning seal ethernetis on veel teisi arvuteid

--|--|---------------------------|----------------
eth0 _|__|_ eth1 _|_
10.0.2.30 | | 192.168.2.30 | | 192.168.2.201
|______| |___|

host-1 host-2

Tundub, et reeglina käituvad 2011 aastal Linux distributsioonide tuumad selliselt, et joonisel kujutatud ühenduse puhul vastab host-2 poolt aadressile 192.168.2.30 tehtud arp päringule host-1 kahe arp vastusega, kummagi ethernet seadme mac aadressiga, kusjuures host-2 kasutab esimesena kohale jõudnud vastust järgnevaks andmevahetuseks. Selline olukord põhjustab selles mõttes segadust, et kui host-1 võrguseadmed on sarnaste omadustega, siis vahel kasutab host-2 ühe ja vahel teise ethernet seadme mac aadressi ning liiklus käib vastavalt läbi ühe või teise host-1 võrguseadme (lisaks võib ka nii olla, et ühes suunas liiguvad paketid läbi host-1 eth0 ja teises suunas läbi eth1 seadme). Kui host-1 peal ei ole paketifiltrit seadistatud, siis seal töötavate rakenduste jaoks andmevahetus töötab, kuid nt võrgu debugimine on raskendatud.

Selleks, et host-2 arp päringule vastaks host-1 vaid selle mac aadressiga, millele vastava võrguseadme kaudu toimuks ip mõttes korrektne ruuting sobib öelda host-1 arvutis

# sysctl -w net.ipv4.conf.all.arp_filter=1

Kasulikud lisamaterjalid

* http://linux-ip.net/html/ether-arp.html
* http://robertlathanh.com/2009/08/two-subnetworks-on-one-lan-and-linux-arp_filter/
* http://www.embedded-bits.co.uk/tag/arp_filter/

===tcpkill===

tcpkill programmi abil saab ühenduse osapoolele saata sobiva RST paketi eesmärgiga ühendus lõpetada, tarkvara paigaldamiseks tuleb nt Debian Lenny keskkonnas paigaldada pakett dsniff

# apt-get install dsniff

ja kasutamiseks öelda

# tcpkill -i eth0 port 80 and host ftp.loomaaed.tartu.ee

Tulemusena jääb tcpkill käima arvuti eth0 seadmel ja tegeleb näidatud regulaaravaldisega klappivate ühendustega.

===lsof===

Kasutaja priit (-u priit) programmiga Firefox (-c firefox-bin) seotud võrguühenduste (-i) esitamine

$ lsof -n -a -u priit -c firefox-bin -i
COMMAND PID USER FD TYPE DEVICE SIZE NODE NAME
firefox-b 22322 priit 51u IPv4 1870238 TCP 192.168.10.10:53360->113.184.32.83:https (ESTABLISHED)
firefox-b 22322 priit 72u IPv4 1870025 TCP 192.168.10.10:35441->74.125.43.100:www (ESTABLISHED)
firefox-b 22322 priit 73u IPv4 1870035 TCP 192.168.10.10:53903->74.125.10.213:www (ESTABLISHED)

kus

* -n - mitte teisendada ip aadresse nimedeks
* -a - järgnevad muud suvandid loogiliselt korrutada
* PID - protsessi ID

Pordile vastava protsessi küsimine

# lsof -i :514
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
syslogd 6628 _syslogd 4u IPv4 0xfffffe803f51d000 0t0 UDP *:syslog

Kasulikud lisamaterjalid

* http://ph7spot.com/musings/leveraging-lsof

===strace===

strace kasutusala on laiem, kuid seoses võrguga on tal samuti rakendus, nt esitada jooksvalt protsessiga seotud võrgu syscallid, 4940 on w3m brauseri protsess

# strace -e trace=network -p 4940
...
socket(PF_NETLINK, SOCK_RAW, 0) = 4
bind(4, {sa_family=AF_NETLINK, pid=0, groups=00000000}, 12) = 0
getsockname(4, {sa_family=AF_NETLINK, pid=4940, groups=00000000}, [12]) = 0
...

===Arpwatch===

Võimaldab jälgidan võrgus liikuvaid ARP teateid ning avastada ARP tabeli mürgitamisjuhtumeid

Koduleht
*http://ee.lbl.gov/
arbi mürgitamise täpselt toimimine ja selle takistamine
*http://shsc.info/ARPPoisoning
Mõned võrguhaldurile abiks skriptid
*http://blog.stardothosting.com/2009/05/01/detect-arp-poisoning-on-lan/

===Ettercap===

Ettercap http://ettercap.sourceforge.net/ tarkvara võimaldab kohtvõrgus korraldada MITM tüüpi ründeid ja seejuures kontrollida kui tundlik kohtvõrk on selliste rünnete suhtes sh kas need avastatakse. Ettercap kasutab oma tööks põhiliselt arp-mürgitamist (ingl. k. arp poisoning). Tarkvara paigaldamiseks on tavaliselt piisav paigalda operatsioonisüsteemi paketihaldusvahenditega ettercap nimeline pakett. Ettercap programmi saab käivitada kolme erineva kasutajaliidesega

* käsurealt -ettercap -T
* curses liidesega - ettercap -C
* gtk gui liidesega - ettercap -G

Kasulikud lisamaterjalid

* http://en.wikipedia.org/wiki/Ettercap_%28computing%29
* http://openmaniak.com/ettercap.php

===Scapy===

Scapy http://www.secdev.org/projects/scapy/ abil saab töötada pakettidega. Tarkvarale on tehtud Python keeles ja sellele on iseloomulik, et saab nö programmeerimise võtteid kasutades nt koostada sobiva sisuga paketi ja saata võrku; seejärel saab käsitleda sarnaselt vastuseks tulnud paketti. Scapy sisaldab mitmeid lisasid, nt saab lasta esitada graafiliselt traceroute tulemuse. Tarkvara paigaldamiseks sobib paigaldada nt Debian Squeeze all pakett python-scapy

# apt-get install python-scapy

Lisaks on vajalikud

# apt-get install tcpdump graphviz imagemagick

Interaktiivselt käivitamiseks tuleb öelda

# scapy
...
Welcome to Scapy (2.1.0)
>>> res,unans = traceroute(["www.eesti.ee", "www.eenet.ee"],dport=[80,443],maxttl=20,retry=-2)
..
>>> res.graph()

Tulemusena esitatakse sarnane pilt

[[Pilt:Scapy-1.gif]]

Scapy sisaldab mitmeid funktsioone, millega pakette moodustada, neid välja saata ning vastuseid lugeda

* ICMP paketi saatmine

>>> send(IP(dst="192.168.10.123")/ICMP())

* DNS päringu esitamine

>>> sr(IP(dst="10.192.0.53")/UDP()/DNS(rd=1,qd=DNSQR(qname="www.loomaaed.tartu.ee")))

* etteantud subnetti kuuluva juhusliku src aadressiga pakettide saatmine

>>> send(IP(src=RandIP("192.168.10.0/24"), dst="10.192.0.53")/TCP(dport=80,flags="S"), loop=1)

===Socat===

* Pordi edasisuunamine

# socat TCP-LISTEN:8888,fork TCP:192.168.1.4:80

* pordi edasisuunamine lokaalselt (mida tavaliselt tehakse paketifiltri abil)

# socat TCP-L:2323 TCP:localhost:22

* unixi soketi ühendamine interneti soketiga, kuulaku unix soketil MySQL ning peab saama hakata pöörduma MySQL poole üle võrgu arvuti mõnel ip aadressil, port 3308

# socat -v tcp-l:3308,bind=192.168.10.10,reuseaddr,fork unix:/var/run/mysqld/mysqld.sock

* remote shell (nt sellepärast võiks pigem olla serverite pordid tulemüürist vaikimisi blokeeritud), EXEC täidetakse kliendi pöördumisel

server:~$ socat TCP-LISTEN:2323,reuseaddr,fork EXEC:/bin/bash

ja vastav klient

$ socat STDIO TCP:server-loomaaed:2323
hostname -f
server.loomaaed
...

* PostgreSQL soketi suunamine üle võrgu

tookohaarvuti$ socat "UNIX-LISTEN:/tmp/.s.PGSQL.5432,reuseaddr,fork" \
EXEC:'ssh postgres@192.168.1.105 socat STDIO UNIX-CONNECT\:/var/run/postgresql/.s.PGSQL.5432'

kasutamiseks öelda, kusjuures EXEC täidetakse, st ssh ühendus käivitatakse alles psql kliendi abil pöördumisel

tookohaarvuti$ psql -h /tmp -U postgres

Faili sisu esitamiseks üle võrgu, kasutamiseks nt netcat abil pöörduda

$ socat -u FILE:/opt/suricata/var/log/suricata/eve.json,ignoreeof TCP4-LISTEN:12345,fork,reuseaddr

Kasulikud lisamaterjalid

* http://technostuff.blogspot.com/2008/10/some-useful-socat-commands.html
* http://jdimpson.livejournal.com/6534.html
* http://www.debian-administration.org/users/dkg/weblog/68

===vnstat===

Tarkvara paigaldamiseks sobib öelda nt

# apt-get install vnstat

Kasutamine paistab välja nt selline

# vnstat -l
Monitoring eth0... (press CTRL-C to stop)

rx: 0 kbit/s 1 p/s tx: 0 kbit/s 0 p/s^C

eth0 / traffic statistics

rx | tx
--------------------------------------+------------------
bytes 385.08 MiB | 990.42 MiB
--------------------------------------+------------------
max 88.19 Mbit/s | 227.04 Mbit/s
average 57.36 Mbit/s | 147.52 Mbit/s
min 0 kbit/s | 0 kbit/s
--------------------------------------+------------------
packets 4588718 | 3670125
--------------------------------------+------------------
max 128266 p/s | 102612 p/s
average 83431 p/s | 66729 p/s
min 1 p/s | 0 p/s
--------------------------------------+------------------
time 55 seconds

kus

* rx, tx - vastavalt saabumised ja väljumised
* bytes, packet - andmete mahu ja pakettide arvu järgi

===iptstate===

iptstate kasutab kerneli conntrack sistemat ja esitab võrguliikluse kohta andmeid, tarkvara paigaldamiseks

# apt-get install iptstate

Kasutamiseks peab olema laaditud nt ip_conntrack moodul

# modprobe ip_conntrack

Käivitamiseks öelda

# iptstate

ja paistab sarnane pilt

TODO

Tundub, et samad andmed on teksti kujul esitatavad selliselt

# cat /proc/net/ip_conntrack

===tcptrack===

Programm tcptrack annab top väljundi sarnase ülevaate toimuvatest tcp ühendustest. Paigaldamiseks sobib öelda

# apt-get install tcptrack

Kasutamiseks nt

# tcptrack -i eth0 -r 10 port 80

ja paistab selline pilt

TODO

===conntrack===

# modprobe nf_conntrack_ipv4
# conntrack -p tcp --dport 80 -E -e NEW | pv -l -i 1 -r > /dev/null

===Kasulikud lisamaterjalid===

* Soovides muide teada mis ISP omandusse mingi ip kuulub tasub kasutada aadress http://www.ip-adress.com/ip_tracer/'''<IP>'''
* http://www.linuxfoundation.org/collaborate/workgroups/networking/netem
* http://tools.netsa.cert.org/silk/docs.html

IPMI

2018-01-19T01:25:37Z

Imre: /* Seadistus käsureal */

===Sissejuhatus===

IPMI on lühend fraasist Intelligent Platform Management Interface.
Kujutab ta endast operatsioonisüsteemist sõltumatut arvutisüsteemide haldamise liidest, mille spetsifikatsiooni on loonud Intel, HP, Dell ja NEC.[http://www.intel.com/design/servers/ipmi/spec.htm] IPMI kasutamist toetab enamik serveritootjaid.
IPMI võimaldab üle tavalise TCP/IP võrgu servereid sisse-välja lülitada, vaadelda riistvara seisundit ning erinevate andurite näite (temperatuur, ventilaatorite pöörlemiskiirused jms), ''serial over LAN'' (SOL) abil suhelda serveri konsooliga, jne. Lisaks defineerib IPMI võimaluse teavitada administraatorit riistvara vigadest SNMP protokolli abil. Paljudel serveritel on IPMI vaikimisi integreeritud, osadel juhtudel on võimalik IPMI kasutamine vastava lisakaardi abil.

IPMI eelisteks on see,et ta on üsnagi hästi standardiseeritud ja töötab põhimõtteliselt kõigil tootjatel ühtemoodi. Konsool (mis IPMI puhul on serial-over-lan) võib eri IPMI versioonides olla erinevalt lahendatud, aga siiani on nad kõik siiski tööle saanud. Linuxis tuleb siis muidugi ka konsool serialporti suunata. IPMI tugev külg on eelkõige see, et häda korral saab üle SSH konsooli ja ipmitooli abil kätte nt rebooti vajava serveri suvalisest kohast ja ei pea mingite tootjaspetsiifiliste javajunnidega mässama.

Üks tavaline IPMI toega halduskaart näeb välja selline

[[Pilt:Supermicro aoc-ipmi20-e.jpg]]

IPMI kontrolleriga suhtlemiseks on olemas mitmeid vabavaralisi vahendeid, nagu ipmitool[http://ipmitool.sourceforge.net/], ipmiutil[http://ipmiutil.sourceforge.net/] ja openipmi[http://openipmi.sourceforge.net/].
Järgnevalt vaatame põgusalt IPMI kasutamist FreeBSD/Linux süsteemil ipmitool-i näitel.

===Paigaldus FreeBSD7 süsteemis===

# cd /usr/ports/sysutils/ipmitool
# make install clean

Seejärel võib anda käsu

# kldload ipmi

Ipmi mooduli püsivaks laadimiseks rida faili /boot/loader.conf

ipmi_load="YES"

===Paigaldus Linuxile===

Enamike distributsioonide kernelis on juba IPMI tugi olemas, kui see mingil põhjusel puudub siis tuleb tuuma kompileerimisel menuconfigus defineerida järgnev

Device Drivers --->
Character devices --->
<M> IPMI top-level message handler --->
--- IPMI top-level message handler
[ ] Generate a panic event to all BMCs on a panic
<M> Device interface for IPMI
<M> IPMI System Interface handler
<M> IPMI Watchdog Timer
<M> IPMI Poweroff

Ja loome ning paigaldame uued moodulid

make && make modules_install

IPMI kasutamiseks laadida moodulid

modprobe ipmi_msghandler
modprobe ipmi_si
modprobe ipmi_devintf

Kerneli teadete hulka peaksid ilmuma järgnevad read

ipmi message handler version 39.2
IPMI System Interface driver.
ipmi_si: Trying SMBIOS-specified kcs state machine at i/o address 0xca2, slave address 0x20, irq 0
ipmi: Found new BMC (man_id: 0x000157, prod_id: 0x0029, dev_id: 0x20)
IPMI kcs interface initialized

Moodulite automaatseks laadimiseks tuleb need lisada vastavasse faili.

Gentoo:

/etc/modules.autoload.d/kernel-2.6

Debian:
/etc/modules

Ipmitooli paigaldamine.

Gentoo:

# emerge ipmitool

Debian:

# apt-get install ipmitool

Versiooni ja nime näeme

# ipmitool mc info
Device ID : 32
Device Revision : 1
Firmware Revision : 0.62
IPMI Version : 2.0
Manufacturer ID : 343
Manufacturer Name : Intel Corporation
Product ID : 41 (0x0029)
Product Name : S5000PSL
Device Available : yes
Provides Device SDRs : no
Additional Device Support :
Sensor Device
SDR Repository Device
SEL Device
FRU Inventory Device
IPMB Event Receiver
Chassis Device
Aux Firmware Rev Info :
0x00
0x42
0x00
0x03

===Seadistus käsureal===

Esimesena tuleks muuta vaikimisi olev administraatori parool. Antud näites on administraatori kasutajanimeks Operator ja parooliks password.

Vaatame kasutajate nimekirja

# ipmitool user list
ID Name Callin Link Auth IPMI Msg Channel Priv Limit
1 true false true NO ACCESS
2 Operator true false true ADMINISTRATOR

Muudame kasutaja Operator konto parooli

# ipmitool user set password 2
Password for user 2:
Password for user 2:

Vahel on abiks kasutaja sisse lülitada

# ipmitool user enable 2

Kiire admin kasutaja loomine (kanalisse 2 (esimene kaks viimasel real) luua kasutaja 2 (teine kaks viimasel real) privileegiga 4(admin) )

# ipmitool user set name 2 admin
# ipmitool user enable 2
# ipmitool user set password 2
# ipmitool channel setaccess 2 2 link=on ipmi=on callin=on privilege=4

Enamasti hangib IPMI kontroller endale võrguaadressi DHCP abil. Olemasolevate võrguseadete vaatamine:

# ipmitool lan print
Set in Progress : Set Complete
Auth Type Support : NONE MD2 MD5 PASSWORD
Auth Type Enable : Callback : NONE MD2 MD5 PASSWORD
: User : NONE MD2 MD5 PASSWORD
: Operator : NONE MD2 MD5 PASSWORD
: Admin : NONE MD2 MD5 PASSWORD
: OEM : NONE MD2 MD5 PASSWORD
IP Address Source : DHCP Address
IP Address : 192.168.1.19
Subnet Mask : 255.255.255.0
MAC Address : 00:e0:81:b0:9c:e3
SNMP Community String : public
IP Header : TTL=0x40 Flags=0x40 Precedence=0x00 TOS=0x10
BMC ARP Control : ARP Responses Enabled, Gratuitous ARP Disabled
Gratituous ARP Intrvl : 2.0 seconds
Default Gateway IP : 192.168.1.1
Default Gateway MAC : 00:00:00:00:00:00
Backup Gateway IP : 0.0.0.0
Backup Gateway MAC : 00:00:00:00:00:00
RMCP+ Cipher Suites : 0,1,2,3,6,7,8,11,12
Cipher Suite Priv Max : aaaaaaaaaaaaaaa
: X=Cipher Suite Unused
: c=CALLBACK
: u=USER
: o=OPERATOR
: a=ADMIN
: O=OEM

Kui ei soovita DHCP kasutamist, siis tuleb kõigepealt muuta IP aadressi konfiguratsioon staatiliseks:

# ipmitool lan set 1 ipsrc static

Seejärel võib asuda võrguparameetrite seadmisele:

# ipmitool lan set 1 ipaddr 192.168.1.19
# ipmitool lan set 1 netmask 255.255.255.0
# ipmitool lan set 1 defgw ipaddr 192.168.1.1

Lubame haldusmoodulil ka ARP päringutele vastamise:

# ipmitool lan set 1 arp respond on
# ipmitool lan set 1 arp generate on
# ipmitool lan set 1 arp interval 5

Vaatame kontrolliks serveri hetkeseisu:

# ipmitool chassis status
System Power : on
Power Overload : false
Power Interlock : inactive
Main Power Fault : false
Power Control Fault : false
Power Restore Policy : always-off
Last Power Event :
Chassis Intrusion : inactive
Front-Panel Lockout : inactive
Drive Fault : false
Cooling/Fan Fault : false
Front Panel Control : none

Tutvume sensorite infoga:

# ipmitool sdr
CPU 0 Temp | 36 degrees C | ok
CPU 1 Temp | 39 degrees C | ok
Ambient Temp0 | 29 degrees C | ok
Ambient Temp1 | 35 degrees C | ok
Vcc 12V | 12.40 Volts | ok
DDRP0 1.8V | 1.83 Volts | ok
DDRP1 1.8V | 1.83 Volts | ok
Vcc 3.3V | 3.30 Volts | ok
Vcc 5V | 5.08 Volts | ok
Vcc 3.3V STB | 3.25 Volts | ok
Blower Fan 0 | 4194.40 RPM | ok
Blower Fan 1 | 4429.60 RPM | ok
Axial Fan 0 | 10579 RPM | ok
Axial Fan 1 | 10579 RPM | ok
Processor 0 | 0x00 | ok
Processor 1 | 0x00 | ok

IPMI seadmega suhtlemisel saab kasutada erinevaid Cipher Suite'isid. Seadme juures on IPMI seadistustega määratud, millise šifrit kasutamist ühe või teise privieegiga kasutaja pöördumisel eeldatakse, tavaliselt vaikimisi nii

RMCP+ Cipher Suites : 0,1,2,3,4,5,6,7,8,9,10,11,12,13,14
Cipher Suite Priv Max : Xaaaaaaaaaaaaaa
: X=Cipher Suite Unused
: c=CALLBACK
: u=USER
: o=OPERATOR
: a=ADMIN
: O=OEM

kus

* 0,1,2 ... - šifrite nimekiri (0 - ilma krüptot, 1 - Auth-HMAC-SHA1; Int = None; Conf = None), .... vt man bmc-config

0 - Authentication Algorithm = None; Integrity Algorithm = None; Confidentiality Algorithm = None
1 - Authentication Algorithm = HMAC-SHA1; Integrity Algorithm = None; Confidentiality Algorithm = None
2 - Authentication Algorithm = HMAC-SHA1; Integrity Algorithm = HMAC-SHA1-96; Confidentiality Algorithm = None
3 - Authentication Algorithm = HMAC-SHA1; Integrity Algorithm = HMAC-SHA1-96; Confidentiality Algorithm = AES-CBC-128
...

* Xaaaaaaaaaaaaaa - šifri ja kasutaja privileegi vastavus (antud juhul ilma krüpota pöördumine on keelatud, kõigi muudega saab administaator ja temast madalama privileegiga kasutajad pöörduda)

===Kaughaldus ipmitooli abil===

Toimub käsuga

ipmitool -I lan -H HOST_IP_ADDRESS -U USERNAME -a IPMI_COMMAND

Näiteks

ipmitool -I lan -H 192.168.1.19 -U Operator -a chassis status

Restardi tegemiseks sobib käsk

ipmitool -I lan -H 10.40.4.14 -U admin -a power reset

Konsooli pilti näeb järgneva käsuga

ipmitool -I lanplus -H 192.168.1.19 -U Operator sol activate

Vähemalt ILO100 puhul näeb vaid bios'i ning loaderist
edasise pildi vaatamiseks tuleb näiteks FreeBSD'd seadistada serialkonsool manualis juhendatud viisil
http://www.freebsd.org/doc/en/books/handbook/serialconsole-setup.html või Gentoos http://www.gentoo-wiki.info/HOWTO_Linux_serial_console

Kui käsu peale teatatakse

IPMI v1.5 Serial Over Lan (ISOL) not supported!

Tuleb vastav featuur BIOSis lubada.

===Kaughaldus freeipmi abil===

iDrac seadistuste küsimiseks

# bmc-config -D LAN_2_0 -v -u root -p parool -h 10.1.200.50 --checkout | less

kus

* -D - protokoll

===Probleemid===

Probleemide korral võib proovida kontrollerile teha kas külm

# ipmitool mc reset cold
Sent cold reset command to MC

Või kuumtaaskäivitust:

# ipmitool mc reset warm
Sent warm reset command to MC

Kanaleid võib üritada otsida skriptiga

# Channel
for i in $(seq 0 10); do
response=$(ipmitool lan print ${i} 2>/dev/null|grep "IP Address Source")
if [ "$response" ]; then echo "IPMI is on channel ${i}"; channel=$i; break; fi
done

FreeBSD's tuleb '''seq''' asemel kasutada '''jot 0 10'''

===IPMI Watchdog===

TODO

Valvekoera ülesanne seisneb teha masinale reboot kui see peaks kokku jooksma või muid rumalusi tegema.

Põhimõtteliselt on seadistatud IPMI kaardile teatud ajaga mahalugemine (countdown) nt 300 sekundit, mille
möödudes masin teeb reboodi. Kuni aga deemon masinas töötab siis lükkab see näiteks iga 5 sekundi tagant
mahalugemist taas nulli ehk tagasi 300 peale. Kui nüüd juhtub masin kinni jooksma ei saa deemon enam rebooti edasi lükatata, lugemine jookseb lõpuni ja serverile tehakse restart.

Linuxi kernelisse peab olema kompileeritud eelnevalt '''IPMI Watchdog Timer''' (vaata ülespoole kerneli seadistust).

Selleks, et vaadata watchdogi infot (antud juhul ei ole watchdog sisse lülitatud)

# ipmitool mc watchdog get
Watchdog Timer Use: Reserved (0x00)
Watchdog Timer Is: Stopped
Watchdog Timer Actions: No action (0x00)
Pre-timeout interval: 0 seconds
Timer Expiration Flags: 0x00
Initial Countdown: 0 sec
Present Countdown: 0 sec

Sisselülitamiseks

# ipmitool mc watchdog on

Linuxis on deemoniks watchdogd

# watchdogd

Deemon ja IPMI suhtlevad omavahel /dev/watchdog seadme kaudu.

FreeBSDs kasutamiseks tuleb paigaldada freeipmi pakett. Freeipmi paketist tuleb kaasa utiliit bmc-watchdog nimeline utiliit.

Setup a bmc-watchdog daemon that resets the machine after 15 minutes (900 seconds) if the OS has crashed (see default bmc-watchdog rc script /etc/init.d/bmc-watchdog for a more complete example):

# bmc-watchdog -d -u 4 -p 0 -a 1 -i 900

*-d, Run bmc-watchdog as a daemon.
*-u INT, Set timer use. The timer use value can be set to one of the following: 1 = BIOS FRB2, 2 = BIOS POST, 3 = OS_LOAD, 4 = SMS OS, 5 = OEM.
*-p INT, Set pre-timeout interrupt. The pre timeout interrupt can be set to one of the following: 0 = None, 1 = SMI, 2 = NMI, 3 = Messaging Interrupt.
*-a INT, Set timeout action. The timeout action can be set to one of the following: 0 = No action, 1 = Hard Reset, 2 = Power Down, 3 = Power Cycle.
*-i SECONDS, Set initial countdown in seconds.

Lingid:

*http://blog.bofh.it/id_125

*http://www.zomers.eu/knowledge/pfSense/Pages/Configure-pfSense-2.0-RC1-to-use-Watchdog-functionality.aspx

===FreeIPMI kasutamine===

FreeIPMI http://www.gnu.org/software/freeipmi/ tarkvara võimaldab sooritada praktiliselt samu tegevusi nagu IPMItool. Tarkvara paigaldamiseks sobib öelda nt

# apt-get install freeipmi-tools

Kõigi seadistuste salvestamiseks sobib öelda

# bmc-config --checkout > bmc-config.output.txt

Sektsioonide nimekirja küsimiseks

# bmc-config -L
User1
...
User16
Lan_Channel
Lan_Conf
Lan_Conf_Auth
Lan_Conf_Security_Keys
Lan_Conf_User_Security
Lan_Conf_Misc
Rmcpplus_Conf_Privilege
Serial_Channel
Serial_Conf
SOL_Conf

Konkreetse sektsiooni seadistuste küsimiseks

# bmc-config -S Lan_Conf -o
#
# Section Lan_Conf Comments
#
# In the Lan_Conf section, typical networking configuration is setup. Most users
# will choose to set "Static" for the "IP_Address_Source" and set the
# appropriate "IP_Address", "MAC_Address", "Subnet_Mask", etc. for the machine.
#
Section Lan_Conf
## Possible values: Unspecified/Static/Use_DHCP/Use_BIOS/Use_Others
IP_Address_Source Static
## Give valid IP address
IP_Address 10.1.1.130
## Give valid MAC address
MAC_Address 00:30:05:FC:9F:80
## Give valid Subnet Mask
Subnet_Mask 255.255.255.0
## Give valid IP address
Default_Gateway_IP_Address 10.1.1.4
EndSection

Parameetri väärtuse salvestamiseks, nt

# bmc-config --commit --key-pair="lan_conf:Subnet_Mask=255.255.255.0"

Tundub, et FreeIPMI puhul on selles mõttes mõnus seadistusi muuta, et saab küsida mõne sektsiooni kohta olemasoleva seadistuse, teha tekstis vajalikud muudatused ja laadida nad sisse

TODO

===Kasulikud lisamaterjalid===

* http://www.intel.com/design/servers/ipmi/
* http://sources.redhat.com/cluster/wiki/IPMI_FencingConfig
* http://dpw.threerings.net/projects/ipmi-kmod/
* http://gfs.wikidev.net/IPMI_Fencing
* http://wiki.adamsweet.org/doku.php?id=ipmi_on_linux
* http://publib.boulder.ibm.com/infocenter/lnxinfo/v3r0m0/topic/liaai/ipmi/BPipmi.pdf
* http://en.wikipedia.org/wiki/Out-of-band_management
* http://securfox.wordpress.com/2009/10/01/howto-setup-ipmi-under-linux-rhel-centos-5/
* http://openipmi.sourceforge.net/

Linux mount

2017-11-30T18:54:37Z

Imre: /* Olemasolevate partitsioonide suurendamise teel */

===Sissejuhatus===

[[Pilt:2879430437 975b4e8d5f.jpg]]

Nagu teada asuvad Linux'i puhul kõik failid ühtses kataloogipuus (aga nt. MS Windows'ites kasutatakse partitsioonide tähistamiseks nn. kettatähti: A, B on pehmeketta seadmed ja C, D, E ... Z - kõvaketaste partitsioonid).

Linuxi puhul on tähelepanuväärne see, et ta suudab lugeda ja kirjutada peale enda Second Extended (ext2, ext3, ext4) failisüsteemi ka paljusid teisi levinud failisüsteeme (mh. FAT pikkade ja lühikeste nimedega, OS2 HPFS, minix). Et see tõesti nii oleks on vaja vastav tugi kernelisse sisse või mooduliteks kompileerida. Soovitavalt mooduliteks. Muuseas, moodulid asuvad kataloogis /lib/modules/... ja kui seal on nt. fail vfat.o, siis on tõenäoliselt võimalik lugeda kirjutada W95 partitsiooni. Seda kas moodul on kasutusel saab näha käsuga lsmod; ja kui ei ole kasutusel, siis aitab käsk modprobe vfat. Jne.

Linux käsitleb pehme- ja kõvakettaid kaunis võrdväärsete seadmetena. Vähemalt selles mõttes, et enne floppy ketta seadmesse panekut ja peale väljavõtmist tuleb täita samad käsud,et mis kõvaketta juurde ja tagant ühendamisel.

Failisüsteem on vahend andmete organiseerimiseks andmekandjal. Failisüsteem asub tavaliselt infokandjale (kõvaketas, USB pulk) partitsioonil ja tema poole pöördutakse seadmenimega. Näiteks esimese IDE kanali teise kõvaketta kolmas partitsioon kannab nime

b - esimene IDE kanal teine ketas (nn primary slave, esimene ketas algab tähega a)
|
|
/dev/hdb3
| |
| |
| 3 - kolmas partitsioon
|
hd - ata hard disk (sata kettad algavad sd lühendiga)

Kui te ei tea täpselt millised partisioonid on kõvakettale moodustatud kasutage järelevaatamiseks programmi fdisk

# fdisk /dev/hdb

Ettevaatust fdiski kasutamisel, peale vaatamise saab sellega ka partitsioone muuta.

Failisüsteemide kasutamine eeldab, et vastav toetus on tuuma kompileeritud. Et näha milliseid failisüsteeme masin parasjagu toetab vaadake tuuma moodulite kataloogi /lib/modules/2.2.xx või uurige faili /proc/filesystems sisu.

UNIXi kataloogistruktuur on traditsiooniline ja seal ei kõnelda ketastest (A:\, C:\ jne). Kõikide võimalike andmekandajate pöördutakse sisenedes vastavasse kataloogi. Seda millise kataloogi all külgeühendatud failisüteem asub nimetatakse külgeühendamiskohaks.

Peale andmekandja kasutamist ja enne selle seadmest väljavõtmist tuleb ta lahti ühendada, näiteks kataloogi /floppy alla ühendatud pehmeketta failisüsteemi lahtiühendamine käib nii

bash# umount /floppy

Seejärel võib pehmeketta seadmest välja võtta. Kui failisüsteemi keegi kasutab, näiteks mõni fail on avatud lugemiseks, siis ei saa seda lahti ühendada. Kasutage programmi fuser failisüteemi kasutuse uurimiseks ja vastavate protsesside lõpetamiseks.

Parasjagu külgeühendatud failisüsteeme näeb käsuga df

Failisüsteemide külgeühendamine toimub programmiga mount mille süntaks on selline

mount [-t failisüsteemi_tüüp] [-o võtmed] seadme_nimi külgeühendamiskoht

===Floppy ketta ühendamine===

'''4. kontrollige kas seadmel on bad block'e:'''

# badblocks -v /dev/fd0

'''5. Tehke kettale fsck:'''

# fsck /dev/fd0

'''4. Vajadusel looge failisüsteem'''

kõvaketta ja floppy peale nii:

süsteemi tüüp käsk
ext2 mke2fs /dev/fd0
ext2 mke2fs /dev/hda1
msdos mkdosfs - " - (praktiliselt soovitatakse teha vastav
partitsioon ja failisüsteem dos'i enda fdiski ja format'iga)
'''5. Looge mount point ehk kataloog kuhu alla seadme failisüsteem ühendub'''

Linuxis on universaalseks kohaks kuhu võib kiirelt ajutisi failisüsteeme külge haakida /mnt, kui on aga vaja rohkem kui 1 seade külge haakida tuleb tekitada uusi harusid.

kõigi seadmete puhul

mkdir /soovitud_nimi

Näiteks

mkdir /a
mkdir /floppy
mkdir /hda2_ext
mkdir /hda3_msdos
mkdir /hda4_vfat

'''6. Mount'ime seadme külge:'''

vastavalt mountitavale süsteemile tuleb teist parameetrit muuta:

failisüsteem käsk

ext2 (linux) mount -t ext2 /dev/fd0 /floppy
iso9660 (cdrom) iso9660 /dev/hda2 /hda2_ext2
msdos (lühikesed nimed) msdos /dev/hda3 /hda3_msdos
vfat (pikad nimed) vfat /dev/hda4 /hda4_vfat
image failid vfat -o loop /img.fail /a

'''7. Toimetame seadmel olevate failidega'''

'''8. Umount'ime seadme:'''

# umount /dev/fd0

'''9. Alles nüüd võib floppy või cd -rom'i plaadi välja võtta'''

'''2. Floppy kettad'''

Floppy'de peale tehakse tavaliselt kas vfat, msdos, ext2 või ei tehtagi failisüsteemi. Viimasel juhul kantakse info sinna/sealt:

# dd if=/bare.i of=/dev/fd0
# dd if=/dev/fd0 of=/disk.image.144

Need mainitud failisüsteemid peavad olema kernelis või moodulitena olemas

# modprobe vfat
# modprobe msdos

Allpool on näiatud kuidas image faile mountida.

===CD-ROM===

CD-ROM'i dele kirjutatakse tavaliselt iso9660 failisüsteem. Ja seadmed ise on nn. IDE-ATAPI tüüpi. Et nendega tegelda tuleb vastav asi kernelisse kompileerida ja moodul vajadusel laadida 'modprob iso9660'

Füüsiliselt on vahest vaja seade ka arvutile külge ühendada

Samasugune on lugu ka kõvaketta partitsioonidega:

Lülitage arvutil vool välja, ühendage kõvaketas juurde, vajadusel paigutage jumpereid ümber ja detectige CMOS SETUP'ist uus vint ära. Seejärel bootige linux üles ja samad sammud nagu floppy puhul.

CDROM -iga on sama asi: kui CD peab enne mountimist sees olema ja seda ei tohi välja võtta enne umount'i.

Soovides CD/DVD plaadist koopiat teha tuleb anda lihtsalt käsk

# dd if=/dev/cdrom of=/kaust/ketas.iso

Ning kettale tekib iso fail mida saab siis vastavalt mountida või teisele plaadile paigaldada.

===Kõvaketas===

Kõvaketta partitsioonide mountimine toimub sarnaselt eeltoodutele. Kõvakettaga tegelemisel on linuxi puhul tänuväärne see, et isegi partitsioonide ja failisüsteemide muutmisel ei pea arvutit rebootima nagu, praegu ei tule keelele, aga on üks teine OS.

Külla aga saab badblocks'iga kontrollida bad blocke. Ja vee on üks abiks programm:

# fuser -v -m /dev/hda6
USER PID ACCESS COMMAND
/dev/hda6 root 1 .rce. init
root 9 .rce. update
root 10 frce. kerneld
root 30 frce. kerneld
root 65 .rce. klogd
root 66 frce. syslogd
root 68 frce. rpc.portmap
root 70 frce. inetd
root 72 .rce. rpc.mountd
root 74 .rce. rpc.nfsd
root 76 frce. crond
root 82 frce. sendmail
root 89 frce. bash
root 90 frce. agetty
root 91 frce. agetty
root 92 frce. agetty
root 93 frce. agetty
root 94 frce. agetty

Teadupärast annavad käsub umount ja mount vahet busy veateate - siit on aga näha mis seis on.

Ning käsk fsck (file system check) võimaldab kontrollida failisüsteemi korrasolekut. NB! enne tuleb failisüsteem umount'ida.

# fsck /dev/hda8
Parallelizing fsck version 1.10 (24-Apr-97)
e2fsck 1.10, 24-Apr-97 for EXT2 FS 0.5b, 95/08/09
/dev/hda8 is mounted. Do you really want to continue (y/n)? no

check aborted.

# umount /dev/hda8
# fsck /dev/hda8
Parallelizing fsck version 1.10 (24-Apr-97)
e2fsck 1.10, 24-Apr-97 for EXT2 FS 0.5b, 95/08/09
/dev/hda8: clean, 5358/665840 files, 605366/665248 blocks

Kasutades -C 0 näeb tegevuse progressi, nt

# e2fsck -C 0 -f /dev/c_data/test
e2fsck 1.41.11 (14-Mar-2010)
Pass 1: Checking inodes, blocks, and sizes
/dev/c_data/test: |= \ 2.0%

===Image file===

See on tõeliselt 'weird'- linux võimaldab mountida image file. Toome näite floppy kohta:

'''1. teeme /dev/fd0 -s olevat vfat failisüsteemiga floppyst image faili (floppy ei pruugi olla mountitud)'''

selleks on kolm võimalust, kasutage vaid ühte!

# cat /dev/fd0 > /img.144
# dd if=/dev/fd0 of=/img.144
# cp /dev/fd0 /img.144

'''2. veendume, et kernelis on loobback sees (mitte see mis puutub network'i :)'''

make menuconfig; Floppy, IDE and other block devices -> Loopback device support
vajadusel modprobe loop

'''3. mountime image faili /a alla'''

bash# mount -t vfat -o loop /img.144 /a
mount: Could not find any loop device, and, according to /proc/devices,
this kernel does not know about the loop device.
(If so, then recompile or `insmod loop.o'.)

# modprobe loop
# mount -t vfat -o loop /img.144 /a
# df
Filesystem 1024-blocks Used Available Capacity Mounted on
/dev/hda6 991000 895730 44066 95% /
/dev/hda2 1023856 996400 27456 97% /nt.40
/dev/hda5 310264 292016 18248 94% /os2
/img.144 1423 1111 312 78% /a

Ja töö lõpetamisel umount!

'''4. seadme image kasutamine'''

Järgnev kehtib eeldusel, et toimetamised mahuvad ära nn 32bit sisse.

Olgu kõvakettaseadmel /dev/hdb kolm partitsiooni ning on tehtud kogu seadmest image fail

# fdisk -l -u hdb.img
...
34 heads, 61 sectors/track, 0 cylinders, total 0 sectors
Units = sectors of 1 * 512 = 512 bytes
Device Boot Start End Blocks Id System
hdb.img1 61 232287 116113+ 83 Linux
hdb.img2 232288 485315 126514 83 Linux
hdb.img3 485316 549609 32147 83 Linux

Soovides ühendada külge sellest image failist teisel partitsioonil olevat failisüsteemi, tuleb öelda

mount -o loop,offset=118931456 hda.img /yhenduspunkt

arvestades asjaolu, et 512*232288 = 118931456

Tõmmise, millel on ilma partitsioonitabelita nö otse tehtud ext3 failisüsteem, ühendamiseks /etc/fstab abil sobib kasutada nt sellist rida

/mnt/tommis.img /mnt/tommis ext3 loop 0 2

===Suured kataloogid eraldi partitsioonidel===

Niisiis oletame, et meil on kaks kõvaketast partitsioonidega:

/dev/hda1 - swap, 96 M
/dev/hda2 - root, 600 M
/dev/hda3 - /home, kasutajate kodukataloogid, 2 000 M
/dev/hdb1 - /usr kataloogi alla jäävad failid 1200 M

Selgitused:

swap on arvuti nö. mälu pikendus ja seda kasutab ta 'iseenesest' peale inistsialiseerimist rc scriptides:

# mkwap /dev/hda1
# swapon /dev/hda1

root on see partitsioon kus asub kernel /vmlinuz ja enamus juurika kataloogidest (/etc, /bin, /root, /dev)

Tavaliselt on nii, et kasutajate kodukataloogid moodustavad küllalt suure struktuuri ja süsteemi uuendamisel või ümbersättimisel on mugavam, kui see asub kas füüsiliselt erineval kettal või vähemalt eraldi partitsioonil mida on nii kergem backup'pida.

Toodud näite olukorra kohta öeldakse, et hda3 on mount'itud juurika /home kataloogiks. Seda tehakse praktiliselt nii:

1. luuakse juurikale tühi /home kataloog:
(Tõsi, tavaliselt on ta sel olemas, sel juhul tuleks tema sisu kopeerida teise nime alla: ) mkdir /home (mv /home /home_old; mkdir /home)
2. Mountime tühja failisüsteemiga partitsiooni /dev/hda3 -e /home -ks mount -t ext2 /dev/hda3 /home
3. Vajadusel liigutame vana tagasi: mv /home_old /home

Tulemuseks on see, et failid mis asuvad /home'ist allpool asuvad reaalselt teises partitsioonis kui muu juurikas.

Sarnaselt on toimitud /usr kataloogiga.

===/etc/fstab===

See on fail kus on kirjas millised kataloogid mountida külge süsteemi bootimisel; tüüpiliselt näeb see fail välja selline:

/dev/hda7 swap swap defaults 0 0
/dev/hda6 / ext2 defaults,usrquota 0 1
/dev/hda2 /nt.40 vfat defaults 0 2
/dev/hda5 /os2 vfat defaults 0 2
/dev/hda8 /hda8 ext2 defaults 0 2
/dev/fd0 /floppy ext2 noauto 0 0
/dev/fd0 /a vfat noauto 0 0
/dev/hdd /cdrom iso9660 ro,noauto 0 0
none /proc proc defaults 0 0
laura:/ /fromlaura nfs noauto,rsize=8192,wsize=8192,timeo=14,intr 0 0

Selgitused:

tulp
1: seade kus füüsiliselt mountitav asi asub
2: kataloog kuhu seade läheb
3: failisüsteem
4: nn. optionid
5: dump info
6: fsck info

optionid:

defaults on defaults
noauto tähendab, et failisüsteemi ei laeta kohe külge aga hiljem piisab anda nt vfat floppy jaoks käsk: mount /a
ro on 'read only'
usrquota näitab, et seadet kontrollib quota

eelviimane tulp:

soovitatakse panna tavaliselt 0, seda väärtust kasutab program dumpe2fs oma salapärastel eesmärkidel

viimane tulp:

root'il soovitatakse panna 1
teistel 2

need arvud näitavad check'imise järjekorda bootimisel omal moel. Kui panna 0 siis fsck ei pööra talle tähelepanu.
Muide, fstab-i failisüsteemid laadib /etc/rc.d/rc.S -i rida

# /sbin/mount -avt nonfs

====UUID kasutamine====

Plokkseadme nn /dev kataloogi failinime asemel saab kasutada ka plokkseadme UUID väärtust, nt

UUID=7cd6e9de-18d1-4d55-8d46-4d96ce8f492d /boot ext3 defaults 0 2

UUID eeliseks on, et ta on seotud nt konkreetsel füüsilisel kõvakettal asuva failisüsteemiga.

====LABEL kasutamine====

TODO

===losetup===

Programmiga losetup saab korraldada faili käsitlemise plokkseadmena. Näiteks moodustame faili

# dd if=/dev/zero of=/data/plokkseadmefail.img bs=1024x1024 count=4x1024

ning seostame ta seadmega /dev/loop0

# losetup /dev/loop0 /data/plokkseadmefail.img

Kõiki losetup abil tekitaud plokkseadmeid näeb käsuga

# losetup -a
/dev/loop0: [fe0c]:22439673 (/data/plokkseadmefail.img)

Seadet /dev/loop0 saab käsitleda seejärel nagu tavalist plokkseadet, näiteks saab sinna moodustada failisüsteemi, tekitada partitsioone, kasutada mdadm või lvm juures.

Moodustatud plokkseadme saab eemaldada öeldes

# losetup -d /dev/loop0

===kpartx utiliidi kasutamine===

Mitmeid partitsioone sisaldava tõmmisfaili kasutamiseks on abi programmist kpartx

# apt-get install kpartx

Tõmmisest partitsioonide nimekirja küsimine

# kpartx -l tommisefailinimi.img
loop1p1 : 0 19631367 /dev/loop1 63

Tõmmise partitsioonidele vastavate seadmete tekitamiseks tuleb öelda

# kpartx -a tommisefailinimi.img

Tekkinud seadmete kasutamiseks, nt külge ühendamiseks sobib öelda

# mount -o ro /dev/mapper/loop1p1 /mnt/tommis-hda1

Mäppingute kustutamine (kusjuures oluline on kasutada täpselt sama path'i mida kasutati ühendamisel)

# kpartx -d tommisefailinimi.img
loop deleted : /dev/loop0

Kui plokkseadmele on moodustad nö otse failisüsteem, st ilma partitsioonitabelit tekitamata, siis paistab selline seade nt sarnaselt

# parted /dev/system/xl-deb-7-91.arendus.kit-disk p
Model: Linux device-mapper (linear) (dm)
Disk /dev/dm-10: 2147MB
Sector size (logical/physical): 512B/512B
Partition Table: loop

Number Start End Size File system Flags
1 0.00B 2147MB 2147MB ext3

kus

* Partitsioonitabeli tüüp - loop

Sellise failisüsteemi külgeühendamiseks pole vaja kpartx programmi kasutada, piisab niisama öelda

# mount /dev/system/xl-deb-7-91.arendus.kit-disk /mnt/xl-deb-7-91

===partprobe utiliidi kasutamine===

Kui kõvaketta osa partitsioone on kasutuses, nt /dev/sda1 osaleb mdadm RAID lülituses ja on soov ilma arvutit rebootimata nt sama ketta /dev/sda2 eemaldada ja asendada suuremaga (eeldades, et /dev/sda seadmel on kasutamata ruumi), siis sobib selleks järgmine protseduur

* veenduda, et /dev/sda2 partitsioon ei ole kasutuses
* fdisk, parted vms programmi abil kustutada olemasolev /dev/sda2 ja tekitada uus
* cat /proc/partitios näitab tuuma ettekujutust ketta partitsioonitabelit

* öelda

# partprobe /dev/sda

* veenduda, et tuumal on uus ettekujutus

Analoogiline tegevus toimub lisades kasutuses ja partitsioneerimata ruumi sisaldavale kettale partitsiooni, nt lisades fdisk abil /dev/sda4

* enne

<pre>
# ls -ld /dev/sda*
brw-rw---- 1 root disk 8, 0 Aug 13 17:17 /dev/sda
brw-rw---- 1 root disk 8, 1 Aug 13 17:20 /dev/sda1
brw-rw---- 1 root disk 8, 2 Aug 13 12:29 /dev/sda2
brw-rw---- 1 root disk 8, 3 Aug 13 17:20 /dev/sda3
</pre>

* peale 'partprobe /dev/sda' ütlemist

<pre>
# ls -ld /dev/sda*
brw-rw---- 1 root disk 8, 0 Aug 13 17:17 /dev/sda
brw-rw---- 1 root disk 8, 1 Aug 13 17:20 /dev/sda1
brw-rw---- 1 root disk 8, 2 Aug 13 12:29 /dev/sda2
brw-rw---- 1 root disk 8, 3 Aug 13 17:20 /dev/sda3
brw-rw---- 1 root disk 8, 4 Aug 13 17:20 /dev/sda4
</pre>

===Krüptitud plokkseadme kasutamine===

Kõvakettal olevaid andmeid saab krüptida mitmes kihis, alates plokkseadme plokkidest (need 512B suurused tükid) kuni failisüsteemis asuvate üksikute failide krüptimiseni. Järnev käsitleb plokkseadme (nt partitsiooni või LVM voluumi) krüptimist

Paigaldage vajalik tarkvara

# apt-get install cryptsetup

Eeldusena peab olema kasutada partitsioon või LVM voluum, näiteks /dev/sda2

# cryptsetup -y create data /dev/sda2
Enter passphrase:
Verify passphrase:

Moodusteme failisüsteemi

# mke2fs -j /dev/mapper/data

Ning ühendame külge

# mount /dev/mapper/data /data

Selleks, et alglaadimisel toimuks failisüsteemi külgeühendamine automaatselt tuleb sisestada faili /etc/crypttab rida

data /dev/sda2 none cipher=aes

Ning faili /etc/fstab rida

/dev/mapper/data /data ext3 defaults 0 1

Alglaadimise käigus küsitakse parooli ja seejärel toimub krüptitud failisüsteemi kasutamine nagu tavalise failisüsteemi puhul.

===fdisk partitsioonil asuva ext3 failisüsteemi suuruse muutmine===

====ext3 failisüsteemi suurendamine====

Olgu lähtepunktiks sellise msdos partitsioonitabeliga plokkseade

# parted /dev/vdc p
Model: Virtio Block Device (virtblk)
Disk /dev/vdc: 17.2GB
Sector size (logical/physical): 512B/512B
Partition Table: msdos

Number Start End Size Type File system Flags
1 32.3kB 255MB 255MB primary
2 255MB 4557MB 4302MB primary ext3

Eesmärgiks on suurendada /dev/vdc2 failisüsteemi, selleks tuleb

* ühendada failisüsteem lahti (kusjuures suurendamine on võimalik ka külgeühendatud olekus) ning öelda

# e2fsck -f /dev/vdc2

* kustutada fdisk või parted abil olemasolev partitsioon
* moodustada fdisk või parted abil sama algusega, aga suurem partitsioon
* suurendada resize2fs programmiga failisüsteem

# resize2fs -p /dev/vdc2

* monteerida failisüsteem ning kasutada

====ext3 failisüsteemi vähendamine====

Olgu lähtepunktiks sellise msdos partitsioonitabeliga plokkseade

# parted /dev/vdc p
Model: Virtio Block Device (virtblk)
Disk /dev/vdc: 17.2GB
Sector size (logical/physical): 512B/512B
Partition Table: msdos

Number Start End Size Type File system Flags
1 32.3kB 255MB 255MB primary
2 255MB 4557MB 4302MB primary ext3

Eesmärgiks on vähendada /dev/vdc2 failisüsteemi, millest on kasutusel 500MB suurusele 1.2G, selleks tuleb

* ühendada failisüsteem lahti ning öelda

# e2fsck -f /dev/vdc2

* vähendada failisüsteem, suurus peab olema suurem kui kasutusel olev maht

# resize2fs -p /dev/vdc2 1G

* kustutada fdisk või parted abil olemasolev partitsioon
* moodustada fdisk või parted abil sama algusega, aga arvutuste lihtsustamiseks natuke suurem partitsioon kui failisüsteemi uus suurus, nt 1.2G
* suurendada resize2fs programmiga failisüsteem

# resize2fs -p /dev/vdc2

* monteerida failisüsteem ning kasutada

===LVM voluumil asuva ext3 failisüsteemi suuruse muutmine===

Plokkseadmele moodustatud ext3 failisüsteemi suurust saab muuta resize2fs utiliidi abil kusjuures praktiliselt on tarvis reeglina võimalust muuta failisüsteemi all oleva plokkseadme suurust. Ehk kõige mugavam on seda teha kui failisüsteem asub LVM voluumil.

Näiteks on võimalik selline järgnevus

* tekitame voluumi suurusega 4 GB

# lvcreate -L4G -n vol1 test

* moodustame voluumile failisüsteemi

# mke2fs -j /dev/test/vol1

Märkused

* Failisüsteemi suuruse muutmisega tegelemisel on oluline tähele panna, et failisüsteem ei pruugi kasutada kogu plokkseadet.
* Failisüsteemile vastaval LVM voluumil ei tohis olla suuruse muutmise ajal snapshotte

====ext3 failisüsteemi suurendamine====

Suurust saab muuta

* lahti ühendatud failisüsteemiga
* külge ühendatud failisüsteemiga

Esmalt suurendame algselt 4 GB voluumi 8 GB suuruseks

# lvresize -L8G /dev/test/vol1
Extending logical volume vol1 to 8.00 GB
Logical volume vol1 successfully resized

Failisüsteemi suurendamiseks lahtiühendatud olekus tuleb esmalt teha fsck ning seejärel resize2fs, nt nii

# umount /dev/test/vol1
# e2fsck -f /dev/test/vol1
# resize2fs -p /dev/test/vol1

kus -p näitab progressi ning kui viimaseks argumendiks näidata arv, nt 6G, siis see määraks tekkiva failisüsteemi suuruse.

Failisüsteemi suurendamiseks külgeühendatud olekus täitma kogu uue suurusega voluumi sobib öelda (ilma eelnevalt e2fsck tegemata)

# resize2fs -p /dev/test/vol1
resize2fs 1.41.3 (12-Oct-2008)
Filesystem at /dev/test/vol1 is mounted on /data; on-line resizing required
old desc_blocks = 3, new_desc_blocks = 4
Performing an on-line resize of /dev/test/vol1 to 14680064 (4k) blocks.
The filesystem on /dev/test/vol1 is now 14680064 blocks long.

====ext3 failisüsteemi vähendamine====

2009 aastal saab ext3 failisüsteemi vähendada (ingl. k. shrink) ainult lahtiühendatud olekus. Vähendada saab mitte väiksemaks kui failisüsteemis on ruumi kasutusel. Tavaliselt vähendatakse failisüsteemi eesmärgil vabastada kõnealuse failisüsteemi aluselt plokkseadmelt (antud juhul Volume Grupilt) ruumi muuks kasutuseks, nt vähendame 48 GB suuruse failisüsteemi, mis kasutab 2.4 GB suurusele 16GB kusjuures 13.8 G jääb failisüsteemis vabaks, tegevus võiks koosneda nt sellistest sammudest

* failisüsteem vähendatakse nõutud suurusest pisut väiksemaks, nt 10 G
* plokkseade st antud juhul LVM köide vähendatakse suurusele 16 GB
* failisüsteem suurendatakse kogu LVM köitele (st suurusele 16 GB)

Sellise tegevuse sooritamiseks tuleb failisüsteem esmalt lahti monteerida

# umount /dev/vg/data_postgresql

Seejärel rakendada failisüsteemi kontroll, mille käigus failisüsteem defragmenteeritakse, -C 0 esitab progressi

# e2fsck -C 0 -f /dev/vg/data_postgresql
e2fsck 1.41.12 (17-May-2010)
Pass 1: Checking inodes, blocks, and sizes
Pass 2: Checking directory structure
Pass 3: Checking directory connectivity
Pass 4: Checking reference counts
Pass 5: Checking group summary information
/dev/vg/data_postgresql: 1820/3145728 files (4.1% non-contiguous), 802405/12582912 blocks

Seejärel failisüsteemi suurus vähendatakse 10 GB suurusele

# resize2fs -p /dev/vg/data_postgresql 10G
resize2fs 1.41.12 (17-May-2010)
Resizing the filesystem on /dev/vg/data_postgresql to 2621440 (4k) blocks.
Begin pass 2 (max = 6)
Relocating blocks XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
Begin pass 3 (max = 384)
Scanning inode table XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
Begin pass 4 (max = 38)
Updating inode references XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
The filesystem on /dev/vg/data_postgresql is now 2621440 blocks long.

Seejärel märgitakse köide mitte-aktiivseks

# lvchange -a n /dev/vg/data_postgresql

ning vähendatakse LVM köite suurus 16 GB väärtusele (kusjuures tab ei lõpeta enam seadmenime, st tuleb omal välja kirjutada)

# lvresize -L16G /dev/vg/data_postgresql
Reducing logical volume data_postgresql to 16.00 GiB
Logical volume data_postgresql successfully resized

ja muuta LVM köide uuesti aktiivseks

# lvchange -a y /dev/vg/data_postgresql

Vähendatud LVM köite failisüsteemiga täitmiseks tuleb öelda

# resize2fs -p /dev/vg/data_postgresql
resize2fs 1.41.12 (17-May-2010)
Resizing the filesystem on /dev/vg/data_postgresql to 4194304 (4k) blocks.
Begin pass 1 (max = 48)
Extending the inode table XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
The filesystem on /dev/vg/data_postgresql is now 4194304 blocks long.

Lõpuks monteerida failisüsteem külge ja kasutada edasi

# mount /dev/vg/data_postgresql

Märkused

* failisüsteemi maksimaalselt väikesele suurusele vähendamiseks sobib öelda, st tulemusena on ta 100% täis

# umount /dev/test/vol1
# e2fsck -f /dev/test/vol1
# resize2fs -M /dev/test/vol1

===ext3 failisüsteemi all oleva LVMi all oleva plokkseadme partitsiooni suuruse muutmine===

Olgu lähtepunktiks selliste partitsioonidega plokkseade

# parted /dev/vdc p
Model: Virtio Block Device (virtblk)
Disk /dev/vdc: 17.2GB
Sector size (logical/physical): 512B/512B
Partition Table: msdos

Number Start End Size Type File system Flags
1 32.3kB 255MB 255MB primary ext3
2 255MB 4550MB 4295MB primary lvm

Kusjuures /dev/vdc2 on LVM PV millel on VG ning omakorda LV'd. Eesmärgiks on muuta teise partitsiooni suurust.

====Suurendamine====

Suurendamiseks tuleb failisüsteemi kasutamine lõpetada ning märkida kõited mitte-aktiivseks (tundub, et töötavas arvutis saab fdisk abil partitsioonid ära suurendada samuti, aga muudatuse kehtestamiseks tuleb nt rebootida)

# vgchange -a n koited

Seejärel tuleb

* PV'le vastava partitsioon fdisk abil kustutada ning moodustada sama algusega uus suurem partitsioon
* suurendada PV kusjuures nii suureneb automaatselt ka VG, LV suurused jäävad samaks

# pvresize /dev/vdc2

* teha kõited kasutatavaks

# vgchange -a y koited

* teha huvipakkuvale failisüsteemile fsck

# e2fsck -f /dev/koited/koide_2

* suurendada vajaliku kõite suurust

# lvresize -L4G /dev/koited/koide_2

* suurendada kõitel oleva failisüsteemi suurust

# resize2fs -p /dev/koited/koide_2

* asuda kasutama

====Vähendamine====

Vähendamiseks tuleb

* failisüsteemi kasutamine lõpetada ja mõne LV all olevat failisüsteemi vähendada

# e2fsck -f /dev/koited/koide_2
# resize2fs -p /dev/koited/koide_2 400M

* märkida kõited mitte-aktiivseks

# vgchange -a n koited

* vähendada LV, nt

# lvresize -L512M /dev/koited/koide_2

* suurendada failisüsteem täis-suuruseni

# vgchange -a y
# resize2fs -p /dev/koited/koide_2
# vgchange -a n

* vähendada PV

# pvresize /dev/vdc2 --setphysicalvolumesize 1536M

* PV'le vastava partitsioon fdisk abil kustutada ning moodustada sama algusega uus väiksem partitsioon
* suurendada PV partitsiooni täis-suuruseni

# pvresize /dev/vdc2

* teha kõited kasutatavaks

# vgchange -a y koited

* asuda kasutama

Märkused

* Kui seadme lõpus on PE kasutuses saab nt sellise teate

pvresize /dev/cciss/c0d0p2 --setphysicalvolumesize 60G
/dev/block/104:2: cannot resize to 15359 extents as later ones are allocated.
0 physical volume(s) resized / 1 physical volume(s) not resized

===NTFS failisüsteemi all oleva LVMi volüümi suuruse muutmine===

====Vähendamine====

Olgu kasutuses Windows 7 operatsioonisüsteemiga virtuaalne arvuti, mille mitte-süsteemsele plokkseadmele (nt D:\> ketas) vastab host arvutis LVM köide. Windows 7 poolt vaadates on sellel köitel tõenäoliselt DOS fdisk label ning üks NTFS partitsioon. LVM köite suuruse vähendamiseks tuleb

* vabastada failisüsteemis ruumi
* Windows 7 keskkonnas shinkida failisüsteemi
* failisüsteemi shrinkimise käigus vähendatakse ka partitsiooni

# fdisk -l /dev/vg_data/vga_win7_32_backup

Disk /dev/vg_data/vga_win7_32_backup: 200 GiB, 214748364800 bytes, 419430400 sectors
Units: sectors of 1 * 512 = 512 bytes
Sector size (logical/physical): 512 bytes / 512 bytes
I/O size (minimum/optimal): 512 bytes / 512 bytes
Disklabel type: dos
Disk identifier: 0x25b98324

Device Boot Start End Sectors Size Id Type
/dev/vg_data/vga_win7_32_backup1 2048 30306303 30304256 14.5G 7 HPFS/NTFS/exFAT

Seejärel tuleb Windows 7 virtuaalne arvuti sulgeda ning lvresize abil vähendada lvm voluumi, usutavalt on turvaline uus suurus valida varuga. Ja Windows keskkonnas suurendada failisüsteem (ja partitsioon) kasutama kogu plokkseadet (st LVM voluumi).

===MBR partitsioonitabeliga plokkseadme suuruse muutmine===

MBR partitsioonitabeliga plokkseadme suurendamiseks reeglina piisab

* plokkseadme kasutamine lõpetada, nt virtuaalne arvuti panna seisma
* suurendada plokkseadmele vastav ressurss, nt LVM kõide hostis
* käivitada virtuaalne arvuti
* kasutada suuremana paistvat plokkseadet edasi, nt moodustada sinna uus MBR partitsioon või suurendada olemasolevaid

====Primaarse partitsiooni lisamise teel====

Kui plokkseadmel on extended partitsioon, siis võib olla mõistlikum sda5 ja sda2 kustutamise asemel lihtsalt moodustada juurde /dev/sd3

<pre>
Device Boot Start End Sectors Size Id Type
/dev/sda1 * 2048 999423 997376 487M 83 Linux
/dev/sda2 1001470 33552383 32550914 15.5G 5 Extended
/dev/sda5 1001472 33552383 32550912 15.5G 8e Linux LVM

Command (m for help): n
Partition type
p primary (1 primary, 1 extended, 2 free)
l logical (numbered from 5)
Select (default p): p
Partition number (3,4, default 3):
First sector (999424-67108863, default 999424): 33552384
Last sector, +sectors or +size{K,M,G,T,P} (33552384-67108863, default 67108863):

Created a new partition 3 of type 'Linux' and of size 16 GiB.
</pre>

Tulemus paistab nii

<pre>
Device Boot Start End Sectors Size Id Type
/dev/sda1 * 2048 999423 997376 487M 83 Linux
/dev/sda2 1001470 33552383 32550914 15.5G 5 Extended
/dev/sda3 33552384 67108863 33556480 16G 8e Linux LVM
/dev/sda5 1001472 33552383 32550912 15.5G 8e Linux LVM
</pre>

Seejärel saab nt olemasolevat lvm'i extendida /dev/sda3 abil.

Kasulikud lisamaterjalid

* https://www.rootusers.com/how-to-increase-the-size-of-a-linux-lvm-by-expanding-the-virtual-machine-disk/

====Olemasolevate partitsioonide suurendamise teel====

Olgu lähtepunkt selline, virtuaalne arvuti, kus kasutatakse /dev/vdb plokkseadet (8388607 on partitsiooni lõpp, arvuliselt ühe võrra väiksem seadme sektorite arvust)

<pre>
# parted /dev/vdb
GNU Parted 3.2
Using /dev/vdb
Welcome to GNU Parted! Type 'help' to view a list of commands.
(parted) unit s
(parted) p
Model: Virtio Block Device (virtblk)
Disk /dev/vdb: 8388608s
Sector size (logical/physical): 512B/512B
Partition Table: msdos
Disk Flags:

Number Start End Size Type File system Flags
1 2048s 1050623s 1048576s primary
2 1050624s 8388607s 7337984s extended
5 1052672s 8388607s 7335936s logical lvm
</pre>

Eesmärgiks on suurendada logical partitsioonil asuval lvm köitel asuvat ext4 failisüsteemi. Selleks tuleb esmalt lisada virtualiseerimise keskkonna haldusliideses /dev/vdb seadmele ruumi juurde, 8388608 -> 16777216

<pre>
Model: Virtio Block Device (virtblk)
Disk /dev/vdb: 16777216s
Sector size (logical/physical): 512B/512B
Partition Table: msdos
Disk Flags:

Number Start End Size Type File system Flags
1 2048s 1050623s 1048576s primary
2 1050624s 8388607s 7337984s extended
5 1052672s 8388607s 7335936s logical lvm
</pre>

Seejärel nihutada partitsioonide 2 ja 5 lõpp edasi (nt uude seadme lõppu, 16777215 on plokkseadme viimane sektor, 'size - 1')

(parted) resizepart 2 16777215
(parted) resizepart 5 16777215

tulemuseks

<pre>
Number Start End Size Type File system Flags
1 2048s 1050623s 1048576s primary
2 1050624s 16777215s 15726592s extended
5 1052672s 16777215s 15724544s logical lvm
</pre>

Suurendada lvm pv (automaatselt suureneb lvm volume grupp)

# pvresize /dev/vdb5

Suurendada lvm köide (-l 100%FREE tähendab, et suurendamiseks kasutatakse ära kõik vastava volume group'i vaba ressurss)

# lvextend -l 100%FREE /dev/data/www

või nt (ei ole eelmisega samaväärne üldiselt)

# lvextend -L+50G /dev/data/www

Suurendada failisüsteem

# resize2fs -p /dev/data/www

Kasulikud lisamaterjalid

* http://yy27.blogspot.com.ee/2009/02/resizing-extended-partitions-with-gnu.html

===XFS failisüsteemi kasutamine===

XFS http://oss.sgi.com/projects/xfs/ on kaasaegne failisüsteem, kasutamiseks tuleb paigaldada xfs utiliidid öeldes
# emerge xfsprogs

====XFS failisüsteemi moodustamine====

Failisüsteemi moodustamiseks seadmele /dev/xvda2 sobib öelda

# mkfs.xfs /dev/xvda2
meta-data=/dev/xvda2 isize=256 agcount=4, agsize=786432 blks
= sectsz=512 attr=2
data = bsize=4096 blocks=3145728, imaxpct=25
= sunit=0 swidth=0 blks
naming =version 2 bsize=4096
log =internal log bsize=4096 blocks=2560, version=2
= sectsz=512 sunit=0 blks, lazy-count=0
realtime =none extsz=4096 blocks=0, rtextents=0

XFS failisüsteemi kasutamisega on seotud sellised nn tuuma lõimed

# ps aux | grep xfs
root 4334 0.0 0.0 0 0 ? S< 23:40 0:00 [xfslogd/0]
root 4336 0.0 0.0 0 0 ? S< 23:40 0:00 [xfslogd/1]
root 4337 0.0 0.0 0 0 ? S< 23:40 0:00 [xfsdatad/0]
root 4338 0.0 0.0 0 0 ? S< 23:40 0:00 [xfsdatad/1]
root 4339 0.0 0.0 0 0 ? S< 23:40 0:00 [xfs_mru_cache]
root 4382 0.0 0.0 0 0 ? S< 23:44 0:00 [xfsbufd]
root 4384 0.0 0.0 0 0 ? S< 23:44 0:00 [xfsaild]
root 4385 0.0 0.0 0 0 ? S< 23:44 0:00 [xfssyncd]

64 bit keskkonnas võib xfs kasutamisel tekkida sarnaseid probleeme, mida kirjeldab vestluslõim aadressil http://oss.sgi.com/archives/xfs/2005-06/msg00347.html.

Failisüsteemi automaatseks külgeühendamiseks sobib /etc/fstab failis kasutada nt rida

/dev/xvda2 /srv/data xfs noatime,nodiratime,inode64,logbufs=8 1 2

kus

* noatime - failide access time aega ei kasutata
* nodiratime - kataloogide access time aega ei kasutata
* inode64 - failisüsteemi inode numbrid võivad olla suuremad kui 32 bit
* logbufs=8

Olemasoleva xfs failisüsteemi omaduste esitamiseks sobib öelda (ei ole kooskõlas ülaltoodud mkfs.xfs andmetega)

xfs_info /dev/data/xfs
meta-data=/dev/mapper/data-xfs isize=256 agcount=4, agsize=268435455 blks
= sectsz=512 attr=2
data = bsize=4096 blocks=1073741820, imaxpct=5
= sunit=0 swidth=0 blks
naming =version 2 bsize=4096 ascii-ci=0
log =internal bsize=4096 blocks=32768, version=2
= sectsz=512 sunit=0 blks, lazy-count=0
realtime =none extsz=4096 blocks=0, rtextents=0

XFS failisüsteemis asuvate kõikide kasutajate quota tabeli saamiseks tuleb anda käsk

# xfs_quota -x -c "report -nu"

XFSi probleemidest: Failid on asendunud 0 baidistega.

*https://github.com/odoucet/xfsrepair
*http://centos.distrosfaqs.org/centos/xfs-zero-length-file-problem/
*http://jackal.livejournal.com/2162387.html
*http://toruonu.blogspot.com/2012/12/xfs-vs-ext4.html

====LVMi peale tehtud XFS failisüsteemi suurendamine====

XFS failisüsteem peab olema suurendamisel külge monteeritud olekus. XFS failisüteemi suurendamiseks tuleb esmalt failisüteemi all olevat plokkseadet suurendada, nt LVM köite puhul öelda

# lvresize -L40G /dev/system/xfs
Extending logical volume xfs to 40.00 GiB
Logical volume xfs successfully resized

ning seejärel öelda

# xfs_growfs /dev/system/xfs
meta-data=/dev/mapper/system-xfs isize=256 agcount=6, agsize=1310720 blks
= sectsz=512 attr=2
data = bsize=4096 blocks=7864320, imaxpct=25
= sunit=0 swidth=0 blks
naming =version 2 bsize=4096 ascii-ci=0
log =internal bsize=4096 blocks=2560, version=2
= sectsz=512 sunit=0 blks, lazy-count=1
realtime =none extsz=4096 blocks=0, rtextents=0
data blocks changed from 7864320 to 10485760

====XFS failisüteemi vähendamine====

XFS failisüsteemi ei saa otseselt vähendada,
http://xfs.org/index.php/XFS_FAQ#Q%3A_Is_there_a_way_to_make_a_XFS_filesystem_larger_or_smaller.3F, kaudselt on võimalik tekitada uus sobiva suurusega failisüstee ning kopeerida andmed sinna ümber ning kustutada algselt kasutuses olnud failisüsteem.

===Reiser failisüsteemi kasutamine===

Failisüsteemi plokkseadmele moodustamiseks tuleb süsteemipaigaldada reiserfsprogs pakett

# apt-get install reiserfsprogs

ja öelda näiteks

# mkreiserfs /dev/cciss/c0d0p2

/etc/fstab failis tuleb vastavalt kasutada rida

/dev/cciss/c0d0p2 /srv reiserfs rw 0 0

===Mount bind===

nn mount bind võimaldab sama kataloogi sisu teha nähtavaks failisüsteemis mitmes kohas

# mount --bind /tmp/src /tmp/dst

/etc/fstab failis sobib kasutada rida

/tmp/src /tmp/dst none defaults,bind 0 0

===AUFS===

AUFS (Another Union File System) võimaldab koondada erinevate kataloogide sisu nähtavale ühe kataloogi alla. AUFS kasutamiseks tuleb paigaldada tuuma moodul ja utiliidid

# apt-get install aufs-modules-2.6-amd64 aufs-tools

Kasutamine toimub nt selliselt

# mount -t aufs -o dirs=/tmp/src/essa:/tmp/src/tessa none /tmp/dst

===OpenBSD failisüsteemi kasutamine Linuxist===

Esmalt vaadata, millese loogilise nime all vastav OpenBSD partitsioon esineb

# cat /proc/partitions

ja siis külge monteerida, nt

# mount -t ufs -o ro,ufstype=44bsd /dev/hda5 /tmp/hda5

===USB pulk ja FAT 32 failisüsteem===

# apt-get install dosfstools
# fdisk ... valida partitsiooni tüüp 'b'
# mkdosfs -F 32 -I /dev/sdc1

===df programmi kasutamine===

df abil saab küsida nimekirja süsteemile teada olevatest failisüsteemidest, nö füüsilistest kui muudest, nt Debian v. 7 Wheezy puhul esitatakse vaikimisi selline väljund

# df -h -T -a
Filesystem Type Size Used Avail Use% Mounted on
rootfs rootfs 12G 3.3G 8.1G 29% /
sysfs sysfs 0 0 0 - /sys
proc proc 0 0 0 - /proc
udev devtmpfs 10M 0 10M 0% /dev
devpts devpts 0 0 0 - /dev/pts
tmpfs tmpfs 195M 312K 195M 1% /run
/dev/mapper/system-root ext3 12G 3.3G 8.1G 29% /
tmpfs tmpfs 5.0M 0 5.0M 0% /run/lock
tmpfs tmpfs 390M 0 390M 0% /run/shm
/dev/sda2 ext3 504M 168M 311M 35% /boot
nfsd nfsd 0 0 0 - /proc/fs/nfsd

kus

* -a - esitada info kõigi failisüsteemide kohta
* -h - esitada suurused GB, MB vms ühikutes
* -T - esitada lisaks failisüsteemi tüüp

Lisaks saab küsida andmeid nt teatud tüüpi failisüsteemide kohta, nt ainult devpts

# df -h -T -a -t devpts
Filesystem Type Size Used Avail Use% Mounted on
devpts devpts 0 0 0 - /dev/pts

===Ketaste trimmimine===

Tegemist tehnikaga mis mõeldud storage "thin provisioning" ja ssd ketaste jaoks ning tähendab seda, et kustutatud andmed eemaldatakse koheselt. Nt storagest loodud ning iSCSI vms tehnikaga jagatud kettal tähendab Thin Provisioning enabled, et antakse küll välja nt 20 TB-suurune kettaviilakas, aga "allocation" (ehk kasutatud) on vaid reaalselt seal peal olevate andmete maht ehk vaid paar terabaiti. Tavalisel moel jagatud kettal on kogu jagatud maht reserveeritud ning seda enam välja jagada ei saa. Samuti on võimalik määrata tase, kus maal "häiret antakse". Samas on vaja storagele anda teada, et mingid andmed on määratud kustutamisele (tavaliselt failisüsteem seda ei tee) ning siin tulebki mängu discard.

Ketta mountimisel tuleb mount käsule anda võti '''discard''' või siis aeg-ajalt '''fstrim''' käsk käima panna. Kui discard võti on mountimisel antud teatab süsteem kustutamisel automaatselt
allolevale kettale, et info vaja eemaldada. Fstrim käsk on selleks, et tagasiulatuvalt kustutada ka see info, mis sai kustutatud enne mount võtme muutmist ehk discard lisamist.

===scsi rescan===

scsi rescan'ist on abi, kui on vaja töötava arvuti LVM ressurssi suurendada. Teatud tingimustel saab arvutile operatsiooni töötamise ajal lisada plokkseadmeid, nt ESXi virtuaalsele arvutile Hard Disk tüüpi seadme. Selleks, et operatsioonisüsteem saaks lisatud seadet asuda kasutama tuleb öelda nt

# echo "- - -" > /sys/class/scsi_host/host#/scan

kusjuures # voimalikud väärtused näeb ära vastava kataloogis sisust, tundub, et vale numbri kasutamine midagi halba ei tee, maksab alustada suuremast

..
# echo "- - -" > /sys/class/scsi_host/host2/scan
# echo "- - -" > /sys/class/scsi_host/host1/scan
...

scan nimeline fail kusjuures failisüsteemis ei eksisteeri, aga see ei sega seda echo käsku kasutamisel ja tulemuse saavutamisel. Tulemus paistab nt sedasi

[23416.047799] scsi 2:0:1:0: Direct-Access VMware Virtual disk 1.0 PQ: 0 ANSI: 2
[23416.047811] scsi target2:0:1: Beginning Domain Validation
[23416.048832] scsi target2:0:1: Domain Validation skipping write tests
[23416.048836] scsi target2:0:1: Ending Domain Validation
[23416.048916] scsi target2:0:1: FAST-40 WIDE SCSI 80.0 MB/s ST (25 ns, offset 127)
[23416.050526] sd 2:0:1:0: [sdc] 167772160 512-byte logical blocks: (85.8 GB/80.0 GiB)
[23416.050566] sd 2:0:1:0: [sdc] Write Protect is off
[23416.050570] sd 2:0:1:0: [sdc] Mode Sense: 61 00 00 00
[23416.050623] sd 2:0:1:0: [sdc] Cache data unavailable
[23416.050626] sd 2:0:1:0: [sdc] Assuming drive cache: write through
[23416.050985] sd 2:0:1:0: [sdc] Cache data unavailable
[23416.050988] sd 2:0:1:0: [sdc] Assuming drive cache: write through
[23416.051241] sd 2:0:1:0: Attached scsi generic sg3 type 0
[23416.074279] sdc: unknown partition table
[23416.074536] sd 2:0:1:0: [sdc] Cache data unavailable
[23416.074540] sd 2:0:1:0: [sdc] Assuming drive cache: write through
[23416.074637] sd 2:0:1:0: [sdc] Attached SCSI disk

Seejärel tuleb tekitada LVM PV

# pvcreate /dev/sdc

ja LVM VG suurendada

# vgextend pgdata /dev/sdc

Ning tulemusena on kasutada suurenenud ruumiga pgdata LVM volume grupp.

===btrfs failisüsteemi kasutamine===

2015 aasta suvel on nö hästi varustatud Linux distributsioonides olemas btrfs tugi, kerneli osa niigi, haldusutiliiditeda paigaldamiseks tuleb paigaldada nt APT paketihaldusega keskkonnas sarnane pakett

# apt-get install btrfs-tools

tulemusena tekib failisüsteemi

* /sbin/btfrs - TODO
* TODO

Plokkseadmele /dev/vdb failisüsteemi tekitamiseks sobib öelda

# mkfs.btrfs /dev/vdb
Btrfs v3.17
See http://btrfs.wiki.kernel.org for more information.

Turning ON incompat feature 'extref': increased hardlink limit per file to 65536
fs created label (null) on /dev/vdb
nodesize 16384 leafsize 16384 sectorsize 4096 size 8.00GiB

Failisüsteemi monteerimiseks koos pakkimisega

# mount -o compression=lzo /dev/vdb /mnt/vdb

või fstab failis rida (kusjuures mount | grep btrfs näitab sama väljundit sõltumata kas compress on või pole sees)

/dev/sdb /mnt/sdb btrfs defaults,compress=lzo 0 1

Tundub, et tavaliste sync, df jt utiliitide asemel on sobivam teha

# btrfs filesystem sync /mnt/sdb
FSSync '/mnt/sdb'

# btrfs filesystem df /mnt/sdb
Data, single: total=45.01GiB, used=44.91GiB
System, DUP: total=8.00MiB, used=16.00KiB
System, single: total=4.00MiB, used=0.00B
Metadata, DUP: total=1.00GiB, used=169.09MiB
Metadata, single: total=8.00MiB, used=0.00B
GlobalReserve, single: total=64.00MiB, used=0.00B

kus

* Data, single - used väljendab, palju on kasutuses reaalselt

# btrfs filesystem show
Label: none uuid: 26ef34be-1c0c-4578-88a1-bc0810b0ebd9
Total devices 1 FS bytes used 45.07GiB
devid 1 size 596.17GiB used 47.04GiB path /dev/sdb

Btrfs v3.17

Kasulikud lisamaterjalid

* https://wiki.debian.org/Btrfs

===Märkused===

* Monteeritud failisüsteemi ühenduspunktil on monteeritud failisüsteemi juurika kasutaja:grupp.

===Kasulikud lisamaterjalid===

* http://en.wikipedia.org/wiki/XFS

Võrgudiagnostika

2017-09-30T18:06:23Z

Imre: /* tcptrack */

===Sissejuhatus===

Käesolev tekst on esitatud oma võrgu ja tulemüüride ning tcp/ip protokolli paremaks tundmaõppimiseks.
Ühtlasi tutvustatakse programme, millega saab uurida, kas võrk töötab ning kui, siis kuidas see töötab. Näiteks hinnata andmevahetuskiirusi, kuulata Ethernetti pealt ja uurida millised pordid on serveritel lahti.

Ilmselt saab allpool esitatud õpetusi kasutada nii hea-kui kuritahtlikul eesmärgil, manitseme seda tegema mitte kuritahtlikult. Tavaliselt on tuvastatav, kust tehakse ping floodi või nmapiga masinad skanneeritakse.

Reeglina tuleb esitatud programme kasutada juurkasutajana. Näiteks toodud viiba järgi saab teada, kas programm on kasutatav ka tavakasutaja ($) või ainult juurkasutaja (#) õigustes.

===Võrguseadmed===

Käesoleva teksti tähenduses mõeldakse võrguseadme all arvuti füüsilist või loogilist võrguseadet, nt

* füüsiline võrguseade - Linux puhul wlan0, eth0, eth1 jne; BSD puhul nt em0, bnx0 jne
* lokaalne võrguseade - Linux puhul lo; BSD puhul lo1, lo2
* sild - Linux puhul nt br0, br1; BSD puhul bridge0
* VLAN seade - Linux puhul nt vlan513, BSD puhul vlan513

Võrguseadmete jälgimisel tuleb arvestada, et arvuti kohalik liiklus toimub üle lokaalse võrguseadme, kusjuures ka juhtumil kui arvuti eth0 seadmele on omistatud nt aadress 192.168.1.15 ning arvutist pöördutakse selle aadressi poole.

===tcpdump===

Programm tcpdump (kuulub paljude operatsioonisüsteemide tarkvara põhiosa koosseisu) abil saab nö kuulata võrguseadmel pealt liiklust. Tulemust võib salvestada fail täies mahus või esitada ip paketti puudutavaid huvipakkuvaid andmeid programmi standardväljundisse. Oluline on tähele panna, et tcpdump kuulab liiklust seadel, st sisenevad paketid paistavad nii nagu nad olid enne RDR-teisendust ning väljuvad paketid on sellised nagu nad on peale NAT-teisendust.

tcpdump programmiga saab filtreerida liiklust selliste standardsete tunnuste järgi

* protokoll (nt icmp, tcp, udp, arp)
* andmevahetuse lähte ja sihtpunkti ip aadress
* andmevahetuse lähte ja sihtpunkti port
* ip paketi lippude järgi (nt salvestada vaid SYN pakette)
* paketi suurus

OpenBSD puhul lisanduvad järgmised võimalused

* paketifiltri reegli number, ''
* paketifiltri reegline määratud tegevus (pass, block, nat, rdr jt ning logitud liiklus)

Pakettide korjamise alustamiseks kindlalt võrguseadmelt

# tcpdump -i ed0

Oletame, et kahtlustame broadcast pakette ning seda, et nad
aeglustavad võrgutööd:

# tcpdump -i ed0 broadcast

Uurime kahe masina vahelist liiklust

# tcpdump -i ed0 host klient and server

Veel täpsep on vaadata

# tcpdump -i ed0 src host klient and dnst host server

Kõigi arvuti võrguseadmete peal töötamiseks sobib öelda

# tcpdump -i any ...

====ICMP====

Kui näiteks on kahtlusi kas kaks arvutit, 192.168.10.210 ja 192.168.10.11 (vastav võrguseade olgu em0) näevad üksteist, siis tuleks arvutis 192.168.10.210 öelda

# ping 192.168.10.11
PING 192.168.10.11 (192.168.10.11): 56 data bytes
64 bytes from 192.168.10.11: icmp_seq=0 ttl=64 time=0.422 ms
64 bytes from 192.168.10.11: icmp_seq=1 ttl=64 time=0.306 ms

ning teises arvutis võrguseadmel em0 ICMP protokolli filtreerimiseks tuleb öelda

# tcpdump -nettti em0 icmp
tcpdump: listening on em0, link-type EN10MB
May 19 16:23:10.480585 00:0e:0c:ba:4b:3e 00:16:3e:6a:0c:4b 0800 98: 192.168.10.210 > 192.168.10.11: icmp: echo request
May 19 16:23:10.480829 00:16:3e:6a:0c:4b 00:0e:0c:ba:4b:3e 0800 98: 192.168.10.11 > 192.168.10.210: icmp: echo reply
May 19 16:23:11.490525 00:0e:0c:ba:4b:3e 00:16:3e:6a:0c:4b 0800 98: 192.168.10.210 > 192.168.10.11: icmp: echo request
May 19 16:23:11.490639 00:16:3e:6a:0c:4b 00:0e:0c:ba:4b:3e 0800 98: 192.168.10.11 > 192.168.10.210: icmp: echo reply

Väljundina esitatakse

* paketi jälgimise aeg (-ttt, vt man tcpdump -t erinevaid variante)
* kummagi poole MAC aadressid (-e)
* paketi ethertype (-e, 0800 on ipv4 protokoll)
* ip paketi suurus baitides
* osaliste ip aadressid nimelahenduseta kujul (-n)
* paketi sisulisemad andmed, antud juhul on tegu icmp echo pärginute ja vastustega

Antud juhul saab järeldada, et võrguühendus arvutite vahel on olemas. St kuigi ping ise näitab väljundit annab teises arvutis võrgu pealtkuulamine täieliku kinnituse, et paketid just sinna välja jõuavad.

====TCP====

tcpdump võimaldab kasutada avaldisi, millega peab pakett klappima, nt SYN pakettide jälgmiseks

# tcpdump -n -i em0 'tcp[13] & 2 != 0' and dst 10.0.6.180 and port 80

TCP liikluse tõlgendamine

22:05:25.828149 10.50.96.138.50215 > 10.184.32.82.80: S 1263958777:1263958777(0) win 5840 \
<mss 1460,sackOK,timestamp 787576523 0,nop,wscale 6> (DF)
22:05:25.845445 10.184.32.82.80 > 10.50.96.138.50215: S 1989118317:1989118317(0) ack 1263958778 win 5792 \
<mss 1460,sackOK,timestamp 539529245 787576523,nop,wscale 6> (DF)
22:05:25.845896 10.50.96.138.50215 > 10.184.32.82.80: . ack 1 win 92 <nop,nop,timestamp 787576527 539529245> (DF)
22:05:25.845908 10.50.96.138.50215 > 10.184.32.82.80: P 1:134(133) ack 1 win 92 <nop,nop,timestamp 787576527 539529245> (DF)
22:05:25.856417 10.184.32.82.80 > 10.50.96.138.50215: . ack 134 win 108 <nop,nop,timestamp 539529249 787576527> (DF)
22:05:25.862904 10.184.32.82.80 > 10.50.96.138.50215: . 1:1449(1448) ack 134 win 108 <nop,nop,timestamp 539529249 787576527> (DF)
22:05:25.863286 10.50.96.138.50215 > 10.184.32.82.80: . ack 1449 win 137 <nop,nop,timestamp 787576532 539529249> (DF)
22:05:25.868800 10.184.32.82.80 > 10.50.96.138.50215: . 1449:2897(1448) ack 134 win 108 <nop,nop,timestamp 539529249 787576527> (DF)
22:05:25.869206 10.50.96.138.50215 > 10.184.32.82.80: . ack 2897 win 182 <nop,nop,timestamp 787576533 539529249> (DF)
22:05:25.878659 10.184.32.82.80 > 10.50.96.138.50215: . 2897:4345(1448) ack 134 win 108 <nop,nop,timestamp 539529253 787576532> (DF)
22:05:25.879036 10.50.96.138.50215 > 10.184.32.82.80: . ack 4345 win 227 <nop,nop,timestamp 787576536 539529253> (DF)
...

kus

* esimene rida vastab ühenduse algatamise SYN paketile
* mss 1460 - tcp maximum segment size väärtus, ütleb teisele poolele, kui suuri tcp pakette saata
* sackOK - selective acknowledgement on ok paketi saatja jaoks
* win 5840 - paketi saatja teatab paketi vastuvõtjale, et tal on puhvrit võtta ise pakette vastu 5840 baiti
* win 92 - kuna alguses lepiti kokku wscale=6, siis 92 tähendab 92 * 2^6 = 5888 baiti
* ack arv - loeb kui palju baite on paketi saatja teise poole käest vastu võtnud;
* DF - kõigil pakettidel on seatud don't fragment
* nop - not operating, sisuliselt kasutatakse paddinguks
* 1449:2897(1448) - sulgudes olev väärtus on tcp paketi sisu suurus baitides
* kasutades lisaks võtit -e esitatakse eraldi tulbas ethnerneti frame sees kantud protokolli nimi, nt ip ning vastava paketi suurus

====ARP====

Huvitav on tähele panna, et tcpdump tegeleb mitme protokolliga, nt ip (0800) ja arp (0806) protokolli pakettidega, mis on saadetud arp broadcast aadressile

# tcpdump -nei re0 ether host ff:ff:ff:ff:ff:ff
tcpdump: listening on re0, link-type EN10MB
11:00:49.928582 00:0e:0c:b0:96:b6 ff:ff:ff:ff:ff:ff 0800 210: 192.168.10.10.631 > 192.168.10.255.631: udp 168 (DF)
11:01:08.024422 00:16:3e:00:00:01 ff:ff:ff:ff:ff:ff 0800 249: 192.168.10.41.138 > 192.168.10.255.138: udp 207
11:01:26.338380 00:1b:21:1d:f6:06 ff:ff:ff:ff:ff:ff 0806 60: arp who-has 192.168.10.254 tell 192.168.10.250

Kui tcpdump väljundit on vaja saata toru kaudu mõne teksti töötlevale programmile edasi on asjakohane kasutada lisaks -l võtit, mis puhverdab rea kaupa, nt

# tcpdump -nlei re0 ether host ff:ff:ff:ff:ff:ff | grep 0806

====Liikluse salvestamine faili====

Selleks, et salvestada tulemus ka faili:

# tcpdump -i ed0 -w liiklus.log

Liikluse faili salvestamiseks sobib öelda nö tavalise MTU'ga (1,5 kBaiti) võrgus nt (-s 0 võti tähendab, et salvestatakse kõik paketi sisu suurusest hoolimata)

# tcpdump -s 1600 -w /tmp/liiklus.log -i em0 host 10.0.6.180 and port 80

Selliselt salvestatud liikluse analüüsimiseks sobib öelda nt

# tcpdump -r /tmp/liiklus.log

====IP====

Kui IP kihis leiab aset pakettide fragmenteerumine, siis paistab see tcpdump väljundis nt selliselt

23:43:36.802989 10.100.0.161.32545 > 10.100.1.190.80: S 3394332515:3394332515(0) win 16384 \
<mss 8960,nop,nop,sackOK,nop,wscale 0,nop,nop,timestamp 3055259272 0>
23:43:36.803982 10.100.1.190.80 > 10.100.0.161.32545: S 2791894032:2791894032(0) ack 3394332516 win 16384 \
<mss 8960,nop,nop,sackOK,nop,wscale 0,nop,nop,timestamp 313564159 3055259272>
23:43:36.805275 10.100.0.161.32545 > 10.100.1.190.80: . ack 1 win 16384 <nop,nop,timestamp 3055259272 313564159>
23:43:36.805527 10.100.0.161.32545 > 10.100.1.190.80: P 1:67(66) ack 1 win 16384 <nop,nop,timestamp 3055259272 313564159>
23:43:36.809486 10.100.1.190.80 > 10.100.0.161.32545: . 1:1449(1448) ack 67 win 17896 \
<nop,nop,timestamp 313564159 0> (frag 35143:1480@0+)
23:43:36.809503 10.100.1.190 > 10.100.0.161: (frag 35143:1480@1480+)
23:43:36.809515 10.100.1.190 > 10.100.0.161: (frag 35143:1480@2960+)
23:43:36.809527 10.100.1.190 > 10.100.0.161: (frag 35143:1480@4440+)
23:43:36.809539 10.100.1.190 > 10.100.0.161: (frag 35143:1480@5920+)
23:43:36.809554 10.100.1.190 > 10.100.0.161: (frag 35143:824@7400)
23:43:36.810014 10.100.1.190.80 > 10.100.0.161.32545: P 8193:9641(1448) ack 67 win 17896 \
<nop,nop,timestamp 313564159 0> (frag 46914:1480@0+)
23:43:36.810030 10.100.1.190 > 10.100.0.161: (frag 46914:1480@1480+)
23:43:36.810045 10.100.1.190 > 10.100.0.161: (frag 46914:1452@2960)
23:43:36.810157 10.100.1.190.80 > 10.100.0.161.32545: F 12573:12573(0) ack 67 win 17896 <nop,nop,timestamp 313564159 0>
23:43:36.813600 10.100.0.161.32545 > 10.100.1.190.80: . ack 8193 win 16384 <nop,nop,timestamp 3055259272 313564159>
23:43:36.813856 10.100.0.161.32545 > 10.100.1.190.80: . ack 12574 win 12004 <nop,nop,timestamp 3055259272 313564159>
23:43:36.816244 10.100.0.161.32545 > 10.100.1.190.80: F 67:67(0) ack 12574 win 16384 <nop,nop,timestamp 3055259272 313564159>
23:43:36.817042 10.100.1.190.80 > 10.100.0.161.32545: . ack 68 win 17896 <nop,nop,timestamp 313564159 0>

kus

* (frag 35143:1480@0+) - järgnevad IP fragmendid
* (frag 35143:824@7400) - viimane IP fragment kuna järel + märk puudub

ICMP pakettide puhul on fragmenteerimist veel otsekohesem jälgida, öeldes ühes aknas

# ping -c 1 -s 6000 192.168.209.245
PING 192.168.209.245 (192.168.209.245): 6000 data bytes
6008 bytes from 192.168.209.245: icmp_seq=0 ttl=56 time=74.206 ms

võib võrku pealt kuulates paista midagi sellist

22:30:44.799162 84.50.96.138 > 192.168..209.245: icmp: echo request (frag 36688:1480@0+)
22:30:44.799168 84.50.96.138 > 192.168..209.245: (frag 36688:1480@1480+)
22:30:44.799175 84.50.96.138 > 192.168..209.245: (frag 36688:1480@2960+)
22:30:44.799180 84.50.96.138 > 192.168..209.245: (frag 36688:1480@4440+)
22:30:44.799187 84.50.96.138 > 192.168..209.245: (frag 36688:88@5920)
22:30:44.872529 192.168.209.245 > 84.50.96.138: icmp: echo reply (frag 42199:1480@0+)
22:30:44.872674 192.168.209.245 > 84.50.96.138: (frag 42199:1480@1480+)
22:30:44.872774 192.168.209.245 > 84.50.96.138: (frag 42199:1480@2960+)
22:30:44.872899 192.168.209.245 > 84.50.96.138: (frag 42199:1480@4440+)
22:30:44.872913 192.168.209.245 > 84.50.96.138: (frag 42199:88@5920)

===ping===

Kuulub enamuse operatsioonisüsteemide pakettide hulka

Ping utiliidi abil saab hõlpasti veenduda, et kahe punkti vahel on füüsiliselt võrguühendus olemas. Ping kasutab andmevahetuseks ICMP (Internet Control Message Protocol) protokolli ja arusaadavalt ei tohi sellise kontrolli õnnestumiseks kahe punkti vahel olla ICMP protokolli kasutamine takistatud, täpsemini ICMP echo request ja ICMP echo reply sõnumite vahetamine.

Kasutamiseks tuleb ühes punktis öelda

# ping 192.168.10.11
PING 192.168.10.11 (192.168.10.11): 56 data bytes
64 bytes from 192.168.10.11: icmp_seq=0 ttl=64 time=3.922 ms
64 bytes from 192.168.10.11: icmp_seq=1 ttl=64 time=0.286 ms
64 bytes from 192.168.10.11: icmp_seq=2 ttl=64 time=0.274 ms
64 bytes from 192.168.10.11: icmp_seq=3 ttl=64 time=0.193 ms

Väljundist on näha, et pöördutud aadress vastab, vastused on järjekorras ja kadudeta saabunud ning vastuse saamise aeg on suhteliselt stabiilne. Võib järeldada, et võrk toimib.

Kasutades võtit -n ei püüa Ping lahendada nimesid, tihti seisneb võrgu nö mittetöötamine valesti konfigureeritud nimeserveris või nimeserveri mittekasutamises.

Pingimise intervalli võib ka vähendada järgnevalt:

# ping -i 0 -c 5 neti.ee

Silmas tasub ainult sel juhul pidada järgnevaid asju:

*flood ping (intervall 0) on masinate kiusamine, mõned tulemüürid võivad seda spetsiifiliselt detectida ja blokkida,
*mida lühem intervall, seda hüplikumaks muutub tulemus, pendeldades rohkem 100% ja 0% vahel,
*alla 1 sek intervalliga ping tuleb ruudu poolt käivitada.

===traceroute===

Samuti enamuse operatsioonisüsteemides leiduv programm

Traceroute utiliidi abil saab jälgida, millistest võrgusõlmedest käib kahe punkti vahel toimuv liiklus läbi. Traceroute kasutab andmevahetuseks vaikimisi UDP protokolli ning asjaolu, et kui IP pakett läbib võrgusõlme, siis vähendatakse päises olevat TTL väärtust ühe võrra kusjuures kui võrgusõlme jõuab pakett, mille TTL väärtus on üks, siis saadetakse tagasi ICMP vastus

icmp: time exceeded in-transit

UDP pakett saadetakse vaikimisi porti 33434 (eeldades, et sihtpunktiks olevas arvutis ei kuula seal teenust). Esimese paketi TTL on väärtusega 1 ning 'icmp: time exceeded in-transit' saadakse vaikelüüsilt. Järgmise paketi TTL seatakse 2 ning 'icmp: time exceeded in-transit' saadakse järgmises võrgu sõlmpunktis asuvalt ruuterilt jne kuni lõpuks UDP puhul saadakse sihtpunktilt vastuseks

icmp: 172.168.1.1 udp port 33443 unreachable

UDP asemel on võimalik kasutada ka ICMP või TCP protokolli, aga UDP annab praktikas kõige paremaid tulemusi. Toome näite kasutades ICMP protokolli kuna liiklust sisaldavas võrgus on tulemust nii parem näha ja esitada. Ütleme arvuti ühes promptis

# traceroute -n -q 1 -I cache.eenet.ee
traceroute to cache.eenet.ee (193.40.133.134), 64 hops max, 40 byte packets
1 195.80.102.33 0.494 ms
2 213.184.51.121 0.418 ms
3 194.116.188.19 0.524 ms
4 193.40.133.187 4.724 ms
5 193.40.133.134 3.760 ms

kus

* väljundis esitatakse järjekorras kõigi võrgusõlmede aadressid, mida pakett läbib sihtpunkti jõudmiseks; täpsemalt, need on võrgusõlmpunktide traceroute kasutaja poolsete võrguseadmede aadressid
* iga aadressi järel esitatakse vastuse tagasijõudmiseks kulunud aeg, kusjuures aeg esitatakse iga rea kohta eraldi st viimase rea aeg ei ole kõige aegade summa (antud juhul on see ka selgesti näha, et mingil põhjusel jõudis viimase hosti juurest vastus kiiremini tagasi kui eelviimasest)

Kuulates samas arvutis liiklust pealt teises promptis näeme

# tcpdump -nttti em3 icmp
tcpdump: listening on em3, link-type EN10MB
May 19 18:12:08.419036 195.80.102.35 > 193.40.133.134: icmp: echo request [ttl 1]
May 19 18:12:08.419459 195.80.102.33 > 195.80.102.35: icmp: time exceeded in-transit [tos 0xc0]
May 19 18:12:08.419659 195.80.102.35 > 193.40.133.134: icmp: echo request
May 19 18:12:08.419957 213.184.51.121 > 195.80.102.35: icmp: time exceeded in-transit [tos 0xc0]
May 19 18:12:08.420152 195.80.102.35 > 193.40.133.134: icmp: echo request
May 19 18:12:08.420582 194.116.188.19 > 195.80.102.35: icmp: time exceeded in-transit
May 19 18:12:08.420760 195.80.102.35 > 193.40.133.134: icmp: echo request
May 19 18:12:08.424455 193.40.133.187 > 195.80.102.35: icmp: time exceeded in-transit
May 19 18:12:08.424638 195.80.102.35 > 193.40.133.134: icmp: echo request
May 19 18:12:08.428660 193.40.133.134 > 195.80.102.35: icmp: echo reply

Vahel esineb traceroute väljundis real * märk, mis tähendab, et vaatlusalune võrgusõlm ei vastanud 'icmp: time exceeded in-transit' teatega või see teade ei jõudnud kohale

# traceroute -n -q 1 -I www.eenet.ee
traceroute to www.eenet.ee (193.40.0.131), 64 hops max, 60 byte packets
1 84.50.96.137 58.500 ms
2 88.196.144.137 5.230 ms
3 90.190.153.17 4.325 ms
4 195.250.191.17 8.805 ms
5 *
6 194.116.188.19 9.124 ms
7 193.40.133.187 11.953 ms
8 193.40.0.131 11.744 ms

TCP ja port 80 tracroute

# traceroute -n -q 1 -T www.eenet.ee -p 80
traceroute to www.eenet.ee (193.40.0.131), 30 hops max, 60 byte packets
1 10.0.0.1 0.313 ms
2 184.50.25.1 0.659 ms
3 184.50.157.2 5.896 ms
4 213.168.1.18 3.562 ms
5 213.168.1.27 3.680 ms
6 195.250.170.70 3.797 ms
7 193.40.133.6 6.987 ms
8 193.40.133.26 7.113 ms
9 193.40.0.131 7.993 ms

===tracepath===

tracepath programmi abil saab teha kindlaks Path MTU väärtusi, paigaldamiseks tuleb Debian Lenny keskkonnas öelda

# apt-get install iputils-tracepath

Kasutamisene toimub selliselt

$ tracepath -n 192.168.1.4
1: 192.168.10.10 0.062ms pmtu 1500
1: 192.168.10.210 0.444ms
1: 192.168.10.210 0.220ms
2: 192.168.1.4 0.835ms reached
Resume: pmtu 1500 hops 2 back 63

Kasulikud lisamaterjalid

* http://en.wikipedia.org/wiki/Path_MTU_Discovery

===nmap===

Programm nmap on populaarne võrgu kaardistamise vahend, mida võrguadministraatorid ja süsteemiadministraatorid armastavad kasutada teenuste kontrollimiseks, samuti diagnostikavahendina probleemide või kahtluste olemasolul. Lisaks tundub, et pahalased kasutavad sarnast võrgu kaardistamise vahendit ründe sihtmärkide kindlakstegemiseks. Nmap töö põhineb erinevate omadustega pakettide väljasaatmisel ning vastuste (sh saamatajätmise) analüüsil. Üldiselt võiks eristada kahte taset nmapi kasutamisel

* võrgus arvutite leidmine (ingl. k. host discovery)
* üksikute arvutite omaduste kindlakstegemine (nt millistel portidel pakutakse teenust) (ingl. k. port scanning)

Nmap ei kuulu enamuse operatsioonisüsteemi baaskonfiguratsiooni ning tuleb eelnevalt
paketihalduse vahenditega paigaldada

Nt Debian v. 7 Wheezy puhul sobib öelda, et ei paigaldatakse hulka Recommends olekus pakette

# apt-get --no-install-recommends install nmap

====võrgust arvutite leidmine====

Võrgus arvutite kindlakstegemiseks on nmap'il kaks võtitit, -sL ja -sP

Selleks, et lihtsalt kuvada subnetis olevad ip aadressid koos pöördteisendustega, mingit skaneerimist ei toimu

# nmap -sL 192.168.1.0/24

Starting Nmap 4.53 ( http://insecure.org ) at 2008-06-23 22:30 EEST
Host 192.168.1.0 not scanned
Host sipsik.loomaaed.tartu.ee (192.168.1.1) not scanned
Host www.loomaaed.tartu.ee (192.168.1.2) not scanned
Host vaktsiin.loomaaed.tartu.ee (192.168.1.3) not scanned
Host loomaaed.tartu.ee (192.168.1.4) not scanned
Host 192.168.1.5 not scanned
Host hilja.loomaaed.tartu.ee (192.168.1.6) not scanned
..
Nmap done: 256 IP addresses (0 hosts up) scanned in 0.142 seconds

Selleks, et saada subnetis olevate arvutite mac aadresside nimekirja sobib öelda

# nmap -sP 192.168.1.0/24 -n

Starting Nmap 4.53 ( http://insecure.org ) at 2008-06-23 23:03 EEST
Host 192.168.1.1 appears to be up.
MAC Address: 00:16:3E:1C:3C:B3 (Xensource)
Host 192.168.1.2 appears to be up.
MAC Address: 00:16:3E:2C:7E:DD (Xensource)
Host 192.168.1.3 appears to be up.
MAC Address: 00:18:F8:E5:F8:F2 (Cisco-Linksys)
Host 192.168.1.4 appears to be up.
MAC Address: 00:0C:42:07:1A:46 (Routerboard.com)
Nmap done: 256 IP addresses (5 hosts up) scanned in 6.054 seconds

Kui nö teises aknas võrku kuulata, näeb, et nmap teeb subneti iga ip aadressi kohta arp päringu, väga efektiivne moodus arvuti olemasolu kindlakstegemiseks

# tcpdump -nettti fxp1 arp
Jun 23 22:49:26.743432 00:02:55:ee:42:72 ff:ff:ff:ff:ff:ff 0806 42: arp who-has 192.168.1.1 (ff:ff:ff:ff:ff:ff) tell 192.168.1.254
Jun 23 22:49:26.743466 00:02:55:ee:42:72 ff:ff:ff:ff:ff:ff 0806 42: arp who-has 192.168.1.2 (ff:ff:ff:ff:ff:ff) tell 192.168.1.254
Jun 23 22:49:26.943286 00:02:55:ee:42:72 ff:ff:ff:ff:ff:ff 0806 42: arp who-has 192.168.1.3 (ff:ff:ff:ff:ff:ff) tell 192.168.1.254
Jun 23 22:49:26.943339 00:02:55:ee:42:72 ff:ff:ff:ff:ff:ff 0806 42: arp who-has 192.168.1.4 (ff:ff:ff:ff:ff:ff) tell 192.168.1.254
..

Kui sedasi pöörduda mittelokaalse võrgu poole, siis nmap saadab icmp echo requesti ning tcp ack paketi porti 80 (mis tavaliselt ei saa tulemüüridest edasi, kuna ei kuulu ühenduse hulka) ning näitab samuti tulemust.

Lisaks saab -sP võtmega koos kasutada nn probe'isid (-PS, -PA jt) võtmeid, et vaikimisi käitumist muuta.

Nmap programmi võrgust arvutite leidmise protseduuri väljundi saab salvestada faili, et seda seejärel üksikute arvutite omaduste kindlakstegemiseks kasutada, näiteks selliselt, -oG võtme kasutamisel salvestatakse väljund võimalikult nö grep'itavas formaadis

# nmap -sP 192.168.1.0/24 -oG /tmp/nmap-192.168.1.0-24.log

====Üksikute arvutite omaduste kindlakstegemine====

Üksikute arvutite omaduste all mõeldaks seda, millises olekus on tema erinevad pordid, näiteks

* open - pordil töötab rakendus
* closed - pordile ei ole ligipääs takistatud, aga rakendust ei tööta (tavaliselt saadab arvuti nmapile vastuseks RST paketi)
* filtered - nmap ei saa kindlaks teha pordi olekut (kas open või closed) kuna vaatlusaluses endas või tema eest töötab paketifilter

Tegemaks kindlaks, kas failis /tmp/192.168.1.0-24.log sisalduvatel ip aadressidel vastab SYN paketile 22 port tuleb näiteks öelda

# nmap -p T:22 -sS -iL /tmp/nmap.log -PN -oG -

* -oG - tundub, et väljund on sedasi pisut paremini loetav kui vaikimisi
* -PN - nmap ei soorita taustal nn host discovery't, kui tcpflow abil liiklust jälgida, on pilt selgem

Sedasi on näiteks ka hea kontrollida, kas oma synproxy režiimis käivitatud tulemüür ikka toimib nõuetekohaselt.

Nmap võimaldab vaatlusaluse arvuti tcp/ip stackiga suhtlemisel saadud info põhjal kaudselt ennustada selle arvuti operatsioonisüsteemi ning portidel kuulavate tarkvarade versioonid

# nmap -A 192.168.0.239
Starting Nmap 4.53 ( http://insecure.org ) at 2008-04-10 23:12 EEST
Interesting ports on 192.168.0.239:
Not shown: 1711 closed ports
PORT STATE SERVICE VERSION
22/tcp open ssh OpenSSH 4.7p1 Debian 2 (protocol 2.0)
MAC Address: 00:11:25:85:64:34 (IBM)
Device type: general purpose
Running: Linux 2.6.X
OS details: Linux 2.6.17 - 2.6.20
Uptime: 0.640 days (since Thu Apr 10 07:51:45 2008)
Network Distance: 1 hop
Service Info: OSs: Unix, Linux

OS and Service detection performed. Please report any incorrect results at http://insecure.org/nmap/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 20.592 seconds

TCP handshake'i tegemiseks sobib kasutada, nn connect scan

# nmap -p T:443 -sT -PN 192.168.0.239

Lisaks saab seada tcp paketi lippe ka näidates vajalikud lipud otse, nt seada SYN ja ACK, korrektselt seadistatud tulemüürist selline pakett läbi minna ei tohiks

# nmap -p T:80 --scanflags SYNACK -PN 192.168.0.239

IP aadressiga seotud portide vahemiku tcp handshake skaneerimine

# nmap -p T:22-100 -sT -Pn 192.168.0.111

kus

* -p T:22-100 - portide vahemik ja TCP (tegelikult -T on ta niikuinii antud juhul ja selle võiks ka ära jätta)
* -Pn - mitte pingida, st saadetakse vaid tcp syn jne pakette
* -sT - tcp handshake skaneerimine

====Võrgust teatud omadustega arvutite otsimine====

# nmap -PS -p 443 192.168.2.200-245

kus

* -PS - tcp syn
* -p 443 - port
* 192.168.2.200-245 - ip vahemik

====Turvavigade kontroll====

Tööks vajalikud huvitavad failid asuvad kaustas nmap/scripts/smb-check-vulns.nse
nt FreeBSD's /usr/local/share/nmap/scripts/

Ideepoolest peaks töötama ka käsk

# nmap --script-updatedb
Starting Nmap 4.85BETA7 ( http://nmap.org ) at 2009-09-15 00:33 EEST
NSE script database updated successfully.
Nmap done: 0 IP addresses (0 hosts up) scanned in 0.23 seconds

Salvestame nmapi töö faili mis meie subneti nimeline ning viime läbi
SYN skänni pordile 445 ning käivitame SMB vigade kontrollimiseks mõeldud NSE skripti
ja teeme seda kõigile arvutitele 192.168.1.0/24 võrgus.

nmap -oA 192168-filename -sS -p445 --script smb-check-vulns.nse 192.168.1.0/24

Tulemused võivad välja näha näiteks järgnevad

Interesting ports on kasutaja.zoo.tartu.ee (192.168.1.5):
PORT STATE SERVICE
445/tcp open microsoft-ds
MAC Address: 00:03:0D:51:E5:CA (Uniwill Computer)

Host script results:
|_ smb-check-vulns: This host is likely vulnerable to MS08-067 (it
stopped responding during the test)

Skriptide poole pöördudes võib kasutada ka järgmist lähenemist:

nmap --script "http-*"

Mis laadib kõik skriptid millede nimi agab httpd- reaga, näiteks http-auth ja http-open-proxy

Või siis laadime kõik skriptid, välja arvatud intrusive kategooriast:

nmap --script "not intrusive"

Vaikimisi kategoriseeritud default ja safe kataloogi.

nmap --script "default or safe"

====nping====

nmap paketi koosseisu kuulub nping programm, mis on natuke sarnane oma võimlustelt hping ja pingile.

TODO

====ncat====

nmap paketi koosseisu kuulub ncat programm, mis on natuke sarnane oma võimalustelt netcat programmile.

===arping===

Erinevalt programmist ping, mis saadab võrku ip pakette (ethertype 0x0800) tekitab arping arp pakette (ethertype 0x0806). Kui ühes aknas pingida/arpingida ja teises jälgida liiklust, siis paistavad erinevused sellised

Tuleb eelnevalt paigaldada operatsioonisüsteemi pakihalduse vahendite abil

# ping 192.168.10.251

# tcpdump -nettti em0 arp or icmp
Jun 24 13:27:08.032376 00:0e:0c:ba:4b:3e 00:0c:42:07:1a:45 0800 98: 192.168.10.210 > 192.168.10.251: icmp: echo request
Jun 24 13:27:08.032511 00:0c:42:07:1a:45 00:0e:0c:ba:4b:3e 0800 98: 192.168.10.251 > 192.168.10.210: icmp: echo reply

# arping 192.168.10.251

# tcpdump -nettti em0 arp or icmp
Jun 24 13:27:10.069533 0c:80:18:03:00:00 ff:ff:ff:ff:ff:ff 0806 42: arp who-has 192.168.10.251 tell 192.168.10.210
Jun 24 13:27:10.069644 00:0c:42:07:1a:45 0c:80:18:03:00:00 0806 60: arp reply 192.168.10.251 is-at 00:0c:42:07:1a:45

===Ssmpingiga multicasti toimimise testimine===

Multicast ehk multiedastus võimaldab ühe saatekorraga edastada sama infot korraga valitud arvutite rühmale. Seda ei tohi segi ajada broadcastiga, mis edastab paketi absoluutselt kõigile võrgus olevatele masinatele. Multicasti töötamise jaoks on switchis tarvilik IGMP (Internet Group Management Protocol) tugi (snooping ja query). Ruuteril on tarvilik "multicast routing" tuge. Multiedastust kasutatakse laialdaselt audio-video ülekandmiseks ja clustri nodede sünkroniseerimiseks. Rumalad ja mittemanageeritavad switchid võivad multiedastus teated edastada kui broadcasti kõigisse switchi portidesse ja tekitada seega võrgus üleliigst liiklust. IGMP Snoopingu halvaks küljeks on aga suurem switchi protsessori ja mälu kasutus.

http://et.wikipedia.org/wiki/Multiedastus
http://en.wikipedia.org/wiki/Multicast

Kahe masina vahel multicasti tesitmine ssmpingi abil. Paigaldamiseks

# apt-get install ssmping

Esimeses masinas

# ssmpingd

Teises masinas

# ssmping -I eth0 <IP aadress>

Tulem võiks näha välja järgnev

asmping joined (S,G) = (*,224.0.2.234)
pinging 192.168.8.6 from 192.168.8.5
unicast from 192.168.8.6, seq=1 dist=0 time=0.221 ms
unicast from 192.168.8.6, seq=2 dist=0 time=0.229 ms
multicast from 192.168.8.6, seq=2 dist=0 time=0.261 ms
unicast from 192.168.8.6, seq=3 dist=0 time=0.198 ms
multicast from 192.168.8.6, seq=3 dist=0 time=0.213 ms
unicast from 192.168.8.6, seq=4 dist=0 time=0.234 ms
multicast from 192.168.8.6, seq=4 dist=0 time=0.248 ms
unicast from 192.168.8.6, seq=5 dist=0 time=0.249 ms
multicast from 192.168.8.6, seq=5 dist=0 time=0.263 ms
unicast from 192.168.8.6, seq=6 dist=0 time=0.250 ms
multicast from 192.168.8.6, seq=6 dist=0 time=0.264 ms
unicast from 192.168.8.6, seq=7 dist=0 time=0.245 ms
multicast from 192.168.8.6, seq=7 dist=0 time=0.260 ms

Nii unicast kui multicast tunduvad töötavat.

Võime testida ka mõne kaugema serveri pihta:

# ssmping ssmping.uninett.no
ssmping joined (S,G) = (2001:700:0:4501:158:38:0:230,ff3e::4321:1234)
pinging S from 2001:bb8:2001:2:21b:21ff:fe65:54c9
unicast from 2001:700:0:4501:158:38:0:230, seq=1 dist=14 time=39.017 ms
unicast from 2001:700:0:4501:158:38:0:230, seq=2 dist=14 time=38.840 ms
unicast from 2001:700:0:4501:158:38:0:230, seq=3 dist=14 time=38.950 ms
unicast from 2001:700:0:4501:158:38:0:230, seq=4 dist=14 time=38.704 ms
--- 2001:700:0:4501:158:38:0:230 statistics ---
4 packets transmitted, time 3564 ms
unicast:
4 packets received, 0% packet loss
rtt min/avg/max/std-dev = 38.704/38.877/39.017/0.269 ms
multicast:
0 packets received, 100% packet loss

Viimase näite puhul multicast üle ipv6 ei paista töötavat. Unicast aga küll..

===Ethtool===

Selleks, et vaadata ühenduse parameetreid ning seda, kas võrgukaarti on ühendatud kaabel või ei ole on olemas töövahend ethtool. Üsna sageli võib olla segadus, et serveril
on 4+ võrguseadet ning raske öelda kuidaspidi on udev nad jaganud

# apt-get install ethtool

Kasutamine

# ethtool eth0

Ja sealt antud infost saab vaadata nt välja

Link detected: yes

Rohkema info omandamiseks

# ethtool -i eth5
driver: i40e
version: 1.2.37
firmware-version: f4.22.27454 a1.2 n4.25 e143f
bus-info: 0000:06:00.1
supports-statistics: yes
supports-test: yes
supports-eeprom-access: yes
supports-register-dump: yes
supports-priv-flags: yes

===tcpflow===

Programm tcpflow abil on hea uurida rakenduskihile vastavate andmete liikumist võrgus, nt jälgida http päringud ja vastuseid. tcpflow salvestab käesolevasse kataloogi (ingl. k. current directory) tabatud liikluse automaatselt moodustatud failinimesid kasutades

Tuleb eelnevalt paigaldada operatsioonisüsteemi vahendite abil

# mkdir /tmp/ftp.aso.ee
# cd /tmp/ftp.aso.ee
# tcpflow -i rl0 host ftp.aso.ee
# ls -l
total 8
-rw-r--r-- 1 root wheel 104 Jun 13 10:22 084.050.096.138.50120-213.184.032.082.00080
-rw-r--r-- 1 root wheel 847 Jun 13 10:22 213.184.032.082.00080-084.050.096.138.50120

Failinimedes kasutatakse kasutatud pordinumbreid, päring

# cat 084.050.096.138.50120-213.184.032.082.00080
GET /README HTTP/1.0
User-Agent: Wget/1.11.2
Accept: */*
Host: ftp.aso.ee
Connection: Keep-Alive

ning vastus

# cat 213.184.032.082.00080-084.050.096.138.50
HTTP/1.1 200 OK
Date: Fri, 13 Jun 2008 07:22:50 GMT
Server: Apache
Last-Modified: Mon, 05 Nov 2007 19:14:36 GMT
ETag: "1c980fa-22e-53bd1f00"
Accept-Ranges: bytes
Content-Length: 558
Keep-Alive: timeout=15, max=100
Connection: Keep-Alive
Content-Type: text/plain; charset=UTF-8

Welcome to the Estonian Informatics Center's FTP server!

On this server are hosted following software distributions

Debian GNU/Linux - /debian
Ubuntu Linux - /pub/ubuntu
Mandriva Linux - /pub/Mandrake
X-Road System - /pub/x-tee
Solaris CSW - /pub/csw
OpenBSD - /pub/OpenBSD

You can access data anonymously using http, ftp or rsync protocol and
one of these domainnames:

ftp.aso.ee
ftp.ria.ee
ftp.ee.debian.org

If you have any comments or encounter problems using this archive, please send
them via e-mail to ftpmaster_at_aso.ee.

tcpdump abil salvestatud faile saab uurida

$ tcpflow -r failinimi.pcap

===hping===

Programm hping võimaldab konstrueerida ja võrku saata igasuguseid pakette ja sobib seetõttu hästi nt võrgusõlmede testimiseks. Tarkvarast on kolm populaarset versiooni, hping, hping2 ja hping3. Näiteks SYN paketi tekitamiseks tuleb öelda

Tuleb eelnevalt paigaldada operatsioonisüsteemi vahendite abil

# hping -S -c 4 -p 80 192.168.10.12
HPING farm.loomaaed.tartu.ee (em0 192.168.10.12): S set, 40 headers + 0 data bytes
len=46 ip=192.168.10.12 ttl=56 DF id=60008 sport=80 flags=SA seq=0 win=5840 rtt=9.4 ms
len=46 ip=192.168.10.12 ttl=56 DF id=53433 sport=80 flags=SA seq=1 win=5840 rtt=9.8 ms
len=46 ip=192.168.10.12 ttl=56 DF id=39504 sport=80 flags=SA seq=2 win=5840 rtt=9.5 ms
len=46 ip=192.168.10.12 ttl=56 DF id=54821 sport=80 flags=SA seq=3 win=5840 rtt=9.5 ms

kus võtmed

* -S - konstrueerida SYN pakett
* -c 4 - saata viis paketti
* -i arv - saata intervalliga arv sekundit, vaikimisi ühe sekundise intervalliga
* -p - pordile 80

Näiteks nii saab nö tavalist ICMP pingi sooritada öeldes paketi src aadressiks 192.168.12.144

# hping3 -1 -a 192.168.12.144 192.168.11.145

Fragmenteeritud IP pakettide genereerimiseks sobib öelda

# hping3 -d 5400 -E /tmp/50M -S -c 3 -p 80 192.168.10.12 -m 200

kus

* -d paketi andmeosa suurus
* -E - mida kasutada andmeosa täitmiseks
* -m - mtu suurus

===netcat===

Programm netcat võimaldab hõlpsasti testida võrku, või vahetda arvutite ning programmide vahel infot. Sarnane tuntub programmile socket. Ühes arvutis tuleb ta käivitada porti kuulama öeldes, näiteks faili /tmp/filename.out kopeerimiseks

Tuleb osades operatsioonisüsteemides paigaldada, nt OpenBSD's on ta olemas

# nc -l -p 1010 > /tmp/filename.out

ja teisest pöörduda

# nc teise.arvuti.ip.aadress 1010 < /tmp/filename.out

Linuxi peal töötab sedasi lihtne server

# while true ; do cat /tmp/http.txt | nc -l -p 1500 head --bytes 2000 >>/tmp/requests ; date >>/tmp/requests ; done

Hädapärast saab netcati vahendusel vahendada ka arvutite vahel ja skriptide vahel infot näiteks kuulame 1001 porti ühes masinas

abiks käsk testimisel ka

nc -l -p 1001 | awk -F"," '{print $2}'

Syslogiga suhtlemine

$ echo '<0>message' | nc -w 1 -u 192.168.102.114 514

Whois teenuse kasutamine (20131116 - tundub, et päris nii see alati ei tööta)

$ echo "loomaaed.tartu.ee" | netcat 193.40.0.12 43
The registry database contains only .EE, .COM.EE, .PRI.EE, .FIE.EE,
.ORG.EE and .MED.EE domains.

Registrant:
Tartu Loomaaed
Looma tee 1
TEL 1234 5678
FAX 8765 4321

Domain Name: loomaaed.tartu.ee

Contacts:
Priit Kask priit@loomaaed.tartu.ee
..

Netcat abil saab hõlpsasti demonstreerida kui lihtne on nö pordile shelli külge ühendada (see on üks põhjus, miks tuleb pigem paketifiltriga kasutamata pordid blokeerida), serveris öelda

$ nc -l -p 8443 -e /bin/bash

ja kliendis

$ nc 192.168.10.10 8443
/sbin/route -n
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
0.0.0.0 192.168.10.254 0.0.0.0 UG 0 0 0 eth0
192.168.10.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0

Mingi määratluse järgi jagatakse turvaauke local ja remote alla kuuluvateks. Tihtipeale annavad local augud rohkem võimalusi ja neide parandamisse suhtutaks kergekäelisemalt. Kui selline shell on kasutada, siis arusaadavalt saab eemalt ligi local aukudesse (nt kävitada spetsiaalselt ettevalmistatud faile jms).

Tundub, et uuemal ajal sobib öelda

$ cat /tmp/f | /bin/sh -i 2>&1 | nc -l 127.0.0.1 8443 > /tmp/f

Võrgukiiruse primitiivseks testimine sobib öelda, iseäralik antud juhul on et mõõdetakse puhast võrgukiirust, kohalike ketaste io ei sega

netcat-server$ nc -l -p 6000 > /dev/null
netcat-klient$ nc 192.168.10.189 6000 < /dev/zero

ja liikluse kiiruse hindamiseks öelda ükskõik kummas arvutis

# tcpstat -i eth0 -o "Time:%S\tn=%n\tavg=%a\tstddev=%d\tBaitspersecond=%B\n" -f "tcp and host 192.168.10.189 and port 6000" 1
Time:1463902007 n=11782 avg=1044.15 stddev=672.42 Baitspersecond=12302148.00
Time:1463902008 n=11603 avg=1046.16 stddev=671.66 Baitspersecond=12138628.00
Time:1463902009 n=11367 avg=1056.14 stddev=667.52 Baitspersecond=12005096.00
Time:1463902010 n=11652 avg=1051.81 stddev=669.35 Baitspersecond=12255700.00
Time:1463902011 n=11514 avg=1053.25 stddev=668.74 Baitspersecond=12127072.00

Lisaks peaks jälgima võrguliidestel toimuvat liiklus vigade osas, nt (errors, dropped jt)

# ifconfig
eth0 Link encap:Ethernet HWaddr 00:1c:c0:38:97:a9
inet addr:192.168.10.8 Bcast:192.168.10.255 Mask:255.255.255.0
inet6 addr: fe80::21c:c0ff:fe38:97a9/64 Scope:Link
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:47321279 errors:0 dropped:0 overruns:0 frame:0
TX packets:42781684 errors:0 dropped:0 overruns:0 carrier:0

===IPerf===

Kahe masina vahelise võrgujõudluse testimiseks

näide: kaks masinat klient 192.168.1.2 ja server 192.168.1.3

Server

# iperf -s
------------------------------------------------------------
Server listening on TCP port 5001
TCP window size: 85.3 KByte (default)
------------------------------------------------------------
[ 4] local 192.168.1.3 port 5001 connected with 192.168.1.2 port 32054
[ ID] Interval Transfer Bandwidth
[ 4] 0.0-10.0 sec 826 MBytes 692 Mbits/sec

klient

# iperf -c 192.168.1.3
------------------------------------------------------------
Client connecting to 192.168.1.2, TCP port 5001
TCP window size: 32.5 KByte (default)
------------------------------------------------------------
[ 3] local 192.168.1.2 port 32054 connected with 192.168.1.3 port 5001
[ ID] Interval Transfer Bandwidth
[ 3] 0.0-10.0 sec 826 MBytes 693 Mbits/sec

Soovides täpsemat andmehulka ette anda tuleb täpsustada kasutades võtit '-l'

Vaikimisi kestab test 10 sekundit, soovides seda ajaakent suurendada tuleb kasutada võtit '-t'

# iperf -t 60 -c 192.168.1.3

Täpsem jooksev statistika

# iperf -c 192.168.1.2 -w 400k -P 2 -i 1
Client connecting to 192.168.1.2, TCP port 5001
TCP window size: 400 KByte
------------------------------------------------------------
[ ID] Interval Transfer Bandwidth
[SUM] 0.0- 1.0 sec 1.06 GBytes 9.07 Gbits/sec
[SUM] 1.0- 2.0 sec 1.08 GBytes 9.30 Gbits/sec
[SUM] 2.0- 3.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 3.0- 4.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 4.0- 5.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 5.0- 6.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 6.0- 7.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 7.0- 8.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 8.0- 9.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 9.0-10.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 0.0-10.0 sec 11.4 GBytes 9.75 Gbits/sec

Vaikimisi kestab test 10 sekundit -t parameetriga saab muuta, lisaks saab muuta -i parameetriga statistika kuvamise aega-

* http://www.noc.ucf.edu/Tools/Iperf/

===netstrain===

Programm netstrain paigaldamine toimub paketist

võimaldab tekitada ja jälgida võrgus tcp koormust. Ühes arvutis tuleb netstraind käivitada

# netstraind -4 1010
NetStrain 3.0 (c) 2002 Christoph Pfisterer <cp@chrisp.de>
Listening on 0.0.0.0 port 1010 using IPv4...
One-shot server waiting for connection
Incoming connection from 172.16.3.254 port 5606

ning teisest pöörduda

# netstrain -4 172.16.3.251 1010 both
NetStrain 3.0 (c) 2002 Christoph Pfisterer <cp@chrisp.de>
Looking up hostname 172.16.3.251...
Connecting to 172.16.3.251 port 1010 using IPv4...
Connected
sent: 6450M, 10589.2K/s total, 10586.8K/s current
recv'd: 6252M, 10264.4K/s total, 10286.5K/s current

===ipcalc ja ipv6calc===

ipcalc on paketist paigaldatav pisike utiliit, millega saab nö võrke arvutada. Näiteks küsida milline on kaheksane subnet kuhu kuulub ip aadress 192.168.2.201

# ipcalc 192.168.2.201/29
address : 192.168.2.201
netmask : 255.255.255.248 (0xfffffff8)
network : 192.168.2.200 /29
broadcast : 192.168.2.207
host min : 192.168.2.201
host max : 192.168.2.206
hosts/net : 6

===sipcalc===

sipcalc (IP subnet calculator) programmiga saab arvutada IPv4 ja IPv6 võrguaadresse, nt

$ sipcalc -a 2a01:88:0:21::2
-[ipv6 : 2a01:88:0:21::2] - 0

[IPV6 INFO]
Expanded Address - 2a01:0088:0000:0021:0000:0000:0000:0002
Compressed address - 2a01:88:0:21::2
Subnet prefix (masked) - 2a01:88:0:21:0:0:0:2/128
Address ID (masked) - 0:0:0:0:0:0:0:0/128
Prefix address - ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff
Prefix length - 128
Address type - Aggregatable Global Unicast Addresses
Network range - 2a01:0088:0000:0021:0000:0000:0000:0002 -
2a01:0088:0000:0021:0000:0000:0000:0002

[V4INV6]
Expanded v4inv6 address - 2a01:0088:0000:0021:0000:0000:0.0.0.2
Compr. v4inv6 address - 2a01:88:0:21::0.0.0.2

[IPV6 DNS]
Reverse DNS (ip6.arpa) -
2.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.1.2.0.0.0.0.0.0.8.8.0.0.1.0.a.2.ip6.arpa.

===httping===

httping programmiga saab esitada http päringuid eesmärgiga jälgida veebiserveri vastuste andmist, kusjuures nt on võimalik täpsustades, kas esitatakse GET või HEAD päringuid või millise sagedusega päringuid esitatakse. Nt võiks toimuda programmi kasutamine selliselt

$ httping -s -S -i 2 -r -g http://www.loomaaed.tartu.ee/loomafail.cgi
PING www.loomaaed.tartu.ee:80 (http://www.loomaaed.tartu.ee/loomafail.cgi):
connected to www.loomaaed.tartu.ee:80, seq=0 time=11.99+501.00=512.99 ms 200 OK
connected to www.loomaaed.tartu.ee:80, seq=1 time=10.20+475.94=486.14 ms 200 OK
connected to www.loomaaed.tartu.ee:80, seq=2 time=9.71+471.03=480.74 ms 200 OK
connected to www.loomaaed.tartu.ee:80, seq=3 time=10.88+420.74=431.62 ms 200 OK
connected to www.loomaaed.tartu.ee:80, seq=4 time=9.99+336.93=346.92 ms 200 OK

kus on kasutatud võtmeid

* -s - esitab http päringu vastuse nn http koodi, st 200, 403, 404, 500 jne
* -S - esitab vastuses eraldi tcp ühenduse moodustamiseks ja vastuse saamiseks kulunud aja
* -i - päringuid esitamise intervall sekundites
* -r - nimelahendus sooritatakse vaid üks kord
* -g - esitatakse GET päringuid, vaikimisi esitatakse HEAD päringuid

Üks abiks httping programmi kasutusjuht võiks olla näiteks veebikoha koormustesti ajal jälgida milline nö tavakasutaja jaoks võiks kõnealuse veebikoha kättesaadavus.

https teenuse jälgimiseks sobib öelda

$ httping -G -l -g "/index.html" -h 192.168.10.12

* -l - pöörduda https abil

===tcpstat===

Vahel on selle programmi kasutamine muutnud süsteemi ebastabiilseks, tõenäoliselt on seoses konkreetselt kasutuses oleva riistvaraga. Muidu aga võimaldab ta jälgida tingimustele vastava andmevahetuse kiirust

# tcpstat -i vlan13 -o "Time:%S\tn=%n\tavg=%a\tstddev=%d\tBaitspersecond=%B\n" -f "tcp and host 192.168.110.149" 10

kus

* -i - võrguseade
* -o - väljundi formaat
* -f - nö tcpdump formaadis filter
* 10 - väljundi esitamise intervall, kusjuures kui andmeid ei ole, siis intervalli möödudes nö nulle ei esitata

===tcptrace===

tcptrace on üks paljudest programmidest, millega esitada salvetatud võrguliikluse kohta ülevaatlikke andmeid, võimalik, et programmi kõige olulisem väärtus on pedagoogiline väärtus

$ tcptrace -l tt.log
1 arg remaining, starting with 'tt.log'
Ostermann's tcptrace -- version 6.6.1 -- Wed Nov 19, 2003

54 packets seen, 54 TCP packets traced
elapsed wallclock time: 0:00:00.007053, 7656 pkts/sec analyzed
trace file elapsed time: 0:00:02.787589
TCP connection info:
1 TCP connection traced:
TCP connection 1:
host a: moraal.auul:52081
host b: ftp.loomaaed.tartu.ee:22
complete conn: yes
first packet: Sat Oct 10 12:56:15.713740 2009
last packet: Sat Oct 10 12:56:18.501330 2009
elapsed time: 0:00:02.787589
total packets: 54
filename: tt.log
a->b: b->a:
total packets: 30 total packets: 24
ack pkts sent: 29 ack pkts sent: 24
pure acks sent: 14 pure acks sent: 7
sack pkts sent: 0 sack pkts sent: 0
dsack pkts sent: 0 dsack pkts sent: 0
max sack blks/ack: 0 max sack blks/ack: 0
..
data xmit time: 2.547 secs data xmit time: 2.547 secs
idletime max: 1141.1 ms idletime max: 1151.3 ms
throughput: 1291 Bps throughput: 1072 Bps

===Wireshark===

Tarkvara Wireshark eelised avalduvad tema ülevaatlikkust võimaldavas graafilises kasutajaliideses, kus on võimalus

* liiklust filtreerida nt otspunktide ip aadresside, protokolli vms parameetrite alusel
* saab hõlpsasti eristada liiklusest tcp sessioone
* saab ülevaatlikult näha paketi kapseldust OSI kihtide mõttes

'''Lihtne wiresharki kasutusjuhus tööarvutis'''

Käivita wireshark programm. Vajuta nupule "List available capture interfaces..." (tööriistariba kõige vasakpoolsem nupp) ja seejärel võib alustada pakettide püüdmist soovitud võrguaadressil. Pakettide püüdmise lõpetab nupp "Stop the running live capture".

Kui võrguliiklust on palju, võib wiresharki väljund tulla liiga kirju. Otsitava informatsiooni väljafiltreerimiseks võib kasutada erinevaid filtreid (trükkida Wiresharki filtriribale):

* ip.addr == 192.168.1.253 - Näitab ainult pakette, mis kas pärinevad või on suunatud antud aadressile
* tcp.port == 22 - Näitab ainult pakette, mis kas pärinevad või on suunatud TCP porti 22
* !(udp.port == 80) - näitab ainult pakette, mille src ega dst pooles ei esine port 80

Erinevaid filtreid saab kombineerida loogiliste tehetega: &&, ||, !

Wireshark kasutamist on keerukamatel juhtudel mõistlik korraldada nii, et tulemüüris/serveris salvestatakse liiklus tcpdump abil faili ning see fail kopeeritakse töökohaarvutisse kuhu on paigaldatud Wireshark. Wireshark kasutajaliides näeb välja selline, antud juhul on kuulatud pealt liiklust tulemüürist ftp.aso.ee arvutiga

# tcpdump -n -i eth0 -s 1600 -w /tmp/ftp.aso.ee.log host ftp.aso.ee

Seejärel on käivitatud wireshark

linux$ wireshark ftp.aso.ee.log

Wiresharkis on filtreeritud välja ainult liiklus ftp.aso.ee arvutiga (kui seda praktiliselt pole ka vaja filtreerida, kuna ainult seda kuulatigi tcpflow'ga). Allolevalt pildilt on näha kuidas Wireshark esitab väljundit kolmas üksteise kohal paiknevas raamis

# ülemises raamis on esitatud filtreeritud 10 paketti, järjekorranumber, aeg, lähte ja siht aadress, protokoll ja muu info
# keskmises raamis esitatakse ülemises raamis ära märgitud paketi kapseldatud koosseis, on näha ISO kihid kusjuures wireshark interpreteerib lisaks paketi nn payloadis olevaid andmeid
# alumises raamis on esitatud paketi sisu kõrvuti kahes tulbas, 16nd süsteemis ning võimalusel vastavad ascii sümbolid, kusjuures keskmises raamis märgitule on ära vastav osa ära tähistatud

[[Pilt:Wireshark-ftp.aso.ee.log-1.gif]]

Näiteks võib antud juhul jälgida kuidas ühenduse loomiseks ja lõpetamiseks on vahetatud vastavalt kolm ja kolm paketti, ning sisuliste andmete vahetamiseks on kokku saadetud neli paketti. Välja arvatud erijuhud üldiselt ongi nii, et andmevahetusel osapooled saadavad üksteisele samas suurusjärgus pakette, isegi kui tegu on sisuliselt ühesuunalise andmevahetusega. Ja eriliselt võiks antud juhul tähele panna, et tcp ühenduse sees saadetakse andmeid mõlemas suunas.

Antud juhul kuuluvad juba tcpdump abil salvestatud ühte tcp sessiooni, kuid wiresharkil on võimalus suuremat hulgast pakettidest välja filtreerida ka ühe tcp sessiooni. Selleks tuleb ülemises raamis valida mingi paketi peal olles hiire parema nupuga avanevast hüpikmenüüst 'Follow TCP Stream' ning esitakse sessioonis toimunud http get päringu sisu ja vastuse sisu

[[Pilt:Wireshark-ftp.aso.ee.log-2.gif]]

====editcap ja mergecap kasutamine====

editcap programmiga saab varem salvestatud pcap formaadis faili osadeks jagada, nt pakettide arvu järgi, tulemusena tekivad osad* nimelised failid

# editcap -c 100 tcp.log osad

mergecap programmiga saab pcap formaadis osad ühendada kokku üheks failiks, nt

# mergecap -w tcp-kokkuyhendatud.log osad*

====capinfos====

Salvestatud pcap faili kohta saab küsida capinfos programmiga, nt

# capinfos tcp.log
File name: tcp.log
File type: Wireshark/tcpdump/... - libpcap
File encapsulation: Ethernet
Number of packets: 1000
File size: 590818 bytes
Data size: 592758 bytes
Capture duration: 6 seconds
Start time: Sat Oct 22 20:06:11 2011
End time: Sat Oct 22 20:06:16 2011
Data byte rate: 106709.45 bytes/sec
Data bit rate: 853675.63 bits/sec
Average packet size: 592.76 bytes
Average packet rate: 180.02 packets/sec

====RSA võtmevahetusega SSL liikluse dekrüptimine====

* http://wiki.wireshark.org/SSL
* http://wirewatcher.wordpress.com/2010/07/20/decrypting-ssl-traffic-with-wireshark-and-ways-to-prevent-it/

===tcpbench===

OpenBSD nn baas sisaldab tcpbench utiliiti, mille abil saab otsekoheselt testida kahe OpenBSD arvuti vahelist võrguühendust. Utiliidi kasutamisel hakkab klient serverisse kopeerima maksimaalse võimaliku suurusega tcp pakette, tegevuse käigus esitavad klient ja server programmi väljundis toimuvat andmevahetust iseloomustavat infot

server# tcpbench -s
pid elapsed_ms bytes Mbps
25537 1009 20811800 165.009
25537 2009 20610544 165.049
25537 3013 20230168 161.197
25537 closed by remote end

klient# tcpbench 192.168.10.8
pid elapsed_ms bytes Mbps
2628 1026 20990016 163.665
2628 2008 20460296 166.683
2628 3037 20230168 157.433
^Ctcpbench: Terminated by signal 2

===ssldump===

ssldump võimaldab SSL/TLS liiklust analüüsida, tarkvara paigaldamiseks tuleb öelda Debian keskkonnas

# apt-get install ssldump

FreeBSD's asub pakett net/ssldump

ja kasutamiseks nt

# ssldump -i eth0 -d port 993
New TCP connection #1: moraal.auul(49305) <-> smtp.loomaaed.tartu.ee(993)
1 1 0.0100 (0.0100) C>S Handshake
ClientHello
Version 3.1
resume [32]=
9c 5e 98 a5 0c 7a e1 f6 59 70 cb 42 ff 7e d0 2c
0c d6 03 57 34 e5 01 74 4e 4f fb 70 3b a5 61 02
cipher suites
Unknown value 0xc00a
TLS_RSA_WITH_RC4_128_MD5
TLS_RSA_WITH_RC4_128_SHA
TLS_RSA_WITH_3DES_EDE_CBC_SHA
...
compression methods
NULL
1 2 0.0342 (0.0242) S>C Handshake
ServerHello
Version 3.1
session_id[32]=
9c 5e 98 a5 0c 7a e1 f6 59 70 cb 42 ff 7e d0 2c
0c d6 03 57 34 e5 01 74 4e 4f fb 70 3b a5 61 02
cipherSuite Unknown value 0x35
compressionMethod NULL
1 3 0.0342 (0.0000) S>C ChangeCipherSpec
1 4 0.0342 (0.0000) S>C Handshake
1 5 0.0349 (0.0006) C>S ChangeCipherSpec
1 6 0.0349 (0.0000) C>S Handshake
1 7 0.0443 (0.0094) S>C application_data
1 8 0.0450 (0.0006) C>S application_data
1 9 0.0546 (0.0095) S>C application_data
..

kust on näha

* C>S, S>C - vastavalt kliendilt serveri ja serverilt kliendi suunal toimuv liiklus
* ClientHallo, ServerHallo, jt - kliendi ja serveri vahel toimub SSL ühenduse parameetrite kokkuleppimine
* application_data - antud juhul jääb ssldump jaoks sisuline andmevahetus ligipääsemata

Kui lisaks on kasutada ssl võtmed, siis saab teatud juhtumitel ka liikluse sisu debugida, nt https puhul

# cat www.loomaaed.tartu.ee.key www.loomaaed.tartu.ee.crt > www.pem
# ssldump -i eth0 -d -k www.pem port 443
..
1 10 0.0849 (0.0341) C>S application_data
---------------------------------------------------------------
GET /text.html HTTP/1.1
Host: 192.168.10.53
User-Agent: Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.9.0.14) \
Gecko/2009091010 Iceweasel/3.0.6 (Debian-3.0.6-3)
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: en-us,en;q=0.5
Accept-Encoding: gzip,deflate
Accept-Charset: ISO-8859-1,utf-8;q=0.7,*;q=0.7
Keep-Alive: 300
Connection: keep-alive
Pragma: no-cache
Cache-Control: no-cache

---------------------------------------------------------------
1 11 0.0857 (0.0007) S>C application_data
---------------------------------------------------------------
HTTP/1.1 200 OK
Date: Fri, 23 Oct 2009 06:32:59 GMT
Server: Apache/2.2.9 (Debian) mod_jk/1.2.26 mod_ssl/2.2.9 OpenSSL/0.9.8g
Vary: Accept-Encoding
Content-Encoding: gzip
Content-Length: 266
Keep-Alive: timeout=15, max=100
Connection: Keep-Alive
Content-Type: text/html; charset=iso-8859-1

Seejuures tuleb veebiserveris kasutada sobivat SSLCipherSuite väärtust, nt selline töötab nö natuke

SSLCipherSuite RSA:-HIGH:MEDIUM:-EXP:-DH

Kasutatud järgnevusele 'RSA:-HIGH:MEDIUM:-EXP:-DH' vastavaid väärtusi näeb

# openssl ciphers -v 'RSA:-HIGH:MEDIUM:-EXP:-DH'
DES-CBC-SHA SSLv3 Kx=RSA Au=RSA Enc=DES(56) Mac=SHA1
RC4-SHA SSLv3 Kx=RSA Au=RSA Enc=RC4(128) Mac=SHA1
RC4-MD5 SSLv3 Kx=RSA Au=RSA Enc=RC4(128) Mac=MD5
NULL-SHA SSLv3 Kx=RSA Au=RSA Enc=None Mac=SHA1
NULL-MD5 SSLv3 Kx=RSA Au=RSA Enc=None Mac=MD5
DES-CBC-MD5 SSLv2 Kx=RSA Au=RSA Enc=DES(56) Mac=MD5
RC2-CBC-MD5 SSLv2 Kx=RSA Au=RSA Enc=RC2(128) Mac=MD5
RC4-MD5 SSLv2 Kx=RSA Au=RSA Enc=RC4(128) Mac=MD5

Lisaks saab ssldump jaoks kaustada tcpdump abil kogutud pcap faili (eriti see on -s 0 võtmega salvestatud)

$ ssldump -r failinimi.pcap

===ICMP redirect===

Olgu selliste ruutingutega olukord

....
|
_|_ tulemüür
| | vaikelüüs, kus on kirjeldatud staatiline ruuting 192.168.201.0/24 -> 192.168.2.201
|___| 192.168.2.1
192.168.2.0/24 |
--|-------------------|--------------|--
_|_ _|_
| | 192.168.2.30 | | 192.168.2.201
|___| host-1 |___| ruuter-2
|
| 192.168.201.0/24
-----|-------------------------|---
_|_
| | 192.168.201.30
|___| host-2

ICMP redirect http://en.wikipedia.org/wiki/ICMP_Redirect_Message sõnumiga juhatab tulemüür host-1 pöörduma host-2 poole läbi ruuter-2 seadme.

09:42:25.399922 192.168.2.1 > 192.168.2.30: icmp: redirect 192.168.201.30 to host 192.168.2.201

Parasjagu kehtivad redirectid ei ole paista linux hostis ei nö tavalistes arp ega route andmebaasides, vaid

# cat /proc/net/rt_cache

Sissekande kustutamiseks tuleb vastav ruuting eemaldada ja tagasi tekitada, näiteks.

===ARP flux===

Olgu üks arvuti on oma kahe füüsiliste võrguseadmega ühendatud sama etherneti peale ning seal ethernetis on veel teisi arvuteid

--|--|---------------------------|----------------
eth0 _|__|_ eth1 _|_
10.0.2.30 | | 192.168.2.30 | | 192.168.2.201
|______| |___|

host-1 host-2

Tundub, et reeglina käituvad 2011 aastal Linux distributsioonide tuumad selliselt, et joonisel kujutatud ühenduse puhul vastab host-2 poolt aadressile 192.168.2.30 tehtud arp päringule host-1 kahe arp vastusega, kummagi ethernet seadme mac aadressiga, kusjuures host-2 kasutab esimesena kohale jõudnud vastust järgnevaks andmevahetuseks. Selline olukord põhjustab selles mõttes segadust, et kui host-1 võrguseadmed on sarnaste omadustega, siis vahel kasutab host-2 ühe ja vahel teise ethernet seadme mac aadressi ning liiklus käib vastavalt läbi ühe või teise host-1 võrguseadme (lisaks võib ka nii olla, et ühes suunas liiguvad paketid läbi host-1 eth0 ja teises suunas läbi eth1 seadme). Kui host-1 peal ei ole paketifiltrit seadistatud, siis seal töötavate rakenduste jaoks andmevahetus töötab, kuid nt võrgu debugimine on raskendatud.

Selleks, et host-2 arp päringule vastaks host-1 vaid selle mac aadressiga, millele vastava võrguseadme kaudu toimuks ip mõttes korrektne ruuting sobib öelda host-1 arvutis

# sysctl -w net.ipv4.conf.all.arp_filter=1

Kasulikud lisamaterjalid

* http://linux-ip.net/html/ether-arp.html
* http://robertlathanh.com/2009/08/two-subnetworks-on-one-lan-and-linux-arp_filter/
* http://www.embedded-bits.co.uk/tag/arp_filter/

===tcpkill===

tcpkill programmi abil saab ühenduse osapoolele saata sobiva RST paketi eesmärgiga ühendus lõpetada, tarkvara paigaldamiseks tuleb nt Debian Lenny keskkonnas paigaldada pakett dsniff

# apt-get install dsniff

ja kasutamiseks öelda

# tcpkill -i eth0 port 80 and host ftp.loomaaed.tartu.ee

Tulemusena jääb tcpkill käima arvuti eth0 seadmel ja tegeleb näidatud regulaaravaldisega klappivate ühendustega.

===lsof===

Kasutaja priit (-u priit) programmiga Firefox (-c firefox-bin) seotud võrguühenduste (-i) esitamine

$ lsof -n -a -u priit -c firefox-bin -i
COMMAND PID USER FD TYPE DEVICE SIZE NODE NAME
firefox-b 22322 priit 51u IPv4 1870238 TCP 192.168.10.10:53360->113.184.32.83:https (ESTABLISHED)
firefox-b 22322 priit 72u IPv4 1870025 TCP 192.168.10.10:35441->74.125.43.100:www (ESTABLISHED)
firefox-b 22322 priit 73u IPv4 1870035 TCP 192.168.10.10:53903->74.125.10.213:www (ESTABLISHED)

kus

* -n - mitte teisendada ip aadresse nimedeks
* -a - järgnevad muud suvandid loogiliselt korrutada
* PID - protsessi ID

Pordile vastava protsessi küsimine

# lsof -i :514
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
syslogd 6628 _syslogd 4u IPv4 0xfffffe803f51d000 0t0 UDP *:syslog

Kasulikud lisamaterjalid

* http://ph7spot.com/musings/leveraging-lsof

===strace===

strace kasutusala on laiem, kuid seoses võrguga on tal samuti rakendus, nt esitada jooksvalt protsessiga seotud võrgu syscallid, 4940 on w3m brauseri protsess

# strace -e trace=network -p 4940
...
socket(PF_NETLINK, SOCK_RAW, 0) = 4
bind(4, {sa_family=AF_NETLINK, pid=0, groups=00000000}, 12) = 0
getsockname(4, {sa_family=AF_NETLINK, pid=4940, groups=00000000}, [12]) = 0
...

===Arpwatch===

Võimaldab jälgidan võrgus liikuvaid ARP teateid ning avastada ARP tabeli mürgitamisjuhtumeid

Koduleht
*http://ee.lbl.gov/
arbi mürgitamise täpselt toimimine ja selle takistamine
*http://shsc.info/ARPPoisoning
Mõned võrguhaldurile abiks skriptid
*http://blog.stardothosting.com/2009/05/01/detect-arp-poisoning-on-lan/

===Ettercap===

Ettercap http://ettercap.sourceforge.net/ tarkvara võimaldab kohtvõrgus korraldada MITM tüüpi ründeid ja seejuures kontrollida kui tundlik kohtvõrk on selliste rünnete suhtes sh kas need avastatakse. Ettercap kasutab oma tööks põhiliselt arp-mürgitamist (ingl. k. arp poisoning). Tarkvara paigaldamiseks on tavaliselt piisav paigalda operatsioonisüsteemi paketihaldusvahenditega ettercap nimeline pakett. Ettercap programmi saab käivitada kolme erineva kasutajaliidesega

* käsurealt -ettercap -T
* curses liidesega - ettercap -C
* gtk gui liidesega - ettercap -G

Kasulikud lisamaterjalid

* http://en.wikipedia.org/wiki/Ettercap_%28computing%29
* http://openmaniak.com/ettercap.php

===Scapy===

Scapy http://www.secdev.org/projects/scapy/ abil saab töötada pakettidega. Tarkvarale on tehtud Python keeles ja sellele on iseloomulik, et saab nö programmeerimise võtteid kasutades nt koostada sobiva sisuga paketi ja saata võrku; seejärel saab käsitleda sarnaselt vastuseks tulnud paketti. Scapy sisaldab mitmeid lisasid, nt saab lasta esitada graafiliselt traceroute tulemuse. Tarkvara paigaldamiseks sobib paigaldada nt Debian Squeeze all pakett python-scapy

# apt-get install python-scapy

Lisaks on vajalikud

# apt-get install tcpdump graphviz imagemagick

Interaktiivselt käivitamiseks tuleb öelda

# scapy
...
Welcome to Scapy (2.1.0)
>>> res,unans = traceroute(["www.eesti.ee", "www.eenet.ee"],dport=[80,443],maxttl=20,retry=-2)
..
>>> res.graph()

Tulemusena esitatakse sarnane pilt

[[Pilt:Scapy-1.gif]]

Scapy sisaldab mitmeid funktsioone, millega pakette moodustada, neid välja saata ning vastuseid lugeda

* ICMP paketi saatmine

>>> send(IP(dst="192.168.10.123")/ICMP())

* DNS päringu esitamine

>>> sr(IP(dst="10.192.0.53")/UDP()/DNS(rd=1,qd=DNSQR(qname="www.loomaaed.tartu.ee")))

* etteantud subnetti kuuluva juhusliku src aadressiga pakettide saatmine

>>> send(IP(src=RandIP("192.168.10.0/24"), dst="10.192.0.53")/TCP(dport=80,flags="S"), loop=1)

===Socat===

* Pordi edasisuunamine

# socat TCP-LISTEN:8888,fork TCP:192.168.1.4:80

* pordi edasisuunamine lokaalselt (mida tavaliselt tehakse paketifiltri abil)

# socat TCP-L:2323 TCP:localhost:22

* unixi soketi ühendamine interneti soketiga, kuulaku unix soketil MySQL ning peab saama hakata pöörduma MySQL poole üle võrgu arvuti mõnel ip aadressil, port 3308

# socat -v tcp-l:3308,bind=192.168.10.10,reuseaddr,fork unix:/var/run/mysqld/mysqld.sock

* remote shell (nt sellepärast võiks pigem olla serverite pordid tulemüürist vaikimisi blokeeritud), EXEC täidetakse kliendi pöördumisel

server:~$ socat TCP-LISTEN:2323,reuseaddr,fork EXEC:/bin/bash

ja vastav klient

$ socat STDIO TCP:server-loomaaed:2323
hostname -f
server.loomaaed
...

* PostgreSQL soketi suunamine üle võrgu

tookohaarvuti$ socat "UNIX-LISTEN:/tmp/.s.PGSQL.5432,reuseaddr,fork" \
EXEC:'ssh postgres@192.168.1.105 socat STDIO UNIX-CONNECT\:/var/run/postgresql/.s.PGSQL.5432'

kasutamiseks öelda, kusjuures EXEC täidetakse, st ssh ühendus käivitatakse alles psql kliendi abil pöördumisel

tookohaarvuti$ psql -h /tmp -U postgres

Faili sisu esitamiseks üle võrgu, kasutamiseks nt netcat abil pöörduda

$ socat -u FILE:/opt/suricata/var/log/suricata/eve.json,ignoreeof TCP4-LISTEN:12345,fork,reuseaddr

Kasulikud lisamaterjalid

* http://technostuff.blogspot.com/2008/10/some-useful-socat-commands.html
* http://jdimpson.livejournal.com/6534.html
* http://www.debian-administration.org/users/dkg/weblog/68

===vnstat===

Tarkvara paigaldamiseks sobib öelda nt

# apt-get install vnstat

Kasutamine paistab välja nt selline

# vnstat -l
Monitoring eth0... (press CTRL-C to stop)

rx: 0 kbit/s 1 p/s tx: 0 kbit/s 0 p/s^C

eth0 / traffic statistics

rx | tx
--------------------------------------+------------------
bytes 385.08 MiB | 990.42 MiB
--------------------------------------+------------------
max 88.19 Mbit/s | 227.04 Mbit/s
average 57.36 Mbit/s | 147.52 Mbit/s
min 0 kbit/s | 0 kbit/s
--------------------------------------+------------------
packets 4588718 | 3670125
--------------------------------------+------------------
max 128266 p/s | 102612 p/s
average 83431 p/s | 66729 p/s
min 1 p/s | 0 p/s
--------------------------------------+------------------
time 55 seconds

kus

* rx, tx - vastavalt saabumised ja väljumised
* bytes, packet - andmete mahu ja pakettide arvu järgi

===iptstate===

iptstate kasutab kerneli conntrack sistemat ja esitab võrguliikluse kohta andmeid, tarkvara paigaldamiseks

# apt-get install iptstate

Kasutamiseks peab olema laaditud nt ip_conntrack moodul

# modprobe ip_conntrack

Käivitamiseks öelda

# iptstate

ja paistab sarnane pilt

TODO

Tundub, et samad andmed on teksti kujul esitatavad selliselt

# cat /proc/net/ip_conntrack

===tcptrack===

Programm tcptrack annab top väljundi sarnase ülevaate toimuvatest tcp ühendustest. Paigaldamiseks sobib öelda

# apt-get install tcptrack

Kasutamiseks nt

# tcptrack -i eth0 -r 10 port 80

ja paistab selline pilt

TODO

===conntrack===

# modprobe nf_conntrack_ipv4
# conntrack -p tcp --dport 80 -E -e NEW | pv -l -i 1 -r > /dev/null

===Kasulikud lisamaterjalid===

* Soovides muide teada mis ISP omandusse mingi ip kuulub tasub kasutada aadress http://www.ip-adress.com/ip_tracer/'''<IP>'''
* http://www.linuxfoundation.org/collaborate/workgroups/networking/netem
* http://tools.netsa.cert.org/silk/docs.html

Võrgudiagnostika

2017-09-30T17:12:48Z

Imre: /* iptstate */

===Sissejuhatus===

Käesolev tekst on esitatud oma võrgu ja tulemüüride ning tcp/ip protokolli paremaks tundmaõppimiseks.
Ühtlasi tutvustatakse programme, millega saab uurida, kas võrk töötab ning kui, siis kuidas see töötab. Näiteks hinnata andmevahetuskiirusi, kuulata Ethernetti pealt ja uurida millised pordid on serveritel lahti.

Ilmselt saab allpool esitatud õpetusi kasutada nii hea-kui kuritahtlikul eesmärgil, manitseme seda tegema mitte kuritahtlikult. Tavaliselt on tuvastatav, kust tehakse ping floodi või nmapiga masinad skanneeritakse.

Reeglina tuleb esitatud programme kasutada juurkasutajana. Näiteks toodud viiba järgi saab teada, kas programm on kasutatav ka tavakasutaja ($) või ainult juurkasutaja (#) õigustes.

===Võrguseadmed===

Käesoleva teksti tähenduses mõeldakse võrguseadme all arvuti füüsilist või loogilist võrguseadet, nt

* füüsiline võrguseade - Linux puhul wlan0, eth0, eth1 jne; BSD puhul nt em0, bnx0 jne
* lokaalne võrguseade - Linux puhul lo; BSD puhul lo1, lo2
* sild - Linux puhul nt br0, br1; BSD puhul bridge0
* VLAN seade - Linux puhul nt vlan513, BSD puhul vlan513

Võrguseadmete jälgimisel tuleb arvestada, et arvuti kohalik liiklus toimub üle lokaalse võrguseadme, kusjuures ka juhtumil kui arvuti eth0 seadmele on omistatud nt aadress 192.168.1.15 ning arvutist pöördutakse selle aadressi poole.

===tcpdump===

Programm tcpdump (kuulub paljude operatsioonisüsteemide tarkvara põhiosa koosseisu) abil saab nö kuulata võrguseadmel pealt liiklust. Tulemust võib salvestada fail täies mahus või esitada ip paketti puudutavaid huvipakkuvaid andmeid programmi standardväljundisse. Oluline on tähele panna, et tcpdump kuulab liiklust seadel, st sisenevad paketid paistavad nii nagu nad olid enne RDR-teisendust ning väljuvad paketid on sellised nagu nad on peale NAT-teisendust.

tcpdump programmiga saab filtreerida liiklust selliste standardsete tunnuste järgi

* protokoll (nt icmp, tcp, udp, arp)
* andmevahetuse lähte ja sihtpunkti ip aadress
* andmevahetuse lähte ja sihtpunkti port
* ip paketi lippude järgi (nt salvestada vaid SYN pakette)
* paketi suurus

OpenBSD puhul lisanduvad järgmised võimalused

* paketifiltri reegli number, ''
* paketifiltri reegline määratud tegevus (pass, block, nat, rdr jt ning logitud liiklus)

Pakettide korjamise alustamiseks kindlalt võrguseadmelt

# tcpdump -i ed0

Oletame, et kahtlustame broadcast pakette ning seda, et nad
aeglustavad võrgutööd:

# tcpdump -i ed0 broadcast

Uurime kahe masina vahelist liiklust

# tcpdump -i ed0 host klient and server

Veel täpsep on vaadata

# tcpdump -i ed0 src host klient and dnst host server

Kõigi arvuti võrguseadmete peal töötamiseks sobib öelda

# tcpdump -i any ...

====ICMP====

Kui näiteks on kahtlusi kas kaks arvutit, 192.168.10.210 ja 192.168.10.11 (vastav võrguseade olgu em0) näevad üksteist, siis tuleks arvutis 192.168.10.210 öelda

# ping 192.168.10.11
PING 192.168.10.11 (192.168.10.11): 56 data bytes
64 bytes from 192.168.10.11: icmp_seq=0 ttl=64 time=0.422 ms
64 bytes from 192.168.10.11: icmp_seq=1 ttl=64 time=0.306 ms

ning teises arvutis võrguseadmel em0 ICMP protokolli filtreerimiseks tuleb öelda

# tcpdump -nettti em0 icmp
tcpdump: listening on em0, link-type EN10MB
May 19 16:23:10.480585 00:0e:0c:ba:4b:3e 00:16:3e:6a:0c:4b 0800 98: 192.168.10.210 > 192.168.10.11: icmp: echo request
May 19 16:23:10.480829 00:16:3e:6a:0c:4b 00:0e:0c:ba:4b:3e 0800 98: 192.168.10.11 > 192.168.10.210: icmp: echo reply
May 19 16:23:11.490525 00:0e:0c:ba:4b:3e 00:16:3e:6a:0c:4b 0800 98: 192.168.10.210 > 192.168.10.11: icmp: echo request
May 19 16:23:11.490639 00:16:3e:6a:0c:4b 00:0e:0c:ba:4b:3e 0800 98: 192.168.10.11 > 192.168.10.210: icmp: echo reply

Väljundina esitatakse

* paketi jälgimise aeg (-ttt, vt man tcpdump -t erinevaid variante)
* kummagi poole MAC aadressid (-e)
* paketi ethertype (-e, 0800 on ipv4 protokoll)
* ip paketi suurus baitides
* osaliste ip aadressid nimelahenduseta kujul (-n)
* paketi sisulisemad andmed, antud juhul on tegu icmp echo pärginute ja vastustega

Antud juhul saab järeldada, et võrguühendus arvutite vahel on olemas. St kuigi ping ise näitab väljundit annab teises arvutis võrgu pealtkuulamine täieliku kinnituse, et paketid just sinna välja jõuavad.

====TCP====

tcpdump võimaldab kasutada avaldisi, millega peab pakett klappima, nt SYN pakettide jälgmiseks

# tcpdump -n -i em0 'tcp[13] & 2 != 0' and dst 10.0.6.180 and port 80

TCP liikluse tõlgendamine

22:05:25.828149 10.50.96.138.50215 > 10.184.32.82.80: S 1263958777:1263958777(0) win 5840 \
<mss 1460,sackOK,timestamp 787576523 0,nop,wscale 6> (DF)
22:05:25.845445 10.184.32.82.80 > 10.50.96.138.50215: S 1989118317:1989118317(0) ack 1263958778 win 5792 \
<mss 1460,sackOK,timestamp 539529245 787576523,nop,wscale 6> (DF)
22:05:25.845896 10.50.96.138.50215 > 10.184.32.82.80: . ack 1 win 92 <nop,nop,timestamp 787576527 539529245> (DF)
22:05:25.845908 10.50.96.138.50215 > 10.184.32.82.80: P 1:134(133) ack 1 win 92 <nop,nop,timestamp 787576527 539529245> (DF)
22:05:25.856417 10.184.32.82.80 > 10.50.96.138.50215: . ack 134 win 108 <nop,nop,timestamp 539529249 787576527> (DF)
22:05:25.862904 10.184.32.82.80 > 10.50.96.138.50215: . 1:1449(1448) ack 134 win 108 <nop,nop,timestamp 539529249 787576527> (DF)
22:05:25.863286 10.50.96.138.50215 > 10.184.32.82.80: . ack 1449 win 137 <nop,nop,timestamp 787576532 539529249> (DF)
22:05:25.868800 10.184.32.82.80 > 10.50.96.138.50215: . 1449:2897(1448) ack 134 win 108 <nop,nop,timestamp 539529249 787576527> (DF)
22:05:25.869206 10.50.96.138.50215 > 10.184.32.82.80: . ack 2897 win 182 <nop,nop,timestamp 787576533 539529249> (DF)
22:05:25.878659 10.184.32.82.80 > 10.50.96.138.50215: . 2897:4345(1448) ack 134 win 108 <nop,nop,timestamp 539529253 787576532> (DF)
22:05:25.879036 10.50.96.138.50215 > 10.184.32.82.80: . ack 4345 win 227 <nop,nop,timestamp 787576536 539529253> (DF)
...

kus

* esimene rida vastab ühenduse algatamise SYN paketile
* mss 1460 - tcp maximum segment size väärtus, ütleb teisele poolele, kui suuri tcp pakette saata
* sackOK - selective acknowledgement on ok paketi saatja jaoks
* win 5840 - paketi saatja teatab paketi vastuvõtjale, et tal on puhvrit võtta ise pakette vastu 5840 baiti
* win 92 - kuna alguses lepiti kokku wscale=6, siis 92 tähendab 92 * 2^6 = 5888 baiti
* ack arv - loeb kui palju baite on paketi saatja teise poole käest vastu võtnud;
* DF - kõigil pakettidel on seatud don't fragment
* nop - not operating, sisuliselt kasutatakse paddinguks
* 1449:2897(1448) - sulgudes olev väärtus on tcp paketi sisu suurus baitides
* kasutades lisaks võtit -e esitatakse eraldi tulbas ethnerneti frame sees kantud protokolli nimi, nt ip ning vastava paketi suurus

====ARP====

Huvitav on tähele panna, et tcpdump tegeleb mitme protokolliga, nt ip (0800) ja arp (0806) protokolli pakettidega, mis on saadetud arp broadcast aadressile

# tcpdump -nei re0 ether host ff:ff:ff:ff:ff:ff
tcpdump: listening on re0, link-type EN10MB
11:00:49.928582 00:0e:0c:b0:96:b6 ff:ff:ff:ff:ff:ff 0800 210: 192.168.10.10.631 > 192.168.10.255.631: udp 168 (DF)
11:01:08.024422 00:16:3e:00:00:01 ff:ff:ff:ff:ff:ff 0800 249: 192.168.10.41.138 > 192.168.10.255.138: udp 207
11:01:26.338380 00:1b:21:1d:f6:06 ff:ff:ff:ff:ff:ff 0806 60: arp who-has 192.168.10.254 tell 192.168.10.250

Kui tcpdump väljundit on vaja saata toru kaudu mõne teksti töötlevale programmile edasi on asjakohane kasutada lisaks -l võtit, mis puhverdab rea kaupa, nt

# tcpdump -nlei re0 ether host ff:ff:ff:ff:ff:ff | grep 0806

====Liikluse salvestamine faili====

Selleks, et salvestada tulemus ka faili:

# tcpdump -i ed0 -w liiklus.log

Liikluse faili salvestamiseks sobib öelda nö tavalise MTU'ga (1,5 kBaiti) võrgus nt (-s 0 võti tähendab, et salvestatakse kõik paketi sisu suurusest hoolimata)

# tcpdump -s 1600 -w /tmp/liiklus.log -i em0 host 10.0.6.180 and port 80

Selliselt salvestatud liikluse analüüsimiseks sobib öelda nt

# tcpdump -r /tmp/liiklus.log

====IP====

Kui IP kihis leiab aset pakettide fragmenteerumine, siis paistab see tcpdump väljundis nt selliselt

23:43:36.802989 10.100.0.161.32545 > 10.100.1.190.80: S 3394332515:3394332515(0) win 16384 \
<mss 8960,nop,nop,sackOK,nop,wscale 0,nop,nop,timestamp 3055259272 0>
23:43:36.803982 10.100.1.190.80 > 10.100.0.161.32545: S 2791894032:2791894032(0) ack 3394332516 win 16384 \
<mss 8960,nop,nop,sackOK,nop,wscale 0,nop,nop,timestamp 313564159 3055259272>
23:43:36.805275 10.100.0.161.32545 > 10.100.1.190.80: . ack 1 win 16384 <nop,nop,timestamp 3055259272 313564159>
23:43:36.805527 10.100.0.161.32545 > 10.100.1.190.80: P 1:67(66) ack 1 win 16384 <nop,nop,timestamp 3055259272 313564159>
23:43:36.809486 10.100.1.190.80 > 10.100.0.161.32545: . 1:1449(1448) ack 67 win 17896 \
<nop,nop,timestamp 313564159 0> (frag 35143:1480@0+)
23:43:36.809503 10.100.1.190 > 10.100.0.161: (frag 35143:1480@1480+)
23:43:36.809515 10.100.1.190 > 10.100.0.161: (frag 35143:1480@2960+)
23:43:36.809527 10.100.1.190 > 10.100.0.161: (frag 35143:1480@4440+)
23:43:36.809539 10.100.1.190 > 10.100.0.161: (frag 35143:1480@5920+)
23:43:36.809554 10.100.1.190 > 10.100.0.161: (frag 35143:824@7400)
23:43:36.810014 10.100.1.190.80 > 10.100.0.161.32545: P 8193:9641(1448) ack 67 win 17896 \
<nop,nop,timestamp 313564159 0> (frag 46914:1480@0+)
23:43:36.810030 10.100.1.190 > 10.100.0.161: (frag 46914:1480@1480+)
23:43:36.810045 10.100.1.190 > 10.100.0.161: (frag 46914:1452@2960)
23:43:36.810157 10.100.1.190.80 > 10.100.0.161.32545: F 12573:12573(0) ack 67 win 17896 <nop,nop,timestamp 313564159 0>
23:43:36.813600 10.100.0.161.32545 > 10.100.1.190.80: . ack 8193 win 16384 <nop,nop,timestamp 3055259272 313564159>
23:43:36.813856 10.100.0.161.32545 > 10.100.1.190.80: . ack 12574 win 12004 <nop,nop,timestamp 3055259272 313564159>
23:43:36.816244 10.100.0.161.32545 > 10.100.1.190.80: F 67:67(0) ack 12574 win 16384 <nop,nop,timestamp 3055259272 313564159>
23:43:36.817042 10.100.1.190.80 > 10.100.0.161.32545: . ack 68 win 17896 <nop,nop,timestamp 313564159 0>

kus

* (frag 35143:1480@0+) - järgnevad IP fragmendid
* (frag 35143:824@7400) - viimane IP fragment kuna järel + märk puudub

ICMP pakettide puhul on fragmenteerimist veel otsekohesem jälgida, öeldes ühes aknas

# ping -c 1 -s 6000 192.168.209.245
PING 192.168.209.245 (192.168.209.245): 6000 data bytes
6008 bytes from 192.168.209.245: icmp_seq=0 ttl=56 time=74.206 ms

võib võrku pealt kuulates paista midagi sellist

22:30:44.799162 84.50.96.138 > 192.168..209.245: icmp: echo request (frag 36688:1480@0+)
22:30:44.799168 84.50.96.138 > 192.168..209.245: (frag 36688:1480@1480+)
22:30:44.799175 84.50.96.138 > 192.168..209.245: (frag 36688:1480@2960+)
22:30:44.799180 84.50.96.138 > 192.168..209.245: (frag 36688:1480@4440+)
22:30:44.799187 84.50.96.138 > 192.168..209.245: (frag 36688:88@5920)
22:30:44.872529 192.168.209.245 > 84.50.96.138: icmp: echo reply (frag 42199:1480@0+)
22:30:44.872674 192.168.209.245 > 84.50.96.138: (frag 42199:1480@1480+)
22:30:44.872774 192.168.209.245 > 84.50.96.138: (frag 42199:1480@2960+)
22:30:44.872899 192.168.209.245 > 84.50.96.138: (frag 42199:1480@4440+)
22:30:44.872913 192.168.209.245 > 84.50.96.138: (frag 42199:88@5920)

===ping===

Kuulub enamuse operatsioonisüsteemide pakettide hulka

Ping utiliidi abil saab hõlpasti veenduda, et kahe punkti vahel on füüsiliselt võrguühendus olemas. Ping kasutab andmevahetuseks ICMP (Internet Control Message Protocol) protokolli ja arusaadavalt ei tohi sellise kontrolli õnnestumiseks kahe punkti vahel olla ICMP protokolli kasutamine takistatud, täpsemini ICMP echo request ja ICMP echo reply sõnumite vahetamine.

Kasutamiseks tuleb ühes punktis öelda

# ping 192.168.10.11
PING 192.168.10.11 (192.168.10.11): 56 data bytes
64 bytes from 192.168.10.11: icmp_seq=0 ttl=64 time=3.922 ms
64 bytes from 192.168.10.11: icmp_seq=1 ttl=64 time=0.286 ms
64 bytes from 192.168.10.11: icmp_seq=2 ttl=64 time=0.274 ms
64 bytes from 192.168.10.11: icmp_seq=3 ttl=64 time=0.193 ms

Väljundist on näha, et pöördutud aadress vastab, vastused on järjekorras ja kadudeta saabunud ning vastuse saamise aeg on suhteliselt stabiilne. Võib järeldada, et võrk toimib.

Kasutades võtit -n ei püüa Ping lahendada nimesid, tihti seisneb võrgu nö mittetöötamine valesti konfigureeritud nimeserveris või nimeserveri mittekasutamises.

Pingimise intervalli võib ka vähendada järgnevalt:

# ping -i 0 -c 5 neti.ee

Silmas tasub ainult sel juhul pidada järgnevaid asju:

*flood ping (intervall 0) on masinate kiusamine, mõned tulemüürid võivad seda spetsiifiliselt detectida ja blokkida,
*mida lühem intervall, seda hüplikumaks muutub tulemus, pendeldades rohkem 100% ja 0% vahel,
*alla 1 sek intervalliga ping tuleb ruudu poolt käivitada.

===traceroute===

Samuti enamuse operatsioonisüsteemides leiduv programm

Traceroute utiliidi abil saab jälgida, millistest võrgusõlmedest käib kahe punkti vahel toimuv liiklus läbi. Traceroute kasutab andmevahetuseks vaikimisi UDP protokolli ning asjaolu, et kui IP pakett läbib võrgusõlme, siis vähendatakse päises olevat TTL väärtust ühe võrra kusjuures kui võrgusõlme jõuab pakett, mille TTL väärtus on üks, siis saadetakse tagasi ICMP vastus

icmp: time exceeded in-transit

UDP pakett saadetakse vaikimisi porti 33434 (eeldades, et sihtpunktiks olevas arvutis ei kuula seal teenust). Esimese paketi TTL on väärtusega 1 ning 'icmp: time exceeded in-transit' saadakse vaikelüüsilt. Järgmise paketi TTL seatakse 2 ning 'icmp: time exceeded in-transit' saadakse järgmises võrgu sõlmpunktis asuvalt ruuterilt jne kuni lõpuks UDP puhul saadakse sihtpunktilt vastuseks

icmp: 172.168.1.1 udp port 33443 unreachable

UDP asemel on võimalik kasutada ka ICMP või TCP protokolli, aga UDP annab praktikas kõige paremaid tulemusi. Toome näite kasutades ICMP protokolli kuna liiklust sisaldavas võrgus on tulemust nii parem näha ja esitada. Ütleme arvuti ühes promptis

# traceroute -n -q 1 -I cache.eenet.ee
traceroute to cache.eenet.ee (193.40.133.134), 64 hops max, 40 byte packets
1 195.80.102.33 0.494 ms
2 213.184.51.121 0.418 ms
3 194.116.188.19 0.524 ms
4 193.40.133.187 4.724 ms
5 193.40.133.134 3.760 ms

kus

* väljundis esitatakse järjekorras kõigi võrgusõlmede aadressid, mida pakett läbib sihtpunkti jõudmiseks; täpsemalt, need on võrgusõlmpunktide traceroute kasutaja poolsete võrguseadmede aadressid
* iga aadressi järel esitatakse vastuse tagasijõudmiseks kulunud aeg, kusjuures aeg esitatakse iga rea kohta eraldi st viimase rea aeg ei ole kõige aegade summa (antud juhul on see ka selgesti näha, et mingil põhjusel jõudis viimase hosti juurest vastus kiiremini tagasi kui eelviimasest)

Kuulates samas arvutis liiklust pealt teises promptis näeme

# tcpdump -nttti em3 icmp
tcpdump: listening on em3, link-type EN10MB
May 19 18:12:08.419036 195.80.102.35 > 193.40.133.134: icmp: echo request [ttl 1]
May 19 18:12:08.419459 195.80.102.33 > 195.80.102.35: icmp: time exceeded in-transit [tos 0xc0]
May 19 18:12:08.419659 195.80.102.35 > 193.40.133.134: icmp: echo request
May 19 18:12:08.419957 213.184.51.121 > 195.80.102.35: icmp: time exceeded in-transit [tos 0xc0]
May 19 18:12:08.420152 195.80.102.35 > 193.40.133.134: icmp: echo request
May 19 18:12:08.420582 194.116.188.19 > 195.80.102.35: icmp: time exceeded in-transit
May 19 18:12:08.420760 195.80.102.35 > 193.40.133.134: icmp: echo request
May 19 18:12:08.424455 193.40.133.187 > 195.80.102.35: icmp: time exceeded in-transit
May 19 18:12:08.424638 195.80.102.35 > 193.40.133.134: icmp: echo request
May 19 18:12:08.428660 193.40.133.134 > 195.80.102.35: icmp: echo reply

Vahel esineb traceroute väljundis real * märk, mis tähendab, et vaatlusalune võrgusõlm ei vastanud 'icmp: time exceeded in-transit' teatega või see teade ei jõudnud kohale

# traceroute -n -q 1 -I www.eenet.ee
traceroute to www.eenet.ee (193.40.0.131), 64 hops max, 60 byte packets
1 84.50.96.137 58.500 ms
2 88.196.144.137 5.230 ms
3 90.190.153.17 4.325 ms
4 195.250.191.17 8.805 ms
5 *
6 194.116.188.19 9.124 ms
7 193.40.133.187 11.953 ms
8 193.40.0.131 11.744 ms

TCP ja port 80 tracroute

# traceroute -n -q 1 -T www.eenet.ee -p 80
traceroute to www.eenet.ee (193.40.0.131), 30 hops max, 60 byte packets
1 10.0.0.1 0.313 ms
2 184.50.25.1 0.659 ms
3 184.50.157.2 5.896 ms
4 213.168.1.18 3.562 ms
5 213.168.1.27 3.680 ms
6 195.250.170.70 3.797 ms
7 193.40.133.6 6.987 ms
8 193.40.133.26 7.113 ms
9 193.40.0.131 7.993 ms

===tracepath===

tracepath programmi abil saab teha kindlaks Path MTU väärtusi, paigaldamiseks tuleb Debian Lenny keskkonnas öelda

# apt-get install iputils-tracepath

Kasutamisene toimub selliselt

$ tracepath -n 192.168.1.4
1: 192.168.10.10 0.062ms pmtu 1500
1: 192.168.10.210 0.444ms
1: 192.168.10.210 0.220ms
2: 192.168.1.4 0.835ms reached
Resume: pmtu 1500 hops 2 back 63

Kasulikud lisamaterjalid

* http://en.wikipedia.org/wiki/Path_MTU_Discovery

===nmap===

Programm nmap on populaarne võrgu kaardistamise vahend, mida võrguadministraatorid ja süsteemiadministraatorid armastavad kasutada teenuste kontrollimiseks, samuti diagnostikavahendina probleemide või kahtluste olemasolul. Lisaks tundub, et pahalased kasutavad sarnast võrgu kaardistamise vahendit ründe sihtmärkide kindlakstegemiseks. Nmap töö põhineb erinevate omadustega pakettide väljasaatmisel ning vastuste (sh saamatajätmise) analüüsil. Üldiselt võiks eristada kahte taset nmapi kasutamisel

* võrgus arvutite leidmine (ingl. k. host discovery)
* üksikute arvutite omaduste kindlakstegemine (nt millistel portidel pakutakse teenust) (ingl. k. port scanning)

Nmap ei kuulu enamuse operatsioonisüsteemi baaskonfiguratsiooni ning tuleb eelnevalt
paketihalduse vahenditega paigaldada

Nt Debian v. 7 Wheezy puhul sobib öelda, et ei paigaldatakse hulka Recommends olekus pakette

# apt-get --no-install-recommends install nmap

====võrgust arvutite leidmine====

Võrgus arvutite kindlakstegemiseks on nmap'il kaks võtitit, -sL ja -sP

Selleks, et lihtsalt kuvada subnetis olevad ip aadressid koos pöördteisendustega, mingit skaneerimist ei toimu

# nmap -sL 192.168.1.0/24

Starting Nmap 4.53 ( http://insecure.org ) at 2008-06-23 22:30 EEST
Host 192.168.1.0 not scanned
Host sipsik.loomaaed.tartu.ee (192.168.1.1) not scanned
Host www.loomaaed.tartu.ee (192.168.1.2) not scanned
Host vaktsiin.loomaaed.tartu.ee (192.168.1.3) not scanned
Host loomaaed.tartu.ee (192.168.1.4) not scanned
Host 192.168.1.5 not scanned
Host hilja.loomaaed.tartu.ee (192.168.1.6) not scanned
..
Nmap done: 256 IP addresses (0 hosts up) scanned in 0.142 seconds

Selleks, et saada subnetis olevate arvutite mac aadresside nimekirja sobib öelda

# nmap -sP 192.168.1.0/24 -n

Starting Nmap 4.53 ( http://insecure.org ) at 2008-06-23 23:03 EEST
Host 192.168.1.1 appears to be up.
MAC Address: 00:16:3E:1C:3C:B3 (Xensource)
Host 192.168.1.2 appears to be up.
MAC Address: 00:16:3E:2C:7E:DD (Xensource)
Host 192.168.1.3 appears to be up.
MAC Address: 00:18:F8:E5:F8:F2 (Cisco-Linksys)
Host 192.168.1.4 appears to be up.
MAC Address: 00:0C:42:07:1A:46 (Routerboard.com)
Nmap done: 256 IP addresses (5 hosts up) scanned in 6.054 seconds

Kui nö teises aknas võrku kuulata, näeb, et nmap teeb subneti iga ip aadressi kohta arp päringu, väga efektiivne moodus arvuti olemasolu kindlakstegemiseks

# tcpdump -nettti fxp1 arp
Jun 23 22:49:26.743432 00:02:55:ee:42:72 ff:ff:ff:ff:ff:ff 0806 42: arp who-has 192.168.1.1 (ff:ff:ff:ff:ff:ff) tell 192.168.1.254
Jun 23 22:49:26.743466 00:02:55:ee:42:72 ff:ff:ff:ff:ff:ff 0806 42: arp who-has 192.168.1.2 (ff:ff:ff:ff:ff:ff) tell 192.168.1.254
Jun 23 22:49:26.943286 00:02:55:ee:42:72 ff:ff:ff:ff:ff:ff 0806 42: arp who-has 192.168.1.3 (ff:ff:ff:ff:ff:ff) tell 192.168.1.254
Jun 23 22:49:26.943339 00:02:55:ee:42:72 ff:ff:ff:ff:ff:ff 0806 42: arp who-has 192.168.1.4 (ff:ff:ff:ff:ff:ff) tell 192.168.1.254
..

Kui sedasi pöörduda mittelokaalse võrgu poole, siis nmap saadab icmp echo requesti ning tcp ack paketi porti 80 (mis tavaliselt ei saa tulemüüridest edasi, kuna ei kuulu ühenduse hulka) ning näitab samuti tulemust.

Lisaks saab -sP võtmega koos kasutada nn probe'isid (-PS, -PA jt) võtmeid, et vaikimisi käitumist muuta.

Nmap programmi võrgust arvutite leidmise protseduuri väljundi saab salvestada faili, et seda seejärel üksikute arvutite omaduste kindlakstegemiseks kasutada, näiteks selliselt, -oG võtme kasutamisel salvestatakse väljund võimalikult nö grep'itavas formaadis

# nmap -sP 192.168.1.0/24 -oG /tmp/nmap-192.168.1.0-24.log

====Üksikute arvutite omaduste kindlakstegemine====

Üksikute arvutite omaduste all mõeldaks seda, millises olekus on tema erinevad pordid, näiteks

* open - pordil töötab rakendus
* closed - pordile ei ole ligipääs takistatud, aga rakendust ei tööta (tavaliselt saadab arvuti nmapile vastuseks RST paketi)
* filtered - nmap ei saa kindlaks teha pordi olekut (kas open või closed) kuna vaatlusaluses endas või tema eest töötab paketifilter

Tegemaks kindlaks, kas failis /tmp/192.168.1.0-24.log sisalduvatel ip aadressidel vastab SYN paketile 22 port tuleb näiteks öelda

# nmap -p T:22 -sS -iL /tmp/nmap.log -PN -oG -

* -oG - tundub, et väljund on sedasi pisut paremini loetav kui vaikimisi
* -PN - nmap ei soorita taustal nn host discovery't, kui tcpflow abil liiklust jälgida, on pilt selgem

Sedasi on näiteks ka hea kontrollida, kas oma synproxy režiimis käivitatud tulemüür ikka toimib nõuetekohaselt.

Nmap võimaldab vaatlusaluse arvuti tcp/ip stackiga suhtlemisel saadud info põhjal kaudselt ennustada selle arvuti operatsioonisüsteemi ning portidel kuulavate tarkvarade versioonid

# nmap -A 192.168.0.239
Starting Nmap 4.53 ( http://insecure.org ) at 2008-04-10 23:12 EEST
Interesting ports on 192.168.0.239:
Not shown: 1711 closed ports
PORT STATE SERVICE VERSION
22/tcp open ssh OpenSSH 4.7p1 Debian 2 (protocol 2.0)
MAC Address: 00:11:25:85:64:34 (IBM)
Device type: general purpose
Running: Linux 2.6.X
OS details: Linux 2.6.17 - 2.6.20
Uptime: 0.640 days (since Thu Apr 10 07:51:45 2008)
Network Distance: 1 hop
Service Info: OSs: Unix, Linux

OS and Service detection performed. Please report any incorrect results at http://insecure.org/nmap/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 20.592 seconds

TCP handshake'i tegemiseks sobib kasutada, nn connect scan

# nmap -p T:443 -sT -PN 192.168.0.239

Lisaks saab seada tcp paketi lippe ka näidates vajalikud lipud otse, nt seada SYN ja ACK, korrektselt seadistatud tulemüürist selline pakett läbi minna ei tohiks

# nmap -p T:80 --scanflags SYNACK -PN 192.168.0.239

IP aadressiga seotud portide vahemiku tcp handshake skaneerimine

# nmap -p T:22-100 -sT -Pn 192.168.0.111

kus

* -p T:22-100 - portide vahemik ja TCP (tegelikult -T on ta niikuinii antud juhul ja selle võiks ka ära jätta)
* -Pn - mitte pingida, st saadetakse vaid tcp syn jne pakette
* -sT - tcp handshake skaneerimine

====Võrgust teatud omadustega arvutite otsimine====

# nmap -PS -p 443 192.168.2.200-245

kus

* -PS - tcp syn
* -p 443 - port
* 192.168.2.200-245 - ip vahemik

====Turvavigade kontroll====

Tööks vajalikud huvitavad failid asuvad kaustas nmap/scripts/smb-check-vulns.nse
nt FreeBSD's /usr/local/share/nmap/scripts/

Ideepoolest peaks töötama ka käsk

# nmap --script-updatedb
Starting Nmap 4.85BETA7 ( http://nmap.org ) at 2009-09-15 00:33 EEST
NSE script database updated successfully.
Nmap done: 0 IP addresses (0 hosts up) scanned in 0.23 seconds

Salvestame nmapi töö faili mis meie subneti nimeline ning viime läbi
SYN skänni pordile 445 ning käivitame SMB vigade kontrollimiseks mõeldud NSE skripti
ja teeme seda kõigile arvutitele 192.168.1.0/24 võrgus.

nmap -oA 192168-filename -sS -p445 --script smb-check-vulns.nse 192.168.1.0/24

Tulemused võivad välja näha näiteks järgnevad

Interesting ports on kasutaja.zoo.tartu.ee (192.168.1.5):
PORT STATE SERVICE
445/tcp open microsoft-ds
MAC Address: 00:03:0D:51:E5:CA (Uniwill Computer)

Host script results:
|_ smb-check-vulns: This host is likely vulnerable to MS08-067 (it
stopped responding during the test)

Skriptide poole pöördudes võib kasutada ka järgmist lähenemist:

nmap --script "http-*"

Mis laadib kõik skriptid millede nimi agab httpd- reaga, näiteks http-auth ja http-open-proxy

Või siis laadime kõik skriptid, välja arvatud intrusive kategooriast:

nmap --script "not intrusive"

Vaikimisi kategoriseeritud default ja safe kataloogi.

nmap --script "default or safe"

====nping====

nmap paketi koosseisu kuulub nping programm, mis on natuke sarnane oma võimlustelt hping ja pingile.

TODO

====ncat====

nmap paketi koosseisu kuulub ncat programm, mis on natuke sarnane oma võimalustelt netcat programmile.

===arping===

Erinevalt programmist ping, mis saadab võrku ip pakette (ethertype 0x0800) tekitab arping arp pakette (ethertype 0x0806). Kui ühes aknas pingida/arpingida ja teises jälgida liiklust, siis paistavad erinevused sellised

Tuleb eelnevalt paigaldada operatsioonisüsteemi pakihalduse vahendite abil

# ping 192.168.10.251

# tcpdump -nettti em0 arp or icmp
Jun 24 13:27:08.032376 00:0e:0c:ba:4b:3e 00:0c:42:07:1a:45 0800 98: 192.168.10.210 > 192.168.10.251: icmp: echo request
Jun 24 13:27:08.032511 00:0c:42:07:1a:45 00:0e:0c:ba:4b:3e 0800 98: 192.168.10.251 > 192.168.10.210: icmp: echo reply

# arping 192.168.10.251

# tcpdump -nettti em0 arp or icmp
Jun 24 13:27:10.069533 0c:80:18:03:00:00 ff:ff:ff:ff:ff:ff 0806 42: arp who-has 192.168.10.251 tell 192.168.10.210
Jun 24 13:27:10.069644 00:0c:42:07:1a:45 0c:80:18:03:00:00 0806 60: arp reply 192.168.10.251 is-at 00:0c:42:07:1a:45

===Ssmpingiga multicasti toimimise testimine===

Multicast ehk multiedastus võimaldab ühe saatekorraga edastada sama infot korraga valitud arvutite rühmale. Seda ei tohi segi ajada broadcastiga, mis edastab paketi absoluutselt kõigile võrgus olevatele masinatele. Multicasti töötamise jaoks on switchis tarvilik IGMP (Internet Group Management Protocol) tugi (snooping ja query). Ruuteril on tarvilik "multicast routing" tuge. Multiedastust kasutatakse laialdaselt audio-video ülekandmiseks ja clustri nodede sünkroniseerimiseks. Rumalad ja mittemanageeritavad switchid võivad multiedastus teated edastada kui broadcasti kõigisse switchi portidesse ja tekitada seega võrgus üleliigst liiklust. IGMP Snoopingu halvaks küljeks on aga suurem switchi protsessori ja mälu kasutus.

http://et.wikipedia.org/wiki/Multiedastus
http://en.wikipedia.org/wiki/Multicast

Kahe masina vahel multicasti tesitmine ssmpingi abil. Paigaldamiseks

# apt-get install ssmping

Esimeses masinas

# ssmpingd

Teises masinas

# ssmping -I eth0 <IP aadress>

Tulem võiks näha välja järgnev

asmping joined (S,G) = (*,224.0.2.234)
pinging 192.168.8.6 from 192.168.8.5
unicast from 192.168.8.6, seq=1 dist=0 time=0.221 ms
unicast from 192.168.8.6, seq=2 dist=0 time=0.229 ms
multicast from 192.168.8.6, seq=2 dist=0 time=0.261 ms
unicast from 192.168.8.6, seq=3 dist=0 time=0.198 ms
multicast from 192.168.8.6, seq=3 dist=0 time=0.213 ms
unicast from 192.168.8.6, seq=4 dist=0 time=0.234 ms
multicast from 192.168.8.6, seq=4 dist=0 time=0.248 ms
unicast from 192.168.8.6, seq=5 dist=0 time=0.249 ms
multicast from 192.168.8.6, seq=5 dist=0 time=0.263 ms
unicast from 192.168.8.6, seq=6 dist=0 time=0.250 ms
multicast from 192.168.8.6, seq=6 dist=0 time=0.264 ms
unicast from 192.168.8.6, seq=7 dist=0 time=0.245 ms
multicast from 192.168.8.6, seq=7 dist=0 time=0.260 ms

Nii unicast kui multicast tunduvad töötavat.

Võime testida ka mõne kaugema serveri pihta:

# ssmping ssmping.uninett.no
ssmping joined (S,G) = (2001:700:0:4501:158:38:0:230,ff3e::4321:1234)
pinging S from 2001:bb8:2001:2:21b:21ff:fe65:54c9
unicast from 2001:700:0:4501:158:38:0:230, seq=1 dist=14 time=39.017 ms
unicast from 2001:700:0:4501:158:38:0:230, seq=2 dist=14 time=38.840 ms
unicast from 2001:700:0:4501:158:38:0:230, seq=3 dist=14 time=38.950 ms
unicast from 2001:700:0:4501:158:38:0:230, seq=4 dist=14 time=38.704 ms
--- 2001:700:0:4501:158:38:0:230 statistics ---
4 packets transmitted, time 3564 ms
unicast:
4 packets received, 0% packet loss
rtt min/avg/max/std-dev = 38.704/38.877/39.017/0.269 ms
multicast:
0 packets received, 100% packet loss

Viimase näite puhul multicast üle ipv6 ei paista töötavat. Unicast aga küll..

===Ethtool===

Selleks, et vaadata ühenduse parameetreid ning seda, kas võrgukaarti on ühendatud kaabel või ei ole on olemas töövahend ethtool. Üsna sageli võib olla segadus, et serveril
on 4+ võrguseadet ning raske öelda kuidaspidi on udev nad jaganud

# apt-get install ethtool

Kasutamine

# ethtool eth0

Ja sealt antud infost saab vaadata nt välja

Link detected: yes

Rohkema info omandamiseks

# ethtool -i eth5
driver: i40e
version: 1.2.37
firmware-version: f4.22.27454 a1.2 n4.25 e143f
bus-info: 0000:06:00.1
supports-statistics: yes
supports-test: yes
supports-eeprom-access: yes
supports-register-dump: yes
supports-priv-flags: yes

===tcpflow===

Programm tcpflow abil on hea uurida rakenduskihile vastavate andmete liikumist võrgus, nt jälgida http päringud ja vastuseid. tcpflow salvestab käesolevasse kataloogi (ingl. k. current directory) tabatud liikluse automaatselt moodustatud failinimesid kasutades

Tuleb eelnevalt paigaldada operatsioonisüsteemi vahendite abil

# mkdir /tmp/ftp.aso.ee
# cd /tmp/ftp.aso.ee
# tcpflow -i rl0 host ftp.aso.ee
# ls -l
total 8
-rw-r--r-- 1 root wheel 104 Jun 13 10:22 084.050.096.138.50120-213.184.032.082.00080
-rw-r--r-- 1 root wheel 847 Jun 13 10:22 213.184.032.082.00080-084.050.096.138.50120

Failinimedes kasutatakse kasutatud pordinumbreid, päring

# cat 084.050.096.138.50120-213.184.032.082.00080
GET /README HTTP/1.0
User-Agent: Wget/1.11.2
Accept: */*
Host: ftp.aso.ee
Connection: Keep-Alive

ning vastus

# cat 213.184.032.082.00080-084.050.096.138.50
HTTP/1.1 200 OK
Date: Fri, 13 Jun 2008 07:22:50 GMT
Server: Apache
Last-Modified: Mon, 05 Nov 2007 19:14:36 GMT
ETag: "1c980fa-22e-53bd1f00"
Accept-Ranges: bytes
Content-Length: 558
Keep-Alive: timeout=15, max=100
Connection: Keep-Alive
Content-Type: text/plain; charset=UTF-8

Welcome to the Estonian Informatics Center's FTP server!

On this server are hosted following software distributions

Debian GNU/Linux - /debian
Ubuntu Linux - /pub/ubuntu
Mandriva Linux - /pub/Mandrake
X-Road System - /pub/x-tee
Solaris CSW - /pub/csw
OpenBSD - /pub/OpenBSD

You can access data anonymously using http, ftp or rsync protocol and
one of these domainnames:

ftp.aso.ee
ftp.ria.ee
ftp.ee.debian.org

If you have any comments or encounter problems using this archive, please send
them via e-mail to ftpmaster_at_aso.ee.

tcpdump abil salvestatud faile saab uurida

$ tcpflow -r failinimi.pcap

===hping===

Programm hping võimaldab konstrueerida ja võrku saata igasuguseid pakette ja sobib seetõttu hästi nt võrgusõlmede testimiseks. Tarkvarast on kolm populaarset versiooni, hping, hping2 ja hping3. Näiteks SYN paketi tekitamiseks tuleb öelda

Tuleb eelnevalt paigaldada operatsioonisüsteemi vahendite abil

# hping -S -c 4 -p 80 192.168.10.12
HPING farm.loomaaed.tartu.ee (em0 192.168.10.12): S set, 40 headers + 0 data bytes
len=46 ip=192.168.10.12 ttl=56 DF id=60008 sport=80 flags=SA seq=0 win=5840 rtt=9.4 ms
len=46 ip=192.168.10.12 ttl=56 DF id=53433 sport=80 flags=SA seq=1 win=5840 rtt=9.8 ms
len=46 ip=192.168.10.12 ttl=56 DF id=39504 sport=80 flags=SA seq=2 win=5840 rtt=9.5 ms
len=46 ip=192.168.10.12 ttl=56 DF id=54821 sport=80 flags=SA seq=3 win=5840 rtt=9.5 ms

kus võtmed

* -S - konstrueerida SYN pakett
* -c 4 - saata viis paketti
* -i arv - saata intervalliga arv sekundit, vaikimisi ühe sekundise intervalliga
* -p - pordile 80

Näiteks nii saab nö tavalist ICMP pingi sooritada öeldes paketi src aadressiks 192.168.12.144

# hping3 -1 -a 192.168.12.144 192.168.11.145

Fragmenteeritud IP pakettide genereerimiseks sobib öelda

# hping3 -d 5400 -E /tmp/50M -S -c 3 -p 80 192.168.10.12 -m 200

kus

* -d paketi andmeosa suurus
* -E - mida kasutada andmeosa täitmiseks
* -m - mtu suurus

===netcat===

Programm netcat võimaldab hõlpsasti testida võrku, või vahetda arvutite ning programmide vahel infot. Sarnane tuntub programmile socket. Ühes arvutis tuleb ta käivitada porti kuulama öeldes, näiteks faili /tmp/filename.out kopeerimiseks

Tuleb osades operatsioonisüsteemides paigaldada, nt OpenBSD's on ta olemas

# nc -l -p 1010 > /tmp/filename.out

ja teisest pöörduda

# nc teise.arvuti.ip.aadress 1010 < /tmp/filename.out

Linuxi peal töötab sedasi lihtne server

# while true ; do cat /tmp/http.txt | nc -l -p 1500 head --bytes 2000 >>/tmp/requests ; date >>/tmp/requests ; done

Hädapärast saab netcati vahendusel vahendada ka arvutite vahel ja skriptide vahel infot näiteks kuulame 1001 porti ühes masinas

abiks käsk testimisel ka

nc -l -p 1001 | awk -F"," '{print $2}'

Syslogiga suhtlemine

$ echo '<0>message' | nc -w 1 -u 192.168.102.114 514

Whois teenuse kasutamine (20131116 - tundub, et päris nii see alati ei tööta)

$ echo "loomaaed.tartu.ee" | netcat 193.40.0.12 43
The registry database contains only .EE, .COM.EE, .PRI.EE, .FIE.EE,
.ORG.EE and .MED.EE domains.

Registrant:
Tartu Loomaaed
Looma tee 1
TEL 1234 5678
FAX 8765 4321

Domain Name: loomaaed.tartu.ee

Contacts:
Priit Kask priit@loomaaed.tartu.ee
..

Netcat abil saab hõlpsasti demonstreerida kui lihtne on nö pordile shelli külge ühendada (see on üks põhjus, miks tuleb pigem paketifiltriga kasutamata pordid blokeerida), serveris öelda

$ nc -l -p 8443 -e /bin/bash

ja kliendis

$ nc 192.168.10.10 8443
/sbin/route -n
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
0.0.0.0 192.168.10.254 0.0.0.0 UG 0 0 0 eth0
192.168.10.0 0.0.0.0 255.255.255.0 U 0 0 0 eth0

Mingi määratluse järgi jagatakse turvaauke local ja remote alla kuuluvateks. Tihtipeale annavad local augud rohkem võimalusi ja neide parandamisse suhtutaks kergekäelisemalt. Kui selline shell on kasutada, siis arusaadavalt saab eemalt ligi local aukudesse (nt kävitada spetsiaalselt ettevalmistatud faile jms).

Tundub, et uuemal ajal sobib öelda

$ cat /tmp/f | /bin/sh -i 2>&1 | nc -l 127.0.0.1 8443 > /tmp/f

Võrgukiiruse primitiivseks testimine sobib öelda, iseäralik antud juhul on et mõõdetakse puhast võrgukiirust, kohalike ketaste io ei sega

netcat-server$ nc -l -p 6000 > /dev/null
netcat-klient$ nc 192.168.10.189 6000 < /dev/zero

ja liikluse kiiruse hindamiseks öelda ükskõik kummas arvutis

# tcpstat -i eth0 -o "Time:%S\tn=%n\tavg=%a\tstddev=%d\tBaitspersecond=%B\n" -f "tcp and host 192.168.10.189 and port 6000" 1
Time:1463902007 n=11782 avg=1044.15 stddev=672.42 Baitspersecond=12302148.00
Time:1463902008 n=11603 avg=1046.16 stddev=671.66 Baitspersecond=12138628.00
Time:1463902009 n=11367 avg=1056.14 stddev=667.52 Baitspersecond=12005096.00
Time:1463902010 n=11652 avg=1051.81 stddev=669.35 Baitspersecond=12255700.00
Time:1463902011 n=11514 avg=1053.25 stddev=668.74 Baitspersecond=12127072.00

Lisaks peaks jälgima võrguliidestel toimuvat liiklus vigade osas, nt (errors, dropped jt)

# ifconfig
eth0 Link encap:Ethernet HWaddr 00:1c:c0:38:97:a9
inet addr:192.168.10.8 Bcast:192.168.10.255 Mask:255.255.255.0
inet6 addr: fe80::21c:c0ff:fe38:97a9/64 Scope:Link
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:47321279 errors:0 dropped:0 overruns:0 frame:0
TX packets:42781684 errors:0 dropped:0 overruns:0 carrier:0

===IPerf===

Kahe masina vahelise võrgujõudluse testimiseks

näide: kaks masinat klient 192.168.1.2 ja server 192.168.1.3

Server

# iperf -s
------------------------------------------------------------
Server listening on TCP port 5001
TCP window size: 85.3 KByte (default)
------------------------------------------------------------
[ 4] local 192.168.1.3 port 5001 connected with 192.168.1.2 port 32054
[ ID] Interval Transfer Bandwidth
[ 4] 0.0-10.0 sec 826 MBytes 692 Mbits/sec

klient

# iperf -c 192.168.1.3
------------------------------------------------------------
Client connecting to 192.168.1.2, TCP port 5001
TCP window size: 32.5 KByte (default)
------------------------------------------------------------
[ 3] local 192.168.1.2 port 32054 connected with 192.168.1.3 port 5001
[ ID] Interval Transfer Bandwidth
[ 3] 0.0-10.0 sec 826 MBytes 693 Mbits/sec

Soovides täpsemat andmehulka ette anda tuleb täpsustada kasutades võtit '-l'

Vaikimisi kestab test 10 sekundit, soovides seda ajaakent suurendada tuleb kasutada võtit '-t'

# iperf -t 60 -c 192.168.1.3

Täpsem jooksev statistika

# iperf -c 192.168.1.2 -w 400k -P 2 -i 1
Client connecting to 192.168.1.2, TCP port 5001
TCP window size: 400 KByte
------------------------------------------------------------
[ ID] Interval Transfer Bandwidth
[SUM] 0.0- 1.0 sec 1.06 GBytes 9.07 Gbits/sec
[SUM] 1.0- 2.0 sec 1.08 GBytes 9.30 Gbits/sec
[SUM] 2.0- 3.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 3.0- 4.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 4.0- 5.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 5.0- 6.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 6.0- 7.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 7.0- 8.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 8.0- 9.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 9.0-10.0 sec 1.15 GBytes 9.89 Gbits/sec
[SUM] 0.0-10.0 sec 11.4 GBytes 9.75 Gbits/sec

Vaikimisi kestab test 10 sekundit -t parameetriga saab muuta, lisaks saab muuta -i parameetriga statistika kuvamise aega-

* http://www.noc.ucf.edu/Tools/Iperf/

===netstrain===

Programm netstrain paigaldamine toimub paketist

võimaldab tekitada ja jälgida võrgus tcp koormust. Ühes arvutis tuleb netstraind käivitada

# netstraind -4 1010
NetStrain 3.0 (c) 2002 Christoph Pfisterer <cp@chrisp.de>
Listening on 0.0.0.0 port 1010 using IPv4...
One-shot server waiting for connection
Incoming connection from 172.16.3.254 port 5606

ning teisest pöörduda

# netstrain -4 172.16.3.251 1010 both
NetStrain 3.0 (c) 2002 Christoph Pfisterer <cp@chrisp.de>
Looking up hostname 172.16.3.251...
Connecting to 172.16.3.251 port 1010 using IPv4...
Connected
sent: 6450M, 10589.2K/s total, 10586.8K/s current
recv'd: 6252M, 10264.4K/s total, 10286.5K/s current

===ipcalc ja ipv6calc===

ipcalc on paketist paigaldatav pisike utiliit, millega saab nö võrke arvutada. Näiteks küsida milline on kaheksane subnet kuhu kuulub ip aadress 192.168.2.201

# ipcalc 192.168.2.201/29
address : 192.168.2.201
netmask : 255.255.255.248 (0xfffffff8)
network : 192.168.2.200 /29
broadcast : 192.168.2.207
host min : 192.168.2.201
host max : 192.168.2.206
hosts/net : 6

===sipcalc===

sipcalc (IP subnet calculator) programmiga saab arvutada IPv4 ja IPv6 võrguaadresse, nt

$ sipcalc -a 2a01:88:0:21::2
-[ipv6 : 2a01:88:0:21::2] - 0

[IPV6 INFO]
Expanded Address - 2a01:0088:0000:0021:0000:0000:0000:0002
Compressed address - 2a01:88:0:21::2
Subnet prefix (masked) - 2a01:88:0:21:0:0:0:2/128
Address ID (masked) - 0:0:0:0:0:0:0:0/128
Prefix address - ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff
Prefix length - 128
Address type - Aggregatable Global Unicast Addresses
Network range - 2a01:0088:0000:0021:0000:0000:0000:0002 -
2a01:0088:0000:0021:0000:0000:0000:0002

[V4INV6]
Expanded v4inv6 address - 2a01:0088:0000:0021:0000:0000:0.0.0.2
Compr. v4inv6 address - 2a01:88:0:21::0.0.0.2

[IPV6 DNS]
Reverse DNS (ip6.arpa) -
2.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.1.2.0.0.0.0.0.0.8.8.0.0.1.0.a.2.ip6.arpa.

===httping===

httping programmiga saab esitada http päringuid eesmärgiga jälgida veebiserveri vastuste andmist, kusjuures nt on võimalik täpsustades, kas esitatakse GET või HEAD päringuid või millise sagedusega päringuid esitatakse. Nt võiks toimuda programmi kasutamine selliselt

$ httping -s -S -i 2 -r -g http://www.loomaaed.tartu.ee/loomafail.cgi
PING www.loomaaed.tartu.ee:80 (http://www.loomaaed.tartu.ee/loomafail.cgi):
connected to www.loomaaed.tartu.ee:80, seq=0 time=11.99+501.00=512.99 ms 200 OK
connected to www.loomaaed.tartu.ee:80, seq=1 time=10.20+475.94=486.14 ms 200 OK
connected to www.loomaaed.tartu.ee:80, seq=2 time=9.71+471.03=480.74 ms 200 OK
connected to www.loomaaed.tartu.ee:80, seq=3 time=10.88+420.74=431.62 ms 200 OK
connected to www.loomaaed.tartu.ee:80, seq=4 time=9.99+336.93=346.92 ms 200 OK

kus on kasutatud võtmeid

* -s - esitab http päringu vastuse nn http koodi, st 200, 403, 404, 500 jne
* -S - esitab vastuses eraldi tcp ühenduse moodustamiseks ja vastuse saamiseks kulunud aja
* -i - päringuid esitamise intervall sekundites
* -r - nimelahendus sooritatakse vaid üks kord
* -g - esitatakse GET päringuid, vaikimisi esitatakse HEAD päringuid

Üks abiks httping programmi kasutusjuht võiks olla näiteks veebikoha koormustesti ajal jälgida milline nö tavakasutaja jaoks võiks kõnealuse veebikoha kättesaadavus.

https teenuse jälgimiseks sobib öelda

$ httping -G -l -g "/index.html" -h 192.168.10.12

* -l - pöörduda https abil

===tcpstat===

Vahel on selle programmi kasutamine muutnud süsteemi ebastabiilseks, tõenäoliselt on seoses konkreetselt kasutuses oleva riistvaraga. Muidu aga võimaldab ta jälgida tingimustele vastava andmevahetuse kiirust

# tcpstat -i vlan13 -o "Time:%S\tn=%n\tavg=%a\tstddev=%d\tBaitspersecond=%B\n" -f "tcp and host 192.168.110.149" 10

kus

* -i - võrguseade
* -o - väljundi formaat
* -f - nö tcpdump formaadis filter
* 10 - väljundi esitamise intervall, kusjuures kui andmeid ei ole, siis intervalli möödudes nö nulle ei esitata

===tcptrace===

tcptrace on üks paljudest programmidest, millega esitada salvetatud võrguliikluse kohta ülevaatlikke andmeid, võimalik, et programmi kõige olulisem väärtus on pedagoogiline väärtus

$ tcptrace -l tt.log
1 arg remaining, starting with 'tt.log'
Ostermann's tcptrace -- version 6.6.1 -- Wed Nov 19, 2003

54 packets seen, 54 TCP packets traced
elapsed wallclock time: 0:00:00.007053, 7656 pkts/sec analyzed
trace file elapsed time: 0:00:02.787589
TCP connection info:
1 TCP connection traced:
TCP connection 1:
host a: moraal.auul:52081
host b: ftp.loomaaed.tartu.ee:22
complete conn: yes
first packet: Sat Oct 10 12:56:15.713740 2009
last packet: Sat Oct 10 12:56:18.501330 2009
elapsed time: 0:00:02.787589
total packets: 54
filename: tt.log
a->b: b->a:
total packets: 30 total packets: 24
ack pkts sent: 29 ack pkts sent: 24
pure acks sent: 14 pure acks sent: 7
sack pkts sent: 0 sack pkts sent: 0
dsack pkts sent: 0 dsack pkts sent: 0
max sack blks/ack: 0 max sack blks/ack: 0
..
data xmit time: 2.547 secs data xmit time: 2.547 secs
idletime max: 1141.1 ms idletime max: 1151.3 ms
throughput: 1291 Bps throughput: 1072 Bps

===Wireshark===

Tarkvara Wireshark eelised avalduvad tema ülevaatlikkust võimaldavas graafilises kasutajaliideses, kus on võimalus

* liiklust filtreerida nt otspunktide ip aadresside, protokolli vms parameetrite alusel
* saab hõlpsasti eristada liiklusest tcp sessioone
* saab ülevaatlikult näha paketi kapseldust OSI kihtide mõttes

'''Lihtne wiresharki kasutusjuhus tööarvutis'''

Käivita wireshark programm. Vajuta nupule "List available capture interfaces..." (tööriistariba kõige vasakpoolsem nupp) ja seejärel võib alustada pakettide püüdmist soovitud võrguaadressil. Pakettide püüdmise lõpetab nupp "Stop the running live capture".

Kui võrguliiklust on palju, võib wiresharki väljund tulla liiga kirju. Otsitava informatsiooni väljafiltreerimiseks võib kasutada erinevaid filtreid (trükkida Wiresharki filtriribale):

* ip.addr == 192.168.1.253 - Näitab ainult pakette, mis kas pärinevad või on suunatud antud aadressile
* tcp.port == 22 - Näitab ainult pakette, mis kas pärinevad või on suunatud TCP porti 22
* !(udp.port == 80) - näitab ainult pakette, mille src ega dst pooles ei esine port 80

Erinevaid filtreid saab kombineerida loogiliste tehetega: &&, ||, !

Wireshark kasutamist on keerukamatel juhtudel mõistlik korraldada nii, et tulemüüris/serveris salvestatakse liiklus tcpdump abil faili ning see fail kopeeritakse töökohaarvutisse kuhu on paigaldatud Wireshark. Wireshark kasutajaliides näeb välja selline, antud juhul on kuulatud pealt liiklust tulemüürist ftp.aso.ee arvutiga

# tcpdump -n -i eth0 -s 1600 -w /tmp/ftp.aso.ee.log host ftp.aso.ee

Seejärel on käivitatud wireshark

linux$ wireshark ftp.aso.ee.log

Wiresharkis on filtreeritud välja ainult liiklus ftp.aso.ee arvutiga (kui seda praktiliselt pole ka vaja filtreerida, kuna ainult seda kuulatigi tcpflow'ga). Allolevalt pildilt on näha kuidas Wireshark esitab väljundit kolmas üksteise kohal paiknevas raamis

# ülemises raamis on esitatud filtreeritud 10 paketti, järjekorranumber, aeg, lähte ja siht aadress, protokoll ja muu info
# keskmises raamis esitatakse ülemises raamis ära märgitud paketi kapseldatud koosseis, on näha ISO kihid kusjuures wireshark interpreteerib lisaks paketi nn payloadis olevaid andmeid
# alumises raamis on esitatud paketi sisu kõrvuti kahes tulbas, 16nd süsteemis ning võimalusel vastavad ascii sümbolid, kusjuures keskmises raamis märgitule on ära vastav osa ära tähistatud

[[Pilt:Wireshark-ftp.aso.ee.log-1.gif]]

Näiteks võib antud juhul jälgida kuidas ühenduse loomiseks ja lõpetamiseks on vahetatud vastavalt kolm ja kolm paketti, ning sisuliste andmete vahetamiseks on kokku saadetud neli paketti. Välja arvatud erijuhud üldiselt ongi nii, et andmevahetusel osapooled saadavad üksteisele samas suurusjärgus pakette, isegi kui tegu on sisuliselt ühesuunalise andmevahetusega. Ja eriliselt võiks antud juhul tähele panna, et tcp ühenduse sees saadetakse andmeid mõlemas suunas.

Antud juhul kuuluvad juba tcpdump abil salvestatud ühte tcp sessiooni, kuid wiresharkil on võimalus suuremat hulgast pakettidest välja filtreerida ka ühe tcp sessiooni. Selleks tuleb ülemises raamis valida mingi paketi peal olles hiire parema nupuga avanevast hüpikmenüüst 'Follow TCP Stream' ning esitakse sessioonis toimunud http get päringu sisu ja vastuse sisu

[[Pilt:Wireshark-ftp.aso.ee.log-2.gif]]

====editcap ja mergecap kasutamine====

editcap programmiga saab varem salvestatud pcap formaadis faili osadeks jagada, nt pakettide arvu järgi, tulemusena tekivad osad* nimelised failid

# editcap -c 100 tcp.log osad

mergecap programmiga saab pcap formaadis osad ühendada kokku üheks failiks, nt

# mergecap -w tcp-kokkuyhendatud.log osad*

====capinfos====

Salvestatud pcap faili kohta saab küsida capinfos programmiga, nt

# capinfos tcp.log
File name: tcp.log
File type: Wireshark/tcpdump/... - libpcap
File encapsulation: Ethernet
Number of packets: 1000
File size: 590818 bytes
Data size: 592758 bytes
Capture duration: 6 seconds
Start time: Sat Oct 22 20:06:11 2011
End time: Sat Oct 22 20:06:16 2011
Data byte rate: 106709.45 bytes/sec
Data bit rate: 853675.63 bits/sec
Average packet size: 592.76 bytes
Average packet rate: 180.02 packets/sec

====RSA võtmevahetusega SSL liikluse dekrüptimine====

* http://wiki.wireshark.org/SSL
* http://wirewatcher.wordpress.com/2010/07/20/decrypting-ssl-traffic-with-wireshark-and-ways-to-prevent-it/

===tcpbench===

OpenBSD nn baas sisaldab tcpbench utiliiti, mille abil saab otsekoheselt testida kahe OpenBSD arvuti vahelist võrguühendust. Utiliidi kasutamisel hakkab klient serverisse kopeerima maksimaalse võimaliku suurusega tcp pakette, tegevuse käigus esitavad klient ja server programmi väljundis toimuvat andmevahetust iseloomustavat infot

server# tcpbench -s
pid elapsed_ms bytes Mbps
25537 1009 20811800 165.009
25537 2009 20610544 165.049
25537 3013 20230168 161.197
25537 closed by remote end

klient# tcpbench 192.168.10.8
pid elapsed_ms bytes Mbps
2628 1026 20990016 163.665
2628 2008 20460296 166.683
2628 3037 20230168 157.433
^Ctcpbench: Terminated by signal 2

===ssldump===

ssldump võimaldab SSL/TLS liiklust analüüsida, tarkvara paigaldamiseks tuleb öelda Debian keskkonnas

# apt-get install ssldump

FreeBSD's asub pakett net/ssldump

ja kasutamiseks nt

# ssldump -i eth0 -d port 993
New TCP connection #1: moraal.auul(49305) <-> smtp.loomaaed.tartu.ee(993)
1 1 0.0100 (0.0100) C>S Handshake
ClientHello
Version 3.1
resume [32]=
9c 5e 98 a5 0c 7a e1 f6 59 70 cb 42 ff 7e d0 2c
0c d6 03 57 34 e5 01 74 4e 4f fb 70 3b a5 61 02
cipher suites
Unknown value 0xc00a
TLS_RSA_WITH_RC4_128_MD5
TLS_RSA_WITH_RC4_128_SHA
TLS_RSA_WITH_3DES_EDE_CBC_SHA
...
compression methods
NULL
1 2 0.0342 (0.0242) S>C Handshake
ServerHello
Version 3.1
session_id[32]=
9c 5e 98 a5 0c 7a e1 f6 59 70 cb 42 ff 7e d0 2c
0c d6 03 57 34 e5 01 74 4e 4f fb 70 3b a5 61 02
cipherSuite Unknown value 0x35
compressionMethod NULL
1 3 0.0342 (0.0000) S>C ChangeCipherSpec
1 4 0.0342 (0.0000) S>C Handshake
1 5 0.0349 (0.0006) C>S ChangeCipherSpec
1 6 0.0349 (0.0000) C>S Handshake
1 7 0.0443 (0.0094) S>C application_data
1 8 0.0450 (0.0006) C>S application_data
1 9 0.0546 (0.0095) S>C application_data
..

kust on näha

* C>S, S>C - vastavalt kliendilt serveri ja serverilt kliendi suunal toimuv liiklus
* ClientHallo, ServerHallo, jt - kliendi ja serveri vahel toimub SSL ühenduse parameetrite kokkuleppimine
* application_data - antud juhul jääb ssldump jaoks sisuline andmevahetus ligipääsemata

Kui lisaks on kasutada ssl võtmed, siis saab teatud juhtumitel ka liikluse sisu debugida, nt https puhul

# cat www.loomaaed.tartu.ee.key www.loomaaed.tartu.ee.crt > www.pem
# ssldump -i eth0 -d -k www.pem port 443
..
1 10 0.0849 (0.0341) C>S application_data
---------------------------------------------------------------
GET /text.html HTTP/1.1
Host: 192.168.10.53
User-Agent: Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.9.0.14) \
Gecko/2009091010 Iceweasel/3.0.6 (Debian-3.0.6-3)
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: en-us,en;q=0.5
Accept-Encoding: gzip,deflate
Accept-Charset: ISO-8859-1,utf-8;q=0.7,*;q=0.7
Keep-Alive: 300
Connection: keep-alive
Pragma: no-cache
Cache-Control: no-cache

---------------------------------------------------------------
1 11 0.0857 (0.0007) S>C application_data
---------------------------------------------------------------
HTTP/1.1 200 OK
Date: Fri, 23 Oct 2009 06:32:59 GMT
Server: Apache/2.2.9 (Debian) mod_jk/1.2.26 mod_ssl/2.2.9 OpenSSL/0.9.8g
Vary: Accept-Encoding
Content-Encoding: gzip
Content-Length: 266
Keep-Alive: timeout=15, max=100
Connection: Keep-Alive
Content-Type: text/html; charset=iso-8859-1

Seejuures tuleb veebiserveris kasutada sobivat SSLCipherSuite väärtust, nt selline töötab nö natuke

SSLCipherSuite RSA:-HIGH:MEDIUM:-EXP:-DH

Kasutatud järgnevusele 'RSA:-HIGH:MEDIUM:-EXP:-DH' vastavaid väärtusi näeb

# openssl ciphers -v 'RSA:-HIGH:MEDIUM:-EXP:-DH'
DES-CBC-SHA SSLv3 Kx=RSA Au=RSA Enc=DES(56) Mac=SHA1
RC4-SHA SSLv3 Kx=RSA Au=RSA Enc=RC4(128) Mac=SHA1
RC4-MD5 SSLv3 Kx=RSA Au=RSA Enc=RC4(128) Mac=MD5
NULL-SHA SSLv3 Kx=RSA Au=RSA Enc=None Mac=SHA1
NULL-MD5 SSLv3 Kx=RSA Au=RSA Enc=None Mac=MD5
DES-CBC-MD5 SSLv2 Kx=RSA Au=RSA Enc=DES(56) Mac=MD5
RC2-CBC-MD5 SSLv2 Kx=RSA Au=RSA Enc=RC2(128) Mac=MD5
RC4-MD5 SSLv2 Kx=RSA Au=RSA Enc=RC4(128) Mac=MD5

Lisaks saab ssldump jaoks kaustada tcpdump abil kogutud pcap faili (eriti see on -s 0 võtmega salvestatud)

$ ssldump -r failinimi.pcap

===ICMP redirect===

Olgu selliste ruutingutega olukord

....
|
_|_ tulemüür
| | vaikelüüs, kus on kirjeldatud staatiline ruuting 192.168.201.0/24 -> 192.168.2.201
|___| 192.168.2.1
192.168.2.0/24 |
--|-------------------|--------------|--
_|_ _|_
| | 192.168.2.30 | | 192.168.2.201
|___| host-1 |___| ruuter-2
|
| 192.168.201.0/24
-----|-------------------------|---
_|_
| | 192.168.201.30
|___| host-2

ICMP redirect http://en.wikipedia.org/wiki/ICMP_Redirect_Message sõnumiga juhatab tulemüür host-1 pöörduma host-2 poole läbi ruuter-2 seadme.

09:42:25.399922 192.168.2.1 > 192.168.2.30: icmp: redirect 192.168.201.30 to host 192.168.2.201

Parasjagu kehtivad redirectid ei ole paista linux hostis ei nö tavalistes arp ega route andmebaasides, vaid

# cat /proc/net/rt_cache

Sissekande kustutamiseks tuleb vastav ruuting eemaldada ja tagasi tekitada, näiteks.

===ARP flux===

Olgu üks arvuti on oma kahe füüsiliste võrguseadmega ühendatud sama etherneti peale ning seal ethernetis on veel teisi arvuteid

--|--|---------------------------|----------------
eth0 _|__|_ eth1 _|_
10.0.2.30 | | 192.168.2.30 | | 192.168.2.201
|______| |___|

host-1 host-2

Tundub, et reeglina käituvad 2011 aastal Linux distributsioonide tuumad selliselt, et joonisel kujutatud ühenduse puhul vastab host-2 poolt aadressile 192.168.2.30 tehtud arp päringule host-1 kahe arp vastusega, kummagi ethernet seadme mac aadressiga, kusjuures host-2 kasutab esimesena kohale jõudnud vastust järgnevaks andmevahetuseks. Selline olukord põhjustab selles mõttes segadust, et kui host-1 võrguseadmed on sarnaste omadustega, siis vahel kasutab host-2 ühe ja vahel teise ethernet seadme mac aadressi ning liiklus käib vastavalt läbi ühe või teise host-1 võrguseadme (lisaks võib ka nii olla, et ühes suunas liiguvad paketid läbi host-1 eth0 ja teises suunas läbi eth1 seadme). Kui host-1 peal ei ole paketifiltrit seadistatud, siis seal töötavate rakenduste jaoks andmevahetus töötab, kuid nt võrgu debugimine on raskendatud.

Selleks, et host-2 arp päringule vastaks host-1 vaid selle mac aadressiga, millele vastava võrguseadme kaudu toimuks ip mõttes korrektne ruuting sobib öelda host-1 arvutis

# sysctl -w net.ipv4.conf.all.arp_filter=1

Kasulikud lisamaterjalid

* http://linux-ip.net/html/ether-arp.html
* http://robertlathanh.com/2009/08/two-subnetworks-on-one-lan-and-linux-arp_filter/
* http://www.embedded-bits.co.uk/tag/arp_filter/

===tcpkill===

tcpkill programmi abil saab ühenduse osapoolele saata sobiva RST paketi eesmärgiga ühendus lõpetada, tarkvara paigaldamiseks tuleb nt Debian Lenny keskkonnas paigaldada pakett dsniff

# apt-get install dsniff

ja kasutamiseks öelda

# tcpkill -i eth0 port 80 and host ftp.loomaaed.tartu.ee

Tulemusena jääb tcpkill käima arvuti eth0 seadmel ja tegeleb näidatud regulaaravaldisega klappivate ühendustega.

===lsof===

Kasutaja priit (-u priit) programmiga Firefox (-c firefox-bin) seotud võrguühenduste (-i) esitamine

$ lsof -n -a -u priit -c firefox-bin -i
COMMAND PID USER FD TYPE DEVICE SIZE NODE NAME
firefox-b 22322 priit 51u IPv4 1870238 TCP 192.168.10.10:53360->113.184.32.83:https (ESTABLISHED)
firefox-b 22322 priit 72u IPv4 1870025 TCP 192.168.10.10:35441->74.125.43.100:www (ESTABLISHED)
firefox-b 22322 priit 73u IPv4 1870035 TCP 192.168.10.10:53903->74.125.10.213:www (ESTABLISHED)

kus

* -n - mitte teisendada ip aadresse nimedeks
* -a - järgnevad muud suvandid loogiliselt korrutada
* PID - protsessi ID

Pordile vastava protsessi küsimine

# lsof -i :514
COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME
syslogd 6628 _syslogd 4u IPv4 0xfffffe803f51d000 0t0 UDP *:syslog

Kasulikud lisamaterjalid

* http://ph7spot.com/musings/leveraging-lsof

===strace===

strace kasutusala on laiem, kuid seoses võrguga on tal samuti rakendus, nt esitada jooksvalt protsessiga seotud võrgu syscallid, 4940 on w3m brauseri protsess

# strace -e trace=network -p 4940
...
socket(PF_NETLINK, SOCK_RAW, 0) = 4
bind(4, {sa_family=AF_NETLINK, pid=0, groups=00000000}, 12) = 0
getsockname(4, {sa_family=AF_NETLINK, pid=4940, groups=00000000}, [12]) = 0
...

===Arpwatch===

Võimaldab jälgidan võrgus liikuvaid ARP teateid ning avastada ARP tabeli mürgitamisjuhtumeid

Koduleht
*http://ee.lbl.gov/
arbi mürgitamise täpselt toimimine ja selle takistamine
*http://shsc.info/ARPPoisoning
Mõned võrguhaldurile abiks skriptid
*http://blog.stardothosting.com/2009/05/01/detect-arp-poisoning-on-lan/

===Ettercap===

Ettercap http://ettercap.sourceforge.net/ tarkvara võimaldab kohtvõrgus korraldada MITM tüüpi ründeid ja seejuures kontrollida kui tundlik kohtvõrk on selliste rünnete suhtes sh kas need avastatakse. Ettercap kasutab oma tööks põhiliselt arp-mürgitamist (ingl. k. arp poisoning). Tarkvara paigaldamiseks on tavaliselt piisav paigalda operatsioonisüsteemi paketihaldusvahenditega ettercap nimeline pakett. Ettercap programmi saab käivitada kolme erineva kasutajaliidesega

* käsurealt -ettercap -T
* curses liidesega - ettercap -C
* gtk gui liidesega - ettercap -G

Kasulikud lisamaterjalid

* http://en.wikipedia.org/wiki/Ettercap_%28computing%29
* http://openmaniak.com/ettercap.php

===Scapy===

Scapy http://www.secdev.org/projects/scapy/ abil saab töötada pakettidega. Tarkvarale on tehtud Python keeles ja sellele on iseloomulik, et saab nö programmeerimise võtteid kasutades nt koostada sobiva sisuga paketi ja saata võrku; seejärel saab käsitleda sarnaselt vastuseks tulnud paketti. Scapy sisaldab mitmeid lisasid, nt saab lasta esitada graafiliselt traceroute tulemuse. Tarkvara paigaldamiseks sobib paigaldada nt Debian Squeeze all pakett python-scapy

# apt-get install python-scapy

Lisaks on vajalikud

# apt-get install tcpdump graphviz imagemagick

Interaktiivselt käivitamiseks tuleb öelda

# scapy
...
Welcome to Scapy (2.1.0)
>>> res,unans = traceroute(["www.eesti.ee", "www.eenet.ee"],dport=[80,443],maxttl=20,retry=-2)
..
>>> res.graph()

Tulemusena esitatakse sarnane pilt

[[Pilt:Scapy-1.gif]]

Scapy sisaldab mitmeid funktsioone, millega pakette moodustada, neid välja saata ning vastuseid lugeda

* ICMP paketi saatmine

>>> send(IP(dst="192.168.10.123")/ICMP())

* DNS päringu esitamine

>>> sr(IP(dst="10.192.0.53")/UDP()/DNS(rd=1,qd=DNSQR(qname="www.loomaaed.tartu.ee")))

* etteantud subnetti kuuluva juhusliku src aadressiga pakettide saatmine

>>> send(IP(src=RandIP("192.168.10.0/24"), dst="10.192.0.53")/TCP(dport=80,flags="S"), loop=1)

===Socat===

* Pordi edasisuunamine

# socat TCP-LISTEN:8888,fork TCP:192.168.1.4:80

* pordi edasisuunamine lokaalselt (mida tavaliselt tehakse paketifiltri abil)

# socat TCP-L:2323 TCP:localhost:22

* unixi soketi ühendamine interneti soketiga, kuulaku unix soketil MySQL ning peab saama hakata pöörduma MySQL poole üle võrgu arvuti mõnel ip aadressil, port 3308

# socat -v tcp-l:3308,bind=192.168.10.10,reuseaddr,fork unix:/var/run/mysqld/mysqld.sock

* remote shell (nt sellepärast võiks pigem olla serverite pordid tulemüürist vaikimisi blokeeritud), EXEC täidetakse kliendi pöördumisel

server:~$ socat TCP-LISTEN:2323,reuseaddr,fork EXEC:/bin/bash

ja vastav klient

$ socat STDIO TCP:server-loomaaed:2323
hostname -f
server.loomaaed
...

* PostgreSQL soketi suunamine üle võrgu

tookohaarvuti$ socat "UNIX-LISTEN:/tmp/.s.PGSQL.5432,reuseaddr,fork" \
EXEC:'ssh postgres@192.168.1.105 socat STDIO UNIX-CONNECT\:/var/run/postgresql/.s.PGSQL.5432'

kasutamiseks öelda, kusjuures EXEC täidetakse, st ssh ühendus käivitatakse alles psql kliendi abil pöördumisel

tookohaarvuti$ psql -h /tmp -U postgres

Faili sisu esitamiseks üle võrgu, kasutamiseks nt netcat abil pöörduda

$ socat -u FILE:/opt/suricata/var/log/suricata/eve.json,ignoreeof TCP4-LISTEN:12345,fork,reuseaddr

Kasulikud lisamaterjalid

* http://technostuff.blogspot.com/2008/10/some-useful-socat-commands.html
* http://jdimpson.livejournal.com/6534.html
* http://www.debian-administration.org/users/dkg/weblog/68

===vnstat===

Tarkvara paigaldamiseks sobib öelda nt

# apt-get install vnstat

Kasutamine paistab välja nt selline

# vnstat -l
Monitoring eth0... (press CTRL-C to stop)

rx: 0 kbit/s 1 p/s tx: 0 kbit/s 0 p/s^C

eth0 / traffic statistics

rx | tx
--------------------------------------+------------------
bytes 385.08 MiB | 990.42 MiB
--------------------------------------+------------------
max 88.19 Mbit/s | 227.04 Mbit/s
average 57.36 Mbit/s | 147.52 Mbit/s
min 0 kbit/s | 0 kbit/s
--------------------------------------+------------------
packets 4588718 | 3670125
--------------------------------------+------------------
max 128266 p/s | 102612 p/s
average 83431 p/s | 66729 p/s
min 1 p/s | 0 p/s
--------------------------------------+------------------
time 55 seconds

kus

* rx, tx - vastavalt saabumised ja väljumised
* bytes, packet - andmete mahu ja pakettide arvu järgi

===iptstate===

iptstate kasutab kerneli conntrack sistemat ja esitab võrguliikluse kohta andmeid, tarkvara paigaldamiseks

# apt-get install iptstate

Kasutamiseks peab olema laaditud nt ip_conntrack moodul

# modprobe ip_conntrack

Käivitamiseks öelda

# iptstate

ja paistab sarnane pilt

TODO

Tundub, et samad andmed on teksti kujul esitatavad selliselt

# cat /proc/net/ip_conntrack

===tcptrack===

Programm tcptrack annab top väljundi sarnase ülevaate toimuvatest tcp ühendustest. Paigaldamiseks sobib öelda

# apt-get install tcptrack

Kasutamiseks nt

# tcptrack -i eth0 -r 10 port 80

ja paistab selline pilt

TODO

===Kasulikud lisamaterjalid===

* Soovides muide teada mis ISP omandusse mingi ip kuulub tasub kasutada aadress http://www.ip-adress.com/ip_tracer/'''<IP>'''
* http://www.linuxfoundation.org/collaborate/workgroups/networking/netem
* http://tools.netsa.cert.org/silk/docs.html

OpenSSH kasutamine

2017-09-24T15:56:28Z

Imre: /* Võtmevahetuse ja krüptimise algoritmid */

===Sissejuhatus===

OpenSSH http://www.openssh.org/ tarkvara võimaldab turvalist kaugligipääsu võrku ühendatud seadmetele, nt arvutitele ja ruuteritele. OpenSSH on üks OpenBSD projekti ettevõtmistest, mis on osutunud niivõrd populaarseks, et sellest on kujunenud praktiliselt kõigi 2009 aastal kasutuses olevate vabade operatsioonisüsteemide standardne kaugligipääsu korraldamise instrument. Lisaks on OpenSSH kasutuses ka mitmete mitte-vabade lahenduste juures, nt erinevate tootjate ruuterites.

Peale üle võrgu nö teise arvuti käsureale jõudmise sisaldab OpenSSH muu hulga selliseid võimalusi

* andmete kopeerimine - sftp, scp
* turvaline transport muudele programmidele - rsync, subversion, pppd, X Window System
* portide edasisuunamine
* SOCKS server
* failisüsteemi külgeühendamine - sshfs (FUSE tehnoloogia abil)

Kõik need juhud eeldavad, et teil on kasutajatunnus ka teises masinas. SSH põhineb klient-server mudelil kusjuures ühenduse algatab alati SSH klient. Edaspidises kasutatakse väljendit SSH server, mille all mõeldakse teist masinat ning millel on SSH kliendiga suhtlemiseks sobiv tarkvara.

OpenSSH kasutamist kirjeldatakse Kuutõrvajas kahes tekstis

* käesolev tekst on mõeldud nö süsteemi tavakasutajatele oluliste ülesannete lahendamiseks OpenSSH abil
* aadressil [[:OpenSSH administreerimine]] olev tekst kirjeldab OpenSSH serveri haldamist ning keerulisemad kasutusvõimalusi

===Teise masinasse sisselogimine ja ühenduse lõpetamine===

Kirjeldame lihtsustatult, kuidas toimub SSHga teise masinasse sisselogimine.

Logimisel on kolm etappi:

Protokollide kontroll. Seansi algus ei ole krüptitud. Selle käigus teevad osapooled kindlaks, et nad kasutavad omavahel sobivaid SSH versioone.
Klient veendub serveri ehtsuses. Serveril on kaks RSA võtit: salajane ja avalik. Et klient saaks veenduda, serveri ehtsuses peab ta eelnevalt teadma serveri avalikku võtit. Teatavasti on avaliku võtme krüptograafia kõige nõrgemaks kohaks avaliku võtme edastamine selle kasutajale. Selle võib klient saada, nt disketil, serveri administraatori käest isiklikult, kuid levinum on riskantsem viis. Nimelt esmakordsel ühendusevõtmisel usaldab klient serverit. Saades serveri avaliku võtme ning kliendi so kasutaja nõusoleku, lisatakse see faili ~/.ssh/known_hosts. Kui edaspidi võetakse ühendust sama serveriga, siis on võimalik juba kasutada standardset avaliku võtme krüptograafiat:

Server genereerib ja krüptib juhusliku järgnevuse (ingl. k. challenge) oma salajase võtmega ja saadab selle kliendile.
Klient püüab saadetist lahti krüptida tema käsutuses oleva vastava avaliku võtmega.
Kui see õnnestub, on server ehtne; kui mitte, siis on server võlts või on ta vahepeal endale uud võtmed tekitanud.
Klient saadab serverile tagasi ühe võtmega krüptimise shifri nime (DES, 3DES, IDEA) ja serveri avaliku võtmega krüpteeritud sessioonivõtme. Saadetis on avatav ainult vastava salajase võtmega, mis on eeldatavasti vaid õigel serveril.
Edasine infovahetus serveri ja kliendi vahel toimub üle krüptitud kanali, kusjuures mõlemad pooled kasutavad kokkulepitud shifrit ja sessioonivõtit.

Andmevahetuse alustamist kirjeldab pilt

[[Pilt:Openssh-1.gif]]

kus

* Diffe-Hellmani võtmevahetuse protseduuri abil lepitakse kokku salajane võti

Server veendub kliendi ehtsuses. Esmalt püütakse kasutajat autentida automatiseeritud viisil. Kui see ei õnnestu, kontrollitakse kasutaja UNIXi parooli, kasutades loodud turvalist kanalit.

Praktiliselt algatab klient serveriga ühenduse käsuga ssh, näiteks

gnoom~$ ssh -l priit reptilus.zoo.tartu.ee
Host key not found from the list of known hosts.
Are you sure you want to continue connecting (yes/no)? yes
Host 'reptilus.zoo.tartu.ee' added to the list of known hosts.
Creating random seed file ~/.ssh/random_seed. This may take a while.
priit@reptilus.zoo.tartu.ee's password:
reptilus~$

Seejuures:
* tekitatakse kliendile kataloog ~/.ssh milles sisalduvad SSHle olulised failid,
* serveri avalik võti lisatakse faili ~/.ssh/known_hosts,
* tekitatakse SSH sisemisteks vajadusteks juhuslikku alget sisaldav fail ~/.ssh/random_seed,
* küsitakse kasutaja UNIXi parooli, kuna kasutaja RSA võtmetega automaatne autentimine ebaõnnestus.

Tulemusena saadi äsjases näites ette teise masina viip ja võiks hakata seal toimetama. Sarnase tulemuse oleksite võinud saada telnetiga, kuid SSH abil tekitatud ühendust krüptitakse.

Seansi lõpetamine toimub tavalisel moel välja-logimisega
reptilus~$ logout
gnoom~$

Niisiis,
SSH klient teeb SSH serveri avaliku võtme abil kindlaks SSH serveri ehtsuse ja
seejärel SSH server autendib kasutaja.

'''Märkus:''' Kujutleme olukorda, kus teil on harjumus külastada SSHga mõnda masinat ning te ühtäkki märkate sisselogimisel, et server vastab teile hoiatava veateatega, öeldes, et serveri avalik võti ei klapi, pakkudes aga teile võimalust jätkata sisselogimist. Sama toimub ka igal järgmisel korral. Sel juhul on kaks võimalust:
# Te suhtlete võltsserveriga ning ei tohiks sisselogimist jätkata. Tuleks muude vahenditega kindlaks teha, mis täpselt toimub.
# Server on õige, kuid ta kasutab uusi RSA võtmeid. Sel juhul peab kasutaja oma ~/.ssh/known_hosts failist vastava serveri avaliku võtme rea käepärase tekstiredaktori abil kustutama. Järgmisel külastusel kirjutatakse sinna faili uus serveri avalik võti.

===SSH kliendi seadistamine===

SSH klienti tööd saab juhtida kolmel moel, kusjuures esitatud nimekirja lõpupool asuvatel on kõrgem prioriteet

* /etc/ssh/ssh_config - globaalne seadistusfail
* ~/.ssh/config - kasutaja seadistusfail
* käsureal kasutatud suvandid

Seadistusfailis saab Host parameetrile järgnevate ja enne järgmist Host parameetrit asuvate direktiividega kehtestada kuidas SSH klient käitub esimese Host parameetriga klappivate arvutite SSH serveritega. Lisaks, toimib esimene direktiivi väärtustamine, st et täpsemad määratlused tuleb teha seadistusfaili alguses ning üldisemad lõpus. Näiteks selline /etc/ssh/ssh_config

Host 192.168.10.0/24
GSSAPIAuthentication yes
GSSAPIDelegateCredentials yes

Host *
ForwardX11 yes
GSSAPIAuthentication no
GSSAPIDelegateCredentials no
SendEnv LANG LC_*
HashKnownHosts yes

kehtestab, et

* Kerberose piletite kasutamine ja edasiandmine on lubatud 192.168.10.0/24 võrku kuuluvate arvutitega
* kõigi muude arvutitega suhtelemisel on Kerberose kasutamine keelatud
* Kuna LANG ja LC_* keskkonnamuutujate osas ei ole esimeses Host sektsioonis midagi öeldud, siis viimases näidatud direktiivid kehtivad kõigi SSH serverite puhul

=== Kasututaja autentimine tema RSA võtmetega ===

Teatavasti pakuvad r-korraldused suhteliselt automaatset, kuid ebaturvalist autentimist. Näitame, kuidas eelmises punktis kirjeldatud sisselogimisele ja seansi krüptimisele lisaks korraldada SSH abil automaatset kasutaja autentimist.

Autentimine toimub kasutaja enda moodustatud RSA võtmepaari abil. Rääkides seonduvalt SSHga RSA võtmetest, tuleb teha vahet, millal kõneldakse SSH serveri RSA võtmepaarist ja kunas kasutaja RSA võtmepaarist.

==== RSA võtmete moodustamine ====

Esmalt moodustab kasutaja, näiteks priit@gnoom.zoo.tartu.ee endale RSA võtmepaari käsuga ssh-keygen

$ ssh-keygen
Generating public/private rsa key pair.
Enter file in which to save the key (/home/mart/.ssh/id_rsa):
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /home/mart/.ssh/id_rsa.
Your public key has been saved in /home/mart/.ssh/id_rsa.pub.
The key fingerprint is:
41:89:34:41:90:c1:6e:27:f1:89:a9:16:09:aa:71:41 mart@moraal
The key's randomart image is:
+--[ RSA 2048]----+
|o.E+o*=o.. |
|.oo.= .o. |
|o.o. + . |
|o+ + o . |
|o . o S |
| |
| |
| |
| |
+-----------------+

kus võtme moodustamisel päritakse kasutajalt RSA salajase võtme parooli; selle peab ta sisestama iga kord enne oma salajase võtme kasutamist.

Tulemusena tekitatakse kaks võtit:

* ~/.ssh/id_rsa - kasutaja RSA salajane võti
* ~/.ssh/id_rsa.pub - kasutaja RSA avalik võti

Pange tähele, et avaliku võtme faili sees teksti lõpus on kirjas, kellele see kuulub. Salajane võti on küll parooliga kaitstud, kuid võti peaks siiski olema vaid kasutajale endale loetav.

ssh-keygen võimaldab kasutada sellised võtmeid

* -t rsa või -t dsa - kontrollib, kas moodustatakse rsa või dsa võti
* -b 4096 - võtme pikkus
* -f failinimi - millega algavad võtmetele vastavad failinimed, vaikimisi .ssh/id_rsa*

==== RSA avaliku võtme paigutamine SSH serverisse ====

Oma avaliku võtme peate te lisama külastatava (so. SSH serveri, nt reptilus.zoo.tartu.ee) masina faili ~/.ssh/authorized_keys ja salajase võtme jätma sinna, kuhu ta tekitati. Kuna ~/.ssh/authorized_keys faili sisu on kõigile loetav, pole avaliku võtme edastamisel vaja võtta tarvitusele erilisi ettevaatusabinõusid: peaasi, et võtme sisu jääks muutumatuks. Failis ~/.ssh/authorized_keys võivad sisalduda mitmed avalikud võtmed, igaüks eraldi real ning fail on ASCII kujul. Nii on võimalik külastada SSH serverit erinevatest klient-masinatest. Kõige lihtsam on teha ~/.ssh/identity.pub failist koopia ning see ftp abil SSH serverisse toimetada. Seal andke selle faili lugemis- ja kirjutamisõigus ainult endale

$ chmod 600 ~/.ssh/authorized_keys

Kui te nüüd külastate ssh'ga seda SSH serverit, siis esmalt klient autendib serveri varemkirjeldatud tavapärasel moel. Aga server autendib kliendi selliselt:
server genereerib juhusliku järgnevuse baite ja krüptib need talle teadaoleva kasutaja avaliku võtmega
klient kasutab ainult tal olemasolevat vastavat sajalast võtit ja krüptib saadetise lahti; tulemus saadetakse serverile tagasi
server võrdleb esialgset järgnevust kliendi poolt lahti krüptituga ja nende identsuse korral loeb autentimise õnnestunuks ning kasutajale antakse ette viip.

Lisaks võtmele saab iga authorized_keys faili rea alguses kasutada man sshd tekstis kirjeldatud suvandeid, nt

no-port-forwarding,no-X11-forwarding,no-agent-forwarding,no-pty,\
command="~/bin/skriptinimi.sh",from="192.168.96.138" ssh-rsa AAAAB3NzaC1y ....

kasutamise tulemusena peale kasutaja ssh võtmega sisselogimist täidetakse skript ~/bin/skriptinimi.sh.

Avaliku võtme paigutamist teisse arvutisse lihtsustab ssh-copy-id skript, nt

$ ssh-copy-id mart@ns.auul
mart@ns.auul's password:
Now try logging into the machine, with "ssh 'mart@ns.auul'", and check in:

.ssh/authorized_keys

to make sure we haven't added extra keys that you weren't expecting.

==== RSA võtmete kasutamine ====

Näide automaatsest kasutaja RSA võtmetega autentimisest

gnoom~$ ssh -l priit reptilus.zoo.tartu.ee
Enter passphrase for RSA key 'priit@gnoom.zoo.tartu.ee':
Last login: Thu Nov 11 11:16:09 1999 from mammal.zoo.tartu.ee
Copyright (c) 1980, 1983, 1986, 1988, 1990, 1991, 1993, 1994
The Regents of University of California. All rights reserved.
reptilus~$

Kuna kasutaja autentimisel läheb tarvis tema salajast võtit, siis küsitakse salajase võtme parooli; '-l kasutajanimi' on vajalik, kui kasutajal on teises masinas erinev kasutajanimi. Siiski, kui ka kasutajal on erinevad kasutajanimed erinevates 'teistes masinates', siis ei pruugi ta '-l' võtit kasutada. Selle asemel võib ta kasutajanime ja vastava teise masina nime ära näidata failis ~/.ssh/config; võib kirjeldada mitmeid SSH servereid:

Host reptilus.zoo.tartu.ee
User priidu
Host mammal.zoo.tartu.ee
User priidik

Näites autenditakse gnoomi kasutajat 'priit' masinas reptilus kasutajana 'priidu'; ja masinas mammal kasutajana 'priidik'. Niisiis, et gnoomist logida sisse mammalisse kasutajana 'priidik' piisab kirjeldatud konfiguratsioonifaili olemasolul anda käsk

gnoom~$ ssh mammal.zoo.tartu.ee

Niisiis, standardne UNIXi paroolikontroll on asendatud SSH vahenditega. Hoiatuseks märgime, et juhul, kui teine masin võimaldab vaid SSHga sisselogimist ja te olete oma authorized_keys faili seal moodustanud ning te eksite, nt. ei mäleta oma salajase võtme parooli, siis peate kuidagi eemaldama authorized_keys faili; või vähemalt sellele masinale vastava sissekande, kust te SSH serverit ebaõnnestunult külastada püüate. Loodetavasti on seda võimalik FTPga teha. Kui ei, peate paluma SSH serveri administraatorit.

==== Võtmete mälus hoidmine ====

Eelmises punktis nägime, kuidas korraldada kasutaja (enda) autentimist. Seejuures võib tunduda ebamugavana vajadus iga kord oma salajase võtme parooli sisestada. Tõsi, tehniliselt võite võtmete moodustamisel ka parooli panemata jätta (vajutades Enterit), kuid see oleks turvaline seni, kuni teie salajane võti kindlalt ainult teie valduses on. Tõsi, reeglina see nii ka on. SSH pakub võimaluse salajasi võtmeid kliendi masina mälus hoida kuigi ka see pole väga turvaline, kuid enamasti piisav praktiliseks kasutamiseks.

Selleks käivitatakse võtmete mälus hoidmise agendi abil programm, millele (ja millest käivitatud uutele programmidele) saab teha kasutaja salajase võtme kättesaadavaks. Näiteks koorik

gnoom~$ ssh-agent bash

kus uues shellis on muu hulgas kaks olulist keskkonnamuutujat kirjeldatud, nt selliste väärtustega

SSH_AGENT_PID=23280
SSH_AUTH_SOCK=/tmp/ssh-AFJwe23279/agent.23279

Kui sama kasutajana ja nende muutujate olemasolul käivitada ssh klient, siis ta automaatselt saab ligi kasutada kasutaja privaatset võtit. Seejuures on oluline, et ssh-agent ei anna võtit ennast nö küsijale välja, aga krüptib esitatud materjali ning tagastab tulemuse küsijale.

Eeldades, et te hoiate oma salajasi võtmeid failis ~/.ssh/indentity, saate nad mällu laadida korraldusega ssh-add

gnoom~$ ssh-add
Need passphrase for /home/priit/.ssh/identity (priit@gnoom.zoo.tartu.ee)
Enter passphrase:
Identity added: /home/priit/.ssh/identity (priit@gnoom.zoo.tartu.ee)

Nüüd saavad kõik uuest koorikust järgnevalt käivitatud programmid, näiteks ssh ja cvs, vajadusel kasutada mällu laaditud SSH RSA sajalasi võtmeid.

Mälus olevate salajaste võtmete vaatamiseks on korraldus

gnoom~$ ssh-add -l

Salajaste võtmete mälust eemaldamiseks on korraldus

gnoom~$ ssh-add -D

====Agent forwarding====

Kui ssh-agent kasutamisel tavaliselt saab teisse arvutisse siis ja sellega lõpeb, siis agent forwarding kasutamisel tekitatakse peale teisse arvutisse sinna /tmp kataloogi vastav unix soket ning teisest arvutist saab edasi logida kusjuures kasutatakse esimese arvuti ssh-agent'i teenuseid. ssh agent forwarding on tavaliselt vaikimisi välja lülitatud, kävitamiseks tuleb kasutad ssh kliendi juures nt -A võtit (ka serveri poolel peab olema AllowAgentForwarding sisse lülitatud, vaikimisi tavaliselt on)

gnoom~$ ssh -A mart@teine.arvuti

Seejuures tuleb arvestada nn ssh agendi kaaperdamise võimalusega, http://www.unixwiz.net/techtips/ssh-agent-forwarding.html#sec. St kui teises arvutis saab pahatahtlik kasutaja (nt root) ligi /tmp kataloogi tehtud soketile, siis on tal võimalus igale poole sisse logida teie nimel kuhu te oma võtmega saaks (eeldusel, et teisest arvutist on võrguühenduse mõttes ligipääs olemas).

====Mitme ssh võtmekomplekti kasutamine====

Kui mingil põhjusel kasutaja ei usalda ühte ja sama ssh avalikku võtit kasutada mitmes muus arvutis, siis saab ta kasutada ka erinevaid võtmekomplekte. Täiendava võtmepaari genereerimiseks sobib öelda nt

$ ssh-keygen -b 4096 -t rsa -f .ssh/loomaaed

mille tulemusena tekitatakse kaks faili

.ssh/loomaaed
.ssh/loomaaed.pub

Alternatiivse võtme kasutamiseks tuleb avalik osa loomaaed.pub kopeerida teisse arvutisse ning privaatset osa kasutada nt selliselt

$ ssh loomaaed.tartu.ee -i .ssh/loomaaed

=== Korralduste täitmine teises masinas ===

SSH võimaldab lasta korraldusi täita teises masinas, kasutades järgmist süntaksit
ssh -l kasutaja2 teise.masina.nimi käsk käsu-võtmed

kasutaja2 on kasutajanimi teises masinas, kelle õigustes seal tegutsetakse.

Sõltuvalt korralduse iseloomust võib väljund esituda ekraanil. Korralduse täitmisele eelneb varemkirjeldatud autentimine.

Anname näiteks teises masinas korralduse 'hostname -f'

gnoom~$ ssh -l kasutaja2 reptilus.zoo.tartu.ee hostname -f
reptilus.zoo.tartu.ee
gnoom~$

või korralduse 'w'
gnoom~$ ssh kasutaja2@reptilus.zoo.tartu.ee w
12:10PM up 9 days, 21:18, 8 users, load averages: 0.02, 0.03, 0.00
USER TTY FROM LOGIN@ IDLE WHAT
mart tty2 mammal 11:09AM 0:05 bash
gnoom~$

Paralleelselt on lubatud kasutada ka konstruktsiooni kasutajanimi@masina.nimi.

Mõned programmid, nagu näiteks mc eeldavad, et neile eraldatakse kauges masinas terminal, seda peab näitama võtmega -t
gnoom~$ ssh -t kasutaja2@reptilus.zoo.tartu.ee mc

===Andmete kopeerimine===

SSH võimaldab mitmel viisil andmed arvutite vahel kopeerida

* scp
* sftp
* kasutada ssh stdio võimalusi

====SCP====

masinate vahel käsuga scp faile kopeerida järgmise süntaksi kohaselt
scp võti kasutaja1@masin1.nimi:/kataloog1/failinimi1 kasutaja2@masin2.nimi:./kataloog2/failinimi2

Mõlemad argumendid koosnevad kahest osast, mida eraldab koolon (:)
* masina nimi
* failinimi

Kui failinimi algab punktiga (.), siis näitab see faili asukohta vastava masina kasutaja kodukataloogi suhtes; muidu on tegu absoluutse nimega.

Esimeseks argumendiks on kopeeritava faili nimi ja teiseks nimi, millega ta teises masinas salvestatakse.

Programm scp näitab kopeerimise ajal progressi. Kasutades võtit -A seda ei tehta.

Korralduse täitmisele eelneb eelkirjeldatud autentimine, kusjuures kehtivad võimalused võtmeid mälus hoida. Näiteks kopeerib kasutaja priit faili priidupilt.jpg teisest masinast kohalikku
gnoom~$ scp priidu@reptilus.zoo.tartu.ee:./public_html/priidupilt.jpg priidupilt.jpg
priidupilt.jpg | 6600 KB | 179.7 kB/s | ETA: 00:03:00 | 83%

Võimalik on kopeerida faile ka nö teise ja kolmanda masina vahel, see tähendab, et ei see, kust fail võetakse ega see, kuhu ta pannakse, pole masin, mille viip teil ees on
gnoom~$ scp priidu@reptilus.zoo.tartu.ee:./pilt.jpg priidik@mammal.zoo.tartu.ee:./pildid/pingu.jpg

====SSH STDIO kasutamine====

Failide kopeerimisel saab kasutada ka IOga manipuleerimist, näiteks kasutaja arhiveerib kataloogi ~/public_html sisu, pakib andmed ning saadab SSH abil üle võrgu teise masinasse; seal sisenetakse kodukataloogi ning harutatakse arhiiv lahti

$ tar cf - ~/public_html | gzip | ssh reptilus.zoo.tartu.ee 'cd ~ && cat - > priidu.koduleht.tgz'

====SFTP====

Iseenesest on SFTP on SSH eraldiseisev protokoll, kuid praktiliselt on suure tõenäosusega kõige populaarsem SFTP protokolli kasutamine just SSH nn alamsüsteemina (ingl. k. subsystem).

Serveri poolel peab olema SFTP alamsüsteem seadistatud, nt

Subsystem sftp /usr/lib/openssh/sftp-server

Enamasti on see juba kasutaja eest paika pandud

ja kliendi poolt kasutamiseks sobib öelda

$ sftp arvutinimi
sftp>

SFTP erinevusteks võrreldes scp'ga on

* muuta teise arvuti failide metaandmeid, nt omanikke ja loabitte
* peatada ja jätkata kopeerimist
* põhimõtteliselt töötab andmevahetus pisut aeglasemalt

Lisaks nö käsureakliendile on mitmeid graafilise SFTP kliente, Windows operatsioonisüsteemile WinSCP nint Linuxile nt Filezilla

[[Pilt:Filezilla-1.gif]]

=== Oma RSA salajase võtme parooli muutmine ===

Oma salajase võtme parooli muutmiseks kasutage käsku ssh-keygen võtmega -p
gnoom~$ ssh-keygen -p
Enter file key is in (/home/priit/.ssh/identity):
Enter old passphrase:
Key has comment 'priit@gnoom.zoo.tartu.ee'
Enter new passphrase:
Enter the same passphrase again:
Your identification has been saved with the new passphrase.

Parooli muutmiseks on vaja vana parooli teada. Kui see on unustatud, tuleb genereerida uus RSA võtmepaar ning seda kasutama asuda.

=== Pordi edasisuunamine ===

Mitmetel põhjustel, näiteks turvalisus või kasutusmugavus võib olla abiks selle asemel, et pöörduda otse teenuse poole üle interneti aadress:port, pöörduda aadressile localhost:port.

Eemal asuva serveri pordi suunamine kohaliku masina localhost porti toimub käsuga

bash$ ssh priit@gnoom.zoo.tartu.ee -L 6565:localhost:5432

Selle tulemusena saab pöörduda localhost:6565 poole ning kasutada eemal asuva masina pordil localhost:5432 olevat teenust. Näiteks võiks sellest olla kasu kui gnoom.zoo.tartu.ee asub otse avalikus võrgus, aga seal töötav PostgreSQL andmebaas kuulab localhostil ning soovite andmebaasi kasutada kohalikus masinas töötava PgAdmin klientprogrammiga.

Kohaliku masin pordi 192.168.1.3:3306 suunamine eemal asuva arvuti gnoom.zoo.tartu.ee porti localhost:6565 toimub käsuga

bash$ ssh priit@gnoom.zoo.tartu.ee -R 6565:192.168.1.3:3306

Selle tulemusena saab eemal oleva masina kasutaja pöörduda enda arvuti localhost:6565 poole ning kasutaja teie kohaliku arvuti pordil 192.168.1.3:3306 töötavat teenust. Näiteks võiks sellest kasu olla kui teie töökohaarvutil ei ole avalikku ip aadressi ning te soovite kellelegi tutvustada mõnda oma arvutis töötavat programmi. Kusjuures 192.168.1.3 arvuti võib olla ka nö kolmas arvuti, st mitte see kus ssh programm käivitatakse. Nii saab kahe arvuti, millel otseselt ei ole üksteisele ligipääsu, vahel tekitada tcp ühenduse kolmanda arvuti (kus töötab ssh klient) abil.

NB! Tundub, et selline suunamine ei tööta kui ssh kliendi käivitamisel minnakse käsitsi üle hoiatustest, tõtt-öelda viimasel real nii öeldakse ka

Port forwarding is disabled to avoid man-in-the-middle attacks.

# ssh root@10.0.13.173 -R 1521:10.0.23.66:1521
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@ WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that a host key has just been changed.
The fingerprint for the ECDSA key sent by the remote host is
41:9f:3f:2d:1b:c4:14:be:35:67:53:9d:59:cf:4c:06 [MD5].
Please contact your system administrator.
Add correct host key in /root/.ssh/known_hosts to get rid of this message.
Offending ECDSA key in /root/.ssh/known_hosts:730
Password authentication is disabled to avoid man-in-the-middle attacks.
Keyboard-interactive authentication is disabled to avoid man-in-the-middle attacks.
Port forwarding is disabled to avoid man-in-the-middle attacks.
Uuemad SSH versioonid võimaldavad lisaks localhostile seostada nii suunatud porte ka muude võrguliidestega.

Kuna portide suunamisel -L võtme kasutamisel hakkab ssh kuulama täiendavalt kohalik masina sellel pordil ning -R võtme kasutamisel hakkab kuulama täiendavalt kauge arvuti näidatud pordil, siis tuleb arvestada, et privilegeerimata kasutaja ei saa kasutada alla 1024 porte; -L puhul saab sarnase teate

$ ssh mart@loomaaed.tartu.ee -L 222:localhost:22
Privileged ports can only be forwarded by root.

===Sessioonide multipleksimine===

Kui ühel või teisel põhjusel on tarvis kasutada üle ühe tcp ühenduse (ingl. k. tcp connection) mitut ssh sessiooni, st mitu korda ühest ja samast ühest arvutist ühte ja samasse teise arvutisse pöörduda, siis sobib seda teha nn ssh ControlMaster abil. Esmalt moodustatakse ControlMaster ühendus, mille käigus tekitatakse soket failisüsteemi

ns:~$ ssh -Mt -S /tmp/ssh.imre.fs imre@fs.loomaaed.tartu.ee
fs:~$

Ning seejärel saab ssh ühendusi tekitada sarnaselt, nagu näha toimub järgmise ühenduse moodustamine oluliselt väiksema vaevaga

ns:~$ ssh -S /tmp/ssh.imre.fs imre@fs.loomaaed.tartu.ee -v
OpenSSH_5.5p1 Debian-6, OpenSSL 0.9.8o 01 Jun 2010
debug1: Reading configuration data /etc/ssh/ssh_config
debug1: Applying options for *
debug1: mux_client_request_session: master session id: 3
Last login: Mon Aug 22 20:34:14 2011 from moraal.auul
fs:~$

Sellisele asjakorraldusele on iseloomulik

* järgmiste ühenduste tekitamine toimub kiiremini
* võrgus on üks tcp ühendus
* server poolel töötab vaid ühs sshd protsess

fs:~$ ps aux | grep 'sshd:'
imre 19383 0.0 0.3 8264 2744 ? Ss 20:33 0:00 sshd: imre@pts/0,pts/1,pts/2

===X rakenduste kasutamine üle võrgu===

Teatavasti on Xi akende so programmide üle võrgu vedamine ebaturvaline, lisaks ka ebamugav, kuna peab paika sättima DISPLAY keskkonnamuutujat või näitama selle ära käsureal, näiteks
gnoom~$ gimp -display reptilus.zoo.tartu.ee:0

Peale selle on vaja Xserveris ära näidata käsuga xhost, milline kasutaja ja millisest masinast võib seal aknaid avada.

SSH teeb asja turvalisemaks ja lihtsamaks. Näiteks käivitame teise masina programmi xterm nii, et programm avaneb kohalikus Xserveris aknana:
retpilus~$ ssh gnoom.zoo.tartu.ee /usr/X11R6/bin/xterm

Ning kui avanenud xterm'ist käivitada järgnevalt programme, toimub andmete liikumine samuti üle üle SSH kanali ning aknad avatakse selles Xserveris, kus see xtermi aken asub.

===ssh serveri kasutamine läbi https proksi===

ProxyTunnel http://proxytunnel.sourceforge.net/ tarkvara abil saab ssh kliendiga pöörduda ssh serveri poole läbi https proksi. See võib olla vajalik nt juhtumil kui klient asub võrgus, millest ei saa pöörduda välja muul viisil kui https proksi kaudu. Seejuures võib proksi küsida ka kasutajalt parooli. Kasutamiseks tuleb operatsioonisüsteemi vahenditega paigaldada pakett proxytunnel ning seejärel lisada ssh kliendi seadistusfaili

$ cat .ssh/config
...
Host ssh-tla
ServerAliveInterval 30
ProxyCommand /usr/bin/proxytunnel -p cache.teenusepakkuja.ee:3128 -d ssh.loomaaed.tartu.ee:443

kus

* -p - teenusepakkuja host:port
* -d - ssh serveri host:port

Kasutamiseks tuleb pöörduda ssh serveri poole kasutades config failis kasutatud Host väärtust

$ ssh priit@ssh-tla
Via cache.teenusepakkuja.ee:3128 -> ssh.loomaaed.tartu.ee:443
Linux ssh 2.6.32-5-amd64 #1 SMP Mon Jan 16 16:22:28 UTC 2012 x86_64
...
priit@rakendus:~$

Sellisele asjakorraldusele on iseloomulik, et ssh serveri poole peab saama pöörduda 443/tcp pordi kaudu, vastasel korral ei pruugi proksi ühendust moodustada. Lisaks, erinevalt nt httptunnel tarkvarast, millega saab sammuti kasutada http proksit tcp ühenduste pidamiseks, on ProxyTunnel puhul tarvis ainult nö kliendi poolel teha täiendavaid pingutusi.

Proks logis vastab ühele ssh ühendusele üks rida, nt

1331413631.677 180240 10.5.5.5 TCP_MISS/200 3570489 CONNECT ssh.loomaaed.tartu.ee:443 - DIRECT/10.47.218.19 -

kus

* 10.5.5.5 - kliendi ip
* ssh.loomaaed.tartu.ee - nö veebiserveri st ssh serveri domeeninimi kuhu pöörduti
* 10.47.218.19 - nö veebiserveri st ssh serveri ip kuhu pöörduti
* ProxyTunnel kasutab oma tööks http proxy CONNECT meetodit

===Märkused===

* man ssh_config suvandeid saab kasutada käsurealt -o võtme abil, nt

$ ssh -o UserKnownHostsFile=/tmp/known_hosts root@10.0.6.227

salvestab hosti avaliku võtme ~/.ssh/known_hosts asemel faili /tmp/known_hosts, et ühekordse sisselogimise vajaduse pärast mitte risustada kasutaja known_hosts faili.

* Kui võrk ssh kliendi ja serveri vahel nö tapab idle olekus ssh ühendusi, maksab kasutada kliendi /etc/ssh/ssh_config failis parameetrit

ServerAliveInterval 30

=== Võtmevahetuse ja krüptimise algoritmid ===

Paistab, et 2017 aastal kasutatakse vaikimisi igasugustes linux distributsioonides ssh kliendi ja serveri vahel

* võtmevahetuse algoritm (KexAlgorithms) - curve25519-sha256
* host key algorithm (HostKeyAlgorithms) - ecdsa-sha2-nistp256
* sümmeetrilise krüptimise algoritm (Ciphers) - chacha20-poly1305@openssh.com
* sümmeetrilise krüptimise juures kasutatav räsimise algoritm (MACs) - <implicit> peaks tähendama, et see tuleneb chacha20-poly1305@openssh.com algoritmist

Vaikimisi

<pre>
$ ssh imre@192.168.10.123 -v
...
debug1: kex: algorithm: curve25519-sha256@libssh.org
debug1: kex: host key algorithm: ecdsa-sha2-nistp256
debug1: kex: server->client cipher: chacha20-poly1305@openssh.com MAC: <implicit> compression: none
debug1: kex: client->server cipher: chacha20-poly1305@openssh.com MAC: <implicit> compression: none
</pre>

Konkreetsete algoritmide kasutamist saab täpsustada nt selliselt (lisaks on sisse lülitatud pakkimine)

<pre>
$ ssh -C imre@192.168.10.123 -v -o Ciphers=aes128-ctr -o KexAlgorithms=diffie-hellman-group-exchange-sha256 -o MACs=hmac-sha2-512
...
debug1: kex: algorithm: diffie-hellman-group-exchange-sha256
debug1: kex: host key algorithm: ecdsa-sha2-nistp256
debug1: kex: server->client cipher: aes128-ctr MAC: hmac-sha2-512 compression: zlib@openssh.com
debug1: kex: client->server cipher: aes128-ctr MAC: hmac-sha2-512 compression: zlib@openssh.com
</pre>

Tundub, et nende kolme parameetri suvalisi väärtusi ei saa omavahel kombineerida. Võimalike väärtuste nimekirja saab esitada

* võtmevahetus

<pre>
$ ssh -Q kex
diffie-hellman-group1-sha1
diffie-hellman-group14-sha1
diffie-hellman-group-exchange-sha1
diffie-hellman-group-exchange-sha256
ecdh-sha2-nistp256
ecdh-sha2-nistp384
ecdh-sha2-nistp521
curve25519-sha256@libssh.org
</pre>

* sümmeetriline krüptimine

<pre>
$ ssh -Q cipher
3des-cbc
blowfish-cbc
cast128-cbc
arcfour
arcfour128
arcfour256
aes128-cbc
aes192-cbc
aes256-cbc
rijndael-cbc@lysator.liu.se
aes128-ctr
aes192-ctr
aes256-ctr
aes128-gcm@openssh.com
aes256-gcm@openssh.com
chacha20-poly1305@openssh.com
</pre>

* sümmeetrilise krüptimise juures kasutatav räsimine

<pre>
$ ssh -Q mac
hmac-sha1
hmac-sha1-96
hmac-sha2-256
hmac-sha2-512
hmac-md5
hmac-md5-96
hmac-ripemd160
hmac-ripemd160@openssh.com
umac-64@openssh.com
umac-128@openssh.com
hmac-sha1-etm@openssh.com
hmac-sha1-96-etm@openssh.com
hmac-sha2-256-etm@openssh.com
hmac-sha2-512-etm@openssh.com
hmac-md5-etm@openssh.com
hmac-md5-96-etm@openssh.com
hmac-ripemd160-etm@openssh.com
umac-64-etm@openssh.com
umac-128-etm@openssh.com
</pre>

* digital signature scheme

<pre>
$ ssh -Q key
ssh-ed25519
ssh-ed25519-cert-v01@openssh.com
ssh-rsa
ssh-dss
ecdsa-sha2-nistp256
ecdsa-sha2-nistp384
ecdsa-sha2-nistp521
ssh-rsa-cert-v01@openssh.com
ssh-dss-cert-v01@openssh.com
ecdsa-sha2-nistp256-cert-v01@openssh.com
ecdsa-sha2-nistp384-cert-v01@openssh.com
ecdsa-sha2-nistp521-cert-v01@openssh.com
</pre>

=== Kasulikud lisamaterjalid ===

* [[Fetchmail]]
* SSH üle PPP kanali
* [[PGP]]
* [[:SSH kasutajate chrootimine libpam-chroot mooduli abil Debian Lennyga]]
* [[:WinSCP kasutamine]]
* [[:Openssh chroot]] Kasutaja chrootimine openssh patchi kasutades kodukataloogi
* [[:OpenSSH_administreerimine]]
* http://www.snailbook.com/index.html

OpenSSH kasutamine

2017-09-24T15:55:38Z

Imre: /* Võtmevahetuse ja krüptimise algoritmid */

===Sissejuhatus===

OpenSSH http://www.openssh.org/ tarkvara võimaldab turvalist kaugligipääsu võrku ühendatud seadmetele, nt arvutitele ja ruuteritele. OpenSSH on üks OpenBSD projekti ettevõtmistest, mis on osutunud niivõrd populaarseks, et sellest on kujunenud praktiliselt kõigi 2009 aastal kasutuses olevate vabade operatsioonisüsteemide standardne kaugligipääsu korraldamise instrument. Lisaks on OpenSSH kasutuses ka mitmete mitte-vabade lahenduste juures, nt erinevate tootjate ruuterites.

Peale üle võrgu nö teise arvuti käsureale jõudmise sisaldab OpenSSH muu hulga selliseid võimalusi

* andmete kopeerimine - sftp, scp
* turvaline transport muudele programmidele - rsync, subversion, pppd, X Window System
* portide edasisuunamine
* SOCKS server
* failisüsteemi külgeühendamine - sshfs (FUSE tehnoloogia abil)

Kõik need juhud eeldavad, et teil on kasutajatunnus ka teises masinas. SSH põhineb klient-server mudelil kusjuures ühenduse algatab alati SSH klient. Edaspidises kasutatakse väljendit SSH server, mille all mõeldakse teist masinat ning millel on SSH kliendiga suhtlemiseks sobiv tarkvara.

OpenSSH kasutamist kirjeldatakse Kuutõrvajas kahes tekstis

* käesolev tekst on mõeldud nö süsteemi tavakasutajatele oluliste ülesannete lahendamiseks OpenSSH abil
* aadressil [[:OpenSSH administreerimine]] olev tekst kirjeldab OpenSSH serveri haldamist ning keerulisemad kasutusvõimalusi

===Teise masinasse sisselogimine ja ühenduse lõpetamine===

Kirjeldame lihtsustatult, kuidas toimub SSHga teise masinasse sisselogimine.

Logimisel on kolm etappi:

Protokollide kontroll. Seansi algus ei ole krüptitud. Selle käigus teevad osapooled kindlaks, et nad kasutavad omavahel sobivaid SSH versioone.
Klient veendub serveri ehtsuses. Serveril on kaks RSA võtit: salajane ja avalik. Et klient saaks veenduda, serveri ehtsuses peab ta eelnevalt teadma serveri avalikku võtit. Teatavasti on avaliku võtme krüptograafia kõige nõrgemaks kohaks avaliku võtme edastamine selle kasutajale. Selle võib klient saada, nt disketil, serveri administraatori käest isiklikult, kuid levinum on riskantsem viis. Nimelt esmakordsel ühendusevõtmisel usaldab klient serverit. Saades serveri avaliku võtme ning kliendi so kasutaja nõusoleku, lisatakse see faili ~/.ssh/known_hosts. Kui edaspidi võetakse ühendust sama serveriga, siis on võimalik juba kasutada standardset avaliku võtme krüptograafiat:

Server genereerib ja krüptib juhusliku järgnevuse (ingl. k. challenge) oma salajase võtmega ja saadab selle kliendile.
Klient püüab saadetist lahti krüptida tema käsutuses oleva vastava avaliku võtmega.
Kui see õnnestub, on server ehtne; kui mitte, siis on server võlts või on ta vahepeal endale uud võtmed tekitanud.
Klient saadab serverile tagasi ühe võtmega krüptimise shifri nime (DES, 3DES, IDEA) ja serveri avaliku võtmega krüpteeritud sessioonivõtme. Saadetis on avatav ainult vastava salajase võtmega, mis on eeldatavasti vaid õigel serveril.
Edasine infovahetus serveri ja kliendi vahel toimub üle krüptitud kanali, kusjuures mõlemad pooled kasutavad kokkulepitud shifrit ja sessioonivõtit.

Andmevahetuse alustamist kirjeldab pilt

[[Pilt:Openssh-1.gif]]

kus

* Diffe-Hellmani võtmevahetuse protseduuri abil lepitakse kokku salajane võti

Server veendub kliendi ehtsuses. Esmalt püütakse kasutajat autentida automatiseeritud viisil. Kui see ei õnnestu, kontrollitakse kasutaja UNIXi parooli, kasutades loodud turvalist kanalit.

Praktiliselt algatab klient serveriga ühenduse käsuga ssh, näiteks

gnoom~$ ssh -l priit reptilus.zoo.tartu.ee
Host key not found from the list of known hosts.
Are you sure you want to continue connecting (yes/no)? yes
Host 'reptilus.zoo.tartu.ee' added to the list of known hosts.
Creating random seed file ~/.ssh/random_seed. This may take a while.
priit@reptilus.zoo.tartu.ee's password:
reptilus~$

Seejuures:
* tekitatakse kliendile kataloog ~/.ssh milles sisalduvad SSHle olulised failid,
* serveri avalik võti lisatakse faili ~/.ssh/known_hosts,
* tekitatakse SSH sisemisteks vajadusteks juhuslikku alget sisaldav fail ~/.ssh/random_seed,
* küsitakse kasutaja UNIXi parooli, kuna kasutaja RSA võtmetega automaatne autentimine ebaõnnestus.

Tulemusena saadi äsjases näites ette teise masina viip ja võiks hakata seal toimetama. Sarnase tulemuse oleksite võinud saada telnetiga, kuid SSH abil tekitatud ühendust krüptitakse.

Seansi lõpetamine toimub tavalisel moel välja-logimisega
reptilus~$ logout
gnoom~$

Niisiis,
SSH klient teeb SSH serveri avaliku võtme abil kindlaks SSH serveri ehtsuse ja
seejärel SSH server autendib kasutaja.

'''Märkus:''' Kujutleme olukorda, kus teil on harjumus külastada SSHga mõnda masinat ning te ühtäkki märkate sisselogimisel, et server vastab teile hoiatava veateatega, öeldes, et serveri avalik võti ei klapi, pakkudes aga teile võimalust jätkata sisselogimist. Sama toimub ka igal järgmisel korral. Sel juhul on kaks võimalust:
# Te suhtlete võltsserveriga ning ei tohiks sisselogimist jätkata. Tuleks muude vahenditega kindlaks teha, mis täpselt toimub.
# Server on õige, kuid ta kasutab uusi RSA võtmeid. Sel juhul peab kasutaja oma ~/.ssh/known_hosts failist vastava serveri avaliku võtme rea käepärase tekstiredaktori abil kustutama. Järgmisel külastusel kirjutatakse sinna faili uus serveri avalik võti.

===SSH kliendi seadistamine===

SSH klienti tööd saab juhtida kolmel moel, kusjuures esitatud nimekirja lõpupool asuvatel on kõrgem prioriteet

* /etc/ssh/ssh_config - globaalne seadistusfail
* ~/.ssh/config - kasutaja seadistusfail
* käsureal kasutatud suvandid

Seadistusfailis saab Host parameetrile järgnevate ja enne järgmist Host parameetrit asuvate direktiividega kehtestada kuidas SSH klient käitub esimese Host parameetriga klappivate arvutite SSH serveritega. Lisaks, toimib esimene direktiivi väärtustamine, st et täpsemad määratlused tuleb teha seadistusfaili alguses ning üldisemad lõpus. Näiteks selline /etc/ssh/ssh_config

Host 192.168.10.0/24
GSSAPIAuthentication yes
GSSAPIDelegateCredentials yes

Host *
ForwardX11 yes
GSSAPIAuthentication no
GSSAPIDelegateCredentials no
SendEnv LANG LC_*
HashKnownHosts yes

kehtestab, et

* Kerberose piletite kasutamine ja edasiandmine on lubatud 192.168.10.0/24 võrku kuuluvate arvutitega
* kõigi muude arvutitega suhtelemisel on Kerberose kasutamine keelatud
* Kuna LANG ja LC_* keskkonnamuutujate osas ei ole esimeses Host sektsioonis midagi öeldud, siis viimases näidatud direktiivid kehtivad kõigi SSH serverite puhul

=== Kasututaja autentimine tema RSA võtmetega ===

Teatavasti pakuvad r-korraldused suhteliselt automaatset, kuid ebaturvalist autentimist. Näitame, kuidas eelmises punktis kirjeldatud sisselogimisele ja seansi krüptimisele lisaks korraldada SSH abil automaatset kasutaja autentimist.

Autentimine toimub kasutaja enda moodustatud RSA võtmepaari abil. Rääkides seonduvalt SSHga RSA võtmetest, tuleb teha vahet, millal kõneldakse SSH serveri RSA võtmepaarist ja kunas kasutaja RSA võtmepaarist.

==== RSA võtmete moodustamine ====

Esmalt moodustab kasutaja, näiteks priit@gnoom.zoo.tartu.ee endale RSA võtmepaari käsuga ssh-keygen

$ ssh-keygen
Generating public/private rsa key pair.
Enter file in which to save the key (/home/mart/.ssh/id_rsa):
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /home/mart/.ssh/id_rsa.
Your public key has been saved in /home/mart/.ssh/id_rsa.pub.
The key fingerprint is:
41:89:34:41:90:c1:6e:27:f1:89:a9:16:09:aa:71:41 mart@moraal
The key's randomart image is:
+--[ RSA 2048]----+
|o.E+o*=o.. |
|.oo.= .o. |
|o.o. + . |
|o+ + o . |
|o . o S |
| |
| |
| |
| |
+-----------------+

kus võtme moodustamisel päritakse kasutajalt RSA salajase võtme parooli; selle peab ta sisestama iga kord enne oma salajase võtme kasutamist.

Tulemusena tekitatakse kaks võtit:

* ~/.ssh/id_rsa - kasutaja RSA salajane võti
* ~/.ssh/id_rsa.pub - kasutaja RSA avalik võti

Pange tähele, et avaliku võtme faili sees teksti lõpus on kirjas, kellele see kuulub. Salajane võti on küll parooliga kaitstud, kuid võti peaks siiski olema vaid kasutajale endale loetav.

ssh-keygen võimaldab kasutada sellised võtmeid

* -t rsa või -t dsa - kontrollib, kas moodustatakse rsa või dsa võti
* -b 4096 - võtme pikkus
* -f failinimi - millega algavad võtmetele vastavad failinimed, vaikimisi .ssh/id_rsa*

==== RSA avaliku võtme paigutamine SSH serverisse ====

Oma avaliku võtme peate te lisama külastatava (so. SSH serveri, nt reptilus.zoo.tartu.ee) masina faili ~/.ssh/authorized_keys ja salajase võtme jätma sinna, kuhu ta tekitati. Kuna ~/.ssh/authorized_keys faili sisu on kõigile loetav, pole avaliku võtme edastamisel vaja võtta tarvitusele erilisi ettevaatusabinõusid: peaasi, et võtme sisu jääks muutumatuks. Failis ~/.ssh/authorized_keys võivad sisalduda mitmed avalikud võtmed, igaüks eraldi real ning fail on ASCII kujul. Nii on võimalik külastada SSH serverit erinevatest klient-masinatest. Kõige lihtsam on teha ~/.ssh/identity.pub failist koopia ning see ftp abil SSH serverisse toimetada. Seal andke selle faili lugemis- ja kirjutamisõigus ainult endale

$ chmod 600 ~/.ssh/authorized_keys

Kui te nüüd külastate ssh'ga seda SSH serverit, siis esmalt klient autendib serveri varemkirjeldatud tavapärasel moel. Aga server autendib kliendi selliselt:
server genereerib juhusliku järgnevuse baite ja krüptib need talle teadaoleva kasutaja avaliku võtmega
klient kasutab ainult tal olemasolevat vastavat sajalast võtit ja krüptib saadetise lahti; tulemus saadetakse serverile tagasi
server võrdleb esialgset järgnevust kliendi poolt lahti krüptituga ja nende identsuse korral loeb autentimise õnnestunuks ning kasutajale antakse ette viip.

Lisaks võtmele saab iga authorized_keys faili rea alguses kasutada man sshd tekstis kirjeldatud suvandeid, nt

no-port-forwarding,no-X11-forwarding,no-agent-forwarding,no-pty,\
command="~/bin/skriptinimi.sh",from="192.168.96.138" ssh-rsa AAAAB3NzaC1y ....

kasutamise tulemusena peale kasutaja ssh võtmega sisselogimist täidetakse skript ~/bin/skriptinimi.sh.

Avaliku võtme paigutamist teisse arvutisse lihtsustab ssh-copy-id skript, nt

$ ssh-copy-id mart@ns.auul
mart@ns.auul's password:
Now try logging into the machine, with "ssh 'mart@ns.auul'", and check in:

.ssh/authorized_keys

to make sure we haven't added extra keys that you weren't expecting.

==== RSA võtmete kasutamine ====

Näide automaatsest kasutaja RSA võtmetega autentimisest

gnoom~$ ssh -l priit reptilus.zoo.tartu.ee
Enter passphrase for RSA key 'priit@gnoom.zoo.tartu.ee':
Last login: Thu Nov 11 11:16:09 1999 from mammal.zoo.tartu.ee
Copyright (c) 1980, 1983, 1986, 1988, 1990, 1991, 1993, 1994
The Regents of University of California. All rights reserved.
reptilus~$

Kuna kasutaja autentimisel läheb tarvis tema salajast võtit, siis küsitakse salajase võtme parooli; '-l kasutajanimi' on vajalik, kui kasutajal on teises masinas erinev kasutajanimi. Siiski, kui ka kasutajal on erinevad kasutajanimed erinevates 'teistes masinates', siis ei pruugi ta '-l' võtit kasutada. Selle asemel võib ta kasutajanime ja vastava teise masina nime ära näidata failis ~/.ssh/config; võib kirjeldada mitmeid SSH servereid:

Host reptilus.zoo.tartu.ee
User priidu
Host mammal.zoo.tartu.ee
User priidik

Näites autenditakse gnoomi kasutajat 'priit' masinas reptilus kasutajana 'priidu'; ja masinas mammal kasutajana 'priidik'. Niisiis, et gnoomist logida sisse mammalisse kasutajana 'priidik' piisab kirjeldatud konfiguratsioonifaili olemasolul anda käsk

gnoom~$ ssh mammal.zoo.tartu.ee

Niisiis, standardne UNIXi paroolikontroll on asendatud SSH vahenditega. Hoiatuseks märgime, et juhul, kui teine masin võimaldab vaid SSHga sisselogimist ja te olete oma authorized_keys faili seal moodustanud ning te eksite, nt. ei mäleta oma salajase võtme parooli, siis peate kuidagi eemaldama authorized_keys faili; või vähemalt sellele masinale vastava sissekande, kust te SSH serverit ebaõnnestunult külastada püüate. Loodetavasti on seda võimalik FTPga teha. Kui ei, peate paluma SSH serveri administraatorit.

==== Võtmete mälus hoidmine ====

Eelmises punktis nägime, kuidas korraldada kasutaja (enda) autentimist. Seejuures võib tunduda ebamugavana vajadus iga kord oma salajase võtme parooli sisestada. Tõsi, tehniliselt võite võtmete moodustamisel ka parooli panemata jätta (vajutades Enterit), kuid see oleks turvaline seni, kuni teie salajane võti kindlalt ainult teie valduses on. Tõsi, reeglina see nii ka on. SSH pakub võimaluse salajasi võtmeid kliendi masina mälus hoida kuigi ka see pole väga turvaline, kuid enamasti piisav praktiliseks kasutamiseks.

Selleks käivitatakse võtmete mälus hoidmise agendi abil programm, millele (ja millest käivitatud uutele programmidele) saab teha kasutaja salajase võtme kättesaadavaks. Näiteks koorik

gnoom~$ ssh-agent bash

kus uues shellis on muu hulgas kaks olulist keskkonnamuutujat kirjeldatud, nt selliste väärtustega

SSH_AGENT_PID=23280
SSH_AUTH_SOCK=/tmp/ssh-AFJwe23279/agent.23279

Kui sama kasutajana ja nende muutujate olemasolul käivitada ssh klient, siis ta automaatselt saab ligi kasutada kasutaja privaatset võtit. Seejuures on oluline, et ssh-agent ei anna võtit ennast nö küsijale välja, aga krüptib esitatud materjali ning tagastab tulemuse küsijale.

Eeldades, et te hoiate oma salajasi võtmeid failis ~/.ssh/indentity, saate nad mällu laadida korraldusega ssh-add

gnoom~$ ssh-add
Need passphrase for /home/priit/.ssh/identity (priit@gnoom.zoo.tartu.ee)
Enter passphrase:
Identity added: /home/priit/.ssh/identity (priit@gnoom.zoo.tartu.ee)

Nüüd saavad kõik uuest koorikust järgnevalt käivitatud programmid, näiteks ssh ja cvs, vajadusel kasutada mällu laaditud SSH RSA sajalasi võtmeid.

Mälus olevate salajaste võtmete vaatamiseks on korraldus

gnoom~$ ssh-add -l

Salajaste võtmete mälust eemaldamiseks on korraldus

gnoom~$ ssh-add -D

====Agent forwarding====

Kui ssh-agent kasutamisel tavaliselt saab teisse arvutisse siis ja sellega lõpeb, siis agent forwarding kasutamisel tekitatakse peale teisse arvutisse sinna /tmp kataloogi vastav unix soket ning teisest arvutist saab edasi logida kusjuures kasutatakse esimese arvuti ssh-agent'i teenuseid. ssh agent forwarding on tavaliselt vaikimisi välja lülitatud, kävitamiseks tuleb kasutad ssh kliendi juures nt -A võtit (ka serveri poolel peab olema AllowAgentForwarding sisse lülitatud, vaikimisi tavaliselt on)

gnoom~$ ssh -A mart@teine.arvuti

Seejuures tuleb arvestada nn ssh agendi kaaperdamise võimalusega, http://www.unixwiz.net/techtips/ssh-agent-forwarding.html#sec. St kui teises arvutis saab pahatahtlik kasutaja (nt root) ligi /tmp kataloogi tehtud soketile, siis on tal võimalus igale poole sisse logida teie nimel kuhu te oma võtmega saaks (eeldusel, et teisest arvutist on võrguühenduse mõttes ligipääs olemas).

====Mitme ssh võtmekomplekti kasutamine====

Kui mingil põhjusel kasutaja ei usalda ühte ja sama ssh avalikku võtit kasutada mitmes muus arvutis, siis saab ta kasutada ka erinevaid võtmekomplekte. Täiendava võtmepaari genereerimiseks sobib öelda nt

$ ssh-keygen -b 4096 -t rsa -f .ssh/loomaaed

mille tulemusena tekitatakse kaks faili

.ssh/loomaaed
.ssh/loomaaed.pub

Alternatiivse võtme kasutamiseks tuleb avalik osa loomaaed.pub kopeerida teisse arvutisse ning privaatset osa kasutada nt selliselt

$ ssh loomaaed.tartu.ee -i .ssh/loomaaed

=== Korralduste täitmine teises masinas ===

SSH võimaldab lasta korraldusi täita teises masinas, kasutades järgmist süntaksit
ssh -l kasutaja2 teise.masina.nimi käsk käsu-võtmed

kasutaja2 on kasutajanimi teises masinas, kelle õigustes seal tegutsetakse.

Sõltuvalt korralduse iseloomust võib väljund esituda ekraanil. Korralduse täitmisele eelneb varemkirjeldatud autentimine.

Anname näiteks teises masinas korralduse 'hostname -f'

gnoom~$ ssh -l kasutaja2 reptilus.zoo.tartu.ee hostname -f
reptilus.zoo.tartu.ee
gnoom~$

või korralduse 'w'
gnoom~$ ssh kasutaja2@reptilus.zoo.tartu.ee w
12:10PM up 9 days, 21:18, 8 users, load averages: 0.02, 0.03, 0.00
USER TTY FROM LOGIN@ IDLE WHAT
mart tty2 mammal 11:09AM 0:05 bash
gnoom~$

Paralleelselt on lubatud kasutada ka konstruktsiooni kasutajanimi@masina.nimi.

Mõned programmid, nagu näiteks mc eeldavad, et neile eraldatakse kauges masinas terminal, seda peab näitama võtmega -t
gnoom~$ ssh -t kasutaja2@reptilus.zoo.tartu.ee mc

===Andmete kopeerimine===

SSH võimaldab mitmel viisil andmed arvutite vahel kopeerida

* scp
* sftp
* kasutada ssh stdio võimalusi

====SCP====

masinate vahel käsuga scp faile kopeerida järgmise süntaksi kohaselt
scp võti kasutaja1@masin1.nimi:/kataloog1/failinimi1 kasutaja2@masin2.nimi:./kataloog2/failinimi2

Mõlemad argumendid koosnevad kahest osast, mida eraldab koolon (:)
* masina nimi
* failinimi

Kui failinimi algab punktiga (.), siis näitab see faili asukohta vastava masina kasutaja kodukataloogi suhtes; muidu on tegu absoluutse nimega.

Esimeseks argumendiks on kopeeritava faili nimi ja teiseks nimi, millega ta teises masinas salvestatakse.

Programm scp näitab kopeerimise ajal progressi. Kasutades võtit -A seda ei tehta.

Korralduse täitmisele eelneb eelkirjeldatud autentimine, kusjuures kehtivad võimalused võtmeid mälus hoida. Näiteks kopeerib kasutaja priit faili priidupilt.jpg teisest masinast kohalikku
gnoom~$ scp priidu@reptilus.zoo.tartu.ee:./public_html/priidupilt.jpg priidupilt.jpg
priidupilt.jpg | 6600 KB | 179.7 kB/s | ETA: 00:03:00 | 83%

Võimalik on kopeerida faile ka nö teise ja kolmanda masina vahel, see tähendab, et ei see, kust fail võetakse ega see, kuhu ta pannakse, pole masin, mille viip teil ees on
gnoom~$ scp priidu@reptilus.zoo.tartu.ee:./pilt.jpg priidik@mammal.zoo.tartu.ee:./pildid/pingu.jpg

====SSH STDIO kasutamine====

Failide kopeerimisel saab kasutada ka IOga manipuleerimist, näiteks kasutaja arhiveerib kataloogi ~/public_html sisu, pakib andmed ning saadab SSH abil üle võrgu teise masinasse; seal sisenetakse kodukataloogi ning harutatakse arhiiv lahti

$ tar cf - ~/public_html | gzip | ssh reptilus.zoo.tartu.ee 'cd ~ && cat - > priidu.koduleht.tgz'

====SFTP====

Iseenesest on SFTP on SSH eraldiseisev protokoll, kuid praktiliselt on suure tõenäosusega kõige populaarsem SFTP protokolli kasutamine just SSH nn alamsüsteemina (ingl. k. subsystem).

Serveri poolel peab olema SFTP alamsüsteem seadistatud, nt

Subsystem sftp /usr/lib/openssh/sftp-server

Enamasti on see juba kasutaja eest paika pandud

ja kliendi poolt kasutamiseks sobib öelda

$ sftp arvutinimi
sftp>

SFTP erinevusteks võrreldes scp'ga on

* muuta teise arvuti failide metaandmeid, nt omanikke ja loabitte
* peatada ja jätkata kopeerimist
* põhimõtteliselt töötab andmevahetus pisut aeglasemalt

Lisaks nö käsureakliendile on mitmeid graafilise SFTP kliente, Windows operatsioonisüsteemile WinSCP nint Linuxile nt Filezilla

[[Pilt:Filezilla-1.gif]]

=== Oma RSA salajase võtme parooli muutmine ===

Oma salajase võtme parooli muutmiseks kasutage käsku ssh-keygen võtmega -p
gnoom~$ ssh-keygen -p
Enter file key is in (/home/priit/.ssh/identity):
Enter old passphrase:
Key has comment 'priit@gnoom.zoo.tartu.ee'
Enter new passphrase:
Enter the same passphrase again:
Your identification has been saved with the new passphrase.

Parooli muutmiseks on vaja vana parooli teada. Kui see on unustatud, tuleb genereerida uus RSA võtmepaar ning seda kasutama asuda.

=== Pordi edasisuunamine ===

Mitmetel põhjustel, näiteks turvalisus või kasutusmugavus võib olla abiks selle asemel, et pöörduda otse teenuse poole üle interneti aadress:port, pöörduda aadressile localhost:port.

Eemal asuva serveri pordi suunamine kohaliku masina localhost porti toimub käsuga

bash$ ssh priit@gnoom.zoo.tartu.ee -L 6565:localhost:5432

Selle tulemusena saab pöörduda localhost:6565 poole ning kasutada eemal asuva masina pordil localhost:5432 olevat teenust. Näiteks võiks sellest olla kasu kui gnoom.zoo.tartu.ee asub otse avalikus võrgus, aga seal töötav PostgreSQL andmebaas kuulab localhostil ning soovite andmebaasi kasutada kohalikus masinas töötava PgAdmin klientprogrammiga.

Kohaliku masin pordi 192.168.1.3:3306 suunamine eemal asuva arvuti gnoom.zoo.tartu.ee porti localhost:6565 toimub käsuga

bash$ ssh priit@gnoom.zoo.tartu.ee -R 6565:192.168.1.3:3306

Selle tulemusena saab eemal oleva masina kasutaja pöörduda enda arvuti localhost:6565 poole ning kasutaja teie kohaliku arvuti pordil 192.168.1.3:3306 töötavat teenust. Näiteks võiks sellest kasu olla kui teie töökohaarvutil ei ole avalikku ip aadressi ning te soovite kellelegi tutvustada mõnda oma arvutis töötavat programmi. Kusjuures 192.168.1.3 arvuti võib olla ka nö kolmas arvuti, st mitte see kus ssh programm käivitatakse. Nii saab kahe arvuti, millel otseselt ei ole üksteisele ligipääsu, vahel tekitada tcp ühenduse kolmanda arvuti (kus töötab ssh klient) abil.

NB! Tundub, et selline suunamine ei tööta kui ssh kliendi käivitamisel minnakse käsitsi üle hoiatustest, tõtt-öelda viimasel real nii öeldakse ka

Port forwarding is disabled to avoid man-in-the-middle attacks.

# ssh root@10.0.13.173 -R 1521:10.0.23.66:1521
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@ WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that a host key has just been changed.
The fingerprint for the ECDSA key sent by the remote host is
41:9f:3f:2d:1b:c4:14:be:35:67:53:9d:59:cf:4c:06 [MD5].
Please contact your system administrator.
Add correct host key in /root/.ssh/known_hosts to get rid of this message.
Offending ECDSA key in /root/.ssh/known_hosts:730
Password authentication is disabled to avoid man-in-the-middle attacks.
Keyboard-interactive authentication is disabled to avoid man-in-the-middle attacks.
Port forwarding is disabled to avoid man-in-the-middle attacks.
Uuemad SSH versioonid võimaldavad lisaks localhostile seostada nii suunatud porte ka muude võrguliidestega.

Kuna portide suunamisel -L võtme kasutamisel hakkab ssh kuulama täiendavalt kohalik masina sellel pordil ning -R võtme kasutamisel hakkab kuulama täiendavalt kauge arvuti näidatud pordil, siis tuleb arvestada, et privilegeerimata kasutaja ei saa kasutada alla 1024 porte; -L puhul saab sarnase teate

$ ssh mart@loomaaed.tartu.ee -L 222:localhost:22
Privileged ports can only be forwarded by root.

===Sessioonide multipleksimine===

Kui ühel või teisel põhjusel on tarvis kasutada üle ühe tcp ühenduse (ingl. k. tcp connection) mitut ssh sessiooni, st mitu korda ühest ja samast ühest arvutist ühte ja samasse teise arvutisse pöörduda, siis sobib seda teha nn ssh ControlMaster abil. Esmalt moodustatakse ControlMaster ühendus, mille käigus tekitatakse soket failisüsteemi

ns:~$ ssh -Mt -S /tmp/ssh.imre.fs imre@fs.loomaaed.tartu.ee
fs:~$

Ning seejärel saab ssh ühendusi tekitada sarnaselt, nagu näha toimub järgmise ühenduse moodustamine oluliselt väiksema vaevaga

ns:~$ ssh -S /tmp/ssh.imre.fs imre@fs.loomaaed.tartu.ee -v
OpenSSH_5.5p1 Debian-6, OpenSSL 0.9.8o 01 Jun 2010
debug1: Reading configuration data /etc/ssh/ssh_config
debug1: Applying options for *
debug1: mux_client_request_session: master session id: 3
Last login: Mon Aug 22 20:34:14 2011 from moraal.auul
fs:~$

Sellisele asjakorraldusele on iseloomulik

* järgmiste ühenduste tekitamine toimub kiiremini
* võrgus on üks tcp ühendus
* server poolel töötab vaid ühs sshd protsess

fs:~$ ps aux | grep 'sshd:'
imre 19383 0.0 0.3 8264 2744 ? Ss 20:33 0:00 sshd: imre@pts/0,pts/1,pts/2

===X rakenduste kasutamine üle võrgu===

Teatavasti on Xi akende so programmide üle võrgu vedamine ebaturvaline, lisaks ka ebamugav, kuna peab paika sättima DISPLAY keskkonnamuutujat või näitama selle ära käsureal, näiteks
gnoom~$ gimp -display reptilus.zoo.tartu.ee:0

Peale selle on vaja Xserveris ära näidata käsuga xhost, milline kasutaja ja millisest masinast võib seal aknaid avada.

SSH teeb asja turvalisemaks ja lihtsamaks. Näiteks käivitame teise masina programmi xterm nii, et programm avaneb kohalikus Xserveris aknana:
retpilus~$ ssh gnoom.zoo.tartu.ee /usr/X11R6/bin/xterm

Ning kui avanenud xterm'ist käivitada järgnevalt programme, toimub andmete liikumine samuti üle üle SSH kanali ning aknad avatakse selles Xserveris, kus see xtermi aken asub.

===ssh serveri kasutamine läbi https proksi===

ProxyTunnel http://proxytunnel.sourceforge.net/ tarkvara abil saab ssh kliendiga pöörduda ssh serveri poole läbi https proksi. See võib olla vajalik nt juhtumil kui klient asub võrgus, millest ei saa pöörduda välja muul viisil kui https proksi kaudu. Seejuures võib proksi küsida ka kasutajalt parooli. Kasutamiseks tuleb operatsioonisüsteemi vahenditega paigaldada pakett proxytunnel ning seejärel lisada ssh kliendi seadistusfaili

$ cat .ssh/config
...
Host ssh-tla
ServerAliveInterval 30
ProxyCommand /usr/bin/proxytunnel -p cache.teenusepakkuja.ee:3128 -d ssh.loomaaed.tartu.ee:443

kus

* -p - teenusepakkuja host:port
* -d - ssh serveri host:port

Kasutamiseks tuleb pöörduda ssh serveri poole kasutades config failis kasutatud Host väärtust

$ ssh priit@ssh-tla
Via cache.teenusepakkuja.ee:3128 -> ssh.loomaaed.tartu.ee:443
Linux ssh 2.6.32-5-amd64 #1 SMP Mon Jan 16 16:22:28 UTC 2012 x86_64
...
priit@rakendus:~$

Sellisele asjakorraldusele on iseloomulik, et ssh serveri poole peab saama pöörduda 443/tcp pordi kaudu, vastasel korral ei pruugi proksi ühendust moodustada. Lisaks, erinevalt nt httptunnel tarkvarast, millega saab sammuti kasutada http proksit tcp ühenduste pidamiseks, on ProxyTunnel puhul tarvis ainult nö kliendi poolel teha täiendavaid pingutusi.

Proks logis vastab ühele ssh ühendusele üks rida, nt

1331413631.677 180240 10.5.5.5 TCP_MISS/200 3570489 CONNECT ssh.loomaaed.tartu.ee:443 - DIRECT/10.47.218.19 -

kus

* 10.5.5.5 - kliendi ip
* ssh.loomaaed.tartu.ee - nö veebiserveri st ssh serveri domeeninimi kuhu pöörduti
* 10.47.218.19 - nö veebiserveri st ssh serveri ip kuhu pöörduti
* ProxyTunnel kasutab oma tööks http proxy CONNECT meetodit

===Märkused===

* man ssh_config suvandeid saab kasutada käsurealt -o võtme abil, nt

$ ssh -o UserKnownHostsFile=/tmp/known_hosts root@10.0.6.227

salvestab hosti avaliku võtme ~/.ssh/known_hosts asemel faili /tmp/known_hosts, et ühekordse sisselogimise vajaduse pärast mitte risustada kasutaja known_hosts faili.

* Kui võrk ssh kliendi ja serveri vahel nö tapab idle olekus ssh ühendusi, maksab kasutada kliendi /etc/ssh/ssh_config failis parameetrit

ServerAliveInterval 30

=== Võtmevahetuse ja krüptimise algoritmid ===

Paistab, et 2017 aastal kasutatakse vaikimisi igasugustes linux distributsioonides ssh kliendi ja serveri vahel

* võtmevahetuse algoritm (KexAlgorithms) - curve25519-sha256
* host key algorithm - ecdsa-sha2-nistp256
* sümmeetrilise krüptimise algoritm (Ciphers) - chacha20-poly1305@openssh.com
* sümmeetrilise krüptimise juures kasutatav räsimise algoritm (MACs) - <implicit> peaks tähendama, et see tuleneb chacha20-poly1305@openssh.com algoritmist

Vaikimisi

<pre>
$ ssh imre@192.168.10.123 -v
...
debug1: kex: algorithm: curve25519-sha256@libssh.org
debug1: kex: host key algorithm: ecdsa-sha2-nistp256
debug1: kex: server->client cipher: chacha20-poly1305@openssh.com MAC: <implicit> compression: none
debug1: kex: client->server cipher: chacha20-poly1305@openssh.com MAC: <implicit> compression: none
</pre>

Konkreetsete algoritmide kasutamist saab täpsustada nt selliselt (lisaks on sisse lülitatud pakkimine)

<pre>
$ ssh -C imre@192.168.10.123 -v -o Ciphers=aes128-ctr -o KexAlgorithms=diffie-hellman-group-exchange-sha256 -o MACs=hmac-sha2-512
...
debug1: kex: algorithm: diffie-hellman-group-exchange-sha256
debug1: kex: host key algorithm: ecdsa-sha2-nistp256
debug1: kex: server->client cipher: aes128-ctr MAC: hmac-sha2-512 compression: zlib@openssh.com
debug1: kex: client->server cipher: aes128-ctr MAC: hmac-sha2-512 compression: zlib@openssh.com
</pre>

Tundub, et nende kolme parameetri suvalisi väärtusi ei saa omavahel kombineerida. Võimalike väärtuste nimekirja saab esitada

* võtmevahetus

<pre>
$ ssh -Q kex
diffie-hellman-group1-sha1
diffie-hellman-group14-sha1
diffie-hellman-group-exchange-sha1
diffie-hellman-group-exchange-sha256
ecdh-sha2-nistp256
ecdh-sha2-nistp384
ecdh-sha2-nistp521
curve25519-sha256@libssh.org
</pre>

* sümmeetriline krüptimine

<pre>
$ ssh -Q cipher
3des-cbc
blowfish-cbc
cast128-cbc
arcfour
arcfour128
arcfour256
aes128-cbc
aes192-cbc
aes256-cbc
rijndael-cbc@lysator.liu.se
aes128-ctr
aes192-ctr
aes256-ctr
aes128-gcm@openssh.com
aes256-gcm@openssh.com
chacha20-poly1305@openssh.com
</pre>

* sümmeetrilise krüptimise juures kasutatav räsimine

<pre>
$ ssh -Q mac
hmac-sha1
hmac-sha1-96
hmac-sha2-256
hmac-sha2-512
hmac-md5
hmac-md5-96
hmac-ripemd160
hmac-ripemd160@openssh.com
umac-64@openssh.com
umac-128@openssh.com
hmac-sha1-etm@openssh.com
hmac-sha1-96-etm@openssh.com
hmac-sha2-256-etm@openssh.com
hmac-sha2-512-etm@openssh.com
hmac-md5-etm@openssh.com
hmac-md5-96-etm@openssh.com
hmac-ripemd160-etm@openssh.com
umac-64-etm@openssh.com
umac-128-etm@openssh.com
</pre>

* digital signature scheme

<pre>
$ ssh -Q key
ssh-ed25519
ssh-ed25519-cert-v01@openssh.com
ssh-rsa
ssh-dss
ecdsa-sha2-nistp256
ecdsa-sha2-nistp384
ecdsa-sha2-nistp521
ssh-rsa-cert-v01@openssh.com
ssh-dss-cert-v01@openssh.com
ecdsa-sha2-nistp256-cert-v01@openssh.com
ecdsa-sha2-nistp384-cert-v01@openssh.com
ecdsa-sha2-nistp521-cert-v01@openssh.com
</pre>

=== Kasulikud lisamaterjalid ===

* [[Fetchmail]]
* SSH üle PPP kanali
* [[PGP]]
* [[:SSH kasutajate chrootimine libpam-chroot mooduli abil Debian Lennyga]]
* [[:WinSCP kasutamine]]
* [[:Openssh chroot]] Kasutaja chrootimine openssh patchi kasutades kodukataloogi
* [[:OpenSSH_administreerimine]]
* http://www.snailbook.com/index.html

OpenSSH kasutamine

2017-09-24T14:44:11Z

Imre: /* Võtmevahetuse ja krüptimise algoritmid */

===Sissejuhatus===

OpenSSH http://www.openssh.org/ tarkvara võimaldab turvalist kaugligipääsu võrku ühendatud seadmetele, nt arvutitele ja ruuteritele. OpenSSH on üks OpenBSD projekti ettevõtmistest, mis on osutunud niivõrd populaarseks, et sellest on kujunenud praktiliselt kõigi 2009 aastal kasutuses olevate vabade operatsioonisüsteemide standardne kaugligipääsu korraldamise instrument. Lisaks on OpenSSH kasutuses ka mitmete mitte-vabade lahenduste juures, nt erinevate tootjate ruuterites.

Peale üle võrgu nö teise arvuti käsureale jõudmise sisaldab OpenSSH muu hulga selliseid võimalusi

* andmete kopeerimine - sftp, scp
* turvaline transport muudele programmidele - rsync, subversion, pppd, X Window System
* portide edasisuunamine
* SOCKS server
* failisüsteemi külgeühendamine - sshfs (FUSE tehnoloogia abil)

Kõik need juhud eeldavad, et teil on kasutajatunnus ka teises masinas. SSH põhineb klient-server mudelil kusjuures ühenduse algatab alati SSH klient. Edaspidises kasutatakse väljendit SSH server, mille all mõeldakse teist masinat ning millel on SSH kliendiga suhtlemiseks sobiv tarkvara.

OpenSSH kasutamist kirjeldatakse Kuutõrvajas kahes tekstis

* käesolev tekst on mõeldud nö süsteemi tavakasutajatele oluliste ülesannete lahendamiseks OpenSSH abil
* aadressil [[:OpenSSH administreerimine]] olev tekst kirjeldab OpenSSH serveri haldamist ning keerulisemad kasutusvõimalusi

===Teise masinasse sisselogimine ja ühenduse lõpetamine===

Kirjeldame lihtsustatult, kuidas toimub SSHga teise masinasse sisselogimine.

Logimisel on kolm etappi:

Protokollide kontroll. Seansi algus ei ole krüptitud. Selle käigus teevad osapooled kindlaks, et nad kasutavad omavahel sobivaid SSH versioone.
Klient veendub serveri ehtsuses. Serveril on kaks RSA võtit: salajane ja avalik. Et klient saaks veenduda, serveri ehtsuses peab ta eelnevalt teadma serveri avalikku võtit. Teatavasti on avaliku võtme krüptograafia kõige nõrgemaks kohaks avaliku võtme edastamine selle kasutajale. Selle võib klient saada, nt disketil, serveri administraatori käest isiklikult, kuid levinum on riskantsem viis. Nimelt esmakordsel ühendusevõtmisel usaldab klient serverit. Saades serveri avaliku võtme ning kliendi so kasutaja nõusoleku, lisatakse see faili ~/.ssh/known_hosts. Kui edaspidi võetakse ühendust sama serveriga, siis on võimalik juba kasutada standardset avaliku võtme krüptograafiat:

Server genereerib ja krüptib juhusliku järgnevuse (ingl. k. challenge) oma salajase võtmega ja saadab selle kliendile.
Klient püüab saadetist lahti krüptida tema käsutuses oleva vastava avaliku võtmega.
Kui see õnnestub, on server ehtne; kui mitte, siis on server võlts või on ta vahepeal endale uud võtmed tekitanud.
Klient saadab serverile tagasi ühe võtmega krüptimise shifri nime (DES, 3DES, IDEA) ja serveri avaliku võtmega krüpteeritud sessioonivõtme. Saadetis on avatav ainult vastava salajase võtmega, mis on eeldatavasti vaid õigel serveril.
Edasine infovahetus serveri ja kliendi vahel toimub üle krüptitud kanali, kusjuures mõlemad pooled kasutavad kokkulepitud shifrit ja sessioonivõtit.

Andmevahetuse alustamist kirjeldab pilt

[[Pilt:Openssh-1.gif]]

kus

* Diffe-Hellmani võtmevahetuse protseduuri abil lepitakse kokku salajane võti

Server veendub kliendi ehtsuses. Esmalt püütakse kasutajat autentida automatiseeritud viisil. Kui see ei õnnestu, kontrollitakse kasutaja UNIXi parooli, kasutades loodud turvalist kanalit.

Praktiliselt algatab klient serveriga ühenduse käsuga ssh, näiteks

gnoom~$ ssh -l priit reptilus.zoo.tartu.ee
Host key not found from the list of known hosts.
Are you sure you want to continue connecting (yes/no)? yes
Host 'reptilus.zoo.tartu.ee' added to the list of known hosts.
Creating random seed file ~/.ssh/random_seed. This may take a while.
priit@reptilus.zoo.tartu.ee's password:
reptilus~$

Seejuures:
* tekitatakse kliendile kataloog ~/.ssh milles sisalduvad SSHle olulised failid,
* serveri avalik võti lisatakse faili ~/.ssh/known_hosts,
* tekitatakse SSH sisemisteks vajadusteks juhuslikku alget sisaldav fail ~/.ssh/random_seed,
* küsitakse kasutaja UNIXi parooli, kuna kasutaja RSA võtmetega automaatne autentimine ebaõnnestus.

Tulemusena saadi äsjases näites ette teise masina viip ja võiks hakata seal toimetama. Sarnase tulemuse oleksite võinud saada telnetiga, kuid SSH abil tekitatud ühendust krüptitakse.

Seansi lõpetamine toimub tavalisel moel välja-logimisega
reptilus~$ logout
gnoom~$

Niisiis,
SSH klient teeb SSH serveri avaliku võtme abil kindlaks SSH serveri ehtsuse ja
seejärel SSH server autendib kasutaja.

'''Märkus:''' Kujutleme olukorda, kus teil on harjumus külastada SSHga mõnda masinat ning te ühtäkki märkate sisselogimisel, et server vastab teile hoiatava veateatega, öeldes, et serveri avalik võti ei klapi, pakkudes aga teile võimalust jätkata sisselogimist. Sama toimub ka igal järgmisel korral. Sel juhul on kaks võimalust:
# Te suhtlete võltsserveriga ning ei tohiks sisselogimist jätkata. Tuleks muude vahenditega kindlaks teha, mis täpselt toimub.
# Server on õige, kuid ta kasutab uusi RSA võtmeid. Sel juhul peab kasutaja oma ~/.ssh/known_hosts failist vastava serveri avaliku võtme rea käepärase tekstiredaktori abil kustutama. Järgmisel külastusel kirjutatakse sinna faili uus serveri avalik võti.

===SSH kliendi seadistamine===

SSH klienti tööd saab juhtida kolmel moel, kusjuures esitatud nimekirja lõpupool asuvatel on kõrgem prioriteet

* /etc/ssh/ssh_config - globaalne seadistusfail
* ~/.ssh/config - kasutaja seadistusfail
* käsureal kasutatud suvandid

Seadistusfailis saab Host parameetrile järgnevate ja enne järgmist Host parameetrit asuvate direktiividega kehtestada kuidas SSH klient käitub esimese Host parameetriga klappivate arvutite SSH serveritega. Lisaks, toimib esimene direktiivi väärtustamine, st et täpsemad määratlused tuleb teha seadistusfaili alguses ning üldisemad lõpus. Näiteks selline /etc/ssh/ssh_config

Host 192.168.10.0/24
GSSAPIAuthentication yes
GSSAPIDelegateCredentials yes

Host *
ForwardX11 yes
GSSAPIAuthentication no
GSSAPIDelegateCredentials no
SendEnv LANG LC_*
HashKnownHosts yes

kehtestab, et

* Kerberose piletite kasutamine ja edasiandmine on lubatud 192.168.10.0/24 võrku kuuluvate arvutitega
* kõigi muude arvutitega suhtelemisel on Kerberose kasutamine keelatud
* Kuna LANG ja LC_* keskkonnamuutujate osas ei ole esimeses Host sektsioonis midagi öeldud, siis viimases näidatud direktiivid kehtivad kõigi SSH serverite puhul

=== Kasututaja autentimine tema RSA võtmetega ===

Teatavasti pakuvad r-korraldused suhteliselt automaatset, kuid ebaturvalist autentimist. Näitame, kuidas eelmises punktis kirjeldatud sisselogimisele ja seansi krüptimisele lisaks korraldada SSH abil automaatset kasutaja autentimist.

Autentimine toimub kasutaja enda moodustatud RSA võtmepaari abil. Rääkides seonduvalt SSHga RSA võtmetest, tuleb teha vahet, millal kõneldakse SSH serveri RSA võtmepaarist ja kunas kasutaja RSA võtmepaarist.

==== RSA võtmete moodustamine ====

Esmalt moodustab kasutaja, näiteks priit@gnoom.zoo.tartu.ee endale RSA võtmepaari käsuga ssh-keygen

$ ssh-keygen
Generating public/private rsa key pair.
Enter file in which to save the key (/home/mart/.ssh/id_rsa):
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /home/mart/.ssh/id_rsa.
Your public key has been saved in /home/mart/.ssh/id_rsa.pub.
The key fingerprint is:
41:89:34:41:90:c1:6e:27:f1:89:a9:16:09:aa:71:41 mart@moraal
The key's randomart image is:
+--[ RSA 2048]----+
|o.E+o*=o.. |
|.oo.= .o. |
|o.o. + . |
|o+ + o . |
|o . o S |
| |
| |
| |
| |
+-----------------+

kus võtme moodustamisel päritakse kasutajalt RSA salajase võtme parooli; selle peab ta sisestama iga kord enne oma salajase võtme kasutamist.

Tulemusena tekitatakse kaks võtit:

* ~/.ssh/id_rsa - kasutaja RSA salajane võti
* ~/.ssh/id_rsa.pub - kasutaja RSA avalik võti

Pange tähele, et avaliku võtme faili sees teksti lõpus on kirjas, kellele see kuulub. Salajane võti on küll parooliga kaitstud, kuid võti peaks siiski olema vaid kasutajale endale loetav.

ssh-keygen võimaldab kasutada sellised võtmeid

* -t rsa või -t dsa - kontrollib, kas moodustatakse rsa või dsa võti
* -b 4096 - võtme pikkus
* -f failinimi - millega algavad võtmetele vastavad failinimed, vaikimisi .ssh/id_rsa*

==== RSA avaliku võtme paigutamine SSH serverisse ====

Oma avaliku võtme peate te lisama külastatava (so. SSH serveri, nt reptilus.zoo.tartu.ee) masina faili ~/.ssh/authorized_keys ja salajase võtme jätma sinna, kuhu ta tekitati. Kuna ~/.ssh/authorized_keys faili sisu on kõigile loetav, pole avaliku võtme edastamisel vaja võtta tarvitusele erilisi ettevaatusabinõusid: peaasi, et võtme sisu jääks muutumatuks. Failis ~/.ssh/authorized_keys võivad sisalduda mitmed avalikud võtmed, igaüks eraldi real ning fail on ASCII kujul. Nii on võimalik külastada SSH serverit erinevatest klient-masinatest. Kõige lihtsam on teha ~/.ssh/identity.pub failist koopia ning see ftp abil SSH serverisse toimetada. Seal andke selle faili lugemis- ja kirjutamisõigus ainult endale

$ chmod 600 ~/.ssh/authorized_keys

Kui te nüüd külastate ssh'ga seda SSH serverit, siis esmalt klient autendib serveri varemkirjeldatud tavapärasel moel. Aga server autendib kliendi selliselt:
server genereerib juhusliku järgnevuse baite ja krüptib need talle teadaoleva kasutaja avaliku võtmega
klient kasutab ainult tal olemasolevat vastavat sajalast võtit ja krüptib saadetise lahti; tulemus saadetakse serverile tagasi
server võrdleb esialgset järgnevust kliendi poolt lahti krüptituga ja nende identsuse korral loeb autentimise õnnestunuks ning kasutajale antakse ette viip.

Lisaks võtmele saab iga authorized_keys faili rea alguses kasutada man sshd tekstis kirjeldatud suvandeid, nt

no-port-forwarding,no-X11-forwarding,no-agent-forwarding,no-pty,\
command="~/bin/skriptinimi.sh",from="192.168.96.138" ssh-rsa AAAAB3NzaC1y ....

kasutamise tulemusena peale kasutaja ssh võtmega sisselogimist täidetakse skript ~/bin/skriptinimi.sh.

Avaliku võtme paigutamist teisse arvutisse lihtsustab ssh-copy-id skript, nt

$ ssh-copy-id mart@ns.auul
mart@ns.auul's password:
Now try logging into the machine, with "ssh 'mart@ns.auul'", and check in:

.ssh/authorized_keys

to make sure we haven't added extra keys that you weren't expecting.

==== RSA võtmete kasutamine ====

Näide automaatsest kasutaja RSA võtmetega autentimisest

gnoom~$ ssh -l priit reptilus.zoo.tartu.ee
Enter passphrase for RSA key 'priit@gnoom.zoo.tartu.ee':
Last login: Thu Nov 11 11:16:09 1999 from mammal.zoo.tartu.ee
Copyright (c) 1980, 1983, 1986, 1988, 1990, 1991, 1993, 1994
The Regents of University of California. All rights reserved.
reptilus~$

Kuna kasutaja autentimisel läheb tarvis tema salajast võtit, siis küsitakse salajase võtme parooli; '-l kasutajanimi' on vajalik, kui kasutajal on teises masinas erinev kasutajanimi. Siiski, kui ka kasutajal on erinevad kasutajanimed erinevates 'teistes masinates', siis ei pruugi ta '-l' võtit kasutada. Selle asemel võib ta kasutajanime ja vastava teise masina nime ära näidata failis ~/.ssh/config; võib kirjeldada mitmeid SSH servereid:

Host reptilus.zoo.tartu.ee
User priidu
Host mammal.zoo.tartu.ee
User priidik

Näites autenditakse gnoomi kasutajat 'priit' masinas reptilus kasutajana 'priidu'; ja masinas mammal kasutajana 'priidik'. Niisiis, et gnoomist logida sisse mammalisse kasutajana 'priidik' piisab kirjeldatud konfiguratsioonifaili olemasolul anda käsk

gnoom~$ ssh mammal.zoo.tartu.ee

Niisiis, standardne UNIXi paroolikontroll on asendatud SSH vahenditega. Hoiatuseks märgime, et juhul, kui teine masin võimaldab vaid SSHga sisselogimist ja te olete oma authorized_keys faili seal moodustanud ning te eksite, nt. ei mäleta oma salajase võtme parooli, siis peate kuidagi eemaldama authorized_keys faili; või vähemalt sellele masinale vastava sissekande, kust te SSH serverit ebaõnnestunult külastada püüate. Loodetavasti on seda võimalik FTPga teha. Kui ei, peate paluma SSH serveri administraatorit.

==== Võtmete mälus hoidmine ====

Eelmises punktis nägime, kuidas korraldada kasutaja (enda) autentimist. Seejuures võib tunduda ebamugavana vajadus iga kord oma salajase võtme parooli sisestada. Tõsi, tehniliselt võite võtmete moodustamisel ka parooli panemata jätta (vajutades Enterit), kuid see oleks turvaline seni, kuni teie salajane võti kindlalt ainult teie valduses on. Tõsi, reeglina see nii ka on. SSH pakub võimaluse salajasi võtmeid kliendi masina mälus hoida kuigi ka see pole väga turvaline, kuid enamasti piisav praktiliseks kasutamiseks.

Selleks käivitatakse võtmete mälus hoidmise agendi abil programm, millele (ja millest käivitatud uutele programmidele) saab teha kasutaja salajase võtme kättesaadavaks. Näiteks koorik

gnoom~$ ssh-agent bash

kus uues shellis on muu hulgas kaks olulist keskkonnamuutujat kirjeldatud, nt selliste väärtustega

SSH_AGENT_PID=23280
SSH_AUTH_SOCK=/tmp/ssh-AFJwe23279/agent.23279

Kui sama kasutajana ja nende muutujate olemasolul käivitada ssh klient, siis ta automaatselt saab ligi kasutada kasutaja privaatset võtit. Seejuures on oluline, et ssh-agent ei anna võtit ennast nö küsijale välja, aga krüptib esitatud materjali ning tagastab tulemuse küsijale.

Eeldades, et te hoiate oma salajasi võtmeid failis ~/.ssh/indentity, saate nad mällu laadida korraldusega ssh-add

gnoom~$ ssh-add
Need passphrase for /home/priit/.ssh/identity (priit@gnoom.zoo.tartu.ee)
Enter passphrase:
Identity added: /home/priit/.ssh/identity (priit@gnoom.zoo.tartu.ee)

Nüüd saavad kõik uuest koorikust järgnevalt käivitatud programmid, näiteks ssh ja cvs, vajadusel kasutada mällu laaditud SSH RSA sajalasi võtmeid.

Mälus olevate salajaste võtmete vaatamiseks on korraldus

gnoom~$ ssh-add -l

Salajaste võtmete mälust eemaldamiseks on korraldus

gnoom~$ ssh-add -D

====Agent forwarding====

Kui ssh-agent kasutamisel tavaliselt saab teisse arvutisse siis ja sellega lõpeb, siis agent forwarding kasutamisel tekitatakse peale teisse arvutisse sinna /tmp kataloogi vastav unix soket ning teisest arvutist saab edasi logida kusjuures kasutatakse esimese arvuti ssh-agent'i teenuseid. ssh agent forwarding on tavaliselt vaikimisi välja lülitatud, kävitamiseks tuleb kasutad ssh kliendi juures nt -A võtit (ka serveri poolel peab olema AllowAgentForwarding sisse lülitatud, vaikimisi tavaliselt on)

gnoom~$ ssh -A mart@teine.arvuti

Seejuures tuleb arvestada nn ssh agendi kaaperdamise võimalusega, http://www.unixwiz.net/techtips/ssh-agent-forwarding.html#sec. St kui teises arvutis saab pahatahtlik kasutaja (nt root) ligi /tmp kataloogi tehtud soketile, siis on tal võimalus igale poole sisse logida teie nimel kuhu te oma võtmega saaks (eeldusel, et teisest arvutist on võrguühenduse mõttes ligipääs olemas).

====Mitme ssh võtmekomplekti kasutamine====

Kui mingil põhjusel kasutaja ei usalda ühte ja sama ssh avalikku võtit kasutada mitmes muus arvutis, siis saab ta kasutada ka erinevaid võtmekomplekte. Täiendava võtmepaari genereerimiseks sobib öelda nt

$ ssh-keygen -b 4096 -t rsa -f .ssh/loomaaed

mille tulemusena tekitatakse kaks faili

.ssh/loomaaed
.ssh/loomaaed.pub

Alternatiivse võtme kasutamiseks tuleb avalik osa loomaaed.pub kopeerida teisse arvutisse ning privaatset osa kasutada nt selliselt

$ ssh loomaaed.tartu.ee -i .ssh/loomaaed

=== Korralduste täitmine teises masinas ===

SSH võimaldab lasta korraldusi täita teises masinas, kasutades järgmist süntaksit
ssh -l kasutaja2 teise.masina.nimi käsk käsu-võtmed

kasutaja2 on kasutajanimi teises masinas, kelle õigustes seal tegutsetakse.

Sõltuvalt korralduse iseloomust võib väljund esituda ekraanil. Korralduse täitmisele eelneb varemkirjeldatud autentimine.

Anname näiteks teises masinas korralduse 'hostname -f'

gnoom~$ ssh -l kasutaja2 reptilus.zoo.tartu.ee hostname -f
reptilus.zoo.tartu.ee
gnoom~$

või korralduse 'w'
gnoom~$ ssh kasutaja2@reptilus.zoo.tartu.ee w
12:10PM up 9 days, 21:18, 8 users, load averages: 0.02, 0.03, 0.00
USER TTY FROM LOGIN@ IDLE WHAT
mart tty2 mammal 11:09AM 0:05 bash
gnoom~$

Paralleelselt on lubatud kasutada ka konstruktsiooni kasutajanimi@masina.nimi.

Mõned programmid, nagu näiteks mc eeldavad, et neile eraldatakse kauges masinas terminal, seda peab näitama võtmega -t
gnoom~$ ssh -t kasutaja2@reptilus.zoo.tartu.ee mc

===Andmete kopeerimine===

SSH võimaldab mitmel viisil andmed arvutite vahel kopeerida

* scp
* sftp
* kasutada ssh stdio võimalusi

====SCP====

masinate vahel käsuga scp faile kopeerida järgmise süntaksi kohaselt
scp võti kasutaja1@masin1.nimi:/kataloog1/failinimi1 kasutaja2@masin2.nimi:./kataloog2/failinimi2

Mõlemad argumendid koosnevad kahest osast, mida eraldab koolon (:)
* masina nimi
* failinimi

Kui failinimi algab punktiga (.), siis näitab see faili asukohta vastava masina kasutaja kodukataloogi suhtes; muidu on tegu absoluutse nimega.

Esimeseks argumendiks on kopeeritava faili nimi ja teiseks nimi, millega ta teises masinas salvestatakse.

Programm scp näitab kopeerimise ajal progressi. Kasutades võtit -A seda ei tehta.

Korralduse täitmisele eelneb eelkirjeldatud autentimine, kusjuures kehtivad võimalused võtmeid mälus hoida. Näiteks kopeerib kasutaja priit faili priidupilt.jpg teisest masinast kohalikku
gnoom~$ scp priidu@reptilus.zoo.tartu.ee:./public_html/priidupilt.jpg priidupilt.jpg
priidupilt.jpg | 6600 KB | 179.7 kB/s | ETA: 00:03:00 | 83%

Võimalik on kopeerida faile ka nö teise ja kolmanda masina vahel, see tähendab, et ei see, kust fail võetakse ega see, kuhu ta pannakse, pole masin, mille viip teil ees on
gnoom~$ scp priidu@reptilus.zoo.tartu.ee:./pilt.jpg priidik@mammal.zoo.tartu.ee:./pildid/pingu.jpg

====SSH STDIO kasutamine====

Failide kopeerimisel saab kasutada ka IOga manipuleerimist, näiteks kasutaja arhiveerib kataloogi ~/public_html sisu, pakib andmed ning saadab SSH abil üle võrgu teise masinasse; seal sisenetakse kodukataloogi ning harutatakse arhiiv lahti

$ tar cf - ~/public_html | gzip | ssh reptilus.zoo.tartu.ee 'cd ~ && cat - > priidu.koduleht.tgz'

====SFTP====

Iseenesest on SFTP on SSH eraldiseisev protokoll, kuid praktiliselt on suure tõenäosusega kõige populaarsem SFTP protokolli kasutamine just SSH nn alamsüsteemina (ingl. k. subsystem).

Serveri poolel peab olema SFTP alamsüsteem seadistatud, nt

Subsystem sftp /usr/lib/openssh/sftp-server

Enamasti on see juba kasutaja eest paika pandud

ja kliendi poolt kasutamiseks sobib öelda

$ sftp arvutinimi
sftp>

SFTP erinevusteks võrreldes scp'ga on

* muuta teise arvuti failide metaandmeid, nt omanikke ja loabitte
* peatada ja jätkata kopeerimist
* põhimõtteliselt töötab andmevahetus pisut aeglasemalt

Lisaks nö käsureakliendile on mitmeid graafilise SFTP kliente, Windows operatsioonisüsteemile WinSCP nint Linuxile nt Filezilla

[[Pilt:Filezilla-1.gif]]

=== Oma RSA salajase võtme parooli muutmine ===

Oma salajase võtme parooli muutmiseks kasutage käsku ssh-keygen võtmega -p
gnoom~$ ssh-keygen -p
Enter file key is in (/home/priit/.ssh/identity):
Enter old passphrase:
Key has comment 'priit@gnoom.zoo.tartu.ee'
Enter new passphrase:
Enter the same passphrase again:
Your identification has been saved with the new passphrase.

Parooli muutmiseks on vaja vana parooli teada. Kui see on unustatud, tuleb genereerida uus RSA võtmepaar ning seda kasutama asuda.

=== Pordi edasisuunamine ===

Mitmetel põhjustel, näiteks turvalisus või kasutusmugavus võib olla abiks selle asemel, et pöörduda otse teenuse poole üle interneti aadress:port, pöörduda aadressile localhost:port.

Eemal asuva serveri pordi suunamine kohaliku masina localhost porti toimub käsuga

bash$ ssh priit@gnoom.zoo.tartu.ee -L 6565:localhost:5432

Selle tulemusena saab pöörduda localhost:6565 poole ning kasutada eemal asuva masina pordil localhost:5432 olevat teenust. Näiteks võiks sellest olla kasu kui gnoom.zoo.tartu.ee asub otse avalikus võrgus, aga seal töötav PostgreSQL andmebaas kuulab localhostil ning soovite andmebaasi kasutada kohalikus masinas töötava PgAdmin klientprogrammiga.

Kohaliku masin pordi 192.168.1.3:3306 suunamine eemal asuva arvuti gnoom.zoo.tartu.ee porti localhost:6565 toimub käsuga

bash$ ssh priit@gnoom.zoo.tartu.ee -R 6565:192.168.1.3:3306

Selle tulemusena saab eemal oleva masina kasutaja pöörduda enda arvuti localhost:6565 poole ning kasutaja teie kohaliku arvuti pordil 192.168.1.3:3306 töötavat teenust. Näiteks võiks sellest kasu olla kui teie töökohaarvutil ei ole avalikku ip aadressi ning te soovite kellelegi tutvustada mõnda oma arvutis töötavat programmi. Kusjuures 192.168.1.3 arvuti võib olla ka nö kolmas arvuti, st mitte see kus ssh programm käivitatakse. Nii saab kahe arvuti, millel otseselt ei ole üksteisele ligipääsu, vahel tekitada tcp ühenduse kolmanda arvuti (kus töötab ssh klient) abil.

NB! Tundub, et selline suunamine ei tööta kui ssh kliendi käivitamisel minnakse käsitsi üle hoiatustest, tõtt-öelda viimasel real nii öeldakse ka

Port forwarding is disabled to avoid man-in-the-middle attacks.

# ssh root@10.0.13.173 -R 1521:10.0.23.66:1521
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@ WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that a host key has just been changed.
The fingerprint for the ECDSA key sent by the remote host is
41:9f:3f:2d:1b:c4:14:be:35:67:53:9d:59:cf:4c:06 [MD5].
Please contact your system administrator.
Add correct host key in /root/.ssh/known_hosts to get rid of this message.
Offending ECDSA key in /root/.ssh/known_hosts:730
Password authentication is disabled to avoid man-in-the-middle attacks.
Keyboard-interactive authentication is disabled to avoid man-in-the-middle attacks.
Port forwarding is disabled to avoid man-in-the-middle attacks.
Uuemad SSH versioonid võimaldavad lisaks localhostile seostada nii suunatud porte ka muude võrguliidestega.

Kuna portide suunamisel -L võtme kasutamisel hakkab ssh kuulama täiendavalt kohalik masina sellel pordil ning -R võtme kasutamisel hakkab kuulama täiendavalt kauge arvuti näidatud pordil, siis tuleb arvestada, et privilegeerimata kasutaja ei saa kasutada alla 1024 porte; -L puhul saab sarnase teate

$ ssh mart@loomaaed.tartu.ee -L 222:localhost:22
Privileged ports can only be forwarded by root.

===Sessioonide multipleksimine===

Kui ühel või teisel põhjusel on tarvis kasutada üle ühe tcp ühenduse (ingl. k. tcp connection) mitut ssh sessiooni, st mitu korda ühest ja samast ühest arvutist ühte ja samasse teise arvutisse pöörduda, siis sobib seda teha nn ssh ControlMaster abil. Esmalt moodustatakse ControlMaster ühendus, mille käigus tekitatakse soket failisüsteemi

ns:~$ ssh -Mt -S /tmp/ssh.imre.fs imre@fs.loomaaed.tartu.ee
fs:~$

Ning seejärel saab ssh ühendusi tekitada sarnaselt, nagu näha toimub järgmise ühenduse moodustamine oluliselt väiksema vaevaga

ns:~$ ssh -S /tmp/ssh.imre.fs imre@fs.loomaaed.tartu.ee -v
OpenSSH_5.5p1 Debian-6, OpenSSL 0.9.8o 01 Jun 2010
debug1: Reading configuration data /etc/ssh/ssh_config
debug1: Applying options for *
debug1: mux_client_request_session: master session id: 3
Last login: Mon Aug 22 20:34:14 2011 from moraal.auul
fs:~$

Sellisele asjakorraldusele on iseloomulik

* järgmiste ühenduste tekitamine toimub kiiremini
* võrgus on üks tcp ühendus
* server poolel töötab vaid ühs sshd protsess

fs:~$ ps aux | grep 'sshd:'
imre 19383 0.0 0.3 8264 2744 ? Ss 20:33 0:00 sshd: imre@pts/0,pts/1,pts/2

===X rakenduste kasutamine üle võrgu===

Teatavasti on Xi akende so programmide üle võrgu vedamine ebaturvaline, lisaks ka ebamugav, kuna peab paika sättima DISPLAY keskkonnamuutujat või näitama selle ära käsureal, näiteks
gnoom~$ gimp -display reptilus.zoo.tartu.ee:0

Peale selle on vaja Xserveris ära näidata käsuga xhost, milline kasutaja ja millisest masinast võib seal aknaid avada.

SSH teeb asja turvalisemaks ja lihtsamaks. Näiteks käivitame teise masina programmi xterm nii, et programm avaneb kohalikus Xserveris aknana:
retpilus~$ ssh gnoom.zoo.tartu.ee /usr/X11R6/bin/xterm

Ning kui avanenud xterm'ist käivitada järgnevalt programme, toimub andmete liikumine samuti üle üle SSH kanali ning aknad avatakse selles Xserveris, kus see xtermi aken asub.

===ssh serveri kasutamine läbi https proksi===

ProxyTunnel http://proxytunnel.sourceforge.net/ tarkvara abil saab ssh kliendiga pöörduda ssh serveri poole läbi https proksi. See võib olla vajalik nt juhtumil kui klient asub võrgus, millest ei saa pöörduda välja muul viisil kui https proksi kaudu. Seejuures võib proksi küsida ka kasutajalt parooli. Kasutamiseks tuleb operatsioonisüsteemi vahenditega paigaldada pakett proxytunnel ning seejärel lisada ssh kliendi seadistusfaili

$ cat .ssh/config
...
Host ssh-tla
ServerAliveInterval 30
ProxyCommand /usr/bin/proxytunnel -p cache.teenusepakkuja.ee:3128 -d ssh.loomaaed.tartu.ee:443

kus

* -p - teenusepakkuja host:port
* -d - ssh serveri host:port

Kasutamiseks tuleb pöörduda ssh serveri poole kasutades config failis kasutatud Host väärtust

$ ssh priit@ssh-tla
Via cache.teenusepakkuja.ee:3128 -> ssh.loomaaed.tartu.ee:443
Linux ssh 2.6.32-5-amd64 #1 SMP Mon Jan 16 16:22:28 UTC 2012 x86_64
...
priit@rakendus:~$

Sellisele asjakorraldusele on iseloomulik, et ssh serveri poole peab saama pöörduda 443/tcp pordi kaudu, vastasel korral ei pruugi proksi ühendust moodustada. Lisaks, erinevalt nt httptunnel tarkvarast, millega saab sammuti kasutada http proksit tcp ühenduste pidamiseks, on ProxyTunnel puhul tarvis ainult nö kliendi poolel teha täiendavaid pingutusi.

Proks logis vastab ühele ssh ühendusele üks rida, nt

1331413631.677 180240 10.5.5.5 TCP_MISS/200 3570489 CONNECT ssh.loomaaed.tartu.ee:443 - DIRECT/10.47.218.19 -

kus

* 10.5.5.5 - kliendi ip
* ssh.loomaaed.tartu.ee - nö veebiserveri st ssh serveri domeeninimi kuhu pöörduti
* 10.47.218.19 - nö veebiserveri st ssh serveri ip kuhu pöörduti
* ProxyTunnel kasutab oma tööks http proxy CONNECT meetodit

===Märkused===

* man ssh_config suvandeid saab kasutada käsurealt -o võtme abil, nt

$ ssh -o UserKnownHostsFile=/tmp/known_hosts root@10.0.6.227

salvestab hosti avaliku võtme ~/.ssh/known_hosts asemel faili /tmp/known_hosts, et ühekordse sisselogimise vajaduse pärast mitte risustada kasutaja known_hosts faili.

* Kui võrk ssh kliendi ja serveri vahel nö tapab idle olekus ssh ühendusi, maksab kasutada kliendi /etc/ssh/ssh_config failis parameetrit

ServerAliveInterval 30

=== Võtmevahetuse ja krüptimise algoritmid ===

Paistab, et 2017 aastal kasutatakse vaikimisi igasugustes linux distributsioonides ssh kliendi ja serveri vahel

* võtmevahetuse algoritm (KexAlgorithms) - curve25519-sha256
* host key algorithm - ecdsa-sha2-nistp256
* sümmeetrilise krüptimise algoritm (Ciphers) - chacha20-poly1305@openssh.com
* sümmeetrilise krüptimise juures kasutatav räsimise algoritm (MACs) - <implicit> peaks tähendama, et see tuleneb chacha20-poly1305@openssh.com algoritmist

Vaikimisi

<pre>
$ ssh imre@192.168.10.123 -v
...
debug1: kex: algorithm: curve25519-sha256@libssh.org
debug1: kex: host key algorithm: ecdsa-sha2-nistp256
debug1: kex: server->client cipher: chacha20-poly1305@openssh.com MAC: <implicit> compression: none
debug1: kex: client->server cipher: chacha20-poly1305@openssh.com MAC: <implicit> compression: none
</pre>

Konkreetsete algoritmide kasutamist saab täpsustada nt selliselt (lisaks on sisse lülitatud pakkimine)

<pre>
$ ssh -C imre@192.168.10.123 -v -o Ciphers=aes128-ctr -o KexAlgorithms=diffie-hellman-group-exchange-sha256 -o MACs=hmac-sha2-512
...
debug1: kex: algorithm: diffie-hellman-group-exchange-sha256
debug1: kex: host key algorithm: ecdsa-sha2-nistp256
debug1: kex: server->client cipher: aes128-ctr MAC: hmac-sha2-512 compression: zlib@openssh.com
debug1: kex: client->server cipher: aes128-ctr MAC: hmac-sha2-512 compression: zlib@openssh.com
</pre>

Tundub, et nende kolme parameetri suvalisi väärtusi ei saa omavahel kombineerida. Võimalike väärtuste nimekirja saab esitada

* võtmevahetus

<pre>
$ ssh -Q kex
diffie-hellman-group1-sha1
diffie-hellman-group14-sha1
diffie-hellman-group-exchange-sha1
diffie-hellman-group-exchange-sha256
ecdh-sha2-nistp256
ecdh-sha2-nistp384
ecdh-sha2-nistp521
curve25519-sha256@libssh.org
</pre>

* sümmeetriline krüptimine

<pre>
$ ssh -Q cipher
3des-cbc
blowfish-cbc
cast128-cbc
arcfour
arcfour128
arcfour256
aes128-cbc
aes192-cbc
aes256-cbc
rijndael-cbc@lysator.liu.se
aes128-ctr
aes192-ctr
aes256-ctr
aes128-gcm@openssh.com
aes256-gcm@openssh.com
chacha20-poly1305@openssh.com
</pre>

* sümmeetrilise krüptimise juures kasutatav räsimine

<pre>
$ ssh -Q mac
hmac-sha1
hmac-sha1-96
hmac-sha2-256
hmac-sha2-512
hmac-md5
hmac-md5-96
hmac-ripemd160
hmac-ripemd160@openssh.com
umac-64@openssh.com
umac-128@openssh.com
hmac-sha1-etm@openssh.com
hmac-sha1-96-etm@openssh.com
hmac-sha2-256-etm@openssh.com
hmac-sha2-512-etm@openssh.com
hmac-md5-etm@openssh.com
hmac-md5-96-etm@openssh.com
hmac-ripemd160-etm@openssh.com
umac-64-etm@openssh.com
umac-128-etm@openssh.com
</pre>

=== Kasulikud lisamaterjalid ===

* [[Fetchmail]]
* SSH üle PPP kanali
* [[PGP]]
* [[:SSH kasutajate chrootimine libpam-chroot mooduli abil Debian Lennyga]]
* [[:WinSCP kasutamine]]
* [[:Openssh chroot]] Kasutaja chrootimine openssh patchi kasutades kodukataloogi
* [[:OpenSSH_administreerimine]]
* http://www.snailbook.com/index.html

OpenSSH kasutamine

2017-09-24T13:51:13Z

Imre: /* Võtmevahetuse ja krüptimise algoritmid */

===Sissejuhatus===

OpenSSH http://www.openssh.org/ tarkvara võimaldab turvalist kaugligipääsu võrku ühendatud seadmetele, nt arvutitele ja ruuteritele. OpenSSH on üks OpenBSD projekti ettevõtmistest, mis on osutunud niivõrd populaarseks, et sellest on kujunenud praktiliselt kõigi 2009 aastal kasutuses olevate vabade operatsioonisüsteemide standardne kaugligipääsu korraldamise instrument. Lisaks on OpenSSH kasutuses ka mitmete mitte-vabade lahenduste juures, nt erinevate tootjate ruuterites.

Peale üle võrgu nö teise arvuti käsureale jõudmise sisaldab OpenSSH muu hulga selliseid võimalusi

* andmete kopeerimine - sftp, scp
* turvaline transport muudele programmidele - rsync, subversion, pppd, X Window System
* portide edasisuunamine
* SOCKS server
* failisüsteemi külgeühendamine - sshfs (FUSE tehnoloogia abil)

Kõik need juhud eeldavad, et teil on kasutajatunnus ka teises masinas. SSH põhineb klient-server mudelil kusjuures ühenduse algatab alati SSH klient. Edaspidises kasutatakse väljendit SSH server, mille all mõeldakse teist masinat ning millel on SSH kliendiga suhtlemiseks sobiv tarkvara.

OpenSSH kasutamist kirjeldatakse Kuutõrvajas kahes tekstis

* käesolev tekst on mõeldud nö süsteemi tavakasutajatele oluliste ülesannete lahendamiseks OpenSSH abil
* aadressil [[:OpenSSH administreerimine]] olev tekst kirjeldab OpenSSH serveri haldamist ning keerulisemad kasutusvõimalusi

===Teise masinasse sisselogimine ja ühenduse lõpetamine===

Kirjeldame lihtsustatult, kuidas toimub SSHga teise masinasse sisselogimine.

Logimisel on kolm etappi:

Protokollide kontroll. Seansi algus ei ole krüptitud. Selle käigus teevad osapooled kindlaks, et nad kasutavad omavahel sobivaid SSH versioone.
Klient veendub serveri ehtsuses. Serveril on kaks RSA võtit: salajane ja avalik. Et klient saaks veenduda, serveri ehtsuses peab ta eelnevalt teadma serveri avalikku võtit. Teatavasti on avaliku võtme krüptograafia kõige nõrgemaks kohaks avaliku võtme edastamine selle kasutajale. Selle võib klient saada, nt disketil, serveri administraatori käest isiklikult, kuid levinum on riskantsem viis. Nimelt esmakordsel ühendusevõtmisel usaldab klient serverit. Saades serveri avaliku võtme ning kliendi so kasutaja nõusoleku, lisatakse see faili ~/.ssh/known_hosts. Kui edaspidi võetakse ühendust sama serveriga, siis on võimalik juba kasutada standardset avaliku võtme krüptograafiat:

Server genereerib ja krüptib juhusliku järgnevuse (ingl. k. challenge) oma salajase võtmega ja saadab selle kliendile.
Klient püüab saadetist lahti krüptida tema käsutuses oleva vastava avaliku võtmega.
Kui see õnnestub, on server ehtne; kui mitte, siis on server võlts või on ta vahepeal endale uud võtmed tekitanud.
Klient saadab serverile tagasi ühe võtmega krüptimise shifri nime (DES, 3DES, IDEA) ja serveri avaliku võtmega krüpteeritud sessioonivõtme. Saadetis on avatav ainult vastava salajase võtmega, mis on eeldatavasti vaid õigel serveril.
Edasine infovahetus serveri ja kliendi vahel toimub üle krüptitud kanali, kusjuures mõlemad pooled kasutavad kokkulepitud shifrit ja sessioonivõtit.

Andmevahetuse alustamist kirjeldab pilt

[[Pilt:Openssh-1.gif]]

kus

* Diffe-Hellmani võtmevahetuse protseduuri abil lepitakse kokku salajane võti

Server veendub kliendi ehtsuses. Esmalt püütakse kasutajat autentida automatiseeritud viisil. Kui see ei õnnestu, kontrollitakse kasutaja UNIXi parooli, kasutades loodud turvalist kanalit.

Praktiliselt algatab klient serveriga ühenduse käsuga ssh, näiteks

gnoom~$ ssh -l priit reptilus.zoo.tartu.ee
Host key not found from the list of known hosts.
Are you sure you want to continue connecting (yes/no)? yes
Host 'reptilus.zoo.tartu.ee' added to the list of known hosts.
Creating random seed file ~/.ssh/random_seed. This may take a while.
priit@reptilus.zoo.tartu.ee's password:
reptilus~$

Seejuures:
* tekitatakse kliendile kataloog ~/.ssh milles sisalduvad SSHle olulised failid,
* serveri avalik võti lisatakse faili ~/.ssh/known_hosts,
* tekitatakse SSH sisemisteks vajadusteks juhuslikku alget sisaldav fail ~/.ssh/random_seed,
* küsitakse kasutaja UNIXi parooli, kuna kasutaja RSA võtmetega automaatne autentimine ebaõnnestus.

Tulemusena saadi äsjases näites ette teise masina viip ja võiks hakata seal toimetama. Sarnase tulemuse oleksite võinud saada telnetiga, kuid SSH abil tekitatud ühendust krüptitakse.

Seansi lõpetamine toimub tavalisel moel välja-logimisega
reptilus~$ logout
gnoom~$

Niisiis,
SSH klient teeb SSH serveri avaliku võtme abil kindlaks SSH serveri ehtsuse ja
seejärel SSH server autendib kasutaja.

'''Märkus:''' Kujutleme olukorda, kus teil on harjumus külastada SSHga mõnda masinat ning te ühtäkki märkate sisselogimisel, et server vastab teile hoiatava veateatega, öeldes, et serveri avalik võti ei klapi, pakkudes aga teile võimalust jätkata sisselogimist. Sama toimub ka igal järgmisel korral. Sel juhul on kaks võimalust:
# Te suhtlete võltsserveriga ning ei tohiks sisselogimist jätkata. Tuleks muude vahenditega kindlaks teha, mis täpselt toimub.
# Server on õige, kuid ta kasutab uusi RSA võtmeid. Sel juhul peab kasutaja oma ~/.ssh/known_hosts failist vastava serveri avaliku võtme rea käepärase tekstiredaktori abil kustutama. Järgmisel külastusel kirjutatakse sinna faili uus serveri avalik võti.

===SSH kliendi seadistamine===

SSH klienti tööd saab juhtida kolmel moel, kusjuures esitatud nimekirja lõpupool asuvatel on kõrgem prioriteet

* /etc/ssh/ssh_config - globaalne seadistusfail
* ~/.ssh/config - kasutaja seadistusfail
* käsureal kasutatud suvandid

Seadistusfailis saab Host parameetrile järgnevate ja enne järgmist Host parameetrit asuvate direktiividega kehtestada kuidas SSH klient käitub esimese Host parameetriga klappivate arvutite SSH serveritega. Lisaks, toimib esimene direktiivi väärtustamine, st et täpsemad määratlused tuleb teha seadistusfaili alguses ning üldisemad lõpus. Näiteks selline /etc/ssh/ssh_config

Host 192.168.10.0/24
GSSAPIAuthentication yes
GSSAPIDelegateCredentials yes

Host *
ForwardX11 yes
GSSAPIAuthentication no
GSSAPIDelegateCredentials no
SendEnv LANG LC_*
HashKnownHosts yes

kehtestab, et

* Kerberose piletite kasutamine ja edasiandmine on lubatud 192.168.10.0/24 võrku kuuluvate arvutitega
* kõigi muude arvutitega suhtelemisel on Kerberose kasutamine keelatud
* Kuna LANG ja LC_* keskkonnamuutujate osas ei ole esimeses Host sektsioonis midagi öeldud, siis viimases näidatud direktiivid kehtivad kõigi SSH serverite puhul

=== Kasututaja autentimine tema RSA võtmetega ===

Teatavasti pakuvad r-korraldused suhteliselt automaatset, kuid ebaturvalist autentimist. Näitame, kuidas eelmises punktis kirjeldatud sisselogimisele ja seansi krüptimisele lisaks korraldada SSH abil automaatset kasutaja autentimist.

Autentimine toimub kasutaja enda moodustatud RSA võtmepaari abil. Rääkides seonduvalt SSHga RSA võtmetest, tuleb teha vahet, millal kõneldakse SSH serveri RSA võtmepaarist ja kunas kasutaja RSA võtmepaarist.

==== RSA võtmete moodustamine ====

Esmalt moodustab kasutaja, näiteks priit@gnoom.zoo.tartu.ee endale RSA võtmepaari käsuga ssh-keygen

$ ssh-keygen
Generating public/private rsa key pair.
Enter file in which to save the key (/home/mart/.ssh/id_rsa):
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /home/mart/.ssh/id_rsa.
Your public key has been saved in /home/mart/.ssh/id_rsa.pub.
The key fingerprint is:
41:89:34:41:90:c1:6e:27:f1:89:a9:16:09:aa:71:41 mart@moraal
The key's randomart image is:
+--[ RSA 2048]----+
|o.E+o*=o.. |
|.oo.= .o. |
|o.o. + . |
|o+ + o . |
|o . o S |
| |
| |
| |
| |
+-----------------+

kus võtme moodustamisel päritakse kasutajalt RSA salajase võtme parooli; selle peab ta sisestama iga kord enne oma salajase võtme kasutamist.

Tulemusena tekitatakse kaks võtit:

* ~/.ssh/id_rsa - kasutaja RSA salajane võti
* ~/.ssh/id_rsa.pub - kasutaja RSA avalik võti

Pange tähele, et avaliku võtme faili sees teksti lõpus on kirjas, kellele see kuulub. Salajane võti on küll parooliga kaitstud, kuid võti peaks siiski olema vaid kasutajale endale loetav.

ssh-keygen võimaldab kasutada sellised võtmeid

* -t rsa või -t dsa - kontrollib, kas moodustatakse rsa või dsa võti
* -b 4096 - võtme pikkus
* -f failinimi - millega algavad võtmetele vastavad failinimed, vaikimisi .ssh/id_rsa*

==== RSA avaliku võtme paigutamine SSH serverisse ====

Oma avaliku võtme peate te lisama külastatava (so. SSH serveri, nt reptilus.zoo.tartu.ee) masina faili ~/.ssh/authorized_keys ja salajase võtme jätma sinna, kuhu ta tekitati. Kuna ~/.ssh/authorized_keys faili sisu on kõigile loetav, pole avaliku võtme edastamisel vaja võtta tarvitusele erilisi ettevaatusabinõusid: peaasi, et võtme sisu jääks muutumatuks. Failis ~/.ssh/authorized_keys võivad sisalduda mitmed avalikud võtmed, igaüks eraldi real ning fail on ASCII kujul. Nii on võimalik külastada SSH serverit erinevatest klient-masinatest. Kõige lihtsam on teha ~/.ssh/identity.pub failist koopia ning see ftp abil SSH serverisse toimetada. Seal andke selle faili lugemis- ja kirjutamisõigus ainult endale

$ chmod 600 ~/.ssh/authorized_keys

Kui te nüüd külastate ssh'ga seda SSH serverit, siis esmalt klient autendib serveri varemkirjeldatud tavapärasel moel. Aga server autendib kliendi selliselt:
server genereerib juhusliku järgnevuse baite ja krüptib need talle teadaoleva kasutaja avaliku võtmega
klient kasutab ainult tal olemasolevat vastavat sajalast võtit ja krüptib saadetise lahti; tulemus saadetakse serverile tagasi
server võrdleb esialgset järgnevust kliendi poolt lahti krüptituga ja nende identsuse korral loeb autentimise õnnestunuks ning kasutajale antakse ette viip.

Lisaks võtmele saab iga authorized_keys faili rea alguses kasutada man sshd tekstis kirjeldatud suvandeid, nt

no-port-forwarding,no-X11-forwarding,no-agent-forwarding,no-pty,\
command="~/bin/skriptinimi.sh",from="192.168.96.138" ssh-rsa AAAAB3NzaC1y ....

kasutamise tulemusena peale kasutaja ssh võtmega sisselogimist täidetakse skript ~/bin/skriptinimi.sh.

Avaliku võtme paigutamist teisse arvutisse lihtsustab ssh-copy-id skript, nt

$ ssh-copy-id mart@ns.auul
mart@ns.auul's password:
Now try logging into the machine, with "ssh 'mart@ns.auul'", and check in:

.ssh/authorized_keys

to make sure we haven't added extra keys that you weren't expecting.

==== RSA võtmete kasutamine ====

Näide automaatsest kasutaja RSA võtmetega autentimisest

gnoom~$ ssh -l priit reptilus.zoo.tartu.ee
Enter passphrase for RSA key 'priit@gnoom.zoo.tartu.ee':
Last login: Thu Nov 11 11:16:09 1999 from mammal.zoo.tartu.ee
Copyright (c) 1980, 1983, 1986, 1988, 1990, 1991, 1993, 1994
The Regents of University of California. All rights reserved.
reptilus~$

Kuna kasutaja autentimisel läheb tarvis tema salajast võtit, siis küsitakse salajase võtme parooli; '-l kasutajanimi' on vajalik, kui kasutajal on teises masinas erinev kasutajanimi. Siiski, kui ka kasutajal on erinevad kasutajanimed erinevates 'teistes masinates', siis ei pruugi ta '-l' võtit kasutada. Selle asemel võib ta kasutajanime ja vastava teise masina nime ära näidata failis ~/.ssh/config; võib kirjeldada mitmeid SSH servereid:

Host reptilus.zoo.tartu.ee
User priidu
Host mammal.zoo.tartu.ee
User priidik

Näites autenditakse gnoomi kasutajat 'priit' masinas reptilus kasutajana 'priidu'; ja masinas mammal kasutajana 'priidik'. Niisiis, et gnoomist logida sisse mammalisse kasutajana 'priidik' piisab kirjeldatud konfiguratsioonifaili olemasolul anda käsk

gnoom~$ ssh mammal.zoo.tartu.ee

Niisiis, standardne UNIXi paroolikontroll on asendatud SSH vahenditega. Hoiatuseks märgime, et juhul, kui teine masin võimaldab vaid SSHga sisselogimist ja te olete oma authorized_keys faili seal moodustanud ning te eksite, nt. ei mäleta oma salajase võtme parooli, siis peate kuidagi eemaldama authorized_keys faili; või vähemalt sellele masinale vastava sissekande, kust te SSH serverit ebaõnnestunult külastada püüate. Loodetavasti on seda võimalik FTPga teha. Kui ei, peate paluma SSH serveri administraatorit.

==== Võtmete mälus hoidmine ====

Eelmises punktis nägime, kuidas korraldada kasutaja (enda) autentimist. Seejuures võib tunduda ebamugavana vajadus iga kord oma salajase võtme parooli sisestada. Tõsi, tehniliselt võite võtmete moodustamisel ka parooli panemata jätta (vajutades Enterit), kuid see oleks turvaline seni, kuni teie salajane võti kindlalt ainult teie valduses on. Tõsi, reeglina see nii ka on. SSH pakub võimaluse salajasi võtmeid kliendi masina mälus hoida kuigi ka see pole väga turvaline, kuid enamasti piisav praktiliseks kasutamiseks.

Selleks käivitatakse võtmete mälus hoidmise agendi abil programm, millele (ja millest käivitatud uutele programmidele) saab teha kasutaja salajase võtme kättesaadavaks. Näiteks koorik

gnoom~$ ssh-agent bash

kus uues shellis on muu hulgas kaks olulist keskkonnamuutujat kirjeldatud, nt selliste väärtustega

SSH_AGENT_PID=23280
SSH_AUTH_SOCK=/tmp/ssh-AFJwe23279/agent.23279

Kui sama kasutajana ja nende muutujate olemasolul käivitada ssh klient, siis ta automaatselt saab ligi kasutada kasutaja privaatset võtit. Seejuures on oluline, et ssh-agent ei anna võtit ennast nö küsijale välja, aga krüptib esitatud materjali ning tagastab tulemuse küsijale.

Eeldades, et te hoiate oma salajasi võtmeid failis ~/.ssh/indentity, saate nad mällu laadida korraldusega ssh-add

gnoom~$ ssh-add
Need passphrase for /home/priit/.ssh/identity (priit@gnoom.zoo.tartu.ee)
Enter passphrase:
Identity added: /home/priit/.ssh/identity (priit@gnoom.zoo.tartu.ee)

Nüüd saavad kõik uuest koorikust järgnevalt käivitatud programmid, näiteks ssh ja cvs, vajadusel kasutada mällu laaditud SSH RSA sajalasi võtmeid.

Mälus olevate salajaste võtmete vaatamiseks on korraldus

gnoom~$ ssh-add -l

Salajaste võtmete mälust eemaldamiseks on korraldus

gnoom~$ ssh-add -D

====Agent forwarding====

Kui ssh-agent kasutamisel tavaliselt saab teisse arvutisse siis ja sellega lõpeb, siis agent forwarding kasutamisel tekitatakse peale teisse arvutisse sinna /tmp kataloogi vastav unix soket ning teisest arvutist saab edasi logida kusjuures kasutatakse esimese arvuti ssh-agent'i teenuseid. ssh agent forwarding on tavaliselt vaikimisi välja lülitatud, kävitamiseks tuleb kasutad ssh kliendi juures nt -A võtit (ka serveri poolel peab olema AllowAgentForwarding sisse lülitatud, vaikimisi tavaliselt on)

gnoom~$ ssh -A mart@teine.arvuti

Seejuures tuleb arvestada nn ssh agendi kaaperdamise võimalusega, http://www.unixwiz.net/techtips/ssh-agent-forwarding.html#sec. St kui teises arvutis saab pahatahtlik kasutaja (nt root) ligi /tmp kataloogi tehtud soketile, siis on tal võimalus igale poole sisse logida teie nimel kuhu te oma võtmega saaks (eeldusel, et teisest arvutist on võrguühenduse mõttes ligipääs olemas).

====Mitme ssh võtmekomplekti kasutamine====

Kui mingil põhjusel kasutaja ei usalda ühte ja sama ssh avalikku võtit kasutada mitmes muus arvutis, siis saab ta kasutada ka erinevaid võtmekomplekte. Täiendava võtmepaari genereerimiseks sobib öelda nt

$ ssh-keygen -b 4096 -t rsa -f .ssh/loomaaed

mille tulemusena tekitatakse kaks faili

.ssh/loomaaed
.ssh/loomaaed.pub

Alternatiivse võtme kasutamiseks tuleb avalik osa loomaaed.pub kopeerida teisse arvutisse ning privaatset osa kasutada nt selliselt

$ ssh loomaaed.tartu.ee -i .ssh/loomaaed

=== Korralduste täitmine teises masinas ===

SSH võimaldab lasta korraldusi täita teises masinas, kasutades järgmist süntaksit
ssh -l kasutaja2 teise.masina.nimi käsk käsu-võtmed

kasutaja2 on kasutajanimi teises masinas, kelle õigustes seal tegutsetakse.

Sõltuvalt korralduse iseloomust võib väljund esituda ekraanil. Korralduse täitmisele eelneb varemkirjeldatud autentimine.

Anname näiteks teises masinas korralduse 'hostname -f'

gnoom~$ ssh -l kasutaja2 reptilus.zoo.tartu.ee hostname -f
reptilus.zoo.tartu.ee
gnoom~$

või korralduse 'w'
gnoom~$ ssh kasutaja2@reptilus.zoo.tartu.ee w
12:10PM up 9 days, 21:18, 8 users, load averages: 0.02, 0.03, 0.00
USER TTY FROM LOGIN@ IDLE WHAT
mart tty2 mammal 11:09AM 0:05 bash
gnoom~$

Paralleelselt on lubatud kasutada ka konstruktsiooni kasutajanimi@masina.nimi.

Mõned programmid, nagu näiteks mc eeldavad, et neile eraldatakse kauges masinas terminal, seda peab näitama võtmega -t
gnoom~$ ssh -t kasutaja2@reptilus.zoo.tartu.ee mc

===Andmete kopeerimine===

SSH võimaldab mitmel viisil andmed arvutite vahel kopeerida

* scp
* sftp
* kasutada ssh stdio võimalusi

====SCP====

masinate vahel käsuga scp faile kopeerida järgmise süntaksi kohaselt
scp võti kasutaja1@masin1.nimi:/kataloog1/failinimi1 kasutaja2@masin2.nimi:./kataloog2/failinimi2

Mõlemad argumendid koosnevad kahest osast, mida eraldab koolon (:)
* masina nimi
* failinimi

Kui failinimi algab punktiga (.), siis näitab see faili asukohta vastava masina kasutaja kodukataloogi suhtes; muidu on tegu absoluutse nimega.

Esimeseks argumendiks on kopeeritava faili nimi ja teiseks nimi, millega ta teises masinas salvestatakse.

Programm scp näitab kopeerimise ajal progressi. Kasutades võtit -A seda ei tehta.

Korralduse täitmisele eelneb eelkirjeldatud autentimine, kusjuures kehtivad võimalused võtmeid mälus hoida. Näiteks kopeerib kasutaja priit faili priidupilt.jpg teisest masinast kohalikku
gnoom~$ scp priidu@reptilus.zoo.tartu.ee:./public_html/priidupilt.jpg priidupilt.jpg
priidupilt.jpg | 6600 KB | 179.7 kB/s | ETA: 00:03:00 | 83%

Võimalik on kopeerida faile ka nö teise ja kolmanda masina vahel, see tähendab, et ei see, kust fail võetakse ega see, kuhu ta pannakse, pole masin, mille viip teil ees on
gnoom~$ scp priidu@reptilus.zoo.tartu.ee:./pilt.jpg priidik@mammal.zoo.tartu.ee:./pildid/pingu.jpg

====SSH STDIO kasutamine====

Failide kopeerimisel saab kasutada ka IOga manipuleerimist, näiteks kasutaja arhiveerib kataloogi ~/public_html sisu, pakib andmed ning saadab SSH abil üle võrgu teise masinasse; seal sisenetakse kodukataloogi ning harutatakse arhiiv lahti

$ tar cf - ~/public_html | gzip | ssh reptilus.zoo.tartu.ee 'cd ~ && cat - > priidu.koduleht.tgz'

====SFTP====

Iseenesest on SFTP on SSH eraldiseisev protokoll, kuid praktiliselt on suure tõenäosusega kõige populaarsem SFTP protokolli kasutamine just SSH nn alamsüsteemina (ingl. k. subsystem).

Serveri poolel peab olema SFTP alamsüsteem seadistatud, nt

Subsystem sftp /usr/lib/openssh/sftp-server

Enamasti on see juba kasutaja eest paika pandud

ja kliendi poolt kasutamiseks sobib öelda

$ sftp arvutinimi
sftp>

SFTP erinevusteks võrreldes scp'ga on

* muuta teise arvuti failide metaandmeid, nt omanikke ja loabitte
* peatada ja jätkata kopeerimist
* põhimõtteliselt töötab andmevahetus pisut aeglasemalt

Lisaks nö käsureakliendile on mitmeid graafilise SFTP kliente, Windows operatsioonisüsteemile WinSCP nint Linuxile nt Filezilla

[[Pilt:Filezilla-1.gif]]

=== Oma RSA salajase võtme parooli muutmine ===

Oma salajase võtme parooli muutmiseks kasutage käsku ssh-keygen võtmega -p
gnoom~$ ssh-keygen -p
Enter file key is in (/home/priit/.ssh/identity):
Enter old passphrase:
Key has comment 'priit@gnoom.zoo.tartu.ee'
Enter new passphrase:
Enter the same passphrase again:
Your identification has been saved with the new passphrase.

Parooli muutmiseks on vaja vana parooli teada. Kui see on unustatud, tuleb genereerida uus RSA võtmepaar ning seda kasutama asuda.

=== Pordi edasisuunamine ===

Mitmetel põhjustel, näiteks turvalisus või kasutusmugavus võib olla abiks selle asemel, et pöörduda otse teenuse poole üle interneti aadress:port, pöörduda aadressile localhost:port.

Eemal asuva serveri pordi suunamine kohaliku masina localhost porti toimub käsuga

bash$ ssh priit@gnoom.zoo.tartu.ee -L 6565:localhost:5432

Selle tulemusena saab pöörduda localhost:6565 poole ning kasutada eemal asuva masina pordil localhost:5432 olevat teenust. Näiteks võiks sellest olla kasu kui gnoom.zoo.tartu.ee asub otse avalikus võrgus, aga seal töötav PostgreSQL andmebaas kuulab localhostil ning soovite andmebaasi kasutada kohalikus masinas töötava PgAdmin klientprogrammiga.

Kohaliku masin pordi 192.168.1.3:3306 suunamine eemal asuva arvuti gnoom.zoo.tartu.ee porti localhost:6565 toimub käsuga

bash$ ssh priit@gnoom.zoo.tartu.ee -R 6565:192.168.1.3:3306

Selle tulemusena saab eemal oleva masina kasutaja pöörduda enda arvuti localhost:6565 poole ning kasutaja teie kohaliku arvuti pordil 192.168.1.3:3306 töötavat teenust. Näiteks võiks sellest kasu olla kui teie töökohaarvutil ei ole avalikku ip aadressi ning te soovite kellelegi tutvustada mõnda oma arvutis töötavat programmi. Kusjuures 192.168.1.3 arvuti võib olla ka nö kolmas arvuti, st mitte see kus ssh programm käivitatakse. Nii saab kahe arvuti, millel otseselt ei ole üksteisele ligipääsu, vahel tekitada tcp ühenduse kolmanda arvuti (kus töötab ssh klient) abil.

NB! Tundub, et selline suunamine ei tööta kui ssh kliendi käivitamisel minnakse käsitsi üle hoiatustest, tõtt-öelda viimasel real nii öeldakse ka

Port forwarding is disabled to avoid man-in-the-middle attacks.

# ssh root@10.0.13.173 -R 1521:10.0.23.66:1521
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@ WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that a host key has just been changed.
The fingerprint for the ECDSA key sent by the remote host is
41:9f:3f:2d:1b:c4:14:be:35:67:53:9d:59:cf:4c:06 [MD5].
Please contact your system administrator.
Add correct host key in /root/.ssh/known_hosts to get rid of this message.
Offending ECDSA key in /root/.ssh/known_hosts:730
Password authentication is disabled to avoid man-in-the-middle attacks.
Keyboard-interactive authentication is disabled to avoid man-in-the-middle attacks.
Port forwarding is disabled to avoid man-in-the-middle attacks.
Uuemad SSH versioonid võimaldavad lisaks localhostile seostada nii suunatud porte ka muude võrguliidestega.

Kuna portide suunamisel -L võtme kasutamisel hakkab ssh kuulama täiendavalt kohalik masina sellel pordil ning -R võtme kasutamisel hakkab kuulama täiendavalt kauge arvuti näidatud pordil, siis tuleb arvestada, et privilegeerimata kasutaja ei saa kasutada alla 1024 porte; -L puhul saab sarnase teate

$ ssh mart@loomaaed.tartu.ee -L 222:localhost:22
Privileged ports can only be forwarded by root.

===Sessioonide multipleksimine===

Kui ühel või teisel põhjusel on tarvis kasutada üle ühe tcp ühenduse (ingl. k. tcp connection) mitut ssh sessiooni, st mitu korda ühest ja samast ühest arvutist ühte ja samasse teise arvutisse pöörduda, siis sobib seda teha nn ssh ControlMaster abil. Esmalt moodustatakse ControlMaster ühendus, mille käigus tekitatakse soket failisüsteemi

ns:~$ ssh -Mt -S /tmp/ssh.imre.fs imre@fs.loomaaed.tartu.ee
fs:~$

Ning seejärel saab ssh ühendusi tekitada sarnaselt, nagu näha toimub järgmise ühenduse moodustamine oluliselt väiksema vaevaga

ns:~$ ssh -S /tmp/ssh.imre.fs imre@fs.loomaaed.tartu.ee -v
OpenSSH_5.5p1 Debian-6, OpenSSL 0.9.8o 01 Jun 2010
debug1: Reading configuration data /etc/ssh/ssh_config
debug1: Applying options for *
debug1: mux_client_request_session: master session id: 3
Last login: Mon Aug 22 20:34:14 2011 from moraal.auul
fs:~$

Sellisele asjakorraldusele on iseloomulik

* järgmiste ühenduste tekitamine toimub kiiremini
* võrgus on üks tcp ühendus
* server poolel töötab vaid ühs sshd protsess

fs:~$ ps aux | grep 'sshd:'
imre 19383 0.0 0.3 8264 2744 ? Ss 20:33 0:00 sshd: imre@pts/0,pts/1,pts/2

===X rakenduste kasutamine üle võrgu===

Teatavasti on Xi akende so programmide üle võrgu vedamine ebaturvaline, lisaks ka ebamugav, kuna peab paika sättima DISPLAY keskkonnamuutujat või näitama selle ära käsureal, näiteks
gnoom~$ gimp -display reptilus.zoo.tartu.ee:0

Peale selle on vaja Xserveris ära näidata käsuga xhost, milline kasutaja ja millisest masinast võib seal aknaid avada.

SSH teeb asja turvalisemaks ja lihtsamaks. Näiteks käivitame teise masina programmi xterm nii, et programm avaneb kohalikus Xserveris aknana:
retpilus~$ ssh gnoom.zoo.tartu.ee /usr/X11R6/bin/xterm

Ning kui avanenud xterm'ist käivitada järgnevalt programme, toimub andmete liikumine samuti üle üle SSH kanali ning aknad avatakse selles Xserveris, kus see xtermi aken asub.

===ssh serveri kasutamine läbi https proksi===

ProxyTunnel http://proxytunnel.sourceforge.net/ tarkvara abil saab ssh kliendiga pöörduda ssh serveri poole läbi https proksi. See võib olla vajalik nt juhtumil kui klient asub võrgus, millest ei saa pöörduda välja muul viisil kui https proksi kaudu. Seejuures võib proksi küsida ka kasutajalt parooli. Kasutamiseks tuleb operatsioonisüsteemi vahenditega paigaldada pakett proxytunnel ning seejärel lisada ssh kliendi seadistusfaili

$ cat .ssh/config
...
Host ssh-tla
ServerAliveInterval 30
ProxyCommand /usr/bin/proxytunnel -p cache.teenusepakkuja.ee:3128 -d ssh.loomaaed.tartu.ee:443

kus

* -p - teenusepakkuja host:port
* -d - ssh serveri host:port

Kasutamiseks tuleb pöörduda ssh serveri poole kasutades config failis kasutatud Host väärtust

$ ssh priit@ssh-tla
Via cache.teenusepakkuja.ee:3128 -> ssh.loomaaed.tartu.ee:443
Linux ssh 2.6.32-5-amd64 #1 SMP Mon Jan 16 16:22:28 UTC 2012 x86_64
...
priit@rakendus:~$

Sellisele asjakorraldusele on iseloomulik, et ssh serveri poole peab saama pöörduda 443/tcp pordi kaudu, vastasel korral ei pruugi proksi ühendust moodustada. Lisaks, erinevalt nt httptunnel tarkvarast, millega saab sammuti kasutada http proksit tcp ühenduste pidamiseks, on ProxyTunnel puhul tarvis ainult nö kliendi poolel teha täiendavaid pingutusi.

Proks logis vastab ühele ssh ühendusele üks rida, nt

1331413631.677 180240 10.5.5.5 TCP_MISS/200 3570489 CONNECT ssh.loomaaed.tartu.ee:443 - DIRECT/10.47.218.19 -

kus

* 10.5.5.5 - kliendi ip
* ssh.loomaaed.tartu.ee - nö veebiserveri st ssh serveri domeeninimi kuhu pöörduti
* 10.47.218.19 - nö veebiserveri st ssh serveri ip kuhu pöörduti
* ProxyTunnel kasutab oma tööks http proxy CONNECT meetodit

===Märkused===

* man ssh_config suvandeid saab kasutada käsurealt -o võtme abil, nt

$ ssh -o UserKnownHostsFile=/tmp/known_hosts root@10.0.6.227

salvestab hosti avaliku võtme ~/.ssh/known_hosts asemel faili /tmp/known_hosts, et ühekordse sisselogimise vajaduse pärast mitte risustada kasutaja known_hosts faili.

* Kui võrk ssh kliendi ja serveri vahel nö tapab idle olekus ssh ühendusi, maksab kasutada kliendi /etc/ssh/ssh_config failis parameetrit

ServerAliveInterval 30

=== Võtmevahetuse ja krüptimise algoritmid ===

Paistab, et 2017 aastal kasutatakse vaikimisi igasugustes linux distributsioonides ssh kliendi ja serveri vahel

* võtmevahetuse algoritm (KexAlgorithms) - curve25519-sha256
* sümmeetrilise krüptimise algoritm (Ciphers) - chacha20-poly1305@openssh.com
* sümmeetrilise krüptimise juures kasutatav räsimise algoritm (MACs) - <implicit> peaks tähendama, et see tuleneb chacha20-poly1305@openssh.com algoritmist

Vaikimisi

<pre>
$ ssh imre@192.168.10.123 -v
...
debug1: kex: algorithm: curve25519-sha256@libssh.org
debug1: kex: host key algorithm: ecdsa-sha2-nistp256
debug1: kex: server->client cipher: chacha20-poly1305@openssh.com MAC: <implicit> compression: none
debug1: kex: client->server cipher: chacha20-poly1305@openssh.com MAC: <implicit> compression: none
</pre>

Konkreetsete algoritmide kasutamist saab täpsustada nt selliselt (lisaks on sisse lülitatud pakkimine)

<pre>
$ ssh -C imre@192.168.10.123 -v -o Ciphers=aes128-ctr -o KexAlgorithms=diffie-hellman-group-exchange-sha256 -o MACs=hmac-sha2-512
...
debug1: kex: algorithm: diffie-hellman-group-exchange-sha256
debug1: kex: host key algorithm: ecdsa-sha2-nistp256
debug1: kex: server->client cipher: aes128-ctr MAC: hmac-sha2-512 compression: zlib@openssh.com
debug1: kex: client->server cipher: aes128-ctr MAC: hmac-sha2-512 compression: zlib@openssh.com
</pre>

Tundub, et nende kolme parameetri suvalisi väärtusi ei saa omavahel kombineerida. Võimalike väärtuste nimekirja saab esitada

* võtmevahetus

<pre>
$ ssh -Q kex
diffie-hellman-group1-sha1
diffie-hellman-group14-sha1
diffie-hellman-group-exchange-sha1
diffie-hellman-group-exchange-sha256
ecdh-sha2-nistp256
ecdh-sha2-nistp384
ecdh-sha2-nistp521
curve25519-sha256@libssh.org
</pre>

* sümmeetriline krüptimine

<pre>
$ ssh -Q cipher
3des-cbc
blowfish-cbc
cast128-cbc
arcfour
arcfour128
arcfour256
aes128-cbc
aes192-cbc
aes256-cbc
rijndael-cbc@lysator.liu.se
aes128-ctr
aes192-ctr
aes256-ctr
aes128-gcm@openssh.com
aes256-gcm@openssh.com
chacha20-poly1305@openssh.com
</pre>

* sümmeetrilise krüptimise juures kasutatav räsimine

<pre>
$ ssh -Q mac
hmac-sha1
hmac-sha1-96
hmac-sha2-256
hmac-sha2-512
hmac-md5
hmac-md5-96
hmac-ripemd160
hmac-ripemd160@openssh.com
umac-64@openssh.com
umac-128@openssh.com
hmac-sha1-etm@openssh.com
hmac-sha1-96-etm@openssh.com
hmac-sha2-256-etm@openssh.com
hmac-sha2-512-etm@openssh.com
hmac-md5-etm@openssh.com
hmac-md5-96-etm@openssh.com
hmac-ripemd160-etm@openssh.com
umac-64-etm@openssh.com
umac-128-etm@openssh.com
</pre>

=== Kasulikud lisamaterjalid ===

* [[Fetchmail]]
* SSH üle PPP kanali
* [[PGP]]
* [[:SSH kasutajate chrootimine libpam-chroot mooduli abil Debian Lennyga]]
* [[:WinSCP kasutamine]]
* [[:Openssh chroot]] Kasutaja chrootimine openssh patchi kasutades kodukataloogi
* [[:OpenSSH_administreerimine]]
* http://www.snailbook.com/index.html

OpenSSH kasutamine

2017-09-24T13:49:24Z

Imre: /* Võtmevahetuse ja krüptimise algoritmid */

===Sissejuhatus===

OpenSSH http://www.openssh.org/ tarkvara võimaldab turvalist kaugligipääsu võrku ühendatud seadmetele, nt arvutitele ja ruuteritele. OpenSSH on üks OpenBSD projekti ettevõtmistest, mis on osutunud niivõrd populaarseks, et sellest on kujunenud praktiliselt kõigi 2009 aastal kasutuses olevate vabade operatsioonisüsteemide standardne kaugligipääsu korraldamise instrument. Lisaks on OpenSSH kasutuses ka mitmete mitte-vabade lahenduste juures, nt erinevate tootjate ruuterites.

Peale üle võrgu nö teise arvuti käsureale jõudmise sisaldab OpenSSH muu hulga selliseid võimalusi

* andmete kopeerimine - sftp, scp
* turvaline transport muudele programmidele - rsync, subversion, pppd, X Window System
* portide edasisuunamine
* SOCKS server
* failisüsteemi külgeühendamine - sshfs (FUSE tehnoloogia abil)

Kõik need juhud eeldavad, et teil on kasutajatunnus ka teises masinas. SSH põhineb klient-server mudelil kusjuures ühenduse algatab alati SSH klient. Edaspidises kasutatakse väljendit SSH server, mille all mõeldakse teist masinat ning millel on SSH kliendiga suhtlemiseks sobiv tarkvara.

OpenSSH kasutamist kirjeldatakse Kuutõrvajas kahes tekstis

* käesolev tekst on mõeldud nö süsteemi tavakasutajatele oluliste ülesannete lahendamiseks OpenSSH abil
* aadressil [[:OpenSSH administreerimine]] olev tekst kirjeldab OpenSSH serveri haldamist ning keerulisemad kasutusvõimalusi

===Teise masinasse sisselogimine ja ühenduse lõpetamine===

Kirjeldame lihtsustatult, kuidas toimub SSHga teise masinasse sisselogimine.

Logimisel on kolm etappi:

Protokollide kontroll. Seansi algus ei ole krüptitud. Selle käigus teevad osapooled kindlaks, et nad kasutavad omavahel sobivaid SSH versioone.
Klient veendub serveri ehtsuses. Serveril on kaks RSA võtit: salajane ja avalik. Et klient saaks veenduda, serveri ehtsuses peab ta eelnevalt teadma serveri avalikku võtit. Teatavasti on avaliku võtme krüptograafia kõige nõrgemaks kohaks avaliku võtme edastamine selle kasutajale. Selle võib klient saada, nt disketil, serveri administraatori käest isiklikult, kuid levinum on riskantsem viis. Nimelt esmakordsel ühendusevõtmisel usaldab klient serverit. Saades serveri avaliku võtme ning kliendi so kasutaja nõusoleku, lisatakse see faili ~/.ssh/known_hosts. Kui edaspidi võetakse ühendust sama serveriga, siis on võimalik juba kasutada standardset avaliku võtme krüptograafiat:

Server genereerib ja krüptib juhusliku järgnevuse (ingl. k. challenge) oma salajase võtmega ja saadab selle kliendile.
Klient püüab saadetist lahti krüptida tema käsutuses oleva vastava avaliku võtmega.
Kui see õnnestub, on server ehtne; kui mitte, siis on server võlts või on ta vahepeal endale uud võtmed tekitanud.
Klient saadab serverile tagasi ühe võtmega krüptimise shifri nime (DES, 3DES, IDEA) ja serveri avaliku võtmega krüpteeritud sessioonivõtme. Saadetis on avatav ainult vastava salajase võtmega, mis on eeldatavasti vaid õigel serveril.
Edasine infovahetus serveri ja kliendi vahel toimub üle krüptitud kanali, kusjuures mõlemad pooled kasutavad kokkulepitud shifrit ja sessioonivõtit.

Andmevahetuse alustamist kirjeldab pilt

[[Pilt:Openssh-1.gif]]

kus

* Diffe-Hellmani võtmevahetuse protseduuri abil lepitakse kokku salajane võti

Server veendub kliendi ehtsuses. Esmalt püütakse kasutajat autentida automatiseeritud viisil. Kui see ei õnnestu, kontrollitakse kasutaja UNIXi parooli, kasutades loodud turvalist kanalit.

Praktiliselt algatab klient serveriga ühenduse käsuga ssh, näiteks

gnoom~$ ssh -l priit reptilus.zoo.tartu.ee
Host key not found from the list of known hosts.
Are you sure you want to continue connecting (yes/no)? yes
Host 'reptilus.zoo.tartu.ee' added to the list of known hosts.
Creating random seed file ~/.ssh/random_seed. This may take a while.
priit@reptilus.zoo.tartu.ee's password:
reptilus~$

Seejuures:
* tekitatakse kliendile kataloog ~/.ssh milles sisalduvad SSHle olulised failid,
* serveri avalik võti lisatakse faili ~/.ssh/known_hosts,
* tekitatakse SSH sisemisteks vajadusteks juhuslikku alget sisaldav fail ~/.ssh/random_seed,
* küsitakse kasutaja UNIXi parooli, kuna kasutaja RSA võtmetega automaatne autentimine ebaõnnestus.

Tulemusena saadi äsjases näites ette teise masina viip ja võiks hakata seal toimetama. Sarnase tulemuse oleksite võinud saada telnetiga, kuid SSH abil tekitatud ühendust krüptitakse.

Seansi lõpetamine toimub tavalisel moel välja-logimisega
reptilus~$ logout
gnoom~$

Niisiis,
SSH klient teeb SSH serveri avaliku võtme abil kindlaks SSH serveri ehtsuse ja
seejärel SSH server autendib kasutaja.

'''Märkus:''' Kujutleme olukorda, kus teil on harjumus külastada SSHga mõnda masinat ning te ühtäkki märkate sisselogimisel, et server vastab teile hoiatava veateatega, öeldes, et serveri avalik võti ei klapi, pakkudes aga teile võimalust jätkata sisselogimist. Sama toimub ka igal järgmisel korral. Sel juhul on kaks võimalust:
# Te suhtlete võltsserveriga ning ei tohiks sisselogimist jätkata. Tuleks muude vahenditega kindlaks teha, mis täpselt toimub.
# Server on õige, kuid ta kasutab uusi RSA võtmeid. Sel juhul peab kasutaja oma ~/.ssh/known_hosts failist vastava serveri avaliku võtme rea käepärase tekstiredaktori abil kustutama. Järgmisel külastusel kirjutatakse sinna faili uus serveri avalik võti.

===SSH kliendi seadistamine===

SSH klienti tööd saab juhtida kolmel moel, kusjuures esitatud nimekirja lõpupool asuvatel on kõrgem prioriteet

* /etc/ssh/ssh_config - globaalne seadistusfail
* ~/.ssh/config - kasutaja seadistusfail
* käsureal kasutatud suvandid

Seadistusfailis saab Host parameetrile järgnevate ja enne järgmist Host parameetrit asuvate direktiividega kehtestada kuidas SSH klient käitub esimese Host parameetriga klappivate arvutite SSH serveritega. Lisaks, toimib esimene direktiivi väärtustamine, st et täpsemad määratlused tuleb teha seadistusfaili alguses ning üldisemad lõpus. Näiteks selline /etc/ssh/ssh_config

Host 192.168.10.0/24
GSSAPIAuthentication yes
GSSAPIDelegateCredentials yes

Host *
ForwardX11 yes
GSSAPIAuthentication no
GSSAPIDelegateCredentials no
SendEnv LANG LC_*
HashKnownHosts yes

kehtestab, et

* Kerberose piletite kasutamine ja edasiandmine on lubatud 192.168.10.0/24 võrku kuuluvate arvutitega
* kõigi muude arvutitega suhtelemisel on Kerberose kasutamine keelatud
* Kuna LANG ja LC_* keskkonnamuutujate osas ei ole esimeses Host sektsioonis midagi öeldud, siis viimases näidatud direktiivid kehtivad kõigi SSH serverite puhul

=== Kasututaja autentimine tema RSA võtmetega ===

Teatavasti pakuvad r-korraldused suhteliselt automaatset, kuid ebaturvalist autentimist. Näitame, kuidas eelmises punktis kirjeldatud sisselogimisele ja seansi krüptimisele lisaks korraldada SSH abil automaatset kasutaja autentimist.

Autentimine toimub kasutaja enda moodustatud RSA võtmepaari abil. Rääkides seonduvalt SSHga RSA võtmetest, tuleb teha vahet, millal kõneldakse SSH serveri RSA võtmepaarist ja kunas kasutaja RSA võtmepaarist.

==== RSA võtmete moodustamine ====

Esmalt moodustab kasutaja, näiteks priit@gnoom.zoo.tartu.ee endale RSA võtmepaari käsuga ssh-keygen

$ ssh-keygen
Generating public/private rsa key pair.
Enter file in which to save the key (/home/mart/.ssh/id_rsa):
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /home/mart/.ssh/id_rsa.
Your public key has been saved in /home/mart/.ssh/id_rsa.pub.
The key fingerprint is:
41:89:34:41:90:c1:6e:27:f1:89:a9:16:09:aa:71:41 mart@moraal
The key's randomart image is:
+--[ RSA 2048]----+
|o.E+o*=o.. |
|.oo.= .o. |
|o.o. + . |
|o+ + o . |
|o . o S |
| |
| |
| |
| |
+-----------------+

kus võtme moodustamisel päritakse kasutajalt RSA salajase võtme parooli; selle peab ta sisestama iga kord enne oma salajase võtme kasutamist.

Tulemusena tekitatakse kaks võtit:

* ~/.ssh/id_rsa - kasutaja RSA salajane võti
* ~/.ssh/id_rsa.pub - kasutaja RSA avalik võti

Pange tähele, et avaliku võtme faili sees teksti lõpus on kirjas, kellele see kuulub. Salajane võti on küll parooliga kaitstud, kuid võti peaks siiski olema vaid kasutajale endale loetav.

ssh-keygen võimaldab kasutada sellised võtmeid

* -t rsa või -t dsa - kontrollib, kas moodustatakse rsa või dsa võti
* -b 4096 - võtme pikkus
* -f failinimi - millega algavad võtmetele vastavad failinimed, vaikimisi .ssh/id_rsa*

==== RSA avaliku võtme paigutamine SSH serverisse ====

Oma avaliku võtme peate te lisama külastatava (so. SSH serveri, nt reptilus.zoo.tartu.ee) masina faili ~/.ssh/authorized_keys ja salajase võtme jätma sinna, kuhu ta tekitati. Kuna ~/.ssh/authorized_keys faili sisu on kõigile loetav, pole avaliku võtme edastamisel vaja võtta tarvitusele erilisi ettevaatusabinõusid: peaasi, et võtme sisu jääks muutumatuks. Failis ~/.ssh/authorized_keys võivad sisalduda mitmed avalikud võtmed, igaüks eraldi real ning fail on ASCII kujul. Nii on võimalik külastada SSH serverit erinevatest klient-masinatest. Kõige lihtsam on teha ~/.ssh/identity.pub failist koopia ning see ftp abil SSH serverisse toimetada. Seal andke selle faili lugemis- ja kirjutamisõigus ainult endale

$ chmod 600 ~/.ssh/authorized_keys

Kui te nüüd külastate ssh'ga seda SSH serverit, siis esmalt klient autendib serveri varemkirjeldatud tavapärasel moel. Aga server autendib kliendi selliselt:
server genereerib juhusliku järgnevuse baite ja krüptib need talle teadaoleva kasutaja avaliku võtmega
klient kasutab ainult tal olemasolevat vastavat sajalast võtit ja krüptib saadetise lahti; tulemus saadetakse serverile tagasi
server võrdleb esialgset järgnevust kliendi poolt lahti krüptituga ja nende identsuse korral loeb autentimise õnnestunuks ning kasutajale antakse ette viip.

Lisaks võtmele saab iga authorized_keys faili rea alguses kasutada man sshd tekstis kirjeldatud suvandeid, nt

no-port-forwarding,no-X11-forwarding,no-agent-forwarding,no-pty,\
command="~/bin/skriptinimi.sh",from="192.168.96.138" ssh-rsa AAAAB3NzaC1y ....

kasutamise tulemusena peale kasutaja ssh võtmega sisselogimist täidetakse skript ~/bin/skriptinimi.sh.

Avaliku võtme paigutamist teisse arvutisse lihtsustab ssh-copy-id skript, nt

$ ssh-copy-id mart@ns.auul
mart@ns.auul's password:
Now try logging into the machine, with "ssh 'mart@ns.auul'", and check in:

.ssh/authorized_keys

to make sure we haven't added extra keys that you weren't expecting.

==== RSA võtmete kasutamine ====

Näide automaatsest kasutaja RSA võtmetega autentimisest

gnoom~$ ssh -l priit reptilus.zoo.tartu.ee
Enter passphrase for RSA key 'priit@gnoom.zoo.tartu.ee':
Last login: Thu Nov 11 11:16:09 1999 from mammal.zoo.tartu.ee
Copyright (c) 1980, 1983, 1986, 1988, 1990, 1991, 1993, 1994
The Regents of University of California. All rights reserved.
reptilus~$

Kuna kasutaja autentimisel läheb tarvis tema salajast võtit, siis küsitakse salajase võtme parooli; '-l kasutajanimi' on vajalik, kui kasutajal on teises masinas erinev kasutajanimi. Siiski, kui ka kasutajal on erinevad kasutajanimed erinevates 'teistes masinates', siis ei pruugi ta '-l' võtit kasutada. Selle asemel võib ta kasutajanime ja vastava teise masina nime ära näidata failis ~/.ssh/config; võib kirjeldada mitmeid SSH servereid:

Host reptilus.zoo.tartu.ee
User priidu
Host mammal.zoo.tartu.ee
User priidik

Näites autenditakse gnoomi kasutajat 'priit' masinas reptilus kasutajana 'priidu'; ja masinas mammal kasutajana 'priidik'. Niisiis, et gnoomist logida sisse mammalisse kasutajana 'priidik' piisab kirjeldatud konfiguratsioonifaili olemasolul anda käsk

gnoom~$ ssh mammal.zoo.tartu.ee

Niisiis, standardne UNIXi paroolikontroll on asendatud SSH vahenditega. Hoiatuseks märgime, et juhul, kui teine masin võimaldab vaid SSHga sisselogimist ja te olete oma authorized_keys faili seal moodustanud ning te eksite, nt. ei mäleta oma salajase võtme parooli, siis peate kuidagi eemaldama authorized_keys faili; või vähemalt sellele masinale vastava sissekande, kust te SSH serverit ebaõnnestunult külastada püüate. Loodetavasti on seda võimalik FTPga teha. Kui ei, peate paluma SSH serveri administraatorit.

==== Võtmete mälus hoidmine ====

Eelmises punktis nägime, kuidas korraldada kasutaja (enda) autentimist. Seejuures võib tunduda ebamugavana vajadus iga kord oma salajase võtme parooli sisestada. Tõsi, tehniliselt võite võtmete moodustamisel ka parooli panemata jätta (vajutades Enterit), kuid see oleks turvaline seni, kuni teie salajane võti kindlalt ainult teie valduses on. Tõsi, reeglina see nii ka on. SSH pakub võimaluse salajasi võtmeid kliendi masina mälus hoida kuigi ka see pole väga turvaline, kuid enamasti piisav praktiliseks kasutamiseks.

Selleks käivitatakse võtmete mälus hoidmise agendi abil programm, millele (ja millest käivitatud uutele programmidele) saab teha kasutaja salajase võtme kättesaadavaks. Näiteks koorik

gnoom~$ ssh-agent bash

kus uues shellis on muu hulgas kaks olulist keskkonnamuutujat kirjeldatud, nt selliste väärtustega

SSH_AGENT_PID=23280
SSH_AUTH_SOCK=/tmp/ssh-AFJwe23279/agent.23279

Kui sama kasutajana ja nende muutujate olemasolul käivitada ssh klient, siis ta automaatselt saab ligi kasutada kasutaja privaatset võtit. Seejuures on oluline, et ssh-agent ei anna võtit ennast nö küsijale välja, aga krüptib esitatud materjali ning tagastab tulemuse küsijale.

Eeldades, et te hoiate oma salajasi võtmeid failis ~/.ssh/indentity, saate nad mällu laadida korraldusega ssh-add

gnoom~$ ssh-add
Need passphrase for /home/priit/.ssh/identity (priit@gnoom.zoo.tartu.ee)
Enter passphrase:
Identity added: /home/priit/.ssh/identity (priit@gnoom.zoo.tartu.ee)

Nüüd saavad kõik uuest koorikust järgnevalt käivitatud programmid, näiteks ssh ja cvs, vajadusel kasutada mällu laaditud SSH RSA sajalasi võtmeid.

Mälus olevate salajaste võtmete vaatamiseks on korraldus

gnoom~$ ssh-add -l

Salajaste võtmete mälust eemaldamiseks on korraldus

gnoom~$ ssh-add -D

====Agent forwarding====

Kui ssh-agent kasutamisel tavaliselt saab teisse arvutisse siis ja sellega lõpeb, siis agent forwarding kasutamisel tekitatakse peale teisse arvutisse sinna /tmp kataloogi vastav unix soket ning teisest arvutist saab edasi logida kusjuures kasutatakse esimese arvuti ssh-agent'i teenuseid. ssh agent forwarding on tavaliselt vaikimisi välja lülitatud, kävitamiseks tuleb kasutad ssh kliendi juures nt -A võtit (ka serveri poolel peab olema AllowAgentForwarding sisse lülitatud, vaikimisi tavaliselt on)

gnoom~$ ssh -A mart@teine.arvuti

Seejuures tuleb arvestada nn ssh agendi kaaperdamise võimalusega, http://www.unixwiz.net/techtips/ssh-agent-forwarding.html#sec. St kui teises arvutis saab pahatahtlik kasutaja (nt root) ligi /tmp kataloogi tehtud soketile, siis on tal võimalus igale poole sisse logida teie nimel kuhu te oma võtmega saaks (eeldusel, et teisest arvutist on võrguühenduse mõttes ligipääs olemas).

====Mitme ssh võtmekomplekti kasutamine====

Kui mingil põhjusel kasutaja ei usalda ühte ja sama ssh avalikku võtit kasutada mitmes muus arvutis, siis saab ta kasutada ka erinevaid võtmekomplekte. Täiendava võtmepaari genereerimiseks sobib öelda nt

$ ssh-keygen -b 4096 -t rsa -f .ssh/loomaaed

mille tulemusena tekitatakse kaks faili

.ssh/loomaaed
.ssh/loomaaed.pub

Alternatiivse võtme kasutamiseks tuleb avalik osa loomaaed.pub kopeerida teisse arvutisse ning privaatset osa kasutada nt selliselt

$ ssh loomaaed.tartu.ee -i .ssh/loomaaed

=== Korralduste täitmine teises masinas ===

SSH võimaldab lasta korraldusi täita teises masinas, kasutades järgmist süntaksit
ssh -l kasutaja2 teise.masina.nimi käsk käsu-võtmed

kasutaja2 on kasutajanimi teises masinas, kelle õigustes seal tegutsetakse.

Sõltuvalt korralduse iseloomust võib väljund esituda ekraanil. Korralduse täitmisele eelneb varemkirjeldatud autentimine.

Anname näiteks teises masinas korralduse 'hostname -f'

gnoom~$ ssh -l kasutaja2 reptilus.zoo.tartu.ee hostname -f
reptilus.zoo.tartu.ee
gnoom~$

või korralduse 'w'
gnoom~$ ssh kasutaja2@reptilus.zoo.tartu.ee w
12:10PM up 9 days, 21:18, 8 users, load averages: 0.02, 0.03, 0.00
USER TTY FROM LOGIN@ IDLE WHAT
mart tty2 mammal 11:09AM 0:05 bash
gnoom~$

Paralleelselt on lubatud kasutada ka konstruktsiooni kasutajanimi@masina.nimi.

Mõned programmid, nagu näiteks mc eeldavad, et neile eraldatakse kauges masinas terminal, seda peab näitama võtmega -t
gnoom~$ ssh -t kasutaja2@reptilus.zoo.tartu.ee mc

===Andmete kopeerimine===

SSH võimaldab mitmel viisil andmed arvutite vahel kopeerida

* scp
* sftp
* kasutada ssh stdio võimalusi

====SCP====

masinate vahel käsuga scp faile kopeerida järgmise süntaksi kohaselt
scp võti kasutaja1@masin1.nimi:/kataloog1/failinimi1 kasutaja2@masin2.nimi:./kataloog2/failinimi2

Mõlemad argumendid koosnevad kahest osast, mida eraldab koolon (:)
* masina nimi
* failinimi

Kui failinimi algab punktiga (.), siis näitab see faili asukohta vastava masina kasutaja kodukataloogi suhtes; muidu on tegu absoluutse nimega.

Esimeseks argumendiks on kopeeritava faili nimi ja teiseks nimi, millega ta teises masinas salvestatakse.

Programm scp näitab kopeerimise ajal progressi. Kasutades võtit -A seda ei tehta.

Korralduse täitmisele eelneb eelkirjeldatud autentimine, kusjuures kehtivad võimalused võtmeid mälus hoida. Näiteks kopeerib kasutaja priit faili priidupilt.jpg teisest masinast kohalikku
gnoom~$ scp priidu@reptilus.zoo.tartu.ee:./public_html/priidupilt.jpg priidupilt.jpg
priidupilt.jpg | 6600 KB | 179.7 kB/s | ETA: 00:03:00 | 83%

Võimalik on kopeerida faile ka nö teise ja kolmanda masina vahel, see tähendab, et ei see, kust fail võetakse ega see, kuhu ta pannakse, pole masin, mille viip teil ees on
gnoom~$ scp priidu@reptilus.zoo.tartu.ee:./pilt.jpg priidik@mammal.zoo.tartu.ee:./pildid/pingu.jpg

====SSH STDIO kasutamine====

Failide kopeerimisel saab kasutada ka IOga manipuleerimist, näiteks kasutaja arhiveerib kataloogi ~/public_html sisu, pakib andmed ning saadab SSH abil üle võrgu teise masinasse; seal sisenetakse kodukataloogi ning harutatakse arhiiv lahti

$ tar cf - ~/public_html | gzip | ssh reptilus.zoo.tartu.ee 'cd ~ && cat - > priidu.koduleht.tgz'

====SFTP====

Iseenesest on SFTP on SSH eraldiseisev protokoll, kuid praktiliselt on suure tõenäosusega kõige populaarsem SFTP protokolli kasutamine just SSH nn alamsüsteemina (ingl. k. subsystem).

Serveri poolel peab olema SFTP alamsüsteem seadistatud, nt

Subsystem sftp /usr/lib/openssh/sftp-server

Enamasti on see juba kasutaja eest paika pandud

ja kliendi poolt kasutamiseks sobib öelda

$ sftp arvutinimi
sftp>

SFTP erinevusteks võrreldes scp'ga on

* muuta teise arvuti failide metaandmeid, nt omanikke ja loabitte
* peatada ja jätkata kopeerimist
* põhimõtteliselt töötab andmevahetus pisut aeglasemalt

Lisaks nö käsureakliendile on mitmeid graafilise SFTP kliente, Windows operatsioonisüsteemile WinSCP nint Linuxile nt Filezilla

[[Pilt:Filezilla-1.gif]]

=== Oma RSA salajase võtme parooli muutmine ===

Oma salajase võtme parooli muutmiseks kasutage käsku ssh-keygen võtmega -p
gnoom~$ ssh-keygen -p
Enter file key is in (/home/priit/.ssh/identity):
Enter old passphrase:
Key has comment 'priit@gnoom.zoo.tartu.ee'
Enter new passphrase:
Enter the same passphrase again:
Your identification has been saved with the new passphrase.

Parooli muutmiseks on vaja vana parooli teada. Kui see on unustatud, tuleb genereerida uus RSA võtmepaar ning seda kasutama asuda.

=== Pordi edasisuunamine ===

Mitmetel põhjustel, näiteks turvalisus või kasutusmugavus võib olla abiks selle asemel, et pöörduda otse teenuse poole üle interneti aadress:port, pöörduda aadressile localhost:port.

Eemal asuva serveri pordi suunamine kohaliku masina localhost porti toimub käsuga

bash$ ssh priit@gnoom.zoo.tartu.ee -L 6565:localhost:5432

Selle tulemusena saab pöörduda localhost:6565 poole ning kasutada eemal asuva masina pordil localhost:5432 olevat teenust. Näiteks võiks sellest olla kasu kui gnoom.zoo.tartu.ee asub otse avalikus võrgus, aga seal töötav PostgreSQL andmebaas kuulab localhostil ning soovite andmebaasi kasutada kohalikus masinas töötava PgAdmin klientprogrammiga.

Kohaliku masin pordi 192.168.1.3:3306 suunamine eemal asuva arvuti gnoom.zoo.tartu.ee porti localhost:6565 toimub käsuga

bash$ ssh priit@gnoom.zoo.tartu.ee -R 6565:192.168.1.3:3306

Selle tulemusena saab eemal oleva masina kasutaja pöörduda enda arvuti localhost:6565 poole ning kasutaja teie kohaliku arvuti pordil 192.168.1.3:3306 töötavat teenust. Näiteks võiks sellest kasu olla kui teie töökohaarvutil ei ole avalikku ip aadressi ning te soovite kellelegi tutvustada mõnda oma arvutis töötavat programmi. Kusjuures 192.168.1.3 arvuti võib olla ka nö kolmas arvuti, st mitte see kus ssh programm käivitatakse. Nii saab kahe arvuti, millel otseselt ei ole üksteisele ligipääsu, vahel tekitada tcp ühenduse kolmanda arvuti (kus töötab ssh klient) abil.

NB! Tundub, et selline suunamine ei tööta kui ssh kliendi käivitamisel minnakse käsitsi üle hoiatustest, tõtt-öelda viimasel real nii öeldakse ka

Port forwarding is disabled to avoid man-in-the-middle attacks.

# ssh root@10.0.13.173 -R 1521:10.0.23.66:1521
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@ WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that a host key has just been changed.
The fingerprint for the ECDSA key sent by the remote host is
41:9f:3f:2d:1b:c4:14:be:35:67:53:9d:59:cf:4c:06 [MD5].
Please contact your system administrator.
Add correct host key in /root/.ssh/known_hosts to get rid of this message.
Offending ECDSA key in /root/.ssh/known_hosts:730
Password authentication is disabled to avoid man-in-the-middle attacks.
Keyboard-interactive authentication is disabled to avoid man-in-the-middle attacks.
Port forwarding is disabled to avoid man-in-the-middle attacks.
Uuemad SSH versioonid võimaldavad lisaks localhostile seostada nii suunatud porte ka muude võrguliidestega.

Kuna portide suunamisel -L võtme kasutamisel hakkab ssh kuulama täiendavalt kohalik masina sellel pordil ning -R võtme kasutamisel hakkab kuulama täiendavalt kauge arvuti näidatud pordil, siis tuleb arvestada, et privilegeerimata kasutaja ei saa kasutada alla 1024 porte; -L puhul saab sarnase teate

$ ssh mart@loomaaed.tartu.ee -L 222:localhost:22
Privileged ports can only be forwarded by root.

===Sessioonide multipleksimine===

Kui ühel või teisel põhjusel on tarvis kasutada üle ühe tcp ühenduse (ingl. k. tcp connection) mitut ssh sessiooni, st mitu korda ühest ja samast ühest arvutist ühte ja samasse teise arvutisse pöörduda, siis sobib seda teha nn ssh ControlMaster abil. Esmalt moodustatakse ControlMaster ühendus, mille käigus tekitatakse soket failisüsteemi

ns:~$ ssh -Mt -S /tmp/ssh.imre.fs imre@fs.loomaaed.tartu.ee
fs:~$

Ning seejärel saab ssh ühendusi tekitada sarnaselt, nagu näha toimub järgmise ühenduse moodustamine oluliselt väiksema vaevaga

ns:~$ ssh -S /tmp/ssh.imre.fs imre@fs.loomaaed.tartu.ee -v
OpenSSH_5.5p1 Debian-6, OpenSSL 0.9.8o 01 Jun 2010
debug1: Reading configuration data /etc/ssh/ssh_config
debug1: Applying options for *
debug1: mux_client_request_session: master session id: 3
Last login: Mon Aug 22 20:34:14 2011 from moraal.auul
fs:~$

Sellisele asjakorraldusele on iseloomulik

* järgmiste ühenduste tekitamine toimub kiiremini
* võrgus on üks tcp ühendus
* server poolel töötab vaid ühs sshd protsess

fs:~$ ps aux | grep 'sshd:'
imre 19383 0.0 0.3 8264 2744 ? Ss 20:33 0:00 sshd: imre@pts/0,pts/1,pts/2

===X rakenduste kasutamine üle võrgu===

Teatavasti on Xi akende so programmide üle võrgu vedamine ebaturvaline, lisaks ka ebamugav, kuna peab paika sättima DISPLAY keskkonnamuutujat või näitama selle ära käsureal, näiteks
gnoom~$ gimp -display reptilus.zoo.tartu.ee:0

Peale selle on vaja Xserveris ära näidata käsuga xhost, milline kasutaja ja millisest masinast võib seal aknaid avada.

SSH teeb asja turvalisemaks ja lihtsamaks. Näiteks käivitame teise masina programmi xterm nii, et programm avaneb kohalikus Xserveris aknana:
retpilus~$ ssh gnoom.zoo.tartu.ee /usr/X11R6/bin/xterm

Ning kui avanenud xterm'ist käivitada järgnevalt programme, toimub andmete liikumine samuti üle üle SSH kanali ning aknad avatakse selles Xserveris, kus see xtermi aken asub.

===ssh serveri kasutamine läbi https proksi===

ProxyTunnel http://proxytunnel.sourceforge.net/ tarkvara abil saab ssh kliendiga pöörduda ssh serveri poole läbi https proksi. See võib olla vajalik nt juhtumil kui klient asub võrgus, millest ei saa pöörduda välja muul viisil kui https proksi kaudu. Seejuures võib proksi küsida ka kasutajalt parooli. Kasutamiseks tuleb operatsioonisüsteemi vahenditega paigaldada pakett proxytunnel ning seejärel lisada ssh kliendi seadistusfaili

$ cat .ssh/config
...
Host ssh-tla
ServerAliveInterval 30
ProxyCommand /usr/bin/proxytunnel -p cache.teenusepakkuja.ee:3128 -d ssh.loomaaed.tartu.ee:443

kus

* -p - teenusepakkuja host:port
* -d - ssh serveri host:port

Kasutamiseks tuleb pöörduda ssh serveri poole kasutades config failis kasutatud Host väärtust

$ ssh priit@ssh-tla
Via cache.teenusepakkuja.ee:3128 -> ssh.loomaaed.tartu.ee:443
Linux ssh 2.6.32-5-amd64 #1 SMP Mon Jan 16 16:22:28 UTC 2012 x86_64
...
priit@rakendus:~$

Sellisele asjakorraldusele on iseloomulik, et ssh serveri poole peab saama pöörduda 443/tcp pordi kaudu, vastasel korral ei pruugi proksi ühendust moodustada. Lisaks, erinevalt nt httptunnel tarkvarast, millega saab sammuti kasutada http proksit tcp ühenduste pidamiseks, on ProxyTunnel puhul tarvis ainult nö kliendi poolel teha täiendavaid pingutusi.

Proks logis vastab ühele ssh ühendusele üks rida, nt

1331413631.677 180240 10.5.5.5 TCP_MISS/200 3570489 CONNECT ssh.loomaaed.tartu.ee:443 - DIRECT/10.47.218.19 -

kus

* 10.5.5.5 - kliendi ip
* ssh.loomaaed.tartu.ee - nö veebiserveri st ssh serveri domeeninimi kuhu pöörduti
* 10.47.218.19 - nö veebiserveri st ssh serveri ip kuhu pöörduti
* ProxyTunnel kasutab oma tööks http proxy CONNECT meetodit

===Märkused===

* man ssh_config suvandeid saab kasutada käsurealt -o võtme abil, nt

$ ssh -o UserKnownHostsFile=/tmp/known_hosts root@10.0.6.227

salvestab hosti avaliku võtme ~/.ssh/known_hosts asemel faili /tmp/known_hosts, et ühekordse sisselogimise vajaduse pärast mitte risustada kasutaja known_hosts faili.

* Kui võrk ssh kliendi ja serveri vahel nö tapab idle olekus ssh ühendusi, maksab kasutada kliendi /etc/ssh/ssh_config failis parameetrit

ServerAliveInterval 30

=== Võtmevahetuse ja krüptimise algoritmid ===

Paistab, et 2017 aastal kasutatakse vaikimisi igasugustes linux distributsioonides ssh kliendi ja serveri vahel

* võtmevahetuse algoritm (KexAlgorithms) - curve25519-sha256
* sümmeetrilise krüptimise algoritm (chacha20-poly1305@openssh.com) - chacha20-poly1305@openssh.com
* sümmeetrilise krüptimise juures kasutatav räsimise algoritm - <implicit> peaks tähendama, et see tuleneb chacha20-poly1305@openssh.com algoritmist

Vaikimisi

<pre>
$ ssh imre@192.168.10.123 -v
...
debug1: kex: algorithm: curve25519-sha256@libssh.org
debug1: kex: host key algorithm: ecdsa-sha2-nistp256
debug1: kex: server->client cipher: chacha20-poly1305@openssh.com MAC: <implicit> compression: none
debug1: kex: client->server cipher: chacha20-poly1305@openssh.com MAC: <implicit> compression: none
</pre>

Konkreetsete algoritmide kasutamist saab täpsustada nt selliselt (lisaks on sisse lülitatud pakkimine)

<pre>
$ ssh -C imre@192.168.10.123 -v -o Ciphers=aes128-ctr -o KexAlgorithms=diffie-hellman-group-exchange-sha256 -o MACs=hmac-sha2-512
...
debug1: kex: algorithm: diffie-hellman-group-exchange-sha256
debug1: kex: host key algorithm: ecdsa-sha2-nistp256
debug1: kex: server->client cipher: aes128-ctr MAC: hmac-sha2-512 compression: zlib@openssh.com
debug1: kex: client->server cipher: aes128-ctr MAC: hmac-sha2-512 compression: zlib@openssh.com
</pre>

Tundub, et nende kolme parameetri suvalisi väärtusi ei saa omavahel kombineerida. Võimalike väärtuste nimekirja saab esitada

* võtmevahetus

<pre>
$ ssh -Q kex
diffie-hellman-group1-sha1
diffie-hellman-group14-sha1
diffie-hellman-group-exchange-sha1
diffie-hellman-group-exchange-sha256
ecdh-sha2-nistp256
ecdh-sha2-nistp384
ecdh-sha2-nistp521
curve25519-sha256@libssh.org
</pre>

* sümmeetriline krüptimine

<pre>
$ ssh -Q cipher
3des-cbc
blowfish-cbc
cast128-cbc
arcfour
arcfour128
arcfour256
aes128-cbc
aes192-cbc
aes256-cbc
rijndael-cbc@lysator.liu.se
aes128-ctr
aes192-ctr
aes256-ctr
aes128-gcm@openssh.com
aes256-gcm@openssh.com
chacha20-poly1305@openssh.com
</pre>

* sümmeetrilise krüptimise juures kasutatav räsimine

<pre>
$ ssh -Q mac
hmac-sha1
hmac-sha1-96
hmac-sha2-256
hmac-sha2-512
hmac-md5
hmac-md5-96
hmac-ripemd160
hmac-ripemd160@openssh.com
umac-64@openssh.com
umac-128@openssh.com
hmac-sha1-etm@openssh.com
hmac-sha1-96-etm@openssh.com
hmac-sha2-256-etm@openssh.com
hmac-sha2-512-etm@openssh.com
hmac-md5-etm@openssh.com
hmac-md5-96-etm@openssh.com
hmac-ripemd160-etm@openssh.com
umac-64-etm@openssh.com
umac-128-etm@openssh.com
</pre>

=== Kasulikud lisamaterjalid ===

* [[Fetchmail]]
* SSH üle PPP kanali
* [[PGP]]
* [[:SSH kasutajate chrootimine libpam-chroot mooduli abil Debian Lennyga]]
* [[:WinSCP kasutamine]]
* [[:Openssh chroot]] Kasutaja chrootimine openssh patchi kasutades kodukataloogi
* [[:OpenSSH_administreerimine]]
* http://www.snailbook.com/index.html

OpenSSH kasutamine

2017-09-24T13:46:17Z

Imre: /* Võtmevahetuse ja krüptimise algoritmid */

===Sissejuhatus===

OpenSSH http://www.openssh.org/ tarkvara võimaldab turvalist kaugligipääsu võrku ühendatud seadmetele, nt arvutitele ja ruuteritele. OpenSSH on üks OpenBSD projekti ettevõtmistest, mis on osutunud niivõrd populaarseks, et sellest on kujunenud praktiliselt kõigi 2009 aastal kasutuses olevate vabade operatsioonisüsteemide standardne kaugligipääsu korraldamise instrument. Lisaks on OpenSSH kasutuses ka mitmete mitte-vabade lahenduste juures, nt erinevate tootjate ruuterites.

Peale üle võrgu nö teise arvuti käsureale jõudmise sisaldab OpenSSH muu hulga selliseid võimalusi

* andmete kopeerimine - sftp, scp
* turvaline transport muudele programmidele - rsync, subversion, pppd, X Window System
* portide edasisuunamine
* SOCKS server
* failisüsteemi külgeühendamine - sshfs (FUSE tehnoloogia abil)

Kõik need juhud eeldavad, et teil on kasutajatunnus ka teises masinas. SSH põhineb klient-server mudelil kusjuures ühenduse algatab alati SSH klient. Edaspidises kasutatakse väljendit SSH server, mille all mõeldakse teist masinat ning millel on SSH kliendiga suhtlemiseks sobiv tarkvara.

OpenSSH kasutamist kirjeldatakse Kuutõrvajas kahes tekstis

* käesolev tekst on mõeldud nö süsteemi tavakasutajatele oluliste ülesannete lahendamiseks OpenSSH abil
* aadressil [[:OpenSSH administreerimine]] olev tekst kirjeldab OpenSSH serveri haldamist ning keerulisemad kasutusvõimalusi

===Teise masinasse sisselogimine ja ühenduse lõpetamine===

Kirjeldame lihtsustatult, kuidas toimub SSHga teise masinasse sisselogimine.

Logimisel on kolm etappi:

Protokollide kontroll. Seansi algus ei ole krüptitud. Selle käigus teevad osapooled kindlaks, et nad kasutavad omavahel sobivaid SSH versioone.
Klient veendub serveri ehtsuses. Serveril on kaks RSA võtit: salajane ja avalik. Et klient saaks veenduda, serveri ehtsuses peab ta eelnevalt teadma serveri avalikku võtit. Teatavasti on avaliku võtme krüptograafia kõige nõrgemaks kohaks avaliku võtme edastamine selle kasutajale. Selle võib klient saada, nt disketil, serveri administraatori käest isiklikult, kuid levinum on riskantsem viis. Nimelt esmakordsel ühendusevõtmisel usaldab klient serverit. Saades serveri avaliku võtme ning kliendi so kasutaja nõusoleku, lisatakse see faili ~/.ssh/known_hosts. Kui edaspidi võetakse ühendust sama serveriga, siis on võimalik juba kasutada standardset avaliku võtme krüptograafiat:

Server genereerib ja krüptib juhusliku järgnevuse (ingl. k. challenge) oma salajase võtmega ja saadab selle kliendile.
Klient püüab saadetist lahti krüptida tema käsutuses oleva vastava avaliku võtmega.
Kui see õnnestub, on server ehtne; kui mitte, siis on server võlts või on ta vahepeal endale uud võtmed tekitanud.
Klient saadab serverile tagasi ühe võtmega krüptimise shifri nime (DES, 3DES, IDEA) ja serveri avaliku võtmega krüpteeritud sessioonivõtme. Saadetis on avatav ainult vastava salajase võtmega, mis on eeldatavasti vaid õigel serveril.
Edasine infovahetus serveri ja kliendi vahel toimub üle krüptitud kanali, kusjuures mõlemad pooled kasutavad kokkulepitud shifrit ja sessioonivõtit.

Andmevahetuse alustamist kirjeldab pilt

[[Pilt:Openssh-1.gif]]

kus

* Diffe-Hellmani võtmevahetuse protseduuri abil lepitakse kokku salajane võti

Server veendub kliendi ehtsuses. Esmalt püütakse kasutajat autentida automatiseeritud viisil. Kui see ei õnnestu, kontrollitakse kasutaja UNIXi parooli, kasutades loodud turvalist kanalit.

Praktiliselt algatab klient serveriga ühenduse käsuga ssh, näiteks

gnoom~$ ssh -l priit reptilus.zoo.tartu.ee
Host key not found from the list of known hosts.
Are you sure you want to continue connecting (yes/no)? yes
Host 'reptilus.zoo.tartu.ee' added to the list of known hosts.
Creating random seed file ~/.ssh/random_seed. This may take a while.
priit@reptilus.zoo.tartu.ee's password:
reptilus~$

Seejuures:
* tekitatakse kliendile kataloog ~/.ssh milles sisalduvad SSHle olulised failid,
* serveri avalik võti lisatakse faili ~/.ssh/known_hosts,
* tekitatakse SSH sisemisteks vajadusteks juhuslikku alget sisaldav fail ~/.ssh/random_seed,
* küsitakse kasutaja UNIXi parooli, kuna kasutaja RSA võtmetega automaatne autentimine ebaõnnestus.

Tulemusena saadi äsjases näites ette teise masina viip ja võiks hakata seal toimetama. Sarnase tulemuse oleksite võinud saada telnetiga, kuid SSH abil tekitatud ühendust krüptitakse.

Seansi lõpetamine toimub tavalisel moel välja-logimisega
reptilus~$ logout
gnoom~$

Niisiis,
SSH klient teeb SSH serveri avaliku võtme abil kindlaks SSH serveri ehtsuse ja
seejärel SSH server autendib kasutaja.

'''Märkus:''' Kujutleme olukorda, kus teil on harjumus külastada SSHga mõnda masinat ning te ühtäkki märkate sisselogimisel, et server vastab teile hoiatava veateatega, öeldes, et serveri avalik võti ei klapi, pakkudes aga teile võimalust jätkata sisselogimist. Sama toimub ka igal järgmisel korral. Sel juhul on kaks võimalust:
# Te suhtlete võltsserveriga ning ei tohiks sisselogimist jätkata. Tuleks muude vahenditega kindlaks teha, mis täpselt toimub.
# Server on õige, kuid ta kasutab uusi RSA võtmeid. Sel juhul peab kasutaja oma ~/.ssh/known_hosts failist vastava serveri avaliku võtme rea käepärase tekstiredaktori abil kustutama. Järgmisel külastusel kirjutatakse sinna faili uus serveri avalik võti.

===SSH kliendi seadistamine===

SSH klienti tööd saab juhtida kolmel moel, kusjuures esitatud nimekirja lõpupool asuvatel on kõrgem prioriteet

* /etc/ssh/ssh_config - globaalne seadistusfail
* ~/.ssh/config - kasutaja seadistusfail
* käsureal kasutatud suvandid

Seadistusfailis saab Host parameetrile järgnevate ja enne järgmist Host parameetrit asuvate direktiividega kehtestada kuidas SSH klient käitub esimese Host parameetriga klappivate arvutite SSH serveritega. Lisaks, toimib esimene direktiivi väärtustamine, st et täpsemad määratlused tuleb teha seadistusfaili alguses ning üldisemad lõpus. Näiteks selline /etc/ssh/ssh_config

Host 192.168.10.0/24
GSSAPIAuthentication yes
GSSAPIDelegateCredentials yes

Host *
ForwardX11 yes
GSSAPIAuthentication no
GSSAPIDelegateCredentials no
SendEnv LANG LC_*
HashKnownHosts yes

kehtestab, et

* Kerberose piletite kasutamine ja edasiandmine on lubatud 192.168.10.0/24 võrku kuuluvate arvutitega
* kõigi muude arvutitega suhtelemisel on Kerberose kasutamine keelatud
* Kuna LANG ja LC_* keskkonnamuutujate osas ei ole esimeses Host sektsioonis midagi öeldud, siis viimases näidatud direktiivid kehtivad kõigi SSH serverite puhul

=== Kasututaja autentimine tema RSA võtmetega ===

Teatavasti pakuvad r-korraldused suhteliselt automaatset, kuid ebaturvalist autentimist. Näitame, kuidas eelmises punktis kirjeldatud sisselogimisele ja seansi krüptimisele lisaks korraldada SSH abil automaatset kasutaja autentimist.

Autentimine toimub kasutaja enda moodustatud RSA võtmepaari abil. Rääkides seonduvalt SSHga RSA võtmetest, tuleb teha vahet, millal kõneldakse SSH serveri RSA võtmepaarist ja kunas kasutaja RSA võtmepaarist.

==== RSA võtmete moodustamine ====

Esmalt moodustab kasutaja, näiteks priit@gnoom.zoo.tartu.ee endale RSA võtmepaari käsuga ssh-keygen

$ ssh-keygen
Generating public/private rsa key pair.
Enter file in which to save the key (/home/mart/.ssh/id_rsa):
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /home/mart/.ssh/id_rsa.
Your public key has been saved in /home/mart/.ssh/id_rsa.pub.
The key fingerprint is:
41:89:34:41:90:c1:6e:27:f1:89:a9:16:09:aa:71:41 mart@moraal
The key's randomart image is:
+--[ RSA 2048]----+
|o.E+o*=o.. |
|.oo.= .o. |
|o.o. + . |
|o+ + o . |
|o . o S |
| |
| |
| |
| |
+-----------------+

kus võtme moodustamisel päritakse kasutajalt RSA salajase võtme parooli; selle peab ta sisestama iga kord enne oma salajase võtme kasutamist.

Tulemusena tekitatakse kaks võtit:

* ~/.ssh/id_rsa - kasutaja RSA salajane võti
* ~/.ssh/id_rsa.pub - kasutaja RSA avalik võti

Pange tähele, et avaliku võtme faili sees teksti lõpus on kirjas, kellele see kuulub. Salajane võti on küll parooliga kaitstud, kuid võti peaks siiski olema vaid kasutajale endale loetav.

ssh-keygen võimaldab kasutada sellised võtmeid

* -t rsa või -t dsa - kontrollib, kas moodustatakse rsa või dsa võti
* -b 4096 - võtme pikkus
* -f failinimi - millega algavad võtmetele vastavad failinimed, vaikimisi .ssh/id_rsa*

==== RSA avaliku võtme paigutamine SSH serverisse ====

Oma avaliku võtme peate te lisama külastatava (so. SSH serveri, nt reptilus.zoo.tartu.ee) masina faili ~/.ssh/authorized_keys ja salajase võtme jätma sinna, kuhu ta tekitati. Kuna ~/.ssh/authorized_keys faili sisu on kõigile loetav, pole avaliku võtme edastamisel vaja võtta tarvitusele erilisi ettevaatusabinõusid: peaasi, et võtme sisu jääks muutumatuks. Failis ~/.ssh/authorized_keys võivad sisalduda mitmed avalikud võtmed, igaüks eraldi real ning fail on ASCII kujul. Nii on võimalik külastada SSH serverit erinevatest klient-masinatest. Kõige lihtsam on teha ~/.ssh/identity.pub failist koopia ning see ftp abil SSH serverisse toimetada. Seal andke selle faili lugemis- ja kirjutamisõigus ainult endale

$ chmod 600 ~/.ssh/authorized_keys

Kui te nüüd külastate ssh'ga seda SSH serverit, siis esmalt klient autendib serveri varemkirjeldatud tavapärasel moel. Aga server autendib kliendi selliselt:
server genereerib juhusliku järgnevuse baite ja krüptib need talle teadaoleva kasutaja avaliku võtmega
klient kasutab ainult tal olemasolevat vastavat sajalast võtit ja krüptib saadetise lahti; tulemus saadetakse serverile tagasi
server võrdleb esialgset järgnevust kliendi poolt lahti krüptituga ja nende identsuse korral loeb autentimise õnnestunuks ning kasutajale antakse ette viip.

Lisaks võtmele saab iga authorized_keys faili rea alguses kasutada man sshd tekstis kirjeldatud suvandeid, nt

no-port-forwarding,no-X11-forwarding,no-agent-forwarding,no-pty,\
command="~/bin/skriptinimi.sh",from="192.168.96.138" ssh-rsa AAAAB3NzaC1y ....

kasutamise tulemusena peale kasutaja ssh võtmega sisselogimist täidetakse skript ~/bin/skriptinimi.sh.

Avaliku võtme paigutamist teisse arvutisse lihtsustab ssh-copy-id skript, nt

$ ssh-copy-id mart@ns.auul
mart@ns.auul's password:
Now try logging into the machine, with "ssh 'mart@ns.auul'", and check in:

.ssh/authorized_keys

to make sure we haven't added extra keys that you weren't expecting.

==== RSA võtmete kasutamine ====

Näide automaatsest kasutaja RSA võtmetega autentimisest

gnoom~$ ssh -l priit reptilus.zoo.tartu.ee
Enter passphrase for RSA key 'priit@gnoom.zoo.tartu.ee':
Last login: Thu Nov 11 11:16:09 1999 from mammal.zoo.tartu.ee
Copyright (c) 1980, 1983, 1986, 1988, 1990, 1991, 1993, 1994
The Regents of University of California. All rights reserved.
reptilus~$

Kuna kasutaja autentimisel läheb tarvis tema salajast võtit, siis küsitakse salajase võtme parooli; '-l kasutajanimi' on vajalik, kui kasutajal on teises masinas erinev kasutajanimi. Siiski, kui ka kasutajal on erinevad kasutajanimed erinevates 'teistes masinates', siis ei pruugi ta '-l' võtit kasutada. Selle asemel võib ta kasutajanime ja vastava teise masina nime ära näidata failis ~/.ssh/config; võib kirjeldada mitmeid SSH servereid:

Host reptilus.zoo.tartu.ee
User priidu
Host mammal.zoo.tartu.ee
User priidik

Näites autenditakse gnoomi kasutajat 'priit' masinas reptilus kasutajana 'priidu'; ja masinas mammal kasutajana 'priidik'. Niisiis, et gnoomist logida sisse mammalisse kasutajana 'priidik' piisab kirjeldatud konfiguratsioonifaili olemasolul anda käsk

gnoom~$ ssh mammal.zoo.tartu.ee

Niisiis, standardne UNIXi paroolikontroll on asendatud SSH vahenditega. Hoiatuseks märgime, et juhul, kui teine masin võimaldab vaid SSHga sisselogimist ja te olete oma authorized_keys faili seal moodustanud ning te eksite, nt. ei mäleta oma salajase võtme parooli, siis peate kuidagi eemaldama authorized_keys faili; või vähemalt sellele masinale vastava sissekande, kust te SSH serverit ebaõnnestunult külastada püüate. Loodetavasti on seda võimalik FTPga teha. Kui ei, peate paluma SSH serveri administraatorit.

==== Võtmete mälus hoidmine ====

Eelmises punktis nägime, kuidas korraldada kasutaja (enda) autentimist. Seejuures võib tunduda ebamugavana vajadus iga kord oma salajase võtme parooli sisestada. Tõsi, tehniliselt võite võtmete moodustamisel ka parooli panemata jätta (vajutades Enterit), kuid see oleks turvaline seni, kuni teie salajane võti kindlalt ainult teie valduses on. Tõsi, reeglina see nii ka on. SSH pakub võimaluse salajasi võtmeid kliendi masina mälus hoida kuigi ka see pole väga turvaline, kuid enamasti piisav praktiliseks kasutamiseks.

Selleks käivitatakse võtmete mälus hoidmise agendi abil programm, millele (ja millest käivitatud uutele programmidele) saab teha kasutaja salajase võtme kättesaadavaks. Näiteks koorik

gnoom~$ ssh-agent bash

kus uues shellis on muu hulgas kaks olulist keskkonnamuutujat kirjeldatud, nt selliste väärtustega

SSH_AGENT_PID=23280
SSH_AUTH_SOCK=/tmp/ssh-AFJwe23279/agent.23279

Kui sama kasutajana ja nende muutujate olemasolul käivitada ssh klient, siis ta automaatselt saab ligi kasutada kasutaja privaatset võtit. Seejuures on oluline, et ssh-agent ei anna võtit ennast nö küsijale välja, aga krüptib esitatud materjali ning tagastab tulemuse küsijale.

Eeldades, et te hoiate oma salajasi võtmeid failis ~/.ssh/indentity, saate nad mällu laadida korraldusega ssh-add

gnoom~$ ssh-add
Need passphrase for /home/priit/.ssh/identity (priit@gnoom.zoo.tartu.ee)
Enter passphrase:
Identity added: /home/priit/.ssh/identity (priit@gnoom.zoo.tartu.ee)

Nüüd saavad kõik uuest koorikust järgnevalt käivitatud programmid, näiteks ssh ja cvs, vajadusel kasutada mällu laaditud SSH RSA sajalasi võtmeid.

Mälus olevate salajaste võtmete vaatamiseks on korraldus

gnoom~$ ssh-add -l

Salajaste võtmete mälust eemaldamiseks on korraldus

gnoom~$ ssh-add -D

====Agent forwarding====

Kui ssh-agent kasutamisel tavaliselt saab teisse arvutisse siis ja sellega lõpeb, siis agent forwarding kasutamisel tekitatakse peale teisse arvutisse sinna /tmp kataloogi vastav unix soket ning teisest arvutist saab edasi logida kusjuures kasutatakse esimese arvuti ssh-agent'i teenuseid. ssh agent forwarding on tavaliselt vaikimisi välja lülitatud, kävitamiseks tuleb kasutad ssh kliendi juures nt -A võtit (ka serveri poolel peab olema AllowAgentForwarding sisse lülitatud, vaikimisi tavaliselt on)

gnoom~$ ssh -A mart@teine.arvuti

Seejuures tuleb arvestada nn ssh agendi kaaperdamise võimalusega, http://www.unixwiz.net/techtips/ssh-agent-forwarding.html#sec. St kui teises arvutis saab pahatahtlik kasutaja (nt root) ligi /tmp kataloogi tehtud soketile, siis on tal võimalus igale poole sisse logida teie nimel kuhu te oma võtmega saaks (eeldusel, et teisest arvutist on võrguühenduse mõttes ligipääs olemas).

====Mitme ssh võtmekomplekti kasutamine====

Kui mingil põhjusel kasutaja ei usalda ühte ja sama ssh avalikku võtit kasutada mitmes muus arvutis, siis saab ta kasutada ka erinevaid võtmekomplekte. Täiendava võtmepaari genereerimiseks sobib öelda nt

$ ssh-keygen -b 4096 -t rsa -f .ssh/loomaaed

mille tulemusena tekitatakse kaks faili

.ssh/loomaaed
.ssh/loomaaed.pub

Alternatiivse võtme kasutamiseks tuleb avalik osa loomaaed.pub kopeerida teisse arvutisse ning privaatset osa kasutada nt selliselt

$ ssh loomaaed.tartu.ee -i .ssh/loomaaed

=== Korralduste täitmine teises masinas ===

SSH võimaldab lasta korraldusi täita teises masinas, kasutades järgmist süntaksit
ssh -l kasutaja2 teise.masina.nimi käsk käsu-võtmed

kasutaja2 on kasutajanimi teises masinas, kelle õigustes seal tegutsetakse.

Sõltuvalt korralduse iseloomust võib väljund esituda ekraanil. Korralduse täitmisele eelneb varemkirjeldatud autentimine.

Anname näiteks teises masinas korralduse 'hostname -f'

gnoom~$ ssh -l kasutaja2 reptilus.zoo.tartu.ee hostname -f
reptilus.zoo.tartu.ee
gnoom~$

või korralduse 'w'
gnoom~$ ssh kasutaja2@reptilus.zoo.tartu.ee w
12:10PM up 9 days, 21:18, 8 users, load averages: 0.02, 0.03, 0.00
USER TTY FROM LOGIN@ IDLE WHAT
mart tty2 mammal 11:09AM 0:05 bash
gnoom~$

Paralleelselt on lubatud kasutada ka konstruktsiooni kasutajanimi@masina.nimi.

Mõned programmid, nagu näiteks mc eeldavad, et neile eraldatakse kauges masinas terminal, seda peab näitama võtmega -t
gnoom~$ ssh -t kasutaja2@reptilus.zoo.tartu.ee mc

===Andmete kopeerimine===

SSH võimaldab mitmel viisil andmed arvutite vahel kopeerida

* scp
* sftp
* kasutada ssh stdio võimalusi

====SCP====

masinate vahel käsuga scp faile kopeerida järgmise süntaksi kohaselt
scp võti kasutaja1@masin1.nimi:/kataloog1/failinimi1 kasutaja2@masin2.nimi:./kataloog2/failinimi2

Mõlemad argumendid koosnevad kahest osast, mida eraldab koolon (:)
* masina nimi
* failinimi

Kui failinimi algab punktiga (.), siis näitab see faili asukohta vastava masina kasutaja kodukataloogi suhtes; muidu on tegu absoluutse nimega.

Esimeseks argumendiks on kopeeritava faili nimi ja teiseks nimi, millega ta teises masinas salvestatakse.

Programm scp näitab kopeerimise ajal progressi. Kasutades võtit -A seda ei tehta.

Korralduse täitmisele eelneb eelkirjeldatud autentimine, kusjuures kehtivad võimalused võtmeid mälus hoida. Näiteks kopeerib kasutaja priit faili priidupilt.jpg teisest masinast kohalikku
gnoom~$ scp priidu@reptilus.zoo.tartu.ee:./public_html/priidupilt.jpg priidupilt.jpg
priidupilt.jpg | 6600 KB | 179.7 kB/s | ETA: 00:03:00 | 83%

Võimalik on kopeerida faile ka nö teise ja kolmanda masina vahel, see tähendab, et ei see, kust fail võetakse ega see, kuhu ta pannakse, pole masin, mille viip teil ees on
gnoom~$ scp priidu@reptilus.zoo.tartu.ee:./pilt.jpg priidik@mammal.zoo.tartu.ee:./pildid/pingu.jpg

====SSH STDIO kasutamine====

Failide kopeerimisel saab kasutada ka IOga manipuleerimist, näiteks kasutaja arhiveerib kataloogi ~/public_html sisu, pakib andmed ning saadab SSH abil üle võrgu teise masinasse; seal sisenetakse kodukataloogi ning harutatakse arhiiv lahti

$ tar cf - ~/public_html | gzip | ssh reptilus.zoo.tartu.ee 'cd ~ && cat - > priidu.koduleht.tgz'

====SFTP====

Iseenesest on SFTP on SSH eraldiseisev protokoll, kuid praktiliselt on suure tõenäosusega kõige populaarsem SFTP protokolli kasutamine just SSH nn alamsüsteemina (ingl. k. subsystem).

Serveri poolel peab olema SFTP alamsüsteem seadistatud, nt

Subsystem sftp /usr/lib/openssh/sftp-server

Enamasti on see juba kasutaja eest paika pandud

ja kliendi poolt kasutamiseks sobib öelda

$ sftp arvutinimi
sftp>

SFTP erinevusteks võrreldes scp'ga on

* muuta teise arvuti failide metaandmeid, nt omanikke ja loabitte
* peatada ja jätkata kopeerimist
* põhimõtteliselt töötab andmevahetus pisut aeglasemalt

Lisaks nö käsureakliendile on mitmeid graafilise SFTP kliente, Windows operatsioonisüsteemile WinSCP nint Linuxile nt Filezilla

[[Pilt:Filezilla-1.gif]]

=== Oma RSA salajase võtme parooli muutmine ===

Oma salajase võtme parooli muutmiseks kasutage käsku ssh-keygen võtmega -p
gnoom~$ ssh-keygen -p
Enter file key is in (/home/priit/.ssh/identity):
Enter old passphrase:
Key has comment 'priit@gnoom.zoo.tartu.ee'
Enter new passphrase:
Enter the same passphrase again:
Your identification has been saved with the new passphrase.

Parooli muutmiseks on vaja vana parooli teada. Kui see on unustatud, tuleb genereerida uus RSA võtmepaar ning seda kasutama asuda.

=== Pordi edasisuunamine ===

Mitmetel põhjustel, näiteks turvalisus või kasutusmugavus võib olla abiks selle asemel, et pöörduda otse teenuse poole üle interneti aadress:port, pöörduda aadressile localhost:port.

Eemal asuva serveri pordi suunamine kohaliku masina localhost porti toimub käsuga

bash$ ssh priit@gnoom.zoo.tartu.ee -L 6565:localhost:5432

Selle tulemusena saab pöörduda localhost:6565 poole ning kasutada eemal asuva masina pordil localhost:5432 olevat teenust. Näiteks võiks sellest olla kasu kui gnoom.zoo.tartu.ee asub otse avalikus võrgus, aga seal töötav PostgreSQL andmebaas kuulab localhostil ning soovite andmebaasi kasutada kohalikus masinas töötava PgAdmin klientprogrammiga.

Kohaliku masin pordi 192.168.1.3:3306 suunamine eemal asuva arvuti gnoom.zoo.tartu.ee porti localhost:6565 toimub käsuga

bash$ ssh priit@gnoom.zoo.tartu.ee -R 6565:192.168.1.3:3306

Selle tulemusena saab eemal oleva masina kasutaja pöörduda enda arvuti localhost:6565 poole ning kasutaja teie kohaliku arvuti pordil 192.168.1.3:3306 töötavat teenust. Näiteks võiks sellest kasu olla kui teie töökohaarvutil ei ole avalikku ip aadressi ning te soovite kellelegi tutvustada mõnda oma arvutis töötavat programmi. Kusjuures 192.168.1.3 arvuti võib olla ka nö kolmas arvuti, st mitte see kus ssh programm käivitatakse. Nii saab kahe arvuti, millel otseselt ei ole üksteisele ligipääsu, vahel tekitada tcp ühenduse kolmanda arvuti (kus töötab ssh klient) abil.

NB! Tundub, et selline suunamine ei tööta kui ssh kliendi käivitamisel minnakse käsitsi üle hoiatustest, tõtt-öelda viimasel real nii öeldakse ka

Port forwarding is disabled to avoid man-in-the-middle attacks.

# ssh root@10.0.13.173 -R 1521:10.0.23.66:1521
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@ WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that a host key has just been changed.
The fingerprint for the ECDSA key sent by the remote host is
41:9f:3f:2d:1b:c4:14:be:35:67:53:9d:59:cf:4c:06 [MD5].
Please contact your system administrator.
Add correct host key in /root/.ssh/known_hosts to get rid of this message.
Offending ECDSA key in /root/.ssh/known_hosts:730
Password authentication is disabled to avoid man-in-the-middle attacks.
Keyboard-interactive authentication is disabled to avoid man-in-the-middle attacks.
Port forwarding is disabled to avoid man-in-the-middle attacks.
Uuemad SSH versioonid võimaldavad lisaks localhostile seostada nii suunatud porte ka muude võrguliidestega.

Kuna portide suunamisel -L võtme kasutamisel hakkab ssh kuulama täiendavalt kohalik masina sellel pordil ning -R võtme kasutamisel hakkab kuulama täiendavalt kauge arvuti näidatud pordil, siis tuleb arvestada, et privilegeerimata kasutaja ei saa kasutada alla 1024 porte; -L puhul saab sarnase teate

$ ssh mart@loomaaed.tartu.ee -L 222:localhost:22
Privileged ports can only be forwarded by root.

===Sessioonide multipleksimine===

Kui ühel või teisel põhjusel on tarvis kasutada üle ühe tcp ühenduse (ingl. k. tcp connection) mitut ssh sessiooni, st mitu korda ühest ja samast ühest arvutist ühte ja samasse teise arvutisse pöörduda, siis sobib seda teha nn ssh ControlMaster abil. Esmalt moodustatakse ControlMaster ühendus, mille käigus tekitatakse soket failisüsteemi

ns:~$ ssh -Mt -S /tmp/ssh.imre.fs imre@fs.loomaaed.tartu.ee
fs:~$

Ning seejärel saab ssh ühendusi tekitada sarnaselt, nagu näha toimub järgmise ühenduse moodustamine oluliselt väiksema vaevaga

ns:~$ ssh -S /tmp/ssh.imre.fs imre@fs.loomaaed.tartu.ee -v
OpenSSH_5.5p1 Debian-6, OpenSSL 0.9.8o 01 Jun 2010
debug1: Reading configuration data /etc/ssh/ssh_config
debug1: Applying options for *
debug1: mux_client_request_session: master session id: 3
Last login: Mon Aug 22 20:34:14 2011 from moraal.auul
fs:~$

Sellisele asjakorraldusele on iseloomulik

* järgmiste ühenduste tekitamine toimub kiiremini
* võrgus on üks tcp ühendus
* server poolel töötab vaid ühs sshd protsess

fs:~$ ps aux | grep 'sshd:'
imre 19383 0.0 0.3 8264 2744 ? Ss 20:33 0:00 sshd: imre@pts/0,pts/1,pts/2

===X rakenduste kasutamine üle võrgu===

Teatavasti on Xi akende so programmide üle võrgu vedamine ebaturvaline, lisaks ka ebamugav, kuna peab paika sättima DISPLAY keskkonnamuutujat või näitama selle ära käsureal, näiteks
gnoom~$ gimp -display reptilus.zoo.tartu.ee:0

Peale selle on vaja Xserveris ära näidata käsuga xhost, milline kasutaja ja millisest masinast võib seal aknaid avada.

SSH teeb asja turvalisemaks ja lihtsamaks. Näiteks käivitame teise masina programmi xterm nii, et programm avaneb kohalikus Xserveris aknana:
retpilus~$ ssh gnoom.zoo.tartu.ee /usr/X11R6/bin/xterm

Ning kui avanenud xterm'ist käivitada järgnevalt programme, toimub andmete liikumine samuti üle üle SSH kanali ning aknad avatakse selles Xserveris, kus see xtermi aken asub.

===ssh serveri kasutamine läbi https proksi===

ProxyTunnel http://proxytunnel.sourceforge.net/ tarkvara abil saab ssh kliendiga pöörduda ssh serveri poole läbi https proksi. See võib olla vajalik nt juhtumil kui klient asub võrgus, millest ei saa pöörduda välja muul viisil kui https proksi kaudu. Seejuures võib proksi küsida ka kasutajalt parooli. Kasutamiseks tuleb operatsioonisüsteemi vahenditega paigaldada pakett proxytunnel ning seejärel lisada ssh kliendi seadistusfaili

$ cat .ssh/config
...
Host ssh-tla
ServerAliveInterval 30
ProxyCommand /usr/bin/proxytunnel -p cache.teenusepakkuja.ee:3128 -d ssh.loomaaed.tartu.ee:443

kus

* -p - teenusepakkuja host:port
* -d - ssh serveri host:port

Kasutamiseks tuleb pöörduda ssh serveri poole kasutades config failis kasutatud Host väärtust

$ ssh priit@ssh-tla
Via cache.teenusepakkuja.ee:3128 -> ssh.loomaaed.tartu.ee:443
Linux ssh 2.6.32-5-amd64 #1 SMP Mon Jan 16 16:22:28 UTC 2012 x86_64
...
priit@rakendus:~$

Sellisele asjakorraldusele on iseloomulik, et ssh serveri poole peab saama pöörduda 443/tcp pordi kaudu, vastasel korral ei pruugi proksi ühendust moodustada. Lisaks, erinevalt nt httptunnel tarkvarast, millega saab sammuti kasutada http proksit tcp ühenduste pidamiseks, on ProxyTunnel puhul tarvis ainult nö kliendi poolel teha täiendavaid pingutusi.

Proks logis vastab ühele ssh ühendusele üks rida, nt

1331413631.677 180240 10.5.5.5 TCP_MISS/200 3570489 CONNECT ssh.loomaaed.tartu.ee:443 - DIRECT/10.47.218.19 -

kus

* 10.5.5.5 - kliendi ip
* ssh.loomaaed.tartu.ee - nö veebiserveri st ssh serveri domeeninimi kuhu pöörduti
* 10.47.218.19 - nö veebiserveri st ssh serveri ip kuhu pöörduti
* ProxyTunnel kasutab oma tööks http proxy CONNECT meetodit

===Märkused===

* man ssh_config suvandeid saab kasutada käsurealt -o võtme abil, nt

$ ssh -o UserKnownHostsFile=/tmp/known_hosts root@10.0.6.227

salvestab hosti avaliku võtme ~/.ssh/known_hosts asemel faili /tmp/known_hosts, et ühekordse sisselogimise vajaduse pärast mitte risustada kasutaja known_hosts faili.

* Kui võrk ssh kliendi ja serveri vahel nö tapab idle olekus ssh ühendusi, maksab kasutada kliendi /etc/ssh/ssh_config failis parameetrit

ServerAliveInterval 30

=== Võtmevahetuse ja krüptimise algoritmid ===

Paistab, et 2017 aastal kasutatakse vaikimisi igasugustes linux distributsioonides ssh kliendi ja serveri vahel

* võtmevahetuse algoritm (KexAlgorithms) - curve25519-sha256
* sümmeetrilise krüptimise algoritm (chacha20-poly1305@openssh.com) - chacha20-poly1305@openssh.com
* sümmeetrilise krüptimise juures kasutatav räsimise algoritm - <implicit> peaks tähendama, et see tuleneb chacha20-poly1305@openssh.com algoritmist

Vaikimisi

<pre>
$ ssh imre@192.168.10.123 -v
...
debug1: kex: algorithm: curve25519-sha256@libssh.org
debug1: kex: host key algorithm: ecdsa-sha2-nistp256
debug1: kex: server->client cipher: chacha20-poly1305@openssh.com MAC: <implicit> compression: none
debug1: kex: client->server cipher: chacha20-poly1305@openssh.com MAC: <implicit> compression: none
</pre>

Konkreetsete algoritmide kasutamist saab täpsustada nt selliselt (lisaks on sisse lülitatud pakkimine)

<pre>
$ ssh -C imre@192.168.10.123 -v -o Ciphers=aes128-ctr -o KexAlgorithms=diffie-hellman-group-exchange-sha256 -o MACs=hmac-sha2-512
...
debug1: kex: algorithm: diffie-hellman-group-exchange-sha256
debug1: kex: host key algorithm: ecdsa-sha2-nistp256
debug1: kex: server->client cipher: aes128-ctr MAC: hmac-sha2-512 compression: zlib@openssh.com
debug1: kex: client->server cipher: aes128-ctr MAC: hmac-sha2-512 compression: zlib@openssh.com
</pre>

Tundub, et nende kolme parameetri suvalisi väärtusi ei saa omavahel kombineerida.

=== Kasulikud lisamaterjalid ===

* [[Fetchmail]]
* SSH üle PPP kanali
* [[PGP]]
* [[:SSH kasutajate chrootimine libpam-chroot mooduli abil Debian Lennyga]]
* [[:WinSCP kasutamine]]
* [[:Openssh chroot]] Kasutaja chrootimine openssh patchi kasutades kodukataloogi
* [[:OpenSSH_administreerimine]]
* http://www.snailbook.com/index.html

OpenSSH kasutamine

2017-09-24T10:01:36Z

Imre: /* Kasulikud lisamaterjalid */

===Sissejuhatus===

OpenSSH http://www.openssh.org/ tarkvara võimaldab turvalist kaugligipääsu võrku ühendatud seadmetele, nt arvutitele ja ruuteritele. OpenSSH on üks OpenBSD projekti ettevõtmistest, mis on osutunud niivõrd populaarseks, et sellest on kujunenud praktiliselt kõigi 2009 aastal kasutuses olevate vabade operatsioonisüsteemide standardne kaugligipääsu korraldamise instrument. Lisaks on OpenSSH kasutuses ka mitmete mitte-vabade lahenduste juures, nt erinevate tootjate ruuterites.

Peale üle võrgu nö teise arvuti käsureale jõudmise sisaldab OpenSSH muu hulga selliseid võimalusi

* andmete kopeerimine - sftp, scp
* turvaline transport muudele programmidele - rsync, subversion, pppd, X Window System
* portide edasisuunamine
* SOCKS server
* failisüsteemi külgeühendamine - sshfs (FUSE tehnoloogia abil)

Kõik need juhud eeldavad, et teil on kasutajatunnus ka teises masinas. SSH põhineb klient-server mudelil kusjuures ühenduse algatab alati SSH klient. Edaspidises kasutatakse väljendit SSH server, mille all mõeldakse teist masinat ning millel on SSH kliendiga suhtlemiseks sobiv tarkvara.

OpenSSH kasutamist kirjeldatakse Kuutõrvajas kahes tekstis

* käesolev tekst on mõeldud nö süsteemi tavakasutajatele oluliste ülesannete lahendamiseks OpenSSH abil
* aadressil [[:OpenSSH administreerimine]] olev tekst kirjeldab OpenSSH serveri haldamist ning keerulisemad kasutusvõimalusi

===Teise masinasse sisselogimine ja ühenduse lõpetamine===

Kirjeldame lihtsustatult, kuidas toimub SSHga teise masinasse sisselogimine.

Logimisel on kolm etappi:

Protokollide kontroll. Seansi algus ei ole krüptitud. Selle käigus teevad osapooled kindlaks, et nad kasutavad omavahel sobivaid SSH versioone.
Klient veendub serveri ehtsuses. Serveril on kaks RSA võtit: salajane ja avalik. Et klient saaks veenduda, serveri ehtsuses peab ta eelnevalt teadma serveri avalikku võtit. Teatavasti on avaliku võtme krüptograafia kõige nõrgemaks kohaks avaliku võtme edastamine selle kasutajale. Selle võib klient saada, nt disketil, serveri administraatori käest isiklikult, kuid levinum on riskantsem viis. Nimelt esmakordsel ühendusevõtmisel usaldab klient serverit. Saades serveri avaliku võtme ning kliendi so kasutaja nõusoleku, lisatakse see faili ~/.ssh/known_hosts. Kui edaspidi võetakse ühendust sama serveriga, siis on võimalik juba kasutada standardset avaliku võtme krüptograafiat:

Server genereerib ja krüptib juhusliku järgnevuse (ingl. k. challenge) oma salajase võtmega ja saadab selle kliendile.
Klient püüab saadetist lahti krüptida tema käsutuses oleva vastava avaliku võtmega.
Kui see õnnestub, on server ehtne; kui mitte, siis on server võlts või on ta vahepeal endale uud võtmed tekitanud.
Klient saadab serverile tagasi ühe võtmega krüptimise shifri nime (DES, 3DES, IDEA) ja serveri avaliku võtmega krüpteeritud sessioonivõtme. Saadetis on avatav ainult vastava salajase võtmega, mis on eeldatavasti vaid õigel serveril.
Edasine infovahetus serveri ja kliendi vahel toimub üle krüptitud kanali, kusjuures mõlemad pooled kasutavad kokkulepitud shifrit ja sessioonivõtit.

Andmevahetuse alustamist kirjeldab pilt

[[Pilt:Openssh-1.gif]]

kus

* Diffe-Hellmani võtmevahetuse protseduuri abil lepitakse kokku salajane võti

Server veendub kliendi ehtsuses. Esmalt püütakse kasutajat autentida automatiseeritud viisil. Kui see ei õnnestu, kontrollitakse kasutaja UNIXi parooli, kasutades loodud turvalist kanalit.

Praktiliselt algatab klient serveriga ühenduse käsuga ssh, näiteks

gnoom~$ ssh -l priit reptilus.zoo.tartu.ee
Host key not found from the list of known hosts.
Are you sure you want to continue connecting (yes/no)? yes
Host 'reptilus.zoo.tartu.ee' added to the list of known hosts.
Creating random seed file ~/.ssh/random_seed. This may take a while.
priit@reptilus.zoo.tartu.ee's password:
reptilus~$

Seejuures:
* tekitatakse kliendile kataloog ~/.ssh milles sisalduvad SSHle olulised failid,
* serveri avalik võti lisatakse faili ~/.ssh/known_hosts,
* tekitatakse SSH sisemisteks vajadusteks juhuslikku alget sisaldav fail ~/.ssh/random_seed,
* küsitakse kasutaja UNIXi parooli, kuna kasutaja RSA võtmetega automaatne autentimine ebaõnnestus.

Tulemusena saadi äsjases näites ette teise masina viip ja võiks hakata seal toimetama. Sarnase tulemuse oleksite võinud saada telnetiga, kuid SSH abil tekitatud ühendust krüptitakse.

Seansi lõpetamine toimub tavalisel moel välja-logimisega
reptilus~$ logout
gnoom~$

Niisiis,
SSH klient teeb SSH serveri avaliku võtme abil kindlaks SSH serveri ehtsuse ja
seejärel SSH server autendib kasutaja.

'''Märkus:''' Kujutleme olukorda, kus teil on harjumus külastada SSHga mõnda masinat ning te ühtäkki märkate sisselogimisel, et server vastab teile hoiatava veateatega, öeldes, et serveri avalik võti ei klapi, pakkudes aga teile võimalust jätkata sisselogimist. Sama toimub ka igal järgmisel korral. Sel juhul on kaks võimalust:
# Te suhtlete võltsserveriga ning ei tohiks sisselogimist jätkata. Tuleks muude vahenditega kindlaks teha, mis täpselt toimub.
# Server on õige, kuid ta kasutab uusi RSA võtmeid. Sel juhul peab kasutaja oma ~/.ssh/known_hosts failist vastava serveri avaliku võtme rea käepärase tekstiredaktori abil kustutama. Järgmisel külastusel kirjutatakse sinna faili uus serveri avalik võti.

===SSH kliendi seadistamine===

SSH klienti tööd saab juhtida kolmel moel, kusjuures esitatud nimekirja lõpupool asuvatel on kõrgem prioriteet

* /etc/ssh/ssh_config - globaalne seadistusfail
* ~/.ssh/config - kasutaja seadistusfail
* käsureal kasutatud suvandid

Seadistusfailis saab Host parameetrile järgnevate ja enne järgmist Host parameetrit asuvate direktiividega kehtestada kuidas SSH klient käitub esimese Host parameetriga klappivate arvutite SSH serveritega. Lisaks, toimib esimene direktiivi väärtustamine, st et täpsemad määratlused tuleb teha seadistusfaili alguses ning üldisemad lõpus. Näiteks selline /etc/ssh/ssh_config

Host 192.168.10.0/24
GSSAPIAuthentication yes
GSSAPIDelegateCredentials yes

Host *
ForwardX11 yes
GSSAPIAuthentication no
GSSAPIDelegateCredentials no
SendEnv LANG LC_*
HashKnownHosts yes

kehtestab, et

* Kerberose piletite kasutamine ja edasiandmine on lubatud 192.168.10.0/24 võrku kuuluvate arvutitega
* kõigi muude arvutitega suhtelemisel on Kerberose kasutamine keelatud
* Kuna LANG ja LC_* keskkonnamuutujate osas ei ole esimeses Host sektsioonis midagi öeldud, siis viimases näidatud direktiivid kehtivad kõigi SSH serverite puhul

=== Kasututaja autentimine tema RSA võtmetega ===

Teatavasti pakuvad r-korraldused suhteliselt automaatset, kuid ebaturvalist autentimist. Näitame, kuidas eelmises punktis kirjeldatud sisselogimisele ja seansi krüptimisele lisaks korraldada SSH abil automaatset kasutaja autentimist.

Autentimine toimub kasutaja enda moodustatud RSA võtmepaari abil. Rääkides seonduvalt SSHga RSA võtmetest, tuleb teha vahet, millal kõneldakse SSH serveri RSA võtmepaarist ja kunas kasutaja RSA võtmepaarist.

==== RSA võtmete moodustamine ====

Esmalt moodustab kasutaja, näiteks priit@gnoom.zoo.tartu.ee endale RSA võtmepaari käsuga ssh-keygen

$ ssh-keygen
Generating public/private rsa key pair.
Enter file in which to save the key (/home/mart/.ssh/id_rsa):
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /home/mart/.ssh/id_rsa.
Your public key has been saved in /home/mart/.ssh/id_rsa.pub.
The key fingerprint is:
41:89:34:41:90:c1:6e:27:f1:89:a9:16:09:aa:71:41 mart@moraal
The key's randomart image is:
+--[ RSA 2048]----+
|o.E+o*=o.. |
|.oo.= .o. |
|o.o. + . |
|o+ + o . |
|o . o S |
| |
| |
| |
| |
+-----------------+

kus võtme moodustamisel päritakse kasutajalt RSA salajase võtme parooli; selle peab ta sisestama iga kord enne oma salajase võtme kasutamist.

Tulemusena tekitatakse kaks võtit:

* ~/.ssh/id_rsa - kasutaja RSA salajane võti
* ~/.ssh/id_rsa.pub - kasutaja RSA avalik võti

Pange tähele, et avaliku võtme faili sees teksti lõpus on kirjas, kellele see kuulub. Salajane võti on küll parooliga kaitstud, kuid võti peaks siiski olema vaid kasutajale endale loetav.

ssh-keygen võimaldab kasutada sellised võtmeid

* -t rsa või -t dsa - kontrollib, kas moodustatakse rsa või dsa võti
* -b 4096 - võtme pikkus
* -f failinimi - millega algavad võtmetele vastavad failinimed, vaikimisi .ssh/id_rsa*

==== RSA avaliku võtme paigutamine SSH serverisse ====

Oma avaliku võtme peate te lisama külastatava (so. SSH serveri, nt reptilus.zoo.tartu.ee) masina faili ~/.ssh/authorized_keys ja salajase võtme jätma sinna, kuhu ta tekitati. Kuna ~/.ssh/authorized_keys faili sisu on kõigile loetav, pole avaliku võtme edastamisel vaja võtta tarvitusele erilisi ettevaatusabinõusid: peaasi, et võtme sisu jääks muutumatuks. Failis ~/.ssh/authorized_keys võivad sisalduda mitmed avalikud võtmed, igaüks eraldi real ning fail on ASCII kujul. Nii on võimalik külastada SSH serverit erinevatest klient-masinatest. Kõige lihtsam on teha ~/.ssh/identity.pub failist koopia ning see ftp abil SSH serverisse toimetada. Seal andke selle faili lugemis- ja kirjutamisõigus ainult endale

$ chmod 600 ~/.ssh/authorized_keys

Kui te nüüd külastate ssh'ga seda SSH serverit, siis esmalt klient autendib serveri varemkirjeldatud tavapärasel moel. Aga server autendib kliendi selliselt:
server genereerib juhusliku järgnevuse baite ja krüptib need talle teadaoleva kasutaja avaliku võtmega
klient kasutab ainult tal olemasolevat vastavat sajalast võtit ja krüptib saadetise lahti; tulemus saadetakse serverile tagasi
server võrdleb esialgset järgnevust kliendi poolt lahti krüptituga ja nende identsuse korral loeb autentimise õnnestunuks ning kasutajale antakse ette viip.

Lisaks võtmele saab iga authorized_keys faili rea alguses kasutada man sshd tekstis kirjeldatud suvandeid, nt

no-port-forwarding,no-X11-forwarding,no-agent-forwarding,no-pty,\
command="~/bin/skriptinimi.sh",from="192.168.96.138" ssh-rsa AAAAB3NzaC1y ....

kasutamise tulemusena peale kasutaja ssh võtmega sisselogimist täidetakse skript ~/bin/skriptinimi.sh.

Avaliku võtme paigutamist teisse arvutisse lihtsustab ssh-copy-id skript, nt

$ ssh-copy-id mart@ns.auul
mart@ns.auul's password:
Now try logging into the machine, with "ssh 'mart@ns.auul'", and check in:

.ssh/authorized_keys

to make sure we haven't added extra keys that you weren't expecting.

==== RSA võtmete kasutamine ====

Näide automaatsest kasutaja RSA võtmetega autentimisest

gnoom~$ ssh -l priit reptilus.zoo.tartu.ee
Enter passphrase for RSA key 'priit@gnoom.zoo.tartu.ee':
Last login: Thu Nov 11 11:16:09 1999 from mammal.zoo.tartu.ee
Copyright (c) 1980, 1983, 1986, 1988, 1990, 1991, 1993, 1994
The Regents of University of California. All rights reserved.
reptilus~$

Kuna kasutaja autentimisel läheb tarvis tema salajast võtit, siis küsitakse salajase võtme parooli; '-l kasutajanimi' on vajalik, kui kasutajal on teises masinas erinev kasutajanimi. Siiski, kui ka kasutajal on erinevad kasutajanimed erinevates 'teistes masinates', siis ei pruugi ta '-l' võtit kasutada. Selle asemel võib ta kasutajanime ja vastava teise masina nime ära näidata failis ~/.ssh/config; võib kirjeldada mitmeid SSH servereid:

Host reptilus.zoo.tartu.ee
User priidu
Host mammal.zoo.tartu.ee
User priidik

Näites autenditakse gnoomi kasutajat 'priit' masinas reptilus kasutajana 'priidu'; ja masinas mammal kasutajana 'priidik'. Niisiis, et gnoomist logida sisse mammalisse kasutajana 'priidik' piisab kirjeldatud konfiguratsioonifaili olemasolul anda käsk

gnoom~$ ssh mammal.zoo.tartu.ee

Niisiis, standardne UNIXi paroolikontroll on asendatud SSH vahenditega. Hoiatuseks märgime, et juhul, kui teine masin võimaldab vaid SSHga sisselogimist ja te olete oma authorized_keys faili seal moodustanud ning te eksite, nt. ei mäleta oma salajase võtme parooli, siis peate kuidagi eemaldama authorized_keys faili; või vähemalt sellele masinale vastava sissekande, kust te SSH serverit ebaõnnestunult külastada püüate. Loodetavasti on seda võimalik FTPga teha. Kui ei, peate paluma SSH serveri administraatorit.

==== Võtmete mälus hoidmine ====

Eelmises punktis nägime, kuidas korraldada kasutaja (enda) autentimist. Seejuures võib tunduda ebamugavana vajadus iga kord oma salajase võtme parooli sisestada. Tõsi, tehniliselt võite võtmete moodustamisel ka parooli panemata jätta (vajutades Enterit), kuid see oleks turvaline seni, kuni teie salajane võti kindlalt ainult teie valduses on. Tõsi, reeglina see nii ka on. SSH pakub võimaluse salajasi võtmeid kliendi masina mälus hoida kuigi ka see pole väga turvaline, kuid enamasti piisav praktiliseks kasutamiseks.

Selleks käivitatakse võtmete mälus hoidmise agendi abil programm, millele (ja millest käivitatud uutele programmidele) saab teha kasutaja salajase võtme kättesaadavaks. Näiteks koorik

gnoom~$ ssh-agent bash

kus uues shellis on muu hulgas kaks olulist keskkonnamuutujat kirjeldatud, nt selliste väärtustega

SSH_AGENT_PID=23280
SSH_AUTH_SOCK=/tmp/ssh-AFJwe23279/agent.23279

Kui sama kasutajana ja nende muutujate olemasolul käivitada ssh klient, siis ta automaatselt saab ligi kasutada kasutaja privaatset võtit. Seejuures on oluline, et ssh-agent ei anna võtit ennast nö küsijale välja, aga krüptib esitatud materjali ning tagastab tulemuse küsijale.

Eeldades, et te hoiate oma salajasi võtmeid failis ~/.ssh/indentity, saate nad mällu laadida korraldusega ssh-add

gnoom~$ ssh-add
Need passphrase for /home/priit/.ssh/identity (priit@gnoom.zoo.tartu.ee)
Enter passphrase:
Identity added: /home/priit/.ssh/identity (priit@gnoom.zoo.tartu.ee)

Nüüd saavad kõik uuest koorikust järgnevalt käivitatud programmid, näiteks ssh ja cvs, vajadusel kasutada mällu laaditud SSH RSA sajalasi võtmeid.

Mälus olevate salajaste võtmete vaatamiseks on korraldus

gnoom~$ ssh-add -l

Salajaste võtmete mälust eemaldamiseks on korraldus

gnoom~$ ssh-add -D

====Agent forwarding====

Kui ssh-agent kasutamisel tavaliselt saab teisse arvutisse siis ja sellega lõpeb, siis agent forwarding kasutamisel tekitatakse peale teisse arvutisse sinna /tmp kataloogi vastav unix soket ning teisest arvutist saab edasi logida kusjuures kasutatakse esimese arvuti ssh-agent'i teenuseid. ssh agent forwarding on tavaliselt vaikimisi välja lülitatud, kävitamiseks tuleb kasutad ssh kliendi juures nt -A võtit (ka serveri poolel peab olema AllowAgentForwarding sisse lülitatud, vaikimisi tavaliselt on)

gnoom~$ ssh -A mart@teine.arvuti

Seejuures tuleb arvestada nn ssh agendi kaaperdamise võimalusega, http://www.unixwiz.net/techtips/ssh-agent-forwarding.html#sec. St kui teises arvutis saab pahatahtlik kasutaja (nt root) ligi /tmp kataloogi tehtud soketile, siis on tal võimalus igale poole sisse logida teie nimel kuhu te oma võtmega saaks (eeldusel, et teisest arvutist on võrguühenduse mõttes ligipääs olemas).

====Mitme ssh võtmekomplekti kasutamine====

Kui mingil põhjusel kasutaja ei usalda ühte ja sama ssh avalikku võtit kasutada mitmes muus arvutis, siis saab ta kasutada ka erinevaid võtmekomplekte. Täiendava võtmepaari genereerimiseks sobib öelda nt

$ ssh-keygen -b 4096 -t rsa -f .ssh/loomaaed

mille tulemusena tekitatakse kaks faili

.ssh/loomaaed
.ssh/loomaaed.pub

Alternatiivse võtme kasutamiseks tuleb avalik osa loomaaed.pub kopeerida teisse arvutisse ning privaatset osa kasutada nt selliselt

$ ssh loomaaed.tartu.ee -i .ssh/loomaaed

=== Korralduste täitmine teises masinas ===

SSH võimaldab lasta korraldusi täita teises masinas, kasutades järgmist süntaksit
ssh -l kasutaja2 teise.masina.nimi käsk käsu-võtmed

kasutaja2 on kasutajanimi teises masinas, kelle õigustes seal tegutsetakse.

Sõltuvalt korralduse iseloomust võib väljund esituda ekraanil. Korralduse täitmisele eelneb varemkirjeldatud autentimine.

Anname näiteks teises masinas korralduse 'hostname -f'

gnoom~$ ssh -l kasutaja2 reptilus.zoo.tartu.ee hostname -f
reptilus.zoo.tartu.ee
gnoom~$

või korralduse 'w'
gnoom~$ ssh kasutaja2@reptilus.zoo.tartu.ee w
12:10PM up 9 days, 21:18, 8 users, load averages: 0.02, 0.03, 0.00
USER TTY FROM LOGIN@ IDLE WHAT
mart tty2 mammal 11:09AM 0:05 bash
gnoom~$

Paralleelselt on lubatud kasutada ka konstruktsiooni kasutajanimi@masina.nimi.

Mõned programmid, nagu näiteks mc eeldavad, et neile eraldatakse kauges masinas terminal, seda peab näitama võtmega -t
gnoom~$ ssh -t kasutaja2@reptilus.zoo.tartu.ee mc

===Andmete kopeerimine===

SSH võimaldab mitmel viisil andmed arvutite vahel kopeerida

* scp
* sftp
* kasutada ssh stdio võimalusi

====SCP====

masinate vahel käsuga scp faile kopeerida järgmise süntaksi kohaselt
scp võti kasutaja1@masin1.nimi:/kataloog1/failinimi1 kasutaja2@masin2.nimi:./kataloog2/failinimi2

Mõlemad argumendid koosnevad kahest osast, mida eraldab koolon (:)
* masina nimi
* failinimi

Kui failinimi algab punktiga (.), siis näitab see faili asukohta vastava masina kasutaja kodukataloogi suhtes; muidu on tegu absoluutse nimega.

Esimeseks argumendiks on kopeeritava faili nimi ja teiseks nimi, millega ta teises masinas salvestatakse.

Programm scp näitab kopeerimise ajal progressi. Kasutades võtit -A seda ei tehta.

Korralduse täitmisele eelneb eelkirjeldatud autentimine, kusjuures kehtivad võimalused võtmeid mälus hoida. Näiteks kopeerib kasutaja priit faili priidupilt.jpg teisest masinast kohalikku
gnoom~$ scp priidu@reptilus.zoo.tartu.ee:./public_html/priidupilt.jpg priidupilt.jpg
priidupilt.jpg | 6600 KB | 179.7 kB/s | ETA: 00:03:00 | 83%

Võimalik on kopeerida faile ka nö teise ja kolmanda masina vahel, see tähendab, et ei see, kust fail võetakse ega see, kuhu ta pannakse, pole masin, mille viip teil ees on
gnoom~$ scp priidu@reptilus.zoo.tartu.ee:./pilt.jpg priidik@mammal.zoo.tartu.ee:./pildid/pingu.jpg

====SSH STDIO kasutamine====

Failide kopeerimisel saab kasutada ka IOga manipuleerimist, näiteks kasutaja arhiveerib kataloogi ~/public_html sisu, pakib andmed ning saadab SSH abil üle võrgu teise masinasse; seal sisenetakse kodukataloogi ning harutatakse arhiiv lahti

$ tar cf - ~/public_html | gzip | ssh reptilus.zoo.tartu.ee 'cd ~ && cat - > priidu.koduleht.tgz'

====SFTP====

Iseenesest on SFTP on SSH eraldiseisev protokoll, kuid praktiliselt on suure tõenäosusega kõige populaarsem SFTP protokolli kasutamine just SSH nn alamsüsteemina (ingl. k. subsystem).

Serveri poolel peab olema SFTP alamsüsteem seadistatud, nt

Subsystem sftp /usr/lib/openssh/sftp-server

Enamasti on see juba kasutaja eest paika pandud

ja kliendi poolt kasutamiseks sobib öelda

$ sftp arvutinimi
sftp>

SFTP erinevusteks võrreldes scp'ga on

* muuta teise arvuti failide metaandmeid, nt omanikke ja loabitte
* peatada ja jätkata kopeerimist
* põhimõtteliselt töötab andmevahetus pisut aeglasemalt

Lisaks nö käsureakliendile on mitmeid graafilise SFTP kliente, Windows operatsioonisüsteemile WinSCP nint Linuxile nt Filezilla

[[Pilt:Filezilla-1.gif]]

=== Oma RSA salajase võtme parooli muutmine ===

Oma salajase võtme parooli muutmiseks kasutage käsku ssh-keygen võtmega -p
gnoom~$ ssh-keygen -p
Enter file key is in (/home/priit/.ssh/identity):
Enter old passphrase:
Key has comment 'priit@gnoom.zoo.tartu.ee'
Enter new passphrase:
Enter the same passphrase again:
Your identification has been saved with the new passphrase.

Parooli muutmiseks on vaja vana parooli teada. Kui see on unustatud, tuleb genereerida uus RSA võtmepaar ning seda kasutama asuda.

=== Pordi edasisuunamine ===

Mitmetel põhjustel, näiteks turvalisus või kasutusmugavus võib olla abiks selle asemel, et pöörduda otse teenuse poole üle interneti aadress:port, pöörduda aadressile localhost:port.

Eemal asuva serveri pordi suunamine kohaliku masina localhost porti toimub käsuga

bash$ ssh priit@gnoom.zoo.tartu.ee -L 6565:localhost:5432

Selle tulemusena saab pöörduda localhost:6565 poole ning kasutada eemal asuva masina pordil localhost:5432 olevat teenust. Näiteks võiks sellest olla kasu kui gnoom.zoo.tartu.ee asub otse avalikus võrgus, aga seal töötav PostgreSQL andmebaas kuulab localhostil ning soovite andmebaasi kasutada kohalikus masinas töötava PgAdmin klientprogrammiga.

Kohaliku masin pordi 192.168.1.3:3306 suunamine eemal asuva arvuti gnoom.zoo.tartu.ee porti localhost:6565 toimub käsuga

bash$ ssh priit@gnoom.zoo.tartu.ee -R 6565:192.168.1.3:3306

Selle tulemusena saab eemal oleva masina kasutaja pöörduda enda arvuti localhost:6565 poole ning kasutaja teie kohaliku arvuti pordil 192.168.1.3:3306 töötavat teenust. Näiteks võiks sellest kasu olla kui teie töökohaarvutil ei ole avalikku ip aadressi ning te soovite kellelegi tutvustada mõnda oma arvutis töötavat programmi. Kusjuures 192.168.1.3 arvuti võib olla ka nö kolmas arvuti, st mitte see kus ssh programm käivitatakse. Nii saab kahe arvuti, millel otseselt ei ole üksteisele ligipääsu, vahel tekitada tcp ühenduse kolmanda arvuti (kus töötab ssh klient) abil.

NB! Tundub, et selline suunamine ei tööta kui ssh kliendi käivitamisel minnakse käsitsi üle hoiatustest, tõtt-öelda viimasel real nii öeldakse ka

Port forwarding is disabled to avoid man-in-the-middle attacks.

# ssh root@10.0.13.173 -R 1521:10.0.23.66:1521
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@ WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that a host key has just been changed.
The fingerprint for the ECDSA key sent by the remote host is
41:9f:3f:2d:1b:c4:14:be:35:67:53:9d:59:cf:4c:06 [MD5].
Please contact your system administrator.
Add correct host key in /root/.ssh/known_hosts to get rid of this message.
Offending ECDSA key in /root/.ssh/known_hosts:730
Password authentication is disabled to avoid man-in-the-middle attacks.
Keyboard-interactive authentication is disabled to avoid man-in-the-middle attacks.
Port forwarding is disabled to avoid man-in-the-middle attacks.
Uuemad SSH versioonid võimaldavad lisaks localhostile seostada nii suunatud porte ka muude võrguliidestega.

Kuna portide suunamisel -L võtme kasutamisel hakkab ssh kuulama täiendavalt kohalik masina sellel pordil ning -R võtme kasutamisel hakkab kuulama täiendavalt kauge arvuti näidatud pordil, siis tuleb arvestada, et privilegeerimata kasutaja ei saa kasutada alla 1024 porte; -L puhul saab sarnase teate

$ ssh mart@loomaaed.tartu.ee -L 222:localhost:22
Privileged ports can only be forwarded by root.

===Sessioonide multipleksimine===

Kui ühel või teisel põhjusel on tarvis kasutada üle ühe tcp ühenduse (ingl. k. tcp connection) mitut ssh sessiooni, st mitu korda ühest ja samast ühest arvutist ühte ja samasse teise arvutisse pöörduda, siis sobib seda teha nn ssh ControlMaster abil. Esmalt moodustatakse ControlMaster ühendus, mille käigus tekitatakse soket failisüsteemi

ns:~$ ssh -Mt -S /tmp/ssh.imre.fs imre@fs.loomaaed.tartu.ee
fs:~$

Ning seejärel saab ssh ühendusi tekitada sarnaselt, nagu näha toimub järgmise ühenduse moodustamine oluliselt väiksema vaevaga

ns:~$ ssh -S /tmp/ssh.imre.fs imre@fs.loomaaed.tartu.ee -v
OpenSSH_5.5p1 Debian-6, OpenSSL 0.9.8o 01 Jun 2010
debug1: Reading configuration data /etc/ssh/ssh_config
debug1: Applying options for *
debug1: mux_client_request_session: master session id: 3
Last login: Mon Aug 22 20:34:14 2011 from moraal.auul
fs:~$

Sellisele asjakorraldusele on iseloomulik

* järgmiste ühenduste tekitamine toimub kiiremini
* võrgus on üks tcp ühendus
* server poolel töötab vaid ühs sshd protsess

fs:~$ ps aux | grep 'sshd:'
imre 19383 0.0 0.3 8264 2744 ? Ss 20:33 0:00 sshd: imre@pts/0,pts/1,pts/2

===X rakenduste kasutamine üle võrgu===

Teatavasti on Xi akende so programmide üle võrgu vedamine ebaturvaline, lisaks ka ebamugav, kuna peab paika sättima DISPLAY keskkonnamuutujat või näitama selle ära käsureal, näiteks
gnoom~$ gimp -display reptilus.zoo.tartu.ee:0

Peale selle on vaja Xserveris ära näidata käsuga xhost, milline kasutaja ja millisest masinast võib seal aknaid avada.

SSH teeb asja turvalisemaks ja lihtsamaks. Näiteks käivitame teise masina programmi xterm nii, et programm avaneb kohalikus Xserveris aknana:
retpilus~$ ssh gnoom.zoo.tartu.ee /usr/X11R6/bin/xterm

Ning kui avanenud xterm'ist käivitada järgnevalt programme, toimub andmete liikumine samuti üle üle SSH kanali ning aknad avatakse selles Xserveris, kus see xtermi aken asub.

===ssh serveri kasutamine läbi https proksi===

ProxyTunnel http://proxytunnel.sourceforge.net/ tarkvara abil saab ssh kliendiga pöörduda ssh serveri poole läbi https proksi. See võib olla vajalik nt juhtumil kui klient asub võrgus, millest ei saa pöörduda välja muul viisil kui https proksi kaudu. Seejuures võib proksi küsida ka kasutajalt parooli. Kasutamiseks tuleb operatsioonisüsteemi vahenditega paigaldada pakett proxytunnel ning seejärel lisada ssh kliendi seadistusfaili

$ cat .ssh/config
...
Host ssh-tla
ServerAliveInterval 30
ProxyCommand /usr/bin/proxytunnel -p cache.teenusepakkuja.ee:3128 -d ssh.loomaaed.tartu.ee:443

kus

* -p - teenusepakkuja host:port
* -d - ssh serveri host:port

Kasutamiseks tuleb pöörduda ssh serveri poole kasutades config failis kasutatud Host väärtust

$ ssh priit@ssh-tla
Via cache.teenusepakkuja.ee:3128 -> ssh.loomaaed.tartu.ee:443
Linux ssh 2.6.32-5-amd64 #1 SMP Mon Jan 16 16:22:28 UTC 2012 x86_64
...
priit@rakendus:~$

Sellisele asjakorraldusele on iseloomulik, et ssh serveri poole peab saama pöörduda 443/tcp pordi kaudu, vastasel korral ei pruugi proksi ühendust moodustada. Lisaks, erinevalt nt httptunnel tarkvarast, millega saab sammuti kasutada http proksit tcp ühenduste pidamiseks, on ProxyTunnel puhul tarvis ainult nö kliendi poolel teha täiendavaid pingutusi.

Proks logis vastab ühele ssh ühendusele üks rida, nt

1331413631.677 180240 10.5.5.5 TCP_MISS/200 3570489 CONNECT ssh.loomaaed.tartu.ee:443 - DIRECT/10.47.218.19 -

kus

* 10.5.5.5 - kliendi ip
* ssh.loomaaed.tartu.ee - nö veebiserveri st ssh serveri domeeninimi kuhu pöörduti
* 10.47.218.19 - nö veebiserveri st ssh serveri ip kuhu pöörduti
* ProxyTunnel kasutab oma tööks http proxy CONNECT meetodit

===Märkused===

* man ssh_config suvandeid saab kasutada käsurealt -o võtme abil, nt

$ ssh -o UserKnownHostsFile=/tmp/known_hosts root@10.0.6.227

salvestab hosti avaliku võtme ~/.ssh/known_hosts asemel faili /tmp/known_hosts, et ühekordse sisselogimise vajaduse pärast mitte risustada kasutaja known_hosts faili.

* Kui võrk ssh kliendi ja serveri vahel nö tapab idle olekus ssh ühendusi, maksab kasutada kliendi /etc/ssh/ssh_config failis parameetrit

ServerAliveInterval 30

=== Võtmevahetuse ja krüptimise algoritmid ===

Paistab, et 2017 aastal kasutatakse vaikimisi igasugustes linux distributsioonides ssh kliendi ja serveri vahel

* võtmevahetuse algoritm - curve25519-sha256
* sümmeetrilise krüptimise algoritm - chacha20-poly1305@openssh.com

<pre>
$ ssh imre@192.168.10.123 -v
...
debug1: kex: algorithm: curve25519-sha256@libssh.org
debug1: kex: host key algorithm: ecdsa-sha2-nistp256
debug1: kex: server->client cipher: chacha20-poly1305@openssh.com MAC: <implicit> compression: none
debug1: kex: client->server cipher: chacha20-poly1305@openssh.com MAC: <implicit> compression: none
</pre>

Konkreetsete algoritmide kasutamist saab täpsustada nt selliselt (lisaks on sisse lülitatud pakkimine)

<pre>
$ ssh -C imre@192.168.10.123 -v -o Ciphers=aes128-ctr -o KexAlgorithms=diffie-hellman-group-exchange-sha256
...
debug1: kex: algorithm: diffie-hellman-group-exchange-sha256
debug1: kex: host key algorithm: ecdsa-sha2-nistp256
debug1: kex: server->client cipher: aes128-ctr MAC: umac-64-etm@openssh.com compression: zlib@openssh.com
debug1: kex: client->server cipher: aes128-ctr MAC: umac-64-etm@openssh.com compression: zlib@openssh.com
</pre>

=== Kasulikud lisamaterjalid ===

* [[Fetchmail]]
* SSH üle PPP kanali
* [[PGP]]
* [[:SSH kasutajate chrootimine libpam-chroot mooduli abil Debian Lennyga]]
* [[:WinSCP kasutamine]]
* [[:Openssh chroot]] Kasutaja chrootimine openssh patchi kasutades kodukataloogi
* [[:OpenSSH_administreerimine]]
* http://www.snailbook.com/index.html

Linux mount

2017-09-07T17:42:59Z

Imre: /* Olemasolevate partitsioonide suurendamise teel */

===Sissejuhatus===

[[Pilt:2879430437 975b4e8d5f.jpg]]

Nagu teada asuvad Linux'i puhul kõik failid ühtses kataloogipuus (aga nt. MS Windows'ites kasutatakse partitsioonide tähistamiseks nn. kettatähti: A, B on pehmeketta seadmed ja C, D, E ... Z - kõvaketaste partitsioonid).

Linuxi puhul on tähelepanuväärne see, et ta suudab lugeda ja kirjutada peale enda Second Extended (ext2, ext3, ext4) failisüsteemi ka paljusid teisi levinud failisüsteeme (mh. FAT pikkade ja lühikeste nimedega, OS2 HPFS, minix). Et see tõesti nii oleks on vaja vastav tugi kernelisse sisse või mooduliteks kompileerida. Soovitavalt mooduliteks. Muuseas, moodulid asuvad kataloogis /lib/modules/... ja kui seal on nt. fail vfat.o, siis on tõenäoliselt võimalik lugeda kirjutada W95 partitsiooni. Seda kas moodul on kasutusel saab näha käsuga lsmod; ja kui ei ole kasutusel, siis aitab käsk modprobe vfat. Jne.

Linux käsitleb pehme- ja kõvakettaid kaunis võrdväärsete seadmetena. Vähemalt selles mõttes, et enne floppy ketta seadmesse panekut ja peale väljavõtmist tuleb täita samad käsud,et mis kõvaketta juurde ja tagant ühendamisel.

Failisüsteem on vahend andmete organiseerimiseks andmekandjal. Failisüsteem asub tavaliselt infokandjale (kõvaketas, USB pulk) partitsioonil ja tema poole pöördutakse seadmenimega. Näiteks esimese IDE kanali teise kõvaketta kolmas partitsioon kannab nime

b - esimene IDE kanal teine ketas (nn primary slave, esimene ketas algab tähega a)
|
|
/dev/hdb3
| |
| |
| 3 - kolmas partitsioon
|
hd - ata hard disk (sata kettad algavad sd lühendiga)

Kui te ei tea täpselt millised partisioonid on kõvakettale moodustatud kasutage järelevaatamiseks programmi fdisk

# fdisk /dev/hdb

Ettevaatust fdiski kasutamisel, peale vaatamise saab sellega ka partitsioone muuta.

Failisüsteemide kasutamine eeldab, et vastav toetus on tuuma kompileeritud. Et näha milliseid failisüsteeme masin parasjagu toetab vaadake tuuma moodulite kataloogi /lib/modules/2.2.xx või uurige faili /proc/filesystems sisu.

UNIXi kataloogistruktuur on traditsiooniline ja seal ei kõnelda ketastest (A:\, C:\ jne). Kõikide võimalike andmekandajate pöördutakse sisenedes vastavasse kataloogi. Seda millise kataloogi all külgeühendatud failisüteem asub nimetatakse külgeühendamiskohaks.

Peale andmekandja kasutamist ja enne selle seadmest väljavõtmist tuleb ta lahti ühendada, näiteks kataloogi /floppy alla ühendatud pehmeketta failisüsteemi lahtiühendamine käib nii

bash# umount /floppy

Seejärel võib pehmeketta seadmest välja võtta. Kui failisüsteemi keegi kasutab, näiteks mõni fail on avatud lugemiseks, siis ei saa seda lahti ühendada. Kasutage programmi fuser failisüteemi kasutuse uurimiseks ja vastavate protsesside lõpetamiseks.

Parasjagu külgeühendatud failisüsteeme näeb käsuga df

Failisüsteemide külgeühendamine toimub programmiga mount mille süntaks on selline

mount [-t failisüsteemi_tüüp] [-o võtmed] seadme_nimi külgeühendamiskoht

===Floppy ketta ühendamine===

'''4. kontrollige kas seadmel on bad block'e:'''

# badblocks -v /dev/fd0

'''5. Tehke kettale fsck:'''

# fsck /dev/fd0

'''4. Vajadusel looge failisüsteem'''

kõvaketta ja floppy peale nii:

süsteemi tüüp käsk
ext2 mke2fs /dev/fd0
ext2 mke2fs /dev/hda1
msdos mkdosfs - " - (praktiliselt soovitatakse teha vastav
partitsioon ja failisüsteem dos'i enda fdiski ja format'iga)
'''5. Looge mount point ehk kataloog kuhu alla seadme failisüsteem ühendub'''

Linuxis on universaalseks kohaks kuhu võib kiirelt ajutisi failisüsteeme külge haakida /mnt, kui on aga vaja rohkem kui 1 seade külge haakida tuleb tekitada uusi harusid.

kõigi seadmete puhul

mkdir /soovitud_nimi

Näiteks

mkdir /a
mkdir /floppy
mkdir /hda2_ext
mkdir /hda3_msdos
mkdir /hda4_vfat

'''6. Mount'ime seadme külge:'''

vastavalt mountitavale süsteemile tuleb teist parameetrit muuta:

failisüsteem käsk

ext2 (linux) mount -t ext2 /dev/fd0 /floppy
iso9660 (cdrom) iso9660 /dev/hda2 /hda2_ext2
msdos (lühikesed nimed) msdos /dev/hda3 /hda3_msdos
vfat (pikad nimed) vfat /dev/hda4 /hda4_vfat
image failid vfat -o loop /img.fail /a

'''7. Toimetame seadmel olevate failidega'''

'''8. Umount'ime seadme:'''

# umount /dev/fd0

'''9. Alles nüüd võib floppy või cd -rom'i plaadi välja võtta'''

'''2. Floppy kettad'''

Floppy'de peale tehakse tavaliselt kas vfat, msdos, ext2 või ei tehtagi failisüsteemi. Viimasel juhul kantakse info sinna/sealt:

# dd if=/bare.i of=/dev/fd0
# dd if=/dev/fd0 of=/disk.image.144

Need mainitud failisüsteemid peavad olema kernelis või moodulitena olemas

# modprobe vfat
# modprobe msdos

Allpool on näiatud kuidas image faile mountida.

===CD-ROM===

CD-ROM'i dele kirjutatakse tavaliselt iso9660 failisüsteem. Ja seadmed ise on nn. IDE-ATAPI tüüpi. Et nendega tegelda tuleb vastav asi kernelisse kompileerida ja moodul vajadusel laadida 'modprob iso9660'

Füüsiliselt on vahest vaja seade ka arvutile külge ühendada

Samasugune on lugu ka kõvaketta partitsioonidega:

Lülitage arvutil vool välja, ühendage kõvaketas juurde, vajadusel paigutage jumpereid ümber ja detectige CMOS SETUP'ist uus vint ära. Seejärel bootige linux üles ja samad sammud nagu floppy puhul.

CDROM -iga on sama asi: kui CD peab enne mountimist sees olema ja seda ei tohi välja võtta enne umount'i.

Soovides CD/DVD plaadist koopiat teha tuleb anda lihtsalt käsk

# dd if=/dev/cdrom of=/kaust/ketas.iso

Ning kettale tekib iso fail mida saab siis vastavalt mountida või teisele plaadile paigaldada.

===Kõvaketas===

Kõvaketta partitsioonide mountimine toimub sarnaselt eeltoodutele. Kõvakettaga tegelemisel on linuxi puhul tänuväärne see, et isegi partitsioonide ja failisüsteemide muutmisel ei pea arvutit rebootima nagu, praegu ei tule keelele, aga on üks teine OS.

Külla aga saab badblocks'iga kontrollida bad blocke. Ja vee on üks abiks programm:

# fuser -v -m /dev/hda6
USER PID ACCESS COMMAND
/dev/hda6 root 1 .rce. init
root 9 .rce. update
root 10 frce. kerneld
root 30 frce. kerneld
root 65 .rce. klogd
root 66 frce. syslogd
root 68 frce. rpc.portmap
root 70 frce. inetd
root 72 .rce. rpc.mountd
root 74 .rce. rpc.nfsd
root 76 frce. crond
root 82 frce. sendmail
root 89 frce. bash
root 90 frce. agetty
root 91 frce. agetty
root 92 frce. agetty
root 93 frce. agetty
root 94 frce. agetty

Teadupärast annavad käsub umount ja mount vahet busy veateate - siit on aga näha mis seis on.

Ning käsk fsck (file system check) võimaldab kontrollida failisüsteemi korrasolekut. NB! enne tuleb failisüsteem umount'ida.

# fsck /dev/hda8
Parallelizing fsck version 1.10 (24-Apr-97)
e2fsck 1.10, 24-Apr-97 for EXT2 FS 0.5b, 95/08/09
/dev/hda8 is mounted. Do you really want to continue (y/n)? no

check aborted.

# umount /dev/hda8
# fsck /dev/hda8
Parallelizing fsck version 1.10 (24-Apr-97)
e2fsck 1.10, 24-Apr-97 for EXT2 FS 0.5b, 95/08/09
/dev/hda8: clean, 5358/665840 files, 605366/665248 blocks

Kasutades -C 0 näeb tegevuse progressi, nt

# e2fsck -C 0 -f /dev/c_data/test
e2fsck 1.41.11 (14-Mar-2010)
Pass 1: Checking inodes, blocks, and sizes
/dev/c_data/test: |= \ 2.0%

===Image file===

See on tõeliselt 'weird'- linux võimaldab mountida image file. Toome näite floppy kohta:

'''1. teeme /dev/fd0 -s olevat vfat failisüsteemiga floppyst image faili (floppy ei pruugi olla mountitud)'''

selleks on kolm võimalust, kasutage vaid ühte!

# cat /dev/fd0 > /img.144
# dd if=/dev/fd0 of=/img.144
# cp /dev/fd0 /img.144

'''2. veendume, et kernelis on loobback sees (mitte see mis puutub network'i :)'''

make menuconfig; Floppy, IDE and other block devices -> Loopback device support
vajadusel modprobe loop

'''3. mountime image faili /a alla'''

bash# mount -t vfat -o loop /img.144 /a
mount: Could not find any loop device, and, according to /proc/devices,
this kernel does not know about the loop device.
(If so, then recompile or `insmod loop.o'.)

# modprobe loop
# mount -t vfat -o loop /img.144 /a
# df
Filesystem 1024-blocks Used Available Capacity Mounted on
/dev/hda6 991000 895730 44066 95% /
/dev/hda2 1023856 996400 27456 97% /nt.40
/dev/hda5 310264 292016 18248 94% /os2
/img.144 1423 1111 312 78% /a

Ja töö lõpetamisel umount!

'''4. seadme image kasutamine'''

Järgnev kehtib eeldusel, et toimetamised mahuvad ära nn 32bit sisse.

Olgu kõvakettaseadmel /dev/hdb kolm partitsiooni ning on tehtud kogu seadmest image fail

# fdisk -l -u hdb.img
...
34 heads, 61 sectors/track, 0 cylinders, total 0 sectors
Units = sectors of 1 * 512 = 512 bytes
Device Boot Start End Blocks Id System
hdb.img1 61 232287 116113+ 83 Linux
hdb.img2 232288 485315 126514 83 Linux
hdb.img3 485316 549609 32147 83 Linux

Soovides ühendada külge sellest image failist teisel partitsioonil olevat failisüsteemi, tuleb öelda

mount -o loop,offset=118931456 hda.img /yhenduspunkt

arvestades asjaolu, et 512*232288 = 118931456

Tõmmise, millel on ilma partitsioonitabelita nö otse tehtud ext3 failisüsteem, ühendamiseks /etc/fstab abil sobib kasutada nt sellist rida

/mnt/tommis.img /mnt/tommis ext3 loop 0 2

===Suured kataloogid eraldi partitsioonidel===

Niisiis oletame, et meil on kaks kõvaketast partitsioonidega:

/dev/hda1 - swap, 96 M
/dev/hda2 - root, 600 M
/dev/hda3 - /home, kasutajate kodukataloogid, 2 000 M
/dev/hdb1 - /usr kataloogi alla jäävad failid 1200 M

Selgitused:

swap on arvuti nö. mälu pikendus ja seda kasutab ta 'iseenesest' peale inistsialiseerimist rc scriptides:

# mkwap /dev/hda1
# swapon /dev/hda1

root on see partitsioon kus asub kernel /vmlinuz ja enamus juurika kataloogidest (/etc, /bin, /root, /dev)

Tavaliselt on nii, et kasutajate kodukataloogid moodustavad küllalt suure struktuuri ja süsteemi uuendamisel või ümbersättimisel on mugavam, kui see asub kas füüsiliselt erineval kettal või vähemalt eraldi partitsioonil mida on nii kergem backup'pida.

Toodud näite olukorra kohta öeldakse, et hda3 on mount'itud juurika /home kataloogiks. Seda tehakse praktiliselt nii:

1. luuakse juurikale tühi /home kataloog:
(Tõsi, tavaliselt on ta sel olemas, sel juhul tuleks tema sisu kopeerida teise nime alla: ) mkdir /home (mv /home /home_old; mkdir /home)
2. Mountime tühja failisüsteemiga partitsiooni /dev/hda3 -e /home -ks mount -t ext2 /dev/hda3 /home
3. Vajadusel liigutame vana tagasi: mv /home_old /home

Tulemuseks on see, et failid mis asuvad /home'ist allpool asuvad reaalselt teises partitsioonis kui muu juurikas.

Sarnaselt on toimitud /usr kataloogiga.

===/etc/fstab===

See on fail kus on kirjas millised kataloogid mountida külge süsteemi bootimisel; tüüpiliselt näeb see fail välja selline:

/dev/hda7 swap swap defaults 0 0
/dev/hda6 / ext2 defaults,usrquota 0 1
/dev/hda2 /nt.40 vfat defaults 0 2
/dev/hda5 /os2 vfat defaults 0 2
/dev/hda8 /hda8 ext2 defaults 0 2
/dev/fd0 /floppy ext2 noauto 0 0
/dev/fd0 /a vfat noauto 0 0
/dev/hdd /cdrom iso9660 ro,noauto 0 0
none /proc proc defaults 0 0
laura:/ /fromlaura nfs noauto,rsize=8192,wsize=8192,timeo=14,intr 0 0

Selgitused:

tulp
1: seade kus füüsiliselt mountitav asi asub
2: kataloog kuhu seade läheb
3: failisüsteem
4: nn. optionid
5: dump info
6: fsck info

optionid:

defaults on defaults
noauto tähendab, et failisüsteemi ei laeta kohe külge aga hiljem piisab anda nt vfat floppy jaoks käsk: mount /a
ro on 'read only'
usrquota näitab, et seadet kontrollib quota

eelviimane tulp:

soovitatakse panna tavaliselt 0, seda väärtust kasutab program dumpe2fs oma salapärastel eesmärkidel

viimane tulp:

root'il soovitatakse panna 1
teistel 2

need arvud näitavad check'imise järjekorda bootimisel omal moel. Kui panna 0 siis fsck ei pööra talle tähelepanu.
Muide, fstab-i failisüsteemid laadib /etc/rc.d/rc.S -i rida

# /sbin/mount -avt nonfs

====UUID kasutamine====

Plokkseadme nn /dev kataloogi failinime asemel saab kasutada ka plokkseadme UUID väärtust, nt

UUID=7cd6e9de-18d1-4d55-8d46-4d96ce8f492d /boot ext3 defaults 0 2

UUID eeliseks on, et ta on seotud nt konkreetsel füüsilisel kõvakettal asuva failisüsteemiga.

====LABEL kasutamine====

TODO

===losetup===

Programmiga losetup saab korraldada faili käsitlemise plokkseadmena. Näiteks moodustame faili

# dd if=/dev/zero of=/data/plokkseadmefail.img bs=1024x1024 count=4x1024

ning seostame ta seadmega /dev/loop0

# losetup /dev/loop0 /data/plokkseadmefail.img

Kõiki losetup abil tekitaud plokkseadmeid näeb käsuga

# losetup -a
/dev/loop0: [fe0c]:22439673 (/data/plokkseadmefail.img)

Seadet /dev/loop0 saab käsitleda seejärel nagu tavalist plokkseadet, näiteks saab sinna moodustada failisüsteemi, tekitada partitsioone, kasutada mdadm või lvm juures.

Moodustatud plokkseadme saab eemaldada öeldes

# losetup -d /dev/loop0

===kpartx utiliidi kasutamine===

Mitmeid partitsioone sisaldava tõmmisfaili kasutamiseks on abi programmist kpartx

# apt-get install kpartx

Tõmmisest partitsioonide nimekirja küsimine

# kpartx -l tommisefailinimi.img
loop1p1 : 0 19631367 /dev/loop1 63

Tõmmise partitsioonidele vastavate seadmete tekitamiseks tuleb öelda

# kpartx -a tommisefailinimi.img

Tekkinud seadmete kasutamiseks, nt külge ühendamiseks sobib öelda

# mount -o ro /dev/mapper/loop1p1 /mnt/tommis-hda1

Mäppingute kustutamine (kusjuures oluline on kasutada täpselt sama path'i mida kasutati ühendamisel)

# kpartx -d tommisefailinimi.img
loop deleted : /dev/loop0

Kui plokkseadmele on moodustad nö otse failisüsteem, st ilma partitsioonitabelit tekitamata, siis paistab selline seade nt sarnaselt

# parted /dev/system/xl-deb-7-91.arendus.kit-disk p
Model: Linux device-mapper (linear) (dm)
Disk /dev/dm-10: 2147MB
Sector size (logical/physical): 512B/512B
Partition Table: loop

Number Start End Size File system Flags
1 0.00B 2147MB 2147MB ext3

kus

* Partitsioonitabeli tüüp - loop

Sellise failisüsteemi külgeühendamiseks pole vaja kpartx programmi kasutada, piisab niisama öelda

# mount /dev/system/xl-deb-7-91.arendus.kit-disk /mnt/xl-deb-7-91

===partprobe utiliidi kasutamine===

Kui kõvaketta osa partitsioone on kasutuses, nt /dev/sda1 osaleb mdadm RAID lülituses ja on soov ilma arvutit rebootimata nt sama ketta /dev/sda2 eemaldada ja asendada suuremaga (eeldades, et /dev/sda seadmel on kasutamata ruumi), siis sobib selleks järgmine protseduur

* veenduda, et /dev/sda2 partitsioon ei ole kasutuses
* fdisk, parted vms programmi abil kustutada olemasolev /dev/sda2 ja tekitada uus
* cat /proc/partitios näitab tuuma ettekujutust ketta partitsioonitabelit

* öelda

# partprobe /dev/sda

* veenduda, et tuumal on uus ettekujutus

Analoogiline tegevus toimub lisades kasutuses ja partitsioneerimata ruumi sisaldavale kettale partitsiooni, nt lisades fdisk abil /dev/sda4

* enne

<pre>
# ls -ld /dev/sda*
brw-rw---- 1 root disk 8, 0 Aug 13 17:17 /dev/sda
brw-rw---- 1 root disk 8, 1 Aug 13 17:20 /dev/sda1
brw-rw---- 1 root disk 8, 2 Aug 13 12:29 /dev/sda2
brw-rw---- 1 root disk 8, 3 Aug 13 17:20 /dev/sda3
</pre>

* peale 'partprobe /dev/sda' ütlemist

<pre>
# ls -ld /dev/sda*
brw-rw---- 1 root disk 8, 0 Aug 13 17:17 /dev/sda
brw-rw---- 1 root disk 8, 1 Aug 13 17:20 /dev/sda1
brw-rw---- 1 root disk 8, 2 Aug 13 12:29 /dev/sda2
brw-rw---- 1 root disk 8, 3 Aug 13 17:20 /dev/sda3
brw-rw---- 1 root disk 8, 4 Aug 13 17:20 /dev/sda4
</pre>

===Krüptitud plokkseadme kasutamine===

Kõvakettal olevaid andmeid saab krüptida mitmes kihis, alates plokkseadme plokkidest (need 512B suurused tükid) kuni failisüsteemis asuvate üksikute failide krüptimiseni. Järnev käsitleb plokkseadme (nt partitsiooni või LVM voluumi) krüptimist

Paigaldage vajalik tarkvara

# apt-get install cryptsetup

Eeldusena peab olema kasutada partitsioon või LVM voluum, näiteks /dev/sda2

# cryptsetup -y create data /dev/sda2
Enter passphrase:
Verify passphrase:

Moodusteme failisüsteemi

# mke2fs -j /dev/mapper/data

Ning ühendame külge

# mount /dev/mapper/data /data

Selleks, et alglaadimisel toimuks failisüsteemi külgeühendamine automaatselt tuleb sisestada faili /etc/crypttab rida

data /dev/sda2 none cipher=aes

Ning faili /etc/fstab rida

/dev/mapper/data /data ext3 defaults 0 1

Alglaadimise käigus küsitakse parooli ja seejärel toimub krüptitud failisüsteemi kasutamine nagu tavalise failisüsteemi puhul.

===fdisk partitsioonil asuva ext3 failisüsteemi suuruse muutmine===

====ext3 failisüsteemi suurendamine====

Olgu lähtepunktiks sellise msdos partitsioonitabeliga plokkseade

# parted /dev/vdc p
Model: Virtio Block Device (virtblk)
Disk /dev/vdc: 17.2GB
Sector size (logical/physical): 512B/512B
Partition Table: msdos

Number Start End Size Type File system Flags
1 32.3kB 255MB 255MB primary
2 255MB 4557MB 4302MB primary ext3

Eesmärgiks on suurendada /dev/vdc2 failisüsteemi, selleks tuleb

* ühendada failisüsteem lahti (kusjuures suurendamine on võimalik ka külgeühendatud olekus) ning öelda

# e2fsck -f /dev/vdc2

* kustutada fdisk või parted abil olemasolev partitsioon
* moodustada fdisk või parted abil sama algusega, aga suurem partitsioon
* suurendada resize2fs programmiga failisüsteem

# resize2fs -p /dev/vdc2

* monteerida failisüsteem ning kasutada

====ext3 failisüsteemi vähendamine====

Olgu lähtepunktiks sellise msdos partitsioonitabeliga plokkseade

# parted /dev/vdc p
Model: Virtio Block Device (virtblk)
Disk /dev/vdc: 17.2GB
Sector size (logical/physical): 512B/512B
Partition Table: msdos

Number Start End Size Type File system Flags
1 32.3kB 255MB 255MB primary
2 255MB 4557MB 4302MB primary ext3

Eesmärgiks on vähendada /dev/vdc2 failisüsteemi, millest on kasutusel 500MB suurusele 1.2G, selleks tuleb

* ühendada failisüsteem lahti ning öelda

# e2fsck -f /dev/vdc2

* vähendada failisüsteem, suurus peab olema suurem kui kasutusel olev maht

# resize2fs -p /dev/vdc2 1G

* kustutada fdisk või parted abil olemasolev partitsioon
* moodustada fdisk või parted abil sama algusega, aga arvutuste lihtsustamiseks natuke suurem partitsioon kui failisüsteemi uus suurus, nt 1.2G
* suurendada resize2fs programmiga failisüsteem

# resize2fs -p /dev/vdc2

* monteerida failisüsteem ning kasutada

===LVM voluumil asuva ext3 failisüsteemi suuruse muutmine===

Plokkseadmele moodustatud ext3 failisüsteemi suurust saab muuta resize2fs utiliidi abil kusjuures praktiliselt on tarvis reeglina võimalust muuta failisüsteemi all oleva plokkseadme suurust. Ehk kõige mugavam on seda teha kui failisüsteem asub LVM voluumil.

Näiteks on võimalik selline järgnevus

* tekitame voluumi suurusega 4 GB

# lvcreate -L4G -n vol1 test

* moodustame voluumile failisüsteemi

# mke2fs -j /dev/test/vol1

Märkused

* Failisüsteemi suuruse muutmisega tegelemisel on oluline tähele panna, et failisüsteem ei pruugi kasutada kogu plokkseadet.
* Failisüsteemile vastaval LVM voluumil ei tohis olla suuruse muutmise ajal snapshotte

====ext3 failisüsteemi suurendamine====

Suurust saab muuta

* lahti ühendatud failisüsteemiga
* külge ühendatud failisüsteemiga

Esmalt suurendame algselt 4 GB voluumi 8 GB suuruseks

# lvresize -L8G /dev/test/vol1
Extending logical volume vol1 to 8.00 GB
Logical volume vol1 successfully resized

Failisüsteemi suurendamiseks lahtiühendatud olekus tuleb esmalt teha fsck ning seejärel resize2fs, nt nii

# umount /dev/test/vol1
# e2fsck -f /dev/test/vol1
# resize2fs -p /dev/test/vol1

kus -p näitab progressi ning kui viimaseks argumendiks näidata arv, nt 6G, siis see määraks tekkiva failisüsteemi suuruse.

Failisüsteemi suurendamiseks külgeühendatud olekus täitma kogu uue suurusega voluumi sobib öelda (ilma eelnevalt e2fsck tegemata)

# resize2fs -p /dev/test/vol1
resize2fs 1.41.3 (12-Oct-2008)
Filesystem at /dev/test/vol1 is mounted on /data; on-line resizing required
old desc_blocks = 3, new_desc_blocks = 4
Performing an on-line resize of /dev/test/vol1 to 14680064 (4k) blocks.
The filesystem on /dev/test/vol1 is now 14680064 blocks long.

====ext3 failisüsteemi vähendamine====

2009 aastal saab ext3 failisüsteemi vähendada (ingl. k. shrink) ainult lahtiühendatud olekus. Vähendada saab mitte väiksemaks kui failisüsteemis on ruumi kasutusel. Tavaliselt vähendatakse failisüsteemi eesmärgil vabastada kõnealuse failisüsteemi aluselt plokkseadmelt (antud juhul Volume Grupilt) ruumi muuks kasutuseks, nt vähendame 48 GB suuruse failisüsteemi, mis kasutab 2.4 GB suurusele 16GB kusjuures 13.8 G jääb failisüsteemis vabaks, tegevus võiks koosneda nt sellistest sammudest

* failisüsteem vähendatakse nõutud suurusest pisut väiksemaks, nt 10 G
* plokkseade st antud juhul LVM köide vähendatakse suurusele 16 GB
* failisüsteem suurendatakse kogu LVM köitele (st suurusele 16 GB)

Sellise tegevuse sooritamiseks tuleb failisüsteem esmalt lahti monteerida

# umount /dev/vg/data_postgresql

Seejärel rakendada failisüsteemi kontroll, mille käigus failisüsteem defragmenteeritakse, -C 0 esitab progressi

# e2fsck -C 0 -f /dev/vg/data_postgresql
e2fsck 1.41.12 (17-May-2010)
Pass 1: Checking inodes, blocks, and sizes
Pass 2: Checking directory structure
Pass 3: Checking directory connectivity
Pass 4: Checking reference counts
Pass 5: Checking group summary information
/dev/vg/data_postgresql: 1820/3145728 files (4.1% non-contiguous), 802405/12582912 blocks

Seejärel failisüsteemi suurus vähendatakse 10 GB suurusele

# resize2fs -p /dev/vg/data_postgresql 10G
resize2fs 1.41.12 (17-May-2010)
Resizing the filesystem on /dev/vg/data_postgresql to 2621440 (4k) blocks.
Begin pass 2 (max = 6)
Relocating blocks XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
Begin pass 3 (max = 384)
Scanning inode table XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
Begin pass 4 (max = 38)
Updating inode references XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
The filesystem on /dev/vg/data_postgresql is now 2621440 blocks long.

Seejärel märgitakse köide mitte-aktiivseks

# lvchange -a n /dev/vg/data_postgresql

ning vähendatakse LVM köite suurus 16 GB väärtusele (kusjuures tab ei lõpeta enam seadmenime, st tuleb omal välja kirjutada)

# lvresize -L16G /dev/vg/data_postgresql
Reducing logical volume data_postgresql to 16.00 GiB
Logical volume data_postgresql successfully resized

ja muuta LVM köide uuesti aktiivseks

# lvchange -a y /dev/vg/data_postgresql

Vähendatud LVM köite failisüsteemiga täitmiseks tuleb öelda

# resize2fs -p /dev/vg/data_postgresql
resize2fs 1.41.12 (17-May-2010)
Resizing the filesystem on /dev/vg/data_postgresql to 4194304 (4k) blocks.
Begin pass 1 (max = 48)
Extending the inode table XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
The filesystem on /dev/vg/data_postgresql is now 4194304 blocks long.

Lõpuks monteerida failisüsteem külge ja kasutada edasi

# mount /dev/vg/data_postgresql

Märkused

* failisüsteemi maksimaalselt väikesele suurusele vähendamiseks sobib öelda, st tulemusena on ta 100% täis

# umount /dev/test/vol1
# e2fsck -f /dev/test/vol1
# resize2fs -M /dev/test/vol1

===ext3 failisüsteemi all oleva LVMi all oleva plokkseadme partitsiooni suuruse muutmine===

Olgu lähtepunktiks selliste partitsioonidega plokkseade

# parted /dev/vdc p
Model: Virtio Block Device (virtblk)
Disk /dev/vdc: 17.2GB
Sector size (logical/physical): 512B/512B
Partition Table: msdos

Number Start End Size Type File system Flags
1 32.3kB 255MB 255MB primary ext3
2 255MB 4550MB 4295MB primary lvm

Kusjuures /dev/vdc2 on LVM PV millel on VG ning omakorda LV'd. Eesmärgiks on muuta teise partitsiooni suurust.

====Suurendamine====

Suurendamiseks tuleb failisüsteemi kasutamine lõpetada ning märkida kõited mitte-aktiivseks (tundub, et töötavas arvutis saab fdisk abil partitsioonid ära suurendada samuti, aga muudatuse kehtestamiseks tuleb nt rebootida)

# vgchange -a n koited

Seejärel tuleb

* PV'le vastava partitsioon fdisk abil kustutada ning moodustada sama algusega uus suurem partitsioon
* suurendada PV kusjuures nii suureneb automaatselt ka VG, LV suurused jäävad samaks

# pvresize /dev/vdc2

* teha kõited kasutatavaks

# vgchange -a y koited

* teha huvipakkuvale failisüsteemile fsck

# e2fsck -f /dev/koited/koide_2

* suurendada vajaliku kõite suurust

# lvresize -L4G /dev/koited/koide_2

* suurendada kõitel oleva failisüsteemi suurust

# resize2fs -p /dev/koited/koide_2

* asuda kasutama

====Vähendamine====

Vähendamiseks tuleb

* failisüsteemi kasutamine lõpetada ja mõne LV all olevat failisüsteemi vähendada

# e2fsck -f /dev/koited/koide_2
# resize2fs -p /dev/koited/koide_2 400M

* märkida kõited mitte-aktiivseks

# vgchange -a n koited

* vähendada LV, nt

# lvresize -L512M /dev/koited/koide_2

* suurendada failisüsteem täis-suuruseni

# vgchange -a y
# resize2fs -p /dev/koited/koide_2
# vgchange -a n

* vähendada PV

# pvresize /dev/vdc2 --setphysicalvolumesize 1536M

* PV'le vastava partitsioon fdisk abil kustutada ning moodustada sama algusega uus väiksem partitsioon
* suurendada PV partitsiooni täis-suuruseni

# pvresize /dev/vdc2

* teha kõited kasutatavaks

# vgchange -a y koited

* asuda kasutama

Märkused

* Kui seadme lõpus on PE kasutuses saab nt sellise teate

pvresize /dev/cciss/c0d0p2 --setphysicalvolumesize 60G
/dev/block/104:2: cannot resize to 15359 extents as later ones are allocated.
0 physical volume(s) resized / 1 physical volume(s) not resized

===NTFS failisüsteemi all oleva LVMi volüümi suuruse muutmine===

====Vähendamine====

Olgu kasutuses Windows 7 operatsioonisüsteemiga virtuaalne arvuti, mille mitte-süsteemsele plokkseadmele (nt D:\> ketas) vastab host arvutis LVM köide. Windows 7 poolt vaadates on sellel köitel tõenäoliselt DOS fdisk label ning üks NTFS partitsioon. LVM köite suuruse vähendamiseks tuleb

* vabastada failisüsteemis ruumi
* Windows 7 keskkonnas shinkida failisüsteemi
* failisüsteemi shrinkimise käigus vähendatakse ka partitsiooni

# fdisk -l /dev/vg_data/vga_win7_32_backup

Disk /dev/vg_data/vga_win7_32_backup: 200 GiB, 214748364800 bytes, 419430400 sectors
Units: sectors of 1 * 512 = 512 bytes
Sector size (logical/physical): 512 bytes / 512 bytes
I/O size (minimum/optimal): 512 bytes / 512 bytes
Disklabel type: dos
Disk identifier: 0x25b98324

Device Boot Start End Sectors Size Id Type
/dev/vg_data/vga_win7_32_backup1 2048 30306303 30304256 14.5G 7 HPFS/NTFS/exFAT

Seejärel tuleb Windows 7 virtuaalne arvuti sulgeda ning lvresize abil vähendada lvm voluumi, usutavalt on turvaline uus suurus valida varuga. Ja Windows keskkonnas suurendada failisüsteem (ja partitsioon) kasutama kogu plokkseadet (st LVM voluumi).

===MBR partitsioonitabeliga plokkseadme suuruse muutmine===

MBR partitsioonitabeliga plokkseadme suurendamiseks reeglina piisab

* plokkseadme kasutamine lõpetada, nt virtuaalne arvuti panna seisma
* suurendada plokkseadmele vastav ressurss, nt LVM kõide hostis
* käivitada virtuaalne arvuti
* kasutada suuremana paistvat plokkseadet edasi, nt moodustada sinna uus MBR partitsioon või suurendada olemasolevaid

====Primaarse partitsiooni lisamise teel====

Kui plokkseadmel on extended partitsioon, siis võib olla mõistlikum sda5 ja sda2 kustutamise asemel lihtsalt moodustada juurde /dev/sd3

<pre>
Device Boot Start End Sectors Size Id Type
/dev/sda1 * 2048 999423 997376 487M 83 Linux
/dev/sda2 1001470 33552383 32550914 15.5G 5 Extended
/dev/sda5 1001472 33552383 32550912 15.5G 8e Linux LVM

Command (m for help): n
Partition type
p primary (1 primary, 1 extended, 2 free)
l logical (numbered from 5)
Select (default p): p
Partition number (3,4, default 3):
First sector (999424-67108863, default 999424): 33552384
Last sector, +sectors or +size{K,M,G,T,P} (33552384-67108863, default 67108863):

Created a new partition 3 of type 'Linux' and of size 16 GiB.
</pre>

Tulemus paistab nii

<pre>
Device Boot Start End Sectors Size Id Type
/dev/sda1 * 2048 999423 997376 487M 83 Linux
/dev/sda2 1001470 33552383 32550914 15.5G 5 Extended
/dev/sda3 33552384 67108863 33556480 16G 8e Linux LVM
/dev/sda5 1001472 33552383 32550912 15.5G 8e Linux LVM
</pre>

Seejärel saab nt olemasolevat lvm'i extendida /dev/sda3 abil.

Kasulikud lisamaterjalid

* https://www.rootusers.com/how-to-increase-the-size-of-a-linux-lvm-by-expanding-the-virtual-machine-disk/

====Olemasolevate partitsioonide suurendamise teel====

Olgu lähtepunkt selline, virtuaalne arvuti, kus kasutatakse /dev/vdb plokkseadet (8388607 on partitsiooni lõpp, arvuliselt ühe võrra väiksem seadme sektorite arvust)

<pre>
# parted /dev/vdb
GNU Parted 3.2
Using /dev/vdb
Welcome to GNU Parted! Type 'help' to view a list of commands.
(parted) unit s
(parted) p
Model: Virtio Block Device (virtblk)
Disk /dev/vdb: 8388608s
Sector size (logical/physical): 512B/512B
Partition Table: msdos
Disk Flags:

Number Start End Size Type File system Flags
1 2048s 1050623s 1048576s primary
2 1050624s 8388607s 7337984s extended
5 1052672s 8388607s 7335936s logical lvm
</pre>

Eesmärgiks on suurendada logical partitsioonil asuval lvm köitel asuvat ext4 failisüsteemi. Selleks tuleb esmalt lisada virtualiseerimise keskkonna haldusliideses /dev/vdb seadmele ruumi juurde, 8388608 -> 16777216

<pre>
Model: Virtio Block Device (virtblk)
Disk /dev/vdb: 16777216s
Sector size (logical/physical): 512B/512B
Partition Table: msdos
Disk Flags:

Number Start End Size Type File system Flags
1 2048s 1050623s 1048576s primary
2 1050624s 8388607s 7337984s extended
5 1052672s 8388607s 7335936s logical lvm
</pre>

Seejärel nihutada partitsioonide 2 ja 5 lõpp edasi (nt uude seadme lõppu, 16777215 on plokkseadme viimane sektor, 'size - 1')

(parted) resizepart 2 16777215
(parted) resizepart 5 16777215

tulemuseks

<pre>
Number Start End Size Type File system Flags
1 2048s 1050623s 1048576s primary
2 1050624s 16777215s 15726592s extended
5 1052672s 16777215s 15724544s logical lvm
</pre>

Suurendada lvm pv (automaatselt suureneb lvm volume grupp)

# pvresize /dev/vdb5

Suurendada lvm köide (-l 100%FREE tähendab, et suurendamiseks kasutatakse ära kõik vastava volume group'i vaba ressurss)

# lvextend -l 100%FREE /dev/data/www

Suurendada failisüsteem

# resize2fs -p /dev/data/www

Kasulikud lisamaterjalid

* http://yy27.blogspot.com.ee/2009/02/resizing-extended-partitions-with-gnu.html

===XFS failisüsteemi kasutamine===

XFS http://oss.sgi.com/projects/xfs/ on kaasaegne failisüsteem, kasutamiseks tuleb paigaldada xfs utiliidid öeldes
# emerge xfsprogs

====XFS failisüsteemi moodustamine====

Failisüsteemi moodustamiseks seadmele /dev/xvda2 sobib öelda

# mkfs.xfs /dev/xvda2
meta-data=/dev/xvda2 isize=256 agcount=4, agsize=786432 blks
= sectsz=512 attr=2
data = bsize=4096 blocks=3145728, imaxpct=25
= sunit=0 swidth=0 blks
naming =version 2 bsize=4096
log =internal log bsize=4096 blocks=2560, version=2
= sectsz=512 sunit=0 blks, lazy-count=0
realtime =none extsz=4096 blocks=0, rtextents=0

XFS failisüsteemi kasutamisega on seotud sellised nn tuuma lõimed

# ps aux | grep xfs
root 4334 0.0 0.0 0 0 ? S< 23:40 0:00 [xfslogd/0]
root 4336 0.0 0.0 0 0 ? S< 23:40 0:00 [xfslogd/1]
root 4337 0.0 0.0 0 0 ? S< 23:40 0:00 [xfsdatad/0]
root 4338 0.0 0.0 0 0 ? S< 23:40 0:00 [xfsdatad/1]
root 4339 0.0 0.0 0 0 ? S< 23:40 0:00 [xfs_mru_cache]
root 4382 0.0 0.0 0 0 ? S< 23:44 0:00 [xfsbufd]
root 4384 0.0 0.0 0 0 ? S< 23:44 0:00 [xfsaild]
root 4385 0.0 0.0 0 0 ? S< 23:44 0:00 [xfssyncd]

64 bit keskkonnas võib xfs kasutamisel tekkida sarnaseid probleeme, mida kirjeldab vestluslõim aadressil http://oss.sgi.com/archives/xfs/2005-06/msg00347.html.

Failisüsteemi automaatseks külgeühendamiseks sobib /etc/fstab failis kasutada nt rida

/dev/xvda2 /srv/data xfs noatime,nodiratime,inode64,logbufs=8 1 2

kus

* noatime - failide access time aega ei kasutata
* nodiratime - kataloogide access time aega ei kasutata
* inode64 - failisüsteemi inode numbrid võivad olla suuremad kui 32 bit
* logbufs=8

Olemasoleva xfs failisüsteemi omaduste esitamiseks sobib öelda (ei ole kooskõlas ülaltoodud mkfs.xfs andmetega)

xfs_info /dev/data/xfs
meta-data=/dev/mapper/data-xfs isize=256 agcount=4, agsize=268435455 blks
= sectsz=512 attr=2
data = bsize=4096 blocks=1073741820, imaxpct=5
= sunit=0 swidth=0 blks
naming =version 2 bsize=4096 ascii-ci=0
log =internal bsize=4096 blocks=32768, version=2
= sectsz=512 sunit=0 blks, lazy-count=0
realtime =none extsz=4096 blocks=0, rtextents=0

XFS failisüsteemis asuvate kõikide kasutajate quota tabeli saamiseks tuleb anda käsk

# xfs_quota -x -c "report -nu"

XFSi probleemidest: Failid on asendunud 0 baidistega.

*https://github.com/odoucet/xfsrepair
*http://centos.distrosfaqs.org/centos/xfs-zero-length-file-problem/
*http://jackal.livejournal.com/2162387.html
*http://toruonu.blogspot.com/2012/12/xfs-vs-ext4.html

====LVMi peale tehtud XFS failisüsteemi suurendamine====

XFS failisüsteem peab olema suurendamisel külge monteeritud olekus. XFS failisüteemi suurendamiseks tuleb esmalt failisüteemi all olevat plokkseadet suurendada, nt LVM köite puhul öelda

# lvresize -L40G /dev/system/xfs
Extending logical volume xfs to 40.00 GiB
Logical volume xfs successfully resized

ning seejärel öelda

# xfs_growfs /dev/system/xfs
meta-data=/dev/mapper/system-xfs isize=256 agcount=6, agsize=1310720 blks
= sectsz=512 attr=2
data = bsize=4096 blocks=7864320, imaxpct=25
= sunit=0 swidth=0 blks
naming =version 2 bsize=4096 ascii-ci=0
log =internal bsize=4096 blocks=2560, version=2
= sectsz=512 sunit=0 blks, lazy-count=1
realtime =none extsz=4096 blocks=0, rtextents=0
data blocks changed from 7864320 to 10485760

====XFS failisüteemi vähendamine====

XFS failisüsteemi ei saa otseselt vähendada,
http://xfs.org/index.php/XFS_FAQ#Q%3A_Is_there_a_way_to_make_a_XFS_filesystem_larger_or_smaller.3F, kaudselt on võimalik tekitada uus sobiva suurusega failisüstee ning kopeerida andmed sinna ümber ning kustutada algselt kasutuses olnud failisüsteem.

===Reiser failisüsteemi kasutamine===

Failisüsteemi plokkseadmele moodustamiseks tuleb süsteemipaigaldada reiserfsprogs pakett

# apt-get install reiserfsprogs

ja öelda näiteks

# mkreiserfs /dev/cciss/c0d0p2

/etc/fstab failis tuleb vastavalt kasutada rida

/dev/cciss/c0d0p2 /srv reiserfs rw 0 0

===Mount bind===

nn mount bind võimaldab sama kataloogi sisu teha nähtavaks failisüsteemis mitmes kohas

# mount --bind /tmp/src /tmp/dst

/etc/fstab failis sobib kasutada rida

/tmp/src /tmp/dst none defaults,bind 0 0

===AUFS===

AUFS (Another Union File System) võimaldab koondada erinevate kataloogide sisu nähtavale ühe kataloogi alla. AUFS kasutamiseks tuleb paigaldada tuuma moodul ja utiliidid

# apt-get install aufs-modules-2.6-amd64 aufs-tools

Kasutamine toimub nt selliselt

# mount -t aufs -o dirs=/tmp/src/essa:/tmp/src/tessa none /tmp/dst

===OpenBSD failisüsteemi kasutamine Linuxist===

Esmalt vaadata, millese loogilise nime all vastav OpenBSD partitsioon esineb

# cat /proc/partitions

ja siis külge monteerida, nt

# mount -t ufs -o ro,ufstype=44bsd /dev/hda5 /tmp/hda5

===USB pulk ja FAT 32 failisüsteem===

# apt-get install dosfstools
# fdisk ... valida partitsiooni tüüp 'b'
# mkdosfs -F 32 -I /dev/sdc1

===df programmi kasutamine===

df abil saab küsida nimekirja süsteemile teada olevatest failisüsteemidest, nö füüsilistest kui muudest, nt Debian v. 7 Wheezy puhul esitatakse vaikimisi selline väljund

# df -h -T -a
Filesystem Type Size Used Avail Use% Mounted on
rootfs rootfs 12G 3.3G 8.1G 29% /
sysfs sysfs 0 0 0 - /sys
proc proc 0 0 0 - /proc
udev devtmpfs 10M 0 10M 0% /dev
devpts devpts 0 0 0 - /dev/pts
tmpfs tmpfs 195M 312K 195M 1% /run
/dev/mapper/system-root ext3 12G 3.3G 8.1G 29% /
tmpfs tmpfs 5.0M 0 5.0M 0% /run/lock
tmpfs tmpfs 390M 0 390M 0% /run/shm
/dev/sda2 ext3 504M 168M 311M 35% /boot
nfsd nfsd 0 0 0 - /proc/fs/nfsd

kus

* -a - esitada info kõigi failisüsteemide kohta
* -h - esitada suurused GB, MB vms ühikutes
* -T - esitada lisaks failisüsteemi tüüp

Lisaks saab küsida andmeid nt teatud tüüpi failisüsteemide kohta, nt ainult devpts

# df -h -T -a -t devpts
Filesystem Type Size Used Avail Use% Mounted on
devpts devpts 0 0 0 - /dev/pts

===Ketaste trimmimine===

Tegemist tehnikaga mis mõeldud storage "thin provisioning" ja ssd ketaste jaoks ning tähendab seda, et kustutatud andmed eemaldatakse koheselt. Nt storagest loodud ning iSCSI vms tehnikaga jagatud kettal tähendab Thin Provisioning enabled, et antakse küll välja nt 20 TB-suurune kettaviilakas, aga "allocation" (ehk kasutatud) on vaid reaalselt seal peal olevate andmete maht ehk vaid paar terabaiti. Tavalisel moel jagatud kettal on kogu jagatud maht reserveeritud ning seda enam välja jagada ei saa. Samuti on võimalik määrata tase, kus maal "häiret antakse". Samas on vaja storagele anda teada, et mingid andmed on määratud kustutamisele (tavaliselt failisüsteem seda ei tee) ning siin tulebki mängu discard.

Ketta mountimisel tuleb mount käsule anda võti '''discard''' või siis aeg-ajalt '''fstrim''' käsk käima panna. Kui discard võti on mountimisel antud teatab süsteem kustutamisel automaatselt
allolevale kettale, et info vaja eemaldada. Fstrim käsk on selleks, et tagasiulatuvalt kustutada ka see info, mis sai kustutatud enne mount võtme muutmist ehk discard lisamist.

===scsi rescan===

scsi rescan'ist on abi, kui on vaja töötava arvuti LVM ressurssi suurendada. Teatud tingimustel saab arvutile operatsiooni töötamise ajal lisada plokkseadmeid, nt ESXi virtuaalsele arvutile Hard Disk tüüpi seadme. Selleks, et operatsioonisüsteem saaks lisatud seadet asuda kasutama tuleb öelda nt

# echo "- - -" > /sys/class/scsi_host/host#/scan

kusjuures # voimalikud väärtused näeb ära vastava kataloogis sisust, tundub, et vale numbri kasutamine midagi halba ei tee, maksab alustada suuremast

..
# echo "- - -" > /sys/class/scsi_host/host2/scan
# echo "- - -" > /sys/class/scsi_host/host1/scan
...

scan nimeline fail kusjuures failisüsteemis ei eksisteeri, aga see ei sega seda echo käsku kasutamisel ja tulemuse saavutamisel. Tulemus paistab nt sedasi

[23416.047799] scsi 2:0:1:0: Direct-Access VMware Virtual disk 1.0 PQ: 0 ANSI: 2
[23416.047811] scsi target2:0:1: Beginning Domain Validation
[23416.048832] scsi target2:0:1: Domain Validation skipping write tests
[23416.048836] scsi target2:0:1: Ending Domain Validation
[23416.048916] scsi target2:0:1: FAST-40 WIDE SCSI 80.0 MB/s ST (25 ns, offset 127)
[23416.050526] sd 2:0:1:0: [sdc] 167772160 512-byte logical blocks: (85.8 GB/80.0 GiB)
[23416.050566] sd 2:0:1:0: [sdc] Write Protect is off
[23416.050570] sd 2:0:1:0: [sdc] Mode Sense: 61 00 00 00
[23416.050623] sd 2:0:1:0: [sdc] Cache data unavailable
[23416.050626] sd 2:0:1:0: [sdc] Assuming drive cache: write through
[23416.050985] sd 2:0:1:0: [sdc] Cache data unavailable
[23416.050988] sd 2:0:1:0: [sdc] Assuming drive cache: write through
[23416.051241] sd 2:0:1:0: Attached scsi generic sg3 type 0
[23416.074279] sdc: unknown partition table
[23416.074536] sd 2:0:1:0: [sdc] Cache data unavailable
[23416.074540] sd 2:0:1:0: [sdc] Assuming drive cache: write through
[23416.074637] sd 2:0:1:0: [sdc] Attached SCSI disk

Seejärel tuleb tekitada LVM PV

# pvcreate /dev/sdc

ja LVM VG suurendada

# vgextend pgdata /dev/sdc

Ning tulemusena on kasutada suurenenud ruumiga pgdata LVM volume grupp.

===btrfs failisüsteemi kasutamine===

2015 aasta suvel on nö hästi varustatud Linux distributsioonides olemas btrfs tugi, kerneli osa niigi, haldusutiliiditeda paigaldamiseks tuleb paigaldada nt APT paketihaldusega keskkonnas sarnane pakett

# apt-get install btrfs-tools

tulemusena tekib failisüsteemi

* /sbin/btfrs - TODO
* TODO

Plokkseadmele /dev/vdb failisüsteemi tekitamiseks sobib öelda

# mkfs.btrfs /dev/vdb
Btrfs v3.17
See http://btrfs.wiki.kernel.org for more information.

Turning ON incompat feature 'extref': increased hardlink limit per file to 65536
fs created label (null) on /dev/vdb
nodesize 16384 leafsize 16384 sectorsize 4096 size 8.00GiB

Failisüsteemi monteerimiseks koos pakkimisega

# mount -o compression=lzo /dev/vdb /mnt/vdb

või fstab failis rida (kusjuures mount | grep btrfs näitab sama väljundit sõltumata kas compress on või pole sees)

/dev/sdb /mnt/sdb btrfs defaults,compress=lzo 0 1

Tundub, et tavaliste sync, df jt utiliitide asemel on sobivam teha

# btrfs filesystem sync /mnt/sdb
FSSync '/mnt/sdb'

# btrfs filesystem df /mnt/sdb
Data, single: total=45.01GiB, used=44.91GiB
System, DUP: total=8.00MiB, used=16.00KiB
System, single: total=4.00MiB, used=0.00B
Metadata, DUP: total=1.00GiB, used=169.09MiB
Metadata, single: total=8.00MiB, used=0.00B
GlobalReserve, single: total=64.00MiB, used=0.00B

kus

* Data, single - used väljendab, palju on kasutuses reaalselt

# btrfs filesystem show
Label: none uuid: 26ef34be-1c0c-4578-88a1-bc0810b0ebd9
Total devices 1 FS bytes used 45.07GiB
devid 1 size 596.17GiB used 47.04GiB path /dev/sdb

Btrfs v3.17

Kasulikud lisamaterjalid

* https://wiki.debian.org/Btrfs

===Märkused===

* Monteeritud failisüsteemi ühenduspunktil on monteeritud failisüsteemi juurika kasutaja:grupp.

===Kasulikud lisamaterjalid===

* http://en.wikipedia.org/wiki/XFS

Linux mount

2017-08-13T14:27:27Z

Imre: /* partprobe utiliidi kasutamine */

===Sissejuhatus===

[[Pilt:2879430437 975b4e8d5f.jpg]]

Nagu teada asuvad Linux'i puhul kõik failid ühtses kataloogipuus (aga nt. MS Windows'ites kasutatakse partitsioonide tähistamiseks nn. kettatähti: A, B on pehmeketta seadmed ja C, D, E ... Z - kõvaketaste partitsioonid).

Linuxi puhul on tähelepanuväärne see, et ta suudab lugeda ja kirjutada peale enda Second Extended (ext2, ext3, ext4) failisüsteemi ka paljusid teisi levinud failisüsteeme (mh. FAT pikkade ja lühikeste nimedega, OS2 HPFS, minix). Et see tõesti nii oleks on vaja vastav tugi kernelisse sisse või mooduliteks kompileerida. Soovitavalt mooduliteks. Muuseas, moodulid asuvad kataloogis /lib/modules/... ja kui seal on nt. fail vfat.o, siis on tõenäoliselt võimalik lugeda kirjutada W95 partitsiooni. Seda kas moodul on kasutusel saab näha käsuga lsmod; ja kui ei ole kasutusel, siis aitab käsk modprobe vfat. Jne.

Linux käsitleb pehme- ja kõvakettaid kaunis võrdväärsete seadmetena. Vähemalt selles mõttes, et enne floppy ketta seadmesse panekut ja peale väljavõtmist tuleb täita samad käsud,et mis kõvaketta juurde ja tagant ühendamisel.

Failisüsteem on vahend andmete organiseerimiseks andmekandjal. Failisüsteem asub tavaliselt infokandjale (kõvaketas, USB pulk) partitsioonil ja tema poole pöördutakse seadmenimega. Näiteks esimese IDE kanali teise kõvaketta kolmas partitsioon kannab nime

b - esimene IDE kanal teine ketas (nn primary slave, esimene ketas algab tähega a)
|
|
/dev/hdb3
| |
| |
| 3 - kolmas partitsioon
|
hd - ata hard disk (sata kettad algavad sd lühendiga)

Kui te ei tea täpselt millised partisioonid on kõvakettale moodustatud kasutage järelevaatamiseks programmi fdisk

# fdisk /dev/hdb

Ettevaatust fdiski kasutamisel, peale vaatamise saab sellega ka partitsioone muuta.

Failisüsteemide kasutamine eeldab, et vastav toetus on tuuma kompileeritud. Et näha milliseid failisüsteeme masin parasjagu toetab vaadake tuuma moodulite kataloogi /lib/modules/2.2.xx või uurige faili /proc/filesystems sisu.

UNIXi kataloogistruktuur on traditsiooniline ja seal ei kõnelda ketastest (A:\, C:\ jne). Kõikide võimalike andmekandajate pöördutakse sisenedes vastavasse kataloogi. Seda millise kataloogi all külgeühendatud failisüteem asub nimetatakse külgeühendamiskohaks.

Peale andmekandja kasutamist ja enne selle seadmest väljavõtmist tuleb ta lahti ühendada, näiteks kataloogi /floppy alla ühendatud pehmeketta failisüsteemi lahtiühendamine käib nii

bash# umount /floppy

Seejärel võib pehmeketta seadmest välja võtta. Kui failisüsteemi keegi kasutab, näiteks mõni fail on avatud lugemiseks, siis ei saa seda lahti ühendada. Kasutage programmi fuser failisüteemi kasutuse uurimiseks ja vastavate protsesside lõpetamiseks.

Parasjagu külgeühendatud failisüsteeme näeb käsuga df

Failisüsteemide külgeühendamine toimub programmiga mount mille süntaks on selline

mount [-t failisüsteemi_tüüp] [-o võtmed] seadme_nimi külgeühendamiskoht

===Floppy ketta ühendamine===

'''4. kontrollige kas seadmel on bad block'e:'''

# badblocks -v /dev/fd0

'''5. Tehke kettale fsck:'''

# fsck /dev/fd0

'''4. Vajadusel looge failisüsteem'''

kõvaketta ja floppy peale nii:

süsteemi tüüp käsk
ext2 mke2fs /dev/fd0
ext2 mke2fs /dev/hda1
msdos mkdosfs - " - (praktiliselt soovitatakse teha vastav
partitsioon ja failisüsteem dos'i enda fdiski ja format'iga)
'''5. Looge mount point ehk kataloog kuhu alla seadme failisüsteem ühendub'''

Linuxis on universaalseks kohaks kuhu võib kiirelt ajutisi failisüsteeme külge haakida /mnt, kui on aga vaja rohkem kui 1 seade külge haakida tuleb tekitada uusi harusid.

kõigi seadmete puhul

mkdir /soovitud_nimi

Näiteks

mkdir /a
mkdir /floppy
mkdir /hda2_ext
mkdir /hda3_msdos
mkdir /hda4_vfat

'''6. Mount'ime seadme külge:'''

vastavalt mountitavale süsteemile tuleb teist parameetrit muuta:

failisüsteem käsk

ext2 (linux) mount -t ext2 /dev/fd0 /floppy
iso9660 (cdrom) iso9660 /dev/hda2 /hda2_ext2
msdos (lühikesed nimed) msdos /dev/hda3 /hda3_msdos
vfat (pikad nimed) vfat /dev/hda4 /hda4_vfat
image failid vfat -o loop /img.fail /a

'''7. Toimetame seadmel olevate failidega'''

'''8. Umount'ime seadme:'''

# umount /dev/fd0

'''9. Alles nüüd võib floppy või cd -rom'i plaadi välja võtta'''

'''2. Floppy kettad'''

Floppy'de peale tehakse tavaliselt kas vfat, msdos, ext2 või ei tehtagi failisüsteemi. Viimasel juhul kantakse info sinna/sealt:

# dd if=/bare.i of=/dev/fd0
# dd if=/dev/fd0 of=/disk.image.144

Need mainitud failisüsteemid peavad olema kernelis või moodulitena olemas

# modprobe vfat
# modprobe msdos

Allpool on näiatud kuidas image faile mountida.

===CD-ROM===

CD-ROM'i dele kirjutatakse tavaliselt iso9660 failisüsteem. Ja seadmed ise on nn. IDE-ATAPI tüüpi. Et nendega tegelda tuleb vastav asi kernelisse kompileerida ja moodul vajadusel laadida 'modprob iso9660'

Füüsiliselt on vahest vaja seade ka arvutile külge ühendada

Samasugune on lugu ka kõvaketta partitsioonidega:

Lülitage arvutil vool välja, ühendage kõvaketas juurde, vajadusel paigutage jumpereid ümber ja detectige CMOS SETUP'ist uus vint ära. Seejärel bootige linux üles ja samad sammud nagu floppy puhul.

CDROM -iga on sama asi: kui CD peab enne mountimist sees olema ja seda ei tohi välja võtta enne umount'i.

Soovides CD/DVD plaadist koopiat teha tuleb anda lihtsalt käsk

# dd if=/dev/cdrom of=/kaust/ketas.iso

Ning kettale tekib iso fail mida saab siis vastavalt mountida või teisele plaadile paigaldada.

===Kõvaketas===

Kõvaketta partitsioonide mountimine toimub sarnaselt eeltoodutele. Kõvakettaga tegelemisel on linuxi puhul tänuväärne see, et isegi partitsioonide ja failisüsteemide muutmisel ei pea arvutit rebootima nagu, praegu ei tule keelele, aga on üks teine OS.

Külla aga saab badblocks'iga kontrollida bad blocke. Ja vee on üks abiks programm:

# fuser -v -m /dev/hda6
USER PID ACCESS COMMAND
/dev/hda6 root 1 .rce. init
root 9 .rce. update
root 10 frce. kerneld
root 30 frce. kerneld
root 65 .rce. klogd
root 66 frce. syslogd
root 68 frce. rpc.portmap
root 70 frce. inetd
root 72 .rce. rpc.mountd
root 74 .rce. rpc.nfsd
root 76 frce. crond
root 82 frce. sendmail
root 89 frce. bash
root 90 frce. agetty
root 91 frce. agetty
root 92 frce. agetty
root 93 frce. agetty
root 94 frce. agetty

Teadupärast annavad käsub umount ja mount vahet busy veateate - siit on aga näha mis seis on.

Ning käsk fsck (file system check) võimaldab kontrollida failisüsteemi korrasolekut. NB! enne tuleb failisüsteem umount'ida.

# fsck /dev/hda8
Parallelizing fsck version 1.10 (24-Apr-97)
e2fsck 1.10, 24-Apr-97 for EXT2 FS 0.5b, 95/08/09
/dev/hda8 is mounted. Do you really want to continue (y/n)? no

check aborted.

# umount /dev/hda8
# fsck /dev/hda8
Parallelizing fsck version 1.10 (24-Apr-97)
e2fsck 1.10, 24-Apr-97 for EXT2 FS 0.5b, 95/08/09
/dev/hda8: clean, 5358/665840 files, 605366/665248 blocks

Kasutades -C 0 näeb tegevuse progressi, nt

# e2fsck -C 0 -f /dev/c_data/test
e2fsck 1.41.11 (14-Mar-2010)
Pass 1: Checking inodes, blocks, and sizes
/dev/c_data/test: |= \ 2.0%

===Image file===

See on tõeliselt 'weird'- linux võimaldab mountida image file. Toome näite floppy kohta:

'''1. teeme /dev/fd0 -s olevat vfat failisüsteemiga floppyst image faili (floppy ei pruugi olla mountitud)'''

selleks on kolm võimalust, kasutage vaid ühte!

# cat /dev/fd0 > /img.144
# dd if=/dev/fd0 of=/img.144
# cp /dev/fd0 /img.144

'''2. veendume, et kernelis on loobback sees (mitte see mis puutub network'i :)'''

make menuconfig; Floppy, IDE and other block devices -> Loopback device support
vajadusel modprobe loop

'''3. mountime image faili /a alla'''

bash# mount -t vfat -o loop /img.144 /a
mount: Could not find any loop device, and, according to /proc/devices,
this kernel does not know about the loop device.
(If so, then recompile or `insmod loop.o'.)

# modprobe loop
# mount -t vfat -o loop /img.144 /a
# df
Filesystem 1024-blocks Used Available Capacity Mounted on
/dev/hda6 991000 895730 44066 95% /
/dev/hda2 1023856 996400 27456 97% /nt.40
/dev/hda5 310264 292016 18248 94% /os2
/img.144 1423 1111 312 78% /a

Ja töö lõpetamisel umount!

'''4. seadme image kasutamine'''

Järgnev kehtib eeldusel, et toimetamised mahuvad ära nn 32bit sisse.

Olgu kõvakettaseadmel /dev/hdb kolm partitsiooni ning on tehtud kogu seadmest image fail

# fdisk -l -u hdb.img
...
34 heads, 61 sectors/track, 0 cylinders, total 0 sectors
Units = sectors of 1 * 512 = 512 bytes
Device Boot Start End Blocks Id System
hdb.img1 61 232287 116113+ 83 Linux
hdb.img2 232288 485315 126514 83 Linux
hdb.img3 485316 549609 32147 83 Linux

Soovides ühendada külge sellest image failist teisel partitsioonil olevat failisüsteemi, tuleb öelda

mount -o loop,offset=118931456 hda.img /yhenduspunkt

arvestades asjaolu, et 512*232288 = 118931456

Tõmmise, millel on ilma partitsioonitabelita nö otse tehtud ext3 failisüsteem, ühendamiseks /etc/fstab abil sobib kasutada nt sellist rida

/mnt/tommis.img /mnt/tommis ext3 loop 0 2

===Suured kataloogid eraldi partitsioonidel===

Niisiis oletame, et meil on kaks kõvaketast partitsioonidega:

/dev/hda1 - swap, 96 M
/dev/hda2 - root, 600 M
/dev/hda3 - /home, kasutajate kodukataloogid, 2 000 M
/dev/hdb1 - /usr kataloogi alla jäävad failid 1200 M

Selgitused:

swap on arvuti nö. mälu pikendus ja seda kasutab ta 'iseenesest' peale inistsialiseerimist rc scriptides:

# mkwap /dev/hda1
# swapon /dev/hda1

root on see partitsioon kus asub kernel /vmlinuz ja enamus juurika kataloogidest (/etc, /bin, /root, /dev)

Tavaliselt on nii, et kasutajate kodukataloogid moodustavad küllalt suure struktuuri ja süsteemi uuendamisel või ümbersättimisel on mugavam, kui see asub kas füüsiliselt erineval kettal või vähemalt eraldi partitsioonil mida on nii kergem backup'pida.

Toodud näite olukorra kohta öeldakse, et hda3 on mount'itud juurika /home kataloogiks. Seda tehakse praktiliselt nii:

1. luuakse juurikale tühi /home kataloog:
(Tõsi, tavaliselt on ta sel olemas, sel juhul tuleks tema sisu kopeerida teise nime alla: ) mkdir /home (mv /home /home_old; mkdir /home)
2. Mountime tühja failisüsteemiga partitsiooni /dev/hda3 -e /home -ks mount -t ext2 /dev/hda3 /home
3. Vajadusel liigutame vana tagasi: mv /home_old /home

Tulemuseks on see, et failid mis asuvad /home'ist allpool asuvad reaalselt teises partitsioonis kui muu juurikas.

Sarnaselt on toimitud /usr kataloogiga.

===/etc/fstab===

See on fail kus on kirjas millised kataloogid mountida külge süsteemi bootimisel; tüüpiliselt näeb see fail välja selline:

/dev/hda7 swap swap defaults 0 0
/dev/hda6 / ext2 defaults,usrquota 0 1
/dev/hda2 /nt.40 vfat defaults 0 2
/dev/hda5 /os2 vfat defaults 0 2
/dev/hda8 /hda8 ext2 defaults 0 2
/dev/fd0 /floppy ext2 noauto 0 0
/dev/fd0 /a vfat noauto 0 0
/dev/hdd /cdrom iso9660 ro,noauto 0 0
none /proc proc defaults 0 0
laura:/ /fromlaura nfs noauto,rsize=8192,wsize=8192,timeo=14,intr 0 0

Selgitused:

tulp
1: seade kus füüsiliselt mountitav asi asub
2: kataloog kuhu seade läheb
3: failisüsteem
4: nn. optionid
5: dump info
6: fsck info

optionid:

defaults on defaults
noauto tähendab, et failisüsteemi ei laeta kohe külge aga hiljem piisab anda nt vfat floppy jaoks käsk: mount /a
ro on 'read only'
usrquota näitab, et seadet kontrollib quota

eelviimane tulp:

soovitatakse panna tavaliselt 0, seda väärtust kasutab program dumpe2fs oma salapärastel eesmärkidel

viimane tulp:

root'il soovitatakse panna 1
teistel 2

need arvud näitavad check'imise järjekorda bootimisel omal moel. Kui panna 0 siis fsck ei pööra talle tähelepanu.
Muide, fstab-i failisüsteemid laadib /etc/rc.d/rc.S -i rida

# /sbin/mount -avt nonfs

====UUID kasutamine====

Plokkseadme nn /dev kataloogi failinime asemel saab kasutada ka plokkseadme UUID väärtust, nt

UUID=7cd6e9de-18d1-4d55-8d46-4d96ce8f492d /boot ext3 defaults 0 2

UUID eeliseks on, et ta on seotud nt konkreetsel füüsilisel kõvakettal asuva failisüsteemiga.

====LABEL kasutamine====

TODO

===losetup===

Programmiga losetup saab korraldada faili käsitlemise plokkseadmena. Näiteks moodustame faili

# dd if=/dev/zero of=/data/plokkseadmefail.img bs=1024x1024 count=4x1024

ning seostame ta seadmega /dev/loop0

# losetup /dev/loop0 /data/plokkseadmefail.img

Kõiki losetup abil tekitaud plokkseadmeid näeb käsuga

# losetup -a
/dev/loop0: [fe0c]:22439673 (/data/plokkseadmefail.img)

Seadet /dev/loop0 saab käsitleda seejärel nagu tavalist plokkseadet, näiteks saab sinna moodustada failisüsteemi, tekitada partitsioone, kasutada mdadm või lvm juures.

Moodustatud plokkseadme saab eemaldada öeldes

# losetup -d /dev/loop0

===kpartx utiliidi kasutamine===

Mitmeid partitsioone sisaldava tõmmisfaili kasutamiseks on abi programmist kpartx

# apt-get install kpartx

Tõmmisest partitsioonide nimekirja küsimine

# kpartx -l tommisefailinimi.img
loop1p1 : 0 19631367 /dev/loop1 63

Tõmmise partitsioonidele vastavate seadmete tekitamiseks tuleb öelda

# kpartx -a tommisefailinimi.img

Tekkinud seadmete kasutamiseks, nt külge ühendamiseks sobib öelda

# mount -o ro /dev/mapper/loop1p1 /mnt/tommis-hda1

Mäppingute kustutamine (kusjuures oluline on kasutada täpselt sama path'i mida kasutati ühendamisel)

# kpartx -d tommisefailinimi.img
loop deleted : /dev/loop0

Kui plokkseadmele on moodustad nö otse failisüsteem, st ilma partitsioonitabelit tekitamata, siis paistab selline seade nt sarnaselt

# parted /dev/system/xl-deb-7-91.arendus.kit-disk p
Model: Linux device-mapper (linear) (dm)
Disk /dev/dm-10: 2147MB
Sector size (logical/physical): 512B/512B
Partition Table: loop

Number Start End Size File system Flags
1 0.00B 2147MB 2147MB ext3

kus

* Partitsioonitabeli tüüp - loop

Sellise failisüsteemi külgeühendamiseks pole vaja kpartx programmi kasutada, piisab niisama öelda

# mount /dev/system/xl-deb-7-91.arendus.kit-disk /mnt/xl-deb-7-91

===partprobe utiliidi kasutamine===

Kui kõvaketta osa partitsioone on kasutuses, nt /dev/sda1 osaleb mdadm RAID lülituses ja on soov ilma arvutit rebootimata nt sama ketta /dev/sda2 eemaldada ja asendada suuremaga (eeldades, et /dev/sda seadmel on kasutamata ruumi), siis sobib selleks järgmine protseduur

* veenduda, et /dev/sda2 partitsioon ei ole kasutuses
* fdisk, parted vms programmi abil kustutada olemasolev /dev/sda2 ja tekitada uus
* cat /proc/partitios näitab tuuma ettekujutust ketta partitsioonitabelit

* öelda

# partprobe /dev/sda

* veenduda, et tuumal on uus ettekujutus

Analoogiline tegevus toimub lisades kasutuses ja partitsioneerimata ruumi sisaldavale kettale partitsiooni, nt lisades fdisk abil /dev/sda4

* enne

<pre>
# ls -ld /dev/sda*
brw-rw---- 1 root disk 8, 0 Aug 13 17:17 /dev/sda
brw-rw---- 1 root disk 8, 1 Aug 13 17:20 /dev/sda1
brw-rw---- 1 root disk 8, 2 Aug 13 12:29 /dev/sda2
brw-rw---- 1 root disk 8, 3 Aug 13 17:20 /dev/sda3
</pre>

* peale 'partprobe /dev/sda' ütlemist

<pre>
# ls -ld /dev/sda*
brw-rw---- 1 root disk 8, 0 Aug 13 17:17 /dev/sda
brw-rw---- 1 root disk 8, 1 Aug 13 17:20 /dev/sda1
brw-rw---- 1 root disk 8, 2 Aug 13 12:29 /dev/sda2
brw-rw---- 1 root disk 8, 3 Aug 13 17:20 /dev/sda3
brw-rw---- 1 root disk 8, 4 Aug 13 17:20 /dev/sda4
</pre>

===Krüptitud plokkseadme kasutamine===

Kõvakettal olevaid andmeid saab krüptida mitmes kihis, alates plokkseadme plokkidest (need 512B suurused tükid) kuni failisüsteemis asuvate üksikute failide krüptimiseni. Järnev käsitleb plokkseadme (nt partitsiooni või LVM voluumi) krüptimist

Paigaldage vajalik tarkvara

# apt-get install cryptsetup

Eeldusena peab olema kasutada partitsioon või LVM voluum, näiteks /dev/sda2

# cryptsetup -y create data /dev/sda2
Enter passphrase:
Verify passphrase:

Moodusteme failisüsteemi

# mke2fs -j /dev/mapper/data

Ning ühendame külge

# mount /dev/mapper/data /data

Selleks, et alglaadimisel toimuks failisüsteemi külgeühendamine automaatselt tuleb sisestada faili /etc/crypttab rida

data /dev/sda2 none cipher=aes

Ning faili /etc/fstab rida

/dev/mapper/data /data ext3 defaults 0 1

Alglaadimise käigus küsitakse parooli ja seejärel toimub krüptitud failisüsteemi kasutamine nagu tavalise failisüsteemi puhul.

===fdisk partitsioonil asuva ext3 failisüsteemi suuruse muutmine===

====ext3 failisüsteemi suurendamine====

Olgu lähtepunktiks sellise msdos partitsioonitabeliga plokkseade

# parted /dev/vdc p
Model: Virtio Block Device (virtblk)
Disk /dev/vdc: 17.2GB
Sector size (logical/physical): 512B/512B
Partition Table: msdos

Number Start End Size Type File system Flags
1 32.3kB 255MB 255MB primary
2 255MB 4557MB 4302MB primary ext3

Eesmärgiks on suurendada /dev/vdc2 failisüsteemi, selleks tuleb

* ühendada failisüsteem lahti (kusjuures suurendamine on võimalik ka külgeühendatud olekus) ning öelda

# e2fsck -f /dev/vdc2

* kustutada fdisk või parted abil olemasolev partitsioon
* moodustada fdisk või parted abil sama algusega, aga suurem partitsioon
* suurendada resize2fs programmiga failisüsteem

# resize2fs -p /dev/vdc2

* monteerida failisüsteem ning kasutada

====ext3 failisüsteemi vähendamine====

Olgu lähtepunktiks sellise msdos partitsioonitabeliga plokkseade

# parted /dev/vdc p
Model: Virtio Block Device (virtblk)
Disk /dev/vdc: 17.2GB
Sector size (logical/physical): 512B/512B
Partition Table: msdos

Number Start End Size Type File system Flags
1 32.3kB 255MB 255MB primary
2 255MB 4557MB 4302MB primary ext3

Eesmärgiks on vähendada /dev/vdc2 failisüsteemi, millest on kasutusel 500MB suurusele 1.2G, selleks tuleb

* ühendada failisüsteem lahti ning öelda

# e2fsck -f /dev/vdc2

* vähendada failisüsteem, suurus peab olema suurem kui kasutusel olev maht

# resize2fs -p /dev/vdc2 1G

* kustutada fdisk või parted abil olemasolev partitsioon
* moodustada fdisk või parted abil sama algusega, aga arvutuste lihtsustamiseks natuke suurem partitsioon kui failisüsteemi uus suurus, nt 1.2G
* suurendada resize2fs programmiga failisüsteem

# resize2fs -p /dev/vdc2

* monteerida failisüsteem ning kasutada

===LVM voluumil asuva ext3 failisüsteemi suuruse muutmine===

Plokkseadmele moodustatud ext3 failisüsteemi suurust saab muuta resize2fs utiliidi abil kusjuures praktiliselt on tarvis reeglina võimalust muuta failisüsteemi all oleva plokkseadme suurust. Ehk kõige mugavam on seda teha kui failisüsteem asub LVM voluumil.

Näiteks on võimalik selline järgnevus

* tekitame voluumi suurusega 4 GB

# lvcreate -L4G -n vol1 test

* moodustame voluumile failisüsteemi

# mke2fs -j /dev/test/vol1

Märkused

* Failisüsteemi suuruse muutmisega tegelemisel on oluline tähele panna, et failisüsteem ei pruugi kasutada kogu plokkseadet.
* Failisüsteemile vastaval LVM voluumil ei tohis olla suuruse muutmise ajal snapshotte

====ext3 failisüsteemi suurendamine====

Suurust saab muuta

* lahti ühendatud failisüsteemiga
* külge ühendatud failisüsteemiga

Esmalt suurendame algselt 4 GB voluumi 8 GB suuruseks

# lvresize -L8G /dev/test/vol1
Extending logical volume vol1 to 8.00 GB
Logical volume vol1 successfully resized

Failisüsteemi suurendamiseks lahtiühendatud olekus tuleb esmalt teha fsck ning seejärel resize2fs, nt nii

# umount /dev/test/vol1
# e2fsck -f /dev/test/vol1
# resize2fs -p /dev/test/vol1

kus -p näitab progressi ning kui viimaseks argumendiks näidata arv, nt 6G, siis see määraks tekkiva failisüsteemi suuruse.

Failisüsteemi suurendamiseks külgeühendatud olekus täitma kogu uue suurusega voluumi sobib öelda (ilma eelnevalt e2fsck tegemata)

# resize2fs -p /dev/test/vol1
resize2fs 1.41.3 (12-Oct-2008)
Filesystem at /dev/test/vol1 is mounted on /data; on-line resizing required
old desc_blocks = 3, new_desc_blocks = 4
Performing an on-line resize of /dev/test/vol1 to 14680064 (4k) blocks.
The filesystem on /dev/test/vol1 is now 14680064 blocks long.

====ext3 failisüsteemi vähendamine====

2009 aastal saab ext3 failisüsteemi vähendada (ingl. k. shrink) ainult lahtiühendatud olekus. Vähendada saab mitte väiksemaks kui failisüsteemis on ruumi kasutusel. Tavaliselt vähendatakse failisüsteemi eesmärgil vabastada kõnealuse failisüsteemi aluselt plokkseadmelt (antud juhul Volume Grupilt) ruumi muuks kasutuseks, nt vähendame 48 GB suuruse failisüsteemi, mis kasutab 2.4 GB suurusele 16GB kusjuures 13.8 G jääb failisüsteemis vabaks, tegevus võiks koosneda nt sellistest sammudest

* failisüsteem vähendatakse nõutud suurusest pisut väiksemaks, nt 10 G
* plokkseade st antud juhul LVM köide vähendatakse suurusele 16 GB
* failisüsteem suurendatakse kogu LVM köitele (st suurusele 16 GB)

Sellise tegevuse sooritamiseks tuleb failisüsteem esmalt lahti monteerida

# umount /dev/vg/data_postgresql

Seejärel rakendada failisüsteemi kontroll, mille käigus failisüsteem defragmenteeritakse, -C 0 esitab progressi

# e2fsck -C 0 -f /dev/vg/data_postgresql
e2fsck 1.41.12 (17-May-2010)
Pass 1: Checking inodes, blocks, and sizes
Pass 2: Checking directory structure
Pass 3: Checking directory connectivity
Pass 4: Checking reference counts
Pass 5: Checking group summary information
/dev/vg/data_postgresql: 1820/3145728 files (4.1% non-contiguous), 802405/12582912 blocks

Seejärel failisüsteemi suurus vähendatakse 10 GB suurusele

# resize2fs -p /dev/vg/data_postgresql 10G
resize2fs 1.41.12 (17-May-2010)
Resizing the filesystem on /dev/vg/data_postgresql to 2621440 (4k) blocks.
Begin pass 2 (max = 6)
Relocating blocks XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
Begin pass 3 (max = 384)
Scanning inode table XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
Begin pass 4 (max = 38)
Updating inode references XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
The filesystem on /dev/vg/data_postgresql is now 2621440 blocks long.

Seejärel märgitakse köide mitte-aktiivseks

# lvchange -a n /dev/vg/data_postgresql

ning vähendatakse LVM köite suurus 16 GB väärtusele (kusjuures tab ei lõpeta enam seadmenime, st tuleb omal välja kirjutada)

# lvresize -L16G /dev/vg/data_postgresql
Reducing logical volume data_postgresql to 16.00 GiB
Logical volume data_postgresql successfully resized

ja muuta LVM köide uuesti aktiivseks

# lvchange -a y /dev/vg/data_postgresql

Vähendatud LVM köite failisüsteemiga täitmiseks tuleb öelda

# resize2fs -p /dev/vg/data_postgresql
resize2fs 1.41.12 (17-May-2010)
Resizing the filesystem on /dev/vg/data_postgresql to 4194304 (4k) blocks.
Begin pass 1 (max = 48)
Extending the inode table XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
The filesystem on /dev/vg/data_postgresql is now 4194304 blocks long.

Lõpuks monteerida failisüsteem külge ja kasutada edasi

# mount /dev/vg/data_postgresql

Märkused

* failisüsteemi maksimaalselt väikesele suurusele vähendamiseks sobib öelda, st tulemusena on ta 100% täis

# umount /dev/test/vol1
# e2fsck -f /dev/test/vol1
# resize2fs -M /dev/test/vol1

===ext3 failisüsteemi all oleva LVMi all oleva plokkseadme partitsiooni suuruse muutmine===

Olgu lähtepunktiks selliste partitsioonidega plokkseade

# parted /dev/vdc p
Model: Virtio Block Device (virtblk)
Disk /dev/vdc: 17.2GB
Sector size (logical/physical): 512B/512B
Partition Table: msdos

Number Start End Size Type File system Flags
1 32.3kB 255MB 255MB primary ext3
2 255MB 4550MB 4295MB primary lvm

Kusjuures /dev/vdc2 on LVM PV millel on VG ning omakorda LV'd. Eesmärgiks on muuta teise partitsiooni suurust.

====Suurendamine====

Suurendamiseks tuleb failisüsteemi kasutamine lõpetada ning märkida kõited mitte-aktiivseks (tundub, et töötavas arvutis saab fdisk abil partitsioonid ära suurendada samuti, aga muudatuse kehtestamiseks tuleb nt rebootida)

# vgchange -a n koited

Seejärel tuleb

* PV'le vastava partitsioon fdisk abil kustutada ning moodustada sama algusega uus suurem partitsioon
* suurendada PV kusjuures nii suureneb automaatselt ka VG, LV suurused jäävad samaks

# pvresize /dev/vdc2

* teha kõited kasutatavaks

# vgchange -a y koited

* teha huvipakkuvale failisüsteemile fsck

# e2fsck -f /dev/koited/koide_2

* suurendada vajaliku kõite suurust

# lvresize -L4G /dev/koited/koide_2

* suurendada kõitel oleva failisüsteemi suurust

# resize2fs -p /dev/koited/koide_2

* asuda kasutama

====Vähendamine====

Vähendamiseks tuleb

* failisüsteemi kasutamine lõpetada ja mõne LV all olevat failisüsteemi vähendada

# e2fsck -f /dev/koited/koide_2
# resize2fs -p /dev/koited/koide_2 400M

* märkida kõited mitte-aktiivseks

# vgchange -a n koited

* vähendada LV, nt

# lvresize -L512M /dev/koited/koide_2

* suurendada failisüsteem täis-suuruseni

# vgchange -a y
# resize2fs -p /dev/koited/koide_2
# vgchange -a n

* vähendada PV

# pvresize /dev/vdc2 --setphysicalvolumesize 1536M

* PV'le vastava partitsioon fdisk abil kustutada ning moodustada sama algusega uus väiksem partitsioon
* suurendada PV partitsiooni täis-suuruseni

# pvresize /dev/vdc2

* teha kõited kasutatavaks

# vgchange -a y koited

* asuda kasutama

Märkused

* Kui seadme lõpus on PE kasutuses saab nt sellise teate

pvresize /dev/cciss/c0d0p2 --setphysicalvolumesize 60G
/dev/block/104:2: cannot resize to 15359 extents as later ones are allocated.
0 physical volume(s) resized / 1 physical volume(s) not resized

===NTFS failisüsteemi all oleva LVMi volüümi suuruse muutmine===

====Vähendamine====

Olgu kasutuses Windows 7 operatsioonisüsteemiga virtuaalne arvuti, mille mitte-süsteemsele plokkseadmele (nt D:\> ketas) vastab host arvutis LVM köide. Windows 7 poolt vaadates on sellel köitel tõenäoliselt DOS fdisk label ning üks NTFS partitsioon. LVM köite suuruse vähendamiseks tuleb

* vabastada failisüsteemis ruumi
* Windows 7 keskkonnas shinkida failisüsteemi
* failisüsteemi shrinkimise käigus vähendatakse ka partitsiooni

# fdisk -l /dev/vg_data/vga_win7_32_backup

Disk /dev/vg_data/vga_win7_32_backup: 200 GiB, 214748364800 bytes, 419430400 sectors
Units: sectors of 1 * 512 = 512 bytes
Sector size (logical/physical): 512 bytes / 512 bytes
I/O size (minimum/optimal): 512 bytes / 512 bytes
Disklabel type: dos
Disk identifier: 0x25b98324

Device Boot Start End Sectors Size Id Type
/dev/vg_data/vga_win7_32_backup1 2048 30306303 30304256 14.5G 7 HPFS/NTFS/exFAT

Seejärel tuleb Windows 7 virtuaalne arvuti sulgeda ning lvresize abil vähendada lvm voluumi, usutavalt on turvaline uus suurus valida varuga. Ja Windows keskkonnas suurendada failisüsteem (ja partitsioon) kasutama kogu plokkseadet (st LVM voluumi).

===MBR partitsioonitabeliga plokkseadme suuruse muutmine===

MBR partitsioonitabeliga plokkseadme suurendamiseks reeglina piisab

* plokkseadme kasutamine lõpetada, nt virtuaalne arvuti panna seisma
* suurendada plokkseadmele vastav ressurss, nt LVM kõide hostis
* käivitada virtuaalne arvuti
* kasutada suuremana paistvat plokkseadet edasi, nt moodustada sinna uus MBR partitsioon või suurendada olemasolevaid

====Primaarse partitsiooni lisamise teel====

Kui plokkseadmel on extended partitsioon, siis võib olla mõistlikum sda5 ja sda2 kustutamise asemel lihtsalt moodustada juurde /dev/sd3

<pre>
Device Boot Start End Sectors Size Id Type
/dev/sda1 * 2048 999423 997376 487M 83 Linux
/dev/sda2 1001470 33552383 32550914 15.5G 5 Extended
/dev/sda5 1001472 33552383 32550912 15.5G 8e Linux LVM

Command (m for help): n
Partition type
p primary (1 primary, 1 extended, 2 free)
l logical (numbered from 5)
Select (default p): p
Partition number (3,4, default 3):
First sector (999424-67108863, default 999424): 33552384
Last sector, +sectors or +size{K,M,G,T,P} (33552384-67108863, default 67108863):

Created a new partition 3 of type 'Linux' and of size 16 GiB.
</pre>

Tulemus paistab nii

<pre>
Device Boot Start End Sectors Size Id Type
/dev/sda1 * 2048 999423 997376 487M 83 Linux
/dev/sda2 1001470 33552383 32550914 15.5G 5 Extended
/dev/sda3 33552384 67108863 33556480 16G 8e Linux LVM
/dev/sda5 1001472 33552383 32550912 15.5G 8e Linux LVM
</pre>

Seejärel saab nt olemasolevat lvm'i extendida /dev/sda3 abil.

Kasulikud lisamaterjalid

* https://www.rootusers.com/how-to-increase-the-size-of-a-linux-lvm-by-expanding-the-virtual-machine-disk/

====Olemasolevate partitsioonide suurendamise teel====

Olgu lähtepunkt selline, virtuaalne arvuti, kus kasutatakse /dev/vdb plokkseadet (8388607 on partitsiooni lõpp, arvuliselt ühe võrra väiksem seadme sektorite arvust)

<pre>
# parted /dev/vdb
GNU Parted 3.2
Using /dev/vdb
Welcome to GNU Parted! Type 'help' to view a list of commands.
(parted) unit s
(parted) p
Model: Virtio Block Device (virtblk)
Disk /dev/vdb: 8388608s
Sector size (logical/physical): 512B/512B
Partition Table: msdos
Disk Flags:

Number Start End Size Type File system Flags
1 2048s 1050623s 1048576s primary
2 1050624s 8388607s 7337984s extended
5 1052672s 8388607s 7335936s logical lvm
</pre>

Eesmärgiks on suurendada logical partitsioonil asuval lvm köitel asuvat ext4 failisüsteemi. Selleks tuleb esmalt lisada virtualiseerimise keskkonna haldusliideses /dev/vdb seadmele ruumi juurde, 8388608 -> 16777216

<pre>
Model: Virtio Block Device (virtblk)
Disk /dev/vdb: 16777216s
Sector size (logical/physical): 512B/512B
Partition Table: msdos
Disk Flags:

Number Start End Size Type File system Flags
1 2048s 1050623s 1048576s primary
2 1050624s 8388607s 7337984s extended
5 1052672s 8388607s 7335936s logical lvm
</pre>

Seejärel nihutada partitsioonide 2 ja 5 lõpp edasi (nt uude seadme lõppu, 16777215 on plokkseadme viimane sektor, 'size - 1')

(parted) resizepart 2 16777215
(parted) resizepart 5 16777215

tulemuseks

<pre>
Number Start End Size Type File system Flags
1 2048s 1050623s 1048576s primary
2 1050624s 16777215s 15726592s extended
5 1052672s 16777215s 15724544s logical lvm
</pre>

Suurendada lvm pv (automaatselt suureneb lvm volume grupp)

# pvresize /dev/vdb5

Suurendada lvm köide

# lvresize -l100%FREE /dev/data/www

Suurendada failisüsteem

# resize2fs -p /dev/data/www

Kasulikud lisamaterjalid

* http://yy27.blogspot.com.ee/2009/02/resizing-extended-partitions-with-gnu.html

===XFS failisüsteemi kasutamine===

XFS http://oss.sgi.com/projects/xfs/ on kaasaegne failisüsteem, kasutamiseks tuleb paigaldada xfs utiliidid öeldes
# emerge xfsprogs

====XFS failisüsteemi moodustamine====

Failisüsteemi moodustamiseks seadmele /dev/xvda2 sobib öelda

# mkfs.xfs /dev/xvda2
meta-data=/dev/xvda2 isize=256 agcount=4, agsize=786432 blks
= sectsz=512 attr=2
data = bsize=4096 blocks=3145728, imaxpct=25
= sunit=0 swidth=0 blks
naming =version 2 bsize=4096
log =internal log bsize=4096 blocks=2560, version=2
= sectsz=512 sunit=0 blks, lazy-count=0
realtime =none extsz=4096 blocks=0, rtextents=0

XFS failisüsteemi kasutamisega on seotud sellised nn tuuma lõimed

# ps aux | grep xfs
root 4334 0.0 0.0 0 0 ? S< 23:40 0:00 [xfslogd/0]
root 4336 0.0 0.0 0 0 ? S< 23:40 0:00 [xfslogd/1]
root 4337 0.0 0.0 0 0 ? S< 23:40 0:00 [xfsdatad/0]
root 4338 0.0 0.0 0 0 ? S< 23:40 0:00 [xfsdatad/1]
root 4339 0.0 0.0 0 0 ? S< 23:40 0:00 [xfs_mru_cache]
root 4382 0.0 0.0 0 0 ? S< 23:44 0:00 [xfsbufd]
root 4384 0.0 0.0 0 0 ? S< 23:44 0:00 [xfsaild]
root 4385 0.0 0.0 0 0 ? S< 23:44 0:00 [xfssyncd]

64 bit keskkonnas võib xfs kasutamisel tekkida sarnaseid probleeme, mida kirjeldab vestluslõim aadressil http://oss.sgi.com/archives/xfs/2005-06/msg00347.html.

Failisüsteemi automaatseks külgeühendamiseks sobib /etc/fstab failis kasutada nt rida

/dev/xvda2 /srv/data xfs noatime,nodiratime,inode64,logbufs=8 1 2

kus

* noatime - failide access time aega ei kasutata
* nodiratime - kataloogide access time aega ei kasutata
* inode64 - failisüsteemi inode numbrid võivad olla suuremad kui 32 bit
* logbufs=8

Olemasoleva xfs failisüsteemi omaduste esitamiseks sobib öelda (ei ole kooskõlas ülaltoodud mkfs.xfs andmetega)

xfs_info /dev/data/xfs
meta-data=/dev/mapper/data-xfs isize=256 agcount=4, agsize=268435455 blks
= sectsz=512 attr=2
data = bsize=4096 blocks=1073741820, imaxpct=5
= sunit=0 swidth=0 blks
naming =version 2 bsize=4096 ascii-ci=0
log =internal bsize=4096 blocks=32768, version=2
= sectsz=512 sunit=0 blks, lazy-count=0
realtime =none extsz=4096 blocks=0, rtextents=0

XFS failisüsteemis asuvate kõikide kasutajate quota tabeli saamiseks tuleb anda käsk

# xfs_quota -x -c "report -nu"

XFSi probleemidest: Failid on asendunud 0 baidistega.

*https://github.com/odoucet/xfsrepair
*http://centos.distrosfaqs.org/centos/xfs-zero-length-file-problem/
*http://jackal.livejournal.com/2162387.html
*http://toruonu.blogspot.com/2012/12/xfs-vs-ext4.html

====LVMi peale tehtud XFS failisüsteemi suurendamine====

XFS failisüsteem peab olema suurendamisel külge monteeritud olekus. XFS failisüteemi suurendamiseks tuleb esmalt failisüteemi all olevat plokkseadet suurendada, nt LVM köite puhul öelda

# lvresize -L40G /dev/system/xfs
Extending logical volume xfs to 40.00 GiB
Logical volume xfs successfully resized

ning seejärel öelda

# xfs_growfs /dev/system/xfs
meta-data=/dev/mapper/system-xfs isize=256 agcount=6, agsize=1310720 blks
= sectsz=512 attr=2
data = bsize=4096 blocks=7864320, imaxpct=25
= sunit=0 swidth=0 blks
naming =version 2 bsize=4096 ascii-ci=0
log =internal bsize=4096 blocks=2560, version=2
= sectsz=512 sunit=0 blks, lazy-count=1
realtime =none extsz=4096 blocks=0, rtextents=0
data blocks changed from 7864320 to 10485760

====XFS failisüteemi vähendamine====

XFS failisüsteemi ei saa otseselt vähendada,
http://xfs.org/index.php/XFS_FAQ#Q%3A_Is_there_a_way_to_make_a_XFS_filesystem_larger_or_smaller.3F, kaudselt on võimalik tekitada uus sobiva suurusega failisüstee ning kopeerida andmed sinna ümber ning kustutada algselt kasutuses olnud failisüsteem.

===Reiser failisüsteemi kasutamine===

Failisüsteemi plokkseadmele moodustamiseks tuleb süsteemipaigaldada reiserfsprogs pakett

# apt-get install reiserfsprogs

ja öelda näiteks

# mkreiserfs /dev/cciss/c0d0p2

/etc/fstab failis tuleb vastavalt kasutada rida

/dev/cciss/c0d0p2 /srv reiserfs rw 0 0

===Mount bind===

nn mount bind võimaldab sama kataloogi sisu teha nähtavaks failisüsteemis mitmes kohas

# mount --bind /tmp/src /tmp/dst

/etc/fstab failis sobib kasutada rida

/tmp/src /tmp/dst none defaults,bind 0 0

===AUFS===

AUFS (Another Union File System) võimaldab koondada erinevate kataloogide sisu nähtavale ühe kataloogi alla. AUFS kasutamiseks tuleb paigaldada tuuma moodul ja utiliidid

# apt-get install aufs-modules-2.6-amd64 aufs-tools

Kasutamine toimub nt selliselt

# mount -t aufs -o dirs=/tmp/src/essa:/tmp/src/tessa none /tmp/dst

===OpenBSD failisüsteemi kasutamine Linuxist===

Esmalt vaadata, millese loogilise nime all vastav OpenBSD partitsioon esineb

# cat /proc/partitions

ja siis külge monteerida, nt

# mount -t ufs -o ro,ufstype=44bsd /dev/hda5 /tmp/hda5

===USB pulk ja FAT 32 failisüsteem===

# apt-get install dosfstools
# fdisk ... valida partitsiooni tüüp 'b'
# mkdosfs -F 32 -I /dev/sdc1

===df programmi kasutamine===

df abil saab küsida nimekirja süsteemile teada olevatest failisüsteemidest, nö füüsilistest kui muudest, nt Debian v. 7 Wheezy puhul esitatakse vaikimisi selline väljund

# df -h -T -a
Filesystem Type Size Used Avail Use% Mounted on
rootfs rootfs 12G 3.3G 8.1G 29% /
sysfs sysfs 0 0 0 - /sys
proc proc 0 0 0 - /proc
udev devtmpfs 10M 0 10M 0% /dev
devpts devpts 0 0 0 - /dev/pts
tmpfs tmpfs 195M 312K 195M 1% /run
/dev/mapper/system-root ext3 12G 3.3G 8.1G 29% /
tmpfs tmpfs 5.0M 0 5.0M 0% /run/lock
tmpfs tmpfs 390M 0 390M 0% /run/shm
/dev/sda2 ext3 504M 168M 311M 35% /boot
nfsd nfsd 0 0 0 - /proc/fs/nfsd

kus

* -a - esitada info kõigi failisüsteemide kohta
* -h - esitada suurused GB, MB vms ühikutes
* -T - esitada lisaks failisüsteemi tüüp

Lisaks saab küsida andmeid nt teatud tüüpi failisüsteemide kohta, nt ainult devpts

# df -h -T -a -t devpts
Filesystem Type Size Used Avail Use% Mounted on
devpts devpts 0 0 0 - /dev/pts

===Ketaste trimmimine===

Tegemist tehnikaga mis mõeldud storage "thin provisioning" ja ssd ketaste jaoks ning tähendab seda, et kustutatud andmed eemaldatakse koheselt. Nt storagest loodud ning iSCSI vms tehnikaga jagatud kettal tähendab Thin Provisioning enabled, et antakse küll välja nt 20 TB-suurune kettaviilakas, aga "allocation" (ehk kasutatud) on vaid reaalselt seal peal olevate andmete maht ehk vaid paar terabaiti. Tavalisel moel jagatud kettal on kogu jagatud maht reserveeritud ning seda enam välja jagada ei saa. Samuti on võimalik määrata tase, kus maal "häiret antakse". Samas on vaja storagele anda teada, et mingid andmed on määratud kustutamisele (tavaliselt failisüsteem seda ei tee) ning siin tulebki mängu discard.

Ketta mountimisel tuleb mount käsule anda võti '''discard''' või siis aeg-ajalt '''fstrim''' käsk käima panna. Kui discard võti on mountimisel antud teatab süsteem kustutamisel automaatselt
allolevale kettale, et info vaja eemaldada. Fstrim käsk on selleks, et tagasiulatuvalt kustutada ka see info, mis sai kustutatud enne mount võtme muutmist ehk discard lisamist.

===scsi rescan===

scsi rescan'ist on abi, kui on vaja töötava arvuti LVM ressurssi suurendada. Teatud tingimustel saab arvutile operatsiooni töötamise ajal lisada plokkseadmeid, nt ESXi virtuaalsele arvutile Hard Disk tüüpi seadme. Selleks, et operatsioonisüsteem saaks lisatud seadet asuda kasutama tuleb öelda nt

# echo "- - -" > /sys/class/scsi_host/host#/scan

kusjuures # voimalikud väärtused näeb ära vastava kataloogis sisust, tundub, et vale numbri kasutamine midagi halba ei tee, maksab alustada suuremast

..
# echo "- - -" > /sys/class/scsi_host/host2/scan
# echo "- - -" > /sys/class/scsi_host/host1/scan
...

scan nimeline fail kusjuures failisüsteemis ei eksisteeri, aga see ei sega seda echo käsku kasutamisel ja tulemuse saavutamisel. Tulemus paistab nt sedasi

[23416.047799] scsi 2:0:1:0: Direct-Access VMware Virtual disk 1.0 PQ: 0 ANSI: 2
[23416.047811] scsi target2:0:1: Beginning Domain Validation
[23416.048832] scsi target2:0:1: Domain Validation skipping write tests
[23416.048836] scsi target2:0:1: Ending Domain Validation
[23416.048916] scsi target2:0:1: FAST-40 WIDE SCSI 80.0 MB/s ST (25 ns, offset 127)
[23416.050526] sd 2:0:1:0: [sdc] 167772160 512-byte logical blocks: (85.8 GB/80.0 GiB)
[23416.050566] sd 2:0:1:0: [sdc] Write Protect is off
[23416.050570] sd 2:0:1:0: [sdc] Mode Sense: 61 00 00 00
[23416.050623] sd 2:0:1:0: [sdc] Cache data unavailable
[23416.050626] sd 2:0:1:0: [sdc] Assuming drive cache: write through
[23416.050985] sd 2:0:1:0: [sdc] Cache data unavailable
[23416.050988] sd 2:0:1:0: [sdc] Assuming drive cache: write through
[23416.051241] sd 2:0:1:0: Attached scsi generic sg3 type 0
[23416.074279] sdc: unknown partition table
[23416.074536] sd 2:0:1:0: [sdc] Cache data unavailable
[23416.074540] sd 2:0:1:0: [sdc] Assuming drive cache: write through
[23416.074637] sd 2:0:1:0: [sdc] Attached SCSI disk

Seejärel tuleb tekitada LVM PV

# pvcreate /dev/sdc

ja LVM VG suurendada

# vgextend pgdata /dev/sdc

Ning tulemusena on kasutada suurenenud ruumiga pgdata LVM volume grupp.

===btrfs failisüsteemi kasutamine===

2015 aasta suvel on nö hästi varustatud Linux distributsioonides olemas btrfs tugi, kerneli osa niigi, haldusutiliiditeda paigaldamiseks tuleb paigaldada nt APT paketihaldusega keskkonnas sarnane pakett

# apt-get install btrfs-tools

tulemusena tekib failisüsteemi

* /sbin/btfrs - TODO
* TODO

Plokkseadmele /dev/vdb failisüsteemi tekitamiseks sobib öelda

# mkfs.btrfs /dev/vdb
Btrfs v3.17
See http://btrfs.wiki.kernel.org for more information.

Turning ON incompat feature 'extref': increased hardlink limit per file to 65536
fs created label (null) on /dev/vdb
nodesize 16384 leafsize 16384 sectorsize 4096 size 8.00GiB

Failisüsteemi monteerimiseks koos pakkimisega

# mount -o compression=lzo /dev/vdb /mnt/vdb

või fstab failis rida (kusjuures mount | grep btrfs näitab sama väljundit sõltumata kas compress on või pole sees)

/dev/sdb /mnt/sdb btrfs defaults,compress=lzo 0 1

Tundub, et tavaliste sync, df jt utiliitide asemel on sobivam teha

# btrfs filesystem sync /mnt/sdb
FSSync '/mnt/sdb'

# btrfs filesystem df /mnt/sdb
Data, single: total=45.01GiB, used=44.91GiB
System, DUP: total=8.00MiB, used=16.00KiB
System, single: total=4.00MiB, used=0.00B
Metadata, DUP: total=1.00GiB, used=169.09MiB
Metadata, single: total=8.00MiB, used=0.00B
GlobalReserve, single: total=64.00MiB, used=0.00B

kus

* Data, single - used väljendab, palju on kasutuses reaalselt

# btrfs filesystem show
Label: none uuid: 26ef34be-1c0c-4578-88a1-bc0810b0ebd9
Total devices 1 FS bytes used 45.07GiB
devid 1 size 596.17GiB used 47.04GiB path /dev/sdb

Btrfs v3.17

Kasulikud lisamaterjalid

* https://wiki.debian.org/Btrfs

===Märkused===

* Monteeritud failisüsteemi ühenduspunktil on monteeritud failisüsteemi juurika kasutaja:grupp.

===Kasulikud lisamaterjalid===

* http://en.wikipedia.org/wiki/XFS