블로그

참고 : https://www.ucert.co.kr/ssl/ev.html

This module is contained in the mod_define.c file. It provides the definition variables for arbitrary directives, i.e. variables which can be expanded on any(!) directive line. It is compatible with Apache httpd 2.0 and 2.2. It is not compiled into the server by default. To use mod_define you have to enable the following line in the server build Configuration file:

    AddModule  modules/extra/mod_define.o

http://people.apache.org/~rjung/mod_define/

mod_define.c

첨부한 파일을 옮긴 후

apxs –i – a –c mod_define.c

으로 설치

httpd.conf에

----------------------------------------------------

LoadModule define_module    modules/mod_define.so

--------------------------------------------------

자동으로 기입된다.

해당 소켓파일은 /apache/module에 위치하니 확인

Apache Log 분석툴을 찾다가 사용하기 괜찮아 보이는 툴이 있어서

정보 공유합니다.

Apache Access 파일을 로딩하면 위와 같은 카테고리로 분석이 됩니다.

Gernral 은

등으로 표시가 되며

기본적인 Access 및 Error 로그도 분석이 됩니다.

기타 접속 브라우저 등도 깔끔하게 표시가 되어, 월간리포트나 분석용으로 사용하기 좋을 것 같습니다.

세부 내역은 직접 확인 부탁드립니다. 테스트 페이지 입니다.

https://www.weblogexpert.com/sample/index.htm

2016/03/02 오후 14:00 OpenSSL의 신규 취약점에 대한 긴급 보안업데이트가 발표되었습니다. 공격자가 취약점을 악용하면 중간에서 SSL, TLS 통신을 복호화할 수 있습니다.

----------------------------------------------------------------------------------

□ 개요

o 3월 1일(현지시간) 오픈SSL은 SSLv2 규격(Protocol)에 대한 긴급 업데이트 발표[1]

o SSL 취약점을 이용한 신종 공격 방식인 DROWN, CacheBleed에 대한 보안 업데이트 등

- DROWN(Decrypting RSA with Obsolete and Weakened eNcryption)

- CacheBleed: 인텔 프로세서의 Cache-bank 충돌로 인한 정보 노출을 이용한 부채널 공격

□ 영향 받는 사용자

- OpenSSL 1.0.2

- OpenSSL 1.0.1

□ 업데이트 내용

o SSLv2 프로토콜 비활성화 기본 설정 및 SSLv2 EXPORT 암호화 제거 등

□ 취약점 내용 및 권고사항

o DROWN: 낡고 취약한 암호화를 통한 RSA 복호화 취약점

- RSA(Rivest Shamir Adleman): 공개키 암호화 알고리즘의 하나

□ 용어 설명

o DFB(Double-Free Bug): 힙 오버플로우에 기반을 둔 공격으로, 원하는 위치의 메모리를 사용하기 위한 방법

o 널 포인터 역참조(Null Pointer Dereference): 널 포인터에 임의의 값을 대입하여 발생하는 에러

o 힙 커럽션(Heap Corruption): 동적 할당한 크기보다 더 큰 영역에 접근함으로써 발생하는 에러

o 부채널 공격(Side Channel Attack): 알고리즘의 약점을 찾거나 무차별 공격을 하는 대신 암호 체계의 물리적인 구현 과정의 정보를 기반으로 하는 공격 방법

o 분할 정복 알고리즘(Divide-and-conquer): 그대로 해결할 수 없는 문제를 작은 문제로 분할하여 문제를 해결하는 방법

o Bleichenbacher 공격: RSA 암호화 메시지 내용을 점차적으로 노출하기 위한 공격

□ 해결 방안

o 해당 취약점에 영향 받는 버전의 사용자는 아래 버전으로 업데이트[2]

- OpenSSL 1.0.2 사용자: 1.0.2g로 업데이트

- OpenSSL 1.0.1 사용자: 1.0.1s로 업데이트- 임의코드 실행으로 이어질 수 있는 use-after-free 취약점(CVE-2015-7629, CVE-2015-7631, CVE-2015-7643, CVE-2015-7644)

□ 참고사이트

   [1] https://www.openssl.org/news/secadv/20160301.txt

   [2] https://www.openssl.org/

[Rewrite 지시자]

. : 다수의 한문자
? : 0개 이상의 한문자
* : 0개 이상의 문자 또는 문자열
+ : 1개 이상의 문자 또는 문자열
(chars) : (, ) 안의 문자또는 문자열을 그룹으로 묶는다.
          이 문자그룹은 Substitution(return URL)에서 $N 의 변수로 활용할수 있다.
^ : 문자열의 첫문(열)을 지정
$ : 문자열의 끝 문자(열)을 지정
(역슬래쉬) : 정규표현식에서 특별한 의미로 사용되는 문자의 특수기능을 제거
{n} : 정확히 n번 반복
{n,} : n번 이상 반복
{n,m} : n 이상 m 이하 반복
[chars] : 문자들의 범위 또는 표현할 수 있는 문자들을 설정합니다.
예) [a-z] : a 부터 z 까지의 소문자, [tT] : 소문자 t 또는 대문자 T

[Rewrite Subrutine 지시자]

L : 뒤구문 여부를 무시하고 그 줄에서 끝낸다.
N : 새로운 Rule이 시작된다는 의미.
R : Redirection. 무조건 넘긴다. 뒤 주소로 넘긴다는 의미.
NC : 대소문자를 구별하지 않는다.
OR : 프로그래밍의 or와 유사.
QSA : Cond의 내용을 지난 결과에 덧붙인다.
NE : Out 될 값에 특수문자가 HexCode로 되어 포함되어 있는 경우.


=======================================================================================


예제)


[test.com을 www.test.com으로 리다이렉트]

RewriteEngine On
RewriteCond %{HTTP_HOST} ^(test\.com)
RewriteRule (.*)  http://www.test.com/$1  [L]


[www.test.com, test.com으로 시작하는 주소를 www.sample.co.kr로 리다이렉트]

RewriteEngine On
RewriteCond %{HTTP_HOST} ^(www\.test\.com|test\.com)
RewriteRule (.*)  http://www.sample.co.kr/$1  [L]


[www.test.com으로 시작하는 주소를 www.sample.co.kr로 리다이렉트]

RewriteEngine On
RewriteCond %{HTTP_HOST} ^(www\.test\.com)
RewriteRule (.*)  http://www.sample.co.kr/$1  [L]


[test.com을 test.com/sub 로 리다이렉트]

RewriteEngine On
RewriteCond %{HTTP_HOST} ^(test\.com|www\.test\.com)
RewriteRule (.*)  /sample/$1  [L]


[test.com/sample를 하위 주소까지 ccc.co.kr로 리다이렉트 (영구 이동)]

RewriteEngine On
RewriteRule (.*)  http://www.ccc.co.kr/$1  [R=301,L]

또는

RewriteEngine On
RewriteRule  ^sample/(.*)  http://www.ccc.co.kr/$1  [R=301,L]
(여기서 R=301은 그 주소로 영구이동.
 이렇게 하면 도메인 주소를 바꿨을 때에 검색기들이 알아 차리고, 옛 주소를 새 주소로 갱신할 수 있다.)


[test.com이 들어가는 모든 주소(서브도메인 포함)를 sample.co.kr로 리다이렉트]

RewriteEngine On
RewriteCond %{HTTP_HOST} test\.com
RewriteRule ^(.+) %{HTTP_HOST}$1 [C]
RewriteRule ^([^.]+)\.test\.com(.*)  http://$1.sample.co.kr/$2  [L]
RewriteRule ^test\.com(.*)  http://sample.co.kr/$1  [L]


[모든 요청을 SSL로 리다이렉트]

RewriteEngine On
RewriteCond %{HTTPS} !=on
RewriteRule .* https://%{SERVER_NAME}%{REQUEST_URI} [R,L]


[https://www.test.com/m 하위 세부경로 표기]

RewriteRule !^/m https://www.test.com/m%{REQUEST_URI} [R=301,L]

AJP

• Not a binary protocol
  • Common headers and values encoded
  • Other values in plain text
  • Request and response bodies in plain text
• Request headers must fit in a single AJP message
  • Default 8192
  • Max 65536
• Supports passing of SSL termination information
• Does not directly support encryption
  • IPSec, VPN, SSH tunnel, etc.

HTTP

• Clear text protocol
  • Easy to read
• No limit on request header size
• Does not directly support providing SSL termination information
  • Can be added by httpd using custom headers
  • Can be processed by Tomcat using the SSLValve (undocumented)
• Supports encryption via HTTPS

AJP vs. HTTP

• If terminating SSL at httpd and you need the SSL information
  • Use AJP
• If you need to encrypt the httpd to Tomcat channel
  • Use HTTP
• If you need both
  • Use HTTP
  • It is (usually) easier to pass SSL information over HTTP than it is to encrypt AJP
• If you need neither
  • Pick the one you are more familiar with – debugging problems will be easier

mod_jk

• Only supports AJP
• Developed by the Tomcat committers
• Non-httpd style configuration
• More complex URL mappings are simpler to write
• Binaries only provided for Windows

mod_proxy

• Supports AJP and HTTP
• Included as standard with httpd
• Uses httpd style configuration
• More complex URL mappings are trickier to write
• Binaries provided for most platforms

참고

http://wiki.apache.org/tomcat/FAQ/Connectors