Was ist UUCP over SSL?

UUCP lässt sich nicht nur per Modem durchführen sondern auch über TCP/IP. Im Gegensatz zu einer Modem-Verbindung gehen die Daten und insbesondere auch das UUCP-Password unverschlüsselt durch das Internet und passiert dabei mehrere fremde Computer. Bei UUCP over SSL wird dabei der UUCP-Datenstrom durch eine SSL-Verbindung geschützt übertragen. Das ganze lässt sich wie hier beschrieben z.B. mit stunnel4 (und Taylor UUCP) realisieren.

Zertifikate

Damit stunnel4 überprüfen kann, ob es mit dem richtigen Server verbunden ist werden Zertifikate eingesetzt. Ohne diese Überprüfung könnte jemand einen falschen UUCP-Server vorspielen und an diesen würden dann der Login und das Password übertragen.

 

Für die Zertifikatsüberprüfung reicht es aus, das Stammzertifikat der KNF-CA zu installieren (und dieser damit zu vertrauen), da die jeweiligen Zertifikate der KNF-Dienste von dieser Stammzertifizierungsstelle ausgestellt worden sind. Nach dem Herunterladen des Zertifikats kann durch Vergleichen des Fingerabdrucks die Echtheit des Zertifikats sichergestellt werden. Den MD5-Fingerabdruck vom KNF-CA-Zertifikat erhält man mit:

 

openssl x509 -in ca2006-pem.crt -nooout -fingerprint -md5

 

  MD5 Fingerprint
KNF CA 97:82:D0:94:95:BE:A3:C9:05:BA:B0:EB:17:F8:A0:7B

Installation des KNF-CA-Zertifikats

Das CA-Zertifikat wird am besten in einem eigenen Ordner z.B. unter /usr/share/ca-certificates/franken.de abgelegt. Der Computer kann nicht mit den für Menschen verständlichen Namen wie "ca2006_pem.crt" umgehen, sondern sucht das Zertifikat anhand seines Hash-Namens. Die Aktivierung des KNF-CA-Zertifikats und damit die Verlinkung unter seinem Hash-Namen erfolgt mit

 

dpkg-reconfigure ca-certificates

 

Manuell kann man den Hash des Zertifikats mit

 

openssl x509 -in ca2006-pem.crt -noout -hash

 

ermitteln. Bei manueller Installation muß das Zertifikat anschließend unter seinem Hash-Namen verlinkt werden:

 

ln -s ca2006-pem.crt 9907da5e.0

Konfiguration Taylor UUCP mit stunnel4

Gegenüber UUCP per TCP/IP sind die Aenderungen in der UUCP-Konfiguration marginal. Es reicht aus in der port-Datei einen Eintrag

 

port SSL
type pipe
command /usr/sbin/stunnel4 /etc/uucp/stunnel.conf

 

hinzufügen und die Port-Wahl in der sys-Datei entsprechend auf SSL zu ändern. In der Datei /etc/uucp/stunnel.conf werden die Optionen für stunnel4 eingestellt:

 

CApath  = /etc/ssl/certs
client  = yes
verify  = 2
connect = elvis.franken.de:996

 

"CApath" gibt das Verzeichnis an in dem die Hash-Namen der Zertifikate zu finden sind und "verify = 2" teilt stunnel4 mit, die Zertifikate des Servers in jedem Fall zu prüfen und im Fehlerfall abzubrechen.