Was ist UUCP over SSL?
UUCP lässt sich nicht nur per Modem durchführen sondern auch über TCP/IP. Im Gegensatz zu einer Modem-Verbindung gehen die Daten und insbesondere auch das UUCP-Password unverschlüsselt durch das Internet und passiert dabei mehrere fremde Computer. Bei UUCP over SSL wird dabei der UUCP-Datenstrom durch eine SSL-Verbindung geschützt übertragen. Das ganze lässt sich wie hier beschrieben z.B. mit stunnel4 (und Taylor UUCP) realisieren.
Zertifikate
Damit stunnel4 überprüfen kann, ob es mit dem richtigen Server verbunden ist werden Zertifikate eingesetzt. Ohne diese Überprüfung könnte jemand einen falschen UUCP-Server vorspielen und an diesen würden dann der Login und das Password übertragen.
Für die Zertifikatsüberprüfung reicht es aus, das Stammzertifikat der KNF-CA zu installieren (und dieser damit zu vertrauen), da die jeweiligen Zertifikate der KNF-Dienste von dieser Stammzertifizierungsstelle ausgestellt worden sind. Nach dem Herunterladen des Zertifikats kann durch Vergleichen des Fingerabdrucks die Echtheit des Zertifikats sichergestellt werden. Den MD5-Fingerabdruck vom KNF-CA-Zertifikat erhält man mit:
openssl x509 -in ca2006-pem.crt -nooout -fingerprint -md5
| MD5 Fingerprint | |
| KNF CA | 97:82:D0:94:95:BE:A3:C9:05:BA:B0:EB:17:F8:A0:7B |
Installation des KNF-CA-Zertifikats
Das CA-Zertifikat wird am besten in einem eigenen Ordner z.B. unter /usr/share/ca-certificates/franken.de abgelegt. Der Computer kann nicht mit den für Menschen verständlichen Namen wie "ca2006_pem.crt" umgehen, sondern sucht das Zertifikat anhand seines Hash-Namens. Die Aktivierung des KNF-CA-Zertifikats und damit die Verlinkung unter seinem Hash-Namen erfolgt mit
dpkg-reconfigure ca-certificates
Manuell kann man den Hash des Zertifikats mit
openssl x509 -in ca2006-pem.crt -noout -hash
ermitteln. Bei manueller Installation muß das Zertifikat anschließend unter seinem Hash-Namen verlinkt werden:
ln -s ca2006-pem.crt 9907da5e.0
Konfiguration Taylor UUCP mit stunnel4
Gegenüber UUCP per TCP/IP sind die Aenderungen in der UUCP-Konfiguration marginal. Es reicht aus in der port-Datei einen Eintrag
port SSL
type pipe
command /usr/sbin/stunnel4 /etc/uucp/stunnel.conf
hinzufügen und die Port-Wahl in der sys-Datei entsprechend auf SSL zu ändern. In der Datei /etc/uucp/stunnel.conf werden die Optionen für stunnel4 eingestellt:
CApath = /etc/ssl/certs
client = yes
verify = 2
connect = elvis.franken.de:996
"CApath" gibt das Verzeichnis an in dem die Hash-Namen der Zertifikate zu finden sind und "verify = 2" teilt stunnel4 mit, die Zertifikate des Servers in jedem Fall zu prüfen und im Fehlerfall abzubrechen.
