Renouveler son certificat x509

Après 6 mois sans article, je vous fais ce (petit) billet à propos du renouvellement d’un certificat x509 (SSL/TLS). Dans un article précédent Générer un certificat SSL valide et gratuit j’expliquais comment faire une demande et obtenir un certificat valide aux yeux des navigateurs en utilisant les services de startssl.com

A 15 jours de l’expiration de mon certificat, je reçois un mail d’avertissement sur l’adresse postmaster de mon domaine afin de me prévenir. De même sur l’adresse email enregistrée pour l’administration puisque pour ceux qui ne savent pas, l’authentification se fait via certificat client associé à l’adresse email.

Une fois connecté au portail d’administration, il y a 2 choses à faire, renouveler le certificat client et le certificat serveur pour le domaine (qui est en fait une nouvelle génération à chaque fois).

Renouveler le certificat client :

Renseigner l’adresse email utilisée pour l’administration sur le site.

Un code de confirmation est envoyé par email, le saisir pour confirmer que vous avez accès à cet email.

Choisir l’adresse email dont on veut faire le certificat, concernant le hash, préférer du SHA2 sauf si votre OS est (très) ancien.

Le nouveau certificat s’installe dans votre navigateur, le magasin ou dans le trousseau d’accès pour les propriétaires d’appareil avec une pomme. Personnellement j’ai retiré mon ancien certificat, mais on peut conserver les 2 à priori.

Renouveler le certificat serveur :

J’ai généré un csr en local sur ma machine donc je passe à « Skip » directement. Pourquoi ? La clé privée reste chez moi, tout simplement. Pour la Keysize, je vous conseille d’opter tout de suite pour 4096 et non 2048 (Medium) comme sélectionné par défaut. Voici la commande OpenSSL que j’utilise, le CSR à copier/coller sera dans csr.txt, la clé privée dans mon.domaine.fr.key

openssl req -newkey rsa:4096 -sha512 -keyout mon.domaine.fr.key -nodes -subj /C=FR/O=domaine.fr/CN=mon.domaine.fr/ -out csr.txt

Ensuite il vous sera demandé d’indiquer à nouveau le domaine et un sous domaine (SAN). Si tout est OK, vous recevrez l’information par email (sur l’adresse postmaster) quand le certificat sera prêt.

Récupérer le certificat serveur :

Le retrait du certificat serveur est un peu moins commode que pour celui de la partie client.

Il faut faire un copier/coller de tout le bloc de texte dans un fichier, c’est ça le certificat associé à la clé privée.

Dernier point important, la chaine de certification, c’est grâce à cela que le certificat parait valide pour les navigateurs. Nous aurons besoin de ceci :

Il y a la possibilité de les télécharger et faire un copier/coller des 2 certificats de StartCom plus le notre (ssl.crt) en un seul fichier à la main ou de réutiliser quelques commandes de la dernière fois.

wget http://www.startssl.com/certs/ca.pem
wget http://www.startssl.com/certs/sub.class1.server.ca.pem
cat ssl.crt sub.class1.server.ca.pem ca.pem > ssl-unified.crt

Il vous restera à placer les fichiers au bon endroit, vérifier la configuration du serveur ainsi que les permissions sur le fichier de la clé privée, il est conseillé de faire un chmod 600 et clown root:root dessus.

Conclusion

Pour conclure ce renouvellement, je vous invite à vérifier votre site et l’implémentation SSL directement sur le site https://www.ssllabs.com une référence en la matière. Avec ce nouveau certificat et l’optimisation de ma configuration, je passe de la note « A » à « A+ ».

 

Stay tuned !

Publicités

grauphel sur ownCloud et TomDroid pour remplacer Evernote

Salut à tous !

Je profite de ce premier post de l’année pour vous souhaiter une très bonne année 2015 et de longues heures de bricole. Pensez à lever le nez de temps en temps pour profiter un peu de ceux qui vous entourent 😉

Revenons en au sujet du jour, remplacer Evernote, le système de prise de note bien connu pour une solution, je l’entends au fond de l’assistance, auto-hébergée. Si vous êtes déjà dans une dynamique d’héberger vos services, c’est un passage obligé. Je vous propose de (re)lire Se passer des services de Google Partie 1 et Partie 2 ainsi que la présentation de ownCloud.

Possédant déjà un ownCloud qui tourne pour tout ce qui est calDav, cardDav et zone de cloud d’appoint, l’application grauphel semblait toute indiquée pour remplir le job.

Pour fonctionner, grauphel a besoin du module PHP oauth car il n’utilise pas votre login/mot de passe ownCloud mais un token. On installe donc ce qu’il faut et supposons que votre ownCloud est opérationnel.

sudo apt-get upgrade
sudo apt-get update sudo apt-get install php-pear php5-dev libpcre3-dev
sudo pecl install oauth

Ensuite il faut indiquer à PHP de charger le module oauth dans son php.ini Pour un serveur NginX c’est dans le php-fpm que l’on indique ça. Il faut éditer le fichier « /etc/php5/fpm/php.ini » et ajouter la ligne :

extension=oauth.so

Très bien, on recharge donc la configuration de PHP-FPM et de NginX.

sudo /etc/init.d/php5-fpm reload
sudo /etc/init.d/nginx reload

Passons au téléchargement de la dernière version de grauphel, le décompresser, le copier dans le dossier « apps » de votre ownCloud et attribuer le bon propriétaire.

wget http://cweiske.de/download/grauphel/grauphel-0.4.0.tar.bz2
tar xjf grauphel-0.4.0.tar.bz2
sudo cp -R grauphel/ /var/www/owncloud/apps/
sudo chown -R www-data:www-data /var/www/owncloud/apps/grauphel/

La dernière étape côté serveur consiste depuis le compte administrateur de ownCloud d’activer l’application.

 

Pour terminer, il faut configurer l’application Tomdroid pour fonctionner avec grauphel, plutôt qu’un long discours, je vous invite à regarder la vidéo suivante :

Source : http://cweiske.de/tagebuch/grauphel.htm

Stay tuned !

Sauvegarde chiffrée sous OSX vers hubiC

Bonjour à tous,

De retour après quelques semaines sans article, je vous propose de profiter d’une solution de sauvegarde externalisée chez hubiC, le service cloud de OVH. Je ne suis pas un grand fan de la mode du nuage mais une sauvegarde à l’extérieur est indispensable, quelques précautions s’imposent donc.

En ce qui concerne mon MacBook, j’ai opté pour la création de fichier DMG, les fichiers d’image disque sous OSX. On peut les ouvrir depuis n’importe quel Mac et on peut les chiffrer. J’utilise l’utilitaire de disque directement en ligne de commande. Pourquoi ? Pour automatiser les sauvegardes par un script déclenché à heure régulière.

Pour ne pas avoir à taper le mot de passe, la passphrase devrais je dire, à chaque exécution du script, on l’enregistre dans un fichier caché (commençant par un .). Le « -n » est important car un retour chariot (\n) ne sera pas ajouté à la fin de notre chaine.

echo -n ”MonMotDePasse” >> .credentials

Le client hubiC étant déjà installé sur ma machine, un dossier hubiC se trouve à la racine de mon dossier home. Il ne reste plus qu’à exécuter la commande de l’utilitaire de disque.

hdiutil create -size 250m /Users/mickael/hubiC/Documents.dmg -encryption AES-256 -stdinpass -volname ”Documents” -srcfolder /Users/mickael/Documents/ < /Users/mickael/.credentials

create -size 250m /Users/mickael/hubiC/Documents.dmg : création de l’archive DMG
-encryption AES-256 : choix e chiffrement en AES-256 (maximum possible)
-stdinpass : le mot de passe est demandé dans la console et non en graphique
-volname ”Documents” : nom du volume une fois monté
-srcfolder /Users/mickael/Documents/ : dossier source à ajouter au DMG
< /Users/mickael/.credentials : on envoie le mot de passe à l’entrée standard ce qui évite la saisie

Un détail important, si le fichier DMG existe déjà, hdiutil ne continue pas, il faut donc renommer ou supprimer l’image avant de déclencher la sauvegarde.

Apple préconise d’utiliser launchDeamon pour les tâches programmées à la place de crontab. J’ai tout de même décidé d’utiliser crontab pour sa simplicité, tout fonctionne sans problème.

sudo vi /etc/crontab

Puis ajouter les lignes suivantes et enregistrer le fichier.

MAILTO=votre@adressemail.fr
0 19 * * * /Users/mickael/sauvegarde.sh >> /dev/null

MAILTO : envoie un mail à l’adresse indiquée en cas d’erreur
0 19 * * * /Users/mickael/sauvegarde.sh >> /dev/null : à 19h00 tous les jours, on exécute le script « sauvegarde.sh » qui contient la ligne hdiutil et la suppression du fichier précédent. Je ne garde pas la version précédente.

EDIT (08/02/2015) : Depuis plusieurs jours je recevais par email un message d’erreur obscure « hdiutil: create failed – Opération annulée ». Merci pour les précisions de cette erreur :o)
Au final, la solution est de spécifier une taille globale avec l’attribut -size. Dans mon cas, 250m est supérieur à la taille totale du dossier et de ses sous-dossiers et ça passe. Le DMG faut 95Mo au final.

Bonnes sauvegardes 🙂

Stay tuned !

Sauvegarder son device Android

Quand comme moi on vient du monde iOS, les sauvegardes ne sont pas tellement une préoccupation car presque tout est automatique, soit dans iCloud et/ou avec votre ordinateur utilisant iTunes.

Sous le petit robot vert il est également possible d’activer une sauvegarde dans le cloud et plus particulièrement dans le nuage de la firme de Mountain View (ou presque car les datacenters sont nombreux et répartis sur le globe).

Bref étant plutôt dans une politique d’auto-hébergement, rationalisation des comptes et tout ça, je me suis orienté vers la sauvegarde plus « manuelle » dans le sens sélective mais automatisée. Le petit problème, on ne va pas se mentir, il faut être un peu alèse avec l’arborescence des fichiers sous Android. J’ose à peine le dire pour ne pas vous faire peur mais ça ressemble pas mal à Linux dans le principe.

Niveau application j’en ai choisi 2 actuellement :

• Easy Backup & restore – https://play.google.com/store/apps/details?id=com.mdroidapps.easybackup&hl=fr_FR
• FolderSync Lite – https://play.google.com/store/apps/details?id=dk.tacit.android.foldersync.lite&hl=fr_FR

Pour ce qui des contacts et calendriers, rien à gérer car tout est déjà au point depuis près d’un an. Je vous invite à relire mon article Se passer des services de Google – Partie 2

A l’aide de la première application, Easy Backup & restore, je fais une sauvegarde de mon journal d’appel, SMS, MMS, favoris et dictionnaire. L’ensemble est enregistré dans un fichier .zip horodaté, qui peut être chiffré avec un algorithme AES 256 bits. A noter que l’on peut scheduler (définir un moment de déclenchement) la sauvegarde.

 

Deuxième étape, l’utilisation de FolderSync qui permet de jumeler un dossier contenu sur le téléphone avec un autre emplacement, un partage réseau ou un emplacement ownCloud par exemple. Cet emplacement distant qui s’appelle « Compte » est à configurer en premier. L’application possède également un scheduler afin de déclencher la copie vers la destination et bien d’autres options.

 

Pour les rosiers à sauvegarder sur votre précieux, je vous propose de jeter un oeil à ce document qui indique les emplacements intéressants tel le flux photos, les copies d’écran, les vidéos, la musique…

Cet article explique ce que j’ai fait mais en aucun cas assure que vous ne perdrez pas de données ou autre désagrément.

Stay tuned !

Déballage du OnePlus One

Seulement quelques jours après reçu mon invitation et passé commande d’un One si convoité, le suivi par email m’indique que ma commande est expédiée, et que DHL se charge de l’acheminement.

Pris en charge par DHL vers 13h30 le 13/10/2014, le paquet, enfin l’enveloppe à bulles contenant les 2 boites arrive à la maison à 13h30 le lendemain. En 24h l’ensemble postal a parcouru 3 pays puisqu’il est parti de Londres, est passé par Bruxelles, puis Lyon et enfin la maison. Un tracking (presque) aux petits oignons car la livraison met un peu de temps à être signalée mais pour le reste aucun soucis.

Place maintenant aux choses sérieuses, le déballage du précieux.

 Chargeur EU + le One

Pour ouvrir le paquet du One

Emballage gigogne

Emballage gigogne acte 2

Le One sur un plateau

Le câble USB avec son attache et l’outil pour ouvrir le tiroir de la SIM

Excellente qualité d’emballage qui n’est pas s’en rappeler d’autres appareils haut de gamme. La suite prochainement.

Stay tuned !

Adieu l’iPhone

Après plusieurs années de fidélité à la marque à la pomme pour mon téléphone portable, je viens de passer commande pour un One de chez OnePlus, modèle sous Android.

En effet, je suis un heureux possesseur d’iPhone depuis le modèle 3G. Heureux possesseur certes, mais pas « Fan Boy » au point de changer de modèle à chaque Keynote d’Apple. Au final j’ai eu un iPhone 3G et un iPhone 4. Ce dernier affiche près de trois et demi et bons et loyaux services avec un nombre d’heures de conversation, surf, email, SMS conséquents. La batterie a fait son temps et le temps lui a fait son oeuvre, vous comprendrez que l’autonomie n’est plus au rendez-vous.

Au fil des années, le prix des smartphones de la pomme croquée ne fait qu’augmenter et la concurrence n’est pas tellement mieux sur ce sujet tel les HTC, Samsung et consort.

Au terme de plusieurs semaines de réflexion, je me suis décidé à switcher pour Android, cet OS est maintenant abouti et réellement performant. Les applications sont nombreuses.

Il ne reste plus qu’à attendre la réception du précieux (commande le 09/10/2014) et (se) préparer à changer d’éco-système.

Stay tuned !

Samsung GT-P1000 sous Android 4.4 KitKat

La tablette Samsung GT-P1000 plus connu sous le nom de Galaxy Tab est une des premières tablettes du géant Samsung. Seul problème, le constructeur n’a jamais vraiment fait évolué ce périphérique qui stagne en version 2.2 Froyo. J’étais déjà passé en version 2.3 Gingerbread sans vraiment sentir la différence.

Depuis de l’eau a coulé sous les ponts et de nombreuses applications ne peuvent être installées sur cette ardoise de 7 pouces qui fonctionne plutôt pas mal chez moi. La colère me prend et je me décide à installer la version 4.4 sur la tablette le 14 juillet, un vent de révolution souffle à la maison.

Ce qui va suivre explique ce que j’ai fait, libre à vous de le suivre, A VOS RISQUES !

• Faire une sauvegarde complète, on ne sait jamais
• Le device (en version GSM) doit déjà être rooté en version 2.3.3, ce qui est mon cas
• Il faut également que Samsung Kies soit installé sur le PC
• Ensuite on installe ClockWorkMod : http://theunlockr.com/2012/05/07/how-to-root-and-flash-the-clockworkmod-recovery-on-the-galaxy-tab-p1000-running-gingerbread/. Pour la version de Odin3, je conseille une version 3.04 ou + que l’on trouve facilement avec notre ami Google par exemple
• La version CyanogenMod 4.4.4 (Nightly, bien prendre cette version et non une Experimental) se trouve ici : https://download.cyanogenmod.org/?device=p1&type=nightly
• Les Google Apps (en version standard) sont ici : http://www.trueandroid.com/2013/10/download-latest-gapps-or-google-apps.html
• Les 2 fichiers zip sont à copier sur la tablette afin de pouvoir les installer depuis le recovery mode
• Pour entrer en recovery mode, on éteint la tablette, on appuie sur le bouton home (petite maison) + le bouton Volume+ et on appuie sur Power en maintenant les 3, on relâche au moment de l’affichage de logo
• Sauvegarde de la ROM actuelle : « backup and restore > backup »
• Effacement de tous les paramètres et données (TOUTES LES DONNEES SONT EFFACEES) : « wipe data/factory reset » puis « wipe cache partition » et enfin « advanced > wipe Dalvik cache »
• Installation de la ROM : « install zip from SD card > choose zip from SD card » et choisir le zip cm-11-….
• Même chose pour avoir les Google Apps et entre autre le Play Store, fichier zip GApps_Standard_4.4.4_signed.zip
• Redémarrage de la tablette : « reboot system now »
• Le premier démarrage est long, on laisse tourner jusqu’au bout, si tout va bien, la tablette tourne maintenant en version 4.4.4 rooté

Un lien qui m’a aidé : http://au.ibtimes.com/articles/477352/20130612/update-samsung-galaxy-tab-7-gt-p1000.htm#.U93yTFY_Fdu

Stay tuned !