Áú»¢¶Ä²©

3 Servidor web

Visi¨® general

Aquesta secci¨® cont¨¦ les bones pr¨¤ctiques per configurar el servidor web de manera segura.

Activaci¨® de Áú»¢¶Ä²© sota un directori root de l'URL

Afegiu l'equip virtual a la configuraci¨® d'Apache (/etc/httpd/conf/httpd.conf) i configureu la redirecci¨® permanent per al document arrel a l'URL SSL de Áú»¢¶Ä²©. No oblideu substituir exemple.com pel nom real del servidor.

#Afegiu les l¨ªnies:
       
       <VirtualHost *:*>
           ServerName exemple.cat
           Redirect permanent / https://exemple.cat
       </VirtualHost>

Reinicieu el servei Apache per aplicar les modificacions:

systemctl restart httpd.service

Activar HTTP Strict Transport Security (HSTS) al servidor web

Per protegir la interf¨ªcie de Áú»¢¶Ä²© dels atacs de baixada de nivell de protocol, us recomanem que habiliteu la pol¨ªtica al servidor web.

Per exemple, per habilitar la pol¨ªtica HSTS per a la vostra interf¨ªcie Áú»¢¶Ä²© a la configuraci¨® d'Apache:

1. Busqueu l'arxiu de configuraci¨® de l'equip virtual: - /etc/httpd/conf/httpd.confa sistemes basats en RHEL - /etc/apache2/sites-available/000-default.confa Debian/Ubuntu

2. Afegiu la seg¨¹ent directiva a l'arxiu de configuraci¨® del vostre equip virtual:

<VirtualHost *:*>
         Header set Strict-Transport-Security "max-age=31536000"
       </VirtualHost>

3. Reinicieu el servei Apache per aplicar els canvis:

# A sistemes basats en RHEL:
       systemctl restart httpd.service
       
       # A Debian/Ubuntu
           systemctl restart httpd.service

Aplicaci¨® de galetes de sessi¨® segures i SameSite a Áú»¢¶Ä²©

Quan es configura Áú»¢¶Ä²©, ¨¦s essencial aplicar els atributs segurs i SameSite per a les galetes de sessi¨® per millorar la seguretat i evitar atacs de falsificaci¨® de peticions entre llocs (CSRF). Tanmateix, fer complir SameSite=Strict pot causar problemes en determinats escenaris, com ara:

• Ginys d'URL del tauler de control que mostren "l'usuari no ha iniciat pas la sessi¨®" quan s'incorporen iframes del mateix domini.
• Els usuaris que accedeixen al tauler mitjan?ant HTTP en lloc d'HTTPS poden tenir problemes d'inici de sessi¨®.
• Incapacitat per compartir URL amb seccions o equips espec¨ªfiques del men¨² de Áú»¢¶Ä²©.

Per mitigar aquests problemes, els usuaris haurien de tenir una manera d'ajustar la pol¨ªtica de SameSite.

1. Cookies segures

L'establiment de la marca segura garanteix que les galetes nom¨¦s es transmetin a trav¨¦s d'HTTPS, evitant l'exposici¨® a les connexions sense xifrar.

Per habilitar les galetes segures a Áú»¢¶Ä²©, afegiu o modifiqueu la configuraci¨® seg¨¹ent a la configuraci¨® del servidor web:

Per a Apache:

La cap?alera sempre edita Set-Cookie ^(.*)$ $1;Secure

Per a Nginx:

proxy_cookie_path / "/; Secure";

Assegureu-vos que s'accedeixi a la vostra interf¨ªcie Áú»¢¶Ä²© mitjan?ant HTTPS; en cas contrari, no s'enviaran galetes amb l'asenyalador Segur.

2. °ä´Ç²Ô´Ú¾±²µ³Ü°ù²¹³¦¾±¨® de l'atribut SameSite

La configuraci¨® del servidor web tamb¨¦ pot aplicar l'atribut SameSite:

Per a Apache:

<IfModule mod_headers.c>
           Cap?alera on edici¨® correcta Set-Cookie (.*) "$1; SameSite=Strict"
       </IfModule>

Per a Nginx (versi¨® 1.19.3+):

proxy_cookie_flags ~ samesite=Strict; # Substitu?u ~ per 'zbx_session' per a l'especificitat

Habilitaci¨® de la pol¨ªtica de seguretat de contingut (CSP) al servidor web

Per protegir la interf¨ªcie de Áú»¢¶Ä²© contra Cross Site Scripting (XSS), injecci¨® de dades i atacs similars, us recomanem que activeu la Pol¨ªtica de seguretat de contingut al servidor web. Per fer-ho, configureu el servidor web perqu¨¨ retorni la .

::: nota important La seg¨¹ent configuraci¨® de la cap?alera del CSP nom¨¦s ¨¦s per a la instal¡¤laci¨® d'interf¨ªcie predeterminada de Áú»¢¶Ä²© i per als casos en qu¨¨ tot el contingut prov¨¦ del domini del lloc (excepte els subdominis). ?s possible que sigui necessari una configuraci¨® de cap?alera CSP diferent si, per exemple, esteu configurant el giny URL per mostrar contingut dels subdominis o dominis externs del lloc, canviant de OpenStreetMap a un altre motor de mapes o afegint CSS o ginys externs. Si empreu el m¨¨tode Duo Universal Prompt autenticaci¨® multifactor, assegureu-vos d'afegir "duo.com" a la directiva CSP al fitxer de configuraci¨® del vostre equip virtual . :::

Per habilitar CSP per a la vostra interf¨ªcie Áú»¢¶Ä²© a la configuraci¨® d'Apache, seguiu aquests passos:

1. Localitzeu el fitxer de configuraci¨® del vostre host virtual:

• /etc/httpd/conf/httpd.conf a sistemes basats en RHEL
• /etc/apache2/sites-available/000-default.conf a Debian/Ubuntu

2. Afegiu la directiva seg¨¹ent al fitxer de configuraci¨® del vostre equip virtual:

<VirtualHost *:*>
           Header set Content-Security-Policy: "default-src 'self' *.openstreetmap.org; script-src 'self' 'unsafe-inline' 'unsafe-eval'; connect-src 'self'; img-src 'self' ' data: *.openstreetmap.org style-src 'self' 'unsafe-inline'; base-uri 'self'; 'jo';"
       </VirtualHost>

3. Reinicieu el servei Apache per aplicar els canvis:

# A sistemes basats en RHEL:
       systemctl restart httpd.service
       
       # A Debian/Ubuntu
       systemctl restart apache2.service

Desactivar l'exposici¨® de la informaci¨® del servidor web

Per millorar la seguretat, es recomana desactivar totes les signatures del servidor web.

De manera predeterminada, el servidor web est¨¤ exposant la signatura del programari:

La signatura es pot desactivar afegint els par¨¤metres seg¨¹ents al fitxer de configuraci¨® d'Apache:

ServerSignature Off
       ServerTokens Prod

La signatura PHP (cap?alera HTTP X-Powered-By) es pot desactivar canviant el fitxer de configuraci¨® php.ini (per defecte, la signatura ¨¦s desactivada):

expose_php = off

Cal reiniciar el servidor web perqu¨¨ s'apliquin els canvis al fitxer de configuraci¨®.

Per a m¨¦s seguretat, podeu utilitzar l'eina mod_security amb Apache (paquet libapache2-mod-security2). Aquesta eina permet eliminar la signatura del servidor en lloc d'eliminar nom¨¦s la versi¨® de la signatura del servidor. La signatura del servidor es pot canviar a qualsevol valor configurant "SecServerSignature" a qualsevol valor desitjat despr¨¦s d'instal¡¤lar mod_security.

Consulteu la documentaci¨® del vostre servidor web per trobar ajuda sobre com eliminar/canviar signatures de programari.

Desactivar les p¨¤gines d'error predeterminades del servidor web

Per evitar l'exposici¨® de la informaci¨®, es recomana desactivar les p¨¤gines d'error predeterminades.

De manera predeterminada, un servidor web empra p¨¤gines d'error integrades:

Aquestes p¨¤gines d'error predeterminades s'han de substituir/esborrar. Per exemple, la directiva "ErrorDocument" es pot emprar per definir una p¨¤gina/text d'error personalitzat per al servidor web Apache.

Consulteu la documentaci¨® del vostre servidor web per trobar ajuda sobre com substituir/esborrar les p¨¤gines d'error predeterminades.

Esborrar la p¨¤gina de prova del servidor web

Per evitar l'exposici¨® de la informaci¨®, es recomana esborrar la p¨¤gina de prova del servidor web.

Per defecte, l'arrel web del servidor web Apache cont¨¦ la p¨¤gina de prova index.html:

Consulteu la documentaci¨® del vostre servidor web per trobar ajuda sobre com esborrar les p¨¤gines de prova predeterminades.

Establir la cap?alera de resposta HTTP X-Frame-Options

De manera predeterminada, Áú»¢¶Ä²© ¨¦s configurat amb el par¨¤metre de cap?alera HTTP Emprar X-Frame-Options establert a SAMEORIGIN. Aix¨° vol dir que el contingut nom¨¦s es pot carregar en un marc que tingui el mateix origen que la pr¨°pia p¨¤gina.

Els elements d'interf¨ªcie de Áú»¢¶Ä²© que extreuen contingut d'URL externs (¨¦s a dir, l'URL giny del tauler de control) mostren el contingut recuperat en un sandbox amb totes les restriccions de sandbox activades.

Aquests par¨¤metres milloren la seguretat de la interf¨ªcie Áú»¢¶Ä²© i proporcionen protecci¨® contra atacs XSS i clickjacking. Els usuaris superadministradors poden modificar l'iframe sandboxing i la cap?alera de resposta HTTP X-Frame-Options segons calgui. Penseu acuradament els riscos i els beneficis abans de canviar la configuraci¨® predeterminada. No es recomana desactivar completament la sandbox o X-Frame-Options.

Amagar el fitxer amb la llista de mots de pas habituals

Per pujar la complexitat dels atacs de for?a bruta amb mots de pas, es recomana limitar l'acc¨¦s al fitxer ui/data/top_passwords.txt. Aquest fitxer cont¨¦ una llista dels mots de pas m¨¦s comuns i espec¨ªfiques del context i impedeix que els usuaris estableixin aquests mots de pas (si el par¨¤metre Evitar mots de pas f¨¤cils d'endevinar ¨¦s habilitat a la pol¨ªtica de mots de pas).

Per limitar l'acc¨¦s al fitxer top_passwords.txt, modifiqueu la configuraci¨® del vostre servidor web.

A Apache, l'acc¨¦s al fitxer es pot limitar mitjan?ant el fitxer .htaccess:

<Files "top_passwords.txt">
           Order Allow,Deny
           Deny from all
       </Files>

A NGINX, l'acc¨¦s als fitxers es pot limitar mitjan?ant la directiva location:

location = /data/top_passwords.txt {
           deny all;
           return 404;
       }