Truedoc

h1. Installare e configurare PHPki

"PHPki":http://sourceforge.net/projects/phpki/ è un buon programma per la gestione via web di una infastruttura di PKI semplificata, adeguato alle esigenze di gestione di una realtà di dimensioni medio-piccole.

La procedura di installazione è purtroppo un po' macchinosa, ma una volta installata l'utilizzo dell'applicazione è tutto sommato immediato. Una volta scaricati i sorgenti li si potranno installare (al solito si è scelto @/usr/local/share/@) con i seguenti comandi: 

<pre>

cd /usr/local/share/

tar -xvzf ~/phpki-0.80.tar.gz

mv phpki-0.80 phpki

</pre>

In questa installazione iniziale la directory @phpki@ sarà creata con permessi di scrittura aperti a tutti, per consentire agli script di setup forniti dal pacchetto stesso di scrivere all'interno della stessa la loro configurazione. Dato che questi script sono eseguiti via web per conto di Apache ed il programma non essendo pacchettizzato non sa quale utente utilizzare, la directory deve essere scrivibile da tutti: 

<pre>

root@monk:/usr/local/share# ls -ld phpki/

drwxrwsrwx 8 root users 4096 Nov 15  2005 phpki/

</pre>

una volta completata la configurazione si dovrà utilizzare lo script @secure.sh@ per correggere i permessi.

Per accedere alla configurazione usando gli script forniti dal programma occorre anzitutto configurare Apache, faremo comparire la nostra CA sotto @/phpki@, utilizzando la seguente direttiva: 

<pre>

Alias /phpki /usr/local/share/phpki/

<Directory /usr/local/share/phpki>

        DirectoryIndex index.php

        Options Indexes FollowSymLinks

        AllowOverride All

</Directory>

</pre>

Una volta inserita la precedente configurazione si potrà puntare il browser su @http://www.miosito.it/phpki@ per ottenere la pagina di istruzioni, in alto a destra si potrà cliccare sul collegamento _Setup_ per andare sulla pagina di impostazione che richiede tutte le informazioni necessarie.

In particolare andranno indicate la directory dove mantenere i file della _Certification Authority_ ed il file su cui si memorizzeranno gli utenti con accesso alla console amministrativa (che richiede accesso autenticato di Apache), che nel nostro caso sono rispettivamente @/var/local/phpki/phpki-store@ e @/var/local/phpki/phpkipasswd@. 

In particolare occorrerà assegnare la proprietà della directory citata all'utente con cui gira Apache, in modo che i file della CA possano essere opportunamente creati al suo interno. Allo stesso modo andrà creato il file di accesso per l'utente amministrativo. Tutto questo va fatto prima di confermare l'esecuzione dello script di setup, altrimenti si avranno degli errori, il tutto si farà con i comandi:

<pre>

mkdir /var/local/phpki

mkdir /var/local/phpki/phpki-store

chown www-data /var/local/phpki/phpki-store

chmod 700 /var/local/phpki/phpki-store

htpasswd -cm /var/local/phpki/phpkipasswd admin

chown root.www-data /var/local/phpki/phpkipasswd

chmod 640 /var/local/phpki/phpkipasswd

</pre>

Una volta creata l'infrastruttura per i dati necessari si potrà confermare l'esecuzione della pagina di impostazione, ed eseguire lo script di riordino dei permessi, che chiederà gli ultimi dati necessari:

<pre>

root@cleis:/usr/local/share/phpki# ./secure.sh 

This application is designed to be an easy to use "certificate factory"

requiring minimum human intervention to administer.  It is intended for

use within a trusted INTRAnet for the creation and management of x.509

e-mail digital certificates by departmental managers.  IT IS NOT INTENDED

FOR USE OVER THE INTERNET.

This application stores private keys within a sub-directory, making them

potentially susceptible to compromise.  Extra care has been taken in the

design of this application to protect the security of your certificates,

on the condition that you INSTALL IT AS THE ROOT USER.  However, no

software is 100% secure.

Enter the location of your PHPki password (i.e. /etc/phpkipasswd): /var/local/phpki/phpkipasswd

Enter the user ID your web server runs as [apache]: www-data

Enter the group ID your web server runs as [apache]: www-data

Enter the IP or subnet address [192.168.0.0/16] which will be allowed access

to the user admin module in under ./admin: 127.0.0.1

Working...

Done.

</pre>

Nel caso si utilizzi una distribuzione che usa PHP 5 occorrerà anche modificare il file @ca/request_cert.php@ che usa una parola chiave come valore di un istruzione case, cosa che comporta un errore di sintassi, la cosa si può fare semplicemente con: 

<pre>

sed -e 's/final/finale/g' ca/request_cert.php > request_cert.php.new

mv request_cert.php.new ca/request_cert.php

</pre>