Archive

Archive for November, 2006

Neden name-based(isim tabanli) sanal host ile SSL kullanamayiz?

November 20th, 2006 Huzeyfe ONAL No comments

Isim tabanli sanal host kavrami (name-based virtual hosting) bir IP uzerinden birden fazla hostu sunma icin kullanilan bilindik bir yontem. Fakat bu yontem eger host edilen sunucularda SSL kullanilacaksa ise yaramiyor. Neden mi?

Bir IP uzerinden birden fazla host sunma Http isteklerinde tasinan Host basligina baglidir.
Bir http istegi olusturuldugunda host basligi hedef IPdeki hangi hostu istedigini belirtir. Bizim web sunucumuza gelen istek apache(ya da baska bir web sunucu) tarafindan yorumlanarak uygun site kullaniciya gosterilir.

http basligi

GET / HTTP/1.0
Accept:*/*
User-Agent:Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.0; .NET CLR 1.1.4322)
Host:www.enderunix.org


SSL destekli bir web sunucuda bir hosta gelen HTTPS isteginde Host headeri sifreli olarak gelecegi icin(OSI katmaninda SSL HTTP’den once, yani http istekleri sifrelenmis oldugu icin) web sunucu Host alanini okuyamaz ve o alan adina ozel islemler gerceklestiremez, dolayisi ile istenilen siteyi gosteremez, bu yuzden virtual host ile birlikte SSL kullanilamaz , bunun yerine Ip tabanli sanal host kullanilmalidir.

2008 notu mod_gnutls ile kullanilabiliyor

Categories: Web Security Tags:

Snort: Once IDS, sonra IPS, simdi de IDP

November 20th, 2006 Huzeyfe ONAL No comments

Snort ilk ciktigi zamanlar IDS olarak geciyordu hatta lightweight IDS denirdi, sonra snort-inline ile birlikte snort is Open source IPS olarak adlandirilmaya baslandi, bugun Martin Roesch(kendisi Snort’un ilk yazaridir)’ini imzasinda Snort: Open Source IDP kismini gorunce aha dedim Snort’da katildi bu isim degistirme seruvenine..

IDS=Intrusion Dedection System

IPS=Intrusion Preventing System

IDP=Intrusion Detection and Prevention system

—–

Martin Roesch - Founder/CTO, Sourcefire Inc. - +1-410-290-1616

Snort: Open Source IDP - http://www.snort.org

Categories: IDS/IPS/IDP Tags:

Acik Kod Uygulama test araclari

November 20th, 2006 Huzeyfe ONAL No comments

Zaman zaman kullandigimiz, sorumlu oldugumuz cesitli uygulamalari, servisleri test etme ihtiyacimiz oluyor. Cok sIk olmadigi icin bu konuda detayli bir arastirma yapmamistim.

Gecenlerde bir calismasmada ayni anda birden fazla servisin uygulamanin guvenlik, performans vs testlerini izlemek/yapmak zorunda kalinca hele su isi bir daha detaylica arastirayim dedim ve guzel bir surpriz ile karsilastim: “Open Source testing”. http://www.opensourcetesting.org/ adresinde ikmaet eden bu hazine uygulamalarinizi test etmek icin kullanilabilecek 350~ acik kod test aracini basit ozellikleri ile listelemis.

Inceleyebildigim kadari ile site daha cok web uygulamalari icin araclari iceriyor. Network testleri icin kendim bir liste olusturuyorum :)