webinterface.git

@@ -0,0 +1,42 @@

+<?php

+

+require_once('certs.php');

+require_role(ROLE_SYSTEMUSER);

+

+

+$section = "vhosts_certs";

+$title = "Zertifikat zum CSR hinzufügen";

+

+$csr = csr_details($_REQUEST['id']);

+

+output("<h3>Zertifikat zu CSR hinzufügen</h3>

+<p>Wenn Ihr CSR von der Zertifizierungsstelle akzeptiert und unterschrieben wurde, erhalten Sie ein SSL-Zertifikat zurück.

+Dieses hat in etwa die Form

+<pre>-----BEGIN CERTIFICATE-----

+...

+-----END CERTIFICATE-----</pre>

+und kann direkt unten eingetragen werden.</p>

+

+<p>Bitte stellen Sie sicher, dass es sich um das richtige Zertifikat handelt. Der CSR wurde ausgestellt auf den 

+Host-/Domainnamen <strong>{$csr['hostname']}</strong>. Nur das dazu passende Zertifikat wird akzeptiert.</p>

+

+<p>Wenn die Überprüfung erfolgreich verläuft, wird der CSR in unserer Datenbank gelöscht, er wird nicht mehr benötigt.

+Das Zertifikat und der private Schlüssel werden Ihnen umgehend für Ihre Websites zur Verfügung gestellt.</p>");

+

+$form = '

+<h4>Zertifikat:</h4>

+<p><textarea name="cert" rows="10" cols="70"></textarea></p>

+

+<p><input type="submit" value="Speichern" /></p>

+

+';

+

+output(html_form('vhosts_certs_new', 'savecert', 'action=new&csr='.$csr['id'], $form));

+

+

+

+

+

+

+

+

@@ -19,7 +19,7 @@ if (count($certs) > 0)

   output("<table><tr><th>Name/Details</th><th>CommonName</th><th>Gültig ab</th><th>Gültig bis</th><th>&#160;</th></tr>");

   foreach ($certs as $c)

   {

-    output("<tr><td>{$c['subject']}</td><td>{$c['cn']}</td><td>{$c['valid_from']}</td><td>{$c['valid_until']}</td><td>".internal_link('savecert', '<img src="'.$prefix.'images/delete.png" />', 'action=delete&id='.$c['id'])."</td></tr>");

+    output("<tr><td>".internal_link('showcert', $c['subject'], "mode=cert&id={$c['id']}")."</td><td>{$c['cn']}</td><td>{$c['valid_from']}</td><td>{$c['valid_until']}</td><td>".internal_link('savecert', '<img src="'.$prefix.'images/delete.png" />', 'action=delete&id='.$c['id'])."</td></tr>");

   } 

   output("</table>");

 }

@@ -30,6 +30,30 @@ else

 output('<p>'.internal_link('newcert', 'Neues Zertifikat hinzufügen').'</p>');

+output('<h3>offene CSRs</h3>');

+

+$csr = user_csr();

+if (count($csr) > 0)

+{

+  output("<table><tr><th>Host-/Domainname</th><th>Bitlänge</th><th>Erzeugt am</th><th>&#160;</th></tr>");

+  foreach ($csr AS $c)

+  {

+    output("<tr><td>".internal_link('showcert', $c['hostname'], 'mode=csr&id='.$c['id'])."</td><td>{$c['bits']}</td><td>{$c['created']}</td><td>".internal_link('savecert', '<img src="'.$prefix.'images/delete.png" />', 'action=deletecsr&id='.$c['id'])." &#160; ".internal_link('certfromcsr', '<img src="'.$prefix.'images/ok.png" alt="Zertifikat hinzufügen" title="Zertifikat hinzufügen" />', "id={$c['id']}")."</td></tr>");

+  }

+  output("</table>");

+}

+else

+{

+  output('<p><em>Es gibt keine offenen CSRs</em></p>');

+}

+

+

+output('

+<p>Wenn Sie ein einfaches Zertifikat benötigen, können Sie mit Hilfe dieser Funktion einen CSR (»certificate signing request«) 

+erstellen, mit dem Sie Ihr endgültiges Zertifikat beantragen können.</p>

+<p>'.internal_link('newcsr', 'Neuen CSR erzeugen').'</p>');

+

+

@@ -1,6 +1,7 @@

 <?php

 require_once('inc/base.php');

+require_once('inc/security.php');

 define("CERT_OK", 0);

 define("CERT_INVALID", 1);

@@ -17,19 +18,41 @@ function user_certs()

   return $ret;

 }

+function user_csr()

+{

+  $uid = (int) $_SESSION['userinfo']['uid'];

+  $result = db_query("SELECT id, created, hostname, bits FROM vhosts.csr WHERE uid=${uid}");

+  $ret = array();

+  while ($i = mysql_fetch_assoc($result))

+    $ret[] = $i;

+  DEBUG($ret);

+  return $ret;

+}

 function cert_details($id)

 {

   $id = (int) $id;

   $uid = (int) $_SESSION['userinfo']['uid'];

-  $result = db_query("SELECT id, lastchange, valid_from, valid_until, subject, cn, cert, `key`, cabundle FROM vhosts.certs WHERE uid={$uid} AND id={$id}");

+  $result = db_query("SELECT id, lastchange, valid_from, valid_until, subject, cn, cert, `key` FROM vhosts.certs WHERE uid={$uid} AND id={$id}");

   if (mysql_num_rows($result) != 1)

     system_failure("Ungültiges Zertifikat");

   return mysql_fetch_assoc($result);

 }

+function csr_details($id)

+{

+  $id = (int) $id;

+  $uid = (int) $_SESSION['userinfo']['uid'];

+  

+  $result = db_query("SELECT id, created, hostname, bits, csr, `key` FROM vhosts.csr WHERE uid={$uid} AND id={$id}");

+  if (mysql_num_rows($result) != 1)

+    system_failure("Ungültiger CSR");

+  return mysql_fetch_assoc($result);

+}

+

+

 function get_available_CAs()

 {

   $path = '/etc/apache2/certs/cabundle/';

@@ -98,3 +120,151 @@ function delete_cert($id)

   db_query("DELETE FROM vhosts.certs WHERE uid={$uid} AND id={$id} LIMIT 1");

 }

+function delete_csr($id)

+{

+  $uid = (int) $_SESSION['userinfo']['uid'];

+  $id = (int) $id;

+  

+  db_query("DELETE FROM vhosts.csr WHERE uid={$uid} AND id={$id} LIMIT 1");

+}

+

+function create_wildcard_csr($cn, $bits)

+{

+  $cn = filter_input_hostname($cn);

+  $bits = (int) $bits;

+  if ($bits == 0)

+    $bits = 4096;

+

+  $keyfile = tempnam(ini_get('upload_tmp_dir'), 'key');

+  $csrfile = tempnam(ini_get('upload_tmp_dir'), 'csr');

+  $config = tempnam(ini_get('upload_tmp_dir'), 'config');

+

+  DEBUG("key: ".$keyfile." / csr: ".$csrfile." / config: ".$config);

+

+  $c = fopen($config, "w");

+  fwrite($c, "[req]

+default_bits = {$bits}

+default_keyfile = {$keyfile}

+encrypt_key = no

+distinguished_name      = req_distinguished_name

+req_extensions = v3_req

+

+[v3_req]

+subjectAltName = DNS:{$cn}, DNS:*.{$cn}

+

+[ req_distinguished_name ]

+countryName                     = Country Name (2 letter code)

+countryName_default             = DE

+stateOrProvinceName             = State or Province Name (full name)

+stateOrProvinceName_default     = Baden-Wuerttemberg

+localityName                    = Locality Name (eg, city)

+localityName_default            = Murrhardt

+0.organizationName              = Organization Name (eg, company)

+0.organizationName_default      = schokokeks.org

+

+commonName = Common Name

+commonName_default = *.{$cn}

+");

+  fclose($c);

+

+  $output = '';

+  $cmdline = "openssl req -new -batch -config {$config} -out {$csrfile}";

+  $retval = 0;

+  exec($cmdline, $output, $retval);

+  DEBUG($output);

+  DEBUG($retval);

+  if ($retval != 0)

+  {

+    system_failure("Die Erzeugung des CSR ist fehlgeschlagen. Ausgabe des OpenSSL-Befehls: ".$output);

+  }

+  

+  $csr = file_get_contents($csrfile);

+  $key = file_get_contents($keyfile);

+

+  unlink($csrfile);

+  unlink($keyfile);

+  unlink($config);

+

+  return array($csr, $key);

+}

+

+

+

+function create_csr($cn, $bits)

+{

+  $cn = filter_input_hostname($cn);

+  $bits = (int) $bits;

+  if ($bits == 0)

+    $bits = 4096;

+

+  $keyfile = tempnam(ini_get('upload_tmp_dir'), 'key');

+  $csrfile = tempnam(ini_get('upload_tmp_dir'), 'csr');

+  $config = tempnam(ini_get('upload_tmp_dir'), 'config');

+

+  DEBUG("key: ".$keyfile." / csr: ".$csrfile." / config: ".$config);

+

+  $c = fopen($config, "w");

+  fwrite($c, "[req]

+default_bits = {$bits}

+default_keyfile = {$keyfile}

+encrypt_key = no

+distinguished_name      = req_distinguished_name

+

+[ req_distinguished_name ]

+countryName                     = Country Name (2 letter code)

+countryName_default             = DE

+stateOrProvinceName             = State or Province Name (full name)

+stateOrProvinceName_default     = Baden-Wuerttemberg

+localityName                    = Locality Name (eg, city)

+localityName_default            = Murrhardt

+0.organizationName              = Organization Name (eg, company)

+0.organizationName_default      = schokokeks.org

+

+commonName = Common Name

+commonName_default = {$cn}

+");

+  fclose($c);

+

+  $output = '';

+  $cmdline = "openssl req -new -batch -config {$config} -out {$csrfile}";

+  $retval = 0;

+  exec($cmdline, $output, $retval);

+  DEBUG($output);

+  DEBUG($retval);

+  if ($retval != 0)

+  {

+    system_failure("Die Erzeugung des CSR ist fehlgeschlagen. Ausgabe des OpenSSL-Befehls: ".$output);

+  }

+  

+  $csr = file_get_contents($csrfile);

+  $key = file_get_contents($keyfile);

+

+  unlink($csrfile);

+  unlink($keyfile);

+  unlink($config);

+

+  return array($csr, $key);

+}

+

+

+

+function save_csr($cn, $bits, $wildcard=true)

+{

+  $csr = NULL;

+  $key = NULL;

+  if ($wildcard)

+    list($csr, $key) = create_wildcard_csr($cn, $bits);

+  else

+    list($csr, $key) = create_csr($cn, $bits);

+  

+  $uid = (int) $_SESSION['userinfo']['uid'];

+  $cn = mysql_real_escape_string(filter_input_hostname($cn));

+  $bits = (int) $bits;

+  $csr = mysql_real_escape_string($csr);

+  $key = mysql_real_escape_string($key);

+  db_query("INSERT INTO vhosts.csr (uid, hostname, bits, csr, `key`) VALUES ({$uid}, '{$cn}', {$bits}, '{$csr}', '{$key}')");

+  $id = mysql_insert_id();

+  return $id;  

+}

+

+

@@ -0,0 +1,39 @@

+<?php

+

+require_once("certs.php");

+require_role(ROLE_SYSTEMUSER);

+

+

+$title="Neues Zertifikat erzeugen";

+$section = 'vhosts_certs';

+

+

+output("<h3>Neues Zertifikat (CSR) erzeugen</h3>

+<p>Mit dieser Funktion können Sie ein neues Zertifikat erzeugen lassen. Dabei wird ein so genannter 

+CSR (certifikate signing request) erzeugt. Diesen CSR müssen Sie dann (meistens per Webinterface) an 

+Ihre Zertifizierungsstelle übergeben. Von dort erhalten Sie dann das fertige, unterschriebene 

+Zertifikat zurück.</p>

+

+<p>Um diese Funktion möglichst einfach zu halten, können Sie damit nicht alle Einstellungen

+eines CSR festlegen. Insbesondere die Angabe des Inhabers wurde hier entfernt. CAcert (und andere 

+günstige CAs) würde diese Zusatzinformationen sowieso aus dem Zertifikat entfernen. Für eigene 

+Einstellungen stehen Ihnen die OpenSSL-Programme in Ihrem Benutzeraccount zur Verfügung.</p>

+

+<p>Bei Eingabe einer Domain (»domain.de«) ohne Subdomain (also nicht »www.domain.de«) wird ein

+<strong>Catch-All-Zertifikat</strong> erstellt, das für sämtliche Subdomains genutzt werden kann. Manche kommerziellen

+Zertifikats-Anbieter akzeptieren keine solchen Zertifikate in den günstigen Tarifen.</p>

+");

+

+$bitselect = array(1024 => 1024, 2048 => 2048, 4096 => 4096);

+

+$form = '<p><label for="commonname">Domain-/Hostname:</label> <input type="text" name="commonname" id="commonname" /></p>

+<p><label for="bitlength">Bitlänge:</label> '.html_select('bitlength', $bitselect, 4096).'</p>

+<p><input type="submit" value="Erzeugen" /></p>';

+

+output(html_form('vhosts_csr', 'savecert', 'action=newcsr', $form));

+

+

+

+

+

+

@@ -10,6 +10,12 @@ if ($_GET['action'] == 'new')

   check_form_token('vhosts_certs_new');

   $cert = $_POST['cert'];

   $key = $_POST['key'];

+  if (! isset($_POST['key']) && isset($_REQUEST['csr']))

+  {

+    $csr = csr_details($_REQUEST['csr']);

+    $key = $csr['key'];

+  }

+

   if (! $cert or ! $key)

     system_failure('Es muss ein Zertifikat und der dazu passende private Schlüssel eingetragen werden');

@@ -19,6 +25,8 @@ if ($_GET['action'] == 'new')

     case CERT_OK:

       $certinfo = parse_cert_details($cert);

       save_cert($certinfo, $cert, $key, $cabundle);

+      if (isset($_REQUEST['csr']))

+        delete_csr($_REQUEST['csr']);

       header('Location: certs');

       die();

       break;

@@ -30,6 +38,8 @@ if ($_GET['action'] == 'new')

       $certinfo = parse_cert_details($cert);

       save_cert($certinfo, $cert, $key, $cabundle);

       output('<p>'.internal_link('certs', 'Zurück zur Übersicht').'</p>');

+      if (isset($_REQUEST['csr']))

+        delete_csr($_REQUEST['csr']);

       break;

   }

@@ -54,6 +64,37 @@ elseif ($_GET['action'] == 'delete')

     die();

   }

 }

+elseif ($_GET['action'] == 'deletecsr')

+{

+  $csr = csr_details($_GET['id']);

+  $sure = user_is_sure();

+  if ($sure === NULL)

+  {

+    are_you_sure("action=deletecsr&id={$csr['id']}", "Soll der CSR für »{$csr['hostname']}« ({$csr['bits']} Bits, erstellt am {$csr['created']}) wirklich entfernt werden?");

+  }

+  elseif ($sure === false)

+  {

+    header('Location: certs');

+    die();

+  }

+  elseif ($sure === true)

+  { 

+    delete_csr($csr['id']);

+    header('Location: certs');

+    die();

+  }

+}

+elseif ($_GET['action'] == 'newcsr')

+{

+  $cn = $_POST['commonname'];

+  $bitlength = $_POST['bitlength'];

+  

+  $wildcard = ! (count(explode('.', $cn)) > 2);

+  $id = save_csr($cn, $bitlength, $wildcard);

+

+  header("Location: showcert?mode=csr&id={$id}");

+  die();

+}

 else

 {

   system_failure('not implemented');

@@ -0,0 +1,96 @@

+<?php

+

+require_once('certs.php');

+require_role(ROLE_SYSTEMUSER);

+

+$mode = 'cert';

+if ($_REQUEST['mode'] == 'csr')

+  $mode = 'csr';

+

+

+$section = 'vhosts_certs';

+

+

+if ($mode == 'csr')

+{

+  $data = csr_details($_REQUEST['id']);

+  $cert = $data['csr'];

+  $key = $data['key'];

+

+

+  $title = 'CSR anzeigen';

+  output("<h3>CSR anzeigen</h3>

+  <p>Untenstehend sehen Sie Ihren automatisch erzeugten CSR (»certificate signing request«) und evtl.

+  den dazu gehörigen privaten Schlüssel. Sofern Sie den privaten Schlüssel auf Ihrer Festplatte 

+  speichern, stellen Sie bitte sicher, dass dieser vor unbefugtem Zugriff geschützt ist. Der

+  private Schlüssel ist selbst <strong>nicht verschlüsselt</strong> und nicht mit einem 

+  Passwort geschützt.</p>");

+

+  output("<h4>CSR</h4>

+  <pre>

+{$cert}

+</pre>");

+  

+  if ($_REQUEST['private'] == 'yes')

+  {

+    output("<h4>privater Schlüssel</h4>

+<pre>

+{$key}

+</pre>");

+  }

+  else

+  {

+    output('<p>'.internal_link('', 'privaten Schlüssel auch anzeigen', "mode={$_REQUEST['mode']}&id={$_REQUEST['id']}&private=yes").'</p>');

+  }

+

+

+  output('<p>'.internal_link('certfromcsr', 'Unterschriebenes Zertifikat eingeben', "id={$_REQUEST['id']}").'</p>');

+

+

+}

+else

+{

+  $data = cert_details($_REQUEST['id']);

+  $cert = $data['cert'];

+  $key = $data['key'];

+

+  $title = 'Zertifikat anzeigen';

+  output("<h3>Zertifikat anzeigen</h3>

+  <p>Untenstehend sehen Sie Ihr SSL-Zertifikat und evtl. den dazu gehörigen privaten 

+  Schlüssel. Sofern Sie den privaten Schlüssel auf Ihrer Festplatte speichern, stellen 

+  Sie bitte sicher, dass dieser vor unbefugtem Zugriff geschützt ist. Der private 

+  Schlüssel ist selbst <strong>nicht verschlüsselt</strong> und nicht mit einem 

+  Passwort geschützt.</p>");

+

+  output("<h4>Zertifikat</h4>

+  <pre>

+{$cert}

+</pre>");

+  

+  if ($_REQUEST['private'] == 'yes')

+  {

+    output("<h4>privater Schlüssel</h4>

+<pre>

+{$key}

+</pre>");

+  }

+  else

+  {

+    output('<p>'.internal_link('', 'privaten Schlüssel auch anzeigen', "mode={$_REQUEST['mode']}&id={$_REQUEST['id']}&private=yes").'</p>');

+  }

+

+

+

+

+}

+

+

+

+

+

+

+

+

+

+

+