Browse code

Login via Client-Zertifikat (userinterface)

git-svn-id: https://svn.schokokeks.org/repos/tools/webinterface/trunk@1291 87cf0b9e-d624-0410-a070-f6ee81989793

bernd authored on05/03/2009 11:13:27
Showing5 changed files
... ...
@@ -14,11 +14,15 @@ require_once('inc/debug.php');
14 14
 require_once('inc/error.php');
15 15
 
16 16
 
17
+function prepare_cert($cert)
18
+{
19
+	return str_replace(array('-----BEGIN CERTIFICATE-----', '-----END CERTIFICATE-----', ' ', "\n"), array(), $cert);
20
+}
17 21
 
18 22
 
19 23
 function get_logins_by_cert($cert) 
20 24
 {
21
-	$cert = mysql_real_escape_string(str_replace(array('-----BEGIN CERTIFICATE-----', '-----END CERTIFICATE-----', ' ', "\n"), array(), $cert));
25
+	$cert = mysql_real_escape_string(prepare_cert($cert));
22 26
 	$query = "SELECT type,username,startpage FROM system.clientcert WHERE cert='{$cert}'";
23 27
 	$result = db_query($query);
24 28
 	if (mysql_num_rows($result) < 1)
... ...
@@ -32,8 +36,25 @@ function get_logins_by_cert($cert)
32 36
 	}
33 37
 }
34 38
 
39
+DEBUG($_ENV);
35 40
 
36
-if (isset($_REQUEST['type']) && isset($_REQUEST['username'])) {
41
+if ($_SESSION['role'] != ROLE_ANONYMOUS && isset($_REQUEST['record']) && isset($_REQUEST['backto']))
42
+{
43
+  DEBUG('recording client-cert');
44
+  if (isset($_ENV['REDIRECT_SSL_CLIENT_CERT']))
45
+  {
46
+    $_SESSION['clientcert_cert'] = prepare_cert($_ENV['REDIRECT_SSL_CLIENT_CERT']);
47
+    $_SESSION['clientcert_dn'] = $_ENV['REDIRECT_SSL_CLIENT_S_DN'];
48
+    $_SESSION['clientcert_issuer'] = $_ENV['REDIRECT_SSL_CLIENT_I_DN'];
49
+    header('Location: '.$_REQUEST['backto']);
50
+    die();
51
+  }
52
+  else
53
+  {
54
+    system_failure('Ihr Browser hat kein Client-Zertifikat gesendet');
55
+  }
56
+}
57
+elseif (isset($_REQUEST['type']) && isset($_REQUEST['username'])) {
37 58
   if (!isset($_ENV['REDIRECT_SSL_CLIENT_CERT'])) 
38 59
     system_failure('Ihr Browser hat kein Client-Zertifikat gesendet');
39 60
 
40 61
new file mode 100644
... ...
@@ -0,0 +1,60 @@
1
+<?php
2
+
3
+require_once('inc/base.php');
4
+require_once('x509.php');
5
+
6
+require_role(ROLE_SYSTEMUSER);
7
+
8
+$title = "Client-Zertifikate";
9
+output('<h3>Anmeldung über Client-Zertifikat</h3>
10
+
11
+<p>Sie können Sie an diesem Webinterface wahlweise auch über ein SSL-Client-Zertifikat anmelden. Dazu muss das gewünschte Zertifikat <em>vorher</em> in Ihrem Browser installiert werden und kann dann hier hinzugefügt werden.</p>
12
+<p>Wenn Sie ein Zertifikat mit der entsprechenden Funktion unten auf dieser Seite hinzufügen, wird Sie Ihr Browser fragen, welches Zertifikat verwendet werden soll. Sollte Ihr Browser nicht fragen, ist entweder kein Zertifikat im Browser installiert oder Sie haben Ihren Browser auf <em>Niemals fragen</em> (o.Ä. eingestellt.</p>
13
+');
14
+
15
+
16
+
17
+if (isset($_GET['clear']))
18
+{
19
+  unset($_SESSION['clientcert_cert']);
20
+  unset($_SESSION['clientcert_dn']);
21
+  unset($_SESSION['clientcert_issuer']);
22
+}
23
+
24
+if (isset($_SESSION['clientcert_cert']))
25
+{
26
+  // FIXME: Es gibt keine Duplikaterkennung.
27
+  global $config;
28
+  global $menu;
29
+  output('<div style="margin: 1em; padding: 1em; border: 2px solid green;">');
30
+  output('<p>Es wurde folgendes Client-Zertifikat von Ihrem Browser gesendet:</p>
31
+<div style="margin-left: 2em;"><strong>DN:</strong> '.filter_input_general($_SESSION['clientcert_dn']).'<br />
32
+<strong>Aussteller-DN:</strong> '.filter_input_general($_SESSION['clientcert_issuer']).'</div>
33
+<p>Soll dieses Zertifikat für den Zugang zum Benutzerkonto <strong>'.$_SESSION['userinfo']['username'].'</strong> verwendet werden?</p>');
34
+  output(html_form('clientcert_add', 'certsave.php', 'action=new', '<p><input type="submit" name="submit" value="Ja, dieses Zertifikat einrichten" /> &#160; '.internal_link('cert', 'Nein', 'clear').'</p>'));
35
+  output('</div>');
36
+}
37
+
38
+
39
+$certs = get_certs_by_username($_SESSION['userinfo']['username']);
40
+if ($certs != NULL) {
41
+  output('<p>Sie haben bereits Zertifikate für den Zugang eingerichtet.</p>
42
+  <ul>');
43
+  foreach ($certs AS $cert) {
44
+   	output('<li>'.$cert['dn'].'<br /><em>ausgestellt von </em>'.$cert['issuer']);
45
+    output('<br />'.internal_link('certsave', 'Dieses Zertifikat löschen', 'action=delete&id='.$cert['id']));
46
+    output('</li>');
47
+  }
48
+  output('</ul>');
49
+}
50
+else
51
+{
52
+  output('<p><em>Bisher sind keine Zertifikate für Ihren Zugang eingerichtet</em>');
53
+}
54
+
55
+$backurl = str_replace('?clear', '', $_SERVER['REQUEST_URI']);
56
+
57
+output('<p>'.internal_link('../../certlogin/index.php', 'Neues Client-Zertifikat hinzufügen', 'record&backto='.$backurl).'</p>');
58
+
59
+
60
+
0 61
new file mode 100644
... ...
@@ -0,0 +1,49 @@
1
+<?php
2
+require_once('session/start.php');
3
+require_once('x509.php');
4
+
5
+require_role(ROLE_SYSTEMUSER);
6
+
7
+
8
+if ($_GET['action'] == 'new')
9
+{
10
+  check_form_token('clientcert_add');
11
+  if (! isset($_SESSION['clientcert_cert']))
12
+    system_failure('Kein Zertifikat');
13
+  
14
+  add_clientcert($_SESSION['clientcert_cert'], $_SESSION['clientcert_dn'], $_SESSION['clientcert_issuer']);
15
+
16
+  // Räume session auf
17
+  unset($_SESSION['clientcert_cert']);
18
+  unset($_SESSION['clientcert_dn']);
19
+  unset($_SESSION['clientcert_issuer']);
20
+  header('Location: cert');
21
+}
22
+elseif ($_GET['action'] == 'delete')
23
+{
24
+  $cert = get_cert_by_id($_GET['id']);
25
+  if (! $cert)
26
+    system_failure('no ID');
27
+  if ($cert['username'] != $_SESSION['userinfo']['username'])
28
+    system_failure('Das Zertifikat ist nicht für Ihren Zugang eingerichtet');
29
+  $sure = user_is_sure();
30
+  if ($sure === NULL)
31
+  {
32
+    are_you_sure("action=delete&amp;id={$cert['id']}", "Möchten Sie das Zertifikat »{$cert['dn']}« wirklich löschen?");
33
+  }
34
+  elseif ($sure === true)
35
+  {
36
+    delete_clientcert($cert['id']);
37
+    if (! $debugmode)
38
+      header("Location: cert");
39
+  }
40
+  elseif ($sure === false)
41
+  {
42
+    if (! $debugmode)
43
+      header("Location: cert");
44
+  }
45
+}
46
+else
47
+  system_failure('Kein Kommando');
48
+
49
+
0 50
new file mode 100644
... ...
@@ -0,0 +1,83 @@
1
+<?php
2
+
3
+require_once('inc/security.php');
4
+
5
+function get_logins_by_cert($cert) 
6
+{
7
+	$cert = mysql_real_escape_string(str_replace(array('-----BEGIN CERTIFICATE-----', '-----END CERTIFICATE-----', ' ', "\n"), array(), $cert));
8
+	$query = "SELECT type,username,startpage FROM system.clientcert WHERE cert='{$cert}'";
9
+	$result = db_query($query);
10
+	if (mysql_num_rows($result) < 1)
11
+		return NULL;
12
+	else {
13
+		$ret = array();
14
+		while ($row = mysql_fetch_assoc($result)) {
15
+			$ret[] = $row;
16
+		}
17
+		return $ret;
18
+	}
19
+}
20
+
21
+function get_cert_by_id($id) 
22
+{
23
+  $id = (int) $id;
24
+	if ($id == 0)
25
+	  system_failure('no ID');
26
+	$query = "SELECT id,dn,issuer,cert,username,startpage FROM system.clientcert WHERE `id`='{$id}' LIMIT 1";
27
+	$result = db_query($query);
28
+	if (mysql_num_rows($result) < 1)
29
+		return NULL;
30
+	$ret = mysql_fetch_assoc($result);
31
+  DEBUG($ret);
32
+  return $ret;
33
+}
34
+
35
+
36
+function get_certs_by_username($username) 
37
+{
38
+	$username = mysql_real_escape_string($username);
39
+	if ($username == '')
40
+	  system_failure('empty username');
41
+	$query = "SELECT id,dn,issuer,cert,startpage FROM system.clientcert WHERE `username`='{$username}'";
42
+	$result = db_query($query);
43
+	if (mysql_num_rows($result) < 1)
44
+		return NULL;
45
+	while ($row = mysql_fetch_assoc($result)) {
46
+	  $ret[] = $row;
47
+	}
48
+	return $ret;
49
+}
50
+
51
+
52
+function add_clientcert($certdata, $dn, $issuer, $startpage='')
53
+{
54
+  $certdata = mysql_real_escape_string($certdata);
55
+  $dn = maybe_null(mysql_real_escape_string($dn));
56
+  $issuer = maybe_null(mysql_real_escape_string($issuer));
57
+  if ($startpage &&  ! check_path($startpage))
58
+    system_failure('Startseite kaputt');
59
+  $startpage = maybe_null(mysql_real_escape_string($startpage));
60
+  
61
+  $username = mysql_real_escape_string($_SESSION['userinfo']['username']);
62
+  if ($username == '')
63
+    system_failure('Kein Username');
64
+
65
+  if ($certdata == '')
66
+    system_failure('Kein Zertifikat');
67
+  DEBUG($certdata);
68
+  DEBUG($dn);
69
+  DEBUG($issuer);
70
+
71
+  db_query("INSERT INTO system.clientcert (`dn`, `issuer`, `cert`, `type`, `username`, `startpage`) 
72
+VALUES ({$dn}, {$issuer}, '{$certdata}', 'user', '{$username}', {$startpage})");
73
+
74
+}
75
+
76
+
77
+function delete_clientcert($id)
78
+{
79
+  $id = (int) $id;
80
+  $username = mysql_real_escape_string($_SESSION['userinfo']['username']);
81
+  db_query("DELETE FROM system.clientcert WHERE id={$id} AND username='{$username}' LIMIT 1");
82
+}
83
+
... ...
@@ -6,6 +6,8 @@ if ($role == ROLE_ANONYMOUS) {
6 6
   $menu["index_login"] = array("label" => "Login", "file" => "index", "weight" => 0);
7 7
   $menu["certlogin"] = array("label" => "Client-Zertifikat", "file" => "certinfo", "weight" => 0);
8 8
 } else {
9
+  if ($role & ROLE_SYSTEMUSER)
10
+    $menu["index_cert"] = array("label" => "Client-Zertifikat", "file" => "cert", "weight" => 0, "submenu" => "index_index");
9 11
   if ($role & (ROLE_SYSTEMUSER | ROLE_CUSTOMER)) {
10 12
     $menu["index_chpass"] = array("label" => "Passwort ändern", "file" => "chpass", "weight" => 98);
11 13
   }