Chiffrer certaines données sensibles contenues dans un paquet WAPT¶
Note
Cette partie de la documentation est déconseillée aux utilisateurs qui débutent avec WAPT.
Pour quoi faire ?¶
Dans le fonctionnement de WAPT, l’intégrité du paquet est assurée. Un paquet dont le contenu a été modifié sans avoir été re-signé sera systématiquement refusé par le client WAPT.
En revanche le contenu d’un paquet WAPT n’est pas chiffré et sera lisible de tous. Ce modèle technique de transparence apporte cependant de nombreux bénéfices.
Cela peut être génant dans le cas d’un paquet qui contiendrait un mot de passe, une clé de licence, ou une donnée sensible.
Heureusement nous avons une solution.!!
Principe de fonctionnement du chiffrement d’une partie du contenu d’un paquet WAPT¶
Lorsque qu’un agent WAPT s’enregistre auprès du serveur WAPT, il génère un couple clé privée / certificat public dans C:Program Files (x86)\waptprivate.
Le certificat est envoyé au serveur avec l’inventaire lors de l’enregistrement initial du client WAPT ;
La clé privée est conservée par l’agent et n’est accessible en lecture que par les Administrateurs Locaux ;
Nous allons donc chiffrer la donnée sensible contenue dans le paquet avec le certificat appartenant à la machine.
Lors de l’installation l’agent WAPT pourra ainsi déchiffrer la donnée sensible grâce à sa clé privé.
Avec ce mode de fonctionnement le serveur WAPT et les dépôts secondaires n’ont pas connaissance de la donnée sensible.
Cas pratique¶
Vous trouverez ici un exemple de paquet WAPT ou nous chiffrons un texte dans dans une fonction update_package puis nous déchiffrons ce texte dans la partie install.
Dans cet exemple, la fonction update_package nous permet de parcourir la base de donnée du serveur WAPT pour récupérer le certificat de chaque machine pour ensuite chiffrer le texte sensible avec celui-ci.
Le texte chiffré pour chaque machine est ensuite stocké dans un fichier encrypt-txt.json à la racine du paquet.
Lors de l’installation du paquet, l’agent WAPT prendra le texte chiffré et le déchiffrera avec sa clé privé.
# -*- coding: utf-8 -*-
from setuphelpers import *
import json
from waptcrypto import SSLCertificate
import waptguihelper
uninstallkey = []
def install():
encryptlist = json.loads(open('encrypt-txt.json','r').read())
if WAPT.host_uuid in encryptlist:
host_key = WAPT.get_host_key()
encrypttxt = host_key.decrypt(encryptlist[WAPT.host_uuid].decode('base64')).decode('utf-8')
print( ur'Here is the deciphered text: %s' % encrypttxt)
else:
error('%s not found in encrypt-txt.json' % WAPT.host_uuid)
def update_package():
urlserver = inifile_readstring(makepath(install_location('WAPT_is1'),'wapt-get.ini'),'global','wapt_server').replace('https://','')
encrypttxt = str(raw_input('Enter the text to be encrypted :').encode('utf-8'))
encryptlist = {}
credentials_url = waptguihelper.login_password_dialog('Credentials for wapt server',urlserver,'admin','')
data = json.loads(wgets('https://%s:%s@%s/api/v1/hosts?columns=host_certificate&limit=10000' % (credentials_url['user'],credentials_url['password'],urlserver)))
for value in data['result']:
if value['host_certificate']:
host_cert=SSLCertificate(crt_string=value['host_certificate'])
encryptlist[value['uuid']]=host_cert.encrypt(encrypttxt).encode('base64')
print value['computer_fqdn'] + ':' + value['uuid'] + ':' + encryptlist[value['uuid']]
open('encrypt-txt.json','w').write(json.dumps(encryptlist))
if __name__ == '__main__':
update_package()
Attention
La sortie python (log install du paquet) est accessible en lecture aux utilisateurs de la machine, vous ne devez donc pas afficher le text déchiffré avec un :command:`print` lors de l’installation.