4SA313 cvičení Ing. Pavlíčka

Zimní semestr 2026/27

Budou též nadstandardní úkoly, za jejichž splnění získají studenti body navíc.

Ještě si dovolím připomenout dva termíny z přednášek

• adminer - stáhnout z https://www.adminer.org, URL aplikace https://bisxxx.vse.cz/adminer/
• ldap-account-manager - balíček pro Debian,
• adminer dostupný ze školní sítě (146.102.0.0/16) a případně z vybraných IP adres (z domova, …),
• dostupné pouze přes doménové jméno a https, tj. při testování z 4bis.vse.cz následující příkazy nevrátí aplikaci, ale buď odmítnou spojení (kód 4xx či 5xx), nebo přesměrují na https://bisxxx.vse.cz/adminer/ (příkazy jsou pro adminer, pro LAM obdobně)
  • curl http://bisxxx.vse.cz/adminer/ např. curl http://bis049.vse.cz/adminer/
  • curl http://146.102.54.xxx/adminer/ např. curl http://146.102.54.49/adminer/
  • curl --insecure https://146.102.54.xxx/adminer/ např. curl --insecure https://146.102.54.49/adminer/
• úvodní stránka a lam (https://bisxxx.vse.cz/lam/) - na https://securityheaders.com/ hodnocení B a lepší
• úvodní stránka a lam (https://bisxxx.vse.cz/lam/) - na https://observatory.mozilla.org/ hodnocení B a lepší
• budete doplňovat bezpečnostní hlavičky - zjistěte si, proti jakým útokům chrání,

Doporučený postup:

1. vytvořte samostatný DocumentRoot pro adm-bisxxx.vse.cz, např. mkdir /var/www/adm-bis081
2. do tohoto adresáře umístěte ukázkový index.html (např. informací, že se jedná o adm-bis081.vse.cz)
3. do tohoto adresáře přesuňte adresář s aplikací adminer (mv /var/www/html/adminer /var/www/adm-bis081)
4. požádejte o certifikát pro doménové jméno adm-bisxxx.vse.cz, tj. příkaz certbot --domains adm-bis081.vse.cz, neupravujte konfigurační soubory,
5. v /etc/apache2/sites-available zkopírujte 000-default-le-ssl.conf do adm-bisxxx.conf (cp 000-default-le-ssl.conf adm-bis081.conf),
6. v tomto novém konfiguračním souboru je potřeba změnit ServerName a cesty k certifikátům a i další (např. adresář pro adminer),
7. v původním 000-default-le-ssl.conf je potřeba zrušit adminer a LAM (a případně i sks)
8. v 000-default.conf je potřeba nastavit přesměrování na HTTPS pro adm-bisxxx.vse.cz; buď použijete regulární výraz nebo dvakrát RewriteCond s operátorem OR; popis viz https://www.jakpsatweb.cz/server/mod-rewrite.html; na 4bis.vse.cz je obecnější zápis, kdy nemusím při doplnění jména upravovat 000-default.conf
9. nastavit použití nové site - a2ensite adm-bis081.conf
10. a nyní již zkontrolovat úpravy (apachectl configtest), restartovat apache (systemctl restart apache2) a otestovat

Doporučuji následující postup pro vytváření hlavičky Content-Security-Policy:

• nejdříve potřebujete mít nainstalovaný LDAP server a dokonfigurovat aplikaci,
• přečtěte si základní informace o hlavičce Content-Security-Policy, např. Content Security Policy (CSP) od Mozilla či článek Bezpečnější web s hlavičkou Content-Security-Policy
• CSP definuje mnoho pravidel, některé jsou bezpečné (např. upgrade-insecure-requests), některé nahrazují starší direktivy (frame-ancestors),
• hlavním cílem je ochrana proti Cross-Site Scripting (XSS) - tato pravidla je potřeba odladit. Nejvhodnější je nastavit doporučený bezpečný standard a poté zkoušet, zda něco nepřestalo fungovat. V prohlížeči použijte Nástroje pro vývojáře v nich si zobrazit konzoli (console).
• některé aplikace generují CSP hlavičku sami, není vhodné je přepisovat (apache, u Header se podívejte na parametr setifempty). Nepřepisujte CSP pravidla pro aplikace jako adminer či LAM,

Zde jsou návrhy rozšiřujících úloh k semestrální práci. Některé návrhy se mohou vzájemně vylučovat, některé návrhy lze realizovat pouze u některých aplikací.

Nadstandardní úkoly s použitím AI agenta - podmínky:

• úpravy/zjišťování dělá jeden či více AI agentů. Tj. ne že v chatu Vám poradí příkazy a Vy je sami provedete.
• přihlásíte se k použití AI agenta předem přes příslušný rozpis témat v InSIS.
• vytvoříte a odevzdáte protokol, který bude obsahovat:
  • základní informace,
  • jaké nástroje jste použili (která LLM, které agenty, co je potřeba si nainstalovat, aby bylo možné zopakovat to co jste dělali),
  • výsledky - co agenti zvládli sami, co ne či jen částečně; náklady (kolik to zabralo času, počet kreditů …)
  • protokol (očekávám, že použijete agenty, kteří logují/auditují průběh). Můžete mít více protokolů - různí agenti, různá LLM, rozdělení na více časových oken, ..

—

Různé služby pro testování webů/serverů/domén:

https://webbkoll.dataskydd.net/en/

https://observatory.mozilla.org/

https://internet.nl

https://cryptcheck.fr/

https://www.hardenize.com/

AbuseIPDB is an IP address blacklist for webmasters and sysadmins to report IP addresses engaging in abusive behavior on their networks: