CzADSB-Mapa - Historie editací

Tydyt: /* Lighttpd */

2026-02-19T17:00:38Z

‎Lighttpd

Tydyt: /* Autorizace */

2026-02-15T12:06:03Z

‎Autorizace

Tydyt: /* sso_auth.lua */

2026-02-15T12:00:58Z

‎sso_auth.lua

Tydyt: /* debug-file.lua */

2026-02-15T11:54:49Z

‎debug-file.lua

Tydyt: /* debug-log.lua */

2026-02-15T11:53:54Z

‎debug-log.lua

Tydyt: /* Autorizace */

2026-02-15T11:51:59Z

‎Autorizace

Tydyt: /* Lighttpd */

2026-02-14T22:20:03Z

‎Lighttpd

Tydyt: /* Nastaveni Tar1090 */

2026-02-14T21:46:01Z

‎Nastaveni Tar1090

Tydyt: /* Nastaveni Tar1090 */

2026-02-14T21:45:17Z

‎Nastaveni Tar1090

Tydyt: /* Autorizace */

2026-02-12T16:40:26Z

‎Autorizace

@@ Řádka 15: / Řádka 15: @@
   # prvne nainstalujeme WebServer. Doporu4uje se nginx, nebo lighttpd
   sudo apt install -y lighttpd
   sudo apt install -y lighttpd-modules-lua lua-luaossl

@@ Řádka 77: / Řádka 77: @@
 == Autorizace ==
-Za účelem přihlášení a přesměrování při neplatnem přihlášení vztvoříme skript:
+Za účelem přihlášení a přesměrování při neplatném přihlášení použijeme LUA skript. Ten máme uložen v sekci LUA. Pro jeho vlastni aktivaci pak musíme upravit předpis pro tar1090 kde přidáme:
-  auth    required    pam_exec.so expose_authtok /usr/local/bin/lighttpd_auth.sh
+  sudo mcedit /etc/lighttpd/conf-available/88-tar1090.conf
+  server.modules += ( "mod_magnet" )
-  if [ "$RESPONSE" == "OK" ]; then
+  # --- Presmerovani a overeni Cookie a opravneneho pristupu
-      exit 0
+ $HTTP["url"] =~ "^/tar1090/.*\.(php|html)$|/$" {
- else
+      magnet.attract-raw-url-to = ( "/etc/lighttpd/lua/sso_auth.lua" )
-     exit 1
 == LUA ==
 Jde o velmi ořezaný skript jazyk uřečeny pro web servery ke zpracování, vyhodnocení nasměrovaní URL požadavků. Proto ani neumí pak zpracovat POST požadavky. U GET požadavku se musí pak dotaz parsovat jako celek. To ale nevadí pro zpracování cookie, IP adres a podobně. Přikládám pár užitečných pomocných skriptu.

← Starší verze		Verze z 15. 2. 2026, 12:00
Řádka 185:		Řádka 185:

	=== sso_auth.lua ===		=== sso_auth.lua ===
		+
		+	-- Konfigurace
		+	local secret = "vase_velmi_tajne_heslo_123456"
		+	local login_url = "https://user.czadsb.cz/index.php?page=login&return=mapy&mapa=tar"
		+	local cookie_name = "czadsb_sso"
		+
		+	-- Lokalni IP (whitelist)
		+	local trusted_ips = {
		+	["127.0.0.1"] = true,
		+	["::1"] = true,
		+	["10.129.99.145"] = true,
		+	}
		+
		+	-- Opustit statiku (bleskove)
		+	local uri = lighty.env["uri.path"] or ""
		+	if uri:match("%.%w%w%w?$") and not uri:match("%.php") and not uri:match("%.html") then
		+	return 0
		+	end
		+
		+	-- Zjisteni IP adresy a opustit pokud je v whitelist IP (bleskove)
		+	local final_ip = lighty.request["X-Forwarded-For"] or lighty.env["request.remote-ip"] or lighty.env["remote_addr"]
		+	if final_ip then
		+	final_ip = final_ip:match("([^, ]+)")
		+	if trusted_ips[final_ip] then return 0 end
		+	end
		+
		+	-- Funkce pro logovani
		+	local function debug_log(msg)
		+	print("[SSO-DEBUG] " .. tostring(msg))
		+	end
		+
		+	-- Funkce pro Base64 dekodovani
		+	local function base64_decode(data)
		+	local b = 'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/'
		+	data = string.gsub(data, '[^'..b..'=]', '')
		+	return (data:gsub('.', function(x)
		+	if (x == '=') then return '' end
		+	local r,f='',(b:find(x)-1)
		+	for i=6,1,-1 do r=r..(f%2^i-f%2^(i-1)>0 and '1' or '0') end
		+	return r;
		+	end):gsub('%d%d%d%d%d%d%d%d', function(x)
		+	local r=0
		+	for i=1,8 do r=r+(x:sub(i,i)=='1' and 2^(8-i) or 0) end
		+	return string.char(r)
		+	end))
		+	end
		+
		+	-- Funkce pro URL dekodovani
		+	local function url_decode(str)
		+	str = string.gsub(str, "+", " ")
		+	str = string.gsub(str, "%%(%x%x)", function(h) return string.char(tonumber(h, 16)) end)
		+	return str
		+	end
		+
		+	-- Nacteni HMAC knihovny (lua-ossl)
		+	local status_hmac, openssl_hmac = pcall(require, "openssl.hmac")
		+	if not status_hmac then
		+	debug_log("CHYBA: Knihovna openssl.hmac nenalezena!")
		+	return 500
		+	end
		+
		+	-- Nacteni a zpracovani Cookie
		+	local cookie_header = lighty.request["Cookie"] or lighty.request["cookie"]
		+
		+	if cookie_header then
		+	local sso_cookie_raw = cookie_header:match(cookie_name .. "=([^;]+)")
		+
		+	if sso_cookie_raw then
		+	local sso_cookie = url_decode(sso_cookie_raw)
		+	local status_b64, decoded = pcall(base64_decode, sso_cookie)
		+
		+	if status_b64 and decoded then
		+	local sep_pos = decoded:find("\|\|")
		+	if sep_pos then
		+	local payload = decoded:sub(1, sep_pos - 1)
		+	local signature_raw = decoded:sub(sep_pos + 2)
		+
		+	-- RESENI: SHA256 HEX ma vzdy 64 znaku. Orizneme pripadne nuly z dekoderu.
		+	local signature = signature_raw:sub(1, 64)
		+
		+	-- HMAC SHA256 vypocet
		+	local h = openssl_hmac.new(secret, "SHA256")
		+	h:update(payload)
		+	local bin_sig = h:final()
		+
		+	local hex_sig = ""
		+	for i = 1, #bin_sig do
		+	hex_sig = hex_sig .. string.format("%02x", string.byte(bin_sig, i))
		+	end
		+
		+	if hex_sig == signature then
		+	-- Rozdeleni payloadu (user_id\|username\|time)
		+	local parts = {}
		+	for part in (payload .. "\|"):gmatch("([^\|]*)\|") do
		+	table.insert(parts, part)
		+	end
		+
		+	local u_time = tonumber(parts[3])
		+	if u_time then
		+	local diff = os.time() - u_time
		+	if diff >= 0 and diff < 7200 then
		+	-- debug_log("Autentizace OK pro: " .. tostring(parts[2]))
		+	return 0
		+	else
		+	debug_log("Cookie vyprsela, rozdil: " .. diff)
		+	end
		+	end
		+	else
		+	debug_log("Podpis nesouhlasi! (" .. final_ip .. ")")
		+	debug_log("Vypocteno: " .. hex_sig)
		+	debug_log("Prijato (upraveno): " .. signature)
		+	debug_log("Prijato (raw): " .. signature_raw)
		+	end
		+	end
		+	end
		+	end
		+	end
		+
		+	-- Pridani hlavicek proti cachovani pro jistotu
		+	lighty.header["Cache-Control"] = "no-cache, no-store, must-revalidate"
		+	lighty.header["Connection"] = "close"
		+	lighty.header["Pragma"] = "no-cache"
		+	lighty.header["Expires"] = "0"
		+
		+	-- Pokud nic neproslo, presmerujeme
		+	debug_log("Pristup odmitnut, presmerovani (" .. final_ip .. " \| " .. uri .. ").")
		+	lighty.header["Location"] = login_url
		+	return 302

← Starší verze		Verze z 15. 2. 2026, 11:54
Řádka 164:		Řádka 164:

	=== debug-file.lua ===		=== debug-file.lua ===
		+
		+	local ts = os.date("%Y%m%d-%H%M%S")
		+	local fname = "/tmp/magnet_env-" .. ts .. ".log"
		+
		+	local f = io.open(fname, "w")
		+	if f then
		+
		+	for k, v in pairs(lighty.env) do
		+	f:write("env: " .. k .. "=" .. tostring(v) .. "\n")
		+	end
		+
		+	forr k, v in pairs(lighty.request) do
		+	f:write("request: " .. k .. "=" .. tostring(v) .. "\n")
		+	end
		+
		+	f:close()
		+	end
		+
		+	return lighty.RESTART_REQUEST
		+
	=== sso_auth.lua ===		=== sso_auth.lua ===

@@ Řádka 135: / Řádka 135: @@
 Jde o velmi ořezaný skript jazyk uřečeny pro web servery ke zpracování, vyhodnocení nasměrovaní URL požadavků. Proto ani neumí pak zpracovat POST požadavky. U GET požadavku se musí pak dotaz parsovat jako celek. To ale nevadí pro zpracování cookie, IP adres a podobně. Přikládám pár užitečných pomocných skriptu.
 === debug-log.lua ===
 === debug-file.lua ===
 === sso_auth.lua ===

← Starší verze		Verze z 15. 2. 2026, 11:51
Řádka 132:		Řádka 132:
	</html>		</html>
	Následně upravíme konfiguraci pro lighttpd a tar1090:		Následně upravíme konfiguraci pro lighttpd a tar1090:
		+	== LUA ==
		+	Jde o velmi ořezaný skript jazyk uřečeny pro web servery ke zpracování, vyhodnocení nasměrovaní URL požadavků. Proto ani neumí pak zpracovat POST požadavky. U GET požadavku se musí pak dotaz parsovat jako celek. To ale nevadí pro zpracování cookie, IP adres a podobně. Přikládám pár užitečných pomocných skriptu.
		+	=== debug-log.lua ===
		+	=== debug-file.lua ===
		+	=== sso_auth.lua ===

@@ Řádka 16: / Řádka 16: @@
   sudo apt install -y lighttpd
   sudo apt install -y lighttpd-mod-authn-pam
 === Nginx ===

@@ Řádka 70: / Řádka 70: @@
 === Nastaveni Tar1090 ===
   sudo sed -i "s/\/\/PlaneCountInTitle = false.*/PlaneCountInTitle = true;/g" /usr/local/share/tar1090/html/config.js
   sudo sed -i "/^\/\/shareBaseUrl = 'https:\/\/adsb\.lol\/'[^;]*/i shareBaseUrl = 'https://aircrafts.rxw.cz/'" /usr/local/share/tar1090/html/config.js

@@ Řádka 71: / Řádka 71: @@
 == Autorizace ==
 Za účelem přihlášení a přesměrování při neplatnem přihlášení vztvoříme skript:
   sudo mcedit /usr/local/bin/lighttpd_auth.sh
   #!/bin/bash
-  # 1. Načtení vstupu od Lighttpd (stdin)
+  # PAM předává jméno v proměnné prostředí $PAM_USER
-  # Lighttpd posílá jméno na prvním řádku a heslo (v našem případě token) na druhém
+  # Heslo (token) čteme ze standardního vstupu
   read -r TOKEN
-  # 2. Získání reálné IP adresy klienta
+  USERNAME="$PAM_USER"
-  # Protože je server za proxy, musíme zkontrolovat X-Forwarded-For.
-  # Pokud existuje, vezmeme první IP v seznamu. Pokud ne, použijeme REMOTE_ADDR.
+  # Zjištění IP adresy (zůstává stejné)
   if [ -n "$HTTP_X_FORWARDED_FOR" ]; then
       CLIENT_IP=$(echo "$HTTP_X_FORWARDED_FOR" | cut -d',' -f1 | tr -d ' ')
   else
@@ Řádka 90: / Řádka 94: @@
   fi
-  # 3. Odeslání dotazu na centrální portál metodou POST
+  # Dotaz na váš PHP portál
   RESPONSE=$(curl -s --max-time 5 -X POST \
       -d "username=$USERNAME" \
@@ Řádka 99: / Řádka 101: @@
       "https://user.czadsb.cz/service/autentizace.php")
   if [ "$RESPONSE" == "OK" ]; then
       exit 0
   else
       exit 1
   fi
-  sudo mcedit /var/www/html/redirect_login.html
   <!DOCTYPE html>