Protocolos de Segurança Profº Jackson Laskoski

Transcrição

1 Centro de Ensino Superior de Chapecó Faculdade Empresarial de Chapecó Pós Graduação - Segurança da Informação Protocolos de Segurança Profº Jackson Laskoski falecom@jack.eti.br

2 Agenda das Aulas: 15 e 16/06/ SSL: Centro de Ensino Superior de Chapecó Faculdade Empresarial de Chapecó Pós Graduação - Segurança da Informação Ativando SSL no Apache WebServer (HTTPS) Criando e usando um Certificado Self-Signed Usando um certificado reconhecido (válido na Internet) 2. Proteção de softwares e servidores: TCP Wrappers 3. Mecanismos de controle de acesso e roteamento: Firewall/NetFilter & UTM Usando o pfsense: Contextualizando: O que é o pfsense? Dimensionamento de um Firewall: Antes de Instalar o pfsense... Instalando o pfsense... Configurações Básicas do pfsense 2; Configurações de Firewall; 4. Constituição de VPNs: Implementando uma VPN Client-to-Site com PPPTP Implementando uma VPN Site-to-Site com IPSec/OpenVPN 5. Avaliação da Disciplina: Desafio Prático

3 Centro de Ensino Superior de Chapecó Faculdade Empresarial de Chapecó Pós Graduação - Segurança da Informação Ativando SSL no Apache WebServer

4 Centro de Ensino Superior de Chapecó Faculdade Empresarial de Chapecó Pós Graduação - Segurança da Informação Ativando SSL no Apache2 (by Debian Linux) # a2enmod ssl # /etc/init.d/apache2 force-reload

5 Centro de Ensino Superior de Chapecó Faculdade Empresarial de Chapecó Pós Graduação - Segurança da Informação Usando um Certificado Self-Signed # apt-get install ssl-cert # mkdir /etc/apache2/ssl/ # cd /etc/apache2/ssl/ # make-ssl-cert /usr/share/ssl-cert/ssleay.cnf apache.pem -days 1095 Em /etc/apache2/ports.conf NameVirtualHost *:80 NameVirtualHost *:443 Em /etc/apache2/sites-available/default <VirtualHost *:443> DocumentRoot /var/www/ ErrorLog /var/log/apache2/error.log CustomLog /var/log/apache2/access.log combined SSLEngine on SSLCertificateFile /etc/apache2/ssl/apache.pem </VirtualHost>

6 Centro de Ensino Superior de Chapecó Faculdade Empresarial de Chapecó Pós Graduação - Segurança da Informação Usando um certificado reconhecido Ao contratar os serviços de uma entidade certificadora, sua parte no trabalho é a de gerar uma chave de encriptação e uma requisição de certificado, o que é novamente feito usando o openssl: # openssl req -new -nodes -keyout site.key -out site.csr O site.key" e o site.csr" indicam os arquivos com a chave e com a requisição do certificado que serão gerados. Você precisará responder as mesmas perguntas sobre o país, estado, cidade, nome da empresa, etc., que precisam ser respondidas corretamente, já que as informações serão examinadas não apenas pela entidade certificadora, mas também pelos clientes: Country Name (2 letter code) [AU]: BR State or Province Name (full name) [Some-State]: SC Locality Name (eg, city) []: Concórdia Organization Name (eg, company) []: Funeraria Va com DEUS LTDA Organizational Unit Name (eg, section) []: Vendas Common Name (eg, YOUR name) []:

7 Centro de Ensino Superior de Chapecó Faculdade Empresarial de Chapecó Pós Graduação - Segurança da Informação Usando um certificado reconhecido Depois de gerar a requisição, o próximo passo é enviar o arquivo.csr para a entidade certificadora, que o usará para gerar o certificado. O arquivo.csr é na verdade um arquivo de texto plano, cujo conteúdo pode ser copiado e colado em um formulário web. Depois de confirmada sua identidade, você receberá de volta o certificado assinado, que pode ser então usado na configuração do Apache. A configuração consiste em adicionar as linhas "SSLCertificateFile" e "SSLCertificateKeyFile", indicando a localização dos arquivos.crt e.key recebidos. Em muitos casos, você receberá também um terceiro arquivo, com extensão "cabundle" ou similar, que é usado em conjunto com uma terceira opção, a "SSLCertificateChainFile. Este terceiro arquivo contém uma combinação de certificados, que permitem aos clientes chegarem até o certificado raiz da entidade certificadora, de forma a comprovarem a autenticidade do seu certificado. Devido a isso, ele é também chamado de certificado intermediário (Intermediate Certificate). Exemplo de configuração do Apache WebServer com as três opções: <VirtualHost *:443> DocumentRoot /var/www/site SSLEngine on SSLCertificateFile /etc/apache2/ssl/ssl_site_com_br.crt SSLCertificateKeyFile /etc/apache2/ssl/site_com_br.key SSLCertificateChainFile /etc/apache2/ssl/ssl_site_com_br.ca-bundle </VirtualHost>

8 Centro de Ensino Superior de Chapecó Faculdade Empresarial de Chapecó Pós Graduação - Segurança da Informação TCP Wrappers

9 Centro de Ensino Superior de Chapecó Faculdade Empresarial de Chapecó Pós Graduação - Segurança da Informação Introdução ao TC Wrappers TCP Wrappers podem ser usados para autorizar ou negar acesso a diversos serviços em seu servidor para redes externas ou outras máquinas na mesma rede. No Linux/Nix, isto é feito usando regras de acesso simples que são incluídas em dois arquivos: /etc/hosts.allow e /etc/hosts.deny. Levemos em conta a seguinte situação: uma máquina remota, remote_client tenta se conectar ao computador local, local_server, usando ssh. Quando a solicitação da máquina remota, remote_client, é recebida pelo serviço ssh, que está sob o controle do software tcpwrappers, são seguidos os seguintes passos: 1. É verificado o arquivo /etc/hosts.allow e aplicada a primeira regra especificada para aquele serviço. Se é encontrada uma regra aplicável, a conexão é autorizada. Se não é encontrada uma regra aplicável, segue-se então para o passo É verificado o arquivo /etc/hosts.deny e se uma regra aplicável for encontrada, a conexão é negada.

10 Centro de Ensino Superior de Chapecó Faculdade Empresarial de Chapecó Pós Graduação - Segurança da Informação Observações Importantes (TC Wrappers): 1. As regras do arquivo hosts.allow possuem precedência sobre as regras contidas no arquivo hosts.deny. Isto significa que se uma regra aplicável é encontrada no arquivo hosts.allow, a máquina remota é autorizada a se conectar ao serviço solicitado mesmo que haja uma regra aplicável negando o acesso no arquivo hosts.deny. 2. Você pode ter apenas uma regra por serviço nos arquivos hosts.allow e hosts.deny. 3. Se não forem encontradas regras aplicáveis em um dos dois arquivos, ou se os arquivos não existirem, o acesso solicitado pela máquina remota é autorizado. 4. Qualquer mudanças feitas nos arquivos hosts.allow ou hosts.deny entram em vigor imediatamente. 5. A última linha dos arquivos hosts.allow e hosts.deny deve ficar em branco (newline). Do contrário, a regra irá falhar.

11 Sintaxe (TC Wrappers): Centro de Ensino Superior de Chapecó Faculdade Empresarial de Chapecó Pós Graduação - Segurança da Informação A sintaxe, tanto para o arquivo hosts.allow quanto hosts.deny possuem o seguinte formato: daemon : cliente [:opção1:opção2:...] daemon pode ser uma combinação dos daemons ssh, ftp, portmap e assim por diante. Basicamente, qualquer serviço que ofereça suporte para a biblioteca libwrap.a incluído em tempo de compilação, é um bom candidato para utilizar os serviços do software tcpwrappers. cliente é uma lista separada por vírgulas de computadores, endereços IP, padrões especiais ou coringas que identifiquem os computadores afetados por aquela regra. opção é uma ação opcional, como por exemplo, enviar ao administrador quando a regra em questão for acionada, ou fazer um registro em um arquivo pré-determinado e assim por diante. Pode ser uma lista de ações, separadas por vírgulas.

12 Coringas (TC Wrappers): Centro de Ensino Superior de Chapecó Faculdade Empresarial de Chapecó Pós Graduação - Segurança da Informação Você pode usar coringas na seção client da regra para classificar amplamente um conjunto de computadores. A seguir, os coringas válidos que podem ser usados: ALL Casa com tudo LOCAL Casa com localhost KNOWN Casa com qualquer host em que seu nome e endereço sejam conhecidos ou em que o usuário é conhecido. UNKNOWN Casa com qualquer host em que o nome ou endereço são desconhecidos ou em que o usuário seja desconhecido. PARANOID Casa com qualquer computador em que o nome não bate com seu endereço.

13 Padrões (TC Wrappers): Centro de Ensino Superior de Chapecó Faculdade Empresarial de Chapecó Pós Graduação - Segurança da Informação ALL :.xyz.com A regra acima casa com todos os computadores pertencentes ao domínio xyz.com. Observe o ponto (".") no começo. ALL : Casa com todos os computadores pertencentes à rede Observe o ponto (".") no fim da regra. ALL : / Endereços IP/máscaras de rede podem ser usadas para criar uma regra. ALL : *.xyz.com O caractere asterisco ("*") pode ser usado para tratar grupos inteiros de computadores ou endereços IP. sshd : /etc/sshd.deny Se a lista de clientes se inicia com uma barra ("/"), ela é tratada como arquivo. Na regra acima, o TCP Wrappers consulta o arquivo sshd.deny para todas as conexões SSH. sshd : ALL EXCEPT Se a regra acima for incluída no arquivo /etc/hosts.deny, serão então permitidas conexões ssh apenas para a máquina com o endereço IP e todas as demais conexões serão bloqueadas. Aqui, a diretiva EXCEPT, é um operador.

14 Comandos e Máscaras (TC Wrappers): spawn Centro de Ensino Superior de Chapecó Faculdade Empresarial de Chapecó Pós Graduação - Segurança da Informação Esta opção lança um comando shell como processo filho. twist Esta é uma opção que substitui o pedido feito com o comando especificado. Máscaras: %a Endereço IP do cliente %A Endereço IP do servidor %c Fornece diversas informações sobre o cliente, como o nome do usuário e o nome do computador, ou o nome do usuário e endereço IP %d Nome do processo daemon %h Nome do computador cliente (ou endereço IP, se o nome do computador não estiver disponível) %H Nome do computador servidor (ou endereço IP, se o nome do computador não estiver disponível) %n Nome do computador cliente. Se não estiver disponível, unknown é impresso. Se o nome do computador cliente ou endereço IP não baterem, é impresso paranoid %N Nome do computador servidor. Se não estiver disponível, unknown é impresso. Se o nome do computador servidor ou endereço IP não baterem, é impresso paranoid %p Identificação do processo %s Diversas informações sobre o servidor, como a identificação do processo do daemon e o nome do servidor ou seu endereço IP %u Nome do cliente. Se não estiver disponível, é impresso unknown

15 Centro de Ensino Superior de Chapecó Faculdade Empresarial de Chapecó Pós Graduação - Segurança da Informação Exemplos de Uso (TC Wrappers): /etc/hosts.deny sshd : : spawn /bin/echo `/bin/date` ACESSO NEGADO PARA %h >> /var/log/ssh.log /etc/hosts.allow sshd:

16 Centro de Ensino Superior de Chapecó Faculdade Empresarial de Chapecó Pós Graduação - Segurança da Informação Mecanismos de controle de acesso e roteamento

17 O que é o pfsense? 1. Software Livre BSD License 3. A influência do m0n0wal 2. Copyright BSD Perimeter 4. Criado em 2004 por Chris Buechler e Scott Ullrich 5. Mais e de 1 milhão de downloads

18 Antes de instalar o pfsense Existem versões 32 e 64bits; 2. Cuidado com a compatibilidade do hardware; 3. Virtualizar pode ser uma boa alternativa. Mas virtualizar não é juntar servidores; 4. Dimensione o hardware e os recursos sempre de acordo com o cenário: Não tente fazer milagres e fuja das gambiarras! 5. Efetue o download da imagem correta; 6. É possível instalar via CD-ROM, USB e PXE; 7. Confira a integridade da imagem utilizada: md5sum /<caminho>/pfsense-2.0-release-i386.iso.gz md5sum -b pfsense-2.0-release-i386.iso.gz 8. Preste atenção no licenciamento do software. Aplique sempre o modelo comercial Open-Source!