5 o Guião: Comunicação na Internet e firewalls

Transcrição

1 Segurança Informática e nas Organizações o Guião: Comunicação na Internet e firewalls V Introdução Com este trabalho pretende-se estudar os mecanismos de comunicação na Internet, os protocolos mais usados, e o modo como a liberdade total de comunicação pode ser limitada através de firewalls. Neste trabalho deverão ser usadas as máquinas virtuais Linux e Windows XP. 2 Identificação de terminais de comunicação A comunicação entre máquinas ligadas à Internet faz-se ligando portos extremos de comunicação. Estes pontos são identificados de forma diferente, consoante o protocolo de comunicação. Os protocolos normalmente usados pelas aplicações são dois: UDP/IP e TCP/IP, ou, mais simplesmente, UDP e TCP. Em ambos os protocolos, os extremos da comunicação são identificados da mesma forma, muito embora em espaços de identificação diferentes: através de um endereço IP e de um porto de transporte. O endereço IP é um qualquer endereço atribuído a uma interface de rede da máquina onde o extremo de comunicação existe. Caso uma máquina possua mais do que uma placa de rede, o extremo de comunicação pode ser associado a qualquer dos endereços IP atribuídos às interfaces de rede da máquina. O porto de transporte é um número entre 0 e Entre na consola 1 (com Alt-F1) da máquina virtual com Linux e pare o daemon de telnet com o comando sudo /etc/init.d/openbsd-inetd stop Seguidamente execute o comando netstat -atn Este comando lista os terminais TCP activos. Interprete os resultados. Seguidamente active o daemon de telnet com o comando sudo /etc/init.d/openbsd-inetd start 1

2 Execute novamente o comando netstat -atn e interprete os resultados. Os portos podem ser identificados por números ou, alternativamente, por nomes que sejam mais familiares para os utentes. Estes nomes são formas indirectas de indicar números; o mapeamento entre ambos existe num ficheiro da máquina, /etc/services. Execute o comando cat /etc/services e verifique os mapeamentos. Para obter o nome e o porto normalmente associados ao comando telnet, execute o comando grep 23 /etc/services O resultado indica que o nome telnet pode ser usado para identificar o porto 23 do protocolo TCP. Para observar um exemplo prático desta relação nome-número, execute novamente o comando netstat -at e observe a diferença em relação ao que se observa com a opção -n. 3 Circuitos virtuais TCP Os circuitos virtuais TCP são ligações entre extremos TCP que permitem trocar dados de forma confiável e sequêncial (stream). Os circuitos virtuais TCP são usados pela grande maioria das interacções remotas na Internet. Configure as máquinas virtuais do Linux e do Windows XP para usarem as interacções de rede no modo Host Only do VMWare. Na máquina Linux configure a interface de rede (eth1) para usar o endereço IP e a máscara de rede : ifconfig eth netmask Na máquina Windows XP configure a interface de rede para usar o endereço IP e a máscara de rede Na máquina Windows XP inicie uma consola de comandos com a sequência Start execute cmd Nessa consola execute o comando ping Se a ligação de rede com a máquina Linux estiver correctamente configurada, o comando refere a existência de respostas dessa máquina. Caso contrário, a ligação de rede não está correcta. Caso esteja correcta, execute o comando telnet Vá à máquina Linux e na consola execute o comando 2

3 netstat -at Verifique na listagem fornecida que existe uma ligação TCP entre a máquina Windows XP ( ) e a máquina Linux. Ainda na consola Linux execute o comando sudo netstat -atp Obtenha o PID do processo envolvido na ligação TCP com a máquina Windows XP e termine esse processo com o comando sudo kill -9 PID onde PID deverá ser o valor do PID obtido com o comando netstat. Execute novamente o comando sudo netstat -ap e verifique que a ligação TCP com a máquina Windows XP desapareceu com a terminação do processo que detinha o extremo TCP na máquina Linux. 4 Firewalls Os sistemas operativos actuais dispõe normalmente de firewalls para controlar o acesso do exterior à máquina e da máquina ao exterior. Neste trabalho vamos exercitar a configuração de uma firewall na máquina Linux através do comando iptables. 4.1 Negação de interações PING Um PING é uma interação entre máquinas usando o protocolo ICMP. Nesta interacção o cliente, que executa o comando ping, envia para a máquina que pretende saber se está activa uma mensagem ICMP, do tipo Echo Request. A máquina receptora deverá responder Também com uma mensagem ICMP, mas do tipo Echo Reply. Na máquina Linux execute o comando sudo tcpdump Este comando lista as mensagens trocadas via Internet através das diversas interfaces de rede da máquina Linux. Na máquina Windows XP execute novamente o comando ping já antes executado: ping Observe as mensagens trocadas na consola 1 do Linux. Inicie uma sessão na consola 2 (Alt-F2) da máquina Linux. Nessa consola inicie uma sessão como administrador (root) com o comando sudo bash Execute o comando iptables -A INPUT -p icmp --icmp-type echo-request -j DROP 3

4 Este comando configura a firewall local para ignorar as mensagens ICMP Echo Request, usadas num PING. Na máquina Windows XP execute novamente o comando ping e verifique que o mesmo não consegue obter respostas da máquina Linux. Na primeira consola do Linux verifique as mensagens trocadas e verifique que as mensagens ICMP Echo Request chegam à máquina Linux mas não provocam qualquer resposta da mesma. Retire a regra que ignora a recepção dos ICMP Echo Request com o comando iptables -D INPUT -p icmp --icmp-type echo-request -j DROP e verifique na máquina Windows XP que já consegue obter resposta do Linux ao comando ping. Efectue a mesma protecção na máquina Windows XP. Para isso tem de aceder às propriedades avançadas da interface de rede, activar a firewall e configurar o modo como lida com o tráfego ICMP. Impeça a recepção de mensagens ICMP Echo Request e verifique o que acontece quando na máquina Linux executa o comando ping Autorize a recepção, execute novamente o comando anterior e interprete o resultado. 4

5 4.2 Negação de interações TELNET Na consola da máquina Windows XP execute o comando telnet faça login e termine logo de seguida. Observe as mensagens trocadas na consola 1 da máquina Linux. Na consola 2 da máquina Linux (trabalhando como root) execute o comando iptables -A INPUT -p tcp --dport 23 -j DROP Seguidamente execute novamente o comando telnet na máquina Windows XP e verifique o que acontece. Observe igualmente o que aparece na consola 1 da máquina Linux. Interprete os resultados. Na consola 2 da máquina Linux execute os comandos iptables -D INPUT 1 e iptables -A INPUT -p tcp --dport 23 -j REJECT --reject-with tcp-reset Execute novamente o comando telnet na máquina Windows XP e verifique o que acontece. Observe igualmente o que aparece na consola 1 da máquina Linux. Interprete os resultados. 5

6 5 Configuração à medida de uma firewall pessoal Num ambiente de trabalho normal é difícil prever a priori as interacções que é preciso fazer com a Internet e vice-versa. No entanto, importa sempre seguir o paradigma do privilégio mínimo, o que significa que o que não for explicitamente permitido deverá ser negado. Portanto, uma firewall pessoal deverá por omissão barrar todo o tráfego que não for explicitamente permitido (tanto inbound como outbound) e deverá ter regras que autorizem tráfegos permitidos. No entanto, se uma firewall, por omissão, barrar o tráfego sem dar qualquer indicação ao utente, pode-se tornar muito penoso descobrir porque certas aplicações não funcionam, porque nem sempre conhecemos todos os pormenores das suas interacções com a rede. Assim, importa subdividir a negação de autorização em dois cenários diferentes: O tráfego já é conhecido e não interessa. Neste caso, deverá ser explicitamente negado. O tráfego é desconhecido. Neste caso, o utente deverá ser questionado sobre a autorização a conceder. A autorização do tráfego ou a sua negação poderá então ser definida. Este comportamento por omissão permite que as regras de uma firewall, tanto de autorização como de rejeição, sejam definidas e acrescentadas à medida das necessidades. 5.1 Firewall pessoal Tiny Personal Firewall Para exercitar os conceitos anteriormente expostos vamos usar a firewall pessoal Tiny Personal Firewall no sistema Windows XP. O programa está disponível no e-learning (pf2.exe). Antes de instalar a firewall desactive todas as interfaces de rede do Windows XP, bem como as suas firewalls (para evitar a sobreposição de funcionalidades, que pode introduzir confusão). Instale a firewall usando as directorias partilhadas com o sistema hospedeiro. Reinicie o sistema no final da instalação, como sugerido. Abra a aplicação de gestão da firewall, active-a seleccionando a caixa Firewall Enabled e desloque o cursor para a posição intermédia, Ask Me First. Esta posição intermédia é a que irá fornecer o comportamento de interrogação do utente antes apresentado. As outras duas, que pode observar deslocando o cursor para os extremos, são Cut Me Off, que virtualmente desliga a interface de rede, e Don t Bother Me, que usa o paradigma de autorizar tudo o que não for explicitamente negado. Após a instalação da firewall são pré-instaladas algumas regras de filtragem por omissão. Normalmente as mesmas não levantam problemas. Verifique-as seleccionando o botão Advanced... e tente compreendê-las. 6

7 Seguidamente, configure a máquina virtual do Windows XP para usar interacções de rede no modo NAT, configure o TCP/IP da interface de rede do Windows XP para usar configuração automática via DHCP e active a interface. 5.2 Protocolo DHCP Após a activação da interface, a firewall irá detectar a execução do protocolo DHCP. Obtenha via google os aspectos característicos do DHCP (protocolos de transporte, portos de transporte, endereços de rede) e responda da forma apropriada às questões colocadas pela firewall. Note que não se pretende que um utente responda cegamente sim ou não, autoriza ou nega o tráfego; pelo contrário, a decisão a tomar deverá ser o mais informada possível, de forma a evitar uma configuração defeituosa da firewall. Após a conclusão do protocolo DHCP o sistema Windows XP irá tentar estabelecer contacto com outras máquinas na rede através do protocolo Net- BIOS, nomeadamente tentar descobrir serviços na rede. Deverá configurar a firewall para impedir permanentemente tais interacções. 5.3 Protocolo DNS Após a conclusão do protocolo DHCP execute o navegador Internet Explorer e configure as ligações à Internet do mesmo. Para isso seleccione na aplicação Tools Internet options Connections LAN Settings..., seleccione a caixa Use automatic configuration script e preencha o campo Address com o endereço Feita esta configuração, aceda ao google via Para o fazer, o navegador irá ter primeiro que resolver o nome proxy.ua.pt, para obter a configuração do proxy HTTP, o que implica um acesso ao servidor DNS (Domain Name Service) local. Obtenha via google os aspectos característicos do DNS (protocolos de transporte, portos de transporte, endereços de rede) e verifique porque razão a firewall não faz qualquer questão relativa à resolução de nomes DNS. 5.4 Protocolo HTTP Uma vez feita a configuração do DNS, o navegador já poderá obter o endereço IP do proxy HTTP e aceder ao mesmo para configurar o seu acesso à rede. Essa configuração faz-se através do protocolo HTTP, porque foi assim que se indicou na configuração do navegador. Obtenha via google os aspectos característicos do HTTP (protocolos de transporte, portos de transporte, endereços de rede) e responda da forma apropriada às questões colocadas pela firewall. Verifique também através do google os aspectos característicos do acesso a proxies HTTP (protocolos de transporte, portos de transporte, 7

8 endereços de rede) e configure a firewall para permitir aceder ao proxy da UA. Navegue um pouco na Internet através do google. Verifique que não precisa de efectuar mais nenhuma configuração na firewall. Explique porquê. Aceda agora a algumas páginas da UA ( elearning.ua.pt, paco.ua.pt, etc.). Verifique que neste caso volta a ser necessário configurar a firewall para conseguir aceder a estas páginas. Explique porquê. Em função da explicação antes encontrada, configure as regras da firewall de modo a facilitar a navegação via HTTP. Para aceder às regras seleccione com o botão direito o ícone da firewall, no canto inferior direito, escolha Firewall Administration Advanced... e edite a regra relativa ao acesso HTTP ao proxy. Feito isto, verifique que consegue utilizar o navegador em quaisquer páginas da UA ou exteriores sem qualquer limitação. 5.5 Protocolo FTP Nesta secção será usado o protocolo FTP, um dos mais complexos para as firewalls (e máquinas que usem NAT). Obtenha via google os aspectos característicos do FTP (protocolos de transporte, portos de transporte, endereços de rede) para poder responder de forma apropriada às questões colocadas pela firewall. Usando o navegador aceda por FTP à zona de transferências ftp:// test area. Os navegadores usam por omissão o modo passivo do FTP, que é o que lhes coloca menos problemas. Vamos agora repetir o procedimento de acesso através do comando ftp. Inicie uma consola de comandos com a sequência Start execute cmd Nessa consola execute o comando ftp Na consola de comandos que surge faça login como anonymous e indique o seu endereço de mail como senha. Execute então o comando get <path> onde path deverá ser o caminho para aceder à informação guardada no servidor FTP (use avzdatastore/ftp test area/passive.png). Verifique que consegue fazer a transferência, porque o comando ftp do Windows não trabalha (nem suporta) no modo passivo e o tradutor de NAT do VMWare Player não possui qualquer funcionalidade adicional para suportar FTP em modo ativo. 8