MIT Kerberos V5 Diogo Dias João Soares

Transcrição

1 MIT Kerbers V5 Dig Dias Jã Sares

2 Objectiv Case Study de uma pssível utilizaçã d Kerbers Verificaçã das ferramentas existentes Estad da tecnlgia (nmeadamente, Open Surce) Alguma aplicaçã na rede FEUPNET

3 Kerbers Implementaçã d prtcl de Needham- Schreder para chaves simétricas Usa um servidr cnfiável pr tds s nós da cmunicaçã para frnecer autenticaçã e cnfidencialidade Tem s prblemas de eavesdrpping e replayattacks reslvids. Frnece autenticaçã mútua: cliente e servidr sã verificads

4 Kerbers Criad para prteger s serviçs d Prject Athena Durante ans fi cnsiderad muniçã pels EUA, nã pdend ser exprtad Prque utilizava DES Mtivu uma implementaçã independente

5 Kerbers A versã 1 a 3 só fram lançadas e utilizadas dentr d própri MIT A versã 4 fi a primeira pública Fi cnsiderada insegura depis de se verificarem errs n prtcl e depis de DES ser dad cm insegur

6 Kerbers Para clmatar essas falhas, fi lançada em 1993 a versã 5 (Jhn Khl e Cliffrd Neuman) Algritms suprtads: DES cbc mde with CRC-32 (frac) DES cbc mde with RSA-MD4 (frac) DES cbc mde with RSA-MD5 (frac) DES cbc mde raw (frac) Triple DES cbc mde raw (frac) Triple DES cbc mde with HMAC/sha1 DES with HMAC/sha1 (frac) AES-256 CTS mde with 96-bit SHA-1 HMAC AES-128 CTS mde with 96-bit SHA-1 HMAC RC4 with HMAC/MD5 Exprtable RC4 with HMAC/MD5 (frac)

7 Kerbers O MIT tem uma implementaçã de referência dispnibilizada livremente (Liçensa BSD) Existem utras implementações livres Heimdal Shishi (GNU) E utras prprietárias Ex.: Windws SSPI usad ns Windws a partir d 2000

8 Prtcl

9 Prtcl

10 Prtcl

11 Prtcl

12 Prtcl

13 Prtcl

14 Prtcl

15 Prtcl

16 Prtcl

17 Prtcl

18 Limitações Apntadas Pnt únic de falha - se KDC falhar, a autenticaçã falha, mitigad cm slave servers Requisits de temp (timestamps) - se temp estiver alg desfasad, a autenticaçã falha; requer utilizaçã de servidres de sincrnizaçã de temp O prtcl de administraçã nã está standardizad, varia entre implementações

19 Limitações Apntadas Já que KDC é centr da autenticaçã, cmprmenter KDC permite a atacante fazer-se passar pr qualquer utilizadr Pssibilidade de s utilizadres usarem passwrds fracas, que pde ser mitigad através da utilizaçã de plicies. Necessidade de partilha prévia da senha cm KDC

20 Cnfiguraçã Utilizada

21 Live Dem

22 Dificuldades Encntradas Fully-Qualified Dmain Names (FQDN)

23 Dificuldades Encntradas Sftware Cmpatível cm GSSAPI Filezilla 3 Filezilla 2 Versã 3 abandnu suprte a GSSAPI PuTTY Reslvid n Develpment Snapsht Ainda nã fi incrprad na Release ficial

24 Dificuldades Encntradas Apache 2 Kerbers Mdule Puc explícit na descriçã ds errs Minr cdes (descriçã ds errs) pr vezes nã apareciam Também nã apresentava códig de err (seria expectável)

25 Cnclusões Sistemas Single Sign-n (SSO) sã facilitadres, já que evitam multipls lg-ins Manutençã das passwrds é mais fácil, já que é centralizad Existe uma dependência imprtante de DNS e de FQDN Numa rede crprativa bem instalada, nã seria prblema

26 Cnclusões Existem algumas ferramentas que funcinam ns sistemas perativs mais usads Develpers de sftware estã a abandnar suprte à GSSAPI Pssibilidade de integraçã cm Windws Active Directry Mesm usand KDC de utr sistema perativ (Nã fi bject de estud)

27 Cnclusões Na rede FEUPNET: Permitiria SSO para acess as diverss serviçs dispníveis (SAMBA, GNOMO, YODA, ) tant a partir de Linux cm de Windws Permitia que lg-in n própri sifeup u webmail fsse feit autmaticamente