8 o Projecto: Autenticação com S/Key

Transcrição

1 Segurança Informática e nas Organizações o Projecto: Autenticação com S/Key V Introdução Com este trabalho pretende-se estudar a configuração e exploração de autenticação com senhas descartáveis (OTP One Time Password) S/Key. Para esse fim será usada a máquina hospedeira como cliente e a máquina Linux como servidor. 2 Instalação e configuração 2.1 Cliente Na máquina hospedeira instale a aplicação winkey32 (caso o hospedeira seja Windows; esta aplicação pode ser encontrada na página da disciplina) ou o pacote opie-client, caso o hospedeiro seja Linux. Alternativamemnte, pode usar o cliente Javascript disponibilidado em http: // 2.2 Servidor SSH Instale as packages opie-server e libpam-opie no Linux com o comando apt-get install opie-server libpam-opie Edite o ficheiro /etc/pam.d/common-auth e comente as linhas com referências a pam permit ou pam deny. De seguida altera a linha: auth [success=1 default=ignore] pam unix.so nullok secure para auth sufficient pam unix.so nullok secure auth sufficient pam opie.so auth required pam deny.so Antes de prosseguir verifique que o serviço TELNET está activo na máquina. Para isso, verifique se o respectivo porto TCP está disponível 1

2 para receber ligações com o comando netstat -at 2.3 Configuração das senhas descartáveis Na máquina Linux execute o comando opiepasswd -c para configurar o modelo de autenticação com senhas descartáveis S/Key para o utilizador corrente (use um que não o root). Este comando permite mudar a senha corrente do utilizador que o executa e, simultaneamente, configurar a senha descartável correspondente. Para instalar apenas a senha descartável não mude a senha do utilizador. O comando opieinfo username, quando executado pelo root, permite observar os parâmetros actuais de geração da senha descartável para o utilizador username. Estes valores são guardados no ficheiro /etc/opiekeys, que pode ser listado pelo root com o comando cat /etc/opiekeys 2.4 Rede Configure a máquina virtual Linux para usar as interações de rede no modo Local only. Na máquina Linux configure a interface de rede (ethx) para usar um endereço IP atribuído automaticamente via DHCP: dhclient ethx Note que X representa um número, que varia de máquina para máquina. Para saber que interfaces possui execute o comando ifconfig Para evitar confusões, desligue todas as interfaces da máquina virtual exceto a que necessita. Verifique o endereço IP da máquina virtual Linux com o comando ipconfig. Antes de prosseguir verifique a conectividade entre as duas máquinas com o comando ping. Daqui em diante vamos assumir que o endereço IP da máquina virtual Linux é Autenticação de utentes com chaves descartáveis S/Key Na máquina hmospedeira execute o comando telnet ou PuTTY (escolha o modo de ligação Telnet) e ligue-se à máquina Linux. Introduza o nome de 2

3 utente que pretende criar a sessão remota e quando o servidor perguntar pela senha introduza uma senha vazia. Seguidamente o servidor irá indicar o parâmetros que o utente deverá usar para criar uma senha descartável. Nesta altura deverá visualizar algo deste tipo: Ubuntu LTS linux login: sio Password: otp-md5 498 li2569 ext, Response: O que isto significa é que o utente deverá gerar uma senha descartável com a sua senha, com o índice 498, com a raiz li2569 e com o algoritmo otp-md5. Para o fazer, o utente deverá usar usar a aplicação apropriada para gerar a senha descartável. Se o fizer com o comando winkey32, configurar através do botão Options o uso da função MD5 (OPIE) e preencher os campos como apresentado na Figura 1. Se o fizer usar a aplicação Javascript, deverá preencher os campos como apresentado na Figura 2. Uma vez gerada a senha descartável, ela deverá ser copiada para a sessão TELNET para ser usada como senha. Se a autenticação tiver sucesso a sessão é iniciada. Se assim suceder, termine a sessão. Inicie de novo a sessão e repita a autenticação com senha descartável. Verifique a evolução do índice indicado ao utente. 4 Alteração da senha usando senhas descartáveis Quando se está a usar uma sessão TELNET não deve ser alterada a senha com o comando passwd nem opiepasswd -c, porque os mesmos pedem a senha antiga e nova, a qual irá passar em claro através da rede e poderá ser observada por terceiros. Alternativamente, deverá ser usado o modelo do S/Key para alterar a senha. A alteração com as senhas descartáveis faz-se de forma similar à que se usa para as senhas normais: introduz-se uma senha descartável antiga, i.e. calculada com a senha antiga, e seguidamente introduz-se a senha descartável calculada com a senha nova (e com um índice e raiz igualmente novos). Para isto deverá ser executado o comando opiepasswd sem quaisquer opções. Note que, após a terminação deste comando, a senha descartável pode passar a ser calculada com uma senha diferente daquela que permite o login normal no Linux. Verifique este facto iniciando uma sessão TELNET com a máquina Linux e experimentando a autenticação normal com senha (antiga) e a autenticação com a senha descartável gerada com a senha nova. 3

4 Figura 1: Exemplo de preenchimento dos campos apresentados pelo comando winkey32 e da senha descartável gerada (campo Response). Figura 2: Exemplo de preenchimento dos campos apresentados pelo programa jsotp.js e da senha descartável gerada (campo Response). 4

5 5 Esgotamento das senhas descartáveis A sequência de senhas descartáveis esgota-se quando o seu índice guardado pelo servidor atinge o valor 1. Neste caso, o utente deverá calcular a senha descartável com o índice 0, o que é impossível. Provoque este efeito criando iniciando a senha descartável do utilizador que tem usado com o comando opiepasswd -n 1 e em seguida tente efectuar o login via TELNET autenticando-se com uma senha descartável. 5