Datentransfer Eingangs/Ausgangsserver

Transkript

1 Datentransfer Eingangs/Ausgangsserver BRZ IT für Österreich

2 Inhalt 1. Infrastruktur Voraussetzungen für den EAS-Zugang Gültigkeitsdauer von Schlüsseln Zugriffsbeschränkungen Erzeugung eines SSH-Schlüsselpaares Erzeugung unter Windows Erzeugung unter Linux Erzeugung eines OpenPGP-Schlüsselpaares Erzeugung unter Windows Erzeugung unter Linux Prozessschritte beim Datenaustausch mit dem EAS Datenaustausch unter Windows Datenaustausch unter Linux Seite 2 von 20

3 1. Infrastruktur Der EAS besteht aus einem geclusterten Produktivserver und einem Testserver. Der Zugang zum EAS ist nur über SFTP/SCP möglich. Hostname Zugangs-Port Produktion eas.cna.at 5022 Test eas-test.cna.at 5022 Wichtig: für den Zugriff auf den EAS immer den Hostnamen verwenden, nie die aufgelösten IP-Adressen, da sich diese ändern können, der Hostname aber gleich bleibt. 2. Voraussetzungen für den EAS-Zugang Da sehr viele Kunden aus allen möglichen Verfahren Zugang zum EAS haben, ist es sehr wichtig, die von den Kunden abgelegten, bzw zur Verfügung gestellten Daten, vor unberechtigten Zugriffen zu schützen. Selbst im Fall, dass der EAS erfolgreich gehackt werden sollte, darf der Angreifer die Daten nicht lesen können. Das ist aber nur durch ein zweistufiges Datenaustauschverfahren möglich. Einerseits muss der Transportkanal verschlüsselt werden, andererseits die Daten selbst. Die Verschlüsselung des Transportkanals erfolgt bei sftp/scp laut Protokollspezifikation über SSH. In Kapitel 4 ist das Verfahren zur Erstellung eines Schlüsselpaares erläutert. Die Verschlüsselung der Daten selbst erfolgt über PGP. Dieses Verfahren wird in Kapitel 5 erklärt. Der Zugang zum EAS wird über ein Mail an den Postkorb Post.eas@brz.gv.at beantragt. Für die Einrichtung des Zugangs brauchen wir folgende Informationen für welches Verfahren soll der Zugang eingerichtet werden. In Rücksprache mit dem Verfahren wird dann ein User für den Zugriff definiert. Public-Keys für die Verschlüsselung des Transportkanals (SSH) und die Verschlüsselung der Daten (PGP) enthalten. Sobald der User eingerichtet ist, Seite 3 von 20

4 bekommt der Antragsteller von uns das OK für den Zugriff und den PGP Public-Key des Verfahrens per Mail zugesendet. Die IP Adresse des Servers, der auf den EAS zugreift. Es ist immer die IP Adresse gemeint, mit der der Request am EAS aufscheint, nicht die interne IP Adresse des Servers. Die Angabe der IP Adresse ist nur notwendig, wenn der Verfahrenspartner sich nicht im Behördennetz befindet. 2.1 Gültigkeitsdauer von Schlüsseln Alle Schlüssel haben eine Gültigkeitsdauer von 5 Jahren. 3 Monate vor Ablauf der Gültigkeit werden die Verfahrenspartner von uns davon in Kenntnis gesetzt, neue Schlüssel zu erzeugen, und uns die Public-Keys zu schicken. 3. Zugriffsbeschränkungen Die Datenmenge die pro User auf den EAS gestellt, bzw von dort abgeholt werden kann ist durch Sessionquotas beschränkt. Diese Sessionquotas werden vom Verfahren festgelegt. Durch Sessionquotas wird sichergestellt, dass einzelne User oder Angreifer, den EAS durch DoS-Attacken nicht lahmlegen können. Die Fileoperationen die das SFTP/SCP-Protokoll zur Verfügung stellt, werden nur eingeschränkt zur Verfügung stehen. Insbesondere ist es dem User nicht erlaubt Verzeichnisse anzulegen oder zu löschen. Weitere Einschränkungen werden von den einzelnen Verfahren vorgegeben. Das betrifft vor allem die Frage, ob Files umbenannt oder gelöscht werden dürfen. 3.1 Erzeugung eines SSH-Schlüsselpaares Für die sichere Übermittlung der Files muss jeder Verfahrenspartner ein SSH- Schlüsselpaar erzeugen, mit dem die FTP-Verbindung verschlüsselt wird. Nur so kann sichergestellt werden, dass die Schnittstelle nicht durch Dritte missbraucht werden kann und jeder Verfahrenspartner nur Zugriff auf seinen Ordner hat Erzeugung unter Windows Unter Windows kann die Open Source Software PuTTYgen verwendet werden. Seite 4 von 20

5 Download-Link: Man kann auch gleich den SFTP/SCP Client WinScp downloaden (Download unter Bei diesem Client wird PuTTYgen gleich mitinstalliert. Das Programm kann direkt nach dem Download ohne Installation gestartet werden. Nach dem Start öffnet sich dieses Fenster: Abbildung 1: PuTTYgen Startbildschirm Als erstes klickt man auf den Button Generate und bewegt danach die Maus im Feld Key, um einen zufälligen Schlüssel zu generieren. Nachdem dieser Vorgang abgeschlossen ist, wird der generierte Schlüssel angezeigt. Seite 5 von 20

6 Abbildung 2: Ansicht nach Erzeugung eines Schlüsselpaares Im Feld Key comment kann noch zusätzlich ein Kommentar eingetragen werden, um den Schlüssel später wieder identifizieren zu können. Außerdem sollte auch eine Passphrase vergeben werden. Die Passphrase schützt den privaten Schlüssel vor unberechtigten Zugriffen. Nachdem die Eingaben erfolgt sind, werden der öffentliche und der private Schlüssel durch Klick auf die Buttons Save public key und Save private key lokal gespeichert. Seite 6 von 20

7 3.1.2 Erzeugung unter Linux Unter Linux kann man entweder auch das Tool PuTTYgen oder den vorhandenen Key- Generator verwenden. Wird PuTTYgen verwendet, funktioniert die Erzeugung analog zur Beschreibung für Windows-Systeme. Soll der vorhandene Key-Generator verwendet werden, öffnet man die Shell und gibt folgendes Kommando ein: axl]$ ssh-keygen -t rsa -C "my comment" Generating public/private rsa key pair. Unter my comment kann analog zu PuTTYgen ein Kommentar eingetragen werden. Nach dieser Eingabe wird man gefragt, unter welchem Verzeichnis das Schlüsselpaar gespeichert werden soll. Standardmäßig wird das Verzeichnis $HOME/.ssh/id_rsa verwendet. Enter file in which to save the key (/home/axl/.ssh/id_rsa): <return> Nach der Auswahl des Speicherortes wird man nach der Passphrase gefragt. Diese sollte aus Sicherheitsgründen jedenfalls vergeben werden. Enter passphrase (empty for no passphrase): <Type the passphrase> Zusätzlich wird man aufgefordert die Passphrase noch zu bestätigen. Enter same passphrase again: <Type the passphrase> Your identification has been saved in /home/axl/.ssh/id_rsa. Your public key has been saved in /home/axl/.ssh/id_rsa.pub. The key fingerprint is: 0b:fa:3c:b8:73:71:bf:58:57:eb:2a:2b:8c:2f:4e:37 Nach der Bestätigung werden die Speicherorte des öffentlichen und des privaten Schlüssels angezeigt. Seite 7 von 20

8 4. Erzeugung eines OpenPGP-Schlüsselpaares Um nicht nur die Verbindung, sondern auch den Inhalt der ausgetauschten Dateien zu verschlüsseln, kommt der OpenPGP-Standard zur asymmetrischen Verschlüsselung der Daten zum Einsatz. Nur durch die Anwendung beider Verfahren (SSH und OpenPGP) kann ein sicherer Datenaustausch zwischen dem Verfahren und seinen Verfahrenspartnern gewährleistet werden. 4.1 Erzeugung unter Windows Unter Windows kann die Open Source Software Gpg4win eingesetzt werden um die Schlüsselpaare zu erzeugen und ebenfalls die Dateien zu ver- und entschlüsseln. Download-Link: Nach der Installation öffnet man zuerst das Programm Kleopatra, das mit Gpg4win installiert wurde. Nach dem Start öffnet sich folgendes Fenster: Abbildung 3: Kleopatra Startbildschirm Seite 8 von 20

9 Um ein neues OpenPGP-Zertifkat zu erstellen klickt man auf File -> New Certificate. Es erscheint folgender Dialog: Abbildung 4: Auswahl des Zertifikats Mit Klick auf den Button Create a personal OpenPGP key pair gelangt man zum nächsten Dialog-Fenster: Seite 9 von 20

10 Abbildung 5: Zertifikatsdetails Seite 10 von 20

11 Nach der Eingabe der erforderlichen Daten wird man aufgefordert, die Eingaben nochmals zu überprüfen: Abbildung 6: Überprüfung der Eingaben Sind die eingegebenen Daten korrekt, wird mit Klick auf Create Key das Schlüsselpaar erzeugt. Danach wird man aufgefordert eine Passphrase zu vergeben und diese zu bestätigen. Zur Erzeugung des zufälligen Schlüsselwertes ist wieder eine User-Eingabe notwendig: Seite 11 von 20

12 Abbildung 7: Erzeugung des OpenPGP- Schlüsselpaares Seite 12 von 20

13 Nach der erfolgreichen Erzeugung des Schlüsselpaares wird folgender Dialog angezeigt: Abbildung 8: Erfolgreiche Erzeugung eines Schlüsselpaares Im nächsten Schritt können der öffentliche und der private Schlüssel mittels Klick auf den Button Make a Backup Of Your Key Pair in das gewünschte Verzeichnis gespeichert werden. Das Schlüsselpaar bleibt, sofern gewünscht, in Kleopatra gespeichert, da das Tool auch zur Zertifikatsverwaltung genutzt werden kann. 4.2 Erzeugung unter Linux Unter Linux kann ebenfalls die Open Source Software GnuPG verwendet werden, welches die Basis für Gpg4win darstellt. Download-Link: Unter Linux kommt wieder die Shell zur Anwendung. Als erstes gibt man folgendes Kommando ein: gpg --gen-key Seite 13 von 20

14 Nun wird man aufgefordert einen Verschlüsselungs- und einen Signatur-Standard auszuwählen: Please select what kind of key you want: (1) RSA and RSA (default) (2) DSA and Elgamal (3) DSA (sign only) (4) RSA (sign only) Nach der Auswahl der ersten Auswahlmöglichkeit ( RSA and RSA ) wird die Eingabe der Schlüssellänge erwartet. Hier kann ebenfalls der vorgeschlagene Wert (2048) eingegeben werden. What keysize do you want? (2048) Im nächsten Schritt muss die Gültigkeitsdauer des Schlüsselpaares festgelegt werden. Standardmäßig sind die Schlüssel unbegrenzt gültig. Key is valid for? (0) Als nächstes muss ein Name und eine Adresse eingegeben werden. You need a user ID to identify your key; the software constructs the user ID from the Real Name, Comment and Address in this form: "Heinrich Heine (Der Dichter) <heinrichh@duesseldorf.de>" Real name: Dennis Kaarsemaker address: dennis@kaarsemaker.net Comment: Tutorial key You selected this USER-ID: "Dennis Kaarsemaker (Tutorial key) <dennis@kaarsemaker.net>" Durch die Eingabe des Buchstaben o wird das Schlüsselpaar erzeugt. Danach wird man aufgefordert eine Passphrase zu vergeben. ou need a Passphrase to protect your secret key. Nach dem Abschluss der Erzeugung wird eine Meldung, ähnlich zu dieser angezeigt. gpg: key D8FC66D2 marked as ultimately trusted public and secret key created and signed. Seite 14 von 20

15 pub 1024D/D8FC66D Key fingerprint = 95BD DD4F 28B5 2C37 0F6E 4CA6 D8FC 66D2 uid Dennis Kaarsemaker (Tutorial key) <dennis@kaarsemaker.net> sub 2048g/389AA63E Um das Schlüsselpaar zu exportieren werden folgende Kommandos benötigt. Anzeige der Liste aller gespeicherten öffentlichen Schlüssel: gpg --list-keys Export des öffentlichen Schlüssels (wobei _something_ für die Bezeichnung des Schlüssels steht): gpg -ao _something_-public.key --export key_id Anzeige der Liste aller gespeicherten privaten Schlüssel: gpg --list-secret-keys Export des öffentlichen Schlüssels (wobei _something_ für die Bezeichnung des Schlüssels steht): gpg -ao _something_-private.key --export-secret-keys key_id 5. Prozessschritte beim Datenaustausch mit dem EAS 5.1 Datenaustausch unter Windows Im Explorer die zu übertragende Datei auswählen. Mit der rechten Maustaste anklicken und im Kontextmenu den Eintrag Datei signieren/verschlüsseln wählen. Im daraufhin erscheinenden Dialog Signieren und verschlüsseln (nur OpenPGP) auswählen (siehe Abbildung 9). Seite 15 von 20

16 Abbildung 9: Signieren und verschlüsseln einer Datei über das Kontextmenü Dann Weiter klicken. Es erscheint das Dialogfenster in dem man auswählen muss, für wen man verschlüsseln möchte. Den public Key den man dazu benötigt bekommt vom Verfahren zugestellt. In Abbildung 10 wird z.b. für das Verfahren USP verschlüsselt. Nur das Verfahren USP kann dann, da es im Besitz des private-keys ist, die Datei entschlüsseln. Seite 16 von 20

17 Abbildung 10: Auswahl des Schlüssels für den man verschlüsseln will Nach klicken auf Weiter erscheint der Dialog (Abbildung 11), in dem man auswählt als wer man signieren möchte. Durch die Signatur wird sichergestellt, dass die Datei wirklich von dem angegebenen User bereitgestellt wurde. Signiert werden Dateien mit dem private-key des Users. Jeder der im Besitz des public-keys des Users ist, kann die Signatur verifizieren. Seite 17 von 20

18 Abbildung 11: Auswahl des Schlüssels für die Signatur Für die Übertragung des Files an den EAS kann zb. das Programm WinScp unter Windows verwendet werden (Download unter Bei der Konfiguration der Verbindung zum EAS sollte man darauf achten, dass man den Standardport 22 durch den Port 5022 ersetzt (siehe Abbildung 12). Seite 18 von 20

19 Abblidung 12: Verbindungsdefinition in WinScp 5.2 Datenaustausch unter Linux Das signieren und verschlüsseln eine Files unter Linux kann in einem Schritt erledigt werden. Falls man mehrere private-schlüssel hat muss man mit der Option local-user die Key-ID mitgeben, falls man nur einen hat kann man die Option weglassen. gpg - armor - recipient <Empfänger> --sign <File> --local-user <private-key-id> --output <FileOutPut> Seite 19 von 20

20 Die angegebenen Optionen haben folgende Bedeutung: --recipient gibt an für wen man Verschlüsseln will. Das heisst man wählt den public-key des Verfahrenspartners aus. --encrypt--sign gibt das zu verschlüssende und signierende File an. --output gibt den Outputfilenamen für die Operation Encrypt/Sign an. -- armor gibt an, dass der Output in ASCII Format sein soll. Das verschlüsselte und signierte File kann dann mit dem sftp Command an den EAS übertragen werden. Dabei ist aber zu beachten, dass der SFTP Port vom EAS vom Standard-SFTP-Port abweicht: Sftp oport= Seite 20 von 20