Netzwerksicherheit Übung 8

Transkript

1 Netzwerksicherheit Übung 8 Tobias Limmer, Christoph Sommer, David Eckhoff Computer Networks and Communication Systems Dept. of Computer Science, University of Erlangen-Nuremberg, Germany Tobias Limmer, Christoph Sommer, David Eckhoff: Netzwerksicherheit Übung 8 1 / 28

2 Sicherheitslücke User Passive security indicators (e.g. lock in status bar) were shown to be ineffective Many web browsers now display active warnings requiring user action At least 44% of 380, 000 SSL-enabled websites trigger browser warnings Caused by domain mismatch, expired and non-authenticated certificates Users get used to warning dialogs! Tobias Limmer, Christoph Sommer, David Eckhoff: Netzwerksicherheit Übung 8 2 / 28

3 Setup Windows XP Linux TLSProxy Internet Tobias Limmer, Christoph Sommer, David Eckhoff: Netzwerksicherheit Übung 8 3 / 28

4 Survey J. Sunshine et al., Crying Wolf: An Empirical Study of SSL Warning Effectiveness. In Proceedings of the 18th Usenix Security Symposium, August 2009 Survey with 100 participants in a laboratory study conducted Used Firefox 2, Firefox 3 and MS Internet Explorer 7 SSL warnings, as well as a custom one-step and two-step warning pages Tobias Limmer, Christoph Sommer, David Eckhoff: Netzwerksicherheit Übung 8 4 / 28

5 Browser Warnings: Firefox 2 Tobias Limmer, Christoph Sommer, David Eckhoff: Netzwerksicherheit Übung 8 5 / 28

6 Browser Warnings: Internet Explorer 7 Tobias Limmer, Christoph Sommer, David Eckhoff: Netzwerksicherheit Übung 8 6 / 28

7 Browser Warnings: Firefox 3 Tobias Limmer, Christoph Sommer, David Eckhoff: Netzwerksicherheit Übung 8 7 / 28

8 Redesigned Warning Pages Tobias Limmer, Christoph Sommer, David Eckhoff: Netzwerksicherheit Übung 8 8 / 28

9 Survey Users should go about each task in the way you would if you were completing it with the computer you usually use Participants were told that survey is about information retrieval in the Internet 4 tasks: Google search Retrieve last two digits of participant s bank account Get price of book from Amazon Get call number of book from local library Tobias Limmer, Christoph Sommer, David Eckhoff: Netzwerksicherheit Übung 8 9 / 28

10 Survey Results Tobias Limmer, Christoph Sommer, David Eckhoff: Netzwerksicherheit Übung 8 10 / 28

11 Survey Results Multi-Page warning was circumvented by 5 users (clicked on other for bank page) Firefox 3 warning page: was mistaken as server down error page (2 users) 7 out of 14 participants not understanding the warning chose not to continue (too difficult to circumvent!) some participants tried to switch browser :-) Tobias Limmer, Christoph Sommer, David Eckhoff: Netzwerksicherheit Übung 8 11 / 28

12 Conclusion Too many users vulnerable to MITM attacks, regardless of warning design Best way: avoid warnings altogether and make decisions for users Some Add-Ons already available: Perspectives, ForceHTTPS Improve X.509 PKI somehow? Tobias Limmer, Christoph Sommer, David Eckhoff: Netzwerksicherheit Übung 8 12 / 28

13 Onion Routing Entwickelt 1981 von David Chaum, daher auch Chaum-Netzwerke genannt Ziel: Datenpfad verschleiern Nutzung geschachtelter Daten über mehrere Proxies Tobias Limmer, Christoph Sommer, David Eckhoff: Netzwerksicherheit Übung 8 13 / 28

14 Methode A B Text Signatur Tobias Limmer, Christoph Sommer, David Eckhoff: Netzwerksicherheit Übung 8 14 / 28

15 Methode A B Text Signatur Tobias Limmer, Christoph Sommer, David Eckhoff: Netzwerksicherheit Übung 8 15 / 28

16 Methode To: B A B Text Signatur X Tobias Limmer, Christoph Sommer, David Eckhoff: Netzwerksicherheit Übung 8 16 / 28

17 Methode To: B A B Text Signatur Text Signatur X Tobias Limmer, Christoph Sommer, David Eckhoff: Netzwerksicherheit Übung 8 17 / 28

18 Methode A To: X To: B B Text Signatur Y X Tobias Limmer, Christoph Sommer, David Eckhoff: Netzwerksicherheit Übung 8 18 / 28

19 Methode A B Y To: B Text Signatur X Tobias Limmer, Christoph Sommer, David Eckhoff: Netzwerksicherheit Übung 8 19 / 28

20 Methode A B Text Signatur Y X Tobias Limmer, Christoph Sommer, David Eckhoff: Netzwerksicherheit Übung 8 20 / 28

21 TOR TOR = The Onion Router Open Source Software Populärste Implementierung eines Mix-Netzwerkes Tobias Limmer, Christoph Sommer, David Eckhoff: Netzwerksicherheit Übung 8 21 / 28

22 Aufbau einer From: Alice To: Bob Subject: Hello World Lorem ipsum dolor sit amet, consectetur adipiscing elit. Sed vel orci nisi, quis porta ligula. Praesent turpis ligula, pretium eget sollicitudin pulvinar. Tobias Limmer, Christoph Sommer, David Eckhoff: Netzwerksicherheit Übung 8 22 / 28

23 MIME RFC 2045 ff. Modulares System zur Deklaration des Textkörperinhalts u.a. neue Headerzeile: Content-Type text/plain image/png multipart/mixed; boundary="trenner" Tobias Limmer, Christoph Sommer, David Eckhoff: Netzwerksicherheit Übung 8 23 / 28

24 Beispiel: multipart MIME Content-Type: multipart/mixed Dummytext fuer dummer Clients. -Trenner Content-Type: text/plain Lorem ipsum dolor sit amet, consectetur adipiscing elit. -Trenner Content-Type: image/png Content-Transfer-Encoding: base64 TG9yZW0gaXBzdW0gZG9sb3Igc2l0IGFtZXQsIG NvbnNlY3RldHVyIGFkaXBpc2NpbmcgZWxpdC4= -Trenner- Tobias Limmer, Christoph Sommer, David Eckhoff: Netzwerksicherheit Übung 8 24 / 28

25 S/MIME RFC 5751 f Secure MIME Führt MIME-Typen für verschlüsselten, signierten, usw. Inhalt ein erlaubt insbesondere die Verwendung von X.509-Zertifikaten zur Signierung/Verschlüsselung von Mails Tobias Limmer, Christoph Sommer, David Eckhoff: Netzwerksicherheit Übung 8 25 / 28

26 Verschlüsselung Session Key erzeugen Session Key mit public Key für jeden Empfänger verschlüsseln Nutzdaten mit Session Key symmetrisch verschlüsseln PKCS#7-Container erzeugen Content-Type: application/pkcs7-mime; smime-type=enveloped-data; name=smime.p7m Tobias Limmer, Christoph Sommer, David Eckhoff: Netzwerksicherheit Übung 8 26 / 28

27 Signierung Digest der Nutzdaten erzeugen und signieren PKCS#7-Container erzeugen Content-Type: application/pkcs7-mime; smime-type=signed-data; name=smime.p7m oder Content-Type: multipart/signed [...] Content-Type: text/plain Content-Type: application/pkcs7-signature; name=smime.p7s Tobias Limmer, Christoph Sommer, David Eckhoff: Netzwerksicherheit Übung 8 27 / 28

28 Beispiel Return-Path: Received: from example.com Received: from example.org Received: from example.net From: xxx MIME-Version: 1.0 To: xxx Subject: Example Content-Type: multipart/signed; protocol="application/x-pkcs7-signature"; micalg=sha1; boundary=" ms " Content-Length: 9119 This is a cryptographically signed message in MIME format ms Content-Type: text/plain; charset=iso Content-Transfer-Encoding: 8bit Das ist ein Test. [...] ms Content-Type: application/x-pkcs7-signature; name="smime.p7s" Content-Transfer-Encoding: base64 Content-Disposition: attachment; filename="smime.p7s" Content-Description: S/MIME Cryptographic Signature MIAGCSqGSIb3DQEHAqCAMIACAQExCzAJBgUrDgMCGgUAMIAGCSqGSIb3DQEHAQAAoIIJdTCC AxUwggJ+oAMCAQICEGU5u1eI8WeEkIox6PdwkFAwDQYJKoZIhvcNAQEFBQAwYjELMAkGA1UE [...] ms Tobias Limmer, Christoph Sommer, David Eckhoff: Netzwerksicherheit Übung 8 28 / 28