Communication Hardening

Transkript

1 Communication Hardening Sichere Kommunikation im Alltag Tobias Millauer 1 FH St. Pölten IT-SeCX, taziyah@linux.com, 8192R/95AD193B Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

2 Inhaltsverzeichnis I 1 Einleitung 2 Signierung / Verschlüsselung von s 3 Two-Factor-Authentifizierung 4 Tor 5 VPN 6 DNS 7 Secure Cloud 8 Backup 9 Mobile Devices 10 bettercrypto.org 11 ssllabs.com 12 STARTTLS.info 13 The End Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

3 Übersicht 1 Einleitung 2 Signierung / Verschlüsselung von s 3 Two-Factor-Authentifizierung 4 Tor 5 VPN 6 DNS 7 Secure Cloud 8 Backup 9 Mobile Devices 10 bettercrypto.org 11 ssllabs.com 12 STARTTLS.info 13 The End Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

4 Einleitung Tobias Millauer Ausbildung IT-Security FH St. Po lten BHAK Wiener Neustadt Arbeit Selbsta ndiger Web-Developer, BlueMagic IT Services Zertifikate Cisco Certified Network Associate (CCNA) Linux Server Professional (LPIC-1) SUSE Certified Linux Administrator ITIL v3 Foundation ECDL Advanced Expert Tobias Millauer (FH St. Po lten) Communication Hardening IT-SeCX, / 78

5 Einleitung Ziel und Nicht-Ziele des Workshops Ziele: Überblick über verschiedene Tools zu gewinnen Kryptographie praktisch einsetzen zu können Nicht-Ziele (aus Zeitmangel): Techniken im Detail zu erklären Kryptographie mathematisch zu beweisen Weitere Informationen sind den Blogbeiträgen zu entnehmen: Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

6 Einleitung Motivation 1 Vertraulichkeit = Kommunikation bleibt privat 2 Integrität = Daten kommen unverändert an 3 Authentizität = Nachricht vom angegebenen Absender 4 Nichtabstreitbarkeit = Absender hat Nachricht gesendet Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

7 Einleitung Aufbau Theorie: vermittelt die Grundlagen Demo: zeigt die praktische Verwendung Workshop: Aufgaben werden gemeinsam durchgeführt Challenge: Teilnehmer führen die Aufgaben selbst durch Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

8 Einleitung 100% Security is a lie Mensch: Menschliches Versagen Falsche Handhabung der Software Social Hacking Shoulder surfing Maschine: Fehler in der Software können nie ausgeschlossen werden! 0-Day-Exploits Closed Source kann man nicht vertrauen! Keine Patches vorhanden uvm. Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

9 Einleitung Survival Guides eff.org Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

10 Einleitung Survival Guides pack.resetthenet.org selfdefense.fsf.org Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

11 Einleitung Survival Guides prism-break.org Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

13 Signierung / Verschlüsselung von s Signierung Mit Hilfe einer elektronischen Signatur wird eine Nachricht digital unterschrieben. Der Empfänger kann daher wie bei einer eigenhändigen Unterschrift sichergehen, dass die Identität des Absenders gewährleistet ist. Der Inhalt einer handschriftlichen Nachricht kann nachträglich verändert werden, bei einer elektronischer Signatur ist dies jedoch ausgeschlossen. Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

14 Signierung / Verschlüsselung von s Signierung Zertifikat wird von einer Zertifikatsstelle ausgestellt Signatur der wird als Anhang mitgesendet und stört niemanden Werden s mit OpenPGP signiert, wird ein Signatur-Block ans Ende der angehängt. Davon sind unerfahrene Benutzer leider oft verwirrt... Wird ein Class 2 Zertifikat verwendet, wird das Zertifikat bereits als vertrauenswürdig eingestuft Der Benutzer muss sich nicht über das Web of Trust den Status eines vertrauenswürdigen Zertifikates erkämpfen Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

15 Signierung / Verschlüsselung von s Signierung Abb. : Digital Signature diagram. CC BY-SA Wikimedia. Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

16 Signierung / Verschlüsselung von s Signierung Anwendung Thunderbird vertraut direkt vertraut indirekt root-zertifikat der CA StartCom Ltd. Persönliches Class 2 Zertifikat Tobias Millauer Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

17 Signierung / Verschlüsselung von s Signierung Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

18 Signierung / Verschlüsselung von s Signierung Leider auch zahlreiche gefälschte Zertifikate im Umlauf (Erfolgreiche) Angriffe auf Zertifikatsstellen Zu viele Zertifikatsstellen Für die Verschlüsselung empfehle ich daher OpenPGP Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

19 Signierung / Verschlüsselung von s Demo: Signierung Demo Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

20 Signierung / Verschlüsselung von s Verschlüsselung Abb. : Orange blue public key cryptography de, Bananenfalter. CC0 - Wikimedia. Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

21 Signierung / Verschlüsselung von s Verschlüsselung 1 Installation der Programme 1 Thunderbird 2 Thunderbird - Plugin Enigmail 2 Erstellen des Schlüssels 1 Erstellen des Schlüsselpaars 2 Public Key auf einen Keyserver laden 3 Ausprobieren 1 Public Key an edward-de@fsf.org senden 2 Verschlüsselte Mail an edward-de@fsf.org senden 3 Auf Antwort von edward-de@fsf.org warten Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

22 Signierung / Verschlüsselung von s Workshop: Verschlüsselung Workshop Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

23 Signierung / Verschlüsselung von s Verschlüsselung 4 Das Web of Trust verstehen 1 Einen Schlüssel signieren 2 Identität vor dem Signieren eines Schlüssels prüfen 5 Richtige Nutzung 1 Wann soll verschlüsselt werden? 2 Achtung vor ungültigen Schlüsseln 3 Widerrufszertifikat speichern 4 Schnell reagieren, wenn der Private Key abhanden kommt 6 Weitere Schritte 1 Freunden helfen 2 Mehr Teile des Digitalen Lebens schützen Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

24 Signierung / Verschlüsselung von s Verschlüsselung Abb. : Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

28 Signierung / Verschlüsselung von s Verschlüsselung Google s End-to-End Browser-Erweiterung NICHT verwenden! schattenseiten-googles-end-to-end-verschluesselung-gmail/ Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

29 Signierung / Verschlüsselung von s Praxisempfehlung Signierung Verschlüsselung S/MIME OpenPGP Tabelle : Standard-Einstellungen S/MIME OpenPGP Signierung Verschlüsselung Tabelle : Person mit Public Key Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

31 Two-Factor-Authentifizierung Grundlagen Abb. : Credits: socialcustomer.com Passwort Mobile Device Biometrie YubiKey, Nymi Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

32 Two-Factor-Authentifizierung Vorteile Wird das Passwort durch: einen Keylogger (zeichnet Tastatureingaben auf) Social Hacking falsche Speicherung in der Datenbank Passwort im Klartext Passwort ohne Salt uvm. bekannt, muss der Angreifer eine weitere Authentifizierung umgehen. Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

33 Two-Factor-Authentifizierung Workshop: Facebook Workshop Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

34 Two-Factor-Authentifizierung Google & Twitter Twitter: getting-started-with-login-verification Google+: Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

35 Two-Factor-Authentifizierung YubiKey Tobias Millauer (FH St. Po lten) Communication Hardening IT-SeCX, / 78

36 Two-Factor-Authentifizierung YubiKey YubiKey wird als USB-Tastatur identifiziert (Betriebssystem und Browser unabhängig) OTP (OneTime-Passwort) wird an Applikation übergeben Gewicht (2,5 g), Form (18 x 45 x 3 mm) Eignet sich besonders gut am Schlüsselbund Weitere Informationen: YubiKey: Two-Factor-Authentifizierung YubiKey: SSH Two-Factor-Authentifizierung YubiKey: SSH Public Key Two-Factor-Authentifizierung Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

37 Two-Factor-Authentifizierung YubiKey Abb. : Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

38 Two-Factor-Authentifizierung Demo: YubiKey Demo Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

39 Two-Factor-Authentifizierung Nymi Herzschlag als Authentifizierung zahlreiche Partnerschaften bereits (vor)bestellbar getnymi.com Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

41 Tor Grundlagen Tor - T he Onion Router Nutzung von verschiedenen Tor-Relays (Server, die auf unterschiedlichen Standorten verteilt sind) Der tatsächlicher Standort des Clients wird dadurch verborgen Nur die IP-Adresse des letzten Tor-Relays = Exit Node wird bekannt torproject.org Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

42 Tor Grundlagen Webseite Login Daten Location eff.org/pages/tor-and-https Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

43 Tor Grundlagen Webseite Location (Login) (Daten) eff.org/pages/tor-and-https Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

44 Tor Grundlagen Location (Webseite) (Login) (Daten) eff.org/pages/tor-and-https Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

45 Tor Workshop Workshop Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

47 VPN Einleitung In a perfect world you wouldn t need it. Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

48 VPN Grundlagen Verbindet zwei physikalisch getrennte Netze miteinander Verwendung: Verbindung ins Firmennetzwerk Mobile-Office Ambitionierte Anwender Verschlüsselung der Daten beim Transport Nicht die IP-Adresse des Endbenutzers, sondern nur die des VPN-Gateways wird bekannt Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

49 VPN Grundlagen Abb. : Virtual Private Network overview, Ludovic.ferre. CC BY-SA Wikimedia. Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

50 VPN Anbieter WiTopia CyberGhostvpn vyprvpn strongvpn uvm. Darauf achten, dass der Anbieter keine Logs führt! Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

51 VPN OpenVPN OpenVPN Server: Flexibilität Konfiguration über Config-Dateien Literatur: Galileo-Press OpenVPN Access Server: Schnelles Setup Konfiguration über Web-Interface Optimal für den Einstieg Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

52 VPN Demo Demo Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

54 DNS Grundlagen Domain Name System Übersetzt Namen nach IP-Adressen (und mehr) blog.tobias-millauer.com hat IP-Adresse Daten in Resource Records (RR) abgespeichert Webserver (A, AAAA) Mailserver (MX) etc. Tools wie dig oder nslookup Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

55 DNS Server OpenDNS Böse DNS-Server DNS-Server des Providers Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

56 DNS Challenge Challenge 1 DNS-Server auf dem Client ändern: DNS-Server 1: DNS-Server 2: Auf die Plätze, fertig, los! Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

58 Secure Cloud Einführung Serverstandort meistens außerhalb von Österreich Keine einheitliche Datenschutzgrundlage Daten können an Dritte gelangt werden Bekanntwerden von Geschäftsgeheimnissen Bekanntwerden von privaten Fotos/Videos Datenverlust nicht ausgeschlossen Login-Daten werden durch Hacking gestohlen Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

59 Secure Cloud owncloud Kontrolle über die Daten Installation auf dem eigenen Server Synchronisation von Kalendern und Kontakten Einfaches Sharing owncloud.org Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

60 Secure Cloud owncube Gewartete Installation einer owncloud durch owncube großzügiger Speicher individuelle Pakete Entwicklung aus Österreich ab e1,50/monat für 25 GB Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

61 Secure Cloud Demo Demo Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

62 Secure Cloud DAVDroid App für Android Smartphones und Tablets Synchronisation von Kalendern und Kontakten Zwei-Wege-Synchronisation (Server <-> Client) Schwerpunkt auf Security und Privatsphäre Entwicklung aus Österreich Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

64 Backup Dar (Disk ARchive) Backups unter Linux Verschlüsselung (z.b. AES) Ab Version auch GnuPGP Angestrebtes Replacement für tar Entwickler: Denis Corbun, Erstellt ein AES-256 verschlüsseltes Backup des Benutzerverzeichnisses: dar -R $HOME -K aes: -c /media/backup/home-$(date "+%Y%m%d") Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

65 Backup GDar Öffnen von dar Backups Öffnung von verschlüsselten Archiven Entpacken von Dateien/Ordnern Entwickler: Tobias Specht (FH St. Pölten) Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

67 Mobile Devices Einleitung Klartext-Übertragungen Keine Absicherung der Kommunikation Schnelle und Einfache Lösungen verfügbar Vortrag von Sebastian Schrittwieser: WhatsApp und Co.: Angriffvektoren bei Smartphone-Messengers Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

68 Mobile Devices TextSecure Abb. : Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

69 Mobile Devices RedPhone Abb. : Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

70 Mobile Devices Challenge Challenge 1 TextSecure downloaden 2 TextSecure installieren 3 Nachricht an senden 4 Auf die Plätze, fertig, los! Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

72 bettercrypto.org Applied Crypto Hardening Leitfaden für Systemadministratoren Einfache copy & paste Empfehlungen Web, Mail, VPN, SSH, Datenbanken, etc. Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

74 ssllabs.com Webserver-Test Abb. : Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

76 STARTTLS.info Mailserver-Test Abb. : Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78

78 The End Danke für die Aufmerksamkeit. Fragen? TobiasMillauer 8192R/95AD193B blog.tobias-millauer.com Tobias Millauer (FH St. Pölten) Communication Hardening IT-SeCX, / 78