110.3 Daten durch Verschlüsselung schützen

Transkript

1 LPI-Zertifizierung Daten durch Verschlüsselung schützen Copyright ( ) by Dr. Walter Kicherer. This work is licensed under the Creative Commons Attribution- Noncommercial-Share Alike 2.0 Germany License. To view a copy of this license, visit or send a letter to Creative Commons, 543 Howard Street, 5th Floor, San Francisco, California, 94105, USA.

2 SSH Gefahren bei der Fernadministration DNS-Spoofing Ein weiterer DNS-Server wird vom Hacker installiert und liefert falsche Ergebnisse. IP-Spoofing Ein Rechner verwendet eine falsche IP-Adresse Ausspähen und Ändern von Daten Daten können mitgelesen und verändert werden. Man in the Middle Zwischen den Kommunikationspartnern hat sich jemand unbemerkt in die Kommunikation eingeklinkt.

3 SSH Sicherer Zugriff aus der Ferne auf einen Server 2 Grundprobleme: Verschlüsselte Übertragung der Daten Authentifizierung Lösung: Client -> Server Server -> Client OpenSSH2 (wenn möglich immer Version 2 verwenden, da sicherer!)

4 Ablauf SSH Client Verbindungswunsch (Port 22) Server ~/.ssh/known_hosts pub. Server-Key =? - unbekannt => Fragen - falsch => ablehnen pub. Server-Key Konfigurierbar! (Man-in-the-Middle) /etc/ssh/ssh_host_dsa_key.pub /etc/ssh/ssh_host_dsa_key Zufallszahl Server OK =? Austausch sym. Schlüssel Diffie-Hellman-Key-Exchange Zufallszahl Authentifizierung des Clients - Passwort - asym. Schlüssel (autorized_keys) Sichere Kommunikation

5 Ablauf SSH Diffie-Hellman-Key-Exchange Auswahl g und p, wobei p eine große Primzahl ist und g ist primitiv mod p g, p, A Zufallszahl a A = g a mod p Zufallszahl b B B = g b mod p Key = A b mod p = B a mod p = g ab mod p Key = B a mod p = A b mod p = g ab mod p

6 SSH-Files /etc/ssh ssh_host_key (ssh_host_rsa_key, ssh_host_dsa_key) privater Host-Schlüssel, Rechte 700! ssh_host_key.pub (ssh_host_rsa_key.pub, ssh_host_dsa_key.pub) öffentlicher Host-Schlüssel sshd_config Server-Konfigurationsdatei ssh_config Client-Konfigurationsdatei sshrc Shellskrip, wird aufgerufen nach der Anmeldung (Rechte 755) ssh_known_hosts Bekannte öffentliche Host-Schlüssel

7 SSH-Files ~/.ssh/ known_hosts Bekannte pub. Server-Keys authorized_keys Pub. User-Keys, welche sich ohne Passwort einloggen dürfen (evtl. liegt aber auf dem Key ein Passwort!) id_dsa, id_rsa Priv. User-Key id_dsa.pub, id_rsa.pub rc Pub. User-Key Entspricht sshrc, bezieht sich aber auf den User

8 SSH-Files SSH beachtet auch folgende Dateien: /etc/hosts.allow /etc/hosts.deny /etc/nologin

9 Konfiguration sshd_config (Server): Port Auf diesem Port hört der Daemon. Protocol 1 oder 2, je nach zu verw. Version. Version 2 sollte bevorzugt werden. ListenAddress Auf dieser IP-Adresse hört der Daemon. PermitRootLogin Erlaubt ein Login als root. PasswordAuthentification Authentifizierung per Password erlauben. PubkeyAuthentification Authentifizierung über öffentliche Schlüssel erlauben. X11Forwarding Tunneln von X-Windows erlauben (über ssh kann man andere Protokolle tunneln; siehe später).

10 Konfiguration ssh_config (Client): Port Auf diesem Port verbindet der Client. Protocol 1 oder 2, je nach zu verw. Version. Version 2 sollte bevorzugt werden. PasswordAuthentification Authentifizierung per Password erlauben (default). PubkeyAuthentification Authentifizierung über öffentliche Schlüssel erlauben (default). X11Forwarding Tunneln von X-Windows erlauben (über ssh kann man andere Protokolle tunneln). StrictHosKeyChecking Verhindert die Verbindung, wenn ein Server-Key nicht bekannt ist oder verändert wurde (known_hosts).

11 Programme Verbinden zu einem Server ssh Kopieren von Dateien scp /eine/datei server:/nach/dort Erzeugen von Keys für das KeyChecking ssh-keygen -t dsa (anstatt dsa auch rsa möglich) Einloggen ohne mehrfache Eingabe des Passworts ssh-agent und ssh-add

12 Einloggen User willi auf dem Client pluto möchte sich ohne Passwort als User siggi auf dem Client saturn anmelden: auf pluto als User willi: ssh-keygen -t dsa (ohne Passwort, ACHTUNG: priv. Key ist ungeschützt!) Sicherer Transfer der Datei pluto:~willi/.ssh/id-dsa.pub nach saturn:~siggi/.ssh/ auf saturn als User siggi: cat id-dsa.pub >> ~siggi/.ssh/autorized_keys

13 Tunneln ssh -L [Adresse:]Port_Ziel:host_ziel:port_client Beispiel: ssh -L localhost:110:mail.its-stuttgart.de:1100 normale ssh-verbindung (benutzbar) Client fw.its-stuttgart.de mail.its-stuttgart.de :22 :1100 verschlüsselt nur localhost unverschlüsselt :110 mail.its-stuttgart.de wird per DNS auf fw.its-stuttgart aufgelöst!

14 X-Tunnel Auch der Bildschirm kann per ssh getunnelt werden: Voraussetzung in /etc/ssh/sshd_config muss X11Forwarding auf yes sein Verwendung: ssh -X Alle remote gestarteten X-Programme werden dann lokal angezeigt, z.b. xeyes.

15 Symetrische Verschl. Kla rtext P Versc hlüsselungsmethode E C hiffretext C Entsc hlüsselungsmethode D Kla rtext P Sc hlüssel K C = E (P) K Sc hlüssel K P = D (E (P)) K K Verschlüsselung und Entschlüsselung verwenden den selben Schlüssel!

16 Asymetrische Verschl. Kla rtext P Versc hlüsselungsmethode E C hiffretext C Entsc hlüsselungsmethode D Kla rtext P priva ter Sc hlüssel K C = E (P) K öffentlic her Schlüssel C P = D (E (P)) C K Verschlüsselung und Entschlüsselung verwenden nicht den selben Schlüssel Privater- und Öffentlicher Schlüssel sind ein zusammengehöriges Schlüsselpaar Langsamer als symmetrische Verschlüsselung

17 Fingerprint Der Text (z.b. ein Vertragstext) soll von jedem lesbar sein Es muß eindeutig klar sein, wer den Text signiert hat Nach dem Signieren müssen Veränderungen am Text erkannt werden => Ein Message-Digest (Fingerprint) erfüllt diese Bedingungen

18 Hash Sender Empfä nger Text Ha sh- Funktion Versc hlüsselung Messa ge Digest Entsc hlüsselung =? Ha sh- Funktion priva ter Sc hlüssel öffentlic her Sc hlüssel Eine Hash-Funktion ( eindeutige Quersumme des Textes ) wird mit dem privaten Schlüssel verschlüsselt.

19 Zertifikat Trotz Verschlüsselung und digitaler Unterschrift bleibt ein Problem: Wie kann ich mir sicher sein, dass der öffentliche Schlüssel, den ich von meinem Kommunikationspartner habe, auch wirklich Ihm gehört? => Ein beglaubigtes Zertifikat löst dieses Problem

20 Zertifikat Allg. Angaben des Zertifizierten z.b. Name Ort Zertifikat gültig von - bis öffentlicher Schlüssel Allg. Angaben zur CA (Certificate Authority) z.b. Name der Zertifizierungsstelle Ort Zertifikat gültig von - bis öffentlicher Schlüssel Zertifikat der CA Unterschrift der CA privater Schlüssel der CA Nach dem X.509 Protokoll

21 GnuPG Schlüssel erzeugen (autom. in Schlüsselbund) gpg --gen-key Schlüssel exportieren gpg --output datei.gpg --armor --export name armor = als ASCII, name = Name des Keys Schlüssel in den Schlüsselbund gpg--import datei.gpg Schlüsselbund ansehen gpg --list-keys Auf Keyserver gpg --keyserver hkp://gpg-keyserver.de --send-keys KEY-ID

22 GnuPG Fingerprint ansehen gpg --fingerprint name Schlüssel eines anderen signieren gpg --sign-key name Ansehen der Signaturen eines Schlüssels gpg --check-sign name Widerrufzertifikat erstellen gpg --output revoke.asc --gen.revoke name Schlüssel ändern (signieren, Vertrauen, widerrufen,...) gpg --edit-key name

23 GnuPG verschlüsseln Dateien verschlüsseln gpg --output datei.txt.gpg [--armor] --encrypt recipient \ name [--recipient name2 ] datei.txt Datei entschlüsseln gpg --output datei.txt --decrypt datei.txt.gpg (ist eine Unterschrift vorhanden, wird auch diese überprüft)

24 GnuPG unterschreiben Datei unterschreiben gpg --output text.txt.sig --sign text.txt Binär gpg --output text.txt.sig --clearsign text.txt Klartext gpg --output text.txt.sig --detach-sign text.txt Signatur in extra Datei Unterschrift prüfen gpg --verify text.txt.sig gpg --verify text.txt.sig text.txt wenn Signatur in extra Datei

25 GnuPG Dateien Die Dateien von GnuPG finden sich in ~/.gnupg Pubring.gpg Öffentlicher Schlüsselbund secring.gpg Privater Schlüsselbund trustdb.gpg Daten zu den Vertrauensstellungen random_seed Für den Zufallsgenerator gpg.conf Konfigurationsdatei

26 Aufgaben 1. Richten Sie ssh so ein, dass der Daemon auf Port 2000 hört und Version 2 verwendet. Testen Sie dies. 2. Richten Sie nun einen Account fritz ein, welcher sich ohne Passworteingabe auf dem Server anmelden kann. 3. Wie kann sich der User root auf dem Client-Rechner als der User fritz auf dem Server anmelden? Testen Sie dies. 4. Bauen Sie einen SSH-Tunnel zur Webseite Ihres Nachbarn (nur local erreichbar auf Port 8000) 5. Bauen Sie einen X-Tunnel zu Ihrem Nachbarn. 6. Erzeugen Sie sich einen GPG-Schlüssel, exportieren diesen und verteilen den Expotrt an Ihre Nachbarn. Diese importieren den Schlüssel. 7. Ver- und Entschlüsseln Sie Dateien und tauschen diese mit Ihren Nachbarn aus. 8. Signieren Sie sich gegenseitig Ihre Schlüssel. 9. Unterschreiben Sie Dateien und TAR-Archive und überprüfen Sie deren Unterschriften.