Internetsichere Kennwörter

Transkript

1 Internetsichere Kennwörter TEFO 2013,, Zürich André Liechti, CTO SysCo systèmes de communication sa, Neuchâtel, Suisse S y s C o

2 Referent André Liechti CTO SysCo systèmes de communication sa dipl. Kom.-Syst.-Ing. ETH dipl. Elektronik-Ing. HTL SysCo systèmes de communication sa 15 Jahre altes Unternehmen mit Sitz in Neuenburg Sicherheit, Beratung und kundenspezifische Entwicklungen Windows und Linux (Open-Source-)Lösungen 2

3 Agenda Warum sind statische Kennwörter nicht sicher? Wie funktionieren verschiedene Lösungen für mehr Sicherheit? multiotp, unsere Open-Source-Lösung multiotp mit ZyXEL Produkten einsetzen Live-Demo mit der kommerziellen Version multiotp Pro Fragen? 3

4 SysCo systèmes de communication sa Warum sind statische Kennwörter nicht sicher? (auf Internet, aber auch irgendwo)

5 Warum sind statische Kennwörter nicht sicher? gleiches Kennwort für verschiedene Verwendungen 5

6 Ein paar schöne Hardware-Tools Keylogger Kamera in einem Autoschlüssel 6

7 ... und ein paar schönere Hardware-Tools ;-) drahtlose Keylogger gefälschte USB-Tastatur in einem Memory-Stick usw 7

8 Wie funktionieren verschiedene Lösungen für mehr Sicherheit? SysCo systèmes de communication sa

9 Wie funktionieren verschiedene Lösungen für mehr Sicherheit? Authentifizierung mit einem zweiter Faktor. Beispiel für die Kombination von Wissen und Besitz: ein Geldautomat Man besitzt die Bankkarte und weiss die persönliche Identifikationsnummer (PIN). 9

10 Starke Authentifizierung mit einem Einmal-Passwort Keine Software-Installation für den Anwender notwendig (betriebssystem- und browserunabhängig) Kennwortliste 10

11 Kennwortliste / Streichliste Login = Benutzername + Passwort + nächster Code Listen auf dem Server Benutzerliste für User A 11

12 Langjähriger Marktführer Zeitbasierter automatischer Generator mit geheimem Algorithmus 70% des Marktes im Jahr 2003 (25 Millionen Geräte wurden bisher produziert) 12

13 Erste Open-Source Einmal-Passwort-Lösung Mobile-OTP (2003) PIN-Code + zeitbasierter Algorithmus Open-Source, mehr als 40 verschiedene Implementierungen Java J2ME für Handys (am Anfang) Unix-Shell-Skript auf dem Server 13

14 Standardisierte Einmal-Passwort-Generatoren HOTP : HMAC-based One-time Password Algorithm (2005) Code-Konstruktion basiert auf einer kryptografischen Hash-Funktion offener Standard (OATH: Initiative für Open Authentication) 14

15 HOTP-Authentifizierung auf dem Server Benutzer Server

16 Kein Synchronisations-Problem mehr mit TOTP TOTP : Time-based One-time Password Algorithm (2008) HOTP-basiert der Zähler ist die Zeit in 30 Sekunden Schnitten 16

17 TOTP-Authentifizierung auf dem Server Benutzer Server

18 Einige HOTP-/TOTP-Token 18

19 SMS-Token OTP Server Benutzername + Passwort + Token 19

20 SysCo systèmes de communication sa multiotp unsere Open-Source-Lösung seit Juni 2010!

21 multiotp Warum haben wir multiotp entwickelt? keine preiswerte Lösung für kleine Unternehmen verfügbar bestehende Produkte erfordern meistens Windows Server bestehende Anwendungen sind Ressourcen-intensiv Warum Open-Source? wir bekommen Benutzer-Vorschläge und Feedback Sicherheit ist auch von anderen Entwicklern analysiert Benutzer können sicherstellen, dass es keinen Trojaner im Programm gibt! 21

22 multiotp Das Konzept Open-Source PHP Klasse (und in einer einzigen Datei) unabhängig vom Betriebssystem Funktioniert einwandfrei auf allen Web-Servern (auch mit Shared Hosting) Daten sind in Dateien oder in MySQL Datenbank gespeichert ein einfaches Kommandozeilen Programm implementiert alle Methoden Kommandozeile ist kompatibel mit dem zentralen Open-Source Authentifizierungs-Server FreeRADIUS (auch für Windows verfügbar) Der Systemadministrator kann Skripte machen, um Anwender zu erstellen 22

23 multiotp Das Konzept (2) Weitverbreitete Standards sind unterstützt Mobile-OTP, HOTP, TOTP SMS Token Streichlisten HOTP-/TOTP-Software-Token werden mit QRcode konfiguriert Hardware-Token-Dateien können importieren werden ZyXEL OTPv2 : importalpine.dat ZyXEL OTPv1 : 10OTP_data01_upgrade.sql PSKC-Dateien (verschlüsselte Dateien ab Januar 2014) 23

24 multiotp Windows Installation 3-Minuten-Installation! auf Webseite gehen aktuelle Version herunterladen Datei in den Ordner C:\multiotp\ entpacken Readme Datei lesen ;-) FreeRADIUS Dienst installieren C:\multiotp\radius_install.cmd fertig! 24

25 multiotp «tefo» Benutzer erstellen Benutzer erstellen C:\multiotp>multiotp -fastcreate tefo 11 INFO: User successfully created or updated Token Informationen im QRcode speichern C:\multiotp>multiotp -qrcode tefo C:\multiotp\tefo.png 16 INFO: QRcode successfully created QRcode an Benutzer senden (eingeschrieben) 25

26 multiotp «tefo» Token erstellen Google Authenticator App herunterladen Android, ios, BlackBerry QRcode scannen Token ist schon bereit! 26

27 multiotp «tefo» Benutzer authentifizieren Benutzer authentifizieren C:\multiotp>multiotp tefo OK: Token accepted das gleiche Token zum Beispiel noch einmal probieren C:\multiotp>multiotp tefo ERROR: The time based token has already been used Streichliste erstellen C:\multiotp>multiotp -scratchlist tefo , , , , , , , , ,

28 Starkes Authentifizierungs Gerät, Homemade-Edition SD Karte mit Debian Linux für Raspberry Pi ($10) + multiotp ($0) Echtzeituhr ($15) 80 28

29 multiotp mit ZyXEL Produkten einsetzen SysCo systèmes de communication sa

30 multiotp und ZyWALL USG 100 Authentifizierung mit ZyWALL OTPv2 multiotp 30

31 Benutzer mit ZyWALL OTPv2 Token erstellen Token importieren C:\multiotp>multiotp -import importalpine.dat ( ) Info: Token b31da successfully imported 15 INFO: Tokens definition file successfully imported Benutzer demo erstellen für Token Nummer b31da (und mit Präfix PIN 1234) C:\multiotp>multiotp -create demo -token-id b31da INFO: User successfully created or updated Präfix PIN Anforderung einstellen C:\multiotp>multiotp -set demo prefix-pin=1 19 INFO: Requested operation successfully done 31

32 ZyWALL USG 100 RADIUS konfigurieren

33 ZyWALL USG 100 Authentifizierungsmethode

34 ZyWALL USG 100 WWW-Authentifizierung 34

35 ZyWALL USG 100 VPN-Authentifizierung 35

36 ZyWALL USG 100 Firewall-Regel hinzufügen 36

37 Starke Authentifizierung für SSL-VPN 37

38 multiotp und ZyXEL N4100 Hotspot-Gateway multiotp 38

39 ZyXEL N4100 RADIUS konfigurieren 39

40 ZyXEL N4100 Abrechnung konfigurieren 40

41 ZyXEL N4100 Login-Seite konfigurieren 41

42 Live-Demo mit der kommerziellen Version multiotp Pro SysCo systèmes de communication sa

43 multiotp Pro KMU-Authentifizierungs-Server ab Januar 2014 lieferbar CHF 499 (inkl. MwSt.) inkl. 20 Benutzer Auch als VM erhältlich kostenlos für 5 Benutzer ab 16. Dezember 2013 als Pre-Release herunterladbar 43

44 secupass - einfacher SMS-Authentifizierungs-Dienst secupass online Dienst (ab Januar 2014) für ZyXEL N4100 oder ZyXEL NXC

45 Fragen? S y s C o systèmes de communication sa Crêt-Taconnet 13 tel fax Neuchâtel info@sysco.ch 45