1. Praktikumsaufgabe zur IT-Sicherheit 2

Transkript

1 Prof. Dr. Heiko Knospe SS Praktikumsaufgabe zur IT-Sicherheit 2 X.509 Zertifikate Aufgabe 1 Aufbau einer eigenen CA: (a) Legen Sie zunächst einige notwendige Verzeichnisse an und kopieren Sie die Konfigurationsdatei in Ihr Home-Directory: mkdir certs newcerts private crl touch index.txt; echo 01 > serial chmod go-rwx private cp /usr/lib/ssl/openssl.cnf. Modifizieren Sie den certificate Eintrag in der Konfigurationsdatei openssl.cnf : $dir/certs/itsxxcacert.pem (b) Erzeugen Sie ein 1024 Bit RSA Schlüsselpaar für Ihre Root-CA: openssl genrsa -des3 -out private/cakey.pem 1024 Welche Rolle spielt das symmetrische 3DES Verfahren hier? (c) Erzeugen Sie eine Zertifikatsanforderung: openssl req -new -key private/cakey.pem -out certs/itsxxcareq.pem -config openssl.cnf (d) Kopieren Sie die Anforderung in das Verzeichnis /home/share/certs. Die Root-CA dieses Kurses wird die Anforderung signieren. Kopieren Sie anschließend das fertige Zertifikat itsxxcacert.pem in Ihr Verzeichnis certs. Lassen Sie sich das Zertifikat in lesbarer Form anzeigen: openssl x509 -in certs/itsxxcacert.pem -noout -text Bis wann ist das Zertifikat gültig und welche genaue Bezeichnung hat die unterzeichnende Root CA? Aufgabe 2 Erzeugen Sie Benutzerzertifikate: (a) Erzeugen Sie zunächst ein 1024 Bit RSA Schlüsselpaar: openssl genrsa -des3 -out private/itsxxkey.pem 1024 Wählen Sie nicht die Passphrase des privaten Schlüssels Ihrer CA, sondern eine neue Passphrase. (b) Erzeugen Sie eine Zertifikatsanforderung: openssl req -new -key private/itsxxkey.pem -out certs/itsxxreq.pem -config openssl.cnf Geben Sie als -Adresse itsxx@itsserver.nt.fh-koeln.de an (wichtig für Aufgabe 3). 1

2 (c) Ihr Trustcenter signiert jetzt die Anforderung: openssl ca -notext -in certs/itsxxreq.pem -out certs/itsxxcert.pem -config openssl.cnf Welchen privaten Schlüssel setzen Sie hier ein? (d) Lassen Sie sich Ihr neues Zertifikat in lesbarer Form anzeigen. Geben Sie Ihren öffentlichen RSA Schlüssel an, d.h. ermitteln Sie den Exponent e und den Modulus n. Vergleichen Sie das Zertifikat mit dem Root- Zertifikat aus Aufgabe 1. (e) Erzeugen Sie ein weiteres Benutzerzertifikat itsxxcert2.pem (mit anderen Angaben, sie können aber das gleiche Schlüsselpaar verwenden). Dieses Zertifikat soll anschließend zurückgerufen werden: openssl ca -revoke certs/itsxxcert2.pem -config openssl.cnf Erzeugen Sie eine Certificate Revocation List: openssl ca -gencrl -out crl/itsxxcrl.pem -config openssl.cnf Die CRL können Sie sich mit folgendem Kommando anzeigen lassen: openssl crl -in crl/itsxxcrl.pem -noout -text Kopieren Sie Ihre CRL in das Verzeichnis /home/share/crl. Aufgabe 3 Schreiben Sie Ihre Namen, Matrikelnummer und Studiengang in ein Textfile und erstellen Sie mit Hilfe von openssl daraus eine signierte Mail: openssl smime -sign -in <textfile> -text -out mailfile.sgn -inkey private/itsxxkey.pem -signer certs/itsxxcert.pem -certfile certs/itsxxcacert.pem -from itsxx@itsserver.nt.fh-koeln.de -to its@abusalah.com -subject Praktikum itsxx Es handelt sich hierbei um eine S/MIME Signatur, die insofern eine Alternative zu PGP darstellt. S/MIME (Secure Multipurpose Internet Mail Exchange) ist ein Standard für den sicheren Mailaustausch. Beschreiben Sie den Aufbau der signierten Mail. Schicken Sie die Mail ab: /usr/sbin/exim its@abusalah.com < mailfile.sgn Ändern Sie nun die Empfängeradresse und schicken Sie die Mail an Ihre Adresse. Ein S/MIME-fähiges Mailprogramm (z.b. Outlook oder Mozilla Thunderbird) sollte die Signatur automatisch verifizieren, sofern Sie das Root-Zertifikat des Kurses /home/share/certs/cacert.pem importiert haben (unter Windows die Datei in.crt umbenennen und Doppelklick). Aufgabe 4 Beschreiben Sie in einem Aufsatz die genauen Schritte, die ein S/MIME Mailclient beim Empfang der signierten Mail aus Aufgabe 3 durchführt. Gehen Sie insbesondere auf die zur Prüfung der Signatur notwendigen Zertifikate und Sperrlisten ein. 2

3 2. Praktikumsaufgabe zur IT-Sicherheit 2 Der Einsatz von IPsec In diesem Praktikumsversuch soll die Sicherung der Netzwerkkommunikation mit IPsec unter dem Linux Betriebssystem mit dem Kernel 2.6 praktisch implementiert und analysiert werden. Aufgabe 1 Es soll eine IPsec Verbindung zwischen Ihrem Arbeitsplatzrechner und dem Dozentenrechner konfiguriert und untersucht werden. (a) Die Authentifikation soll mittels Zertifikaten und Signatur erfolgen. Sie verwenden dazu Ihr CA Schlüsselpaar und die Zertifikate aus dem 1. Praktikum. Für die Authentifikation benötigt der ISAKMP Daemon Ihres Systems nun noch den privaten Schlüssel ohne eine Passphrase: openssl rsa -in private/cakey.pem -out itsxxopencakey.pem (b) Legen Sie auf Ihrem Linux-System ein Verzeichnis /opt/ipsec-prak an, auf das ausschließlich root zugreifen kann. Kopieren Sie mit scp Ihr CA-Zertifikat itsxxcacert.pem, das Root-CA Zertifikat cacert.pem und Ihren Schlüssel itsxxopencakey.pem vom Serversystem in dieses Verzeichnis. Der ISAKMP Daemon racoon erwartet das Root CA Zertifikat in der Form hashvalue.0. Legen Sie einen entsprechenden Link an: ln -sf cacert.pem openssl x509 -hash -noout -in cacert.pem.0 (c) Richten Sie nun die SPD (Security Policy Database) so ein, dass für die gesamte IP Kommunikation von und nach ein ESP Tunnel verlangt wird. Ein Beispielskript finden Sie auf der Homepage dieser Vorlesung. Modifizieren Sie es entsprechend und starten Sie das Skript. Lassen Sie sich die SPD mit setkey -D -P anzeigen. Bei Bedarf können Sie die SPD mit setkey -F -P löschen und über das Skript wieder einrichten. (d) Die Security Associations sollen mit dem IKE Protokoll durch den ISAKMP Daemon racoon aufgebaut werden. Legen Sie ein Konfigurationsfile racoon.conf (Beispielkonfiguration auf der Homepage) in Ihrem Verzeichnis /opt/ipsec-prak an. Es soll eine Authentifikation mit Zertifikaten und dem Main Mode durchgeführt werden. Starten Sie nun den ISAKMP Daemon in einer eigenen Shell (im Debug Mode) mit racoon -f /opt/ipsec-prak/racoon.conf -F -d 3

4 (e) Starten Sie den Network-Analysator ethereal und schicken Sie mit ping ICMP Pakete an Schreiben Sie auf, welche ISAKMP Nachrichten zum Aufbau der SA s zwischen den Systemen ausgetauscht werden. Wieviel Zeit vergeht zwischen der ersten und letzten ISAKMP Nachricht? Notieren Sie auch, wie groß (Anzahl der Bytes ab dem äußeren IP Header) diese Pakete jeweils sind. Ermitteln Sie die ausgehandelten Schlüssel (setkey -D). (f) Senden Sie mit ping -s N (für N = 10, 50, 100, 200, 500, 1000) Pakete an den Dozentenrechner und ermitteln Sie durch Vergleich mit einer ungeschützten IP Verbindung (zu einem anderen Rechner) schriftlich den Overhead des ESP Tunnelprotokolls (vergleichen Sie die Paketgrößen ab dem äußeren IP Header). Notieren Sie Ihre Messwerte. (g) Untersuchen Sie nun IKE im Aggressive Mode. Stellen Sie dazu in racoon.conf den Exchange Mode von main auf aggressive um. Beenden Sie dann racoon, löschen Sie die SAD mit setkey -F und starten Sie racoon neu. Beschreiben Sie die ISAKMP Nachrichten im Aggressive Mode und erläutern Sie die Unterschiede zum Main Mode. Aufgabe 2 Untersuchen Sie das AH Protokoll im Transport Modus. Die Sicherheitsbeziehungen werden nun nicht über IKE ausgehandelt wie in Aufgabe 1 sondern auf beiden Seiten direkt konfiguriert (manual keying). (a) Arbeiten Sie mit einer Partnergruppe zusammen. Modifizieren oder erweitern Sie Ihre SPD analog zu Aufgabe 1c (mit transport statt tunnel). Die SAD Einträge konfigurieren Sie manuell mit einem Skript nach folgendem Muster: #!/usr/sbin/setkey -f flush; add (src-ip) (dest-ip) ah 0x200 -m transport -A hmac-md5 0x(128-Bit-Key0); add (dest-ip) (src-ip) ah 0x201 -m transport -A hmac-md5 0x(128-Bit-Key1); Welche SPI und Schlüssel muss dann die Partnergruppe wählen? (b) Testen Sie diese AH/Transport-Verbindung. Stellen Sie die gesicherten (authentifizierten) Pakete mit ethereal dar und erläutern Sie mündlich die einzelnen Bestandteile. 4

5 3. Praktikumsaufgabe zur IT-Sicherheit 2 Sicherheitsmanagement und IT-Grundschutz Ziel dieser Praktikumsaufgabe ist die Anwendung des IT-Grundschutzhandbuchs des BSI (Bundesamt für Sicherheit in der Informationstechnik). Vorbereitung: Arbeiten Sie den Webkurs zur Einführung in das IT-Grundschutzhandbuch durch. Der Kurs ist online verfügbar unter Alternativ können Sie den kompletten Kurs auch als Zip-File unter herunterladen. Sie sollen das IT-Grundschutzhandbuch auf die Beispielfirma Recplast GmbH anwenden, wobei für dieses Praktikum bestimmte Änderungen vorgenommen werden. Laden Sie das PDF Dokument mit der Beschreibung dieses Beispielunternehmens von der Homepage des Kurses. Aufgabe 1 Das Unternehmen hat mittlerweile einen WWW-Proxy (S7) und einen externen Mailserver (S8) in einer DMZ eingerichtet, so dass die internen Systeme keinen direkten Internet-Zugang mehr benötigen. (a) Erweitern Sie die Firewall-Architektur und fertigen Sie einen bereinigten Netzplan mit den neuen Komponenten an (vgl. Kap. 3, Abb. 3). Tip: Für die DMZ benötigen Sie eine weitere Firewall (N8) und einen zusätzlichen Switch (N9). (b) Erweitern bzw. modifizieren Sie die Erhebung der IT-Systeme (Kap. 3.2), d.h. die Übersicht der Server und der Netzkomponenten. Wählen Sie für die neuen Komponenten sinnvolle Plattformen und Standorte, die zur bisherigen Infrastruktur der Firma Recplast passen. (c) Erweitern bzw. modifizieren Sie die Erhebung der IT-Anwendungen (Kap. 3.3). Überprüfen Sie insbesondere die Tabellen a) und c). (d) Bestimmen Sie den Schutzbedarf für die neuen Server- und Netzkomponenten (Kap. 4.3). (e) Bestimmen Sie den Schutzbedarf der Kommunikationsverbindungen (Kap. 4.4) zwischen dem Internet und dem zentralen Switch N3. Kennzeichnen Sie die kritischen Verbindungen mit Ziffern, die die Begründung für die Einstufung angeben (vgl. Abbildung 4) und begründen Sie dies jeweils. 5

6 (f) Ergänzen Sie die Modellierung gemäß IT-Grundschutz (Kap. 5) für IT-Systeme, Netze und Anwendungen, d.h. stellen Sie fest welche Bausteine des Grundschutzhandbuchs auf die Komponenten anzuwenden sind. Aufgabe 2 Definieren und prüfen Sie nun Standard-Sicherheitsmaßnahmen: (a) Listen Sie im Rahmen eines Basis-Sicherheitschecks (Kap. 6) für den Baustein 7.3 Sicherheitsgateway (Firewall) die für die Recplast GmbH relevanten Maßnahmen (mit ihrer Priorität) auf. (b) Geben Sie die Sicherheitsziele für die Firewall-Systeme an (M 2.70). (c) Welche Formen von Paketfiltern gibt es (M 2.74) und welche Vor- und Nachteile hat die bisher gewählte Plattform? (d) Legen Sie die Policy für die Sicherheitsgateways fest und geben Sie die Paketfilterregeln für die Systeme N2 und N8 an (vgl. M 2.71, M 2.76). Überlegen Sie insbesondere, welche Dienste in der DMZ angeboten werden. Alle anderen Dienste und Protokolle sollten nicht zugelassen werden. Berücksichtigen Sie auch die VPN - Verbindungen der Vertriebsbüros aus dem Internet zur internen Firewall (IKE und ESP Protokoll). Die Administration der DMZ-Systeme erfolgt ausschließlich mit SSH aus dem internen Netz. Verwenden Sie die Notation aus der Vorlesung zur Darstellung der Paketfilterregeln. 6