Rechnernetze Praktikum Versuch 8: Zertifikate, Sicherheit in öffentlichen Netzen

Transkript

1 Rechnernetze Praktikum Versuch 8: Zertifikate, Sicherheit in öffentlichen Netzen Ziel Kennenlernen des Netzwerkprotokolls Http mit unterschiedlichen Formen der Authentifizierung sowie Absicherung des Netzwerkverkehrs mittels SSL Vorbereitung Wie arbeitet eine CA Stelle? Was sind die Vorteile von Selbstsignierten Zertifikaten und was die Nachteile? Wie kann ein Zertifikat widerrufen werden? Welche Authentifizierungsmöglichkeiten gibt es bei HTTP? Aufgabenstellung 1. Zertifizierungsstelle konfigurieren 2. Zertifizierungsstellenzertifikat auf Client installieren 3. Selbstsigniertes Zertifikat erstellen und überprüfen 4. Gültiges Zertifikat erstellen und überprüfen 5. Standard Authentifizierung konfigurieren 6. Verbindung über SSL erzwingen Versuchsaufbau 1

2 Durchführung Bei dem Client handelt es sich um vpc06 und bei dem Server um vpc07. Die Konfiguration findet auf dem Server statt. Um die bereits installierten Rollen zu konfigurieren und die Installation abzuschließen, müssen Sie den Servermanager öffnen. Die Verknüpfung befindet sich auf dem Desktop. Der Server Manager lädt nach dem Starten alle Informationen des Servers. Um die Konfiguration abzuschließen klicken Sie auf die Fahne mit dem Ausrufezeichen. Klicken Sie dort auf Active Directory-Zertifikatdienste auf dem Zielserver konfigurieren. Aktivieren Sie alle möglichen Optionen auf der Seite Rollendienste. Folgen Sie den Anweisungen bis die Konfiguration abgeschlossen ist. Danach können Sie den Server Manager schließen. 2

3 Wechseln Sie jetzt zum Client. Öffnen Sie Firefox und tragen Sie in der Adresszeile folgendes ein: Haben Sie den Server richtig konfiguriert, sehen Sie die Microsoft Active Directory Zertifikatsdienstseite. Klicken Sie auf Download eines Zertifizierungsstellenzertifikats, einer Zertifikatkette oder einer Sperrliste dort auf Zertifizierungsstellenzertifikat installieren. Im Fenster alle 3 Haken setzen. 3

4 Klicken Sie als nächstes auf Download des Zertifizierungsstellenzertifikats und speichern Sie die Datei lokal auf Ihrer Festplatte ab. Öffnen Sie als nächstes die Zertifikatsverwaltung auf dem Desktop. Erweitern Sie den Baum und klicken Sie Rechts auf Vertrauenswürdige Stammzertifizierungsstellen Alle AufgabenImportieren Öffnen Sie dann die heruntergeladene Datei. Folgen Sie nun den restlichen Schritten. 4

5 Das Zertifikat sollte nun in der Übersicht vorhanden sein. Wechseln Sie wieder zum Server und starten Sie den IIS-Manager und öffnen Sie das Modul Serverzertifikate. Erstellen Sie dort ein selbstsigniertes Zertifikat. 5

6 Fügen Sie jetzt der Default Web Site eine neue Bindung vom Typ HTTPs hinzu. Als SSL Zertifikat wählen Sie das selbstsignierte Zertifikat. Schließen Sie die Seitenbindungen und wechseln Sie wieder zum Client. Öffnen Sie jetzt die Website Sie erhalten einen Zertifikatsfehler, da dem Zertifikat nicht vertraut wird, weil das Zertifikat selbstsigniert wurde und nicht für diese Adresse gültig ist. 6

7 Wechseln Sie wieder zum Server und öffnen Sie erneut das Modul für die Serverzertifikate. Erstellen Sie eine Zertifikatsanforderung. Tragen Sie bei gemeinsamer Name ein. Folgen Sie den Anweisungen und speichern Sie die Anforderung an einem beliebigen Ort ab. 7

8 Öffnen Sie als nächstes die Zertifizierungsstelle. Rechtsklick auf den Server VPC07-CA alle Aufgaben neue Anforderung einreichen. Öffnen Sie dann die Datei mit der Zertifikatsanforderung. Sie finden die diese jetzt bei VPC07-CA Ausstehende Anforderungen. Rechtsklick auf die Anforderung alle Aufgaben Ausstellen. Wechseln Sie jetzt zu ausgestellte Zertifikate und klicken Sie doppelt auf Ihr ausgestelltes Zertifikat. Im Tab Details ist unten der Button Kopieren vorhanden, drücken Sie diesen und speichern Sie das Zertifikat an einem beliebigen Ort ab. 8

9 Wechseln Sie wieder in das Modul Servicezertifikate im IIS und schließen Sie die Zertifikatsanforderung ab. Als Datei mit der Antwort der Zertifizierungsstelle verwenden Sie Ihr ausgestelltes Zertifikat. Ändern Sie die HTTPs Bindung und ersetzen Sie das selbstsignierte Zertifikat durch das gerade erstellte Zertifikat. 9

10 Wenn Sie nun die Seite auf dem Client neu laden, erhalten Sie keinen Zertifikatsfehler mehr. 10

11 Auf dem Server öffnen Sie das Modul für die Authentifizierung der Default Website und deaktivieren Sie die anonyme Authentifizierung und aktivieren Sie die Standardauthentifizierung. Starten Sie auf dem Client Wireshark und protokollieren Sie den Aufruf des Servers über HTTP und HTTPs. Die Gefahr bei Standardzertifizierung ist, dass Passwörter im Klartext übertragen werden. Um das Problem zu umgehen, öffnen Sie das Modul SSL Einstellungen für die Default Website und setzen Sie den Haken bei SSL erforderlich. Ab jetzt ist es nicht mehr möglich die Website über HTTP zu erreichen. Protokoll Erwartet wird die Abgabe eines Protokolls über die durchgeführten Konfigurationen sowie deren Ergebnisse und Auswirkungen. Empfehlenswert ist dabei die Einbindung entsprechender Screenshots, diese können auf zwei Wegen erstellt werden. ALT + DRUCK Zwischenablage STRG + V z.b. in Paint Mithilfe des Snipping Tool s, was auf allen virtuellen Maschinen und manchen physischen Computern installiert ist 11