Anmeldung über Netz Secure Socket Layer Secure Shell SSH 1 SSH 2. Systemverwaltung. Tatjana Heuser. Sep Tatjana Heuser: Systemverwaltung

Transkript

1 Systemverwaltung Tatjana Heuser Sep-2011

2 Anmeldung über Netz Secure Socket Layer Secure Shell Intro Client-Server SSH 1 Verbindungsaufbau SSH 2 Verbindungsaufbau Konfiguration Serverseite ssh Configuration File ssh Local Port Forwarding Graphiken, Tabellen und Übersichten, mit freundlicher Genehmigung des Springer-Verlages aus: OpenSolaris für Anwender, Administratoren und Rechenzentren, Dietze, Heuser, Schilling, März 2006.

3 Anmeldung über Netz console login: Solaris Rechner GUI Console login: lokales Netzwerk Internet login: login:

4 Absicherung - Grundproblematik Netzverbindungen können über Zwischensysteme gehen. Zur Absicherung der Kommunikation sind daher mehrere Ebenen zu beachten: 1. Authentifikation der Kommunikationsendpartner 1.1 Identifizierung des Endsystems 1.2 Authorisierung des Benutzers 2. Absicherung des Verbindungsaufbaus, inklusive der Authentifikationsdaten. 3. Absicherung der Nutzdaten.

5 Kommandos zur Anmeldung über Netz telnet traditionelles Kommunikationsprotokoll, das neben interaktivem commandline Zugang auch für textbasierte Dienste (Mail, HTTP) verwendet wird. Telnet selbst unterstützt keine Verschlüsselung. (Kann jedoch selbstverständlich auch auf einer gesicherten Verbindung eingesetzt werden.) rsh interaktiver unverschlüsselter commandline Zugang. (dito) ssh verschlüsselter commandline Zugang, der auch der man-in-the-middle Problematik Rechnung trägt.

6 Secure Socket Layer SSL ssl authentisiert den Server gegenüber dem Client. ssl authentisiert den Client gegenüber dem Server (optional). ssl baut zwischen Client und Server eine verschlüsselte Verbindung auf. ssl nutzt Public Key Verschlüsselung um ein Shared Secret, d.h. einen Session Key zu generieren. Um ssl einsetzen zu können, wird ein gültiges Zertifikat nach dem X.509 Standard benötigt.

7 Einordnung des SSL Protokolls in das OSI Modell Angeordnet zwischen Transport Layer und Übertragungsdiensten wie HTTP, FTP, IMAP, PDU 1 PDU ssl SSL-gesichert ssl Endsystem Zwischensystem Endsystem

8 Einordnung des SSL Protokolls in das TCP/IP Modell Application TELNET, FTP, SMTP Messages oder Streams SSL SSL Verschlüsselung Transport TCP, UDP Transport Protocol Packets Internet IP Datagram IP Network Netzspezifische Frames X.25, Ethernet, FDDI (Hardware) diverse

9 Intro Intro ssh Die ssh wurde als Antwort auf die Verwendung ungesicherter Protokolle und Tools wie rsh, rlogin, rcp,... über ungesicherte Verbindungen entwickelt. Aufgabenstellung 1 Authentifizierung beider Seiten der Verbindung. Vertraulichkeit der übetragenen Informationen. Integrität der übertragenen Daten. 1 Nach [Ylonen:1996]

10 Client-Server SSH Client-Server Client Server ssh sshd ~/.ssh/config /etc/ssh/ssh_config ~/.ssh/known_hosts ~/.ssh/id_dsa.pub sshd /etc/ssh/ssh_host_dsa_key.pub ~/.ssh/authorized_keys /etc/ssh/sshd_config

11 Verbindungsaufbau SSH Protokollversion 1, Verbindungsaufbau Verbindungsaufbau (vereinfacht): client Verbindungsaufbau zu port 22 server version identification version identification known host? public RSA host key, server key (changed hourly) session key (random nr) mit host und server key Confirmation recovers session key Transport level encryption Ab diesem Zeitpunkt ist die Kommunikation gesichert, und die Authentifikation des Benutzers kann über die nunmehr mit dem session key verschlüsselte Verbindung erfolgen.

12 Verbindungsaufbau SSH Protokollversion 2: RFCs Version 2 des SSH Protokolls ist 2006 standardisiert worden: RFC 4250 SSH Assigned Numbers RFC 4251 SSH Protocol Architecture RFC 4253 SSH Transport Layer Protocol Identifikation des Servers stellt eine byteorientierte full-duplex Verbindung zwischen Client und Server zur Verfügung. (confidentiality, integrity) Optional: Compression RFC 4252 SSH Authentication Protocol Setzt auf dem Transport Layer Protokoll auf. Authentifiziert den Benutzer auf der Client-Seite dem Server gegenüber RFC 4254 SSH Connection Protocol channel multiplexing, Flusskontrolle, Signal propagation, connection forwarding

13 Konfiguration Serverseite Konfiguration Serverseite Daemon: sshd auf Port 22, Konfiguration in /etc/ssh/: sshd config Konfigurationsdatei ssh host dsa key private DSA Host key ssh host dsa key.pub public DSA Host key ssh host rsa key private RSA Host key ssh host rsa key.pub public RSA Host key

14 Konfiguration Serverseite Dateien, die vom sshd während des Logins gelesen oder ausgeführt werden Dateien, die vom sshd während des Logins gelesen oder ausgeführt werden /etc/nologin Stop-file, mit dem Benutzerlogins verhindert werden $HOME/.ssh/environment Falls PermitUserEnvironment gesetzt. $HOME/.ssh/rc oder /etc/ssh/rc, sofern existent. /usr/openwin/bin/xauth anderenfalls. Shell oder Kommando

15 Konfiguration Serverseite Host Keys: Trust Models Zwei verschiedene Trust Models: hostbasiert RSA/publickey

16 Konfiguration Serverseite Host Keys lokale Datei auf Seiten des Clients, in der die Zuordnung der Hostnamen oder/und IP Adressen zu dem Public Key des zu kontaktierenden Servers abgelegt werden. /etc/ssh/ssh_known_hosts Systemweites Repository, in dem alle site-lokalen public keys verzeichnet sein sollten. administrativer Aufwand. $HOME/.ssh/known_hosts Repository unter Kontrolle des einzelnen Benutzers, in dem darüber hinausgehende public keys weiterer Hosts abgelegt werden. Format <hostname>,<hostname>,<... >,<ip> <public key> <optional comment>

17 ssh Configuration File User Configuration File:.ssh/config Konfigurationsoptionen werden per host eingestellt, jeweils eine Host -Option beginnt eine neue Gruppe Einträge. Host * Einträge sollen für alle/beliebige Hosts gelten. Host arietis Eintrag gilt für spezifischen Host arietis. Hostnamen können auch auf aliase gelegt werden: Host arietis Hostname arietis.mi.fu-berlin.de User testinette Port 2222

18 ssh Configuration File User Configuration File:.ssh/config Hiermit lässt sich auch eine fehlende Namensauflösung ersetzen. Konfigurieren Sie dies für die von Ihnen anzusprechenden Partitionen. Host hlp21 Hostname User root Host tlp41 Hostname User root

19 ssh Local Port Forwarding Local Port Forwarding Beispiel: Aus dem VPN soll ein nur von innen zugänglicher Webservice erreicht werden. Rechner im VPN poolrechner webserver Aufruf ssh -L 8001:web.mi.fu-berlin.de:80 config Host moskau Hostname moskau.mi.fu-berlin.de User testinette Port 22 LocalForward localhost:8001 web.mi.fu-berlin.de:80