Comtarsia SignOn Familie

Transkript

1 Comtarsia SignOn Familie Handbuch zur RSA Verschlüsselung September 2005 Comtarsia SignOn Agent for Linux 2003 Seite 1/10

2 Inhaltsverzeichnis 1. RSA Verschlüsselung Einführung RSA in Verbindung mit der SignOn Gate Familie Funktionsweise Generieren eigener RSA-Keys Generieren von RSA-Keys für den SignOn Proxy Generieren von RSA-Keys für Windows SignOn-Agents Generieren von RSA-Keys für Unix SignOn-Agents... 9 Comtarsia SignOn Agent for Linux 2003 Seite 2/10

3 1. RSA Verschlüsselung 1.1 Einführung Alle Produkte der Comtarsia SignOnGate Familie unterstützen die Verwendung von RSA Verschlüsselung zum sicheren Transport der Daten über das Netzwerk. Vom heutigen Stand der Sicherheit aus betrachtet ist es leicht, Daten welche über ein Netzwerk gesendet werden, auszuspionieren, abzufangen bzw zu manipulieren. Deshalb ist es untragbar sicherheitsrelevante Informationen wie zb. Passwörter unverschlüsselt zu übertragen. Die RSA Verschlüsselung basiert auf dem Public-Key - Private-Key Prinzip. Die Daten werden mit dem Public-Key des Empfängers verschlüsselt und können nur von diesem mit seinen Private-Key entschlüsselt werden. Comtarsia SignOn Agent for Linux 2003 Seite 3/10

4 1.2 RSA in Verbindung mit der SignOn Gate Familie Funktionsweise Die Informationen, welche vom Logon Client zum SignOn Proxy und vom SignOn Proxy zu den SignOn Agents übertragen werden, werden RSA verschlüsselt. Ist kein Key definiert, wird ein interner Key verwendet (512 Bit). Der interne Key eignet sich nur für einen Testbetrieb und muss für den Produktionsbetrieb durch einen eigens generierten Schlüssel ersetzt werden. Aus Sicherheits Gründen wird empfohlen, einen eigenen Key zu generieren Generieren eigener RSA-Keys Das CreateKeys Tool wird verwendet, um ein RSA Key Paar für den SyncAgent bzw. SyncProxy Server zu erstellen. Es befindet sich im Installationsverzeichnis des SignOn Gate. Um einen eigenen Key zu erstellen müssen Sie das Tool über eine Kommandozeile aufrufen. Parameter: CreateKeys target keysize [domainsync] Target Gibt an für welche Komponente ein Schlüsselsatz erzeugt werden soll Mögliche Werte: ComtSOA_sys > Agent-Key (Windows) ComtSOA_LDAP > LDAP-Agent Key comtsoa_sys_unix > Agent-Key (Unix/Linux) ComtSOP > Proxy-Key (Windows) KeySize Gibt an welche Schlüsselgrösse verwendet werden soll muss ein Vielfaches von 8 sein DomainSync Optional. Gibt an für welchen UNIX Server das Schlüsselpaar erstellt werden soll. Der Public-Key wird automatisch in die Registry eingetragen. (Wird nur in Kombination mit ComtSOA_sys_UNIX verwendet) Comtarsia SignOn Agent for Linux 2003 Seite 4/10

5 1.2.3 Generieren von RSA-Keys für den SignOn Proxy Öffnen Sie eine Kommandozeile am Rechner auf dem der SignOn Proxy installiert ist und welchseln Sie in das Verzeichnis in welchem Sie die Comtarsia SignOn Gate Dateien installiert haben. Microsoft Windows 2000 [Version ] (C) Copyright Microsoft Corp. C:\>cd \program files\comtarsia\signon gate 2003 Führen Sie CreateKeys mit dem Parameter comtsop und der von Ihnen gewünschten Schlüsselgrösse aus. createkeys comtsop 2048 CreateKeys.exe (c) 2005 Comtarsia IT Services GmbH Generating keys... Generate keys returns: 0 RNG 4 was used to generate keys RSA private key written succesfully. RSA public key written succesfully. Beachten Sie dass die Schlüsselgrösse ein Vielfaches von 8, zwischen 512 und 2048 sein muss. Das Erstellen von Schlüsseln, grösser als 1024 kann längere Zeit in Anspruch nehmen. Die Schlüssel wurden nun in der Registry eingetragen. HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ComtSOP\Keys Nachdem Sie den SignOn Proxy - Dienst neu gestartet haben erfolgt jede weitere Kommunikation zwischen dem Logon Client und dem SignOn Proxy verschlüsselt. Comtarsia SignOn Agent for Linux 2003 Seite 5/10

6 1.2.4 Generieren von RSA-Keys für Windows SignOn-Agents Öffnen Sie eine Kommandozeile am Rechner auf dem der SignOn Agent installiert ist und welchseln Sie in das Verzeichnis in welchem Sie die Comtarsia SignOn Gate Dateien installiert haben. Microsoft Windows 2000 [Version ] (C) Copyright Microsoft Corp. C:\>cd \program files\comtarsia\signon gate 2003 Führen Sie CreateKeys mit dem Parameter ComtSOA_Sys und der von Ihnen gewünschten Schlüsselgrösse aus. createkeys comtsoa_sys 2048 CreateKeys.exe (c) 2005 Comtarsia IT Services GmbH Generating keys... Generate keys returns: 0 RNG 4 was used to generate keys RSA private key written succesfully. RSA public key written succesfully. Beachten Sie dass die Schlüsselgrösse ein Vielfaches von 8, zwischen 512 und 2048 sein muss. Das Erstellen von Schlüsseln, grösser als 1024 kann längere Zeit in Anspruch nehmen. Die Schlüssel wurden nun in der Registry eingetragen. HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ComtSOA_SYS\Keys Nun müssen Sie den Public-Key auf den Rechner übertragen auf welchem der SignOn Proxy installiert ist. Exportieren sie dazu den Eintrag aus der Registry mit folgendem Kommando: Comtarsia SignOn Agent for Linux 2003 Seite 6/10

7 C:\>regedit /e keys.reg HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ComtSOA_SYS\Keys C:\> Öffnen Sie die soeben erstellte Registry-Datei mit einen Texteditor (zb.: Notepad) Bearbeiten Sie die Datei nun Folgendermassen: Ändern Sie den hinteren Teil von: [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ComtSOA_SYS\Keys] von ComtSOA_SYS\Keys auf ComtSOP\DomainSync\DOMAIN\SERVER Wobei sie DOMAIN durch den Namen der Domäne und SERVER durch den Namen des Servers (wie im SignOn Proxy -Konfigurator eingestellt), auf welchem der SignOn Agent installiert ist ändern. [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ComtSOP\DomainSyn c\w2kdom1\comtw2k] Löschen Sie anschliessend den Bereich RSAPRIVATEKEY=hex:... Die Datei sollte nun ungefähr so aussehen: Windows Registry Editor Version 5.00 "RSAPUBLICKEY"=hex:78,7f,2f,00,a2,00,00,00,00,02,00,00,2d,2d,2d,2d,2d,42,45,47,\ 49,4e,20,52,53,41,20,50,55,42,4c,49,43,20,4b,45,59,2d,2d,2d,2d,2d,0a,4d,45,\ 67,43,51,51,44,43,63,76,54,4e,76,4d,39,5a,57,57,42,41,46,42,2b,38,4c,69,37,\ 65,44,2b,6c,6a,54,33,49,35,45,63,39,58,38,78,70,4e,74,54,6d,47,44,79,6d,49,\ 79,35,6c,63,44,47,79,63,37,78,78,57,0a,65,65,6f,53,69,5a,4a,6d,4c,30,4e,52,\ 78,7a,55,55,4f,6f,4f,4b,45,62,4b,47,52,78,45,6e,41,67,4d,42,41,41,45,3d,0a,\ 2d,2d,2d,2d,2d,45,4e,44,20,52,53,41,20,50,55,42,4c,49,43,20,4b,45,59,2d,2d,\ 2d,2d,2d,0a Speichern Sie die Datei ab und übertragen diese auf den Rechner auf dem der SignOn Proxy installiert ist. (zb.: mittels Diskette) Importieren Sie die Datei anschliessend in die Registry mittels: A:\>regedit /s keys.reg A:\> Die Schlüssel wurden nun in der Registry eingetragen. HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ComtSOP\DomainSync \w2kdom1\comtw2k Comtarsia SignOn Agent for Linux 2003 Seite 7/10

8 Löschen Sie aus Sicherheitsgründen die Datei Keys.reg sowohl von der Diskette als auch von dem Server von dem Sie den Schlüssel aus der Registry exportiert haben. C:\>del keys.reg C:\> Starten Sie den SignOn Proxy - Dienst am SignOn Proxy - Server und den SignOn Agent - Dienst am SignOn Agent - Server neu. Nun erfolgt jede weitere Kommunikation zwischen dem SignOn Proxy und dem SignOn Agent, mit den von Ihnen erstellten Key, verschlüsselt. Führen Sie diese Schritte für JEDEN SignOn Agent durch damit die maximale Sicherheit gewährleistet ist. Comtarsia SignOn Agent for Linux 2003 Seite 8/10

9 1.2.5 Generieren von RSA-Keys für Unix SignOn-Agents Öffnen Sie eine Kommandozeile am Rechner auf dem der SignOn Proxy installiert ist und welchseln Sie in das Verzeichnis in welchem Sie die Comtarsia SignOn Gate Dateien installiert haben. Microsoft Windows 2000 [Version ] (C) Copyright Microsoft Corp. C:\>cd \program files\comtarsia\signon gate 2003 Führen Sie CreateKeys mit dem Parameter comtsoa_sys_unix, der von Ihnen gewünschten Schlüsselgrösse und dem Parameter SYNCSERVERDOMAIN\SYNCSERVERNAME aus. Statt SYNCSERVERDOMAIN\SYNCSERVERNAME verwenden Sie den Domain Name und Server des SignOn Agent - Servers wie im SignOn Proxy - Konfigurator eingetragen. createkeys comtsoa_sys_unix 2048 linuxdom\linuxsrv CreateKeys.exe (c) 2005 Comtarsia IT Services GmbH Generating keys... Generate keys returns: 0 RNG 4 was used to generate keys RSA public key written succesfully to ComtSOP\DomainSync\linuxdom\linuxsrv. Beachten Sie dass die Schlüsselgrösse ein Vielfaches von 8, zwischen 512 und 2048 sein muss. Das Erstellen von Schlüsseln, grösser als 1024 kann längere Zeit in Anspruch nehmen. Der Public-Key wurden nun in der Registry eingetragen. HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ComtSOP\DomainSync \linuxdom\linuxsrv Comtarsia SignOn Agent for Linux 2003 Seite 9/10

10 Zusätzlich wurden im Installationsverzeichnis des SignOn Proxy folgende Dateien erzeugt: Privkey.dat Pubkey.dat Diese Dateien müssen Sie jetzt auf den Unix/Linux-Rechner in das Verzeichnis kopiert werden in welchem die Binären Dateien des SignOn Proxy liegen. Standardmässig ist es das Verzeichnis /usr/sbin/soa. Achtung! Aus Sicherheitsgründen sollten Sie die Schlüssel nicht übers Netzwerk übertragen da diese ausspioniert werden könnten! Verwenden Sie stattdessen eine Diskette. Anschliessend müssen Sie den SignOn Proxy -Dienst am Windows Rechner neu starten. Zum Beisbiel mit dem SignOn Proxy -Konfigurator. Ebenso müssen Sie den SignOn Agent am Unix/Linux Rechner neu starten. Standardmässig geschieht dies über: /etc/comtsoa_sys/comtsoa_sysctl restart Nun erfolgt jede weitere Kommunikation zwischen dem SignOn Proxy und dem SignOn Agent, mit den von Ihnen erstellten Key, verschlüsselt. Comtarsia SignOn Agent for Linux 2003 Seite 10/10