Picosafe. Open Source USB-Sticks für Sicherheitsanwendungen. Michael Hartmann 17. März 2013

Transkript

1 Picosafe Open Source USB-Sticks für Sicherheitsanwendungen Michael Hartmann 17. März 2013

2 Über Referent: - Student an der Universität Augsburg (Physik) - Linux und Open Source Begeisterter - Mitorganisator des Augsburger Linux Infotages - seit 2008 bei Embedded Projects Embedded Projects: - Entwicklung Hardware und Software - Webshop - kostenloses Embedded Journal - alles Open Source

3 Unsere Motivation Wie wir zum Thema Sicherheit kommen: - erste Versuche: Einmalpasswort-Generator - ( Un- )Sicherheits-Stick: openkubus - Danach: Versuche mit größeren Firmen mobile Sicherheitsplattform zu entwickeln - Lehren: Community mitnehmen, selber machen! :) Ziele: - einfaches, klares und nachvollziehbares Design - Open Source und kein Security by Obscurity - einfach zu nutzen, einfach anpassbar - sinnvolle Plattform schaffen

4 Geräte Überblick Picosafe Login: - Einmalpasswort-Generator - wird als USB-Tastatur erkannt Picosafe Stick: - Mini-Linux Stick - komplett verschlüsselte und abgesicherte Plattform - vollständiges Linux-System Picosafe FRED: - Mobile Office - vollständiges Linux-System - RFID-Leser, SSD, WLAN

5 Picosafe Login Übersicht - Einmalpasswort-Generator - Stick wird als USB-Tastatur erkannt - Ausgabe per Tastendruck - einfache und günstige Absicherung

6 Picosafe Login Details Hardware: - AVR 8-Bit Atmega16u4 mit 8 MHz und 2,5 KB SRAM - Real Time Clock - Batterie Firmware: - in C geschrieben - LUFA als USB-Bibliothek Für Entwickler: - Bibliotheken für C und PHP - Tool zum Personalisieren und Schreiben der Geheimnisse - Demo-Webanwendung

7 Picosafe Login Sicherheitskonzept Erzeugung eines Einmalpassworts: - 16 Bytes Daten: Uhrzeit (Timestamp), Zähler, fester Datenblock - Daten werden mit AES256 verschlüsselt - Einmalpasswort wird base64-kodiert ausgegeben Verifikation eines Einmalpassworts: - Erkennen des Tastatur-Layouts - Einmalpasswort wird base64-dekodiert - Daten werden mit AES-256 entschlüsselt - Prüfen des Datenblocks, des Zählers und der Uhrzeit

8 Picosafe Login Sicherheitskonzept - Geheimnisse: AES-256-Schlüssel, Datenblock - Symmetrische Verschlüsselung: Stick und Server müssen alle Geheimnisse kennen - Schutz der Geheimnisse durch Lockbits

9 Picosafe Login Demo Live-Demo

10 Picosafe Login Vor- & Nachteile Vorteile: - einfach integrierbar - Firmware anpassbar: Implementierung eigener Algorithmen möglich - wirksamer Schutz gegen Keylogger - weitgehend unabhängig vom Betriebssystem und Tastaturlayout - keine Installation/Einrichtung notwendig Nachteile: - kein Schutz bei Verlust - Passwörter weiter notwendig - Server muss alle Geheimnisse kennen

11 Picosafe Login Ideen & Zukunft - PAM-Modul (gibt es schon) - Verwendung asymmetrischer Kryptographie - Authentifizierung über Challenge-Response (dann nicht mehr plattformunabhängig) - weitere Authentifizierungsalgorithmen - Bootloader für einfachen Austausch der Firmware Wir sind offen für Ideen und Anregungen! :)

12 Picosafe Stick Übersicht - sichere Plattform - Stick mit vollständigem Linux-System - Standard Debian GNU/Linux Bootloader, Kernel, Dateisystem vollständig verschlüsselt - Anwendungen und Dienste laufen in einer vertrauenswürdigen Umgebung - Hardware und Prozessor ähnlich zu GNUBLIN

13 Picosafe Stick Details Hardware: - LPC3143 mit 270 MHz, 32 MB RAM - Prozessor unterstützt sicheres Booten - USB Device - zwei LEDs - Slot für SD-Karten (bis 64 GB) - integrierter Akku Software: - angepasster Bootloader (apex) - Programme zum Erstellen und Verschlüsseln von Kernel, Initramfs und Root-Dateisystem

14 Picosafe Stick Sicherheitsfeatures AES Entschlüsselung: - AES-128: 128 Bit Daten, 128 Bit Schlüssel - CBC über 512 Bytes Daten Secure One-Time Programmable memory (OTP): Bit OTP Speicher (128 Bit AES-Schlüssel) - flexible Lese-/ Schreibschutzmechanismen Zufallszahlengenerator: - echte Zufallszahlen - Zufallszahlen werden permanent erzeugt, unabhängig vom Status des Prozessors

15 Picosafe Stick Sicherheitskonzept Systemstart: 1. Prozessor lädt Bootloader von der SD-Karte 2. Prozessor entschlüsselt Bootloader 3. Prozessor führt (bei erfolgreichem Entschlüsseln) Bootloader aus 4. Bootloader lädt Kernel von der SD-Karte und Entschlüsselt Kernel 5. Bei erfolgreichem Entschlüsseln: Kernel startet und lädt Initramfs 6. initramfs baut Netzwerkverbindung über USB auf und startet Webserver 7. Benutzer kann über Webseite Passwort zum Entschlüsseln des root-dateisystems eingeben 8. System bootet

16 Picosafe Stick Sicherheitskonzept - Verschlüsselung von Bootloader und Kernel durch AES128 - Verschlüsselung des root-dateisystems mit LUKS

17 Picosafe Stick Software Programme / Tools: - Schreiben des Schlüssels in den Prozessor - Erweiterung des Bootloaders zum Laden verschlüsselter Kernel - Erstellen und Verschlüsseln von Kernel, Initramfs und rootdateisystem Kernel: - Kernel-Modul für Zufallszahlengenerator - Kernel-Modul für LED - Anpassung des aes-cbc Kernel-Moduls, um AESHardware-Entschlüsselung des Prozessors zu nutzen

18 Picosafe Stick Anwendungen - Datenlaufwerk - Webanwendungen - weitere Netzwerkdienste: Samba, Kerberos, Filesharing - Datentresor - Schlüssel für SSH, VPN in einer geschützten Umgebung

19 Picosafe Stick Demo Live-Demo

20 Picosafe Stick Vor- & Nachteile Vorteile: - (fast) alle Daten liegen verschlüsselt vor - vollständiges Linux-System - Kernel, Initramfs und root-dateisystem leicht an eigene Bedürfnisse anpassbar - Stick kann als beliebiges USB-Gerät verwendet werden - Stick durch Akku auch portabel nutzbar Nachteile: - Daten im RAM sind unverschlüsselt - Sicherheit des LPC3143 muss vertraut werden

21 Picosafe Stick Ideen & Zukunft Stand: - Hardware fertig und lauffähig - grundlegende Tools vorhanden - Nutzerhandbuch Ziele: - weitere Anwendungen und Einsatzgebiete - neues Gehäuse - Verwaltung von SSH-Schlüsseln bei wechselnden Arbeitsplätzen - Feedback aus der Community :)

22 Picosafe FRED - größere Version des Picosafe Stick - weitere Peripherie: WLAN-Sticks RFID-Leser SSD-Festplatte Pin-Pad größerer Akku - 2. Preis eidee Wettbewerb der Bundesdruckerei - gleiche Plattform wie Picosafe FRED - Work in Progress :)

23 Wie geht s weiter? Interesse? Ideen? - Sprecht uns an! - Schreibt uns Mails! - Picosafe ist eine offene Plattform - Plattform: Ausgangspunkt, um eine Idee zu verwirklichen - Offen: Open Source, aber auch offen für neue Ideen

24 Fragen? Ja? Dann jetzt stellen!

25 Danke! Vielen Dank für Eure Aufmerksamkeit! Adressen: Picosafe: Embedded Projects: Michael Hartmann: