SecLab. SecLab 04 v2.00. SSH server i upotreba javnog i tajnog ključa. Cilj vežbe

Transcription

1 SecLab 04 SecLab 04 SSH server i upotreba javnog i tajnog ključa Cilj vežbe Cilj ove vežbe je upoznavanje sa SSH protokolom u u Linux okruženju uz upotrebu javnog i tajnog ključa. Za ovu vežbu će se koristiti Virtuelna laboratorija VNLab. Kao alternativa se može koristi Oracle VirtualBox softer za virtuelizaciju koji je instaliran na svakoj radnos stanici i dve virtualne mašine sa Linux CentOS 6.2 operativnim sistemom i instaliranim ssh serverom (na svakoj virtualnoj mašini su instalirani paketi: openssh-server-5.3p1-70.el6.i686.rpm, openssh-clients-5.3p1-70.el6.i686.rpm, openssh-5.3p1-70.el6.i686 i libssh el6_1.1. i686.rpm). SSH protokol Secure Shell protokol (SSH) je mrežni protokol koji korisnicima omogućuje uspostavljanje sigurnog komunikacionog kanala između dva računara putem nesigurne računarske mreže. SSH mrežni servis pruža mnogo veću sigurnost nego tradicionalni mrežni servisi (telnet, ftp, rsh i drugi), budući da se u vreme njihovog nastanka nije previše pažnje obraćalo na sigurnost računarskih sistema. Postoje dve nekompatibilne verzije protokola, SSH-1 i SSH-2. Prva verzija protokola ima dosta nedostataka, pa se skoro više i ne koristi. SSH-1 nastao godine a razvio ga je finac Tatu Ylönen, koji je tada bio istraživač na tehnološkom univerzitetu u Helsinkiju (University of Technology, Helsinki). Prva verzija SSH protokola imala dosta sigurnosnih problema, a sve ih se više otkrivalo kako je program bivao sve popularniji. Zbog toga kompanija koju je osnovao Ylönen SSH Communications Security Ltd godine predstavlja novu verziju protokola koja je nekompatibilna sa starom jer uvodi nove algoritme. Ta nova verzija protokola nosi oznaku SSH 2.0. SSH je postao IETF (Internet Engineering Task Force) standard a glavni delovi njegove arhitekture opisani su u sledećim RFC (eng. Request For Comments) dokumentima: RFC The Secure Shell (SSH) Protocol Architecture, RFC The Secure Shell (SSH) Authentication Protocol, RFC The Secure Shell (SSH) Transport Layer Protocol i RFC The Secure Shell (SSH) Connection Protocol. Iako danas sve više prevladava upotreba SSH-2 protokola, zbog postojanja programa koji ne podržavaju novu verziju tog protokola ponekad nije moguće izbeći SSH-1 protokol. Osnove sigurnosti SSH protokola Sigurnost SSH protokola temelji se na upotrebi kriptografskih metoda koje omogućuju zaštitu podataka koji se kreću kroz nesigurnu mrežu. Osim toga, spomenute metode mogu se iskoristiti za proveru identiteta korisnika koji učestvuju u komunikaciji i za zaštitu podataka od neovlašćenih izmena, odnosno očuvanje njihovog integriteta. Simetrična enkripcija podataka

2 Podaci koji se razmenjuju između dva udaljena korisnika kroz nesigurnu mrežu moraju se zaštiti enkripcijom. U tu svrhu najčešće se koriste simetrični kriptografski algoritmi. Reč je o matematičkim postupcima koji menjaju ulazni niz po nekom ključu tako da je bez poznavanja tog ključa praktično nemoguće otkriti izvorni niz. Pritom se isti ključ koristi kod enkripcije i dekripcije podataka. Sigurnost ovakvih algoritama temelji se na tajnosti ključa, a zbog činjenice da se isti ključ koristi za enkripciju i dekripciju, algoritmi se nazivaju simetričnima. Postoji čitav niz algoritama koji se koriste za simetričnu enkripciju, a među najčešće korišćenijima su: AES DES 3DES Blowfish Svi navedeni algoritmi dostupni su za korišćenje u različitim SSH verzijama. Ovakav način enkripcije može se smatrati dovoljno sigurnim od tzv. brute force napada. Pritom je preporučljivo odabrati što duži tajni ključ jer se tako smanjuje verovatnoća da će ga napadač pogoditi. Osim toga, simetrična enkripcija je zbog svoje brzine pogodna za zaštitu većih količina podataka. Asimetrična enkripcija podataka Za razliku od simetrične enkripcije, asimetrični kriptografski algoritmi koriste dva ključa, jedan je javni i može biti poznat svim korisnicima, a drugi je privatni i može poznat samo ovlašćenim korisnicima. Bilo kakav sadržaj kriptovan javnim ključem moguće je dekriptovati jedino tajnim ključem, a sadržaj kriptovan tajnim ključem moguće je dekriptovati jedino odgovarajućim javnim ključem. Za razliku od simetrične enkripcije, asimetrična je složenija i traje bitno duže pa je nije preporučeno koristiti za kriptovanje većih količina podataka. Simetrični tajni ključevi imaju dužine od sto do dvesto bitova, dok asimetrični imaju preko hiljadu i dve hiljade bitova, što utiče i na složenost šifrovanja. Ovi se algoritmi zato koriste samo za razmenu tajnog ključa na početku komunikacije. Naime, kriptovanje vrednosti tajnog ključa javnim ključem korisnika osigurava da niko osim ciljanog korisnika neće biti u stanju otkriti vrednost tog ključa. S druge strane javni ključ korisnika može saznati bilo ko što znači da korisnik koji je primio kriptovane podatke u ovom slučaju ne može znati od koga ih je primio. Autentičnost pošiljaoca i primaoca može se osigurati korišćenjem funkcija za sažimanje (eng. hash) i digitalnim potpisima. Najčešće korišćeni asimetrični algoritmi, podržani i u SSH protokolu, su: DSA (eng. Digital Signature Algorithm) i RSA (Rivest, Shamir i Adlerman tvorci algoritma). SSH u radu koristi obe vrste algoritama. Pomoću odabranog simetričnog algoritma obavlja se enkripcija poruka. Asimetrični algoritam koristi se za razmenu tajnog ključa između SSH klijenta i SSH servera. Dodatno, korisnici mogu koristiti svoj javni ključ za autentifikaciju. Priprema virtuelnih mašina za vežbu Za kompletiranje ove vežbe potrebno je pokrenuti Oracle VirtualBox. Nakon startovanja programa otvoriće se prozor sledećeg izgleda. Instalirane virtualne mašine nalaze se u levom delu prozora. Ako se u tom delu ne nalazi ni jedna virtuelna mašina, znači da one trenutno nisu kreirane.

3 Import postojeće virtuelne mašine vrši se aktiviranjem opcije menija File > Import Appliance... ili kombinacijom tastera Ctrl+I. Nakon aktiviranja te opcije otvara se sledeći prozor. Odabir fajla sa mašinom koja će se importovati vrši se klikom na taster Open appliance...

4 Posle aktiviranja te opcije potrebno je odabrati fajl na disku koji sadrži virtuelnu mašinu pripremljenu za import (to je fajl koji je kreiran u Oracle VirtualBox-u na osnovu postojeće virtualne mašine i opcijom Export appliance...). Za ovu vežbu potrebno je odabrati fajl pod nazivom CentosLab.ova. Kada se pojavi sledeći prozor potrebno je pokrenuti opciju Import. Sada će se importovana virtuelna mašina pojaviti u levom prozoru. Ako je potrebno startovati virtuelnu mašinu to se vrši klikom na ikonicu virtuelne mašine u levom prozoru i aktiviranjem opcije Start. Ako je potrebno kreirati više virtualnih mašina do se vrši klikom desnog tastera na ikonicu virtuelne mašine i odabirom opcije Clone... Napomena: Kloniranje virtuelne mašine nije potrebno za ovu vežbu. Posle aktiviranja opcije potrebno je odabrati naziv klonirane mašine i aktivirati opciju Next.

5 Za kreiranje klona virtualne mašine potrebno je odabrati Full clone i opciju Clone. Konfigurisanje rutera Korak 1.1. Prvo je potrebno konfigurisati prvi ruter RT1. Na njemu je potrebno podesiti IP adresu kartice, za to se može koristi privremena komanda ifconfig, a ne netconfig, npr: root@rt ~# ifconfig eth Zatim je potrebno proveriti da li je startovan SSH server. To se radi sledećom komandom: root@rt ~# service sshd status Ako server nije startovan potrebno je startovati ga komandom: root@rt ~# service sshd start Starting sshd: [ OK ] Zatim je potrebno dodati korisnika proba koji će se logovati na SSH server. root@rt ~# adduser proba I dodeliti mu lozinku : root@rt ~# passwd proba

6 Korak 1.2. SecLab 04 Sada je potrebno konfigurisati radnu stanicu sa koje će se korisnik proba logovati na SSH server - RT2. Na njemu je potrebno podesiti IP adresu kartice, za to se može koristi privremena komanda ifconfig: root@rt ~# ifconfig eth Zatim je potrebno dodati korisnika proba koji će se logovati na SSH server. root@rt ~# adduser proba I dodeliti mu lozinku : root@rt ~# passwd proba Logovanje korisnika proba Korak 2.1. Sada je potrebno logovati se kao korisnik proba na ruteru RT1. To vrši pritiskom na tester Alt+F2 za prelazak na drugi virtuelni terminal tog rutera. Zatim je potrebno uneti ime korisnika proba i njegovu lozinku Kada se završi logovanje potrebno je kreirati direktorijum.ssh naredbom: proba@rt ~# mkdir.ssh Kada se do izvrši može se izvršiti i odjava sa RT1 rutera za korisnika proba naredbom: proba@rt ~# exit Zatim je potrebno vratiti se na prvi virtuelni terminal kombinacijom tastera Alt+F2. Kreiranje javnog i tajnog ključa Korak 3.1. Sada je potrebno logovati se na drugi ruter RT2 kao korisnik proba. To vrši pritiskom na tester Alt+F2 za prelazak na drugi virtuelni terminal tog rutera. Zatim je potrebno uneti ime korisnika proba i njegovu lozinku Sada je potrebno logovati se sa ovog rutera na ruter i njegov SSH server. To se radi naredbom prikazanom u nastavku uz upotrebu korisničkog imena proba i lozinke : proba@rt ~# ssh proba@ Kada se i to završi može se odlogovati sa SSH server naredbom: proba@rt ~# exit Korak 3.2. Da bi se upotreba lozinke prilikom prijave na udaljeni SSH server izbegla potrebno je kreirati tajni i javni ključ na sledeći način: proba@rt ~# ssh-keygen t dsa Generating public/private rsa key pair.

7 Enter file in which to save the key (/home/proba/.ssh/id_dsa): [Pritisnuti Enter] Enter passphrase (empty for no passphrase): [Pritisnuti Enter] Enter same passphrase again: [Pritisnuti Enter] Your identification has been saved in /home/proba/.ssh/id_dsa. Your public key has been saved in /home/proba/.ssh/id_dsa.pub. The key fingerprint is: 91:a7:d6:57:fe:14:0c:c3:98:00:57:05:25:23:56:87 The key's randomart image is: +--[ RSA 2048] =+*O* o..e+.+ o..o = o. S o Ovaj zadnji prikaz, tj. randomart image se neće videti u VNLab okruženju gde se koristi stariji operativni sistem Trustix, ali će se videti ako se koristi CentOs operativni sistem. Korak 3.3. Sada je potrebno ući u direktorijum.ssh i upotrebom secure copy naredbe scp kopirati javni ključ korisnika koji je sadržan u datoteci id_dsa.pub naredbama koje su prikazane. Datoteka se kopira na server i njegov direktorijum.ssh u datoteku pod nazivom authorized_keys. Pre ovog postupka moguće je pogledati sadržaj direkrotijuma.ssh naredbom: proba@rt ~# cd.ssh proba@rt ~# ls -la Ako se ovaj postupak radi po prvi put u vom direktorijumu će biti dve datoteke id_dsa koja sadrži tajni ključ i id_dsa.pub koja sadrži javni ključ. Datoteka id_dsa.pub se kopira na SSH server naredbom scp (secure copy radi se o protokolu i istoimenom programu): proba@rt ~# scp id_dsa.pub proba@ :.ssh/authorized_keys user@ 's password: id_dsa.pub 100% KB/s 00:00 Ako se ovaj postupak uspešno okončan na serveru će se u direktorijumu korisnika proba (/home/proba) u poddirektorijumu.ssh nalaziti datoteka authorized_keys. Korak 3.4. Sada je potrebno logovati se sa ovog rutera na ruter i njegov SSH server. To se radi naredbom prikazanom u nastavku uz upotrebu korisničkog imena proba: proba@rt ~# ssh proba@ Ovom prilikom lozinka neće biti potrebna jer će autentifikaciju izvršiti javni i tajni ključ. Zadatak Izvršiti kreiranje javnog i tajnog ključa uz upotrebu RSA algoritma dužine 4096 bita. Izvršiti prenos javnog ključa na server kao i u prethodnom slučaju. Logovati se na SSH server i proveriti das li je sve u redu. Za dodatni rad i analizu

8 Konfiguracija SSH servera SecLab 04 Konfiguraciona datoteka SSH servera je /etc/ssh/sshd_config i može se videti sledećom komandom: cat /etc/ssh/sshd_config more # Package generated configuration file # See the sshd(8) manpage for details # What ports, IPs and protocols we listen for Port 22 # Use these options to restrict which interfaces/protocols sshd will bind to #ListenAddress :: #ListenAddress Protocol 2 # HostKeys for protocol version 2 HostKey /etc/ssh/ssh_host_rsa_key HostKey /etc/ssh/ssh_host_dsa_key #Privilege Separation is turn ed on for security UsePrivilegeSeparation yes # Lifetime and size of ephemeral version 1 server key KeyRegenerationInterval 3600 ServerKeyBits 768 # Logging SyslogFacility AUTH LogLevel INFO # Authentication: LoginGraceTime 120 PermitRootLogin yes StrictModes yes RSAAuthentication yes PubkeyAuthentication yes #AuthorizedKeysFile %h/.ssh/authorized_keys # Don't read the user's ~/.rhosts and ~/.shosts files IgnoreRhosts yes # For this to work you will also need host keys in /etc/ssh_known_hosts RhostsRSAAuthentication no # similar for protocol version 2 HostbasedAuthentication no # Uncomment if you don't trust ~/.ssh/known_hosts for RhostsRSAAuthentication #IgnoreUserKnownHosts yes # To enable empty passwords, change to yes (NOT RECOMMENDED) PermitEmptyPasswords no # Change to yes to enable challenge-response passwords (beware issues with # some PAM modules and threads) ChallengeResponseAuthentication no # Change to no to disable tunnelled clear text passwords #PasswordAuthentication yes Za promenu konfiguracione datoteke SSH servera može se koristiti vi editor na sledeći način: vi /etc/ssh/sshd_config more Za dodatni rad i analizu Autentifikacija pomoću javnog ključa ( publickey )

9 Ova metoda je jedina koju obavezno moraju podržavati sve implementacije. Međutim, to ne znači da ona mora biti i jedina dopuštena, s obzirom da dosta korisnika nema svoj privatni ključ za autentifikaciju. Kod ovog pristupa klijent serveru u prvoj fazi postupka autentifikacije šalje poruku koja između ostalih informacija sadrži i podatak o svom javnom ključu koji se želi koristiti za autentifikaciju. Server u svojoj internoj bazi proverava da li ima podatak o istom korisniku i ukoliko ima vraća korisniku znakovni niz (engl. chalenge) koji je kriptovan javnim ključem tog korisnika. Nakon toga klijent mora dekriptovati primljenu vrednost i vratiti odg+ovor serveru koji će potvrditi uspešno dekriptovanje primljene vrednosti. Budući da je dekriptovanje moguće obaviti jedino pomoću tajnog ključa istog korisnika, server prihvata sesiju i autentifikuje korisnika. Treba napomenuti da u ovom slučaju server nikada ne traži šifru korisnika budući da je kompletni proces autentifikacije obavljen na temelju javnog i tajnog ključa korisnika. Da bi se omogućio ovakav proces autentifikacije klijent prvo mora generisati svoj par tajni/javni ključ i nakon toga kopiju javnog ključa kopirati na server kako bi server na temelju njega mogao obaviti proces autentifikacije klijenta. U svrhu generisanja parova javni-tajni ključ korisnika koristi se ssh-keygen program koji dolazi u paketu s OpenSSH programom. Zadavanje naredbe: proba@rt ~# ssh-keygen t dsa Generating public/private rsa key pair. Enter file in which to save the key (/home/proba/.ssh/id_dsa): [Pritisnuti Enter] Enter passphrase (empty for no passphrase): [Pritisnuti Enter] Enter same passphrase again: [Pritisnuti Enter] Your identification has been saved in /home/proba/.ssh/id_dsa. Your public key has been saved in /home/proba/.ssh/id_dsa.pub. The key fingerprint is: 91:a7:d6:57:fe:14:0c:c3:98:00:57:05:25:23:56:87 danijel@ivana-pc The key's randomart image is: +--[ RSA 2048] =+*O* o..e+.+ o..o = o. S o Rezultat je kreiranje javnog i tajnog ključa korisnika pod čijim je ovlašćenjima zadata gore navedena naredba. Prilikom postupka generisanja ključeva korisnik će biti upitan da unese takozvani passphrase niz koji pruža dodatni nivo zaštite kod korišćenja SSH servisa. Passphrase niz može se jednostavno shvatiti kao lozinka za korisnikov par ključeva. Iako nije obavezno definisanje ovog niza prilikom postupka generisanja ključeva svim se korisnicima iz sigurnosnih razloga preporučuje korišćenje istoga. Budući da trenutno postoje dve verzije SSH protokola, SSH1 i SSH2, moguće je ssh-keygen programu proslediti -t parametar kojim se definiše za koji algoritam se želi stvoriti par ključeva. Budući da datoteke koje sadrže ključeve korisnika sadrže različita imena za svaki od korištenih algoritama moguće je generisati zaseban par ključeva. Na taj način omogućuje se spajanje na različite SSH servere odnosno izbegavanje eventualnih problema s kompatibilnošću softvera između klijenta i servera. Moguće su sledeće vrednosti za -t argument ssh-keygen programa:

10 ssh-keygen -t rsa1 - koristi se za SSH1 verziju protokola ssh-keygen -t dsa i ssh-keygen -t rsa - koriste se za SSH2 verziju Protokola SecLab 04 Ključevi generisani bilo kojom od gore navedenih opcija nalaze se u /home/.ssh direktorijumu korisnika gde se uvek za svaki algoritam stvaraju dve datoteke od kojih jedna sadrži javni ključ, a druga tajni ključ korisnika. Imena su im identična s jedinom razlikom što javni ključ sadrži ekstenziju.pub. Primer: id_rsa - datoteka koja sadrži tajni ključ korisnika za SSH2 verziju protokola koja koristi RSA algoritam za enkripciju. id_rsa.pub - datoteka koja sadrži javni ključ korisnika za SSH2 verziju protokola koja koristi RSA algoritam za enkripciju id_dsa - datoteka koja sadrži tajni ključ korisnika za SSH2 verziju protokola koja koristi DSA algoritam za enkripciju id_dsa.pub - datoteka koja sadrži javni ključ korisnika za SSH2 verziju protokola koja koristi DSA algoritam za enkripciju identity - datoteka koja sadrži tajni ključ korisnika za SSH1 verziju protokola koja koristi RSA algoritam za enkripciju identity.pub - datoteka koja sadrži javni ključ korisnika za SSH2 verziju protokola koja koristi RSA algoritam za enkripciju Nakon što su generisani odgovarajući ključevi posebnu pažnju treba posvetiti ovlašćenjima koje su dodeljene pojedinim datotekama. Sve datoteke koje ne sadrže nastavak.pub sadrže tajni ključ korisnika i kao takve ne smeju biti dostupne nikome osim samom korisniku. Nepažljivo dodeljivanje ovlasti datotekama koje sadrže tajni ključ korisnika mogu ozbiljno ugroziti sigurnost SSH sistema. drwx danac danac :50. drwxr-xr-x 3 danac danac :34.. -rw-r--r-- 1 danac danac :45 authorized_keys -rw danac danac :48 id_rsa -rw-r--r-- 1 danac danac :48 id_rsa.pub -rw-r--r-- 1 danac danac :59 known_hosts Na gornjem primeru može se jasno uočiti kako datotekama koje sadrže tajne ključeve korisnika (one bez.pub ekstenzije) omogućuju pristup samo vlasniku tih datoteka, u ovom slučaju korisnika danac. Nakon generisanja vlastitog para tajni/javni ključ, kopiju javnog ključa klijent mora kopirati na server na koji se želi spajati. Ključ je potrebno kopirati u /home/.ssh/authorized_keys datoteku ukoliko se koristi SSH1 protokol ili u /home/.ssh/authorized_keys2 datoteku ukoliko se koristi SSH2 protokol. Ukoliko se koristi OpenSSH paket onda je omogućeno biranje datoteke, a ukoliko korisnik želi da koristi i SSH1 i SSH2 verziju protokola onda je to /home/.ssh/authorized_keys datoteka. To znači da ukoliko se koristi SSH1 verzija protokola potrebno je id_rsa.pub javni ključ kopirati u /home/.ssh/authorized_keys datoteku na udaljenom računaru, a ukoliko se koristi verija 2 istog protokola potrebno je kopirati ključeve id_rsa.pub ili id_dsa.pub u /home/.ssh/authorized_keys2 datoteku udaljenog računara. Kopiranje javnih ključeva može se obaviti jednostavno korištenjem FTP protokola, budući da ovde poverljivost prenosa podataka nije bitna jer se radi o prenosu javnog a ne tajnog ključa. U sledećem primeru za kopiranje javnih ključeva korišten je scp servis. Primer: root@rt ~# cd.ssh

11 ~# scp id_rsa.pub password: id_rsa.pub 100% KB/s 00:00 SecLab 04 Nakon što je stvorena odgovarajuća /home/.ssh/authorized_keys datoteka potrebno je ispravno postaviti ovlašćenja tih datoteka kako bi se veza mogla uspešno uspostaviti. U tu svrhu potrebno je zadati sledeću naredbu: root@rt ~/.ssh$ chmod 600 authorized_keys što će rezultirati -rw-r-r- ovlastima, koje svim korisnicima sistema dozvoljavaju čitanje ovih datoteka. Literatura