Oblig2-Gruppe1)
Fra Hiofwiki
Innhold |
Våre GPG Nøkler
Gjennomføringen av de praktiske oppgavene
Gruppa startet med den praktiske gjennomføringen av obligen 14. februar. Utgangspunktet vårt var egentlig kun adressen macgpg.sourceforge.net og vi var egentlig ganske blanke på hva vi skulle gjøre. Men etter hvert fant vi noen guider og dokumentasjon og fikk dermed kommet i gang.
Kryptografi
Vi begynte med å lage nøkkelpar og bruke GPG Keychain Access til å importere hverandres offentlige nøkler. Men vi klarte ikke å få programmet DropThing til å fungere. Vi klarte ikke finne de andre sine nøkler når vi skulle kryptere tekst. Selv om nøklene var korrekt importert i GPG Keychain Access. På tirsdag tok vi opp problemet vårt med Audun under forelesningen men han fant ikke no svar på problemet. På onsdag fortsatte vi med gjennomføringen av obligen. Vi brukte da en plugin til Apple Mail i stedet for å bruke DropThing og fikk da krypteringen til å fungere bra. Vi la inn hverandres nøkler og i tillegg Auduns nøkkel, dette måtte vi gjøre for å kunne sende krypterte meldinger/mailer til hverandre, ved hjelp av de offentlige nøklene kunne vi dekryptere mailene for å gjøre den leselig for menneskelige øyne. (sendte også en mail til Audun hver). Vi oppdaget at den krypterte meldingen bestod av mange uforståelige tegn og var betydelig lengre enn den opprinnelige ukrypterte meldingen.
Sniffing av nett
Mathias koblet seg til skolens nett via Ethernet-kabel og satte opp deling via Air-Port som han passordbeskyttet ved hjelp av WEP. Henrik og Sandra koblet seg til nettverket og fikk internettilgang. Mathias startet en pakkesniffer på sin maskin i terminal. Han ba terminal sende resultatene til en tekstfil han senere åpnet i Text Edit. I den kunne han se alt Henrik og Sandra hadde surfet på. Han kunne f.eks. se både brukernavnet og passordet Henrik hadde brukt til å logge inn på Wikipedia med.
Tjenester og brannmurer
Ved hjelp av OS X sitt Network Utility (Nettverksverktøy) portscannet vi media.hiof.no (158.39.172.205). Der fant vi ut at portene 22, 25, 53, 80 og 4949 var åpne.
Offentlig nøkkel-kryptografi
Kryptering er betegnelsen man bruker på de forskjellige metodene som kan brukes for å gjøre en informativ tekst ugjenkjennelig for andre enn den som mottar den. Offentlig kryptografi er asymmetrisk og benytter to forskjellige typer nøkler, private(må holdes hemmelig av eieren) og offentlige(kan gis ut til de mottakerene du ønsker). Disse to nøklene er matematisk relaterte og passer kun sammen med hverandre. Nøklene er bundet sammen med et brukernavn. Om du har en annen persons offentlige nøkkel kan du kryptere en melding du vil at kun denne personen skal lese, da kan denne mottakeren bruke sin egen private nøkkel til å dekryptere meldingen.
Digital Signering
Du kan også signere en mail med din egen private nøkkel og mottakeren vil da kunne godta denne mailen ved hjelp av din offentlige nøkkel. Fordelen med dette er selvfølgelig at avsenderen kan stole på at det kun er den tiltenkte mottakeren som får lese informasjonen og omvendt. Man kan være sikker på at meldingen ikke har blitt endret av utenforstående og at den som sender faktisk er den han eller hun utgir seg seg for å være.
Fordel med kryptologi
Om uvedkommende får tak i nøkkelen din kan de lese dine krypterte meldinger, derfor er det utviklet et sertifikat for å trekke tilbake nøkkelen igjen. Dette kalles et “revocation certificate”. Fordelen med krypteringen er at uvedkommende ikke har mulighet til å lese informasjonen, man kan derfor bruke dette i situasjoner der meldinger mellom avsender og mottaker bør hemmeligholdes. Derfor kan man være rimelig sikker på at informasjonen bare leses av den personen den er tiltenkt. Dermed blir avsendere og mottakere lett identifisert og i tillegg oppretteholdes både integritet og konfidensialitet fra begge parter.
Likheter er det mellom kryptert og/eller signert mailutveksling med GPG og behandling av HTTP-forespørsler med HTTPS/SSL
Behandling av en HTTPS-forespørsel utføres av en web browser. Denne browseren har allerede et innebygget sikkerthetssertifikat som passer sammen med det som er installert på den tilhørende web serveren. Kryptert/signert mailutveksling med GPG bruker nøkler, mens HTTPS-forespørsler bruker sertifikater som er unikt for domenet. Før datatrafikken kan begynne mellom web serveren og web browseren må det etableres en kryptert forbindelse mellom disse to. Likheten mellom HTTPS og GPG (kryptert mail) består derfor i at begge bruker samme opplegg (nøkler og sertifikater) for å oppretteholde sikkerheten på hver sin side av forbindelsen. Når det gjelder kjernene i både SSL og GPG bruker begge disse symmetrisk nøkkelkryptografi og offentlig nøkkelkryptografi. Forskjellen er at SSL bruker MACs og GPG bruker signering.
Hvorfor benytter man velkjente algoritmer, men hemmelige nøkler?
Når man holder på med kryptering lønner det seg å bruke velkjente og publiserte algoritmer i forhold til ukjente. Dette gjør at man forbedrer påliteligheten. Fordi algoritmene er offentlige er det lettere for andre (programmerere o.l) å oppdage om disse innholder feil eller mangler. Dette er derfor med på å kvalitetssikre nøklene slik at folk kan stole på de. Eksempler på algoritmerer RSA (Dette var den første algoritmen som passet til både kryptering og signering og ble oppfunnet i 1977. Den anses for å være sikkert forsatt.) og DSA (som er USAa statlige standard. Den ble opprettet i 1991)
Det vil ikke være spesiell stor risiko så lenge de private nøklene hemmligholdes, det er jo uansett bare nøklene som dekrypterer informasjonen man sender.
Pakkesniffing
I eksempelet fungerer maskin A som et accesspunkt for maskin B. Siden det kun er trafikken over det trådløse nettverket som er kryptert, må dataen dekrypteres før den sendes videre. Maskin A står for denne jobben, ettersom også den sitter på dekrypteringsnøkkelen, og det er derfor fullt mulig for A å fange opp all datatrafikken etter dekrypteringen.
Videre kan alle maskiner som trafikken går igjennom sniffe opp denne informasjonen. Ettersom vi bruker standard http og krypteringen kun skjer over de trådløse nettene som måtte finnes imellom punktene er dataen mesteparten av veien ukryptert. Heldigvis er det vanligvis få som har tilgang til disse mellomleddene, så så lenge det ikke utveksles særdeles sensitiv informasjon, er http sikkert nok til det meste.
Ved å bruke https med godkjente sertifikater vil dataen føres kryptert fra serveren den sendes fra til mottageren den er rettet til. Dette vil forhindre sniffing fra mellomledd.
Det er også mulig å selv kryptere dataen med egengenererte GPG-nøkler. I dette tilfellet er man da nødt til å sørge for at den andre parten har mottatt din offentlige nøkkel, mens de bruker sin private nøkkel til å dekryptere dataen.
For å sikre seg mot nettsteder med falske identiteter er det viktig at man sjekker at url’en er korrekt skrevet. Mange nettsteder baserer svindlersider seg på enkle skrivefeil og kan sette opp kopier av faktiske nettsteder for å lure til seg sensitiv informasjon. En annen måte å finne ut om nettstedet er til å stole på, er å sjekke om sidens sertifikat er signert av en CA (certification authority), noen man kan se som en pålitelig tredjepart som deler ut gyldige sertifikater til troverdige nettsteder. Er ikke dette sertifikatet gyldig signert, er det god grunn til å tvile på nettstedets troverdighet og hensikt.
Portscanning
Vi scannet media.hiof.no (158.39.172.205). Der var portene 22 (ssh), 25 (smtp), 53 (domain), 80 (http) og 4949 (munin) åpne.
Info om portene og dens protokoller
At SSH sitter/lytter på port 22 er veldig vanlig. SSH er en protokoll som lar deg opprette en tunnel/bro mellom to maskiner og samtidig være sikret gjennom kraftig sikkerhet/kryptering. SSH bruker nøkler på samme måte som vi selv gjorde når vi sendte krypterte beskjeder til hverandre via Apple Mail i den praktiske delen av obligen og er dermed en meget sikker måte å overføre filer mellom maskiner på. Og altså veldig vanlig å finne på port 22.
SMTP som sitter på port 25 er protokollen som brukes for å sende mail over internett. Denne protokollen er, desverre, opprettet i en tid da alle som hadde mulighet til å bruke den kunne stole på at ingen ville misbruke den. Så hele protokollen er bygd opp rundt at servere skal "stole" på hverandre og sikkerheten er derfor/av den grunn ganske begredelig. Dette var ikke noe problem før internett virkelig begynte å ta av på 90-tallet men har etter den tid ført til uhorvelige mengder uønsket e-post kjent som spam. Dette kommer av denne enkle grunn at det er veldig enkelt å utgi seg for å vær en SMTP server. Du kan f.eks. bruke en protokoll som heter Telnet til å koble direkte til en SMTP server på port 25. Dette har ført til at flere internettleverandører blokkerer port 25. Dette hindrer at det blir sendt spam via denne internettleverandøren men det hindrer samtidig samtlige brukere av denne internettleverandøren å sende mail.
Domain (DNS) på port 53 inneholder informasjon om hvilke domenenavn som hører sammen med hvilke ip-adresser. Det fungerer som et register. Uten DNS ville den jevne bruker vært hjelpesløs på internett. Ingen vanlige forespørseler ville fungert (f.eks. www.vg.no). DNS er derfor veldig viktig å beskytte mot angrep. Desverre ble det ikke tenkt så mye på sikkerhet når DNS ble utviklet men det har blitt implementert tilleggsfunksjoner i ettertid. Som f.eks. DNSSEC som legger til støtte for kryptografisk sikkerhet i DNS.
Port 80 er brukt for http. Altså den porten du benytter når du surfer rundt på internett. Web-servere mottar innkommende meldinger fra web-browsere på denne porten.
På port 4949 lytter programmet Munin. Munin er et program som presenterer grafer av f.eks. ytelse på maskinen og nettverk via et web-grensesnitt.
Brannmur
En brannmur er et program som overvåker og inspiserer all nettverkstrafikk som går igjennom maskinen brannmuren er installert på. Basert på denne overvåkningen kan brannmuren godta eller nekte pakker å slippe igjennom. Brannmuren gjør denne vurderingen basert på et sett med regler som er installert i brannmuren. Brannmuren kan brukes for å gjøre flere nyttige ting. Den kan beskytte programmer, tjenester og maskiner på ditt interne nettverk fra uønsket trafikk fra internett. Det kan hindre eller begrense brukere på det interne nettet sin tilgang til nettet. F.eks. hindre tilgang til sider med barnepornografi osv osv. En brannmur kan også settes opp til å støtte NAT som gir ditt interne nettverk tilgang til å bruke private IP-adresser for hver enkelt bruker i nettverket mens man bruker samme IP-adresse når en operer mot selve internett. Selv om en brannmur er noe de aller fleste behøver er den desverre vanskelig å sette opp. Man trenger god kunnskap om nettverk og vite om hvilke smutthull "kjeltringer" kan finne på å benytte. En annen ulempe med brannmur er at siden brannmuren skal sjekke alle pakker som går inn og ut så kan den bli en flaskehals dersom man har en internettlinje som ellers er veldig rask. En tredje ulempe har man hvis man har en pakkefiltrerings brannmur. Siden kun pakkens headers blir kontrollert så beskytter ikke brannmuren mot angrep rettet mot et program. Hvis f.eks. en pakkefiltrerings brannmur er satt opp til å godta innkommende e-post (til SMTP tjenesten) så vil et angrep mot SMTP gå tvers igjennom brannmuren. Dette er også en av de metodene en angriper kan benytte for å komme seg på innsiden av et nettverk og dermed ramme det.
Social engineering
Social Engineering er en svindelmetode der en angriper lurer til seg sensitive opplysninger fra offeret ved hjelp av sosiale ferdigheter.
Pretexting
En av metodene for å bruke dette kalles pretexting, der man påstår et fiktivt scenario for å svindle til seg informasjon. Et klassisk eksempel på denne metoden er at en angriper utgir seg for å være en IT-konsulent som skal utføre vedlikehold på brukens datamaskin, og dermed lurer til seg brukernavn og passord.
Phishing
Phishing er den mest brukte formen for social engineering. En person (angriperen) prøver å lure til seg personlige opplysninger som brukernavn, passord, kredittkortdetaljer. Dette gjør de ved å late som de er et firma, organisasjon eller lignende som offeret tror er seriøst og trygt å stole på. Phishingen foregår vanligvis gjennom chatte-applikasjoner som MSN messenger eller gjennom e-mail. Offeret mottar en link til en webside der de skal svare på en rekke spørsmål. Sosiale nettverk som for eksempel MySpace er vanlige sider der phishing foregår, da folk lettere gir fra seg personlig informasjon her som de tror ingen får tilgang til og kan bruke. Det har etterhvert blitt vanskeligere å drive med phishing selv om de som utøver dette hele tiden lærer seg nye triks. Et eksempel er å bruke et bilde i steden for tekst, dette gjør at det blir vanskeligere for anti-phishing-programmer å oppdage tekst som ofte brukes i phishing bekjeder og e-mailer. Browsere og e-mail applikasjoner har lagt inn egenskaper som f.eks innloggingssystemer og spam-filtere for å forhindre og gjøre det vanskeligere for de som driver med phishing.
Trojanske hester
Benyttelse av trojanske hester er en form for Social Engineering der angriperen på en eller annen måte får offeret til å selv installere et skadelig eller sikkerhetskritisk program på sin maskin. Dette kan skje i form av at offeret åpner et vedlegg i en spam-mail eller laster ned og installerer noe man tror er et pålitelig program, men som viser seg å ikke være det i det hele tatt.
Navnet ”trojansk hest” kommer av legenden fra den trojanske krigen, da grekerne bygget en stor hest av tre, gjemte seg inne i den og ventet der til trojanerne dro det de trodde var en overgivelsesgave inn bak byen Trojas murer. På denne måten kunne de infiltrerte grekerne åpne porten for resten av hæren og Troja ble med det et lett bytte.
En annen metode for å lure inn trojanske hester er den såkalte ”road apple”, opprinnelig et gammelt engelsk uttykk for hestegjødsel. Her bruker man en fysisk disk for å infisere maskinen med skadelig programvare. Angriperen kan for eksempel legge fra seg en cd eller usb-penn i en bedrifts lokaler med en etikett som frister folks nysgjerrighet. Så fort finneren setter inn disken i en maskin konfigurert med autorun installeres programmet og skaden er gjort.
Referanser
1 http://en.wikipedia.org/wiki/Cryptography
2 http://en.wikipedia.org/wiki/Digital_Signature_Algorithm
3 http://en.wikipedia.org/wiki/RSA
4 http://en.wikipedia.org/wiki/Pretty_Good_Privacy
5 http://no.wikipedia.org/wiki/Asymmetrisk_kryptering
6 http://en.wikipedia.org/wiki/Certificate_authority
7 http://en.wikipedia.org/wiki/Https
8 http://www.boran.com/security/sp/ssh-part1.html
9 http://www.postcastserver.com/help/Port_25_Blocking.aspx
10 http://www.washington.edu/computing/email/smtp.html
11 http://www.auditmypc.com/port/udp-port-53.asp
12 http://en.wikipedia.org/wiki/Domain_name_system
13 http://en.wikipedia.org/wiki/Munin_%28Network_Monitoring_Application%29
14 http://www.unixgeeks.org/security/newbie/security/firewall.html
15 http://en.wikipedia.org/wiki/Phishing
16 http://en.wikipedia.org/wiki/Trojan_horse_%28computing%29
16 http://en.wikipedia.org/wiki/Social_engineering_(computer_security)
