Praktisk datasäkerhet (SäkB), 26 november 2002 1(62) Praktisk datasäkerhet (SäkB) CyberRymden 2002-10-25 Granskad/Justerad av Joel Eriksson $Id: slides.tex,v 1.18 2002/11/23 23:21:24 rejas Exp $ Rejås Datakonsult, http://www.rejas.se Made with LATEX
Praktisk datasäkerhet (SäkB), 26 november 2002 2(62) Meta information Syfte: Väcka intresse för informationssäkerhet och ge kunskap om begrepp och dess innebörd samt om verktyg och metoder för att försvara sig. 4 delar Orientering Varför Hacking Försvar Totaltid ca en dag. Publik: Programmerare och andra datorvana. Rejås Datakonsult, http://www.rejas.se Made with LATEX
Praktisk datasäkerhet (SäkB), 26 november 2002 3(62) $Id: orientering.tex,v 1.21 2002/10/07 08:34:37 rejas Exp $ Del 0: Orientering Kort terminologi Traditionell IT-säkerhet Teori Rejås Datakonsult, http://www.rejas.se Made with LATEX
Kort terminologi Hacker är en skicklig programmerare, utforskar systemens innersta och är kapabel att skriva exploits. Själva ordet hacker kan ha andra betydelser med denna stämmer inom området datasäkerhet. Cracker är en som bryter sig in i system eller på andra sätt utnyttjar säkerhetsproblem med avsikt att förstöra. Får ingen uppskattning eller respekt av riktiga hackers. Är som regel inte lika sofistikerad som en hacker. Script-Kiddie är en databrottsling som använder sig av kända verktyg. Är inte särskilt sofistikerad. Hack (i detta sammanhang) är ett dataintrång. Avbryt och fråga om det är något ni inte förstår Praktisk datasäkerhet (SäkB), 26 november 2002 4(62)
Traditionell IT-säkerhet Accesskontroll (vem skall kunna göra vad) Policy (vad man skall uppnå) Riktlinjer (hur man skall uppnå det) Ansvarsfördelning (vem ansvarar för att det installeras och efterlevs)... Ovanstående är mycket viktigt, men behandlas inte här. Vi skall behandla säkerheten i mjukvara och system... Praktisk datasäkerhet (SäkB), 26 november 2002 5(62)
Praktisk datasäkerhet (SäkB), 26 november 2002 6(62) Teori Säkerhet Säkerhet Medel för att uppnå trygghet Informationssäkerhet syftar till att uppnå tre mål: Sekretess Integritet Tillgänglighet Säkerhet är en avvägning mellan tillgänglighet och skydd. Diskussion: Är den sista punkten sann? Rejås Datakonsult, http://www.rejas.se Made with LATEX
Praktisk datasäkerhet (SäkB), 26 november 2002 7(62) $Id: varfor.tex,v 1.7 2002/10/02 08:53:24 rejas Exp $ Del 1: Varför sitter vi här? Finns det en risk eller ett hot? Varför skulle det drabba mig? Vad har jag att förlora? Rejås Datakonsult, http://www.rejas.se Made with LATEX
Finns det en risk eller ett hot? Visst finns det det! Datasystem hackas dagligen Även system som inte har något av värde att skydda riskerar att attackeras Många attacker (t.ex. virus) väljer inte offer Attackeraren kan vara ute efter något man inte tänker på t.ex. diskutrymme, anonymitet eller närhet till ett annat mål Praktisk datasäkerhet (SäkB), 26 november 2002 8(62)
Praktisk datasäkerhet (SäkB), 26 november 2002 9(62) Kan det drabba mig? Visst kan det det. Du vet väl att: Du har saker att skydda Du har saker andra vill ha Gör du inget åt det är du ett väldigt lätt offer Rejås Datakonsult, http://www.rejas.se Made with LATEX
Vad har jag att förlora? Dokument (E-brev, brev, arbetsdokument, andra privata saker) Certifikat och Nycklar (Till banken, eller andra system) Personliga uppgifter (Personnummer, e-postadresser, mm) Diskutrymme kan användas som olagligt lagringsutrymme. Du kan hävda att du blivit hackad (precis som den som lagt det på sin egen hårdisk skulle ha gjort) Din dator kan användas som plattform för databrott. Du kan även här hävda att du blivit hackad... Diskussion: Vad innebär den sista punkten för dig, hemma och på jobbet? Praktisk datasäkerhet (SäkB), 26 november 2002 10(62)
Praktisk datasäkerhet (SäkB), 26 november 2002 11(62) $Id: hacking.tex,v 1.3 2002/11/26 16:28:33 rejas Exp $ Del 2: Hacking 2.1 Hackermetodik Tänka som fienden 2.2 Mera hacking-tekniker Rejås Datakonsult, http://www.rejas.se Made with LATEX
Praktisk datasäkerhet (SäkB), 26 november 2002 12(62) $Id: hackermetodik.tex,v 1.10 2002/10/02 08:53:24 rejas Exp $ Del 2.1: Hackermetodik Tänka som fienden Varför tänka som en hacker Hackermetodik Val av offer Samla information Attackera Städa Etablera närvaro Släck ljuset, sprätta en Jolt... Rejås Datakonsult, http://www.rejas.se Made with LATEX
Varför tänka som en hacker? Genom att tänka som en hacker ser du ditt system ur en annan synvinkel. Kanske du har missat något. Du bör ha använt hackerns verktygslåda innan han gör det. (SATAN, nmap, queso, mm). Genom att ha samma information som hackern vet du om du missat något. (Phrack, Bugtraq, mm) Praktisk datasäkerhet (SäkB), 26 november 2002 13(62)
Praktisk datasäkerhet (SäkB), 26 november 2002 14(62) Hackermetodik Alla hackers använder en mer eller mindre identisk metodik då de attackerar ett system. I stort sett går det ut på följande: Välj ett offer Samla information om offret Attackera Städa Etablera närvaro Vi skall nu titta närmare på varje steg. Rejås Datakonsult, http://www.rejas.se Made with LATEX
Val av offer Val av offer kan naturligtvis ske på flera olika sätt. Några exempel: Arbetsgivare eller kompis Före detta arbetsgivare Något man är emot (Visa exempel) Koola sajter, t.ex..mil.gov, står högt i kurs hos hackare (Visa exempel) System med vissa brister. Man skannar hela nät efter maskiner med kända säkerhetshål (Vanligt! Är det du?) Hackern kan ha olika syften med attacken, till exempel att komma åt data eller system (ta över eller äga ett system). Eller kanske bara sänka ett system. Praktisk datasäkerhet (SäkB), 26 november 2002 15(62)
Samla information Skanna, nätverket (med till exempel nmap) Kartlägg vilka tjänster systemet kör (nmap, manuellt, mm) Försök bestämma målsystemets operativsystem och version (nmap, queso, manuellt, mm) Leta information om just det aktuella systemet Kanske någon har hackat det förr? (bugtraq, irc, mm) Praktisk datasäkerhet (SäkB), 26 november 2002 16(62)
Praktisk datasäkerhet (SäkB), 26 november 2002 17(62) Attackera Vid det här laget har hackaren redan en bild av hur hacket skall gå till. Han vet vilka hål som finns och har förmodligen flera alternativa vägar. Hackaren har även kartlagt följderna av sina alternativ. Rejås Datakonsult, http://www.rejas.se Made with LATEX
Städa Gick hacket ut på att ta över ett system är det nu på din maskin som brottslingen jobbar. Han städar i loggar och gör sitt intrång osynligt. Det finns mängder av avancerad mjukvara för att dölja ett intrång och installerade eller modifierade filer. Ofta städar hackern även hos sig själv. Alla anteckningar/loggar och all information han kommit över göms undan på den egna datorn och krypteras. Ägnar man sig åt databrottslig verksamhet blir man snart minst lika paranoid som om man jobbar med datasäkerhet :-). Praktisk datasäkerhet (SäkB), 26 november 2002 18(62)
Etablera närvaro Brottslingen vill ofta installera en massa applikationer på din maskin. Det kan vara sniffers eller annat (det kanske inte är din maskin han är ute efter). Det finns färdiga så kallade root-kits som på ett så gott som osynligt sätt installerar program och trojaner i systemet. Hackern kan också skapa osynliga filareor och på andra sätt nyttja ditt system. Naturligtvis ser han också till att det är lättare att komma åt din maskin nästa gång. Då han till exempel vill läsa loggarna från sina program. I vissa fall kan ett hackat system också användas i byteshandel mellan olika hackers. Praktisk datasäkerhet (SäkB), 26 november 2002 19(62)
Praktisk datasäkerhet (SäkB), 26 november 2002 20(62) Släck ljuset, sprätta en Jolt Nu vet vi hur man gör. Nu hackar vi! Mål root-skal (fullständig tillgång) på ftp.lab.rejas.net (kanske för att lägga ut warez eller... ) Rejås Datakonsult, http://www.rejas.se Made with LATEX
Hur realistiskt var hacket? Är det så lätt??? Ja, hacket var realistiskt. Många script-kiddies jobbar just som vi gjorde. Målsystemet var riggat med en gammal version av operativsystemet som inte patchats. Detta är en enkel match och inte ovanligt. Minst lika oskyddad är du om ett halvår om du inte hänger med. Diskussion: Vad var trasigt på målmaskinen? Praktisk datasäkerhet (SäkB), 26 november 2002 21(62)
$Id: avancerade_hack.tex,v 1.20 2002/10/02 08:53:24 rejas Exp $ Del 2.2: Mera hackingmetoder Vi har nu sett ett riktigt hack utföras av en Script-kiddie. För att fortsätta skrämmas skall jag berätta om andra hackingmetoder. Social ingenjörskonst TCP-Grunder IP-Spoofing Man in the middle SYN-Flood DDoS DNS Buffer overflows Praktisk datasäkerhet (SäkB), 26 november 2002 22(62)
Social ingenjörskonst Attackeraren tar kontakt med någon som har information de behöver och lurar denna att lämna den ifrån sig Hej det är Kalle på dataavdelningen. Din skrivare fungerar inte. Vad var det för lösenord du hade? Hej! Jag jobbar istället för Kalle som är på semester. Vilket lösenord var det till internwebben? Detta kan man motverka med utbildning Praktisk datasäkerhet (SäkB), 26 november 2002 23(62)
Praktisk datasäkerhet (SäkB), 26 november 2002 24(62) Lite om TCP För att förklara följande attacker måste vi tala lite om TCP TCP-Three Way Handshake Klient Server ------ ------ SYN-----------------> <-----------------SYN/ACK ACK-----------------> Klienten och servern kan nu börja utbyta information. Rejås Datakonsult, http://www.rejas.se Made with LATEX
IP-Spoofing (TCP) Inte så lätt som det verkar Lätt att spoofa en adress, men... Man får inte, eller sällan, tillbaka paketen Man måste se till att den man utger sig för att vara inte skickar RST Används ofta tillsammans med en DoS attack mot den man utger sig för att vara För UDP och ICMP paket gäller andra spelregler Motverkas i brandväggar/routrar Praktisk datasäkerhet (SäkB), 26 november 2002 25(62)
SYN-Flood DoS attack mot resurser på målmaskinen Inte så vanlig längre Fungerar enligt: Skicka SYN med spoofad avsändaradress till målet Målet skickar SYN/ACK och väntar på svar Då inget svar kommer väntar målet ett tag och skickar sedan om paketet Eftersom målet måste spara information om den halvöppna förbindelsen belastas målets resurser Då målet är tillräckligt nedlastat måste det kasta bort paket Flera operativsystem har skydd mot detta Praktisk datasäkerhet (SäkB), 26 november 2002 26(62)
DDoS DoS attack mot målmaskinens internetanslutning Man installerar en trojan på en mängd övertagna maskiner (zombier) som sedan på kommando (via till exempel en IRC kanal) attackerar en och samma maskin. 13 årige Wicked gjorde detta mot grc.com a med 474 stycken hackade Windowsmaskiner som zombier. Svårt att skydda sig mot a http://grc.com/files/grcdos.pdf Praktisk datasäkerhet (SäkB), 26 november 2002 27(62)
Mannen i mitten (IP-Hijacking, m.m.) Någon utnyttjar brister i TCP för att analysera och modifiera trafiken mellan två maskiner Åstadkoms genom att bryta förbindelsen och sätta sig själv i mitten Attackeraren måste finnas mellan de två maskinerna eller lura deras routingtabeller Attackeraren kan även lura den ena av parterna att han är den andra Motverkas genom att kryptera förbindelsen (SSL, IPSec, mm) Praktisk datasäkerhet (SäkB), 26 november 2002 28(62)
DNS DNS kan användas till mycket, även av en databrottsling Zonöverföringar ger tillgång till mycket information Svagheter i DNS kan utnyttjas för att lura en klient att kontakta fel maskin: DNS-spoofing Cache-förgiftning Motverkas till viss del genom att inte tillåta zon-överföringar. Men tänk på att informationen kan nås ändå Betrakta DNS-information som extern och därmed osäker Praktisk datasäkerhet (SäkB), 26 november 2002 29(62)
Buffer Overflows Mycket vanligt idag Kan nyttjas både remote och lokalt Går ut på att lura programmet att exekvera injicerad eller befintlig kod på ett sätt som gynnar hackern Motverkas genom att hålla sina program uppdaterade. Det finns kernel-patchar och c-bibliotek som hjälper till, men säkra program är bäst! Tänk på att all input som kommer utifrån a måste valideras! Demonstrera hur en exploit skapas! a gäller även DNS-uppslag, m.m. Praktisk datasäkerhet (SäkB), 26 november 2002 30(62)
$Id: forsvar.tex,v 1.9 2002/10/04 10:20:04 rejas Exp $ Del 4: Försvarsmetoder Säkra ditt system. Ett så säkert system som möjligt är en förutsättning för god informationssäkerhet. Kryptering. Kryptering är en del i de flesta säkerhetsimplementationer. Vissa saker måste lämna ditt system. Se till att de är skyddade. Andra saker kanske är så känsliga att de skall krypteras i alla fall, ifall de hamnar i orätta händer. Utbilda dina användare Praktisk datasäkerhet (SäkB), 26 november 2002 31(62)
Praktisk datasäkerhet (SäkB), 26 november 2002 32(62) $Id: sakra-miljo.tex,v 1.16 2002/10/02 08:53:24 rejas Exp $ Del 4.1: Säkra din miljö Skanna dig själv Stäng alla onödiga tjänster Säkra ditt system (nät) Brandväggar IDS Intrusion Detection System Nätverksenheter Säkerhetsunderhåll Rejås Datakonsult, http://www.rejas.se Made with LATEX
Skanna dig själv Mål: Ta reda på vad du erbjuder en hacker Du vill inte: Köra tjänster som du inte måste (= köra så få som möjligt) Ge hackaren information (om operativsystem, maskiner, mm) Detta gäller både brandväggen utifrån och noderna inne i nätet En mängd verktyg nmap, queso, SATAN, SAINT, ISS, Nessus, Microsoft Baseline Security Analyzer. Demonstration av Nessus, visa rapporter Praktisk datasäkerhet (SäkB), 26 november 2002 33(62)
Stäng alla tjänster du inte behöver De tjänster som du inte behöver skall stängas av Tjänster som du bara använder lokalt skall blockeras så att de inte går att nå utifrån Begränsa möjligheterna en hacker får om han lyckas utnyttja en tjänst på ett eller annat sätt. På så sätt kan du i viss mån skydda dig mot säkerhetshål som du inte känner till... Överväg att byta ut alla tjänster som inte är krypterade mot motsvarande som krypterar trafiken Gäller alla noder på nätverket Praktisk datasäkerhet (SäkB), 26 november 2002 34(62)
Säkra ditt system (nät) Använd en brandvägg, men förlita dig inte helt på den Konfigurera den mycket restriktivt, tänk på att trafik från ditt eget nät kan vara ond (t.ex. initierad av någon annan) De interna adresserna är onda på utsidan av brandväggen. Alla adresser som går ut måste vara interna. Detta förhindrar att någon spoofar adresser från ditt nät Ingen del i nätverket skall vara helt beroende av brandväggen Se över andra vägar in (modem, VPN, oskyddade uttag, wireless-lan, dokument, disketter, mm, mm) Praktisk datasäkerhet (SäkB), 26 november 2002 35(62)
Praktisk datasäkerhet (SäkB), 26 november 2002 36(62) Brandväggar Paketfilter Snabba, resurssnåla Förlitar sig på IP-adresser Räcker oftast väldigt långt Proxy Långsammare, mer resurskrävande Filtrerar på applikationsnivå Klienterna behöver ej Internet-access Sitter ofta bakom en paketfiltrerande brandvägg Rejås Datakonsult, http://www.rejas.se Made with LATEX
Praktisk datasäkerhet (SäkB), 26 november 2002 37(62) IDS Intrusion Detection System System på det interna nätet, bevakar all trafik eller vissa maskiner Detekterar oönskad trafik på nätverket Att bygga ett IDS kan vara avancerat Exempel: NFR, ISS, snort, m.fl. Rejås Datakonsult, http://www.rejas.se Made with LATEX
Nätverksenheter Försök att inte avslöja vilka system det är. Använd namn som inte avslöjar så mycket. Se till att systemet inte presenterar sig med operativsystem och version vid anslutning mot till exempel telnet a Identifiera tjänster (öppna portar). Stäng alla du inte använder. Se till att du vet vad de andra är och varför de körs Försök minimera skadan om en tjänst missbrukas Installera de senaste säkerhetsuppgraderingarna Använd inga protokoll som talar klartext. Till exempel ftp, pop, imap, telnet, mm, mm Använd bra lösenord (jsk10kgp, jf27a2k) och byt dem ofta. Naturligtvis måste man ha olika lösenord på olika system och tjänster a Telnet skall du i alla fall inte köra Praktisk datasäkerhet (SäkB), 26 november 2002 38(62)
Säkerhetsunderhåll Kolla buggrapporter (t.ex. bugtraq) Installera uppgraderingar Skanna ditt nät och din brandvägg (SATAN, SAINT, Nessus, MS Baseline Security) se till att du skannar alla portar Kör lösenordsknäckare på dina lösenordsfiler (t.ex. crack nt-crack) Begränsa de möjligheter en hacker kan tänkas få om han utnyttjar ett säkerhetshål i en tjänst. Till exempel genom att använda chroot Uppdatera användardatabasen Utbilda dina användare Praktisk datasäkerhet (SäkB), 26 november 2002 39(62)
$Id: kryptering.tex,v 1.19 2002/10/07 08:34:37 rejas Exp $ Del 4.2: Kryptering Kryptering Användningsområden för kryptering Lite nomenklatur Kryptering, metod Caesars Chiffer Symmetrisk kryptering Asymmetrisk kryptering RSA Symmetrisk/Asymmetrisk Signering Kondensat, Hashing 4.2.1 PKI Public Key Infrastructure Praktisk datasäkerhet (SäkB), 26 november 2002 40(62)
Kryptering De flesta säkerhetskurser börjar med ett avsnitt om kryptering. Detta för att det är relativt enkelt att förstå och har använts för att på ett relativt säkert sätt utbyta information sedan minst 4000 år tillbaka. Jag har valt att lägga det i slutet. Min förhoppning nu är att alla skall förstå varför det behövs kryptering. Du vill ju kunna utbyta data med dina vänner/partners eller vad det nu kan vara. Hur skall det kunna göras säkert? Praktisk datasäkerhet (SäkB), 26 november 2002 41(62)
Praktisk datasäkerhet (SäkB), 26 november 2002 42(62) Användningsområden för kryptering Transport-kryptering Autenticering Kryptering av filsystem Kryptering av data Signering Rejås Datakonsult, http://www.rejas.se Made with LATEX
Praktisk datasäkerhet (SäkB), 26 november 2002 43(62) Lite nomenklatur Steganografi = Att dölja Osynligt bläck LSB i grafik Hårdkokta ägg Kryptologi = Att förvränga Kod Chiffer Rejås Datakonsult, http://www.rejas.se Made with LATEX
Kryptering, metod I grunden en enkel teknik Klartext -> krypt -> chiffer -> dekrypt -> klartext Vid krypt och dekrypt tillsätts nycklar Rättvist, görs av användaren. Ingen annan kan läsa informationen utom de som har tillgång till nyckeln Går att göra oberoende av transportsätt Enkelt, säkert. Bara implementationen av algoritmen inte är buggig så spelar i pricip övrigt skydd (av chiffret) ingen roll Nycklar och klartext måste naturligtvis skyddas Praktisk datasäkerhet (SäkB), 26 november 2002 44(62)
Praktisk datasäkerhet (SäkB), 26 november 2002 45(62) Caesars Chiffer Substitutionschiffer Nyckeln är förskjutningen i alfabetet (symmetriskt) Säkerhet = Vbnhukhw (Med nyckeln 3) <- Nyckel = 3 ABCDEFGHIJKLMNOPQRSTUVWXYZÅÄÖ ABCDEFGHIJKLMNOPQRSTUVWXYZÅÄÖABC Rejås Datakonsult, http://www.rejas.se Made with LATEX
Symmetrisk kryptering Samma nyckel och algoritm för krypt och dekrypt Algoritmen är oftast öppen, nyckeln hemlig Mycket enkel och snabb. Lätt att göra hårdvarulösningar Nyckellängder på 40-128 (256) bitar Exempel på algoritmer: DES, 3-DES, IDEA, Blowfish, SAFER, RC2, RC4, Rijndael, m.fl. Problemet är att distribuera nyckeln Praktisk datasäkerhet (SäkB), 26 november 2002 46(62)
Asymmetrisk kryptering 1977 RSA-algoritmen (Rivest, Shamir, Adelman) Samma princip men olika nycklar. En privat (hemlig) och en publik (öppen) Matematiskt enkel (RSA) Bygger på svårigheten att faktorisera stora tal Inget problem med nycklar (förutom att det blir många). Men långsam på stora datamängder. Nyckellängder 512, 768, 1024 (2048) Praktisk datasäkerhet (SäkB), 26 november 2002 47(62)
Kombinationer av symmetrisk/asymmetrisk Kryptera symmetriskt med en nyckel Nyckeln kallas en sessionsnyckel och består oftast av ett slumptal Kryptera denna sessionsnyckel asymmetriskt med mottagarens publika nyckel och skicka denna med den krypterade informationen Både snabbt och säkert Används i moderna krypteringsmetoder Diffie-Hellman är ett protokoll specialicerad på att byta nycklar. Anväds i till exempel IPSec och SSL. Praktisk datasäkerhet (SäkB), 26 november 2002 48(62)
Signering (1/2) Asymmetrisk kryptering, fast omvänt... Avsändaren krypterar med sin privata nyckel Informationen kan nu bara dekrypteras med avsändarens publika nyckel Informationen är krypterad men inte hemlig, den kan ju läsas av alla med avsändarens publika nyckel (som inte är hemlig) Informationen kan dock inte ändras utan avsänderns privata nyckel Problemet är att informationen är oläslig utan den publika nyckeln... Praktisk datasäkerhet (SäkB), 26 november 2002 49(62)
Kondensat, Hashing Kondensat eller Hash-summa (Fingerprint, Message Digest) är ett resultat av information och en hash-algoritm. Ändras informationen ger algoritmen en helt annan hash-summa. Algoritmen är inte reverserbar Exempel på algoritmer är: SHA-1 (160 bitar), MD5 (128 bitar) Nyckellängden 160 bitar ger (idealiskt) en chans på 2 160 att det blir samma resultat... Praktisk datasäkerhet (SäkB), 26 november 2002 50(62)
Signering (2/2) Ofta vill man att den icke-hemliga informationen skall vara signerad med ändå vara läslig i klartext Skicka informationen i klartext, bifoga en hash-summa krypterad med privat nyckel Nu kan alla läsa informationen och de som vill kan verifiera att hash-summan stämmer. Väldigt vanligt i samband med mjukvarudistribution, e-brev, massutskick på e-postlistor, pressreleaser m.m. Varning! Ytterst få verifierar att avsändaren är du! Praktisk datasäkerhet (SäkB), 26 november 2002 51(62)
Praktisk datasäkerhet (SäkB), 26 november 2002 52(62) Autenticering Kryptering kan även användas till autenticering olika typer av challenge-response Symmetrisk Asymmetrisk Exempel: SSL, Kerberos, Sesame Rejås Datakonsult, http://www.rejas.se Made with LATEX
Kryptering Slutord Med symmetrisk och asymmetrisk kryptering kan i princip alla typer av säkerhetsproblem lösas, men... Tänk på att en kedja inte är starkare än sin svagaste länk. Det är ingen idé att kryptera information som finns okrypterad på ett osäkert system. Kan ge en falsk trygghetskänsla! Problemet blir alla nycklar Hur skall man veta att en publik nyckel verkligen tillhör en viss person som man kanske aldrig träffat? Hur skall man hitta alla publika nycklar man kan behöva? Nästa avsnitt, PKI Praktisk datasäkerhet (SäkB), 26 november 2002 53(62)
$Id: pki.tex,v 1.9 2002/06/11 14:21:12 rejas Exp $ Del 4.2.1: PKI Public Key Infrastructure Ett komplett säkerhetssystem kan byggas med kryptering, signering och autenticering. Till detta kan asymmetrisk kryptering användas. Problemet blir att se till att alla publika nycklar finns till hands när de behövs. PKI är en Infrastruktur (metoder) för säker hantering och distribution av nycklar. Nycklarna måste finnas på rätt plats vid rätt tid. Det får inte heller råda något tvivel om vem som vilken nyckel tillhör. Praktisk datasäkerhet (SäkB), 26 november 2002 54(62)
Certifikat Ett certifikat är en publik nyckel och annan information som signerats Ett certifikat binder en användare till en publik nyckel (vilket intygas av den som signerar) Ett certifikat används tillsammans med en privat nyckel Ett certifikat är publikt och behöver inte skyddas Exempel på certifikat: X.509, WTLS, X9.68 Praktisk datasäkerhet (SäkB), 26 november 2002 55(62)
Praktisk datasäkerhet (SäkB), 26 november 2002 56(62) X.509 Ett X.509 certifikat innehåller följande information Serienummer Utgivarens identitet Giltighetstid Ägarens identitet (den som äger den privata nyckeln) Publik nyckel Tilläggsinformation Digital signatur från utgivaren Rejås Datakonsult, http://www.rejas.se Made with LATEX
Praktisk datasäkerhet (SäkB), 26 november 2002 57(62) Aktörer i PKI Utgivare Signerar och distribuerar nycklar och certifikat. Kan även skapa certifikat Användare Har privat nyckel till ett certifikat i katalogen Nyttjar tjänster Katalog Innehåller certifikat Delar med sig av certifikat Rejås Datakonsult, http://www.rejas.se Made with LATEX
Praktisk datasäkerhet (SäkB), 26 november 2002 58(62) Certification Authority Organisation som är betrodd av användare för att skapa och ge ut certifikat Hanterar certifikatet under hela dess livscykel Skapa (ibland), sprida, lagra och återkalla Kan vara intern eller extern (trusted third party) Diskussion: Vilket CA litar du på? Rejås Datakonsult, http://www.rejas.se Made with LATEX
Praktisk datasäkerhet (SäkB), 26 november 2002 59(62) Kan man lita på ett certifikat? Visst! Om: Den privata nyckeln är intakt och skyddad Utgivarens privata nyckel är intakt och skyddad Identiteten på ägaren är korrekt och unik Rejås Datakonsult, http://www.rejas.se Made with LATEX
Produkter som nämnts eller visats nmap (http://www.insecure.com/nmap) SAINT (http://www.saintcorporation.com/saint/) Nessus (http://www.nessus.org) COPS (http://dan.drydog.com/cops/) SATAN (http://www.fish.com/satan/) GnuPG (http://www.gnu.org/software/gnupg/) Pretty Good Privacy, PGP (http://www.pgp.com/) m.fl. Komplett lista finns i häftet eller på CD Praktisk datasäkerhet (SäkB), 26 november 2002 60(62)
Länkar som nämnts eller visats Phrack Magazine (http://www.phrack.org) Bugtraq (e-postlista) (http://www.securityfocus.com) Central Stupidity Agency (http://www.flashback.se/hack/cia/) Felia (http://www.flashback.se/hack/felia2/) Alt.2600 Hack FAQ (http://corky.net/hack/) SecurityFocus (http://www.securityfocus.com/) m.fl Komplett lista finns i häftet eller på CD Praktisk datasäkerhet (SäkB), 26 november 2002 61(62)
Praktisk datasäkerhet (SäkB), 26 november 2002 62(62) Slutord Är du säker? KISS; Keep It Simple, Stupid! Laga! Lappa inte! Don t Panic! Rejås Datakonsult, http://www.rejas.se Made with LATEX