NETASQ V9: PKI & Controllo accessi. Presentation Marco Genovese Presales engineer marco.genovese@netasq.com

Transcript

1 NETASQ V9: PKI & Controllo accessi Presentation Marco Genovese Presales engineer

2 Alcuni concetti Alcuni concetti prima di incominciare per chiarire cosa è una PKI e a cosa serve Poniamoci delle domande e cerchiamo di trovare delle soluzioni

3 Domanda 1 - Integrità Aldo Aldo deve mandare un messaggio a Mario. Come possiamo accorgerci se il messaggio è stato modificato durante il viaggio e che il messaggio ricevuto da Mario sia veramente quello scritto da Aldo? Mario

4 Funzione Hash Una funzione HASH è una funzione matematica che prende un messaggio e calcola un codice univoco per quel messaggio, un po come se calcolasse il codice fiscale. Se il messaggio venisse modificato e si ricalcolasse l'hash il risultato sarebbe diverso

5 Hash Aldo Aldo deve mandare un messaggio a Mario. Prima di inviarlo calcola la funzione di HASH e allega il risultato al messaggio Mario riceve il messaggio, separe l'hash dal messaggio originale e ricalcola l'hash con la stessa funzione usata da Aldo. Se il risultato è uguale all'hash spedito da Aldo allora il messaggio è lo stesso. Mario

6 Domanda 2 - Confidenzialità Aldo E come facciamo a sapere che nessun altro legga il messaggio? Mario

7 Crittografia simmetrica Aldo Aldo deve mandare un messaggio a Mario. Tutti e due usano la stessa chiave per criptare e decriptare Mario

8 Domanda 3 - Confidenzialità++ Aldo Ma Aldo dovrebbe recapitare a Mario la chiave E quindi qualcuno potrebbe rubarla no? Mario

9 Crittografia Asimmetrica Aldo Aldo ha tanti lucchetti di Mario gia aperti (Chiave pubblica) Mario ha la chiave per aprire i lucchetti (Chiave privata) Mario Si risolve il problema di dovere spedire la chiave

10 Crittografia Asimmetrica K Priv K Pub K Priv K Pub La realtà è un pochino piu complessa Ovviamente non esiste nessun lucchetto o chiave ma delle funzioni matematiche La cosa importante da capire è che Aldo ha 1 chiave pubblica e 1 chiave privata La chiave pubblica la conoscono tutti, la chiave privata la conosce solo lui Un messaggio criptato con la chiave pubblica puo essere decriptato solo con la chiave privata Un messaggio criptato con la chiave privata puo essere decriptato solo con la chiave pubblica.

11 Domanda 4 - Autenticità Aldo Ok, ma Mario come fa a sapere che il mittente È veramente Aldo e non un impostore? Mario

12 Mettiamo insieme tutto Aldo Aldo calcola l'hash del messaggio che vuole mandare a Mario Cripta il codice HASH con la sua chiave privata In questo modo solo chi ha la pubblica lo puo aprire e avere la certezza che il mittente sia veramente Aldo Allega l'hash criptato al messaggio (li zippa insieme) e cripta tutto con la chiave pubblica di Mario Cosi solo Mario sarà capace di decriptare Invia tutto a Mario

13 Mettiamo insieme tutto Mario Mario decripta il messaggio con la sua chiave privata (solo lui lo puo fare) Separa l'hash dal messaggio, decripta l'hash con la chiave pubblica di Aldo (se ci riesce allora il messaggio è stato veramente inviato da Aldo) Calcola l'hash del messaggio e compara i 2 HASH Se sono uguali allora ha la garanzia che il messaggio è stato inviato da Aldo, che solo lui è stato in grado di leggerlo e che nessuno ha alterato il contenuto

14 E chi gestisce tutto questo Ma come facciamo a sapere che un hacker non abbia corrotto le chiavi? chi garantisce tutto questo? La PKI è l'infrastruttura che gestisce tutto questo Dovrebbe essere gestita da enti al di sopra delle parti Che a pagamento o gratuitamente fungono da Notai e garantiscono per l'autenticità di chi richiede una chiave

15 Esempio : garantire autenticità di un server

16 Esempio : garantire autenticità di un server

17 Esempio : garantire autenticità di un server Ci siamo collegati ad un server con un certificato Abbiamo accettato il certificato perchè ci FIDAVAMO della CA che l'aveva emesso Possiamo usare NETASQ come nostra personale CA L'importante è che tutti quelli che la usano si FIDINO della nostra CA

18 Esempio : garantire autenticità di un server Cosa succede se il server viene compromesso? La CA non può semplicemente cancellare il certificato ma lo deve revocare mediante una apposita CRL I certificati nella CRL non sono più attendibili La CRL non puo crescere all'infinito, quindi i certificati scaduti vengono tolti dalla CRL. La CRL contiene i certificati validi di cui non ci si puo fidare Il client puo verificare sulla CRL se il certificato è valido (la CRL è scritta nel certificato) PER QUESTO MOTIVO E' PERICOLOSO ACCETTARE CERTIFICATI SCADUTI

19 Esempio : garantire autenticità di un server Cosa succede se il server viene compromesso? La CA non può semplicemente cancellare il certificato ma lo deve revocare mediante una apposita CRL I certificati nella CRL non sono più attendibili La CRL non puo crescere all'infinito, quindi i certificati scaduti vengono tolti dalla CRL. La CRL contiene i certificati validi di cui non ci si puo fidare Il client puo verificare sulla CRL se il certificato è valido

20 Ma in pratica cosa posso fare? 1)Autenticarmi sul firewall senza la password (per navigare ma anche per amministrarlo) 2)Creare certificati server 3)Creare VPN (anche per dispositivi mobili)

21 Esempi pratici - Primi passi comuni 1)Creazione database utenti o integrazione con database esterno USERS Directory configuration 2)Creazione della PKI OBJECTS Certificates and PKI 3)Rendere la CA creata Default Set as default

22 Autenticazione con certificati 1)Creazione di un utente USERS Users +Add user 2)Creazione di certificato utente USERS Users CERTIFICATE 3)Abilitazione autenticazione SSL su interfaccia esterna USERS Authentication GENERAL 4)Abilitare l'utente all'autenticazione SSL USERS Access privileges ACCESS POLICY 5)Scaricare e installare il certificato utente OBJECTS Certificates and PKI Download Certificate as a P12 file 6)Importare il certificato nel browser

23 Autenticazione con certificati in uscita Permette di autenticare in automatico un browser senza dovere inserire login e password nel portale di autenticazione Creazione di una regola di autenticazione SECURITY POLICY Filter - NAT FILTERING +New Rule Authentication Rule

24 Autenticazione con certificati in ingresso Alcuni browser come Firefox permettono di proteggere l'utilizzo di certificati con una password, questo ci permette di evitare che chiunque utilizzi Il nostro pc possa autenticarsi, inserendo un ulteriore livello di sicurezza. Firefox: Preferenze Sicurezza Utilizza una password principale

25 Autenticazione con certificati in ingresso Permette di autenticare in automatico un amministratore del firewall senza dovere utilizzare login e password Dare privilegi di amministratore ad un utente gia abilitato all'autenticazione SSL SYSTEM Administrators Add an administrator

26 Autenticazione con certificati in ingresso L'utilizzo della protezione del browser in questo caso è quasi obbligatoria, giacchè ogni utente potrebbe connettersi al firewall se possiede i giusti certificati L'utente creato non può avere gli stessi diritti dell'utente Admin, ad esempio non può cancellare il database LDAP, dal momento che il suo utente verrebbe cancellato. Lo stesso vale per alcune configurazioni di base della macchina

27 Mobile VPN 1)Creazione di un certificato server OBJECTS Certificates and PKI Add a server certificate Attenzione ad usare il FQDN nel CN (obbligatorio per iphone) 2)Creazione della VPN VPN Ipsec VPN PEER +Add New anonymous (Mobile) peer 3)Assegnare un nome al PEER e premere Next 4)Selezionare Certificate and Xauth (Iphone) e premere next 5)Selezionare il certificato server del punto 1 e finire

28 Mobile VPN 6)Selezionare uno slot libero per creare la Phase2 ENCRYPTION POLICY TUNNEL ANONYMOUS MOBILE USERS Add a new policy 7)Selezione il PEER creato precedentemente 8)Selezionare Network_in nelle local resources 9)Selezionare ALL per raggiungere tutto tramite vpn 10)Aggiungere un Network o un Range alla Remote Network (mode config) 11)Attivare il mode config 12)Selezionare IPHONE Encryption, salvare e attivare lo slot

29 Mobile VPN 13)Abilitare l'accesso in VPN USERS Access privileges DEFAULT e abilitare la vpn ipsec 14)Scaricare i certificati OBJECTS Certificates and PKI 15)Selezionare la CA e scaricare in formato DER (cliccando sul tasto Download) 16)Selezionare l'utente e scaricare in formato P12(cliccando sul tasto Download) il certificato di tipo utente

30 Mobile VPN Il formato P12 non è niente altro che un contenitore che contiene la CA, la chiave pubblica e quella privata dell'utente. In linea di massima basterebbe il P12, ma in alcuni casi è meglio installare la CA separatamente (IPHONE)

31 Mobile VPN su Iphone Importare prima il certificato della CA, altrimenti il certificato utente non sarà attendibile Importare il certificato utente (protetto da password) Configurare come da figura. N.B. Il server deve essere il FQDN usato nella generazione del certificato server. Questo significa che il firewall deve avere un FQDN risolvibile da un dns

32 Mobile VPN su Android I proposal utilizzati per la vpn con IPHONE non sono utilizzabili con Android, occorre creare 2 nuovi proposal con i seguenti valori VPN IPSec VPN ENCRYPTION PROFILES cliccare su ADD e selezionare Phase 1 (IKE) profile DH:Group 2 (Modp 1024) Maximum lifetime:28800 Proposals: md5 128 des 64 sha1 160 des 64 md des 192 sha des 192 VPN IPSec VPN ENCRYPTION PROFILES cliccare su ADD e selezionare Phase 2 (IPSec) profile PFS:none Lifetime:28800 Auth proposals: hmac_sha1 160 hmac_md5 128 Encryption Proposals: Aes 256 aes 128 3des 192 N.B. Modificare la vpn in modo da usare i nuovi profili

33 Mobile VPN su Android Importare la ca e il certificato utente (basta il P12 utente) Configurare come da figura. Con Android si puo usare un indirizzo ip al posto del FQDN NB: è supportata solo la piattaforma ANDROID ICECREAM SANDWICH o Superiore

34 Mobile VPN Il formato P12 non è niente altro che un contenitore che contiene la CA, la chiave pubblica e quella privata dell'utente. In linea di massima basterebbe il P12, ma in alcuni casi è meglio installare la CA separatamente (IPHONE)

35 Grazie per la vostra attenzione netwhat.altervista.org Marco Genovese Presales Engineer Cell : marco.genovese@netasq.com Web :