Sicurezza nel WEB Configurazione server Linux e tecniche comuni per aumentare la sicurezza sulla grande rete

Transcript

1 Sicurezza nel WEB Configurazione server Linux e tecniche comuni per aumentare la sicurezza sulla grande rete

2 T.O.C. Presentazione Gli Strumenti Server dedicati Raspberry Configurazione di un server linux Configurazione di base Criteri avanzati Webmin L analisi del log Il php e tecniche di protezione nell accesso negli applicativi web Panoramica sul php Evitare l sql-injection Criteri di base per il login e per rafforzare la sicurezza La protezione nelle grandi aziende Telecom Italia PayPal Google Conclusioni

3 Presentazione Protezione della comunicazione Protezione della sorgente Protezione del destinatario Attacchi man-in-the-middle HTTPs Configurare un Server sicuro

4 La comunicazione Condizione Normale Computer Client Canale di comunicazione Server

5 La comunicazione Attacco MAN IN THE MIDDLE Man in the Middle Computer Client Server

6 La comunicazione Soluzione tramite certificato Man in the Middle Computer Client Canale Cifrato Server

7 Perché attaccare il canale? La trasmissione di dati spesso è un evento che si realizza in momenti brevi e non predicibili. Perché non attaccare direttamente il server che è sempre online e contiene tutti i dati di interesse? E spesso non cifrati?

8 Gli Strumenti Raspberry PI Cos è Come acquistarlo Il sistema operativo Panoramica generale Server dedicati e surrogati Servizi commerciali di hosting Server fatti in casa VirtualBox

9 Raspberry PI Cos è E un prodotto nato per l educazione e per i paesi emergenti, è un dispositivo basato su tecnologia ARM Ha un costo di circa 50 e viene fornito nudo e crudo, tutti gli accessori vanno acqistati separatamente. Il sito di riferimento è

10 Le caratteristiche Model A Model B Prezzo di offerta: [1] USD 25 (GBP 16) USD 35 (GBP 22) SoC: [1] Broadcom BCM2835 (CPU + GPU + DSP + SDRAM) [2] CPU: 700 MHz ARM1176JZF-S core (famiglia ARM11) [2] GPU: Broadcom VideoCore IV, [37] OpenGL ES 2.0, 1080p30 H.264 high-profile decode [2] Memory (SDRAM): 256 Megabytes (condivisa con la GPU) 256 o 512 Megabytes (condivisa con la GPU) USB 2.0 ports: [8] 1 Output video: [1] Output audio: [1] Memoria: [8] 2 (attraverso un hub USB integrato) [35] Connettore RCA per il video composito, HDMI 3,5 mm jack, HDMI SD / MMC / SDIO card slot Collegamenti di rete: [1][8] Nessuno Ethernet 10/100 (RJ-45) [35] Periferiche di basso livello: Real-time clock: [1] Corrente (potenza) assorbita [39] : Alimentazione: [1] Dimensioni: 2x13 header pins for GPIO, SPI, I²C, UART, +3,3 Volt, +5 Volt [37][38] No clock or battery 300 ma, (1,5 W) 700 ma, (3,5 W) 5 V via MicroUSB o GPIO header 85,60 mm 53,98 mm [40] (3.370 inch inch) Sistemi operativi supportati: Debian GNU/Linux, Fedora, Arch Linux [3] e Gentoo [41] Sistemi operativi non supportati: RISC OS [9] (shared source)

11 Sistema Operativo Esistono molte distribuzioni Linux per tecnologia ARM come Ubuntu Server ARM ( ntu.com/downloa d/arm ), il raspberry ha comunque un os dedicato, basato su debian.

12 Server Dedicati Servizi di webhosting TopServer Amazon WebServices Aruba Cloud SEEWEB Server Dedicati Classici OVH Aruba Servage GoDaddy

13 Fai da te Costi ridotti Nessun canone di spesa Possibilità di riciclo Poca connettività Massimo Controllo

14 VirtualBox Costi nulli Limitazione delle performance Studio del protocollo ip inesistente Buono solo per pratica

15 Configurazione di un server Linux Connessione e Test preliminari Installazione del Demone http Installazione Demone Ftp Installazione del Firewall Criteri automatici di protezione Installazione di Webmin Esempi basati sul servizio TOPSERVER Sistema operativo ubuntu

16 Connessione SSH Putty

17 Bash Sicurezza Web Maurizio Triggiani

18 Rimozione dell utente root Perché farlo Migliorare la sicurezza

19 Aggiornamento del sistema

20 SuDo A cosa serve Come impostarlo Il comando nano

21 SuDo #2 Sicurezza Web Maurizio Triggiani

22 TaskSel LampServer Tasksel LAMP acronimo di Linux Apache MySql PHP,Perl,Pyton

23 TaskSel Sicurezza Web Maurizio Triggiani

24 Verifica della Installazione Comando ps -A

25 FTP - vsftpd VsFtpd è un demone ftp gratuito per linux Basa la sua politica di accesso sugli utenti di linux. Va dunque configurato in accordo.

26 Configurazione VSFTPD

27

28

29 Configurazione vsftpd I dettagli del setup esulano dall obbiettivo di questa panoramica. Gude dettagliate possono essere trovate facilmente sul web les/how-to-set-up-vsftpd-on-ubuntu

30 Firewall (UFW) Blocca gli attacchi generici Impedisce l accesso a determinate porte Attenzione alla porta SSH!! UFW - Uncomplicated Firewall

31 Configurazione UFW Deny Porta 80 (http) Porta Porta 22 (SSH) Porta 23 (TelNet) Porta 20 (Ftp) Porta 21 (Ftp)

32 Fail2Ban il firewall diventa intelligente Blocca gran parte degli attacchi in hammerig Può essere configurato con molta precisione Gli accessi piu importanti sono l ftp e l SSH

33 Configurazione Fail2Ban Etc\fail2ban\jail.conf

34

35 WebMin Pannello di amministrazione per il proprio server. Completamente gratuito e con una ottima community di supporto Sostituisce soluzioni commerciali come il pannello Plesk (Dato in dotazione da Aruba per Esempio)

36 Pacchetti Supplementari sudo apt-get install perl libnet-ssleay-perl openssl libauthen-pam-perl libpam-runtime libio-pty-perl aptshow-versions python

37

38 Link Utili su WebMin I comandi usati wget apt-key add jcameron-key.asc apt-get update wget dpkg --install webmin_1.580_all.deb

39

40 Il pannello di amministrazione

41 Assegnare DNS I Virtual Host I record DNS Record A CNAME TXT Cosa sono i vhost

42 Come migliorare la sicurezza Analisi dei log Aggiornamento ricorrente Non lasciare NESSUNA impostazione di default Ascoltare i clienti Conoscere l uso che viene fatto del server Limitazioni geografiche Pro e Contro

43 Analisi dei log Sicurezza Web Maurizio Triggiani

44 Ban Massivi Creazione di un file batch #!bin/bashsudo ufw deny from /24 sudo ufw deny from /24 sudo ufw deny from /24 sudo ufw deny from /24 sudo ufw deny from /24 sudo ufw deny from /24 sudo ufw deny from /24 sudo ufw deny from /24 sudo ufw deny from /24 sudo ufw deny from /24 sudo ufw deny from /24 sudo ufw deny from /24 sudo ufw deny from /24

45 Aggiornamenti Sicurezza Web Maurizio Triggiani

46 Impostazioni di default Porte standard Cartelle var\www Orari di accensione Password Nomi user Passwords

47 Panoramica sul php Linguaggio di scripting server side Possibilità di creare pagine web dinamiche Interazione con database Perfettamente integrato in apache

48 Hello World php <?php echo Hello World ;?> Basta poi salvare come file index.php e richiamarlo tramite browser <?php phpinfo();?> Richiama invece una schermata che riassume tutte le funzioni del php Correntemente installato.

49 SQL Injection $w=mysql_query( SELECT username,password FROM utenti WHERE username='".$_post[ USER ]."' AND password='".$_post[ PASSW ]." ); if(mysql_num_rows($w)>0){ $_SESSION['logged']=$keylog; } else{ echo "<center><h1>errore</h1></center>"; }

50 Cosa succede SELECT username,password FROM utenti WHERE username='.$_post[ USER ]."' AND password='". $_POST[ PASSW ]. SELECT username,password FROM utenti WHERE username= OR 1=1 AND password= OR 1=1).

51 Contromisure Utilizzare funzioni di Hash per le password Rimuovere gli apici e altri caratteri speciali prima di iniziare la query

52 $username=str_replace("'","-",$_post['user']); $username=str_replace("\"","-",$_post['user']); $w=mysql_query( SELECT username,password FROM utenti WHERE username='".$username."' AND password='".sha1($pass)." ); if(mysql_num_rows($w)>0){ $_SESSION['logged']=$keylog; } else{ echo "<center><h1>errore</h1></center>"; }

53 Cosa succede SELECT username,password FROM utenti WHERE username='.$username."' AND password='". $pass. SELECT username,password FROM utenti WHERE username= - OR 1=1 AND password= dsauha9sdyh8ada09uyd08asujd0ay ).

54 Le variabili di session Cosa sono Utilizzo per rafforzare la sicurezza Limiti delle variabili di sessione

55 Soluzioni di sicurezza nelle grandi Aziende Il punto della situazione Dove rafforzare la sicurezza Cosa fare per proteggere il cliente

56 Telecom Italia Virtualizzazione Software Citrix Vantaggi Problemi

57 Google Utilizzo di verifiche multiple Tramite OTP o SMS

58 Sicurezza nella webfarm Sicurezza Web Maurizio Triggiani

59 PayPal Sicurezza geografica Verifiche periodiche

60 Conclusioni Sicurezza Web Maurizio Triggiani