Sicurezza nel WEB. Configurazione server Linux e tecniche comuni per aumentare la sicurezza sulla grande rete

Dimensione: px

Iniziare la visualizzazioe della pagina:

Download "Sicurezza nel WEB. Configurazione server Linux e tecniche comuni per aumentare la sicurezza sulla grande rete"

Gianfranco Russo
8 anni fa
Visualizzazioni

1 Slide disponibili su Sicurezza nel WEB Configurazione server Linux e tecniche comuni per aumentare la sicurezza sulla grande rete A cura di Maurizio Triggiani maurizio@triggiani.net

2 T.O.C. Presentazione Gli Strumenti Server dedicati Raspberry Configurazione di un server Linux Configurazione di base Criteri avanzati Webmin L analisi del log Il php e tecniche di protezione nell accesso negli applicativi web Panoramica sul php Evitare l sql-injection Criteri di base per il login e per rafforzare la sicurezza La protezione nelle grandi aziende Telecom Italia PayPal Google Conclusioni

3 Presentazione Protezione della comunicazione Protezione della sorgente Protezione del destinatario Attacchi man-in-the-middle HTTPs Configurare un Server sicuro

4 La comunicazione Condizione Normale Computer Client Canale di comunicazione Server

5 La comunicazione Attacco MAN IN THE MIDDLE Man in the Middle Computer Client Server

6 La comunicazione Soluzione tramite certificato Man in the Middle Computer Client Canale Cifrato Server

7 Perché attaccare il canale? La trasmissione di dati spesso è un evento che si realizza in momenti brevi e non predicibili. Perché non attaccare direttamente il server che è sempre online e contiene tutti i dati di interesse? E spesso non cifrati?

8 Gli Strumenti Raspberry PI Cos è Come acquistarlo Il sistema operativo Panoramica generale Server dedicati e surrogati Servizi commerciali di hosting Server fatti in casa VirtualBox

9 Raspberry PI Cos è E un prodotto nato per l educazione e per i paesi emergenti, è un dispositivo basato su tecnologia ARM Ha un costo di circa 50 (tutto incluso) e viene fornito nudo e crudo, tutti gli accessori vanno acquistati separatamente. Il sito di riferimento è

10 Le caratteristiche Model A Model B Prezzo di offerta: [1] USD 25 (GBP 16) USD 35 (GBP 22) SoC: [1] Broadcom BCM2835 (CPU + GPU + DSP + SDRAM) [2] CPU: 700 MHz ARM1176JZF-S core (famiglia ARM11) [2] GPU: Broadcom VideoCore IV, [37] OpenGL ES 2.0, 1080p30 H.264 high-profile decode [2] Memory (SDRAM): 256 Megabytes (condivisa con la GPU) 256 o 512 Megabytes (condivisa con la GPU) USB 2.0 ports: [8] 1 Output video: [1] Output audio: [1] Memoria: [8] 2 (attraverso un hub USB integrato) [35] Connettore RCA per il video composito, HDMI 3,5 mm jack, HDMI SD / MMC / SDIO card slot Collegamenti di rete: [1][8] Nessuno Ethernet 10/100 (RJ-45) [35] Periferiche di basso livello: Real-time clock: [1] Corrente (potenza) assorbita [39] : Alimentazione: [1] Dimensioni: 2x13 header pins for GPIO, SPI, I²C, UART, +3,3 Volt, +5 Volt [37][38] No clock or battery 300 ma, (1,5 W) 700 ma, (3,5 W) 5 V via MicroUSB o GPIO header 85,60 mm 53,98 mm [40] (3.370 inch inch) Sistemi operativi supportati: Debian GNU/Linux, Fedora, Arch Linux [3] e Gentoo [41] Sistemi operativi non supportati: RISC OS [9] (shared source)

11 Sistema Operativo Esistono molte distribuzioni Linux per tecnologia ARM come Ubuntu Server ARM ( ntu.com/downloa d/arm ), il raspberry ha comunque un OS dedicato, basato su debian.

12 Server Dedicati Servizi di webhosting TopServer Amazon WebServices Aruba Cloud SEEWEB Server Dedicati Classici OVH Aruba Servage GoDaddy

13 Fai da te Costi ridotti Nessun canone di spesa Possibilità di riciclo della macchina (ad esempio reinstallando un OS per uso desktop) Poca connettività Massimo Controllo

14 VirtualBox Costi di gestione nulli Limitazione delle performance Studio del protocollo ip assente Buono solo per pratica Manca la sperimentazione sul campo

15 Configurazione di un server Linux Connessione e Test preliminari Installazione del Demone http Installazione Demone Ftp Installazione del Firewall Criteri automatici di protezione Installazione di Webmin Esempi basati sul servizio TOPSERVER Sistema operativo ubuntu

Connessione SSH Putty http://www.chiark.

16 Connessione SSH Putty

17 Bash Sicurezza Web Maurizio Triggiani

18 Rimozione dell utente root Convenienza nella rimozione dell utente root Migliorare la sicurezza

19 Il comando SuDo A cosa serve Come impostarlo L editor testuale per i file di configurazione, il comando nano

20 SuDo #2 Sicurezza Web Maurizio Triggiani

21 TaskSel LampServer Tasksel LAMP acronimo di Linux Apache MySql PHP,Perl,Pyton Nel caso no sia preinstallato il pacchetto tasksel può essere facilemnte installato Con il comando SUDO APT-GET INSTALL TASKSEL

22 Interfaccia di scelta del programma da installare TaskSel L interfaccia che indica l avanzamento del setup Richiesta per la password di root per MySQL

23 Verifica della Installazione Comando ps A Tenere sott occhio i processi attivi

24 FTP - vsftpd VsFtpd è un demone ftp gratuito per linux Basa la sua politica di accesso sugli utenti di linux. Va dunque configurato in accordo.

25 Configurazione VSFTPD

28 Configurazione vsftpd I dettagli del setup esulano dall obbiettivo di questa panoramica. Gude dettagliate possono essere trovate facilmente sul web les/how-to-set-up-vsftpd-on-ubuntu

29 Firewall (UFW) UFW - Uncomplicated Firewall Blocca gli attacchi generici Impedisce l accesso a determinate porte Attenzione a non bloccare la porta SSH!!

Configurazione UFW Deny Porta 80 (http) Porta 10000 (webmin)

30 Configurazione UFW Deny Porta 80 (http) Porta (webmin) Porta 22 (SSH) Porta 23 (TelNet) Porta 20 (Ftp) Porta 21 (Ftp)

31 Fail2Ban il firewall diventa intelligente e adattativo Blocca gran parte degli attacchi in hammerig Può essere configurato con molta precisione Gli accessi più importanti sono l FTP e l SSH

32 Configurazione Fail2Ban Etc\fail2ban\jail.conf

34 WebMin Pannello di amministrazione per il proprio server. Completamente gratuito e con una ottima community di supporto Sostituisce soluzioni commerciali come il pannello Plesk (Dato in dotazione da Aruba per Esempio)

35 Pacchetti Supplementari sudo apt-get install perl libnet-ssleay-perl openssl libauthen-pam-perl libpam-runtime libio-pty-perl aptshow-versions python

Link Utili su WebMin http://www.webmin.com/index.html http://www.webmin.com/deb.html I comandi usati wget http://www.webmin.com/jcameron-key.

37 Link Utili su WebMin I comandi usati wget apt-key add jcameron-key.asc apt-get update wget dpkg --install webmin_1.580_all.deb

39 Il pannello di amministrazione

40 Assegnare DNS I Virtual Host I record DNS Record A CNAME TXT Cosa sono i vhost

41 Come migliorare la sicurezza Analisi dei log Aggiornamento ricorrente Non lasciare NESSUNA impostazione di default Ascoltare i clienti Conoscere l uso che viene fatto del server Limitazioni geografiche Pro e Contro

42 Analisi dei log Sicurezza Web Maurizio Triggiani

43 Creazione di un file batch #!bin/bash sudo ufw deny from /24 sudo ufw deny from /24 sudo ufw deny from /24 sudo ufw deny from /24 sudo ufw deny from /24 sudo ufw deny from /24 sudo ufw deny from /24 sudo ufw deny from /24 sudo ufw deny from /24 sudo ufw deny from /24 sudo ufw deny from /24 sudo ufw deny from /24 sudo ufw deny from /24 Sicurezza Web Maurizio Triggiani Ban Massivi

44 Aggiornamenti Sicurezza Web Maurizio Triggiani

45 Impostazioni di default Porte standard (ove possibile, ad esempio non è consigliare cambiare la porta 80) Cartelle var\www Orari di accensione Password Nomi user

46 Panoramica sul PHP Linguaggio di scripting server side Possibilità di creare pagine web dinamiche Interazione con database Perfettamente integrato in apache

47 Hello World PHP <?php echo Hello World ;?> Basta poi salvare come file index.php e richiamarlo tramite browser <?php phpinfo();?> Richiama invece una schermata che riassume tutte le funzioni del php Correntemente installato.

48 SQL Injection $w=mysql_query( SELECT username, password FROM utenti WHERE username='".$_post[ USER ]."' AND password='".$_post[ PASSW ]." ); if(mysql_num_rows($w)>0){ $_SESSION['logged']=$keylog; } else{ echo "<center><h1>errore</h1></center>"; }

49 Cosa succede SELECT username,password FROM utenti WHERE username='.$_post[ USER ]."' AND password='". $_POST[ PASSW ]. SELECT username,password FROM utenti WHERE username= OR 1=1 AND password= OR 1=1

50 Contromisure Utilizzare funzioni di Hash per le password Rimuovere gli apici e altri caratteri speciali prima di iniziare la query

51 $username=str_replace("'","-",$_post['user']); $username=str_replace("\"","-",$_post['user']); $w=mysql_query( SELECT username,password FROM utenti WHERE username='".$username."' AND password='".sha1($pass)." ); if(mysql_num_rows($w)>0){ $_SESSION['logged']=$keylog; } else{ echo "<center><h1>errore</h1></center>"; }

52 Cosa succede SELECT username, password FROM utenti WHERE username='.$username."' AND password='". Sha1($pass). SELECT username, password FROM utenti WHERE username= - OR 1=1 AND password= dsauha9sdyh8ada09uyd08asujd0ay

53 Le variabili di session Cosa sono Utilizzo per rafforzare la sicurezza Limiti delle variabili di sessione

54 Soluzioni di sicurezza nelle grandi Aziende Il punto della situazione Dove rafforzare la sicurezza Cosa fare per proteggere il cliente

55 Telecom Italia Virtualizzazione Software Citrix Vantaggi Problemi

56 Google Utilizzo di verifiche multiple Tramite OTP o SMS

57 Sicurezza nella webfarm Sicurezza Web Maurizio Triggiani

58 PayPal Sicurezza geografica Verifiche periodiche

59 Conclusioni

Documenti analoghi

http://tinyurl.com/mj22ncg Sicurezza nel WEB Configurazione server Linux e tecniche comuni per aumentare la sicurezza sulla grande rete

http://tinyurl.com/mj22ncg Sicurezza nel WEB Configurazione server Linux e tecniche comuni per aumentare la sicurezza sulla grande rete T.O.C. Presentazione Gli Strumenti Server dedicati Raspberry Configurazione