Permessi d accesso, UNIX password

Transcript

1 Università degli Studi di Milano Facoltà di Scienze Matematiche, Fisiche e Naturali Anno Accademico 2007/ Ottobre 2007

2 Sommario Permessi d accesso 1 Permessi d accesso Esempi comandi 5 6 John the Ripper

3 Sommario Permessi d accesso 1 Permessi d accesso Esempi comandi 5 6 John the Ripper

4 Sommario Permessi d accesso 1 Permessi d accesso Esempi comandi 5 6 John the Ripper

5 Sommario Permessi d accesso 1 Permessi d accesso Esempi comandi 5 6 John the Ripper

6 Sommario Permessi d accesso 1 Permessi d accesso Esempi comandi 5 6 John the Ripper

7 Sommario Permessi d accesso 1 Permessi d accesso Esempi comandi 5 6 John the Ripper

8 Permessi d accesso I permessi d accesso sono riferiti a tre gruppi principali: proprietario, gruppo, ed altri e sono principalmente tre: read (r), scrittura (w), esecuzione (x). Per i File: r: permette di leggere il file w: permette di scrivere il file x: permette l esecuzione Per le directory: r: permette di leggere il contenuto delle directory (elenco dei file) w: permette di modificare il contenuto delle directory x: permette l attraversamento della directory

9 Esistono altri permessi definibili oltre alle modalità d accesso: Per i File: SGID: associa all eseguibile in esecuzione i permessi del gruppo d appartenenza. SUID: associa all eseguibile in esecuzione i permessi del proprietario del file. Per le directory: Sticky: non consente di modificare un file da un utente diverso dal proprietario, neanche dagli utenti che hanno permesso di scrittura sulla directory. SGID: fa in modo che i permessi dei file creati appartengano al gruppo definito SGID.

10 Umask Permessi d accesso Ogni volta che viene creato un file, vengono impostati permessi di default, questi permessi sono impostati secondo una maschera definita. La maschera di default dei permessi viene impostata tramite il comando umask e definisce i permessi che non vengono attribuiti; e.g. umask 022 non viene permessa la scrittura ne al gruppo ne ad altri utenti (permessi reali & umask).

11 (1) Permessi d accesso Oltre i permessi è possibile definire alcuni attributi ai file che devono essere supportati dai filesystem (ext2 ext3). Il comando per impostare gli attributi è chattr con cui si possono verificare vari attributi: Attributo A a c i s u S Descrizione Non aggiorna la data di accesso (atime) Permette l aggiunta al file solo in append Dice al kernel di compr. e decompr. immutabile, non permette nessuna modifica al file cancella i dati con altri dati nulli. Recupero file dalla cancellazione ogni scrittura viene eseguita immediatamente.

12 (2) Permessi d accesso chattr [opzioni] [modalità] file... si possono specificare gli attributi con i segni +=- + vengono aggiunti gli attributi specificati, con - vengono rimossi gli attributi specificati, = vengono impostati gli attributi cosi come specificati. lsattr [opzioni] file... Opzione Descrizione -R operazione ricorsiva -a Elenca tutti i file (anche nascosti) -d Elenca anche le directory

13 chown (1) Permessi d accesso chown comando per cambiare proprietario al file. chown [opzioni] [utente][:[gruppo]] file R lavora in modo ricorsivo from=utente:gruppo cambia i file del utente:gruppo

14 chown (2) Permessi d accesso chown alessandro miofile cambia l utente del file miofile impostando l utente alessandro. chown alessandro:users miofile cambia l utente e gruppo del file miofile rispettivamente nell utente alessandro e gruppo users. chown -R from=root alessandro miadir cambia l owner dei file appartenenti all utente root nell utente alessandro.

15 chgrp (1) Permessi d accesso chgrp comando per cambiare gruppo al file. chgrp [opzioni] gruppo file... chgrp users file questo comando imposta il gruppo users associato al file. chgrp -R users /home/alessandro questo comando imposta in modo ricorsivo il gruppo users associati ai file contenuti nella directory e sottodirectory.

16 chmod (1) Permessi d accesso chmod comando per cambiare permessi. chmod [opzioni] modalità dei permessi file... u g o a Utente proprietario del file Gruppo proprietario Utente diverso Tutti gli utenti indifferentemente

17 chmod (2) Permessi d accesso r w x s t accesso lettura permesso scrittura permesso esecuzione Riguarda file eseguibili e directory (SUID SGID) file eseguibili e directory. STICKY bit chmod -R go-rwx /* Toglie al gruppo e agli altri utenti la possibilità di scrittura lettura ed esecuzione della directory e nelle directory successive. chmod -R a+rx /* Assegna a tutti gli utenti il permesso di lettura ed esecuzione partendo dalla directory e considerando le sottodirectory.

18 Schema di autenticazione password Identificazione utente nel sistema Definizione di alcune risorse usabili solo per particolari utenze. Necessità di identificare un utente per poter gestire l uso della risorsa in base ai permessi. Soluzione autenticazione classica basata sulla coppia: utente-password.

19 Schema di autenticazione: utente-password Identificazione utente nel sistema Per ogni sistema è creata un associazione userid, password userid: fornisce l identificativo dell utente nel sistema. password: fornisce il segreto di autorizzazione per accedere alle risorse definite dal sistema per un particolare utente.

20 Schema di autenticazione: utente-password file per la fase di autenticazione Lo schema di autenticazione classica è basata su due file: passwd: file leggibile da tutti gli utenti, contiene per ogni utente informazioni non sensibili come l account, gid uid, tipo di shell etc. shadow: file leggibile solo dall amministratore, contiene il segreto di autorizzazione, in forma criptata per accedere alle risorse definite dal sistema per un particolare utente, insieme ad altre informazioni non sensibili.

21 Schema di autenticazione: cifratura segreto cifratura segreto Vengono utilizzati due tipi di cifratura per registrare la password: Des modificato: le modifiche sono l introduzione del password salting, e 25 iterazioni dell algoritmo. funzione hash (MD5): funzione non invertibile.

22 Schema di autenticazione: cifratura segreto cifratura segreto Vengono utilizzati due tipi di cifratura per registrare la password: Des modificato: le modifiche sono l introduzione del password salting, e 25 iterazione dell algoritmo. funzione hash: di solito MD5 funzione computazionalmente invertibile. Nel sistema Debian la scelta dello schema di cifratura è impostato nel file /etc/pam.d/common-password

23 Schema DES modificato DES modificato Passi dell algoritmo: Tronca la password ai primi 8 Caratteri, per ognuno di essi prende i 7 bit più bassi, (8*7 = 56), che costituiscono la chiave dell algoritmo. viene impostato un initial vector di 64 bit tutti posti a 0. vengono scelti due byte per il password salting e ne vengono estratti 12 bit, 6 per byte. la chiave, l initial vector e il password salting vengono mandati in input all algoritmo del DES che esegue 25 round e fornisce il valore cifrato. il valore cifrato e i 2 byte del password salting viene registrato nel file /etc/shadow

24 Schema password

25 Schema MD5 Permessi d accesso Schema MD5 Passi dell algoritmo: Viene calcolata la funzione hash MD5 sulla password inserita Viene registrato il risultato della funzione nel file /etc/shadow. L algoritmo MD5 risulta più robusto in quanto prende in considerazione l effettiva lunghezza della password, a differenza del DES che prende solo i primi 8 caratteri.

26 Cracker Unix : John the Ripper John the Ripper I programmi di Cracking di password sono utili sia per poter verificare le debolezze delle password del proprio sistema, sia per effettuare attacchi informatici. Uno dei più veloci cracker di password per sistemi UNIX, ma non solo è John the Ripper. John the Ripper supporta diversi formati di cifratura tra cui: DES, MD5, Blowfish ed è stato testato su diverse architetture: x86, Alpha, SPARC. John the Ripper è reperibile all indirizzo oppure per la debian: apt-get install john

27 Modalità operative di John Modalità operative Wordlistmode: attacco a dizionario puro consiste nel verificare tramite un file dizionario e alcune regole, le password del sistema. Single crack Mode: reperisce le informazioni da utilizzare per la costruzione delle password tramite il file delle password da analizzare. Incremental mode: attacco di forza brutta sul file delle password attraverso alcune regole stabilita dal file di conf. External mode: Modalità definita all esterno e poi passata al programma john.

28 File di configurazione di john File di configurazione (john.conf john.ini) C è una sezione dedicata alle opzioni generali. Regole per la modalità wordlist e single crack. Regole per l incremental. Regole per la modalità esterna.

29 Regole Wordlist Sezione[List.Rules:Wordlist] -c[rules]:non usare la regola se il cifrario non è case-sensitive. > 3: significa rifiuta la parola se è minore di 3 caratteri. l: rendi tutti i caratteri minuscoli.

30 Regole Single Permessi d accesso Sezione[List.Rules:Single] 1: solo la prima parola dell account. 2: solo la seconda parola dell account. +: concatenazione delle parole.

31 Regole Incremental Sezione[Incremental:NOME], NOME id MinLen: lunghezza minima di password da cercare. Maxlen: lunghezza massima di password da cercare. Charcount: numero massimo di caratteri diversi da impiegare nella ricerca. Extra: aggiunge un altro set di caratteri per la composizione della stringa di ricerca.

32 Regole External Mode Sezione[List.External:NOME], NOME id funzioni dell interfaccia di comunicazione: init(): inizializzazione variabili globali. filter(): eventuali eliminazioni di alcune parole. generate(): generazione delle parole da confrontare. restore(): recupero sessione precedente. La comunicazione avviene tramite variabili globali, tutto le funzioni non ritornano nessun argomento e non ricevono nessun parametro. Le funzioni usano per la comunicazione con john delle variabili tipo int word[]

33 Regole External Mode Sezione[List.External:NOME], NOME id le funzioni utilizzate per l external mode utilizzano solo alcuni costrutti del linguaggio C: non sono supportate altre funzioni al di fuori di quelle standard supportato solo il ciclo while. supportati solo i tipi int e void. supportati solo gli array monodimensionali.

34 Esempio External Mode filtro per trovare parti di stringa con sole lettere minuscole: [List.External:Filter Alpha] void filter() { int i, c; } i = 0; while (c = word[i++]) if (c < a c > z ) { word = 0; return; }

35 Esempi di utilizzo di john l utilizzo di john per l estrazioni del file password: # unshadow /etc/passwd /etc/shadow > passwordcheck l utilizzo di john per la modalità wordlist: # john -wordfile:password -rules passwordcheck l utilizzo di john per la modalità single crack: # john -single passwordcheck

36 Esempi di utilizzo di john l utilizzo di john per la modalità incremental: # john -incremental:alpha passwordcheck l utilizzo di john per mostrare le password trovate fin ora: # john -show passwordcheck l utilizzo di john per ripristinare la fase di cracking: # john -restore

37 Esempi di utilizzo di john l utilizzo di john per la modalità external: # john -wordfile:common-4 -external:filter_alpha password_check vengono considerate solo le stringhe alfabetiche del dizionario

38 Link Utili Permessi d accesso Unix history ( D. Klein, Foiling the Cracker: A Survey of, and Improvements to, Security, K. Thompson and R. Morris, Security: A Case History, D. Feldmeier and P. Karn UNIX Security? Ten Years Later, H. Chen, D. Wagner, and D. Dean Setuid Demystified, John The Ripper 1.6 ( UNIX password cracking tool. Dictionaries at ftp://ftp.ox.ac.uk/pub/wordlists