Internet Security: Secure Sockets Layer

Transcript

1 Internet layered architecture Internet Security: Secure Sockets Layer Ozalp Babaoglu Internet protocols are layered Each layer provides services to the layer above hiding details of layers below Logical separation Easier to develop and maintain Interoperability Two reference models: ISO/OSI and TCP/IP ALMA MATER STUDIORUM UNIVERSITA DI BOLOGNA 2 Security in the Internet: at which level? Introduction Security at the application level Pros: designed for specific application requirements Cons: requires multiple security mechanisms Security at the transport level Pros: provides common interface to security services Cons: requires (minor) modification to applications Security at the network level Pros: works with security-ignorant applications Cons: may require modifications at the OS level Introduction 3 4

2 Introduction SSL: Secure Sockets Layer Security at the network level IPSec Security at the transport level SSL (Secure Sockets Layer) Security at the application level S/MIME PGP Kerberos SET One of the most widely used security services A general purpose service implemented as a set of protocols that rely on TCP Proposed by Netscape Communications Corporation in 1995 Adopted as a standard by the IETF under the name Transport Layer Security (TLS) Guarantees confidentiality, integrity and authentication for Internet communications 5 6 SSL: Secure Sockets Layer SSL: Secure Sockets Layer Client Server E-commerce On-line trading Internet banking Any application where confidential data (password, credit card number) needs to be sent to a remote host HTTP SSL TCP/IP HTTPS HTTP SSL TCP/IP 7 8

3 SSL: Secure Sockets Layer Recall hybrid solution for secret key management Crittografia ibrido Cifrari simmetrici Cifrari asimmetrici Certificati Message Authentication Code (MAC) 1. A generates (KA[pub], KA[priv]) 2. A announces its public key to B: {KA[pub], A} 3. B generates session key KS 4. B sends session key to A: C(KA[pub], KS) 5. A decrypts to obtain KS = D(KA[priv], C(KA[pub], KS)) 6. A can delete (KA[pub], KA[priv]) 7. A and B pass to symmetric cryptography using the session key KS 9 10 SSL: Implementation SSL: Handshake e Record SSL Handshake crea un canale sicuro, affidabile e autenticato tra client e server SSL Record fa viaggiare i messaggi incapsulandoli in blocchi cifrati e autenticati HTTP SMTP IMAP Handshake: definisce il canale ovvero una suite crittografico che contiene meccanismi di cifratura da usare in seguito dati per la (mutua) autenticazione relative chiavi Record: implementa il canale utilizzando la suite per cifrare e autenticare i blocchi prima di darli in pasto a TCP 11 12

4 SSL Sessions and Connections SSL Sessions and Connections SSL Session A long-lasting association between a client and a server Created by the Handshake Protocol Associated to a set of security parameters Used to avoid the expensive negotiation of new security parameters SSL Connection A transport connection between a client and a server Connections are transient Every connection is associated with one session Between any pair of parties There may be multiple connections Normally there is a single session Session state Session identifier: arbitrary byte sequence to identify an active session Peer certificate: an X509.v3 certificate of the peer; may be null Compression method: used to compress data prior to encryption Cipher spec: specifies the data encryption algorithm Master secret: 48 byte secret shared between client and server SSL Sessions and Connections SSL: Handshake Protocol Connection State Client/Server random: Random byte sequences used as identifier chosen by the client and the server at each connection Client/Server write MAC secret key: Secret key used in Message Authentication Code (MAC) operations on data sent by the client/ server Client/Server write secret key: Encryption key for data encrypted by the client/server and decrypted by the server/client Sequence Numbers 15 16

5 Phase 1: Client Hello Phase 1: Server Hello Client U manda a server S un messaggio richiedendo una connessione SSL Client U specifica le prestazioni di sicurezza desiderate Versione del protocollo SSL sopportato Lista di algoritmi di compressione sopportati Cipher Suite: SSL_RSA_WITH_3DES_EDE_CBC_SHA RSA: scambio chiavi di sessione 3DES_EDE_CBC: cifratura simmetrica SHA: funzione hash one-way per MAC Client U allega una sequenza di byte casuali Server S riceve il messaggio client hello da U Server S selezione un algoritmo di compressione tra quelli elencati da U Server S seleziona dalla cipher suite inviata da U una cipher suite comune (tra U e S ) Server S invia a U un messaggio server hello contenente gli elementi selezionati e una nuova sequenza di byte casuali Se U non riceve il messaggio server hello interrompe la comunicazione Phase 1: Use of random bytes Phase 2: Autenticazione During Phase 1, the client and server exchange newly generated random bytes The master secret is constructed as a function of these bytes They also act as nonces to prevent replay attacks Server S si autentica a U inviandogli il proprio certificato digitale Se S spedisce una lista di certificati, U controlla l intera lista Se i servizi offerti da S devono essere protetti negli accessi, S può richiedere a U di inviargli il suo certificato (autenticazione di U con S ) SSL si base su un PKI e non si interessa direttamente di meccanismi di trust, distribuzione dei certificati, revoca, etc

6 Phase 2: Server Hello Done Phase 3: Pre-master secret, Master secret Client U costruisce un pre-master secret P come una nuova sequenza di byte casuali Server S invia il messaggio server hello done a U Server hello done sancisce la fine della fase in cui ci si accorda sulla cipher suite e sui parametri crittografici Client U spedisce P a S dopo averlo cifrato con la chiave pubblica di S contenuta nel certificato e l algoritmo concordato (nell esempio U usa RSA) Client U combina P con alcune stringhe note + byte casuali contenuti in client hello e server hello e codifica il tutto con SHA e MD5 ottenendo il master secret M Phase 3: Costruzione di Master Secret al server Phase 3: Invio del certificato di Client Server S decifra il messaggio di U e ottiene P Server S calcola M nello stesso modo con cui U aveva calcolato M a partire da P Nota: Server S può farlo perché dispone delle stesse informazioni di cui dispone U Quando richiesto da S, U gli invia il suo certificato Se non lo possiede, si interrompe il protocollo Insieme al certificato, U allega e firma con la sua chiave privata, la SSL-history Server S controlla il certificato e in caso di anomalie interrompe il protocollo 23 24

7 Phase 3: Autenticazione del Client Phase 4: Messaggi Finished Se richiesto, U deve autenticarsi verso S In pratica, il server dispone di certificati mentre l utente di solito no In assenza di certificato, U procede ad autenticarsi con login e password Questi messaggi vengono costruiti in base al master secret e contengono tutte le informazioni che i due partner si sono scambiati durante la fase di handshake Permettono a U e S di effettuare un controllo ulteriore sulle comunicazioni avvenute e di accertarsi di possedere lo stesso master secret Permettono a U e S di accertarsi che non ci sia stato un attacco di tipo man-in-the-middle Phase 4: Client Finished Phase 4: Server Finished Client U invia S il messaggio finished protetto utilizzando M Costruzione di finished F U = M + tutti i messaggi di handshake scambiati finora + identità di U Client U codifica F U con SHA e MD5 e lo invia a S Server S verifica il messaggio finished di U ricalcolando il tutto Server S invia a U suo messaggio finished protetto utilizzando M Costruzione di finished : F S = M + tutti i messaggi di handshake scambiati finora (incluso il messaggio finished di U ) + identità di S Server S codifica F S con SHA e MD5 e lo invia a U Client U verifica il messaggio finished ricevuto da S 27 28

8 SSL Record Protocol SSL Record Protocol SSL Record Protocol provides Confidentiality: The Handshake Protocol defines a shared secret key used for conventional encryption of SSL payloads Integrity: The Handshake Protocol defines a shared secret key used to generate Message Authentication Code I dati vengono frammentati in parti di lunghezza opportuna Ogni blocco viene numerato, compresso, autenticato con MAC, cifrato con chiave segreta e trasmesso usando il protocollo di trasporto sottostante (TCP) Il destinatario opera in modo inverso al mittente e restituisce il messaggio all applicazione sovrastante (HTTP, SMTP, IMAP, etc.) SSL Record Protocol MAC in SSL Record Protocol Ogni blocco viene numerato e autenticato con MAC MAC = H(blocco, numero, M, stringhe note) Dove numero è di 64 bit quindi no ripetizioni all interno della stessa sessione Si previene così facendo l uso fraudolento e iterato dello stesso blocco nella stessa sessione Se un blocco viene perduto, i blocchi successivi vanno ricreati e rispediti MAC sono cifrati insieme al messaggio con chiave simmetrica 31 32

9 Generazioni Sequenze Casuali Conclusioni Sono contenute il client hello, server hello e pre-master secret Da loro dipendono fortemente il master secret e quindi le chiavi segrete di sessione La sequenza contenuta nel pre-master secret è inviata da U a S in modo cifrato e la sua impredictibilità è cruciale per la sicurezza del canale SSL Se il generatore di sequenze pseudo-casuali non è di qualità, l intero protocollo si indebolisce SSL è sicuro quanto la più debole cipher suite da esso sopportata Sarebbe meglio disabilitare nel proprio browser tutti i protocolli con chiavi troppo corte (esempio: cifrari simmetrici con chiavi a 40 bit e asimmetrici con chiavi fino a 512 bit) SSL Certificate Errors SSL Certificate Errors 35 36