PLUGGABLE AUTHENTICATION MODULE

Transcript

1 UNIVERSITA DEGLI STUDI DI SALERNO PLUGGABLE ENTICATION MODULE Struttura presentazione: INTRODUZIONE SICUREZZA SISTEMA MODULI (LIBRERIE) APPLICAZIONI A cura di: F. Machi D. Maddaluno M. Schiattarella C. Scurletu Corso di Sicurezza su Reti A.A CODICE ESEMPIO Cos è PAM? Obiettivi: Set di librerie per l implementazione modulare delle politiche di sicurezza relative all Interfaccia astratta Separazione meccanismi dallo sviluppo software Sviluppare programmi indipendenti dallo schema di Modificare la politica di sicurezza relative all senza modificare le applicazioni Rendere le applicazioni critiche facilmente upgradabili Autenticazione: Prima di PAM: Fase di Accesso al Sistema: Il sistema accerta l identità dell utente L utente acquisisce diritti Requisiti Autenticazione: Sicurezza Correttezza Ciascuna applicazione implementava meccanismi di L era gestita da subroutine Telnet, Ftp, Login,.. Facilità di modifica

2 Problema: Con PAM: Modifica politiche di sicurezza della Utilizzo nuovi schemi di Aggiunta patches o upgrade Riscrivere Codice Applicazioni Programmi indipendenti dallo schema di applicazione (PAM - AWARE) Nuove politiche di sicurezza dell non richiedono modifiche degli applicativi Azione combinata schemi diversi (RSA, DCE, Kerberos, S/Key, Smart-card) PAM offre: PAM gestisce: Una serie di API astratte (interfaccia) Infrastrutture per la modifica delle politiche di sicurezza relative all Moduli che implementano schemi diversi di Autenticazione Accounting Sessione Verifica del profilo utente Modifica del profilo utente Meccanismo PAM (AUTENTICAZIONE): Meccanismo PAM (AUTENTICAZIONE)/2: L applicazione richiede i servizi alla libreria libpam Libpam carica i moduli che eseguono i servizi richiesti dall applicazione L amministratore di sistema indica i moduli da utilizzare tramite file di configurazione UTENTE APPLICAZIONE (login, telnet, ftp..) Libreria PAM ( libpam ) File di configurazione Moduli File delle password

3 Vantaggi: PAM - esempio: Scelta meccanismi default Supporto interfaccia applicazioni Configurazione protocolli multipli Una postazione Unixautentica utenti secondo il classico schema di password L amministratore decide di introdurre l utilizzo delle smart-card Per rendere effettiva la modifica, è necessario: Installare il software di gestione delle card API indipendenti dal sistema operativo Reperire o modificare tutti i programmi interessati da questo cambiamento login, telnet, su, passwd, ftp PAM esempio/2: Parti in gioco: Se la postazione utilizza applicazioni PAM - AWARE, sarà sufficiente: Installare il software di gestione delle card Installare il modulo PAM per l erogazione dei servizi Configurare i singoli comandi affinch é facciano riferimento al nuovo modulo Applicazione (UTENTE) Libreria libpam File di configurazione (AMMINISTRATORE DI SISTEMA) Moduli (PROGRAMMATORE) Sicurezza del sistema: Schema interazione: L amministratore definisce come le applicazioni autenticano gli utenti La configurazione locale dei moduli avviene mediante file di configurazione Il processo avviene secondo lo schema seguente.. Libpam opera interrogando il file di configurazione L applicazione si interfaccia con libpam. I moduli sono caricati in memoria. I moduli sono inseriti nello stack.

4 File di configurazione: File di configurazione/2: Utilizzato dall amministratore per indicare di quali moduli si serve un applicazione Ogni applicazione è configurata mediante entrata nel file Si può effettuare l upgrade di un modulo modificando l entrata del file associata La configurazione è facilmente manutenibile Ogni riga rispetta la sintassi: 1) Nome del Servizio 2) Tipo di Modulo 3) Flag di Controllo 4) Path del Modulo 5) Argomenti per il Modulo Esempio File Configurazione: Flag di controllo: nome servizio associato all entrata (nome applicazione), OTHER indica l entrata di default SERVICE MODULE TYPE SESSION CONTROL FLAG comportamento a seconda dell esito o importanza dei moduli MODULE PATH pam_unix_auth.so pam_unix_session.so path-name del file oggetto caricabile dinamicamente. OPTIONS nowarn required: il successo del modulo è indispensabile per il successo globale. Il suo fallimento non sarà visibile all utente finché tutti i moduli rimanenti dello stesso tipo non saranno stati eseguiti. requisite: come required, tuttavia il controllo viene restituito immediatamente all applicazione. Il valore restituito è quello associato con il primo modulo required o requisite che ha fallito. sufficent: il successo del modulo è ritenuto sufficiente per la conclusione positiva ACCOUNT PASSWORD pam_unix_account.so pam_unix_password.so optional: il modulo è non critico per il successo o il fallimento dell applicazione Esempio utilizzo flag di controllo: Argomenti: SERVICE MODULE TYPE Nell esempio Se un modulo seguente, il cui control Se flag un è modulo settato il cui control l a provoca viene flag un è settato errore, a REQUISITE eseguita l esecuzione servendosi dell applicazione di provoca non un errore, il quattro termina schemi ma differenti viene eseguito controllo il modulo viene restituito successivo. all applicazione dando modo all utente di sapere quale modulo ha generato l errore CONTROL FLAG MODULE PATH pam_unix_auth.so pam_rsa.so OPTIONS nowarn debug: Utilizza syslog() per scrivere informazioni nei log file di sistema use_first_pass: Il modulo non chiede la password all utente. Cerca di ottenere la password precedentemente digitata expose_account: incoraggia il modulo a pubblicizzare le informazioni di account REQUISITE pam_kerberos.so pam_skey.so

5 Stack (PROBLEMATICHE): Stack (REALIZZAZIONE)/2: Interfacciare il sistema con ambienti eterogenei Supportare meccanismi di multipla Realizzare login unificate per meccanismi multipli Configurare ogni applicazione individualmente Stacking mediante entrate aggiuntive nei file di configurazione Specificare l ordine di chiamata dei moduli. In caso di errore, si prosegue senza notifiche. Totale indipendenza applicazione - modulo Stack (ESEMPIO)/3: Password Mapping (PROBLEMATICHE): Consideriamo l applicazione login login PAM FRAMEWORK SESSIONE AUTENTICAZ ACCOUNT IONE Kerberos Unix aut. Unix Session Account Unix aut RSA auth Esecuzione di tre moduli differenti in ordine. Sistemi aperti richiedono schemi di multipli E necessario utilizzare più password Soluzione naive, scelgo n password p1,p2,,pn con p1=p2=.=pn Kerberos Unix Rsa (esecuzione modulo, pop del prossimo) INDEBOLIMENTO DEL SISTEMA!!! Password Mapping (SOLUZIONE)/2: Password Mapping (CONSIDERAZIONI)/3: individuo una password primaria forte cifro le restanti password utilizzando la primaria come chiave Kprim= password primaria forte E_passwdi= CIFRA Kprim(passwd i) 1 = i = n le E_passwdi sono disponibili nel sistema La sicurezza di questo schema è data dalla difficoltà di romperela password primaria Le password criptate sono disponibili nel sistema Kprimviene resa nota ai moduli nello stack Terminata l, Kprimviene eliminata

6 Smart Card (PROBLEMATICHE): Smart Card (VANTAGGI)/2: L identità di un utente è legata ad una chiave K, K grande La memorizzazione di K risulta difficile Soluzioni complesse pass-phrase one-time-password Evita l esposizione della chiave K Memorizzazione password multiple Meccanismo in due fasi Possesso della scheda Conoscenza PIN associato Cifro K utilizzando un chiave K, K < K, memorizzo K lasciando la cifratura di K disponibile nel sistema Servizi di cifratura avanzati Moduli: Moduli/2: Un modulo è un singolo file oggetto che viene linkato all applicazione dinamicamente Un modulo implementa uno schema Vi sono quattro tipi di moduli differenti ciascuno dei quali fornisce un diverso insieme di servizi Moduli di AUTENTICAZIONE Servizi per l dell utente Servizi per modificare le credenziali dell utente Moduli per la GESTIONE dell ACCOUNT Verifica della legalità dell account Moduli/3: Sviluppo Moduli: Moduli per la GESTIONE delle PASSWORD Servizi per modificare il token di Servizi per modificare la password Moduli per la GESTIONE della SESSIONE Consentono all utente l utilizzo dell account Lo sviluppo di moduli richiede le seguenti inclusioni #include <security/pam_modules.h> Il codice deve essere compilato cosi: gcc -fpic -c pam_module_name.c Il codice deve essere linkato così: ld -x --shared -o pam_module_name.so pam_module_name.o -lpam

7 Osservazioni: Osservazioni/2: E necessario prevedere l utilizzo contemporaneo di moduli diversi (INDIPENDENZA FUNZIONALE) Minimizzare problematiche relative alla configurazione (INSERIMENTO NELLO STACK) Prevedere un accurata gestione delle risorse di sistema La memoria relativa ad un processo può essere indirizzata (VIOLAZIONE STRUTTURA CONVERSAZIONE) Terminata l, la memoria deve essere azzerata esplicitamente (PAM_TOK, PAM_OLDTOK) Operazioni di I/O su token di devono essere implementate in maniera adeguata Flag di Controllo: Esempio Flag di Controllo: Le funzioni fornite dai moduli restituiscono un unico valore dato dalla combinazione dei valori riportati per ciascuna di esse L importanza di un valore di ritorno viene definita mediante Flag di Controllo Il valore di ritorno all applicazione è PAM_SUCCESS SERVICE ftpd ftpd ftpd MODULE TYPE CONTROL FLAG SUFFICIENT Se il modulo pam_ftp.so restituisce PAM_SUCCESS, l applicazione ottiene il controllo e l esito è positivo Altrimenti vengono eseguiti gli altri due moduli MODULE PATH /usr/lib/security/pam_ftp.so /usr/lib/security/pam_unix_auth.so /usr/lib/security/pam_listfile.so Il valore del primo modulo o REQUISITE che ha fallito Un fallimento del secondo verrà notificato solo al termine dell intera sessione Argomenti per il modulo: Funzione di Conversazione: Il campo argomenti è una lista di parametri che vengono passati al modulo quando è invocato Argomenti generici DEBUG : utilizza syslog per scrivere informazione di debugging USE_FIRST_PASS: cerca la password precedentemente digitata EXPOSE_ACCOUNT : permette di visualizzare il nome dell utente (friendly) Ogni modulo implementa uno schema di E necessario creare un canale di comunicazione tra applicazione e modulo La comunicazione deve essere sicura Funzione di conversazione Sono opzionali e specifici per ciascun modulo, quelli non validi sono ignorati Struttura di conversazione I dati comunicati devono essere cancellati esplicitamente

8 I moduli implementano: Autenticazione: Un modulo deve implementare un insieme minimale di funzioni Le funzioni appartengono ai diversi tipi di moduli Per essere correttamente definito, un modulo deve definire le funzioni in almeno uno dei quattro gruppi La funzione che implementa l dell utente è PAM_EXTERN int pam_sm_authenticate(..,int flags,..); Il parametro flags può assume i seguenti valori PAM_SILENT: impedisce comunicazioni tra applicazione e modulo PAM_DISALLOW_NULL_TOK: Restituisce PAM ERR se il database dei token ha un entrata NULL, altrimenti una tale occorrenza nel porta ad un successo I valori di ritorno sono PAM ERR: utente non autenticato PAM_INFO_UNAVAIL: informazioni di non disponibili PAM_MAXTRIES: raggiunto limite massimo tentativi Account: Modifica token : Questa funzione verifica la possibilità di accesso al momento PAM_EXTERN int pam_sm_acct_mgmt(.. int flags,..); Il parametro flags assume gli stessi valori di pam_sm_authenticate() I valori di ritorno sono PAM_ACCT_EXPIRED: All utente non è più permesso di accedere al sistema PAM ERR: Si è verificato un errore di Questa funzione modifica il token di dell utente PAM_EXTERN int pam_sm_chauthok (.. int flags,..); Il parametro flags può assumere i seguenti valori PAM_CHANGE_EXPIRED_TOK: il token di (password) deve essere modificato solo se scaduto. PAM_UPDATE_TOK: modifica il token di. Se il flag è in OR con PAM_CHANGE_EXPIRED_TOK, il token è modificato solo se è scaduto. I valori di ritorno sono PAM_ACCT_EXPIRED: All utente non è più permesso di accedere al sistema PAM_TOKEN_REQD: Il token di dell utente è scaduto PAM_USER_UNKNOWN: utente non noto PAM_TOKEN_REQD: Il token di dell utente è scaduto PAM_USER_UNKNOWN: utente non noto Legenda Notifica Errori: Esempio di modulo: Il valore LOG_ERR indica argomenti sconosciuti Il valore LOG_ALERT indica una inconsistenza nel file di configurazione Il valore LOG_CRIT indica la mancata disponibilità di risorse Il valore LOG_NOTICE indica errori nella fase di Il seguente codice implementa un semplice modulo di che effettua due controlli Si assicura che l utente sia registrato nel file di password Richiede una password e verifica che la sua lunghezza sia almeno di 8 caratteri Come richiesto dall interfaccia standard della libreria PAM, il modulo definisce due funzioni pam_sm_authenticate() esegue i compiti descritti sopra pam_sm_setcred() non esegue alcuna azione ma deve essere prevista

9 Codice di pam_sm_authenticate(): Le applicazioni: Il modulo verifica che l utente sia registrato nel file Avvaloramento della delle password struttura di conversazione per la richiesta di inserimento password Autentica l utente nel caso in cui la password sia di almeno otto caratteri PAM_EXTERN int pam_sm_authenticate(pam_handle_t *pamh, int flags, int argc, const char **argv) { int ritorno; const char *utente; const struct pam_conv *conv; struct passwd *pw; struct pam_message messaggio[1]; const struct pam_message *mes[1]; struct pam_response *risposta; ritorno=pam_get_user(pamh,&utente,"inserire nome utente: "); pw=getpwnam(utente); if (!pw) return(pam_user_unknown); ritorno=pam_get_item(pamh,pam_conv,(const void **) &conv); mes[0]=messaggio; messaggio[0].msg_style=pam_prompt_echo_off; messaggio[0].msg="inserire la password\n"; conv->conv(1,(const struct pam_message **) mes,&risposta,null); if(strlen(risposta->resp)<8) return PAM ERR; else return PAM_SUCCESS; } Per rendere un applicazione PAM AWARE, si include il file security/pam_appl.h La libreria libpam mette a disposizione dell applicazione alcune funzioni (codice C) Queste funzioni forniscono l interfaccia con il generico sistema di Le funzioni di libreria sono quanto serve per effettuare l identificazione dell utente Funzioni per le applicazioni: Autenticazione per le applicazioni: Le funzioni che le applicazioni possono utilizzare sono: pam_authenticate(..) autentica l utente pam_setcred (..) modifica le credenziali dell utente pam_acct_mgmt(..) controlla se l accesso all utente è permesso pam_open_session(..) inizia la sessione pam_close_session(..) termina la sessione La funzione che implementa il meccanismo di è extern int pam_authenticate(..int flags..); interfaccia a meccanismi di in caso di fallimento, restituisce PAM_ABORT I possibili valori del campo flags sono: PAM ERR: utente non autenticato PAM_INFO_UNAVAIL: impossibilità ad accedere all informazione per l PAM_MAXTRIES: raggiunto il limite di tentativi di pam_chauthtok(..) modifica il token di Modifica credenziali per le applicazioni: Gestione account per le applicazioni: La funzione che implementa la modifica delle credenziali è extern int pam_setcred(. int flags...); modifica le credenziali dell utente I possibili valori del campo flags sono: PAM_ESTABLISH_CRED: Modifica le credenziali per il servizio di. PAM_REINITIALIZE_CRED: Reinizializza le credenziali dell utente. PAM_REFRESH_CRED: Estende il tempo di vita delle credenziali dell utente. La funzione che controlla se l accesso all utente è permesso è extern int pam_acct_mgmt (...); modificare le credenziali dell utente va utilizzata dopo l I valori di ritorno sono: PAM_TOKEN_REQD: utente valido ma token scaduto PAM ERR: C è stato un errore di PAM_USER_UNKNOWN: utente non noto alla componente di gestione dell account

10 Modifica token per le applicazioni: Funzione di conversazione: La funzione che modifica il token di è extern int pam_chauthtok(...); I valori di ritorno sono: PAM_TOK_ERR: Un modulo non è stato in grado di ottenere il nuovo token di PAM_TOK_LOCK_BUSY: Uno o più dei moduli non sono stati in grado di modificare il token di poiché era bloccato PAM_PERM_DENIED: Permesso negato PAM_USER_UNKNOWN: L utente non è noto al servizio di modifica del token di Applicazione e moduli sono sviluppati separatamente come entità indipendenti E necessario prevedere un sottosistema di comunicazione tra applicazione e moduli Si utilizza una funzione di conversazione ed una struttura di conversazione struct pam_conv { int (*conv)(int num_msg, const struct pam_message **msg, struct pam_response **resp, void *appdata_ptr); }; void *appdata_ptr; Funzione di conversazione/2: Funzione di conversazione/3: La struttura di conversazione viene inizializzata dall applicazione E indirizzata mediante l handle *pamh I parametri della struttura hanno il seguente significato: num_msg è la lunghezza dell array di puntatori *resp pam_response è un puntatore al testo fornito dall applicazione La struttura pam_message è definita come segue: struct pam_message { int msg_style; const char *msg; }; I valori che può assumere il campo msg_style sono: PAM_PROMPT_ECHO_OFF: Ottiene una stringa senza visualizzare il testo PAM_PROMPT_ECHO_ON: Ottiene una stringa visualizzando il testo PAM_TEXT_INFO: Visualizza testo Bibliografia W. A. Adamson, J. Rees, and P. Honeyman "Joining Security Realms: A Single Login for Netware and Kerberos, in Proceedings of the 5th USENIX Security Symposium, Salt Lake C ity, June1995. W.Diffie and E. Hellman "New Directions in Cryptography, IEEE Transactions on Information Theory, November N. M. Haller, The S/", Key One-Time Password System, ISOC Symposium on Network and Distributed Security, R. L. Rivest, A. Shamir, and L. Adleman. "A Method for Obtaining Digital Signatures and Public-key Cryptosystems, Communications of the ACM, 21(2), 1978.