View
214
Download
0
Category
Preview:
DESCRIPTION
presentation de ssh ssl et tls
Citation preview
Aymeric BERNARD Stphane BRINSTER Guillaume LECOMTE
IntroductionQualits de la scurit dune communication Besoin de confidentialit : pas lu par un tiersBesoin dintgrit : pas de modificationBesoin dauthentification : identit dun objetBesoin de non rpudiation : ne pas nier ses actionsDe + en + dutilisateurs De + en + de communicationsDonc de + en + de problmes
OrigineSpcificitsScurisationSSFvolutionAnciens programmes et leurs problmes :Les r-commandes (rlogin, rcp, rsh)Les mots de passe usage uniqueTelnet avec chiffrement
Utilisation de la cryptographie dans les flux applicatifs !IPSec (Internet Protocol Security)SSH (Secure SHell)SSL (Secure Socket Layer)Secure Socket LayerCertificatsvolutionAttaquePrincipeAttaqueOriginePrsentationSecure Shell
Spcificitsviter la circulation en clair sur le rseau des mots de passe : risque de compromission.Renforcer l'authentification des machines : sensible la mascarade.Scuriser l'emploi des commandes distance.Scuriser le transfert de donnes.Scuriser les sessions X11
Secure Socket LayerPrsentationCertificatsvolutionAttaquePrincipeScurisationSSFvolutionAttaqueSecure ShellSpcificitsOrigine
Scurisation des changesAlgorithmes symtriquesSecure Socket LayerPrsentationCertificatsvolutionAttaquePrincipeScurisationSSFvolutionAttaqueOrigineSecure ShellSpcificits
Scurisation des changesAlgorithmes asymtriquesSecure Socket LayerPrsentationCertificatsvolutionAttaquePrincipeScurisationSSFvolutionAttaqueOrigineSpcificitsSecure Shell
Scurisation des changesCls de sessionPrsentationSecure Socket LayerPrsentationCertificatsvolutionAttaquePrincipeScurisationSSFvolutionAttaqueOrigineSpcificitsSecure Shell
SSH en France : SSFRappel de la lgislation franaise
Introduction SSF
SSF : pourquoi ?
UtilisationSecure Socket LayerPrsentationCertificatsvolutionAttaquePrincipevolutionAttaqueOrigineSpcificitsSecure ShellScurisationSSF
Tunneling SSH Solution : tunnel scuris SSHssh L 4000:monMail:110 monMail En Local : telnet localhost 4000Localhost:4000monMail:110Internet telnet monMail 110 : POP3 non scuris !!!>102422Secure Socket LayerPrsentationCertificatsvolutionAttaquePrincipeAttaqueOrigineSpcificitsSecure ShellScurisationSSFvolution
Sshmitm: http://monkey.org/~dugsong/dsniff/mots de passe daccs SSH,dtourne les sessions interactives
Comment? MITM : mascarade
Pourquoi?Le client accepte aveuglment la cl du serveurLe client accepte que le serveur puisse avoir chang de clAttaque contre SSHSecure Socket LayerPrsentationCertificatsvolutionAttaquePrincipeOrigineSpcificitsSecure ShellScurisationSSFvolutionAttaque
DfinitionSSL (Secure Socket Layer)Secure Socket LayerCertificatsvolutionAttaquePrincipeProtocole ngociationhttps://OrigineSpcificitsSecure ShellScurisationSSFvolutionAttaquePrsentation
Buts
Interoprabilit
Extensibilit
EfficacitSecure Socket LayerCertificatsvolutionAttaquePrincipeScuriser les transactions Internet
Crypter les fluxOrigineSpcificitsScurisationSSFvolutionAttaqueSecure ShellPrsentation
Caractristiques
Connexion prive et sre
Extrmits authentifiesSecure Socket LayerPrsentationCertificatsvolutionAttaquePrincipe
Indpendant du protocole de communication
Suit le modle client/serveur
OrigineSpcificitsScurisationSSFvolutionAttaqueSecure Shell
Historique
1994 : v1.0 test en interne (Netscape)
1994 : publication SSL v2.0
1995 : SSL v3.0
1996 : standardisation de SSL v3.0 par IETF
1996 : TLS v1.0Secure Socket LayerPrsentationCertificatsvolutionAttaquePrincipeOrigineSpcificitsScurisationSSFvolutionAttaqueSecure Shell
ArchitectureSSL est compos de:
Gnrateurs de clsFonctions de hachageAlgorithmes de chiffrementProtocoles de ngociation et de gestion de sessionCertificatsSecure Socket LayerPrsentationCertificatsvolutionAttaquePrincipeSSL dans le modle OSIOrigineSpcificitsScurisationSSFvolutionAttaqueSecure Shell
FonctionnementAuthentification du clientpermet un utilisateur d'avoir une confirmation de l'identit du serveur.
Authentification du serveurPermet dassurer que le client est bien celui qu'il prtend.
Chiffrement de la sessiondonnes chiffres par l'metteur, et dchiffres par le destinataireSecure Socket LayerPrsentationCertificatsvolutionAttaquePrincipeOrigineSpcificitsScurisationSSFvolutionAttaqueSecure Shell
Couches protocolaires
SSL Handshake
SSL Change Cipher Spec
SLL Alert
SSL RecordSecure Socket LayerPrsentationCertificatsvolutionAttaquePrincipeOrigineSpcificitsScurisationSSFvolutionAttaqueSecure Shell
NgociationSecure Socket LayerPrsentationCertificatsvolutionAttaquePrincipeOrigineSpcificitsScurisationSSFvolutionAttaqueSecure Shell
Certificats X509CertificatsSecure Socket LayerPrsentationCertificatsvolutionAttaquePrincipeOrigineSpcificitsScurisationSSFvolutionAttaqueSecure Shell
Exemple de certificatSecure Socket LayerPrsentationCertificatsvolutionAttaquePrincipeOrigineSpcificitsScurisationSSFvolutionAttaqueSecure Shell
LimitesNavigateurs sans les fonctionnalits volues
Bas sur une relation de confiance
Mots de passe
Une seule paire de cl
Pas de vrification systmatique des CRLSecure Socket LayerPrsentationCertificatsvolutionAttaquePrincipeOrigineSpcificitsScurisationSSFvolutionAttaqueSecure Shell
volution - TLSTLS v1.0 ~ SSL v3.1
Plus clair : RFC 2246
Plus gnrique (encapsulation)
Conception indpendante de son utilisation
Nimpose pas de mthodes de chiffrement spcifiquesSecure Socket LayerPrsentationCertificatsvolutionAttaquePrincipeOrigineSpcificitsScurisationSSFvolutionAttaqueSecure Shell
Attaque contre SSLWebmitm: http://monkey.org/~dugsong/dsniff/Relaye le trafic HTTPs, capture les accs webmail, nde carte bleues
Comment?Toujours MITM
Pourquoi?Lutilisateur peut accepter des certificats mme sils ne sont signs par des autorits non reconnus et mme si le navigateur le rejetteSecure Socket LayerPrsentationCertificatsvolutionAttaquePrincipeOrigineSpcificitsScurisationSSFvolutionAttaqueSecure Shell
ConclusionSolutions efficaces
Cot minimum
Simple installer
Rponses aux 4 besoins
*protocole de communication d'information qui permet d'assurer l'authentification, la confidentialit et l'intgrit des donnes changes*Interoprabilit = compatible*IETF = Internet Engineering Task Force*Couche SSL entre la couche 4 (transport) et la couche 7 (application)*Les trois fonctionnalits de SSLSSL a trois fonctions: Authentification du serveurQui permet un utilisateur d'avoir une confirmation de l'identit du serveur. Celaest fait par les mthodes de chiffrement cls publiques qu'utilise SSL. Cetteopration est importante, car le client doit pouvoir tre certain de l'identit de soninterlocuteur qui par exemple, il va communiquer son numro de carte decrdit. Authentification du clientSelon les mmes modalits que pour le serveur, il s'agit de s'assurer que le clientest bien celui qu'il prtend. Chiffrement des donnesToutes les donnes qui transitent entre l'metteur et le destinataire, sont chiffrespar l'metteur, et dchiffres par le destinataire, ce qui permet de garantir laconfidentialit des donnes, ainsi que leur intgrit grce souvent desmcanismes galement mis en place dans ce sens.
*HANDSHAKE : charg de lauthentification du client et du serveur, il ngocie les algorithmes utiliss et gnre la cl symtrique de session pour le chiffrement des donnesCCS = Change Cheaper Spec : signale au protocole Record toute modification des paramtres de scuritALERT : signale les alertes (fin de connexion, pb Handshake)RECORD : reoit les paquets quil fragmente, il les compresse et les transmet sur le rseau*CRL = Certificate Revocation List : liste de ceux qui ont t attribu descertificats, mais pour qui l'autorit qui les a certifi, ne veut plus les garantir
Recommended