Bezpieczna konfiguracja NIS i NFS z przyk adami bezpiecznych

NIS – NFS
Bezpiecze stwo systemów komputerowych.
Temat seminarium: Bezpieczna konfiguracja NIS i NFS
Autor: Tomasz Dziurzy ski
Bezpieczna konfiguracja NIS i NFS z
przykładami bezpiecznych wersji tych usług
Se m ina rium 2004 – PP, SKiSR
1
NIS – NFS
Plan
Wprowadzenie do RPC, NIS, NFS
Wady powy szych rozwi za
Na co zwróci uwag podczas konfiguracji - tips&tricks
Inne rozwi zania
Se m ina rium 2004 – PP, SKiSR
2
NIS – NFS
Wprowadzenie (1)
RPC – umo liwia programom dzia aj cym na lokalnym
komputerze wykonywa fukcje uruchamiane na zdalnym
ho cie. Podstawa dzia ania NISa i NFSa
NIS – rozproszona baza danych, która udost pnia wybrane
informacje innym hostom
NFS – us uga pozwalaj ca na udost pnianie lokalnych
katalogów innym hostom
Se m ina rium 2004 – PP, SKiSR
3
NIS – NFS
Wprowadzenie (2)
Podstawowe funkcje bezpiecze stwa dowolnej us ugi
sieciowej:
Weryfikacja autentyczno ci serwera
Weryfikacja autentyczno ci klienta
Weryfikacja autentyczno ci u ytkownika
Spójno
danych
Poufno
danych
Se m ina rium 2004 – PP, SKiSR
4
NIS – NFS
RPC – wady
Mo liwe rodzaje uwierzytelniania:
AUTH_NONE – dost p anonimowy
AUTH_UNIX – klient wysy a wraz z daniem swój UID i
GID a serwer okre la, które dzia ania s dla niego dozwolone
– bardzo s abe. Mo liwo konstrukcji dowolnych pakietów
RPC
Se m ina rium 2004 – PP, SKiSR
5
NIS – NFS
NIS (1)
Zagro enie od strony serwera – wystarczy zna nazw
domeny NIS, by uzyska informacj o systemie:
zaszyfrowane hasła,
nazwy u ytkowników,
Nazwy hostów i adresów IP
...
Se m ina rium 2004 – PP, SKiSR
6
NIS – NFS
NIS (2)
Jak uniemo liwi nielegalne odczytanie baz danych?
U ycie zapory sieciowej
Dost p tylko dla hostów wymienionych w pliku
/var/yp/securenets – format pliku maska/host
Se m ina rium 2004 – PP, SKiSR
7
NIS – NFS
NIS (3)
NIS standardowo nie u ywa plików /etc/shadow. Tworzy
map passwd.byname oraz passwd.byuid, w których
znajduj si zakodowane has a !
Podczas konfiguracji nale y w /var/yp/Makefile zmieni
warto MERGE_PASSWD = true na false
Se m ina rium 2004 – PP, SKiSR
8
NIS – NFS
NIS (4)
Sk d klient dowiaduje si o serwerze? S dwie metody:
Rozgłasza zapytanie w całej podsieci
Czyta odpowiedni plik konfiguracyjny
Tylko druga metoda powinna by stosowana. Nigdy nie
nale y u ywa rozg aszania do zdobywania tak wa nych
informacji, gdy ka dy host mo e odpowiedzie .
Se m ina rium 2004 – PP, SKiSR
9
NIS – NFS
NFS (1)
Zagro enia dla serwera:
Eksport udziałów do niepowołanych hostów
U ytkownik root na stacji klienta
mo liwo
przegl dania katalogów
mo liwo
nadpisywania danych
mo liwo
tworzenia nowych plików
Se m ina rium 2004 – PP, SKiSR
10
NIS – NFS
NFS (2)
Mechanizmy bezpiecze stwa serwera – plik /etc/exports
okre la jakie hosty i w jakim trybie mog u ywa udzia ów
wa niejsze opcje:
root_squash – nie pozwala u ytkownikowi root (uid=0) na
dost p do eksportowanych danych. Niestety dzia a tylko
dla u ytkownika root.
co gdy nie ma tej opcji w czonej ? -> mknod, suid .rhost,
.authorized_keys
Se m ina rium 2004 – PP, SKiSR
11
NIS – NFS
NFS (3)
Inne ciekawostki:
Nie ma znaczenia czy tryb dost pu ustawiony jest na “x” czy
“r” - to mo e by problem
Se m ina rium 2004 – PP, SKiSR
12
NIS – NFS
NFS – NIS
Jak wypadaj podstawowe funkcje bezpiecze stwa
serwerów?
Weryfikacja autentyczno ci serwera - IP
Weryfikacja autentyczno ci klienta - IP
Weryfikacja autentyczno ci u ytkownika - IP
Spójno
danych - brak
Poufno
danych – brak
...co dalej ?...
Se m ina rium 2004 – PP, SKiSR
13
NIS – NFS
Secure RPC i NIS+ (1)
Mo liwe rodzaje uwierzytelniania:
AUTH_DES – po czenie kryptografii z kluczem publicznym
i z kluczem tajnym.
Na serwerze tworzymy dla ka dego u ytkownika klucz
publiczny i prywatny. Klucz prywatny dodatkowo jest
zaszyfrowany algorytmem DES z kluczem = hasłu w
systemie unix
Se m ina rium 2004 – PP, SKiSR
14
NIS – NFS
Secure RPC i NIS+ (2)
Udowodnianie to samo ci:
Aby po czenie mog o by nawi zane serwer wysy a
wiadomo zaszyfrowan kluczem publicznym klienta.
Klient aby j rozszyfrowa , musi zna swój klucz prywatny,
który jest zakodowany za pomoc has a unix. Znaj c has o
mo emy wiadomo rozkodowa i odes a do serwera
(szyfruj c jego kluczem publicznym)
T wiadomo ci jest klucz sesyjny u ywany do szyfrowania
całej komunikacji algorytmem symetrycznym
Se m ina rium 2004 – PP, SKiSR
15
NIS – NFS
Secure NFS
Najwi ksze problemy “zwyk ego” NFS wynika y z faktu, e
u ywa mechanizmu AUTH_UNIX. W secure NFS
u ytkownicy musz umie odszyfrowa specjalny klucz
zapisany na serwerze NIS+ zanim b dzie mo liwe
skorzystanie z plików na partycji NFS. Konto root nic nie
da!
Konfiguracja po stronie serwera sprowadza si do dodania
opcji “secure” w pliku /etc/exports
Konfiguracja po stronie klienta – dodanie opcji “secure”
podczas montowania zdalnych udziałów
Se m ina rium 2004 – PP, SKiSR
16
NIS – NFS
Secure NFS – NIS+
Jak wypadaj podstawowe funkcje bezpiecze stwa
serwerów?
Ca a komunikacja mi dzy NIS+ a klientami odbywa si przez
Secure RPC, dzi ki temu jest odporna na:
Pods uch – zapewniona poufno
Fa szerstwo – zapewniona spójno
Weryfikacja serwera,hostów, u ytkowników spada na
infrastruktur klucza publicznego – wykluczone poprzednie
ataki
Se m ina rium 2004 – PP, SKiSR
17
NIS – NFS
Podsumowanie:
System NIS/NFS jest przeznaczony dla małych i przyjaznych
rodowisk.
Je eli zale y nam na wy szym poziomie bezpiecze stwa nale y
wprowadzi NIS+ i Secure NFS.
Nigdy nie nale y ufa domy lnym ustawieniom!
Se m ina rium 2004 – PP, SKiSR
18