SERVIDORES WEB SEGUROS

Transcripción

1 SERVIDORES WEB SEGUROS DURAND FERNÁNDEZ, ADY BETH DURAND PHOCCO, GRACIELA Programa Profesional de Ingeniería de Sistemas Universidad Católica de Santa María 1

2 SERVIDORES WEB SEGUROS ABSTRACT This paper approach the security problems of the most known Web Servers as Apache, Internet Information Server and Proxy. In order to, we propose a complete framework that s include basic definitions, advantages, requirements and installation of Servers, their domain into net and the vulnerabilities of each one. KEY WORDS: IP Protocol, IP Address, IP Mask, Socket, DNS, Pipeling, Chunked, HTTP1.1. Protocol, Module, WebDAV Protocol, Cross Site Scripting. RESUMEN Este artículo aborda los problemas de seguridad que presentan los Servidores de Web mas conocidos como Apache, Internet Information Server, Proxy. Para ello se propone un marco completo que incluye definiciones básicas, ventajas, requerimientos e instalación de los Servidores, su dominio dentro de la red y las vulnerabilidades de cada Servidor. PALABRAS CLAVE: Protocolo IP, Dirección IP, Máscara IP, Socket, DNS, Pipeling, Transferencia Por Bloques, Protocolo HTTP1.1., Módulo, protocolo WebDAV, Cross Site Scripting. 2

3 INTRODUCCIÓN El Internet es una gigantesca colección de millones de computadoras que están unidas mediante una Red Computacional, también llamada Network. Esta red permite que todas las computadoras se comuniquen entre sí. Un computador casero es conectado usualmente a Internet utilizando una línea telefónica normal y un Módem que se comunica con un ISP (Internet Service Provider, o proveedor de servicios de internet). Un computador de empresa o universidad posee un NIC (Network Interface Card, o tarjeta para interfase en red) que lo conecta directamente a una LAN (Local Area Network, o red de área local) dentro de la empresa. En general, todas las máquinas en Internet pueden ser categorizadas en dos tipos: servidores y clientes. Esas máquinas que proveen servicio (como Servidores Web, Servidores FTP, etc.) a otras máquinas son servidores. Esos que se utilizan para conectarse a esos servicios son los clientes. Cuando usted se conecta a (por ejemplo) para leer su página, este le provee una máquina (probablemente un puñado de máquinas muy grandes) para servir a sus necesidades. En este momento, Yahoo le provee un Servidor. Su máquina, de otro lado, probablemente no está brindando servicios a nadie en Internet. Es posible (y hasta común) que una máquina sea Servidor y cliente, pero generalmente es mejor pensar que es una u otra. Un Servidor debe brindar uno o más servicios en Internet. Por ejemplo, una máquina servidor debe tener un software que le permita actuar como un Servidor Web, un Servidor de correo y un Servidor FTP. Los clientes que se conectan a un Servidor hacen lo mismo con una tarea específica, así que los clientes envían sus peticiones directamente al software del Servidor que funciona en la Máquina Servidor. 3

4 SERVIDORES WEB SEGUROS SERVIDOR APACHE Proyecto del Servidor del HTTP de Apache El proyecto de Apache es un esfuerzo de colaboración del desarrollo del software dirigido, creando una puesta en práctica de código robusta, de categoría normal y libre-disponibilidad, de fuente de un servidor del http. Además, los centenares de usuarios y el [1] grupo de Apache han contribuido con ideas, código, y la documentación al proyecto. Características de Apache Apache es uno de los mejores servidores de Webs utilizados en la red internet desde hace mucho tiempo, únicamente le hace competencia un servidor de Microsoft, el IIS. Por lo que éste servidor es uno de los mayores triunfos del software libre, que tanto gusta a los usuarios de LINUX. Es un servidor de web flexible, rápido y eficiente, continuamente actualizado y adaptado a los nuevos protocolos (HTTP 1.1) Implementa los últimos protocolos, aunque se base en el HTTP / 1.1 Puede ser adaptado a diferentes entornos y necesidades, con los diferentes módulos de apoyo y con la API de programación de módulos. Incentiva la realimentación de los usuarios, obteniendo nuevas ideas, informes de fallos y parches para solución de los mismos. Apache y otros servidores Apache ha mostrado ser substancialmente mas rápido que muchos otros servidores libres. Aunque seguro que los servidores comerciales han exigido superar la rapidez del Apache, ellos opinan que es mejor tener en su mayor parte rápido un servidor libre que un servidor extremadamente rápido pero que cueste miles de dólares. Apache funciona en sitios que tienen millones de usos al día, y estas se ejecutan sin complicaciones. 4

5 Comprobación de Apache Para garantizar que funciona completamente hay que tener en cuenta que Apache esta en mas de 500,000 servidores en Internet, y se ha probado completamente por servidores y usuarios. Aparte, el Grupo Apache mantiene normas rigurosas antes de lanzar versiones nuevas de su servidor. Este corre sobre una tercera parte de los servidores WWW disponibles en Internet. Cuando aparecen "Bugs" el Grupo Apache lanza parches y versiones nuevas en cuanto estas están disponibles. Vulnerabilidades La primera de las nuevas vulnerabilidades, que afecta a las versiones y superiores hasta la , provoca la detención inesperada del servidor y puede ser utilizada por un atacante remoto. No se han publicado los detalles específicos de esta vulnerabilidad. La segunda nueva vulnerabilidad afecta a las versiones y posteriores hasta la en las plataformas Unix. Se trata de un problema en el módulo de autenticación básica y puede ser utilizado por un atacante remoto para provocar una condición de denegación de servicio, impidiendo la validación de los usuarios hasta que Apache no sea reiniciado. Además, las versiones previas de Apache 2.0.* contienen las siguientes vulnerabilidades: Una verificación incorrecta en la función "ap_directory_walk" permite un ataque de denegación de servicio contra el servidor Apache, cuando éste está siendo ejecutado bajo la plataforma MS Windows 9x o Millenium. Se produce cuando el atacante solicita una URL referida a un fichero reservado, como "aux" o "com1". Igualmente, bajo MS Windows 9x o Millenium, es posible conseguir que el servidor ejecute código arbitrario mediante la redirección de un CGI. Bajo todas las versiones de MS Windows, Apache puede devolver ficheros arbitrarios cuando se le envía una URL con caracteres ilegales, comoel signo "<". Estas vulnerabilidades no afectan a las versiones 1.3.* de Apache. Todas las versiones del servidor web Apache se ven afectadas por una vulnerabilidad en las funciones encargadas de procesar las peticiones erróneas codificadas de forma troceada. Se trata de una vulnerabilidad explotable de forma remota. Las versiones de Apache hasta la (incluida) y hasta la (incluida) tienen un problema en las funciones que procesan las peticiones erróneas recibidas que estén codificadas de forma troceada ("chunked encoding"). Cuando un atacante remoto envíe una serie de peticiones codificadas de una forma especial, la vulnerabilidad puede provocar la finalización del proceso hijo que está procesando la petición. Por tanto el atacante puede provocar una condición de denegación de servicio. Adicionalmente, en las versiones 1.x de Apache, además, se produce un desbordamiento de memoria intermedia. En las plataformas Unix de 32-bit, este desbordamiento 5

6 originará una violación de segmentación y el proceso finalizará. En las plataformas de 64-bit, en cambio, este desbordamiento puede llegar a ser controlado por el atacante para forzar la ejecución de código. Por lo que se refiere a la plataforma Windows, ya se ha verificado la posibilidad de ejecutar código arbitrario en el servidor. Las versiones 2.x de Apache detectan de forma correcta la situación de error, por lo que no es posible que el atacante ejecute código en el servidor. Esta vulnerabilidad ha sido reportada inicialmente por ISS, que ha facilitado un parche para el código fuente de Apache. No obstante, según informan desde el proyecto Apache el parche propuesto por ISS no soluciona la vulnerabilidad. Se acaba de publicar la versión de Apache, que soluciona graves problemas de seguridad en entornos MS Windows. INTERNET INFORMATION SERVER - IIS Internet Information Server es un servidor web, que incluye los servicios de: HTTP, HTTPS,FTP, SMTP (correo saliente) y NNTP (grupos de noticias). Además es capaz ejecutar varios motores de script como : ASP, PHP, Cold Fusion, etc. A diferencia de su hermano menor IIS 4.0, la nueva versión del Internet Information Server (IIS) 5.0 está incluida en el sistema operativo (S.O) Windows 2000 Server y Advanced Server, si no se indica lo contrario durante la instalación del S.O esta aplicación se instalará por defecto con los servicios web y smtp, no instalándose el servidor nntp para los grupos de noticias ni el ftp que debería especificarse si se quieren instalar [2][3]. Características Entre sus características destaca la rica dotación de instrumentos satélite al servidor WEB, así como características de arquitectura completamente renovadas. Una de las características más importantes es la presencia del protocolo HTTP 1.1 que ofrece sensibles mejoras de las prestaciones, disminuyendo los tiempos de respuesta en la transmisión. Las novedefaults del protocolo HTTP1.1 residen en algunos de los elementos que lo componen, tales como el Pipeling, las conexiones persistentes, las transferencias por bloques CHUNKED, el soporte para el proxy. Vulnerabilidades Las vulnerabilidades afectan a todas las versiones de IIS 4.0, 5.0 y 5.1 y Microsoft ha publicado una actualización destinada a cubrir todos los problemas encontrados. Los problemas encontrados pueden permitir la ejecución de código malicioso en los servidores afectados, causar una denegación de servicio o vulnerabilidades de Cross Site Scripting. 6

7 Vulnerabilidad de desbordamiento de búfer en relación al mecanismo de transferencia de codificación troceada ("chunked encoding") por páginas asp en IIS 4.0 y 5.0. Un atacante que explote esta vulnerabilidad puede provocar un desbordamiento provocando que el servicio IIS deje de funcionar o lograr la ejecución de código en el servidor. Existe una variante de la anterior vulnerabilidad que afecta a IIS 4.0, 5.0 y 5.1 que también resulta de un error en el tratamiento de la asignación del tamaño de los búfers para la transferencia de datos. Un desbordamiento de búfer en la forma en que en determinados casos IIS 4.0, 5.0 y 5.1 procesa las cabeceras http. Un atacante que logre explotar esta vulnerabilidad podrá conseguir una caída del servicio IIS o bien modificar su comportamiento mediante la inclusión de un nuevo código en el servidor. Se ha detectado también la existencia de un desbordamiento de bufer en IIS 4.0, 5.0 y 5.1 que resulta de un error en comprobaciones de seguridad que se realizan durante el proceso de server-side includes. Existe un desbordamiento de bufer que afecta al filtro isapi encargado del tratamiento de los archivos htr (ism.dll) en IIS 4.0 y 5.0. Un atacante que logre explotar esta vulnerabilidad podrá provocar una caída del servicio IIS o incluso la ejecución de código malicioso en el servidor. Vulnerabilidad de denegación de servicio en IIS 4.0, 5.0 y 5.1 en la forma en que se trata una condición de error de los filtros ISAPI. Vulnerabilidad de denegación de servicio en elación a la forma en que el servicio FTP de IIS 4.0, 5.0 y 5.1 trata una petición sobre el estado de una sesión FTP. Un atacante que logre explotar esta vulnerabilidad podrá provocar la interrupción del servicio FTP y web. Por ultimo existen tres vulnerabilidades de Cross-Site Scripting que afectan a IIS 4.0, 5.0 y 5.1: una sobre la página de resultados que se devuelve en la búsqueda de archivos de ayuda de IIS, una segunda en las páginas de errores HTTP y una última en torno al mensaje de error que se devuelve para avisar que la URL solicitada ha sido redirigida. Microsoft ha publicado un parche que cubre todas estas vulnerabilidades y además incluye todas las funcionalidades de los parches publicados para IIS 4.0 desde Windows NT 4.0 Service Pack 6a, y todos los parches publicados hasta la fecha para IIS 5.0 y 5.1. Los parches pueden descargarse [4][5]. 7

8 SERVIDOR PROXY Funcionamiento del PROXY Desde el punto de vista de un usuario de red local, el sistema funciona como si tuviera realmente un acceso directo a Internet. El usuario accede inmediatamente desde su ordenador a una página Web o recibe su correo electrónico, sin siquiera saber que el proxy existe. En realidad, al abrir un programa como Internet Explorer o recoger el correo pendiente, la petición de servicio se realiza al Proxy, no al servidor de Internet. El Proxy es el encargado de redireccionar estas peticiones a la máquina correspondiente (el servidor de la página Web o el servidor de correo) y una vez recibida la información, de transmitirla al ordenador que la solicitó. Ventajas Las ventajas que ofrece la utilización de un proxy en una red local son la siguientes: Menor coste: El programa y la instalación [6][7] tienen un precio mucho menor que cualquier router. Una sola línea telefónica: Sólo es preciso disponer de una línea telefónica normal o RDSI. Fácil instalación: La instalación emplea los dispositivos de la propia red local, por lo que se reduce la configuración de los programas. Seguridad: El proxy también actúa como una barrera (firewall) que limita el acceso a la red local desde el exterior. 8

9 Dirección IP única: La dirección IP es la que identifica de forma unívoca a cada máquina en Internet. Si se utiliza un Proxy basta con una dirección IP para toda la red local en lugar de tener una IP para cada uno de los ordenadores. Conexión automática (autodialing): No es necesario que el ordenador que actúa como Proxy esté conectado permanentemente a Internet. Con esta función, cada vez que un usuario realiza una petición, el Proxy establece la conexión. Del mismo modo el Proxy la desconecta cuando no hay ninguna petición, todo ello automáticamente. Menor tráfico de red: El Proxy almacena automáticamente en la memoria las páginas Web a las que se accede con mayor frecuencia, con lo que se reduce la cantidad de información que es necesario recuperar a través de Internet. El Proxy Server permite controlar el tráfico entre la red corporativa e Internet Proxy Server 1.0 tenía dos defectos principales. Primero, aunque proporcionaba seguridad a nivel de software y de hardware, le faltaban las funciones de filtrado de paquetes que le habrían dado la categoría de cortafuegos. Segundo, a Proxy Server 1.0 le faltaba la escalabilidad para permitir que múltiples servidores proxy trabajasen juntos para proporcionar caché y servicios de acceso inteligentes al usuario final. Al diseñar Proxy Server 2.0, Microsoft ha solventado estos problemas y coloca Proxy Server 2.0 como una combinación de cortafuegos y servidor de caché: un producto que ofrece acceso a Internet seguro y rápido desde las redes corporativas. Los servidores proxy proveen más alto nivel de filtro y seguridad más específica. Los firewall que filtran paquetes pueden ser los únicos que proveen el control básico de acceso y registro simple. Estos filtros de paquetes son difíciles de configurar y mantener, a menos que un administrador de red tenga un conocimiento detallado de cómo los paquetes se ponen juntos. Una mala configuración de filtro de paquetes rebaja drásticamente un nivel de seguridad. Un firewall de servidor proxy provee un informe de alto nivel centralizado sobre todos los que están dentro y fuera del tráfico de la red. La auditoría del ambiente de un filtro de paquete requiere análisis extensivo de todos los sistemas externamente accesibles y los servidores de aplicación, no simplemente el firewall en sí mismo. Vulnerabilidades Existe una vulnerabilidad en el Proxy HTTP de esta utilidad que permite a un atacante sobrescribir partes críticas de su código. Esta falla es explotable aún cuando la aplicación requerida no posea los permisos para devolver la consulta. Se menciona como ejemplo, un escenario que involucre una página Web maliciosa conteniendo un enlace disfrazado con los suficientes datos para activar la vulnerabilidad simplemente visualizándola. 9

10 El error se produce cuando se desborda un búfer destinado a contener información necesaria para procesar el código HTTP en el proxy del cortafuegos. Acaba de darse a conocer una grave vulnerabilidad en "Inktomi Traffic Server", el Proxy que tiene Telefónica instalado en sus servidores. La vulnerabilidad consiste en un fallo de "Cross Site Scripting", que permite la ejecución de codigo javascript en el contexto de la página referenciada, lo que por ejemplo puede ser empleado para sustraer cookies de identificación. CONCLUSIONES Y RESULTADOS Para muchas empresas, Internet se está convirtiendo en una importante herramienta de negocio, pero estas herramientas conllevan problema de la seguridad, o al menos, dudas de que se tenga. Para alcanzar este objetivo, el de la seguridad. Hay muchas razones por las cuales una organización pudiera desear implementa un servidor de proxy. Seguridad en la red, control de contenido y navegado mas rápido en la web son algunos de los beneficios posibles. Adicionalmente, nuestras investigaciones podrían usar el caché de un proxy para personalizar indagaciones de Internet con contenido relevante. El servidor Apache es disponible y universalmente aceptado como un fuerte candidato para servidor de proxy; hemos demostrado su facilidad de instalación y configuración. IIS 5.0 es una buena alternativa y un potente servidor de páginas web, ftp, smtp y nntp. Pueden instalarse múltiples dominios con una misma IP y esta disponible en el cd de Windows Su versión 4.0 puede descargarse gratuitamente desde Internet para Windows NT. 10

11 Apache siempre estará mejorando sus servicios y seguridad, por ser un servidor libre cualquier persona puede realizar parches a las diferentes vulnerabilidades que se puedan encontrar y mejorarlas ya que forma parte de su objetivo principal. Todos los Servidores son vulnerables unos en mayor grado que otros, cuando se encuentra un hueco en un servidor, éste es buscado en los demás tipos de servidores para verificar su seguridad y compararlos. Los dos servidores de la red más difundidos son, sin duda alguna, IIS de Microsoft y el adversario Apache. La diferencia principal entre los dos es la plataforma para las que fueron pensadas: IIS para servidores que se basan en los sistemas Windows, Apache para la gran familia de los Unix. Sin embargo, un punto a favor de Apache puede ser el esfuerzo (en parte también logrado) para llevar el servidor de la red a plataformas no nativas, como, por ejemplo, los sistemas Windows. Obviamente, los mejores resultados se obtienen en plataformas nativas, aunque, se murmura, Apache no se porta mal en otras plataformas. Viendo resultados de tests [8], Netcraft afirma que la pareja Linux/Apache es la más utilizada como servidor de la red; Mindcraft, en cambio, afirma exactamente lo contrario, sobre todo porque NT/IIS es más o menos tres veces más rápido que Linux/Apache. REFERENCIAS [1] [2] [3] [4] [5] [6] [7] [8] 11