66.69 Criptografía y Seguridad Informática TP Certificados, Autoridad Certificarte

Transcripción

1 Universidad de Buenos Aires Facultad de Ingeniería Objetivo Criptografía y Seguridad Informática TP Certificados, Autoridad Certificarte El objetivo de este trabajo práctico es la creación de una entidad certificante utilizando el conjun to de scripts (easy-rsa) incluido en el CD provisto. Se desarrollan dos ejemplos: 0. Creación de una autoridad certificante y un de servidor para una configuración con un solo HOST 0. Creación de una autoridad certificante y un de servidor para una configuración con el cliente en el mismo HOST que la autoridad certificante y el cliente ubicado en otro HOST Mediante esta entidad se emitirán dos s, que serán utilizados para probar el código de muestra incluido, correspondiente a un programa client/server sobre SSL. CREACION DE LA AUTORIDAD CERTIFICANTE: El generado en este paso lo vamos a usar para los dos ejemplos desarrollados. 0. Iniciar una PC con el CD provisto 0. Ubicarse en el directorio /crypto/easy-rsa # cd /crypto/easy-rsa 0. Editar el archivo vars, verificar las variables: KEY_COUNTRY, KEY_PROVINCE, KEY_CITY, KEY_ORG y KEY_ 0. Inicializar el entorno #../vars #./clean -all El primer paso incorpora en el entorno del shell las variables seteadas en el archivo vars. El segundo paso (script clean-all) borra y regenera el directorio de s y genera los archivos: serial Contiene una sola línea con el numero de serie del próximo a generar. ( 01 ) index.txt Se genera vació. Luego se va incorporando el hash y el cn de cada generado. 0. Generar el autofirmado de la Autoridad Certificante #./build-ca Completar el campo Common Name con un string que identifique a la entidad (p. ej. TPGrupoX Criptografía CA, el grupo será asignado por el profesor) Dejar los demás campos con su valor default. Luego de completar estos pasos tendremos en el directorio /crypto/easy-rsa/keys los archivos ca.crt y ca.key, que corresponden al y clave privada de la Autoridad Certificante respectivamente. Ahora pasamos al desarrollo de los dos ejemplos planteados anteriormente. TP Certificados, Autoridad Certificarte Criptografía y Seguridad Informática Página 1 de 5

2 GENERACION DE CERTIFICADO PARA PRUEBA CON UN SOLO EQUIPO: 0. Generar el y clave privada para el Server de FT #./build-key-server server_ej1 Completar el campo Common Name con el nombre obtenido en el paso anterior. 0. Generar los parámetros de Diffie Hellman #./build-dh 0. Ubicarse en el directorio del programa filetransfer # cd /crypto/tpssl_ftransfer Ya contamos con todos los archivos necesarios para realizar la transferencia segura de un archivo mediante SSL, a continuación los modificamos un poco para poder ser utilizados por el programa filetransfer presente en el CD. 0. Copiar los parámetros de Diffie Hellman # cp /crypto /easy-rsa/keys/dh1024.pem /crypto/tpssl_ftransfer/claves 0. Copiar el de la CA, respetar el nombre indicado # cp /crypto/easy-rsa/keys/ca.crt /crypto/tpssl_ftransfer/claves/root.pem 0. Copiar la clave privada del servidor, respetar el nombre indica do # cp /crypto/easy-rsa/keys/server_ej1.key /crypto/tpssl_ftransfer/claves/privkey.pem 0. Generar el archivo de del servidor necesario para el programa filetransfer # cat /crypto/easy-rsa/keys/server_ej1.key /crypto/easy-rsa/keys/server_ej1.crt > 0. compilar el programa # make Nota: En el archivo /crypto/tpssl_ftransfer/makefile están definidos los nombres de archivo utilizados por el programa para buscar los s. Ver las variables root_cert, privkey, keyfile, dhfile. TRANSFERENCIA DE UN ARCHIVO UTILIZANDO EL PROGRAMA tpssl_ftransfer: Ejecutamos el servidor y el cliente para realizar la transferencia de un archivo, si estamos trabajando en Xwindow, usamos dos terminales; sino, podemos utilizar dos terminales virtuales, ejecutando el servidor en una y el cliente en otra (Ctrl+Fx para cambiar entre terminales virtuales) 1. Ejecutamos el servidor 1. Ejecutamos el cliente #./ft S localhost 4431 pass archivo_origen Al realizar esta prueba, vemos que la transferencia del archivo no puede ser realizada. Observamos la siguiente salida: Enviando el archivo 1: <archivo_origen> Iniciando la verificación del TP Certificados, Autoridad Certificarte Criptografía y Seguridad Informática Página 2 de 5

3 El tiene un nombre común distinto al del host A que se debe este error? Cuando generamos el para el servidor completamos el campo Common Name con el nombre definido anteriormente y luego al realizar la conexión indicamos el servidor como localhost. Como estos dos nombres son diferentes el programa tpssl_ftransfer no puede verificar que el pertenece al servidor al cual estamos intentando conectarnos, por lo tanto cancela la conexión. Volvemos a realizar la prueba, esta vez con el nombre correcto. 1. Ejecutamos el servidor 1. Ejecutamos el cliente #./ft S NombreServidor 4431 pass archivo_origen Obtenemos la siguiente salida Servidor: Comienzo de la carga de los parametros de Diffie Hellman Fin de la carga de los parametros de Diffie Hellman Recibiendo el archivo 1: <out/archivo_destino> Archivo 1: <out/archivo_destino> recibido exitosamente Cliente: Enviando el archivo 1: <archivo_origen> Inciando la verificación del Fin de la verificación del Archivo 1: <archivo_origen> enviado exitosamente Para ver el archivo recibido (utilizar este comando sólo si se trata de un archivo de texto): # cat out/archivo_destino GENERACION DE CERTIFICADO PARA UN SERVIDOR EN OTRO EQUIPO: Para este ejemplo, debemos iniciar un segundo equipo con el CD provisto. El servidor estará ubicado en este segundo equipo y el cliente en el mismo que la CA. Primero trabajamos sobre el servidor: GENERACION DE SOLICITUD DE CERTIFICADO (Certificate Signing Request): 0. Ubicarse en el directorio /crypto/easy-rsa # cd /crypto/easy-rsa 0. Editar el archivo vars, setear KEY_COUNTRY, KEY_PROVINCE, KEY_CITY, KEY_ORG y KEY_ 0. Inicializar el entorno #../vars #./clean -all 0. Obtener el de la CA, del otro equipo (archivo ca.crt) # scp root@nombrehostca:/crypto/easy-rsa/keys/ca.crt /crypto/easy-rsa/keys 0. Generar un Certificte Signing Request para el servidor #./build-req server_ej2 TP Certificados, Autoridad Certificarte Criptografía y Seguridad Informática Página 3 de 5

4 Completar el campo Common Name con el nombre del host Dejar los demas campos con su valor default Después de completar esta serie de pasos, tenemos en el directorio keys del servidor los archivos server_ej2.csr (solicitud de firma de ) y server_ej2.key (clave privada del server) A continuación debemos enviar la solicitud de firma a la CA. 0. Copiar el archivo server_ej2.csr al host donde reside la CA, en el directorio /crypto/easy-rsa/keys # scp keys/server_ej2.csr root@nombrehostca: /crypto/easy-rsa/keys FIRMA DE LA SOLICITUD: Pasamos a trabajar al equipo donde reside la CA. 0. Firmar la solicitud del servidor #./sing-req server_ej2 0. Copiar el archivo server_ej2.crt (el ) al host servidor # scp keys/server_ej2.crt root@nombreservidor:/crypto/easy-rsa/keys 0. Agregar el nombre del servidor al archivo /etc/hosts # cat IPServidor FTServerGrupoX >> /etc/hosts INSTALACION DEL CERTIFICADO EN EL SERVER: Volvemos al equipo que usamos como servidor. 0. Generar los parámetros de Diffie Hellman #./build-dh 0. Copiar el archivo dh1024.pem, el de la CA (root.pem), clave y del servidor al directorio /crypto/tpssl_ftransfer/claves Certificado CA archivo dh1024-pem clave privada servidor cp /crypto/easy-rsa/keys/ca.crt /crypto/tpssl_ftransfer/claves/root.pem cp /crypto/easy-rsa/keys/dh1024.pem /crypto/tpssl_ftransfer/claves cp /crypto/easy-rsa/keys/server_ej2.key /crypto/tpssl_ftransfer/claves/privkey.pem cat /crypto/easy-rsa/keys/server_ej2.key /crypto/easy-rsa/keys/server_ej2.crt > Pasamos a trabajar al equipo cliente y CA. 0. Generar el del cliente #./build-key client_ej2 0. Copiar s al directorio de /crypto/tpssl_ftransfer CA clave privada cliente cp /crypto/easy-rsa/keys/ca.crt /crypto/tpssl_ftransfer/claves/root.pem cp /crypto/easy-rsa/keys/client_ej2.key /crypto/tpssl_ftransfer/claves/privkey.pem cat /crypto/easy-rsa/keys/client_ej2.key /crypto/easy-rsa/keys/client_ej2.crt > TP Certificados, Autoridad Certificarte Criptografía y Seguridad Informática Página 4 de 5

5 TRANSFERENCIA DE UN ARCHIVO ENTRE DOS EQUIPOS UTILIZANDO EL PROGRAMA tpssl_ftransfer: 0. Ubicarse en el directorio /crypto/tpssl_ftransfer # cd /crypto/tpssl_ftransfer 0. Compilar el programa # make Pasamos al equipo servidor 0. Ejecutamos el servidor Volvemos al equipo cliente 0. Ejecutamos el cliente #./ft S NombreServidor 4431 pass archivo_origen Volvemos al servidor para verificar el archivo transferido 0. Verificamos la transferencia mirando el contenido del archivo out/archivo_destino # cat out/archivo_destino Aclaración: para que el programa ft acepte el, el campo Common Name debe coincidir con el nombre del HOST servidor utilizado como parámetro. Por lo tanto es necesario trabajar en un entorno donde exista una correcta resolución de nombres. Si no se cuenta con un servidor DNS en la red utilizada para realizar las pruebas, hay que agregar el nombre del servidor al archivo /etc/hosts del cliente. GENERACION DE CERTIFICADO DE SERVER EN CA: Es posible generar el del server en el HOST donde reside la CA (utilizando el script build-keyserver), este método es más simple porque no requiere las herramientas easy-rsa en ambos HOSTS ni la transfer encia del de la CA. Este caso (usando build-key-server) se deja como ejercicio. Referencias: README easy-rsa (ver apéndice I) man page openssl (ver apéndice II) Autor: Andrés Daniel Lange Fecha: Febrero TP Certificados, Autoridad Certificarte Criptografía y Seguridad Informática Página 5 de 5