Tema: Protocolos seguros

Seguridad en redes. Guía 8 1 Facultad: Ingeniería Escuela: Electrónica Asignatura: Seguridad en redes Tema: Protocolos seguros Contenidos Generación e intercambio de claves Aplicación de PGP para almacenamiento seguro de archivos Configuración de SSH en un router Instalación de Pretty Good Privacy Objetivos Específicos Que el alumno sea capaz de generar el par de claves pública y privada a utilizar en el proceso de cifrado y descifrado de información utilizando PGP. Explicar el procedimiento de cómo distribuir la clave pública propia y obtener las claves públicas de otros usuarios de PGP. Que el alumno utilice PGP para cifrar, descifrar, firmar y verificar de forma segura el almacenamiento de archivos. El alumno será capaz de iniciar una sesión remota a través de SSH, utilizando autenticación por contraseña. El alumno será capaz de iniciar una sesión remota con clave pública, generando las claves. Materiales y Equipo PC con Windows XP instalado. Instalador de software PGP Freeware 6.2i. Software Sniffer WireShark Router CISCO 2600 Software Putty Introducción Teórica SECURE SHELL (SSH) SSH permite a los usuarios registrarse en sistemas de host remotamente. A diferencia de FTP o Telnet, SSH cifra la sesión de registro imposibilitando que alguien pueda obtener contraseñas no cifradas. SSH esta diseñado para reemplazar los métodos más viejos y menos seguros para registrarse remotamente en otro sistema a través de la Shell de comando, tales como Telnet o rsh. El uso de métodos seguros para registrarse remotamente a otros sistemas hará disminuir los riesgos de seguridad tanto para el sistema cliente como para el sistema remoto. Características de SSH

2 Seguridad en redes. Guía 8 El protocolo SSH proporciona los siguientes tipos de protección: Después de la conexión inicial, el cliente puede verificar que se está conectando al mismo servidor que se conectó anteriormente. El cliente transmite su información de autenticación al servidor usando cifrado robusto de 128 bits. Todos los datos enviados y recibidos durante la conexión se transfieren por medio de cifrado de 128 bits, lo cual los hacen extremadamente difíciles de descifrar y leer. El cliente tiene la posibilidad de enviar aplicaciones X11 lanzadas desde el intérprete de comandos del shell. Esta técnica proporciona una interfaz gráfica segura (llamada reenvío por X11) que proporciona un medio seguro para usar aplicaciones gráficas sobre una red. Ya que el protocolo SSH encripta todo lo que envía y recibe, se puede usar para asegurar protocolos inseguros. El servidor SSH puede convertirse en un conducto para convertir en seguros los protocolos inseguros mediante el uso de una técnica llamada reenvío por puerto, como por ejemplo POP, incrementando la seguridad del sistema general y de los datos. Por qué usar SSH? Los usuarios maliciosos tienen a su disposición una variedad de herramientas para interceptar y dirigir el tráfico de la red para ganar acceso al sistema. En términos generales, estas amenazas se pueden catalogar del siguiente modo: Intercepción de la comunicación entre dos sistemas. Personificación de un determinado host. Ambas técnicas causan que se intercepte información, posiblemente con propósitos hostiles, el resultado puede ser catastrófico. Si se utiliza SSH para inicios de sesión de shell remota y para copiar archivos, estas amenazas a la seguridad se pueden disminuir notablemente. Esto es porque el cliente ssh y el servidor utilizan firmas digitales para verificar su identidad. Adicionalmente, toda la comunicación entre los sistemas cliente y servidor es cifrada. No servirán de nada los intentos de falsificar la identidad de cualquiera de los dos lados de la comunicación ya que cada paquete está cifrado por medio de una clave conocida solo por el sistema local y el remoto. Al contactar un cliente a un servidor por medio del protocolo SSH, se negocian varios puntos importantes para que ambos sistemas puedan construir la capa de presentación correctamente. Durante el intercambio se producen los siguientes pasos: Intercambio de claves. Se determina el algoritmo de cifrado de la clave pública. Se determina el algoritmo de la encripción simétrica. Se determina el algoritmo de autenticación del mensaje.

Seguridad en redes. Guía 8 3 Se determina el algoritmo de hash que hay que utilizar. PRETTY GOOD PRIVACY (PGP) El nombre PGP responde a las siglas pretty good privacy (privacidad bastante buena), y se trata de un proyecto iniciado a principios de los 90 por Phil Zimmermann. La total ausencia por aquel entonces de herramientas sencillas, potentes y baratas que acercaran la criptografía seria al usuario movió a su autor a desarrollar una aplicación que llenara este hueco. Con el paso de los años, PGP se ha convertido en uno de los mecanismos más populares y fiables para mantener la seguridad y privacidad en las comunicaciones, especialmente a través del correo electrónico, tanto para pequeños usuarios como para grandes empresas. Actualmente PGP se ha convertido en un estándar internacional (RFC 2440), lo cual está dando lugar a la aparición de múltiples productos PGP, que permiten desde cifrar correo electrónico hasta codificar particiones enteras del disco duro (PGPDisk), pasando por la codificación automática y transparente de todo el tráfico TCP/IP (PGPnet). Fundamentos e historia de PGP PGP trabaja con criptografía asimétrica, y por ello tal vez su punto más fuerte sea precisamente la gran facilidad que ofrece al usuario a la hora de gestionar sus claves públicas y privadas. Si uno emplea algoritmos asimétricos, debe poseer las claves públicas de todos sus interlocutores, además de la clave privada propia. Con PGP surge el concepto de anillo de claves (o llavero), que no es ni más ni menos que el lugar que este programa proporciona para que el usuario guarde todas las claves que posee. El anillo de claves es un único fichero en el que se pueden efectuar operaciones de extracción e inserción de claves de manera sencilla, y que además proporciona un mecanismo de identificación y autentificación de llaves completo y simple de utilizar. Esta facilidad en la gestión de claves es una de las causas fundamentales que han hecho a PGP tan popular. Codificación de Mensajes Como el lector ya sabe, los algoritmos simétricos de cifrado son considerablemente más rápidos que los asimétricos. Por esta razón PGP cifra primero el mensaje empleando un algoritmo simétrico con una clave generada aleatoriamente (clave de sesión) y posteriormente codifica la clave haciendo uso de la llave pública del destinatario. Dicha clave es extraída convenientemente del anillo de claves públicas a partir del identificador suministrado por el usuario, todo ello de forma transparente, por lo que únicamente debemos preocuparnos de indicar el mensaje a codificar y la lista de identificadores de los destinatarios. Nótese que para que el mensaje pueda ser leído por múltiples destinatarios basta con que se incluya en la cabecera la clave de sesión codificada con cada una de las claves públicas correspondientes.

4 Seguridad en redes. Guía 8 Cuando se trata de decodificar el mensaje, PGP simplemente busca en la cabecera las claves públicas con las que está codificado y nos pide una contraseña. La contraseña servirá para que PGP abra nuestro anillo de claves privadas y compruebe si tenemos una clave que permita decodificar el mensaje. En caso afirmativo, PGP descifrará el mensaje. Nótese que siempre que queramos hacer uso de una clave privada, habremos de suministrar a PGP la contraseña correspondiente, por lo que si el anillo de claves privadas quedara comprometido, un atacante aún tendría que averiguar nuestra contraseña para descifrar nuestros mensajes. No obstante, si nuestro archivo de claves privadas cayera en malas manos, lo mejor será revocar todas las claves que tuviera almacenadas y generar otras nuevas. Como puede comprenderse, gran parte de la seguridad de PGP reside en la calidad del generador aleatorio que se emplea para calcular las claves de sesión, puesto que si alguien logra predecir la secuencia de claves que estamos usando, podrá descifrar todos nuestros mensajes independientemente de los destinatarios a los que vayan dirigidos. Afortunadamente, PGP utiliza un método de generación de números pseudoaleatorios muy seguro una secuencia aleatoria pura es imposible de conseguir, y protege criptográficamente la semilla que necesita. No obstante, consideraremos sensible al fichero que contiene dicha semilla normalmente RANDSEED.BIN, y por lo tanto habremos de evitar que quede expuesto. Procedimiento Instalación de Pretty Good Privacy Bibliografía 1. Hacer doble clic sobre el ejecutable que el instructor le entregará (PGPfreeware602i.exe). Luego de unos cuantos segundos nos aparecerá la pantalla de bienvenida a la instalación, tal y como se observa en la siguiente imagen. Guía 1 2. Hacer clic en el botón Next. Y se nos presentará el Acuerdo de licencia de Software (Software License Agrrement).

Seguridad en redes. Guía 8 5 3. Aceptar el Acuerdo de Licencia haciendo clic en el botón Sí. 4. Introducir la información requerida en la pantalla de user Information. 5. Hacer clic en el botón Next. 6. Se nos pregunta acerca de la ruta de instalación. Aceptar la opción que se presenta por defecto haciendo clic en botón Next. 7. En la siguiente imagen, observe los diferentes componentes del software que serán instalados. Seleccionar las opciones por defecto haciendo clic en Next.

6 Seguridad en redes. Guía 8 8. Luego, se nos presenta la pantalla de resumen de la instalación y hacemos clic en el botón Next para dar inicio con el proceso de instalación del software. 9. Si alguna de las aplicaciones seleccionadas no existen en nuestro sistema, se nos presentará una pantalla similar a la siguiente: 10. Hacer clic en el botón Aceptar. Con lo cual dará inicio el proceso de copia de los archivos.

Seguridad en redes. Guía 8 7 11. Se nos consultará por la existencia de anillos de clave, ante lo cual haremos clic en No. 12. Hacer clic en botón Finish para dar por finalizado el proceso de instalación. 13. Reiniciar el equipo cuando se le consulte. Generación e intercambio de claves 1. Para crear un nuevo par de claves, hacer clic en Inicio > Programas > PGP > PGPkeys. Con lo cual se nos despliega el Asistente de configuración para la generación de claves

8 Seguridad en redes. Guía 8 2. Hacer clic en Siguiente. A continuación se solicitará información personal que estará asociada al par de claves a generar. Hacer clic en Siguiente luego de complementar la información solicitada. 3. El Asistente de configuración nos consultará el tamaño de la clave. Seleccionar la opción 1024 bits. Tal y como se ilustra en la siguiente imagen. Hacer clic en Siguiente. 4. En la siguiente pantalla se consulta la fecha de expiración de las claves. Seleccionar la opción Key pair expires on 26/09/2010. Hacer clic en Siguiente.

Seguridad en redes. Guía 8 9 5. En la siguiente pantalla del asistente, se le consultará un Passphrase para la protección de la clave privada que se utilizará. Introducir el mismo Passphrase en los campos destinados para ello. Utilizar un passphrase diferente al que se observa en el ejemplo. Hacer clic en Siguiente. 6. A continuación se solicita ingresar un conjunto aleatorio de caracteres que son necesarios para generar el par de claves. Utilice cualquier conjunto de caracteres del teclado o mueva el Mouse hasta que la barra se complete. Hacer clic en Siguiente.

10 Seguridad en redes. Guía 8 7. Da inicio el proceso de generación del par de claves, lo cual puede tardar algún tiempo dependiendo de los recursos del equipo utilizado. Cuando el proceso finalice hacer clic en Siguiente. 8. Se nos presenta la opción de enviar la clave pública a un servidor. Dejar sin seleccionar la opción Send my key to the root server now. Hacer clic en Siguiente. Y luego clic en Finalizar. 9. Luego, se nos despliega la pantalla en donde se observa el par de claves que han sido creadas. Aquí se pueden observar las diversas propiedades y atributos asignados a estas claves.

Seguridad en redes. Guía 8 11 10. Una vez se ha generado un par de claves, es necesario almacenar una copia de ellas en un lugar seguro en caso de que algo suceda con las originales. Las claves pública y privada son almacenadas en archivos separados y son nombrados pubring.pkr y secring.skr respectivamente. Para ubicar dichos archivos, en el panel de trabajo de PGPKeys hacer clic en el menú Edit > Preferences. Y se nos despliega la siguiente pantalla. 11. En la ventana PGP Preferences, hacer clic en el Tab Files. Verificar las rutas de los archivos mencionados en el paso anterior.

12 Seguridad en redes. Guía 8 12. Acceder a las rutas definidas para el archivo pubring.pkr y secring.skr y realizar la copia de estos archivos en una ubicación diferente y cambiar el nombre de los mismos como medida de protección. 13. Después de haberse creado las claves, es necesario hacerlas disponibles para otras personas, de forma que ellos puedan enviarte información cifrada y verificar la firma digital. Las tres alternativas disponibles son las siguientes: Hacer disponible la llave pública a través de un servidor de claves público (en Internet) Incluir tu clave pública en un mensaje de correo electrónico Exportar tu clave pública o copiarla a un archivo de texto 14. De los tres mecanismos anteriormente mencionados, esta guía cubrirá la tercera opción. Para ello, en el panel de trabajo PGPKeys, hacer clic derecho sobre tu par de claves y en el menú desplegable seleccionar la opción Export 15. Colocar un nombre y seleccionar la ruta de almacenamiento de dicha clave.

Seguridad en redes. Guía 8 13 16. Intercambiar las claves exportadas en el paso anterior con uno de sus compañeros. 17. Hacer clic en el menú Keys, y luego clic en la opción Import Seleccionar el archivo de clave del compañero para agregarla a sus archivos de claves. 18. Luego, se procederá a verificar la autenticidad de la llave de su compañero. Para ello, compararemos el la huella digital de dicha clave. En la aplicación PGPKeys, hacer clic derecho sobre la clave pública de la persona que se desea verificar la autenticidad y seleccionar la opción Key Properties.

14 Seguridad en redes. Guía 8 19. Utilizar los caracteres que se muestran en el cuadro de texto Fingerprint para compararla con el valor original de la Huella digital de su compañero. 20. Una vez se esta seguro de la autenticidad de la clave de tu compañero, tú puedes firmar la clave pública de esta persona, con lo cual se indica que se esta seguro de que es una clave válida. 21. En la aplicación PGPKeys, hacer clic sobre la clave pública que se desea firmar. Y seleccionar la opción Sign del menú Keys. Luego se nos despliega la imagen que se presenta a continuación. 22. Hacer clic en la opción Allow signature to be exported, con lo cual se permite que dicha clave sea exportada con tu firma. 23. Hacer clic en el botón OK. Con lo cual nos aparece el cuadro de diálogo para introducir nuestro Passphrase.

Seguridad en redes. Guía 8 15 24. Ingresar el Passphrase y hacer clic en OK. 25. Un icono asociado con nuestro nombre de usuario se incluye con la clave pública que acaba de ser firmada. Aplicación de PGP para almacenamiento seguro de archivos 1. Utilizando Windows Explorer, hacer clic derecho sobre el archivo que se desea cifrar. 2. Seleccionar la opción Encrypt and Sign del menú desplegable para cifrar y firmar el archivo seleccionado. 3. En la ventana PGP key Selection Dialog, arrastrar la llave pública de nuestro compañero al listado de Recipients, luego hacer clic en OK.

16 Seguridad en redes. Guía 8 4. Debido a que se seleccionó la opción de firmar el archivo, se nos preguntará nuestro Passphrase. Ingresarlo y hacer clic en OK. 5. Luego del proceso de cifrado, nos aparecerá un nuevo archivo en la carpeta de trabajo, cuya forma deberá ser similar al que se observa en la siguiente figura. 6. Intercambiar archivos con su compañero e intente abrir dicho archivo y anote sus resultados. Configuración de SSH en un router 1. Realizar las configuraciones básicas al Router, para ello utilice los siguientes comandos: a. RouterP(config)#hostname RouterP b. RouterP(config)#ip domain-name udb.com c. RouterP(config)#ip ssh version 2 2. Ahora se generarán las llaves Asimétricas para la realización de la conexión. a. RouterP(config)#crypto key generate rsa 3. Presionar Enter. El Router responderá con un mensaje indicando la convención de llaves a utilizar. Presionar nuevamente Enter para aceptar el tamaño por defecto de dichas llaves. Cuál es el tamaño, en bits, por defecto que el Router utiliza?

Seguridad en redes. Guía 8 17 4. Configurar el valor del tiempo de caducidad de una sesión SSH y el número de reintentos para autenticaciones fallidas es una forma de proveer seguridad adicional a la conexión. Para ello, utilice los comandos que se detallan a continuación: a. RouterP(config)#ip ssh time-out 20 b. RouterP(config)#ip ssh authentication-retries 3 5. Utilizar los siguientes comandos para definir un usuario local y asignar la comunicación vía SSH a las líneas VTY del Router: a. RouterP(config)# username alumno password ser2010 b. RouterP(config)# line vty 0 4 c. RouterP(config-line)# transport input ssh d. RouterP(config-line)# login local 6. Con la finalidad de realizar una conexión SSH hacia el Router que acaba de ser configurado, se utilizará la aplicación PuTTy.exe. 7. Ejecutar la aplicación Putty.exe y se abrirá una ventana con varias opciones de configuración, similar a la que se observa en la siguiente imagen. 8. En la casilla de texto Host name (or IP address), ingresar la dirección IP del Router asignado. Además, asegurarse que la opción SSH esté seleccionada en la sección Connection Type. 9. Para iniciar la conexión SSH, hacer clic en el botón Open.

18 Seguridad en redes. Guía 8 10. El cliente SSH solicitará las credenciales de inicio de sesión, los cuales fueron definidos y configurados anteriormente. La ventana debería ser similar a la que se observa a continuación. 11. Mientras se encuentra iniciada la sesión SSH, utilizando el Hyperterminal, ejecutar los siguientes comandos en el Router para observar las conexiones SSH activas. a. RouterP# show ssh 12. Cuál es la versión del protocolo SSH que se encuentra en ejecución en el Router? 13. Ahora, se finalizará la conexión SSH. Para ello, desde la Consola del Router, terminar la sesión SSH. a. RouterP#disconnect ssh 0 En donde 0 es el número de la conexión que desplegó la salida del comando show ssh. Investigación Complementaria Utilizando Packet Tracer, simular una conexión vía SSH entre dos Router diferentes, y presentar el guión de configuración de ambos Routers. Guía 3 Cuál sería el procedimiento a utilizar para el cifrado de información en el envío y recepción de correos electrónicos utilizando PGP? Guía Cuáles 4 son las diferencias existentes entre SSH v1 y SSH v2? Realice una comparación de las salidas del comando show ssh cuando se utiliza SSHv1 y SSHv2 al realizar una conexión desde un cliente Putty.exe. fía Investigue como utilizar un Sniffer para identificar paquetes SSH. Bibliografía PGP Installation Guide, Network Associates, Inc. PGP Windows 95, 98 and NT User s Guide, network Associates, Inc. Security+ Study Guide Second Edition, Mike Pastore and Emmett Dulaney. Guía 3 Guía 4 fía

Seguridad en redes. Guía 8 19 Guía 8: Protocolos seguros Tema: Presentación del programa Alumno: Hoja de cotejo: Docente: Máquina No: Máquina GL: No: 8 1 Alumno: Docente: Docente: GL: Máquina a No: GL: Fecha: EVALUACION % 1-4 5-7 8-10 Nota CONOCIMIENTO 25 Demostró poco conocimiento sobre el tema de la práctica. APLICACIÓN DEL CONOCIMIENTO 70 Crea e intercambia claves con PGP Demostró conocimiento medio sobre el tema de la práctica. Crea e intercambia claves con PGP Genera archivos seguros con PGP Demostró buen conocimiento sobre el tema de la práctica. Crea e intercambia claves con PGP Genera archivos seguros con PGP Configura y establece comunicación SSH en el router ACTITUD 2.5 Es un observador pasivo. 2.5 Es ordenado pero no hace un uso adecuado de los recursos. Participa ocasionalmente o lo hace constantemente pero sin coordinarse con su compañero. Hace un uso adecuado de recursos respetando las pautas de seguridad, pero es desordenado. Participa propositiva e integralmente en toda la práctica. Hace un manejo responsable y adecuado de los recursos conforme a pautas de seguridad e higiene. TOTAL 100