Securizarea rețelei

1Recapitulare5 min

Ultimul punct este exact locul unde ne oprisem, nemulțumiți. Astăzi vedem ce înseamnă un echipament care ține minte sesiunile - dar, ca să înțelegem ce anume ține minte, trebuie mai întâi să înțelegem ce este o sesiune.

Rezultate ale învățării

• Să explicați ce adaugă nivelul transport peste IP și de ce există porturi
• Să alegeți între TCP și UDP pentru o aplicație dată, cu argumente
• Să citiți o strângere de mână în trei pași și să spuneți ce face fiecare flag
• Să recunoașteți cele trei familii de atacuri și să explicați cum funcționează un SYN flood
• Să scrieți reguli iptables corecte, pe lanțul potrivit
• Să construiți un firewall complet, cu politică implicită DROP
• Să explicați ce garantează, separat, autentificarea, confidențialitatea și integritatea
• Să descrieți schimbul Diffie-Hellman și să spuneți ce nu rezolvă el

2Nivelul transport: de ce există porturi10 min

Intervalele de porturi

Priviți a doua comandă. Cele trei conexiuni au aceeași adresă locală, dar porturi sursă diferite - și tocmai asta le ține separate. Iar ultima linie e o conexiune în celălalt sens: cineva e conectat prin SSH la mașina noastră, deci portul local este 22, cel binecunoscut.

3Antetul TCP, câmp cu câmp9 min

Aproape toate mecanismele discutate mai jos - retransmisia, controlul de flux, strângerea de mână, atacul SYN flood, opțiunea established - sunt scrise, la propriu, în acest antet de 20 de octeți.

4Deschiderea și închiderea unei conexiuni11 min

O conexiune TCP se deschide printr-un schimb de trei segmente, în care fiecare capăt își comunică numărul de secvență inițial și îl confirmă pe al celuilalt. Se închide, în schimb, prin patru - și motivul acestei asimetrii spune ceva despre cum este gândit TCP.

5Cele trei familii de atacuri11 min

Orice rețea conectată la Internet este, permanent, ținta unor tentative automatizate. Nu e nevoie să fiți interesant: scanările sunt continue și oarbe. Atacurile se împart în trei familii, după scop.

Mecanismul atacului SYN flood

Un firewall nu rezolvă toate cele trei familii, dar taie eficient primele două: poate bloca porturile vulnerabile, poate opri inițierea conexiunilor din exterior, poate refuza răspunsul la ICMP echo, poate limita numărul de sesiuni pe jumătate deschise și poate opri broadcast-urile direcționate care fac posibil atacul smurf. Împotriva atacurilor de acces ajută mai puțin: acolo lucrează criptografia și autentificarea, din secțiunea 10.

6iptables: tabele și lanțuri12 min

iptables este utilitarul din spațiul utilizator care configurează Netfilter, cadrul de filtrare din nucleul Linux. Permite unei mașini Linux să filtreze pachete, să translateze adrese și să rescrie câmpuri - adică să fie, simultan, ruter și firewall.

Lanțurile sunt punctele din traseul unui pachet în care se aplică reguli. Cheia înțelegerii lui iptables este să știți prin ce lanțuri trece fiecare tip de pachet - și sunt doar trei tipuri.

7Anatomia unei reguli iptables11 min

O regulă are întotdeauna două părți: un șablon - ce condiții trebuie să îndeplinească pachetul - și o țintă - ce se întâmplă cu el.

iptables -t filter -A INPUT -s 10.0.0.0/8 -p icmp -j DROP
#         └ tabela  └ op    └ lant  └────── conditii ─────┘ └ tinta
#
#  -t filter   tabela (implicita, se poate omite)
#  -A INPUT    adauga la finalul lantului INPUT
#  -s 10...    sursa: aici masca este NORMALA, nu wildcard!
#  -p icmp     protocolul
#  -j DROP     jump: ce se face cu pachetul

Priviți prima comandă. Coloana pkts este echivalentul exact al contorului de potriviri de la ACL-urile Cisco, și se folosește la fel: regula 4 din INPUT are 0 pachete, ceea ce înseamnă că nimeni nu a accesat încă serverul web - sau că o regulă de deasupra prinde deja traficul.

8Politica implicită și un firewall complet10 min

Fiecare lanț predefinit are o politică - acțiunea aplicată pachetelor care nu s-au potrivit cu nicio regulă. Este echivalentul lui deny any implicit de la Cisco, cu o diferență importantă: aici este configurabilă, iar implicit este ACCEPT.

# 1. Curatam si pornim de la zero
iptables -F
iptables -X

# 2. Traficul pe interfata de bucla - mereu primul, altfel se strica servicii locale
iptables -A INPUT  -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

# 3. Regula care rezolva TOT traficul de intoarcere, dintr-o linie
iptables -A INPUT   -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

# 4. Serviciile pe care le expunem noi
iptables -A INPUT -i eth1 -s 192.168.1.0/24 -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j ACCEPT

# 5. LAN-ul are voie spre Internet
iptables -A FORWARD -i eth1 -o eth0 -s 192.168.1.0/24 -j ACCEPT

# 6. Jurnalizam ce urmeaza sa aruncam (LOG nu opreste parcurgerea)
iptables -A INPUT -m limit --limit 5/min -j LOG --log-prefix "IPTABLES-DROP: "

# 7. ABIA ACUM politicile
iptables -P INPUT   DROP
iptables -P FORWARD DROP
iptables -P OUTPUT  ACCEPT

# 8. Salvam, altfel totul dispare la repornire
iptables-save > /etc/iptables/rules.v4

iptables -A FORWARD -i eth0 -s 192.168.0.0/16 -j DROP
iptables -A FORWARD -i eth0 -s 172.16.0.0/12  -j DROP
iptables -A FORWARD -i eth0 -s 10.0.0.0/8     -j DROP
iptables -A FORWARD -o eth0 -d 192.168.0.0/16 -j DROP
iptables -A FORWARD -o eth0 -d 172.16.0.0/12  -j DROP
iptables -A FORWARD -o eth0 -d 10.0.0.0/8     -j DROP

iptables -P FORWARD ACCEPT

iptables -F FORWARD
iptables -A FORWARD -s 142.31.16.128/25 -d 142.31.16.9 -p tcp --dport 80 -j ACCEPT
iptables -A FORWARD -d 142.31.16.9 -p tcp --dport 80 -j DROP

iptables -F INPUT
iptables -A INPUT -s 214.13.177.2 -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j DROP

iptables -A FORWARD -i eth0 -p tcp --syn -j DROP

9Arhitectura perimetrului6 min

Unde anume se pune firewall-ul față de ruterul de margine? Decizia este, cel mai adesea, impusă de furnizorul de Internet, dar principiile sunt clare.

IDS și IPS

Un firewall decide pe baza antetelor. Pentru inspecția conținutului se adaugă un echipament separat, iar diferența dintre cele două variante este exclusiv de poziționare.

Alegerea nu este „care e mai bun", ci „ce se întâmplă când greșește". Într-o rețea unde disponibilitatea contează mai mult decât riscul, IDS. Într-una unde un singur pachet greșit e inacceptabil, IPS.

10SSH și cele trei concepte de securitate13 min

Telnet transmite totul în clar, inclusiv parola. Oricine ascultă traficul o obține - nu e nevoie de niciun efort, doar de acces la un port de switch oglindit sau la o rețea wireless. SSH rezolvă problema pe trei planuri distincte, care merită înțelese separat, pentru că se regăsesc, cu alte nume, în orice discuție de securitate.

Confidențialitatea: problema cheii comune

Criptarea simetrică - aceeași cheie la ambele capete - este rapidă și eficientă. Are însă o problemă care pare imposibilă: cum ajung cele două capete să dețină aceeași cheie, dacă singurul canal disponibil este chiar cel pe care vor să îl protejeze?

Răspunsul este schimbul Diffie-Hellman, publicat în 1976, și e una dintre cele mai elegante idei din informatică: cele două capete construiesc o cheie comună fără ca aceasta să fie transmisă vreodată.

Jucați-vă cu valorile. Schimbați secretul clientului: cheia comună se schimbă - dar rămâne identică pe ambele capete, deși cele două secrete nu au părăsit niciodată calculatoarele respective. Ce circulă pe canal sunt doar p, g, A și B.

Securitatea stă în faptul că, deși A = g^a mod p se calculează instantaneu, drumul invers - aflarea lui a din A - este problema logaritmului discret, pentru care nu se cunoaște niciun algoritm rapid. Cu numerele de jucărie de mai sus se sparge prin încercări; cu un p de 2048 de biți, nu.

Autentificarea: parolă sau cheie

Autentificarea are loc după ce canalul criptat există. Pare să rezolve problema parolelor - dar nu complet:

• serverul trebuie să vadă parola ca să o valideze; dacă serverul este compromis, parola este compromisă - și, de regulă, e refolosită și altundeva;
• parolele suficient de sigure sunt greu de reținut, deci utilizatorii aleg parole slabe;
• o parolă poate fi ghicită prin încercări repetate, iar Internetul are răbdare infinită.

De aceea se preferă cheile asimetrice. O pereche de chei are proprietatea că ceea ce este criptat cu una poate fi decriptat doar cu cealaltă: K⁺(K⁻(M)) = M și K⁻(K⁺(M)) = M. Clientul își păstrează cheia privată - care nu părăsește niciodată calculatorul lui - iar cheia publică este configurată pe server.

1. Se stabilește sesiunea sigură prin Diffie-Hellman.
2. Clientul cere autentificarea pentru un anumit utilizator.
3. Serverul trimite un challenge: un șir aleator pe care clientul trebuie să îl semneze.
4. Clientul îl criptează cu cheia sa privată. Rezultatul se numește authenticator.
5. Serverul verifică folosind cheia publică preconfigurată. Dacă rezultatul coincide cu șirul trimis, clientul deține cheia privată - deci este cine pretinde.

Observați ce nu s-a întâmplat niciodată în cei cinci pași: cheia privată nu a fost transmisă. Serverul nu o cunoaște și nu o poate afla. Un server compromis nu vă compromite identitatea pe alte servere - spre deosebire de o parolă.

Integritatea: codul MAC

Un MAC (Message Authentication Code) este, în esență, un hash calculat cu o cheie. Emițătorul îl calculează peste mesaj și îl trimite alături; receptorul îl recalculează cu aceeași cheie și compară. Dacă valorile diferă, mesajul a fost modificat pe drum.

Cheia este esențială. Un hash simplu nu ar ajuta: atacatorul ar modifica mesajul și ar recalcula hash-ul. Fără cheie, nu poate produce un MAC valid pentru mesajul modificat.

11Erori frecvente4 min

• „Regula mea iptables nu are niciun efect" Aproape sigur e pe lanțul greșit: INPUT în loc de FORWARD, sau invers. Întrebați cine e destinatarul din antetul IP. Mașina însăși → INPUT. Altcineva → FORWARD.
• „Am pus politica DROP și m-am deconectat" Politica s-a aplicat înaintea regulii care permitea SSH-ul dumneavoastră. Întâi toate regulile ACCEPT, apoi -P DROP. Pe mașini la distanță, testați cu o a doua sesiune deschisă.
• „Firewall-ul a dispărut după repornire" Regulile trăiesc în memoria nucleului și nu se salvează singure. iptables-save sau serviciul netfilter-persistent.
• „Am folosit wildcard-ul Cisco în iptables" -s 10.0.0.0/0.0.0.255 nu înseamnă ce credeți. iptables folosește masca normală sau CIDR. -s 10.0.0.0/24. Verificați cu iptables -L -n, care afișează prefixul rezultat.
• „Am blocat ICMP complet, ca să fiu în siguranță" Ați blocat și mesajele fragmentation needed, esențiale pentru descoperirea MTU-ului. Rezultatul: conexiuni care se deschid și apoi îngheață inexplicabil. Blocați doar echo-request dinspre exterior; lăsați ICMP-ul de eroare să treacă.
• „Diffie-Hellman mă protejează de tot" Vă protejează de cineva care ascultă. Nu de cineva care se așază în mijloc. Verificați amprenta cheii la prima conectare. Este singurul moment în care contează.
• „Am confundat DROP cu REJECT" REJECT confirmă atacatorului că mașina există. DROP spre exterior, REJECT spre interior - ca aplicațiile proprii să nu aștepte degeaba.

12Rezumat și glosar5 min

13Întrebări de verificare6 min

14Direcții de aprofundare2 min

Cursul următor folosește exact aceleași unelte - ACL-uri pe Cisco, iptables pe Linux - dar pentru altceva decât filtrare: translatarea adreselor și construirea de tuneluri. Veți vedea acolo tabela nat pe care am amânat-o azi, și veți înțelege de ce o rețea privată poate naviga pe Internet cu o singură adresă publică.

Laboratorul 7 aplică practic partea de securitate: SSH pe echipamente, plus apărarea împotriva atacurilor de nivel 2 din cursul 12.

• RFC 9293 - Transmission Control Protocol (versiunea consolidată a lui RFC 793)
• RFC 4987 - TCP SYN Flooding Attacks and Common Mitigations
• RFC 4251–4254 - arhitectura SSH
• Manualele iptables(8) și iptables-extensions(8)
• William Stallings, Cryptography and Network Security - capitolele despre Diffie-Hellman și MAC