Προχωρημένα Θέματα Δικτύων Πρόγραμμα Μεταπτυχιακών Σπουδών Τμήμα Πληροφορικής ΑΠΘ Μάθημα: 6 – Tunneling ανασφαλών πρωτοκόλλων

Aσφάλεια Δικτύων – Διαμοιρασμός Πόρων Τα τελευταία χρόνια η έννοια “υπολογιστής” αποδομείται: Η υπολογιστική ισχύς πλέον είναι 'υπηρεσία δικτύου' (cloud computing, clusters, etc) Ο χώρος αποθήκευσης έχει επίσης καταστεί 'υπηρεσία δικτύου' (Network Attached Storage (NAS) [πρωτόκολλα: SMB/CIFS, NFS, SSHFS, SFTP, HTTP], Storage Area Network (SAN) [Fibre Channel over Ethernet, iSCSI] ) Storage cloud Server A Server B Storage 1 Storage 2

Aσφάλεια Δικτύων – Διαμοιρασμός Πόρων Ασφαλής δικτυακός διαμοιρασμός ενός filesystem μέσω SSH (public-key cryptography) SSHFS::LAN Server A SSHFS::WAN Storage 1 001010101001... Server B encrypted data Untrusted ISP Παρομοίως και το NFS (Network File System) αλλά χωρίς κρυπτογράφηση! 001010101001... encrypted data

Aσφάλεια Δικτύων Διαμοιρασμός Αποθηκευτικού χώρου SAN (Storage Area Network) root@mordor:~# ls -la /dev/sd? brw-rw---- 1 root disk 8, 0 Jan 30 10:23 /dev/sda ← τοπικός δίσκος root@mordor:~# iscsiadm -m node --targetname postmortem.csd.auth.gr:rmtCR –login Logging in to [iface: default, target: postmortem.csd.auth.gr:rmtCR, portal: 155.207.113.227,3260] (multiple) Login to [iface: default, target: postmortem.csd.auth.gr:rmtCR, portal: 155.207.113.227,3260] successful. brw-rw---- 1 root disk 8, 0 Jan 30 10:23 /dev/sda brw-rw---- 1 root disk 8, 16 Jan 31 21:03 /dev/sdb ← δικτυακός δίσκος root@mordor:~# fdisk -l /dev/sdb Disk /dev/sdb: 400 GiB, 429496729600 bytes, 838860800 sectors NAS (Network Attached Storage) gpall@mordor:~ $ sshfs root@192.168.1.250:/myRemoteFolder mnt1 gpall@mordor:~ $ ls -la mnt1 total 68 drwx------ 1 root root 65536 Jan 31 21:15 . drwxr-xr-x 1 gpall gpall 1062 Jan 31 15:41 .. -rw------- 1 root root 4 Jan 31 21:15 test.txt gpall@mordor:~ $ fusermount -u mnt1

Aσφάλεια Δικτύων – Ασφαλές Tunneling ανασφαλών πρωτοκόλλων Server (155.207.113.227) MH ΑΣΦΑΛΗΣ ΕΠΙΚΟΙΝΩΝΙΑ! Client (155.207.112.128) Untrusted ISP → nc 155.207.113.227 13 → Tue Nov 30 15:28:28 2010 → connection from 155.207.112.128 to 155.207.113.227 port 13 → 155.207.113.227 replied with “Tue Nov 30 15:28:28 2010” 'Date' service (port 13) Cleartext!!! Στο ενδιάμεσο ανασφαλές δίκτυο, η επικοινωνία μπορεί να υποκλαπεί και να τροποποιηθεί!

Aσφάλεια Δικτύων – Ασφαλές Tunneling ανασφαλών πρωτοκόλλων ΑΣΦΑΛΗΣ ΕΠΙΚΟΙΝΩΝΙΑ! ssh -L (local port):(remote host):(remote port) [ssh server] 'Date' service (Port 13) ssh -L 10000:155.207.113.227:13 155.207.113.227 (προώθηση του local port 10000 στο remote port 13) ssh -L 10000:155.207.113.227:13 155.207.113.227 (προώθηση του local port 10000 στο remote port 13) Port 10000 SSH Tunnel → nc localhost 10000 → Tue Nov 30 15:28:28 2010 Untrusted ISP Client (155.207.112.128) Server (155.207.113.227) → connection from 155.207.112.128 to 155.207.113.227 port 22 → 155.207.113.227 replied with 0010101001010... (encrypted) Encrypted!!! Στο ενδιάμεσο ανασφαλές δίκτυο, η επικοινωνία ΔΕΝ μπορεί να υποκλαπεί ούτε και να τροποποιηθεί!

Aσφάλεια Δικτύων – SOCKS proxying Σε αντίθεση με κάποιον HTTP proxy όπως ο Squid που είναι ειδικά για HTTP κίνηση, o SOCKS proxy προσφέρει tunneling για όποιο πρωτόκολλο του application layer μπορεί να τον χρησιμοποιήσει (πχ. Firefox, Internet Explorer, κλπ) Για πρωτόκολλα και εφαρμογές που δεν έχουν σχεδιαστεί με υποστήριξη για SOCKS, υπάρχουν εφαρμογές όπως το tsocks που κάνουν intercept τις συνδέσεις των εφαρμογών και τις οδηγούν μέσα από τον SOCKS proxy To SSH υλοποιεί έναν SOCKS proxy· λόγω φύσης του SSH, το proxying γίνεται και με κρυπτογράφηση. ssh -D1080 155.207.113.227 (δημιουργία SOCKS proxy που ακούει στο port 1080) Web Server Aν θέλω tsocks, τότε επιπλέον του παραπάνω, δίνω: # tsocks firefox (υποκλέπτονται οι συνδεσεις του firefox και γίνονται tunneled μέσα από τον SOCKS proxy) GET slashdot.org GET slashdot.org SSH Tunnel Client (155.207.112.128) Server (155.207.113.227)

Aσφάλεια Δικτύων – SOCKS proxying CASE STUDY: Qatar O client στο Qatar εμποδίζεται στην ελεύθερη πρόσβαση στο internet από έναν transparent proxy της κυβέρνησης του Qatar Μέσω του ssh tunneling, ο 155.207.113.227 χρησιμοποιείται ως SOCKS proxy για να χειριστεί τα web αιτήματα του client. Tην επικοινωνία με τους ζητούμενους web servers αναλαμβάνει ο 155.207.113.227 ο οποίος προωθεί το περιεχόμενο στον client GET slashdot.org SSH Tunnel Web Server Qatar Firewall GET slashdot.org Internet Client @ Qatar (102.47.55.3) Server (155.207.113.227) ssh -D1080 155.207.113.227 (δημιουργία SOCKS proxy που ακούει στο port 1080)

Εργασία Εργασία ανά δύο – σε κάθε βήμα screenshots και παράθεση των σχετικών configurations/εντολών Ο ένας στήνει SSH server (επιβεβαίωση ότι ακούει στο port 22 με netstat), ο άλλος θα είναι ο client Επιβεβαιώστε ότι ο client μπορεί να συνδεθεί στον server (να ανοίξει command line interface και να εκτελέσει μια εντολή) O client να συνδεθεί στον ssh server δημιουργώντας έναν SOCKS proxy που να ακούει στο port 40000/tcp – επιβεβαιώστε με netstat ότι πράγματι ακούει σε αυτό το port Ρυθμίστε τον SOCKS proxy στον browser του client ώστε να μπορέσει να σερφάρει στο Internet με την IP του server – επιβεβαιώστε με επίσκεψη στο http://ip4.me πριν και μετά την χρήση του SOCKS proxy – extra points αν γίνει χρήση tsocks Σχεδιάγραμμα των εμπλεκόμενων δικτυακών οντοτήτων (client, server, site (ip4.me), ISP του client, ISP του server). Δείξτε σε ποια κομμάτια του δικτύου είναι ασφαλής η επικοινωνία.