Upload
monte
View
45
Download
2
Embed Size (px)
DESCRIPTION
Windows Security si PKI @ Microsoft - O privire din interior -. Monica Ene-Pietrosanu Senior Consultant Microsoft Romania. Agenda. Scurt indrumar de criptografie Windows PKI Certificate si Servicii de Certificare Ierarhii de Autoritati de Certificare Proiectarea unei ierarhii de AC - PowerPoint PPT Presentation
Citation preview
Windows Security si PKI @ Microsoft Windows Security si PKI @ Microsoft - O privire din interior- O privire din interior - -
Monica Ene-Monica Ene-PietrosanuPietrosanuSenior ConsultantSenior ConsultantMicrosoft RomaniaMicrosoft Romania
AgendaAgendaScurt indrumar de criptografieScurt indrumar de criptografieWindows PKIWindows PKI
Certificate si Servicii de CertificareCertificate si Servicii de CertificareIerarhii de Autoritati de CertificareIerarhii de Autoritati de CertificareProiectarea unei ierarhii de ACProiectarea unei ierarhii de AC
Windows Security @ RedmondWindows Security @ RedmondIntrebariIntrebari
Ce este criptografia?Ce este criptografia?In-criptarea este procesul de In-criptarea este procesul de transformare a unui text clar intr-un transformare a unui text clar intr-un text cifrattext cifratDe-criptarea este procesul inversDe-criptarea este procesul inversCriptarea/decriptarea necesita:Criptarea/decriptarea necesita:
Un algoritm, o cheie si dateUn algoritm, o cheie si dateDoua tipuri:Doua tipuri:
Cu cheie simetrica si asimetrica (publica)Cu cheie simetrica si asimetrica (publica)
Criptografia cu cheie Criptografia cu cheie simetricasimetrica
Necesita o cheie secreta partajata Necesita o cheie secreta partajata intre doua entitatiintre doua entitati
Hello, Hello, Bob!Bob!
Hello, Hello, Bob!Bob!
*&^1*&^1)-)-hh@’@’
Criptografia cu cheie Criptografia cu cheie simetricasimetrica
Este rapidaEste rapidaDe multe ori este numita si criptografie De multe ori este numita si criptografie de masa (bulk cryptography)de masa (bulk cryptography)
Exemple de algoritmi simetrici:Exemple de algoritmi simetrici:DESDESDESXDESX3DES3DESRC4RC4AESAES
Criptografia cu chei Criptografia cu chei publicepublice
Fara secret partajatFara secret partajatDoua chei generate simultanDoua chei generate simultan
Numite “pereche de chei” – key pairNumite “pereche de chei” – key pairIn relatie matematicaIn relatie matematicaNumere foarte, foarte, foarte mariNumere foarte, foarte, foarte mariNefezabil sa se determine una din Nefezabil sa se determine una din cealaltacealalta
Cheia publicaCheia publicaCheia privataCheia privata
Folosirea criptografiei cu Folosirea criptografiei cu chei publicechei publice
Cheia publica este facuta publicaCheia publica este facuta publicaCheia privata este pastrata secretaCheia privata este pastrata secreta
In general nu paraseste niciodata masina In general nu paraseste niciodata masina sau dispozitivul pe care a fost generatasau dispozitivul pe care a fost generata
Daca cheia privata este folosita Daca cheia privata este folosita pentru a cripta => doar cheia publica pentru a cripta => doar cheia publica poate decriptapoate decripta
Criptografia cu cheie publica Criptografia cu cheie publica -Mod de operare-Mod de operare
A “provable” message from Bob
Alice sending a private message to Bob
Hello, Hello, Mom!Mom!
*&^1*&^1)-)-hh@’@’
Hello, Hello, Mom!Mom!
Hello, Hello, Mom!Mom!
Hello, Hello, Mom!Mom!
c&16c&16(^%1(^%1
Bob’sprivate
key
Bob’spublic
key
Algoritmi cu chei publiceAlgoritmi cu chei publiceCriptografia cu chei publice este mult Criptografia cu chei publice este mult mai lenta decat criptografia cu cheie mai lenta decat criptografia cu cheie simetricasimetrica
Nepotrivita pentru criptarea de masaNepotrivita pentru criptarea de masaExemple de algoritmi:Exemple de algoritmi:
RSARSADiffie-HellmanDiffie-HellmanCurbe elipticeCurbe eliptice
Functii Hash One-WayFunctii Hash One-WayFolosite pentru a determina daca Folosite pentru a determina daca datele au fost modificatedatele au fost modificateCa un CRC insa mult mai mai Ca un CRC insa mult mai mai complexcomplex
De obicei au lungime de 128-biti sau De obicei au lungime de 128-biti sau 160-biti160-bitiNefezabil sa se produca un document Nefezabil sa se produca un document care sa se potriveasca cu o valoare hashcare sa se potriveasca cu o valoare hashUn bit schimbat in mesaj afecteaza Un bit schimbat in mesaj afecteaza aproape jumatate din bitii valorii hash.aproape jumatate din bitii valorii hash.
Functii hash one-wayFunctii hash one-way
Order#: 10226Order#: 10226100 x Widget100 x Widget50 x Foo50 x Foo80 x Bar80 x Bar200 x Wotsits200 x Wotsits
Digest
Order#: 10226Order#: 10226100 x Widget100 x Widget50 x Foo50 x Foo80 x Bar80 x Bar200 x Wotsits200 x Wotsits
Digest
Alice vrea sa trimita o comanda lui Bobsi sa fie sigura ca aceasta nu este modificata
Send to BobSend to Bob
Hash Algorithm
Functii hash one-wayFunctii hash one-way
DigestOrder#: 10226Order#: 10226100 x Widget100 x Widget50 x Foo50 x Foo80 x Bar80 x Bar200 x Wotsits200 x Wotsits
Digest
DigestDigestifif ==== Then Then
Bob primeste comanda si verifica daca a fost modificata
Hash Algorithm
AutentificareaAutentificareaCum stie Bob ca mesajul provine de Cum stie Bob ca mesajul provine de la Alice?la Alice?
Alice cripteaza valoarea hash a Alice cripteaza valoarea hash a comenzii cu cheia ei privata comenzii cu cheia ei privata (“semnare”)(“semnare”)Bob decripteaza valoarea hash cu cheia Bob decripteaza valoarea hash cu cheia publica a lui Alicepublica a lui AliceDaca valoarea hash decriptata este Daca valoarea hash decriptata este aceeasi cu valoarea hash calculata => aceeasi cu valoarea hash calculata => comanda este autenticacomanda este autenticaDeoarece certificatul este unul valid si Deoarece certificatul este unul valid si de incredere => dovedeste identitatea de incredere => dovedeste identitatea lui Alicelui Alice
Continutul nu este in mod necesar Continutul nu este in mod necesar criptat!criptat!
Combinand cheile simetrice Combinand cheile simetrice si publicesi publice
Nu vom folosi criptografia cu chei Nu vom folosi criptografia cu chei publice pentru a cripta intreaga publice pentru a cripta intreaga comanda de plata – prea lentacomanda de plata – prea lenta
Folosim chei simetriceFolosim chei simetriceCum transferam in mod sigur cheia Cum transferam in mod sigur cheia simetrica de la Alice la Bob?simetrica de la Alice la Bob?
Combinand cele doua tehnologiiCombinand cele doua tehnologii
Chei simetrice & publice Chei simetrice & publice combinatecombinate
Bob’sprivate
key
Bob’spublic
key
Randomsymkey
Alice generates a random number and transfers it securely to Bob using his public key - this is a “session” key
c&16c&16(^%1(^%1Rand #Rand # Rand #Rand #
Alice can now use the session key to send data to Bob in a secure manner
Hello, Hello, Mom!Mom!
Hello, Hello, Mom!Mom!
*&^1*&^1)-h@’)-h@’
► ► CertificateCertificateUn certificat este o asociere intre o Un certificat este o asociere intre o identitate (subiect) si o cheie publicaidentitate (subiect) si o cheie publicaCertificatele continCertificatele contin
Cheia publica a subiectuluiCheia publica a subiectuluiDetalii despre subjectDetalii despre subjectDetalii despre emitatorul certificatuluiDetalii despre emitatorul certificatuluiData de expirareData de expirareO semnatura digitala asupra continutului O semnatura digitala asupra continutului certificatuluicertificatului
Certificatul este semnat de catre o Certificatul este semnat de catre o AC emitentaAC emitenta
CertificCertificat at X.509X.509
Versiunea
Număr Serial al certificatului
Algoritmul folosit pentru semnătura digitală
Numele Autorităţii de Certificare care a emis certificatul
Perioada de validitate
Numele Subiectului
Cheia Publică a Subiectului
ID unic al Autorităţii emitente (câmp opţional)
ID unic al Subiectului (câmp opţional)
Extensii (cămp opţional)
Semnătura digitală a Autorităţii de Certificare
Cheia privată a Autorităţii de
Certificare
Generează Semnătura
Digitală
Tipul extensiei
Critică/Ne-Critică Valoare extensie
Tipul extensiei
Critică/Ne-Critică Valoare extensie
Tipul extensiei
Critică/Ne-Critică Valoare extensie
CertificateleCertificateleBeneficiul folosirii lor – relatie de Beneficiul folosirii lor – relatie de incredereincredereAlice si Bob trebuie sa aiba incredere Alice si Bob trebuie sa aiba incredere in aceeasi AC emitentain aceeasi AC emitenta
VeriSign, Entrust, Thawte, etc.VeriSign, Entrust, Thawte, etc.AC’ul intern al companiei/organizatieiAC’ul intern al companiei/organizatiei
AC poate folosi certificate “auto-AC poate folosi certificate “auto-semnate”semnate”
Certificate radacinaCertificate radacina
Creeare CertificateCreeare CertificateCum obtine Bob un certificatCum obtine Bob un certificat
Bob genereaza o pereche de chei Bob genereaza o pereche de chei publica/privatapublica/privataBob trimite o cerere de certificat (ce Bob trimite o cerere de certificat (ce contine cheia publica) la ACcontine cheia publica) la ACAC trebuie sa valideze ca Bob este cine AC trebuie sa valideze ca Bob este cine pretinde a fipretinde a fiAC emite certificat lui BobAC emite certificat lui BobSoftware-ul lui Bob memoreaza Software-ul lui Bob memoreaza certificatulcertificatulBob si AC fac certificatul lui Bob Bob si AC fac certificatul lui Bob cunoscut public.cunoscut public.
Lantul de certificareLantul de certificare
Certificat Utilizator
Certificat AC intermediara
Certificat AC Rădăcină
Folosirea certificatelorFolosirea certificatelorMulte aplicatii nu necesita un directorMulte aplicatii nu necesita un director
Au doar nevoie sa gaseasca certificatul Au doar nevoie sa gaseasca certificatul destinataruluidestinatarului
Clientul isi prezinta certificatul (sau Clientul isi prezinta certificatul (sau lantul de certificare) la server in lantul de certificare) la server in timpul autentificariitimpul autentificarii
SSL, TLS, Smart card logonSSL, TLS, Smart card logonEmail/SMIME, IPSecEmail/SMIME, IPSecCertificatul este asociat cu contul de Certificatul este asociat cu contul de utilizator din Windowsutilizator din Windows
Revocarea CertificatelorRevocarea CertificatelorCertificatele pot deveni invalide Certificatele pot deveni invalide inainte de a expira.inainte de a expira.
Cheia privata este compromisa sau Cheia privata este compromisa sau pierdutapierdutaSchimbare nume utilizatorSchimbare nume utilizator
Cum afla utilizatorul de revocare?Cum afla utilizatorul de revocare?Certificate Revocation Lists (CRLs)Certificate Revocation Lists (CRLs)Online certificate status protocol (OCSP)Online certificate status protocol (OCSP)
Microsoft Certificate Microsoft Certificate ServerServer
Componenta standard a Windows Componenta standard a Windows 2000 Server si Windows Server 20032000 Server si Windows Server 2003Componenta centrala a PKIComponenta centrala a PKI
Primeste si valideaza cereri de certificatePrimeste si valideaza cereri de certificateGenereaza si publica certificateGenereaza si publica certificateRevoca certificateRevoca certificate
Integrat cu Active Directory Integrat cu Active Directory Publicare certificat Publicare certificat Informatie de revocareInformatie de revocareManagementManagement
Tipuri de instalari Tipuri de instalari pentru Certificate Serverpentru Certificate Server
Enterprise Enterprise Online Online Necesita Active Directory directory Necesita Active Directory directory serviceserviceClientii de Windows 2000, XP si 2003 Clientii de Windows 2000, XP si 2003 Server gasesc AC in Active DirectoryServer gasesc AC in Active Directory
Stand-aloneStand-aloneOffline si domenii Microsoft Windows NT Offline si domenii Microsoft Windows NT 4.04.0
Aplicatii PKIAplicatii PKISecure Email / S/MIMESecure Email / S/MIMEWeb authentication / SSLWeb authentication / SSLSmartCard logonSmartCard logonEncrypting File System (EFS)Encrypting File System (EFS)IPSec machine certificateIPSec machine certificateExchange 2000/5.5 KMSExchange 2000/5.5 KMS
IncredereaIncredereaRelatia de incredere intre AC este Relatia de incredere intre AC este intotdeauna bazata pe ierarhiiintotdeauna bazata pe ierarhiiIerarhie cu o radacinaIerarhie cu o radacina
AC este fie radacina, fie subordonatAC este fie radacina, fie subordonatPosibilitate ca AC sa fie luat offline–Posibilitate ca AC sa fie luat offline–securitatesecuritate
Ierarhie cross-certificataIerarhie cross-certificataAC este atat radacina cat si subordonatAC este atat radacina cat si subordonatAc offline - poate sa nu fie posibilAc offline - poate sa nu fie posibil
Ierarhii de certificare cu o Ierarhii de certificare cu o radacinaradacina
Issuer: CorpCASubject: CorpCA
Issuer: CorpCASubject: SubCAIssuer: CorpCA
Subject: ProjectCA
Issuer: CorpCASubject: SubCAIssuer: CorpCA
Subject: ProjectCA
Issuer: SubCASubject: MailCA
AvantajeAvantajeSecuritate crescutaSecuritate crescutaScalabilitate maritaScalabilitate maritaModel de administrare flexibilModel de administrare flexibilSuport AC comercialeSuport AC comerciale
Verisign, GTE, Thawte…Verisign, GTE, Thawte…Modelul suportat cel mai comun de Modelul suportat cel mai comun de aplicatii:aplicatii:
Microsoft Internet Explorer, Microsoft Internet Explorer, Internet Information Server, Internet Information Server, Netscape, ApacheNetscape, Apache
Ierarhii de AC cu Ierarhii de AC cu Certificare incrucisataCertificare incrucisata
Issuer: PartnerCASubject: PartnerCA
Issuer: PartnerCASubject: IssuingCA
Issuer: CorpCASubject: CorpCA
Issuer: CorpCASubject: SubCA
Issuer: SubCASubject: PartnerCA
Issuer: IssuingCASubject: CorpCA
Cross-Certificates
Certificarea incrucisata - Certificarea incrucisata - utilizariutilizari
Interoperabilitate business-to-Interoperabilitate business-to-businessbusinessBridge CAsBridge CAs
INteroperabilitate intre produseINteroperabilitate intre produseDomenii PKI disparateDomenii PKI disparate
Implica incredere totala intr-o ierarhie Implica incredere totala intr-o ierarhie de AC strainade AC straina
Securizarea ACSecurizarea ACAC RadacinaAC Radacina
Nivel maxim de securitate fizicaNivel maxim de securitate fizicaOffline in permanenta (masina mai putin Offline in permanenta (masina mai putin perf)perf)Intr-o zona cu acces restrictionat (vault)Intr-o zona cu acces restrictionat (vault)
Nivel inalt de securitate criptograficaNivel inalt de securitate criptograficaCheia cea mai mareCheia cea mai mareHardware security module (HSM)Hardware security module (HSM)
Nivel inalt de administrare securizataNivel inalt de administrare securizataAccess multi-party auditatAccess multi-party auditat
AC subordonateAC subordonateCerintele descresc cu distanta de la Cerintele descresc cu distanta de la radacinaradacina
DocumentatieDocumentatieWindows Server 2003 docs - Its both Windows Server 2003 docs - Its both good and free!good and free!
Help and Support Center (instalat pe Help and Support Center (instalat pe masina)masina)Resource Kit and Deployment GuideResource Kit and Deployment GuideWhitepapersWhitepapers
Network Security, 2Network Security, 2ndnd Edition EditionKaufman, Perlman, SpecinerKaufman, Perlman, SpecinerExcellent theoretical referenceExcellent theoretical reference
Intrebari?Intrebari?
Let’s take a breakLet’s take a breakThe fun part begins The fun part begins
Campusul din RedmondCampusul din RedmondLa 13 mile de SeattleLa 13 mile de Seattle
Campusul din RedmondCampusul din RedmondAprox 25K angajati in Redmond. Varsta medie 36 Aprox 25K angajati in Redmond. Varsta medie 36 aniani
Windows HeadquartersWindows Headquarters
Buildings 40, Buildings 40, 26, 27, 28, 9 26, 27, 28, 9
….….
Around the campusAround the campus
Windows Windows Trust Trust
ManagementManagement
Core SecurityCore Security
NGSCBNGSCB
PKI (X.509, EFS, CAPI2, Enrollment, Certificate Services)PKI (X.509, EFS, CAPI2, Enrollment, Certificate Services) RMS (client, server)RMS (client, server)SLSSLS
Base Crypto (CAPI1, CSPs, DPAPI)Base Crypto (CAPI1, CSPs, DPAPI)Authentication Protocols (Kerb, SSL, NTLM, …)Authentication Protocols (Kerb, SSL, NTLM, …)Logons (Smart Cards, WinLogon, CredMan)Logons (Smart Cards, WinLogon, CredMan)Security ToolsSecurity ToolsAuthorizationAuthorization
Next Generation Secure Computing BaseNext Generation Secure Computing Base
Windows Security - echipeWindows Security - echipe~300 oameni~300 oameni
Hello from the AIM team Hello from the AIM team Authentication and ID Management TeamAuthentication and ID Management Team