Krádež eduroam identity a obrana proti ní

Rozměr: px

Začít zobrazení ze stránky:

Download "Krádež eduroam identity a obrana proti ní"

Eduard Janda
před 5 lety
Počet zobrazení:

1 Krádež eduroam identity a obrana proti ní Jan Tomášek <semik@cesnet.cz> oddělení síťové identity / CESNET Jan Nejman <jan@nejman.cz>

MS-CHAP Nejběžnější způsob ověření v eduroamu - PEAP-MSCHAPv2 heslo není přenášeno v čitelné podobě, přenáší se se challenge a ntresponse oboustranné ověření Bruce Schneier, Mudge: Cryptanalysis of

2 MS-CHAP Nejběžnější způsob ověření v eduroamu - PEAP-MSCHAPv2 heslo není přenášeno v čitelné podobě, přenáší se se challenge a ntresponse oboustranné ověření Bruce Schneier, Mudge: Cryptanalysis of Microsoft's PPTP Authentication Extensions (MS-CHAPv2), 1999 the fundamental weakness of the authentication and encryption protocol is that it is only as secure as the password chosen by the user. EFF DES Cracker, 1999 DEF CON 20, 2012 server má čitelnou podobu a nebo NTHASH - MD4(UTF-16-LE(heslo)) Ondřej Surý: Rozděl a panuj: hrubou silou na MS-CHAPv2 klíče, Root, 2012

3 krádež eduroam identity AP + LTE + 37 Wh powerbanka => 18 h freeradius s upravenou konfigurací

4 krádež eduroam identity

5 krádež eduroam identity Útok hrubou silou (AMD 3.6GHz):

6 krádež eduroam identity Útok s použitím slovníku: * Nargothrond je elfí město objevující se ve fiktivním světě anglického spisovatele J. R. R. Tolkiena.

7 krádež eduroam identity A+++ Hacking

8 krádež eduroam identity RADIUS: Klient: RADIUS: Klient: Umím PEAP, TTLS Pojedeme PEAP Heslo rád ověřuju MSCHAPv2, ale umím taky MD5, GTC, PAP,... Pojedeme MSCHAPv2

9 krádež eduroam identity RADIUS: Klient: RADIUS: Klient: Umím PEAP, TTLS Pojedeme PEAP Heslo rád ověřuju MSCHAPv2, ale umím taky MD5, GTC, PAP,... Pojedeme MSCHAPv2 RADIUS: Klient: RADIUS: Klient: Umím TTLS, PEAP Pojedeme TTLS Heslo rád ověřuju PAP, ale umím taky MD5, GTC, MSCHAPv2,... Pojedeme PAP

10 krádež eduroam identity

11 obrana proti krádeži eduroam identity Co s tím?

12 obrana proti krádeži eduroam identity Kontrolovat certifikáty serveru!

13 obrana proti krádeži eduroam identity

14 obrana proti krádeži eduroam identity

15 obrana proti krádeži eduroam identity

16 obrana proti krádeži eduroam identity

17 obrana proti...: uživatel Manuální konfigurace: stáhnout & nainstalovat certifikát CA RADIUSu kontrolovat hostname RADIUSu, anebo aspoň doménu vnitřní autentizační metoda MSCHAPv2 nikdy nezkoušet ověřím se bez certifikátu? hlásit místa, kde dochází k nabízení neznámého certifikátu

18 obrana proti...: uživatel Manuální konfigurace: stáhnout & nainstalovat certifikát CA RADIUSu kontrolovat hostname RADIUSu, anebo aspoň doménu vnitřní autentizační metoda MSCHAPv2 nikdy nezkoušet ověřím se bez certifikátu? hlásit místa, kde dochází k nabízení neznámého certifikátu Automatická konfigurace: Android 4.3+, OS X, ios, Windows Vista+, Linux, Chrome OS

19 obrana proti...: uživatel

20 obrana proti...: uživatel

21 obrana proti...: uživatel

22 obrana proti...: správce IdP Certifikační autorita pro EAP server: self-sign komerční CA publikovat v dokumentaci! Hostname RADIUSu: nemusí být v DNS stejný hostname na více serverech publikovat v dokumentaci!

23 obrana proti...: správce IdP, eduroam CAT

24 obrana proti...: správce IdP, eduroam CAT

25 obrana proti...: správce IdP, eduroam CAT

26 obrana proti...: správce IdP, eduroam CAT Aktualní stav 81 registrováno, OK nastaveno 52 registrováno = 125 nic Registrace do eduroam CAT - požádejte o pozvánku na info@eduroam.cz

27 obrana proti...: polepšení hříšníci CESNET pwned - 13 c0nfig masterz! % polepšení hříšníci + 4 Polepšení hříšníci - 17! 104***@vfn.cz 181***@eduroam.muni.cz 393***@eduroam.muni.cz 46**@uochb.cas.cz ak***@cesnet.cz hpa***@img.cas.cz hulin***@fel.cvut.cz jma***@jcu.cz jurca***@fs.cvut.cz kund***@cesnet.cz mik***@fzu.cz obada***@amu.cz pro***@cesnet.cz soukp***@natur.cuni.cz sti***@cesnet.cz vaib***@ujep.cz xmikv***@czu.cz

28 demo

29 Dotazy? Jan Tomášek oddělení síťové identity / CESNET

Podobné dokumenty

eduroam - nastavení v MS Windows 7/8/8.1/10 1 Konfigurace pomocí asistenta eduroam CAT

eduroam - nastavení v MS Windows 7/8/8.1/10 1 Konfigurace pomocí asistenta eduroam CAT 1.1 Webová stránka eduroam CAT V libovolném prohlížeči webových stránek (Internet Explorer, Firefox, Chrome apod.)