Turris otevřený domácí router made in Czech Republic. Bedřich Košata

Rozměr: px

Začít zobrazení ze stránky:

Download "Turris otevřený domácí router made in Czech Republic. Bedřich Košata bedrich.kosata@nic.cz 3.11.2013"

Renata Tomanová
před 8 lety
Počet zobrazení:

1 Turris otevřený domácí router made in Czech Republic Bedřich Košata

2 CZ.NIC Správce národní domény.cz Výzkum a vývoj v oblasti sítí a síťové bezpečnosti Open source software BIRD, KNOT DNS, Datovky,... Osvěta v oblasti sítí a bezpečnosti konference Internet a Technologie, Akademie CZ.NIC, Jak na internet,...

3 Pozadí projektu a motivace Dlouhodobě se zaměřujeme na síťovou bezpečnost Aktivně podporujeme moderní technologie (které v domácích routerech pokulhávají) CSIRT.CZ, analýza DDOS útoků, DNSSEC, DANE, etc. DNSSEC, IPv6 Zatím byl vývoj zaměřený hlavně na větší hráče na poli sítí BIRD - routování, KNOT DNS - autoritativní DNS server

4 Distribuovaná kybernetická bezpečnost Zaměření na ochranu domácích a malých firemních sítí Využití sond u koncových uživatelů k získání dat pro bezpečnostní analýzy Použití výsledků ke zlepšení ochrany sítí Nespokojenost s kvalitou současných domácích routerů DNSSEC, IPv6, bezpečnost

5 Sonda domácí router Namísto dalšího zařízení zařazení funkce bezpečnostní sondy do routeru Router má ideální pozici k analýze veškerého provozu i ochraně celé sítě mobilní zařízení, NAS boxy, atp., u nichž nemusí být ochrana snadno aktualizovatelná Routery máme rádi :)

6 Proč Turris? Turris = věž Věže se často budovaly na místech, kde je dobrý rozhled Umožňovaly včasné varování před blížícím se nepřítelem

7 Proč Turris?

8 Jak to funguje Analýza síťového provozu na hranici domácí a veřejné sítě Informace o detekovaných anomáliích jsou odesílány na centrální server Využití srovnání informací z velkého množství sond ke zlepšení detekce škodlivého provozu Aktualizace ochrany domácí sítě (zejména firewallu) na základě detekovaných útoků

9 Statistická analýza provozu Z hlaviček paketů jsou vybrány některé údaje (adresy, porty) a ty jsou hashovací funkcí rozděleny do krabiček Sleduje se vývoj velikosti krabiček v čase pro různé hashovací funkce Na základě této statistiky se určí odchylující se krabičky Teprve v okamžiku anomálie se z krabiček vyndají data a odešlou se na server

10 Co dalšího sbíráme Logy z firewallu důležité pro dokreslení situace a možnost odhalování nebezpečných adres a sítí Statistická data o provozu (IPv4 vs IPv6, UDP vs TCP) V budoucnu plánujeme aktivní sondy, např. pro měření rychlosti, dostupnosti služeb, atp. (pouze v rámci mantinelů daných uživatelem)

11 Co nesbíráme Přenášená data uvnitř paketů Hesla, čísla účtů, osobní informace Navštěvované adresy Cokoli na LAN

12 Router Turris OpenWrt jako operační systém Vlastní změny pro podporu DNSSEC a vylepšení bezpečnosti Vlastní modulární monitor síťového provozu ucollect Vlastní systém pro vzdálenou správu postavený na protoku netconf nuci Automatické aktualizace systému Přiblížení běžným uživatelům

13 Router Turris - hardware Statistické metody jsou náročné na paměť a CPU Hardware musí zvládnout současné i případné budoucí metody analýzu provozu Existující domácí routery jsou vyladěné na cenu a nemají rezervy ve výkonu Po otestování dostupných produktů jsme se rozhodli pro vývoj vlastního řešení Hardware navržen od začátku v CZ.NIC a zveřejněn jako open hardware

14 Hardware

15 Hardware

16 Hardware

17 Hardware

18 Hardware Dvoujádrový PPC procesor P2020 na 1.2 GHz 2 GB RAM 16 MB NOR MB NAND flash 1 WAN + 5 LAN portů Modulární wifi minipcie karta a/b/g/n Volný minipcie slot 2x USB další sběrnice dostupné v pinech

19 Vychytávky Dedikovaný WAN port s přímou linkou do procesoru 2 eth linky mezi procesorem a switchem Sériová konzole vyvedená převodníkem do interního microusb slotu stačí přidat kabel Možnost nastavení intenzity a barvy světla diod

20 Open hardware made in Czech republic Výroba v ČR Veškerá dokumentace je dostupná ke stažení Zdrojová data pro Altium Designer Schéma zapojení Návrh desky 3D model osazené desky

21 Turris naživo

22 Ochrana soukromí Nesledujeme přenášená data, pouze hlavičky (IP adresy, porty, atp.), statistiky (přenesená data) a čas Na server se tato data odesílají až v případě detekce anomálie Mezivýsledky analýzy síťového provozu jsou spojeny pouze s daným zařízením spojení s uživatelem je oddělené Nasbíraná data jsou po krátké době mazána Dlouhodobě jsou udržována pouze anonymní data, nespojená s konkrétním zařízením (např. počty útoku na jednotlivé porty) Uživateli je poskytován přehled nasbíraných dat v agregované podobě

23 Jak se zapojit Předregistrace na V okamžiku dostupnosti routerů Vás upozorníme na zaregistrovaný Vyplnění smlouvy online Za symbolickou 1 Kč dostanete router k dlouhodobému pronájmu (za podmínek smlouvy)

24 Jaké jsou podmínky účasti Využívat router jako hlavní přípojný bod k internetu Nezasahovat do sběru bezpečnostních dat Nezasahovat do aktualizací zařízení Uživatel má právo kdykoli od smlouvy odstoupit a zařízení vrátit Uživatel může cokoli instalovat a měnit

25 Aktuální stav projektu V této chvíli testujeme druhé prototypy routeru a ladíme OS Testujeme v ostrém provozu detekci anomálií Připravujeme výrobu 1000 ks routeru Turris na konci roku

26 Plány do budoucna Sběr, analýza a publikace dat o detekovaných anomáliích Další vývoj celé platformy Ladění a vylepšování OS Vylepšování detekce síťových anomálií Vylepšování vzdálené správy a webového rozhraní routeru Vývoj směrem k univerzálnímu OS pro domácí routery

27 Shrnutí Zabezpečení domácích sítí Open source řešení Hardware, operační systém, software Přiblížení OpenWrt domácím uživatelům a maximalizace zabezpečení Výkonný hardware Výsledky výzkumu k dispozici veřejně

28 Vývojový tým Tomáš Rykl Martin Strbačka Michal Vaner Štěpán Henek Robin Obůrka Jan Čermák Zbyněk Kos Bedřich Košata

29 Děkuji za pozornost Bedřich Košata

Podobné dokumenty

Projekt Turris. Proč a jak? Ondřej Filip ondrej.filip@nic.cz Bedřich Košata bedrich.kosata@nic.cz 30.11.2013 / IT13.2

Projekt Turris. Proč a jak? Ondřej Filip ondrej.filip@nic.cz Bedřich Košata bedrich.kosata@nic.cz 30.11.2013 / IT13.2 Projekt Turris Proč a jak? Ondřej Filip ondrej.filip@nic.cz Bedřich Košata bedrich.kosata@nic.cz 30.11.2013 / IT13.2 CZ.NIC & bezpečnost Jedno z hlavních témat DNSSEC, DANE CSIRT.CZ CZ.NIC-CSIRT Honeynet