Transcript prezentaci z konference TechEd

TLS ve Windows
11.
ročník největší odborné
IT konference v ČR!
Ondřej Ševeček
MCM:Directory | MVP:Security | CEH
[email protected] | sevecek.com
Praha 2013
O čem bude řeč?
 Co je TLS a SSL
 Jaké používá algoritmy a jaké potřebuje
certifikáty
 Jakou má TLS podporu v operačních
systémech
 Útoky, záplaty a kompatibilita
 Implementace a příklady
 Ověřování klientským certifikátem
Co je TLS
 Transport Layer Security
– kryptografický protokol pro bezpečné přenášení dat
v aplikační vrstvě TCP/IP
• RSA, RC4, DES, AES, ECDH, MD5, …
– standardní forma staršího NetScape SSL
 Šifrování a ověření identity serveru
– HTTPS (SSTP, IPHTTPS), LDAPS, RDP, SMTPS,
Hyper-V Replication, 802.1x EAP
 Ověření uživatele (klienta)
– TLS client certificate authentication and logon
 Vyžaduje certifikát serveru
– RSA, DSA, ECDSA
Co je TLS
Application traffic
HTTP, LDAP, SMTP, RDP
Server
Certificate
Server
Client
TLS tunnel
Použití klientských certifikátů
TLS tunnel
Application traffic
HTTP, LDAP, SMTP, RDP
Server
Certificate
Server
Client
Client
Certificate
Certifikát serveru
 Přenos klíče
– RSA key exchange
– (EC)DH key exchange
 Ověření identity serveru
– Subject a SAN rozšíření certifikátů
– časová platnost
– důvěryhodný řetěz autorit
– CRL/OCSP
• by default až IE8
Historie TLS
 SSL 2.0 (1995) a SSL 3.0 (1996)
– not FIPS compliant
 TLS 1.0 (1999)
– IETF RFC 2246
– vyžadováno na kompatibilitu s FIPS
 TLS 1.1 (2006)
– až od Windows 7 a Windows 2008 R2
– vypnuto ve výchozím stavu
 TLS 1.2 (2008)
Schannel
 COM knihovna pro vytváření TLS spojení
 SCHANNEL Security Provider
– HKLM\System\CCS\Control\SecurityProviders\S
CHANNEL
 Group Policy
– Policies / Administrative Templates / Network /
SSL
SSL cipher suites





SSL_RC4_128_WITH_MD5
SSL_DES_192_EDE3_CBC_WITH_MD5
SSL_RC2_CBC_128_CBC_WITH_MD5
SSL_DES_64_CBC_WITH_MD5
SSL_RC4_128_EXPORT40_WITH_MD5
Windows XP/2003- TLS 1.0/SSL
cipher suites (no AES)













TLS_RSA_WITH_RC4_128_MD5
TLS_RSA_WITH_RC4_128_SHA
TLS_RSA_WITH_3DES_EDE_CBC_SHA
TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA
TLS_RSA_WITH_DES_CBC_SHA
TLS_DHE_DSS_WITH_DES_CBC_SHA
TLS_RSA_EXPORT1024_WITH_RC4_56_SHA
TLS_RSA_EXPORT1024_WITH_DES_CBC_SHA
TLS_DHE_DSS_EXPORT1024_WITH_DES_CBC_SHA
TLS_RSA_EXPORT_WITH_RC4_40_MD5
TLS_RSA_EXPORT_WITH_RC2_CBC_40_MD5
TLS_RSA_WITH_NULL_MD5
TLS_RSA_WITH_NULL_SHA




SSL_RSA_WITH_RC4_128_SHA
SSL_RSA_WITH_3DES_EDE_CBC_SHA
SSL_DHE_DSS_WITH_3DES_EDE_CBC_SHA
SSL_RSA_WITH_RC4_128_MD5
Windows Vista/2008+ TLS v1.0 cipher
suites (AES/EC/SHA1, no SHA2)












TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_256_CBC_SHA
TLS_RSA_WITH_RC4_128_SHA
TLS_RSA_WITH_3DES_EDE_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA
TLS_DHE_DSS_WITH_AES_128_CBC_SHA
TLS_DHE_DSS_WITH_AES_256_CBC_SHA
TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA
TLS_RSA_WITH_RC4_128_MD5




SSL_RSA_WITH_RC4_128_SHA
SSL_RSA_WITH_3DES_EDE_CBC_SHA
SSL_DHE_DSS_WITH_3DES_EDE_CBC_SHA
SSL_RSA_WITH_RC4_128_MD5
Podpora AES na Windows 2003
 http://support.microsoft.com/kb/948963
 TLS_RSA_WITH_AES_128_CBC_SHA
AES128-SHA
 TLS_RSA_WITH_AES_256_CBC_SHA
AES256-SHA
Windows 7/2008 R2+ TLS v1.1
cipher suites (AES/EC/SHA2)

















TLS_RSA_WITH_AES_128_CBC_SHA256
TLS_RSA_WITH_AES_128_CBC_SHA
TLS_RSA_WITH_AES_256_CBC_SHA256
TLS_RSA_WITH_AES_256_CBC_SHA
TLS_RSA_WITH_RC4_128_SHA
TLS_RSA_WITH_3DES_EDE_CBC_SHA
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P256
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256_P384
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P256
TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA_P384
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA_P256
TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA_P384
TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256_P2
56
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256_P2
56
TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA384_P3
84
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA384_P3
84
TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA_P256













TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA_P384
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA_P256
TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA_P384
TLS_DHE_DSS_WITH_AES_128_CBC_SHA256
TLS_DHE_DSS_WITH_AES_128_CBC_SHA
TLS_DHE_DSS_WITH_AES_256_CBC_SHA256
TLS_DHE_DSS_WITH_AES_256_CBC_SHA
TLS_DHE_DSS_WITH_3DES_EDE_CBC_SHA
TLS_RSA_WITH_RC4_128_MD5
SSL_CK_RC4_128_WITH_MD5
SSL_CK_DES_192_EDE3_CBC_WITH_MD5
TLS_RSA_WITH_NULL_SHA256
TLS_RSA_WITH_NULL_SHA




SSL_RSA_WITH_RC4_128_SHA
SSL_RSA_WITH_3DES_EDE_CBC_SHA
SSL_DHE_DSS_WITH_3DES_EDE_CBC_SHA
SSL_RSA_WITH_RC4_128_MD5
FIPS kompatibilita
FIPS kompatibilita
 Zakazuje SSL 2.0 a SSL 3.0
 Umožňuje jen TLS 1.0 a novější
– RDP toto podporuje až od Windows 2003 SP1
– RDP klient 5.2+
 Nemůže používat RC4
 Nemůže používat MD5
15
Útoky
 SSL 2.0 kompletně diskreditováno
 TLS 1.0 a SSL 3.0 insecure renegotiation attack
– vypnuto dočasně úplně pomocí KB977377
– secure renegotiation zpátky zapnuto KB980436, který
implementuje RFC 5746
 TLS 1.0 BEAST attack
– útok pouze na klienta, na serverech to neovlivníte
– řeší KB2643584 a KB2638806
 DoS vulnerability
– server vcelku hodně pracuje oproti klientovi
– renegotiation je ještě o hodně náročnější na prostředky
 RC4 je příliš slabé (2013)
Ochrana proti renego útoku
(KB980436)

Nainstalujte KB980436
–
–
–
–

jak na servery tak klienty
tím pádem klienti i servery automaticky dělají secure renegotiation
servery i klienti přidávají do komunikace Renego Indication Extension, aby to druhá strana věděla
by default všichni dělají secure renego, ale přijímají i insecure renego
Pokud chcete vynutit secure renego, zapněte v registrech
–
–
HKLM\System\CCS\Control\SecurityProviders\SCHANNEL
na serveru: AllowInsecureRenegoClients = DWORD = 0
na klientovi: AllowInsecureRenegoServers = DWORD = 0
Klienti se nepřipojí na server, který neumí secure renego (RFC 5746)
•
–
Servery odmítnou klienty, kteří neumí secure renego
•

bez ohledu na to, jestli je nebo není potřeba renego
bez ohledu na to, jestli je nebo není potřeba renego
Pokud máte bez ohledu na registry problém, že se klienti nemohou někam připojit, i
když není zrovna renego vůbec potřeba, zapněte na klientech
–
–
UseScsvForTls = DWORD = 1
místo Renegotiation Indication Extension to posílá suitu 00FF, která neRFC5746 serverům nevadí
Ochrana proti BEAST útoku
(KB2643584)
 Nainstalujte KB2643584 nebo 2638806 (XP/2003)
– všechna klientova data chodí na více, než jeden paket
– ve výchozím stavu si to musí klientova aplikace vyžádat
(SendExtraRecord = 0)
– IE k tomu potřebuje další záplatu
 Můžete vynutit rozdělování na více paketů pro všechny
aplikace
– HKLM\System\CCS\Control\SecurityProviders\SCHANNEL
SendExtraRecord = DWORD = 1
– ale možná se na některé servery nedostanete
– RDP s NLA, SQL Server, SSTP
 Můžete to úplně vypnout
– SendExtraRecord = DWORD = 2
Jak poznám že mám záplatu
 PowerShell
 gwmi win32_quickfixengineering |
? { $_.HotfixId -eq 'KB980436' }
Jak vypnout SSL 2.0
 HKLM\System\CurrentControlSet\Control\Se
curityProviders \SCHANNEL\Protocols
– \PCT 1.0
– \SSL 2.0
• \Client
– Enabled = DWORD = 0
• \Server
– Enabled = DWORD = 0
Jak zapnout TLS 1.1 a 1.2
 HKLM\System\CurrentControlSet\Control\Se
curityProviders \SCHANNEL\Protocols
– \TLS 1.1
– \TLS 1.2
• \Client
– Enabled = DWORD = 1
– DisabledByDefault = DWORD = 0
• \Server
– Enabled = DWORD = 1
– DisabledByDefault = DWORD = 0
Omezení a prioritizace algoritmů (Vista+)
Omezení a prioritizace algoritmů (2003-)
 http://support.microsoft.com/kb/245030
 HKLM\System\CCS\Control\SecurityProvider
s\SCHANNEL\Ciphers
Testování TLS
 www.ssllabs.com
Certifikáty
 Buď RSA Exchange na serveru
– funguje i se SSL 3.0
– někdy vyžaduje i signature (LDAPS, Exchange)
 nebo RSA/ECDH Signature na serveru
 nebo DSA/DH Signature na serveru
– funguje i se SSL 3.0
 nebo ECDSA/ECDH Signature na serveru
Comparable Algorithm Strengths (SP800-57)
Strength
Symetric
RSA
ECDSA
SHA
80 bit
2TDEA
RSA 1024
ECDSA 160
SHA-1
112 bit
3TDEA
RSA 2048
ECDSA 224
SHA-224
128 bit
AES-128
RSA 3072
ECDSA 256
SHA-256
192 bit
AES-192
RSA 7680
ECDSA 384
SHA-384
256 bit
AES-256
RSA 15360
ECDSA 512
SHA-512
RSA certifikáty
 2048 široce podporováno na klientech
– 1024 je slabé
– menší než 1024 (například 1023) je blokováno
KB2661254
 SHA-1 stále lepší než 12 znaková komplexní hesla
– http://www.sevecek.com/Lists/Posts/Post.aspx?ID=145
 SHA-2
– serveru je to jedno (XP/2003 potřebují KB968730 kvůli
autoenrollmentu)
– klient to ověří od Windows XP SP3
– klient to ověří od KB938397 pro Windows 2003
 Alternate signature algorithm (PKCS#1 v2.1)
– vůbec použitelné až od Vista
HTTP.SYS a TLS
 IIS interface?
 NETSH HTTP SHOW SSLCERT
– DELETE SSLCERT
– ADD SSLCERT
 AppId
–
–
–
–
–
–
http://www.sevecek.com/Lists/Posts/Post.aspx?ID=9
IIS: {4dc3e181-e14b-4a21-b022-59fc669b0914}
SSTP: {ba195980-cd49-458b-9e23-c84ee0abcd75}
SQL RS: {1d40ebc7-1983-4ac5-82aa-1e17a7ae9a0e}
WinRM: {afebb9ad-9b97-4a91-9ab5-daf4d59122f6}
Hyper-V: ​{fed10a98-8cb9-41e2-8608-264b923c2623}
CSP vs. CNG
 IE a HTTP.SYS podporuje oboje CSP i CNG
 Windows 2003 Schannel a starší potřebuje
pouze
– RSA Schannel Cryptographic Service Provider
při použití RSA certifikátu serveru
– DH Schannel Cryptographic Service Provider při
použití DSA certifikátu serveru
Více web serverů a hlavička host
Server Certificate
www.gopas.cz
TLS tunnel
HTTP GET /uri.htm
User-Agent: Internet Explorer
Accept-Language: cs-cz
Host: www.gopas.cz
Server
Client
IP: 10.10.0.37
Více web serverů a hlavička host
Server Certificate
www.gopas.cz
TLS tunnel
HTTP GET /uri.htm
Host: www.sevecek.com
Server
HTTP GET /uri.htm
Host: www.gopas.cz
Server
Client
IP: 10.10.0.37
Více web serverů a hlavička host
Server Certificate
*.gopas.cz
TLS tunnel
HTTP GET /uri.htm
Host: kurzy.gopas.cz
Server
HTTP GET /uri.htm
Host: www.gopas.cz
Server
Client
IP: 10.10.0.37
Server Name Indication (SNI)
 Podporováno od serveru Windows 2012
– Schannel a HTTP.SYS
 Klienti alespoň Windows Vista/2008
–
–
–
–
–
–
–
–
musí to ale chtít aplikace
IE 7
Firefox 2.0
Opera 8.0
Opera Mobile 10.1
Chrome 6
Safari 2.1
Windows Phone 7
Ověření klientským certifikátem
 Nutno k ustavení TLS tunelu
– ještě dříve, než mohou vůbec projít aplikační
data, byť i jen jednoduché HTTP hlavičky např.
 Omezení anonymních pokusů o zkoušení
hesla
– možno použít přímo k ověřování uživatelů
 Komplikace použití z cizích strojů
– export certifikátu, čipová karta
Požadavky na klientský certifikát
 Digital signature
– je slušné nemít uvnitř nonrepudiation
 Přihlašování vůči AD
– SAN musí obsahovat UPN
– nebo musí být certifikát mapován na účet v AD
"ručně"
– issuing CA musí být NTAuth
 Není nutné, aby ho vydala stejná CA jako
certifikát serveru ($$$)
– veřejný certifikát serveru
– vlastní vnitřní certifikát uživatele
Certificate Trust List (CTL)
 Server zasílá klientům seznam svých
důvěryhodných root CA
 Pokud je jich moc, je to zbytečná zátěž kabelu
 Možno definovat omezení (OID) na klientský
certifikát
– CTL vlastní OID: 1.3.6.1.4.1.311.10.1
 Store in Intermediate CAs
 Apply with NETSH HTTP ADD SSLCERT
– SSLCTLIDENTIFIER = ctl name
– SSLCTLSTORENAME = CA
Reference
 Schannel cipher suites in Windows Vista
– http://msdn.microsoft.com/enus/library/windows/desktop/ff468651(v=vs.85).aspx
 Cipher suites in Schannel in Windows 7 and newer
– http://msdn.microsoft.com/enus/library/windows/desktop/aa374757(v=vs.85).aspx
 Cipher suites in Schannel in Windows XP and 2003
– http://msdn.microsoft.com/enus/library/windows/desktop/aa380512(v=vs.85).aspx
 AES support in Schannel in Windows 2003
– http://support.microsoft.com/kb/948963
Děkuji za pozornost!
 Příbuzné kurzy
 GOC173 - PKI deployment