Segurança de Rede Prof. Sales Filho Infra-estrutura de chaves públicas

2 Conteúdo Programático Introdução Certificados digitais Infra-estrutura de chaves públicas Entidade final Autoridade Certificadora (AC) Autoridade de Registro (AR) Emissor da CRL (Certificate Revogation List) Atividade prática Instalação e configuração do serviço de Certificação do Windows Server 2003

3 Introdução A evolução trazida pela criptografia assimétrica possibilitou o desenvolvimento e aprimoramento dos serviços de segurança A RFC 2822 define a Infra-estrutura de chave pública como sendo um conjunto de Hardware, Software, pessoas, políticas e procedimentos necessários para criar, gerenciar, armazenar, distribuir e revogar certificados digitais com base na criptografia assimétrica

4 Certificados digitais Os certificados digitais são estruturas de dados contendo as informações dos usuários/computadores, como nome, identificadores, chave pública, entre outros São criados e gerenciados por alguma Autoridade Certificadora (AC) confiável São armazenados em algum local de fácil acesso

5 Certificados digitais

6 Infra-estrutura de chaves públicas Uma Infra-estrutura de chaves públicas – ICP, ou, em inglês PKI (Public Key Infraestructure), deve fornecer um conjunto de Hardware, Software, pessoas, políticas e procedimentos necessários para criar, gerenciar, armazenar, distribuir e revogar certificados digitais com base na criptografia assimétrica

7 Infra-estrutura de chaves públicas A RFC 2822 uma ICP pelos seguintes elementos: Entidade Final Termo genérico para indicar usuários finais (pessoas, servidores, etc.) Autoridade Certificadora (AC) Entidade responsável pela emissão dos certificados Autoridade de Registro Componente opcional, assume funções administrativas Emissor da CRL Componente opcional que pode receber a delegação para publicar a lista de certificados revogados Repositório Termo genérico, indica o local ou método de armazenamento dos certificados

8 Infra-estrutura de chaves públicas Autoridade de Registro Autoridade de Certificado Repositório de certificados / CRL Recuperação de certificados / CRL Entidade final Emissor da CRL Publicação de certificados Autoridade de Certificado publicação de certificados / CRL publicação da CRL Certificação cruzada  Registro  Inicialização  Certificação  Recuperação de chaves  Atualização de chaves  Solicitação de revogação Entidades de Gerenciamento Usuários da ICP

9 Comentários Toda PKI implementa um modelo de confiança, semelhante aos acordos políticos estabelecidos nos países A AC-Raiz auto-assina seu certificado Confiamos nas ACs por acreditar que elas são dignas de confiança, como confiamos nos acordos políticos e nos cartórios de registro civil Quando você apresenta sua identidade no Aeroporto para conferência, em quem a atendente está confiando ?

10 Atividade prática Objetivo Instalar uma PKI e gerar certificado de servidor web Configurar um site seguro utilizando o certificado gerado Tarefas Instalação de uma Infra-estrutura de chave pública utilizando o Windows Server 2003 IIS Serviço de Certificados do Windows

11 Atividade prática Cenário proposto para a atividade apollo13.ifrn.local zeus.ifrn.local cliente.ifrn.local

12 Atividade prática Preparação do servidor apollo13.ifrn.local Instalação e configuração do domínio ifrn.local Objeto de aulas anteriores Instalação do IIS (Com suporte a páginas ASP) Objeto de aulas anteriores Configuração do DNS para dar suporte ao site seguro (seguro.ifrn.local) configurado em zeus.ifrn.local Instalação do Serviço de Certificados Configuração da PKI

13 Atividade prática Configuração do DNS para dar suporte ao site seguro (seguro.ifrn.local) configurado em zeus.ifrn.local Criar um apelido

14 Atividade prática Configuração do DNS para dar suporte ao site seguro (seguro.ifrn.local) configurado em zeus.ifrn.local Informar o apelido desejado Selecionar o host que se deseja apelidar

15 Atividade prática Instalação do serviço de certificados do Windows Server 2003 Antes de começar, verifique se o IIS está adequadamente configurado O módulo de páginas ASP deve estar ativado (Permitido)

16 Atividade prática Instalação do serviço de certificados do Windows Server 2003 Acesse o item Adicionar ou Remover programas no painel de controle...

17 Atividade prática Instalação do serviço de certificados do Windows Server 2003 Clique em Adicionar/Remover componentes do Windows...

18 Atividade prática Instalação do serviço de certificados do Windows Server 2003 Selecione Serviços de Certificado Clique em detales...

19 Atividade prática Instalação do serviço de certificados do Windows Server 2003 selecione os dois itens. Um alerta sobre alteração do nome do computador...

20 Atividade prática Instalação do serviço de certificados do Windows Server 2003 Clique em avançar para continuar a configuração

21 Atividade prática Instalação do serviço de certificados do Windows Server 2003 Selecione o tipo de AC desejada AC Autônomas em geral são o topo da cadeia de certificação e ficam off-line

22 Atividade prática Instalação do serviço de certificados do Windows Server 2003 Informe o nome da AC e o período de validade do certificado RAIZ

23 Atividade prática Instalação do serviço de certificados do Windows Server 2003

24 Atividade prática Instalação do serviço de certificados do Windows Server 2003 Pronto, é só aguardar o final da instalação.

25 Atividade prática Instalação do serviço de certificados do Windows Server 2003 Clique em Iniciar/Ferramentas Administrativas/Autoridade de Certificação para acessar a ferramenta de gerenciamento de certificados da AC.

26 Atividade prática Instalação do serviço de certificados do Windows Server 2003 Ferramenta de gerenciamento da AC-IFRN

27 Atividade prática Preparação do servidor zeus.ifrn.local Objetivo Configurar um site seguro Tarefas Instalação/Configuração do IIS Criação de um site virtual (virtual host) Teste do site criado Geração/Obtenção de um certificado para o servidor Configurar o site para utilizar o certificado de digital

28 Atividade prática Preparação do servidor zeus.ifrn.local Para iniciar o assistente que cria um novo site, clicar com o botão direito sobre “Sites da Web/ Novo/ Site da Web”

29 Atividade prática Preparação do servidor zeus.ifrn.local Informe uma descrição para o site 1 2

30 Atividade prática Preparação do servidor zeus.ifrn.local Informe para qual endereço IP esse site estará ativo Qual a porta que o serviço ficará escutando Nome do host virtual (identificador do site para seleção através do campo host do protocolo http.

31 Atividade prática Preparação do servidor zeus.ifrn.local Informe o local onde o site ficará armazenado

32 Atividade prática Preparação do servidor zeus.ifrn.local Defina as permissões desejadas para o site.

33 Atividade prática Preparação do servidor zeus.ifrn.local Pronto, o site está criado. Mas não existem páginas para acesso nem foi configurado nenhum mecanismo de segurança de certificado.

34 Atividade prática Preparação do servidor zeus.ifrn.local Uma página simples para testar o site recém criado. O arquivo deve ser salvo na pasta base do site, no caso em c:\inetpub\seguro

35 Atividade prática Preparação do servidor zeus.ifrn.local Testando o acesso... Perceba que o endereço está por nome, por IP não acessa porque o sistema é baseado no nome do site.

36 Atividade prática Preparação do servidor zeus.ifrn.local Tarefas Instalação/Configuração do IIS OK Criação de um site virtual (virtual host) OK Teste do site criado OK Geração/Obtenção de um certificado para o servidor Configurar o site para utilizar o certificado de digital

37 Atividade prática Preparação do servidor zeus.ifrn.local Obtenção do certificado Acessando o site do serviço de certificado da AC através do endereço Informe uma credencial de domínio, no caso, está sendo informada a credencial com privilégios administrativos

38 Atividade prática Preparação do servidor zeus.ifrn.local Obtenção do certificado Leia as instruções Acesse o item Solicitar um certificado

39 Atividade prática Preparação do servidor zeus.ifrn.local Obtenção do certificado Queremos um certificado de servidor

40 Atividade prática Preparação do servidor zeus.ifrn.local Obtenção do certificado Esta opção disponibiliza um formulário...

41 Atividade prática Preparação do servidor zeus.ifrn.local Obtenção do certificado Selecione o tipo de certificado desejado, no caso Servidor da Web Preencha os campos do formulário... Role a página mais para baixo, tem mais opções...

42 Atividade prática Preparação do servidor zeus.ifrn.local Obtenção do certificado Preencha o restante do formulário... A opção de armazenar o certificado no computador local é importante e economiza trabalho... Clique no botão para enviar o formuláio

43 Atividade prática Preparação do servidor zeus.ifrn.local Obtenção do certificado Pronto, é só clicar no link para instalar o certificado no repositório de certificados do computador.

44 Atividade prática Preparação do servidor zeus.ifrn.local Verificando o repositório de certificados Na ferramenta de certificados, no MMC, pode-se verificar que o certificado foi instalado Pode-se verificar também que na pasta Autoridades de Certificação Confiáveis consta a AC-IFRN.

45 Atividade prática Preparação do servidor zeus.ifrn.local Verificando o repositório de certificados Propriedades do Certificado instalado.

46 Atividade prática Preparação do servidor zeus.ifrn.local Configurando SSL (Certificado) para o site Acessando as propriedades do site que se deseja configurar o SSL

47 Atividade prática Preparação do servidor zeus.ifrn.local Configurando SSL (Certificado) para o site Clique em Certificado de Servidor... para iniciar o assistente de configuração

48 Atividade prática Preparação do servidor zeus.ifrn.local Configurando SSL (Certificado) para o site

49 Atividade prática Preparação do servidor zeus.ifrn.local Configurando SSL (Certificado) para o site

50 Atividade prática Preparação do servidor zeus.ifrn.local Configurando SSL (Certificado) para o site

51 Atividade prática Pronto !!!! Só falta testar... Perceba o HTTPS na URL, indicando que deseja-se fazer um acesso seguro.

52 Atividade prática Pronto !!!! Só falta testar... Perceba que apenas um item do certificado causa essa mensagem: o nome do certificado é diferente do nome do site.

53 Atividade prática Pronto !!!! Está testado !

Bibliografias [Stallings 2008] Stallings, William. Criptografia e segurança de redes, 4. Ed. São Paulo: Pearson Prentice Hall, [Minasi 2003] Minasi, Mark et al. Dominando o Windows Server a bíblia. Pearson, 2003.