ZeroshellcomeCapvePortal( per(l'accesso(ad(IDEM

Zeroshell come Cap.ve Portal per l'accesso ad IDEM

Fulvio Ricciardi INFN Lecce

IDEM DAY -‐ Bologna 10 Novembre 2011

Gli argomen@ traBa@

•  Proteggere la rete tramite Cap@ve Portal – Vantaggi e svantaggi – L’accesso federato –  I nemici del Cap@ve Portal

•  Cosa è Zeroshell? •  Il Cap@ve Portal di Zeroshell – Configurazione e funzionalità – Configurazione come Shibboleth SP

IDEM DAY -‐ Bologna 10 Novembre 2011 -‐ Zeroshell come Cap@ve Portal per l'accesso ad IDEM 2

Definizione di Cap@ve Portal

•  E’ un gateway di livello 2 o 3 che unisce due segmen@ di rete –  I client che si associano al primo segmento oBengono subito conneVvità IP, ma non possono comunicare con il secondo segmento se non si auten@cano

– Le richieste hBp/hBps dei client non auten@ca@ vengono redireBe verso un portale di auten@cazione in cui l’utente deve dimostrare la propria iden@tà

Cap@ve Portal Standalone

Cap@ve Portal Federato tramite Proxy Radius (bassa sicurezza)

Cap@ve Portal Federato SAML v2 (Auten@cazione End-‐to-‐End)

I nemici del Cap@ve Portal

•  MAC e IP spoofing nel tenta@vo di oBenere l’accesso fraudolento alla rete al posto di un utente auten@cato

•  DoS causa@ da client non ancora auten@ca@ che u@lizzano le porte 80 e 443 in maniera impropria per superare il firewall (es. Skype e altri P2P)

•  DoS causa@ da client non ancora auten@ca@ che tentano gli update del Sistema Opera@vo o delle signature dell’an@virus via HTTP – Nel caso di federazione SAML il DoS diventa un DDoS verso il WAYF

Finestra Network Access e il segreto condiviso

•  Per rendere inefficace il MAC e IP spoofing è necessario che Client e Cap@ve Portal condividano un segreto: Authen'cator

•  L’Authen@cator ha una durata limitata (1 minuto o più) •  La finestra Popup si preoccupa di rinnovare l’Authen@cator prima che

•  Se l’Authen@cator scade il Cap@ve Portal disconneBe l’utente

Come è custodito e rinnovato l’Authen@cator

•  Il campo Authen'cator contenuto nel codice HTML della finestra Popup è il segreto condiviso tra il Client e Cap@ve Portal:

•  Il Cap@ve Portal genera e successivamente rinnova l’Authen@cator con il seguente codice bash:

echo -e "$USER@$REALM\n$IP\n$TIMESTAMP\n$TYPE" | openssl aes-256-cbc -e -a -k "$SECRET”

•  La finestra Popup manda periodicamente l’Authen6cator al Cap6ve Portal per il rinnovo. L’Authen6cator rinnovato non è mai uguale al precedente poiché il TIMESTAMP cambia.

Limitare problemi di Denial of Service

•  Per le connessioni sulle porte 80 e 443 TCP che non contengano richieste HTTP/HTTPS l’unica limitazione possibile è a livello di Kernel (Nelilter in Linux):

Chain CapPortHTTPS (1 references) target prot opt source destination ACCEPT all -- 192.168.0.101 0.0.0.0/0 MAC 12:2D:31:A0:66:B1 REDIRECT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp flags:0x17/0x02 limit: avg 50/min burst 10 mode srcip redir ports 12081 DROP tcp -- 0.0.0.0/0 0.0.0.0/0 tcp flags:0x17/0x02 REDIRECT tcp -- 0.0.0.0/0 0.0.0.0/0 redir ports 12081

•  Per le connessioni sulle porte 80 e 443 TCP che contengano richieste HTTP/HTTPS come le richieste di update del Sistema Opera@vo e dell’An@virus si può agire a livello applica@vo nel web server:

RewriteCond %{REQUEST_URI} !/msdownload/update RewriteCond %{REQUEST_URI} !/windowsupdate/ RewriteCond %{REQUEST_URI} !/ubuntu/dists/ RewriteCond %{REQUEST_URI} !/daily-.*.cdiff RewriteRule ^.*$ https://%{SERVER_ADDR}:12081/cgi-bin/zscp?Section=CPAuth&Action=Show&ZSCPRedirect=%{SERVER_NAME}:::https://%{SERVER_NAME}%{REQUEST_URI}?${filter:%{QUERY_STRING}} [L]

Confronto tra Cap@ve Portal con auten@cazione SAML e 802.1x

•  Il Cap@ve Portal non ha bisogno di nessuna configurazione lato client

•  I supplicant 802.1x sono complica@ da configurare e inadaV per l’utente occasionale

•  In ambien@ federa@ mediante 802.1x l’auten@cazione più u@lizzata è EAP-‐TTLS con PAP, ma il supplicant na@vo di Windows non supporta EAP-‐TTLS

•  802.1x offre supporto per lo scambio di chiavi di cifratura che possono essere usate per criptare il Layer 2 come nel caso di WPA/WPA2 Enterprise

Cosa è Zeroshell?

•  E’ una distribuzione Linux che fornisce i principali servizi di rete

•  Configurabile via web –  Il nome Zero-‐Shell (Senza-‐Shell) significa che la configurazione dovrebbe avvenire esclusivamente via Web. L’accesso alla shell è comunque possibile

•  I si@ web sono: –  hBp://www.zeroshell.net/ (Italiano) –  hBp://www.zeroshell.net/eng/ (Inglese)

I principali servizi offer@ da Zeroshell

•  Rou@ng e Bridging con supporto delle VLAN 802.1q •  Firewall con supporto per i filtri Layer 7

•  Traffic Shaping e QoS assegnando banda massima, banda garan@ta e priorità in base alla @pologia di traffico

•  Load Balancing e Failover dei collegamen@ WAN

•  VPN site-‐to-‐site con OpenVPN (TAP)

•  VPN gateway per accessi Host-‐to-‐LAN (OpenVPN e IPSec/L2TP) •  Cap@ve Portal con backend di auten@cazione Kerberos 5, RADIUS,

cer@fica@ X.509 e SAML v2 mediante Shibboleth •  Proxy HTTP trasparente con scansione an@virus delle pagine web

•  Server LDAP, Kerberos 5, RADIUS con accoun@ng, DNS e DHCP

•  Access Point Wi-‐Fi con supporto per Mul@ple SSID

Scelta del download più appropriato

hBp://www.zeroshell.net/download/

•  ZeroShell-‐1.0.beta16.iso (Live CD)

•  ZeroShell-‐1.0.beta16-‐CompactFlash-‐IDE-‐USB-‐SATA-‐1GB.img.gz (immagine generica da installare su HD o Flash USB) –  gunzip –c ZeroShell-‐1.0.beta16-‐CompactFlash-‐IDE-‐USB-‐

SATA-‐1GB.img.gz > /dev/sdx –  Physdiskwrite da Windows

•  ZeroShell-‐1.0.beta16-‐ALIX-‐CompactFlash-‐1GB.img.gz (Immagine per disposi@vi embedded come Alix o Soekris che u@lizzano la porta seriale)

•  ZeroShell-‐1.0.beta16-‐VMWARE.zip (Macchina Virtuale VMWare)

Read-‐Only e No-‐Devel per una maggiore sicurezza

•  La par@zione contenente Zeroshell è sempre una ISO9660

•  Vengono rimossi gli header delle librerie e i tool di sviluppo

•  Esistono distribuzioni non ufficiali in Read-‐Write e con i compilatori

Par@zione 1

Par@zione 2

Par@zione 3

/boot (Kernel + initrd)

Zeroshell Live CD

Profili di

Configurazione

Installazione su Hard Disk o Flash USB

Ges@one dei Profili di Configurazione

Web Login Page

Cap@ve Portal Gateway Configura@on

Free Authorized Clients

Free Authorized Services

Network Access Popup for Mobile Devices

Mul@ Network Interface Configura@on (Rou@ng/Bridging)

Cap@ve Portal Authen@ca@on Configura@on

Cap@ve Portal Template Manager

Cap@ve Portal Image Manager

Configure Authorized Kerberos5/RADIUS Domains

Proxy Radius

X.509 Cer@ficate Authen@ca@on

Shibboleth Configura@on

Shibboleth Upgrading

Configuring Shibboleth by File Editor

Iden@ty Provider e WAYF Auto-‐Discovery

Auto-‐Discovery: nessun man in the middle

diff -‐r -‐u shibboleth-‐2.4.3/shibsp/handler/impl/SAMLDSSessionIni@ator.cpp shibboleth-‐2.4.3-‐zs/shibsp/handler/impl/SAMLDSSessionIni@ator.cpp -‐-‐-‐ shibboleth-‐2.4.3/shibsp/handler/impl/SAMLDSSessionIni@ator.cpp 2011-‐06-‐28 02:39:27.000000000 +0200 +++ shibboleth-‐2.4.3-‐zs/shibsp/handler/impl/SAMLDSSessionIni@ator.cpp 2011-‐10-‐16 11:26:08.000000000 +0200 @@ -‐282,6 +282,16 @@ req = req + "&returnIDParam=" + m_returnParam; if (isPassive) req += "&isPassive=true"; + // + // Patch by Fulvio.Ricciardi(at)zeroshell.net for IdP AutoDiscovery in Zeroshell Cap@ve Portal + // + char cmd[150]; + strcpy(cmd,"/root/kerbynet.cgi/scripts/idpDiscovery SAMLDS "); + strncat(cmd,req.c_str(),100); + system(cmd); + // + // End of the patch + //

return make_pair(true, request.sendRedirect(req.c_str())); }

Checking the Shibboleth Configura@on

Perl Authoriza@on Filters

Try Authen@ca@on

Cron Job

Log Viewer

Radius Accoun@ng

Radius Accoun@ng Details

Connec@on Tracking

Cap@ve Portal Sta@s@cs

Traffic Shaping e QoS

Classificazione del traffico in classi di QoS

ZeroshellcomeCapvePortal( per(l'accesso(ad(IDEM

Documents

Transcript of ZeroshellcomeCapvePortal( per(l'accesso(ad(IDEM

CONTRIBUTO ALLO STUDIO DEL NE BIS IN IDEM...3.2. Tra una nozione naturalistica ed una normativa di idem: le soluzioni improntate ad un middle of the road approach 4. Le esigenze sottese

Nuove truffe on line Phishing. Phishing Si definisce phishing la tecnica utilizzata per ottenere l'accesso ad informazioni personali e riservate con la.

Promuovere l'accesso alla rete di Stefano Epifani

"Infrastrutture di autenticazione e autorizzazione" e "La federazione IDEM"

ANATOMIA DEL NE BIS IN IDEM DA PRINCIPIO UNITARIO A … · 2020. 8. 2. · affiancava ne bis in idem sostanziale e concorso apparente ad esigenze di proporzionalità: cfr. P APA (1996),

L'accesso all'e-learning per gli studenti con disabilità

Il mercato dei derivati IDEM - Borsa Italiana

RASSEGNA IDEM 2018-19 XI EDIZIONE GENIO E FOLLIA XI …idem-on.net/idm/wp-content/uploads/2018/10/idem_rassegna_18-19.pdf · “Casa dei Risvegli - Luca De Nigris”, che si occupa

INDICE - Lamezia Terme | Sito web ufficiale€¦ · DOPO IL DIPLOMA Il Diploma di Istruzione Tecnica Settore Grafica e Comunicazione permette l'accesso all'Università, ad Istituti

NE BIS IN IDEM INTERNAZIONALE E RINNOVAMENTO DEL GIUDIZIO. IL PROBLEMA … · 2020-07-09 · 8. Il problema dell’applicabilità del ne bis in idem internazionale nell’ordinamento

SACRARIO VANTINIANO di Brescia - Pietri Grande …...ALBANO Vincenzo ALBANO Vincenzo idem soldato 17 2 1898 NAPOLI OSPED. da campo N.124 5 10 1918 ALBARELLO Primo ALBARELLO Primo idem

Altervistavpmusicmedia.altervista.org/biblioteca/Sor_manchegas.pdf4736 CARULLI — Metodo teorico e pratico con importanti aggiunte 4737 — Idem. Idem. 11. „ Parte I. Parte Il.

Università degli Studi della Campania Luigi Vanvitelli · delle singole Biblioteche. Le biblioteche possono riservarsi il diritto di limitare od escludere l'accesso ad alcune sale

Il Ne Bis in Idem del p.m. Antonio CLEMENTE

cogli l’opportunità. Scegli un mercato ad alto ... · Il mercato IDEM include due segmenti: ... che i titoli dell’indice FTSE MIB pagano dividendi. Il suo valore massimo è raggiunto

INFORMATICA DI BASE - Home - cosimorizzo.itcosimorizzo.altervista.org/alterpages/files/Modulo_07Disp_Internet... · Per avere l'accesso ad internet è necessario registrarsi presso

El Principio de Ne Bis in Idem

NE BIS IN IDEM TRA CARTA DEI DIRITTI FONDAMENTALI E ......istitutivi, un Protocollo ad hoc allegato al trattato di Amsterdam incorporò l’intero acquis di Schengen nel quadro normativo

L'accesso agli studi superiori - Ticino

DIPARTIMENTO DI GIURISPRUDENZA IL NE BIS IN IDEM NEL ...