1 / 46

Authentification contre Masquarade

Pourquoi ?. ConfidentialitIntgritDisponibilitAudit. Mcanisme d'Authentification. Garantie l'identit des entits du Systme d'Information.Il est compos de :Une entit cliente (prouveur).Un vrifieur.Une caractristique reprsentative de l'entit cliente.Un mcanisme d'authentification

Ava
Download Presentation

Authentification contre Masquarade

An Image/Link below is provided (as is) to download presentation Download Policy: Content on the Website is provided to you AS IS for your information and personal use and may not be sold / licensed / shared on other websites without getting consent from its author. Content is provided to you AS IS for your information and personal use only. Download presentation by click this link. While downloading, if for some reason you are not able to download a presentation, the publisher may have deleted the file from their server. During download, if you can't get a presentation, the file might be deleted by the publisher.

E N D

Presentation Transcript


    1. Authentification contre Masquarade Mots de Passe ?

    2. Pourquoi ? Confidentialité Intégrité Disponibilité Audit

    3. Mécanisme d'Authentification Garantie l'identité des entités du Système d'Information.Il est composé de : Une entité cliente (prouveur). Un vérifieur. Une caractéristique représentative de l 'entité cliente. Un mécanisme d'authentification chargé de vérifier la caractéristique.

    4. Authentication d'un accès physique Objectif : Accès la salle informatique Client : Individu Vérifieur : Lecteur de badge Caractéristique : Badge Magnétique Mécanisme : Reconnaissance du Badge + Service d'autorisation : Ressources : salle Informatique Droits : Entrer Mécanismes : contrôle d'accès

    5. Authentication d'un compte utilisateur Objectif : Accèder aux ressources réseau Client : Compte utilisateur (login) Vérifieur : Serveur d'authentification Caractéristique : Mot de passe Mécanisme : Protocole d'authentification + Service d'autorisation : Ressources : Fichiers Droits : Lecture / Ecriture Mécanismes : A.C.L de l'OS serveur.

    6. Méthodes d'authentification Je connais : Mots de passe, code d'entrée, code PIN Je possède : Clé privée, certificats stockés sur un support magnétique type clès USB, cartes à puces Je suis : Caractéristiques physiques (Biométrie) Empreinte digitale, reconnaissance rétinienne Voix, géométrie du visage, ADN ? Je sais faire : rythmique d'écriture, action individualisée

    7. Authentification Forte Consiste à utiliser au moins deux des méthodes précédentes. Carte Bleue : Puce (Je possède) + Code PIN (Je connais) Empreinte ( Je suis) associée à un mot de passe (Je connais) Mot de passe (Je connais) avec vérification de la rythmique de saisie (Je sais faire)

    8. Protocoles d'Authentification O.T.P (One Time Password) Kerberos SRP (Secure Remote Password)

    9. Kerberos : Caractéristiques Kerberos V5. RFC 1510 Utilisable sur des réseaux hétérogènes Utilise une tierce partie Chiffrement symétrique Clés de session + timestamp (horodateurs) Solutions privées : Active Directory, SEAM de Sun Solution Open Source : Version du MIT, Heimdal

    10. Protocoles Annexes Les annuaires de centralisation des informations : NIS X500 et LDAP (Lightweight Directory Access Protocol) RADIUS

    11. RADIUS : Caractéristiques Protocole de transport des données d'authentification Acteurs : Le poste utilisateur (prouveur d'origine) Le client RADIUS Le serveur RADIUS Le serveur d'authentification Implémentations Microsoft Radius (Version Commerciale) Cistron, livingston et FreeRadius (Versions Libres)

    12. Authentification : Attaques Le rejeu Attaque par mots choisis Attaque par dictionnaires Attaque par force brute

    13. Authentification Réseau Compte Utilisateur de base Il est défini par : Un Login (Nom d’utilisateur) Un mot de passe Pour pirater : il faut connaître les deux

    14. Authentification Réseau Le login Mnémotechnique Généralement en rapport avec la personne Facile à deviner

    15. Les mots de passe Chiffrement Fonction de hachage = Algorithme non réversible Génération d’une empreinte Utilisation d’un diversifiant (graine) en cas de mots de passe identiques La vérification du mot de passe par le serveur se fait par comparaison

    16. Les mots de passe Craquage des empreintes Points faibles : Le stockage des empreintes Attques par : Dictionnaires Force Brute

    17. Mots de passe Localisation des empreintes Sous Windows 9x : Fichiers .pwl Sous Windows NT : Fichier /Winnt/System32/Config/sam Fichier /Winnt/Repair/sam._ après Rdisk /s Sous Windows 2000/XP : Dans Active Directory Sous Unix : Fichier /etc/passwd Fichier /etc/shadow (mots de passe masqués)

    18. Mots de passe Empreintes NT Stockées dans le fichier sam Obscurcies (chiffrée) en partie par un chiffrement DES Deux types d’empreintes : LanMan NTLM

    19. Mots de passe Empreintes LanMan Imposées par le protocole SMB. Fonctionnement : Le mot de passe est tronqué à 14 caractères. S’il est plus court il est complété par des caractères nuls. Il est mis en majuscules Il est divisé en deux parties Chaque partie est utilisée comme clé de chiffrement DES 56 bits pour chiffrer la chaine : « KGS!@#$% » Les deux résultats de 8 octets sont combinés pour donner l’empreinte LanMan. La première partie de l’empreinte sera encore chiffrée par DES dans le fichier SAM avec pour clé le RID de l’utilisateur.

    20. Mots de passe Empreintes LanMan Vulnérabilités : Attaques limitées à 2 mots de 7 caractères. Aucune différence entre majuscule et minuscule dans l’empreinte. Pas d’utilisation de graine Si on compare la seconde partie à une certaine constante, on devine aisément si le mot de passe fait plus de 7 caractères.

    21. Mots de passe Empreintes NTLM Stockées dans le fichier sam. Fonctionnement : Mot de passe limité à 128 caractères. Encodage en Unicode. Après chaque caractère, un caractère nul est inséré. Fonction de hachage MD4 (NT), MD5,(2000/XP) Vulnérabilités : Pas d’utilisation de graine MD4

    22. Mots de passe Empreintes Unix Stockées dans /etc/passwd ou /etc/shadow DES 56 Bits ( Systèmes de base) MD5 (Systèmes BSD, Linux avec libc5 et glibc2, Systèmes avec support de PAM) BlowFish ( Systèmes OpenBSD, Linux sous Glibc 2.1.3 avec patch crypt_blowfish)

    23. Mots de passe Empreintes Unix : DES 56 Bits Fonctionnement : Mot de passe tronqué à 8 caractères. Complété avec des caractères nuls si nécessaire. Utilisé comme clé de chiffrement DES 56 Bits pour chiffrer une chaîne d’octets nuls. Pour générer la clé, seuls les 7 bits de poids faible sont utilisés. La fonction DES est appliqué 25 fois. Une graine de 12 bits est utilisée dans la fonction de chiffrement La longueur de l’empreinte est de 13 octets. Vulnérabilité : Longueur trop faible du mot de passe

    24. Mots de passe Empreintes Unix : MD5 Fonctionnement : Le calcul de l’empreinte s’effectue par 1000 appels de la fonction de hachage MD5 entrelacés par des transformations telles que des décalages ou des inversions. La longueur de mot de passe est illimité. La taille de la graine est comprise entre 6 et 48 bits. La longueur de l’empreinte est de 27 à 34 caractères. Dans la base d’authentification, ils sont précédés par $1$. Vulnérabilité : Nombre d’itérations trop faible en rapport à la puissance des processeurs actuels.

    25. Mots de passe Empreintes Unix : BlowFish Algorithme paramétrable. Longueur du mot de passe : 55 caractères. Le calcul s’effectue de 64 à 231 appels de la fonction BlowFish entrelacés de transformations simples pour chiffrer la chaine « OrpheanBeholderScryDoubt » qui fait 192 bits. La taille de la graine est de 128 bits La longueur de l’empreinte est de 60 caractères précédés de $2a$ dans la base d’authentification

    26. Authentification Fonctionnement simplifié Locale : Simple comparaison de l’empreinte stockée avec celle recalculée à partir du mot de passe saisie. Sur le réseau : Mots de passe en clair Mots de passe « brouillés » Protocole de type défi/réponse Authentification forte par un système de clé publique/clé privée

    27. Authentification Protocole Défi/Réponse Le mot de passe ne circule pas sur le réseau. Le serveur envoi un « défi » au poste client afin que celui prouve qu’il connaît le mot de passe. Le client calcule la réponse en fonction du contenu du défi et du mot de passe saisie. Le serveur compare la réponse à la sienne qu’il a calculée à l’aide l’empreinte du mot de passe.

    28. Authentification Protocole Défi/Réponse Vulnérabilité : Pour répondre au défi, le client a besoin de calculer l’empreinte du mot de passe. C’est avec celle-ci qu’il pourra générer la réponse. Si quelqu’un possède le fichier d’empreintes, il n’a même plus besoin de craquer les mots de passe. Le défi doit être unique si l’on veut éviter les attaques par rejeu.

    29. Les logiciels de cassage Environnement Windows Sur les empreintes Windows : L0pthCrack C2myazz (fonctionne sous ms-dos) John the Ripper Sur les postes Windows 9x: Pwltools, PwlCrack Sur le réseau : L0pthCrack Dsniff

    30. Les logiciels de cassage Environnement Unix Sur les empreintes : Crack John the Ripper Qcrack La fonction crypt() du système Sur le réseau : Dsniff

    31. Protection des Mots de passe Protection des Empreintes Protection de l’authentification réseau Durcissement des Mots de Passe Formation des utilisateurs

    32. Protection des Mots de passe Environnement Windows Chiffrement de la base SAM : Sous NT4 : Utilisation de syskey Sous W2K : Fonction activée par défaut. Vulnérabilité : Utilise un simple chiffrement RC4 (XOR) Chiffre les empreintes LanMan et NTLM avec la même clé tirée du RID. Correction : Sous W2K avec le service pack 2 il est possible de désactiver l’utilisation de LanMan grâce à la clé de registre : NoLMHash

    33. Protection des Mots de passe Environnement Unix Utilisation des « Shadow passwords » Changer l’algorithme de Hachage par défaut qui est DES et utiliser : MD5 BlowFish

    34. Protection des Mots de passe Réseau Windows : SMB Interdire l’envoi en clair du mot de passe sur le réseau : Windows 9X : Modifier le registre [HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\VxD\ VNETSETUP] : ’’EnablePlainTextPassword’’=dword:00000000 NT 4 : Installer minimum le SP3 sous Windows NT4 Limiter le chiffrement à NTLMv1 ou NTLMv2 (SP4) Windows 2000 : Installer le SP2 pour désactiver LanMan

    35. Protection des Mots de passe Réseau UNIX Encapsulation SSL ou SSH Utiliser des OTP ( One Time password) (Cette solution est aussi valable pour Windows) Liste de mots de passe utilisables qu’une seule fois. Calculette qui génère un mot de passe valable quelques instants seulement

    36. Durcissement des mots de passe Le durcissement des mots de passe permet de forcer le système à n’accepter que des mots de passe répondant à certaines règles. Cela assure que le mot de passe choisi n’est pas trop simple et qu’il résistera plus longtemps au craquage.

    37. Durcissement des mots de passe Statistiques Sur une base 2000 mots de passe crackés : 75 % = 6 caractères maximum 70 % = Un mot en minuscules uniquement 14 % = Un nombre - de 1% = Une combinaison minuscules, majuscules 0% = Une combinaison Majuscules et chiffres 0% = Une combinaison avec autre caractère 17 % étaient déductible du login 29 % comportaient des informations associées à l’utilisateur

    38. Durcissement des mots de passe Statistiques Temps de cassage : ( Athlon XP 1600+) 1h10 pour un DES de 6 caractères alphanumériques 1,75 jours pour un DES de 7 caractères alphanumériques 2 mois pour un DES de 8 caractères alphanumériques 0h45 pour un LanMan de 7 caractères alphabétiques 7h00 pour un LanMan de 7 caractères alphanumériques

    39. Durcissement des mots de passe Serveurs Windows W2K : Paramétrer la politique de sécurité NT4 SP2 minimum Installer : passfilt.dll en modifiant la clé de registre : [KKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa]:’’FPNWCLNT3’’=reg_multi_sz:PASSFILT Vulnérabilité de passfilt : 6 caractères minimum sont imposés avec seulement 2 caractères de type différents obligatoires.

    40. Durcissement des mots de passe Serveurs Unix Remplacer la commande passwd par un programme comme Npasswd. Associer aux systèmes fonctionnant avec PAM, un module de vérification de la force des nouveaux mots de passe comme CrackLib ou pam_passwdqc

    41. Durcissement des mots de passe Règles de constitution La longueur du mot de passe doit être au minimum de 8 caractères. Utiliser au moins un caractère Majuscule, un en minuscule, un chiffre et un caractère non alphanumérique. Ne jamais faire référence à une information liée à l’utilisateur, au système, à l’entreprise etc .. Ne jamais utilisé un mot pouvant être référencé dans un dictionnaire (français, anglais, technique ou autre)

    42. Durcissement des mots de passe Méthodes de constitution Combiner deux mots existants en introduisant des chiffres et des caractères de ponctuation. Utiliser des mots écrits en phonétique Utiliser les premières lettres d’une phrase, d’une adresse etc ..

    43. Et Ensuite ? Contrôler les succès et surtout les échecs d’authentification en mettant en place un audit. En cas d’échecs répétés, verrouiller les comptes utilisateurs concernés. Imposer des changements périodiques de mots de passe. Ne pas utiliser le même mot de passe pour tous les systèmes utilisés. Surtout en tant qu’administrateur. INFORMER et FORMER les utilisateurs !!!

    44. Les mots de passe applicatifs Il faut aussi prendre en compte les mots de passe des applications comme : FTP,Telnet,POP, http etc … Ces applications ont tendance a envoyer les mots de passe en clair. Une seule vrai parade : chiffrer la connexion ou utiliser des méthodes d’authentification forte avec certificats.

    45. Références Dossier Authentification : MISC n°15 (Octobre 2004) MISC n° 2 et n°5

    46. Ressources L0phtCrack : www.atstake.com/research/lc4/ Dsniff : Naughty.monkey.org/~dugsong/dsniff John the Ripper : www.openwall.com/john

More Related