Repository non ufficiali: differenze tra le versioni

Vai alla navigazione Vai alla ricerca
mNessun oggetto della modifica
m (→‎Marillat Repository: aggiunti commenti)
Riga 1: Riga 1:
==Premessa==
==Installazione Pacchetti==
Di seguito riporto un elenco delle principali variabili del kernel relative a netfilter impostabili a run-time.


Per ciascuna di esse � indicato:
Prima di iniziare a parlare di crittografia e chiavi, installiamo l'occorrente con un semplice:
* nome della variabile;
* tipo (booleano, integer, ecc ...);
* una breve descrizione.


Queste variabili possono essere impostate in vari modi. Ad esempio potremmo scrivere in un terminale (o inserire in uno script):
<pre>
# apt-get install gnupg openssl
</pre>


# echo $VAL > /proc/sys/net/VARIABLE
Come tutti saprete, per esser sicuri che i dati passanti per la rete siano lontani da sguardi indiscreti, e' necessario avvalersi della crittografia. Esistono fondamentalmente due tipi di crittografia: a chiavi simmetriche e a chiavi asimmetriche (o chiavi pubbliche).


dove $VAL � il valore booleano o intero che si vuole assegnare alla variabile ''VARIABLE''.
==Chiavi simmetriche==
La caratteristica fondamentale � l'esistenza di un'unica chiave utilizzata per codificare il testo in chiaro e per decodificare quello cifrato. C'� inoltre da dire che gli algoritmi simmetrici sono pi� veloci di quelli a chiave pubblica. Vediamo in pratica ora come si pu� crittografare un testo con blowfish.


Per impostare alcuni variabili al boot possiamo editare <tt>/etc/sysctl.conf</tt> aggiungendo:
<pre>
davide@portatile:~$ openssl
OpenSSL> bf -in testoInChiaro.txt -out testoCifrato.txt
enter bf-cbc encryption password:
Verifying - enter bf-cbc encryption password:
OpenSSL> exit
</pre>


net/VARIABLE = val


notare che � stato omesso <tt>/proc/sys</tt>.
Verifichiamo che sia realmente crittografato:


Altra documentazione (in inglese) si trova allegata ai sorgenti del kernel all' interno di '''Documentation/networking/ip-sysctl.txt'''
<pre>
davide@portatile:~$ vi testoCifrato.txt
Salted__��X??��m�����>EEX?���&��iu?��j�1��??D�_�3
</pre>


Buona lettura!
Bene. Ora proviamo a riportarlo in chiaro:


==Variabili a run-time==
<pre>
davide@portatile:~$ openssl
OpenSSL> bf -d -in testoCifrato.txt -out testoDiNuovoInChiaro.txt
enter bf-cbc decryption password:
OpenSSL> exit
</pre>


'''ip-forward (boolean)'''
E si pu� verificare che � tornato allo stato originale.
Permette il forwarding dei pacchetti


'''ipfrag_high_thresh (integer)'''
==Chiavi asimmetriche==
Massima memoria utilizzabile per riassemblare i pacchetti frammentati. I pacchetti eccedenti vengono scartati fino a che non si raggiunge nuovamente la soglia settata da '''ipfrag_low_thresh
In questo caso la chiave usata per cifrare e decifrare non e' la stessa. Infatti una e' utilizzata solo per cifrare(la chiave pubblica) e l'altra solo per decifrare(la chiave privata). Di conseguenza le due chiavi devono essere fortemente connesse tra di loro.
La chiave pubblica, come dice il nome, deve esser resa pubblica a tutte le persone che vogliono parlare con me in maniera sicura. Ad esempio io posso pubblicarla sul mio sito oppure spedirla via mail. La chiave privata � solamente mia e non va assolutamente trasmessa via mail.


'''ipfrag_time (integer)'''
Vediamo ora sul lato pratico come si procede.
Tempo massimo per mantenere un frammento IP in memoria


'''tcp_syn_retries (integer)'''
Per generare una chiave usiamo gpg:
Numero massimo di tentativi di ritrasmissione per stabilire una connessione (valore max=255)


'''tcp_synack_retries (integer)'''
<pre>
Idem come sopra, ma per le connessioni passive
davide@portatile:~$ gpg --gen-key
gpg (GnuPG) 1.2.4; Copyright (C) 2003 Free Software Foundation, Inc.
This program comes with ABSOLUTELY NO WARRANTY.
This is free software, and you are welcome to redistribute it
under certain conditions. See the file COPYING for details.


'''tcp_keepalive_time (integer)'''
Per favore scegli che tipo di chiave vuoi:
Indica quanto spesso verr� inviato il messaggio TCP KEEPALIVE
  (1) DSA e ElGamal (default)
  (2) DSA (firma solo)
  (4) RSA (firma solo)
Cosa scegli?
</pre>


'''tcp_keepalive_probes (integer)'''
Scegliamo la prima opzione, in quanto le altre due consentono solamente di firmare.
Indica quanti pacchetti TCP PROBES inviare prima di considerare la connessione BROKEN


'''tcp_keepalive_interval (integer)'''
<pre>
Indica quanto frequentemente vengono inviati i pacchetti TCP PROBES. Moltiplicando questo valore per il '''tcp_keepalive_probes''' si ottiene il timeout per il KILL di una connessione
Cosa scegli? 1
La coppia DSA avr� 1024 bit.
Sto per generare una nuova coppia di chiavi ELG-E.
              la dimensione minima �  768 bit
          la dimensione predefinita � 1024 bit
  la dimensione massima consigliata � 2048 bit
Di che dimensioni vuoi la chiave? (1024)
</pre>


'''tcp_retries1 (integer)'''
Qui scegliamo la dimensione massima...
Numero di tentativi/richieste prima che al network layer del kernel venga segnalato che qualcosa non va


'''tcp_retries2 (integer)'''
Quindi decidiamo la validit� della chiave...
Numero di tentativi/richieste prima che una connessione TCP '''attiva''' venga terminata


'''tcp_orphan_retries (integer)'''
Poi si segue la procedura che fa' inserire alcuni dati e alla fine vengono create le due chiavi.
Idem come sopra, ma senza considerare attiva la connessione


'''tcp_fin_timeout (integer)'''
{{Box|Nota|La passphrase che viene richiesta e' consigliabile sceglierla particolarmente lunga e complicata.}}
Indica per quanto tempo mantenere una connessione in stato FIN WAIT 2


'''tcp_max_tw_buckets (integer)'''
Per vedere le chiavi nel nostro portachiavi si utilizza il comando:
Numero massimo di sockets simultanee in timewait mantenute dal sistema


'''tcp_max_orphans (integer)'''
<pre>
Numero massimo di sockets TCP che possono rimanere non collegate a ''file handlers'' aperti dal sistema
davide@portatile:~$ gpg --list-keys
/home/davide/.gnupg/pubring.gpg
-------------------------------
pub  1024D/84050639 2005-01-18 Paolo Rossi (Prova) <paolo.rossi@libero.it>
sub  1024g/C02A6DF1 2005-01-18
</pre>


'''tcp_abort_on_overflow (boolean)'''
Se voglio esportare la mia chiave pubblica posso procedere cos�:
Permette il reset di una connessione se un servizio in LISTENING � troppo lento nella risposta


'''tcp_syncookies (boolean)'''
<pre>
Opzione valida solo se il kernel � stato compilato con il supporto dei SYNCOOKIES, previene possibili attacchi di tipo ''syn flood''
davide@portatile:~$ gpg --armor --export Paolo Rossi 
(l'opzione --armor mi indica che voglio esportare la chiave in formato ASCII)
-----BEGIN PGP PUBLIC KEY BLOCK-----
Version: GnuPG v1.2.4 (GNU/Linux)


'''tcp_timestamps (boolean)'''
mQGiBEHs9lYRBADL2Pke4aVfdx62B25cRvV8A78V6lw6kS50kx2eeFiKdjRmfpr1
Abilita/disabilita il timestamp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=UFTN
-----END PGP PUBLIC KEY BLOCK-----
</pre>


'''tcp_ecn (boolean)'''
Cos� io posso prendere il testo e salvarlo.
Abilita/disabilita la notifica di possibili congestioni della rete


'''ip_local_port_range (2 integers)'''
Quando voglio importare una chiave pubblica:
Definisce l' intervallo delle porte locali utilizzate da TCP e UDP. Il primo valore � l' estremo inferiore ed il secondo quello superiore dell' intervallo. Il valore di default dipende dalla memoria ram disponibile.


'''ip_dynaddr (boolean)'''
<pre>
Se diverso da 0, abilita il supporto per gli indirizzi dinamici
davide@portatile:~$ gpg --import chiaveMario.gp
</pre>


'''icmp_echo_ignore_all (boolean)'''
Vediamo ora come si usa:
Ignora i ''ping'' (ICMP ECHO REQUEST)


'''icmp_echo_ignore_broadcasts (boolean)'''
<pre>
Se settato (deve esserlo anche il precedente) il sistema ignora i ''ping'' verso indirizzi di broadcast e multicast
davide@portatile:~$ gpg --encrypt --output testoSegreto.txt --recipient Prova testoInChiaro.txt
</pre>


'''log_martians (boolean)'''
Dove Prova e' il commento per la chiave pubblica del nostro destinatario. (Vedi sopra).
Logga i pacchetti provenienti da indirizzi IP impossibili


'''accept_redirects (boolean)'''
Bene. Proviamo a decifrarla con la chiave privata, fingendoci il destinatario.
Abilita la ricezione di pacchetti ICMP REDIRECT


'''forwarding (boolean)'''
<pre>
Abilita il forwarding per una specifica interfaccia
davide@portatile:~$ gpg --decrypt --output decifrato.txt testoSegreto.txt


'''proxy_arp (boolean)'''
Ti serve una passphrase per sbloccare la chiave segreta
Abilita il proxy ARP
dell'utente: "Paolo Rossi (Prova) <paolo.rossi@libero.it>"
chiave ELG-E di 1024 bit, ID C02A6DF1, creata il 2005-01-18 (key ID principale 84050639)


'''secure_redirects (boolean)'''
gpg: cifrato con la chiave ELG-E di 1024 bit, ID C02A6DF1, creata il 2005-01-18
Accetta ICMP REDIRECT solo dai gateways configurati
      "Paolo Rossi (Prova) <paolo.rossi@libero.it>"
</pre>


----
Bene, visto che funziona, facciamo un passo avanti. Con la nostra
chiave privata si pu� inoltre "firmare".Cos� sono sicuro
della provenienza dell'e-mail. Spesso le due tecniche vengono combinate:
prima la mail viene cifrata con la chiave pubblica del destinatario, poi
con la mia chiave privata, dando la certezza praticamente assoluta della
provenienza della mail al destinatario. Infatti le mail che hanno
la firma digitale non possono essere ripudiate, ovvero il mittente non
potr� negare di aver mandato suddetta mail.


Autore: [[Utente:Keltik|Keltik]] 13:28, Jun 11, 2005 (EDT)
 
[[Categoria:Server]][[Categoria:Firewalling]]
--
Autore: darco
 
==Commenti==
''di gad--''
 
Non capisco propio perch� hai usato openssl per la cifratura a chiavi simmetriche e gpg per quella con chiavi asimmetriche. Per precisione � meglio dire che anche con openssl puoi criptare con la chiave pubblica. Ti riporto un esempio:
 
<pre>
# generi la chiave privata di lunghezza 1024 con l'algoritmo di cifratura des3
 
openssl genrsa -out rsaprivatekey.pem -des3 1024
 
# crei la chiave pubblica
 
openssl rsa -in rsaprivatekey.pem -pubout -out rsapublickey.pem
 
# a questo punto hai la coppia di chiavi. Usi la chiave pubblica x criptare il testo
 
openssl rsautl -encrypt -pubin -inkey rsapublickey.pem -in testodacifrare.txt -out testocifrato.txt
 
# lo riporti in chiaro applicando la chiave privata
 
openssl rsautl -decrypt -inkey rsaprivatekey.pem -in testocifrato.txt -out testoinchiaro.txt
</pre>
 
 
'''''Osservazione sul commento di gad:'''''
 
Sembra che con RSA puro si possa cifrare una quantit� di dati molto limitata (dipende dalla lunghezza della chiave, comunque si parla di 117 byte per chiavi di 1024 bit) quindi nella maggior parte dei casi pratici l'esempio sopra non pu� essere applicabile direttamente.
Solitamente infatti si usa RSA per cifrare una chiave casuale che viene usata per cifrare il file con un algorimo simmetrico. Sembra che non sia possibile fare questo in modo banale con openssl (occorre fare diversi passaggi e distribuire le informazioni in file separati, per un esempio vedere http://www.dmst.aueb.gr/dds/secimp/crypto/indexw.htm al paragrafo "Case Study: Public Key Cryptography") a meno di non utilizzare la codifica S/MIME di cui parli sotto.
 
Scusate se il commento non � inserito nel modo pi� ortodosso ma passavo di qui per caso.
 
'''''Fine dell'osservazione sul commento di gad:'''''
 
Sono d'accordo con te quando dici che pgp � il pi� usato, perch� supportato da quasi tutti i client email. Comunque anche openssl comprende un protocollo specifico per criptare le email. Il protocollo S/MIME � Secure Multipurpose Internet Mail Extensions. Dunque i due software sono funzionalmente equivalenti, tranne per un aspetto rilevante: il modello di fiducia.
 
La differenza fondamentale tra i due sistemi � che mentre PGP utilizza una gestione "utente-centrica" delle chiavi pubbliche (il cosiddetto web of trust), S/MIME impiega una struttura gerarchica di certificazione (le Certification Authorities o CA).
 
S/MIME ha un modello di fiducia gerarchico, in cui "autorit� di certificazione" certificano l'identit� degli utenti (e questa � la struttura adottata anche dalla legislazione italiana), PGP adotta un sistema a rete, in cui gli utenti si certificano a vicenda: ogni utente mantiene la lista di chiavi pubbliche dei suoi corrispondenti (viene chiamata keyring), ognuna delle quali viene firmata con la propria chiave privata.
 
� possibile scambiarsi i keyring: alle chiavi importate (e quindi firmate dal proprietario) � possibile assegnare diverse gradazioni di "fiducia" che permettono di costruire il cosiddetto web of trust (l'equivalente della struttura gerarchica dei certificati). ... bla, bla , bla
 
Vi riporto anche un esempio di utilizzo:
 
<pre>
# cripti l'email con la chiave publica estrata dal certificato
openssl smime -encrypt -in mail.txt -des3 -out mail.enc cert.pem
# decripta l'email usando la chiave privata
openssl smime -decrypt -in mail.enc -recip cert.pem -inkey privatekey.pem -out mail .txt
# etc...
</pre>
 
P.S.: Spero, con questo contribuito, di aver aggiunto qualcosa in pi� all'articolo.
 
== Link ==
 
* [http://www.gnupg.org/gph/it/concetti.html Manuale GNU sulla privacy: Concetti] - Per approfondire i concetti di algoritmi simmetrici, asimmetrici o ibridi.
 
[[Categoria:Sicurezza]]
Estratto da "https://guide.debianizzati.org/index.php/Repository_non_ufficiali"