7. Internet Application Layer Protocols. 8. Network security. Hoorcollege IUW 24 januari 2017 Christof van Nimwegen

Transcriptie

1 7. Internet Application Layer Protocols 8. Network security Hoorcollege IUW 24 januari 2017 Christof van Nimwegen

2 H7: De Internet Application Layer OSI Model TCP/IP Model Application Presentation Application Applicatio Session n Transport Transport OSI & TCP/IP Network Internet Data Link Physical Internet Internet Network Access 2

3 Internet Application Layer Protocols Client-Server Applicaties Browsers (al gezien in Web colleges, opdracht) HTTP, FTP, , DNS, POP, SSH, SIP,.. Communication S C = Client S = Server c Local Computer Remote Computer

4 Content downloaden met een URL: naam

5 Content downloaden met een URL: nummer

6 Domain Name System (DNS) Internet: IP-protocol gebruikt een 32-bit numeriek adres, decimaal format (IPv4), bv.: bit adres, hexadecimal (IPv6) Niet handig voor mensen om te onthouden Domain Name System (DNS): text ipv. Nummers Domein: een groep computers die bij elkaar horen, bv. doordat op zelfde plaats staan, of zelfde business Top Level domains, b.v.:.nl,.com,.net,.org, mi, biz,

7 Domain Name Server Domain Name System server: een computer die verzoeken van client machines vertaalt naar numerieke IP addressen Het gehele systeem is gedistribueerd Als een lokale DNS server het kan komt het resultaat meteen terug naar de client DNS server for staffs.ac.uk Request for Reply = Sable.soc.ac.uk Indien niet, via andere DNS servers. Etc. Etc.

8 Heel snel.. 8

9 Telnet Client & Server c Telnet Client S Telnet Server

10 Remote Access & het Telnet Protocol Op afstand een computer benaderen is heel normaal, maar dat was niet altijd zo Telnet (Terminal emulatie) was een vroege variant (is er nog steeds) Samen met FTP één van de twee eerste applicatieprotocollen op ARPANET

11 Security van Telnet, FTP Telnet en FTP zijn NIET veilig, passwords gaan onversleuteld over het netwerk Secure Shell (SSH) is een vervolg protocol met de functionaliteit van Telnet, maar veiliger omdat de passwords versleuteld zijn.

12 PuTTY: een SSH Client

13 File Transfer Protocol: FTP (en SFTP) Een FTP verbinding wordt gelegd net als bij Telnet De sessie is actief totdat de client beëindigt (of een fout) Data transfer kan in ASCII of binary mode (gaat meestal automatisch)

14 FTP Transfer Modes 2 connecties, op 2 poorten (control, en data)!! Als de file is aangekomen wordt de data connectie verbroken Als de gebruiker uitlogt wordt de command verbinding gesloten Client Server c S Internet Data Connection Control Connection

15 Secure FTP: veiliger (bv. Filezilla)

16 FTP kan op diverse manieren Command-line Web browser-based GUI-based (bv. Filezilla)

17 Webcontent natuurlijk ook via CMS! Zoals ook in Shopsec Fouten voorkomen Voor iedereen bruikbaar, geen specialist nodig Vaak via de browser Styles goed geïmplementeerd 17

18 Electronic Mail ( ) Bestaat al een jaar of 30 Was eerst niet meer dan veredelde file transfer Eerst geen feedback of attachments mogelijk Server (Post Office) S c Sender s Client c Receiver s Client

19 Adres: 2 delen, naam ontvanger, en na het postkantoor Dit postkantoor is wederom een DNS naam met een IP adres Om het postkantoor te bereiken is het 1e deel niet nodig

20 SMTP Idee: maak onderscheid tussen de envelop (envelop is voor routing, met adressering etc) en de inhoud Return-Path: Received: from camcord2-smrly1.igtei.net (camcord2-smrly1.igtei.net [ ]) by mail.staffs.ac.uk (8.9.1/8.9.1) with ESMTP id VAB18434 for Sun, 13 May :25: BST) From: Received: from ae1.travelweb.com (ae1.travel.com [ ])by camcord2-smrly1.gtei.net (Postfix) with ESMTP id 33E18481A for Sun, 13 May :25: (GMT) Received: from ae1 (localhost [ ]) by ae1.travel.com (8.9.3+Sun/8.9.3) with SMTP id NAB08430 for Sun, 13 May :25: (MST) Date: Sun, 13 May :25: (MST) To: Subject: Confirmed Reservation Notification Content-Type: text/plain Content-Transfer-Encoding: 7bit Mime-Version: 1.0 Message-ID: THANK YOU FOR CHOOSING BIG HOTELS. WE LOOK FORWARD TO YOUR STAY WITH US.

21 Multipurpose Internet Mail Extensions (MIME) berichten kunnen nog wel in ASCII, maar om iets mee te sturen is meer nodig Er zijn vele verschillende typen attachments Nodig: een standaard manier voor zender en ontvanger om dit te definiëren Meest gebruikte standaard: MIME MIME laat ook andere talen met andere leestekens toe, zoals Arabisch of Chinees

22 DNS: ook bij Internet Router Switch Local DNS Server Local DNS Server Response: yahoo.co.uk = Client Client Computer Request: What is yahoo.co.uk?

23 DNS: vervolgens Q: Has a_person got a mailbox in my post office? Mail Server A: Yes! diane_lagoa frank_albufeira norman_barreiro francis_leira a_person john_smith etc.

24 van de server halen De is nu aangekomen, het 2e deel begint, het ophalen Ook weer een DNS query om de mail server s IP adres te vinden De ontvanger kan checken of er post in de mailbox is en dit downloaden

25 Mail protocollen Post Office Protocol (POP) IMAP Veelgebruikt protocol om mail op te halen Versie 3 (POP3) is de laatste versie Alternatieve, krachtigere en complexer protocol voor POP3 Betere authenticatie, POP3 is minder veilig Handig bij meerdere mailboxen tegelijkertijd mogelijk

26 Web Browser-based Met Web mail is HTTP weer het meestgebruikte protocol Mail kan altijd vanaf overal gecheckt

27 Streamen i.p.v. downloaden 27

28 Streaming Audio Was een uitdaging. Hiervoor was het internet niet ontworpen. Toch goed mogelijk tegenwoordig Wachten tot een file binnen is duurt te lang Streaming audio omzeilt dit De streaming client is een mediaspeler, bv. Winamp, RealPlayer of Microsoft Windows Media Player The server is meestal een speciale media server geoptimaliseerd voor de taak

29 Real Time Streaming Protocol (RTSP) RTSP Emuleert CD or DVD player commando's, bv. Play, Fast-forward, Fast-rewind, Pauze en Stop Je klikt ergens op en een meta file word gedownload Deze meta file heeft titels, locatie etc. Muziek begint meteen te spelen

30 RTP - Realtime Transport Protocol RTP: over UDP, geen correctie of flow control RTP doet timestamping en sequence nummers, dus samples kunnen in de juiste volgorde gegeven worden, zelfs als ze in verkeerde volgorde arriveerden Door timestamping synchronisatie van multiple streams mogelijk (bv. audio en video stream) RTP kan ook gebruikt worden voor VoIP en video on demand

31 VOIP Protocollen RTP over UDP en IP om audio te transporteren tussen IP telefoons Bv. Session Initiation Protocol (SIP) TCP/IP application-layer protocol Werkt samen met RTP, UDP and IP SIP Server IP Phone IP Phone

32 SIP: easy! 32

33 Peer-to-Peer (P2P) File Sharing Aangesloten computers gelijkwaardig, geen vaste werkstations en servers, geen centrale server Veel gebruikt voor software distributie Bestanden in stukjes opgedeeld E.g. BitTorrent Veel gebruikt voor illegaal kopiëren, maar niet alleen Veel P2P al gesloten

34 Torrents 34

35 Instant Messaging (IM) vaak te langzaam Vaak weet je niet of het ontvangen is IM client software laat gebruiker inloggen bij speciale server De server maakt een bestand met een lijst van contacten Server laat zien wie er online zijn..

36 Microblogging Een microblog is een zeer kleine blog Vaak iemand s persoonlijke meningen Vaak ge-update Microblog hebben een woord / letter restrictie Twitter wss. het bekendste voorbeeld Ook social media sites zoals Facebook hebben een microblogging element, b.v. status updates Vervangt vaak al, vooral jongeren Hierdoor interessant voor cybercriminelen

37 H8: Network Security

38 +/- 1 jaar geleden.. 38

39 1 dag geleden 39

40 1 dag geleden 40

41 Tentamenstof H8 Cowley Enkele onderdelen van H8 zijn geen tentamenstof zijn, n.l.: t/m t/m

42 Authenticatie: met passwords Identificatie > Authenticatie Authenticatie: check of iemand is wie hij/zij zegt dat-ie is Niet zeer veilig (raden, stelen, sniffen) Veel mensen zijn onzorgvuldig in keuze passwords, en vervolgens slordig FTP & telnet verstuurden dergelijk info onversleuteld

43 Authenticatie: Ben je wel een mens? 43

44 Authenticatie: Intelligent Token Veiliger: een intelligent token dat een eenmalig password genereert Dit password wordt naar een beveiligde server gestuurd die het verifieert en de gebruiker laat inloggen Veel gebruikt in Internet bankieren 2 typen: Tijd synchroon Challenge response

45 Authenticatie: Time-Synchronous System Token en server moeten gesynchroniseerd zijn Random gegenereerd 1X per minuut door beiden Om in te loggen moet een gebruiker PIN plus het nieuwe random nummer invoeren

46 Authenticatie: Time-Synchronous System 2 User s PIN + Token-generated password The two passwords match, so server authenticates user A B C B 1 2 D < > V ENTER 9 1 Token generates password, using an algorithm, current time & user s secret key 4 Server does same operation as token to generate user s password Hardware Token 3 Server uses user s PIN to look up user s secret key in database Database of user PIN nos & keys.

47 Authenticatie: Challenge-Response System Gebruikers moeten een versleuteld nummer doorgeven dat het hetzelfde is als wat de server heeft gegenereerd

48 Authenticatie: Challenge-Response System 1 User s PIN Challenge Response 2 Server generates random number (challenge) Server authenticates user A B C B 1 2 D < > V ENTER 9 Hardware Token 4 Using secret key, user encrypts random number that token generates. This encrypted number is the response 3 Server looks up secret key using PIN & encrypts challenge 5 Database of user PIN nos & keys. Server compares encrypted challenge & response. If they match, it authenticates user

49 Authenticatie: b.v. Osiris Docent 49

50 Authenticatie: combineer met iets wat ik HEB Kerberos 50

51 Authenticatie: Biometrics Wat je BENT, iets VAN JOU doet de authenticatie Vingerafdruk, iris scan Je kunt het niet vergeten Maar het is vrij duur, en niet altijd even snel Maar.

52 Authenticatie: Biometrics 52

53 Authorisatie: Secure Single Sign-On Kerberos Client Authentication Server in Secure Location 1) client software 2) authenticatie server heeft database met versleutelde user identities. Staat op veilige plaats Application Server 3) application server

54 Vertrouwelijkheid: Encryptie Encryptie zorgt dat verstuurde info over een netwerk alleen door bepaalde partijen gelezen kan worden Encryptie: met een encryptie algoritme. Zolang het over het netwerk reist is het onleesbaar Een sleutel is nodig om ter ontcijferen. Het encryptie/decryptie algoritme vormt deze sleutel

55 Vertrouwelijkheid: Secret-Key Encryptie Is snel. 2 keer dezelfde sleutel De sleutel moet geheim blijven Hoe krijgen we de sleutel van de ene plaats naar de andere? Via een andere weg?

56 Vertrouwelijkheid: Secret-Key Encryptie (symetrisch) Alice encrypts message with private key To: Bob From: Alice Dear Bob... To: Bob From: Alice Bob decrypts message with same key

57 Vertrouwelijkheid: Public-Key Encryption (asymetrisch) Verschillende sleutels voor encryptie/decryptie Iedereen krijgt de encryptie sleutel, maar de decryptie sleutel blijft geheim

58 Vertrouwelijkheid: Public-Key Encryptie Certificate Authority CERTIFICATE CERTIFICATE Bob s Public Key Name: Address: Cert. No: Name: Address: Cert. No: Alice s Public Key Bob s Certificate Alice s Certificate To: Bob CC: From: Alice Date: Re: To: Bob CC: From: Alice Date: Re: Alice encrypts message with Bob s public key Bob decrypts message with his private key

59 Public Key Infrastructure (PKI) Public-key encryptie kan ondersteund worden door een PKI Een PKI is een officieel, organisatorisch en technisch raamwerk dat gebruikt wordt om public key cryptografie te ondersteunen. Het levert een Digital Certificaat, de public key van een gebruiker die digitaal ondertekend is Een Certificate Authority (CA) doet dit digital signeren

60 Secure Sockets Layer (SSL) SSL wordt gebruikt voor beveiligde Internet verbindingen Een icoontje van en hangslot indiceert dit De Web browser krijgt een digital certificaat van de website, en checkt dit weer bij de CA (is het nog geldig en niet verlopen, etc.).

61 Extended Validation-certificaat Indien links van adres gedeelte groen is geworden, is er een Extended Validation SSL (EV SSL) encryptie aanwezig Op zich niet perse veiliger dan veilig, maar laat zien dat het bedrijf zelf ook geauthentiseerd is

62 Secret- & Public-Key Encryptie in Combinatie Secret-key encryptie is snel Public-key encryptie veiliger Vaak gedaan: breng de sleutel over met public-key encryptie breng de data over met secret-key encryptie

63 Virtual Private Networks (VPNs) Een VPN is een privé, veilig data netwerk dat over een openbaar netwerk loopt zoals het Internet Alleen de 2 partijen aan het aan het einde van de lijn kunnen de data lezen VPNs zijn er grofweg in 3 typen: Remote-access VPN, bv. voor werknemers om veilig te kunnen afstands werken Site-to-site VPN gehele kantoren of bedrijven verbinden Extranet VPN laat een bedrijf of instelling bepaalde data delen met partners, leveranciers klanten of anderen

64 VPN Company HQ Remote VPN Client Encrypted Tunnel Internet

65 VPN 65

66 VPN Protocollen Non-IP gebaseerde VPNs (leased lines, Frame Relay of ATM, zeer hoge Quality of Service (QoS) IP-based VPNs, minder QoS maar toch veilig en goedkoper. Protocollen voor IP-gebaseerde VPNs: IP Security (IPSec) MPLS Secure Sockets Layer (SSL)/Transport Layer Security (TLS)

67 Firewalls Een systeem dat een netwerk of computer kan beschermen tegen misbruik van buitenaf Kan zijn voor inbound of outbound Kan softwarematig, of en combi met hardware Verbergen vaak de network addressen van individuele gebruikers Kunnen alle verdachte voorvallen opslaan en rapporteren. Legitimate Request Server Illegitimate Request Firewall Internet Illegitimate Request

68 DMZ Internet Firewall DMZ Web Server Trusted Internal Network

69 Verschillende typen Packet-Filtering Firewall Zeer basaal, routers kunnen dit Bepaalde IP addresses, of port numbers kunnen geblokkeerd worden Application Proxy Firewall Stateful Inspection Firewall

70 Gevaar.!...? Security is a Process 70

71 Denial of Service (DOS) Attack Bedoeling: een server verlammen Vele connectie requests gestuurd om geheugen vol te laten lopen of processorkracht aan te tasten Ook: Distributed Denial of Service (DDOS) attack (vanaf meerdere plaatsten), bv. Ping of Death/Smurf Attack

72 via Web Application Servers Aanvallen op Databases Web application servers zijn verbonden met databases die veel belangrijke en gevoelige informatie hebben, interessant voor criminelen. Dit maakt hen populaire doelen voor aanvallen (Buffer Overflow, SQL Injection)

73 Virussen Vermenigvuldigen zichzelf Hangt ergens anders aan vast (bv. , exe, bat, pif, scr zijn gevaarlijke extensies hier) Virus code runt alleen indien geopend Kan erg veel schade aanrichten Polymorfe virussen kunnen hun voorkomen steeds veranderen, moeilijker te vinden dus.

74 Worm, Trojan Horse Worm Kan zichzelf verspreiden van computer naar computer Zit niet aan een file vast Doel: zoveel mogelijk andere systemen infecteren Trojan Horse Verstopt zichzelf in een schijnbaar legitiem programma Gebruikers worden verleid tot installatie ervan Kan bv. Toetsaanslagen registreren

75 Malware.en Rootkits (je machine ongeveer overgenomen) Spam ( ) Spyware Phishing..

76 Ter afsluiting: WLAN (WIFI) security 76