MITコース「コンピューターシステムのセキュリティ」。 講義13：ネットワークプロトコル、パート2

マサチューセッツ工科大学。 講義コース6.858。 「コンピューターシステムのセキュリティ。」 ニコライ・ゼルドヴィッチ、ジェームズ・ミケンズ。 2014年

コンピューターシステムセキュリティは、安全なコンピューターシステムの開発と実装に関するコースです。 講義では、脅威モデル、セキュリティを危険にさらす攻撃、および最近の科学的研究に基づいたセキュリティ技術を扱います。 トピックには、オペレーティングシステム（OS）セキュリティ、機能、情報フロー管理、言語セキュリティ、ネットワークプロトコル、ハードウェアセキュリティ、およびWebアプリケーションセキュリティが含まれます。



講義1：「はじめに：脅威モデル」 パート1 / パート2 / パート3

講義2：「ハッカー攻撃の制御」 パート1 / パート2 / パート3

講義3：「バッファオーバーフロー：エクスプロイトと保護」 パート1 / パート2 / パート3

講義4：「特権の共有」 パート1 / パート2 / パート3

講義5：「セキュリティシステムはどこから来たのか？」 パート1 / パート2

講義6：「機会」 パート1 / パート2 / パート3

講義7：「ネイティブクライアントサンドボックス」 パート1 / パート2 / パート3

講義8：「ネットワークセキュリティモデル」 パート1 / パート2 / パート3

講義9：「Webアプリケーションのセキュリティ」 パート1 / パート2 / パート3

講義10：「シンボリック実行」 パート1 / パート2 / パート3

講義11：「Ur / Webプログラミング言語」 パート1 / パート2 / パート3

講義12：ネットワークセキュリティパート1 / パート2 / パート3

講義13：「ネットワークプロトコル」 パート1 / パート2 / パート3



学生：サービスキーを使用して暗号化されているため、クライアントはこのチケットを解読できません。



教授：はい、それは本当に賢いですね。 クライアントが受信できるキーKc、sがありますが、チケットTc、sには、Ksで暗号化されたこのキーの別のコピーがあります。







これが行われる理由は、Kerberosサーバーが実際に他の人とのクライアントの通信を保護しようとしているためです。 したがって、KerberosはランダムキーKc、sを作成し、1つのコピーをクライアントに提供し、別のコピーをクライアントが通信するサーバーに提供します。 Kerberosが「ねえ、サービス、この男はあなたと話をしたい、これが鍵だ！」という言葉でサービスを呼び出すだけだと想像してください。 これは、Kerberosサーバーがすべての要求でサービスに何度もアクセスするため、残念です。 そのため、KDSはセッションキーの2つのコピーを作成します。1つはクライアント用、もう1つはTGS用です。



そのため、代わりに、開発者はクライアントにこのチケットを提供する良いトリックを思いつきました。彼は適切なサービスで彼に連絡する以外彼とは何もできません。 そして、このサービスが正しいKsキーを持っている場合、それを解読し、「ええ、これはこのクライアントと話すために使用しなければならないキーと同じです」と言います。 したがって、接続の参加者であるクライアントとサービスの両方が、接続を保護するための共通キーを確立します。



学生： TGSとは何ですか？



教授： TGSとは2つの見解があります。 クライアントの観点から見ると、これはチケットを取得できるもう1つのサービスです。 このサービスが提供する機能が多いほど、提供するチケットも多くなります。 これは実際にはチケットサービスです。



学生：申し訳ありませんが、TGSというチケットがあることを意味します。



教授：ああ、はい、申し訳ありません。この図の矢印の下にある碑文tgsは、パラメーターTc、sのインデックスsを除き、記録ブロック全体の略です。つまり、このサービスの実際の名前はTGSです。 Kerberosサーバーがあり、このTGSサービスがあり、到達したい実際のサービスがあることを想像できます。 そのため、最初に特定のサービスにアクセスするためのチケットを提供するようにKerberosに依頼する必要があります。







ファイルサーバーに直接チケットを渡すようにKerberosに依頼することもできますが、これは機能する可能性があります。 ただし、このためには、復号化のためと、サーバーを使用する残りの時間にKcが必要になります。 代わりに、特別なTGSサービスのチケットを取得します。 別のボックスに配置されることを除いて、他のサービスと同じように見えます。 また、元のKcカスタマーキーを再提供せずに、後でより多くのチケットをお渡しします。



学生：つまり、彼の考えは、TGSチケッ​​トを受け取ったらすぐにKcキーを取り除くことができるということですか？



教授：はい、これについての素晴らしいことは、TGSサービスからこのチケットTcを受け取るとすぐに、パスワードとキーKcを取り除くことです。 したがって、Athenaワークステーションにログインし、数秒後にチケットT、sを受け取るとすぐに、パスワードがメモリから削除されます。 だから誰かがあなたをつかんで、コンピューターを選択して彼と逃げたとしても、彼が持っているのはあなたのチケットだけです。 パスワードが保存されておらず、次にAthenaを入力するときに再度入力する必要があるため、彼が10時間またはチケットの期間中にあなたの情報にアクセスできれば良いのですが、それ以上はできません。



パスワードが必要なのは、Kerberosサーバーに要求を送信するときだけです。チケットでこの応答を受け取り、それを解読します。 その後、パスワードを忘れることができます。 ただし、もちろん、パスワードを使用して暗号化を解除することはできません。

したがって、このスキームの最初の上位インターフェイスCは初期キーKcでチケットを取得するために使用され、2番目の下位インターフェイスSはサービスにアクセスするために使用されますが、初期キーKcを取得する必要はありません。







そのため、Kerberosプロトコルの2つの特定の問題について既に説明しました。これらの問題は、それ自体に組み込まれているため、不便です。 最初に、作成者は暗号化によって認証またはメッセージの整合性も提供されると想定していましたが、これは起こりませんでした。 この欠陥は、明示的なメッセージ認証が実行されるKerberosバージョン5で修正されました。 第二に、任意のクライアントの場合、他の人のパスワードを推測する機会がありました。



これはどのように修正できますか？ この種のプロトコルでパスワードを推測して攻撃を防ぐ方法は？ 私たちは何を試すことができますか？



学生：よくわかりませんが、パスワードを「ソルト」してみてください。



教授： 「塩漬け」とは、単にクライアントがさまざまな方法でパスワードをハッシュする必要があることを意味します。 しかし、これはそれを拾おうとしても害はありません。 そのため、辞書を作成する方が費用がかかる場合があります。



学生：パスワードを計算する機能を複雑にすることができます。



教授：はい、別の良いアイデアはハッシュプロセスを非常に高価にすることです。 おそらくこれは合理的です。 したがって、2番目のラボで行ったように、このハッシュ関数に2秒の計算時間がかかる場合、この場合、パスワードの選択は非常に高価なタスクになります。 したがって、これは合理的な計画のように思えます-「塩漬け」と推測プロセスの複雑化の組み合わせを使用すること。



答えを複雑にすることは別の防御策かもしれません。 プロトコルの最初のバージョンでは、Kerberosサーバーは正しいクライアントがプロトコルにアクセスしているかどうかを知らなかったと聞きました。 できることは、あなたが正しいクライアントであるという証拠を提供することです。つまり、現在のタイムスタンプをパスワードハッシュなどで暗号化します。 次に、Kerberosサーバーはこれらのものの妥当性をチェックし、一致する場合はチケットを提供します。



おそらく、さらにテストステップを追加する必要はないでしょうが、それでうまくいくかもしれません。 今のところ、タイムスタンプを取得してキーKcと一緒にハッシュし、タイムスタンプを追加するだけでよいと仮定します。







この場合、サーバーはKcキーを持っていることを確認でき、現在のタイムスタンプをハッシュすることもできます。 同じ値を受け取った場合、リクエストはおそらくチケットを送信できる正しいユーザーによって行われます。 そうでない場合は、間違ったパスワードでした。



学生：サーバーが提供するリクエストが多すぎる場合、チケットの発行を制限できます。



教授：まったくその通りです。制限を導入できます。 ただし、ハッカーがサーバー上のチケットを複数回要求する理由はありません。 彼は単に特定のユーザーを要求し、この暗号化されたブロックを彼から受け取り、2回目のリクエストなしで異なるパスワードを使用して、必要な回数だけオフラインで復号化を試みることができます。 したがって、保護の全体的なポイントは、攻撃者がサーバーを繰り返し要求し、異なるパスワードでシステムに入ろうとすると、サーバーが呼び出しの数に何らかの形で反応することだと思います。 この場合、リクエストの制限に達する可能性があるため、ハッキングに対する保護が強化されます。



学生：攻撃者はどのようにしてKerberosサーバーにリクエストを送信できますか？



教授：彼は正しいユーザーのメッセージを再現できると思います。つまり、それを見て、コピーして、送信して、Kerberosサーバーから応答を受け取ることができます。 ハッカーがネットワークをスキャンすると、送信中にメッセージを傍受できます。 そのため、リクエストの数を制限することは、セキュリティをわずかに向上させる一時的な手段です。 しかし、もちろん、他の人のネットワークを見ると、Tc、sの形成の段階で何が起こったかに関係なく、このパケットがサーバーからどのように返されるかがわかります。 そのため、ハッカーはサーバーのクライアントへの応答を確認し、攻撃を試みることができます。



おそらくもっと複雑なスキームを開発できるかもしれませんが、Kerberos 5がレビューした計画よりも複雑なものを実装しているとは思いません。パスワードをクラックさせる。



学生：認証などを提供して、共有キーを確立できるとします。 そして、このことと共有キーをKcで暗号化できます。



教授：はい、そうです。 本当に正しく実行する場合、このために、パスワード認証を実行するパスワード認証キー交換（PAKE）というプロトコルがあります。 これはまさにKerberosで起こることです。







GoogleでSRPまたはPAKEプロトコルの目的を確認できます。 これらのプロトコルとそれに関連する要素は、新しいキーをインストールしたことを双方に証明する必要があるタスクで、はるかに優れています。 この場合、両当事者は互いの正当性とそれを確信する必要があり、このパスワードをオフラインで推測したり、監視しているネットワークパケットのセットを攻撃するなどの方法はありません。



これらは暗号化に大きく依存するプロトコルであるため、それらが機能する理由をボード上で説明するのは困難です。



学生：開発者がこれを行った理由の1つは、パスワードのみを送信する機能をサポートしたかったためです。 また、プロトコルでは、オーセンティケーターとして送信できるのは1つだけです。



教授：はい、これらの人が考慮に入れた多くの奇妙な要件があります。 もちろん、実際には、これらのサーバーはKerberos接続と非Kerberos接続の両方を受け入れることができます。 また、Kerberos以外の接続の場合、誰かがメールサーバーに接続しているが、Athenaワークステーションを使用していないかのように見えます。 彼はパスワードを送信したいだけです。







そして、ここのメールクライアントは、たとえば、このパスワードを取得し、確認のためだけにチケットを取得して、このメールクライアントを使用できるようにします。 そのため、おそらくKerberosでKerberosパスワードを検証する必要があります。 もちろん、Kerberos 5はこのタイムスタンプハッシュなどを展開するので、これが問題外だとは思いません。



講義資料で注意すべきもう1つの点は、Kerberos 4の開発者が1つの暗号化スキームを選択したことです。DESは、当時最も人気のある暗号化アルゴリズムです。 これは対称ブロック暗号であり、非常に高速です。 当時、それは十分なセキュリティを提供し、彼らは単にそれをプロトコルに組み込みました。



KerberosのすべてがDESのみを使用するか、少なくともKerberosバージョン4のすべてを使用することになっています。これは、現在25〜30年後に、暗号化キーが非常に小さいサイズ-56ビットのみ。



したがって、2〜56度の組み合わせを計算し、実際のパスワードを見つける何らかの種類のユーザー機器を簡単に作成できます。 これは、現在開発中のプロトコルでは避けたいものです。



Kerberosバージョン5は、AESやその他の暗号化アルゴリズムなど、いくつかの異なる暗号化スキームをサポートしています。 したがって、これはセキュリティを確保するためのはるかに優れた方法のようです。 一方、MITは2年前にDESをサポートし続けていましたが、現在は拒否しています。そのため、今日、少なくともこのタイプの攻撃から学長は保護されています。 次に、チケットを受け取るTGSサービスで何が起こるかを見てみましょう。 このサービスとの相互作用は少し異なります。



一方では、クライアントとして、あたかも他のKerberos対応サービスと話しているかのように、彼と話します。 マシンへのチケットを使用して独自の認証を実行する方法を検討してください。 ただし、返される回答は、他の原則への単なるチケットであり、それに基づいて、たとえばファイルサーバーと通信します。



したがって、プロトコルレベルのメッセージは次のようになります-右側はTGSを描画し、左側はクライアントを描画します。 クライアントには、上部に示されているプロトコルを使用して取得したTGSのチケットが既にあります。







クライアントは、自分が正しいクライアントであることを証明するメッセージの組み合わせを送信します。これらのメッセージは、TGSを介した特定の原則に基づくリクエストの発行に関連しています。



したがって、クライアントは次のメッセージをTGSに送信します。Sはさらに通信するサービスです。メールサーバーまたはファイルサーバーの場合があります。これには、キーK tgsを使用して暗号化されたtgsに対して受信したTcクライアントチケットが含まれますキーKc、クライアントおよびTGSサービスに共通のtgsで暗号化された認証システム。 TGSに送信するメッセージは次のようになります。「このメッセージを見て、それを処理し、この新しいSサービスへのチケットで返信します。」 ここでの答えは上の図とほぼ同じに見えますが、実際は同じです。これは、Ksを使用して暗号化されたクライアントとこの新しいサービス間のチケットです。 しかし、今では少し異なります。







クライアントがそれ以降忘れていたKcキーによる暗号化の代わりに、クライアントとTGSサービス間の共通キーKc、tgsを使用して暗号化が実行されるようになりました。



サーバーは、クライアントが何を望んでいるかをどのように判断し、サーバーはどのようにクライアントを認証しますか？ TGSサーバーは自身のKtgsキーを知っているため、最初にこのメッセージTc、tgsを解読し、チケットの内部を見て、何が起こるかを調べます。 チケットにこれらすべてのフィールドが必要なのはなぜですか？ チケットにサーバー名Sを付けることが重要なのはなぜですか？ Sがなかったらどうなるでしょうか？



学生：なかった場合、サーバーを使用する許可を得る可能性があります。



教授：はい、そうです。 一般に、このメッセージの意味を正確に伝えることができるように、ネットワークプロトコルを作成することをお勧めします。 Sを省略する場合、間違ったSのチケットを使用すると、別のキーKsがあり、復号化などを実行できない可能性があるという事実に依存できます。 したがって、これらのチケットを受信するサーバーがそれらを復号化し、これが私または他の誰かのためのチケットであるかどうかを確認するために、サービスの名前を含めることは良い考えのように思えますか？



学生：クライアントは受け取ったKtgsキーで何をしますか？



教授：いい質問です！ クライアントはそれが何であるかを知りません。 それは最高の秘密鍵だからです。 知っていれば、すべてのKerberosを解読できます。 したがって、クライアントはKtgsが何であるかわかりません。



学生：このKtgsはどこから来たのですか？



教授： Kerberosサーバー自体がすべてのこのメッセージを生成します。Tc、tgs、およびKtgsが既に含まれているため、自分で作成するのではなく、ここからコピーするだけです。



では、なぜ顧客名がそんなに重要なのでしょうか？ これは簡単に理解できます。 チケットにクライアントの名前を付けない場合、サーバーはこのメッセージを受け取りますが、誰が話しかけようとしているのかわかりません。 彼は誰のためにチケットを発行すべきかを知りません-あなたのために、または他の誰かのために。



他のフィールドはどうですか？ 開発者がTc、sチケットにaddrアドレスを挿入するのはなぜですか？ クライアントのIPアドレスだけなので、直接使用しないのはなぜですか？







このソリューションの意味は、開発者がセキュリティを高めたいという願望だと思います。 クライアントが特定のIPアドレスからログインした場合、同じチケットの他のすべてが同じIPアドレスからのものであることを確認したかったのです。 たとえば、18.26.4.9などのIPアドレスからログインしている場合、ファイルまたはメールサーバーへの各接続は同じIPアドレスからのものでなければなりません。 そうでない場合、誰かがあなたのチケットを盗んだことを示唆する可能性があるため、サーバーは接続を拒否する必要があります。 したがって、ここでは盗難チケットの使用から身を守ります。 まだ同じチケットを持っている場合-結構ですが、同じIPアドレスを使用しないと成功しません。



これは現時点では誤解のように思われ、Kerberos 5は同様のアプローチを使用していますが、これは必須ではありません。 実際、IPアドレスを保護するのではなく、単に暗号化に頼るべきです。



しかし、チケットのタイムスタンプとライフタイムスタンプの意味は何ですか？ それらは何のために、何のために役立つのでしょうか？



学生：リプレイ攻撃を防ぐために必要です。

教授：オーセンティケーターは、リプレイ攻撃の防止に役立ちます。これは、新しいリクエストを行うたびにリプレイ攻撃が生成されるためです。 しかし一方で、チケットは同じままなので、これはもちろんリプレイ攻撃を妨害しません。



学生：これは、誰かがあなたのチケットを盗み、それを自分の目的に使用することを防ぎます。

教授：はい、これはチケットの有効期間を制限するだけなので、盗難による被害が軽減されます。 タイムスタンプはチケットを受け取った時間であり、ライフタイムはこのチケットが最初のタイムスタンプから有効な時間を示します。 したがって、早すぎたり遅すぎたりしようとすると、サーバーはKerberosプロトコルを使用してそのようなチケットを拒否する必要があります。 これは、各サーバーがクロックを同期する必要があることを意味します。



学生：クライアントは最初のキーを捨ててKcを破棄できますが、TGSから受け取ったKcを保存しなければならないことを先に述べました。



教授：はい、クライアントはログイン後にKcをドロップしますが、Kc、sを維持する必要があります。



: , - K,s, …



: , , ? , Kc,tgs, K?



: K,s, , K, .







: . , Kc,s — , , . , Tc,tgs, . , 56 Kc,s. . , Tc,tgs , Kc,s , - .



: , - — Tc,tgs, Kc,tgs, Kc,tgs, Kc — .



: , - , , , , 10 . Kc , .



, , , IP-, . - , , Kc,tgs, TGS. — , , , .



, , , . , , . TGS , , PO12, TGS PO12. , , Kc,s . , , . Kc,s.







, , Tc,mail, Kmail, , , , 5 – DELETE 5, Kc,mail.







, mail? Kmail, - , , Kc,s, Kerberos 5. : «, C , ».



: Kerberos Tc,tgs Kc,s. ?



: Ac . , Kc,s, , . , .







, Kerberos 4 , , , , , , , .



, , , , . , . , , . , , , , . , .

. Kerberos, , , Kerberos 4. , - .



, , , , , Kerberos 4, , , K,mail. , .







, , . , , . - : «, , DELETE 5, - ».



, Kerberos 5 -, . , , , , , .



: K,mail?



: .







, TGS , , S – mail, S Tc,s – mail, S Kc,s — mail. Kc,s K,mail. , .



: K,mail?



: , ? , , . K,mail ?



: ?



: , , ! Kmail, T,mail, , . , , .



, . . Kerberos , , 30 .

, , . , Kerberos 4 . , .



54:00



MITコース「コンピューターシステムのセキュリティ」。 13: « », 3





コースの完全版はこちらから入手できます 。



ご滞在いただきありがとうございます。 ? より興味深い資料を見たいですか？ , 30% entry-level , : VPS (KVM) E5-2650 v4 (6 Cores) 10GB DDR4 240GB SSD 1Gbps $20 ? （オプションはRAID1およびRAID10、最大24コア、最大40GB DDR4で利用可能です）。



VPS（KVM）E5-2650 v4（6コア）10GB DDR4 240GB SSD 1Gbpsまで 6か月の期間を支払う場合は12月まで無料で 、 ここで注文できます 。



Dell R730xdは2倍安いですか？ オランダと米国で249ドルからIntel Dodeca-Core Xeon E5-2650v4 128GB DDR4 6x480GB SSD 1Gbps 100 TVを2台持っているだけです！ インフラストラクチャの構築方法について読む クラスRは、1米ドルで9,000ユーロのDell R730xd E5-2650 v4サーバーを使用していますか？