Author(s): Dias, Paulo de Mendonça
Date: 2011
Persistent ID: http://hdl.handle.net/10451/8711
Origin: Repositório da Universidade de Lisboa
Subject(s): Certificados digitais; Perspectives; Segurança; Certification authority; SSL; Teses de mestrado - 2011
Tese de mestrado em Segurança Informática, apresentada à Universidade de Lisboa, através da Faculdade de Ciências, 2011
O acesso a serviços disponíveis na Internet expõe os utilizadores a diversos ataques, tal como o Man-in-the-Middle (MitM). As defesas para estes ataques, tais como autenticação mútua através de uma Public Key Infrastructure (PKI), baseiam-se em infra-estruturas complexas que os utilizadores não estão disponíveis para utilizar e suportar. A enorme aceitação de métodos de autenticação designados por “acto de fé” (leap-of-faith) ou “confiar na primeira utilização” (TOFU, trust-on-first-use), utilizado em implementações comuns de SSH e TLS/SSL, dão sinais claros da pré-disposição dos utilizadores em sacrificar a segurança em prol de uma melhor usabilidade. Aliás, este é um comportamento comum na vida quotidiana das pessoas. Se alguém se apresentar apenas com um cartão de visita, teremos tendência a confiar no seu conteúdo. Apenas desconfiaremos se, mais tarde, outra identificação for apresentada. Por outras palavras, confiamos nas primeiras credenciais apresentadas. Esta temática foi abordada por soluções como o Perspectives, que fornecem autenticação tipo SSH com sondagens através de múltiplos caminhos/acessos, descrito em [1]. Através da observação e recolha das chaves públicas observadas ao longo do tempo por servidores espalhados geograficamente, designados por Notários, o Perspectives impede muitos dos ataques possíveis num cenário de TOFU. Um utilizador pode solicitar o historial de chaves de um determinado serviço, comparando-o à chave oferecida na utilização corrente, e com esse historial tomar uma decisão mais informada quanto ao aceitar uma chave que não exista em cache. No entanto, o Perspectives assume um certificado por sítio, o que não é um pressuposto válido em muitos casos. Nesse caso, como pode o utilizador distinguir entre um certificado adicional introduzido pelo serviço a que está a aceder, e uma situação de ataque, em que o certificado está a ser fornecido pelo atacante? A presente tese endereça esta temática de poligamia de certificados, aumentando a visão dos Notários por forma a fornecer uma visão consolidada de diversos certificados. Adicionalmente, sugerimos alterações a alguns módulos do Perspectives, nomeadamente o módulo de sondagem (probing) for forma a lidar com questões tais como existência de mecanismos de caching acoplados aos serviços, pela utilização de, por exemplo, proxies.
Users are vulnerable to attacks, such as Man-in-the-Middle (MitM) attack, whenever they resort to services in the Internet. Common defenses for these attacks, like mutual authentication based, for example, on a Public Key Infrastructure (PKI), rely on complex infra-structures that users are unwilling to support. Huge acceptance of simple methods like Trust-on-first-use (TOFU, also known as “leap-of-faith” authentication), employed by popular implementations of SSH and TLS/SSL, clearly indicate that users are prepared to sacrifice security for the sake of low-cost and more usable solutions. Moreover, this is a behavior that users are familiar with. If one meets a person who hands over some credentials, such as nickname, email address or even a business card, one will bind those credentials to that person in all future contacts, without initially asking for his or her ID. In other words, one trusts these credentials on the first time they are seen, and then uses them in all future interactions with that person. This topic has been addressed previously in solutions like Perspectives, which provides SSH-style Host Authentication with Multi-Path Probing, as described in [1]. By observing and collecting the server’s public keys over time, maintaining them in a set of geographically disperse servers known as “Notaries”, Perspective thwarts many of the attacks that are possible in a TOFU scenario. A user can download such records on demand, comparing them with the current key provided by the site being accessed. Although not secure to all attacks, users can make a more educated decision on accepting or rejecting each certificate. However, Perspectives assumes one certificate per site, which is a false assumption in some cases. So, how can users differentiate between a distinct, legitimate certificate provided by the site, and a fake certificate provided by an attacker? This thesis addresses this certificate polygamy issue, by enhancing the concept of the Notaries used in Perspectives, and provides a consistent view of a set of certificates to the user. Moreover, it suggests changes in modules like the probing module, to keep a clear and consistent observation of certificates, despite caching and reutilization made by components such as proxies. By allowing the user (or, by company policies) to fine tune some configuration parameters, the proposed solution will provide different levels of confidence to the observed server’s public keys, thus satisfying distinct levels of security, or user proficiency.
