Indice del forum www.zeroshell.net
Distribuzione Linux ZeroShell
 
 FAQFAQ   CercaCerca  GruppiGruppi   RegistratiRegistrati 
 ProfiloProfilo  Log inLog in   Messaggi privatiMessaggi privati 

Certificato firmato con algoritmo di firma debole.
Vai a 1, 2  Successivo
 
Nuovo argomento   Rispondi    Indice del forum -> ZeroShell
Precedente :: Successivo  
Autore Messaggio
LucaZeta



Registrato: 10/12/08 18:49
Messaggi: 93

MessaggioInviato: Lun Apr 23, 2012 7:31 pm    Oggetto: Certificato firmato con algoritmo di firma debole. Rispondi citando

Il messaggio di warning in oggetto mi è comparso accedendo a zeroshell con l'ultimo aggiornamento del browser IRON 18.0 (CHROME fork)

Utilizzo i certificati prodotti dalla CA authority di ZS per autenticare le bagine https di ZS. Fino all'ultimo aggiornamento non aveva mai dato problemi.

Ora la CA di ZS comincia ad essere considerata insicura.
Utilizzo i certificati anche per autenticare gli accessi tramite WiFi.

Considerazioni ?
Top
Profilo Invia messaggio privato
LucaZeta



Registrato: 10/12/08 18:49
Messaggi: 93

MessaggioInviato: Lun Apr 23, 2012 8:22 pm    Oggetto: Re: Certificato firmato con algoritmo di firma debole. Rispondi citando

LucaZeta ha scritto:
Considerazioni ?

Questa la ragione del messaggio di warning:

Quando ti connetti a un sito web protetto, il server che ospita il sito presenta al browser un cosiddetto "certificato" allo scopo di verificare la sua identità. Tale certificato contiene informazioni, quali l'indirizzo del sito web, che vengono verificati da una terza parte riconosciuta come affidabile dal tuo computer. Controllando che l'indirizzo presente nel certificato corrisponda a quello del sito web, è possibile verificare che stai effettivamente comunicando con il sito web a cui intendevi accedere, e non con una terza parte (ad esempio un hacker infiltratosi nella tua rete).

In questo caso, il certificato del server o un certificato CA intermedio presentato al browser è stato firmato utilizzando un algoritmo di firma debole come RSA-MD2. Da una recente ricerca svolta da esperti informatici è emerso che l'argoritmo di firma è più debole di quanto si credesse precedentemente e attualmente viene utilizzato raramente da siti web attendibili. Questo certificato potrebbe essere stato falsificato.
Top
Profilo Invia messaggio privato
svenny



Registrato: 18/09/08 12:11
Messaggi: 245

MessaggioInviato: Mar Apr 24, 2012 9:59 am    Oggetto: Rispondi citando

La causa principale di quel warning é nel fatto che il certificato di ZeroShell non è stato firmato da un'autorità riconosciuta dal browser.

Ciao
Top
Profilo Invia messaggio privato
LucaZeta



Registrato: 10/12/08 18:49
Messaggi: 93

MessaggioInviato: Mar Apr 24, 2012 4:30 pm    Oggetto: Rispondi citando

Il browser poggia sulle definizioni di sistema e il sistema riconosce come attendibile la Certification Authority di ZeroShell: ho opportunamente importato il certificato sul sistema.

La ragione di quel messaggio dipende dal fatto che con il tempo il protocollo di cifratura RSA-MD2 si è rilevato meno sicuro di quanto inizialmente ritenuto.
I nuovi sviluppi cominciano a tenere in considerazione questa variazione ed emettono il WARNING.

E' comunque possibile utilizzare una CA esterna che faccia uso di protocolli più sicuri, ma se le cose stanno in questa maniera sarà comunque opportuno aggiornare quella funzionalità in ZS.
Top
Profilo Invia messaggio privato
svenny



Registrato: 18/09/08 12:11
Messaggi: 245

MessaggioInviato: Mar Apr 24, 2012 6:22 pm    Oggetto: Rispondi citando

Per curiosità, quale versione di ZeroShell stai utilizzando?

Io con la Beta16 come algoritmo di firma per il certificato ho:

PKCS #1 MD5 con crittografia RSA

Ciao
Top
Profilo Invia messaggio privato
LucaZeta



Registrato: 10/12/08 18:49
Messaggi: 93

MessaggioInviato: Ven Apr 27, 2012 7:29 am    Oggetto: Rispondi citando

svenny ha scritto:
Per curiosità, quale versione di ZeroShell stai utilizzando?

Io con la Beta16 come algoritmo di firma per il certificato ho:

PKCS #1 MD5 con crittografia RSA

Ciao
Ciao svenny Smile

Anche io utilizzo la Beta16.
Sono andato a verificare gli algoritmi di firma dei certificati emessi per gli utenti: Signature Algorithm: md5WithRSAEncryption

Ma ho anche fatto la stessa verifica sull'algoritmo utilizzato per il certificato della Certification Authority: sha1WithRSAEncryption

Tra i parametri disponibili per configurare la CA abbiamo il KeySize: 512, 1024 e 2048. La mia è settata a 1024 e potrei portarla a 2048 ma non credo risolverebbe.

Scusa, visto che ne stiamo parlando, ma tu questo problema non ce l'hai ?
Per come la vedo io non è un problema mio, ma di tutti. Tutti quelli che hanno aggiornato i loro browser e utilizzano un ambiente correttamente configurato.
Top
Profilo Invia messaggio privato
svenny



Registrato: 18/09/08 12:11
Messaggi: 245

MessaggioInviato: Ven Apr 27, 2012 3:09 pm    Oggetto: Rispondi citando

A me questo problema non si presenta. Utilizzo la versione 18 di Google Chrome (dovrebbe essere l'ultima disponibile) e volevo capire perché questo browser non rileva il tuo stesso errore.

Ciao
Top
Profilo Invia messaggio privato
LucaZeta



Registrato: 10/12/08 18:49
Messaggi: 93

MessaggioInviato: Sab Apr 28, 2012 9:59 pm    Oggetto: Rispondi citando

Si vorrei saperlo anche io.

Cominciamo a fare qualche verifica.
x.509 CA - Setup

e vediamo che key size utilizzi.
Top
Profilo Invia messaggio privato
svenny



Registrato: 18/09/08 12:11
Messaggi: 245

MessaggioInviato: Dom Apr 29, 2012 2:17 pm    Oggetto: Rispondi citando

La chiave è una 1024 bits.

Ciao
Top
Profilo Invia messaggio privato
LucaZeta



Registrato: 10/12/08 18:49
Messaggi: 93

MessaggioInviato: Lun Apr 30, 2012 8:45 pm    Oggetto: Rispondi citando

svenny ha scritto:
La chiave è una 1024 bits.

Uffi ...

allora deve dipendere dal fatto che il dominio che utilizzo, precedentemente inutilizzato è ora stato registrato da qualcuno. Se io utilizzassi un dominio registrato da altri sarebbe ragionevole che venisse segnalata una certa "inaffidabilità" di circostanza.

E' ragionevole come discorso ?

Quello che intendo è questo:
I client della mia rete fanno riferimento a zeroshell per il servizio DNS.
zeroshell."dominio" viene risolto da zeroshell, per gli altri domini la richiesta DNS viene forwardata sui server di google.

magari qualcuno ha registrato zeroshell."dominio" e ha creato a me un conflitto ? Possibile ?
Top
Profilo Invia messaggio privato
svenny



Registrato: 18/09/08 12:11
Messaggi: 245

MessaggioInviato: Mer Mag 02, 2012 9:21 am    Oggetto: Rispondi citando

Io mi collego alla GUI di ZeroShell attraverso il nome zeroshell.miodominio.local ed il browser mi restituisce l'errore SSL per il mancato riconoscimento della CA di ZeroShell. Accettando il certificato non mi viene dato alcun ulteriore errore. In teoria il browser avrebbe dovuto notificare la mancata corrispondenza tra il CN del certificato passato dal web server, zeroshell.example.com ed il nome digitato nella barra dell'indirizzo del brower zeroshell.miodominio.local. Questo probabilmente non si verifica perché Chrome considera quest'ultimo il male minore: quando si accetta un certificato di cui non si riconosce l'entità emittente ogni ulteriore notifica di errore risulterebbe superflua. Altri browser potrebbero comportarsi diversamente e notificare questo errore.

Ciao
Top
Profilo Invia messaggio privato
redfive



Registrato: 26/06/09 22:21
Messaggi: 774

MessaggioInviato: Mer Mag 02, 2012 9:16 pm    Oggetto: Rispondi citando

Giusto per provare , ho scaricato chrome (ver. 18.0.1025.168 m) , e dopo i vari passaggi , ho verificato il warning riportato da LucaZeta , cosa che non si presenta con firefox 12. Googolando un po , sembra di capire che i certificati firmati con MD5 RSA non siano piu' tanto digeriti , almeno da chrome . Secondo passaggio , tramite openssl ho creato una nuova CA e certificato server ( SHA256 RSA chiavi 4096 bit) , importato CA , cert.server e key server in ZS , in https uso il nuovo cert.server , in chrome importato la nuova CA , ....ed il warning è scomparso.
ciao
Top
Profilo Invia messaggio privato
LucaZeta



Registrato: 10/12/08 18:49
Messaggi: 93

MessaggioInviato: Mer Mag 02, 2012 10:00 pm    Oggetto: Rispondi citando

redfive ha scritto:
Googolando un po , sembra di capire che i certificati firmati con MD5 RSA non siano piu' tanto digeriti , almeno da chrome .

GIVEMEFIVE redfive !!

Bella, come pensavo Smile Una CA più "aggiornata" risolve il problema.
Certo avere la CA integrata era comodo Smile

Grazie per la segnalazione redfive. Very Happy
Top
Profilo Invia messaggio privato
LucaZeta



Registrato: 10/12/08 18:49
Messaggi: 93

MessaggioInviato: Mer Mag 02, 2012 10:04 pm    Oggetto: Rispondi citando

svenny ha scritto:
Io mi collego alla GUI di ZeroShell attraverso il nome zeroshell.miodominio.local ed il browser mi restituisce l'errore SSL per il mancato riconoscimento della CA di ZeroShell.
svenny la tua configurazione è errata. Devi riconfigurare la Certification Authority con parametri adeguati al dominio di rete.

Buona smazzata Rolling Eyes
Top
Profilo Invia messaggio privato
NdK



Registrato: 27/01/10 12:36
Messaggi: 506

MessaggioInviato: Gio Mag 03, 2012 9:54 am    Oggetto: Rispondi citando

Il problema è che MD5 è oramai considerato "debole": si iniziano a trovare algoritmi efficienti per generare collisioni (plaintext diversi che portano allo stesso hash).
Per questo quei certificati che vengono "firmati" con MD5+RSA non sono più ben accetti, mentre lo stesso certificato firmato con SHA+RSA risulta gradito.
Top
Profilo Invia messaggio privato
svenny



Registrato: 18/09/08 12:11
Messaggi: 245

MessaggioInviato: Gio Mag 03, 2012 9:54 am    Oggetto: Rispondi citando

Si dovrebbe configurare ZeroShell in modo da fornire il certificato host zeroshell.miodominio.local quando si accede alla GUI tramite HTTPS, ma non credo sia possibile, almeno tramite interfaccia grafica. Comunque anche io utilizzo la versione 18.0.1025.168 di Chrome e dopo aver importato nel browser il certificato della CA ed aver acceduto tramite l'IP di ZeroShell, anche a me viene dato il fatidico errore:


Citazione:
Hai tentato di accedere a "mio IP" ma il server ha presentato un certificato firmato utilizzando un algoritmo di firma debole. Ciò significa che le credenziali di sicurezza presentate dal server potrebbero essere state falsificate e il server potrebbe non essere quello previsto (è possibile che tu stia comunicando con un utente malintenzionato).
Non procedere oltre, soprattutto se questo avviso non è mai stato visualizzato per questo sito.


Senza l'importazione del certificato della CA di ZeroShell, in effetti, avrebbe avuto poco senso fornire ulteriori notifiche.

Siamo giunti alla conclusione che la CA di ZeroShell non è più tanto sicura e che sarebbe opportuno cominciare a pensare alla sua sostituzione.

Ciao
Top
Profilo Invia messaggio privato
NdK



Registrato: 27/01/10 12:36
Messaggi: 506

MessaggioInviato: Gio Mag 03, 2012 10:06 am    Oggetto: Rispondi citando

Il certificato usato per la GUI si imposta da setup->https, e può essere sia generato dalla CA interna che uno importato da una CA esterna.

IMVHO la CA interna avrebbe bisogno di varie "rivisitazioni".
Il problema IMO più grave è che avere la chiave della CA in chiaro sul firewall non mi pare una scelta saggia. Una cosa molto bella sarebbe la possibilità di usare una smartcard (o un HSM... ma a questo livello --più di 2000€ solo per l'HSM-- conviene usare OpenCA o EJBCA) per gestire l'operatività della CA. L'ideale sarebbe che la smartcard con la chiave della CA rimanesse sul client usato dall'amministratore (ma questo richiede l'uso di Java), così da poter usare un lettore con pinpad.
Top
Profilo Invia messaggio privato
LucaZeta



Registrato: 10/12/08 18:49
Messaggi: 93

MessaggioInviato: Gio Mag 03, 2012 1:46 pm    Oggetto: Rispondi citando

svenny ha scritto:
Si dovrebbe configurare ZeroShell in modo da fornire il certificato host zeroshell.miodominio.local quando si accede alla GUI tramite HTTPS, ma non credo sia possibile, almeno tramite interfaccia grafica.

Certo che è possibile: è proprio quello che ti sto dicendo devi fare.

Quando crei il profilo per il DB di ZeroShell (Setup - Profile) ti vengono chiesti una serie di parametri, tra questi sono rilevanti e vanno impostati:
K5 Realm=MIODOMINIO.LOCAL
dc=miodominio,dc=local

generando il DB con questi parametri ZeroShell genererà automaticamente il certificato adeguato per il tuo specifico dominio di rete (miodominio.local)

Poi, come giustamente dice NdK, puoi importare nuovi certificati o scegliere tra i tanti che puoi generare da Setup - Https
Top
Profilo Invia messaggio privato
svenny



Registrato: 18/09/08 12:11
Messaggi: 245

MessaggioInviato: Gio Mag 03, 2012 11:35 pm    Oggetto: Rispondi citando

Ho visto che creando un nuovo host (Host -> Add) e scegliendolo poi nella sezione "X.509 Host Certificate" (Setup -> HTTPS -> X.509 Configuration) si riesce comunque a farsi passare il certificato corretto.

Ciao
Top
Profilo Invia messaggio privato
LucaZeta



Registrato: 10/12/08 18:49
Messaggi: 93

MessaggioInviato: Sab Mag 05, 2012 2:19 am    Oggetto: Rispondi citando

svenny ha scritto:
Ho visto che creando un nuovo host (Host -> Add) e scegliendolo poi nella sezione "X.509 Host Certificate" (Setup -> HTTPS -> X.509 Configuration) si riesce comunque a farsi passare il certificato corretto.

Molto bene svenny ora che la tua configurazione é corretta, puoi anche tu sperimentare il problema di cui si parla in questo thread.
Top
Profilo Invia messaggio privato
Mostra prima i messaggi di:   
Nuovo argomento   Rispondi    Indice del forum -> ZeroShell Tutti i fusi orari sono GMT + 1 ora
Vai a 1, 2  Successivo
Pagina 1 di 2

 
Vai a:  
Non puoi inserire nuovi argomenti
Non puoi rispondere a nessun argomento
Non puoi modificare i tuoi messaggi
Non puoi cancellare i tuoi messaggi
Non puoi votare nei sondaggi


Powered by phpBB © 2001, 2005 phpBB Group
phpbb.it