Advarsel: Den private nøglefil skal beskyttes.

Transkript

1 Symantecs vejledning om optimal sikkerhed med pcanywhere Dette dokument gennemgår sikkerhedsforbedringerne i pcanywhere 12.5 SP4 og pcanywhere Solution , hvordan de vigtigste dele af forbedringerne fungerer og nogle af de ting, brugerne bør gøre for at reducere risici for sikkerhedsbrist. SSL-handshake og -kryptering til TCP/IP TCP/IP-forbindelser sikres nu med 256-bit eller 128-bit SSL-kryptering. Der kan også vælges "None" ("Ingen") for at undlade kryptering, men der udføres stadig kontroller af dataintegriteten. Symantec anbefaler, at standardindstillingen på 256-bit kryptering anvendes for at få optimal sikkerhed. Indstillingerne 128-bit og "None" ("Ingen") er egnede til sikre miljøer, hvor ydeevne prioriteres ekstra højt. Selvsignerede SSL-certifikater pcanywhere bruger selvsignerede SSL-certifikater. Der benyttes to nøglefiler: Host.key og Host.cer. Host.key indeholder den private nøgle, og Host.cer indeholder X.509-certifikatet, der rummer den offentlige nøgle. Den private nøgle beskyttes af ACL'er, der kun giver adgangstilladelse til administratorer, superbrugere og SYSTEM. Advarsel: Den private nøglefil skal beskyttes. Hvis en ikke-autoriseret person får adgang til den private nøglefil, kan de muligvis udgive sig for at være værten eller udføre et mellemmandsangreb (MITM) på enhver, der forsøger at fjernstyre en vært. Hvis du har mistanke om, at værtens private nøgle er blevet opsnappet, kan du generere en ny således: 1. Stop værtsprocessen. 2. Slet den private nøglefil og certifikatfilen. 3. Ryd listen over certifikater, der er tillid til. Der er anvisninger i afsnittet "Listen over certifikater der er tillid til" i dette dokument. 4. Genstart værtsprocessen. I løbet af denne proces genereres der automatisk et nyt nøglesæt, når værten er startet, og nøglefilerne ikke er til stede. SSL-fingeraftryksverificering SSL-fingeraftryksverificering bruges af fjernbrugere til at kontrollere værtens autenticitet. Denne kontrol skal udføres for at etablere en sikker forbindelse mellem fjernbrugeren og værten og for at beskytte mod et MITM-angreb.

2 Når en fjernbruger forsøger at etablere forbindelse til en vært via TCP/IP, vil den bruger som standard får vist en dialogboks, der angiver fingeraftrykket til værtens offentlige nøgle. Fjernbrugerens fingeraftryk skal stemme overens med dette fingeraftryk. Fingeraftrykket er ikke hemmeligt. Det kan udskrives, sendes pr. eller via telefonen. Fingeraftrykket er gemt i værtsbiblioteket i cert.thumbprint.txt. Hvis fjernbrugeren accepterer værtscertifikatet ved at klikke på Accept Always (Accepter altid), gemmes værtens offentlige nøgle lokalt i listen over certifikater, der er tillid til, og den accepteres automatisk ved fremtidige forbindelser. Der er flere oplysninger om listen over certifikater, der er tillid til, i afsnittet "Listen over certifikater der er tillid til" i dette dokument. Modem-ændringer Der understøttes nu 256-bit kryptering af modemforbindelser. Symantec anbefaler brug af det nye krypteringsniveau. Symantec anbefaler, at lavere krypteringsniveauer kun anvendes, hvis sikkerheden er mindre vigtig. Disse indstillinger kan dog resultere i bedre ydeevne i nogle miljøer. Sikkerheden til modemforbindelser omfatter ikke validering vha. fingeraftryk, og der er derfor risiko for MITM-angreb, og at nogen udgiver sig for at være vært. For at udføre et sådant angreb, skal den pågældende person kunne foretage aktiv manipulation af signalerne på telefonlinjen. Hvis angriberen kun kan overvåge kommunikationen på linjen, er der ingen sårbarhedsrisiko. Ændring af timeout i meddelelsen om accept under opgradering kontra ren installation Timeoutintervallet er blevet øget fra 10 til 30 sekunder. Sikre standardindstillinger AES256 er standardkrypteringsniveauet for alle forbindelser. Symantec anbefaler, at standardindstillingerne for sikkerhed undersøges manuelt. Gør følgende for at undersøge standardindstillingerne for sikkerhed. Hvis du i øvrigt har opgraderet til pcanywhere 12.5 SP4 eller pcanywhere Solution , vil indstillingen Prompt to confirm connection (Spørg om bekræftelse af forbindelse) ikke være ændret ift. den indstilling, du havde valgt, inden opgraderingen. Gør følgende for at ændre denne indstilling og undersøge de andre standardindstillinger. 1. Find Host Options (Værtsindstillinger) > Security Options (Sikkerhedsindstillinger) i pcanywhere, og vælg følgende indstillinger: Prompt when receiving a remote TCP/IP session request (Spørg ved modtagelse af en anmodning om en TCP/IP-fjernsession) denne indstilling angiver, om dialogboksen med fingeraftrykket vises på værten. Prompt to confirm connection (Spørg om bekræftelse af forbindelse) denne indstilling angiver, om der vises en dialogboks, hvor værtsbrugeren

3 skal godkende eller afvise fjernstyringsanmodningen. Hvis meddelelsen vises, og der opstår timeout (efter 30 sekunder som standard), nægtes der adgang, medmindre fjernbrugeren er superbruger. Hvis det er tilfældet, gives der adgang. Hvis meddelelsen ikke vises, fortsættes forbindelsen for enhver fjernbruger. 2. Find Remote option (Fjernindstilling) > Encryption (Kryptering), og vælg følgende indstilling: Prompt when connecting over TCP/IP untrusted/unknown hosts (Spørg ved TCP/IP-forbindelse til upålidelige/ukendte værter) denne indstilling angiver, om der skal vises en meddelelse med fingeraftrykket til værtens offentlige nøgle. Værtsmeddelelsen om at vise TCP/IP-sessionsanmodninger vises kun, hvis TCP/IPfjernmeddelelsen også er valgt, og fjernbrugeren ikke accepterer eller annullerer inden for fem sekunder. Værtsmeddelelsen vises fem sekunder efter, at den videresender den offentlige nøgle til fjerncomputeren. Sessionsanmodningen fortsættes, hvis fjernmeddelelsen ikke er indstillet til at vise netværk, der ikke er tillid til, hvis værtens certifikat allerede er på listen over certifikater, der er tillid til, eller hvis fjernbrugeren vælger Trust (Tillad) eller Deny (Afvis) for forbindelsen inden for fem sekunder. Når forbindelsen fortsættes, bedes værtsbrugeren som standard om at bekræfte forbindelsen. Handshake af forbindelsen i detaljer Trin Fjerncomputer Værtscomputer 1 Hvis Prompt when connecting over TCP/IP untrusted/unknown hosts (Spørg ved TCP/IP-forbindelse til upålidelige/ukendte værter) er valgt, søger fjerncomputeren efter tilbagekald med ssl_ctx_set_verify-api'en. 2 Fjerncomputeren indleder forbindelsen ved at kalde ssl_connect. 3 Værten accepterer forbindelsesanmodningen ved at kalde ssl_accept. 4 Værten sørger for, at dialogboksen med værtens fingeraftryk vises 5 sekunder senere. 5 Hvis fjerncomputeren søgte efter tilbagekald på trin 1, kaldes tilbagekaldsfunktionen på fjerncomputeren nu, og dialogboksen med fingeraftrykket vises. Hvis brugeren vælger Trust always *Hvis fjernbrugeren vælger Deny (Afvis), afbrydes forbindelsen, og dialogboksen med værtens fingeraftryk vises ikke, hvis det sker inden de fem sekunders forsinkelse, eller den lukkes automatisk, hvis den blev vist.

4 (Tillad altid), gemmes den offentlige nøgle til fremtidig brug, og fjerncomputeren fortsætter handshake-processen. Hvis brugeren vælger Trust once (Tillad én gang), fortsætter fjerncomputeren handshakeprocessen. Knappen Close (Luk) vises i meddelelsen, så fjernbrugeren kan lukke den. Hvis fjernbrugeren dog klikker på Trust (Tillad) eller Deny (Afvis), fortsættes forbindelsen, eller den afbrydes, og værtsmeddelelsen lukkes automatisk. Hvis brugeren vælger Deny (Afvis), afbryder fjerncomputeren forbindelsen.* 6 Handshake-processen fortsættes, og forbindelsen etableres. 7 Hvis vinduet med værtens fingeraftryk endnu ikke er blevet vist (der er fem sekunders forsinkelse), vises det slet ikke. 8 Fjerncomputeren sender godkendelsesoplysninger til værten. 9 Hvis værten er konfigureret til at vise en meddelelse (værtsindstilling 2), vises dialogboksen på nuværende tidspunkt. Hvis værtsbrugeren vælger Yes/Accept (Ja/acceptér), bruges oplysningerne til at godkende brugeren, og processen fortsættes. Hvis værtsbrugeren vælger No/Deny (Nej/afvis), lukkes forbindelsen af værten. Administration af certifikater Den gamle certifikatadministration er blevet fjernet. Det nye tilladelsessystem vil som standard bede fjernadministratoren angive indstillingerne for computertilladelser. Hvis administratoren vælger Trust Always (Tillad altid), føjes computeren til listen over certifikater, der er tillid til, og administratoren får ikke længere en meddelelse, når der etableres forbindelse til denne computer. Hvis administratoren vælger Trust Once (Tillad én gang), vises meddelelsen igen næste gang, der etableres forbindelse. Liste over certifikater der er tillid til Listen over certifikater, der er tillid til, er en liste over værtscomputercertifikater, der er tillid til. Listen gemmes i filen trusted_certs.pem. Hvis du har mistanke om, at værtens private nøgle er blevet opsnappet, bør du slette filen trusted_certs.pem. Alle værter skal således have tilladelse på ny.

5 Kloning af en pcanywhere-computer Når du kloner en pcanywhere-computer (fysisk eller virtuel), anbefaler Symantec, at du sletter den private nøgle, certifikatet og registreringsnøglefilterne til lokal kryptering på følgende steder: 64-bit : HKLM\Software\Wow6432Node\Symantec\pcAnywhere\ CurrentVersion\{hash} 32-bit : HKLM\Software\Symantec\pcAnywhere\CurrentVersion\{hash} Når du anvender kloningen på nye computere, genetableres disse værdier, første gang pcanywhere køres pcanywhere. Håndtering af adgangskode Når krypteringen er indstillet til "None" ("Ingen"), sendes pcanywhere-adgangskoder som almindelig tekst. Uanset hvad anbefaler Symantec, at du ikke bruger dine domæneadministratoroplysninger til fjernadgang. Opret i stedet et nyt sæt sikre loginoplysninger til fjernbetjening. Symantec anbefaler også følgende standardpolitikker mht. adgangskoder: Skift adgangskode ofte Brug sikre adgangskoder Begræns adgangen til og udbredelsen af loginoplysninger Begræns rettighederne og tilladelserne for loginoplysningerne til fjernadgang Kryptering på disken Filerne til konfiguration af vært og fjerncomputeren gemmes på disken i et krypteret format. Filerne er krypteret med en nøgle, der er unik på hver computer. Hvis en computer klones fra en anden, der har pcanywhere installeret, vil nøglerne være ens, og computerne vil følgelig kunne læse hinandens filer. Som udgangspunkt er det kun administratorer, superbrugere og SYSTEM, der har adgang til værtskonfigurationsfilerne. Som udgangspunkt har alle brugere på computeren dog adgang til fjernkonfigurationsfilerne. Omend filerne er krypterede, er de ikke sikre. Enhver med adgang til filerne vil kunne dekryptere dem og se deres indhold. Der skal angives passende ACL'er på filerne for at sikre dem. Bemærk: Der udføres ingen kryptering på Mac- og Linux-computere. Brug filtilladelser til at beskytte filerne på disse computere. Import og eksport af konfigurationsfiler Værts- og fjernkonfigurationsfiler vil som standard være krypterede. Hvis du vil flytte en af disse filer til en anden computer, skal du første fjerne krypteringen med awfilemgr.exe. Når du har fjernet krypteringen, kan du flytte filen til et nyt system og importere den med det samme værktøj. Under importprocessen krypteres filen med nøglen fra den nye computer.

6 Kørsel af vært og fjerncomputer Hvilke brugere kan køre værten? Administratorer og superbrugere kan køre værtsprocessen. Disse brugere har adgang til alle værtskonfigurationsfiler, den private nøgle og X.509-certifikatet. Hvilke brugere kan køre fjerncomputeren? Enhver bruger, der kan logge på, kan køre fjerncomputeren. Disse brugere har adgang til alle fjernkonfigurationsfilerne og listen over certifikater, der er tillid til. Kontekst for brugere, der kører på værten Fjernbrugere, der har tilladelse til at etablere forbindelse til værten, kan muligvis foretage ændringer, der kan gøre værtscomputeren usikker. Nogle af de handlinger, en fjernbruger kun kan udføre under en fjernsession omfatter: Starte en kommandoprompt som administrator Genstarte computeren Bemærk: Når værten kører som en tjeneste, spørges der efter loginoplysninger. Hvis værten dog køres som en applikation, spørges der ikke efter loginoplysninger. Internetbaserede fjernstyringssessioner pcanywhere Access Server er ikke længere sikker ifm. internetbaserede fjernstyringssessioner. Efter en grundig analyse af Access Server-kommunikation, anbefaler Symantec ikke længere brug af Access Server. I Access Servers fravær anbefaler Symantec, at du bruger en VPN-forbindelse til internetbaserede fjernstyringssessioner. Fejlen "Unable to attach to specified device" ("Kan ikke etablere forbindelse til valgt enhed") Fejlen "Unable to attach to specified device" ("Kan ikke etablere forbindelse til valgt enhed") vises i flere tilfælde. Gør følgende i den angivne rækkefølge for at afdække årsagen til problemet. 1. Sørg for, at fjern- og værtscomputeren bruger samme kryptering. 2. Kontrollér godkendelsestypen, og sørg for, at du indtaster de korrekte loginoplysninger. 3. Regenerer værts-/nøglefilerne på følgende steder som administrator ved at slette dem og genstarte pcanywhere-konsollen: Vista eller nyere: C:\ProgramData\Symantec\pcAnywhere\Hosts XP: C:\Documents and Settings\Alle brugere\application Data\Symantec\pcAnywhere\Hosts 4. Kontrollér netværksforbindelsen til værtscomputeren. Kontrollér, at firewallen er konfigureret korrekt; undersøg, om du kan pinge værtscomputeren osv.