Single Packet Authorization - Slides English

Single Packet AuthorizationIncreasing Security in SSH

Leandro [email protected]

III ENSOL Liberdade no ExtremoJoão Pessoa­PB 19,20 e 21 de Junho de 2009

Who is this guy?

●

● Degree in Computer Network● Post­graduate in Information Security

● Security Analist

AGENDA

● SSH

● Firewall

● Port Knocking

● Single Packet Authorization

● FWKNOP

● Video

● Questions

Who here uses SSH?

Do you think the SSH secure?

● CERT® Advisory CA­2002­18 OpenSSH Vulnerabilities in Challenge Response Handling

● USN­649­1: OpenSSH vulnerabilities

● OpenSSH Security Advisory: cbc.adv ­ Plaintext Recovery Attack Against SSH CPNI­957037

● CPNI Vulnerability Advisory SSH – CPNI­957037

● openssh vulnerability CVE­2008­0166, http://www.ubuntu.com/usn/usn­612­1

● SSH is an application and have flaws

When someone comes and says...If you are not safe places a 

Firewall

Search / Design a solution to your problem

Otherwise an attacker can succeed!

There is a light at the end of the tunnel

● Port Knocking● Literally “door knocking”

● The technique is built on a sequence of packages pre­determined

● If the sequence is wrong, nothing (SSH access) will be released

● Use the fields reserved for the TCP/UDP

●  Does not use encryption

1º Moment: Blue2º Moment: Red3º Moment: green

Problems...

The encryption can not be used

Packets may arrive out of order, which breaks a string

An attacker may be sending packets to random ports, breaking  the sequence

Susceptible to attack by replay

And now? Who can save us...

Single Packet Authorization

It is a technique based a Port Knocking

● The SPA inherits the strengths and addresses the major flaws of Port Knocking

The application that implements the SPA is FWKNOP (FireWall KNock OPerator) 

The FWKNOP is Free Software maintained by Michael Rash

http://cipherdyne.org/fwknop/

Only one packet is sent

Correcting the problem of delivery out of order

Uses the field­related data of the package

Correcting the problem of encryption

● Creates a temporary rule in the firewall, allowing access only to client

There is not the possibility of using the same package in a range of pre­determined time (default 60s) 

– Correction of attacks on Replay

Ability to encrypt packets with keys

Symmetrical (Rijndael)

– Asymmetric (GPG + ElGamal)

Makes the deciphering of the packages to verify

IP  address  of  the  packet    with the IP address of the encrypted

● Addition  of  a  block  of  random  content generated  for  each  packet,  thus allowing the encryption single

Packet SPA

Scenario testing

1º Moment: Without SPA

2º Moment: With SPA

SSH Access Released \o/

Leandro AlmeidaBlog:leandro­cavalcanti.blogspot.comEmail:[email protected]

Thanks!

References● http://www.cipherdyne.org/fwknop/

● http://www.linuxjournal.com/article/9565

● http://www.linux.com/archive/feature/135100

● http://www.jsena.info/downloads/palestras/JansenSena_FISL9_Single_Packet_Authorization.pdf

●