SRS Day. Vue d ensemble. Avérous Julien-Pierre

Transcription

1 SRS Day Sécurité apporté à Mac OS X LéopardL Vue d ensemble Pieters Aimeric Avérous Julien-Pierre pieter_a averou_j

2 Introduction Mac OS X Léopard c est : Time Machine. Nouveau Finder, Quicklook, etc. Mais c est aussi de nouvelles mesures de sécurité : Mandatory Access Control et le Sandboxing. Adresses aléatoires des fonctions système. Signature numérique d application. La gestion des cartes à puce. Un nouveau coupe-feu.

3 Problématiques Problématiques soulevées : Innovation? Efficacité? Positionnement par rapport au concurrent majeur : Windows XP.

4 Mandatory Access Control

5 Qu est-ce que c est? Mandatory Access Control Framework de contrôle d accès. Hérité du projet SEDarwin, lui même issu du projet TrustedBSD. Où? Implémenté au niveau du noyau Rôle? Associer une politique de sécurité à une opération.

6 Mandatory Access Control Une Opération est constituée : D un sujet : un processus ou un thread. D un objet : un fichier, un port TCP/UDP... Politique de sécurité à associer à l opération : Déterminer à partir des attributs de sécurité associés au sujet et à l objet. Exemples de restrictions : empêcher un processus d établir une connexion réseau, restreindre l accès à certains fichiers.

7 Sandboxing Un module de MAC : le Sandboxing ou principe du Bac à Sable. Accessible par l utilisateur. Permet de restreindre les possibilités d accès d une application.

8 Sandboxing Se base sur des profiles de sécurité. Profiles intialement disponibles : /usr/share/sandbox. Leopard fournit un panel d outils : sandbox-exec, utilitaire, permet d'exécuter un programme dans une sandbox. sandbox-init, fonction C, permet de placer un processus dans une sandbox. sandbox-compilerd, utilitaire, compile des profiles afin d étendre ceux du kernel.

9 Sandboxing Démonstration

10 Sandboxing : Critiques Utilisation assez marginal des sandbox par le système d exploitation. Pas de réelle innovation, Léopard rattrape son retard.

11 Sandboxing : Windows Pas de système de Sandboxing dans Windows. Possibilité de créer des sandbox par le biais d application comme Sandboxie. Possibilité d intégrer un objet ou un processus dans une sandbox avec les APIs de développement de Microsoft.

12 Adresses aléatoires des fonctions système

13 Adresses aléatoires des fonctions système Adresses des fonctions système non universelles. Choix des adresses aléatoires : Lors de l installation du système. Lors d une mise à jour système. Via la commande update_dyld_shared_cache - force. Protection contre les attaques statiques comme return-to-libc.

14 Adresses aléatoires des fonctions système : Windows Non implémenté nativement sous Windows XP. Présent dans Windows Vista.

15 Signature numérique d application

16 Signature numérique d application Assure l intégrité d un code exécutable. Assure l identité du code exécutable (provenance et consistance entre versions). Permet de déterminer les droits d accès à certains outils (keychain,...). Basé sur des certificats (autosignés ou signés par une autorité de certification). Gère les pré-requis (chargement unique de code identifié d une personne en particulier,...) Manipulable via la commande codesign

17 Signature numérique d application Démonstration

18 Signature numérique d application : Windows Implémenté sous Windows XP et Vista sous le nom de Authenticode Utilisé essentiellement dans Internet Explorer pour l installation de logiciel téléchargés et l installation de drivers.

19 Cartes à puce

20 Cartes à puce Léopard intègre dorénavant une gestion des cartes à puce. Cela apporte : Une simplification de l authentification Permet de ne pas stocker le mot de passe sur l ordinateur. Pilotes disponibles de base. kit de développement de pilotes : Standard de développement PC/SC. Basé sur MUSCLE, implémentation Open Source de ce standard.

21 Cartes à puce : fonctionnement Démon pcscd : Coordonne la communication. Charge les pilotes et les plugins nécessaires. API pcsc-lite : permet d effectuer la migration de logiciels PC/SC Windows vers un environnement Unix.

22 Cartes à puce : Détails /etc/reader.conf : contient la liste des pilotes que le démon doit charger. Pilotes supplémentaires disponibles sur /System/Library/StartupItems/SmartCardService s : script de démarrage du démon. Plugins selon les types de cartes : /usr/libexec/smartcardservices/services

23 pctools pour ajouter la prise en charge d une carte à puce. pctest pour récupérer des informations relatives à une carte à puce.

24 Cartes à puce : Critiques Pas d innovation, Mac OS X rattrape son retard. Pas d interface graphique pour mettre en place la gestion d une carte à puce.

25 Cartes à puce : Windows Gestion des cartes à puce intégrée depuis Windows Permet l authentification système et des applications (Internet Explorer...). Nécessite la mise en place d une infrastructure à clés publiques. Chaque application doit-être configurée séparément.

26 Application firewall

27 Application firewall Coupe-feu précédemment basé sur ipfirewall. Sous Léopard : système propriétaire. Possibilité de le coupler avec ipfirewall. Interface graphique.

28 Application firewall

29 Application firewall : Windows Existe depuis Windows XP.

30 Conclusion

31 Questions?