P3 INTEGRIDAD, FIRMAS Y SEGURIDAD - rcarper023/Seguridad GitHub Wiki
1.Manda un documento y la firma electrónica del mismo a un compañero. Verifica la firma que tu has recibido.
He importado la clave pública del compañero:
Hacemos listado para mostrar que tengo ambas firmas:
He recibido el fichero del compañero y he verificado que va correctamente la firma:
2.¿Qué significa el mensaje que aparece en el momento de verificar la firma?
gpg: Firma correcta de "Pepe D [email protected]" [desconocido] gpg: ATENCIÓN: ¡Esta clave no está certificada por una firma de confianza! gpg: No hay indicios de que la firma pertenezca al propietario. Huellas dactilares de la clave primaria: E8DD 5DA9 3B88 F08A DA1D 26BF 5141 3DDB 0C99 55FC
Significa que la clave ha sido verificada correctamente pero que no hay indicios de que la clave pertenezca al usuario ni que haya establecido una relación de confianza. 3.Vamos a crear un anillo de confianza entre los miembros de nuestra clase, para ello.
oTu clave pública debe estar en un servidor de claves oEscribe tu fingerprint en un papel y dárselo a tu compañero, para que puede descargarse tu clave pública.
oTe debes bajar al menos tres claves públicas de compañeros.Firma estas claves. Lista de 3 firmas de mis compañeros de clase: Javier, Sergio y Eman
oTu te debes asegurar que tu clave pública es firmada por al menos tres compañeros de la clase. Las firmas de Javier Ponce donde aparece la mía.
Las firmas de Sergio Victoria donde aparece la mía.
Las firmas de Eman Zouine donde aparece la mía.
oUna vez que firmes una clave se la tendrás que devolver a su dueño, para que otra persona se la firme. oCuando tengas las tres firmas sube la clave al servidor de claves y rellena tus datos en la tabla [Claves públicas PGP 2020-2021] oAsegurate que te vuelves a bajar las claves públicas de tus compañeros que tengan las tres firmas.
4.Muestra las firmas que tiene tu clave pública.
5.Comprueba que ya puedes verificar sin “problemas” una firma recibida por una persona en la que confías. 6.Comprueba que puedes verificar con confianza una firma de una persona en las que no confías, pero sin embargo si confía otra persona en la que tu tienes confianza total.
TAREA 2
1.Configura el cliente de correo evolution con tu cuenta de correo habitual
Lo primero que debemos de hacer es actualizar nuestra Kali Linus.. Para ello ejecutamos el siguiente comando:
Sudo apt update – y && sudo apt upgrade -y && sudo apt dist-upgrade -y
Finalmente instalamos evolution, para ello ejecutamos el comando:
Sudo apt install evolution
Una vez instalado ejecutamos la aplicación: Pinchamos en siguiente…
Volvemos a pinchar en siguiente…
Aquí agregamos nuestro nombre y el correo que queremos configurar y siguiente...
En la siguiente ventana debemos de hacer varias modificaciones… En Server Type lo dejamos en IMAP
En server tenemos que poner “imap.gmail.com” y el puerto 143.
Username dejamos nuestro usuario
En encryptation method ponemos STARTTLS after connecting.
Y siguiente…
Siguiente…
En la siguiente ventana hacemos las configuraciones que aparecerán en la imagen…
Pulsamos en siguiente…
Finalmente tendremos nuestra configuración de correo finalizada.
Una vez finalizamos la configuración nos pedirá la contraseña de nuestro correo y pulsamos en siguiente..
- Añade a la cuenta las opciones de seguridad para poder enviar correos firmados con tu clave privada o cifrar los mensajes para otros destinatarios
Para esto nos vamos a la siguiente ruta:
Edit>Preferences>Composer Preferences>Signatures
Agregamos una nueva firma…
Firma agregada..
- Envía y recibe varios mensajes con tus compañeros y comprueba el funcionamiento adecuado de GPG
TAREA 3
1.Para validar el contenido de la imagen CD, solo asegúrese de usar la herramienta apropiada para sumas de verificación. Para cada versión publicada existen archivos de suma de comprobación con algoritmos fuertes (SHA256 y SHA512); debería usar las herramientas sha256sum o sha512sum para trabajar con ellos.
Para esta tarea descargaremos la ISO de debian usando este comando…
wget https://cdimage.debian.org/debian-cd/current/amd64/iso-cd/debian-12.2.0-amd64-netinst.iso
Y descargamos la herramienta sha con este comando… wget https://cdimage.debian.org/debian-cd/current/amd64/iso-cd/SHA256SUMS
2.Verifica que el contenido del hash que has utilizado no ha sido manipulado, usando la firma digital que encontrarás en el repositorio. Puedes encontrar una guía para realizarlo en este artículo: How to verify
Para verificar el contenido usaremos el siguiente comando:
TAREA 4
1.¿Qué software utiliza apt secure para realizar la criptografía asimétrica?
Utiliza GnuPG para realizar la criptografía asimétrica.
2.¿Para que sirve el comando apt-key? ¿Qué muestra el comando apt-key list?
El comando apt-key sirve para administrar las claves de los repositorios de paquetes. El comando apt-keys list muestra las claves de los repositorios de paquetes.
3.En que fichero se guarda el anillo de claves que guarda la herramienta apt-key?
El anillo de claves se guarda en el fichero /etc/apt/trusted.gpg
4.¿Qué contiene el archivo Release de un repositorio de paquetes?. ¿Y el archivo Release.gpg?. Puedes ver estos archivos en el repositorio [http://ftp.debian.org/debian/dists/Debian10.1/.]Estos archivos se descargan cuando hacemos un apt update.
El archivo reléase contiene la lista de paquetes que contiene el repositorio de paquetes. El archivo release.gpg contiene la firma digital del archivo release.
5.Explica el proceso por el cual el sistema nos asegura que los ficheros que estamos descargando son legítimos.
El archivo nos asegura que los ficheros que estamos descargando son legítimos mediante la verificación de la firma del fichero release que se encuentra en el repositorio de paquetes.
6.Añade de forma correcta el repositorio de virtualbox añadiendo la clave pública de virtualbox como se indica en la documentación.
TAREA 5
1.Explica los pasos que se producen entre el cliente y el servidor para que el protocolo cifre la información que se transmite? ¿Para qué se utiliza la criptografía simétrica? ¿Y la asimétrica?
Los pasos que se producen entre el cliente y el servidor para que le protocolo cifre la información que se transmite son los siguientes:
-Se lleva a cabo un “handshake”(apretón de mano) encriptado para que el cliente pueda verificar que se está comunicando con el servidor correcto -La capa de transporte de la conexión entre el cliente y la máquina remota es encriptada mediante un código simétrico -El cliente se autentica ante el servidor -El cliente remoto interactúa con la máquina remota sobre la conexión encriptada.
La criptografía simétrica se utiliza para encriptar la información que se transmite entre el cliente y el servidor. La criptografía asimétrica se utiliza para autentificar al cliente y al servidor.
2.Explica los dos métodos principales de autentificación: por contraseña y utilizando un par de claves públicas y privadas.
Los dos métodos principales de autenticación son:
-Por contraseña: el cliente envía la contraseña al servidor para que este pueda autentificar al cliente. -Por par de claves públicas y privadas: el cliente envía su clave pública al servidor para que este pueda autentificar al cliente. El cliente envía su clave privada al servidor para que este pueda autentificar al cliente.
3.En el cliente para que sirve el contenido que se guarda en el fichero ~/.ssh/know_hosts?
El contenido que se guarda en el fichero ~/.ssh/know_hosts sirve para que el cliente pueda autentificar al servidor.
4.¿Qué significa este mensaje que aparece la primera vez que nos conectamos a un servidor? ssh [email protected] The authenticity of host '172.22.200.74 (172.22.200.74)' can't be established. ECDSA key fingerprint is SHA256:7ZoNZPCbQTnDso1meVSNoKszn38ZwUI4i6saebbfL4M. Are you sure you want to continue connecting (yes/no)?
Implica que la conexión es nueva y que el cliente no tiene guardada la clave pública del servidor. Por lo tanto, el cliente no puede autentificar al servidor. El cliente pregunta al usuario si quiere continuar con la conexión.
5.En ocasiones cuando estamos trabajando en el cloud, y reutilizamos una ip flotante nos aparece este mensaje:
$ ssh [email protected] @@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@ @WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@ IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY! Someone could be eavesdropping on you right now (man-in-the- middle attack)! It is also possible that a host key has just been changed. The fingerprint for the ECDSA key sent by the remote host is SHA256:W05RrybmcnJxD3fbwJOgSNNWATkVftsQl7EzfeKJgNc. Please contact your system administrator. Add correct host key in /home/jose/.ssh/known_hosts to get rid of this message. Offending ECDSA key in /home/jose/.ssh/known_hosts:103 remove with: ssh-keygen -f "/home/jose/.ssh/known_hosts" -R "172.22.200.74" ECDSA host key for 172.22.200.74 has changed and you have requested strict checking.
Significa que la clave pública que teníamos asociada a esa dirección IP ha cambiado. Por lo tanto, el cliente no puede autentificar al servidor. Por lo que podría implicar que se está suplantando su identidad. Si aún así queremos continuar, hay que ejecutar el comando ssh-keygen -f “/home/jose/.ssh/known_hosts” -R “172.22.200.74”
6.¿Qué guardamos y para qué sirve el fichero en el servidor ~/.ssh/authorized_keys?
En ese fichero se guardan las claves públicas de los clientes que pueden acceder al servidor. Sirve para que el servidor pueda autentificar a los clientes.