MALKOM VPN Client. Instrukcja użytkownika. Wersja dokumentu: 1.4 Data aktualizacji: Wersja Polska wersja językowa

Transkrypt

1 MALKOM VPN Client Wersja Instrukcja użytkownika Polska wersja językowa Wersja dokumentu: 1.4 Data aktualizacji: Strona 1 z 36

2 Spis treści 1 WPROWADZENIE DOKUMENTY ZWIĄZANE KONFIGURACJA SPRZĘTOWA KOMPUTER I SYSTEM OPERACYJNY KARTY KRYPTOGRAFICZNE CZYTNIKI KART KRYPTOGRAFICZNYCH OBSŁUGIWANE STANDARDY WERSJE PROTOKOŁU SSL/TLS ALGORYTMY SYMETRYCZNE CERTYFIKATY WNIOSKI O WYSTAWIENIE CERTYFIKATU INSTALACJA APLIKACJI URUCHOMIENIE APLIKACJI KONFIGURACJA APLIKACJI OPCJE OGÓLNE OPCJE PRZECHOWYWANIA SEKRETÓW OPCJE ZAAWANSOWANE LOKALIZACJA URZĘDU CA KLUCZ UŻYTKOWNIKA KONFIGURACJA PROTOKOŁU SSL/TLS KONFIGURACJA SERWERA PROXY EKSPLOATACJA APLIKACJI DEFINIOWANIE NOWEGO POŁĄCZENIA MODYFIKOWANIE PARAMETRÓW POŁĄCZENIA USUWANIE POŁĄCZENIA ZESTAWIANIE POŁĄCZENIA EKSPORT I IMPORT LISTY POŁĄCZEŃ WYGENEROWANIE NOWEGO KLUCZA RSA I WNIOSKU PKCS# OSADZANIE CERTYFIKATU NA KARCIE USUWANIE OBIEKTÓW Z KARTY ZARZĄDZANIE CERTYFIKATAMI SERWERÓW ZDALNYCH AUDYT APLIKACJI PRZEGLĄDARKA ZDARZEŃ KONFIGURACJA DZIENNIKA ZDARZEŃ OPIS REJESTROWANYCH ZDARZEŃ SŁOWNIK Strona 2 z 36

3 1 Wprowadzenie Dokument zawiera instrukcję instalacji, konfiguracji i użytkowania aplikacji MALKOM VPN Client. Aplikacja MALKOM VPN Client jest aplikacją klienta SSL/TLS służącą do zestawiania bezpiecznych połączeń VPN. Aplikacja wykorzystuje bibliotekę MALKOM Cryptographic Library, zawierającą implementacje funkcji skrótów, algorytmów kryptograficznych oraz protokołów SSL i TLS. Strona 3 z 36

4 2 Dokumenty związane W niniejszym dokumencie zawarte są odwołania do następujących dokumentów: 1. PKCS#1 RSA Encryption Standard, version PKCS#10 Certification Request Syntax Standard, version PKCS#11 Cryptographic Token Interface Standard, version RFC 1421 Privacy Enhancement for Internet Electronic Mail: Part I: Message Encryption and Authentication Procedures. 5. RFC 1422 Privacy Enhancement for Internet Electronic Mail: Part II: Certificate-Based Key Management. 6. RFC 1423 Privacy Enhancement for Internet Electronic Mail: Part III: Algorithms, Modes, and Identifiers. 7. RFC 1928 SOCKS Protocol Version RFC 1929 Username/Password Authentication for SOCKSv5. 9. RFC 2246 The TLS Protocol Version RFC 3280 Internet X.509 Public Key Infrastructure. Certificate and Certificate Revocation List (CRL) Profile. 11. SSL 3.0 SSL Specification. 12. ISO 3166 Countries Codes list. 13. Unicode The Unicode Standard, Version 5.0. Strona 4 z 36

5 3 Konfiguracja sprzętowa Poniżej określono minimalne wymagania sprzętowe i systemowe niezbędne do prawidłowego działania aplikacji MALKOM VPN Client. 3.1 Komputer i system operacyjny Aplikacja MALKOM VPN Client może być zainstalowana na dowolnym komputerze klasy PC spełniającym poniższe kryteria: zainstalowany system Windows 2000, Windows XP, Windows 2003 lub nowszy, 5 MB wolnego miejsca na dysku twardym, kartę sieciową typu Ethernet o prędkości minimalnej 100Mb/s, prawidłowo skonfigurowany protokół TCP/IP pozwalający na dostęp do lokalnej sieci LAN lub do Internetu. 3.2 Karty kryptograficzne Aplikacja MALKOM VPN Client umożliwia zestawianie bezpiecznych połączeń SSL/TLS z wykorzystaniem klucza prywatnego RSA przechowywanego w pliku chronionym hasłem lub osadzonego na karcie kryptograficznej. Użycie kart jest opcjonalne i zalecane jedynie w przypadku konieczności zapewnienia wysokiego bezpieczeństwa klucza prywatnego. Aplikacja MALKOM VPN Client współpracuje z dowolnymi kartami kryptograficznymi spełniającymi poniższe kryteria: obszar pamięci karty na klucze prywatne i certyfikaty musi być nie mniejszy niż 8kB, karty muszą realizować sprzętowy algorytm RSA i realizować podpis zgodny z normą PKCS#1 wersja 1.5 [2], karta musi umożliwiać zapisanie wygenerowanego przez Urząd CA certyfikatu, karta musi pozwalać na komunikację w oparciu o interfejs PKCS#11 w wersji 2.01 [2] lub nowszej umożliwiający wykonanie na karcie wszystkich podanych powyżej czynności. Oprogramowanie zostało przetestowane z kartami CryptoCard MultiSIGN firmy CryptoTech Sp. z o.o. 3.3 Czytniki kart kryptograficznych W przypadku opcjonalnego wykorzystania do zestawiania bezpiecznych połączeń SSL/TLS kart kryptograficznych wymagane jest posiadanie czytnika PC/SC umożliwiającego komunikację karty z komputerem. Strona 5 z 36

6 Aplikacja MALKOM VPN Client współpracuje z czytnikami kart kryptograficznych zgodnymi ze standardem PC/SC. Do poprawnej pracy aplikacji wymagany jest jeden czytnik. Oprogramowanie zostało przetestowane z czytnikami CKC V USB firmy POSNET (zarówno model wewnętrzny jak również zewnętrzny). Strona 6 z 36

7 4 Obsługiwane standardy Poniżej zawarto opis obsługiwanych przez aplikację MALKOM VPN Client standardów. 4.1 Wersje protokołu SSL/TLS Aplikacja MALKOM VPN Client obsługuje następujące wersje protokołu: SSL wersja 3.0 [2], TLS wersja 1.0 [2]. 4.2 Algorytmy symetryczne Aplikacja MALKOM VPN Client obsługuje następujące kombinacje algorytmów symetrycznych i funkcji skrótu określonych przez normy SSL/TLS: DES-CBC-SHA1, DES-EDE3-CBC-SHA1, AES128-CBC-SHA1, AES256-CBC-SHA Certyfikaty Aplikacja MALKOM VPN Client wymaga certyfikatów klucza publicznego zgodne z normą X.509 wersja 3 [2]. 4.4 Wnioski o wystawienie certyfikatu Aplikacja MALKOM VPN Client generuje wnioski o wystawienie certyfikatu zgodne z normą PKCS#10 wersja 1.7 [2]. Strona 7 z 36

8 5 Instalacja aplikacji Przed instalacją aplikacji MALKOM VPN Client należy zainstalować w pierwszej kolejności wszystkie sterowniki i oprogramowanie do urządzeń, z którymi aplikacja będzie współpracować (czytnik PC/SC, karta kryptograficzna). Szczegółowy opis instalacji tych urządzeń zawarty jest w dokumentacji instalacji dostarczanej wraz z tymi urządzeniami przez ich producentów. Po upewnieniu się co do prawidłowości instalacji i działania urządzeń można przystąpić do instalowania aplikacji MALKOM VPN Client. Instalacja aplikacji MALKOM VPN Client polega na uruchomieniu dostarczonego programu instalacyjnego i wykonywaniu poleceń pojawiających się w kolejnych oknach dialogowych instalatora. Instalację należy przeprowadzić z konta Administratora systemu Windows. Aby rozpocząć instalację należy uruchomić program instalacyjny z pliku o nazwie mvpn-x.x.x-setup.exe (gdzie ciąg x.x.x oznacza określoną wersję aplikacji). Po uruchomieniu instalacji pojawi się pierwsze okno dialogowe instalatora. Widok okna powitalnego instalatora. Po naciśnięciu przycisku Dalej pojawi się okno umożliwiające wybór lokalizacji, w której zostanie zainstalowana aplikacja MALKOM VPN Client. Strona 8 z 36

9 Widok okna do zmiany katalogu docelowego. Instalator domyślnie proponuje lokalizację standardową którą można zmienić na dowolną inną, jeżeli zachodzi taka potrzeba. Wyboru nowej lokalizacji można dokonać poprzez naciśnięcie przycisku Zmień i wskazanie innego katalogu. Po naciśnięciu przycisku Dalej pojawi się kolejne okno. Strona 9 z 36

10 Widok okna rozpoczynającego właściwą instalację aplikacji. Naciśnięcie przycisku Instaluj rozpocznie proces instalacji niezbędnych komponentów aplikacji do wybranej uprzednio lokalizacji docelowej. Należy poczekać aż instalator zakończy proces kopiowania i wyświetli kolejne okno informujące o wyniku operacji. Strona 10 z 36

11 Widok okna informującego o pomyślnym zakończeniu instalacji. Naciśnięcie przycisku Zakończ powoduje zakończenie instalacji. Od tego momentu aplikacja MALKOM VPN Client jest gotowa do użycia. Podczas procesu instalacji zostały utworzone dwa skróty do uruchamiania aplikacji MALKOM VPN Client. Jeden z nich został umieszczony na Pulpicie systemu Windows, drugi w menu Start w grupie programów o nazwie MALKOM VPN Client. Odinstalowanie aplikacji MALKOM VPN Client jest możliwe z poziomu apletu Dodaj lub usuń programy, dostępnego w Panelu Sterowania systemu Windows. Strona 11 z 36

12 6 Uruchomienie aplikacji Po uruchomieniu aplikacji MALKOM VPN Client na pasku zadań, w obszarze powiadomień pojawia się główna ikona aplikacji. Lokalizacja ikony aplikacji MALKOM VPN Client. Jednokrotne kliknięcie ikony prawym przyciskiem myszy spowoduje wyświetlenie menu kontekstowego aplikacji, pozwalającego na wybór najczęściej używanych poleceń. Widok menu kontekstowego aplikacji MALKOM VPN Client. Dwukrotne kliknięcie ikony lewym przyciskiem myszy spowoduje wyświetlenie głównego okna aplikacji. Główne okno aplikacji zawiera następujące komponenty składowe: pasek menu zawierający pogrupowaną listę wszystkich dostępnych poleceń; wykonanie polecenia jest możliwe poprzez wybór określonego elementu menu, pasek narzędzi zawierający ikony wraz z opisem tekstowym dla najczęściej wywoływanych poleceń; wykonanie polecenia jest możliwe poprzez kliknięcie określonej ikony lewym przyciskiem myszy, listę połączeń zawierająca informacje o wszystkich zdefiniowanych przez użytkownika połączeniach; jeden wiersz listy zawiera informacje o jednym połączeniu, pasek statusu zawierający opis tekstowy bieżąco zaznaczonego polecenia menu. Strona 12 z 36

13 Widok głównego okna aplikacji MALKOM VPN Client. Strona 13 z 36

14 7 Konfiguracja aplikacji Aby określić parametry konfiguracji aplikacji MALKOM VPN Client, należy z menu kontekstowego ikony aplikacji lub z głównego okna aplikacji z menu Narzędzia, wywołać polecenie Opcje. Wykonanie tego polecenia spowoduje wyświetlenie okna dialogowego zawierającego parametry konfiguracyjne aplikacji. Okno opcji zawiera kilka zakładek, na których umieszczone są określone grupy parametrów wraz z opisami. Wybór określonej zakładki jest możliwy poprzez kliknięcie lewym przyciskiem myszy w nazwę zakładki. Większość parametrów konfiguracji wymaga określenia ich wartości jednokrotnie, przed rozpoczęciem właściwej eksploatacji aplikacji. Poszczególne parametry są pogrupowane tematycznie. Zmiana jakiegokolwiek parametru konfiguracji z dowolnej grupy zostanie zapisana jedynie pod warunkiem zamknięcia okna dialogowego Opcje, poprzez naciśnięcie przycisku Zamknij. Poniżej zawarto szczegółowy opis poszczególnych grup opcji. 7.1 Opcje ogólne W tej grupie opcji możliwe jest określenie języka domyślnego interfejsu aplikacji oraz opcji decydujących o ogólnym widoku i zachowaniu się aplikacji. Opcje ogólne aplikacji. Strona 14 z 36

15 Lista Dostępne języki, zawiera listę dostępnych wersji językowych interfejsu aplikacji. Domyślnie, aplikacja wybiera odpowiedni język na podstawie wersji językowej systemu Windows. Zmiana wersji językowej interfejsu aplikacji, następuje po ponownym uruchomieniu aplikacji MALKOM VPN Client. Zaznaczenie opcji Uruchom aplikację przy starcie systemu, spowoduje automatyczne uruchamianie się aplikacji MALKOM VPN Client, przy każdym uruchomieniu systemu Windows. Zaznaczenie opcji Uruchom wszystkie połączenia przy starcie aplikacji, spowoduje automatyczne aktywowanie wszystkich zdefiniowanych połączeń po każdorazowym uruchomieniu aplikacji. Opcja Pokazuj zdefiniowane połączenia w menu ikony systemowej, decyduje o tym, czy lista zdefiniowanych połączeń będzie dodawana do menu kontekstowego ikony systemowej. Dodanie połączeń do menu kontekstowego umożliwia szybką aktywację zdefiniowanych połączeń użytkownika. Zaznaczenie opcji Pokazuj linie siatki na liście połączeń spowoduje wyświetlanie linii rozdzielających poszczególne wiersze i kolumny listy połączeń w głównym oknie aplikacji. 7.2 Opcje przechowywania sekretów Ta grupa opcji decyduje o sposobie zarządzania hasłem do pliku klucza prywatnego, hasłem do serwera proxy i numerem PIN do karty kryptograficznej. Opcje zapamiętywania haseł i numeru PIN. Domyślnie aplikacja MALKOM VPN Client nie przechowuje żadnych sekretów w swojej konfiguracji. Jeżeli zachodzi potrzeba użycia hasła lub Strona 15 z 36

16 numeru PIN, aplikacja za każdym razem wyświetla okno dialogowe umożliwiające użytkownikowi wprowadzenie odpowiedniego sekretu. Zaznaczenie opcji Zapamiętuj hasła i numer PIN do karty, umożliwi wybór jednej z dwóch dostępnych w aplikacji metod przechowywania sekretów. Po wybraniu opcji Trzymaj w pamięci przez nn minut, aplikacja będzie przechowywała podane przez użytkownika hasła i numer PIN przez określony przez użytkownika czas. Sekrety będą przechowywane w obszarze pamięci fizycznej przydzielonej aplikacji przez system i po upłynięciu określonego czasu lub po zamknięciu aplikacji zostaną usunięte. Po wybraniu opcji Zapisz na stałe do rejestru systemowego, aplikacja zapisze podane przez użytkownika sekrety do rejestru Windows. Ich ponowne podawanie nie będzie konieczne. 7.3 Opcje zaawansowane Ta grupa opcji decyduje o konfiguracji interfejsu PKCS#11 umożliwiającego wykorzystanie karty kryptograficznej do zestawiania bezpiecznych połączeń SSL/TLS oraz o konfiguracji dziennika zdarzeń aplikacji. Aplikacja MALKOM VPN Client umożliwia zestawianie bezpiecznych połączeń przy użyciu karty kryptograficznej. Warunkiem koniecznym jest posiadanie do karty biblioteki dynamicznej z implementacją interfejsu PKCS#11. Bibliotekę dostarcza producent karty kryptograficznej. W polu Nazwa biblioteki z interfejsem, należy wpisać nazwę pliku biblioteki (podawanie rozszerzenia pliku *.dll nie jest konieczne). Podana biblioteka musi się znajdować w jednej z lokalizacji określonych zmienną środowiskową PATH systemu Windows. Nazwę biblioteki i jej lokalizację w systemie użytkownika określa producent karty kryptograficznej. Strona 16 z 36

17 Opcje zaawansowane aplikacji. Z listy Indeks czytnika, należy wybrać odpowiedni indeks czytnika PC/SC zainstalowanego w systemie. Standardowo, jeżeli w systemie jest zainstalowany jeden czytnik, indeks powinien być równy zero. Jeżeli użytkownik nie posiada karty kryptograficznej i dysponuje kluczem prywatnym zapisanym w pliku PEM, konfigurowanie interfejsu PKCS#11 nie jest konieczne. Pole Plik logu zawiera bieżącą lokalizację pliku dziennika, do którego aplikacja zapisuje zdarzenia określonych typów. W zależności od ustawionej w polu Poziom logowania wartości, ilość i typ logowanych zdarzeń może się różnić. Poziom zero jest poziomem w którym są logowane jedynie błędy krytyczne aplikacji. Wraz ze wzrostem wartości rośnie ilość logowanych zdarzeń. Zaleca się aby w normalnej pracy aplikacji poziom logowania był ustawiony na wartość zero. 7.4 Lokalizacja urzędu CA Do zestawiania bezpiecznych połączeń SSL/TLS wymagane jest określenie lokalizacji certyfikatu głównego zaufanego urzędu CA. Aplikacja MALKOM VPN Client umożliwia zestawianie bezpiecznych połączeń wyłącznie w ramach jednego urzędu CA, co oznacza, że certyfikat klienta i serwera musi być wystawiony przez ten sam główny urząd CA. W polu Źródło certyfikatu, należy wybrać dostępne źródło z którego zostanie pobrany certyfikat. W zależności od wersji aplikacji i jej konfiguracji, źródłem może być plik lub karta kryptograficzna. Określanie lokalizacji urzędu CA. Strona 17 z 36

18 Pole Certyfikat urzędu CA, zawiera bieżącą lokalizację głównego urzędu CA. W zależności od wybranego źródła, będzie to ścieżka do pliku zawierającego certyfikat lub nazwa karty kryptograficznej i identyfikator certyfikatu osadzonego na wskazanej karcie. 7.5 Klucz użytkownika Do zestawiania bezpiecznych połączeń SSL/TLS wymagane jest określenie lokalizacji klucza prywatnego użytkownika oraz jego certyfikatu klucza publicznego wystawionego przez zaufany urząd CA. W polu Źródło klucza i certyfikatu, należy wybrać dostępne źródło z którego zostanie pobrany klucz prywatny i certyfikat. W zależności od wersji aplikacji i jej konfiguracji, źródłem może być plik lub karta kryptograficzna. Pole Klucz prywatny, zawiera bieżącą lokalizację klucza prywatnego użytkownika. W zależności od wybranego źródła, będzie to ścieżka do pliku zawierającego klucz prywatny lub nazwa karty kryptograficznej i identyfikator klucza prywatnego osadzonego na wskazanej karcie. Jeżeli opcja Zapamiętaj hasło do klucza i PIN do karty jest zaznaczona (p. p.7.1) i źródłem klucza jest karta kryptograficzna, w pole Numer PIN do karty można wpisać numer PIN do posiadanej karty. Jeżeli opcja Zapamiętaj hasło do klucza i PIN do karty jest zaznaczona (p. p.7.1) i źródłem klucza jest plik w formacie PEM, w pole Hasło do pliku z kluczem można wpisać hasło zabezpieczające klucz prywatny. Jeżeli plik klucza prywatnego nie jest zabezpieczony hasłem pole to powinno być puste. Określanie lokalizacji klucza prywatnego użytkownika. Strona 18 z 36

19 Pole Certyfikat klucza publicznego, zawiera bieżącą lokalizację certyfikatu użytkownika. W zależności od wybranego źródła, będzie to ścieżka do pliku zawierającego certyfikat lub nazwa karty kryptograficznej i identyfikator certyfikatu osadzonego na wskazanej karcie. 7.6 Konfiguracja protokołu SSL/TLS Aplikacja MALKOM VPN Client umożliwia określenie wersji protokołu i typów algorytmów wykorzystywanych do zestawiania bezpiecznych połączeń. Obsługiwane są następujące wersje protokołu (p. p.4.1): SSL wersja 3.0, TLS wersja 1.0. Obsługiwane są następujące typy algorytmów symetrycznych i funkcji skrótu (p. p.4.2): DES-CBC-SHA1, DES-EDE3-CBC-SHA1, AES128-CBC-SHA1, AES256-CBC-SHA1. Wybór określonej wersji protokołu lub typu algorytmu polega na zaznaczeniu odpowiedniego pola. Opcje protokołu SSL/TLS. Strona 19 z 36

20 7.7 Konfiguracja serwera Proxy Aplikacja MALKOM VPN Client umożliwia zestawianie bezpiecznych połączeń SSL/TLS do serwera proxy typu SOCKS5. W pole Nazwa należy wpisać nazwę lub adres IP serwera proxy. W pole Port należy wpisać numer portu, na którym jest uruchomiony serwer. Jeżeli serwer wymaga uwierzytelnienia użytkownika należy zaznaczyć opcję Uwierzytelnienie użytkownika i w pole Użytkownik wpisać identyfikator użytkownika serwera proxy, a w pole Hasło odpowiednie hasło, uprawniające do dostępu do serwera. Konfiguracja serwera proxy. Strona 20 z 36

21 8 Eksploatacja aplikacji Rozdział zawiera opis najczęściej wykonywanych procedur związanych z eksploatacją aplikacji MALKOM VPN Client. 8.1 Definiowanie nowego połączenia W celu zdefiniowania nowego połączenia należy z menu Połączenia głównego okna aplikacji wywołać polecenie Dodaj. Pojawi się okno dialogowe jak na rysunku poniżej. Definiowanie nowego połączenia. W polu Nazwa, należy podać nazwę nowego połączenia. Nazwa ma charakter opisowy i może być dowolnym ciągiem tekstowym. Następnie należy określić adres lokalny na którym zostanie uruchomiony lokalny serwer obsługujący definiowane połączenie. W polu Nazwa, które zawiera domyślnie ciąg localhost, można określić nazwę lub numer IP lokalnego adresu połączenia. W większości przypadków zaleca się pozostawienie w tym polu wartości domyślnej. W pole Port należy wpisać unikalny numer portu lokalnego. W sekcji adresu zdalnego należy podać parametry zdalnego serwera, do którego aplikacja MALKOM VPN Client będzie zestawiała połączenia. W pole Nazwa, należy wpisać nazwę lub numer IP serwera zdalnego. W pole Port należy wpisać numer portu serwera zdalnego. Strona 21 z 36

22 Standardowo, aplikacja zestawia standardowe połączenie TCP/IP pomiędzy adresem lokalnym a zdalnym. Zaznaczenie opcji Łącz przez SSL, określa czy definiowane połączenie ma być zestawiane przy użyciu bezpiecznego protokołu SSL/TLS. Parametry protokołu SSL/TLS są wspólne dla wszystkich połączeń i zależą od bieżącej konfiguracji aplikacji. Jeżeli zostanie zaznaczona opcja Łącz przez proxy, aplikacja nawiąże połączenie do serwera proxy. Po pomyślnym nawiązaniu połączenia z serwerem proxy, nawiąże on docelowe połączenie z serwerem zdalnym. Parametry serwera proxy są wspólne dla wszystkich połączeń i zależą od bieżącej konfiguracji aplikacji. Jeżeli zostanie zaznaczona opcja Load balancing, istnieje możliwość podania dodatkowego adresu zdalnego serwera. Opcja ma zastosowanie w przypadku nawiązywania połączeń z serwerami pracującymi w konfiguracji klastra, itp. Naciśnięcie przycisku OK, spowoduje dodanie nowego połączenia. Dodane połączenie powinno być widoczne na liście połączeń. 8.2 Modyfikowanie parametrów połączenia Aplikacja umożliwia modyfikację parametrów zdefiniowanych połączeń. Aby modyfikacja parametrów połączenia była możliwa wymagane jest aby dane połączenie było nieaktywne (czyli rozłączone). Aby zmodyfikować parametry połączenia należy wybrać określone połączenie z listy połączeń i z menu Połączenia wywołać polecenie Modyfikuj. Pojawi się okno dialogowe z parametrami połączenia. Po modyfikacji danych należy nacisnąć przycisk OK. 8.3 Usuwanie połączenia Aplikacja umożliwia usuwanie zdefiniowanych połączeń. Aby usunięcie połączenia było możliwe wymagane jest aby dane połączenie było nieaktywne (czyli rozłączone). Aby usunąć połączenie należy wybrać określone połączenie z listy połączeń i z menu Połączenia wywołać polecenie Usuń. 8.4 Zestawianie połączenia Zestawienie połączenia polega na uruchomieniu serwera nasłuchującego na określonym parametrami połączenia porcie lokalnym. Każde nowe połączenie dodane do listy połączeń jest nieaktywne. Aktywacja połączenia polega na wybraniu z listy połączeń określonego połączenia i wywołaniu polecenia Połącz dostępnego w menu Połączenia głównego okna aplikacji. Aktywacja połączenia możliwa jest również poprzez dwukrotne kliknięcie lewym przyciskiem myszy rekordu połączenia na liście połączeń. Jeżeli opcja Uruchom wszystkie połączenia przy starcie aplikacji (patrz p.7.1) jest aktywna, wszystkie połączenia są zestawiane automatycznie po uruchomieniu aplikacji MALKOM VPN Client. Strona 22 z 36

23 Jeżeli zdefiniowane połączenie wykorzystuje protokół SSL/TLS, to po nawiązaniu fizycznego połączenia z serwerem zdalnym, aplikacja MALKOM VPN Client weryfikuje tożsamość serwera, na podstawie otrzymanego certyfikatu. Jeżeli połączenie zostało zestawione po raz pierwszy, aplikacja wyświetla okno dialogowe jak na poniższym rysunku. Widok okna dialogowego do weryfikacji tożsamości serwera. Naciśnięcie przycisku Pokaż certyfikat, spowoduje wyświetlenie okna dialogowego z zawartością otrzymanego certyfikatu serwera zdalnego. Po weryfikacji danych zawartych w certyfikacie użytkownik musi dokonać wyboru jednej z dostępnych akcji: Odrzuć połączenie i nigdy więcej nie łącz z tym serwerem wybranie tej opcji spowoduje przerwanie nawiązanego połączenia i odrzucanie połączeń z tym serwerem w przyszłości, Odrzucaj połączenia wyłącznie w bieżącej sesji wybranie tej opcji spowoduje przerwanie nawiązanego połączenia i odrzucanie połączeń z tym serwerem, ale tylko do czasu zamknięcia aplikacji MALKOM VPN Client, Akceptuj połączenie i dodaj do listy zaufanych serwerów wybranie tej opcji spowoduje zaakceptowanie bieżącego połączenia i wszystkich następnych połączeń z tym serwerem zdalnym na stałe, Łącz wyłącznie w bieżącej sesji wybranie tej opcji spowoduje zaakceptowanie bieżącego połączenia i wszystkich następnych połączeń z tym serwerem zdalnym, ale tylko do czasu zamknięcia aplikacji MALKOM VPN Client. 8.5 Eksport i import listy połączeń Aplikacja MALKOM VPN Client umożliwia eksport listy zdefiniowanych połączeń do pliku tekstowego. Eksport listy połączeń umożliwia przenoszenie danych połączeń pomiędzy różnymi instancjami aplikacji. Aby wykonać eksport danych należy w głównym oknie aplikacji, z menu Narzędzia wywołać polecenie Eksportuj listę połączeń. Wykonanie polecenia Strona 23 z 36

24 spowoduje wyświetlenie okna dialogowego pozwalającego na określenie lokalizacji wynikowego pliku tekstowego zawierającego dane połączeń. Przyjęto następujący format pliku z danymi połączeń: plik importu jest plikiem tekstowym Unicode [2] (little endian) rozpoczynającym się znacznikiem 0xFEFF, znacznikiem końca linii jest para znaków CR, LF o kodach: 0x000D, 0x000A, plik importu może zawierać dowolne znaki objęte normą Unicode, każda kolejna linia pliku zawiera dane jednego połączenia, znacznik końca linii wyznacza koniec rekordu z danymi połączenia, rekord danych połączenia (linia) składa się z poszczególnych wartości umieszczonych w odpowiedniej kolejności (kolumn): o nazwa połączenia, o adres lokalny: nazwa lub numer IP lokalny, o adres lokalny: numer portu lokalnego, o adres zdalny nr 1: nazwa lub numer IP zdalny, o adres zdalny nr 1: numer portu zdalnego, o adres zdalny nr 2: nazwa lub numer IP zdalny (może nie występować), o adres zdalny nr 2: numer portu zdalnego (może nie występować), o flaga użycia protokołu SSL/TLS, jako wartość zero lub jeden, o flaga użycia proxy, jako wartość zero lub jeden, o flaga użycia adresu zdalnego nr 2, jako wartość zero lub jeden, poszczególne wartości kolumn rekordu są oddzielone od siebie pojedynczym znakiem tabulacji o kodzie 0x0009, puste linie na końcu pliku są pomijane. Aby wykonać import danych należy w głównym oknie aplikacji, z menu Narzędzia wywołać polecenie Importuj listę połączeń. Wykonanie polecenia spowoduje wyświetlenie okna dialogowego pozwalającego na wskazanie lokalizacji pliku tekstowego zawierającego dane połączeń. 8.6 Wygenerowanie nowego klucza RSA i wniosku PKCS#10 Aplikacja MALKOM VPN Client umożliwia użytkownikowi wygenerowanie nowej pary kluczy RSA służącej do zestawiania bezpiecznych połączeń SSL/TLS oraz przygotowanie wniosku certyfikacyjnego w formacie PKCS#10 [2]. W zależności od wersji i konfiguracji aplikacji możliwe jest: programowe wygenerowanie klucza RSA i zapisanie go do pliku w formacie PEM, sprzętowe wygenerowanie klucza RSA przez procesor karty kryptograficznej. Aby wygenerować nowy klucz RSA i przygotować wniosek PKCS#10 należy w głównym oknie aplikacji z menu Narzędzia, wywołać polecenie Wygeneruj Strona 24 z 36

25 nowy klucz. Wykonanie polecenia spowoduje wyświetlenie okna jak na poniższym rysunku. Widok okna z parametrami klucza RSA. Sposób wygenerowania klucza RSA określa się poprzez wybór dostępnego nośnika z listy Nośnik klucza. Jeżeli wybranym nośnikiem jest karta kryptograficzna możliwe jest określenie opcjonalnego identyfikatora klucza, który ma za zadanie rozróżnienie różnych par kluczy RSA osadzonych na tej samej karcie. Identyfikatorem klucza może być dowolny ciąg tekstowy. Identyfikator można podać w polu Identyfikator klucza. Jeżeli identyfikator klucza nie zostanie podany przez użytkownika, aplikacja jako identyfikatora klucza użyje skrótu SHA-1 obliczonego z wygenerowanego klucza publicznego. Podstawowym parametrem klucza RSA decydującym o jego sile jest długość klucza (określana w bitach). Zaleca się stosowanie kluczy nie mniejszych niż 1024 bity. W przypadku generowania klucza na karcie kryptograficznej, należy pamiętać, iż różne typy kart kryptograficznych obsługują różne długości kluczy. Prawidłowe długości klucza RSA powinny się znajdować w specyfikacji posiadanej karty kryptograficznej dostarczonej przez producenta wraz z kartą. Jeżeli karta nie jest w stanie wygenerować klucza o zadanej długości należy spróbować wygenerować klucz o mniejszej długości. Po określeniu parametrów klucza należy nacisnąć przycisk Dalej, który spowoduje przejście do kolejnego okna. W oknie tym należy podać dane użytkownika, który będzie właścicielem wygenerowanego klucza RSA. W pole Nazwa powszechna należy wpisać imię i nazwisko użytkownika. Pole Adres może zawierać adres poczty elektronicznej użytkownika, pole Numer seryjny może zawierać unikalny Strona 25 z 36

26 identyfikator użytkownika (np. numer PESEL, etc.). W pole Jednostka organizacyjna należy wpisać jednostkę lub wydział, w którym pracuje użytkownik. Pole Organizacja musi zawierać nazwę firmy. Z listy Kod kraju należy wybrać odpowiedni kod kraju. Widok okna z danymi do wniosku PKCS#10. Naciśnięcie przycisku OK spowoduje rozpoczęcie procesu generowania nowego klucza RSA. Jeżeli jako nośnik klucza wybrano plik w formacie PEM, po wygenerowaniu klucza aplikacja wyświetli okno do wyboru lokalizacji pliku, do którego ma być zapisany wygenerowany klucz prywatny RSA użytkownika. Po wygenerowaniu i zapisaniu klucza RSA aplikacja rozpoczyna generowanie wniosku PKCS#10. Po wygenerowaniu wniosku aplikacja wyświetli okno do wyboru lokalizacji pliku, do którego ma być zapisany wygenerowany wniosek PKCS#10. Wygenerowany wniosek PKCS#10 należy dostarczyć do zaufanego urzędu CA w celu uzyskania certyfikatu klucza publicznego. Aplikacja MALKOM VPN Client była testowana z aplikacją centrum certyfikacji MALKOM QR-CERT. 8.7 Osadzanie certyfikatu na karcie Jeżeli bezpieczne połączenia SSL/TLS mają być zestawiane z użyciem karty kryptograficznej, musi ona zawierać klucz prywatny użytkownika oraz certyfikat klucza publicznego. Aplikacja MALKOM VPN Client umożliwia zapisanie certyfikatu na karcie kryptograficznej. Strona 26 z 36

27 Aby zapisać certyfikat na karcie należy w głównym oknie aplikacji z menu Narzędzia wybrać polecenie Zapisz certyfikat. Wykonanie polecenia spowoduje wyświetlenie okna jak na poniższym rysunku. Widok okna z danymi do osadzenia certyfikatu. Pole Identyfikator klucza może zawierać opcjonalny identyfikator certyfikatu. Identyfikatorem może być dowolny ciąg tekstowy. Jeżeli identyfikator zostanie określony przez użytkownika aplikacja osadzi wskazany certyfikat na karcie i nada mu podany identyfikator, w przeciwnym przypadku aplikacja dokona próby wyszukania na karcie klucza prywatnego stanowiącego parę z kluczem publicznym ze wskazanego certyfikatu i pobierze identyfikator z wyszukanego klucza. Pole Certyfikat użytkownika zawiera bieżącą lokalizację pliku zawierającego certyfikat do osadzenia na karcie. Naciśnięcie przycisku OK spowoduje osadzenie wskazanego certyfikatu na karcie kryptograficznej. Aplikacja MALKOM VPN Client była testowana z certyfikatami wydanymi przez aplikację centrum certyfikacji MALKOM QR-CERT. 8.8 Usuwanie obiektów z karty Aplikacja MALKOM VPN Client umożliwia usuwanie obiektów dowolnego typu z karty kryptograficznej. Aby usunąć obiekty należy w głównym oknie aplikacji z menu Narzędzia wywołać polecenie Usuń obiekty z karty. Wykonanie polecenia spowoduje Strona 27 z 36

28 usunięcie wszystkich obiektów z bieżącej karty kryptograficznej (w tym również kluczy prywatnych). 8.9 Zarządzanie certyfikatami serwerów zdalnych Lista zaakceptowanych przez użytkownika certyfikatów serwerów zdalnych, z którymi aplikacja MALKOM VPN Client może zestawiać połączenia dostępna jest poprzez wywołanie polecenia Certyfikaty serwerów z menu Narzędzia głównego okna aplikacji. Widok okna z listą certyfikatów serwerów zdalnych. Z pola Typ listy, należy wybrać jeden z dwóch dostępnych typów listy certyfikatów: serwery zaufane lista certyfikatów serwerów zdalnych, z którymi aplikacja może zestawiać połączenia, serwery odrzucone lista certyfikatów serwerów zdalnych, z którymi aplikacja nie może zestawiać połączeń. Po wybraniu typu listy, w polu Lista certyfikatów pojawia się jej bieżąca zawartość. Dwukrotne kliknięcie lewym przyciskiem myszy na wybrany certyfikat spowoduje wyświetlenie okna dialogowego zawierającego szczegółowe informacje z wybranego certyfikatu. Zaznaczenie opcji Łącz wyłącznie z zaufanymi serwerami z listy, spowoduje automatyczne odrzucanie wszystkich połączeń z serwerami zdalnymi, których nie ma na liście zaufanych serwerów. Jeżeli ta opcja nie zostanie zaznaczona, w przypadku nawiązania połączenia z nieznanym serwerem zdalnym, aplikacja wyświetli okno dialogowe z informacją o nawiązanym połączeniu i poprosi użytkownika o podjęcie decyzji (patrz p.8.4). Istnieje możliwość dodawania lub usuwania certyfikatów z listy. Możliwe jest to poprzez wywołanie menu kontekstowego, dostępnego po naciśnięciu prawego przycisku myszy w obszarze listy certyfikatów. Strona 28 z 36

29 9 Audyt aplikacji Aplikacja MALKOM VPN Client rejestruje określone grupy zdarzeń do logu systemowego. Logowanie zdarzeń ma na celu umożliwienie inspektorowi bezpieczeństwa przeprowadzenia audytu aplikacji. 9.1 Przeglądarka zdarzeń Ponieważ zdarzenia są logowane do rejestru systemowego, ich przeglądanie jest możliwe przy użyciu standardowej przeglądarki zdarzeń dostępnej w systemie. Przeglądarka jest dostępna w Panelu sterowania systemu Windows. Z listy dostępnych apletów należy wybrać grupę Narzędzia administracyjne, a następnie aplikację o nazwie Podgląd zdarzeń. Po jej uruchomieniu pojawi się okno jak na rysunku poniżej. Widok okna głównego systemowej przeglądarki zdarzeń. Główne okno przeglądarki zawiera następujące komponenty składowe: pasek menu zawierający pogrupowaną listę wszystkich dostępnych poleceń; wykonanie polecenia jest możliwe poprzez wybór określonego elementu menu, pasek narzędzi zawierający ikony dla najczęściej wywoływanych poleceń; wykonanie polecenia jest możliwe poprzez kliknięcie określonej ikony lewym przyciskiem myszy, Strona 29 z 36

30 drzewo dostępnych dzienników zdarzeń zawierające listę prowadzonych przez system dzienników zdarzeń (aplikacja MALKOM VPN Client zapisuje zdarzenia do dziennika o nazwie Aplikacja), listę zdarzeń zawierającą informacje o wszystkich zarejestrowanych przez system zdarzeniach z wybranego dziennika. Jeden rekord (wiersz) listy zdarzeń zawiera informacje o jednym zarejestrowanym przez system zdarzeniu. Domyślnie, lista zawiera następujące informacje o zdarzeniach: typ typ zarejestrowanego zdarzenia, może to być jedna z poniższych wartości: o informacje, o ostrzeżenie, o błąd, o inspekcja sukcesów, o inspekcja niepowodzeń, data data wystąpienia zdarzenia, godzina czas wystąpienia zdarzenia, źródło nazwa aplikacji, której dotyczy zarejestrowane zdarzenie, kategoria nazwa kategorii określonej w ramach aplikacji (źródła), do której należy zarejestrowane zdarzenie, zdarzenie unikalny identyfikator zarejestrowanego zdarzenia, użytkownik nazwa użytkownika, który uruchomił aplikację rejestrującą zdarzenia, komputer nazwa komputera, na którym działała aplikacja rejestrująca zdarzenia. Po zaznaczeniu określonego rekordu na liście zdarzeń i wywołaniu polecenia Właściwości, z menu Akcja (lub dwukrotnym kliknięciu lewym przyciskiem myszy na rekord zdarzenia), przeglądarka wyświetla okno dialogowe zawierające informacje szczegółowe na temat wybranego zdarzenia. Informacje szczegółowe mogą zawierać dowolny opis tekstowy zdarzenia, zawarty w polu Opis lub dowolne dane binarne umieszczone w polu Dane. W przypadku aplikacji MALKOM VPN Client, wszystkie informacje dotyczące logowanych zdarzeń są zapisywane w formie opisu tekstowego. Strona 30 z 36

31 Widok okna z informacjami o wybranym zdarzeniu. 9.2 Konfiguracja dziennika zdarzeń Aby logowanie zdarzeń było możliwe, konieczne jest prawidłowe skonfigurowanie dziennika zdarzeń o nazwie Aplikacja, do którego zapisuje zdarzenia aplikacja MALKOM VPN Client. Zmiana konfiguracji dziennika jest możliwa z poziomu Przeglądarki zdarzeń, opisanej powyżej [9.1]. Po uruchomieniu aplikacji przeglądarki należy zaznaczyć na liście dostępnych dzienników ten o nazwie Aplikacja, a następnie z menu Akcja wywołać polecenie Właściwości, które spowoduje wyświetlenie poniższego okna dialogowego zawierającego konfigurację wybranego dziennika. Najbardziej istotnym parametrem dziennika jest maksymalny rozmiar jaki może on osiągnąć oraz sposób reakcji systemu w przypadku osiągnięcia przez dziennik limitu maksymalnego. Domyślne ustawienia dziennika pozwalają mu na osiągnięcie rozmiaru nie większego niż 512kB i nadpisywanie zdarzeń starszych niż 7 dni. W przypadku, gdy na komputerze jest zainstalowanych kilka aplikacji logujących duże ilości zdarzeń, domyślne ustawienia dziennika mogą się okazać niewystarczające. Strona 31 z 36

32 Widok okna właściwości dziennika zdarzeń. W zależności od przyjętej polityki bezpieczeństwa zaleca się odpowiednią konfigurację dziennika albo poprzez zwiększenie dopuszczalnego rozmiaru dziennika albo poprzez umożliwienie nadpisywania zdarzeń. Uwaga! Jeżeli dziennik zostanie zapełniony całkowicie, a jego konfiguracja nie będzie zezwalała na nadpisywanie zdarzeń, aplikacja MALKOM VPN Client nie będzie w stanie zapisać do niego żadnych nowych zdarzeń, przez co jej funkcjonowanie będzie wstrzymane aż do czasu zmiany konfiguracji dziennika lub wyczyszczenia jego zawartości. 9.3 Opis rejestrowanych zdarzeń Aplikacja MALKOM VPN Client rejestruje następujące zdarzenia do rejestru systemowego: Identyfikator Opis zdarzenia Kategoria: Uruchamianie/Zatrzymywanie 100 Uruchomienie aplikacji. Rozpoczęcie logowania zdarzeń. 101 Zakończenie logowania zdarzeń. Zatrzymanie aplikacji. 102 Błąd inicjalizacji aplikacji. Strona 32 z 36