src/practical_settings/proxy_solutions.tex

   1 %%\subsection{Intercepting proxy solutions and reverse proxies}
   2
   3 Within enterprise networks and corporations with increased levels of paranoia or at least some defined security requirements it is common \textbf{not} to allow direct connections to the public internet.
   4
   5 For this reason proxy solutions are deployed on corporate networks to intercept and scan the traffic for potential threats within sessions.
   6
   7 For encrypted traffic there are four options:
   8
   9 \begin{itemize}
  10   \item Block the connection because it cannot be scanned for threats.
  11   \item Bypass the threat-mitigation and pass the encrypted session to the client, which results in a situation where malicious content is transferred directly to the client without visibility to the security system.
  12   \item Intercept (i.e. terminate) the session at the proxy, scan there and re-encrypt the session towards the client (effectively MITM).
  13   \item Deploy special Certificate Authorities to enable Deep Packet Inspection on the wire.
  14 \end{itemize}
  15
  16 While the latest solution might be the most "up to date", it arises a new front in the context of this paper, because the most secure part of a client's connection could only be within the corporate network, if the proxy-server handles the connection to the destination server in an insecure manner.
  17
  18 Conclusion: Don't forget to check your proxy solutions SSL-capabilities. Also do so for your reverse proxies!
  19
  20 %% ----------------------------------------------------------------------
  21 \subsection{squid}
  22 As of squid-3.2.7 (01 Feb 2013) there is support for the OpenSSL NO\_Compression option within squid config (CRIME attack) and if you combine that in the config file, with an enforcement of the server cipher preferences (BEAST Attack) you are safe.
  23
  24
  25 \paragraphDiamond{squid.conf}
  26
  27 \todo{UNTESTED!}
  28 \begin{lstlisting}
  29 options=NO_SSLv2,NO_TLSv1,NO_Compression,CIPHER_SERVER_PREFERENCE
  30 cipher=%*\cipherStringB*)
  31 \end{lstlisting}
  32
  33 \paragraphDiamond{squid.conf}
  34
  35 %% http://forum.pfsense.org/index.php?topic=63262.0
  36
  37 \todo{UNTESTED!}
  38 \begin{lstlisting}
  39                 NO_SSLv2    Disallow the use of SSLv2
  40                 NO_SSLv3    Disallow the use of SSLv3
  41                 NO_TLSv1    Disallow the use of TLSv1.0
  42                 NO_TLSv1_1  Disallow the use of TLSv1.1
  43                 NO_TLSv1_2  Disallow the use of TLSv1.2
  44                 SINGLE_DH_USE
  45                                 Always create a new key when using temporary/ephemeral
  46                                 DH key exchanges
  47 \end{lstlisting}
  48
  49 \todo{Patch here? Definitely working for 3.2.6!}
  50 For squid Versions before 3.2.7 use this patch against a vanilla source-tree:
  51
  52 \begin{lstlisting}
  53 --- support.cc.ini      2013-01-09 02:41:51.000000000 +0100
  54 +++ support.cc  2013-01-21 16:13:32.549383848 +0100
  55 @@ -400,6 +400,11 @@
  56          "NO_TLSv1_2", SSL_OP_NO_TLSv1_2
  57      },
  58  #endif
  59 +#ifdef SSL_OP_NO_COMPRESSION
  60 +    {
  61 +        "NO_Compression", SSL_OP_NO_COMPRESSION
  62 +    },
  63 +#endif
  64      {
  65          "", 0
  66      },
  67 \end{lstlisting}
  68
  69
  70 %% ----------------------------------------------------------------------
  71 \subsubsection{Bluecoat}
  72 %% https://kb.bluecoat.com/index?page=content&id=KB5549
  73 \subsubsection{Tested with Versions}
  74 \begin{itemize}
  75   \item SGOS 6.5.x
  76 \end{itemize}
  77
  78 BlueCoat Proxy SG Appliances can be used as forward and reverse proxies. The reverse proxy feature is rather under-developed, and while it is possible and supported, there only seems to be limited use of this feature "in the wild" - nonetheless there are a few cipher suites to choose from, when enabling SSL features.
  79
  80 \paragraph{Only allow TLS 1.0,1.1 and 1.2 protocols:} \mbox{}
  81
  82 \begin{lstlisting}
  83 $conf t
  84 $(config)ssl
  85 $(config ssl)edit ssl-device-profile default
  86 $(config device-profile default)protocol tlsv1 tlsv1.1 tlsv1.2
  87   ok
  88 \end{lstlisting}
  89
  90 \paragraph*{Select your accepted cipher-suites:} \mbox{}
  91
  92 \begin{lstlisting}
  93 $conf t
  94 Enter configuration commands, one per line.  End with CTRL-Z.
  95 $(config)proxy-services
  96 $(config proxy-services)edit ReverseProxyHighCipher
  97 $(config ReverseProxyHighCipher)attribute cipher-suite
  98 Cipher#  Use        Description        Strength
  99 -------  ---  -----------------------  --------
 100       1  yes            AES128-SHA256      High
 101       2  yes            AES256-SHA256      High
 102       3  yes               AES128-SHA    Medium
 103       4  yes               AES256-SHA      High
 104       5  yes       DHE-RSA-AES128-SHA      High
 105       6  yes       DHE-RSA-AES256-SHA      High
 106                [...]
 107      13  yes          EXP-RC2-CBC-MD5    Export
 108
 109 Select cipher numbers to use, separated by commas: 2,5,6
 110   ok
 111 \end{lstlisting}
 112
 113 The same protocols are available for forward proxy settings and should be adjusted accordingly:
 114 In your local policy file add the following section:
 115 \begin{lstlisting}
 116 <ssl>
 117     DENY server.connection.negotiated_ssl_version=(SSLV2, SSLV3)
 118 \end{lstlisting}
 119
 120 Disabling protocols and ciphers in a forward proxy environment could lead to unexpected results on certain (misconfigured?) webservers (i.e. ones accepting only SSLv2/3 protocol connections)
 121
 122
 123 %% ----------------------------------------------------------------------
 124 \subsection{Pound}
 125 % See http://www.apsis.ch/pound
 126 % See https://help.ubuntu.com/community/Pound
 127
 128 \subsubsection{Tested with Versions}
 129 \begin{itemize}
 130   \item Pound 2.6
 131 \end{itemize}
 132
 133 \begin{lstlisting}
 134 # HTTP Listener, redirects to HTTPS
 135 ListenHTTP
 136     Address 10.10.0.10
 137     Port    80
 138     Service
 139         Redirect "https://some.site.tld
 140     End
 141 End
 142 ## HTTPS Listener
 143 ListenHTTPS
 144     Address      10.10.0.10
 145     Port         443
 146     AddHeader    "Front-End-Https: on"
 147     Cert         "/path/to/your/cert.pem"
 148     ## See 'man ciphers'.
 149     Ciphers      "TLSv1.2:TLSv1.1:!SSLv3:!SSLv2:%*\cipherStringB*)"
 150     Service
 151         BackEnd
 152             Address 10.20.0.10
 153             Port 80
 154         End
 155     End
 156 End
 157 \end{lstlisting}
 158