Módulo 9 - Roteiro 1

Tarefas

No final deste módulo você deve submeter em um ÚNICO arquivo PDF os seguintes prints:

Atividade 9.1: passo 16.
Atividade 9.2: passo 17.
Atividade 9.3: passo 10.
Atividade 9.4: passo 14.
Atividade 9.5: passo 5.

Atividade 9.1 – Criando uma Autoridade Certificadora no Windows Server 2022

Nesta atividade, vamos usar o Windows Server 2022 (servidor) para implementar uma autoridade certificadora pronta para processar solicitações de certificados e emitir certificados. Esta atividade tem como pré-requisito as atividades 5.1 a 5.5, caso não as tenha feito, será necessário fazê-lo antes!

Vamos começar inicializando o Windows Server 2022 (servidor).

1) Clique onde está escrito “Type here to search”, escreva “Server Manager” e clique no botão “Server Manager”.

2) No canto superior direito da tela do “Server Manager”, clique em “Manage” --> “Add roles and features” para inicializar a configuração.

3) Clique em “Next” 3 vezes.

4) Estando no campo “Server Roles” da coluna esquerda, identifique na coluna direita e clique na caixa de ativação “Active Directory Certificate Services”, clique em “Add Features” e clique em “Next” 3 vezes.

5) Estando no campo “Server Roles” da coluna esquerda, confira que na coluna direita a caixa de ativação “Certification Authority” está ativada e clique em “Next” e “Install”. Verifique que a instalação é realizada (veja a barra de progresso andando) com a mensagem “Installation started on DC01.aluno.hacker.com”, aguarde até finalizar e não feche a janela.

6) Ao finalizar a instalação, clique na mensagem em azul “Configure Active Directory Certificate Services on the Destination server”.

7) Na janela aberta “AD CS Configuration”, clique em “Next”. Marque a caixa “Certification Authority” e clique em “Next”.

8) Verifique que a opção “Enterprise CA” está selecionada. Importante: caso você não tenha realizado as atividades 5.1 a 5.4, essa opção não estará disponível e você não poderá implementar esta Atividade. Com a opção selecionada, Clique em “Next”.

9) Verifique que a opção “Root CA” está selecionada e clique em “Next”.

10) Verifique que a opção “Create a new private key” está selecionada e clique em “Next”. Clique em “Next” novamente aceitando o fornecimento criptográfico padrão RSA de 2048 bits e o Hash SHA256.

11) Aceite as opções padrão do nome comum “aluno-DC01-CA” e os outros campos. Clique em “Next”.

12) Aumente a validade dos certificados de 5 para 10 anos e clique em “Next”.

13) Aceite o local padrão da localização da base de dados “C:\Windows\system32\CertLog” e clique em “Next”.

14) Leia o resumo da configuração e clique em “Configure”. No final da configuração você verá o check verde com a mensagem “Configuration succeeded”. Clique em “Close” 2 vezes.

15) Clique no botão de “Windows” (canto inferior esquerdo), expanda a pasta “Windows Administrative Tools” e clique em “Certification Authority”.

16) Verifique que há uma “Certification Authority (Local)” chamada “aluno-DC01-CA”. Não feche nenhuma janela e continue com a próxima atividade (NÃO SE ESQUEÇA DE PRINTAR ESTE PASSO!).

Parabéns! Agora você configurou uma Autoridade Certificadora Local no Windows Server 2022 (servidor)!

Atividade 9.2 – Emitindo certificados digitais usando uma Autoridade Certificadora no Windows Server 2022

Nesta atividade, vamos usar o Windows Server 2022 (servidor) para emitir certificados digitais por uma autoridade certificadora para os clientes da minha rede. Vamos dar continuidade à atividade anterior.

1) Na janela “certsrv – [Certification Authority (Local)]”, expanda “aluno-DC01-CA” e clique com o botão direito na pasta “Certificate Templates” --> “Manage”.

2) Na parte do meio da janela nova “Certificate Template Console”, localize e clique com o botão direito no Template Display Name chamado de “Workstation Authentication”. Clique em “Duplicate Template”.

3) Na nova janela “Properties of New Template”, selecione a aba “General” e modifique o “Template display name” para “ALUNO COMPUTADOR”.

4) Selecione a aba “Subject Name” e habilite a caixa de “User principal name (UPN)”.

5) Selecione a aba “Security” e clique em “Domain Computers (ALUNO\Domain Computers)”. Ative as caixas no modo “Allow” para “Read” e “Autoenroll”. Clique em “Apply” e “OK”. Veja que um novo “Template Display Name” foi criado com o nome “ALUNO COMPUTADOR”. Feche a janela atual.

6) De volta na janela “certsrv – [Certification Authority (Local)]”, clique com o botão direito na pasta “Certificate Templates” --> “New” --> “Certificate Template to Issue”. Com isso, vamos emitir um certificado!

7) Na nova janela “Enable Certificate Templates”, selecione “ALUNO COMPUTADOR” e clique em “OK”.

8) Clique na pasta “Certificate Templates” e veja que o certificado “ALUNO COMPUTADOR” está presente na coluna da direita.

9) Volte para a janela “Server Manager” e clique em “Tools” --> “Group Policy Management”.

10) Expanda “Forest: aluno.cua.ufmt.br” --> “Domains” --> “aluno.cua.ufmr.br” --> “Group Policy Objects”. Clique com o botão direito em “Group Policy Objects” e clique em “New”.

11) Insira o nome:

COMPUTADOR: Politica de Inscricao de Certificado

Clique “OK”. Note que um conteúdo chamado “COMPUTADOR: Politica de Inscricao de Certificado” foi criado em “Group Policy Objects”.

12) Clique com o botão esquerdo no novo GPO chamado “COMPUTADOR: Politica de Inscricao de Certificado” e clique em “Edit”.

13) Na nova Janela “Group Policy Management Editor”, encontre “Computer Configuration” e expanda: “Policies” --> “Windows Settings” --> “Security Settings” --> clique em “Public Key Policies”. Na coluna da direita, clique 2 vezes em “Certificate Services Client – Auto-Enrollment”.

14) Na nova janela, mude o “Configuration Model” de “Not configured” para “Enabled”.

15) Habilite as caixas “Renew expired...” e “Update certificates ...”. Clique em “Apply” e “OK”.

16) Na coluna da direita da janela “Group Policy Management Editor”, clique com o botão direito na pasta “Automatic Certificate Request Settings” --> “New” --> “Automatic Certificate Request...”. Clique 2 vezes em “Next” e finalmente em “Finish”.

17) Na “Taskbar” (barra inferior do Windows), clique onde está escrito “Type here to search”, escreva “cmd” e acesse ao “Command Prompt”. Escreva o commando (NÃO SE ESQUEÇA DE PRINTAR ESTE PASSO!):

C:\Users\Administrator>gpupdate /force
Updating policy...

Computer Policy update has completed successfully.
User Policy update has completed successfully.

Com esse comando, os clientes da rede contarão com os certificados!

18) Feche o CMD. Não feche as outras janelas.

19) Volte à janela “certsrv – [Certification Authority (Local)]”, clique na pasta “Issued Certificates” e veja que foi emitido um certificado, que será usado pelo cliente Windows Server 2022 (cliente). Com isso, é verificado que o certificado foi emitido e pode ser usado.

Parabéns! Agora você sabe como emitir certificados digitais do Windows Server 2022 (servidor) para os clientes da rede!

Atividade 9.3 – Conhecendo o certificado digital obtido no Windows Server 2022

Nesta atividade, vamos usar o Windows Server 2022 (cliente) para conhecer o certificado digital emitido pelo Windows Server 2022 (servidor). Vamos dar continuidade à atividade anterior.

1) Vamos começar inicializando o Windows Server 2022 (cliente).

2) Na barra de tarefas, clique onde está escrito “Type here to search”, escreva CMD e abra o Command Prompt.

3) Efetue e ping para o Windows Server 2022 (servidor):

C:\Users\nome1>ping 192.168.100.2

Pinging 192.168.100.2 with 32 bytes of data:
Reply from 192.168.1.2: bytes=32 time<1ms TTL=128
Reply from 192.168.2.2: bytes=32 time=1ms TTL=128

4) IMPORTANTE: Caso o ping do passo anterior não funcione, está ocorrendo alguma falha na conectividade entre as VM, isso precis ser corrigida.

5) Feche a janela do CMD.

6) Na barra de tarefas, clique onde está escrito “Type here to search”, escreva “Manage user certificates” e clique no botão “Manage user certificates”.

7) Na janela aberta “certmgr – [Certificates – Current User]”, expanda a pasta “Trusted Root Certification Authorities”.

8) Clique na pasta “Certificates”. Veja que há um certificado chamado “aluno-DC01-CA” emitido por aluno-DC01-CA (caso o certificado não apareça, abra o CMD, forneça o comando “gpupdate /force”, reinicie o Windows Server 2022 e volte ao passo 1).

A partir do momento que o certificado estiver aparecendo, clique 2 vezes nesse certificado.

9) Leia toda a descrição da aba “General”.

10) Selecione a aba “Details”. Leia todas as descrições como (NÃO SE ESQUEÇA DE PRINTAR ESTE PASSO!):

Version.
Signature algorithm.
Signature hash algorithm.
Valid to.
Public Key
Key Usage

11) Selecione a aba “Certification Path”. Leia todas as descrições. E clique em “Ok” para fechar essa janela.

12) Agora vamos ver o que pode ser feito com esse certificado. Clique com o botão direito no certificado “aluno-DC01-CA” e selecione “Properties”.

13) Na aba “General”, veja os propósitos desse certificado em “Certificate purposes”.\

14) Observe que também há a opção de uso do protocolo OCSP (na aba “OSCP”) para que seja ativado e gerencie esse certificado. Clique em “Cancel” para sair.

15) Feche a janela “certmgr”.

Parabéns! Agora você identificou no Windows Server 2022 (cliente) o certificado emitido pelo Windows Server 2022 (servidor).

Atividade 9.4 – Avaliando certificados web no Windows Server 2022

Nesta atividade, vamos usar o Windows Server 2022 (cliente) para avaliar certificados digitais usados por sites. Vamos dar continuidade à atividade anterior, toda no Windows Server 2022 (cliente).

1) No Windows Server 2022 (cliente), abra o aplicativo Microsoft Edge, que está presente na barra de tarefas.

2) No navegador, acesse o site do Google:

https://www.google.com/

3) No navegador, clique no símbolo do cadeado que fica ao lado esquerdo da barra de navegação.

4) Clique no campo “Connection is secure”.

5) Clique no ícone de certificado, que fica à esquerda do símbolo X de fechamento.

6) Na aba “General”, leia os campos:

Issued To
Issued By
Validity Period
Fingerprints

7) Na aba “Detail”, leia os campos:

Certificate Hierarchy
Cerfiticate Fields

8) Ainda na aba “Detail”, vamos exportar o certificado! Clique no botão “Export...” e salve o certificado na pasta recomendada “Downloads”.

9) Na barra de tarefas, clique onde está escrito “Search”, escreva “notepad” e clique no botão “Notepad”.

10) No Notepad, clique em “File” --> “Open”.

11) Na janela aberta, clique na pasta “Downloads” na coluna da esquerda.

12) Mude a seleção “Text documents (*.txt)” para “All files”.

13) Veja que agora o certificado que baixamos é mostrado. Clique 2 vezes no certificado.

14) Veja a estrutura do certificado. Deve ser mostrado algo similar a (NÃO SE ESQUEÇA DE PRINTAR ESTE PASSO!):

15) Feche o Notepad e o Microsoft Edge..

Parabéns! Agora você sabe como é o conteúdo de um certificado digital de um site!

Atividade 9.5 – Criando certificados digitais auto assinados no Kali Linux

Nesta atividade, vamos usar o Kali Linux para criar certificados digitais auto assinados. Para criar um certificado digital no Kali Linux usando a linha de comando, você pode usar a ferramenta OpenSSL. O OpenSSL é uma biblioteca de criptografia de código aberto que oferece várias funções para gerar e gerenciar certificados digitais.

Vamos começar inicializando nosso Kali Linux.

1) Abra o Terminal e execute o seguinte comando para ser super usuário:

┌──(aluno㉿kali)-[~]
└─$ sudo -i
[sudo] senha para aluno:

2) Acesse a pasta Arquivos:

┌──(root㉿kali)-[~]
└─# cd /home/aluno/Documentos/Arquivos

3) Use o comando openssl genpkey para gerar uma chave privada. No exemplo abaixo, estamos gerando uma chave privada RSA de 2048 bits e salvando-a em um arquivo chamado "private.key". Ao executar este comando, você será solicitado a inserir uma senha para proteger a chave privada. Use a senha “abcd1234”. Após criada a chave privada, veja o conteúdo da pasta:

┌──(root㉿kali)-[/home/aluno/Documentos/Arquivos]
└─# openssl genpkey -algorithm RSA -out private.key -aes256
................+..+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++*.....+...........+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++*.......+.+......+..+......+......+....+.....+.........+.+.........+............+.....+.+...+............+...+..+.........+......+....+...+.................+.+...+.....+......+.+........+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
..+..+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++*..+....+........+.............+.........+........+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++*....+..................+......+.+..+......+....+..+.+..............+.........+......+......+.......+........+....+........+......+.+........+.........................+...+..+...+...+.+...+........+...+............+....+........+.........................+..+...+............+...+..........+........+.............+.....+.......+...+...........+...+...............+.+...........+...+......+......+.+...+..+.......+..+.+........+....+......+.....+.....................+....+..+.......+...+.....+...+.+........+.+.....+.......+..+.......+.....+.+............+...........+.......+.........+...........+.......+...+...+..+...+.........+.......+.....+.........+.........+.......+.....+++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
Enter PEM pass phrase:
Verifying - Enter PEM pass phrase:

┌──(root㉿kali)-[/home/aluno/Documentos/Arquivos]
└─# ls
private.key

O comando mostrado acima conta com os seguintes parâmetros:

openssl: É o comando que invoca a ferramenta OpenSSL no terminal.
genpkey: É o comando específico do OpenSSL utilizado para gerar chaves privadas.
-algorithm RSA: Especifica o algoritmo a ser usado para gerar a chave privada. Nesse caso, o algoritmo RSA é escolhido.
-out private.key: Especifica o nome e o local do arquivo de saída que conterá a chave privada gerada. No exemplo, o nome do arquivo é "private.key".
-aes256: Indica que a chave privada gerada será criptografada usando o esquema de criptografia AES-256. AES (Advanced Encryption Standard) é um algoritmo de criptografia amplamente utilizado e considerado seguro. O número 256 se refere ao tamanho da chave em bits.
Agora vamos gerar o CSR (Certificate Signing Request), que será usado para solicitar um certificado assinado por uma Autoridade de Certificação. Use o comando openssl req para gerar o CSR (insira a senha usada no passo anterior). No exemplo abaixo, estamos gerando um CSR e salvando-o em um arquivo chamado "request.csr". Ao executar este comando, você será solicitado a fornecer informações como o país, estado, cidade, organização e nome comum para o certificado. Preencha as informações solicitadas conforme necessário e no final confira o conteúdo da nossa pasta:

┌──(root㉿kali)-[/home/aluno/Documentos/Arquivos]
└─# openssl req -new -key private.key -out request.csr
Enter pass phrase for private.key:
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:BR
State or Province Name (full name) [Some-State]:MT
Locality Name (eg, city) []:Barra do Garcas
Organization Name (eg, company) [Internet Widgits Pty Ltd]:UFMT
Organizational Unit Name (eg, section) []:CUA
Common Name (e.g. server FQDN or YOUR name) []:cua.ufmt.br
Email Address []:a@cua.ufmt.br

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:ufmt
An optional company name []:UFMT

O comando mostrado acima conta com os seguintes parâmetros:

openssl: É o comando do OpenSSL para executar operações relacionadas a certificados e criptografia.
req: Indica que queremos realizar uma operação relacionada a requisição de certificados.
-new: Especifica que queremos criar uma nova requisição de certificado.
-key private.key: Indica o caminho do arquivo contendo a chave privada que será associada ao CSR. Nesse exemplo, "private.key" é o arquivo contendo a chave privada gerada anteriormente.
-out request.csr: Especifica o caminho do arquivo de saída que conterá o CSR gerado. Nesse exemplo, o CSR será salvo no arquivo chamado "request.csr".

5) Finalmente, geraremos o certificado autoassinado. Vamos usar a chave privada e o CSR gerados para criar um certificado autoassinado (use a senha inserida no passo 3). Use o comando openssl x509 para gerar o certificado. No exemplo abaixo, estamos gerando um certificado com validade de 365 dias e salvando-o em um arquivo chamado "certificate.crt". No final confira o conteúdo da nossa pasta (NÃO SE ESQUEÇA DE PRINTAR ESTE PASSO!):

┌──(root㉿kali)-[/home/aluno/Documentos/Arquivos]
└─# openssl x509 -req -in request.csr -signkey private.key -out certificate.crt -days 365
Enter pass phrase for private.key:
Certificate request self-signature ok
subject=C = BR, ST = MT, L = Barra do Garcas, O = UFMT, OU = CUA, CN = cua.ufmt.br, emailAddress = a@cua.ufmt.br

┌──(root㉿kali)-[/home/aluno/Documentos/Arquivos]
└─# ls
certificate.crt  private.key  request.csr

O comando mostrado acima conta com os seguintes parâmetros:

openssl x509: Esse é o comando principal do OpenSSL para operações relacionadas a certificados X.509.
-req: Essa opção indica que o certificado será gerado a partir de uma CSR (Certificate Signing Request), que foi especificada com o parâmetro -in.
-in request.csr: Especifica o arquivo de entrada que contém a CSR. Nesse caso, o arquivo "request.csr" é usado como entrada para gerar o certificado.
-signkey private.key: Essa opção indica o arquivo de chave privada a ser usado para assinar o certificado. O arquivo "private.key" contém a chave privada correspondente à CSR e será usada para gerar o certificado assinado.
-out certificate.crt: Especifica o nome e o local do arquivo de saída que conterá o certificado gerado. Nesse caso, o certificado será salvo no arquivo "certificate.crt".
-days 365: Essa opção define a validade do certificado em dias. Nesse caso, o certificado terá uma validade de 365 dias a partir do momento em que for gerado. Você pode ajustar esse valor conforme necessário.

Quando você executa esse comando, o OpenSSL lerá a CSR especificada no arquivo "request.csr", usará a chave privada contida no arquivo "private.key" para assinar o certificado e, em seguida, gerará o certificado assinado no arquivo "certificate.crt". Esse certificado estará válido por 365 dias a partir do momento em que for gerado.

6) Apague os arquivos da pasta “Arquivos”:

┌──(root㉿kali)-[/home/aluno/Documentos/Arquivos]
└─# rm -r *       
zsh: sure you want to delete all 2 files in /home/aluno/Documentos/Arquivos [yn]? y

┌──(root㉿kali)-[/home/aluno/Documentos/Arquivos]
└─# ls

Parabéns! Agora você sabe como criar certificados auto assinados no Kali Linux!