תעודה דיגיטלית חינם
GoPhish

בלי כתוביותעם כתוביות

מילון מושגים:

פישינג - ניסיון הונאה שבו תוקף מתחזה לגורם מהימן כדי לגרום לקורבן למסור פרטים רגישים כמו סיסמאות.

nslookup - פקודה לבדיקת רשומות DNS, שמאפשרת לברר לאיזו כתובת IP מתורגם שם מתחם.

שרת DNS - שרת שמתרגם שמות מתחם קריאים, כמו example.com, לכתובות IP שהמחשבים משתמשים בהן.

SSL - פרוטוקול להצפנת תקשורת ברשת ולאימות זהות השרת. קודמו של TLS, והשם עדיין נפוץ בשימוש.

ספאם - הודעות דואר או מסרים לא רצויים שנשלחים בהמוניהם, לרוב פרסום או ניסיונות הונאה.

מפתח ציבורי - המפתח הגלוי בהצפנה אסימטרית, שאפשר לחלוק עם כולם, ומשמש להצפנה או לאימות חתימה.

TLS - הפרוטוקול המודרני להצפנת תקשורת ברשת ולאימות זהות, היורש של SSL, העומד בבסיס HTTPS.

דשבורד - מסך שמרכז נתונים ומדדים חשובים בתצוגה חזותית, לצורך מעקב וקבלת החלטות במבט אחד.

תעודה דיגיטלית חינם
GoPhish

בשיעור זה אנו מארגנים תעודה דיגיטלית עבור אתר הפישינג שלנו, כדי שהאתר לא ייראה חשוד בעיני הלקוחות והדפדפן לא יציג להם אזהרות מפחידות, ומתקינים את התעודה בתוך GoPhish עצמו.

נושאי הסיכום המוצגים בשיעור:

1. יצירת שם ב-DNS: כדי שתהיה לנו תעודה דיגיטלית צריך קודם כל שם. נכנסים לשרת ה-DNS שמנהל את השמות של הדומיין שרכשנו או השגנו בחינם, ומוסיפים רשומה חדשה, למשל linkedin על שם הדומיין, שמצביעה על כתובת ה-IP של השרת שלנו, כדי שהקורבנות יוכלו להגיע אליו, בענן זה תהיה כתובת חיצונית וברשת פנימית כתובת פנים-ארגונית. בודקים את הרשומה בעזרת nslookup מול שרת DNS של גוגל ומוודאים שהיא עובדת.

2. הרשמה ב-Zero SSL: פונים לאתר Zero SSL שנותן תעודות דיגיטליות בחינם לתקופה של 90 יום, מציינים את השם שעליו רוצים תעודה, ויוצרים חשבון, כאשר שימושי להיעזר בתיבת אימייל זמנית כדי שלא יציקו עם ספאם.

3. WildCard מול שם בודד: בשלב ההגדרות האתר מציע תעודת WildCard, כלומר תעודה עם כוכבית שתופסת לכל שם בתוך הדומיין ומשרתת את כל הארגון, אך אפשרות זאת דורשת גרסה מקצועית בתשלום, וכך גם הוספת שמות נוספים לאותה תעודה. אנו מסתפקים בתעודה לשם בודד ובוחרים בתוקף של 90 יום בחינם, שמספיק לצרכי הפישינג.

4. ה-CSR: בשלב הבא האתר יוצר CSR, בקשה לתעודה דיגיטלית, שהוא יוצר באופן עצמאי. אפשר גם לייצר אותה באופן ידני עם פרטי הארגון, או להביא CSR מוכן מתוכנה אחרת. אנו לא מוסיפים שום פרטים מזהים לתוך התעודה, והאתר מציע בתשלום תעודות לשנה, על כמה שמות או WildCard, אך ההצעות האלה לא מעניינות אותנו כרגע.

5. אימות הבעלות על הדומיין: כדי לקבל את התעודה צריך להוכיח שאנו שולטים על הדומיין, באחת משלוש דרכים, אימייל לתיבת האדמין, העלאת קובץ לשרת ה-web, או דרך ה-DNS. בוחרים ב-DNS, והאתר דורש יצירת רשומה מסוג CNAME, רשומה שמצביעה לשם אחר ולא לכתובת IP, עם שם ויעד מדויקים שהאתר מציין.

6. ניהול DNS חינמי: את הרשומה יוצרים באתר Free DNS שמאפשר לנהל בחינם את ה-DNS של השם שיש לנו, וכך ניתן לשלב בין דומיין שנרכש בכעשרים דולר לשנה, או דומיין חינמי, לבין ניהול חינמי של הרשומות. יוצרים את ה-CNAME בשם וביעד שהאתר דרש ושומרים.

7. בדיקה ואישור: ב-CMD מריצים nslookup עם ציון סוג הרשומה CNAME מול שרת ה-DNS של גוגל, מוודאים שהשם אכן מצביע ליעד שנדרש, ואז לוחצים Verify באתר. האתר מאשר שהדומיין אומת בהצלחה ומנפיק מיד את התעודה הדיגיטלית, חינם לחלוטין ובלי שום כרטיס אשראי, עם חידוש נדרש כל 90 יום.

8. תוכן חבילת התעודה: לאחר ההורדה מחלצים את ה-zip ומקבלים שלושה קבצים. ה-private.key הוא המפתח הפרטי שיישב אצלנו בשרת ולא נמסר לאף אחד, הסרטיפיקט מכיל בתוכו את המאפיינים של התעודה, מי הנפיק אותה, מתי ועד מתי היא בתוקף, על איזה שם היא תופסת, ובעיקר את ה-public key, שהוא בן הזוג של המפתח הפרטי. מה שה-private סוגר ה-public פותח ולהפך, ואת ה-public מפיצים ללקוחות דרך האתר ב-HTTPS. קיים גם קובץ CA Bundle עם שרשרת התעודות שמעל Zero SSL למקרה שמכשיר לא מכיר את המנפיק, אך הוא לא נדרש כאן.

9. התקנת התעודה ב-GoPhish: עוצרים את GoPhish ב-Ctrl+C, פותחים את config.json ב-notepad, ושם מופיעים שני השרתים, ה-Admin Server שהוא הממשק שלנו כמנהלים, וה-Phishing Server שאליו מתחברים הלקוחות. משנים את שם קובץ התעודה והמפתח הפרטי לשמות החדשים שלנו, מציבים בשני השרתים את הנתיבים החדשים, ומשנים את הדגל של SSL/TLS בשרת הפישינג מ-false ל-true, כך שהלקוחות יקבלו HTTPS תקין על פורט 443 במקום פורט 80.

10. הפעלה ובדיקה סופית: בדשבורד של הניהול מעדכנים את הכתובת לשם החדש שיצרנו עם פורט 333. בהפעלה הראשונה החיבור נכשל פעמיים, קודם כי התוכנה לא הופעלה, ואחר כך כי היא מאזינה על 127.0.0.1 בלבד, כתובת שלא נגישה מבחוץ. עוצרים שוב, משנים ב-config את כתובת ההאזנה ל-0.0.0.0, שאומרת להאזין על כל כתובות ה-IP, מפעילים מחדש, ורואים שהאתר נפתח עם מנעול HTTPS תקין. הלקוחות יגיעו לפורט 443 הרגיל ויקבלו דף פישינג ללא אזהרות, ואת בניית הדף נעשה בהרצאה הבאה.

סיכמנו את תהליך קבלת תעודה דיגיטלית חינמית מ-Zero SSL, מיצירת השם ב-DNS ואימות הבעלות דרך רשומת CNAME, דרך ההבנה של זוג המפתחות הפרטי והציבורי, ועד להתקנת התעודה בקונפיגורציה של GoPhish והפעלתה ב-HTTPS תקין. זה הכל, תודה רבה.

בשיעור הבא נעסוק בנושא שליחת מייל פישינג - GoPhish.

פרקי ההרצאה: תעודה דיגיטלית חינם GoPhish

תמלול ההרצאה: תעודה דיגיטלית חינם GoPhish

הטקסט המלא של הדקות הראשונות בהרצאה «תעודה דיגיטלית חינם GoPhish» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

00:02
שלום לכולם, בהרצאה הזו אנחנו רוצים לארגן תעודה דיגיטלית כדי שהאתר לא יהיה כזה חשוד. אז כדי שתהיה לי תעודה דיגיטלית, דבר ראשון אני חייב שם. אז אני הולך לשרת DNS שלי, זה שמנהל לי את כל השמות עבור דומיין שקניתי או השגתי אותו בחינם, ואני מוסיף פה שם חדש.
00:20
איזה שם נוסיף? נניח לינקדין, נקודה, השם של הדומיין, פרקטיקיו.קום. פה אתם שמים כתובת IP האינטרנטית שלכם. המטרה שלכם, שהקליינטים שלכם, הלקוחות שלכם, יוכלו להגיע לשרת הזה, למחשב הזה.
00:36
במקרה שלי, בתוך רשת פנימית, הם יוכלו גם להגיע לפי כתובת הפנים-ארגונית שלי. במציאות, אם זאת הייתה מכונה וירטואלית, נניח בענן, הייתי שם פה כתובת IP חיצונית.
00:49
העיקר שהלקוחות שלכם, הקורבנות שלכם, יוכלו להגיע למחשב הזה. אני עושה סייב, והנה יש לי פה רשומה חדשה של LinkedIn.practicue.com, ה-IP הזה. בוא נבדוק שזה כבר עובד לנו, נעשה NS-לוקאפ, נשאל על השם הזה את גוגל 8888. בוא נראה אם הוא יודע את התשובה לשאלה הזאת, והוא נותן לי את ה-IP הזה.
01:12
וכרגע אני רוצה לעשות תעודה דיגיטלית על השם הזה שקיבלנו. אז אני אומר לו באתר זירו SSL, שזה אתר שנותן לי פרי SSL סרטיפיקט, תעודות דיגיטליות בחינם, אבל רק לשלושה חודשים.
01:26
אני אומר לו איזה שם אני רוצה, indy.practicu.com עושה נקסט הוא אומר לי שאני חייב ליצור אקאונט חשבון אצלו טוב בוא נעשה חשבון נכתוב פה temp email enter ניכנס לאיזשהו אימייל זמני תיבת אימייל כזאתי רק כדי שלא יטרידו אותי עם כל מיני ספאמים שלהם אני כותב לו את הכתובת נותן איזושהי סיסמה עושה נקסט
01:51
והגענו לחלון של סרטיפיקייט סטאפ הוא מציע לי פה תעודה דיגיטלית עם ויילד קארד ויילד קארד זה כוכבי בתוך השם זה אומר כל מילה שאני ארצה לאו דווקא לינקדאין תעודה דיגיטלית שיהיה פה כתוב כוכבית ותתפוס לכל השמות שאני אשים אותה תעודה תשרת את כל הארגון שלי אבל הדבר הזה דורש גרסת פרופשנל
02:12
שעולה כסף אני אסתפק בשם בודד בתוך התעודה שהתעודה הזאת תשרת רק את השם הזה יותר מזה אני יכול על אותה תעודה להוסיף עוד שמות אבל זה דורש גרסת פרופשנל ותשלום אוקיי נעבור לנקסט סטייפ ואני אני יכול לקבל תעודה לשנה בתשלום או ל-90 יום בחינם.
02:33
אני מעדיף 90 יום בחינם, זה יספיק לי לפישינג. נקסט, פה הוא ייצר CSR. CSR זה בקשה לתעודה דיגיטלית, הוא הולך ליצור אותה באופן עצמאי.
02:44
אני יכול לייצר את הבקשה הזאת באופן ידני, לציין פה את הכתובת אימייל ואת כל הפרטים של הארגון שלי. ואני אפילו יכול להשתמש ב-CSR מוכן שאני מביא אותו נניח מאתר ה-S שלי או מאיזושהי תוכנה שמייצרת לי את הבקשה.
02:59
לא רוצה להוסיף שום פרטים בתוך התעודה הזאת, זה הפרטים שיהיו בתוך התעודה הדיגיטלית. הוא מציע לי פה לרכוש תעודות בתשלום. מה זה ייתן לי? זה ייתן לי תעודה נניח לא ל-30 יום, לשנה, או שתעודה שתהיה על כמה שמות, שאני אוכל באותה תעודה דיגיטלית להשתמש בכמה אתרים שלי. נניח שכל האתרים יושבים על אותו שרת פיזי ויש להם שמות שונים.
03:23
אני יכול לקבל ויילד קארד, תעודה אחת שתופסת לדומיין שלי על כל שם בתוך הדומיין, שאני לא אצטרך עבור כל שם לבקש תעודה. תעודה שתהיה לשנה אחת עם ויילד קארד ועוד כל מיני דברים.
03:37
כרגע מספיק לי 90 יום, תעודה דיגיטלית בחינם, ואני עושה נקסט סטפ, ואנחנו מגיעים לשלב האחרון שבו צריך לאמת את הזהות, לעשות וריפיקיישן, איך אני מאמת שאני באמת שולט על פרקטיקיו.קום, או דרך אימייל שהם ישלחו לי לתיבה של אדמין או דרך קובץ HTTP שאני אעלה לתוך שרת וב
04:00
שלי או דרך DNS. אני מעדיף דרך DNS כי DNS כבר פתוח אצלי מה הם רוצים שאני אעשה ב-DNS הם רוצים שאני אצור רישומה חדשה מסוג CNAME שהשם שלה הולך להיות דבר כזה טוב בואו נעשה את זה דרך אגב האתר הזה Free DNS נותן לנו לנהל את ה-DNS שלנו את השם שקנינו בחינם ואז אתם יכולים להשיג בקומבינה איזשהו שם באיזה תאילנד או לקנות באיזה 20 דולר שם אמיתי ואז לנהל אותו דרך free dns בחינם לקנות שם כזה עולה איזה 20 דולר לשנה
04:34
ויש שמות גם חינמיים דומיינים חינמיים ואני הולך להוסיף פה רשומה מסוג cname כמו שהם ביקשו זה אומר רשומה שמצביעה לכתובת אחרת יש לדוגמה רשומה שמצביעה לכתובת IP יש רשומה שמצביעה לכתובת IPv6 יש רשומה שמצביעה לאימייל סרבר יש כל מיני סוגי רשומות ואנחנו צריכים סי ניים.
04:57
סי ניים הזה זה השם שלו ומה היעד שהוא מצביע עליו? כאן פוינט 2 הם ביקשו ליעד הזה להצביע ואני מכניס אותו כאן. נהדר ולוחץ סייב.
05:08
בוא נבדוק שזה באמת עובד שהרשומה הזאת באמת נוצרה. נלך ל-CMD נעשה פה NSLOOKUP מינוס טייפ סי ניים. אני מבקש מתוכנת NSLOOKUP לבדוק לי רשומה מסוג CNAME בשם כזה וכזה מול שרת 888 שזה DNS של גוגל הוא אומר לי שהשם הזה מצביע לכתובת כזאת וכזאת נהדר זה בדיוק מה שהייתי צריך רציתי
05:34
רק לוודא שזה תפס ועכשיו אני יכול ללחוץ פה ב-Zero SSL שעשיתי את כל מה שהם ביקשו ממני עושים Next Step והם אומרים טוב אם עשית את זה תלחץ Verify אני לוחץ Verify והוא בודק שבאמת הרשומה ו-congratulations הוא מברך אותי Your domain have been verified הוא בדק את הדומיין שלי ועכשיו הוא עושה לי issuing certificate נותן לי תעודה דיגיטלית בשעה טובה ומוצלחת שימו לב
06:03
שהתעודה הזאת חינם לחלוטין לא הכנסתי לו שום אשראי אבל כל 90 יום צריך לחדש אותה הנה התעודה הדיגיטלית שלי אני מוריד אותה בואו נראה מה יש לנו בתוך הקובץ הזה נעשה extract all נחלץ את כל התוכן שלו ויש יש לנו פה שלושה קבצים קובץ עם private key בוא נראה מה יש בפנים נעשה open with נפתח אותו עם notepad פשוט אז בקובץ private.key
06:28
יש לנו private key המפתח הפרטי שלי שיהיה מותקן אצלי באתר ואני לא נותן אותו לאף אחד ולמפתח הזה יש בן זוג שתואם רק לו שהוא נקרא public key והוא יושב בתוך הסרטיפיקט בתוך תעודה דיגיטלית אפשר לפתוח את הסרטיפיקט הזה ובתוך התעודה הדיגיטלית יש פה כל מיני מאפיינים, מי נתן אותה, מאיזה