A apresentação está carregando. Por favor, espere

A apresentação está carregando. Por favor, espere

Segurança da Informação na Internet Prof. Dr. Miguel Franklin de Castro

Apresentações semelhantes


Apresentação em tema: "Segurança da Informação na Internet Prof. Dr. Miguel Franklin de Castro"— Transcrição da apresentação:

1 Segurança da Informação na Internet Prof. Dr. Miguel Franklin de Castro

2 2 Agenda Introdução Introdução à Segurança Internet As Armas do Inimigo Vírus / Rabbits / Worms / Trojan Horses e Backdoors Falhas de Sistema Ferramentas Hackers Cenários de Ataque Engenharia Social Miscelânia

3 3 AGENDA As Armas do Defensor Criptografia Codificação de Mensagem Criptografia na Internet Antivírus Firewall Proxy VPN IDS Como Diminuir Ataques Apêndice Redes Wireless: Um Novo Perigo

4 Introdução

5 5 S e g u r a n ç a n a I n t e r n e t O que é segurança? Como podemos alcançar segurança? Existem mecanismos auxiliares? É possível ter um ambiente 100% seguro? O que é Internet? Como surgiu a Internet? Qual a estrutura da Internet? Quais os pontos fracos desta grande rede?

6 6 Cenário Firewall

7 Segurança

8 8 O Que é Segurança? Definição Segurança é minimizar a vulnerabilidade de bens e recursos. Vulnerabilidade é qualquer fraqueza que pode ser explorada para se violar um sistema ou as informações que ele contém. Uma ameaça consiste de uma possível violação de segurança de um sistema.

9 9 O Que é Segurança? Ameaças Classificação de acordo com a origem: Ameaças Acidentais Ameaças Intencionais Classificação de acordo com os objetivos: Ameaças Passivas Ameaças Ativas Ataque ou Incidente se constitui de uma ameaça intencional. Classificação quanto à presença do atacante: Ataques ou Incidentes Diretos Ataques ou Incidentes Indiretos

10 10 Segurança da Informação: Importância Prejuízos sofridos por empresas Fonte: MÓDULO SECURITY SOLUTIONS S.A

11 11 Incidentes no Brasil (RNP) Fonte: CAIS/RNP

12 12 Incidentes no Brasil (Cert.br)

13 13 Principais Ameaças 9ª edição da Pesquisa Nacional de Segurança da Informação da Módulo Security

14 14 Principais Obstáculos 9ª edição da Pesquisa Nacional de Segurança da Informação da Módulo Security

15 15 Principais Problemas Encontrados Computerworld nº 398 de 19 de novembro – Pesquisa realizada pela revista americana CIO e Pricewaterhouse Coopers

16 16 O Processo de Segurança Segurança é um processo com as seguintes características: Não se constitui de uma tecnologia Não é estático Sempre inalcançável Sempre em evolução

17 17 O Processo de Segurança Avaliação AnáliseSíntese Analise o problema levando em consideração tudo que conhece. Sintetize uma solução para o problema a partir de sua análise. Avalie a solução e descubra que aspectos não foram satisfeitos.

18 18 Política de Segurança Definição É um conjunto de regras e práticas que regulam como uma organização protege e distribui seus recursos e informações. Tipos de políticas: Política de segurança baseada em regras Política de segurança baseada em identidade

19 19 Política de Segurança Como fazer uma política de segurança? Antes de mais nada saiba que uma política de segurança é a formalização dos anseios de uma empresa quanto à proteção das informações. Escreva a política de segurança Texto em nível estratégico Texto em nível tático Texto em nível operacional

20 20 Política de Segurança Como fazer uma política de segurança? Atenda aos propósitos abaixo: Descrever o que está sendo protegido e por quê Definir prioridades sobre o que precisa ser protegido Estabelecer um acordo explícito com as várias partes da empresa em relação ao valor da segurança Orientar ao dept. de segurança para dizer não quando necessário, dando-lhe autoridade para tal Impedir que o departamento tenha um papel fútil

21 21 Política de Segurança Empresas que utilizam Política de Segurança Fonte: MÓDULO SECURITY SOLUTIONS S.A

22 22 Segurança Física Providenciar mecanismos para restringir o acesso às áreas críticas da organização Como isto pode ser feito?

23 23 Segurança Lógica Fornecer mecanismos para garantir: Confidencialidade; Integridade; Não Repúdio ou Irrefutabilidade; Autenticidade Mecanismos tradicionais garantem a Segurança Lógica?

24 24 Como pode se prevenir? Mudando a Cultura!!! Palestras Seminários Exemplos práticos Simulações Estudo de Casos

25 25 Ciclo de Vida de Segurança O que precisa ser protegido? Como proteger? Simulação de um ataque Qual é probabilidade de um ataque? Qual prejuízo, se ataque sucedido? Qual é nível da proteção?

26 Internet Revisando...

27 27 O Que é Internet? Definição Nome dado ao conjunto de redes de computadores que se interligaram com o uso da arquitetura TCP/IP. Internet internet

28 28 Como Surgiu a Internet? Década de 60 Comutação de pacote ARPANET

29 29 Como Surgiu a Internet? Década de 70 Arquitetura TCP/IP Expansão da ARPANET Aplicação Transporte Rede Int. de Rede

30 30 Como Surgiu a Internet? Década de 80 Divisão da ARPANET MILNET: Rede militar ARPANET: Rede de pesquisa ARPANET + NSFNET + EBONE +... = INTERNET ARPANET NSFNET EBONE INTERNET

31 31 Como Surgiu a Internet? Década de 80(cont.) TCP/IP atropela OSI Crescimento da ARPANET Implementações robustas do TCP/IP Complexidade do OSI Aplicação Apresentação Sessão Transporte Rede Enlace Física X Aplicação Transporte Rede Interface de Rede OK

32 32 Arquitetura TCP/IP Conceito de camadas Independência entre camadas PDUs Camada N Camada N-1 Aplicação Transporte Rede Int. de Rede APDU TPDU Datagrama Quadro Dados

33 33 Arquitetura TCP/IP Pilha TCP/IP HTTP FTP SMTP SNMP TCP UDP IP ICMP ARP RARP IGMP Interface de Rede

34 34 Arquitetura TCP/IP Camada de Rede (Inter-Rede/ Inter-Net) Protocolo IP é o coração da arquitetura. Responsável por funções essenciais como: Encaminhamento de datagramas Endereçamento Não orientado à conexão Roteamento independe da origem Não realiza qualquer processo de criptografia e autenticação ARP, RARP, ICMP e IGMP são protocolos auxiliares

35 35 Arquitetura TCP/IP Camada de Transporte - TCP Orientado à conexão: Three-Way Handshake Certifica a entrega dos dados Controle de congestão Não realiza criptografia dos dados Não realiza autenticação Realiza controle de erro: Checksum

36 36 Arquitetura TCP/IP Camada de Transporte -UDP Não orientado à conexão Não realiza controle de congestão Não realiza criptografia dos dados Não realiza processo de autenticação Não certifica a entrega dos dados Realiza controle de erro: Checksum Raw IP Datagrams

37 37 Arquitetura TCP/IP Camada de Aplicação HTTP (80): Protocolo utilizado na Web. Mensagens em modo texto (ASCII) Não realiza criptografia Existe opção de autenticação Requisições – Case Sensitive: GET: Lê uma página Web HEAD: Lê o cabeçalho de uma página PUT: Armazena uma página POST: Similar ao PUT – Append DELETE: Remove uma página

38 38 Arquitetura TCP/IP Camada de Aplicação FTP (20/21): Protocolo utilizado para transferência de arquivos. Utiliza o protocolo TCP Baseia-se em duas conexões: Conexão de Controle (Porta 21) e Conexão de Transferência (Porta 20) Implementa mecanismo de autenticação - ASCII Transferência de arquivos em modo texto/binário TFTP (69) Utiliza o protocolo UDP Baseia-se somente numa conexão

39 39 Arquitetura TCP/IP Camada de Aplicação SMTP (25): Responsável pelo transferência de mensagens. Mensagens em modo texto – ASCII Não realizava qualquer processo de autenticação POP3 (110): Responsável pela entrega final da mensagem. Mensagens em modo texto – ASCII Realiza o processo de autenticação

40 40 Arquitetura TCP/IP Camada de Aplicação DNS (53): Responsável pela resolução de nomes em endereços IP ou vice-versa. Não existe processo de autenticação Mensagens em modo texto – ASCII SNMP (161): Protocolo utilizado no gerenciamento de redes. SNMPv1; SNMPv2: Mensagens em modo texto – ASCII Possibilita a alteração de configurações importantes da máquina. Utiliza o protocolo UDP

41 As Armas do Inimigo

42 42 Quais os tipos de códigos maliciosos?

43 Vírus / Rabbits / Worms / Trojan Horses e Backdoors

44 44 Vírus Definição É um programa que infecta outro programa, modificando-o para incluir-se. [Cohen, 1993] PROGRAMA NÃO INFECTADO Y PROGRAMA INFECTADO X VÍRUS PROGRAMA INFECTADO Y VÍRUS

45 45 Vírus Histórico Década de 60 Surgem os primeiros programas com poder de auto replicação, os rabbits. Década de 70 Surgem os primeiros worms. 1971: Foi criado o primeiro worm – Creeper – e o primeiro programa anti-infeccioso – Reaper –. Até então, os worms não possuíam comportamento destrutivo.

46 46 Vírus Histórico Década de 80 Os primeiros programas com características viróticas surgem. Inicialmente para o computador Apple II. 1982: Worms criados pelos lab. da Xerox começam a apresentar comportamento anormal. 1988: Disseminação de vírus através de disco flexíveis e BBS. 1988: Um worm desenvolvido por Robert Morris se espalha através da Internet. 1989: Robert Morris é indiciado pelo acontecido.

47 47 Vírus Histórico Década de 90 Surgimento dos primeiros vírus polimórficos Disseminação dos vírus através da grande rede (INTERNET) 1992: Histeria com o vírus Michelangelo 1992: Primeiro programa de criação de vírus – VCL: Virus Creation Lab – 1995: Os primeiros vírus de Macro para Word

48 48 Rabbits Definição Eram instruções que preenchiam áreas de memória livres. Origem do nome Relativo ao alto poder de replicação

49 49 Worms Definição São programas projetados especialmente para replicação. Origem do nome: Retirado de uma história de ficção-centífica chamada The Shockwave Ride. Características: Eles se replicam assim como os vírus; São entidades autônomas, não precisam se atracar a um programa ou arquivo hospedeiro, assim como os vírus;

50 50 Worms Residem, circulam e se multiplicam em sistemas multi-tarefa; Em worms de redes a replicação acontece através dos meios físico de transmissão. A intenção inicial dos worms era realizar tarefas de gerenciamento e distribuição.

51 51 Vírus Tipos de vírus Vírus de arquivos ou de programas Vírus de sistema ou de inicialização Vírus de Macro

52 52 Vírus Formas de disseminação Através de meios magnéticos Através de Trojan Horses – Cavalos de Tróia Através de redes de transmissão de dados Explorando falhas de sistema Atuando da mesma forma que um worm Através de engenharia social

53 53 Trojan Horses Definição São programas que além de fazer as tarefas que apresentam aos usuários, realizam atividades maliciosas. Características – Não possuem instruções para auto- replicação; – São programas autônomos, não necessitam infectar outras entidades (programas, setores de boot) para serem executados (ainda que possam estar agregados a eles);

54 54 Trojan Horses Características (cont.) – Sempre possuem um payload, ativados por diversos tipos de gatilho disparados diretamente pelo próprio usuário (executando ou abrindo um trojan no PC), por sequências lógicas de eventos (as chamadas bombas lógicas) ou por uma data ou período de tempo (as chamadas bombas de tempo); – Não existe uma preocupação primordial de auto-preservação após o payload, já que não visam a auto-replicação.

55 55 Backdoors Definição Programas que ao entrar na máquina da vítima cria uma porta de entrada para o invasor. VÍTIMAINVASOR Backdoor

56 56 Backdoors Disseminação: Através de Trojan Horses Através de ataques diretos Mais conhecidos SubSeven NetBus BackOrifice

57 Falhas de Sistema

58 58 Erros de Programação Programas que exploram falhas de software (Serviços, Aplicações,...) são chamados de exploits. As conseqüências de um exploit podem ser várias, como: Indisponibilidade do serviço; Execução de código danoso; Alteração de conteúdos não acessíveis ou não permitidos.

59 59 Erros de Programação Construção de exploits: É preciso grande conhecimento técnico; Envie mensagens não convencionais, que poderiam levar o sistema a uma interpretação errada; Envie mensagens volumosas, buscando um buffer overflow.

60 60 Buffer Overflow Definição Falha de programação que faz com que haja umoverflow da área de memória de uma determinada variável sobre a área reservada para outras variáveis. Consequências: Pode levar o sistema a um estado inconsistente; Pode alterar informações que não deveriam ser acessíveis; Pode permitir a execução de códigos danosos.

61 61 Buffer Overflow Abrangência Qualquer software está susceptível a este tipo de erro. Trata-se de uma falha de programação. Uma forma de minimizar este tipo de falha é sendo mais metódico no momento da implementação.

62 Buffer Overflow Exemplo Prático

63 63 #include int main(void){ char s1[10],s2[10]; strcpy(s1,""); strcpy(s2,""); printf("\nConteudo de S2:%s",s2); printf("\nEntre com o valor de S1:"); gets(s1); printf("\nConteudo de S2:%s",s2); return 0; }

64 64 MISCELÂNIA Exploits podem atacar qualquer tipo de erro de programação, por isso as possibilidades são infinitas Alguns exploits conhecidos: Exploit para MS SQL 2000 Buffer Overflow Exploit para PWS/IIS 4.0 Interpretação errada de código Unicode Exploit para Winproxy Buffer Overflow

65 Ferramentas Hackers

66 66 SCANNERS Definição São ferramentas que varrem redes ou computadores em busca de informações importantes. Tipos IP Scanner: Varre um intervalo de endereços IP, verificando se existe conexão ou não. Port Scanner: Varre as portas de uma máquina ou de um conjunto de máquinas verificando a conectividade.

67 67 SCANNERS Funcionamento: IP Scanner IP Range: – OK! OK! OK! OK!

68 68 SCANNERS Funcionamento: Port Scanner Request – Port 80 Response Request – Port 110 Response Port OK Port OK Port X Request – Port 23

69 69 SCANNERS Considerações finais Existem scanners que evitam uma busca em rajada na intenção de não serem descobertos. Alguns scanners, além de descobrirem portas e IPs, trazem algumas informações adicionais.

70 70 SNIFFERS Definição Programas especializados na captura de pacotes da rede. Tipos de captura Captura local Captura em modo promíscuo Funcionalidade Muito útil para descobrir informações que trafegam de forma não criptografada na rede. Muito em útil em rede montadas com HUBs passivos.

71 71 KEYLOGGERS Definição Programas especializados na captura de dados entrados pelo usuário. Tipos de captura Captura local Captura remota Funcionalidade Muito útil na captura de dados confidenciais, como senhas e logins. Também utilizado para fins de auditoria em empresas (Problema com confidencialidade).

72 Cenários de Ataque

73 (Distributed) Denial of Service DoS - DDoS

74 74 DoS / DDoS – Negação de Serviço Significado DoS: Denial of Service DDoS: Distributed Denial of Service Definição Ataque que objetiva retirar um serviço de atividade. Tipos DoS por Buffer Overflow DoS por Saturação Geralmente é preciso o uso de várias máquinas de forma distribuída, ou seja, o Distributed DoS

75 75 DoS / DDoS – Negação de Serviço Objetivos Indisponibilizar um serviço Como detectar? Verificando o tráfego na rede Verificando o tamanho das mensagens Verificando o tipo das mensagens

76 76 DoS / DDoS – Negação de Serviço DDoS – Elementos Atacante: Pessoa responsável pela configuração do cenário de ataque. Máquina Mestre: Máquina que vai sincronizar o ataque de máquinas zumbis. Máquina Zumbi: Máquina que vai disparar uma rajada de requisições para um único servidor. Vítima: Máquina que vai receber uma grande quantidade de requisições e não vai conseguir atendê-los.

77 77 DoS / DDoS – Negação de Serviço DDoS – Fases do Ataque 1. Intrusão em massa Fase onde o atacante procura máquinas que possuem vulnerabilidades capazes de permitirem a instalação de arquivos executáveis. 2. Instalação do software DDoS Fase onde o atacante instala arquivos executáveis que serão responsáveis pela sincronização dos zumbis – Mestre – e pelo envio de requisições – Zumbis – 3. Disparo do ataque Fase onde o atacante coordena o ataque, de forma que as máquinas zumbis disparam floods de pacotes.

78 78 DoS / DDoS – Negação de Serviço

79 IP SPOOFING

80 80 IP Spoofing Definição Ataque onde uma máquina Z tenta se passar por uma máquina Y ao se conectar à máquina X. Características Se baseia na confiança de parceiros; Utiliza o impedimento de serviço – DoS como parte do seu ataque; Ficou conhecido a partir do momento que Kevin Mitnick conseguiu invadir uma grande rede com o uso desta técnica. Tipos IP Spoofing ARP Spoofing DNS Spoofing

81 81 IP Spoofing Fases do ataque 1. Indisponibilizar a máquina que possui relação de confiança com o servidor; 2. Iniciar o Three-Way Handshake 1. Pedido de conexão 2. Adivinhar o número de seqüência para enviar a resposta 3. Conexão Estabelecida 3. Criar uma relação de confiança X Z 4. Liberar a conexão entre X Y 5. Estabelecer uma nova conexão entre X Z

82 82 IP Spoofing Dest:X Source:Y Seq: 1000 Z X Y OBS: Existe uma relação de confiança entre X e Y Dest:Y Source:X Ack: 1001 Seq: 3243 Dest:X Source:Y Ack: 3267 Seq: 1345 Dest:X Source:Y Ack: 3244 Seq: 1345 OK Conexão Estabelecida

83 83 IP Spoofing DELETE LOG Z X Y OBS: Existe uma relação de confiança entre X e Y ACK CREATE REL(X,Z)REBOOT ACK

84 ENGENHARIA SOCIAL

85 85 ENGENHARIA SOCIAL Definição Consiste no roubo de informações através de encenações e conversas maliciosas. Características Não necessita de grande conhecimento técnico; É um ataque que incide geralmente em pontos fracos da empresa, como empregados mal remunerados; Também acontece em documentos que são colocados em latas de lixo.

86 86 ENGENHARIA SOCIAL Tipos Ataque presencial Ataque não presencial Resultados Geralmente este tipo de ataque é o mais eficiente, pois libera informações importantes a um esforço mínimo. Muito utilizado por Kevin Mitnick

87 87 ENGENHARIA SOCIAL Atendente : Empresa alvo. Boa Tarde. Cracker[Fulano] : Boa tarde. Eu sou Fulano da empresa XXX, nós criamos o site de vocês e eu preciso fazer uma manutenção na página, você pode me passar para o setor de informática? /* OBS.: Neste ponto não há o que fazer, a atendente simplesmente redireciona a chamada. A seguir veja onde está o problema.*/ Funcionário CPD : CPD. Boa tarde. Cracker[Fulano] : Boa tarde. Aqui é o Fulano, eu sou da Empresa XXX e não consegui me logar no servidor de vocês para ajustar alguns links. Vocês mudaram a senha do root ? /* Falando com profissional da área técnica, o Cracker já utiliza jargões comuns a todos nós. Como o Cracker havia ligado para a empresa XXX, que fez o site, ele já sabe como eles lidam com os clientes e também como falam ao se referirem a mesma coisa, como usar site,homepage,página,website,etc... */ Funcionário CPD : Hmmm...Até onde eu sei não foi mudado nada. Cracker[Fulano] : Estranho...A senha não é Bc07dp12 ? /* Neste ponto o funcionário já acretida estar falando com um funcioário da empresa XXX */ Funcionário CPD : Não, a senha é S3rvid0r. Com 'S' maiusculo.

88 Phishing Backdoor + Eng. Social

89 89 Exemplo de Phishing

90 90 Exemplo de Phishing

91 91 Exemplo de Phishing

92 92 O que é SPAM?

93 93 Estatísticas

94 94 De onde vem o SPAM (em 2007) 1 - Telemar 2 - NET Servicos de Comunicacao 3 – Telesp 4 - Brasil Telecom 5 - Global Village Telecom 6 – Vivax 7 - CTBC Telecom 8 - TVA Sistema de Televisao 9 - Way TV Belo Horizonte 10 - Terra Networks Brasil 11 - iMarketing Digital Business Consultoria 12 - TV Cabo de Porto Alegre 13 - Telesp Celular 14 - Click21 Comercio de Publicidade 15 - Mundivox do Brasil

95 MISCELÂNIA

96 96 MISCELÂNIA Tipos de invasores Newbies Iniciantes que se aventuram pela Internet com técnicas já bem conhecidas e não sabem se camuflar. Não sabem programar. Lammers Um nível acima dos newbies, os lammers sabem se camuflar e possuem conhecimento de programação. Hackers São experientes e criativos, capazes de criar novas técnicas de invasão. Dificilmente são descobertos.

97 97 MISCELÂNIA Tipos de invasores Crackers Invasores semelhantes aos hackers mas se diferenciam por ter comportamento destrutivo, são conhecidos como Cyber Terroristas. Carders São hackers especialistas no roubo de números de cartões de crédito. Phreackers São hackers especialistas em sistemas telefônicos

98 98 MISCELÂNIA Outras denominações Virus Hoaxes: Alarmes falsos sobre vírus, worms ou trojan-horses. Spam: Distribuição de mensagens de caráter comercial sem a autorização prévia do receptor. Mail Bomb: Programa que envia uma grande quantidade de s, geralmente anônimos, objetivando prejudicar o destinatário.

99 99 MISCELÂNIA Outras denominações Password Cracker: Programas que buscam encontrar senhas de sistemas ou programas. Geralmente se usa o método da força bruta associado a um dicionário. Ping of Death: Pacotes IP com o tamanho maior que o máximo permitido (65535 bytes). Isso ocasiona um fragmentação que vai gerar um erro na remontagem.

100 100 MISCELÂNIA Outras denominações Nuke: Programas que enviam pacotes ICMP para servidores (Server Side Nuke) ou clientes (Client Side Nukes). Tais pacotes reportam erros e ocasionam o término da conexão. Defacement: Desfiguração de sites, geralmente com finalidades de protestos. WhiteHat: Especialistas responsáveis pela detecção de falhas, invasões e problemas relacionados à segurança. Não possuem como objetivo prejudicar pessoas e empresas.

101 Segurança em Redes

102 102 Segurança em Redes Fundamentos: o que é segurança? criptografia autenticação integridade de mensagens distribuição de chaves e certificação Segurança na prática: camada de aplicação: seguro camada de transporte: Comércio pela Internet, SSL, SET camada de rede: segurança IP

103 103 Amigos e inimigos: Alice, Bob, Trudy bem conhecidos no mundo da segurança de redes Bob, Alice (amantes!) querem se comunicar seguramente Trudy, a intrusa pode interceptar, apagar, acrescentar mensagens Figure 7.1 goes here transmissor seguro canal mensagens de controle e dados receptor seguro Dados

104 104 O que é segurança de redes? Segredo: apenas o transmissor e o receptor pretendido deveriam entendero conteúdo da mensagem transmissor criptografa mensagem receptir decriptografa mensagem Autenticação: transmissor e o receptor querem confirmar as identidades um do outro Integridade de Mensagem: transmissor, receptor querem assegurar que as mensagens não foram alteradas, (em trânsito, ou depois) sem detecção

105 105 Ameaças à Segurança na Internet Captura de Pacotes: meio broadcast Placas de rede em modo promiscuo lêem todos os pacotes que passam por elas podem ler todos os dados não criptografados (ex. senhas) ex.: C captura os pacotes de B A B C org:B dest:A dados

106 106 Ameaças à Segurança na Internet IP Spoofing: pode gerar pacotes novos diretamente da aplicação, colocando qualquer valor no campo de endereço IP de origem receptor não sabe se a fonte foi falsificada ex.: C finge ser B A B C org:B dest:A dados

107 107 Ameaças à Segurança na Internet Negação de Serviço (DOS - Denial of Service): inundação de pacotes maliciosamente gerados afogam o receptor DOS Distribuído (DDOS): fontes múltiplas e coordenadas inundam o receptor ex., C e um computador remoto atacam A com mensagens SYN A B C SYN

108 108 A linguagem da criptografia chave simétrica de crptografia: as chaves do transmissor e do receptor são idênticas chave pública de criptografia: critografa com chave pública, decriptografa com chave secreta Figure 7.3 goes here plaintext ciphertext K A K B texto aberto texto cifrado Algoritmo de Criptografia Algoritmo de Decriptografia canal

109 109 Criptografia com Chave Simétrica código de substituição: substituindo uma coisa por outra código monoalfabético: substituir uma letra por outra texto aberto: abcdefghijklmnopqrstuvwxyz texto cifrado: mnbvcxzasdfghjklpoiuytrewq texto aberto: bob. i love you. alice texto cifrado: nkn. s gktc wky. mgsbc Ex.: Q: quão difícil é quebrar este código simples?: força bruta (quantas tentativas?) outro método?

110 110 DES: criptografia com chave simétrica DES: Data Encryption Standard Padrão de criptografia dos EUA [NIST 1993] chave simétrica de 56-bits, 64 bits de texto aberto na entrada Quão seguro é o padrão DES? DES Challenge: uma frase criptografada com chave de 56 bits (Strong cryptography makes the world a safer place) foi decriptografada pelo método da força bruta em 4 meses não há ataque mais curto conhecido tornando o DES mais seguro use três chaves em seqüência (3-DES) sobre cada dado use encadeamento de blocos de códigos

111 111 Criptografia de chave simétrica: DES permutação inicial 16 rodadas idênticas de função de substituição, cada uma usando uma diferente chave de 48 bits permutação final operação do DES

112 112 Criptografia com Chave Pública chave simétrica exige que o transmissor e o receptor compartilhem a chave secreta Q: como combinar a chave inicialmente (especialmente no caso em que eles nunca se encontram)? chave pública abordagem radicalmente diferente [Diffie- Hellman76, RSA78] transmissor e receptor não compartilham uma chave secreta a chave de criptografia é pública (conhecida por todos) chave de decriptografia é privada (conhecida somente pelo receptor)

113 113 Criptografia com chave pública Figure 7.7 goes here Algoritmo de Criptografia Algoritmo de Decriptografia Mensagem aberta, m Mensagem mensagem cifrada Chave de criptografia pública Chave de decriptografia privada

114 114 Algoritmos de criptografia com chave pública necessita d ( ) e e ( ) tal que d (e (m)) = m B B B B.. necessita chaves pública e privada para d ( ) e e ( ).. B B Duas exigências correlatas: 1 2 RSA: Algoritmo de Rivest, Shamir, Adelson

115 115 RSA: Escolhendo as chaves 1. Encontre dois números primos grandes p, q. (ex., 1024 bits cada um) 2. Calcule n = pq, z = (p-1)(q-1) 3. Escolha e (com e

116 116 RSA: Criptografia e Decriptografia 0. Dado (n,e) e (n,d) como calculados antes 1. Para criptografar o padrão de bits, m, calcule c = m mod n e (i.e., resto quando m é dividido por n) e 2. Para decriptografar o padrão de bits recebidos, c, calcule m = c mod n d (i.e., resto quando c é dividido n) d m = (m mod n) e mod n d Mágica acontece!

117 117 RSA exemplo: Bob escolhe p=5, q=7. Então n=35, z=24. e=5 (assim e, z são primos entre si). d=29 (assim ed-1 é exatamente divisível por z). letra m m e c = m mod n e l c m = c mod n d c d letra l criptografia: decriptografia:

118 118 RSA: Porque: m = (m mod n) e mod n d (m mod n) e mod n = m mod n d ed Resultado da teoria dos Números: Se p,q são primos, n = pq, then x mod n = x mod n yy mod (p-1)(q-1) = m mod n ed mod (p-1)(q-1) = m mod n 1 = m (usando o teorema apresentado acima) (pois nós escolhemos ed divisível por (p-1)(q-1) com resto 1 )

119 119 Autenticação Meta: Bob quer que Alice prove sua identidade para ele Protocolo ap1.0: Alice diz Eu sou Alice Cenário de Falha?? Eu sou Alice

120 120 Autenticação: outra tentativa Protocolo ap2.0: Alice diz Eu sou Alice e envia seu endereço IP junto como prova. Cenário de Falha?? Eu sou Alice Endereço IP de Alice

121 121 Autenticação: outra tentativa Protocolo ap3.0: Alice diz Eu sou Alice e envia sua senha secreta como prova. Cenário de Falha? Eu sou Alice, senha

122 122 Autenticação: mais uma tentativa Protocolo ap3.1: Alice diz Eu sou Alice e envia sua senha secreta criptografada para prová-lo. I am Alice encrypt(password) Eu sou Alice criptografia (senha)

123 123 Autenticação: mais uma tentativa Meta: evitar ataque de reprodução (playback) Falhas, problemas? Figure 7.11 goes here Nonce: número (R) usado apenas uma vez na vida ap4.0: para provar que Alice está ao vivo, Bob envia a Alice um nonce, R. Alice deve devolver R, criptografado com a chave secreta comum Eu sou Alice

124 124 Autenticação: ap5.0 ap4.0 exige chave secreta compartilhada problema: como Bob e Alice combinam a chave é possível autenticar usando técnicas de chave pública? ap5.0: usar nonce, criptografia de chave pública Envie-me sua chave pública e A Bob calcula e A [d A [R]]=R autenticandoAlice

125 125 Figure 7.14 goes here ap5.0: falha de segurança Ataque do homem (mulher) no meio: Trudy se passa por Alice (para Bob) e por Bob (para Alice) Necessita chaves públicas certificadas (mais depois …)

126 126 Assinaturas Digitais Técnica criptográfica análoga às assinaturas manuais. Transmissor(Bob) assina digitalmente um documento, estabelecendo que ele é o autor/criador. Verificável, não-forjável: receptor (Alice) pode verificar que Bob, e ninguém mais, assinou o documento. Assinatura digital simples para mensagem m: Bob criptografa m com sua chave pública d B, criando a mensagem assinada d B (m). Bob envia m e d B (m) para Alice. Texto criptografado com a chave pri- vada de Bob Mensagem pronta para transmissão Chave privada de Bob

127 127 Assinaturas Digitais (mais) Suponha que Alice recebe a mensagem m, e a assinatura digital d B (m) Alice verifica que m foi assinada por Bob aplicando a chave pública de Bob e B a d B (m) então verifica que e B (d B (m) ) = m. Se e B (d B (m) ) = m, quem quer que tenha assinado m deve posuir a chave privada de Bob. Alice verifica então que: Bob assinou m. Ninguém mais assinou m. Bob assinou m e não m. Não-repúdio: Alice pode levar m, e a assinatura d B (m) a um tribunal para provar que Bob assinou m.

128 128 Resumos de Mensagens Computacionalmente caro criptografar com chave pública mensagens longas Meta: assinaturas digitais de comprimento fixo, facilmente computáveis, impressão digital aplicar função hash H a m, para obter um resumo de tamanho fixo, H(m). Propriedades das funções de Hash: Muitas-para-1 Produz um resumo da mensagem de tamanho fixo (impressão digital) Dado um resumo da mensagem x, é computacionalmente impraticável encontrar m tal que x = H(m) computacionalmente impraticável encontrar duas mensagens m e m tal que H(m) = H(m). mensagemlongamensagemlonga função de hash muitas-para-um resumo da mensagem, tam. fixo

129 129 Assinatura digital = resumo assinado de mensagem Bob envia mensagem digitalmente assinada: Alice verifica a asinatura e a integridade da mensagem digitalmente assinada:

130 130 Algoritmos de Funções de Hash A soma verificadora da Internet resulta num resumo de mensagem pobre. Muito fácil encontrar duas mensagens com a mesma soma verificadora. O algoritmo MD5 é a função de hash mais usada. Calcula resumo de 128- bits da mensagem num processo de 4 etapas. uma cadeia arbitrária X` cujo hash de 128 bits obtido pelo MD5 é igual ao hash de um cadeia X parece difícil de construir. SHA-1 também é usado. padrão do EUA resumo de mensagem com 160-bits

131 131 Intermediários Confiáveis Problema: Como duas entidades estabelecem uma chave compartilhada secreta sobre uma rede? Solução: centro de distribuição de chaves confiável (KDC) atuando como intermediário entre as entidades Problema: Quando Alice obtém a chave pública de Bob (de um web site, , ou diskette), como ela sabe que é a chave pública de Bob e não de Trudy? Solução autoridade certificadora confiável (CA)

132 132 Centro de Distribuição de Chaves (KDC) Alice e Bob necessitam de um chave simétrica compartilhada. KDC: servidor compartilha diferentes chaves secretas com cada usuário registrado. Alice e Bob conhecem as próprias chaves simétricas, K A-KDC K B- KDC, para comunicação com o KDC. Alice se comunica com o KDC, obtém a chave de sessão R1, e K B-KDC (A,R1) Alice envia a Bob K B-KDC (A,R1), Bob extraí R1 Alice e Bob agora compartilham a chave simétrica R1. Alice conhece R1 Bob conhece R1 Alice e Bob se comunicam usando chave compartilhada R1

133 133 Autoridades Certificadoras Autoridades certificadoras (CA) associam chaves públicas a uma particular entidade. Entidade (pessoa, roteador, etc.) pode registrar sua chave pública com a CA. Entidade fornece prova de identidade à CA. CA cria certificado ligando a entidade à chave pública. Certificado é digitalmente assinado pela CA. Quando Alice quer a chave pública de Bob: obtém o certificado de Bob (com Bob ou em outro local). Aplica a chave pública da CA ao certificado de Bob para obter a chave pública de Bob. informação de identidade de Bob certificado criptografado de Bob chave pública de Bob Autoridade Certificadora Chave privada da autoridade certificadora

134 134 seguro gera chave simétrica aleatória, K S. criptografa mensagem com K S também criptografa K S com a chave pública de Bob. envia K S (m) e e B (K S ) para Bob. Alice quer enviar uma mensagem de secreta, m, para Bob. Alice envia mensagem de m Bob recebe mensagem de m

135 135 seguro (continuação) Alice quer prover autenticação do transmissor e integridade da mensagem. Alice assina digitalmente a mensagem. envia a mensagem (em texto aberto) e a assinatura digital. Alice envia mensagem de m Bob recebe mensagem de m

136 136 seguro (continuação) Alice quer prover privacidade, autenticação do transmissor e integridade da mensagem. Nota: Alice usa tanto sua chave privada quanto a chave pública de Bob.

137 137 Pretty good privacy (PGP) Esquema de criptografia de da Internet, um padrão de fato. Usa criptografia de chave simétrica, criptografia de chave pública, função de hash e assinatura digital, como descrito. Oferece privacidade, autenticação do transmissor e integridade. O inventor, Phil Zimmerman, foi alvo de uma investigação federal durante três anos. ---BEGIN PGP SIGNED MESSAGE-- - Hash: SHA1 Bob:My husband is out of town tonight.Passionately yours, Alice ---BEGIN PGP SIGNATURE--- Version: PGP 5.0 Charset: noconv yhHJRHhGJGhgg/12EpJ+lo8gE4vB3 mqJhFEvZP9t6n7G6m5Gw2 ---END PGP SIGNATURE--- Uma mensagem PGP assinada:

138 138 Secure sockets layer (SSL) PGP oferece segurança para uma aplicação de rede específica. SSL opera na camada de transporte. Fornece segurança para qualquer aplicação baseada no TCP que usa os serviços da SSL. SSL: usada entre clientes WWW e servidores de comércio eletrônico (shttp). Serviços de segurança da SSL: autenticação do servidor criptografia dos dados autenticação do cliente (opcional) Autenticação do Servidor: clientes com SSL habilitado incluem chaves públicas para CAs confiáveis. Cliente solicita o certificado do servidor, originado pela entidade certificadora confiável. Cliente usa a chave pública da CA para extrair a chave pública do servidor do certificado. Visite o menu de segurança do seu browser para examinar suas entidades certificadoras confiáveis.

139 139 SSL (continuação) Sessão SSL criptografada: Cliente gera uma chave de sessão simétrica e a criptografa com a chave pública do servidor, envia a chave simétrica criptografada ao servidor. Usando sua chave privada, o servidor decriptografa a chave. Cliente e o servidor negociam que as futuras mensagens serão criptografadas. Todos os dados enviados na porta TCP (pelo cliente ou pelo servidor) são criptografados com a chave de sessão. SSL: base do mecanismo Transport Layer Security (TLS) do IETF. SSL pode ser usado por aplicações que não usam a Web, por exemplo, IMAP. Autenticação do cliente pode ser feita com certificados do cliente.

140 140 Secure electronic transactions (SET) projetado pra transações de pagamento de cartões de crédito sobre a Internet. oferece serviços de segurança envolvendo três partes: cliente comerciante banco do vendedor Todos devem ter certificados. SET especifica o valor legal dos certificados. divisão das responsabilidades pelas transações Número do cartão do cliente é enviado ao banco do vendedor sem que o vendedor veja o número aberto em nenhum momento. Previne que os vededores possam furtar e repassar números de cartões de crédito. Três componentes de software: Carteira do browser Servidor do comerciante Gateway do adquirente Veja o texto do livro para a descrição de uma transação SET.

141 141 Ipsec: Segurança na Camada de Rede Segurança na Camada de Rede: o host transmissor criptografa os dados no datagrama IP Segmentos TCP e UDP; ICMP e mensagens SNMP. Autenticação na Camada de Rede host destino pode autenticar o endereço IP da origem Dois protocolos principais: protocolo de autenticação de cabeçalho (AH - Authentication Header) protocolo de encapsulamento seguro de dados (ESP - Encapsulation Secure Payload) Tanto para o AH como para o ESP, exige negociação entre a fonte e o destino: cria canal lógico de camada de rede chamado de acordo de serviço (SA) Cada SA é unidirecional. Unicamente determinado por: protocolo de segurança (AH ou ESP) endereço IP da origem Identificador de conexão de 32-bit

142 142 Protocolo ESP Oferece privacidade, autenticação de host e integridade dos dados. Dados e trailer ESP são criptografados. Campo de próximo cabeçalho está no trailer ESP. campo de autenticação do ESP é similar ao campo de autenticação do AH. Protocolo = 50. Autenticado Criptografado Protocolo = 50

143 143 Protocolo de Autenticação de Cabeçalho (AH) Oferece autenticação do host originador, integridade de dados, mas não privacidade dos dados. Cabeçalho AH é inserido entre o cabeçalho IP e o campo de dados do IP. Campo de Protocolo = 51. Roteadores intermediários processam o datagrama na forma usual. cabeçalho AH inclui: identificador de conexão dados de autenticação: mensagem assinada e resumo da mensagem são calculados sobre o datagrama IP original, provendo autenticação da fonte e integridade dos dados. Campo próximo cabeçalho: especifica o tipo de dados (TCP, UDP, ICMP, etc.) Protocolo = 51

144 144 Segurança de Redes (resumo) Técnicas básicas…... criptografia (simétrica e pública) autenticação integridade de mensagem …. usadas em muitos cenários de segurança diferentes seguro transporte seguro (SSL) IP sec See also: firewalls, in network management

145 CRIPTOGRAFIA

146 146 CRIPTOGRAFIA Definição Processo que transforma uma mensagem qualquer numa mensagem cifrada. O processo reverso chama-se decifragem. Texto Limpo Texto Cifrado Algoritmo de criptografia Algoritmo de decifragem

147 147 CRIPTOGRAFIA Histórico Sua origem se confunde com a própria origem da escrita. Era e ainda continua a ser um ferramenta para troca de mensagens em guerras. Cifragem de César A D B E C F...

148 148 CRIPTOGRAFIA Tipos de criptografia Criptografia tradicional Criptografia simétrica ou de chave secreta Criptografia assimétrica ou de chave pública Criptografia híbrida ou mista

149 149 CRIPTOGRAFIA Criptografia tradicional Consiste em realizar uma cifragem unicamente a partir de um algoritmo, sem o uso de qualquer outro artifício. C(M) = X D(X) = M Forma mais simples de criptografia. Impossível de precisar sua origem. C: Algoritmo de criptografiaD: Algoritmo de decifragem M: Mensagem original (plaintext)X: Mensagem criptografada

150 150 CRIPTOGRAFIA Mensagem Original (M) Mensagem Codificada (X) Mensagem Original (M) Mensagem Codificada (X) Algoritmo C Algoritmo D

151 151 CRIPTOGRAFIA Criptografia tradicional Vantagens Fácil implementação; Extremamente rápido; A única preocupação recai sobre o algoritmo. Desvantagens Muito inseguro; Uma vez descoberto o algoritmo, é preciso criar um outro; Fácil de ser descoberto pela análise de padrões.

152 152 CRIPTOGRAFIA Criptografia simétrica Neste tipo de criptografia, além do algoritmo existe uma chave que dita o comportamento do algoritmo. C(M,K) = XD(X,K) = M Onde K é a chave. Chave é qualquer tipo de informação. Geralmente uma seqüência de bits. A chave é única tanto na criptografia como na decifragem. Também conhecido como criptografia da chave secreta.

153 153 CRIPTOGRAFIA Mensagem Original (M) Mensagem Codificada (X) Mensagem Original (M) Mensagem Codificada (X) Algoritmo C Algoritmo D

154 154 CRIPTOGRAFIA Criptografia simétrica Vantagens Mais seguro que a criptografia tradicional; É preciso conhecer o algoritmo e a chave; Bom desempenho. Desvantagens Compartilhamento da chave entre os envolvidos; Gerenciamento das diversas chaves.

155 155 CRIPTOGRAFIA Criptografia simétrica Algoritmos de chave simétrica DES – Data Encryption Standard Utiliza blocos de 64 bits Utiliza uma chave de 56 bits Triple-DES Utiliza o DES três vezes e com chaves diferentes Blowfish Utiliza uma chave de tamanho variável, até 448 bits IDEA – International Data Encryption Algorithm Utiliza uma chave de 128 bits Considerado um dos mais robustos até o momento

156 156 CRIPTOGRAFIA Criptografia simétrica Algoritmos de chave simétrica RC2 / RC4 Criado por Ronald Rivest e mantido em segredo pela RSA Data Security Utiliza chaves de até 2048 bits RC5 Também criado por Ronald Rivest Permite que o tamanho do bloco, o tamanho da chave e o número de vezes que será realizada a criptografia sejam definidos pelo usuário AES – Advanced Encryption Standard Provável substituto do DES, ainda em desenvolvimento

157 157 CRIPTOGRAFIA Criptografia assimétrica Exige uma chave para o processo de criptografia (chave pública) e outra chave no processo de decifragem (chave privada). C(M,K) = XD(X,K) = M Onde K é a chave pública e K é a chave privada Também conhecido como criptografia de chave pública. Criado por Withfield Diffie e Martin Hellman em 1976.

158 158 CRIPTOGRAFIA Mensagem Original (M) Mensagem Codificada (X) Mensagem Original (M) Mensagem Codificada (X) Algoritmo C Algoritmo D PRIVADA PÚBLICA

159 159 CRIPTOGRAFIA Criptografia assimétrica Vantagens Mais seguro de todos os métodos; Não existe compartilhamento de chaves; Sem gerenciamento de chaves. Desvantagens Péssimo desempenho; Chaves são muito grandes.

160 160 CRIPTOGRAFIA Criptografia assimétrica Algoritmos de chaves assimétricas RSA Desenvolvido por Ronald Rivest, Adi Shamir e Leonardo Adleman As chaves podem ter quaisquer tamanhos DDS – Digital Signature Standard Desenvolvido pela Agência Nacional de Segurança (NSA) Chaves com tamanho entre 512 e 1024 bits

161 161 CRIPTOGRAFIA Criptografia híbrida Processo que utiliza a criptografia simétrica para o envio/recebimento de mensagens e a criptografia assimétrica no compartilhamento das chaves secretas. Resolve os problemas dos métodos de criptografia simétrica e assimétrica.

162 162 Mensagem Original Mensagem Codificada Mensagem Original Mensagem Codificada Algoritmo Simétrico Algoritmo Simétrico PRIVADA PÚBLICA SECRETAPÚBLICA Algoritmo Assimétrico SEC. CRIPT. SECRETA Algoritmo Assimétrico

163 CODIFICAÇÃO DE MENSAGEM

164 164 CODIFICAÇÃO DE MENSAGEM Definição São funções de codificação que destilam a informação contida num arquivo em um único número grande. É muito utilizado na certificação de integridade de arquivos. MENSAGEM f80bc342a2329cd Algoritmo

165 165 CODIFICAÇÃO DE MENSAGEM Propriedades importantes: Cada bit da codificação é influenciado por cada bit dos dados de entrada da função; Se qualquer bit dos dados de entrada da função for modificado, cada bit da codificação tem 50% de chances de mudar; Dado um arquivo e sua codificação, deve ser praticamente impossível outro arquivo com a mesma codificação.

166 166 CODIFICAÇÃO DE MENSAGEM Algoritmos de codificação de mensagens MD4 / MD5 – Message Digest Desenvolvido por Ronald Rivest Produz uma codificação de 128 bits SHA / SHA-1 Desenvolvido pelo NSA Produz uma codificação de 160 bits

167 ASSINATURA DIGITAL

168 168 ASSINATURA DIGITAL Definição É uma seqüência de bits adicionada a uma mensagem. Esta seqüência possibilita o processo de certificação do remetente. Características Se utiliza de um algoritmo de criptografia assimétrico; Cada mensagem possui uma assinatura única; Nunca duas mensagens diferentes poderão ter a mesma assinatura, mesmo pertencendo ao mesmo remetente.

169 169 ASSINATURA DIGITAL 1.A mensagem já criptografada é submetida a um algoritmo de codificação de mensagem. 2.Este algoritmo gera uma seqüência (hash) de bits que retratam a mensagem. 3.Esta seqüência é criptografada assimetricamente com a chave privada de Alice, isso gera a assinatura. 4.A assinatura é enviada juntamente com a mensagem para efeitos de verificação. 5.Ao chegar no destino, a assinatura é decifrada com a chave pública de Alice. 6.A assinatura é comparada com o hash da mensagem, o qual é gerado novamente no destino.

170 170 ASSINATURA DIGITAL Finalidades alcançadas A assinatura não pode ser falsificada; só Alice conhece sua chave privada. A assinatura é autêntica; quando o destino verifica a assinatura com a chave pública de Alice ele sabe que ela assinou (codificou) isto. A assinatura não é reutilizável; a assinatura em um documento não pode ser transferida para qualquer outro documento. O documento assinado é inalterável; qualquer alteração de um documento (se ele foi ou não codificado) e a assinatura não é mais válida. A assinatura não pode ser repudiada. O destino não precisa da ajuda de Alice para verificar sua assinatura.

171 CRIPTOGRAFIA NA INTERNET

172 172 CRIPTOGRAFIA NA INTERNET Definições Confidencialidade Garantir que uma mensagem não possa ser decifrada caso uma pessoa não autorizada tenha acesso a mesma. Autenticação Certificar-se sobre a identidade do provável autor da mensagem. Integridade Verificar se uma mensagem foi alterada ou não. Não-repúdio Garantir que o autor não posso negar o envio de uma mensagem que realmente tenha sido enviado por ele.

173 173 CRIPTOGRAFIA NA INTERNET Sistemas criptográficos na Internet PGP – Pretty Good Privacy Criado por Phil Zimmermann em 1991 Sistema de criptografia híbrido (RSA/IDEA) Confidencialidade: IDEA Autenticação: Certificados de chave pública Integridade: MD5 Não-Repúdio: Assinaturas criptográficas

174 174 CRIPTOGRAFIA NA INTERNET Sistemas criptográficos na Internet SET – Secure Electronic Transaction Criado para trabalhar com a confidencialidade de números de cartões de crédito na Internet. Confidencialidade: RSA Integridade; Autenticação; Não-Repúdio: Uso de algoritmos de codificação de mensagens (MD5, RC2) e assinaturas digitais

175 175 CRIPTOGRAFIA NA INTERNET Sistemas criptográficos na Internet Kerberos Sistema de autenticação composto por três servidores: AS; TGS e Admin Server Utiliza criptografia simétrica - DES Confidencialidade e autenticação somente SSH – Secure Shell Protege operações de transferências de arquivos e terminal virtual com uso de criptografia Confidencialidade e autenticação somente RSA, DES, Triple-DES, Blowfish e outros

176 176 CRIPTOGRAFIA NA INTERNET Sistemas criptográficos na Internet SSL – Secure Socket Layer Tecnologia desenvolvida pela Netscape Funciona como uma camada adicional na arquitetura TCP/IP, responsável pela criptografia dos dados Confidencialidade; Autenticação; Integridade e Não- Repúdio Utiliza algoritmos como RSA, RC2, RC4, MD5 e outros Netscape 6.2 This version supports high-grade (128-bit) security with RSA Public Key Cryptography, DSA, MD2, MD5, RC2-CBC, RC4, DES-CBC, DES-EDE3-CBC

177 177 CRIPTOGRAFIA NA INTERNET Sistemas criptográficos na Internet IPSec Arquitetura para o protocolo IP, buscando alcançar confidencialidade e autenticação. Implementado como dois cabeçalhos opcionais: Authentication Header Encapsulating Security Payload Header Permite o uso de diferentes algoritmos de codificação de mensagem e de confidencialidade. MD5, SHA, DES.

178 ANTIVÍRUS

179 179 ANTIVÍRUS Definição São programas especializados na detecção e remoção de vírus, worms e qualquer outro tipo de programa malicioso. Funcionamento ANTIVÍRUS A C D E B Alert

180 180 ANTIVÍRUS Métodos de localização de vírus Comparação de strings Análise de assinaturas Heurísticas Recursos verificados MBR (Master Boot Record) Dispositivos de armazenamento de dados Discos flexíveis Discos rígidos CD-ROM...

181 181 ANTIVÍRUS Recursos verificados Memória principal Programas de correio eletrônico Browsers

182 FIREWALL

183 183 FIREWALL Definição É uma barreira inteligente entre duas redes, na maior parte das vezes a rede local e a Internet, atrav é s da qual s ó passa tr á fego autorizado.[HAZARI, 2000] Funções Um firewall é um checkpoint, ou seja, é o ponto de conexão com o mundo externo, tudo o que chega à rede interna passa pelo firewall; Um firewall pode aplicar uma pol í tica de seguran ç a; Um firewall pode fazer registros (log) eficientes das atividades; Um firewall limita a exposi ç ão da empresa ao mundo externo.

184 184 FIREWALL Firewall = Software + Hardware

185 185 FIREWALL Tipos de firewalls Filtros de pacote Realiza uma análise dos pacotes, verificando suas origens e destinos. Possui regras que determinam a filtragem. Um número grande de regras pode prejudicar o desempenho do processo de filtragem, gerando um bottleneck Susceptível a ataques de Spoofing e DDoS

186 186 FIREWALL Tipos de firewalls Stateful firewalls Realiza um processo de filtragem de pacote mais refinado, onde todo o conteúdo é analisado e não somente endereços – Stateful Packet Inspection. Pode fazer bloqueio de portas, diminuindo o risco de ataques inesperados. Susceptível a ataques do tipo DDoS.

187 187 FIREWALL Tipos de firewalls Firewalls em nível de aplicação São firewalls coordenados por aplicações chamadas proxies. Para cada tipo de serviço existe um aplicação responsável pelo seu tratamento. Cada aplicação proxy intercepta o tráfego vindo da rede interna e realiza a negociação com o meio exterior. Permite um maior controle sobre o tráfego da rede, no entanto, prejudica o desempenho.

188 188 FIREWALL Tipos de firewalls Vantagens Diminui a necessidade de implantar mecanismos de segurança em cada uma das máquinas da rede; Facilita a administração e o acesso, permitindo a criação de regras e políticas de segurança. Desvantagens Constitui um ponto de falha em potencial; Se não bem implementado pode interferir no desempenho da rede

189 PROXIES

190 190 PROXIES Definição É um tipo de firewall que funciona como um procurador (proxy) de todas as conexões da rede interna.

191 191 PROXIES Tipos de proxy Gateway de nível circuito É criada uma conexão virtual entre a máquina cliente (rede interna) e o proxy. O proxy, por sua vez, altera o endereço IP da requisição do cliente com seu endereço IP e realiza a negociação com o servidor externo. As máquinas externas não e as máquinas internas não se comunicam diretamente, nunca. Excelente cenário para implantação de endereços privados ( ; ; )

192 192 PROXIES Tipos de proxy Gateway de nível aplicação Implementa as mesmas funcionalidades do gateway de nível circuito. Adiciona funcionalidade de análise detalhada de pacotes. Permite o estabelecimento de políticas de segurança robustas.

193 193 PROXIES Proxy de nível aplicação

194 194 PROXIES Vantagens Assim como um firewall qualquer, diminui a necessidade de aplicar políticas de segurança em todas as máquinas da rede; Permite maior controle sobre o conteúdo acessado; Permite o uso de redes privadas, evitando a aquisição de blocos grandes de endereços IP. Desvantagens Funciona como um ponto de falha em potencial; É preciso implantar e manter gateways para todos os tipos de serviços desejados.

195 VPN VIRTUAL PRIVATE NETWORK

196 196 VPN Definição São túneis virtuais criptografados entre pontos autorizados, criados através da Internet ou entre redes públicas e/ou privadas para a transferência de dados de forma segura. Funcionalidades Permite a criação de redes virtuais através de meios de comunicação de terceiros; Muito utilizado na configuração de extranets, ou seja, a interligação entre duas intranets de uma mesma empresa; Permite conexões dial-up seguras para usuário remotos.

197 197 VPN ACESSO REMOTO VIA INTERNET

198 198 VPN INTERCONEXÃO DE LANS VIA INTERNET

199 199 VPN ENCAPSULAMENTO IP-IN-IP

200 200 VPN Como criar uma VPN? Primeiro, é preciso dedicar e configurar duas máquinas (uma em cada ponta do túnel); Depois, é preciso criar uma política de segurança para esse acesso (unidirecional ou bidirecional); Sistemas criptográficos precisam ser analisados e estabelecidos;

201 201 VPN Vantagens Permite a criação de redes virtuais sem a aquisição de links dedicados; Diminui os custos de interligação de empresas disseminadas geograficamente; Desvantagens Cria uma entrada a mais na sua rede que mesmo protegida precisa de monitoramento; Não é possível exigir aspectos como segurança, desempenho e exclusividade dos recursos utilizados.

202 IDS INTRUSION DETECTION SYSTEM

203 203 IDS Definição É qualquer sistema que tem por finalidade identificar e responder a atividades maliciosas dirigidas a computadores e recursos da rede.[Amoroso, 1999] Componentes de um IDS Geradores de eventos Analisadores de eventos Base de dados de eventos Unidades de respostas

204 204 IDS Métodos de detecção de intrusão Métodos tradicionais Trilhas de auditoria Captura de pacotes (tcpdump, windump) Consultas a agentes SNMP Análise baseada em assinaturas Verifica as ações dos usuários, pacotes que trafegam, etc e compara com uma base de possíveis ataques.

205 205 IDS Métodos de detecção de intrusão Análise baseada em comportamento Faz retratos do sistema em situação normal. Depois, com o sistema em ação, compara seu estado com esses retratos. Métodos avançados Redes Neurais Computer Immunology

206 206 IDS Vantagens Potencializa a segurança de sistemas computacionais; Diminui a sobrecarga em cima do administrador que agora não precisa gastar tempo com análise de logs,... Desvantagens São sistemas que consumem muito processamento e podem prejudicar o desempenho da máquina e da rede como um todo; Dificuldade de manutenção.

207 207 IDS Exemplos Snort – freeware (Windows/Unix) Bro – freeware (Unix) RealSecure – Comercial (Windows)

208 COMO DIMINUIR ATAQUES

209 209 COMO DIMINUIR ATAQUES Vírus / Worms / Trojans Uso de antivírus de comprovada eficiência Atualizações constantes, se possível diárias Erros de programação - Exploits Atualizações constantes de softwares e uso de patches Verificação constante de novos erros em softwares através de sites na Internet Evite o uso de softwares pouco testados Faça análise constante dos logs

210 210 COMO DIMINUIR ATAQUES Spoofing Uso de criptografia e assinatura digital para transações importantes Uso de autenticação de parceiros (Kerberos, por exemplo) Uso de filtros anti-Spoofing DoS / DDoS Verificar padrões de comportamento Uso de filtros anti-Spoofing

211 211 COMO DIMINUIR ATAQUES Ferramentas IP/Port Scanner Alguns IDS verificam se as máquinas de uma rede ou portas de um computador estão sendo varridas num curto intervalo de tempo. Ferramentas Sniffer Preferir redes estruturadas com hubs ativos ou switches. O custo representa segurança e melhor desempenho. Evite o acesso de pessoas e máquinas estranhas(notebooks, por exemplo) a sua rede.

212 212 COMO DIMINUIR ATAQUES Engenharia Social Treinar os membros da equipe/empresa evitar o acesso a informações importantes. Realizar uma seleção rígida nos prováveis funcionários da empresa. Estabelecer e cultivar a estrutura de hierarquia da informação. Eu não posso passar esta informação, somente o meu superior. Não desvalorizar os funcionários (financeiramente, profissionalmente,...). Tome cuidado com seu lixo.

213 FIQUE POR DENTRO

214 REDES WIRELESS UM NOVO PERIGO

215 215 REDES WIRELESS ESS/BSS Layout IBSS Layout

216 216 REDES WIRELESS As informações transmitidas numa rede sem fio não estão condicionadas a um cabo físico. Redes vizinhas não precisam obedecer a barreira do firewall/proxy. Os sinais podem ser captados por ambientes externos ao da rede local. O Ataque das Batatas Pringles

217 217 REDES WIRELESS Segundo Scott Lowe 6(Seis) pontos precisam ser levados em consideração na montagem de uma rede wireless: Não se recomenda que a antena fique perto de janelas. O ideal é colocar a antena no centro da área que você quer cobrir; Habilitar o WEP (Wired Equivalent Privacy), o qual é um método criptográfico em redes sem fio.;

218 218 REDES WIRELESS Mudar o SSID e desabilitar o broadcast. O SSID (Service Set IDentifier) é uma string de identificação utilizada em pontos de acesso à redes sem fios pelo qual os clientes podem iniciar suas conexões; Desabilitar o DHCP (Dynamic Host Configuration Protocol); Desabilitar ou modificar os parâmetros SNMP (Simple Network Management Protocol);

219 219 REDES WIRELESS Utilizar access lists, especificando exatamente quais máquinas poderão se conectar ao ponto de acesso da rede.


Carregar ppt "Segurança da Informação na Internet Prof. Dr. Miguel Franklin de Castro"

Apresentações semelhantes


Anúncios Google