A apresentação está carregando. Por favor, espere

A apresentação está carregando. Por favor, espere

19 de Abril de 2004 Faculdade Engenharia da Universidade do Porto.

Apresentações semelhantes


Apresentação em tema: "19 de Abril de 2004 Faculdade Engenharia da Universidade do Porto."— Transcrição da apresentação:

1 19 de Abril de 2004 Faculdade Engenharia da Universidade do Porto

2 Abril 2004 Jorge Portugal AVISO Informação sobre a apresentação: Elaborada por Jorge Portugal, Business Sales Consultant, CESCE S.I., Abril Apresentada em 19 de Abril de 2004 aos alunos do Mestrado em Redes e Serviços de Comunicação da Faculdade de Engenharia da Universidade do Porto, disciplina de Segurança em Sistemas e Redes. Docentes: Isidro Vila Verde e Jaime Dias Composta e apresentada a convite do Engenheiro Isidro Vila Verde. SÓ PODE SER UTILIZADA NO ÂMBITO DA REFERIDA DISCIPLINA, OU OUTRAS LECCIONADAS PELOS DOCENTES INDICADOS, SALVO AUTORIZAÇÃO EM CONTRÁRIO DO AUTOR.

3 Abril 2004 Jorge Portugal Enquadramento Jorge Technical Manager SIA Portugal Business Sales Consultant CESCE S.I., SIA Group CESCE S.I Leader no mercado de storage em PT Grupo de Segurança da SIA Portugal Grupo SIA Espanha; Benelux; Portugal Entrust Technologies

4 Abril 2004 Jorge Portugal Agenda Tecnologia (Criptografia) Criptografia simétrica Criptografia assimétrica ou de chave públiva PKI Corporativa Componentes Requisitos Apresentação baseada nos produtos da Entrust Technologies

5 A Empresa

6 Abril 2004 Jorge Portugal Quem Somos CESCE SI Empresa constituída em 1988, originalmente dedicada à integração de armazenamento de dados. Desde 2004 é uma empresa do Grupo SIA, contando com 65 colaboradores em Lisboa e no Porto. Grupo SIA Multinacional de origem espanhola, dedicada ao desenvolvimento de soluções E2E. Com a aquisição da CESCE SI tornou-se um dos maiores integradores de serviço de TI do mercado ibérico. A sua equipa é constituída por 340 colaboradores em Espanha, Portugal, Bélgica e Holanda.

7 Abril 2004 Jorge Portugal Áreas de Actuação Desenvolvimento de actividades nas seguintes tecnologias: Storage Security E-management Mobility Proposta de valor para o negócio: Complementariedade e integração de um portfolio de soluções de armazenamento e segurança informática, serviços e consultoria de acordo com as necessidades reais dos seus clientes.

8 Criptografia

9 Abril 2004 Jorge Portugal Criptografia Existe há muitos séculos; Maior problema que limitou desde sempre a utilização de criptografia: gestão das chaves; Chave: valor numérico que é utilizado num algoritmo ou função matemática para alterar os dados (cifrar). Só quem tem conhecimento da chave consegue obter a mensagem original (decifrar); Gestão de Chaves: administração segura das chaves para as disponibilizar aos utilizadores quando e onde são necessárias.

10 Abril 2004 Jorge Portugal Criptografia Simétrica Criptografia simétrica: utiliza a mesma chave para cifrar e decifrar as mensagens; Principais Vantagens: Rápida; Simples; Principais Desvantagens: É necessário um canal seguro para transmitir as chaves. O número de chaves necessárias cresce desmesuradamente (F n = F n-1 + n –1): 100 utilizadores ~= chaves; 200 utilizadores ~= chaves!!!

11 Abril 2004 Jorge Portugal Criptografia de Chave Pública Criada na década de 70. Principais vantagens : Já não é necessário cifrar e decifrar com a mesma chave. O número de chaves necessárias é directamente proporcional ao número de intervenientes. Principais desvantagens Algoritmos pesados; Complexidade; As chaves aparecem aos pares: chave privada e chave pública. O que é cifrado com uma chave só pode ser decifrado com a outra. A chave privada deve ser mantida secreta; A chave pública deve ser disponibilizada e distribuída livremente.

12 Abril 2004 Jorge Portugal Criptografia de Chave Pública Criptografia de chave pública traz muitas vantagens e mesmo a resposta para o problema da escalabilidade.... Mas não resolve o problema de gestão de chaves. De facto incrementa a necessidade de um sistema sofisticado de gestão para resolver os seguintes problemas: Como cifrar uma mensagem uma única vez para uma série de destinatários? Como recuperar mensagens/ficheiros cifrados se perder as chaves? Como ter a garantia da autenticidade de uma chave? É mesmo de quem eu penso que é?... ou foi forjada? Como sei que uma dada chave pública ainda é válida e de confiança?...

13 Abril 2004 Jorge Portugal Criptografia de Chave Pública A resposta está na combinação de: Criptografia simétrica; Criptografia de chave pública; Sofisticado sistema de gestão de chaves.... a origem da PKI.

14 Conceitos

15 Abril 2004 Jorge Portugal Criptografia de Chave Pública RSA (Sistema criptográfico) Cada interveniente dispõe de um par de chaves (privada e pública); O par de chaves RSA é utilizado para cifrar e decifrar mensagens - ao contrário e.g. do sistema Diffie-Hellman (*); Uma mensagem cifrada com a chave privada só pode ser decifrada com a chave pública, e vice-versa; Assinatura digital Quando se cifra com a chave privada; Funciona como prova da identidade do emissor (só este tem acesso à chave privada, por definição); prova da integridade da mensagem É possível utilizar o sistema de cifra RSA para obter assinaturas digitais. (*) Diffie-Hellman: cada interveniente tem um par de chaves que só serve para obter a chave de cifra (simétrica); as chaves pública e privada não são utilizadas para cifrar/decifrar.

16 Abril 2004 Jorge Portugal Criptografia de Chave Pública Cifrar uma mensagem/documento com RSA é demasiado pesado; Como alternativa, calcula-se um hash (message-digest) da mensagem/documento com apenas alguns bytes e cifra-se esse hash. Algoritmos Message-digest MD2, MD4 e MD5 – 128 bits (Rivest, 89, 90 e 91); SHA-1 – 160 bits (Secure Hash Algorithm);

17 Abril 2004 Jorge Portugal Criptografia de Chave Pública Utilizador Documento Função de Hash Documento com Assinatura Digital Hash cifrado com a chave privada do utilizador Hash Processo de assinar

18 Abril 2004 Jorge Portugal Criptografia de Chave Pública Processo de verificação Documento Função de Hash Documento com Assinatura Digital Hash decifrado com a chave pública do assinante Hash = ? Hash cifrado com a chave privada do assinante

19 Abril 2004 Jorge Portugal Criptografia de Chave Pública Agora que já sabemos o que é uma assinatura digital Podemos resolver o problema da autenticidade das chaves públicas. Certificados de chaves públicas (Certificados): colecção de elementos que identificam uma dada entidade, incluindo a sua chave pública... assinados digitalmente por uma entidade de confiança. Autoridade de Certificação (CA) Só é necessário dispor da chave pública (certificado) da CA para verificar os certificados. Os certificados de algumas CAs já vêm embebidos nos browsers. Os certificados podem ser distribuídos livremente uma vez que, estando assinados, não podem ser alterados (forjados) - a garantia de integridade é uma propriedade da assinatura digital

20 Abril 2004 Jorge Portugal Criptografia de Chave Pública Certificado X.509 v3

21 PKI Corporativa

22 Abril 2004 Jorge Portugal PKI Corporativa PKI = Public Key Infrastructure (Infra-estrutura de Chave Pública). PKI é muito mais do que uma CA! PKIs devem ser útil nas empresas! Quais os requisitos? Vamos ver: Requisitos necessários para tornar uma PKI numa solução de utilidade real (PKI corporativa).

23 Abril 2004 Jorge Portugal PKI Corporativa Componentes, características, funcionalidades: CA (autoridade de certificação) RA (autoridade de registo) Repositório de Certificados Sistema de Revogação de Certificados Sistema de Gestão de Chaves e Certificados Não repúdio Backup e recuperação de chaves Selos temporais e Notário Mobilidade PKI networking Políticas SOFTWARE CLIENTE

24 Abril 2004 Jorge Portugal Autoridade de Certificação Web Servers Web BrowsersVPN Devices SET Users End Users CA Future... Possibilidade de emitir certificados configuráveis X.509 para cada utilizador ou device.

25 Abril 2004 Jorge Portugal Autoridade de Certificação Cada utilizador da PKI deve ter a sua identidade registada. Essas identidades são guardadas em formato digital: Certificados. CAs = pessoas + processos + ferramentas... que criam certificados que associam de forma segura o nome dos utilizadores às suas chaves públicas. Ao criar certificados, as CAs agem como agentes de confiança na PKI. Quando os utilizadores confiam na CA e na sua política para criação de certificados, podem confiar nos certificados emitidos pela CA. Isso é designado por third part trust.... Daí a origem da designação trusted third party (TTP) ou terceira parte de confiança.

26 Abril 2004 Jorge Portugal Autoridade de Registo Entidade (+pessoas +processos) que efectua os registos; Registo = Processo segundo o qual se autenticam as pessoas/equipamentos e se lhes atribui a respectiva identidade na PKI No caso de pessoas, dependendo da política de segurança, deve ser exigido o registo presencial mostrando documento de identificação com fotografia, etc.

27 Abril 2004 Jorge Portugal Repositório de Certificados Sistema universalmente aceite: directório X.500; As aplicações têm acesso aos certificados por LDAP; Tecnologia ideal porque: Boa escalabilidade para suportar milhares de entradas; Responde bem a pesquisas; Pode ser distribuída pela rede para satisfazer os requisitos das organizações mais distribuídas.

28 Abril 2004 Jorge Portugal Sistema de Revogação de Certificados Motivos para revogar certificados: Chaves comprometidas; Funcionários que abandonam as empresas; Medida administrativa para retirar o acesso de funcionários a informação de uma forma temporária ou definitiva. Os certificados revogados são tipicamente referenciados numa Lista de Certificados Revogados (CRL – Certificate Revogation List); As CRLs são publicadas num directório público (X.500); O problema é verificar a CRL sempre que se utiliza um certificado: Manualmente: acaba por não ser efectuado Trabalhoso; Utilizadores não se apercebem da necessidade Necessário: Verificação automática de CRLs (s/w cliente).

29 Abril 2004 Jorge Portugal Sistema de Gestão de Chaves e Certificados Actualização automática de chaves As chaves devem ser periodicamente renovadas para incrementar a segurança; As chaves devem ser actualizadas antes de expirarem, caso contrário há uma interrupção de serviço. Métodos de actualização: Manual (utilizadores): Esquecem-se; Têm dificuldades; Automática: Deve ser transparente para o utilizador; Atempadamente para não haver interrupção de serviço.

30 Abril 2004 Jorge Portugal Sistema de Gestão de Chaves e Certificados Gestão das chaves e certificados durante todo ciclo de vida Criação das chaves Expiração Validação de certs Utilização Emissão dos certificados Expiração e renovação automática Actualização de chaves da CA Alterações de DN Arquivo de utilizadores Transferência entre CAs Histórico de chaves Automatização da Gestão de chaves e certificados – redução de custos. Actualização das chaves, e não apenas dos certificados, tanto para utilizadores como para a CA aumentam a segurança

31 Abril 2004 Jorge Portugal Sistema de Gestão de Chaves e Certificados. Alice uses new encryption private key to encrypt a file Alice decides to decrypt all three files Secure Data Abcdefalsdasdf asdfasdfasdfAs dfasdfasdfasdf asdfasdfasdfas dfpolaskjfliease ifjasleifjalsiejf;la siejfflasijefj;liala kjsdf asd fasdfasdfasdlka Alices Encryption Private Key & Public Key Certificate (also applies to Signing Keys & Cert) Autoridade Certificação Alice Jones Alice Smith Sep2003Oct2003Nov2003Dec2003Jan2004Feb2004Mar2004Apr2004May2004Jun2004Jul2004Aug2004 Name Change: Seamlessly Decrypted with Managed Key History Alice uses encryption private key to encrypt a file Keys are automatically updated as they expire Alice uses new encryption private key to encrypt a file Alice gets married and changes her name New keys and certificate automatically generated with new name Gestão transparente de chaves e certificados, incluindo histórico e actualização automática Política pode ser definida por utilizador e por chave/certificado (ex. Duração das chaves)

32 Abril 2004 Jorge Portugal Não repúdio Ninguém deve poder repudiar um documento com assinatura digital; Para isso a chave de assinatura deve estar na posse do utilizador (sem backup central) e bem guardada. Modelo mais comum: Um par de chaves. Problemas: Se as chaves são geradas no desktop e guardadas de forma segura, há suporte ao não repúdio;... mas não há cópias de segurança (problema de backup e recuperação de chaves). Se forem geradas centralmente e arquivadas (backup) para evitar o problema anterior, NÃO há suporte ao não repúdio. Conflito entre não-repúdio e backup de chaves!!

33 Abril 2004 Jorge Portugal Não repúdio Solução: Dois pares de chaves (Dual Key Pair) Chave privada de assinatura + chave pública de verificação; Chave pública de cifra + chave privada para decifrar. O par de chaves de assinatura é gerado localmente. A chave de assinatura deve ser bem guardada; O par de chaves de cifra são gerados centralmente e guardados (backup de chaves). Suporte do modelo Dual Key Pair. Outros modelos com mais pares de chaves Cifra; Autenticação; Assinatura (não repúdio);

34 Abril 2004 Jorge Portugal Backup e recuperação de chaves Necessidade óbvia em ambientes empresariais, porque... Deve ser possível recuperar informação cifrada... Em que circunstâncias? Os utilizadores perdem as suas chaves; Os utilizadores abandonam a empresa; Os utilizadores esquecem-se da password de protecção das chaves; As chaves são destruídas (smartcard, discos, disquetes, etc)...

35 Abril 2004 Jorge Portugal Backup e recuperação de chaves Par de chaves de cifra guardado centralmente na PKI Backup Chaves CA Backup Chaves Utilizador esquece password Falhas de hardware Funcionário abandona empresa Cópia de chaves anula o não-repúdio requerido pelas assinaturas digitais. Chaves de cifra Chaves de cifra: Encryption public key Decryption private key Chaves de assinatura Chaves de assinatura: Verification public key Signing private key

36 Abril 2004 Jorge Portugal Autorizações Adicionais (# configurável) Autoriza Key Recovery Backup e recuperação de chaves Recuperação de todas as chaves de cifra (histórico) RAUtilizador PKI Encryption Key History New Signing Key Pair and Certificate Password??Help!!

37 Abril 2004 Jorge Portugal Selos temporais e Notário Processo que associa uma data/hora a um documento. O utilizador submete o hash do documento ao sistema de Time Stamping; O Sistema devolve o hash do documento juntamente com a data/hora (timestamp) digitalmente assinado.

38 Abril 2004 Jorge Portugal Selos temporais e Notário Timestamping + não-repúdio = Notarização Timestamp Server Secure Time Source Utilizador Documento Hash Function & Digital Signature Pedido de Timestamp Resposta Timestamp Assinada digitalmente Documento Notarizado Documento certificado: Hora da assinatura Servidor de timestamp válido (não revogado) Utilizador válido (não revogado)

39 Abril 2004 Jorge Portugal Mobilidade Mobilidade com smartcards ou solução de roaming Tokens, Smartcards and Biometrics Workstations Roaming Server Utilizadores Credenciais |******** Roaming Password cifrado

40 Abril 2004 Jorge Portugal Single Login | Utilizador Mobilidade Single login nas applications e disponível off-line *************** Web VPN Desktop Etc... Password local única para todas aplicações Off-Line CRL Cache Certificate Cache Operações Off-line habilitadas: cache de CRL e certificados

41 Abril 2004 Jorge Portugal PKI networking Certificação Cruzada (Cross Certification) A confiança centralizada numa dada CA não é compatível com a natureza humana nem com os modelos empresariais. Necessidade de manter o controlo sobre quem se confia e ter a flexibilidade de incluir ou excluir organizações. Exemplo 1: Uma organização com uma CA e uma empresa parceira com outra CA; Exemplo 2: Uma organização geograficamente dispersa pode ter CAs em vários locais. A certificação cruzada extende os relacionamentos de confiança third-party trust entre domínios de autoridade de certificação.

42 Abril 2004 Jorge Portugal Gestão de Políticas Políticas a aplicar às CAs e RAs CA RAs CA Key Lifetime CA Signing Algorithm CA Key Length CRL FrequencyCA Hardware Activation Code Lifetime Autostart CA CA Database Backup Schedule Sensitive Operations Defn # Approvals for Sensitive Ops Per RA Privileges User Group Defn User Role Defn Search Bases RA User RestrictionsCross Certificate Lifetime Custom Revocation Reasons Custom Reports Certificate Extension Policy Certificate Lifetime Policy Activation Code Distribution Options User Enrolment Options Cross-Cert Path Length Cross-Cert Policy Constraints Cross-Cert User Constraints

43 Abril 2004 Jorge Portugal Gestão de Políticas Política para utilizadores Custom Certificate ExtensionsKey & Certificate Lifetimes Utilizadores Encryption Algorithm Signing Algorithm Certificate Caching? Password Rules? Smartcard/Token UsageSingle Login? Single Login time-out Compress when Encrypting? Timestamp when encrypt? Virus scan on decrypt? CRL Caching?

44 Abril 2004 Jorge Portugal Software Cliente no Desktop O valor de uma PKI está associado a: Funcionalidades que a PKI disponibiliza. Possibilidade de aplicações e equipamentos utilizarem criptografia e certificados; Aplicações tipo: ; Desktop (segurança file/folder); Web Browsing (clientes e servidores); E-forms; VPN devices...

45 Abril 2004 Jorge Portugal Software Cliente no Desktop A maior parte das funcionalidades exigidas á PKI atrás enumeradas DEVEM ser utilizadas/suportadas pelas aplicações. Em resumo: Certificados deve suportar certificados; validar a assinatura da CA nos certificados; Verificar a validade dos certificados; Backup e recuperação de chaves todas as aplicações da PKI devem interagir com um só sistema de backup de chaves. A comunicação deve ser segura e efectuada de forma uniforme em todas as aplicações; Suporte ao não repúdio S/w deve ser capaz de gerar o par de chaves utilizado para assinaturas digitais (Signing Key Pair)

46 Abril 2004 Jorge Portugal Software Cliente no Desktop –Actualização automática de chaves S/w deve iniciar automaticamente o processo de actualização dos pares de chaves. –Gestão do histórico de chaves S/w deve ter mecanismos para aceder ao histórico de chaves para, de forma transparente para os utilizadores, decifrar dados com chaves antigas. –Repositório de certificados S/w deve suportar LDAP –Revogação de certificados S/w deve poder interagir com um sistema de revogação de certificados – acesso transparente às CRLs. –Suporte à certificação cruzada S/w deve suportar o modelo de certificação cruzada: mecanismos para walk the chain of trust.

47 Abril 2004 Jorge Portugal Software Cliente no Desktop Outras funcionalidades necessárias: Possibilidade de trabalhar off-line Suporte de vários métodos para guardar chaves Smartcards; PC cards; Secure Files;...

48 Abril 2004 Jorge Portugal Software Cliente no Desktop Autoridade de Certificação (CA) Repositório de certificados Revogação De certificados Backup e Recuperação de chaves Suporte ao Não repúdio Actualização Automática de chaves Timestamping Histórico de Chaves Certificação cruzada ?

49 Abril 2004 Jorge Portugal Software Cliente no Desktop Software cliente PKI O valor real da PKI reside no que os utilizadores podem fazer com esta

50 Questões ? ? ?


Carregar ppt "19 de Abril de 2004 Faculdade Engenharia da Universidade do Porto."

Apresentações semelhantes


Anúncios Google