Criptografia e Segurança em Rede Capítulo 1

Apresentação em tema: "Criptografia e Segurança em Rede Capítulo 1"— Transcrição da apresentação:

1 Criptografia e Segurança em Rede Capítulo 1
De William Stallings Apresentação por Lawrie Brown e Fábio Borges Apresentação por Lawrie Brown e Fábio Borges do livro "Criptografia e Segurança em Redes", 4ª. edição, de William Stallings, Capítulo 1 "Introdução".

2 Capítulo 1 – Introdução A arte da guerra nos ensina a contar não com a probabilidade de o inimigo não chegar, mas com nossa própria prontidão para recebê-lo; não com a chance de não ser atacado, mas com o fato de tornar nossa posição inatacável. —A arte da guerra, Sun Tzu

3 Visão Geral as exigências da Segurança da Informação modificaram-se nos últimos tempos exigências tradicionalmente prestadas por mecanismos físicos ou administrativos a informática exige ferramentas automatizadas para proteger arquivos e outras informações armazenadas utilização de redes de comunicações altamente conectados requer medidas para proteger os dados durante a transmissão. Os requisitos de segurança da informação dentro de uma organização foram submetidos a duas grandes mudanças nas últimas décadas. Antes da utilização generalizada de equipamento de processamento de dados, a segurança das informações que se considerou ser valioso para uma organização foi fornecido principalmente pela física (por exemplo, armários de aço com fechaduras) e mecanismos administrativos (por exemplo, Pessoal que protege procedimentos durante o contrato de processo). O desenvolvimento do uso computacional implica a necessidade de ferramentas automatizadas para proteger arquivos e outras informações armazenadas nele. Isto é especialmente o caso de um sistema compartilhado, como um momento de partilha de sistema e, mais ainda, para os sistemas que podem ser acessados através de uma rede telefônica pública, os dados de rede, ou pela Internet. A segunda grande mudança que afetou a segurança é a introdução de sistemas distribuídos e redes de comunicações para o transporte de dados entre o terminal e entre o computador do usuário e entre computadores. Medidas de segurança em rede são necessárias para proteger os dados durante a transmissão.

4 Definições Segurança Computacional - nome genérico para a coleta de instrumentos destinados a proteger os dados e para contra-atacar hackers Segurança de rede - medidas destinadas a proteger os dados durante a sua transmissão Segurança da Internet - as medidas para proteger os dados durante a sua transmissão por uma coleção de redes interconectadas Aqui estão algumas definições fundamentais, note que os limites entre elas são confusas.

5 Objetivo do Curso nosso foco está na Segurança da Internet
O qual consiste em medidas para dissuadir, prevenir, detectar e corrigir as violações de segurança que envolvam a transmissão e armazenamento de informações Detalha o foco deste livro / curso, que está na Segurança da Internet - sendo medidas para dissuadir, prevenir, detectar e corrigir as violações de segurança que envolvem a transmissão e armazenamento de informações.

6 Tendências da Segurança
Discutir as tendências da segurança observadas (Stallings secção 1.1 e Figura 1.2 acima), observando o crescimento da sofisticação dos ataques contrastando com diminuição da habilidade e conhecimento necessários para montar um ataque.

7 Arquitetura de Segurança OSI
ITU-T X.800 “Arquitetura de Segurança OSI” define uma forma sistemática para definir e prover os requisitos de segurança fornecendo para nós um instrumento útil, se abstrato, resume os conceitos que vamos estudar Para uma avaliação eficaz da segurança necessária em uma organização e para avaliar e escolher diversos produtos e políticas de segurança, o gestor responsável pela segurança necessita de alguma forma sistemática de definição dos requisitos de segurança e caracterizar as abordagens para que cumpra esses requisitos. Isto é bastante difícil em um ambiente centralizado de processamento de dados; com a utilização de redes locais e em vasta área de rede, os problemas são agravados. Recomendação ITU-T X.800, Segurança Arquitetura de OSI, definem uma dessas abordagens sistemática. A arquitetura de segurança OSI é útil para gestores como uma forma de organizar a tarefa de proporcionar segurança.

8 Aspectos de Segurança considerar 3 aspectos de segurança da informação: ataque à segurança mecanismo de segurança serviço de segurança A arquitetura de segurança OSI incide sobre ataques à segurança, mecanismos de segurança e serviços de segurança. Estes podem ser definido brevemente como segue: • ataques à segurança: Qualquer ação que comprometa a segurança da informação detida por uma organização. • mecanismo de segurança: um processo (ou um dispositivo que incorpora um processo) que foi designado para detectar, prevenir ou recuperar de um ataque à segurança. • serviço de segurança: Um processamento ou serviço de comunicação que reforce a segurança dos sistemas de processamento de dados e as transferências de informações de uma organização. Os serviços destinam-se a contra ataques à segurança, e eles fazem uso de um ou mais mecanismos de segurança para prestá-lo.

9 Ataque à Segurança qualquer ação que comprometa a segurança da informação detida por uma organização segurança da informação versa sobre como evitar os ataques, ou na falta desta, a fim de detectar os ataques aos sistemas baseados na informação muitas vezes a ameaça & o ataque costumaram significar que a mesma coisa tem uma larga variedade de ataques podem centrar-se em tipos genéricos de Ataques passivos Ataques ativos Expandir relativa à definição e à utilização de "segurança ataque", como especificado acima. Stallings Ver Tabela 1.1 para a definição de ameaça e ataque.

10 Ataques Passivos Existem “ataques passivos" que tentam aprender ou fazer uso de informações do sistema, mas não afetam o sistema de recursos. Por escutas, ou monitorização de transmissões para: + Obter conteúdo de mensagem (como mostrado acima na Stallings Figura 1.3a), ou + Controlar os fluxos de tráfego São difíceis de detectar porque não implicam em qualquer alteração dos dados.

11 Ataques Ativos Também há “ataques ativos" que tentam modificar recursos do sistema ou afetar sua operação. Através da alteração do fluxo de dados: + Mascar uma das entidades como sendo outra + Reenvio de mensagens anteriores (como mostrado acima na Stallings Figura 1.4b) + Modificar mensagens em trânsito + Negação de serviço Ataques ativos apresentam o oposto das características de ataques passivos. Considerando que os ataques passivos são difíceis de detectar, as medidas estão disponíveis para impedir o seu sucesso. Por outro lado, é muito difícil evitar ataques absolutamente ativos, devido à grande variedade de potencial físico, software e vulnerabilidades de rede. Em vez disso, o objetivo é detectar ataques ativos e recuperar a partir de qualquer interrupção ou atrasos causados por eles.

12 Serviços de Segurança reforçar a segurança dos sistemas de processamento de dados e transferências de informações de uma organização destinados a segurança contra ataques utilizando um ou mais mecanismos de segurança muitas vezes duplica funções normalmente associadas com documentos físicos o qual, por exemplo, tem assinaturas, datas, precisam de proteção contra a divulgação, alteração ou destruição; autenticação ou testemunha; ser armazenados ou licenciados Considere o papel de um serviço de segurança, e que podem ser requisitado. Nota: ambas as semelhanças e diferenças com os tradicionais papéis documentos, que por exemplo: Ter assinaturas e datas; necessidade de proteção contra a divulgação, alteração ou destruição; Pode ser autenticado ou testemunhado; Podem ser registrados ou licenciados

13 Seviços de Segurança X.800: RFC 2828:
“um serviço prestado por uma camada de protocolo de comunicação de sistemas abertos, que garante a segurança adequada dos sistemas ou de transferências de dados” RFC 2828: “Um serviço de processamento ou de comunicação prestado por um sistema para dar um tipo específico de proteção aos recursos do sistema” Também tem um par de definição de "serviços de segurança" das normas pertinentes. X.800 define um serviço de segurança como um serviço prestado por uma camada de protocolo de comunicação de sistemas abertos, que garante a segurança adequada dos sistemas ou das transferências de dados. Talvez uma definição mais clara é encontrada na RFC 2828, que fornece a seguinte definição: um serviço de processamento ou de comunicação que é fornecido por um sistema para dar um tipo específico de proteção aos recursos do sistema, serviços de segurança e implementar políticas de segurança, e são implementadas pelos mecanismos de segurança.

14 Serviços de Segurança(X.800)
Autenticação - garantia de que a entidade está comunicando com a entidade alegada Controle de acesso - prevenção do uso não autorizado de um recurso Confidencialidade dos dados - proteção de dados de divulgação não autorizada Integridade do dados - garantia de que o dado recebido está como foi enviado por uma entidade autorizada Não repúdio - proteção contra a negação de uma das partes em uma comunicação Esta lista inclui os vários serviços de segurança "clássicos" que são tradicionalmente discutidos. Nota: existe uma certa ambigüidade quanto ao significado desses termos, e sobrepõem-se em sua utilização. Stallings Ver Tabela 1.2 para obter detalhes das 5 categorias de Serviço de Segurança e os 14 serviços específicos apresentados no X.800

15 Mecanismos de Segurança
recurso destinado a detectar, prevenir ou recuperar de um ataque à segurança nenhum mecanismo irá suportar todos os serviços requeridos contudo um determinado elemento é a base de muitos dos mecanismos de segurança em uso: técnicas criptográficas daí o nosso foco sobre este tema Agora introduza "mecanismo de segurança", que são os meios específicos de implementar um ou mais serviços de segurança. Note que estes mecanismos abrangem uma ampla gama de componentes técnicos, mas um aspecto observado em muitos é a utilização de técnicas criptográficas.

16 Mecanismos de Segurança (X.800)
mecanismos de segurança específicos: cifragem, assinaturas digitais, controles de acesso, integridade de dados, troca de informações de autenticação, preenchimento de tráfego, controle de roteamento, certificação mecanismos de segurança pervasivos: funcionalidade confiável, rótulo de segurança, detecção de evento, registros de auditoria de segurança, recuperação de segurança Alguns exemplos de mecanismos do X.800. Note-se que os "mecanismos de segurança específicos" são protocolos camadas específicas, enquanto que os "mecanismos de segurança pervasivos" não são. Vamos conhecer alguns desses mecanismos em maiores detalhe mais tarde. Stallings Ver Tabela 1.3 para detalhes desses mecanismos em X.800, e Tabela 1.4 para a relação entre serviços e mecanismos.

17 Modelo para Segurança de Redes
Ao considerar o local de encriptação, a sua utilidade para usar os dois seguintes modelos de Stallings seção A primeira, ilustrada na Figura 1.5, no modelos a informação flui ao longo de um canal inseguro comunicações, com a presença de possíveis adversários. Assim, uma adequada transformação segura (algoritmo de criptografia) pode ser utilizada, com as chaves adequadas, eventualmente negociado com a presença de uma terceira parte confiável.

18 Modelo para Segurança de Redes
utilizar este modelo exige-nos que: projetar um algoritmo conveniente para a transformação da segurança gerar informação secreta (chave) a ser utilizada com o algoritmo desenvolver métodos para distribuir e compartilhar a informação secreta especificar um protocolo que permita aos usuários a utilizarem a transformação e informações secretas para um serviço de segurança Este modelo geral mostra que há quatro tarefas fundamentais na concepção de um determinado serviço de segurança, como mencionado.

19 Modelo de Segurança de Acesso à Rede
A segunda ilustrada na Figura 1.6, o modelo está preocupado com acesso controlado à informação ou recursos em um sistema de computador, com a presença de possíveis adversários. Aqui são necessários controles adequados sobre o acesso e dentro do sistema, para proporcionar condições adequadas de segurança. Algumas técnicas criptográficas são úteis aqui também.

20 Modelo de Segurança de Acesso à Rede
utilizando este modelo exige-nos que: selecione uma função gatekeeper adequada para identificar os usuários aplicar controles de segurança para garantir somente acesso de usuários autorizados a designados recursos ou informações sistemas computacionais confiáveis podem ser úteis para ajudar a implementar este modelo Detalhe aqui as tarefas necessárias para a utilização deste modelo. Note que sistemas computacionais confiáveis discutidos no capítulo 20 podem ser úteis aqui.

21 Sumário Assuntos considerados: Norma X.800
definições para: computador, rede, segurança da internet Norma X.800 ataques à segurança, serviços e mecanismos de segurança, Modelos de Segurança de Acesso à rede Capítulo 1 sumário.