A apresentação está carregando. Por favor, espere

A apresentação está carregando. Por favor, espere

1 Segurança na Web Principais problemas e soluções.

Apresentações semelhantes


Apresentação em tema: "1 Segurança na Web Principais problemas e soluções."— Transcrição da apresentação:

1 1 Segurança na Web Principais problemas e soluções

2 2 Tipos de ataques Defacement Alteração de elementos do site da Internet Spam Envio não solicitado de correio com intuito comercial Spoofing Substituição de IP para esconder a proveniência do ataque Instalação de Cavalo de Troia, para facilitar o acesso continuado

3 3 Tipos de ataques (2) DoS – Denial of service Negar acesso aos serviços normais da rede Flood pings – para aumentar o tráfego de Internet Mail bombing – envio de muitas mensagens de correio de grande dimensão TCP Syn Scan – Spoofing do endereço do remetente do SYN. O ACK é realizado para um IP diferente que nunca responde DDoS – Distributed Denial of Service – operações coordenadas de ataque

4 4 Terminologia de segurança Autenticação Quem sou – através de password ou outros mecanismos como: Certificados Digitais SecurID por Hardware Tecnologias Biométricas – voz, impressão digital Autorização Permitir ou não acesso a serviços Integração com a autenticação e pressupõe responsabilização

5 5 Terminologia de segurança (2) Integridade Validação dos dados de uma determinada origem como não tendo sofrido alteração Utilização de algoritmos de validação para detectar a integridade Encriptação Transformação dos dados para permitir a confidencialidade do original O reverso é a desencriptação que permite recuperar os dados originais

6 6 Chaves de segurança Symmetric Key Criptoghraphy Criptografia e a utilização de chaves idênticas em ambos os lados Transmissão das chaves através de transmissão diferente - out of band Certificados X.509 Documentos electrónicos que ligam a informação a uma determinada chave pública Exigem certificação por uma entidade externa As empresas podem ser certificadas para certificarem os seus empregados

7 7 SET vs. SSL Diferenças e similitudes

8 8 SSL: Transacções encriptadas Porquê encriptar? Princípios dos sistemas de encriptação Perceber a gestão de certificados

9 9 Porquê encriptar? CONFIANÇA! Garanta que o seu cliente está autorizado a utilizar a sua conta O cliente quer garantir que você é o vendedor legítimo Garanta que o pagamento é recebido Garanta que as mercadorias são recebidas

10 10 Passos na criação de certificado SSL Selecciona-se uma Autoridade Certificadora (CA) para utilizar e preenchem-se os formulários e paga-se CA verifica a informação fornecida CA cria um certificado contendo a chave pública e a data de expiração O certificado é guardado no vosso Servidor web

11 11 Hierarquia de confiança para a emissão de certificados Visa e MasterCard designarão ou tornar-se-ão CAs Os comerciantes confiarão nestas entidades emissoras ou nos seus bancos Os portadores de cartões de crédito obterão certificados dos CA dos seus bancos e guardá-los-ão na sua carteira electrónica

12 12 Exemplos de Autoridades Certificadoras VeriSign GTE CyberTrust Solutions, Inc. Thawte Consulting Certipor em Portugal?

13 13 Criação de Certificados Demonstração da geração de certificados

14 14 Certificados de servidor da Verisign Diferentes funcionalidades, com preços de $349 a $1295/ano Oferecem diferentes garantias e níveis de encriptação

15 15 Gestão de Certificados Depois de serem emitidas as chaves públicas dos certificados devem ter a sua integridade mantida Têm datas de expiração Podem ser revogados por algumas razões Após expirarem os certificados devem ser renovados e reemitidos Estas são as considerações relativamente a utilizarem uma CA externa por oposição a uma CA interna

16 16 Como é isto feito? Browsers e servidores seguros Capazes de uma forte encriptação (até 128 bit) A encriptação de 40 bit já não é considerada adequada para transacções financeiras Certificados digitais Verifica a identidade do proprietário do certificado Também denominadas IFDs O protocolo mais utilizado hoje é a Secure Socket Layer (SSL)

17 17 Secure Sockets Layer (SSL) Autentica o servidor comercial O certificado comercial é obtido de umas entidade certificadora autorizada Oferece privacidade através da encriptação da mensagem entre o remetente e o destinatário O tubo seguro negoceia a encriptação máxima compatível entrem o browser e o servidor para cada mensagem transmitida Assegura a integridade dos dados transmitidos Verificação da autenticidade da mensagem (algoritmo)

18 18 Secure Sockets Layer Protocol (SSL) https:// no URL = uma ligação segura SSL permite aos clientes verificarem quem o fornecedor é A identidade digital do comerciante não certifica a sua integridade O certificado comercial (Digital ID) pode ser visto em qualquer browser seguro

19 19 Secure Sockets Layer Protocol (SSL) Ordem do cliente com informação de pagamento Envio encriptado da ordem A ordem é desencriptada no servidor do fornecedor

20 20 O que não é encriptado na SSL Logo que os dados chegam ao servidor do fornecedor podem ser guardados numa localização insegura! Se alguém tem acesso físico ao servidor

21 21 Força da encriptação Não é permitida a exportação de produtos americanos com encriptação superior a 40 bits Não é ilegal utilizar internacionalmente encriptação superior a 40 bits As instituições financeiras não consideram adequada a encriptação de 40-bit para transacções na Internet

22 22 Força da encriptação Os novos browser e o software dos servidores são capazes de encriptação a 128- bit A encriptação de 128-bit é exponencialmente mais forte que a de 40-bit

23 23 Firewalls em geral

24 24 O que são? É um ponto único entre duas redes através do qual deve passar todo o tráfego Através dele o tráfego é controlado e muitas vezes autenticado Todo o tráfego é registado Os primeiros firewalls foram evidentemente construídos em routers

25 25 Tipos de Firewall Bastion host

26 26 Tipos de Firewalls Packet Filtering

27 27 Evolução De Routers a Gateways aplicacionais Até aos firewalls híbridos de hoje, com serviços para propósitos diferentes apesar de aparentemente complementares A segurança e a complexidade são muitas vezes inversamente proporcionais

28 28 Serviços de rede Firewall Sistema base para outros serviços de networking e segurança Adições Autenticação Encriptação QoS Verificação de conteúdo

29 29 Autenticação Autenticação ao nível do utilizador Controle de acessos e verificação de acessos externos a este nível

30 30 Encriptação Firewall a Firewall e de Firewall para utilizadores móveis VPN e confidencialidade da informação Os dispositivos de VPN devem funcionar de forma integrada com os Firewalls

31 31 QoS – Qualidade de serviço Determinação de quotas de utilização do gateway Por serviço Por actividade Esta é uma usurpação da actividade normal do router Permite o registo de actividades afectando a QoS

32 32 Verificação de conteúdo Inclui anti-virus, filtro de Uniform Ressource Locator e chega ao filtro por palavras chave do correio externo Defesa à chegada e diminuição de performance na maioria dos casos

33 33 First thing first Quanto mais funções se adicionam ao firewall mais podem funcionar mal Evolução recente Firewalls adaptativos – ligam em série diferentes serviços, filtros, gateways e proxies Administração mais eficiente Firewalls reactivos – ligação com a detecção da intrusão e produtos de help desk. Evolução deve caminhar para aumento da segurança

34 34 Load Balancing, Web Switches e Redirectors Cisco Local Director Network Engines Cluster Control Arrowpoint's Content Smart Alteon WebSystems Foundry Networks Server Iron iPivots Commerce Accelerator

35 35 Como trabalham? Instalados entre o router e o web server Por vezes obrigam à reconfiguração de routers ou proxy server Alguns incluem caching ou serviços de proxy Na realidade são switches de layer 4 (transporte UDP) que examinam os pacotes de conteúdo web Gerido através do browser

36 36

37 37 Funcionalidades avançadas Arrowpoint ignora os items que não podem ir para a cache Cisco realiza load balancing do servidor de aplicações e load balancing do domínio Network Engines' ClusterControl realiza a replicação de conteúdo web iPivot usa inline crypto para realizar melhor SSL

38 38 Questões Performance Tempo geral de resposta Segurança Confiança Mais informação, veja

39 39 Tendências Os preços destes produtos vão continuar elevados A concorrência está nos Providers de conteúdo distribuído

40 40 Obrigado pela atenção


Carregar ppt "1 Segurança na Web Principais problemas e soluções."

Apresentações semelhantes


Anúncios Google