Trabalho de Conclusão de Curso WEBMAIL SEGURO Implantação WEBMAIL SEGURO Implantação Trabalho de Conclusão de Curso Eduardo Juchem Luciana Schmitz Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

Ricardo Felipe Custódio, D. Sc. Orientador Ricardo Felipe Custódio, D. Sc. Banca Examinadora Julio da Silva Dias, M. Eng. Fabiano Castro Marcelo Luiz Brocardo, Ms. Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

Tópicos Introdução Correio Eletrônico Criptografia S/MIME Tecnologias Utilizadas Implantação do Webmail Seguro Considerações Finais Agradecimentos Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

Introdução A importância de um Webmail Seguro. Objetivo Geral: Implantação de um Webmail Seguro. Objetivos Específicos: viabilidade da implantação do sistema; utilização dos serviços criptográficos. Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

Correio Eletrônico Email (eletronic mail ou correio eletrônico), um dos serviços mais utilizado na internet; Funcionamento do email: Vantagens: Instantâneo e não tem custos; Não precisa estar conectado a Internet no momento em que uma mensagem lhe for enviada; As mensagens são digitais e, portanto, evita o uso de papel. Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

Correio Eletrônico – Sistema de email Clientes de email (Oulook Express, Microsoft Outlook, Eudora, Internet Mail, etc) Servidores de email, onde ficam armazenadas as mensagens dos usuários. Protocolo de envio: SMTP (Simple Mail Transfer Protocol). Protocolos de recebimento: POP(Post Office Protocol); IMAP(Interactive Mail Access Protocol). Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

Correio Eletrônico – Webmail Sistemas de Webmail não precisam ser instalados na máquina cliente; As mensagens do usuário permanecem no Servidor; Não há a necessidade de configuração do Webmail na máquina do usuário (máquina cliente). Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

Criptografia Consiste em cifrar e decifrar uma informação; O processo de cifragem envolve o conhecimento da chave por ambas as partes; Se a pessoa possui a chave certa terá acesso a informação decifrada. Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

Criptografia – Chave Simétrica Criptografia por chave simétrica ou chave secreta; O processo de cifragem envolve o conhecimento da chave por ambas as partes; Garantir o sigilo na transmissão da chave é o principal problema; Tem por vantagem a rapidez no processo de cifragem/decifragem. Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

Criptografia – Chave Assimétrica Características Duas chaves: pública(divulgada) e privada(não é divulgada); Depende de uma AC-Autoridade Certificadora; Elimina o problema do sigilo na transmissão da chave; Autenticação e Sigilo: Autenticação: Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

Criptografia – Vantagens e Desvantagens Vantagens da criptografia por chave pública: Não há necessidade de compartilhamento da chave privada; As assinaturas digitais não podem ser repudiadas; Desvantagens da criptografia por chave pública: Velocidade. Métodos de criptografia por chave secreta são mais rápidos que por chave pública. Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

S/MIME – RFC822 A IETF é responsável pelos formatos de padrões de documentos desenvolvidos, que são as RFCs – Request for Comment, numeradas sequencialmente; Estrutura básica de uma mensagem: Cabeçalho: Date: (Data), From: (De), To: (Para), Subject: (Assunto); Linha em branco; Corpo da Mensagem. Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

S/MIME – RFC822 Date: Tue, 16 Jan 2004 12:17:45 (EST) Um exemplo de uma mensagem de email seria: Date: Tue, 16 Jan 2004 12:17:45 (EST) From: ”Luciana Schmitz”luciana@inf.ufsc.br To: juchem@inf.ufsc.br Subject: Sintaxe segundo RFC 822 Olá. Aqui inicia o corpo da mensagem, separado por uma linha em branco do cabeçalho. Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

S/MIME – MIME Significa Multiparte de Extensões do Correio Eletrônico e provém das RFCs 2045 a 2049; Tem por objetivo solucionar as limitações do protocolo SMTP; Com o surgimento do MIME: cinco campos de cabeçalho de mensagem foram criados; a padronização das representações de suporte a conteúdos multimídia; codificações de transferências são definidos permitindo a transmissão de conteúdo sem perdas ou alterações dos dados e informações. Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

S/MIME – S/MIME Em 1995 surgiu o protocolo S/MIME codificado pela RFC2311; Com o objetivo de prover: Autenticidade e Integridade (utiliza assinaturas digitais); Confidencialidade ou sigilo(algoritmos criptográficos simétricos); Não Repúdio (pelas mensagens assinadas criptograficamente). Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

Tecnologias Utilizadas Sistema Operacional: Fedora Core 1 e Open BSD. Servidor Web: Apache, oferece suporte HTTP e a SSL . Sistema de Webmail: Foi escolhido o sistema IMP do Projeto Horde; PHP, linguagem de script do IMP; SSL, protocolo para criptografia e autenticação baseada em seção; MySQL, um dos banco de dados padrão em distribuição linux. Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

Servidor de Webmail = IMP + PHP + Apache IWS – Sistema de Webmail Servidor de Webmail = IMP + PHP + Apache Utiliza o protocolo IMAP para transporte de mensagens de um mesmo domínio, onde fica o “túnel” seguro (SSL); Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

Agente Local de Distribuição IWS – Sistema de Webmail – Lendo mensagens Lendo e organizando mensagens no Webmail IMP: USUÁRIO IMP + PHP + APACHE SERVIDOR WEBMAIL O usuário conecta via browser o endereço do domínio conecta não sim IMAP + SSL Status de cliente, via HTTPS entra no túnel seguro. loga no sistema Agente Transporte Agente Local de Distribuição Caixa de Entrada Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

IWS – Sistema de Webmail – Enviando mensagens Envio de mensagens no Webmail IMP: IMP + PHP + APACHE SERVIDOR WEBMAIL USUÁRIO conecta loga no sistema não O usuário conecta via browser o endereço do domínio Status de cliente, via HTTPS entra no túnel seguro. sim Agente Transporte SMTP Agente Local de Distribuição Caixa de Entrada Outros Domínio Agente Local de Distribuição Caixa de Entrada Mesmo Domínio SMTP Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

IWS – Características de Uso Durante o envio, a mensagem estará vulnerável a qualquer tipo de ataque; Nossa preocupação está na proteção desta mensagem assim que ela sai do domínio em questão; O usuário terá que ter um par de chaves (pública e privada) e fazer sua importação no sistema de webmail; Quando quiser utilizar a criptografia nas mensagens, poderá então utilizar as chaves. Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

IWS – Instalação do Webmail IMP Configuração do Ambiente Estas seguintes configurações são necessárias para a instalação da versão CVS do Horde e do IMP. O número de pacotes varia conforme o SO: DNS(Domain Name System): configurado conforme determinação do administrador da rede; MTA (Mail Transfer Agent); IMAP(Internet Message Access Protocol); MySQL: escolhido por ser o mais utilizado em distribuições Linux; Apache2: servidor Web; SSL: presente em distribuições Linux. Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

IWS – Instalação do Webmail IMP Configuração do Ambiente PHP: Verificar quais os pacotes que estão disponíveis para serem instalados, e instalar TODOS com algum gerenciador de pacotes; Para a distribuição Fedora Core-1 usada no ambiente de testes os pacotes disponíveis eram: php-imap.i386 0:4.3.4-1.1 php-xmlrpc.i386 0:4.3.4-1.1 php-odbc.i386 0:4.3.4-1.1 php-domxml.i386 0:4.3.4-1.1 php.i386 0:4.3.4-1.1 php-ldap.i386 0:4.3.4-1.1 asp2php.i386 0:0.76.2-6 php-pgsql.i386 0:4.3.4-1.1 php-mysql.i386 0:4.3.4-1.1 php-devel.i386 0:4.3.4-1.1 asp2php-gtk.i386 0:0.76.2-6 Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

IWS – Instalação do Webmail IMP Horde, IMP e Framework Ir para o diretório base do http. Exemplo: /var/www/hmtl/ e usar os comandos: export CVSROOT=:pserver:cvsread@anoncvs.horde.org:/repository cvs login Primeiramente deverá ser feito o download do pacote Horde. Dentro de /var/www/html/ digitar o comando: cvs co horde Isto irá criar um diretório “horde” dentro de /var/www/html/ Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

IWS – Instalação do Webmail IMP Horde, IMP e Framework Dentro de /var/www/html/horde/ baixar os pacotes restantes: cvs co imp cvs co framework Dentro do diretório framework instalar os pacotes com: php install-packages.php Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

IWS – Instalação do Webmail IMP Configurando o Horde O horde tem como padrão distribuir apenas os arquivos .php.dist para serem gerados os .php. Isto é feito através do comando: for foo in *.dist; do cp $foo ‘basename $foo .dist‘; done Configurar o horde para funcionar apenas em um ambiente seguro (https). Criar o banco de dados MySQL que será usado pelo Horde para guardar as configurações dos usuários do sistema. Conferir se as configurações estão ok, abrindo o navegador e indo em http://localhost/horde Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

IWS – Instalação do Webmail IMP Janela de acesso ao Horde A janela de acesso ao horde deverá aparecer. Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

IWS – Instalação do Webmail IMP Importando as Chaves S/MIME IMP não aceita chaves no formato pkcs#12. Apenas no formato pkcs#7. As chaves usadas para testes neste trabalho foram geradas utilizando as funcionalidades do OpenSSL. Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

IWS – Instalação do Webmail IMP Importando as Chaves S/MIME Clicando em “Import Keypair” você irá entrar com as suas chaves pública e privada, separadamente. Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

IWS – Instalação do Webmail IMP Importando as Chaves S/MIME Suas chaves pública e privada estarão adicionadas ao seu perfil. A cada seção aberta no IMP, na primeira mensagem que você utilizar sua assinatura digital, você terá que fornecer a senha (Passphrase) utilizada para gerar o arquivo com a sua chave privada. Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

IWS – Instalação do Webmail IMP Importando as Chaves S/MIME DEMONSTRAÇÃO… Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

IWS – Instalação do Webmail IMP Lendo um email assinado com S/MIME no Outlook No Outlook a mensgem assinada com um email que seja diferente do email do remetente, também irá advertir este fato, como mostrado abaixo: Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

Considerações Finais Vantagens e importância de se implantar um sistema de Webmail Seguro; Problema na questão do armazenamento das chaves privadas pelo IMP; Por estarem armazenadas em um banco de dados, as chaves estão sujeitas a outras formas de ataque as quais não dependam da segurança oferecida por um protocolo seguro(https); Assim, a segurança oferecida pelo túnel seguro, garante sigilo apenas durante a conexão com o Webmail. Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

Trabalhos Futuros Desenvolvimento de uma tecnologia que supra a deficiência apresentada pelo IMP em relação ao armazenamento das chaves privadas. Forma como esta tecnologia irá interagir com o IMP ou outro Webmail, para armazenar as chaves privadas. Estudo de uma solução para o processo de cifragem das mensagens eletrônicas no IMP. Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

COMENTÁRIOS CRÍTICAS SUGESTÕES . . . Comentários Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

Agradecimentos Ao amigo, Leonardo Neves Bernardo; Aos pais, pela ajuda e apoio; Aos namorados, pela compreensão e ausência nos finais de semana; Ao orientador, pela idéia do projeto; Aos amigos e colegas do curso; À família 992, a pior turma de todos os tempos… Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

Fim... F I M F I M F I M Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004