MATA59 - Redes de Computadores I Universidade Federal da Bahia Instituto de Matemática Departamento de Ciência da Computação

Segurança de Redes Aspectos de Segurança em Redes Política de Segurança Criptografia Servidores Proxy Firewalls

Aspectos de Segurança de Redes Introdução Os usuários das redes de computadores mudaram, bem como o uso que os mesmos fazem da rede. A segurança da rede despontou-se como um problema em potencial. O crescimento comercial assustador da Internet nos últimos anos foi superado apenas pela preocupação com a segurança deste novo tipo de mídia.

Aspectos de Segurança de Redes Introdução A segurança em sua forma mais simples se preocupa em garantir que pessoas mal intencionadas (externas à empresa, ou internas) não leiam, ou pior, ainda modifiquem dados/mensagens. É estatisticamente levantado que a maior parte dos problemas de segurança são intencionalmente causados por pessoas que tentam obter algum benefício ou prejudicar alguém.

Política de segurança da empresa Considerações Segundo pesquisas, e constatações feitas pelas próprias empresas especializadas em vender projetos e produtos voltados para o segmento de segurança de informação: “As empresas brasileiras são vulneráveis, frágeis e passíveis de invasões porque a grande maioria dos executivos – não apenas os responsáveis pela área de tecnologia – adotam posturas paternalistas e não profissionais com relação às informações dentro das corporações”.

Política de segurança da empresa Considerações Políticas de segurança são responsabilidades dos CIOs, cabendo aos mesmos escreverem as diretrizes, sejam elas agradáveis ou não para os funcionários. Especialistas reconhecem que cem por cento de segurança é impossível de ser alcançado, todavia é possível alcançar um alto grau de garantia da informação se houver mecanismos de controle diário, 24 horas por dia, sete dias por semana.

Política de segurança da empresa Considerações Segundo a MODULO (www.modulo.com.br): “equipamentos só funcionam se tivermos uma política para cuidar das pessoas que lidam com eles”. “A equação no caso da informação é tratar do funcionário”.

Política de segurança da empresa Considerações Detecção Segurança Reação Prevenção

CASOS REAIS DE SEGURANÇA E INSEGURANÇA (EXEMPLOS) Pára-Raios Backup em Disquete Equipe de Limpeza Servidores de baixo custo Assistência técnica barata Assaltos Vírus Transporte Senhas Falta de conhecimento adequado

CASOS REAIS DE SEGURANÇA E INSEGURANÇA (EXEMPLOS) Fumaça Vandalismo Incêndios Falta de energia elétrica Estresse Dono do conhecimento Temperatura ambiente Anapropégua Ou: analista- programador-operador-digitador-responsável pelo cadastro, secretário e égua Cabeamento inadequado

BACKUP Requisitos básicos: - Facilidade de Automatização - Recuperação - Gerenciamento

BACKUP (Cont.) Como escolher um sistema de backup: - Tipo de mídia adequado ao volume de dados e necessidades da empresa - Ramo de atividade da empresa - Softwares com tarefas automatizadas - Softwares que permitam gerenciamento centralizado de toda a rede são mais práticos.

Tipos de penetras mais comuns Estudante Diverte-se bisbilhotando as mensagens de correio eletrônico de outras pessoas. Hacker/Cracker Testa o sistema de segurança de alguém. São ladrões de informações digitais (roubar/deletar/alterar/incluir dados). Executivos Descobrir a estratégia de marketing do concorrente. Representantes de vendas Ampliar mercado de atuação. Ex-funcionário Vingar-se, retaliar-se de perseguições ou demissões. Espião Descobrir, roubar segredos ou informações privilegiadas. Vigarista Roubar números de cartão de crédito e vendê-los. Alterar dados em proveito próprio. Terrorista Roubar segredos militares ou bacteriológicos. Lidar com segurança é lidar com adversários inteligentes, dedicados, e muitas vezes bem subsidiado.

Tipos de ataque Causas mais prováveis Externos Vulnerabilidade na rede (protocolos, implementações, etc.). Vulnerabilidade nas aplicações (web servers, etc.). Causas mais prováveis Falta de proteção ou proteção insuficiente. Confiança excessiva. Inexistência de auditoria

Tipos de ataque Causas mais prováveis Internos Acesso não autorizado a dados. Sabotagem. Engenharia social. Causas mais prováveis Inexistência de acesso hierárquico. Retaliação.

Política de segurança da empresa Considerações A Política de segurança de deve garantir: Disponibilidade Indegridade Confidencialidade Para as informações que circulam na rede ou que residem nos servidores

Política de Segurança O desenvolvimento de uma política de segurança deve ser uma atividade interdepartamental. As áreas afetadas devem participar do processo envolvendo-se e comprometendo-se com as metas propostas além de: Entender o que é necessário; Saber por o que são responsáveis; O que é possível com o processo.

Política de Segurança Implementar uma política de segurança em uma empresa ou organização implica em implementar controles de segurança do tipo: Físicos; Lógicos; Organizacionais; Pessoais; Operacionais; De desenvolvimento de aplicações; Das estações de trabalho; Dos servidores; De proteção na transmissão de dados.

Controles de segurança Controles físicos Referem-se à: Restrição de acesso indevido de pessoas a áreas críticas da empresa (ex: CPD); Uso de equipamentos ou sistemas por funcionários mal treinados;

Controles de segurança Controles lógicos Referem-se à: Prevenção e fortalecimento de proteção seletiva de recursos; Problemas / prevenção causados por vírus, e acesso de invasores; Fornecer / retirar autorização de acesso;

Controles de segurança Controles lógicos Referem-se à: Fornecer relatórios informando que recursos estão protegidos, e que usuários tem acesso a esses recursos; Maneira fácil e compreensível de administrar essas capacidades.

Controles de segurança Controles organizacionais Referem-se à: Responsabilizar cada usuário por lista de deveres; Especificar em cada lista o que, quando, e como deve ser feito; Esclarecer as conseqüências do não cumprimento da lista.

Controles de segurança Controles pessoais Referem-se à: Criação de motivação / treinamento sobre segurança; Bloqueio dos arquivos pessoais do empregado quando da sua demissão; Troca de senha quando da demissão do funcionário;

Controles de segurança Controles pessoais Referem-se à: Inclusão de tópicos de segurança computacional no manual dos empregados; Cobrar aspectos de segurança na avaliação o funcionário.

Controles de segurança Controles operacionais Referem-se à: Acompanhar e registrar cada problema, sua causa e sua solução; Planejar estruturas de arquivos e de diretórios;

Controles de segurança Controles operacionais Prever / fornecer proteção de energia ao parque computacional e de conectividade (hubs, switches, routers, etc.); Garantir a confiabilidade e a integridade dos dados avaliando o aspecto custo da rede.

Controles de segurança Controles de desenvolvimento de aplicações Referem-se à: 1) No caso das empresas não-desenvolvedoras de aplicações: Adquirir software necessário e documentação necessária. 2) No caso de empresas desenvolvedoras de aplicações: Verificar a existência / eliminar bugs em softwares; Dar apoio de software em outros locais da organização; Manter / atualizar documentação.

Controles de segurança Controles das estações de trabalho Referem-se à: Proteger os computadores contra roubo de placas, e acessos ao interior do gabinete (uso de travas); Controlar instalação de programas de captura de senha; Controlar acesso às estações.

Controles de segurança Controles de servidor Referem-se à: Prover proteção diversa (contra incêndios, umidade, temperatura, acesso); Mantê-lo em ambiente fechado.

Controles de segurança Controles de proteção na transmissão de dados Referem-se à: Uso de criptografia; Uso de fibras ópticas ou cabos pneumáticos que emitem alarmes quando despressurizados por “grampos”; Filtros / proxy /firewall nas fronteiras da rede, entre redes.

Aspectos de segurança na Internet Introdução - Histórico de problemas Internet sofre de problemas de segurança. Vários ataques documentados: - 1988: Internet WORM - 6.000 sistemas afetados; - 1992: reportadas mais de 1 milhão de violações; - 1995: invasões USP, Unicamp, Embrapa, Jockey Clube RJ. 2000: invasão servidor da FACED

Aspectos de segurança na Internet Análise de risco - 200 a 250 milhões de usuários Internet; - 2 a 5 % com más intenções. Usuários “Perigosos” numa estimativa conservadora: - Vamos assumir que 0.5% tem más intenções; - 200 milhões x 0.5% = 1 milhão! 200M Usuários Internet 1M Usuários com más intenções

Aspectos de segurança na Internet Fatores de influência na segurança Internet não foi projetada para ser segura: Vulnerabilidade dos serviços TCP/IP; Facilidade de “spying” e “spoofing”. Falta de política de segurança. Configuração complexa.

Aspectos de segurança na Internet Fatores de influência na segurança Incidentes conhecidos: Exploração da vulnerabilidade do programa sendmail do UNIX; Versão popular e gratuita de um servidor FTP continha um “Cavalo de Tróia”; Programas “sniffer” para monitorar tráfego e localizar “usernames” e “passwords”.

Aspectos de segurança na Internet Fatores de influência na segurança Problemas mais comuns: Sistemas Operacionais utilizados têm diversas vulnerabilidades; Pontos fracos do conjunto de protocolos TCP/IP são explorados com frequência; CRACK: programa para descobrir senhas .

Aspectos de segurança na Internet Fatores de influência na segurança Autenticação pobre: Senhas estáticas são fáceis de “quebrar”. Métodos mais comuns: - “quebra” da senha cifrada; - monitoração dos canais de comunicação.

Aspectos de segurança na Internet Fatores de influência na segurança Facilidade de “spying”: Senha viaja não-cifrada na Internet: - Basta monitorar os pacotes IP para procurar um par[username, password]. Mensagens Eletrônicas, sessões FTP ou TELNET podem ser monitoradas para obter informações sensíveis.

Aspectos de segurança na Internet Fatores de influência na segurança “Spoofing”: Uso de endereço IP conhecido para ganhar acesso a serviços TCP ou UDP: Host hostil pode “personificar” outro sistema; Electronic Mail é muito fácil de “personificar”.

Conectando à Internet Realidade atual Complexa e interconectada. Equipamento e usuários estão cada vez mais conectados à internet. Necessidade de segurança e privacidade forçam a criação de “zonas de confiança”. Questões de Segurança são complexas - demandam esforço especializado.

Riscos de Segurança - Transmissões “em aberto”. - Hardware cada vez mais rápido. - Administração de Sistemas. - Negação de Serviço. - IP spoofing. - Buffer OverFlow

Riscos de Segurança Três categorias genéricas de risco: Invasão (Intrusion): Atacante ganha acesso a sistemas e é capaz de utilizá-lo como um usuário legítimo. Espionagem Industrial (Industrial Espionage): Estatísticas mostram aumento deste tipo de atividade; 122 países ativamente envolvidos em espionagem industrial/econônica [NCSA96]. Negação de Serviço (Denial of Service): Visa negar acesso a recursos pelos usuários legítimos.

Riscos de Segurança Tipos de ataque: Engenharia Social: Enganando a vítima por prazer ou lucro. Personificação: Roubo de direitos de acesso de usuários autorizados. Exploração: Explorando “furos” em software ou sistemas operacionais. Confiança transitiva: Exploração de confiança mútua entre sistemas ou entre redes.

Riscos de Segurança Tipos de ataque: Ataque a partir de dados: Cavalos de Tróia, armadilhas, vírus, programas de ataque. Ataques de Infraestrutura: Explorando características ou “bugs” de protocolo ou infraestrutura. Mágica: Ataques novos, ainda não vistos. Ataques combinados.

Aspectos de segurança O que precisamos proteger? Informação: Acesso não autorizado; Deleção, adição ou modificação; Exposição não autorizada; Usuários autorizados com acesso negado. Sua Reputação: Outros podem assumir sua identidade. Seus Bens: Outros podem utilizar seu equipamento para propósitos escusos;

Mecanismos de segurança Ajudam a implementar políticas de segurança e seus serviços: Criptografia Firewall Proxy

O que vem a ser a Criptografia? É a ciência que faz uso da matemática permitindo criptografarmos (cripto=esconder) e decriptografarmos dados.

O que vem a ser a Criptoanálise? É a ciência que estuda como quebrar um texto cifrado, ou seja, descobrir o texto claro a partir do texto cifrado revelando o significado da mensagem.

O que vem a ser a Criptologia? É a área da matemática que estuda a Criptografia e a Criptoanálise.

Por que usar a Criptografia? Para fornecer: Confidencialidade; Integridade; Verificação de autoria; Autenticação.

Como se dá um processo de Encriptação e Decriptação? INTEGRA *$R!??:{ Fonte Destino Encriptação Decriptação Texto original cifrado

Como um sistema criptográfico é usado? Algoritmo de criptografia: função matemática usada para encriptar e decriptar (Público). Chave: é o código utilizado pelo algoritmo de criptografia para encriptar necessário para a realização da decriptação (Secreto). Notação: C(k,M) onde k é a chave e M a mensagem. D(k,C(k,M))=M. Através do criptógrafo o sistema de criptografia é formado.

Características do criptógrafo Confidencialidade da chave; Uso de chaves comuns e fáceis de adivinhar; A dificuldade em se inverter o algoritmo criptográfico sem a chave;

Características do criptógrafo A possibilidade de se decodificar todo um texto cifrado dado que se saiba como parte dele é decodificada; O conhecimento de propriedades peculiares da mensagem em texto claro.

Tipos de criptografia Criptografia com chaves secretas (ou simétricas); Criptografia com chaves públicas (ou assimétricas);

Criptografia Simétrica (ou com chave secreta) Utiliza a mesma chave para encriptar e decriptar uma mensagem. MENSAGEM *$R!??:{ Fonte Destino Encriptação Decriptação Texto original cifrado

Criptografia Simétrica Vantagens e desvantagens Vantagens Rapidez, simples de implementar. Desvantagens É necessário um canal seguro para enviar a chave.

Algoritmos Simétricos DES e 3DES O Data Encryption Standard (DES) é um algoritmo desenvolvido nos anos 70 pelo National Institute of Standards and Technologies (NIST) em conjunto com a IBM. O DES utiliza uma chave de 56 bits e 19 estágios de iterações. No 3DES, o algoritmo DES é aplicado três vezes em seqüência com três chaves distintas (168 bits) ou duas distintas (112 bits).

Criptografia Simétrica IDEA O International Data Encryption Algorithm (IDEA) foi desenvolvido em Zurich, Suíça, por James Massey e Xuejia Lai e publicado em 1990. O IDEA utiliza uma chave de 128 bits. A patente do IDEA pertence a AscomTech AG, em Solothurn, Suíça. A necessidade de licenciamento para o uso do algoritmo tem limitado o seu uso.

Criptografia Assimétrica Utiliza uma chave para encriptar e outra para decriptar a mensagem. Também chamados de Algoritmos de Chave Pública. Primeiros algoritmos desenvolvidos em 1975 por Diffie e Hellman.

Criptografia Assimétrica (ou com chave pública) Chave pública Chave privada MENSAGEM MENSAGEM *$R!??:{ Texto Texto cifrado Texto original Encriptação Decriptação Fonte Destino

Criptografia Assimétrica Chave pública/privada Nesta implementação usuários podem difundir a chave pública para todos que queiram enviar mensagens para eles, visto que apenas com a chave privada será possível a decriptação. Chave Pública é distribuída e a Privada mantida em segredo.

Criptografia Assimétrica Vantagens e desvantagens Vantagens Não há necessidade de canal seguro na troca de chaves, pois não há riscos. Desvantagens A performance do sistema cai demasiadamente se existe uma grande quantidade de dados para decriptografar.

Algoritmoa Assimétricos RSA É um algoritmo de criptografia assimétrica de tamanho de chave variável. O RSA leva as iniciais de seus inventores, Rivest, Shamir e Adleman que publicaram a descrição do método em 1978. É muito mais lento que algoritmos simétricos como DES ou IDEA e, portanto não é utilizado para a encriptação de grandes blocos de dados. O algoritmo é patenteado nos EUA, mas pode ser utilizado sem uma licença em outros países.

RSA As chaves pública e privada são funções de um par de números primos grandes (100 a 200 dígitos ou mais). O RSA pode ser utilizado tanto para confidencialidade (encriptação) quanto para autenticidade (assinatura digital).

Assinatura digital Mecanismo que pode garantir que uma mensagem assinada só pode ter sido gerada com informações privadas do signatário. O mecanismo de assinatura digital deve: A) Assegurar que o receptor possa verificar a identidade declarada pelo transmissor (assinatura); B) Assegurar que o transmissor não possa mais tarde negar a autoria da mensagem (verificação).

X Autenticação dos interlocutores BOB BUNK I’m John... Usuários e elementos devem mostrar credenciais para comprovar sua identidade. Possível através de digital certificates e outros documentos assinados. X ACCESS DENIED ACCESS GRANTED I’m John. PEP’S COMPANY JOHN PEP

Funções de uma Autoridade Certificadora (CA) Distribuição de certificados; Emissão de assinatura de novos certificados; Renegociação de certificados; Revogação de certificados.

Como autenticar uma chave pública? Certificados Para emitir o certificado, a CA pode exigir que o usuário se apresente pessoalmente junto a alguma de suas instalações e prove sua identidade através de documentação apropriada. * Certificados também podem ser emitidos para pessoas jurídicas, das quais pode ser exigido esquema semelhante de comprovação de identidade.

Como autenticar uma chave pública? Certificados Uma vez comprovada a identidade do usuário, ele fornece sua chave pública à CA que gera e assina o certificado. CA

Como autenticar uma chave pública? Certificados Um certificado atesta a veracidade de uma chave pública. De forma simplificada, o certificado é uma chave pública assinada por uma Autoridade de Certificação (CA) que atesta a autenticidade daquela chave pública como pertencente a uma determinada pessoa. Um dos padrões de certificado usualmente utilizados é definido pela norma ITU-T X.509. CA

Como autenticar uma chave pública? Certificado X.509 Um certificado X.509 contém as seguintes informações: Versão do formato do certificado. Número serial associado ao certificado. É único ao certificado e controlado pela Autoridade de Certificação; Identificação do algoritmo utilizado para assinar o certificado; CA

Como autenticar uma chave pública? Certificado X.509 Emissor com informações sobre a CA; Período de validade inicial e final; Informações sobre a chave pública; Assinatura da CA cobrindo todo o certificado. CA

SSL - Secure Socket Layer Servidor com encriptação de dados para utilização de transporte via Web; Desenvolvido pela Netscape Communications; Garante integridade, autenticidade e confidecialidade das informações; Última versão oficial utiliza chaves de 128 bits.

SSL - Secure Socket Layer? Trabalha em conjunto com o protocolo HTTP formando o HTTPS (Netscape); Sites que quiserem utilizar o SSL devem possuir certificados assinados por uma entidade certificadora (Ex: Verisign)

Segmento de Acesso Público Firewall Definição Dispositivo que conecta redes (interna e/ou externa com vários níveis de direito de acesso). Implementa e garante política de segurança entre as redes conectadas. Internet Intranet Segmento de Acesso Público Corporação FIREWALL

Firewalls Firewall – parede, muro. Equipamento e / ou programa que funciona como muro de proteção de uma rede de dados de acessos não desejados, oriundos de outras redes ou equipamentos. Qualquer equipamento que controle o tráfego por razões de segurança pode ser chamado Firewall.

Segmento de Acesso Público Firewall - Introdução Proteção de redes - Firewall Quando você conecta sua rede à Internet, é de crítica importância proteger a sua rede contra intrusão. A forma mais efetiva de proteger o link com a Internet é colocar um Sistema de Firewall entre sua rede local e a Internet. Internet Intranet Segmento de Acesso Público Corporação FIREWALL

Firewalls – Tipos Básicos Roteador de Barreiras; Gateway Servidor de Proxy; Técnicas de inspeção de estado.

Firewalls – Roteador de Barreira Filtra os pacotes baseando-se no endereço IP e, as vezes, no tipo de conexões (nível transporte). Conecta duas redes implementando filtragem de pacotes para controlar o tráfego. Permite regras de filtragem como, por exemplo, só permitir pacotes do tipo HTTP. Embora eficientes, este tipo de Firewall é muito limitado, principalmente se estiver conectado à Internet. É relativamente fácil de descobrir "furos" no seu sistema de filtros e contorná-los.

Firewalls – Gateway de Servidor Proxy Permite maiores possibilidades de monitorar e controlar a comunicação entre redes. Funciona Como intermediário entregando mensagens de um cliente interno a um serviço externo. O serviço de Proxy muda o endereço IP dos pacotes do cliente para protegê-lo da Internet, agindo em seu nome na Internet. O único endereço que vai para a Internet é o do Proxy.

Firewalls – Gateway de Servidor Proxy Usando um servidor Proxy diminuem-se as possibilidades de um Hacker, monitorando o tráfego de rede, obter informações sobre os computadores da rede interna. O Proxy esconde o endereço IP de todos os computadores da rede interna.

Firewalls – Gateway de Servidor Proxy Existem dois tipos de Servidores Proxy: Gateway de Nível Circuito Gateway de Nível Aplicação.

Firewalls – Gateway de Servidor Proxy Gateway de Nível Circuito Provê uma conexão controlada de rede entre sistemas internos e externos. As requisições para a Internet passam por este circuito até o servidor Proxy que altera o endereço IP e encaminha a mensagem à Internet. Os usuários externos só vêem o endereço IP do Servidor. As respostas são recebidas pelo Servidor Proxy e enviadas de volta pelo circuito ao cliente. Os sistemas interno e externo nunca se conectam, senão através do Proxy.

Firewalls – Gateway de Servidor Proxy Gateway de Nível Aplicação Fornece serviço de análise dos pacotes. O Gateway não avalia somente o endereço IP, verifica também os dados contidos no pacote para bloquear hackers que escondem informações nos pacotes. Prover serviços para aplicações e protocolos como: Telnet, FTP, HTTP e SMTP. O Gateway permite auditoria de praticamente tudo que acontece nele.

Firewalls – Técnicas de Inspeção de Estado Um dos maiores problemas dos servidores Proxy é que eles têm de avaliar muitas informações em muitos pacotes. Isto afeta a performance e implica em custos. Os Gateway de Técnicas de Inspeção de Estado em vez de examinar cada pacote compara o padrão de bits do pacote com um padrão conhecido como confiável. Técnica veloz e transparente, porém os pacotes internos acessam a rede externa com os seus próprios endereços IP, expondo os endereços internos ao ataque de hackers.

Analogia de Proteção Proteção de redes - analogia Firewall Guarda Internet

Infraestrutura de rede O que um firewall pode fazer? Um Firewall pode administrar a política de segurança para usuários da rede: - Define quem ou o que pode cruzar as fronteiras entre redes; - Define uma maneira padrão de identificação de usuários. Um Firewall pode manter “logs”: - Logs de passagem; - Logs de ataques; - Alertar o administrador.

Firewall Saiba o que um Firewall não faz: 1) Não protege contra usuários autorizados maliciosos; 2) Não pode proteger contra conexões que não passam através dele; 3) Não fornece 100% de proteção contra todos os THREATS (ataques embutidos no protocolo).

Infraestrutura de rede Possíveis configurações de Firewall Roteador: Filtra pacotes no nível IP; Regras de Acesso; Difícil configuração. Internet Roteador Rede Privada

Infrae-strutura de rede Possíveis configurações de Firewall Máquina dedicada: O sistema se liga à rede privada e à Internet, sem que haja roteamento IP; Processo de Autenticação e Registro. Rede Privada Internet Gateway de Aplicação Telnet, FTP, Mail WWW, RealAudio

Conclusão No mundo de hoje, onde a informação é o bem mais precioso, as técnicas de segurança são essenciais a qualquer organização.

Considerações finais A segurança na transmissão de dados através da Internet hoje é um grande campo para a pesquisa. Conforme vão surgindo as soluções, existe alguém tentando criar algo para quebrá-las. Tanto é que a criptografia é um dos campos que mais chama a atenção dos pesquisadores, e que está implementado em quase todos os programas de transmissão de dados seguros,

Considerações finais Nenhuma destas técnicas é tão seguro se não for implementada uma política de segurança, que conscientize os usuários a manter em sigilo o que deve ser mantido. A implementação de tecnologias como assinatura digitais, são ainda caras, ou longe de serem utilizadas por usuários comuns. Na maioria das vezes são implementadas em empresas de médio ou grande porte e governamentais, pois tem que haver um certo conhecimento de como funciona todo este esquema de transmissão segura de dados.