1 Segurança na Web Principais problemas e soluções

2 Tipos de ataques Defacement Alteração de elementos do site da Internet Spam Envio não solicitado de correio com intuito comercial Spoofing Substituição de IP para esconder a proveniência do ataque Instalação de Cavalo de Troia, para facilitar o acesso continuado

3 Tipos de ataques (2) DoS – Denial of service Negar acesso aos serviços normais da rede Flood pings – para aumentar o tráfego de Internet Mail bombing – envio de muitas mensagens de correio de grande dimensão TCP Syn Scan – Spoofing do endereço do remetente do SYN. O ACK é realizado para um IP diferente que nunca responde DDoS – Distributed Denial of Service – operações coordenadas de ataque

4 Terminologia de segurança Autenticação Quem sou – através de password ou outros mecanismos como: Certificados Digitais SecurID por Hardware Tecnologias Biométricas – voz, impressão digital Autorização Permitir ou não acesso a serviços Integração com a autenticação e pressupõe responsabilização

5 Terminologia de segurança (2) Integridade Validação dos dados de uma determinada origem como não tendo sofrido alteração Utilização de algoritmos de validação para detectar a integridade Encriptação Transformação dos dados para permitir a confidencialidade do original O reverso é a desencriptação que permite recuperar os dados originais

6 SSL: Transacções encriptadas Porquê encriptar? Princípios dos sistemas de encriptação Perceber a gestão de certificados

7 Porquê encriptar? CONFIANÇA! Garanta que o seu cliente está autorizado a utilizar a sua conta O cliente quer garantir que você é o vendedor legítimo Garanta que o pagamento é recebido Garanta que as mercadorias são recebidas

8 Hierarquia de confiança para a emissão de certificados Visa e MasterCard designarão ou tornar-se-ão CAs Os comerciantes confiarão nestas entidades emissoras ou nos seus bancos Os portadores de cartões de crédito obterão certificados dos CA dos seus bancos e guardá-los-ão na sua carteira electrónica

9 Exemplos de Autoridades Certificadoras VeriSign GTE CyberTrust Solutions, Inc. Thawte Consulting Certipor em Portugal?

10 Secure Sockets Layer Protocol (SSL) Ordem do cliente com informação de pagamento Envio encriptado da ordem A ordem é desencriptada no servidor do fornecedor

11 O que não é encriptado na SSL Logo que os dados chegam ao servidor do fornecedor podem ser guardados numa localização insegura! Se alguém tem acesso físico ao servidor

12 Firewalls em geral

13 O que são? É um ponto único entre duas redes através do qual deve passar todo o tráfego Através dele o tráfego é controlado e muitas vezes autenticado Todo o tráfego é registado Os primeiros firewalls foram evidentemente construídos em routers

14 Tipos de Firewall Bastion host

15 Tipos de Firewalls Packet Filtering

16 Evolução De Routers a Gateways aplicacionais Até aos firewalls híbridos de hoje, com serviços para propósitos diferentes apesar de aparentemente complementares A segurança e a complexidade são muitas vezes inversamente proporcionais

17 Serviços de rede Firewall Sistema base para outros serviços de networking e segurança Adições Autenticação Encriptação QoS Verificação de conteúdo

18 Autenticação Autenticação ao nível do utilizador Controle de acessos e verificação de acessos externos a este nível

19 Encriptação Firewall a Firewall e de Firewall para utilizadores móveis VPN e confidencialidade da informação Os dispositivos de VPN devem funcionar de forma integrada com os Firewalls

20 QoS – Qualidade de serviço Determinação de quotas de utilização do gateway Por serviço Por actividade Esta é uma usurpação da actividade normal do router Permite o registo de actividades afectando a QoS

21 Verificação de conteúdo Inclui anti-virus, filtro de Uniform Ressource Locator e chega ao filtro por palavras chave do correio externo Defesa à chegada e diminuição de performance na maioria dos casos

22 First thing first Quanto mais funções se adicionam ao firewall mais podem funcionar mal Evolução recente Firewalls adaptativos – ligam em série diferentes serviços, filtros, gateways e proxies Administração mais eficiente Firewalls reactivos – ligação com a detecção da intrusão e produtos de help desk. Evolução deve caminhar para aumento da segurança

23 Como trabalham? Instalados entre o router e o web server Por vezes obrigam à reconfiguração de routers ou proxy server Alguns incluem caching ou serviços de proxy Na realidade são switches de layer 4 (transporte UDP) que examinam os pacotes de conteúdo web Gerido através do browser

24 Tendências Os preços destes produtos vão continuar elevados A concorrência está nos Providers de conteúdo distribuído

25 Obrigado pela atenção