Principais problemas e soluções Segurança na Web Principais problemas e soluções

Tipos de ataques Defacement Spam Spoofing Alteração de elementos do site da Internet Spam Envio não solicitado de correio com intuito comercial Spoofing Substituição de IP para esconder a proveniência do ataque Instalação de Cavalo de Troia, para facilitar o acesso continuado

Tipos de ataques (2) DoS – Denial of service TCP Syn Scan – Negar acesso aos serviços normais da rede Flood pings – para aumentar o tráfego de Internet Mail bombing – envio de muitas mensagens de correio de grande dimensão TCP Syn Scan – Spoofing do endereço do remetente do SYN. O ACK é realizado para um IP diferente que nunca responde DDoS – Distributed Denial of Service – operações coordenadas de ataque

Terminologia de segurança Autenticação Quem sou – através de password ou outros mecanismos como: Certificados Digitais SecurID por Hardware Tecnologias Biométricas – voz, impressão digital Autorização Permitir ou não acesso a serviços Integração com a autenticação e pressupõe responsabilização

Terminologia de segurança (2) Integridade Validação dos dados de uma determinada origem como não tendo sofrido alteração Utilização de algoritmos de validação para detectar a integridade Encriptação Transformação dos dados para permitir a confidencialidade do original O reverso é a desencriptação que permite recuperar os dados originais

Chaves de segurança Symmetric Key Criptoghraphy Certificados X.509 Criptografia e a utilização de chaves idênticas em ambos os lados Transmissão das chaves através de transmissão diferente - out of band Certificados X.509 Documentos electrónicos que ligam a informação a uma determinada chave pública Exigem certificação por uma entidade externa As empresas podem ser certificadas para certificarem os seus empregados

Diferenças e similitudes SET vs. SSL Diferenças e similitudes

SSL: Transacções encriptadas Por quê encriptar? Princípios dos sistemas de encriptação Perceber a gestão de certificados

Porquê encriptar? CONFIANÇA! Garanta que o seu cliente está autorizado a utilizar a sua conta O cliente quer garantir que você é o vendedor legítimo Garanta que o pagamento é recebido Garanta que as mercadorias são recebidas

Passos na criação de certificado SSL Selecciona-se uma Autoridade Certificadora (CA) para utilizar e preenchem-se os formulários e paga-se CA verifica a informação fornecida CA cria um certificado contendo a chave pública e a data de expiração O certificado é guardado no vosso Servidor web

Hierarquia de confiança para a emissão de certificados Visa e MasterCard designarão ou tornar-se-ão CAs Os comerciantes confiarão nestas entidades emissoras ou nos seus bancos Os portadores de cartões de crédito obterão certificados dos CA dos seus bancos e guardá-los-ão na sua carteira electrónica

Exemplos de Autoridades Certificadoras VeriSign www.Verisign.com GTE CyberTrust Solutions, Inc. www.cybertrust.gte.com Thawte Consulting www.thawte.com Certipor em Portugal?

Criação de Certificados Demonstração da geração de certificados

Certificados de servidor da Verisign www.verisign.com/server/prod Diferentes funcionalidades, com preços de $349 a $1295/ano Oferecem diferentes garantias e níveis de encriptação

Gestão de Certificados Depois de serem emitidas as chaves públicas dos certificados devem ter a sua integridade mantida Têm datas de expiração Podem ser revogados por algumas razões Após expirarem os certificados devem ser renovados e reemitidos Estas são as considerações relativamente a utilizarem uma CA externa por oposição a uma CA interna

Como é isto feito? Browsers e servidores seguros Certificados digitais Capazes de uma forte encriptação (até 128 bit) A encriptação de 40 bit já não é considerada adequada para transacções financeiras Certificados digitais Verifica a identidade do proprietário do certificado Também denominadas IFDs O protocolo mais utilizado hoje é a Secure Socket Layer (SSL)

Secure Sockets Layer (SSL) Autentica o servidor comercial O certificado comercial é obtido de umas entidade certificadora autorizada Oferece privacidade através da encriptação da mensagem entre o remetente e o destinatário O “tubo” seguro negoceia a encriptação máxima compatível entrem o browser e o servidor para cada mensagem transmitida Assegura a integridade dos dados transmitidos Verificação da autenticidade da mensagem (algoritmo)

Secure Sockets Layer Protocol (SSL) O certificado comercial (Digital ID) pode ser visto em qualquer browser seguro https:// no URL = uma ligação segura SSL permite aos clientes verificarem quem o fornecedor é A identidade digital do comerciante não certifica a sua integridade

Secure Sockets Layer Protocol (SSL) Ordem do cliente com informação de pagamento Envio encriptado da ordem A ordem é desencriptada no servidor do fornecedor

O que não é encriptado na SSL Logo que os dados chegam ao servidor do fornecedor podem ser guardados numa localização insegura! Se alguém tem acesso físico ao servidor

Força da encriptação Não é permitida a exportação de produtos americanos com encriptação superior a 40 bits Não é ilegal utilizar internacionalmente encriptação superior a 40 bits As instituições financeiras não consideram adequada a encriptação de 40-bit para transacções na Internet

Força da encriptação Os novos browser e o software dos servidores são capazes de encriptação a 128-bit A encriptação de 128-bit é exponencialmente mais forte que a de 40-bit

Firewalls em geral

O que são? É um ponto único entre duas redes através do qual deve passar todo o tráfego Através dele o tráfego é controlado e muitas vezes autenticado Todo o tráfego é registado Os primeiros firewalls foram evidentemente construídos em routers

Tipos de Firewall Bastion host

Tipos de Firewalls Packet Filtering

Evolução De Routers a Gateways aplicacionais Até aos firewalls híbridos de hoje, com serviços para propósitos diferentes apesar de aparentemente complementares A segurança e a complexidade são muitas vezes inversamente proporcionais

Serviços de rede Firewall Adições Sistema base para outros serviços de networking e segurança Adições Autenticação Encriptação QoS Verificação de conteúdo

Autenticação Autenticação ao nível do utilizador Controle de acessos e verificação de acessos externos a este nível

Encriptação Firewall a Firewall e de Firewall para utilizadores móveis VPN e confidencialidade da informação Os dispositivos de VPN devem funcionar de forma integrada com os Firewalls

QoS – Qualidade de serviço Determinação de quotas de utilização do gateway Por serviço Por actividade Esta é uma usurpação da actividade normal do router Permite o registo de actividades afectando a QoS

Verificação de conteúdo Inclui anti-virus, filtro de Uniform Ressource Locator e chega ao filtro por palavras chave do correio externo Defesa à chegada e diminuição de performance na maioria dos casos

First thing first Quanto mais funções se adicionam ao firewall mais podem funcionar mal Evolução recente Firewalls adaptativos – ligam em série diferentes serviços, filtros, gateways e proxies Administração mais eficiente Firewalls reactivos – ligação com a detecção da intrusão e produtos de help desk. Evolução deve caminhar para aumento da segurança

Load Balancing, Web Switches e Redirectors Cisco Local Director Network Engines’ Cluster Control Arrowpoint's Content Smart Alteon WebSystems Foundry Networks Server Iron iPivot’s Commerce Accelerator

Como trabalham? Instalados entre o router e o web server Por vezes obrigam à reconfiguração de routers ou proxy server Alguns incluem caching ou serviços de proxy Na realidade são switches de layer 4 (transporte UDP) que examinam os pacotes de conteúdo web Gerido através do browser

Funcionalidades avançadas Arrowpoint ignora os items que não podem ir para a cache Cisco realiza load balancing do servidor de aplicações e load balancing do domínio Network Engines' ClusterControl realiza a replicação de conteúdo web iPivot usa inline crypto para realizar melhor SSL

Questões Performance Tempo geral de resposta Segurança Confiança Mais informação, veja www.nwc.com/913/913r2.html

Tendências Os preços destes produtos vão continuar elevados A concorrência está nos Providers de conteúdo distribuído

Obrigado pela atenção