Principais problemas e soluções

Apresentação em tema: "Principais problemas e soluções"— Transcrição da apresentação:

1 Principais problemas e soluções
Segurança na Web Principais problemas e soluções

2 Tipos de ataques Defacement Spam Spoofing
Alteração de elementos do site da Internet Spam Envio não solicitado de correio com intuito comercial Spoofing Substituição de IP para esconder a proveniência do ataque Instalação de Cavalo de Troia, para facilitar o acesso continuado

3 Tipos de ataques (2) DoS – Denial of service TCP Syn Scan –
Negar acesso aos serviços normais da rede Flood pings – para aumentar o tráfego de Internet Mail bombing – envio de muitas mensagens de correio de grande dimensão TCP Syn Scan – Spoofing do endereço do remetente do SYN. O ACK é realizado para um IP diferente que nunca responde DDoS – Distributed Denial of Service – operações coordenadas de ataque

4 Terminologia de segurança
Autenticação Quem sou – através de password ou outros mecanismos como: Certificados Digitais SecurID por Hardware Tecnologias Biométricas – voz, impressão digital Autorização Permitir ou não acesso a serviços Integração com a autenticação e pressupõe responsabilização

5 Terminologia de segurança (2)
Integridade Validação dos dados de uma determinada origem como não tendo sofrido alteração Utilização de algoritmos de validação para detectar a integridade Encriptação Transformação dos dados para permitir a confidencialidade do original O reverso é a desencriptação que permite recuperar os dados originais

6 Chaves de segurança Symmetric Key Criptoghraphy Certificados X.509
Criptografia e a utilização de chaves idênticas em ambos os lados Transmissão das chaves através de transmissão diferente - out of band Certificados X.509 Documentos electrónicos que ligam a informação a uma determinada chave pública Exigem certificação por uma entidade externa As empresas podem ser certificadas para certificarem os seus empregados

7 Diferenças e similitudes
SET vs. SSL Diferenças e similitudes

8 SSL: Transacções encriptadas
Por quê encriptar? Princípios dos sistemas de encriptação Perceber a gestão de certificados

9 Porquê encriptar? CONFIANÇA!
Garanta que o seu cliente está autorizado a utilizar a sua conta O cliente quer garantir que você é o vendedor legítimo Garanta que o pagamento é recebido Garanta que as mercadorias são recebidas

10 Passos na criação de certificado SSL
Selecciona-se uma Autoridade Certificadora (CA) para utilizar e preenchem-se os formulários e paga-se CA verifica a informação fornecida CA cria um certificado contendo a chave pública e a data de expiração O certificado é guardado no vosso Servidor web

11 Hierarquia de confiança para a emissão de certificados
Visa e MasterCard designarão ou tornar-se-ão CAs Os comerciantes confiarão nestas entidades emissoras ou nos seus bancos Os portadores de cartões de crédito obterão certificados dos CA dos seus bancos e guardá-los-ão na sua carteira electrónica

12 Exemplos de Autoridades Certificadoras
VeriSign GTE CyberTrust Solutions, Inc. Thawte Consulting Certipor em Portugal?

13 Criação de Certificados
Demonstração da geração de certificados

14 Certificados de servidor da Verisign
Diferentes funcionalidades, com preços de $349 a $1295/ano Oferecem diferentes garantias e níveis de encriptação

15 Gestão de Certificados
Depois de serem emitidas as chaves públicas dos certificados devem ter a sua integridade mantida Têm datas de expiração Podem ser revogados por algumas razões Após expirarem os certificados devem ser renovados e reemitidos Estas são as considerações relativamente a utilizarem uma CA externa por oposição a uma CA interna

16 Como é isto feito? Browsers e servidores seguros Certificados digitais
Capazes de uma forte encriptação (até 128 bit) A encriptação de 40 bit já não é considerada adequada para transacções financeiras Certificados digitais Verifica a identidade do proprietário do certificado Também denominadas IFDs O protocolo mais utilizado hoje é a Secure Socket Layer (SSL)

17 Secure Sockets Layer (SSL)
Autentica o servidor comercial O certificado comercial é obtido de umas entidade certificadora autorizada Oferece privacidade através da encriptação da mensagem entre o remetente e o destinatário O “tubo” seguro negoceia a encriptação máxima compatível entrem o browser e o servidor para cada mensagem transmitida Assegura a integridade dos dados transmitidos Verificação da autenticidade da mensagem (algoritmo)

18 Secure Sockets Layer Protocol (SSL)
O certificado comercial (Digital ID) pode ser visto em qualquer browser seguro no URL = uma ligação segura SSL permite aos clientes verificarem quem o fornecedor é A identidade digital do comerciante não certifica a sua integridade

19 Secure Sockets Layer Protocol (SSL)
Ordem do cliente com informação de pagamento Envio encriptado da ordem A ordem é desencriptada no servidor do fornecedor

20 O que não é encriptado na SSL
Logo que os dados chegam ao servidor do fornecedor podem ser guardados numa localização insegura! Se alguém tem acesso físico ao servidor

21 Força da encriptação Não é permitida a exportação de produtos americanos com encriptação superior a 40 bits Não é ilegal utilizar internacionalmente encriptação superior a 40 bits As instituições financeiras não consideram adequada a encriptação de 40-bit para transacções na Internet

22 Força da encriptação Os novos browser e o software dos servidores são capazes de encriptação a 128-bit A encriptação de 128-bit é exponencialmente mais forte que a de 40-bit

23 Firewalls em geral

24 O que são? É um ponto único entre duas redes através do qual deve passar todo o tráfego Através dele o tráfego é controlado e muitas vezes autenticado Todo o tráfego é registado Os primeiros firewalls foram evidentemente construídos em routers

25 Tipos de Firewall Bastion host

26 Tipos de Firewalls Packet Filtering

27 Evolução De Routers a Gateways aplicacionais
Até aos firewalls híbridos de hoje, com serviços para propósitos diferentes apesar de aparentemente complementares A segurança e a complexidade são muitas vezes inversamente proporcionais

28 Serviços de rede Firewall Adições
Sistema base para outros serviços de networking e segurança Adições Autenticação Encriptação QoS Verificação de conteúdo

29 Autenticação Autenticação ao nível do utilizador Controle de acessos e
verificação de acessos externos a este nível

30 Encriptação Firewall a Firewall e de Firewall para utilizadores móveis
VPN e confidencialidade da informação Os dispositivos de VPN devem funcionar de forma integrada com os Firewalls

31 QoS – Qualidade de serviço
Determinação de quotas de utilização do gateway Por serviço Por actividade Esta é uma usurpação da actividade normal do router Permite o registo de actividades afectando a QoS

32 Verificação de conteúdo
Inclui anti-virus, filtro de Uniform Ressource Locator e chega ao filtro por palavras chave do correio externo Defesa à chegada e diminuição de performance na maioria dos casos

33 First thing first Quanto mais funções se adicionam ao firewall mais podem funcionar mal Evolução recente Firewalls adaptativos – ligam em série diferentes serviços, filtros, gateways e proxies Administração mais eficiente Firewalls reactivos – ligação com a detecção da intrusão e produtos de help desk. Evolução deve caminhar para aumento da segurança

34 Load Balancing, Web Switches e Redirectors
Cisco Local Director Network Engines’ Cluster Control Arrowpoint's Content Smart Alteon WebSystems Foundry Networks Server Iron iPivot’s Commerce Accelerator

35 Como trabalham? Instalados entre o router e o web server
Por vezes obrigam à reconfiguração de routers ou proxy server Alguns incluem caching ou serviços de proxy Na realidade são switches de layer 4 (transporte UDP) que examinam os pacotes de conteúdo web Gerido através do browser

36

37 Funcionalidades avançadas
Arrowpoint ignora os items que não podem ir para a cache Cisco realiza load balancing do servidor de aplicações e load balancing do domínio Network Engines' ClusterControl realiza a replicação de conteúdo web iPivot usa inline crypto para realizar melhor SSL

38 Questões Performance Tempo geral de resposta Segurança Confiança
Mais informação, veja

39 Tendências Os preços destes produtos vão continuar elevados
A concorrência está nos Providers de conteúdo distribuído

40 Obrigado pela atenção