CE-07 SEGURANÇA NO COMÉRCIO ELETRÔNICO

Transcrição

1 1

2 2

3 Discutir sobre os principais modelos de segurança no comércio eletrônico; Citar as medidas de prevenção contra ataques cibernéticos; Citar os tipos de ameaças virtuais. Citar os modos de segurança usuais. 3

4 Para atingir os objetivos propostos serão abordados os seguintes tópicos: 1. INTRODUÇÃO 2. TIPOS DE AMEAÇAS VIRTUAIS a. Ferramentas de Infecção b. Formas de Infecção 3. MEDIDAS PREVENTIVAS 5, MODOS DE SEGURANÇA a. Criptografia b. Protocolos de Autenticação c. Certificado Digital d. Assinatura Digital e. Firewall f. Selo Digital 6. ATIVIDADES DE APRENDIZAGEM 4

5 1. INTRODUÇÃO 2. TIPOS DE AMEAÇAS VIRTUAIS a. Ferramentas de Infecção b. Formas de Infecção 3. MEDIDAS PREVENTIVAS 5, MODOS DE SEGURANÇA a. Criptografia b. Protocolos de Autenticação c. Certificado Digital d. Assinatura Digital e. Firewall f. Selo Digital 6. ATIVIDADES DE APRENDIZAGEM 5

6 Apesar de tanto investimento na proteção dos sistemas eletrônicos, um detalhe muito importante vem sendo esquecido, outro lado do intermediário da compra, o cliente em si. Não basta ter um grande sistema de segurança de um lado, mas o ambiente do cliente continua vulnerável e propicio a possíveis invasões e fraudes. 6

7 O grande problema da segurança apareceu pois originalmente a World Wide Web não foi criada para realizar pagamentos, o que torna sua arquitetura não tão segura. Diante disso a segurança de um sistema de Comércio Eletrônico deve ser feita em quatro etapas: a segurança do consumidor da web, a segurança na transmissão das informações, a segurança do servidor da web e a 7 segurança do sistema operacional.

8 8 Outra questão que vem chamado atenção no momento da realização da transação eletrônico, é o fato da falta de confiabilidade vem sendo um grande inibidor para os consumidores no momento de efetuar a transação online As principais razões pela essa falta de confiança foram: chance do número do cartão de crédito ser usado por outros, pagamento adiantado sem garantia de recebimento do produto e falta de informação no geral.

9 Quando o cliente percebe o risco iminente, por menor que seja o prejuízo, não irá fornecer os dados pessoais confidenciais, deixando de efetuar a compra eletrônica. 9

11 AMEAÇAS VIRTUAIS 11

12 AMEAÇAS VIRTUAIS INSTRUMENTOS DE INFECÇÃO VIRUS WORMS BOTS TROJANS FORMAS DE INFECTAR: BISBILHOTICE ESPIONAGEM DE SENHAS FALSIFICAÇÃO ROUBO DE DADOS ROUBO DE SESSÃO LINKS FALSOS KEYLOGGERS 12

14 Vírus determinado código é replicado anexando cópias nos executáveis existentes, onde o vírus será executado quando o usuário utilizar o programa infectado. A maioria das contaminações ocorre pela ação do usuário, executando o arquivo infectado recebido como um anexo de um . 14

15 Worm programa auto-replicante, criando uma copia própria ocasionando sua execução, não tendo a intervenção do usuário. Enquanto um vírus infecta um programa e necessita deste programa hospedeiro para se alastrar, o worm é um programa completo e não precisa de outro para se propagar. Um worm pode ser projetado para tomar ações maliciosas após infestar um sistema. Além de se autorreplicar, pode deletar arquivos em um sistema ou enviar documentos por . 15

16 NA VERDADE, WORM 16

17 Bots Bot, diminutivo de robot, também conhecido como Internet bot ou web robot, é uma aplicação de software concebido para simular ações humanas repetidas vezes de maneira padrão, da mesma forma como faria um robô. 17

18 18

19 Trojan (Cavalo de Tróia) um programa ao ser executado realiza a tarefa esperada, mas junto adiciona funções indesejáveis. não criam réplicas de si mesmo (e esse é o motivo pelo qual o cavalo de Troia não é considerado vírus ou worm) 19

21 Bisbilhotice esses ataques na Internet, resultam no roubo dos dados da conta, como número do cartão de crédito, número de contas do cliente ou dados do saldo e extrato do consumidor. 21 Espionagem de senhas - esse tipo de invasão tem como principal objetivo ter a permissão de acesso as informações do proprietário armazenadas, entretanto nos tempo atuais, estão disponíveis ferramentas poderosas como algoritmo de criptografia, que anula esse tipo de ataque. Falsificação ataques virtuais que caracteriza por adulteração das informações ou criação de loja de fachada, afim de coletar os dados dos clientes sem permitir suspeita alguma.

22 Roubo de dados - Maior intenção é roubar dados críticos de autenticação do cliente. A partir dessas informações, poderá utilizar afim de realizar a autenticação, se passando pelo consumidor. Esse tipo de ameaça pode ser chamado também de ataque personificação. Esse tipo de roubo pode ser concretizado através de captura de teclado, tela falsa, s falsos. Roubo de sessão neste tipo de caso, o ataque realizado é esperar o cliente autenticar e logo utilizar o número de sessão do cliente para efetuar transação online. 22

23 Links falsos outra possibilidade que é muito usada, é enviar via em nome de Instituições transacionais conhecidas, com link para um site falso semelhante ao site verdadeiro. Assim poderão adquirir informações sigilosas dos clientes como senhas. 23

24 Keyloggers são programas que exercem a captura de informações vinda do teclado, mouse e tela. Na grande parte das vezes, é feita a captura de todos os dados que o cliente digita, quando acessa site de Internet Banking. Hooks (ganchos) do sistema operacional pode ser usados para extrair dados do teclado ou mouse. Funciona como pontos dentro do sistema de tratamento de mensagens do Windows, onde um aplicativo é instalado na sub-rotina para observar o tráfego das mensagens no sistema ou processar certas mensagens antes chegar ao destino. Telas falsas funcionam basicamente apresentando uma tela semelhante à do site oficial, enganando o usuário. Normalmente ficam sobrepostas ao navegador, dando a impressão que faz parte do site original. 24

26 Conscientização Análise do Negócio Análise das Vulnerabilidades Política de Segurança Classificação das informações Campanhas de Divulgação Implementação de Segurança Termo de Sigilo Teste de Invasão Plano de Contingência 26

27 Conscientização - é o detalhe fundamental, com comprometimento dos altos executivos em mudar a cultura da empresa, conscientizando os funcionários da importância da segurança e a colaboração de todos afim de alcançar os objetivos esperados. Análise do Negócio a solução da segurança deve ser planejada a partir de todos os setores da empresa e principalmente em relação ao negócio. Para avaliar o negócio na qual se deve implementar uma política de segurança, deve-se utilizar de algumas ferramentas como entrevistas, onde serão levantados competências, a cultura da empresa, o tráfego das informações e os processos do negócio. Análise das Vulnerabilidades identificar as principais vulnerabilidades e ordenar de forma a priorizar as mais critica. Analisar também o ambiente físico e detalhar a segurança no ambiente de trabalho. Realizar uma analise dos documentos de acordo com a política da empresa e verificar especificações técnicas, regras de configuração e até mesmo as normas de qualidade. Observar o ambiente informatizado a procura de possíveis pontos de vulnerabilidade e ameaças. 27

28 Política de Segurança Conjunto de diretrizes, normas, procedimentos e instruções que irá guiar o usuário quanto ao uso devido dos recursos disponibilizados. Onde são definidas regras, comportamentos, restrições e até punições por uso indevido. Este documento deve estar conforme a cultura da instituição e seus recursos tecnológicos, para ser obedecidos de acordo com que foi formulado. Além disso, devem-se adotar regras para elaboração senhas e realização de backups. Campanhas de Divulgação uma forma compacta de segmentar a grande quantidade de informações contida nas normas da política de segurança, visando apenas procedimentos e dicas usadas no cotidiano do departamento. Os funcionários irão recebem informativos mais filtrados, ocasionando melhor entendimento. Além disso, cartazes no ambiente de trabalho e informativos enviados por complementaram a ação de esclarecimento dos funcionários. Implementação de Segurança após analisar e encontrar possíveis pontos de vulnerabilidade, agora é o momento de aplicar as soluções de hardware e software. 28

29 Termo de Sigilo compromisso entre funcionário e a instituição, com a correta utilização dos meios tecnológicos disponíveis. Para que isso ocorra é necessária a conscientização de todos os funcionários com as normas e política da empresa. Teste de Invasão tendo segurança assegurada por um especialista, nessa etapa é feito o teste da segurança com as ferramentas mais usadas para invasão do sistema como: Software de sniffer (grampo digital), Denial of Service (negação de serviço), Trojan Horses (cavalo de tróia), Trashing (análise de lixo). Plano de Contingência garantir a manutenção dos processos ou informações essenciais da empresa, no espaço curto de tempo, com intuição de reduzir os prejuízos. Esse plano de contingência contém janela de tempo, tolerância à paralisação, gatilhos de acionamentos e rotas alternativas de comunicação. 29

31 Trata-se de um conjunto de normas e técnicas que tem como objetivo codificar uma informação de forma apenas o emissor e o receptor possam acessá-las, não permitindo assim que terceiros possam interpretá-las. Com isso, diversas técnicas são utilizadas e muitas outras são desenvolvidas ao longo do tempo. Criptografia consiste em 4 princípios básicos: confidencialidade, autenticação, integridade da informação e não repudiabilidade. Por isso que a criptografia é fundamental na transmissão de informações pela Internet, mesmo com toda essa tecnologia ainda não é garantido 100% de segurança. Visto que sempre existe um terceiro capaz de decifrar uma codificação. Por causa desses motivos, que a criptografia está sempre em desenvolvimento, criando novas ferramentas e buscando uma melhoria continua. 31

32 Na ciência da computação, as técnicas mais conhecidas estão relacionadas ao conceito de chaves, sendo nomeadas de chaves criptográficas. Tratase de um conjunto de bits de acordo com um algoritmo específico capaz de codificar e de decodificar informações. Caso o receptor da informação usar uma chave diferente da chave do emissor, não conseguirá obter a informação. 32

33 As primeiras formas criptográficas existentes utilizavam somente um algoritmo de codificação. Assim, só o receptor dos dados tiver o conhecimento do algoritmo para poder extraí-las. Entretanto, se o invasor tiver domínio desse algoritmo, também terá poder de realizar o processo de decifragem, se conseguir capturar as informações criptografadas. As chaves possuem determinados valores, que expressam o seu tamanho. Quanto mais bits forem usados, mais segura será a criptografia. Há dois tipos diferentes de chaves criptográficas são elas: Chave simétrica é o tipo mais simples de chave, onde o emissor e receptor usam a mesma chave, ou seja, uma única chave é utilizada para realizar a codificação e decodificação dos dados. 33

34 Existem diversos tipos de algoritmos que usam chave simétrica como: Data Encryption Standard (DES): desenvolvida pela IBM no ano de 1977, formada com 56 bits. Traduzindo em 72 quatrilhões de combinações possíveis. É um valor relativamente alto, mas não quando se fala em um computador potente. International Data Encryption Algorithm (IDEA): criada no ano de 1991 por James Massey e Xuejia Lai, trata-se de um algoritmo que utiliza de 128 bits e tem sua composição semelhante ao DES. Sua implementação no software é mais simples que o deste último. Ron s Code ou Rivest Cipher (RC): desenvolvida por Ron Rivest da empresa RSA Data Security, esse algoritmo é normalmente utilizado para s e sendo composto por 8 a 1024 bits. Possui muitas versões: RC2, RC4, RC5 e RC6. A diferença entre essas chaves, consiste com quantidade de bits trabalhada. 34

35 Chave assimétrica conhecida como chave pública, onde trabalha com duas chaves uma chamada privada e outra pública. Esse tipo de método, um emissor deve desenvolver uma chave de codificação e transmitir ao receptor. Essa é a chave pública. Outra chave é criada para decodificação, sendo essa a chave privada, que é secreta. Nos algoritmos de chaves assimétricos podemos destacar: Rivest, Shamir and Adleman (RSA): criado no ano de 1977 pelo Ron Rivest, Adi Shamir e Len Adleman, é um algoritmo de chave assimétrico usualmente utilizados. Nesse tipo são utilizados números primos, onde dois números são multiplicados para se ter um terceiro valor. Basicamente, a chave privada no RSA são números multiplicados e a chave pública é o resultado obtido; ElGamal: desenvolvido por Taher ElGamal, esse tipo de algoritmo utiliza um logaritmo discreto para tornar-se mais seguro. Normalmente é utilizado para assinaturas digitais; 35 Pretty Good Privacy (PGP): trata-se de um software de criptografia desenvolvida por Philip Zimmermman no ano de Disponibilizado de maneira gratuita, logo se tornou um dos meios de criptografias mais comum, principalmente na troca de s.

37 Autenticar é o método de verificar, se usuário que está tentando acessar, é o permitido. Caso o usuário que esteja acessando for outra pessoa, o sistema deve pelo menos ignorar esse usuário. Existem protocolos de autenticação que tem como finalidade efetuar transações seguras de dados no ambiente virtual, podemos citar: Secure Eletronic Transaction (SET) protocolo que oferece transação segura de pagamentos eletrônicos usando cartão de crédito. Assegurando a confidencialidade e integridade dos dados com utilização de certificados digitais. Secure Hyper Text Transfer Protocol (S-http) proporciona envio dos dados via web de maneira segura. Usando uma camada de aplicação é feito um processo de negociação entre o cliente e o servidor. Oferece autenticação, integridade, confidencialidade e certificação, mas nem todos os browsers são compatíveis com S-http. Secure Sockets Layer (SSL) usa criptografia de chave pública afim de realizar troca de dados via web. É feita diversas transmissões de dados para negociar os parâmetros de segurança da conexão entre cliente e servidor. (HTTPS) 37

39 Atualmente a Internet tem permitido as empresa, pessoas, governo e outras instituições a realizarem uma variedade de tarefas e transações de forma rápida e eficiente. Por esse motivo, foi possível realizar negócios, enviar e receber informações, acessar e disponibilizar dados confidenciais, diminuir a burocracia. Entretanto, da mesma maneira que os computadores oferecem esses benefícios, também podem ser usados para realizar fraudes, então quando realizamos tais operações sigilosas, deve-se atentar na questão da confiabilidade e segurança. O certificado digital é capaz de atender essa necessidade. Certificado digital consiste em um tipo de tecnologia de identificação que favorece as transações eletrônicas dos mais variados tipos a serem realizadas com integridade, autenticidade e confidencialidade, evitando assim as possíveis fraudes, obtenção de dados sigilosos e outros tipos de adulteração. Certificado digital baseia-se em um documento eletrônico com assinatura digital que é composta de dados como nome do usuário, prazo de validade e chave pública. Através do certificado digital fica garantida a autenticidade da empresa ou cliente, que esteja interessada em realizar a transação eletrônica. UTILIZA O PROTOCOLO HTTPS 39

40 Para se obter um certificado digital, deve-se procurar uma entidade emissora apropriada como Autoridade Certificadora (AC) ou Autoridade de Registro (AR). Então essa autoridade vai associar uma identificação a uma chave e inserir os dados no certificado digital. No Brasil essa autoridade que emiti os certificados digitais é a ICP-Brasil. A ICP-Brasil dispõe de dois tipos de certificados digitais, sendo A e S. O tipo A é reservado para identificação e autenticação, já o tipo S é separado para atividades sigilosas. 40

41 Sendo assim dividas esses tipos de certificados digitais: A1 e S1 : geração de chaves feita para software, tamanho mínimo de 1024 bits. Guardados em dispositivos de armazenamentos como HDs, validade de um ano. A2 e S2 : geração de chaves criadas para software, com dimensão de 1024 bits. Armazenamento em cartões inteligentes e token, validade de dois anos. A3 e S3: geração de chaves desenvolvidas para hardware, tamanho de 1024 bits. São guardados em cartão inteligente ou token, prazo de três anos. A4 e S4: geração de chaves criadas para hardware, dimensão de 2048 bits. Armazenamento em cartão inteligente e token, validade de três anos. Os certificados A1 e A3 costumam ser os mais usados, onde A1 geralmente fica no computador do cliente e o A3 armazenado em cartão inteligente ou token restringindo por senhas. 41

43 Assinatura Digital Trata-se de um mecanismo que utiliza da criptografia, ou seja, faz uso das chaves criptográficas. Este método considera duas importantes características como: confidencialidade e autenticidade. Confidencialidade consiste em deixar as informações acessíveis apenas às pessoas e organizações autorizadas. Já autenticidade oferece a certeza da informação enviada da origem correta e a receptora reconhecer a origem. Além disso é notado o uso da função hash, afim de garantir a integridade. Essa função é um processo criptográfico na qual a informação deve ser passada, antes de ser transmitida. O resultado é único. Assinatura digital então faz parte da função hash junto ao documento a ser enviado e na utilização das chaves criptográficas. No procedimento de conferência, deve-se calcular o hash e decifrar as chaves criptográficas, onde qualquer alteração nos dados, resultará em um resumo diferente, constatando ocorrência de adulteração das informações. 43

45 Trata-se de um requisito importante quando se trata de segurança no ambiente virtual. Cada vez maior o volume de troca de informações e sistemas muito complexos, necessitando de uma proteção maior, aderindo ao uso de aplicações e ferramentas mais eficientes na segurança. O Firewall pode ser determinado como uma barreira de proteção, onde é controlado o trafego de dados entre o computador do usuário e a Internet. 45 Firewall contribui para impedir que a rede ou os computadores sejam acessados indevidamente. Assim dificultará as ações de hackers, com possíveis capturas de informações confidenciais.

47 Selos Digitais Define-se como selo digital ao status de documento emitido por um terceiro de confiança confirmando que o documento digital é valido, no instante (data e hora) que foi assinado. Com isso podemos assinar documentos digitais anexando uma validade neles. Muito utilizado pelos programas de correio eletrônico, afim de assinar e criptografar mensagens eletrônicas. 47

48 48