Prof. Roberto Franciscatto 4º Semestre - TSI - CAFW. Free Powerpoint Templates Page 1

Transcrição

1 Segurança na Web Cap. 3: Visão Geral das Tecnologias de Segurança Prof. Roberto Franciscatto 4º Semestre - TSI - CAFW Page 1

2 Tradução do Endereço de Rede (NAT) Network Address Translation Recurso que permite converter endereços da rede interna em endereços da Internet. O uso mais comum deste recurso é compartilhar a conexão com a Internet. O compartilhamento pode ser feito usando um PC com duas placas de rede, um modem ADSL com hub embutido, um roteador, etc. Page 2

3 Tradução do Endereço de Rede (NAT) Existem vários programas que permitem compartilhar a conexão usando o NAT: Internet Conection Sharing (Windows) ou proxys com recursos semelhantes Wingate. A vantagem destes sobre os proxys manuais é o fato da conexão ser quase totalmente transparente. Page 3

4 Tradução do Endereço de Rede (NAT) Todos os PCs podem ser configurados para acessar diretamente a Internet, usando o servidor NAT como gateway, dispensando a configuração manual de proxy em cada programa. Page 4

5 Tradução do Endereço de Rede (NAT) O servidor fica conectado simultaneamente às duas redes à Internet e à rede local onde estão os PCs. Ele pode ter o endereço IP na Internet e o IP na rede local por exemplo. Page 5

6 Tradução do Endereço de Rede (NAT) O servidor fica conectado simultaneamente às duas redes (cont.) Se um dos PC da rede local abre uma página no por exemplo o pedido será enviado ao servidor, que por sua vez o encaminhará para o endereço correspondente na Internet e devolverá a resposta para o PC da rede local. Page 6

7 Tradução do Endereço de Rede (NAT) O mais interessante é que o PC local enxerga apenas o servidor de conexão e fica invisível para todos os mais PCs da Internet, que novamente verá apenas o servidor e não os PCs da rede local. É por isso que o provedor de acesso não pode fazer nada para impedir que os usuários compartilhem a conexão via NAT eles simplesmente não tem como obter nenhuma prova de que a conexão está sendo compartilhada. Page 7

8 Tradução do Endereço de Rede (NAT) Exemplo: Compartilhando conexão com NAT no IPTABLES Page 8

9 Tradução do Endereço de Rede (NAT) O uso do NAT fornece uma camada de segurança extra para proteção da rede Em geral, usando-se NAT torna-se mais dificil para um atacante: Mapear a topologia da rede alvo e determinar a conectividade Identificar o número de sistemas que se encontram rodando na rede Page 9

10 Tradução do Endereço de Rede (NAT) Identificar o tipo de máquina e os sistemas operacionais que estão sendo executados Implementar ataques de negação de serviços (DOS) como uma Syn Flood (sincronize/inicie), PortScan e Injeção de Pacotes Page 10

11 Public Key Infraestruture Estudo de caso Entender o SSL Page 11

12 O SSL (Secure Socket Layer) é o protocolo usado para criar páginas seguras, encriptando toda a transmissão entre o cliente e o servidor. Eles são os responsáveis pela efetividade do protocolo HTTPS e pelo tradicional cadeado nas páginas protegidas por ele. Page 12

13 Os dois usos mais comuns são em páginas de comércio eletrônico onde: é necessário oferecer um ambiente seguro para concluir a transação e transmitir dados confidenciais Page 13

14 Os dois usos mais comuns são em páginas de comércio eletrônico onde: (cont.) e também a criação de ambientes administrativos como os usados pela maioria dos gestores de conteúdo onde você tem acesso ao conteúdo do site e por isso precisa acessar sem que outras pessoas possam capturar suas senhas e outras informações. Page 14

15 podem ser gerados facilmente através do OpenSSL mesma biblioteca utilizada pelo SSH e por diversos outros sistemas de encriptação. É possível ao próprio usuário gerar seu certificado SSL, em praticamente qualquer distribuição Linux usando o comando "openssl. Page 15

16 Exemplo: # openssl req -new -x509 -days sha1 -newkey rsa:1024 nodes -keyout server.key -out meuservidor.csr Page 16

17 Este comando gera dois arquivos separados: o "server.key", que contém a chave criptográfica e o "meuservidor.csr", que contém o certificado que será fornecido aos clientes. Page 17

18 Para usá-los, é necessário apenas adicionar duas linhas separadas dentro da configuração do site (virtual host) dentro da configuração do Apache, especificando as localizações dos arquivos gerados: SSLCertificateFile /etc/apache2/ssl/meuservidor.csr SSLCertificateKeyFile /etc/apache2/ssl/server.key Page 18

19 Estes certificados caseiros são chamados de certificados self-signed (auto-assinados) já que você mesmo faz o papel de entidade certificadora, gerando e assinando o certificado. O algoritmo de encriptação usado é o mesmo, de forma que um certificado self-signed corretamente gerado oferece a mesma segurança que um certificado reconhecido. Page 19

20 O grande problema é que os navegadores nos clientes não serão capazes de verificar a autenticidade do certificado, de forma que os visitantes receberão um aviso de "certificado não reconhecido" ao acessarem a página. Page 20

21 Ex.: certificados auto-assinados Page 21

22 O propósito de entidades certificadoras, como a Verisign é confirmar a titularidade dos certificados confirmando assim que o certificado recebido ao acessar determinado site pertence realmente à entidade que o está fornecendo. É isso que garante que você está mesmo acessando o home banking do banco em que tem conta e não o site de um script kiddie qualquer. Page 22

23 Certificados assinados por entidades certificadoras são automaticamente aceitos pelos navegadores já que sua identidade já foi confirmada pela entidade certificadora o que evita a exibição da mensagem. Page 23

24 Ou seja, ao obter um certificado reconhecido, você obtém o selo de aprovação da entidade certificadora que comprova a autenticidade do seu site e passa a oferecer um certo nível de garantia contra fraudes. É por isso que um certificado reconhecido é praticamente um pré-requisito para qualquer página de comércio eletrônico. Page 24

25 Entidades certificadoras... Verisign ( Problema: preço o certificado de validação mais simples custa nada menos de US$ 499 anuais, com opções de até US$ 1499 Page 25

26 - Entidades Certificadoras: Verisign ( Page 26

27 Existem no mercado outras opções com preços mais competitivos... Comodo ( Digicert ( Network Solutions ( GeoTrust ( Thawte ( Page 27

28 - Ex.: Comodo ( Page 28

29 - Ex.: Digicert ( Page 29

30 - Ex.: Network Solutions ( Page 30

31 - Ex.: GeoTrust ( Page 31

32 - Ex.: Thawte ( Page 32

33 Em termos de segurança, não existe muita diferença entre um certificado mais caros ou mais baratos as principais diferenças são: o nível de validação e as garantias oferecidas por cada uma em caso de fraude ou de quebra da chave criptográfica. Assim como em outras áreas, o principal fator na decisão acaba sendo a questão da confiança. Page 33

34 Existe ainda a possibilidade de utilizar um certificado compartilhado... onde a empresa responsável "empresta" seu próprio certificado para uso dos clientes, em troca de uma taxa de manutenção anual. Problema: muito provavelmente você precisará hospedar seu site em um subdomínio e os clientes verão o nome da empresa de hospedagem (e não o nome da sua empresa) ao examinarem as propriedades do certificado. Page 34

35 Ao contratar os serviços de uma entidade certificadora, é NECESSÁRIO: gerar uma chave de encriptação e uma requisição de certificado, o que é novamente feito usando o openssl: # openssl req -new -nodes -keyout empresa.key -out empresa.csr Page 35

36 Entendendo: empresa.key = chave do certificado empresa.csr" = requisição do certificado a ser gerado. É necessário responder as perguntas abaixo: estas informações serão examinadas não apenas pela entidade certificadora, Free Powerpoint mas também Templates pelos clientes Page 36

37 Importante: O campo "Common Name" deve ser preenchido com o domínio onde o certificado será usado (incluindo o "www" ou o subdomínio usado) Em geral, as entidades certificadores oferecem a opção de obter um certificado curinga (wildcard), que cobre automaticamente todos os subdomínios usados no site. Problema: preço... Page 37

38 Depois de gerar a requisição... enviar o arquivo.csr para a entidade certificadora que o usará para gerar o certificado. Depois de confirmada sua identidade e feito o pagamento, você receberá de volta o certificado assinado, que pode ser então usado na configuração do Apache. Page 38

39 Configuração necessária no Apache: A configuração consiste em adicionar as linhas "SSLCertificateFile" e "SSLCertificateKeyFile" indicando a localização do arquivo.crt e.key recebidos. Ex.: <VirtualHost *:443> DocumentRoot /var/www/roberto SSLEngine on SSLCertificateFile /etc/apache2/ssl/server.crt SSLCertificateKeyFile /etc/apache2/ssl/server.key </VirtualHost> Page 39

40 Exercícios Criar um certificado digital do tipo self-signed com seus dados pessoais via openssl (Linux) e mostrar funcionando no Firefox para o professor... :-) Dicas (links) que podem ajudar: l_no_apache/ che2 Page 40