Grampeado. grampeado

Transcrição

1 SORRIA Você está sendo Grampeado Ricardo Kléber Martins Galvão Sorria!!! VocêExpotecs está sendo grampeado IFRN 2014 :: Ricardo Kléber

2 Pra começar... O que é isso???

3 Pra começar... G R AM P O!!! O que é isso???

12 Grampos Digitais Contextualizando... Contexto :: Interceptação Tradicional: Interceptação Telefônica Lei 9.296/96 (24 de julho de 1996) Disciplina o uso de interceptações de comunicações telefônicas e condiciona sua execução a uma ordem do juiz competente da ação principal, sob segredo de justiça

13 Grampos Digitais Contextualizando... Interceptação Telefônica Legal

14 Grampos Digitais Contextualizando... Grampo Digital :: Contexto Legal Escuta telemática autorizada realizada por agente da lei ou perícia credenciada A Lei 9.296/96 também aplica-se para interceptação do fluxo de comunicações em sistemas de informática e telemática = Grampo em linhas de transmissão de dados com acesso a dados e informações.

15 Grampos Digitais Contextualizando... Aiko Sistema de escuta telefônica (antigo!!??) Interceptação Telefônica Legal 300 grampos simultâneos Som abafado e eco Não auditável (possibilidade de fraudes) Sem caixa preta Praticamente não é mais utilizado

16 Grampos Digitais Contextualizando... Interceptação Telefônica Legal Guardião Sistema de escuta telefônica (inclusive celular) Fabricante: Digitro (SC) Entre 2002 e 2007 foi adquirido por 12 Estados (RJ, RS, SC, MT, CE, PE, MG, SP, ES, PR, TO e PA), o DF, 04 superintendências da PF (SC, PR, SP e RJ) e pela Procuradoria da República Fonte: folha/brasil/ult96u shtml

17 Grampos Digitais Contextualizando... Interceptação Telefônica Legal Sombra Sistema desenvolvido pela Polícia Federal (para não ficar refém de empresas) Início em 2007 Fonte: folha/brasil/ult96u shtml

18 Grampos Digitais Contextualizando... Interceptação Telefônica Legal SIS = Sistema de Interceptação de Sinais Início do planejamento/desenvolvimento: 2010 (implantado em 2012) Menos Burocrático Sistema independente de operadoras de telefonia (empresas de telefonia não sabem quem está sendo grampeado) Judiciário tem controle informatizado de início e fim de cada escuta PF e/ou MP solicitam grampo... juiz autoriza (e monitora) eletronicamente Fonte: noticias/impresso,novo-esquema-de-escutas -da-pf-deixa-empresas-telefonicas-de-fora,554597,0.htm Voz e Dados

19 Grampos Digitais Contextualizando... Interceptação Telefônica Legal StingRay Também conhecido como: Triggerfish, IMSI Catcher; Cell-site Simulator e Digital Analyzer Sistema portátil que simula torres falsas de celular para capturar dados de celulares em uma região. Fabricação Alemã (Harris Corporation) mas vendido nos EUA (somente para agências de segurança) Fonte:

20 Grampos Digitais Contextualizando... Tecnicamente falando... Interceptação de pacotes em redes TCP/IP, identificação de origem, destino, protocolos/serviços, remontagem de mensagens e análise de conteúdo. Limitação: ausência de criptografia (ou criptografia fraca )

21 Grampos Digitais O que há além dos grampos legais? Tem (muita) gente de olho no seu acesso à Internet!!!

22 Além dos grampos legais Onde (e como) podem ocorrer interceptações de dados Dispositivos móveis precisam de... redes móveis!!! O que você procura quando sua rede não está acessível?

23 Além dos grampos legais Onde (e como) podem ocorrer interceptações de dados O que você procura quando sua rede não está acessível?

24 Além dos grampos legais Onde (e como) podem ocorrer interceptações de dados Sonho de Consumo...

25 Além dos grampos legais Onde (e como) podem ocorrer interceptações de dados O barato/grátis pode sair caro...

26 Os grampos são uma realidade... Para as mais diversas finalidades Mulher pega prisão domicilar por interceptar s Publicada em: 20/10/ h55 A norte-americana Angel Lee, de 28 anos, cumprirá 60 dias de prisão domiciliar por interceptar s enviados para a exesposa de seu marido. Em março último, a norte-americana Angel Lee, de 28 anos, foi presa por ter obtido de modo modo fraudulento, a senha do de Duongladde Ramsay, ex-esposa de seu marido. Na ocasião, Lee confessou que bisbilhotou pelo menos 256 mensagens enviadas a Ramsey porque queria saber as razões de seu divórcio. Ramsey comparou o delito de Lee com o de alguém que invadiu sua casa, abriu a gaveta de sua cômoda e leu seu diário pessoal. Muita constrangida, Lee pediu desculpas.

27 Os grampos são uma realidade... Para as mais diversas finalidades Monica-Iozzi-ataca-de-espia-cibernetica.html Mônica Iozi ataca de espiã cibernética Publicada em: 07/10/2013 A repórter foi a um restaurante acompanhada de um hacker e mostrou como é fácil saber o que todos que estão conectados estão fazendo. Nesta segunda-feira, dia 7, Monica Iozzi conversou com um hacker para saber o quanto estamos vulneráveis ao usar a internet para tudo principalmente depois dos escândalos de espionagem americana no Brasil.

28 Grampos Digitais Problema clássico Protocolos sem Criptografia = Conceitualmente Vulneráveis c

29 Grampos Digitais Protocolos sem Criptografia = Conceitualmente Vulneráveis Conexão Remota = Protocolo Telnet

30 Grampos Digitais Protocolos sem Criptografia = Conceitualmente Vulneráveis Conexão Remota A solução é/era conhecida... = migração/troca significativa (Telnet caiu em desuso) TELNET SSH

31 Grampos Digitais Protocolos sem Criptografia = Conceitualmente Vulneráveis Transferência de Arquivos = Protocolo FTP

32 Grampos Digitais Protocolos sem Criptografia = Conceitualmente Vulneráveis Transferência de Arquivos A solução é/era conhecida... = muitos usuários (até hoje) permanecem vulneráveis FTP SCP ou SFTP

33 Grampos Digitais Protocolos sem Criptografia = Conceitualmente Vulneráveis VoIP (Voz sobre IP) = Protocolos RTP / SIP

34 Grampos Digitais Protocolos sem Criptografia = Conceitualmente Vulneráveis VoIP (Voz sobre IP) A solução é/era conhecida... = mas depende (além de conhecimento e vontade) de suporte (hardware e/ou software)!!! RTP SRTP SIP SIPS

35 Grampos Digitais Protocolos sem Criptografia = Conceitualmente Vulneráveis Envio de s = Protocolo SMTP

36 Grampos Digitais Protocolos sem Criptografia = Conceitualmente Vulneráveis Recebimento de s = Protocolo POP3

37 Grampos Digitais Protocolos sem Criptografia = Conceitualmente Vulneráveis Recebimento de s = Protocolo IMAP

38 Grampos Digitais Protocolos sem Criptografia = Conceitualmente Vulneráveis Correio Eletrônico A solução é/era conhecida... mas não é/foi aplicada por todos :( SMTP SMTPS IMAP IMAPS POP3 POP3S

39 Grampos Digitais Protocolos sem Criptografia = Conceitualmente Vulneráveis Correio Eletrônico Uso de... resolveu (parcialmente) o problema!!! Servidor Web (HTTP) mascara o uso de protocolos de envio/recebimento convencionais Mas o HTTP? É seguro?

40 Grampos Digitais Protocolos sem Criptografia = Conceitualmente Vulneráveis Web = Protocolo HTTP

41 Grampos Digitais Protocolos sem Criptografia = Conceitualmente Vulneráveis Acesso a Sites (serviço Web) A solução é/era conhecida... mas deve ser utilizada na autenticação e na transferência de arquivos HTTP HTTPS

42 Protocolos com Criptografia como Obrigação Empresas fazem o dever de casa Twitter utiliza criptografia obrigatória na autenticação + OAuth Obrigatório desde 08/2010 HTTPS Obrigatório desde 08/2011

43 Protocolos com Criptografia como Obrigação Empresas fazem o dever de casa acesso-ao-facebook-na-web-passa-a-ser-feito-via-https Acesso ao Facebook na web passa a ser feito via HTTPS Publicada em: 01/08/2013 Antes, a conexão no Facebook era feita automaticamente no HTTP e o usuário tinha a opção de selecionar o modo HTTPS O Facebook anunciou, na oite de ontem (31), que o acesso à rede social pela web será feito agora, automaticamente, via HTTPS. De acordo com Scott Renfro, engenherio de software da rede social, o acesso no tráfego móvel, isto é, no site mobile (m.facebook.com), também passará a ter 80% de conexão segura. Para quem já usa os aplicativos para Android e ios, o HTTPS já está implantado.

44 Protocolos com Criptografia como Obrigação Empresas fazem o dever de casa Default https access for Gmail Publicada em: 12/01/2010 A partir de hoje a conexão criptografada (https) passa a ser default para todas as conexões do Gmail para proteger seus dados de bisbilhoteiros. A opção estava disponível desde 2008, mas até ontem o default era estar desativada.

45 Protocolos com Criptografia como Obrigação Empresas fazem o dever de casa yahoo-ativa-criptografia-https-por-padrao-no-yahoo-mail.shtml Yahoo! ativa criptografia HTTPS por padrão no Yahoo! Mail Publicada em: 08/01/ h17 Alguns meses depois de prometer, o Yahoo! finalmente padronizou o HTTPS em seu serviço de . A medida deverá garantir uma camada extra de segurança aos usuários, contando para isso com um sistema de criptografia de bits, de acordo com a companhia. A mudança afetará a todos os que usam o Yahoo! Mail, seja por meio da web, apps mobile ou via protocolos IMAP, SMTP e POP (...)

46 Grampos Digitais Usando HTTPS então eu estou seguro? Questão a ser analisada... e respondida!!!

47 Usando HTTPS então eu estou seguro? Eis a questão...

48 Usando HTTPS então eu estou seguro? Eis a questão... Variações dos ataques Man-in-the-Middle ( homem no meio )

49 Usando HTTPS então eu estou seguro? Eis a questão... Variações dos ataques Man-in-the-Middle ( homem no meio )

50 Grampos Digitais Ataques MITM Ativos Se não é possível (ainda) quebrar a criptografia... seria possível abrir, grampear e fechar novamente?

51 Man-in-the-middle Ativo Abrindo sem quebrar O que acontece no meio do caminho???

52 Perigos mesmo usando o HTTPS Tenho a certeza da criptografia do meu host ao servidor? Moxie Marlinspike BlackHat 2009 Roteador intermediário Ataque entre o cliente e o novo roteador Substituição de todas as requisições HTTPS do cliente por HTTP MITM (Man-In-The-Middle) entre o servidor e o cliente. Vítima e atacante se comunicam através de HTTP... enquanto o atacante e o servidor se comunicam utilizando HTTPS (com o certificado do servidor)

53 Man-in-the-middle Ativo Qual era o seu servidor destino mesmo? Pharming Scam A alteração do arquivo hosts de estações/ clientes também é um tipo de Pharming

54 Man-in-the-middle Ativo O que há de novo? wwww.ricardokleber.com/palestras Grampos em Redes de Celulares ERB / Femtocell Encontrado o elo mais fraco

55 Grampos Digitais: Você confia na rede? Considerações Finais... Usar criptografia é parte do processo de segurança - Mas não resolve em definitivo Novas tecnologias... velhos problemas (remodelados) - Sempre haverá um elo mais fraco Oferta de redes (WiFi) públicas podem ser armadilhas - Na dúvida... use o 3G, ou aguarde a chegada até uma rede confiável Verifique sempre seu arquivo hosts e o seu DNS - O pharming scam é um golpe difícil de ser descoberto Nem sempre o usuário tem como identificar um grampo - Diversidade de locais possíveis e tecnologias / ferramentas dificulta

56 Grampos Digitais: Você confia na rede? Slides Disponíveis Palestras: Vídeos: Twitter: