Expresso V3 Segurança com Certificação Digital

Transcrição

1

2 Expresso V3 Segurança com Certificação Digital Palestrantes: Marcos Martins Melo - Coordenador Estratégico de Ações Governamentais do Serpro Silvio Correia Filho, CISSP CSSLP

3 Expresso SUITE DE COMUNICAÇÃO: Trata-se de uma suíte de comunicação (correio, agenda, catálogo, tarefas, mensageiro, conferência, sincronismo, gerenciamento de arquivos) e colaboração inteiramente desenvolvida em software livre. Seu objetivo maior é fornecer uma ferramenta economicamente viável, com grande domínio e autosuficiência do conhecimento e difusão para corporações, dentro e fora do Brasil.

4 Expresso

5 Uso Expresso no Governo Comunidade Expresso constituída em Serpro utiliza suíte de comunicação Expresso desde 2009 com significativos ganhos: Facilita a comunicação, compartilhamento e cooperação entre usuários e clientes Minimiza os custos(tco) dos órgãos de governo nas três esferas Agrega conhecimento aos quadros técnicos das equipes envolvidas Incentiva o uso de software livre e o trabalho em comunidade Entre outros.

6 Quem usa?

7 Utilização do Expresso provido Serpro Órgãos que estão utilizando o Expresso: Presidência da República (14 secretárias) Ministério da Fazenda Ministério do Planejamento orçamento de gestão Ministério das Comunicações Ministério do Meio Ambiente Procuradoria geral da Fazenda Nacional ESAF DNIT, VALEC, ICMBio, APO Prefeitura de Valparaíso

8 Espionagem comunicações do Governo - Vulnerabilidades nas comunicações de Governo. - Decreto 8.135/2013 Regulamentação Portaria Interministerial Seguro - Expresso V3

9 Principais vulnerabilidades nas comunicações de Governo Pouco uso de criptografia; Algoritmos de criptografia criados por países estrangeiros e sem auditabilidade; Uso de chaves criptográficas fracas devido aos algorítmos utilizados e intervenção de países estrangeiros.

10 Exemplo de licença

11 Expresso V3 Projeto - Premissas do projeto: Segurança de forma holística Foco em Parcerias Garantia de sigilo e privacidade Arquitetura de software em software livre Auditabilidade Rastreabilidade de código

12 Estruturação do Trabalho Primeiro momento (até dezembro 2013) Diagnóstico de segurança Estabilização e correção de vulnerabilidades Mitigação de riscos de segurança Implementação de camadas de segurança (Infra) Segundo momento (a partir de janeiro 2014) Criação do Roadmap arquitetural Gestão de continuidade de negócio Criação comunidade estratégica de segurança

13 Rede Segura Monitoração com Zabbix Correlacionamento de Eventos Auditoria Externa Externos Anti DDOS IPS / IDS Dedicado Firewall Dedicado Firewall L7 Dedicado Balanceador Dedicado Internos Aumento dos Links Clear Links Upgrade de Portas 3GB para 10gb Mudança de solução Funções de Correio Virtual para Físico App Segura Trilha Controle de Aplicação Dedicado Capacidade DLP / PBR Nivel 7 Diferente do IPS Segmentado/Po nte

14 Certificado Digital no Expresso Autenticação Assinatura digital da mensagem Criptografia Assinatura da build

15 Autenticação com Certificação Digital

16 Assinatura de

17 Criptografia no Expresso

18 Criptografia no Expresso

19 Criptografia no Expresso Ponto-à-ponto (hibrido) Criptografia na interface web; Módulo de criptografia; HSM (gerenciamento de chaves) Futuro; Algorítmo simétrico AES (DOC ICP-01.01) chave 256 bits; modo de operação cipher-block chaining (CBC); S/MIME; Utilização de SSL para camada de transporte; Generalidade do algoritmo de criptografia; Adoção de algoritmos disponíveis nos provedores de serviço de criptografia;

20 Criptografia no Expresso Criação de s cifrados Estação Servidor 1.Compõe e Informa destinatários; 2.Requisita certificados e validação dos destinatários; 4.Recebe certificados; 4.1.Critica inválidos; 5.Informa corpo/anexos; 6.Confirma envio do ; 6.1.Revalida destinatários(3) 7.Applet Java; 7.1.Assina texto claro; 7.2.Cifra texto assinado; 8.Envia cifrado; Canal público 3. Recebe requisição; 3.1. Recupera certificados BD; 3.2. Valida expiração; 3.3. Valida cadeias de ACs; 3.4. Valida revogação(lcrs); 3.5. Devolve certificados e resultado da validação; 5.3. Recebe certificado; 5.4. Valida LCRs; 5.5. Valida Expiração; 5.6. Valida cadeias de CAs; 5.7. Devolve resultado; 9.Recebe cifrado; 10.Encaminha para demais Destinos;

21 Criptografia no Expresso Leitura de s cifrados Estação Servidor 2. Recebe requisição e Devolve EML cifrado 1.Requisita leitura 3. Recebe EML cifrado: 4. Decripta(APPLET); 5.Assinado? 5.1.Verifica integridade da assinatura(applet); 5.2. Envia certificado ao para validações 6. Exibe decifrado; 7. Exibe resultado das validações (se assinado) Canal Público 5.3. Recebe certificado; 5.4. Valida LCRs; 5.5. Valida Expiração; 5.6. Valida cadeias de CAs; 5.7. Devolve resultado;

22 Cenários futuros (curto prazo) Cenários futuros (curto prazo) Cifragem de cabeçalho na camada de transporte; Uso do HTML5 / webcrypto; Assinatura de JS (Mozilla Signed Scripts); Utilização de HSM (Gerenciamento de chaves); Implementação de módulo criptográfico; Assinatura/Criptografia em dispositivos móveis;

23 Acordo de cooperação com a UFSC Análise arquitetural (foco criptografia) Roadmap de segurança Boas práticas de segurança

24 Assinatura da build Certificado específico para assinatura de código Assinatura de java applets Assinatura da build

25 Obrigado!