Segurança Internet. Fernando Albuquerque. (061)

Transcrição

1 Segurança Internet Fernando Albuquerque (061)

2 Tópicos Introdução Autenticação Controle da configuração Registro dos acessos Firewalls Backups Criptografia Certificados Danos por programas

3 Introdução Aspectos a considerar : A Internet é uma rede pública É comum o uso de senhas fáceis É comum a presença de máquinas mal configuradas Tipos de problemas : Roubo ou alteração de informações Acesso não autorizado aos recursos computacionais Negação de acesso autorizado Vandalismo

4 Introdução Danos : Tempo gasto recuperando o sistema Danos à imagem da organização Perdas indiretas em função do vazamento de informações Perda de confiabilidade pela alteração de dados Perda de confiança dos clientes e parceiros Custo com o pessoal envolvido na recuperação Conseqüências legais pelo vazamento das informações

5 Introdução Classes de ataques : Roubo de senhas Bugs em programas Serviços incorretamente implementados Falhas de autenticação Erros em protocolos Vazamento de informação Negação de serviço

6 Introdução Aspectos que precisam ser garantidos : Privacidade Integridade dos dados Disponibilidade Consistência Isolamento Possibilidade de auditoria

7 Autenticação Autenticação : Senhas : Informando algo Apresentando algo Medindo alguma característica Abordagem simples, barata e fácil de usar Método mais comum de autenticação Não pode ser considerado um mecanismo seguro Usadas tipicamente senhas fáceis Método comum de invasão é baseado na descoberta

8 Autenticação Formas de ataque : Tentativa de log in usando senhas prováveis Roubo de arquivos de senha Monitoração da rede de modo a roubar senha Exemplos de medidas administrativas : Educação dos usuários Estabelecer regras para senhas válidas Deve haver limite no número de tentativas de log in Falhas de log in devem ser registradas

9 Controle da Configuração Ações administrativas : Usar listas de verificação Usar softwares para verificação automática Listas de verificação : Relacionam erros freqüentes de configuração O que deve ser feito O que não deve ser feito Existem para diferentes sistemas operacionais

10 Registro dos Acessos Exemplos de medidas administrativas : Acessos devem ser registrados Acessos podem ser válidos e inválidos Registros devem ser analisados Análise deve se automatizada Análise deve ser freqüente Existem softwares para melhorar a análise Existem softwares para automatizar análise

11 Firewalls - Introdução Conceitos : Interligam redes Comum o uso no isolamento de intranets Centralizam a administração da segurança Várias alternativas de arquiteturas Várias alternativas de softwares Podem se tornar um gargalo Possibilitam redes com numeração privada

12 Firewalls - Softwares Tipos de softtwares: Softwares em domínio público Softwares comerciais Aspectos a analisar : Possibilidade de controle por serviço Tradução entre endereços públicos e privados Sistema operacional necessário Popularidade Estabilidade

13 Firewalls - Softwares Software TIS : Há uma versão comercial e uma outra pública Disponível para plataforma UNIX Não requer modificação dos clientes Baseado na instalação de proxys Configuração centralizada em um arquivo Possível o uso de autenticação complementar Eventos são registrados para auditoria

14 Firewalls - Softwares

15 Firewalls - Softwares Software Guardian : Transparente aos clientes Facilidades de logging Monitoração de eventos suspeitos Controle de tráfego baseado em filtros Protocolo proprietário entre agente e gerente Criptografia entre agente e gerente Tradução dinâmica de endereços

16 Firewalls - Softwares

17 Backups A mais básica das medidas Única alternativa quando tudo deu errado Motivos para a sua realização : Invasões e vandalismo Erros por parte dos usuários Falhas no hardware ou no software Roubo Desastres naturais

18 Backups Abrangência : Total Incremental Aspectos a considerar : Freqüência de realização Por quanto tempo manter a cópia de backup Como manter as cópias de backup seguras Formas de realizar : Manual ou automática

19 Criptografia Motivo : Conceito : Tráfego através de uma rede pode ser monitorado Podem ser usados softwares facilmente disponíveis Traduz texto em claro em texto cifrado Tradução realizada via algoritmos matemáticos Ação do algoritmo influenciada por uma chave Protege informações transmitidas Protege informações armazenadas Não pode evitar que dados sejam destruídos

20 Criptografia Chaves : Similares a senhas sob ponto de vista do usuário Diferentes tamanhos em diferentes sistemas Quanto maior, em geral, maior a segurança Tamanho em geral medido em número de bits CHAVE MENSAGEM CLARO algoritmo CRIPTOGRAFIA MENSAGEM CIFRADA

21 Criptografia Do que depende a segurança da informação: Segredo da chave Dificuldade em descobrir a chave Dificuldade em inverter o algoritmo sem a chave Tipos de sistemas de criptografia : Baseados em chaves privadas Baseados em chaves públicas Baseados em chaves de sessão

22 Criptografia Criptografia com chaves privadas : Criptografia simétrica Mesma chave para cifrar e decifrar Necessária a distribuição segura da chave Usada em aplicações comerciais e militares

23 Criptografia Chaves privadas : CHAVE MENSAGEM CIFRA MENSAGEM DECIFRA MENSAGEM CLARO CIFRADA CLARO

24 Criptografia Criptografia com chaves públicas : Primeiro sistema descrito em 1976 Chave para cifrar é de conhecimento público Chave para decifrar é de conhecimento privado Possibilita o uso de assinaturas digitais

25 Criptografia Chaves públicas e privadas : CHAVE PÚBLICA CHAVE PRIVADA MENSAGEM CIFRA MENSAGEM DECIFRA MENSAGEM CLARO CIFRADA CLARO

26 Certificados Conceitos: Estabelecimento de um canal seguro requer que os dados sejam cifrados e as entidades autenticadas Uma tecnologia para a autenticação em redes baseia-se em certificados Podem ser usados para autenticar diferentes tipos de entidades São armazenados em arquivos e podem ser distribuídos através da rede

27 Certificados Informações em um certificado : Identificação do emissor Identificação da entidade para o qual o certificado foi emitido Chave pública da entidade Data e horário Estrutura de um certificado : Informações organizadas segundo um padrão Padrão mais popular é o X.509 O X.509 é um padrão OSI

28 Danos por programas Conceitos : Segurança de uma máquina pode ser comprometida pela instalação e execução de programas com erros ou de programas desenvolvidos com o objetivo de causar danos. Os danos causados pela execução de um programa podem ser consideráveis, uma vez que, na maioria dos sistemas operacionais, um programa posto em execução por um usuário, assume os direitos de acesso daquele usuário. Isto possibilita que um programa acesse, ou danifique, arquivos do usuário ou arquivos sobre os quais o usuário tenha direitos.

29 Danos por programas Com as redes, a instalação e a execução de programas obtidos a partir de outras máquinas é freqüente. A instalação e a execução podem ocorrer sem que o usuário tenha conhecimento. Programas podem estar presentes em mensagens recebidas por correio eletrônico ou em páginas. Programas presentes em páginas normalmente são codificados em linguagens como JavaScript ou Java.

30 Danos por programas Tipos de programas : Vírus Cavalo de Tróia Macro vírus Rabbit Worm