Segurança Internet Fernando Albuquerque fernando@cic.unb.br www.cic.unb.br/docentes/fernando (061) 273-3589
Tópicos Introdução Autenticação Controle da configuração Registro dos acessos Firewalls Backups Criptografia Certificados Danos por programas
Introdução Aspectos a considerar : A Internet é uma rede pública É comum o uso de senhas fáceis É comum a presença de máquinas mal configuradas Tipos de problemas : Roubo ou alteração de informações Acesso não autorizado aos recursos computacionais Negação de acesso autorizado Vandalismo
Introdução Danos : Tempo gasto recuperando o sistema Danos à imagem da organização Perdas indiretas em função do vazamento de informações Perda de confiabilidade pela alteração de dados Perda de confiança dos clientes e parceiros Custo com o pessoal envolvido na recuperação Conseqüências legais pelo vazamento das informações
Introdução Classes de ataques : Roubo de senhas Bugs em programas Serviços incorretamente implementados Falhas de autenticação Erros em protocolos Vazamento de informação Negação de serviço
Introdução Aspectos que precisam ser garantidos : Privacidade Integridade dos dados Disponibilidade Consistência Isolamento Possibilidade de auditoria
Autenticação Autenticação : Senhas : Informando algo Apresentando algo Medindo alguma característica Abordagem simples, barata e fácil de usar Método mais comum de autenticação Não pode ser considerado um mecanismo seguro Usadas tipicamente senhas fáceis Método comum de invasão é baseado na descoberta
Autenticação Formas de ataque : Tentativa de log in usando senhas prováveis Roubo de arquivos de senha Monitoração da rede de modo a roubar senha Exemplos de medidas administrativas : Educação dos usuários Estabelecer regras para senhas válidas Deve haver limite no número de tentativas de log in Falhas de log in devem ser registradas
Controle da Configuração Ações administrativas : Usar listas de verificação Usar softwares para verificação automática Listas de verificação : Relacionam erros freqüentes de configuração O que deve ser feito O que não deve ser feito Existem para diferentes sistemas operacionais
Registro dos Acessos Exemplos de medidas administrativas : Acessos devem ser registrados Acessos podem ser válidos e inválidos Registros devem ser analisados Análise deve se automatizada Análise deve ser freqüente Existem softwares para melhorar a análise Existem softwares para automatizar análise
Firewalls - Introdução Conceitos : Interligam redes Comum o uso no isolamento de intranets Centralizam a administração da segurança Várias alternativas de arquiteturas Várias alternativas de softwares Podem se tornar um gargalo Possibilitam redes com numeração privada
Firewalls - Softwares Tipos de softtwares: Softwares em domínio público Softwares comerciais Aspectos a analisar : Possibilidade de controle por serviço Tradução entre endereços públicos e privados Sistema operacional necessário Popularidade Estabilidade
Firewalls - Softwares Software TIS : Há uma versão comercial e uma outra pública Disponível para plataforma UNIX Não requer modificação dos clientes Baseado na instalação de proxys Configuração centralizada em um arquivo Possível o uso de autenticação complementar Eventos são registrados para auditoria
Firewalls - Softwares
Firewalls - Softwares Software Guardian : Transparente aos clientes Facilidades de logging Monitoração de eventos suspeitos Controle de tráfego baseado em filtros Protocolo proprietário entre agente e gerente Criptografia entre agente e gerente Tradução dinâmica de endereços
Firewalls - Softwares
Backups A mais básica das medidas Única alternativa quando tudo deu errado Motivos para a sua realização : Invasões e vandalismo Erros por parte dos usuários Falhas no hardware ou no software Roubo Desastres naturais
Backups Abrangência : Total Incremental Aspectos a considerar : Freqüência de realização Por quanto tempo manter a cópia de backup Como manter as cópias de backup seguras Formas de realizar : Manual ou automática
Criptografia Motivo : Conceito : Tráfego através de uma rede pode ser monitorado Podem ser usados softwares facilmente disponíveis Traduz texto em claro em texto cifrado Tradução realizada via algoritmos matemáticos Ação do algoritmo influenciada por uma chave Protege informações transmitidas Protege informações armazenadas Não pode evitar que dados sejam destruídos
Criptografia Chaves : Similares a senhas sob ponto de vista do usuário Diferentes tamanhos em diferentes sistemas Quanto maior, em geral, maior a segurança Tamanho em geral medido em número de bits CHAVE MENSAGEM CLARO algoritmo CRIPTOGRAFIA MENSAGEM CIFRADA
Criptografia Do que depende a segurança da informação: Segredo da chave Dificuldade em descobrir a chave Dificuldade em inverter o algoritmo sem a chave Tipos de sistemas de criptografia : Baseados em chaves privadas Baseados em chaves públicas Baseados em chaves de sessão
Criptografia Criptografia com chaves privadas : Criptografia simétrica Mesma chave para cifrar e decifrar Necessária a distribuição segura da chave Usada em aplicações comerciais e militares
Criptografia Chaves privadas : CHAVE MENSAGEM CIFRA MENSAGEM DECIFRA MENSAGEM CLARO CIFRADA CLARO
Criptografia Criptografia com chaves públicas : Primeiro sistema descrito em 1976 Chave para cifrar é de conhecimento público Chave para decifrar é de conhecimento privado Possibilita o uso de assinaturas digitais
Criptografia Chaves públicas e privadas : CHAVE PÚBLICA CHAVE PRIVADA MENSAGEM CIFRA MENSAGEM DECIFRA MENSAGEM CLARO CIFRADA CLARO
Certificados Conceitos: Estabelecimento de um canal seguro requer que os dados sejam cifrados e as entidades autenticadas Uma tecnologia para a autenticação em redes baseia-se em certificados Podem ser usados para autenticar diferentes tipos de entidades São armazenados em arquivos e podem ser distribuídos através da rede
Certificados Informações em um certificado : Identificação do emissor Identificação da entidade para o qual o certificado foi emitido Chave pública da entidade Data e horário Estrutura de um certificado : Informações organizadas segundo um padrão Padrão mais popular é o X.509 O X.509 é um padrão OSI
Danos por programas Conceitos : Segurança de uma máquina pode ser comprometida pela instalação e execução de programas com erros ou de programas desenvolvidos com o objetivo de causar danos. Os danos causados pela execução de um programa podem ser consideráveis, uma vez que, na maioria dos sistemas operacionais, um programa posto em execução por um usuário, assume os direitos de acesso daquele usuário. Isto possibilita que um programa acesse, ou danifique, arquivos do usuário ou arquivos sobre os quais o usuário tenha direitos.
Danos por programas Com as redes, a instalação e a execução de programas obtidos a partir de outras máquinas é freqüente. A instalação e a execução podem ocorrer sem que o usuário tenha conhecimento. Programas podem estar presentes em mensagens recebidas por correio eletrônico ou em páginas. Programas presentes em páginas normalmente são codificados em linguagens como JavaScript ou Java.
Danos por programas Tipos de programas : Vírus Cavalo de Tróia Macro vírus Rabbit Worm