Segurança em Comunicações Segurança de E-Mail Carlos Sampaio
Segurança de E-Mail: E-Mail Clássico A mensagem é quebrada em pacotes, e cada pacote pode trafegar por diversos caminhos diferentes POP3 e SMTP trafegam informação em texto claro Nos EUA o direito da utilização de informações de e-mails de empresas é garantido à imprensa pelo Freedom of Information Act
Segurança de E-Mail: MIME e S/MIME MIME (Multi-Prupose Interment Mail Extensions) É uma adição ao SMTP que permite trafegar arquivos de diversas mídias (vídeo, áudio, imagens, anexos,...) O header MIME informa qual programa será utilizado para visualizar a informação em anexo RFC 1847 e RFC 2634 S/MIME (Secure MIME) Utiliza o header para determinar o certificado digital e o modo de encriptação do anexo Usa criptografia simétrica (DES, 3DES ou RC2) Usa algorítmos assimétricos para troca de chaves É distribuído gratuitamente para os principais clientes de e- mail (Outlook, Outlook Express, Netscape,...)
Segurança de E-Mail: PGP PGP (Pretty Good Privacy) Criado por Phil Zimmermann em seu escritório particular nos fundos de sua casa Tornou-se o software de encriptação de e-mail mais utilizado no mundo Foi questionado e proibido pelo Governo Americano Após instalado funciona se adiciona como plug-in a todos os programas de e-mail instalados Utiliza criptografia assimétrica para cifrar e decifrar e-mails Apresenta-se nas versões freeware e comercial, sendo que nesta última oferece outras ferramentas Existe uma versão GPL, baseada no PGP, chamada GPG
Segurança de E-Mail: PGP PGP Como funciona Utiliza chaves pública e privada para criptografar e assinar as mensagens Modelo Web-of-Trust, onde a confiabilidade do PGP depende de o quanto você confia nas chaves dos usuários que estão no seu dicionário de chaves Key Ring é uma coleção de chaves públicas armazenadas localmente no disco rígido -----BEGIN PGP MESSAGE----- Version: PGPfreeware 7.0.3 for non-commercial use <http://www.pgp.com> qanqr1dbwu4d4cag0csbewcqb/9u1esxsm0nzw71d9fnara3w4rcdrlwdyen/nwt M9lKTo3SuSnogNEJ9I1lGtePDFQ6zBGW696SVOE8fUuMh1mnKfOMaTuQuhMnP+jJ /c0tkk3wn3ckz86g/dok1pdhpaxxljxwambdklbzgcjedwjp4yo3nj3vwe0owmcj (...) guxjvwxbpb7/vsfijce= =X7eE -----END PGP MESSAGE-----
SMTP Relay Enviar por Relay mensagens a outros servidores SMTP DNS-based Blackhole List (DNSBL)
Testando se seu servidor está seguro: 1. Abra uma sessão de telnet para o servidor de E-Mail na porta 25 Telnet <IP do Servidor de E-Mail> 25 2. Depois que o servidor responder com nome e versão, digite HELO teste.teste.com 3. O servidor vai responder com um HELLO. Então digite um remetente falso mail from: spam@spammer.com 4. O servidor deve responder com um Sender OK. Em seguida entre comum destinatário qualquer rcpt to: usuario@vitma.com.br 5. Se o servidor não responder com a negação abaixo, ele está vulnerável 550 5.7.1 Unable to relay for usuario@vitma.com.br
Vírus de E-Mail São enviados anexados ao e-mail, comprimidos (.ZIP), documentos (macros) ou executáveis (.EXE). Infecta a vítima quando é acessado Janela de visualização prévia e códigos HTML Scripts, applets, vírus, mesclados a mensagem Antivírus, correções do fabricante e programas comerciais são boas contra-medidas Apenas o antivírus não garante a segurança Atualização de assinaturas, Bom Senso e desconfiança
SPAM Remonta a época de BBS e inicio da Internet Quebrou a marca Histórica de 50% em 2004 Muitos rumores mas nenhuma legislação efetivamente em vigor Programas de extração de e-mail de listas
http://www.bigbooster.com/other/extractor.html
Boatos ou Lendas - HOAX Crianças desaparecidas, vírus ainda não detectado, promoções espetaculares Hoaxes podem danificar programas e sistemas operacionais quando instruem o usuário a apagar arquivos http://www.quatrocantos.com/lendas/ Menino Preso em Canil Batom com Chumbo
Esquema Nigeriano (419 Scam) Normalmente apresenta texto em Inglês com erros Sempre envolve algum tipo de transferência de dinheiro Herdeiros desaparecidos, perseguição política, assassinatos, filhos de Reis e Rainhas http://www.419eater.com/ Bom Senso, calma e desconfiança Se alguma coisa é muito boa para ser verdade, é porque provavelmente não o é!
Exemplo de Esquema Nigeriano
Fraude Phishing Atividade criminal que utiliza técnicas de engenharia social Direcionado a aquisição de informações financeiras, de crédito e bancárias Cartões de Crédito, Usuário e Senhas de sites de compras on-line, senhas e proteções de sites bancários Utilizam e-mail e programas de mensagens instantâneas
Exemplos de Phishing Scam
SPAM: Origem e Ferramentas BOTNet s SMTP Relays
SPAM: Origem e Ferramentas (cont.) DNS Stuff http://www.dnsstuff.com/