CENTRO ESTADUAL DE EDUCAÇÃO TECNOLÓGICA PAULA SOUZA

CENTRO ESTADUAL DE EDUCAÇÃO TECNOLÓGICA PAULA SOUZA FACULDADE DE TECNOLOGIA DE LINS PROF. ANTONIO SEABRA CURSO SUPERIOR DE TECNOLOGIA EM REDES DE COMPUTADORES FERNANDO CÉSAR CREMONESI LUÍS GUSTAVO CREMONESI ESTUDO SOBRE VPN: UMA ANÁLISE COMPARATIVA ENTRE IPSEC E OPENVPN LINS/SP 1 SEMESTRE/2012

CENTRO ESTADUAL DE EDUCAÇÃO TECNOLÓGICA PAULA SOUZA FACULDADE DE TECNOLOGIA DE LINS PROF. ANTONIO SEABRA CURSO SUPERIOR DE TECNOLOGIA EM REDES DE COMPUTADORES FERNANDO CÉSAR CREMONESI LUÍS GUSTAVO CREMONESI ESTUDO SOBRE VPN: UMA ANÁLISE COMPARATIVA ENTRE IPSEC E OPENVPN Trabalho de Conclusão de Curso apresentado a Faculdade de Tecnologia de Lins para obtenção do título de tecnólogo em Redes de Computadores. Orientador: Prof. Alexandre Ponce de Oliveira LINS/SP 1 SEMESTRE/2012

FERNANDO CÉSAR CREMONESI LUÍS GUSTAVO CREMONESI ESTUDO SOBRE VPN: UMA ANÁLISE COMPARATIVA ENTRE IPSEC E OPENVPN Trabalho de Conclusão de Curso apresentado a Faculdade de Tecnologia de Lins, como parte dos requisitos necessários para a obtenção do título de Tecnólogo em Redes de Computadores sob orientação do Prof. Me. Alexandre Ponce de Oliveira. Data de aprovação: / / Orientador: Alexandre Ponce de Oliveira Examinador 1: Adriano de Souza Marques Examinador 2: Naylor Garcia Bachiega

Dedicamos este trabalho aos nossos pais Ivon Carlos Cremonesi e Nilva Tereza Moura e aos nossos irmãos Jane Nazareth Cremonesi e Jean Carlos Cremonesi, que nos incentivam a buscar nossos objetivos e que nos ensinaram a ser pessoas honestas e dedicadas aquilo que façamos e sonhamos.

AGRADECIMENTOS A Deus em primeiro lugar, por nos dar saúde física e mental para o cumprimento de mais essa etapa de nossas vidas. Agradecemos ao Prof. Alexandre Ponce de Oliveira, por sua orientação, apoio e paciência ao nos guiar neste trabalho. A Profa. Luciane Noronha do Amaral, por sua importante colaboração na revisão ortográfica. Aos professores e coordenadores do curso que contribuíram para nossa formação acadêmica e desenvolvimento profissional. Aos amigos acadêmicos que sempre mostraram união e companheirismo. Aos nossos pais, irmãos e outros familiares que nos incentivaram e compreenderam nossa ausência neste período. Aos colegas de trabalho e a todos que de alguma forma, contribuíram para a concretização deste objetivo.

A imaginação é mais importante que a ciência, porque a ciência é limitada, ao passo que a imaginação abrange o mundo inteiro. Albert Einstein

RESUMO A necessidade das redes de computadores associadas a trocas de informações sigilosas entre empresas e outras entidades é a realidade atual, mas para ter esses benefícios com baixo custo levou-se a criação de uma tecnologia chamada de Redes Privadas Virtuais. A Rede Privada Virtual é uma ótima solução para interligar entidades utilizando a Internet como meio de comunicação, com resultados tão bons quanto de outras soluções e com um custo significantemente menor que ao das demais. Para que seja possível o entendimento sobre o funcionamento desta tecnologia, este trabalho aborda os princípios das redes de computadores, como seus tipos, suas classificações, seus protocolos, os tipos de ataques, vulnerabilidade, ameaças e os métodos de defesa para sua segurança. Também são abordados com mais detalhes os principais elementos da tecnologia de Redes Privadas Virtuais que são os algoritmos criptográficos, protocolos de segurança e meios de comunicação seguros que são a base para a implementação da mesma, entretanto, a implementação e uso destes itens é algo para ser estudado, pois há varias soluções de redes privadas virtuais inseguras distribuídas no mercado. Este trabalho realiza a análise sobre dois modos de interligação de uma rede privada virtual, utilizando o protocolo IPSec e o software OpenVPN, que são alternativas viáveis, muito conhecidas e economicamente atrativas. Palavras-Chaves: Redes de Computadores, VPN, IPSec, OpenVPN, Segurança em Redes, Criptografia, FreeBSD.

ABSTRACT The need for computer networks linked to exchange confidential information between companies and other entities is the current reality, but to have these benefits with low cost led to the creation of a new technology called Virtual Private Networks. The Virtual Private Network is a great solution for connecting entities using the internet as a means of communication, with results as good as other solutions and at a cost significantly lower than that of others. To be able to understand the functioning of this technology, this paper discusses the principles of computer networks, such as their types, their ratings, their protocols, the types of attacks, vulnerabilities, threats and methods of defense for safety. Are also discussed in more detail the main elements of the technology of Virtual Private Networks that are cryptographic algorithms, security protocols and media insurance that are the basis for the implementation of it, however, the implementation and use of these items is something to be studied as there are several solutions, virtual private networks insecure distributed in the market. This paper performs analysis on two modes of interconnection of a virtual private network, using IPSec and OpenVPN software, which are viable alternatives, wellknown and economically attractive. Key Words: Computer Networking, VPN, IPSec, OpenVPN, Network Security, Cryptography, FreeBSD.

LISTA DE ILUSTRAÇÕES Figura 1.1 Redes WAN... 17 Figura 1.2 Exemplo de rede ponto-a-ponto... 19 Figura 1.3 Desempenho do pedido de um arquivo... 21 Figura 1.4 Funcionamento da camada de aplicação... 23 Figura 1.5 Exemplo de funcionamento do protocolo TCP... 25 Figura 2.1 Remetente, destinatário e intruso (Alice, Bob e Trudy)... 27 Figura 2.2 Tipos básicos de ataques... 29 Figura 2.3 Criptografia simétrica... 31 Figura 2.4 Criptografia assimétrica... 32 Figura 2.5 Exemplo de função hash... 33 Figura 2.6 Envio de e-mail com assinatura digital e função hash... 34 Figura 2.7 Recebimento de e-mail com assinatura digital e função hash... 34 Figura 2.8 Ligação simples de um firewall... 36 Figura 3.1 (a) Uma rede privada de linha dedicada (b) Uma rede privada virtual.. 38 Figura 3.2 Conexão VPN Servidor a Servidor... 40 Figura 3.3 Exemplo de uso do protocolo PPP... 42 Figura 3.4 Conexão PPTP... 43 Figura 3.5 Cenário Típico do L2TP... 44 Figura 3.6 Datagrama IP dentro de uma infraestrutura MPLS... 46 Figura 3.7 Componentes de uma rede MPLS... 46 Figura 3.8 Associação de Segurança... 48 Figura 3.9 Modo de Transporte SA... 49 Figura 3.10 Modo de Túnel SA... 49 Figura 3.11 Modo Transporte e Túnel no protocolo AH... 50 Figura 3.12 Modo Transporte e Túnel no protocolo ESP... 51 Figura 4.1 Cenário da implementação... 56 Figura 4.2 Tráfego criptografado utilizando IPSec... 60 Figura 4.3 Análise de transferência simples utilizando o IPSec... 61 Figura 4.4 Análise de transferência com arquivos simultâneos utilizando o IPSec 61 Figura 4.5 Tráfego criptografado utilizando OpenVPN... 64 Figura 4.6 Análise de transferência simples utilizando o OpenVPN... 65

Figura 4.7 Análise de transferência com arquivos simultâneos utilizando o OpenVPN.... 65

LISTA DE ABREVIATURAS E SIGLAS 3DES Triple Data Encryption Standart AES Advanced Encryption Standart AH Authentication Header ATM Asynchronous Transfer Mode DES Data Encryption Standart DNS Domain Name System DoS Denial of Service ESP Encapsulating Security Payload HMAC Key-hashing for Message Authentication HTTP HyperText Transfer Protocol IETF Internet Engineering Task Force IKE Internet Key Exchange IP Internet Protocol IPSec Security Architecture for IP ISAKMP Internet Security Association and Key Management ISO International Stardards Organization KB - Kilobytes Kbps Kilobits per seconds Km Quilômetros L2F Layer 2 Forwarding L2TP Layer 2 Tunneling Protocol LAC L2TP Access Concentrator LAN Local Area Network LDP Label Distribution Protocol LNS L2TP Network Server LP Linhas Privadas LSP Label Switch Path LSR Label Switch Router MAN Metropolitan Area Network MB Megabytes Mbps Megabits per seconds

MD5 Message Digest 5 MPLS Multiprotocol Label Switching NAS Network Access Server OSI Open Systems Interconnection PPP Point-to-Point Protocol PPTP Point-to-Point Tunneling Protocol SA Security Associations SAD Security Association Database SHA-1 Secure Hash Algorithm SMTP Simple Mail Transfer Protocol SPD Security Policy Database SPI Security Parameter Index TCP Transmission Control Protocol UDP User Data Protocol VoIP Voz sobre IP VPN Virtual Private Network WAN Wide Area Network

SUMÁRIO INTRODUÇÃO... 14 1 CONCEITO DE REDES... 16 1.1 CLASSIFICAÇÕES... 16 1.1.1 Redes Locais... 16 1.1.2 Redes Metropolitanas... 16 1.1.3 Redes Geograficamente Distribuídas... 17 1.1.4 Internet... 18 1.2 TIPOS DE REDES... 18 1.2.1 Rede Ponto-a-ponto... 18 1.2.2 Rede Cliente/Servidor... 20 1.3 MODELO OSI... 21 1.4 PROTOCOLOS... 22 1.4.1 Transmission Control Protocol e Internet Procotol (TCP/IP)... 23 1.4.2 Protocolo IP... 24 1.4.3 ProtocoloTCP... 24 1.4.4 Protocolo UDP... 25 2 SEGURANÇA EM REDES... 27 2.1 AMEAÇAS... 28 2.2 VULNERABILIDADES... 28 2.3 ATAQUES... 28 2.4 MÉTODOS DE DEFESA... 30 2.5 CRIPTOGRAFIA... 30 2.5.1 Chave Simétrica... 30 2.5.2 Chave Assimétrica... 31 2.5.3 Função Hash... 32 2.5.4 Assinatura Digital... 33 2.5.5 Certificação Digital... 35 2.6 Firewall... 35 3 VPN... 38 3.1 Modos de Interconexão... 39 3.1.1 VPN dial-up... 39 3.1.2 VPN de Intranet... 39 3.1.3 VPN de Extranet... 39 3.2 Tunelamento... 39 3.3 Protocolos para VPN... 40

3.3.1 Point-to-Point Protocol (PPP)... 41 3.3.2 Point-to-Point Tunneling Protocol (PPTP)... 42 3.3.3 Layer 2 Tunneling Protocol (L2TP)... 44 3.3.4 Multiprotocol Label Switching (MPLS)... 45 3.3.5 Security Architecture for IP (IPsec)... 47 4 IMPLEMENTAÇÃO DE UMA VPN EM FREEBSD... 55 4.1 CENÁRIO... 55 4.2 IMPLEMENTAÇÃO DA VPN COM IPSEC... 57 4.2.1 Compilação do Kernel... 57 4.2.2 Configuração do Firewall... 57 4.2.3 Configuração de uma VPN com IPSec... 58 4.2.4 Análise de desempenho da VPN com IPSec... 60 4.3 IMPLEMENTAÇÃO DA VPN COM OPENVPN... 62 4.3.1 Instalação do OpenVPN... 62 4.3.2 Configuração do OpenVPN... 62 4.3.3 Análise de desempenho da VPN com OpenVPN... 64 4.4 CONSIDERAÇÕES FINAIS... 65 CONCLUSÃO... 67 REFERÊNCIAS BIBLIOGRÁFICAS... 69

14 INTRODUÇÃO As redes de computadores estão cada vez mais presentes nas empresas, órgãos governamentais, centros educacionais e até mesmo dentro das casas como serviços ou meio de comunicação. De acordo com Mendes (2007), redes de computadores estabelecem uma forma padronizada de interligação de computadores para compartilhamento de recursos físicos ou lógicos, como por exemplo, unidades de CD-ROM, arquivos de um disco rígido, impressoras entre outros. Com a evolução tecnológica e por questões de acessibilidade, médias e grandes empresas, assim também como centros educacionais e de pesquisa, necessitam trocar informações entre si para manter o compartilhamento e disponibilidade de seus recursos e serviços. (TANENBAUM, 2003) Anteriormente, antes da rede pública de dados, as empresas contratavam serviços de concessionárias de telefonia para comunicação ou troca de dados por meio de linhas privadas (LP), por exemplo, de sua matriz com todas as filias. Atualmente as empresas fazem uso deste serviço. Uma rede construída a partir deste modelo é chamada de rede privada. (TANENBAUM, 2003) Segundo Tanenbaum (2003) as redes privadas possuem um ótimo desempenho e muito bem referenciadas no quesito segurança, entretanto, o custo de manutenção é muito alto. Com o surgimento da Internet, muitas empresas trocaram o uso das redes privadas das concessionárias de telefonia pelo uso da internet para trafegar seus dados. Essa mudança diminuiu muito o custo da manutenção, entretanto, era necessário manter o mesmo padrão de segurança das redes privadas. Essa demanda levou a criação da Virtual Private Network (VPN), que é uma rede sobreposta à Internet com a maioria das propriedades das redes privadas (TANENBAUM, 2003). Segundo Wolf (2007): VPN é uma técnica utilizada para fazer um túnel seguro entre duas redes, geralmente separada pela internet. Este trabalho descreveu todos os conceitos sobre uma VPN e seus respectivos protocolos de segurança e teve como objetivo a implementação de duas VPNs utilizando-se o software OpenVPN e outro que utiliza os recursos do sistema

15 operacional FreeBSD através do protocolo IPSEC que são referências atualmente para implementação de VPN. A implementação das VPNs foram feitas no sistema operacional FreeBSD e depois foi realizada uma análise comparativa de desempenho entre as VPNs, utilizando o software jperf. A estrutura da monografia foi composta da seguinte forma: o primeiro capítulo abrange todos os conceitos de redes de computadores como as classificações da rede, tipos de redes, modelo OSI e protocolos que são a base para o entendimento do trabalho; o segundo capítulo contém informações importantes sobre segurança com relação a VPNs, onde aborda as ameaças existentes, tipos de ataques e defesas, métodos de criptografia, firewall, entre outras; o terceiro capítulo é composto pelos conceitos de VPN como os modos de interconexão, tunelamento e protocolos utilizado, onde é destacado o IPSec; o quarto capítulo descreve como foram implementados, de modo experimental, os modos de conexão VPN, detalhando as configurações realizadas para funcionamento da tecnologia e as analises realizadas sobre os modos testados; por fim o sexto capítulo tem-se a conclusão do trabalho.

16 1 CONCEITO DE REDES Este capítulo conceitua redes de computadores para melhor entendimento do trabalho, e será feita a descrição acerca dos tipos de redes, suas classificações, protocolos e segurança. 1.1 CLASSIFICAÇÕES 1.1.1 Redes Locais Chamadas de Local Area Network (LAN) estas são redes privadas contidas dentro de uma única empresa ou campus. São usadas para conectar estações de trabalho e computadores pessoais, permitindo o compartilhamento de recursos e troca de informações. As LANs se distinguem de outros tipos de redes por seu tamanho, tecnologia de transmissão e topologia. A tecnologia de transmissão das LANs geralmente é feita por cabo, no qual todas as máquinas estão conectadas. As LANs normalmente funcionam em velocidades de 10 Megabits por segundo (Mbps) a 100 Mbps, e apresentam pouquíssimos erros de transmissão. As LANs mais atuais podem operar em até 10 Gigabits por segundo (Gbps). (TANENBAUM, 2003). 1.1.2 Redes Metropolitanas Uma rede metropolitana, mais conhecida como Metropolitan Area Network (MAN), abrange uma cidade, como exemplo de uma MAN é uma rede de televisão a cabo disponível em várias cidades. As MANs são redes que ficam restritas a região metropolitana de uma grande cidade, o seu raio de cobertura varia de 40 a 80 km (quilômetros). A sua velocidade

de transmissão geralmente é de 2 Mbps e é muito utilizada por redes de Franquias, Universidades, Escolas e órgãos do governo municipal.( KUROSE; ROSS, 2008) 17 1.1.3 Redes Geograficamente Distribuídas Conhecida como Wide Area Network (WAN), abrange uma grande área geográfica como um país ou continente e contém um conjunto de máquinas cuja finalidade é executar aplicações do usuário. Segundo Mendes (2007), as redes WANs são formadas pela interligação de pequenas ou grandes redes LANs e cada ponta da rede WAN possui a mesma estrutura de uma rede LAN. A conexão entre elas é feita por meio de linhas telefônicas, fibras ópticas ou ondas de rádio. A internet pode ser considerada como uma grande rede WAN, pois interliga milhões de pequenas redes LANs ao redor do mundo. Figura 1.1 Redes WAN Fonte: Mendes, 2007, p.33 Ainda segundo Mendes (2007), uma rede de computadores torna-se operacional quando existe a interligação dos computadores de forma local ou remota. Para interliga-las são necessários equipamentos e softwares como placas de rede, cabos, conectores, sistema operacional e o cliente de acesso. Uma WAN sempre é formada pela interligação de pelo menos dois pontos, os quais devem estar ligados a roteadores, equipamentos ativos responsáveis pela

18 interligação de duas redes diferentes. O objetivo do roteador é redirecionar os dados que recebe de uma rede para outra rede, assim permite a conexão de duas redes com protocolos diferentes. Esse funcionamento do roteador permite a interação entre redes com arquiteturas diferentes. A figura 1.1 representa uma rede WAN, a qual é formada entra a porta WAN do roteador A e o roteador B: 1.1.4 Internet De acordo com Kurose e Ross (2010), a internet é uma infraestrutura que provê serviços e aplicações. Estas aplicações são os correios eletrônicos (Email), navegação na Web, mensageiros instantâneos, voz sobre IP (VoIP), assim como muitos outros, e com os avanços da tecnologia dos componentes da internet, são necessárias novas aplicações, portanto é importante ter em mente que a internet é uma tecnologia em constante atualização. Segundo Tanenbaum (2003), a internet não é uma rede e sim um conjunto de redes diferentes que utiliza protocolos comuns e fornece determinados serviços. A internet não foi planejada e não é controlada por ninguém. 1.2 TIPOS DE REDES Segundo Torres (2001), existem dois tipos básicos de redes onde os dados são compartilhados, as redes ponto-a-ponto e as redes cliente/servidor. A rede ponto a ponto é usada em redes pequenas e a rede cliente/servidor é usada tanto em redes pequenas quanto em redes grandes. Esses tipos de redes não dependem da estrutura física usada pela rede, mas sim como ela esta configurada em software. 1.2.1 Rede Ponto-a-ponto De acordo com Torres (2001), redes ponto-a-ponto é o tipo de rede mais simples para ser montada, onde praticamente todos os sistemas operacionais já oferecem suporte.

19 A rede ponto-a-ponto compartilha dados e periféricos sem muita complicação, onde os computadores podem ler e escrever nos arquivos armazenados nos outros computadores, assim como usar impressoras e outros periféricos, isso sem muita dificuldade. Nesta rede não há o papel de um servidor como nas redes cliente/servidor, nas redes ponto-a-ponto qualquer computador pode ser um servidor de dados e periféricos. A figura 1.2, mostra uma interligação com três computadores em rede, na qual há uma impressora instalada no computador da Daniela e para que os outros computadores tenham acesso a impressora, basta o usuário do computador onde esta instalado a impressora, compartilhar este recurso. (Torres, 2001) Figura 1.2 Exemplo de rede ponto-a-ponto Fonte: Torres, 2001, p.8 Ainda segundo Torres (2001), neste modelo não é possível compartilhar o mesmo arquivo ao mesmo tempo, adicionar dados a um banco de dados, por exemplo, pois Em uma rede ponto-a-ponto, somente um usuário pode modificar cada arquivo de dados por vez, embora mais de um usuário possa ler um mesmo arquivo ao mesmo tempo. (Torres, 2001) De acordo com Torres (2001), a vantagem da rede ponto-a-ponto é a facilidade de instalação e configuração, onde os próprios usuários podem configurar o compartilhamento para que os demais usuários possam ter acesso, a desvantagem é em relação à segurança da rede. Geralmente na rede ponto-a-ponto, como os computadores ficam instalados dentro de um mesmo ambiente de trabalho, a questão de segurança não chega a ser um problema, mas o recomendado é a instalação de uma rede cliente/servidor mesmo em redes pequenas.

20 Torres (2001) resume a rede ponto-a-ponto da seguinte forma: usada em redes pequenas; baixo custo; fácil implementação; baixa segurança; sistema simples de cabeamento; normalmente os computadores estão em um mesmo ambiente de trabalho; não existe um administrador de rede, a rede é administrada por cada usuário; não existem micros servidores ; cada micro ora age como um servidor; a rede terá problemas pra crescer. 1.2.2 Rede Cliente/Servidor Segundo Morimoto (2002), a rede cliente/servidor é mais difícil de montar e configurar e também tem um custo mais elevado por exigir um bom poder de processamento. Uma rede cliente/servidor concentra todos os recursos da rede em um ou mais servidores, como arquivos, impressoras, serviços de fax e acesso a internet, etc. Tudo será controlado pelos servidores. Em todos os sistemas operacionais é preciso tempo para configurar os servidores, assim como permissões de acesso aos recursos, senhas, entre outros. Entretanto, uma vez que tudo estiver funcionando você terá uma rede muito mais robusta e confiável. Torres (2001) diz que o servidor nada mais é que um computador que gera recursos para os demais computadores da rede, pode ficar sobrecarregado com a utilização de várias tarefas e fornecendo para os demais computadores para rede, assim tornando baixo o desempenho da rede. Com o servidor dedicado, que é um servidor para executar somente uma tarefa, por exemplo, somente um servidor de arquivos, ele consegue responder rapidamente os pedidos recebidos dos demais computadores da rede assim não compromete o desempenho e oferece um melhor desempenho para executar uma determinada tarefa. A administração e configuração da rede cliente/servidor é centralizada, isso melhora a organização e segurança da rede e possibilita a execução de programas cliente/servidor, como, por exemplo, um banco de dados que pode ser modificado por vários usuários ao mesmo tempo. Assim Torres (2001), resume a rede cliente/servidor: usada normalmente em redes com mais de 10 computadores ou redes pequenas que necessitem de um alto

21 grau de segurança; custo maior que o de redes ponto-a-ponto; maior desempenho do que redes ponto-a-ponto; implementação necessita de especialistas; alta segurança; manutenção e configuração da rede realizada pelo administrador de rede e de forma centralizada; possibilidade de uso de aplicações de cliente/servidor. Figura 1.3 Desempenho do pedido de um arquivo Fonte: Torres, 2001, p. 13 1.3 MODELO OSI Segundo Torres (2009), quando as redes de computadores foram inventadas, as soluções existentes eram proprietárias e não havia como relacionar soluções de fabricantes diferentes, assim um fabricante era responsável por construir quase tudo na rede. Para facilitar a interligação dos sistemas de computadores, a International Standards Organization (ISO) criou o modelo de referência chamado Open Systems Interconnection (OSI), onde os fabricantes pudessem criar protocolos a partir desse modelo. Segundo Tanenbaum (2003), o modelo OSI possui sete camadas, onde a ISO atribuiu padrões para todas elas. A seguir descreve-se a função de cada uma das camadas do modelo OSI: Camada física: é responsável pela transmissão de bits por um meio físico, como a placa de rede. A camada física é responsável que os dois lados devam

22 receber os mesmos bits que foram transmitidos; Camada de enlace de dados: é responsável por criar a conexão entre o remetente e destinatário. A camada de enlace faz com que o transmissor divida os dados e transmita-os sequencialmente, recebe uma confirmação caso o pacote seja entregue corretamente; Camada de rede: é responsável por indicar o caminho dos pacotes até o seu destino através de rotas. As rotas por onde os pacotes passam podem ser baseados em tabelas estáticas ou dinâmicas, ou seja, podem todos seguir o mesmo caminho ou não; Camada de transporte: é responsável por aceitar os dados da camada de rede e dividi-los em pacotes menores se necessário. A camada de transporte repassa os pacotes para a camada de rede para garantir que todos os dados chegarão corretamente ao destino e também determina o serviço que deve ser fornecido à camada de sessão, como o tipo de conexão; Camada de sessão: é responsável por permitir que dois computadores diferentes estabeleçam comunicação entre eles; Camada de apresentação: é responsável por fazer a tradução para tornar possível a comunicação entre dois computadores com diferentes representações de dados; Camada de aplicação: contém uma serie de protocolos necessários para os usuários. A camada de aplicação faz a interface entre os protocolos e o aplicativo de acordo com a solicitação do usuário. 1.4 PROTOCOLOS De acordo com Torres (2001), os protocolos definem como as informações enviadas pela rede são transferidas, protocolo é o idioma usado pelos dispositivos da rede de forma que os mesmos possam entender trocar informações em si. Segundo Kurose e Ross (2010), um protocolo de rede é parecido com um protocolo humano, onde a diferença é que os dispositivos que se comunicam e realizam ações são componentes de hardwares e softwares de algum equipamento, como exemplo, computadores, telefones celulares, roteadores, etc. Ainda seguindo a linha de raciocínio de Kurose e Ross (2010), todas as atividades na internet que envolvem duas ou mais entidades comunicantes são controladas por um protocolo e uma rede pode usar vários protocolos. A seguir este trabalho abordará alguns desses protocolos.

23 1.4.1 Transmission Control Protocol e Internet Procotol (TCP/IP) Segundo Torres (2001), o TCP/IP é na realidade, um conjunto de protocolos, cujo mais conhecidos dão o nome desse conjunto: TCP/IP, que operam nas camadas de Transporte e Internet respectivamente, utiliza uma arquitetura de quatro camadas, definidas como: Camada de Aplicação: comunica-se com a camada de transporte através de uma porta. As portas são numeradas e as aplicações padrão sempre utilizam uma mesma porta, por exemplo, o protocolo Simple Mail Transfer Protocol (SMTP) utiliza sempre a porta 25, o protocolo HyperText Transfer Protocol (HTTP) utiliza sempre a porta 80. Esta camada que fornece ao usuário de rede a interface em forma de aplicativos ou serviços de rede, ilustrada pela figura 1.4. Figura 1.4 Funcionamento da camada de aplicação Fonte: Torres, 2001, p. 66 Camada de Transporte: é responsável por pegar os dados enviados pela camada de aplicação, transformá-los em pacotes e repassa-los para a camada de Internet. Camada de Internet: é responsável pelo endereçamento dos pacotes, para que eles consigam chegar corretamente ao seu destino. Essa camada também determina o caminho que os pacotes irão percorrer para atingir o destino; Camada Física: é responsável por pegar os dados enviados pela camada de Internet e converter em sinais compatíveis com o meio de dados que serão transmitidos, por exemplo, se o meio for óptico, a camada física converte os dados em sinais luminosos.

24 1.4.2 Protocolo IP O protocolo IP, como dito anteriormente, atua na camada de Internet onde recebe os dados enviados pela camada de transporte e envia para a camada física. Torres (2001) diz que o protocolo IP é um protocolo não orientado a conexão, isto é, ele não verifica se os dados chegaram ao destino, isto é feito pelo protocolo TCP, que recebe os pacotes que chegam e os coloca em ordem, solicita o reenvio dos pacotes caso esteja faltando. A principal função do protocolo IP é rotear os pacotes, ou seja, adicionar as instruções para que os dados cheguem mais rápido ao seu destino. Isto é feito em conjunto com os roteadores da rede que escolhem os caminhos mais rápidos entre a origem e o destino do pacote. Kurose e Ross (2010) aponta que cada endereçamento IP tem um comprimento de 32 bits, onde este endereço é único e existem cerca de 4 bilhões de endereços IPv4 possíveis. Esses endereços são escritos em decimal separado por pontos, por exemplo, o endereço IP 192.32.216.9. O número decimal 193 equivalente aos 8 primeiros bits do endereço, o número decimal 32 equivalente ao segundo conjunto de bits e assim por diante. 1.4.3 Protocolo TCP De acordo com Torres (2001), o protocolo TCP é o mais complexo do sistema de protocolos TCP/IP, cuja sua função e receber os datagramas do IP e ordená-los, após isso o protocolo TCP verifica se todos datagramas chegaram corretamente. Segundo Torres (2001), várias aplicações enviam dados, através de canais virtuais chamados portas, ao protocolo TCP para que ele transmita esses dados pela rede. O protocolo TCP empacota os dados recebidos e adiciona as informações das portas de origem e destino e depois passa o pacote para o protocolo IP, que adiciona as informações de endereço de IP de origem e destino ao pacote. Quando o destino recebe os dados, o pacote faz o caminho contrario, onde passa pela camada IP, que passará para a camada TCP que entregará os dados a

25 aplicação correta, já que o protocolo TCP sabe qual é a aplicação que ele deve entregar por causa do conceito de portas, entretanto, já que o protocolo TCP ordena todos os protocolos, ele verifica se os mesmos chegaram ao destino, onde envia uma mensagem de confirmação de recebimento para a maquina transmissora, a maquina transmissora se durante um determinado tempo não receber esta confirmação, o pacote é reenviado, pois significa que os dados foram descartados no meio do caminho por algum motivo. Figura 1.5 Exemplo de funcionamento do protocolo TCP Fonte: Kurose, Ross, 2010, p. 163 1.4.4 Protocolo UDP De acordo com Torres (2001), o protocolo User Data protocol (UDP) de transporte não é orientado a conexão, ou seja, ele não verifica se os dados

26 chegaram ao seu destino, tornando um protocolo não viável ao uso para transportes de dados importantes, como arquivos e e-mails. Segundo Torres (2001), as aplicações que usam o protocolo UDP devem criar mecanismos para colocar os datagramas em ordem e verificar se os dados foram entregues ao destino corretamente, em outras palavras, a aplicação faz o trabalho que é feito pelo protocolo TCP. De acordo com Torres (2001), a vantagem de usar o protocolo UDP é que a transmissão é mais rápida, pois o tamanho do pacote de dados fica menor e o UDP não tem o mecanismo de verificação de chegada do pacote como o protocolo TCP, assim torna o envio de pacotes mais rápido por não precisar esperar uma resposta do destinatário para enviar o próximo pacote. Segundo Torres (2001), o uso do protocolo UDP pode ser até viável em redes onde não há quase perca de pacotes, porém em grandes redes e principalmente na Internet, onde a taxa de perda de pacotes pode ser alta demais, torna o uso do protocolo UDP inviável. Um dos usos mais conhecidos do protocolo UDP é para o envio de mensagens Domain Name System (DNS).

27 2 SEGURANÇA EM REDES Segundo Kurose e Ross (2010), todos usuários querem ter certeza que suas mensagens estão sendo entregues ao destinatário com segurança, isto é, ter certeza que é a pessoa que esta se comunicando seja de fato a esperada, que as mensagens não sejam alteradas no meio do caminho e também a certeza que podem se comunicar, sem que ninguém interrompa ou lhes negue acesso aos recursos necessários para comunicação. Dadas essas considerações, as propriedades desejáveis de uma comunicação segura são: Confidencialidade: somente o remetente e o destinatário pretendido devem entender o conteúdo da mensagem transmitida. O fato de poderem capturar a informação exige que a mesma seja criptografada de alguma maneira para impedir que ela seja entendida por um interceptador; Autenticação do ponto final: o remetente e o destinatário precisam confirmar a identidade um do outro para verificar se a outra parte é realmente quem diz ser; Integridade: mesmo efetuada a conexão e concluído a troca de informações, é preciso assegurar que o conteúdo das informações não foi alterado; Segurança operacional: atualmente utiliza a Internet, as redes podem ser comprometidas por atacantes que ganham acesso por meio da Internet. Os atacantes podem colocar aplicações maliciosas nos computadores da rede, adquirir informações sigilosas, alterar configurações da rede, entre outros. Figura 2.1 Remetente, destinatário e intruso (Alice, Bob e Trudy) Fonte: Kurose, Ross, 2010, p. 494.

28 2.1 AMEAÇAS Segundo Tanenbaum (2003), a maior parte dos problemas de segurança da rede é causada intencionalmente por pessoas maliciosas que tentar ter algum benefício, atenção ou prejudicar alguém. As ameaças vão desde um estudante curioso que quer bisbilhotar o correio eletrônico de outras pessoas, um cracker que quer testar o sistema de segurança de uma empresa ou roubar dados, um funcionário que foi demitido e quer se vingar, até um terrorista que pretende roubar segredos de armas bacteriológicas. 2.2 VULNERABILIDADES De acordo com Maziero (2009), vulnerabilidade é um defeito ou problema presente na especificação, implementação, configuração ou operação de um software, que possa ser explorado para violar as propriedades de segurança do mesmo. Segundo Maziero (2009), a maioria das vulnerabilidades ocorre devido a erros de programação, como exemplo, não verificar a conformidade dos dados recebidos de um usuário ou da rede. Alguns exemplos se vulnerabilidades são: Um erro de programação no serviço de compartilhamento de arquivos, que permite que usuários não autorizados tenham acesso a arquivos além dos compartilhados; Uma conta de usuário sem senha ou com uma senha padrão definida pelo fabricante que permita usuários não autorizados a acessar o sistema; Ausência de cotas de disco, assim permitem que um usuário alocar todo o espaço do disco somente para si, assim impedindo os demais usuários de usar o sistema. 2.3 ATAQUES Segundo Maziero (2009), um ataque é um ato de utilizar ou explorar uma falha para violar uma propriedade de segurança do sistema.

29 De acordo com Pfleeeger e Pfleeger (2006), existem quatro tipos de ataques: Interrupção: interrompe o fluxo normal das informações ou acessos, onde afeta a disponibilidade do sistema; Interceptação: obtém acesso indevido ao fluxo de informações, sem necessariamente modificá-las, afeta a confidencialidade; Modificação: modificam de forma indevida as informações ou partes do sistema, afetando sua integridade; Fabricação: produz falsas informações ou introduz componentes maliciosos no sistema, é um ataque contra a autenticidade. Figura 2.2 Tipos básicos de ataques Fonte: Maziero, 2009, p. 10. Segundo Maziero (2009), existem dois tipos de ataques, os passivos, que visam coletar informações confidenciais, e os ataques ativos, que visam modificar o sistema para beneficiar o atacante ou prejudicar o uso pelos usuários válidos. De acordo com Maziero (2009), a maioria dos ataques a sistemas operacionais visam aumentar o poder de privilégios do atacante dentro do sistema, onde os ataques são feitos geralmente em programas do sistema com mais privilégios para receber os privilégios do administrador, ou também efetuam ataques de negação de serviço, chamados Denial of Service (DoS), que visam prejudicar a disponibilidade do sistema, impedindo que os usuários validos do sistema possam utilizá-lo.

30 2.4 MÉTODOS DE DEFESA Segundo Tanenbaum (2003), os problemas de segurança podem ser divididos nas seguintes áreas interligadas: sigilo, autenticação e controle de integridade. Como métodos de defesa, podem-se instalar firewalls, criptografar conexões inteiras e autenticação dos usuários. 2.5 CRIPTOGRAFIA Segundo Silva (2002), criptografia é o estudo de códigos e cifras, cujo nome vem do grego kryptos, que significa oculto, e graphen, que significa escrever. A palavra cifra vem do hebraico saphar, que significa dar números e por isso a maioria das cifragens são baseadas em técnicas de sistemas numéricos. Os espartanos foram os primeiros a utilizar um sistema de criptografia, com uso de um bastão e uma tira de pano enrolada no bastão onde essa mensagem estava escrita. A tira era desenrolada e enviada ao destino, que tinha outro bastão idêntico ao de origem, onde o receptor enrolava a tira no bastão que possuía e lia a mensagem. Se a tira ou o bastão fossem de tamanhos diferentes, a mensagem havia sido alterada e aparecia torta no destino. Chamamos de plaintext (texto plano) o texto original e ciphertext o texto criptografado. O segredo da criptografia não está no algoritmo para embaralhar as informações, e sim na chave de criptografia. Existem dois tipos de chaves: chave simétrica ou chave assimétrica. 2.5.1 Chave Simétrica Segundo Silva (2002), a chave simétrica é compartilhada pelos dois pontos, ou seja, somente o emitente e destinatário possuem esta chave. Com isso as duas partes podem se comunicar de um modo seguro.

31 Figura 2.3 Criptografia simétrica Fonte: Maziero, 2009, p. 16 De acordo com Silva (2002), a vantagem neste tipo de chave é sua velocidade superior em relação a chave assimétrica e a desvantagem é que este tipo de chave só pode ser usado uma para cada par de pessoas, assim dificulta a comunicação com segurança para um grande número de pessoas. Segundo Tanenbaum (2003), como algoritmos simétricos pode-se citar: Data Encryption Standart (DES) com chave de 56 bits; Triple Data Encryption Standart (3DES) com chave de 168 bits; Advanced Encryption Standart (AES) com chave de 128, 192 ou 256 bits; Blowfish com chave de 1 a 448 bits; Twofish com chave de 128 a 256 bits; e Serpent com chave de 128, a 256 bits. 2.5.2 Chave Assimétrica Chave assimétrica, mais conhecida como pública, segundo Silva (2002), é basicamente uma chave dividida em duas partes, na qual uma parte é privada e única para o usuário, não pode ser compartilhada, e a outra parte que fica em domínio público para qualquer pessoa que queira enviar dados criptografados para o usuário portador da chave privada.

32 Segundo Silva (2002), a chave privada utiliza um algoritmo da chave simétrica, como o DES ou 3-DES. O tamanho da chave assimétrica é muito maior que as chaves simétricas, em torno de 1024 bits. De acordo com Silva (2002), quando uma informação criptografada é enviada com uso de uma chave pública, o destinatário utiliza a chave privada para descriptografar a mensagem. Caso o usuário queira enviar uma mensagem criptografada, o usuário precisará usar a chave pública e o receptor utilizará a chave privada para descriptografá-la. Figura 2.4 Criptografia assimétrica Fonte: Maziero, 2009, p. 17 2.5.3 Função Hash Segundo Pereira (2009), hash nada mais é do que uma sequencia de dados que serve para facilitar buscas e comparações. Em termos mais técnicos, hash é uma sequencia de letras ou números gerados por um algoritmo, que transforma uma grande quantidade de dados em uma quantidade menor. A função hash gera uma cadeia de letras e números de tamanho fixo a partir de uma sequência de qualquer tamanho. Uma tabela de hashing ou tabela de dispersão é uma estrutura de dados que faz associação de valores a chaves, como um índice, o que torna as pesquisas mais

33 rápidas. Um algoritmo de dispersão é um método utilizado pela criptografia para codificar as informações e garantir a segurança e integridades delas, sendo assim para recuperar as informações em quais foi aplicado este algoritmo, é necessário conhecê-lo. De acordo com Pereira (2009), a sequência de hash busca identificar um arquivo ou informação de maneira única, hash é um método para transformar dados em resultados exclusivos, como exemplo, uma senha, uma chave criptografada ou mesmo um arquivo. Observa-se na figura 2.5 o exemplo de uma mensagem longa, que após passar pelo processo da função hash é convertido em uma mensagem de tamanho fixo. Figura 2.5 Exemplo de função hash Fonte: Kurose, Ross, 2010, p. 505 2.5.4 Assinatura Digital De acordo com Kurose e Ross (2010), a assinatura no mundo real, comprova que você realmente é você. Quando você assina um documento significa que você conhece o conteúdo do mesmo e/ou concorda com ele e no mundo digital, se quiser deixar claro quem é o dono do documento ou deixar claro que alguém concorda com ele, é feita a assinatura digital. Kurose e Ross (2010) enfoca que as assinaturas digitais devem ser verificáveis, ou seja, precisa-se saber quem foi o autor da assinatura e a mesma não

34 pode ser falsificada, assim como as assinaturas por escrito. Deve ser possível verificar que um documento assinado por um indivíduo foi na verdade assinado por ele e que somente este indivíduo poderia ter assinado o documento. Figura 2.6 Envio de e-mail com assinatura digital e função hash Fonte: Kurose, Ross, 2010, p. 509 Figura 2.7 Recebimento de e-mail com assinatura digital e função hash Fonte: Kurose, Ross, 2010, p. 510 Na figura 2.6 observa-se o exemplo de um envio de e-mail, onde uma mensagem longa é enviada ao destinatário e também passa pelo processo da

35 função hash para obter uma mensagem de tamanho fixo, e depois é aplicada a assinatura digital com a chave privada do remetente na mensagem curta para proteger o valor hash da mensagem. Na figura 2.7 observa-se o exemplo do recebimento de um e-mail, onde após recebida a mensagem, a mesma passa pelo processo da função hash para obter a mensagem menor de tamanho fixo desse e-mail e utilizado a chave publica do remetente para descriptografar a mensagem curta fixa original, podendo assim comparar ambas e verificar sua autenticidade. 2.5.5 Certificação Digital Segundo o ITI, certificado digital é um documento eletrônico assinado digitalmente que cumpre a função de associar uma pessoa a uma chave pública. Um certificado digital apresenta normalmente as seguintes informações: Nome da pessoa ou entidade a ser associada a chave publica; Período de validade do certificado; Chave pública; Nome e assinatura da entidade que assinou o certificado; Número de série. Um exemplo de uso dos certificados digitais é o serviço bancário disponível pela internet, onde os bancos possuem certificado para autenticação perante o cliente, assegurando que o acesso esta sendo realmente com o servidor do banco, e um exemplo com o cliente é, ao solicitar um serviço como verificar saldo da conta corrente, utiliza-se o certificado para se autenticar perante o banco. Segundo Maziero (2009), um cerificado digital é assinado digitalmente através de técnicas de criptografia assimétrica e função hash, onde o objetivo final é identificar as entidades através de suas chaves públicas. 2.6 Firewall Segundo Silva (2002), firewall ou parede de fogo, como traduz o nome, é um segurança que fica verificando a identidade de quem deseja entrar ou sair da rede,

36 negando acesso de quem não esta liberado, ele é baseado em uma política que alguém especificou. Segundo Tanenbaum (2003), a possibilidade de poder conectar qualquer computador em qualquer lugar a outro computador pela internet é muito bom para usuários domésticos, entretanto muito perigoso para muitas empresas que possuem grandes quantidade de informações confidenciais online, onde a descoberta dessas informações pelos concorrentes poderia trazer sérias consequências. Além do perigo destas informações saírem da empresa, sempre há o perigo também de vírus, trojans e outras pestes digitais que podem enganar a segurança e destruir dados. Em consequência disso, de acordo com Tanenbaum (2003), são necessários mecanismos de defesa para filtrar o que entra e sai da empresa online e uma opção para isso é a construção de um firewall. Segundo Torres (2009), firewall é um poderoso roteador que interliga duas redes onde em um dos lados temos a rede publica, que é classificada como insegura, e no outro lado a rede privada, ou segura, cujo objetivo é analisar os pacotes IP que passam por ele com origem e destino a uma das redes que ele quer proteger. O firewall consegue distinguir os protocolos usados e as portas de origem e destino do pacote, além disso, ele pode saber os endereços de IP da origem e destino também. Após isso, ele verifica suas regras que foram atribuídas, analisa se o pacote pode prosseguir ou não, se ele for aceito pelas regras, o firewall começa a agir como um roteador normal e repassa os pacotes, do contrario o firewall pode recusar o recebimento, onde ele envia uma mensagem dizendo que a conexão foi cortada para o remetente, ou apenas descarta o pacote e ignora qualquer comunicação, fazendo parecer que o pacote simplesmente se perdeu. Figura 2.8 Ligação simples de um firewall Fonte: Torres, 2001, p. 416

37 Este capítulo abordou os conceitos de segurança que são relevantes para o seguimento do trabalho, notificando as ameaças predominantes, os ataques mais comuns e mostrou também alguns mecanismos de defesas utilizados, como criptografias e firewalls. O entendimento destes conceitos é essencial para a segurança de uma VPN. No próximo capítulo será descrito os conceitos de uma VPN, relatando características e os protocolos utilizados, destacando o IPSec.

38 3 VPN Segundo Kurose e Ross (2010), atualmente instituições criam VPNs a partir da Internet pública existente porque a rede privada física tem um alto custo, já que a empresa precisa comprar, instalar e manter sua própria infraestrutura, e com a VPN todo tráfego é pela Internet pública, mas todo conteúdo antes de ser transferido pela internet pública é criptografado para sigilo e segurança. Segundo Guimarães, Lins e Oliveira (2006), um dos obstáculos a ser superado para um bom funcionamento de uma VPN esta relacionado a variedade de protocolos em operação nas redes coorporativas, além do protocolo IP, desta forma deve ser fornecido um mecanismo para que outros protocolos, além do IP, possam trafegar entre diversas redes. Ainda segundo Guimarães, Lins e Oliveira (2006), outro problema é que o protocolo de rede IPv4 não possui mecanismo de segurança próprio, tornando inseguro o tráfego de informações pela internet. De acordo com Tanenbaum (2003), um projeto comum é instalar em cada filial um firewall e criar túneis pela Internet entre a matriz e as filiais, esse processo de criação de túneis é chamado de tunneling (tunelamento). Figura 3.1 (a) Uma rede privada de linha dedicada (b) Uma rede privada virtual Fonte: Tanenbaum, 2003, p. 585 Segundo Tanenbaum (2003), quando o sistema de túneis é criado, os firewalls tem que ter os mesmos parâmetros, incluindo serviços, modos de algoritmo e as chaves, alguns roteadores podem fazer isso, porém como os firewalls já se destinam a segurança, o modo mais viável são os túneis começarem e terminarem no firewall.

39 3.1 Modos de Interconexão 3.1.1 VPN dial-up Segundo Guimarães, Lins e Oliveira (2006), VPN dial-up ou VPN de acesso remoto, faz sua conectividade para usuários através de linhas discadas, onde o maior benefício deste método é o acesso universal, acesso remoto e baixo custo. Este método também pode ser chamado de VPN host-rede. 3.1.2 VPN de Intranet Segundo Guimarães, Lins e Oliveira (2006), chamada também de VPN LANto-LAN, o modo de interconexão de VPN Intranet realiza sua conectividade entre as redes de uma organização, possibilita a interligação de filiais, matrizes e outras unidades organizacionais, através de uma infraestrutura não confiável, mostrando-se como uma alternativa a contratação de circuitos dedicados e outros links WAN. 3.1.3 VPN de Extranet De acordo Guimarães, Lins e Oliveira (2006), as VPNs Extranet proporcionam conectividade entre parceiros de negócios, clientes e fornecedores, como uma solução para colaboração, compartilhamento de aplicações e comércio eletrônico entre empresas diferentes. 3.2 Tunelamento Segundo Guimarães, Lins e Oliveira (2006), tunelamento é uma processo de guardar um pacote dentro do outro para facilitar de algum modo no transporte dos

40 dados dentro da rede, através do tunelamento os pacotes são encapsulados por pacotes IP, assim fornece um mecanismo onde outros protocolos, além do IP, possam ser transmitidos através de uma VPN. Na figura 3.2, de acordo com Guimarães, Lins e Oliveira (2006), pode-se observar um túnel criado pela VPN, os demais computadores da rede não possuem conhecimento que os pacotes são criptografados e enviados por uma rede pública, o tunelamento é totalmente invisível e não precisa de nenhum software ou configuração especial para os computadores de usuários da rede. Figura 3.2 Conexão VPN Servidor a Servidor Fonte: Silva, 2002, p. 23 Segundo Guimarães, Lins e Oliveira (2006), o processo de envio é feito primeiramente através de uma conexão entre o cliente e o servidor da rede, onde há uma autenticação, a informação é criptografada e encapsulada em pacotes IP, esses pacotes contém endereço de origem e destino, a medida que chegam ao destino, os pacotes são reconstituídos e decodificados para um formato legível. De acordo com Guimarães, Lins e Oliveira (2006), é importante saber que a criptografia, o encapsulamento e o tunelamento não tornam os dados enviados inacessíveis, eles podem ser coletados e analisados, portanto, se for utilizado um algoritmo de criptografia forte e corretamente implementado, os dados reais deverão estar seguros até chegar ao seu destino. 3.3 Protocolos para VPN De acordo com Guimarães, Lins e Oliveira (2006), há diversos protocolos disponíveis que oferecem segurança e privacidade na conexão para a construção de redes VPN, não existe um protocolo mais indicado para construção de uma VPN,