download

pacotes, em primeira instância, quanto o fornecimento de serviços através de servidoresProxy (aplicações com finalidades especiais, instaladas no bastion host, intermediando acomunicação entre os meios interno e externo, impedindo a direta troca de pacotes entreeles). Neste esquema, um roteador com filtragem de pacotes é colocado entre o bastion hoste a Internet. As regras de filtragem de pacotes só permitem que o tráfego externo tenhaacesso ao bastion host; o tráfego dirigido a qualquer outro computador da rede interna ébloqueado.Como os sistemas internos residem na mesma rede que o bastion host, a política desegurança determina se os sistemas internos terão acesso direto à Internet ou se deverãoutilizar os serviços de Proxy concentrados no bastion host, o que pode ser reforçado pelobloqueio de todo o tráfego de saída que não se origine no bastion host.As vantagens deste arranjo são:  Um servidor público (que forneça serviços Web ou FTP) pode ser colocado no mesmo segmento da rede situado entre o bastion host e o roteador, permitindo acesso direto de usuários externos sem comprometer a rede interna (protegida pelo bastion host).  O mesmo servidor pode situar-se após o bastion host e estar disponível apenas através de serviços Proxy, tanto para usuários internos quanto externos.Screened host Firewall (Single-homed bastion host) 151 Copyright © 2007, ESAB – Escola Superior Aberta do Brasil

Um arranjo ainda mais seguro, visto na seguir, pode ser construído com um bastion host queapresenta duas interfaces de rede: uma com a rede interna e outra com a Internet, passandopelo roteador. Neste arranjo, conhecido por dual-homed bastion host, não há mais nenhumapossibilidade de acesso direto entre os sistemas da rede interna e a Internet; todo o tráfego ébloqueado no bastion host e o uso dos serviços de proxy passa a ser compulsório mesmopara os usuários internos. Deve-se, entretanto, evitar que usuários externos tenham apossibilidade de efetuar um login diretamente ao bastion host, sob pena de comprometer asegurança obtida com este arranjo.Screened host Firewall (Dual-homed bastion host)Este arranjo emprega ainda um bastion host e um roteador para acesso à Internet, masadiciona um segundo roteador interno (na interface bastion host-rede interna), criando o quese convencionou chamar de \"zona desmilitarizada\", ou DMZ. Este arranjo é o que de maisseguro se pode conceber em termos de arquiteturas de Firewall, pois aplica conceitos desegurança desde a camada de rede até a de aplicação, além de restringir o acesso a tudo oque é público (bastion host, servidores públicos, modems, etc.) a uma área restrita, a zonadesmilitarizada. Esta funciona como se fosse uma pequena rede isolada, situada entre aCopyright © 2007, ESAB – Escola Superior Aberta do Brasil 152

Internet e a rede interna. O tráfego direto através desta é proibido e os sistemas, tanto osinternos quanto os externos, só têm acesso limitado à zona desmilitarizada.Para o tráfego externo, o roteador mais externo oferece proteção contra os ataques externosmais comuns, bem como gerencia o acesso da Internet à sub-rede DMZ. Somente o bastionhost (ou, às vezes, o servidor público, dependendo da rigidez da política de segurança deste)está disponível para acesso. Já o roteador interno provê uma segunda linha de defesa,gerenciando o acesso da sub-rede DMZ à rede interna, aceitando somente o tráfegooriginado no bastion host.Para o tráfego de saída, as regras são semelhantes. Os sistemas internos à rede privadasomente têm acesso ao bastion host, através do controle exercido pelo roteador interno. E asregras de filtragem do roteador externo exigem o uso de serviços Proxy para o acesso àInternet, ou seja, só permite o tráfego externo que se origina do bastion host.Este arranjo traz diversos benefícios importantes: três níveis de segurança (roteador externo,bastion host e roteador interno) separam a Internet do meio interno; somente a sub-redeDMZ é conhecida na Internet, de modo que não há meio de se conhecerem rotas de acessoà rede interna; da mesma forma, somente a sub-rede DMZ é conhecida para a rede interna enão existem rotas diretas para o acesso à Internet.Copyright © 2007, ESAB – Escola Superior Aberta do Brasil 153

U 20NIDADESISTEMAS DE DETECÇÃO DE INTRUSÃOObjetivo: Conhecer os Sistemas de Detecção de Intrusão, seus objetivos e características.8. IDS – SISTEMAS DE DETECÇÃO DE INTRUSÃO (INTRUSION DETECCTION SYSTEM) < p>Copyright © 2007, ESAB – Escola Superior Aberta do Brasil 154

É um conjunto de técnicas e métodos usados para detectar atividades suspeitas na rede e nohost. São divididos em duas técnicas de detecção: 1. Baseado em assinatura e sistemas de detecção de anomalias, em que intrusos tem assinaturas, como vírus de computadores, podem ser detectados usando-se software. Tenta-se achar pacotes de dados que contenham quaisquer assinaturas conhecidas relacionadas a intrusos ou anomalias relacionadas a protocolos de Internet. 2. Baseado em um conjunto de assinaturas e regras, o sistema de detecção pode achar atividades suspeitas e gerar alertas. Detecção de intrusos baseadas em anomalias geralmente dependem de anomalias nos pacotes presentes nos cabeçalhos dos pacotes, podendo produzir resultados melhores comparados aos IDS baseados em assinaturas. Geralmente, IDS capturam dados da rede e aplicam suas regras a esses dados ou detectam anomalias neles. Os sistemas de detecção de intrusão é um componente muito importante para detecção de ataques, portanto torna-se essencial para ambientes cooperativos. Uma vez que, aos termos este tipo de ambiente favorece entrada aos sistemas internos a terceiros. O IDS é importante, mas é preciso definir com cuidado sua localização para que sua funcionalidade seja realizada adequadamente.OS primeiros IDS’s surgiram no início dos anos 80. Um bom estudo foi conduzido porStanfort Research Institute, de julho de 1983 a 1986 – o Project 6169: Statistical TechniquesDevelopment for Audit Trail System.Copyright © 2007, ESAB – Escola Superior Aberta do Brasil 155

Onde monitorar?8.1. Objetivos e características de um IDSO Firewall é um componente de segurança que bloqueia ou não acessos entre redes,exercendo uma função de segurançanas bordas por sua principal tarefa serliberar ou não acessos. O IDS vemcomplementar os componentes desegurança, pois tem como principalobjetivo monitorar e acompanhar asatividades internas ao sistema ou rede.Em outras palavras, o IDS temfinalidade de verificar se os acessoliberados aos bolsões de segurança (extranet e redes desmilitarizadas que tem comocaracterística a interconexão de organizações) estão sendo realizados da forma esperada,ou estão sendo uma brecha de segurança. Deve monitorar não apenas estes bolsões, comotambém a própria Internet e sistemas internos, pois muitas pesquisas demonstram queataques internos são os maiores responsáveis por perdas financeiras.Copyright © 2007, ESAB – Escola Superior Aberta do Brasil 156

Desta forma, IDS é um detector de anomalias, atividades impróprias ou incorretas desistemas corporativos, através de verificação de portas e usuários que são permitidos arealizar acesso a informações. O Firewall nega o acesso e o IDS tem poder de verificar se oacesso é legitimo e de rastrear requisições que foram barradas pelo Firewall. Pode alarmaraos responsáveis dos problemas ocorridos e, dependendo do caso, reconhecer o problema.Principais características de um IDS, conforme a HAL 98, SAN 99-2 e BEC 99: 157  Monitoração e análise das atividades dos usuários e sistemas.  Avaliação de integridade de sistemas e dados.  Analise estatística do comportamento de sistemas e de padrões de ataque.  Detecção de erros de configuração de sistemas.  Fornecimento de informações em tempo real.  Resposta apropriada a cada ocorrência apontada com anomalia.  Identificação de origem e destino do ataque.  Capacidade de registro dos ataques para aprendizagem.  Flexibilidade de resposta. Copyright © 2007, ESAB – Escola Superior Aberta do Brasil

 Configuração apropriada para evitar \"falso-positivos\".Cada empresa adota uma política após a detecção de ataque.  Exemplos [GRA99][BE 99]:  Reconfiguração do Firewall.  Aviso SNMP para sistemas como Tívoli, Open View ou Spectrum.  Registro no Event Viewer.  Geração de log no Syslog.  Comunicação aos responsáveis por e-mail ou Pager.  Gravação das informações de ataque e evidências, para aprendizagem.  Execução de programas que manipulam eventos.8.2. Tipos de IDS  Sistemas baseados em estação ou Host-Based Intrusion Detection (HIDS).  Sistemas baseados em redes ou Network-Based Intrusion Detection (NIDS).  Hybrid IDS ou IDS híbrido.Copyright © 2007, ESAB – Escola Superior Aberta do Brasil 158

Existem, ainda, os honeypots, que apesar de não serem IDS, podem ser utilizados poradministradores de sistemas para aprender as formas de ataques, detectando earmazenando seus tipos.8.2.1. Sistemas baseados em estação ou Host Based intrusion detection (HIDS)Realiza o monitoramento através de arquivos de logs ou agentes de auditoria, podendomonitorar acessos e alterações em arquivos de sistemas, privilegio de usuários, processos,programas executados, uso de CPU, entre outras informações. Citamos como exemplo umsistema de coleta de dados que seria um sistema de registros (logs), responsáveis peloarmazenamento de ocorrências em aplicações que rodam na estação. As aplicações estãoconfiguradas para enviar seus registros para este sistema e ele é o encarregado dearmazená-los em uma série de arquivos. Um eventual sistema de análise usaria essa basede registros do sistema comparando-a com padrões pré-estabelecidos com o objetivo dedetectar intrusões.Copyright © 2007, ESAB – Escola Superior Aberta do Brasil 159

Arquitetura de um sistema de registrosO checksum é uma das formas de realização da checagem de integridade dos arquivos desistema. Isto é interessante para detecção de backdoors, por exemplo, pois em geral sãoferramentas cujo arquivo é corrompido. Um exemplo de IDS que realiza estas atividades é oTripwire.Para analisar logs, o IDS verifica com excelência os ataques de força bruta, ou seja, aquelescom maiores direcionamentos de máquinas para determinados serviços. Ataques maissofisticados são mais difíceis de serem identificados através do IDS. Um exemplo desoftware é o Swatch. Ele envia alerta quando é detectado um comportamento suspeito doserviço ou equipamento, ou seja, quando o mesmo apresentar um padrão diferente dodefinido como padrão.Para monitoração de portas, ou seja, verificação de tentativas de ataques e acesso a portasnão utilizadas pelo sistema, caracterizado por um servidor tentar se logar ou realizaratividade em diversas portas de um servidor. O Portsentry, Abacus Project faz este tipo deverificação. Através das informações fornecidas e com o auxílio de ferramentas como o TCPWrapper, pode-se alertar os administradores do sistema por meio de e-mail, Pager e atémesmo a interação com o Firewall na colocação de regras de filtragem. Porém,particularmente, não recomendo este procedimento. Faz-se necessário que alguma pessoaresponsável por a segurança verifique o caso e tome as medidas cabíveis. Se deixar porresponsabilidade do IDS, é perigoso fechar portas, serviços ou IP que não devem serfechados indisponibilizando os serviços da organização, maior objetivos dos hackers.Copyright © 2007, ESAB – Escola Superior Aberta do Brasil 160

Maiores vantagens do HIDS:  Verificação de tentativas de ataques, baseadas em logs, em tempo real.  Monitoração de acesso a arquivos, modificações em permissões de arquivos ou usuários, logs de usuários no sistema, funções de administrador.  Ataques centrados em servidor (keyboard attack) podem ser detectados facilmente – muitas requisições para o mesmo servidor.  Garantia de verificação de ataques, mesmo se forem trafegados dados criptografados, pois o sistema operacional os decifra antes da analise do HIDS.  É independente da topologia de redes, podendo estar associados entre hubs ou switches.  Em geral, fornece pouco \"falso-positivos\".  Não necessitam de hardware adicional, somente softwares.Desvantagens:  Difícil gerenciamento e configuração nos hosts monitorados.  É dependente do Sistema Operacional, já que cada um possui um sistema de log diferente.  Não e capaz de detectar ataques de rede, como scanning de rede ou smurf – somente de servidores isolados.  Caso o HIDS seja atacado, as informações são perdidas.  Necessita de grande disponibilidade de espaço em disco para os registros do sistema.  No Windows 98 não é muito eficiente, pois registra poucos logs do sistema e auditoria.  Os hosts monitorados apresentam queda de desempenho.Copyright © 2007, ESAB – Escola Superior Aberta do Brasil 161

Antes de dar continuidades aos seus estudos é fundamental que você acesse suaSALA DE AULA e faça a Atividade 2 no “link” ATIVIDADES.Copyright © 2007, ESAB – Escola Superior Aberta do Brasil 162

U 21NIDADENIDS E HIDSObjetivo: Conhecer os Sistemas baseados na Rede e Sistema de Detecção de Intrusãohíbrido.8.2.2. Sistemas baseados na Rede (SDIR) ou Network-Based Intrusion DetectionSystem (NIDS)Realiza o monitoramento através do tráfego do segmento de rede, atuando de formapromíscua. Sua análise é realizada a partir dos cabeçalhos e conteúdos dos pacotes,comparando com os padrões estabelecidos.Os sistemas baseados na rede ou Network-based Intrusion Detecction System funcionam daseguinte forma: os pacotes são capturados e é feita uma análise em cada um deles paraverificar se este está dentro de padrões pré-determinados ou não, indicando respectivamentetráfego normal ou uma tentativa de ataque. Em um meio compartilhado de difusão, ospacotes passam livremente e todas as interfaces a ele conectadas recebem estes pacotes.Dependendo do endereço de destino do nível de enlace do pacote, a interface o passa parao barramento interno da máquina para processamento posterior. Mas, a princípio, todas asinterfaces recebem todo o tráfego. Sendo assim, é necessário posicionar o SDIR na rede quese quer proteger para que ele possa receber os pacotes necessários para sua análise.Detecção de intrusão em uma rede local de difusão 163 Copyright © 2007, ESAB – Escola Superior Aberta do Brasil

Salienta-se que estações de trabalho conectadas à rede também podem receber pacotesdestinados a outras estações. Para que uma interface de rede consiga receber pacotes nãodestinados a ela, é necessária que ela trabalhe em um modo especial, chamado modopromíscuo.Existem basicamente dois modos de operação em uma interface de rede:  Normal: cada interface de rede verifica o endereço de destino do nível de enlace, também chamado endereço MAC (Medium Access Control), ou ainda endereço físico. O endereço do pacote é idêntico ao endereço da interface, o pacote é repassado para processamento interno.  Promíscuo: a verificação feita no modo anterior é completamente ignorada e todos os pacotes são repassados para processamento. Esse processo também é chamado de sniffing na rede e pode trazer problemas tanto para a estação de trabalho, que pode não suportar o processamento de todos os pacotes de uma rede local (seria necessário verificar o endereço de destino da camada de rede por software), quanto para a segurança da rede, que pode ficar comprometida devido à exposição de dados sigilosos, como autenticações.Os NDIS ou SDIRs precisam trabalhar em modo promíscuo para que mesmo os pacotes nãodestinados a ele possam ser analisados. Tendo todas as informações que trafegam pelarede, é possível ao sistema, por exemplo, detectar varreduras de portas, monitorar conexõesou datagramas maliciosos, que caracteriza um ataque antigo ao IIS (no pacote com destinoao servidor web) ou ainda verificar ataques de negação de serviço (através da falta deresposta de um servidor a uma requisição de um serviço).Em redes comutadas, cada máquina recebe o tráfego que corresponde somente a ela, ouseja, uma máquina A não receberia tráfego destinado a máquina B e vice-versa. Isso se deveao conhecimento da localidade física de onde está conectada cada estação pelo comutador,Copyright © 2007, ESAB – Escola Superior Aberta do Brasil 164

ou seja, em qual porta está qual máquina, e ao fato da análise do endereço de destino docabeçalho da camada de enlace.Para detectar intrusões em redes desse tipo, seria necessário algum tipo de artifício nocomutador com o objetivo de fazer com que todo o tráfego que passa por ele seja enviado,além da porta do destinatário, para a porta onde está conectado o SDIR. Esse artifício échamado de espelhamento de portas e tem objetivo de refletir o tráfego de outras portas parauma porta específica.O modo como ele é feito é mostrado na figura a seguir na estação A passa um quadro para aestação B e este é refletido na porta do SDIR.Detecção de intrusão baseado em espelhamento de portas no comutadorAo contrário do HIDS, é muito eficiente contra ataques de portscanning, IP spoofing e SYNflooding, detectando buffer overflow e ataques a um determinado servidor.Vantagens:  Por ser analisado pacotes, a monitoração e válida para diversas plataformas.  Ataques de port scanning, IP spoofing e SYN flooding são detectados.  Pode ser configurado para monitorar atividades suspeitas em portas conhecidas.  Identifica ataque em tempo real, permitindo ao administrador responder o mais breve possível ao evento.  Registra os ataques e tentativas.Copyright © 2007, ESAB – Escola Superior Aberta do Brasil 165

 É difícil para um hacker conseguir apagar os rastros num NIDS, caso o mesmo consiga invadir o equipamento. O hacker tem dificuldade de saber se existe ou não um NIDS. Não causa queda de performance na rede.Desvantagens:  Perda de pacotes quando a rede esta saturada.  Dificuldade de compreensão de alguns tipos de protocolos, como o SMB.  Não consegue decifrar pacotes criptografados.  Dificuldade de utilização em redes segmentadas por switches.  Para amenizar o problema da segmentação de redes com switches, tendência natural das redes modernas, os administradores de redes vêm utilizando técnicas como: o Utilizações de IDS incorporadas ao switch, porém é limitada sua capacidade de detecção e poder de processamento. o Utilização de porta para monitoração nos switches, porém recebe uma velocidade menor que causa perda de pacotes monitorados. o Utilização de HIDS e NIDS em conjunto.Existem algumas técnicas utilizadas por hackers para não serem monitorados pelo NIDS.  Envio de pacotes fragmentados devido a alguns NIDS não serem capazes de tratar.  Ataques a portas não convencionais, como do DNS (53), para envio de backdoors.Copyright © 2007, ESAB – Escola Superior Aberta do Brasil 166

 Slow Scan – Ataque de forma pausada para que o IDS não perceba o ataque. Para evitar este tipo de atitude com sucesso, é preciso configurar o IDS apropriadamente. Ataques por diferentes origens ou coordenados, ficando mais difícil a caracterização de ataque. Através do IP spoofing ou proxy mal configurado, o hacker pode executar o ataque e não ser identificado. Mudança nos padrões do IDS, para que o ataque não seja reconhecido. Para manter o NIDS é preciso algumas precações, pois é grande o volume de informações que são armazenadas no sistema. Quanto maior o armazenamento das conexões TCP, maior a probabilidade de detecção de ataques. Para isto, é preciso mais memória nos equipamentos. Para solucionar o problema da fragmentação, é preciso que seja utilizada a memória para montagem deste tipo de pacote. Para o caso scanning, slow scan, o IDS deve armazenar o máximo de tempo possível às informações.A maioria das organizações utiliza um sensor ou agente de segmento para monitoração, quecaptura os pacotes e os tratam antes de enviar a console, utilizando criptografia,principalmente o algoritmo assimétrico RSA para formação de um canal seguro.8.2.3. HIDS – Hybrid Intrusion Detection SystemO IDS híbrido tem como objetivo agregar as vantagens do NIDS e HIDS, de forma a melhorara detecção de tentativas de ataques e intrusões. A medida que os HDIS atuam somente emestações críticas, o NDIS atua analisando todo o tráfego de rede, inclusive aquele paraCopyright © 2007, ESAB – Escola Superior Aberta do Brasil 167

estações que não contem um sistema de detecção rodando. Uma configuração bastantecomum seria a de um SDIR para a rede local e SDIEs rodando nos servidores principais. Detecção de intrusão híbridaO IDS híbrido, como o NIDS, captura o tráfego da rede, processa, detecta e responde aataques. Porém, a estratégia que ele utiliza é diferente: existe o processamento a partir dospacotes do próprio sistema, como o HIDS, eliminando o problema do desemepnho. Porém,existe o problema da escalabilidade. É necessário instalar em cada estação para que sejaefetuada a monitoração.HIDS x NIDS (http://web.tagus.ist.utl.pt/~carlos.ribeiro/slides/3-3-42-Firewalls.pdf)Copyright © 2007, ESAB – Escola Superior Aberta do Brasil 168

Breves considerações sobre a Criminalidade Informática e a Legislação Penal no Brasilhttp://revista.grupointegrado.br/revista/index.php/discursojuridico/article/viewFile/163/60Copyright © 2007, ESAB – Escola Superior Aberta do Brasil 169

U 22NIDADEHONEYPOT E METODOLOGIAObjetivo: Conhecer configurações de proteção contra Intrusos.8.3. HoneypotÉ uma forma de aprender a partir de intrusões e ataques. Os sistemas de detecçãoaprendem a partir das ocorrências e padrões definidos, mas o honeypot é uma experiênciaao vivo e a cores de um ataque. É também conhecido por sacrificial lamb, decoy, booby trap,lures ou fly-traps.Copyright © 2007, ESAB – Escola Superior Aberta do Brasil 170

O honeypot é uma armadilha onde existem em um ou mais equipamentos que estão, em geral, em uma rede separada que aparentemente contém informações importantes da empresa para que os hackers os acessem. Um estudo detalhado das técnicas utilizadas e do ataque está em estudo, podendo estar associado a um sniffer, para identificar os hackers – nem sempre utilizado devido à dimensão da coleta, e o IDS – para aprender a partir das técnicas empregadas no ataque. É recomendado que o honeypot esteja em uma rede em paralelo por questões de segurança, pois é mais fácil chegar emmáquinas com aplicações normais se estiverem na mesma rede, pois a partir da máquina apessoa consegue ter maior visibilidade. Independente da solução a ser adotada no caso, épreciso preservar a rede de ataques a partir do honeypot.Como curiosidade, na Internet existe um projeto com oito honeypots que forneceminformações sobre tentativas de ataques, a título de aprendizagem. É o HoneynetProject.Existem diversas plataformas (Windows, Solaris, Linux) e as estatísticas das tentativas sãocompartilhadas, gratuitamente, na Internet.Vantagens: Como Honeypot é isolado, o fluxo de informações para análise é pequeno comparado com a uma rede de produção. Firewall e IDS não são sobrecarregados com grande tráfego. Exige poucos recursos. 171 Copyright © 2007, ESAB – Escola Superior Aberta do Brasil

Desvantagens:  Visão limitada de tráfego.  Risco de ser invadido e utilizado para prejudicar outros sistemas.Localização de Honeypot8.4. MetodologiaExistem dois tipos de abordagem que os IDS utilizam para detecção de intrusão ou ataque. Knowledge-Based Intrusion Detection. Behavior-Based Intrusion Detection.8.4.1. Knowledge-Based Intrusion DetectionEste tipo de detecção de ataque atua como um antivírus, utilizando um conjunto deassinatura conhecido e armazenado em uma base de dados. As assinaturas são tipos deconexões e tráfegos que indicam um ataque, tendo uma taxa de acertos boa. Porém, nãosão reconhecidas como ataque as assinaturas que não estiverem na base de conhecimento.Copyright © 2007, ESAB – Escola Superior Aberta do Brasil 172

Para adotar este tipo de IDS e o mesmo atuar de forma eficaz, é preciso manter atualizaçãoconstante na base.A atualização da base depende do sistema operacional, versão, plataforma e aplicaçõesutilizadas na rede, que a partir das vulnerabilidades dispõe de assinatura para identificação.O alarme disparado no caso de identificação de ataque, no Knowledge-Based IntrusionDetection é chamado do burlar alarm. Seu funcionamento é semelhante a um alarmeresidencial, disparando conforme eventos e momentos definidos e da forma que oadministrador da rede configurar, ou seja, adequado a Política de Segurança da organização.Vantagens:  Apresenta poucos “falso-positivos”, o que aumenta a credibilidade do componente e diminui o tempo de verificação dos administradores, lembrando que muitos alarmes falsos, dependendo da rede, inviabilizam o trabalho.  Os administradores podem criar sua própria assinatura para refinar os “falsos- positivos”, fazendo scripts para atingir este objetivo.Desvantagens:  Não consegue detectar ataques que não estão armazenados no banco de dados sua assinatura – semelhante aos antivírus.Copyright © 2007, ESAB – Escola Superior Aberta do Brasil 173

 Caso algum hacker coloque espaços em branco em partes da assinatura, ele não reconhece o ataque, já que o processo dele está associado à identicidade da base de dados.  Necessidade de alta disponibilidade de recursos computacionais, especialmente em ataque distribuído coordenado, já que muitas vezes existem grandes volumes de pacotes a serem avaliados e pela detecção ser em tempo real. Exigiria menos recurso se fossem avaliados os logs ou pacotes de rede, porém o ataque não seria detectado em tempo real.Existem assinaturas que detectam falhas de conexões TCP em diversas portas, identificandoassim scanning na rede. Este tipo de assinatura é dividido em três:  String: realiza uma avaliação se é possível ser um ataque. Normalmente, é necessário realizar algum tipo de procedimento com a string a fim de refiná-la ou utilizar assinatura composta (mais do que uma assinatura) para identificar o ataque. No Unix ou Linux é comum utilizar o \"cat \" ++ \">;.rhosts\", para refinar pesquisa e utilizar assinaturas compostas, como cgi-bin, IFS e aglimpse para detectar intrusão, sem gerar muitas falsos positivos.  Portas: verifica as tentativas de conexão na porta.  Cabeçalho: rastreia por combinações sem lógica ou perigosa nos cabeçalhos dos pacotes. Como exemplo temos a identificação de pacotes com SYN e FIN, significando que o cliente deseja iniciar e finalizar uma conexão ao mesmo tempo, o que normalmente não acontece, demonstrando claro indicio de ataque.Copyright © 2007, ESAB – Escola Superior Aberta do Brasil 174

U 23NIDADEIDS E PADRONIZAÇÃOObjetivo: Conhecer os métodos, localização e padronização de IDS.8.4.2. Behavior-Based Intrusion DetectionEste tipo de detecção é baseado através de desvios normais de comportamento dosusuários ou sistemas. Existe uma classificação do modelo da normalidade por osadministradores, que devem estudar e conhecer a normalidade para que o ataque sejadetectado, comparando constantemente com a situação andamento.A decisão de ser umataque é realizada deforma estatística ouheurística, apontando comportamentosdiferentes quanto aotráfego, utilização de CPU,atividade de disco, logonde usuários e horários,acesso a determinadodisco, entre outros.Copyright © 2007, ESAB – Escola Superior Aberta do Brasil 175

Principais vantagens:  Mesmo que não esteja definida uma assinatura, o IDS irá identificar o ataque por a mudança de comportamento, detectando a intrusão até mesmo de novos tipos de ataques.  Este IDS é independente de plataforma ou sistema operacional.Principais aspectos negativos:  Geração de “falsos-negativos” (ataque que não causa mudança significativa na medição do tráfego), ou seja, é um ataque e não é alarmado.  Grande número de “falsos-positivos” (alterações perceptivas que não são ataques), podendo ser bug no sistema de monitoramento ou erro na analise de medição.  Existem projetos de inteligência artificial para sanar estes tipos de problemas, com redes neurais e lógicas fuzzy.8.5. A padronização dos IDSA padronização dos IDS’s ainda está em andamento e tem como finalidade a criação deformatos e procedimentos para compartilhamento de informações entre sistemas. Estetrabalho vem sendo realizado por a IETF (Internet Engineering Task Force). O nome doprojeto é Intrusion Detection Exchange Format (IDWG) [IET 01].Principais objetivos:  Definição de formatos de dados e procedimentos para troca de resposta.Copyright © 2007, ESAB – Escola Superior Aberta do Brasil 176

 Definição de formatos de dados e procedimentos para compartilhamento de informações  Definição de métodos de gerenciamento dos sistemas que necessitarem interagir com outros.  Depois da criação do projeto, é esperado que seja definida uma forma única (linguagem comum a todos os IDS’s) de formatos de dados e procedimentos, para comunicação entre IDS e exigências que os equipamentos devem se preocupar, tanto para gerenciamento quanto para troca de informações. Outro resultado esperado é a obtenção de um melhor protocolo para comunicação entre IDS’s.Existem alguns documentos que já foram criados:  Intrusion Detection Exchange Protocol (IDXP).  Utilização de XML para troca de mensagens de intrusão.  Túnel que passa entre o Firewall, utilizando o gerenciamento do IDS.8.6. Onde deve estar localizado o IDS na redeNa realidade, o IDS pode ser colocado em qualquer lugar dentro da rede, mas cada lugarpossui um tipo de proteção específico.Copyright © 2007, ESAB – Escola Superior Aberta do Brasil 177

Localização de IDSSe utilizarmos um IDS na entrada dos acessos da Internet na rede corporativa, estaremosdetectando possíveis ataques e intrusões contra toda a rede da organização, até mesmoaqueles que não teriam nenhum efeito contra servidores protegidos. Este tipo de IDS é bemutilizado, pois fornece uma rica fonte dos tipos de tentativas de intrusão, auxiliando atemesmo os administradores a reconhecerem assinaturas e atualizarem as bases dos HIDS.Se utilizarmos um IDS próximo de um Firewall, principalmente os que possuem o core-business, outro tipo comum de localização, conseguimos identificar ataques contra oFirewall, e como já foi explicado, pode ser configurado para que regras sejam aplicadasbloqueando o acesso.Outro ponto também importante é próximo a DMZ, que identifica o tráfego de empresascoligadas que podem estar sendo usadas como ponte para alcançar a organização, ou atémesmo elas próprias. O mesmo se aplica a VPN.Com a chegada dos bolsões de segurança e o acesso a recurso interno cada vez maior, éinteressante colocar IDS dentro do ambiente cooperativo também. Porém, não é uma práticamuito comum nas empresas devido ao custo.Copyright © 2007, ESAB – Escola Superior Aberta do Brasil 178

U 24NIDADEVPN E CARACTERÍSTICASObjetivo: Conhecer o universo de estudo, Conceituação de Segurança e Ameças.9. REDE PRIVADA VIRTUAL OU VPNVirtual Private Network é uma rede de comunicações privada normalmente utilizada por umaempresa ou um conjunto de empresas e/ou instituições, construída em cima de uma rede decomunicações pública (como a Internet). O tráfego de dados é levado pela rede públicautilizando protocolos padrão, não necessariamente seguros.9.1. O que é VPN?Uma rede privada nada mais é do que computadores interligados, por hubs ou switchs,compartilhando informações ao grupo que formam. Observamos que esta solução vemresolver problemas de redes com equipamentos no mesmo local, com o mínimo desegurança.Conexão VPN entre duas redes interligadas (http://www.clubedasredes.eti.br) 179 Copyright © 2007, ESAB – Escola Superior Aberta do Brasil

Quanto maior a rede privada maior seu custo, pois precisaremos utilizar fibra ótica, porexemplo, para conseguirmos conexão. Esta é solução para diversas empresas que sãograndes e possuem uma infra-estrutura que suporta este tipo de medidas, como bancos.Vivemos num mundo globalizado, onde muitas empresas são virtuais ou pequenas erepresentadas em diversas partes do mundo. Como estas empresas devem se comunicar éa constante preocupação, pois soluções como fibra ótica, possuem um alto custo que nãocorresponde à realidade das mesmas.A rede pública que temos é a Internet, onde tudo é compartilhado e existe conexão entrediversos equipamentos, pessoas e serviços do mundo. Porém, não existem regras depropriedade e segurança, muito menos administradores dos computadores interconectados.Pensando na rede pública e privada trabalhando juntas, surgiu o VPN, um estudo onde o quese quer é ter uma rede privada de segurança dentro da rede pública, a fim de minimizarcustos, porém com a segurança de uma rede privada.Esta solução vem sendo cada vez mais empregada devido à expansão das intranets, ondenão é necessário adquirir novos produtos para manipular suas informações, somente obrowser. Os funcionários possuem uma visão da organização que lhe é necessária atravésdos sistemas, com suas permissões, centralizando as informações em servidores, quedistribuem as informações, banco de dados e arquivos.Para associar todas estas vantagens on-line, em qualquer lugar, surgem mais uma vez anecessidade de tomada de decisões, sem estar necessariamente dentro da organização.Como fazer com que o acesso a intranet seja feito via rede pública e de forma confiável? AVPN vem a ser uma solução, mais simples e barata, de alcançar este objetivo.9.2. A proteção da VPNA segurança depende do valor do que se quer proteger. Quando falamos de bens materiais,tomamos por base os preços de mercado. Porém, quando o assunto é informação digital, éCopyright © 2007, ESAB – Escola Superior Aberta do Brasil 180

preciso que os responsáveis pelo dado consigam mensurar, tanto em quantidade quanto emqualidade, quais são as informações que mais precisam ser protegidas. Esta análise ébaseada em quanto à organização pode perder em caso de roubo da informação.É preciso saber visualizar as informações da empresa de forma macro, ter percepção, paraidentificar o nível de segurança apropriado, pois se sermos extremistas, podemos vernecessidade de colocar autenticação por retina em salas de servidores. Esta é uma atitudecerta do ponto de vista da segurança, porém, em termos econômicos, não é decisão viávelem muitos casos.O ideal na formação de VPN corporativa é conseguir analisar as necessidades daorganização como um todo, e subdividi-las conforme os grupos que necessitam do mesmotipo de informação, ou seja, é recomendado fazer uma divisão em subgrupos dentro da redecorporativa.A partir do momento que temos esta divisão, é preciso identificar quais grupos terão um nívelde segurança maior, de acordo com o tipo de informação manipulada e os prejuízos quepodem ocorrer em caso de perda da confidencialidade.Considerando que a informação será trafegada pela Internet, sendo fragmentada em pacotesvisíveis pela rede, o túnel VPN possui algumas premissas que visam fazer com que asinformações transmitidas tenham segurança, como se estivesse em rede privada.  Privacidade.  Integridade.  Autenticidade.  Não-repúdio.  Facilidade.Copyright © 2007, ESAB – Escola Superior Aberta do Brasil 181

9.2.1. PrivacidadeDeve garantir que somente as informações ao grupo de VPN do usuário estejam disponíveispara o acesso dele, como se estivesse numa rede corporativa. Outro ponto importante, é queapesar de utilizar a Internet como conexão, qualquer pessoa que consiga capturar asinformações não consiga identificá-las. Para resolver este problema, é preciso utilizartécnicas de criptografia algoritmos matemáticos que visam dificultar o entendimento dospacotes e para conseguir decifrá-los seria necessário muito tempo e esforço para descobrir oalgoritmo reverso.9.2.2. IntegridadeA mensagem enviada deve ser idêntica à mensagem recebida. A integridade de dados éobtida através da função hash. Se for utilizada a função hash no documento ou mensagemantes de trafegar via Web e durante sua transmissão não ter nenhuma tentativa de alterar osCopyright © 2007, ESAB – Escola Superior Aberta do Brasil 182

dados, a mesma função hash conseguirá abrir a mensagem no destino. Caso contrário, oresultado será diferente e o destino saberá que houve alguma interrupção no caminho.9.2.3. AutenticidadeÉ necessário ter certeza que as informações enviadas foram entregues ao destinatário. Estagarantia é dada pelo uso da Infra-estrutura de Chave Pública, na forma da assinatura digital.Calcula-se o hash da mensagem cifrando-o com a chave privada da origem. É a chamadaassinatura digital que é adicionada ao final da mensagem. Quando o destinatário recebe amensagem, usa a chave pública da origem para decifrar a assinatura digital. A partir destemomento, descobre-se o hash, que permite descobrir se houve ou não alteração namensagem.A chave privada é de uso exclusivo do autor, garantindo que não há como outra pessoautilizá-la, fazendo com que a premissa da autenticidade seja validada. A assinatura digitalpossui valor legal, na legislação brasileira.9.2.4. Não-repúdioO não-repúdio está na afirmação que determinado usuário realizou determinada tarefa e nãopode ser negado posteriormente, devido a registros. A assinatura digital consegue garantir onão-repúdio juntamente com a autenticidade.9.2.5. FacilidadeÉ a premissa que possui menos aspectos técnicos e maior entendimento entre oscomponentes da empresa. É preciso que todos os envolvidos estejam conscientes da políticade segurança e consigam acessar as informações de forma simples, independente do nívelde conhecimento do usuário. Quanto mais fácil o ambiente, maior a aderência dos usuários.Copyright © 2007, ESAB – Escola Superior Aberta do Brasil 183

Algoritmo Criptográfico Posicionalhttp://revista.pcs.usp.br/n2/r002a004.pdfCopyright © 2007, ESAB – Escola Superior Aberta do Brasil 184

U 25NIDADEFUNDAMENTOS E APROFUNDAMENTO SOBRE VPNObjetivo: Conhecer as implicaçoes, características e protocolos de segurança.9.3. Implicações da VPN em termos de segurançaOs conceitos acima se referem a uma tecnologia perfeita ou pelo menos, ideal. Na realidade,nem sempre temos disponível a assinatura digital em redes VPN. Através da VPN,informações são trafegadas na Web, sofrendo grandes riscos de perderem suaconfidencialidade.Pessoas não autorizadas podem bisbilhotar o conteúdo de mensagensCaso a VPN não estiver utilizando uma arquitetura de criptografia, como a PKI, sãonecessários alguns cuidados adicionais com ataques e dados recebidos da Internet. ComoCopyright © 2007, ESAB – Escola Superior Aberta do Brasil 185

exemplo de ataque, citamos o packet sniffing, onde qualquer indivíduo consegue capturar osdados trafegados, destruindo a confidencialidade, caso não esteja devidamente protegido.Ataque contra conexões TCP é outro tipo de problema que a integridade pode sercomprometida, Existe ainda o IP Spoofing, no caso de um usuário passar por outro,causando problemas de autenticação e autorização.9.4. Fundamentos da VPN e criptografiaA VPN é fundamentada na criptografia para que possa garantir a autenticidade,confidencialidade, integridade e não-repúdio das conexões. Por estar na camada três domodelo OSI, a criptografia é independente da rede ou aplicação. Outro fundamento da VPN éo tunelamento. Ele permite a comunicação entre diversos protocolos, através da criação deum túnel virtual entre a origem e destino da conexão.Cabeçalho IP mais os cabeçalhos de extensão (www.redes.unb.br) 186 Copyright © 2007, ESAB – Escola Superior Aberta do Brasil

Os túneis VPN podem ser criados tanto na rede corporativa, quanto na estação do própriousuário, procedimento comum em acesso remoto.Para usuários dentro da rede corporativa, a VPN é como se a rede externa fosse interna, deforma transparente, chamado gateway-to-gateway. Para caso de usuários isolados, énecessário que seja iniciado o processo de conexão ao túnel, a partir do próprioequipamento, não sendo tão transparente quanto na rede corporativa, chamado client-to-gateway, pois é realizado através de um software no cliente. Criptografia na camada de enlace, na de rede e na aplicação (www.gta.ufrj.br)9.5. Acesso remoto e VPNSalienta-se a importância do acesso remoto para as organizações atualmente. Porém, se asinformações das empresas perderem sua confidencialidade, este recurso torna-sedesnecessário e sua necessidade torna-se questionada.Copyright © 2007, ESAB – Escola Superior Aberta do Brasil 187

Exemplo de ambiente para proteger o acesso remoto (http://www.microsoft.com/brasil/security/guidance)Algumas situações que devem ser revisadas quando disponibilizamos este tipo de serviço:  A segurança de conexões tem como base o protocolo IPSec, que tem demonstrado segurança em VPN, sendo que a integridade, autenticação e confidencialidade são negociadas por ele. Entretanto, é necessário saber implementá-lo, caso contrário, pode-se comprometer a segurança, principalmente quanto a algoritmos criptográficos.  Os arquivos do certificado digital e chave assimétrica, bem como parâmetros para a geração do túnel, são armazenados em um arquivo que deve ser importado pelo cliente, causando um incidente em caso de roubo do equipamento ou captura do arquivo, caso um hacker o obtenha. Neste caso, o hacker necessitaria também da chave de importação do arquivo. Daí, a importância da implantação e exigência destes dois fatores na conexão VPN.Copyright © 2007, ESAB – Escola Superior Aberta do Brasil 188

 Inclusão na política de segurança da necessidade de cuidado ao envio de notebooks para assistência técnica, onde alguém pode copiar os dados e informações necessárias a VPN, ou empréstimo destes equipamentos.É recomendável inserir senhas de acesso a VPN no cliente e estudar a melhor forma dearmazená-la bem como será criptografada para envio ao servidor.9.6. Protocolos de tunelamentoO tunelamento é um pilar da VPN, e pode ser realizadas nas camadas dois e três do modeloOSI, com vantagens e desvantagens.Esquema de um túnel VPN (www.abusar.org)Como exemplo de protocolos na camada dois, temos: Point-to-Point Tunneling Protocol(PPTP), Layer 2 Forwarding (L2F), Layer 2 Tunneling Protocol (L2TP), entre outros. Nacamada três temos o IP Security (IPSec) ou Mobile IP.Vantagens dos protocolos na camada dois:  Simplicidade.  Compressão e codificação completa.Copyright © 2007, ESAB – Escola Superior Aberta do Brasil 189

 Inicialização bidirecional de túnel.Vantagens dos protocolos da camada três:  Estabilidade.  Segurança.  Confiabilidade.O tunelamento nível dois (ou seja, aquele que utiliza protocolo na camada dois) é maisindicado para redes de acesso discado ou acessos que associam tráfego à utilização.Desvantagens:  Padronização em desenvolvimento.  Baixa preocupação com escalabilidade.  Segurança.  Confiabilidade.Copyright © 2007, ESAB – Escola Superior Aberta do Brasil 190

PPTP x L2TP (www.abusar.org)Desvantagens do tunelamento de nível três:  Poucos fabricantes (apesar de muitos fabricantes estarem implementando o IPSec).  Maior complexidade no desenvolvimento.Apesar disto, vem se tornando o padrão mais aceito em redes VPN.9.7. Controle de Tráfego e GerenciamentoO controle de tráfego para uma VPN é essencial para garantir a qualidade do serviçodisponibilizado. É obtido através do gerenciamento de banda, que determina a dimensão daCopyright © 2007, ESAB – Escola Superior Aberta do Brasil 191

banda que cada protocolo pode utilizar (IP Sec, FTP, http, entre outros), para que a VPNtenha um bom desempenho e não gaste seus recursos somente em um tipo de protocolo.Tem como finalidade, integrar a política de segurança da organização (de forma centralizadalocal ou remota), aumentando a escalabilidade da solução. Existem softwares no mercadoque oferecem serviços de monitoramento, detecção e solução de problemas.Existem provedores de VPN que a partir de ferramentas contabilizam o acesso e o valor aser pago pela organização. Em caso de seguir o caminho de contratação deste serviço, épreciso estar ciente dos fatores a seguir:  Área de cobertura.  Acesso.  Desempenho.  Segurança.  Gerenciamento.  Largura de banda.  Garantia de qualidade de serviços.Copyright © 2007, ESAB – Escola Superior Aberta do Brasil 192

U 26NIDADECRIPTOGRAFIAObjetivo: Conhecer os fundamentos, funcionamento e caracterisiticas da criptografia.10. CRIPTOGRAFIAExtraída de http://www-asc.di.fct.unl.pt/sd1/aulas-teoricas-0506/materiais/cap4-0506-6pp.pdfPalavra de origem grega e significa a arte de escrever em códigos de forma a esconder ainformação na forma de um texto incompreensível. A informação codificada é chamada detexto cifrado. O processo de codificação ou ocultação é chamado de cifragem, e o processoinverso, ou seja, obter a informação original a partir do texto cifrado chama-se decifragem.Ambos são realizados por programas de computador chamados de cifradores e decifradores,e além de receber a informação a ser cifrada ou decifrada, recebe um número chave que éutilizado para definir como o programa irá se comportar. Os cifradores e decifradores secomportam de forma diferente para cada valor da chave. Sem o conhecimento da chavecorreta não é possível decifrar um dado texto cifrado. Assim, para manter uma informaçãosecreta, basta cifrar a informação e manter em sigilo a chave.Copyright © 2007, ESAB – Escola Superior Aberta do Brasil 193

10.1. O que é criptografia?A criptografia vem para garantir a privacidade no mundo virtual. De acordo com diversosestudos, é complicado impedir todas as formas que pessoas consigam capturar pacotes quetrafegam pela rede. Já que é muito difícil garantir via infra-estrutura, a criptografia vem comouma forma de garantir a privacidade das informações, embaralhando-a de forma eficiente,através de algoritmos específicos para esta finalidade.(http://www.di.ufpe.br/~flash/ais98/cripto/Image3.gif) 194 Copyright © 2007, ESAB – Escola Superior Aberta do Brasil

A importância da criptografia vem crescimento gradativamente dentro das organizações,garantindo a confidencialidade, integridade, autenticação, certificação e não-repúdio. Estascaracterísticas estão presentes em protocolos com Secure Shell (SSH) e IP Security (IPSec),sendo um ponto importante dentro de Rede Privada Virtual (VPN – Virtual Private Network)ou Infra-Estrutura de Chave Publica (PKI – Public Key Infrastructure).Criptografia significa estudo de códigos e cifras. Sua origem é do grego kryptos significaoculto e graphen significa escrever. A palavra saphar significa dar números, motivo que amaioria das criptografias estão associadas a algoritmos matemáticos. A criptografia não émoderna, como muitos pensam.Em V a.C., os espartanos já utilizam a criptografia no exército. Eles cifravam e ocultavam asmensagens usando um bastão de madeira. A mensagem era escrita num papel ou pano eera enrolada no formato do bastão. O destinatário recebia a mensagem e caso não seencaixasse dentro do bastão que tinha, idêntico ao que foi utilizado para enrolar amensagem, era porque alguém leu a mensagem e tentou adulterá-la.A criptografia por substituição foi inventada pelo imperador Julio César, a mais ou menos,2000 anos atrás. Ele enviava mensagens trocando as letras do alfabeto por três letrassubseqüentes (A -> D, B -> E, e assim sucessivamente).O segredo da criptografia está em como as partes saberão criptografar e descriptografar amensagem, ou seja, nas chaves e não no algoritmo empregado. Os melhores sistemascriptográficos são os de domínio públicos, pois diversos cientistas os analisam e validamquanto a falhas ou vulnerabilidades.Quando falamos em criptografia, temos dois tipos diferentes de chaves: chaves simétricas,(secretas), e as chaves assimétricas (públicas).Copyright © 2007, ESAB – Escola Superior Aberta do Brasil 195

10.2. Tipos de ChavesCriptografia Simétrica Criptografia AssimétricaNo universo de sistemas criptográficos, um método é seguro se atender a dois quesitos:  O algoritmo deve ser conhecido e testado laboriosamente pelos cientistas, aumentando assim, sua estabilidade quanto a falhas de segurança.  A chave deve ser um segredo difícil de descobrir, mesmo com tentativas exaustivas de processamento.A seguir constam os principais tipos de chaves (pública e privada) e como elas atuam paraalcançar este objetivo.10.2.1. Chaves Simétricas ou SecretasA chave simétrica surgiu em 1972 pela IBM e depois foi revista em 1977, pelo NacionalInstitute of Standards (NIST), Federal Information Processing Standards (FIPS-46-1) eAmerican Nation Standards Institute (ANSI X9.32), com o nome de Data Encryption Standardou DES. O padrão criado utiliza uma chave com 64 bits, sendo 56 para chave e 8 deparidade. Para a época foi um grande avanço, pois se acreditava que somente em 228milhões de anos (com testes a cada 100ms) o algoritmo poderia descobrir a chave. Copyright © 2007, ESAB – Escola Superior Aberta do Brasil 196

Uma curiosidade quanto aos 56 bits de tamanho da chave simétrica é que esta foi umaimposição de restrição do governo americano. O uso de chaves maiores só é permitido parafins militares. Entretanto, os cientistas anunciaram a quebra da DES por volta de 1997,fazendo com que os que utilizam esta chave tenham receio.Foram implementadas algumas variantes da DES, por exemplo, a 3DES, que nada mais é doque o uso de três chaves DES que embaralhadas formam a mensagem. Até agora a 3DESvem sendo mais utilizada e não foi quebrada, pelo menos por enquanto.A característica das chaves simétricas é que a chave é conhecida na origem e destino,sendo a mesma. O grande problema é conseguir que o emissor e receptor consigamconhecer a chave, somente eles, da mesma forma que as alterações que ocorram na chavesejam conhecidas em ambas as partes. Para isto, é preciso ter uma comunicação seguraentre o receptor e emissor.A maior vantagem no uso de chaves simétricas é sua velocidade, principalmente secomparada a chaves assimétricas. Porém, existem algumas desvantagens que devem seranalisadas:  Constante troca de chave secreta: o segredo de uma chave é compartilhado por duas organizações que precisam interagir para obter as chaves para comunicação, antes que seja efetuada a transação, de forma não digital, preferencialmente. Este detalhe eleva o custo da solução em alguns casos, além de ser um processo lento. Por ser de forma não digital, pessoas não autorizadas podem ter acesso a este material, colocando em perigo a confidencialidade, portanto se faz necessário constantemente à troca de chave.  Difícil gerenciamento de chaves em larga escala: se considerarmos os fatores de quantidades de entidades que a empresa se comunica e multiplicarmos por chaves, teremos uma enorme quantidade. Se juntarmos ainda, as trocas feiras regularmente, teremos um processo critico para gerenciar.Copyright © 2007, ESAB – Escola Superior Aberta do Brasil 197

 Problemas na troca de chave inicial: muitas vezes, é complicado saber com quem estamos lidando na Internet, ou se a pessoa que receber a chave terá a idoneidade de utilizá-la corretamente, sem divulgar a terceiros. Para este problema, surgiram os Centros de Distribuição de Chaves (KDC – Key distribution Center). São os responsáveis pela distribuição de chaves para usuários desconhecidos, por isso é necessário estar sempre on-line. Deve ser um foco de atenção aos administradores, pois um ataque neste ponto único desestrutura a empresa na distribuição das chaves. Outro tópico importante é a gerencia do servidor para usuários externos a organização. Não permitem a assinatura e certificação digital.Copyright © 2007, ESAB – Escola Superior Aberta do Brasil 198

U 27NIDADECHAVES CRIPTOGRÁFICASObjetivo: Conhecer as chaves e diferenciamento.10.2.2. Chaves AssimétricasNa criptográfica com chave assimétrica temos um segredo dividido em duas partesrelacionadas matematicamente, por dois números primos grandes fatorados entre si. Umaparte da chave é distribuída livremente – a chave pública – e a outra é conhecida somente dapessoa que a gerou – a chave privada.A chave assimétrica demonstra segurança maior do que a simétrica devido aos recursoscomputacionais disponíveis atualmente, que não conseguem em centenas de anos descobrirquais os números primos que originaram a chave.Em vias normais, a chave privada é armazenada usando a chave simétrica AES, poisaumenta a segurança na parte mais importante do processo. A chave privada é a garantiaque somente quem tem a chave publica utilizada ira descobrir a mensagem enviada.Ao enviarmos uma mensagem, usamos a nossa chave privada e a chave pública dodestinatário para criptografar os dados. Para abrir a mensagem de um destinatário,utilizamos a nossa chave privada para descriptografar a mensagem original.Uma necessidade das chaves assimétricas é um repositório onde as pessoas que precisamse comunicar busque a chave publica para criptografar e enviar os dados ao destinatário.Neste caso, este repositório deve ser confiável ou esta irá ser uma grande falha, pois aobuscar uma chave você precisa ter certeza que está criptografando para a pessoa certadescriptografar. Por isso, é recomendável os cuidado a seguir:Copyright © 2007, ESAB – Escola Superior Aberta do Brasil 199

 Estabelecimento de relação de confiança no repositório de chaves públicas. Encontrar formas de confiar na integridade da informação recebida.Para estabelecer esta relação de confiança, surgiu o Certificado Digital, que será explicadoem outro tópico deste capítulo.10.2.3. Comparando as chavesComo escolher o modelo mais apropriado de criptografia? Em primeiro lugar, é precisoesclarecer as principais diferenças:Criptografia Simétrica Criptografia AssimétricaProcessamento rápido Processamento lentoGerenciamento e distribuição Gerenciamento e distribuiçãode chaves complicadas de chaves de forma simplesRelacionamento com Facilidade em estabelecerentidades desconhecidas de relacionamento comforma não digital ou em entidades desconhecidasservidores centralizadoresNão suporta assinatura digital Suporta assinatura digitalEm segundo lugar, os modelos de criptografias podem ser combinados. Existem casos ondese opta pelas mensagens serem enviadas via chave simétrica, por ser mais rápida atransmissão, e a distribuição das chaves através das chaves assimétricas. Tudo irá dependerda arquitetura e nível de segurança das informações. Os seguintes protocolos aceitam osistema de criptografia híbrido: IPSec, SSL e TLS, PGP, S / MIME, Set, X.509.Copyright © 2007, ESAB – Escola Superior Aberta do Brasil 200