seguranca -aula 1 a 3

PLANO DE CURSO

Introdução sobre a Segurança Computacional

Auditoria de sistemas, Segurança de sistemas; Políticas de segurança;

Privacidade na era digital; Análise de riscos em sistemas de informação

Aspectos especiais: vírus, criptografia, acesso não autorizado, ataques

Pragas Virtuais e principais ameaças

Instalação, Configuração de distribuição Linux e ferramentas utilizadas por hackers na verificação de vulnerabilidades em sistemas de software

Mecanismos de garantia de segurança

Firewall, mecanismos de criptografia: simétrica e assimétrica, assinatura digital e certificados digitais

PLANO DE CURSO

Introdução aos princípios da segurança computacional na administração e desenvolvimento de sistemas

Projeto OWASP

PLANO DE CURSO

Avaliações

2 Provas Escritas

Exercícios complementares

Seminários

Introdução sobre a Segurança Computacional

Breve Histórico

Preocupações com a segurança...

Júlio César Cofre Backup

Ambientes Militares

A Criptologia ajudou nos principais conflitos da 2a Guerra Mundial

Cerca de 1900 a.C

Redes de Computadores e a Segurança

As corporações (empresas, governos e escolas) estão cada vez mais dependentes de seus sistemas – exigem informações compartilhadas;

Uso de informações sigilosas (comércio eletrônico)

Novas tecnologias (por exemplo, redes sem fio)

Introdução

Necessidade de se manter a Segurança das Informações

As preocupações crescem....

Aumento do uso da Internet

Aumento do registro dos incidentes de segurança (intrusos e funcionários insatisfeitos)

Numerosos relatos de vulnerabilidades de softwares (inclusive os de segurança)

Proteção física é dificilmente concretizada

Segurança de Redes é uma

tarefa árdua e complexa !

9a Pesquisa Nacional de Segurança da Informação

Hackers

Causa desconhecida

Funcionários

Ex-funcionários

Prestadores de serviço

Concorrentes

Outros

32%

26%

23%

4%

4%

1%

10%

PRINCIPAIS

RESPONSÁVEIS

SistemasInternos

23%

Invasão física6%

Outros5%

Internet60%

Acesso remoto6%

PRINCIPAIS PONTOS

DE INVASÃO

“Capacidade de assegurar a prevenção ao acesso e à manipulação ilegítima da informação, ou ainda, de

evitar a interferência indevida na sua operação normal”.

O conceito de Segurança Computacional

Integridade

Confidencialidade

Disponibilidade

Objetivos de SegurançaManuseio

Descart

e

Transporte

Arm

azenam

ento

INFORMAÇÂO

Int.

Disp.

Conf.

Objetivos de Segurança

Autenticidade Garantir que um sujeito usando uma identificação é seu verdadeiro detentor

Não-repudiaçãoGarantir que o participante de uma comunicação não possa negá-la posteriormente

ConfidencialidadeGarantir que as informações não serão reveladasa pessoas não autorizadas;

IntegridadeGarantir a consistência dos dados, prevenindo a criação não autorizada e a alteração ou destruição dos dados;

DisponibilidadeGarantir que usuários legítimos não terão o acesso negado a informações e recursos;

Violações e Ataques de Segurança

Quando os objetivos de segurança não são alcançados – propriedades não são garantidas – há uma violação da segurança !

Revelação não autorizada da informação

Modificação não autorizada da informação

Negação indevida de serviço

Ataques de Segurança

Passivo: ameaça a confidencialidadeAtivo: ameaça a integridade e/ou a disponibilidade

Ataques de Segurança

Fluxo Normal

A B

Fonte de

Informação

Destino da

Informação

Modificação Fabricação

A B

Interrupção

A B

Interceptação

I

A B

M

A B

F


PRINCIPAIS AMEAÇAS À

SEGURANÇA DA INFORMAÇÃO

Vírus

Funcionários insatisfeitos

Divulgação de senhas

Acessos indevidos

Vazamento de informações

Fraudes, erros e acidentes

Hackers

Falhas na segurança física

Uso de notebooks

Fraudes em e-mail

66%

53%

51%

49%

47%

41%

39%

37%

31%

29%


PREJUÍZOS CONTABILIZADOS

35% das empresas no Brasil tiveram perdas financeiras

22% das empresas acima registraram perdas de até R$ 50 mil, 8% entre R$ 50 mil e R$ 500 mil e 4% de R$ 500 mil a R$ 1 milhão

65% não conseguem quantificar o valor dos prejuízos

De R$ 500 mil aR$ 1 milhão

4%

Não foi possível quantificar

65%

Mais de1 milhão

1%

Até R$ 50 mil22%

De R$ 50 mil a

R$ 500 mil8%

Perfil dos Intrusos

O Script Kid – Um atacante tecnicamente pouco dotado quepesquisa aleatoriamente um grande número de sistemas àprocura de vítimas e depois as explora de forma imprevista(destruição ou subversão); tende a deixar muitos vestígios dasua atividade no sistema

O Cracker Intrusivo – Um atacante tecnicamente avançadoque orienta os seus ataques para vítimas específicas, visandoquase sempre apropriar-se de informação valiosa sem deixarrastros; é o atacante mais temido por qualquer administradorinformático

O Cracker Ético (Hacker) – Semelhante ao cracker intrusivomas com intenções totalmente opostas, atuando muitas vezesao serviço de empresas da área da segurança na informática

Tipos de Ataques

Aplicativos Maliciosos

Definição

Aplicativos/programas que exploramvulnerabilidades nos sistemas computacionais

Podem ser divididos em duas categorias

Os que precisam de um aplicativo hospedeiro

Os que são independentes

E também são diferenciados por poderem ou nãose replicar

Malware = Malicious Software

Taxonomia dos Malwares

BotsWorms

AplicativosMaliciosos

Necessitam Hospedeiro

Independente

Podem se replicar

Trapdoorou backdoor

BombasLógicas

Cavalo de Tróia

Vírus

Podem ser parte de um vírus ou worm

Porta dos Fundos (Trapdoors ou Backdoors)

Foi usada legitimamente paraque desenvolvedores pudessemdar manutenção nas aplicações,sem que necessitasse passar porprocessos de autenticaçãodemorados, etc.

Geralmente o acesso ao sistemaé garantido através de umaseqüência de códigos aceita peloTrapdoor

Tornou-se ameaça ->programadores inescrupulosos

Ponto de entrada secreto embutido em uma aplicação o qual permite o acesso ao sistema sem que necessite

passar por procedimentos de acesso usuais

Necessitam de hospedeiro

Porta dos Fundos (Trapdoors ou Backdoors)

Rootkits

Tipo especial de backdoor (Unix e Linux)

Pacotes para a substituição dos principais binários dediversos sistemas operacionais

Os principais objetivos dessas substituições são:

Ficar camuflado para o administrador (acessos não ficamregistrados nos logs)

Garantir outras portas de entrada no sistema (acessoirrestrito)

Coletar informações confidenciais (poder de super-usuário)

Bombas Lógicas

Um dos mais velhos aplicativos maliciosos,precedendo os vírus e worms

Código embutido em programas legítimos quequando certas condições forem atingidas ele“explode” Data específica

presença ou falta de arquivos

determinado usuário que esteja rodando a aplicação

Quando é disparada, pode apagar e alterar ouremover dados ou arquivos inteiros, causar umapane na máquina ou algum outro dano


Como se proteger ?

Cavalo de Tróia (trojan horse)

Programa que além de executar as funções para asquais foi projetado, também executa outras funçõesmaliciosas sem o conhecimento do usuário

Funções maliciosas que podem ser executadas

alteração ou destruição de arquivos

furto de senhas e outras informações sensíveis

inclusão de backdoors, para permitir que um atacantetenha total controle sobre o computador

Arquivo único que necessita ser executado


Cavalo de Tróia

Ações semelhantes a dos Vírus e Worms

Distingue-se por não se replicar, infectar outrosarquivos, ou propagar cópias de si mesmoautomaticamente

Fotos, arquivos de música, protetores de telas ejogos

Enviados por email ou disponíveis em sites daInternet

Vírus

É um aplicativo que consegue “infectar” outros programas earquivos, modificando-os.

A modificação inclui uma cópia do vírus, o qual poderáinfectar outros aplicativos.

Vírus típicos, tomam o controle temporário do sistemaoperacional, incluindo suas cópias em novos aplicativos

A contaminação entre máquinas pode ser realizada atravésde dispositivos removíveis (pen-drives/ CDs) ou pela rede(abrir arquivos anexos aos e-mails, abrir arquivos Word,Excel, abrir arquivos em outros computadores) – Arquivosprecisam ser executados

Independentes

Antivírus

Detectar e então anular ou remover os vírus

Alguns procuram remover e detectar cavalos detróia e barrar programas hostis

Verificar email (entrada e saída)

Configure-o corretamente

Algumas versões de antivírus são gratuitas epodem ser obtidas pela Internet. Mas antes,verifique sua procedência e certifique-se que ofabricante é confiávelNão impede a exploração de alguma vulnerabilidade e não é capaz de impedir o acesso a um backdoor

Ferramentas Antivírus

Free AVG – usuários domésticos

Free Avast Home Edition – somente usuários domésticos

Nod32

Norton Anti-vírus Clam AntiVirus – toolkit anti-virus para Unix, para

integração com servidores de e-mail (analisa os arquivos atachados)

http://www.clamav.net/

Ferramentas Antivírus

Worms

Faz uma cópia dele mesmo e utiliza as conexões de redepara se disseminar de sistemas em sistemas

Diferente do vírus, não necessita ser explicitamenteexecutado para se propagar

Sua propagação se dá através da exploração devulnerabilidades existentes ou falhas na configuração desoftware instalados

Geralmente, não gera os mesmos dados dos vírus

São responsáveis por consumir muitos recursos (podemlotar o disco rígido – grande quantidade de cópias de simesmo e enviar pela rede)

Bots

Similar aos Worms

É capaz se propagar automaticamente, explorandovulnerabilidades existentes ou falhas naconfiguração

Diferença: dispõe de mecanismos decomunicação com o invasor, permitindo que o botseja controlado remotamente

o bot se conecta a um servidor de IRC (Internet RelayChat) e entra em um canal (sala) determinado

O invasor, ao se conectar ao mesmo servidor de IRC,envia mensagens compostas por seqüências especiaisde caracteres, que são interpretadas pelo bot

Bots

Um invasor pode enviar instruções para:

desferir ataques na Internet;

executar um ataque de negação de serviço

furtar dados do computador onde está sendo executado,como por exemplo números de cartões de crédito;

enviar e-mails de phishing

enviar spam

Botnets Redes formadas por computadores infectados com bots

Aumentar a potência dos ataques

para enviar centenas de milhares de e-mails de phishing ou spam,desferir ataques de negação de serviço, etc

Botnet

Outras classificações de aplicativos

Capturadores de teclas/tela (Keyloggers, Screenloggers) Ficam residentes em memória capturando todas as teclas/telas que o

usuário do sistema pressiona/visualiza

Envia essas informações para um usuário malicioso

Aplicativos de propaganda (Adwares) Ficam residentes em memória, lançando janelas Pop-Up com

propagandas

As informações sobre as propagandas são atualizadas via rede

Aplicativos espiões (Spywares) Residentes em memória, monitoram o comportamento do usuário

Sites que ele navega, preferências, etc.

Envia essas informações para preparar uma mala-direta ou para ativarAdwares

Ferramentas

Anti-keylogger™ for Microsoft® Windows® NT/2000/XP Workstations

Keylogger Hunter

Ad-aware Standard Edition– detects and removes spyware, adware, trojans, hijackers,

dialers, malware, keyloggers

a2 Free – similar ao Ad-aware

Spybot – software gratuito

http://www.safer-networking.org

http://www.safer-networking.org/

Ferramentas

Criptografia

O que é criptografia?

Estudo da Escrita(grafia) Secreta(cripto)

Esconder a informação

Verificar a exatidão de uma informação

Base tecnológica para a resolução de problemas de segurança em comunicações e em computação

Criptografia na História

Egípcios antigos cifravam alguns de seus hieróglifos

O barro de Phaistos (1600 a.c) ainda não decifrado

Cifrador de Júlio César, aproximadamente 60 ac

Tratado sobre criptografia por

Trithemius entre 1500 e 1600

Criptografia: HistóricoIdade Antiga - Cerca de 487 a.C.

SCYTALE

Criptografia: HistóricoIdade Média - Cerca de 1119-1311

Criptografia utilizada pelos Templários

Criptografia: HistóricoIdade Moderna - (1453 a 1789)

Muitas experiências, estudos, publicação de trabalhos.

Foi um período de grandes inovações e de grande expansão na criptologia.

Gottfried Wilhelm von Leibniz

Roda Criptográfica

Thomas Jefferson e James Monroe cifravam as suas cartas para manter em sigilo as suas discussões

políticas (1785)

Roda Criptográfica

http://www.murky.org/cryptography/classical/jefferson.shtml

Criptografia: HistóricoHistória Recente

Avanços na ciência e na tecnologia

Intensa movimentação de pessoas

Grandes Guerras

- Enigma, Maquina Púrpura

Criptografia

Kryptos: significa oculto, envolto, escondido, secreto;

Graphos: significa escrever, grafar.

Portanto, criptografia significa escrita secreta ou escrita oculta. As formas de ocultar mensagens são as mais diversas.

Controles Criptográficos

Algoritmo: seqüência de passos e operações matemáticas que transformam o texto em claro em texto cifrado e vice-versa.

Chave: número ou conjunto de números; é o parâmetro variável do algoritmo; característica singular/única; para cada chave existe um criptograma diferente

Tamanho das chaves: medido em bits (40,56, 128)

Texto

original

Chave

Algoritmo Texto

cifrado

CriptogramaTexto em claro

Sistemas Criptográficos

Estudo da Escrita (Grafia) Secreta (Cripto)

Três dimensões para classificar os sistemas:

Tipo de operações usadas para transformar o texto

Substituição – cada elemento é mapeado em outro elemento

Transposição – elementos no texto em claro são re-arrumados

Número de chaves usadas

Simétrica (uma única chave)

Assimétrica (duas chaves – cifragem de chave pública)

A forma na qual o texto em claro é processado

Block cipher (cifragem de bloco)

Stream cipher (cifragem de fluxo)

Cifras de Substituição

Cada símbolo ou grupo de símbolos ésubstituído por um outro símbolo ou conjuntode símbolos.

a b c d e f ...

Q W E R T Y ...

Cifras de Substituição

Princípio: O resultado da criptografia depende de umparâmetro de entrada, denominado chave. Exemplo. Cifra de César Chave: N = número de letras deslocadas

A B C D E F G H I J K L M N O P Q R S T U V W X Y Z

D E F G H I J K L M N O P Q R S T U V W X Y Z A B C

Nada de novo

no front.Qdgd gh qryr

qr iurqw.

N = 3

N = 4 Rehe hi rszs rs

jvstx.

Cifras de Transposição

Reordenam as letras da mensagem sem asdisfarçar.

Cifra baseia-se numa chave que é uma palavraou frase que contém palavras repetidas.

Cifras de Transposição

Os caracteres permanecem os mesmos no texto cifrado, mas a ordem deles muda.

Os caracteres permanecem os mesmos

no texto cifrado mas a ordem deles muda

Omnmmsaoau n sdcet aacea rex amto c or

to d esce r im emf serd sae pmdl eooe

rs s

Cifragem de bloco X Cifragem de fluxo

Cifragem de Bloco

Divide o texto em blocos e opera sobre cada bloco de maneira independente (8 ou 16 bytes de comprimento)

Tabela de chaves não é alterada

Padding (preenchimento): adicionar bytes extras a um bloco incompleto; quem decifra tem que ser capaz de reconhecer (e ignorar) o preenchimento

S E G U R O

Cifragem de bloco X Cifragem de fluxo

Cifragem de Fluxo

Semelhante ao enchimento de uma só vez

1. Utiliza a chave para construir uma tabela de chaves

Aula de segurança de redes

Texto simples

47 28 119 3 187 120 72 3 187 43...

Fluxo de Chave

9%jZR+^-wv6g...

Texto Cifrado

Criptografia Convencional, Simétrica ou de Chave Secreta

Textooriginal

ChaveSecreta

Compartilhada

Algoritmo de Cifragem

Textooriginal

Texto

cifrado

ChaveSecreta

Compartilhada

Algoritmo de Decifragem

(inverso do algo. de cifragem)

• A segurança de cifragem convencional depende do segredo da chave e não do segredo do algoritmo• Implementações dos algoritmos de cifragem em chips (baixo custo)

Utiliza a mesma chave para encriptar e decriptar uma mensagem.

Gerenciamento de Chaves

Manter todas as suas chaves seguras e disponíveis para utilização

Chave de sessão - troca de e-mail, conexão da Web ou armazenar dados em bancos de dados

&(Ijaij(&¨90j9¨{?(*2-0Qh09124çl9dn¨9~j2{

To:From:Trata-se de um assunto confidencial Algoritmo de

cifragem

Chave de sessão

Chave protegida

KEKChave de criptografia de chave

Algoritmo decifragem

O Problema da Distribuição de Chaves

Duas partes precisam compartilhar chaves secretas

Como duas os mais pessoas podem, de maneira

segura, enviar chaves por meio de linhas inseguras?

Trocas de chaves freqüentes são desejáveis

A força de um sistema criptográfico também está ligado a distribuição das chaves


Compartilhamento de chaves antecipadamente

Uma chave pode ser selecionada por A e entregue fisicamente a B (pen-drive, CD)

A cifra a chave de sessão utilizando criptografia baseada em senha e passa a senha por telefone

Caso A e B já compartilham uma chave, a nova chave pode ser enviada cifrada usando a chave antiga (várias chaves)

Chave de sessão

Chave protegida


Terceira Parte Confiável (TTP)

Uma (TTP) pode gerar uma chave e entregar fisicamente para A e B

A e B confiam em TTP e compartilham uma chave com TTP (entregue fisicamente). Quando A deseja se comunicar com B, este pede uma chave para a TTP

Chave protegida

TTP

Chave protegida

Chave de B

Gera a chave de sessão entre A e B

Chave de A

Criptografia de Chave Pública ou Assimétrica

O uso do par de chaves tem consequência na: distribuição de chaves, confidencialidade e autenticação.

Privada Pública

Não são idênticas mas são “parceiras”.

Estão matematicamenterelacionadas

Decifra Cifra

Cada usuário gera o seu par de chaves

Criptografia de Chave Pública ou Assimétrica

Nesta implementação usuários podem difundir a chave pública para todos que queiram enviar mensagens para eles, visto que apenas com a chave privada será possível a decriptação.

Chave Pública é distribuída e a Privada mantida em segredo.

Cifragem usando Sistema de Chave Pública

(2) A chave privada deve

ser muito bem guardada

(1) A chave pública deve ser colocada em um registrador público

Requisitos para Algoritmos de Criptografia de Chave Pública

1. Computacionalmente fácil para A gerar o par de chaves (pública KPUBb, privada KPRIVb)

2. Fácil para o emissor gerar o texto cifrado

3. Facil para o Receptor decifrar o texto cifrado com a chave privada

4. Computacionalmente difícil determinar a chave privada (KPRIb) conhecendo a chave pública (KPUBb)

5. Computacionalmente difícil recuperar a mensagem M, conhecendo KPUBb e o texto cifrado C

6. Uma das chaves é usada para cifragem e com a outra sendo usada para decifragem

Vantagens e desvantagens

VantagensNão há necessidade de canal seguro na troca de chaves, pois não há riscos.

DesvantagensA performance do sistema caidemasiadamente se existe uma grandequantidade de dados para decriptografar.

Distribuição de Chaves

To: AliceFrom: JoãoTrata-se de um assunto confidencial

Chave sessãocifrada

Chave de Sessão

Simétrica

&(Ijaij(&¨90j9¨{?(*2-0Qh09124çl9dn¨9~j2{

Algoritmo deCifragemSimétrico

Algoritmo deCifragem de chave pública

Alice

Bob Chave públicade Alice

Conceitos de Criptografia na Web

Assinatura Digital

Resumo da mensagem

Certificados Digitais

Autoridades Certificadoras

Assinatura Digital

Usa uma informação única do emissor paraprevenir a negação do envio e a possibilidade deforjar a mensagem

Verificar o Autor e a data/hora da assinatura

Autenticar o conteúdo original (não foi modificadoe segue uma certa seqüência ou tempo)

A assinatura deve poder ser verificável porterceiros (resolver disputas)

Assinatura Digital

Mecanismo que pode garantir que uma mensagem assinada só pode ter sido gerada com informações privadas do signatário.

O mecanismo de assinatura digital deve:

A) Assegurar que o receptor possa verificar a identidade declarada pelo transmissor (assinatura);

B) Assegurar que o transmissor não possa mais tarde negar a autoria da mensagem (verificação).

Assinatura Digital

Bob Alice

Não garante a confidencialidade da Mensagem

Mensagem autenticada em termos da fonte e da integridade do dado

Chave privada do Bob

Chave pública do Bob

Chave privada do Bob

Chave pública do Bob

Assinatura Digital

Assinatura

digital

Chave privada

Algoritmo

de assinatura

digitalMensagem

isto é segredo

Permite ao receptor verificar a integridade da mensagem:

O conteúdo não foi alterado durante a transmissão.

O transmissor é quem ele diz ser.

Mensagem

isto é segredo

O baixo desempenho no uso da criptografiaassimétrica a torna ineficiente para mensagens detamanhos grandes.

Para contornar o problema, a mensagem não écriptografada por inteiro, mas na verdade é criadoum extrato (hash, sumário) do documento

propósito da função hash é produzir umaimpressão digital (fingerprint) - um resumo

As funções hash são funções irreversíveis

Sumário de mensagem (message digest)

Gera um sumário de tamanho fixo paraqualquer comprimento de mensagem

Efetivamente impossível adivinhar amensagem a partir do sumário

Efetivamente impossível encontrar outramensagem que gere o mesmo sumário

Uma pequena mudança na mensagem mudamuito o sumário



• MD5 - Message Digest (RFC 1321) por Ron Rivest – digest = 128 bits

SHA-1 - Security Hash Algorithm – NIST em 1995 – digest = 160 bits

RIPEMD-160 – digest = 160 bits

HMAC (RFC 2104) – MAC derivado de um código de hash criptográfico, como o SHA-1

Funções hash se executam mais rápidas que o DESBibliotecas de código são amplamente disponíveis

Funções hash não tem restrição de exportação

Sites que geram hashes de mensagens:

MD5 - http://www.md5.cz/

SHA1 - http://www.sha1.cz/


Assinatura Digital com Resumo

ABFC01

FE012A0

2C897C

D012DF

41

DIGEST

F18901B

Algoritmo

de

Hashing

ASSINATURA

DIGITAL

ABFC01

FE012A0

2C897C

D012DF

41

Mensagem

com

Assinatura

Digital

MENSAGEM

aberta

ASSINATURA

criptografada

Algoritmo de

Criptografia

Função Hash de uma via

H não usa uma chave como entrada

Forma mais eficiente Verifica a origem e o conteúdo

Não garante a confidencialidade da Mensagem

Mensagem autenticada em termos da fonte e da integridade do dado

Certificado Digital

Resolve a distribuição de chaves

Gerenciados pelas Autoridades Certificadoras

A certificação das Autoridades Certificadoras é feita através de uma Infra-estrutura de chave pública (ICP)

Certificado Digital

Certificados digitais estabelecem uma fortevinculação entre a chave pública e algumatributo (nome ou identificação) doproprietário

Os certificados administram as questõesrelacionadas com a obtenção,reconhecimento, revogação, distribuição,validação e, mais importante, para quefinalidade a chave pública está associada auma entidade do mundo real

Certificado Digital

Componentes de uma PKI (ICP)

Autoridade Certificadora (ACs ou CAs) Emite, gerencia e revoga certificados de usuários finais

É responsável pela autenticidade dos seus usuários

Fornece aos usuários os seus certificados auto-assinados

Públicas (Internet) ou Privadas

Autoridade Registradora (AR ou RA) Entidade intermediária entre uma AC e os usuários finais,

ajudando uma AC em suas atividades para processamento de certificados Aceitar e verificar as informações de registro Gerar chaves em favor de usuários Aceitar e autorizar solicitações para backup e recuperação de chave Aceitar e autorizar solicitações para revogação de certificados Distribuir ou recuperar dispositivos de hardware (tokens)

Revogação de um Certificado

Um Certificado pode ser revogado, caso haja comprometimento da chave privada da AC ou da entidade final (usuário);

Periodicamente, a AC emite e publica uma Lista de Certificados Revogados (LCR).

Razões Chave secreta do usuário está comprometida

O usuário não é mais certificado por uma CA (rompimento de contrato)

O certificado da CA está comprometido

Lista de Certificados Revogados

Criptografia de um Certificado

Autoridade Certificadora

C.A.

(Certification

Authority)

I.D. do

Proprietário

Assinatura

Digital

Autoridade

Certificadora

(Verisign,

Certisign,

Etc.)

Chave pública (e.g., Banco do Brasil)

CHAVE

PRIVADA

I.D. da CA

www.bancodobrasil.com.br

Banco do Brasil S.A.

Brasilia, DF, Brasilwww.verisign.com

Verisign, Inc.

http://www.bancodobrasil.com.br/

http://www.verisign.com/

SSL

Netscape: julho de 1994

Propósito geral: autenticação, confidencialidade e integridade de mensagens (TCP/IP)

Autenticação entre cliente e servidor (mútua)

Criptografia na troca de mensagens

Suporta diversos algoritmos criptográficos

Protocolo criptográfico mais utilizado na Internet

IETF – padroniza o TLS (Transport Layer Security) – SSL v.3

Pode rodar sobre qualquer protocolo orientado a conexão (TCP, X.25)

Implementado em todos os navegadores (browsers)

SSL

Netscape: julho de 1994

Propósito geral: autenticação, confidencialidade e integridade de mensagens (TCP/IP)

Autenticação entre cliente e servidor (mútua)

Criptografia na troca de mensagens

Suporta diversos algoritmos criptográficos

Protocolo criptográfico mais utilizado na Internet

IETF – padroniza o TLS (Transport Layer Security) –SSL v.3

Pode rodar sobre qualquer protocolo orientado a conexão (TCP, X.25)

Implementado em todos os navegadores (browsers)

SSL

SSL – Secure Socket Layer - é uma camada de rede que pode ser usada por diversas aplicações, equivale à camada 5 (sessão) do modelo OSI. O mais comum é usá-lo para fornecer comunicação privada entre servidores de páginas (web) e seus clientes (navegadores).

O protocolo HTTP com o SSL se chama HTTPS e usa a porta 443 no lugar da porta 80.

Diversas versões: SSL 2.0, SSL 3.0, TLS 2.0

SSL

Sessão SSL - Associação entre um cliente e o servidor. Criada pelo protocolo handshake (aperto de mão). Define os parâmetros criptográficos de segurança.

Protocolo Handshake - Parte mais complexa do protocolo SSL

Permite que servidor e cliente se autentiquem (autenticação mútua)

Negocia algoritmos de cifragem e negocia chaves criptográficas de sessão (segredo compartilhado)

Usado antes de qualquer dado da aplicação ser transmitido

Sessão SSL Simplificada

Seqüência cliente-servidor

Negocia a Pilha de Codificação (Cipher Suite) a ser usada para a transferência de dados

Estabelece e compartilha uma chave de sessão

Opcionalmente verifica a autenticidade do servidor para o cliente

Opcionalmente verifica a autenticidade do cliente para o servidor

Cipher Suite

Uma pilha de codificação consiste em:

Método de troca de chave

Codificador para a transferência de dados

Método de gerar o extrato de uma mensagem (Message Digest) para a criação do Código de Autenticidade de Mensagem (MAC – Message Authentication Code)

3 opções

Nenhum resumo (digest) (escolha nula)

MD5, um extrato de 128 bits

SHA – Secure Hash Algorithm, algoritmo seguro de extrato, um extrato de 160 bits. O SHA foi projetado para ser usado com o DSS – Digital Signature Standard, padrão de assinatura digital.

Cipher Suite

seguranca -aula 1 a 3

Documents