SEGURANÇA DA INFORMAÇÃOSEGURANÇA DA INFORMAÇÃO

Prof. Marco André Lopes Mendes <marco@sociesc.com.br>

09/2003 Prof. Marco André Lopes Mendes <marco@sociesc.com.br>2

AgendaAgenda

Necessidade da Segurança Problemas da segurança Adversários e motivação Ameaças Digitais Aspectos da segurança Criptografia Segurança na Comunicação Ferramentas de Segurança

09/2003 Prof. Marco André Lopes Mendes <marco@sociesc.com.br>3

Necessidade da SegurançaNecessidade da Segurança

Segurança da Informação Segurança Nacional Comércio Eletrônico Privacidade Anonimato

09/2003 Prof. Marco André Lopes Mendes <marco@sociesc.com.br>4

Problemas da segurança: fluxo normalProblemas da segurança: fluxo normal

D

Fluxo Normal

F

09/2003 Prof. Marco André Lopes Mendes <marco@sociesc.com.br>5

Problemas da segurança: sigiloProblemas da segurança: sigilo

D

I

Interceptação

Sigilo

Minha comunicação é confidencial?

F

09/2003 Prof. Marco André Lopes Mendes <marco@sociesc.com.br>6

Problemas da segurança: integridadeProblemas da segurança: integridade

Modificação

Integridade

Minha comunicação foi alterada?

F D

M

09/2003 Prof. Marco André Lopes Mendes <marco@sociesc.com.br>7

Problemas da segurança: autenticaçãoProblemas da segurança: autenticação

DF

Mascaramento

Autenticação

Com quem eu estou tratando?

M

09/2003 Prof. Marco André Lopes Mendes <marco@sociesc.com.br>8

Problemas da segurança: não-repúdioProblemas da segurança: não-repúdio

DF

Alegações

Não-repúdio

Quem enviou? Quem recebeu? Quando isto ocorreu?

?

NãoEnviei!

NãoRecebi!

09/2003 Prof. Marco André Lopes Mendes <marco@sociesc.com.br>9

Problemas da segurança: disponibilidadeProblemas da segurança: disponibilidade

DF

Ataque

Disponibilidade

Poderei me comunicar sempre que precisar?

A

09/2003 Prof. Marco André Lopes Mendes <marco@sociesc.com.br>10

Adversários e sua motivaçãoAdversários e sua motivação

09/2003 Prof. Marco André Lopes Mendes <marco@sociesc.com.br>11

Ameaças DigitaisAmeaças Digitais

Automação dos ataques– Grandes quantidades de dados podem ser

rapidamente coletados, usados e abusados

Ação à distância– Dificulta a investigação, perseguição e punição– O atacante não precisa estar próximo da sua presa

Propagação da técnica– Somente o primeiro atacante precisa ser habilidoso– Os criminosos não precisam de habilidade para

terem sucesso

09/2003 Prof. Marco André Lopes Mendes <marco@sociesc.com.br>12

Aspectos da segurançaAspectos da segurança

A segurança envolve:

Tecnologia Processos Pessoas

09/2003 Prof. Marco André Lopes Mendes <marco@sociesc.com.br>13

Aspectos da segurança: TecnologiaAspectos da segurança: Tecnologia

Criptografia– Convencional (Simétrica)– Chave Pública

(Assimétrica)

Protocolos– PGP– SSL e HTTPS– IPSec

Ferramentas– Certificado Digital, CA e

PKI– Firewall– Sistemas de Detecção de

Intrusos– Analisadores de

Vulnerabilidades– Analisadores de Logs– Farejadores de pacotes– Quebradores de senha

09/2003 Prof. Marco André Lopes Mendes <marco@sociesc.com.br>14

Aspectos da segurança: ProcessosAspectos da segurança: Processos

Política de Segurança Auditoria de Segurança Simulação de Ataques Plano de Contingência

09/2003 Prof. Marco André Lopes Mendes <marco@sociesc.com.br>15

Aspectos da segurança: PessoasAspectos da segurança: Pessoas

Treinamento Conscientização Normas e Procedimentos Responsabilidade

Trabalhista e Legal

09/2003 Prof. Marco André Lopes Mendes <marco@sociesc.com.br>16

Criptografia: O que é?Criptografia: O que é?

Estudo da Escrita(grafia) Secreta(cripto) Esconder a informação de todos exceto ... Verificar a exatidão de uma informação Base tecnológica para a resolução de problemas

de segurança em comunicações e em computação

09/2003 Prof. Marco André Lopes Mendes <marco@sociesc.com.br>17

Criptografia na históriaCriptografia na história

09/2003 Prof. Marco André Lopes Mendes <marco@sociesc.com.br>18

Criptografia simétricaCriptografia simétrica

Cifragem DecifragemTexto

Aberto

ChaveK

Texto Aberto

P P

Canal seguro

K

TextoCifrado

c

Alice Beto

•Uso de uma única chave:Uso de uma única chave:•CifragemCifragem•DecifragemDecifragem

•Algoritmos Algoritmos rápidosrápidos•ChavesChaves curtas curtas

•Algoritmos:Algoritmos:•DES, AES, RC4, IDEA, etc.DES, AES, RC4, IDEA, etc.

09/2003 Prof. Marco André Lopes Mendes <marco@sociesc.com.br>19

Criptografia assimétrica: sigiloCriptografia assimétrica: sigilo

Cifragem DecifragemTexto

Aberto

Par deChaves

Texto Aberto

P P

KRB

TextoCifrado

c

Chave Pública de Beto

KUB Chave Privada de Beto

Alice Beto

Sigilo através de criptografia por chaves públicas

•Uso de duas chaves distintas:Uso de duas chaves distintas:•Uma para Uma para cifragemcifragem•Outra para Outra para decifragemdecifragem

•Algoritmos Algoritmos lentoslentos•ChavesChaves longas longas•Algoritmos: RSA, El GamalAlgoritmos: RSA, El Gamal

09/2003 Prof. Marco André Lopes Mendes <marco@sociesc.com.br>20

Criptografia assimétrica: assinatura digitalCriptografia assimétrica: assinatura digital

Cifragem DecifragemTexto

Aberto

Par deChaves

Texto Aberto

P P

KUA

TextoCifrado

c

Chave Privada de Alice

KRA Chave Pública de Alice

Alice Beto

Assinatura digital através de criptografia por chaves públicas

•Algoritmos: RSA, DSSAlgoritmos: RSA, DSS

09/2003 Prof. Marco André Lopes Mendes <marco@sociesc.com.br>21

Criptografia assimétrica: sigilo e assinatura digitalCriptografia assimétrica: sigilo e assinatura digital

Cifragem DecifragemTextoAberto

Par deChaves

Texto Aberto

P P

KUA

TextoCifrado

C1

Chave Privada de Alice KRA

Chave Pública de Alice

Alice Beto

Sigilo e assinatura digital através de criptografia por chaves

públicas

CifragemC1

DecifragemC2

Par deChaves

Chave Pública de Beto

KUBKRB

Chave Privada de Beto

C2

09/2003 Prof. Marco André Lopes Mendes <marco@sociesc.com.br>22

Sumário de mensagemSumário de mensagem

Algoritmo deSumário demensagem

TextoAberto

Par deChaves

P PSumário da mensagem

H

Chave Privada de Alice

KRAAlice

Enviado para Beto

Assinatura digital de mensagens não-secretas

Cifragem

Sumário da mensagemassinado

•Gera um sumário pequeno•Cifra apenas o sumário•Envia o sumário e a mensagem

•Algoritmos: MD5, SHA-1Algoritmos: MD5, SHA-1

09/2003 Prof. Marco André Lopes Mendes <marco@sociesc.com.br>23

Certificado DigitalCertificado Digital

09/2003 Prof. Marco André Lopes Mendes <marco@sociesc.com.br>24

Segurança na Comunicação:IPSecSegurança na Comunicação:IPSec

Utiliza criptografia simétrica Fornece sigilo e integridade dos dados Modo transporte é mais eficiente Modo túnel produz uma Rede Virtual Privada

(VPN)

09/2003 Prof. Marco André Lopes Mendes <marco@sociesc.com.br>25

Segurança na Comunicação: FirewallSegurança na Comunicação: Firewall

• Ponto por onde passa todo o tráfego, permitindo:• controle• autenticação • Registro (log)

09/2003 Prof. Marco André Lopes Mendes <marco@sociesc.com.br>26

Outros protocolos segurosOutros protocolos seguros

SSL– Utilizado pelo HTTPS– Fornece sigilo e autenticação em conexões na web

SSH– Substitui serviços inseguros como Telnet e FTP

PGP e S/MIME– Troca de mensagens na Internet com sigilo,

autenticação, integridade e não-repúdio

09/2003 Prof. Marco André Lopes Mendes <marco@sociesc.com.br>27

Outras ferramentas de segurançaOutras ferramentas de segurança

Sistemas de Detecção de Intrusos Analisadores de Vulnerabilidades Analisadores de Registros Farejadores de pacotes Quebradores de senha

09/2003 Prof. Marco André Lopes Mendes <marco@sociesc.com.br>28

ConclusãoConclusão

A criptografia é primordial, mas insuficiente A tecnologia reduz as vulnerabilidades

existentes, mas não as elimina Solução completa inclui:

– Aplicações com criptografia– Ferramentas de segurança– Mudança Cultural – Treinamento

09/2003 Prof. Marco André Lopes Mendes <marco@sociesc.com.br>29

BibliografiaBibliografia

Schneier, Bruce. Segurança .com. Campus. 2001 Stallings, William. Cryptography and Network Security:

Principles and Practice. 2a ed. Prentice Hall, 1999. Tanenbaum, Andrew S. Redes De Computadores. 4a

ed. Campus. 2003 Nakamura, Emílio Tissato e Geus, Paulo Lício de.

Segurança de redes em ambientes cooperativos. São Paulo: Berkeley Brasil, 2002.

RicardoTheil. Segurança e Rastreabilidade das Informações. CINTEC Informática 2003. Joinville.SC

www.inf.ufsc.br/~custodio www.vision.ime.usp.br/~mehran http://www.marcomendes.hpg.com.br/

09/2003 Prof. Marco André Lopes Mendes <marco@sociesc.com.br>30

Dúvidas? Perguntas?Dúvidas? Perguntas?

09/2003 Prof. Marco André Lopes Mendes <marco@sociesc.com.br>31

Muito obrigado!Muito obrigado!

Prof. Marco André Lopes Mendes Prof. Marco André Lopes Mendes marco@sociesc.com.br