ENIC/UFPB 2009. Arquitetura de Segurança Baseada em Security Paterns Para o OpenCTI.

Company LOGO

www.company.com

PLANOImplementação de Arquitetura de SegurançaBaseada em Security Patterns para o OpenCTI

PROJETOOpenCTI: Software de uma Central de Telemedicina para Apoio à Decisão Médica em Medicina Intensiva

João F. M. [email protected]

http://www.joaomatosf.com

Orientador:Gustavo H. M. B. Motta

[email protected]

www.larqss.di.ufpb.br

Departamento De Informática

Universidade Federal Da Paraíba

mailto:[email protected]

http://www.joaomatosf.com/


Company LOGO

www.company.com

Sumário.1. Introdução.

– A telemedicina e o OpenCTI.

2. Proposta.– Requisitos, Security Patterns, Boas Praticas e

Criptografia.

3. Protótipo.– Resultados.

4. Conclusão.5. Anexos: Usabilidade da infra-estrutura do LARQSS


Company LOGO

www.company.com

1. Introdução.“Comece pelo começo, vá até o fim e, então, pare.”

(Drummond)


Company LOGO

www.company.com

1. Introdução.

• Informática e telecomunicações na prestação de serviços de saúde:

• Quebra de barreiras geográficas.

• Troca de experiências.

• Expansão e melhoria na qualidade de serviço.

• (eficiente, pratico e econômico)


Company LOGO

www.company.com

1. Introdução.

• OpenCTI:• Central de telemedicina intensiva.• Troca de informações clínicas.• Realização de condutas em geral.• Separação de papeis em ambiente

distribuído.• Desafios:

• Segurança da Informação.• Sigilo, autenticação, não-repudio e

controle de integridade.


Company LOGO

www.company.com

2. Proposta.“O coração do homem pode fazer planos, mas a resposta

certa dos lábios vem do SENHOR” (prov. 16:1)


Company LOGO

www.company.com

2. Proposta.

• Arquitetura de Segurança Baseada em Security Patterns.

• Requisitos:• Disponibilidade.• Sigilo.• Autenticação.• Não-repudio.• Controle de Integridade.• Custos relativos baixos.


Company LOGO

www.company.com

2. Proposta.

• Requisitos e fatores importantes:

• Limitações tecnológicas.• Cultura organizacional.• Escalabilidade.• Flexibilidade.• Segurança dinâmica.• Descentralização.• Confiança mútua.


Company LOGO

www.company.com

2. Proposta.

• Principais Security Patterns:

• Canais Seguros.• Known Partners(Parceiros

Conhecidos).• Zona Desmilitarizada – DMZ.• Protection Reverse Proxy.• Integration Reverse Proxy.• Intrusion Detection System – IDS.


Company LOGO

www.company.com

2. Proposta.

• Criptografia e Boas Práticas:

• Camada de Enlace:• Criptografia a medida que pacotes saem e

chegam.

• Camada de Rede:• Firewalls, Proxys, IDS e segurança IP.

• Camada de Transporte:• Criptografia de conexões inteiras, fim-a-fim.

• Camada de Aplicação:• Autenticação, autorização e não-repudio.


Company LOGO

www.company.com

2. Proposta.

• Impedir ataques de aniversário, reflexão e repetição[10].• Obedecer as quatro regras básicas em [4].

• Autenticação bidirecional com protocolo de desafio-resposta abreviado.


Alic

e

Bo

b

A

RB

KAB(RB)

RA

KAB(RA)A

lice

Bo

b

A, RA

RB, KAB(RA)

KAB(RB)

Figura 1 – Autenticação bidirecional com protocolo desafio-resposta.

Figura 2 – Autenticação bidirecional com protocolo desafio-resposta

abreviado.

Company LOGO

www.company.com

3. Protótipo.“Se os fatos não se encaixam na teoria, modifique os

fatos.” (Albert Einstein)


Company LOGO

www.company.com

• Tecnologias Relevantes:• OpenLDAP, OpenVPN, OpenSSL, Samba,

HIDS, Heartbeat, Mon, Squid, DRBD, Iptables, PF.


Figura 3 – Diagrama do protótipo.

3. Protótipo.

Company LOGO

www.company.com

3. Protótipo.

• Virtualização:

• Redução de custos: energia, espaço físico,

hardware.

• Gerenciamento Centralizado.

• Escalabilidade.

• Alta disponibilidade.

• Balanceamento de carga.


Company LOGO

www.company.com

• Virtualização Total:

Figura 1 – Binary Translation. Vmware ESX


3. Protótipo.

Company LOGO

www.company.com

3. Protótipo.• Para-virtualização e virtualização

assistida:


Figura 4 – Arquitetura do Hypervisor XenServer.

Company LOGO

www.company.com

3. Protótipo.• Para-virtualização nos servidores:

• Citrix XenServer 5.5

Figura 5 – Arquitetura de virtualização.


Company LOGO

www.company.com

3. Protótipo.Pool de servidores

Figura 6 – Infra-estrutura de virtualização.

Gerenciamento

Citrix XenCenter


Company LOGO

www.company.com

3. Protótipo.Pool de servidores

Figura 7 – Migração de Maquinas Virtuais.


Company LOGO

www.company.com

3. Protótipo.• Roteador:


Company LOGO

www.company.com

3. Protótipo.• Roteador:

• Sistema Operacional OpenBSD.• Roteamento e firewall com Packet Filter (PF).

• Proteção de pilha e heap, evitando ataques de overflow.• libc modificada.

• NAT para estações e servidores.• Três interfaces de rede para separação física

da rede interna, pública e DMZ.• Balanceamento de banda.


Company LOGO

www.company.com

• OpenLDAP:


3. Protótipo.

Company LOGO

www.company.com

• OpenLDAP:

• Catalogo de informações dos usuários e recursos de rede (domínio).

• Autenticação centralizada.

• Estrutura para suportar autenticação de clientes Windows e *nix em domínio Samba.• Representação da arvore do MS Active

Directory.

• Conexão via TLS ou SSL.


3. Protótipo.

Company LOGO

www.company.com

• OpenLDAP:Esboço da estrutura da arvore:

dc=larqss,dc=di,dc=ufpb,dc=br

Ou=Users

Ou=People Ou=Computers

uid=joao.matos uid=gustavo.motta uid=... uid=Pearl$

Ou=Groups

Cn=Admins Cn=Users Cn=Computers

Ou=. . .Cn=. . .Uid=. . .

Figura 8 – Diagrama de modelo para o OpenLDAP.


3. Protótipo.

Company LOGO

www.company.com

• Arvore implementada:

Figura 9 – Raiz dos usuários.


3. Protótipo.

Company LOGO

www.company.com


Figura 10 – Atributos de Usuários.


3. Protótipo.

Company LOGO

www.company.com


Figura 11 – Raiz Computers.


3. Protótipo.

Company LOGO

www.company.com


Figura 12 – Atributos do Grupo Domain Admins.


3. Protótipo.

Company LOGO

www.company.com

• OpenVPN:


3. Protótipo.

Company LOGO

www.company.com

• OpenVPN:

• Cria o canal seguro entre as instituições.• Os envolvidos devem dispor de um

certificado digital assinado pela CA da Federação.

• Requer autenticação com senha, usando base do OpenLDAP.

• Realiza dupla autenticação:• O que você tem e o que você sabe.

• Realiza autenticação de clientes Wireless.


3. Protótipo.

Company LOGO

www.company.com

• OpenVPN:• Comunicação segura e abstração de

que as redes são distribuídas.


3. Protótipo.

Figura 13 – Rede Virtual Privada entre LARQSS e HULW.

‘

Company LOGO

www.company.com

• Samba PDC:


3. Protótipo.

Company LOGO

www.company.com

• Samba PDC:• Controlador Primário de Domínio• Permite que redes Windows e *nix se

comuniquem.• Autenticação centralizada das estações de

trabalho no domínio.• Usando a base do OpenLDAP.

• Disponibilizar compartilhamentos de rede e gerenciar as permissões destes.

• Oferecer perfil móvel para clientes.• Preferências dos usuários são

armazenadas remotamente, no servidor Samba, e carregadas durante o logon.


3. Protótipo.

Company LOGO

www.company.com

• DNS e DHCP:


3. Protótipo.

Company LOGO

www.company.com

• DNS e DHCP:• DNS reverso é pré-requisitos para o bom

funcionamento da comunicação no domínio.• O nome do host é preferencial na

comunicação.• DNS dinâmico, atualizado pelo servidor

DHCP, eleva a escalabilidade e a performance de comunicação com os clientes.• Embora os IPs sejam dinâmicos, as

estações na rede podem ser encontradas pelo seu nome de host, via consulta ao servidor DNS.

• DNS deve declarar respostas específicas de domínios Active Directory, caso contrário o domínio Samba não será encontrado por clientes Windows.


3. Protótipo.

Company LOGO

www.company.com

• OSSEC: Sistema de Detecção de Intrusos.

• SQUID: Sistemas de Proxy.

• Heartbeat: Sistema de cluster de Altíssima Disponibilidade – HA.

• DRBD: Sistema de RAID1 via Ethernet.


3. Protótipo.

Company LOGO

www.company.com

4. Conclusão.• Com uso dos security patterns foi

possível garantir níveis elevados de segurança para as aplicações de Telemedicina.

• O desenvolvimento foi baseado em padrões e tecnologias abertas, de maneira a reduzir os custos envolvidos para a efetivação da solução.

• O protótipo continua em evolução, estando atualmente em teste e produção no Laboratório de Arquitetura e Sistemas de Software e no Hospital Universitário Lauro Wanderley.


Company LOGO

www.company.com

5. Anexos:• Usabilidade e informações sobre

recursos do Laboratório de Arquitetura e Sistemas de Software – LARQSS.


Company LOGO

www.company.com

5. Anexos: Samba PDC.• Controlador Primário de Domínio• Permite que redes Windows e *nix se

comuniquem.• Autenticação centralizada das estações

de trabalho no domínio.• Usando a base do OpenLDAP.

• Disponibilizar compartilhamentos de rede e gerenciar as permissões destes.

• Oferecer perfil móvel para clientes.• Preferências dos usuários são armazenadas

remotamente, no servidor Samba, e carregadas durante o logon.


Company LOGO

www.company.com

5. Anexos: Samba PDC.• Diretórios compartilhados:

• Diretório Home:• Cada usuário dispõe de um diretório

pessoal, que será montado automaticamente ao efetuar logon nas estações do domínio.

• Para acessar o diretório pessoal através de uma rede fora do domínio, usar a VPN(topico 7) e acessar endereço: \\larqss\nomedousuario.• Ver figura 12;


Company LOGO

www.company.com

5. Anexos: Samba PDC.

Figura 12 – Acessando diretório home em computadores não ingressos no domínio.


Company LOGO

www.company.com

5. Anexos: Samba PDC.• Diretórios compartilhados:

• Diretório Publico:• Todos os usuários autenticados dispõe

de um diretório público, montado automaticamente ao efetuar logon, onde possuem permissões irrestritas por default.

• Usuários podem alterar a política padrão de permissões dos objetos que criarem. (Figura 13)

• Para acessar o diretório publico de uma rede fora do domínio, usar VPN e acessar: \\larqss\publico.


Company LOGO

www.company.com

5. Anexos: Samba PDC.

Figura 13 – Alterando permissões.


Company LOGO

www.company.com

5. Anexos: Samba PDC.• Observações:• Para ingressar estações no domínio,

estas devem ser previamente cadastradas.

• Usuários podem alterar suas senhas pressionando CTRL+ALT+DEL em estações Windows.

• Usuários do grupo Domain Users não tem permissões ilimitadas nas estações.

• Usuários do grupo Domain Admins tem permissões ilimitadas nas estações.• Para mais informações sobre os

grupos de permissões: www.larqss.di.ufpb.br

Company LOGO

www.company.com

5. Anexos: Samba PDC.• Auditoria:

• Os seguintes logs das atividades dos usuários são armazenados para fins de auditória:


Company LOGO

www.company.com

5. Anexos: DNS e DHCP• DNS reverso é pré-requisitos para o bom

funcionamento da comunicação no domínio.• O nome do host é preferencial na comunicação.

• DNS dinâmico, atualizado pelo servidor DHCP, eleva a escalabilidade e a performance de comunicação com os clientes.• Embora os IPs sejam dinâmicos, as estações na

rede podem ser encontradas pelo seu nome de host, via consulta ao servidor DNS.

• DNS deve declarar respostas específicas de domínios Active Directory, caso contrário o domínio Samba não será encontrado por clientes Windows.www.larqss.di.ufpb.br

Company LOGO

www.company.com

5. Anexos: DNS e DHCP• Anexos:


Company LOGO

www.company.com

5. Anexos: DNS e DHCP

Figura 15 – Teste de DNS reverso e dinâmico.


Company LOGO

www.company.com

5. Anexos: OpenVPN• Possibilitar o acesso aos recursos

internos do laboratório através de redes públicas.• Cria um túnel seguro entre o computador do

cliente e o “switch” do laboratório.

• Requer autenticação, usando base do OpenLDAP.

• O cliente deve dispor de um certificado digital assinado pela CA do laboratório.

• Uma chave estática compartilhada é pré-requisito para estabelecer troca de certificados.

• Realiza autenticação de clientes Wireless. www.larqss.di.ufpb.br

Company LOGO

www.company.com

5. Anexos: OpenVPN• Os clientes Windows devem instalar a

versão mais nova do OpenVPN.• Disponível em: http://www.openvpn.net/beta/

• No diretório “certificados”, na home de cada usuário, estão os seguintes arquivos:• Usuario.crt – Certificado Digital do Usuário.• Usuario.key – Chave Privada do Usuário.• Ca.crt – Certificado Raiz da CA.• Chave.key – Chave Estática Compartilhada.• Cliente.ovpn – Arquivo de configuração da VPN.

• Os arquivos devem ser copiados para o diretório de configuração do OpenVPN, conforme figura 16.


http://www.openvpn.net/beta/

Company LOGO

www.company.com

5. Anexos: OpenVPN

Figura 16 – Ajustando configurações do OpenVPN.


Company LOGO

www.company.com

5. Anexos: OpenVPN

• OBS: Opcionalmente, os usuários podem solicitar um certificado PKCS#12, no formato .p12, o qual engloba todos os outros certificados em um mesmo arquivo protegido por senha.


Company LOGO

www.company.com

5. Anexos: OpenVPN• Observações:

• O OpenVPN irá substituir a rota default do cliente para o Gateway do LARQSS.• A estação irá navegar na intranet e internet como

se estivesse dentro do laboratório.

• Em clientes Windows Vista, o OpenVPN deverá ser executado com privilégios de Administrador.

• O cliente é responsável pelo mal uso do seu certificado digital e senha.


Company LOGO

www.company.com

5. Anexos: Gerenciamento de Projetos.• Redmine:

• Ferramenta Livre.• Interface Web.• Gerência de Múltiplos Projetos.• Controle de Acesso.• Gantt chart e Calendário.• Feeds e Notificação Por E-mail.• Integração Com SVN, GIT, CVS e

Outros.• Wiki, Forum, Documentos e Arquivos.


Company LOGO

www.company.com

• Autenticação Integrada ao OpenLDAP.

• Disponibilidade na Intranet do Laboratório:• https://redmine.larqss.ufpb• http://redmine.larqss.ufpb

• Disponibilidade de acesso externo através da VPN.


5. Anexos: Gerenciamento de Projetos.

http://redmine.larqss.ufpb/

http://redmine.larqss.ufpb/

Company LOGO

www.company.com

Figura 17 – Conta de usuário do Redmine.



Company LOGO

www.company.com

Figura 18 – Visualização de Tickets em Gantt.



Company LOGO

www.company.com

Figura 19 – Lista de tickets.



Company LOGO

www.company.com

Figura 20 – Integração com Subversion.



Company LOGO

www.company.com

5. Anexos: Repositório Subversion.• O sistema de gerenciamento de versões

está disponível na intranet ou extranet(via VPN), através do endereço:• https://redmine.larqss.ufpb/svn/open

cti

• Autenticação usando credencias do OpenLDAP.

• Autorização usando papeis do Redmine.


https://redmine.larqss.ufpb/svn/opencti

https://redmine.larqss.ufpb/svn/opencti

Company LOGO

www.company.com

5. Anexos: Autenticação Wireless• Permitir acessar a Intranet de forma

Segura.

• Controle de Acesso.

• Autenticação Centralização no OpenLDAP.

• Portável e de Simples Usabilidade.

• Isolar Clientes Não Autenticados.


Company LOGO

www.company.com

5. Anexos: Autenticação Wireless• Access Point: LARQSS.• Realizar autenticação pelo OpenVPN.

• Obs: No windows vista o openVPN GUI deve ser executado com permissões de administrador.


Company LOGO

www.company.com

• [1] CHANG T, LEE J, WU S. The Telemedicine and Teleconsultation System Application in Clinical Medicine. In Anual International Conference of the IEEE; 2004 September. p. 3392-3395.

• [2] SCHUMACHER, M.; BUGLIONI, E. F.; HYBERTSON, D.; BUSCHMANN, F.; SOMMERLAD, P. Security patterns: integrating security and systems engineering. England: John Wiley & Sons, 2006.

• [3] Conselho Federal de Médicina (Brasil). Resolução CFM Número 1.821/2007. Brasília, DF: CFM, 11 jul. 2007.

• [4] TANENBAUM, A. S. Redes de Computadores. tradução Vandenberg. D. S., 4ª Edição. Rio de Janeiro: Elsevier, 2003.

• [5] Citrix XenServer. Disponível em: < http://www.citrix.com/English/ps2/products/feature.asp?contentID=1686939>. Acessado em agosto de 2009.

• [6] KOBAYASHI, L. O. M.; MOTTA, G. H. M. B.; Furuie, S. S.. Análise dos Requisitos Tecnológicos para Implementação de Segurança Fim-a-Fim em Imagens Médicas. In: III Latin American Congress on Biomedical Engineering, XIX Congresso Brasileiro de Engenharia Biomédica, 2004, João Pessoa - PB. Proceedings of the International Federation for Medical and Biological Engineering, 2004. v. 5. p. 597-600.


5. Referencias Bibliográficas:

Company LOGO

www.company.com

• [7] SOMMERVILLE I. Engenharia de Software. Wesley: Pearson Addison, 2007.

• [8] MOTTA, G. H. M. B. Um modelo de autorização contextual para o controle de acesso ao prontuário eletrônico do paciente em ambientes abertos e distribuídos. São Paulo: USP, 2004. 213 p. Tese (Doutorado) – Programa de Pós-graduação em Engenharia Elétrica, Escola Politécnica da Universidade de São Paulo, São Paulo, 2004.

• [9] FERRAIOLO D. F.; KUHN, D. R.; CHANDRAMOULI, R. Role-Based Access Control. Boston: Artech House, 2003.

• [10] STALLINGS, W. Criptografia e Segurança de Redes: Princípios e Práticas. 4ª Edição. Prentice-Hall, 2007.

• [11] TRIGO, C, H. OpenLDAP: uma Abordagem Integrada. São Paulo: Novatec, 2007.

• [12] Vulnerability Report: FreeBSD 7.1. Disponível em: < http://secunia.com/advisories/product/21677/> Acessado em agosto de 2009.

• [13] Vulnerability Report: Debian GNU/Linux 5.0. Disponível em < http://secunia.com/advisories/product/21392/> Acessado em agosto de 2009.

• [14] TANENBAUM, A. S. Organização estruturada de computadores. Tradução: Arlete Simille Marques; 5ª Edição. São Paulo: Pearson Prentice Hall, 2007.


5. Referencias Bibliográficas:

Company LOGO

www.company.com

PLANOImplementação de Arquitetura de SegurançaBaseada em Security Patterns para o OpenCTI

PROJETOOpenCTI: Software de uma Central de Telemedicina para Apoio à Decisão Médica

em Medicina Intensiva

João F. M. [email protected]

http://www.joaomatosf.com

Orientador:Gustavo Motta.

[email protected]


Departamento De Informática

Universidade Federal Da Paraíba

Obrigado!


http://www.joaomatosf.com/


ENIC/UFPB 2009. Arquitetura de Segurança Baseada em Security Paterns Para o OpenCTI.

Technology

Transcript of ENIC/UFPB 2009. Arquitetura de Segurança Baseada em Security Paterns Para o OpenCTI.