Segurança e Auditoria

de Sistemas

Prof.º Fernando Curvelo

A Era da Informação

Informação: cada vez mais valorizada;

• Empresarial;

• Particular;

Crescimento da dependência;

• Décadas atrás a informação não era tão automatizada e era armazenada em um

único local centralizado;

• A TIC evoluiu e o compartilhamento das informações passou a ser uma prática necessária;

• Para uma empresa ser bem sucedida, a informação é uma ferramenta

poderosa;

Uma receita amarga

• Muitas empresas encaram (ainda!) a Segurança da Informação como um gasto e não como investimento;

• Para tentar compreender melhor a situação com relação à segurança vivida nas empresas, uma forma didática seria associar as situações vividas a uma receita de bolo;

• Ingredientes:

• Crescimento da digitalização da informação;

• Crescimento da conectividade nas empresas;

• Crescimento das relações eletrônicas entre as empresas;

Uma receita amarga

• Ingredientes:

• Crescimento do compartilhamento da informação;

• Baixo preço dos computadores e com isso facilidade de aquisição;

• Internet grátis e de alta velocidade;

• Falha no nível de identificação de usuários em acesso gratuito a Internet;

• Alta disponibilidade sobre técnicas e ferramentas de invasão e ataques;

• Carências leis para julgar atos ilícitos em meio eletrônico;

• Carência da conscientização de similaridade entre crime real e eletrônico;

• Entre outros;

• Se misturar tudo isso e mais um pouco, o produto final desta receita será

amargo e difícil de degustar;

Ciclo de vida da Informação

• A Informação tem três pilares de sustentação:

• Confidencialidade: toda a informação deve ser protegida de acordo com o

grau de sigilo de seu conteúdo;

• Integridade: toda a informação deve ser mantida na mesma condição em que foi disponibilizada pelo proprietário;

• Disponibilidade:

estar

Toda

informação

gerada

adquirida

deve

a

ou

disponível aos seus usuários no momento em que se necessite delas;

• O Ciclo de Vida da informação é identificado pelos momentos vividos por ela, ou seja, são aqueles momentos quando os ativos físicos, tecnológicos e humanos fazem uso dela, sustentando processos, que por sua vez, mantêm a empresa em operação;

Ciclo de vida da Informação

Os momentos vividos pela informação são:

• Manuseio: momento onde a informação é criada e manipulada;

• Armazenamento: momento onde a informação é armazenada, não importa

onde;

• Transporte: momento onde a informação e transportada, seja por e-mail,

correios, redes, entre outros;

• Descarte: momento onde a informação e descartada, seja em uma lixeira, seja eliminar um arquivo eletrônico;

Se pensar na segurança como um todo, adianta garantir 3 dos 4

conceitos? Não!

Conceitos de Segurança em TIC

• Segurança em TIC é a segurança da INFORMAÇÃO e dos recursos humanos, lógicos e físicos envolvidos com a coleta, tratamento, armazenamento, disseminação e eliminação.

• É possível considerar também que Segurança em TIC é a prática da gestão dos riscos de incidentes que possam impactar no comprometimento dos três principais conceitos da segurança que são: a confidencialidade, integridade e disponibilidade.

• Com estas definições é possível definir regras que incidiram sobre todo o ciclo de vida da informação: manuseio, armazenamento, transporte e descarte.

NÃO EXISTE SEGURANÇA TOTAL!

Conceitos de Segurança em TIC

• Segundo a norma ABNT NBR ISSO/IEC 27002:2005, a Segurança da informação é a proteção da informação de vários tipos de

ameaças para garantir a continuidade do negócio, minimizando os riscos e maximizando o retorno sobre investimentos e as oportunidades de negócio. A segurança da informação é obtida

como resultado da implementação de um conjunto de controles,

compreendendo políticas, processos, procedimentos, estruturas organizacionais e funções de hardware e software.

NÃO EXISTE SEGURANÇA TOTAL!

Conceitos de Segurança em TIC

Segurança Física

• Transmissão e destruição da informação

Segurança Lógica

• Processamento e acesso

Conceitos de Segurança em TIC

Consistência da coleta de dados

• Tanto a coleta manual quanto a automática exigem processos de validação.

• Manual: erro humano.

• Automática: erro nos coletores.

Consistência no processamento

• O tratamento dos dados é um processo com vulnerabilidades.

• Testes dos programas.

• Conhecimento do processo.

• Filtros e limites.

• Histórico e documentação.

Conceitos de Segurança em TIC

Aspectos de Segurança da Informação

• Autenticação: processo que consiste na identificação e reconhecimento formal da identidade dos elementos que se comunicam ou que fazem parte de uma transação eletrônica que permitirá o acesso a informação.

• Legalidade: característica da informação. Ela possui um valor legal dentro do

processo de comunicação, onde a informação está de acordo com clausulas contratuais pactuadas ou legislação vigente (internacional e/ou nacional).

Conceitos de Segurança em TIC

Aspectos associados

• Autorização:

concessão

de

permissão

para

acesso

à

informação

e

funcionalidades das aplicações envolvidas (usuário ou máquina).

• Auditoria: processo de coleta de evidências do uso dos recursos existentes na troca de informações.

• Autenticidade: garantia de que as entidades envolvidas (informação, máquina

ou usuários) no processo de comunicação, sejam exatamente o que dizem ser e que a mensagem ou informação não foi modificada após o seu envio.

• Severidade:

gravidade

de

um

dano

que

o

ativo

pode

exploração de uma vulnerabilidade.

sofrer

devido

a

Conceitos de Segurança em TIC

Aspectos associados

• Ativo: Qualquer coisa que tenha valor para a empresa e para os negócios. Exemplos: Banco de dados, softwares, equipamentos, entre outros.

• Relevância do processo de negócio: grau de importância de um processo de negocio para o alcance de um objetivo e sobrevivência da empresa.

• Criticidade: gravidade do impacto ao negócio, causado pela ausência de um

ativo, pela perda ou redução de suas funcionalidades em um processo de negócio ou pelo uso indevido.

• Irretratabilidade: característica da informação que possui a identificação do emissor que o autentica como o autor.

Conceitos de Segurança em TIC

Ameaças: agentes ou condições que causam incidentes que podem

comprometer a informação e seus ativos por meio da exploração de vulnerabilidades e que podem provocar a perda de integridade, confiança e disponibilidade da informação, impactando assim

negativamente nos processos de negócio.

• Naturais: Ameaças provenientes de fenômenos da natureza.

• Involuntárias: Ameaças inconsistentes, causadas na maioria dos casos por

desconhecimento.

• Voluntárias humanos.

/

Intencionais:

ameaças

propositais

causadas

por

agentes

Conceitos de Segurança em TIC

Vulnerabilidades: fragilidade presente ou associada a ativos que

manipulam a informação que, ao ser explorada por ameaças permite a

ocorrência de um incidente de segurança.

• Físicas: instalações prediais fora de padrões, sala de CPD mal planejada, falta de

extintores, entre outros.

• Naturais: causas naturais tais como incêndios, enchentes, acúmulo de poeira, entre outros.

• Hardware: falha nos equipamentos (desgaste, má utilização) ou erro de instalação.

• Software: Erros na instalação ou má configuração.

• Mídias: Discos, fitas, relatórios, entre outros, podem ser danificados ou perdidos.

• Comunicação: acesso não autorizado ou perda de comunicação.

• Humanas: falta de treinamento, compartilhamento de informações confidenciais, não execução de rotinas de segurança, sabotagem, entre outras.

Conceitos de Segurança em TIC

Medidas de Segurança: práticas, procedimentos e/ou mecanismos

utilizados para a proteção das informações e seus ativos.

• Preventivas:

medidas

incidentes aconteçam.

de

segurança

que

tem

como

objetivo

evitar

que

• Detectáveis: medidas de segurança que visam identificar condições ou

indivíduos que possam causar danos às informações.

• Corretivas: ações voltadas para a correção de uma estrutura (tecnológica e humana), adaptando-as às condições de segurança estabelecidas.

Conceitos de Segurança em TIC

• Riscos: Probabilidade de ameaças explorarem vulnerabilidades.

• Impacto: Abrangência dos danos causados por um incidente de

segurança.

• Incidente: Fato decorrente da ação de uma ameaça que explorou

uma ou mais vulnerabilidades, provocando a perda de informação

ou princípios da segurança da informação.

Conceitos de Segurança em TIC

Ataques

•

Há

Fabricação.

4

modelos

de

ataques–

Interrupção,

Fonte

Destino

da

da

informação

informação

Fluxo normal

Interceptação,

Interrupção

Interceptação

_{Modificação}

Modificação

e

Fabricação

Conceitos de Segurança em TIC

Ataques

• Interrupção: é quando o ativo é destruído ou fica indisponível (inutilizável), caracterizando ataque contra disponibilidade. Exemplo: destruição de um HD.

• Interceptação: quando o ativo é acessado por uma parte não autorizada (pessoa, software ou computador), caracterizando ataque contra a confidencialidade. Exemplo: cópia não autorizada de arquivos.

• Modificação: quando o ativo é acessado por uma parte não autorizada (pessoa, software ou computador) e ainda é alterado, caracterizando ataque contra a integridade.

• Fabricação: quando uma parte não autorizada (pessoa, software ou computador) insere objetos falsificados em ativos, caracterizando ataque contra a autenticidade. Exemplo: adição de registro no banco de dados.

Conceitos de Segurança em TIC

Ataques

• O ataque é um ato deliberado que tenta se desviar dos controles de segurança com o objetivo de encontrar e de aproveitar as vulnerabilidades.

• Ataque Passivo: é baseado em escutas e monitoramento de transmissões com o intuito de obter informações. O ataque desta categoria é difícil de detectar porque não envolve alterações de dados, todavia, é possível de prevenir com a utilização de criptografia. Exemplo: escuta telefônica.

• Ataque Ativo: envolve modificação de dados, criação de objetos e falsificação ou negação de serviço. São ataques de difícil prevenção, por causa da necessidade de proteção completa de toda as etapas de comunicação e processamento, o tempo todo.

Conceitos de Segurança em TIC

Barreiras de Segurança

• Desencorajar: esta barreira tem o objetivo de desencorajar as ameaças. O estimulo pela tentativa de quebra da segurança pode ser feito através de

mecanismos físicos, humanos ou tecnológicos;

• Dificultar: esta barreira tem o objetivo dificultar o acesso indevido e para isso pode-se utilizar dispositivos de autenticação para acesso físico, leitores de cartões, senhas, entre outros;

• Discriminar: nesta barreira, o importante é ter recursos que permitem

autorizando

identificar

gerir

definindo

acessos,

assim

perfis

e

os

os

e

permissões;

Conceitos de Segurança em TIC

Barreiras de Segurança

• Detectar: esta barreira deve ter a solução de segurança, ou seja, ter os dispositivos que sinalizem, alertem os gestores da segurança sobre uma tentativa de invasão;

• Deter: nesta barreira o objetivo é impedir que a ameaça atinja os ativos do negócio;

• Diagnosticar: está barreira apesar de ser a última, ela é importante pois representa

a continuidade do processo de gestão de negócio e é ela quem faz o elo com a

primeira barreira, criando assim um movimento contínuo. Aqui nesta barreira devem ser feitas as analises dos riscos (aspectos tecnológicos, humanos e físicos)

Conceitos de Segurança em TIC

Controle e distribuição da informação impressa:

• É uma prova objetiva da responsabilidade de quem a elabora.

• A impressão: um momento que exige proteção (na empresa) e proteção + contrato bem elaborado (outsourcing).

• A destruição dos relatórios utilizados.

• A garantia de autenticidade (exemplo: certificados da Receita Federal).

• Controle das impressões.

• Malas diretas e etiquetas em geral.

Segurança em TIC

Controle sobre o acesso on- line da informação:

• Identificação do usuário.

• Filtros de pacotes e listas de acesso.

• Firewall.

• Análise de conteúdos (sites, palavras, figuras?).

• Vírus e cavalos de Tróia.

• Controle de acesso por faixa etária.

Segurança em TIC

Controle sobre informação pessoal:

• Um perfil para cada usuário e com senhas diferentes.

• Backup dos documentos, fotos em um local fora do computador pessoal.

• Utilização de programas de segurança, como por exemplo, firewalls , antivírus e controles de pais (para quem tem filhos).

• Quando não estiver utilizando o computador, não deixar o perfil “logado”.

• Se for preciso levar o dispositivo a um técnico, evite de deixar arquivos salvos

no nele.

• Lei contra crimes eletrônicos lei 12.737 (Carolina Dieckmann).

Segurança em TIC

INTERNET

• Motivos do sucesso:

• Aplicações padronizadas FTP (Transmissão de arquivos) e SMTP (e -mail ).

• Rápida evolução do microprocessador.

• Ambiente gráfico.

• Relação entre custos e os benefícios.

• Profissionalização da microinformática.

• Vulnerabilidades

• Conectividade mundial

• Conhecimento disponível para “interessados”, de forma fácil e gratuita.

Segurança em TIC

INTERNET

Expectativas do usuário	Considerações
Disponibilidade	24 horas X 7 dias
Desempenho	Tempo de resposta adequado
Navegabilidade	Planejamento, quantidade de
	telas e lógica de navegação
Segurança e Privacidade	O usuário deve se sentir seguro

Segurança em TIC

REDE

Item Alvo		Considerações
Balanceamento de carga dos equipamentos	-	ajuste dos recursos de acordo com a demanda.
	- carga compartilhada por vários servidores.
Redimensionamento	- agilidade em ajustar os recursos para atender as demandas.
Confiabilidade	- falhas específicas não refletem em paralisação geral.
	- obediência rigorosa a política de segurança e privacidade.
	- processadores paralelos, espelhamento, firewall.
Flexibilidade	- acompanhar o ritmo da tecnologia.
	- escalabilidade.
	- evolução horizontal e vertical.
Continuidade operacional	- plano de ação para minimizar impactos.
	- monitoração permanente dos serviços.
	- controle rígido sobre os recursos.

Segurança em TIC

Risco

• Denominação genérica dos eventos que podem causar algum tipo de impacto na capacidade de uma organização em alcançar os seus objetivos de negócio.

• Estão presentes na esfera de abrangência do risco os seguintes elementos:

• incerteza – preocupação com a eficiência operacional;

• ameaça – perda financeira, mácula na imagem;

• oportunidade – investimentos na estrutura de proteção.

Segurança em TIC

Identificação do Risco

É uma atividade contínua que deve observar as seguintes orientações:

• entender os objetivos estratégicos e operacionais da empresa e os fatores críticos de sucesso, ameaças e oportunidades;

• análise das funções críticas para identificar os riscos das atividades que as

compõem;

• classificar os riscos para priorizar investimentos;

• definir ações que diminuam e monitorem os riscos identificados;

• avaliação do equilíbrio entre risco e ROI dos produtos e serviços.

Segurança em TIC

Avaliação do Risco

Após a identificação dos riscos é importante elaborar os relatórios que apresentem:

• possíveis riscos;

• impactos;

• ocorrências;

• ações preventivas;

• gerenciamento a ser adotado;

Segurança em TIC

Ambiente de controle

O ambiente de controle é importante para o gerenciamento de riscos.

Fatores importantes para a implantação do ambiente:

• comprometimento da administração;

• padrões para a linguagem e os processos;

• coordenação no gerenciamento de mudanças;

• envolvimento das áreas de negócio, tecnologia, segurança e auditoria;

• aculturação dos funcionários;

• acompanhamento dos casos de sucesso e fracasso;

• monitoração dos processo;

• revisão contínua do ambiente.

Segurança em TIC

Desenvolvimento do Serviço

As fases que compõem o desenvolvimento do serviço a ser prestado:

• desenvolvimento da estratégia do serviço;

• entendimento da organização e das competências;

• definição dos processos;

• determinação dos indicadores de desempenho;

• projeto do sistema e da tecnologia;

• projeto da segurança das informações;

• projeto da entrega do serviço para a produção;

• avaliação de aspectos legais.

Segurança em TIC

Desenvolvimento da estratégia do serviço

As atividades dessa fase são:

• revisão da estratégia de negócio;

• análise do mercado potencial e receita esperada;

• avaliação de conflitos;

• análise de fortalezas, deficiências, oportunidades e ameaças;

• definição a estratégia do serviço;

• definição do valor agregado do serviço;

• projeto dos produtos a serem oferecidos;

• especificação de funcionalidades;

• identificação dos riscos;

• avaliação dos impactos nos processos, estrutura e sistemas;

• análise de parcerias e terceirizações;

• definição da gestão das informações;

• desenvolver o estudo de viabilidade técnica

Segurança em TIC

Entendimento da organização e das competências

As atividades dessa fase são:

• identificação das estruturas gerencial e organizacional;

• identificação e descrição de funções;

• detalhamento das competências necessárias por função;

• identificação dos profissionais internos e esternos e atribuição de responsabilidades;

• desenvolvimento de programa de treinamento para os profissionais envolvidos com o

projeto;

• elaboração de plano de recrutamento, se necessário;

• elaboração, aprovação e divulgação do plano para gerenciamento de mudanças;

• desenvolvimento de estratégia de relacionamento com parcerias, alianças e terceiros;

• efetuar acordo do SLA com parceiros, aliados e terceiros.

Segurança em TIC

Definição dos processos

As atividades dessa fase são:

• projeto dos processos para atender os serviços;

• definir as fases do projeto;

• especificação o gerenciamento de risco dos clientes on-line;

• análise impactos e definir soluções para processos existentes;

• planejar, desenvolver e testar novos serviços;

• definição das responsabilidades de terceiros;

• integração entre os processos novos e os existentes;

• definição da gerência de clientes;

• definição dos procedimentos de controle interno;

• efetuar a avaliação da eficácia do website;

• definição das variáveis para medir os efeitos do serviço.

Segurança em TIC

Definição dos indicadores de desempenho

As atividades dessa fase são:

• definição de um sistema de medição geral do serviço;

• planejamento, medição, monitoração e controle do desempenho dos processos de:

•	atendimento aos clientes;
•	publicidade;
•	valor agregado de produtos e serviços;
•	website;
•	preços;

Segurança em TIC

Projeto de sistema e tecnologia

As atividades dessa fase são:

• definição da especificação funcional do sistema;

• especificação de dados, funções e relacionamentos;

• identificação das interfaces entre o sistema novo e os existentes;

• especificação das interfaces com os usuários;

• especificação da infra-estrutura técnica para o sistema;

• definição da arquitetura de segurança;

• identificação de fornecedores e pacotes;

• identificação das necessidades de conexão a internet – ISP;

• identificação de recursos específicos para o serviço;

• efetuar a sintonia fina para alcançar e manter o SLA.

Custo Total de Propriedade (TCO – Total Cost of Ownership)

O TCO foi desenvolvido por uma empresa de consultoria e pesquisa de mercado em TI chamada Gartner Group.

TCO é um modelo do ciclo de vida de um equipamento, um produto ou

um serviço, ou seja, é levado em consideração os custos com a

aquisição, propriedade, operação e manutenção ao longo da sua vida

útil.

Custo Total de Propriedade (TCO – Total Cost of Ownership)

No TCO os custos da empresa externa e interna devem ser incluídos,

isto significa que devem ser incluídos os custos e negociação com o

fornecedor, transporte, inspeção e manuseio de materiais. Ele também

inclui os custos de entregas atrasadas, o tempo de inatividade causados

por falhas, garantias, custos de descarte e problemas gerados pela

qualidade do produto ou serviço oferecido.

No TCO os custos com os valores associados, ou seja, custos com

treinamento de usuários, manutenção regular, auditoria, atualizações de software, tarefas de gerenciamento, entre outros, também estão

incluídos.

Custo Total de Propriedade (TCO – Total Cost of Ownership)

Implantar e manter uma grande infra-estrutura pode tornar-se onerosa

e consequentemente sobrecarregar de trabalho às equipes de rede e isto

pode aumentar o Custo Total de Propriedade.

Reduzir o TCO é um desafio contínuo para todas empresa. O TCO relativo a cada uma das soluções oferecidas pelo mercado é

extremamente relevante, pois é um relacionamento de longo prazo. O

gerenciamento do ciclo de vida de informações da empresa permite obter o máximo dos recursos disponíveis com o TCO mais baixo em

cada estágio.

O TCO bem feito possibilita uma redução de custos de até 40%, especialmente para pequenas e médias empresas.

Custo Total de Propriedade (TCO – Total Cost of Ownership)

A segurança da informação em uma empresa representa a proteção de um bem ainda imensurável. Por exemplo, quando uma informação é

perdida por causa de um vírus, o administrador da rede poderia

recuperá-la através do backup . Embora a política de segurança de muitas empresas tenha o backup dos arquivos como obrigatório, muitas vezes

eles são esquecidos ou mal feitos, prejudicando assim a recuperação.

Quando se adota uma política de segurança eficaz, um longo processo que analisa os ambientes, os sistemas e as pessoas precisa ser

acompanhada por profissionais de todas as áreas envolvidas. Afinal de

contas uma política de segurança custa bem menos do que um dia de perda de informações.

Custo Total de Propriedade (TCO – Total Cost of Ownership)

O conceito de TCO não é novo para os administradores de empresas e para as empresas que utilizam métodos de custeio em seus processos

produtivos e/ou de prestação de serviços. De certa forma, o TCO já era

utilizado pelas empresas, antes mesmo de ser "homologado" ou reconhecido como tal.

Cada vez mais, ainda que empiricamente, as empresas estão adotando o

conceito de TCO na gestão dos custos dos ativos operacionais, lançando mão de um foco mais agressivo na determinação dos custos invisíveis

oriundos do uso intensivo da Tecnologia da Informação. A esse esforço

segue-se uma redução do custo total de propriedade da rede uma vez

que a possibilidade de acesso às informações amplia-se, melhorando o

gerenciamento da própria informação.

Criptografia

Criptografia é a ciência que se utiliza de algoritmos matemáticos para encriptar (cripto = esconder) dados (texto claro) de uma forma não

legível (texto cifrado) e depois recuperá-los (decriptografá-los).

Com a criptografia, o custo para tentar decifrar o conteúdo das

mensagens cifradas torna-se maior do que o potencial ganho com os

dados.

Criptoanálise é a ciência que estuda métodos, algoritmos e dispositivos

a fim de quebrar a segurança dos sistemas criptográficos, ou seja,

tentam descobrir o texto claro a partir do texto cifrado.

Criptografia

Encriptação: é o processo de transformar texto claro em uma forma

ilegível. O propósito da encriptação é de manter a privacidade, ou seja,

manter a informação escondida para qualquer pessoa que não seja o destinatário.

Decriptação: é o processo reverso da encriptação, ou seja, transformar novamente em texto claro um texto cifrado.

Texto Claro: é a mensagem a ser enviada. Se interceptado pode ser lido sem problema.

Texto Cifrado: é a mensagem que passou pelo processo da encriptação.

Se interceptado não pode ser lido, a menos que seja o destinatário.

Criptografia - História

Como a criptografia é uma ciência matemática ela existe muito antes do

computador.

Um exemplo de criptografia antiga é a que Julio Cesar criou, chamada de Julio Cypher. Como os meios de comunicação eram limitados e usava-se mensageiros a cavalo para enviar mensagens ao campo de batalha, as mensagens corriam o sério risco de serem interceptadas e enviadas aos inimigos.

Júlio Cesar criou um algoritmo que consistia em deslocar as letras da mensagem três posições para a direita, com isso as mensagens ficavam

difíceis de ler, caso fossem interceptadas pelo inimigo. Para fazer a

decriptação bastava deslocar três posições para a esquerda.

Criptografia - História

Veja um exemplo de texto cifrado utilizando a cifragem de Júlio Cesar.

Código:

A

B

C

D

E

F

G

H

I

J

K

L

M

N

O

P

Q

R

S

T

U

V

W

Y X Z

D

E

F

G

H

I

J

K

L

M

N

O

P

Q

R

S

T

U

V

W

X

Y

Z

B A C

Chave com o deslocamento de 3

ATACAR (texto claro)

DWDFDU (texto cifrado)

Criptografia - História

Outro exemplo de aplicação em guerra foi durante a Segunda Grande Guerra, onde os nazistas desenvolveram um sistema criptográfico que se em equipamento mecânico para criar as mensagens criptografadas. Elas eram enviadas via ondas de rádio para os submarinos que ficavam no Atlântico Norte. Estes submarinos também possuíam este equipamento, pois só assim eles conseguiam fazer a decriptografia.

Os aliados só conseguiram decifra as mensagens interceptadas depois

que eles capturaram um submarino que tinha este equipamento intacto.

Criptografia - Uso

A criptografia pode ser usada para:

• Garantir a confidencialidade da mensagem para que usuários desautorizados não tenham acesso a ela;

• Garantir a autenticidade da mensagem;

• Validação da origem da mensagem;

• Manter a integridade da mensagem;

• Garantir que a mensagem não seja modificada no encaminhamento;

• Provar o envio;

• Não repúdio.

Criptografia – É seguro?

Para ser considerado seguro, um algoritmo criptográfico deve ter uma

chave que seja quase impossível de ser quebrada ou que com o uso de

cálculos seja impossível extrair o texto claro do texto cifrado sem o

conhecimento da chave.

A encriptação é computacionamente segura, ou seja, os dados estão a salvo desde que não exista nenhum poder de computação de alta capacidade capaz de quebrar a cifragem.

Os sistemas perderiam o seu uso se alguém conseguisse reverter o

algoritmo usado para fazer a encriptação, ou seja, a reversão de um

algoritmo criptográfico está associado a despendimento de tempo e esforço.

Criptografia – O que encriptar?

Toda a informação que for reservado ou que possuir algum valor para a empresa e que podem ou serão transportadas em um meio inseguro, devem ser criptografadas.

Para isso existem três sistemas criptográficos:

• Sistema de chave secreta;

• Sistema de chave publica;

• Baseado em função de hashing ;

Criptografia

Sistema de Chave Secreta

É o conhecimento de uma chave secreta que as partes de uma

comunicação possui. Este sistema é usado, geralmente, quando há uma

grande quantidade de dados a serem criptografados.

Nesse sistema não é possível prover o “não repúdio”, pois, ambas as

partes são conhecedoras da chave secreta.

Para manter esse sistema seguro, a chave secreta deve ser mantida em

segredo, pois a segurança parte dela.

Criptografia

Sistema de Chave Pública

Em 1977 os professores Ronald Rivest, Adi Shamir e Len Adleman do

Instituto de Tecnologia de Massachusetts criaram o Sistema Criptográfico de

Chave Pública.

Neste sistema é usado um par combinado de chaves codificadoras e

decodificadoras. Cada chave tem uma função, ou seja, cada chave executa

uma transformação de via única nos dados. Cada chave tem uma função

inversa da outra: o que uma faz a outra desfaz.

A chave pública é disponibilizada pelo proprietário, enquanto que a privada

é mantida em segredo. Para enviar uma mensagem criptografada o autor

embaralha a chave pública do destinatário. Isto quer dizer que, uma vez criptografada, a mensagem só pode ser decriptografada com a chave privada do destinatário.

Criptografia

Message Digest

Nesse sistema, textos de tamanhos variados são crifrados em textos de

tamanho fixo. São usados para computar hashes e checksum de

mensagens.

O objetivo é de produzir uma pequena string que será única para cada

texto criptografado.

Essa técnica é usada para saber se a mensagem foi alterada no meio do

caminho durante o seu transporte.

Criptografia

Implementação dos Sistemas Criptográficos

A implementação via software é mais barata, porém o processo é mais

lento e não tão seguro, visto que o software é mais simples de ser

modificado e forjado.

A implementação via

microprocessadores dedicados. Eles são mais rápidos, porém menos flexíveis.

e/ou

hardware

é

feita

chips

por

Criptografia – Chaves Criptográficas

Definição

Para encriptar e decriptar é necessário o uso de informações secretas,

normalmente conhecidas como chaves.

A chave é um número, normalmente primo, utilizado em conjunto com um algoritmo criptográfico para a criação dos textos cifrados.

Alguns atributos destas chaves são:

• Tamanho: número de bit/bytes;

mesmo

• Espaço:

coleção

de

combinações

matemáticas

têm

que

o

tamanho da chave;

Criptografia – Chaves Criptográficas

Gerenciamento

Para

mecanismos para:

• Geração;

• Distribuição;

• Entrada e saída;

• Armazenamento;

• Arquivamento de chaves;

gerenciar

chave

uma

criptográfica,

o

sistema

precisa

definir

Criptografia – Chaves Criptográficas

Geração de chaves

Para gerar uma chave, é obrigatório o uso de um algoritmo devidamente testado. O gerador

de números aleatórios deve garantir que todos os valores dos bits são gerado igualmente. O

padrão de geração de chaves não pode ser de conhecimento público, por isso a necessidade

de algoritmos randômicos que geram números aleatórios.

Distribuição da chave

Para distribuir uma chave, o processo pode ser manual, automático ou misto. A entrada da chave pode ser feita através do teclado, automaticamente ou até mesmo através e smart cards.

O canal que será utilizado para a troca das chaves criptográficas deve ser seguro.

Criptografia – Chaves Criptográficas

Armazenamento da chave

As chaves não devem ser acessíveis, porém é aconselhável e útil manter as chaves criptográficas em um arquivo como uma forma de backup,

permitindo assim a sua recuperação caso seja necessário. Este arquivo deve ser mantido em computador que esteja em um ambiente controlado e seguro

ou em dispositivos de armazenamento removível, desde que eles fiquem

guardados em um local seguro e controlado.

Criptografia – Chaves Criptográficas

Troca de chaves

É o processo que define os mecanismos que serão utilizados para que as partes envolvidas na comunicação tenham conhecimento das chaves criptográficas.

O que se busca é um dispositivo capaz de trocar as chaves de uma

maneira segura sem que seja necessário estabelecer uma chave

compartilhada anteriormente.

Criptografia – Tipos de Criptografia

Criptografia Simétrica

Nos algoritmos de chave simétrica, as partes envolvidas na comunicação (origem e destino) precisam possuir a mesma chave. Esses algoritmos são rápidos, porém existe a necessidade de um canal seguro para fazer a comunicação da chave secreta, pois existe o risco de alguém descobrir a chave secreta e assim decriptar a mensagem.

Na criptografia simétrica, o não repúdio da mensagem, também não é garantido.

_{Texto Claro}

TAD-

NC4

Origem

_{Texto Cifrado}

!@#$%

¨

Texto Original

TAD-

NC4

Destino

Encriptação

Decriptação

Criptografia

Criptografia Simétrica – Principais Algoritmos

DES e 3DES

O DES ( Data Encryption Standard ) é um algoritmo padrão que foi desenvolvido nos

anos 70 pelo NIST ( National I nstitute of Standards and Tecnology ) em conjunto com a

IBM. Neste algoritmos a chave tem um tamanho de 56 bits.

No 3DES, o algoritmo DES é aplicado três vezes com três chaves distintas a 168 bits

ou duas distintas de 112 bits.

Este algoritmo trabalha com a substituição dos bits do texto claro pelos bits do texto cifrado. O processo é simples e por conta disto os algoritmos são executados rápido.

Criptografia

Criptografia Simétrica – Principais Algoritmos

RC2

Foi desenvolvido por Ronald Rivest (um dos fundadores da RSA). Permite o uso de

chaves criptográficas de até 2048 bits e são comercializados pela própria RSA.

RC4

É a evolução do RC2, sendo mais rápido. Trabalha com chaves de até 2048 bits e

também é comercializado pela RSA.

Criptografia

Criptografia Simétrica – Principais Algoritmos

RC5

Teve a sua publicação em 1994 e permite que o usuário defina o tamanho da chave.

IDEA

O IDEA ( International Data Encryption Algorithm ) foi desenvolvido por James Massey e Xuejia Lai. Este algoritmo utiliza chaves de 128 bits e a sua patente está com a

empresa Ascom Tech AG, que é da Suiça.

Criptografia

Criptografia Simétrica – Principais Algoritmos

AES

O AES é um algoritmo que foi concebido também pela NIST. Ele é um padrão avançado e

tem como maior objetivo substituir os algoritmos DES e 3DES.

Este algoritmo surgiu em concurso realizado pela NIST e teve como fatores analisados para

a escolha do vencedor a segurança (esforço requerido para a criptoanalise), eficiência

computacional, requisitos de hardware e software, simplicidade e eficiência.

O padrão foi definido em 2001 e o algoritmo vencedor foi o criado por Vicent Rijmen e Joan

Daemen.

Este algoritmo trabalha com blocos fixos de 128 bits e uma chave que tem o tamanho variado que pode ser de 128, 192 ou 256 bits.

Criptografia

Criptografia Assimétrica

Este modo de criptografia está baseado na utilização de duas chaves: uma mantida em segredo e a outra pública e ela foi criada em 1976 por Whitfield Diffie e Marin Hellman.

Enquanto uma chave e utilizada para a encriptação a outra é usada para a decriptação. Como este modo é mais complexo, ele é muito mais lento que a criptografia simétrica, algo em torno de 100 a 1000 vezes mais lento.

Mas a vantagem desse modo é que ele resolve o problema do gerenciamento das chaves. A criptografia assimétrica é também chamada de criptografia de chave pública e como requisito básico, as chaves públicas devem ser mantidas em um local seguro e autenticado.

A criptografia de chave pública pode fornecer também mecanismos eficientes para a assinatura digital e para o certificado digital.

Criptografia

Criptografia Assimétrica

A criptografia assimétrica é possível porque ela utiliza funções matemáticas unidirecionais, ou seja, não é possível conseguir o valor original se as funções forem invertidas. A única maneira de realizar a inversão é ter a posse de parte do conteúdo do texto cifrado, porém, computacionalmente falando, a inversão não é uma tarefa muito fácil.

_{Texto Claro}

TAD-

NC4

Criptografia

Chave Pública “do Fulano”

_{Texto Cifrado}

!@#$%

¨

Decriptografia

Chave Privada “do Fulano”

Texto Original

TAD-

NC4

Criptografia

Criptografia Assimétrica – Principais algoritmos

RSA

O algoritmo RSA foi criado em 1977 pelos professores Ronald Rivest, Adi Shamir e

Len Adleman do Instituto de Tecnologia de Massachusetts.

A segurança deste algoritmo está ligado diretamente com o grau de dificuldade em

realizar fatoração, pois, as chaves públicas e privadas são números primos grandes

(com 100, 200 dígitos ou mais).

Este algoritmo é muito utilizado para garantir a confidencialidade e autenticidade das mensagens, porém, como ele é mais lento que os algoritmos simétricos, ele não é utilizado para encriptar grandes blocos de dados.

Criptografia

Criptografia Assimétrica – Principais algoritmos

Diffie-Hellman

Criado em 1975 pelo Whitfield Diffie e Martin Hellman este algoritmo baseia-se no

uso de chaves logarítmicas discretas.

Este algoritmo é utilizado pelos algoritmos criptográficos para a troca de uma chave

pública compartilhada por um canal público não seguro de comunicação.

Criptografia

Criptografia Assimétrica – Principais algoritmos

Assinatura Digital

A assinatura digital serve para verificar a autenticidade e a integridade de uma

mensagem.

A grande vantagem da criptografia assimétrica é de que apenas o proprietário pode

decriptar a mensagem, porém a grande desvantagem é que este processo é muito

lento e por isso aplica-se esse processo apenas na assinatura digital de documentos.

Para criar uma assinatura digital, a mensagem é passada por uma função de hashing para gerar um hash . Esse hash , como é pequeno, pode ser encriptado por funções de criptografia assimétrica e só então é anexado à mensagem original.

Criptografia

Criptografia Assimétrica – Principais algoritmos

Assinatura Digital

A assinatura digital que está anexada ao documento garante que ela foi gerada pelo

criador da mensagem. Isto porque, qualquer mudança de caractere na mensagem altera o hashing .

A autenticação pode ser fortalecida com o uso em conjunto de certificados digitais.

O princípio da assinatura digital é o mesmo da assinatura normal de documentos em papel, ou seja, o emitente não pode repudiar o documento depois que assinou. A vantagem da assinatura digital é que ela depende do documento e não há maneira de copiá-lo de um documento para o outro.

Criptografia

SSL – Security Socker Layer

O SSL é uma camada que fica entre a interface socket do TCP e a aplicação e tem como benefícios:

• Criptografar dados;

• Verificação de identidade, ou seja, ambos lados podem verificar as identidades

apresentando certificados um para o outro;

• A integridade é garantida, pois qualquer alteração na mensagem invalida o checksum ;

Por ser uma poderosa ferramenta, a maioria dos bancos utiliza-o. A peça mais

importante deste sistema é o certificado digital que comprova que é o dono da chave primaria.

Criptografia

PGP – Pretty Good Privacy

Por ser uma aplicação de alta segurança, o PGP, permite que os usuários troquem mensagens com total privacidade e com autenticação. As implementações do PGP disponibilizam métodos para encriptar arquivos, criar chaves públicas e privadas, gerenciar a troca de chaves e o uso das assinaturas digitais.

Para garantir a autenticidade de ambas as partes na transação, a troca de chaves

públicas e privadas se faz necessária. No processo de inicialização da conexão PGP, uma chave pública será utilizada para transmitir uma chave. Ela será utilizada em uma criptografia simétrica, usando o mecanismo de envelope digital.

Criptografia

Algoritmos de Cálculo de Hashing

Os algoritmos de hashing são utilizados para garantir a integridade e checar se houveram mudanças não previstas nas mensagens enviadas.

Quando é utilizada, a função de hashing mapeia blocos de dados de tamanho variável ou mensagens em valores de tamanho fixo que são chamados de código hash . A função foi desenvolvida para trabalhar em via única (unidirecionalmente) e quando protegida, disponibiliza um elemento identificador da mensagem que é o hash .

O mecanismo é simples de entender, aplica-se à mensagem uma função de hashing e como resposta teremos o hash , ou seja, um conjunto de bytes de tamanho fixo. Esse hash será único para esta mensagem, ou seja, qualquer alteração por menor que seja, alterará o hash e com

isso o conjunto de bytes não será o mesmo.

Exemplos de algoritmos de hash são: MD4, MD5, SHA1, entre outros.

Criptografia

Certificados Digitais

Para fazer a verificação (determinar o usuário) de uma chave pública, utiliza-se o certificado. Um Autoridade de Certificação (CA) assina digitalmente o certificado,

autenticando a chave pública. Um dos padrões mais utilizado é definido pela norma ITU-T

X.509.

Autoridade de Certificação (Certificate Authority )

A CA garante que uma chave pública pertence a determinado usuário. Não é possível alterar parte do certificado, pois eles são armazenados de forma cifrada. Quando há uma

comunicação, a chave pública não é enviada e sim o certificado. Se a assinatura da CA for

aceita, significa que o certificado foi emitido pela CA, porém isso não quer dizer que o certificado seja válido, pois é necessário uma consulta extra na CA para verificar se ele foi ou não revogado.

Criptografia

Certificados X.509

• No certificado X.509 as seguintes informações estão inseridas:

• Versão do formato do certificado;

• Numero serial associado ao certificado. É único e controlado pela CA;

• Identificação do algoritmo utilizado para assina-lo;

• Emissor com informações sobre a CA;

• Período de validade (data inicial e data final);

• Informações sobre a chave pública;

• Assinatura da CA cobrindo todo o certificado.

Criptografia

Emissão do Certificado

A CA faz algumas exigências para emitir um certificado digital. Essas exigências variam de acordo com o grau de segurança do certificado.

O grau de segurança de um certificado pode ser:

• Classe 1 – fácil obtenção;

• Classe 2 – verificação da base de dados de consumidores, como por exemplo o SERASA;

• Classe 3 – presença diante de tabelião (“fé pública”);

• Classe privada – somente para empresas que se tornarão domínios de certificação.

Criptografia

Criação do Certificado

Randomicamente, o usuário cria as suas chaves públicas e privadas. Depois ele envia a chave pública para a CA, que cria o certificado de acordo com as informações pertinentes e assina este certificado com a chave privada da CA. Depois disso o certificado retorna para o usuário assinado e com data de validade.

Lista de Revogação de Certificados (CRL – Certificate Revogation List )

É uma lista que contem todos os certificados sem validade. Ela fica armazenada na própria CA ou em serviços de diretório. Ela deve ser sempre consultada para garantir a validade de um certificado.

Criptografia

Revogação do certificado

O certificado será revogado quando:

• O usuário é removido do domínio de segurança;

• O proprietário do certificado reconhece que perdeu a chave privada;

• Quando há suspeitas de ataque;

A solicitação de revogação pode ser feita pela CA ou pelo próprio usuário.

Criptografia

Hierarquia de Certificação

Há uma hierarquia de certificação em que as CAs de um nível superior atestam a autenticidade de CAs de um nível inferior. O mesmo processo pode ocorrer entre

CAs que estão nas mesma hierarquia, e neste caso chamamos de verificação

cruzada.

As principais funções de uma CA são:

• Distribuição dos certificados;

• Emissão e assinatura de novos certificados;

• Revogação de certificados;

• Renegociação de certificados;

Criptografia

Criptoanálise – Quebra da criptografia

É a ciência que estuda técnicas para quebrar os códigos criptográficos, ou seja, descobrir o texto claro a partir do texto cifrado.

Um criptoanalista pode descobrir uma chave criptográfica se ele souber o texto claro. Com a comparação do texto claro e do texto cifrado é possível achar a chave.

Em outro tipo de ataque, o criptoanalista obtém o texto cifrado e com isso ele tenta

obter o texto claro, com isso tentar achar a chave criptográfica.

Os ataques com textos escolhidos são mais usuais, pois para tentar quebrar o sistema criptográfico, o criptoanalista escolhe parte do texto cifrado e tenta decriptografa-lo com sistemas computacionais, buscando assim sequencias claras como uma série de palavras.

Criptografia

Na tabela a seguir, uma estimativa de tempo para quebrar uma chave criptográfica.

Tamanho da chave		Hacker	Grupo	Rede acadêmica	Grande	Inteligência
		individual			empresa	militar
40	bits	Algumas	Alguns dias	Algumas horas	Alguns	Alguns
		semanas			milissegundos	microssegundos
56 bits		Alguns séculos	Algumas	Alguns anos	Algumas horas	Alguns
			décadas			segundos
64	bits	Alguns milênios	Alguns séculos	Algumas	alguns dias	Alguns minutos
				décadas
112	bits	Infinito	Infinito	Infinito	Alguns séculos	Alguns séculos
128	bits	Infinito	Infinito	Infinito	Infinito	Alguns milênios

Fonte: livro “Segurança em Redes”, pag 95, Alexandre Fernandes de Moraes, 2010, editora Erica

Gestor da Segurança da Informação

Algumas atribuições que um CSO ( Chief Security Office ) ou Gestor da Segurança da

Informação precisa exercer:

• Estabelecer procedimentos em transações da empresa;

• Agir de acordo a regras de acesso, restrições e procedimentos;

• Criar hierarquia de responsabilidades;

• Criar métodos de reação a eventuais falhas ou vulnerabilidades;

• Criar e manter um padrão de segurança dentro da empresa.

Gestor da Segurança da Informação

O

CSO

precisa

ter

um

grande

conhecimento

tanto

em

negócios

quanto

em

segurança para conseguir desenhar a estratégia da Segurança da Informação de

maneira competente, para ai sim implantar as políticas e escolher as medidas

apropriadas para as necessidades dos negócios da empresa, sem impactar na

produtividade de todos.

Gestor da Segurança da Informação

Atender a requisitos de segurança lógica e física de redes cada vez mais complexas e vulneráveis, o perfil do CSO evoluiu e evoluiu muito. De um lado do cenário as

ameaças crescentes e cada vez mais fatais tais como: hackers, vírus, ataques

terroristas, enchentes, terremotos e do outro lado, a vulnerabilidade e a

complexidade tecnológica crescem e com isso aumentam as atribuições e as

habilidades necessárias para exercer a função de CSO. Atualmente, um CSO tem de entender de segurança, deve conhecer bem os negócios da empresa e deve participar de todas as ações estratégicas da empresa. Mais do que um técnico, ele deve ser definitivamente um gestor de negócios.

Gestor da Segurança da Informação

As qualificações que são exigidas para o cargo de CSOs são:

•	Habilidades em questões de segurança física;
•	Familiaridade com a linguagem e os dilemas próprios da TI;
•	Saber lidar com pessoas;
•	Facilidade de comunicação, pois deve ter a desenvoltura necessária para fazer a interface nos diversos setores e níveis culturais da empresa;
•	Capacidade de liderança e de gerenciamento de equipes para atingir uma atuação bem-sucedida em qualquer empresa;
•	Ter conhecimentos maduros sobre questões como autenticação, auditoria,
	preservação da cena do crime real ou virtual e gerenciamento de risco.
•	Ter visão estratégica e experiência no gerenciamento das operações.

Gestor da Segurança da Informação

O CSO possui graduação em Ciências da Computação, Engenharia ou Auditoria de Sistemas. O grande retorno que um CSO pode trazer para as empresas é

diminuindo os riscos das operações. Mas a verdade é: um profissional assim tão

completo não é encontrado facilmente no mercado. No Brasil, a demanda não chega

a ser tão grande, mas esses profissionais já são comuns em instituições financeiras,

seguradoras, operadoras de telecomunicação e empresas com operações na Internet. Especialistas em carreira recomendam que o CSO tenha atuação independente e não se reporte ao CIO, mas diretamente à diretoria ou à presidência.

Gestor da Segurança da Informação

Uma dica para quem pretende ser um profissional da área de Segurança da Informação é obter certificações de uma associação de segurança profissional, para ajudar a impulsionar a carreira. As certificações são muito importantes na decisão de contratar alguém.

A certificação de Segurança da Informação pode ser dependente e/ou independente de fabricantes e ambas são úteis para o desenvolvimento da carreira. As certificações atreladas a fabricantes (como as da Cisco e da Microsoft, por exemplo) são importantes para conseguir as habilidades para o cargo. As certificações que demonstrem uma ampla base de

conhecimento e experiência, como as certificações Certified Information Systems Security

Professional (CISSP) e Certified Information Systems Auditor (CISA) também são ótimas opções.

Gestor da Segurança da Informação

O CSO precisa ser capaz de explicar quais serão os benefícios da segurança em termos de retorno do investimento (ROI), seu valor para melhorar a capacidade da

empresa em fechar negócios, além de deixar claro quais serão as soluções práticas

que ela pode trazer para a resolução dos problemas.

Obrigado!

Contato: prof.fercurvelo@gmail.com