Segurança na Web SSL - Secure Socket Level TLS - Transport Layer Security SET – Secure Electronic...

Segurança na Web

SSL - Secure Socket LevelTLS - Transport Layer Security

SET – Secure Electronic Transaction

Considerações sobre Segurança na Web

• Programar para Web, nem sempre os programadores estão muito preocupados com questões de segurança.

• Normalmente, quem é especialista em programação, não é especialista em segurança.


• Diante da grande utilização da Web nas suas aplicações tradicionais, a Web é extremamente vulnerável a ameaças e riscos de vários tipos.

• A Web é vulnerável a ataques aos servidores Web pela Internet.


• Reputações podem ser prejudicadas e dinheiro perdido, se servidores Web forem subvertidos.

• Navegadores são muito fáceis de usar. Servidores Web sejam relativamente fáceis de configurar e gerenciar o conteúdo da Web esteja cada vez mais fácil de desenvolver ... ...


• O software que dá suporte a tudo isso é extraordinariamente complexo.

• Assim, pode ocultar muitas falhas de segurança em potencial.

• A história recente da Web está repleta de exemplos de ataques à segurança ...


• Quando o servidor Web é contaminado, um atacante pode ser capaz de obter acesso a dados e sistemas que não fazem parte da Web, mas que estão em máquinas conectadas localmente ao servidor.


• Os usuários ocasionais e não treinados em questões de segurança, são clientes comuns de serviços baseados na Web.

• Esses usuários, em geral, não estão necessariamente cientes dos riscos contra a segurança e não possuem ferramentas ou conhecimento para tomar contramedidas.

Classificando Ameaças

• Ataques Passivos – Acesso não-autorizado ao tráfego de rede entre

navegador e servidor.– Obtenção de acesso a informações em um site, que

deveria ser restrito.• Ataques Ativos– Simulação de outro usuário.– Alteração de mensagens em trânsito entre cliente e

servidor.– Alteração de informações em um site.

Classificando Ameaças

• Local da ameaça – Servidor Web– Navegador Web– Tráfego de rede entre navegador e servidor.

• Segurança de Sistema de Computador– Questões de segurança de navegador e servidor.

Técnicas de Segurança de Tráfego na Web

• IP Security (IPSec)– Transparente para usuários finais e aplicações.– Oferece uma solução de uso geral.– Inclui capacidade de filtragem pela qual somente

o tráfego selecionado precisa ser submetido à etapa adicional do processamento IPSec.

– Atua na camada de rede.


• Secure Socket Layer (SSL) • TLS (Transport Layer Security)

• Podem ser fornecidos como parte do conjunto básico de protocolos e, portanto, transparente às aplicações.

• SSL pode ser embutido em pacotes específicos: navegadores e de servidores Web.


• Caso não seja, existe, por exemplo, o OpenSSL, que pode ser instalado, facilmente, junto ao servidor Web.

• Por exemplo: Instale o Apache (servidor Web) e o integre com o OpenSSL.

Serviços de Segurança na Aplicação

• Os serviços de segurança específicos de aplicação (GnuPG, PGP, S/MIME, Kerberos, SET, ... ) são embutidos (integrados) na aplicação específica.

• Vantagem: é que o serviço é ajustado às necessidades específicas de cada aplicação.

Ameaças e Ataques impedidos pelo SSL

• Ataque Cripto-Analítico por força bruta.

– Um teste de todas as chaves possíveis para um algoritmo de criptografia convencional.


• Ataque de Dicionário com texto claro conhecido.

– Muitas mensagens terão texto claro previsível, como o comando GET do HTTP. Um atacante pode criar um dicionário contendo cada criptografia possível da mensagem de texto claro conhecido.


– Quando uma mensagem criptografada é interceptada, o atacante apanha a parte contendo o texto claro conhecido criptografado e pesquisa o texto cifrado no dicionário.

– O texto cifrado deverá ser igual a uma entrada criptografada com a mesma chave secreta.

– Se for igual a mais de uma, cada uma delas pode ser experimentada em relação ao texto cifrado completo para determinar a entrada correta.

– Esse ataque é eficaz quando o tamanho da chave é pequeno (40 bits).


• Ataque por Repetição

– Mensagens de estabelecimento de conexão SSL anteriores podem ser repetidas.


• Ataque de Homem ao Meio (Man-in-the-Middle)

– Um atacante se interpõe durante a troca de chave, atuando como cliente perante o servidor e como servidor perante o cliente.


• Sniffing de Senha

• Quando as senhas em HTTP ou outro tráfego de aplicação são interceptadas sem autorização.


• IP Spoofing (Falsificação de IP)

– Quando um atacante usa endereços de IP forjados para enganar a um host para aceitar dados falsos.


• Sequestro de IP (IP Hijacking)

– Uma conexão ativa, autenticada entre dois hosts é interrompida e o atacante toma o lugar de um dos hosts.


• Inundação de SYN (SYN Flooding)

– Um atacante pode enviar mensagens SYN do TCP para solicitar uma conexão, mas não responde à mensagem final para estabelecer a conexão totalmente. O módulo TCP atacado, normalmente deixa a conexão “meia aberta” por alguns minutos. As mensagens SYN repetidas podem congestionar o módulo TCP.

Segurança na Web SSL - Secure Socket Level TLS - Transport Layer Security SET – Secure Electronic...

Documents

Transcript of Segurança na Web SSL - Secure Socket Level TLS - Transport Layer Security SET – Secure Electronic...