Segurança das informações e continuidade dos negócios

View
1.719
Download
0
Category

Technology

Preview:

Citation preview

SEGURANÇA DAS INFORMAÇÕES E CONTINUIDADE DOS NEGÓCIOS Anderson Pan 12.205.290-5

Mayra Zaia 12.108.296-0

Verena Abrantes 12.110.215-6

ntro

iversitá

rio d

a F

AGENDA

Segurança da Informação; Criptografia;

Criptografia Simétrica; Teoria dos Números; Criptografia Assimétrica;

Aplicações de Segurança de rede; Segurança do Sistema; Engenharia Social;

ntro

iversitá

rio d

a F

SEGURANÇA DA INFORMAÇÃO“Vivemos em uma sociedade que se baseia em informações e que exibe uma crescente propensão para coletar e armazenar informações, e o uso efetivo da informação permite que uma organização aumente a eficiência de suas operações” (Katzam, 1977).

ntro

iversitá

rio d

a F

A SENHA: SWORDFISH

ntro

iversitá

rio d

a F

CRIPTOGRAFIA

ntro

iversitá

rio d

a F

CRIPTOGRAFIA SIMÉTRICA

ntro

iversitá

rio d

a F

DEFINIÇÕES

ntro

iversitá

rio d

a F

Fonte: William Stallings – Criptografia e segurança de redes – 4º edição – Cap. 2 – pág. 18

PRINCÍPIOS BÁSICOS DA CRIPTOGRAFIA SIMÉTRICA

ntro

iversitá

rio d

a F

Fonte: http://www.tdec.com.br/Parceiros/PGP/PGP_Intro.htm

HISTÓRIA & EVOLUÇÃO

ntro

iversitá

rio d

a F

ALGORITIMOS MODERNOS MAIS UTILIZADOSData Encryption Standard (DES)

Desenvolvido na década de 70 pelo National Buereau os Standards com a ajuda do National Security Agency, com o propósito de criar um método padrão para proteção de dados.

Foi originado pela IBM em 1977 e tem sido o algoritmo mais utilizado até o momento;Bloco de 64 bits e chave de 56 bits.

Triple Data Encryption Standard ( Triple DES)Repetição do algoritmo DES três vezes sobre o texto claro usando duas ou três chaves

diferentes para produzir o texto cifrado. Desvantagem é ser correspondentemente 3 vezes mais lento e ter um tamanho desejável maior por motivos de eficiência e segurança.Bloco de 64 bits e chave de 168 bits.

Advanced Encryption Standard (AES)Em 1997, o National Institute of Standards and Technology (NIST), órgão dos EUA, lançou um

concurso para adotar um novo algorítmo de criptografia simétrica para proteger informações confidenciais. Este substituiria o DES, por ampliar o nível de segurança. Em 2001, foi aprovado o modelo vencedor de Rijndael (Vincent Rijmen e Joan Daemen).Bloco de 128 e chave de 128, 192 ou 256 bits

ntro

iversitá

rio d

a F

Fonte: PowerBasic Crypto Archive

ESTRUTURA DOS ALGORITMOS

ntro

iversitá

rio d

a F

Fonte: www.cerberussystems.com

DES AES

Fonte: William Stallings – Criptografia e segurança de redes – 4º edição – Cap. 5 – pág.

CRIPTOGRAFIA ASSIMÉTRICA

ntro

iversitá

rio d

a F

CRIPTOGRAFIA DE CHAVE PÚBLICA

ntro

iversitá

rio d

a F

Fonte: William Stallings – Criptografia e segurança de redes – 4º edição – Cap. 9 – pág. 184

HISTÓRIA DO ALGORITMO

ntro

iversitá

rio d

a F

Fonte: William Stallings – Criptografia e segurança de redes – 4º edição – Cap. 9 – págs. 188/189Diffie e Hellman

A partir de um artigo de Diffie e Hellman, uma nova técnica para criptografia foi apresentada a qual desafiou os criptologistas a encontrarem um algoritmo criptográfico que atendesse aos requisitos para os sistemas de chave pública.

Uma das primeiras respostas ao desafio foi desenvolvida em 1977 por Ron Rivest, Adi Shamir e Len Adleman, no MIT e publicada em 1978.Desde então, o esquema Rivest-Shamir-Adleman (RSA) tem reinado soberano como a técnica de uso mais aceita e implementada para a criptografia de chave pública

Fonte: William Stallings – Criptografia e segurança de redes – 4º edição – Cap. 9 – pág. 189

TEORIA DOS NÚMEROS

ntro

iversitá

rio d

a F

CORPOS FINITOS & ARITMÉTICA MODULAR Corpo Finito

“Um corpo finito é simplesmente um corpo com um número finito de elementos” (Stallings, 2007)

MOD

É uma das ferramentas mais importantes, que envolve congruência.

Exemplo

7 (mod 4) = 3

21 (mod 6) = 3

ntro

iversitá

rio d

a F

NÚMEROS PRIMOS

ntro

iversitá

rio d

a F

Um número primo é um inteiro que só pode ser dividido sem resto por valores positivos e negativos de si mesmo e por 1.Os números primos desempenham um papel fundamental na Teoria dos Números e na Criptografia.

Fonte: William Stallings – Criptografia e segurança de redes – 4º edição – Cap. 8 – pág. 165

TEOREMA DE FERMAT

ntro

iversitá

rio d

a F

Se p é primo e a é um inteiro positivo não divisível por p, então:

Fonte: William Stallings – Criptografia e segurança de redes – 4º edição – Cap. 8 – pág. 168

FUNÇÃO TOCIENTE DE EULER

ntro

iversitá

rio d

a F

É escrita como Ø(n) e é definida como o número de inteiros positivos menores que n e relativamente primos de n.

Lembrando que: Dois números inteiros são relativamente primos se seu único fator inteiro positivo comum for 1.

Fonte: William Stallings – Criptografia e segurança de redes – 4º edição – Cap. 8 – pág. 169 e 170

TEOREMA DE EULER

ntro

iversitá

rio d

a F

Fonte: William Stallings – Criptografia e segurança de redes – 4º edição – Cap. 8 – pág. 170

O teorema de Euler afirma que, para cada a e n que sejam relativamente primos:

O ALGORITMO RSA

ntro

iversitá

rio d

a F

Fonte: William Stallings – Criptografia e segurança de redes – 4º edição – Cap. 9 – pág. 189 ehttp://br.geocities.com/jasonbs_1917/seguranca/cripto2.html

•O esquema RSA é uma cifra de bloco em que o texto claro e o texto cifrado são inteiros entre 0 e n-1, para algum n.

•Um tamanho típico para n é 1024 bits, ou 309 dígitos decimais.

•A premissa por trás do RSA é a facilidade em se multiplicar dois números primos afim de obter um terceiro número, porém muito difícil recuperar dois números primos a partir daquele terceiro número. Isto é conhecido como fatoração

GERAÇÃO DE UMA CHAVE RSA

ntro

iversitá

rio d

a F

Fonte: Gilberto Reis – TI – Hydac Tecnologia LTDA.

Um programa utilizado p/ geração de chaves RSA é

o OpenSSL:

GERENCIAMENTO DE CHAVES

ntro

iversitá

rio d

a F

Fonte: William Stallings – Criptografia e segurança de redes – 4º edição – Cap. 10 – pág. 206

Um dos principais papéis da criptografia de chave pública tem sido resolver o problema da distribuição de chaves. Na realidade, existem dois aspectos distintos para o uso da criptografia de chave pública em relação a isso:

•A distribuição das chaves públicas;•O uso da criptografia de chave pública para distribuir as chaves secretas

DISTRIBUIÇÃO DE CHAVES PÚBLICAS

ntro

iversitá

rio d

a F

Fonte: William Stallings – Criptografia e segurança de redes – 4º edição – Cap. 10 – pág. 206

• Anúncio público: Se houver algum algoritmo de chave pública amplamente aceito, como o RSA,

qualquer participante pode enviar sua chave pública a qualquer outro participante.

DISTRIBUIÇÃO DE CHAVES PÚBLICAS

ntro

iversitá

rio d

a F

Fonte: William Stallings – Criptografia e segurança de redes – 4º edição – Cap. 10 – pág. 207

• Diretório disponível publicamente: Um maior grau de segurança pode ser alcançado mantendo-se um diretório dinâmico disponível publicamente com chaves públicas. A manutenção e a distribuição desse diretório teria de ser de responsabilidade de alguma entidade ou organização confiável.

DISTRIBUIÇÃO DE CHAVES PÚBLICAS

ntro

iversitá

rio d

a F

Fonte: William Stallings – Criptografia e segurança de redes – 4º edição – Cap. 10 – págs. 207 e 208

• Autoridade de chave pública: O cenário considera que uma autoridade central mantém um diretório de chaves públicas de todos os participantes.Além disso, cada participante conhece com segurança uma

chave pública para a autoridade, apenas com a autoridade conhecendo a chave privada.

DISTRIBUIÇÃO DE CHAVES PÚBLICAS

ntro

iversitá

rio d

a F

Fonte: William Stallings – Criptografia e segurança de redes – 4º edição – Cap. 10 – págs. 208 e 209

• Certificados de chave pública: Consiste em uma chave pública mais um identificador do proprietário da chave, com o bloco inteiro assinado por um terceiro confiável (normalmente uma autoridade certificadora, como uma agência do governo ou uma instituição financeira).

DISTRIBUIÇÃO DE CHAVES SECRETAS COM CRIPTOGRAFIA DE CHAVE PÚBLICA

ntro

iversitá

rio d

a F

Fonte: William Stallings – Criptografia e segurança de redes – 4º edição – Cap. 10 – págs. 208 a 211

Quando as chaves públicas são distribuídas ou se tornam acessíveis, é possível haver comunicação segura, o que impede a interceptação, a violação ou ambos, porém, poucos usuários desejarão fazer uso exclusivo da criptografia de chave pública para comunicação, devido a velocidade de dados relativamente baixa que pode ser alcançada. Por conseguinte, a criptografia de chave pública providencia a distribuição de chaves secretas a serem usadas para criptografia convencional.

AUTENTICAÇÃO DE MENSAGENS

ntro

iversitá

rio d

a F

A autenticação de mensagens é um mecanismo ou serviço usado para verificar a integridade de uma mensagem.As duas técnicas criptográficas mais comuns de autenticação são:

• Um código de autenticação de mensagens ( MAC – Message Authentication Code ) e • Função de hash segura

(Fonte: William Stallings – Criptografia e segurança de redes – 4º edição – Cap. 11 – págs. 208 a 211)

Fonte: www.exacq.com

MAC – MESSAGE AUTHENTICATION CODE

ntro

iversitá

rio d

a F

Os “MACs” são mecanismos usados com sistemas de criptografia simétrica tal como o Data Encryption Standard (DES), com a finalidade de proteger a informação. Quando executado em cima de uma parte da informação, este modo de criptografia da informação gera um valor (pequeno pedaço de dados) que serve como código para o documento.

Fonte: http://www.di.ufpe.br/~flash/ais98/cripto/criptografia.htm

FUNÇÃO DE HASH

ntro

iversitá

rio d

a F

Fonte: http://www.infotem.hpg.ig.com.br/tem_progr_hash.htm

Uma função de hash relaciona uma mensagem de qualquer tamanho a um valor de hash de tamanho fixo, que serve como autenticador.

A sua função é produzir uma “impressão digital” de um arquivo, mensagem ou outro bloco de dados

(Fonte: William Stallings – Criptografia e segurança de redes – 4º edição – Cap. 11 – págs. 226 e 238)

Deve satisfazer as seguintes condições:

• Ser simples de calcular;• Assegurar que elementos distintos tenham índices distintos;• Gerar uma distribuição equilibrada para os elementos dentro do array;• Deve se aleatória, ou pseudo-aleatória, para prevenir adivinhações da mensagem original;• Deve ser única, onde é praticamente impossível duas mensagens diferentes gerarem o mesmo resumo;• Deve ter mão única, o que significa ser muito difícil a partir do resumo, obter a mensagem.

ASSINATURAS DIGITAIS

ntro

iversitá

rio d

a F

Fonte: William Stallings – Criptografia e segurança de redes – 4º edição – Cap. 13 – pág. 272

Uma assinatura digital é um mecanismo de autenticação que permite ao criador de uma mensagem anexar um código que atue como uma assinatura. A assinatura é formada tomando o hash da mensagem e criptografando-a com a chave privada do criador.

A assinatura garante a origem e a integridade da mensagem.

EXEMPLO – CERTIFICADO DIGITAL

ntro

iversitá

rio d

a F

Fonte: Gilberto Reis – TI – Hydac Tecnologia LTDA.

EXEMPLO - VERIFICAÇÃO DA ASSINATURA DE UM CERTIFICADO

ntro

iversitá

rio d

a F

Fonte: Gilberto Reis – TI – Hydac Tecnologia LTDA

SIMÉTRICA X ASSIMÉTRICA

ntro

iversitá

rio d

a F

William Stallings – Criptografia e segurança de redes – 4º edição – Cap. 9 – pág. 184

APLICAÇÕES

Certificado Digital : é um documento que contém a chave pública de uma pessoa (física ou jurídica) e os dados necessários para garantir sua identidade.

Assinatura Digital: A assinatura digital faz uso dos conceitos de chave pública e privada. E funciona da seguinte maneira: é necessário que o usuário tenha um documento eletrônico e a chave pública do destinatário (um usuário pode ser tanto uma pessoa quanto uma instituição qualquer). Através de programas apropriados, o documento é então criptografado de acordo com a chave pública.

ntro

iversitá

rio d

a F

APLICAÇÕES DE SEGURANÇA DE REDE“ Na prática, a eficácia de uma contramedida normalmente depende de como ela é usada; o melhor cofre do mundo é inútil se ninguém se lembrar de fechar a porta” (National Research Council, 1991)

ntro

iversitá

rio d

a F

X.509

Fonte: http://www.gta.ufrj.br/grad/00_1/rodrigo/fr9right.htm

ntro

iversitá

rio d

a F

PGP

Fonte: http://www.data-processing.hk/glossaries/pgp

ntro

iversitá

rio d

a F

IPSEC

Fonte : http://www.gta.ufrj.br/~rezende/cursos/eel879/trabalhos/vpn/ipsec.html

ntro

iversitá

rio d

a F

ATAQUES DE REDES

ntro

iversitá

rio d

a F

AMEAÇAS DA WEB

Fonte: http://wps.prenhall.com/br_stallings_cripto_4/97/24883/6370113.cw/index.html

ntro

iversitá

rio d

a F

SERVIÇOS DE SEGURANÇA EXISTENTES:

SSL (secure socket layer) e TLS (transport layer security)

Destina-se a dar segurança durante a transmissão de dados sensíveis por TCP/IP Fornece criptografia de dados, autenticação de servidor e integridade de mensagem para

transmissão de dados pela internet.

SET (secure eletronic transaction) É um protocolo aberto para transmissão segura de informações de pagamento pela internet ou

outras redes eletrônicas O processo envolve varias verificações de segurança usando certificados digitais, os quais são

emitidos aos compradores participantes, comerciantes e instituições financeiras. O SET utiliza combinações de criptografia. Chaves publicas e privadas são utilizadas por todos os

participantes da transação. Os certificados são emitidos pela organização padronizadora do protocolo, chamada SETCo, que inclui a VISA e MASTERCARD.

ntro

iversitá

rio d

a F

TIPOS DE TRANSAÇÃO SET

Fonte: http://wps.prenhall.com/br_stallings_cripto_4/97/24883/6370113.cw/index.html

ntro

iversitá

rio d

a F

INTRUSOSGeralmente conhecido como hacker ou cracker, podem ser

classificados como: Mascarado: indivíduo sem autorização que explora

a conta de um usuário legítimo; Infrator: usuário legítimo que faz mau uso de seus

privilégios; Usuário clandestino: usuário que se apodera do

controle de supervisão para escapar de auditorias e controles de acesso.

ntro

iversitá

rio d

a F

Fonte: www.obakasoul.blogspot.com

PROGRAMAS MALICIOSOS

ntro

iversitá

rio d

a F

Fonte: http://wps.prenhall.com/br_stallings_cripto_4/97/24883/6370113.cw/index.html

FIREWALL

ntro

iversitá

rio d

a F

Fonte: http://wps.prenhall.com/br_stallings_cripto_4/97/24883/6370113.cw/index.html

CONTINUIDADE DOS NEGÓCIOS“Trata do estudo de identificação dos processos que dão vida a uma empresa, ou seja, aqueles mais críticos e impactantes. Traduzindo: o core business”. (Fonte:http://www.timaster.com.br/revista/artigos/main_artigo.asp?codigo=949)

ntro

iversitá

rio d

a F

http://www.tempest.com.br/http://www.scua.com.br/

http://www.modulo.com.br/http://ciberdominiopublico.blogspot.com/

ntro

iversitá

rio d

a F

ntro

iversitá

rio d

a F

ntro

iversitá

rio d

a F

ntro

iversitá

rio d

a F

ENGENHARIA SOCIAL

ntro

iversitá

rio d

a F

“ É a arte de manipular pessoas a fim de contornar dispositivos de segurança”. (Virinfo,2002)

Como se proteger????54

ntro

iversitá

rio d

a F

Fonte: www.chssinfo.com.br

CASOS REAIS Abraham Abdallah

No fim de fevereiro de 2009, Abdallah foi preso pela polícia de Nova York, acusado de ter cometido o maior roubo de identidades da história da internet. Por decisão da Justiça, só sai da cadeia se pagar fiança de 1 milhão de dólares. Na lista de suas possíveis vítimas, ainda sob investigação policial, estão 217 milionários, incluindo os cineastas George Lucas e Steven Spielberg, a apresentadora de TV Oprah Winfrey e os empresários Larry Ellison, dono da Oracle, Paul Allen, fundador da Microsoft, e Warren Buffett, o quarto homem mais rico do mundo. (Fonte: http://www.constatti.com.br/?p=976)

ntro

iversitá

rio d

a F

VIP’S

ntro

iversitá

rio d

a F

REFERÊNCIAS

ntro

iversitá

rio d

a F

STALLINGS, William. Criptografia e segurança de redes: princípios e práticas. 4. ed. São Paulo: Pearson Education do Brasil, 2008.

REIS, Gilberto – TI – Hydac Tecnologia LTDA http://www.tdec.com.br/Parceiros/PGP/PGP_Intro.htm, acessado em: 18/03/2011 http:// www.cerberussystems.com, acessado em: 18/03/2011 http://br.geocities.com/jasonbs_1917/seguranca/cripto2.html , acessado em:

19/03/2011 http://www.exacq.com, acessado em: 20/03/2011 http://www.di.ufpe.br/~flash/ais98/cripto/criptografia.htm, acessado em: 22/03/2011 http://www.infotem.hpg.ig.com.br/tem_progr_hash.htm, acessado em: 18/03/2011 http://www.gta.ufrj.br/grad/00_1/rodrigo/fr9right.htm, acessado em: 27/03/2011 http://www.data-processing.hk/glossaries/pgp, acessado em: 13/03/2011 http://www.gta.ufrj.br/~rezende/cursos/eel879/trabalhos/vpn/ipsec.html, acessado

em: 14/03/2011 http://wps.prenhall.com/br_stallings_cripto_4/97/24883/6370113.cw/index.html ,

acessado em: 13/03/2011 http:// www.obakasoul.blogspot.com , acessado em: 19/03/2011 http://www.tempest.com.br/ , acessado em: 19/03/2011 http://www.scua.com.br/ , acessado em: 20/03/2011 http://www.modulo.com.br/ , acessado em: 17/03/2011 http://ciberdominiopublico.blogspot.com , acessado em: 18/03/2011 http:// www.chssinfo.com.br , acessado em: 27/03/2011 http://www.constatti.com.br/?p=976 , acessado em: 18/03/2011

ntro

iversitá

rio d

a F

Recommended