Segurança na Web
SSL - Secure Socket LevelTLS - Transport Layer Security
SET – Secure Electronic Transaction
Considerações sobre Segurança na Web
• Programar para Web, nem sempre os programadores estão muito preocupados com questões de segurança.
• Normalmente, quem é especialista em programação, não é especialista em segurança.
Considerações sobre Segurança na Web
• Diante da grande utilização da Web nas suas aplicações tradicionais, a Web é extremamente vulnerável a ameaças e riscos de vários tipos.
• A Web é vulnerável a ataques aos servidores Web pela Internet.
Considerações sobre Segurança na Web
• Reputações podem ser prejudicadas e dinheiro perdido, se servidores Web forem subvertidos.
• Navegadores são muito fáceis de usar. Servidores Web sejam relativamente fáceis de configurar e gerenciar o conteúdo da Web esteja cada vez mais fácil de desenvolver ... ...
Considerações sobre Segurança na Web
• O software que dá suporte a tudo isso é extraordinariamente complexo.
• Assim, pode ocultar muitas falhas de segurança em potencial.
• A história recente da Web está repleta de exemplos de ataques à segurança ...
Considerações sobre Segurança na Web
• Quando o servidor Web é contaminado, um atacante pode ser capaz de obter acesso a dados e sistemas que não fazem parte da Web, mas que estão em máquinas conectadas localmente ao servidor.
Considerações sobre Segurança na Web
• Os usuários ocasionais e não treinados em questões de segurança, são clientes comuns de serviços baseados na Web.
• Esses usuários, em geral, não estão necessariamente cientes dos riscos contra a segurança e não possuem ferramentas ou conhecimento para tomar contramedidas.
Classificando Ameaças
• Ataques Passivos – Acesso não-autorizado ao tráfego de rede entre
navegador e servidor.– Obtenção de acesso a informações em um site, que
deveria ser restrito.• Ataques Ativos– Simulação de outro usuário.– Alteração de mensagens em trânsito entre cliente e
servidor.– Alteração de informações em um site.
Classificando Ameaças
• Local da ameaça – Servidor Web– Navegador Web– Tráfego de rede entre navegador e servidor.
• Segurança de Sistema de Computador– Questões de segurança de navegador e servidor.
Técnicas de Segurança de Tráfego na Web
• IP Security (IPSec)– Transparente para usuários finais e aplicações.– Oferece uma solução de uso geral.– Inclui capacidade de filtragem pela qual somente
o tráfego selecionado precisa ser submetido à etapa adicional do processamento IPSec.
– Atua na camada de rede.
Técnicas de Segurança de Tráfego na Web
• Secure Socket Layer (SSL) • TLS (Transport Layer Security)
• Podem ser fornecidos como parte do conjunto básico de protocolos e, portanto, transparente às aplicações.
• SSL pode ser embutido em pacotes específicos: navegadores e de servidores Web.
Técnicas de Segurança de Tráfego na Web
• Caso não seja, existe, por exemplo, o OpenSSL, que pode ser instalado, facilmente, junto ao servidor Web.
• Por exemplo: Instale o Apache (servidor Web) e o integre com o OpenSSL.
Serviços de Segurança na Aplicação
• Os serviços de segurança específicos de aplicação (GnuPG, PGP, S/MIME, Kerberos, SET, ... ) são embutidos (integrados) na aplicação específica.
• Vantagem: é que o serviço é ajustado às necessidades específicas de cada aplicação.
Ameaças e Ataques impedidos pelo SSL
• Ataque Cripto-Analítico por força bruta.
– Um teste de todas as chaves possíveis para um algoritmo de criptografia convencional.
Ameaças e Ataques impedidos pelo SSL
• Ataque de Dicionário com texto claro conhecido.
– Muitas mensagens terão texto claro previsível, como o comando GET do HTTP. Um atacante pode criar um dicionário contendo cada criptografia possível da mensagem de texto claro conhecido.
Ameaças e Ataques impedidos pelo SSL
– Quando uma mensagem criptografada é interceptada, o atacante apanha a parte contendo o texto claro conhecido criptografado e pesquisa o texto cifrado no dicionário.
– O texto cifrado deverá ser igual a uma entrada criptografada com a mesma chave secreta.
– Se for igual a mais de uma, cada uma delas pode ser experimentada em relação ao texto cifrado completo para determinar a entrada correta.
– Esse ataque é eficaz quando o tamanho da chave é pequeno (40 bits).
Ameaças e Ataques impedidos pelo SSL
• Ataque por Repetição
– Mensagens de estabelecimento de conexão SSL anteriores podem ser repetidas.
Ameaças e Ataques impedidos pelo SSL
• Ataque de Homem ao Meio (Man-in-the-Middle)
– Um atacante se interpõe durante a troca de chave, atuando como cliente perante o servidor e como servidor perante o cliente.
Ameaças e Ataques impedidos pelo SSL
• Sniffing de Senha
• Quando as senhas em HTTP ou outro tráfego de aplicação são interceptadas sem autorização.
Ameaças e Ataques impedidos pelo SSL
• IP Spoofing (Falsificação de IP)
– Quando um atacante usa endereços de IP forjados para enganar a um host para aceitar dados falsos.
Ameaças e Ataques impedidos pelo SSL
• Sequestro de IP (IP Hijacking)
– Uma conexão ativa, autenticada entre dois hosts é interrompida e o atacante toma o lugar de um dos hosts.
Ameaças e Ataques impedidos pelo SSL
• Inundação de SYN (SYN Flooding)
– Um atacante pode enviar mensagens SYN do TCP para solicitar uma conexão, mas não responde à mensagem final para estabelecer a conexão totalmente. O módulo TCP atacado, normalmente deixa a conexão “meia aberta” por alguns minutos. As mensagens SYN repetidas podem congestionar o módulo TCP.