Segurança das informações e continuidade dos negócios
-
Upload
andersonmpan -
Category
Technology
-
view
1.719 -
download
0
Transcript of Segurança das informações e continuidade dos negócios
SEGURANÇA DAS INFORMAÇÕES E CONTINUIDADE DOS NEGÓCIOS Anderson Pan 12.205.290-5
Mayra Zaia 12.108.296-0
Verena Abrantes 12.110.215-6
Ce
ntro
Un
iversitá
rio d
a F
EI
1
AGENDA
Segurança da Informação; Criptografia;
Criptografia Simétrica; Teoria dos Números; Criptografia Assimétrica;
Aplicações de Segurança de rede; Segurança do Sistema; Engenharia Social;
2
Ce
ntro
Un
iversitá
rio d
a F
EI
SEGURANÇA DA INFORMAÇÃO“Vivemos em uma sociedade que se baseia em informações e que exibe uma crescente propensão para coletar e armazenar informações, e o uso efetivo da informação permite que uma organização aumente a eficiência de suas operações” (Katzam, 1977).
Ce
ntro
Un
iversitá
rio d
a F
EI
3
A SENHA: SWORDFISH
Ce
ntro
Un
iversitá
rio d
a F
EI
4
CRIPTOGRAFIA
Ce
ntro
Un
iversitá
rio d
a F
EI
5
CRIPTOGRAFIA SIMÉTRICA
Ce
ntro
Un
iversitá
rio d
a F
EI
6
DEFINIÇÕES
7
Ce
ntro
Un
iversitá
rio d
a F
EI
Fonte: William Stallings – Criptografia e segurança de redes – 4º edição – Cap. 2 – pág. 18
PRINCÍPIOS BÁSICOS DA CRIPTOGRAFIA SIMÉTRICA
8
Ce
ntro
Un
iversitá
rio d
a F
EI
Fonte: http://www.tdec.com.br/Parceiros/PGP/PGP_Intro.htm
HISTÓRIA & EVOLUÇÃO
9
Ce
ntro
Un
iversitá
rio d
a F
EI
ALGORITIMOS MODERNOS MAIS UTILIZADOSData Encryption Standard (DES)
Desenvolvido na década de 70 pelo National Buereau os Standards com a ajuda do National Security Agency, com o propósito de criar um método padrão para proteção de dados.
Foi originado pela IBM em 1977 e tem sido o algoritmo mais utilizado até o momento;Bloco de 64 bits e chave de 56 bits.
Triple Data Encryption Standard ( Triple DES)Repetição do algoritmo DES três vezes sobre o texto claro usando duas ou três chaves
diferentes para produzir o texto cifrado. Desvantagem é ser correspondentemente 3 vezes mais lento e ter um tamanho desejável maior por motivos de eficiência e segurança.Bloco de 64 bits e chave de 168 bits.
Advanced Encryption Standard (AES)Em 1997, o National Institute of Standards and Technology (NIST), órgão dos EUA, lançou um
concurso para adotar um novo algorítmo de criptografia simétrica para proteger informações confidenciais. Este substituiria o DES, por ampliar o nível de segurança. Em 2001, foi aprovado o modelo vencedor de Rijndael (Vincent Rijmen e Joan Daemen).Bloco de 128 e chave de 128, 192 ou 256 bits
10
Ce
ntro
Un
iversitá
rio d
a F
EI
Fonte: PowerBasic Crypto Archive
ESTRUTURA DOS ALGORITMOS
11
Ce
ntro
Un
iversitá
rio d
a F
EI
Fonte: www.cerberussystems.com
DES AES
Fonte: William Stallings – Criptografia e segurança de redes – 4º edição – Cap. 5 – pág.
96
CRIPTOGRAFIA ASSIMÉTRICA
Ce
ntro
Un
iversitá
rio d
a F
EI
12
CRIPTOGRAFIA DE CHAVE PÚBLICA
13
Ce
ntro
Un
iversitá
rio d
a F
EI
Fonte: William Stallings – Criptografia e segurança de redes – 4º edição – Cap. 9 – pág. 184
HISTÓRIA DO ALGORITMO
14
Ce
ntro
Un
iversitá
rio d
a F
EI
Fonte: William Stallings – Criptografia e segurança de redes – 4º edição – Cap. 9 – págs. 188/189Diffie e Hellman
A partir de um artigo de Diffie e Hellman, uma nova técnica para criptografia foi apresentada a qual desafiou os criptologistas a encontrarem um algoritmo criptográfico que atendesse aos requisitos para os sistemas de chave pública.
Uma das primeiras respostas ao desafio foi desenvolvida em 1977 por Ron Rivest, Adi Shamir e Len Adleman, no MIT e publicada em 1978.Desde então, o esquema Rivest-Shamir-Adleman (RSA) tem reinado soberano como a técnica de uso mais aceita e implementada para a criptografia de chave pública
Fonte: William Stallings – Criptografia e segurança de redes – 4º edição – Cap. 9 – pág. 189
TEORIA DOS NÚMEROS
Ce
ntro
Un
iversitá
rio d
a F
EI
15
CORPOS FINITOS & ARITMÉTICA MODULAR Corpo Finito
“Um corpo finito é simplesmente um corpo com um número finito de elementos” (Stallings, 2007)
MOD
É uma das ferramentas mais importantes, que envolve congruência.
Exemplo
7 (mod 4) = 3
21 (mod 6) = 3
16
Ce
ntro
Un
iversitá
rio d
a F
EI
NÚMEROS PRIMOS
17
Ce
ntro
Un
iversitá
rio d
a F
EI
Um número primo é um inteiro que só pode ser dividido sem resto por valores positivos e negativos de si mesmo e por 1.Os números primos desempenham um papel fundamental na Teoria dos Números e na Criptografia.
Fonte: William Stallings – Criptografia e segurança de redes – 4º edição – Cap. 8 – pág. 165
TEOREMA DE FERMAT
18
Ce
ntro
Un
iversitá
rio d
a F
EI
Se p é primo e a é um inteiro positivo não divisível por p, então:
Fonte: William Stallings – Criptografia e segurança de redes – 4º edição – Cap. 8 – pág. 168
FUNÇÃO TOCIENTE DE EULER
19
Ce
ntro
Un
iversitá
rio d
a F
EI
É escrita como Ø(n) e é definida como o número de inteiros positivos menores que n e relativamente primos de n.
Lembrando que: Dois números inteiros são relativamente primos se seu único fator inteiro positivo comum for 1.
Fonte: William Stallings – Criptografia e segurança de redes – 4º edição – Cap. 8 – pág. 169 e 170
TEOREMA DE EULER
20
Ce
ntro
Un
iversitá
rio d
a F
EI
Fonte: William Stallings – Criptografia e segurança de redes – 4º edição – Cap. 8 – pág. 170
O teorema de Euler afirma que, para cada a e n que sejam relativamente primos:
O ALGORITMO RSA
21
Ce
ntro
Un
iversitá
rio d
a F
EI
Fonte: William Stallings – Criptografia e segurança de redes – 4º edição – Cap. 9 – pág. 189 ehttp://br.geocities.com/jasonbs_1917/seguranca/cripto2.html
•O esquema RSA é uma cifra de bloco em que o texto claro e o texto cifrado são inteiros entre 0 e n-1, para algum n.
•Um tamanho típico para n é 1024 bits, ou 309 dígitos decimais.
•A premissa por trás do RSA é a facilidade em se multiplicar dois números primos afim de obter um terceiro número, porém muito difícil recuperar dois números primos a partir daquele terceiro número. Isto é conhecido como fatoração
GERAÇÃO DE UMA CHAVE RSA
22
Ce
ntro
Un
iversitá
rio d
a F
EI
Fonte: Gilberto Reis – TI – Hydac Tecnologia LTDA.
Um programa utilizado p/ geração de chaves RSA é
o OpenSSL:
GERENCIAMENTO DE CHAVES
23
Ce
ntro
Un
iversitá
rio d
a F
EI
Fonte: William Stallings – Criptografia e segurança de redes – 4º edição – Cap. 10 – pág. 206
Um dos principais papéis da criptografia de chave pública tem sido resolver o problema da distribuição de chaves. Na realidade, existem dois aspectos distintos para o uso da criptografia de chave pública em relação a isso:
•A distribuição das chaves públicas;•O uso da criptografia de chave pública para distribuir as chaves secretas
DISTRIBUIÇÃO DE CHAVES PÚBLICAS
24
Ce
ntro
Un
iversitá
rio d
a F
EI
Fonte: William Stallings – Criptografia e segurança de redes – 4º edição – Cap. 10 – pág. 206
• Anúncio público: Se houver algum algoritmo de chave pública amplamente aceito, como o RSA,
qualquer participante pode enviar sua chave pública a qualquer outro participante.
DISTRIBUIÇÃO DE CHAVES PÚBLICAS
25
Ce
ntro
Un
iversitá
rio d
a F
EI
Fonte: William Stallings – Criptografia e segurança de redes – 4º edição – Cap. 10 – pág. 207
• Diretório disponível publicamente: Um maior grau de segurança pode ser alcançado mantendo-se um diretório dinâmico disponível publicamente com chaves públicas. A manutenção e a distribuição desse diretório teria de ser de responsabilidade de alguma entidade ou organização confiável.
DISTRIBUIÇÃO DE CHAVES PÚBLICAS
26
Ce
ntro
Un
iversitá
rio d
a F
EI
Fonte: William Stallings – Criptografia e segurança de redes – 4º edição – Cap. 10 – págs. 207 e 208
• Autoridade de chave pública: O cenário considera que uma autoridade central mantém um diretório de chaves públicas de todos os participantes.Além disso, cada participante conhece com segurança uma
chave pública para a autoridade, apenas com a autoridade conhecendo a chave privada.
DISTRIBUIÇÃO DE CHAVES PÚBLICAS
27
Ce
ntro
Un
iversitá
rio d
a F
EI
Fonte: William Stallings – Criptografia e segurança de redes – 4º edição – Cap. 10 – págs. 208 e 209
• Certificados de chave pública: Consiste em uma chave pública mais um identificador do proprietário da chave, com o bloco inteiro assinado por um terceiro confiável (normalmente uma autoridade certificadora, como uma agência do governo ou uma instituição financeira).
DISTRIBUIÇÃO DE CHAVES SECRETAS COM CRIPTOGRAFIA DE CHAVE PÚBLICA
28
Ce
ntro
Un
iversitá
rio d
a F
EI
Fonte: William Stallings – Criptografia e segurança de redes – 4º edição – Cap. 10 – págs. 208 a 211
Quando as chaves públicas são distribuídas ou se tornam acessíveis, é possível haver comunicação segura, o que impede a interceptação, a violação ou ambos, porém, poucos usuários desejarão fazer uso exclusivo da criptografia de chave pública para comunicação, devido a velocidade de dados relativamente baixa que pode ser alcançada. Por conseguinte, a criptografia de chave pública providencia a distribuição de chaves secretas a serem usadas para criptografia convencional.
AUTENTICAÇÃO DE MENSAGENS
29
Ce
ntro
Un
iversitá
rio d
a F
EI
A autenticação de mensagens é um mecanismo ou serviço usado para verificar a integridade de uma mensagem.As duas técnicas criptográficas mais comuns de autenticação são:
• Um código de autenticação de mensagens ( MAC – Message Authentication Code ) e • Função de hash segura
(Fonte: William Stallings – Criptografia e segurança de redes – 4º edição – Cap. 11 – págs. 208 a 211)
Fonte: www.exacq.com
MAC – MESSAGE AUTHENTICATION CODE
30
Ce
ntro
Un
iversitá
rio d
a F
EI
Os “MACs” são mecanismos usados com sistemas de criptografia simétrica tal como o Data Encryption Standard (DES), com a finalidade de proteger a informação. Quando executado em cima de uma parte da informação, este modo de criptografia da informação gera um valor (pequeno pedaço de dados) que serve como código para o documento.
Fonte: http://www.di.ufpe.br/~flash/ais98/cripto/criptografia.htm
FUNÇÃO DE HASH
31
Ce
ntro
Un
iversitá
rio d
a F
EI
Fonte: http://www.infotem.hpg.ig.com.br/tem_progr_hash.htm
Uma função de hash relaciona uma mensagem de qualquer tamanho a um valor de hash de tamanho fixo, que serve como autenticador.
A sua função é produzir uma “impressão digital” de um arquivo, mensagem ou outro bloco de dados
(Fonte: William Stallings – Criptografia e segurança de redes – 4º edição – Cap. 11 – págs. 226 e 238)
Deve satisfazer as seguintes condições:
• Ser simples de calcular;• Assegurar que elementos distintos tenham índices distintos;• Gerar uma distribuição equilibrada para os elementos dentro do array;• Deve se aleatória, ou pseudo-aleatória, para prevenir adivinhações da mensagem original;• Deve ser única, onde é praticamente impossível duas mensagens diferentes gerarem o mesmo resumo;• Deve ter mão única, o que significa ser muito difícil a partir do resumo, obter a mensagem.
ASSINATURAS DIGITAIS
32
Ce
ntro
Un
iversitá
rio d
a F
EI
Fonte: William Stallings – Criptografia e segurança de redes – 4º edição – Cap. 13 – pág. 272
Uma assinatura digital é um mecanismo de autenticação que permite ao criador de uma mensagem anexar um código que atue como uma assinatura. A assinatura é formada tomando o hash da mensagem e criptografando-a com a chave privada do criador.
A assinatura garante a origem e a integridade da mensagem.
EXEMPLO – CERTIFICADO DIGITAL
33
Ce
ntro
Un
iversitá
rio d
a F
EI
Fonte: Gilberto Reis – TI – Hydac Tecnologia LTDA.
EXEMPLO - VERIFICAÇÃO DA ASSINATURA DE UM CERTIFICADO
34
Ce
ntro
Un
iversitá
rio d
a F
EI
Fonte: Gilberto Reis – TI – Hydac Tecnologia LTDA
.
SIMÉTRICA X ASSIMÉTRICA
35
Ce
ntro
Un
iversitá
rio d
a F
EI
William Stallings – Criptografia e segurança de redes – 4º edição – Cap. 9 – pág. 184
APLICAÇÕES
Certificado Digital : é um documento que contém a chave pública de uma pessoa (física ou jurídica) e os dados necessários para garantir sua identidade.
Assinatura Digital: A assinatura digital faz uso dos conceitos de chave pública e privada. E funciona da seguinte maneira: é necessário que o usuário tenha um documento eletrônico e a chave pública do destinatário (um usuário pode ser tanto uma pessoa quanto uma instituição qualquer). Através de programas apropriados, o documento é então criptografado de acordo com a chave pública.
36
Ce
ntro
Un
iversitá
rio d
a F
EI
APLICAÇÕES DE SEGURANÇA DE REDE“ Na prática, a eficácia de uma contramedida normalmente depende de como ela é usada; o melhor cofre do mundo é inútil se ninguém se lembrar de fechar a porta” (National Research Council, 1991)
Ce
ntro
Un
iversitá
rio d
a F
EI
37
X.509
Fonte: http://www.gta.ufrj.br/grad/00_1/rodrigo/fr9right.htm
38
Ce
ntro
Un
iversitá
rio d
a F
EI
PGP
Fonte: http://www.data-processing.hk/glossaries/pgp
39
Ce
ntro
Un
iversitá
rio d
a F
EI
IPSEC
Fonte : http://www.gta.ufrj.br/~rezende/cursos/eel879/trabalhos/vpn/ipsec.html
40
Ce
ntro
Un
iversitá
rio d
a F
EI
ATAQUES DE REDES
Ce
ntro
Un
iversitá
rio d
a F
EI
41
AMEAÇAS DA WEB
Fonte: http://wps.prenhall.com/br_stallings_cripto_4/97/24883/6370113.cw/index.html
42
Ce
ntro
Un
iversitá
rio d
a F
EI
SERVIÇOS DE SEGURANÇA EXISTENTES:
SSL (secure socket layer) e TLS (transport layer security)
Destina-se a dar segurança durante a transmissão de dados sensíveis por TCP/IP Fornece criptografia de dados, autenticação de servidor e integridade de mensagem para
transmissão de dados pela internet.
SET (secure eletronic transaction) É um protocolo aberto para transmissão segura de informações de pagamento pela internet ou
outras redes eletrônicas O processo envolve varias verificações de segurança usando certificados digitais, os quais são
emitidos aos compradores participantes, comerciantes e instituições financeiras. O SET utiliza combinações de criptografia. Chaves publicas e privadas são utilizadas por todos os
participantes da transação. Os certificados são emitidos pela organização padronizadora do protocolo, chamada SETCo, que inclui a VISA e MASTERCARD.
43
Ce
ntro
Un
iversitá
rio d
a F
EI
TIPOS DE TRANSAÇÃO SET
Fonte: http://wps.prenhall.com/br_stallings_cripto_4/97/24883/6370113.cw/index.html
44
Ce
ntro
Un
iversitá
rio d
a F
EI
INTRUSOSGeralmente conhecido como hacker ou cracker, podem ser
classificados como: Mascarado: indivíduo sem autorização que explora
a conta de um usuário legítimo; Infrator: usuário legítimo que faz mau uso de seus
privilégios; Usuário clandestino: usuário que se apodera do
controle de supervisão para escapar de auditorias e controles de acesso.
45
Ce
ntro
Un
iversitá
rio d
a F
EI
Fonte: www.obakasoul.blogspot.com
PROGRAMAS MALICIOSOS
46
Ce
ntro
Un
iversitá
rio d
a F
EI
Fonte: http://wps.prenhall.com/br_stallings_cripto_4/97/24883/6370113.cw/index.html
FIREWALL
47
Ce
ntro
Un
iversitá
rio d
a F
EI
Fonte: http://wps.prenhall.com/br_stallings_cripto_4/97/24883/6370113.cw/index.html
CONTINUIDADE DOS NEGÓCIOS“Trata do estudo de identificação dos processos que dão vida a uma empresa, ou seja, aqueles mais críticos e impactantes. Traduzindo: o core business”. (Fonte:http://www.timaster.com.br/revista/artigos/main_artigo.asp?codigo=949)
Ce
ntro
Un
iversitá
rio d
a F
EI
48
http://www.tempest.com.br/http://www.scua.com.br/
http://www.modulo.com.br/http://ciberdominiopublico.blogspot.com/
49
Ce
ntro
Un
iversitá
rio d
a F
EI
Ce
ntro
Un
iversitá
rio d
a F
EI
50
Ce
ntro
Un
iversitá
rio d
a F
EI
51
Ce
ntro
Un
iversitá
rio d
a F
EI
52
ENGENHARIA SOCIAL
Ce
ntro
Un
iversitá
rio d
a F
EI
53
“ É a arte de manipular pessoas a fim de contornar dispositivos de segurança”. (Virinfo,2002)
Como se proteger????54
Ce
ntro
Un
iversitá
rio d
a F
EI
Fonte: www.chssinfo.com.br
CASOS REAIS Abraham Abdallah
No fim de fevereiro de 2009, Abdallah foi preso pela polícia de Nova York, acusado de ter cometido o maior roubo de identidades da história da internet. Por decisão da Justiça, só sai da cadeia se pagar fiança de 1 milhão de dólares. Na lista de suas possíveis vítimas, ainda sob investigação policial, estão 217 milionários, incluindo os cineastas George Lucas e Steven Spielberg, a apresentadora de TV Oprah Winfrey e os empresários Larry Ellison, dono da Oracle, Paul Allen, fundador da Microsoft, e Warren Buffett, o quarto homem mais rico do mundo. (Fonte: http://www.constatti.com.br/?p=976)
55
Ce
ntro
Un
iversitá
rio d
a F
EI
VIP’S
Ce
ntro
Un
iversitá
rio d
a F
EI
56
REFERÊNCIAS
Ce
ntro
Un
iversitá
rio d
a F
EI
57
STALLINGS, William. Criptografia e segurança de redes: princípios e práticas. 4. ed. São Paulo: Pearson Education do Brasil, 2008.
REIS, Gilberto – TI – Hydac Tecnologia LTDA http://www.tdec.com.br/Parceiros/PGP/PGP_Intro.htm, acessado em: 18/03/2011 http:// www.cerberussystems.com, acessado em: 18/03/2011 http://br.geocities.com/jasonbs_1917/seguranca/cripto2.html , acessado em:
19/03/2011 http://www.exacq.com, acessado em: 20/03/2011 http://www.di.ufpe.br/~flash/ais98/cripto/criptografia.htm, acessado em: 22/03/2011 http://www.infotem.hpg.ig.com.br/tem_progr_hash.htm, acessado em: 18/03/2011 http://www.gta.ufrj.br/grad/00_1/rodrigo/fr9right.htm, acessado em: 27/03/2011 http://www.data-processing.hk/glossaries/pgp, acessado em: 13/03/2011 http://www.gta.ufrj.br/~rezende/cursos/eel879/trabalhos/vpn/ipsec.html, acessado
em: 14/03/2011 http://wps.prenhall.com/br_stallings_cripto_4/97/24883/6370113.cw/index.html ,
acessado em: 13/03/2011 http:// www.obakasoul.blogspot.com , acessado em: 19/03/2011 http://www.tempest.com.br/ , acessado em: 19/03/2011 http://www.scua.com.br/ , acessado em: 20/03/2011 http://www.modulo.com.br/ , acessado em: 17/03/2011 http://ciberdominiopublico.blogspot.com , acessado em: 18/03/2011 http:// www.chssinfo.com.br , acessado em: 27/03/2011 http://www.constatti.com.br/?p=976 , acessado em: 18/03/2011
Ce
ntro
Un
iversitá
rio d
a F
EI
58