Virtual Private Network (VPN)

O mundo vem se transformando muito nos ltimos anos, e hoje as

empresas expandem seus negcios, no mais de forma local ou regional,
mas sim de uma forma global. Isto traz a necessidade de manter uma forma
de comunicao segura, confivel e rpida, independente de onde suas
filiais estejam.
Muitas

companhias

utilizam

linhas

dedicadas

para

manter

essa

comunicao de longa distncia (WAN), entretanto manter uma rede dessas

tem um custo muito elevado, alm do mais, seus custos se elevam medida
que a empresa necessita criar novas filiais.
neste contexto que surgiu a ideia de se criar uma rede de comunicao
virtual (VPN). Esta baseada na utilizao de uma rede privada que usa uma
rede pblica como a internet (atravs de conexes virtuais), permitindo
conectar funcionrios remotos, escritrios distantes, de um modo que a
transferncia de informaes acontea de modo seguro.
Alguns benefcios decorrentes do uso das VPNs so os seguintes:

Reduo de custos com comunicaes corporativas.

Reduo do tempo de locomoo e custo dos usurios remotos.
Reduo de custos operacionais.
Aumento da produtividade.
Retorno de investimento mais rpido do que a WAN.
Aumento da segurana.
Eliminao de links dedicados de longa distncia.
Melhores oportunidades de relacionamento global.

Etc.
Alguns recursos so necessrios para se ter um bom projeto de VPN, entre eles
esto: segurana, escalabilidade, confiabilidade, gerncia de redes, etc. Sendo a
segurana a funo mais importante de uma VPN, afinal como os dados privados
sero transmitidos em um meio inseguro, como o caso da Internet, eles devem
ser protegidos de tal maneira que no ocorram interceptaes nem modificaes.

As VPNs possuem algumas aplicaes, e ns iremos exemplificar trs delas:

Acesso Remoto Via Internet
Neste caso a estao remota tem que se conectar a Internet atravs do provedor
de acesso e o software VPN ir criar uma rede virtual privada entre o servidor de
VPN corporativo e o usurio remoto atravs da Internet.
Conexo de Lans Via Internet
Neste caso so utilizados circuitos dedicados locais interligando as Lans Internet.
A WAN corporativa formada graas ao software de VPN que assegura esta
interconexo. A depender da aplicao, tambm possvel a utilizao de circuitos
discados em uma das pontas.
Conexo de Computadores em Uma Intranet
Neste caso a VPN utilizada na prpria Intranet para garantir a confidencialidade
dos dados a quem tem direito. Isto feito atravs da insero de um servidor VPN
entre as conexes fsicas das redes locais. Desse modo o administrador poder ter
um melhor controle da rede e definir quem estar apto a acessar os recursos
confidenciais da rede via VPN, alm de que toda essa comunicao pode ser
criptografada, o que assegura a confidencialidade das informaes. Usurios que
no

tem

autorizao

para

acessar

via

VPN

sequer

enxergaro

rede

departamental.
Requisitos Bsicos
Entre alguns requisitos bsicos que as VPNs devem dispor para permitir o acesso
de clientes remotos autorizados aos recursos da Lan corporativa esto:

Autenticao de Usurios.
Gerenciamento de Endereos.
Criptografia de Dados.
Gerenciamento de Chaves.
Suporte a Mltiplos Protocolos.

Segurana de uma Rede VPN

Uma rede VPN bem projetada poder utilizar vrios mtodos de segurana para
manter a sua conexo segura, alguns destes so:
Firewalls prov uma barreira entre a sua rede interna e a Internet. Em
relao com a VPN pode ser usado para finalizar uma sesso de rede VPN.
Criptografia processo de codificao dos dados que um computador envia
para outro, de forma que s o destinatrio possa decodifica-los.
IPsec O Internet Protocol Security fornece recursos de segurana, como um
melhor algoritmo de criptografia e autenticao. No IPsec h duas formas de
criptografia: tnel e transporta, as quais sero melhores explicadas
posteriormente.
Servidores AAA ( Authentication, Authorization and Accounting) so usados
para dar mais segurana ao acesso a ambientes de redes VPN de acesso
remoto quando uma solicitao feita para estabelecer uma comunicao
com a rede privada.
Tunelamento
O tunelamento pode ser definido como um processo de encapsular um protocolo
dentro de outro protocolo e ambos serem enviados pela rede. Um exemplo disto so
pacotes de protocolo IPX que podem ser transportandor dentro de pacotes TCP/IP. A
utilizao de tunelamento em VPNs conta com um novo componente que a
criptografia. Esta utilizada antes de encapsular o pacote que ser transportado.
Este pacote poder trafegar ao longo da rede intermediria em qualquer rede
pblica ou privada, atravs de caminhos lgicos denominados tneis.
O processo de tunelamento envolve, encapsulamento, transmisso ao longo da
rede intermediria e desencapsulamento do pacote. Alm disso, o tunelamento
pode ocorrer na camada 2 (enlace) ou na camada 3 (rede) de acordo com o modelo
OSI. Para que isso ocorra ser necessrio que as extremidades utilizem o mesmo
protocolo de tunelamento.
O envio de dados pelo tnel reques trs tipos diferentes de protocolos: protocolo
de portadora; protocolo de encapsulamento; protocolo de passageiro. O primeiro

utilizado sobre a rede no qual a informao est viajando. O segundo so os

protocolos que so empacotados em volta dos dados orginais, tais como GRE, IPsec,
L2TP, etc. J o ultimo referente aos dados orignais sendo transportados, utilizando
protocolos como IP, IPX, NetBEUI.
Tunelamento em nivel 2
Em uma rede VPN de acesso remoto, a transmisso de dados pelo tnel se d com
uso de PPP (Point-to-Point Protocol). O objetivo transportar protocolos de nvel 3
na Internet. Os protocolos utilizam quadros como unidade de troca, encapsulando
os pacotes da camada 3 (como IP/IPX) em quadros PPP. Como exemplo temos:
L2F (Layer 2 Forwarding) desenvolvido pela Cisco, utilizada para VPNs
discadas e utiliza qualquer esquema de autenticao suportado pelo
protocolo PPP.
PPTP (Point-to-Point Tunneling Protocol) desenvolvido por um consrcio de
empresas que inclui a US Robotics, Microsoft, 3COM, Ascend e a ECI
Telematics. Este protocolo permite que o trfego IP, IPX e NetBEUI sejam
cripotografados e encapsulados para serem enviados atravs de redes IP
pblicas ou privadas. Este protocolo aceita cripotragia que varia de 40 a 128
bits.
L2TP (Layer 2 Tunneling Protocol) fruto da parceria entre os membros do
frum PPTP, Cisco e IETF. Este protocolo permie que o trfego IP, IPX e
NetBEUI sejam criptografados e enviados atravs de canais de comunicao
de datagrama ponto a ponto tais como IP, X25, Frame Relay ou ATM.
Combinando caractersticas tanto do PPTP quanto do L2F, o L2TP tambm
aceita amplamente o IPSec.
Tunelamento em nivel 3
Antes de enviar os pacotes IP atravs da rede, estes so encapsulados com um
cabealho adicional deste mesmo protocolo que o IPsec.
IPsec (IP Security Tunnel Mode) um protocolo que fornece recursos
aperfeioados de segurana, como um melhor algoritmo de criptografia e
autenticao mais abrangente. Foi desenvolvido pela IETF e permite que pacotes IP
sejam criptografados e encaspulados com cabealho adicional deste mesmo

protocolo. Inicialmente, foi desenvolvido para IPv6, mas devido a adaptaes

possvel a sua utilizao no IPv4.
Este protocolo trabalha como uma soluo para interligao de redes e conexes
via linha discada. Ele foi projetado para suportar mltiplos protocolos de criptografia
possibilitando que cada usurio escolha o nvel de segurana desejado. Outra
funo que faz parte do IPsec o gerenciamento de chaves.

O Funcionamento dos Tneis

Para que ocorra a comunicao necessrio que as duas extremidades do tnel
negociem parmetros tais como endereamento, criptografia e compresso. Nas
tecnologias referentes camada 2 necessrio que o tnel seja criado, mantido e
encerrado. O gerenciamento destes tneis realizado atravs de protocolos de
manuteno. J na parte referente camada 3 a fase de manuteno do tnel no
existe. Uma vez que o tnel estabelecido os dados podem ser enviados
efetivamente.
Tipos de Tneis e seus Respectivos Tunelamentos
Os tneis podem ser criados de 2 formas diferentes:
Tnel Voluntrio - o computador do usurio funciona como uma das
extremidades do tnel e, tambm, como cliente do tnel. Emite uma
solicitao VPN para configurar e criar um tnel entre duas mquinas, uma
em cada rede privada, e que so conectadas via Internet. O tunelamento
voluntrio pode requerer conexes IP atravs da LAN ou acesso discado.
Tnel Compulsrio - O computador do usurio no funciona como
extremidade do tnel. Um servidor de acesso remoto, localizado entre o
computador do usurio e o servidor do tnel, funciona como uma das
extremidades e atua como o cliente do tnel. O tunelamento compulsrio no
caso da Internet, o cliente faz uma conexo para um tnel habilitado pelo
servidor de acesso no provedor (ISP). No tunelamento compulsrio com

mltiplos clientes, o tnel s finalizado no momento em que o ltimo

usurio do tnel se desconecta.
VPN com IPsec
Uma rede VPN pode utilizar o padro denominado IPSec, criado pelo IETF, o que
torna todo o trfego de informao nesse tnel, seguro. As implementaes da VPN
podem ocorrer de 4 modos distintos: VPN formada por circuitos virtuais discados,
por circuitos virtuais dedicados, utilizando a Internet e fornecida por um provedor
backbone IP. Existem tambm outros protocolos de segurana que podem ser
utilizados em VPNs tais como o SSL e o TLS.

Concluso
Utilizar redes VPNs pode ser uma excelente maneira das empresas conseguirem
manter seus usurios e parceiros conectados, independentes da posio geogrfica.
Isto se torna uma alternativa ao modelo de conexo WANs, pois reduz os custos
alm de ser um modo seguro de transmisso de dados atravs de redes pblicas
(Internet) ou privadas.
A deciso de implementar ou no as VPNs parte de uma anlise criteriosa dos
requisitos, e de mtricas como desempenho, atraso na transmisso, segurana, etc.
Afinal, cada empresa tem suas necessidades prprias.

SSL / TLS
Com o desenvolvimento e popularizao da Internet, criao de novas tecnologias
de acesso a rede tais como: smartphones, laptops, etc. Tudo isto atrelado a falta de
tempo que muitas pessoas encontram, a Internet se transformou em uma
ferramenta poderosa no dia a dia das pessoas, sendo evidenciada nas compras
online (e-commerce), atravs de portais de grandes bancos (Internet Banking),
entre outras aplicaes. Porm, para que a populao possa usufruir de todas essas
facilidades necessria existncia de uma forma segura de comunicao.
neste contexto que entram os protocolos SSL/TLS. Estes utilizam a autenticao
de usurio para garantir que a conexo est sendo realizada realmente com quem
se pensa que est conectado, tentando assim atravs de mensagens criptografadas
garantir o sigilo e integridade dos dados contra os atacantes.
Secure Socket Layer (SSL)
SSL um padro global em tecnologia de segurana desenvolvida pela Netscape
em 1994. Ele se situa exatamente abaixo da camada de aplicao com a
responsabilidade de permitir a transmisso de informaes atravs da Internet

criando um canal criptografado entre o cliente e o servidor, com garantia opcional

de autenticidade dos pares, garantindo assim a integridade da mensagem.
Sites de compras online, bancos, emails, entre outros que envolvem informaes
sigilosas usam com frequncia essa tecnologia para proteger suas informaes. E
as pessoas podem reconhecer o uso da mesma atravs do "cadeado dourado"
que aparece nos navegadores quando esto acessando um web site seguro.
Inicialmente, o SSL foi desenvolvido para garantir segurana dos dados
transportados atravs da camada de aplicao, o intuito era prover uma
comunicao fim-a-fim segura e autenticada, entre dois pontos da rede atravs do
protocolo TCP. Alm disso, o SSL pode ser utilizado para proteo de informao em
trnsito relacionada a qualquer servio de rede.
Hoje o responsvel pelo SSL o IETF, mas antes dele quem desenvolvia este
protocolo era a Netscape inclusive lanando as trs primeiras verses contando
com a participao da comunidade WEB. Hoje, praticamente todos os servidores e
navegadores WEB suportam uma sesso SSL, e alm do cadeado dourado, outra
forma que aparece para o usurio final a sigla HTTPS.
O SSL funciona sem que o usurio se preocupe com o que est acontecendo, e os
seus principais objetivos so:

Autenticao entre o cliente e o servidor.

Garantia da Integridade dos dados.
Privacidade dos dados.
No Repudio.

Outro ponto importante a relatar que o SSL no apenas um protocolo nico,

mas sim um conjunto de protocolos que podem ser divididos em duas camadas.
Uma dessas camadas para garantir a segurana e integridade dos dados,
composta pelo SSL Record Protocol. J a outra camada visa estabelecer uma
conexo SSL, trs protocolos so utilizados nela: o Handshake Protocol, o SSL
ChangeCipher e o SSL Alert Protocol.

No protocolo SSL o cliente e o servidor se comportam de maneira diferente. O

primeiro o sistema que inicia a comunicao segura, j o segundo responsvel
por responder ao pedido do cliente. Exemplificando para o mundo real, uma
aplicao comum do SSL a navegao HTTPS, onde o navegador (IE, Firefox, etc.)
o cliente e o site o servidor.
O fluxo de trabalho no SSL estabelecido atravs de um identificador de sesso
SSL Handshake Protocol, um conjunto criptogrfico (cypher sute), alm de um
mtodo de compresso.
O conjunto criptogrfico constitudo de trs algoritmos:
Algoritmo para cifragem de dados.
Algoritmo para insero de redundncia nas mensagens.
Algoritmo para troca de chaves. Este ser um algoritmo de criptografia
assimtrico que ser utilizado para enviar uma chave privada do algoritmo
de cifragem de dados. Desse modo, o SSL utiliza o algoritmo assimtrico para
a criao de um canal seguro e envio de uma chave secreta, e depois disso
utilizado o algoritmo simtrico.
Feito o handshake inicial, as mensagens de protocolo de aplicao so ento
comprimidas, inseridas as MACs (Message Authentication Code) atravs de um
algoritmo de insero de redundncia na mensagem, e ento cifrado antes de
serem enviadas ao TCP.

No destino, aps a mensagem ser decifrada, a

autenticidade da mensagem verificada, comparando-a com a MAC, quando ento

ela descomprimida e enviada para a camada de aplicao. Caso ocorra algum erro
o SSL Alert Protocol ser o responsvel por enviar e receber esse tipo de
mensagem, e se necessrio, interromper a conexo.

Para o SSL, as distines mais importantes entre cliente e servidor so suas aes
durante a negociao dos parmetros de segurana. Logo que o cliente inicia a
comunicao, ele tem a responsabilidade de propor ao servidor um grupo de opes
que dizem respeito aos algoritmos de criptografia e funes hash a serem utilizados
durante toda a comunicao. O servidor verifica a melhor (mais segura) opo de
algoritmos e funes hash entre ele e o cliente e ento decide o que ser utilizado.

Quando o cliente e o servidor se comunicam, eles o fazem trocando mensagens

do tipo: Alerta, ApplicationData, Certificate, Certificate Request, entre outras.
Abaixo segue o estabelecimento de uma conexo SSL:

Transport Layer Security (TLS)

um protocolo de segurana cujo padro baseado no SSL 3.0 e o seu nome foi
adotado pela IETF a partir de 1996. Apesar de existirem pequenas diferenas entre
eles (que sero explicadas logo mais) o protocolo permanece substancialmente o
mesmo, tanto que s vezes o protocolo TLS 1.0 identificado como SSL 3.1.

O protocolo TLS est substituindo o SSL em algumas aplicaes tais como projetos
relacionados a servidores, especialmente open-source, alm de servidores de
emails e comunicadores instantneos.

Algumas pequenas diferenas entre o SSL e TLS so as seguintes:

 Possuem normas diferentes.

A verso TLS 1.0 no interopera com a SSL 3.0.
O TLS tem a capacidade de trabalhar com portas diferentes.
Os algoritmos de criptografia usados so diferentes. O TLS utiliza um
algoritmo de criptografia mais forte o HMAC (keyed-Hashing for message
authentication), j, o SSL utiliza o MAC (message authentication code).

Concluso

Sabemos que a Internet veio para ficar e hoje mais do que nunca ela faz parte do
cotidiano, atravs de compartilhamento de fotos, vdeos, compras onlines, etc.
crescente a preocupao com a confiabilidade, integridade, autenticidade e
segurana.

Neste

contexto

protocolo

SSL/TLS

se

mostrou

de

grande

aplicabilidade, alm de ser robusto, confivel e aprovados pelas pessoas e

companhias que o utilizam.
Portanto, por meio da encriptao das mensagens e da autenticao dos usurios,
este protocolo cumpre os seus objetivos relativos a segurana, alm de ser uma
timo opo para o usurio final por trabalhar de forma transparente.
Orange Book
O departamento de defesa dos Estados Unidos com o objetivo de subsidiar a
elaborao dos contratos militares e do governo lanou em 1983 o Trusted
Computer System Evaluation Criteria (TCSEC). Devido a capa do documento ser da
cor laranja, ele ficou conhecido tambm como Orange Book. Embora originalmente
tenha sido escrito para sistemas militares, atualmente utilizado pelas indstrias
de computadores e sua finalidade fornecer critrios tcnicos de segurana.
Os critrios de avaliao podem ser aplicados de forma global, avaliando-se todo o
conjunto de componentes que compe o ambiente computacional em que ocorrer
o processamento das informaes. Seis exigncias fundamentais so derivadas do
conceito de um sistema computacional seguro, e elas so:
Requisito 1 Poltica de Segurana.

 Requisito 2 Marcao.
Requisito 3 Identificao.
Requisito 4 Registro de Eventos.
Requisito 5 Garantia.
Requisito 6 Proteo Contnua.
O TCSEC leva em considerao quatro nveis de segurana (D, C, B, A). Estes esto
estruturados de maneira hierrquica, de tal modo:
Nvel D Mnimo de Proteo. Neste nvel qualquer sistema que no se
enquadre em outra categoria ou que no tenha recebido um nvel maior de
classificao.
Nvel C - Proteo Discreta. Neste nvel esto a base computacional confivel
(TCBs) com proteo de objetos, tais como: arquivos, diretrios, etc. Alm
disso este nvel est subdivido em duas classes:

Nvel C1 Proteo com Segurana Arbitrria. Aqui temos as seguintes

caractersticas: Proteo de arquivo opcional, por exemplo, lista de controle
de acesso, proteo para usurios, etc; Checagem da Integridade do TCB;
Documentao para testes de segurana; Documentao de segurana para
o usurio; Sistemas que operam em modo de segurana, entre outros.

Nvel C2 Proteo com Controle de Acesso. Aqui encontramos as

caractersticas do nvel C1 mais: Proteo de objetos pode ser realizada por
usurios simples; Somente usurios autorizados podem ter acesso; Auditoria
de eventos de segurana; Operao do sistema em modo protegido;
Incluso de proteo para autorizaes e auditoria de dados, etc.
Nvel B Proteo Obrigatria. Neste nvel a proteo de sistemas TCB
obrigatria, alm disso, ele est subdividido em trs classes:
Nvel B1 Proteo com Segurana Baseada em Rotulo. As caractersticas do
nvel C2 mais: Controle de acesso obrigatrio; Checagem da integridade do
rtulo; Auditoria dos rtulos dos objetos; Segurana obrigatria para acesso
a objetos; Recursos para especificar nveis de segurana para documentos
que esto em fila de impresso.

 Nvel B2 Proteo Estruturada. As caractersticas do nvel B1 mais:

Notificao de alteraes nos nveis de segurana que afetam os usurios;
Comunicao segura entre usurios e sistema; Cobrir armazenamento de
canais; Aperfeioamento dos testes de segurana; Permitir que o sistema
opere em mltiplos nveis independentes das unidades; Analise e auditoria
de verso, atualizao e correes, entre outros.
Nvel B3 Domnios de Segurana. As caractersticas do nvel B2 mais: ACLs
adicionais para grupos e identificadores; Caminho de acesso e autenticao
confiveis; Analise de segurana automtica; Modelo de TCB mais formal;
Recuperao segura aps o sistema cair e documentao relevante;
Auditoria da analise de eventos seguro; Zero erros na TCB e o mnimo de
implementaes com falhas.
Nvel A Proteo Verificada. Este o nvel mais alto de proteo e tem
como caractersticas: o nvel B3 mais mtodos formais e aprovados da
integridade da TCB.
Alm do que foi exposto o TCSEC tambm leva em considerao cinco aspectos de
segurana, e estes so:
A poltica de segurana do sistema.
Os mecanismos de contabilidade/auditoria do sistema.
A operacionalidade do sistema de segurana.
O ciclo de vida do sistema de segurana.
A documentao desenvolvida e atualizada sobre os aspectos de
segurana do sistema.