Segurana em Web Segurana em Web

Services Services Services Services

Implementar a integrao entre sistemas
heterognios, de forma simples e
padronizada;
Objetivos do WS Objetivos do WS
Motivao:
Grande diversidade de sistemas que compem
o am!iente de "I;
# necess$rio um modelo de segurana fle%&vel
e confi$vel;
'tiliza(se na comunicao )M* +em claro,;
-ecessidade de criptografar as mensagens;
Segurana para WS Segurana para WS
. /roteger o protocolo de rede
que o 01 utiliza para se
comunicar;
. 'tilizao do 11* +1ecure
1oc2ets *a3er,;
-&vel de
"ransporte
. 4ncriptao e decriptao de
documentos )M*;
-&vel de
Segurana para WS Segurana para WS
documentos )M*;
. /adres para segurana em
)M* +056,;
-&vel de
)M*
4ste modelo, um cliente a!re um Socket
seguro para um Web Service e ento o utiliza
para trocar mensagens 178/ via 9""/1;
8 implementao de 11* garante segurana
encriptando todo o tr$fego de rede so!re o
soc2et:
/ode(se ainda autenticar um 0e! 1ervice
Nvel de Transporte Nvel de Transporte
/ode(se ainda autenticar um 0e! 1ervice
utilizando(se um 6ertificado ;igital atrav<s
da infra(estrutura de 6haves /=!licas +/>I,:
Infraestrutura de chaves p=!licas +/>I,
oferece os seguintes servios:
Autenticao:
Mecanismo que verificam a identidade sem permitir a
transmisso ou o armazenamento de senhas
reutiliz$veis;
Nvel de Transporte Nvel de Transporte - - PK PK
reutiliz$veis;
6ertificam de que as pessoas ou m$quinas so quem
dizem ser;
4nvolve um terceiro no processo;
4mpresa de autenticao confi$vel ou um servio de
certificao convencional;
"orna(se virtualmente imposs&vel que uma pessoa no
autorizada acesse o sistema:
!ncriptao"
4ncriptao e algoritmos de integridade so
utilizados para proteger comunicaes e garantir a
privacidade;
No rep#dio"
?emetentes de e(mails ou transaes assinadas
digitalmente no podem alegar que no a
transmitiram;
$erti%icados &igitais"
Nvel de Transporte Nvel de Transporte - - PK PK
$erti%icados &igitais"
6ertificados so identidades digitais atri!u&das por
uma terceira entidade que identifica os usu$rios e
as m$quinas:
!ntidade $erti%icadora"
8tua como um provedor independente e
confi$vel de certificados digitais;
8 chave p=!lica de um indiv&duo < pu!licada
por uma 4ntidade 6ertificadora em um
certificado atri!u&do ao usu$rio;
/ara garantir o sigilo utiliza(se a chave p=!lica
para criptografar os dados:
Nvel de Transporte Nvel de Transporte - - PK PK
para criptografar os dados:
4sforo desenvolvido pelo Working Group
I/1ec da I4"@ +Internet Engineering Task
Force);
8rquitetura de segurana para o protocolo I/;
Mecanismos:
8utenticao;
Gesto e distri!uio de chaves;
/ara qualquer verso do protocolo I/:
/ermite a implementao de redes virtuais
Nvel de Transporte Nvel de Transporte - - PSec PSec
/ermite a implementao de redes virtuais
privadas e seguras +A/-, atrav<s de redes
p=!licas tais como a Internet:
6omponentes:
6a!ealho de 8utenticao +89,;
6a!ealho de 4ncapsulamento de ;ados de
1egurana +41/,;
Mecanismos de Gesto de 6haves:
Nvel de Transporte Nvel de Transporte - - PSec PSec
6a!ealho de 8utenticao +89,:
?epresenta um ca!ealho de e%tenso do
protocolo I/vB e foi criado para validar a
identidade de entidades que esto a
comunicar;
8utentica o emissor e os datagramas I/;
'sado normalmente em conCunto com o
ca!ealho de encapsulamento de dados;
Nvel de Transporte Nvel de Transporte - - PSec PSec
ca!ealho de encapsulamento de dados;
$abeal'o de !ncapsulamento de
&ados de Segurana(!SP)"
# um ca!ealho de e%tenso pertencente ao
protocolo I/vB que fornece:
Integridade;
6onfidencialidade aos datagramas I/;
8trav<s da cifra dos dados contidos no
datagrama:
Nvel de Transporte Nvel de Transporte - - PSec PSec
datagrama:
8 utilizao do 41/ pode ser efetuada de
dois modos:
*odo de Transporte (transport-mode);
*odo de T#nel (tunnel-mode).
Nvel de Transporte Nvel de Transporte - - PSec PSec
!SP - *odo de Transporte (transport-mode):
4ste modo encripta a informao do protocolo da
camada de transporte, adicionando(lhe de seguida
um novo ca!ealho I/ no(encriptado:
*odo de T#nel (tunnel-mode):
/rovidencia proteo ao pacote I/: /ara tal, apDs a
adio dos campos 41/ ao pacote I/, todo o pacote
< tratado como o mDdulo de dados de um novo
pacote I/: 'm e%emplo < o envio de pacotes I/
Nvel de Transporte Nvel de Transporte - - PSec PSec
pacote I/: 'm e%emplo < o envio de pacotes I/
atrav<s de canais virtuais criados numa rede I/
p=!lica, como a Internet:
Mecanismos de Gesto de 6haves:
8 gesto de chaves diz respeito E criao,
eliminao e alterao das chaves:
4m!ora o I/1ec no integre um mecanismo de
gesto de chaves;
8 I4"@ definiu comonorma de gesto o
protocolo h&!rido I18>M/F7a2le3 tam!<m
denominado Internet Key Ec!ange +I>4,;
Nvel de Transporte Nvel de Transporte - - PSec PSec
denominado Internet Key Ec!ange +I>4,;
Internet Key Ec!ange +I>4, se !aseia
nos seguintes documentos:
I18>M/ ( Internet Security "ssociation an# Key
$anagement %rotocol&
;escreve uma infra(estrutura para a gesto de
associaes de segurana;
7a2le3:
;efine material de chaves para cifra, !as!ing e
Nvel de Transporte Nvel de Transporte - - PSec PSec
;efine material de chaves para cifra, !as!ing e
autentica'o;
Internet (omain )* Interpretation&
define parGmetros I18>M/ para as associaes
de segurana I/1ec no dom&nio Internet;
?esoluo I18>M/F7a2le3:
define o perfil do protocolo h&!rido
I18>M/F7a2le3, escolhido como norma de
gesto de chaves criptogr$ficas pela Internet
4ngineering "as2 @orce +I4"@,;
Nvel de Transporte Nvel de Transporte - - PSec PSec
4ngineering "as2 @orce +I4"@,;
I>4 ( Internet Key Ec!ange+
7!Cetivos do 01
Motivao para segurana
-&vel de "ransporte
-&vel de )M*
-&vel de "ransporte
Infraestrutura de chaves p=!licas
8utenticao
4ncriptao
-o rep=dio
6ertificados ;igitais
4ntidade 6ertificadora
Ate a+ui, Ate a+ui,
4ntidade 6ertificadora
I/1ec
6a!ealho de 8utenticao +89,
6a!ealho de 4ncapsulamento de ;ados de 1egurana +41/,
Mecanismos de Gesto de 6haves
4nvolve a encriptao e decriptao de
documentos )M*;
7 056 vem fazendo esforos para criao
de novos padres de segurana em )M*,
tais como: assinaturas digitais,
encriptao e gerenciamento de chaves;
S!-./AN0A AO N12!3 &! 4*3 S!-./AN0A AO N12!3 &! 4*3
4K*S (4*3 Key Management
Services)
4specificao esta!elece um formato de
documento em )M* que permite que a
autenticao de chaves e gerenciamento de
certificados seCam feitos em aplicaes 0e!;
n&vel mais profundo de interopera!ilidade entre
sistemas de />I;
S!-./AN0A AO N12!3 &! 4*3 S!-./AN0A AO N12!3 &! 4*3
sistemas de />I;
Integrao mais f$cil entre as aplicaes da
empresa e a infra(estrutura de chaves p=!licas
corporativa;
WS-Securit5 (especi%icao de
segurana)"
8!ril de HIIH, a Microsoft 6orporation, a IJM
6orporation e a Aeri1ign Inc:
7!Cetivo:
6onstruir aplicaes de 0e! 1ervices com ampla
interopera!ilidade:
1uporta, integra e unifica v$rios modelos,
S!-./AN0A AO N12!3 &! 4*3 S!-./AN0A AO N12!3 &! 4*3
1uporta, integra e unifica v$rios modelos,
mecanismos e tecnologias de segurana em uso no
mercado, permitindo que v$rios sistemas possam
interoperar em plataformas e linguagens neutras:
WS-Securit5 (especi%icao de
segurana)"
;efinem um conCunto de padres para
e%tenses 178/ ou para ca!ealhos de
mensagens:
integridade e confidencialidade Es aplicaes de
0e! 1ervices;
S!-./AN0A AO N12!3 &! 4*3 S!-./AN0A AO N12!3 &! 4*3
8l<m da divulgao das especificaes
01(1ecurit3, a IJM e a Microsoft
anunciaram tam!<m a pu!licao do
proCeto K8 1egurana no mundo dos 0e!
1ervicesK +Security in a ,- Web Services
Worl#)&
?ecursos adicionais de segurana de 0e!
S!-./AN0A AO N12!3 &! 4*3 S!-./AN0A AO N12!3 &! 4*3
?ecursos adicionais de segurana de 0e!
1ervices;
WS-Polic5"
;efine como os recursos e restries das normas
de segurana podero ser e%pressos;
WS-Trust"
Ir$ descrever um modelo para que se o!tenha um
relacionamento de confiana, tanto direto, quanto
por meio de agentes +incluindo terceiros e
intermedi$rios,;
WS-Privac5"
S!-./AN0A AO N12!3 &! 4*3 S!-./AN0A AO N12!3 &! 4*3
WS-Privac5"
;eterminar$ de que forma os 0e! 1ervices sero
adotados e implementados:
WS-Secure $onversation"
4%plica como autenticar e gerenciar a troca de
mensagens, incluindo especificaes para o
conte%to de segurana desse intercGm!io e a
derivao de chaves de sesso;
WS-6ederation"
gerencia os v$rios tipos de relacionamento em
am!ientes heterogneos associados, incluindo o
suporte E identidade dessas partes associadas;
S!-./AN0A AO N12!3 &! 4*3 S!-./AN0A AO N12!3 &! 4*3
suporte E identidade dessas partes associadas;
WS-Aut'ori7ation"
;efine como os 0e! services administraro os
dados e as normas de autorizao:
4*3-Signature S5nta8 and Processing
4ste padro 056 especifica sinta%e e
regras de processamento de assinaturas
digitais em )M*;
S!-./AN0A AO N12!3 &! 4*3 S!-./AN0A AO N12!3 &! 4*3
4*3 4*3--Signature Signature
S5nta8 S5nta8 and and
Processing Processing
LsIH(MHN 7
elemento
Signe#In*o . a
in*orma'o #a
assinatura; assinatura;
LsMO(MBN 7
elemento KeyIn*o
in#ica a c!ave a
ser usa#a para
validar a
assinatura:
/adro 056
especifica o processo
de criptografia de
dados representado
em formato )M*;
KPK significa zero ou
uma ocorrncia; KQR
significa uma ou mais
4*3 !ncr5ption S5nta8 and 4*3 !ncr5ption S5nta8 and
Processing Processing
significa uma ou mais
ocorrncias; KSK
significa zero ou
muitas ocorrncias;
4%emplo de um )M*
sem criptografia dos
dados:
4*3 !ncr5ption S5nta8 and 4*3 !ncr5ption S5nta8 and
Processing Processing
4%emplo da
mensagem anterior
usando criptografia:
4*3 !ncr5ption S5nta8 and 4*3 !ncr5ption S5nta8 and
Processing Processing
8s linhas +II5,(+ITU,
contm o ca!ealho da
mensagem 178/;
8s linhas +IIO,(+ITV,
representam o !loco
/0sse&Security1 #o
ca!ealho: 4ste cont<m
a segurana da
informao para esta
mensagem;
8s linhas +IIT,(+IIU,
SOAP *essage Securit5 9:; (WS SOAP *essage Securit5 9:; (WS--
Securit5 Securit5 <;;=) <;;=)
8s linhas +IIT,(+IIU,
especificam o momento
da criao da
mensagem:
8s linha +IMI,(+IMH,
especificam o token #e
seguran'a associa#o E
mensagem: -este caso <
especificado um
certificado ):TIW que est$
codificado como 2ase3,;
8s linhas +IM5,(+IHB,
especificam a chave
usada para criptografar o
corpo da mensagem;
8s linhas +IHV,(+ITB,
SOAP *essage Securit5 9:; SOAP *essage Securit5 9:;
(WS (WS--Securit5 Securit5 <;;=) <;;=)
8s linhas +IHV,(+ITB,
especificam a assinatura
digital: -este e%emplo, a
assinatura < !aseada num
certificado ):TIW:
SOAP *essage SOAP *essage
Securit5 9:; (WS Securit5 9:; (WS--
Securit5 Securit5 <;;=) <;;=)
8 linha +I5W, referencia o corpo
da mensagem;
8s linhas +IOU,(+ITI, indicam o
atual valor da assinatura que foi
especificada na linha +IO5,;
8s linhas +ITH,(+ITO, indicam a
chave usada na assinatura;
7 corpo da mensagem est$
representada pelas linhas +ITW,(
+IBV,;
8s linhas +IBI,(+IBB,
representam os metadados da
criptografia e formas do corpo
usando 4$5 Encryption; usando 4$5 Encryption;
8s linha +IB5,(+IBO, contm o
corpo criptografado:
/ara criar 0e! 1ervices seguros, conhea
as ameaas associadas;
8cesso no autorizado
Manipulao de parGmetros
4spionagem na rede
;ivulgao de dados de configurao
?epetio de mensagens
$/AN&O W!> S!/2$!S $/AN&O W!> S!/2$!S
S!-./OS S!-./OS
?epetio de mensagens
$/AN&O W!> S!/2$!S $/AN&O W!> S!/2$!S
S!-./OS S!-./OS
Acesso no autori7ado"
2ulnerabilidades"
@alta de autenticao:
1enhas de te%to sem formatao passaram em
ca!ealhos 178/:
8utenticao !$sica usada por um canal de
comunicao sem criptografia:
$/AN&O W!> S!/2$!S $/AN&O W!> S!/2$!S
S!-./OS S!-./OS
$ontramedidas"
'se resenha de senhas em ca!ealhos 178/
para autenticao:
'se permisses >er!eros em ca!ealhos 178/
para autenticao:
'se certificados ):TIW em ca!ealhos 178/
para autenticao:
'se autorizao !aseada em funo para
$/AN&O W!> S!/2$!S $/AN&O W!> S!/2$!S
S!-./OS S!-./OS
'se autorizao !aseada em funo para
restringir o acesso aos 0e! 1ervices: Isso pode
ser feito com o uso da autorizao de '?*:
*anipulao de par?metros"
2ulnerabilidades"
Mensagens que no so assinadas digitalmente e,
portanto, no oferecem proteo contra
violao:
Mensagens que no so criptografadas e,
portanto, no oferecem privacidade e proteo
contra violao:
$/AN&O W!> S!/2$!S $/AN&O W!> S!/2$!S
S!-./OS S!-./OS
contra violao:
$ontramedidas"
8ssinar a mensagem digitalmente: 8 assinatura
digital < usada no destinat$rio para verificar se
a mensagem no foi violada enquanto estava
em trGnsito:
6riptografar a carga da mensagem para
oferecer privacidade e proteo contra
violao:
$/AN&O W!> S!/2$!S $/AN&O W!> S!/2$!S
S!-./OS S!-./OS
violao:
!spionagem na rede"
2ulnerabilidades"
6redenciais de te%to sem formatao que
passaram em ca!ealhos 178/:
@alta de criptografia no n&vel da mensagem
@alta de criptografia no n&vel do transporte
$ontramedidas"
'sar criptografia no n&vel do transporte, como
11* ou I/1ec: Isso se aplica somente se
houver controle em am!os os pontos de
e%tremidade:
6riptografar a carga da mensagem para
oferecer privacidade: 4ssa a!ordagem funciona
em situaes nas quais a mensagem passa por em situaes nas quais a mensagem passa por
rota de nDs intermedi$rios at< o destino final:
&ivulgao de dados de con%igurao"
2ulnerabilidades"
8rquivos 01;* irrestritos, dispon&veis para
doXnload no servidor 0e!:
'm 0e! 1ervice irrestrito oferece suporte E
gerao dinGmica do 01;* e permite que
consumidores no autorizados o!tenham
caracter&sticas do 0e! 1ervice: caracter&sticas do 0e! 1ervice:
"ratamento de e%cees de !ai%a segurana:
$ontramedidas"
8utorizar o acesso a arquivos 01;* atrav<s de
permisses:
?emover arquivos 01;* do servidor 0e!:
;esativar os protocolos de documentao para
impedir a gerao dinGmica do 01;*:
6apturar e%cees e descartar uma e%ceo do
tipo R1oap4%ceptionY ou
R1oap9eader4%ceptionY Z que retorna
tipo R1oap4%ceptionY ou
R1oap9eader4%ceptionY Z que retorna
somente informaes m&nimas e inofensivas Z
de volta para o cliente:
/epetio de mensagens"
2ulnerabilidades"
Mensagens no criptografadas:
Mensagens que no so assinadas digitalmente e,
portanto, no impedem a violao:
Mensagens duplicadas no detectadas pela falta
de identificao de mensagem e%clusiva:
Ata+ues"
8taque de repetio !$sico: 7 invasor captura
e copia uma mensagem e, em seguida, repete
a mesma mensagem e assume a identidade do
cliente: 4sse ataque de repetio no requer
que o usu$rio mal[intencionado conhea o
conte=do da mensagem:
8taque de interceptadores: 7 invasor captura a
mensagem, altera algum conte=do, por mensagem, altera algum conte=do, por
e%emplo, um endereo para remessa e, em
seguida, a repete no 0e! 1ervice:
$ontramedidas"
'sar um canal de comunicao com criptografia,
por e%emplo, o 11*:
6riptografar a carga da mensagem para oferecer
privacidade de mensagem e proteo contra
violao: 4m!ora no impea os ataques de
repetio !$sicos, isso impede os ataques de
interceptadores, nos quais o conte=do da
mensagem < modificado antes de ser repetido:
'sar uma identificao de mensagem e%clusiva ou
um valor de uso =nico com cada solicitao para
'sar uma identificao de mensagem e%clusiva ou
um valor de uso =nico com cada solicitao para
detectar duplicatas e assinar digitalmente a
mensagem para oferecer proteo contra violao:
Melo ?: M: 1egurana em 0e! 1ervices:
8n$lise de 01(1ecurit3, 01(/olic3 e 18M*:
?ecife, HIMH:
1ilva, \: 8: 1egurana em 0e! 1ervices:
08"9I4?, 8: \: 1egurana em 0e!: 1ervices
com 01(1ecurit3: /orto 8legre, HIIT:
0eeraXarana 1:; 6u!era @:; *e3mann @:;
1tore3, ":; @erguron @: ;: 0e! 1ervices
/e%er@ncias /e%er@ncias
1tore3, ":; @erguron @: ;: 0e! 1ervices
/laform 8rchite: Massachusetts: /earson
4ducation, HIIB:
7!rigado]