Segurança em rede e Criptografia

Prof. Jean-Rémi Bourguet

Cloud Computing
CIA Triad

Segurança em rede e Criptografia 2/26

Crimes de Internet

I Crimes Internet mais frequentes: fraudes e roubo de identidade.

I Outros são aqueles que representam uma ameaça para as empresas.

Segurança em rede e Criptografia 3/26

Crimes de Internet

I As empresas estão especialmente preocupadas com ess as ameaças.

I danos à reputação I propriedade intelectual roubada
I impedimento de acesso I perda de confiança dos clientes

Segurança em rede e Criptografia 3/26

Principais problemas de segurança na Internet

Phishing
I Disfarçar-se como um site bem conhecido, como o de um banco...
I ...para obter informações pessoais de um usuário (n° conta, código).

Segurança em rede e Criptografia 4/26

Principais problemas de segurança na Internet

Misrepresentation (falsificação)
I Fazer afirmações falsas ou exageradas sobre produtos ou serviços.
I Entregar produtos falsos ou de qualidade inferior.

Segurança em rede e Criptografia 4/26

Principais problemas de segurança na Internet

Scams (golpes)
I Várias formas de trapaça destinadas a enganar usuários ingênuos...
I ...para fazê-los investir dinheiro ou cometer algum crime.

Segurança em rede e Criptografia 4/26

Principais problemas de segurança na Internet

Denial of service (Dos): Negação de serviço

I Bloquear intencionalmente um determinado site da Internet...
I ...para impedir ou dificultar atividades de negócios e comércio.

Segurança em rede e Criptografia 4/26

Principais problemas de segurança na Internet

Perda do controle
I Um intruso ganha o controle do computador de um usuário.
I Usa o computador para cometer um crime.

Segurança em rede e Criptografia 4/26

Principais problemas de segurança na Internet

Perda de dados
I Perda de propriedade intelectual ou outro dado valioso da empresa.

Segurança em rede e Criptografia 4/26

Técnicas utilizadas pelos infratores

Escutas telefônicas
I Fazer uma cópia dos pacotes à medida que eles passam pela rede.
I Isso é realizado a fim de obter informações.

Segurança em rede e Criptografia 5/26

Técnicas utilizadas pelos infratores

Repetição
I Enviar pacotes capturados de uma sessão anterior.
I Por exemplo, um pacote de senha obtido de um login anterior.

Segurança em rede e Criptografia 5/26

Técnicas utilizadas pelos infratores

Buffer overflow
I Enviar mais dados do que um receptor espera para forçá-lo...
I ...a armazenar os valores em variáveis fora do buffer.
I Não verificou o tamanho do buffer ao executar operações de entrada.

Segurança em rede e Criptografia 5/26

Técnicas utilizadas pelos infratores

Spoofing de endereço
I Falsificar o endereço IP de origem em um pacote fingindo ser...
I ...o transmissor enganando um receptor no processamento do pacote.

Segurança em rede e Criptografia 5/26

Técnicas utilizadas pelos infratores

Spoofing de nome
I Usar uma URL muito similar a de algum site bem conhecido...
I ...porém com um pequeno erro de ortografia, para receber...
I ....o direcionamento de DNS quando o usuário digitar o nome errado.
I Atacar o servidor DNS: efetuar uma tradução incorreta nome para IP.

Segurança em rede e Criptografia 5/26

Técnicas utilizadas pelos infratores

DoS e DDoS
I Inundar sites com pacotes impedindo que ele opere normalmente.
I A maioria dos usuários que tentar acessar esse servidor vai perceber..
I ...longos atrasos ou ter suas conexões rejeitadas.
I Assumir controle de outras maquinas e as usa para atacar servidores.

Segurança em rede e Criptografia 5/26

Técnicas utilizadas pelos infratores

SYN Flood
I Enviar um fluxo de segmentos TCP do tipo SYN buscando...
I ...exaurir o total de conexões TCP possíveis em um receptor.
I Cada pacote enviado com TCP SYN solicita uma nova conexão TCP.
I O receptor aloca um bloco de controle TCP para a conexão.
I Ele envia SYN + ACK e espera por uma resposta que não vem.

Segurança em rede e Criptografia 5/26

Técnicas utilizadas pelos infratores

Quebra de senha
I Criar sistemas automatizados que quebrem a senha ou...
I ...a chave de criptografia visando obter acesso não autorizado.

Segurança em rede e Criptografia 5/26

Técnicas utilizadas pelos infratores

Varredura de portas (port scanning)

I Tentar conexão com cada porta possível buscando vulnerabilidades.

Segurança em rede e Criptografia 5/26

Técnicas utilizadas pelos infratores

Intercepção de pacotes
I Remover um pacote da Internet a fim de substituí-lo.
I Este tipo de ataque é chamado de man-in-the-middle.
I Ataques mais difíceis de se executar com maior potencial de danos.

Segurança em rede e Criptografia 5/26

Tecnologias de segurança

I Os produtos de segurança executam uma série de procedimentos:

Técnica Objetivo
Hashing Integridade dos dados
Criptografia Privacidade
Assinatura digital Autenticação de mensagens
Certificados digitais Autenticação do transmissor
Firewalls Integridade do site
Sistemas de detecção de intrusão Integridade do site
Varredura de conteúdo Integridade do site
Inspeção detalhada de pacotes Integridade do site
VPNs (Virtual Private Networks) Confidencialidade dos dados

Segurança em rede e Criptografia 6/26

Criptografia: uma técnica fundamental de segurança

I A criptografia é uma ferramenta fundamental na segurança.

I Garante confidencialidade de dados (chamada de privacidade).
I Garante autenticação de mensagens e integridade de dados.

Segurança em rede e Criptografia 7/26

Criptografia: uma técnica fundamental de segurança

I O remetente aplica criptografia pra embaralhar os bits da mensagem

I ...de tal maneira que apenas o destinatário possa decodificá-los.
I Alguém que intercepte uma cópia da mensagem criptografada...
I ...não será capaz de extrair a informação.

® https://www.youtube.com/watch?v=jhXCTbFnK8o
Segurança em rede e Criptografia 7/26
Algoritmos de criptografia

I Tornar análise de dados e troca de informações mais seguros.

I Ciframento de mensagens e Verificação de identidades.
I Otimização de assinaturas digitais.

Segurança em rede e Criptografia 8/26

Chave de criptografia

I Pedaço de dados controlando a operação de algoritmo de criptografia.

I Na codificação, uma chave especifica a transformação do texto puro...
I ...em texto cifrado, ou vice-versa, durante a decodificação.
I Usadas também através de funções hash (MAC) para autenticação.

Segurança em rede e Criptografia 9/26

Chave de criptografia

I Um atacante não pode quebrar ou falsificar a chave!

I Esta chave é conhecida apenas pelo emissor e pelo receptor.

Segurança em rede e Criptografia 9/26

Hashing: mecanismo de integridade e autenticação

I Uma função Hash é qualquer algoritmo que mapeie dados grandes...

I ... e de tamanho variável para pequenos dados de tamanho fixo.
I As funções Hash são conhecidas por resumirem o dado.

Segurança em rede e Criptografia 10/26

Hashing: mecanismo de integridade e autenticação

I A principal aplicação é a comparação de dados grandes rapidamente.

Segurança em rede e Criptografia 10/26

Hashing: mecanismo de integridade e autenticação

I O comprimento do hash é independente do tamanho da mensagem.

I A saida corresponde a uma sequência curta de bits.

Segurança em rede e Criptografia 10/26

Hashing: mecanismo de integridade e autenticação

I Pode utilizar uma chave para calcular um hash .

I Transmite o hash juntamente com a mensagem.
I Permite a emissão de MAC: Message Authentication Code.

Segurança em rede e Criptografia 10/26

Hashing: mecanismo de integridade e autenticação

I O receptor usa a chave para calcular um hash da mensagem.

I Ele compara o hash mandado pelo emissor com o hash calculado.
I Se os dois forem iguais, a mensagem chegou intacta.

Segurança em rede e Criptografia 10/26

Hashing: mecanismo de integridade e autenticação

I Um atacante, que não tem a chave secreta, não conseguirá...

I ...modificar a mensagem sem a introdução de um erro.

Segurança em rede e Criptografia 10/26

Hashing: mecanismo de integridade e autenticação

I Assim, o hash fornece a autenticação da mensagem porque...

I ...um receptor sabe que mensagem com hash válido é autêntica.

Segurança em rede e Criptografia 10/26

Controle de acesso e senhas

I Regulamenta quais usuários ou programas podem acessar os dados.

I Cada usuário possui uma senha de cada recurso protegido.
I Se precisarem acessar um recurso protegido, devem digitar a senha.

Segurança em rede e Criptografia 11/26

Controle de acesso e senhas

I Se um usuário envia uma senha não criptografada através da rede...

I ...qualquer um que grampeie a rede pode obter uma cópia da senha.
I Escutas fáceis de se fazer se os pacotes passam através de WLAN.

Segurança em rede e Criptografia 11/26

Controle de acesso e senhas

I Medidas também devem ser tomadas para assegurar as senhas.

I Elas não devem ser fáceis de adivinhar.
I Um atacante pode automatizar as tentativas de quebrá-las.
I Comprimento mínimo e uma proibição de usar palavras comuns.

Segurança em rede e Criptografia 11/26

Criptografia: uma técnica fundamental de segurança

A terminologia utilizada com a criptografia define quatro itens:

I Texto aberto: mensagem original antes de ter sido criptografada.
I Texto cifrado: mensagem após ter sido criptografada.
I Chave de criptografia: conjunto curto de bits criptografando.
I Chave de descriptografia: conjunto curto de bits descriptografando.

Segurança em rede e Criptografia 12/26

Criptografia: uma técnica fundamental de segurança

I A chave de criptografia e descriptografia podem ser idênticas ou não.

I Há duas tecnologias de criptografia: Chave privada e Chave pública.

Segurança em rede e Criptografia 12/26

Criptografia de chave privada

I Cada par de entidades partilha uma única chave.

I Ela serve tanto como chave de criptografia como de descriptografia.
I O nome surge porque a chave deve ser mantida em segredo.

Segurança em rede e Criptografia 13/26

Criptografia de chave privada

I Sistemas de chave privada são simétricos.

I Cada lado pode enviar ou receber mensagens.
I No envio de uma mensagem, a chave é produz texto cifrado.
I Quando ela chega, o receptor usa a chave secreta para decodificar...
I ... o texto cifrado e extrair a mensagem original (texto aberto).
I Se um terceiro obtiver uma cópia da chave privada...
I ...será capaz de decifrar as mensagens que passam entre o par.

Segurança em rede e Criptografia 13/26

Criptografia de chave pública

I Atribui a cada entidade um par de chaves.

I Uma das chaves do usuário, a privada, é mantida em segredo.
I A outra é chamada de pública (publicada junto ao nome do usuário).
I Este sistema é chamado de assimétrico.

Segurança em rede e Criptografia 14/26

Criptografia de chave pública

A função de criptografia tem a seguinte propriedade matemática:

I uma mensagem de texto aberto criptografada com a chave pública...
I ...não pode ser descriptografada, exceto com a chave privada.
I uma mensagem em texto aberto criptografada com a chave privada...
I ...não pode ser descriptografada, exceto com a chave pública.

Segurança em rede e Criptografia 14/26

Chaves de sessão

Segurança em rede e Criptografia 15/26

Autenticação com assinaturas digitais

I Para assinar uma mensagem, o remetente criptografa...

I ...a mensagem usando sua chave privada.
I Para verificar a assinatura, o destinatário olha para...
I ...a chave pública do remetente e a utiliza para descriptografar.

Segurança em rede e Criptografia 16/26

Autenticação com assinaturas digitais

I Como só o remetente conhece a chave privada, apenas ele pode...

I ...criptografar uma mensagem que pode ser descriptografada...
I ... com sua chave pública!

Segurança em rede e Criptografia 16/26

Autoridades de chaves e certificados digitais

I HTTPS é uma implementação do protocolo HTTP sobre...

I ...uma camada adicional de segurança utilizando protocolo SSL/TLS.
I Permite que os dados sejam transmitidos por meio de conexão cripto.
I Verificar autenticidade do servidor e cliente com certificados digitais.

Segurança em rede e Criptografia 17/26

Autoridades de chaves e certificados digitais

I Certificado digital é um documento eletrônico.

I Serve como uma identidade virtual que confere validade jurídica.
I Este documento utiliza um sistema criptográfico assimétrica.
I Inclui o nome do utilizador, sua chave pública, a entidade emissora.
I Inclui a assinatura digital e o prazo de validade do certificado.

u https://www.youtube.com/watch?v=stsWa9A3sOM
Segurança em rede e Criptografia 17/26
Autoridades de chaves e certificados digitais

I A ideia do HTTPS é criar um canal seguro sobre uma rede insegura.

I Garante uma proteção razoável de pessoas realizando escutas ilegais.
I Prevenir ataques de tipo eavesdroppers e man-in-the-middle.

Segurança em rede e Criptografia 17/26

Autoridades de chaves e certificados digitais

I A confiança do HTTPS é baseada em autoridades de certificação.

I Elas vêm pré-instaladas no navegador.
I O certificado do servidor também é verificável e confiável.
I VeriSign/Microsoft/etc. vai me dizer em quem devo confiar!
I Só depois disso que a cifragem pode ser adequadamente utilizada.

Segurança em rede e Criptografia 17/26

Autoridades de chaves e certificados digitais

I Navegadores mostram um aviso se recebem um certificado inválido.

I Pergunta se o usuário deseje continuar.
I Exibe as informações de segurança da página na barra de endereços.
I Certificado de validação estendida torna verde a barra de endereço.

Segurança em rede e Criptografia 17/26

Autoridades de chaves e certificados digitais

I As URLs HTTPS começam com https:// e utilizam a porta 443 padrão

I As URLs HTTP começam com http:// e utilizam a porta 80 padrão.

Segurança em rede e Criptografia 17/26

Autoridades de chaves e certificados digitais

I Netscape Communication criou HTTPS em 1994 para seu navegador.

Segurança em rede e Criptografia 17/26

Autoridades de chaves e certificados digitais

I Originalmente, o HTTPS foi utilizado com o protocolo SSL.

I SSL evoluiu para o TLS (Protocolo de Segurança de Transporte).

® https://www.youtube.com/watch?v=8OR2dDIaIDw
® https://www.youtube.com/watch?v=JZ8cO3cCuwo
Segurança em rede e Criptografia 17/26
Referências

Segurança em rede e Criptografia 18/26

Creditos das ilustrações

Page : https://www.nnguyen14.com/2018/12/
understanding-confidentiality-integrity.html
Page : https://www.boldbusiness.com/digital/
artificial-intelligence-center-cyber-crime/
Page : https://www.dreamstime.com/
hacker-internet-activity-spam-phishing-online-threat-computer-systems-m
Page : https://www.donkeyworx.com/cartoon-illustrations/
technology-cartoons/tc8f011-phishing-email.shtml
Page : https://www.lifehacker.com.au/2014/08/
mcdonalds-comes-clean-on-false-advertising/
Page : https://www.youtube.com/watch?v=w5z-r7S5LP0

Page : https://techcommunity.microsoft.com/t5/sql-server/
understanding-server-traffic-logs-and-detecting-denial-of/ba-p/385529
Page : https://videohive.net/item/you-have-been-hacked/19754361

Page : https://www.news4jax.com/news/2019/07/16/
i-team-dont-be-held-hostage-by-a-cyber-hacker/

Segurança em rede e Criptografia 19/26

Creditos das ilustrações

Page : https://www.alamy.com/
state-wiretapping-conversations-spy-listens-to-conversation-on-the-phon
html
Page : https://www.dreamstime.com/illustration/crime-internet.html

Page : https://twitter.com/cartoonmovement/status/1382786815946600453

Page : https://www.deviantart.com/mcchichenbiscuits/art/
COLLAB-Buffer-Overflow-Incoming-882368998
Page : https://www.imperva.com/learn/application-security/dns-spoofing/

Page : https://www.alluresecurity.com/2019/08/12/
why-psd2-could-proliferate-website-spoofing-in-the-banking-and-financia
Page : https://pt.wikipedia.org/wiki/Ficheiro:Ddos-attack-ex.png,
https://imgur.com/t/ddos/ikw7c
Page : https://purplesec.us/prevent-syn-flood-attack/

Page : https://xkcd.com/936/,
https://www.cartoonstock.com/directory/p/password.asp
Page : https://www.varonis.com/blog/port-scanning-techniques/

Segurança em rede e Criptografia 20/26

Creditos das ilustrações

Page : https://www.xlabs.com.br/blog/certificate-pinning/

Page : https:
//edgy.app/how-to-hack-for-the-greater-good-inside-ethical-hacking
Page : https://www.wired.co.uk/article/turing-cipher-solved

Page : https://www.freepik.com/free-photos-vectors/encryption-key

Page : https://livebook.manning.com/book/real-world-cryptography/
chapter-1/sitemap.html
Page : https://freecontent.manning.com/hash-functions-and-security/

Page : https://genuine-iso-verifier.weebly.com/

Page : https://pt.wikipedia.org/wiki/Autenticador_de_mensagem

Page : https://twitter.com/b0rk/status/1258402464816156672

Page : https://www.instantssl.com/digital-signature

Page : https://blogs.sap.com/2019/12/25/
hmac-sha1-hash-verification-on-api-management/

Segurança em rede e Criptografia 21/26

Creditos das ilustrações

Page : https:
//freecontent.manning.com/data-authentication-with-keyed-hashing/
Page : https://teachprivacy.com/
the-funniest-password-recovery-questions-and-why-even-these-dont-work/
Page : https:
//www.kaspersky.com.br/blog/what-is-a-man-in-the-middle-attack/462/
Page : https:
//www.darkreading.com/cartoon-password-generation-gap/d/d-id/1334892
Page : https://www.cartoonstock.com/directory/c/cryptography.asp

Page : https://www.youtube.com/watch?v=jhXCTbFnK8o,
https://www.bloomsbury.com/ca/can-you-crack-the-code-9781681199894
Page : https://www.proofpoint.com/us/threat-reference/encryption

Page : https://sectigo.com/resource-library/public-key-vs-private-key

Page : https://www.gpg4win.org/doc/images-compendium/?C=S;O=D,
http://blog.kleinproject.org/?p=1463,

Segurança em rede e Criptografia 22/26

Creditos das ilustrações

Page : https:
//me.me/i/s1r-weve-decrypted-the-y-hell-go-on-then-secret-22785703
Page : https://victoria.dev/blog/
what-is-tls-transport-layer-security-encryption-explained-in-plain-engl
Page : https://www.researchgate.net/figure/
Asymmetrical-public-key-Cryptography_fig7_305768369,
http://www.differencebetween.net/technology/
difference-between-symmetric-and-asymmetric-encryption/
Page : https://victoria.dev/blog/
what-is-tls-transport-layer-security-encryption-explained-in-plain-engl
Page : https://bitcoinclassroom.org/digital-signatures

Page : https://blog.mdaemon.com/
encrypting-vs-signing-with-openpgp-whats-the-difference
Page : https://tech-blogs.com/
understanding-https-and-its-functions-and-the-difference-with-http/
Page : https://id4d.worldbank.org/guide/digital-certificates-and-pki,
https:
//teaching.shu.ac.uk/aces/ict/de/what_is_%20digital_certificate.htm

Segurança em rede e Criptografia 23/26

Creditos das ilustrações

Page : https://freshspectrum.com/
web-survey-design-knowing-when-the-20-dollar-plan-is-not-enough/
http-vs-https/
Page : https://www.kindpng.com/imgv/hRihTi_
verisign-logo-png-transparent-verisign-logo-transparent-png/
Page : https://www.nucleustechnologies.com/blog/
how-to-generate-an-ssl-certificate-request-in-exchange-server-2016/
Page : https://www.ssl2buy.com/wiki/port-80-http-vs-port-443-https

Page : https://cantarinobrasileiro.com.br/blog/
a-internet-completa-30-anos-e-seu-inventor-tem-um-aviso-para-nos/
Page : https://blog.cloudflare.com/rfc-8446-aka-tls-1-3/

Page :

Page :

Page :

Page :

Segurança em rede e Criptografia 24/26

Creditos das ilustrações

Page :

Page :

Page :

Page :

Page :

Page :

Page :

Page :

Page :

Page :

Page :

Page :

Page :

Segurança em rede e Criptografia 25/26

Creditos das ilustrações

Page :

Page :

Page :

Page :

Page :

Page :

Page :

Segurança em rede e Criptografia 26/26