Firewall E Vpn

Complementos de Redes de Computadores

Capítulo V Técnicas de defesa e de segurança para redes de computadores Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 1

Nota prévia A estrutura da apresentação é semelhante e utiliza algumas das figuras do livro de base do curso (assim como dos outros livros recomendados) James F. Kurose and Keith W. Ross, "Computer Networking - A Top-Down Approach Featuring the Internet,“ Addison Wesley Longman, Inc., 2001 William Stallings, "Data & Computer Communications - 6th Edition," Prentice-Hall, 2000

Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 2

Organização do capítulo •

Introdução à problemática de segurança ao nível rede

•

Firewalls

•

Segurança ao nível rede – IPsec

•

Redes privadas virtuais VPNS

Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 3

A problemática da segurança

It is easy to run a secure computer system. You merely have to disconnect all dial-up connections and permit only direct-wired terminals, put the machine and its terminals in a shielded room, and post a guard at the door. – F. T. Grampp and R.H. Morris

Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 4

A situação actual •

Muitos protocolos de rede e transporte foram concebidos sem uma perspectiva de segurança na sua concepção (IP, UDP, TCP, …)

•

Muitos protocolos aplicacionais nasceram em ambientes confinados a redes locais com administração centralizada e com utilizadores bem identificados (mail, telnet, windows, …)

•

Esta situação está a mudar mas muito lentamente

•

A segurança não fazia parte do caderno de encargos

•

Um elevado nível de segurança implica incomodidade para os utilizadores e no limite restrições na utilização

•

Um sistema seguro pode ser mais complexo de perceber e utilizar

Daqui resulta que a situação por defeito é um elevado nível de insegurança. Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 5

Políticas e mecanismos de segurança •

Se é impossível deixar de utilizar redes de computadores, então é necessário encontrar formas de trabalhar de forma segura, definindo políticas de segurança, implementadas através de mecanismos de segurança

•

Um primeiro aspecto fundamental é definir aquilo em que confiamos: _ É necessário dispor de hosts seguros e de formas de os poder manter seguros – aqui o essencial é a segurança dos hosts

•

No entanto, dado que geralmente é impossível proteger adequadamente todos os hosts é necessário definir perímetros de segurança: _

•

É necessário definir redutos ou bunkers (zonas protegidas), isto é, partições da rede onde confiamos, em determinado grau, nos hosts presentes e admitimos que o inimigo não penetra – aqui o essencial é a definição de fronteiras e o implementar do respectivo controlo através de firewalls

A outra vertente é ver como podemos atravessar o campo do inimigo – aqui a vertente essencial é a da segurança das comunicações

Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 6

Definir redutos - firewalls ISP1 ISP2 company network ISP4

ISP3 Internet

Perímetro de segurança

Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 7

Reduto distribuído com segurança ao nível rede

ISP1 Secure logical link

Perímetro de segurança

ISP2

Company Network A

Company Network B

ISP3

ISP4 Internet

Perímetro de segurança Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 8

Tornar um host seguro é fácil ? O problema é particularmente difícil na medida em que os protocolos TCP/IP são muito flexíveis e completos. Um host TCP/IP não tem uma única via de entrada como por exemplo o sistema de “login” (situação típica noutros ambientes de outros tempos). Existem tantas “portas de entrada” quanto os serviços e protocolos do nível aplicação (e não só) disponíveis. Num host UNIX por exemplo, estamos a falar a priori de várias dezenas de sub-sistemas de entre os quais: mail, telnet, rlogin, rsh, rexec, finger, ftp, tftp, www, NFS, RPC, X-Windows, etc. A maioria das instalações normalizadas deixa todas estas portas escancaradas. Num host windows a situação é semelhante com outra lista infindável de serviços e portas. Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 9

O que implica que Tornar completamente seguras uma centena ou mais de computadores num rede local ligada à Internet é praticamente impossível porque: • Nenhum sistema está completamente isento de “bugs” de segurança e quanto mais potente e mais flexível o sistema for, mais longe estamos deste objectivo • Os sistemas nem sequer são fornecidos com todos os problemas de segurança já conhecidos corrigidos pois isso é muito caro para o fabricante • O administrador dos sistemas pessoais é muitas vezes o próprio utilizador (que tem mais que fazer do que preocupar-se com a segurança, que nem é da sua responsabilidade ou especialidade) • Tornar esses sistema seguros implicaria muitas vezes torná-los quase inutilizáveis e tal teria um preço elevado do ponto de vista da gestão. Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 10

Definição de Firewall Um equipamento do tipo “firewall” é um equipamento desenhado para limitar o tráfego que atravessa a fronteira do reduto ao tipo de tráfego que os responsáveis da fronteira acham que é “legal”

Um firewall ajuda a proteger os hosts do reduto na medida em que limita o número e tipo de ataques a que estão sujeitos

No entanto, como veremos a seguir, a presença do firewall não é suficiente para garantir a segurança dos hosts.

Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 11

O que são os Firewalls firewall Isolam sub-partes da rede uma das outras permitindo que algum tráfego passe e bloqueando outro.

Vários tipos de firewalls: _ Packet filters _ Dynamic packet filters _ Application Gateways _ Circuit gateways

Características básicas •

Todo o tráfego que transita entre as duas divisões da rede tem de passar pelo firewall

•

Só o tráfego autorizado pela política de segurança estabelecida poderá passar

•

O firewall propriamente dito deve de ser imune a ataques

Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 12

Serviços prestados pelos firewalls • Controlo dos serviços. Controlo de quais os serviços que são acessíveis de

um lado e do outro do firewall e quais os que o podem atravessar e em que sentido.

• Direcção do controlo. Determinam a direcção em que o controlo se

estabelece. Por exemplo, os utilizadores locais podem aceder a quase tudo, os utilizadores exteriores terão de se limitar a um conjunto restrito de serviços.

• Controlo dos utilizadores. Alguns firewalls controlam os serviços acessíveis e não acessíveis a cada utilizador.

• Controlo ao nível aplicacional. Alguns firewalls controlam aspectos

particulares ao nível aplicacional. Quais os sites www acessíveis ? Esta mensagem de e-mail tem vírus ? Esta mensagem de e-mail é spam ? Este utilizador particular pode fazer Telnet para aquele destino ?

Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 13

Vantagens dos firewalls • Concentram num único ponto a implementação de uma política de segurança

• São o ponto focal para a monitorização, auditoria, logging, ... • São o ponto focal para aspectos não directamente relacionados com segurança: tradução de endereços, accounting, ...

• Podem ser a plataforma de base do suporte de IPSec. • Mas, um firewall não protege contra ataques que o

ultrapassem: ataques internos, ataques não previstos, vírus em páginas WWW ou mensagens de correio electrónico caso ignore o nível aplicacional. Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 14

Decisões a tomar à partida Será a segurança mais importante que a facilidade de utilização ? O que não é explicitamente permitido é proibido, ou o que não é explicitamente proibido é permitido ? Em qualquer hipótese, tudo se resume a uma equação em que o custo versus flexibilidade é a parte essencial da equação. Os administradores da rede estão numa situação ingrata: um empregado “dentro do castelo” pode provocar prejuízos significativos. O caso é geralmente abafado, mas um ataque vindo da Internet, dada a visibilidade do problema, pode custar o emprego aos responsáveis da rede.

Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 15

Tipos de firewalls • Packet filtering router / screening router • State full or dynamic packet filters • Application-level gateways • Circuit-level gateway (SOCKS) A maioria dos firewalls mistura os diferentes tipos de técnicas Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 16

Packet-filtering firewall Firewall com filtros por serviço e porta, logging, etc.

Rede pública

Rede privada

O essencial para implementar os filtros é definir qual a política que tem de ser implementada e depois concretizá-la através da parametrização de regras de filtragem (do tipo accept, deny, …) Um packet-filter firewall simples pode ser implementado por um screening-router, isto é, um router que tem ACLs sobre o tráfego que atravessa as suas interfaces.

Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 17

Tipos de Packet-filtering A filtragem de pacotes pode ser geralmente implementada de uma forma “stateless”, isto é, a análise de cada pacote faz-se independentemente dos anteriores. Esta forma de filtragem é insuficiente e limitada na medida em que é insuficiente para implementar certo tipo de políticas. Por exemplo, como admitir que só se possam abrir conexões de dentro para fora ? Como garantir que apenas entram pacotes UDP em resposta a solicitações de hosts internos ? Como tratar aplicações especiais como por exemplo FTP (activo), H.323, SIP, P2P, ? Este tipo de situações exigem que a filtragem se baseie numa análise dita stateful ou dinâmica. O firewall tem de tomar em consideração os pacotes anteriores quando decide se um pacote pode passar ou não.

Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 18

Exemplos de Packet Filtering stateless •

Filtros geralmente definidos em termos de: _ _ _

_ _

Endereço IP origem Endereço IP destino Opções do cabeçalho (por exemplo TCP SYN and ACK bits) Portas destino e origem Tipo das mensagens ICMP

•

•

•

Exemplo 1: bloquear todos os datagramas UDP Exemplo 2: Bloquear todo o tráfego dirigido à porta 23 (telnet). Exemplo 3: Bloquear os segmentos TCP inbound com a opção ACK=0. _

Impede a abertura de conexões TCP do exterior para o interior.

Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 19

Exemplos de Packet Filtering statelful •

Filtros geralmente definidos em termos de: _ _ _

Conexões TCP, origem, destino e direcção Aplicações específicas (FTP, H.323, SIP, …) Pacotes UDP em resposta a pedidos solicitados por pacotes anteriores

•

•

•

Exemplo 1: permitir conexões TCP de dentro para certos hosts externos Exemplo 2: Bloquear todos os pacotes UDP excepto se em resposta a um pacote UDP enviado de dentro para fora Exemplo 3: Permitir a passagem de tráfego RTP para o endereço IP do IP phone que acabou de aceitar uma chamada

Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 20

Exemplo particular - NAT boxes NAT boxes são equipamentos que realizam tradução de endereços desencadeada por pacotes com origem na rede interna. A implementação garante naturalmente que só se abrem conexões TCP de dentro para fora e só se aceitam pacotes UDP em resposta a pacotes UDP lançados de dentro para fora.

•

•

As NAT boxes aceitam também redirigir certas conexões vindas do exterior e dirigidas a certas portas, para hosts internos.

•

Algumas NAT boxes processam igualmente vários protocolos aplicacionais de forma stateful. Trata-se portanto de um caso especial e limitado de Firewalls baseados em stateful filtering. Têm o defeito de serem rígidos, mal especificados e de parametrização muito simplificada.

Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 21

Exemplos de ataques que a filtragem evita •

IP address spoofing. Se o atacante conhece o endereço de hosts especiais pode usar esta técnica. Deve ser combatida através do estabelecimento de regras estritas sobre que pacotes podem entrar e sair (não podem entrar pacotes com endereço origem igual ao da rede interna, não podem sair pacotes com endereço origem fora da rede interna, )

•

Source routing. Suprimir os pacotes que usam esta opção (os routers agradecem)

•

Fragmentos muito pequenos. Com alguns bytes, na esperança de conseguir fragmentar o cabeçalho TCP.

Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 22

Dual homed ou Apllication level No IP forwarding Rede pública

Rede privada

Firewall O firewall da instituição tem acesso à rede pública, e a rede privada ao firewall. No entanto, nem a rede pública, nem a rede privada, podem comunicar directamente. No firewall executam, ao nível aplicação, servidores especializados (proxy servers). A flexibilidade do conjunto pode ser razoável e o nível de segurança também.

Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 23

Exemplo O firewall contem um certo número de gateways aplicacionais como por exemplo um proxy WWW, um relay de e-mail e um gateway para telnet. Exemplo da operação do gateway telnet: 1. Exige-se que todos os utilizadores façam telnet através do firewall 2. Se o utilizador for autorizado, faz relay da conexão para o host de destino. O gateway faz também relay dos dados (e pode fazer logging dos mesmos) 3. Bloqueia todas as conexões telnet não autorizadas. Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 24

A segurança do firewall •

Um firewall é uma componente critica da “trusted computing base”

•

Por esse motivo deve ser muito simples e disponibilizar mecanismos muito simples e bem verificados

•

Deve também facilitar a actividade do administrador evitando que este introduza erros por lapso

•

Deve restringir as operações de configuração ao mínimo indispensável

•

Finalmente, é desejável que o seu código tenha sido muito bem verificado Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 25

Configurações típicas Internet Screening router ou firewall

Internet Screening router

DMZ – zona desmilitarizada

Firewall Servidor público

Intranet

Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 26

Conviver com o inimigo •

Para atravessar o campo do inimigo a vertente essencial é a da segurança das comunicações através de mecanismos e políticas de segurança

•

Os mecanismos disponíveis baseiam-se em técnicas criptográficas de autenticação, de construção de canais seguros, de assinaturas digitais e ainda em mecanismos de controlo de acesso

•

Essas políticas e mecanismos podem ser introduzidas a vários níveis, nomeadamente: _ _ _ _

Ao nível aplicacional ou end-to-end, como por exemplo quando se utiliza correio electrónico seguro, https, ssh, ... Ao nível transporte, como por exemplo quando se usam canais seguros, SSL, ... Ao nível rede quando se usam túneis seguros, VPNs, IPsec, ... Ao nível data-link quando se usam links cifrados e redes privadas

Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 27

Soluções tradicionais ao nível data link

Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 28

Link Encryption •

Cada link é equipado com dispositivos para cifra (caixas negras) em cada extremidade

•

Todo o tráfego é encaminhado com um alto nível de segurança resistindo a “tapping”

•

Requer muitos dispositivos de segurança

•

Pode ser aplicado numa rede privada fechada implementada através de linhas dedicadas

•

Pode também ser aplicada numa rede pública de circuitos virtuais seguros

•

O tráfego é decifrado nos switchs / routers para que estes o possam processar

•

Os pontos frágeis do ponto de vista da segurança são os switchs / routers, particularmente nas redes públicas de circuitos (X.25, Frame-relay, ATM, …)

Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 29

End to End Encryption •

A cifra é realizada apenas nos hosts finais

•

Os dados (payload) atravessam a rede cifrados e inalterados mas os cabeçalhos do nível rede e inferiores vão em claro

•

Os padrões do tráfego são visíveis

•

Numa rede de alta segurança pode produzir-se continuamente tráfego cifrado para esconder os padrões do tráfego real

Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 30

As redes públicas •

Tradicionalmente as instituições construíam redes privadas alugando circuitos dedicados aos operadores de Telecomunicações. Nestas situações, menosprezava-se a possibilidade de ser feito “tapping” às redes de telecomunicações ou utilizavam-se as soluções de segurança atrás apresentadas

•

Numa segunda fase as instituições optaram por utilizar redes privadas baseadas nas redes públicas de circuitos virtuais (X.25, Frame-relay, ATM, ...). A problemática da segurança continuou a ser tratada basicamente da mesma forma

•

Repare-se que fazer “tapping” é uma operação com alguns custos e riscos pelo que estes devem ser contrabalançados por um ganho potencial relevante

•

Com a generalização da utilização das redes de computadores, que a Internet colocou na ordem do dia, e com a sua utilização crescente para conduzir actividades relacionadas com a actividade económica, a saúde, etc. ..., a posição tradicional não é suficiente, tanto mais que esta situação coincide com a generalização da privatização dos operadores de redes públicas e com a necessidade do acesso e da presença das empresas na Internet. Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 31

Túneis e túneis seguros ISP1 Extranet host Secure tunnel

Perímetro de segurança

ISP2 Intranet ISP3 Intranet

ISP4 Internet

Perímetro de segurança Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 32

O que é um túnel IP sobre IPP •

Um túnel em IP é implementado encapsulando IP sobre IP. A rede normal transporta os pacotes IP externos com um número de protocolo especial. Quando estes chegam ao destino, são analisados e aparece um novo pacote IP, o interno. Cabeçalho IP1

Cabeçalho IP2

Dados IP2

•

Duas intranets usando endereçamento privado, podem, por exemplo, ser interligadas por um túnel com endereços públicos na extremidade. Assim, os túneis podem ser usados para resolver problemas especiais de routing.

•

Se o segundo pacote IP for cifrado (o pacote encapsulado no pacote visível), o túnel diz-se seguro e implementa um link lógico seguro.

•

Um conjunto de links lógicos deste tipo pode constituir aquilo que se chama frequentemente uma IP-VPN, ou IP Virtual Private Network.

•

Na parametrização dos routers, cada extremidade do túnel aparece como uma interface virtual que pode receber e enviar pacotes.

Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 33

IPSec – Segurança IPv4 e IPv6 •

IPSec é um conjunto de RFCS que especificam tudo o que é necessário para encaminhar tráfego de forma segura ao nível rede

•

Envolve: • • • •

•

Authentication header Encapsulated security payload Troca de chaves e gestão de associações de segurança Muitos RFCs (RFC 2401, 2402, 2406, 2408, 2409, 2411, ...)

Providenciam autenticação, confidencialidade e protecção contra replay.

Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 34

IPSec: Segurança no nível rede •

•

•

Segurança ao nível rede: _ Os dados do pacote IP podem ir cifrados _ Seja qual for o nível superior (UDP, TCP, …) Autenticação ao nível rede _ O host de destino pode autenticar o endereço IP origem Dois protocolos de base: _ authentication header (AH) protocol _ encapsulation security payload (ESP) protocol

•

• •

Cada um deles necessita previamente de um handshake de ambas as partes: _ Para criar um canal lógico com um serviço de segurança (SA) associado Cada SA é unidirecional. Caracterizado por: _ Protocolo (AH ou ESP) _ Endereço IP _ ID da associação com 32 bits

Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 35

Associações de segurança - SA •

Relação unidireccional entre o emissor e o receptor - a comunicação nos dois sentidos exige duas associações

•

Parâmetros que caracterizam uma SA _ Security parameter index (32 bits) _ Source IP address _ Security protocol identifier _ Com os seguintes parâmetros de estado associados: • • • • • • • •

Sequence number counter Sequence counter overflow Anti-reply windows AH information ESP information Lifetime of this association IPSec protocol mode _ Tunnel, transport or wildcard Path MTU Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 36

Modos Transporte e Túnel •

Modo Transporte _ Protecção para o nível transporte _ Abrange o payload dos pacotes IP _ End to end entre dois hosts

•

Modo túnel _ Protecção de todo o pacote IP _ Todo o pacote interno é considerado como payload pelo pacote de fora _ Os routers intermédios não analisam o pacote interno _ Os pacotes internos e externos podem ter endereços origem / destino distintos _ Este modo pode ser implementado por um firewall

Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 37

Protocolo Authentication Header (AH) Cabeçalho AH inserido entre o cabeçalho e os dados IP • Protocol field = 51. • Os routers intermédios ignoram o cabeçalho AH O cabeçalho AH inclui: • Identificador da associação (32 bits) •

•

• •

Dados de autenticação: message digest assinado, calculado sobre o cabeçalho IP original (sem os campos variáveis) e os dados o que implementa autenticação e integridade dos dados, Número de sequência para combater replaying Next header field: especifica o protocolo a seguir (TCP, UDP, ICMP, etc.)

Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 38

AH - Authentication Header

A autenticação baseia-se numa chave secreta partilhada entre ambas as partes e num message digest calculado concatenando a chave com os dados a proteger (não inclui os dados variáveis do cabeçalho IP). Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 39

Protocolo ESP • • • • • •

Providência autenticação e segurança dos dados. Os dados e o trailer ESP são cifrados. O campo Next Header está no trailer ESP. O campo de autenticação ESP é idêntico ao campo AH de autenticação. Os algoritmos de cifra são negociáveis, por defeito usa DES-CBC. Protocolo = 50.

Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 40

Pacote ESP

Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 41

Âmbito do ESP

Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 42

Gestão de chaves •

Pode ser realizada de forma manual em pequenas redes

•

Necessita de ser automatizada para escalar:

•

_

Internet Key Exchange (IKE), RFC 2409

_

Internet Security Association and Key Management Protocol (ISAKMP) – trata-se de um protocolo de gestão de chaves e de associações.

Existem definições arquitecturais para interceptar automaticamente tráfego IP em função da origem / destino e redirigi-lo para equipamentos que implementem as normas IPSec e estabelecem transportes ou túneis seguros de forma dinâmica.

Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 43

VPNs – Virtual Private Networks •

Uma VPN diz-se privada porque: _ _ _ _ _

•

Está contida em si própria Os dados são transmitidos de forma segura e secreta entre os parceiros No exterior não há conhecimento dessa rede Geralmente montada sobre outra rede Constitui uma rede separada, disjunta, ...

Trata-se de um ambiente de comunicação fechado e isolado do exterior construído por algum tipo de partição de uma outra rede, partilhada por outros utilizadores. Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 44

Motivações das VPN •

Rentabilidade económica

•

Privacidade

•

Segurança

•

Qualidade de serviço

Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 45

Métodos •

Ao nível data-link: baseadas em ATM ou Frame Relay – com cifra ao nível data-link

•

Ao nível rede: _ Baseadas numa gestão muito cuidadosa dos anúncios de routing (“Controlled Route Leaking”) _ Baseadas em NAT _ Túneis IPSec entre firewalls dos domínios privados _ Outro tipo de túneis especialmente previstos para ambientes dial up (L2TP, PPTP, ...) _ Baseadas em MPLS

•

Ao nível transporte: baseadas em TLS – Transport Layer Security

Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 46

Para saber mais Este capítulo é tratado, por exemplo, nas seguintes referências bibliográficas: •

De forma limitada no capítulo 7 da referência James F. Kurose and Keith W. Ross, “Computer Networking - A Top-Down Approach Featuring the Internet,” Addison Wesley Longman, Inc., 2nd Edition, 2003

•

De forma limitada na secção 18.5 da referência William Stallings, “Data & Computer Communications - 6th Edition,” Prentice-Hall, 2000

•

Na secção 8.6 da referência A. S.Tanenbaum, “Computer Networks – 4 th Edition,” PrenticeHall, 2003

•

O livro William Cheswick, Steven Bellovin and Aviel Rubin, “Firewalls and Internet Security,” Addison-Wesley, 2nd Edition, 2003, é integralmente dedicado ao tema da segurança baseada em firewalls

•

O livro Naganand Doraswamy and Dan Harkins, “IPSec - The New Security Standard for the Internet, Intranets, and Virtual Private Networks,” Prentice Hall, 1999 é integralmente dedicado ao tema IPSec e VPNs

•

Existem inúmeros “white papers” de qualidade sobre estes assuntos disponíveis publicamente. Material de suporte às aulas de CRC de J. Legatheaux Martins – Copyright DI – FCT/ UNL – Cap. 5 – Segurança / 47