Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

1. WEBMAIL SEGURO Implantação WEBMAIL SEGURO Implantação Trabalho de Conclusão de Curso Eduardo Juchem Luciana Schmitz Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

2. Orientador Ricardo Felipe Custódio, D. Sc. Banca Examinadora Julio da Silva Dias, M. Eng. Fabiano Castro Marcelo Luiz Brocardo, Ms. Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

3. Tópicos • Introdução • Correio Eletrônico • Criptografia • S/MIME • Tecnologias Utilizadas • Implantação do Webmail Seguro • Considerações Finais • Agradecimentos Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

4. Introdução • A importância de um Webmail Seguro. • Objetivo Geral: • Implantação de um Webmail Seguro. • Objetivos Específicos: • viabilidade da implantação do sistema; • utilização dos serviços criptográficos. Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

5. Correio Eletrônico • Email (eletronic mail ou correio eletrônico), um dos serviços mais utilizado na internet; • Funcionamento do email: • Vantagens: • Instantâneo e não tem custos; • Não precisa estar conectado a Internet no momento em que uma mensagem lhe for enviada; • As mensagens são digitais e, portanto, evita o uso de papel. Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

6. Correio Eletrônico – Sistema de email • Clientes de email (Oulook Express, Microsoft Outlook, Eudora, Internet Mail, etc) • Servidores de email, onde ficam armazenadas as mensagens dos usuários. • Protocolo de envio: • SMTP (Simple Mail Transfer Protocol). • Protocolos de recebimento: • POP(Post Office Protocol); • IMAP(Interactive Mail Access Protocol). Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

7. Correio Eletrônico – Webmail • Sistemas de Webmail não precisam ser instalados na máquina cliente; • As mensagens do usuário permanecem no Servidor; • Não há a necessidade de configuração do Webmail na máquina do usuário (máquina cliente). Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

8. Criptografia • Consiste em cifrar e decifrar uma informação; • O processo de cifragem envolve o conhecimento da chave por ambas as partes; • Se a pessoa possui a chave certa terá acesso a informação decifrada. Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

9. Criptografia – Chave Simétrica • Criptografia por chave simétrica ou chave secreta; • O processo de cifragem envolve o conhecimento da chave por ambas as partes; • Garantir o sigilo na transmissão da chave é o principal problema; • Tem por vantagem a rapidez no processo de cifragem/decifragem. Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

10. Autenticação: • Autenticação e Sigilo: Criptografia – Chave Assimétrica • Características • Duas chaves: pública(divulgada) e privada(não é divulgada); • Depende de uma AC-Autoridade Certificadora; • Elimina o problema do sigilo na transmissão da chave; Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

11. Criptografia – Vantagens e Desvantagens • Vantagens da criptografia por chave pública: • Não há necessidade de compartilhamento da chave privada; • As assinaturas digitais não podem ser repudiadas; • Desvantagens da criptografia por chave pública: • Velocidade. Métodos de criptografia por chave secreta são mais rápidos que por chave pública. Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

12. S/MIME – RFC822 • A IETF é responsável pelos formatos de padrões de documentos desenvolvidos, que são as RFCs – Request for Comment, numeradas sequencialmente; • Estrutura básica de uma mensagem: • Cabeçalho: Date: (Data), • From: (De), To: (Para), • Subject: (Assunto); • Linha em branco; • Corpo da Mensagem. Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

13. S/MIME – RFC822 • Um exemplo de uma mensagem de email seria: Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

14. S/MIME – MIME • Significa Multiparte de Extensões do Correio Eletrônico e provém das RFCs 2045 a 2049; • Tem por objetivo solucionar as limitações do protocolo SMTP; • Com o surgimento do MIME: • cinco campos de cabeçalho de mensagem foram criados; • a padronização das representações de suporte a conteúdos multimídia; • codificações de transferências são definidos permitindo a transmissão de conteúdo sem perdas ou alterações dos dados e informações. Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

15. S/MIME – S/MIME • Em 1995 surgiu o protocolo S/MIME codificado pela RFC2311; • Com o objetivo de prover: • Autenticidade e Integridade (utiliza assinaturas digitais); • Confidencialidade ou sigilo(algoritmos criptográficos simétricos); • Não Repúdio (pelas mensagens assinadas criptograficamente). Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

16. Tecnologias Utilizadas • Sistema Operacional: • Fedora Core 1 e Open BSD. • Servidor Web: • Apache, oferece suporte HTTP e a SSL . • Sistema de Webmail: • Foi escolhido o sistema IMP do Projeto Horde; • PHP, linguagem de script do IMP; • SSL, protocolo para criptografia e autenticação baseada em seção; • MySQL, um dos banco de dados padrão em distribuição linux. Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

17. IWS – Sistema de Webmail • Servidor de Webmail = IMP + PHP + Apache • Utiliza o protocolo IMAP para transporte de mensagens de um mesmo domínio, onde fica o “túnel” seguro (SSL); Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

18. USUÁRIO SERVIDOR WEBMAIL conecta IMP + PHP + APACHE O usuário conecta via browser o endereço do domínio IMAP + SSL loga no sistema Agente Transporte Status de cliente, via HTTPS entra no túnel seguro. Agente Local de Distribuição sim não Caixa de Entrada IWS – Sistema de Webmail – Lendo mensagens • Lendo e organizando mensagens no Webmail IMP: Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

19. USUÁRIO SERVIDOR WEBMAIL conecta IMP + PHP + APACHE O usuário conecta via browser o endereço do domínio SMTP Agente Transporte SMTP Outros Domínio Mesmo Domínio loga no sistema Status de cliente, via HTTPS entra no túnel seguro. Agente Local de Distribuição Agente Local de Distribuição sim não Caixa de Entrada Caixa de Entrada IWS – Sistema de Webmail – Enviando mensagens • Envio de mensagens no Webmail IMP: Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

20. IWS – Características de Uso • Durante o envio, a mensagem estará vulnerável a qualquer tipo de ataque; • Nossa preocupação está na proteção desta mensagem assim que ela sai do domínio em questão; • O usuário terá que ter um par de chaves (pública e privada) e fazer sua importação no sistema de webmail; • Quando quiser utilizar a criptografia nas mensagens, poderá então utilizar as chaves. Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

21. IWS – Instalação do Webmail IMP Configuração do Ambiente • Estas seguintes configurações são necessárias para a instalação da versão CVS do Horde e do IMP. O número de pacotes varia conforme o SO: • DNS(Domain Name System): configurado conforme determinação do administrador da rede; • MTA (Mail Transfer Agent); • IMAP(Internet Message Access Protocol); • MySQL: escolhido por ser o mais utilizado em distribuições Linux; • Apache2: servidor Web; • SSL: presente em distribuições Linux. Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

22. IWS – Instalação do Webmail IMP Configuração do Ambiente • PHP: • Verificar quais os pacotes que estão disponíveis para serem instalados, e instalar TODOS com algum gerenciador de pacotes; • Para a distribuição Fedora Core-1 usada no ambiente de testes os pacotes disponíveis eram: • asp2php.i386 0:0.76.2-6 • php-pgsql.i386 0:4.3.4-1.1 • php-mysql.i386 0:4.3.4-1.1 • php-devel.i386 0:4.3.4-1.1 • asp2php-gtk.i386 0:0.76.2-6 • php-imap.i386 0:4.3.4-1.1 • php-xmlrpc.i386 0:4.3.4-1.1 • php-odbc.i386 0:4.3.4-1.1 • php-domxml.i386 0:4.3.4-1.1 • php.i386 0:4.3.4-1.1 • php-ldap.i386 0:4.3.4-1.1 Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

23. IWS – Instalação do Webmail IMP Horde, IMP e Framework • Ir para o diretório base do http. Exemplo: /var/www/hmtl/ e usar os comandos: • export CVSROOT=:pserver:cvsread@anoncvs.horde.org:/repository • cvs login • Primeiramente deverá ser feito o download do pacote Horde. Dentro de /var/www/html/ digitar o comando: • cvs co horde • Isto irá criar um diretório “horde” dentro de /var/www/html/ Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

24. IWS – Instalação do Webmail IMP Horde, IMP e Framework • Dentro de /var/www/html/horde/ baixar os pacotes restantes: • cvs co imp • cvs co framework • Dentro do diretório framework instalar os pacotes com: • php install-packages.php Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

25. IWS – Instalação do Webmail IMP Configurando o Horde • O horde tem como padrão distribuir apenas os arquivos .php.dist para serem gerados os .php. Isto é feito através do comando: • for foo in *.dist; do cp $foo ‘basename $foo .dist‘; done • Configurar o horde para funcionar apenas em um ambiente seguro (https). • Criar o banco de dados MySQL que será usado pelo Horde para guardar as configurações dos usuários do sistema. • Conferir se as configurações estão ok, abrindo o navegador e indo em http://localhost/horde Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

26. IWS – Instalação do Webmail IMP Janela de acesso ao Horde • A janela de acesso ao horde deverá aparecer. Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

27. IWS – Instalação do Webmail IMP Importando as Chaves S/MIME • IMP não aceita chaves no formato pkcs#12. Apenas no formato pkcs#7. • As chaves usadas para testes neste trabalho foram geradas utilizando as funcionalidades do OpenSSL. Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

28. IWS – Instalação do Webmail IMP Importando as Chaves S/MIME • Clicando em “Import Keypair” você irá entrar com as suas chaves pública e privada, separadamente. Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

29. IWS – Instalação do Webmail IMP Importando as Chaves S/MIME • Suas chaves pública e privada estarão adicionadas ao seu perfil. • A cada seção aberta no IMP, na primeira mensagem que você utilizar sua assinatura digital, você terá que fornecer a senha (Passphrase) utilizada para gerar o arquivo com a sua chave privada. Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

30. IWS – Instalação do Webmail IMP Importando as Chaves S/MIME • DEMONSTRAÇÃO… Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

31. IWS – Instalação do Webmail IMP Lendo um email assinado com S/MIME no Outlook • No Outlook a mensgem assinada com um email que seja diferente do email do remetente, também irá advertir este fato, como mostrado abaixo: Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

32. Considerações Finais • Vantagens e importância de se implantar um sistema de Webmail Seguro; • Problema na questão do armazenamento das chaves privadas pelo IMP; • Por estarem armazenadas em um banco de dados, as chaves estão sujeitas a outras formas de ataque as quais não dependam da segurança oferecida por um protocolo seguro(https); • Assim, a segurança oferecida pelo túnel seguro, garante sigilo apenas durante a conexão com o Webmail. Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

33. Trabalhos Futuros • Desenvolvimento de uma tecnologia que supra a deficiência apresentada pelo IMP em relação ao armazenamento das chaves privadas. • Forma como esta tecnologia irá interagir com o IMP ou outro Webmail, para armazenar as chaves privadas. • Estudo de uma solução para o processo de cifragem das mensagens eletrônicas no IMP. Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

34. Comentários • COMENTÁRIOS • CRÍTICAS • SUGESTÕES • . . . Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

35. Agradecimentos • Ao amigo, Leonardo Neves Bernardo; • Aos pais, pela ajuda e apoio; • Aos namorados, pela compreensão e ausência nos finais de semana; • Ao orientador, pela idéia do projeto; • Aos amigos e colegas do curso; • À família 992, a pior turma de todos os tempos… Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004

36. Fim... F I M F I M F I M Webmail Seguro - Eduardo Juchem e Luciana Schmitz. Junho de 2004