Segurança de Sistemas e Redes

1. Segurança de Sistemas e Redes Mestrado em Redes e Serviços de Comunicações E-mail Seguro Albano Serrano Ricardo Costa

2. Enquadramento • Motivação • Soluções: • Segurança nos Protocolos • Segurança nos Conteúdos • Demonstração

3. Motivação • Massificação da Internet • Novos modelos de negócios para todo tipo de empresas • Novas meios de comunicação Globais • E-Mail • Necessidade de diversos tipos de segurança nos novos meios de comunicação • Segurança nos meios de comunicação • Garantir que ninguém pode escutar • Segurança nos conteúdos • Não repúdio, integridade, confidencialidade • E-Mail Seguro

4. Segurança nos protocolos • E-Mail: Aplicação Cliente – Servidor • Necessária autenticação perante servidor • Protocolos de comunicação inseguros • SMTP (Simple Message Transfer Protocol) • IMAP (Internet Message Access Protocol) • POP (Post Office Protocol) • Necessário solução segura que permitisse • Não visualização / alteração de credenciais • Não visualização / alteração de conteúdo em trânsito

5. Segurança nos protocolos • Utilização de SSL (Secure Socket Layers) • SMTP / SSL • IMAP / SSL • POP / SSL • Implementado de duas formas • Integrado no servidor e cliente • Transparente para servidor e cliente • Servidor: stunnel –p stunnel.pem –d dport –r localhost:sport • Cliente: stunnel –c –d sport –r mailserver:dport

6. Segurança nos protocolos • Obrigatório mas insuficiente

7. Segurança nos conteúdos • Requisitos de Segurança de E-mail • Privacidade de conteúdo • Tecnologia de criptografia para codificação • Integridade da mensagem • Algoritmo de hash / message digest ou MAC • Verificação de remetente • Assinatura digital • Verificação de destinatário • Criptografia com chave-pública

8. Segurança nos conteúdos • Protocolos: PGP e S/MIME • Serviços: • Privacidade (encriptação) • Autenticação (assinaturas digitais)

9. Segurança nos conteúdos PGP - Pretty Good Privacy • Versões • Primeira em 1991, • Comercial em 1997, Network Associates, • OpenPGP, IETF RFC 2440. • Modos de operação • Autenticação, • Confidencialidade, • Autenticação e Confidencialidade

10. Segurança nos conteúdos • Serviços fornecidos • Assinatura Digital: DSS/SHA ou RSA/SHA • Cifragem da mensagem: CAST ou IDEA ou 3DES com Diffie-Hellman ou RSA • Compressão: ZIP • Compatibilidade: Radix-64 • Segmentação • Distribuição de chaves • Teia de confiança

11. Segurança nos conteúdos • RFC 822 • mensagem constituídas por envelope e conteúdo com limitações. • MIME - Multipurpose Internet Mail Extensions • Extensão ao RFC 822: vários tipos de conteúdos (objectos); • Cabeçalho com novos campos. • Norma S/MIME – Secure MIME • Extensão de segurança ao MIME.

12. Segurança nos conteúdos • Desenvolvido pela RSA Security • Padrão de indústria para uso comercial e organizacional • Suporta encriptação de dados multimédia • Utiliza certificados digitais X.509 • Utiliza Hierarquias de Segurança.

13. Enveloped Data Signed Data Original Content Segurança nos conteúdos • Funções S/MIME • Enveloped Data: conteúdo cifrado e chaves de sessão cifradas a serem usadas pelos destinatários. • Signed Data: assinatura digital do conteúdo. Codificação em base64 de assinatura e conteúdo. • Clear-Signed Data: assinatura digital do conteúdo, mas apenas esta é codificada em base64. • Signed and Enveloped Data: assinatura e cifragem da mensagem Mensagem do S/MIME

14. Comparação PGP-S/MIME • PGP integra-se com aplicações de Email através de plugins, S/MIME é versão melhorada com segurança do MIME,  • PGP mais flexível, S/MIME mais standard, • PGP mais destinado a indivíduos, S/Mime mais para organizações, • PGP usa distribuição de chaves própria, S/MIME utiliza o standard X.509. • PGP permite assinatura/cifragem de dados em disco e outros, S/MIME apenas para e-mail.

15. Comparação PGP-S/MIME

16. Demonstração