Distribudo por:

www.projetoderedes.com.br

Fundao Oswaldo Aranha - FOA

Centro Universitrio de Volta Redonda UniFOA
Campus Universitrio Olezio Galotti Avenida Paulo Erlei Alves Abrantes, 1325
Trs Poos Volta Redonda RJ Tel: (24) 3340-8400 www.unifoa.edu.br

Curso Tecnolgico de Redes de Computadores

Disciplina: Segurana da Informao
Professor: Jos Maurcio S. Pinheiro V.01/08

AULA 2: Segurana em Redes de Computadores

Senhas e Autenticao

A definio dada pela RFC 2828 (Request for Coments n 2828) para o
termo password (ou senha) um dado secreto, usualmente composto por uma
seqncia de caracteres, que usado como informao para autenticar um
usurio ou pessoa. Esclarece tambm que, normalmente utilizada em conjunto
com uma identificao do usurio no processo de autenticao, quando da
entrada do usurio na rede ou sistema.
A autenticao o processo de verificar a identidade declarada por uma
entidade do sistema, ou seja, verificar se, quem est tentando utilizar o sistema ou
ganhar acesso, realmente quem declara ser. O processo de autenticao pode
ser dividido em dois passos, conforme descrito pela mesma RFC:

Identificao: apresentao de uma identificao ao sistema de segurana.

Pode ser o login de entrada ou o nome da conta;
Verificao: compara com dados j armazenados previamente se a password
e o login esto corretos, gerando ento a informao se a autenticao est
correta ou no. Em caso positivo, o sistema assume que a pessoa ou a entidade
que requer o acesso quem realmente declara ser, e ento, libera as transaes
permitidas para serem realizadas.

Poltica de Senhas

Uma senha serve para autenticar o usurio, ou seja, a senha garante que
determinado indivduo que utiliza um servio ele mesmo, permitindo o acesso
aos vrios servios disponibilizados em uma rede. A senha, por definio uma
assinatura eletrnica e, portanto, ela pessoal e deve ser mantida em sigilo.
Pode parecer primrio, mas muitas pessoas utilizam senhas fceis de
adivinhar, anotando em agendas, colocando o cdigo em local visvel ou
simplesmente compartilhando seu contedo com outras pessoas. Se um usurio
fornece sua senha para uma outra pessoa, esta poder utiliz-la como se fosse o
prprio usurio, tendo acesso a informaes restritas.
 Fundao Oswaldo Aranha - FOA
Centro Universitrio de Volta Redonda UniFOA

Com o objetivo de dificultar a deduo de senhas por terceiros, algumas

recomendaes importantes podem ser seguidas para evitar problemas de
segurana:

Evitar anotar as senhas em papis soltos ou agendas. As senhas so pessoais

e devem ser memorizadas preferencialmente, no escritas.
Nunca utilizar senhas fceis de identificar como data de aniversrio, placa de
carro, etc.
Uma boa senha deve ter pelo menos oito caracteres, preferencialmente
alfanumrica (combinao de letras, nmeros e smbolos), deve ser simples de
digitar e fcil de lembrar.

Ameaas e ataques

Uma ameaa consiste em uma possvel violao de um sistema

computacional e pode ser acidental ou intencional. Uma ameaa acidental
aquela que no foi planejada. Pode ser, por exemplo, uma falha no hardware (um
defeito no disco rgido) ou uma falha de software (bug do sistema). J uma
ameaa intencional, como o nome diz, est associada intencionalidade
premeditada. Pode ser desde um monitoramento do sistema at ataques
sofisticados, como aqueles feitos por hackers ou crackers.
Algumas das principais ameaas aos sistemas de computadores envolvem
destruio de informaes ou recursos, modificao ou deturpao da informao,
roubo, remoo ou perda de informao, revelao de informaes confidenciais
ou no, chegando at a interrupo de servios de rede.
J um ataque ocorre quando uma ameaa intencional realizada. Os
ataques ocorrem por motivos diversos. Variam desde a pura curiosidade pela
curiosidade, passando pelo interesse em adquirir conhecimento, pelo teste de
capacidade "vamos ver se eu sou capaz", at o extremo, envolvendo ganhos
financeiros, extorso, chantagem de algum tipo, espionagem industrial, venda de
informaes confidenciais e, o que est muito na moda, ferir a imagem de um
governo ou uma determinada empresa ou servio. Quando isso acontece, a
notcia de uma invaso proporcional fama de quem sofreu essa invaso e
normalmente representa um desastre em termos de repercusso pblica.
Por questes como estas, as atenes das grandes corporaes, bancos
ou governos, convergem para a discusso envolvendo a segurana de redes,
sejam elas privadas ou Internet, com o investimento de recursos em sistemas e
ferramentas de segurana.

Ameaas quanto a sua Intencionalidade

Naturais fenmenos da natureza (incndio, terremoto, tempestade, etc);

Involuntrias causadas quase sempre pelo desconhecimento (acidentes,
erros, falta de energia, etc);
 Fundao Oswaldo Aranha - FOA
Centro Universitrio de Volta Redonda UniFOA

Voluntrias causadas propositalmente por agentes humanos (hackers,

espies, ladres, invasores, etc)

Ameaas aos Sistemas Computacionais

Vazamento: ocorre quando um usurio legtimo (autorizado) fornece

informao para um ou mais receptores no autorizados. Isto pode ocorrer
propositalmente, ou no.
Violao ocorre quando uma informao legtima sofre alterao no
autorizada (incluindo programas).
Furto de recursos: ocorre quando algum no autorizado beneficia-se das
facilidades dos sistemas computacionais.
Vandalismo: quando algum no autorizado, interfere, causando prejuzo s
operaes dos sistemas, sem ganhos prprios.

Vulnerabilidade

Ponto pelo qual algum pode ser atacado, molestado ou ter suas
informaes corrompidas. Exemplos de vulnerabilidades:

Fsicas Instalaes prediais fora do padro, salas de equipamentos mal

planejadas; falta de sistemas de proteo ambiental;
Naturais Incndios, enchentes, falta de energia, umidade excessiva;
Hardware Falha de recursos, danos em mdias, erros de instalao;
Software Erros na instalao e ou na configurao;
Comunicao Acessos no autorizados ou perda de comunicao;
Humanas Falta de treinamento, erros ou omisso, vandalismo.

As principais ameaas que devem ser tratadas pela da Poltica de

Segurana da Informao so as seguintes:

Ameaas integridade: Ameaas ambientais (fogo, gua, terremoto,

etc), erros humanos, fraudes, falhas de processamento;
Ameaas de indisponibilidade: Falhas em sistemas ou nos diversos
ambientes computacionais;
Ameaas de divulgao da informao: Divulgao de informaes
premeditada ou acidental;
Ameaas por alteraes no autorizadas: Alterao premeditada ou
acidental do contedo das informaes do sistema.

So trs os aspectos bsicos que um sistema de segurana da informao

deve atender para evitar a concretizao dessas ameaas:
 Fundao Oswaldo Aranha - FOA
Centro Universitrio de Volta Redonda UniFOA

Preveno

Proteo de hardware: normalmente chamado de segurana fsica,

impede acessos fsicos no autorizados infra-estrutura da rede,
prevenindo roubos de dados, desligamento de equipamentos e demais
danos possveis quando se est fisicamente no local;
Proteo de arquivos e dados: providenciado por autenticao,
controle de acesso e antivrus. No processo de autenticao, verificada a
identidade do usurio. No processo de controle de acesso, s so
disponibilizadas as transaes realmente pertinentes ao usurio. O antivrus
garante a proteo do sistema contra programas maliciosos;
Proteo de permetro: ferramentas de firewall cuidam desse aspecto,
mantendo a rede protegida contra invases de usurios no autorizados.

Deteco

Alertas: sistemas de deteco de intrusos (IDS - Intrusion Detection

System) alertam os administradores e responsveis pela segurana da rede
sobre qualquer sinal de invaso ou mudana suspeita no comportamento
da rede que possa significar um padro de ataque. Os avisos podem ser via
e-mail, via mensagem no terminal do administrador, etc.;
Auditoria: periodicamente deve-se analisar os componentes crticos do
sistema a procura de mudanas suspeitas. Esse processo pode ser
realizado por ferramentas que procuram, por exemplo, modificaes no
tamanho dos arquivos de senhas, usurios inativos, etc.

Recuperao

Cpia de segurana dos dados (Backup): manter sempre atualizados

e testados os arquivos de segurana dos dados em mdia confivel e
separado dos servidores;
Aplicaes de Backup: ferramentas que proporcionam a recuperao
rpida e confivel dos dados mais atualizados em caso de perda dos dados
originais do sistema;
Backup do Hardware: a existncia de backup de hardware (servidor
reserva, no-break reserva, linhas de dados reserva, etc.) podem ser
justificados levando-se em conta o custo de uma parada do sistema e
determinando-se a importncia da informtica para a organizao.

Recomendaes para evitar ameaas

possvel proteger os ativos computacionais de uma organizao seguindo

algumas recomendaes bsicas contra as ameaas oferecidas pelas diversas
pragas virtuais que circulam atualmente pela Internet:
 Fundao Oswaldo Aranha - FOA
Centro Universitrio de Volta Redonda UniFOA

Atualizao do programa antivrus recomenda-se que os programas de

antivrus sejam atualizados diariamente, principalmente quando um novo
vrus for descoberto. Outra medida importante efetuar as correes de
outros programas utilizados, pois 90% dos vrus se aproveitam de falhas
nesses programas para se disseminar;
Bloquear arquivos executveis no gateway - quando uma pessoa deseja
enviar um e-mail com um arquivo executvel, ela o faz "zipando" tal
arquivo. Somente usurios especficos tm reais motivos para enviar, via e-
mail, arquivos com tais extenses;
Bloqueio de programas de mensagens instantneas - os programas de
mensagens instantneas permitem o compartilhamento de arquivos. Assim,
o usurio pode ser infectado ao baixar um arquivo, mesmo possuindo um
programa de antivrus e um controle de firewall;
Autenticao Segura - sempre que se utilizar a Internet para transaes
comerciais, verificar se o site visitado pertence a uma instituio conhecida
e se utiliza algum esquema de conexo segura (SSL - Secure Socket
Layer). Existem duas maneiras para verificar se uma conexo segura ou
no. Primeiro atravs do endereo do site que deve comear com https://.
O s antes do sinal de dois-pontos indica que o endereo em questo de
um site com conexo segura e, portanto, os dados do formulrio sero
criptografados antes de serem enviados. Outra forma de indicao atravs
de algum sinal. O sinal mais adotado nos browsers o de um desenho de
um cadeado fechado. Se o cadeado estiver aberto, a conexo no
segura.

Outras providncias para a segurana dos sistemas dizem respeito

especificamente aos servios de correio eletrnico. Dentre elas destacam-se:

Visualizao de e-mail - desligar o recurso de visualizao do programa

de correio eletrnico. Essa funo exibe o contedo de uma mensagem
eletrnica antes de o usurio optar por abri-la de fato. H vrios vrus que
so ativados atravs da pr-visualizao da mensagem infectada;
Arquivos anexos - no abrir arquivos anexados diretamente do programa
de e-mail. Deve-se salvar primeiramente no disco rgido e, em seguida,
passar o antivrus;
E-mails de origem desconhecida - jamais abrir e-mails com arquivos
provenientes de desconhecidos. Alm dos possveis estragos causados
pelas pragas virtuais, existe o perigo de mensagens maliciosas
redirecionarem automaticamente para uma pgina da web, havendo o risco
de um hacker roubar informaes pessoais do computador;
E-mails inesperados de conhecidos - suspeitar de qualquer arquivo
inesperado anexado em um e-mail de algum conhecido. Ele pode ter sido
enviado sem o conhecimento da pessoa, que logicamente est com a
mquina infectada;
 Fundao Oswaldo Aranha - FOA
Centro Universitrio de Volta Redonda UniFOA

Verificar e-mails suspeitos - no caso de receber uma mensagem de um

conhecido, mas que tenha um ttulo ou arquivo anexado estranho, melhor
contatar o remetente e perguntar se ele realmente enviou aquele e-mail;
Usar criptografia - se a informao que se deseja enviar por e-mail for
confidencial a soluo a utilizao de programas de criptografia utilizando
chaves e que s podem ser abertas por quem possuir a chave para isso.
Alguns programas de criptografia j podem estar embutidos nos programas
de e-mails ou podem ser adquiridos separadamente e serem anexados
posteriormente aos programas.

Tipos de Ataques

Ataque de Dicionrio

Trata-se de um ataque baseado em senhas que consiste na cifragem das

palavras de um dicionrio e posterior comparao com os arquivos de
senhas de usurios.

IP Spoofing

Falsificao de endereo IP
Utilizada em conjunto com outros ataques para esconder a identidade do
atacante.
Consiste na manipulao direta dos campos do cabealho de um pacote
para falsificar o nmero IP mquina que dispara a conexo.
Quando um host X quer se conectar ao host Y, a identificao feita
atravs do nmero IP que est no cabealho
Se o IP do cabealho enviado pelo host X for falsificado (IP de um host
hacker), o host Y acredita estar falando com o host X
 Fundao Oswaldo Aranha - FOA
Centro Universitrio de Volta Redonda UniFOA

Figura 1 - IP Spoofing

Os pacotes IP possuem um endereo destino e um endereo origem.

Normalmente o endereo origem reflete a realidade, mas nada impede que um
hacker altere este pacote para que ele parea ter vindo de outro lugar.

Alm de enganar o destino, neste caso o computador X, necessrio que

se sobrecarregue o computador Y, para que ele no responda s mensagens de
X, pois isso poderia cancelar a conexo.

Faz-se necessria, ainda, uma "previso" do nmero de seqncia

mandado por X. Este nmero enviado por X ao originador da conexo
(supostamente o Y). Mas Y no ir responder, devido sobrecarga explicada
anteriormente. Ento o hacker deve prever o nmero de seqncia mandado por
X para que seja enviado novo pacote com estes nmeros em seqncia, fingindo
novamente ter sido enviado por Y, e forjando a autenticao.

A previso deste nmero de seqncia um processo demorado e criativo.

Durante a negociao da conexo, os computadores trocam informaes para
efetuarem o "handshake" ou "aperto de mo". Dentre as informaes trocadas
esto os nmeros de seqncia, que devem ser repetidos para o destino, para
que este se certifique da autenticidade da conexo.

O que o invasor faz o seguinte: enviar, atravs de um pacote legtimo e com o

endereo de origem verdadeiro, vrios pedidos de conexo X. Este responde
com um nmero de seqncia para que o invasor o repita e efetue a conexo,
mas a mquina de origem (invasor) no tem privilgios e no lhe interessa fechar
esta conexo. Ento ele no responde a estes pacotes de X, apenas os guarda e
verifica seu nmero de seqncia.
 Fundao Oswaldo Aranha - FOA
Centro Universitrio de Volta Redonda UniFOA

Aps vrios pedidos de conexo com X, o invasor pode "aprender" como X

gera seus nmeros e ento mandar um pedido de conexo, desta vez com o
endereo de origem sendo Y (o computador confivel). Obviamente, o invasor no
vai receber os pacotes de X com os nmeros de seqncia, pois estes iro para o
endereo de origem (computador Y) que nesse momento deve estar
sobrecarregado. Com base nos clculos anteriores, o invasor prev e manda o
nmero de seqncia correto para o computador X, fechando a conexo.

Ataque de Negao de Servios

Os ataques de negao de servio DoS (Denial of Service) tm como objetivos:

Paralisar um servio em um servidor;

gerar uma grande sobrecarga no processamento de dados de um
computador, de modo que o usurio no consiga utiliz-lo;
Gerar um grande trfego de dados para uma rede, ocupando toda a banda
disponvel, de modo que qualquer computador desta rede fique
indisponvel.

Denial of Service (Dos): Neste ataque, apenas uma mquina estranha a rede
ataca a mquina alvo.

Figura 2 - DoS

Distributed Denial of Service (DDos): Este ataque utiliza vrias mquinas em

conjunto para atacar uma mquina alvo. O objetivo do ataque esgotar algum
recurso da mquina alvo.
 Fundao Oswaldo Aranha - FOA
Centro Universitrio de Volta Redonda UniFOA

Figura 3 - DDoS

Vulnerabilidades Exploradas

Falhas em softwares
Falhas de Protocolo
Esgotamento de recursos
SYN Flood

Consiste no envio de um grande nmero de pacotes de abertura de

conexo, com um endereo de origem forjado (IP Spoofing), para um
determinado servidor.
O servidor ao receber os pacotes, coloca uma entrada na fila de conexes
em andamento, envia um pacote de resposta e fica aguardando uma
confirmao da mquina cliente.
Como o endereo de origem dos pacotes falso, a confirmao nunca
chega ao servidor.
A fila de conexes no servidor fica lotada e, a partir da, todos os pedidos
de abertura de conexo so descartados e o servio paralisado.
A paralisao persiste at o tempo para o servidor identificar a demora e
remover a conexo em andamento da lista.
 Fundao Oswaldo Aranha - FOA
Centro Universitrio de Volta Redonda UniFOA

Figura 4 - SYN Flood

Ataque de LOOP

Consiste em mandar para um host um pacote IP com endereo de origem e

destino iguais, ocasionando um loop na tabela de conexes de uma mquina
atacada.

Ataques via ICMP

O protocolo ICMP (Internet Control Message Protocol) utilizado no

transporte de mensagens de erro e de controle.

O ICMP no tem garantias se a informao recebida verdadeira, e por

este motivo, um atacante pode utilizar as ICMP para interromper conexes
j estabelecidas.

Ataque de Ping (Smurf Atack)

Envia pacotes ICMP de echo request para um endereo de broadcast da

rede
 Fundao Oswaldo Aranha - FOA
Centro Universitrio de Volta Redonda UniFOA

Figura 5 Ping (Smurf Ataque)

Redireciona todas as respostas (atravs de IP Spoofing) para a mquina

atacada, causando um volume grande de conexes de echo reply para a
mesma.

Figura 6 Redirecionamento via ping

 Fundao Oswaldo Aranha - FOA
Centro Universitrio de Volta Redonda UniFOA

Ataque de Ping of Death

Consiste em enviar um pacote IP com tamanho maior que o mximo

permitido (65.535 bytes) para a mquina atacada. O pacote enviado na
forma de fragmentos (porque nenhuma rede permite o trfego de pacotes
deste tamanho).
O dano causado quando uma mquina destino tenta montar os
fragmentos.

Engenharia social

A expresso Engenharia Social muito empregada entre os profissionais

das reas de segurana e de redes para definir a tcnica de obteno de
informaes importantes de uma empresa, atravs da manipulao de seus
usurios e colaboradores. Essas informaes podem ser obtidas pela ingenuidade
ou confiana das pessoas. As investidas desta natureza podem ser feitas atravs
de telefonemas, envio de mensagens por correio eletrnico, salas de bate-papo e
at mesmo pessoalmente.
Um exemplo tpico da utilizao da engenharia social quando uma pessoa
desconhecida liga para a empresa / casa de um funcionrio e se diz do suporte
tcnico do seu provedor. Nesta ligao ele convence o funcionrio de que sua
conexo com a Internet est problemtica e pede sua senha para corrigir o
problema. Como sempre, o bom senso nestes casos tudo. A providncia a
adotar nesse tipo de abordagem entrar em contato com o help desk do provedor
avisando do ocorrido.
Quando falamos de redes corporativas, que so os alvos preferidos desses
invasores, o perigo ainda maior e pode estar at sentado ao lado. Sabe-se que
muitos dos ataques sofridos em redes partem de funcionrios ou ex-funcionrios
insatisfeitos. Outro exemplo de ataque de engenharia social diz respeito s
entrevistas para emprego, onde muitas vezes o candidato vaga passa vrias
informaes da empresa em que trabalha. Pode no existir vaga alguma para o
cargo. Apenas a empresa, que supostamente abriu a vaga, est tentando levantar
informaes dos seus concorrentes.
Kevin Mitnick, um famoso hacker declarou em uma entrevista que nada
adianta as empresas se preocuparem com seus sistemas de segurana se
deixarem de lado o principal perigo: a engenharia social. Mitnick declarou que as
empresas ficam expostas aos hackers porque no tm conscincia das tcnicas
de engenharia social que so usadas pelos atacantes mais perigosos, por
exemplo, a manipulao. "A maioria das pessoas acha que, por no se
considerarem ingnuas, no podem ser manipuladas. Mas nada est mais longe
da verdade do que isto", afirmou. Em um trecho do livro O Jogo do Fugitivo, de
Jonathan Littman Ed. Rocco, Mitnick descreve como fazia sua engenharia social
para descobrir segredos das empresas que invadia: Aos 13 anos eu j revirava
lixeiras perto de companhias telefnicas para encontrar manuais tcnicos jogados
fora.
 Fundao Oswaldo Aranha - FOA
Centro Universitrio de Volta Redonda UniFOA

A tecnologia avana e passos largos, mas a condio humana continua na

mesma em relao a critrios ticos e morais. Enganar os outros deve ter sua
origem na pr-histria, portanto o que mudou foram apenas os meios para isso.
Em redes corporativas, que so alvos prediletos para os invasores, o perigo
ainda maior e pode estar ao lado. Um colega de trabalho poderia tentar obter sua
senha de acesso mesmo tendo uma prpria, pois uma sabotagem feita com sua
senha parece bem mais interessante do que com a senha do prprio autor.
 Fundao Oswaldo Aranha - FOA
Centro Universitrio de Volta Redonda UniFOA

Questionrio

1. Como podemos definir senha?

2. O que autenticao?
3. Quais so os passos do processo de autenticao?
4. Descreva uma regra para criao de senhas seguras.
5. Qual a diferena entre hacker e cracker?
6. O que um vrus de computador?
7. Como age o cavalo de tria?
8. O hoax no um vrus de computador, entretanto pode causar prejuzos
semelhantes aos vrus. Por que isso ocorre?
9. Cite duas recomendaes para evitar as ameaas virtuais presentes na
Internet.
10. Como a criptografia pode ajudar na preveno de problemas com os dados
que trafegam na Internet?