OSRC Segurança em Redes de Computadores Módulo 11: VPN - PDF
Download "OSRC Segurança em Redes de Computadores Módulo 11: VPN"
João Henrique Marroquim da Silva
1 OSRC Segurança em Redes de Computadores Módulo 11: VPN Prof. Charles Christian Miers
2 VPN: Virtual Private Networks Uma Rede Virtual Privada (VPN) é um meio de simular uma rede privada sobre uma rede pública: Rede Virtual: rede formada por conexões virtuais Conexão Virtual: conexões temporárias, não físicas, estabelecidas entre os pontos que se deseja estabelecer uma comunicação segura 0 OSRC Segurança em Redes de Computadores 2
3 VPN: Virtual Private Networks Motivação principal às VPNs é a possibilidade de utilizar a Internet como meio físico de comunicação Alternativa muito mais viável que a alocação de linhas privativas VPNs estão substituindo rapidamente linhas dedicadas, circuitos de frame relay e outras formas de comunicação dedicada Fornece um meio de comunicação seguro entre dois pontos OSRC Segurança em Redes de Computadores 3
4 PROTOCOLOS PARA VPN L2F Layer 2 Fowarding Protocol Desenvolvido pela CISCO PPTP Point-to-Point Tunneling Protocol Ascend Communication, U.S. Robotics, 3Com Corporation, Microsoft Corporation, ECI Telematics L2TP Cisco, PPTP Forum e IETF desenvolveram Level 2 Tunneling Protocol (L2TP), combinando L2F e PPTP IPSec IETF (Internet Engineering Task Force) OSRC Segurança em Redes de Computadores 4
5 Tipos de Tunelamento Tunelamento de Camada 2 Os pacotes são encapsulados no protocolo PPP (camada 2), e depois recebem o cabeçalho de tunelamento Exemplos: PPTP e L2TP Tunelamento de Camada 3 Os pacotes recebem diretamente o cabeçalho de tunelamento Exemplo: IPSec OSRC Segurança em Redes de Computadores 5
6 L2TP L2TP: Layer Two Tunneling Protocol Baseado nos Protocolos: PPTP L2F As mensagens do protocolo L2TP são de dois tipos: Mensagens de controle: Utilizadas para estabelecer e manter as conexões Mensagens de dados: Utilizadas para transportar informações OSRC Segurança em Redes de Computadores 6
7 L2TP (Cont.) Possui suporte as seguintes funções: Tunelamento de múltiplos protocolos Autenticação Anti-spoofing Integridade de dados Certificar parte ou todos os dados Padding de Dados Permite esconder a quantidade real de dados Transportados Não possui suporte nativo para criptografia OSRC Segurança em Redes de Computadores 7
8 IPSec IP Seguro Protocolo projetado pelo IETF para permitir comunicações seguras no interior de redes TCP (IPv4 ou IPv6) Possui dois modos de utilização: Modo túnel: Adiciona o cabeçalho de tunelamento e um cabeçalho de controle Modo transporte: Adiciona apenas o cabeçalho de controle OSRC Segurança em Redes de Computadores 8
9 Esquema de Cifragem IPSec Emprego do IKE (Internet Key Exchange) Esquemas criptográficos consistem em: Protocolo de Gerenciamento de Chaves: geração e troca de chaves Algoritmo de Cifragem: cifragem das mensagens Algoritmo de Autenticação: garantia de integridade Protocolo Gerenciamento de Chave Algoritmo de Cifragem Algoritmo de Autenticação Cifragem é... IKE padrão de indústria para protocolo de gerenciamento de chaves em VPN DES, CAST, AES HMAC-MD5 HMAC-SHA-1 Encapsulado; a cifragem de tráfego é IPSec 9
10 Elementos do IPSec IP Autentication Header (AH) Integridade, autenticação da origem de dados e evita interceptação de pacotes IP Encapsulating Security Payload (ESP) Confidencialidade, integridade, autenticação da origem e evita interceptação de pacotes Internet Security Association and Key Management Protocol (ISAKMP) Implementa o gerenciamento de chaves OSRC Segurança em Redes de Computadores 10
11 Esquema de Cifragem IKE (Cont.) IKE ISAKMP/Oakley ISAKMP (Internet Security Association and Key Management Protocol): Padrão de cifragem do IETF Fornece um arcabouço para transferência de chaves e autenticação de dados Independência dos métodos de cifragem e autenticação Oakley: Protocolo usado para estabelecer criptografia forte baseado em chaves para cifragem dos dados Oakley define como os usuários selecionam grupos de números primos para fazer a troca de chaves por Diffie-Hellman Chaves podem ser derivadas das chaves Diffie-Hellman ou de uma chave criptográfica existente Oakley permite ao IPSec usar chaves secretas e autenticação baseada em certificados 11
12 IPSec : Estrutura IPv4 IP TCP/UDP DADOS IPv4 com autenticação IP AH TCP/UDP DADOS IPv4 com autenticação e tunelamento AH: calculado sobre todos os dados que não são alterados durante o trajeto do pacote IP AH IP TCP/UDP DADOS IPv4 com autenticação e criptografia ESP IP HEADER TCP/UDP DADOS ESP TRAILER ESP AUTH cifrado autenticado 12
13 Exemplo de VPN: Três redes privadas conectadas via VPN Rede Privada Firewall Pública Rede Privada Firewall Cifragem é realizada na parte pública da rede (Internet) Admin Suporte Os dois firewalls são os pontos de cifragem/decifragem P&D Correio eletrônico Vendas FTP HTTP Cifrado Não-cifrado 13
14 Definições: VPNs Especificação da cifragem requer responder três questões: Quem irá cifrar? Gateways de cifragem e seus domínios Quais são as chaves de cifragens a serem cifradas? IPSec assegura a conexão Negociação IKE precisa ser feita antes da cifragem iniciar Gateways usam segredos pré-compartilhados ou certificados Quais conexões devem ser cifradas e como? Uma regra é necessária na base de regras especificando a comunicação entre gateways e como cifrar Cada regra especifica parâmetros IKE de cifragem OSRC Segurança em Redes de Computadores 14
15 Classificação de VPNs Tipos de VPNs: Intranet VPNs VPNs de acesso remoto Extranet VPNs OSRC Segurança em Redes de Computadores 15
16 Intranet VPNs Feitas para gerenciar a segurança entre departamentos internos e filiais Os requisitos no design de Intranet VPN incluem: Criptografia forte para proteger informações confidenciais Confiabilidade para sistemas de missão crítica (Ex.: gerenciamento de bases de dados) Escalável para permitir o crescimento e mudanças OSRC Segurança em Redes de Computadores 16
17 Intranet VPN (Cont.) DMZ Servidores Públicos Correio Eletrônico World Wide Web FTP Escritório Principal Escritórios / Filiais Internet Firewall / Gateway Firewall / Gateway OSRC Segurança em Redes de Computadores 17
18 VPNs de Acesso Remoto Feita para gerenciar a comunicação segura entre redes corporativas e remotas ou empregados móveis Requisitos para a realização de VPNs de acesso remoto: Autenticação forte para verificação de redes remotas e e usuários móveis Gerenciamento centralizado Escalável para acomodar grupos de usuários OSRC Segurança em Redes de Computadores 18
19 VPNs de Acesso Remoto (Cont.) DMZ Servidores Públicos Correio Eletrônico World Wide Web FTP Escritório Principal Usuários Móveis Internet Firewall / Gateway OSRC Segurança em Redes de Computadores 19
20 Extranet VPNs Construídas para elaborar a comunicação segura entre a empresa e seus parceiros estratégicos, consumidores e fornecedores O projeto de uma Extranet VPN requer: Internet Protocol Security standard (IPSec) Controle de tráfego para previnir gargalos nos pontos de acessos remotos Entrega rápida e tempo de resposta para dados/aplicações críticas OSRC Segurança em Redes de Computadores 20
21 Extranet VPNs (Cont.) DMZ Servidores Públicos Correio Eletrônico World Wide Web FTP Escritório Principal Clientes Internet Parceiros Firewall / Gateway OSRC Segurança em Redes de Computadores 21
22 Implementação de VPN Uma implementação de uma VPN completa deve suportar todos os três tipos de VPN Uma VPN completa necessita incluir três componentes críticos: Segurança: incluindo controle de acesso, autenticação e criptografia QoS: controle do tráfego VPN pode incluir gerenciamento de largura de banda e aceleração de VPN para garantia de QoS Desempenho e Gerenciamento: pode incluir gerenciamento baseado em políticas OSRC Segurança em Redes de Computadores 22
23 VPN Completa Escritório Principal DMZ Servidores Públicos Correio Eletrônico World Wide Web FTP Clientes Internet Parceiros Firewall / Gateway Escritórios / Filiais Usuários Móveis OSRC Segurança em Redes de Computadores 23
24 OSRC Segurança em Redes de Computadores 24
25 Leitura Recomendada: Cert.Br: Northcutt, Stephen et all. Inside Network Perimeter Security: The Definitive Guide to Firewalls, Virtual Private Networks (VPNs), Routers, and Intrusion Detection Systems. Editora Sams Wack, John; Cutler, Ken & Pole, Jamie. SP800-41: Guidelines on Firewalls and Firewall Policy. NIST Zwicky, Elizabeth D. Construindo Firewalls para a Internet. 2ª Edição. Editora Campus Norma NBR-ISO/IEC Versão 2.0 SANS: OSRC Segurança em Redes de Computadores 25
26 Leitura Recomendada: (Cont.) RFC 2406: IP Encapsulating Security Payload (ESP) RFC 2407: The Internet IP Security Domain of Interpretation for ISAKMP RFC 2408: Internet Security Association and Key Management Protocol (ISAKMP) RFC 2409: The Internet Key Exchange (IKE) OSRC Segurança em Redes de Computadores 26