Segurança nos browsers

COMPUTERWORLD
Outubro 2010
Segurança nos browsers
Não há browsers completamente seguros, mas se estiverem actualizados nas correcções de falhas não oferece m
grandes hipóteses aos hackers. Contudo, o número de vulnerabilidades conhecidas de um browser aumenta com a
sua popularidade. E a sua complexidade leva-os a poder interagir com “seres” informáticos muito pouco saudáveis,
para os sistemas. Por isso restam duas hipóteses, e só a primeira dá garantias absolutas de segurança: deixar de
estar ligado à Web; ou escolher bem o browser, a usar
O nível de vulnerabilidade conta e a
frequência com a qual são
anunciadas falhas contribuem para a
maior componente do risco. Mas não
são os únicos factores.
Pág. 4
Hoje os browsers têm diferentes elementos
positivos ou negativos de segurança. Nenhum
oferece um remédio mágico contra as
ameaças. Veja como pode conseguir a sua
navegção na Internet mais segura.
Pág. 2
Como medir a
segurança do
browser
Segredos
das ligações
seguras
Apesar de muitos utilizadores não o
saberem, o browser desempenha uma
parte fundamental na determinação da
capacidade das cifras usadas entre o
cliente e um site HTTPS, protegido.
Pág. 7
Torne a sua
navegação na Web
mais segura
A ameaça
discreta do
JavaScript
Um site é susceptível a ataques de
XSS se permitir aos utilizadores
carregarem conteúdo para ser
partilhado com outros e não
inspeccionar esse conteúdo.
Pág. 8
Outubro 2010 - COMPUTERWORLD
2|
Comunicações Unificadas
Browsers
Torne a sua navegação
na Web mais segura
Hoje os browsers têm diferentes elementos positivos ou negativos de segurança. Nenhum oferece um remédio mágico
contra as ameaças. Veja como pode conseguir a sua navegção na Internet, mais segura.
Qual é o browser que oferece, com garantias absolutas, uma navegação
perfeitamente segura? A resposta é nenhum, claro. Se existe a necessidade de haver um computador completamente seguro, então a máquina
nem deve permitir o acesso à Internet. É
assim tão simples. Mas se as suas necessidades de segurança não são assim tão extremas,
há uma série de formas de tornar a navegação
na Internet, mais segura.
Os browsers são peças de software altamente
complexas, capazes de interagir com códigos
bastante elaborados, muitos dos quais não são
muito “saudáveis”. O número de vulnerabilidades conhecidas de um browser, está directamente ligado à sua popularidadede. Não há
surpresas nesse aspecto. Mesmo as alternativas mais seguras que o Internet Explorer, uma
reivindicação cada vez mais frequente entre os
seus concorrentes, têm dúzias de vulnerabilidades identificadas.
Hoje, uma grande porção dos ataques aos
computadores surge a partir de sites de boa
reputação, sujeitos a modificações nocivas.
Por conseguinte, limitar a navegação a um
conjunto desses sites não garante total segurança. E este problema tende a ficar pior e não
melhor nos próximos tempos.
Corrida à segurança
Os laboratórios de testes da IDG passaram vários meses a testar os browsers mais seguros –
o Internet Explorer, Firefox, Google Chrome,
Safari, e o Opera – com vários exercícios de segurança. Surpreendentemente, nenhum deles
permitia a instalação silenciosa ou discreta de
software nocivo nos sistemas de teste.
Por outras palavras, se um browser completamente corrigido estiver a correr num sistema
Windows (Windows XP Professional SP3) plenamente corrigido, então a melhor oportunidade do malware, será enganar o utilizador e
levá-lo a executar o código. Por isso, é que os
troianos baseados em engenharia social – adições de funcionalidades falsas para browsers,
antivírus falsos, etc – são tão comuns. Cuidado.
Usar um sistema com todas as correcções preveniu todos os ataques dissimulados e silenciosos. Embora os sites com software capaz de
explorar vulnerabilidades “zero-day” sejam
COMPUTERWORLD - Outubro 2010
uma minoria, podem atingir algumas pessoas. Apesar disso, foi difícil
encontrar sites com os quais fosse possível fazer bons testes. Mas também a maioria das pessoas deverá encontrar mais sites, preparados para
explorar vulnerabilidades com correcções já
emitidas.
Quase todos os sites nocivos usados nos testes
ofereciam um executável para instalar, habitualmente sob a forma de anti-malware ou
outro tipo de leitor de conteúdo. Para o sistema ficar infectado, era preciso, quase sempre, correr o executável.
Houve alguns sites que tentaram usar conteúdos “mal intencionados” para ludibriar o software de terceiras partes e levá-lo a executar
discretamente o código, mas isso era invulgar;
e quando o sistema estava completamente corrigido, nunca o fazia sem dar nas vistas. Mas
quando se instalou o malware, todos os browsers permitiram que o sistema anfitrião ficasse
comprometido.
Os resultados fundamentam a ideia de que a
melhor defesa contra os ataques é um sistema
completamente corrigido em todas as frentes
(no sistemas operativo, no browser, nas adições aos browser e todo o outro software), associado a uma formação de utilizadores capaz
de impedir a execução de código nocivo, que
pode parecer muito credível.
Quase todos os mecanismos de exploração de
falhas de segurança usam o JavaScript para
lançar o executável. É fácil desactivar o suporte ao JavaScript em todos os browsers excepto no Chrome, mas ao fazê-lo também se
pode causar vários problemas com uma grande
percentagem de sites legítimos. Desactivar o
Javascript faz sentido quando um mecanismo
de exploração de falhas ainda sem correcção é
lançado e se difunde rapidamente. A maioria
dessas situações mais sérias é corrigida em
dias, portanto o tempo de exposição dos sistemas é minimizado.
Outro resultado interessante: foi surpreendente
o número de funcionalidades de segurança
partilhadas pelos vários browsers (anti-phishing, controlo de cookies, anti-XSS, bloqueio
de pop-ups, detecção de download de ficheiros, entre outros). Cada browser também apresenta determinados pontos fortes, capazes de
seduzir diferentes utilizadores.CW
4|
Browsers
Como medir a segurança
de um browser
O nível de vulnerabilidade conta, e a frequência com a qual são anunciadas falhas de segurança contribuem para a maior componente do risco,
para um browser. Mas não são os únicos factores relevantes a considerar.
O modelo de segurança é um dos factores a merecer atenção na avaliação de um browser, além do
nível de vulnerabilidade e a frequência com a qual
são anunciadas falhas de segurança.
Modelo e segurança
Todos os browsers são desenvolvidos sobre uma
base essencial do fabricante que é o seu modelo de
segurança. Este modelo é o que mantém a parte
menos fiável da rede separada das zonas mais seguras.
Se houver malware capaz de explorar o browser,
com que facilidade pode comprometer todo o sistema? Que defesas foram incluídas no desenho estrutural do browser para prevenir a sua utilização
nociva? Como é que o redireccionamento mal intencionado (como o desenvolvimento através de vários domínios, sites e o roubo de “frames”) pode ser
evitado?
A memória está garantidamente segura e livre de
uma reutilização mal intencionada? O browser concede múltiplos domínios ou zonas com vários níveis
de funcionalidade nos quais se pode gravar diferentes sites, de acordo com o nível de confiança
neles depositado? Que protecções para o utilizador
final foram desenvolvidas no browser? Este consegue actualizar-se? Todas estas questões, e mais algumas ajudam a determinar a robustez de um
modelo de segurança de um browser
Quando correm sobre o Windows tiram vantagem do
Data Execution Prevention (DEP)? E se correm
sobre o Vista, usam a a virtualização de ficheiros e
de registo, os controlos de Mandatory Integrity, ou
o Address Space Layout Randomization? Estes tópicos exigem demasiado espaço para poderem ser
discutidos aqui, mas todos os quatro mecanismos
podem tornar mais difícil ao software nocivo ganhar
controlo sobre o sistema.
Funcionalidades e complexidade
Mais funcionalidades e maior complexidade são antíteses da segurança de um computador. Funcionalidades adicionais significam mais código disponível
para explorar com mais interacções inesperadas.
Um browser com um conjunto de funcionalidades
mínimo pode não ser capaz de disponibilizar sites
Como foram testados O MAIS SEGURO
As suites de testes baseados na Internet incluíram vários
sites de segurança de browsers, como o scanit e o Jason’s
Toolbox, vários sites de Javascript, Java e de bloqueio de popups; vários sites de desenvolvimento XSS, e vários sites de
teste de privacidade de browsers. A segurança da gestão das
passwords feita pelo browser foi testada usando o site Password Manager Evaluator Web e a segurança da gestão de
cookies foi testada usando o site da Gibson Research Corpora¬tion Cookie Forensics. Os certificados de Extended Validation foram sujeitos a provas com ligações disponibilizadas
no site do IIS7.
Qual é o browsers mais seguro? Nenhuma das aplicações permitiu infecções discretas e de forma indetectável, ou explorações
além dos simples ataques de negação de serviço. Todos os browsers neutralizaram os vários ataques a que foram sujeitos.
E os ataques a partir de falhas sem correcção conhecida, puderam infectar um browser em particular durante determinado período de tempo, mas todos os browsers têm este mesmo risco, e todos os fabricantes de browsers são razoavelmente consistentes na correcção de problemas graves, atempadamente.
Qualquer browser, devidamente corrigido pode ser usado de forma relativamente segura. Contudo, no caso de um utilizador ser
enganado, e levado a correr um executável nocivo, cada browser permitia ao sistema, ser infectado e comprometido.
Os browsers foram dirigidos para sites conhecidos como repositórios de malware activo, incluindo o ShadowServer.
Foram acedidos dezenas de sites de phishing, cortesia do
PhishTank e outros sites. Usou-se o Process Explorer para monitorizar os processos locais e os recursos durante a instalação e o decorrer das operações. Fez-se também a
monitorização do tráfego da rede usando o Microsoft Network
Monitor ou o Wireshark com especial atenção para as fugas
de informação.
Em vez de apontar um browser como sendo mais fraco do que o outro, a partir de testes efectuados percebeu-se que os utilizadores devem escolher um browser com funcionalidades de segurança e características que eles desejem, e implementem as seguintes sugestões:
Finalmente, os testes de vulnerabilidade públicos usados
para estudar os browsers incluíram o Metsploit e o
milw0rm.com. As estatísticas sobre vulnerabilidades foram
obtidas da Secunia.com ou da CVE. Além disso, os browsers
foram usados durante várias semanas para testar o uso generalizado, os intervalos de emissão de correcções e outras
funcionalidades.
– Não se deixe enganar por código malicioso;
COMPUTERWORLD - Outubro 2010
CINCO DICAS
– Não comece a usar um computador como administrador ou “root” quando está a correr um browser de Internet;
– Certifique-se de que o browser, o sistema operative, e todos os elementos adicionais e Plug-ins têm as falhas completamente
corrigidas;
– Se for desafiado a instalar software de terceiras partes, de repente, quando está a navegar por um site, abra outra janela e descarregue o software exigido directamente das páginas do fabricante;
– Cuidado com as funcionalidades adicionais e os plug-ins que usa. Muitas não são seguras, são até muito inseguras, e algumas são até malware disfarçado.
Browsers
É difícil o
desenvolvimento de
um browser robusto
|5
populares o que força o utilizador a usar outro browser ou a instalar componentes adicionais inseguros.
Os mais populares são vulgarmente explorados por
programadores de software nocivo.
Zonas definidas pelo utilizador (também conhecidas como domínios de segurança) são também funcionalidades importantes.
Em última instância, menos funcionalidades representam melhor segurança. As zonas de segurança
oferecem uma forma de classificar vários sites como
mais fiáveis, e logo, mais adequados para uma
maior funcionalidade. O utilizador deve ser capaz
de confiar nos sites da companhia muito mais do
que num site com uma oferta de software pirateado
ou uma pequena página de um site disponibilizado
por quem não se conhece.
As zonas de segurança permitem a definição de várias configurações de segurança e de funcionalidades baseadas na localização do site, do domínio ou
do endereço IP.
Os domínios de segurança são usados em qualquer
produto de segurança (firewalls, IPSes, entre outros) para implantar ligações de segurança e áreas
de confiança por defeito. Ter uma zona de segurança num browser, alarga esse modelo. Os browsers sem zonas de segurança encorajam de levar o
utilizador a tratar todos os sites com o mesmo nível
de confiança – ao mesmo tempo que obrigam a reconfigurar o browser para os sites de menor confiança antes de cada visita.
Anúncios de vulnerabilidade e ataques
Como é que muitas vulnerabilidades têm sido encontradas e publicamente anunciadas contra o produto de browser?
O número de vulnerabilidades está a crescer ou a
decrescer à medida que os fabricantes corrigem os
browsers? Que severidade adquiriram as vulnerabilidades? Comprometem todo o sistema ou desencadeiam a negação de serviço?
Quantas vulnerabilidades estão actualmente sem
correcção? Qual é a história dos ataques de “zeroday” dos quais o fabricante foi vítima? Com que frequência um browser de um fabricante é alvo, em
comparação com outro browser?
Testes de segurança de browser
Como reagiram os mecanismos do browser nos testes com suites específicas para isso? Todos os produtos passaram nos testes efectuados mais
conhecidos localizados na Internet, de forma que
cada elemento foi exposta a dezenas de sites nocivos. Frequentemente, o resultado não foi muito
bom. Com os testes efectuados, o browser fechouse ou um conteúdo duvidoso reinícios de sistemas
completos, entre outros problemas.
Funcionalidades de gestão empresariais
Geralmente é fácil tornar seguro um browser num
sistema de uso pessoal, mas fazer isso para uma
empresa inteira exige ferramentas especiais. Se os
browsers forem seleccionados para uso empresarial,
com que facilidade são instalados, configurar e
gerir configurações para todos os utilizadores?CW
Embora haja muita segurança na utilização de software menos
frequentemente atacado, uma questão mais pertinente passa por saber
qual é a escolha mais segura entre os browsers mais populares.
Muitas autoridades em segurança recomendariam qualquer browser menos o Internet Explorer como melhor
elemento de segurança. Embora usar software menos frequentemente atacado seja uma boa política de segurança, uma questão mais pertinente passa por saber qual é a escolha mais segura entre os browsers mais
populares? Quais são as melhores funcionalidades de segurança para um browser, e quais são as vulnerabilidades que precisam de atenção?
Cada nova entrada de browser promete tradicionalmente uma experiência de navegação mais segura, na Internet. Mas acabam quase sempre por provar como é difícil desenvolver um browser verdadeiramente seguro.
Cada um dos browsers mais populares tem dúzias de vulnerabilidades corrigidas. Mesmo o mais recente, o
Chrome, lançado em versão beta durante o mês de Setembro de 2008, tem mais de dez vulnerabilidades.
O testemunho mais forte sobre como é difícil fazer um browser seguro é o facto de até o browser Lynx, apenas para texto, o mais simples que um browser pode ser (não corre imagens nem vídeo, sem o auxílio de programas externos), teve cinco vulnerabilidades. Se os atacantes podem causar o esgotamento de buffers num
browser de texto, qualquer um mais complexo terá os seus problemas.
Em geral, os gestores têm de considerar todo o browser ligado à Web como sendo de alto risco. Em todos os
ambientes de alta segurança, os browsers não podem correr ou apresentar conteúdo da Internet. Mas assumindo que as necessidades empresariais de navegação na Web exigem um browser com um nível aceitável
de segurança, vale a pena continuar a ler o artigo.CW
O mínimo necessário
Um browser seguro tem de incluir, pelos menos, as seguintes características:
– Ter sido desenvolvido usando técnicas de Security Development Lifecycle (SDL);
– Ter sido objecto de revisões e testes informais com software normal;
– Separar em termos lógicos a rede e os domínios locais de segurança;
– Evitar o controlo remoto fácil e malicioso;
– Prevenir o redireccionamento malicioso;
– Ter medidas de segurança por defeito;
– Permitir a confirmação de qualquer descarregamento de ficheiros ou execuções;
– Prevenir a obscuridade do URL;
– Conter funcionalidades de esgotamento de buffer;
– Suportar protocolos comuns de segurança (SSL,TLS, etc.) e de cifragem (3DES, AES, RSA, etc.).
– Suportar Extended Validation, ou EV, certificados digitais. Os browsers capazes de suportar certificados de EV apresentam um ícone
especial, ou uma sombra na barra de endereços, quando um utilizador navega para um site cuja segurança é garantida por um;
– Instalar correcções e actualizações automaticamente (com o consentimento do utilizador);
– Ter um bloqueador de pop-up;
– Utiliza um filtro anti-phishing;
– Prevenir a utilização nociva e não autorizada de cookies de sites;
– Evitar o roubo de endereços URL;
– Providenciar zonas de segurança/ domínios para segregar a confiança e funcionalidades;
– Proteger as credenciais de autenticação do utilizador nos sites durante o armazenamento e a utilização;
– Permitir a activação e desactivação fácil de adições aos browsers;
– Evitar a utilização mal intencionada de janelas;
– Oferecer controlos de privacidade;
– Ter sido testado por hackers durante um período de tempo suficiente.
Outubro 2010 - COMPUTERWORLD
6|
Browsers
Navegar com controlos de integridade
Finalmente, os sistemas operativos adoptaram mecanismos de controlo de integridade nos quais os princípios
de segurança são etiquetas Mandatory Integrity Controls (MIC).
O Windows 7 e o Windows Vista têm um sistema incorporado chamado Mandatory Integrity Controls
(MIC), semelhante a uma funcionalidade de integridade há muito disponível no mundo do Linux e
Unix. Nestas últimas versões do Windows, todos os
princípios de segurança (utilizadores, computadores, serviços, etc) e objectos (ficheiros, chaves de
registo, pastas recursos, etc) são etiquetas MIC.
Neste universo, um assunto de menor integridade
não pode modificar (escrever ou apagar) um objecto
de alta integridade, mesmo que as permissões
NTFS o permitam. Talvez de forma surpreendente,
os MIC são prioritários face às tradicionais permissões, e é crítico que o sejam.
Os princípios de segurança são MIC na forma de
SIDs, ou identificadores de segurança, acrescentados aos tokens de acesso, durante o processo de
autenticação. Os objectos têm etiquetas MIC armazenados como parte dos seus controlos de acesso
(especificamente dentro da porção System Access
Control List, onde os atributos de auditoria são também armazenados). Quando um responsável de segurança (ou um processo em nome do responsável
de segurança) tenta aceder a um objecto, os dois
MIC são verificados e a sua integridade é avaliada.
Apesar de existirem muitos níveis de integridade, o
Windows usa regularmente seis valores de etiqueta
incluindo (do mais baixo para o mais elevado): “Untrusted”, “Low”, “Médium”, “High”, “System”, e
“Trusted”. Os utilizadores normais têm uma integridade média. O utilizador anónimo “Não tem credibilidade”. O administrador integrado por defeito e
membros do grupo de administradores têm integridade elevada. O núcleo do sistema Windows e os
ficheiros de serviços têm o estatuto de sistema.
A maioria dos browsers correm com o nível médio
de integridade por omissão. Os programas adicionais, normalmente correm com um nível de médio
ou alta integridade. Embora o Internet Explorer
tenha sido o primeiro browser a suportar MIC, o
Chrome usa-os normalmente de uma forma mais
ampla. Ao mesmo tempo que previne menos ins-
crições de integridade, previne menos leituras de
integridade.
O propósito dos controlos de integridade, é dar ao
Windows outra camada de defesa contra hackers.
Por exemplo, se um esgotamento de buffer resultar
no encerramento do Internet Explorer (e não um
programa adicional de uma terceira parte ou uma
barra de ferramentas), o processo vai frequentemente, ter um nível de integridade baixo e será impossível modificar os ficheiros do Windows. Esta é
a principal razão para muitas explorações de vulne-
rabilidades do Internet Explorer terem merecido a
classificação de “Importante” para o Vista e mais
alto ainda, “Critical” para o Windows XP.
Todos os browsers de Internet devem fazer uso de
controlos de integridade no Windows 7 e Vista,
tanto quanto possível. A sua utilização melhora a
protecção do utilizador final. E os browsers a correrem em modo de integridade “Low” (por exemplo,
o Chrome, o Internet Explorer) a oferecer protecções adicionais que os outros não oferecem, mas
deviam.CW
COMPUTERWORLD
PROPRIEDADE
RUA GENERAL FIRMINO MIGUEL, Nº 3 TORRE 2 - 3º PISO 1600-100 LISBOA DIRECTOR EDITORIAL: PEDRO FONSECA [email protected] EDITOR: JOÃO PAULO NÓBREGA [email protected]
DIRECTOR COMERCIAL E DE PUBLICIDADE: PAULO FERNANDES [email protected] TELEF. 210 410 329 – FAX 210 410 303 PAGINAÇÃO: PAULO COELHO [email protected] TODOS OS DIREITOS SÃO RESERVADOS.
O Computerworld‚ detém um acordo de licenciamento com a IDG, o líder mundial em media, estudos de mercado e exposições na área das tecnologias de informação (TI). Fundada em 1964, a IDG possui mais de 9.000 funcionários em todo o mundo. A IDG
oferece o mais vasto leque de opções de media, os quais atingem consumidores de TIs em mais de 90 países, os quais representam 95% dos gastos mundiais em TIs. O portfolio de produtos e serviços abrange seis áreas chave: publicações impressas, publicações
online, exposições e conferências, estudos de mercado, formação, e serviços de marketing globais. Mais de 90 milhões de pessoas lêem uma ou mais das 290 revistas e jornais da IDG, incluindo as pertencentes às principais famílias -Computerworld, PC World,
Network World, Macworld e Channel World. A IDG Books Worldwide é o editor de livros de informática com mais rápido crescimento a nível mundial, com mais de 700 títulos in 38 línguas. Só a série “... For Dummies” tem mais de 50 milhões de cópias em impressão. Através da IDG.net (http://www.idg.net),
a IDG oferece aos utilizadores online a maior rede de sites Internet especializados em todo o mundo. Esta compreende mais de 225 sites Internet em 55 países. A International Data Corporation (IDC) é o maior fornecedor mundial de informações sobre TIs, de análise e consulta, possuindo centros de pesquisa em 41 países e mais de 400 analistas em todo o mundo. A IDG World Expo é um produtor de primeira linha de mais de 168 conferências e exposições com marca própria, abarcando 35 países e incluindo a E3 (Electronic Entertainment Expo), Macworld Expo, ComNet, Windows World Expo, ICE (Internet
Commerce Expo), Agenda, DEMO, and Spotlight. ExecuTrain, a subsidiária de formação da IDG, é a maior empresa do mundo na área da formação em informática, com mais de 230 instalações em todo o mundo e 785 cursos. A IDG Marketing Services ajuda empresas de topo na área das TIs a construir
uma imagem reconhecida internacionalmente. Para isso desenvolve programas globais de marketing integrado, através das exposições e das suas publicações impressas e online. Pode encontrar mais informações do grupo IDG no site www.idg.com.
COMPUTERWORLD - Outubro 2010
Browsers
|7
Segredos de ligações seguras
Apesar de muitos utilizadores não o saberem, o browser desempenha uma parte fundamental na
determinação da capacidade das cifras usadas entre o dispositivo cliente e um site HTTPS protegido.
As chaves de encriptação usadas nas negociações
entre SSL/TLS (Secure Sockets Layer/Transport
Layer Security) podem classificar-se entre fortes e
fracas, envolvendo cifras assimétricas, simétricas,
algoritmos de troca de chaves, e funções hash. O
browser tem uma acção fundamental na determinação da capacidade das cifras usadas.
O protocolo SSL foi substituído pelo TLS 1.0 como padrão HTTPS. É possível em muitos browsers, seleccionar quais as versões SSL e TLS activadas. Qualquer
browser usado deverá suportar o TLS, e oferecê-lo por
omissão para sites protegidos com HTTPS. A maioria
dos browsers ainda suporta o SSL v.3.0, o mais forte,
a seguir ao TLS. Muitos ainda suportam o SSL v 2.0,
mas outros têm-no desactivado, por defeito. O protocolo SSL v.1.0 é considerado inseguro hoje, apesar de
alguns browsers ainda o usarem.
Tamanho das chaves
O tamanho das chaves oscila entre os 40 bits (o padrão SSL antigo) para o 512 bits (muito forte). A
extensão das chaves de 128 bits a 256 bits são
Cifras
As cifras TLS/SSL simétricas, por
ordem de robustez, da mais forte
para a mais fraca:
– Advanced Encryption Standard
(AES);
– Triple DES (3DES) ;
– RC4, Data Encryption Standard
(DES)
– RC2.
Todos os browsers actuais devem
oferecer AES como o seu protocolo
simétrico por defeito, tendo depois
o 3DES como backup. Os outros
protocolos devem ser usados apenas como suporte de sistemas herdados ou usados na impossibilidade
de usar os outros.
As cifras TLS/SSL assimétricas,
por ordem de robustez, da mais
forte para o mais fraco:
– Elliptical Curve Cryptography
(ECC);
– Rivest Shamir Adleman (RSA);
– Diffie Hellman (DH, or DHE for
key exchange).
consideradas seguras para a maioria das operações
normais de segurança. As chaves de 256-bit são
cada vez mais comuns, embora as chaves de 128
bits são ainda as mais populares.
Em geral, as chaves mais compridas são mais fortes dentro de uma determinada cifra. Por exemplo,
uma chave AES de 256 bits é mais robusta do que
uma chave AES de 128 bits. Contudo não se pode
usar sempre o tamanho de uma chave como medida de segurança entre famílias de cifras. Por
exemplo, uma ECC de 384 bits é considerada mais
segura do que uma
Diffie-Hellman de 1024bits. Além disso, pode ter
uma cifra realmente horrível com uma cifra realmente muito longa e ainda ter uma protecção
muito pobre.
Com efeito, os utilizadores deveriam preocupar-se
mais com as novas cifras anunciadas por determinadas fontes questionáveis, cujo argumento são
chaves muito longas. Uma boa cifra não precisa de
cifras muito compridas (por exemplo, um milhão de
bits, etc.). Uma boa cifra não necessita de uma
chave muito comprida. Se o algoritmo for bom, podemde ser usadas chaves mais pequenas e a cifra
pode manter-se muito forte.
CIFRAS PREFERIDAS
Quando um browser se liga a um site protegido por
SSL/TLS, o primeiro pacote do contacto SSL inclui
a ordem de cifras preferida do browser, incluindo
todas as cifras suportadas pelo browser.
Tanto o dispositivo cliente como o site têm de concordar quanto às cifras que vão utilizar antes de
continuarem.
Com alguma sorte, o site deverá escolher a cifra
mais forte suportada pelo dispositivo cliente.
Ao oferecer, a cifra mais robusta primeiro, o browser aumenta a possibilidade do servidor escolhê-lo
se o suportar. Usar uma cifra mais forte mostra o
compromisso do fabricante com a força da cifra.
Ainda assim, não é invulgar ver um fabricante suportar cifras muito fortes mas oferecer cifras mais
fracas, mais populares primeiro. Isto pode acelerar
as negociações de SSL/TLS.CW
Funções
“hash”
As funções “hash” mais comuns por
ordem de robustez, do mais fraco
para o mais forte (normalmente)
–
–
–
–
–
SHA-512;
SHA-384;
SHA-256;
SHA-1;
MD5;
As MD5 e SHA-1, as mais usadas,
têm algumas fraquezas criptográficas demonstradas e como tal os
especialistas em cifragem recomendam funções mais fortes. Dos
dois, o MD5 apresenta maiores
vulnerabilidades de criptografia. Recentemente, demonstrou-se que
os certificados digitais assinados
usando as “hashes” MD5 não são
de fiar. Os utilizadores deveriam
evitar a cifragem baseada em
MD5, e tentar usar o SHA-2 (a família SHA-256, SHA-384, SHA512) sempre que possível.
Outubro 2010 - COMPUTERWORLD
8|
Browsers
A ameaça
do
JavaScript
Um site é susceptível a
ataques de XSS se permitir
aos utilizadores carregarem
conteúdo para ser partilhado
com outros e não inspeccionar
esse conteúdo.
A Internet está cheia de avisos de “cross-site
scripting” (XSS). Na essência, o XSS refere-se a
uma injecção de código JavaScript numa página
de um site aparentemente inofensivo e credível.
Aí pode ser executado em browsers de visitantes
inocentes. Um site é susceptível a ataques de XSS
se permitir aos utilizadores carregarem conteúdo
para ser partilhado com outros e não inspeccionar
esse conteúdo de forma exaustiva para remover
potenciais scripts nocivos.
Tome-se como exemplo, um site que aloja um blog
capaz de receber contributos de visitantes. Tudo o
que se pretendia era permitir que os utilizadores
pudessem carregar texto simples e nunca pensou
na possibilidade de isso também permitir o scripting. Devido a esta distracção, o programador
nunca pensa em filtrar o conteúdo. Erro grave.
Um teste de script vulgarmente usado para determinar se um site é vulnerável a ataques de XSS:
<SCRIPT>alert(“XSS is possible”);</SCRIPT>. No
caso de se conseguir carregar o conteúdo para o
site, e se ver o alerta quando a página é vista,
então o site é vulnerável a um ataque XSS. Um excelente tutorial sobre os vários aspectos do XSS
está disponível no site Open Web Application Security Project.
Qual é a gravidade de executar alguns comandos
JavaScript? Afinal a execução de JavaScript pode
apenas fazer o que for permitido ao utilizador no
seu contexto de segurança , certo?
Infelizmente, podem ser executadas muitas acções
nocivas no contexto do utilizador, especialmente
quando a maioria dos utilizadores de Windows
estão a usar os sistemas de computador como administradores. Os ataques XSS têm sido muito
bem sucedidos a transporem os limites do browser
para roubar informação confidencial que o utilizador não pretenderia partilhar. Em alguns casos,
podem causar esgotamentos do buffer e mesmo
comprometer todo o sistema.CW
COMPUTERWORLD - Outubro 2010
www.ptprime.pt
IMAGINE EM QUE
PARTE DO MUNDO
A SUA ORGANIZAÇÃO
VAI ESTAR HOJE.
IMAGINE PORQUE É POSSÍVEL.
Muitas vezes, distância, tempo e custos apresentam-se como
um obstáculo para a expansão das Organizações. A PT Prime
disponibiliza soluções que permitem comunicar sem barreiras
e colaborar em tempo real, em qualquer parte do mundo,
de uma forma tão real como se estivesse fisicamente lá.
É fácil imaginar uma solução que promove a produtividade
da sua Organização. E o melhor é que é possível.
TELEPRESENÇA . VIDEOCONFERÊNCIA . AUDIOCONFERÊNCIA
UM MUNDO DE POSSIBILIDADES