Segurança informática de redes e sistemas
Propaganda
Vulnerabilidades em Sistemas de Informação: (Discussão e História) [email protected] 02/07/2014 Cibersegurança: Questões Tecnológicas e Implicações Legais 1 Hipótese: Hoje como ontem as vulnerabilidades são as mesmas embora em diferentes tecnologias. • Vulnerabilidades – Vírus • Inicio dos anos 80: Primeira infecção do IBM PC • Mas o sabia-se como desde os anos 60 • Continuam a ser um grande problema 02/07/2014 Cibersegurança: Questões Tecnológicas e Implicações Legais 2 Hipótese: Hoje como ontem as vulnerabilidades são as mesmas embora em diferentes tecnologias. • Vulnerabilidades – Vírus – Worms • Worms rápidas – Code Red [2001] (IIE servers) (8 meses <0,5 Milhões) – Samy [2005] (MySpace) (20 horas; 1 Milhão) • Worms lentas – Stuxnet [2010] (Windows, SCADA, PLC, Controlo de motores) • Web2.0 worms – Worms lentas e específicas nas redes sociais 02/07/2014 Cibersegurança: Questões Tecnológicas e Implicações Legais 3 Hipótese: Hoje como ontem as vulnerabilidades são as mesmas embora em diferentes tecnologias. • Vulnerabilidades – Vírus – Worms – Phishing attacks • Autenticação • Ecrãs de login falsos nos terminais vt100 02/07/2014 Cibersegurança: Questões Tecnológicas e Implicações Legais 4 Hipótese: Hoje como ontem as vulnerabilidades são as mesmas embora em diferentes tecnologias. • Vulnerabilidades – – – – Vírus Worms Phishing attacks Cross-site • Script attacks (XSS) • Request Forgery attacks (CSRF) • Confused Deputy problem (Meados dos anos 80) 02/07/2014 Cibersegurança: Questões Tecnológicas e Implicações Legais 5 Cross-Site Request Forgery Ok, estás chumbado Vou fazer uma cópia exacta <img src= "http://bank.example/withdraw?account=bob&amount=1000000& for=mallory"> 02/07/2014 Cibersegurança: Questões Tecnológicas e Implicações Legais 6 Hipótese: Hoje como ontem as vulnerabilidades são as mesmas embora em diferentes tecnologias. • Vulnerabilidades – – – – – Virus Worms Phishing attacks Cross-site Code-injection attacks • PHP injection • SQL injection • Shell injection (Meados dos anos 80) 02/07/2014 Cibersegurança: Questões Tecnológicas e Implicações Legais 7 Hipótese: Hoje como ontem as vulnerabilidades são as mesmas embora em diferentes tecnologias. • Vulnerabilidades – – – – – – Vírus Worms Phishing attacks Cross-site Code-injection attacks Roubo de Credenciais • Passwords (e.g. Ataques de Dicionário) 02/07/2014 Cibersegurança: Questões Tecnológicas e Implicações Legais 8 Hipótese: Hoje como ontem as vulnerabilidades são as mesmas embora em diferentes tecnologias. • Vulnerabilidades – – – – – – Virus Worms Phishing attacks Cross-site Code-injection attacks Roubo de Credenciais • Passwords (e.g. Dictionary attacks) • Cookies (e.g. Firesheep) 02/07/2014 Cibersegurança: Questões Tecnológicas e Implicações Legais 9 Autenticação tipíca na web www.bank.com Token de autenticação 02/07/2014 www.bank.com Cibersegurança: Questões Tecnológicas e Implicações Legais 10 www.bank.com Firesheep attack 02/07/2014 Cibersegurança: Questões Tecnológicas e Implicações Legais 11 Hipótese: Hoje como ontem as vulnerabilidades são as mesmas embora em diferentes tecnologias. • Vulnerabilidades – – – – – – Vírus Worms Phishing attacks Cross-site Code-injection attacks Roubo de credenciais • Passwords (e.g. Dictionary attacks) • Cookies (e.g. Firesheep) 02/07/2014 Cibersegurança: Questões Tecnológicas e Implicações Legais 12 Hipótese: Hoje como ontem as vulnerabilidades Card Authentication são as mesmas embora em diferentes tecnologias. Send PIN Send PIN • Vulnerabilidades – – – – – – – Vírus PIN OK PIN OK Worms Ask for signature on T Phishing attacks NO PIN, Signed <Auth OK,T> Cross-site Signed<AuthOK,T> Code-injection attacks Authorization done Roubo de Credenciais Ataques de interposição • eIDAS – Electronic Identification and Signature – European Regulation (Approved 25th February) - Holder of Key Profile • Smartcards (e.g. Pin&Chip authentication broken [R. Anderson 2010] 02/07/2014 Cibersegurança: Questões Tecnológicas e Implicações Legais 13 Hipótese: Hoje como ontem as vulnerabilidades Card Authentication são as mesmas embora em diferentes tecnologias. Send PIN • Vulnerabilidades – Vírus PIN OK – Worms Ask for signature on T – Phishing attacks – Cross-site Signed<AuthOK,T> – Code-injection attacks – Roubo de Credenciais – Ataques de interposição PIN, Signed <Auth OK,T> Authorization done • eIDAS – Electronic Identification and Signature – European Regulation (Approved 25th February) - Holder of Key Profile • Smartcards (e.g. Pin&Chip authentication broken [R. Anderson 2010]) 02/07/2014 Cibersegurança: Questões Tecnológicas e Implicações Legais 14 Hipótese: Hoje como ontem as vulnerabilidades são as mesmas embora em diferentes tecnologias. • Vulnerabilidades – – – – – – – – Vírus Worms Phishing attacks Cross-site Code-injection attacks Roubo de Credenciais Ataques de Interposição Spoofing • IP • DNS (Kaminsky) 02/07/2014 Cibersegurança: Questões Tecnológicas e Implicações Legais 15 Qual o IP da www.ulisboa.pt Quem souber o IP da www.ulisboa.pt venha ter comigo e diga-me o IP e a senha de validação “1” O IP da O IP da www.microsoft.com é www.ulisboa.pt é X.X.X.X e o teu X.X.X.X e o teu segredo é “0” segredo é “1” 02/07/2014 Cibersegurança: Questões Tecnológicas e Implicações Legais 16 Hipótese: Hoje como ontem as vulnerabilidades são as mesmas embora em diferentes tecnologias. • Vulnerabilidades – – – – – – – – – Vírus Worms Phishing attacks Cross-site Code-injection attacks Roubo de Credenciais Ataques de interposição Spoofing DDoS • Estonia attack 2007 02/07/2014 Cibersegurança: Questões Tecnológicas e Implicações Legais 17 Hipótese: Hoje como ontem as vulnerabilidades são as mesmas embora em diferentes tecnologias. • Vulnerabilidades – – – – – – – – – – Virus Worms Phishing attacks Cross-site Code-injection attacks Roubo de Credenciais Spoofing Ataques de Interposição DDoS BotNets • Como usar a Web para criar um rede de Cmd&Ctrl 02/07/2014 Cibersegurança: Questões Tecnológicas e Implicações Legais 18 Questão Final • Sendo sempre o mesmo tipo de vulnerabilidades, porque não foram erradicadas? • Várias respostas: – A tese está errada e estamos perante novas vulnerabilidades resultantes da crescente complexidade da tecnologia; – A complexidade crescente das tecnologias esconde as vulnerabilidades; – Faltam profissionais capazes de detectar estas vulnerabilidades nas várias tecnologias. 02/07/2014 Cibersegurança: Questões Tecnológicas e Implicações Legais 19
