Redes Firewall

SEGURANÇA EM REDES

As redes de computadores de meio físico compartilhado tem vários problemas quanto a segurança. Basicamente estes problemas são decorrentes do fato de que todas as máquinas ligadas à rede compartilham o mesmo meio físico e podem, arbitrariamente ler ou alterar mensagens que não lhes dizem respeito. Não há, então, privacidade nos dados e nem a certeza que uma mensagem colocada na rede para que uma determinada máquina leia será lida tão somente por ela. Além do mais, o endereço origem destas mensagens podem ser facilmente falsificados, sendo possível que uma máquina se passe por outra, para beneficiar-se do nível de segurança existente em uma sub-rede, por que geralmente máquinas de uma mesma sub-rede "confiam" umas nas outras. Para garantir a privacidade dos dados de forma que somente as máquinas envolvidas na comunicação tenham acesso a elas, faz-se uso de de algoritmos de criptografia. Técnicas mais modernas como o uso de Firewall podem resolver problemas de falsificação de endereços e evitar a entrada de mensagens maliciosas.

Cada dia mais e mais pessoas acessam redes de computadores. Sem dúvida a mais popularizada é a Internet. Com ela você pode colocar informações em sua máquina e disponibizá-las para todo o mundo. Em uma empresa, por exemplo, você pode ter sua pequena rede de computadores PC?s diretamente conectada ao resto do mundo. Coisas como receber um pedido de compra via Internet, confirmar o pedido via e-mail e imediatamente dar baixa do produto no estoque ao mesmo tempo que sinaliza ao Departamento de entregas, para que o mesmo empacote e envie a mercadoria ao cliente; isto já há muito deixou de ser ficção. É o Shopping Virtual!

Entretanto, ao conectar-mos uma rede em outra (como no caso da Internet) temos que estar certos que somente as informações "públicas" estarão disponíveis. Sofisticados dispositivos devem garantir o sigilo das operações. E mesmo em uma rede privada, fisicamente localizada em um prédio, não podemos permitir que usuários não autorizados acessem dados confidenciais.

Os problemas relacionados com a segurança de redes e as maneiras de solucioná-los são o objetivo deste texto. Inicialmente será comentado os problemas de segurança referente ao tipo de rede mais comum, as que utilizam meio físico compartilhado (CSMA/CD, Token Ring, etc) e em seguida as técnicas disponíveis para melhor a confiabilidade (em termos de segurança) destas redes seja por emprego de criptografia ou através de Firewalls. Será apresentado alguns exemplos de técnicas de criptografia e seu emprego no estabelecimento de conexões confiáveis.

Problemas de segurança

Os problemas de segurança geralmente referem-se ao sigilo e a identidade. O Sigilo diz respeito a quais informações estarão disponíveis para quais usuários. Isto pode ser feito através de atribuições de direitos para cada usuário [BER97]. A identificação consiste em verificar a autenticidade deste usuário. Se um usuário envia um pedido, por exemplo, de um relatório a uma máquina, esta deve então, de alguma forma, "saber" quem é este usuário (identidade) e, ainda, se este usuário, sendo quem é, tem direitos de requerer este relatório (permissão). Ao tratarmos de uma rede, podemos considerar usuários como máquinas e aplicarmos os mesmos conceitos descritos acima. Quando uma máquina envia um pacote à outra, junto a este pacote vai um identificador de sua origem, o seu endereço, por exemplo. Com esta informação a máquina de destino saberá qual é a máquina que enviou este pacote e pode então, fornecer ou não as informações requeridas, dependendo dos direitos atribuídos a máquina origem.

Sigilo de pacotes

Em uma rede de meio físico compartilhado, cada máquina fica constantemente "escutando" o que passa pelo canal (figura 2.1). Se determinada mensagem é destinada à ela, a mesma é retirada e tratada devidamente. Senão, ela é simplesmente ignorada. Além disso, uma rede que implemente "Broad Cast" cada máquina pode ler uma mensagem destinada à ela sem retirá-la do meio para que as outras também possam lê-la [TAN97].

É interessante notar, porém, que todas as máquinas que compartilham este meio físico podem manipular qualquer uma das mensagens, independente se esta é ou não para ela. Nada impede que uma máquina retire mensagens que não lhe pertencem vendo seu conteúdo ou mesmo até alterando-o. Programas instalados nestas máquinas com esta finalidade recebem o nome de "Sniffers" e não raramente ficam monitorando os primeiros pacotes enviados de uma máquina para outra tentando descobrir os passos usados pelo usuário para o conexão, inclusive a senha utilizada no login. Em uma rede pequena, limitada a uma sala ou prédio, é fácil evitar este problema, limitando o acesso somente à usuários confiáveis. Em empresas maiores e mais preocupadas com segurança, onde seus cabos passam por diversos locais, talvez até atravessando ruas e avenidas, encontraremos medidas mais rígidas, como, por exemplo, a passagem dos cabos de rede por dutos pressurizados, impedindo que alguém os viole para a implantação de "grampos" (a conexão de uma outra máquina que não pertence a rede inicial). Em caso de violação destes dutos, o mesmo seria despressurizado e um alarme soaria.

Autentificação de pacotes

O que define a origem da máquina que envia determinada mensagem é o seu endereço. Mas como garantir que a mensagem vindo de uma máquina "X" realmente foi gerada por esta máquina e não por uma outra qualquer. Facilmente pode-se alterar o endereço desta mensagem, fazendo a máquina destino "pensar" que foi originada pela máquina?X?. Isto pode ser útil aos invasores para ganhar a confiança das máquinas invadidas, pois geralmente os níveis de segurança são mais baixos ou mesmo inexistentes para máquinas consideradas "confiáveis", tipicamente as de uma mesma sub-rede. Uma maneira de solucionar estes problemas é através de filtros, conhecidos como Firewalls.

PERMISSÕES E SENHAS:

Todo usuário para acessar os dados da rede da Fundação Modelo, devera possuir um login e senha previamente cadastrados pelo pessoal de TI.

Quem deve fornecer os dados referentes aos direitos do usuário é o responsável direto pela sua chefia, que deve preencher uma ficha e entregá-la ao departamento de RH. Quando da necessidade de cadastramento de um novo usuário para utilização da "rede", sistemas