[VPN] Funções e Fundamentos | Minissérie Sobre VPN [3/5]
A utilização de Redes Privadas Virtuais representa uma alternativa bastante interessante na racionalização dos custos de redes corporativas oferecendo “confidencialidade” e “integridade” no transporte de informações através de redes públicas. Nesta etapa veremos as funções básicas de uma VPN e sua importância para manutenção dos principais Pilares da Segurança da Informação (SI).
Vimos até aqui, vários aspectos que norteiam a implementação de um serviço de VPN, seja para uma corporação ou mesmo para um usuário final. A utilização de VPNs traz tanto benefícios quanto certas implicações que devem ser levadas a sério e ponderadas no momento da elaboração das políticas de segurança e infraestrutura de uma rede corporativa. Para um usuário doméstico, leva-se em conta o risco de ter seus dados pessoais espalhados na rede.
Índice
Os Pilares da Segurança da Informação
Esta minissérie aborta o tema VPN como foco principal, mas falar de VPN sem citar os principais pilares da Segurança da Informação é tomar um atalho esburacado em nossa política. Infelizmente, discorrer sobre SI também é um assunto complexo e não iremos entrar em muitos destalhe aqui nesta minissérie.
Em termos mais gerais e conceituais, o grande objetivo da Segurança da Informação é proteger a informação e não os ativos tecnológicos (equipamentos por exemplo) pelos quais ela passa ou onde está armazenada.
SI é a disciplina que visa preservar a confidencialidade, a integridade e a disponibilidade da informação (CID). (Ticiano Benetti, Profissionais de TI).
Em resumo temos cinco princípios:
- Confidencialidade: garantir que a informação não será conhecida por pessoas que não estejam autorizadas para tal, ou seja, limita o acesso a informação tão somente às entidades legítimas, àquelas autorizadas pelo proprietário da informação;
- Integridade: garantir que a informação armazenada ou transferida está correta e é apresentada corretamente para quem a consulta. Este princípio que garante que a informação manipulada mantenha todas as características originais estabelecidas pelo proprietário da informação;
- Disponibilidade: garantir que a informação possa ser obtida sempre que for necessário, isto é, que esteja sempre disponível para quem precisar dela no exercício de suas funções;
- Autenticidade: entende-se por autenticidade a certeza absoluta de que um objeto (em análise) provém das fontes anunciadas;
- Irretratabilidade (não-repúdio): Impossibilidade de negar a autoria em relação a uma transação anteriormente feita. Garantia de que a informação não será negada.
O estabelecimento de um Programa de Políticas de Segurança da Informação em qualquer corporação, deve passar sempre por ações que norteiem esses princípios. Tal modelo deve estar amparado por um Sistema de Gestão de Segurança da Informação que precisa ser planejado e organizado, implementado, mantido e monitorado. (Marco Aurélio Maia, Blog Módulo – Segurança da Informação).
Funções Básicas da VPN
Conforme já fora visto, utilizando a infraestrutura das redes públicas, os custos tendem a cair se comparados aos obtidos com a implantação de redes privadas, sendo este, justamente o grande estímulo para o uso de VPNs. Entretanto, para que esta abordagem se torne efetiva, a VPN deve prover um conjunto de funções que alicercem os Pilares da Segurança da Informação: Confidencialidade, Integridade e Autenticidade. (MIRANDA, 2002).
Confidencialidade
A informação trafegada não deve ser conhecida por outras pessoas. Trafegar informações confidenciais sobre negócios estratégicos e novos projetos em redes públicas, sem a devida segurança, pode resultar em prejuízos imensuráveis.
O primeiro problema que pode ocorrer com a utilização da rede pública é a possibilidade de abuso do packet sniffing, onde uma pessoa mal-intencionada pode capturar pacotes contendo informações das organizações, comprometendo, assim, seu sigilo, podendo ainda ser estendido à perda de integridade. É imprescindível que os dados que trafeguem sejam absolutamente privados, de forma que, mesmo que sejam capturados, não possam ser entendidos por terceiros.
Integridade
Em uma possível captura dos dados trafegados, é necessário garantir que estes não sejam adulterados e re-encaminhados, de tal forma que quaisquer tentativas nesse sentido não tenham sucesso, permitindo que somente dados válidos sejam recebidos pelas aplicações suportadas pela VPN. A possibilidade de um ataque ativo à conexão por TCP, não é impossível e em muitos casos é até comum, de modo que sua integridade possa ser comprometida. Logo, políticas bem elaboradas que possam garantir a Integridade devem ser levadas a sério.
Autenticidade
Somente usuários e equipamentos que tenham sido autorizados a fazer parte de uma determinada VPN é que podem trocar dados entre si; ou seja, um elemento de uma VPN somente reconhecerá dados originados por um segundo elemento que seguramente tenha autorização para fazer parte da VPN. Aqui temos ainda um tipo de ataque comum e rotineiro que é o IP Spoofing, onde um usuário pode se passar por outro, causando problemas de autenticação e autorização.
Percebam que em todas funções a informação é o principal ativo de uma corporação e uma VPN deve ser capaz de garantir estes serviços quando implementada.
Os Fundamentos da VPN
De acordo com Nakamura e Geos (2007), os principais conceitos que fundamentam a VPN são a criptografia e o tunelamento. A criptografia é utilizada para garantir a autenticidade, o sigilo e a integridade das conexões além de ser a base da segurança dos túneis VPN.
Se tomarmos como referência a Camada 3 do modelo ISO/OSI, a criptografia é independente da rede e da aplicação, podendo ser aplicada em qualquer forma de comunicação possível de ser roteada, como voz, vídeo e dados. (NAKAMURA; GEUS, 2007).
O túnel VPN é formado pelo tunelamento, por meio da criação de um túnel virtual formado entre as duas partes da conexão. Pode-se considerar, portanto, que uma VPN é formada pelo conjunto do tunelamento, o qual permite o tráfego em uma rede pública, e da criptografia, que visa garantir a segurança dessa conexão. Vale ressaltar que além do tunelamento e da criptografia, outras características fundamentais que devem ser consideradas na implementação de uma VPN são o gerenciamento e o controle de tráfego. (NAKAMURA; GEUS, 2007).
Conclusão
O estudo da Segurança da Informação e a elaboração de políticas aplicáveis em uma corporação é de vital importância para a correta manutenção e implementação de uma VPN. Percebe-se ao longo do tempo que quanto maior a segurança implementada, maior também é o trabalho de configuração e maior a quantidade de ataques envolvidos em derrubar o sistema.
O principal ativo seja de uma corporação ou um usuário final é a “informação”. Mesmo um usuário final, que utiliza uma VPN independente do motivo, não quer que seus dados sejam divulgados por terceiros. Por isso, deve-se sempre atentar para que implementação de uma VPN não fuja de suas principais funções e garanta o mínimo necessário a difucultar uma quebra de segurança.
Na próxima parte desta minissérie abordaremos com mais detelhas o tipos de VPN, protocolos envolvidos e configurações básicas.
PARTE 2 – OBJETIVOS | VISUALIZAR TODOS | PARTE 4 – TIPOS E CONFIGURAÇÕES
Viu algum erro ou gostaria de adicionar alguma sugestão a essa ou outra matéria? Colabore, clique aqui.
Fontes
Livros e Materiais Didáticos
- NAKAMURA, Emilio Tissato; GEUS, Paulo Lício de. Segurança de Redes em Ambientes Cooperativos. 2007. Brasil. Editora NOVATEC.
- MIRANDA, Ivana Cardial de. Seminário VPN – Redes Privadas Virtuais, 2002, Rio de Janeiro. Orientador Otto Carlos Muniz Bandeira Duarte.
Internet
Pentester, Especialista em Segurança de Redes e Testes de Invasão, Programador, Consultor e Professor de T.I.. Geek Inveterado, Apaixonado por Segurança da Informação e Louco por GNU/Linux. Dedica grande parte do seu tempo para criar soluções que ajudem dezenas de milhares de pessoas com dicas e artigos em Tecnologia e Segurança da Informação. Possui algumas Certificações em Ethical Hacking, Cabling System, Security+, SIEM Netwitness, SIEM SNYPR Securonix e Proficiência em Soluções de Vulnerability Management da Tenable.
