de
Maturidade
Tradução e adaptação a partir do artigo
de George Hulme no Security Labs¹.
Publicação autorizada pela Qualys
Por mais de vinte anos o SSL foi o
protocolo de criptografia predominante
na Web. Porém nos últimos anos muitas
vulnerabilidades
envolvendo
o
protocolo surgiram.
Atualmente as
primeiras versões do SSL e TLS não
conseguem garantir a proteção do
tráfego web.
No início deste ano o PCI Security
Standards Council removeu o protocolo
SSL da lista de protocolos de
criptografia considerados fortes pelo
PCI Data Security Standard, e em 30 de
junho de 2016, o uso de SSL como
controle de segurança não será mais
aceito.
Segundo Ivan Ristic, diretor de
segurança da Qualys, durante sua
apresentação na Conferência de
Segurança da Qualys de 2015 este
prazo, de um pouco mais de oito meses,
“não é muito tempo para quem precisa
estar
compatível
e
garantir
conformidade. ” Ainda segundo Ristic,
as coisas eram mais simples, quando era
considerado seguro utilizar TLS para
garantir
uma
comunicação
criptografada.
O SSL mostrou que continua vulnerável
a todos os tipos de ataques, tais como os
que envolvam interceptação e captura
de dados durante a troca de
informações, como ataques de Man in
the Middle, entre outros.
No relatório Migrating from SSL and
Early TLS2 o PCI Security Standards
¹https://community.qualys.com/blogs/securitylabs/2015/1
0/09/implementing-the-tls-maturity-model
afirma que não há medidas corretivas
para as vulnerabilidades do protocolo
SSL, em todas as suas versões. Não há
métodos conhecidos para garantir a
remediação de vulnerabilidades como
POODLE. SSL e TLS já não satisfazem
mais as necessidades das entidades que
implementam criptografia para proteção
de dados de pagamento. Além disso,
afirma que em breve navegadores irão
proibir conexões SSL, impedindo que
os usuários acessem servidores que não
tenham migrado para protocolos mais
modernos.
Neste contexto o que as organizações
deveriam fazer?
Para auxiliar as
empresas Ristic desenvolveu um
modelo de maturidade TLS que objetiva
ajudar as organizações atingirem
conformidade e garantir segurança.
O modelo é composto por cinco níveis,
sendo o Nível 1 inseguro e Nível 5
representa mais segurança do que o
esperado. O Nível 4, segundo Ristic, é o
nível no qual a maioria das
organizações vão querer estar.
Abaixo são descritos cada um dos
níveis:
Nível 1: O caos total. A organização
não tem qualquer política ou norma
relacionado com TLS, a segurança da
organização está ao acaso (por exemplo,
default de fornecedores) e os esforços
normalmente são por demanda, sem
planejamento,
organização
ou
especialistas. A organização não sabe o
que tem em termos de segurança.
Mesmo que os atuais sites tenham
2
https://www.pcisecuritystandards.org/documents/Migrati
ng_from_SSL_Early_TLS_Information%20Supplement_v1.p
df
Modelo de Maturidade TLS – Tradução e Adaptação Defenda Business Protection Services & Solutions – www.defenda.com.br
Modelo
de TLS
Nível 2: Configuração, a organização se
preocupa com o protocolo TLS,
ignorando
protocolos
superiores.
Normalmente é o nível mais fácil de
atingir. Com a utilização de sistema
modernos, é em grande parte uma
questão de reconfiguração do servidor.
Sistemas mais antigos podem exigir
uma atualização, ou, como um último
recurso, a utilização de um proxy mais
seguro.
Nível 3: Segurança das aplicações. É
sobre como proteger os protocolos de
aplicação, evitando problemas que
poderiam comprometer a criptografia.
Se o assunto são sites, esse nível exige
que sejam evitadas a mistura de textos
simples e áreas codificadas no mesmo
aplicativo ou dentro da mesma página.
Em outras palavras, a superfície de toda
aplicação deve ser cifrada. Além disso,
todos os cookies de aplicação devem ser
seguros,
tendo
sua
integridade
verificada à medida que chegam, a fim
de evitar ataques de injeção de cookie.
Nível 4: Compromisso, é sobre o
compromisso de longo prazo com a
criptografia. Pra web sites, este nível é
atingindo com a ativação do HTTP
Strict Transport Segurança (HSTS), um
padrão relativamente novo suportado
por alguns navegadores. HSTS aplica
um modelo de segurança mais rigoroso
que o TLS, e como resultado previne
ataques de SSL stripping e ataques que
exigem que usuários cliquem em
warnings sobre certificados.
Nível 5: Segurança robusta. A
organização
evita
que
qualquer
Autoridade Certificadora possa emitir
um certificado para o web site sem a
permissão do proprietário, isto através
da implementação de “pinagem” de
chave pública. A empresa pode
restringir quais CAs podem emitir
certificados para seus sites, ou, num
caso mais seguro, aprovando cada
certificado individualmente.
Este artigo é uma tradução e adaptação
do artigo de George Hulme no Security
Labs. Sua publicação foi autorizada pela
Qualys. A versão original está
disponível em:
https://community.qualys.com/blogs/sec
uritylabs/2015/10/09/implementing-thetls-maturity-model
Modelo de Maturidade TLS – Tradução e Adaptação Defenda Business Protection Services & Solutions – www.defenda.com.br
algum nível de segurança, não há como
garantir que os novos projetos terão.