Segurança em
computação
nas nuvens
Aluno: Ricardo Dobelin Barros
RA: 160105
Prof.: Marco Aurélio Amaral Henriques
Universidade Estadual de Campinas - UNICAMP
Faculdade de Engenharia Elétrica e de Computação - FEEC
AGENDA
Introdução
Objetivo
Segurança
Em
CLOUD
Trabalhos
Futuro
Introdução
• Problema - Garantir:
▫ Confidencialidade e Privacidade
▫ Integridade
▫ Disponibilidade
• Solução:
▫ Terceira Parte Confiável - (TTP) Trusted Third Party
▫ PKIs - (Public Key Infrastructure)
▫ LDAP (Lightweight Directory Access Protocol)
▫ SSO (Single-Sign-On)
Objetivo
O propósito deste trabalho é apresentar:
Conceitos relacionados a Cloud, TTP, PKIs, LDAP e SSO
Requisitos de Segurança e Ameaças e Nuvem
Solução conjunta para segurança na nuvem
Segurança na Nuvem
LDAP
IAAS
SSO (Single-SignOn)
PAAS
PKIs - (Public Key
Infrastructure)
SAAS
CLOUD
Terceira Parte
Confiável
Privada – Hibrida - Publica
Cloud Computing
Computação em Nuvem
São recursos de TI,
disponíveis, flexíveis e
consumidos em forma de
serviço.
Porque investir
em cloud?
Cloud
Social
Mobile
Internet of Things
Evolução para Computação em Nuvem
CLOUD
Compartilhamento de Recursos
Automação
Padronização
Virtualização
Consolidação
TI Tradicional
Os clientes estão aceitando a
comercialização entre uma
solução personalizada X
alternativas de baixo custo em
um padrão flexível.
Transformações podem não ser
uma alternativa.
Modelos de Computação em Nuvem
Software
as a Service
Platform
as a Service
Infrastructure
as a Service
Marketing
Commerce
Supply
Chain
Talent
Management
Mobile
Security
Big Data &
Analytics
Development
& DevOps
Compute
Storage
Analytics
Integration
Collaboration
Integration/
API Mgmt
Networking
Public. Private. Hybrid.
IT
Management
Traditional
Workloads
Arquiteturas de Nuvem:
Private Cloud
Benefícios:
Hybrid Cloud
+
Hybrid Cloud
• Totalmente personalizável
• Gestão robusta
• Seguro por projeto
Maximizar o retorno sobre os investimentos
em TI.
Public Cloud
Benefícios:
• Baixo custo de entrada
• Pagamento por uso
• Altamente Elástico
Cargas de trabalho melhor ajustados a
infra-estrutura. (Fit)
O equilíbrio certo entre risco x velocidade
Capacidade de atender a demandas
sazonal sem Investimento Adicional.
Adicionar novos recursos rapidamente
Segurança na Nuvem:
Segurança passa a ser um dos fatores
chaves para o sucesso ou fracasso na
adoção de computação em nuvem. Ao
se adotar um ambiente de nuvem
começam a surgir varias duvidas e
preocupações, como por exemplo sobre
o armazenamento e acesso aos dados.
Segurança na Nuvem:
Yanpei Chen, Vern Paxson, Randy H. Katz
"What’s New About Cloud Computing Security?“
Confidencialidade, integridade e disponibilidade
Armazenamento de Dados
Comunicação/Trafego de Dados
Segurança na Nuvem:
Camada:
Aplicação
Virtual
Fisica
Modelo de
Nuvem:
Software como
um Serviço
Plataforma
como um
Serviço
Infraestrutura
com um
Serviço
Datacenter
Fisico
(Infraestrutura
com um
Serviço)
Usuário:
Requisitos de
Segurança:
Ameaças:
Cliente final se aplica a uma pessoa ou
organização que assina um serviço
oferecido por um provedor de nuvem, o
cliente pela sua utilização do software.
• Privacidade em ambiente
com vários usuários
• A protecção dos dados
• O controle de acesso
• Comunicação Segura
• Softwares de segurança
• A disponibilidade do
serviço
• Intercepção
• Modificação dos dados em
armazenados ou em trânsito
• Interrupção de dados
• Violação de privacidade
• Roubo de identidade
• Seqüestro de sessão
• Análise do fluxo de tráfego
• Exposição na rede
Desenvolvedor-moderador se aplica a
uma pessoa ou organização que
implanta software em uma
infraestrutura em nuvem
• O controle de acesso
• A segurança do aplicativo
• Segurança de dados,
(dados em trânsito,
dados armazenados)
• Controle de
gerenciamento segurança
da nuvem
• Imagens seguras
• Proteção da nuvem
virtual
•Segurança Comunicação
• Falhas de programação
• Modificação do Software
• Interrupção do uso do Software
• Roubo de identidade
• Seqüestro de sessão
• Análise do fluxo de tráfego
• Exposição na rede
• Distributed Denial of Service Ataque de negação de Serviço
• Comunicações Interrompidas
Usuário se aplica a uma pessoa ou
organização que possui a infraestrutura
sobre a qual as nuvens serão
implantadas
• Legal uso não abusivo da
computação em nuvem
• Segurança do Hardware
• Confiabilidade do
Hardware
• Proteção dos recursos de
rede
• Os ataques a rede
• Distributed Denial of Service Ataque de negação de Serviço
• Interrupção do Hardware
• Roubo Hardware
• Modificação de hardware
• Desvios de infraestrutura
• Desastres naturais
Segurança na Nuvem:
Os principais objetivos da segurança da informação para nuvem são:
• Garantir a disponibilidade das informações comunicadas entre os
participantes;
• Manter a integridade das informações comunicadas entre os, ou seja, evitando
a perda ou alteração de informações devido ao acesso não autorizado, falha de
componentes ou outros erros;
• Manter a integridade dos serviços prestados. A confidencialidade e operação
correta;
• Fornecer controle de acesso somente aos seus componentes de serviços
contratados e bloquear os quais não estão autorizados;
• Autenticar a identidade dos parceiros de comunicação.
Terceira Parte Confiável - (TTP) Trusted
Third Party
• Um terceiro pode ser responsável por distribuir a
informação secreta aos dois principais enquanto a
protege de qualquer oponente.
• Usar serviços de terceiros confiáveis (TTP - Trusted
Third Party) dentro da nuvem, leva ao estabelecimento
do nível de confiança necessário e pode oferecer soluções
ideais para preservar a confidencialidade, integridade e
autenticidade dos dados e das comunicações.
Terceira Parte Confiável - (TTP) Trusted
Third Party
• Um terceiro pode ser responsável por distribuir a
informação secreta aos dois principais enquanto a
protege de qualquer oponente.
• Usar serviços de terceiros confiáveis (TTP - Trusted
Third Party) dentro da nuvem, leva ao estabelecimento
do nível de confiança necessário e pode oferecer soluções
ideais para preservar a confidencialidade, integridade e
autenticidade dos dados e das comunicações.
Certificado de Chave Publica
PKIs - (Public Key Infrastructure)
• Autenticação Forte: O controle de autenticidade, o processo de
identificação das partes envolvidas em transações eletrônicas ou troca
de informações com meios eletrônicos.
• Autorização: O acesso autenticado aos recursos, banco de dados e
sistemas de informação, de acordo com os direitos de permissão do
usuário e os papéis.
• Sigilo de dados: A proteção de informações seja armazenados
localmente ou na tentativa de acessos não autorizados.
• Integridade dos Dados: A proteção de informações armazenadas.
• Autenticidade: Garantir que nenhuma das partes de uma transação
eletrônica pode negar a realização da mesma.
PKI – CA – Autoridade Certificadora
Funções basicas:
• Geração de chaves
• Geração de certificados digitais
• Distribuição e Garantia de Certificados
• Revogação de certificados
• Sistema de copia e restauração de chaves
PKI – CA – Autoridade Certificadora
Funções basicas:
• Geração de chaves
• Geração de certificados digitais
• Distribuição e Garantia de Certificados
• Revogação de certificados
• Sistema de copia e restauração de chaves
PKI – CA – Autoridade Certificadora
Prove um repositório:
• Certificados Digitais
• Lista de certificados Revogados (CRL)
Usando:
• LDAP - (Lightweight Directory Access Protocol)
um tipo de protocolo que serve para atualizar e
pesquisar diretórios – (CRL). De um modo geral,
podemos falar que o LDAP é um serviço do tipo
"Autenticaçao Centralizada“.
Single Sign-on - SSO
O Single Sign-on é definido como um único
ponto de entrada, ou seja, você necessita se
autenticar uma única vez. Isso permite acesso
automaticamente a diversos sistemas, sem a
necessidade de digitar seu login e senha em
cada sistema, o que proporciona mais
segurança aos seus dados de autenticação.
Exemplo de implementação:
Conclusão:
Ao mesmo tempo em que cresce a adoção da
computação em nuvem, os assuntos relacionados a
segurança da informação nesse tipo de ambiente
aparecem indiscutivelmente como um das
principais barreiras para uma adoção mais rápida
e mais generalizada da computação em nuvem.
Terceiro Confiável
Uma solução consistente e confinável
pode
PKIs
reverter
esse cenário e assim permitirLDAP
que(Lightweight
cada vez
(Public Key
SSO (Single-Sign-On)
Directory Access
mais
usuários e empresas adotem esseProtocol)
modelo.
Infrastructure)
Trabalhos Futuros:
• - Modelos de Certificados simplificados para
nuvens.
• - Modelos de criptografia para nuvem, com
baixo consumo de recursos computacionais
(rede, CPU, etc.)
Referencias:
•
Kaufman, L.M., "Data Security in the World of Cloud Computing", Security & Privacy, IEEE, Volume:7 Issue:4, 2009
•
E. Naone, Technology overview, conjuring clouds, MIT Technology Review, July–August, 2009.
•
Yanpei Chen, Vern Paxson, Randy H. Katz, "What’s New About Cloud Computing Security?", University of California at
Berkeley Technical Report No.UCB/EECS-2010-5, http://www.eecs.berkeley.edu/Pubs/TechRpts/2010/EECS-2010-5.html,
January 20, 2010 Acessado Junho/2014
•
Michael Armbrust et al. Above the Clouds: A Berkeley View of Cloud Computing. Technical report EECS-2009-28,BC
Berkeley, http://www.eecs.berkeley.edu/Pubs/TechRpts/2009/EECS-2009-28.html, Feb 2009. Acessado Junho/2014
•
Amazon web services economics center. http://aws.amazon.com/economics/. Acessado Junho/2014
•
S. Shankland. HP’s Hurd dings cloud computing, IBM. CNET News. October 20, 2009.
•
Cloud computing risk assessment. European Network and Information Security Agency. November 20, 2009.
•
P. Mell and T. Grance. Effectively and securely using the cloud computing paradigm. National Institute of Standards and
Technology. October 7, 2009.
•
Dimitrios Zissis, Dimitrios Lekkas, "Addressing cloud computing security issues", Future Generation Computer Systems,
Volume 28, Issue 3, March 2012
•
Softlayer . http://www.softlayer.com/ssl-certificates
?
Obrigado