Conceitos Básicos

Inicialmente, vamos apresentar alguns conceitos relacionados à segurança para que seja possível compreender o que deve ser protegido e o porquê de se proteger. São conceitos básicos importantes para o entendimento de como pode ser possível alcançar um nível de segurança adequado às transações eletrônicas.

Segundo a norma NBR ISO/IEC 27005 (2011), ativo é algo que tem valor para a organização e que, portanto, requer proteção. Partindo dessa definição, os ativos podem ser de diversos tipos:

Informação:

Como visto, é um tipo de ativo e, desta forma, também requer proteção adequada. A informação pode estar materializada de diversas formas, a depender de onde se encontra no seu ciclo de vida. Escrita em papel, registrada de forma digital, pode ser informação falada, exibida em filme e, a depender do modo em que se encontra, medidas de segurança específicas devem ser implementadas para prover sua segurança.

Ameaça:

É a potencialidade de um incidente indesejado comprometer um ativo, causando algum tipo de prejuízo. As ameaças podem ser classificadas como:

Vulnerabilidade:

É qualquer falha ou fraqueza em um ativo que possa ser explorada por uma ameaça. Por si só, a vulnerabilidade não provoca nenhum incidente. Elas podem ser do tipo:

Princípios básicos da segurança da informação

São considerados pilares básicos que sustentam a segurança da informação e são conhecidos pelo acrônimo D.I.C.A.

Pensando no contexto de segurança nas transações seguras e comércio eletrônico, a partir desses quatro princípios podemos derivar mais dois: não repúdio ou irretratabilidade e privacidade.

Políticas de segurança da informação

Agora que já conhecemos os conceitos e os atributos básicos da segurança da informação, precisamos entender como proporcionar a segurança adequada a esses atributos e, consequentemente, a informação propriamente dita.

Pense que, inicialmente, é preciso saber o que proteger e de quem proteger, definindo, assim, os objetivos em relação à segurança. A RCF 2196, que é um guia para o desenvolvimento de políticas e procedimentos de segurança de computador para sites que possuem sistemas na Internet, descreve algumas premissas para a definição desses objetivos:

Além do alinhamento com os requisitos do negócio, a política de segurança da informação deve estar alinhada com as regulamentações e legislações vigentes. Nada adianta uma política bem escrita se não há amparo jurídico para aplicação dela. Também é preciso levar em consideração a evolução tecnológica do ambiente em que a organização está inserida. Uma política de segurança da informação deve ser revista constantemente, como forma de adaptar-se às novas ameaças.

Voltando aos princípios básicos da segurança da informação, imagine um sistema computacional genérico e algumas políticas de segurança da informação aplicáveis a ele. Abaixo, são descritos alguns exemplos:

Outras políticas mais específicas podem ser desenvolvidas a partir dos exemplos acima:

Importante ressaltar que a política de segurança da informação deve ser implementada durante todo o ciclo de vida da informação, ou seja, desde quando ela é criada até o momento de descarte, passando pelas etapas de transporte, armazenamento e manuseio.

Tipos de ataques à informação

Como visto no módulo anterior, a segurança da informação possui princípios que devem ser protegidos em todo o seu Ciclo de Vida, ou seja, durante seu:

Em cada uma dessas etapas, as ameaças podem explorar vulnerabilidades existentes, ocasionando fatores de riscos que podem comprometer a Confidencialidade, Integridade, Disponibilidade ou Autenticidade da informação. 

A ação de uma ameaça sobre uma vulnerabilidade se conceitua como Ataque e pode ser classificada da seguinte forma:

Ataque de interrupção ou Negação

É o tipo de ataque que quebra o princípio da Disponibilidade da informação, impossibilitando o seu acesso.

Ataque de Modificação

É o tipo de ataque que quebra o princípio da Integridade da informação. É a modificação não autorizada pelo autor da informação.

Ataque de Interceptação

É o tipo de ataque que impacta o princípio da Confidencialidade da informação. É o acesso não autorizado à informação.

Ataque de Fabricação

É o tipo de ataque que impacta o princípio da Autenticidade da informação. É a fabricação de informação falsa com o objetivo de enganar tanto o emissor quando o receptor da informação, passando-se por informação fidedigna.

Os ataques também podem ser classificados quanto ao nível de interatividade com a informação:

Conceituar os tipos de controles de segurança

Para mitigar os ataques, é necessária a implementação de Controles de segurança, os quais são medidas defensivas que você precisa adotar para evitar, mitigar ou neutralizar riscos à segurança devido a ameaças ou ataques. Em outras palavras, os controles são soluções e atividades suportadas por mecanismos que permitem que uma organização atenda aos objetivos de uma política de segurança das informações. 

Esses controles modificam o Risco de um ataque, incidindo tanto na Probabilidade quanto no Impacto, fatores que compõem o risco. Os controles podem ser proteções e medidas protetivas lógicas ou físicas. Eles são classificados como controles de prevenção, detecção e de correção. 

• Controles de Prevenção: Auxiliam a evitar que uma ameaça ou ataque explore uma vulnerabilidade. Por exemplo, uma tranca de segurança em uma porta de acesso.
• Controles de correção: Auxiliam a mitigar as consequências de uma ameaça ou ataque. Por exemplo, um site backup que automaticamente entra no ar quando o site principal estiver indisponível.
• Controles de detecção: Auxiliam a detectar se uma ameaça explorou uma vulnerabilidade. Por exemplo, câmeras de vigilância que gravam tudo que acontece no ambiente.

Mecanismos de segurança da informação

Alguns mecanismos da segurança da informação podem garantir mais de um princípio e suas funcionalidades podem se sobrepor. A seguir iremos apresentar mecanismos de segurança que são recomendados para os pilares básicos que sustentam a segurança da informação (D.I.C.A.).

Mecanismos de segurança da disponibilidade

Os mecanismos de segurança da disponibilidade são aqueles que garantem que a informação esteja continuamente disponível e que entidades autorizadas possam acessá-las. 

A disponibilidade é habitualmente suportada por mecanismos de redundância e tolerância a falhas.

Exemplos de mecanismos de segurança da Disponibilidade

Mecanismos de segurança da integridade

Mecanismos de segurança da integridade são aqueles que garantem que a informação esteja precisa, livre de erros e sem modificações não autorizadas. 

A integridade é habitualmente suportada por mecanismos de hashing, assinaturas digitais e certificado digital.

Hashing

Hash ou função hash é a que mapeia grandes volumes de dados variáveis em dados de tamanho fixo. O resultado da função é o que chamamos de message digest (resumo da mensagem). Ela é unidirecional, ou seja, em teoria, não é possível obter o dado inicial a partir do resultado da função hash. Qualquer mudança no dado inicial, por mínima que seja, altera completamente o resultado da função hash, garantindo a integridade da informação.

Assinatura digital

Trata-se de mensagem criptografada com uma chave privada do autor da mensagem. É uma combinação de algoritmos de criptografia assimétrica com algoritmos de hashing.

Exemplos de mecanismos de segurança da integridade

• Algorítimos de função de hash: MD5, SHA-1, SHA-2, SHA-512, RIPEMD-160, Whirlpool, entre outros.
• Backup: Sistemas de backup utilizam das funções de hash para garantir a integridade das informações salvas.

Mecanismos de segurança da confidencialidade

São mecanismos que garantem que as informações e comunicações estejam privadas e protegidas de acesso não autorizado. A confidencialidade é habitualmente suportada por mecanismos de criptografia, controles de acesso e esteganografia. 

• Criptografia: É a prática de ocultar informações, geralmente, por meio da codificação e decodificação de um código secreto usado para envio de mensagens. O envio de uma informação não cifrada é denominado “texto claro”. Cifragem é o processo de conversão de um texto claro para um texto cifrado e decifragem é o processo inverso. As comunicações e computação modernas usam criptografia extensivamente para proteger informações e comunicações sigilosas de acesso não autorizado ou divulgação acidental enquanto as informações estão em trânsito e estiverem sendo armazenadas.

• Controle de acesso: Conjunto de regras e procedimentos que visam a impedir o acesso não autorizado da informação de pessoas e programas. Podem empregar mecanismos físicos e lógicos como suporte. 
• Esteganografia: É uma técnica de ocultação de escrita que consiste em esconder um dado em outro dado. Por exemplo, esconder um texto em um arquivo de imagem ou de som. Enquanto a criptografia oculta o conteúdo das informações, mas não se preocupa em ocultar o fato de que as informações criptografadas existem, a estenografia é uma tentativa de esconder o fato de que as informações estão presentes. É possível utilizar as duas técnicas de forma combinada, ou seja, cifrar uma informação e escondê-la.

Exemplos de mecanismos de segurança da confidencialidade

Mecanismos lógicos:

• Steghide: Ferramenta para esteganografia.
• DNSSec: Camada de segurança utilizada em servidores de nome (DNS). Utiliza algoritmo de chave assimétrica para proteção da informação.
• IPSec: Camada de segurança implementada no protocolo IP. Utiliza algoritmo de chave simétrica para proteção da informação.
• PGP (Pretty Good Privacy): Ferramenta de criptografia. Utiliza algoritmo de chave assimétrica para proteção da informação.
• GPG: Ferramenta de criptografia desenvolvida em software livre e alternativo ao PGP. Utiliza tanto algoritmos simétricos e assimétricos para proteção da informação.
• TLS/SSL: São protocolos que combinam certificados digitais para autenticação com criptografia de dados de chave pública ou assimétrica. Largamente utilizado em transações eletrônicas e plataformas de comércio eletrônico.

Mecanismos físicos:

• Dispositivos biométricos. Por exemplo, scanner de íris, reconhecimento de voz, scanner de retina, leitor de digital, reconhecimento de face.

Mecanismos de segurança da autenticidade

São mecanismos que verificam a identidade dos usuários, e estes têm condições de analisar a identidade do sistema, garantindo, assim, a veracidade da autoria da informação. Não podendo seu autor negar que produziu a informação, certificando também o não repúdio. A autenticidade é habitualmente suportada por mecanismos de autenticação.

Autenticação 

• A autenticação trata-se do método de validação de uma identidade e credenciais exclusivas de determinada entidade, podendo ser uma pessoa ou uma organização. A autenticação se concentra na identificação se uma pessoa em particular tem as credenciais corretas para entrar em um sistema ou site seguro.

Fatores de autenticação 

Muitos sistemas utilizam mais de um fator de autenticação para atestar que de fato uma entidade é quem diz ser. Esses fatores são:

• Algo que você é: Características físicas, como impressões digitais ou um padrão de íris.
• Algo que você tem: Um token ou cartão de acesso.
• Algo que você conhece: Uma senha, resposta de uma pergunta secreta.
• Em algum lugar que você está ou não: Como um endereço IP aprovado ou localização GPS.
• Algo que você faz: Como padrões estabelecidos de pressionamento de tecla ou padrões de assinatura.

Autorização 

• A autorização é o processo que determina quais direitos e privilégios uma entidade em particular possui. Após um usuário ter sido identificado e autenticado, um sistema pode então determinar quais permissões esse usuário tem entre os diversos recursos.

Conceito de transação eletrônica e aspectos de segurança relacionados

Antes de abordarmos a segurança propriamente dita, precisamos definir o conceito de transação eletrônica e, assim, definir o contexto em que os aspectos da segurança da informação serão abordados. Sobre esse conceito, a Organização para a Cooperação e Desenvolvimento Econômico (OCDE) define:

Alguns aspectos importantes podem ser observados a partir dessa definição. Existem bens e serviços envolvidos sendo comercializados em uma transação eletrônica, logo podemos dizer que há valor agregado e, consequentemente, relação financeira entre partes. Com relação à segurança, essa característica por si só já atrai entidades mal-intencionadas com a finalidade de obter vantagens ilícitas.

Outro aspecto importante que podemos observar é a interação comercial de diversos agentes, sejam eles públicos ou privados. Ainda no que tange à segurança, é possível observar a necessidade de garantir quem é quem nesse contexto, isto é, que determinada entidade é realmente quem ela diz ser.

Rememorando os princípios D.I.C.A, observa-se que a confidencialidade dos dados privados deve ser mantida durante as transações eletrônicas.

O princípio da integridade é crítico para transações eletrônicas, pois o conteúdo dessas transações deve permanecer íntegro, não sendo passível de fraude de qualquer natureza.

No contexto das transações eletrônicas, é vital que compradores se autentiquem para vendedores, que vendedores se identifiquem para compradores e que ambos se identifiquem um para o outro, garantindo, assim, o princípio da autenticidade. 

Em relação à disponibilidade, esta é assegurada quando mecanismos garantem que bens e serviços estejam disponíveis sempre que demandados. 

Voltando à definição proposta pela OCDE, podemos identificar três ambientes distintos onde as transações eletrônicas ocorrem:

Alguns dos ataques mais comuns direcionados ao cliente são: 

• Roubo de sessão: Quando um atacante consegue comprometer o processo de identificação do cliente, obtendo a chave de sua sessão. Dessa forma, ele consegue se passar pelo cliente e efetuar transações. 
• Roubo de dados: O objetivo é obter dados de autenticação do cliente. Com esses dados em mãos, é possível personificar e efetuar transações em nome deste cliente. 
• Alteração de transação: Esse tipo de ataque ocorre por meio de algum malware instalado no computador do cliente. Após uma operação de login bem-sucedido, esse malware captura os dados da transação, altera e retransmite ao vendedor.

Infraestrutura de chaves públicas ou Public Key Infrastructure (PKI)

O contexto da relação de confiança

No contexto de transações seguras, segurança está intimamente relacionada à palavra confiança. 

No mundo real, quando precisamos nos identificar, apresentamos algum documento que ateste a nossa identidade. Por exemplo, RG, Carteira de Habilitação, Passaporte. Ao apresentar a identidade a uma instituição, esta assegura a veracidade do documento, analisando os elementos que o compõem.

Essas autoridades garantem que uma pessoa é de fato quem diz ser, e tal garantia é materializada por meio de um certificado, no caso, o documento de identificação. Note que existe uma relação de confiança intrínseca entre o demandante da identificação, o indivíduo identificado, o certificado de identidade e a autoridade que emitiu esse certificado.

Componentes de uma PKI

No meio eletrônico, o conceito também é o mesmo. A partir desse ponto, é bom relembrar o entendimento de chave assimétrica abordado no Módulo 2. 

O conceito de criptografia de chave assimétrica ou chave pública define que a autenticidade de um remetente ou entidade pode ser atestada por meio de uma assinatura digital. O remetente calcula a função hash da mensagem enviada e cifra esse hash com sua chave privada. O destinatário, ao receber, decifra a mensagem utilizando-se da chave pública do remetente e depois compara se os valores de hash são iguais, atestando, assim, a autenticidade.

Nesse contexto, surge o conceito de Certificado Digital, que nada mais é do que um documento eletrônico que associa credenciais de uma entidade com uma chave pública. Esse documento é gerado e assinado eletronicamente por uma Autoridade Certificadora, que atesta a veracidade do certificado e, consequentemente, da assinatura. De forma sucinta, uma Infraestrutura de chaves públicas possui os seguintes componentes:

Na figura, a seguir, é possível conferir o Certificado Digital emitido para o site do Portal Estácio:

É possível observar os seguintes campos no certificado: 

• Algoritmo de hash da assinatura: No caso, foi utilizado o SHA256.
• Emissor ou Autoridade Certificadora: DigiCert Inc.
• Validade do certificado: Todo certificado possui um período de validade.
• Requerente: A quem foi concedido o certificado.
• Chave Pública: A chave pública do requerente associada ao certificado.

Hierarquias de CAs

Uma hierarquia de CA ou modelo de confiança é uma CA única ou grupo de CAs que trabalham juntas para emitir certificados digitais. Cada CA da hierarquia tem uma relação mãe-filho com a CA logo acima na cadeia hierárquica. Se uma CA for comprometida, apenas os certificados emitidos por esta CA em particular e suas filhas serão invalidados. Quando uma entidade apresenta um certificado, ele é validado por meio de uma cadeia de confiança. Para confiar no certificado, a entidade precisa confiar em todo elo da cadeia conforme ela sobe.

Tipos de certificados

Certificados podem ser emitidos por diversas entidades e com variadas finalidades. A seguir, estão os tipos mais comumente utilizados em transações eletrônicas:

Autoassinado:

• Certificado autoassinado é aquele que é propriedade da mesma entidade que o assina. Em outras palavras, o certificado não reconhece nenhuma autoridade mais elevada na cadeia de confiança, a entidade essencialmente a certifica. Esse tipo de certificado exige que o cliente confie diretamente na entidade. 

Raiz:

• O certificado raiz é emitido pela CA raiz e certifica os demais certificados abaixo dele na cadeia de confiança. Por não haver nenhuma autoridade superior ao certificado raiz na cadeia, ele precisa ser autoassinado. 

Usuário:

• Certificados são emitidos aos usuários em situações nas quais lembrar e gerenciar ou mesmo utilizar de senhas não são práticas seguramente aceitas. 

Computador:

• Computadores com identidades individuais também podem receber certificados. Se o computador precisar se comunicar seguramente com outro computador na rede, ele pode usar um certificado para autenticação. 

E-mail:

• Certificados são usados para autenticar e criptografar mensagens de e-mail no protocolo Secure/Multipurpose Internet Mail Extensions (S/ MIME). O S/MIME é similar em finalidade ao PGP. 

Assinatura de código:

• Antes de publicar um programa, desenvolvedores podem assinar digitalmente o código-fonte deste. Isso garante a legitimidade de um aplicativo.

O contexto da segurança como fator de confiança

Quando falamos em comércio eletrônico, talvez uma das primeiras preocupações em mente seja a experiência de compra do usuário. Uma plataforma amigável, intuitiva, fácil de usar, com diversas formas de pagamento e entrega rápida. Na maioria das vezes, o assunto segurança da informação aparece em segundo plano, nem sempre estando alinhado com os objetivos do negócio, sendo implementado por mecanismos isolados e subutilizados, o que normalmente acaba gerando inconvenientes e seu inevitável abandono.

Como dito anteriormente, a segurança da informação é inversamente proporcional à usabilidade e, consequentemente, desencoraja a adoção de políticas e mecanismos de segurança, justamente pela dificuldade de encontrar um equilíbrio ideal nessa balança. 

Mas vejamos isso pela ótica da confiança. Até que ponto um cliente se sentirá confiante em inserir seus dados de cartão de crédito em uma plataforma de comércio eletrônico que não inspira segurança?

A importância da segurança da informação no comércio eletrônico vai muito além do que apenas proteger os pagamentos feitos na loja e seu lucro para a empresa, passa também pela proteção do cliente e seus dados de ações maliciosas executadas por criminosos virtuais. 

O anseio pela confiança em um ambiente de compra seguro deve ser explorado de forma positiva e isso é possível por meio da adoção de mecanismos de segurança da informação que, no final das contas, será um investimento que protegerá tanto o comprador quanto o vendedor, alavancando lucros e captando clientes.

Principais ameaças ao comércio eletrônico

Rememorando o conceito de ameaça visto no módulo 1, esta ideia refere-se à potencialidade de um incidente indesejado comprometer um ativo, causando algum tipo de prejuízo. Vimos que ativo é tudo aquilo que possui valor para a organização. Desta forma, uma ameaça ao comércio eletrônico vai muito além do que apenas aquelas que possam causar prejuízos financeiros. Dentre diversas ameaças existentes, podemos citar:

Mecanismos para ter um comércio eletrônico seguro

Após conhecer as principais ameaças as quais um e-commerce está exposto, vamos ver os principais mecanismos de segurança da informação que podem auxiliar a diminuir as chances de um ataque.

• Certificado SSL/TLS: Um dos mecanismos primordiais para quem hospeda um site de e-commerce na internet, o TLS (Transport Layer Security) e o seu antecessor, SSL (Secure Sockets Layer). É o famoso cadeado verde na barra de endereços de um navegador de internet.

Existe ainda o certificado digital EV (Extended Validation). Esse tipo de certificado garante que a empresa está legalmente registrada no mesmo país do registro de domínio, CNPJ ativo, endereço confirmado, entre outros requisitos.

Esse protocolo é uma camada adicional na arquitetura TCP/IP e garante integridade, confidencialidade e autenticidade entre ambas as partes durante a conexão, pois utiliza Certificado Digital a fim de identificar o site e o cliente — este último sendo opcional — e criptografia para cifrar as informações trocadas. Tal conduta é primordial em sistemas que processam pagamento online. A configuração e acerto desse canal seguro é feito pelo handshake TLS/SSL, conforme figura:

• Firewall de Aplicação Web ou WAF (Web Application Firewall): É um conjunto de hardware e/ou software que aplica um conjunto de regras que filtram, monitoram e bloqueiam tráfego HTTP. Funciona como uma barreira entre a aplicação web e o tráfego que ele recebe do restante da internet. Auxilia no bloqueio de diversos tipos de ataque web, por exemplo, Injeção de SQL, DDoS, roubo de sessão, entre outros. Auxilia também na redução do consumo de banda de internet, uma vez que consegue filtrar o tráfego, eliminando o malicioso, o de robôs e qualquer outro tráfego indesejado. É importante balancear as regras de firewall com cuidado, uma vez que regras muito complexas ou muito restritivas podem causar um efeito contrário ao desejado. 

• Proteção contra malwares: Malwares são códigos maliciosos desenvolvidos com a finalidade de causar ações danosas e maliciosas em um computador ou rede. É importante ter mecanismos de proteção contra malwares, pois esses códigos maliciosos podem vir a causar indisponibilidade de serviço, roubo de informações de clientes e outras ações prejudiciais. Um aspecto importante da proteção contra malware é que esses mecanismos evitam que, no caso de uma infecção, o site seja incluído em uma blacklist. Imagine o prejuízo para a imagem da empresa. 

• Rede de fornecimento de conteúdo ou CDN (Content Delivery Network): É uma rede de distribuição de dados e informações composta por servidores que armazenam réplicas completas de um site e distribuem o acesso de forma otimizada para os usuários com base em sua localização geográfica. Isso aumenta a performance e garante alta disponibilidade frente a ataques de DDoS, uma vez que a informação está distribuída. 

• Sistemas antifraude: Sistema que avalia diversas variáveis e decide se uma compra será aprovada ou não. Utiliza padrões de compras, localização, endereço de entrega, análise de banco de dados externos, provas de identidade e outros fatores. Em alguns casos, pode incluir a análise manual da compra por algum analista. Todo o processo é transparente ao usuário e ocorre de forma muito rápida. Em última instância, pode ocorrer contato com o cliente para confirmação de compra. 

• Selo Digital: Imagem de selo emitida por uma empresa de segurança que atesta que o sistema garante que cada transação vai passar por um procedimento totalmente seguro, preservando os dados do comprador e evitando fraudes.

Boas práticas em relação aos princípios D.I.C.A para um sistema de e-commerce

Normas e padrões de segurança

• ABNT NBR ISO/IEC 27001:2013

A ISO/IEC 27001 é uma norma internacional criada pela International Standardization Organization (ISO) e descreve como gerenciar a segurança da informação em uma organização através da implementação de um SGSI – Sistema de Gestão de Segurança da Informação. Sua última versão foi publicada em 2013 e possui versão traduzida para o português brasileiro pela ABNT, ABNT NBR ISO/IEC 27001:2013. 

A norma pode ser auditada, ou seja, uma empresa ou pessoa pode obter essa certificação. Ter uma certificação é um grande diferencial frente aos concorrentes e possui grande valor para aumentar a confiança do cliente na empresa. 

A norma ABNT NBR ISO/IEC 27001:2013, no seu Anexo A, item 10.9, descreve alguns controles de segurança específicos para um ambiente de comércio eletrônico. 

Vejamos:

• Payment Card Industry – Data Security Standard (PCI-DSS) 

É o Padrão de Segurança de Dados da Indústria de Pagamento com Cartão e sua última versão, no momento de confecção deste conteúdo, é a 3.2.1. O PCI-DSS está composto por um conjunto de requerimentos e procedimentos de segurança. Tem por objetivo proteger as informações pessoais de detentores de cartão e, consequentemente, diminuir o risco de roubo de dados e fraudes. É um requisito legal para empresas que processam pagamento por meio de cartão. 

O PCI-DSS está estruturado em 12 requisitos divididos entre 6 objetivos. Vejamos: