Slides apresentados no Encontro Nacional de Iniciação Científica 2009 - UFPB. Aborda as atividades realizadas durante a pesquisa e implantação do projeto Arquitetura de Segurança Baseada em Security Patterns Para o OpenCTI.

1. PLANOImplementação de Arquitetura de SegurançaBaseada em SecurityPatterns para o OpenCTIPROJETOOpenCTI: Software de uma Central de Telemedicina para Apoio à Decisão Médica em Medicina Intensiva João F. M. Figueiredo joao.matosf@gmail.com http://www.joaomatosf.com Orientador: Gustavo H. M. B. Motta gustavo@di.ufpb.br Departamento De Informática Universidade Federal Da Paraíba www.larqss.di.ufpb.br

2. Sumário. Introdução. A telemedicina e o OpenCTI. Proposta. Requisitos, Security Patterns, Boas Praticas e Criptografia. Protótipo. Resultados. Conclusão. Anexos: Usabilidade da infra-estrutura do LARQSS www.larqss.di.ufpb.br

3. Introdução. “Comece pelo começo, vá até o fim e, então, pare.” (Drummond) www.larqss.di.ufpb.br

5. Quebra de barreiras geográficas.

6. Troca de experiências.

7. Expansão e melhoria na qualidade de serviço.

8. (eficiente, pratico e econômico)www.larqss.di.ufpb.br

10. Central de telemedicina intensiva.

11. Troca de informações clínicas.

12. Realização de condutas em geral.

13. Separação de papeis em ambiente distribuído.

14. Desafios:

15. Segurança da Informação.

16. Sigilo, autenticação, não-repudio e controle de integridade.www.larqss.di.ufpb.br

17. Proposta. “O coração do homem pode fazer planos, mas a resposta certa dos lábios vem do SENHOR” (prov. 16:1) www.larqss.di.ufpb.br

19. Requisitos:

20. Disponibilidade.

21. Sigilo.

22. Autenticação.

23. Não-repudio.

24. Controle de Integridade.

25. Custos relativos baixos.www.larqss.di.ufpb.br

27. Limitações tecnológicas.

28. Cultura organizacional.

29. Escalabilidade.

30. Flexibilidade.

31. Segurança dinâmica.

32. Descentralização.

33. Confiança mútua.www.larqss.di.ufpb.br

35. Canais Seguros.

36. KnownPartners(Parceiros Conhecidos).

37. Zona Desmilitarizada – DMZ.

38. ProtectionReverse Proxy.

39. IntegrationReverse Proxy.

40. IntrusionDetection System – IDS.www.larqss.di.ufpb.br

42. Camada de Enlace:

43. Criptografia a medida que pacotes saem e chegam.

44. Camada de Rede:

45. Firewalls, Proxys, IDS e segurança IP.

46. Camada de Transporte:

47. Criptografia de conexões inteiras, fim-a-fim.

48. Camada de Aplicação:

49. Autenticação, autorização e não-repudio.www.larqss.di.ufpb.br

51. Obedecer as quatro regras básicas em [4].

52. Autenticação bidirecional com protocolo de desafio-resposta abreviado. A A, RA RB Alice Alice Bob Bob KAB(RB) RB, KAB(RA) RA KAB(RB) KAB(RA) Figura 2 – Autenticação bidirecional com protocolo desafio-resposta abreviado. Figura 1 – Autenticação bidirecional com protocolo desafio-resposta. www.larqss.di.ufpb.br

53. Protótipo. “Se os fatos não se encaixam na teoria, modifique os fatos.” (Albert Einstein) www.larqss.di.ufpb.br

55. OpenLDAP, OpenVPN, OpenSSL, Samba, HIDS, Heartbeat, Mon, Squid, DRBD, Iptables, PF.Figura 3 – Diagrama do protótipo. www.larqss.di.ufpb.br

57. Redução de custos: energia, espaço físico, hardware.

58. Gerenciamento Centralizado.

59. Escalabilidade.

60. Alta disponibilidade.

61. Balanceamento de carga.www.larqss.di.ufpb.br

65. CitrixXenServer 5.5Figura 5 – Arquitetura de virtualização. www.larqss.di.ufpb.br

66. 3. Protótipo. Pool de servidores CitrixXenCenter Gerenciamento Figura 6 – Infra-estrutura de virtualização. www.larqss.di.ufpb.br

67. 3. Protótipo. Pool de servidores Figura 7 – Migração de Maquinas Virtuais. www.larqss.di.ufpb.br

70. Sistema Operacional OpenBSD.

71. Roteamento e firewall com PacketFilter (PF).

72. Proteção de pilha e heap, evitando ataques de overflow.

73. libc modificada.

74. NAT para estações e servidores.

75. Três interfaces de rede para separação física da rede interna, pública e DMZ.

76. Balanceamento de banda.www.larqss.di.ufpb.br

79. Catalogo de informações dos usuários e recursos de rede (domínio).

80. Autenticação centralizada.

81. Estrutura para suportar autenticação de clientes Windows e *nix em domínio Samba.

82. Representação da arvore do MS ActiveDirectory.

83. Conexão via TLS ou SSL.www.larqss.di.ufpb.br

91. Cria o canal seguro entre as instituições.

92. Os envolvidos devem dispor de um certificado digital assinado pela CA da Federação.

93. Requer autenticação com senha, usando base do OpenLDAP.

94. Realiza dupla autenticação:

95. O que você tem e o que você sabe.

96. Realiza autenticação de clientes Wireless.www.larqss.di.ufpb.br

98. Comunicação segura e abstração de que as redes são distribuídas.‘ Figura 13 – Rede Virtual Privada entre LARQSS e HULW. www.larqss.di.ufpb.br

101. Controlador Primário de Domínio

102. Permite que redes Windows e *nix se comuniquem.

103. Autenticação centralizada das estações de trabalho no domínio.

104. Usando a base do OpenLDAP.

105. Disponibilizar compartilhamentos de rede e gerenciar as permissões destes.

106. Oferecer perfil móvel para clientes.

107. Preferências dos usuários são armazenadas remotamente, no servidor Samba, e carregadas durante o logon.www.larqss.di.ufpb.br

110. DNS reverso é pré-requisitos para o bom funcionamento da comunicação no domínio.

111. O nome do host é preferencial na comunicação.

112. DNS dinâmico, atualizado pelo servidor DHCP, eleva a escalabilidade e a performance de comunicação com os clientes.

113. Embora os IPs sejam dinâmicos, as estações na rede podem ser encontradas pelo seu nome de host, via consulta ao servidor DNS.

114. DNS deve declarar respostas específicas de domínios ActiveDirectory, caso contrário o domínio Samba não será encontrado por clientes Windows.www.larqss.di.ufpb.br

116. SQUID: Sistemas de Proxy.

117. Heartbeat: Sistema de cluster de Altíssima Disponibilidade – HA.

118. DRBD: Sistema de RAID1 via Ethernet.www.larqss.di.ufpb.br

120. O desenvolvimento foi baseado em padrões e tecnologias abertas, de maneira a reduzir os custos envolvidos para a efetivação da solução.

121. O protótipo continua em evolução, estando atualmente em teste e produção no Laboratório de Arquitetura e Sistemas de Software e no Hospital Universitário Lauro Wanderley.www.larqss.di.ufpb.br

124. Permite que redes Windows e *nix se comuniquem.

125. Autenticação centralizada das estações de trabalho no domínio.

126. Usando a base do OpenLDAP.

127. Disponibilizar compartilhamentos de rede e gerenciar as permissões destes.

128. Oferecer perfil móvel para clientes.

129. Preferências dos usuários são armazenadas remotamente, no servidor Samba, e carregadas durante o logon.www.larqss.di.ufpb.br

131. Diretório Home:

132. Cada usuário dispõe de um diretório pessoal, que será montado automaticamente ao efetuar logon nas estações do domínio.

133. Para acessar o diretório pessoal através de uma rede fora do domínio, usar a VPN(topico 7) e acessar endereço: larqssomedousuario.

134. Ver figura 12;www.larqss.di.ufpb.br

135. 5. Anexos: Samba PDC. Figura 12 – Acessando diretório home em computadores não ingressos no domínio. www.larqss.di.ufpb.br

137. Diretório Publico:

138. Todos os usuários autenticados dispõe de um diretório público, montado automaticamente ao efetuar logon, onde possuem permissões irrestritas por default.

139. Usuários podem alterar a política padrão de permissões dos objetos que criarem. (Figura 13)

140. Para acessar o diretório publico de uma rede fora do domínio, usar VPN e acessar: larqssublico.www.larqss.di.ufpb.br

141. 5. Anexos: Samba PDC. Figura 13 – Alterando permissões. www.larqss.di.ufpb.br

143. Para ingressar estações no domínio, estas devem ser previamente cadastradas.

144. Usuários podem alterar suas senhas pressionando CTRL+ALT+DEL em estações Windows.

145. Usuários do grupo DomainUsers não tem permissões ilimitadas nas estações.

146. Usuários do grupo DomainAdmins tem permissões ilimitadas nas estações.

147. Para mais informações sobre os grupos de permissões: www.larqss.di.ufpb.br

149. Os seguintes logs das atividades dos usuários são armazenados para fins de auditória:www.larqss.di.ufpb.br

151. O nome do host é preferencial na comunicação.

152. DNS dinâmico, atualizado pelo servidor DHCP, eleva a escalabilidade e a performance de comunicação com os clientes.

153. Embora os IPs sejam dinâmicos, as estações na rede podem ser encontradas pelo seu nome de host, via consulta ao servidor DNS.

154. DNS deve declarar respostas específicas de domínios ActiveDirectory, caso contrário o domínio Samba não será encontrado por clientes Windows.www.larqss.di.ufpb.br

158. 5. Anexos: DNS e DHCP Figura 15 – Teste de DNS reverso e dinâmico. www.larqss.di.ufpb.br

160. Cria um túnel seguro entre o computador do cliente e o “switch” do laboratório.

161. Requer autenticação, usando base do OpenLDAP.

162. O cliente deve dispor de um certificado digital assinado pela CA do laboratório.

163. Uma chave estática compartilhada é pré-requisito para estabelecer troca de certificados.

164. Realiza autenticação de clientes Wireless.www.larqss.di.ufpb.br

166. Disponível em: http://www.openvpn.net/beta/

167. No diretório “certificados”, na home de cada usuário, estão os seguintes arquivos:

168. Usuario.crt – Certificado Digital do Usuário.

169. Usuario.key – Chave Privada do Usuário.

170. Ca.crt – Certificado Raiz da CA.

171. Chave.key – Chave Estática Compartilhada.

172. Cliente.ovpn – Arquivo de configuração da VPN.

173. Os arquivos devem ser copiados para o diretório de configuração do OpenVPN, conforme figura 16.www.larqss.di.ufpb.br

174. 5. Anexos: OpenVPN Figura 16 – Ajustando configurações do OpenVPN. www.larqss.di.ufpb.br

177. O OpenVPN irá substituir a rota default do cliente para o Gateway do LARQSS.

178. A estação irá navegar na intranet e internet como se estivesse dentro do laboratório.

179. Em clientes Windows Vista, o OpenVPN deverá ser executado com privilégios de Administrador.

180. O cliente é responsável pelo mal uso do seu certificado digital e senha.www.larqss.di.ufpb.br

182. Ferramenta Livre.

183. Interface Web.

184. Gerência de Múltiplos Projetos.

185. Controle de Acesso.

186. Ganttchart e Calendário.

187. Feeds e Notificação Por E-mail.

188. Integração Com SVN, GIT, CVS e Outros.

189. Wiki, Forum, Documentos e Arquivos.www.larqss.di.ufpb.br

191. Disponibilidade na Intranet do Laboratório:

192. https://redmine.larqss.ufpb

193. http://redmine.larqss.ufpb

194. Disponibilidade de acesso externo através da VPN.www.larqss.di.ufpb.br

195. 5. Anexos: Gerenciamento de Projetos. Figura 17 – Conta de usuário do Redmine. www.larqss.di.ufpb.br

196. 5. Anexos: Gerenciamento de Projetos. Figura 18 – Visualização de Tickets em Gantt. www.larqss.di.ufpb.br

197. 5. Anexos: Gerenciamento de Projetos. Figura 19 – Lista de tickets. www.larqss.di.ufpb.br

198. 5. Anexos: Gerenciamento de Projetos. Figura 20 – Integração com Subversion. www.larqss.di.ufpb.br

200. https://redmine.larqss.ufpb/svn/opencti

201. Autenticação usando credencias do OpenLDAP.

202. Autorização usando papeis do Redmine.www.larqss.di.ufpb.br

204. Controle de Acesso.

205. Autenticação Centralização no OpenLDAP.

206. Portável e de Simples Usabilidade.

207. Isolar Clientes Não Autenticados.www.larqss.di.ufpb.br

209. Realizar autenticação pelo OpenVPN.

210. Obs: No windows vista o openVPN GUI deve ser executado com permissões de administrador.www.larqss.di.ufpb.br

212. [2] SCHUMACHER, M.; BUGLIONI, E. F.; HYBERTSON, D.; BUSCHMANN, F.; SOMMERLAD, P. Securitypatterns: integratingsecurityand systems engineering. England: John Wiley & Sons, 2006.

213. [3] Conselho Federal de Médicina (Brasil). Resolução CFM Número 1.821/2007. Brasília, DF: CFM, 11 jul. 2007.

214. [4] TANENBAUM, A. S. Redes de Computadores. tradução Vandenberg. D. S., 4ª Edição. Rio de Janeiro: Elsevier, 2003.

215. [5]CitrixXenServer. Disponível em: < http://www.citrix.com/English/ps2/products/feature.asp?contentID=1686939>. Acessado em agosto de 2009.

216. [6] KOBAYASHI, L. O. M.; MOTTA, G. H. M. B.; Furuie, S. S.. Análise dos Requisitos Tecnológicos para Implementação de Segurança Fim-a-Fim em Imagens Médicas. In: III LatinAmericanCongressonBiomedicalEngineering, XIX Congresso Brasileiro de Engenharia Biomédica, 2004, João Pessoa - PB. ProceedingsoftheInternationalFederation for Medical andBiologicalEngineering, 2004. v. 5. p. 597-600.www.larqss.di.ufpb.br

218. [8] MOTTA, G. H. M. B. Um modelo de autorização contextual para o controle de acesso ao prontuário eletrônico do paciente em ambientes abertos e distribuídos. São Paulo: USP, 2004. 213 p. Tese (Doutorado) – Programa de Pós-graduação em Engenharia Elétrica, Escola Politécnica da Universidade de São Paulo, São Paulo, 2004.

219. [9] FERRAIOLO D. F.; KUHN, D. R.; CHANDRAMOULI, R. Role-Based Access Control. Boston: ArtechHouse, 2003.

220. [10] STALLINGS, W. Criptografia e Segurança de Redes: Princípios e Práticas. 4ª Edição. Prentice-Hall, 2007.

221. [11] TRIGO, C, H. OpenLDAP: uma Abordagem Integrada. São Paulo: Novatec, 2007.

222. [12]VulnerabilityReport: FreeBSD 7.1. Disponível em: < http://secunia.com/advisories/product/21677/> Acessado em agosto de 2009.

223. [13]VulnerabilityReport: Debian GNU/Linux 5.0. Disponível em < http://secunia.com/advisories/product/21392/> Acessado em agosto de 2009.

224. [14] TANENBAUM, A. S. Organização estruturada de computadores. Tradução: Arlete Simille Marques; 5ª Edição. São Paulo: Pearson Prentice Hall, 2007.www.larqss.di.ufpb.br

225. Obrigado! PLANOImplementação de Arquitetura de SegurançaBaseada em SecurityPatterns para o OpenCTIPROJETOOpenCTI: Software de uma Central de Telemedicina para Apoio à Decisão Médica em Medicina Intensiva João F. M. Figueiredo joao.matosf@gmail.com http://www.joaomatosf.com Orientador: Gustavo Motta. gustavo@di.ufpb.br Departamento De Informática Universidade Federal Da Paraíba www.larqss.di.ufpb.br