Abordando o Princípio de Peter Parker na inspeção de TLS

Jay KelleyGerente Sênior de Marketing de Produto | F5

“Com grandes poderes vêm grandes responsabilidades.” Embora se reconheçam referências a Voltaire e Churchill, a frase é mais conhecida pelos quadrinhos do “Homem-Aranha”, nos quais é atribuída ao tio Ben, de Peter Parker. Naturalmente, parte da popularidade cultural dessa frase se deve ao fato de que ela pode ser aplicada a inúmeras situações e temas, incluindo — como indica o título — a inspeção de TLS.

Recentemente, a Agência de Segurança Nacional dos Estados Unidos (NSA) publicou um alerta para abordar possíveis riscos associados à implantação da Inspeção de Segurança da Camada de Transporte (TLSI). O alerta da NSA também apresentou métodos para mitigar possíveis vulnerabilidades de segurança em organizações que implantam e utilizam produtos de TLSI.

Uma breve introdução à TLSI: a TLSI — também conhecida como interceptação e inspeção de TLS — é um processo que permite às organizações descriptografar e criptografar novamente o tráfego de rede protegido por TLS ou até mesmo por Secure Socket Layer (SSL). A TLSI é essencial para as organizações, já que atualmente a maioria dos ataques fica oculta no tráfego criptografado. Por exemplo, de acordo com a pesquisa mais recente, pesquisamais de 90% dos carregamentos de páginas já são criptografados com SSL/TLS, e 71% dos sites de phishing utilizam certificados de criptografia.

Atualmente, muitas organizações usam um dispositivo dedicado, como um proxy, um firewall, um sistema de detecção de intrusões (IDS) ou um sistema de prevenção de intrusões (IPS), para descriptografar e criptografar novamente o tráfego protegido por TLS. Outras ainda encaminham o tráfego criptografado por TLS por uma cadeia de dispositivos em sua infraestrutura de segurança, forçando a descriptografia e a nova criptografia em cada dispositivo de segurança. Todo o processo de TLSI ajuda as organizações a monitorar possíveis ameaças (como malware) no tráfego criptografado de entrada. Ele também permite monitorar o tráfego criptografado de saída em busca de exfiltração de dados e comunicações ativas de comando e controle (C2) com servidores maliciosos, prontas para baixar recursos adicionais de ataque.

Mas, de acordo com o alerta da NSA, o método de TLSI utilizado, bem como a forma como ele é implementado, também pode introduzir sérios riscos para uma organização.

Em seu comunicado, a NSA também recomenda que o tráfego TLS seja descriptografado e inspecionado apenas uma vez na rede de uma organização. O comunicado afirma claramente que não se deve descriptografar, inspecionar e criptografar novamente o tráfego TLS por meio de um dispositivo de proxy de encaminhamento e, em seguida, enviá-lo a outro dispositivo de proxy de encaminhamento para repetir o mesmo processo. Essa prática aumenta a superfície de risco sem oferecer nenhum benefício adicional.

Se uma organização estiver implantando ou usando uma solução de TLSI que não valide corretamente os certificados TLS, a criptografia TLS poderá ser enfraquecida, abrindo uma brecha para ataques man-in-the-middle (MiTM).

Um dispositivo de proxy de encaminhamento usado para TLSI que esteja operando de forma inadequada pode fazer com que o tráfego descriptografado seja redirecionado para um dispositivo não autorizado de terceiros, resultando no roubo ou uso indevido de dados confidenciais.

De acordo com o alerta da NSA, monitorar o fluxo de tráfego de rede para o proxy de encaminhamento pode ajudar a reduzir qualquer possibilidade de exploração. Além disso, para garantir que a TLSI esteja funcionando como deveria, o alerta recomenda o uso de análise de logs, que pode detectar tráfego encaminhado incorretamente e ajudar a identificar abusos ou usos indevidos — intencionais ou não — por parte dos administradores.

Além disso, os produtos de TLSI provavelmente precisarão encadear conexões TLS, o que pode reduzir a proteção da criptografia e permitir a exploração de um conjunto de cifras ou de uma versão do TLS menos seguros. Algumas soluções de TLSI podem permitir versões mais antigas do TLS e conjuntos de cifras menos seguros somente em caráter excepcional.

A maioria dos dispositivos de proxy de encaminhamento TLSI inclui sua própria autoridade certificadora (CA) interna para criar e assinar novos certificados. No entanto, a CA integrada pode ser usada para assinar códigos maliciosos, contornando mecanismos de segurança como IDS e IPS, ou para implantar serviços mal-intencionados que imitam serviços legítimos. O alerta da NSA recomenda que as organizações selecionem produtos que implementem corretamente o fluxo de dados, o TLS e a CA.

Outra superfície de ataque pode estar no ponto em que o dispositivo TLSI descriptografa o tráfego, imediatamente antes de ele ser enviado aos dispositivos de segurança. Nesse momento, o tráfego está em texto simples e vulnerável a ataques, o que pode permitir que invasores obtenham credenciais de usuários e outros dados confidenciais.

F5 SSL Orchestrator garante que o tráfego criptografado seja descriptografado, inspecionado pelos controles de segurança apropriados e criptografado novamente, proporcionando visibilidade do tráfego criptografado e reduzindo os riscos de ameaças ocultas. O SSL Orchestrator também maximiza a eficácia dos investimentos existentes em segurança, encadeando dinamicamente os serviços de segurança e direcionando o tráfego descriptografado por meio de políticas, além de aplicar inteligência baseada em contexto ao tráfego criptografado. Além disso, o SSL Orchestrator gerencia e distribui centralmente as tecnologias de criptografia mais recentes em toda a infraestrutura de segurança de uma organização, centralizando o gerenciamento de certificados e chaves e oferecendo gerenciamento e controle robustos de cifras. O SSL Orchestrator monitora de forma independente a integridade de cada serviço de segurança. Ele também garante que as soluções de segurança operem com máxima eficiência e possam ser dimensionadas com alta disponibilidade por meio dos recursos de balanceamento de carga e escalabilidade da F5. Além disso, oferece suporte aos mais rigorosos e robustos padrões governamentais e do setor em matéria de segurança e privacidade.

A ênfase da recomendação da NSA é realizar a descriptografia e a inspeção de TLS de forma adequada e uma única vez. Embora possa parecer que uma solução completa, como um firewall de próxima geração (NGFW), atenderia tecnicamente a esse conceito, na prática ela é bastante inviável quando se busca lidar com todos os tipos de tráfego criptografado e requisitos de taxa de transferência. O que realmente é necessário — e a melhor abordagem para realizar a descriptografia e a inspeção de TLS de forma adequada e uma única vez — é um conjunto de produtos de vários fornecedores, rigorosamente monitorados e conectados com segurança, configurados em uma solução que descriptografa, inspeciona e recriptografa uma única vez, mostrando-se mais flexível, resiliente e prática.

Com o F5 SSL Orchestrator, uma organização não precisa encadear dispositivos de proxy de encaminhamento. Também não precisa realizar o monitoramento independente do tráfego nem sequer adicionar o monitoramento de dispositivos. Como se trata de uma arquitetura de proxy completo, é usado o conjunto de cifras ou o método de criptografia mais seguro. Em outras palavras, o SSL Orchestrator mitiga todos os riscos apontados no alerta da NSA e, ao mesmo tempo, ajuda as organizações a se alinharem à relação bem estabelecida entre responsabilidade e poder.

Sobre o autor

Jay KelleyGerente Sênior de Marketing de Produto | F5

Mais publicações de Jay Kelley