A privacidade online não se resume mais a simplesmente se manter longe de olhares indiscretos. A criptografia na web desempenha um papel fundamental na proteção da nossa privacidade e está em constante evolução.
Antes restritos às páginas de login e finalização de compra, protocolos criptográficos como o Transport Layer Security (TLS) ganharam destaque nos últimos tempos, permitindo que os endpoints sejam autenticados e se comuniquem de forma confidencial. Nos últimos dois anos, os padrões TLS também foram atualizados. Em breve, os navegadores bloquearão implementações antigas e vulneráveis do protocolo, como TLS 1.0 e 1.1. Novos protocolos também estão sendo introduzidos para tornar mais seguros os protocolos vulneráveis que ainda são amplamente utilizados atualmente.
É fácil entender por que as empresas podem ter dificuldades para acompanhar essas mudanças. No início do ano passado, por exemplo, pesquisadores de segurança descobriram a primeira amostra de malware a utilizar o protocolo emergente de criptografia do Sistema de Nomes de Domínio, o DNS-over-HTTPS (DoH).
O cenário do TLS já não é mais o mesmo, e as organizações precisam acompanhar os avanços mais recentes para garantir que os sites sejam implantados com segurança e permaneçam seguros durante toda a sua vida útil.
Acompanhando as mudanças
De modo geral, as empresas entendem os benefícios que as novas atualizações do TLS podem trazer e parecem receptivas a mudanças. Por exemplo, o relatório mais recente de telemetria de TLS da F5 Labs constatou que quase um terço dos um milhão de sites mais acessados segundo o ranking Alexa aceitava conexões TLS 1.3. Em muitos aspectos, isso faz sentido do ponto de vista comercial. Os navegadores mais populares já são compatíveis com o novo padrão, que oferece diversos benefícios de segurança e desempenho.
No entanto, adotar a versão mais recente do TLS ainda não é uma opção para todos.
Se esse for o caso, as empresas devem considerar desabilitar completamente as trocas de chaves RSA, removendo os conjuntos de cifras que as oferecem. Uma pesquisa da F5 constatou que mais de um terço dos sites mais populares do mundo ainda oferece o RSA como algoritmo criptográfico preferencial — embora pesquisadores de segurança continuem encontrando maneiras de atacá-lo. Isso inclui a vulnerabilidade ROBOT, de 19 anos atrás, que permite realizar operações de descriptografia e assinatura RSA com a chave privada de um servidor TLS. Segundo uma pesquisa do F5 Labs, pouco mais de 2% dos principais sites do mundo provavelmente ainda estão vulneráveis a essa exploração.
Assim como ocorre com outros softwares, pesquisadores de segurança frequentemente descobrem vulnerabilidades em bibliotecas TLS. Por isso, cabe às organizações garantir que sejam notificadas quando houver atualizações para a pilha TLS de seus servidores web, balanceadores de carga ou controladores de entrega de aplicações. Políticas de aplicação rápida de patches também são essenciais.
Também é importante observar que qualquer Autoridade Certificadora (CA) pode criar um certificado para absolutamente qualquer domínio na web. Por esse motivo, é prudente restringir a permissão a apenas duas ou três CAs conhecidas e confiáveis. Isso pode ser feito por meio da criação de registros DNS de Autorização de Autoridade Certificadora (CAA). Além disso, aplicar o cabeçalho HTTP Strict Transport Security (HSTS) aos aplicativos web proporcionará uma camada adicional de segurança, pois os navegadores sempre tentarão carregar os sites de forma segura por HTTPS. Essa é uma medida essencial que pode ajudar a evitar ataques de rede que forçam o carregamento de páginas não seguras, permitindo que invasores espionem, alterem e redirecionem o tráfego de rede.
Embora os registros CAA de DNS tenham sido criados para impedir a emissão indevida de certificados para domínios válidos, os fraudadores raramente tentam criar um certificado para um domínio existente, como mybank.com. Em vez disso, eles criam certificados para domínios de sua propriedade, usando o nome da marca “mybank” como subdomínio, como mybank.attacker.com.
Felizmente, sempre que um certificado é criado por qualquer autoridade certificadora (CA), ele é registrado em um banco de dados distribuído globalmente (os logs de Transparência de Certificados). O monitoramento dos logs de CT é uma forma útil de receber alertas quando um domínio ou uma marca está sendo falsificado por agentes mal-intencionados.
Com o HTTPS agora presente em todos os lugares, também há mais algoritmos de criptografia, chaves e certificados para gerenciar. Somado à crescente adoção de metodologias DevOps, isso significa que a velocidade das mudanças e das implantações aumenta constantemente.
Assim como as ferramentas e os testes de segurança estão sendo integrados à cadeia de ferramentas de automação, a configuração do HTTPS também deve ser. Isso significa considerar a criação orquestrada de certificados digitais e desenvolver políticas internas que definam os padrões, como o comprimento mínimo das chaves e os conjuntos de cifras. Uma automação dessa natureza também ajudará a gerenciar certificados próximos do vencimento, renovando-os automaticamente antes que ocorra uma interrupção do serviço.
Atentando para a lacuna de segurança do TLS
Infelizmente, ainda existem muitas lacunas de privacidade e segurança, mesmo quando o TLS é implementado corretamente. Protocolos como o DNS sobre HTTPS (DoH) estão surgindo para ajudar a eliminar essas lacunas e, embora melhorem a privacidade dos usuários da Web, também podem dificultar a identificação e o bloqueio de tráfego malicioso pelas equipes de segurança corporativa. Em alguns casos, isso exige a desativação do DoH em redes corporativas ou a implantação de serviços internos de DoH para os usuários. Esses serviços funcionarão em conjunto com o proxy Web e ajudarão a filtrar o tráfego indesejado.
No fim das contas, nem mesmo a melhor implementação de TLS do mundo consegue impedir que códigos maliciosos sejam injetados por malware no lado do cliente ou que a segurança seja comprometida por scripts de terceiros. Por isso, sempre recomendamos compreender os limites do HTTPS e as lacunas existentes.
Uma coisa é certa: a criptografia está sempre evoluindo. O tamanho das chaves está aumentando, os certificados estão se tornando automatizados, os governos estão impondo restrições e novos protocolos estão surgindo. É essa mudança constante que representa um novo nível de risco para muitas organizações e seus clientes. Uma implementação inadequada de TLS não passará despercebida por hackers, órgãos reguladores e seguradoras de riscos cibernéticos, além de poder levantar sérias dúvidas sobre o restante da infraestrutura de uma organização.
Sobre o autor
Publicações relacionadas no blog
Entrega e proteção de agentes de IA em fábricas de IA: F5 para a arquitetura de referência NVIDIA OpenShell para agentes de IA seguros
As soluções da F5 ampliam a Arquitetura de Referência NVIDIA OpenShell para agentes de IA seguros.
Como medir – e minimizar – o custo total de propriedade do seu Kubernetes
O Kubernetes pode ser baixado e executado gratuitamente, mas sua manutenção está longe de não ter custos. Assim como outras grandes plataformas de código aberto que são “gratuitas” apenas em um sentido simplista, o Kubernetes quase certamente exigirá investimentos para ser implantado e operado.
As-Code: a pilha de TI contínua
Infraestrutura, configuração, pipeline, operações. De repente, tudo é “como código”. Lori MacVittie busca esclarecer a terminologia e identificar os diferentes componentes de uma stack contínua de TI.
O estado da entrega de aplicações em 2017: automação, APIs e DevOps
Explore o relatório State of Application Delivery de 2017. Leia o blog retrospectivo da F5 sobre o início da ascensão das redes declarativas e dos pipelines de DevOps.
DevOps Summit: onde a rede foi convidada para a festa
No DevOps Summit NY, falou-se muito não apenas sobre DevOps, mas também sobre contêineres, IoT e microsserviços. As sessões se concentraram não só na mudança cultural necessária para crescer em escala com uma abordagem DevOps, mas também fizeram questão de incluir...
F5 e Nutanix convergem em infraestrutura no .NEXT
Aplicações empresariais como Microsoft SharePoint e Exchange, juntamente com a VDI, continuam sendo a espinha dorsal da sua empresa. A produtividade, embora não seja tão atraente quanto o lucro, é um fator essencial para o sucesso das operações empresariais atuais. Deixar de...