DNSSEC - Antes tarde do que nunca

[ Update 22/03/2014 ]

Três anos depois, parece que o "nunca" ganhou do "antes tarde"?

DNSSEC Has Failed

O autor do artigo acima tem razão em alguns pontos, especialmente o que tange a complexidade da implementação adequada do DNSSEC ("To enable DNSSEC we have a “tutorial” by Olaf Kolkman which spans a whopping sixty-nine pages. DNS engineers can get trainings, which always take multiple days.")

[ Update 20/11/2011 ]

Seguem alguns sites que podem ser usados para verificar o status de implementações de DNSSEC (incluindo delegações / cadeia de autenticações / etc.. )

1. Sandia Laboratories: http://dnsviz.net/
2. IIS.SE: http://dnscheck.iis.se
3. Verisign: http://dnssec-debugger.verisignlabs.com/

[ Update: 31/05/2010 ]

Atenção administradores de DNS Recursivos brasileiros - reproduzo abaixo informações de configuração DNSSEC postadas no GTS por Frederico Neves do registro.br incluindo a nova KSK key da zona .br:

Senhores(as),

Conforme a nossa "Política de publicação e administração de chaves DNSSEC" [1], desde 31/05/2010 estamos utilizando uma nova chave KSK para a zona .br. A nova chave com key id 41674 juntamente com exemplos de configuração para BIND e UNBOUND pode ser obtida abaixo [3] ou em nosso site [2].

A chave em uso desde 24/06/2008, com key id 18457, deixará de ser utilizada a partir de 26/07/2010.

Se você administra servidores DNS recursivos que estejam com DNSSEC habilitado, não se esqueça de atualizar a chave do .br na configuração de seu servidor. A substituição da chave ancorada em seu servidor DNS pela nova KSK do .br deve ser feita antes do final do período de rollover, que se encerra em 26/07/2010.

É esperado que este seja o último rollover manual uma vez que a raiz será assinada em breve e as próximas trocas de chaves serão efetuadas de forma automática.

Atenciosamente,
Frederico Neves

[1] http://registro.br/info/dnssec-policy.html
[2] https://registro.br/ksk/index.html
[3]
*DNS RR
br. IN DNSKEY 257 3 5 (
AwEAAblaEaapG4inrQASY3HzwXwBaRSy5mkj7mZ30F+h
uI7zL8g0U7dv7ufnSEQUlsC57OHoTBza+TQIv/mgQed8
Fy4XGCGzYiHSYVYvGO9iWG3O0voBYy/zv0z7ANfrA7Z3
lY51CI6m/qoZUcDlNM0yTcJgilaKwUkLBHMAp9NJPuKV
t8A7OHab00r2RDEVjiLWIIuTbz74gCXOVfAmvW07c8c=
) ; key id = 41674


*BIND trusted-keys config
trusted-keys {
br. 257 3 5
"AwEAAblaEaapG4inrQASY3HzwXwBaRSy5mkj7mZ30F+h
uI7zL8g0U7dv7ufnSEQUlsC57OHoTBza+TQIv/mgQed8
Fy4XGCGzYiHSYVYvGO9iWG3O0voBYy/zv0z7ANfrA7Z3
lY51CI6m/qoZUcDlNM0yTcJgilaKwUkLBHMAp9NJPuKV
t8A7OHab00r2RDEVjiLWIIuTbz74gCXOVfAmvW07c8c=";
};


*UNBOUND trust-anchor config
trust-anchor: "br. DS 41674 5 1 EAA0978F38879DB70A53F9FF1ACF21D046A98B5C"

[ Update: 06/05/2010 ]

A mudança de chave para o DNSSEC do último dos 13 root DNS servers foi ontem. A partir de agora todos respondem com uma versão assinada da root zone. A validação das assinaturas ainda não é possível pois as chaves públicas só serão disponibilizadas durante uma cerimônia (txt ICANN) em julho desde ano.

Mais informações:

http://www.h-online.com/security/news/item/DNSSEC-on-all-root-servers-994744.html

Posts Relacionados:

• Root DNS, CA e AS - uma questão de (des)confiança
• (mais uma) Falha no protocolo DNS descoberta
• Telefônica sofre ataques de negação de serviço (DDOS)
• Trojan DNSChanger - v4

[ Post Original: 21/01/2010 ]

Na próxima semana a Verisign iniciará a configuração do DNSSEC para os domínios .com e .net (2 root servers). O processo envolverá inicialmente todas as empresas e entidades responsáveis pelos 13 root servers e esta fase inicial deve durar até julho deste ano.

O DNS - Domain Name Service - (udp/tcp 53) é um dos protocolos mais importantes da Internet - por ser responsável por resolver os endereços IP aos quais os computadores devem se conectar, a partir de um banco de dados distribuído. É ele que permite que você somente precise se lembrar de nomes simples para acessar utilizar a internet (www.google.com - em vez de 72.24.204.99 ou 2001:4860:0:1001::68 para ipv6).

As RFCs 282 e 283 definiram a implementação DNS em 1982, e depois várias outras detalharam ou alteraram especificações relacionados ao protocolo e/ou serviço DNS - e podem ser verificadas no seguinte link: http://www.dns.net/dnsrd/rfc/.

Num exemplo claro de que as mudanças nem sempre são rápidas quando se trata de segurança - o DNSSEC foi primeiramente proposto em 1997, na RFC 2065.

Em resumo, as extensões DNSSEC oferecem 3 novos record types que trazem mais segurança ao protocolo e indiretamente aos serviços da internet e à sua navegação:

1) processo de distribuição de chaves (KEY/DNSKEY),

2) a certificação da origem de dados (SIG/RRSIG) e,

3) a certificação de transações e requisições (NXT/NSEC).

Ou seja, o DNSSEC pretende proteger a integridade dos dados DNS e garantir que as informações estão vindo da origem correta:

1) os domínios da internet podem se assegurar que eles que somente eles são os responsáveis pelas informações de resolução dos sites que possuem, e

2) usuários - que ao navegar automaticamente fazem resoluções DNS - podem verificar que o resultado obtido veio de uma origem confiável.

Por estes motivos, o DNSSEC é considerada a melhor solução para melhorar a segurança deste serviço fundamental e eliminar o problema de envenenamento de caches DNS (DNS cache Poisoning) - que como sabemos é um ataque muito comum e efetivo hoje.

Em 2007, eu tive a oportunidade de revisar um paper publicado pelo CERT.BR que trata entre outras coisas - de DNS Poisoning - segue o link: http://www.cert.br/docs/whitepapers/dns-recursivo-aberto/.

Além disto publicamos em 2008 uma série de updates sobre a falha descoberta por Dan Kaminski que facilita as explorações de DNS Poisoning utilizando birthday attack. (desde então ele faz uma campanha defendendo a adoção do DNSSEC).

Os efeitos de ataques em servidores DNS são inúmeros, incluindo:

1) Ataque de Negação de Serviço Abusando de Servidores DNS Recursivos Abertos - detalhes aqui.

2) "falso-deface": pois o usuário ao digitar o endereço do site - e resolver o endereço IP no servidor DNS que sofreu o envenenamento - será redirecionado para outro servidor sobre controle do hacker (como foi o caso do Twitter no final de 2009)

3) golpes de phishing em massa ( ou pharming ): ou seja, sem utilização de código malicioso no cliente, que tem o seu servidor de DNS envenenado redirecionando sites de instituições financeiras para outro endereço IP - controlado pelo hacker - era muito comum no Brasil de 2002 a 2005 e ainda é existente por aqui e pelo mundo.

Com relação ao DNSSEC, sabemos que este tipo de alteração em um serviço tão fundamental da internet deve idealmente envolver todos os administradores de DNS's.

Quem já cansou de esperar por 13 anos - desde a primeira RFC que tratou do assunto - pode estar entre os "early adopters" ou - é claro - esperar mais 6 meses - quando todos os root servers estarão OK - para iniciar o trabalho de assinar as zonas, e gerenciar as chaves criptográficas envolvidas nas comunicações entre os resolvers e os servers.

Os passos naturais para tanto são: geração das chaves criptográficas (pública e privada), update do arquivo de zona, configuração de resolver c/ forwarding, publicação da zona e verificação da nova zona assinada.

A tendência natural é que grandes sites adotem o DNSSEC mais rapidamente, para garantir uma maior segurança para eles próprios e para os seus usuários.

Mais informações:

Para acompanhar a evolução da adoção do DNSSEC pelos root servers, acesse http://www.root-dnssec.org/. Para detalhamentos técnicos, visite a seção de documentos:

Este é o timeline previsto:

• December 1, 2009: Root zone signed for internal use by VeriSign and ICANN. ICANN and VeriSign exercise interaction protocols for signing the ZSK with the KSK.
• January, 2010: The first root server begins serving the signed root in the form of the DURZ (deliberately unvalidatable root zone). The DURZ contains unusable keys in place of the root KSK and ZSK to prevent these keys being used for validation.
• Early May, 2010: All root servers are now serving the DURZ. The effects of the larger responses from the signed root, if any, would now be encountered.
• May and June, 2010: The deployment results are studied and a final decision to deploy DNSSEC in the root zone is made.
• July 1, 2010: ICANN publishes the root zone trust anchor and root operators begin to serve the signed root zone with actual keys – The signed root zone is available.

É claro que sobra muito espaço ainda para melhoria no DNSSEC e algumas questões precisam ser mais bem trabalhadas, como ataques "Man-in-the-middle" com spoofing, a questão da necessidade de se confiar no resolver, ataques de negação de serviço e dados não encriptados, por exemplo.

Obviamente as preocupações tradicionais de segurança continuam valendo para o DNSSEC - e as principais são manter o serviço instalado de forma adequada e no último patch level possível.

Recentemente foi divulgada uma falha na implementação do DNSSEC pelo BIND (advisory aqui) - que já foi corrigida. As versões atualmente recomendas são: 9.4.3-P5, 9.5.2-P2 or 9.6.1-P3.

Uma excelente discussão e o status da implementação do DNSSEC no Brasil dado pelo Frederico A C Neves do Registro.BR você pode verificar neste vídeo "DNSCurve X DNSSEC" - do FISL 10 (Obrigado Zucco pela dica nos comentários!).

Segurança e Defesa Cibernética: Recursos Humanos

[ Última Atualização: 07/03/2014 /  Post Original: 11/10/2011 ]

O maior desafio ao tentar desenvolver capacidades de Segurança e Defesa Cibernética não é técnico, comercial ou processual, e sim humano. Isto é verdade em todos os níveis, desde pequenas empresas, passando por grandes organizações públicas e privadas e incluindo países inteiros.

A diferenciação entre "Segurança" e "Defesa" tem sido definida pela esfera - civil ou militar - das ações  de proteção, detecção ou reação executadas. Porém isto é muito dificultado em um cenário como a Internet, em que a dificuldade de atribuição de responsabilidade é imensa (ver final do post).

O problema é global. Ações de espionagem industrial direcionadas à informações estratégicas e infra-estruturas críticas são os acontecimentos mais comuns nesta esfera. Os Estados Unidos recentemente sugeriu oficialmente uma "pressão diplomática" juntamente com seus aliados na Ásia e Europa, para que os chineses assumam responsabilidade por ações que são contínuas - e documentadas em incidentes como GhostNet, Aurora, Shady Rat, Kneber, Night Dragon, e mais recentemente as ações tomadas públicas pelos vazamentos de Edward Snowden, o caso Careto / The Mask - este últimos dois afetando o Brasil diretamente.

Além disto o desafio político é muito grande - como coordenar iniciativas de resposta e troca de informações sobre ameaças entre forças armadas, empresas públicas e privadas (muitas destas coisas concessões de exploração de infraestruturas críticas).

Uma coisa é certa: mais importante do que adquirir ou desenvolver qualquer tecnologia é conseguir treinar os recursos humanos necessários e priorizar a atenção nas ameaças reais de uma organização. Aos interessados, veja o que mais sobre este tema nestes dois artigos).

Um exemplo da complexidade de se preparar adequadamente para o tema "Segurança Cibernética" 

é o documento Identity & Information Assurance Related Policies and Issuances (pdf) - trata-se de um excelente gráfico que organiza e aponta para os inúmeros textos de regulamentações e guias sobre Segurança da Informação no governo federal norteamericano. 

Se depois de ver este gráfico você ainda não se convenceu da complexidade do assuinto, gostaria de citar um trecho dito pelo guru Dan Geer - que nos lembrou disto durante sua palestra na Source Boston de '08:

Security is perhaps the most difficult intellectual profession on the planet.  The core knowledge base has reached the point where new recruits can no longer hope to be competent generalists, serial specialization is the only broad option available to them.

Para completar as referências sobre a complexidade e a necessidade de formação de mão de obra adequada para operar CiberSegurança e/ou CiberDefesa: A cerca de um ano, uma comissão responsável por assessorar a presidência norteamericana sobre o tema publicou um interessante documento entitulado "A Human Capital Crisis in CyberSecurity" (pdf)

Uma das conclusões do relatório é a seguinte: incluindo todos os profissionais de áreas governamentais (incluindo militares) e civis nos nos Estados Unidos, existem hoje apenas 1000 (mil) profissionais devidamente treinados e habilitados a trabalhar com "CyberSecurity" por lá. Para uma adequada preparação na área de Defesa Cibernética, o estudo indicou uma necessidade atual de 30.000 (30 mil) pessoas.

Enquanto isto, no Brasil:

Dentre as iniciativas feitas até o momento pelo Centro de Defesa Cibernética (CDCiber), está a previsão de criação da Escola Nacional de Defesa Cibernética (pdf).

Objetivo: "conceber Instituição de Ensino de presença nacional, que tenha como foco formar e capacitar profissionais para exercerem funções específicas na manutenção da defesa cibernética, contribuindo com a segurança cibernética das infraestruturas críticas nacionais, por meio da inclusão da sociedade nas atividades do Setor Cibernético."

Ações Estratégicas: "criar a Escola Nacional de Defesa Cibernética (EsNaDCiber), fomentar a parceria entre a Escola e as instituições de ensino públicas e privadas, fomentar a parceria entre a Escola e entidades públicas e privadas, capacitar profissionais para atuarem na segurança e na defesa cibernética das infraestruturas críticas nacionais, incentivar a participação do MEC e do MCT no aprimoramento do projeto, identificar as melhores práticas no emprego das novas tecnologias de ensino, quantificar as demandas de pessoal a qualificar, identificar competências existentes para atuar no setor, identificar cursos já existentes que atendam às demandas prementes, implementar cursos de demanda premente, visando atender às necessidades de curto prazo, sugerir ao MEC a implementação de ações educacionais de fomento na área de segurança e defesa cibernética."

Video de uma entrevista concedida em fevereiro de 2014, pelo Coronel Luiz Gonçalves , do CDCIBER, sobre a Escola Nacional de Defesa Cibernética:

Existem diversas Universidades que potencialmente podem auxiliar este projeto relacionado à Segurança das Informações e Comunicações: Unb, Unicamp, USP, UFPel, UFSM, ITA, IME, UECE, UFPE  - apenas para citar algumas das mais ativas no setor (* veja update abaixo para uma lista mais completa)

Além disto, diferentes órgãos de governo possuem material humano com expertise para auxiliar a iniciativa: Ministério da Defesa (Exército, Marinha, Aeronáutica), Presidência da República (Secretaria de Assuntos Estratégicos, Agência Brasileira de Inteligência, Gabinete de Segurança Institucional - DSIC/CTIR), Ministério da Justiça (Departamento de Polícia Federal, Procuradoria Geral da República), Ministério do Planejamento, Ministério da Educação (RNP), Ministério de Ciência e Tecnologia (Secretaria de Politica de Informática, Comitê Gestor da Internet no Brasil - CERT.BR).

Listando rapidamente (e não exaustivamente) apenas algumas das diferentes especialidades necessárias para formar e suportar times complexos de cibersegurança. É possível visualizar a dificuldade de contratação (e/ou coordenação) deste grupo de profissionais (aproveito para listar algumas referências profissionais e organizacionais brasileiras com experiência comprovada nas áreas listadas).

1. Análise de Malware e Engenharia Reversa (Ronaldo Lima, Fábio Assolini, Pedro Bueno, Ranieri Romera, Guilherme Venere, CTI, Febraban, GAS)
2. Análise de Risco (Módulo, Axur)
3. Análise de Vulnerabilidades em Hardware (CEPESC, Kryptus)
4. Conscientização de Segurança (Anderson Ramos, Patrícia Peck)
5. Correlação de Eventos de Segurança (Luiz Zanardo, Janilson Correia, Daniel Cid)
6. Criptografia (Routo Terada, José Gondim, ABIN, eSEC)
7. Desenvolvimento de Exploits / Busca de Vulnerabiliades: Rodrigo Rubira, 
8. Direito Digital (Opice Blum, Coriolano Camargo, Atheniense, Omar Kaminski, José Milagre)
9. Resposta a Incidentes (Jacomo Picolini, Klaus Jessen, Cristine Hoepers, CERT.BR, CTIR, APURA)
10. Forense Computacional (Marco Wanderley, Marcelo Caiado, DataSecurity, William Teles, Tony Rodrigues, José Milagre,SEPINF - DPF, APURA)
11. Pentesting (Wendel Henrique, Filipe Balestra, Joaquim Espinhara, Rafael Ferreira, Tempest)
12. Segurança de Sistemas Embarcados (Rodrigo Almeida, Sérgio Prado, Alberto Fabiano)
13. Segurança de Sistemas Operacionais (Fernando Cima, Jeronimo Zucco, Marcelo Tossati)
14. Segurança de Aplicações Web (Tiago Assumpção,Wagner Elias, Lucas Ferreira, Thiago Zaninotti)
15. Segurança de Sistemas SCADA (Marcelo Branquinho)
16. Segurança de Rede (Aker, Breno Silva, Frank Ned)
17. Segurança de Redes Wireless (Nelson Murilo, Leonardo Militelli)
18. Segurança de Backbone (Daniel Kratz, Karlos Correia, Kleber Carriello)

PS: Estas lista de áreas e referências acadêmicas, governamentais e empresariais se iniciou a partir de referências pessoais e aguardo sugestões para atualizar a lista com nomes que os leitores podem incluir nos comentários, abaixo.

Através da COMSIC, o José Eduardo Brandão, do IPEA, colaborou com a lista de outras universidades ainda não citadas, a partir de um levantamente feito em dezembro de 2010:

Centro Universitário do Pará, Faculdade de Tecnologia e Ciências, Faculdade Estácio, Faculdade Paraíso do Ceará, Faculdades Integradas Rio Branco, FURB - Universidade Regional de Blumenau, IFES, IFPR, IFRS, IFSC, IME, Instituto Federal Catarinense Campus Videira, Instituto Federal de Goiás, Instituto Federal de Mato Grosso, IPEA, IPT, ITA, PUCPR, PUCRS, SENAC, SENAC/RS, UDESC, UECE, UENP, UESPI, UFABC, UFAM, UFBA, UFCG, UFF, UFMA, UFMG, UFMT, UFPI, UFPR, UFRGS, UFRN, UFRJ, UFPE, UFSC, UFSE, UFSM, UFU, UnB, UNESP, UniCEUB, Unibalsas, Unicamp, UNIFACS , UNIJORGE, UNIMEP/FATEC, Uninove, UNISINOS, Unisul, UNIVALI, Universidade Católica de Brasília, Universidade Cruzeiro do Sul, Universidade do Estado de Mato Grosso, Universidade Estadual de Maringá, USP e UTFPR.

Como referência, os Estados Unidos possuem uma iniciativa que lista "Centros de Excelência" acadêmica em "Information Assurance" publicada em http://www.nsa.gov/ia/academic_outreach/nat_cae/institutions.shtml

Vale também mencionar que no Brasil existem instituições de governo, como a Escola Superior de Redes da RNP e o CERT.BR e empresas como a Clavis, que possuem cursos úteis, inclusive online - para treinamento de profissionais que atuam na área.

Outras informações:

• A Secretaria de Assuntos Estratégicos da Presidência da República (SAE/PR) disponibilizou a versão online (PDF) do documento "Desafios para a Segurança e Defesa Cibernética":

Com o objetivo de orientar o desenvolvimento de políticas públicas na área de segurança cibernética, a SAE lança a publicação “Desafios Estratégicos para a Segurança e Defesa Cibernética” com artigos e propostas de curto e médio prazo para a administração federal. A publicação visa fazer com que o país estabeleça práticas de prevenção e combate às invasões digitais, que crescem a cada dia.

• O "Center for Strategic and International Studies" publicou uma análise (PDF) entitulada "Cybersecurity and Cyberwarfare - Preliminary Assessment of National Doctrine and Organization" onde são delineados os esforços de dezenas de países (da Albânia ao Zimbabwe) na área de CiberSegurança e CiberDefesa.

Aos interessados em se atualizar sobre Segurança e Defesa Cibernética", seguem vários artigos - recheados de informações e links - publicados aqui no blog com assuntos relevantes. Além disto, aproveito para fazer propaanda do meu twitter - que é bastante ativo em novidades sobre temas relevantes ao assunto.

• http://sseguranca.blogspot.com.br/2013/03/o-maior-ataque-de-negacao-de-servico.html
• http://sseguranca.blogspot.com.br/2014/02/campanha-de-espionagem-careto-mask-e-o.html
• http://sseguranca.blogspot.com.br/2013/03/metodologias-de-resposta-incidentes.html
• http://sseguranca.blogspot.com.br/2013/02/como-escrever-relatorioslaudos-de.html
• http://sseguranca.blogspot.com.br/2012/04/cybersecurity-reports-mandiant-verizon.html
• http://sseguranca.blogspot.com.br/2012/08/computer-security-incident-handling.html
• http://sseguranca.blogspot.com.br/2012/08/ciberguerra-e-ciberespionagem-o-uso-de.html
• http://sseguranca.blogspot.com.br/2011/08/estrategias-para-mitigar-intrusoes.html
• http://sseguranca.blogspot.com.br/2012/12/framewok-de-ciberseguranca-nacional.html
• http://sseguranca.blogspot.com.br/2012/12/politica-cibernetica-de-defesa.html
• http://sseguranca.blogspot.com.br/2009/04/cipav-fbi-utiliza-spyware-em.html
• http://sseguranca.blogspot.com.br/2009/12/livros-de-seguranca-resposta-incidentes.html
• http://sseguranca.blogspot.com/2011/02/revista-info-fev2011-quando-bits-viram.html
• http://sseguranca.blogspot.com/2011/07/i-jornada-de-trabalho-de-defesa.html
• http://sseguranca.blogspot.com/2011/09/diginotar-cassl-e-netnames-dns-ataques.html
• http://sseguranca.blogspot.com/2010/07/0day-lnk-infocon-amarelo-senha-default.html
• http://sseguranca.blogspot.com/2011/05/empreiteira-militar-americana-atacada.html
• http://sseguranca.blogspot.com/2011/04/aprendendo-com-o-ovo-do-cuco-cuckos-egg.html
• http://sseguranca.blogspot.com/2010/01/china-vs-google-e-cia-ou-nao-ha-como.html
• http://sseguranca.blogspot.com/2009/03/ghostnet-possivel-espionagem.html
• http://sseguranca.blogspot.com/2009/01/governo-obama-lista-cybersecurity-como.html
• http://sseguranca.blogspot.com/2011/08/timeline-da-cobertura-de-ataques.html

Como contribuição, segue algum material sobre treinamento na área já publicado por aqui:

• http://sseguranca.blogspot.com/2009/12/livros-de-seguranca-resposta-incidentes.html
• http://sseguranca.blogspot.com/2009/03/material-de-treinamento-para-equipes-de.html
• http://sseguranca.blogspot.com/2010/12/preparacao-de-equipes-na-area-de.html
• http://sseguranca.blogspot.com.br/2013/11/material-de-forense-de-memoria.html
• http://sseguranca.blogspot.com.br/2011/09/forense-em-windows-analise-de-registro.html