OWASP: Segurança da informação @ Semana Informática | Notas sobre Segurança
OWASP: Segurança da informação @ Semana Informática
Nota prévia: A Semana Informática, uma das publicações de referência sobre tecnologias de informação em Portugal, convidou a Open Web Application Security Project (OWASP) a participar numa entrevista, no âmbito de um dossier sobre segurança da informação que publicou recentemente, na edição n.º 959, correspondente à semana compreendida entre os dias 22 e 28 de Janeiro de 2010.
Com o objectivo de valorizar o conteúdo das respostas, e validar as asserções no contexto Português, para este artigo a OWASP reuniu um conjunto de profissionais da área da segurança da informação, nomeadamente, o Prof. Carlos Serrão1, e os consultores independentes Dinis Cruz2 e Miguel Almeida3.
O contributo da OWASP, em resposta ao convite da Semana Informática, é apresentado aqui na sua versão integral. As perguntas apresentadas correspondem ao questionário elaborado pela Semana Informática, que foi enviado a diversas entidades que foram consultadas no âmbito deste dossier. Por questões de natureza editorial — absolutamente legítimas e aceites pela OWASP &mdash a Semana Informática optou por publicar apenas uma parte deste contributo. A publicação do artigo completo, agora, foi acordada com a Semana Informática e visa apresentar as respostas que não foram integradas no dossier, oferecendo este trabalho a todos quantos possam interessar-se por estas matérias. Os parágrafos seguintes apresentam esse contributo.
Semana Informática: Os desafios que se colocam à segurança de informação são crescentes, com os ataques informáticos a intensificarem-se e e exigências dos reguladores a aumentar. Pensam que as empresas estão conscientes da necessidade de investirem nesta área?
Os sinais indicam-nos que não, que não existe uma consciência clara e generalizada nas empresas Portuguesas, sobre a necessidade de investir na segurança da informação e, em particular, na componente da segurança aplicacional.
A dimensão da comunidade Portuguesa da OWASP — a sua pequena dimensão — é também um indicador do grau de consciência para esta problemática, uma vez que a OWASP atrai, tipicamente, as empresas que procuram reforçar a segurança do seu sistema de informação e também, naturalmente, as empresas que oferecem serviços que vão ao encontro dessa necessidade, i.e., as empresas de serviços de segurança.
Por outro é importante salientar a falta de profissionais de segurança que estejam especificamente formados na componente da segurança aplicacional. Nas Universidades em Portugal é difícil encontrar unidades curriculares integradas em licenciaturas, ou em programas de mestrado, que lidem, em particular, com as especificidades da segurança de informação ao nível aplicacional. As próprias unidades curriculares mais vocacionadas para a engenharia de software, abordam apenas superficialmente esta problemática da segurança ao nível do desenvolvimento aplicacional. Isto acaba invariavelmente por se reflectir na qualidade das aplicações e sistemas de software que são produzidos no mercado, por estes profissionais com poucas preocupações a nível de segurança.
Igualmente, a pressão competitiva que é colocada no mercado do desenvolvimento de aplicações e sistemas acaba por levar a que estas preocupações de segurança aplicacional possam ser descuradas em detrimento de outras características mais 'sexy' do software, e que efectivamente vendem.
Essa consciência existe certamente de forma diferenciada consoante a dimensão das empresas. Em que estado de maturidade se encontram as PMEs?
É importante referir, no entanto, que o foco na segurança da informação, em particular no vector da segurança aplicacional, depende mais de factores externos do que, na verdade, da dimensão das organizações — uma empresa estará mais sensível a estes temas, e fará investimentos mais significativos, sempre que:
Existe um outro aspecto que é necessário salientar. Na maior parte das vezes, o tecido das PME nacionais é, acima de tudo, comprador de soluções e sistemas de software, e raramente abraça desenvolvimento próprio. Isto leva-nos a colocar a seguinte questão: quais são as garantias que determinada PME tem que o software que adquire foi efectivamente desenvolvido tendo em conta preocupações de segurança aplicacional? Quem lhe garante isso?
E qual é a "maturidade" da Administração Pública nesta área?
No que concerne aos sistemas de informação da Administração Pública, pensamos que é importante considerarmos que existem, de facto, vários organismos autónomos, responsáveis por partes dos sistemas que são, na verdade, independentes. Ou seja, por outras palavras, não devemos considerar, nesta matéria, uma representação da Administração Pública como uma entidade única mas sim, pelo contrário, um conjunto de entidades independentes.
Convém no entanto realçar que a falta de informação e transparência sobre o nível de segurança de algumas das aplicações e sistemas de software que a maior parte dos cidadãos portugueses são obrigados, por lei, a usar no seu relacionamento com a Administração Pública (por exemplo, com a Administração Fiscal), podem colocar em sério risco a integridade e a segurança dos dados de empresas e indivíduos que os utilizam.
A gestão de identidades e a utilização de sistemas de autenticação forte ainda não estão tão disseminadas como seria de desejar. Qual a vossa percepção da situação nas empresas portuguesas?
Visto de outra perspectiva, e considerando que a gestão de identidades procura resolver, em simultâneo, o desafio da gestão de autorizações — um tema de segurança — e o problema da complexidade da gestão de identidades em inúmeras aplicações - um tema relacionado com processos e custos muito directos em recursos humanos para suportá-los — torna-se fácil compreender o retorno do investimento nesta área. No entanto, é importante referir que, pelas mesmas razões, só as organizações de grande dimensão, que têm um sistema de informação muito complexo, sentem esta necessidade e, claro, podem investir nesta componente.
Em relação à autenticação forte, devemos considerar dois tipos de organizações: as financeiras (ou relacionadas directamente com as instituições financeiras), e todas as outras organizações. Em relação às primeiras, existe claramente uma evolução no sentido da adopção de mecanismos de autenticação forte, utilizados internamente, e pelos seus clientes, em aplicações disponíveis na Internet. Em relação aos demais, o que podemos observar é muito diferente: existem algumas empresas que investem nestes mecanismos para reforçar a autenticação dos colaboradores nos acessos remotos à empresa mas, para além desta utilização — pequena — não existe um reforço visível dos mecanismos de autenticação forte utilizados as aplicações via Internet. Ou seja, a autenticação dos seus clientes continua a depender, exclusivamente, da apresentação de passwords — um mecanismo muito fraco que pode, no curto prazo, dar azo a fugas de informação confidencial e operações ilegítimas que, se acontecerem, podem pôr em causa a confiança dos clientes e, no limite, a viabilidade destas empresas.
Como podem as empresas proteger-se nestes cenários que são também cada vez mais equacionados como formas de reduzir custos?
O grande problema da Segurança de Informação é que não vende — ou vende pouco. Os clientes, muitas das vezes, estão mais preocupados com os aspectos mais funcionais e menos preocupados com outros aspectos menos visíveis — a segurança cai nesta segunda categoria. Por existir esta dificuldade, e como já foi referido acima, as empresas de desenvolvimento investem menos na segurança, e os clientes não se preocupam muito com a mesma, assumindo que a aplicação ou sistema de software que adquirem é perfeitamente seguro.
A segurança aplicacional não acontece por acaso; não é suficiente perguntar "O seu produto é seguro?" nem "A aplicação que estão a desenvolver irá garantir a segurança?" porque, como é óbvio, a resposta nunca será diferente de "Sim, a segurança está assegurada".
OWASP WebScarab — Security testing tool
OWASP WebGoat — Security learning tool
As pessoas (colaboradores das empresas) são muitas vezes considerados o elo mais fraco das políticas de segurança da informação. Que medidas podem as empresas tomar para se protegerem numa altura em que a Web 2.0 está cada vez mais entrosada nos hábitos?
É um facto reconhecido por todos: as pessoas ainda são o elo mais fraco na segurança. Dito isto, parece-nos importante endereçar este problema segundo três vectores, nomeadamente, (a) através de campanhas de sensibilização e formação sobre segurança (e.g. ensinar-lhes que não devem, por exemplo, seguir e activar todas as referências que lhes apresentam por email, nem instalar programas que não sejam fidedignos), (b) reforçar os controlos técnicos de segurança dos sistemas e aplicações, e finalmente, (c) melhorar os processos de gestão da segurança, começando pela revisão das políticas de segurança, e incluindo processos gestão e monitorização dos activos de informação.
No caso particular da segurança aplicacional, é importante frisar que as aplicações e os ambientes mais seguros e resilientes são aqueles que, desde a sua concepção, são desenhados de acordo com o princípio do 'privilégio mínimo', ao nível da arquitectura, da composição, e da codificação dos módulos aplicacionais. Neste paradigma, os privilégios e autorizações atribuídos aos utilizadores são restringidos ao mínimo que, por necessidades funcionais das suas tarefas, seja suficiente para poderem executar operações e aceder à informação que for estritamente necessária. Este modelo apresenta características de segurança muito fortes, em oposição àquele que se vulgarizou nos últimos anos, no qual os utilizadores tinham privilégios e autorizações equivalentes aos administradores dos sistemas e aplicações.
Quais são na sua opinião os maiores riscos que as empresas enfrentam para proteger a sua informação em 2010?
Considerando que tem havido um esforço, reconhecidamente, no sentido de reforçar os controlos antivírus, os filtros de comunicações, e as actualizações de segurança dos sistemas, pensamos que, por essa via, as organizações limitaram o risco de algumas classes de ataques. No entanto, como nem todas endereçaram a componente aplicacional de uma forma adequada, pensamos que existe o risco — real — de serem vítimas de ataques através de vulnerabilidades em aplicações web (ataques personalizados ou automáticos, e.g., através de worms que utilizam SQL Injection). Estes ataques podem ter por resultado a quebra de confidencialidade da informação, operações ilegítimas, indisponibilidade dos serviços, etc.
O problema que as empresas irão enfrentar em 2010 e, provavelmente, em 2011 também, é a mudança do foco dos criminosos. O modelo de negócio tradicional do cibercrime tem sido, nos últimos anos, o spam (suportado por vírus e botnets) e a extorsão (igualmente suportada por botnets, que provocam ataques de negação de serviço — DDoS). No entanto, os criminosos têm vindo a focar a sua atenção nos activos das empresas, nomeadamente, nos activos financeiros e na própria informação. As empresas Portuguesas podem tornar-se presas fáceis para organizações criminosas, que já têm modelos de funcionamento profissional, e que têm competências que lhes permitem, de forma eficiente e com grande eficácia, desenvolver, testar e distribuir aplicações maliciosas que têm, por comparação com as aplicações comerciais que utilizamos diariamente, uma qualidade equiparável às que são realizadas pelas melhores empresas de software do mundo.
Quais são as actividades que a OWASP tem vindo a desenvolver e que iniciativas tem previstas para 2010?
A OWASP está no epicentro da segurança das aplicações web no mundo, onde as figuras mais importantes e com maior contributo nesta área estão, de alguma forma, ligadas ou directamente envolvidas com o trabalho que é realizado na organização.
consciencializar as pessoas e as organizações para a necessidade da segurança aplicacional;
desenvolver ferramentas, documentação e guias para entidades que estejam empenhadas em reforçar a segurança das suas aplicações; e
aumentar o número de eventos da comunidade, dentro e fora da OWASP.
Continuação do trabalho com os Governos, nomeadamente, a continuação das quatro ideias nucleares que foram propostas na conferência IBWAS: A OWASP desafia os governos mundias a reforçar a segurança aplicacional (ver o documento em Português, Inglês ou Castelhano);
Conferência IBWAS — Cinco ideias nucleares
A OWASP estará disponível para trabalhar com os Governos regionais e nacionais no sentido de criar instrumentos de escrutínio e de suporte das decisões de investimento na área da segurança informática.
1 Carlos Serrão é Professor Auxiliar no ISCTE-IUL em Lisboa, Investigador da Adetti/NetMuST e líder da delegação Portuguesa da OWASP.
2 Dinis Cruz é um consultor independente, sediado em Londres e membro da Direcção da OWASP.
3 Miguel Almeida é um consultor independente que presta serviços na área da segurança da informação.