[VPN] Aspectos de segurança do acesso remoto por VPN | Mini-série sobre VPN (7/7)

VPN

O acesso remoto por VPN (remote-access VPN) tem uma importância cada vez maior, na medida em que cresce a utilização da computação móvel.

Vendedores, consultores, clientes, telecommuters, home users e parceiros de negócios, além da própria organização, são os principais usuários que aproveitam os benefícios oferecidos pelo acesso remoto por VPN.

Os grandes benefícios, porém, podem ser perdidos, caso exista uma falha na segurança e a rede da organização seja atacada. Esta seção trata da segurança do acesso remoto via cliente VPN, que tem suas diversas particularidades que precisam ser consideradas.

===============================
O modo de funcionamento do cliente VPN 

O software-cliente, que foi utilizado como base para a análise, funciona da maneira mostrada a seguir, pois outras soluções de acesso remoto por VPN operam de modo similar: o usuário precisa instalar em seu equipamento um software, o cliente VPN, responsável pela inicialização do tunelamento, que tem como base o IP Security (IPSec).

A configuração desse software é feita por meio de um arquivo que contém todos os parâmetros de tunelamento necessários e deve ser importado para o software mediante a utilização de uma chave secreta.

Essa chave e o arquivo de configuração, que pode incluir certificado digital, são gerados pela autoridade certificadora, e a chave secreta utilizada no processo de importação aumenta o nível de segurança do processo, ao evitar que o arquivo de configuração seja capturado e utilizado indiscriminadamente

 Resumidamente, os passos do funcionamento do acesso remoto por VPN são: O usuário instala o software-cliente VPN.

 A autoridade certificadora gera um arquivo contendo os parâmetros necessários para a conexão IPSec; entre eles estão o certificado digital, a chave assimétrica e os algoritmos criptográficos a serem utilizados.

 A autoridade certificadora gera uma chave secreta, que deve ser utilizada pelo usuário na importação do arquivo de parâmetros no software-cliente.

 O usuário recebe o arquivo de parâmetros e a chave secreta. 

 O usuário utiliza a chave secreta para importar o arquivo de parâmetros.

 O usuário configura o software-cliente por meio da importação do arquivo de parâmetros e, assim, está apto a iniciar um tunelamento IPSec para a rede da organização.

 A conexão IPSec é negociada entre o usuário e a rede da organização, de acordo com os parâmetros do usuário e do servidor, que tem uma lista dos recursos acessados por cada usuário.

 Um aspecto importante é que, uma vez que o software-cliente VPN é configurado, pela importação dos parâmetros do túnel IPSec, a autenticação é feita tendo como base o equipamento, e não necessariamente o usuário.

 Isso cria algumas aberturas na segurança da rede da organização, como será visto na próxima seção.

 ============================
 A segurança do acesso remoto por VPN

 Ataques do tipo Denial of Service (DoS) certamente são um grande problema, que pode resultar em grandes prejuízos. 

 Porém, nesta análise, o enfoque está em garantir a segurança da rede interna da organização, ou seja, garantir que o uso do acesso remoto por VPN não resulte em uma falha de segurança e nas conseqüentes ‘quebras’ de sigilo ou de integridade dos recursos da organização.

 O enfoque da análise será mostrado com base nessa possibilidade, verificando aspectos que incluem o protocolo IPSec, as configurações do software-cliente, a possibilidade de o cliente ser utilizado como ‘ponte’ para a rede da organização, o compartilhamento de arquivos do Windows e a utilização de modems.

Sabe-se, contudo, que ataques de DoS são muitas vezes criados como parte de um ataque ativo a um recurso.

 Um fato interessante é que o ataque contra a rede da Microsoft, em outubro de 2000, foi conduzido a partir de São Petersburgo, na Rússia, por meio de uma conexão de VPN de um funcionário da Microsoft.