Segurança da Informação

NSA alerta para eliminar versões obsoletas do TLS – Transport Layer Security. Criptografia obsoleta fornece uma falsa sensação de segurança.

A Agência de Segurança Nacional dos EUA publicou um comunicado de segurança [ PDF ] neste mês instando os administradores de sistema em agências federais e além a pararem de usar protocolos TLS antigos e obsoletos. “A NSA recomenda que apenas TLS 1.2 ou TLS 1.3 sejam usados; e que SSL 2.0, SSL 3.0, TLS 1.0 e TLS 1.1 não sejam usados“, disse a agência.

A National Security Agency (NSA) recomenda enfaticamente a substituição de configurações de protocolo obsoletas por outras que utilizar criptografia e autenticação fortes para proteger todas as informações confidenciais. Com o tempo, novos ataques contra o transporte Layer Security (TLS) e os algoritmos que ele usa foram descobertos. Conexões de rede que empregam protocolos obsoletos correm um risco elevado de exploração pelos adversários. Dados sensíveis e valiosos requerem fortes proteções em sistemas eletrônicos e transmissões. TLS e seguro Sockets Layer (SSL) foram desenvolvidos como protocolos para criar canais privados e seguros entre um servidor e cliente usando criptografia e autenticação. Embora os padrões e a maioria dos produtos tenham sido atualizados, as implementações muitas vezes não acompanhou.

“Usar criptografia obsoleta fornece uma falsa sensação de segurança porque parece que dados confidenciais estão protegidos, embora na verdade não estejam”, acrescentou a agência.

Segurança da Camada de Transporte (TLS) e Secure Sockets Layer (SSL) 2 foram desenvolvidos como protocolos para criar esses canais protegidos usando criptografia e autenticação. Com o tempo, novos ataques contra o TLS e os algoritmos que ele usa foram descobertos. As normas e a maioria dos produtos foi atualizada, mas as implementações frequentemente não acompanharam. Conexões de rede empregando protocolos obsoletos correm um risco elevado de exploração por adversários. Como resultado, todos os sistemas devem evitar o uso configurações obsoletas para protocolos TLS e SSL

Mesmo se TLS 1.2 e TLS 1.3 forem implantados, o NSA alerta contra a configuração desses dois protocolos com parâmetros criptográficos e conjuntos de criptografia fracos. “Algoritmos de criptografia especialmente fracos no TLS 1.2 são designados como NULL, RC2, RC4, DES, IDEA e TDES / 3DES; conjuntos de criptografia que usam esses algoritmos não devem ser usados“, acrescentou a agência.  “O TLS 1.3 remove esses conjuntos de criptografia, mas as implementações que oferecem suporte a TLS 1.3 e TLS 1.2 devem ser verificadas quanto a conjuntos de criptografia obsoletos“, complementa.

A agência de segurança cibernética dos EUA publicou  uma lista de ferramentas  em seu perfil GitHub para ajudar os administradores de sistema com a tarefa de identificar sistemas em suas redes internas que ainda usam configurações de protocolo TLS obsoletas.

Segundo a NSA dados sensíveis e valiosos requerem fortes proteções em sistemas eletrônicos e transmissões.

Mensagem semelhante na Holanda 

O comunicado da NSA, publicado em 5 de janeiro, foi repetido ontem pela contraparte da agência na Holanda, o Dutch National Cyber ​​Security Center.

Em um  alerta semelhante  [ PDF ], o NCSC holandês também recomendou que as agências governamentais holandesas e empresas privadas mudassem para o TLS 1.3 como parte de uma abordagem de configuração “future-proof“.

Os dois alertas vieram depois que, em meados de 2020, os principais navegadores da web pararam de oferecer suporte a TLS 1.0 e TLS 1.1, citando razões de segurança. Em março de 2020, a empresa de segurança Netcraft relatou que  cerca de 850.000 sites  ainda estavam usando TLS 1.0 e TLS 1.1 para criptografar seu tráfego HTTPS, um número que diminuiu lentamente desde então.

Em seu comunicado, a NSA alertou que novos ataques contra protocolos TLS estão sempre sendo descobertos e que as organizações devem usar as versões mais recentes do protocolo TLS para “sempre ficar à frente das habilidades dos agentes mal-intencionados e proteger informações importantes“.

Ref: NSA

Anatel estabelece novas regras sobre sigilo, prevenção à fraude e segurança pública. O objetivo da Resolução é consolidar regramentos referentes às ações de apoio à Segurança Pública no Regulamento dos Serviços de Telecomunicações.

Conforme aprovado pelo Conselho Diretor da Agência Nacional de Telecomunicações (Anatel) durante sua 894ª reunião, entrou em vigor dia 4 de janeiro a Resolução nº 738/2020 , que altera o Regulamento dos Serviços de Telecomunicações para incluir disposições sobre sigilo, prevenção à fraude e ações de apoio à segurança pública.

Um dos principais objetivos da Resolução é consolidar regramentos referentes às ações de apoio à Segurança Pública no Regulamento dos Serviços de Telecomunicações (Resolução nº73/1998). Anteriormente, tais regramentos encontravam-se dispersos nos regulamentos de cada serviço.

Segundo o normativo, para apoio à segurança pública as prestadoras dos serviços de telefonia fixa, telefonia móvel e banda larga fixa devem assegurar o acesso gratuito de todos os seus usuários aos Serviços Públicos de Emergência. As operadoras de telefonia móvel devem, ainda, disponibilizar às autoridades responsáveis pelos Serviços de Emergência o acesso às informações sobre a localização do terminal originador da chamada ou mensagem de texto, para todas as chamadas a eles destinadas, respeitadas as limitações tecnológicas.

A Resolução nº 738/2020 estabelece que as prestadoras devem zelar pelo sigilo das comunicações e pela confidencialidade dos dados dos usuários de seus serviços, inclusive registros de conexão, nos termos da legislação e regulamentação. Cabe às prestadoras utilizar os recursos tecnológicos necessários e disponíveis para assegurar a inviolabilidade do sigilo das comunicações.

Além disso, elas devem reter a menor quantidade possível de dados de usuários, mantendo-os sob sigilo, em ambiente controlado e de segurança, e excluindo-os tão logo atingida a finalidade de seu tratamento ou quando encerrado o prazo de guarda determinado por obrigação legal ou regulatória.

As prestadoras devem adotar as medidas técnicas e administrativas necessárias e disponíveis para prevenir e cessar a ocorrência de fraudes relacionadas à prestação do serviço e ao uso das redes de telecomunicações, bem como para reverter ou mitigar os efeitos destas ocorrências. A regulamentação da Anatel define que na implementação de ações coordenadas de combate à fraude, os custos e os benefícios devem ser compartilhados entre as prestadoras participantes, de acordo com o porte de cada empresa.

Por meio da Resolução nº 738/2020 , a Anatel decidiu, também, instituir o Grupo Técnico de Suporte à Segurança Pública (GT-Seg). Coordenado por um superintendente indicado pelo Conselho Diretor da Anatel, o grupo será integrado pelas prestadoras ou suas associações, podendo contar com a participação de membros externos convidados, conforme o tema em discussão.

Por fim, a Resolução também altera o Regulamento sobre Exploração de Serviço Móvel Pessoal – SMP por meio de Rede Virtual (RRV-SMP) para promover maior colaboração entre as prestadoras e as MVNOs (prestadoras de rede virtual) no que diz respeito às ações de segurança pública.

Também será dada ampla divulgação da agenda de reuniões e das discussões do GT-Seg, que tem entre suas atribuições as de auxiliar a Anatel no acompanhamento da implantação de políticas relacionadas à segurança pública; determinar ações e prazos para a implementação de regras relativas aos temas de sua competência; propor ações de conscientização em colaboração com as áreas responsáveis pela comunicação na Agência; e auxiliar a Anatel no acompanhamento das ações de combate à fraude nos serviços de telecomunicações afetas à segurança pública.

Atibuições do Grupo Técnico de Suporte à Segurança Pública

O Art. 65-N constituiu o Grupo Técnico de Suporte à Segurança Pública (GT-Seg), com as seguintes atribuições:

I – auxiliar a Anatel no acompanhamento da implantação de políticas relacionadas à segurança pública;

II – determinar ações e prazos para implementação de regras relativas aos temas de sua competência;

III – discutir, avaliar e recomendar à Anatel a internalização de padrões, melhores práticas, ações e iniciativas em matéria de segurança pública e de combate à fraude oriundas de fóruns regionais e internacionais de telecomunicações, em colaboração com as CBCs;

IV – interagir com outros órgãos e entidades no cumprimento das suas atividades, observada a competência de governança de atuação institucional da Agência;

V – propor ações de conscientização em colaboração com as áreas responsáveis pela comunicação na Agência;

VI – auxiliar a Anatel no acompanhamento das ações de combate à fraude nos serviços de telecomunicações afetas à segurança pública; e,

VII – desempenhar outras atividades atribuídas pelo Conselho Diretor da Anatel.

Ref: Anatel Resolução