Conexões privadas protegidas

O que está incluído no serviço

Projetamos e implantamos para a sua equipe um espaço criptografado e dedicado para a transferência segura de dados e o acesso aos recursos internos. O trabalho inclui a construção de um circuito privado entre dispositivos, escritórios e servidores, a configuração da criptografia de ponta a ponta do tráfego, a emissão de chaves de acesso pessoais para cada colaborador e a conexão aos sistemas internos necessários. Esse circuito permite trabalhar de forma remota e segura com bancos, painéis e arquivos da empresa como se você estivesse em uma única rede protegida, sendo o próprio tráfego impossível de ler de fora. Separamos o acesso por usuário, para que cada um tenha apenas a parte que lhe cabe e para que a chave possa ser revogada a qualquer momento. No fim, você recebe um perímetro privado gerenciável, e não um punhado de senhas dispersas circulando por mensageiros.

Como funciona na essência

Na base estão a criptografia do canal e a autenticação mútua das partes. Antes de transmitir um único byte de dados úteis, dois pontos combinam uma chave secreta comum por um protocolo de troca de chaves, sem enviar a própria chave pela rede, e confirmam a autenticidade um do outro. Depois disso, todo o tráfego é envolvido em um fluxo criptografado: para qualquer observador entre os pontos, isso é um ruído ilegível, do qual não se pode extrair nem o conteúdo nem a estrutura das requisições. Cada usuário recebe seu próprio par de chaves, de modo que o acesso é concedido e revogado individualmente, e não por uma senha comum a todos. Sobre o canal configuramos o roteamento para os recursos internos permitidos, para que o colaborador veja apenas o que lhe é necessário. Toda a privacidade se apoia em criptografia robusta e na gestão correta das chaves, e não em ocultar o próprio fato da conexão.

De onde veio a criptografia do canal seguro

O alicerce da transmissão protegida foi lançado pelo trabalho de Whitfield Diffie e Martin Hellman "Novos Rumos em Criptografia", publicado em 1976 na revista IEEE Transactions on Information Theory. Ele descreveu pela primeira vez a troca de chaves por um canal aberto — a ideia sem a qual nenhuma comunicação criptografada moderna é possível. A criptografia em massa do tráfego na internet começou com o protocolo SSL, que a Netscape apresentou na versão 2.0 em fevereiro de 1995 junto com o navegador Navigator. Em 1999 a organização IETF padronizou a evolução desse protocolo sob o nome TLS 1.0 no documento RFC 2246, e a versão atual, TLS 1.3, saiu em agosto de 2018 como RFC 8446, removendo mecanismos obsoletos e vulneráveis. É justamente essa linha — da ideia de Diffie-Hellman ao TLS 1.3 — a base de uma transferência de dados protegida e robusta.

Por que a precisão da configuração é crítica

Num circuito protegido, a segurança não se apoia no simples fato da criptografia, mas na sua configuração correta. Um protocolo obsoleto ou uma cifra fraca criam uma falsa sensação de proteção: o canal parece criptografado, mas é quebrado por ataques conhecidos, e as versões antigas do SSL e os primeiros TLS estão comprometidos há tempos. Não menos crítica é a gestão das chaves: se elas forem guardadas de forma descuidada ou não forem revogadas de um colaborador desligado, todo o perímetro fica comprometido por uma só pessoa. Por isso o trabalho principal é escolher protocolos atuais, distribuir corretamente os acessos por usuário e construir o procedimento de emissão e revogação das chaves. Configuramos o circuito com criptografia moderna e robusta e verificamos a solidez da conexão, em vez de marcar a caixinha "criptografia ativada" e ir embora.

Com qual stack trabalhamos

Construímos o circuito privado sobre protocolos modernos de canais criptografados, baseados em criptografia de curvas elípticas e na troca de chaves sem transmiti-las pela rede. A criptografia de transporte se apoia na linha atual do TLS 1.3, e a autenticação das partes, em chaves pessoais e certificados emitidos para cada usuário. O circuito é implantado no seu servidor, portanto o ponto de entrada e as chaves pertencem a você, e não são alugados de um serviço de terceiros. O roteamento aos recursos internos e a separação de acessos configuramos como uma camada à parte, para que as permissões possam ser alteradas sem reinstalação junto aos usuários. O stack é aberto e portável: se necessário, todo o circuito é reproduzido em outro servidor, e as chaves e a configuração permanecem sob o seu controle.

Quando surgiram as tecnologias-chave

As tecnologias de transmissão protegida se consolidaram ao longo de quase meio século. A troca de chaves por canal aberto foi descrita por Diffie e Hellman em 1976. O primeiro protocolo em massa de criptografia do tráfego web, o SSL 2.0, a Netscape lançou em fevereiro de 1995. Em 1999 a IETF padronizou seu sucessor, o TLS 1.0, no RFC 2246, e a versão moderna, TLS 1.3, saiu em agosto de 2018 no RFC 8446. Em paralelo, evoluíram os protocolos de túneis criptografados sobre curvas elípticas, que hoje entregam uma conexão robusta com latência mínima. Usamos justamente a geração atual dessas tecnologias, e não protocolos obsoletos cuja robustez já é questionável.

Por que você pode confiar isso a nós

A experiência somada da nossa equipe em TI ultrapassa 45 anos, e subimos circuitos protegidos na prática, não na teoria. Abordamos a tarefa como engenheiros: projetamos o esquema de acesso, escolhemos protocolos atuais, distribuímos as chaves por usuário e construímos o procedimento de revogação. O ponto de entrada e as chaves são implantados do seu lado e pertencem a você — não prendemos você ao nosso serviço e entregamos o controle por completo. Avisamos com franqueza onde a privacidade se apoia na disciplina de guarda das chaves, e não em mágica, e ajudamos a construir essa disciplina. Como resultado, você passa a ter um perímetro protegido e gerenciável para a equipe, e não acessos dispersos, impossíveis de gerenciar e de fechar rapidamente.