Negócios

Acesso remoto a sistemas, com segurança

De vez em quando, entre as mensagens de parabéns dos leitores, comentários e mesmo algumas críticas (estas bem mais raras, ainda bem), o Webinsider recebe algumas consultas, que o editor procura responder na medida do possível. Nestes casos o Vicente Tardin envia as perguntas a quem acha que pode responder. Desta vez sobrou para mim e a resposta já foi enviada por e–mail, ainda que com algum atraso.

De qualquer maneira, como a dúvida pode ser de interesse de outras pessoas, achamos que valia a pena comentá–la aqui. Segue a resposta, ainda que bem sintética.

Pergunta: Tenho um sistema de construtora, cujo diretor deseja acessar com um notebook de qualquer lugar.

Além de consultar, ele deseja fazer alterações em pedidos e aprovar ordens de compra. Já pensei em muitas possibilidades, mas é preciso uma solução bem segura, pois envolve toda a administração da empresa.

Usando o P2P é possível fazer uma conexão particular entre o notebook e o servidor da empresa? Vocês podem me dar umas dicas? Meu sistema foi desenvolvido em Visual Basic 6.0.

Resposta: O problema de segurança no acesso remoto passa por três pontos: autenticação confiável, transmissão de dados de modo seguro (criptografado) e manutenção de dados sigilosos no notebook.

Sobre a autenticação, o ideal é que ela seja feita em duas fases: algo que você saiba (senha) mais algo que você tenha (smart card, token, certificado digital no notebook) ou que você seja (biometria).

Tudo depende diretamente da importância do tipo de informação que será transmitida, armazenada ou alterada pelo sistema. Este procedimento ajuda a assegurar que a pessoa que acessa é realmente a pessoa certa, pois senhas geralmente são passadas adiante com alguma facilidade.

Sobre a transmissão de dados, a criptografia pode ser implementada na camada de aplicação, através de SSL (O https, no browser), ou na camada de rede, por VPN. No primeiro caso, apenas o tráfego para a aplicação será criptografado. No segundo, todo o tráfego de rede. Como no caso o importante é acessar a interface de um sistema específico, desenvolvido em VB, me parece razoável usar o SSL.

A implementação disso depende de como o sistema foi desenvolvido. A solução mais simples é usar uma interface web, ou seja, que o sistema possa ser acessado por qualquer browser.

Caso haja armazenamento de informações do sistema, no notebook, é importante que o usuário tenha uma conta (um login) configurada no Windows, para acesso local. Usando esta conta, deve–se restringir o acesso ao diretório onde estão as informações, por ACLs (Access Control Lists) e criptografar este diretório. Este recurso é disponibilizado como padrão no Windows XP. No caso de alguém ter acesso ao notebook, não conseguirá ler as informações.
[Webinsider]