|
Acessibilidade do site
Recomendações
Recomendações
para o Desenvolvimento e Operação da Internet no Brasil
(19/08/1999)
O Comitê Gestor Internet Brasil (CGI.br) dentro das suas atribuições
apresenta as recomendações a seguir que visam trazer à discussão temas
de grande relevância para o desenvolvimento e a operação da Internet no
País, estabelecendo condições para possibilitar uma maior segurança e
melhor desempenho, bem como proporcionar meios adequados para identificação
de práticas ilícitas na Internet/Br.
As recomendações estão agrupadas em três grandes blocos: aspectos
gerais, provedores de backbone e provedores de acesso.
1. Aspectos Gerais
2. Provedores de Backbone
3. Provedores de Acesso
1. Aspectos Gerais
Dada as dimensões atuais da Internet/Br, faz-se necessária a adoção de
padrões mínimos que permitam que todas as redes já conectadas à
Internet brasileira desenvolvam-se simultânea e produtivamente em todos
os setores.
1.1 Identificação de Origem de Chamada/Conexão
O acesso à Internet/Br é estabelecido em proporção significativamente
maior via rede telefônica discada. A falta de identificação do número
telefônico que origina as chamadas dificulta o rastreamento da origem de
muitos ataques à segurança da rede e seus serviços.
Recomendação: Que fornecedores de meios de acesso (telefonia,
cabos e outras tecnologias a serem empregadas) reservem, para o serviço
de provimento de acesso, centrais que permitam a identificação inequívoca
da origem da chamada, de modo que os provedores de acesso à Internet
possam identificar sua origem.
A implementação desta recomendação deve ser precedida de uma ampla
discussão pública com a participação das entidades de classe dos
provedores de acesso, empresas de telecomunicações, ANATEL e usuários,
visando, em um prazo de noventa dias, estabelecer um plano de implantação
deste serviço de identificação.
1.2 Código de Ética
Dada a competitividade acirrada, natural da atividade econômica associada
à Internet, e o pouco tempo da Internet comercial no país, faz-se necessária
a existência de condutas éticas a serem seguidas por todos os envolvidos
na Internet/Br.
Recomendação: O Comitê Gestor preconizará a adoção de um Código
de Ética a ser seguido na Internet/Br, elaborado a partir de sugestões
emanadas das associações de provedores e usuários.
1.3 Proteção aos Usuários
Uma série de ataques, antes dirigidos aos computadores dos provedores de
acesso (servidores), têm sido redirecionados para os computadores dos usuários
finais. Os prejuízos causados por estes ataques variam desde a desconexão
ou degradação dos serviços até a invasão e apropriação de dados ou
destruição das condições de acesso do consumidor. Culturalmente a visão
de segurança dos administradores das redes brasileiras têm utilizado
filtros de acesso apenas para proteger seus equipamentos, arcando o usuário
ou consumidor final com o ônus de sua especialização para prevenção e
proteção.
A atividade de administração de uma rede multiusuário conectada à
Internet implica também em fornecer condições mínimas de segurança ao
consumidor final.
Recomendação: Os provedores de acesso devem fornecer, além do serviço
de conexão, informações e mecanismos necessários à proteção mínima
dos usuários a eles conectados, por exemplo: filtrar portas que são
utilizadas por serviços reconhecidamente nocivos, conforme divulgação
de órgãos oficiais de suporte à Internet/Br ("NIC Br Security
Office - NBSO" e "Computer Emergency Reponse Team - CERT").
1.4 Serviços DNS Configurados Corretamente
Visando prover identificação imediata dos computadores ligados à
Internet brasileira, seguindo um padrão mundial de operação com
registros direto e reverso de "Domain Name System" (DNS), faz-se
necessário que todas as redes conectadas à Internet/Br implementem tais
serviços.
Recomendação: Todas as redes conectadas à Internet brasileira devem
operar com registros direto e reverso de DNS corretamente configurados.
1.5 Contato de Segurança
Os procedimentos necessários para a solução de problemas de segurança
têm sido prejudicados pela ausência de informações que levem à
identificação de um responsável nas instituições envolvidas.
Recomendação: Para toda rede conectada à Internet/Br deverá ser
definido um profissional que será o responsável por todos os eventos e
incidentes relacionados a segurança de redes e abuso de política de uso,
definida em contrato de prestação de serviços. Os dados desse
profissional devem ser tornados públicos e divulgados para que possam ser
acessados quando necessário, tal como definido na RFC
2142: Mailbox names for Common Services, Rules and Functions(Mai/1997)
2. Provedores de Backbone
Para efeito deste documento, entende-se como provedores de backbone as entidades que transportam tráfego agregado de seus clientes, detêm
blocos de endereços IP por delegação do Comitê Gestor Internet Brasil
e vendam conectividade para acesso à rede Internet.
2.1 Serviços de Informação rwhois e whois
Os serviços de informação rwhois e whois caracterizam-se como bases de dados de acesso público que permitem a
identificação, de forma rápida e direta, de nomes de domínios e blocos
de números IP e seus respectivos responsáveis. Esses serviços já são
oferecidos em diversos países.
Recomendação: Os provedores de backbone INTERNET no Brasil
devem oferecer, serviços públicos rwhois/whois que disponibilizem informações atualizadas sobre: a) identificação da
rede, contendo a razão social e o endereço da empresa cliente; b) nome
do domínio principal associado ao IP, conforme registrado no Serviço de
Registro do Comitê Gestor (FAPESP) e c) identificação das pessoas
responsáveis pelo contrato de prestação do serviço IP junto ao
provedor de backbone, com nome e endereço completos (e não aliases).
2.2. Servidores NTP de Referência
Os Servidores NTP - "Network Time Protocol" provêm referência
de tempo que permite aos clientes a sincronização dos relógios de seus
computadores. Em diversos incidentes não tem sido possível determinar
certos eventos ocorridos em redes distintas devido à falta de sincronização
dos relógios dos computadores.
Recomendação: Todo provedor de backbone no País deve
oferecer o serviço de NTP a todos os seus clientes, de forma gratuita.
2.3 Equipe de Segurança
Em virtude da rápida evolução da Internet no Brasil a identificação e
atendimento de incidentes de segurança têm sido tratados muitas vezes
por equipes que acumulam outras funções, não respondendo com a
agilidade necessária à solução desses problemas.
Recomendação: Todo provedor de backbone deve criar uma equipe
de segurança de redes IP dedicada a atender incidentes relacionados a backbone com origem ou destino em redes clientes de seu serviço. Esta equipe deve
ser tornada pública e divulgada entre clientes e público externo, tal
como definido na RFC 2350 - "Expectations for Computer Security
Incident Response" e no documento Expectativas
quanto a Grupos de Resposta a Incidente de Segurança em Computador (Jan/1999).
2.4 Contratos Com Política de Uso Aceitável
A Internet brasileira, apesar de seu crescimento expressivo nos últimos
quatro anos, ainda opera com base em práticas herdadas de sua origem acadêmica
ou herdadas de outros serviços de comunicações de dados. Em ambos os
casos o resultado prático é que alguns contratos de prestação de serviço
são omissos ou desatualizados para a realidade da Internet. Desvios
graves de utilização da rede tem sido observados nos últimos anos e não
puderam ser corrigidos em virtude das falhas dos termos contratuais.
Recomendação: Revisar os termos dos contratos de forma a contemplar
cláusulas mínimas que permitam aos provedores de backbone adotar
medidas restritivas quanto ao uso indevido da rede.
2.5 Pontos de Troca de Tráfego
Com o crescimento do número de backbones para acesso à Internet
no País, surge a necessidade de interconectá-los com o objetivo de
racionalizar o uso dos recursos da rede, otimizando a troca de tráfego
entre eles. A ausência deste serviço pode degradar o tempo de resposta
associado às transações realizadas através da rede ou mesmo inviabilizá-las,
sempre que o usuário e o provedor da informação estiverem conectados a
distintos backbones. Este problema deve ser resolvido com a
implantação de múltiplos e bem dimensionados Pontos de Troca de Tráfego
- PTT entre os backbones.
Recomendação: Que os provedores de backbone se conectem aos
Pontos de Troca de Tráfego existentes atualmente no país (São Paulo),
bem como aos novos PTT que venham a ser implantados como resultado dos
estudos em andamento no âmbito do Comitê Gestor Internet Brasil.
3. Provedores de Acesso
Os provedores de acesso da Internet (comerciais, acadêmicos,
governamentais, entidades de classe, organizações não governamentais,
etc.) são os responsáveis pelo acesso final dos usuários na rede. Cabe
a eles prover acesso dentro de condições mínimas de segurança,
confiabilidade e privacidade, bem como providenciar meios que torne possível
a identificação de práticas ilícitas ocorridas através da rede.
Muitas vezes, em virtude de falhas, as contas dos usuários finais são
utilizadas por terceiros implicando com isso em prejuízos e riscos
desnecessários.
Por outro lado, deve-se evitar a criação de contas com dados falsos
utilizadas para a prática de contravenções e crimes de natureza
variada, já constatada na Internet brasileira.
3.1 Contratos com Política de Uso Aceitável e Dados Cadastrais Completos
Tendo em vista o crescimento geométrico da Internet brasileira, o
registro de usuários não se deu com as informações necessárias para a
perfeita identificação dos mesmos.
Recomendação: Realizar o recadastramento das contas dos usuários,
de forma a obter os dados cadastrais completos que permitam a identificação
da pessoa física ou jurídica (nome ou razão social, CPF ou CNPJ e
endereço completo), e definir a política de uso aceitável do serviço
prestado.
3.2 Manutenção de Dados de Conexão
Os serviços de telefonia e transmissão de dados mantêm por um prazo de
cinco anos os dados de conexões e chamadas realizadas por seus clientes
para fins judiciais, inexistindo procedimento semelhante na Internet
brasileira.
Recomendação: Os provedores de acesso devem passar a manter, por um
prazo mínimo de três anos, os dados de conexão e comunicação
realizadas por seus equipamentos (identificação do endereço IP, data e
hora de início e término da conexão e origem da chamada).
3.3 Fornecimento de Extrato Completo
Os serviços de telefonia, bancário e dos cartões de crédito informam
em seus extratos mensais a natureza das chamadas, movimentos bancários ou
os débitos do cartão de créditos. A utilização de procedimento
semelhante na Internet/Br traz uma série de vantagens para os usuários
que se sentem mais seguros, pois a qualquer momento poderão identificar a
utilização indevida da sua conta. Essa segurança também é verificada
no caso dos provedores, que passam a poder detectar a origem do uso de
senhas roubadas ou acessos indevidos.
Recomendação: Os provedores de acesso final devem disponibilizar
para os seus clientes dados que permitam a estes acompanhar os acessos
realizados às suas contas contendo os horários e a duração das conexões
realizadas e, desde que as condições técnicas permitam, a identificação
da origem da chamada.
3.4 Registro de Domínio
Vários provedores comerciais têm mantido seu registro de domínio de
primeiro nível com a extensão .com; isto tem inviabilizado
a identificação destes provedores pelo sistema de registro de domínio
no Brasil. Dado a importância e necessidade de se conhecer a base
brasileira de provedores de acesso, o Comitê Gestor criou o domínio .psi,
específico para os provedores de acesso.
Recomendação: Os provedores de acesso comerciais devem registrar-se
também no domínio .psi, podendo manter o .com.
O Comitê Gestor para fins de divulgação da lista de provedores de
acesso considerará os inscritos no domínio .psi.
3.5 Manual de Orientação aos Usuários
Tendo em vista a necessidade de adequação à legislação de defesa do
consumidor.
Recomendação: Os provedores de acesso deverão fornecer aos usuários
um manual com orientações/procedimentos para navegar na rede com mais
segurança; devendo estar incluídas nesse manual, entre outras, orientações
sob formas de controle de conteúdo (filtros, anti-vírus e configurações
protetoras, etc.). Este manual pode ser impresso ou distribuído por
qualquer meio.