Segurança MuleSoft salesforce

1. Copyright © 2009 Accenture All Rights Reserved. 1
SALESFORCE MULE
SECURITY
MulePE

2. Copyright © 2009 Accenture All Rights Reserved. 2
• Introdução
• Conceitos
• HTTP basic authentication
• HTTPs e certificados
• Criptografia
• Dicas
Agenda

3. Copyright © 2009 Accenture All Rights Reserved. 3
Intranet X Cloud
• Ambiente completamente gerenciado pelo cliente.
• Blindado do mundo externo por firewalls e outras medidas de segurança.
• Comunicação de aplicações de dentro da rede com outras
aplicações/serviços na própria rede (segurança não necessária) ou internet
(segurança necessária)
Intranet:
Cloud:
• Ambiente compartilhado gerenciado por empresas que oferencem serviços
para nosso clientes.
• Acessível pela internet com segurança para funcionalidades oferecidas
pelas aplicações nativas do Cloud.
• Comunicação de aplicações com outras aplicações/serviços pela internet
(segurança necessária).

4. Copyright © 2009 Accenture All Rights Reserved. 4
Conceitos
• Autenticação (ex: login + senha)
• Autorização (perfil ou papel)
• Tipos de Segurança:
• Do canal (ex: HTTPS)
• Da mensagem (ex: criptografia AES [128, 192, 256 bits])
• Encode X Hash X Encriptação
• Interceptação de pacotes com programas Sniffer.

5. Copyright © 2009 Accenture All Rights Reserved. 5
HTTP basic authentication (1)
• Cabeçalho HTTP/HTTPS com o seguinte formato:
• Nome: Authorization
• Valor: “Basic ” + (<usuario> + “:” + <senha>)
OBS: o trecho entre parênteses deve estar representado em base 64
http://www.w3.org/Protocols/rfc2616/rfc2616-sec14.html
• No Salesforce (cliente):
request.setHeader('Authorization', 'Basic ' + EncodingUtil.base64Encode(
Blob.valueOf(‘user' + ':' + ‘pass')));
• No Mule (servidor):
<http:basic-security-filter realm="mule-realm" />
<mule-ss:security-manager>
<ss:authentication-manager alias="basicAuth">

6. Copyright © 2009 Accenture All Rights Reserved. 6
HTTP basic authentication (2)

7. Copyright © 2009 Accenture All Rights Reserved. 7
HTTPS
• Http + certificado para identificar o serviço (basic authetication funciona igual).
• Adiciona segurança à comunicação.
• Segurança a nível de canal
• Cerificados:
• Keystore (jks): guarda um conjunto de dados de identificação da
organização com respectiva chave privada
• Certificate (crt): dados do certificado da organização extraídos do Keystore.
• Truststore (ts): lista de certificados considerados confiáveis.
• Tipos:
• Self-Signed
• Validados por uma entidade do ramo (ex: Verisign)

8. Copyright © 2009 Accenture All Rights Reserved. 8
HTTPS (geração de arquivos com java)
• Ferramenta keytool disponível na pasta bin da JDK.
• Comandos:
• Gerar keystore:
keytool -genkey -alias <mule> -keyalg RSA -keystore <keystore.jks> -keysize 2048
OBS: o campo CN deve ser preenchi do com a URL do servidor que expõe o HTTPS
• Extrair certificado do keystore:
keytool -export -alias <mule> -file mule.cer -keystore <keystore.jks>
• Importar certificado no truststore (existente ou novo):
keytool -import -v -trustcacerts -alias <mule> -file <mule.cer> -keystore <truststore>
OBS: para testes HTTPS em java com certificados self-signed importar o certificado no
arquivo “cacerts” em jdk/lib/security

9. Copyright © 2009 Accenture All Rights Reserved. 9
HTTPS (mule)

10. Copyright © 2009 Accenture All Rights Reserved. 10
Criptografia
• Transformação 1:1 reversível
• Algorítmos: AES, RSA, etc…
• Tamanhos de chave: 128 a 2048 BITS
• Não enviar a chave privada nas mensagens com o destino.

11. Copyright © 2009 Accenture All Rights Reserved. 11
Criptografia (Salesforce side)
• Apex Crypto class ( https://developer.salesforce.com/docs/atlas.en-
us.apexcode.meta/apexcode/apex_classes_restful_crypto.htm )
• Usuário e senhas de acesso e criptografia salvos em Custom Settings.

12. Copyright © 2009 Accenture All Rights Reserved. 12
Criptografia (Mule side)
• Biblioteca Java de criptografia
OBS: não suporta chave de 256 bits nativamente

13. Copyright © 2009 Accenture All Rights Reserved. 13
Importante
• Não enviar senhas sem criptografia.
• Atenção ao tamanho da chave usada para criptografar.
• Verificar suporte ao algoritmo escolhido pelas tecnologias das aplicações em
comunicação.
• Para testes locais de HTTPS com java, certificados self-signed precisam ser
adicionados ao arquivo “cacerts”.
• Com SSL one-way é preciso apenas o keystore, para o two-way é preciso o
truststore também e configurações no cliente que acessa o endpoint.

14. Copyright © 2009 Accenture All Rights Reserved. 14
Referências Adicionais
• http://adambard.com/blog/3-wrong-ways-to-store-a-password/
• http://stackoverflow.com/questions/4948322/fundamental-difference-between-
hashing-and-encryption-algorithms
• http://www.w3.org/Protocols/rfc2616/rfc2616-sec14.html

15. Copyright © 2009 Accenture All Rights Reserved. 15
Dúvidas e comentários