Segurança da Informação by Anderson Teala https://padlet.com/AndersonTeala/kf70ed6hzsycwh1j Sobre a Criptografia en-us 2021-11-15 23:34:32 UTC 2021-11-15 23:55:32 UTC hello@padlet.com Tenho certeza que você já ouviu falar em criptografia, certo? Historicamente falando, ela era associada à guerra, por ser essencial para trocar mensagens sem que o inimigo consiga ler. Com a internet, a segurança de dados tornou-se uma das principais preocupações da atualidade e a criptografia passou a ser fundamental para garantir a transmissão segura de dados como transações financeiras, informações pessoais e conversas privadas.Mas para o que ela serve, afinal? A criptografia tem dois propósitos principais: impedir que dados armazenados sejam lidos e permitir que dados sejam transmitidos de forma segura por um canal inseguro. Isso significa manter a confidencialidade, integridade e identidade desses dados. Veja na prática:Se Alice quiser enviar uma mensagem a Bob sem que Eve possa interferir, a criptografia permite:Confidencialidade: Eve, o bisbilhoteiro, não consegue entender a mensagem;Integridade: Eve, o bisbilhoteiro, não consegue modificar a mensagem;Identidade: Bob pode confirmar que a mensagem foi enviada por Alice.Então, resumindo, ela consiste em codificar uma informação de forma que ela seja compreensível apenas para aqueles que devem ter acesso à ela. E isso é feito através de um segredo: toda criptografia envolve algum tipo de segredo e espera-se que apenas quem tiver acesso a ele seja capaz de entender aquela informação.Do começoAntes de começar a explicar os tipos de criptografias que existem, tenha em mente esses termos, eles irão te ajudar a entender a lógica mais facilmente:Texto claro (ou plano): Informação legível, que pode ser compreendida por qualquer um que tiver acesso a elaTexto criptografado (ou cifrado): Informação incompreensível para aqueles que não devem ter acesso a elaCriptografar (ou cifrar): Utilizar um segredo para transformar um texto claro em texto cifrado. Pode ser revertido (descriptografado ou decifrado) por aqueles que souberem o segredo corretoAlgoritmo: Sequência finita de operações realizadas sobre um ou mais dados de entrada para gerar um dado de saídaCifra: Algoritmo utilizado para criptografar ou descriptografar dadosUma das mais simples e conhecidas técnicas é a Cifra de César, em que as letras da mensagem eram deslocadas em três posições em relação à ordem alfabética. Por exemplo: "A" se torna "D", "B" se torna "E", "Z" se torna "C". Esse é um exemplo de cifra extremamente simples, e possui dois grandes problemas: depender de segurança por obscuridade e vazamento indireto de informações.Segurança por obscuridadeA segurança por obscuridade consiste em confiar que um sistema é seguro por ninguém saber como ele funciona. Ou seja, o único segredo utilizado pela cifra é o seu modo de funcionamento. E por que isso é ruim? Porque as chances desse sistema ser ineficaz são muito grandes! Quando há diversos especialistas em criptografia analisando determinado sistema, as chances de se encontrar falhas são muito maiores. Isso quer dizer que, se o "segredo" de uma cifra estiver no funcionamento da máquina (ou algoritmo), bastaria ter acesso a ela (ou ao código) pra conseguir decifrar qualquer mensagem cifrada por ela. Como diria Claude Shannon, matemático americano, "O inimigo conhece o sistema".Mas como resolver, então? Utilizando, como segredo, uma "chave" que, nesse caso, é uma sequência de símbolos utilizada para criptografar e descriptografar uma mensagem. Nesse sentido, existe o Princípio de Kerckhoffs, que complementa a Máxima de Shannon e diz que um sistema criptográfico deve ser seguro mesmo que tudo sobre ele, exceto a chave, seja conhecido publicamente. Então, entende-se que é muito mais seguro utilizar uma chave como segredo porque, caso ele seja comprometido, basta trocar de chave. Muito mais simples do que trocar de método!Um exemplo disso é a Cifra de Vigenère que, apesar de ser semelhante à cifra de César, utiliza uma palavra-chave (em vez de um número fixo) para definir o deslocamento das letras da mensagem. Essa técnica “resolve” o problema da segurança por obscuridade, mas essa cifra também sofre o problema de vazar informações indiretas, caso seja usada uma chave menor do que a mensagem.Informações indiretasAs duas técnicas que falamos acima têm o mesmo problema de vazamento indireto de informações, que são, justamente, os padrões. Mas como acontece esse vazamento? Uma das ferramentas mais comuns para a quebra de criptografia é a análise de frequências de símbolos, frases e padrões. Então, caso esses padrões sejam identificados na análise, o vazamento pode acontecer.Um exemplo simples: a letra mais comum na língua inglesa é E, como mostramos no gráfico abaixo.Fonte: WikipédiaUtilizando uma cifra simples como a de César, esse gráfico de distribuição iria continuar igual, mas "deslocado". Nesse exemplo, a letra H seria a mais frequente. Uma boa cifra deveria resultar em uma distribuição mais uniforme (com as barrinhas mais ou menos do mesmo tamanho). Esse exemplo vale para letras, palavras, imagens, entre outros.Por isso, uma cifra realmente segura precisa gerar códigos que pareçam completamente aleatórios, sem nenhum tipo de padrão, para que não seja possível encontrar uma correlação entre a informação secreta e o código gerado.Para ter essa propriedade, a cifra deve utilizar uma chave longa e imprevisível. Uma chave curta ou previsível irá expôr padrões que a cripoanálise moderna é capaz de quebrar.Perfeitamente seguro x Seguro na práticaBom, agora que mostramos as possíveis falhas, vamos falar sobre a segurança. A única técnica criptográfica que foi matematicamente provada ser impossível de quebrar foi a One Time Pad (OTP), ou Chave de uso único. Com ela, mesmo que alguém disponha de tempo e recursos computacionais infinitos, não seria possível quebrar a criptografia.A OTP possui quatro condições que precisam ser satisfeitas para que a segurança perfeita seja alcançada. A chave precisa ser:Gerada de forma verdadeiramente aleatóriaPelo menos tão longa quanto a mensagem a ser cifradaNunca reutilizada, completa ou parcialmenteMantida completamente em segredoProblema resolvido, então? Mais ou menos... Isso porque, tais condições fazem com que o seu uso não seja eficiente para aplicações no mundo real. Então, na prática, as cifras que são realmente utilizadas baseiam-se em problemas matemáticos computacionalmente difíceis; que, por exemplo, o melhor supercomputador que existe levaria milhões de anos para resolver.As chaves dessas cifras não seguem condições tão rígidas para serem consideradas impossíveis de quebrar: a condição de que quanto mais longa e aleatória a chave, mais difícil de quebrar, ainda é válida; mas elas são reutilizadas e, também, usadas para mensagens de todos os tamanhos, o que não encaixa nos requisitos.Por isso, dizemos que a criptografia que realmente é utilizada não dá garantia de segurança perfeita, mas de segurança para efeitos práticos.Tipos de algoritmosAlgoritmo de Chave SimétricaAlgoritmos de Chave Simétrica são cifras em que a mesma chave é utilizada para criptografar e descriptografar uma informação. Dentro disso, atualmente o mais utilizado é o AES (Advanced Encryption Standard), que é seguro e rápido.Entretanto, quando se fala em comunicação segura pela rede, esse tipo de algoritmo precisa ser utilizado em conjunto com outros; afinal, os interlocutores precisam compartilhar um segredo, mas como estão se comunicando em um canal inseguro, só ele não basta.Algoritmo de Chave AssimétricaAlgoritmos de chave assimétrica utilizam um par de chaves complementares: o que é criptografado por uma pode ser descriptografado somente pela outra, e vice-versa. São utilizadas mantendo-se uma chave pública, que pode ser fornecida a qualquer um, e outra privada, que apenas o dono deve ter acesso. O algoritmo mais utilizado atualmente é o RSA (Rivest-Shamir-Adleman).Na prática, funciona assim: Bob pode utilizar a chave pública de Alice para cifrar uma mensagem e enviar para ela sem o risco de que a mensagem seja entendida por terceiros, já que apenas Alice conseguirá descriptografá-la, por possuir a chave privada.Por serem muito mais lentos do que os algoritmos de chave simétrica (principalmente para mensagens longas), eles costumam ser usados somente no início de uma comunicação, para o estabelecimento de um segredo compartilhado entre os interlocutores. Para cifrar e decifrar as demais mensagens da comunicação, utiliza-se um algoritmo de chave simétrica, que é muito mais rápido, com a chave sendo o segredo compartilhado.Função Hash CriptográficaUma função hash é uma função que transforma uma sequência de símbolos de tamanho qualquer, como uma mensagem, em uma sequência de tamanho fixo. Também são chamadas funções de resumo.Essas funções têm um papel bem diferente das cifras, afinal, ao criptografar uma informação, nós queremos ter a possibilidade de descriptografá-la. A importância da função hash está relacionada com a garantia de integridade e identidade de informações trocadas, através da Assinatura Digital:"A assinatura digital baseia-se no fato de que apenas o dono conhece a chave privada e que, se ela foi usada para codificar uma informação, então apenas seu dono poderia ter feito isto. A verificação da assinatura é feita com o uso da chave pública, pois se o texto foi codificado com a chave privada, somente a chave pública correspondente pode decodificá-lo." Cartilha de Segurança para InternetUma função hash criptográfica tem a propriedade de ser extremamente difícil de reverter - por isso, são chamadas de funções unidirecionais. O que isso significa? Que para qualquer dado, é extremamente rápido (para um computador) gerar o seu hash - mas, tendo apenas o valor de um hash, é extremamente difícil (mesmo para um computador) descobrir qual era o dado original.Veja um exemplo de função SHA1:oi -SHA1→ ef67e0868c98e5f0b0e2fcd9b0c4a3bad808f551ou -SHA1→ d5f10c9bc8370694a415ccbaabcb062e36948c5aornitorrinco -SHA1→ 561b4e941893e7b3d14a5c89cce74a2d7d471ec3Perceba que uma pequena mudança no dado de entrada altera completamente o resultado! Além disso, o tamanho do resultado é fixo, independe do tamanho da entrada."Para contornar a baixa eficiência característica da criptografia de chaves assimétricas, a codificação é feita sobre o hash e não sobre o conteúdo em si, pois é mais rápido codificar o hash (que possui tamanho fixo e reduzido) do que a informação toda.." Cartilha de Segurança para InternetO que pode ser criptografado?Até aqui falamos principalmente sobre criptografar mensagens de texto, para facilitar a explicação. Na prática, como nos computadores tudo é armazenado, processado e transmitido em bits (que podem representar quaisquer tipos de dados), absolutamente qualquer coisa pode ser criptografada.Ou seja, além de mensagens de texto, como e-mails, é possível utilizar a criptografia para proteger arquivos salvos em um computador, dados transmitidos por 3G ou Wi-Fi, além de áudio e vídeo transmitidos em plataformas de videoconferência, como ocorre no Elos.Transport Layer Security (TLS)Transport Layer Security (Segurança para Camada de Transporte) é o protocolo criptográfico mais utilizado para comunicações seguras na rede. Ele define como os algoritmos citados nesse artigo serão utilizados para o estabelecimento de uma conexão segura através de uma troca inicial de mensagens conhecida como "handshake" (aperto de mãos).Vamos explicar essa troca utilizando o exemplo mais comum da internet: um navegador web se comunicando com um servidor web.A comunicação inicia com o navegador enviando uma mensagem para o servidor com uma sequência aleatória de bytes e o conjunto de algoritmos que ele sabe utilizar (por exemplo: AES para criptografia simétrica, RSA para assimétrica e SHA-256 para hash criptográfico);O servidor responde enviando: 1. Seu certificado digital; 2. Outra sequência aleatória de bytes e 3. Quais algoritmos vão ser utilizados (que devem estar entre os enviados pelo navegador);O navegador utiliza o certificado para verificar a identidade do servidor;O navegador gera uma terceira sequência aleatória, o "pré-segredo". Esse pré-segredo é criptografado utilizando a chave pública do servidor (que foi enviada no certificado);O servidor descriptografa o pré-segredo utilizando sua chave privada;Tanto o cliente quanto o servidor utilizam as duas sequências aleatórias e o pré-segredo para gerar a "chave da sessão", que será a chave simétrica utilizada para criptografar as demais mensagens trocadas.Criptografia não é garantiaUtilizar ferramentas que implementam as técnicas de criptografia mais modernas e seguras é essencial para garantir a segurança e privacidade na rede, mas é importante lembrar que isso é o básico! Ou seja, de nada adianta as melhores práticas de criptografia, se outros cuidados não forem tomados. Inclusive, em casos de violação da segurança, é muito mais comum que a criptografia não seja quebrada, e sim contornada.Uma corrente é tão forte quanto seu elo mais fraco e, normalmente, o elo mais fraco de um sistema informatizado é o fator humano. Por isso, de qualquer forma, cuide os dados que você compartilha na internet. Para saber mais sobre segurança digital e, principalmente, sobre como se defender e proteger seus dados na internet, recomendamos o Projeto Autodefesa, que possui diversas ferramentas e manuais sobre o tema. AndersonTeala https://padlet.com/AndersonTeala/kf70ed6hzsycwh1j/wish/1892553906 2021-11-15 23:44:25 UTC https://padlet.com/AndersonTeala/kf70ed6hzsycwh1j/wish/1892553906 Auditoria de Sistemas de Informática ou Riscos Tecnológicos é uma atividade independente que tem como missão o gerenciamento de risco operacional envolvido e avaliar a adequação das tecnologias e sistemas de informação utilizados na organização através da revisão e avaliação dos controles, desenvolvimento de sistemas, procedimentos de TI, infraestrutura, operação, desempenho e segurança da informação que envolve o processamento de informações críticas para a tomada de decisão. AndersonTeala https://padlet.com/AndersonTeala/kf70ed6hzsycwh1j/wish/1892555923 2021-11-15 23:46:01 UTC https://padlet.com/AndersonTeala/kf70ed6hzsycwh1j/wish/1892555923 https://www.youtube.com/watch?v=qHFbuXpz7e4 AndersonTeala https://padlet.com/AndersonTeala/kf70ed6hzsycwh1j/wish/1892556978 2021-11-15 23:46:55 UTC https://padlet.com/AndersonTeala/kf70ed6hzsycwh1j/wish/1892556978 https://www.youtube.com/watch?v=CcU5Kc_FN_4 AndersonTeala https://padlet.com/AndersonTeala/kf70ed6hzsycwh1j/wish/1892557362 2021-11-15 23:47:16 UTC https://padlet.com/AndersonTeala/kf70ed6hzsycwh1j/wish/1892557362 https://www.youtube.com/watch?v=HCHqtpipwu4 AndersonTeala https://padlet.com/AndersonTeala/kf70ed6hzsycwh1j/wish/1892557595 2021-11-15 23:47:29 UTC https://padlet.com/AndersonTeala/kf70ed6hzsycwh1j/wish/1892557595 De um modo geral, existem duas circunstâncias nas quais devemos usar a criptografia: quando os dados estão “em trânsito” ou quando estão “em repouso”. “Em trânsito“, neste contexto, é quando você envia informações através da Internet, por email ou quando precisa armazená-la em outro lugar que não seja o seu próprio dispositivo. Os dados são considerados “em repouso” quando estão armazenados em seu dispositivo, que pode ser parte integrada como um disco rígido, ou em um meio removível, como uma unidade USB.Quando você criptografa dados em trânsito, essencialmente está usando a técnica para tentar dissuadir as pessoas que tentam escutar sua conversa. Uma das formas mais comuns é a criptografia do tráfego de rede. Muitas páginas web, particularmente sites financeiros, de redes sociais e de email, agora o usam por padrão.Não é necessário fazer nada de especial para usá-lo. Sempre que você visualizar um pequeno ícone de cadeado na parte superior, à esquerda do nome da página, e se usa um endereço web que começa com HTTPS (em vez de HTTP), significa que seus dados estão sendo criptografados. O S no HTTPS significa “seguro”, ou seja, que as suas informações estão criptografadas, o que aumenta a segurança na transmissão de dados entre o computador e o site.Todos os principais sistemas operacionais, assim como muitos aplicativos de software populares, oferecem a opção de criptografar arquivos ou pastas no seu dispositivo. Quando você usa esta opção, deve escolher uma senha que permita (você ou qualquer outra pessoa com quem compartilhe a senha) desbloquear e descriptografar esses arquivos. AndersonTeala https://padlet.com/AndersonTeala/kf70ed6hzsycwh1j/wish/1892558565 2021-11-15 23:48:19 UTC https://padlet.com/AndersonTeala/kf70ed6hzsycwh1j/wish/1892558565 Você já entendeu o que é a criptografia e qual a sua finalidade, mas talvez ainda não consiga pensar em um motivo para usar este tipo de proteção, afinal você não é governante nem militar, não tem operações financeiras ou lida com qualquer informação sensível em grande escala. Confira algumas utilidades da criptografia:1. Proteger informações em trânsito (enviadas por e-mail)Se por algum motivo você precisa enviar informações sensíveis a seu respeito, como número de cartão de crédito, CPF ou qualquer outro tipo de dado pessoal, optar por criptografá-los antes de fazer isso pode significar um bom incremento de segurança. Assim, o acesso ao conteúdo fica disponível apenas para o destinatário de suas mensagens, que vai possuir a chave para realizar a descriptografia.2. Proteger dados armazenados nas nuvensHoje em dia é muito comum guardar arquivos em serviços de armazenamento na web. Nomes como Dropbox, OneDrive, Google Drive, Box e iCloud são bem recorrentes na vida de muita gente. Em vários momentos, plataformas como estas são mais práticas para guardar e transportar arquivos do que um pendrive.Entretanto, a questão da segurança também é latente aqui. Não é incomum encontrar casos de arquivos que foram vazados a partir de serviços de armazenamento nas nuvens — como o recente vazamento de fotos íntimas do ator Stênio Garcia ou o grande vazamento de fotos íntimas de celebridades de 2014.Em suma, proteger arquivos sensíveis que ficam armazenados neste tipo de lugar também se torna uma questão primordial para evitar maiores problemas. Ou então você pode recorrer a serviços que criptografam dados, como SpiderOak, TeamDrive, Tresorit e Mega.3. Proteger arquivos de acesso indevidoQuando o computador ou smartphone é perdido/roubado, você provavelmente começa a esquentar a cabeça pensando que algum desconhecido terá acesso a todos os seus arquivos. Em um gadget portátil com Android, iOS ou Windows Phone, você ainda pode apagar remotamente todos estes dados, mas isso nem sempre é possível em um computador.Então, o mesmo cuidado que você precisa ter para armazenar na web ou enviar pela internet dados e informações sensíveis deve ser repetido para a proteção de dados armazenados. É lógico que você não precisa bloquear o acesso a todos os arquivos guardados em um disco rígido, mas fazer isso com dados sensíveis pode ser uma saída bem interessante.Neste caso, o prejuízo de perder o seu computador vai se restringir à peça e ao conteúdo que foram embora, pelo menos ninguém terá acesso aos seus dados. Além disso, proteger dados sigilosos desta forma evita que pessoas não autorizadas (hackers ou não) tenham acesso ao conteúdo guardado em seu PC independentemente de perdas e roubos.4. Proteger dados de navegaçãoQuando você acessa uma rede pública de internet (como um Wi-Fi do shopping ou de uma biblioteca, por exemplo), sua navegação pode estar sendo monitorada. Isso pode acontecer inclusive se o seu navegador estiver utilizando um protocolo de segurança (HTTPS). A melhor saída, nesses casos, é recorrer à navegação criptografada.Isso pode ser alcançado por meio de uma rede virtual privada (VPN) ou ainda utilizar o Tor, pois ambos vão criar “túneis” de conexão criptografada para permitir que você navegue na internet sem ser monitorado. AndersonTeala https://padlet.com/AndersonTeala/kf70ed6hzsycwh1j/wish/1892564684 2021-11-15 23:53:13 UTC https://padlet.com/AndersonTeala/kf70ed6hzsycwh1j/wish/1892564684 Nem sempre. É claro que existem diferentes níveis de criptografia e que eles oferecem segurança, mas, lembre-se, chaves podem ser quebradas. Optar por proteger seus dados desta forma talvez não deixe você livre da bisbilhotagem de hackers ou de algum governo, por exemplo, mas é uma maneira eficaz de evitar que pessoas não-autorizadas tenham acesso a estas informações. AndersonTeala https://padlet.com/AndersonTeala/kf70ed6hzsycwh1j/wish/1892565024 2021-11-15 23:53:30 UTC https://padlet.com/AndersonTeala/kf70ed6hzsycwh1j/wish/1892565024 AndersonTeala https://padlet.com/AndersonTeala/kf70ed6hzsycwh1j/wish/1892567520 2021-11-15 23:55:32 UTC https://padlet.com/AndersonTeala/kf70ed6hzsycwh1j/wish/1892567520