PCF-3

Questões comentadas, artigos e notícias

Prova 2002 – Criptografia Q. 50

Posted by papacharliefox3 em 24/07/2009

enigma1Certificados digitais são documentos eletrônicos concebidos para se verificar a autenticidade de um usuário e assegurar que ele efetivamente tem a posse de um par de chaves (pública e privada) para um determinado sistema criptográfico de chaves assimétricas. Certificados digitais são usualmente emitidos por uma terceira parte confiável, denominada autoridade certificadora (AC). Com relação à utilização de certificados digitais para prover maior segurança a um ambiente computacional, julgue os itens abaixo.

1 Certificados digitais se baseiam no conceito de assinatura digital. O mecanismo usual para se assinar um documento eletrônico é primeiro gerar o hash do documento e então cifrar esse hash com um algoritmo assimétrico, utilizando-se sua chave privada. O valor assim obtido constitui a assinatura, que
irá permitir, posteriormente, não apenas verificar a autoria do documento como também a sua integridade.

2 O padrão de certificados largamente utilizado hoje em dia é o X.509, em sua versão 3. Um certificado gerado nesse padrão inclui, essencialmente,um identificador da versão utilizada para gerar o certificado (1, 2 ou 3); um número serial que deve ser único para cada certificado emitido por dada AC; um
identificador do algoritmo de assinatura utilizado pela AC; um identificador da AC (DN – distinguished name da AC); período de validade do certificado; um identificador do sujeito (DN – distinguished name do sujeito) para o qual está sendo emitido o certificado; a chave pública do sujeito; a chave privada do sujeito; outras informações opcionais padronizadas; por fim, a própria assinatura da AC desse conjunto de informações.

3 Certificados digitais são comumente emitidos para pessoas (físicas ou jurídicas), máquinas e processos. A utilização dos certificados requer o estabelecimento do que se denomina uma Infraestrutura de Chaves Públicas (ICP), como recentemente estabelecido pelo governo brasileiro, a ICP-Brasil. ICPs como a ICP-Brasil pressupõem a existência de pelo menos uma AC, cujo próprio certificado é auto-assinado, ou seja, ela própria atesta sua identidade e a detenção de seu par de chaves assimétricas, sendo ao mesmo tempo, para esse fim, emissor e sujeito no ato de certificação.

4 A Internet já dispõe de recursos básicos para a utilização de certificados digitais por meio do protocolo SSL (Secure Sockets Layer), desenvolvido pela empresa Netscape com vistas ao desenvolvimento do comércio eletrônico, e, mais recentemente, o TLS (Transport Layer Security), desenvolvido a partir do SSL como um padrão do IETF (Internet Engineering Task Force). A utilização do SSL/TLS permite: a autentificação mútua das partes em comunicação por meio da verificação de seus certificados digitais apresentados no início de uma sessão; o estabelecimento de uma chave simétrica segura para ser utilizada entre as partes naquela sessão; a cifração com um algoritmo simétrico de toda a comunicação de dados, de forma transparente, no qual é utilizada a chave previamente estabelecida.

5 Um dos pontos sensíveis na utilização de um sistema de chaves públicas é a geração do par de chaves de um usuário. Não somente o processo de geração deve resultar em uma chave
privativa imprevisível, como esta deve ficar tão-somente sob a guarda de seu proprietário, com a maior segurança possível. O comprometimento da chave privativa de um usuário ou o acesso à mesma por terceiros compromete a segurança em sua utilização. Uma forma segura para a geração e a guarda de chaves e certificados disponível atualmente é o uso de cartões inteligentes (smart cards) para tal finalidade.

Comentários

1 Perfeito! Conceitos básicos de assinatura e certificado digital, os quais envolvem o conhecimento do funcionamento de criptografia assimétrica e hash.

2 Chave privada do sujeito dentro do certificado? Não faz sentido algum! Nem precisa decorar todos os campos do certificado X.509 v3. Mas, pra quem curte, aí vão: versão, serial (do certificado), identificador do algoritmo de assinatura, emissor (DN), validade (não antes/depois), sujeito(DN), chave pública e a assinatura (hash).

A partir da versão 2, há os campos identificadores únicos de sujeito e emissor, ambos opcionais assim como as extensões.

3 Correto. Comumente, este também é o processo utilizado na implantação de uma ICP dentro de uma empresa. Para mais informações, basta acessar o site da ICP-Brasil.

4 A primeira parte, é só ‘bla-bla-bla’: A Internet já dispõe de recursos básicos para a utilização de certificados digitais por meio do protocolo SSL (Secure Sockets Layer), desenvolvido pela empresa Netscape com vistas ao desenvolvimento do comércio eletrônico, e, mais recentemente, o TLS (Transport Layer Security), desenvolvido a partir do SSL como um padrão do IETF (Internet Engineering Task Force).

Sim, foi a Netscape! Tem toda uma estorinha por trás disso…enfim, o que interessa é isto:

“A utilização do SSL/TLS permite: a autentificação mútua das partes em comunicação por meio da verificação de seus certificados digitais apresentados no início de uma sessão”. É possível autenticar tanto o lado cliente como o servidor, conhecido como autenticação mútua. Entretanto, é comum a validação apenas do servidor.

“(…) o estabelecimento de uma chave simétrica segura para ser utilizada entre as partes naquela sessão”. No SSL, os dados (após todo o ‘papo’ dos envolvidos) são criptografados com chave simétrica, essa mencionada aí. O final da sentença, só fala o que já foi explicado.

5 Perfeito! Sem tirar nem pôr…

Gabarito Oficial

1-C  2-E  3-C  4-C  5-C

Leitura Recomendada

O link encontra-se no menu superior. Se tiver sugestões, manda aí nos comentários!

A Internet já dispõe de recursos básicos para a utilização de certificados digitais por meio do protocolo SSL (Secure Sockets Layer), desenvolvido pela empresa Netscape com vistas ao desenvolvimento do comércio eletrônico, e, mais recentemente, o TLS (Transport Layer Security), desenvolvido a partir do SSL como um padrão do IETF (Internet Engineering Task Force).

Uma resposta to “Prova 2002 – Criptografia Q. 50”

  1. Fabricio Uchoa said

    Ótimo post Alexandre. Típica questão resumo do assunto.

Deixe uma resposta

Preencha os seus dados abaixo ou clique em um ícone para log in:

Logotipo do WordPress.com

Você está comentando utilizando sua conta WordPress.com. Sair / Alterar )

Imagem do Twitter

Você está comentando utilizando sua conta Twitter. Sair / Alterar )

Foto do Facebook

Você está comentando utilizando sua conta Facebook. Sair / Alterar )

Foto do Google+

Você está comentando utilizando sua conta Google+. Sair / Alterar )

Conectando a %s

 
%d blogueiros gostam disto: