PCF-3

Questões comentadas, artigos e notícias

Posts Tagged ‘certificado’

Prova 2002 – Criptografia Q. 50

Posted by papacharliefox3 em 24/07/2009

enigma1Certificados digitais são documentos eletrônicos concebidos para se verificar a autenticidade de um usuário e assegurar que ele efetivamente tem a posse de um par de chaves (pública e privada) para um determinado sistema criptográfico de chaves assimétricas. Certificados digitais são usualmente emitidos por uma terceira parte confiável, denominada autoridade certificadora (AC). Com relação à utilização de certificados digitais para prover maior segurança a um ambiente computacional, julgue os itens abaixo.

1 Certificados digitais se baseiam no conceito de assinatura digital. O mecanismo usual para se assinar um documento eletrônico é primeiro gerar o hash do documento e então cifrar esse hash com um algoritmo assimétrico, utilizando-se sua chave privada. O valor assim obtido constitui a assinatura, que
irá permitir, posteriormente, não apenas verificar a autoria do documento como também a sua integridade.

2 O padrão de certificados largamente utilizado hoje em dia é o X.509, em sua versão 3. Um certificado gerado nesse padrão inclui, essencialmente,um identificador da versão utilizada para gerar o certificado (1, 2 ou 3); um número serial que deve ser único para cada certificado emitido por dada AC; um
identificador do algoritmo de assinatura utilizado pela AC; um identificador da AC (DN – distinguished name da AC); período de validade do certificado; um identificador do sujeito (DN – distinguished name do sujeito) para o qual está sendo emitido o certificado; a chave pública do sujeito; a chave privada do sujeito; outras informações opcionais padronizadas; por fim, a própria assinatura da AC desse conjunto de informações.

3 Certificados digitais são comumente emitidos para pessoas (físicas ou jurídicas), máquinas e processos. A utilização dos certificados requer o estabelecimento do que se denomina uma Infraestrutura de Chaves Públicas (ICP), como recentemente estabelecido pelo governo brasileiro, a ICP-Brasil. ICPs como a ICP-Brasil pressupõem a existência de pelo menos uma AC, cujo próprio certificado é auto-assinado, ou seja, ela própria atesta sua identidade e a detenção de seu par de chaves assimétricas, sendo ao mesmo tempo, para esse fim, emissor e sujeito no ato de certificação.

4 A Internet já dispõe de recursos básicos para a utilização de certificados digitais por meio do protocolo SSL (Secure Sockets Layer), desenvolvido pela empresa Netscape com vistas ao desenvolvimento do comércio eletrônico, e, mais recentemente, o TLS (Transport Layer Security), desenvolvido a partir do SSL como um padrão do IETF (Internet Engineering Task Force). A utilização do SSL/TLS permite: a autentificação mútua das partes em comunicação por meio da verificação de seus certificados digitais apresentados no início de uma sessão; o estabelecimento de uma chave simétrica segura para ser utilizada entre as partes naquela sessão; a cifração com um algoritmo simétrico de toda a comunicação de dados, de forma transparente, no qual é utilizada a chave previamente estabelecida.

5 Um dos pontos sensíveis na utilização de um sistema de chaves públicas é a geração do par de chaves de um usuário. Não somente o processo de geração deve resultar em uma chave
privativa imprevisível, como esta deve ficar tão-somente sob a guarda de seu proprietário, com a maior segurança possível. O comprometimento da chave privativa de um usuário ou o acesso à mesma por terceiros compromete a segurança em sua utilização. Uma forma segura para a geração e a guarda de chaves e certificados disponível atualmente é o uso de cartões inteligentes (smart cards) para tal finalidade.

Comentários

1 Perfeito! Conceitos básicos de assinatura e certificado digital, os quais envolvem o conhecimento do funcionamento de criptografia assimétrica e hash.

2 Chave privada do sujeito dentro do certificado? Não faz sentido algum! Nem precisa decorar todos os campos do certificado X.509 v3. Mas, pra quem curte, aí vão: versão, serial (do certificado), identificador do algoritmo de assinatura, emissor (DN), validade (não antes/depois), sujeito(DN), chave pública e a assinatura (hash).

A partir da versão 2, há os campos identificadores únicos de sujeito e emissor, ambos opcionais assim como as extensões.

3 Correto. Comumente, este também é o processo utilizado na implantação de uma ICP dentro de uma empresa. Para mais informações, basta acessar o site da ICP-Brasil.

4 A primeira parte, é só ‘bla-bla-bla’: A Internet já dispõe de recursos básicos para a utilização de certificados digitais por meio do protocolo SSL (Secure Sockets Layer), desenvolvido pela empresa Netscape com vistas ao desenvolvimento do comércio eletrônico, e, mais recentemente, o TLS (Transport Layer Security), desenvolvido a partir do SSL como um padrão do IETF (Internet Engineering Task Force).

Sim, foi a Netscape! Tem toda uma estorinha por trás disso…enfim, o que interessa é isto:

“A utilização do SSL/TLS permite: a autentificação mútua das partes em comunicação por meio da verificação de seus certificados digitais apresentados no início de uma sessão”. É possível autenticar tanto o lado cliente como o servidor, conhecido como autenticação mútua. Entretanto, é comum a validação apenas do servidor.

“(…) o estabelecimento de uma chave simétrica segura para ser utilizada entre as partes naquela sessão”. No SSL, os dados (após todo o ‘papo’ dos envolvidos) são criptografados com chave simétrica, essa mencionada aí. O final da sentença, só fala o que já foi explicado.

5 Perfeito! Sem tirar nem pôr…

Gabarito Oficial

1-C  2-E  3-C  4-C  5-C

Leitura Recomendada

O link encontra-se no menu superior. Se tiver sugestões, manda aí nos comentários!

A Internet já dispõe de recursos básicos para a utilização de certificados digitais por meio do protocolo SSL (Secure Sockets Layer), desenvolvido pela empresa Netscape com vistas ao desenvolvimento do comércio eletrônico, e, mais recentemente, o TLS (Transport Layer Security), desenvolvido a partir do SSL como um padrão do IETF (Internet Engineering Task Force).
Anúncios

Posted in Criptografia, Prova 2002 | Etiquetado: , , , | 1 Comment »