Auditoria e Segurança em TI - Aula 4

Auditoria e Segurança de TI

Aula 4 – Algoritmos para Criptografia.

Prof. Filipo Mór

www.filipomor.com

Bacharelado em Sistemas

de Informação

Agradecimento Especial

O material desta aula foi gentilmente cedido pelo

Prof. Marcelo Conterato, do SENAC-RS.

Agenda

• Criptografia – Serviços Oferecidos

• Criptografia - Fundamentos

• Tipos de Criptografia

– Criptografia Simétrica

– Criptografia Assimétrica

Segurança por Criptografia

• Necessita de chaves e/ou identificação.

• Chaves

– Algo que o usuário sabe (senha).

– Algo que o usuário possui (cartão).

– Algo que o usuário é (voz, digital, íris, rosto).

• Necessário gerenciar as chaves.

• Necessário distribuir as chaves.

Criptografia – Segurança da Informação

4

“A criptografia não oferece nenhumasolução mágica para problemas desegurança da informação. O que oferecesão técnicas que permitem escolher oterreno e a maneira que torne possívelao usuário se defender no mundo dosbits.”

5

Serviços Descrição

Disponibilidade Garante que uma informação estará disponível

para acesso no momento desejado.

Integridade Garante que o conteúdo da mensagem não foi

alterado.

Controle de

acesso

Garante que o conteúdo da mensagem será

acessado somente por pessoas autorizadas.

Autenticidade da

origem

Garante a identidade de quem está enviando a

mensagem.

Não-repudio Previne que alguém negue o envio e/ou

recebimento de uma mensagem.

Privacidade

(confidencialidade

ou sigilo)

Impede que pessoas não autorizadas tenham

acesso ao conteúdo da mensagem, garantindo que

apenas a origem e o destino tenham conhecimento.

Criptografia – Serviços Oferecidos

6

Criptografia – Serviços OferecidosExemplo de aplicação: Compra pela Internet

• Informação que permite a transação - valor e descrição do produtoadquirido - precisa estar disponível no dia e na hora que o cliente desejarefetuá-la (disponibilidade).

• O valor da transação não pode ser alterado (integridade).

• Somente o cliente que está comprando e o comerciante devem ter acesso àtransação (controle de acesso).

• O cliente que está comprando deve ser quem diz ser (autenticidade).

• O cliente tem como provar o pagamento e o comerciante não tem comonegar o recebimento (não-repúdio).

• O conhecimento do conteúdo da transação fica restrito aos envolvidos(privacidade).

7

Fundamentos de Criptografia

• Componentes básicos para o ciframento de uma

mensagem:

– Algoritmo

– Chave

Princípio de Kerckhoff (1883): Todos os algoritmos devem ser públicos;

apenas as chaves são secretas.8

Fundamentos de Criptografia

Vantagens importantes para o uso de chaves

• Permite a utilização do mesmo algoritmo criptográfico para acomunicação com diferentes receptores, trocando apenas achave.

• Permite trocar facilmente a chave no caso de uma violação,mantendo o mesmo algoritmo.

• Número de chaves possíveis depende do tamanho (número debits) da chave.

– Exemplo: uma chave de 8 bits permite uma combinação deno máximo 256 chaves. Quanto maior o tamanho da chave,mais difícil quebrá-la.

9

Criptografia - Tipos

Tipos básicos de Criptografia

(em relação ao uso de chaves)

– Criptografia Simétrica (chave secreta)

– Criptografia Assimétrica (chave pública)

Chave (A)Fechada

Chave (A) Aberta

Chave (A)Fechada

Chave (B)Aberta 10

Criptografia Simétrica

Texto claro Mensagem cifrada

– Utiliza uma mesma chave tanto para cifrar como paradecifrar (ou pelo menos a chave de decifração pode serobtida trivialmente a partir da chave de cifração)

A mesma chave utilizada para “fechar o cadeado”

é utilizada para “abrir o cadeado”.

11


Criptografia Simétrica - Requer uma chave compartilhada

Para: Banco

De: Affonso

Data: 16, Abr, 2001

Transferir R$ 2,5

milhões da conta

254674-12 para

a conta 071517-08

Affonso

*> *ql3*UY

#~00873/JDI

c4(DH: IWB(883

LKS9UI29as9eea

qw9vijhas9djerhp7

(*Y23k^wbvlqkwc

zqw-_89237xGyjdc

Biskdue di7@94

Criptografia

+ + Algoritmo =

Descriptografia

Para: Banco

De: Affonso

Data: 16, Abr, 2001

Transferir R$ 2,5

milhões da conta

254674-12 para

a conta 071517-08

Affonso

*> *ql3*UY

#~00873/JDI

c4(DH: IWB(883

LKS9UI29as9eea

qw9vijhas9djerhp7

(*Y23k^wbvlqkwc

zqw-_89237xGyjdc

Biskdue di7@94

+ + =Algoritmo

12


– Algoritmos simétricos - exigem que a chave seja

mantida secreta, do conhecimento exclusivo dos dois

interlocutores.

– É requerido um canal seguro que permita a um

usuário transmitir a chave ao seu interlocutor.

Se uma pessoa quer se comunicar com outra com segurança, ela devepassar primeiramente a chave utilizada para cifrar a mensagem. Esteprocesso é chamado distribuição de chaves.

13


Uso de algoritmo criptográfico simétrico (chave secreta)

Cifrar Decifrar

Canal Seguro

Canal Inseguro

Mensagem(abcdef...z)


Criptograma(abcdef...z)

ChaveK

ChaveK

BobAlice

Alice e Bob precisam acordar uma chave secreta que irá proteger asmensagens trocadas entre eles.

14


– Alice cifra uma mensagem - utiliza um algoritmo deciframento e uma chave secreta para transformar umamensagem clara em um texto cifrado.

– Bob decifra uma mensagem - utiliza o algoritmo dedeciframento correspondente e a mesma chave paratransformar o texto cifrado em uma mensagem emclaro.

– Eva - não possui a chave secreta, mesmo conhecendoo algoritmo, não consegue decifrar a mensagem.

– A segurança do sistema reside não mais noalgoritmo e sim na chave empregada. É ela queagora, no lugar do algoritmo, deverá ser mantida emsegredo por Alice e Bob.

15


Exemplos de algoritmos que utilizam

chaves secretas:

• DES

• Triple DES

• IDEA

• RC2

• AES

16


Algoritmo

Simétrico

Bits Descrição

DES 56 •Data Encryption Standard (DES) - algoritmo simétrico mais

disseminado no mundo.

•Utiliza cifras de blocos de 64 bits, chave de 56 bits,

substituição monoalfabética (alfabeto:256 símbolos).

•Criado pela IBM em 1977, permite cerca de 72 quadrilhões

de combinações (256), considerado pequeno, quebrado

por "força bruta" em 1997 em um desafio lançado na

Internet.

•NIST (National Institute of Standards and Technology) -

lançou o desafio, recertificou o DES pela última vez em

1993 e desde então está recomendando o 3DES.

•O NIST propôs um substituto ao DES - deve aceitar chaves

de 128, 192 e 256 bits, operar com blocos de 128 bits.

17

Criptografia Assimétrica

Texto claro Mensagem cifrada

– As chaves são sempre geradas aos pares: uma para cifrare a sua correspondente para decifrar.

– A chave pública é divulgada, a chave privada éproprietária (normalmente não abandona o ambiente ondefoi gerada).

Uma chave é utilizada para “fechar o cadeado” e outra chave, diferente, mas relacionada à primeira,

é utilizada para “abrir o cadeado”18


Criptografia Assimétrica - Não possui segredos compartilhados

Para: Banco

De: Affonso

Data: 16, Abr, 2001

Transferir R$ 2,0

milhões da conta

254674-12 para

a conta 071517-08

Affonso

*> *ql3*UY

#~00873/JDI

c4(DH: IWB(883

LKS9UI29as9%#@

qw9vijhas9djerhp7

(*Y23k^wbvlqkwc

zqw-_89237xGyjdc

Biskdue di7@94

Criptografia

+ + Algoritmo =Chave Pública

Descriptografia

Para: Banco

De: Affonso

Data: 16, Abr, 2001

Transferir R$ 2,0

milhões da conta

254674-12 para

a conta 071517-08

Affonso

*> *ql3*UY

#~00873/JDI

c4(DH: IWB(883

LKS9UI29as9%#@

qw9vijhas9djerhp7

(*Y23k^wbvlqkwc

zqw-_89237xGyjdc

Biskdue di7@94

+ + Algoritmo =Chave Privada

As duas chaves são relacionadas através de um processo matemático,usando funções unidirecionais para a codificação da informação.

19


– Algoritmos assimétricos - permitem que a chave de cifração

possa ser tornada pública, disponibilizando-a em um “canal

público” (Ex.: repositório de acesso público) – chave-pública.

– Qualquer um pode cifrar mensagens com uma dada chave-pública.

– Somente o destinatário, detentor da correspondente chave de

decifração (chave-privada, ou secreta), poderá decifrar a

mensagem.

A chave-privada não precisa e nem deve ser dada a conhecer a ninguém,devendo ser guardada em segredo pelo seu detentor apenas, que devetambém ter sido o responsável pela geração do seu par de chaves, enquantoa chave-pública pode ser publicada livremente.

20


Uso de algoritmo criptográfico assimétrico (chave pública).

Cifrar Decifrar

Canal Público

Canal Inseguro



Criptograma(abcdef...z)

ChaveKPública

ChaveKSecreta

BobAlice

Para que Alice envie uma mensagem confidencial a Bob, ela deve encriptaressa mensagem com a chave pública de Bob que, de posse de sua chaveprivada, consegue descriptá-la. Como, em tese, ninguém tem acesso àchave privada de Bob, ninguém pode descriptar a mensagem.

21


– Descrição do funcionamento do sistema

(forma simplificada)

• Bob e todos os que desejam comunicar-se de modoseguro geram uma chave de ciframento e suacorrespondente chave de deciframento.

• Bob mantém secreta a chave de deciframento; estaé chamada de sua chave privada.

• Bob torna pública a chave de ciframento: esta échamada de sua chave pública.

• Qualquer pessoa pode obter uma cópia da chavepública. Bob encoraja isto, enviando-a para seusamigos ou publicando-a em boletins. Eva não temnenhuma dificuldade em obtê-la.

22


– Descrição do funcionamento do sistema

(forma simplificada)

• Alice deseja enviar uma mensagem a Bob: precisaprimeiro encontrar a chave pública dele. Feito isto, elacifra sua mensagem utilizando a chave pública de Bob,despachando-a em seguida.

• Bob recebe a mensagem, a decifra facilmente com suachave privada.

• Eva, que interceptou a mensagem em trânsito, nãoconhece a chave privada de Bob, embora conheça suachave pública. Mas este conhecimento não a ajuda adecifrar a mensagem.

• Mesmo Alice, que foi quem cifrou a mensagem com achave pública de Bob, não pode decifrá-la agora. 23


Exemplos de algoritmos que utilizam chaves

públicas:

• RSA

• ElGamal

• Diffie-Hellman

• Curvas Elípticas

24


Algoritmo Descrição

RSA •Possui este nome devido a seus inventores: Ron Rivest, Adi

Shamir e Len Adleman, que o criaram em 1977 no MIT.

•Amplamente utilizado e uma das mais poderosas formas de

criptografia de chave pública conhecidas. Utiliza números

primos.

•Premissa por trás do RSA: é fácil multiplicar dois números

primos para obter um terceiro número, mas muito difícil recuperar

os dois primos a partir daquele terceiro número - fatoração.

•Exemplo: Fatores primos de 3.337 são 47 e 71. Geração da

chave pública: multiplicar dois primos grandes; qualquer um pode

fazer isto. Derivar a chave privada a partir da chave pública:

fatorar um grande número. Se o número for grande o suficiente e

bem escolhido, então ninguém pode fazer isto em uma

quantidade de tempo razoável.

25



RSA •Segurança: dificuldade de fatoração de números grandes.

•Uma chave RSA de 512 bits foi quebrada em 1999 pelo

Instituto Nacional de Pesquisa da Holanda, com o apoio de

cientistas de mais 6 países. Levou cerca de 7 meses e foram

utilizadas 300 estações de trabalho para a quebra.

•Fato preocupante: percentual significativo dos sites de

comércio eletrônico utilizam chaves RSA de 512 bits.

26



ElGamal •Matemática diferente da utilizada no RSA.

•O algoritmo envolve a manipulação matemática de grandes

quantidades numéricas.

•Obtém sua segurança da dificuldade de se calcular

logaritmos discretos em um corpo finito, o que lembra

bastante o problema da fatoração.

27



Diffie-Hellman •Também baseado no problema do logaritmo discreto

(exponenciação discreta), é o criptosistema de chave

pública mais antigo ainda em uso.

•O conceito de chave pública foi introduzido pelos autores

deste criptosistema em 1976.

•Cada participante inicia com sua chave secreta e através da

troca de informações é derivada uma outra chave chamada

chave de seção, que será usada para futuras comunicações.

28


– Vantagens

• Mais segura do que a criptografia simétrica, por não precisar

comunicar ao receptor a chave necessária para descriptografar a

mensagem.

• Permite que qualquer um possa enviar uma mensagem secreta,

utilizando apenas a chave pública de quem irá recebê-la.

• Como a chave pública está amplamente disponível, não há

necessidade do envio de chaves como no modelo simétrico.

• A confidencialidade da mensagem é garantida, enquanto a chave

privada estiver segura. Caso contrário, quem possuir acesso à chave

privada terá acesso às mensagens.

– Desvantagem

• Costuma ser mais lenta do que a criptografia simétrica.

29

Criptografia Simétrica x Assimétrica

Simétrica Assimétrica

Funcionamento

• Utiliza um algoritmo e uma

chave para cifrar e decifrar

Requisito de Segurança

• A chave tem que ser mantida

em segredo

• Tem que ser impossível decifrar

a mensagem

• Algoritmo mais alguma parte do

texto cifrado devem ser

insuficientes para obter a chave

Funcionamento

• Utiliza um algoritmo e um par

de chaves para cifrar e decifrar

Requisito de Segurança

• Uma chave é pública e a outra

tem que ser mantida em

segredo

• Algoritmo com alguma parte do

texto cifrado com uma das

chaves não devem ser

suficientes para obter a outra

chave

30

Importância da Criptografia

• Assinaturas Digitais;

• Protocolos de segurança (IPSec);

• Certificados Digitais

• VPN

31

Segurança - Biometria

Formas de Autenticação

1. Alguma coisa que você conhece:

– Password

– Número de identificação (CPF, RG )

2. Alguma coisa que você tem:

– Cartão de banco

– Chave

3. Alguma coisa que você é:

– Biometria32


Evolução dos métodos de verificação pessoal

O que você sabe

O que você carrega

O que você é

Evolução

senhaCartões

tradicionais

token

Smart cards

Impressãodigital face

voz mão

íris

assinatura

33


• Biometria - conjunto de métodos automatizados parareconhecer uma pessoa, com base em característicascomportamentais ou fisiológicas.

• Características Fisiológicas:– Face

– Impressões digitais

– Geometria da mão

– Íris

– Voz

• Características Comportamentais:– Escrita manual

– Assinatura

– Digitação em Teclado

Fonte: prof. Adilson Gonzaga34


Dispositivos utilizados na segurança por Biometria

35


Dispositivos utilizados na segurança por Biometria

Dispositivos com sensores de impressão digital

36

Análise da Íris37


“A Biometria pode proporcionar um meio mais seguro de proteger dados em sistemas computacionais, do que o

simples password utilizado hoje.

A senha que não se esquece”

38

Dúvidas e Comentários?

Agradecimentos:

Prof. Marcelo Conterato

Prof. Samuel Souza

Faculdade Dom Bosco de Porto Alegre

Bacharelado em Sistemas de Informação

Prof. Filipo Mór 2015/01

Auditoria e Segurança em TI