Aula 2

Segurança em Sistemas
Conversa Inicial
de Informação
1 2
50 50

Prof. Douglas Eduardo Basso

1 2

Conversa Inicial

Nessa aula, vamos apresentar alguns

frameworks de gestão de apoio à segurança
da informação, com destaque para o CIS Frameworks de gestão e apoio à
Controls e o NIST CSF. Além disso, vamos segurança da informação
falar sobre a criptografia e suas técnicas, as
3 funções hash, a assinatura, a certificação 4

digital e os algoritmos de criptografia

50 50

simétrica e assimétrica. O objetivo dessa aula

é conhecer os principais mecanismos de
segurança na Internet

3 4

Frameworks de gestão de apoio à SI CIS Controls

Os controles CIS (Center for Internet

Um framework de gestão e apoio à segurança
Security) são basicamente conjuntos
da informação nada mais é que uma série de
desenvolvidos de práticas recomendadas em
procedimentos e guias que são utilizados na
segurança cibernética, ações defensivas que
definição de políticas e processos
5 6
50 50

visam minimizar e evitar ataques

relacionados à segurança
cibernéticos

5 6
 NIST CSF MITRE ATT & CK

O intuito desse framework é criar um

aprimoramento nas capacidades de O MITRE (Massachusetts Instituto of
prevenção, detecção e resposta a diversos Technology Research & Engineering) é uma
tipos de ataques cibernéticos. Nesse grande instituição americana financiada pelo
framework, os fatores relacionados ao governo sem fins lucrativos. Esse instituto
negócio possuem um peso maior. Seu vai além da cibersegurança e possui uma
7 8
50 50

enfoque está sobre médias e grandes série de inovações relacionadas a campos da

empresas, devido à complexidade de sua área militar e computação
concepção

7 8

Security ScoreCard

A Security Scorecard é uma empresa que

atua no segmento de segurança da Introdução à criptografia
informação que busca avaliar a maneira que
9 a segurança cibernética está sendo 10
50 50

implementada e executada em organizações

e entidades corporativas

9 10

Introdução à criptografia Criptografia

A segurança da informação teve que migrar

para esse cenário de Internet, mensagens Podemos dizer que criptografia é uma área
eletrônicas, aplicações baseadas na Internet, que cria, desenvolve e estuda técnicas
computação em nuvem, entre outros. Dentro seguras de comunicação que permitam a
desse cenário, a criptografia é essencial para leitura de mensagens apenas para os
11 12
50 50

a garantir a confidencialidade, integridade e referidos emissores e receptores

autenticação

11 12
 Criptografia clássica Criptografia moderna

A chamada criptografia clássica surgiu com Quando falamos de criptografia moderna,

os povos antigos. Antes da Idade Média, os podemos dizer que foi iniciada juntamente
hebreus e romanos utilizavam formas com o surgimento da mecanização.
13 simples de substituição, monoalfabéticas e 14 Equipamentos foram desenvolvidos para
50 50

monogâmicas, fazendo trocas de caracteres acelerar alguns processos de cifragem e

um pelo outro decifragem e métodos para criptoanálise

13 14

Algoritmos e protocolos de criptografia

Encriptação simétrica: utilizada para ocultar
o conteúdo dos blocos ou fluxos contínuos de
dados de qualquer tamanho, incluindo
mensagens, arquivos, chaves de encriptação
Os algoritmos e protocolos de criptografia e senhas
podem ser agrupados em quatro áreas Encriptação assimétrica: usada para ocultar
principais:
15 16
50 50
pequenos blocos de dados, como valores de
função hash e chaves de encriptação, que são
usados em assinaturas digitais

15 16

Padrões de segurança de redes sem fio

Algoritmos de integridade de dados: usados

Alguns padrões de criptografia foram criados
para proteger blocos de dados, como
para a redes wireless. Entre eles, podemos
mensagens, de possíveis alterações
destacar:
Protocolos de autenticação: são esquemas
WEP
baseados no uso de algoritmos criptográficos
WPA
17 18
50
projetados para autenticar a identidade de 50

entidades WPA2
WPA3

17 18
 Mecanismos de segurança

Mecanismos de garantia da integridade da

Existem alguns mecanismos e recursos de
informação
segurança que podem ser utilizados, entre os
quais podemos destacar: Mecanismos de controle de acesso
Controles físicos Mecanismos de certificação
19
50 Controles lógicos
20
50 Integridade
Mecanismos de criptografia Honeypot
Assinatura digital

19 20

Hashs

Os hashs são utilizados para fazer a

identificação de funções criptográficas. As
Hash funcionalidades de codificação de dados
concatenam caracteres de maneira exclusiva,
21 22 gerando uma espécie de carimbo, para
50 50

garantir a autenticidade de dados, armazenar

senhas de segurança e assinar documentos
de maneira digital

21 22

História das funções hashs MD2: uma das pioneiras funções hash
criptográficas foi implementada em 1989 por
A primeira função hash, criada em 1961, Ronald Rivest. Era uma função muito
tinha o intuito de fazer uma verificação utilizada na segurança da Internet, e a sua
cíclica de redundância, isto é, foi gerada para evolução levou à criação da MD5, padrão
fazer a checagem e correção de dados muito empregado atualmente
23 transmitidos pela rede, como a Internet. Isso 24
RIPEMD: em 1992, o projeto europeu RIPE
50 50

desencadeou novas implementações de criou essa função, que foi implementada para
funções hash, entre as quais podemos substituir o então hash MD4. É considerada
elencar: uma função extremamente segura

23 24
 Propriedades e requisitos do hash
SHA: é um padrão atual de hashes
criptográficos. Foi desenvolvido pela NSA em Há três características que merecem
1993, como componente de um projeto para destaque:
autenticar documentos eletrônicos. O SHA e
Resistência à pré-imagem
suas evoluções são considerados as funções
25 hashes mais seguras na atualidade. A 26 Resistência à segunda pré-imagem
50 50

criptomoeda Bitcoin utiliza o SHA-256 como Resistência à colisão

tecnologia de segurança

25 26

MD5 (Message Digest Algorithm 5): trata-se de

Algoritmos hash criptografados
uma função de dispersão criptográfica
unidirecional de 128 bits criada pela RSA em
1991. É empregada em aplicações e softwares
Entre as funções criptográficas mais
com protocolo de conexão ponto a ponto para
comumente utilizadas atualmente, estão o
checagem e verificação de integridade de
MD5, Whirlpool, SHA-1, SHA-2 e o SHA-3. As autenticação e transferência de arquivos
funções hash devem garantir que as
Whirlpool: é um dos algoritmos de criptografia
mensagens específicas sejam identificadas
27 28
50 50

que utiliza codificação livre, utilizado pela

de uma maneira única e impossivelmente
Organização Internacional de Padronização
duplicável
(ISO) e pela Comissão Eletrotécnica
Internacional (IEC)

27 28

SHA-1 (Secure Hash Algorithm 1): foi

projetado e desenvolvido pela Agencia SHA-2 (Secure Hash Algorithm 2): foi
Nacional de Segurança (NSA) dos Estados implementado em 2001 pelo NIST, em uma
Unidos. Publicado pela NIST, implementa um composição hash de 224, 256, 384 ou 512
valor de dispersão de 160 bits (20 bytes). O bits. É utilizado em procedimentos de
SHA-1 integra uma série de aplicações e autenticação de pacotes da distribuição Linux
protocolos de segurança, incluindo o TLS e o Debian e também em assinaturas de
SSL. O SHA-1 também é implementado em mensagens DKIM. Algumas criptomoedas
29 30
50 50

sistemas de controle de revisão distribuídos, utilizam o SHA-2 para checagem de

como o Git. Através do SHA-1, é possível transações
detectar alteração ou modificação de dados

29 30
 SHA-3 (Secure Hash Algorithm 3): desenvolvido por
Keccak, foi disponibilizado em 2015 para substituir o
Aplicações com hash
SHA-2 e o SHA-1. O SHA-3 é atualmente o algoritmo
criptográfico mais seguro e eficiente do mundo,
garantindo integridade de dados em transações digitais. Autenticação de mensagens
Sua grande vantagem é poder ser implementado em uma
grande variedade de dispositivos embarcados, móveis, Assinatura digital
entre outros, e permite a entrada e saída de dados com Carteira de endereços
31 tamanhos variáveis. Para Stallings, a estrutura básica 32

Mineração de moedas virtuais

50 50

do SHA-3 é um esquema denominado por seus

projetistas de construção em esponja. A construção em
Contratos inteligentes
esponja tem a mesma estrutura geral de outras funções
hash iterativas, isto é, recebe uma mensagem de entrada
e divide em blocos de tamanho fixo

31 32

Chave simétrica e assimétrica

Para a segurança da informação, os

Chave simétrica e assimétrica algoritmos de criptografia são
indispensáveis. As chaves de segurança
possibilitam a verificação, a checagem e a
validação de informações. Esses processos
33 34
50 50

podem ser feitos utilizando duas técnicas de

criptografia: a simétrica e a assimétrica

33 34

Algoritmos de criptografia simétrica

Criptografia Simétrica
Chave secreta Chave secreta
Canal seguro
Os algoritmos de criptografia simétrica
apresentam algumas vantagens. Entre elas,
está a simplicidade, uma vez que estes Texto
Tempo
criptografado Texto
35 algoritmos apresentam facilidade de 36
limpo limpo
50 50

utilização e rapidez para executar o Emissor

Receptor
processamento criptográfico Servidor de Servidor de
encriptação decriptação

Ujjwal Swami/Shutterstock

35 36
 Entre os algoritmos de criptografia simétrica, Entre os algoritmos de criptografia simétrica,
podemos destacar: podemos destacar:
AES (Advanced Encryption Standard) Blowfish

37
DES (Data Encryption Standard) 38
Twofish
50 50

3DES (Triple Data Encryption Standard) RC (Cifra Rivest)

IDEA (Internacional Encryption Algorithm) CAST (Carlisle Adams and Stafford Tavares)

37 38

Algoritmos de criptografia assimétrica Criptografia Assimétrica

Chave Chave
pública do pública do
emissor receptor

As principais vantagens desse método é a Chave pública Chave privada

segurança, pois não é necessário do receptor do emissor

compartilhar nenhum tipo de chave. Canal seguro

Entretanto, o tempo de processamento de Tempo
mensagens dos algoritmos de criptografia
39 40
50 50 Texto criptografado Texto
limpo limpo
assimétrica é mais elevado em relação aos
algoritmos de segurança assimétrica Emissor Receptor
Servidor de encriptação Servidor de decriptação

Ujjwal Swami/Shutterstock

39 40

Entre os algoritmos de criptografia

assimétrica, podemos destacar:
Assinatura e certificação digital
RSA (Rivest Shamir Adleman)

41
ElGamal 42
50 50

Diffie-Hellman
Curvas Elípticas (ECC)

41 42
 Assinatura digital
A assinatura digital deve cumprir algumas
A assinatura digital é um código digital premissas, tais como:
concatenado com uma mensagem transmitida de Verificação de autoria, data e hora de
maneira eletrônica e que faz a identificação do assinatura
emissor de modo único, com a garantia de
integridade da mensagem. A assinatura garante Validação e autenticação de todo o
43
que a mensagem não foi adulterada, ou seja, que 44
conteúdo da mensagem no ato da
50
a mensagem é íntegra, e o remetente atesta que
50
assinatura
realmente é quem diz ser. É uma prova de Caso seja checado por terceiros, garantir a
autenticidade do emissor, bem como um endosso
validade e integridade
da origem dos dados

43 44

Certificado digital
Em algumas situações, os certificados podem
O certificado digital é um processo de garantia ser revogados para o mesmo autor:
de que uma chave pública pertence efetivamente
a uma pessoa ou uma empresa. Essa garantia é Quando a sua validade, previamente
alcançada a partir da combinação de assinatura definida, acaba expirando, logo deixam de
digital com Autoridade Certificadora (CA). Os produzir os seus efeitos
certificados digitais são arquivos que possuem a
Quando ocorre algum problema de
45
chave pública e as informações pessoais do seu 46

comprometimento de chaves, tornando-se,

50 50

proprietário, fazendo, assim, a associação da

identidade do utilizador com a sua chave pública então, necessário proceder com a sua
correspondente. São validados e assinados de invalidação
maneira digital pela Autoridade Certificadora

45 46

Requisitos de assinaturas digitais

A assinatura deve apresentar um padrão de

É preciso ser relativamente fácil produzir a
bits que depende do fechamento e assinatura
assinatura digital
da mensagem
É preciso ser relativamente fácil reconhecer e
A assinatura deve usar algumas informações
47 48
verificar a assinatura digital
50
exclusivas do emissor, para que, dessa 50

maneira, possa ser impedida a falsificação e

a negação

47 48
 Certificados X.509
É preciso ser computacionalmente inviável
falsificar uma assinatura digital, seja
construindo uma nova mensagem para uma
A padronização X.509 apresenta algumas
assinatura digital existente, seja uma
boas práticas em relação a serviços de
assinatura digital fraudada para determinada
diretório, que nada mais são que um servidor
mensagem
49 50 ou grupo de servidores (sistema distribuído)
50
É preciso ser prática a retenção de uma cópia 50

que mantêm disponível um banco de dados

de assinatura digital em termos de com todas as informações dos usuários
armazenamento

49 50

51
50

51