Criptus | Aula 2: Usos da criptografia

o Olá vamos dar início a nossa segunda aula de engenharia de segurança pelo sistema gritos hoje vamos ver uso da criptografia e como a gente já viu a criptografia é uma das Ferramentas mais importantes para a segurança da informação Como assim bom porque usar criptografia o fato é que todos nós temos informações que a gente quer manter sigilosa né então desejo da privacidade proteger essas informações nos proteger empresas também tem segredos então informações estratégicas previsões de vendas detalhes técnicos de produtos resultados de pesquisa de mercado arquivos pessoais tudo isso faz com que tenhamos a necessidade de a assegurar a privacidade da nossa informação o número digital Então a gente tem que esperar gente se preocupa com a confidencialidade Ea privacidade Então ninguém pode invadir seus arquivos e livros seus dados pessoais sigilosos então isso o que a gente quer garantir a privacidade ninguém pode entrar de um meio de comunicação e obter informação para chegar no sentido de usufruir vantagem do uso de recursos da rede então eu tenho que garantir a confidencialidade Ea integridade a gente já viu também refere-se ao mecanismo que forma quando algo foi alterado autenticação para realmente verificar as identidades Quem disse quem disse que é realmente é a irretratabilidade não repúdio que é imposição legal que impede a pessoa de dizer que ela não fez aquilo então de honrar a palavra dele Tá bom então de algum modo essa criptografia deve contribuir para resolver os problemas confidencialidade privacidade integridade e autenticação irretratabilidade ou não-repúdio EA disponibilidade assim então a gente viu que uma das Ferramentas mais importantes é a criptografia bom mas de que modo a gente assegura essa criptografia Claro que não tem como a gente assegurar que a criptografia vai-nos garantir sem por cento de segurança e de modo algum ela é uma ferramenta única para gente Para garantir essa segurança então ela não vai resolver todos os problemas e ela não é à prova de falhas e e em sendo assim onde é que a gente pode entregar a criptografia Qual é o uso que a gente pode fazer daquele fotografia aqui tomografia possui emprego nas mais diferentes áreas de atuação né visando aí proteger mas nem todas elas têm o mesmo significado a ideia é proteger a gente faz informações consideradas especiais ou de qualidade sensível o atualmente ela é definida como a ciência que oculta e pro e ou protege as informações tanto na escrita quanto na escrita ele na eletrônica ou na de comunicação em alguns trabalhos aí sobre a história da criptografia Nos quais vocês podem procurar e ter mais informações e o histórico completo que tem lá de grande 95 estado da arte em segurança e protocolos criptográficos abordagens matemáticas podem achar em extinção 2002 e abordagens - matemáticas engorda que tem 2001 e quando a gente pode usar então né aquele fotografia a segurança a gente pode ter umas mais diferentes camadas modelo osi então com exceção da segurança na camada física quase toda segurança vai se basear em princípios criptográficos então na camada de enlace por exemplo os quadros em uma linha uma rede ponto-a-ponto podem ser codificadas à medida que saem de uma máquina e decodificados quando eles chegam em outras é claro que existem vários detalhes aí daquele fotografia que poderiam ser tratados na camada de enlace entretanto é uma uma solução bastante custosa portanto ineficiente uma vez que a gente teria que de criptografar informação quando a gente tem vários roteadores e obviamente que esses roteadores acabaram deixando essa informação vulnerável né para algum tipo de ataque dentro do próprio roteador também algumas sessões de aplicações são protegidas mas outras não então isso poderia há problemas também uma visto nessas camadas superiores a gente não teria a segurança e na tomada de rede a segurança do protocolo IP é que vai funcionar nessa camada e onde a gente observa isso através do uso do protocolo e percebe esse protocolo e pensei que a gente vai ver Mais especificamente dentro dos laboratórios dentro de um dos lábios fazendo uso do netkit nas nossas aulas prática e na camada de transporte é possível a gente criptografa conexão Aí sim afim ou seja processo a processo usando os protocolos que a gente já conhece como SS L Security só que elevam e tls transport level Security e na camada de aplicação a gente tem também vários meios de criptografar informação um exemplo desse por exemplo SM Security multipurpose internet mail extensão os at Security Electronic transactions autenticação de usuário não repúdio só podem ser tratadas nessa camada de aplicação então quando a gente faz uso né do que a gente viu lá na aula em sala de aula da assinatura digital por exemplo para garantir o não-repúdio da informação e autenticação do usuário então a segurança aí na camada perceber ela pode ser garantido nos mais diversos níveis como eu comentei com exceção dessa camada física né então na camada de enlace a gente pode ter aí vários protocolos na camada de rede a partir do IPC aqui na camada de transporte a gente tem o psl e o SL na camada E aí na camada e a gente acaba usando alguns outros elementos Inclusive a criptografia para garantir a segurança bom então a gente tem aí o Ipsep na camada de rede acaba garantido para a gente a segurança né na camada de rede SL ali na camada de transporte e a gente tem mais acima o SM por exemplo e o 7 garantindo a segurança na camada de aplicação o nome do exemplo então da camada de aplicação como é que agente faz para descobrir uma vulnerabilidade a segurança de e-mail por exemplo que pode ser atacada com o SM né pode ser mitigado nessa zona gravidade pode ser fechada aí com o FMI então vamo testar por exemplo se o servidor está seguro para isso abre uma exceção dos eu tenho net né para o servidor de e-mail na porta 25 Então você vai fazer um internet para o servidor que você tem aí disponível de e-mail depois que o servidor responder com o nome e versão digite Hello Teste Ponto test. com o servidor Então vai é responder com Hello né E aí então você digita um remetente falso por exemplo uma robuxplanet. com o servidor deve responder com ofender Ok em seguida entre com um destinatário qualquer Então mande um e veio e meio qualquer né se o servidor não responder como A negação abaixo ele estava oleado então se eu consegui achar aquele e-mail é porque ele está se ele conseguir achar é porque eles estavam nada é bom que o e-mails é um dos elementos que a gente usa bastante na camada de aplicação como é que fica a segurança de né então no e-mail clássico então bom abordar aí já que a gente vai ver o IPCA aqui na camada de rede no laboratório vamos ver como é que fica o e-mail a mensagem então é quebrada em pacotes e cada pacote pode trafegar por diversos caminhos diferentes como a gente já viu quando a gente tá usando IP pop3 e smtp trafegam informações em texto Claro em texto plano sem nenhuma criptografia então nos Estados Unidos o direito à utilização da de informações de e-mails de empresas é garantido à imprensa pelo Freedom of information Nati então se eu tô transmitindo o e-mail plano pela CNT pelo pop3 e esse mini porco obtido ele pode ser divulgar bom então como é que a gente passa para criptografar essa informação o mime multipurpose internet mail extension é uma adição ao smtp que vai permitir para pegar aquilo de diferentes vídeos vídeo áudio imagens Qual que é a Net que a gente vai mandar aí o header me Me informa qual programa será utilizado para visualizar que a informação que tá na net então eu consigo chegando pelo meu e-mail visualizar aquela informação né Então seja um DOC seja um vídeo seja um vídeo do YouTube né Vocês podem ter mais detalhes usando a West Park homens FC 1847 ou fc26 34 para ter mais informações a respeito domingo um SM então uma vez que que se mimi veio essa extenção é claro que com ela trouxe uma série de problemas de segurança porque porque aí eu tenho esses leitores eu tenho essas informações elas estão abertas e vulneráveis o esse mimimi é como um meio de garantir Segurança ao Mimo né então ele utiliza o header para determinar Um certificado digital e o modo de encriptar o anexo então ele usa criptografia simétrica desde e poder é esse dois que nós vamos está vendo desse tipo desse nas aulas subsequentes né e usa algoritmos assimétricos para troca de Chaves então ele criptografa a informação o anexo que é de um porte maior com os algoritmos simétricos e manda a chave através de algoritmos assimétricos ele é distribuído gratuitamente para os principais clientes gmail.

com por exemplo Outlook Outlook Express Netscape o outro é um elemento bastante interessante para gente garantir a criptografia em um e-mail é o PGP priva segure pretty good privacy Essa é a privacidade do PGP ela é bastante boa então ele é um programa de computador desenvolvido aí pelo fios irmã em 91 que utiliza criptografia para proteger a privacidade de meio de arquivos guardados no computador do usuário Quais são as características dele ele é considerado bastante forte seguro e é usado principalmente para aplicações de armazenamento de arquivo cm então independente da organização governamental nas organizações não-governamentais ele é independente dessas Organizações e as mensagens são automaticamente compactados Então quais são os componentes do PGP autenticação para tanto assinar pode verificar a confidencialidade a partir da Quinta da equitação da decretação a compreensão a compatibilidade de e-mail Ea segmentação e de montagem das informações como é que ele funciona então o PGP existe que você digite uma senha previamente criada quando instala o programa E cria sua conta pessoal toda vez o que for enviar um e-mail se alguém usar o seu computador ele não tiver a senha o e-mail é então enviado sem assinatura de autenticação e sem assinatura do PGP o receptor já pode então desconfiar que você pode não ser você porque não mandou o e-mail assinar ao receber o e-mail PGP na casa do receptor pode então automaticamente conferir os dados das suas chave pública para ver se você é você então através aí dessa sincronia em tempo real com servidores PVP ele consegue verificar Então autenticidade desse e-mail a partir da chave pública caso o e-mail não esteja assinado com essa chave a gente volta esta casa certa qualquer pessoa pode alterar o nome do remetente se fazer passar e pelo bilhete pelo George Bush por qualquer por você por qualquer pessoa a assinatura então funciona Para comprovar a velocidade do envio da mensagem só isso porque eu criptografei com a minha chave privada consequentemente todo mundo que tem a minha chave pública ou seja todo mundo pode ter criptografar essa informação então ela não está oculta o conteúdo do e-mail Não é criptografado apenas assinatura específica específica do programa né O que é o Quem é então é um recurso de confirmação do remetente o conteúdo do e-mail continua inseguro né Ou seja é um prato cheio aí para quem quiser fazer uso dessa informação para o e-mail prêmios mais importantes quando a gente tem sigilo na informação que vai para o e-mail bem como os anexos a melhor opção então é criptografar todo o conteúdo da mensagem e aí o PGP faz isso de forma mais ou menos rápida né O e-mail Enviado de forma criptografada e só pode ser lido por quem efetivamente bom então obviamente que eu vou criptografar agora com a chave pública do do carro para quem eu vou estar enviando né do receptor os servidores Então vamos verificar achados públicas e privadas dos dois para poder de criptografar o conteúdo se alguém pegar o e-mail pelo meio do caminho só consegue ler o conteúdo se realmente sobre a senha né então ele não vai conseguir ter acesso à informação para descobrir a senha claro que só colocando a pessoa sob tortura ou só se for como a gente comentou uma pessoa desatenta que tem sua senha escrito e colada e na tela do monitor é para assinar ou criptografar mesmo PGP necessário que a mensagem esteja em texto puro isso significa aqui não adianta ter mensagens em HTML né que se parece mais com ele site com figurinhas desenhos musiquinhas etc e tal a gente precisa ter a mensagem em que estuprou Ah então tá cada pessoa que usa PGP a criar uma assinatura única e exclusiva são criadas duas Chaves uma pública na privada Então você tenha a opção de assinar com a perda de todas as suas mensagens enviadas com a sua chave privada essa chave privada irá certificar o receptor de que você é você mesmo e na outra pessoa que ele vai usar sua chave pública para descriptografar que a informação e garantir só tem que cidade de criptografar não você garante sua autenticidade utilizando o servidor que foi na outra pessoa que tá utilizando o servidor smtp fantasma né o servidor de envio a chave pública do receptor é exigência para você criptografar a mensagem pois a senha a única e a chave privada dele é dele e exclusivamente dele e com isso ele vai usar a chave privada dele só ele vai então conseguir de criptografar aquela informação e a compreensão do PGP né como ela é feita a compactação é feita após a assinatura do hash porque polpa de ter que compactar o documento cada vez que fizer verificar sua assinatura então é após o resto é que é feito também é feito antes de criptografar porque para acelerar o processo menos dados para que tu gravar também melhora a segurança em algumas informações adicionais né os três últimos componentes são transparentes do usuário né então o PGP é eu tendo essas assinaturas eu temos as informações isso é tudo é transparente para o usuário Sora não ver como é que todo esse processo é feito Ele simplesmente clica para enviar assinado com o PGP faz uso das assinaturas autenticação e confidencialidade podem ser combinados então uma mensagem ela pode ser não só assinada mas também criptografados e chamaram de confidencialidade autenticar o bgp é projetado então para ser compatível com os sistemas de meio de modo geral e o PGP só tem cabimento se tanto receptor quanto o transmissor usarem PGP Não Faz Sentido um usar e o outro não como é que eu vou fazer para de graça não tem um algoritmo de PGP no Brasil então Abas São desse tipo de criptografia ainda é incipiente né então o somente os lápis técnicos e centros de pesquisa que acabam fazendo uso dessa criptografia com as duas pessoas usando PGP elas podem então trocar é meio criptografados com o objetivo seguro utilizados internacionalmente sem possibilidade aí de intruso não sem a possibilidade mas deixando isso mais difícil para os em todos os algoritmos que podem o seu utilizados aí com pegepel a ex que pudesse aí dia o Cash é simétrico com o de fiel a mão s. a. de chave pública ou de ss carga um sa1 sh né Não mas as versões E aí tá bom falamos então dos do uso aí nos usos da criptografia E é claro que a gente sabe que a criptografia é algo é uma das Ferramentas importantes já disse já comentei que os algoritmos são públicos então a gente conhece nós vamos aprender vamos ver o funcionamento do desejo tipo desde a ex-urss cá então o que é importante né é a gente guardar e gerenciar direito a chave né então nós vamos ver um pouquinho de gerenciamento de Chaves o gerenciamento de Chaves ele é mais barato a gente conseguir chaves de criptografia do que descobri-las por meio da computação de Alto desempenho então é muito mais fácil a gente fazer o uso das falhas nas pessoas do que no sistema então usar um engenheiro social métodos de tortura equação chantagem são muito mais interessantes de serem utilizados o que a gente gastar um dinheiro para tentar computacionalmente obter essa chave então tópicos importantes é geração chave transferência de Chaves verificação de Chaves uso dessa chave do armazenamento tempo de vida como é que a gente faz a eliminação dessa chave a distribuição das chaves então todos esses questionamentos são importantes quando a gente tá falando sobre chá uma vez que a gente pode então tentar dar um jeito de obter essa chave É pô seu processo de geração da chave é importante então é fraco e uma vez sendo ele importante todo o sistema também é fraco o espaço de chaves aí o que fez reduzido é que Ou seja que pode ser utilizado é né um conjunto mínimo de chaves aí que pode ser utilizado pode enfraquecer o mesmo tempo então você imaginar que as palavras-chaves que eu vou utilizar estão relacionados por exemplo com a minha vida pessoal isso enfraquece demais sistema Chaves muito fácil e são facilmente quebrados que o ataque de dicionário já disse esse conjunto é pequeno eu criei um dicionário com um conjunto de palavras que facilmente vai-me dar qual é a chave daquele sistema e se a chave deve resistir A um ataque de força bruta por dez anos então eu preciso planejar direito tamanho dessa chave e o seu espaço se o que fez né os passos de Chaves a geração de Chaves números possíveis aí Chaves com vários espaços que esteja letras minúsculas tenho 26 letras minúsculas Então você usar 32 bits eu vou ter o que 1,2 vezes 10 a sétima seus a 128 bits eu tenho 18 vezes 10 a nona 256bits eu tenho 2,1 vezes 10 a 11ª ou seja o aumento aí meu reagir da mesma forma letras minúsculas mas e dígitos eu já tenho 36 caracteres alfanuméricos 62 E com isso o aumento muito mais se eu tiver de 32 para 256 o meu quis fez e caracterizar as que eu tenho 128 eu voltei aí com 256 bits 7,2 x 10 elevado a 16 e veja que então na para a geração de Chaves né Força Bruta 1 milhão de tentativas por segundo com letras minúsculas só 26 caracteres com 256 bits eu queria 2,4 dias para quebrar aí usando Força Bruta né em um milhão de tentativas por segundo eu teria 2,4 dias para quebrar já com caracteres ASCII de 128 eu teria 2.

300 anos veja que são espaço já muito mais interessante se eu levo 2. 300 claro que isso a gente tem que colocar os computadores com a potência computacional que a gente tem hoje né levando um milhão de tentativas por segundo é claro que computadores mais eficientes mais poderosos eu vou conseguir reduzir né esse conjunto de anos ai ai ai a girar chave com qualidade exige que o processo seja então feita através da geração de Chaves randômicas por processos automáticos para gerar as chaves assimétricas ainda é necessário cumprir propriedades matemáticas por exemplo números primos como é o caso do RSA exigem que exigem aproximadamente 10 elevado a 151 primos de 512 para gerar uma chavinha de 512 bits George Cave randômicas Nem sempre é possível é claro que às vezes a gente precisa guardar essa chave de uma forma mais fácil né que ela seja aquela seja lembrada então palavras separar a gente pode fazer uso então né de geração de Chaves de forma obscura então por exemplo palavras separadas por caracteres especiais tanto* muermos né usar uma frase ao invés de uma palavra e convertê-lo para uma chave então usando que Crush né então converte frases fáceis de lembrar em palavras randômicas cinco palavras aí para cada abaixo a gente acaba usando algumas estratégias para permitir a geração dessa chave e não ter Chaves muito simples né de serem facilmente quebrar é o tamanho dessa chave com longa deve ser uma chave então questões devem ser respondidas país como Qual o valor da minha informação por quanto tempo a informação precisa ser guardada né Por quanto tempo ela precisa ser confidencial quais são os recursos computacionais que eu tenho disponível atualmente qual é o custo computacional para utilizar essa chave e a partir daí então a gente começa a responder baseado naquele que Space que a gente limitou então sistemas que utilizam Chaves simétricas e assimétricas em conjunto devem definir o Chaves contar mais equivalentes com relação à dificuldade de quebrar o sistema então com relação à força a força bruta veja que a criptografia assimétrica também é suscetível a força bruta mas de maneira diferente né Por exemplo é RSA fatorar números muito grandes a ideia dele é fatorar números muito grandes então nós vamos ver também mas para frente esse como é que funciona s a u e a similaridade então tamanho da chave simétrica e o tamanho da chave assimétrica Qual a relação que eu tenho de confiabilidade entre essa chave um algoritmo é uma chave de um algoritmo simétrico de 56 bits é equivalente a onde 384bits na assimétrica 64 bits a 512 80 a768 112792 e 128 a 2. 304 e como que a gente tem Qual é a relação que a gente tem é dessas Chaves né do tamanho dessa chave assimétrica Ibis né então desde o ano de 95 pessoalmente a gente acabava transformações pessoais usando 768 Beats aí ao passo que para informação governamental 1536 1/2005 que a gente tem é 1536 para 2.