Questão do mês de março

Reconhecendo que a segurança do protocolo IP é um importante aspecto no contexto de uma rede segura com arquitetura TCP/IP, o IETF vem publicando várias RFCs que definem uma capacidade específica de segurança no nível IP (IPSec), incluindo funcionalidades de autenticação e de confidencialidade como extensões para esse protocolo nas suas versões 4 e 6. Acerca do IPSec, julgue os itens abaixo.

1 Um conceito-chave que aparece tanto nos mecanismos de autenticação, quanto de confidencialidade do IPSec é a associação de segurança. Uma associação desse tipo consiste em um relacionamento bidirecional entre um transmissor e um receptor.

Neste item encontramos uma típica pegadinha, se o candidato não estiver bem atento ele fatalmente não irá acertar. O erro está na palavra “bidirecional”. Em uma conexão IPSec é estabelecido uma associação de segurança para cada sentido, sendo esta, portanto, “unidirecional”.

2 O mecanismo de authentication header (AH) do IPSec provê suporte tanto para a integridade dos dados, quanto para a autentificação dos pacotes IP.

Item verdadeiro. Além dos serviços de autenticidade e integridade, opcionalmente também é oferecido o serviço de anti-relay.

3 O suporte a IPSec é opcional em IPv4 e IPv6.

No IPv6 o IPSec já é nativo, ele já faz parte da implementação.

4 Para efeito do AH, os dados de autenticação são calculados sobre o pacote IP integral, excluindo qualquer campo que possa ser modificado em trânsito. Tais campos são considerados como bits zero para o propósito de cálculos nos pontos de origem e destino.

Correto. Em uma comunicação, os pacotes podem passar por diversos caminhos e nessas passagens alguns campos do cabeçalho desses pacotes podem ser alterados, tal como o campo TTL.

5 O mecanismo de encapsulating security payload (ESP) provê suporte tanto à integridade quanto à confidencialidade dos pacotes IP. Em função de requisitos de aplicação, esse mecanismo pode ser usado para cifrar tanto o segmento da camada de transporte (TCP e UDP, por exemplo), quanto o pacote IP inteiro, sendo tais modos de utilização conhecidos, respectivamente, como ESP em modo transporte e ESP em modo túnel.

Verdadeiro. Embora originalmente o ESP ofereça o serviço de confidencialidade, ele pode utilizar, os serviços de autenticidade e integridade oferecidos pelo AH. Então é correto dizer que o ESP tem suporte a estes serviços.

Este item aborda também um outro aspecto, que é o modo de funcionamento do IPSec que pode ser do tipo transporte, quando a criptografia é aplicada na camada de Transpoorte e modo túnel, quando a criptografia é aplicada na camada de Rede criptografando o pacote inteiro sendo inclusive muito utilizado para implementação de VPNs.

CESPE, Polícia Federal -2002, ÁREA 3 – COMPUTAÇÃO CIENTÍFICA

Questão do mês de fevereiro

No dia 31/01/2010, muitos fizeram a prova para o concurso do BACEN. Ouvi muitas reclamações sobre a prova. Muitas pessoas alegavam que ela estava muito difícil. Então, vamos resolver algumas questões para tentar quebrar um pouco este gelo.

20 Suponha que um estudante brasileiro tenha descoberto um algoritmo, determinístico e extremamente rápido, capaz de fatorar um número inteiro de qualquer tamanho. Essa proeza
(A) não afetaria a segurança do RSA, que é baseado em curvas elípticas.
O RSA não é baseado em curvas elípticas. Curvas elepticas, como o próprio nome diz, é baseado na matemática elíptica e o seu funcionamento é diferente ao da criptografia Assimétrica, que é o caso do RSA.
(B) não inviabilizaria o uso do algoritmo assimétrico AES em protocolos de rede.
O AES não é um algoritmo Assimétrico, mas sim Simétrico.
(C) tornaria inseguros os certificados digitais com chaves geradas pelo RSA.
O RSA trabalha com números inteiros, geralmente muito grandes. Então caso alguém tente "quebrar" um sistema que utiliza este algoritmo, é necessário fatorar o número que compõe uma das chaves. Este processo é muito díficil e dependendo do tamanho da chave, pode levar séculos e séculos, de acordo com a capacidade computacional que temos hoje, é claro. O fato é, se alguém descobrir como fator número de qualquer tamanho de forma rápida, a segurança do RSA é comprometida por completo.
(D) tornaria inseguro o FTP (File Transfer Protocol), que utiliza SSL.
O FTP não utiliza o SSL. Ambos estão na camada de aplicação do modelo TCP/IP. Em relação ao modelo OSI, o FTP está na camada de aplicação e o SSL na de apresentação. Mas a verdade é que o FTP não faz uso do SSL. O SFTP sim, ele pode fazer uso do SSL.
(E) inviabilizaria o uso na prática do algoritmo de hash 3DES de 168 bits.
O algoritmo 3DES não é de hash. Ele é um algoritmo simétrico.

21 Um fabricante de software disponibiliza atualizações de seus produtos no site http://www.exemplodefabricante.com.br/update, que é sempre divulgado nas seções de ajuda dos aplicativos. Considerando-se que existe um arquivo SHA-1 associado a cada atualização disponível para download, é INCORRETO afirmar que o(a)
(A) objetivo desse mecanismo, embora imperfeito, é garantir ao usuário que as atualizações baixadas estejam íntegras em relação à origem.
A essência da utilização de algoritmo hash é justamente poder verificar a integridade dos dados.
(B) algoritmo de hash utilizado é, atualmente, passível de ataques de colisão em tempo computacionalmente viável.
Esta notícia foi divulgada aproximadamente em 2005 por três estudantes de uma universidade da Chima.
(C) mecanismo de integridade utilizado está limitado a arquivos menores que 2 PB, em virtude do limite atual de 64 bits.
O erro aqui está em limitar o tamanho em 2 PB.
(D) protocolo utilizado para download (HTTP) não oferece, nativamente, garantia de confidencialidade dos dados.
Exatamente, o HTTP não faz uso de nenhum algoritmo criptográfico para poder garantir a confidencialidade.
(E) utilização do HTTPS, em vez do HTTP, melhoraria significativamente a segurança do download das atualizações.
Embora não tenha sido sitado no enunciado da questão a necessidade de garantia de outros aspectos da segurança além da integridade, com a utilização do HTTPS seria possível a criptografia dos dados transmitidos e autenticidade.

Vamos lá, essas são com vocês!