Cartilha de segurança para internet parte 01 conceitos de segurança

SEGURANÇA FRAUDE TECNOLOGIA SPAM INT
MALWARE PREVENÇÃO VÍRUS BANDA LARGA
TROJAN PRIVACIDADE PHISHING WIRELESS
SPYWARE ANTIVÍRUS WORM BLUETOOTH SC
CRIPTOGRAFIA BOT SENHA ATAQUE FIREWAL
BACKDOOR COOKIES KEYLOGGER PATCHES R
INCIDENTE TECNOLOGIA SPAM INTERNET MA

Cartilha de Segurança
PREVENÇÃO VÍRUS BANDA LARGA TROJAN
PRIVACIDADE PHISHING WIRELESS SPYWARE
para Internet SCAM
ANTIVÍRUS WORM BLUETOOTH
INCIDENTE SEGURANÇA FRAUDE INTERNET
Parte I: Conceitos de Segurança
MALWARE PREVENÇÃO VÍRUS BANDA LARGA
TROJAN PRIVACIDADE PHISHING WIRELESS
SPYWARE ANTIVÍRUS WORM BLUETOOTH SC
Versão 3.0
Setembro de 2005
http://cartilha.cert.br/

INCIDENTE SEGURANÇA FRAUDE TECNOLOGIA

CERT.br – Centro de Estudos, Resposta e Tratamento
de Incidentes de Seguranca no Brasil
¸

Cartilha de Seguranca para Internet
¸

Parte I: Conceitos de Seguranca
¸

Esta parte da Cartilha apresenta conceitos de seguranca de computa-
¸
`
dores, onde s˜ o abordados temas relacionados as senhas, engenharia
a
¸˜
social, malware, vulnerabilidade, ataques de negacao de servico, crip-
¸
tograﬁa e certiﬁcados digitais. Os conceitos aqui apresentados s˜ o im-
a
portantes para o entendimento de partes subseq¨ entes desta Cartilha.
u

˜
Versao 3.0 – Setembro de 2005
http://cartilha.cert.br/

¸

Sum´ rio
a
1 Seguranca de Computadores
¸ 3
1.1 Por que devo me preocupar com a seguranca do meu computador? . . . . . . . . . .
¸ 3
1.2 Por que algu´ m iria querer invadir meu computador? . . . . . . . . . . . . . . . . .
e 3

2 Senhas 4
a ¸˜
2.1 O que n˜ o se deve usar na elaboracao de uma senha? . . . . . . . . . . . . . . . . . 4
´
2.2 O que e uma boa senha? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5
2.3 Como elaborar uma boa senha? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5
2.4 Quantas senhas diferentes devo usar? . . . . . . . . . . . . . . . . . . . . . . . . . . 5
uˆ
2.5 Com que freq¨ encia devo mudar minhas senhas? . . . . . . . . . . . . . . . . . . . 6
2.6 Quais os cuidados especiais que devo ter com as senhas? . . . . . . . . . . . . . . . 6
2.7 Que cuidados devo ter com o usu´ rio e senha de Administrator (ou
a root) em um
computador? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6

3 Cookies 7

4 Engenharia Social 7
4.1 Que exemplos podem ser citados sobre este m´ todo de ataque? . . . . . . . . . . . .
e 8

5 Vulnerabilidade 8

6 C´ digos Maliciosos (Malware)
o 9

¸˜
7 Negacao de Servico (Denial of Service)
¸ 9
´
7.1 O que e DDoS? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9
7.2 Se uma rede ou computador sofrer um DoS, isto significa que houve uma invas˜ o? .a 10

8 Criptografia 10
´ ´
8.1 O que e criptografia de chave unica? . . . . . . . . . . . . . . . . . . . . . . . . . . 10
´
8.2 O que e criptografia de chaves p´ blica e privada? . . . . . . .
u . . . . . . . . . . . . 11
´
8.3 O que e assinatura digital? . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11
8.4 Que exemplos podem ser citados sobre o uso de criptografia ´
de chave unica e de
chaves p´ blica e privada? . . . . . . . . . . . . . . . . . . . .
u . . . . . . . . . . . . 12
8.5 Que tamanho de chave deve ser utilizado? . . . . . . . . . . . . . . . . . . . . . . . 12

9 Certificado Digital 13
´
9.1 O que e Autoridade Certificadora (AC)? . . . . . . . . . . . . . . . . . . . . . . . . 13
9.2 Que exemplos podem ser citados sobre o uso de certificados? . . . . . . . . . . . . . 13

Como Obter este Documento 14

¸˜
Nota de Copyright e Distribuicao 14

Agradecimentos 14

Cartilha de Seguranca para Internet – c 2005 CERT.br
¸ 2/14

¸

1 Seguranca de Computadores
¸

´
Um computador (ou sistema computacional) e dito seguro se este atende a trˆ s requisitos b´ sicos
e a
relacionados aos recursos que o comp˜ em: confidencialidade, integridade e disponibilidade.
o
¸˜ o a
A confidencialidade diz que a informacao s´ est´ dispon´vel para aqueles devidamente autoriza-
ı
¸˜ a ´
dos; a integridade diz que a informacao n˜ o e destru´da ou corrompida e o sistema tem um desempe-
ı
nho correto, e a disponibilidade diz que os servicos/recursos do sistema est˜ o dispon´veis sempre que
¸ a ı
forem necess´ rios.
a
¸˜
Alguns exemplos de violacoes a cada um desses requisitos s˜ o:
a

Confidencialidade: algu´ m obt´ m acesso n˜ o autorizado ao seu computador e lˆ todas as informa-
e e a e
¸˜ ¸˜
coes contidas na sua declaracao de Imposto de Renda;

Integridade: algu´ m obt´ m acesso n˜ o autorizado ao seu computador e altera informacoes da sua
e e a ¸˜
¸˜ a `
declaracao de Imposto de Renda, momentos antes de vocˆ envi´ -la a Receita Federal;
e

Disponibilidade: o seu provedor sofre uma grande sobrecarga de dados ou um ataque de negacao ¸˜
¸ e ¸˜
de servico e por este motivo vocˆ fica impossibilitado de enviar sua declaracao de Imposto de
`
Renda a Receita Federal.

1.1 Por que devo me preocupar com a seguranca do meu computador?
¸

e a u ¸˜
Computadores dom´ sticos s˜ o utilizados para realizar in´ meras tarefas, tais como: transacoes fi-
a ¸ ¸˜
nanceiras, sejam elas banc´ rias ou mesmo compra de produtos e servicos; comunicacao, por exemplo,
atrav´ s de e-mails; armazenamento de dados, sejam eles pessoais ou comerciais, etc.
e
´
E importante que vocˆ se preocupe com a seguranca de seu computador, pois vocˆ , provavelmente,
e ¸ e
n˜ o gostaria que:
a

• suas senhas e n´ meros de cart˜ es de cr´ dito fossem furtados e utilizados por terceiros;
u o e

• sua conta de acesso a Internet fosse utilizada por algu´ m n˜ o autorizado;
e a

• seus dados pessoais, ou at´ mesmo comerciais, fossem alterados, destru´dos ou visualizados
e ı
por terceiros;

• seu computador deixasse de funcionar, por ter sido comprometido e arquivos essenciais do
sistema terem sido apagados, etc.

1.2 Por que algu´ m iria querer invadir meu computador?
e

a ´
A resposta para esta pergunta n˜ o e simples. Os motivos pelos quais algu´ m tentaria invadir seu
e
computador s˜ o in´ meros. Alguns destes motivos podem ser:
a u

• utilizar seu computador em alguma atividade ilćita, para esconder a real identidade e localiza-
ı
¸˜
cao do invasor;

¸ 3/14

¸

• utilizar seu computador para lancar ataques contra outros computadores;
¸

• utilizar seu disco r´gido como reposit´ rio de dados;
ı o

• destruir informacoes (vandalismo);
¸˜

• disseminar mensagens alarmantes e falsas;

• ler e enviar e-mails em seu nome;

• propagar v´rus de computador;
ı

• furtar n´ meros de cart˜ es de cr´ dito e senhas banc´ rias;
u o e a

• furtar a senha da conta de seu provedor, para acessar a Internet se fazendo passar por vocˆ ;
e

• furtar dados do seu computador, como por exemplo, informacoes do seu Imposto de Renda.
¸˜

2 Senhas

Uma senha (password) na Internet, ou em qualquer sistema computacional, serve para autenticar
´ ¸˜
o usu´ rio, ou seja, e utilizada no processo de verificacao da identidade do usu´ rio, assegurando que
a a
´
este e realmente quem diz ser.
Se uma outra pessoa tem acesso a sua senha, ela poder´ utiliz´ -la para se passar por vocˆ na
a a e
Internet. Alguns dos motivos pelos quais uma pessoa poderia utilizar sua senha s˜ o:
a

• ler e enviar e-mails em seu nome;

• obter informacoes sens´veis dos dados armazenados em seu computador, tais como n´ meros de
¸˜ ı u
cart˜ es de cr´ dito;
o e

• esconder sua real identidade e ent˜ o desferir ataques contra computadores de terceiros.
a

¸˜ ´
Portanto, a senha merece consideracao especial, afinal ela e de sua inteira responsabilidade.

¸˜
2.1 O que n˜ o se deve usar na elaboracao de uma senha?
a

Nomes, sobrenomes, n´ meros de documentos, placas de carros, n´ meros de telefones e datas1
u u
dever˜ o estar fora de sua lista de senhas. Esses dados podem ser facilmente obtidos e uma pessoa
a
¸˜
mal intencionada, possivelmente, utilizaria este tipo de informacao para tentar se autenticar como
vocˆ .
e
Existem v´ rias regras de criacao de senhas, sendo que uma regra muito importante e jamais utili-
a ¸˜ ´
zar palavras que facam parte de dicion´ rios. Existem softwares que tentam descobrir senhas combi-
¸ a
nando e testando palavras em diversos idiomas e geralmente possuem listas de palavras (dicion´ rios)
a
e listas de nomes (nomes pr´ prios, m´ sicas, filmes, etc.).
o u
1 Qualquer data que possa estar relacionada com vocˆ , como por exemplo a data de seu anivers´ rio ou de familiares.
e a

¸ 4/14

¸

´
2.2 O que e uma boa senha?

Uma boa senha deve ter pelo menos oito caracteres2 (letras, n´ meros e s´mbolos), deve ser simples
u ı
de digitar e, o mais importante, deve ser f´ cil de lembrar.
a
Normalmente os sistemas diferenciam letras mai´ sculas das min´ sculas, o que j´ ajuda na com-
u u a
¸˜
posicao da senha. Por exemplo, “pAraleLepiPedo” e “paRalElePipEdo” s˜ o senhas diferentes.
a
Entretanto, s˜ o senhas f´ ceis de descobrir utilizando softwares para quebra de senhas, pois n˜ o pos-
a a a
u ı e ¸˜
suem n´ meros e s´mbolos, al´ m de conter muitas repeticoes de letras.

2.3 Como elaborar uma boa senha?

Quanto mais “baguncada” for a senha melhor, pois mais difćil ser´ descobr´-la. Assim, tente
¸ ı a ı
u u ¸˜
misturar letras mai´ sculas, min´ sculas, n´ meros e sinais de pontuacao. Uma regra realmente pr´ tica
u a
´
e que gera boas senhas difćeis de serem descobertas e utilizar uma frase qualquer e pegar a primeira,
ı
´
segunda ou a ultima letra de cada palavra.
Por exemplo, usando a frase “batatinha quando nasce se esparrama pelo ch˜ o” podemos gerar
a
¸˜
a senha “!BqnsepC” (o sinal de exclamacao foi colocado no inćio para acrescentar um s´mbolo a
ı ı `
senha). Senhas geradas desta maneira s˜ o f´ ceis de lembrar e s˜ o normalmente difćeis de serem
a a a ı
descobertas.
Mas lembre-se: a senha “!BqnsepC” deixou de ser uma boa senha, pois faz parte desta Cartilha.
e ´
Vale ressaltar que se vocˆ tiver dificuldades para memorizar uma senha forte, e prefer´vel anot´ -la
ı a
e guard´ -la em local seguro, do que optar pelo uso de senhas fracas.
a

2.4 Quantas senhas diferentes devo usar?

Procure identificar o n´ mero de locais onde vocˆ necessita utilizar uma senha. Este n´ mero
u e u
deve ser equivalente a quantidade de senhas distintas a serem mantidas por vocˆ . Utilizar senhas
e
´
diferentes, uma para cada local, e extremamente importante, pois pode atenuar os preju´zos causados,
ı
caso algu´ m descubra uma de suas senhas.
e
a e ´
Para ressaltar a importˆ ncia do uso de senhas diferentes, imagine que vocˆ e respons´ vel por
a
¸˜
realizar movimentacoes financeiras em um conjunto de contas banc´ rias e todas estas contas possuem
a
a mesma senha. Ent˜ o, procure responder as seguintes perguntas:
a

• Quais seriam as conseq¨ encias se algu´ m descobrisse esta senha?
uˆ e

• E se fossem usadas senhas diferentes para cada conta, caso algu´ m descobrisse uma das senhas,
e
ı ı ¸˜
um poss´vel preju´zo teria a mesma proporcao?
2 Existem servicos que permitem utilizar senhas maiores do que oito caracteres. Quanto maior for a senha, mais difćil
¸ ı
ser´ descobr´-la, portanto procure utilizar a senha de maior tamanho poss´vel.
a ı ı

¸ 5/14

¸

ë
2.5 Com que frequˆ ncia devo mudar minhas senhas?

Vocˆ deve trocar suas senhas regularmente, procurando evitar peródos muito longos. Uma su-
e ı
a ´
gest˜ o e que vocˆ realize tais trocas a cada dois ou trˆ s meses.
e e
Procure identificar se os servicos que vocˆ utiliza e que necessitam de senha, quer seja o acesso
¸ e
ao seu provedor, e-mail, conta banc´ ria, ou outro, disponibilizam funcionalidades para alterar senhas
a
e use regularmente tais funcionalidades.
Caso vocˆ n˜ o possa escolher sua senha na hora em que contratar o servico, procure troc´ -la com
e a ¸ a
a maior urgˆ ncia poss´vel. Procure utilizar servicos em que vocˆ possa escolher a sua senha.
e ı ¸ e
Lembre-se que trocas regulares s˜ o muito importantes para assegurar a confidencialidade de suas
a
senhas.

2.6 Quais os cuidados especiais que devo ter com as senhas?

De nada adianta elaborar uma senha bastante segura e difćil de ser descoberta, se ao usar a senha
ı
algu´ m puder vˆ -la. Existem v´ rias maneiras de algu´ m poder descobrir a sua senha. Dentre elas,
e e a e
algu´ m poderia:
e

• observar o processo de digitacao da sua senha;
¸˜
• utilizar algum m´ todo de persuas˜ o, para tentar convencˆ -lo a entregar sua senha (vide se-
e a e
¸˜
cao 4.1);
• capturar sua senha enquanto ela trafega pela rede.

¸˜ ´ `
Em relacao a este ultimo caso, existem t´ cnicas que permitem observar dados, a medida que estes
e
´ ı e ¸˜
trafegam entre redes. E poss´vel que algu´ m extraia informacoes sens´veis desses dados, como por
ı
¸˜
exemplo senhas, caso n˜ o estejam criptografados (vide secao 8).
a
Portanto, alguns dos principais cuidados que vocˆ deve ter com suas senhas s˜ o:
e a

• certifique-se de n˜ o estar sendo observado ao digitar a sua senha;
a
• n˜ o forneca sua senha para qualquer pessoa, em hip´ tese alguma;
a ¸ o
• n˜ o utilize computadores de terceiros (por exemplo, em LAN houses, cybercafes, stands de
a
¸˜
eventos, etc) em operacoes que necessitem utilizar suas senhas;
• certifique-se que seu provedor disponibiliza servicos criptografados, principalmente para aque-
¸
les que envolvam o fornecimento de uma senha.

2.7 Que cuidados devo ter com o usu´ rio e senha de Administrator (ou root)
a
em um computador?

´
O usu´ rio Administrator (ou root) e de extrema importˆ ncia, pois det´ m todos os privil´ gios em
a a e e
¸˜
um computador. Ele deve ser usado em situacoes onde um usu´ rio normal n˜ o tenha privil´ gios para
a a e

¸ 6/14

¸

¸˜ ¸˜
realizar uma operacao, como por exemplo, em determinadas tarefas administrativas, de manutencao
¸˜ ¸˜
ou na instalacao e configuracao de determinados tipos de software.
Sabe-se que, por uma quest˜ o de comodidade e principalmente no ambiente dom´ stico, muitas
a e
pessoas utilizam o usu´ rio Administrator (ou root) para realizar todo e qualquer tipo de atividade. Ele
a
´ `
e usado para se conectar a Internet, navegar utilizando o browser, ler e-mails, redigir documentos,
etc.
Este e um procedimento que deve ser sempre evitado, pois vocˆ , como usu´ rio Administrator (ou
´ e a
root), poderia acidentalmente apagar arquivos essenciais para o funcionamento do sistema operacio-
nal ou de algum software instalado em seu computador. Ou ainda, poderia instalar inadvertidamente
um software malicioso que, como usu´ rio Administrator (ou root), teria todos os privil´ gios que ne-
a e
cessitasse, podendo fazer qualquer coisa.
Portanto, alguns dos principais cuidados que vocˆ deve ter s˜ o:
e a

• elaborar uma boa senha para o usu´ rio Administrator (ou root), como discutido na secao 2.3, e
a ¸˜
¸˜
seguir os procedimentos descritos na secao 2.6;
• utilizar o usu´ rio Administrator (ou root) somente quando for estritamente necess´ rio;
a a
• criar tantos usu´ rios com privil´ gios normais, quantas forem as pessoas que utilizam seu com-
a e
putador, para substituir assim o usu´ rio Administrator (ou root) em tarefas rotineiras, como
a
¸˜ ¸˜
leitura de e-mails, navegacao na Internet, producao de documentos, etc.

3 Cookies

a ¸˜
Cookies s˜ o pequenas informacoes que os sites visitados por vocˆ podem armazenar em seu
e
browser. Estes s˜ o utilizados pelos sites de diversas formas, tais como:
a

• guardar a sua identificacao e senha quando vocˆ vai de uma p´ gina para outra;
¸˜ e a
• manter listas de compras ou listas de produtos preferidos em sites de com´ rcio eletrˆ nico;
e o
• personalizar sites pessoais ou de notćias, quando vocˆ escolhe o que quer que seja mostrado
ı e
nas p´ ginas;
a
• manter a lista das p´ ginas vistas em um site, para estat´stica ou para retirar as p´ ginas que vocˆ
a ı a e
n˜ o tem interesse dos links.
a

A parte III: Privacidade apresenta alguns problemas relacionados aos cookies, bem como algumas
sugest˜ es para que se tenha maior controle sobre eles.
o

4 Engenharia Social

´
O termo e utilizado para descrever um m´ todo de ataque, onde algu´ m faz uso da persuas˜ o,
e e a
¸ a ¸˜
muitas vezes abusando da ingenuidade ou confianca do usu´ rio, para obter informacoes que podem
¸˜
ser utilizadas para ter acesso n˜ o autorizado a computadores ou informacoes.
a

¸ 7/14

¸

4.1 Que exemplos podem ser citados sobre este m´ todo de ataque?
e

Os dois primeiros exemplos apresentam casos onde foram utilizadas mensagens de e-mail. O
´
ultimo exemplo apresenta um ataque realizado por telefone.

Exemplo 1: vocˆ recebe uma mensagem e-mail, onde o remetente e o gerente ou algu´ m em nome
e ´ e
do departamento de suporte do seu banco. Na mensagem ele diz que o servico de Internet Bank-
¸
ing est´ apresentando algum problema e que tal problema pode ser corrigido se vocˆ executar
a e
` ¸˜
o aplicativo que est´ anexado a mensagem. A execucao deste aplicativo apresenta uma tela
a
`
an´ loga aquela que vocˆ utiliza para ter acesso a conta banc´ ria, aguardando que vocˆ digite
a e a e
sua senha. Na verdade, este aplicativo est´ preparado para furtar sua senha de acesso a conta
a
banc´ ria e envi´ -la para o atacante.
a a

Exemplo 2: vocˆ recebe uma mensagem de e-mail, dizendo que seu computador est´ infectado por
e a
um v´rus. A mensagem sugere que vocˆ instale uma ferramenta dispon´vel em um site da
ı e ı
¸˜ a ´
Internet, para eliminar o v´rus de seu computador. A real funcao desta ferramenta n˜ o e eliminar
ı
um v´rus, mas sim permitir que algu´ m tenha acesso ao seu computador e a todos os dados nele
ı e
armazenados.

Exemplo 3: algum desconhecido liga para a sua casa e diz ser do suporte t´ cnico do seu provedor.
e
¸˜
Nesta ligacao ele diz que sua conex˜ o com a Internet est´ apresentando algum problema e,
a a
ent˜ o, pede sua senha para corrig´-lo. Caso vocˆ entregue sua senha, este suposto t´ cnico
a ı e e
poder´ realizar uma infinidade de atividades maliciosas, utilizando a sua conta de acesso a
a
Internet e, portanto, relacionando tais atividades ao seu nome.

Estes casos mostram ataques t´picos de engenharia social, pois os discursos apresentados nos
ı
exemplos procuram induzir o usu´ rio a realizar alguma tarefa e o sucesso do ataque depende unica e
a ´
exclusivamente da decis˜ o do usu´ rio em fornecer informacoes sens´veis ou executar programas.
a a ¸˜ ı
A parte IV: Fraudes na Internet apresenta algumas formas de se prevenir deste tipo de ataque.

5 Vulnerabilidade

´ ¸˜ ¸˜
Vulnerabilidade e definida como uma falha no projeto, implementacao ou configuracao de um soft-
¸˜
ware ou sistema operacional que, quando explorada por um atacante, resulta na violacao da seguranca
¸
de um computador.
Existem casos onde um software ou sistema operacional instalado em um computador pode con-
¸˜
ter uma vulnerabilidade que permite sua exploracao remota, ou seja, atrav´ s da rede. Portanto, um
e
`
atacante conectado a Internet, ao explorar tal vulnerabilidade, pode obter acesso n˜ o autorizado ao
a
computador vulner´ vel.
a
¸˜
A parte II: Riscos Envolvidos no Uso da Internet e M´ todos de Prevencao apresenta algumas
e
¸˜ ¸˜ ¸˜
formas de identificacao de vulnerabilidades, bem como maneiras de prevencao e correcao.

¸ 8/14

¸

6 C´ digos Maliciosos (Malware)
o

o ´
C´ digo malicioso ou Malware (Malicious Software) e um termo gen´ rico que abrange todos os
e
¸˜
tipos de programa especificamente desenvolvidos para executar acoes maliciosas em um computador.
e ´
Na literatura de seguranca o termo malware tamb´ m e conhecido por “software malicioso”.
¸
Alguns exemplos de malware s˜ o:
a

• v´rus;
ı

• worms e bots;

• backdoors;

• cavalos de tr´ ia;
o

• keyloggers e outros programas spyware;

• rootkits.

¸˜
A parte VIII: C´ digos Maliciosos (Malware) apresenta descricoes detalhadas e formas de identi-
o
¸˜ ¸˜
ficacao e prevencao para os diversos tipos de c´ digo malicioso.
o

7 ¸˜
Negacao de Servico (Denial of Service)
¸

Nos ataques de negacao de servico (DoS – Denial of Service) o atacante utiliza um computador
¸˜ ¸
¸˜ `
para tirar de operacao um servico ou computador conectado a Internet.
¸
Exemplos deste tipo de ataque s˜ o:
a

• gerar uma grande sobrecarga no processamento de dados de um computador, de modo que o
usu´ rio n˜ o consiga utiliz´ -lo;
a a a

• gerar um grande tr´ fego de dados para uma rede, ocupando toda a banda dispon´vel, de modo
a ı
que qualquer computador desta rede fique indispon´vel;
ı

• tirar servicos importantes de um provedor do ar, impossibilitando o acesso dos usu´ rios a suas
¸ a
caixas de correio no servidor de e-mail ou ao servidor Web.

´
7.1 O que e DDoS?

¸˜
DDoS (Distributed Denial of Service) constitui um ataque de negacao de servico distribu´do,
¸ ı
ou seja, um conjunto de computadores e utilizado para tirar de operacao um ou mais servicos ou
´ ¸˜ ¸
`
computadores conectados a Internet.
Normalmente estes ataques procuram ocupar toda a banda dispon´vel para o acesso a um com-
ı
a e ¸˜
putador ou rede, causando grande lentid˜ o ou at´ mesmo indisponibilizando qualquer comunicacao
com este computador ou rede.

¸ 9/14

¸

7.2 Se uma rede ou computador sofrer um DoS, isto significa que houve uma
invas˜ o?
a

a ´
N˜ o. O objetivo de tais ataques e indisponibilizar o uso de um ou mais computadores, e n˜ o
a
´ importante notar que, principalmente em casos de DDoS, computadores comprometidos
invad´-los. E
ı
¸˜
podem ser utilizados para desferir os ataques de negacao de servico.
¸
Um exemplo deste tipo de ataque ocorreu no inćio de 2000, onde computadores de v´ rias partes
ı a
do mundo foram utilizados para indisponibilizar o acesso aos sites de algumas empresas de com´ rcio
e
eletrˆ nico. Estas empresas n˜ o tiveram seus computadores comprometidos, mas sim ficaram impos-
o a
sibilitadas de vender seus produtos durante um longo peródo.
ı

8 Criptografia

´ ´
Criptografia e a ciˆ ncia e arte de escrever mensagens em forma cifrada ou em c´ digo. E parte de
e o
¸˜
um campo de estudos que trata das comunicacoes secretas, usadas, dentre outras finalidades, para:

• autenticar a identidade de usu´ rios;
a
• autenticar e proteger o sigilo de comunicacoes pessoais e de transacoes comerciais e banc´ rias;
¸˜ ¸˜ a
• proteger a integridade de transferˆ ncias eletrˆ nicas de fundos.
e o

Uma mensagem codificada por um m´ todo de criptografia deve ser privada, ou seja, somente
e
aquele que enviou e aquele que recebeu devem ter acesso ao conte´ do da mensagem. Al´ m disso,
u e
uma mensagem deve poder ser assinada, ou seja, a pessoa que a recebeu deve poder verificar se o
´
remetente e mesmo a pessoa que diz ser e ter a capacidade de identificar se uma mensagem pode ter
sido modificada.
Os m´ todos de criptografia atuais s˜ o seguros e eficientes e baseiam-se no uso de uma ou mais
e a
chaves. A chave e uma seq¨ encia de caracteres, que pode conter letras, d´gitos e s´mbolos (como
´ uˆ ı ı
´
uma senha), e que e convertida em um n´ mero, utilizado pelos m´ todos de criptografia para codificar
u e
e decodificar mensagens.
Atualmente, os m´ todos criptogr´ ficos podem ser subdivididos em duas grandes categorias, de
e a
´ ¸˜
acordo com o tipo de chave utilizada: a criptografia de chave unica (vide secao 8.1) e a criptografia
¸˜
de chave p´ blica e privada (vide secao 8.2).
u

´ ´
8.1 O que e criptografia de chave unica?

´
A criptografia de chave unica utiliza a mesma chave tanto para codificar quanto para decodificar
¸˜
mensagens. Apesar deste m´ todo ser bastante eficiente em relacao ao tempo de processamento, ou
e
seja, o tempo gasto para codificar e decodificar mensagens, tem como principal desvantagem a ne-
¸˜
cessidade de utilizacao de um meio seguro para que a chave possa ser compartilhada entre pessoas ou
¸˜
entidades que desejem trocar informacoes criptografadas.
¸˜
Exemplos de utilizacao deste m´ todo de criptografia e sugest˜ es para o tamanho mńimo da chave
e o ı
´ ¸˜
unica podem ser vistos nas secoes 8.4 e 8.5, respectivamente.

¸ 10/14

¸

´ ´
8.2 O que e criptografia de chaves publica e privada?

A criptografia de chaves p´ blica e privada utiliza duas chaves distintas, uma para codificar e
u
outra para decodificar mensagens. Neste m´ todo cada pessoa ou entidade mant´ m duas chaves: uma
e e
p´ blica, que pode ser divulgada livremente, e outra privada, que deve ser mantida em segredo pelo
u
seu dono. As mensagens codificadas com a chave p´ blica s´ podem ser decodificadas com a chave
u o
privada correspondente.
Seja o exemplo, onde Jos´ e Maria querem se comunicar de maneira sigilosa. Ent˜ o, eles ter˜ o
e a a
que realizar os seguintes procedimentos:

1. Jos´ codifica uma mensagem utilizando a chave p´ blica de Maria, que est´ dispon´vel para o
e u a ı
uso de qualquer pessoa;

2. Depois de criptografada, Jos´ envia a mensagem para Maria, atrav´ s da Internet;
e e

´
3. Maria recebe e decodifica a mensagem, utilizando sua chave privada, que e apenas de seu
conhecimento;

4. Se Maria quiser responder a mensagem, dever´ realizar o mesmo procedimento, mas utilizando
a
a chave p´ blica de Jos´ .
u e

¸˜
Apesar deste m´ todo ter o desempenho bem inferior em relacao ao tempo de processamento,
e
´ ¸˜
quando comparado ao m´ todo de criptografia de chave unica (secao 8.1), apresenta como principal
e
¸˜
vantagem a livre distribuicao de chaves p´ blicas, n˜ o necessitando de um meio seguro para que chaves
u a
¸˜
sejam combinadas antecipadamente. Al´ m disso, pode ser utilizado na geracao de assinaturas digitais,
e
¸˜
como mostra a secao 8.3.
¸˜
Exemplos de utilizacao deste m´ todo de criptografia e sugest˜ es para o tamanho mńimo das
e o ı
¸˜
chaves p´ blica e privada podem ser vistos nas secoes 8.4 e 8.5, respectivamente.
u

´
8.3 O que e assinatura digital?

¸˜ ¸˜
A assinatura digital consiste na criacao de um c´ digo, atrav´ s da utilizacao de uma chave privada,
o e
de modo que a pessoa ou entidade que receber uma mensagem contendo este c´ digo possa verificar
o
´
se o remetente e mesmo quem diz ser e identificar qualquer mensagem que possa ter sido modificada.
´
Desta forma, e utilizado o m´ todo de criptografia de chaves p´ blica e privada, mas em um processo
e u
¸˜
inverso ao apresentado no exemplo da secao 8.2.
Se Jos´ quiser enviar uma mensagem assinada para Maria, ele codificar´ a mensagem com sua
e a
a a `
chave privada. Neste processo ser´ gerada uma assinatura digital, que ser´ adicionada a mensagem
enviada para Maria. Ao receber a mensagem, Maria utilizar´ a chave p´ blica de Jos´ para decodificar
a u e
a a `
a mensagem. Neste processo ser´ gerada uma segunda assinatura digital, que ser´ comparada a pri-
meira. Se as assinaturas forem idˆ nticas, Maria ter´ certeza que o remetente da mensagem foi o Jos´
e a e
e que a mensagem n˜ o foi modificada.
a
´ ´
E importante ressaltar que a seguranca do m´ todo baseia-se no fato de que a chave privada e co-
¸ e
e ´
nhecida apenas pelo seu dono. Tamb´ m e importante ressaltar que o fato de assinar uma mensagem

¸ 11/14

¸

n˜ o significa gerar uma mensagem sigilosa. Para o exemplo anterior, se Jos´ quisesse assinar a men-
a e
sagem e ter certeza de que apenas Maria teria acesso a seu conte´ do, seria preciso codific´ -la com a
u a
chave p´ blica de Maria, depois de assin´ -la.
u a

´
8.4 Que exemplos podem ser citados sobre o uso de criptografia de chave unica
´
e de chaves publica e privada?

¸˜ ´
Exemplos que combinam a utilizacao dos m´ todos de criptografia de chave unica e de chaves
e
p´ blica e privada s˜ o as conex˜ es seguras, estabelecidas entre o browser de um usu´ rio e um site, em
u a o a
¸˜
transacoes comerciais ou banc´ rias via Web.
a
o e ´
Estas conex˜ es seguras via Web utilizam o m´ todo de criptografia de chave unica, implementado
pelo protocolo SSL (Secure Socket Layer). O browser do usu´ rio precisa informar ao site qual ser´ a
a a
´
chave unica utilizada na conex˜ o segura, antes de iniciar a transmiss˜ o de dados sigilosos.
a a
Para isto, o browser obt´ m a chave p´ blica do certificado3 da instituicao que mant´ m o site.
e u ¸˜ e
Ent˜ o, ele utiliza esta chave p´ blica para codificar e enviar uma mensagem para o site, contendo a
a u
´
chave unica a ser utilizada na conex˜ o segura. O site utiliza sua chave privada para decodificar a
a
´
mensagem e identificar a chave unica que ser´ utilizada.
a
¸˜
A partir deste ponto, o browser do usu´ rio e o site podem transmitir informacoes, de forma si-
a
¸˜ ´ ´
gilosa e segura, atrav´ s da utilizacao do m´ todo de criptografia de chave unica. A chave unica pode
e e
¸˜
ser trocada em intervalos de tempo determinados, atrav´ s da repeticao dos procedimentos descritos
e
anteriormente, aumentando assim o n´vel de seguranca de todo o processo.
ı ¸

8.5 Que tamanho de chave deve ser utilizado?

Os m´ todos de criptografia atualmente utilizados, e que apresentam bons n´veis de seguranca, s˜ o
e ı ¸ a
publicamente conhecidos e s˜ o seguros pela robustez de seus algoritmos e pelo tamanho das chaves
a
que utilizam.
Para que um atacante descubra uma chave ele precisa utilizar algum m´ todo de forca bruta, ou
e ¸
¸˜
seja, testar combinacoes de chaves at´ que a correta seja descoberta. Portanto, quanto maior for
e
a u ¸˜
a chave, maior ser´ o n´ mero de combinacoes a testar, inviabilizando assim a descoberta de uma
chave em tempo h´ bil. Al´ m disso, chaves podem ser trocadas regularmente, tornando os m´ todos de
a e e
criptografia ainda mais seguros.
ı ¸ ¸˜
Atualmente, para se obter um bom n´vel de seguranca na utilizacao do m´ todo de criptografia de
e
´ ´
chave unica, e aconselh´ vel utilizar chaves de no mńimo 128 bits. E para o m´ todo de criptografia
a ı e
´
de chaves p´ blica e privada e aconselh´ vel utilizar chaves de 2048 bits, sendo o mńimo aceit´ vel
u a ı a
de 1024 bits. Dependendo dos fins para os quais os m´ todos criptogr´ ficos ser˜ o utilizados, deve-se
e a a
¸˜ ´
considerar a utilizacao de chaves maiores: 256 ou 512 bits para chave unica e 4096 ou 8192 bits para
chaves p´ blica e privada.
u
3 Certificados ¸˜
s˜ o discutidos na secao 9 e na parte IV: Fraudes na Internet.
a

¸ 12/14

¸

9 Certificado Digital

´ ¸˜
O certificado digital e um arquivo eletrˆ nico que cont´ m dados de uma pessoa ou instituicao,
o e
utilizados para comprovar sua identidade. Este arquivo pode estar armazenado em um computador ou
em outra m´dia, como um token ou smart card.
ı
¸˜
Exemplos semelhantes a um certificado digital s˜ o o CNPJ, RG, CPF e carteira de habilitacao
a
¸˜ ¸˜
de uma pessoa. Cada um deles cont´ m um conjunto de informacoes que identificam a instituicao ou
e
´ a
pessoa e a autoridade (para estes exemplos, org˜ os p´ blicos) que garante sua validade.
u
¸˜
Algumas das principais informacoes encontradas em um certificado digital s˜ o:
a

• dados que identificam o dono (nome, n´ mero de identificacao, estado, etc);
u ¸˜
• nome da Autoridade Certificadora (AC) que emitiu o certificado (vide secao 9.1);
¸˜
• o n´ mero de s´ rie e o peródo de validade do certificado;
u e ı
• a assinatura digital da AC.

´
O objetivo da assinatura digital no certificado e indicar que uma outra entidade (a Autoridade
¸˜
Certificadora) garante a veracidade das informacoes nele contidas.

´
9.1 O que e Autoridade Certificadora (AC)?

´
Autoridade Certificadora (AC) e a entidade respons´ vel por emitir certificados digitais. Estes
a
certificados podem ser emitidos para diversos tipos de entidades, tais como: pessoa, computador,
¸˜ ¸˜
departamento de uma instituicao, instituicao, etc.
Os certificados digitais possuem uma forma de assinatura eletrˆ nica da AC que o emitiu. Gracas
o ¸
` ´
a sua idoneidade, a AC e normalmente reconhecida por todos como confi´ vel, fazendo o papel de
a
“Cart´ rio Eletrˆ nico”.
o o

9.2 Que exemplos podem ser citados sobre o uso de certificados?

Alguns exemplos t´picos do uso de certificados digitais s˜ o:
ı a

• quando vocˆ acessa um site com conex˜ o segura, como por exemplo o acesso a sua conta
e a
a ´
banc´ ria pela Internet (vide parte IV: Fraudes na Internet), e poss´vel checar se o site apresen-
ı
´ ¸˜ ¸˜
tado e realmente da instituicao que diz ser, atrav´ s da verificacao de seu certificado digital;
e
• quando vocˆ consulta seu banco pela Internet, este tem que se assegurar de sua identidade antes
e
¸˜
de fornecer informacoes sobre a conta;
• quando vocˆ envia um e-mail importante, seu aplicativo de e-mail pode utilizar seu certificado
e
para assinar “digitalmente” a mensagem, de modo a assegurar ao destinat´ rio que o e-mail e
a ´
seu e que n˜ o foi adulterado entre o envio e o recebimento.
a

A parte IV: Fraudes na Internet apresenta algumas medidas de seguranca relacionadas ao uso de
¸
certificados digitais.

¸ 13/14

¸

Como Obter este Documento

´
Este documento pode ser obtido em http://cartilha.cert.br/. Como ele e periodicamente
atualizado, certifique-se de ter sempre a vers˜ o mais recente.
a
Caso vocˆ tenha alguma sugest˜ o para este documento ou encontre algum erro, entre em contato
e a
atrav´ s do endereco doc@cert.br.
e ¸

¸˜
Nota de Copyright e Distribuicao

Este documento e Copyright c 2000–2005 CERT.br. Ele pode ser livremente copiado desde que
´
¸˜
sejam respeitadas as seguintes condicoes:

´
1. E permitido fazer e distribuir c´ pias inalteradas deste documento, completo ou em partes,
o
¸˜
contanto que esta nota de copyright e distribuicao seja mantida em todas as c´ pias, e que a
o
¸˜ a
distribuicao n˜ o tenha fins comerciais.

ı ¸˜
2. Se este documento for distribu´do apenas em partes, instrucoes de como obtˆ -lo por completo
e
devem ser inclu´das.
ı
´ ¸˜ ¸˜
3. E vedada a distribuicao de vers˜ es modificadas deste documento, bem como a comercializacao
o
de c´ pias, sem a permiss˜ o expressa do CERT.br.
o a

¸˜
Embora todos os cuidados tenham sido tomados na preparacao deste documento, o CERT.br n˜ o a
¸˜ ¸˜
garante a correcao absoluta das informacoes nele contidas, nem se responsabiliza por eventuais con-
uˆ
seq¨ encias que possam advir do seu uso.

Agradecimentos

¸˜
O CERT.br agradece a todos que contribu´ram para a elaboracao deste documento, enviando co-
ı
ment´ rios, cr´ticas, sugest˜ es ou revis˜ es.
a ı o o

¸ 14/14

Cartilha de segurança para internet parte 01 conceitos de segurança

Empfohlen

Empfohlen

Weitere ähnliche Inhalte

Ähnlich wie Cartilha de segurança para internet parte 01 conceitos de segurança

Ähnlich wie Cartilha de segurança para internet parte 01 conceitos de segurança (20)

Cartilha de segurança para internet parte 01 conceitos de segurança