Questões de Concurso sobre Ataques e Golpes

Existem muitos tipos de ataques a sistemas e muitos modos de agrupá-los em categorias. Com relação à classificação e características dos ataques, é correto afirmar que

Seja dada esta definição baseada no índice da Ajuda On-Line do windows: "Um conjunto de dados usados por autenticação e intercâmbio seguro de informações em redes não seguras, como a Internet. Vincula seguramente uma chave pública à entidade que mantém a chave particular correspondente. São assinados digitalmente pela autoridade emissora e podem ser gerenciados por um usuário, um computador ou um serviço". Marque a alternativa correta com o conceito dessa definição.

O uso de certificado digital na Internet visa aumentar a integridade, a privacidade, a autenticação e o não-repúdio de uma informação.

O padrão X.509 V3 permite a adição de campos (extensões) personalizados aos certificados emitidos, como, por exemplo, limitações para o uso do certificado. Dessa forma, é possível restringir a finalidade com que os certificados serão utilizados por aplicações às quais eles venham a ser apresentados.

Certificados digitais têm normalmente um prazo de validade associado, além de poderem ser revogados por diversos motivos. Uma vez que um certificado tenha perdido sua validade, por tempo ou revogação, as chaves por ele certificadas devem ser destruídas, para evitar que possam ser utilizadas de forma fraudulenta.

Existe uma forma muito poderosa de ataque a um sistema denominada DDoS, cujo principal objetivo é

Tanto o Netscape Navigator quanto o Internet Explorer suportam o uso de certificação digital com chaves assimétricas maiores do que 1.024 bits.

Usualmente, cada usuário de uma PKI necessita de 2 pares de chaves, um para assinatura/conferência e outro para cifração/decifração. Tal necessidade deriva do fato de que a chave privativa para decifração pode necessitar ser copiada para fins de backup, mas a chave privativa de assinatura somente pode ser de conhecimento único do próprio usuário, não podendo as duas, nesse caso, serem as mesmas.

A Internet já dispõe de recursos básicos para a utilização de certificados digitais por meio do protocolo SSL (Secure Sockets Layer), desenvolvido pela empresa Netscape com vistas ao desenvolvimento do comércio eletrônico, e, mais recentemente, o TLS (Transport Layer Security), desenvolvido a partir do SSL como um padrão do IETF (Internet Engineering Task Force). A utilização do SSL/TLS permite: a autentificação mútua das partes em comunicação por meio da verificação de seus certificados digitais apresentados no início de uma sessão; o estabelecimento de uma chave simétrica segura para ser utilizada entre as partes naquela sessão; a cifração com um algoritmo simétrico de toda a comunicação de dados, de forma transparente, no qual é utilizada a chave previamente estabelecida.

Certificados digitais são comumente emitidos para pessoas (físicas ou jurídicas), máquinas e processos. A utilização dos certificados requer o estabelecimento do que se denomina uma Infraestrutura de Chaves Públicas (ICP), como recentemente estabelecido pelo governo brasileiro, a ICP-Brasil. ICPs como a ICP-Brasil pressupõem a existência de pelo menos uma AC, cujo próprio certificado é auto-assinado, ou seja, ela própria atesta sua identidade e a detenção de seu par de chaves assimétricas, sendo ao mesmo tempo, para esse fim, emissor e sujeito no ato de certificação.

Um dos pontos sensíveis na utilização de um sistema de chaves públicas é a geração do par de chaves de um usuário. Não somente o processo de geração deve resultar em uma chave privativa imprevisível, como esta deve ficar tão-somente sob a guarda de seu proprietário, com a maior segurança possível. O comprometimento da chave privativa de um usuário ou o acesso à mesma por terceiros compromete a segurança em sua utilização. Uma forma segura para a geração e a guarda de chaves e certificados disponível atualmente é o uso de cartões inteligentes (smart cards) para tal finalidade.

As tentativas exploratórias começaram a ter sucesso a partir de 23/1/2001.

O padrão de certificados largamente utilizado hoje em dia é o X.509, em sua versão 3. Um certificado gerado nesse padrão inclui, essencialmente, um identificador da versão utilizada para gerar o certificado (1, 2 ou 3); um número serial que deve ser único para cada certificado emitido por dada AC; um identificador do algoritmo de assinatura utilizado pela AC; um identificador da AC (DN – distinguished name da AC); período de validade do certificado; um identificador do sujeito (DN – distinguished name do sujeito) para o qual está sendo emitido o certificado; a chave pública do sujeito; a chave privada do sujeito; outras informações opcionais padronizadas; por fim, a própria assinatura da AC desse conjunto de informações.

Certificados digitais se baseiam no conceito de assinatura digital. O mecanismo usual para se assinar um documento eletrônico é primeiro gerar o hash do documento e então cifrar esse hash com um algoritmo assimétrico, utilizando-se sua chave privada. O valor assim obtido constitui a assinatura, que irá permitir, posteriormente, não apenas verificar a autoria do documento como também a sua integridade.

A segurança de um certificado digital, em uma ICP, depende da segurança da chave privada da autoridade certificadora que assinou esse certificado e independe da segurança da chave privada de outras autoridades certificadoras de níveis hierárquicos superiores.

Que tipo de informação possui um certificado digital, enviado normalmente pelos sites seguros aos programas de navegação, como, por exemplo, o INTERNET EXPLORER?

Certificados digitais são gerados e assinados em um formato padronizado, tal como o X.509v3, e podem ter sua validade completamente verificada sem a necessidade de interação com a autoridade certificadora que os assinou.

Analise as seguintes afirmações relativas à segurança de redes.

I. As ameaças podem ser classificadas como acidentais ou intencionais, podendo ser ativas ou passivas.

II. O Cavalo de Tróia não pode ser caracterizado como um ataque.

III. Um ataque é uma ameaça intencional concretizada.

IV. O mecanismo de assinatura digital envolve apenas um procedimento: verificação da assinatura em uma unidade de dados.

Indique a opção que contenha todas as afirmações verdadeiras.