Segurança Ênfase em Comércio Eletrônico. Objetivo Apresentar os principais conceitos envolvendo criptografia,Assinatura digital e Certificação digital.

Apresentação em tema: "Segurança Ênfase em Comércio Eletrônico. Objetivo Apresentar os principais conceitos envolvendo criptografia,Assinatura digital e Certificação digital."— Transcrição da apresentação:

1 Segurança Ênfase em Comércio Eletrônico

2 Objetivo Apresentar os principais conceitos envolvendo criptografia,Assinatura digital e Certificação digital que são fundamentais para a compreensão e implementação do comércio eletrônico seguro na Internet.

3 Agenda  Serviços oferecido pela criptografia.  Assinatura digital.  Função hashing.  Certificado digital.  Bibliografia.

4 Serviços Oferecidos pela Criptografia  Integridade  Controle de acesso  Autenticidade da origem  Não-repudiação  Privacidade ( confidencialidade ou sigilo )  Disponibilidade

5 Na prática A informação que permite a transação - tais como valor e descrição do produto adquirido -precisa estar disponível no dia e na hora que o cliente desejar efetuá-la (Disponibilidade), o valor da transação não pode ser alterado (Integridade), somente o cliente que está comprando e o comerciante devem ter acesso à transação (Controle de acesso), o cliente que está comprando deve ser realmente quem diz ser (Autenticidade), o cliente tem como provar o pagamento e o comerciante não têm como negar o recebimento (Não-repúdio) e o conhecimento do conteúdo da transação fica restrito aos envolvidos (Privacidade).

6 Assinatura Digital. Tal como as assinaturas escritas, o propósito de uma assinatura digital é garantir que um indivíduo que envie uma mensagem realmente seja quem afirma ser. Resume-se a um código que pode ser enviado juntamente com uma mensagem que identifica de forma única o emissor da mensagem. Permitindo garantir a autenticidade de quem envia a mensagem, associada à integridade do seu conteúdo. Algoritmos utilizados para assinatura digital: RSA, ElGamal e DSA

7 MP 2.200 e Assinaturas Digitais Legislação MP 2.200/02 – Validade dos Documentos Art. 10. Consideram-se documentos públicos ou particulares, para todos os fins legais, os documentos eletrônicos de que trata esta Medida Provisória. § 1º As declarações constantes dos documentos em forma eletrônica produzidos com a utilização de processo de certificação disponibilizado pela ICP-Brasil presumem-se verdadeiros em relação aos signatários, na forma do art. 131 da Lei nº 3.071, de 1º de janeiro de 1916 - Código Civil. A assinatura digital tem o mesmo valor legal que a assinatura de próprio punho

8 Chave Privada de Ana RSA Documento Documento assinado digitalmente por ana Documento Representação Gráfica Assinatura Digital Ana Chave pública de João

9 Documento RSA Chave Privada de João Chave pública de Ana Documento assinado digitalmente por ana Documento PrivacidadeAutenticidade João Representação Gr á fica Assinatura Digital

10 Função hashing. Hashing, gera um valor pequeno, de tamanho fixo, derivado da mensagem que se pretende assinar, de qualquer tamanho. Assim, a função Hashing oferece agilidade nas assinaturas digitais, além de integridade confiável, conforme descrito.

11 FunçõesDescrição MD5 É uma função de espalhamento unidirecional inventada por Ron Rivest, do MIT, que também trabalha para a RSA Data Security. A sigla MD significa Message Digest. Este algoritmo produz um valor hash de 128 bits, para uma mensagem de entrada de tamanho arbitrário. Foi inicialmente proposto em 1991, após alguns ataques de criptoanálise terem sidos descobertos contra a função Hashing prévia de Rivest: a MD4. SHA-1 O Secure Hash Algorithm, uma função de espalhamento unidirecional inventada pela NSA, gera um valor hash de 160 bits, a partir de um tamanho arbitrário de mensagem. O funcionamento interno do SHA-1 é muito parecido com o observado no MD4, indicando que os estudiosos da NSA asearam-se no MD4 e fizeram melhorias em sua segurança. Função hashing.

12 Representação Gráfica Documento assinado digitalmente por ana Documento RSAMD5 Chave Privada de Ana Documento Ana

13 Função hashing. Representação Gráfica Documento assinado digitalmente por ana RSA MD5 Documento Assinatura digital Chave pública de Ana Resumo Calculado ResumoOriginal = # OK N /OK

14 Criptografia Simétrica x Assimétrica: Protocolos Criptográficos ProtocoloDescrição IPSec PGP S/MIME SET X.509 Realiza o tunelamento de IP sobre IP. É composto de três mecanismos criptográficos: Authentication Header (define a funçãoHashing para assinatura digital), Encapsulation Security Payload (define o algoritmo simétrico para ciframento) e ISAKMP (define o algoritmo assimétrico para Gerência e troca de chaves de criptografia). Bastante difundido na Internet, destinado a criptografia de e-mail pessoal. Algoritmos suportados: hashing: MD5, SHA-1, simétricos: CAST-128, IDEA e 3DES, assimétricos: RSA, Diffie-Hellman/DSS. Versão mais recente: 6.5.3.

15 Certificado digital  Credencial eletrônica definida de acordo com o padrão ITU-T X.509  Emitido por uma Autoridade Certificadora (terceiro de confiança)  Garante a identidade do portador / usuário  Análogo a uma Carteira de Identidade Resumo

16 Legislação Certificação Digital MEDIDA PROVISÓRIA N° 2.200/01 Art. 1º- Fica instituída a Infra-Estrutura de Chaves Públicas Brasileira - ICP-Brasil, para garantir a autenticidade, a integridade e a validade jurídica de documentos em forma eletrônica, das aplicações de suporte e das aplicações habilitadas que utilizem certificados digitais, bem como a realização de transações eletrônicas seguras. Fonte. Certisign

17 Definido como um documento eletrônico, assinado digitalmente por uma terceira parte confiável, que associa o nome (e atributos) de uma pessoa ou instituição a uma chave criptográfica pública Pela assinatura da chave pública e das informações sobre João, a CA garante que a informação sobre Gerônimo está correta e que a chave pública em questão realmente pertence a Gerônimo. Ana, por sua vez, confere a assinatura da CA e então utiliza a chave pública em pauta, segura de que esta pertence a Gerônimo e a ninguém mais. Certificados desempenham um importante papel em um grande número de protocolos e padrões utilizados na proteção de sistemas de comércio eletrônico. Caracteristicas

18 Como pode ser guardado Token Smart Card Computador Fonte. Certisign

19 Para que serve? Assinatura e garantia de sigilo de documentos digitais Utilização de serviços on-line com segurança Esta credencial garante a segurança e confiabilidade da sua identificação na Internet. Fonte. Certisign

20 Verificando a Validade do Certificado Obs.: Sempre será necessário verificar no momento da assinatura as seguintes condições:  Cadeia de confiança; (o certificado foi emitido pela ICP Brasil ?)  Validade  Lista de Certificados Revogados

21 Autoridades Certificadoras Autoridades de certificação, como Verisign, Cybertrust e Nortel, assinam certificados digitais garantindo sua validade. Uma CA também tem a responsabilidade de manter e divulgar uma lista com os certificados revogados (Certificate Revocation List - CRL). Certificados nesta lista podem ter sido roubados, perdidos ou, simplesmente, estar sem utilidade. As CAs podem estar encadeadas em hierarquias de certificação, onde a CA de um nível inferior valida sua assinatura com a assinatura de uma CA mais alta na hierarquia.

22 Autoridades Certificadoras

23 Tipos de Certificados  Certificados de CA: utilizados para validar outros certificados; são auto-assinados ou assinados por outra CA.  Certificados de servidor: utilizados para identificar um servidor seguro; contém o nome da organização e o nome DNS do servidor.  Certificados pessoais: contém nome do portador e, eventualmente, informações como endereço eletrônico, endereço postal, etc.  Certificados de desenvolvedores de software:.utilizados para validar assinaturas associadas a programas A infra-estrutura para lidar com o gerenciamento de chaves públicas é definido pelo padrão Public Key Infrastructure (PKI), que define onde os certificados digitais serão armazenados e recuperados, de que forma estão armazenados, como um certificado é revogado, entre outras informações.