Hash, Assinatura e Certificado Digital

Assinatura Digital Para atender todos os requisitos de segurança, uma assinatura digital deve ter as seguintes propriedades: Autenticidade: o receptor deve poder confirmar que a assinatura foi feita pelo emissor; Integridade: qualquer alteração da mensagem faz com que a assinatura não corresponda mais ao documento; Não repúdio: o emissor não pode negar a autenticidade da mensagem.

Assinatura Digital Como visto anteriormente, com algoritmos de chave pública é possível garantir sigilo e autenticidade a mensagem.

Assinatura Digital Todavia, sabemos que o sistema de “assinatura digital simples” por meio de criptografia assimétrica apresenta alguns problemas: É lento Não é eficaz para garantir a integridade do documento Por este motivo a assinatura digital foi implementada por meio da função resumo ou hash.

Funções de Hash Uma função de hash gera uma cadeia de caracteres de tamanho fixo a partir de uma sequência de qualquer tamanho. Uma função hash é uma equação matemática que a partir de um texto cria um código chamado message digest (resumo de mensagem).

Funções de Hash O resumo criptográfico é o resultado retornado por uma função de hash. Este pode ser comparado a uma impressão digital, pois cada documento possui um valor único de resumo e até mesmo uma pequena alteração no documento, como a inserção de um espaço em branco, resulta em um resumo completamente diferente. É quase impossível achar duas mensagem que resultam no mesmo hash. Se mudar apenas um bit da mensagem original, o valor de hash muda completamente

Funções de Hash Alguns exemplos conhecidos de funções hash: MD4 e MD5: desenvolvida por Ron Rivest (do RSA). Produz uma saída de tamanho fixo, de 128 bits, a partir de entradas de tamanho arbitrário. SHA-1: desenvolvida pelo NIST. Produz saídas de 160 bits a partir de entradas de tamanho arbitrário. Em uso crescente. RIPEMD-160: projeto europeu, saída de 160 bits, pouco usada entre nós.

Exemplo Mensagem 1: Daniel, eu vendi 4 prensas para Satomi. Envie imediatamente. (60 bytes) Resumo SHA-1: 46 73 a5 85 89 ba 86 58 44 ac 5b e8 48 7a cd 12 63 f8 cl 5a (20 bytes)

Exemplo Mensagem 2: Daniel, eu vendi 5 prensas para Satomi. Envie imediatamente. (60 bytes) Resumo SHA-1: 2c db 78 38 87 7e d3 le 29 18 49 a0 61 b7 41 81 3c b6 90 7a (20 bytes)

Assinatura Digital A vantagem da utilização de resumos criptográficos no processo de autenticação é o aumento de desempenho, pois os algoritmos de criptografia assimétrica são muito lentos. A submissão de resumos criptográficos ao processo de cifragem com a chave privada reduz o tempo de operação para gerar uma assinatura por serem os resumos, em geral, muito menores que o documento em si. Assim, consomem um tempo baixo e uniforme, independente do tamanho do documento a ser assinado

Assinatura Digital Alice Neste processo o documento não sofre qualquer modificação e é enviado “no original, juntamente com a assinatura para o seu destinatário. Alice

Assinatura Digital Para comprovar uma assinatura digital descriptografa-se a assinatura digital do documento com a chave pública do emissor para encontrar o hash do documento, que é comparado com outro hash realizado a partir do proprio documento recebido. Se forem iguais, a assinatura está correta, o que significa que foi gerada pela chave privada corresponde à chave pública utilizada na verificação e que o documento está íntegro. Caso sejam diferentes, a assinatura está incorreta, o que significa que pode ter havido alterações no documento ou na assinatura pública Chave Pública de Alice Bob

Certificado Digital Um outro possível problema da criptografia assimétrica reside na distribuição da chave pública. Isto porque um intruso pode gerar uma chave pública em nome de outro membro da comunicação, de tal modo que, tendo a chave privada correspondente, somente ele será capaz de abrir esta mensagem. Oi, eu sou Bob. Tenho uma chave privada. Mande mensagem em sigilo para mim coma minha chave pública. Chave Pública de Bob

Certificado Digital Em outras palavras, emitindo a chave pública em nome de um terceiro, um intruso poderia se passar por ele e interceptar as informações. Vale observar que deste modo, estaríamos criptografando uma mensagem com uma falsa chave pública e, na verdade, entregando sim todos os dados de forma sigilosa, mas para o destinatário errado.

Certificado Digital É vital portanto saber com certeza que a chave pública que você está usando para cifrar informações é de fato a chave pública do pretenso destinatário e não uma falsificação. Para resolver este problema, os certificados digitais estabelecem se uma chave pública pertence realmente ao suposto dono

Certificado Digital O Certificado Digital é um documento eletrônico, assinado digitalmente por uma terceira parte confiável (Autoridade Certificadora), que identifica uma pessoa, seja ela física ou jurídica, associando-a a uma chave pública.

Certificado Digital Um Certificado Digital normalmente apresenta as seguintes informações: Nome da pessoa ou entidade a ser associada à chave pública. Período de validade do certificado. Chave pública Nome e assinatura digital da entidade (AC) que emitiu o certificado

Certificado Digital O que é Autoridade Certificadora (AC)? Autoridade Certificadora (AC) é a entidade responsável por emitir certificados digitais. Estes certificados podem ser emitidos para diversos tipos de entidades, tais como: pessoa, computador, departamento de uma instituição, instituição, etc. Os certificados digitais são assinados digitalmente por uma AC . Para verificação desta assinatura a AC distribui amplamente a sua chave pública. Graças à sua idoneidade, a AC é normalmente reconhecida por todos como confiável, fazendo o papel de "Cartório Eletrônico". 18

Certificado Digital Existem inúmeras ACs espalhadas pelo mundo e fica inviável ter a chave pública de cada uma. Então foi criada uma Infra-estrutura de Chaves Públicas (PKI em inglês), no qual as autoridades certificadores funcionam por meio de um esquema de confiança hierárquico Deste modo as AC de mais alta hierarquia emitem e garantem o certificado para as de menor hierarquia, que emitem outros certificados para outras ACs, pessoas, órgãos, etc. 19

Infra-estrutura de Chaves Públicas O mecanismo de certificação digital, em certo aspecto é semelhante a autenticação conferida a um cidadão por um órgão do Ministério da Justiça, por exemplo. Vale lembrar porem que qualquer empresa pode criar e distribuir uma infra-estrutura de certificados, de tal modo que a seu reconhecimento legal esta vinculado portanto, a AC emissora do certificado.

Infra-estrutura de Chaves Públicas No Brasil, a ICP-Brasil controla seis ACs: a Presidência da República, a Receita Federal, o SERPRO, a Caixa Econômica Federal, a Serasa e a CertiSign. * Vídeo ICP Brasil 21

A VeriSign - Líder mundial em Certificação Digital Certificado com criptografia de até 1024 bits Utilizado por sites de comércio eletrônico, bancos, instituições financeiras e órgãos do governo, etc. Possibilita 50 bilhões de consultas diárias confiáveis Reconhecido por 99,9% dos navegadores, dispositivos móveis e celulares. Garantia de US$ 100.000,00 contra emissão indevida do Certificado Digital. 22

A CertiSign No Brasil, a CertiSign é a afiliada exclusiva da VeriSign Fundada em 1996, é a maior empresa brasileira em soluções de certificação Digital. Responsável pela cadeia de certificados da ICP-Brasil Fornece Certificados Digitais para: Servidores Web: para autenticação de sites Pessoa Jurídica: e-CNPJ, NF-e Pessoa Física: e-CPF Outros: WinLogon Certisign, e-DOC, e-mail seguro, etc… 23

ICP-Brasil Qualquer pessoa, órgão ou empresa pode criar sua própria cadeia de certificação. Porém, os documentos assinados com processo de certificação da ICP- Brasil possuem presunção de validade jurídica; As instalações e procedimentos das entidades credenciadas possuem nível de segurança física, lógica, de pessoal e procedimental em padrões internacionais; As entidades componentes da ICP-Brasil são obrigadas a declarar em repositório público as práticas de segurança utilizadas em todos os seus processos; As entidades estão sujeitas a auditoria prévia ao credenciamento e anualmente, para manter-se credenciadas; Os dados relativos aos certificados são mantidos por no mínimo 30 anos, para permitir comprovação e dirimir dúvidas sobre a assinatura de documentos, atendendo legislações específicas de guarda de documentos;

ICP-Brasil Uma das principais características da ICP-Brasil é sua estrutura hierárquica. No topo da estrutura encontra-se a Autoridade Certificadora Raiz (AC Raiz) e, abaixo dela, as diversas entidades (ACs de primeiro e segudo nível e Autoridades de Registro). Na ICP-Brasil, a AC Raiz é o ITI, que é responsável pelo credenciamento dos demais participantes da cadeia certificadora, pela emissão de seu próprio par de chaves e pela supervisão de todos os processos que envolvem a certificação.

ICP-Brasil Para fazer parte da ICP-Brasil, a entidade passa por um processo de credenciamento em que são analisadas sua capacidade jurídica, econômico-financeira, fiscal e técnica. Ela também deve contratar um seguro de responsabilidade civil e realizar auditorias prévias e anuais. Todo esse cuidado visa a garantir a segurança do processo - da identificação dos titulares até a emissão dos certificados. Para ter seu certificado na ICP-Brasil, a Autoridade Certificadora paga ao ITI cerca de R$ 500 mil por ano.

Certificados Digitais 27

Módulo Público Módulo Público é o módulo que trata com o usuário final, ele é um portal onde os usuários fazem solicitações de certificados, controle de acesso e o sistemas de inteligência de tramitação e fluxo de informações de operações dos processos, que podem ser: Interface para o cadastramento de novos usuários; Interface para solicitação de certificado; Interface para instalação de certificado digital; Possibilitar o acompanhamento através de interface do status do processo de emissão do certificado digital.

Autoridade de Registro Uma Autoridade de Registro (AR) provê uma interface entre um usuário e uma AC. É responsável por conferir as informações do usuário e enviar a requisição do certificado para a AC. A qualidade do processo de conferência das informações determina o nível de confiança que deve ser atribuído ao certificado. A AC deve, obrigatoriamente, confiar na AR, pois a AC emitirá o certificado digital sem nenhuma verificação adicional. A confiança é necessária para garantir o funcionamento de todas as etapas do processo. Dependendo da política de certificação adotada em uma ICP, o grau de verificações executadas na AR pode variar.

Autoridade Certificadora A Autoridade Certificadora (AC) é responsável pela geração, renovação, revogação de certificados digitais e emissão da lista de certificados revogados (LCR), além das regras de publicação dos certificados digitais e LCR. Uma autoridade certificadora pode ser uma empresa, organização ou indivíduo,público ou privado. A AC recebe a requisição de certificado digital, assinada pela AR, confere a assinatura digital da AR e emite o certificado digital para o usuário final. A política de funcionamento de uma Autoridade Certificadora, determinando quais os tipos de certificados digitais que ela está apta a emitir é designada em um documento intitulado Declaração de Práticas de Certificação (DPC).

Certificados Digitais Quando você acessa um banco pela internet, por exemplo, o próprio site entrega um certificado digital para o usuário. A autenticidade deste certificado pode ser validada porque ele foi emitido e assinado digitalmente por uma Autoridade Certicadora. A assinatura deste cerificado pode ser verificada a partir da função hash e da chave pública da AC amplamente divulgada. Tendo reconhecido um certificado como válido, pode-se extrair dele a chave pública da organização e a partir deste ponto a comunicar-se de forma segura com o destino. 31

Autoridade Certificadora Identidade Garantida Site /Documento Validado Passo a passo ... Certificado Digital Chave Pública Chave Pública Assinado pela ICP Certificado A2,A3, A4 Certificado A1 Chave Privada Chave Privada Chave Pública AC Certificado Digital Chave Pública AC Usuário Identidade Garantida Site /Documento Validado

Certificados Digitais O certificado digital geralmente é armazenado em sistema de arquivos, mas também a possibilidade de ser armazenada em repositório físico como token, smart-card, neste caso geralmente usados para guardar as chaves privadas de um certificado. Se quiser ver os certificados em instalados em seu computador é só ir, no caso do Internet Explorer, no menu "Ferramentas" e selecione o item "Opções da Internet". Entre as "abas" que iram aparecer clique em "Conteúdo", lá terá um item denominado "Certificados". Ao clicar neste botão, irá aparecer uma tela com várias "abas", estas que destacam o os tipos de certificados. Para obter maiores informações a respeito de um determinado certificado digital, basta selecionar o certificado desejado e, em seguida, clicar em “Exibir”, no canto inferior direito ou efetuar um duplo clique.

Certificados Digitais Esse certificado é prova da identidade do site. Quando você verifica o certificado, no campo ‘Emitido para:’ deverá corresponder ao nome do site onde você acredita estar. 34

Certificados Digitais Podemos ver também detalhes do Certificado Digital como a o tipo de Algoritmo de Criptografia utilizado, a validade, a chave pública utilizada.... e até salvar o Certificado. 35

Tipos de Certificados Digitais Validade máxima (anos) Tipo de certificado Chave criptográfica Validade máxima (anos) Tamanho (bits) Processo de geração Mídia armazenadora A1 e S2 1024 Software Arquivo 1 A2 e S2 Sofware Smart card ou token, sem capacidade de geração de chave 2 A3 e S3 Hardware Smart card ou token, com capacidade de geração de chave 3 A4 e S4 2048

APLICAÇÕES

PGP - Pretty Good Privacy O PGP (Muito Boa Privacidade) é um programa de criptografia de chave pública altamente seguro. Nos últimos anos o PGP conquistou milhares de entusiastas em todo o mundo e tornou-se de fato um padrão para a criptografia de correio eletrônico (email) na Internet. O PGP pode, ainda, ser utilizado como um sistema à prova de falsificações de assinaturas digitais permitindo, desta forma, a comprovação de que arquivos ou e-mails não foram modificados.

PGP - Pretty Good Privacy O PGP foi originalmente escrito por Philip Zimmermann.

PGP - Pretty Good Privacy Sigilo O PGP utiliza um mecanismo de chaves híbrido (simétrica e assimétrica) para garantir o sigilo das comunicações.

PGP - Pretty Good Privacy Sigilo O PGP utiliza um mecanismo de chaves híbrido (simétrica e assimétrica) para garantir o sigilo das comunicações.

PGP - Pretty Good Privacy Confidencialidade e Integridade O PGP utiliza um mecanismo de hash e assinatura digital.

PGP - Pretty Good Privacy Encrypted with session key A mensagem final (Alice) Encrypted with session key (Alice/Bob) (Bob)

SSL O SSL ( Secure Sockets Layer) é um protocolo de segurança muito utilizado para codificar os dados trafegados entre o host do usuário e um Website. Usando criptografia, o SSL previne que os dados trafegados possam ser capturados ou alterados no seu curso entre o Browser do usuário e o Servidor Web. Isto irá garantir sigilo no tráfego de dados, como números de cartões, senhas, etc 44

SSL Este protocolo foi desenvolvido pela Netscape, mas atualmente é implementado na maioria dos browsers. O protocolo SSL é um dos protocolos criptográficos mais utilizados na Internet. Sua utilização não é uma vantagem competitiva, mas uma necessidade. 45

SSL O SSL ( Secure Sockets Layer) é um protocolo de segurança muito utilizado para codificar os dados trafegados entre o host do usuário e um Website. 46

SSL O SSL está situado exatamente abaixo da camada de aplicação, com a responsabilidade de gerenciar um canal de comunicação seguro entre o cliente e o servidor. Enquanto o TCP tem apenas a função de enviar um fluxo de informações entre dois computadores, o protocolo em camadas SSL adiciona numerosos recursos e esse fluxo de informações. 47

SSL 48

Como identificar um site que utiliza SSL Quando um usuário se conecta a um servidor que está utilizando o protocolo SSL, na sua barra de endereços, o protocolo passa a ser o https://, no lugar do http:// (padrão). Aliado a isto, a maioria dos Browsers, como o I.E. mostram uma imagem de um tradicional cadeado. Assim, as informações fornecidas aquele Website não poderão ser interceptadas durante o trajeto. 49

Responda Em sala: Fazer a leitura dos casos de aplicações da criptografia simétrica, assimétrica , assinatura digital e autoridade certificadora. (Kurose) Em casa: Como funcionam o e-CNPJ e e-CPF? Quanto custa os principais tipos de Certificados Digitais A1, A2, A3 e A4?