Baixe o app para aproveitar ainda mais
Prévia do material em texto
OUCH! | Julho 2011 Nesta ed ição • O que é Criptografia ? • Encriptando informação armazenada • Encriptando informação em trânsito • Melhores práticas e precauções Entendendo Criptografia EDITOR CONVIDADO Fred Kerby é o editor convidado para esta edição de OUCH! Ele se aposentou recentemente pelo Naval Surface Warfare Center Dahlgren Division, onde trabalhou como Gerente de Segurança da Informação por 16 anos. Fred é instrutor sênior no SANS Institute. O QUE É CRIPTOGRAFIA? A criptografia é um mecanismo que protege suas informações valiosas, tais como documentos, fotos ou transações online, do acesso ou alteração por pessoas indesejadas. A criptografia funciona utilizando uma “cifra” (fórmula matemática) e uma chave para converter dados legíveis (“texto simples”) em um formato não compreensível por outros (“texto cifrado”). A cifra é a re- ceita geral da criptografia e sua chave torna seu dado encriptado único – somente as pessoas com a sua chave única e a mesma cifra podem decifrá-lo. Chaves são normalmente uma longa sequência de números protegidos por um mecanismo comum de autenticação como senhas, “tokens”, ou biometria como sua impressão digital. ENCRIPTANDO INFORMAÇÃO ARMAZENADA Informações confidenciais ou sigilosas como médicas, financeiras ou de negócio podem residir nos seus dispositivos móveis como laptop, pendrive USB, smartphone ou tablet. Esses dispositivos podem ser facilmente perdidos ou roubados e, se não encriptados, podem ter seu conteúdo lido por qualquer um que tenha acesso a eles. Uma das melhores formas de proteger dados em qualquer dispositivo móvel é encriptá-los. Geralmente, existem três formas de encriptar dados armazenados nos seus dispositivos móveis. Você pode encriptar arquivos específicos, pastas inteiras ou o disco inteiro. Muitos sistemas operacionais suportam alguma delas, senão todas. Encriptar seu disco inteiro, normalmente chamado, em inglês, Full Disk Encryption (FDE), é frequentemente considerada a forma mais segura. FDE encripta todos os dados no seu disco, incluindo arquivos temporários. E também simplifica o processo pois você não precisa decidir sobre o que encriptar e o que não. Se você não pode encriptar seu disco inteiro, encripte qualquer arquivo ou pasta que contenha informações confidenciais ou sigilosas. Dispositivos móveis como Pendrives USB podem vir com recurso de criptografia feitos para eles ou você pode encriptá-los instalando um software adicional em seu computador. Smartphones e tablets podem também ter recursos de criptografia feitos para eles, ou você pode instalar aplicações (“apps”) para isso - consulte a rede de aplicações do fabricante do seu telefone, normalmente chamados “app store” ou “marketplace”, para informações sobre o que está disponível. © T h e S A N S I n s t i t u t e 2 0 1 1 http://www.securingthehuman.org OUCH! | Julho 2011 Entendendo Criptografia ENCRIPTANDO INFORMAÇÕES EM TRÂNSITO A informação também está vulnerável enquanto está em trânsito. Se o dado não está encriptado, ele pode ser monitorado e capturado online. É por isso que você deve garantir que qualquer comunicação online com dados confidenciais ou sigilosos como acesso a banco, envio de email ou talvez até acesso à sua conta no Facebook, estejam encriptadas. A forma mais comum de encriptação é o HTTPS, ou conexão aos sites seguros. Isso significa que o tráfego entre seu navegador de Internet (“web browser”) e o site de internet é encriptado. Procure pelo https:// no endereço URL, ou pelo ícone de cadeado no seu navegador. Muitos sites suportam isso por padrão (como o Google Apps) e sites como Facebook e Twitter, dão a opção de forçar sua utilização, através da página de configuração da sua conta. Adicionalmente, quando você se conectar a uma rede sem fio Wi-Fi pública, use uma rede encriptada sempre que possível. WPA2 é atualmente um dos mecanismos de criptografia mais fortes e a opção que você deve fazer. Finalmente, sempre que enviar ou receber email por um programa cliente de email (Outlook, Thunderbird ou similar), garanta que ele esteja configurado para usar comunicação encrip- tada. Uma das mais utilizadas é SSL (Secure Socket Layer). Muitos clientes de email utilizam SSL por padrão. MELHORES PRÁTICAS E PRECAUÇÕES Independentemente de qual tipo de criptografia você está usando e como você a usa, quase todas as formas de criptografia compartilham os mesmos problemas, que você deve conhecer: ● Sua criptografia é tão forte quanto suas chaves. Se sua chave estiver comprometida, seus dados também estarão. Se estiver usando senhas para proteger suas © T h e S A N S I n s t i t u t e 2 0 1 1 http://www.securingthehuman.org chaves, certifique-se de usar também senhas fortes e protegê-las bem(veja edição de Maio, 2011 de OUCH! sobre senhas). ● Não perca suas chaves ou o acesso a elas. Se você perder suas chaves ou perder o acesso a elas por esquecer a senha que as protege, você provavelmente não poderá recuperar seus dados. ● Sua criptografia é tão forte quanto a segurança de seu computador. Se seu computador for infectado, os caras maus poderão comprometer sua criptografia. ● Mantenha a segurança geral do seu computador. A criptografia não protege em nada contra vírus, worms, Trojans, vulnerabilidades não corrigidas ou ataques de engenharia social. ● Sempre certifique-se de fazer uma cópia backup dos dados confidenciais de forma segura. Isto garante A criptografia é uma ferramenta importante para proteger os dados, mas só é eficaz se você tiver senhas fortes e mantiver a segurança geral do computador. OUCH! | Julho 2011 Entendendo Criptografia que, em caso de perda do dispositivo ou da chave de encriptação que protege seus dados, você ainda possa recuperar seus dados. ● Use encriptação baseada em algoritmos conhecidos publicamente como AES (Advanced Encryption Standard) ou Blowfish, ao invés de algoritmos proprietários. Certifique-se também de estar usando a última versão do seu programa de criptografia. ● Consulte um profissional de TI se precisar de ajuda. Instalação, configuração ou utilização incorreta de encriptação pode tornar suas informações permanentemente inacessíveis. RECURSOS Alguns dos links abaixo podem ter sido abreviados para melhorar a leitura utilizando o serviço TinyURL. Para mitigar riscos de segurança, o OUCH! Sempre usa o recurso de pré-visualização do TinyURL, que mostra o destino final do link e sempre pede sua permissão para prosseguir. Ferramentas de Encriptação de disco inteiro (FDE - Full Disk Encryption): TrueCrypt: http://www.truecrypt.org/ PGP: http://www.pgp.com Windows 7 Bitlocker: http://windows.microsoft.com/pt- BR/windows-vista/BitLocker-Drive-Encryption-Overview Encriptação de Arquivo e Pastas: TrueCrypt: http://www.truecrypt.org/ Windows: http://windows.microsoft.com/pt- BR/windows7/Encrypt-or-decrypt-a-folder-or-file Mac: http://preview.tinyurl.com/6c2q3cy Encriptação de Pendrive USB: TrueCrypt: http://www.truecrypt.org/ SanDisk: http://preview.tinyurl.com/3nl4g2p IronKey: https://www.ironkey.com/products Padrões de Criptografia AES: http://preview.tinyurl.com/ku33x WiFi: WPA e WPA2 http://preview.tinyurl.com/am5oa Como funciona o HTTPS: http://preview.tinyurl.com/ya9se7f Como funciona uma VPN: http://preview.tinyurl.com/rfc9f SAIBA MAIS Assine a publicação mensal OUCH! de sensibilização de segurança, acesse os arquivos OUCH! e aprenda mais sobre as soluções de sensibilização de segurança do SANS nos visitando em http://www.securingthehuman.org. VERSÃO BRASILEIRATraduzida por: Homero Palheta Michelini, Arquiteto de T/I, especialista em Segurança da Informação - twitter.com/homerop Marcello Belloni Gomes, Arquiteto de Segurança de TI - twitter.com/marcellobelloni Michel Girardias, Analista de Segurança da Informação - twitter.com/michelgirardias Marta Visser - Tradutora autônoma © T h e S A N S I n s t i t u t e 2 0 1 1 http://www.securingthehuman.org OUCH! É publicado pelo programa “SANS Securing the Human” e distribuído sob o licenciamento Creative Commons BY-‐NC-‐ND 3.0 license. A distribuição desta publicação é permitida desde que sua origem seja informada, seu conteúdo não seja modificado e não seja utilizada para fins comerciais. Para tradução ou outras informações, contacte ouch@securingthehuman.org. Time Editorial: Bill Wyman, Walt Scrivens, Phil Hoffman, Lance Spitzner, Carmen Ruyle Hardy z
Compartilhar