Entenda a Criptografia.pdf

Prévia do material em texto

OUCH! | Julho 2011 
Nesta ed ição 
• O que é Criptografia ? 
• Encriptando informação armazenada 
• Encriptando informação em trânsito 
• Melhores práticas e precauções 	
  
Entendendo	
  Criptografia	
  
EDITOR CONVIDADO 
Fred Kerby é o editor convidado para esta edição de 
OUCH! Ele se aposentou recentemente pelo Naval 
Surface Warfare Center Dahlgren Division, onde trabalhou 
como Gerente de Segurança da Informação por 16 anos. 
Fred é instrutor sênior no SANS Institute. 
 
O QUE É CRIPTOGRAFIA? 
A criptografia é um mecanismo que protege suas 
informações valiosas, tais como documentos, fotos ou 
transações online, do acesso ou alteração por pessoas 
indesejadas. A criptografia funciona utilizando uma “cifra” 
(fórmula matemática) e uma chave para converter dados 
legíveis (“texto simples”) em um formato não 
compreensível por outros (“texto cifrado”). A cifra é a re-
ceita geral da criptografia e sua chave torna seu dado 
encriptado único – somente as pessoas com a sua chave 
única e a mesma cifra podem decifrá-lo. Chaves são 
normalmente uma longa sequência de números protegidos 
por um mecanismo comum de autenticação como senhas, 
“tokens”, ou biometria como sua impressão digital. 
 
ENCRIPTANDO INFORMAÇÃO 
ARMAZENADA 
Informações confidenciais ou sigilosas como médicas, 
financeiras ou de negócio podem residir nos seus 
dispositivos móveis como laptop, pendrive USB, 
smartphone ou tablet. Esses dispositivos podem ser 
facilmente perdidos ou roubados e, se não encriptados, 
podem ter seu conteúdo lido por qualquer um que tenha 
acesso a eles. Uma das melhores formas de proteger 
dados em qualquer dispositivo móvel é encriptá-los. 
 
Geralmente, existem três formas de encriptar dados 
armazenados nos seus dispositivos móveis. Você pode 
encriptar arquivos específicos, pastas inteiras ou o disco 
inteiro. Muitos sistemas operacionais suportam alguma 
delas, senão todas. Encriptar seu disco inteiro, 
normalmente chamado, em inglês, Full Disk Encryption 
(FDE), é frequentemente considerada a forma mais segura. 
FDE encripta todos os dados no seu disco, incluindo 
arquivos temporários. E também simplifica o processo pois 
você não precisa decidir sobre o que encriptar e o que não. 
Se você não pode encriptar seu disco inteiro, encripte 
qualquer arquivo ou pasta que contenha informações 
confidenciais ou sigilosas. 
 
Dispositivos móveis como Pendrives USB podem vir com 
recurso de criptografia feitos para eles ou você pode 
encriptá-los instalando um software adicional em seu 
computador. Smartphones e tablets podem também ter 
recursos de criptografia feitos para eles, ou você pode 
instalar aplicações (“apps”) para isso - consulte a rede de 
aplicações do fabricante do seu telefone, normalmente 
chamados “app store” ou “marketplace”, para informações 
sobre o que está disponível. 
© T h e S A N S I n s t i t u t e 2 0 1 1 http://www.securingthehuman.org 
 
OUCH! | Julho 2011 
 
Entendendo Criptografia	
  
 
ENCRIPTANDO INFORMAÇÕES EM 
TRÂNSITO 
 
A informação também está vulnerável enquanto está em 
trânsito. Se o dado não está encriptado, ele pode ser 
monitorado e capturado online. É por isso que você deve 
garantir que qualquer comunicação online com dados 
confidenciais ou sigilosos como acesso a banco, envio de 
email ou talvez até acesso à sua conta no Facebook, 
estejam encriptadas. A forma mais comum de 
encriptação é o HTTPS, ou conexão aos sites seguros. 
Isso significa que o tráfego entre seu navegador de 
Internet (“web browser”) e o site de internet é encriptado. 
Procure pelo https:// no endereço URL, ou pelo ícone de 
cadeado no seu navegador. Muitos sites suportam isso 
por padrão (como o Google Apps) e sites como Facebook 
e Twitter, dão a opção de forçar sua utilização, através da 
página de configuração da sua conta. Adicionalmente, 
quando você se conectar a uma rede sem fio Wi-Fi 
pública, use uma rede encriptada sempre que possível. 
WPA2 é atualmente um dos mecanismos de criptografia 
mais fortes e a opção que você deve fazer. Finalmente, 
sempre que enviar ou receber email por um programa 
cliente de email (Outlook, Thunderbird ou similar), garanta 
que ele esteja configurado para usar comunicação encrip-
tada. Uma das mais utilizadas é SSL (Secure Socket 
Layer). Muitos clientes de email utilizam SSL por padrão. 
 
MELHORES PRÁTICAS E 
PRECAUÇÕES 
Independentemente de qual tipo de criptografia você está 
usando e como você a usa, quase todas as formas de 
criptografia compartilham os mesmos problemas, que 
você deve conhecer: 
 
● Sua criptografia é tão forte quanto suas chaves. 
Se sua chave estiver comprometida, seus dados também 
estarão. Se estiver usando senhas para proteger suas 
© T h e S A N S I n s t i t u t e 2 0 1 1 http://www.securingthehuman.org 
 
chaves, certifique-se de usar também senhas fortes e 
protegê-las bem(veja edição de Maio, 2011 de OUCH! 
sobre senhas). 
 
● Não perca suas chaves ou o acesso a elas. Se 
você perder suas chaves ou perder o acesso a elas por 
esquecer a senha que as protege, você provavelmente não 
poderá recuperar seus dados. 
 
● Sua criptografia é tão forte quanto a segurança de 
seu computador. Se seu computador for infectado, os 
caras maus poderão comprometer sua criptografia. 
 
● Mantenha a segurança geral do seu computador. 
A criptografia não protege em nada contra vírus, worms, 
Trojans, vulnerabilidades não corrigidas ou ataques de 
engenharia social. 
● Sempre certifique-se de fazer uma cópia backup 
dos dados confidenciais de forma segura. Isto garante 
A criptografia é uma ferramenta 
importante para proteger os dados, 
mas só é eficaz se você tiver senhas 
fortes e mantiver a segurança geral 
do computador.	
  
	
  
OUCH! | Julho 2011 	
  
Entendendo Criptografia	
  
que, em caso de perda do dispositivo ou da chave de 
encriptação que protege seus dados, você ainda possa 
recuperar seus dados. 
 
● Use encriptação baseada em algoritmos 
 conhecidos publicamente como AES (Advanced 
Encryption Standard) ou Blowfish, ao invés de algoritmos 
proprietários. Certifique-se também de estar usando a 
última versão do seu programa de criptografia. 
 
● Consulte um profissional de TI se precisar de 
ajuda. Instalação, configuração ou utilização incorreta de 
encriptação pode tornar suas informações 
permanentemente inacessíveis. 
 
RECURSOS 
Alguns dos links abaixo podem ter sido abreviados para 
melhorar a leitura utilizando o serviço TinyURL. Para 
mitigar riscos de segurança, o OUCH! Sempre usa o 
recurso de pré-visualização do TinyURL, que mostra o 
destino final do link e sempre pede sua permissão para 
prosseguir. 
 
Ferramentas de Encriptação de disco inteiro (FDE - Full 
Disk Encryption): 
TrueCrypt: http://www.truecrypt.org/ 
PGP: http://www.pgp.com 
Windows 7 Bitlocker: http://windows.microsoft.com/pt-
BR/windows-vista/BitLocker-Drive-Encryption-Overview 
 
Encriptação de Arquivo e Pastas: 
TrueCrypt: http://www.truecrypt.org/ 
 
Windows: http://windows.microsoft.com/pt-
BR/windows7/Encrypt-or-decrypt-a-folder-or-file 
Mac: http://preview.tinyurl.com/6c2q3cy 
 
Encriptação de Pendrive USB: 
TrueCrypt: http://www.truecrypt.org/ 
SanDisk: http://preview.tinyurl.com/3nl4g2p 
IronKey: https://www.ironkey.com/products 
 
Padrões de Criptografia 
AES: http://preview.tinyurl.com/ku33x 
WiFi: WPA e WPA2 http://preview.tinyurl.com/am5oa 
Como funciona o HTTPS: 
http://preview.tinyurl.com/ya9se7f 
Como funciona uma VPN: http://preview.tinyurl.com/rfc9f 
 
SAIBA MAIS 
Assine a publicação mensal OUCH! de sensibilização de 
segurança, acesse os arquivos OUCH! e aprenda mais 
sobre as soluções de sensibilização de segurança do 
SANS nos visitando em http://www.securingthehuman.org. 
 
VERSÃO BRASILEIRATraduzida por: 
Homero Palheta Michelini, Arquiteto de T/I, especialista em 
Segurança da Informação - twitter.com/homerop 
Marcello Belloni Gomes, Arquiteto de Segurança de TI - 
twitter.com/marcellobelloni 
Michel Girardias, Analista de Segurança da Informação - 
twitter.com/michelgirardias 
Marta Visser - Tradutora autônoma 
 
 
 	
  
 
 
 
 
 
 
 
© T h e S A N S I n s t i t u t e 2 0 1 1 http://www.securingthehuman.org 
 
OUCH!	
  É	
  publicado	
  pelo	
  programa	
  “SANS	
  Securing	
  the	
  Human”	
  e	
  distribuído	
  sob	
  o	
  licenciamento	
  Creative	
  Commons	
  BY-­‐NC-­‐ND	
  3.0	
  license.	
  
A	
  distribuição	
  desta	
  publicação	
  é	
  permitida	
  desde	
  que	
  sua	
  origem	
  seja	
  informada,	
  seu	
  conteúdo	
  não	
  seja	
  modificado	
  e	
  não	
  seja	
  utilizada	
  
para	
  fins	
  comerciais.	
  	
  Para	
  tradução	
  ou	
  outras	
  informações,	
  contacte	
  ouch@securingthehuman.org.	
  
Time	
  Editorial:	
  Bill	
  Wyman,	
  Walt	
  Scrivens,	
  Phil	
  Hoffman,	
  Lance	
  Spitzner,	
  Carmen	
  Ruyle	
  Hardy	
  
	
  
	
  
	
  
z