Questão 12127

• Banca: CESPE / CEBRASPE
• Órgão: Polícia Federal
• Ano: 2004
• Provas: CESPE - 2004 - Polícia Federal - Perito Criminal Federal - Informática
• Disciplina: Segurança da Informação
• Assuntos: Criptografia; SSL

As aplicações web que necessitam de segurança criptográfica dos dados transmitidos entre o navegador (cliente) e o servidor web utilizam o protocolo SSL/TLS para o estabelecimento de sessões seguras. Acerca do SSL/TLS e suas aplicações, julgue os itens a seguir.

Para se definir os algoritmos de criptografia simétrica que serão usados em uma sessão SSL, cliente e servidor trocam uma mensagem informando qual é a suíte de algoritmos que cada um suporta. Cabe ao servidor a escolha do algoritmo que será usado, tendo como critério o algoritmo que suporte a maior chave simétrica, em número de bits.

• C. Certo
• E. Errado

Gabarito: E

Comentários

• Quem ler muito rápido a questão passa batido na casca de banana.. Numa sessão SSL é o servidor a entidade responsável pela eleição da melhor suíte de algorítimos, e esta escolha é baseada no algorítimo de criptografia simétrico mais forte existente em comum entre cliente e servidor, e não na maior chave.
• O estabelecimento de uma seção SSH ocorre da seguinte maneira:
  
  
  O Servidor SSH anuncia ao cliente uma lista de médotos de autenticação. O cliente tenta se autenticar com algum dos métodos que é capaz, geralmente escolhendo o menos intrusivo para o usuário.
  
  Fonte: http://winscp.net/eng/docs/ssh
  http://docstore.mik.ua/orelly/networking_2ndEd/ssh/index.htm

• O handshake da sessão SSL:

  1) O cliente entra em contato com o servidor e solicita uma conexão segura. O servidor responde com a lista de conjuntos de cifras compatíveis. O cliente compara isso com sua própria lista de conjuntos de cifras suportados, seleciona um, e permite que o servidor saiba que ambos estarão usando.

  O CLIENTE QUE SELECIONA O ALGORITMO PARA A CONEXÃO. Não é o servidor, como fala de forma errada a questão.

  2) O servidor então fornece seu certificado digital. O cliente confirma a autenticidade do certificado.

  3) Usando a chave pública do servidor, o cliente e o servidor estabelecem uma chave de sessão que ambos usarão para o resto da sessão para criptografar a comunicação. A partir daqui, conexões podem ser estabelecidas com segurança sobre a sessão.

  Qualquer coisa complementem ou me corrijam. Grato!