Questão 126805

• Banca: CESGRANRIO
• Órgão: Petrobras
• Ano: 2010
• Provas: CESGRANRIO - 2010 - BR Distribuidora - Analista de Sistemas Júnior - Infra-Estrutura
• Disciplina: Segurança da Informação
• Assuntos: Infra estrutura de Chaves Publicas (PKI)

Duas entidades, P e Q, desejam se comunicar por meio de um canal seguro e, para isso, decidem utilizar uma terceira entidade de confiança, X, para a criação deste canal. Ambas as entidades já possuem a chave pública de X e confiariam em uma assinatura dessa entidade.
Nesse contexto, considere os seguintes passos executados para a estabelecimento do canal:

1. P requisita a X a chave pública de Q.
2. X pega a chave pública verificada de Q, nos seus bancos de dados, e assina essa chave atestando sua legitimidade.
3. X envia para P a chave junto com a assinatura.
4. P verifica a assinatura de X, certifica-se de que tudo está correto e aceita essa chave de Q como autêntica.
5. P usa sua chave particular para encriptar a chave pública de Q e envia o resultado para Q.
6. Q usa sua chave particular para desencriptar a chave enviada por P.
7. P e Q passam a usar um algoritmo simétrico com a chave enviada por P para trocar as mensagens.

Considerando os objetivos de P e Q e analisando os passos por eles executados, conclui-se que, para atender às necessidades de P e Q

• A. os passos descritos estão corretos.
• B. o passo 5 deve ser modificado para: P escolhe, aleatoriamente, uma chave de seção e usa a chave pública de Q para encriptar a chave escolhida e envia o resultado para Q.
• C. o passo 6 deve ser modificado para: Q usa sua chave pública para desencriptar a chave enviada por P.
• D. os passos 1 a 7 devem ser modificados, substituindo-se as referências "chave pública" de Q por sua "chave particular" e "chave particular" de Q, por sua "chave pública".
• E. o passo 7 deve ser modificado para: P e Q passam a usar um algoritmo assimétrico com a chave enviada por P para trocar as mensagens.

Gabarito: B

Comentários

• a) os passos descritos estão corretos.ERRADO. No passo 5, P usa sua chave privada pra cifrar. Logo, no passo 6, Q deveria usar a chave pública de P para decifrar.b) o passo 5 deve ser modificado para: P escolhe, aleatoriamente, uma chave de seção e usa a chave pública de Q para encriptar a chave escolhida e envia o resultado para Q.CORRETO. Se P cifrar a informação com a chave pública de Q, somente Q com sua chave privada será capaz de decifrar.c) o passo 6 deve ser modificado para: Q usa sua chave pública para desencriptar a chave enviada por P.ERRADO. A informação foi cifrada usando a chave particular de P. Para decifrar, Q deverá usar a chave pública de P.d) os passos 1 a 7 devem ser modificados, substituindo-se as referências "chave pública" de Q por sua "chave particular" e "chave particular" de Q, por sua "chave pública".ERRADO.e) o passo 7 deve ser modificado para: P e Q passam a usar um algoritmo assimétrico com a chave enviada por P para trocar as mensagens.ERRADO. O Algorítmo usado não pode ser assimétrico já que ambos usam a mesma chave para cifrar e decifrar mensagem.

• Essa questão evidencia o conceito de envelope digital.

• Ok, das opções propostas, a que está menos incorreta é a B).
  
  Digo isso porque a alternativa B) ainda está incompleta, portanto não atende ao problema proposto, pois ela continua sujeita ao ataque MAN-IN-THE-MIDDLE.
  
  Ora, a chave pública de Q é, como o nome diz, pública!
  
  Quando Q descriptografa a chave de Sessão enviada por P, como Q saberá que foi P mesmo quem enviou a chave, e não um intruso na comunicação? Isso só seria resolvido se TAMBÉM houvesse a assinatura digital de P neste chave de sessão enviada.
  
  De outro modo equivalente, sem a assinatura de P, ainda deveria existir um passo 8) em que Q faria um passo de autenticação para verificar quem é P.

• b-

  chave de sessão é gerada aletaorio, a qual so pode ser usada 1 vez, e.g.: para uma conexao, email etc. A chave de sessão é transferida com seguranca com sua geração por meio da criptografia assimétrica , enqanto os dados pessoais sao transferidos pela criptografia simétrica

  ________________________________________________________________________________________________________________________

  2 entidades, P e Q, utilizam uma terceira entidade de confiança, X, para a criação de canal de seguranca. Ambas já possuem chave pública de X e confiariam em uma assinatura dessa entidade.

  1. P requisita a X a chave pública de Q.

  2. X pega a chave pública verificada de Q, nos seus bancos de dados, e assina essa chave atestando sua legitimidade.

  3. X envia para P a chave junto com a assinatura.

  4. P verifica a assinatura de X, certifica-se de que tudo está correto e aceita essa chave de Q como autêntica.

  5. P escolhe, aleatoriamente, uma chave de seção e usa a chave pública de Q para encriptar a chave escolhida e envia o resultado para Q.

  6. Q usa sua chave particular para desencriptar a chave enviada por P.

  7. P e Q passam a usar um algoritmo simétrico com a chave enviada por P para trocar as mensagens.