Questão 162793

• Banca: CESGRANRIO
• Órgão: Petrobras
• Ano: 2010
• Provas: CESGRANRIO - 2010 - Petrobrás - Técnico em Informática
• Disciplina: Segurança da Informação
• Assuntos: VPN (Virtual Private Network)

A VPN (Virtual Private Network) é uma rede de comunicação privada que utiliza meios públicos. Com relação à segurança dos dados que trafegam por meio da VPN, afirma-se que

• A. muitos dados se perdem pela baixa qualidade dos meios públicos de comunicação, não sendo uma rede adequada para tráfego de aplicações críticas.
• B. os dados podem ser acessados por pessoas não autorizadas no caso de serem encapsulados sem criptografia.
• C. é uma rede segura de transmissão de dados onde, mesmo utilizando canais públicos de comunicação, usase o protocolo padrão da Internet.
• D. a segurança padrão oferecida pelos gestores da Internet torna viável o tráfego de dados críticos a baixos custos.
• E. a utilização de soluções de VPN comerciais garante a confidencialidade dos dados e a estabilidade das redes privadas.

Gabarito: B

Comentários

• Criptografia pode ser realizada no dispositivo de rede de saída, no caso um roteador. Somente o encapsulamento dos pacotes de dados não garante a segurança da informação. Porque todos so pacotes são encapsulados quando saem da rede local para rede pública e depois novamente desemcapsulados para a outra ponta, a outra rede local que receberá os pacotes. Isso qualquer analista  consegue interceptar usando uma aplicação com snif, chamamos de snifar a rede. Com simples programas consegue-se o resultado. Com a implantação de uma regra de criptografia. Em um roteador de borda, com uma IOS ( internet operation System) adequada é possível implementar uma cripotgrafia mínima, mas já aumentará a dificuldade para burlar a regra. Resposta B é correta.
  
  A- As redes públicas podem e devem trafegar dados críticos. A sua conta bancária não é uma aplicação crítica? RESPOSTA ERRADA.
  
  C-PORTOCOLO PADRÃO HTTP, NÃO SEGURO. PROTOCOLO HTTPS, PROTOCOLO CRIPTOGRAFADO "SEGURO". RESPOSTA ERRADA.
  
  D-

• As características mínimas desejáveis para uma VPN sob o aspecto da segurança são as seguintes:

  Autenticação de Usuários - Verificação da identidade do usuário, restringindo o acesso às pessoas autorizadas. Deve dispor de mecanismos de auditoria, provendo informações referentes aos acessos efetuados to tipo "quem acessou, o quê" e "quando ocorreu o acesso";

  Gerenciamento de Endereços - O endereço do usuário na rede privada não deve ser divulgado, devendo-se adotar endereços fictícios para o tráfego externo;

  Criptografia de Dados - Os dados devem trafegar na rede pública ou privada em formato cifrado e, caso sejam interceptados, não deverão ser decodificados, garantindo a privacidade da informação. O reconhecimento do conteúdo das mensagens deve ser exclusivo dos usuários autorizados;

  Gerenciamento de Chaves - O uso de chaves de segurança nas mensagens criptografadas deve funcionar como um segredo compartilhado exclusivamente entre as partes envolvidas. O gerenciamento de chaves deve garantir a troca periódica das mesmas, visando manter a comunicação de forma segura;

  Suporte a Múltiplos Protocolos - É desejável que uma VPN suporte os protocolos padrão de fato usados nas redes públicas, tais como IP (Internet Protocol), IPX (Internetwork Packet Exchange), etc.

  As Redes Privadas Virtuais constituem um componente importante dentro do ambiente corporativo das empresas, apresentando-se como uma alternativa segura para transmissão de informações através das redes públicas ou privadas, uma vez que oferecem diversas vantagens para implementação e níveis variados de segurança. Entretanto, nas aplicações onde o tempo de transmissão é crítico, o uso dessa alternativa deve ser analisado com muito cuidado, pois podem ocorrer problemas de desempenho e atrasos sobre os quais os utilizadores não tem nenhum tipo de gerência ou controle e que podem vir a comprometer a qualidade dos serviços prestados.

• b) os dados podem ser acessados por pessoas não autorizadas no caso de serem encapsulados SEM CRIPTOGRAFIA
    - A questão foi mal elaborada já que o comando da questão se refere a VPN, assim não cabe falar desse tipo de rede (VPN) sem o conceito intrínseco de criptografia.
• a) muitos dados se perdem pela baixa qualidade dos meios públicos de comunicação, não sendo uma rede adequada para tráfego de aplicações críticas.
  Errado. A VPN utiliza os meios públicos de comunicação como infraestrutura para criar seu túnel seguro.
  b) os dados podem ser acessados por pessoas não autorizadas no caso de serem encapsulados sem criptografia.
  Correto. Caso a VPN seja configurada apenas com autenticação (AH), ela terá garantido apenas autenticidade do payload, mas não a confidencialidade (que acontece caso o payload seja criptografado com ESP).
  c) é uma rede segura de transmissão de dados onde, mesmo utilizando canais públicos de comunicação, usase o protocolo padrão da Internet.
  Errado. O protocolo padrão da internet é o IP. E não é ele que garante a segurança da rede VPN. O protocolo que garante a segurança na camada de rede é o IPSEC.
  d) a segurança padrão oferecida pelos gestores da Internet torna viável o tráfego de dados críticos a baixos custos.
  Errado. A segurança padrão da internet não garante a segurança no tráfego de dados críticos. É necessário investimento em uma infraestrutura de um canal dedicado de comunicação (custo muito elevado) ou a adoção de redes seguras utilizando VPN.
  e) a utilização de soluções de VPN comerciais garante a confidencialidade dos dados e a estabilidade das redes privadas.
  Errado. A utilização de soluções de VPN comerciais não garante a estabilidade (disponibilidade) das redes privadas. Garante apenas a autenticação, confiabilidade e integridade.