Questão 175549

• Banca: CESPE / CEBRASPE
• Órgão: TCU
• Ano: 2008
• Provas: CESPE - 2008 - TCU - Analista de Controle Interno – Tecnologia da Informação - Prova 2
• Disciplina: Segurança da Informação
• Assuntos: Autoridade Certificadora (AC); Certificação Digital em Segurança da Informação

Na rede de computadores de uma organização pública
brasileira com diversos ativos, como, por exemplo, switches,
roteadores, firewalls, estações de trabalho, hosts servidores de
aplicação web, servidores de bancos de dados, é comum a
ocorrência de ataques e de outros incidentes que comprometem
a segurança de seus sistemas. Nessa organização, a definição de
políticas e metodologias adequadas para se lidar com esse tipo de
problema cabe ao departamento de TI.

A partir da situação apresentada acima, julgue o item abaixo
relativos à segurança da informação.

Se a rede de uma organização atuar de forma integrada a uma infra-estrutura de chave pública, de natureza hierárquica, formada por RAs (regional authorities) e CAs (certification authorities), o administrador da rede, ao analisar qual foi a entidade que assinou digitalmente o certificado público de cada membro dessa infra-estrutura de chave pública, constatará que todos os certificados analisados foram assinados pela autoridade certificadora raiz.

• C. Certo
• E. Errado

Gabarito: E

Comentários

• O erro da questão está na citação de RA's como Regional Authorities, que pela literatura seria Register Authorities.

• ERRADO.
  A Autoridade Certificadora Raiz (AC-Raiz) apenas assina os Certificados das Autoridades Certificadoras (AC).
  
  Quem assina os certificados para instituições finais (pessoas ou processos) é apenas as Autoridades Certificadoras (AC)
• Entendo que o erro está em afirmar que "todos os certificados analisados foram assinados pela autoridade certificadora raiz."
  Segundo o livro de redes do Tanenbaum, numa infra-estrutura de chave pública de natura HIERÁQUICA, as AC-Raiz (pode haver mais de uma) autorizam as RAs que autoriam as CAs, logo a AC-Raiz não assina todos os certificados, ela assina apenas os certificados das RAs.
  O esquema todo é baseado no conceito de cadeia de confiança. Se vc confia em uma CA-raiz, vc tbm confia nas RAs (que tbm podem ser chamadas
  de CAs de segundo nível) que são autoriaza por essa CA-raiz e consequentemente nas CA autorizadas pelas RAs.
  Espero ter ajudado
• ICP – Brasil
   
  Modelo Hierárquico: Uma AC não pode certificar outra que não seja imediatamente inferior (hierarquia).
   
  • AC Raiz no Brasil é o ITI (Instituto Nacional de Tecnologia da Informação)
  É a primeira autoridade da cadeia de certificação. Executa as Políticas de Certificados e normas técnicas e operacionais aprovadas pelo Comitê Gestor da ICP-Brasil. Dentre as finalidades estão: emitir, expedir, distribuir, revogar e gerenciar os certificados das autoridades certificadoras DE NÍVEL IMEDIATAMENTE SUBSEQUENTE AO SEU; encarregada de emitir a lista de certificados revogados e de fiscalizar e auditar as autoridades certificadoras, autoridades de registro e demais prestadores de serviço habilitados na ICP-Brasil.
  Somente a AC Raiz pode realizar certificação cruzada com AC raízes noutros países.
                                                                                                                                                                                                                             Fonte: Aulas provas de TI
  
  Alternativa: Errada

• Só para responder o comentário do Manoel:

  
  

  Uma PKI tem vários componentes, incl uindo usuários, CAs, certificados e diretórios. A função da

  PKI é fornecer um modo de estruturar esses componentes e definir padrões para os vários

  documentos e protocolos. Uma forma particularmente simples de PKI é uma hierarquia de CAs,

  como mostra a Figura 8.26. Nesse exemplo, mostramos três níveis mas, na prática, pode haver um

  número menor ou maior. A CA de nível superior, chamada raiz, certifica CAs do segundo nível, que

  denominamos RAs (Regional Authorities), porque podem cobrir alguma região geográfica, como um

  país ou um continente. Entretanto, esse termo não é padrão; de fato, nenhum termo é realmente

  padrão para os diferentes níveis da árvore. Por sua ve z, as RAs certificam as CAs reais, que emitem

  os certificados X.509 para or ganizações e indivíduos. Quando a raiz autoriza uma nova RA, ela gera

  um ce rtificado X.509 anunciando que aprovou a RA, inclui a chave pública da nova RA no

  certificado, assina o certificado e o entrega à RA. De modo semelhante, quando uma RA aprova

  uma nova CA, ela produz e assina um certificado declarando sua aprovação e contendo a chave

  pública da CA.