Questão 2543152

• Banca: FGV
• Órgão: SEPOG - RO
• Ano: 2017
• Provas: FGV - 2017 - SEPOG - RO - Analista em Tecnologia da Informação e Comunicação
• Disciplina: Segurança da Informação
• Assuntos: Certificação Digital em Segurança da Informação

O protocolo HTTPS faz uso de uma camada de encriptação SSL/TLS que permite a transferência de senhas, informações do cartão de crédito, entre outras, de uma forma segura pela Internet. Este protocolo é composto por diversas fases, que incluem o acerto de diversos detalhes da comunicação entre o cliente e o servidor, antes do envio da mensagem propriamente dita.

Com relação ao protocolo HTTPS, analise as afirmativas a seguir.

I. Na fase inicial do protocolo, o servidor utiliza certificados digitais, normalmente assinados por uma Autoridade Certificadora (AC), para provar a sua identidade ao cliente.

II. Na fase inicial do protocolo, o cliente gera uma chave pública aleatoriamente e utiliza a chave privada do servidor para enviá-la de forma segura para o servidor.

III. Depois da fase inicial, os dados das mensagens trocadas entre o cliente e o servidor são encriptadas utilizando um algoritmo simétrico acertado na fase inicial do protocolo.

Está correto o que se afirma em 

• A. I, apenas.
• B. II, apenas.
• C. III, apenas.
• D. I e III, apenas.
• E. I, II e III.

Gabarito: D

Comentários

• Letra D.

  - O cliente envia ao servidor a versão que possui do TSL/SSL...

  - O servidor envia ao cliente a sua versão do TSL/SSL, as configurações de criptografia, os dados específicos da sessão, e outras informações que o cliente também precisa...

  - O cliente utiliza as informações enviadas pelo servidor para autenticar o servidor...

  - Usando todos os dados gerados no handshaking até agora, o cliente (com a cooperação do servidor, dependendo da cifra em uso) cria o segredo pré-mestre para a sessão, criptografa com a chave pública do servidor (obtido a partir de certificado do servidor, enviado no passo 2), e, em seguida, envia o criptografado segredo pré-mestre para o servidor.

  - Se o servidor solicitou autenticação do cliente (opcional), o cliente também assina outro pedaço de dados que é exclusivo para este handshaking e conhecido tanto pelo cliente quanto pelo servidor.

  - Se o servidor solicitou autenticação do cliente, o servidor tenta autenticar o cliente. Se o cliente não pode ser autenticado, a sessão termina da mesma forma que no passo 3.

  - Tanto o cliente quanto servidor devem usar o segredo principal para gerar as chaves de sessão, que são chaves simétricas usadas para criptografar e descriptografar as informações trocadas durante a sessão TSL/SSL e para verificar a sua integridade (ou seja, para detectar quaisquer alterações nos dados entre o tempo que foi enviado e o momento em que é recebido através da conexão SSL).

  - O cliente envia uma mensagem para o servidor, informando que as próximas mensagens do cliente serão criptografadas com a chave de sessão...

  - O servidor envia uma mensagem para o cliente também informando que suas próximas mensagens serão criptografadas com a chave de sessão.

  https://www.ecommercebrasil.com.br/artigos/seguranca-como-funciona-o-protocolo-ssltls/

• https://www.gta.ufrj.br/grad/03_1/http/

• Na fase inicial do protocolo, o servidor utiliza certificados digitais, normalmente assinados por uma Autoridade Certificadora (AC), para provar a sua identidade ao cliente.

  Por que o uso do "normalmente"? Um certificado digital pode ser emitido sem ser por uma AC?

   

   

• Romulo,

  qualquer um pode emitir um certificado.

  O "grande lance" do certificado é a reputação da origem do certiifcado e a cadeia de confiança de validação.

  Qual certificado tem maior credibilidade : o criado e validado por "joão" ou por um AC da PKI Brasil ?