Questão 28957

• Banca: CESGRANRIO
• Órgão: CAPES
• Ano: 2008
• Provas: CESGRANRIO - 2008 - CAPES - Analista de Sistemas; CESGRANRIO - 2008 - CAPES - Analista em Ciência e Tecnologia - Análise de Sistemas
• Disciplina: Segurança da Informação
• Assuntos: Certificação Digital em Segurança da Informação

Cláudio assinou um determinado email E utilizando certificação digital e o enviou à Mariana. A esse respeito, observe as afirmativas abaixo.

I - E poderia ser alterado sem que Mariana percebesse a modificação.
II - Se o tráfego de rede no envio de E fosse farejado (sniffer), a confidencialidade da mensagem estaria comprometida.
III - Mariana saberá que E foi enviada, de fato, por Cláudio.

Está(ão) correta(s) a(s) afirmativa(s)

• A. I, apenas.
• B. II, apenas.
• C. III, apenas.
• D. II e III, apenas.
• E. I, II e III.

Gabarito: D

Comentários

• A assinatura com certificação digital não garante que o conteúdo não será visto ou alterado.
  
  A assinatura com certificação digital garante apenas que o destinatário saiba se o documento foi alterado por outro pessoa e/ou foi enviado pela pessoa esperada.
• Certificação Digital = Integridade, Autenticidade, Não-repúdio
  I - errada: A certificação digital garante a integridade e por isso não poderia ser alterado indevidamente sem que fosse percebido. Pois Mariana verificaria com a chave pública de Claúdio e perceberia que o hash produzido não seria igual ao da mensagem violada.
  II - certa: A certifica digital não provê confidencialidade. Pois a mesma não criptografa todo o documento, apenas gera um hash da mensagem.
  III - certa: a alternativa fala justamente da autenticidade da mensagem que é provida pela certificação digital com assinaturas.
• Sniffing, em rede de computadores, é o procedimento realizado por uma ferramenta conhecida como Sniffer (também conhecido como Packet Sniffer, Analisador de Rede, Analisador de Protocolo, Ethernet Sniffer em redes do padrão Ethernet ou ainda Wireless Sniffer em redes wireless). Esta ferramenta, constituída de um software ou hardware, é capaz de interceptar e registrar o tráfego de dados em uma rede de computadores. Conforme o fluxo de dados trafega na rede, o sniffer captura cada pacote e eventualmente decodifica e analisa o seu conteúdo de acordo com o protocolo definido em um RFC ou uma outra especificação.
  
  O sniffing pode ser utilizado com propósitos maliciosos por invasores que tentam capturar o tráfego da rede com diversos objetivos, dentre os quais podem ser citados, obter cópias de arquivos importantes durante sua transmissão, e obter senhas que permitam estender o seu raio de penetração em um ambiente invadido ou ver as conversações em tempo real.
  
• A certificação digital apenas garante a autenticidade, integridade e não repúdio, não estando atrelada obrigatoriamente ao uso da criptografia no conteúdo do pacote trafegado o que iria conferir a confidencialidade. As assinaturas digitais são, na verdade, o resultado de uma complexa operação matemática que trabalha com um conceito conhecido por criptografia assimétrica. A operação matemática utiliza como variáveis o documento a ser assinado e um segredo particular, que só o signatário eletrônico possui: a chamada chave privada. Como somente o titular deve ter acesso à sua chave privada, somente ele poderia ter calculado aquele resultado, que, por isso, se supõe ser único e exclusivo, como uma assinatura.Para conferir a assinatura digital, não é necessário ter conhecimento da chave privada do signatário, preservando, assim, o segredo necessário para assinar. Basta que se tenha acesso à chave pública que corresponde àquela chave privada.A conferência da assinatura também é feita por operações matemáticas que, a partir do documento, da chave pública e da assinatura, podem atestar que tal assinatura foi produzida com a chave privada correspondente, sem a necessidade de se ter acesso a essa chave privada.Algum elemento outro deve servir para convencer o destinatário da mensagem que a chave pública em questão realmente pertence ao sujeito nela indicado. Uma das formas de se fazer isso é por meio dos certificados eletrônicos.Os certificados eletrônicos consistem assim em uma declaração, de um ente certificante, acerca da titularidade das chaves de uma outra pessoa, que está sendo certificada. Esse ente é também conhecido como "terceiro de confiança" porque sua declaração deve ser tendente a gerar, para o destinatário da informação que nele confie, a certeza quanto à sua autoria. E, se o documento houver sido adulterado, posteriormente ao lançamento da assinatura digital, o resultado da operação matemática irá acusar esta desconformidade, invalidando a assinatura.