Public Key Infrastructure PKI

1. PublicKeyInfrastructure PKI Hugo EijiTibana Carvalho

2. Índice • Noções de Segurança e Problemas relacionados • Infra-Estrutura de Chaves Públicas • Confiança • Certificados • Autoridade Certificadora • Certificação • Validação • Segurança em PKI • Conclusão • P & R

3. CriptografiaSimétrica • Chavesecretacompartilhada • Mesmachave • Criptografar • Decriptografar • Baixocustocomputacional • Operações de Permutação, Embaralhamento e Rodadas • Como distribuir a chave de forma segura?

4. CriptografiaAssimétrica • ChavePública e ChavePrivada • Chaves distintas • Resolve o problema de distribuição de chavesdacriptografiasimétrica • Cadaentidadepossuiseu par de chaves • Divulga a chavepública • Guarda a chaveprivada • Alto custocomputacional • Trabalha com exponenciações • Como equilibrarsegurança e custocomputacional?

5. Assimétrica + Simétrica

6. Problema de Segurança • Como garantirqueumaentidade é realmentequemeladiz ser?

7. Como DivulgarsuaChavePública? • Email? • Envio de mensagensforjadas • HTTP? • Sítiosvulneráveis a ataques • Modificação do conteúdo • Entregar a chavepessoalmente? • Trabalhoso • Poucoeficiente • Nãoescalável

8. Infra-estrutura de Chaves Públicas • Promover a Segurançaatravés de um sistema de distribuição de Chaves Assimétricas • Entidades de controle • Distribuir • Verificar • Revogar • Policiar • Aplicações • Segurança de empresas • E-commerce • Internet Banking

9. Confiança • Premissanecessáriapara o funcionamento de uma PKI • Confiarnasentidadesresponsáveispelaintegridade e autenticidade de nossaschaves • Confiarnasentidades queassinamchaves de serviçosutilizados

10. Certificados • Identificarentidades • Identidade do Dono • Site, endereço, Nome, ID. • Chavepública • Validade • Data de expiração • AutoridadeResponsável • Escopo • Para que o certificadopode ser utilizado • Assinatura Digital • Integridade e Autenticidade

12. AutoridadeCertificadora • Entidade Principal de uma PKI • Certificados • Gerar • Armazenar • Verificar • Revogar • Entidades • Verificaridoneidade • Cadastrar

13. Obtenção de um Certificado

14. Verificação de um Certificado

15. Problemas de Segurança “-Security is a chain; It's only as strong as the weakest link.” • Etapas baseadas em métodos não criptográficos • Pessoas responsáveis? • Como proteger a chave privada? • Furtos, invasões, restrições de acesso

16. Conclusão • PKI • Soluçãoeficienteparaproblemas de autenticação • Criptografia de Chaves Públicas • Confiança • Tecnologias e o futuro • Smart Cards • Tokens • Internet sem-fio

17. Perguntas e Respostas • P: • A criptografia Assimétrica resolve alguns problemas enfrentados pela criptografia simétrica, como a unicidade na identificação de cada entidade, e o uso de um par de chaves para cada entidade, ao invés do uso de uma chave compartilhada. Porém, ainda temos um grande problema de segurança. Qual é este problema? • R: • O grande problema encontrado no uso pura e simplesmente da criptografia assimétrica é: Como garantir que a pessoa realmente é quem ela diz ser?

18. Perguntas e Respostas • P: • Explique uma forma de se distribuir uma chave simétrica de forma segura na rede. • R: • Podemos combinar a criptografia Assimétrica e a Simétrica para resolver este problema. Para isso, basta utilizar a criptografia assimétrica para trocar uma mensagem segura com a entidade a qual desejamos nos comunicar. O conteúdo desta mensagem será a própria chave simétrica que desejamos entregar para a entidade comunicada. Desta forma, após esta troca inicial de mensagens, as duas entidades podem trocar mensagens seguras com criptografia simétrica, contornando o problema de distribuição segura de chaves simétricas.

19. Perguntas e Respostas • P: • Qual é a importância de uma Autoridade Certificadora em uma infra-estrutura de Chaves públicas? • R: • A autoridade certificadora é a entidade mais importante de uma PKI. Ela é responsável por gerar e assinar os certificados dos usuários e serviços da PKI. Ela tem o poder de validar e revogar certificados e autenticar os serviços.

20. Perguntas e Respostas • P: • Que tipos de informações estão presentes em um certificado digital? • R: • Um certificado contém as informações essenciais para associar uma entidade a qual pertence o certificado a uma chave pública. Dente as informações mais comumente presentes, podemos citar a identificação do dono do certificado, a sua chave pública, as informações referentes a Autoridade Certificadora que assinou o certificado, e a sua validade. Estes certificados podem tanto ser usados para identificar a entidade como para identificar níveis de permissão ou credenciais.

21. Perguntas e Respostas • P: • Explique de que forma um usuário de um serviço certificado pode verificar se o serviço é realmente confiável. • R: • O usuário pode entrar em contato com a autoridade certificadora que delegou aquele certificado para aquele serviço. Dentre as formas possíveis, estão a comunicação direta, ou a comunicação através da Internet, através da consulta de uma CertificationRevocationLists(CRL) disponibilizada pela autoridade responsável.

22. PublicKeyInfrastructure PKI Hugo EijiTibana Carvalho