INE 5630 - Segurança em Computação Distribuída
 


Criptografia e Segurança da Informação - 48 Horas-Aula

 
      Objetivos:

Conhecer fatos e problemas sobre segurança computacional. Compreender os principais conceitos, princípios, mecanismos, métodos, procedimentos visando segurança. Aplicar algoritmos e protocolos criptográficos. Empregar ferramentas que servem de suporte para a segurança computacional da informação e segurança de aplicações em ambientes distribuídos.


Conteúdo
Material Didático
1.   Introdução à Segurança Computacional   (12/08/2011)
     
- Segurança da Informação
     
- Segurança de Rede
     
- Segurança de Sistemas
     
- Segurança de Aplicações na Web

Tarefa 1a : Questionário  INTRODUTÓRIO (2%)
Tarefa 1b :
Questionário  O AMBIENTE COOPERATIVO  (3%)
 



Conceitos Básicos
 


 

2.  Introdução à Criptografia  (19/08/2011)
        (Material de apoio para o questionário 2a)
           CRIPTOANÁLISE E TIPOS DE ATAQUES

Tarefa 2a : Questionário  TÉCNICAS CLÁSSICAS DE CRIPTOGRAFIA E CRIPTOGRAFIA SIMÉTRICA                                  (2%)

Tarefa 2b  :  Prática  EXECUTANDO ALGORITMO DE CRIPTOGRAFIA SIMÉTRICA  (3%)
Escolher um algoritmo de criptografia simétrica. Você pode se utilizar dos links mencionados na Tarefa 2a ou encontrar outro link de sua preferência. Entregar um relatório, dizendo: 
(a) qual algoritmo você executou;
(b) o tamanho do bloco utilizado na cifra de bloco;
(c) o tamanho da chave em bits que você utilizou;
(d) mostrar o texto legível executado,
(e) mostrar o texto cifrado obtido;
(f) dizer qual modo operação de cifra (EBC, CBC ou outro) foi utilizado juntamente com o algoritmo de criptografia.
 

Introdução à Criptografia
Cap.2 Stallings

Criptografia de Chave Simétrica

Modos de Cifra

Gerando Chaves Simétricas


Material do Cap.8-Segurança de Rede
Livro sobre Redes de Computadores,
Andrew Tanenbaum
3. Um Estudo de Caso:  Autenticação de Usuário em Caixa Eletrônico
                                                             (26/08/2011)

Tarefa 3 :
 PROTOCOLO DE AUTENTICAÇÃO  Utilizar, como exemplo, um algoritmo de criptografia simétrica. A partir dos arquivos abaixo, estudar os dois protocolos sobre Segurança de Caixas Eletrônicos, descritos nestes arquivos. Fazer primeiramente a leitura dos arquivos PDF abaixo:                  
    

    CripSimCE0001       CripSim0002       CripSim0003

Após o entendimento dos protocolos descritos, descrever um protocolo definido por você, nos moldes das figuras do livro, explicando o funcionamento em passos (como está no texto), mas imaginando como deve ser o protocolo utilizado entre um terminal do seu banco e o centro de processamento do mesmo.

Obs:  Os arquivos acima são continuação um do outro, ou seja CripSim0002 segue CripSim0001 e CripSim0003 segue CripSim0002.

Como você identifica nos exemplos do texto e garante no seu protocolo, o Princípio da Atualidade para resolver ataques de repetição ?     
                                                                                                                                                  (5%)





Kit  Graciliano para executar
AES, RSA e uma API simples P2P

(Eclipse Java) - Contribuição de
Graciliano M. P.

gracilianomp@gmail.com

4. Gerenciamento de Chaves Simétricas   (02/09/2011)
Tarefa 4 : Questionário  CRIPTOGRAFIA BASEADA EM SENHA (5%)


Gerenciamento de Chaves Simétricas
              (Criptografia Baseada em Senha)
 

5. Segurança de Email  (09/09/2011)
Tarefa 6 :  prática  COMO USAR O GNUPG PARA SEGURANÇA DE CORREIO
Instalar o GnuPG para segurança em correio eletrônico no cliente de email
.

(a) Instalar em sua máquina, o Mozilla Thunderbird (ou outro cliente de email).
(b) Instalar o GnuPG para obter o Thunderbird Email
     com OpenPGP e S/MIME, usando o complemento Enigmail (caso Windows). 
(c) Instalar certificado para serviço de correio.
(d) Emitir um email com OpenPGP, de teste com sua
      assinatura, para o professor (bosco@inf.ufsc.br).
(e) Obter um certificado como abaixo, instalar o certificado de correio no seu cliente de email e testar o S/MIME instalado pelo GnuPG.
(f) Realizar a experiência, considerando um cliente de web mail. Enviar email assinado/criptografado
 para o professor.                            

                Plataforma Mozilla     Enigmail    Enigmail PT-BR 

Obtendo um Certificado Pessoal gratuito para email: AC-Correio, ICPEDU-RNP em
https://150.162.66.21/  Observação Importante:  O acesso está liberado apenas para IPs da UFSC (150.162.x.y)

(10%)


      Instalando o GnuPG 
            
    
GnuPG v1.4.7   (Win)
       
GnuPG v1.4.7   (Linux)

Como usar o GnuPG
GRIS-2004-T-001.pdf

Explicando como usar o GnuPG

Assinando Chaves Públicas
              
Servidores GnuPGP

PGP Cipher Feedback Mode for Linux

S/MIME (Secure/Multipurpose Internet Mail Extensions) - Wikipedia

S/MIME Protocol
S/MIME e OpenPGP

6. Criptografia de Chave Pública  (16/09/2011)

Cap 9 (Stallings) Criptografia de Chave Pública

Cap 10 (Stallings)  Gerenciamento de Chaves

Tarefa 5 :  Questionário   (5%)
Aritmética Modular

Acordo de Chave Diffie-Hellman

Criptografia de Chave Pública
Algoritmo RSA (texto)
Algoritmo Elliptic Curves

Prova 1   (23/09/2011)

 
7. Funções Criptográficas de Hash, Acordo Diffie-Hellman,  Código de Autenticação de Mensagem baseado em Hash, Assinatura Digital

                                    (30/09/2011)

Tarefa 7 : Questionários  Funções Criptográficas de Hash & Código de Autenticação de Mensagens Baseado em Hash & Assinatura Digital
(5%)


Assinatura Digital 1
Assinatura Digital 2
  
Assinador para Linux - ITI

ECDSA (Elliptic Curve Digital Signature Algorithm (texto)

Exemplo 1 de Assinatura
Exemplo 2 de Assinatura

8. Segurança de Servidor Web (Apache + OpenSSL)      (07/10/2011)

Tarefa 8 : prática  Segurança de Servidor na Web com Certificado de Servidor   e certificado do Cliente  (15%)

Configurar segurança usando um servidor Web APACHE, com suporte para SSL. Trabalhar com o OpenSSL. Obter um certificado auto-assinado de servidor, instalá-lo, testar o funcionamento e escrever relatório.  Usar certificados OpenSSL auto-assinados.

      
1. Autenticação e controle de acesso com certificação digital
       
2. Autenticação_Web_com_certificados_digitais
       3. Cap 17 Segurança de Web (Stallings)

 

Download Servidor Apache
HTTP Server Project

Download OpenSSL 1.0.0
               (Linux)

Download OpenSSL 1.0.0
            (Windows)

OpenTLS é um projeto para substituir OpenSSL:     
OpenTLS Project


9. Redes Privadas Virtuais (VPN)   (14/10/2011)

Tarefa 9 : prática  Construindo uma VPN segura com OpenVPN - Construir uma VPN segura, utilizando duas máquinas com IPs fixos, numa mesma rede ou redes distintas, criando uma autoridade certificadora e usando certificados digitais. Sugestão: Cliente Windows e Servidor Linux. Usar criptografia simétrica e construir um exemplo usando criptografia de chave pública.  (10%)

OpenVPN Wikipedia

Download Linux OpenVPN 2.1

Download Windows OpenVPN 2.1

Dicas para Construir uma VPN


Introduzindo VPN  
       
Estruturando VPN
s

Construindo VPN com OpenVPN para Gateways Linux

VPN com OpenVPN com servidor Linux e cliente Windows XP

VPN com IPSec


9
. Certificação Digital    (21/10/2011)
   
Instituto Nacional de Tecnologia da Informação - ITI - Governo Federal
   
Certificados ICP-Brasil               
   
Entendendo Certificação
   
Palestra Programada  (5%)
   
SERPRO - Portal de Certificação Digital - Governo Federal
       Política de Certificação SERPRO:  Para adquirir um e-CPF ou e-CNPJ
            AC-SERPRO-ACF

                 Declaração Prática de Certificação Digital Serpro
                 
Política de Certificado Tipo A3
                 
Política de Segurança da AC Serpro-ACF

                 AC-SERPRO-SRF
                 
Declaração Prática da AC Serpro-SRF
                 
Política de Certificação Serpro-SRF para certificado A3
                 
Política de Segurança Serpro-SRF v2

   
Portal Nacional da NF Eletrônica  - MF-Governo Federal
   
   
OAB e Certificação Digital para Advogados
    Exemplo de uma empresa AC (Autoridade Certificadora) -
Certisign
    Exemplo de empresa AC (Autoridade Certificadora)
Bry Certificação Digital 
   
Exemplo de uma empresa AR (Autoridade Registradora): MaxxData
 
Infra-Estrutura de Chaves Públicas (PKI)

Infra Estrutura de Chaves Públicas (ABC)

Assinatura Eletrônica Baseada em Certificado (ITI)

Estrutura do ICP-Brasil

Chaveiro Digital para Linux - ITI


Prova 2 (28/10/2011)
 

 
Links e Ferramentas
Políticas de Segurança do Governo Federal - Instituto Nacional de Tecnologia da Informação - ITI / ICP
Internet Network Information Center (INTERNIC) :  http://www.internic.org
The 100 Network Security Tools   http://sectools.org/ 
Security Lists - http://seclists.org/ 
Security Focus - Several Categories: http://www.securityfocus.com/tools/category/4
Security Focus - Category: AUDITING - http://www.securityfocus.com/tools/category/1

TrTrabalhos de Pesquisa e Grupos de Alunosabalhos

Descrever sobre a Política de Segurança de sua Empresa
Padrões de Certificados e Autoridades Certificadoras
The SPKI (Simple PKI) - ver RFC 2693
Construindo aplicações Web habilitadas à segurança usando PKI
Certificados SSL / TLS
Phishing (O processo de tentar enganar um usuário a revelar dados importantes como senhas
de online banking e números de cartão de crédito.)
Linux Backtrack e suas Ferramentas para Ataque ou Segurança
Segurança em Redes sem Fio IEEE 802.11 e Ferramentas de Ataque
Perícia Computacional Forense
Protocolos na camada da aplicação para e-mail seguro: padrões OpenPGP, S/MIME :
Outros protocolos de segurança na camada de aplicação:  HTTPS, SET (Security Electronic Transactios)
e os Protocolos de Moeda Eletrônica (IKP, SEPP, STT)
Proteção de Código de Programas em Java
Criptografia Quântica 
Sistema de Segurança da Informação: Controlando os Riscos, Análise de Risco,
Auditoria de Sistema e  Política de Segurança. Livro André Campos, Visual Books, Segunda Edição.
Gestão da Segurança da Informação: Aspectos de Gestão de Risco, Integrar a Visão Técnica
com a Visão de Negócio, Mapeie a relacão dos Ativos e os Processos da Empresa, Identifique as
ameaças e os pontos vulneráveis, Priorize ações de proteção eficientes, Defina um Palno Diretor,
Proteja o Retorno sobre os Investimentos, Organize um Security Office, Subsidie a criação do
framework SGSI, Busque a conformidade com a norma ISO 17799.
Livro de Marcos Sêmula, Editora Campus & Módulo Security. Nível Intermediário, aplicado
para MBA, 12 Edição.
XML e Padrões de Segurança : XML Signature, XML Encryption,
XKMS (XML Key Management Specification), SALM (Security Assertion Markup Language),
XACML (Extensible Access Control Markup Language).
Visão da Tecnologia de Segurança Java 6
http://java.sun.com/javase/6/docs/technotes/guides/security/
Secure Electronic Form (produção e edição de formulários eletrônicos seguros)
Segurança de Documentos Eletrônicos
As Leis de Segurança :     Aspectos Jurídicos para Segurança