Questão de Redes de Computadores — VOIP, H.323, SIP, RTP, SCTP, etc. — CESPE / CEBRASPE 2025

VoIP e criptografia: o que a segurança realmente exige

Gabarito: ✅ ERRADO. Sistemas de telefonia VoIP não necessitam, de forma obrigatória, de criptografia de chaves assimétricas para garantir integridade, privacidade e autenticidade — esses objetivos podem ser alcançados com criptografia simétrica, funções hash e outros mecanismos. A afirmativa erra ao tornar a criptografia assimétrica um requisito indispensável, quando na prática ela é apenas uma das ferramentas possíveis, e nem sempre a mais adequada para o tráfego de mídia em tempo real.

A criptografia assimétrica, também chamada de criptografia de chave pública, utiliza um par de chaves matematicamente relacionadas: uma pública, que pode ser amplamente divulgada, e uma privada, que deve ser mantida em segredo. O que se cifra com uma chave só pode ser decifrado com a outra. Esse modelo resolve elegantemente o problema da distribuição de chaves — não é preciso combinar um segredo comum previamente — e é a base de protocolos como o TLS/SSL, usado para proteger o estabelecimento de sessões seguras.

No entanto, a criptografia assimétrica é computacionalmente cara e lenta, especialmente quando comparada à criptografia simétrica. Em aplicações de tempo real, como VoIP e videoconferência, onde a latência e o throughput são críticos, o uso de criptografia assimétrica para cifrar todo o fluxo de mídia seria impraticável. Por isso, a prática comum é usar criptografia assimétrica apenas na fase de negociação e troca de chaves (por exemplo, no handshake do TLS), e então estabelecer uma chave de sessão simétrica (como AES) para cifrar os dados de voz e vídeo. Essa combinação é conhecida como criptografia híbrida.

A afirmativa também confunde os papéis das diferentes técnicas de segurança. A integridade é tipicamente garantida por funções hash (como SHA-256) ou por códigos de autenticação de mensagem (MAC), que podem ser baseados em chaves simétricas. A autenticidade pode ser provida por assinaturas digitais (que usam criptografia assimétrica) ou por chaves simétricas compartilhadas. A privacidade (confidencialidade) é alcançada pela cifragem, que pode ser simétrica ou assimétrica. Portanto, não há uma necessidade intrínseca de criptografia assimétrica para atingir esses três objetivos — eles podem ser alcançados com uma combinação de técnicas, muitas vezes mais eficientes.

Na prática, protocolos de VoIP como o SIP e o H.323 suportam criptografia, mas não a exigem como obrigatória. O SIP, por exemplo, pode ser protegido por TLS (que usa criptografia assimétrica para o handshake e simétrica para a sessão), mas também pode operar sem criptografia, dependendo da configuração. O transporte de mídia RTP pode ser protegido pelo SRTP (Secure RTP), que usa chaves simétricas. A afirmativa, ao afirmar que os sistemas "necessitam" de criptografia assimétrica, é uma generalização indevida.

A pegadinha da banca está em transformar uma técnica específica (criptografia assimétrica) em um requisito universal. O candidato que sabe que VoIP precisa de segurança pode ser levado a concordar, mas a questão exige distinguir entre "usar criptografia" (que é recomendável) e "necessitar de criptografia assimétrica" (que é falso).

Item — ❌ ERRADO

A afirmativa está incorreta porque impõe a criptografia assimétrica como necessidade obrigatória. Na prática, a segurança em VoIP é implementada com uma combinação de técnicas: criptografia simétrica para o fluxo de mídia (ex.: SRTP com AES), criptografia assimétrica para o estabelecimento de chaves (ex.: TLS no SIP), e funções hash para integridade. A afirmativa também erra ao sugerir que uma única técnica (assimétrica) é suficiente para garantir os três objetivos (integridade, privacidade e autenticidade), quando na verdade cada objetivo é tipicamente alcançado por um mecanismo diferente.

Gabarito: ✅ ERRADO.