Questão de Segurança da Informação — Algoritmos de Criptografia — FCC 2024

Criptografia e garantias de segurança: confidencialidade, integridade e autenticidade

Gabarito: letra C. A combinação correta para um sistema de comunicação segura entre servidores é a criptografia assimétrica (RSA) para garantir a confidencialidade e as assinaturas digitais para garantir a autenticidade. A confidencialidade é obtida cifrando a mensagem com a chave pública do destinatário, de modo que apenas a chave privada correspondente possa decifrá-la; a autenticidade é garantida pela assinatura digital, que combina uma função hash com a criptografia assimétrica usando a chave privada do remetente. As demais alternativas erram ao associar algoritmos a finalidades incorretas ou ao usar mecanismos inadequados para os objetivos propostos.

A criptografia é a prática de proteger informações transformando-as em um formato ilegível para quem não possui a chave adequada. Ela é um dos pilares da segurança da informação, que se apoia em princípios como confidencialidade, integridade, disponibilidade, autenticidade e não repúdio. Cada um desses princípios é atendido por mecanismos específicos, e a banca explora exatamente a confusão entre eles.

A confidencialidade visa garantir que apenas pessoas autorizadas acessem a informação. Para isso, utiliza-se a criptografia, que pode ser simétrica ou assimétrica. Na criptografia simétrica, uma única chave é usada tanto para cifrar quanto para decifrar, sendo rápida e eficiente, mas exigindo um canal seguro para a troca da chave. Na criptografia assimétrica, há um par de chaves: uma pública, que pode ser divulgada, e uma privada, que deve ser mantida em segredo. Para garantir a confidencialidade, o remetente cifra a mensagem com a chave pública do destinatário, e somente a chave privada deste pode decifrá-la. Algoritmos assimétricos incluem RSA, ECC, DSA e Diffie-Hellman.

A integridade garante que a informação não foi alterada. Para isso, utiliza-se uma função hash, que gera um resumo (digest) de tamanho fixo a partir dos dados. Qualquer alteração, por menor que seja, produz um resumo completamente diferente. Algoritmos de hash incluem MD5, SHA-1 e SHA-256. É importante notar que o hash é uma via de mão única: não é possível "descriptografar" um hash, e ele não garante confidencialidade.

A autenticidade garante a identidade do remetente, e o não repúdio impede que ele negue a autoria. Esses princípios são garantidos pela assinatura digital, que combina uma função hash com a criptografia assimétrica. O remetente calcula o hash da mensagem e o cifra com sua chave privada, gerando a assinatura. O destinatário pode verificar a assinatura decifrando-a com a chave pública do remetente e comparando o hash resultante com o hash da mensagem recebida. Se forem iguais, a mensagem não foi alterada e o remetente é autêntico.

A pegadinha central desta questão é a troca de finalidades: a banca mistura algoritmos e mecanismos, associando, por exemplo, hash a confidencialidade ou certificados digitais a integridade. O candidato precisa dominar o papel exato de cada ferramenta para não cair nessas armadilhas.

Guarde a fronteira entre os mecanismos: criptografia (simétrica ou assimétrica) garante confidencialidade; função hash garante integridade; assinatura digital garante autenticidade e não repúdio; certificados digitais são usados para vincular uma chave pública a uma identidade, servindo de base para a confiança. É exatamente nessa fronteira que as alternativas se dividem.

Alternativa A — ❌ Incorreta

A alternativa afirma que a criptografia assimétrica (ECC) garante confidencialidade e o hash criptográfico (MD5) garante integridade. O erro está no uso do MD5, que é um algoritmo de hash considerado inseguro para aplicações críticas devido a vulnerabilidades de colisão. Embora o hash garanta integridade, o MD5 não é recomendado para sistemas de comunicação segura. Além disso, a combinação de ECC para confidencialidade é válida, mas o uso de MD5 compromete a segurança.

Alternativa B — ❌ Incorreta

A alternativa afirma que a criptografia simétrica (ECC) garante confidencialidade e o hash criptográfico (SHA-256) garante integridade. O erro está na classificação do ECC como simétrico. O ECC (Elliptic Curve Cryptography) é um algoritmo de criptografia assimétrica, que utiliza um par de chaves pública e privada. A criptografia simétrica usa uma única chave, como AES, DES e 3DES. Portanto, a classificação está incorreta.

Alternativa C — ✅ Correta ⟵ GABARITO

A alternativa afirma que a criptografia assimétrica (RSA) garante confidencialidade e as assinaturas digitais garantem autenticidade. Isso está correto. O RSA é um algoritmo de criptografia assimétrica que, ao cifrar a mensagem com a chave pública do destinatário, garante que apenas a chave privada correspondente possa decifrá-la, assegurando a confidencialidade. A assinatura digital, por sua vez, combina uma função hash com a criptografia assimétrica, usando a chave privada do remetente para cifrar o resumo da mensagem, garantindo a autenticidade e o não repúdio.

Alternativa D — ❌ Incorreta

A alternativa afirma que certificados digitais garantem confidencialidade e o hash criptográfico (SHA-1) garante integridade. O erro está na função dos certificados digitais: eles não garantem confidencialidade, mas sim vinculam uma chave pública a uma identidade, servindo como base para a confiança em uma infraestrutura de chaves públicas (ICP). Além disso, o SHA-1 é considerado comprometido para aplicações críticas devido a vulnerabilidades de colisão, sendo substituído por algoritmos mais fortes como SHA-256.

Alternativa E — ❌ Incorreta

A alternativa afirma que a criptografia simétrica (3DES) garante confidencialidade e os certificados digitais garantem integridade. O erro está na função dos certificados digitais: eles não garantem integridade, mas sim vinculam uma chave pública a uma identidade. A integridade é garantida por funções hash, como SHA-256. Além disso, o 3DES é um algoritmo simétrico que pode garantir confidencialidade, mas a associação com certificados digitais para integridade está incorreta.

Gabarito: letra C