Questão de Segurança da Informação — Conceitos, Princípios e Atributos da Segurança da Informação — VUNESP 2023

Não repúdio e assinatura digital

Gabarito: letra E. O não repúdio (ou irretratabilidade) é a garantia de que o emissor de uma mensagem não poderá negar posteriormente a autoria daquela transmissão — exatamente o que a alternativa E descreve ao afirmar que o receptor deve ser capaz de provar que a mensagem proveio de determinado emissor. Esse atributo é uma das propriedades básicas da segurança da informação, ao lado de confidencialidade, integridade, disponibilidade e autenticidade.

A assinatura digital é uma técnica criptográfica que utiliza um par de chaves assimétricas (pública e privada) para garantir, em conjunto, a autenticidade, a integridade e o não repúdio da informação. O emissor cifra o hash da mensagem com sua chave privada — algo que só ele possui — e o receptor verifica a assinatura com a chave pública correspondente. Como a chave privada é pessoal e intransferível, o emissor não consegue negar ter assinado o documento: é essa impossibilidade de negação que caracteriza o não repúdio.

É importante distinguir o não repúdio da autenticidade. A autenticidade garante que a mensagem é genuína e provém da fonte alegada; o não repúdio vai além, impedindo que o autor negue a autoria. Em outras palavras, a autenticidade prova a origem, enquanto o não repúdio torna essa prova incontestável juridicamente. A assinatura digital entrega ambos, pois o uso da chave privada vincula a mensagem ao seu dono de forma irrefutável.

Na prática, imagine que um cliente faça uma compra online e assine digitalmente o pedido. Se depois ele alegar que não realizou a compra, a loja pode apresentar a assinatura digital como prova: como apenas o cliente possui a chave privada que gerou aquela assinatura, ele não pode repudiar a transação. Esse é o cenário clássico de não repúdio, que também se aplica a contratos eletrônicos, transações bancárias e documentos fiscais.

A pegadinha desta questão está em confundir o não repúdio com outros atributos da segurança da informação — confidencialidade, autenticidade e integridade. Cada alternativa distratora explora uma dessas confusões, e o candidato que não domina a distinção entre os conceitos acaba escolhendo uma definição vizinha, mas incorreta. Guarde a fronteira: confidencialidade é sobre quem pode ler, autenticidade é sobre quem enviou, integridade é sobre o conteúdo não ter sido alterado, e não repúdio é sobre não poder negar a autoria.

Alternativa A — ❌ Incorreta

Esta alternativa descreve a confidencialidade, não o não repúdio. A confidencialidade garante que apenas o transmissor e o receptor autorizados possam ler o conteúdo da mensagem, geralmente por meio de criptografia. O não repúdio não trata de sigilo, mas de autoria — quem enviou a mensagem não pode negar tê-la enviado.

Alternativa B — ❌ Incorreta

Esta alternativa descreve a autenticidade, que é a verificação da identidade alegada pelo transmissor. Embora a assinatura digital também forneça autenticidade, o não repúdio é um conceito distinto: enquanto a autenticidade confirma a origem, o não repúdio impede que o emissor negue essa origem posteriormente. A alternativa fala apenas em "verificar a identidade", sem mencionar a impossibilidade de negação.

Alternativa C — ❌ Incorreta

Esta alternativa descreve a integridade, que garante que a mensagem não foi alterada durante a transmissão. O não repúdio não trata de alterações no conteúdo, mas da autoria da mensagem. A confiança de que a mensagem chegará sem alterações é uma propriedade da integridade, verificada por meio de funções hash.

Alternativa D — ❌ Incorreta

Esta alternativa descreve a criptografia simétrica, na qual transmissor e receptor compartilham a mesma chave para cifrar e decifrar. A assinatura digital, porém, utiliza criptografia assimétrica, com um par de chaves (pública e privada). Além disso, a chave simétrica não fornece não repúdio, pois ambas as partes possuem a mesma chave e não é possível distinguir quem gerou a mensagem.

Alternativa E — ✅ Correta ⟵ GABARITO

Esta alternativa define corretamente o não repúdio: o receptor deve ser capaz de provar que a mensagem recebida proveio de determinado emissor. Isso é possível porque a assinatura digital é gerada com a chave privada do emissor, que é pessoal e intransferível. Como apenas o emissor possui essa chave, ele não pode negar ter assinado a mensagem — é exatamente essa impossibilidade de negação que caracteriza o não repúdio.

Gabarito: letra E