Questão de Segurança da Informação — Tópicos Mesclados de Protocolos Seguros — VUNESP 2024

Kerberos: Protocolo de Autenticação

Gabarito: letra E. O Kerberos é um protocolo de autenticação que se baseia fundamentalmente em criptografia de chave simétrica, utilizando bilhetes (tickets) para que clientes e servidores provem suas identidades em redes não confiáveis, sem enviar senhas em texto claro. A alternativa E está correta ao afirmar que ele "conta exclusivamente com a encriptação simétrica, não utilizando encriptação de chave pública" — embora seja tecnicamente possível usar criptografia assimétrica em fases opcionais, o núcleo do protocolo é simétrico.

O Kerberos é um dos protocolos de autenticação mais importantes em redes corporativas, sendo a base do Active Directory da Microsoft e permitindo o Single Sign-On (SSO). Ele foi desenvolvido no MIT em 1988 e recebeu o nome do cão de três cabeças da mitologia grega, Cérbero, que guardava os portões do Submundo — uma referência ao papel de "guardião" das identidades na rede.

O funcionamento do Kerberos envolve uma terceira parte confiável, o KDC (Key Distribution Center), que emite bilhetes criptografados. O processo é o seguinte: o cliente se autentica no Servidor de Autenticação (AS), que faz parte do KDC, e recebe um Ticket Granting Ticket (TGT). Com esse TGT, o cliente solicita ao Ticket Granting Service (TGS) um bilhete para acessar um serviço específico. O servidor de destino, ao receber o bilhete, pode verificar a identidade do cliente, e o cliente também pode verificar a identidade do servidor — isso é a autenticação mútua, uma característica central do Kerberos.

A principal vantagem do Kerberos é que ele evita o envio de senhas em texto claro pela rede. Em vez disso, as senhas são usadas apenas para derivar chaves simétricas que criptografam os bilhetes. Isso protege contra ataques de escuta (eavesdropping) e ataques de repetição (replay), pois os bilhetes têm validade temporal e são criptografados.

É importante distinguir o Kerberos de outros protocolos e tecnologias de segurança:

• TLS/SSL: usado para proteger comunicações na web (HTTPS), opera na camada de transporte e usa criptografia assimétrica para negociar chaves simétricas de sessão. Não é um protocolo de autenticação de rede como o Kerberos.

• IPsec: opera na camada de rede (camada 3 do modelo OSI) e fornece túneis criptografados para VPNs. Não é um protocolo de autenticação de aplicação.

• NTLM: protocolo de autenticação legado da Microsoft, baseado em desafio-resposta, menos seguro que o Kerberos e que não provê autenticação do servidor.

A pegadinha desta questão está em confundir o Kerberos com outras tecnologias de segurança que usam criptografia assimétrica ou operam em outras camadas do modelo OSI. O candidato que não conhece bem o Kerberos pode ser induzido a escolher uma alternativa que descreve o TLS ou o IPsec.

Guarde a fronteira entre o Kerberos (autenticação com criptografia simétrica, camada de aplicação) e o TLS (segurança de transporte com criptografia híbrida) e o IPsec (túnel criptografado na camada de rede): é exatamente nela que as alternativas se dividem.

Alternativa A — ❌ Incorreta

Afirma que o Kerberos "conta exclusivamente com a encriptação de chave pública, não utilizando encriptação simétrica". Isso é o oposto da verdade: o Kerberos é baseado em criptografia simétrica. A criptografia de chave pública (assimétrica) pode ser usada opcionalmente em algumas fases, mas não é a base do protocolo. A alternativa inverte completamente o mecanismo central do Kerberos.

Alternativa B — ❌ Incorreta

Afirma que o Kerberos "é usado como camada de segurança para o protocolo de transporte TCP, transformando o HTTP no HTTPS". Isso descreve o TLS/SSL, não o Kerberos. O TLS é o protocolo que, ao ser adicionado ao HTTP, cria o HTTPS. O Kerberos é um protocolo de autenticação que opera em um nível mais alto, na camada de aplicação, e não tem relação com a transformação do HTTP em HTTPS.

Alternativa C — ❌ Incorreta

Afirma que o Kerberos "é capaz de autenticar usuários aos servidores, mas não servidores aos usuários". Isso é falso: o Kerberos fornece autenticação mútua, ou seja, tanto o usuário quanto o servidor verificam a identidade um do outro. Essa é uma das características mais importantes do protocolo, que o diferencia de outros métodos de autenticação mais simples.

Alternativa D — ❌ Incorreta

Afirma que o Kerberos "atua na camada 3 do modelo OSI, provendo um túnel criptografado para VPNs". Isso descreve o IPsec, que opera na camada de rede (camada 3) e é usado para criar túneis VPN. O Kerberos opera na camada de aplicação (camada 7) e não tem relação com túneis criptografados para VPNs.

Alternativa E — ✅ Correta ⟵ GABARITO

Afirma que o Kerberos "conta exclusivamente com a encriptação simétrica, não utilizando encriptação de chave pública". Esta é a descrição correta do protocolo. O Kerberos usa criptografia simétrica como base para proteger os bilhetes e as comunicações entre cliente, KDC e servidor. Embora seja possível usar criptografia assimétrica em fases opcionais, o núcleo do protocolo é simétrico, e a alternativa está correta ao afirmar que ele não utiliza criptografia de chave pública como mecanismo principal.

Gabarito: letra E