Entendendo Criptografia - Securing The Human

OUCH! | Julho 2011
Nesta edição
• O que é Criptografia ?
• Encriptando informação armazenada
• Encriptando informação em trânsito
• Melhores práticas e precauções
Entendendo Criptografia EDITOR CONVIDADO
Fred Kerby é o editor convidado para esta edição de
facilmente perdidos ou roubados e, se não encriptados,
OUCH!
podem ter seu conteúdo lido por qualquer um que tenha
Ele se aposentou recentemente pelo Naval
Surface Warfare Center Dahlgren Division, onde trabalhou
acesso a eles.
Uma das melhores formas de proteger
como Gerente de Segurança da Informação por 16 anos.
dados em qualquer dispositivo móvel é encriptá-los.
Fred é instrutor sênior no SANS Institute.
Geralmente, existem três formas de encriptar dados
armazenados nos seus dispositivos móveis.
O QUE É CRIPTOGRAFIA?
A criptografia é um mecanismo que protege suas
informações valiosas, tais como documentos, fotos ou
transações online, do acesso ou alteração por pessoas
indesejadas. A criptografia funciona utilizando uma “cifra”
(fórmula matemática) e uma chave para converter dados
legíveis
(“texto
simples”)
em
um
formato
não
compreensível por outros (“texto cifrado”). A cifra é a receita geral da criptografia e sua chave torna seu dado
encriptado único – somente as pessoas com a sua chave
única e a mesma cifra podem decifrá-lo.
Chaves são
normalmente uma longa sequência de números protegidos
por um mecanismo comum de autenticação como senhas,
“tokens”, ou biometria como sua impressão digital.
senão
todas.
Encriptar
seu
disco
inteiro,
normalmente chamado, em inglês, Full Disk Encryption
(FDE), é frequentemente considerada a forma mais segura.
FDE encripta todos os dados no seu disco, incluindo
arquivos temporários. E também simplifica o processo pois
você não precisa decidir sobre o que encriptar e o que não.
Se você não pode encriptar seu disco inteiro, encripte
qualquer arquivo ou pasta que contenha informações
confidenciais ou sigilosas.
Dispositivos móveis como Pendrives USB podem vir com
computador.
Smartphones e tablets podem também ter
recursos de criptografia feitos para eles, ou você pode
Informações confidenciais ou sigilosas como médicas,
financeiras ou de negócio podem residir nos seus
smartphone ou tablet.
delas,
encriptá-los instalando um software adicional em seu
ARMAZENADA
móveis
inteiro. Muitos sistemas operacionais suportam alguma
recurso de criptografia feitos para eles ou você pode
ENCRIPTANDO INFORMAÇÃO
dispositivos
Você pode
encriptar arquivos específicos, pastas inteiras ou o disco
como
laptop,
pendrive
USB,
Esses dispositivos podem ser
© The SANS Institute 2011
instalar aplicações (“apps”) para isso - consulte a rede de
aplicações do fabricante do seu telefone, normalmente
chamados “app store” ou “marketplace”, para informações
sobre o que está disponível.
http://www.securingthehuman.org
OUCH! | Julho 2011
Entendendo Criptografia ENCRIPTANDO INFORMAÇÕES EM
A criptografia é uma ferramenta
TRÂNSITO
importante para proteger os dados,
mas só é eficaz se você tiver senhas
A informação também está vulnerável enquanto está em
fortes e mantiver a segurança geral
trânsito. Se o dado não está encriptado, ele pode ser
monitorado e capturado online. É por isso que você deve
do computador. garantir que qualquer comunicação online com dados
confidenciais ou sigilosos como acesso a banco, envio de
email ou talvez até acesso à sua conta no Facebook,
estejam
encriptadas.
A
forma
mais
comum
de
encriptação é o HTTPS, ou conexão aos sites seguros.
Isso significa que o tráfego entre seu navegador de
Internet (“web browser”) e o site de internet é encriptado.
Procure pelo https:// no endereço URL, ou pelo ícone de
cadeado no seu navegador. Muitos sites suportam isso
por padrão (como o Google Apps) e sites como Facebook
e Twitter, dão a opção de forçar sua utilização, através da
página de configuração da sua conta.
Adicionalmente,
quando você se conectar a uma rede sem fio Wi-Fi
pública, use uma rede encriptada sempre que possível.
WPA2 é atualmente um dos mecanismos de criptografia
chaves, certifique-se de usar também senhas fortes e
mais fortes e a opção que você deve fazer. Finalmente,
protegê-las bem(veja edição de Maio, 2011 de OUCH!
sempre que enviar ou receber email por um programa
sobre senhas).
cliente de email (Outlook, Thunderbird ou similar), garanta
que ele esteja configurado para usar comunicação encrip-
●
tada.
você perder suas chaves ou perder o acesso a elas por
Uma das mais utilizadas é SSL (Secure Socket
Layer). Muitos clientes de email utilizam SSL por padrão.
Não perca suas chaves ou o acesso a elas. Se
esquecer a senha que as protege, você provavelmente não
poderá recuperar seus dados.
MELHORES PRÁTICAS E
●
Sua criptografia é tão forte quanto a segurança de
PRECAUÇÕES
seu computador.
Independentemente de qual tipo de criptografia você está
caras maus poderão comprometer sua criptografia.
Se seu computador for infectado, os
usando e como você a usa, quase todas as formas de
criptografia compartilham os mesmos problemas, que
●
você deve conhecer:
A criptografia não protege em nada contra vírus, worms,
Mantenha a segurança geral do seu computador.
Trojans, vulnerabilidades não corrigidas ou ataques de
●
Sua criptografia é tão forte quanto suas chaves.
engenharia social.
Se sua chave estiver comprometida, seus dados também
●
estarão. Se estiver usando senhas para proteger suas
dos dados confidenciais de forma segura.
© The SANS Institute 2011
Sempre certifique-se de fazer uma cópia backup
Isto garante
http://www.securingthehuman.org
OUCH! | Julho 2011
Entendendo Criptografia que, em caso de perda do dispositivo ou da chave de
Windows: http://windows.microsoft.com/pt-
encriptação que protege seus dados, você ainda possa
BR/windows7/Encrypt-or-decrypt-a-folder-or-file
recuperar seus dados.
Mac: http://preview.tinyurl.com/6c2q3cy
●
Encriptação de Pendrive USB:
Use encriptação baseada em algoritmos
conhecidos
publicamente
como
AES
TrueCrypt: http://www.truecrypt.org/
(Advanced
Encryption Standard) ou Blowfish, ao invés de algoritmos
SanDisk: http://preview.tinyurl.com/3nl4g2p
proprietários.
IronKey: https://www.ironkey.com/products
Certifique-se também de estar usando a
última versão do seu programa de criptografia.
Padrões de Criptografia
●
AES: http://preview.tinyurl.com/ku33x
Consulte um profissional de TI se precisar de
ajuda. Instalação, configuração ou utilização incorreta de
WiFi: WPA e WPA2 http://preview.tinyurl.com/am5oa
encriptação
Como funciona o HTTPS:
pode
tornar
suas
informações
http://preview.tinyurl.com/ya9se7f
permanentemente inacessíveis.
Como funciona uma VPN: http://preview.tinyurl.com/rfc9f
RECURSOS
Alguns dos links abaixo podem ter sido abreviados para
SAIBA MAIS
melhorar a leitura utilizando o serviço TinyURL.
Para
Assine a publicação mensal OUCH! de sensibilização de
mitigar riscos de segurança, o OUCH! Sempre usa o
segurança, acesse os arquivos OUCH! e aprenda mais
recurso de pré-visualização do TinyURL, que mostra o
sobre as soluções de sensibilização de segurança do
destino final do link e sempre pede sua permissão para
SANS nos visitando em http://www.securingthehuman.org.
prosseguir.
VERSÃO BRASILEIRA
Ferramentas de Encriptação de disco inteiro (FDE - Full
Traduzida por:
Disk Encryption):
Homero Palheta Michelini, Arquiteto de T/I, especialista em
TrueCrypt: http://www.truecrypt.org/
Segurança da Informação - twitter.com/homerop
PGP: http://www.pgp.com
Marcello Belloni Gomes, Arquiteto de Segurança de TI -
Windows 7 Bitlocker: http://windows.microsoft.com/pt-
twitter.com/marcellobelloni
BR/windows-vista/BitLocker-Drive-Encryption-Overview
Michel Girardias, Analista de Segurança da Informação twitter.com/michelgirardias
Encriptação de Arquivo e Pastas:
Marta Visser - Tradutora autônoma
TrueCrypt: http://www.truecrypt.org/
sob o licenciamento Creative Commons BY-­‐NC-­‐ND 3.0 license. OUCH! É publicado pelo programa “SANS Securing the Human” e distribuído A distribuição desta publicação é permitida desde que sua origem seja i
nformada, seu conteúdo não seja modificado e não seja utilizada para fins comerciais. Para tradução ou outras informações, contacte [email protected]. Time Editorial: Bill Wyman, Walt Scrivens, Phil Hoffman, Lance Spitzner, Carmen Ruyle Hardy © The SANS Institute 2011
z http://www.securingthehuman.org