Criptografia [3]: PGP - Pretty Good Privacy (Privacidade Muito Boa)

Olá!

Apresentaremos aqui aspectos básicos do PGP.

HISTÓRICO

Em 1991 o americano Phillip Zimmermman previu o crescimento dos computadores , bem como o incremento no seu uso para troca de mensagens. Preocupado com possíveis violações aos direitos de privacidade desses usuários, Phill desenvolveu o PGP, um sistema de encriptação híbrido.

Logo o programa espalhou-se pela internet e como a exportação de softwares criptográficos sem autorização do governo é vetada pela lei americana, Zimmermman foi investigado durante 3 anos. Provou-se ao final do processo que uma terceira pessoa não identificada fora a responsável pela distribuição indevida do programa e Zimmermman foi inocentado.

O programa passou a ser legalmente distribuído através de livros publicados com as novas versões de seu código-fonte, já que a legislação americana não considera o código impresso como um programa. (Nesse caso, temos aí uma boa utilização das brechas da lei =P)

Zimmmermmann fundou a PGP Inc. e em 1996 passou a comercializar o programa. Posteriormente a companhia foi comprada pela McAfee que perdeu o interesse pelo software e o repassou a uma nova empresa.

Pode-se encontrar uma versão livre para implementação chamada GPG (GNU Privacy Guard), baseado no OpenPGP (RFC4880).

COMO FUNCIONA

Como um método híbrido de encriptação, o PGP combina desempenho e segurança na transmissão de dados.

O primeiro passo é a compressão de dados. Isso agiliza a transmissão e aumenta a segurança da cifra, já que dificulta a identificação de um padrão encontrado nas mensagens originais que pode facilitar a quebra da cifra.

No segundo passo do processo é criada o que chamamos de chave de sessão, que é gerada uma única vez. A session key corresponde à criptografia com chave privada e é composta por um número aleatório.

Temos então uma espécie de mensagem encriptada em 1ª versão. Essa versão inicial será agora encriptada com a chave pública do destinatário da mensagem, e levará em seu conteúdo a session key criada anteriormente.

No processo de desencriptação o destinatário da mensagem utiliza a sua chave privada para acessar os dados encriptados na geração da session key do remetente. A session key é então utilizada para recuperar a mensagem original.

A repetição de alguns termos pode parecer confusa mas uma leitura com mais calma facilita a visualização do processo.

Próximos assuntos: assinatura digital, certificação digital e hash

Abçs =)

Criptografia [1]

Criptografia [2]

Leia mais »

Criptografia [2] : Chaves Simétricas e Assimétricas

Olá!

Continuando o assunto Criptografia iniciado aqui, vamos conhecer um pouco sobre Chaves Simétricas e Assimétricas.

As chaves simétricas

A criptografia simétrica é computacionalmente menos custosa e mais rápida e, portanto, é mais indicada para grandes quantidades de dados.

Isto se deve ao fato de que aos algoritmos para esse tipo de criptografia são mais simples, visto que apenas uma chave é utilizada para criptografar e descriptografar os dados.

Essa agilidade leva a um problema de gerenciamento de segurança porque todas as partes envolvidas no processo precisam conhecer a chave de criptografia, que é a mesma para crip/descrip. E no tocante ao gerenciamento de chaves criptográficas, o processo inclui a geração, a distribuição, o backup, a nova geração e o ciclo vital da chave. E é nesse ponto de distribuição que pode ocorrer o incidente, já que todas as pessoas que necessitam dos dados requisitam o acesso à chave.

Esse tipo de criptografia fornece permissão para dados criptografados. A segurança no tocante ao acesso devido à chave é razoável. Porém, a criptografia simétrica não oferece não-repúdio. Qualquer pessoa pode enviar uma mensagem se passando pelo dono da chave.

Os algoritmos utilizados incluem RC2(128bits), 3DES(Padrão triplo de criptografia de dados) e AES(Padrão de criptografia avançada).

As chaves assimétricas

Em uma comunicação 1/1 a chave simétrica cai como uma luva. Mas como ficaria em uma comunicação 1/N (1 para vários) ?

Os dados enviados poderiam ser descriptogrados por qualquer pessoa que tivesse acesso à chave, mesmo que não fosse o destinatário original, ou ainda qualquer um poderia enviar mensagens como sendo o dono da chave.

A chave assimétrica resolve esse tipo de problema porque são utilizadas duas chaves distintas: uma para criptografar e outra para descriptografar. Uma é a chave pública, que é distribuída para todos, a outra é a chave privada, que deve permanecer em sigilo.

Ao enviar uma mensagem, utiliza-se a chave pública do destinatário para criptografá-la com um algoritmo de chave assimétrica. Essa mensagem só pode será descriptografada com a chave privada do destinatário, o que garante que o seu conteúdo seja acessado apenas detentor da chave.

A criptografia assimétrica assegura, assim, a confidencialidade das mensagens.

Se pensarmos um pouco mais, chegaremos à conclusão que outros quesitos relacionados à segurança não podem ser atendidos apenas com esse tipo de criptografia. A confirmação da origem real da mensagem bem como a integridade dos dados transmitidos, são aspectos importantes do gerenciamento de segurança não contemplados durante esses processos de crip/descrip. Soluções para esses casos serão abordadas futuramente.

Abçs =)

Leia mais »