OUCH!

| Julho 2011
 

Nesta edição
• O que é Criptografia ?
• Encriptando informação armazenada
• Encriptando informação em trânsito
• Melhores práticas e precauções

 
Entendendo  Criptografia  
EDITOR CONVIDADO
Fred Kerby é o editor convidado para esta edição de facilmente perdidos ou roubados e, se não encriptados,
OUCH! Ele se aposentou recentemente pelo Naval podem ter seu conteúdo lido por qualquer um que tenha
Surface Warfare Center Dahlgren Division, onde trabalhou acesso a eles. Uma das melhores formas de proteger
como Gerente de Segurança da Informação por 16 anos. dados em qualquer dispositivo móvel é encriptá-los.
Fred é instrutor sênior no SANS Institute.
Geralmente, existem três formas de encriptar dados
armazenados nos seus dispositivos móveis. Você pode
O QUE É CRIPTOGRAFIA?
encriptar arquivos específicos, pastas inteiras ou o disco
A criptografia é um mecanismo que protege suas
inteiro. Muitos sistemas operacionais suportam alguma
informações valiosas, tais como documentos, fotos ou
delas, senão todas. Encriptar seu disco inteiro,
transações online, do acesso ou alteração por pessoas
normalmente chamado, em inglês, Full Disk Encryption
indesejadas. A criptografia funciona utilizando uma “cifra”
(FDE), é frequentemente considerada a forma mais segura.
(fórmula matemática) e uma chave para converter dados
FDE encripta todos os dados no seu disco, incluindo
legíveis (“texto simples”) em um formato não
arquivos temporários. E também simplifica o processo pois
compreensível por outros (“texto cifrado”). A cifra é a re-
você não precisa decidir sobre o que encriptar e o que não.
ceita geral da criptografia e sua chave torna seu dado
Se você não pode encriptar seu disco inteiro, encripte
encriptado único – somente as pessoas com a sua chave
qualquer arquivo ou pasta que contenha informações
única e a mesma cifra podem decifrá-lo. Chaves são
confidenciais ou sigilosas.
normalmente uma longa sequência de números protegidos
por um mecanismo comum de autenticação como senhas,
Dispositivos móveis como Pendrives USB podem vir com
“tokens”, ou biometria como sua impressão digital.
recurso de criptografia feitos para eles ou você pode
encriptá-los instalando um software adicional em seu
ENCRIPTANDO INFORMAÇÃO computador. Smartphones e tablets podem também ter
recursos de criptografia feitos para eles, ou você pode
ARMAZENADA
instalar aplicações (“apps”) para isso - consulte a rede de
Informações confidenciais ou sigilosas como médicas,
aplicações do fabricante do seu telefone, normalmente
financeiras ou de negócio podem residir nos seus
chamados “app store” ou “marketplace”, para informações
dispositivos móveis como laptop, pendrive USB,
sobre o que está disponível.
smartphone ou tablet. Esses dispositivos podem ser

© The SANS Institute 2011 http://www.securingthehuman.org

 OUCH! | Julho 2011

Entendendo Criptografia  

ENCRIPTANDO INFORMAÇÕES EM A criptografia é uma ferramenta

TRÂNSITO importante para proteger os dados,
mas só é eficaz se você tiver senhas
A informação também está vulnerável enquanto está em
trânsito. Se o dado não está encriptado, ele pode ser fortes e mantiver a segurança geral
monitorado e capturado online. É por isso que você deve
do computador.  
garantir que qualquer comunicação online com dados
confidenciais ou sigilosos como acesso a banco, envio de
email ou talvez até acesso à sua conta no Facebook,
estejam encriptadas. A forma mais comum de
encriptação é o HTTPS, ou conexão aos sites seguros.
Isso significa que o tráfego entre seu navegador de
Internet (“web browser”) e o site de internet é encriptado.
Procure pelo https:// no endereço URL, ou pelo ícone de
cadeado no seu navegador. Muitos sites suportam isso
por padrão (como o Google Apps) e sites como Facebook
e Twitter, dão a opção de forçar sua utilização, através da
página de configuração da sua conta. Adicionalmente,
quando você se conectar a uma rede sem fio Wi-Fi
pública, use uma rede encriptada sempre que possível.
WPA2 é atualmente um dos mecanismos de criptografia chaves, certifique-se de usar também senhas fortes e
mais fortes e a opção que você deve fazer. Finalmente, protegê-las bem(veja edição de Maio, 2011 de OUCH!
sempre que enviar ou receber email por um programa sobre senhas).
cliente de email (Outlook, Thunderbird ou similar), garanta
que ele esteja configurado para usar comunicação encrip- ● Não perca suas chaves ou o acesso a elas. Se
tada. Uma das mais utilizadas é SSL (Secure Socket você perder suas chaves ou perder o acesso a elas por
Layer). Muitos clientes de email utilizam SSL por padrão. esquecer a senha que as protege, você provavelmente não
poderá recuperar seus dados.
MELHORES PRÁTICAS E
● Sua criptografia é tão forte quanto a segurança de
PRECAUÇÕES seu computador. Se seu computador for infectado, os
Independentemente de qual tipo de criptografia você está caras maus poderão comprometer sua criptografia.
usando e como você a usa, quase todas as formas de
criptografia compartilham os mesmos problemas, que ● Mantenha a segurança geral do seu computador.
você deve conhecer: A criptografia não protege em nada contra vírus, worms,
Trojans, vulnerabilidades não corrigidas ou ataques de
● Sua criptografia é tão forte quanto suas chaves. engenharia social.
Se sua chave estiver comprometida, seus dados também ● Sempre certifique-se de fazer uma cópia backup
estarão. Se estiver usando senhas para proteger suas dos dados confidenciais de forma segura. Isto garante

© The SANS Institute 2011 http://www.securingthehuman.org

 OUCH! | Julho 2011
 

Entendendo Criptografia  

que, em caso de perda do dispositivo ou da chave de Windows: http://windows.microsoft.com/pt-

encriptação que protege seus dados, você ainda possa BR/windows7/Encrypt-or-decrypt-a-folder-or-file
recuperar seus dados. Mac: http://preview.tinyurl.com/6c2q3cy

● Use encriptação baseada em algoritmos Encriptação de Pendrive USB:

conhecidos publicamente como AES (Advanced TrueCrypt: http://www.truecrypt.org/
Encryption Standard) ou Blowfish, ao invés de algoritmos SanDisk: http://preview.tinyurl.com/3nl4g2p
proprietários. Certifique-se também de estar usando a IronKey: https://www.ironkey.com/products
última versão do seu programa de criptografia.
Padrões de Criptografia
● Consulte um profissional de TI se precisar de AES: http://preview.tinyurl.com/ku33x
ajuda. Instalação, configuração ou utilização incorreta de WiFi: WPA e WPA2 http://preview.tinyurl.com/am5oa
encriptação pode tornar suas informações Como funciona o HTTPS:
permanentemente inacessíveis. http://preview.tinyurl.com/ya9se7f
Como funciona uma VPN: http://preview.tinyurl.com/rfc9f

RECURSOS
Alguns dos links abaixo podem ter sido abreviados para
SAIBA MAIS
melhorar a leitura utilizando o serviço TinyURL. Para Assine a publicação mensal OUCH! de sensibilização de
mitigar riscos de segurança, o OUCH! Sempre usa o segurança, acesse os arquivos OUCH! e aprenda mais
recurso de pré-visualização do TinyURL, que mostra o sobre as soluções de sensibilização de segurança do
destino final do link e sempre pede sua permissão para SANS nos visitando em http://www.securingthehuman.org.
prosseguir.
VERSÃO BRASILEIRA
Ferramentas de Encriptação de disco inteiro (FDE - Full
Traduzida por:
Disk Encryption):
Homero Palheta Michelini, Arquiteto de T/I, especialista em
TrueCrypt: http://www.truecrypt.org/
Segurança da Informação - twitter.com/homerop
PGP: http://www.pgp.com
Marcello Belloni Gomes, Arquiteto de Segurança de TI -
Windows 7 Bitlocker: http://windows.microsoft.com/pt-
twitter.com/marcellobelloni
BR/windows-vista/BitLocker-Drive-Encryption-Overview
Michel Girardias, Analista de Segurança da Informação -
twitter.com/michelgirardias
Encriptação de Arquivo e Pastas:
Marta Visser - Tradutora autônoma
TrueCrypt: http://www.truecrypt.org/

OUCH!  É  publicado  pelo  programa  “SANS  Securing  the  Human”  e  distribuído     sob  o  licenciamento  Creative  Commons  BY-­‐NC-­‐ND  3.0  license.  
A  distribuição  desta  publicação  é  permitida  desde  que  sua  origem  seja  
  informada,   seu  conteúdo  não  seja  modificado  e  não  seja  utilizada  
para  fins  comerciais.    Para  tradução  ou  outras  informações,  contacte  ouch@securingthehuman.org.  
Time  Editorial:  Bill  Wyman,  Walt  Scrivens,  Phil  Hoffman,  Lance  Spitzner,  Carmen  Ruyle  Hardy  
 
 
© The SANS Institute 2011   http://www.securingthehuman.org
z