Questão nº 86
Questão de Tecnologia da Informação · FGV TCE-PA 2024 (nº 86)
Uma grande vantagem das cifras assimétricas é permitir a comunicação segura entre duas partes sem combinação prévia de chaves. Isso é possível através do uso de chaves públicas que são divulgadas através da rede insegura e chaves privadas que são mantidas em segredo.
Entretanto para que esse processo funcione as partes envolvidas precisam confiar que a outra parte é realmente a dona da chave pública que está apresentado, senão ambos ficam vulneráveis a um certo tipo de ataque durante a troca de chaves.
O nome deste ataque e o sistema responsável por garantir a propriedade das chaves públicas são, respectivamente,
- Aforça bruta e Cadastro Público.
- Bman in the middle e Autoridade Certificadora. (alternativa correta)
- Cinversão de hash e Autoridade Publicadora.
- Drainbow attack e Cadastro de Chaves.
- Eataque de dicionário e Chaveiro Certificado.
Resposta comentada
Gabarito Alternativa B
A criptografia assimétrica usa um par de chaves (uma pública e uma privada) para que qualquer um possa criptografar mensagens para você com sua chave pública, mas só você, com sua chave privada secreta, possa descriptografá-las. O desafio é ter certeza de que a chave pública que você está usando realmente pertence à pessoa certa, e não a um impostor.
- (A) Incorreta: Força bruta é um ataque genérico de tentativa e erro, não específico para a vulnerabilidade de confiança na troca de chaves; "Cadastro Público" não é o termo técnico para o sistema de garantia de propriedade.
- (B) Correta: O man-in-the-middle (homem no meio) é o ataque onde um invasor se posiciona entre as duas partes, interceptando e falsificando a troca de chaves públicas. A Autoridade Certificadora (AC) é a entidade de confiança que emite certificados digitais, atestando a propriedade de uma chave pública por uma identidade específica, prevenindo esse ataque.
- (C) Incorreta: Inversão de hash (ou ataque de pré-imagem) é um ataque a funções de hash, não diretamente relacionado à confiança na troca de chaves; "Autoridade Publicadora" não é o termo correto.
- (D) Incorreta: Rainbow attack (ataque de tabela arco-íris) é usado para descobrir senhas a partir de hashes, não para a vulnerabilidade de confiança na troca de chaves; "Cadastro de Chaves" não é o termo técnico.
- (E) Incorreta: Ataque de dicionário é usado para descobrir senhas por tentativa e erro com base em listas de palavras, não para a vulnerabilidade de confiança na troca de chaves; "Chaveiro Certificado" não é o termo técnico.
Fonte: FGV TCE-PA 2024 Auditor de Controle Externo - Informática - Analista de Sistemas (Caderno Tipo 1). Reproduzida para fins de estudo.