📖 Resumo - Capítulo 3: Criptografia e PKI

1️⃣ Fundamentos de Criptografia

Terminologia Básica

Termo	Definição
Plaintext/Cleartext	Mensagem não criptografada
Ciphertext	Mensagem criptografada
Algorithm (Algoritmo)	Processo usado para criptografar/descriptografar
Cryptanalysis (Criptoanálise)	Arte de quebrar sistemas criptográficos
Key (Chave)	String de bits gerada aleatoriamente

Objetivos da Criptografia

• Confidencialidade: Apenas autorizados leem
• Integridade: Dados não foram alterados
• Autenticação: Verificar identidade
• Não-repúdio: Não pode negar autoria

2️⃣ Criptografia Simétrica vs Assimétrica

3️⃣ Algoritmos e Modos de Operação

Stream Cipher vs Block Cipher

Tipo	Descrição	Exemplos
Stream Cipher	Criptografa um bit por vez (como OTP)	RC4 (inseguro), ChaCha20
Block Cipher	Criptografa blocos (64/128/256 bits)	AES, DES, 3DES, Blowfish

Modos de Operação de Block Cipher

4️⃣ Hashing e Aplicações

Características do Hash

• Determinístico: Mesmo input = mesmo hash
• Rápido de calcular
• Efeito avalanche: Pequena mudança = hash completamente diferente
• Resistente a colisões: Difícil encontrar dois inputs com mesmo hash

Usos do Hash

• Integridade de arquivos: Verificar se arquivo foi alterado
• Armazenamento de senhas: Com salt (nunca em texto claro!)
• Assinaturas digitais: Hash é assinado, não o documento inteiro
• Blockchain: Cada bloco contém hash do anterior

Ataques a Hash

Ataque	Descrição
Rainbow Table	Tabela pré-computada de hashes. Contramedida: salt
Colisão (Collision)	Encontrar dois inputs com mesmo hash. MD5 e SHA-1 são vulneráveis
Aniversário (Birthday)	Explora probabilidade de colisões. Requer menos tentativas que brute force
Força Bruta	Testar todas combinações possíveis
Dicionário	Testar palavras comuns e senhas prováveis

5️⃣ Criptografia Híbrida e Sistemas

Sistemas Híbridos

• Combina eficiência da simétrica com segurança da assimétrica
• Processo:
  1. Gera chave simétrica (session key)
  2. Criptografa dados com chave simétrica
  3. Criptografa chave simétrica com chave pública do destinatário
  4. Envia ambos
• Usado em: TLS/SSL, PGP/GPG, EFS

PGP/GPG

• PGP: Pretty Good Privacy (comercial)
• GPG: GNU Privacy Guard (open source)
• Criptografia de email e arquivos
• Usa Web of Trust (não PKI hierárquica)

EFS (Encrypting File System) - Windows

• Criptografia em nível de arquivo/pasta (NTFS)
• Usa FEK (File Encryption Key) simétrica para arquivo
• FEK criptografada com chave pública do usuário
• DRA (Data Recovery Agent) pode recuperar se necessário

BitLocker

• Criptografia de disco completo (FDE)
• Requer TPM (Trusted Platform Module) ou USB
• Protege contra roubo de disco

6️⃣ Cryptoprocessors

	TPM	HSM
O que é	Chip na placa-mãe	Dispositivo dedicado (rack, PCIe, USB)
Funções	Gera hash de boot, armazena chaves (BitLocker)	Gera/armazena chaves, assinaturas digitais, alta performance
Uso	Computadores pessoais	Bancos, CAs, grandes empresas
Segurança	Protege contra acesso físico	Tamper-resistant, certificação FIPS 140-2

7️⃣ PKI (Public Key Infrastructure)

Componentes da PKI

• CA (Certificate Authority): Emite certificados (ex: Let's Encrypt, DigiCert)
• RA (Registration Authority): Verifica identidade antes da emissão
• Certificado Digital: Liga chave pública a uma identidade (padrão X.509)
• CRL (Certificate Revocation List): Lista de certificados revogados
• OCSP (Online Certificate Status Protocol): Verifica status em tempo real

Cadeia de Confiança (Chain of Trust)

Tipos de Certificados

Tipo	Descrição
Root Certificate	Auto-assinado, topo da hierarquia, pré-instalado no SO/navegador
Wildcard	*.dominio.com - cobre subdomínios
SAN (Subject Alternative Name)	Múltiplos domínios no mesmo certificado
Code Signing	Assina software, prova autenticidade
Self-Signed	Não emitido por CA confiável, navegador mostra aviso
Email Certificate	Para S/MIME - criptografia de email

Revogação de Certificados

• CRL (Certificate Revocation List): Lista publicada pela CA. Cliente baixa periodicamente.
• OCSP (Online Certificate Status Protocol): Verifica status em tempo real (mais eficiente)
• OCSP Stapling: Servidor anexa resposta OCSP ao handshake TLS

8️⃣ Gerenciamento de Chaves

Lifecycle da Chave

1. Geração: Deve ser aleatória (TRNG > PRNG)
2. Armazenamento: TPM/HSM > arquivo
3. Distribuição: Através de PKI
4. Uso
5. Rotação/Expiração
6. Revogação
7. Destruição

Key Escrow e M of N

• Key Escrow: Cópia da chave guardada por terceiro (recuperação)
• M of N: Requer M pessoas de N para autorizar operação (ex: 3 de 5)

9️⃣ Blockchain

• Ledger distribuído imutável
• Cada bloco contém hash do bloco anterior
• Descentralizado: não há ponto único de falha
• Mining (mineração): processo de adicionar blocos (Proof of Work)
• Usos: Criptomoedas (Bitcoin), contratos inteligentes, rastreamento

🔟 Ataques Criptográficos

Ataque	Descrição	Defesa
Downgrade Attack	Forçar uso de protocolo antigo/inseguro (ex: SSL)	Desabilitar protocolos antigos
Known Plaintext	Atacante tem pares de plaintext/ciphertext	Chaves fortes, algoritmos seguros
Chosen Plaintext	Atacante escolhe plaintext para criptografar	Algoritmos resistentes (ex: AES)
Brute Force	Testar todas combinações de chaves	Chaves longas (AES-256)