Segurança no trajeto e no destino de informações na web

 A internet, ou rede mundial de computadores como também é conhecida, ajudou a tornar a informação muito mais acessível e a sua produção muito mais fácil e constante.

Hoje você consegue, através do seu computador, adquirir em segundos qualquer produto ou serviço, sem precisar ir à um estabelecimento físico.

Com um celular, por exemplo, você consegue tirar uma foto de qualquer acontecimento e enviar a uma rede social, quase que ao mesmo momento.

De sua casa, do carro, do ônibus ou do escritório, uma pessoa consegue realizar inúmeras atividades sem mexer nada além das mãos.

Com toda essa facilidade e dinamismo, a internet atrai a cada dia centenas de milhares de novos usuários, que fazem com que seu conteúdo e tráfego aumentem numa proporção exponencial.

A rede hoje possui mais de dois bilhões de usuários, o que significa muita informação sendo gerada e transitando de forma contínua a todo o momento, seja na construção de conteúdo direto como blogs e portais, ou em lojas virtuais e redes sociais.

A todo instante informações são buscadas e enviadas de um computador ou celular para um servidor.

Mas com tudo isso surge também o perigo dessa mesma informação cair em mãos erradas, gerando transtornos incalculáveis. Neste momento, surge a necessidade de segurança para que a navegação pela rede seja a mais tranquila possível.

Hoje, além dos antivírus, existem ferramentas de proteção voltadas ao tráfego de informação através da internet, como o SSL que é representada pelo cadeado do browser.

Mas, o que isso garante nossa segurança?

O usuário de internet que fornece informações pessoais em páginas de qualquer tipo de site está, neste momento, expondo seus dados.

E qualquer pessoa dotada de algum conhecimento técnico pode capturar essas informações e fazer mau uso delas.

O certificado SSL foi criado justamente para proteger estes dados durante seu tráfego pela rede.


Ele justamente codifica (ou criptografada em uma linguagem mais técnica) todas as informações digitadas em um computador (ou celular) e envia essa informação codificada atéo servidor que hospeda o site.

Se tal informação for interceptada, nenhum dado é revelado. Assim, a informação trafega de maneira segura.

Mas isso garante toda segurança que precisamos na internet?

Mesmo com toda segurança no trânsito da informação, não é garantido que ela não corra os riscos de ser acessada indevidamente, pois até agora falamos da segurança no deslocamento desta informação, mas e quanto ao seu destino?

Imagine que você coloca uma carta com uma informação confidencial no correio. Sua preocupação de que ela seja transportada com segurança faz com que o envelope para o transporte seja lacrado (SSL). Mas e a caixa do correio?

Quais são as condições do armazenamento dessas informações pelo site? Os funcionários da empresa tem acesso a eles? O site apresenta um nível elevado de proteção contra ataques de hacker? E se ele for invadido?

Nos últimos tempos, temos ouvido falar de invasões dos sites de grandes corporações e até mesmo dos Governos, por grupos clandestinos de “hackers”.

Eles procuram brechas na segurança dos servidores em que estão contidas as informações destas empresas e varrem todo o banco de dados, coletando informações e muitas vezes deletando tais informações, tirando os sites do ar.

Para evitar estes acontecimentos, as empresas realizam (ou deveriam realizar) testes de vulnerabilidades diariamente em suas aplicações a fim de garantir que qualquer falha seja encontrada e corrigida.

Diferente do SSL, os testes de vulnerabilidades consistem em simular ataques aos sistemas a fim de encontrar brechas de segurança e então apontar as correções necessárias.

Estes testes não têm como objetivo garantir o envio seguro da informação, mas sim a segurança do armazenamento da mesma.

A cada dia que passa, mais empresas estão adotando estes testes para evitar que suas informações e de seus clientes sejam acessadas por terceiros, como o ocorrido com grandes corporações, em que um grupo de hackers conseguiu invadir o banco de dados de diversas divisões de companhias que precisavam manter os dados em sigilo.

Com a ascensão das redes sociais, o crescimento exponencial dos sites de comércio eletrônico, clubes de compra e compras coletivas com preços ainda mais baixos e a facilidade na realização de tarefas diárias pela internet, nossa exposição de dados aumenta, pois as informações estão distribuídas cada vez mais por toda a rede.

Para que isso não se torne um problema, precisamos que estes dois serviços, complementares entre si, estejam sempre disponíveis.

O SSL para o trânsito seguro da informação e os testes de vulnerabilidades no destino para onde vai à informação, garantindo assim uma certificação de segurança confiável para navegação pela internet.


Autor: Tiago Ramos é Gerente de Produto da Site Blindado S/A
Fonte: Baguete

Produtor Rural

A partir de janeiro de 2012, todo produtor rural empregador será obrigado a transmitir as informações do SEFIP para a Caixa Econômica Federal e Receita Previdenciária, somente através do Certificado Digital.

Declaração da RAIS exigirá certificação digital da ICP-Brasil a partir de 2012

Todos os anos, os empregadores brasileiros encaminham ao Ministério do Trabalho e Emprego (MTE) a Relação Anual de Informações Sociais (RAIS), que é um relatório que contém informações socioeconômicas dos empregados e serve de subsídio para controle dos registros do Fundo de Garantia por Tempo de Serviço (FGTS) e dos sistemas de arrecadação e concessão de benefícios da previdência, além de identificar o trabalhador com direito ao abono salarial do Programa de Integração Social (PIS) e do Programa de Formação do Patrimônio do Servidor Público (PASEP).

Em 2012, todas as empresas que possuem 250 funcionários ou mais deverão, ao acessarem o Gerador de Declaração RAIS (GDRAIS), realizar a transmissão utilizando um certificado digital da ICP-Brasil. Profissionais contábeis que realizam o envio da RAIS na prestação de serviços à empresas também deverão adotar o mesmo procedimento caso o arquivo que encaminhem possua o mesmo número de vínculos ou mais. Até 2010, a entrega das declarações da RAIS com certificação digital era facultativa. A coordenação do RAIS falou sobre esta nova modalidade e como funcionará o programa para empresas e contadores.

“A partir de 250 empregados registrados, a empresa deverá realizar o envio da RAIS com uso da certificação digital da ICP-Brasil. No caso dos profissionais contábeis, a lógica funciona de maneira diferente. Por exemplo: se um contador atende determinado número de empresas e quiser realizar a emissão da RAIS através de um arquivo único que contenha 250 registros dessas diferentes empresas às quais ele presta serviços, então esse envio só será possível com um certificado digital. As empresas poderão enviar a RAIS com um certificado digital de pessoa jurídica enquanto o contador, pela função que exerce, poderá encaminhá-lo utilizando um certificado digital de pessoa física”, explica.

Na opinião da coordenação, além da celeridade proporcionada e da economia de papel, a certificação digital traz mais segurança e confiabilidade ao processo de envio da RAIS. “Com o certificado digital da ICP-Brasil, temos a certeza de que o documento que será encaminhado ao banco de dados do MTE não sofrerá nenhuma alteração ou violação dos dados, garantindo maior transparência e gerando informações bastante precisas que nortearão o governo na formulação de leis, na tomada de decisões além do suprimento às necessidades de controle da atividade trabalhista no País”, finalizou.

Fonte: Site do ITI

Lei Azeredo pode ser votada nesta quarta

Por Tatiana de Mello Dias

Projeto de lei de cibercrimes passará pela Ciência e Tecnologia, Comunicação e Informática em um dia quase sem oposição

SÃO PAULO - O projeto de lei 84/99, mais conhecido pela Lei Azeredo, poderá ser votado pela Comissão de Ciência e Tecnologia, Comunicação e Informática nesta quarta-feira, 26.

O PL tramita há 12 anos. Já passou pelo Senado, e agora, de volta à Câmara, pode ser aprovado, reprovado ou pode passar com alguns cortes. O texto só não pode ser alterado. A pauta de quarta-feira da Comissão tem a votação do projeto de lei assinalada como “urgente”.

Fazem parte da mesa diretora Bruno Araújo (PSDB/PE), Antonio Imbassahy (PSDB/BA), Ruy Carneiro (PSDB/PB) e Silas Câmara (PSC/AM). Dos quatro que compõem a mesa, três são do PSDB, mesmo partido do autor da lei (o deputado Eduardo Azeredo, do PSDB mineiro).

Neste mesmo dia, dois dos principais opositores ao projeto, Luiza Erundina (PSB/SP) e Emiliano José (PT/BA), estarão fora da Câmara e não participarão da votação.

“É no mínimo estranho que o PL esteja em pauta justamente no dia em que dois de seus maiores opositores não estarão em Brasília. Eu não duvido que seja proposital”, diz o jurista Paulo Rená, um dos fundadores do movimento Mega Não, contra o PL, e pesquisador da lei de cibercrimes.

A Lei Azeredo, que tipifica cibercrimes no País, é considerada restritiva demais à liberdade na web. Um dos principais pontos criticados é que ela prevê a guarda de dados de navegação do usuário pelo prazo de três anos — isso poderia prejudicar o anonimato na internet e incentivar o vigilantismo de provedores sobre os usuários.

Fonte:  LINK

Novo modelo de perícia do INSS médica utilizará certificação digital

Proposta tem como objetivo definir novo padrão de garantia de direitos sem a necessidade de realizar perícias em todos os novos requerimentos de auxílio-doença previdenciário

O Instituto Nacional do Seguro Social (INSS) analisa um novo modelo para a concessão do auxílio-doença. 

A proposta, tida como nova forma de gerenciar os benefícios por incapacidade, tem como uma de suas principais inovações a exigência do certificado digital –ferramenta que garante transações eletrônicas seguras, íntegras, ágeis e com validade jurídica – para a reconhecimento do atestado médico.

O modelo em análise pelo instituto tem como objetivo definir novo padrão de garantia de direitos sem a necessidade de realizar perícias em todos os novos requerimentos de auxílio-doença previdenciário de determinados grupos de segurados.

Segundo o presidente do INSS, Mauro Luciano Hauschild, trata-se de uma mudança de prioridades e do direcionamento da força de trabalho para outras atividades. “Foi o olhar voltado para a qualificação dos serviços e para a melhoria da eficiência na gestão dos recursos humanos e financeiros do Instituto que nos fez repensar a forma de gerenciar os benefícios por incapacidade. 

A proposta é otimizar os esforços e o tempo com outras atividades, como as de natureza preventiva e reabilitadora, sempre voltadas à garantia do direito e à qualidade do atendimento que prestamos aos trabalhadores, segurados da Previdência Social”, diz.

O Conselho Federal de Medicina (CFM) e os conselhos regionais (CRMs) estão se preparando para incorporar essas novas tecnologias. O coordenador da Câmara Técnica sobre Medicina do Trabalho do Conselho Federal de Medicina (CFM), conselheiro Mauro Asato, acredita que a emissão de atestados e relatórios médicos de forma eletrônica com a certificação digital – e com nível de segurança –, corrobora com o objetivo do INSS. “Diminuição das filas nas agência de previdência social, maior agilidade na concessão de beneficio para o segurado, menor número de atestados falsos e melhor análise por parte do médico perito previdenciário para a manutenção concessão ou prorrogação do benefício seriam alguns dos benefícios”, avalia.

Asato ressalta, no entanto, que é importante que haja infraestrutura nas unidades de saúde que prestam o atendimento aos pacientes (informática e internet), além da segurança dessas informações para impedir as fraudes e rompimento do sigilo.

Modelo – Diversos foram os motivos encontrados para justificar a mudança. Entre eles, destacam-se a insatisfação por parte do segurado com o modelo atual de concessão de benefícios por incapacidade, a reincidência da violência contra os servidores da área de perícia médica e o elevado número de perícias iniciais com período de afastamento de até 120 dias.

O INSS idealizou um modelo no qual, entre outros pontos, os afastamentos se dariam sem a avaliação tradicional. “Assim, quando o segurado apresentar uma doença em que necessite de repouso e afastamento das suas atividades, se ele tiver a prescrição atestada pelo seu médico, poderá solicitar o benefício pelos canais de atendimento da Previdência Social 135 e internet e terá o seu reconhecimento de direito de forma mais ágil e segura”, explica a diretora de Saúde do Trabalhador do INSS, Filomena Bastos Gomes.

A ideia é que o atestado médico seja emitido eletronicamente por todos os médicos com CRM por meio da internet no site da Previdência Social. Nesse sentido, a diretora enfatiza a importância de os médicos obterem a certificação digital para a emissão do atestado médico na internet. “Com este procedimento, o INSS está valorizando o atestado como documento de fé pública. A única exigência é que o médico faça a emissão de forma eletrônica e com certificação digital, para mais segurança do profissional, do segurado e da própria Instituição”, ressalta. De acordo com Filomena, estão previstos projetos piloto do novo modelo para o início de 2012. Para tanto, é indispensável que a classe médica busque a certificação digital para emitir os atestados.

Iniciativa do CFM – O CFM está trabalhando para a viabilização da distribuição de carteiras com a certificação digital para médicos, que pode ocorrer ainda este ano. O presidente da entidade, Roberto Luiz d’Avila, é um entusiasta da ideia, que trará grandes benefícios a profissionais e pacientes: “Não há volta neste caminho. Nosso objetivo é garantir ao médico a melhor solução para que possa usar essa ferramenta com facilidade, oferecendo ao seu paciente a devida segurança”.

O 1º secretário do CFM, Desiré Callegari, responsável pelo Setor de Tecnologia da Informação da entidade, também está confiante no êxito da iniciativa. “A medicina não pode perder o passo da história. As novas tecnologias exigem dos profissionais a perfeita adequação às novas ferramentas”, lembrou.

Além dos ganhos para a assistência, o conselheiro estima que, com a implementação efetiva da certificação digital, crescerá a oferta de serviços online e a distância pelos CRMs para seus inscritos. Com a assinatura eletrônica, por exemplo, seria possível solicitar e emitir atestados, certidões ou acompanhar o andamento de processos sem sair de casa ou do consultório.

Histórico – Para entender por que o INSS apresentou ao Conselho Nacional de Previdência Social (CNPS) um novo modelo para a concessão do auxílio-doença previdenciário, basta analisar alguns números. Atualmente, mais da metade dos requerimentos mensais do INSS são para benefícios por incapacidade, elevando a carga de perícias médicas iniciais a um volume de mais de 300 mil atendimentos/mês.

Essa demanda de trabalho exige dos peritos médicos quase que dedicação integral, obrigando-os a deixar em segundo plano uma série de outros serviços. Para se ter uma ideia, a revisão das aposentadorias por invalidez, que deveria acontecer a cada dois anos, representa hoje um montante de 2,7 milhões de processos aguardando essa ação. Outros 580 mil benefícios por incapacidade concedidos judicialmente também precisam ser revisados.

No modelo atual, para os afastamentos acima de 15 dias dos segurados empregados, qualquer requerimento depende de realização de perícia médica (Inicial, Pedido de Prorrogação e Pedido de Reconsideração). Já no novo modelo, a ideia é que, nesse caso, o médico assistente do segurado – SUS/Particular emita atestado médico com o período de repouso necessário para recuperação da saúde. Se o período for inferior a 60 dias e se enquadrar em outras regras pré-determinadas, o reconhecimento será automático. Após esse prazo, será realizada a perícia médica.Outra diferença é que o modelo atual se aplica a todos os segurados, enquanto que a nova proposta visa a abranger os requerimentos de benefícios de Auxílio-Doença Previdenciário para segurados obrigatórios – empregado, contribuinte individual, avulso, doméstico e segurado especial – que estejam em atividade nos últimos 24 meses antes do requerimento do benefício.

Fonte: CFM

Leia Também

Novo modelo de perícia médica do INSS só com certificados digitais.

 

 

Empresas têm menos de 2 meses para retirar Certificado Digital

Mais de três milhões de empregadores precisam ficar atentos ao prazo para realizar o registro no Novo Conectividade Social por meio do certificado digital no padrão ICP-Brasil. 

A partir de 2012, não será permitido acesso à ferramenta de trocas de informações da Caixa com as empresas através de disquete, que passarão a ser feitos via certificados digitais. 

O modelo no padrão ICP-Brasil está disponível aos empregadores, desde 2 de maio, com todas as funções necessárias ao relacionamento com o Fundo de Garantia do Tempo de Serviço (FGTS). Mais de 200 mil empresas já utilizam o novo processo com a certificação digital.

Segundo o presidente do CRC SP, Domingos Orestes Chiomento, "o Conectividade Social é o canal eletrônico de relacionamento, desenvolvido pela Caixa e oferecido às empresas e aos escritórios de contabilidade, para transmitir, via Internet, arquivos gerados pelo programa do Sefip (Sistema de Recolhimento do FGTS e Informações à Previdência Social) para acessar e atualizar informações do FGTS dos trabalhadores, bem como realizar transações de transferência de benefícios à sociedade.

No caso de escritórios de Contabilidade e demais pessoas físicas equiparadas a jurídicas, que não estão obrigadas a realizar sua inscrição no Cadastro Nacional de Pessoa Jurídica (CNPJ) é indispensável a inserção do seu número do Cadastro Específico do INSS (CEI), no ato da certificação digital, permitindo assim o acesso a todos os serviços próprios de empregadores e pessoas jurídicas.

Cada usuário tem uma relação de serviços adequada ao perfil, permitindo realizar transações eletrônicas no canal. Aos magistrados, está disponível a consulta dos depósitos recursais, efetuados no âmbito da Justiça do Trabalho.

Autor: Monitor Mercantil Digital

ITI alerta empresas sobre atualização nas chaves públicas

Leia também: A Nova Versão da ICP Brasil: Raiz V2

O Instituto Nacional de Tecnologia da Informação (ITI) começou a alertar as empresas que desenvolvem produtos e soluções nos padrões da Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil) sobre o prazo de atualização aos novos padrões criptográficos. A partir de 1º de janeiro do próximo ano, nenhum novo certificado digital poderá ser gerado sob padrões anteriores.

“Todos os produtos destinados a operar a cadeia de certificados digitais ICP-Brasil, tais como cartões, leitoras, tokens e HSM, devem adotar chaves de no mínimo 2048 bytes e família Sha256. Nessa data, também só serão permitidos dispositivos exclusivamente homologados pela ICP-Brasil não sendo mais aceitos produtos certificados pelo NIST (órgão de padronização dos EUA)”, explica o diretor da Infraestrutura de Chaves Públicas do ITI, Maurício Augusto Coelho.

Ele lembra que as alterações estão previstas em normas emitidas pelo ITI desde junho de 2009, inclusive com a data da mudança. Procurado, o Instituto Nacional de Tecnologia da Informação, no entanto, evitou comentar sobre o grau de preparação das empresas para a adaptação aos novos padrões criptográficos.

O ITI apenas destaca a necessidade de as empresas se movimentarem para homologar produtos de acordo com as normas da ICP-Brasil. De acordo com coordenador técnico de Hardware do LSI TEC, Adilson Eduardo Guelfi, “quanto mais as empresas priorizarem seus processos de homologação, mais o LSI TEC terá condições de atender com qualidade e celeridade todas as demandas”.

Fonte: Convergência Digital 

Leia também: A Nova Versão da ICP Brasil: Raiz V2

Pai de SSL diz que, apesar dos ataques, há vida pela frente



Taher-Elgamal

 11 de Outubro de 2011 às 17:16:03 por computerworld

Auto-actualização do protocolo de segurança ajudaria muito, considera Taher Elgamal. (artigo em inglês)

SSL/TLS, the protocol that protects security of e-commerce, has taken a beating lately, with news items ranging from the violation of certificate authorities to the discovery of an exploit that beats the protocol itself.

With all the noise about SSL/TLS it’s easy to think that something is irreparably damaged and perhaps it’s time to look for something else.

But despite the exploit — Browser Exploit Against SSL/TLS (BEAST) — and the failures of certificate authorities such as Comodo and DigiNotar that are supposed to authenticate users, the protocol has a lot of life left in it if properly upgraded as it becomes necessary, says Taher Elgamal, CTO of Axway and one of the creators of SSL.

The problem lies not in the SSL/TLS itself but in the trust framework built around it and the problems that causes when it comes time to patch the protocol to fix vulnerabilities. Network World Senior Editor Tim Greene spoke recently about these issues with Elgamal. Here is an edited transcript of that conversation.

The flaw exploited by BEAST has been around since 2004. What’s up with that?

The problem is complex. It started with, yeah there is a weakness in the security protocol and we ought to recognize that and we have to go update it and fix it. That was before the whole BEAST thing — the practical attack, so to speak.

All the different browsers in the world are using TLS which is known to have that weakness. It’s important to understand what that attack really is.

The way the BEAST thing’s deployed is you have to have a piece of malware on the browser that can inject certain things to force the browser to produce cookies so that these cookies are passed into the channel. Then they have to have a man-in-the-middle point that allows them to actually get the encrypted data. So you have what is called a chosen plaintext attack — you choose the plaintext and you read the ciphertext and you try to match these up and find out what the keys are. It’s very, very clever. There’s no question about it.

Now, from a practical standpoint, the real problem is you have to have malware on the machine. Honestly, if I can put malware on your machine, I’m not going to be bothering with your SSL because I can see all the data before it gets encrypted.

It became very public because there are some 2 billion browsers and all of them use SSL for one thing or another and all e-commerce uses it and we should be careful. But obviously if you have a protocol that does not have any security problems — that does not exist.

So on the one hand you have a bunch of smart guys who did a very clever thing. It is clever and it uses a known vulnerability and it shows what you can do with these things. On the other hand, the real issue is Windows is a really terrible operating system — what can you say. It’s pretty amenable to malware that can redirect stuff. It’s a combination of a lot of things.

What’s the practical step to take? Go to TLS 1.1?

Unfortunately no. That is the problem. The browsers still do not support TLS 1.1. That is actually the real problem. TLS 1.1 is more than two years old. It’s not like it came out last week.

What can a corporate user do about the problem?

You have to watch out for malware. What can I say? You should watch out for it in any case. Make sure you’re running your machine in a good state, and you’re running a/v and that kind of stuff, anti-malware spotting things — which you do in any case. If you’ve got malware on your machine somebody’s reading your data regardless of SSL.

Are there downsides to TLS 1.1?

Not that is known today, but the issue with security is that as human beings we all want something that is secure forever. We want to feel safe about it and move onto the next thing, and unfortunately that is the wrong thing to do because security is always relative to something or another. Ten years from now computers will be a lot faster so today’s safe things may not be safe, and we will be doing exactly the same thing again. It’s not because it’s bad or good and doesn’t have anything to do with a particular setup or protocol or operating system. It’s just the truth of the matter, since we have to always look out for these things. We have to monitor for what the weaknesses are. We have to update things. This continues to happen basically forever and ever. There’s honestly no one-time solution to this issue. It has nothing to do with SSL in particular. SSL becomes the poster child for this because SSL is being used in all of e-commerce. Replacing SSL by itself as a protocol doesn’t solve any problem.

How about those certificate authority breaches against Comodo and that wiped out DigiNotar?

It’s a combination of PKI and trust models and all that kind of stuff. If there is a business in the world that I can go to and get a digital certificate that says my name is Tim Greene then that business is broken, because I’m not Tim Greene, but I’ve got a certificate that says this is my name. This is a broken process in the sense that we allowed a business that is broken to get into a trusted circle. The reality is there will always be crooks, somebody will always want to make money in the wrong way. It will continue to happen until the end of time.

Is there a better way than certificate authorities?

The fact that browsers were designed with built-in root keys is unfortunate. That is the wrong thing, but it’s very difficult to change that. We should have separated who is trusted from the vendor. If we cannot separate the root of trust from the vendor then the best we can do is build a side reputation system that everybody consults. When a browser gets a certificate from an unknown CA it says what the heck is this? Tell me if the reputation of this thing is OK, and if it is OK, it’s fine. And if that particular CA is doing bad things its reputation will go down and the browser should actually refuse the connection. We want the consumer to get ease of access a lot more than we want to protect them. So we allow the consumer to trust random things. After somebody trusts something it’s very difficult for them to untrust it in the current setup. So the browser guys needed to undo things. This is unfortunate but it only has to do with the way the PKI was implemented inside of the browser system rather than any particular protocol. You could have removed SSL and put in IPSec and the exact same problem would actually come out because they all use PKI.

What can be done?

If there is a way that we can separate who we trust from the vendor of the browsers then that would be the best thing to do. And the root of the trust should be the Internet with its built-in reputation ecosystem. All the CAs will have reputations built in because that’s how the Internet runs, and then you have a better trust model that way. Rather than build it into the browser itself, that’s what I’m saying. And I’m not saying I know how to implement this, but it’s a better model.

If that were to happen and people have noticed that a particular CA is issuing bad certs the reputation will kick it out immediately. Nobody will have to issue patches, we don’t have to wait for somebody to send something over for us to update. It will just be done in the ecosystem.

How would that work?

We have to build a mechanism to automatically update things. We did not do that. The right way to design, if we were to update things an updating protocol that automatically updates itself so when the next version comes up it knows where to find the next version rather than having to wait for a Windows update or whatever. I think there is technology that is known to the world to do that. And I hope people look for these things because honestly, every protocol will have roles for self-updating things. Nothing will remain secure forever. It’s a bad idea actually to shoot for something that will be secure forever because we won’t find any.

Do you see a way automatic updating could take place with SSL/TLS?

I think it’s not just TLS, I think it’s the self-updating thing in general. It’s a good idea, right?

Are you working on that?

Am I working on that? No. It’s something that exists but I’m not actually working on it.

What do you know about what’s being worked on?

The beauty of living in Silicon Valley is that you talk to people every day, and people tell you interesting ideas. I’m not sure I’m allowed to say. People have approached me with some ideas of that type.

Novo amigo da espionagem corporativa: servidor web incorporado

Muitos tipos de fotocopiadoras, scanners e servidores de VoIP conectados na web não possuem senha padrão ou outra garantia para impedir escutas remotas

Muitos modelos de impressoras, fotocopiadoras e aparelhos de voz sobre IP (VoIP) estão conectadas à internet. Mas seus servidores incorporados costumam usar senhas padrões bem conhecidas, ou firmwares que apresentam vulnerabilidades. Isso pode ser um problema, já que ambos podem ser usados por espiões remotos para interceptar comunicações internas.

Essa advertência foi emitida por Michael Sutton, vice-presidente de pesquisa e segurança da Zscaler Labs, durante conferência de segurança organizada pela Black Hat. Sutton apresentou os resultados das pesquisas, baseadas no uso de múltiplas engenharias de impressão digital em mais de um milhão de servidores de web, e para identificar como os servidores estão incorporados. Curiosamente, a pesquisa do Google parece suprimir resultados para servidor de rede incorporado. Mas outros mecanismos de busca, como Shodan, não.

Do total de um milhão de servidores de impressoras digitais na web, 34,2% rodam Microsoft IIS e 33,6% Apache. Além disso, existem 2.737 cabeçalhos de servidores exclusivos nas máquinas restantes. “Muitos deles embutidos nos servidores”, lembrou Sutton. Muitos desses servidores também não possuem o melhor nível de segurança como senha de acesso aos documentos armazenados ou chamadas VoIP. Como resultado, Sutton foi capaz baixar inúmeros documentos gratuitamente, incluindo conselhos de voto da organização Pro-Tea Party, cópias de cheques assinados e digitalizados em relatórios técnicos. “Meu favorito absoluto”, constatou. “Esta documentação nos deixa saber que Jim é, na verdade, um inspetor certificação de moldes”.

Segundo Sutton, fotocópias e similares são, essencialmente, repositórios de documentos recentes ou comunicação de interesse, e, portanto, poderiam servir como tesouro de inteligência competitiva. Certos modelos de fotocopiadoras Sharp, por exemplo, podem ser configuradas para enviar todos os documentos digitalizados ou copiados para um site externo via FTP ou e-mail. Enquanto isso, algumas impressoras da HP tem recursos chamado webscan, que permite a qualquer pessoa com browser, baixar tudo o que está na mesa do scanner.

Curiosamente, a maioria dos dispositivos conectados aos serviços web encontrou câmeras de segurança, incluindo as pequenas. “Eu encontrei um monte de câmeras do McDonald na web; não sei porquê”, disse. Muitas delas, entretanto, parecem ter sido configuradas para monitorar funcionários.

De todos os dispositivos de impressões digitais, no entanto, “o mais preocupante é a copiadora Ricoh”, avaliou Sutton. Em particular, 2% das impressoras Ricoh são incorporadas nos servidores web e usam a senha “admin”. Enquanto os dispositivos oferecem criptografia SSH, muitos incluindo serviços telnet, no qual um invasor pode facilmente ativar para acessar diretamente dados antigos das máquinas. Alguns desses aparelhos também tornam documentos recentemente digitalizados disponíveis para downloads imediatos em formato TIFF ou PDF.

Daqui para frente, Suton disse que espera acumular mais informações – que irá dividir gratuitamente – para cada tipo de servidor web embarcado em impressoras digitais, como forma de ajudar empresas a entenderem como dispositivos internos podem apresentar vulnerabilidades.

Mas o que pode ser feito para impedir as vulnerabilidades desses sistemas embarcados? Primeiro, servidores web precisam ser incluídos no plano de correção da corporação, e fornecedores devem contribuir com essas correções. “A indústria do hardware esta ao menos uma década atrás das indústrias de software em termos de segurança”,explicou. “Nós definitivamente precisamos mover o sistema para algo mais comum, como, por exemplo, a Apple TV, onde as correções são levadas até o cliente.” Por exemplo, um dos servidores de web incorporado mais usados é o Allegro RomPager, e seu fabricante diz rodar em 75 milhões de dispositivos. Durante sua pesquisa, Sutton encontrou pelo menos três mil dispositivos rodando a versão do RomPager que contém vulnerabilidades conhecidas e que podem ser usadas para derrubar o servidor.

Em segundo lugar, dispositivos precisam se comprometer com os recursos de segurança, como a habilidade de enviar documentos para um site FTP. “Eu realmente coloco a culpa nos fornecedores”, provocou Sutton. “Essa funcionalidade na maioria das vezes não tem propósito nenhum. Quando é útil, no entanto, a funcionalidade deve ser ativada por padrão, utilizando senha única, como o número de série dos dispositivos MAC.”

Até que essas mudanças ocorram, gerentes de TI devem considerar qualquer servidor de web incorporado como uma ameaça em potencial. “Na empresa você precisa tratar uma copiadora ou qualquer dispositivo de rede ativado como se fosse um computador”, concluiu.

Fonte: Informationweek

Confirmado: Carta de Correção em papel desaparece em 2012

Por Roberto Dias Duarte

7 de outubro de 2011 10:20

A sistemática da Nota Fiscal Eletrônica sofreu mais uma alteração: a partir de 1º de julho de 2012 as empresas não poderão mais utilizar a Carta de Correção em papel para sanar erros em campos específicos da NF-e, conforme determina parte do Ajuste Sinief 10/2011 (*), promovido após reunião entre representantes do Conselho Nacional de Política Fazendária e da Receita Federal, no último dia 30 de setembro, em Manaus (AM), e publicado em 05-10 no Diário Oficial da União (DOU).

 

A progressiva adoção dos meios eletrônicos em substituição ao papel é a essência do processo que envolve o Sistema Público de Escrituração Digital (SPED), do qual faz parte a NF-e.

A chegada da Carta de Correção Eletrônica (CC-e) traduz-se em uma nova ferramenta, mais ágil e segura, para a regularização de transações comerciais com erros técnicos de procedimento.

Vale lembrar que as regras de validação da CC-e, tal qual ocorre com toda a NF-e, na verdade são sumárias e não garantem a plena conformidade fiscal tributária da operação. Ou seja, uma CC-e poderá muito bem ser aprovada, mesmo que promova na transação comercial em si modificações incompatíveis com a legislação.

 

Permanecem inalteradas, por exemplo, as circunstâncias em que ela não pode ser adotada, ou seja, modificação das variáveis que determinam o valor do imposto, tais com base de cálculo, alíquota, diferença de preço, quantidade, total da operação ou prestação; dados cadastrais que impliquem mudança do remetente ou do destinatário, assim como data de emissão ou saída.

Tentar fazer com a CC-e o que muitos fazem hoje em relação à Carta de Correção em papel, ou seja, alterando indiscriminadamente qualquer campo do documento fiscal, poderá ser um péssimo caminho a seguir. O fisco é implacável nesses casos. Ressalto ainda que não mudam em nada as normas fiscais e tributárias vigentes, mas apenas e tão somente a velocidade na propagação de erros e acertos.

(*) Ajuste Sinief 10/2011:

http://www.fazenda.gov.br/confaz/confaz/ajustes/2011/aj_010_11.htm

Novo modelo de perícia médica do INSS só com certificados digitais.

Centrais debatem perícias médicas em audiência no Ministério da Previdência

Na última terça-feira (04), as centrais sindicais CTB, NCST e Força Sindical particparam da segunda audiência sobre a humanização das perícias médicas do INSS, no Ministério da Previdência, em Brasília.

Participaram da audiência o secretário Executivo do Ministério da Previdência, Carlos Gabas, o presidente do INSS, Mauro Hauschild e Filomena Gomes, diretora de Saúde do Trabalhador do INSS, Paulo Vinícius da Silva secretário da Juventude Trabalhadora da CTB Nacional, Luis Antônio Festino e Celso Pimenta (NCST), Arnaldo Gonçalves e Luís Oliveira (FS) e pelo DIESAT, seu presidente Gilberto Almazan e Pérsio Dutra.

O presidente do INSS relatou que nos próximos dias será lançado edital para a contratação de uma pós-graduação específica para 800 médicos peritos. Como não é possível - devido à oposição do Ministério Público – fazer a contratação de peritos a partir de edital que já estabeleça a especialização como critério de seleção no concurso, a existência de cursos de pós-graduação que formem os peritos nas especialidades necessárias ao seu trabalho no INSS.

O INSS também avaliou que há dificuldades de comunicação interna que precisam ser sanadas, para que as melhorias e a normatização do atendimento sejam efetivas em toda a rede, e que estão em curso medidas para que atos normativos e as informações percorram toda a rede do INSS.

O novo modelo de perícia não admitirá atestado médico de papel, só o eletrônico, com certificação digital e pelo portal do INSS. Certificações digitais serão entregues a partir de janeiro para todos os médicos, o que fortalecerá a legitimidade dos atestados médicos.

Fonte: Mundo Sindical

Fique atento: O 'Beast' pode roubar seus dados até em navegação segura

Dois pesquisadores conseguiram decifrar a tecnologia de codificação de dados padrão na internet, a TLS 1.0. Entenda o perigo.


A encriptação de dados é a pedra angular da segurança na Internet.Toda vez que você entra no seu e-mail ou acessa um site de vendas online, é quase certo que seu navegador esteja conectado de forma segura ao servidor usando a tecnologia de encriptação TLS (Camada de Transporte de Segurança, na sigla em inglês).

Desenvolvida em 1999, como uma melhoria da encriptação SSL 3.0 (Camada de Soquete de Segurança), a TLS 1.0 é usada como parte da encriptação HTTPS e agora é padrão na internet. Quase todos os sites e navegadores usam a TLS para proteger informações transferidas entre você e o site.

Agora, os pesquisadores Thai Duong e Juliano Rizzo afirmam ter “crackeado” a encriptação TLS 1.0 usando um detector de tráfego e um pouco de código JavaScript.

Eles se apresentaram em meados de setembro deste ano na conferência de segurança Ekoparty, na Argentina, para demonstrar a exploração da brecha de segurança, apelidada de BEAST (Exploração de Navegador Contra SSL/TLS ou “fera” em inglês). Enquanto os detalhes do ataque são altamente técnicos, agora sabemos que ele começa com um fragmento de ataque em JavaScript que infecta seu navegador quando você acessa links suspeitos ou visita sites maliciosos.

Leia também: 15 tentações digitais em que você não deveria cair

Quando o BEAST infecta um navegador, ele monitora os dados que você troca com sites criptografados. Ele insere blocos de texto simples para o fluxo de dados e tenta decifrar esse código, fazendo suposições sobre a chave de criptografia.

Depois de passar bastante tempo (cerca de 9:55 minutos, de acordo com relatos de Rizzo para a The Register), o BEAST, inevitavelmente, consegue desvendar o código. Em seguida, utiliza esses dados para a engenharia reversa da chave de criptografia e decifra dados confidenciais armazenados nos cookies da sessão de navegação.

Antes da exibição pública, os pesquisadores responsáveis notificaram os desenvolvedores de navegadores populares como Firefox e Internet Explorer, e a publicidade envolvendo essa falha incentivará mais servidores e desenvolvedores de navegadores a atualizarem seus sistemas de encriptação para aproveitar os protocolos mais recentes, como TLS 1.1 ou 1.2, que permanecem teoricamente imunes ao ataque do BEAST.

A Microsoft já prometeu um patch no Windows, e um especialista da Kaspersky Lab, Kurt Baumgartner, acredita que os usuários do Google Chrome têm pouco com o que se preocupar, porque há três meses o código-fonte do Chromium foi corrigido.

Isso é possível porque a TLS 1.1 está disponível desde 2006, mas a maioria dos sites e navegadores não tinha suporte a ela devido ao tempo e esforço necessários para atualizar todos os seus serviços (como extensões do navegador no Chrome ou o API do Facebook Connect) para autenticar os dados usando um método de criptografia diferente.

Até que o façam, a única maneira infalível de se proteger contra esse ataque é evitar malwares por meio da criação do hábitos de navegação segura. Nunca abra e-mails de desconhecidos, quando não solicitados, e não clique em links que você não confia. Seja cuidadoso sobre os dados que você compartilha em redes sociais e altere as suas senhas frequentemente.

Por PC World (US)
Publicada em 05 de outubro de 2011 às 08h00 

(Alex Wawro)

 

O que são SSL, SSH, HTTPS?

 

 

 

Canal de ConectividadeICP - YouTube

ITI, Certificação Digital e o papel das ACs no Conectividade Social ICP

Renato da Silveira Martini, Diretor Presidente do ITI, discursa sobre a Certificação Digital ICP Brasil e a entrada dessa tecnologia no novo acesso ao Conectividade Social ICP.

A nova Procuração Eletrônica no Conectividade Social ICP

Conectividade Social ICP: Por que o Conectividade Social mudou?

José Maria Oliveira Leão, Superintendente Nacional do FGTS - CAIXA, aborda a nova Procuração Eletrônica, os benefícios e a facilidade da outorga de poderes, ...

Canal de ConectividadeICP - YouTube

Procuração Eletrônica na Conectividade Social ICP :: CertDicas

O que é a Procuração Eletrônica

Publicado em 20-09-2011 por Conectividade Social ICP

Outorga de poderes , Procuração Eletrônica

A procuração eletrônica é uma permissão, uma concessão de poderes que o usuário do Conectividade Social ICP repassa para outro usuário. Essa procuração é necessária sempre que o titular da empresa não for realizar diretamente os serviços referentes ao FGTS e precisar que um terceiro (funcionário ou escritório contábil) desempenhe essa função, além de permitir outras funcionalidades.

O serviço está disponível no próprio portal do Conectividade Social ICP, em um menu simples e fácil de acessar. A procuração foi remodelada para o novo acesso e, agora, é possível que os empregados das empresas acessem o canal utilizando seu próprio Certificado Digital de Pessoa Física, por meio de uma procuração eletrônica concedida por seu empregador. Agora, também é possível conceder aos outorgados, seja ele empregado da empresa ou escritório contábil, todos ou apenas parte dos serviços disponíveis. Assim, a empresa tem a gestão completa das procurações que concedeu.

Além disso, a outorga de poderes só é permitida de um Certificado Digital ICP-Brasil para outro, mantendo assim a segurança que a tecnologia da certificação traz ao novo ambiente.

Como acessar?

Para utilizar esse recurso, é só escolher a opção Procuração na janela superior direita do portal. Então, aparecerá um menu lateral à esquerda da tela com todos os serviços disponíveis dentro da Procuração Eletrônica:

- Outorgar Procuração

- Substabelecer Procuração

- Renovar Procuração

- Aditar Procuração

- Revogar Procuração

- Consultar Procurações Outorgadas

- Consultar Procurações Substabelecidas

- Consultar Procurações recebidas por Outorga

- Consultar Procurações recebidas por Substabelecimento

Para saber mais sobre as regras gerais da procuração eletrônica, a cadeia de outorga, o perfil e o certificado necessários para os outorgados fique atento aos próximos posts do Conectividade Social ICP e não se esqueça de ler o Guia de Orientações ao Usuário, disponível na opção DOWNLOAD, localizada no topo desta página.

 

Publicado em Conectividade Social, Procuração

Orion lança CardioCloud com certificação digital

A aplicação do certificado digital na área de saúde cresce à medida que ferramentas tecnológicas são adotadas para o atendimento da população.

Exemplo disso foi o lançamento do CardioCloud, pela Orion Digital, que utiliza certificação digital da Certisign, durante o Congresso Brasileiro de Cardiologia, realizada entre 17 e 19 de setembro, em Porto Alegre (RS).

O CardioCloud permite a geração de laudos precisos, melhoria no atendimento, faturamento e a colaboração entre equipes médicas. Como o nome sugere, foi desenvolvimento para aplicação no conceito de computação em nuvem.

A solução contém funcionalidades que vão desde a recepção dos pacientes até o faturamento dos serviços prestados, com módulos de Gestão de Clínicas, Laudos e 2ª Opinião. Este último permite o auxílio de renomado corpo clínico para o fechamento de diagnósticos.

“Sob a orientação do Prof. Dr. Wilson Mathias Jr., o CardioCloud 2ª Opinião possibilita solicitar auxílio para diagnósticos com maior precisão. É como se o médico tivesse um corpo clínico de primeira linha trabalhando ao seu lado”, explica Danilo Pellegrino, gerente comercial da Orion Digital.

O uso do certificado digital garante a segurança das informações que circulam no ambiente virtual, tais como o laudo e a segunda opinião enviados pela equipe médica.

A tecnologia tem sido fundamental também para implantação do prontuário eletrônico do paciente (PEP), pois assegura, sob o ponto de vista legal, que a informação registrada somente nos meios eletrônicos é verdadeira, original e de autoria de quem assina o arquivo digitalmente. O papel impresso passa a ser a “cópia”.

O certificado digital garante que a informação gravada é imutável. Com isso, as equipes médicas deixam de imprimir e assinar cada documento gerado no sistema de gestão hospitalar.

Segundo Decio Tomaz, diretor comercial de soluções corporativas da Certisign, as soluções com certificação digital reduzem custos operacionais, desburocratizam os processos, incrementam ganhos de produtividade do corpo clínico e facilitam o acesso às informações, que são arquivadas digitalmente. 

“E tudo isto com garantia jurídica”, lembra.

Como o CardioCloud foi desenvolvido para aplicação em nuvem, as suas informações podem se acessadas de qualquer local e a qualquer momento, com total segurança.

Outra vantagem é que permite o encaminhamento de solicitações em um clique e o retorno de diagnósticos em até 72 horas, além de auxiliar na redução de custos do consultório.
 
“A área de cardiologia pode contar, a partir de agora, com uma solução completa que integra todas as funcionalidades de atendimento, financeiras e administrativas de uma clínica, com imagens do paciente, Prontuário Eletrônico e ERP”, destaca Flávio Camilo, gerente de tecnologia da Orion Digital.


Fonte: TIINSIDE

O que são SSL, SSH, HTTPS?

Para que serve o SSL?

SSL = Secure Socket Layer

É um sistema que permite a troca de informações entre dois computadores, de modo seguro. SSL fornece 3 coisas: 

• Privacidade: Impossível espionar as informações trocadas. 
• Integridade: Impossível falsificar as informações trocadas.
• Autenticação: Ele garante a identidade do programa, da pessoa ou empresa com a qual nos comunicamos.

SSL é um complemento ao TCP / IP e pode (potencialmente) proteger qualquer protocolo ou programa usando TCP/IP.

O SSL foi criado e desenvolvido pela empresa Netscape e RSA Segurança.

Agora há versões de código aberto (Open Source), assim como um protocolo livre semelhante: TLS (ver mais abaixo).

 

Por que usar o SSL em vez de outro sistema?

Por que usar o OpenSSL?

• SSL é padronizado.
• Existe uma versão livre do SSL: OpenSSL que você pode usar nos seus programas, sem pagar direitos autorais.
• OpenSSL é Open Source: todo mundo pode controlar e verificar o código-fonte (O segredo fica nas chaves de criptografia, não no algoritmo em si).
• SSL foi criptoanalizado: este sistema foi mais analisado do que todos os seus concorrentes. O SSL foi revisado por inúmeros especialistas em criptografia. Portanto, pode ser considerado seguro.
• Ele é muito conhecido: é fácil criar programas que interagirão com outros programas usando o SSL.

Muito cuidadocom os sistemas proprietários: ao contrário do que se poderia pensar, a segurança de um sistema de criptografia não se baseia no segredo do algoritmo de criptografia, mas no segredo da chave. Devemos confiar apenas em sistemas que foram publicados e analisados.

 

Como funciona o SSL?

SSL é composto de dois protocolos:

• SSL Handshake protocol: antes de comunicar, os dois programas SSL negociam chaves e protocolos de criptografia em comum.
• SSL Record protocol: Uma vez negociados, eles criptografam todas as informações trocadas e realizam vários testes.

O aperto de mão SSL ("handshake")

No início da comunicação o cliente e o servidor trocam:

• A versão SSL com a qual eles querem trabalhar,
• A lista de métodos de criptografia (simétrico e assimétrico) e de assinatura que todo mundo conhece (com comprimentos de chaves),
• Métodos de compressão que todo mundo conhece
• Números aleatórios,
• Certificados.

Cliente e servidor tentam usar o melhor protocolo de criptografia e diminuem até encontrar um protocolo comum para ambos. Depois de feito isso, eles podem começar a troca de dados.

 

A comunicação SSL ("record")

Com o SSL, o remetente de dados:

• Corta os dados em pacotes,
• Comprime os dados,
• assina criptograficamente os dados,
• Criptografa os dados,
• Envia os dados.

Aquele que recebe os dados:

• Desencriptografa os dados,
• Verifica a assinatura dos dados,
• Descompacta os dados,
• Remonta os pacotes de dados.

 

Como o SSL protege as comunicações?

O SSL usa:

• um sistema de criptografia assimétrico (como o RSA ou o Diffie-Hellman). Saiba mais aqui: ele é utilizado para criar a "master key" (chave principal), que criará chaves de sessão.
• um sistema de criptografia simétrico (DES, 3DES, IDEA, RC4...) usando as chaves de sessão para criptografar os dados.
• um sistema de assinatura criptográfico das mensagens (HMAC, utilizando o MD5, SHA...) para ter certeza de que as mensagens não estão corrompidas.

É durante o "handshake" SSL que o cliente e o servidor escolhem os sistemas comuns (criptografia assimétrica, simétrica, assinatura e comprimento de chave).

No seu navegador, você pode ver a lista dos sistemas utilizados, colocando o cursor sobre o cadeadinho, quando você está em uma página HTTPS.

 

Para que servem os certificados?

Durante uma negociação (handshake) SSL, verifique a identidade da pessoa com quem você está se comunicando. Como ter certeza de que o servidor com quem você está falando é quem ele diz ser?

É aí que entram os certificados. Na hora de se conectar a um servidor web seguro, este enviará um certificado com o nome da empresa, endereço, etc. É uma espécie de carteira de identidade.

Como verificar a autenticidade desta carteira de identidade?

São as PKI (Public Key Infrastructure), das empresas externas (às quais você faz, implicitamente, confiança), que vão verificar a autenticidade do certificado.

(A lista destas PKI está incluída no seu navegador. Geralmente tem a VeriSign, a Thawte, etc.)

Estas PKI assinam criptograficamente os certificados das empresas (e elas são pagas por isso).

O uso do SSL: HTTPS, SSH, FTPS, POPS...

O SSL pode ser usado para proteger praticamente qualquer protocolo usando TCP / IP.


Alguns protocolos foram especialmente modificados para suportar o SSL:

• HTTPS: é HTTP+SSL. Este protocolo está incluído em praticamente todos os navegadores, e permite que você (por exemplo) consulte suas contas bancárias na web de forma segura.
• FTPS é uma extensão do FTP (File Transfer Protocol) usando SSL.
• SSH (Secure Shell) é uma espécie de telnet (ou rlogin) seguro. Isso permite que você se conecte a um computador remoto com segurança e ter uma linha de comando. O SSH tem extensões para proteger outros protocolos (FTP, POP3, ou mesmo X Windows).

É possível tornar seguros os protocolos, criando túneis SSL. Depois de criar o túnel, você pode fazer passar qualquer protocolo por ele (SMTP, POP3, HTTP, NNTP, etc). Todos os dados trocados são criptografados automaticamente.

Isto pode ser feito com ferramentas como o STunnel ou o SSH .

Veja este exemplo com o protocolo POP3: 

Com o protocolo POP3 que, normalmente, você usa para ler os seus e-mails, as senhas e as mensagens transitam claramente na Internet. Suas senhas e mensagens podem ser roubadas. 

Com o túnel SSL, e sem alterar os softwares cliente e servidor , você pode garantir a recuperação de seus e-mails: ninguém pode roubar suas senhas ou e-mails, pois tudo que passa pelo túnel SSL é criptografado.

Mas isso requer a instalação do STunnel no cliente e no servidor.
Alguns provedores de acesso oferecem este serviço, mas ainda é muito raro. Pergunte ao seu provedor de acesso se ele tem este tipo serviço instalado.

O STunnel permite assim a proteção da maioria dos protocolos baseados no TCP/IP, sem alterar os softwares . Ele é muito fácil de instalar.
Quais são as diferentes versões do SSL?

O SSL versão 3.0 é muito semelhante ao SSL versão 2.0 , mas o SSL v2.0 tem menos algoritmos de criptografia que o SSL V3.0.

TLS v1.0 é um protocolo semelhante com base no SSL. As aplicações usando o TLS v1.0 pode se comunicar facilmente com as aplicações utilizando o SSL v3.0.
Então, quando vejo o cadeado, estou protegido?

O cadeado te indica se as comunicações entre o seu browser e o site são seguras: ninguém pode espiá-los, e ninguém pode mexer nas comunicações. Mas ele não garante nada mais

Para tirar uma foto:

HTTPS (o cadeado), é como um carro blindado: ele garante a segurança do transporte.

Mas realmente só transporte.

O carro blindado não garante que o banco usa bons cofres e que eles fecham bem.

O carro blindado também não garante que o banco não desfalque ninguém.

O carro blindado realmente só garante o transporte.

É a mesma coisa para o HTTPS (o cadeadinho do browser).

Da mesma forma que criminosos podem contratar um carro blindado, piratas e bandidos podem muito bem criar um site seguro (com o cadeadinho).

Tenha cuidado e não confie em qualquer informação em qualquer site, com ou sem cadeado.


Artigo original publicado por sebsauvage

Tradução feita por Lucia Maurity y Nouira

O que é Certificado SSL EV (Extended Validation)? :: CertDicas

Extended Validation restaura a confiança com a barra de endereços verde

Um certificado SSL EV (Extended Validation) oferece aos clientes maior confiança de que estão interagindo com um site confiável e que suas informações estão seguras.

Um certificado SSL EV aciona os navegadores da Web de alta segurança para que exibam o nome da sua empresa em uma barra de endereços verde e mostrem o nome da autoridade certificadora que o emitiu, como a  Symantec, Certisign, Geotrust e outras.


A autoridade certificadora usa um método de autenticação rigoroso e auditorado, e os navegadores controlam a exibição, o que dificulta as tentativas dos falsários e criadores de phishing de sequestrar sua marca e seus clientes.

Conectividade Social x Conectividade Social ICP :: CertDicas

O Conectividade Social mudou e com isso a rotina de recolhimento do FGTS e a comunicação com a Previdência Social também. A antiga versão, que era usada com um Certificado Eletrônico em disquete, agora está em uma plataforma online e utiliza a Certificação Digital ICP-Brasil. Os processos se tornaram integrados, e a comunicação entre as empresas e a CAIXA mais fácil. Para entender melhor como será esse novo acesso, confira as principais diferenças entre os dois.

Conectividade Social antigo

O Conectividade Social era dividido em dois ambientes. O primeiro era o antigo programa CNS instalado no computador do usuário, no qual era possível enviar e receber arquivos, como o SEFIP e GRRF. No outro, cujo acesso já era pela internet (Conexão Segura), era possível fazer as transações online, como visualização de extratos e comunicação de movimentação do trabalhador. Para acessar os dois ambientes, era necessário o uso do Certificado Eletrônico em disquete.

Conectividade Social ICP

A nova versão do sistema é uma evolução do antigo Conectividade Social, e suas principais mudanças são:

- Agora o novo Conectividade Social utiliza o Certificado Digital ICP-Brasil. É essa tecnologia que permite maior segurança às transações feitas na internet, além de fazer o canal reconhecer que o acesso está sendo mesmo feito por você;

- A procuração eletrônica foi totalmente remodelada. Disponível no próprio portal do Conectividade Social ICP, e com um ambiente simples de navegar, tanto a outorga de poderes, como o uso desses poderes outorgados, além de muitas outras funcionalidades, só são feitos com o Certificado Digital ICP-Brasil;

- O acesso ao Conectividade Social passa a ser 100% web*, sem a necessidade de atualização de versões, e concentra no mesmo ambiente todas as funcionalidades disponíveis no canal;

- A navegação no canal ficou muito mais amigável e intuitiva, o que ajuda a economizar o tempo do usuário e favorece a utilização plena dos seus recursos.

*A geração dos arquivos e emissão das guias de arrecadação mensal e rescisória do FGTS continuam sendo feitas por meio dos aplicativos SEFIP e GRRF Eletrônica, respectivamente. Para geração do arquivo GRRF a ser transmitido pelo Conectividade Social ICP, utilize o aplicativo GRRF ICP disponível no site da CAIXA, na opção FGTS, GRRF – Aplicativo e Arquivos.


Publicado em 23-09-2011 por Conectividade Social ICP

Entidades assinam acordo para massificar Certificação Digital





Na manhã de ontem, 22, representantes de várias entidades, entre elas Fenacon Certificação Digital, estiveram presentes na sede do Instituto Nacional de Tecnologia da Informação (ITI) para assinar um Protocolo de Entendimentos para comercialização de Certificados Digitais no padrão ICP-Brasil. A entidade foi representada pelo presidente Executivo do Instituto Fenacon, Carlos Castro.



O objetivo da medida é massificar o uso da Certificação Digital para micro e pequenas empresas, empresas de pequeno porte, empregadores individuais e empreendedores individuais.

Principalmente atendendo a solicitação da Caixa Econômica Federal que disponibilizará a partir de 01 de janeiro de 2012 o acesso ao Conectividade Social para transmissão de arquivos do Fundo de Garantia por Tempo de serviço (FGTS) via Certificação Digital.

Destinada a todas as empresas e pessoas físicas que fazem depósitos mensais para seus funcionários no FGTS, a Conectividade Social ICP é a evolução do Conectividade Social, sistema que hoje é utilizado para a transmissão, via internet e no ambiente da própria empresa, dos arquivos gerados pelo programa Sistema de Recolhimento do FGTS e Informações à Previdência Social (Sefip).

Carlos Castro

“Com certeza o novo Conectividade Social ICP trará muito mais segurança para os empregadores e empregados, ou seja, para a sociedade em geral, pois passa a utilizar tecnologia de ponta no tráfego e sigilo da informações via internet”, avalia Carlos Castro.

Para mais informações você pode acessar o link Conectividade Social ICP no site da Fenacon (http://www.fenacon.org.br/)

Acesse agora o Portal sobre Conectividade Social

Fonte: FENACON

Conheça o portal sobre Conectividade Social

O Conectividade Social entrou na era ICP.

Acesse o portal e fique por dentro das novidades sobre o Conectividade Social ICP, das vantagens do novo tipo de certificado digital, e tire também suas dúvidas em com o FAQ completo sobre o assunto.