IBAMA estende uso de Certificados Digitais

Ibama altera regras de acesso dos usuários ao sistema 

Documento de Origem Florestal - DOF

O Ibama editou a Instrução Normativa nº 10, de 25 de junho de 2014, alterando as regras de acesso dos usuários pessoa física ou jurídica ao sistema DOF.

A partir do novo prazo estabelecido, 4 de agosto, o uso da certificação digital será obrigatório para acesso e realização de todas as transações no sistema DOF.

A instrução normativa, além de prorrogar o prazo da obrigatoriedade da certificação digital, estende a obrigatoriedade para os empresários individuais ou de sociedade em comum que não possuam inscrição no CNPJ, nos termos da legislação civil e tributária.

O uso do certificado digital atesta a identidade do usuário e tem por objetivo garantir que as transações eletrônicas dos produtos e subprodutos florestais sejam efetuadas com segurança, mantendo a integridade e a confidencialidade dos documentos e dados da transação, reduzindo os riscos de furtos de senha e movimentações fraudulentas de créditos florestais.

Até que se inicie a obrigatoriedade, os usuários que quiserem usufruir da segurança conferida pela certificação digital já podem aderir a essa modalidade de acesso ao DOF de forma facultativa. Para obter o certificado digital, o usuário deverá escolher uma Autoridade Certificadora (AC), da qual poderá adquirir o dispositivo criptográfico (token), e proceder à habilitação de seu certificado.

Informações adicionais de como obter o certificado digital podem ser obtidas no site do Instituto Nacional de Tecnologia da Informação (ITI).

Para mais informações de como realizar a adesão à certificação digital e o acesso ao DOF, o Ibama também disponibilizará um manual para a orientação dos usuários.

Fonte: Por Ascom/Ibama
04/07/2014 - 12:06:19

Uma ameaça à liberdade da Internet - Vídeo - NYTimes.com

Uma ameaça à liberdade da Internet - Vídeo - NYTimes.com

Por Brian Knappenberger, 9 de julho de 2014

Novas regras propostas pela FCC poderia dividir a Internet em pistas rápidas e pistas lentas, violando o conceito central da "neutralidade da rede".

Relacionados:
Artigo: "A ameaça à liberdade da Internet '
Sobre o Op-Docs »

Advogados serão obrigados a usar certificação digital em processos no TJ-DF

ASSINATURA ELETRÔNICA

A partir do dia 25 de julho, advogados com atuação no Trinunal de Justiça do Distrito Federal terão que usar uma certificação digital para todos os atos seus processos em tramitação. Será preciso usar o eToken, um tipo de pen-drive que certifica documentos através de senhas, para fazer a assinatura eletrônica. É o chamado Certificado Digital ICP-Brasil. 28 de junho de 2014, 10:28h

Essa novidade é decorrente da implantação do Processo Judicial eletrônico, e será implementada a partir do Centro de Soluções de Conflitos dos Juizados Especiais Cíveis de Brasília (CEJUSC) e do 1º ao 7º Juizados Especiais Cíveis de Brasília, com cronograma já programado para até o final do ano.

A introdução do PJe no TJ-DF está prevista no plano de administração do biênio 2014-2016 e atende à resolução 185/2013 do Conselho Nacional de Justiça, que institui o processo eletrônico conforme a Lei 11.419/2006, que dispõe sobre a informatização do processo judicial. 

No dia 13 de maio deste ano, foi instituído, pela portaria GPR 664/2014, comitê gestor para coordenar as ações de implantação do processo eletrônico e, no mesmo dia, a portaria GPR 662/2014 criou a secretaria especial do PJe com a atribuição de promover as ações de implantação do processo eletrônico no tribunal. Com informações da Assessoria de Imprensa do TJ-DF.

Fonte: http://www.conjur.com.br

A chave do Castelo: Criptografia em Nuvem

Keys to the castle: Encryption in the cloud

Security concerns are driving IT to bolster cloud data with complex DIY encryption processes, but a lack of key management could undo all the hard work. Thankfully, new techniques and standards mean companies might finally have their data under lock and key

Print this pageEmail article

''We need to be cautious that, similar to the promises of PKI several years ago, the market is ready and the technology robust enough to service client demands'

In a bid to reassure customers following revelations of government intelligence agency snooping in 2013, cloud service providers including Google and Amazon have rushed out free automatic server-side encryption on their cloud services - and not before time.

The move has been seen by many as a positive one for companies that are mandated to protect customer data when running a business application on Google, but it could equally be argued that encouraging them to leave encryption in the hands of the cloud provider is a step in the wrong direction.

While it's obvious that Google and others are covering their own backs and jumping on the marketing opportunity of NSA-related paranoia by having these security processes in place, it's not exactly clear just how adequate their server-side measures are.

After announcing in August last year that it would be automatically encrypting all data on its cloud storage platform before it is written to disk, Google added that it would still advise data to be encrypted at the user end for those who prefer to manage their own encryption keys, emphasising that the responsibility for risk management still legally lies with the customer.

Jamal Elmellas, technical director at data security specialist Auriga, strongly advises that organisations should be wary from the outset of cloud providers with proprietary encryption software and mechanisms, especially those that retro-fit encryption to their already established solutions.

‘Encryption should be intrinsic to the solution,’ says Elmellas. ‘It should be considered from the outset by the provider, and this enables them to offer a solution which applies the most appropriate type of encryption to the right parts of the infrastructure.’

Processes, logging, auditing and total involvement by the customer are a few of the ways that risks can be minimised when outsourcing encryption, but for companies handling sensitive data, encrypting everything themselves may seem like the safest bet.

However, as Elmallas explains, this option opens up a whole new complex set of considerations.

'It's far easier to get cloud encryption wrong than it is to get it right,' says Elmellas. 'There are a number of areas which pose substantial risk to an organisation's data and the cloud encryption approach. The more complex the cloud infrastructure the more thought needs to be applied to the encryption approach. It’s very easy to get things wrong and impact system integration requirements, speed and search-ability as well as data confidentiality and integrity.'

>See also: The 2014 cyber security roadmap

Going holistic

As for the ‘one size fits all’ approach to encryption offered by most cloud service providers, this just won’t do in an enterprise situation - a holistic method that factors into account the business lifeycle, processes and risks is essential to ensuring the right type of encryption is applied to the right data.

In the simplest generic storage scenario, this means protecting the data at rest, preferably with a key that’s only accessible to the consumer. But when you throw complexity and diversity into the cloud blender, as Elmellas puts it, ‘applying encryption to the soup of data and functionality that now exists in a public facing domain becomes somewhat more of a challenge.’

The issues that must be taken into consideration before encryption is put into place include auditing requirements, monitoring, privileged user control, data flow and work flow. Many factors should be considered so as not to impede access, breach governance or disrupt other vital business functions. 

For instance, a business may apply encryption to sensitive HR data not realising that the finance department interfaces with the data set for payroll purposes on a monthly basis. This could have serious consequences if the encryption mechanisms have not been applied intelligently.

As Trish Reilly, senior product manager for cloud at Voltage Security advises, a cloud security checklist - just like the kind required for uptime or data availability - is a necessary blueprint for the cloud:

‘Think about the ability to control data assets to meet regulations, mitigate data threats and breaches in a way that is agreed upon between all parties, and grant data access to maintain business agility and data availability. The method you choose should allow you to validate and prove to auditors and the QSAs that you have protected the data.’

There are some drawbacks to using encryption in terms of performance: if an organisation’s CPU platform does not have the latest encryption support built into the chip, processes can be slowed down considerably, with an overhead exceeding 40% instead of the standard 2-6%.

‘If you have backup processes that also use encryption, you may be encrypting a file twice and have inefficient de-duplication processes and the resulting higher storage and transfer costs,’ warns Reilly. ‘If you do not have good separation of duties and key management processes in place, the encryption processes may hold risks. And as always; if you lose the key, you will lose access to the data.’

>See also: Cyber security: the solutions aren't working?

Bearer of the keys

The fundamental issue is whoever has access to the keys, has access to the data, which is why it is industry-recognised best practise to separate key management from the cloud provider to meet enterprise requirements, data residency and many compliance requirements.

But a surprising number of organisations struggle to get to grips with the key management process themselves and should tread carefully. This is why bringing in a third party to share keys with that does not have access to the data itself is often a good option.

Traditional key management concepts such as key renewal, key recovery and escrow will still come into play, however. It may seem obvious, but any form of encryption, cloud or not, is limited by the strength of the encryption key and how well the key is protected.

‘If keys are inherently weak, transmitted insecurely or not rotated properly, the encryption used is flawed, providing a false sense of security,’ warns Elmellas. ‘The key management and access mechanisms must also be easily available to the systems using it, which means it must secure, accessible and fast.'

The limitations around key management are made far worse when encryption is employed in a quick or default manner, says Orlando Scott-Cowley, director of technology marketing at cloud-based information management firm Mimecast.

‘This often occurs when admin try to rush out solutions to solve problems—very often services and software are just configured with default settings and passwords are weak,’ he says ‘Encryption keys are no different, they need to be safely stored and protected in order for the data to remain secure.’

In examples such as static PKI-based approaches, the process imposed around key generation, compromise and destruction is very manual. In many cases, points out Reilly at Voltage, authentication of the key and user is based on endpoint possession of highly secret key material over its long lifecycle - possibly years.

'However trust and authentication is a dynamic problem,' she stresses. 'The risk level in accessing data, and authentication of the person or system is very dynamic in nature.'

Recently an innovative approach to key management known as stateless key management has emerged as a means to simplify data encryption at scale, and to deliver data-centric security more transparently while reducing key management risks.

This method of key management enables keys to be derived as needed, reducing traditional management cost and risks and potentially enabling far simpler key management for the cloud.

'Techniques such as Identity-Based Encryption (IBE) provide stateless key management as a powerful public/private key method for protecting and managing keys in securing unstructured data such as files, emails and large bulk data sets,' explains Reilly.

>See also: 8 cyber security predictions for 2014

Killer cloud

Through this method, enterprises are able to retain residency of live information, eliminate the need to store keys in the cloud, locate key management in different geographies, and integrate with authentication and authorisation systems easily.

As well as positive advances such as this, Pete Nicoletti, chief information security officer at cloud platform provider Virustream, sees it likely that organisations will soon benefit from tools that will further simplify the key management process.

'Currently encryption and key management are functions that are managed separately from the Hypervisor Manager, and the management of encryption agents and associated keys requires advanced support, trained personnel and following extensive and strict processes.' says Nicoletti. 'Over the next few years, more robust APIs will be written and used to orchestrate the encryption function programmatically from one, usually simple, interface.'

As far as key management and encryption security as a service in the cloud are concerned, they may become one of those 'killer' cloud services for a select few. But, Ryan Rubin, UK managing director of business consultancy Protiviti, explains, 'We need to be cautious that similar to the promises of PKI several years ago, the market is ready and the technology robust enough to service client demands.'

Compliance standards such as VISA PIN standards, ANSI Key Management Standards, NIST standards, ISO standards and PCI DSS, which are already relatively mature in key management practices, might soon become established benchmarks for regulators to adopt and measure organisations against them.

But whilst the foundations of tools and technology are there to support this market, Rubin believes there is a way to go before key management can mature, and businesses can finally be absolutely certain they have the best key management and encryption system possible:

'Getting key management right is a challenge for many companies and unless appropriate measures are followed – both business operations and technology, establishing a trust in this space will take time and be hard to maintain longer term.'

- See more at: http://www.information-age.com/technology/security/123457820/keys-castle-encryption-cloud#sthash.otOHULsj.dpuf

Autor: 

Posted by Chloe Green

on 18 March 2014

POS - Novo alvo dos Cyber Criminosos #BrutPOS

BrutPOS Botnet Compromises insecure RDP Servers at Point-of-Sale Systems

Thursday, July 10, 2014 Swati Khandelwal

Cyber criminals are infecting thousands of computers around the world with malware and are utilizing those compromised machines to break into Point-of-Sale (PoS) terminals using brute-force techniques, and the attackers have already compromised 60 PoS terminals by brute-force attacks against poorly-secured connections to guess remote administration credentials, says researchers from FireEye.

The new botnet campaign, dubbed as BrutPOS, aims to steal payment card information from the POS systems and and other places where payment data is stored, by targeting Microsoft Remote Desktop Protocol (RDP) servers that were disgracefully using poorly secured and simple passwords.

Due to the better track inventory and accuracy of records, the Point-of-sale (POS) machine is used worldwide and it can be easily set-up, depending on the nature of the business. But, Point-of-sale (POS) systems are critical components in any retail environment and the users are not aware of the emerging threats it poses in near future.

A group of three researchers from FireEye, named Nart Villeneuve, Joshua Homan and Kyle Wilhoit, found 51 out of 60 Remote Desktop Protocol (RDP) servers located in the United States. It is really shamefull that the most common username used by the breached servers was “administrator” and the most common passwords were “pos” and “Password1”.

Researchers at FireEye has uncovered five BrutPOS command-and-control (CnC) servers, three of which are now offline and two are active, both based in Russia, which were set up in late May and early June. Only a small fraction of the bots are active at any given time.

The campaign has been active since at least February this year. According to the latest count, cyber criminals are running 5,622 bots in 119 countries, majority of them appeared to be located in Eastern Europe given the language used in interfaces and logs, most likely Ukraine or Russia.

"The infected system begins to make connections to port 3389; if the port is open it adds the IP to a list of servers to be brute forced with the supplied credentials," FireEye researchers Nart Villeneuve, Josh Homan and Kyle Wilhoit wrote in a blog post. "If the infected system is able to successfully brute force an RDP server, it reports back with credentials."

Once the BrutPOS malware successfully guesses the remote access credentials of an RDP-enabled system, the attacker uses that information to install a malware program on the infected system and then extracts payment card information from the memory of applications running on it.

The malware also attempted to obtain debug permissions likely to identify POS configurations and if it succeeds in getting those permissions, it runs an executable. But if it failed, it copies itself to%WINDIR%\lsass.exe and installed itself as a service.

The FireEye researchers built a honeypot in an effort to understand the attacker’s intentions. They set-up a fake POS software and left some fake credit card details on the desktop, and allow hackers to compromise it. They issued signals mimicking infection and watched as attackers popped its RDP login and crawled around the box attempting to open its installed PoS software before formatting the drive to erase evidence trails.

In past, we have seen many massive data breaches targeting POS machines such as TARGET data breach, the third-largest U.S. Retailer in which over 40 million Credit & Debit cards were stolen, and multiple retailers including Neiman Marcus, Michaels Store involving the heist of possibly 110 million Credit-Debit cards, and personal information.

Fonte: http://thehackernews.com

Segurança Cibernética no Brasil - Um manifesto por mudanças »

Segurança Cibernética no Brasil - Um manifesto por mudanças »

Crypto-Trade prepares for 2.0 release

Bitcoin exchanges are tricky things. In an industry designed around avoiding the need for trust in any form, there’s something vaguely backwards about putting your money into the hands of an unknown party that may not give it back. The high-profile, probably-fraudulent loss of the money in Mt. Gox only drives the point home. However, as of now, there isn’t a good, provably trustable, decentralized exchange in existence yet. For now, a decent half-measure is community-owned exchanges, with known operators, where the community itself can buy ownership in the exchange, profit on its operations, and exercise a measure of control over it.

That’s what Crypto-Trade originally set out to be. Founded by a small group of friends in late May of 2013, the exchange allows users to trade a variety of cryptocurrencies, charging a small fee for each transaction. Shortly after its launch, the exchange issued an IPO via btct.co and litecoinglobal.com. By purchasing shares, users were able to earn dividends on the operation of the exchange. Unfortunately, this came to a halt when both of those services shut down their operations. Crypto-Trade responded by implementing their own Bitcoin-based stock exchange, and listed themselves on it.

During its lifespan, the exchange has had several periods of limited functionality, due to technical failures of the backend, and a hack in which several thousand dollars were stolen (the owners of the site ate the loss out of their own pocket). However, the site has always returned, and has earned something of a trial-by-fire reputability. That said, its total transaction volume is still much smaller than it needs to be to survive in the long run, and the site has been plagued by delays on various fronts. The operators of the site told CoinReport that these issues were largely due to the labor-intensive way many actions within the site are handled, presumably for security reasons.

In order to address all this, Crypto-Trade plans to launch an updated, revised version of the site (called, simply, “V2″), which provides a number of new features intended to address some of the shortcomings of the current exchange. Planned features include an improved UI, more backend automation, better mobile support for iOS and Android, and the ability to vote on new Altcoin support, in an effort to attract users of other currencies to the platform. On top of that, the exchange plans to implement tiered membership in an effort to make the exchange more profitable and friendlier to power users.

Look for the updated version of the exchange to launch in the next two weeks.

Fonte: https://coinreport.net/

BRy desenvolve certificação digital /autoridade de atributo

Tecnologia tem aplicação em entidades públicas e privadas que emitem documentos como certidões negativas, declarações e credenciais de acesso

Desde 2001, o marco regulatório da internet estabeleceu a certificação digital como a forma mais indicada para identificar um usuário em meio eletrônico. Recentemente, identificou-se a necessidade de permitir, também, a qualificação de um usuário. Ou seja, atestar a identidade não basta, é preciso também agregar outros atributos, como profissão, ligação com entidades de classe, vínculo com empresas, clubes, tanto para pessoas físicas como jurídicas. Em parceria com o Laboratório de Segurança da Informação (LabSEC) da Universidade Federal de Santa Catarina (UFSC), a BRy Tecnologia, de Florianópolis (SC), é pioneira na região Sul do país a desenvolver tecnologia para as chamadas Entidades Emissoras de Certificados de Atributos.

O Certificado de Atributos consiste em um documento eletrônico com informações que qualificam uma pessoa física ou jurídica identificada por seu certificado digital. Um exemplo é a emissão de um atestado de matrícula eletrônico com validade jurídica, em que uma instituição de ensino atesta o vínculo com um de seus alunos. Para acesso aos serviços da instituição ou mesmo de terceiros, como o pagamento de meia-entrada, o aluno conta com uma prova segura, inviolável e reconhecida pela legislação brasileira desse direito. Pode-se citar ainda a emissão de atestados médicos eletrônicos, carteiras profissionais, entre outros.

O Certificado de Atributos eliminou a necessidade de incluir informações excessivas, relacionadas à qualificação de usuários, no próprio certificado digital. “Isso trazia uma série de complicações, pois alguém pode deixar de ser sócio de um clube, por exemplo, ou ter a licença profissional cassada, mas jamais vai deixar de ser quem é. Para remover uma informação referente à profissão de um titular de certificado era preciso revogar o certificado e emitir outro, gerando um transtorno desnecessário”, explica Jeandré Monteiro Sutil, diretor técnico da BRy.

Segundo o diretor, certificados digitais devem conter apenas atributos relacionados à identidade do indivíduo, estáticos, enquanto Certificados de Atributos permitem atributos dinâmicos e de contexto mais específico. O primeiro certificado é emitido por Autoridades Certificadoras mediante um rígido processo de identificação presencial. Já o segundo pode ser emitido por qualquer entidade detentora de um certificado digital, as chamadas Entidades Emissoras de Atributos ou EEAs.

Prevenção de fraudes em benefícios

A autoridade de atributo pode ser aplicada na prevenção de fraudes nos mais variados cenários. Antes de garantir acesso a um medicamento pelo Sistema Único de Saúde, por exemplo, o sistema de dispensação de medicamentos de um hospital conveniado poderá conferir, de forma automatizada e inviolável, que o beneficiário tem direito a ele. Para tanto, bastará que seja verificada a prescrição eletrônica emitida por um médico, devidamente qualificado por um certificado de atributos emitido pelo Conselho Federal de Medicina. A própria prescrição também pode ser um certificado de atributos assinado pelo médico ou instituição a que este representa.

Caso haja uma mudança na condição do paciente, o certificado de atributo pode ser revogado e o benefício é automaticamente cancelado. O objetivo é prevenir atos ilícitos, pois é possível uma pessoa adulterar facilmente uma prescrição médica para obter vantagens. No cenário apresentado, um sistema emissor de certificados de atributos estaria vinculado ao sistema de registro eletrônico utilizado em unidades de saúde. Quando um médico emitir a prescrição, estará declarando que aquele paciente tem direito ao medicamento por determinado período.

Outra aplicação prática é a utilização da tecnologia em Juntas Comerciais e outros órgão da administração pública. Uma vez adotada, a certificação de atributos permitirá qualificar detentores de certificados digitais como representantes legais das empresas. Como o certificado de atributos pode ser incorporado a uma assinatura, dispensará o envio do estatuto social como forma de comprovar a representação legal de uma pessoa jurídica.

Na Receita Federal, a autorização de atributo pode desburocratizar processos, como o de emissão de Certidões Negativas de Débito (CNDs). Ao invés de imprimir um papel com a CND e apresentar junto a uma terceira entidade, o próprio sistema da entidade interessada pode buscá-lo diretamente nos repositórios da Receita Federal, pela internet. Com isso, elimina-se as impressões e agrega-se maior segurança ao processo, pois o certificado de atributos é protegido contra adulteração e possui valor legal como prova.

Regulação ocorreu a partir de 2012

Somente em 2012, o Certificado de Atributos foi regulamentado pela ICP-Brasil, órgão responsável pelo sistema nacional de certificação digital. A BRy oferecerá a tecnologia a entidades de classes, órgãos públicos e privados que emitem documentos oficiais, como declarações, atestados, ou credenciais de acesso. Com a tecnologia aplicada ao Conselho Federal de Medicina ou aos Conselhos Regionais de Engenharia e Arquitetura, por exemplo, será possível identificar o profissional como filiado sem modificar sua certificação digital original. As próprias instituições serão capazes de emitir a credencial, sem precisarem constituir um Autoridade Certificadora.

Fonte:http://www.bry.com.br/

Os benefícios da criptografia para os negócios

Ao contrário do que pode parecer à primeira vista, a criptografia é um campo de conhecimento que está presente regularmente na vida da maioria dos cidadãos.

Por exemplo, na hora de realizar uma compra online, consultar um extrato bancário e até mesmo enviar conversas e imagens através de aplicativos de smartphones ou nas comunicações internas em empresas. Apesar de ser muito utilizada em atividades cotidianas, essa tecnologia ainda é cercada de mistério. Então o que é exatamente a criptografia e por que deve ser usada?

A palavra criptografia, que vem do grego "grafia escondida", é um ramo da matemática cuja função é permitir que mensagens sejam trocadas de modo que apenas o destinatário veja o conteúdo. Isto é, ninguém pode saber qual o saldo da sua conta ou ler seus e-mails sem sua autorização. A criptografia é feita através de cálculos matemáticos complexos, o que torna o conteúdo da mensagem indecifrável para alguém que não deveria ter acesso àquela mensagem. Desde o desenvolvimento das primeiras formas de criptografia, a técnica tem sido usada extensivamente no campo militar para transmissão de ordens e troca de informações sensíveis. Com a criação da Internet e do aumento do tráfego de informações pessoais, como conversas, fotos e informações bancárias, tornou-se indispensável desenvolver uma forma de proteger esses dados, e o uso da Criptografia chegou para fazer isso.

Quando não há preocupação com a proteção dos dados dos clientes, as empresas podem acabar sendo alvo de ataques e sofrer um grande baque na confiança de seus serviços. Dentre casos recentes, podemos destacar o da Sony, que em abril de 2011 teve vazados dados de aproximadamente 77 milhões de usuários da PSN (PlayStation Network), serviço que disponibiliza jogos e outros conteúdos de entretenimento, incluindo dados pessoais como nome, endereço, senha, números de cartão de crédito, dentre outros. Isso aconteceu porque hackers conseguiram acesso a máquinas da rede interna da Sony e os dados dos clientes estavam armazenados sem nenhum tipo de criptografia. O resultado foi que a Sony ficou mais de 20 dias com seu serviço fora do ar, estimando suas perdas em U$171 milhões no período, entre atualizações de segurança e suspensão do serviço.

Em junho de 2013, surgiram as primeiras publicações de documentos vazados da NSA (National Security Agency) por Edward Snowden, ex-funcionário da CIA, que mostravam que os serviços de inteligência norte-americanos obtinham acesso a informações secretas através de uma rede de grampos e parcerias com grandes empresas. Essa vigilância se dava na forma de gravações de ligações, acesso a contas de e-mail, monitoramento do tráfego de informações na rede, além de outras fontes de informações armazenadas por empresas. A revelação levantou a discussão sobre a validade da violação da privacidade de informações pessoais em favor de assuntos de segurança nacional, como a NSA categorizou seus esforços. Essas informações foram obtidas, principalmente, por meio de dados não criptografados na Internet.

Com o aumento na veiculação de notícias sobre perdas financeiras e de dados por conta de falhas de segurança, as empresas têm tido um cuidado maior com a segurança das suas informações e de seus clientes. A criação de equipes responsáveis pela segurança dos dados armazenados é uma prática que tem se tornado cada vez mais comum. Para evitar o uso de métodos criptográficos inseguros, existem órgãos como o NIST (National Institute of Standards and Technology, dos EUA) que mantêm listas atualizadas de modelos considerados seguros.

Por Gabriel Silva - Arquiteto de Software da Stone Age

Criptografia, você deveria conhecer

A Criptografia é a ciência que oculta o significado de uma mensagem e tem como ferramenta os recursos matemáticos para cifrar e decifrar mensagens. O ato de cifrar consiste em transformar um texto normal em texto secreto, e o ato de decodificar é a operação inversa, consiste em transformar um texto cifrado em texto normal.

Antigamente, a cifragem era utilizada na troca de mensagens, sobretudo em assuntos ligados à guerra no intuito de o inimigo não descobrir a estratégia do emissor da mensagem, caso se apoderasse dela. O primeiro uso documentado da criptografia foi em torno de 1900 a.C, no Egito, quando um escriba usou hieróglifos fora do padrão numa inscrição.

Entre 600 a.C e 500 a.C, os hebreus utilizavam a cifra de substituição simples (de fácil reversão e fazendo uso de cifragem dupla para obter o texto original), sendo monoalfabético e monogrâmica (os caracteres são trocados um a um por outros), e com ela escreveram o Livro de Jeremias.

O chamado "Codificador de Júlio César" ou "Cifra de César" que apresentava uma das técnicas mais clássicas de criptografia, é um exemplo de substituição que, simplesmente, substitui as letras do alfabeto avançando três casas. O autor da cifragem trocava cada letra por outra situada a três posições à frente no alfabeto. Segundo o autor, esse algoritmo foi responsável por enganar muitos inimigos do Império Romano; no entanto, após ter sido descoberta a chave, como todas, perdeu sua funcionalidade

Se formos analisar a história da criptografia, vemos que ela era muito utilizada na antiguidade, por reis que se preocupavam, principalmente, com suas táticas de guerra, que não deveriam ser conhecidas por seus adversários, visto que essa falha na segurança poderia até culminar na perda de uma guerra. E por motivos de privacidade ou ocultação de informação que a criptografia é utilizada.

Cada vez mais, são enviadas informações via web. Quem nunca realizou uma compra on-line? Ou então um cadastro onde informações pessoais, como CPF e RG fossem necessários? Ou até mesmo uma transação bancária via Internet Banking? Quem é responsável por garantir que nenhum terceiro ficou sabendo dessas informações? A criptografia é responsável por isso.

Com a evolução da criptografia ao longo dos anos, hoje há mecanismos seguros e eficientes, como o 3DES (Triple Data Encryption Standard) e o AES (Advanced Encryption Standard), que são os algoritmos base para os protocolos usados.

Atualmente, os dois protocolos mais usados para proteção de dados na Internet, o SSL (Secure Sockets Layer) e o TLS (Transport Layer Security) utilizam a criptografia simétrica para proteger os dados transmitidos e armazenados. No entanto, a criptografia simétrica possui um desafio importante e impossível de ser resolvido. Como combinar uma chave secreta entre duas pessoas que querem se comunicar através da Internet? Essa pergunta não teve solução até a década de 1970 e não foi na criptografia simétrica que a solução foi encontrada.

A solução foi dada pela criptografia assimétrica, na qual se utiliza duas chaves distintas, mas que se complementam. Por essa propriedade, dá-se o nome de par de chaves, que é composto pela chave pública e pela chave privada. A chave pública é liberada para todos que desejam se comunicar com o emissor da chave enquanto a chave privada fica em poder de quem a emitiu.

Por exemplo, se Maria deseja enviar um e-mail para João, ela deve obter a chave pública de João e encriptar o e-mail com essa chave. Quando João receber o e-mail, ele deve decriptar com a sua chave privada e obter a mensagem de Maria. Com essa técnica, apenas João poderá obter a mensagem, pois só ele possui a chave privada.

O algoritmo de criptografia mais usado atualmente é o RSA, denominado pelas iniciais dos seus criadores, Ronald Rivest, Adi Shamir e Leonard Adleman.

Nele, números primos (número primo é aquele que só pode ser dividido por 01 e por ele mesmo) são utilizados da seguinte forma: dois números primos são multiplicados para se obter um terceiro valor. Porém, descobrir os dois primeiros números a partir do terceiro (ou seja, fazer uma fatoração) é muito trabalhoso. Se dois números primos grandes (realmente grandes) forem usados na multiplicação, será necessário usar muito processamento para descobri-los, tornando essa tarefa praticamente inviável. Basicamente, a chave privada no RSA são os números multiplicados e a chave pública é o valor obtido.

As redes hoje em dia sofrem cada vez mais ataques que podem comprometer a segurança da informação. Se proteger contra isso é extremamente importante.

Falamos sobre criptografia na transmissão das informações, porém não podemos somente pensar na segurança da informação em trânsito, temos que ter em mente também a confidencialidade quando armazenada, tanto na origem como no destino. De nada adianta você ter seus dados de cartão de crédito enviados de forma criptografada, se ao ser armazenado, esse dado fica disponível para qualquer um, sem nenhum tipo de criptografia.

Devido à sua importância, a criptografia é uma técnica de segurança usada em todos os sistemas computacionais que requerem proteção das informações transmitidas e armazenadas.

Você, usuário doméstico, também deve utilizar criptografia para proteger seus dados. A criptografia não é somente para o ambiente corporativo, qualquer usuário que tenha informações que não deseja que sejam expostas, deve criptografá-las. Hoje, temos diversas ferramentas que ajudam um usuário leigo a utilizar dessas técnicas sem muito conhecimento. Você já utiliza a criptografia para se proteger contra vazamento das suas informações?

(Erick Pedretti Nobre, gerente de Desenvolvimento de Negócios da CYLK)

Fonte:http://www.dm.com.br

OCSP Must-Staple

With the announcement of the Heartbleed bug and the resulting need to revoke large numbers of SSL certificates, the topic of certificate revocation has, once again, come to the fore.

There have been many issues with how revocation information is provided to the browsers. First let’s review how SSL certificate status may currently be obtained:

How	Definition	Pros	Cons
Certificate Revocation List (CRL)	A signed list of the serial numbers of all revoked certificates that were signed by the CA’s certificate.	A single point of reference for the status of all certificates issued by the CA’s certificate.	Over time, CRLs might become very large, resulting in unacceptable latency. An attacker may be in a position to block the CRL delivery.
Online Certificate Status Protocol (OCSP)	A signed response containing the status of one certificate.	An OCSP response is small and does not grow. As such, there is no latency due to size.	Browsers have to obtain an OCSP response for each certificate in the Web server’s certificate chain, requiring it to open additional connections, thereby impacting page load time. Privacy issues may be a concern as the CA can determine which websites a user is visiting. An attacker may be in a position to block the OCSP delivery.
OCSP Stapling	A signed response, fetched by the Web server, with the status of its certificate. The OCSP response is then provided by the Web server to the browser.	No privacy issues, as the CA does not know which user has asked for the OCSP response.	Need Web servers and browsers that support OCSP Stapling. An attacker may be in a position to block the OCSP delivery.
Blacklist (for example,CTLs or CRLSets)	A list of certificates that should not be trusted (whether or not they were revoked), distributed by the browser supplier.	The blacklist is distributed by the browser supplier as part of the browser executable. Any certificate on the blacklist can be rejected without any additional checks.	For practical reasons, the list is incomplete.

Soft-fail Versus Hard-fail

The major concern for browser users is the policy of soft-fail versus hard-fail. The issue is that the certification authority (CA) CRL/OCSP response may not get delivered to the browser. This could occur as a result of a non-malicious failure somewhere in the infrastructure. But, it could also occur as a result of an attack.

Browser designers have determined that the former explanation is overwhelmingly more probable, so they have chosen a soft-fail policy. This means if that there if the browser receives no response, then the certificate will be considered good and the browser will allow access to the associated content.

A hard-fail policy, on the other hand, would mean that if the browser received no response, then the certificate would be assumed to be revoked, and the browser would block access to the content. As of this writing, no major browser implements hard-fail.

OCSP stapling almost resolves the problem, as the OCSP response is bundled into the SSL handshake and is thus easily delivered. However, since websites do not yet universally support stapling, the browser cannot distinguish between an uncompromised site that doesn’t support stapling, and a compromised site where the OCSP response is blocked.

OCSP Must-Staple

To resolve these matters, the solution of OCSP Must-Staple has been suggested. If the Web server could securely tell the browser that it supported OCSP Stapling, then the browser would know to expect an OCSP-stapled response. And if no response was received, the browser could hard-fail.

The website administrator has to determine if their site will support OCSP Must-Staple. First, they will have to have their website support OCSP stapling, then they must add the OCSP Must-Staple flag. The design is not finalized, but the OCSP Must-Staple flag can be implemented in two ways:

1. Must-Staple Assertion in the SSL Certificate
   In this case, the website administrator has to advise its CA that it wants OCSP Must-Staple. The CA will put an object identifier (OID) extension in the SSL certificate indicating Must-Staple. When a user goes to the website, the browser will review the certificate and see the OCSP Must-Staple indicator. It will then require an OCSP-stapled response from the Web server. If no response is received, then the browser will hard-fail.
   There is a draft proposal for an IETF RFC on OCSP Must-Staple.
2. Must-Staple Assertion in the SSL Header
   A more immediate solution to OCSP Must-Staple would be to include the flag in an HTTPresponse header. Mozilla developers are currently working on this solution.
   In this case, the Web administrator will add a Must-Staple response header to their Web server responses. The header will include a max-age specification, which will tell the browser that the Must-Staple flag is valid for a certain period of time. The browser will then cache the Must-Staple information.

The next time the browser goes to the website, it will know that this is a Must-Staple site. If no OCSP staple is received, then the browser will hard-fail.

This solution does have a “first visit” problem (i.e., Trust On First Use or TOFU). This means that until a browser has visited a site, it will not have the Must-Staple information. This would allow an attacker to interfere with the browser’s first visit to a website. This makes the solution good, but not perfect. There is also the possibility that the attack can be mitigated using a preloaded list of Must-Staple sites.

Here is a summary of OCSP Must-Staple:

How	Definition	Pros	Cons
OCSP Must-Staple (assertion in certificate)	The flag is implemented as a specific object identifier (OID) extension in the SSL certificate	No “first visit” problem – all connections to the Web Server carry the Must-Staple flag.	Web server needs a certificate issued with the OCSP Must-Staple flag.
OCSP Must-Staple (assertion in HTTP Response)	The flag is implemented as an HTTP Response Header	Works with existing SSL certificate.	“First visit” problem

OCSP Must-Staple removes most of the issues with traditional revocation checking, and allows the browsers to implement a hard-fail policy. Although there are some cons listed, these are basically items that will be resolved as the deployed browsers and Web servers support OCSP Stapling and Must-Staple.

Currently, all of the new desktop browsers support OCSP stapling. Regarding Web servers, Microsoft IIS by default supports OCSP Stapling and versions of Apache and Nginx can be configured to support OCSP Stapling. Other servers such as F5 will soon support OCSP Stapling as well.

Fonte: https://casecurity.org

QualiSign recebe prêmio de melhor solução inovadora 2014 da FEBRABAN

A QualiSign acaba de receber o prêmio de “Produto Mais Inovador” entre as soluções expostas no Espaço Inovação do CIAB FEBRABAN 2014 - Congresso e Exposição de Tecnologia da Informação das Instituições Financeiras, o maior e melhor evento da América Latina tanto para o setor financeiro quanto para a área de tecnologia.

O prêmio foi entregue à QualiSign, em 06/06/2014, pelo Sr. Wilson Roberto Levorato, diretor geral da FEBRABAN, no auditório Linha de Negócios.

A solução premiada é o Portal de Assinatura Digital QualiSign (www.documentoeletronico.com.br), uma solução SaaS (Software as a Service) de Assinatura Digital e Gerenciamento de Documentos Eletrônicos & Identidade desenvolvida e operada pela QualiSign.

Permite, dentro de um único ambiente integrado, a Assinatura Digital, Armazenamento, Compartilhamento, Gerenciamento e Consulta de Documentos Eletrônicos, incluindo Controle de Poderes e Alçadas, Workflow, Envio de Notificações com Evidências de Entrega, Carimbo de Tempo e Autenticação de Usuários com o uso de Certificados Digitais.

Waldemar Felippe

O Portal QualiSign foi idealizado para uso corporativo. Centenas de empresas já utilizam a solução que possui características únicas de segurança, controle de fluxo de documentos, assinatura em lote de documentos de empresas de um mesmo grupo econômico, rateio por centros de custos, possibilidade de integração com sistemas corporativos e adequação à identidade visual de cada empresa, e uma série de outras funcionalidades essenciais para empresas que querem se tornar cada vez mais competitivas.

Através dos serviços oferecidos pelo Portal QualiSign é possível alcançar diversos benefícios como: redução de custos, maior agilidade na formalização de contratos, aumento de produtividade, mobilidade, segurança e controle de documentos e poderes.

O Portal QualiSign conta ainda com o respaldo da AR-QualiSoft, Autoridade de Registro (AR) credenciada pela ICP-Brasil e vinculada às ACs SERASA CD, SERASA JUS e SERASA RFB. A QualiSign também é Autoridade de Carimbo de Tempo (ACT-QualiSign) homologada pelo Observatório Nacional (ON/MCTI).

A QualiSign é uma empresa com apenas cinco meses de idade que já nasce com a experiência de mais de 10 anos da QualiSoft em soluções de Assinatura e Certificação Digital. Ela foi criada para que houvesse maior foco no desenvolvimento do negócio de formalização e identificação digital.

Operações de câmbio sem papel

CASE QUALISOFT

Para atender o aumento expressivo do volume de operações de câmbio, que hoje atinge 3,4 mil operações/mês, a área de BackOffice da Advanced percebeu a necessidade de um processo mais automatizado, principalmente no que tange à formalização dos contratos. “As operações de câmbio são ágeis, mas a formalização traz custos crescentes de transporte, controle e armazenamento dos papéis. Para atacar este problema procuramos uma solução de assinatura digital”, comenta Wladimir Pereira, responsável pelo BackOffice da Advanced.

Para implementar rapidamente a assinatura digital dos contratos buscou-se uma solução pronta no mercado. A solução adotada foi o PNDE – Portal Nacional do Documento Eletrônico, da empresa QualiSign. Atendimento e suporte rápido, solução confiável e preço competitivo foram as variáveis determinantes para a escolha.

O uso da assinatura digital também trouxe outros benefícios para a corretora, como o controle de poderes. “Com a assinatura digital temos mais segurança, pois temos a certeza de quem assinou é o representante legal da empresa. Outro ganho expressivo foi a agilidade e o controle on-line de todos os contratos assinados digitalmente. Além de conseguirmos localizar rapidamente qualquer contrato, atendemos outras demandas com mais facilidade e rapidez, como as auditorias internas, Banco Central e fiscalização da Receita Federal”, enfatizou Wladimir.

A Advanced optou por integrar o sistema de BackOffice com o PNDE, o que trouxe um aumento ainda maior de produtividade. Com isso, as operações não precisam ser redigitadas no portal de assinaturas. Elas migram automaticamente do sistema de BackOffice para o portal que, imediatamente, dispara a coleta e o controle das assinaturas digitais.

Atualmente, 23% dos contratos já são assinados digitalmente. “Estamos criando campanhas para estimular nossos clientes que ainda assinam os contratos em papel a utilizarem a assinatura digital. Nossa experiência tem mostrado que aqueles que começaram a assinar os contratos digitalmente não querem voltar mais à idade da pedra, ou melhor, do papel. Alguns já exigem o uso da assinatura digital como pré-requisito para o fechamento da operação”, enfatiza Juleandro.

Os clientes da corretora também têm vantagens, como agilidade e redução de custo por meio da assinatura em lote. “Alguns clientes chegam a assinar 100 contratos por dia em minutos. Imagine o tempo gasto pelos executivos para assinar todos estes contratos em papel, diariamente? Sem contar que eles precisavam imprimir todos os contratos e despachá-los em malotes para a corretora. Hoje a operação para esses clientes é rápida e eles podem assinar o lote todo em minutos”, conta Wladimir.

Outra descoberta importante feita pela área de BackOffice foi identificar que alguns clientes já possuíam certificado digital, porém o utilizavam somente para fins fiscal e tributário e desconheciam que ele poderia ser utilizado para assinar digitalmente os contratos de câmbio.

Neste ano a corretora prevê um crescimento de 30% na receita, mantendo assim seu ritmo acelerado de expansão.

Fonte:http://www.documentoeletronico.com.br