Medindo o Custo de Serviços de Segurança em Sistemas de Informação Orientados a Comércio Eletrônico

Transcrição

1 RESI Revista Eletrônica de Sisteas de Inforação, Edição 8, Nº Medindo o Custo de Serviços de Segurança e Sisteas de Inforação Orientados a Coércio Eletrônico Rodrigo Thiesen Flores 1, Vinicius Gadis Ribeiro 2 1 Dell Coputer do Brasil, GDC Brazil, Av. Bento Gonçalves, 95A, Porto Alegre, RS, Brasil rodrigo_thiesen@dell.co 2 Centro Universitário Ritter dos Reis, Faculdade de Sisteas de Inforação, Rua Orfanotrófio, 555, Porto Alegre, RS, Brasil vinicius@uniritter.edu.br Resuo Este artigo apresenta a análise do resultado da condução de u conjunto de experientos, no sentido de se quantificar qual o custo tepo que u sistea de coércio eletrônico deanda, para prover os serviços de segurança necessários para que os usuários considere u sistea confiável. Para tanto, fora epregadas três áquinas e situação de laboratório, e foi realizada a toada de tepos, considerando-se aplicações siples que efetuava counicação de dados - siulando as ensans entre as partes coponentes de u sistea de coércio eletrônico. Buscou-se epregar as tecnologias atuais para prover serviços de segurança, e realizar edições co a ausência/presença desses serviços. Os resultados obtidos nos experientos - considerando-se as condições de laboratório - possibilita afirar que o ipacto, e teros de tepo, não é significativo. Palavras-chave : Coércio Eletrônico, Segurança Coputacional, Análise de Desepenho. Abstract This paper presents the analysis of soe experients on processing and counication ties aong achines that siulate an electronic coerce syste. The object of this work is easure the ipact to using security technologies in electronic coerce systes. The results of the experients allow to assert the ipact of the use of these technologies is iniu, considering the experients conditions. Key-words : Electronic Coerce, Coputer Security, Perforance Analysis. 1 Introdução O projeto de desenvolviento da Internet tinha coo objetivo peritir que pesquisadores e counidade científica de diversos locais no undo pudesse interagir entre si, possibilitando a realização de pesquisa ebora, e seu ebrião, tivesse caráter ilitar. Assi, não havia a necessidade de qualquer preocupação co a segurança das inforações que transitava pela rede, e razão do clia de confiança existente razão pela qual os protocolos de counicação não requeria ipleentação de serviços serviços de segurança, exceto o serviço de integridade. Posteriorente, iniciou-se o uso da rede para fins coerciais. Necessidades coerciais incorrera, e u prieiro oento, e trocas de docuentos eletrônicos electronic data interchan, ou EDI. Co a evolução da Internet nos últios anos, propagara-se diversas facilidades, proporcinando condições para o estabeleciento de coércio eletrônico (ou e-coerce ). Essa nova funcionalidade popularizou-se rapidaente, devido aos baixos custos e grande dinaiso e operações. O coércio eletrônico atualente pode ser divido e três tipos básicos, para fins de estudos: o Negociante Para Negociante NPN ou, e inglês, business-to-business (B2B) -, Negociante Para Consuidor NPC ou, e inglês, business-to-consuer (B2C) - e o Consuidor Para Consuidor CPC, ou siilar e inglês, consuerto-consuer (C2C)[1, 2, 8]. Os usuários estão se adaptando uito be à facilidade de contratar serviços ou fazer copras pela web [3, 12]. Poré, há a preocupação de garantir outros serviços de segurança que não a a integridade das transações, ua vez que, da esa fora que cresce o coércio eletrônico, cresce o núero de tentativas de invasões de sítios e servidores, co o intuito de apropriação indevida de recursos ou de inforação, sob

2 RESI Revista Eletrônica de Sisteas de Inforação, Edição 8, Nº várias foras[4, 15]. Essas foras são divididas e dois tipos de ataques: passivo (onitoraento de dados na transissão, cópia da transissão, etc.) ou ativo (interceptação e alteração da transissão, inserção de dados falsos, etc.)[15]. Os ataques passivos são difíceis de sere detectados porque não altera nenhua inforação, não peritindo a rápida identificação do que ocorreu. Entretanto, tabé é difícil prevenir-se de alguns dos ataques ativos, porque adversários estão sepre adquirindo inforações para invadir u sistea ou rede, identificando novas vulnerabilidades dos sisteas, ou explorando antigas falhas. Nesse caso, obtê-se dados para prevenção apenas após a realização do ataque. A Internet é ua rede pública que faz o transporte de ensans[15]. Dado o seu projeto inicial, o controle de certos serviços de segurança era liitados, restringindo-se, principalente, à garantia de integridade de dados. Logo, e aplicações orientadas a coércio eletrônico na Internet, pode ocorrer exposição de inforações, funcionaento inadequado do sistea, espiona, ataques diversos, seqüestro de senhas e outros tipos de danos. Não apenas o Internet está exposta: as redes privadas tabé estão sujeitas a essas invasões. Outros fatores que afeta a segurança no coércio eletrônico são a á adinistração da rede, ou dos sisteas se controle, ou do onitoraento da segurança. Coo fora de iniizar a ocorrência desses ataques e invasões, fora criados e aperfeiçoados diversos ecanisos destinados a prover outros serviços de segurança, dentre os quais a criptografia e os protocolos criptográficos, que define regras para o transporte de ensans pela rede de coputadores. A relevância do trabalho aqui proposto está ligada diretaente ao ipacto, no desepenho, de se utilizar tecnologias de segurança no coércio eletrônico, ua vez que todas as transações eletrônicas nesse sento exi serviços de segurança - coo privacidade, integridade, autenticidade e não-repúdio[14, 16]. Há a necessidade de se dotar tais serviços; contudo, sabe-se qual será o ipacto no desepenho desses sisteas? Haverá auento significativo no custo tepo de operações? O presente trabalho conduziu u experiento[14, 17], considerando os dados coletados na execução de u protótipo cliente/servidor desenvolvido co base nas principais tecnologias de segurança para o coércio eletrônico e a conseqüente análise do ipacto do uso das esas. Encontra-se dividido nas seguintes seções: a seção 2 trata da etodologia co a qual foi conduzido o experiento, be coo o funcionaento do protótipo desenvolvido; a seção 3 apresenta os resultados obtido e, na seção 4, são apresentadas as considerações finais, liitações e trabalhos futuros. 2 Metodologia O experiento foi conduzido sob condições de laboratório - isto é, ebora tendo sido considerados protocolos epregados pela Internet, os tepos de espera e outros fatores poderia deandar análises ais coplexas, possibilitando que esse trabalho possa ser conduzido, breveente, e condições de capo. A seguir é apresentada a arquitetura do protótipo e breve descrição de seu funcionaento. O protótipo fora desenvolvido e arquitetura cliente - e núero de dois - e servidor, tendo sido possível verificar coo funcionou a troca de ensans e o coportaento e eficácia de alguas tecnologias de segurança epregadas - considerando-se ua rede exclusiva. Os equipaentos da rede tinha a esa configuração: 15 coputadores PC Pentiu 4 2.2GHz, co 256 MB de eória RAM e disco rígido de 40 GB, co conexão via switch, co placas de rede co protocolo Fast Ethernet 100Mbps. As considerações sobre o tepo já leva e conta o tepo de latência dessa sub-rede. Figura 1: Arquitetura do protótipo desenvolvido Para a arquitetura acia referida, foi desenvolvido u protótipo e Object Pascal - Delphi para a platafora Windows; tendo sido executado no abiente de rede local para a coleta dos dados, confore já citado. Confore pode-se inferir, essa arquitetura propõe o eprego de chaves públicas, rência das últias, cifra e decifra de ensans, assi coo assinatura e verificação das ensans, vindo, assi, a fornecer os serviços de segurança[16] de autenticação, não repúdio, e privacidade tão essenciais quando se trata de coércio eletrônico. A sub-seção a seguir apresenta o funcionaento do protótipo, assi coo de seus coponentes clientes e servidor Funcionaento do protótipo A arquitetura acia propõe a utilização TLS, X.509, RSA/Diffie-Hellan, SHA-1, entretanto, este trabalho fez alguas restrições na utilização das tecnologias. Por exeplo, os algoritos que eprega criptografia que este protótipo trabalha são RSA/Diffie- Hellan e SHA-1. O X.509 não foi ipleentado, porque não foi possível encontrar u servidor de certificado digital disponível para realizar a ipleentação desse servidor. Entretanto, prevendo

3 RESI Revista Eletrônica de Sisteas de Inforação, Edição 8, Nº futuros trabalhos, o servidor já dispõe de ua classe preparada para trabalhar co o X.509. TLS: ou Transport Layer Security, é u protocolo criptográfico que buscar prover counicação segura na Internet. Foi derivado do Secure Sockets Layer ou SSL -, da Netscape, e padronizado pela Internet Engineering Task Force. Após o estudo teórico do eso, foi ipleentado baseando-se na RFC2246. O TLS foi epregado e todas as ensans co ou se segurança e se a necessidade do uso de todos os recursos descritos na RFC[5, 6, 7, 9]. X.509: Padrão que serve de base para a infraestrutura de chaves públicas pela Internet Engineering Task Force. Esse padrão foi considerado no presente trabalho, as não ipleentado foi estudada essa tecnologia; entretanto, confore já citado, não foi ipleentada por questão de custo econôico. As RFCS que trata do X.509 são as RFC2459 e RFC3039 [18]. RSA/Diffie-Hellan: são clássicos esqueas de chave pública, necessários para fornecer os serviços de privacidade e não-repúdio. Abos os esqueas fora ipleentados, a fi de obter o serviço de privacidade na troca de ensans. O servidor fornece dois parâetros ( g e n ) para os clientes que conectare ao servidor. O cliente infora ua chave privada ( x/y ) e o sistea calcula a chave pública que é trocada entre os clientes. Depois da troca, é calculada a chave pública cou entre os dois clientes. A chave pública é epregada no oento de cifrar a ensa, enquanto que a chave privada é usada para decifrar a ensa no oento e que há a troca de ensans entre os clientes[11, 17]. SHA-1: é u esquea para assinatura digital, necessário para fins de prover o serviço de autenticação, ou validar ua ensa. A validação, no protótipo desenvolvido, é necessário para trabalhar a ensa que foi cifrada pelo cliente 1 e decifrada pelo cliente 2. Quando o cliente 2 recebe a ensa, ele decifra a ensa e, aplicando o SHA-1 na ensa decifrada, pode realizar a coparação das assinaturas - caso fore iguais à ensa, então esta é considerada válida[14]. Deve ser lebrado que, durante a condução do presente estudo, não se havia ainda notícias de ataques a essa últia tecnologia. Há trabalhos que indica possíveis ataques ao RSA e, recenteente, ao SHA-1. Contudo, tais algorito fora escolhidos para o desenvolviento do protótipo, e função da siplicidade, o que perite anter o foco do trabalho nas questões de desepenho e sua edição O Módulo Servidor O ódulo servidor opera da seguinte fora: o servidor disponibiliza alguns parâetros para os clientes, faz o renciaento da troca de ensans entre os clientes e possibilita salvar o log e u arquivo do tipo texto. Prieiraente o servidor é inicializado, para que seja inforados parâetros - no caso, os valores de g e n e escolher o tipo de criptografia que será usada pelos clientes. Se nenhu tipo de segurança foi selecionado, então a troca ensans será feita de odo padrão - Diffie-Hellan. Esse servidor tabé trabalha coo u idleware entre os clientes, porque ele recebe e envia ensans de dados e confiração. Os parâetros g e n deve respeitar a definição do étodo Diffie-Hellan, podendo o valor n ser epregado, tabé, no étodo RSA - tabé respeitando as suas definições. Existe três funcionalidades que se pode controlar a interface do ódulo servidor, confore se pode observar na figura 2 posterior: Coeçar: usado para que o servidor verifique se os capos g e o n estão preenchidos, se o g é prio, estabelecer conexão co os clientes e fazer troca de ensans entre os clientes. Se o servidor é inicializado corretaente, ra-se a ensa no rodapé - Executando.... Parar: usado para parar o serviço do servidor, ou seja, parar a counicação entre os clientes. Nesse caso, a ensa ostrada no rodapé é Desconectado. CHK: usado para salvar todas as ensans que estão no log da tela para u arquivo texto. A seguir, é apresentada a interface do ódulo servidor: Figura 2: Interface do ódulo servidor.

4 RESI Revista Eletrônica de Sisteas de Inforação, Edição 8, Nº O Módulo Cliente Co relação ao ódulo cliente, seuas funcionalidades engloba o estabeleciento da conexão co o servidor, ração das chaves (pública e privada), envio e recebiento de ensans e anutenção de u log e u arquivo tipo texto. Quando da inicialização do ódulo cliente, é necessário inforar dois parâetros: coputador escolhido e noe, para que se possa conectar ao servidor. Quando ativado o botão CHK ao lado do noe, é estabelecida a conexão co o servidor e se recebe ua ensa de resposta. Após receber os parâetros g e n e apresentar ao usuário as possíveis tecnologias de segurança (TLS, RSA, SHA-1 e X.509) que pode ser utilizadas, é apresentada a ensa no rodapé: Conectado a <servidor> - Versão <protocolo TLS>. Se estiver soente arcado o TLS, pode-se enviar a ensa se fazer a troca de chaves, porque o servidor escolheu a fora que os clientes estão trabalhando se nenhua outra opção de uso de tecnologia de segurança. Caso contrário, deve-se colocar a chave privada (x/y) e pressionar Calcula. O cliente calcula a chave pública que será enviada para o outro cliente através do étodo criptográfico RSA, utilizando a chave privada, e os parâetros g e n. O resultado desse cálculo é enviado para o servidor, que envia para outro cliente. O servidor recebe a ensa e aguarda que o próxio cliente requisite a ensa para que ele possa enviá-la. Ao receber a ensa, o cliente calcula através do RSA para obter as chaves pública e privada que serão utilizadas por ele. A estrutura da ensa de resposta conté as seguintes inforações: Tipo da ensa = 0 Versão do protocolo = 1.0 Endereço do cliente = endereço host Valor de G = núero ípar Valor de N = qualquer núero RSA = Infora se será usado ou não pelos clientes SHA-1 = Infora se será usado ou não pelos clientes X.509 = Não ipleentando. Nesse oento, os clientes e o servidor estão prontos para fazer a troca de ensans co segurança, de acordo co as tecnologias adequadas que fora selecionadas no servidor. Quando u dos usuários digitar a ensa e acionar o botão Enviar Mensa, o sistea aplicará todas as tecnologias de segurança que o servidor tiver escolhido - o que perite analisar o ipacto individual de cada ua delas, considerando cada opção escolhida. Se estiver utilizando RSA/Diffie-Hellan e SHA- 1, o sistea vai cifrar a ensa, utilizando a chave pública e aplicar assinatura digital na ensa original, para que o usuário que receber a ensa, possa verificar a autenticidade e a integridade da esa. Detalhes pode ser visualizados na figura 3, que apresenta a interface cliente do protótipo. Figura 3: Interface dos ódulos cliente. Quando acionado o botão Receber ensa, o sistea busca a ensa e a decifra, utilizando a chave privada e, se necessário, aplica a assinatura digital na ensa decifrada para poder validar a assinatura da ensa que havia recebido. O conteúdo que o cliente recebe conté a ensa cifrada e a assinatura digital quando solicitado, sendo essa assinatura digital da ensa recebida que é coparada co a assinatura da ensa decifrada, para fins de verificação. A estrutura dos dados recebidos pelo servidor é a seguinte: Tipo de ensa: 1 Endereço do cliente: endereço do host Chave Pública: Resultado do cálculo Outras inforações relevantes sobre a counicação o cliente/servidor: foi utilizada a tecnologia WinSock (API) do Delphi para estabelecer conexão. Nessa API, é realizada rotina de handsacke para estabelecer a conexão entre o servidor e o cliente, e todas as trocas de ensans entre os clientes e o servidor. esse protótipo pode ser executado nua áquina ou e ais de ua. Quando utilizado nua áquina, é necessário definir, no capo Coputador dos usuários, a expressão localhost. a biblioteca de assinatura digital foi ipleentada por Dave Barton, e está liberada para ser utilizada e outros trabalhos acadêicos. sepre é necessário ter ativos, no ínio, dois clientes e u servidor para que se possa

5 RESI Revista Eletrônica de Sisteas de Inforação, Edição 8, Nº utilizar o protótipo, para que se possa adquirir dados para posterior análise. A vanta de se epregar os ódulos clientes descritos na fora acia é que o eprego de tal ódulo tanto pode representar u consuidor, quanto u negociante. A próxia seção apresenta os resultados obtidos na experientação. 3 Resultados Obtidos As condições de experientação fora as seguintes, considerando as três situações exploradas para posterior análise de dados: no prieiro caso, cada protótipo cliente/servidor foi executado se nenhu tipo de segurança. no segundo caso, cada protótipo cliente/servidor foi executado, utilizando Diffie-Hellan/RSA na segurança da troca de ensans. e no terceiro e últio caso, cada protótipo cliente/servidor foi executado na cobinação de Diffie-Hellan/RSA e SHA-1 para troca de ensans co segurança. O TLS foi utilizado nos três casos: observou-se ínio ipacto - provavelente, por já vir incorporado e diversas tecnologias. E todos os casos, fora utilizadas as esas ensans para tornar possível a avaliação do ipacto no desepenho. Para fazer essa verificação no protótipo, fora definidas trinta e quatro ensans, que tê taanhos diferentes, para que se possa coletar o tepo utilizado por cada processo e, alé disso, se possa visualizar as ensans co criptografia e assinatura digital. Cada ensa foi subetida quarenta vezes, e os tepos apresentados nas tabelas é o tepo édio para cada variável tepo. Assi, por exeplo, o tepo ínio apresentado na tabela representa o tepo ínio édio, considerando a édia dos tepos ínios das quarenta execuções. Para detalhes dessas inforações, ver apêndice B disponível e endereço eletrônico nas considerações finais do presente trabalho. E todos os três casos, foi usada a esa inforação nos parâetros, para que se tenha o eso cenário nas três verificações. Após executar os testes, nos três casos, foi possível analisar os tepos de cada ensa e identificar qual o ipacto dessas tecnologias na troca de ensans. Essa verificação foi feita e dois oentos: no prieiro oento, utilizando ua áquina co platafora Windows 2000 e, no segundo, utilizando três áquinas co platafora Windows XP. Nesse últio caso, ua áquina era o servidor e as outras duas operara coo áquinas clientes. U ponto iportante é que o servidor tabé é utilizado coo u iddleware, fornecendo os parâetros g e n, e repassando as ensans de u cliente para outro. Nos testes, u cliente soente enviava as ensans e outro só recebia as esas. Coo já citado, três fora as situações exploradas na experientação, cujas condições se segue. Caso 1 - Protótipo Se Serviço de Segurança Nesse experiento, o cliente/servidor não utilizou nenhua opção de eprego de tecnologia de segurança, a fi de obter o aior desepenho nas trocas de ensans, servido coo controle. Essa verificação foi feita para se obter u tepo base édio e apresentar, de fora objetiva, o ipacto do Diffie-Hellan/RSA e SHA-1 no desepenho da troca de ensans (coércio eletrônico). Os logs dos ódulos clientes e do ódulo servidor, nessa situação, estão divididos e áquina local e áquinas e rede. Para detalhes dessas inforações, ver apêndice C disponível e endereço eletrônico nas considerações finais do presente trabalho. Caso 2 - Protótipo co Diffie-Hellan/RSA Já nesse experiento, o cliente/servidor utilizou o Diffie-Hellan/RSA na configuração de segurança, para fazer a criptografia das ensans. Nesse caso, foi necessária a troca de chaves entre os clientes para rar a chave pública cou entre eles e rar a chave privada de cada u deles. Os logs dos dados das áquinas de clientes e do servidor desse caso estão divididos e áquina local e áquinas e rede. Para detalhes dessas inforações, ver apêndice D disponível e endereço eletrônico nas considerações finais do presente trabalho. Caso 3 - Protótipo co Diffie-Hellan/RSA e SHA-1 Finalente, nesse experiento, o cliente/servidor utilizou Diffie-Hellan/RSA e SHA-1 na configuração de segurança, para fazer a criptografia e assinatura digital das ensans. Nesse caso, tabé foi necessário realizar a troca das chaves entre os clientes para rar a chave pública cou entre eles e rar a chave privada de cada u deles. Os logs dos clientes e do servidor desse caso estão divididos e áquina local e áquinas e rede. Para detalhes dessas inforações, ver apêndice E disponível e endereço eletrônico nas considerações finais do presente trabalho. Os testes fora executados co ensans que tê taanhos que varia de 10 bytes até 1339 bytes, e dois abientes: nua áquina co Windows 2000 e nua rede co três áquinas, co Windows XP. Para detalhes dessas inforações, ver apêndice B disponível e endereço eletrônico nas considerações finais do presente trabalho. Os dados coletados nestes testes fora analisados e paraetrizados. Para detalhes dessas inforações, ver

6 RESI Revista Eletrônica de Sisteas de Inforação, Edição 8, Nº apêndice F disponível e endereço eletrônico nas considerações finais do presente trabalho. A seguir, são apresentados dois quadros que conté os tepos áxio, ínio e édio das ensans enviadas e recebidas para os três casos descritos acia. A unidade de edida de tepo utilizada foi ilésios de segundos. Tabela 1: Resultados do teste e Rede (tepo e ilésios de segundos) TE Caso 1 Caso 2 Caso 3 M Mens Me Total Me Me Tot Me Mens Total a nsa nsa nsa al nsa a envia receb da ida rec ebi env rec iad ebi env iad da a da a Mín Máx Méd Fonte: Elaborado pelos autores, 2006 Analisando a tabela 1 do teste rede, é possível observar que o tepo ínio foi igual nos casos dois e três, e relação ao caso 1 que não possuía configuração de qualquer tecnologia de segurança e que realizou o protocolo de odo ais rápido - coo seria de se esperar. O tepo áxio ostrou que, cada vez que era incorporada ua tecnologia de segurança, auentava o tepo de envio e recebiento de ua ensa. Já o tepo édio ostrou que os casos 2 e 3 tê praticaente o eso tepo para envio e recebiento de ensans. Contudo, o caso 3 eprega outra tecnologia de segurança, alé da epregada no caso 2: o SHA-1. Assi, pode-se inferir, e u prieiro oento, que a tecnologia SHA-1 não incorre e ipacto sensível co a tecnologia de edição epregada para o tepo. A seguir, são apresentados os resultados dos tepos obtidos no teste 2, e situação de áquina local. Tabela 2: Resultados do teste - local (tepo e ilésios de segundos) TE M Caso 1 Caso 2 Caso 3 Me Me Total Me Mens Total Me Mens Total nsa nsa nsa a nsa a receb ida receb ida env rec iad ebi env iad env iad a da a a Mín Máx Méd Fonte: Elaborado pelos autores, 2006 Analisando a tabela 2 do teste local, é possível verificar que o tepo ínio foi igual nos três casos. Os valores de tepo áxio ostrara que, cada vez que era incorporada ua tecnologia de segurança, auentava o tepo de envio e recebiento de ua ensa coo esperado. Já os valores de tepo édio ostra que os casos 2 e 3 tê praticaente o eso tepo para envio e recebiento de ensans; entretanto, o caso 3 eprega outra tecnologia de segurança, alé da epregada no caso 2: o SHA-1. Na próxia seção, são apresentadas as considerações do presente trabalho, assi coo liitações e trabalhos futuros. 5 Considerações Finais e Liitações Para a realização do presente trabalho, fez-se u estudo sobre alguas tecnologias de segurança para troca de ensans representando transações coerciais, e foi epregado u protótipo desenvolvido e Object Pascal para coletar dados que possibilitasse a análise do ipacto do uso das seguintes tecnologias: TLS, RSA/Diffie-Hellan e SHA-1. A análise dos resultados apresentados nas tabelas 1 e 2 possibilitou constatar que a utilização de segurança é viável e teros de desepenho e necessária para que haja privacidade, confiabilidade, autenticidade e integridade das partes que utilizarão as aplicações para Coércio Eletrônico. Entretanto, é preciso levantar alguas considerações: certaente, para realizar ua ipleentação e condições de capo, deve ser epregados algoritos otiizados para criptografia, assinatura digital e certificados digitais; adeais, lebra-se que é iprescindível que a rede e áquinas encontre-se corretaente configuradas para as counicações necessárias. Ua liitação que se deve destacar é que o trabalho foi conduzido exclusivaente e situação de laboratório. Certaente, ao se realizar experiento e capo, poder-se-á obter resultados diversos daqueles aqui apresentados. Há ainda, coo liitações desse trabalho, o taanho áxio das ensans (e torno de bytes), e o núero de clientes que o servidor coportou (liitado a 2). Alguns fatores que provavelente viera a afetar o tepo de envio e recebiento de ensans fora: a pequena capacidade da eória dos coputadores envolvidos e cifrar e decifrar as ensans visto que, dependendo do taanho usado para as chaves (privada ou pública) é necessário o eprego de ais eória, para que não haja perda de desepenho; e os algoritos de criptografia, assinatura digital e certificação a lógica aplicada no desenvolviento desses algoritos pode afetar no desepenho, visto que ipleentações

7 RESI Revista Eletrônica de Sisteas de Inforação, Edição 8, Nº coerciais que já eprega tais algoritos eprega técnicas de otiização dos esos. Ua outra liitação que deve ser considerada é o não eprego da tecnologia X.509, por otivos de não disponibilidade, no oento da condução do experiento, de u servidor público que viabilize a utilização dessa tecnologia. E teros de consuo de tepo, a tecnologia SHA-1 não se apresentou onerosa. Contudo, deve-se ter e vista reservas, visto haver recentes counicações técnicas sobre ataques a essa tecnologia. De fora ral, considerando-se a análise dos dados obtidos, pode-se concluir que o eprego dessas tecnologias não incorreu e deanda de tepo sensível ao usuário - dadas as condições de laboratório. Os apêndices citados no presente trabalho - os quais conté os dados coletados durante os experientos - não poderia ser acoodados no forato do presente trabalho, razão pela qual encontra-se integralente disponíveis e: thiesenseguranca Coo sustão de futuros trabalhos futuros, podese ipleentar esse trabalho e linguans de abientes de software livre Kylix ou Java, por exeplo - para que se tenha a vanta da portabilidade e outras plataforas e sisteas operacionais e há possibilidade de se desenvolver ua biblioteca, ipleentando certificação digital (X.509), e estudar outras tecnologias de segurança para analisar o ipacto das esas, vindo-se a explorar outras situações. Agradecientos Os autores agradece o apoio do Centro Universitário Ritter dos Reis, da Dell Coputers(GDC Brazil) e do trabalho de Dave Barton, cuja hoe pa conté diversos recursos e Delphi - especificaente, a biblioteca que apoiou parte da ipleentação do protótipo, disponível na Internet por http e Referências [1] ADAM, Nabil R.; DOMAGRACI, Oktay; GANGOPADHYAY, Aryya. Electronic Coerce. Upper Saddle River: Prentice Hall PTR, [2] ADDIE, R.G. e-coerce Security Architecture. Acesso e 21.set [3] BRASIL. Ministério da Ciência e Tecnologia (MCT). a/noticias_5/coercio_5.ht. Acesso e 30.nov [4] BERNSTEIN, Terry; TERRY, BHIMANI; Anish B.; SCHULTZ, Eune. Segurança na Internet. Rio de Janeiro: Capus, [5] BLAKE-Wilson, S.; NYSTRON, M.; HOPWOOD, D; MIKKELSEN, J. RFC 3546 (Draft) Transport Layer Security (TLS) Extensions Disponível na Internet por http e: Acesso e 2.ago [6] DIERKS, T.; ALLEN, C.RFC 2246 The TLS Protocol Version Disponível na Internet por http e: Acesso e 21.abr [7] DIERKS, Ti; RESCORLA, Eric. RFC 2246 (Draft) The TLS Protocol Version Acesso e 21 fev [8] GARFINKEL, Sison; SPAFFORD, Gene. Coércio e Segurança na WEB. São Paulo: Market Press, [9] HOLLWNBECK, S.. RFC 3749 Transport Layer Security Protocol Copression Methods Acesso e 21.fev [10] IBM. ikp. ecoerce/ikp.htl. Acesso e 20.aio [11] JONSSON, J.; KALISKI, B. RFC 3447 Public- Key Cryptography Standards (PKCS) #1: RSA Cryptography Specifications Version Acesso e 20.aio [12] MINOLI, Daniel: MINOLI, Ea. Web Coerce Technology Handbook. New York: McGraw-Hill, [13] RIBEIRO, Vinicius G. U estudo sobre os étodos de pesquisa utilizados e segurança coputacional - criptografia. Porto Alegre: PPGC da UFRGS, (Trabalho individual 916). [14] SCHNEIER, Bruce. Applied Cryptography: Protocols, Algoriths and Source Code in C. New York: John Wiley, [15] SMITH, Richard E. Internet Cryptography. Massachussets: Addison-Wesley, [16] STALLINGS, Willia. Cryptography and Network Security. Upper Saddle River: Prentice- Hall, [17] STANLEY, Willia D. Network Analysis with applications. Upper Saddle River: Prentice Hall, [18] TUECKE, S.; WELCH, V. E. RFC 3820: Internet X.509 Public Key Infrastructure (PKI) Acesso 25.aio.2005.