Instituto Nacional de Tecnologia da Informação. Fórum Segurança da Informação SISTEMA ICP-BRASIL

Transcrição

1 Instituto Nacional de Tecnologia da Informação Fórum Segurança da Informação SISTEMA ICP-BRASIL

2 Agenda: FÓRUM SEGURANÇA DA INFORMAÇÃO Segurança da informação sobre as comunicações de governo vulnerabilidades; Opções de algoritmos criptográficos; Plataforma da ICP-BRASIL; Cases de uso de certificação digital ICP- BRASIL; Informes finais.

3 ENVIO/CONSULTA DOS DOCUMENTOS DIGITALIZADOS AO ITI Segurança não é um produto, mas um processo Bruce Schneier

4 COMUNICAÇÕES DE GOVERNO Principais vulnerabilidades encontradas nas comunicações de governo Domínio das infraestruturas e aplicações pelas empresas privadas; Predominância de armazenamento de dados sob legislação estrangeira; Marco Civil da Internet, art. 11, corrige esse tema Controle de Acesso Fonte: SERPRO, MD e DPF

5 COMUNICAÇÕES DE GOVERNO Principais vulnerabilidades encontradas nas Uso de softwares proprietários Softwares sem possibilidades de auditoria Communications Assistance for Law Enforcement Act CALEA Backdoors Falta de preparo dos gestores nas contratações Rotas, PTTs Europa, EUA. Fonte: SERPRO, MD e DPF

6 COMUNICAÇÕES DE GOVERNO Fonte: SERPRO

7 COMUNICAÇÕES DE GOVERNO Pouco uso de Criptografia A criptografia funciona. Os sistemas criptográficos fortes e devidamente implementados são uma das poucas coisas em que você pode confiar. Infelizmente, a segurança na ponta final é tão terrivelmente fraca que a NSA pode frequentemente achar formas de contorná-los. - Edward Snowden site do The Guardian. Fonte: SERPRO, MD e DPF

8 RSA OPÇÕES DE ALGORTIMOS CRIPTOGRÁFICOS Ainda um uso massivo de RSA (sites de banco redes sociais, empresas) Exemplo do site da HP

9 RSA condenado? OPÇÕES DE ALGORTIMOS CRIPTOGRÁFICOS Ataques de Força Bruta cada vez mais efetivos; Tamanho de chaves cada vez maiores (problema para as aplicações/usuários); Exemplo de Ataque EavesDrop Shamir Alguns Criptógrafos contestam...

10 Curvas Elípticas OPÇÕES DE ALGORTIMOS CRIPTOGRÁFICOS Caminho? Para ICP-BRASIL sim; Outra estrutura matemática de criptografia (alguns criptógrafos dizem que melhor do que RSA outros dizem que se equivalem); Menos recursos computacionais (tamanho de chave); Ainda poucas aplicações e hardwares suportam ECC; ATENÇÃO: Qual curva usar? Efeito Snowden...

11 Curvas Elípticas Curvas NIST OPÇÕES DE ALGORTIMOS CRIPTOGRÁFICOS Suite A (uso exclusivo das aplicações EUA) Suite B (mais conhecida e suportada pelas aplicações) Suite C (não implantada) Algumas constatações sobre a Suite B Teoricamente feita pela comunidade (testada e aprovada), mas... Algumas constantes são desconhecidas (não públicas)

12 Curvas Elípticas DECISÃO DA ICP-BRASIL OPÇÕES DE ALGORTIMOS CRIPTOGRÁFICOS Curvas da família Brainpool (RFC 5639) Relatório IBM O padrão de curvas Brainpool nasce em resposta as falhas das curvas recomendadas pelo NIST. Comentários do BSI Não vamos comentar sobre a segurança das curvas NIST suite B, mas é verdade que as sementes não são totalmente públicas.

13 ICP-BRASIL AC RAÍZ AC 1º NÍVEL (ou 2º NÍVEL)

14 MERCADO

15 MERCADO

16 MERCADO

17 MERCADO Março de 2013 a Março de 2014:

18 CERTIFICADO DIGITAL ICP-BRASIL INTEGRIDADE AUTENTICIDADE NÃO REPÚDIO VALIDADE JURÍDICA

19 CERTIFICADO DE ATRIBUTO ARQUIVO DIGITAL X509 NÃO REQUER A ESTRUTURA DE EMISSÃO DE UM CD QUALIFICACÃO NÃO POSSUI CHAVES PODE AUTENTICAR VINCULADO A UM CD NÃO ASSINA DIGITALMENTE O QUE É CERTIFICADO DE ATRIBUTO?

20 CASES DE USO Receita Federal Nota Fiscal Eletrônica + 8 bilhões em notas fiscais eletrônicas Entrega do Imposto de Renda Declaração pré-preenchida Ressarcimento mais rápido Ministério do Trabalho Homologue-net

21 FGTS Conectividade Social CASES DE USO E-Social Também fará uso de acesso por certificação digital Portal da Micro e Pequena Empresa Uso de certificado digital para TODOS os trâmites de uma empresa (abertura, contratos, alterações, fechamento).

22 CASES DE USO COMPE Sistema de compensação de cheques De 21 dias (máximo) para 2 dias JUDIÁRIO Sistema de Peticionamento Eletrônico Menos tempo Menos papel Processos mortos (diminuição de tempo de um processo e de custo)

23 Saúde CASES DE USO ICESP e Hospital Alemão Oswaldo Cruz Menor erro na prescrição de remédios Menor tempo de preenchimento de fichas Ocupação de espaço físico Menor risco de perda de informações Hora do cirurgião Diminuição de custos ComGas Abertura de negócios online, assinatura de contratos (de 20 dias para 4 horas), redução de custos

24 E-CRVsp e E-CNHsp CASES DE USO Agiliza procedimentos de despachantes com DETRAN; processos mais seguros (monitoramento/redução de irregularidades) Médicos, Psicólogos, Centros de formação de condutores, circunscrições regionais de trânsito andamento mais ágil aos fluxos à emissão do documento. Cartórios A entrega da certidão de nascimento ainda na maternidade, fortalecendo políticas nacionais que buscam diminuir o subregistro ARPEN

25 UNE CASES DE USO Carteira Nacional de Estudante Todo estudante terá um certificado de atributo Diminuição de fraudes (somente entidades que a Lei determina deverá prover os atributos de estudante) Regulamentar a meia-entrada

26 CASES DE USO NO SEU LOCAL DE TRABALHO Qual processo? Qualquer um!!! (documentos nascem eletrônicos!!) Validade Jurídica das transações Integridade/Autencidade Monitoramento/Rastreabilidade Menor índice de perdas documental Ganho de tempo, custo, agilidade, conforto, etc, etc... Desburocratização!!!!!

27 COMENTÁRIOS FINAIS Eduardo Lacerda Assessor do Diretor-Presidente do ITI