TRABALHO FINAL DE CURSO - INESC-ID

MobileREVS 15-10-2006
opções, cada qual com as suas vantagens e desvantagens, e determinado um veredicto
final acerca das mesmas.
2.3.1. Considerações
Nesta secção são apresentadas algumas considerações sobre aspectos de
segurança ligados com o projecto MobileREVS.
Autenticação utilizador/palavra-passe
Hoje em dia, a forma mais comum de autenticação de um utilizador é através da
utilização de uma palavra-passe. Mas, apesar de frequentemente utilizadas, as palavraspasse
não são muito seguras. Esta fraca segurança que lhes é associada advém
principalmente de factores humanos [MY01]:
• Muitas das palavras-passe escolhidas pelos utilizadores são consideradas
palavras-passe fracas, i.e. podem ser descobertas através de ataques por força
bruta;
• Os utilizadores necessitam de conhecer muitas palavras-passe para diferentes
sistemas. O seu esquecimento é a consequência mais frequente,
inviabilizando-os da utilização do sistema em causa. Ou então, para evitar
isso, os utilizadores
o apontam-nas (em papel ou em formato digital), ficando a sua
segurança comprometida por quem conseguir acesso às mesmas;
o utilizam sempre a mesma em vários sistemas, tornando-a assim mais
fraca aos ataques.
Nestas condições, as palavras-passe não oferecem nenhuma prova sobre quem
de facto a está a utilizar. São muitas e problemáticas as fragilidades denotadas e que
sujeitam a personificação por parte de outros utilizadores.
Certificados digitais
Por si só, a criptografia de chave pública não permite associar uma entidade com
uma determinada chave pública. Teoricamente, um atacante poderia apresentar uma
chave pública e reivindicar que a mesma pertence a outra entidade. Na falta de
mecanismos para associar chaves com entidades qualquer outro participante da
transacção não teria nenhuma garantia sobre a validade dessa associação. Por esta razão,
é necessária uma forma segura de efectuar a associação das chaves públicas com as
entidades respectivas. Para combater este problema são introduzidos os certificados
digitais e uma terceira entidade: a Autoridade de Certificação. A Autoridade de
Certificação é uma entidade de confiança que verifica a identidade do dono do
certificado antes de o emitir.
O certificado digital contém a chave pública de uma entidade juntamente com
outra informação de identificação, incluindo o nome da entidade, um número de série e
uma data de expiração (altura a partir da qual será revogado, tendo que ser renovado).
Adicionalmente, o certificado digital contém o nome e a assinatura digital da
Autoridade de Certificação que emitiu o certificado. Assim, os certificados digitais são
Luis Costa, Nuno Santos 25