MIEIC/ProDEI
Segurança em Sistemas Informáticos – 2014/15
FEUP
Prova sem consulta
Exame Normal da Época normal
Duração: 2 horas
16.Janeiro.2015
Cotação máxima: 10 x 1 = 10 pontos (peso na nota final: 50%)
____________________________________________________________
1. “Muralha Chinesa” é um modelo de políticas de segurança informática considerado como bastante adequado ao mundo empresarial. Sobre ele, diga:
a) quais dos tipos gerais de política engloba (confidencialidade, integridade, disponibilidade);
b) o que, no essencial, o distingue de modelos como o de Bell­laPadula, de Biba ou o “baseado em funções” (role­
based);
c) o que distingue a sua política de “segurança simples” (simple security) da de “estrela” (star).
2. Considere a figura junto, que foi analisada numa aula e representa a transmissão confidencial de uma mensagem através
de um meio de comunicação inseguro. Suponha que quem envia a mensagem é a Alice e quem a irá receber é o Bruno.a
Apresente, se for possível saber:
a) a chave pública da
Alice;
b) a chave pública do
Bruno;
c) o tipo de cifra, no que
respeita ao método: contínuo (stream) ou bloco;
d) uma vulnerabilidade criptográfica, dado o método de cifra usado;
e) o nível de resistência do método a ruído nas vias de comunicação: totalmente tolerante, tolerante, intolerante.
3. Considere uma rede local de computadores, internamente protegida por “criptografia simétrica”.
a) Apresente um protocolo que permita a dois utilizadores da rede (A e B), autenticarem­se mutuamente.
b) Se o protocolo que apresentou necessitar de uma terceira entidade (C), explicar em que medida essa entidade poderia ser dispensada. Se o protocolo que propôs não contemplava a necessidade de uma terceira entidade, explique em que medida essa entidade C poderia ser útil.
4. Considere as duas principais técnicas de controlo de acesso a recursos de um sistema informático: listas (ACL) e credenciais (capabilities).
a) Esclareça se em algum dos métodos é necessária a identificação do utilizador antes de ele poder aceder a um recurso.
b) Para cada método, se tal identificação for necessária,
i. apresente as consequências desse facto nos dados disponíveis aos gestores dos recursos;
ii. se não for, explique como podem os gestores de recursos conceder ou negar os acessos.
SSI, 2014/15: Exame normal – Época normal
1­4
5. A figura junto pretende garantir que a Alice e o Bob possam comunicar de forma autenticada, confidencial e com secretismo futuro (PFS, Perfect Forward Secrecy).
Nota: A notação [msg]E significa que msg está assinada digitalmente pela entidade E.
1
[A, n, g, g mod(n)]
a) Explique o que é necessário garantir (e que não está necessariamente visível
2
na figura) para se obter as seguintes propriedades da comunicação:
[B, g mod(n)]
i. autenticação das partes;
ii. confidencialidade da futura troca de mensagens;
­ a, b: random and forgettable
­ K , K : previously distributed
iii. secretismo futuro (PFS).
b) Compare a troca de mensagens ilustrada com o algoritmo de Diffie­Hellman, assinalando as semelhanças e as diferenças.
a
A
b
B
+
A
+
B
6. Secure File Transfer Protocol (ou SSH File Transfer Protocol) é muito usado para transferir com segurança ficheiros para uma máquina remota. Simplificando, o protocolo primeiro autentica a máquina remota e depois autentica o utilizador nessa máquina.
a) Assim que se tenta efectuar a ligação para a
máquina remota (e.g. GNOMO), a aplicação
que implementa o protocolo (neste caso,
Filezilla) faz surgir no ecrã uma pergunta
como a mostrada na figura junto. Diga qual é
a razão de ser da pergunta e o que lhe
responderia.
b) Tendo­se respondido de forma “satisfatória” à
pergunta referida, a aplicação prosseguia e
uma autenticação de utilizador por senha era pedida... Nesta fase, pode justificar­se o atributo “secure” no nome do protocolo?
7. No que respeita à protecção de sistemas informáticos locais, podem identificar­se quatro classes de técnicas, que são usadas em separado ou de forma associada: prevenção, detecção, recuperação, teste de penetração.
a) Explique em que consiste cada uma delas.
b) Mapeie em cada uma classes mencionadas cada um dos seguintes itens, que designam dispositivos, protocolos ou
técnicas de protecção:
i. contenção de intruso;
ii. corta­fogo (firewall);
iii. túnel;
iv. reconhecimento de violação de política;
v. formulação de hipótese relativa a vulnerabilidade.
8. Phishing é uma técnica de Engenharia Social que consiste em convencer uma pessoa (vítima!) a dar informação pessoal
de acesso a sítios web sensíveis, tal como de Bancos; tipicamente, a vítima é levada a um sítio web falso, mas de aparência muito semelhante ao verdadeiro, onde se lhe pede para preencher um formulário de acesso (login), o que permitirá ao atacante ficar a saber, por exemplo, a senha pessoal da vítima. Surpreendentemente (ou não!) este tipo de ataque é muito bem sucedido pelo é considerado uma das principais ameaças à utilização da Internet como mercado electrónico. Apresente:
a) uma explicação técnica para o sucesso do ataque (para além da credulidade natural de muitas pessoas!);
b) uma maneira de eliminar ou, pelo menos, mitigar o problema.
SSI, 2014/15: Exame normal – Época normal
2­4
9. Esta pergunta tem a ver com os trabalhos de mini­projecto desenvolvidos por grupos de alunos, como parte da disciplina, e foi elaborada com base nas apresentações finais e nos respetivos acetatos ou relatórios, publicados na página da disciplina.
Para as três situações apresentadas, a, b e c, responda apenas a uma!
a) Dois dos trabalhos envolviam Esteganografia.
i. Explique o conceito;
ii. exemplifique­o, através da
perspectiva focada por um dos
grupos, que desenvolveu uma
«webapp capable of hiding files
inside any picture file, by changing
information in the bits of said
image». Veja a figura próxima,
retirada da apresentação deste
trabalho e, neste caso explique os
campos: “bits”, “length”,
“password”.
b) Dois dos trabalhos envolviam Autenticação Única (Single SignOn,
SSO).
i. Explique o conceito;
ii. exemplifique­o, através da perspectiva
focada por um dos grupos, de
utilização de um dispositivo auxiliar
confiável. Veja a figura próxima,
retirada da apresentação deste trabalho.
c) Um dos trabalhos envolvia Vulnerabilidades
informáticas.
i. Explique o conceito;
ii. exemplifique­o, através da perspectiva focada pelo
grupo, que pretendeu «explorar algumas das
mais conhecidas vulnerabilidades em sistemas
informáticos, descobrir como funcionam e
produzir documentação que permita replicar uma
situação de ataque». Veja a figura próxima,
retirada do relatório do trabalho, dado que a
apresentação não ficou disponível.
SSI, 2014/15: Exame normal – Época normal
3­4
10. Esta pergunta também tem a ver com os trabalhos de mini­projecto desenvolvidos por grupos de alunos, como parte da disciplina, e foi elaborada com base nas apresentações finais e nos respetivos acetatos ou relatórios, publicados na página da disciplina.
Para as três situações apresentadas, a, b e c, responda apenas a uma!
a) Um dos trabalhos envolvia segurança da Computação em Nuvem (Cloud Computing).
Diga o que no essencial apreendeu do tema
do trabalho, na perspectiva focada pelo
grupo: «elaboração de um documento curto,
com fins educativos, que permita a
instalação e configuração necessária para
uma implementação segura do OpenStack».
Veja a figura próxima, retirada do relatório
do trabalho, dado que a apresentação não
ficou disponível.
b) Um dos trabalhos envolvia Criptografia ­ Cripto Academia.
Diga o que no essencial apreendeu
do tema do trabalho, na perspectiva
focada pelo grupo, que pretendeu
«explicar de uma forma clara e
fácil de perceber, como funcionam
alguns dos principais algoritmos
criptográficos». Veja a figura
próxima, retirada da apresentação
deste trabalho.
c) Um dos trabalhos envolvia Autenticação Controlada pelo Utilizador.
Diga o que no essencial apreendeu do tema do
trabalho, na perspectiva focada pelo grupo, que
pretendeu «desenvolver um sistema de
autenticação com interface sob o controlo do
utilizador, usando um smartphone». Veja a figura
próxima, retirada da apresentação deste trabalho.
_________________
JMMC
SSI, 2014/15: Exame normal – Época normal
1­4