Segurança e sensação de segurança

Olá, pessoal! Antes de começar, gostaria de deixar claro que o texto abaixo trata, na verdade, de um ponto de vista pessoal sobre segurança. Obviamente, o texto dará foco à segurança da informação, mas acredito que determinados pontos sejam adequados também para segurança de forma geral.

Segurança

Se alguém me perguntar: “O que é segurança?”, eu provavelmente responderei, de bate pronto, com outra pergunta: “O que você quer segurar?”. A resposta com uma outra pergunta, apesar de parecer evasiva, tem um objetivo bastante direto: mensurar o valor da informação que precisa ser segurada.

Vou tentar me explicar: em um cenário hipotético, temos uma garotinha. Carolzinha é seu nome. Apesar de ter apenas 8 anos, ela adora tecnologia, assim como adora os bichinhos de pelúcia que ganhou de seu pai. Juntando o útil ao agradável, ela decidiu publicar, em um site próprio, fotos de seus bichinhos de pelúcia em diversas ocasiões, para poder mostrar para as amiguinhas. Ela possui um banco de dados com centenas de fotos, dos mais variados bichinhos, nas mais variadas situações. Esse banco de dados utiliza um hash MD5 para armazenar sua senha.

Em outro cenário hipotético, temos uma instituição financeira, de âmbito global, com uma carteira de clientes relativamente grande, que fazem muitas transações, de alto valor monetário. Essa instituição financeira utiliza um sistema extremamente complexo, que além de controlar todas essas transações, ainda mantém um histórico detalhado de cada transação, com data, local, valor, etc. Assim como o site da Carolzinha, o sistema dessa instituição financeira também utiliza um hash MD5 para armazenar as senhas de seus clientes.

O MD5, que foi desenvolvido em 1991, é um algorítimo de hash (unidirecional) de 128 bits, que faz apenas uma passagem sobre os dados e, por isso, é um hash com uma probabilidade relativamente alta de se conseguir uma colisão, ou seja, duas mensagens diferentes, produzindo o mesmo hash. Como é sabido que o MD5 é vulnerável, então podemos afirmar que ele não é seguro, correto?

A questão é, qual o custo para se encontrar uma colisão em um hash MD5 e qual o benefício daquilo que pode ser obtido? Será que esse custo não é muito superior ao benefício que será obtido com a senha de uma garotinha de 8 anos, cujo único conteúdo é uma base de dados com centenas de fotos de bichinhos de pelúcia?

Então, vejo segurança como uma medida de custo. Quanto maior o benefício daquilo que pode ser obtido, menor será sua segurança, independentemente da técnica aplicada na segurança. Quando o custo para se obter determinada informação for muito maior que a própria informação, então podemos dizer, de certa forma, que a informação está segura.

Sensação de segurança

Mesmo sabendo que seria necessário 1.7 x 10¹³ TB para armazenar todas as possibilidades de um hash MD5, Fulano, que é desenvolvedor de um gateway de pagamentos online, optou por utilizar um hash de 512 bits, da família SHA-2, já que não há colisão nesse tipo de hash. Ao ser questionado se os dados dos clientes do gateway estavam seguros, Fulano respondeu com um grande SIM! Obviamente, a sensação de segurança proporcionada pelo hash de 512 bits, foi o fator motivante para o sim. Mas os dados estão mesmo seguros?

Vamos pensar em mais um cenário hipotético, de um site de uma rede de cinemas, que possui um programa de fidelidade, onde os clientes cadastrados ganham descontos progressivos, conforme utilizam os serviços da empresa. Esse site, por negligência, ou por acreditar que seus dados não tem tanto valor, armazena as senhas de seus clientes de forma plana no banco de dados.

Beltrano, um grande fã de cinema, além de ter um cadastro no site da rede de cinemas, também tem um cadastro na empresa de gateway de pagamentos. Beltrano, por desinformação, ou mera comodidade, assim como muitos outros usuários, utiliza a mesma senha no site do cinema e no gateway de pagamentos online.

Apesar do gateway de pagamentos online utilizar uma técnica avançada, que garante um alto custo para se obter uma informação, a segurança dos dados desse gateway pode ser comprometida pela ausência de segurança no armazenamento dos dados do site da rede de cinemas.

Transformar sensação de segurança em segurança, ao meu ver, não depende apenas das técnicas empregadas para segurar a informação, mas de políticas adotadas ao manter a informação. Fulano foi precipitado ao afirmar que os dados estavam seguros, pois o gateway de pagamentos não possui nenhuma política definida para renovação das credenciais de seus clientes.

Como em um sistema de informação, qualquer pessoa pode se passar por qualquer outra pessoa, a ausência de uma política de renovação de credenciais, fez com que algo teoricamente seguro, passasse a ser apenas sensação de segurança, mas que na prática, pode comprometer todo um conjunto de técnicas empregadas na armazenagem da informação.

Conclusão

A segurança em sistemas de informação não está apenas relacionada com identificação, autenticação e autorização. Assim como a segurança na armazenagem dos dados não está apenas na técnica de criptografia empregada, acesso físico ao servidor, etc.

Penso que segurança está bastante relacionada com políticas empregadas no processo de identificação e autenticação, armazenagem, mas também na renovação de credenciais. Quanto mais antiga for uma mesma credencial, mais vulnerável ela pode ser.

Então, da mesma forma que quanto maior o valor da informação, menos segura ela estará, quanto mais antiga for uma credencial, menos segura ela será. De certa forma, penso que uma política de renovação de credencial quizenal, por exemplo, pode trazer mais segurança para os dados de uma aplicação, que a própria utilização de uma técnica mais avançada de criptografia e acesso limitado aos servidores.

Segurança e sensação de segurança | iMasters.

Sou bacharel em Sistemas de Informação pela Estácio de Sá (Alagoas), especialista em Gestão Estratégica da Tecnologia da Informação pela Univ. Gama Filho (UGF) e pós-graduando em Gestão da Segurança da Informação pela Univ. do Sul de Santa Catarina (UNISUL). Certificações que possuo: EC-Council CEH, CompTIA (Security+, CySA+ e Pentest+), EXIN (EHF e ISO 27001), MCSO, MCRM, ITIL v3. Tenho interesse por todas as áreas da informática, mas em especial em Gestão e Governança de TI, Segurança da Informação e Ethical Hacking.

Deixe um comentário

O seu endereço de e-mail não será publicado. Campos obrigatórios são marcados com *