Capítulo 17 — Conceitos de criptografia
Mapa da aula
Aula 17 publicada. Mapa, exemplo, EX049.
flowchart TD
N0["17.1 Hashes"]
N1["17.2 Cifragem"]
N2["17.3 Assinaturas e certificados"]
N3["17.4 Transparência de certificados"]
N4["17.5 Proteger a inteligência"]
N5["17.6 Correspondência aproximada e parcial"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX049"]
Desenho lógico
flowchart LR
N0["17.1 Hashes"]
N1["17.2 Cifragem"]
N2["17.3 Assinaturas e certificados"]
N3["17.4 Transparência de certificados"]
N4["17.5 Proteger a inteligência"]
N5["17.6 Correspondência aproximada e parcial"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX049"]
[17.1 Hashes]
|
v
[17.2 Cifragem]
|
v
[17.3 Assinaturas e certificados]
|
v
[17.4 Transparência de certificados]
|
v
[17.5 Proteger a inteligência]
|
v
[17.6 Correspondência aproximada e parcial]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX049]
Objetivos de aprendizagem
Você vai (1) explicar hash, cifragem e assinaturas no nível dos conceitos; (2) entender o que o hash de um arquivo prova; (3) relacionar certificados à infraestrutura de phishing; (4) lidar com canais de inteligência cifrados.
17.1 Hashes
Um hash criptográfico como o SHA-256 associa um arquivo a uma impressão digital de tamanho fixo. Arquivos idênticos dão hashes idênticos; mudar um byte muda o hash por completo. Isso torna os hashes indicadores precisos — e frágeis, porque os adversários alteram arquivos com facilidade. A Pirâmide da Dor de Bianco coloca os hashes na base: fáceis para os defensores, triviais de mudar para os atacantes. Amara usa hashes para correspondências exatas em buscas nos endpoints, mas não depende só deles. Quando um relatório lista hashes, ela também procura o comportamento e as técnicas descritos, que duram mais.
17.2 Cifragem
A cifragem protege a confidencialidade. O ransomware abusa dela (T1486). O TLS protege o tráfego web, inclusive o tráfego de comando dos adversários. Por isso a cifragem define o que os defensores conseguem ver. Amara anota que o proxy do HCHT só vê os nomes de servidor no tráfego cifrado, como decidiram as equipes de privacidade e jurídica. Isso significa que indicadores de domínio são úteis, mas indicadores baseados em URLs completas muitas vezes não podem ser conferidos. A inteligência sobre ransomware vai para a proteção dos backups, já que a cifragem feita por atacantes não pode ser desfeita sem a chave. Cada limitação é registrada para que os leitores entendam o que significa uma busca sem resultados.
17.3 Assinaturas e certificados
Assinaturas digitais mostram quem assinou os dados e que eles não foram alterados. Certificados vinculam um nome de domínio a uma chave. Certificados gratuitos e automatizados fazem com que sites de phishing exibam rotineiramente um cadeado; o cadeado prova a cifragem, não a legitimidade. Amara explica isso no material de conscientização da equipe: o cadeado significa que a conexão é privada, não que o site pertence ao HCHT. Software assinado de fornecedores confiáveis também é conferido, porque uma chave de assinatura roubada pode fazer código malicioso parecer legítimo. Relatórios do setor sobre esses roubos são repassados à equipe de endpoint.
17.4 Transparência de certificados
Certificados de confiança pública são registrados em logs públicos. Buscar neles nomes parecidos com os domínios do HCHT pode revelar sites imitadores cedo — um método de OSINT ético e passivo. Amara faz buscas manuais ocasionais por nomes próximos aos domínios do HCHT e aos nomes de seus hospitais; transformá-las depois num processo regular vira o seu projeto final. Novas correspondências são conferidas apenas pela consulta de registros públicos; os sites ativos não são visitados a partir de notebooks do HCHT. Imitadores confirmados são comunicados à equipe de e-mail para bloqueio e, quando cabível, ao registrador para remoção, com a evidência registrada. Os resultados ficam nos registros da equipe.
17.5 Proteger a inteligência
O HSSC distribui material TLP:AMBER por um portal cifrado. Baixá-lo em dispositivos pessoais ou encaminhá-lo por e-mail comum viola o acordo de compartilhamento. Amara lê material AMBER apenas em dispositivos do HCHT e guarda qualquer trecho na pasta restrita da equipe. Quando um item AMBER precisa chegar a outra equipe do HCHT, ela envia um resumo pelo sistema interno de chamados, o que o acordo permite, em vez de encaminhar o original. As regras estão explicadas nas suas notas de integração. Violações são comunicadas ao HSSC.
17.6 Correspondência aproximada e parcial
Como um byte alterado derrota um hash exato, algumas ferramentas calculam hashes de similaridade que pontuam o quanto dois arquivos se parecem. Eles ajudam a agrupar variantes, mas produzem pontuações, não provas; uma similaridade alta entre dois instaladores benignos é comum. Trate-os como pistas para revisão humana. Amara usa as pontuações de similaridade apenas para escolher quais arquivos comparar à mão. Uma pontuação alta leva a um exame mais detido dos dois arquivos, de suas fontes e do que fazem; ela nunca basta sozinha para rotular um arquivo como malicioso ou incluí-lo numa lista de bloqueio. Amara registra a pontuação e o resultado da revisão juntos.
Exemplo resolvido
Um funcionário pergunta se um site é seguro "porque tem cadeado". Amara explica que o cadeado significa que a conexão é cifrada, não que o site é genuíno. Depois consulta os registros de transparência de certificados e descobre que o domínio imitador obteve seu certificado há dois dias — o que é compatível com uma infraestrutura nova de phishing.
Caso sintético. O site é inventado.
Erros e limites
Correspondências de hash identificam apenas arquivos exatos. Certificados novos também são comuns em sites legítimos.
Exercícios
- EX049 — Fragilidade do hash. Por que os hashes ficam na base da Pirâmide da Dor? Rubrica: 3 = o adversário os muda trivialmente; precisos, mas frágeis; 2 = parcial; 1 = difíceis de mudar; 0 = nenhuma.
- EX050 — O mito do cadeado. O que o cadeado do navegador prova? Rubrica: 3 = conexão cifrada com quem detém o certificado daquele nome; não a legitimidade; 2 = cifragem; 1 = site seguro; 0 = nenhuma.
- EX051 — Verificação passiva. Cite uma fonte passiva de OSINT para detectar cedo domínios imitadores. Rubrica: 3 = logs de transparência de certificados, com justificativa; 2 = o nome; 1 = visitar os sites; 0 = nenhuma.
Síntese
Entenda o que os artefatos criptográficos provam, use a transparência de certificados de forma passiva e proteja a inteligência restrita em trânsito.
Continue estudando — capítulo 17 de 40
← Capítulo 16 (rascunho) · Índice de capítulos do curso · Capítulo 18 (rascunho) →