Água e óleo. Internet e privacidade. Duas coisas que até o momento

não se misturam. Pelo menos no último caso (da Internet), há como

você resolver o problema, hoje. Vamos devagar. Primeiro, o problema.

Depois, a solução em voga: PGP - "Pretty Good Privacy".
 
 

O problema
 
 

Não vou gastar seu tempo detalhando os vários aspectos

e implicações :' da falta de privacidade nas transações via Internet ou

até nas redes interconectadas na sua em_ presa. Se você é um usuário

de
 
 

a: correio eletrônico - aplicação
 
 

V básica nesses ambientes - você está bem a par do problema. No caso

de redes corporativas interconectadas, o problema poderia até não ser

tão crítico, uma vez que seus usuários partilham dos mesmos objetivos

e, a princípio, trabalham em equipe, somando esforços para alcançá-

los.
 
 

76 LAN nMES BRASIE Outubro 1995
 
 

Até recentemente, a Internet era vista por seus usuários (acadêmicos)

como uma grande interconexão de redes; parte da infra-estrutura

acadêmica mundial para pesquisa. A maioria do s pc s quis adore s

segue um código de étic a e de discrição considerado suficiente para

evitar a divulgação ou apropriação de informações que não

produziram ou que não Ihe são destinadas. Eles chegavam a informar

seus números de cartões de crédito e autorizações para inscrições em

congressos, compras de livros etc. Como já me foi dito recentemente

por um deles, isto acontecia porque a "rede goza de alto nível de

credibilidade". Acadêmicos são também, em
 
 

. . . ~
 
 

sua maiona, mgenuos.
 
 

O trátego que flui pela Internet é armazenado em diversos nós nas

rotas do emissor aos destinatários. Basta alguém ter acesso

privilegiado a alguns desses nós para se apossar de informações

possivelmente sensíveis, de outros usuários. Se a Internet passa a ser

usada para comunicações corriqueiras de cidadãos comuns e como

suporte para o comércio mundial, então deve-se garantir que o

"mesmo nível de privacidade e credibilidade" encontrado nos serviços

tradicionais de correio, encomendas, fax e nos sistemas de compra e

pagamento esteja disponível quando exigido ou desejado - por um rico

ou pobre, americano ou brasileiro.
 
 

PGP oferece melhor nível de privacidade e credibilidade que 0

"padrão do correio fisico tradicional". Para 0 cidadão comum, PGP é

grátis.
 
 

PGP
 
 

PGP é um software de criptografia, originalmente desenvolvido para

DOS e distribuído gratuitamente (freeware) em código-fonte, escrito

em C. Por conta disto, foi portado para outras plataformas, incluindo

Windows, OS/2 e vários sistemas Unix rodando em CPUs iAPX 86 da

Intel (Cisc) e Risc. O preço da portabilidade é a interface por linha de

comando. Para aqueles que preferem uso mais amigável, sheels estão

disponíveis.
 

1 /

~///
 
 

Aqui, examinamos apenas a funcionalidade básica de PGP e suas

aplicações, sem preocupações com aspectos mais técnicos e conceitos

fundamentais de criptografia. Para uso eficiente e consciente de PGP,

porém, você tem que ler um ponco mais sobre o assunto, além desta

simples introdução. Só assim, você terá certeza do que está de fato

protegido contra monitoração indesejada de suas informações.
 
 

Leitores interessados nesses aspectos e conceitos - como execução de

PGP, seus arquivos e variáveis de configuração etc. -e responsáveis

pela administração dos serviços Intemet nas empresas, dispõem de

literatura que aumenta presença nas livrarias com a popularização da

Internet.
 
 

O recente livro (escrito no final de 94 e publicado em 95) de Simson

Gaffinkel, PGP - Pretty Good Privacy, pela O'Reilly and Associates,

de Sebastopol, Califómia, EUA (e-mail: nuis@,ora~com ou fax:

001707-829-0104) é um bom começo.
 
 

O PGP, como outros sistemas de criptografia, faz uso de chàves ou

senbas para alterar o contoúdo original de uma mensagem que trafega

na rede (ou o conteúdo de arquivos que você mantém na máquina), de

forma a torná-lo ininteligível a todos que desconhecem a(s) chave(s).
 
 

Sistemas de criptografia tradicional, que utilizam apenas uma chave

para criptograLar e decriptogratar, podem ser adequados para

proteger arquivos em uma máquina (como é o caso do Data

Encryption Standard, DES, usado no comando crypt do Unix) ou para

codificar mensagens trocadas em redes corporativas privadas, isoladas

do mundo exterior. Nessas duas situações, as chances de ataque

externo são menores. Estes sistemas, porém, são insuficientes em

redes públicas, como a Internet. Quem tiver acesso à única chave

utilizada, terá acesso a todas as suas informações. Pode-se tentar

descobrir a chave utilizada, por força bruta, gerando chaves

automaticamente no computador e tentando "abrir" os arquivos que

foram copiados de algum nó da rede, enquanto fluíam para o destino.

O problema é como
 
 

informarachave ao destina- ~ ~ mo International Data

tário, para ele conseguir '_~ ~ Encryption Àlgorithm -
 
 

decifrar suas men- - ~ IDEA),

criptograLaamensa

sagens. Os resulta- ~ ~ ~ gem comprimida. O

resultado

dos de um esquema ~ ,, ~ é, então, criptograLado

mais uma

vez (com a chave gerada, chama

da de chave-de-sessão) com a

chave pública do destinatário.

A mensagem está pronta para
 
 

tradicional de criptogra- ~ , ~1

fia podem ser catastrófi

cos. O almirante Yamamoto, _ ~

da marinha imperial japonesa, ~O

que o diga.

Sistemas de criptografia com chaves

públicas resolvem os problemas acima.

Duas chaves são utilizadas para atender a

cada usuário na rede: uma privada, secre

ta, de conhecimento apenas de cada usuá

rio; e, outra, pública (para cada usuário), de

conhecimento do resto do mundo. Há uma

relação matemática entre as duas chaves:

informações criptografadas com a chave

pública de um destinatário só serão de

criptadas pela chave privada deste. O pre

ço dos sistemas de chaves públicas é tem

po de processamento, o qual aumenta com

o tamanho das chaves (quanto maiores,

mais seguras) e com o volume (tamanho

do arquivo) a ser protegido.
 
 

Uso na prática

O PGP combina sistemas de chave única e

de chaves públicas (algoritmo RSA, pa

tenteado nos EUA) para atingir um com

promisso satisfatório de segurança e tem

po de processamento. Uso não-comercial

não infrige a lei de patentes americana.

Versões desenvolvidas fora dos EUA (co

mo é o caso da versão 2.óói, desenvolvida

na Europa) apresentam risco de processo

judicial se usadas dentro dos EUA.

O PGP é um pacote externo às suas

aplicações. Isto quer dizer, por exemplo,

que você prepara uma mensagem de correio

normahmente e, antes de enviá-lo pela rede,

passa o arquivo pelo PGP. O correio rece

bido passa por PGP antes de ser lido.

Normalmente, no caso da simples crip

tografia de mensagens/arquivos, o PGP

funciona da seguinte maneira: inicialmen

te comprime a mensagem e, em seguida,

com o uso uma chave gerada aleatoria

mente (128 bits, de acordo com o algorit
 
 

_ ser enviada ou armazenada para uso futuro, mas passa a contar com

proteção a acessos indevidos.
 
 

No destino, o PGP solicita a chave privada do destinatário para

desfazer o último nível de criptografia e, assim, obter de volta a

chave-de-sessão. Esta chave é, então, usada, como nos sistemas

tradicionais, para recuperar a mensagem original que, uma vez

descomprimida, está pronta para consumo.
 
 

Note que o PGP, com os comandos apropriados, se incumbe de gerar,

eliminar e gerenciar as próprias chaves que você necessita ou que o

software usa. Ele pode ainda ser usado para implementar sistemas de

assinatura digital (autenticação). Nesta aplicação, você criptografa

uma mensagem com sua chave privada.
 
 

A mensagem criptografada pode então ser decriptograLada com sua

chave pública, garantindo ao destinatário que foi você que produziu a

mensagem (seu número de cartão de crédito pode ser enviado apenas

por você). Para assegurar autenticação junto com sigilo (somente o

destinatário intencionado terá acesso à mensagem enviada), você usa

o PGP primeiro com sua chave privada (assinatura digital) e, em

seguida, criptograLa com a chave pública do destinatário (sigilo).
 
 

Como você pode ver, 0 PGP pode ser a sua base para uso mais seguro

da Internet. Basta você não divulgar sua chave privada para ninguém.

~
 
 

*PhD pela University of Waterloo e professortitalar do Departamento

de Sistemas e Computação da UFPB. Antão Moura pode ser contatado

por correspondincia à redução de 1AN TIMES BrasU ou em

antao@9infacon. vpp.br
 
 

Outubro 1995 LAN~MES8~SIL