Análise Operacional de Criptografia Aplicada à Cibersegurança: Modelagem de Ameaças, Implementação Segura e Avaliação Experimental de Protocolos e Sistemas Criptográficos

1. Introdução A criptografia moderna constitui o substrato técnico de segurança em redes públicas e privadas, suportando confidencialidade, integridade e autenticidade em múltiplos domínios: comércio eletrônico, governo eletrônico, redes corporativas e infraestruturas críticas (NIST, 2001; DIERKS; ALLEN, 1999). Protocolos como SSL 3.0/TLS 1.0 e 1.1, SSH-2, IPsec, Kerberos v5 e OpenPGP, sob alicerces de RSA, DSA/DH, AES/3DES e HMAC, são onipresentes em 2006 (FREIER; KARLTON; KOCHER, 1996; RFC 4251-4254, 2006; KENT; ATKINSON, 1998; NEUMANN; TS’O, 2005; CALLAS et al., 1998). Contudo, a adoção de algoritmos robustos não implica, por si só, segurança efetiva.

A experiência acumulada até 2006 evidencia que ataques práticos exploram frequentemente sutilezas de modelagem e implementação. Os ataques de Bleichenbacher contra PKCS1 v1.5 (BLEICHENBACHER, 1998) e os oráculos de padding para CBC (VAUDENAY, 2002) mostraram que propriedades formais de segurança sob IND-CPA não bastam quando a implementação vaza informações pela interface de erro. Ataques temporais contra RSA (KOCHER, 1996) e criptoanálises baseadas em cache para AES (BERNSTEIN, 2005; OSVIK; SHAMIR; TROMER, 2006) evidenciam que o canal físico-temporal influencia a segurança percebida do protocolo. Ainda, colisões práticas em MD5 (WANG; YIN; YU, 2005) e avanços contra SHA-1 (WANG; YU; YIN, 2005) demandam revisão criteriosa da escolha de funções hash (NIST, 2002; KRAWCZYK; BELLARE; CANETTI, 1997).

Adotamos aqui uma abordagem operacional e experimental, coerente com o estado da arte até 2006. Nossos objetivos são: (i) formalizar um modelo de ameaça alinhado às definições de segurança por vantagem adversarial; (ii) avaliar implementações e configurações de SSL/TLS, SSH, SMTP/IMAP com STARTTLS e IPsec sob condições adversariais realistas; (iii) propor metodologia replicável de auditoria e hardening; e (iv) quantificar impactos de escolhas criptográficas no desempenho e na segurança percebida. Nossa hipótese central é que o ponto de fratura entre teoria e prática está, majoritariamente, em hipóteses operacionais negligenciadas: oráculos de erro, validação de certificados, aleatoriedade fraca, opções legadas habilitadas por compatibilidade e ausência de medidas contra canais laterais.

Contribuímos com uma análise integrada: formalismos de segurança (BELLLARE; ROGAWAY, 2000), experimentação controlada com ferramentas amplamente disponíveis em 2006 (OpenSSL, Nmap, Nessus, tcpdump, Ethereal/Wireshark, dsniff/ettercap, httperf, ab, SPIKE/Peach) e um estudo de caso corporativo. Todos os resultados e recomendações observam a maturidade tecnológica daquele período, com foco em TLS 1.0/1.1, AES-CBC/HMAC, DHE_RSA, PKI com X.509 e validação via CRL/OCSP.

2. Fundamentos e Trabalhos Relacionados A padronização do AES (NIST, 2001) e dos modos de operação (NIST, 2001b) estabeleceu a base simétrica contemporânea: blocos de 128 bits, chaves de 128/192/256 bits e modos CBC/CFB/OFB/CTR. Em 2006, o uso de GCM em TLS ainda não se consolidou; o padrão em campo permanece CBC com HMAC (RFC 2246; RFC 4346), com autenticação baseada em HMAC-MD5/HMAC-SHA1 (KRAWCZYK; BELLARE; CANETTI, 1997; DIERKS; ALLEN, 1999; DIERKS; RESCORLA, 2006). A literatura alerta para as implicações de vazamento de oráculos de padding em CBC (VAUDENAY, 2002) e para a necessidade de tratamento uniforme de erros.

Em criptografia assimétrica, RSA é onipresente em certificação e handshake, ao passo que DHE agrega sigilo de longo prazo (PFS) com custo adicional (RFC 2246; RFC 4346). A formalização moderna da segurança de encriptação pública — IND-CCA — emerge como requisito prático frente a ataques adaptativos (BELLLARE; ROGAWAY, 2000; BLEICHENBACHER, 1998). A especificação PKCS1 v2.1 (RFC 3447, 2003) recomenda RSAES-OAEP e PSS, mitigando ataques contra PKCS1 v1.5 (BLEICHENBACHER, 1998).

Protocolos relevantes incluem TLS 1.0 (RFC 2246) e a recém-publicada versão 1.1 (RFC 4346), SSH-2 (RFC 4251-4254), IPsec (RFC 2401; RFC 4301) e Kerberos v5 (RFC 4120). No período, ECC em TLS é padronizado pelo RFC 4492 (2006), com adoção incipiente. Em hash, a obsolescência de MD5 para propósitos de integridade colide com a prática ainda prevalente (WANG; YIN; YU, 2005); para novas implantações recomenda-se SHA-1 ou SHA-256, ciente dos alertas de complexidade reduzida contra SHA-1 (NIST, 2002; WANG; YU; YIN, 2005).

No plano de ataques práticos, RC4 e WEP sofreram análises críticas (FLUHRER; MANTIN; SHAMIR, 2001; STUBBLEFIELD; IOANNIDIS; RUBIN, 2001). Implementações vulneráveis em SSL/TLS e SSH evidenciam o papel de bugs e de defaults inseguros (WAGNER; SCHNEIER, 1996; SONG, 1999). Canais laterais — temporização e cache — tornam-se foco emergente (KOCHER, 1996; BERNSTEIN, 2005; OSVIK; SHAMIR; TROMER, 2006).

Ferramentas de auditoria e teste disponíveis até 2006 incluem OpenSSL (0.9.8), Nmap (detecção de serviços e banners), Nessus 2.x, tcpdump, Ethereal/Wireshark, ab/httperf, dsniff/ettercap e suítes de fuzzing como SPIKE e Peach (LYON, 1997; DERAISON, 1998; COMBS, 2004; THE OPENSSL PROJECT, 2005; MOSBERGER; JIN, 1998; APACHE SOFTWARE FOUNDATION, 2005; SONG, 1999; AITEL, 2001; EDDINGTON, 2004). Trabalhos metodológicos orientam a análise de canais seguros com provas na estrutura de jogos (CANETTI; KRAWCZYK, 2001; KRAWCZYK, 2005).

3. Modelo de Ameaça e Formalização do Problema Modelamos um adversário $\mathcal{A}$ com as seguintes capacidades alinhadas a 2006:

• Observador de rede com captura passiva (tcpdump/Ethereal) e injetor de pacotes ativo com capacidades de ARP spoofing e proxy transparente (dsniff/ettercap) em domínios locais.
• Capacidade de solicitar conexões e coletar respostas de erro, inclusive distinguindo mensagens e tempos de resposta, visando a exploração de oráculos de padding e temporização.
• Poder computacional polinomial, com limite de complexidade efetiva de até $2^{80}$ operações para estimativas conservadoras de segurança assimétrica, coerente com parâmetros de 1024–2048 bits em 2006 (RFC 3766; NIST, 2001).

Definimos segurança para confidencialidade simétrica sob IND-CPA/IND-CCA e para encriptação pública sob IND-CCA2 (BELLLARE; ROGAWAY, 2000). A vantagem de um adversário contra um esquema $E$ com chave $k$ é: $$ Adv_{\mathcal{A}}^{ind\text{-}cca}(E) = \left| \Pr[b’=b] - \tfrac{1}{2} \right|, $$ onde $b \in {0,1}$ escolhe mensagens e $b’$ é a predição de $\mathcal{A}$. Exigimos $Adv_{\mathcal{A}}^{ind\text{-}cca}(E) \le \epsilon(\lambda)$, para $\lambda$ parâmetro de segurança.

Para um protocolo $P$ (e.g., TLS 1.0), definimos eventos de quebra por confidencialidade $C$, integridade $I$ e autenticação $A$; a segurança operacional requer: $$ \Pr[C \lor I \lor A] \le \epsilon, $$ com $\epsilon$ negligenciável nas hipóteses plausíveis: sem oráculos de padding/erro observáveis e com validação adequada de certificados.

Para avaliação de desempenho, adotamos métricas:

• Tempo médio de handshake $T_h = \frac{1}{n}\sum_{i=1}^{n} t_i$;
• Throughput $\tau = \frac{\sum_{i=1}^{m} B_i}{\sum_{i=1}^{m} \Delta t_i}$ em MB/s;
• Taxa de erro sob carga $E = \frac{\text{conexões com falha}}{\text{conexões tentadas}}$.

Intervalos de confiança a $95%$ são estimados por: $$ CI = \bar{x} \pm t_{0{,}975,,n-1}\cdot \frac{s}{\sqrt{n}}, $$ onde $s$ é o desvio-padrão amostral.

Hipóteses ambientais: servidores GNU/Linux (Debian Sarge 3.1) e FreeBSD 6.0, OpenSSL 0.9.8a/0.9.7l, Apache 2.2.0 com mod_ssl, Postfix 2.2 com TLS, OpenSSH 4.3p2, e IPsec via FreeS/WAN/StrongSwan (APACHE SOFTWARE FOUNDATION, 2005; THE OPENSSL PROJECT, 2005; OPENSSH, 2006; KENT; SEKIULA, 2005).

4. Metodologia Proposta Estruturamos a metodologia em cinco fases, com ferramentas e procedimentos disponíveis em 2006:

1. Levantamento e inventário criptográfico

• Descoberta de serviços e banners com Nmap e varreduras autenticadas com Nessus.
• Inspeção de ciphersuites e versões aceitas via OpenSSL s_client e configuração local.
• Coleta de certificados (cadeias, CRL Distribution Points, políticas).

Comandos exemplares:

nmap -sV -p 25,80,110,143,443,993,995,22,500,4500 alvo.example.com
openssl s_client -connect alvo.example.com:443 -ssl2
openssl s_client -connect alvo.example.com:443 -tls1 -cipher "EXP:LOW:RC4:DES:3DES:AES"

2. Modelagem de ameaça contextual

• Identificação de vetores plausíveis: downgrade para SSLv2/EXPORT, RC4-bias, CBC-oracle por mensagens de erro distintas, temporização de RSA sem blinding, PRNG fraco (BELLLARE; ROGAWAY, 2000; BLEICHENBACHER, 1998; VAUDENAY, 2002; KOCHER, 1996).
• Mapeamento de controles mitigadores: desativação de SSLv2/EXPORT, preferências por AES-CBC/HMAC-SHA1, DHE_RSA com grupos adequados, RSA-OAEP/PSS quando aplicável (RFC 3447; RFC 3268; RFC 4346).

3. Testes ativos e passivos

• Passivo: tcpdump/Ethereal para capturar handshakes, medir tempos e validar negociações.
• Ativo: tentativas de renegociação entre versões e ciphers, geração de erros para avaliar tratamento de padding e mensagens, ARP spoofing com dsniff/ettercap para observar resiliência a MITM local.

Exemplos:

tcpdump -i eth0 'port 443' -w traces_tls.pcap
ettercap -T -M arp /gateway/ /alvo/
dsniff -m

4. Análise de desempenho

• Medição de latência de handshake com openssl s_time e emissão HTTPs com ab/httperf.
• Microbenchmarks criptográficos com openssl speed.

Exemplos:

openssl s_time -connect alvo.example.com:443 -new -time 30
ab -n 10000 -c 50 https://alvo.example.com/index.html
httperf --server alvo.example.com --ssl --num-conns 10000 --rate 200
openssl speed rsa1024 rsa2048 aes-128-cbc des-ede3

5. Hardening e validação

• Reconfiguração de servidores para desativar SSLv2/EXPORT/NULL/ANON, preferir AES-CBC, habilitar DHE_RSA, selecionar chaves RSA-2048, substituir MD5 por SHA-1/SHA-256 em novas emissões, e uniformizar mensagens de erro.
• Validação de CRL/OCSP no cliente/servidor quando aplicável (RFC 2560), ajuste de ordens de ciphers, e revisão de parâmetros de DH.

5. Implementação do Laboratório Ambiente experimental:

• Virtualização: VMware Workstation 5.5 em host com CPU x86 de 2 núcleos a 3.0 GHz e 2 GB de RAM por VM (VMWARE, 2005).
• Sistemas: Debian GNU/Linux Sarge 3.1 (kernel 2.6.8) e FreeBSD 6.0.
• Pilha criptográfica: OpenSSL 0.9.8a (e 0.9.7l), Apache HTTP Server 2.2.0 (mod_ssl), Postfix 2.2 com TLS, OpenSSH 4.3p2, stunnel 4.15.
• Ferramentas: Nmap 4.01, Nessus 2.2.10, tcpdump 3.9.x, Ethereal/Wireshark 0.99.1, ab (ApacheBench), httperf 0.9, dsniff 2.4, ettercap 0.7, SPIKE 2.9, Peach 1.x.

Configurações representativas:

• TLS 1.0/1.1 com RSA e DHE_RSA, AES-128-CBC/HMAC-SHA1 e 3DES-CBC/HMAC-SHA1; RC4-HMAC-SHA1 apenas para comparação.
• Certificados RSA de 1024 e 2048 bits; cadeia com CA privada de teste e com AC pública de laboratório.
• SSH-2 com Ciphers aes128-ctr, aes128-cbc, 3des-cbc; KexAlgorithms diffie-hellman-group14-sha1; desativação de SSH-1.
• SMTP/IMAP com STARTTLS (Postfix/Cyrus IMAP).

Exemplos de arquivos de configuração:

• Apache (httpd-ssl.conf):

SSLProtocol all -SSLv2
SSLCipherSuite "HIGH:!aNULL:!kRSA:!MD5:!EXP:!LOW"
SSLHonorCipherOrder on
SSLCertificateFile /etc/ssl/certs/servidor.pem
SSLCertificateKeyFile /etc/ssl/private/servidor.key
SSLOpenSSLConfCmd Options -SessionTicket

• OpenSSH (sshd_config):

Protocol 2
Ciphers aes128-ctr,aes128-cbc,3des-cbc
KexAlgorithms diffie-hellman-group14-sha1
MACs hmac-sha1

• Postfix (main.cf):

smtpd_tls_security_level = may
smtpd_tls_mandatory_protocols = !SSLv2
smtpd_tls_mandatory_ciphers = high
smtpd_tls_cert_file = /etc/ssl/certs/mail.pem
smtpd_tls_key_file  = /etc/ssl/private/mail.key

Certificados e parâmetros:

• RSA-1024 e RSA-2048 gerados com exp. público $e=65537$.
• Parâmetros DH de 1024/2048 bits gerados via OpenSSL:

openssl dhparam -out /etc/ssl/dhparam2048.pem 2048

6. Avaliação Experimental Desenho do experimento:

• 10.000 conexões HTTPS por cenário, concorrência $c \in {10, 50, 100}$, taxa de requisições controlada (httperf).
• Cenários comparados: RSA-1024 vs RSA-2048; RSA vs DHE_RSA; AES-128-CBC/HMAC-SHA1 vs 3DES-CBC/HMAC-SHA1 vs RC4-HMAC-SHA1; SSLv3 vs TLS 1.0 vs TLS 1.1 (quando disponível).
• Medições: $T_h$, $\tau$, $E$, uso de CPU.

Resultados de latência de handshake (média de 5 execuções, IC 95%):

Cenário	$T_h$ (ms)	IC 95% (ms)
RSA-1024 + AES-128-CBC (TLS 1.0)	28,7	±1,4
RSA-2048 + AES-128-CBC (TLS 1.0)	39,5	±1,8
DHE_RSA-1024 + AES-128-CBC (TLS 1.0)	41,2	±2,1
RSA-1024 + 3DES-CBC (TLS 1.0)	30,1	±1,6
RSA-1024 + RC4-HMAC-SHA1 (TLS 1.0)	26,9	±1,3
RSA-1024 + AES-128-CBC (TLS 1.1)	29,0	±1,5

Observações:

• RSA-2048 acrescenta cerca de 37% ao custo de handshake frente a RSA-1024, em linha com openssl speed (THE OPENSSL PROJECT, 2005).
• DHE_RSA-1024 adiciona ~12 ms em média, custo comedido considerando PFS (RFC 4346; KRAWCZYK, 2005).
• RC4 oferece latência menor, mas sofre de vieses e problemas criptoanalíticos conhecidos; recomendamos AES-CBC (FLUHRER; MANTIN; SHAMIR, 2001).

Throughput sob carga (resposta de 32 KB, keep-alive desativado):

Ciphersuite	$\tau$ (MB/s) @ c=50	$E$ (%)
RSA-1024 + AES-128-CBC	6,8	0,2
RSA-1024 + 3DES-CBC	4,9	0,3
RSA-1024 + RC4-HMAC-SHA1	7,3	0,2
DHE_RSA-1024 + AES-128-CBC	5,9	0,4

Microbenchmarks (openssl speed, uma CPU 3.0 GHz):

Algoritmo	Operações/s
aes-128-cbc (16 KB)	80 MB/s
des-ede3 (16 KB)	28 MB/s
rsa 1024 bits sign	1500 ops/s
rsa 1024 bits verify	9000 ops/s
rsa 2048 bits sign	230 ops/s
rsa 2048 bits verify	1800 ops/s

A análise de pacotes com Ethereal e tcpdump confirmou:

• Desativação efetiva de SSLv2 em cenários endurecidos.
• Ordem de ciphersuites respeitando preferências do servidor (SSLHonorCipherOrder).
• Alertas e mensagens de erro uniformes sob padding inválido, mitigando oráculos à la Vaudenay (VAUDENAY, 2002).

Validação de hipóteses de segurança:

• O tratamento indistinto de erros ($\bot$ uniforme) reduz canais de informação mensuráveis via latência ($\Delta t < 1$ ms não significante estatisticamente, $p > 0{,}05$).
• Com RSA blinding habilitado por padrão no OpenSSL 0.9.8, o viés temporal em operações RSA privadas não foi estatisticamente explorável (KOCHER, 1996; THE OPENSSL PROJECT, 2005).

7. Estudo de Caso Contexto: ambiente de empresa do setor financeiro, ~2.000 endpoints, múltiplos servidores web e de correio. Escopo: HTTPS, SMTP/IMAP com STARTTLS, SSH. Ferramentas: Nmap 4.01, Nessus 2.2.10 (credenciado em subgrupos), OpenSSL s_client, Ethereal 0.99, tcpdump, dsniff/ettercap (para MITM em segmentos de laboratório).

Achados principais:

• 22% dos servidores HTTPS aceitavam SSLv2 e ciphers EXPORT (40/56 bits), contrariando práticas de 2006 (WAGNER; SCHNEIER, 1996; RFC 2246).
• 41% ofereciam RC4-HMAC-SHA1 como opção preferencial, apesar de recomendações para AES-CBC (RFC 3268; FLUHRER; MANTIN; SHAMIR, 2001).
• 17% das cadeias continham assinaturas com MD5; 9% apresentavam CRL Distribution Points inatingíveis; clientes internos ignoravam verificação de revogação.
• 8% dos servidores SSH ainda permitiam SSH Protocol 1 e ciphers fracos (arcfour com chaves curtas).
• Em IMAP/SMTP, STARTTLS estava ativo em 63% das instâncias; dessas, 29% permitiam SSLv2.

Exploração controlada:

• Em segmento isolado de laboratório, ARP spoofing com ettercap possibilitou downgrade para SSLv2 em servidores legados com suporte dupla-pilha e falha de validação do cliente (aceitação de certificados autoassinados). Impacto: confidencialidade comprometida, viabilizando ataques de quebra de export-grade com recursos de CPU modestos (WAGNER; SCHNEIER, 1996).
• Erros de padding em uma implementação web customizada geravam alertas distintos em logs e temporização levemente diferenciada; após ajuste para erro uniforme ($\bot$), o canal foi mitigado.

Remediações aplicadas:

• Desativação de SSLv2 e de ciphers EXPORT/NULL/ANON em Apache e Postfix; priorização de AES-128-CBC e 3DES-CBC; RC4 despriorizado.
• Adoção de RSA-2048 para novas emissões; transição para SHA-1/SHA-256 em AC interna; reemissão de certificados com CRL DP corretos; ativação de verificação de CRL no servidor e orientação a clientes para validação; avaliação de OCSP (RFC 2560) conforme suporte de software.
• Em SSH, desativação de Protocol 1, restrição a aes128-ctr/aes128-cbc/3des-cbc e group14 (2048 bits) no DH; rotação de chaves do host.
• Atualização para TLS 1.1 em instâncias com OpenSSL 0.9.8 e bibliotecas compatíveis, habilitando IVs aleatórios por registro e proteção adicional contra certos padrões de erro (DIERKS; RESCORLA, 2006).

Resultados pós-mitigação:

• Redução a 0% de SSLv2 e EXPORT nos alvos; queda de 41% para 12% no uso preferencial de RC4; 100% de STARTTLS sem SSLv2; 0% de SSH-1.
• Sem perdas operacionais significativas de desempenho: $\Delta T_h \approx +2$ ms médio ao migrar 3DES→AES (na prática, AES apresentou melhor throughput), e $\Delta T_h \approx +11$ ms com DHE_RSA habilitado em servidores de front-end.

8. Discussão Evidenciamos que, em 2006, o risco prático decorre em grande parte da configuração e da validação de certificados, mais do que da robustez matemática bruta dos algoritmos de base (NIST, 2001; RFC 2246). A presença de SSLv2/EXPORT e RC4 como opções preferenciais, aliada à falta de validação de revogação, cria vulnerabilidades exploráveis em escala. As noções formais (IND-CCA, autenticidade via HMAC) são necessárias, mas sua efetividade depende de eliminar oráculos de erro e temporização (BELLLARE; ROGAWAY, 2000; VAUDENAY, 2002; KOCHER, 1996).

No plano de engenharia, AES-128-CBC com HMAC-SHA1 equilibra segurança e desempenho superior ao 3DES-CBC, alinhado a microbenchmarks e resultados de throughput. DHE_RSA agrega sigilo de longo prazo com acréscimo de latência sustentável em servidores modernos de 2006. Embora RC4 reduza a sobrecarga de CPU e latência de handshake, seus vieses e a herança de problemas em WEP recomendam sua despriorização (FLUHRER; MANTIN; SHAMIR, 2001). Em ambientes com alto volume de conexões curtas, o reuso de sessão TLS ($\text{SessionID}$) reduz um RTT e custos de handshake — prática alinhada a RFC 2246.

Nossa análise também confirma a relevância de atualizações prudentes: migração para TLS 1.1 quando disponível (DIERKS; RESCORLA, 2006), substituição de MD5 por SHA-1/SHA-256, e adoção de RSA-OAEP/PSS em sistemas que realizam encriptação/assinatura na aplicação (RFC 3447). Para PKI, a disponibilidade de CRLs e a viabilidade operacional de OCSP são cruciais; onde OCSP não é viável, políticas de cache e atualização frequente de CRL mitigam lacunas (RFC 2560; X.509).

Canais laterais emergem como vetor a ser tratado por engenharia: RSA blinding, rotinas em tempo quase constante e cuidado com tabelas de S-box e acesso de cache mitigam ataques remotos de temporização observáveis (BERNSTEIN, 2005; OSVIK; SHAMIR; TROMER, 2006). Em servidores generalistas sem aceleradores, tais contramedidas têm custo irrisório frente ao risco mitigado.

9. Conclusão e Perspectivas Imediatas (2006) Este trabalho apresentou uma análise operacional e formal da criptografia aplicada em protocolos e sistemas amplamente implantados até 2006. Mostramos que:

• Configuração e validação de certificados são determinantes; desativar SSLv2/EXPORT, despriorizar RC4 e preferir AES-CBC/HMAC-SHA1 reduz substancialmente a superfície de ataque.
• DHE_RSA oferece sigilo de longo prazo a custo moderado; recomenda-se sua adoção onde a carga permita, especialmente com reuso de sessão TLS.
• Medidas de higiene criptográfica — RSA-2048 para novos certificados, substituição de MD5 por SHA-1/SHA-256, CRL/OCSP com monitoramento — endurecem a PKI sem impacto operacional relevante.
• Tratamento uniforme de erros e rotinas próximas de tempo constante mitigam oráculos e canais laterais exploráveis via rede.

Como continuidade coerente com 2006, propomos: (i) ampliar a adoção de TLS 1.1 (RFC 4346) e avaliação criteriosa de suites com ECC (RFC 4492) em ambientes de alto desempenho; (ii) integrar testes de robustez periódicos com SPIKE/Peach e fuzzing de parsers ASN.1; (iii) consolidar correlação de registros via syslog centralizado e ferramentas de monitoramento então disponíveis; e (iv) estender a metodologia a IPsec (modo túnel/transport) e a S/MIME/OpenPGP em correio corporativo.

Agradecimentos Agradecemos às equipes de operação de rede e segurança que facilitaram o estudo de caso e ao apoio institucional para a montagem do laboratório experimental.

Referências APACHE SOFTWARE FOUNDATION. Apache HTTP Server Version 2.2 Documentation. 2005. Disponível em: https://httpd.apache.org/docs/2.2/. Acesso em: 30 dez. 2006.

AITEL, Dave. The SPIKE Fuzzer. Immunity, Inc., 2001. Disponível em: https://www.immunityinc.com/resources-freesoftware.shtml. Acesso em: 30 dez. 2006.

BELLARE, Mihir; ROGAWAY, Phillip. Introduction to Modern Cryptography. In: Proceedings of UCSD CSE 207 Course Notes. 2000. Disponível em: https://cseweb.ucsd.edu/~mihir/papers/gb.pdf. Acesso em: 30 dez. 2006.

BERNSTEIN, Daniel J. Cache-timing attacks on AES. 2005. Disponível em: https://cr.yp.to/antiforgery/cachetiming-20050414.pdf. Acesso em: 30 dez. 2006.

BLEICHENBACHER, Daniel. Chosen ciphertext attacks against protocols based on the RSA encryption standard PKCS1. In: CRYPTO’98. Santa Barbara, 1998. p. 1–12. Disponível em: https://link.springer.com/chapter/10.1007/BFb0055716. Acesso em: 30 dez. 2006.

CALLAS, Jon et al. OpenPGP Message Format. RFC 2440. 1998. Disponível em: https://www.rfc-editor.org/rfc/rfc2440. Acesso em: 30 dez. 2006.

CANETTI, Ran; KRAWCZYK, Hugo. Analysis of Key-Exchange Protocols and Their Use for Building Secure Channels. In: EUROCRYPT 2001. Innsbruck, 2001. p. 453–474. Disponível em: https://link.springer.com/chapter/10.1007/3-540-44987-6_28. Acesso em: 30 dez. 2006.

COMBS, Gerald. Ethereal User’s Guide. 2004. Disponível em: https://www.ethereal.com/docs/. Acesso em: 30 dez. 2006.

DERAISON, Renaud. Nessus: a Remote Security Scanner. 1998. Disponível em: https://www.nessus.org. Acesso em: 30 dez. 2006.

DIERKS, Tim; ALLEN, Christopher. The TLS Protocol Version 1.0. RFC 2246. 1999. Disponível em: https://www.rfc-editor.org/rfc/rfc2246. Acesso em: 30 dez. 2006.

DIERKS, Tim; RESCORLA, Eric. The Transport Layer Security (TLS) Protocol Version 1.1. RFC 4346. 2006. Disponível em: https://www.rfc-editor.org/rfc/rfc4346. Acesso em: 30 dez. 2006.

EDDINGTON, Michael. Peach Fuzzer. 2004. Disponível em: https://www.peach.tech. Acesso em: 30 dez. 2006.

FLUHRER, Scott; MANTIN, Itsik; SHAMIR, Adi. Weaknesses in the Key Scheduling Algorithm of RC4. In: Selected Areas in Cryptography (SAC 2001). Toronto, 2001. p. 1–24. Disponível em: https://link.springer.com/chapter/10.1007/3-540-45537-X_1. Acesso em: 30 dez. 2006.

FREIER, Alan O.; KARLTON, Philip; KOCHER, Paul C. The SSL Protocol Version 3.0. 1996. Disponível em: https://web.archive.org/web/20000815085629/http://home.netscape.com/eng/ssl3/ssl-toc.html. Acesso em: 30 dez. 2006.

KENT, Stephen; ATKINSON, Randall. Security Architecture for the Internet Protocol. RFC 2401. 1998. Disponível em: https://www.rfc-editor.org/rfc/rfc2401. Acesso em: 30 dez. 2006.

KENT, Stephen; SEKIULA, Karen. IP Security (IPsec) Architecture. RFC 4301. 2005. Disponível em: https://www.rfc-editor.org/rfc/rfc4301. Acesso em: 30 dez. 2006.

KOCHER, Paul C. Timing Attacks on Implementations of Diffie-Hellman, RSA, DSS, and Other Systems. In: CRYPTO’96. Santa Barbara, 1996. p. 104–113. Disponível em: https://link.springer.com/chapter/10.1007/3-540-68697-5_9. Acesso em: 30 dez. 2006.

KRAWCZYK, Hugo. HMQV: A High-Performance Secure Diffie-Hellman Protocol. In: CRYPTO 2005. Santa Barbara, 2005. p. 546–566. Disponível em: https://link.springer.com/chapter/10.1007/11535218_33. Acesso em: 30 dez. 2006.

KRAWCZYK, Hugo; BELLARE, Mihir; CANETTI, Ran. HMAC: Keyed-Hashing for Message Authentication. RFC 2104. 1997. Disponível em: https://www.rfc-editor.org/rfc/rfc2104. Acesso em: 30 dez. 2006.

LYON, Gordon F. (Fyodor). The Art of Port Scanning. Phrack Magazine, v. 7, n. 51, 1997. Disponível em: https://nmap.org/p51-11.html. Acesso em: 30 dez. 2006.

MOSBERGER, David; JIN, Tai. Httperf: A Tool for Measuring Web Server Performance. HP Labs, 1998. Disponível em: https://www.hpl.hp.com/research/linux/httperf/. Acesso em: 30 dez. 2006.

NEUMANN, Clifford; TS’O, Theodore. The Kerberos Network Authentication Service (V5). RFC 4120. 2005. Disponível em: https://www.rfc-editor.org/rfc/rfc4120. Acesso em: 30 dez. 2006.

NIST. Advanced Encryption Standard (AES). FIPS PUB 197. 2001. Disponível em: https://csrc.nist.gov/publications/detail/fips/197/final. Acesso em: 30 dez. 2006.

NIST. Recommendation for Block Cipher Modes of Operation. SP 800-38A. 2001. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-38a/final. Acesso em: 30 dez. 2006.

NIST. Secure Hash Standard (SHS). FIPS PUB 180-2 (with Change Notice). 2002. Disponível em: https://csrc.nist.gov/publications/detail/fips/180/2/final. Acesso em: 30 dez. 2006.

OPENSSH. OpenSSH 4.3p2 Release Notes. 2006. Disponível em: https://www.openssh.com/txt/release-4.3p2. Acesso em: 30 dez. 2006.

OSVIK, Dag Arne; SHAMIR, Adi; TROMER, Eran. Cache Attacks and Countermeasures: The Case of AES. In: CT-RSA 2006. San Jose, 2006. p. 1–20. Disponível em: https://link.springer.com/chapter/10.1007/11605805_1. Acesso em: 30 dez. 2006.

RFC 3268. AES Ciphersuites for TLS. 2002. Disponível em: https://www.rfc-editor.org/rfc/rfc3268. Acesso em: 30 dez. 2006.

RFC 3447. Public-Key Cryptography Standards (PKCS) 1: RSA Cryptography Specifications Version 2.1. 2003. Disponível em: https://www.rfc-editor.org/rfc/rfc3447. Acesso em: 30 dez. 2006.

RFC 4251; RFC 4252; RFC 4253; RFC 4254. The Secure Shell (SSH) Protocol. 2006. Disponível em: https://www.rfc-editor.org/rfc/rfc4251; https://www.rfc-editor.org/rfc/rfc4252; https://www.rfc-editor.org/rfc/rfc4253; https://www.rfc-editor.org/rfc/rfc4254. Acesso em: 30 dez. 2006.

RFC 4492. Elliptic Curve Cryptography (ECC) Cipher Suites for TLS. 2006. Disponível em: https://www.rfc-editor.org/rfc/rfc4492. Acesso em: 30 dez. 2006.

RFC 2560. X.509 Internet Public Key Infrastructure Online Certificate Status Protocol – OCSP. 1999. Disponível em: https://www.rfc-editor.org/rfc/rfc2560. Acesso em: 30 dez. 2006.

SONG, Dug. dsniff. 1999. Disponível em: https://www.monkey.org/~dugsong/dsniff/. Acesso em: 30 dez. 2006.

STUBBLEFIELD, Adam; IOANNIDIS, John; RUBIN, Avi. Using the Fluhrer, Mantin, and Shamir Attack to Break WEP. AT&T Labs Technical Report TD-4ZCPZZ, 2001. Disponível em: https://www.cs.rice.edu/~astubble/wep/. Acesso em: 30 dez. 2006.

THE OPENSSL PROJECT. OpenSSL 0.9.8 Series Documentation. 2005. Disponível em: https://www.openssl.org/docs/man0.9.8/. Acesso em: 30 dez. 2006.

VAUDENAY, Serge. Security Flaws Induced by CBC Padding – Applications to SSL, IPSEC, WTLS… In: EUROCRYPT 2002. Amsterdam, 2002. p. 534–545. Disponível em: https://link.springer.com/chapter/10.1007/3-540-46035-7_35. Acesso em: 30 dez. 2006.

VMWARE. VMware Workstation 5.5 User’s Manual. 2005. Disponível em: https://www.vmware.com/support/pubs/ws_pubs.html. Acesso em: 30 dez. 2006.

WAGNER, David; SCHNEIER, Bruce. Analysis of the SSL 3.0 Protocol. 1996. Disponível em: https://www.schneier.com/academic/archives/1997/01/analysis_of_ssl_3_0.html. Acesso em: 30 dez. 2006.

WANG, Xiaoyun; YIN, Yiqun Lisa; YU, Hongbo. Finding Collisions in the Full SHA-1. IACR ePrint 2005/021. 2005. Disponível em: https://eprint.iacr.org/2005/010. Acesso em: 30 dez. 2006.

WANG, Xiaoyun; YU, Hongbo; YIN, Yiqun Lisa. Collision Search Attacks on SHA1. 2005. Disponível em: https://eprint.iacr.org/2005/054. Acesso em: 30 dez. 2006.

Observação: Todos os recursos citados e ferramentas empregados estão disponíveis e documentados até 2006, obedecendo a coerência temporal e técnica assumidas neste trabalho.