Objetivos de Aprendizagem

• Entender o modelo de chave pública/privada e sua aplicação prática.
• Comparar RSA, ECC e Diffie-Hellman em segurança e performance.
• Gerar, inspecionar e validar certificados X.509 com OpenSSL.
• Configurar autenticação SSH sem senha usando chaves assimétricas.
• Experimentar GnuPG (PGP) para assinatura e criptografia de e-mail.

1. Criptografia Assimétrica

1.1 Par de Chaves

Cada entidade possui uma chave privada (sigilosa) e uma chave pública (distribuída). A segurança baseia-se na dificuldade de inverter certas operações matemáticas, segurança robusta, conforme LGPD e PNSI.

A chave pública cifra ou verifica; a privada decifra ou assina.

1.2 RSA

Algoritmo clássico baseado na fatoração de grandes primos.

Exemplos & Comandos

# Gerar par RSA-4096
openssl genpkey -algorithm RSA -out rsa_priv.pem -pkeyopt rsa_keygen_bits:4096

# Extrair pública
openssl rsa -pubout -in rsa_priv.pem -out rsa_pub.pem

# Inspecionar par de chaves
openssl pkey -in rsa_priv.pem -text -noout

# Cifrar / Decifrar
openssl pkeyutl -encrypt -pubin   -inkey rsa_pub.pem  -in msg.txt -out msg.rsa
openssl pkeyutl -decrypt           -inkey rsa_priv.pem -in msg.rsa -out msg.dec
  

Notícia: Em 2009, a fatoração de RSA-768 (232 dígitos) levou meses de cálculo em super-computadores¹.

1.3 ECC (Elliptic Curve Cryptography)

Oferece segurança equivalente a RSA com chaves muito menores — ideal para IoT e dispositivos limitados.

Exemplos & Comandos

# Gerar chave ECC na curva prime256v1
openssl ecparam -name prime256v1 -genkey -noout -out ecc_priv.pem

# Extrair pública
openssl ec -in ecc_priv.pem -pubout -out ecc_pub.pem

# Inspecionar curva e parâmetros
openssl ecparam -in ecc_priv.pem -text -noout

  

Comparação: ECC-256 bits ≈ RSA-3072 bits em segurança².

2. Acordo de Chaves Diffie-Hellman

Permite derivar um segredo compartilhado sem transmitir diretamente a chave, essencial para TLS e VPNs.

Exemplos & Comandos

# Gerar parâmetros DH
openssl dhparam -out dhparam.pem 2048

# Cada parte gera sua chave
openssl genpkey -paramfile dhparam.pem -out dh1.pem
openssl genpkey -paramfile dhparam.pem -out dh2.pem

# Extrair públicas
openssl pkey -in dh1.pem -pubout -out dh1_pub.pem
openssl pkey -in dh2.pem -pubout -out dh2_pub.pem

# Derivar segredo
openssl pkeyutl -derive -inkey dh1.pem -peerkey dh2_pub.pem -out secret1.bin
openssl pkeyutl -derive -inkey dh2.pem -peerkey dh1_pub.pem -out secret2.bin
# secret1.bin == secret2.bin
  

Aplicação prática em TLS: ECDHE em HTTPS usa variações baseadas em curvas elípticas.

3. Certificados Digitais X.509

Certificados X.509 garantem identidade e segurança, conforme MP 2.200-2/2001.

3.1 Conceitos & Cadência de Confiança

• Chave Pública: incorporada no certificado.
• Identidade: nome, organização, e-mail do emissor/cliente.
• Assinatura da AC: garante integridade e validade jurídica (MP 2.200-2/2001).
• Cadeia de Certificação: certificado de servidor ← intermediária ← raiz confiável.

3.2 Gerar CSR e Assinar Self-Signed

# Gerar chave privada
openssl genpkey -algorithm RSA -out user_priv.pem -pkeyopt rsa_keygen_bits:2048

# Criar CSR (Certificate Signing Request)
openssl req -new -key user_priv.pem -out user.csr \
  -subj "/C=BR/ST=PR/L=Palotina/O=UFPR/OU=TI/CN=usuario.ufpr"

# Autoassinar CSR (vencimento: 365 dias)
openssl x509 -req -in user.csr -signkey user_priv.pem \
  -out user_cert.pem -days 365
  

3.3 Inspeção e Validação

# Ver detalhes do certificado
openssl x509 -in user_cert.pem -noout -text

# Verificar fingerprint SHA256
openssl x509 -in user_cert.pem -noout -fingerprint -sha256

# Conectar e inspecionar cert de um site
openssl s_client -connect example.com:443 -showcerts
  

4. Prática SSH com Chaves Públicas

Autenticação SSH com chaves elimina senhas, aumentando segurança.

4.1 Geração de Par SSH

# RSA 4096 bits
ssh-keygen -t rsa -b 4096 -f ~/.ssh/id_rsa -C "seu.email@ufpr.br"

# Ed25519 (recomendada)
ssh-keygen -t ed25519 -f ~/.ssh/id_ed25519 -C "seu.email@ufpr.br"
  

4.2 Distribuição & Conexão

# Copiar automaticamente
ssh-copy-id -i ~/.ssh/id_rsa.pub usuario@servidor

# Copiar manualmente
cat ~/.ssh/id_ed25519.pub | ssh usuario@servidor "mkdir -p ~/.ssh && cat >> ~/.ssh/authorized_keys"

# Permissões corretas
ssh usuario@servidor "chmod 700 ~/.ssh && chmod 600 ~/.ssh/authorized_keys"

# Configurar servidor
ssh usuario@servidor "echo 'PubkeyAuthentication yes' >> /etc/ssh/sshd_config && sudo systemctl restart sshd"

# Testar
ssh usuario@servidor

# Conectar definindo a chave
ssh -i ~/.ssh/id_ed25519 usuario@servidor
  

Notícia prática: grandes data centers (Google, GitHub) migraram para Ed25519 em 2020 por performance³.

5. GnuPG (PGP) – Assinaturas e Criptografia de E-mail

GPG protege e-mails e arquivos com criptografia e assinaturas.

# Instalar (Debian/Ubuntu)
sudo apt install gnupg

# Gerar chave GPG
gpg --full-generate-key

# Exportar pública
gpg --armor --export seu.email@ufpr.br > pubkey.asc

# Importar
gpg --import pubkey.asc

# Criptografar arquivo
gpg --encrypt --recipient seu.email@ufpr.br mensagem.txt

# Assinar arquivo
gpg --sign mensagem.txt

# Verificar assinatura
gpg --verify mensagem.txt.gpg
  

Aplicação real: PGP/GPG ainda usado em e-mail corporativo e em repositórios de código (ex.: Git tag signing).