Tales of the Crypto

Adler Medrado
Tales of the Crypto

PHP Conference Brasil 2012 Imagem: Cryptomuseum.com
Monday, December 3, 12

Quem sou eu?
• Desenvolvedor, Consultor,
Instrutor;
• Trabalha na Sigma Dataserv;
• Co-Fundador do PHPDF;
• Fui apresentado ao PHP em
1999;
• Tenho meu próprio podcast
(getOnCode);
• ZCE
• PHP 5;
• Zend Framework;

Objetivos

• Mostrar como algumas ferramentas que
auxiliam no uso de criptograﬁa com PHP
• Criptograﬁa é um assunto complexo para
podermos abordar a fundo aqui
• Quer estudar? https://www.coursera.org/
course/crypto


Segurança

• Atualmente há consenso que é necessário
obter segurança nas transações realizadas
pela internet
• A segurança é composta de diversos
fatores e a criptograﬁa é uma delas


O que é criptograﬁa?

• Uma ciência
• Nome tem origem no grego - kryptós
(escondido) e gráphein (escrita)


Entusiastas da
Criptograﬁa
• Sun Tzu
• Hitler
• Carl Von Clausewitz


Segunda Guerra

http://www.navajocodetalkers.org/


Chega de história


Para que serve?

• Garantir Integridade do Dado
• Prover segurança em transações
conﬁdenciais
• Privacidade
• Garantia de Autenticidade


Para que não serve

• XSS
• SQL Injection
• Session Hijacking
• Engenharia Social
• "As pessoas são o elo mais fraco" -Kevin Mitnick


Criptograﬁa != Segurança


Não tente criar seu
próprio algoritimo


Por mais que você seja bom, seu algoritimo tem grandes
chances de ser inferior aos já existentes e que são abertos


A não ser que você seja um matemático acima da média.


Se você ﬁzer algo superior ao que já existe, por favor,
torne-o um padrão aberto.


Se a Microsoft, Oracle ou Apple te oferecessem um
algoritimo fechado para você criptografar os dados
da sua empresa, você conﬁaria?


E se o governo te oferecesse, você aceitaria?


Dê a preferência, sempre, aos algoritimos abertos


Criptografando
mensagens
• Código
• Quando é necessário um código para
decifrar a mensagem
• Cifra
• Esconde conteúdo original dentro de
outro


Cifras
• Exemplo 1 - Texto substituído por número e somado a valor
chave

EU VOU PRA CASA

5 20 21 14 20 15 17 1 3 1 18 1

15 30 31 24 30 25 27 11 13 11 28 11

codigo = 10


Cifras
• Exemplo II - Cifra de Cesar
Normal: a ligeira raposa marrom saltou sobre o cachorro cansado
Cifrado: D OLJHLUD UDSRVD PDUURP VDOWRX VREUH R FDFKRUUR FDQVDGR

http://pt.wikipedia.org/wiki/Cifra_de_C%C3%A9sar


Como você salva
passwords ?

• Plain Text?
• Hashing?


Hashing
• Mais comuns
• MD5 - Message Digest Algorithm - RFC 1321
• SHA1 - Secure Hash Algorithm - NIST-FIPS 180-1
Hashing normalmente possuem tamanho ﬁxo, geralmente
128 ou 256 bits, independente do tamanho de entrada.
Além de MD5 e SHA-1, existem diversos algoritimos de
hashing.


Colisão de Hashes
• Por terem tamanho ﬁxo:
• deduz-se que os hashes gerados são limitados
• se há limite, dois valores diferentes podem ter o mesmo
hash
• se isso acontecer, é uma colisão de hashes


Brute Force
$password = 'vidaloka';
md5($password);


Salt
$salt = 'phpconf';
md5($salt.$password);


Outras Opções

• hash
• Pode ser desabilitado na compilação
• Risco ao mudar de ambiente
• crypt
• Está no core


hash
hash('adler32', 'vidaloka');

Algoritimo com o nome mais bonito do mundo

Para saber quais algoritimos estão disponíveis
var_dump(hash_algos());


crypt
$salt = 'phpconf';

// Para usar Blowfish
$salt = '$2a$07$'.$salt.'$';

echo 'Plaintext password: '.$password."n";
echo 'Salt: '.$salt."n";

echo 'Blowfish hash: ' . crypt($password, $salt)."n";

crypt + blowﬁsh FTW


Criptograﬁa Simétrica

• O mésmo código/chave usado para
criptografar é usado para descriptografar
• Por usar a mesma chave, o algoritimo
criptográﬁco usado é mais simples
• Por possuir um algoritimo mais simples, é
mais rápida que a assimétrica


Criptograﬁa
Assimétrica
• Utiliza um par de chaves: pública e privada
• As chaves são diferentes, entretanto,
matemáticamente relacionadas
• Mais seguro
• Mais lento


Algoritimos populares
• AES - Simétrica
• RSA - Assimétrica
Existem diversas bibliotecas que abstraem o trabalho sujo

• OpenSSL
• PGP/OpenPGP/GnuPG
• MCrypt

OpenSSL
• Open-Source
• Toolkit que implementa suporte aos
protocolos SSL e TLS
• Oferece uma biblioteca criptograﬁca de uso
geral
• Suporte a diversos padrões e algorítimos
• Provê mecanismos para gerar certiﬁcados SSL


Exemplos com
OpenSSL
• Criptograﬁa Simétrica
$texto = <<<TEXTO_SECRETO
Joguei uma pedra na água;
Ela era pesada e foi ao fundo;
Os peixinhos responderam: Viva Dom Pedro II.
TEXTO_SECRETO;

$iv = "1234567812345678";
$senha = '1234';
$metodo = 'aes-256-cbc';

file_put_contents ('arquivo.ssl.txt',openssl_encrypt ($texto, $metodo, $senha, true, $iv));

openssl_decrypt(file_get_contents('arquivo.ssl.txt'), $metodo, $senha, true, $iv);


Exemplos com
OpenSSL
Gerando chaves pública e privada com SSL

$chave_privada = openssl_pkey_new(array(
'private_key_bits' => 1024,
'private_key_type' => OPENSSL_KEYTYPE_RSA,
));
openssl_pkey_export_to_file($chave_privada, 'private', '12345');

$detalhes_da_chave = openssl_pkey_get_details($chave_privada);
file_put_contents('public', $detalhes_da_chave['key']);


Exemplos com
OpenSSL


Exemplos com
OpenSSL
Usando as chaves para criptografar e descriptografar

$chave_publica = openssl_pkey_get_public('file:///keys/public');
openssl_public_encrypt($texto, $dados_criptografados, $chave_publica);

$chave_privada = openssl_pkey_get_private('file:///keys/private', '12345');
openssl_private_decrypt($dados_criptografados, $dados_originais, $chave_privada);


PGP/OpenPGP/GnuPG
• Pretty Good Privacy
• Desenvolvido em 1991 por Phil Zimmermann
• Código Aberto - Origem do OpenPGP
• Simples instalação do toolkit
• Conﬁguração com PHP não é trivial
• Cadeias de conﬁança do PGP são interessantes
• KeyServers


Exemplo com PGP
$gpg = new gnupg();
$gpg ->
addencryptkey("8660281B6051D071D94B5B230549F9DC851566DC");
$enc = $gpg -> encrypt("Texto Secreto");

$res = gnupg_init();
gnupg_adddecryptkey($res,"8660281B6051D071D94B5B230549F9DC8
51566DC",'senha');
$original = gnupg_decrypt($res,$enc);


MCrypt

• Biblioteca open-source
• Suporta diversos algorítimos
• Criptograﬁa Simétrica


Exemplo MCrypt
$texto = <<<TEXTO_SECRETO
Joguei uma pedra na água;
Ela era pesada e foi ao fundo;
Os peixinhos responderam: Viva Dom Pedro II.
TEXTO_SECRETO;

$chave = "segredo";

// Vetor de Identificação
$tamanho_iv = mcrypt_get_iv_size(MCRYPT_RIJNDAEL_256, MCRYPT_MODE_CBC);
$iv = mcrypt_create_iv($tamanho_iv, MCRYPT_RAND);

$texto_criptografado = mcrypt_encrypt(MCRYPT_RIJNDAEL_256, $chave, $texto,
MCRYPT_MODE_CBC, $iv);

$texto_descriptografado = mcrypt_decrypt(MCRYPT_RIJNDAEL_256, $chave,
$texto_criptografado, MCRYPT_MODE_CBC, $iv);


Perguntas?


Obrigado, até a próxima.
http://adlermedrado.com.br
http://getoncode.com.br
@adlermedrado


Tales of the Crypto

Mais conteúdo relacionado

Semelhante a Tales of the Crypto

Mais de Adler Medrado

Tales of the Crypto