Sergio Leal – Colunista CryptoID
Durante o carnaval bombou na midia que a NSA hackeou a Gemalto e teve acesso às chaves usadas para proteção dos SIM Cards. Como você pode ver aqui.
O que não apareceu na midia é que a Gemalto é um dos grandes produtores de smartcards no mundo. Boa parte dos cartões usados pelas AC da ICP-Brasil são produzidos pela Gemalto. Então não é hora de questionarmos se esse hack não criou algum tipo de problema nos cartões que nós usamos?
Como funcionam os smartcards?
Descrevendo um pouco melhor o funcionamento de cartões inteligentes, podemos enxergá-los como computadores completos. Basicamente dividem-se em 2 grupos: cartões nativos, e os programáveis.
Os nativos já saem de fabrica com um unico “programa implantado”. Enquanto isso nos programáveis podemos rodar qualquer aplicação. Um bom exemplo são os Javacards que rodam pequenos programas chamados applets. Assim, você pode desenvolver seu próprio aplicativo e colocar dentro do cartão.
Alguns recursos como os geradores de numeros aletatórios e geradores de chaves já são nativos dos cartões e seu aplicativo fará uso deles.
Uma hack como esse dentro de um fabricante de cartões cria uma “superfície de exposição” enorme, oferecendo muitas oportunidades para que nossos processos criptográficos sejam sabotados.
Que perguntas ainda não respondemos?
Será que os componentes utilizados para geração de numeros aleatórios (fundamentais na geração de chaves criptográficas de qualidade) não estão comprometidas?
Como isso pode impactar as nossas empresas e os nossos processos de Governo?
Seria, enfim, a hora de investirmos no desenvolvimento de soluções genuinamente brasileiras?
Precisamos aceitar que os riscos de utilizar as “caixas pretas gringas” estão cada vez mais evidentes e não podemos fechar os olhos pra eles.
Sérgio Leal
- Ativista de longa data no meio da criptografia e certificação digital.
- Trabalha com criptografia e certificação Digital desde o início da década de 90, tendo ocupado posições de destaque em empresas lideres em seu segmento como Modulo e CertiSign.
- Criador da ‘ittru’: Primeira solução de certificação digital mobile no mundo.
- Bacharel em Ciências da Computação pea UERJ desde 1997.
- Certificações:
– Project Management Professional (desde 2007)
– TOGAF 9.1 Certified
– Oracle Certified Expert, Java EE 6 (Web Services Developer, Enterprise JavaBeans Developer)- Sérgio Leal é colunista e membro do conselho editorial do Instituto CryptoID.
