Segurança e Criptografia: 10 termos difíceis de Informática para concursos

Acessar as Questões Comentadas 

📘 INFORMÁTICA GB — Material Complementar

10 Termos | Nível Difícil

Este material complementa o resumo “Informática GB — 10 Termos | Nível Difícil”, com foco em segurança da informação, criptografia, ataques, proteção de aplicações web e pegadinhas de prova.

Os termos trabalhados aqui são:

1. criptografia assimétrica;

2. função hash;

3. salting;

4. ransomware de dupla extorsão;

5. envenenamento ARP;

6. spear phishing;

7. ataque de dicionário;

8. não repúdio;

9. WAF;

10. vulnerabilidade de dia zero.

1. Criptografia assimétrica

A criptografia assimétrica utiliza um par de chaves matematicamente relacionadas:

• chave pública;

• chave privada.

A chave pública pode ser compartilhada.

A chave privada deve permanecer protegida pelo seu titular.

Ideia central

Na criptografia assimétrica, as chaves não são iguais.

O que uma chave faz, a outra pode complementar, dependendo do objetivo.

Usos principais

A criptografia assimétrica pode ser usada para:

• confidencialidade;

• autenticação;

• assinatura digital;

• troca segura de chaves;

• não repúdio.

Confidencialidade

Quando o objetivo é proteger o conteúdo da mensagem, pode-se usar a chave pública do destinatário.

Assim, apenas quem possui a chave privada correspondente conseguirá acessar o conteúdo.

Exemplo simples

Se João quer enviar uma mensagem sigilosa para Maria, ele pode usar a chave pública de Maria para proteger a mensagem.

Depois, Maria usa sua chave privada para acessar o conteúdo.

Regra GB

para sigilo, usa-se a chave pública do destinatário;
só a chave privada correspondente abre o conteúdo.

Assinatura digital

Na assinatura digital, a lógica é diferente da criptografia para sigilo.

Em termos didáticos de prova, a assinatura digital funciona assim:

1. gera-se um hash do documento;

2. a assinatura é produzida a partir desse hash com a chave privada do signatário;

3. o resultado é a assinatura digital;

4. o destinatário calcula o hash do documento recebido;

5. depois verifica a assinatura usando a chave pública correspondente;

6. se os valores forem compatíveis, há evidência de integridade e autoria.

Cuidado técnico

Em muitos materiais de concurso, aparece a explicação de que a assinatura digital é o hash do documento criptografado com a chave privada.

Essa explicação é didaticamente útil, especialmente em modelos como RSA.

Mas, tecnicamente, nem todo algoritmo de assinatura funciona literalmente como “criptografar o hash”. O mais seguro é entender assim:

a assinatura digital é gerada sobre o hash do documento, usando a chave privada do signatário.

O que a assinatura digital ajuda a garantir?

A assinatura digital contribui para:

• autenticidade;

• integridade;

• não repúdio.

Cuidado de prova

Assinatura digital não tem como finalidade principal esconder o conteúdo do documento.

Ela serve para comprovar autoria e detectar alteração.

Regra GB

assinatura digital não assina o documento inteiro: trabalha sobre o hash do documento.

2. Função hash

A função hash transforma uma entrada de tamanho variável em um resumo de tamanho fixo.

Esse resumo também pode ser chamado de:

• hash;

• digest;

• resumo criptográfico.

Exemplo simples

Um arquivo grande pode gerar um hash curto.

Uma frase pequena também pode gerar um hash de mesmo tamanho, dependendo do algoritmo usado.

Características importantes

Uma boa função hash criptográfica deve ser:

• determinística;

• rápida para calcular;

• unidirecional;

• sensível a pequenas alterações;

• resistente a colisões.

Determinística

A mesma entrada gera sempre o mesmo hash.

Unidirecional

Não deve ser viável obter o conteúdo original a partir do hash.

Sensível a alterações

Uma pequena mudança no conteúdo deve gerar um hash completamente diferente.

Resistência a colisões

Deve ser difícil encontrar duas entradas diferentes que produzam o mesmo hash.

Uso em integridade

Hash é muito usado para verificar se um arquivo foi alterado.

Se o arquivo muda, o hash também muda.

Cuidado de prova

Hash não é criptografia reversível.

Em regra, hash não serve para “descriptografar” dados.

Regra GB

hash não esconde para depois revelar; hash resume para verificar.

3. Salting

O salting, ou uso de sal, consiste em adicionar dados aleatórios à senha antes da aplicação do hash.

Ideia simples

Duas pessoas podem usar a mesma senha.

Sem salt, essas senhas poderiam gerar o mesmo hash.

Com salt diferente, senhas iguais passam a gerar hashes diferentes.

Para que serve?

O salt dificulta ataques com tabelas pré-computadas, como rainbow tables.

Também reduz o problema de senhas iguais gerarem hashes iguais.

Exemplo conceitual

Senha:

concurso123

Salt do usuário 1:

A7x9

Salt do usuário 2:

Q2k8

Mesmo com a mesma senha, o resultado final do hash tende a ser diferente porque o salt muda.

Cuidado

Salt não é senha.

Salt não é criptografia.

Salt não torna o hash reversível.

Salt não elimina completamente ataques de dicionário.

Regra GB

salt faz senhas iguais gerarem hashes diferentes.

4. Ransomware de dupla extorsão

O ransomware é um tipo de malware que busca restringir o acesso da vítima aos seus dados ou sistemas, geralmente por criptografia, exigindo pagamento de resgate.

Na dupla extorsão, o criminoso faz duas pressões:

1. rouba os dados;

2. criptografa os dados ou sistemas.

Por que é mais grave?

Porque mesmo que a vítima tenha backup, ainda existe o risco de vazamento dos dados roubados.

Pressões usadas pelo criminoso

O atacante pode ameaçar:

• manter os dados inacessíveis;

• divulgar informações sigilosas;

• vender dados roubados;

• expor clientes, servidores ou usuários;

• causar dano reputacional.

Cuidado de prova

Backup ajuda contra perda de acesso.

Mas backup, sozinho, não elimina o risco de vazamento quando houve roubo de dados.

Regra GB

dupla extorsão = criptografar + ameaçar vazar.

5. Envenenamento ARP

O envenenamento ARP, também chamado de ARP spoofing ou ARP poisoning, é um ataque que falsifica informações do protocolo ARP em uma rede local.

Ideia central

O ARP associa um endereço IP a um endereço MAC.

No ataque, o invasor tenta fazer dispositivos da rede acreditarem que o IP legítimo está associado ao MAC do atacante.

Possíveis consequências

Esse tipo de ataque pode permitir:

• interceptação de tráfego;

• desvio de tráfego;

• ataque man-in-the-middle;

• captura de informações em rede local;

• interrupção ou manipulação da comunicação.

Cuidado

ARP spoofing ocorre no contexto de rede local.

Não é, por si só, um ataque típico de phishing por e-mail.

Regra GB

ARP spoofing engana a rede local associando IP legítimo ao MAC do atacante.

6. Phishing direcionado

O phishing é uma fraude que tenta enganar a vítima para obter dados, credenciais, dinheiro ou acesso indevido.

O spear phishing é uma modalidade direcionada.

Phishing comum

Pode ser genérico, enviado para muitas pessoas.

Spear phishing

É personalizado contra uma pessoa, grupo ou organização específica.

O que torna o spear phishing perigoso?

O atacante pode usar informações reais sobre o alvo, como:

• nome;

• cargo;

• empresa;

• rotina;

• colegas;

• setor;

• processos internos;

• eventos recentes.

Isso torna a fraude mais convincente.

Cuidado de prova

Spear phishing não é golpe aleatório.

É phishing direcionado.

Regra GB

phishing engana muita gente; spear phishing mira um alvo específico.

7. Ataque de dicionário

O ataque de dicionário, ou dictionary attack, tenta descobrir senhas usando listas de palavras, senhas comuns e combinações prováveis.

Exemplos de tentativas

• senha123;

• admin;

• qwerty;

• concurso2026;

• nome + data;

• palavras comuns com pequenas variações.

Diferença para força bruta

No ataque de força bruta, o atacante tenta sistematicamente muitas combinações possíveis.

No ataque de dicionário, ele usa listas mais prováveis.

Comparação GB

dicionário = tenta o que é provável.
força bruta = tenta combinações sistematicamente.

Cuidado

Ataque de dicionário pode ser mais rápido porque evita testar todas as possibilidades.

Mas depende da qualidade da lista usada e da previsibilidade das senhas.

8. Não repúdio

O não repúdio, ou non-repudiation, é uma propriedade de segurança que busca impedir que alguém negue indevidamente a autoria ou a realização de uma ação.

Ideia simples

É fornecer evidências de que determinada ação foi praticada por determinada pessoa ou entidade.

Exemplo clássico

A assinatura digital é um mecanismo associado ao não repúdio.

Ela permite demonstrar que determinada mensagem ou documento foi assinado por quem possui a chave privada correspondente.

Relação com assinatura digital

A assinatura digital pode contribuir para:

• autenticidade;

• integridade;

• não repúdio.

Cuidado

Não repúdio não é a mesma coisa que confidencialidade.

Confidencialidade protege contra acesso indevido ao conteúdo.

Não repúdio busca impedir negação indevida de autoria ou ação.

Regra GB

não repúdio = não negar indevidamente a autoria ou a ação.

9. Firewall de Aplicação Web — WAF

O WAF, ou Web Application Firewall, é um firewall voltado para proteção de aplicações web.

Ele analisa o tráfego HTTP/HTTPS entre o usuário e a aplicação.

O que ele protege?

O WAF protege aplicações web, como:

• sites;

• portais;

• sistemas online;

• APIs web;

• aplicações acessadas por navegador.

Camada de atuação no Modelo OSI

O WAF atua na Camada 7 do Modelo OSI, a camada de Aplicação.

Isso significa que ele observa requisições e respostas da aplicação, especialmente tráfego HTTP e HTTPS.

Firewall tradicional x WAF

O firewall tradicional de rede atua principalmente nas:

• Camada 3 — Rede;

• Camada 4 — Transporte.

Ele costuma filtrar tráfego com base em critérios como:

• endereço IP;

• porta;

• protocolo;

• origem;

• destino.

Já o WAF observa o conteúdo e o comportamento das requisições web.

Ataques que pode ajudar a bloquear

Um WAF pode ajudar a bloquear ataques como:

• SQL Injection;

• Cross-Site Scripting, ou XSS;

• tentativas de exploração de parâmetros;

• requisições maliciosas;

• padrões suspeitos no tráfego web.

Cuidado

WAF não é antivírus.

WAF não protege “qualquer coisa” do computador.

WAF protege aplicações web.

Regra GB

firewall comum protege rede nas camadas 3 e 4;
WAF protege aplicação web na camada 7.

10. Vulnerabilidade de dia zero

A vulnerabilidade de dia zero, ou zero-day vulnerability, é uma falha ainda desconhecida pelo fabricante ou para a qual ainda não há correção disponível.

Vulnerabilidade Zero-Day

É a falha em si.

Ela pode estar em:

• sistema operacional;

• navegador;

• aplicação;

• firmware;

• biblioteca;

• serviço;

• dispositivo.

Exploit Zero-Day

O exploit zero-day é o código, técnica ou procedimento criado para explorar essa falha antes que exista correção disponível.

Diferença central

vulnerabilidade zero-day = a falha.
exploit zero-day = o meio de explorar a falha.

Cuidado

A existência de uma vulnerabilidade zero-day não significa necessariamente que ela já esteja sendo explorada.

Mas, se houver exploit ativo, o risco aumenta muito.

Mitigações possíveis

Mesmo sem correção definitiva, podem existir medidas temporárias, como:

• restringir acesso;

• desativar função vulnerável;

• aplicar regras de firewall;

• monitorar logs;

• segmentar rede;

• atualizar assim que houver patch;

• usar controles compensatórios.

Regra GB

zero-day pode ser a falha;
exploit zero-day é o ataque preparado para explorá-la.

Matriz “Não Confunda”

Conceito A

Conceito B

Diferença GB

Criptografia

Hash

Criptografia protege conteúdo; hash verifica integridade.

Criptografia simétrica

Criptografia assimétrica

Simétrica usa uma chave compartilhada; assimétrica usa chave pública e privada.

Hash

Salt

Hash gera resumo; salt é dado adicional usado antes do hash.

Assinatura digital

Confidencialidade

Assinatura comprova autoria/integridade; confidencialidade esconde conteúdo.

Não repúdio

Integridade

Não repúdio dificulta negar autoria; integridade detecta alteração.

Phishing

Spear phishing

Phishing pode ser genérico; spear phishing é direcionado.

Ataque de dicionário

Força bruta

Dicionário usa senhas prováveis; força bruta testa combinações sistemáticas.

ARP spoofing

Spear phishing

ARP spoofing ataca rede local; spear phishing explora fator humano.

Firewall tradicional

WAF

Firewall tradicional atua nas camadas 3/4; WAF atua na camada 7.

Vulnerabilidade zero-day

Exploit zero-day

Vulnerabilidade é a falha; exploit é o código/técnica que explora.

Backup

Proteção contra vazamento

Backup ajuda a recuperar dados; não impede vazamento se dados foram roubados.

Pegadinhas de prova

Pegadinha 1

“Função hash é usada para descriptografar senhas.”

Errado.

Hash é unidirecional.

Ele não serve para recuperar a senha original.

Pegadinha 2

“Criptografia assimétrica usa uma única chave compartilhada.”

Errado.

Isso é característica da criptografia simétrica.

A criptografia assimétrica usa par de chaves: pública e privada.

Pegadinha 3

“Na assinatura digital, o documento inteiro é criptografado com a chave privada.”

Cuidado.

Em abordagem didática simplificada, fala-se em “criptografar com a chave privada”.

Mas, tecnicamente, a assinatura digital é gerada sobre o hash do documento, usando a chave privada do signatário.

Pegadinha 4

“Salt serve para criptografar a senha.”

Errado.

Salt não criptografa.

Ele é adicionado antes do hash para dificultar ataques e fazer senhas iguais gerarem hashes diferentes.

Pegadinha 5

“Backup resolve completamente ransomware de dupla extorsão.”

Cuidado.

Backup ajuda a recuperar disponibilidade.

Mas, se houve roubo de dados, continua existindo risco de vazamento.

Pegadinha 6

“ARP spoofing é fraude por e-mail.”

Errado.

ARP spoofing é ataque em rede local envolvendo associação falsa entre IP e MAC.

Pegadinha 7

“Spear phishing é phishing genérico em massa.”

Errado.

Spear phishing é direcionado e personalizado.

Pegadinha 8

“Ataque de dicionário testa todas as combinações possíveis.”

Errado.

Ele usa listas de palavras e combinações prováveis.

Quem tenta sistematicamente combinações possíveis é a força bruta.

Pegadinha 9

“Não repúdio é o mesmo que confidencialidade.”

Errado.

Confidencialidade protege o conteúdo.

Não repúdio fornece evidências contra negação indevida de autoria ou ação.

Pegadinha 10

“WAF protege apenas computadores pessoais contra vírus.”

Errado.

WAF protege aplicações web, analisando tráfego HTTP/HTTPS.

Pegadinha 11

“WAF atua principalmente nas camadas 3 e 4 do Modelo OSI.”

Errado.

WAF atua na Camada 7, a camada de Aplicação.

Pegadinha 12

“Firewall tradicional e WAF analisam exatamente a mesma coisa.”

Errado.

Firewall tradicional costuma filtrar IP, porta e protocolo.

WAF analisa requisições web na camada de aplicação.

Pegadinha 13

“Zero-day é sempre um vírus.”

Errado.

Zero-day pode ser uma vulnerabilidade.

O exploit zero-day é o código ou técnica que explora a falha.

Pegadinha 14

“Vulnerabilidade zero-day e exploit zero-day são a mesma coisa.”

Errado.

A vulnerabilidade é a falha.

O exploit é o meio de exploração.

Pegadinha 15

“Zero-day é uma falha já corrigida há muito tempo.”

Errado.

Zero-day envolve falha ainda desconhecida, sem correção disponível ou explorada antes da correção.

Fechamento GB

Esses 10 termos são difíceis porque parecem próximos, mas cada um pertence a uma lógica diferente.

Para prova, grave:

criptografia assimétrica trabalha com par de chaves;
assinatura digital trabalha sobre o hash;
hash verifica integridade;
salt diferencia hashes de senhas iguais;
dupla extorsão rouba e criptografa;
ARP spoofing engana a rede local;
spear phishing mira alvo específico;
dicionário testa senhas prováveis;
não repúdio dificulta negar autoria;
WAF protege aplicação web na camada 7;
zero-day pode ser vulnerabilidade ou exploit.

Antes de responder uma questão, pergunte:

1. O tema é criptografia, hash ou autenticação?

2. O objetivo é sigilo, integridade ou autoria?

3. O ataque mira tecnologia ou fator humano?

4. O golpe é genérico ou direcionado?

5. O mecanismo protege rede ou aplicação web?

6. A camada cobrada é rede/transporte ou aplicação?

7. A falha é a vulnerabilidade ou o exploit?

8. A banca está usando termos absolutos como “sempre”, “nunca” ou “garante totalmente”?

Essa lógica resolve a maioria das pegadinhas.

Resumo inteligente

Criptografia assimétrica: usa par de chaves pública e privada.

Chave pública: pode ser compartilhada.

Chave privada: deve ser protegida pelo titular.

Confidencialidade: protege o conteúdo contra acesso indevido.

Assinatura digital: é gerada sobre o hash do documento com uso da chave privada.

Hash: resumo de tamanho fixo gerado a partir de dados de tamanho variável.

Integridade: propriedade que permite verificar se houve alteração indevida.

Salting: adição de dados aleatórios antes do hash da senha.

Ransomware de dupla extorsão: rouba dados e também criptografa ou bloqueia o acesso.

ARP spoofing / ARP poisoning: falsificação de associação IP/MAC em rede local.

Spear phishing: phishing direcionado e personalizado.

Dictionary attack: ataque de dicionário baseado em senhas prováveis.

Não repúdio / non-repudiation: evidência para impedir negação indevida de autoria ou ação.

WAF: firewall de aplicação web.

Camada 7: camada de aplicação do Modelo OSI, onde atua o WAF.

Firewall tradicional: atua principalmente nas camadas 3 e 4, filtrando IP, porta e protocolo.

Vulnerabilidade zero-day: falha desconhecida ou ainda sem correção disponível.

Exploit zero-day: código ou técnica que explora uma falha zero-day.

Pegadinha principal: segurança da informação cobra diferença fina entre sigilo, integridade, autoria, rede, aplicação, falha e exploração.

Nota de fonte

Fonte: material complementar elaborado com base nos conceitos tradicionais de Segurança da Informação cobrados em concursos públicos, especialmente criptografia assimétrica, assinatura digital, função hash, salting, ransomware de dupla extorsão, ARP spoofing, spear phishing, ataque de dicionário, não repúdio, WAF, Modelo OSI, vulnerabilidade zero-day e exploit zero-day; abordagem compatível com bancas como Cebraspe, FGV, FCC, Vunesp, IBFC e AOCP.