CI1007 - Cronograma 2026/1

• Apresentação da disciplina
• Conceitos básicos

• Conteúdo complementar:
  • Computer security, C. Landwehr, 2001
  • Basic Concepts and Taxonomy of Dependable and Secure Computing. A. Avizienis et al, 2004
  • A Review of Information Security Principles, 1997

• Conceitos básicos (cont.)
• Atividade: Base de Vulnerabilidades (prazo: aula 5)

• Criptografia: conceitos básicos; algoritmos simétricos
• Atividade em sala sobre cifradores simétricos

• Criptografia: algoritmos assimétricos
• Atividade: O algoritmo RSA (não precisa fazer o 3.6) (prazo: aula 7)

• Conteúdo complementar:
  • Video: Acordo de chaves de Diffie-Hellman (video 1, video 2)
  • Texto: How RSA Works with Examples
  • Vídeo: o algoritmo RSA (video 1, video 2)
  • Vídeo: Elliptic Curves Cryptography

• Criptografia: resumo criptográfico; assinatura digital; certificado de chave pública; infraestrutura de chaves públicas.

• Conteúdo complementar:
  • Certificate MITM attack 1, 2011
  • Certificate MITM attack 2, 2019

• Autenticação: usuários e grupos; técnicas de autenticação; senhas; senhas descartáveis
• Definir Tópicos em autenticação para os seminários

• Leitura complementar:
  • The Quest to Replace Passwords: A Framework for Comparative Evaluation of Web Authentication Schemes, IEEE Symposium on Security and Privacy, 2012.
  • Designing Password Policies for Strength and Usability, Shay et al, 2016.
  • Método Diceware
  • TOTP

• Atividade (Lab 12 do DINF): Certificados digitais

• Conteúdo complementar: Modelos de criptografia de chave pública alternativos. Goya et al, minicurso do SBSeg 2009.

• Atividade (Lab 12 do DINF): Quebra de senhas
• Leitura complementar: Password cracking

• Autenticação: desafio/resposta; técnicas biométricas

• Leitura complementar:
  • Introdução à Biometria. Costa et al, SBSeg 2006.

• Infraestruturas de autenticação; Kerberos
• Leitura complementar:
  • Gerenciamento de Identidades Federadas. Wangham et al, SBSeg 2010.

• Atividade: seminários sobre Tópicos em autenticação

• Atividade: seminários (cont.)

• Atividade: seminários (cont.)

• Prova 1 (conteúdo: conceitos básicos, criptografia, autenticação)

• Controle de acesso: políticas, modelos e mecanismos de controle de acesso; políticas discricionárias; políticas obrigatórias
• Definir Tópicos em controle de acesso para os seminários

• Controle de acesso: políticas baseadas em domínios; políticas baseadas em papéis; políticas baseadas em atributos.
• Controle de acesso: mecanismos de controle de acesso: infraestrutura básica, controle de acesso em UNIX, controle de acesso em Windows

• Leitura complementar:
  • RBAC: Role-Based Access Controls, 1992; Role-Based Access Control Models, 1996.
  • ABAC: Guide to Attribute Based Access Control (ABAC) Definition and Considerations, 2014.
  • UCON: The UCONabc usage control model, 2004.

—-

• Controle de acesso: mudança de privilégios
• Credenciais de um processo em UNIX: credentials.c

Palestras convidadas:

• Segurança ofensiva além do hacking, por Thayse Solis.
  Thayse Solis é profissional de segurança da informação. Atua como consultora de segurança ofensiva e é instrutora na Mente Binária. É engenheira de computação pela Universidade Tecnológica Federal do Paraná e mestre em Informática pela Universidade Federal do Paraná. Além disso, possui bacharelado em Música pela Universidade Estadual do Paraná. Thayse é palestrante em eventos técnicos da área de cibersegurança, tendo participado de edições do Hacking na Web Day, BxSec Security Conference, BSides VIX, Nullbyte e H2HC. Possui certificações profissionais, incluindo SCMP|A – Mobile Pentester Android pela Sec4US, PenTest+ pela CompTIA e eJPT pela INE.

• Racing for Fun and Profit – When bugs turn into bonuses, por Maycon Vitali.
  Maycon Vitali é especialista em segurança ofensiva, com aproximadamente duas décadas de experiência na identificação e exploração de vulnerabilidades em sistemas e aplicações. Ao longo de sua carreira, atuou em avaliações técnicas de segurança, pesquisa aplicada e desenvolvimento de ferramentas voltadas à análise de ameaças e testes de intrusão. É palestrante em conferências nacionais relevantes na área de segurança da informação, como H2HC e NullByte, além de integrar a organização de eventos técnicos, incluindo o BSides Vitória. Possui certificações profissionais reconhecidas internacionalmente, entre elas OSCE, CRTE e eMAPT, que atestam elevada proficiência prática em exploração de sistemas e ambientes complexos. É graduado em Ciência da Computação e mestre em Informática. Também é fundador do Hack N’ Roll, iniciativa criada em 2008 dedicada à pesquisa e à consultoria em segurança cibernética, com foco em técnicas avançadas de avaliação ofensiva.

* Atividade: seminários sobre Tópicos em controle de acesso

• Atividade: seminários (cont.)

Palestra convidada:

• Segurança em Hardware, por Newton C. Will (UTFPR).
  Graduado em Tecnologia em Sistemas de Informação pela UTFPR (2007), Mestre em Engenharia Elétrica pelo Programa de Pós-graduação em Engenharia Elétrica da UTFPR Pato Branco e Doutor em Ciência da Computação pelo Programa de Pós-Graduação em Informática da UFPR, com pesquisa na área de Segurança Computacional. Atualmente é Professor na UTFPR Campus Curitiba.

• Atividade: seminários (cont.)

• Auditoria: coleta de dados; análise de dados; auditoria preventiva

• Leitura complementar:
  • NIST Guide to Intrusion Detection and Prevention Systems (IDPS), 2007
  • Intrusion Detection Systems: A Survey and Taxonomy, 2000.

• Exemplos de NIDS: Suricata, Snort, Kismet
• Exemplos de HIDS: OSSEC, Samhain, TripWire
• Exemplo de IPS: Fail2ban

Palestra convidada:

• Segurança de redes na RNP, por Christian Lyra (RNP).
  Christian Lyra é formado em Ciência da Computação e mestre em redes de computadores pela UFPR. Atualmente é o coordenador técnico do Presença da Rede Nacional de Pesquisa (RNP) no Paraná.

• Exploits e Patches: A Complexidade do Ataque e a Simplicidade da Defesa, por Jorge Correia.
  Bugs são falhas de implementação que podem existir em software ou hardwere. A partir do momento que essa falha pode ser explorada para contornar mecanismos de segurança, o bug passa a ser uma vulnerabilidade. A criação de um exploit para abusar dessa brecha costuma ser complexa e exige bastante conhecimento técnico sobre o alvo. Mas como a complexidade de um ataque se compara à simplicidade da sua mitigação? Nesta palestra, vamos mostrar essa diferença. Olhando para o Kernel Linux, vamos comparar o funcionamento de exploits para vulnerabilidades como o Dirty Pipe (CVE-2022-0847) e udmabuf (CVE-2023-2008) com os seus patches de correção. Em seguida, sairemos do software: afinal, o que significa uma vulnerabilidade de hardware? É possível aplicar um patch em uma CPU física que já está rodando? Ao observar falhas como Spectre (CVE-2017-5753, CVE-2017-5715), Meltdown (CVE-2017-5754) e Zenbleed (CVE-2023-20593), vamos responder a essas perguntas e mostrar como a indústria conserta problemas diretamente nos nossos processadores.
  Jorge Correia é doutorando em Ciência da Computação e mestre em Informática pela Universidade Federal do Paraná (UFPR), onde também atuou como professor substituto entre 2024 e 2025. Sua pesquisa tem foco em segurança de sistemas operacionais, segurança assistida por hardware, segurança de redes, virtualização e sistemas de arquivos.

• Atividade: demonstrações de ataques (tem peso 2 na avaliação)

• Demonstrações de ataques (cont.)

• Demonstrações de ataques (cont.)

• Demonstrações de ataques (cont.)

• Prova 2 (conteúdo: controle de acesso, auditoria)