Vehicular communication technologies, also called Vehicle-to-everything (V2X) systems, are expected to become common in the future, providing better effciency and safety in transportation. This envisioned large-scale deployment, however, critically depends on addressing some requirements. For example, to prevent abuse by drivers, messages exchanged among authorized vehicles must be authenticated, which implies the need of a Vehicular Public Key Infrastructure (VPKI). Unlike traditional Public Key Infrastructures (PKIs), though, VPKIs are also expected to preserve the drivers\' privacy; in particular, neither eavesdroppers or system entities should be able to easily identify or track the movements of vehicles using non-revoked certificates. One promising VPKI solution, which copes with such requirements and is among the main candidates for standardization in the United States and Europe, is Security Credential Management System (SCMS). In this thesis, aiming to address shortcomings identified in the SCMS architecture, three main contributions are provided. First, a mechanism for improving the exibility of revocation is described, allowing certificates and their owner\'s privacy to be temporarily revoked in an eficient manner; this functionality is useful, for example, in case a software malfunction is detected and a patch still needs to be released. Second, two birthday attacks against SCMS\'s certificate revocation process are detailed and then fixed, thus preventing the system\'s security degradation with the number of issued and revoked certificates. Finally, a method is proposed which simplifies SCMS\'s system architecture, removing the need for the so-called Linkage Authorities (LAs); this not only reduces the cost for SCMS\'s deployment, but also improves its security and privacy due to the removal of one potential point of failure/collusion. / Espera-se que as tecnologias de comunicação veicular, também chamadas de sistemas V2X (Vehicle-to-everything, em inglês), se tornem comuns no futuro, proporcionando melhor eficiência e segurança no transporte. Essa implantação planejada em larga escala, no entanto, depende criticamente de abordar alguns requisitos. Por exemplo, para prevenir abusos por motoristas, mensagens trocadas entre veículos autorizados devem ser autenticadas, o que implica na necessidade de uma Infraestrutura de Chaves Públicas Veicular (VPKI, do inglês, Vehicular Public Key Infrastructure). Diferente de Infraestruturas de Chaves Públicas (ICPs) tradicionais, porém, é esperado também que as VPKIs preservem a privacidade dos motoristas; em particular, que nem bisbilhoteiros, nem entidades do sistema possam identificar veículos ou rastrear seus movimentos facilmente utilizando certificados n~ao revogados. Uma solução promissora para VPKI, que lida com tais requisitos e está entre os principais candidatos para padronização nos Estados Unidos e na Europa é o Sistema de gerenciamento de credenciais de segurança (SCMS, do inglês, Security Credential Management System). Nessa dissertação, com o objetivo de abordar deficiências identificadas na arquitetura do SCMS, são fornecidas três contribuições principais. Primeiro, um mecanismo para melhorar a exibilidade do processo de revogação é descrito, permitindo que certificados e a privacidade de seus proprietários sejam revogados temporariamente de maneira eficiente; essa funcionalidade é útil, por exemplo, em caso de uma falha de software ser detectada e ser necessário a liberação de uma correção. Em segundo lugar, dois ataques do aniversário contra o processo de revogação do SCMS são detalhados e posteriormente corrigidos, assim, prevenindo a degradação de segurança do sistema com o número de certificados emitidos e revogados. Por fim, é proposto um método que simplifica a arquitetura do sistema SCMS, removendo a necessidade das chamadas Autoridades de Ligação (LAs, do inglês, Linkage Authorites); o que não só reduz o custo de implantação do SCMS, mas também aumenta sua segurança e privacidade devido à remoção de um potencial ponto de falha/conluio.

Made available in DSpace on 2014-12-17T15:48:08Z (GMT). No. of bitstreams: 1 CaioSVB.pdf: 870470 bytes, checksum: a842971c4d35e47c9f8084ff650e5651 (MD5) Previous issue date: 2006-05-19 / Nowadays due to the security vulnerability of distributed systems, it is needed mechanisms to guarantee the security requirements of distributed objects communications. Middleware Platforms component integration platforms provide security functions that typically offer services for auditing, for guarantee messages protection, authentication, and access control. In order to support these functions, middleware platforms use digital certificates that are provided and managed by external entities. However, most middleware platforms do not define requirements to get, to maintain, to validate and to delegate digital certificates. In addition, most digital certification systems use X.509 certificates that are complex and have a lot of attributes. In order to address these problems, this work proposes a digital certification generic service for middleware platforms. This service provides flexibility via the joint use of public key certificates, to implement the authentication function, and attributes certificates to the authorization function. It also supports delegation. Certificate based access control is transparent for objects. The proposed service defines the digital certificate format, the store and retrieval system, certificate validation and support for delegation. In order to validate the proposed architecture, this work presents the implementation of the digital certification service for the CORBA middleware platform and a case study that illustrates the service functionalities / Atualmente, plataformas de integra??o de componentes, tamb?m chamadas de plataformas de middleware, t?m tido um importante papel no suporte ao desenvolvimento de sistemas distribu?dos. Em rela??o a controle de acesso, plataformas de middleware t?m utilizado certificados digitais, para verificar a autenticidade de um elemento, em conjunto com controle de acesso baseado em pap?is, para identificar quais opera??es poder?o ser acessadas por tal elemento. Apesar dos certificados terem um papel fundamental no suporte a seguran?a em plataformas de middleware, a maioria delas n?o define requisitos para obten??o, manuten??o, valida??o e delega??o de certificados. Esse trabalho tem como objetivo propor um servi?o gen?rico para certifica??o digital em plataformas de middleware. Esse servi?o deve oferecer flexibilidade atrav?s do uso conjunto de certificados de chave p?blica e certificados de atributos de forma a distinguir a fun??o de autentica??o da fun??o de autoriza??o. Os certificados de atributos d?o suporte ao controle de acesso baseado em pap?is. A flexibilidade tamb?m deve ser endere?ada atrav?s do suporte a delega??o. Na implementa??o para diferentes plataformas de middleware o controle de acesso baseado em certificados deve funcionar de forma transparente para os objetos. De forma a validar o servi?o pretende-se implement?-lo e test?-lo no contexto da plataforma de middleware CORBA, amplamente utilizada atualmente

The use of new technologies in the legal system has caused considerable changes. Information is now more valuable and must be protected by the state legislatures. Such protection becomes necessary because electronic information can be easily accessed, but privacy comes under risk. It became thus necessary to develop new ways to protect the right to information in order to make it safe and reliable. Such is the purpose of the information security systems. The most widely used systems employ electronic signature technology associated to the issue of electronic certificates by reliable third parties. This kind of system has been the most efficient in assuring the integrity and authenticity of the contents and authorship of electronic information. In Brazil, the Brazilian electronic certification system, or ICP-Brasil, is used. It was created by the Provisional Act nº 2.200-2/2001 based on a centralized, hierarchical open model that uses credentials from electronic certificates issuing parties. Those parties, public or private, assure the legitimacy and authorship of electronic information in private legal relations, as in electronic contracts, or in public relations involving the government. Therefore, the aim of this study is to analyze the legislation established by the Brazilian legal system for the activity of electronic certification, with special emphasis to its constitutional aspects, in order to present solutions and assure the security systems offer efficient protection where electronic information is concerned. This critical analysis becomes necessary because it not only contributes to improvements in the model prescribed by the Brazilian government, but it also promotes digital inclusion with quality, which, in turn, will reflect in social benefits for the users. The bibliographical and descriptive research suggest the present electronic security system may start social changes in this effort to improve security of electronic information, although a greater commitment from the state is still necessary in order to encourage the use of electronic media as a general and efficient environment for the exercise of our fundamental rights. / A utilização das novas tecnologias pelo homem originou profundas mudanças, especialmente no âmbito jurídico. As informações adquiriram caráter de bem mais valioso, de modo que sua segurança tornou-se valor de estrema relevância a ser protegido pelos ordenamentos jurídicos estatais. Isto ocorre porque a liberdade no acesso e manipulação, bem como a privacidade, daquelas restaram seriamente fragilizadas pelos riscos existentes no meio eletrônico. Assim, foi necessário elaborar novas formas de proteção ao direito à informação a fim de que esse possa se efetivar no referido meio de maneira segura e válida. Para tanto existem os sistemas de segurança de dados, dentre os quais o mais utilizado, atualmente, compreende a aplicação da tecnologia de assinatura digital associada à emissão de certificados digitais por um terceiro ente confiável. Essa espécie de sistema tem sido a mais eficaz para garantir a integridade e autenticidade do conteúdo e autoria das informações digitalizadas. No Brasil, sua implementação traduz-se no sistema de certificação digital brasileiro, ou ICP-Brasil, criado pela Medida Provisória nº 2.200-2/2001 e que se encontra estruturado sob um modelo centralizado, hierárquico e aberto, baseado no credenciamento espontâneo das entidades emissoras de certificados digitais. Estes entes, que podem ser públicos ou privados, têm a função de ofertar legitimidade à autoria das informações digitalizadas quando utilizadas em relações jurídicas privadas, como nos contratos eletrônicos, ou em públicas, nos atos do governo eletrônico. Este trabalho visa, então, averiguar a forma de regulamentação estabelecida pelo ordenamento jurídico brasileiro para a atividade de certificação digital, particularmente no que concerne a sua constitucionalidade, a fim de apresentar soluções para o problema relacionado a esse sistema servir de instrumento eficiente para a efetivação do direito à informação no meio eletrônico. Realizar uma análise crítica nesse sentido é importante, pois contribuirá para aprimorar e adequar o citado modelo em conformidade com os ditames do Estado Democrático de Direito brasileiro, como também para possibilitar o alcance a uma inclusão digital com qualidade. Esta, por sua vez, refletirá em ofertar aos cidadãos um novo meio para concretização de sua dignidade humana. Por intermédio de pesquisas bibliográfica e descritiva, constatou-se que, embora o referido sistema tenha plenas condições de provocar uma mudança social no combate à insegurança no trato de informações digitalizadas, ainda se faz precípuo um maior comprometimento do Poder Público em estimular a utilização do meio eletrônico como um novo espaço hegemônico e eficiente para o exercício de direitos fundamentais.