VPN e SSL/TLS — túneis e canais seguros
3 min de leituraPodcast12 questões
Cai no edital de Agente PF, Escrivão PF, Papiloscopista PF
Para revisar
Resumo
Essência. VPN (rede privada virtual) cria um túnel criptografado sobre uma rede pública (internet), fazendo dispositivos distantes se comportarem como se estivessem na mesma rede privada. Garante confidencialidade e integridade no trajeto e autentica as pontas.
- Acesso remoto (client-to-site): o servidor que trabalha de casa entra na rede do órgão.
- Site a site: liga redes inteiras (matriz e superintendências).
- Protocolos: IPsec (camada de rede; AH autentica, ESP cifra e autentica; modos transporte e túnel), SSL/TLS VPN (por navegador ou cliente), WireGuard, OpenVPN.
SSL/TLS protege a comunicação entre aplicações (HTTPS, e-mail seguro). O SSL é o antecessor e está obsoleto; TLS 1.0 e 1.1 foram descontinuados (RFC 8996); hoje usam-se TLS 1.2 e 1.3.
- Handshake: cliente e servidor negociam algoritmos; o servidor apresenta certificado digital (X.509, emitido por autoridade certificadora); a troca de chaves usa criptografia assimétrica; os dados seguem cifrados com chave simétrica de sessão (criptografia híbrida: segura e rápida).
- HTTPS = HTTP sobre TLS, porta 443; o cadeado indica canal cifrado e servidor autenticado.
Pegadinha Cebraspe. "O cadeado do HTTPS garante que o site é legítimo e livre de golpes" → errado: garante canal cifrado e que o certificado corresponde ao domínio; um site de phishing também pode ter certificado.
Visão geral
O info-ferramentas-de-seguranca (PRF) cita a VPN entre as ferramentas; o info-protocolos-de-rede cita HTTPS. Aqui o item 18.6 é aprofundado: como o túnel e o canal TLS funcionam.
Regra
Ver íntegra
| VPN | TLS | |
|---|---|---|
| Protege | Todo o tráfego entre as pontas do túnel | Uma conexão de aplicação |
| Camada típica | Rede (IPsec) ou aplicação (SSL VPN) | Entre transporte e aplicação |
| Uso | Acesso remoto à rede interna, interligar unidades | HTTPS, SMTPS, IMAPS, FTPS |
Criptografia no TLS: assimétrica (RSA, ECDHE) → troca/acordo de chave; simétrica (AES, ChaCha20) → dados; hash/HMAC → integridade.
Pontos-chave
- TLS 1.3: handshake mais rápido, remove algoritmos fracos, sempre com sigilo direto (forward secrecy).
- VPN não torna o usuário anônimo perante o provedor da VPN, nem protege contra malware no dispositivo.
- Split tunneling: só parte do tráfego passa pela VPN.
- IPsec modo túnel cifra o pacote inteiro (usado entre gateways); modo transporte cifra só a carga.
- Certificado inválido ou expirado gera alerta no navegador: possível ataque man-in-the-middle.
Como a banca cobra
- "Uma VPN utiliza tunelamento e criptografia para transmitir dados de forma segura por redes públicas" → certo.
- "No TLS, a criptografia assimétrica é usada para estabelecer a chave de sessão, e a simétrica para cifrar os dados" → certo.
- "O protocolo SSL 3.0 é a versão mais segura e recomendada atualmente" → errado.
- "O IPsec opera na camada de aplicação" → errado (camada de rede).
- "O HTTPS utiliza, por padrão, a porta 443" → certo.
Mapa mental
VPN
- Túnel criptografado sobre internet
- Acesso remoto ou site a site
- IPsec: AH autentica, ESP cifra
- Modos transporte e túnel
TLS
- Sucessor do SSL obsoleto
- Versões atuais 1.2 e 1.3
- Certificado X.509 do servidor
Criptografia híbrida
- Assimétrica: troca de chaves
- Simétrica: dados da sessão
- Hash: integridade
HTTPS
- HTTP sobre TLS, porta 443
- Cadeado: canal cifrado
⚠️ Pegadinha
- Cadeado não prova site legítimo
Questão 1, Agente PF, Certo ou Errado
O cadeado exibido pelo navegador em conexões HTTPS garante que o site é legítimo e livre de golpes.
Revelar gabarito
Gabarito: Errado
Errado. O cadeado indica canal cifrado e certificado correspondente ao domínio, mas não atesta a idoneidade de quem o controla. Um site de phishing também pode ter certificado válido e exibir o mesmo cadeado.
Questão 2, Agente PF, Certo ou Errado
No IPsec, o protocolo ESP provê confidencialidade por meio de cifragem dos dados.
Revelar gabarito
Gabarito: Certo
Certo. No IPsec, o ESP cifra e autentica, oferecendo confidencialidade aos dados. O protocolo AH realiza apenas autenticação, sem cifrar o conteúdo, diferença frequentemente explorada em questões sobre VPN.
Questão 3, Agente PF, Certo ou Errado
No TLS, os dados da sessão são cifrados com criptografia simétrica, após troca de chaves com apoio de criptografia assimétrica.
Revelar gabarito
Gabarito: Certo
Certo. O TLS usa criptografia híbrida: no handshake, recursos assimétricos permitem trocar ou combinar a chave, e os dados seguem cifrados com a chave simétrica de sessão, processo seguro e mais rápido.
Questão 4, Agente PF, Certo ou Errado
O protocolo SSL 3.0 é a versão recomendada atualmente para proteger conexões HTTPS.
Revelar gabarito
Gabarito: Errado
Errado. O SSL é o antecessor do TLS e está obsoleto, e até as versões TLS 1.0 e 1.1 foram descontinuadas pela RFC 8996. Atualmente, usam-se TLS 1.2 e TLS 1.3.
Questão 5, Agente PF, Certo ou Errado
A VPN site a site interliga redes inteiras, como a matriz e as unidades regionais de um órgão.
Revelar gabarito
Gabarito: Certo
Certo. A VPN site a site conecta redes inteiras, como matriz e superintendências, por túnel criptografado. Na modalidade de acesso remoto, ou client-to-site, é um usuário individual que entra na rede do órgão.
- Revelar resposta
VPN
Túnel criptografado sobre rede pública; garante confidencialidade e integridade e autentica as pontas. Tipos: acesso remoto e site a site.
- Revelar resposta
IPsec — AH × ESP
AH autentica (integridade e origem); ESP cifra e autentica. Modos transporte e túnel.
- Revelar resposta
Versões de SSL/TLS em uso
SSL obsoleto; TLS 1.0 e 1.1 descontinuados; hoje TLS 1.2 e 1.3.
- Revelar resposta
Handshake TLS — criptografia híbrida
Troca de chaves com criptografia assimétrica e certificado X.509; dados cifrados com chave simétrica de sessão.
- Revelar resposta
O que o cadeado do HTTPS garante
Canal cifrado e certificado correspondente ao domínio (porta 443). Não garante que o site seja legítimo: phishing também tem certificado.
- Revelar resposta
Versões do TLS
A RFC 8996 descontinuou o TLS 1.0 e o TLS 1.1; o SSL é antecessor e obsoleto, e atualmente devem ser utilizadas as versões 1.2 e 1.3 do TLS.
- Revelar resposta
Limites da VPN
A VPN cifra o trajeto, mas não torna o usuário anônimo perante o provedor do serviço e não protege contra malware já presente no dispositivo.
- Revelar resposta
Split tunneling
No split tunneling, apenas parte do tráfego segue pelo túnel da VPN, e o restante sai diretamente pela internet, sem passar pela rede do órgão.
- Revelar resposta
IPsec: túnel × transporte
Os modos estão invertidos: o modo túnel cifra o pacote inteiro e é usado entre gateways, enquanto o modo transporte cifra somente a carga útil do pacote.
Estude Agente PF no app
Grátis, sem cartão