Fundamentos de Segurança Informática

O que deves conseguir resolver

Perante um cenário, identifica o ativo, a ameaça, a vulnerabilidade e a propriedade afetada. Depois explica como o ataque funciona: segue os dados controlados pelo atacante até à operação perigosa. Nos problemas de criptografia e permissões, escreve a regra antes de fazer a conta, por isso a correção fica verificável.

A sequência de leitura segue a ordem das apresentações docentes, a única sequência completa disponível, de 2021/22, e o arco inicial publicado no Moodle de 2026/27. Preserva URLs e identifica desvios pedagógicos pontuais.

1. Princípios de segurança, risco e propriedades.
2. Programação defensiva, memória, entradas e concorrência.
3. Sistemas seguros, isolamento e princípios de construção.
4. Controlo de acessos, políticas, fluxos e Unix.
5. Criptografia, primitivas, assinaturas e PKI.
6. Modos e protocolos, confidencialidade, autenticidade e acordo de chaves.
7. Segurança Web, sessões, autorização e injeções.
8. Segurança de redes, canais, filtragem, deteção e DoS.
9. Modelar ameaças, aplicação conjunta destes conceitos.

A Web aparece depois da criptografia, embora as apresentações a coloquem antes, porque sessões, autenticação e cookies usam assinaturas, MAC e TLS explicados nas páginas anteriores. Modelar ameaças fecha como síntese aplicada, embora o pensamento adversarial seja introduzido logo nas primeiras aulas. A edição de 2021/22 orienta a ordem, não define o programa atual nem a divisão dos testes de 2026/27. Set-UID, ambiente e descritores é laboratório autónomo.

Avaliação em 2026/27: fórmula, mínimos e divergência

A ficha oficial define dois testes de teoria e trabalho laboratorial. Se $T_1$ e $T_2$ são as notas dos testes e $TL$ a nota laboratorial, todas de 0 a 20:

$$T=0{,}5T_1+0{,}5T_2,\qquad CF=0{,}6T+0{,}4TL.$$

Cada teste exige pelo menos 8/20. Em recurso, cada metade conserva o máximo entre a nota do teste correspondente e a dessa metade do recurso. O corte da matéria entre os testes será indicado no Moodle. A frequência prática também é condição de aprovação.

A apresentação disponibilizada no Moodle ainda tem uma capa de 2025/26 e indica 6/20 por teste, divergindo da ficha de 2026/27. A fórmula e mínimos acima são os da ficha atual. Confirma os avisos de avaliação da equipa docente antes de planear a preparação.

Treinar sem consultar a solução

Lê um exemplo, fecha-o e refaz o raciocínio. Resolve os exercícios no fim de cada página antes de abrir as pistas. Confere a explicação, incluindo as hipóteses e os limites da defesa, mesmo quando o valor numérico está certo. Usa a cheat sheet para recordar regras já compreendidas.

Os exercícios aqui são originais e não reproduzem provas da cadeira. A revisão também considera os enunciados de 2024/25, datados de 13 de novembro de 2024, 13 de janeiro de 2025 e 27 de janeiro de 2025. Estes trabalham, entre outros casos, corrupção de memória, redução de privilégios, regras do navegador, composição criptográfica e limites dos canais seguros. Servem para escolher decisões a praticar, sem fixar a divisão da matéria ou o formato dos testes de 2026/27.

Na parte prática, forma grupo do mesmo turno, regista o trabalho em ficheiros LOGBOOK por semana e discute cada guião com o docente antes do prazo. O guião das semanas 2 e 3 pede a caracterização curta de um CVE com exploit documentado: identificação, catalogação, exploit, ataques e correção. Para o guião da semana 4, começa por Set-UID, ambiente e descritores.

Fontes e âmbito: base, materiais e lacunas

A ficha de 2026/27 define o programa e a avaliação. Os materiais iniciais do Moodle consultados incluem Basic Concepts, Security Model e Software Security Parts 1, 2 e 3, com capas de 2026/27. O guião Environment Variable and Set-UID tem copyright 2006–2016 e indica a VM SEED Ubuntu 20.04; estar ligado no Moodle de 2026/27 não altera a sua data de autoria. A apresentação tem capa de 2025/26. As restantes lições desenvolvem os temas do programa com referências técnicas complementares; não confirmam, por si, a profundidade ou a divisão de matéria dos testes atuais.

Os apontamentos de SofiaViP consultados não indicam ano académico. Os relatórios de estudantes de MEIC-FSI pertencem a 2021/22. Ajudam a reconhecer problemas e exercícios, mas não definem a avaliação nem o ambiente prático de 2026/27.

Referências complementares: bibliografia e normas

• Goodrich e Tamassia, Introduction to Computer Security, Pearson, 2011, e Matt Bishop, Computer Security: Art and Science, 2.ª edição, 2018, são a bibliografia indicada na ficha.
• The Protection of Information in Computer Systems, de Saltzer e Schroeder, para os princípios de construção de sistemas seguros.
• PKCS #1, RFC 8017, para RSA, OAEP e PSS.
• NIST SP 800-38A e AEAD, RFC 5116, para modos de cifra e cifragem autenticada.
• TLS 1.3, RFC 8446, para a negociação e proteção do canal.
• Controlo por atributos, NIST SP 800-162, para avaliar sujeito, objeto, operação e contexto.
• Linux man-pages, setuid e seteuid, para distinguir redução temporária e permanente.
• XS-Leaks, eventos de erro e FIDO U2F, visão geral, para fugas entre sites e autenticação ligada ao serviço.

Vídeos para acompanhar o estudo

Diffie-Hellman em números pequenos: a troca de chaves, os segredos de sessão e as chaves de longo prazo.