O que é criptografia e como ela é usada?

Question

Accepted Answer

**Criptografia** transforma dados em uma forma ilegível (texto cifrado) que só pode ser descriptografada com a chave correta — protegendo confidencialidade. Entender **criptografia simétrica vs assimétrica**, e **dados em trânsito vs em repouso**, é importante para proteger dados sensíveis.

## Criptografia simétrica vs assimétrica

```text
SYMMETRIC → ONE shared key encrypts AND decrypts (e.g. AES):
  ✓ fast, efficient → for bulk data (encrypting files, databases)
  ✗ both parties need the same key (key distribution is the challenge)
ASYMMETRIC → a KEY PAIR: PUBLIC key (encrypt / verify) + PRIVATE key (decrypt / sign):
  → encrypt with the public key, only the private key decrypts (e.g. RSA, ECC)
  ✓ solves key distribution (share the public key freely); enables signatures
  ✗ slower → used for key exchange, signatures, not bulk data
→ Often COMBINED: asymmetric to exchange a symmetric key, then symmetric for the data
  (e.g. how TLS works).
```

## Dados em trânsito vs em repouso

```text
IN TRANSIT → data moving over a network → encrypt with TLS/HTTPS (protect from eavesdropping)
AT REST → data stored (databases, disks, backups, files) → encrypt so a breach/stolen disk
  doesn't expose it (database encryption, disk encryption, encrypted fields)
→ protect data BOTH while moving AND while stored.
```

## Práticas importantes

```text
✓ Use STANDARD, vetted algorithms/libraries (AES, RSA, TLS) — NEVER roll your own crypto
✓ KEY MANAGEMENT is critical → protect keys (the security depends on key secrecy);
  use key management systems; rotate keys; don't hardcode keys
✓ Hashing ≠ encryption → hashing is one-way (passwords); encryption is reversible (with the key)
✓ Encrypt sensitive data (PII, credentials, financial); use HTTPS everywhere
```

## Por que isso importa

Entender criptografia é importante porque é **fundamental para proteger dados sensíveis**, tanto em trânsito quanto em repouso, então é um conhecimento de segurança valioso para lidar com dados com segurança.

Criptografia (transformar dados em texto cifrado ilegível descriptografável apenas com a chave correta) protege **confidencialidade**, e entender suas formas e usos é necessário para proteger dados sensíveis.

Entender **criptografia simétrica vs assimétrica** — simétrica (uma chave compartilhada, rápida, para dados em massa, mas com desafios de distribuição de chaves) versus assimétrica (um par de chaves pública/privada resolvendo distribuição de chaves e habilitando assinaturas, mas mais lenta, usada para troca de chaves e assinaturas) — e que elas são **frequentemente combinadas** (assimétrica para trocar uma chave simétrica, depois simétrica para os dados, como em TLS) é conhecimento conceitual importante para entender como a criptografia funciona na prática.

Entender **dados em trânsito vs em repouso** é praticamente essencial: criptografar dados **em trânsito** (com TLS/HTTPS, protegendo contra espionagem de rede) e **em repouso** (dados armazenados, para que uma violação ou disco roubado não os exponha) — protegendo dados tanto enquanto se movem quanto enquanto estão armazenados, uma prática fundamental para proteção de dados abrangente.

Entender **práticas importantes** — usar **algoritmos padrão testados e nunca criar sua própria criptografia** (uma regra crítica, pois criptografia customizada é quase sempre falha), a criticidade de **gerenciamento de chaves** (segurança depende do sigilo da chave — proteger, rotacionar e não deixar chaves hardcoded), a distinção de que **hashing é unidirecional (para senhas) enquanto criptografia é reversível**, e criptografar dados sensíveis — reflete uso correto de criptografia.

Já que proteger dados sensíveis é crítico e criptografia (em trânsito e em repouso, com algoritmos corretos e gerenciamento de chaves) é o mecanismo fundamental para confidencialidade, e já que entender os tipos, usos e práticas (especialmente nunca criar sua própria criptografia e gerenciar chaves) é importante para lidar com dados com segurança, entender criptografia é conhecimento de segurança valioso e praticamente relevante — fundamental para proteger a confidencialidade de dados sensíveis, importante para lidar com dados com segurança tanto em trânsito quanto em repouso, e um tópico central para qualquer desenvolvedor que trabalha com informações sensíveis.