Capítulo 22 — Criptografia e serviços de confiança: dados e dependências
Mapa da aula
Aula 22 publicada. Mapa, exemplo, EX064.
flowchart TD
N0["22.1 Inventário criptográfico"]
N1["22.2 Dependências de bibliotecas e algoritmos"]
N2["22.3 Mudanças de fornecedores"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX064"]
Desenho lógico
flowchart LR
N0["22.1 Inventário criptográfico"]
N1["22.2 Dependências de bibliotecas e algoritmos"]
N2["22.3 Mudanças de fornecedores"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3 --> Q["EX064"]
[22.1 Inventário criptográfico]
|
v
[22.2 Dependências de bibliotecas e algoritmos]
|
v
[22.3 Mudanças de fornecedores]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX064]
Objetivos de aprendizagem
Você vai (1) inventariar os ativos e as dependências criptográficas; (2) acompanhar as bibliotecas e os algoritmos em uso; (3) planejar mudanças de fornecedores.
22.1 Inventário criptográfico
Priya constrói um inventário dos ativos criptográficos da Tidewell: certificados com datas de expiração e donos; chaves com finalidades, algoritmos e locais; e os protocolos em uso em cada serviço. O SP 800-57 Part 1 enfatiza que a organização precisa saber que chaves tem. Ela descobre dois certificados esquecidos em servidores antigos e uma chave de backup guardada numa pasta compartilhada. O inventário transforma riscos invisíveis numa lista com donos e se torna a base de todas as mudanças posteriores, incluindo a migração de algoritmos. O inventário é revisado mensalmente pela equipe de Grace para conferir a exatidão.
22.2 Dependências de bibliotecas e algoritmos
Os sistemas da Tidewell dependem de bibliotecas criptográficas nos sistemas operacionais, nos servidores web e nas aplicações. Priya lista cada biblioteca e versão e registra quais algoritmos cada sistema usa. Ela descobre que o serviço de assinatura de contratos usa RSA com chaves de 2048 bits e SHA-256, aceitável hoje, e que uma ferramenta antiga de relatórios usa SHA-1 para conferir arquivos. Ela anota a orientação do NIST no SP 800-131A sobre a transição para longe do SHA-1 e agenda a substituição da ferramenta de relatórios. Ela guarda a lista de dependências no repositório compartilhado, para que qualquer equipe possa ver que sistemas uma atualização de biblioteca afetaria.
22.3 Mudanças de fornecedores
Vários serviços vêm de fornecedores, incluindo o provedor de e-books e o hospedeiro do portal. Priya pergunta a cada um sobre suas práticas criptográficas: versões de TLS, armazenamento de chaves e planos de migração pós-quântica. Um fornecedor não consegue responder sobre os planos pós-quânticos; ela registra isso como um risco, e não como uma falha, já que a migração ainda está num estágio inicial. Ela recomenda acrescentar requisitos criptográficos aos contratos futuros, como suportar as versões atuais do TLS e notificar a Tidewell sobre comprometimentos de chaves. Grace inclui o modelo de requisitos na licitação seguinte.
Exemplo resolvido
O inventário de Priya encontra dois certificados esquecidos e uma chave de backup numa pasta compartilhada, sinaliza uma ferramenta com SHA-1 para substituição e acrescenta requisitos criptográficos aos contratos com fornecedores.
Caso sintético. Os achados do inventário são inventados; o SP 800-57 e o SP 800-131A são reais.
Erros e limites
Os inventários se degradam sem varreduras regulares de descoberta. As respostas dos fornecedores precisam de evidências, e não apenas de garantias verbais.
Exercícios
-
EX064 — Achados do inventário. O que o inventário revelou? Rubrica: 3 = dois certificados esquecidos e uma chave de backup numa pasta compartilhada;; 2 = um;; 1 = vago;; 0 = nenhuma.
-
EX065 — Ferramenta com SHA-1. O que Priya decidiu sobre a ferramenta de relatórios com SHA-1, e que orientação sustenta isso? Rubrica: 3 = agendar a substituição; orientação de transição do SP 800-131A;; 2 = substituir;; 1 = manter;; 0 = nenhuma.
-
EX066 — Risco do fornecedor. Como ela tratou um fornecedor incapaz de responder sobre os planos pós-quânticos? Rubrica: 3 = registrou como risco, e não como falha, dado o estágio inicial da migração;; 2 = risco;; 1 = descartou o fornecedor;; 0 = nenhuma.
Síntese
Um inventário criptográfico de chaves, certificados, bibliotecas e fornecedores é a base de toda mudança segura.
Continue estudando — aula 22 (capítulo 22 de 40)
← Capítulo 21 · Índice das aulas · Capítulo 23 →
Continue para a próxima aula já escrita.