Capítulo 27 — Criptografia e serviços de confiança: verificação

Capítulo 27 — Criptografia e serviços de confiança: verificação

Mapa da aula

Aula 27 publicada. Mapa, exemplo, EX079.

flowchart TD
  N0["27.1 Verificação das configurações"]
  N1["27.2 Testar a validação"]
  N2["27.3 Relatar os achados"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX079"]

Desenho lógico

flowchart LR
  N0["27.1 Verificação das configurações"]
  N1["27.2 Testar a validação"]
  N2["27.3 Relatar os achados"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX079"]

[27.1 Verificação das configurações]
    |
    v
[27.2 Testar a validação]
    |
    v
[27.3 Relatar os achados]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX079]

Objetivos de aprendizagem

Você vai (1) verificar as configurações criptográficas em relação aos requisitos; (2) testar a validação de certificados nas aplicações; (3) relatar os achados com evidências.

27.1 Verificação das configurações

Priya verifica os serviços da Tidewell em relação aos seus requisitos criptográficos: TLS 1.2 no mínimo, com preferência pelo TLS 1.3, certificados de autoridades aprovadas, nenhuma assinatura com SHA-1 e HSTS nos sites públicos. Com autorização, ela executa scanners de configuração e registra os resultados. O portal dos leitores passa; a wiki da equipe, já sinalizada no Capítulo 7, agora suporta o TLS 1.3, mas ainda aceita o TLS 1.0, então a mudança anterior foi incompleta. A verificação depois das mudanças pega correções parciais. Priya reabre o chamado original e anexa a saída da varredura, para que a equipe veja exatamente quais versões do protocolo continuam habilitadas e por que a mudança ficou incompleta.

27.2 Testar a validação

As aplicações precisam rejeitar certificados ruins. Num ambiente de teste, Priya apresenta a uma aplicação de relatórios um certificado expirado, um certificado para o nome errado e um certificado autoassinado. A aplicação rejeita os dois primeiros, mas aceita o autoassinado, porque um desenvolvedor o tinha acrescentado a uma lista de confiança durante os testes e nunca o removeu. Ela relata o problema e sugere que as configurações de confiança de teste fiquem apenas em arquivos de configuração de teste que não possam ir para a produção. O desenvolvedor remove a entrada no mesmo dia.

27.3 Relatar os achados

O relatório de Priya lista cada achado com a severidade, as evidências, o sistema afetado e a correção recomendada, e separa os achados confirmados das observações. Ela evita linguagem sensacionalista e inclui o que passou, para que os leitores vejam o estado geral. Grace usa o relatório para agendar as correções, e Priya testa de novo depois de cada uma, registrando as datas. O relatório se torna evidência para a revisão anual de segurança do consórcio. Grace apresenta o resumo ao conselho do consórcio, que aprova o orçamento para as correções restantes. Priya guarda as saídas brutas das varreduras e os logs dos testes no repositório de evidências, com links no relatório, para que revisores posteriores possam conferir cada afirmação que ela fez.

Exemplo resolvido

Priya verifica as configurações de TLS, descobre que a wiki da equipe ainda aceita o TLS 1.0 e que uma aplicação de relatórios confia num certificado autoassinado esquecido, e relata com evidências e novos testes.

Caso sintético. Os achados são inventados.

Erros e limites

Os scanners deixam passar falhas de validação no nível da aplicação; teste-as diretamente. Relatórios que omitem o que passou distorcem o quadro.

Exercícios

• EX079 — Correção parcial. O que a verificação revelou sobre a wiki da equipe? Rubrica: 3 = suporta o TLS 1.3, mas ainda aceita o TLS 1.0, então a correção anterior foi incompleta;; 2 = parcial;; 1 = corrigida;; 0 = nenhuma.

• EX080 — Aceitação do autoassinado. Por que a aplicação de relatórios aceitou um certificado autoassinado? Rubrica: 3 = um desenvolvedor o acrescentou à lista de confiança durante os testes e nunca o removeu;; 2 = resto de teste;; 1 = bug no TLS;; 0 = nenhuma.

• EX081 — Conteúdo do relatório. O que cada achado do relatório inclui? Rubrica: 3 = severidade, evidências, sistema afetado, correção recomendada;; 2 = três;; 1 = um;; 0 = nenhuma.

Síntese

A verificação após as mudanças, os testes diretos de validação e os relatórios baseados em evidências mantêm honestas as configurações criptográficas.

Continue estudando — aula 27 (capítulo 27 de 40)

← Capítulo 26 · Índice das aulas · Capítulo 28 →

Continue para a próxima aula já escrita.