Capítulo 10 — Ética e prática autorizada

Mapa da aula

Aula 10 publicada. Mapa, exemplo, EX019.

flowchart TD
  N0["10.1 A autorização é a fronteira"]
  N1["10.2 Escopo do trabalho criptográfico"]
  N2["10.3 Uso dual e divulgação"]
  N3["10.5 Atividade prática"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX019"]

Desenho lógico

flowchart LR
  N0["10.1 A autorização é a fronteira"]
  N1["10.2 Escopo do trabalho criptográfico"]
  N2["10.3 Uso dual e divulgação"]
  N3["10.5 Atividade prática"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX019"]

[10.1 A autorização é a fronteira]
    |
    v
[10.2 Escopo do trabalho criptográfico]
    |
    v
[10.3 Uso dual e divulgação]
    |
    v
[10.5 Atividade prática]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX019]

Objetivos de aprendizagem

Você vai (1) explicar por que a autorização define o trabalho de segurança legítimo; (2) escrever uma declaração de escopo para uma avaliação criptográfica; (3) lidar com responsabilidade com o conhecimento de uso dual; e (4) encaminhar as fraquezas descobertas pela divulgação coordenada.

10.1 A autorização é a fronteira

A mesma ação — varrer um servidor em busca dos grupos TLS que ele suporta, capturar um handshake, testar se um dispositivo aceita um algoritmo rebaixado — é trabalho profissional quando o dono do sistema a autoriza por escrito, e um crime ou uma quebra de confiança quando não autoriza. A autorização precisa nomear os sistemas, a janela de tempo, as técnicas permitidas, os dados que você pode coletar e a pessoa a contatar se algo quebrar. A aprovação verbal de um engenheiro amigo não é autorização; tampouco o fato de um serviço ser alcançável pela internet.

10.2 Escopo do trabalho criptográfico

As avaliações criptográficas podem parecer inofensivas, mas tocam coisas sensíveis: os certificados revelam nomes de hosts internos, as capturas de handshake podem conter metadados e os testes de rebaixamento podem quebrar sessões de produção. Um bom escopo diz, por exemplo: "Observação passiva dos handshakes TLS na porta espelho do gateway de teste da HCU, de 1º a 14 de maio; nenhuma retenção de payload; nenhum teste ativo de rebaixamento fora do laboratório isolado; resultados compartilhados apenas com o escritório de segurança da HCU." Os experimentos ativos que modificam a negociação ou injetam falhas pertencem a bancadas de teste isoladas.

Um escopo escrito também protege o estudante: se algo quebrar, o registro mostra o que era permitido.

10.3 Uso dual e divulgação

Saber encontrar sistemas vulneráveis à computação quântica também diz a um adversário onde procurar. Publique resultados agregados, e não listas de hosts vulneráveis nomeados. Se você encontrar uma fraqueza no produto de um fornecedor — por exemplo, uma biblioteca que aceita chaves ML-KEM malformadas —, relate-a em particular ao fornecedor, combine um prazo e publique apenas depois de uma correção ou do prazo combinado. Rotule claramente todos os dados sintéticos, para que os exemplos de ensino nunca sejam confundidos com resultados reais sobre organizações reais.

Os relatórios da HCU sobre a sua própria migração seguem a mesma regra e descrevem o progresso por contagens.

10.4 Exemplo resolvido

Um estagiário da HCU percebe que o site público de um banco parceiro ainda oferece apenas troca de chaves clássica e propõe "varrer todos os bancos parceiros" para um projeto de aula. A resposta ética: observar um único handshake público feito numa visita normal pelo navegador é algo comum, mas varrer sistematicamente os parceiros está fora da autoridade da HCU. Em vez disso, o estagiário estuda medições agregadas publicadas e pede à equipe de gestão de fornecedores da HCU que inclua perguntas sobre prontidão pós-quântica nos questionários aos parceiros.

A resposta mantém o objetivo útil, saber quão preparados estão os parceiros, enquanto o leva para um canal em que a HCU tem legitimidade para perguntar.

10.5 Atividade prática

Redija um pedido de autorização de uma página para um inventário TLS passivo de uma rede de teste sintética da HCU. Inclua os sistemas, as datas, as técnicas, o tratamento dos dados, as condições de parada e os contatos.

As condições de parada dizem quando interromper: por exemplo, se a rede de teste mostrar tráfego de produção inesperado ou se um serviço se degradar. Os contatos devem incluir alguém que possa autorizar uma parada a qualquer hora. O tratamento dos dados declara o que é capturado, onde é guardado e quando é apagado. Peça a um colega que leia o seu pedido como se fosse o dono do sistema e liste tudo o que ele se recusaria a assinar.

10.6 Erros comuns e limites

• Tratar a possibilidade de alcançar um sistema pela internet como permissão.
• Reter os payloads dos pacotes "por precaução".
• Publicar listas nomeadas de sistemas vulneráveis.

Conseguir alcançar um sistema não é o mesmo que ter permissão para testá-lo; a permissão vem do seu dono, por escrito. Os payloads podem conter dados pessoais de que a avaliação nunca precisou, e guardá-los cria risco sem benefício. As listas nomeadas ajudam os atacantes a escolher alvos, então compartilhe-as apenas com as pessoas que vão corrigir os sistemas. Cada erro prejudica a confiança que permite às equipes de segurança fazer o seu trabalho.

Exercícios

• EX019 — Lacunas de escopo. Identifique três elementos ausentes em: "Você pode testar a nossa criptografia na semana que vem." Rubrica: 3 = três entre sistemas, técnicas, tratamento dos dados, janela, contatos, condições de parada.
• EX020 — Divulgação. Descreva as etapas depois de descobrir que o equipamento de VPN de um fornecedor recorre em silêncio à troca de chaves clássica quando o híbrido está configurado. Rubrica: 3 = relato privado, evidências, prazo, publicação coordenada.

Síntese

A autorização, o tratamento dos dados dentro do escopo e a divulgação coordenada são o que torna profissional a avaliação criptográfica. Os experimentos ativos de rebaixamento ou de injeção de falhas pertencem apenas a bancadas de teste isoladas e autorizadas.