Capítulo 16 — Arquitetura de segurança

Mapa da aula

Aula 16 publicada. Mapa, exemplo, EX031.

flowchart TD
  N0["16.1 Fronteiras e zonas"]
  N1["16.2 Diagramas de fluxo de dados"]
  N2["16.3 Agilidade criptográfica"]
  N3["16.4 Fronteiras no tempo"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX031"]

Desenho lógico

flowchart LR
  N0["16.1 Fronteiras e zonas"]
  N1["16.2 Diagramas de fluxo de dados"]
  N2["16.3 Agilidade criptográfica"]
  N3["16.4 Fronteiras no tempo"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX031"]

[16.1 Fronteiras e zonas]
    |
    v
[16.2 Diagramas de fluxo de dados]
    |
    v
[16.3 Agilidade criptográfica]
    |
    v
[16.4 Fronteiras no tempo]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX031]

Objetivos de aprendizagem

Você vai (1) descrever fronteiras de confiança, zonas e defesa em profundidade; (2) desenhar um diagrama de fluxo de dados que mostre as proteções criptográficas; (3) explicar a agilidade criptográfica como uma propriedade da arquitetura; e (4) identificar as fronteiras de confiança de vida longa que atravessam o tempo.

16.1 Fronteiras e zonas

Uma fronteira de confiança separa componentes com níveis de confiança diferentes — a internet e a camada web da HCU, a camada web e a zona bancária central, uma agência e o data center. Os dados que atravessam uma fronteira precisam de uma proteção adequada à sua sensibilidade: cifração, autenticação, validação. A defesa em profundidade sobrepõe controles independentes, para que uma falha não exponha tudo.

Para a migração quântica, as fronteiras que mais importam são aquelas em que dados de vida longa saem de uma zona protegida por uma rede que outra pessoa poderia gravar.

16.2 Diagramas de fluxo de dados

Um diagrama de fluxo de dados mostra entidades externas, processos, repositórios de dados e os fluxos entre eles, com as fronteiras de confiança desenhadas como linhas tracejadas. Anotar cada fluxo com o protocolo, o algoritmo de troca de chaves, o algoritmo de autenticação e o tempo de vida dos dados transforma o diagrama num mapa de exposição quântica: qualquer fluxo que atravessa uma fronteira não confiável com dados de vida longa e troca de chaves clássica é candidato ao "colete agora, decifre depois".

O primeiro diagrama da HCU levou uma semana para ser anotado, sobretudo porque ninguém sabia qual algoritmo vários fluxos usavam. Essas lacunas foram tão úteis quanto as respostas: cada uma virou uma pergunta para um responsável ou um fornecedor. Desenhar o diagrama antes de escolher qualquer algoritmo novo fez o plano partir do que os sistemas realmente fazem.

16.3 Agilidade criptográfica

A agilidade criptográfica é a capacidade de trocar algoritmos criptográficos com esforço e risco limitados. Na arquitetura, ela significa política centralizada, identificadores de algoritmo que viajam com os dados, bibliotecas que suportam vários algoritmos e interfaces que toleram chaves e assinaturas maiores. O CSWP 39 do NIST discute as considerações sobre a agilidade criptográfica. Uma arquitetura sem agilidade trata a migração PQC como uma reconstrução única; uma arquitetura ágil a trata como a primeira de várias mudanças planejadas.

Para a HCU, a agilidade é testada perguntando quanto tempo levaria para trocar um algoritmo na VPN das agências.

16.4 Fronteiras no tempo

Algumas fronteiras não são atravessadas no espaço, mas no tempo. Um financiamento imobiliário assinado hoje será verificado por um tribunal ou um comprador anos depois; um arquivo cifrado hoje será decifrado durante uma auditoria futura. A arquitetura deve mostrar os serviços de longo prazo — carimbo de tempo, recifração de arquivos, renovação de evidências — como componentes cuja própria criptografia precisa ser migrada.

O arquivo de financiamentos imobiliários da HCU é o caso mais claro: a sua cifração e as suas assinaturas precisam continuar funcionando, e seguras, décadas depois da criação dos documentos. Cada uma precisa de um responsável.

16.5 Exemplo resolvido

O diagrama da HCU mostra aplicativo móvel → gateway web (fronteira com a internet, TLS híbrido), gateway web → sistema bancário central (interno, TLS clássico), sistema bancário central → arquivo (interno, AES-256 em repouso, chaves envelopadas com RSA-OAEP), agência → data center (fronteira da WAN, IPsec ECDH). A anotação revela duas prioridades: a WAN das agências, pelo HNDL, e as chaves do arquivo envelopadas com RSA, que ficam expostas se as chaves envelopadas forem algum dia copiadas para fora do local.

O enlace TLS interno entre o gateway e o sistema bancário central é clássico, mas fica dentro do data center, o que reduz a sua prioridade. O diagrama tornou essas escolhas visíveis numa só página, e o escritório de segurança da HCU o usou para acordar o plano de migração do primeiro ano.

16.6 Erros comuns e limites

• Desenhar diagramas sem algoritmos e tempos de vida.
• Considerar apenas as fronteiras de rede, e não as fronteiras no tempo.
• Fixar as escolhas de algoritmo no código da aplicação.

Um diagrama sem algoritmos e tempos de vida não consegue mostrar a exposição quântica, por mais organizado que pareça. As fronteiras no tempo são fáceis de deixar passar porque não aparecem nos mapas de rede; os arquivos, os carimbos de tempo e os registros assinados as atravessam em silêncio. As escolhas de algoritmo fixadas no código da aplicação transformam cada mudança futura num projeto de software, o oposto da agilidade criptográfica. Registre cada escolha na configuração ou na política, para que possa ser encontrada e mudada depois.

Exercícios

• EX031 — Mapa de exposição. Para o diagrama da HCU em 16.5, ordene os quatro fluxos pela prioridade de HNDL e justifique a ordem. Rubrica: 3 = ordem coerente com a fronteira, o tempo de vida e o algoritmo.
• EX032 — Recursos de agilidade. Liste três recursos de arquitetura que permitiriam à HCU trocar o ML-KEM-768 por outro KEM, se necessário. Rubrica: 3 = três recursos concretos e distintos.

Síntese

As fronteiras de confiança, os fluxos de dados anotados e a agilidade criptográfica permitem que os arquitetos localizem a exposição quântica e projetem para trocas repetidas de algoritmo, inclusive nas fronteiras atravessadas no tempo.