Capítulo 10 — Ética e segurança na engenharia
Mapa da aula
Aula 10 publicada. Mapa, exemplo, EX028.
flowchart TD
N0["10.1 Dever para com o público"]
N1["10.2 Divulgação responsável"]
N2["10.3 Trade-offs entre safety e security"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX028"]
Desenho lógico
flowchart LR
N0["10.1 Dever para com o público"]
N1["10.2 Divulgação responsável"]
N2["10.3 Trade-offs entre safety e security"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3 --> Q["EX028"]
[10.1 Dever para com o público]
|
v
[10.2 Divulgação responsável]
|
v
[10.3 Trade-offs entre safety e security]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX028]
Objetivos de aprendizagem
Você vai (1) aplicar a ética da engenharia a sistemas criptográficos em infraestruturas críticas; (2) tratar com responsabilidade as fraquezas descobertas; (3) pesar a segurança física e operacional (safety) contra a segurança contra ataques (security).
10.1 Dever para com o público
Os códigos de ética da engenharia colocam a segurança do público em primeiro lugar. Para uma companhia de saneamento, essa segurança inclui água confiável e contas corretas e também não cortar o abastecimento porque um controle de segurança falhou. Aiyana considera um projeto em que os medidores se recusam a reportar se a assinatura do firmware não puder ser verificada. Isso protege contra adulteração, mas poderia deixar a companhia cega para vazamentos se um certificado expirar. Ela aprende que os engenheiros precisam pensar nos modos de falha dos próprios controles de segurança, porque um controle que falha de forma perigosa pode prejudicar o público que deveria proteger.
10.2 Divulgação responsável
Durante testes numa bancada de laboratório, Aiyana percebe que o medidor de um fornecedor aceita firmware sem verificar a assinatura quando a bateria está fraca. Ela relata o problema a Marcus, que o relata ao fornecedor pelo processo de divulgação coordenada da Ridgeway, dando ao fornecedor tempo para corrigi-lo antes que os detalhes sejam compartilhados. Ela não publica nada sobre isso nem o testa em medidores instalados. A prática ética significa relatar as fraquezas a quem pode corrigi-las, manter os detalhes confidenciais até a correção e nunca explorá-las, nem mesmo para provar um argumento.
10.3 Trade-offs entre safety e security
Aiyana escreve uma análise curta do caso da bateria fraca e do caso da expiração. Para cada um, ela lista o que acontece se o controle falhar aberto, aceitando qualquer coisa, e se falhar fechado, recusando tudo. Para as atualizações de firmware, falhar fechado é o certo: um medidor deve manter seu firmware atual em vez de instalar código não verificado. Para o envio das leituras, falhar fechado prejudicaria os clientes, então os medidores continuam reportando enquanto emitem um alerta. Registrar essas escolhas por escrito permite que as equipes de safety e de security da companhia entrem em acordo com antecedência, em vez de discutirem durante um incidente.
Exemplo resolvido
Aiyana relata, por divulgação coordenada, uma forma de contornar a assinatura com bateria fraca e escreve uma tabela de falha aberta versus falha fechada para as atualizações de firmware e para as leituras.
Caso sintético. A falha do fornecedor é inventada para fins didáticos.
Erros e limites
Tratar todo controle de segurança como falha fechada pode criar riscos à segurança das pessoas; tratar todos como falha aberta convida ataques. A divulgação sem coordenação pode prejudicar os usuários.
Exercícios
-
EX028 — Risco da expiração. Que risco à segurança das pessoas Aiyana viu em recusar o envio quando a assinatura falha? Rubrica: 3 = a companhia fica cega para vazamentos se um certificado expirar;; 2 = indisponibilidade;; 1 = vago;; 0 = nenhuma.
-
EX029 — Caminho da divulgação. Como foi tratada a falha da bateria fraca? Rubrica: 3 = relatada a Marcus e ao fornecedor por divulgação coordenada, mantida confidencial, não testada em medidores em operação;; 2 = relatada;; 1 = publicada abertamente;; 0 = nenhuma.
-
EX030 — Modo de falha do firmware. A verificação do firmware deve falhar aberta ou fechada, e por quê? Rubrica: 3 = fechada: manter o firmware atual em vez de instalar código não verificado;; 2 = fechada;; 1 = aberta;; 0 = nenhuma.
Síntese
A engenharia criptográfica ética protege o público ao planejar como os controles falham e ao divulgar as fraquezas de forma responsável.
Continue estudando — aula 10 (capítulo 10 de 50)
← Capítulo 09 · Índice das aulas · Capítulo 11 →
Continue para a próxima aula já escrita.