Capítulo 15 — Fundamentos de segurança

Capítulo 15 — Fundamentos de segurança

Mapa da aula

Aula 15 publicada. Mapa, exemplo, EX043.

flowchart TD
  N0["15.1 As três propriedades"]
  N1["15.2 Modelos de ameaça"]
  N2["15.3 Autenticação e autorização"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX043"]

Desenho lógico

flowchart LR
  N0["15.1 As três propriedades"]
  N1["15.2 Modelos de ameaça"]
  N2["15.3 Autenticação e autorização"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX043"]

[15.1 As três propriedades]
    |
    v
[15.2 Modelos de ameaça]
    |
    v
[15.3 Autenticação e autorização]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX043]

Objetivos de aprendizagem

Você vai (1) associar confidencialidade, integridade e disponibilidade a controles criptográficos; (2) definir modelos de ameaça; (3) distinguir autenticação de autorização.

15.1 As três propriedades

A segurança costuma ser descrita pela confidencialidade, pela integridade e pela disponibilidade. Aiyana associa cada uma aos medidores da Ridgeway. A confidencialidade das leituras importa porque os padrões de consumo revelam quando as casas estão vazias. A integridade importa porque leituras alteradas mudam as contas. A disponibilidade importa porque a companhia precisa das leituras para detectar vazamentos. A criptografia serve principalmente à confidencialidade e à integridade: a cifração à primeira, os códigos de autenticação e as assinaturas à segunda. Ela pode prejudicar a disponibilidade se chaves forem perdidas ou certificados expirarem, e é por isso que o gerenciamento de chaves e as operações são tão importantes quanto os algoritmos.

15.2 Modelos de ameaça

Um modelo de ameaça informa quem são os atacantes, o que querem, o que podem fazer e o que está fora do escopo. Aiyana escreve um para os medidores: um vizinho curioso com um receptor de rádio, um cliente tentando reduzir a conta, um grupo criminoso que busca interromper o abastecimento e um insider malicioso. Ela deixa fora do escopo do piloto os ataques de hardware de Estados-nação e diz isso explicitamente. Katz e Lindell insistem em que toda definição de segurança depende de um modelo explícito de atacante; sem ele, afirmações como "seguro" não têm significado.

15.3 Autenticação e autorização

A autenticação estabelece quem ou o que está se comunicando; a autorização decide o que essa parte pode fazer. Um medidor se autentica com sua chave por medidor, mas só está autorizado a enviar as próprias leituras, e não as de outros medidores nem mudanças de configuração. Aiyana encontra um rascunho de projeto em que qualquer medidor autenticado poderia enviar leituras para qualquer identificador, uma confusão clássica entre as duas coisas. Ela acrescenta uma verificação que vincula cada chave a um único identificador de medidor. A criptografia fornece a autenticação; a autorização é uma decisão de política implementada na lógica da aplicação.

Exemplo resolvido

Aiyana associa as propriedades da tríade CIA aos controles dos medidores, escreve um modelo de ameaça com quatro atacantes e uma exclusão explícita e corrige um projeto em que a autenticação não implicava a autorização correta.

Caso sintético. O modelo de ameaça é inventado.

Erros e limites

Modelos de ameaça envelhecem; revise-os quando os sistemas mudarem. Uma autenticação forte com uma autorização fraca ainda permite abusos.

Exercícios

• EX043 — Por que a confidencialidade. Por que a confidencialidade das leituras dos medidores importa? Rubrica: 3 = os padrões de consumo revelam quando as casas estão vazias;; 2 = privacidade;; 1 = nenhum motivo;; 0 = nenhuma.

• EX044 — Fora do escopo. O que Aiyana deixou fora do escopo, e por que declarar isso? Rubrica: 3 = ataques de hardware de Estados-nação; um escopo explícito dá significado às afirmações;; 2 = escopo declarado;; 1 = vago;; 0 = nenhuma.

• EX045 — Correção da autorização. Que verificação corrigiu a falha de autorização? Rubrica: 3 = vincular cada chave a um identificador de medidor, para que os medidores só enviem as próprias leituras;; 2 = vinculação;; 1 = cifração;; 0 = nenhuma.

Síntese

Os fundamentos de segurança dão o enquadramento da criptografia: associe-a a propriedades explícitas e a modelos de atacante e mantenha a autenticação separada da autorização.

Continue estudando — aula 15 (capítulo 15 de 50)

← Capítulo 14 · Índice das aulas · Capítulo 16 →

Continue para a próxima aula já escrita.