Capítulo 23 — Criptografia e serviços de confiança: análise de ameaças e falhas
Mapa da aula
Aula 23 publicada. Mapa, exemplo, EX067.
flowchart TD
N0["23.1 Ameaças sistemáticas"]
N1["23.2 Modos de falha"]
N2["23.3 Classificação e tratamento"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX067"]
Desenho lógico
flowchart LR
N0["23.1 Ameaças sistemáticas"]
N1["23.2 Modos de falha"]
N2["23.3 Classificação e tratamento"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3 --> Q["EX067"]
[23.1 Ameaças sistemáticas]
|
v
[23.2 Modos de falha]
|
v
[23.3 Classificação e tratamento]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX067]
Objetivos de aprendizagem
Você vai (1) analisar sistematicamente as ameaças ao serviço de confiança; (2) analisar modos de falha não maliciosos; (3) classificar os riscos para tratamento.
23.1 Ameaças sistemáticas
Aiyana usa um método estruturado, percorrendo cada componente e cada fluxo de dados e perguntando como um atacante poderia falsificar uma identidade, adulterar dados, negar ações, divulgar informação, negar o serviço ou obter privilégios. No caminho do firmware, ela descobre que um atacante que comprometesse o servidor de build poderia conseguir que código malicioso fosse assinado legitimamente. Nas leituras, uma chave de medidor roubada permite forjar as leituras daquele medidor. No serviço de chaves, um insider poderia exportar chaves. Cada ameaça é escrita com suas pré-condições, para que a equipe possa julgar a probabilidade, em vez de reagir à história mais dramática.
23.2 Modos de falha
Nem todos os problemas são ataques. Aiyana acrescenta a análise de falhas: um certificado de concentrador expirado interrompe as leituras de um distrito; a deriva de relógio nos medidores faz as verificações de timestamp rejeitarem leituras válidas; a perda do módulo de segurança de hardware sem backup torna impossível assinar o firmware; um gerador de números aleatórios defeituoso depois de uma atualização de firmware produz nonces repetidos. Para cada uma, ela registra a detecção e o efeito. Várias falhas têm consequências tão graves quanto as dos ataques, e algumas são mais prováveis, o que remodela as prioridades. Registrar os métodos de detecção também mostra quais falhas passariam despercebidas hoje.
23.3 Classificação e tratamento
Aiyana pontua cada ameaça e falha por probabilidade e impacto numa escala simples e escolhe um tratamento: mitigar, transferir, aceitar ou evitar. O comprometimento do servidor de build é mitigado com builds reproduzíveis e aprovação da assinatura por duas pessoas. A perda do HSM é mitigada com um backup cifrado sob custódia dividida. A deriva de relógio dos medidores é mitigada com uma janela de tolerância. Um risco residual, a adulteração física de medidores individuais, é aceito com monitoramento, porque as chaves por medidor limitam seu impacto. As decisões e os donos são registrados. O registro é revisitado depois de cada incidente ou mudança importante.
Exemplo resolvido
A análise de Aiyana lista o comprometimento do servidor de build, chaves de medidor roubadas, exportação por insider, expiração de certificados, deriva de relógio e perda do HSM, classifica-os e atribui tratamentos com donos.
Caso sintético. As ameaças e as pontuações são inventadas.
Erros e limites
Pontuações são julgamentos, não medições; registre o raciocínio. Ignorar as falhas não maliciosas deixa de fora muitas indisponibilidades reais.
Exercícios
-
EX067 — Ameaça ao servidor de build. Por que o comprometimento do servidor de build é grave para o firmware? Rubrica: 3 = código malicioso poderia ser assinado legitimamente e aceito pelos medidores;; 2 = abuso da assinatura;; 1 = menor;; 0 = nenhuma.
-
EX068 — Exemplo de falha. Dê dois modos de falha não maliciosos. Rubrica: 3 = dois entre expiração de certificado, deriva de relógio, perda do HSM, RNG defeituoso;; 2 = um;; 1 = um ataque;; 0 = nenhuma.
-
EX069 — Tratamento da perda do HSM. Como a perda do HSM é tratada? Rubrica: 3 = backup cifrado sob custódia dividida;; 2 = backup;; 1 = aceitar;; 0 = nenhuma.
Síntese
Combinar a análise de ameaças com a análise de falhas e com tratamentos explícitos dá um quadro de riscos equilibrado e com donos para o serviço de confiança.
Continue estudando — aula 23 (capítulo 23 de 50)
← Capítulo 22 · Índice das aulas · Capítulo 24 →
Continue para a próxima aula já escrita.