Capítulo 27 — Criptografia e serviços de confiança: projeto de controles
Mapa da aula
Aula 27 publicada. Mapa, exemplo, EX079.
flowchart TD
N0["27.1 Três tipos de controle"]
N1["27.2 A cerimônia de chaves"]
N2["27.3 Associar controles a riscos"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX079"]
Desenho lógico
flowchart LR
N0["27.1 Três tipos de controle"]
N1["27.2 A cerimônia de chaves"]
N2["27.3 Associar controles a riscos"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3 --> Q["EX079"]
[27.1 Três tipos de controle]
|
v
[27.2 A cerimônia de chaves]
|
v
[27.3 Associar controles a riscos]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX079]
Objetivos de aprendizagem
Você vai (1) projetar controles preventivos, detectivos e corretivos para as chaves; (2) especificar uma cerimônia de chaves; (3) associar controles a riscos.
27.1 Três tipos de controle
Aiyana projeta controles de três tipos. Os controles preventivos impedem problemas: os HSMs impedem a exportação de chaves, as verificações de estado impedem o uso de chaves aposentadas e a revisão de código impede segredos embutidos. Os controles detectivos percebem problemas: alertas de falhas de verificação, varreduras do inventário em busca de chaves desconhecidas e o monitoramento do Certificate Transparency segundo a RFC 6962. Os controles corretivos recuperam: revogação, procedimentos de troca de chaves e restauração a partir de backups cifrados. Um conjunto equilibrado importa, porque os controles preventivos acabam falhando e a detecção sem correção apenas documenta o dano. Ela confere que todo risco alto tem pelo menos um controle de cada tipo e sinaliza qualquer risco que dependa apenas da prevenção.
27.2 A cerimônia de chaves
Para gerar a chave raiz do firmware, Aiyana especifica uma cerimônia: um HSM offline numa sala protegida, três custodiantes, cada um com um smart card, uma testemunha da auditoria, um roteiro escrito, gravação em vídeo da sala, mas não das telas que mostram segredos, e uma ata assinada. A chave é gerada dentro do HSM e guardada em backup em forma cifrada, dividida entre os custodiantes, de modo que dois dos três são necessários para a recuperação. O propósito da cerimônia é produzir evidências, para os reguladores e para os futuros engenheiros, de que nenhuma pessoa sozinha jamais teve a chave raiz.
27.3 Associar controles a riscos
Aiyana associa cada risco do Capítulo 23 aos seus controles. O comprometimento do servidor de build é associado a builds reproduzíveis, aprovação das versões por duas pessoas e registro das assinaturas. As chaves de medidor roubadas são associadas à derivação por medidor, aos alertas de verificação e à revogação. A exportação por insider é associada à não exportabilidade do HSM, ao controle duplo e aos logs de auditoria. O mapa revela um risco, a deriva de relógio dos medidores, com apenas um controle corretivo; ela acrescenta um controle detectivo que acompanha o desvio dos timestamps. Lacunas encontradas no papel são mais baratas de corrigir do que lacunas encontradas em incidentes. O mapa é mantido ao lado do registro de riscos e atualizado junto com ele.
Exemplo resolvido
Aiyana lista controles preventivos, detectivos e corretivos, especifica uma cerimônia da chave raiz com três custodiantes e associa controles a riscos, fechando uma lacuna de detecção da deriva de relógio.
Caso sintético. Os detalhes da cerimônia são inventados; a RFC 6962 é real.
Erros e limites
Cerimônias falham se os roteiros forem ignorados sob pressão de tempo. Controles mapeados no papel ainda precisam ser testados.
Exercícios
-
EX079 — Tipos de controle. Dê um controle preventivo, um detectivo e um corretivo. Rubrica: 3 = por exemplo, não exportação pelo HSM, alertas de verificação, revogação;; 2 = dois;; 1 = um;; 0 = nenhuma.
-
EX080 — Propósito da cerimônia. Qual é o propósito da cerimônia de chaves? Rubrica: 3 = produzir evidências de que nenhuma pessoa sozinha jamais teve a chave raiz;; 2 = evidências;; 1 = velocidade;; 0 = nenhuma.
-
EX081 — Lacuna encontrada. Que lacuna o mapa de riscos revelou, e como ela foi fechada? Rubrica: 3 = a deriva de relógio só tinha controle corretivo; acrescentou-se um controle detectivo que acompanha o desvio;; 2 = lacuna nomeada;; 1 = vago;; 0 = nenhuma.
Síntese
Controles preventivos, detectivos e corretivos equilibrados, evidenciados por cerimônias e associados aos riscos, mantêm o serviço de confiança resiliente.
Continue estudando — aula 27 (capítulo 27 de 50)
← Capítulo 26 · Índice das aulas · Capítulo 28 →
Continue para a próxima aula já escrita.