Capítulo 40 — Laboratório de verificação II

Capítulo 40 — Laboratório de verificação II

Mapa da aula

Aula 40 publicada. Mapa, exemplo, EX118.

flowchart TD
  N0["40.1 Testes físicos"]
  N1["40.2 Injeção de falhas"]
  N2["40.3 Risco residual"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX118"]

Desenho lógico

flowchart LR
  N0["40.1 Testes físicos"]
  N1["40.2 Injeção de falhas"]
  N2["40.3 Risco residual"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX118"]

[40.1 Testes físicos]
    |
    v
[40.2 Injeção de falhas]
    |
    v
[40.3 Risco residual]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX118]

Objetivos de aprendizagem

Você vai (1) testar a resistência física e a canais laterais dos medidores; (2) executar um teste de injeção de falhas no serviço de confiança; (3) documentar o risco residual.

40.1 Testes físicos

O segundo laboratório testa os medidores fisicamente, com autorização e apenas em amostras de laboratório. A equipe confere que os elementos seguros resistem a sondagens simples e que as portas de depuração estão desativadas nos builds de produção. Um laboratório parceiro especializado faz medições de canal lateral na operação HMAC dentro do elemento seguro, confirmando que não há correlação mensurável com os bits da chave dentro do orçamento do teste. Aiyana registra que os resultados se aplicam à revisão de hardware testada e que uma nova revisão exige novos testes. A equipe anota o número de série de cada amostra, para que os resultados possam ser ligados a uma revisão exata.

40.2 Injeção de falhas

A equipe injeta falhas no serviço de confiança de homologação: o HSM primário é desligado, o relógio de um concentrador salta uma semana à frente, a fila de revogação é atrasada e uma imagem de firmware corrompida é oferecida. Cada injeção confere se ocorre o comportamento seguro projetado no Capítulo 33. O HSM de standby assume em quarenta segundos. O salto do relógio faz o concentrador apresentar um certificado como ainda não válido, que o gateway rejeita corretamente, mas a mensagem de alerta do concentrador não é clara; a equipe a reescreve.

40.3 Risco residual

Aiyana escreve uma declaração de risco residual: os riscos que permanecem depois dos controles, por que são aceitos e quem os aceitou. Os exemplos incluem um atacante determinado e bem financiado extraindo, com equipamento avançado, as chaves de um único medidor, aceito porque as chaves por medidor limitam o impacto; e a perda simultânea dos dois data centers, aceita com um plano de recuperação offline de vários dias. A direção assina a declaração. Tornar o risco residual explícito evita a falsa impressão de que os testes deixaram o sistema perfeitamente seguro. A declaração é revisada sempre que o modelo de ameaça muda e pelo menos uma vez por ano.

Exemplo resolvido

O laboratório confirma as proteções do elemento seguro e das portas de depuração, passa nas injeções de falhas com um failover de HSM em quarenta segundos, esclarece um alerta de salto de relógio e registra os riscos residuais assinados.

Caso sintético. Os resultados são inventados.

Erros e limites

Os testes de canal lateral são limitados pelo orçamento e pela técnica. As declarações de risco residual precisam ser revisitadas quando as ameaças mudam.

Exercícios

• EX118 — Escopo do hardware. Que limite se aplica aos resultados dos testes físicos? Rubrica: 3 = valem para a revisão de hardware testada; novas revisões precisam de novos testes;; 2 = revisão;; 1 = universais;; 0 = nenhuma.

• EX119 — Salto do relógio. O que a injeção do salto de relógio revelou? Rubrica: 3 = certificado rejeitado corretamente como ainda não válido, mas mensagem de alerta pouco clara e reescrita;; 2 = alerta;; 1 = falha;; 0 = nenhuma.

• EX120 — Exemplo de risco residual. Dê um risco residual aceito e sua justificativa. Rubrica: 3 = extração da chave de um medidor por atacante avançado, limitada pelas chaves por medidor (ou perda dos dois data centers, recuperação offline);; 2 = exemplo;; 1 = vago;; 0 = nenhuma.

Síntese

Testes físicos, injeção de falhas e declarações de risco residual assinadas completam a verificação com um relato honesto do que resta.

Continue estudando — aula 40 (capítulo 40 de 50)

← Capítulo 39 · Índice das aulas · Capítulo 41 →

Continue para a próxima aula já escrita.