Capítulo 48 — Dossiê de evidências

Capítulo 48 — Dossiê de evidências

Mapa da aula

Aula 48 publicada. Mapa, exemplo, EX142.

flowchart TD
  N0["48.1 Propósito do dossiê"]
  N1["48.2 Ligar as evidências"]
  N2["48.3 Proteger as evidências sensíveis"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX142"]

Desenho lógico

flowchart LR
  N0["48.1 Propósito do dossiê"]
  N1["48.2 Ligar as evidências"]
  N2["48.3 Proteger as evidências sensíveis"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX142"]

[48.1 Propósito do dossiê]
    |
    v
[48.2 Ligar as evidências]
    |
    v
[48.3 Proteger as evidências sensíveis]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX142]

Objetivos de aprendizagem

Você vai (1) montar um dossiê de evidências para reguladores e avaliadores; (2) ligar as evidências aos requisitos e aos riscos; (3) proteger as evidências sensíveis.

48.1 Propósito do dossiê

O regulador exige que a Ridgeway demonstre que seu serviço de confiança da medição está adequadamente protegido. Aiyana monta um dossiê de evidências: requisitos, arquitetura, registro de riscos, mapa de controles, relatórios de testes, resumo dos testes independentes, atas das cerimônias, achados do ensaio e declarações de risco residual. O dossiê é organizado por requisito, para que um avaliador possa seguir qualquer requisito até seu projeto, seus testes e suas evidências operacionais. Um dossiê transforma anos de trabalho num argumento auditável, e não numa pilha de documentos. Ele também dá aos futuros engenheiros um mapa único de por que o sistema é como é.

48.2 Ligar as evidências

Para cada requisito, o dossiê inclui uma afirmação curta, as evidências que a sustentam e quaisquer limitações. Por exemplo, a afirmação de que as leituras não podem ser forjadas sem uma chave de medidor se liga ao projeto do HMAC, aos testes negativos do laboratório, ao teste independente que não encontrou falsificação e aos dados de monitoramento que mostram as falhas de verificação investigadas. Onde as evidências são mais fracas, como a resistência a canais laterais testada numa única revisão de hardware, o dossiê diz isso. Aiyana usa digests SHA-256 para identificar cada arquivo de evidência, para que os avaliadores possam confirmar que examinaram exatamente as versões referenciadas.

48.3 Proteger as evidências sensíveis

Algumas evidências ajudariam os atacantes, como relatórios detalhados de testes de intrusão ou a configuração dos HSMs. Aiyana classifica cada item: resumos públicos, material exclusivo do regulador e material apenas interno, disponível para inspeção no local. Material de chave nunca aparece em nenhum dossiê. As atas das cerimônias incluem identificadores de chave e impressões digitais, mas não as chaves. Ela combina com o regulador as regras de manuseio. As evidências que protegem o público não podem se tornar, elas próprias, um risco para o público. O acesso ao material exclusivo do regulador e ao material interno é registrado, e as cópias são numeradas, para que qualquer vazamento possa ser rastreado até um destinatário específico.

Exemplo resolvido

O dossiê de Aiyana organiza as evidências por requisito, liga as afirmações aos testes e às operações com digests e classifica os itens sensíveis com regras de manuseio combinadas.

Caso sintético. O dossiê é inventado.

Erros e limites

Dossiês que escondem evidências fracas perdem credibilidade quando os avaliadores encontram as lacunas. Compartilhar demais relatórios de testes detalhados aumenta o risco.

Exercícios

• EX142 — Organização do dossiê. Como o dossiê é organizado, e por quê? Rubrica: 3 = por requisito, para que os avaliadores rastreiem cada um até o projeto, os testes e as operações;; 2 = requisito;; 1 = data;; 0 = nenhuma.

• EX143 — Evidências fracas. Como o dossiê trata as evidências mais fracas? Rubrica: 3 = declara abertamente seus limites, por exemplo testes de canal lateral numa só revisão;; 2 = honesto;; 1 = esconde;; 0 = nenhuma.

• EX144 — Atas das cerimônias. O que as atas das cerimônias incluem e excluem? Rubrica: 3 = identificadores de chave e impressões digitais, nunca material de chave;; 2 = impressões digitais;; 1 = chaves;; 0 = nenhuma.

Síntese

Um dossiê de evidências organizado por requisito, honesto quanto aos limites e cuidadoso com o material sensível torna as afirmações de segurança auditáveis.

Continue estudando — aula 48 (capítulo 48 de 50)

← Capítulo 47 · Índice das aulas · Capítulo 49 →

Continue para a próxima aula já escrita.