Capítulo 19 — Identidade e criptografia

Mapa da aula

Aula 19 publicada. Mapa, exemplo, EX055.

flowchart TD
  N0["19.1 Identidade na planta"]
  N1["19.2 Hashes de evidências"]
  N2["19.3 Segredos"]
  N3["Nota prática"]
  N4["19.1b Certificados e quebra de vidro"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX055"]

Desenho lógico

flowchart LR
  N0["19.1 Identidade na planta"]
  N1["19.2 Hashes de evidências"]
  N2["19.3 Segredos"]
  N3["Nota prática"]
  N4["19.1b Certificados e quebra de vidro"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX055"]

[19.1 Identidade na planta]
    |
    v
[19.2 Hashes de evidências]
    |
    v
[19.3 Segredos]
    |
    v
[Nota prática]
    |
    v
[19.1b Certificados e quebra de vidro]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX055]

Objetivos de aprendizagem

Você vai (1) avaliar a identidade em TO sem atacar a criptografia; (2) usar hashes para a integridade das evidências; (3) tratar as credenciais de engenharia com segurança.

19.1 Identidade na planta

Pergunte: quais contas existem nas IHMs, nos historiadores e nos hosts de engenharia? Quais usam senhas compartilhadas? Quais se integram ao diretório do site? MFA nos hosts de salto do L4 é comum; MFA numa IHM legada pode ser impossível — documente os controles compensatórios (acesso físico, gravação de sessões).

A revisão de identidade de Lena na ABP listou todas as contas na HMI-1, no historiador e na eng-WS-1, com o dono e se eram compartilhadas. A senha compartilhada de engenheiro foi a constatação mais clara e foi substituída por contas nominais. Onde não foi possível acrescentar MFA a uma IHM legada, ela registrou os controles compensatórios, como o acesso trancado à sala de controle e a gravação de sessões no host de salto, e nomeou quem os confere.

19.2 Hashes de evidências

Calcule o hash das exportações de configuração e dos arquivos de evidência (SHA-256); guarde os digests no ticket. Recalcule depois para detectar adulteração. Associe os hashes ao id do ator e à versão da permissão de trabalho.

Lena calcula o hash de cada exportação do firewall quando ela é coletada e guarda o digest no ticket com o horário, a sua conta e a versão da permissão de trabalho. As revisões posteriores recalculam o hash do arquivo guardado e comparam. Uma divergência é investigada antes que a evidência seja usada, porque uma exportação alterada pode significar adulteração, uma edição descuidada ou simplesmente o arquivo errado. O manifesto nomeia o algoritmo usado.

19.3 Segredos

As credenciais de engenharia ficam num cofre; retiradas de curta duração; rotação no fim da janela. Nenhum segredo no git, em capturas de tela ou no chat. As contas de serviço dos historiadores recebem senhas únicas e uso monitorado.

Caso sintético — Ashford Batch Plant. Uma senha compartilhada de "engineer" na eng-WS-1 foi substituída por contas nominais depois da revisão de identidade do CNHP. A retirada dos arquivos de projeto do CLP agora registra a pessoa, e não um usuário compartilhado mítico.

Na ABP, as credenciais de engenharia do projeto do PLC-A são retiradas do cofre para uma janela e trocadas depois.

19.4 Erros e limites

Os hashes detectam mudança, não distinguem malícia de acidente. Associe-os aos logs de acesso. Não tente quebrar hashes de senhas da planta neste curso.

Um hash que confere prova apenas que um arquivo não mudou desde que o hash foi calculado, não que ele foi coletado de forma lícita ou interpretado corretamente. Lena associa as verificações de hash ao log de acesso do repositório de evidências, que mostra quem tocou cada arquivo e quando. As constatações sobre senhas são relatadas a partir da configuração e das listas de contas; quebrar hashes está fora do programa e fora de qualquer permissão que ela tenha.

Nota prática

As contas de quebra de vidro para emergências da planta precisam de controle duplo para serem retiradas e de rotação automática após o uso. Uma senha de quebra de vidro nunca usada, colada com fita embaixo de um teclado, não é um controle.

19.1b Certificados e quebra de vidro

Para historiadores e hosts de salto com TLS, registre os certificados apresentados, sob autorização. Certificados expirados ou divergentes são constatações de operação. O registro de certificados de Lena lista, para cada host, o sujeito, o emissor, a data de expiração e a data da observação, para que um certificado prestes a expirar na réplica do historiador vire um ticket com data, e não uma parada inesperada. Prefira SHA-256 para os manifestos de evidências; documente o algoritmo no manifesto.

As escolhas de algoritmo dos manifestos são um campo de versão, não uma troca silenciosa no meio da janela. Quando o algoritmo muda, os manifestos existentes mantêm o seu campo de algoritmo original e são recalculados num novo manifesto, em vez de editados.

Exercícios

• EX055 — Perguntas. Cinco perguntas de identidade para os hosts de engenharia da ABP. Rubrica: 3 = cinco concretas; 2 = três; 1 = uma; 0 = nada.
• EX056 — Hash. O que você faz quando o hash de uma exportação lacrada do firewall diverge? Rubrica: 3 = restaurar/reexportar, investigar as escritas, constatação de processo; 2 = só registrar; 1 = vago; 0 = ignorar.
• EX057 — Regra de segredos. Política de uma linha para as senhas de projetos de CLP em tickets. Rubrica: 3 = nunca no ticket; referência ao cofre; 2 = não compartilhar; 1 = fraca; 0 = permite colar.

Síntese

Leia a configuração de identidade; calcule o hash das evidências; mantenha os segredos num cofre.