Capítulo 40 — Laboratório de verificação II
Mapa da aula
Aula 40 publicada. Mapa, exemplo, EX118.
flowchart TD
N0["40.1 Testes adversariais"]
N1["40.2 Correção do vazamento estatístico"]
N2["40.3 Testes independentes"]
N3["40.4 Relato à direção"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX118"]
Desenho lógico
flowchart LR
N0["40.1 Testes adversariais"]
N1["40.2 Correção do vazamento estatístico"]
N2["40.3 Testes independentes"]
N3["40.4 Relato à direção"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX118"]
[40.1 Testes adversariais]
|
v
[40.2 Correção do vazamento estatístico]
|
v
[40.3 Testes independentes]
|
v
[40.4 Relato à direção]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX118]
Objetivos de aprendizagem
Você vai (1) verificar propriedades de privacidade com testes adversariais; (2) contratar testes independentes; (3) relatar os resultados da verificação à direção.
40.1 Testes adversariais
No segundo laboratório de verificação, a turma de Zara atua como adversária de uma cópia de teste da plataforma da Pellmore com dados sintéticos. Os alunos tentam vincular os dados de análise aos pacientes, obter os prontuários de outro paciente pela funcionalidade de cuidadores e inferir diagnósticos a partir das estatísticas publicadas. A vinculação falha porque os pseudônimos dos destinatários são diferentes. O ataque pelos cuidadores falha porque as configurações exigem a autenticação do paciente. O ataque às estatísticas tem sucesso parcial para uma clínica rural, cujas contagens pequenas foram publicadas antes da adoção do pipeline de privacidade diferencial. As publicações antigas nunca tinham sido revisadas.
40.2 Correção do vazamento estatístico
O vazamento da clínica rural vem de relatórios antigos que continuam em uma página pública. Zara os remove e verifica se o novo pipeline cobre todas as estatísticas publicadas. Ela também procura outras publicações legadas e encontra mais duas. A constatação mostra que novas proteções não corrigem automaticamente as saídas antigas. Ela acrescenta uma regra: quando uma nova proteção for introduzida, a equipe deve procurar as saídas produzidas pela abordagem anterior e decidir se as remove, substitui ou mantém com justificativa. Neste caso, a tabela antiga é retirada do ar.
40.3 Testes independentes
A Pellmore contrata uma empresa independente para testar a plataforma. A empresa recebe o mesmo ambiente sintético e o mesmo escopo. Ela encontra um problema que a turma deixou passar: uma ferramenta de suporte vaza endereços de e-mail de pacientes em um campo de preenchimento automático. A Pellmore o corrige. Zara observa que testadores independentes trazem outros hábitos e premissas, e por isso a avaliação independente tem valor mesmo depois de testes internos rigorosos. Ela registra a constatação e a correção na pasta de evidências, ao lado dos resultados da turma. A ferramenta de suporte passa a mostrar só endereços mascarados, e um teste de regressão é acrescentado para que o vazamento não volte em silêncio.
40.4 Relato à direção
Zara escreve um relatório de verificação para a direção da Pellmore: o que foi testado, o que passou, o que falhou e o que foi corrigido, com os riscos remanescentes. Ela evita detalhes técnicos no resumo e anexa as evidências para os especialistas. A direção pergunta se a plataforma é segura; ela responde que a plataforma passou nos testes descritos, que dois problemas foram corrigidos e que os testes continuarão todo ano. Explica que a verificação reduz a incerteza, mas não prova a ausência de todos os problemas, e a direção aceita esse enquadramento. Os testes ficam agendados anualmente.
Exemplo resolvido
A turma de Zara ataca a plataforma: os ataques de vinculação e pelos cuidadores falham, um ataque às estatísticas expõe relatórios legados de uma clínica rural; uma empresa independente encontra um vazamento de e-mails no preenchimento automático; Zara relata os resultados com os riscos remanescentes.
Caso sintético. Os ataques rodam apenas em cópias de teste sintéticas.
Erros e limites
Passar nos testes não prova a ausência de vulnerabilidades.
Exercícios
- EX118 — Sucesso parcial. Que ataque adversarial teve sucesso parcial, e por quê? Rubrica: 3 = a inferência sobre as estatísticas de uma clínica rural, por meio de relatórios legados com contagens pequenas;; 2 = menciona a clínica rural;; 1 = vago;; 0 = nenhuma.
- EX119 — Regra das saídas legadas. Que regra Zara acrescentou depois do vazamento estatístico? Rubrica: 3 = procurar as saídas da abordagem anterior sempre que uma nova proteção for introduzida;; 2 = menciona legado;; 1 = vago;; 0 = nenhuma.
- EX120 — Valor da independência. Por que contratar testes independentes depois de testes internos rigorosos? Rubrica: 3 = hábitos diferentes encontram problemas diferentes, como o vazamento no preenchimento automático;; 2 = menciona independência;; 1 = desnecessário;; 0 = nenhuma.
Síntese
O capítulo 40 fecha o ciclo de verificação. O capítulo 41 otimiza o sistema.
Continue estudando — aula 40 (capítulo 40 de 50)
← Capítulo 39 · Índice das aulas · Capítulo 41 →
Continue para a próxima aula já escrita.