Capítulo 18 — Arquitetura de segurança
Mapa da aula
Aula 18 publicada. Mapa, exemplo, EX035.
flowchart TD
N0["18.1 Fronteiras de confiança"]
N1["18.2 Serviços criptográficos"]
N2["18.3 A agilidade criptográfica como arquitetura"]
N3["18.4 Onde aplicar os híbridos"]
N4["Nota de engenharia"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX035"]
Desenho lógico
flowchart LR
N0["18.1 Fronteiras de confiança"]
N1["18.2 Serviços criptográficos"]
N2["18.3 A agilidade criptográfica como arquitetura"]
N3["18.4 Onde aplicar os híbridos"]
N4["Nota de engenharia"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX035"]
[18.1 Fronteiras de confiança]
|
v
[18.2 Serviços criptográficos]
|
v
[18.3 A agilidade criptográfica como arquitetura]
|
v
[18.4 Onde aplicar os híbridos]
|
v
[Nota de engenharia]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX035]
Objetivos de aprendizagem
Você vai (1) identificar fronteiras de confiança e onde a criptografia as impõe; (2) projetar uma arquitetura criptográfica com zonas e serviços; (3) centralizar a gestão de chaves; e (4) documentar a agilidade criptográfica como propriedade da arquitetura. O capítulo parte dos Capítulos 15–17 e prepara o núcleo de PQC.
18.1 Fronteiras de confiança
Desenhe cada fronteira em que os dados passam de um domínio de confiança para outro: da internet para o portal, da BPA para uma companhia de navegação, da rede do terminal para a rede dos guindastes, da BPA para a agência aduaneira. Em cada fronteira, liste as funções criptográficas: estabelecimento de chaves, autenticação, integridade, confidencialidade em repouso. Essa lista é o esqueleto da arquitetura.
Na fronteira da rede dos guindastes, por exemplo, a lista contém a verificação de assinaturas de firmware e a VPN para o serviço de manutenção do fornecedor. Anotá-la revelou que o enlace do fornecedor usava uma chave pré-compartilhada e autenticação RSA, que o inventário original não havia encontrado porque o enlace era gerenciado pelo fornecedor. A lista de cada fronteira se torna um conjunto de linhas no documento de controle de interfaces.
18.2 Serviços criptográficos
Centralize onde for possível: uma camada de terminação TLS, uma PKI com uma AC apoiada em HSM, um serviço de gestão de chaves, um serviço de assinatura para firmware e documentos. A centralização transforma a migração de um serviço na migração para muitos consumidores. A criptografia descentralizada — cada aplicação com a sua biblioteca e as suas chaves — multiplica o trabalho.
O proxy de borda da BPA termina o TLS de todos os seus serviços públicos, então ativar o grupo híbrido ali protegeu cada um deles com uma única mudança. Já os serviços internos que embutem cada um a sua biblioteca exigem um projeto separado por serviço. A direção da arquitetura é, portanto, encaminhar os serviços novos pelos componentes compartilhados e registrar qualquer exceção com o motivo e uma data de expiração.
18.3 A agilidade criptográfica como arquitetura
O white paper do NIST sobre agilidade criptográfica (CSWP 39) descreve a agilidade como a capacidade de substituir algoritmos em protocolos, aplicações, software, hardware e infraestrutura preservando a segurança e as operações. Em termos de arquitetura, isso significa: escolhas de algoritmo na política, não no código; protocolos que negociam algoritmos com segurança; ciclos de vida de certificados e chaves curtos o bastante para a rotação; e um inventário que mostra onde tudo está.
Cada elemento pode ser testado: uma mudança de política deve trocar os algoritmos num ambiente de testes sem mudança de código; o tempo de vida dos certificados deve ser curto o bastante para substituí-los todos dentro de uma janela planejada.
18.4 Onde aplicar os híbridos
Decida onde os híbridos se aplicam: primeiro a troca de chaves em todas as fronteiras externas de TLS e VPN; depois as assinaturas das raízes de vida longa e do firmware; o tráfego interno entre serviços conforme o tempo de vida dos dados. Registre a decisão e a sua data de revisão.
A ordem segue a desigualdade de Mosca: a troca de chaves externa primeiro, porque o tráfego gravado está exposto agora; depois as assinaturas de vida longa, porque as raízes e o firmware precisam durar mais que a chegada de um CRQC; e o tráfego interno por último, se carregar dados de vida curta. Um serviço que transporta registros aduaneiros sobe na lista mesmo sendo interno. A data de revisão obriga a um novo olhar à medida que as bibliotecas e os parceiros ficam prontos.
18.5 Exemplo resolvido
A arquitetura-alvo da BPA: TLS híbrido no proxy de borda e nas VPNs com parceiros; um novo HSM com suporte a PQC para a AC; firmware dos guindastes assinado com LMS por um serviço central de assinatura com gestão de estado; ML-DSA com carimbo de tempo para os conhecimentos de embarque; seleção de algoritmos guiada por política nos serviços internos.
Cada elemento corresponde a uma decisão anterior: o TLS híbrido vem da implantação no portal, o HSM do plano da AC, o LMS da restrição de 32 KB do controlador do guindaste e o ML-DSA com carimbo de tempo da análise dos conhecimentos de embarque. Escrever a arquitetura assim mostra aos revisores de onde veio cada escolha e qual decisão anterior revisitar se uma restrição mudar.
18.6 Erros comuns e limites
- Diagramas de arquitetura sem nenhuma função criptográfica marcada.
- Cada equipe escolhendo algoritmos de forma independente.
- Agilidade alegada, mas com chaves de 20 anos de vida.
Sem as funções criptográficas nos diagramas, a VPN do fornecedor e o formato de exportação ficam invisíveis até um incidente. Escolhas independentes produzem várias bibliotecas e conjuntos de parâmetros pós-quânticos, que precisam ser mantidos um a um. Um tempo de vida de chave de 20 anos significa que a agilidade só existe no papel, porque a rotação levaria mais tempo do que o horizonte da ameaça permite. A BPA limita o tempo de vida das novas chaves para que todas possam ser substituídas em até dois anos.
Nota de engenharia
As fronteiras de confiança também existem no tempo. Um documento assinado hoje atravessa uma fronteira rumo ao futuro quando um tribunal ou um parceiro o verifica anos depois, então a arquitetura deve mostrar os serviços de validação de longo prazo — carimbo de tempo, reassinatura de arquivos, registros de evidência — como componentes com a sua própria criptografia a migrar. Desenhá-los explicitamente evita o descuido comum em que todos os caminhos online são migrados enquanto as evidências arquivadas continuam protegidas por algoritmos que um adversário futuro poderia falsificar.
Exercícios
- EX035 — Tabela de fronteiras. Crie uma tabela de fronteiras para quatro fronteiras da BPA, com funções e algoritmos atuais. Rubrica: 3 = completa e precisa.
- EX036 — Centralizar. Argumente a favor ou contra centralizar a terminação TLS para fins de migração. Rubrica: 3 = benefício de agilidade e risco de ponto único de falha ponderados.
Síntese
A arquitetura associa as fronteiras de confiança às funções criptográficas, centraliza os serviços para tornar a migração tratável e codifica a agilidade na política, nos protocolos, nos ciclos de vida e no inventário.
Continue estudando — capítulo 18 de 50
← Capítulo 17 · Índice de capítulos do curso · Capítulo 19 →
Siga para a próxima lição escrita.