Capítulo 23 — Segurança quântica e pós-quântica: análise de ameaças e de falhas
Mapa da aula
Aula 23 publicada. Mapa, exemplo, EX045.
flowchart TD
N0["23.1 Ameaças da era quântica"]
N1["23.2 Modos de falha da migração"]
N2["23.3 Pontuação de risco"]
N3["Nota de engenharia"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX045"]
Desenho lógico
flowchart LR
N0["23.1 Ameaças da era quântica"]
N1["23.2 Modos de falha da migração"]
N2["23.3 Pontuação de risco"]
N3["Nota de engenharia"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX045"]
[23.1 Ameaças da era quântica]
|
v
[23.2 Modos de falha da migração]
|
v
[23.3 Pontuação de risco]
|
v
[Nota de engenharia]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX045]
Objetivos de aprendizagem
Você vai (1) modelar as ameaças da era quântica com uma análise no estilo STRIDE; (2) analisar os modos de falha introduzidos pela própria migração; (3) incluir ataques de rebaixamento e de implementação; e (4) priorizar com uma pontuação de risco. O capítulo parte dos Capítulos 15 e 22.
23.1 Ameaças da era quântica
- Colete agora, decifre depois: gravar tráfego protegido por uma troca de chaves vulnerável.
- Falsificação futura: falsificar assinaturas em artefatos de vida longa quando existir um CRQC.
- Rebaixamento: um atacante ativo remove as opções pós-quânticas para que os pares voltem a uma troca só clássica. O TLS 1.3 protege a transcrição da negociação, então o rebaixamento exige quebrar a autenticação — mas uma lógica de fallback mal configurada nas aplicações pode reintroduzi-lo.
- Ataques de implementação: canais laterais e injeção de falhas contra código novo (Capítulo 31).
- Surpresa criptoanalítica: uma fraqueza encontrada num esquema novo, como aconteceu com o Rainbow e o SIKE (Beullens 2022; Castryck e Decru 2022).
23.2 Modos de falha da migração
A análise de modos de falha e efeitos (FMEA) se aplica: handshakes grandes demais descartados por middleboxes; clientes que não conseguem interpretar os novos certificados; HSMs que não conseguem guardar as novas chaves; chaves de assinatura com estado reutilizadas após a restauração de um backup; falhas de interoperabilidade entre implementações de rascunho e finais; certificados de transição expirados. Cada um tem causa, efeito, método de detecção e mitigação.
Vários deles já apareceram no caso da BPA: o proxy que reiniciava ClientHellos divididos, a falha de importação de chaves entre HSMs e o risco de reutilização do estado do LMS após uma restauração. Listá-los numa única tabela obriga a definir um método de detecção para cada um, que costuma ser a parte que falta.
23.3 Pontuação de risco
Pontue probabilidade e impacto; para as ameaças de coleta, o impacto cresce com o tempo de vida e o volume dos dados. Evite a falsa precisão: três ou cinco níveis com definições claras bastam.
A BPA usa três níveis com definições escritas: impacto alto significa dados com tempo de vida acima de dez anos ou uma função de segurança operacional; médio significa dados comerciais abaixo de dez anos; baixo significa dados operacionais de vida curta. Dois avaliadores que pontuam o mesmo item devem chegar ao mesmo nível e, quando não chegam, as definições são apertadas, em vez de se tirar a média. Uma nota como três vírgula sete numa escala de cinco pontos sugere uma precisão que os insumos não sustentam.
23.4 Exemplo resolvido
FMEA da assinatura do firmware dos guindastes da BPA com LMS: falha "contador de estado reiniciado após a restauração do HSM" → efeito "reutilização de chave de uso único permitindo falsificação" → detecção "auditoria do contador monotônico contra o log" → mitigação "HSM com reserva de estado, procedimentos de restauração que proíbem o retrocesso, chave separada por local de assinatura". Severidade alta, probabilidade média → ação prioritária.
A etapa de detecção funciona porque cada assinatura carrega o seu índice: comparar o maior índice visto no firmware publicado com o contador do HSM mostra de imediato um retrocesso. Chaves separadas por local limitam o dano de um erro às assinaturas de um único local.
23.5 Erros comuns e limites
- Analisar só ameaças criptoanalíticas, e não as falhas da migração.
- Supor que os híbridos dispensam a análise do rebaixamento.
- Pontuações numéricas de risco apresentadas como medições.
A maioria dos incidentes nas primeiras migrações vem de modos de falha como o reinício do proxy, não da criptoanálise, então uma análise limitada a ataques deixa escapar os problemas prováveis. Os híbridos protegem contra a quebra de um componente, mas um fallback mal configurado ainda pode remover inteiramente a parte pós-quântica, por isso os caminhos de rebaixamento são analisados por aplicação. As pontuações de risco ordenam itens; não são medições e não devem ser somadas.
Nota de engenharia
Por fim, ordene as ameaças pelo momento em que podem se concretizar. O "colete agora, decifre depois" está acontecendo hoje para qualquer tráfego gravado, embora a decifração precise de uma máquina futura; a falsificação ativa exige que a máquina exista no momento do ataque. Essa divisão temporal explica por que a mesma organização pode, racionalmente, migrar a troca de chaves neste ano e agendar a migração das assinaturas para depois, e dá aos tomadores de decisão uma razão clara para a ordem do trabalho, em vez de uma lista indiferenciada de riscos quânticos.
Exercícios
- EX045 — Tabela de ameaças. Produza uma tabela de ameaças para a VPN dos parceiros da BPA cobrindo as cinco classes de ameaça. Rubrica: 3 = cada uma com mitigação.
- EX046 — Linha de FMEA. Escreva uma linha de FMEA para "middlebox descarta ClientHello de dois segmentos". Rubrica: 3 = causa, efeito, detecção, mitigação, prioridade.
Síntese
A análise de ameaças na era quântica inclui gravação, falsificação futura, rebaixamento, ataques de implementação e surpresa criptoanalítica; a própria migração tem modos de falha que a FMEA torna visíveis.
Continue estudando — capítulo 23 de 50
← Capítulo 22 · Índice de capítulos do curso · Capítulo 24 →
Siga para a próxima lição escrita.