Capítulo 37 — Segurança quântica e pós-quântica: operações
Mapa da aula
Aula 37 publicada. Mapa, exemplo, EX073.
flowchart TD
N0["37.1 Portões de canário"]
N1["37.2 Atividade prática — Laboratório K"]
N2["37.3 Monitoramento"]
N3["37.4 Operações de certificados e chaves"]
N4["Nota de engenharia"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX073"]
Desenho lógico
flowchart LR
N0["37.1 Portões de canário"]
N1["37.2 Atividade prática — Laboratório K"]
N2["37.3 Monitoramento"]
N3["37.4 Operações de certificados e chaves"]
N4["Nota de engenharia"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX073"]
[37.1 Portões de canário]
|
v
[37.2 Atividade prática — Laboratório K]
|
v
[37.3 Monitoramento]
|
v
[37.4 Operações de certificados e chaves]
|
v
[Nota de engenharia]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX073]
Objetivos de aprendizagem
Você vai (1) operar implantações em estágios com portões estatísticos; (2) monitorar os algoritmos negociados e o fallback; (3) gerenciar certificados e chaves para os novos algoritmos; e (4) conduzir os processos de mudança e de incidentes. O capítulo parte dos Capítulos 17, 32 e 36.
37.1 Portões de canário
Promova um estágio da implantação apenas quando o limite superior de confiança da taxa de falhas estiver dentro do orçamento. Canários pequenos não conseguem demonstrar efeitos pequenos — o limite é largo —, então o portão segura até que tráfego suficiente tenha sido observado.
O portão compara o limite superior com a linha de base mais o aumento permitido, e não com zero, porque alguns handshakes falham por motivos comuns, como clientes que caem das redes móveis. Medir a linha de base durante uma semana antes da mudança faz, portanto, parte do portão. Sem isso, a equipe não consegue saber se uma taxa de falhas de uma em duas mil é nova ou sempre existiu.
37.2 Atividade prática — Laboratório K
# Lab K (ch 37): canary gate for enabling a hybrid group - promote only if failures stay within budget.
import math
def upper95(k, n): # Wilson upper bound
z = 1.96; p = k / n; d = 1 + z*z/n
return ((p + z*z/(2*n)) + z*math.sqrt(p*(1-p)/n + z*z/(4*n*n))) / d
baseline, budget = 5e-4, 4e-4 # baseline failure rate, allowed increase
for stage, k, n in [("1% canary", 3, 5000), ("10% canary", 28, 50000), ("10% canary (proxy site)", 96, 50000)]:
ub = upper95(k, n); ok = ub <= baseline + budget
print(f"{stage:24s} {k}/{n} upper95={ub:.5f} {'PROMOTE' if ok else 'HOLD'}")
Saída esperada:
1% canary 3/5000 upper95=0.00176 HOLD
10% canary 28/50000 upper95=0.00081 PROMOTE
10% canary (proxy site) 96/50000 upper95=0.00234 HOLD
O canário de 1% segura não porque as falhas sejam altas, mas porque 5.000 conexões não conseguem limitar a taxa com precisão. O local do proxy segura porque a sua taxa é de fato maior — um problema local a corrigir, não um motivo para uma reversão global.
O portão passa quando o limite é no máximo 0,0009, a linha de base de 0,0005 mais o orçamento de 0,0004. Com 3 falhas em 5.000, a estimativa pontual é 0,0006, já dentro do orçamento, mas o limite de Wilson de 0,00176 não está. Experimente 0 e 1 falha em 5.000: zero dá um limite de cerca de 0,00077 e promove, enquanto uma única falha dá 0,00113 e segura. Só com a taxa da linha de base, 5.000 conexões teriam cerca de 2,5 falhas, então um canário tão pequeno quase sempre segura, e o portão simplesmente espera mais tráfego.
37.3 Monitoramento
Painéis: grupos negociados por serviço, taxa e motivos de fallback, falhas de handshake por caminho, algoritmos de certificado em uso, capacidade das chaves com estado, versões das bibliotecas. Alertas para picos de fallback e para qualquer negociação inesperada somente clássica onde os híbridos são exigidos.
Cada item do painel responde a uma pergunta operacional: o grupo híbrido está sendo negociado, onde as falhas se concentram, quais bibliotecas precisam de atualização e quantas assinaturas restam nas chaves com estado. Os alertas se concentram nas mudanças, para que o engenheiro de plantão olhe o que mudou desde ontem em vez de ler todos os painéis. A BPA revisa se cada alerta levou a uma ação útil e remove os alertas que nunca levam.
37.4 Operações de certificados e chaves
A automação do ciclo de vida dos certificados (por exemplo, o ACME, RFC 8555) torna rotineiras as mudanças de algoritmo: certificados de vida curta podem trocar de algoritmo na renovação. As cerimônias de chaves das novas raízes PQC são planejadas como qualquer cerimônia de raiz, com testemunhas e procedimentos registrados.
Com certificados de noventa dias emitidos via ACME, a BPA pode mover um serviço para um novo algoritmo de assinatura em um único ciclo de renovação, uma vez que os clientes o suportem. Uma cerimônia de raiz leva muito mais tempo para organizar, então a cerimônia da raiz pós-quântica é agendada cedo, com o HSM e as testemunhas reservados com meses de antecedência.
37.5 Exemplo resolvido
O runbook de operações da BPA para o TLS híbrido: revisão diária dos painéis durante a implantação; promover pelos portões; quando o portão segura, investigar por caminho; num pico de fallback, verificar as mudanças recentes; em falhas no local do proxy, aplicar uma exceção específica do caminho, com expiração, e abrir um chamado com o fornecedor.
Cada etapa do runbook corresponde a uma lição do caso: os portões vêm do Laboratório K, a investigação por caminho vem do resultado do local do proxy, e as exceções específicas de caminho vêm da falha do portal das companhias de navegação. Escrever essas etapas significa que o turno da noite trata um portão retido da mesma forma que a equipe de implantação trataria. O runbook é revisado após cada incidente e atualizado quando uma etapa se mostrou pouco clara.
37.6 Erros comuns e limites
- Promover com base em estimativas pontuais de canários pequenos.
- Reversão global para falhas locais.
- Processos manuais de certificados que tornam lenta a mudança de algoritmo.
Um canário pequeno ainda tem um limite de confiança largo, como o Laboratório K mostrou para 5.000 conexões, em que 3 falhas deram uma estimativa pontual de 0,0006, dentro do orçamento, mas um limite superior de 0,00176, então promover com base na estimativa pontual é adivinhação. Uma reversão global por causa do problema do local do proxy removeria a proteção de todos os caminhos saudáveis. Os processos manuais de certificados fazem de cada mudança de algoritmo um projeto, enquanto a renovação automatizada a transforma numa etapa de rotina que acontece a cada noventa dias.
Nota de engenharia
As operações também são responsáveis pela comunicação durante a implantação. Publique uma nota curta de status a cada estágio de promoção, listando o estágio, o limite de falhas medido, as exceções conhecidas e a data da próxima decisão, para que a equipe da central de atendimento reconheça os chamados relacionados e os parceiros possam planejar. Uma central de atendimento que sabe que uma implantação híbrida chegou ontem ao proxy de inspeção do portal das companhias de navegação encaminhará corretamente, em minutos, um conjunto de reclamações de conexão, em vez de tratá-las durante dias como falhas sem relação.
Exercícios
- EX073 — Aritmética do portão. Com linha de base de 5e-4 e orçamento de 4e-4, 30 falhas em 50.000 conexões permitem promover? Use a função do Laboratório K. Rubrica: 3 = decisão correta, com o limite superior mostrado.
- EX074 — Runbook. Escreva a seção do runbook para "a taxa de fallback dobrou durante a noite". Rubrica: 3 = etapas de triagem, responsáveis, escalonamento.
Síntese
As operações transformam a implantação em etapas controladas, com portões estatísticos, monitoramento dos resultados negociados, ciclos de vida de certificados automatizados e respostas específicas por caminho.
Continue estudando — capítulo 37 de 50
← Capítulo 36 · Índice de capítulos do curso · Capítulo 38 →
Siga para a próxima lição escrita.