Capítulo 42 — Segurança quântica e pós-quântica: pesquisa aplicada | Engenharia Segurança quântica e pós-quântica

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 42 publicada. Mapa, exemplo, EX083.

flowchart TD
  N0["42.1 Perguntas vindas da prática"]
  N1["42.2 Pequenos estudos"]
  N2["42.3 Ler pesquisa"]
  N3["42.4 Devolver à comunidade"]
  N4["Nota de engenharia"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX083"]

Desenho lógico

flowchart LR
  N0["42.1 Perguntas vindas da prática"]
  N1["42.2 Pequenos estudos"]
  N2["42.3 Ler pesquisa"]
  N3["42.4 Devolver à comunidade"]
  N4["Nota de engenharia"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX083"]

[42.1 Perguntas vindas da prática]
    |
    v
[42.2 Pequenos estudos]
    |
    v
[42.3 Ler pesquisa]
    |
    v
[42.4 Devolver à comunidade]
    |
    v
[Nota de engenharia]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX083]

Objetivos de aprendizagem

Você vai (1) formular uma pergunta de pesquisa aplicada a partir do trabalho de engenharia; (2) projetar um pequeno estudo com resultados mensuráveis; (3) ler e avaliar criticamente a pesquisa em PQC; e (4) devolver os resultados à comunidade de forma responsável. O capítulo parte dos Capítulos 29, 36 e 38.

42.1 Perguntas vindas da prática

A engenharia levanta perguntas dignas de pesquisa: com que frequência os middleboxes tratam mal ClientHellos grandes num determinado setor? Qual é o tempo de substituição real para diferentes arquiteturas? Quão precisas são as ferramentas de inventário diante de uma verdade de referência adjudicada? Os livros de mestrado e de doutorado desta área desenvolvem esses estudos em profundidade.

Perguntas como essas vêm de dados operacionais que a maioria das organizações já tem, como os logs de falhas de handshake e os registros de mudanças, então um estudo muitas vezes pode começar sem uma nova coleta de dados.

42.2 Pequenos estudos

Defina a pergunta, a população, as medições, a comparação e a análise antes de coletar os dados; use dados sintéticos ou autorizados; relate intervalos e limites. Uma monografia de engenharia (Capítulo 49) pode incluir um estudo assim.

Fixar a análise de antemão evita escolher, depois de ver os dados, a comparação que dá o resultado mais interessante. Um estudo na BPA poderia perguntar se os handshakes híbridos falham mais num modelo de proxy do que em outro, tendo como população um mês de tráfego sintético reproduzido e relatando o resultado como uma diferença nas taxas de falha, com o seu intervalo de confiança. Os limites escritos declaram o que a reprodução não consegue representar, como a diversidade real dos clientes.

42.3 Ler pesquisa

Verifique o que os números de um artigo medem (configurado ou negociado? laboratório ou campo?), se as linhas de base são justas, se o código e os dados estão disponíveis e quão antigos são os resultados — a área anda rápido, e resultados sobre algoritmos em rascunho podem não se aplicar às normas finais.

Um artigo que relata a adoção do híbrido com base nas configurações pode superestimar a proteção real, como a própria experiência da BPA com os números configurados e negociados mostrou. Resultados medidos no Kyber em rascunho podem diferir, em desempenho ou interoperabilidade, do ML-KEM final. Verificar se o código e os dados estão publicados diz ao leitor se o resultado pode ser reproduzido ou precisa ser aceito por confiança. Os engenheiros da BPA anotam esses pontos ao citar um artigo num registro de decisão.

42.4 Devolver à comunidade

Relate os bugs de interoperabilidade aos implementadores, publique resultados agregados anonimizados, contribua com vetores de teste e participe das discussões de normalização. Coordene a divulgação de vulnerabilidades.

O relato da BPA sobre o problema do codepoint obsoleto aos mantenedores da biblioteca do parceiro ajudou outros usuários dessa biblioteca, e não só a BPA. As contribuições de vetores de teste melhoram todas as implementações que os executam. Antes de publicar números agregados, a equipe verifica que nenhum parceiro ou sistema possa ser identificado a partir deles. A participação nas discussões de normalização permite que os operadores levantem problemas práticos, como os limites de tamanho dos handshakes, enquanto os projetos ainda podem mudar.

42.5 Exemplo resolvido

Os engenheiros da BPA perguntam se a sua telemetria passiva subconta a negociação híbrida por causa das extensões cifradas do TLS 1.3. Um pequeno estudo compara as determinações dos logs do servidor e das capturas da rede em 1.000 sessões sintéticas no laboratório e encontra concordância quanto ao grupo de troca de chaves (visível em claro no ServerHello), mas não quanto aos algoritmos dos certificados (cifrados) — um resultado aplicado que muda o projeto da medição.

O resultado explica por que o painel pode relatar a troca de chaves híbrida a partir de dados passivos, mas precisa usar a configuração para os algoritmos dos certificados, um limite declarado mais adiante nas orientações da monografia.

42.6 Erros comuns e limites

Estudos projetados depois da coleta dos dados.
Aplicar resultados de algoritmos em rascunho às normas finais.
Publicar dados organizacionais identificáveis.

Um estudo projetado depois de ver os dados tende a encontrar o que a equipe esperava encontrar, e é por isso que a pergunta e a análise são fixadas primeiro. Os resultados sobre algoritmos em rascunho podem enganar quando aplicados às normas finais, já que detalhes mudaram. Publicar dados identificáveis pode expor parceiros ou fraquezas; a BPA agrega e verifica cada número antes da divulgação, e um segundo engenheiro confirma que nenhum parceiro pode ser reconhecido nas tabelas publicadas.

Nota de engenharia

Os estudos aplicados precisam respeitar as mesmas regras de autorização e minimização que as operações. Use dados sintéticos ou dados de sistemas que você está autorizado a estudar, minimize os identificadores na coleta, obtenha a aprovação do dono dos dados antes de publicar agregados e encaminhe qualquer fraqueza de produto pela divulgação coordenada. Essas restrições raramente enfraquecem um estudo de engenharia; geralmente elas afiam a sua pergunta para aquilo que a organização realmente precisa saber.

Exercícios

EX083 — Pergunta. Escreva uma pergunta de pesquisa aplicada a partir do seu próprio contexto de engenharia, com um plano de medição. Rubrica: 3 = mensurável e delimitada.
EX084 — Verificação de artigo. Aplique a lista de verificação de 42.3 a um artigo sobre desempenho de PQC à sua escolha. Rubrica: 3 = cada verificação respondida com evidências.

Síntese

A pesquisa aplicada nasce de perguntas de engenharia, usa pequenos estudos planejados de antemão, lê a literatura criticamente e devolve resultados de forma responsável.