◇ OpenCyber Academy
Pós-graduação · Capítulo 2 · Português

Capítulo 2 — Criptografia e serviços de confiança: prática atual

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Capítulo 2 — Criptografia e serviços de confiança: prática atual

Mapa da aula

Aula 02 publicada. Mapa, exemplo, EX006.

flowchart TD
  N0["2.1 O que significa prática atual"]
  N1["Laboratório — Inventário de endpoints"]
  N2["2.2 Ler o inventário"]
  N3["2.3 Tipos de chave e certificados"]
  N4["2.4 Onde a Corvane está atrasada"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX006"]

Desenho lógico

flowchart LR
  N0["2.1 O que significa prática atual"]
  N1["Laboratório — Inventário de endpoints"]
  N2["2.2 Ler o inventário"]
  N3["2.3 Tipos de chave e certificados"]
  N4["2.4 Onde a Corvane está atrasada"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX006"]

[2.1 O que significa prática atual]
    |
    v
[Laboratório — Inventário de endpoints]
    |
    v
[2.2 Ler o inventário]
    |
    v
[2.3 Tipos de chave e certificados]
    |
    v
[2.4 Onde a Corvane está atrasada]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX006]

Objetivos de aprendizagem

Você vai (1) levantar a prática criptográfica atual a partir das normas; (2) construir e ler um inventário de endpoints; (3) identificar onde uma organização está atrasada em relação à prática atual.

2.1 O que significa prática atual

A prática atual é definida por normas e por padrões amplamente implantados, e não pelo marketing dos fornecedores. Para a segurança do transporte, ela é o TLS 1.3 da RFC 8446, com o TLS 1.2 ainda aceitável quando configurado com cuidado e as versões mais antigas desativadas. Para a troca de chaves, é o Diffie-Hellman efêmero sobre curvas elípticas, como o X25519 da RFC 7748; para as assinaturas, ECDSA ou EdDSA conforme o FIPS 186-5; para a cifração simétrica, AES-GCM conforme a SP 800-38D. O gerenciamento de chaves segue a SP 800-57 Part 1, e as transições de algoritmos seguem a SP 800-131A. Leila escreve um resumo de uma página dessas referências para os engenheiros da Corvane, para que os debates posteriores partam de uma base comum.

Laboratório — Inventário de endpoints

"""Summarise a synthetic TLS endpoint inventory for an organisation-scale decision."""
from collections import Counter
# (business unit, highest TLS version offered, accepts legacy <=1.1?, cert key type)
EP = ([("ports", "1.3", False, "ecdsa")] * 46 + [("ports", "1.2", True, "rsa2048")] * 9 +
      [("fleet", "1.3", False, "ecdsa")] * 38 + [("fleet", "1.2", False, "rsa2048")] * 21 +
      [("finance", "1.3", False, "rsa3072")] * 30 + [("finance", "1.2", True, "rsa2048")] * 4 +
      [("legacy-edi", "1.2", True, "rsa2048")] * 12)

def main():
    n = len(EP)
    print(f"endpoints {n}")
    for v, c in sorted(Counter(e[1] for e in EP).items()):
        print(f"  max TLS {v}: {c} ({100 * c / n:.1f}%)")
    leg = Counter(e[0] for e in EP if e[2])
    print("legacy-accepting by unit:", dict(leg), "total", sum(leg.values()))

if __name__ == "__main__":
    main()

Execute com python3 lab_inventory.py. Saída verificada:

endpoints 160
  max TLS 1.2: 46 (28.8%)
  max TLS 1.3: 114 (71.2%)
legacy-accepting by unit: {'ports': 9, 'finance': 4, 'legacy-edi': 12} total 25

2.2 Ler o inventário

O inventário sintético da Corvane lista 160 endpoints TLS. Desses, 114 (71,2 por cento) oferecem TLS 1.3 e 46 (28,8 por cento) chegam no máximo ao TLS 1.2. Vinte e cinco endpoints ainda aceitam TLS 1.1 ou anterior: nove nos portos, quatro nas finanças e todos os doze da plataforma EDI legada. Leila observa que a unidade da frota tem muitos endpoints apenas com TLS 1.2, mas nenhum que aceite versões legadas, de modo que está atrasada, mas não é perigosa, ao passo que o EDI legado está ao mesmo tempo atrasado e exposto. O inventário muda a conversa de "a Corvane é insegura" para uma lista específica de unidades, contagens e donos.

2.3 Tipos de chave e certificados

O inventário também mostra os tipos de chave dos certificados: ECDSA nos endpoints modernos, RSA 3072 nas finanças e RSA 2048 nos serviços mais antigos. O RSA 2048 continua aceitável segundo as orientações atuais do NIST, por ora, mas Leila o registra como candidato à migração, porque certificados e chaves de vida longa precisarão passar para alternativas mais fortes ou pós-quânticas. Ela confere as validades dos certificados e descobre que a plataforma EDI usa certificados válidos por dois anos, renovados à mão, enquanto a maioria das outras unidades usa certificados automatizados de noventa dias por meio do ACME, a RFC 8555. As validades são um indicador indireto da maturidade da automação.

2.4 Onde a Corvane está atrasada

Leila resume as lacunas em relação à prática atual: aceitação de protocolos legados em três unidades; gerenciamento manual de certificados no EDI; nenhum registro central de quais aplicações usam quais chaves; e nenhuma avaliação de prontidão pós-quântica. Ela as ordena por exposição e esforço. A aceitação de protocolos legados nos endpoints EDI voltados para a internet fica em primeiro lugar, porque os parceiros se conectam pela internet. Ela evita exagerar: nenhuma das lacunas implica uma violação conhecida, e várias têm controles compensatórios, como restrições de rede. Apresentar as lacunas com seu contexto mantém os executivos focados, em vez de alarmados.

Exemplo resolvido

Leila lê um inventário de 160 endpoints, encontra 25 endpoints que aceitam protocolos legados, concentrados no EDI, nos portos e nas finanças, e ordena quatro lacunas com seu contexto.

Caso sintético. O inventário é inventado; as normas citadas são reais.

Erros e limites

Inventários feitos por varredura deixam passar serviços apenas internos e configurações do lado do cliente. O RSA 2048 é aceitável hoje, mas não é uma escolha de longo prazo.

Exercícios

Síntese

A prática atual é definida pelas normas; um inventário a traduz em lacunas específicas, com donos, ordenadas por exposição.

Continue estudando — aula 02 (capítulo 02 de 12)

← Capítulo 01 · Índice das aulas · Capítulo 03 →

Continue para a próxima aula já escrita.