Capítulo 4 — Segurança quântica e pós-quântica: métodos centrais
Mapa da aula
Aula 04 publicada. Mapa, exemplo, EX016.
flowchart TD
N0["4.1 Fontes do inventário"]
N1["4.2 Atividade prática — Laboratório I"]
N2["4.3 Graus de evidência"]
N3["4.4 Classes de exposição"]
N4["4.5 Os desconhecidos como trabalho"]
N5["4.6 Caso resolvido"]
N6["4.7 Tarefa prática"]
N7["4.9 Conduzindo o inventário como um ciclo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX016"]
Desenho lógico
flowchart LR
N0["4.1 Fontes do inventário"]
N1["4.2 Atividade prática — Laboratório I"]
N2["4.3 Graus de evidência"]
N3["4.4 Classes de exposição"]
N4["4.5 Os desconhecidos como trabalho"]
N5["4.6 Caso resolvido"]
N6["4.7 Tarefa prática"]
N7["4.9 Conduzindo o inventário como um ciclo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX016"]
[4.1 Fontes do inventário]
|
v
[4.2 Atividade prática — Laboratório I]
|
v
[4.3 Graus de evidência]
|
v
[4.4 Classes de exposição]
|
v
[4.5 Os desconhecidos como trabalho]
|
v
[4.6 Caso resolvido]
|
v
[4.7 Tarefa prática]
|
v
[4.9 Conduzindo o inventário como um ciclo]
|
v
[Exemplo resolvido] --> [Exercício EX016]
Objetivos de aprendizagem
Você vai (1) conduzir um inventário usando várias fontes; (2) construir e ler uma lista de materiais criptográficos (CBOM); (3) classificar evidências; (4) classificar a exposição; e (5) acompanhar os desconhecidos como trabalho.
4.1 Fontes do inventário
Exportações de configuração, listas de certificados da AC, observações de rede feitas pelas equipes técnicas, documentação das aplicações e questionários a fornecedores. Cada uma responde a perguntas diferentes; combine-as.
Na MTI, a troca de chaves do portal de corretores foi vista em observação passiva, o seu certificado veio da configuração e o algoritmo de assinatura do aplicativo de sinistros só era conhecido pelo código. Nenhuma fonte isolada cobriu os seis ativos. Registre qual fonte forneceu cada linha da CBOM, porque a fonte define a classificação da evidência. Anote onde duas fontes divergem e pergunte ao responsável qual está atualizada.
4.2 Atividade prática — Laboratório I
# Lab I (ch 4): aggregate a synthetic cryptographic bill of materials (CBOM) and measure coverage.
records = [ # (asset, function, algorithm, source)
("broker-portal", "key-exchange", "X25519MLKEM768", "passive"), ("broker-portal", "signature", "RSA-2048", "config"),
("claims-app", "key-exchange", "ECDHE-P256", "passive"), ("claims-app", "signature", "ECDSA-P256", "code"),
("policy-db", "key-exchange", "RSA-kex", "config"), ("billing", "data-at-rest", "AES-256-GCM", "code"),
("call-recorder", "unknown", "unknown", "none"), ("office-vpn", "key-exchange", "ECDHE-P384", "config")]
VULN = {"RSA-2048", "ECDHE-P256", "ECDSA-P256", "RSA-kex", "ECDHE-P384"}
assets = {r[0] for r in records}
unknown = {r[0] for r in records if r[2] == "unknown"}
vuln = [r for r in records if r[2] in VULN]
print(f"assets {len(assets)}, unknown {len(unknown)} ({100*len(unknown)/len(assets):.0f}%)")
print(f"quantum-vulnerable uses {len(vuln)}:", ", ".join(f"{a}/{f}" for a, f, _, _ in vuln))
print("hybrid key exchange present on:", [r[0] for r in records if "MLKEM" in r[2]])
Saída esperada:
assets 6, unknown 1 (17%)
quantum-vulnerable uses 5: broker-portal/signature, claims-app/key-exchange, claims-app/signature, policy-db/key-exchange, office-vpn/key-exchange
hybrid key exchange present on: ['broker-portal']
O script conta os ativos, sinaliza os usos vulneráveis ao quântico e lista onde a troca de chaves híbrida já está presente. Repare que o AES-256-GCM do faturamento não é sinalizado, porque a cifragem simétrica desse tamanho continua adequada, e que o gravador de chamadas é contado como desconhecido, e não como seguro. A proporção de 17 % de desconhecidos é a primeira medida de destaque: um ativo em seis ainda não pode ser avaliado. Execute-o com um registro extra seu e verifique se as contagens mudam como você espera.
4.3 Graus de evidência
Uma classificação simples: A, observado em operação; B, configuração oficial; C, inferido da documentação ou do código; D, alegação do fornecedor; U, desconhecido. Prioridades baseadas em evidências D ou U precisam de verificação antes de se gastar dinheiro.
Os graus também dizem como melhorar a evidência: um D pode subir pedindo à equipe técnica que observe o produto em operação, e um C, obtendo a configuração. Escreva o grau ao lado de cada registro, e não só de cada ativo, já que um ativo pode ter graus diferentes para funções diferentes.
4.4 Classes de exposição
Gravar agora (HNDL): troca de chaves clássica transportando dados de vida longa. Forjar depois: assinaturas clássicas confiáveis por longos períodos ou difíceis de substituir. Adequado: cifragem simétrica e hashes em bons tamanhos. Desconhecido.
No extrato do Laboratório I, a troca de chaves RSA do policy-db é de gravar agora se transportar dados de vida longa, a assinatura RSA-2048 do portal de corretores é de forjar depois, o AES-256-GCM do faturamento é adequado e o gravador de chamadas é desconhecido. Classifique cada uso de criptografia separadamente, já que um ativo pode cair em duas classes. A classe decide quais controles se aplicam.
4.5 Os desconhecidos como trabalho
Todo desconhecido vira uma tarefa com responsável e prazo: perguntar ao fornecedor, pedir uma exportação de configuração, pedir à equipe técnica que observe. Acompanhe a proporção de desconhecidos como medida de destaque.
Na MTI, o U do gravador de chamadas virou uma tarefa de questionário ao seu fornecedor, com responsável nomeado e prazo. A proporção de desconhecidos é uma medida melhor do progresso do inventário do que o número de ativos listados, porque não pode ser melhorada contando duas vezes os ativos fáceis. Feche cada tarefa com evidências.
4.6 Caso resolvido
O primeiro extrato da CBOM da MTI corresponde ao Laboratório I: seis ativos, cinco usos vulneráveis ao quântico, um desconhecido (o gravador de chamadas). Graus: portal de corretores A na troca de chaves (observada) e B na assinatura (configuração), aplicativo de sinistros A na troca de chaves e C na assinatura (apenas código), policy DB B, gravador de chamadas U, VPN dos escritórios B. Tarefas: questionário ao fornecedor do gravador de chamadas; confirmar com o responsável o algoritmo de assinatura do aplicativo de sinistros.
Os graus decidem o que acontece em seguida. Os itens com A ou B podem ser priorizados com confiança; o gravador de chamadas não pode ser priorizado de forma alguma até que o seu fornecedor responda, e a entrada de assinatura do aplicativo de sinistros precisa da confirmação do responsável, porque o código sozinho pode não refletir o que está implantado.
4.7 Tarefa prática
Atribua grau e classe a cada registro do Laboratório I e escreva tarefas para os desconhecidos.
Dê a cada registro um grau de A a U e uma classe de exposição, com uma linha explicando cada escolha. Para o gravador de chamadas, escreva uma tarefa com responsável, prazo e a pergunta a fazer. Depois compare com o caso resolvido e explique qualquer diferença. Um colega deve conseguir reproduzir os seus graus apenas pela coluna de fonte. Anote quais registros você não conseguiu classificar e por quê.
4.8 Erros comuns e limites
- Uma única fonte.
- Tratar alegações de fornecedores como observações.
- Desconhecidos sem responsáveis.
Uma única fonte deixa pontos cegos: a configuração sozinha não mostra o que é negociado, e a observação sozinha não vê os certificados cifrados. Uma alegação de fornecedor tratada como observação pode empurrar dinheiro para um ativo que já está protegido, ou afastá-lo de um que não está. Um desconhecido sem responsável simplesmente continua desconhecido, trimestre após trimestre, enquanto a medida de destaque estagna. Confira o extrato da MTI quanto a cada um deles antes de confiar nele e corrija o que encontrar.
4.9 Conduzindo o inventário como um ciclo
Um inventário não se faz uma única vez. Conduza-o como um ciclo: coletar (exportações, questionários, observações), consolidar na CBOM, atribuir graus, classificar, abrir tarefas para os desconhecidos e as lacunas e repetir a cada trimestre. Cada ciclo deve mostrar três números à gestão: quantos ativos de nível 1 têm evidências A ou B, quantos são desconhecidos e quantos já estão protegidos. Quando um fornecedor responde a um questionário, o grau dos seus produtos passa de U para D; quando uma equipe técnica confirma a resposta por observação, passa para A. Esse movimento é progresso real, mesmo antes de qualquer algoritmo mudar, porque transforma palpites em fatos sobre os quais os orçamentos podem se basear.
Mantenha o acesso à CBOM restrito a quem precisa dela e compartilhe de forma mais ampla apenas os resumos.
Exercícios
- EX016 — Leitura do Laboratório I. Qual ativo já tem troca de chaves híbrida, e o que continua clássico nele? Rubrica: 3 = broker-portal; a sua assinatura (RSA-2048).
- EX017 — Graus. Atribua graus a: handshake observado; e-mail do fornecedor; registro no banco de dados da AC; diagrama de arquitetura. Rubrica: 3 = A, D, B, C.
- EX018 — Classes. Classifique os cinco usos vulneráveis do Laboratório I pela classe de exposição. Rubrica: 3 = trocas de chaves HNDL; assinaturas forjar depois.
- EX019 — Proporção de desconhecidos. Qual é a proporção de desconhecidos do Laboratório I, e como você a relataria? Rubrica: 3 = 17 % dos ativos, mostrada ao lado de cada número.
- EX020 — Tarefa. Escreva a tarefa para o gravador de chamadas. Rubrica: 3 = pergunta, método, responsável, prazo.
Síntese
Uma CBOM com várias fontes e evidências graduadas classifica a exposição e transforma os desconhecidos em trabalho acompanhado.
Continue estudando — capítulo 04 de 12
← Capítulo 03 · Índice de capítulos do curso · Capítulo 05 →
Siga para a próxima lição escrita.