Capítulo 5 — Segurança quântica e pós-quântica: ferramentas e interpretação
Mapa da aula
Aula 05 publicada. Mapa, exemplo, EX021.
flowchart TD
N0["5.1 O que as ferramentas mostram"]
N1["5.2 Atividade prática — Laboratório T"]
N2["5.3 Pontos cegos"]
N3["5.4 Interpretando questionários"]
N4["5.5 Da saída à constatação"]
N5["5.6 Caso resolvido"]
N6["5.7 Tarefa prática"]
N7["5.8 Fazendo a pergunta de acompanhamento certa"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX021"]
Desenho lógico
flowchart LR
N0["5.1 O que as ferramentas mostram"]
N1["5.2 Atividade prática — Laboratório T"]
N2["5.3 Pontos cegos"]
N3["5.4 Interpretando questionários"]
N4["5.5 Da saída à constatação"]
N5["5.6 Caso resolvido"]
N6["5.7 Tarefa prática"]
N7["5.8 Fazendo a pergunta de acompanhamento certa"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX021"]
[5.1 O que as ferramentas mostram]
|
v
[5.2 Atividade prática — Laboratório T]
|
v
[5.3 Pontos cegos]
|
v
[5.4 Interpretando questionários]
|
v
[5.5 Da saída à constatação]
|
v
[5.6 Caso resolvido]
|
v
[5.7 Tarefa prática]
|
v
[5.8 Fazendo a pergunta de acompanhamento certa]
|
v
[Exemplo resolvido] --> [Exercício EX021]
Objetivos de aprendizagem
Você vai (1) ler a saída de auditorias de configuração e de ferramentas de inventário; (2) distinguir "oferecido" de "negociado"; (3) reconhecer os pontos cegos das ferramentas; (4) interpretar as respostas dos questionários a fornecedores; e (5) transformar a saída das ferramentas em constatações.
5.1 O que as ferramentas mostram
As auditorias de configuração mostram o que um serviço oferece e em que ordem. Os resumos de logs das equipes técnicas mostram o que foi negociado. Os inventários de certificados mostram os algoritmos de assinatura e as datas de expiração. Os questionários a fornecedores mostram alegações. Como profissional, você raramente vai executar ferramentas ativas por conta própria; vai ler e interpretar a saída delas.
Na MTI, a auditoria de configuração do Laboratório T mostrou o que o portal de sinistros oferecia; apenas os resumos de logs podiam mostrar o que ele negociava. Mantenha o tipo de cada saída ao lado da sua constatação, para que os leitores saibam se ela descreve a intenção ou a operação.
5.2 Atividade prática — Laboratório T
# Lab T (ch 5): audit synthetic TLS server configurations for post-quantum key exchange and preference order.
configs = { # service: ordered list of offered groups (server preference) - synthetic
"quote-api": ["X25519MLKEM768", "X25519", "secp256r1"],
"claims-portal": ["X25519", "X25519MLKEM768", "secp256r1"],
"insurer-sftp": ["ecdh-sha2-nistp256"],
"hr-intranet": ["X25519", "secp384r1"]}
HYBRID = {"X25519MLKEM768", "SecP256r1MLKEM768", "SecP384r1MLKEM1024"}
for svc, groups in configs.items():
offered = [g for g in groups if g in HYBRID]
if not offered: verdict = "CLASSICAL ONLY"
elif groups[0] in HYBRID: verdict = "OK (hybrid preferred)"
else: verdict = "WARN hybrid offered but not preferred"
print(f"{svc:17s} {verdict}")
Saída esperada:
quote-api OK (hybrid preferred)
claims-portal WARN hybrid offered but not preferred
insurer-sftp CLASSICAL ONLY
hr-intranet CLASSICAL ONLY
O portal de sinistros "oferece, mas não prefere" o híbrido: uma auditoria de configuração que verificasse apenas a presença o relataria como concluído, mas a maioria das conexões continuará usando troca de chaves clássica. Pergunte sempre se uma ferramenta verifica a preferência e a negociação real.
O script verifica duas coisas em cada serviço: se algum grupo híbrido é oferecido e se ele vem primeiro na ordem de preferência do servidor. A API de cotação passa nas duas verificações. O servidor SFTP e a intranet de RH falham na primeira. Repare que o script trabalha apenas com configurações; ele não consegue mostrar o que os clientes realmente negociam.
5.3 Pontos cegos
Um sensor passivo no TLS 1.3 vê o grupo negociado, mas não o certificado, que é cifrado. Um scanner ativo com uma biblioteca antiga relata tudo como clássico. Uma exportação de configuração pode estar desatualizada. Um questionário pode descrever uma versão do produto que a MTI não executa. Escreva o ponto cego ao lado de cada resultado.
No portal de corretores da MTI, um sensor passivo consegue mostrar X25519MLKEM768, mas não o certificado RSA-2048, que veio da configuração. Combine sempre um resultado com a fonte que cobre o seu ponto cego antes de relatá-lo.
5.4 Interpretando questionários
As boas respostas nomeiam algoritmos e conjuntos de parâmetros (ML-KEM-768 conforme a FIPS 203), protocolos (grupo híbrido do TLS 1.3 conforme a RFC 10024; IKEv2 conforme a RFC 9370), versões de produto e datas, e oferecem acesso para teste. As respostas fracas dizem "pronto para PQC" ou "roteiro em revisão". Pontue as respostas de forma consistente, por exemplo 0 = sem resposta, 1 = alegação sem data, 2 = roteiro datado que nomeia algoritmos e protocolos, 3 = entregue e verificável.
Aplique a mesma escala a todos os fornecedores e mantenha o texto da resposta junto da pontuação, para que um revisor possa conferi-la. Uma pontuação 2 continua sendo grau D até que o produto seja observado. Onde um fornecedor oferecer acesso para teste, peça à equipe técnica da MTI que o use e eleve o grau com o que ela encontrar.
5.5 Da saída à constatação
Uma constatação declara observação, fonte, data, impacto, recomendação e responsável. "Portal de sinistros: grupo híbrido oferecido, mas X25519 preferido (auditoria de configuração, 6 de outubro). Impacto: as sessões de sinistros continuam expostas a HNDL. Recomendação: reordenar os grupos para preferir X25519MLKEM768; verificar com os logs. Responsável: Web Platform."
Cada elemento tem um propósito: a fonte e a data permitem ao leitor julgar a atualidade, o impacto liga o resultado à exposição e o responsável torna alguém encarregado. Uma constatação sem algum deles tende a ser discutida em vez de corrigida. Escreva as constatações de modo que o responsável possa agir sem lhe perguntar o que você quis dizer.
5.6 Caso resolvido
A auditoria sinaliza o insurer-sftp como apenas clássico. A equipe de infraestrutura confirma que a versão do OpenSSH é anterior ao suporte híbrido. Constatação aberta: atualizar e habilitar mlkem768x25519-sha256; coordenar com as resseguradoras cujos clientes podem ser antigos; responsável: Infraestrutura; prazo de um trimestre.
Repare que a constatação foi aberta apenas depois que a equipe de infraestrutura confirmou a versão; a auditoria sozinha podia estar desatualizada. A coordenação com as resseguradoras faz parte da constatação porque uma atualização do lado da MTI protege apenas os parceiros cujos clientes também suportam o método híbrido.
5.7 Tarefa prática
Transforme cada linha do Laboratório T numa constatação ou numa nota de "conforme o esperado".
Para cada linha, escreva observação, fonte, data, impacto, recomendação e responsável, ou uma nota de uma linha explicando por que nenhuma ação é necessária. A API de cotação deve ser uma nota de "conforme o esperado"; o portal de sinistros e os dois serviços clássicos precisam de constatações. Pergunte se a intranet de RH transporta dados de vida longa antes de decidir a sua prioridade. Mantenha cada constatação em poucas linhas e nomeie o responsável. Peça a um colega que as revise.
5.8 Fazendo a pergunta de acompanhamento certa
Quando a saída de uma ferramenta o surpreender, faça três perguntas à equipe técnica antes de abrir uma constatação: a ferramenta é atual o bastante para ver algoritmos pós-quânticos; os dados são recentes; e o resultado coincide com outra fonte? Muitas constatações aparentes desaparecem — ou ficam mais graves — depois dessas verificações.
Na MTI, fazer essas perguntas sobre o resultado do insurer-sftp levou à verificação de versão da equipe de infraestrutura, que transformou um resultado de ferramenta numa constatação confirmada. Registre as respostas às três perguntas junto da constatação, para que um revisor veja o que foi verificado e quando.
5.9 Erros comuns e limites
- Contar a presença como sucesso.
- Ignorar os pontos cegos.
- Pontuar as respostas dos questionários de forma inconsistente.
Cada erro leva a um relatório errado. Contar a presença teria marcado o portal de sinistros da MTI como concluído enquanto a maioria das sessões continuava clássica. Ignorar os pontos cegos pode esconder um certificado clássico atrás de um resultado híbrido. Pontuações inconsistentes nos questionários tornam os fornecedores impossíveis de comparar e convidam a reclamações dos que foram pontuados com rigor. Confira toda constatação baseada em ferramentas quanto a esses três erros antes que ela entre no rastreador. Corrija o que encontrar antes de relatar.
Exercícios
- EX021 — Oferecido versus negociado. Explique a diferença usando o portal de sinistros. Rubrica: 3 = a ordem/preferência causa negociação clássica.
- EX022 — Ponto cego. O que um sensor passivo de TLS 1.3 não consegue ver, e de onde você obtém isso? Rubrica: 3 = o certificado; configuração/inventário de certificados.
- EX023 — Pontuar respostas. Pontue: "pronto para PQC"; "ML-KEM-768 híbrido no TLS 1.3 a partir da v8.2, entregue"; "roteiro 2027 para a RFC 9370". Rubrica: 3 = 1, 3 (se verificável) e 2.
- EX024 — Constatação. Escreva a constatação para a hr-intranet. Rubrica: 3 = observação, fonte, data, impacto, recomendação, responsável.
- EX025 — Acompanhamento. Liste as três perguntas a fazer antes de abrir uma constatação surpreendente. Rubrica: 3 = atualidade da ferramenta, recência dos dados, corroboração.
Síntese
Os profissionais interpretam a saída das ferramentas e dos questionários atentos à preferência, à negociação e aos pontos cegos, e a transformam em constatações precisas.
Continue estudando — capítulo 05 de 12
← Capítulo 04 · Índice de capítulos do curso · Capítulo 06 →
Siga para a próxima lição escrita.