Capítulo 2 — Escopo, permissão e prática segura
Mapa da aula
Aula 02 publicada. Mapa, exemplo, EX014.
flowchart TD
N0["2.1 Por que a permissão importa"]
N1["2.2 Um escopo simples"]
N2["2.3 Coletando apenas o necessário"]
N3["2.4 Tratamento responsável"]
N4["2.5 Experimentos inseguros"]
N5["2.6 Relatando com clareza"]
N6["2.7 Caso resolvido"]
N7["2.8 Atividades práticas"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX014"]
Desenho lógico
flowchart LR
N0["2.1 Por que a permissão importa"]
N1["2.2 Um escopo simples"]
N2["2.3 Coletando apenas o necessário"]
N3["2.4 Tratamento responsável"]
N4["2.5 Experimentos inseguros"]
N5["2.6 Relatando com clareza"]
N6["2.7 Caso resolvido"]
N7["2.8 Atividades práticas"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX014"]
[2.1 Por que a permissão importa]
|
v
[2.2 Um escopo simples]
|
v
[2.3 Coletando apenas o necessário]
|
v
[2.4 Tratamento responsável]
|
v
[2.5 Experimentos inseguros]
|
v
[2.6 Relatando com clareza]
|
v
[2.7 Caso resolvido]
|
v
[2.8 Atividades práticas]
|
v
[Exemplo resolvido] --> [Exercício EX014]
Objetivos de aprendizagem
Você vai (1) explicar por que a permissão é essencial antes de verificar qualquer sistema; (2) escrever um escopo simples; (3) coletar apenas as informações de que precisa; (4) tratar com responsabilidade o que encontrar; (5) evitar "experimentos" inseguros; e (6) relatar com clareza.
2.1 Por que a permissão importa
Olhar como um site ou serviço protege as suas conexões pode parecer inofensivo, e o uso comum — visitar um site no seu navegador — não tem problema. Mas sondar sistemas deliberadamente, executar ferramentas de varredura ou tentar fazer uma conexão usar configurações mais fracas é diferente: sem a permissão do dono, isso pode ser ilegal, pode atrapalhar o serviço e quebra a confiança. Os profissionais sempre têm uma permissão por escrito que diz o que podem fazer. Neste curso, você só vai trabalhar com os seus próprios dispositivos, com os sistemas da padaria mediante o acordo por escrito de Priya e com exemplos de laboratório no seu próprio computador.
2.2 Um escopo simples
Um escopo responde a cinco perguntas: Quais sistemas posso olhar? Como posso olhar (por exemplo, ler configurações, ler documentos, usar o meu navegador normalmente)? Quando? O que vou fazer com as informações? A quem ligo se algo parecer errado? Exemplo: "Com o acordo de Priya em 1º de outubro, posso revisar as páginas de configuração das contas da padaria, a documentação dos provedores e os detalhes de conexão do meu próprio navegador com a loja online entre 1º e 31 de outubro. Vou manter as anotações numa pasta compartilhada que só Priya e eu podemos acessar. Não vou executar ferramentas de varredura nem testar nada no sistema de pagamentos. Se algo parecer errado, vou avisar Priya e a equipe de suporte do provedor."
2.3 Coletando apenas o necessário
Para entender a prontidão quântica, você precisa de fatos como qual provedor opera um serviço, quais configurações de segurança ou versões ele usa e por quanto tempo os dados precisam ser guardados. Você não precisa de nomes de clientes, números de cartão, senhas nem do conteúdo das mensagens. Anotar menos é mais seguro: se as suas anotações se perderem, nada sensível vaza.
Na padaria, uma anotação útil poderia dizer: loja online, operada pelo provedor da loja virtual, contas de clientes guardadas por cerca de dez anos. Ela não incluiria o nome nem o endereço de nenhum cliente. Se precisar de um exemplo para explicar algo, invente um, em vez de copiar dados reais.
2.4 Tratamento responsável
Se você se deparar com algo sensível ou preocupante — uma senha escrita num post-it, uma pasta compartilhada aberta a todos, um alerta de um provedor —, não explore mais. Avise o dono (Priya) imediatamente e sugira contatar o provedor. Nunca tente "testar" se uma senha encontrada funciona. Se achar que encontrou uma fraqueza no produto de uma empresa, avise a empresa em particular; não publique nada sobre isso.
Anote o que viu, onde e quando, sem copiar o próprio item sensível. Uma anotação como post-it com uma senha no monitor do escritório, 9 de outubro, comunicado a Priya é suficiente. O dono e o provedor decidem o que acontece em seguida; a sua tarefa é avisá-los rapidamente e parar por aí.
2.5 Experimentos inseguros
Alguns guias online mostram como forçar uma conexão a usar configurações mais antigas e mais fracas ("downgrade") ou como capturar o tráfego de rede de outras pessoas. Isso só é apropriado em laboratórios isolados, conduzidos por profissionais treinados e com permissão. Neste curso, os laboratórios rodam inteiramente no seu próprio computador, com dados inventados.
Se vir um guia desses, você ainda pode aprender lendo-o, mas não siga os passos em nenhuma rede que use, incluindo o Wi-Fi da padaria. Se um colega ou amigo sugerir tentar um deles, explique que isso poderia derrubar as conexões de outras pessoas e que é preciso primeiro a permissão do dono da rede.
2.6 Relatando com clareza
Uma boa anotação diz: o que você olhou, quando, como, o que encontrou, por que isso importa e o que sugere. Exemplo: "8 de outubro, página da conta da padaria no provedor de e-mail (somente leitura): a página de ajuda do provedor diz que as conexões usam TLS moderno e lista a troca de chaves pós-quântica como 'em implantação'. Importa porque os e-mails dos funcionários incluem anexos da folha de pagamento. Sugestão: pedir uma data ao provedor."
Anotações curtas são mais fáceis de usar do que as longas. Escreva cada anotação no dia em que fizer a observação e mantenha a data e a fonte junto dela. Se depois descobrir algo que muda a anotação, acrescente uma correção datada em vez de editar a original, para que Priya possa ver o que se sabia e quando.
2.7 Caso resolvido
Um colega diz: "Vamos varrer o Wi-Fi do shopping para ver os dispositivos de quem são vulneráveis ao quântico." A resposta segura: "Não temos permissão, e isso poderia expor dados de outras pessoas. Em vez disso, vamos olhar as configurações dos nossos próprios celulares e ler a documentação pública do provedor do Wi-Fi."
A resposta recusa com educação e oferece uma alternativa segura que ainda ensina algo. Ela também explica o porquê: os dados de outras pessoas e a falta de permissão. Se o colega insistir, o certo é parar e conversar com um professor ou com o dono do local, em vez de discutir.
2.8 Atividades práticas
- Escreva um escopo para revisar as configurações do roteador da sua casa. 2. Liste três informações que você não anotaria durante uma revisão. 3. Reescreva uma anotação vaga ("o e-mail está ok, acho") como uma anotação clara.
Na primeira atividade, use as cinco perguntas de escopo vistas antes neste capítulo. Na segunda, pense nas coisas que causariam dano se as suas anotações se perdessem. Na terceira, acrescente à anotação vaga o quê, quando, como e a fonte, e remova a palavra acho.
2.9 Erros comuns
- Pensar "é público, então posso testar".
- Anotar senhas ou dados de clientes.
- Investigar mais depois de encontrar algo sensível.
- Publicar fraquezas antes que o dono possa corrigi-las.
Cada erro tem uma correção simples. Público significa que qualquer pessoa pode visitar, não que qualquer pessoa pode testar. As anotações devem conter fatos sobre configurações e provedores, nunca segredos. Encontrar algo sensível é o sinal para parar e avisar o dono. E as fraquezas são comunicadas em particular, para que o dono possa corrigi-las primeiro.
Exercícios
- EX014 — Permissão. Por que é preciso permissão antes de executar uma ferramenta de varredura num site? Rubrica: 3 = legalidade, interrupção, confiança.
- EX015 — Uso comum. É aceitável visitar um site no seu navegador e olhar os detalhes do cadeado? Explique. Rubrica: 3 = sim, uso comum; contraste com a sondagem.
- EX016 — Cinco perguntas. Liste as cinco perguntas a que um escopo responde. Rubrica: 3 = o quê, como, quando, uso dos dados, a quem ligar.
- EX017 — Escrever um escopo. Escreva um escopo para revisar as configurações do portal dos funcionários da BBO. Rubrica: 3 = os cinco elementos.
- EX018 — Não coletar. Nomeie três coisas a não coletar. Rubrica: 3 = números de cartão, senhas, conteúdo das mensagens (ou semelhante).
- EX019 — Senha encontrada. O que você faz se encontrar uma senha num post-it? Rubrica: 3 = não usar, avisar o dono, sugerir a troca.
- EX020 — Fraqueza num produto. Como você deve comunicar uma fraqueza no produto de uma empresa? Rubrica: 3 = em particular à empresa, sem publicação.
- EX021 — Downgrade. Por que os experimentos de downgrade não são para este curso? Rubrica: 3 = risco, exigem laboratório isolado e permissão.
- EX022 — Anotação clara. Reescreva "loja virtual ok" como uma anotação clara. Rubrica: 3 = o quê, quando, como, constatação, porquê, sugestão.
- EX023 — Colega. Responda a um colega que quer varrer um Wi-Fi público. Rubrica: 3 = recusar, motivo, alternativa segura.
- EX024 — Armazenamento. Onde devem ser guardadas as anotações da revisão? Rubrica: 3 = pasta compartilhada privada com o dono, não pública.
- EX025 — Algo errado. O que você faz se, durante a revisão, um serviço parar de funcionar? Rubrica: 3 = parar, avisar o dono/provedor, anotar o horário.
- EX026 — Exemplos rotulados. Por que este livro rotula os exemplos como "sintéticos"? Rubrica: 3 = evitar confusão com organizações reais.
Síntese
A prática segura começa com a permissão e um escopo claro, coleta apenas o necessário, trata com responsabilidade as descobertas sensíveis, evita experimentos arriscados e relata com clareza.
Continue estudando — capítulo 02 de 04
← Capítulo 01 · Índice de capítulos do curso · Capítulo 03 →
Siga para a próxima lição escrita.