Capítulo 14 — Criptografia e serviços de confiança: automação

Mapa da aula

Aula 14 publicada. Mapa, exemplo, EX053.

flowchart TD
  N0["14.1 Renovação com ACME"]
  N1["14.2 Planejar a rotação"]
  N2["Laboratório — Planejador de rotação"]
  N3["14.3 Falha segura"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX053"]

Desenho lógico

flowchart LR
  N0["14.1 Renovação com ACME"]
  N1["14.2 Planejar a rotação"]
  N2["Laboratório — Planejador de rotação"]
  N3["14.3 Falha segura"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX053"]

[14.1 Renovação com ACME]
    |
    v
[14.2 Planejar a rotação]
    |
    v
[Laboratório — Planejador de rotação]
    |
    v
[14.3 Falha segura]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX053]

Objetivos de aprendizagem

Você vai (1) explicar como o ACME automatiza a emissão e a renovação de certificados; (2) planejar a rotação de chaves a partir de um inventário; (3) incorporar à automação um tratamento seguro de falhas.

14.1 Renovação com ACME

As renovações manuais causaram as duas últimas indisponibilidades da Lumen, então Priya passa os certificados públicos para o ACME, o protocolo da RFC 8555 usado por muitas autoridades certificadoras. Um cliente ACME em cada servidor prova o controle do domínio, solicita um certificado e o renova automaticamente, normalmente quando resta cerca de um terço da validade. Tomás aprende que a automação muda o risco, em vez de eliminá-lo: as renovações ainda falham quando o DNS muda, quando firewalls bloqueiam a validação ou quando a chave da conta do cliente se perde. Cada renovação automatizada precisa de monitoramento, e o relatório de expiração do capítulo 7 continua sendo a rede de segurança que captura as falhas silenciosas.

14.2 Planejar a rotação

Nem toda chave tem um protocolo como o ACME. As chaves SSH, os segredos HMAC e a raiz interna seguem criptoperíodos definidos pela política, orientados pela NIST SP 800-57 Part 1. Tomás escreve um script que lê um inventário sintético de chaves com datas de criação e idades máximas e lista quais chaves estão com a rotação vencendo. O script planeja; ele não rotaciona, porque cada rotação precisa ser coordenada com os parceiros ou com o processador de pagamentos. A saída do laboratório abaixo mostra três chaves vencendo em até trinta dias, uma delas já atrasada, ordenadas para que a chave atrasada seja tratada primeiro.

Laboratório — Planejador de rotação

# Plan (not perform) key rotation from a synthetic inventory.
import datetime
TODAY = datetime.date(2026, 3, 1)
keys = [("sftp-partner-a ssh", "2025-06-01", 365), ("sftp-partner-b ssh", "2024-12-25", 390),
        ("payment-callback hmac", "2025-09-10", 180), ("portal tls key", "2025-12-01", 398),
        ("depot-wifi root", "2021-01-15", 3650), ("backup encryption key", "2025-03-20", 365)]
due = []
for name, made, max_age in keys:
    left = max_age - (TODAY - datetime.date.fromisoformat(made)).days
    if left <= 30: due.append((left, name))
for left, name in sorted(due):
    print(f"{name:24} {'OVERDUE by ' + str(-left) if left < 0 else str(left) + ' days left'}")

Execute com python3 lab_rotation.py. Saída verificada:

sftp-partner-b ssh       OVERDUE by 41
payment-callback hmac    8 days left
backup encryption key    19 days left

14.3 Falha segura

Uma automação que falha em silêncio é pior que nenhuma, porque as pessoas param de conferir. Tomás projeta o job de renovação para alertar o técnico de plantão quando uma renovação falhar duas vezes, para manter o certificado antigo no lugar até que o novo seja verificado e para registrar cada passo sem imprimir chaves privadas. Ele também acrescenta um modo de simulação para os testes. Priya acrescenta uma regra: qualquer automação capaz de mudar chaves precisa rodar sob sua própria conta de serviço, com apenas as permissões de que precisa, para que um bug não consiga sobrescrever chaves não relacionadas nem ler segredos que não deveria ver.

Exemplo resolvido

Tomás executa o laboratório de rotação, programa primeiro a chave SSH atrasada do parceiro e acrescenta alertas de falha e um modo de simulação ao job de renovação ACME.

Caso sintético. As chaves, as idades e os parceiros são sintéticos; a RFC 8555 e a SP 800-57 Part 1 são reais.

Erros e limites

A renovação automatizada ainda depende do DNS, dos firewalls e das chaves de conta. Os criptoperíodos são decisões de política, e não constantes universais.

Exercícios

• EX053 — Papel do ACME. O que um cliente ACME automatiza?

  Mostrar critérios de avaliação

  Rubrica: 3 = provar o controle do domínio, solicitar e renovar certificados;; 2 = renovação;; 1 = manual;; 0 = nenhuma.

• EX054 — Chave atrasada. No laboratório, que chave estava atrasada, e por quantos dias?

  Mostrar critérios de avaliação

  Rubrica: 3 = a chave ssh de sftp-partner-b, atrasada 41 dias;; 2 = só a chave;; 1 = vago;; 0 = nenhuma.

• EX055 — Planejar, não rotacionar. Por que o script apenas planeja as rotações?

  Mostrar critérios de avaliação

  Rubrica: 3 = as rotações precisam ser coordenadas com parceiros e provedores;; 2 = coordenação;; 1 = preguiça;; 0 = nenhuma.

• EX056 — Manter o certificado antigo. Por que manter o certificado antigo até que o novo seja verificado?

  Mostrar critérios de avaliação

  Rubrica: 3 = para que uma renovação que falhe não cause uma indisponibilidade;; 2 = evitar indisponibilidade;; 1 = nenhuma razão;; 0 = nenhuma.

Síntese

A automação deve renovar e planejar a rotação de forma confiável, falhar de forma ruidosa e rodar com o mínimo de privilégio necessário.