Capítulo 6 — Criptografia e serviços de confiança: modelo do sistema

Capítulo 6 — Criptografia e serviços de confiança: modelo do sistema

Mapa da aula

Aula 06 publicada. Mapa, exemplo, EX021.

flowchart TD
  N0["6.1 Partes, chaves e verificadores"]
  N1["6.2 Âncoras de confiança"]
  N2["6.3 Elo mais fraco"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX021"]

Desenho lógico

flowchart LR
  N0["6.1 Partes, chaves e verificadores"]
  N1["6.2 Âncoras de confiança"]
  N2["6.3 Elo mais fraco"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX021"]

[6.1 Partes, chaves e verificadores]
    |
    v
[6.2 Âncoras de confiança]
    |
    v
[6.3 Elo mais fraco]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX021]

Objetivos de aprendizagem

Você vai (1) modelar as relações de confiança da Lumen como partes, chaves e verificadores; (2) identificar as âncoras de confiança; (3) explicar por que uma cadeia de confiança falha no seu elo mais fraco.

6.1 Partes, chaves e verificadores

Priya desenha o modelo de confiança num quadro branco. Cada seta tem três partes: uma parte que detém uma chave privada, uma chave pública ou certificado que a representa e um verificador que confere a prova. Os clientes verificam o portal por meio do seu certificado TLS. A Lumen verifica os callbacks do processador de pagamentos por meio de um segredo HMAC compartilhado. Os parceiros verificam os arquivos noturnos por meio da chave de host SSH da Lumen. Desenhar o modelo dessa forma faz Tomás fazer as mesmas três perguntas em todo lugar: quem detém o segredo, o que o verificador confere e o que acontece se o segredo vazar ou a verificação for pulada.

6.2 Âncoras de confiança

Toda cadeia de verificação termina em algo em que se confia sem mais provas, chamado âncora de confiança. Para o site público, as âncoras são os certificados raiz distribuídos com os navegadores e os sistemas operacionais. Para o Wi-Fi dos depósitos, a âncora é a raiz interna da própria Lumen, instalada nos coletores pelo gerenciamento de dispositivos. Para o SSH, a âncora é a impressão digital da chave de host registrada na primeira vez que um parceiro se conectou. Tomás aprende que acrescentar uma âncora é um ato poderoso: qualquer certificado assinado sob uma nova raiz passa a ser confiável. Por isso, as mudanças de âncoras passam pelo controle de mudanças, e ele nunca instala uma raiz só para fazer um aviso desaparecer.

6.3 Elo mais fraco

Uma cadeia é tão forte quanto sua parte mais fraca. Se a chave privada da raiz interna fica num notebook comum, as configurações cuidadosas de TLS em cada ponto de acesso dos depósitos podem ser desfeitas por qualquer um que roube esse notebook. Se o segredo HMAC dos callbacks de pagamento for versionado num repositório público, a verificação de assinatura no servidor perde o sentido. Tomás revisa cada seta do modelo e pergunta onde o material privado está guardado e quem poderia alcançá-lo. Ele marca dois elos fracos: a localização da chave da raiz interna e uma antiga chave SSH compartilhada por dois parceiros.

Exemplo resolvido

Tomás desenha seis setas de confiança com detentor, artefato e verificador, rotula três âncoras de confiança e sinaliza dois elos fracos para Priya.

Caso sintético. O modelo de confiança, as raízes e as chaves são sintéticos.

Erros e limites

Os modelos omitem as pessoas que podem contornar as verificações, como funcionários que clicam para passar pelos avisos. As âncoras instaladas pelos fornecedores estão fora do controle da Lumen.

Exercícios

• EX021 — Três perguntas. Que três perguntas Tomás faz sobre cada seta de confiança? Rubrica: 3 = quem detém o segredo, o que o verificador confere, e se o segredo vazar ou a verificação for pulada;; 2 = duas;; 1 = uma;; 0 = nenhuma.

• EX022 — Âncora dos depósitos. Qual é a âncora de confiança dos certificados do Wi-Fi dos depósitos? Rubrica: 3 = a raiz interna da Lumen instalada nos coletores;; 2 = raiz interna;; 1 = AC pública;; 0 = nenhuma.

• EX023 — Acrescentar uma raiz. Por que instalar uma nova raiz precisa passar pelo controle de mudanças? Rubrica: 3 = todo certificado assinado sob ela passa a ser confiável; é um ato poderoso;; 2 = menciona o alcance da confiança;; 1 = inofensivo;; 0 = nenhuma.

• EX024 — Chave compartilhada entre parceiros. Por que uma chave SSH compartilhada por dois parceiros é um elo fraco? Rubrica: 3 = o vazamento de um parceiro compromete os dois e o acesso não pode ser revogado separadamente;; 2 = menciona vazamento;; 1 = não é fraco;; 0 = nenhuma.

Síntese

Os modelos de confiança tornam explícitos cada detentor, âncora e verificador, para que o elo mais fraco fique visível.

Continue estudando — aula 06 (capítulo 06 de 18)

← Capítulo 05 · Índice das aulas · Capítulo 07 →

Continue para a próxima aula já escrita.