Capítulo 7 — Segurança quântica e pós-quântica: dados e telemetria
Mapa da aula
Aula 07 publicada. Mapa, exemplo, EX019.
flowchart TD
N0["7.1 Fontes"]
N1["7.2 Atividade prática — Laboratório I"]
N2["7.3 Registrando os algoritmos negociados"]
N3["7.4 Cobertura"]
N4["7.5 Caso resolvido"]
N5["7.6 Atividade prática"]
N6["7.7 Mantendo a CBOM atualizada"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX019"]
Desenho lógico
flowchart LR
N0["7.1 Fontes"]
N1["7.2 Atividade prática — Laboratório I"]
N2["7.3 Registrando os algoritmos negociados"]
N3["7.4 Cobertura"]
N4["7.5 Caso resolvido"]
N5["7.6 Atividade prática"]
N6["7.7 Mantendo a CBOM atualizada"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX019"]
[7.1 Fontes]
|
v
[7.2 Atividade prática — Laboratório I]
|
v
[7.3 Registrando os algoritmos negociados]
|
v
[7.4 Cobertura]
|
v
[7.5 Caso resolvido]
|
v
[7.6 Atividade prática]
|
v
[7.7 Mantendo a CBOM atualizada]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX019]
Objetivos de aprendizagem
Você vai (1) coletar fatos criptográficos da configuração, dos logs e dos fornecedores; (2) montar uma lista de materiais criptográficos (CBOM); (3) acrescentar aos logs campos com o algoritmo negociado; e (4) relatar a cobertura e os desconhecidos.
7.1 Fontes
Os arquivos de configuração dizem o que um serviço oferece. Os logs dizem o que foi negociado. As declarações dos fornecedores dizem o que um dispositivo fechado alega. Cada fato na CBOM deve dizer de que fonte veio e quando.
No HHG, a configuração do balanceador de carga mostrava o portal do hóspede oferecendo híbrido, mas os logs mostravam apenas 3 % de híbrido. Configuração e logs juntos explicaram o problema; qualquer um deles sozinho teria enganado. Classifique cada fato pela sua fonte. Uma declaração de fornecedor continua sendo uma alegação até ser observada em operação.
7.2 Atividade prática — Laboratório I
# Lab I (ch 7): aggregate a synthetic cryptographic bill of materials (CBOM) and measure coverage.
records = [ # (asset, function, algorithm, source)
("booking-gateway", "key-exchange", "X25519MLKEM768", "passive"), ("booking-gateway", "signature", "RSA-2048", "config"),
("door-lock-hub", "key-exchange", "ECDHE-P256", "passive"), ("door-lock-hub", "signature", "ECDSA-P256", "code"),
("reservations-db", "key-exchange", "RSA-kex", "config"), ("billing", "data-at-rest", "AES-256-GCM", "code"),
("minibar-sensor", "unknown", "unknown", "none"), ("property-vpn", "key-exchange", "ECDHE-P384", "config")]
VULN = {"RSA-2048", "ECDHE-P256", "ECDSA-P256", "RSA-kex", "ECDHE-P384"}
assets = {r[0] for r in records}
unknown = {r[0] for r in records if r[2] == "unknown"}
vuln = [r for r in records if r[2] in VULN]
print(f"assets {len(assets)}, unknown {len(unknown)} ({100*len(unknown)/len(assets):.0f}%)")
print(f"quantum-vulnerable uses {len(vuln)}:", ", ".join(f"{a}/{f}" for a, f, _, _ in vuln))
print("hybrid key exchange present on:", [r[0] for r in records if "MLKEM" in r[2]])
Saída esperada:
assets 6, unknown 1 (17%)
quantum-vulnerable uses 5: booking-gateway/signature, door-lock-hub/key-exchange, door-lock-hub/signature, reservations-db/key-exchange, property-vpn/key-exchange
hybrid key exchange present on: ['booking-gateway']
O sensor do frigobar é desconhecido; até que seja investigado, a CBOM não pode dizer se o seu tráfego está em risco.
O script lista os usos criptográficos de seis ativos do HHG, sinaliza os que dependem de algoritmos vulneráveis ao quântico e mostra onde a troca de chaves híbrida já está presente. Repare que o AES-256-GCM do faturamento não é sinalizado, já que a cifragem simétrica desse tamanho é adequada, e que o sensor do frigobar conta como desconhecido, e não como seguro. O gateway de reservas negocia troca de chaves híbrida, mas ainda tem uma assinatura RSA-2048, então aparece nas duas listas. Acrescente um registro seu e verifique se as contagens mudam.
7.3 Registrando os algoritmos negociados
Os servidores web e os balanceadores de carga normalmente conseguem registrar o protocolo TLS, a cifra e o grupo por conexão; acrescente esses campos ao formato do log de acesso primeiro na homologação, verifique o volume de logs e depois promova. Os servidores SSH registram o algoritmo de troca de chaves num nível de log adequado. Os appliances de VPN registram os métodos negociados por túnel. Registre apenas o que precisa: campos de algoritmo, serviço, horário e um identificador grosseiro do cliente.
Teste a mudança primeiro na homologação. No HHG, o log de acesso do balanceador de carga ganhou um campo de grupo na homologação antes da produção. Verifique se os painéis leem o novo campo corretamente.
7.4 Cobertura
Relate que proporção dos serviços tem evidência, por fonte. "Híbrido em 40 % das conexões" significa pouco, a menos que você diga quais serviços e sensores foram incluídos. Mostre os desconhecidos ao lado de cada número.
No HHG, o painel mostra cada serviço separadamente, com o seu tipo de evidência: logs para a API de reservas, o portal do hóspede e a troca de arquivos, apenas configuração para as VPNs das unidades e desconhecido para as fechaduras e os sensores dos frigobares. Uma única média entre esses esconderia o problema do portal do hóspede e as lacunas. Informe sempre o denominador.
7.5 Caso resolvido
O HHG acrescenta o grupo negociado aos logs do balanceador de carga. Depois de uma semana, o painel mostra: API de reservas 88 % híbrido; portal do hóspede 3 % híbrido (um problema de configuração encontrado no Capítulo 5); troca de arquivos 0 % (OpenSSH antigo); VPNs das unidades — apenas evidência de configuração, 0 de 12 híbridas; fechaduras e sensores dos frigobares — desconhecidos.
O painel mostra como o tipo de evidência muda o que se pode dizer: os números da API de reservas e do portal do hóspede vêm dos logs, o da VPN vem da configuração, e fechaduras e sensores não podem ser relatados de forma alguma. Os 3 % do portal do hóspede são o item sobre o qual agir primeiro.
7.6 Atividade prática
No laboratório, acrescente o grupo TLS negociado ao log de acesso de um servidor web e confirme que ele aparece para clientes híbridos e clássicos.
Use um servidor de teste do seu laboratório e acrescente os campos de protocolo, cifra e grupo ao formato do seu log de acesso. Conecte-se uma vez com um cliente que oferece híbrido e outra com um que não oferece, depois encontre as duas linhas no log e salve-as. Verifique o volume de logs antes e depois. Anote a mudança de configuração exata, já que você precisaria dela para um ticket de mudança na homologação.
7.7 Mantendo a CBOM atualizada
Atualize a CBOM após cada mudança relevante: atualizações de bibliotecas, novos certificados, novos dispositivos, firmware de fornecedores. Marque as entradas com mais de três meses como "precisa de reverificação". Uma CBOM desatualizada é pior do que nenhuma, se as pessoas confiarem nela.
No HHG, a entrada do servidor de troca de arquivos precisa mudar após a atualização do seu OpenSSH, e a dos sensores dos frigobares quando o fornecedor responder. Atribua um responsável a cada entrada. Revise as entradas vencidas todo mês e reverifique-as ou marque-as como desconhecidas, para que a CBOM mostre a própria idade com honestidade.
7.8 Erros comuns e limites
- Tratar a configuração como prova de negociação.
- Log de depuração detalhado em produção.
- Esconder os desconhecidos.
Cada erro faz a CBOM ou o painel enganarem. A configuração mostra o que é oferecido, mas o portal do hóspede do HHG oferecia híbrido e o negociava em apenas 3 % das conexões. O log de depuração detalhado em produção enche discos e pode capturar dados sensíveis, como endereços de clientes. Esconder os desconhecidos, como as fechaduras e os sensores dos frigobares, faz a cobertura parecer completa. Confira a sua CBOM e o seu painel quanto a cada um antes de compartilhá-los. Corrija-os antes de publicar.
Exercícios
- EX019 — Fonte. Qual fonte prova que um grupo foi negociado: configuração, logs ou ficha do fornecedor? Rubrica: 3 = logs (ou saída do cliente), com o motivo.
- EX020 — Contagem do Laboratório I. Quantos usos vulneráveis ao quântico o Laboratório I encontra, e em quantos ativos distintos? Rubrica: 3 = cinco usos em quatro ativos.
- EX021 — Linha de cobertura. Escreva uma linha de cobertura para o painel do HHG em 7.5. Rubrica: 3 = números delimitados, com fontes e desconhecidos.
Síntese
Os operadores constroem a CBOM a partir da configuração, dos logs e das declarações dos fornecedores, com datas e fontes, acrescentam o registro do algoritmo negociado e relatam a cobertura com os desconhecidos visíveis.
Continue estudando — capítulo 07 de 18
← Capítulo 06 · Índice de capítulos do curso · Capítulo 08 →
Siga para a próxima lição escrita.