Capítulo 8 — Fundamentos de arquitetura de segurança
Mapa da aula
Aula 08 publicada. Mapa, exemplo, EX022.
flowchart TD
N0["8.1 Fronteiras de confiança"]
N1["8.2 Posicionar os controles"]
N2["8.3 Pontos únicos de falha"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX022"]
Desenho lógico
flowchart LR
N0["8.1 Fronteiras de confiança"]
N1["8.2 Posicionar os controles"]
N2["8.3 Pontos únicos de falha"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3 --> Q["EX022"]
[8.1 Fronteiras de confiança]
|
v
[8.2 Posicionar os controles]
|
v
[8.3 Pontos únicos de falha]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX022]
Objetivos de aprendizagem
Você vai (1) traçar as fronteiras de confiança dos serviços da prefeitura; (2) posicionar o TLS, as assinaturas e a cifração nas fronteiras certas; (3) identificar pontos únicos de falha na infraestrutura de confiança.
8.1 Fronteiras de confiança
Rosa desenha a arquitetura do serviço de licenças com as fronteiras de confiança: entre a internet e o gateway web, entre o gateway e os servidores de aplicação, entre as aplicações e o banco de dados e entre a prefeitura e o provedor de pagamentos. Ela marca quais dados atravessam cada fronteira e como são protegidos. O diagrama mostra que o gateway termina o TLS e encaminha o tráfego às aplicações por HTTP simples dentro do data center, um projeto escolhido anos atrás por simplicidade. Ela o registra como uma lacuna.
8.2 Posicionar os controles
Rosa propõe controles em cada fronteira: TLS dos cidadãos até o gateway, TLS com autenticação mútua do gateway até as aplicações, conexões com o banco de dados por TLS com verificação de certificado, webhooks do provedor de pagamentos assinados com HMAC e PDFs assinados para as decisões municipais. Owen revisa a proposta e concorda, mas pede que ela estime a carga operacional dos certificados adicionais. Ela responde que a emissão automatizada pela autoridade interna manterá a carga pequena, o que leva ao trabalho de automação dos capítulos posteriores.
8.3 Pontos únicos de falha
O diagrama também revela que a autoridade certificadora interna roda numa única máquina virtual, sem backup da sua chave de assinatura, e que a mesma conta de administrador a gerencia e gerencia o gateway. Se a máquina falhasse, nenhum certificado interno novo poderia ser emitido; se a conta fosse comprometida, um atacante poderia emitir certificados e redirecionar o tráfego. Rosa recomenda um backup cifrado da chave da autoridade, mantido sob controle duplo, e contas de administrador separadas. As duas recomendações são acrescentadas ao registro de riscos da prefeitura.
Exemplo resolvido
O diagrama de arquitetura de Rosa revela HTTP simples atrás do gateway e uma única autoridade certificadora interna sem backup, e ela propõe controles nas fronteiras e backups sob controle duplo.
Caso sintético. A arquitetura é inventada.
Erros e limites
As redes internas não são automaticamente confiáveis. Mais certificados significam mais operações, a menos que a emissão seja automatizada.
Exercícios
-
EX022 — Lacuna interna. Que lacuna o diagrama revelou atrás do gateway? Rubrica: 3 = tráfego encaminhado às aplicações por HTTP simples;; 2 = HTTP simples;; 1 = vago;; 0 = nenhuma.
-
EX023 — Controle do webhook. Que controle protege os webhooks de pagamento? Rubrica: 3 = assinaturas HMAC do provedor de pagamentos;; 2 = HMAC;; 1 = só TLS;; 0 = nenhuma.
-
EX024 — Fraqueza da AC. Por que a autoridade certificadora interna é um ponto único de falha? Rubrica: 3 = uma única máquina virtual sem backup da chave, gerenciada pela mesma conta que o gateway;; 2 = ambos;; 1 = um;; 0 = nenhuma.
Síntese
Traçar as fronteiras de confiança posiciona os controles criptográficos onde eles importam e expõe uma infraestrutura de confiança frágil.
Continue estudando — aula 08 (capítulo 08 de 30)
← Capítulo 07 · Índice das aulas · Capítulo 09 →
Continue para a próxima aula já escrita.