Capítulo 16 — Segurança de TO, IoT e sistemas ciberfísicos: métodos II
Mapa da aula
Aula 16 publicada. Mapa, exemplo, EX046.
flowchart TD
N0["16.1 Uma passada rápida de modelagem de ameaças"]
N1["16.2 Perguntas de linha de base do produto"]
N2["16.3 Lendo as afirmações do fornecedor"]
N3["16.4 Hipóteses"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX046"]
Desenho lógico
flowchart LR
N0["16.1 Uma passada rápida de modelagem de ameaças"]
N1["16.2 Perguntas de linha de base do produto"]
N2["16.3 Lendo as afirmações do fornecedor"]
N3["16.4 Hipóteses"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX046"]
[16.1 Uma passada rápida de modelagem de ameaças]
|
v
[16.2 Perguntas de linha de base do produto]
|
v
[16.3 Lendo as afirmações do fornecedor]
|
v
[16.4 Hipóteses]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX046]
Objetivos de aprendizagem
Você vai (1) aplicar uma passada simples de modelagem de ameaças ao sistema de registradores; (2) avaliar um produto IoT contra as disposições da ETSI EN 303 645; (3) revisar a documentação do fornecedor em busca de afirmações de segurança; e (4) registrar as hipóteses de que o modelo depende.
16.1 Uma passada rápida de modelagem de ameaças
Desenhe o sistema de registradores: registradores → rádio → GW-LOG → firewall → nuvem do fornecedor → portal web usado pelo gerente de qualidade. Em cada seta, pergunte: alguém pode se passar pelo remetente, alterar os dados, lê-los, bloqueá-los ou ganhar mais controle que o pretendido? Essa lista de perguntas, adaptada do STRIDE, produz uma lista curta de ameaças em menos de uma hora. A passada de Priya na NCS produziu, entre outras entradas, "repetição (replay) de leituras antigas pelo rádio", com a hipótese de que um atacante precisaria estar a cerca de 100 m dos registradores.
16.2 Perguntas de linha de base do produto
A ETSI EN 303 645 dá perguntas concretas para cada produto IoT: ele sai de fábrica com uma senha padrão universal (5.1)? O fornecedor publica uma forma de reportar vulnerabilidades (5.2)? O seu software pode ser atualizado com segurança (5.3)? Ele se comunica com segurança (5.5)? Os dados pessoais são protegidos (5.8)? As respostas podem vir da documentação, de um questionário ao fornecedor e, para alguns itens, de uma verificação em bancada. As respostas do fornecedor dos registradores ao questionário de Priya: senhas únicas por dispositivo nas etiquetas (5.1 atendida), uma página de divulgação (5.2 atendida), atualizações assinadas aplicadas só remotamente pelo fornecedor (5.3 atendida, com uma dependência) e TLS até a nuvem, mas um enlace de rádio sem criptografia (5.5 parcialmente atendida).
16.3 Lendo as afirmações do fornecedor
"Criptografia de nível bancário" não é resposta para a 5.5; "TLS 1.2 ou posterior com validação do certificado do servidor, certificados fixados (pinned) na CA do fornecedor" é. Peça detalhes e anote quando o fornecedor não consegue fornecê-los. A resposta do fornecedor dos registradores da NCS para a 5.5 foi específica o bastante para agir: TLS até a nuvem, mas nenhuma criptografia no enlace de rádio entre os registradores e o GW-LOG. Esse "parcialmente atendida" é mais útil que uma frase de marketing confiante, porque diz a Priya exatamente onde o controle compensatório precisa ficar: comparar as leituras dos registradores com as sondas dos CLPs, como no Capítulo 18. Um fornecedor que só conseguisse dizer "comunicação segura" teria deixado o enlace de rádio sem exame.
16.4 Hipóteses
Os modelos de ameaças se apoiam em hipóteses: o alcance do enlace de rádio é de cerca de 100 m; o portal usa MFA; a nuvem do fornecedor é operada com segurança. Anote-as; se uma se mostrar falsa, revise o modelo. A lista de Priya para o sistema de registradores inclui o alcance de rádio de cerca de 100 m, que define quem pode tentar repetir leituras antigas; a declaração do fornecedor de que aplica atualizações assinadas remotamente, da qual a 5.3 depende; e o uso de MFA no portal do gerente de qualidade, que ela não tinha verificado. Se o portal se revelasse sem MFA, o "comprometimento da conta na nuvem" subiria na lista dela, então a hipótese está marcada para ser verificada na próxima revisão do fornecedor.
Exemplo resolvido (NCS sintética)
O questionário de Priya ao fornecedor volta com: senha única por dispositivo impressa na etiqueta (5.1 atendida); existe uma página de política de divulgação (5.2 atendida); atualizações de firmware assinadas, mas aplicadas só pelo fornecedor, remotamente (5.3 atendida, com uma dependência); TLS até a nuvem, mas o enlace de rádio entre os registradores e o gateway não tem criptografia (5.5 parcialmente atendida). A lista de ameaças dela ganha "repetição de leituras antigas pelo rádio", com a hipótese "atacante a ~100 m".
Caso sintético — Northgate Cold Storage. As respostas do fornecedor são inventadas.
Erros e limites
As respostas de questionário são afirmações; verifique as mais importantes. A ETSI EN 303 645 visa a IoT de consumo; para gateways industriais, a IEC 62443-4-2 pode ser a referência melhor.
Exercícios
- EX046 — Perguntas STRIDE no portal. Dê uma ameaça de falsificação de identidade (spoofing) e uma de divulgação de informação para o portal do gerente de qualidade. Rubrica: 3 = duas ameaças plausíveis; 2 = uma; 1 = genérico; 0 = nada.
- EX047 — Uma afirmação vaga. Reescreva a pergunta que você mandaria de volta a um fornecedor que diz "segurança de nível militar". Rubrica: 3 = pergunta específica sobre protocolo, versões, validação; 2 = parcial; 1 = aceita a afirmação; 0 = nada.
- EX048 — Testando uma hipótese. Como você verificaria com segurança a hipótese do "alcance de rádio de cerca de 100 m"? Rubrica: 3 = especificação do fornecedor mais teste a pé com um receptor e um registrador de bancada em áreas permitidas; 2 = parcial; 1 = transmitir para registradores ativos; 0 = nada.
Síntese
Uma modelagem de ameaças rápida, perguntas de linha de base e hipóteses escritas permitem que um tecnólogo avalie um produto IoT em dias, e não em meses.
Continue estudando — capítulo 16 de 30
← Capítulo 15 · Índice de capítulos do curso · Capítulo 17 →
Siga para a próxima lição escrita.