Capítulo 11 — Segurança quântica e pós-quântica: ativos e contexto
Mapa da aula
Aula 11 publicada. Mapa, exemplo, EX021.
flowchart TD
N0["11.1 Definindo o escopo do registro"]
N1["11.2 Níveis"]
N2["11.3 A desigualdade de Mosca para implementadores"]
N3["11.4 Dependências e donos"]
N4["11.5 Caso resolvido"]
N5["11.6 Atividade prática"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX021"]
Desenho lógico
flowchart LR
N0["11.1 Definindo o escopo do registro"]
N1["11.2 Níveis"]
N2["11.3 A desigualdade de Mosca para implementadores"]
N3["11.4 Dependências e donos"]
N4["11.5 Caso resolvido"]
N5["11.6 Atividade prática"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX021"]
[11.1 Definindo o escopo do registro]
|
v
[11.2 Níveis]
|
v
[11.3 A desigualdade de Mosca para implementadores]
|
v
[11.4 Dependências e donos]
|
v
[11.5 Caso resolvido]
|
v
[11.6 Atividade prática]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX021]
Objetivos de aprendizagem
Você vai (1) montar um registro de ativos com o escopo da migração criptográfica; (2) atribuir níveis usando o tempo de vida dos dados e o tempo de vida da confiança; (3) registrar donos, mecanismos de mudança e dependências; e (4) aplicar a desigualdade de Mosca para definir a urgência.
11.1 Definindo o escopo do registro
Comece pelos serviços que os clientes e os funcionários usam, não pelas faixas de IP. Para cada serviço, liste os seus endpoints, as classes de dados que ele trata, as funções criptográficas que executa e as equipes e fornecedores que os controlam. Inclua coisas fáceis de esquecer: assinatura no CI/CD, transferências de backup, agentes de monitoramento, integrações com parceiros, dispositivos dos armazéns e caminhos de acesso administrativo.
O primeiro registro da KLS, montado a partir de varreduras de IP, deixou de fora o job noturno de backup para o armazenamento de objetos e o TLS de saída dos agentes de monitoramento, porque nenhum dos dois escuta numa porta. Começar pelos serviços encontrou os dois: o job de backup aparece sob o faturamento, e os agentes aparecem sob o serviço de observabilidade. O registro tem agora 41 entradas, das quais 14 são fluxos de nível 1.
11.2 Níveis
Nível 1: fluxos que transportam dados cuja confidencialidade precisa durar além dos prazos quânticos plausíveis, e âncoras de confiança cujas assinaturas precisam permanecer impossíveis de forjar por muitos anos. Nível 2: dados ou confiança de vida mais curta, mas ainda importantes. Nível 3: dados de vida curta e credenciais fáceis de rotacionar. Os níveis determinam a ordem do trabalho, a profundidade do monitoramento e as exigências de evidência.
A KLS escreve os critérios como números, para que duas pessoas classifiquem o mesmo ativo de forma idêntica: nível 1 se a confidencialidade ou a confiança precisa durar oito anos ou mais, ou se o dispositivo não pode ser atualizado remotamente; nível 2 de três a oito anos; nível 3 abaixo de três anos, com credenciais rotacionáveis em um dia. Os ativos de nível 1 têm revisão de evidências semanal; os de nível 2, mensal; os de nível 3, trimestral.
11.3 A desigualdade de Mosca para implementadores
Mosca (2018): se os dados precisam permanecer seguros por x anos, a migração leva y anos e um computador quântico criptograficamente relevante chega em z anos, então x + y > z significa que você já está atrasado. Os implementadores controlam o y. Estime-o por serviço a partir do mecanismo de mudança: uma mudança de configuração pode levar semanas, incluindo os testes; uma mudança que depende do fornecedor pode levar dois anos; uma renovação de hardware, cinco. Com os dados de embarque de dez anos da KLS, a estimativa de meio ano do serviço SFTP dos parceiros o deixa atrasado para qualquer z abaixo de 10,5 anos; os leitores dos armazéns, que enviam os mesmos manifestos de embarque numa renovação de fornecedor de quatro anos, ficam atrasados para qualquer z abaixo de catorze.
11.4 Dependências e donos
Cada ativo precisa de um dono nomeado e de uma lista de dependências a montante: a CDN, o balanceador de carga na nuvem, o banco de dados gerenciado, o fornecedor dos leitores. Um serviço só está tão migrado quanto a sua parte controladora mais lenta.
Na KLS, a parte mais lenta costuma estar fora da empresa. A API do cliente depende do recurso de origem da CDN; a replicação do faturamento, do provedor do banco de dados; os leitores, do seu fornecedor. Cada dependência é uma linha com um contato e um pedido em aberto, para que o registro mostre quem está esperando por quem.
11.5 Caso resolvido
Os níveis da KLS (sintéticos): Nível 1 — SFTP dos parceiros (dados aduaneiros de 10 anos, ECDH), caminho da CDN até a origem (dados de embarque de 10 anos), AC raiz interna (validade de 15 anos), assinatura de versões. Nível 2 — replicação do banco de dados de faturamento (dados de 7 anos), VPN do escritório. Nível 3 — telemetria, tokens de SSO. y estimado: SFTP 0,5 ano (atualização do OpenSSH e coordenação com os parceiros), CDN até a origem 0,25 ano (configuração do balanceador de carga), AC interna 2 anos, leitores 4 anos (renovação do fornecedor).
Ler as estimativas pela desigualdade de Mosca mostra o que fazer primeiro. O SFTP e o caminho da CDN até a origem são de nível 1 com y curto, então concluí-los é barato e remove a maior parte da exposição a HNDL. A AC interna precisa de dois anos e deve começar agora. Os quatro anos dos leitores não podem ser encurtados pela KLS, então o seu fluxo de dados é minimizado e o contrato com o fornecedor, alterado.
11.6 Atividade prática
Crie um registro com níveis de dez ativos da KLS, com dono, tempo de vida dos dados, tempo de vida da confiança, mecanismo de mudança e y estimado.
Use as colunas ativo, dono, tempo de vida dos dados em anos, tempo de vida da confiança em anos, nível com o critério que o colocou ali, mecanismo de mudança, parte controladora e y estimado com a sua base. Inclua pelo menos um ativo de cada grupo: serviços voltados ao cliente, integrações com parceiros, PKI interna, dispositivos e jobs em segundo plano, como os backups. Onde o y for um palpite, escreva a premissa, por exemplo "o fornecedor cotou 18 meses, mais 6 para a implantação". Termine marcando quais ativos estão atrasados para um z de 10 anos.
11.7 Erros comuns e limites
- Começar pelas varreduras de rede em vez dos serviços.
- Níveis sem critérios escritos.
- Ignorar a dependência mais lenta ao estimar o y.
Cada erro distorceu o primeiro registro da KLS. As varreduras de rede encontraram os listeners, mas deixaram de fora o job de backup e os agentes de monitoramento, que só fazem conexões de saída. Níveis atribuídos "por intuição" colocaram a telemetria no nível 1 porque parecia importante. E a estimativa de três meses para a CDN até a origem ignorou que o recurso de origem do provedor ainda não estava disponível para todos, então o y real dependia do calendário do provedor.
Exercícios
- EX021 — Mosca para o SFTP. Com x = 10 e y = 0,5, para qual z a KLS está atrasada no SFTP dos parceiros? Rubrica: 3 = z < 10,5 anos.
- EX022 — Critérios de nível. Escreva critérios de nível que um novo membro da equipe possa aplicar de forma consistente. Rubrica: 3 = limites objetivos sobre o tempo de vida dos dados e da confiança.
Síntese
Um registro de ativos com níveis e donos, com mecanismos de mudança e estimativas do tempo de migração, permite que os implementadores apliquem a desigualdade de Mosca onde ela importa: encolhendo o y dos serviços de nível 1.
Continue estudando — capítulo 11 de 30
← Capítulo 10 · Índice de capítulos do curso · Capítulo 12 →
Siga para a próxima lição escrita.