Capítulo 13 — Segurança quântica e pós-quântica: cenários de risco
Mapa da aula
Aula 13 publicada. Mapa, exemplo, EX025.
flowchart TD
N0["13.1 Dois tipos de risco"]
N1["13.2 Formato do cenário"]
N2["13.3 Recuo silencioso"]
N3["13.4 Caso resolvido"]
N4["13.5 Atividade prática"]
N5["13.7 Dos cenários aos runbooks"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX025"]
Desenho lógico
flowchart LR
N0["13.1 Dois tipos de risco"]
N1["13.2 Formato do cenário"]
N2["13.3 Recuo silencioso"]
N3["13.4 Caso resolvido"]
N4["13.5 Atividade prática"]
N5["13.7 Dos cenários aos runbooks"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX025"]
[13.1 Dois tipos de risco]
|
v
[13.2 Formato do cenário]
|
v
[13.3 Recuo silencioso]
|
v
[13.4 Caso resolvido]
|
v
[13.5 Atividade prática]
|
v
[13.7 Dos cenários aos runbooks]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX025]
Objetivos de aprendizagem
Você vai (1) escrever cenários de risco implementáveis para os riscos quânticos e de migração; (2) incluir os riscos induzidos pela migração, como indisponibilidades e recuo silencioso; (3) classificar os cenários com escalas simples; e (4) ligar cada cenário a controles e testes.
13.1 Dois tipos de risco
O risco quântico é o que acontece se nada mudar: tráfego gravado decifrado, assinaturas forjadas. O risco de migração é o que pode dar errado durante a mudança: indisponibilidades por handshakes grandes, recuo silencioso para o clássico, falhas de validação de certificados, regressões de desempenho, erros de gerenciamento de chaves. Os implementadores são donos dos dois e não devem trocar um pelo outro às cegas.
A KLS registra os dois tipos no mesmo registro, com os mesmos campos, para que um revisor possa ver quando um plano reduz o risco quântico acrescentando risco de migração. Habilitar o híbrido em todos os listeners numa única mudança, por exemplo, remove rapidamente a exposição a HNDL, mas eleva a probabilidade de indisponibilidade que uma implantação em etapas manteria baixa.
13.2 Formato do cenário
Cada cenário nomeia o ativo, o evento, a causa, o efeito, como ele seria detectado, a probabilidade e o impacto em escalas simples de 1 a 5, o controle e o teste que mostra que o controle funciona.
Os campos forçam decisões. Um cenário sem detecção não pode ser monitorado; um sem teste não pode provar que o seu controle funciona. A KLS usa escalas de 1 a 5 com âncoras escritas: probabilidade 4 significa "visto pelo menos uma vez no nosso parque ou no de um par", impacto 4 significa "dados de nível 1 expostos ou indisponibilidade voltada ao cliente por mais de uma hora". As notas se multiplicam numa classificação que ordena o backlog, e as âncoras impedem que as notas variem entre revisores.
13.3 Recuo silencioso
O risco de migração mais perigoso é invisível: uma mudança de configuração, a reversão de uma imagem ou um novo balanceador de carga volta à negociação apenas clássica, e nada quebra. Sem monitoramento dos grupos negociados, isso pode persistir por meses. Toda implantação híbrida precisa de um alerta sobre a fração de recuo.
Na KLS, aconteceu exatamente assim: uma versão restaurou uma anotação antiga do ingress e a fração híbrida do portal caiu de 93 % para 4 %. Nenhum cliente percebeu e nenhum erro foi registrado; só o alerta de fração, acrescentado semanas antes, mostrou o problema. A KLS alerta quando a fração cai mais de cinco pontos em uma hora.
13.4 Caso resolvido
Cenário: "A reversão do LB da origem restaura um perfil TLS apenas clássico." Causa: reversão de emergência para uma configuração antiga. Efeito: dados de embarque de nível 1 de novo expostos a HNDL. Detecção: alerta de fração híbrida a partir dos logs do LB. Probabilidade 3, impacto 4. Controle: perfil TLS versionado separadamente da configuração da aplicação; os runbooks de reversão restauram apenas a aplicação. Teste: exercício mensal que reverte a aplicação e confirma que a fração híbrida continua acima de 95 %.
O controle é a decisão-chave. Versionar o perfil TLS à parte da configuração da aplicação significa que uma reversão de emergência do código não pode chegar às configurações criptográficas; o exercício testa essa separação todo mês. Uma nota de 12 colocou este cenário entre os três primeiros da KLS, acima do cenário quântico da telemetria.
13.5 Atividade prática
Escreva cinco cenários para a KLS — dois quânticos, três de migração — e classifique-os.
Exemplos quânticos: sessões SFTP dos parceiros gravadas e decifradas depois (HNDL), e a raiz interna forjada depois que existir um computador quântico (forjar depois). Exemplos de migração: um proxy que descarta ClientHellos grandes, o recuo silencioso depois de uma reversão e um agente de monitoramento que rejeita uma cadeia ML-DSA. Para cada um, preencha todos os campos do formato: ativo, evento, causa, efeito, detecção, probabilidade, impacto, controle e teste. Classifique pela probabilidade vezes o impacto e explique numa frase por que o cenário do topo supera os outros. Espere que um cenário de migração fique em primeiro.
13.6 Erros comuns e limites
- Ignorar o risco induzido pela migração.
- Cenários sem detecção.
- Controles sem testes.
No primeiro registro da KLS, todos os cenários eram quânticos; as indisponibilidades por proxy e o recuo silencioso que de fato aconteceram em homologação estavam ausentes. Vários cenários diziam "impacto: alto" sem nenhuma forma de detectar o evento, o que os tornava impossíveis de monitorar. E controles como "perfil versionado separadamente" eram afirmados sem exercício, então ninguém sabia se uma reversão realmente deixava o perfil intacto. Uma lista de cenários é uma hipótese sobre falhas; sem detecção e testes, ela não pode ser verificada.
13.7 Dos cenários aos runbooks
Os cenários de migração mais bem classificados merecem, cada um, um runbook: os sintomas que um operador vai ver, as três primeiras verificações, a reversão segura e a quem ligar. Um runbook para "a fração híbrida caiu num listener de nível 1" poderia dizer: verificar a última implantação e as anotações do ingress; comparar o hash do perfil TLS em produção com o aprovado; restaurar o perfil aprovado sem reverter o código da aplicação; confirmar a recuperação no painel; abrir um chamado de problema. Os runbooks escritos antes do evento encurtam as indisponibilidades e reduzem a tentação de desabilitar às pressas as configurações pós-quânticas.
Revise a lista de cenários depois de cada incidente e de cada grande mudança de plataforma; novos saltos e novos fornecedores introduzem novas formas de recuo ou de falha.
Exercícios
- EX025 — Cenário. Escreva um cenário completo para "o cliente SFTP de um parceiro não consegue negociar a KEX híbrida". Rubrica: 3 = todos os campos presentes e coerentes.
- EX026 — Detecção. Proponha uma detecção para o recuo silencioso na VPN do escritório. Rubrica: 3 = fonte de dados, métrica, limite.
Síntese
Os cenários implementáveis cobrem os riscos quânticos e de migração, com detecção, controles e testes; o recuo silencioso merece atenção especial porque nada quebra de forma visível.
Continue estudando — capítulo 13 de 30
← Capítulo 12 · Índice de capítulos do curso · Capítulo 14 →
Siga para a próxima lição escrita.