Capítulo 12 — Arquitetura e engenharia de segurança: fluxos de dados

Mapa da aula

Aula 12 publicada. Mapa, exemplo, EX034.

flowchart TD
  N0["12.1 Desenhar os fluxos"]
  N1["12.2 Fronteiras de confiança"]
  N2["12.3 Fluxos desprotegidos"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX034"]

Desenho lógico

flowchart LR
  N0["12.1 Desenhar os fluxos"]
  N1["12.2 Fronteiras de confiança"]
  N2["12.3 Fluxos desprotegidos"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX034"]

[12.1 Desenhar os fluxos]
    |
    v
[12.2 Fronteiras de confiança]
    |
    v
[12.3 Fluxos desprotegidos]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX034]

Objetivos de aprendizagem

Você vai (1) desenhar os fluxos de dados do manuseio de encomendas; (2) marcar as fronteiras de confiança; (3) encontrar fluxos desprotegidos.

12.1 Desenhar os fluxos

Tomás desenha como os dados das encomendas se movem: um varejista envia um manifesto ao serviço de rastreamento; os centros de distribuição leem as encomendas; o serviço de rastreamento envia rotas aos coletores dos motoristas; os motoristas capturam fotos da entrega; os clientes recebem atualizações por mensagem de texto por meio de um provedor de mensagens. Ele rotula cada seta com os dados que ela carrega. Sam o corrige num ponto: os manifestos dos pequenos varejistas chegam por e-mail como planilhas e são enviados ao sistema à mão. Os diagramas precisam corresponder à realidade, e não à descrição oficial do processo. Ele redesenha o diagrama duas vezes até que Sam e o desenvolvedor concordem que ele corresponde ao que de fato acontece nos centros de distribuição.

12.2 Fronteiras de confiança

Tomás marca as fronteiras onde os dados passam entre organizações ou níveis de privilégio: do varejista para a Brightwater, da Brightwater para o provedor de mensagens, da rede do centro de distribuição para a nuvem e a caixa de e-mail onde os manifestos chegam. Cada cruzamento deveria ter verificações: autenticação do remetente, criptografia em trânsito e validação do conteúdo. Shostack (2014) recomenda examinar com cuidado cada cruzamento, porque os atacantes exploram os lugares em que uma parte supõe que a outra já verificou. Ele numera cada fronteira no diagrama e lista, para cada uma, quais das três verificações já existem e quais faltam, para que as lacunas fiquem visíveis num relance.

12.3 Fluxos desprotegidos

O fluxo das planilhas enviadas por e-mail não tem verificação do remetente nem validação do conteúdo, e qualquer pessoa com acesso à caixa compartilhada pode enviá-las ao sistema. Um criminoso poderia enviar um manifesto falso para desviar encomendas. Tomás recomenda passar os pequenos varejistas para um portal simples de upload com contas e validar os manifestos em busca de mudanças incomuns, como muitas atualizações de endereço de uma vez. O fluxo do provedor de mensagens é criptografado e autenticado, então ali não é preciso mudar nada. Os diagramas de fluxo de dados transformam preocupações vagas em correções específicas.

Exemplo resolvido

Tomás desenha os fluxos de dados das encomendas, corrigido por Sam, marca quatro fronteiras de confiança e encontra um fluxo desprotegido de manifestos enviados por e-mail.

Caso sintético. Os fluxos e os provedores são sintéticos; Shostack (2014) é real.

Erros e limites

Os diagramas envelhecem rápido. Os portais acrescentam trabalho para os pequenos varejistas.

Exercícios

• EX034 — Correção de Sam. O que Sam corrigiu no diagrama?

  Mostrar critérios de avaliação

  Rubrica: 3 = pequenos varejistas enviam planilhas por e-mail, enviadas ao sistema à mão;; 2 = manifestos por e-mail;; 1 = vago;; 0 = nenhuma.

• EX035 — Verificações na fronteira. Que verificações cada cruzamento de fronteira deveria ter?

  Mostrar critérios de avaliação

  Rubrica: 3 = autenticação do remetente, criptografia e validação do conteúdo;; 2 = duas;; 1 = vago;; 0 = nenhuma.

• EX036 — Manifesto falso. O que um criminoso poderia fazer com o fluxo por e-mail?

  Mostrar critérios de avaliação

  Rubrica: 3 = enviar um manifesto falso para desviar encomendas;; 2 = desviar;; 1 = vago;; 0 = nenhuma.

Síntese

Diagramas de fluxo de dados com fronteiras de confiança marcadas expõem travessias específicas sem proteção.