Princípios de segurança e risco

Um ficheiro de notas tem três problemas diferentes. Alguém pode lê-lo sem autorização, alterar uma nota ou impedir a sua consulta. Por isso temos de dizer qual destes problemas queremos evitar antes de escolher uma ferramenta.

Propriedades de segurança

Propriedade	O que protege	Exemplo de violação
Confidencialidade	A informação só chega a quem pode conhecê-la	Uma cópia de segurança fica pública
Integridade	As alterações seguem as regras autorizadas	Um aluno muda a própria nota
Disponibilidade	O serviço está utilizável quando necessário	Uma inundação de pedidos esgota o servidor

Integridade não significa que um ficheiro nunca muda, porque um docente pode corrigir uma nota por um procedimento autorizado. Disponibilidade também não significa aceitar todos os pedidos: limitar pedidos pode preservar o serviço para os restantes utilizadores.

A autenticidade liga uma mensagem ou entidade à origem que afirma ter. A responsabilização permite relacionar ações com entidades através de registos protegidos. Um registo diz o que o sistema observou; sozinho não prova que a pessoa titular da conta fez a ação, porque a conta pode estar comprometida.

Ativo, ameaça e vulnerabilidade

Um ativo tem valor para o sistema, como dados, credenciais, capacidade de processamento ou reputação. Uma ameaça é uma causa potencial de dano. Uma vulnerabilidade é uma fraqueza que torna esse dano possível. O vetor de ataque é o caminho usado para explorar a fraqueza. Um controlo reduz a probabilidade ou as consequências.

No ficheiro de notas, o ativo são as notas e a ameaça é uma alteração não autorizada. A vulnerabilidade é permitir escrita a qualquer conta autenticada. O vetor é o caminho usado para explorar essa fraqueza, por exemplo enviar um pedido de alteração pelo endpoint. O controlo é verificar, no servidor e em cada pedido, se a conta pode alterar aquela pauta. Cifrar o disco protege outro risco, o de uma leitura do disco roubado, e não corrige esta autorização.

Também há ameaças acidentais. Apagar uma tabela por engano afeta a disponibilidade e pode exigir o mesmo mecanismo de recuperação que uma sabotagem deliberada.

Zero-day, zero-click e cadeia de fornecimento

Um ataque zero-day explora uma vulnerabilidade ainda desconhecida por quem a deve corrigir ou para a qual ainda não há correção disponível no momento considerado. Zero-click descreve outra dimensão: o ataque não precisa de interação da vítima. Uma vulnerabilidade pode ser conhecida e permitir zero-click; uma zero-day pode exigir que a pessoa abra um ficheiro. Explicita a informação e a correção disponíveis em vez de tratar as duas etiquetas como sinónimas.

Num ataque à cadeia de fornecimento, o atacante compromete um componente ou canal de que o sistema depende, como uma biblioteca, uma ferramenta de construção ou um distribuidor de atualizações. O utilizador pode seguir o procedimento de instalação normal e receber código adulterado. Autenticar a origem de uma atualização ajuda a detetar substituições no caminho, mas não garante que o conteúdo foi seguro antes de ser assinado. A defesa precisa de analisar também a produção, dependências e distribuição do componente confiável.

Risco qualitativo

O risco combina a possibilidade de um evento com as suas consequências. Numa análise qualitativa podemos atribuir categorias, por exemplo probabilidade de 1 a 3 e impacto de 1 a 3. A matriz seguinte usa o produto como regra ilustrativa de prioridade.

A representa perda de uma cópia por falha de disco, com pontuação $2\times3=6$. B representa alteração de notas por uma autorização em falta, com pontuação $3\times3=9$. Segundo esta regra, investigamos B primeiro. A conta só é útil se explicarmos por que atribuímos os valores.

Os números representam uma ordem, não probabilidades medidas nem euros. Uma pontuação 6 não prova um risco duas vezes maior que uma pontuação 3. Outra equipa pode usar escalas e prioridades diferentes.

Perda esperada

Quando o enunciado dá uma probabilidade anual $p$ e uma perda $L$ por ocorrência, num modelo de um único evento anual, a perda esperada é $E=pL$. A perda é $L$ se o evento ocorrer e zero caso contrário. Ponderar os dois resultados dá $E=pL+(1-p)0$. Para uma falha com $p=0{,}1$ e $L=20\,000$ euros, temos $E=0{,}1\times20\,000=2\,000$ euros por ano. É uma média do modelo, não o custo que necessariamente pagaremos num ano concreto.

Um controlo de 500 euros por ano reduz $p$ para 0,02. A perda esperada residual é 400 euros, e o custo total esperado é $500+400=900$ euros. A redução líquida é $2\,000-900=1\,100$ euros por ano. Este cálculo não representa perdas extremas, obrigações externas nem a incerteza das estimativas, por isso não substituas uma categoria “alta” por 0,9 sem uma justificação.

Política, mecanismo, confiança e ameaça

Uma política determina comportamentos permitidos e proibidos, e um mecanismo implementa parte dessa política. O modelo de confiança diz de que entidades e componentes dependemos, e para fazer o quê; o modelo de ameaça diz que adversários e capacidades consideramos. A fronteira de confiança marca o ponto onde muda quem decide, e a superfície de ataque inclui os pontos onde entidades menos confiáveis interagem com o sistema.

«Só o titular pode consultar a sua pauta» é uma política. Verificar a relação entre sessão e pauta é um mecanismo. Assumir que o servidor de autenticação não emite sessões falsas é uma hipótese de confiança. Considerar um aluno que pode enviar pedidos arbitrários, mas não alterar o código do servidor, fixa parte do modelo de ameaça. A análise precisa de mostrar que os mecanismos cumprem a política se as hipóteses forem verdadeiras.

Modelo binário e gestão de risco

Um modelo binário formula uma propriedade e limita as capacidades do adversário. Dentro dessas hipóteses, perguntamos se algum atacante pode violar a propriedade. Um resultado sobre o modelo não elimina erros da implementação nem ataques que ficaram fora, como um canal lateral de tempo.

Na gestão de risco, comparamos consequências, plausibilidade e custo de controlos. Podemos aceitar algum risco residual, por exemplo uma interrupção limitada, sem afirmar que o evento se tornou impossível. As estimativas podem estar erradas, por isso revemos a análise quando mudam o sistema, as ameaças ou a evidência.

A correção para entradas válidas não demonstra segurança para entradas hostis. Uma aplicação pode devolver a pauta certa a um docente e também devolvê-la a uma conta não autorizada. O teste funcional do primeiro caso não prova que o segundo foi impedido.

Privacidade e metadados

Privacidade inclui o uso e divulgação de informação sobre pessoas, não apenas manter o conteúdo secreto. Um serviço pode cifrar mensagens e continuar a revelar com quem falamos, a que horas e de onde. Estes metadados podem permitir inferir atividades.

Confidencialidade é uma propriedade técnica de acesso à informação. Uma utilização autorizada pelo sistema pode continuar inadequada para a finalidade acordada. Precisamos de explicitar dados, finalidade, entidades e contexto, sem assumir que cifragem equivale a privacidade.

Tratar o risco

Podemos reduzir o risco com controlos, evitar a atividade que o cria, partilhar consequências através de contratos ou aceitar o risco residual com uma decisão explícita. Uma cópia de segurança reduz as consequências de uma perda; não impede que o atacante leia os dados. Uma apólice pode partilhar custos; não restaura, por si, um serviço.

Para responder a um caso, escreve a cadeia completa: ativo, evento, fraqueza explorada, efeito e controlo. Termina com o risco residual. Essa última parte evita respostas como «usar HTTPS resolve a segurança».