Hidden Ciphers and Where to Find Them: Static Discovery and Assessment of Cryptographic Assets in Software
Este artigo apresenta uma abordagem de análise estática baseada em classificação para descobrir e avaliar ativos criptográficos em sistemas de software, demonstrando sua eficácia na identificação de vulnerabilidades e candidatos à migração pós-quântica para aumentar a governança de segurança e a transparência.
Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo
A Fortaleza Invisível e o Mapa para Encontrá-la
Imagine que cada software que você usa hoje — seu videogame favorito, seu aplicativo de banco, até mesmo a sua geladeira inteligente — é construído dentro de uma enorme e invisível fortaleza. As paredes dessa fortaleza são feitas de criptografia, um tipo especial de magia matemática que tranca seus dados para que apenas as pessoas certas possam abri-los. É por isso que suas senhas permanecem secretas e suas mensagens não podem ser lidas por estranhos. Por muito tempo, as empresas apenas esperavam que essas paredes fossem fortes o suficiente, mas elas não tinham realmente um mapa para ver onde estavam os tijolos, onde estavam as portas, ou se alguma delas era feita de papelão em vez de aço.
Agora, uma nova ameaça está batendo à porta: os computadores quânticos. Estas são máquinas superpoderosas que, no futuro, poderão atravessar as fechaduras criptográficas atuais como se fossem feitas de papel. Para sobreviver a isso, as organizações precisam saber exatamente que tipo de fechaduras possuem agora, para que possam trocá-las por outras "à prova de quantum" antes que os vilões cheguem. Mas aqui está o problema: essas fechaduras digitais estão espalhadas por toda parte. Elas estão escondidas dentro de linhas de código, enterradas em arquivos de configuração, guardadas em chaves secretas e misturadas nas bibliotecas de software que os programas utilizam. Sem uma maneira de encontrá-las, você não pode consertá-las. É aqui que um novo artigo entra em cena, oferecendo uma lanterna para os cantos escuros do software.
O Artigo: Uma Caça ao Tesouro por Fechaduras Digitais
O artigo, intitulado "Hidden Ciphers and Where to Find Them" (Cifras Escondidas e Onde Encontrá-las), introduz um novo e inteligente método para caçar esses ativos criptográficos ocultos. Os autores, Christian Näther e Eduard Hirsch, perceberam que tentar encontrar essas fechaduras era como tentar limpar um quarto bagunçado sem uma lista do que pertence a ele. Algumas pessoas estavam procurando por tipos específicos de chaves, enquanto outras estavam apenas adivinhando. Os autores decidiram construir uma caça ao tesouro sistemática.
Primeiro, eles criaram um sistema de classificação, que é como um conjunto de três lupas diferentes para observar o software. Eles perceberam que o "material" criptográfico vem em três sabores distintos:
- Material Criptográfico: Estes são os segredos reais, como as chaves privadas e as próprias senhas. Pense neles como as moedas de ouro reais no baú do tesouro.
- Artefatos Criptográficos: Estes são os recipientes estruturados, como certificados ou identidades digitais que contêm informações sobre quem tem permissão para entrar. São as caixas elegantes em que as moedas vêm.
- Invocações Criptográficas: Estes são os momentos em que o software realmente usa a magia. É como ver alguém girar uma chave em uma fechadura ou digitar uma senha. Esta é a ação de usar o tesouro.
Para tornar essa caça eficiente, os autores construíram duas ferramentas principais. A primeira é um Repositório de Regras chamado "Crypistry". Imagine isso como um livro de receitas gigante e em constante atualização. Em vez de codificar instruções diretamente em um robô, o livro de receitas lista exatamente o que procurar (como "encontrar qualquer arquivo terminando em .pem" ou "procurar pelo comando OpenSSL::Cipher"). Isso significa que, se um novo tipo de fechadura aparecer, basta adicionar uma nova receita ao livro; você não precisa reconstruir o robô inteiro.
A segunda ferramenta é o Scanner, chamado "Crypsy". Este é o robô que lê o livro de receitas e escaneia o software. Ele não apenas adivinha; ele segue as regras para encontrar o material, os artefatos e as invocações. Uma vez que encontra algo, ele não apenas lista; ele avalia. Ele verifica se uma fechadura é fraca (como uma dobradiça enferrujada) ou se é uma vulnerabilidade conhecida (como uma porta que já foi arrombada por ladrões antes). Em seguida, ele gera um CBOM (Cryptographic Bill of Materials), que é basicamente uma lista de inventário detalhada de cada fechadura e chave encontrada, pronta para ser usada pelas equipes de segurança.
O Que Eles Encontraram e O Quão Certos Estão
Os autores testaram seu robô de duas maneiras para ver se ele realmente funcionava.
Primeiro, eles construíram um benchmark sintético chamado "Cryben". Este era um sistema de software falso que eles criaram, onde sabiam exatamente onde cada fechadura e chave estava escondida. Era como uma caça ao tesouro de prática onde eles conheciam a folha de respostas. Quando rodaram o Crypsy contra esse teste, ele encontrou 75% dos itens ocultos corretamente (um score F1 de 0,75). Foi muito bom em encontrar os segredos reais (as moedas de ouro), mas às vezes perdeu as formas mais complexas de como o software usava as fechaduras. No entanto, quando se tratava de rotular os problemas encontrados, foi incrivelmente preciso, identificando corretamente 91% das fraquezas e vulnerabilidades esperadas.
Em seguida, levaram o scanner para o mundo real. Eles escanearam uma infraestrutura de TI real composta por dez serviços implantados (incluindo coisas como GitLab, um executor de CI/CD e um banco de dados). Eles escanearam 57.610 arquivos em menos de seis minutos. Nesse caos do mundo real, o scanner descobriu 370 ativos criptográficos. Encontrou seis vulnerabilidades específicas ligadas a brechas de segurança conhecidas (CVEs) e identificou 52 itens que precisariam ser substituídos para sobreviver à futura ameaça do computador quântico.
Os autores estão bastante confiantes nesses resultados, mas são cuidadosos ao notar os limites. Eles admitem que seu scanner é atualmente melhor em encontrar coisas nas linguagens de programação Ruby e Go, e que depende de o "livro de receitas" (Crypistry) estar atualizado. Se uma fechadura estiver escondida de uma forma que o livro de receitas ainda não conhece, o scanner pode perdê-la. Eles também descobriram que, embora o scanner seja ótimo para encontrar problemas potenciais, alguns desses achados precisam de uma revisão humana para verificar se são realmente perigosos, pois o scanner nem sempre consegue entender como um pedaço de código está sendo usado no contexto geral.
O Panorama Geral
Este artigo não afirma ter resolvido todo o problema da segurança de software. Em vez disso, oferece uma maneira prática e estruturada de finalmente ver o que está escondido no escuro. Ao classificar os diferentes tipos de ativos criptográficos e separar as "regras" do "scanner", os autores criaram um sistema que pode crescer e se adaptar. Seus resultados sugerem que, com essa abordagem, as organizações podem finalmente obter uma visão clara de seu cenário criptográfico, o que é o primeiro passo essencial antes de começarem a trocar as fechaduras antigas por novas, à prova de quantum. É um mapa para a caça ao tesouro e, pela primeira vez, o mapa parece realmente levar a algum lugar.
Afogado em artigos na sua área?
Receba digests diários dos artigos mais recentes que correspondam às suas palavras-chave de pesquisa — com resumos técnicos, no seu idioma.