SEAL — o perímetro criptográfico de confiança

01O perímetro criptográfico de confiança #sec_af09b142

SEAL é o serviço que concentra as operações criptográficas sensíveis do REVIEWIT: conservar as referências de segredos, derivar valores, assinar selos, governar as gerações de chaves e autorizar a sua destruição. Os módulos de negócio solicitam-lhe uma operação; não obtêm a matéria secreta que a torna possível.

Esta fronteira evita que cada aplicação invente o seu próprio armazenamento de chaves, os seus formatos de recibos e as suas regras de rotação. O cofre subjacente protege os segredos; SEAL adiciona a doutrina REVIEWIT: isolamento por tenant, capacidades autorizadas, ciclo de vida, prova de operação e estado de autoridade.

SEAL não decide sobre uma certificação, um direito ou uma duração de retenção. Aplica uma operação criptográfica previamente autorizada e devolve um resultado ou um recibo verificável.

02A chave não sai, o resultado sim #sec_3b5f0896

Um consumidor manipula uma referência estável, nunca um segredo em texto não cifrado. Para assinar um cabeçalho de Trilha de Auditoria, SEAL faz com que a chave seja utilizada no seu perímetro e devolve a assinatura. Para o sign-off, deriva os acasos necessários para as provas de inclusão sem restituir o segredo de atestação.

Esta regra reduz fortemente os caminhos de exposição: nenhuma chave privada viaja na memória de uma aplicação de negócio, nos seus parâmetros ou nos seus registos. Também facilita a mudança de fornecedor de cofre, uma vez que os consumidores dependem de uma capacidade e não de uma API proprietária.

As operações são isoladas por uso. Uma chave de selo de auditoria, uma chave de assinatura documental e um segredo de derivação de atestação pertencem a domínios diferentes. Reutilizar a mesma chave porque as três operações «assinam algo» misturaria responsabilidades e durações incompatíveis.

03Gerações, rotação e destruição #sec_52bf3522

Um segredo possui uma classe e gerações. A política de classe decide se uma rotação é permitida, a que cadência e com que validações.

Alguns valores são voluntariamente não rotativos. O segredo que participou num compromisso de atestação deve permanecer estável: substituí-lo tornaria impossíveis as provas futuras. Uma nova geração pode servir as atestações seguintes, mas a antiga permanece disponível enquanto uma atestação viva depender dela.

A destruição segue a regra inversa: deve ser fácil de solicitar quando é legítima, difícil de anular e impossível enquanto uma dependência protegida persistir. O estado de autoridade impede um retorno silencioso a uma geração revogada ou destruída.

SEAL distingue assim a duração de negócio e o ciclo criptográfico. A retenção pode tornar uma geração elegível para destruição; não a destrói diretamente nem contorna os controlos de governança.

04Autorizar a operação, não apenas o chamador #sec_6d9b6b65

O controlo incide sobre a identidade do requerente, o tenant, a capacidade solicitada e o estado atual da autoridade. Uma aplicação autorizada a derivar um valor não recebe automaticamente o direito de assinar, fazer girar ou destruir uma chave.

Os atos humanos mais sensíveis podem exigir uma elevação TrustGate e uma dupla validação. As operações de serviço repetitivas seguem um regime adaptado à sua natureza, com identidades de máquinas, capacidades mínimas e recibos. Uma operação não mutante não é artificialmente tratada como uma operação de governança, mas permanece limitada e observável.

Os papéis do produto não são suficientes para administrar a conta de autoridade. A separação de poderes estende-se às políticas IAM e à cadeia de exploração: a pessoa capaz de alterar o armazenamento de prova não deve, sozinha, poder produzir um selo que mascararia essa alteração.

05Recibos, retomada e estado degradado #sec_40421e1a

As operações que modificam o estado são idempotentes. Um pedido «obter ou criar» com a mesma identidade lógica encontra a mesma geração; um reinício não fabrica dois segredos concorrentes. Os recibos permitem ao consumidor e à auditoria ligar o pedido, a decisão de autoridade e o resultado sem expor o valor secreto.

A auditoria permanece proporcional. Uma derivação que envolve milhares de elementos é rastreada por lote ou por tranche, não por valor elementar. O sistema prova que uma construção ocorreu sem submergir a pista.

Em situação degradada, SEAL falha de forma fechada para uma operação criptográfica que não pode garantir. O módulo chamador pode manter um estado de retomada, mas nunca deve apresentar como selado ou assinado o que não o é. As operações de leitura ou de serviço já explicitamente autorizadas não se tornam, por isso, portas de contorno da governança.

06Em resumo #sec_f94675c2

SEAL dá ao REVIEWIT uma única fronteira para proteger, autorizar e provar as suas operações criptográficas. As aplicações usam capacidades, não chaves; as gerações seguem as suas dependências; as operações sensíveis respeitam a separação de poderes; e nenhum resultado é apresentado como selado quando a autoridade não pôde garanti-lo.