jperezduerto.info
Seguridad a fondo · Unidad 28 · Lección 10 de 11
Una firma responde una pregunta limitada
Separa validez de firma, idoneidad de versión, soporte y comportamiento del software.
Para prepararteModelado de amenazas: preguntar antes de construir
Después de esta lección puedes
- Explicar por qué un artefacto correctamente firmado puede incumplir la política de publicación.
Un programa auténtico puede seguir siendo la versión equivocada para el trabajo.
Qué demuestra verificar
Verificar un artefacto debe relacionar firma, contenido real e identidad o clave aceptada. Comprobar las matemáticas frente a cualquier clave no demuestra que corresponda al editor esperado por tu política.
Incluso una firma correctamente verificada no certifica comportamiento seguro, soporte actual ni idoneidad para tu aplicación. Son afirmaciones distintas. La procedencia puede aportar evidencia sobre cómo se produjo el artefacto, pero también deben evaluarse sus afirmaciones y fuente de confianza.
Registro proporcionado: el quiosco de la galería
La galería ficticia quiere publicar un quiosco que utiliza PhotoTiles. Su revisión contiene:
Artefacto: PhotoTiles 2.4, coincide con su registro de versión firmado.
Verificación: firma y vínculo al contenido válidos; identidad esperada aceptada.
Mantenedor: terminó el soporte de 2.4; versión 3 tiene soporte.
Política: los componentes de producción deben tener soporte actual.
Compatibilidad de versión 3: pendiente de evaluación.
Supón que se aplicó correctamente la política de confianza y el aviso está actualizado. La autenticidad pasó, pero la versión propuesta incumple el requisito de soporte. El registro no justifica publicarla.
Conserva ambas conclusiones
Escribe por separado “firma verificada” y “versión no adecuada según la política actual”. Solicita evidencia de compatibilidad y dependencias del reemplazo con soporte antes de recomendarlo.
No deduzcas que 2.4 es malicioso ni que la versión 3 carece de vulnerabilidades. Nada de eso se desprende del registro. Tu nota debe identificar el artefacto sustituto exacto, repetir las comprobaciones de autenticidad y documentar soporte y revisión funcional y de seguridad. Un nombre conocido no demuestra contenido inalterado.
Compruébate
Sin reloj ni penalizaciones. Lee cada explicación y vuelve a intentarlo cuando quieras.
Las preguntas de esta lección han cambiado. Tu lectura sigue guardada; repasa las preguntas actualizadas.
-
¿Cómo debe clasificar el equipo el registro del paquete PhotoTiles?
Ver la respuesta
Respuesta correcta: Las comprobaciones de firma pasaron, pero 2.4 incumple el requisito de soporte para publicar. La autenticidad y la política de publicación responden preguntas distintas. Esta exige soporte y el aviso indica que 2.4 ya no lo tiene.
Pruébalo
- EscribeEscribe una decisión en dos partes: qué demuestra la firma y por qué la versión todavía no es aceptable. Indica la evidencia necesaria para un reemplazo con soporte.