A Northwind Traders mantém um registro de inventário para cada uso de criptografia que protege um limite de negócios, e cada registro possui um proprietário de sistema designado, responsável pelo seu caminho de migração. O registro aceita evidências observadas de protocolo, algoritmo, certificado, biblioteca e propriedade, retornando então um mapa de dependências vulneráveis à computação quântica — pronto para subsidiar decisões — em vez de apenas uma lista de certificados. A ameaça é a coleta do tipo “coletar agora, descriptografar depois” (harvest-now-decrypt-later) de tráfego de clientes, pagamentos e administrativo, atualmente protegido por criptografia de chave pública que poderia ser quebrada por um futuro computador quântico com capacidade criptoanalítica relevante.
Os caminhos críticos da Northwind atravessam diversos limites de confiança. A vitrine pública (Storefront) e o aplicativo móvel conectam-se ao EdgeGW; o EdgeGW autentica-se no sistema de pedidos (Orders) via TLS mútuo; o serviço de autenticação (AuthN) assina os JWTs aceitos pelo portal administrativo e pelas APIs; o PayBridge conecta-se a um provedor de pagamentos; e o pipeline de CI/CD assina artefatos prontos para implantação. Autoridades certificadoras corporativas e públicas estabelecem raízes de confiança distintas. Um auditor que encontre um certificado RSA-2048 em um ponto de borda (edge) não consegue determinar, de imediato, se essa mesma primitiva também assina lançamentos (releases), autentica serviços ou valida tokens de acesso.
A arquitetura torna visível o limite de coleta antes mesmo de atribuirmos registros a ele:
Este diagrama mostra por que um inventário de certificados, por si só, é insuficiente: TLS, mTLS, verificação de JWT e verificação de pacotes atribuem à criptografia de chave pública papéis distintos em protocolos, com proprietários diferentes.
Como a mesma chave RSA-2048 pode desempenhar funções diferentes, a Northwind registra um uso criptográfico como um algoritmo operando para uma finalidade específica em um determinado limite (boundary). Um certificado de servidor TLS, uma troca de chaves ECDH e uma assinatura JWT tornam-se usos distintos, mesmo quando expostos por um único produto. Essa separação é importante porque o estabelecimento híbrido de chaves pode reduzir a exposição da confidencialidade em um caminho TLS compatível, enquanto uma assinatura JWT inalterada permanece passível de falsificação sob o modelo de ameaça quântica.
Cada registro captura as evidências necessárias para uma decisão futura de substituição:
Os campos obrigatórios distinguem a descoberta da tomada de decisão. A análise do conjunto de cifras identifica a exposição ao ECDH, mas a versão da biblioteca e o caminho de atualização determinam se o EdgeGW pode adotar uma implementação híbrida. Um registro de assinatura requer a localização dos verificadores, pois alterar o assinante sem atualizar o portal administrativo, o gateway de API e o verificador de implantação compromete a relação de confiança. A comparação a seguir avalia os detalhes ausentes que, frequentemente, impedem que inventários — de outra forma precisos — se transformem em roteiros de implementação:
Esta tabela mostra que a descoberta de algoritmos é necessária, mas insuficiente: a propriedade, o alcance do verificador e a versão do produto determinam se uma substituição padronizada pode realmente ser implementada.
Regra de decisão Um registro sem finalidade e proprietário descreve um artefato, não uma dependência criptográfica passível de migração.
Com o esquema definido, a Northwind começa pelas fronteiras que transportam dados sensíveis de longa duração ou que aplicam decisões críticas de integridade. client→EdgeGW captura TLS externo; EdgeGW→Orders captura mTLS interno; AuthN captura a assinatura de JWT e todos os verificadores; PayBridge captura uma dependência de terceiros; e CI/CD captura a assinatura de artefatos. O inventário deve registrar ECDH separadamente de AES, pois o AES pode continuar adequado, enquanto o estabelecimento de chaves ECDH exige substituição ou uma transição híbrida.
Qual entrada requer tanto uma migração do assinante quanto um inventário de verificadores distribuídos: o registro de assinatura JWT do AuthN ou o registro mTLS do EdgeGW→Orders?
O inventário preenchido utiliza registros orientados a evidências para oito descobertas da Northwind e agrupa o resultado pela exposição a RSA-2048, ECDH e ECDSA P-256: