Capítulo 8 — Defensa y plan de publicación

Mapa de la lección

Lección 08 publicada. Mapa, ejemplo, EX045.

flowchart TD
  N0["Resultados de aprendizaje y conexión"]
  N1["8.1 La auditoría de afirmaciones"]
  N2["8.2 Preguntas del tribunal"]
  N3["8.3 Plan de publicación"]
  N4["8.4 Divulgación coordinada"]
  N5["8.5 Informar a quien decide"]
  N6["8.6 Después de la defensa"]
  N7["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX045"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje y conexión"]
  N1["8.1 La auditoría de afirmaciones"]
  N2["8.2 Preguntas del tribunal"]
  N3["8.3 Plan de publicación"]
  N4["8.4 Divulgación coordinada"]
  N5["8.5 Informar a quien decide"]
  N6["8.6 Después de la defensa"]
  N7["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX045"]

[Resultados de aprendizaje y conexión]
    |
    v
[8.1 La auditoría de afirmaciones]
    |
    v
[8.2 Preguntas del tribunal]
    |
    v
[8.3 Plan de publicación]
    |
    v
[8.4 Divulgación coordinada]
    |
    v
[8.5 Informar a quien decide]
    |
    v
[8.6 Después de la defensa]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX045]

Resultados de aprendizaje y conexión

Al terminar este capítulo usted podrá (1) auditar cada afirmación de una tesis frente a su evidencia; (2) anticipar y ensayar las preguntas del tribunal; (3) planificar el orden y los foros de las publicaciones; (4) llevar a cabo la divulgación coordinada de las debilidades de productos encontradas durante la investigación; y (5) informar con exactitud a una persona con poder de decisión que no es especialista. Cierra el arco iniciado en el capítulo 1 y conduce al apéndice de respuestas resueltas.

8.1 La auditoría de afirmaciones

Enumere cada frase del resumen, la introducción y la conclusión que afirma algo. Para cada una, anote el peldaño (capítulo 1), la tabla o figura que la sustenta, la incertidumbre y el matizador de alcance. Toda afirmación sin un artefacto que la sustente se elimina o se reescribe. En la auditoría sintética de Ciphertrail fallan dos frases: una dice «organizaciones» cuando la evidencia abarca dos organizaciones sintéticas, y otra dice «firmas» cuando la evidencia pasiva abarca solo las cadenas de certificados visibles en TLS 1.2. Ambas se corrigen antes de la entrega.

Repita la auditoría después de cada ronda de revisión.

8.2 Preguntas del tribunal

Prepare respuestas, con referencias a diapositivas o páginas, para las preguntas que los examinadores de este campo hacen con seguridad. ¿Por qué debería creer su verdad de referencia? (adjudicación ciega, κ, incógnitas). ¿Qué ocurre con una organización que no tiene equipos de fabricantes? (el mecanismo predice poca ganancia; evidencia de Marrow). ¿Depende su resultado de la fecha del CRQC? (no: la exhaustividad del inventario es independiente de z; las implicaciones para la priorización sí dependen, y se presentan como un recorrido). ¿Y si se rompe ML-KEM? (el inventario sigue siendo útil; el despliegue híbrido y la agilidad son la respuesta arquitectónica; cite las roturas de Rainbow y SIKE como precedente de sorpresa). ¿En qué se equivocó? (la κ del piloto, el constructo original de «uso»). Ensaye con un examinador simulado hostil y anote qué respuestas necesitaron una referencia de página que no tenía.

8.3 Plan de publicación

Ordene los artículos de modo que cada uno se sostenga por sí solo y la evidencia más sólida aparezca primero. Un plan plausible: (1) el artículo de replicación y de unidad de medida (el diagnóstico al estilo de InvBench, la unidad de recuento y la deriva de los codepoints) en un foro de medición o de seguridad de sistemas; (2) el estudio principal de doble fuente con su validación; (3) el corpus adjudicado como artículo de conjunto de datos con su ficha; (4) un resumen orientado a profesionales. Evite trocear en rodajas resultados que solo tienen sentido juntos. Registre públicamente el plan de análisis del estudio principal antes de abrir los datos de Marrow si hay un registro disponible, o deposite un hash con sello de tiempo.

8.4 Divulgación coordinada

Durante el estudio sintético, el equipo observó que un modelo de equipo aceptaba un retroceso solo clásico cuando un equipo intermedio del banco de pruebas eliminaba su grupo híbrido: una debilidad de degradación. El plan de divulgación: confirmar el comportamiento solo en el banco de pruebas aislado; notificar al fabricante con detalles reproducibles y una ventana propuesta de 90 días; informar al dueño en HRHN de las unidades afectadas sin publicar su identidad; publicar solo después de una corrección o del plazo acordado, describiendo la clase de debilidad en lugar de una receta de explotación. La tesis registra la cronología de la divulgación como evidencia de conducta ética.

8.5 Informar a quien decide

Un informe de una página para el consejo de dirección de HRHN (sintético) declara: qué se midió (dónde se usa criptografía vulnerable a la computación cuántica, no si la red es «segura»); el hallazgo principal (el escaneo estático por sí solo pasó por alto la mayoría de los usos en equipos de fabricantes; combinar fuentes elevó la proporción encontrada de aproximadamente uno de cada cinco a más de cuatro de cada cinco donde había sensores); lo que sigue sin conocerse (el 9 % de los activos; los datos en reposo; el firmware de los dispositivos sin conexión); la decisión solicitada (financiar sensores en dos segmentos no supervisados y exigir en las compras que los fabricantes declaren sus algoritmos criptográficos); y lo que el informe no afirma (ninguna fecha para un ordenador cuántico). No usa siglas sin explicar y adjunta la tabla de límites.

8.6 Después de la defensa

Archive las versiones finales, actualice la ficha del conjunto de datos con las erratas y programe una nueva verificación del estado de las normas citadas: para entonces FN-DSA y HQC probablemente tendrán normas definitivas, y NIST IR 8547 puede haberse revisado. Una tesis sobre una transición debería terminar con una declaración de qué cambiaría sus conclusiones. Indique en el archivo qué conclusiones dependen del estado de las normas, para que un lector posterior a la siguiente revisión sepa qué volver a comprobar. Enumere esas conclusiones de forma explícita junto con sus dependencias.

8.7 Errores comunes y límites

• Afirmaciones en el resumen más amplias de lo que sustenta cualquier tabla.
• Preparar respuestas solo para preguntas amables.
• Publicar una debilidad antes de informar al fabricante y al dueño.
• Informes ejecutivos que convierten la incertidumbre en una sola fecha o puntuación.

Cada error tiene una salvaguarda ya usada en este estudio: la auditoría de afirmaciones, un examinador simulado hostil, la cronología de divulgación acordada con el fabricante y con el dueño, y un informe que presenta incógnitas e intervalos en lugar de una fecha. Revise el informe con alguien ajeno al proyecto antes de que llegue al consejo.

Ejercicios — capítulo 8

• EX045 — Auditoría de afirmaciones. Audite cinco frases asertivas de su párrafo de resultados del capítulo 5. Rúbrica: 3 = cada afirmación trazada hasta un artefacto, fallos reescritos.
• EX046 — Preguntas hostiles. Escriba cinco preguntas hostiles del tribunal que no figuren en 8.2 y esboce las respuestas. Rúbrica: 3 = preguntas realmente difíciles, respuestas acotadas.
• EX047 — Orden de publicación. Proponga y justifique un plan de tres artículos para una tesis propia. Rúbrica: 3 = cada artículo se sostiene solo; sin troceo en rodajas.
• EX048 — Cronología de divulgación. Redacte una cronología de divulgación para la debilidad de degradación, incluido qué ocurre si el fabricante no responde. Rúbrica: 3 = cubre al dueño y al fabricante; la publicación describe la clase, no la receta.
• EX049 — Informe ejecutivo. Redacte el informe de una página descrito en 8.5. Rúbrica: 3 = exacto, accionable, sin fechas ni afirmaciones de «seguro».
• EX050 — Qué lo cambiaría. Enumere cuatro acontecimientos futuros y cómo cambiaría cada uno las conclusiones de la tesis. Rúbrica: 3 = incluye un acontecimiento criptoanalítico, uno de normas y uno de evidencia de campo.

Síntesis del capítulo

La defensa es la auditoría final de afirmaciones: cada aserción tiene un artefacto, cada pregunta hostil tiene una respuesta acotada, las publicaciones se sostienen solas, las debilidades se divulgan antes de publicarse y quienes deciden reciben lo que se midió, no lo que esperaban oír.

Siga estudiando — capítulo 08 de 08

← Capítulo 07 (borrador) · Índice de capítulos del curso · Resultados resueltos ↓ · Siguiente curso desde el índice de capítulos →