Arcane.Seguranca

Escape por destino (HTML, atributo, JS, URL, shell, SQL LIKE, CSV, cabeçalho, log), sanitização de HTML por lista de permitidos, política e força de senha com vazamento por k-anonimato, TOTP/HOTP e códigos de recuperação, token e URL assinados com prazo e propósito, varredura de segredos por formato, redação de PII, defesa de SSRF e de travessia de caminho, limitador de taxa, bloqueio progressivo, trilha de auditoria encadeada e dez regras de análise estática.

Arcane.Crypto tem as primitivas — resumo, HMAC, senha derivada, aleatório de verdade, ChaCha20-Poly1305, JWT. Este módulo é o que se faz com a entrada que veio de fora, e ele chama o Crypto em vez de reimplementá-lo: duas contas iguais escritas duas vezes divergem, e no dia em que divergirem será a de segurança que estará errada.

Escapar é por destino, nunca “em geral”#

O que protege uma página HTML não protege uma linha de shell, e o que protege shell estraga um CSV. São doze destinos, e cada um tem a sua função — usar a errada é o mesmo que não usar nenhuma.

adopt Arcane.Seguranca as Seg

out Seg.escapar_html("<b>&'")
out Seg.escapar_js("</script>")
out Seg.escapar_csv("=HYPERLINK("http://mau")")
out Seg.escapar_cabecalho("ok
Set-Cookie: admin=1")
out Seg.escapar_log("ana
2026-01-01 INFO login ok")

out Seg.limpar_html("<b>oi</b><script>mau()</script>")

O segredo que se recusa a aparecer#

Um segredo vaza em log muito mais do que em commit, e vaza pelo caminho mais inocente que existe: alguém imprime o vault inteiro para depurar. Segredo é opaco para texto, para interpolação e para serialização.

adopt Arcane.Seguranca as Seg

chave := Seg.segredo("sk_live_exemplo_de_chave")

out chave
out $"usando {chave}"
out chave.revelar()

assert chave.igual("sk_live_exemplo_de_chave")

Ele não protege da memória nem de quem chama revelar(). O que ele faz é transformar um vazamento acidental numa linha explícita, que aparece na revisão de código.

Varredura de segredo, e o que a faz calar#

Ela acha por formato — ghp_, sk_live_, AKIA, bloco de chave privada, token do PyPI —, e por isso acha o que quem escreveu esqueceu, que é o único tipo que importa. O que ela não acusa custou mais que o que ela acusa:

adopt Arcane.Seguranca as Seg

fonte := "chave := "ghp_abcdefghijklmnopqrstuvwxyz0123456789""

achados := Seg.procurar_segredos(fonte)
cycle a in achados:
    out $"{a['tipo']} na linha {a['linha']}: {a['trecho']}"

out Seg.redigir(fonte)

Entrada hostil#

Quatro perguntas que uma aplicação faz sobre todo valor que chega de fora, e que quase sempre são respondidas com uma comparação de texto que não basta.

Segundo fator, e o token com prazo#

adopt Arcane.Seguranca as Seg

// Os vetores do RFC 4226
assert Seg.hotp("GEZDGNBVGY3TQOJQGEZDGNBVGY3TQOJQ", 0) is "755224"
assert Seg.hotp("GEZDGNBVGY3TQOJQGEZDGNBVGY3TQOJQ", 1) is "287082"

segredo := Seg.totp_segredo()
codigo := Seg.totp_agora(segredo)
assert Seg.totp_conferir(segredo, codigo)

out Seg.totp_uri(segredo, "ana@loja.com", emissor := "Loja")

adopt Arcane.Seguranca as Seg

chave := Seg.chave_de_assinatura()

t := Seg.assinar({"usuario": 7}, chave, proposito := "trocar-senha")

monitor:
    Seg.ler_assinado(t, chave, prazo := 900, proposito := "confirmar-email")
handle SignatureError as e:
    out "recusado: o proposito e outro"

lido := Seg.ler_assinado(t, chave, prazo := 900, proposito := "trocar-senha")
out lido["valor"]["usuario"]

Senha: a nota não serve, a lista serve#

“Senha fraca” não diz o que fazer. forca_da_senha devolve problemas, e politica devolve faltando — é isso que vai para a tela. exigir_politica levanta com a lista em e.nota, para quem escreve o caminho feliz.

Auditoria que não pode ser editada sem deixar marca#

Cada registro carrega o resumo do anterior. Isso não impede editar o arquivo — nada num arquivo local impede. O que ele dá é evidência: alterar ou apagar uma linha faz a próxima deixar de fechar, e conferir() diz em qual. Para que a evidência valha, a trilha tem de ser copiada para fora da máquina que a escreve.

adopt Arcane.Seguranca as Seg

livro := Seg.auditoria("auditoria.log")

livro.registrar("login", {"quem": "ana"})
livro.registrar("pagou", {"valor": 100})

r := livro.conferir()
out $"{r['registros']} registros, cadeia fecha: {r['ok']}"

Os dados de cada evento passam por redigir antes de serem gravados: uma trilha de auditoria é exatamente o tipo de arquivo que acaba anexado a um chamado.

O que este módulo não faz#

Guia com contexto e prática: Criptografia. As primitivas: Arcane.Crypto.

Funções (54)#