Log sem assinatura de integridade: adulteração detectável

Encadear tudo costuma ser caro e pouco útil. O critério é direto: entra no encadeamento o evento que alguém teria motivo para negar depois. Aprovação de pagamento, mudança de permissão, alteração de regra de negócio e envio de dado para fora da empresa são exemplos. Log de desempenho, tentativa repetida de conexão e ruído de infraestrutura raramente precisam de prova.

O encadeamento só funciona se cada entrada incluir o resumo da anterior e um identificador estável do fluxo. Sem isso, dá para remover uma linha do meio e reconstruir o restante sem deixar sinal. O identificador também define o alcance da verificação: uma cadeia por robô, por processo ou por conta. Cadeias muito amplas dificultam saber quem deveria ter assinado; cadeias muito estreitas multiplicam chaves e âncoras.

A assinatura não vale mais do que a guarda da chave. Quem escreve o log não deve poder assinar nem trocar a chave. O desenho comum separa três papéis: quem gera o evento, quem assina o lote e quem guarda a âncora. Se a mesma pessoa acumula os três, o registro perde valor probatório mesmo estando assinado. Rotação de chave sem registro de quando ocorreu deixa o histórico em dúvida.

A verificação precisa de rotina, não de esforço pontual. Em geral, define-se uma conferência do encadeamento no fechamento de cada lote e uma conferência da âncora contra o armazenamento externo em intervalo maior, usando a janela de detecção como referência. O resultado dessa conferência é um registro em si: data, responsável, trecho conferido e divergência encontrada. Divergência sem tratamento registrado equivale a ausência de prova.

A assinatura prova que o registro não mudou depois de escrito. Ela não prova que o evento aconteceu, que o registro está completo nem que a automação agiu dentro do autorizado. Um log assinado pode descrever uma operação indevida com integridade total. Para esse lado servem controle de acesso, aprovação prévia e revisão de regra, não a assinatura.

Também não existe assinatura do que nunca foi escrito. Se o serviço ou o fornecedor não emite o evento, a trilha tem um vazio que nenhuma verificação detecta. O mesmo vale para o intervalo entre a queda da automação e o restabelecimento, e para registros de terceiros fora do controle da empresa. Nesses casos, o limite é conhecido e deve constar do documento de aceitação, em vez de ser tratado como falha de configuração.