Guia simples

Como o Lastrium funciona, sem jargão

Para quem é de negócio, compliance, vendas — ou está chegando agora. O que é cada peça, como instalar e como integrar. Se você é técnico e quer os comandos, veja a Documentação.

01O problema, em uma frase

Toda a segurança da internet — bancos, Pix, sites, assinaturas — depende de criptografia: contas de matemática que embaralham a informação para que só o destinatário certo consiga ler. O problema: os computadores quânticos, que estão a caminho, vão conseguir "desembaralhar" boa parte da criptografia de hoje. E tem um agravante: um atacante pode guardar hoje os dados embaralhados e abrir depois ("colher agora, decifrar depois").

Por isso o Banco Central passou a exigir (Resoluções CMN 5.274 e BCB 538, de dez/2025) que as instituições conheçam e tratem a criptografia que usam — com prazo em 1º de março de 2026. Na prática, essa criptografia está espalhada por milhares de sistemas, ninguém tem o mapa completo, e uma planilha feita à mão nunca vai ser aceita como prova.

02O que é o Lastrium

Um raio-x + cartório da criptografia da instituição: enxerga a criptografia escondida nos sistemas, avalia o que está em risco, liga cada achado ao artigo exato da norma, e sela tudo numa prova assinada que o auditor confere sozinho.

O posicionamento honesto: entregamos evidência de postura, não uma certificação. A responsabilidade de estar em conformidade continua sendo do banco — nós damos a prova técnica sobre a qual ele decide.

03Os produtos, cada um com uma analogia

O Motor

≈ o motor do carro

O programa que faz o trabalho pesado — lê o inventário e produz a avaliação e a prova. Fica por baixo do app e da esteira.

O App de mesa

≈ o painel do carro

Você arrasta um arquivo e vê tudo visualmente: gráficos, semáforos, lista de problemas. Sem digitar comando. Para o usuário final.

A Linha de comando

≈ o piloto automático

O mesmo motor rodando sozinho dentro do processo de software (esteira), reprovando a entrega se algo grave aparecer.

Laudo + Dossiê

≈ documento de cartório

O documento formal (com QR) e o pacote de provas assinado. Tem carimbo, data e uma assinatura que denuncia qualquer adulteração.

Pacotes regulatórios

≈ o tradutor da norma

A ligação entre "achado técnico" e "artigo do Banco Central", editável por advogado. Marca cada item como confirmado ou a confirmar.

O Portal

≈ a recepção do prédio

Onde o cliente baixa o app, ativa a licença e verifica um laudo (confere o "crachá").

04Os três eixos de avaliação

Toda avaliação olha por três ângulos — e cada um tem um grau de prova diferente. É isso que nos torna honestos:

Eixo	O que responde	Como provamos
Criptográfico	"Sua criptografia aguenta o quântico?"	Verificado — lido do inventário
Custódia	"Onde estão suas chaves e certificados, e estão bem guardados?"	Detectado — do inventário e do sistema (nunca lemos o segredo)
Governança	"Você tem política, resposta a incidentes, testes…?"	Declarado e selado — a instituição responde, nós selamos e datamos (não afirmamos que é verdade)

05Instalação, passo a passo

Você precisa de uma licença ativa (recebida por e-mail) para ativar o app.

App de mesa — macOS (Apple Silicon)

Na Área do Cliente do portal, baixe o arquivo Lastrium…aarch64.dmg.
Dê dois cliques no arquivo baixado.
Arraste o ícone Lastrium para a pasta Aplicativos.
Abra o app e cole a chave de licença. (O app é assinado e reconhecido pela Apple — sem aviso de "app não confiável".)

App de mesa — Linux

Baixe o .deb (Ubuntu/Debian) ou o .rpm (Fedora/RHEL).
Instale pela loja de aplicativos (dois cliques) ou pelo terminal: sudo dpkg -i Lastrium_*_amd64.deb · sudo rpm -i Lastrium-*.x86_64.rpm.
Abra pelo menu e ative a licença.

Linha de comando (time técnico)

Baixe o programa único da sua plataforma na Área do Cliente.
Dê permissão: chmod +x lastrium-…. Pronto — é um só arquivo.

06Do início ao fim, em cinco passos

Descobrir a criptografia (o inventário/CBOM) — a lista de toda a criptografia dos sistemas. O próprio Lastrium varre o seu código-fonte (várias linguagens) e os arquivos dos servidores; se preferir, você traz um inventário já pronto. É o ponto de partida.
Avaliar — arraste o inventário no app; em segundos você vê os três eixos e a lista priorizada do que tratar.
Gerar o laudo selado — documento com QR, pronto para o auditor.
Empacotar o dossiê — o pacote de provas assinado, para o Banco Central/auditor.
Verificar — qualquer pessoa confere o dossiê offline, com um comando: diz "válido e íntegro" ou aponta o que foi adulterado.

07Integração na esteira (técnico)

Para avaliação automática a cada mudança de sistema:

Coloque um .lastrium.yml na raiz do repositório (pacote regulatório + classificação de dados).
(Opcional) Anexe as respostas de governança em .lastrium-governanca.yml, com os documentos de evidência.

Chame na esteira:

lastrium ci --source ./repo --config .lastrium.yml --out ./out --attest-key attest.key

A esteira ganha os arquivos de prova + um código de saída (passou / reprovou). A prova fica versionada com o código.

Importante: a avaliação roda offline — nada do seu código ou das suas chaves sai do seu ambiente. A única exceção é o passo opcional de verificação de revogação de certificado, que você liga explicitamente.

08Perguntas frequentes

O Lastrium vê minhas senhas e chaves?

Não. Ele lê só metadados — onde a chave está, o tipo, se está protegida — nunca o valor do segredo.

Meus dados vão para a nuvem da Lastrium?

Não. Tudo roda no seu ambiente. A única saída opcional (emitir um selo) leva apenas um resumo (hash), nunca o conteúdo.

O Lastrium me deixa "em conformidade" com o Banco Central?

Não automaticamente — ele entrega a prova técnica. A decisão de conformidade e a comunicação ao BC continuam sendo da instituição (é assim que a norma manda).

Preciso ser técnico para usar?

Não. O app de mesa é feito para arrastar um arquivo e ler o resultado. A parte técnica (esteira) é opcional.

Funciona sem internet?

Sim — a avaliação é 100% offline. Só a verificação de revogação de certificado precisa de rede, e é opcional.

09Glossário rápido

Criptografia: contas de matemática que embaralham a informação.
Pós-quântico: criptografia que resiste ao computador quântico.
CBOM: a "lista de ingredientes" da criptografia dos seus sistemas.
Certificado digital: a "carteira de identidade" digital de um sistema.
Chave privada: o segredo que só o dono deveria ter.
HSM / cofre: um "cofre" de hardware onde as chaves ficam bem guardadas.
Atestação: a assinatura digital que prova autoria e integridade.
Dossiê: o pacote de provas assinado, entregue ao auditor.
OCSP / CRL: formas de perguntar à autoridade se um certificado ainda vale ou foi cancelado.
Governança: as regras e processos de segurança da instituição.

Comece agora

Um diagnóstico de 30 minutos.

Mostramos o Lastrium rodando e onde o quântico te pega primeiro.

Agendar diagnóstico Ver a documentação técnica