Segurança na arquitetura TCP/IP

178 Pages·1999·1.49 MB·Portuguese

Seguran(cid:231)a na arquitetura TCP/IP:
de firewalls a canais seguros
Keesje Duarte Pouw
Disserta(cid:231)ªo de Mestrado
Seguran(cid:231)a na arquitetura TCP/IP:
de firewalls a canais seguros
Este exemplar corresponde (cid:224) reda(cid:231)ªo final da Dis-
serta(cid:231)ªo devidamente corrigida e defendida por
Keesje Duarte Pouw e aprovada pela Banca Exami-
nadora.
Campinas, janeiro de 1999
Paulo L(cid:237)cio de Geus (Orientador)
Disserta(cid:231)ªo apresentada ao Instituto de Computa-
(cid:231)ªo, UNICAMP, como requisito parcial para a
obten(cid:231)ªo do t(cid:237)tulo de Mestre em CiŒncia da Com-
puta(cid:231)ªo.
Instituto de Computa(cid:231)ªo
Universidade Estadual de Campinas
Seguran(cid:231)a na arquitetura TCP/IP:
de firewalls a canais seguros
1
Keesje Duarte Pouw
Janeiro de 1999
Banca Examinadora:
(cid:149) Prof. Dr. Paulo L(cid:237)cio de Geus (Orientador)
(cid:149) Profa. Dra. Liane Margarida Rockenbach Tarouco
DEE, Faculdade de Educa(cid:231)ªo, UFRGS
(cid:149) Prof. Dr. Ricardo Dahab
Instituto de Computa(cid:231)ªo, UNICAMP
(cid:149) Prof. Dr. CØlio Cardoso Guimarªes (Suplente)
Instituto de Computa(cid:231)ªo, UNICAMP
1. financiado por CNPq e FAPESP
' Keesje Duarte Pouw, 1999.
Todos os direitos reservados.
iv
Resumo
O espectro de protocolos e aplica(cid:231)ıes TCP/IP Ø provavelmente tªo amplo quanto Ø premente a
necessidade de mecanismos de seguran(cid:231)a nesta arquitetura. O alcance deste aspecto de segu-
ran(cid:231)a vai desde a seguran(cid:231)a intr(cid:237)nseca de sistemas operacionais, passando por firewalls, crip-
tografia e canais seguros, atØ aplica(cid:231)ıes espec(cid:237)ficas. De maneira geral, poucas referŒncias tratam
este problema de maneira completa, especialmente no que se refere (cid:224) criptografia e sua rela(cid:231)ªo
com os protocolos TCP/IP seguros.
Desta forma, o foco principal deste trabalho Ø enumerar os problemas inerentes (cid:224) arquitetura
TCP/IP, tratando as questıes de seguran(cid:231)a com especial Œnfase na tecnologia de firewalls e nos
algoritmos de criptografia, assim como na sua rela(cid:231)ªo na constru(cid:231)ªo de canais seguros de comu-
nica(cid:231)ªo. Como aplica(cid:231)ªo deste estudo, obteve-se diretrizes para o desenvolvimento de aplica-
(cid:231)ıes cr(cid:237)ticas do ponto de vista de seguran(cid:231)a em ambiente HTML/HTTPS, as quais serviram de
base para a implementa(cid:231)ªo do produto de Internet banking do BankBoston no Brasil.
v
Abstract
The range of TCP/IP protocols and applications is probably as wide as is strong the need for
security mechanisms in this architecture. The scope of the security aspects goes from the inherent
security of operating systems, through firewalls, cryptography and secure channels, up to specific
applications. As a general rule, little literature deals thoroughly with this issue, especially with
regards to cryptography and its relation to secure TCP/IP protocols.
As such, this work focuses on enumerating the intrinsic problems of the TCP/IP architecture,
dealing with the security issues with special emphasis in firewall technology and in cryptographic
algorithms, as well as in their relation with regards to building secure communication channels.
As an application for this study, directions for the development of critical security applications
in an HTML/HTTPS environment were obtained, which were the basis for the implementation of
the Internet banking system for BankBoston in Brazil.
vi
Dedicatória
Dedico aos meus pais, meus grandes amigos, companheiros e incentivadores, sem os quais este
trabalho nªo teria sido realizado.
vii
Agradecimentos
Ao professor Paulo L(cid:237)cio de Geus, por toda orienta(cid:231)ªo, apoio e aten(cid:231)ªo fornecidas durante o
desenvolvimento deste trabalho.
Ao professor Ricardo Dahab pela dedica(cid:231)ªo e apoio no desenvolvimento deste trabalho.
Aos colegas do Instituto de Computa(cid:231)ªo, em especial a JosØ Roberto Menezes Monteiro, pela
amizade, aprendizado e incentivo mœtuo no desenvolvimento de cada pesquisa.
Ao CNPq e FAPESP pela bolsas de estudo concedidas.
(cid:192) Luciana, por todo amor, carinho, compreensªo e principalmente paciŒncia.
A Deus, pela oportunidade de realiza(cid:231)ªo de mais este importante passo em minha vida.
Ao BankBoston, pelo apoio e suporte no desenvolvimento deste trabalho.
viii
Conteúdo
Resumo v
Abstract vi
Dedicat(cid:243)ria vii
Agradecimentos viii
Conteœdo ix
Lista de Tabelas xv
Lista de Figuras xvi
1 Introdu(cid:231)ªo 1
2 Vulnerabilidades dos protocolos TCP/IP 4
2.1 Introdu(cid:231)ªo . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4
2.2 Vulnerabilidades do meio f(cid:237)sico . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5
2.2.1 Grampeando a rede . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5
2.2.2 Falso mapeamento entre endere(cid:231)o IP e endere(cid:231)o Ethernet (ARP) . . . . . . . . . 5
2.3 Criando rotas para ataque . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6
2.4 ICMP (Internet Control Message Protocol) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6
2.5 UDP (User Datagram Protocol) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8
2.6 Sequence Number Attacks (SNA) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8
2.6.1 TCP Sequence Number Prediction Attack (SNPA) . . . . . . . . . . . . . . . . . . . . . 9
2.7 Sequestro de sessªo (Session Hijacking - SHA) . . . . . . . . . . . . . . . . . . . . . . . . . . . 10
2.8 Nega(cid:231)ªo de servi(cid:231)o e (cid:147)ataques de baixo n(cid:237)vel(cid:148) . . . . . . . . . . . . . . . . . . . . . . . . . . . 11
2.8.1 Fragmenta(cid:231)ªo IP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11
2.8.1.1 Ataque a filtros de pacotes . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11
2.8.2 Nega(cid:231)ªo de servi(cid:231)o (Denial of Service Attacks) . . . . . . . . . . . . . . . . . . . . . . 12
2.8.2.1 Ataques a aplica(cid:231)ıes . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 12
2.8.2.2 Flooding Attacks . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 12
2.8.2.3 Ataques ao IP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 13
2.8.2.4 SYN Flooding . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 13
2.8.2.5 Stealth Scanning . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 14
ix
2.8.3 Defesas . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 15
2.9 DNS (Domain Name System) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 16
3 Internet firewalls 17
3.1 Introdu(cid:231)ªo . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17
3.2 Conceitos bÆsicos . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17
3.3 Componentes e topologias bÆsicas . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 18
3.3.1 Componentes bÆsicos de um firewall . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 18
3.3.1.1 Filtro de pacotes . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 18
3.3.1.2 Bastion host . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 19
3.3.1.3 Dual-homed host . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 19
3.3.1.4 Packet state filter (adaptive screener ou dynamic filter) . . . . . . . . . 19
3.3.2 Topologias . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 20
3.3.2.1 Roteador escrutinador . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 20
3.3.2.2 Dual-homed gateway . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 20
3.3.2.3 Screened gateway . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 21
3.3.2.4 Screened subnet . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 22
3.4 Filtro de pacotes . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 24
3.5 Application gateways . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 26
3.6 Packet State Filters (PSF) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 27
3.7 Adicionando criptografia aos firewalls . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 28
3.7.1 Criptografia de firewall para firewall . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 29
3.7.2 Criptografia de usuÆrio para firewall . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 30
4 Introdu(cid:231)ªo (cid:224) criptografia computacional 31
4.1 Conceitos de seguran(cid:231)a . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 31
4.2 Sistemas de criptografia . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 32
4.2.1 Sistemas simØtricos ou de chave secreta . . . . . . . . . . . . . . . . . . . . . . . . . . . 32
4.2.1.1 DES (Data Encryption Standard) . . . . . . . . . . . . . . . . . . . . . . . . . . 34
4.2.1.2 Outros algoritmos simØtricos . . . . . . . . . . . . . . . . . . . . . . . . . . . . 34
4.2.1.3 Modos de opera(cid:231)ªo . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 35
4.3 Tipos de ataques . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 39
4.3.1 Ataques de for(cid:231)a bruta . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 39
4.3.2 CriptoanÆlise . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 39
4.3.2.1 Texto cifrado puro . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 39
4.3.2.2 Texto claro conhecido . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 39
4.3.2.3 Texto claro escolhido . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 40
4.3.2.4 Ataque do n(cid:243) intermediÆrio (Man-in-the-Middle Attack) . . . . . . . . 40
4.4 Fun(cid:231)ıes de hashing . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 41
4.4.1 MAC (Message Authentication Code) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 42
4.4.2 Birthday Attack . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 42
4.5 Sistemas assimØtricos ou de chave pœblica . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 42
4.5.1 Nota(cid:231)ªo . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 43
4.5.2 Conceitos algØbricos bÆsicos . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 44
4.5.2.1 Grupos algØbricos . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 44
4.5.2.2 Corpos algØbricos . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 45
4.5.3 RSA . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 47
x