O que torna um protocolo seguro

Autenticação é o processo de estabelecer a identidade das partes que se comunicam. Sem autenticação, um protocolo fica vulnerável à personificação: um invasor pode fingir ser um servidor confiável e interceptar as comunicações. A autenticação em protocolos normalmente é obtida por meio de certificados digitais, chaves pré-compartilhadas ou mecanismos de desafio-resposta que comprovam o conhecimento de um segredo sem revelá-lo.

A confidencialidade garante que o conteúdo das mensagens seja acessível somente aos destinatários pretendidos. Ela é obtida por meio de criptografia usando chaves conhecidas apenas pelas partes envolvidas. Uma falha de confidencialidade significa que um bisbilhoteiro pode ler as mensagens durante o trânsito. A confidencialidade, por si só, não impede que um invasor adultere mensagens nem realize ataques de repetição; ela precisa ser combinada com proteção de integridade.

A proteção de integridade garante que as mensagens recebidas sejam exatamente o que o remetente transmitiu, sem acréscimos, exclusões ou modificações. Códigos de autenticação de mensagens e modos de criptografia autenticada oferecem integridade. Sem proteção de integridade, um invasor que não consiga ler o texto cifrado ainda pode conseguir inverter bits específicos de maneira previsível para alterar o texto claro descriptografado, como explorado em ataques de oráculo de preenchimento.

Não repúdio significa que um remetente não pode negar posteriormente ter enviado uma mensagem. Isso é obtido por meio de assinaturas digitais usando chaves assimétricas: somente o detentor da chave privada poderia ter produzido a assinatura, e a chave pública correspondente a verifica. Os códigos MAC não oferecem não repúdio, pois tanto o remetente quanto o destinatário conhecem o segredo compartilhado e qualquer um deles poderia ter produzido o MAC.

O frescor garante que uma mensagem antiga, anteriormente válida, não possa ser reproduzida por um invasor para provocar novamente o mesmo efeito. Os mecanismos de frescor incluem valores aleatórios inseridos nas mensagens que não podem se repetir, marcas de tempo com janelas de validade estreitas e números de sequência que devem aumentar estritamente. Sem frescor, reproduzir uma mensagem de autenticação capturada pode contornar completamente a autenticação.

O sigilo de encaminhamento perfeito garante que o comprometimento de chaves de longo prazo não exponha chaves de sessões anteriores. Ele é obtido gerando pares de chaves efêmeras (temporárias) para cada sessão usando Diffie-Hellman. As chaves de sessão são calculadas a partir das chaves efêmeras e descartadas após o uso. Mesmo que a chave privada de longo prazo do servidor seja roubada posteriormente, o invasor não poderá descriptografar sessões registradas anteriormente, pois as chaves efêmeras já não existirão.

A autenticação unilateral verifica apenas uma das partes: no HTTPS, o servidor apresenta um certificado que o cliente verifica, mas normalmente o servidor não verifica a identidade do cliente. A autenticação mútua (ou TLS mútuo, mTLS) exige que ambas as partes apresentem e verifiquem certificados. O mTLS é comum em arquiteturas de microsserviços, gateways de API e VPNs empresariais, nas quais ambas as extremidades precisam ser verificadas antes da troca de dados confidenciais.

Os projetistas de protocolos não podem confiar apenas na intuição. Um protocolo que parece obviamente seguro pode falhar de maneiras sutis. O protocolo de chave pública Needham-Schroeder foi publicado em 1978 e era considerado seguro. Em 1995, Gavin Lowe encontrou uma falha que permitia um ataque de personificação usando uma ferramenta de verificação formal. A verificação formal com verificadores de modelos como Tamarin ou ProVerif tornou-se prática padrão no projeto de protocolos críticos para a segurança.

O modelo Dolev-Yao é o modelo de ameaças padrão para analisar protocolos criptográficos. Ele pressupõe que o invasor controla toda a rede: pode interceptar, bloquear, modificar, reproduzir e injetar qualquer mensagem. Considera-se que as primitivas criptográficas são perfeitas (sem fragilidades matemáticas). Nesse modelo, um protocolo só é seguro se atingir seus objetivos mesmo quando o invasor tem controle total de todas as comunicações.

O projeto de protocolos criptográficos é notoriamente difícil porque as falhas costumam ser sutis e não óbvias. A interação entre várias mensagens, números únicos, marcações de tempo e chaves pode criar caminhos de ataque inesperados. As entidades participantes podem ter visões diferentes do estado do protocolo. Sessões concorrentes podem interferir umas nas outras. Todo protocolo importante implantado, incluindo SSL, TLS, WPA2 e 802.11, teve vulnerabilidades significativas descobertas após sua implantação.

O SSL 3.0 foi comprometido pelo ataque POODLE. O TLS 1.0 e o TLS 1.1 foram descontinuados devido a várias fragilidades. A criptografia WEP WiFi foi completamente comprometida durante seu primeiro ano de implantação. A VPN PPTP é considerada insegura devido às fragilidades do MS-CHAPv2. Cada falha ensinou algo à comunidade de segurança sobre a diferença entre intuições informais de segurança e o projeto de protocolos comprovadamente correto sob o modelo Dolev-Yao.

Qual propriedade de segurança garante que uma mensagem registrada por um invasor hoje não possa ser reenviada com sucesso ao servidor posteriormente para repetir uma ação?

Os protocolos seguros precisam oferecer autenticação, confidencialidade, integridade, não repúdio e atualização. O sigilo de encaminhamento perfeito protege sessões anteriores contra o comprometimento futuro de chaves. A autenticação mútua verifica ambas as partes. O modelo Dolev-Yao pressupõe uma rede totalmente adversária. O projeto de protocolos exige verificação formal, não apenas intuição. Todo protocolo importante teve vulnerabilidades descobertas após sua implantação, impulsionando a evolução contínua dos padrões criptográficos.