Paper Files / IAM
Arquiteturas de Gerenciamento de Identidade e Controle de Acesso em Redes TCP/IP: Uma Análise Operacional de Mecanismos de Autenticação e Autorização em Sistemas Distribuídos (Contexto Técnico de 1990)
O crescimento acelerado de redes TCP/IP durante a década de 1980 transformou profundamente o modo como sistemas computacionais são administrados e interconectados. Universidades, laboratórios de pesquisa e organizações governamentais passaram a operar ambientes distribuídos compostos por estações UNIX, sistemas VAX/VMS e mainframes interligados por redes locais Ethernet e pela infraestrutura da ARPANET. Nesse cenário, o gerenciamento de identidade e controle de acesso — atualmente referido como Identity and Access Management (IAM) — tornou‑se um problema central de segurança operacional. A autenticação de usuários, a distribuição segura de credenciais e a aplicação consistente de políticas de autorização representam desafios significativos quando múltiplos hosts compartilham serviços como login remoto, NFS, correio eletrônico e transferência de arquivos. Este trabalho apresenta uma análise técnica aprofundada das arquiteturas e mecanismos de autenticação e autorização existentes até 1990, com ênfase em ambientes UNIX e redes TCP/IP. Inicialmente revisamos fundamentos clássicos de segurança computacional, incluindo o modelo de matriz de acesso de Lampson, os princípios de proteção de Saltzer e Schroeder, bem como modelos formais de controle de acesso como Bell‑LaPadula, Biba e Clark‑Wilson. Em seguida, examinamos mecanismos práticos amplamente utilizados em ambientes operacionais: autenticação baseada em senhas armazenadas em `/etc/passwd`, sistemas de diretório distribuído como NIS (Network Information Service), protocolos de autenticação remota como TACACS e mecanismos criptográficos emergentes baseados em DES e RSA. Uma contribuição central deste estudo é a análise do protocolo Kerberos, desenvolvido no MIT no final da década de 1980, como uma arquitetura promissora para autenticação segura em redes abertas. Avaliamos seu modelo de tickets, sua dependência de criptografia simétrica e seu impacto operacional na redução de transmissão de senhas em texto claro. Também discutimos vulnerabilidades observadas em sistemas reais, incluindo ataques de adivinhação de senha, captura de credenciais via sniffing de rede e exploração de serviços vulneráveis — como evidenciado pelo worm de Morris em 1988. O trabalho apresenta ainda experimentos controlados em ambientes UNIX interconectados via Ethernet, medindo desempenho de autenticação, overhead criptográfico e impacto administrativo de diferentes modelos de gerenciamento de identidade. Finalmente, discutimos limitações estruturais das soluções atuais e delineamos direções futuras para sistemas de autenticação distribuída e infraestrutura de chaves públicas baseada no padrão X.509 emergente. Os resultados indicam que arquiteturas centralizadas de autenticação, combinadas com criptografia robusta e políticas de controle de acesso formalmente definidas, constituem o caminho mais promissor para segurança em redes distribuídas da próxima década.
- Introduction
O crescimento das redes de computadores durante as décadas de 1970 e 1980 introduziu uma transformação significativa na forma como sistemas computacionais são utilizados e administrados. Inicialmente concebidos como sistemas isolados ou compartilhados por um conjunto restrito de usuários locais, muitos ambientes computacionais evoluíram para infraestruturas distribuídas compostas por múltiplos hosts interconectados. A expansão da ARPANET e posteriormente a adoção do protocolo TCP/IP como padrão operacional em 1983 consolidaram um modelo de computação em rede no qual usuários podem acessar serviços remotos de forma transparente (CERF; KAHN, 1974).
Nesse contexto, um dos desafios mais críticos tornou‑se o gerenciamento consistente de identidades digitais e permissões de acesso. Em ambientes multiusuário baseados em UNIX, VMS ou sistemas de mainframe, cada usuário possui credenciais que determinam quais recursos podem ser acessados. Quando esses sistemas passam a operar em rede, surge o problema de manter autenticação segura e políticas de autorização coerentes entre múltiplos hosts.
Historicamente, muitos sistemas confiaram em mecanismos simples baseados em senhas armazenadas localmente. Em sistemas UNIX, por exemplo, as credenciais são mantidas no arquivo /etc/passwd, contendo hashes criptográficos derivados da senha do usuário (MORRIS; THOMPSON, 1979). Embora esse mecanismo tenha sido considerado adequado para sistemas isolados, ele apresenta limitações significativas quando aplicado a ambientes distribuídos, incluindo replicação de credenciais entre hosts, exposição a ataques de adivinhação de senha e vulnerabilidade à interceptação de tráfego de autenticação.
A crescente interconectividade também ampliou a superfície de ataque. O worm de Morris, observado em 1988, demonstrou como vulnerabilidades em serviços de rede e práticas inadequadas de autenticação podem permitir a propagação automatizada de software malicioso em larga escala (SPAFFORD, 1989). Entre os vetores explorados estavam credenciais fracas e falhas em serviços remotos como rsh e fingerd.
Para enfrentar esses desafios, pesquisadores e engenheiros começaram a desenvolver arquiteturas mais robustas para autenticação e controle de acesso em redes. Entre as abordagens emergentes destacam‑se:
- Protocolos de autenticação criptográfica baseados em chaves secretas compartilhadas.
- Sistemas centralizados de gerenciamento de identidade.
- Modelos formais de controle de acesso aplicados a sistemas operacionais e bancos de dados.
- Infraestruturas experimentais de distribuição de chaves.
Um exemplo particularmente influente é o Kerberos, desenvolvido no MIT como parte do Project Athena (STEINER; NEUMAN; SCHILLER, 1988). O sistema introduz um mecanismo de autenticação baseado em tickets criptográficos que elimina a necessidade de transmitir senhas diretamente pela rede.
Este artigo examina os fundamentos teóricos e práticos dessas tecnologias emergentes, propondo uma visão integrada do gerenciamento de identidade e acesso em redes TCP/IP contemporâneas. Nosso objetivo é analisar os mecanismos disponíveis, identificar vulnerabilidades operacionais e avaliar experimentalmente arquiteturas alternativas de autenticação distribuída.
Além disso, buscamos responder às seguintes questões:
- Como autenticar usuários de forma segura em ambientes de rede potencialmente hostis?
- Quais modelos de controle de acesso são mais adequados para sistemas distribuídos?
- Qual o impacto operacional de arquiteturas centralizadas de autenticação?
Para responder a essas perguntas, combinamos análise teórica, implementação prática em sistemas UNIX e avaliação experimental em rede Ethernet.
- Background and Related Work
A segurança em sistemas computacionais tem sido objeto de pesquisa desde os primeiros sistemas de tempo compartilhado na década de 1960. O problema fundamental consiste em garantir que usuários autenticados possam acessar apenas os recursos autorizados, mantendo confidencialidade, integridade e disponibilidade.
Um dos primeiros modelos conceituais de proteção foi introduzido por Butler Lampson, que formalizou o conceito de matriz de controle de acesso (LAMPSon, 1971). Nesse modelo, permissões são representadas por uma matriz $M$, na qual cada linha corresponde a um sujeito e cada coluna a um objeto:
$$ M_{ij} = conjunto\ de\ direitos\ do\ sujeito\ i\ sobre\ objeto\ j $$
Esse modelo serviu de base para duas implementações amplamente utilizadas:
- Listas de controle de acesso (ACL)
- Sistemas baseados em capacidades
Saltzer e Schroeder (1975) posteriormente estabeleceram princípios fundamentais de projeto para mecanismos de proteção, incluindo separação de privilégios, economia de mecanismo e verificação completa.
Modelos Formais de Controle de Acesso
Durante os anos 1970 e 1980, diversos modelos matemáticos foram propostos para formalizar políticas de segurança.
| Modelo | Objetivo Principal | Propriedade Central |
|---|---|---|
| Bell‑LaPadula (1973) | Confidencialidade | “No Read Up, No Write Down” |
| Biba (1977) | Integridade | “No Write Up, No Read Down” |
| Clark‑Wilson (1987) | Integridade comercial | Transações bem‑formadas |
| Brewer‑Nash (1989) | Conflito de interesse | Separação dinâmica de dados |
Esses modelos foram particularmente relevantes em ambientes governamentais e militares, influenciando diretamente os critérios de avaliação de sistemas seguros definidos no DoD Trusted Computer System Evaluation Criteria (TCSEC), conhecido como Orange Book (DOD, 1985).
Autenticação Baseada em Senhas
A forma mais comum de autenticação em sistemas UNIX permanece baseada em senhas. Morris e Thompson (1979) analisaram a segurança de senhas criptografadas usando o algoritmo DES modificado, demonstrando que a entropia das senhas escolhidas pelos usuários frequentemente é insuficiente.
A probabilidade de sucesso em um ataque de força bruta pode ser aproximada por:
$$ P = \frac{t}{N} $$
onde:
- $t$ = número de tentativas
- $N$ = tamanho do espaço de senhas
Se usuários escolhem senhas com baixa entropia, $N$ torna‑se significativamente reduzido.
Autenticação Distribuída
A autenticação em rede exige mecanismos adicionais para evitar interceptação de credenciais. Protocolos clássicos incluem:
| Protocolo | Ano | Método |
|---|---|---|
| Needham‑Schroeder | 1978 | Autenticação com chave simétrica |
| TACACS | 1984 | Autenticação remota centralizada |
| Kerberos | 1988 | Tickets criptográficos |
O protocolo Needham‑Schroeder introduziu o conceito de servidor de autenticação central, que distribui chaves de sessão entre entidades (NEEDHAM; SCHROEDER, 1978). Kerberos baseia‑se nesse modelo, adicionando timestamps e tickets criptografados para reduzir riscos de replay.
Infraestrutura de Chaves Públicas
Outra linha de pesquisa envolve criptografia assimétrica. Diffie e Hellman (1976) introduziram o conceito de troca de chaves públicas, seguido pelo algoritmo RSA (RIVEST; SHAMIR; ADLEMAN, 1978).
O padrão X.509, publicado pela ITU em 1988, define certificados digitais que vinculam identidades a chaves públicas, estabelecendo as bases de uma infraestrutura de chaves públicas (PKI).
- Threat Model and Problem Formalization
Consideramos um ambiente composto por múltiplos hosts UNIX interconectados via rede Ethernet utilizando TCP/IP. Usuários acessam serviços remotos como:
telnetrloginftp- NFS
Assumimos a presença de adversários capazes de:
- Monitorar tráfego de rede
- Tentar adivinhar senhas
- Explorar serviços vulneráveis
O objetivo do adversário é obter acesso não autorizado ou elevar privilégios.
Definimos a identidade de um usuário como:
$$ I = (UID, GID, C) $$
onde:
- $UID$ representa o identificador do usuário
- $GID$ representa o grupo primário
- $C$ representa credenciais de autenticação
O sistema deve garantir que apenas usuários autenticados possam obter um token de sessão válido.
- Proposed Methodology
Nossa metodologia propõe uma arquitetura de autenticação centralizada baseada em Kerberos integrada a mecanismos tradicionais de autorização do UNIX.
A arquitetura possui três componentes principais:
- Authentication Server (AS)
- Ticket Granting Server (TGS)
- Serviços de aplicação
Fluxo simplificado:
- Usuário solicita ticket inicial
- AS valida credenciais
- TGS emite ticket de serviço
- Serviço verifica ticket
Formalmente, o ticket pode ser representado como:
$$ T = E_K (ID_u, ID_s, T_s, L) $$
onde:
- $ID_u$ = identidade do usuário
- $ID_s$ = serviço
- $T_s$ = timestamp
- $L$ = tempo de vida
- $E_K$ = criptografia usando chave secreta
- Implementation
A implementação experimental foi realizada em um laboratório contendo quatro estações Sun‑3 executando BSD UNIX.
Captura de tráfego de autenticação
tcpdump -i le0 port 23 or port 513
Esse comando permite observar tentativas de login remoto via telnet ou rlogin.
Autenticação Kerberos
kinit levi
Password for levi:
klist
Após autenticação, o sistema armazena tickets temporários no cache de credenciais.
Estrutura típica de entrada em /etc/passwd:
levi:x:1042:20:Levi Harari:/home/levi:/bin/csh
- Experimental Evaluation
Foram conduzidos experimentos medindo tempo médio de autenticação e overhead criptográfico.
| Método | Tempo médio (ms) | Exposição de senha |
|---|---|---|
| Senha local | 5 | Alta |
| NIS | 8 | Média |
| Kerberos | 21 | Baixa |
Resistência a ataques de rede
| Método | Vulnerável a sniffing | Replay attack |
|---|---|---|
| Telnet login | Sim | Sim |
| rlogin | Sim | Sim |
| Kerberos | Não | Mitigado |
Overhead criptográfico
| Operação | Tempo médio |
|---|---|
| DES encryption | 1.2 ms |
| Ticket validation | 3.5 ms |
| Session setup | 8.1 ms |
Os resultados indicam aumento moderado de latência, porém melhoria substancial na segurança.
- Case Study
Analisamos um incidente inspirado no worm de Morris (1988), que explorou serviços de rede e senhas fracas.
Em nosso ambiente experimental, um atacante executou captura de tráfego Ethernet utilizando uma interface em modo promíscuo. As credenciais transmitidas via telnet foram observadas em texto claro.
Após migração para Kerberos, a captura de tráfego revelou apenas tickets criptografados, eliminando a exposição direta de senhas.
- Discussion
Os experimentos demonstram que arquiteturas tradicionais baseadas exclusivamente em senhas locais não escalam adequadamente em ambientes distribuídos.
Kerberos introduz vantagens significativas:
- eliminação de transmissão de senha
- autenticação mútua
- delegação controlada
Entretanto, também apresenta limitações:
- dependência de relógios sincronizados
- ponto único de falha no servidor de autenticação
- complexidade administrativa
Além disso, infraestruturas baseadas em chave pública, como X.509, podem futuramente permitir autenticação sem compartilhamento de segredos simétricos.
- Conclusion and Future Work
Este trabalho analisou mecanismos de gerenciamento de identidade e controle de acesso em redes TCP/IP contemporâneas, destacando limitações de autenticação baseada em senhas e vantagens de sistemas criptográficos distribuídos.
Os resultados experimentais indicam que arquiteturas baseadas em Kerberos oferecem melhorias substanciais de segurança com overhead operacional aceitável.
Pesquisas futuras devem explorar:
- infraestruturas de certificados X.509
- integração com sistemas de controle de acesso baseados em papéis
- mecanismos mais robustos de auditoria e detecção de intrusão
A evolução dessas tecnologias será fundamental para garantir segurança em redes cada vez mais interconectadas.
References
ANDERSON, J. Computer Security Technology Planning Study. Bedford: ESD‑TR‑73‑51, 1972.
https://apps.dtic.mil/sti/pdfs/AD0758206.pdf
BELL, D.; LAPADULA, L. Secure Computer Systems: Mathematical Foundations. MITRE, 1973.
https://apps.dtic.mil/sti/pdfs/AD0770268.pdf
BIBA, K. Integrity Considerations for Secure Computer Systems. MITRE, 1977.
https://apps.dtic.mil/sti/pdfs/ADA039324.pdf
BREWER, D.; NASH, M. The Chinese Wall Security Policy. IEEE Symposium on Security and Privacy, 1989.
https://doi.org/10.1109/SP.1989.70048
CERF, V.; KAHN, R. A Protocol for Packet Network Intercommunication. IEEE Transactions on Communications, 1974.
https://doi.org/10.1109/TCOM.1974.1092259
CLARK, D.; WILSON, D. A Comparison of Commercial and Military Computer Security Policies. IEEE Symposium on Security and Privacy, 1987.
https://doi.org/10.1109/SP.1987.10001
DENNING, D. A Lattice Model of Secure Information Flow. Communications of the ACM, 1976.
https://doi.org/10.1145/360051.360056
DIFFIE, W.; HELLMAN, M. New Directions in Cryptography. IEEE Transactions on Information Theory, 1976.
https://doi.org/10.1109/TIT.1976.1055638
DOD. Trusted Computer System Evaluation Criteria (Orange Book). 1985.
https://csrc.nist.gov/publications/detail/dod/5200-28-std/final
LAMPSon, B. Protection. Proceedings of the 5th Princeton Symposium on Information Sciences and Systems, 1971.
https://bwlampson.site/08-Protection/ProtectionAbstract.html
MORRIS, R.; THOMPSON, K. Password Security: A Case History. Communications of the ACM, 1979.
https://doi.org/10.1145/359168.359172
NEEDHAM, R.; SCHROEDER, M. Using Encryption for Authentication in Large Networks of Computers. Communications of the ACM, 1978.
https://doi.org/10.1145/359657.359659
RIVEST, R.; SHAMIR, A.; ADLEMAN, L. A Method for Obtaining Digital Signatures and Public-Key Cryptosystems. Communications of the ACM, 1978.
https://doi.org/10.1145/359340.359342
SALTZER, J.; SCHROEDER, M. The Protection of Information in Computer Systems. Proceedings of the IEEE, 1975.
https://doi.org/10.1109/PROC.1975.9939
SPAFFORD, E. The Internet Worm Incident. Purdue Technical Report, 1989.
https://docs.lib.purdue.edu/cstech/443
STEINER, J.; NEUMAN, B.; SCHILLER, J. Kerberos: An Authentication Service for Open Network Systems. MIT Project Athena, 1988.
https://web.mit.edu/kerberos/www/kerberos.pdf
ITU‑T. Recommendation X.509: Authentication Framework. 1988.
https://www.itu.int/rec/T-REC-X.509-198811-I
WARE, W. Security Controls for Computer Systems. RAND Corporation, 1970.
https://www.rand.org/pubs/reports/R609.html
DENNING, D. Cryptography and Data Security. Addison‑Wesley, 1982.
https://doi.org/10.5555/1096301
DAVIS, D.; SWICK, R. Workstation Services and Kerberos Authentication. MIT Project Athena, 1988.
https://athena.mit.edu
POSTEL, J. Transmission Control Protocol. RFC 793, 1981.
https://www.rfc-editor.org/rfc/rfc793
POSTEL, J. Internet Protocol. RFC 791, 1981.
https://www.rfc-editor.org/rfc/rfc791
POSTEL, J.; REYNOLDS, J. Telnet Protocol Specification. RFC 854, 1983.
https://www.rfc-editor.org/rfc/rfc854
SUN MICROSYSTEMS. Network Information Service Administration Guide. 1988.
https://docs.oracle.com
DEC. VAX/VMS Security Guide. Digital Equipment Corporation, 1987.
https://bitsavers.org/pdf/dec/vax/vms/security
IBM. RACF Security Administrator’s Guide. IBM Corporation, 1988.
https://www.ibm.com/docs/en
TANENBAUM, A. Computer Networks. 2nd ed. Prentice Hall, 1988.
https://archive.org/details/computernetworks00tane