Paper Files / Phishing

Impersonação Eletrônica em Redes TCP/IP e UUCP: Modelagem, Exploração e Contramedidas contra “Phishing” em Sistemas Interconectados (1987)

2010-08-11PhishingPT

A crescente interconexão de sistemas computacionais por meio de ARPANET, redes TCP/IP emergentes, UUCP e BITNET ampliou substancialmente a superfície de ataque associada à confiança entre usuários e serviços. Este trabalho introduz e formaliza o fenômeno da impersonação eletrônica orientada à coleta de credenciais, prática que denominamos, por analogia à captura sistemática de informações, de “phishing”. Embora o termo ainda não esteja consolidado na literatura técnica, o vetor operacional — envio de mensagens fraudulentas que simulam autoridade legítima para induzir a revelação de senhas ou dados sensíveis — já se manifesta em ambientes acadêmicos e corporativos interligados. Partindo de modelos clássicos de segurança da informação (ANDERSON, 1980; DENNING, 1982), estruturamos um modelo de ameaça baseado em adversários com acesso à infraestrutura de correio eletrônico (SMTP), terminais remotos (TELNET) e mecanismos de autenticação baseados exclusivamente em senha. Propomos uma metodologia experimental controlada em ambiente UNIX 4.2BSD com sendmail, avaliando taxas de sucesso de ataques de engenharia social eletrônica sob diferentes níveis de conscientização do usuário. Desenvolvemos métricas probabilísticas para estimar a taxa de comprometimento em função do volume de mensagens fraudulentas e do nível médio de alfabetização em segurança. Resultados experimentais demonstram que, na ausência de autenticação forte e mecanismos criptográficos aplicados ao correio eletrônico, a taxa de exposição de credenciais pode ultrapassar 30% em populações não treinadas. Discutimos contramedidas técnicas viáveis em 1987, incluindo políticas de senha robusta, autenticação de dois fatores baseada em tokens físicos, uso experimental de criptografia assimétrica conforme proposto por Diffie-Hellman e implementações RSA, além de diretrizes administrativas. Concluímos que a vulnerabilidade central não reside apenas na infraestrutura técnica, mas na interface humano-máquina, exigindo abordagem integrada entre controles técnicos e políticas institucionais.

Introduction

A expansão das redes de computadores ao longo da década de 1980 transformou radicalmente o cenário operacional da computação distribuída. A consolidação do conjunto de protocolos TCP/IP (POSTEL, 1981a; POSTEL, 1981b; POSTEL, 1980) e a ampla adoção de sistemas UNIX em ambientes acadêmicos e governamentais criaram um ecossistema interconectado no qual a troca de mensagens eletrônicas tornou-se rotina operacional. Simultaneamente, mecanismos de autenticação permanecem primariamente baseados em identificadores públicos (login) e segredos compartilhados (senhas), transmitidos frequentemente em texto claro.

Nesse contexto, observa-se o surgimento de uma técnica ofensiva baseada não na exploração de falhas de software no sentido clássico, mas na manipulação psicológica mediada por canais eletrônicos. A prática consiste no envio de mensagens fraudulentas que simulam origem administrativa legítima — por exemplo, “Administrador do Sistema” — solicitando ao usuário que responda com sua senha sob pretexto de manutenção, atualização ou correção de falha crítica. Tal abordagem explora o modelo de confiança implícito entre usuários e operadores de sistemas de tempo compartilhado.

A literatura clássica de segurança enfatiza controle de acesso, confidencialidade e integridade (BELL; LAPADULA, 1973; DENNING, 1982). Contudo, menos atenção tem sido dedicada à manipulação social facilitada por redes digitais. Morris e Thompson (1979) analisaram vulnerabilidades de senhas fracas, mas não abordaram explicitamente ataques de indução voluntária. Este trabalho posiciona a impersonação eletrônica como vetor híbrido, combinando engenharia social com infraestrutura de rede.

Em 1987, não dispomos de infraestrutura criptográfica amplamente implantada para autenticação de mensagens eletrônicas. Embora os fundamentos de criptografia de chave pública tenham sido estabelecidos por Diffie e Hellman (1976) e operacionalizados por Rivest, Shamir e Adleman (1978), sua adoção permanece restrita. Consequentemente, a autenticação de origem em SMTP (POSTEL, 1982) é inexistente por padrão.

Este artigo apresenta: (i) formalização do problema; (ii) modelo de ameaça operacional; (iii) metodologia experimental em ambiente UNIX; (iv) resultados quantitativos; e (v) recomendações técnicas e administrativas factíveis no estado da arte de 1987.

Background and Related Work

A segurança de sistemas computacionais foi amplamente discutida por Anderson (1980), que enfatizou a importância de mecanismos de controle de acesso robustos. O modelo Bell-LaPadula (1973) formalizou propriedades de confidencialidade em ambientes militares, enquanto Denning (1982) consolidou princípios criptográficos aplicáveis à proteção de dados.

No contexto de redes, o protocolo SMTP (POSTEL, 1982) foi projetado com foco em interoperabilidade e simplicidade, não contemplando autenticação de remetente. O protocolo permite que qualquer cliente estabeleça sessão TCP na porta 25 e declare, via comando MAIL FROM, um endereço arbitrário. Essa característica estrutural constitui vetor fundamental para impersonação.

Tabela 1 — Protocolos Relevantes e Propriedades de Autenticação (1987)

Protocolo	RFC	Ano	Autenticação de Origem	Criptografia Nativa
SMTP	821	1982	Não	Não
FTP	959	1985	Usuário/Senha	Não
TELNET	854	1983	Usuário/Senha	Não
IP	791	1981	Não	Não
TCP	793	1981	Não	Não

Observa-se que nenhum dos protocolos fundamentais incorpora autenticação criptográfica de origem. A confiança é delegada ao perímetro administrativo.

Morris e Thompson (1979) demonstraram que senhas previsíveis reduzem drasticamente a segurança. Contudo, mesmo senhas fortes podem ser voluntariamente divulgadas sob coerção social simulada.

A criptografia assimétrica (DIFFIE; HELLMAN, 1976; RIVEST; SHAMIR; ADLEMAN, 1978) oferece potencial para assinatura digital de mensagens, mas sua aplicação prática em correio eletrônico ainda é incipiente.

Threat Model and Problem Formalization

Definimos o adversário $\mathcal{A}$ como entidade com acesso a:

Conta válida em sistema UNIX conectado à rede.
Capacidade de envio de mensagens SMTP.
Conhecimento parcial da estrutura organizacional.

O objetivo de $\mathcal{A}$ é maximizar o número de credenciais obtidas.

Seja $N$ o número total de usuários-alvo. Definimos:

$p$ = probabilidade de um usuário responder à mensagem fraudulenta.
$k$ = número de mensagens enviadas.
$C$ = número esperado de credenciais comprometidas.

Modelamos:

$$ C = N \cdot \left(1 - (1 - p)^k \right) $$

Para $k=1$, $C = Np$. Observamos que $p$ é função do nível de conscientização $a$ dos usuários, podendo ser aproximado por:

$$ p(a) = e^{-\alpha a} $$

onde $\alpha$ representa eficácia do treinamento.

Proposed Methodology

Estabelecemos ambiente experimental composto por:

Servidor VAX 11/780 executando 4.2BSD.
Sendmail (ALLMAN, 1983).
60 usuários voluntários.

Criamos três grupos:

Grupo	Treinamento Prévio	Número de Usuários
A	Nenhum	20
B	Orientação básica	20
C	Treinamento formal	20

Mensagem fraudulenta padrão:

“Prezado usuário, detectamos inconsistência em seu registro. Favor responder com sua senha para verificação imediata.”

Envio realizado via sessão SMTP manual:

telnet localhost 25
HELO admin.local
MAIL FROM:<admin@local>
RCPT TO:<usuario>
DATA
Subject: Verificação de Conta
Favor informar sua senha para validação.
.
QUIT

Implementamos coleta automática de respostas via alias no /etc/aliases:

admin:  "|/usr/local/bin/coletor_senhas"

O programa coletor_senhas registrava respostas em arquivo protegido para análise estatística.

Implementation

O script coletor foi implementado em C, utilizando leitura padrão de entrada:

include <stdio.h>
int main() {
    FILE f = fopen("/usr/local/logs/respostas.txt","a");
    char buf[512];
    while(fgets(buf, sizeof(buf), stdin)) {
        fputs(buf, f);
    }
    fclose(f);
    return 0;
}

Medidas de controle incluíram:

Isolamento experimental.
Notificação posterior aos participantes.
Alteração imediata das senhas comprometidas.

Experimental Evaluation

Resultados após uma única rodada:

Tabela 2 — Taxa de Resposta por Grupo

Grupo	Usuários	Respostas	Taxa (%)
A	20	7	35%
B	20	3	15%
C	20	1	5%

Após segunda rodada (k=2):

Tabela 3 — Comprometimento Acumulado

Grupo	Credenciais Comprometidas	Percentual
A	11	55%
B	5	25%
C	2	10%

Ajustando modelo:

Para Grupo A, $p \approx 0.35$.
Estimativa teórica para $k=2$:

$$ C = 20(1-(1-0.35)^2)=20(1-0.4225)=20(0.5775)=11.55 $$

Valor observado: 11. Aproximação adequada.

Case Study

Em ambiente acadêmico conectado à BITNET, operador malicioso enviou mensagem simulando “Centro de Computação”. Em dois dias, 14 contas foram comprometidas. Logs de acesso revelaram conexões TELNET subsequentes originadas de nós externos. A ausência de verificação de origem SMTP foi determinante.

Discussion

Os resultados demonstram que a vulnerabilidade primária reside na confiança implícita. A ausência de assinatura digital impede verificação de autenticidade. Soluções potenciais em 1987 incluem:

Uso experimental de assinaturas RSA.
Tokens físicos de autenticação.
Políticas formais proibindo solicitação de senha por e-mail.
Monitoramento de padrões de login.

A introdução de criptografia assimétrica poderia permitir verificação matemática da autenticidade:

Se $M$ é mensagem, assinatura:

$$ S = M^d \mod n $$

Verificação:

$$ M = S^e \mod n $$

(RIVEST; SHAMIR; ADLEMAN, 1978)

Conclusion and Future Work

A impersonação eletrônica representa ameaça concreta em redes interconectadas de 1987. Embora tecnicamente simples, seu impacto é significativo. Medidas técnicas devem ser combinadas com educação contínua. Trabalhos futuros devem investigar integração prática de assinaturas digitais ao SMTP e mecanismos de autenticação forte amplamente distribuídos.

REFERENCES

ANDERSON, J. P. Computer Security Threat Monitoring and Surveillance. James P. Anderson Co., 1980. Disponível em: https://csrc.nist.gov/csrc/media/publications/conference-paper/1980/10/01/computer-security-threat-monitoring-and-surveillance/documents/ande80.pdf.

ALLMAN, E. Sendmail – An Internetwork Mail Router. 1983. Disponível em: https://www.eecs.berkeley.edu/~eric/sendmail/.

BELL, D.; LAPADULA, L. Secure Computer Systems. MITRE, 1973. Disponível em: https://csrc.nist.gov/publications/history/bell-lapadula-model.

DENNING, D. Cryptography and Data Security. Addison-Wesley, 1982.

DIFFIE, W.; HELLMAN, M. New Directions in Cryptography. IEEE Trans. Info. Theory, 1976. Disponível em: https://ieeexplore.ieee.org/document/1055638.

FEINLER, E.; POSTEL, J. ARPANET Protocol Handbook. SRI, 1978.

MORRIS, R.; THOMPSON, K. Password Security: A Case History. CACM, 1979.

POSTEL, J. RFC 768 – UDP. 1980. https://www.rfc-editor.org/rfc/rfc768.

POSTEL, J. RFC 791 – IP. 1981. https://www.rfc-editor.org/rfc/rfc791.

POSTEL, J. RFC 793 – TCP. 1981. https://www.rfc-editor.org/rfc/rfc793.

POSTEL, J. RFC 821 – SMTP. 1982. https://www.rfc-editor.org/rfc/rfc821.

POSTEL, J. RFC 822 – ARPA Internet Text Messages. 1982. https://www.rfc-editor.org/rfc/rfc822.

POSTEL, J.; REYNOLDS, J. RFC 854 – TELNET. 1983. https://www.rfc-editor.org/rfc/rfc854.

POSTEL, J.; REYNOLDS, J. RFC 855 – TELNET Option Specifications. 1983. https://www.rfc-editor.org/rfc/rfc855.

POSTEL, J.; REYNOLDS, J. RFC 959 – FTP. 1985. https://www.rfc-editor.org/rfc/rfc959.

RIVEST, R.; SHAMIR, A.; ADLEMAN, L. A Method for Obtaining Digital Signatures. CACM, 1978.

SALTZER, J.; SCHROEDER, M. The Protection of Information in Computer Systems. Proc. IEEE, 1975.

SHANNON, C. Communication Theory of Secrecy Systems. Bell Labs, 1949.

NEUMANN, P. Computer-Related Risks. SRI, 1985.

WARE, W. Security Controls for Computer Systems. RAND, 1970.

BRAND, R. Data Encryption Standard. NBS, 1977.

NBS. FIPS PUB 46 – Data Encryption Standard. 1977. https://csrc.nist.gov/publications/detail/fips/46/final.

KAHN, D. The Codebreakers. 1967.

LAMPSON, B. Protection. ACM SIGOPS, 1971.

POPEK, G.; KLINE, C. Verification of Secure Systems. SOSP, 1977.