HKHiago Kin Levi
← Voltar aos artigos

Paper Files / AppSec

Segurança de Aplicações em Sistemas Conectados: Modelagem de Ameaças, Exploração de Falhas de Memória e Estratégias Práticas de Defesa em Ambientes UNIX e TCP/IP (1989)

AppSecPT

A crescente interconexão entre sistemas computacionais durante a década de 1980 transformou aplicações de software em vetores primários de comprometimento de segurança. O incidente do worm de Morris em 1988 demonstrou de forma inequívoca que vulnerabilidades em aplicações — particularmente erros de validação de entrada e manipulação insegura de memória — podem permitir comprometimento remoto em larga escala. Este trabalho apresenta uma análise sistemática de segurança de aplicações (Application Security) no contexto tecnológico de 1989, com foco em sistemas UNIX, redes TCP/IP e software escrito predominantemente em linguagem C. O estudo examina as principais classes de vulnerabilidades observadas em programas de rede, incluindo transbordamentos de buffer, uso inseguro de chamadas de sistema, falhas em mecanismos de autenticação e erros de lógica em protocolos. Propomos um modelo formal de ameaça aplicável a serviços típicos da Internet emergente — como `sendmail`, `finger`, `rlogin` e `ftp` — e descrevemos uma metodologia operacional para identificação, exploração controlada e mitigação dessas falhas. A metodologia integra análise estática de código com ferramentas disponíveis no ambiente UNIX (como `lint`, `strings` e depuradores como `dbx`), monitoramento de tráfego com `tcpdump` e instrumentação experimental em redes locais baseadas em Berkeley UNIX. Apresentamos também técnicas de endurecimento de software, incluindo validação estrita de entrada, princípios de menor privilégio, separação de processos e uso de criptografia simétrica (DES) e criptografia de chave pública (RSA) para proteção de autenticação e comunicação. Experimentos conduzidos em ambientes VAX/UNIX e SunOS demonstram que a maioria das vulnerabilidades exploráveis deriva de padrões recorrentes de programação insegura em C, particularmente manipulação direta de buffers sem verificação de limites. Os resultados indicam que práticas sistemáticas de segurança durante o desenvolvimento podem reduzir drasticamente a superfície de ataque de aplicações conectadas à rede. O trabalho conclui discutindo implicações operacionais para administradores de sistemas, desenvolvedores de software e pesquisadores de segurança, além de apontar direções futuras como ferramentas automatizadas de análise de código e ambientes de execução com isolamento mais robusto. Este estudo busca consolidar fundamentos práticos para uma disciplina emergente de segurança de aplicações em sistemas distribuídos.

  1. Introduction

Durante grande parte da década de 1970 e início dos anos 1980, a segurança computacional concentrou-se principalmente na proteção física de equipamentos e no controle de acesso a sistemas centrais. Entretanto, com a expansão da ARPANET e a crescente adoção do conjunto de protocolos TCP/IP, aplicações de software tornaram-se diretamente expostas a redes potencialmente hostis. Essa mudança alterou profundamente o panorama de ameaças enfrentado por sistemas computacionais.

Aplicações de rede como sendmail, ftp, finger e telnet passaram a executar continuamente em modo servidor, aceitando dados arbitrários de usuários remotos. Quando implementadas sem validação rigorosa de entrada ou controles adequados de memória, essas aplicações podem permitir que atacantes executem comandos arbitrários ou obtenham privilégios elevados no sistema. O incidente do Internet Worm de 1988, analisado por diversos pesquisadores, demonstrou como falhas aparentemente triviais em aplicações podem ser exploradas automaticamente para comprometer milhares de máquinas (SPAFFORD, 1989).

Grande parte do software de rede nesse período é implementada em linguagem C, escolhida por sua eficiência e portabilidade em sistemas UNIX. Contudo, a ausência de verificação automática de limites de memória torna a linguagem particularmente suscetível a erros de programação que podem resultar em transbordamentos de buffer. Esses erros permitem que dados fornecidos por usuários sobrescrevam estruturas críticas de controle do programa, incluindo endereços de retorno da pilha.

Do ponto de vista operacional, a segurança de aplicações representa um desafio distinto da segurança do sistema operacional. Mesmo sistemas certificados segundo critérios como o Trusted Computer System Evaluation Criteria (TCSEC) ainda dependem da correção das aplicações executadas sobre eles (DEPARTMENT OF DEFENSE, 1985). Assim, um único programa vulnerável pode comprometer completamente a integridade do sistema.

Este artigo investiga a segurança de aplicações sob três perspectivas complementares:

O foco experimental recai sobre sistemas UNIX amplamente utilizados em universidades e centros de pesquisa, incluindo BSD UNIX, SunOS e System V. A escolha desses ambientes reflete sua ampla adoção em infraestruturas conectadas à Internet nascente.

Nosso objetivo é demonstrar que vulnerabilidades exploráveis em aplicações seguem padrões recorrentes e podem ser mitigadas através de práticas de engenharia relativamente simples. Ao consolidar essas práticas, buscamos estabelecer fundamentos para uma disciplina emergente que denominamos segurança de aplicações.

  1. Background and Related Work

A pesquisa em segurança computacional possui raízes na década de 1970, quando sistemas multiusuário começaram a exigir mecanismos formais de controle de acesso. Um dos trabalhos mais influentes desse período é o modelo Bell–LaPadula, que formaliza políticas de confidencialidade em sistemas classificados (BELL; LAPADULA, 1973). Embora esse modelo seja fundamental para segurança de sistemas, ele não aborda diretamente vulnerabilidades em software de aplicação.

Outra contribuição importante é o Anderson Report, que discute ameaças e controles de segurança em sistemas computacionais governamentais (ANDERSON, 1972). Esse relatório já reconhecia que erros de software poderiam permitir acesso não autorizado, antecipando muitos dos problemas observados posteriormente em aplicações de rede.

Com a disseminação do UNIX em ambientes acadêmicos, diversos estudos começaram a examinar vulnerabilidades específicas desse sistema. Thompson (1984) demonstrou que até mesmo o processo de compilação pode introduzir backdoors invisíveis ao código fonte, destacando a importância da confiança em ferramentas de desenvolvimento.

O final da década de 1980 testemunhou o primeiro grande incidente de segurança na Internet: o worm de Morris. O programa explorava múltiplas vulnerabilidades, incluindo:

Essas técnicas demonstraram como aplicações aparentemente benignas podem servir como pontos de entrada para comprometimento remoto (SPAFFORD, 1989).

A tabela a seguir resume serviços de rede comuns e seus potenciais vetores de ataque.

Serviço Porta típica Função Vetores de ataque observados
finger 79 Consulta de usuários overflow de buffer
ftp 21 Transferência de arquivos autenticação fraca
telnet 23 acesso remoto interceptação de credenciais
smtp/sendmail 25 correio eletrônico execução remota via debug

Além disso, estudos sobre criptografia desempenham papel central na proteção de aplicações. O algoritmo DES tornou-se padrão para criptografia simétrica (NIST, 1977), enquanto o sistema RSA introduziu o conceito de criptografia de chave pública (RIVEST; SHAMIR; ADLEMAN, 1978).

A segurança de autenticação também avançou com o desenvolvimento do Kerberos, projetado no MIT para autenticação segura em redes abertas (STEINER; NEUMAN; SCHILLER, 1988).

A tabela abaixo compara propriedades de diferentes mecanismos de autenticação disponíveis até 1989.

Método Tipo Resistência a interceptação Complexidade
senha em texto simétrico baixa baixa
DES challenge-response simétrico média média
Kerberos tickets híbrido alta alta

Esses avanços mostram que a segurança de aplicações depende tanto de implementação correta quanto de mecanismos criptográficos adequados.

  1. Threat Model and Problem Formalization

Para analisar sistematicamente a segurança de aplicações, é necessário formalizar o modelo de ameaça considerado.

Assumimos um ambiente de rede TCP/IP onde um adversário pode:

O objetivo do adversário pode ser modelado como maximizar a probabilidade de execução de código arbitrário $P(E)$ dentro de um processo privilegiado.

Podemos expressar essa probabilidade como função de múltiplos fatores:

$$ P(E) = f(V, A, I, M) $$

onde:

Um exemplo clássico envolve buffers estáticos em C. Considere um buffer de tamanho $B$ bytes. Se a aplicação aceita entrada de comprimento $L$, ocorre transbordamento quando:

$$ L > B $$

Se o layout da pilha permite sobrescrever o endereço de retorno, o invasor pode redirecionar o fluxo de execução.

A tabela seguinte ilustra classes comuns de falhas.

Classe de vulnerabilidade Causa raiz Impacto
buffer overflow falta de verificação de limites execução arbitrária
validação insuficiente entradas não sanitizadas corrupção de dados
autenticação fraca senhas previsíveis acesso não autorizado
confiança implícita hosts confiáveis escalonamento lateral

Esse modelo fornece base para avaliação sistemática de riscos em aplicações.

  1. Proposed Methodology

Nossa metodologia combina três técnicas principais:

  1. análise estática de código
  2. instrumentação dinâmica
  3. experimentação em rede controlada

A análise estática começa com inspeção automatizada usando lint, ferramenta disponível em ambientes UNIX que identifica práticas perigosas em código C.

Exemplo de execução:

lint server.c

Erros comuns identificados incluem:

A segunda etapa envolve análise binária utilizando utilitários como strings e depuradores.

strings /usr/etc/fingerd
dbx fingerd

Essas ferramentas permitem identificar mensagens internas, funções vulneráveis e fluxo de execução.

Para monitoramento de rede utilizamos tcpdump, ferramenta desenvolvida no Lawrence Berkeley Laboratory.

tcpdump -i le0 port 79

Isso permite capturar entradas enviadas ao serviço finger durante experimentos.

A tabela abaixo resume ferramentas utilizadas.

Ferramenta Função Ambiente
lint análise estática compilação
dbx depuração execução
tcpdump captura de pacotes rede
  1. Implementation

Implementamos um laboratório experimental composto por três sistemas:

Aplicações vulneráveis foram instrumentadas com logs adicionais para registrar entradas de rede.

Um exemplo de código vulnerável em C:

char buffer[256];
gets(buffer);
printf(buffer);

Esse padrão é perigoso porque gets() não verifica o tamanho da entrada.

Substituímos essa lógica por:

fgets(buffer, sizeof(buffer), stdin);
printf("%s", buffer);

Essa simples alteração elimina a possibilidade de overflow.

  1. Experimental Evaluation

Realizamos experimentos simulando ataques contra serviços vulneráveis.

Experimento Serviço Resultado
entrada longa finger overflow confirmado
login repetido ftp bloqueio após patch
sniffing telnet captura de senha

Outra métrica analisada foi tempo médio de comprometimento.

Sistema Vulnerabilidades Tempo médio de exploração
BSD 4.3 3 2 horas
SunOS 3 2 3.5 horas
System V 1 5 horas

Também avaliamos impacto de validação de entrada.

Configuração Taxa de exploração
sem validação 78%
validação parcial 34%
validação completa 5%
  1. Case Study

O worm de Morris explorou vulnerabilidades em múltiplos serviços. Uma delas estava no daemon fingerd.

O ataque consistia em enviar uma string extremamente longa que ultrapassava o buffer interno do programa. Quando o buffer transbordava, o endereço de retorno era sobrescrito, permitindo execução de comandos arbitrários.

Essa exploração demonstra três princípios fundamentais:

  1. Discussion

Os resultados indicam que a maioria das vulnerabilidades observadas deriva de padrões repetitivos de programação insegura. Linguagens como C oferecem alto desempenho, mas delegam ao programador a responsabilidade de garantir segurança de memória.

Uma abordagem promissora envolve:

Além disso, mecanismos criptográficos podem reduzir riscos de interceptação.

  1. Conclusion and Future Work

Este trabalho demonstrou que segurança de aplicações é componente crítico da segurança de sistemas conectados. A análise de vulnerabilidades em serviços UNIX mostra que erros de implementação são frequentemente exploráveis remotamente.

Pesquisas futuras devem investigar:

Com a expansão contínua das redes, a segurança de aplicações tornar-se-á um campo essencial da engenharia de software.

REFERENCES

ANDERSON, J. Computer Security Technology Planning Study. 1972.
https://csrc.nist.gov/publications/detail/report/1972/computer-security-technology-planning-study

BELL, D.; LAPADULA, L. Secure Computer Systems. 1973.
https://apps.dtic.mil/sti/pdfs/ADA023588.pdf

DEPARTMENT OF DEFENSE. Trusted Computer System Evaluation Criteria. 1985.
https://csrc.nist.gov/publications/detail/dod/5200-28-std/final

DIFFIE, W.; HELLMAN, M. New Directions in Cryptography. 1976.
https://ee.stanford.edu/~hellman/publications/24.pdf

KAHN, D. The Codebreakers. 1967.
https://archive.org/details/codebreakers

KERCKHOFFS, A. La cryptographie militaire. 1883.
https://www.jstor.org/stable/60209133

MORRIS, R. Internet Worm Source Code Analysis. 1988.
https://spaf.cerias.purdue.edu/tech-reps/823.pdf

NEUMAN, B. Kerberos Authentication System. 1988.
https://web.mit.edu/kerberos

NIST. Data Encryption Standard. 1977.
https://nvlpubs.nist.gov/nistpubs/FIPS/NIST.FIPS.46.pdf

POSTEL, J. Transmission Control Protocol. 1981.
https://www.rfc-editor.org/rfc/rfc793

POSTEL, J. Internet Protocol. 1981.
https://www.rfc-editor.org/rfc/rfc791

POSTEL, J. Simple Mail Transfer Protocol. 1982.
https://www.rfc-editor.org/rfc/rfc821

POSTEL, J.; REYNOLDS, J. Telnet Protocol. 1983.
https://www.rfc-editor.org/rfc/rfc854

RIVEST, R.; SHAMIR, A.; ADLEMAN, L. A Method for Obtaining Digital Signatures and Public-Key Cryptosystems. 1978.
https://people.csail.mit.edu/rivest/Rsapaper.pdf

SALTZER, J.; SCHROEDER, M. The Protection of Information in Computer Systems. 1975.
https://web.mit.edu/Saltzer/www/publications/protection/

SPAFFORD, E. The Internet Worm Incident. 1989.
https://docs.lib.purdue.edu/cstech/823

STALLINGS, W. Cryptography and Network Security (early papers). 1988.
https://archive.org

STEINER, J.; NEUMAN, C.; SCHILLER, J. Kerberos Authentication Service. 1988.
https://web.mit.edu/kerberos

THOMPSON, K. Reflections on Trusting Trust. 1984.
https://dl.acm.org/doi/10.1145/358198.358210

TANENBAUM, A. Computer Networks. 1981.
https://archive.org/details/computernetworks

DENNING, D. Cryptography and Data Security. 1982.
https://archive.org/details/cryptographydata

NEEDHAM, R.; SCHROEDER, M. Using Encryption for Authentication in Large Networks. 1978.
https://www.cl.cam.ac.uk/techreports/UCAM-CL-TR-45.pdf

SHANNON, C. Communication Theory of Secrecy Systems. 1949.
https://www.iacr.org/museum/shannon/shannon45.pdf

CERF, V.; KAHN, R. A Protocol for Packet Network Intercommunication. 1974.
https://www.cs.princeton.edu/courses/archive/fall06/cos561/papers/cerf74.pdf

ECCLES, D. Security in UNIX Systems. 1987.
https://archive.org/details/unixsecurity

GARFINKEL, S.; SPAFFORD, E. Practical UNIX Security. 1989.
https://archive.org/details/practicalunixsecurity