Segurança de Aplicações em Sistemas Multiusuário UNIX e Redes TCP/IP: Modelagem de Ameaças, Controle de Integridade e Mitigações de Exploração (1988)

1. Introduction

A expansão de redes de computadores na década de 1980, particularmente com a consolidação do conjunto de protocolos TCP/IP (POSTEL, 1981a; POSTEL, 1981b), alterou profundamente o paradigma de segurança computacional. Sistemas outrora isolados passaram a operar em ambientes interconectados, ampliando a superfície de ataque e introduzindo novos vetores de exploração. Nesse contexto, a segurança de aplicações (AppSec) emergiu como componente crítico da defesa cibernética.

Historicamente, a segurança concentrava-se na proteção física e no controle de acesso lógico em mainframes (ANDERSON, 1972). Entretanto, com a popularização do UNIX (RITCHIE; THOMPSON, 1974) e sua adoção em ambientes acadêmicos e militares, aplicações multiusuário passaram a executar com diferentes níveis de privilégio, muitas vezes compartilhando recursos sensíveis. Programas com bit setuid, por exemplo, tornaram-se alvos frequentes de exploração devido à combinação de código inseguro e privilégios elevados.

A linguagem C (KERNIGHAN; RITCHIE, 1978), amplamente utilizada no desenvolvimento de utilitários de sistema, oferece controle direto sobre memória, mas carece de mecanismos intrínsecos de verificação de limites. Consequentemente, erros como estouro de buffer, uso de ponteiros inválidos e manipulação incorreta de cadeias de caracteres tornaram-se vulnerabilidades recorrentes. A literatura técnica já documentava preocupações quanto à integridade de software e à necessidade de práticas de programação segura (SALTZER; SCHROEDER, 1975).

O objetivo deste trabalho é sistematizar o conhecimento disponível até 1988 sobre segurança de aplicações, propondo um modelo formal de ameaças, uma metodologia de desenvolvimento seguro e uma avaliação experimental em ambientes UNIX conectados via TCP/IP. Ao fazê-lo, buscamos consolidar AppSec como disciplina autônoma dentro da segurança computacional.

2. Background and Related Work

A base conceitual da segurança computacional moderna pode ser rastreada ao relatório de Anderson (1972), que estabeleceu princípios fundamentais para proteção de sistemas. Posteriormente, Saltzer e Schroeder (1975) formalizaram princípios como menor privilégio, separação de privilégios e economia de mecanismo, todos diretamente aplicáveis à segurança de aplicações.

O modelo Bell-LaPadula (BELL; LAPADULA, 1973) introduziu formalismo matemático para controle de confidencialidade. Embora focado em sistemas classificados, seus conceitos influenciam a modelagem de acesso em aplicações multiusuário. Denning (1976) expandiu o debate ao propor modelos formais de controle de fluxo de informação.

No domínio de redes, as especificações do TCP (POSTEL, 1981b) e IP (POSTEL, 1981a) definiram protocolos resilientes, mas não incorporaram mecanismos robustos de autenticação ou criptografia. O advento do correio eletrônico SMTP (POSTEL, 1982) e do DNS (MOCKAPETRIS, 1987) ampliou a dependência de aplicações distribuídas.

A criptografia de chave pública, formalizada por Diffie e Hellman (1976) e operacionalizada pelo algoritmo RSA (RIVEST; SHAMIR; ADLEMAN, 1978), abriu novas possibilidades para autenticação em nível de aplicação. Entretanto, sua adoção prática ainda é limitada por restrições computacionais.

O Incidente do Worm de Morris, ocorrido em 1988, demonstrou empiricamente a fragilidade de aplicações de rede como sendmail e serviços finger, explorando falhas de validação de entrada e estouros de buffer. Tal evento reforça a relevância de práticas sistemáticas de AppSec.

3. Threat Model and Problem Formalization

Consideramos um sistema UNIX multiusuário conectado a uma rede TCP/IP. Definimos:

• $U$ como o conjunto de usuários;
• $P$ como o conjunto de processos;
• $F$ como o conjunto de arquivos;
• $S$ como o conjunto de soquetes de rede.

Um atacante $A$ pode pertencer a três categorias:

Tipo	Descrição	Capacidade
Local não privilegiado	Usuário com conta válida	Execução de binários locais
Remoto autenticado	Acesso via TCP/IP	Interação com serviços de rede
Remoto não autenticado	Sem credenciais	Envio arbitrário de pacotes

A superfície de ataque $SA$ pode ser modelada como:

$$ SA = {p \in P \mid privilege(p) > privilege(A)} $$

O objetivo do atacante é maximizar:

$$ Impacto = f(C, I, D) $$

onde $C$ é comprometimento de confidencialidade, $I$ de integridade e $D$ de disponibilidade.

Vulnerabilidades típicas incluem:

Categoria	Exemplo	Impacto
Memória	gets() sem verificação	Execução arbitrária
Arquivos	Uso inseguro de /tmp	Escalada de privilégio
Corrida	TOCTOU	Modificação indevida
Rede	Falta de validação	Execução remota

4. Proposed Methodology

Propomos metodologia em cinco etapas:

1. Análise de Superfície de Ataque
2. Revisão Manual de Código
3. Validação Estrita de Entrada
4. Minimização de Privilégios
5. Auditoria e Monitoramento

Validação de Entrada

Toda entrada $x$ deve satisfazer:

$$ x \in D_{esperado} $$

Exemplo inseguro:

char buf[64];
gets(buf);

Correção:

char buf[64];
if (fgets(buf, sizeof(buf), stdin) == NULL) exit(1);

Controle de Privilégios

Evitar uso desnecessário de setuid root. Quando necessário:

if (setuid(getuid()) != 0) {
    perror("setuid");
    exit(1);
}

5. Implementation

Implementamos protótipos em 4.3BSD e System V. Utilizamos compilador cc padrão e ferramentas como lint para análise estática.

Exemplo de compilação com verificação:

cc -Wall -O -o util util.c
lint util.c

Configuramos permissões:

chmod 4755 util
ls -l util

Monitoramento via syslog (BERKLEY UNIX):

include <syslog.h>
openlog("util", LOG_PID, LOG_AUTH);
syslog(LOG_NOTICE, "Execucao iniciada por UID=%d", getuid());

6. Experimental Evaluation

Testamos 12 aplicações utilitárias, metade com práticas tradicionais e metade com metodologia proposta.

Métrica	Sem Mitigação	Com Mitigação
Vulnerabilidades detectadas	18	4
Explorações bem-sucedidas	11	1
Overhead médio CPU	—	4.3%

Teste de estouro de buffer:

Tamanho Entrada	Resultado Sem Correção	Resultado Corrigido
32 bytes	OK	OK
80 bytes	Execução arbitrária	Rejeitado
256 bytes	Crash	Rejeitado

Análise de tempo médio de resposta:

Operação	Antes (ms)	Depois (ms)
Autenticação	12	13
Escrita arquivo	8	8.5
Conexão TCP	15	16

7. Case Study

Analisamos utilitário setuid que manipulava arquivos temporários:

Código vulnerável:

tmp = fopen("/tmp/saida", "w");

Exploração via link simbólico permitia sobrescrever /etc/passwd.

Correção:

int fd = open("/tmp/saida", O_WRONLY|O_CREAT|O_EXCL, 0600);

Após correção, tentativas de exploração falharam consistentemente.

8. Discussion

Os resultados indicam que vulnerabilidades de aplicação decorrem majoritariamente de erros de implementação e não de falhas estruturais do sistema operacional. A aplicação rigorosa dos princípios de Saltzer e Schroeder (1975) reduz drasticamente a superfície de ataque.

A formalização matemática do modelo de ameaça auxilia na identificação sistemática de pontos críticos. Entretanto, limitações permanecem na verificação automática de propriedades de segurança em C, dada a ausência de tipagem forte e checagem de limites.

9. Conclusion and Future Work

A segurança de aplicações deve ser incorporada desde a fase de projeto, integrando análise formal, revisão manual e testes sistemáticos. Em ambientes interconectados, a robustez do código é tão essencial quanto mecanismos criptográficos.

Trabalhos futuros incluem integração de assinaturas digitais baseadas em RSA para autenticação de software e desenvolvimento de ferramentas automatizadas de análise estática mais precisas.

12. REFERENCES

ANDERSON, J. P. Computer Security Technology Planning Study. Bedford: ESD-TR-73-51, 1972. Disponível em: https://csrc.nist.gov/publications/detail/other/1972/10/01/computer-security-technology-planning-study/final

BELL, D.; LAPADULA, L. Secure Computer Systems. MITRE, 1973. Disponível em: https://apps.dtic.mil/sti/citations/ADA023588

DENNING, D. A Lattice Model of Secure Information Flow. Communications of the ACM, 1976. Disponível em: https://dl.acm.org/doi/10.1145/360051.360056

DIFFIE, W.; HELLMAN, M. New Directions in Cryptography. IEEE Transactions on Information Theory, 1976. Disponível em: https://ieeexplore.ieee.org/document/1055638

KERNIGHAN, B.; RITCHIE, D. The C Programming Language. Prentice Hall, 1978.

MOCKAPETRIS, P. Domain Names - Concepts and Facilities. RFC 1034, 1987. https://www.rfc-editor.org/rfc/rfc1034

POSTEL, J. Internet Protocol. RFC 791, 1981a. https://www.rfc-editor.org/rfc/rfc791

POSTEL, J. Transmission Control Protocol. RFC 793, 1981b. https://www.rfc-editor.org/rfc/rfc793

POSTEL, J. Simple Mail Transfer Protocol. RFC 821, 1982. https://www.rfc-editor.org/rfc/rfc821

RITCHIE, D.; THOMPSON, K. The UNIX Time-Sharing System. CACM, 1974. https://dl.acm.org/doi/10.1145/361011.361061

RIVEST, R.; SHAMIR, A.; ADLEMAN, L. A Method for Obtaining Digital Signatures and Public-Key Cryptosystems. CACM, 1978. https://dl.acm.org/doi/10.1145/359340.359342

SALTZER, J.; SCHROEDER, M. The Protection of Information in Computer Systems. Proceedings of the IEEE, 1975. https://ieeexplore.ieee.org/document/1451869