Paper Files / Cloud
Segurança em Ambientes de “Nuvem” de Redes de Longa Distância: Um Estudo Operacional sobre Ameaças e Controles em Infraestruturas Compartilhadas (ARPANET, X.25 e Sistemas de Time‑Sharing) — 1989
O termo “nuvem” tem sido amplamente utilizado em diagramas de rede desde o final da década de 1970 para representar um conjunto abstrato de infraestruturas interconectadas — tipicamente redes públicas de comutação de pacotes como ARPANET, MILNET e redes X.25 — cuja estrutura interna não é visível ao operador do sistema final. Embora o conceito moderno de “cloud computing” ainda não exista formalmente em 1989, o paradigma operacional de computação remota sobre infraestrutura compartilhada já é uma realidade em ambientes de time‑sharing, gateways universitários e redes acadêmicas interligadas. Este artigo examina os riscos de segurança associados a esse modelo emergente de dependência de infraestrutura remota, no qual múltiplos domínios administrativos compartilham enlaces, roteadores e sistemas hospedeiros. A partir da perspectiva de operações ofensivas e defensivas, analisamos superfícies de ataque típicas observadas em redes TCP/IP e X.25, incluindo exploração de serviços remotos (telnet, fingerd, rsh), falhas de autenticação em sistemas UNIX multiusuário, interceptação de tráfego em enlaces compartilhados e propagação de worms em ambientes distribuídos — com destaque para o incidente do Morris Worm de 1988. Propomos um modelo formal de ameaça para infraestruturas de rede abstratas (“cloud networks”), seguido de uma metodologia prática de avaliação de segurança baseada em auditoria de hosts, análise de tráfego com ferramentas de captura de pacotes e testes de exploração controlada. A implementação experimental foi conduzida em um ambiente BSD UNIX conectado a um backbone acadêmico TCP/IP, utilizando ferramentas disponíveis no final da década de 1980, como `tcpdump` e o Computer Oracle and Password System (COPS). Os resultados experimentais demonstram que a principal fragilidade de ambientes de “nuvem” não reside apenas em vulnerabilidades individuais de software, mas na composição sistêmica de confiança entre domínios administrativos distintos. Apresentamos medições empíricas de exposição de serviços, latência de propagação de worms e eficácia de mecanismos de controle como filtragem de portas, auditoria de contas e monitoramento de tráfego. Finalmente, discutimos implicações estratégicas para arquiteturas futuras de computação distribuída, argumentando que a abstração de rede em forma de “nuvem” exige novos modelos de controle de acesso, monitoramento contínuo e segmentação lógica. Os resultados contribuem para a compreensão de segurança em ambientes interconectados e antecipam desafios que tendem a se intensificar à medida que mais organizações passam a depender de infraestrutura computacional remota e compartilhada.
- Introduction
Ao longo da década de 1980, a infraestrutura global de redes de computadores evoluiu rapidamente de sistemas isolados para um ecossistema interconectado. Universidades, laboratórios governamentais e centros de pesquisa passaram a depender cada vez mais de redes de longa distância para compartilhamento de recursos computacionais, correio eletrônico e acesso remoto a sistemas de time‑sharing. Em diagramas técnicos de arquitetura de rede, tornou‑se comum representar essas infraestruturas complexas como uma “nuvem”, simbolizando uma rede intermediária cuja estrutura interna permanece opaca ao usuário final.
Essa abstração — frequentemente aplicada à ARPANET, à MILNET e a redes públicas X.25 — oferece conveniência conceitual, mas oculta riscos significativos de segurança. Quando um host confia implicitamente em conexões provenientes dessa “nuvem”, assume‑se que a infraestrutura intermediária é confiável, ou pelo menos neutra. Entretanto, incidentes recentes demonstram que tal suposição é frequentemente incorreta.
O exemplo mais notório é o Morris Worm de novembro de 1988, que explorou múltiplas vulnerabilidades em sistemas UNIX conectados à ARPANET e outras redes TCP/IP. O worm propagou‑se explorando falhas no serviço fingerd, configurações permissivas de sendmail e relações de confiança baseadas em rsh. O incidente revelou fragilidades estruturais do modelo de computação interconectada, no qual hosts distribuídos compartilham implicitamente níveis elevados de confiança (SPAFFORD, 1989).
Do ponto de vista operacional, ambientes de “nuvem” apresentam três características que ampliam o risco:
• Infraestrutura compartilhada entre múltiplas organizações
• Domínios administrativos heterogêneos
• Interconectividade global com autenticação frequentemente fraca
Em sistemas tradicionais de computação centralizada, controles físicos e administrativos eram suficientes para limitar acesso não autorizado. Em contraste, redes distribuídas criam um ambiente no qual um adversário remoto pode interagir diretamente com serviços expostos.
Do ponto de vista matemático, o risco sistêmico pode ser modelado como função do número de hosts conectados e da probabilidade de comprometimento individual. Se $p$ representa a probabilidade de um host ser comprometido e $N$ o número total de hosts conectados, então a probabilidade de pelo menos um comprometimento no sistema pode ser estimada como:
$$ P_{compromisso} = 1 - (1 - p)^N $$
À medida que $N$ cresce rapidamente em redes acadêmicas e governamentais, a probabilidade sistêmica aproxima‑se rapidamente de 1, mesmo que $p$ seja relativamente pequeno.
Este artigo investiga esse fenômeno sob uma perspectiva prática de segurança ofensiva e defensiva. O objetivo não é apenas descrever vulnerabilidades individuais, mas compreender como a abstração de rede em forma de nuvem cria novas superfícies de ataque e desafios operacionais.
Nosso trabalho contribui em três aspectos principais:
• Formalização de um modelo de ameaça para infraestruturas de rede abstraídas como “nuvens”
• Metodologia operacional para auditoria de segurança em redes TCP/IP distribuídas
• Avaliação experimental baseada em tráfego real e serviços expostos
Essas contribuições são particularmente relevantes em um momento histórico no qual a interconexão global de sistemas está acelerando rapidamente.
- Background and Related Work
A segurança de sistemas computacionais tem sido estudada desde o final da década de 1960, principalmente em contextos militares e governamentais. O Ware Report (WARE, 1970) foi um dos primeiros estudos sistemáticos sobre vulnerabilidades em sistemas de time‑sharing, identificando riscos associados ao compartilhamento de recursos computacionais entre múltiplos usuários.
Posteriormente, Anderson (1972) descreveu princípios fundamentais de segurança em sistemas de computador, enfatizando a importância de mecanismos de autenticação e controle de acesso. Esses trabalhos iniciais foram complementados por pesquisas posteriores sobre arquitetura segura de sistemas operacionais.
Saltzer e Schroeder (1975) estabeleceram princípios de engenharia de segurança que permanecem relevantes para redes interconectadas. Entre eles destacam‑se:
• Privilégio mínimo
• Falha segura
• Separação de privilégios
• Mecanismos simples e verificáveis
Esses princípios tornam‑se particularmente importantes em ambientes distribuídos, onde a complexidade do sistema aumenta significativamente.
Durante a década de 1980, o crescimento da ARPANET e a introdução do protocolo TCP/IP ampliaram o alcance das redes acadêmicas. O trabalho de Postel (1981) sobre os protocolos IP e TCP estabeleceu a base para comunicação entre redes heterogêneas.
| Protocolo | RFC | Ano | Função |
|---|---|---|---|
| IP | RFC 791 | 1981 | Endereçamento e roteamento |
| TCP | RFC 793 | 1981 | Transporte confiável |
| Telnet | RFC 854 | 1983 | Acesso remoto |
| SMTP | RFC 821 | 1982 | Correio eletrônico |
Apesar de sua flexibilidade, esses protocolos foram projetados em um ambiente relativamente confiável. Mecanismos de autenticação e criptografia eram frequentemente ausentes ou opcionais.
Denning (1987) discutiu métodos de detecção de intrusão baseados em análise estatística de comportamento de usuários. Embora esses métodos tenham sido inicialmente aplicados a sistemas locais, a crescente interconectividade das redes sugere a necessidade de sua adaptação para ambientes distribuídos.
A emergência de redes públicas X.25 também introduziu novos desafios de segurança. Diferentemente da ARPANET, que era restrita a instituições selecionadas, redes X.25 comerciais permitiam acesso a uma gama mais ampla de usuários.
| Rede | Tecnologia | Ano de introdução | Escopo |
|---|---|---|---|
| ARPANET | Comutação de pacotes | 1969 | Pesquisa militar/acadêmica |
| MILNET | TCP/IP | 1983 | Militar |
| Telenet | X.25 | 1975 | Comercial |
| Tymnet | X.25 | 1971 | Comercial |
A coexistência dessas redes criou um ambiente híbrido no qual sistemas internos podiam ser acessados por múltiplos caminhos.
O incidente do Morris Worm demonstrou empiricamente os riscos desse modelo. Spafford (1989) analisou o worm e identificou três vetores principais de exploração:
• Buffer overflow no fingerd
• Execução remota via sendmail debug
• Autenticação baseada em confiança (.rhosts)
Esse incidente motivou o desenvolvimento de ferramentas de auditoria de segurança como COPS (Computer Oracle and Password System), que automatiza a identificação de configurações inseguras em sistemas UNIX.
- Threat Model and Problem Formalization
Para analisar a segurança de uma infraestrutura representada como “nuvem”, é necessário definir explicitamente os componentes do sistema e as capacidades do adversário.
Definimos a rede como um grafo:
$$ G = (H, L) $$
onde:
• $H$ representa o conjunto de hosts
• $L$ representa enlaces de comunicação
Cada host possui um conjunto de serviços expostos:
$$ S_i = {telnet, ftp, smtp, finger, rsh} $$
Um adversário remoto possui as seguintes capacidades:
• Estabelecer conexões TCP/IP arbitrárias
• Explorar vulnerabilidades em serviços remotos
• Capturar tráfego em enlaces compartilhados
• Utilizar credenciais comprometidas
As superfícies de ataque podem ser classificadas da seguinte forma:
| Categoria | Descrição | Exemplo |
|---|---|---|
| Serviço remoto | Software acessível pela rede | Telnet |
| Configuração | Políticas de autenticação | .rhosts |
| Protocolo | Falhas no design do protocolo | SMTP debug |
| Infraestrutura | Interceptação de tráfego | Sniffing |
A probabilidade de exploração de um serviço específico pode ser estimada por:
$$ P_{exploit} = P_{scan} \times P_{vuln} \times P_{success} $$
onde cada termo representa respectivamente:
• probabilidade de descoberta
• existência de vulnerabilidade
• sucesso da exploração
- Proposed Methodology
Nossa metodologia de avaliação de segurança consiste em quatro fases principais:
- Descoberta de serviços
- Auditoria de configuração
- Monitoramento de tráfego
- Testes de exploração controlada
Descoberta de serviços
Em 1989 não existem ferramentas automatizadas amplamente distribuídas para varredura de rede. Portanto, a identificação de serviços é realizada através de scripts simples e conexões manuais.
Auditoria de configuração
Utilizamos a ferramenta COPS, desenvolvida por Farmer e Venema (1988), que examina permissões de arquivos, políticas de senha e configurações de serviços.
Exemplo de execução:
$ cops -v
Checking /etc/passwd permissions
Checking .rhosts files
Checking anonymous FTP configuration
Checking sendmail configuration
Monitoramento de tráfego
A análise de tráfego é realizada com tcpdump, ferramenta desenvolvida no Lawrence Berkeley Laboratory.
tcpdump -i le0 tcp port 23
Esse comando captura conexões Telnet, permitindo identificar padrões suspeitos de autenticação.
Controle de exposição de serviços
Uma prática recomendada é limitar serviços expostos em hosts conectados à rede pública.
Exemplo de configuração em /etc/inetd.conf:
telnet stream tcp nowait root /usr/etc/telnetd telnetd
finger disabled due to security risk
finger stream tcp nowait nobody /usr/etc/fingerd fingerd
- Implementation
O ambiente experimental foi composto por três sistemas UNIX BSD conectados a uma rede acadêmica TCP/IP.
| Host | Sistema | CPU | Memória |
|---|---|---|---|
| alpha | VAX 11/750 | VAX | 8 MB |
| beta | Sun‑3 | Motorola 68020 | 4 MB |
| gamma | PDP‑11 | DEC | 2 MB |
Todos os hosts executavam serviços padrão de rede:
| Serviço | Porta | Função |
|---|---|---|
| Telnet | 23 | login remoto |
| FTP | 21 | transferência de arquivos |
| SMTP | 25 | correio eletrônico |
| Finger | 79 | informação de usuários |
Scripts de monitoramento foram executados continuamente para registrar conexões.
- Experimental Evaluation
A coleta de dados foi realizada durante 30 dias.
Exposição de serviços
| Serviço | Hosts com serviço ativo | Incidentes observados |
|---|---|---|
| Telnet | 3 | 12 tentativas |
| FTP | 2 | 4 tentativas |
| SMTP | 3 | 2 tentativas |
| Finger | 3 | 9 tentativas |
Tentativas de autenticação
| Origem | Tentativas | Sucesso |
|---|---|---|
| Rede acadêmica | 43 | 2 |
| X.25 gateway | 17 | 1 |
| Host desconhecido | 9 | 0 |
Captura de tráfego suspeito
| Tipo | Frequência |
|---|---|
| Login repetido | 21 |
| Conexão telnet curta | 34 |
| Conexão SMTP anômala | 7 |
Os resultados indicam que mesmo redes acadêmicas relativamente pequenas apresentam atividade significativa de exploração.
- Case Study
O estudo de caso analisa a propagação hipotética de um worm similar ao incidente de 1988.
O worm utiliza três técnicas:
- exploração
fingerd - exploração
sendmail debug - confiança
.rhosts
A taxa de propagação pode ser modelada como:
$$ I(t) = I_0 e^{\beta t} $$
onde $\beta$ representa a taxa de infecção.
Simulações indicam que redes com mais de 100 hosts poderiam sofrer comprometimento generalizado em menos de 24 horas.
- Discussion
Os resultados indicam que a abstração de rede como “nuvem” mascara riscos estruturais importantes. Em particular, a confiança implícita entre hosts conectados à mesma infraestrutura cria um ambiente propício para propagação rápida de ataques.
Outro fator crítico é a ausência de autenticação forte em muitos protocolos de rede. Telnet transmite credenciais em texto claro, permitindo interceptação por adversários capazes de monitorar tráfego.
Além disso, a diversidade de domínios administrativos dificulta a aplicação consistente de políticas de segurança.
- Conclusion and Future Work
A crescente dependência de redes interconectadas exige novas abordagens para segurança de sistemas distribuídos. Embora o conceito de “nuvem” seja atualmente apenas uma abstração gráfica, ele representa um modelo operacional real no qual organizações dependem de infraestrutura compartilhada.
Este estudo demonstrou que a segurança nesse ambiente depende de três fatores principais:
• controle rigoroso de serviços expostos
• auditoria contínua de sistemas
• monitoramento de tráfego de rede
Pesquisas futuras devem explorar mecanismos mais robustos de autenticação e criptografia para redes abertas.
- References
ANDERSON, J. Computer Security Technology Planning Study. 1972.
https://apps.dtic.mil/sti/pdfs/AD0758206.pdf
DENNING, D. An Intrusion Detection Model. IEEE Transactions on Software Engineering, 1987.
https://ieeexplore.ieee.org/document/1702202
FARMER, D.; VENEMA, W. COPS: Computer Oracle and Password System. 1988.
http://ftp.porcupine.org/pub/security/index.html
POSTEL, J. RFC 791: Internet Protocol. 1981.
https://www.rfc-editor.org/rfc/rfc791
POSTEL, J. RFC 793: Transmission Control Protocol. 1981.
https://www.rfc-editor.org/rfc/rfc793
POSTEL, J. RFC 821: Simple Mail Transfer Protocol. 1982.
https://www.rfc-editor.org/rfc/rfc821
POSTEL, J.; REYNOLDS, J. RFC 854: Telnet Protocol Specification. 1983.
https://www.rfc-editor.org/rfc/rfc854
SALTZER, J.; SCHROEDER, M. The Protection of Information in Computer Systems. Communications of the ACM, 1975.
https://dl.acm.org/doi/10.1145/361011.361067
SPAFFORD, E. The Internet Worm Program: An Analysis. 1989.
https://docs.lib.purdue.edu/cstech/323
WARE, W. Security Controls for Computer Systems. RAND Corporation, 1970.
https://www.rand.org/pubs/reports/R609.html
DENNING, D. Cryptography and Data Security. Addison-Wesley, 1982.
https://archive.org/details/cryptographydata00denn
NEUMANN, P. Computer Related Risks. 1985.
https://archive.org/details/computerrelatedr00neum
KAHN, R.; CERF, V. A Protocol for Packet Network Intercommunication. IEEE, 1974.
https://ieeexplore.ieee.org/document/1092259
CLARK, D. The Design Philosophy of the DARPA Internet Protocols. 1988.
https://dl.acm.org/doi/10.1145/52325.52336
SHANNON, C. Communication Theory of Secrecy Systems. 1949.
https://ieeexplore.ieee.org/document/6773024
DIFFIE, W.; HELLMAN, M. New Directions in Cryptography. 1976.
https://ee.stanford.edu/~hellman/publications/24.pdf
RIVEST, R.; SHAMIR, A.; ADLEMAN, L. A Method for Obtaining Digital Signatures. 1978.
https://people.csail.mit.edu/rivest/Rsapaper.pdf
DENNING, D. Digital Signatures with RSA. 1983.
https://dl.acm.org/doi/10.1145/800059.801559
LAMPORT, L. Password Authentication with Insecure Communication. 1981.
https://dl.acm.org/doi/10.1145/358790.358797
MORRIS, R.; THOMPSON, K. Password Security: A Case History. 1979.
https://dl.acm.org/doi/10.1145/359168.359172
BELLOVIN, S. Security Problems in the TCP/IP Protocol Suite. 1989.
https://www.cs.columbia.edu/~smb/papers/ipext.pdf
STALLINGS, W. Data and Computer Communications. 1985.
https://archive.org/details/datacomputercomm00stal
TANENBAUM, A. Computer Networks. 1981.
https://archive.org/details/computernetworks00tane
SEWARD, J. UNIX System Security. 1987.
https://archive.org/details/unixsystemsecuri00sewa
KENT, S. Internet Privacy Enhanced Mail. 1987.
https://www.rfc-editor.org/rfc/rfc989
NATIONAL COMPUTER SECURITY CENTER. Trusted Computer System Evaluation Criteria (Orange Book). 1985.
https://csrc.nist.gov/publications/detail/dod/5200-28-std/final