Falsificação de IP: o que é e como se proteger
Saiba o que um endereço de origem falsificado pode e não pode fazer, porque as respostas são importantes e como a validação da origem difere da prova da identidade de um utilizador.
Um endereço de remetente pode ser copiado. Indica ao destinatário para onde responder, mas não prova quem enviou a mensagem.
Uma carta pode trazer o seu endereço de remetente mesmo que não tenha sido enviada por si. O endereço indica ao destinatário para onde deve ir a resposta; não prova quem escreveu a carta. A falsificação de IP explora uma lacuna semelhante na comunicação pela Internet.
O que está a ser falsificado?
A informação viaja através de uma rede em pacotes. Cada pacote IP tem um endereço de destino e um endereço de origem. Falsificar significa inserir um endereço de origem falso nesse pacote. O recetor vê a origem declarada, a menos que outro mecanismo verifique se ela faz sentido.
Um endereço IP ajuda as redes a encaminhar tráfego. Não é o cartão de identidade de uma pessoa. Várias pessoas podem partilhar um endereço público e o endereço de um dispositivo pode mudar. Por isso, uma regra que permite tráfego de um determinado IP responde a uma pergunta mais restrita do que um início de sessão ou uma verificação de identidade criptográfica.
Porque é que a resposta é importante
Suponha que alguém envia um pedido usando o seu endereço como origem. Normalmente, o serviço envia a resposta na sua direção. O remetente não recebe automaticamente essa resposta nem obtém acesso ao seu computador.
Isto é importante para o TCP, o transporte utilizado por muitas aplicações: abrir uma ligação exige uma troca nos dois sentidos e as ligações estabelecidas mantêm o seu próprio estado. Copiar simplesmente um endereço não conclui essa troca. A especificação do TCP descreve essas verificações de ligação e de sequência. São proteções úteis, mas não substituem a autenticação do serviço ou do utilizador.
Como um endereço falsificado ainda pode causar danos
Um atacante pode não querer uma conversa. Pode querer que um serviço envie respostas indesejadas a outra pessoa. Se muitos serviços responderem, a vítima recebe tráfego que nunca solicitou. Trata-se de um ataque de reflexão. Se as respostas forem muito maiores do que os pedidos, cria também amplificação.
Outros ataques tentam esgotar recursos diretamente ou explorar um serviço que deposita confiança excessiva num endereço de origem. O resultado depende do serviço, do percurso da rede e das respetivas proteções. A falsificação, por si só, não dá a alguém a capacidade de ler uma sessão encriptada ou assumir o controlo de uma conta.
Duas verificações diferentes, em dois locais diferentes
Numa fronteira de rede, um operador pode rejeitar tráfego que alegue uma origem que não deveria chegar através dessa ligação. Por exemplo, a ligação de um cliente não deveria enviar pacotes que fingissem pertencer ao intervalo de endereços de outro cliente. Este é o princípio subjacente à filtragem de origem BCP 38.
Na camada de aplicação, a autenticação verifica quem tem direito a participar. O HTTPS utiliza TLS para autenticar o servidor e proteger a ligação quando é configurado e validado corretamente; iniciar sessão estabelece uma identidade de conta separada. Um endereço com aparência válida não substitui nenhuma dessas verificações.
O que pode fazer
Se utiliza a Internet em vez de operar uma rede, mantenha o software atualizado, utilize serviços com ligações encriptadas autenticadas e leve a sério os avisos de certificados. Estas medidas protegem as conversas em que participa. Filtrar tráfego falsificado através de uma ligação à Internet é trabalho do operador da rede; uma palavra-passe mais forte não o consegue fazer.
Se gere uma rede ou um serviço, comece por saber onde colocar as verificações de origem e a autenticação. Para obter uma visão mais clara da reflexão, da inundação e da terminologia relacionada, continue com os diferentes padrões de ataque.
Procure o mecanismo por detrás da alegação
O hábito útil aqui é perguntar o que um sistema verifica realmente. Lu Heng leva essa pergunta para uma discussão mais ampla sobre instituições e poder em Nota 20, sobre camadas da realidade e poder simbólico. Esse ensaio desenvolve um argumento mais amplo; o exemplo de rede aqui é simplesmente uma forma concreta de distinguir uma alegação do mecanismo que a sustenta.