Comparação da Segurança Nativa entre os Protocolos IPv4 e IPv6

  • 2,164 views
Uploaded on

Trabalho de conclusão do curso de Segurança da Informação em Redes de Computadores da Faculdade Área 1. Tema: Comparação da segurança nativa entre os protocolos IPv4 e IPv6

Trabalho de conclusão do curso de Segurança da Informação em Redes de Computadores da Faculdade Área 1. Tema: Comparação da segurança nativa entre os protocolos IPv4 e IPv6

More in: Technology
  • Full Name Full Name Comment goes here.
    Are you sure you want to
    Your message goes here
    Be the first to comment
    Be the first to like this
No Downloads

Views

Total Views
2,164
On Slideshare
0
From Embeds
0
Number of Embeds
0

Actions

Shares
Downloads
0
Comments
0
Likes
0

Embeds 0

No embeds

Report content

Flagged as inappropriate Flag as inappropriate
Flag as inappropriate

Select your reason for flagging this presentation as inappropriate.

Cancel
    No notes for slide

Transcript

  • 1. Faculdade Área 1 Pós Graduação em Segurança da Informação em Redes de Computadores Rafael Pimenta Tuvo Comparação da segurança nativa nos protocolos IPv4 e IPv6 Salvador/Bahia 2011
  • 2. Rafael Pimenta Tuvo Comparação da segurança nativa nos protocolos IPv4 e IPv6 Trabalho de conclusão de curso exigido para conclusão do curso de Pós- Graduação em Segurança da Informação em Redes de Computadores da Faculdade Área 1. Orientador: Marco Antônio Chaves Câmara Salvador/Bahia 2011
  • 3. Resumo: No início das redes de computadores e da própria internet, o maior desafio era a conectividade entre os computadores, sem qualquer preocupação com segurança ou desempenho. Surgia então o protocolo IP versão 4 suprindo esta necessidade. Com o passar dos anos, segurança e desempenho tornaram-se imprescindíveis em praticamente toda comunicação pela internet e o IPv6 se apresenta como a nova solução para estes problemas. Este trabalho tem o objetivo de comparar os recursos de segurança oferecidos pelas versões 4 e 6 do protocolo IP. Abstract: In early of the networks of computers and the Internet, the biggest challenge was connectivity between computers, without any concern for safety or performance. Then came the Internet Protocol, version 4, supplying this need. Over the years, safety and performance have become indispensable in virtually all communication over the Internet and IPv6 introduces himself as the new solution to these problems. This job has the objective to compare the security features offered by versions 4 and 6 of the IP protocol. 1. Introdução A internet surgiu com o objetivo de estabelecer a comunicação entre cientistas e pesquisadores. Não havia, nesta época, preocupações com a segurança nas transmissões dos dados, uma vez que os problemas de conectividade eram o principal obstáculo a ser superado. O protocolo IP versão 4 (IPv4) garantiu essa comunicação de forma eficiente.Contudo, com o passar dos anos, o uso das redes de computadores se popularizou. O que era mera troca de informações tomou outra dimensão, sendo as redes hoje utilizadas de varias maneiras, inclusive para transações bancárias e comércio eletrônico. Atualmente existem diversas ferramentas que permitem a captura dos dados que trafegam nas redes (os sniffers), e o protocolo IPv4 não oferece nenhuma proteção nativa contra isso. Ficou evidente a necessidade de outra tecnologia, ou a evolução desta, que implementasse um nível de segurança maior que o oferecido pelo IPv4. Neste contexto surgiu a versão 6 do protocolo IP, o IPv6. Além de corrigir o problema de escassez na quantidade máxima de hosts do IPv4, a versão 6 trás consigo suporte
  • 4. nativo ao protocolo IPSec. A idéia é fazer com que a segurança dependa o mínimo do usuário. O IPSec implementa serviços como autenticação e ou criptografia na camada de rede. O objetivo deste trabalho é comparar os protocolos IPv4 e IPv6, no que atine ao aspecto “Segurança”, através da análise do tráfego de pacotes em cada um deles. Este trabalho é dividido em três seções principais, além desta introdução, que dá um breve histórico da internet e do protocolo IP. O próximo tópico trata do IPv4, dando enfoque nas suas limitações e motivos que ensejaram o desenvolvimento de uma nova versão do protocolo. Em seguida é apresentado o IPv6, com as suas características, dando um enfoque principal ao protocolo IPSec, que incrementa a segurança desta nova versão do protocolo IP. Por fim, é realizada a análise dos tráfegos IPv4 e IPv6, demonstrando que o segundo permite um incremento da segurança sem necessidade de aplicações externas, seguida das conclusões finais. 2. O IPv4 e suas limitações 2.1. A Escassez de Endereços Na década de 70, as agências governamentais dos Estados Unidos perceberam a importância da interligação em redes. Entre 1977 e 1979 o TCP/IP tomava seu escopo final e, em 1983, a tecnologia foi transferida para a internet, tomando dimensões globais. [COMER, 1998]. O IPv4 tinha a incumbência de prover todos os computadores com um número identificador único na internet, o endereço IP, para que eles pudessem ter conectividade sem problemas e assim foi por quase três décadas. Com o passar do tempo, percebeu-se que os endereços IPs uma hora se esgotariam. Os 32 bits utilizados para esta finalidade não eram mais suficientes: na teoria, pouco mais de 4 bilhões de endereços. Foram criadas, então, algumas técnicas que deram uma sobrevida ao IPv4. Um exemplo foi o NAT (Network Address Translation), que consiste em manter a rede interna numa faixa de IPs inválidos para a internet, porém válidos localmente, e um gateway com um único endereço IP válido para a internet. Este
  • 5. gateway faz a “tradução” dos endereços da internet para a rede local e vice-versa. Desta forma, economizou-se uma quantidade significativa de IPs válidos na internet. Além do NAT, a RFC 1518, publicada em setembro de 1993, estabelece o CIDR – Classless Inter-Domain Routing (Roteamento Inter-Domínio sem Classe), que deu maior flexibilidade ao protocolo pois, a partir de então, foi possível o uso de máscaras para criar sub-redes. Assim, não era mais obrigatório o uso apenas dos primeiros 8, 16 ou 24 primeiros bits do endereço IPv4 para identificação da rede, permitindo a adequação da máscara de acordo com a necessidade de cada organização [SMETANA, 2001]. Porém, o NAT e o CIDR não foram as soluções definitivas dos problemas. Os últimos cinco blocos de IP foram disponibilizados pela IANA aos órgãos responsáveis pela distribuição no dia 03/02/20111 . Estima-se que essa distribuição de IP aos usuários seja concluída entre os anos de 2011 e 2012. As figuras 1, 2 e 3 mostram a distribuição dos IPs ao longo dos anos [IANA]: Figura 1- Distribuição dos blocos de IP em 1993 1 Notícia no site do LACNIC: http://lacnic.net/pt/anuncios/2011-agotamiento-ipv4.html. Acesso em 03/02/2011
  • 6. Figura 2 - Distribuição dos blocos de IP em 2000 Figura 3 - Distribuição dos blocos de IP em janeiro de 2010 Além das limitações quantitativas, o IPv4 não oferece, por padrão, segurança aos dados de forma eficaz. Todo o tráfego é transmitido de forma limpa, sem criptografia. Não há garantia de autenticidade entre emissor e receptor. Para isso, é necessária a utilização de
  • 7. aplicações externas, que, muitas vezes, geram custos, financeiros e computacionais, ao usuário final e às empresas. 2.2.Ausência de Qualidade de Serviço (QoS) Outro ponto que incentivou a adoção de uma nova tecnologia é a qualidade na transmissão. Hoje em dia é comum a utilização de aplicações multimídia e elas exigem QoS (Quality of Service, ou Qualidade de Serviço) na transmissão dos pacotes para que sejam viáveis e eficazes. O IPv4 não trabalha nativamente uma forma de serviço que garanta essa qualidade, afinal, quem pensava em tráfego multimídia no início dos anos 80?! Existe um campo no cabeçalho IPv4 chamado Type of Service (ver figura 4), mas este tem funcionalidade limitada e os roteadores, na prática, ignoram completamente este campo [TANEMBAUM, 2003]. Figura 4 - Cabeçalho IPv4 [Tanembaum,2003] Assim, ficou claro que um novo protocolo deveria incorporar algumas características que não estavam presentes na versão 4 do protocolo IP. Foi então desenvolvido o IP versão 6. 3. IPv6 O IPv6 manteve grande parte das características que fizeram do IPv4 um padrão mundial. Porém, alterou algumas de suas características e acrescentou algumas funcionalidades [GODINHO, 2005]:
  • 8. • Cabeçalho simplificado (ver figura 5): alguns campos foram eliminados (como o IHL, Protocol e Checksum, este último por questões de desempenho) e outros se tornaram opcionais (Hop-by-hop options, Destination options, Routing, Fragmentation, Authentication e Encrypted security payload). Isso implica em menos processamento em cada pacote, aumentando o desempenho. Figura 5 - Cabeçalho IPv6 [RFC 2460] • Endereçamento de 128 bits: é possível fornecer 2128 endereços IP, o equivalente a 79 trilhões de vezes o espaço do IPv4, ou seja, 3,4*1027 endereços por habitante do planeta. • Formato do endereço: ao invés de 4 octetos representados em decimal, o IPv6 trabalha com 8 hexatetos representados em hexadecimal. • Rota definida na origem: a rota de transmissão passa a ser definida na origem do envio, e não mais durante, o que elimina custos de processamento dos roteadores envolvidos no tráfego. O campo Flow Label é utilizado para este fim, definindo as características do fluxo de dados necessário para uma conexão eficiente. • Autoconfiguração: Possibilidade de atribuição de endereços IP automaticamente a um host.
  • 9. 3.1. IPSec Contudo, o ponto mais importante do IPv6 no que atine a segurança é a incorporação, de forma nativa, do suporte ao protocolo IPSec (IP Security Protocol). Criado pelo IETF (Internet Engineering Task Force), o IPSec surgiu com o objetivo de prover segurança no tráfego da rede com o auxílio de criptografia, fornecendo proteção tanto no pacote IP quanto em camadas superiores [Silva, 2003 apud Godinho, 2005]. Conforme pode ser observado na Figura 6, o IPSec “cria” uma camada virtual, subdividindo a camada de rede em duas. Figura 6 - IPSec no Modelo OSI 3.1.1. Arquitetura do IPSec O IPSec utiliza mecanismos que fornecem ao pacote IP serviços de integridade, autenticação, controle de acesso e confidencialidade na camada de rede [GODINHO,2005]. A arquitetura básica do IPSec permite os modos de operação AH (Autentication Header), ESP (Encapsulating Security Payload) e IPComp (IP Payload Compression). O primeiro garante integridade e autenticação na origem, mas não faz cifragem, portanto, não garante confidencialidade. Além disso, provê o serviço anti- replay2 . O ESP fornece integridade e confiabilidade, através de criptografia, garantindo que os dados só serão visualizados pelo destinatário e que não sofrerão alterações durante a transmissão. Esses dois modos de operação podem ser utilizados de forma 2 Serviço que impede que uma mensagem legítima seja capturada e retransmitida em outro momento, com fins ilegítimos
  • 10. independente ou em conjunto. Por fim, o IPComp permite realizar a compressão dos pacotes [KROPIWIEC, 2003]. Existem dois modos de operação para cada um deles, são os modos transporte e túnel. No transporte, habilita-se proteção primária aos protocolos das camadas superiores. Já no modo túnel, os protocolos das camadas superiores são colocados dentro de pacotes AH ou ESP [KROPIWIEC, 2003]. Além desses, ainda há o protocolo IKE (Internet Key Exchange). Ele é utilizado para fazer a gerência automática de chaves criptográficas, disponibilizando-as de forma segura, e para estabelecer as associações de segurança (SA – Security Association) [GODINHO, 2005]. As SAs são um conjunto de diretivas que permitem negociar algoritmos de criptografia a serem utilizados. Para que a comunicação ocorra, tanto o emissor quanto o receptor precisam entrar em acordo sobre quais diretivas serão utilizadas. Para conexões bidirecionais, dois SA são necessários, um para cada sentido, uma vez que as associações são simplex. Na figura 7 é possível visualizar essa arquitetura: Figura 7 - Arquitetura IPSec [KROPIWIEC,2003] Na figura acima, é possível identificar mais dois itens: a SPD e a SAD. A SPD (Security Policy Database) e a SAD (Security Associations Database) são duas bases de dados, relacionadas às SAs, que o IPSec mantém. A SPD define quais serviços de segurança
  • 11. devem ser utilizados baseado em fatores como protocolo, origem, destino etc. Ela possui uma lista que determina qual tráfego deve passar sem processamento IPSec, qual deve ser descartado e qual deve ser processado pelo IPSec. As entradas nesta base são similares às regras de firewalls de filtro de pacotes. A SAD é uma base de dados de associações de segurança. Ela possui informações de cada SA, como algoritmos e chaves do AH ou ESP, modo utilizado e tempo de vida (TTL) [KROPIWIEC, 2003]. 3.1.2. Impacto no Desempenho Todo método de criptografia utilizado numa comunicação causa um retardo na transmissão, pois a cifragem e decifragem demandam esforço computacional. O mesmo se aplica aos métodos de autenticação, pois é necessário calcular o hash no momento do envio das mensagens e também ao recebê-las, para verificar a integridade dos dados. Quando as aplicações envolvidas são de tempo real, um atraso mínimo pode ser significativo e comprometer a utilização da aplicação. Em outros casos, atrasos pequenos são toleráveis. Todas as aplicações que utilizam a internet como meio para transmissão dos dados devem estar preparadas para atrasos. O IPSec, como protocolo de segurança que criptografa e autentica as conexões, interfere no desempenho dos equipamentos que o utilizam. O IPSec expande o tamanho do pacote, o que pode acarretar fragmentação e remontagem dos mesmos. Além disso, pacotes cifrados provavelmente serão autenticados, o que significa execução de duas operações de criptografia para cada pacote. Outro problema é que os métodos de autenticação em equipamentos que utilizam o IPSec são lentos. Ainda, o algoritmo de troca de chaves usado pelo IKE é uma exponenciação de números entre 768 e 1024 bytes, o que torna seu processamento complexo e o tempo gasto para isso pode ser significativo, chegando a 4 segundos num roteador Cisco 2500 [CISCO, 2011]. Com isso, até pacotes que não são cifrados pelo IPSec sofrerão atrasos ao passarem por um equipamento com IPSec ativo, já que também serão testados pelas regras que determinarão quais pacotes devem ser processados pelo protocolo.
  • 12. A Cisco recomenda que, para minimizar o impacto do processamento IPSec, se utilize o algoritmo MD53 para autenticação (apesar deste ser extremamente frágil), RC54 para criptografia , além do aumento do TTL. Contudo, essa configuração baixa significativamente o nível de proteção do sistema, devendo as organizações consultarem suas políticas de segurança para saber se esse é um formato aceitável [CISCO, 2011]. 4. SSL (Secure Sockets Layer) Como citado anteriormente, a internet chegou ao grande público sem preocupação com segurança, para distribuição de páginas estáticas. Após algum tempo, passou a abrigar transações financeiras, criando, então, uma demanda por conexões seguras. Assim, a Netscape Communications Corporation, em 1995, criou o pacote de segurança SSL. Segundo Tanembaum (2003), a SSL monta uma conexão segura entre dois soquetes, abordando: 1. Negociação de parâmetros entre cliente e servidor 2. Autenticação entre cliente e servidor 3. Comunicação secreta 4. Integridade dos dados transmitidos Como o próprio nome sugere, a SSL trata-se de uma nova camada posicionada entre as camadas de aplicação e transporte. Depois que a conexão é estabelecida, a principal função da SSL é tratar da criptografia e compactação dos dados. Como exemplo, o usual HTTPS (Secure HTTP), visualizado principalmente em transações financeiras online, trata-se do protocolo padrão HTTP sobre a SSL. Por ser a SSL uma solução proprietária, em 1997 foi criado um grupo de trabalho na IETF (Internet Engineering Task Force) com o objetivo de desenvolver um padrão que garantisse conexões seguras nas comunicações realizadas na internet. O resultado foi o padrão TLS (Transport Layer Security), descrito sobre a RFC 2246, que é baseado na versão 3.0 da SSL [Reivelleau e Schaffer]. 3 Message Digest algorithm 5 – algoritmo que utiliza hash de 128 para verificação de integridade em logins 4 Ron’s Code – Criptografia simétrica que codifica blocos de texto claro utilizando chaves de até 2040 bits
  • 13. Segundo ALSHAMSI e SAITO, optar pelo IPSec ou pelo SSL depende das necessidades de segurança das comunicações em questão. Se um serviço específico é necessário e suporta SSL, então esta é uma boa escolha. Se todos os serviços são necessários, então o IPSec é a melhor opção. A não ser que IPSec e firewall estejam integrados no mesmo equipamento, o SSL se integra melhor com as soluções de firewall. Diferente do SSL, clientes IPSec necessitam de aplicação externa para trabalharem com acesso remoto. Além disto, o IPSec é capaz de proteger redes wireless. Função IPSec SSL Configuração Difícil Fácil Autenticação do cliente Necessária Opcional Chave Pré-Compartilhada Sim Não Problemas de interoperabildade Sim Não Suporte a aplicações TCP Todas Algumas Suporte a UDP Sim Não Taxa de Throughput Alta Alta Suporte a compressão Sim Apenas com OpenSSL Tempo de handshake Lento Rápido Tabela 1 – IPSec x SSL [ALSHAMI e SAITO] 5. Avaliação da segurança no IPv4 e no IPv6 O objetivo deste trabalho é comparar o nível de segurança nos protocolos IPv4 e IPv6. Para tanto, foram utilizados computadores conectados em rede sem fio, usando IPv4 e sem adicionar opções de segurança, ambos utilizando o sistema operacional Windows 7 Home Basic. Numa das máquinas foi instalado um servidor FTP. Para realizar os testes, o aplicativo de captura de pacotes Wireshark foi instalado numa terceira máquina, que capturou o tráfego do ambiente acima descrito no momento em que a máquina cliente acessava o servidor FTP. Para tanto, foi necessário utilizar uma placa de rede, na máquina sniffer, que operasse em modo promíscuo, para que o tráfego
  • 14. não destinado à própria máquina pudesse ser capturado. A figura 8 mostra a captura dos dados na rede baseada em IPv4: Figura 8 – Captura do tráfego IPv4 Após aplicar o filtro “FTP”, pôde-se perceber que todo o tráfego é facilmente visualizado pelo atacante, sendo possível identificar os comandos utilizados pelo cliente FTP e até mesmo os dados como login e senha utilizados na autenticação. Após isto, o processo foi repetido, alterando a configuração de IP para IPv6 (ver figura 9). Os dados ainda podem ser visualizados de forma limpa no Wireshark.
  • 15. Em seguida, foi ativado o IPSec na comunicação entre os computadores, de forma que não foi mais possível identificar quaisquer comandos, arquivos ou outros dados importantes da conexão durante a captura (ver figura 10), em função da criptografia realizada pelo protocolo ESP, descrito no capítulo 3.1.1. Assim, percebe-se que a utilização do IPSec nas configurações de redes IPv6 incrementa sensivelmente a segurança da informação que nela trafega. Além disso, não foi necessária a utilização de nenhuma aplicação externa, retirando do usuário a responsabilidade de implementar a segurança na rede, além de custos para tal implementação. 6. Conclusão A arquitetura do protocolo IPv6, através do suporte ao IPSec nativo, garante uma camada de segurança mais eficiente que o IPv4. Essa implementação, por si só, já justificaria a migração para a nova versão. Somada aos fatos de que o IPv6 apresenta um número absurdamente grande de endereços disponíveis, dos últimos blocos de IPv4 restantes terem sido distribuídos pela IANA, de que foram otimizadas as informações de controle dos pacotes (que gera maior desempenho), da facilidade de configuração e da otimização do uso da banda no uso IPSec sobre IPv6 [Almeida e Santa Inês, 2009], a mudança de padrão parece ser inexorável, sendo apenas uma questão de tempo.
  • 16. A estrutura de endereços do IPv6, com IPSec, previne diversos ataques, através dos protocolos AH e ESP, como por exemplo Ataques de Replay, Spoofing, Connection Hijacking, Fragmentos de Pacotes Criptografados e sniffer [Almeida e Santa Inês, 2009]. Ademais, o IPSec garante autenticidade, confidencialidade e integridade na transmissão, fazendo ainda o gerenciamento de chaves de segurança, realizado pelo protocolo IKE. A fase de transição gera preocupação na comunidade de tecnologia, mas soluções híbridas já existem para fazer a passagem de forma gradual, com poucos transtornos. O próprio Google, uma das maiores empresas de tecnologia do mundo, já possui seus principais produtos operando sobre a estrutura IPv6, a exemplo do Gmail e Youtube. Os testes aqui apresentados mostraram a fragilidade do protocolo IPv4, uma vez que a não existe suporte nativo ao IPSec (ou a outras soluções que aprimorem a segurança dos dados), situação impensável num mundo em que imensa fatia das operações comerciais ocorrem através da internet. Referências ALSHAMSI, Abdelnasir and SAITO, Takamichi; A Technical Comparison of IPSEC and SSL; Tokyo University of Tecnology. s.d. Disponível em http://eprint.iacr.org/2004/314.pdf . ALMEIDA, Ericson Oliveira de; SANTA INES, Olga Abreu de; Introdução ao Protocolo IPv6 e Análise de Desempenho do IPSec sobre os Protocolos IPv4 e IPv6. Centro Universitário da Bahia – Estácio de Sá – FIB. Monografia. Salvador/Ba. 2009. Disponível em http://www.slideshare.net/ericsonalmeida/monografia-final-desempenho-ipsec-com-i-pv4-e- ipv6. CISCO Documentation; An Introduction to IP Security (IPSec) Encryption., http://www.cisco.com/en/US/tech/tk583/tk372/technologies_tech_note09186a0080094203.shtm l; Abril 2011. COMER, Douglas E.; Interligação em Rede com TCP/IP. Editora Campus. 1998. GODINHO JR, Luis; SOUSA, Jarbas Pereira Lopes; NUNES, Robert Mady, BOGO, Madianita. Análise da Segurança em Redes Puramente Ipv6. In: VII Encontro de Estudantes de Informática do Estado do Tocantins, 2005, Palmas. Anais… Palmas: 2005.
  • 17. KROPIWIEC, Cássio Ditzel; Proposta de um mecanismo de Segurança para Web Services Baseado em IPSec; Dissertação de Mestrado; 2003. REVEILLEAU, Jonathan Giusti e SCHAFFER, Carlos Adriani Lara; Redes Seguras: Uma visão sobre VPN’s e soluções de código aberto para implementá-las. Universidade de Passo Fundo. s.d. [RFC1518] Rekhter, Y., and T. Li, “An Architecture for IP Address Allocation with CIDR”, RFC 1518, September 1993. SANTOS, Cleymone Ribeiro dos. Integração de IPv6 em um Ambiente Cooperativo Seguro. Dissertação de Mestrado. Unicamp. 2004. SMETANA, George Marcel M. A.; IPv4 e IPv6; Escola Politécnica da Universidade de São Paulo; 2001. TANEMBAUM, Andrew S.; Redes de Computadores; 4ª edição; Editora Campus; 2003.