O papel do DNS na segurança da Internet

Transcrição

1 Pedro Manuel Barbosa Veiga Presidente da Fundação para a Computação Científica Nacional. Professor Catedrático da Faculdade de Ciências da Universidade de Lisboa. O papel do DNS na segurança da Internet 145 A crescente introdução de tecnologias na nossa sociedade tem trazido imensos benefícios para a nossa qualidade de vida. Traz, também, uma série de efeitos colaterais, indesejáveis, a que é preciso estar atento e saber como proceder, para podermos desfrutar dos benefícios destas tecnologias e garantir uma sociedade mais evoluída e com segurança. O DNS (Domain Name System) é um dos componentes infraestruturais da Internet mais importantes para que a rede possa funcionar como a conhecemos, mas é também um dos mais usados para cometer diversos tipos de ataques à segurança da Internet ou dos seus utilizadores, sejam estes indivíduos, empresas ou instituições governamentais. Neste artigo faremos uma breve introdução ao DNS e ao papel que desempenha na Internet, passando a referir, de seguida, alguns tipos de desafios de segurança do DNS e tipos de ataques e crimes que são concretizados através do DNS. Terminamos com algumas pistas de como nos podemos proteger na Internet.

2 146 The increasing introduction of technologies in our society has brought enormous benefits for our standards of living. It has also brought a series of collateral undesirable effects to which we need to be attentive and know how to react, so that we can enjoy the benefits of these technologies and ensure a more developed society with more safety. DNS (Domain Name System) is one of the most important infra-structural components of the Internet, so that it may work as we know it, but it is also one of the most used to perpetrate several types of attacks to the Internet s security, or of its users, be they individuals, businesses or government institutions. In this article, we will present a brief introduction to DNS and to the role it has on the Internet, and then we will mention some types of security challenges of DNS and types of attacks and crimes that are done using DNS. We will finish with some indications about how we should protect ourselves on the Internet.

3 A crescente introdução de tecnologias na nossa sociedade tem trazido imensos benefícios para a nossa qualidade de vida. Traz, também, uma série de efeitos colaterais, indesejáveis, a que é preciso estar atento e saber como proceder, para podermos desfrutar dos benefícios destas tecnologias e garantir uma sociedade mais evoluída e com segurança. O DNS (Domain Name System) é um dos componentes infraestruturais da Internet mais importantes para que a rede possa funcionar como a conhecemos, mas é também um dos mais usados para cometer diversos tipos de ataques à segurança da Internet ou dos seus utilizadores, sejam estes indivíduos, empresas ou instituições governamentais. Neste artigo faremos uma breve introdução ao DNS e o papel que desempenha na Internet, passando a referir, de seguida, alguns tipos de desafios de segurança do DNS e tipos de ataques e crimes que são realizados através do DNS. Terminamos com algumas pistas de como nos podemos proteger na Internet. Introdução A inclusão de qualquer tecnologia na sociedade procura trazer benefícios mas, como é natural, vem colocar em causa os modos de viver anteriores e traz novos problemas e desafios. A sociedade tem sabido, pelo menos até agora, assimilar estas alterações na direção do crescente desenvolvimento humano. Com a Internet passa-se uma situação similar. A invenção da Internet e o seu uso crescente pela sociedade veio trazer enormes alterações ao nosso modo de vida, alterando o paradigma de vida de muitas pessoas e o modo de fazer muitos negócios; novas indústrias foram criadas e outras desapareceram ou foram alvo de fortes reestruturações. Sem dúvida que a Internet foi uma invenção marcante para aquilo que hoje temos à disposição, no nosso dia a dia, como seja o acesso a serviços bancários, a serviços públicos, a redes sociais e o acesso à informação e ao conhecimento de que necessitamos para a nossa vida. É a Internet que é a «cola» que permitiu aglutinar invenções que, ao longo dos anos, foram introduzindo novos produtos e serviços por cada uma das indústrias da convergência (informática, comunicações e media) e para criar aquilo que hoje em dia temos à nossa disposição. A Internet foi criada tendo como um dos seus objetivos centrais uma grande resiliência. Foi um dos requisitos subjacentes à sua criação, na década de 60 do séc. XX, a capacidade de interligar computadores dentro dos EUA, mesmo em ambientes adversos onde partes significativas da rede podiam estar a funcionar em modo degradado ou ter sido destruídas. A Internet é suportada em circuitos de telecomunicações, sobre os quais é colocada em funcionamento uma camada de comutação digital baseada na família de protocolos TCP/IP e num grande número de protocolos aplicacionais. É esta camada que tem contribuído para que a Internet tenha o sucesso que lhe reconhecemos, pela flexibilidade que dá ao desenvolvimento de novas aplicações inovadoras. Mas deixando de lado a infraestrutura de telecomunicações que suporta a Internet, que envolve uma multiplicidade de tecnologias e em que a maioria é gerida por operadores privados com base em licenças dos governos, há as camadas funcionais que constituem a Internet. Estas camadas funcionais são concretizadas por equipamentos dedicados os routers e os seus servidores associados e que são geridos pelos ISP (Internet Service Providers), por aplicações geridas por diferentes tipos de organizações, desde grandes empresas (também os ISP), passando por pequenas empresas especializadas em nichos de mercado e pelos inúmeros computadores e outros tipos de terminais (por ex. os PDA) que estão ligados à Internet, quer nas empresas, quer nos lares ou no domínio público. A complexidade funcional e as diferentes responsabilidades dos agentes envolvidos na Internet, que até envolve os utilizadores individuais nos seus lares, conferem uma enorme complexidade aos problemas de segurança na Internet. Mas há uma aplicação da Internet, o DNS (Domain Name System), que pelo papel infraestrutural que desempenha, tem um papel crítico para a estabilidade, resiliência e segurança da Internet e que é o centro da nossa atenção. 147

4 148 O Domain Name System (DNS) Nos primórdios da Internet os poucos computadores que integravam esta rede eram identificados unicamente através do endereço da sua ligação à Internet, o chamado endereço IP. O endereço IP é, do ponto de vista técnico, uma sequência de 32 bits 1 que é usada para encaminhar os pacotes de dados a Internet é uma rede de comutação de pacotes através da Internet. Para efeitos de legibilidade pelas pessoas, o endereço IPv4 costuma ser representado por uma sequência de 4 números decimais que podem variar de 0 a 255, como por exemplo Quando o número de computadores ligados à Internet começou a crescer tornou-se impraticável memorizar os endereços IP dos computadores relevantes para cada utilizador. Assim foi inventado o DNS Domain Name System que, de um modo simplificado, permite atribuir um nome simbólico a um endereço IP. Os utilizadores só têm de memorizar estes nomes simbólicos, os nomes de domínios, como Do ponto de vista lógico tem algumas semelhanças com a lista de contactos telefónicos que cada um de nós tem no telemóvel; hoje já não temos memorizados os números de telefone dos nossos amigos e familiares, porque recorremos aos que guardámos nesta lista de contactos. O DNS funcione de modo análogo mas, claro, com uma abrangência técnica e global de enorme complexidade e para todos os recursos da Internet. Se não existisse o DNS para cada um de nós a Internet seria impossível de usar, pelo menos do modo como estamos habituados. O DNS é uma aplicação infraestrutural da Internet pois permite que esta rede funcione como a conhecemos, referenciando os recursos através da notação simbólica dos nomes dos domínios. O DNS é usado pelas aplicações a que estamos habituados, como o correio eletrónico ou o WWW, para descobrir o endereço IP dos recursos da Internet, estando embebida em todas as aplicações, sem que a 1 Refira-se que o facto do endereço IP só ter 32 bits é uma séria limitação que levou ao desenvolvimento de um outro protocolo IP, designado IPv6 (IP versão 6), que já tem endereços de 128 bits. Neste texto quando referimos IP, estamos a considerar o atual protocolo na versão 4, o IPv4. Tudo o que referimos é igualmente aplicável ao IPv6. maioria de nós se aperceba desse facto, pela elevada eficiência do DNS. A nível mundial o DNS está organizado como uma hierarquia de servidores que garantem a resolução global de nomes de domínios em endereços IP. Trata-se de uma infraestrutura altamente tolerante a falhas e com uma enorme resiliência, pelo modo como foi pensado e tem sido concretizado. Mas este seu papel para a Internet tem sido explorado por aqueles que querem perturbar o funcionamento da Internet. O DNS e a segurança na Internet Os servidores DNS mais críticos da Internet são os servidores dos domínios de topo dos países (como de.pt,.br,.jp,.uk, ), dos domínios globais (.COM,.ORG,.NET, ), bem como um outro conjunto de servidores os root servers que asseguram a distribuição de tabelas do DNS pelos servidores dos domínios de topo e não são visíveis ao utilizador comum. Todos estes servidores são alvo de frequentes ataques informáticos (várias vezes ao dia), a maioria dos quais são ataques do tipo DDOS (Distributed Denial Of Service). Estes ataques são feitos através da injeção de elevados volumes de tráfego nos servidores críticos, com a finalidade de os impedir de realizar o seu papel fundamental de fazer a resolução de nomes de domínios em endereços IP para cada utilizador individual da Internet. Para concretizar estes ataques, são frequentemente usados computadores domésticos que foram antecipadamente infetados com «cavalos de Tróia informáticos» e cujo ataque a um servidor Internet é desencadeado quando os criminosos informáticos pretendem concretizar o ataque. E porque são usados estes computadores? A principal razão prende- -se com o facto de serem sistemas onde é fácil instalar os «cavalos de Tróia informáticos», pelo facto de muitos utilizadores domésticos não protegerem minimamente os seus computadores e, ainda, porque assim se consegue uma dissociação entre os criminosos e os sistemas de onde parte o ataque, dificultando a investigação criminal. Um outro aspeto que merece referência e que envolve de novo os domínios de topo refere- -se à informação de registo do detentor de cada domínio. Quando é feito o registo de um novo

5 domínio, seja num domínio global ou o domínio de um país, deve ser fornecida informação correta sobre a entidade que gere este domínio (a chamada informação whois, devido ao sistema que foi desenvolvido há muitos anos e que definia o modo desta informação ser armazenada e disponibilizada). A informação sobre quem é o detentor de um domínio é importante para se poder contactar o gestor do domínio quando existam problemas técnicos ou associados aos conteúdos relativos a esse domínio (por ex., comércio eletrónico abusivo). Portanto, ter informação correta sobre quem detém um domínio é fundamental. Todavia, como muitos registos são feitos online, quem pretende concretizar práticas ilegais ou criminosas não faz mais que fornecer informação de registo falsa. É a falta de rigor da informação sobre os detentores de um domínio que dificulta a ação das autoridades policiais em caso de problemas. Um outro problema, resultante das dificuldades em equilibrar o legítimo interesse de ter informação pública sobre os detentores dos domínios e manter a sua privacidade, está na origem do spam. Se, como vimos anteriormente, há interesse em divulgar informação correta sobre os detentores de cada domínio, por outro lado essa informação pode ser usada para envio de publicidade não solicitada. Esta publicidade não solicitada, o spam, origina tráfego parasita na rede e nos utilizadores terminais e é um dos lados negros do DNS necessitar de ter informação de whois. Claro que os endereços de correio eletrónico que são a base do spam também são obtidos de outros modos, mas apresentamos este caso para mostrar como um objetivo digno disponibilizar informação fidedigna sobre o detentor de um domínio pode ser usada para fins ilegítimos e que colocam em causa a segurança da Internet. Deixámos para último uma outra situação em que o DNS é usado para a concretização de crimes informáticos. Trata-se de uma situação conhecida na gíria técnica como ataque to tipo «man in the middle». Como já se referiu, sempre que usamos a Internet, o DNS precisa de ser usado para converter um nome de domínio num endereço IPv4 ou IPv6. O computador que usamos, em termos simples, faz um pedido ao DNS com o nome de domínio que pretende resolver e espera receber um endereço do computador que tem esse nome de domínio associado. Num ataque tipo «man in the middle» o criminoso interceta o pedido do nosso computador e envia-nos uma resposta endereço IPv4 ou IPv6 falsa. Quando o nosso computador tenta contactar aquele que julga que é o computador, cujo nome de domínio usámos, estamos na realidade a contactar um sistema «falso» e que pode alojar aplicações para serem perpetrados crimes informáticos como sejam, por exemplo, sites falsos mas idênticos aos do banco a que queríamos aceder para fazerem a captura dos nossos códigos de acesso, legítimos, e que depois são usados pelos criminosos informáticos para fraudes informáticas, em regra geral roubar dinheiro. Para resolver este tipo de problemas a comunidade técnica da Internet desenvolveu soluções, uma das quais é o DNSSEC (DNS Security Extensions). O DNSSEC Para enquadrar uma breve explicação do que é o DNSSEC convém, previamente, tentar responder a uma pergunta que, com alguma frequência, é colocada e que diz respeito à fragilidade técnica do sistema de DNS. Muitos se interrogam como um sistema tão crítico para o funcionamento da Internet tem tantas fragilidades? A resposta reside no facto de o DNS ter sido desenvolvido para um contexto de uso muito diferente da realidade da Internet atual. Nos primórdios da Internet nunca se pensou que esta rede iria evoluir para o que é hoje, nem nunca se imaginou que cada pessoa poderia ter um computador e um PDA (ou mais do que um) e por isso as preocupações de segurança nunca estiveram na base da evolução de muitos dos protocolos da Internet, incluindo o DNS. Quando estas preocupações de segurança começaram a ser relevantes e para o caso particular do DNS, foi desenvolvido um novo protocolo para resolução de nomes de domínio em endereços IP, o DNSSEC. Como seria impensável substituir o DNS pelo DNSSEC em toda a Internet, este novo protocolo com segurança foi concebido para ser retrocompatível com o DNS, de modo a que os dois podem coexistir. Assim o DNSSEC tem estado a ser implementado a nível mundial há cerca de cinco 149

6 150 anos, havendo já muitos domínios de topo que implementam este protocolo. Todavia a adoção do DNSSEC pelos utilizadores finais (detentores de domínios) tem estado a ser lenta, por uma série de razões de natureza técnica, organizativa e económica. Há dois problemas que queremos salientar. O primeiro é o fator económico e refere-se a um problema que muitas vezes não é de perceção simples e que é motivado porque na realidade «ter segurança custa dinheiro» e as pessoas não o pretendem gastar. No caso particular do DNSSEC, a sua adoção obriga a investimentos em servidores e acessos à rede mais rápidos, formação de pessoal e aquisição de sistemas para suporte à segurança (por exemplo, cofres para armazenamento e gestão de chaves criptográficas). Muitos gestores não estão preparados para investir para ter mais segurança, pois ainda têm a visão antiquada de «para quê investir em segurança se nunca tivemos problemas?». O segundo fator que tem atrasado a adoção do DNSSEC tem a ver com o facto de existirem na Internet milhões e milhões de sistemas que precisam de ser atualizados para suportarem o DNSSEC e isto ser um processo com muita complexidade técnica e consequente morosidade. É a contrapartida de ter mais segurança. Assim muitas organizações não adotam o DNSSEC por mero desconhecimento dos seus técnicos. Outras pelos custos inerentes. A nível doméstico é também o desconhecimento que leva ao atraso na adoção de um DNS com segurança intrínseca. Na segurança informática, como em muitas áreas da nossa vida, o investimento em segurança deve ser acompanhado de uma análise de risco que contemple o nível e risco que queremos assumir e os custos. Estes custos são custos técnicos, de investimento e de operação de plataformas mais seguras, mas também se devem considerar os custos e riscos económicos resultantes da perda de informação e mesmo de meios financeiros, caso a segurança não seja implementada. Nota final O DNS é um dos componentes mais críticos da Internet mundial. Além da infraestrutura pública de telecomunicações que suporta a maioria da Internet e de todos os outros componentes, sem dúvida que o DNS é aquele que tem sido alvo da maioria dos ataques à Internet. A arquitetura distribuída do DNS, a implementação de medidas técnicas para tornar os servidores de raiz e de topo mais resistentes a ataques e, finalmente, uma estrutura organizativa e de recursos humanos competente, têm contribuído para que o ciberespaço seja um local estável e resiliente. Mas há que estar atento a novas abordagens e tipos de ataques daqueles que pretendem perturbar o normal funcionamento da Internet, seja com intuitos terroristas ou de crimes económicos. O DNSSEC é uma das respostas da comunidade Internet mundial a diversos problemas que o DNS atual exibe. A sua rápida adoção pode ajudar a reduzir muitos dos problemas que hoje existem na Internet mundial relacionados com o DNS.