Resumo

  • O RFC 1948 descreveu um atacante que observava o número inicial de uma conexão real, fingia ser um computador de confiança e adivinhava o próximo número do servidor para terminar um aperto de mãos cuja resposta ele não via.
  • A solução conservava o contador temporal M para novas versões de uma mesma conexão e somava um desvio secreto F específico de cada conjunto de dois endereços e duas portas. Um bilhete de um guichê deixava de revelar a fila do outro.

O ladrão começava como qualquer cliente: abria uma conexão TCP e anotava o número de partida do servidor. O RFC 1948, de maio de 1996, mostrou como essa amostra podia antecipar o número da próxima conversa. O atacante usava então o endereço IP de uma máquina em que o servidor confiava. A resposta do servidor ia para a máquina verdadeira, longe dos olhos do impostor. Se este previsse o número e mantivesse a máquina legítima quieta, ainda conseguiria enviar a confirmação final. Um serviço de comandos que confiava no endereço recebia o invasor como visita conhecida.

O defeito atravessava duas conversas. A conexão real expunha um número inicial de sequência, o ISN. Implementações derivadas de Berkeley mencionadas pelo RFC faziam esse número avançar em passos previsíveis com o tempo e a abertura de conexões. A conversa falsificada precisava de outro número, logo em seguida. Bastava inferi-lo da amostra para terminar a abertura sem enxergar a resposta dirigida à vítima. O atendente não mostrava só o bilhete atual; mostrava a regra de distribuição dos próximos.

Sortear um número totalmente novo a cada ligação parecia um conserto fácil. O RFC 793 original do TCP usava um relógio de números iniciais que progredia para separar uma ligação reaberta dos pacotes atrasados de sua encarnação anterior. O RFC 1948 também observou a lógica TIME-WAIT em sistemas derivados de BSD. Conversas distintas pediam largadas sem relação visível; sucessivas aberturas da mesma conversa precisavam manter distância no tempo. Jogar dados sem critério acertava uma exigência e atrapalhava a outra.

O RFC 1948 dividiu as tarefas. A identidade de uma conexão TCP reúne endereço IP e porta locais, endereço IP e porta remotos: quatro peças. O número inicial seria M + F(quatro peças). M continuava sendo o contador que anda. F era um desvio calculado a partir da identidade da conexão e de um segredo. Cada conjunto corria numa pista própria; ao reutilizar exatamente o mesmo conjunto, o relógio levava a largada adiante. Conhecer o primeiro bilhete de uma pista não entregava a largada da pista vizinha.

O desvio tinha de permanecer escondido. O RFC 1948 sugeria uma função hash criptográfica sobre as quatro peças e material secreto, citando MD5 como exemplo disponível naquele momento. Discutia número aleatório, segredo da máquina, hora de inicialização e identidade do equipamento. Um F calculável do lado de fora devolveria ao ladrão o mapa dos guichês. A fórmula também evitava guardar para sempre o estado de todas as ligações encerradas.

Trocar o segredo exigia cuidado. Numa máquina em atividade, a nova chave deslocaria a pista usada por uma ligação reaberta com as mesmas quatro peças. Pacotes da versão anterior ainda poderiam estar na rede. Por isso o RFC 1948 condicionava a troca à guarda do estado das ligações mortas ou a um silêncio de duas vidas máximas de segmento. O segredo separava as pistas; o tempo mantinha a ordem dentro de cada uma. Antes de mudar a fechadura, era preciso conferir o que ficara preso na porta.

O RFC 6528, de 2012, elevou o desenho à trilha de padrões, substituiu o RFC 1948 e atualizou o RFC 793. Especificou a função pseudoaleatória dependente das quatro peças e de uma chave secreta, preservou M + F e tratou comprimento e rotação da chave. A descoberta de 1996 continuou no centro: o relógio organiza as voltas de uma identidade; o segredo esconde a distância até as outras.

O ladrão ainda podia pedir um bilhete e examiná-lo à vontade. O RFC 1948 tirou dele a régua que media a largada do guichê ao lado. O deslocamento ficou atrás do balcão.