IRTF e o grupo MAPRG no IETF 121: estudo sobre segurança e certificados na Web

Publicado originalmente em: https://www.linkedin.com/pulse/irtf-e-o-grupo-maprg-ietf-121-estudo-sobre-seguran%C3%A7a-na-moreiras-ls7wf

O Internet Research Task Force (IRTF) desempenha um papel fundamental na pesquisa de longo prazo sobre a evolução da Internet, abordando questões avançadas de protocolos, segurança e infraestrutura. Diferentemente do Internet Engineering Task Force (IETF), que se concentra em desenvolver padrões, o IRTF reúne pesquisadores para estudar problemas complexos e promover inovações que possam futuramente se tornar padrões. Acho que podemos pensar no IRTF, não sei se da forma mais acurada possível, como o braço acadêmico do IETF, ou como o espaço em que o desenvolvimento dos padrões num contexto mais operacional e a pesquisa aplicada se encontram. Entre seus grupos de pesquisa, o Measurement and Analysis for Protocols Research Group (MAPRG) é dedicado a estudar e analisar o comportamento dos protocolos da Internet.






No IETF 121, o grupo MAPRG abordou diversos tópicos, incluindo controle de congestionamento de rede, segurança de certificados digitais, a aplicação de algoritmos para varredura IPv6 e o suporte do IPv6 para dispositivos IoT. Neste artigo, exploro um dos pontos discutidos: o uso e a eficácia das tecnologias CAA (Certification Authority Authorization), CT (Certificate Transparency) e DANE (DNS-based Authentication of Named Entities) na Web PKI (Public Key Infrastructure) para aumentar a segurança na emissão e gerenciamento de certificados digitais.






O problema: segurança e controle na emissão de certificados digitais






A infraestrutura de segurança Web PKI, que autentica sites e protege conexões, é baseada na emissão de certificados digitais pelas autoridades certificadoras (CAs). Entretanto, erros ou comportamentos inadequados das CAs, como a emissão incorreta de certificados, representam um risco significativo. A pesquisa apresentada no IETF 121 abordou exatamente essa questão, analisando como as tecnologias CAA, CT e DANE, quando integradas, poderiam aumentar o controle e a segurança no uso de certificados.






A pesquisa analisou 4,2 milhões de domínios e descobriu que apenas 5,4% deles implementam registros CAA, menos de 0,01% usam DANE, e erros de configuração foram encontrados em 1,8% dos registros CAA analisados. Esses números evidenciam a baixa adoção e os desafios na implementação correta dessas tecnologias, o que pode comprometer a segurança na emissão de certificados digitais.






CAA: autorização de autoridade certificadora






A tecnologia CAA permite que o proprietário de um domínio defina quais CAs estão autorizadas a emitir certificados para ele, reduzindo o risco de emissão indevida por uma CA não autorizada. No entanto, a implementação incorreta do CAA pode anular seus benefícios. Por exemplo, para o domínio exemplo.com, uma configuração correta que restringe a emissão de certificados à autoridade certificadora Let’s Encrypt e notifica o administrador em caso de violação seria:






exemplo.com. CAA 0 issue "letsencrypt.org"
exemplo.com. CAA 0 iodef "mailto:admin@exemplo.com"






Nesta configuração, issue autoriza apenas a CA letsencrypt.org a emitir certificados, e iodef especifica um endereço de e-mail para notificação de tentativas de emissão não autorizadas.






A pesquisa identificou que configurações incorretas são frequentemente causadas por erros de digitação, falta de padronização nos identificadores das CAs e desconhecimento técnico por parte dos administradores. Um domínio com registro CAA mal configurado pode não impedir a emissão de certificados por CAs não autorizadas, expondo-se a ataques de interceptação ou phishing. Por exemplo, se um atacante obtiver um certificado válido para o domínio, pode criar um site falso que engana usuários para fornecer informações sensíveis.






Para melhorar essa situação, os autores da pesquisa sugerem que a IANA (Internet Assigned Numbers Authority) mantenha um registro oficial dos identificadores de CAs, o uso de ferramentas que verificam a sintaxe e validade dos registros CAA antes da implementação, e a disponibilização de guias claros para administradores sobre como configurar corretamente os registros.






CT: transparência na emissão de certificados






A Certificate Transparency (CT) exige que CAs registrem certificados emitidos em logs públicos, proporcionando visibilidade sobre os certificados ativos e permitindo auditorias de segurança. Isso aumenta a capacidade de detectar certificados emitidos indevidamente. Para verificar se o certificado de um domínio está registrado em logs de CT, pode-se usar o Google Certificate Transparency Log Viewer. Ao inserir o nome do domínio, é possível acessar uma lista de certificados registrados.






Entretanto, a pesquisa apontou desafios como a concentração de logs de CT em grandes empresas como Google e Cloudflare, criando uma centralização que pode ser problemática em termos de governança e resiliência. Se esses provedores enfrentarem falhas ou decidirem alterar políticas, a transparência do sistema pode ser comprometida.






Para mitigar esses riscos, os autores da pesquisa recomendam incentivar a criação de logs mantidos por diversas organizações, incluindo entidades governamentais e independentes, e utilizar protocolos abertos para o registro e consulta de logs de CT, facilitando a interoperabilidade e reduzindo a dependência de poucos provedores.






DANE: autenticação baseada em DNS para entidades nomeadas






DANE utiliza o DNS para especificar quais certificados devem ser usados em conexões seguras para um domínio, aumentando o controle sobre o processo de validação de certificados. Por exemplo, para configurar o DANE para o domínio exemplo.com, o proprietário definiria um registro TLSA:






_443._tcp.exemplo.com. IN TLSA 3 1 1 (
    D2ABDE3E3B3A97D7E7A69E7C89D193CB0E31F3A3FA5E5E9D
    4AD4C2D9E5F1711F )






Neste exemplo de configuração, o número 3 indica que o certificado deve ser fornecido diretamente pelo serviço, 1 representa o uso do algoritmo de hash SHA-256, e o valor hexadecimal é o hash do certificado esperado.






Para que o DANE seja seguro e confiável, é essencial que o domínio utilize o DNSSEC, que autentica e protege as respostas DNS contra manipulação. No entanto, a pesquisa revelou que menos de 0,01% dos domínios implementam DANE, e muitos deles falham em configurar o DNSSEC adequadamente. A falta de suporte dos navegadores também limita a adoção do DANE na web. A maioria dos navegadores populares não oferece suporte ao DANE, o que reduz sua efetividade para aplicações web, embora tenha encontrado maior adoção no ecossistema de e-mails.






Para tornar o DANE uma alternativa viável, os autores sugerem que os desenvolvedores de navegadores implementem suporte a essa tecnologia, que ferramentas sejam desenvolvidas para facilitar a configuração correta de DNSSEC e DANE, e que haja um esforço educacional para promover o treinamento e recursos para administradores.






DNSSEC: A base para um DNS Seguro






O DNSSEC (Domain Name System Security Extensions) adiciona segurança ao DNS, autenticando e garantindo a integridade das respostas. O DNS tradicional não oferece proteção contra manipulação de dados, o que torna o DNSSEC essencial para tecnologias como CAA e DANE. O DNSSEC utiliza assinaturas digitais e uma cadeia de confiança hierárquica que vai desde a raiz do DNS até o domínio específico, permitindo que os clientes validem cada etapa. Isso impede ataques como envenenamento de cache e man-in-the-middle.






Por exemplo, ao acessar exemplo.com, o servidor DNS retorna não apenas o endereço IP, mas também uma assinatura digital que o cliente pode verificar usando chaves públicas conhecidas. Essa cadeia de confiança assegura que a resposta recebida é autêntica e não foi adulterada.






Para aprender mais sobre o DNSSEC, recomendo as seguintes leituras:











Se você é adminstrador de rede, ou de um provedor de Internet, é essencial que habilite o DNSSEC tanto nos servidores autoritativos, para os domínios registrados, quanto nos servidores recursivos, para permitir a validação. O tutorial indicado pode ajudá-lo nisso.






Resultados e recomendações do estudo






Os principais achados da pesquisa indicam que o uso do CAA, CT e DANE é limitado e frequentemente há configurações incorretas. Para melhorar a segurança na emissão e gerenciamento de certificados digitais, as seguintes ações são recomendadas pelos autores:






  • Padronização dos Identificadores de CAs: A IANA poderia manter um registro oficial de identificadores de CAs, o que reduziria erros de configuração e ambiguidades.
  • Melhoria nos Mecanismos de Feedback: CAs devem notificar os proprietários dos domínios sobre violações de políticas CAA, permitindo que administradores corrijam configurações e estejam cientes de tentativas de emissão não autorizadas.
  • Expansão do DNSSEC: Incentivar a adoção do DNSSEC através de ferramentas e educação é fundamental para o funcionamento eficaz do CAA e DANE.
  • Aumento do Suporte ao DANE: Desenvolvedores de navegadores e clientes devem implementar suporte ao DANE, ampliando sua utilidade além do ecossistema de e-mails.
  • Descentralização dos Logs de CT: Promover a criação de logs de CT por diversas entidades reduz a concentração de poder e aumenta a resiliência do sistema.






Para mim, parecem conclusões e recomendações bastante razoáveis.






Reflexão final






O DNS é a base da navegação na internet, sendo responsável por traduzir nomes de domínio em endereços IP e viabilizar o acesso aos serviços online. No entanto, sem segurança adequada, o DNS pode ser um vetor de ataques. Tecnologias como DNSSEC, CAA, CT e DANE são essenciais para fortalecer a segurança da internet.






A integração dessas tecnologias pode criar uma camada robusta de segurança. O CAA define quais CAs podem emitir certificados, prevenindo emissões indevidas; o CT fornece transparência, permitindo a detecção de certificados emitidos sem autorização; e o DANE, suportado pelo DNSSEC, permite que os proprietários especifiquem quais certificados são válidos, adicionando uma camada de verificação. Essa sinergia entre prevenção e detecção fortalece a confiança no sistema de certificados digitais.






Para aqueles interessados na operação e na segurança na Internet, explorar os grupos de pesquisa do IRTF é uma ótima oportunidade para se envolver com a evolução da rede e contribuir para soluções de ponta que tornam a Internet mais segura. Se você é pesquisador, professor universitário ou estudante, o IRTF pode ser o espaço ideal para servir como ponte entre o seu trabalho acadêmico e o desenvolvimento tecnico da rede global. Convido a todos a acessarem https://www.irtf.org/ para saber mais.






Recursos Adicionais:











Deixe um comentário

Este site utiliza o Akismet para reduzir spam. Saiba como seus dados em comentários são processados.