[Geek] Explicando DHCP em uma imagem

A imagem abaixo é ótima para exemplificar como funcionaria o protocolo DHCP se o implementássemos na mão:

Ou seja, se você quer conectar o seu computador na rede (cabeada ou wireless), você escolheria um endereço IP entre os endereços marcados nos pregadores de roupa, e aí configuraria os parâmetros de rede manualmente.

Eu achei a idéia divertida e bem engenhosa. Eu vivi os primórdios da adoção das redes TCP/IP nas empresas, com cabeamento estruturado e tudo, e no início era muito comum os admoinistradores de rede irem distribuindo endereços IP aleatoriamente. Já vi empresas aonde o endereçamento da rede interna foi escolhido baseado na data de nascimento do chefe, e já vi empresas aonde, para dar um novo IP para um usuário, o admin pingava numeros aleatórios até achar um IP que não respondia ao ping. Se o novo usuário der azar, aquele IP estava com outra pessoa com o computador desligado naquela hora, e assim que o usuário original ligasse seu computador, iria dar colisão de IPs na rede.

O protocolo DHCP (Dynamic Host Configuration Protocol) veio salvar a pele de galera, permitindo que os computadores recebam um novo endereço IP na rede de forma dinâmica.

[Segurança] World IPv6 Day

Neste dia 08 de Junho de 2011, diversas empresas e entidades estão organizando o "Dia Mundial do IPv6" (World IPv6 Day), com objetivo de oferecer os seus conteúdos através do protocolo IPv6 para permitir testes de uso e acesso durante 24 horas, motivando as organizações em todos os setores a prepararem os seus ambientes para o padrão IPv6 e garantirem uma transição bem sucedida uma vez que os endereços no padrão IPv4 estão próximos de acabar. O World IPv6 Day acontecerá simultaneamente em todo o mundo. No Brasil o período de 24h de testes começou no dia 07/06/2011 as 21h, e irá até dia 08/06/2011 as 21h (horário de Brasília).

O site oficial do World IPv6 Day disponibiliza muitas informações sobre o protocolo IPv6 e sobre como participar dos testes, além de material para divulgar a iniciativa. Na página do escritório brasileiro da Internet Society também estão disponíveis mais informações sobre a iniciativa.

O usuário interessado em saber se já utiliza o IPv6 pode realizar testes em http://test-ipv6.com.br. Além disso, quem quiser testar se um determinado site Web já está preparado para o IPv6 pode utilizar o validador criado pelo Centro de Estudos e Pesquisas em Tecnologia de Redes e Operações: http://validador.ipv6.br

O comitê gestor da Internet brasileira possui um site específico com informações sobre IPv6 para usuários finais, profissionais da área e provedores (http://ipv6.br), que inclui diversas apostilas e palestras sobre IPv6 em português.

Em tempo: a Verisign criou uma página específica con informações úteis sobre IPv6 e o Dia Mundial do IPv6. De acordo com um gráfico disponibilizado pela Verisign, o uso de IPv6 no mundo ainda é muito baixo. Das cerca de 60 bilhões de requisições de resolução de nome para domínios .com e .net que os servidores da Verisign recebem diariamente, menos de 0,8% dessas requisições vem através do protocolo IPv6.

[Segurança] O IPv4 está morto. Vida longa para o IPv6

Após vários meses de agonia, com direito até mesmo a um contador de quantos endereços IP permaneciam disponíveis na versão 4 (o padrão utilizado desde os primórdios da Internet), a Internet Assigned Numbers Authority (IANA) finalmente anunciou no dia 03 de Fevereiro o fim dos blocos de endereço IPv4 disponíveis para uso (veja o vídeo abaixo).



Os endereços IP são utilizados para identificar os equipamentos colocados em uma rede local que segue o padrão TCP/IP. Para que estes equipamentos possam se comunicar através da Internet, os equipamentos precisam ter um endereço IP único em todo o mundo, que serve como forma de identificação do equipamento. Como disse a WIRED, os endereços IP são como números telefónicos. E é aí que começam os problemas. O padrão IPv4 utiliza endereços formados por 4 octetos (quatro conjuntos de números que, em notação binária, possuem 8 bis cada um, e portanto podem variar entre 0 e 255). Esta é uma numeração fácil de entender e simples. Porém, também é muito limitada: há cerca de apenas 4.3 bilhões de endereços IP únicos possíveis, contra cerca de 2 bilhões de usuários Internet hoje em dia. E os endereços IP não identificam apenas os micros dos usuários: também são utilizados por servidores, roteadores, access points wireless, e diversos equipamentos de rede. Além do mais, com a proliferação dos dispositivos pessoais como smartphones e tablet PCs, a tendência é que cada pessoa tenha em seu poder vários dispositivos conectados a Internet ao mesmo tempo, e cada um deles precisa de um endereço IP.

Conforme explicou a IANA, "a atribuição dos últimos endereços IPv4 é análogo a quando os últimos caixotes de um produto deixam o armazém da fábrica e vão para as lojas regionais ou centros de distribuição, onde eles ainda podem ser distribuídos aos clientes finais. Uma vez que eles acabem, a oferta estará esgotada. Neste caso, os registers regionais vão distribuir os endereços IPv4 restante para os ISPs (Internet Service Providers), universidades, governos, empresas de telecomunicações e outras empresas." Assim que as autoridades regionais esgotarem os endereços IP remanescentes, seus clientes (como os ISPs e empresas) terão dificuldade em atribuir endereços IP aos seus equipamentos e a conectá-los na Internet. Neste novo cenário, qualquer nova empresa ou provedor de acesso que queira operar na Internet terá que utilizar o novo padrão de endereçamento IP, conhecido como IPv6.

Os endereços no padrão IPv6 tem 128 bits, logo há 2 elevado a 128 endereços disponíveis, ou algo na ordem de 10 elevado a 38. Isso é muita coisa. Mas... Embora o IPv6 exista desde Dezembro de 1998 e há muitos anos se fala no fim dos endereços IP disponíveis, pouco foi feito até hoje para migrar os sites atuais para o novo padrão. Segundo uma pesquisa realizada recentemente pelo pessoal do grupo de pesquisas Sucuri, apenas 1.981 entre o 1 milhão de sites mais acessados utilizam o IPv6 em seu domínio principal. Isso significa que apenas 0,19% destes sites estão prontos para o IPv6.

Essa demora na adoção do IPv6, na minha opinião, é devido ao fato do protocolo IPv6 ser bem mais complexo do que o IPv4 (eu lembro da dificuldade que tive para entender o IPv6 na primeira vez que eu abordei esse assunto em um curso de Pós-graduação em segurança no início dos anos 2000). O endereçamento de rede, no IPv6, é muito mais complicado do que no padrão IPv4, sem falar de vários outros aspectos de configuração de rede no padrão IPv6. Isso significa que os administradores de rede e de servidores terão que apreender a utilizar o novo padrão e deverão reconfigurar todos os seus equipamentos conectados em rede. Isto também pode significar a necessidade de atualizar os equipamentos de rede existentes ou a compra de novos equipamentos, um gasto que as empresas terão que assumir. Uma alternativa para as empresas é a implementação de gateways específicos ou de soluções que mascarem os endereços IPv4 existentes e os convertam para endereços IPv6, através do conceito de Network Address Translation (NAT), que atualmente já é muito utilizado em redes IPv4 para que vários computadores compartilhem um mesmo endereço IP. De qualquer forma, os administradores de rede e de servidores terão de enfrentar diversos cenários em que endereçamentos IPv4 e IPv6 devem coexistir por algum tempo, o que irá aumentar a complexidade dos ambientes de Internet.

Além disso tudo, o padrão IPv6 tem sido pouco utilizado e pouco testado, principalmente nos aspectos de segurança. Isso significa que novas vulnerabilidades e novas ameaças podem surgir no futuro. Outro potencial problema de segurança que pode surgir diz respeito ao uso de NAT nas redes corporativas. Hoje o NAT é muito utilizado, pela necessidade das empresas de "economizarem" endereços IP válidos. Como uma vantagem de segurança adicional, o NAT permite que as empresas escondam os endereços reais dos seus computadores internos, e assim dificultem um acesso direto aos equipamentos, que não passe passem pelas ferramentas de controle de tráfego existentes. Normalmente, o NAT é implementado nos mesmos equipamentos que fazem a segurança da rede. Com o uso do IPv6, os equipamentos das redes internas terão endereços IP válidos na Internet - logo, as empresas devem ter um maior controle das configurações de suas ferramentas de segurança.

Como bem lembrou o SANS Institute, é pouco provável que a Internet IPv4, conforme conhecemos hoje em dia, vai parar tão cedo, pois existem alguns mecanismos de transição que podem ser utilizados. As duas "Internets" podem coexistir por um tempo através do uso de de proxies e túneis. Além do mais, as mudanças serão imperceptíveis para os usuários finais, logo não há motivo para desespero.

A boa notícia é que várias empresas e entidades tem se esforçado em divulgar o conhecimento. Por exemplo, o comitê gestor da Internet brasileira lançou um site específico com informações sobre IPv6 em português para usuários finais, profissionais da área e provedores (http://ipv6.br). O site inclui diversas apostilas e palestras sobre IPv6. Um site similar foi criado no Chile (em Espanhol): http://www.ipv6.cl

Além disso, diversas empresas e entidades estão organizando o "Dia Mundial do IPv6" (World IPv6 Day), que acontecerá no dia 08 de Junho de 2011. O objetivo é oferecer os seus conteúdos através do protocolo IPv6 para testes por 24 horas, motivando as organizações em todos os setores a prepararem os seus ambientes para o padrão IPv6 e garantirem uma transição bem sucedida assim que os endereços IPv4 acabarem. Recentemente, Vint Cerf (que é considerado "o pai da Internet) sugeriu que o governo britânico poderia proporcionar incentivos para ajudar as empresas a se prepararem para o esgotamento dos endereços IPv4 e atualizarem suas redes. Essa é uma boa idéia, quando pensamos em governos sérios.

A propósito, a ZDNet publicou uma ótima reportagem sobre o assunto.

O fato principal é que agora não há mais opção: todos devemos aprender IPv6 o mais rápido possível.

Nota: Adicionado em 04/02 o vídeo da conferência de imprensa da ICANN que anunciou o fim dos endereços IPv4 e os links para o pequeno FAQ do SANS Institute e para a reportagem da ZDNet. Aproveitei para aumentar o comentário sobre as preocupações de segurança associados ao uso do IPv6.

[Redes] Contador de Esgotamento do IPv4

A empresa IntecNetCore, Inc. disponibiliza um widget interessante chamado "IPv4 Exhaustion Counter" ("Contador de Esgotamento do IPv4") que mostra o status da exaustão do IPv4, ou seja, quanto tempo ainda falta para que todos os endereços de rede IPv4 sejam utilizados até o esgotamento completo dos endereços globais fornecidos pela IANA. Quando isto acontecer, ninguém mais poderá alocar um endereço IP público e a Internet terá alcançado o número máximo possível de endereços IP.

[Segurança] Ameaça a conectividade Internet Global

Na semana passada vários países do Oriente Médio e Ásia começaram a enfrentar problemas no acesso a Internet e nas comunicações telefônicas por causa de avarias nos cabos submarinos que conectam esta região com a Internet.

Conforme tem sido relatado pela imprensa, na quarta-feira (dia 30/01) vários cabos submarinos foram cortados no mar Mediterrâneo (afetando principalmente o Oriente Médio e a Índia) e o mesmo ocorreu dois dias depois no Golfo Pérsico (na sexta-feira, 01/02, os cabos conectando os Emirados Árabes com Oman foram cortados na costa de Dubai). Até o momento não se sabe a causa exata dos problemas.


Devido ao corte dos cabos vários países, como o Egito ou a Índia, ficaram com seu acesso a Internet bastante afetado. Isto também causou grande impacto em várias empresas de Dubai, como no caso da Dnata, um grupo governamental responsável por serviços aéreos oriente Médio e que provê serviços de terra para o Aeroporto Internacional de Dubai (conforme citado na reportagem da CNN).

Na Índia e Egito, os centros de chamadas funcionaram com cerca de 30% da capacidade e foi relatado que aproximadamente 20% do setor de informática da Índia ficou totalmente isolado do resto do mundo. Usuários na Índia relataram que sentiam como se tivessem voltado ao tempo dos modens, tamanha era a lentidão do acesso a sites na Internet. As empresas que fazem a gestão dos cabos submarinos estimam uma demora de 15 dias para reestabelecer as comunicações.

Quanto mais notícias procuramos sobre o assunto, encontramos várias informações desencontradas. Já há quem diz haver mais de 5 cabos cortados e a quantidade de incidentes, somada com a falta de razão lógica para tal, faz com que algumas pessoas comecem a suspeitar de sabotagem.

Mesmo que, ao final, descubramos que nada não passou de um grande acidente e este não teria sido o caso de um "grande plano de sabotagem internacional da Internet", a idéia está lançada. Sejam por problemas técnicos, acidentes ou ações terroristas, a infraestrutura global de interconexão do "backbone Internet" pode estar sujeita a falhas.

Ataques terroristas são muito comuns em alguns países da Europa, nos EUA e no Oriente Médio (que coincidência !!!). Alguns outros países vivem em estado de tensão constante, como a Índia (versus Paquistão), Coréia do Sul (vs Coréia do Norte) e Israel (versus todos os demais países daquela região). Em um cenário de economia global e onde encontrámos várias empresas que possuem diversas filiais espalhadas pelo mundo, clientes globais e vários fornecedores e/ou provedores de serviço localizados em outros países, uma falha de conectividade na infra-estrutura da Internet pode causar impacto direto nos negócios.

Na área de TI, alguns países se destacam quando falamos de cooperação internacional: justamente a Índia (que está se tornando um centro de terceirização de serviços e dedesenvolvimento de software) e Israel (que possui várias empresas líderes no setor de tecnologia) são dois grande exemplos desta tendência. A partir de hoje um plano de continuidade de negócios deve começar a avaliar seriamente o risco de perda de conectividade global. Por mais que possa parecer improvável, infelizmente os recentes eventos nos mostram que isto pode acontecer. Ainda mais se os diversos grupos terroristas existentes por aó gostarem da idéia de cortar a conexão de seus adversários. Este é o cenário que nós, especialistas, nos acostumamos a chamar de cyberterrorismo. Um ataque similar também poderia ocorrer em um cenário de guerra cibernética, embora nestes casos os ataques costumam ser muito mais centrados em alvos bem específicos. Em ambos os casos, a extensão do dano depende principalmente de qual é o interesse do atacante em perturbar a vida da sua vítima ou do mundo todo.

[Segurança] Gripe WiFi

O portal ars technica publicou recentemente um artigo interessante entitulado "WiFi flu: viral router attack could hit whole cities" onde apresenta o trabalho de alguns pesquisadores da Universidade de Indiana (veja o texto original, em PDF, "WiFi Epidemiology: Can Your Neighbors’ Router Make Yours Sick?") que simularam a possibilidade de um verme atacar access points WiFi e qual seria o impacto desta ameaça.

De acordo com o estudo, um ataque direcionado aos roteadores wireless e que se espalhasse através deles poderia rapidamente e facilmente se propagar por toda uma cidade. Os pesquisadores utilizaram dados reais sobre a cobertura WiFi em 7 cidades americanas e criaram um modelo matemático para simular a infecção causada por um suposto malware que se propagaria de roteador wireless a roteador wireless através de falhas simples (acesso remoto através de exploração de redes protegidas por protocolo WEP e roteadores utilizando senhas de acesso facilmente descobertas - senhas default ou descobertas através de ataque de dicionário).

Os cenários de infecção obtidos para as cidades analisadas (Chicago, Boston, New York, San Fransisco Bay area, Seattle, e Indiana do Norte e do Sul) mostram que uma infecção inicial em um pequeno número de roteadores WiFi pode atingir milhares de dispositivos em uma semana, com a maioria sendo atingida nas primeiras 24 horas. Em uma epidemia hipotética em Chicago, por exemplo, o código malicioso rapidamente se propagaria nas redes WiFi nas primeiras horas, tomando controle de aproximadamente 37% dos routers após 2 semanas.

O artigo, embora teórico, mostra como uma ameaça deste tipo pode causar um grande impacto. Embora ainda não tenhamos tido notícias de algo similar, este tipo de situação já vem sendo previsto por diversos especialistas. A infecção de um roteador wireless ocorre quando um código malicioso, especialmente criado para este fim, utiliza um roteador (ou outro tipo de dispositivo WiFi) previamente infectado para se comunicar com um outro sistema vulnerável, através de sua interface administrativa pelo canal wireless. Este acesso entre os dispositivos pode ser facilitado por alguma falha de configuração (como uso de senhas fracas) ou vulnerabilidades conhecidas. Uma vez que o malware estabelece o acesso administrativo, ele faria o upload de seu código no firmware do roteador (um processo simples, que leva poucos minutos).

Este tipo de ameaça já foi apresentado na Defcon 14, em agosto de 2006, pela equipe do Church Of WiFi (na palestra "New Wireless Fun From the Church Of WiFi"). Na ocasião, eles apresentaram um bug real nos roteadores wireless de um grande fabricante e como, teoricamente, isto poderia ser utilizado por um código malicioso.

As duas melhores formas de se prevenir contra este tipo de ameaça continuam sendo o uso de criptografia nas redes wireless (WEP e WPA, principalmente esta última) e o uso de senhas fortes para controle de acesso (tanto no acesso dos usuários a rede quanto no acesso administrativo aos equipamentos).