Vanlige spørsmål

Há alguns anos, uma equipe de especialistas em segurança publicou um artigo descrevendo um ataque que pode quebrar uma conexão IKEv1 Aggressive Mode com Pre-Shared Key, e que não poderia ser igualmente aplicado a uma conexão IKEv1 Main Mode com Pre-Shared Key, levando à suposição incorreta de que o Modo Agressivo é inerentemente inseguro. No entanto, se olharmos para os fatos de forma neutra, essa afirmação não corresponde à realidade. O que a maioria das pessoas não sabe é que parte desse ataque foi a capacidade de adivinhar a Pre-Shared Key (PSK) usando um ataque de força bruta e tal ataque só pode ser bem-sucedido se o PSK for escolhido de forma insegura. Um PSK também é apenas uma senha e, como acontece com todas as senhas, senhas fracas levam a baixa segurança. Contanto que o PSK tenha pelo menos 14 caracteres (quanto mais, melhor), consista em letras minúsculas, maiúsculas e dígitos e seja gerado aleatoriamente (para que não possa ser facilmente adivinhado) e, enquanto o algoritmo de hash da Fase 1 for pelo menos SHA1 (ou melhor, recomendamos SHA-256, se possível), não há absolutamente nenhuma razão para acreditar que uma conexão IKEv1 Aggressive Mode com Pre-Shared Key seja inerentemente menos segura do que uma conexão IKEv1 Main Mode com Pre-Shared Key. Se você quiser ser ainda mais seguro, simplesmente escolha a autenticação baseada em certificado, se possível, pois isso torna esse ataque impossível desde o início.

Contexto técnico:

A Pre-Shared Key (PSK) não é uma senha usada para criptografar dados, ela serve exclusivamente para autenticação, mais ou menos como quando um usuário faz login em um site com uma senha. Durante a Fase 1, ambas as partes devem provar uma à outra que conhecem o PSK. Isso não pode ser feito simplesmente enviando-o para a outra parte, porque mesmo que a outra parte não o conhecesse antes, ela o conheceria agora. Em vez disso, ambas as partes devem calcular um número (um hash), usando dados que já foram trocados entre elas (e que são diferentes em cada conexão para garantir que o valor do hash também seja diferente a cada vez) e o PSK. Apenas este valor de hash é enviado para a outra parte, que deve então realizar exatamente os mesmos cálculos. Se chegar ao mesmo resultado, a outra parte também deve ter usado o mesmo PSK, portanto, ela o conhece. O mesmo processo se repete na direção oposta, com um pequeno desvio no cálculo aqui para garantir que os dois valores de hash sejam sempre diferentes, pois enviar o mesmo valor não provaria nada.

A diferença entre Main Mode e Aggressive Mode é simplesmente que, em Main Mode, o valor do hash é transmitido criptografado, porque o procedimento de troca de chaves (DH Exchange) que leva a uma chave de sessão segura em ambos os lados já foi concluído naquele momento e, assim que ambas as partes tiverem uma chave de sessão, todos os pacotes são transmitidos apenas criptografados. Com Aggressive Mode, o valor do hash é transmitido sem criptografia, pois a troca de chaves ainda não está completa neste momento. Ao espionar uma conexão Aggressive Mode, um invasor pode obter tanto o valor do hash quanto todos os dados necessários para calcular esse valor, com exceção do PSK real. Isso por si só não quebra a conexão, apenas fornece informações suficientes para procurar o PSK, por exemplo, por meio de um ataque de força bruta (simplesmente tentar todas as combinações possíveis) ou um ataque de dicionário (tentar senhas frequentemente escolhidas que podem ser obtidas de vazamentos de dados de outros serviços online). Somente se o PSK for muito fraco para resistir a esses ataques, a conexão poderá ser finalmente quebrada. Portanto, um PSK bom e suficientemente seguro é essencial para a segurança de uma conexão VPN PSK.

No entanto, o mesmo ataque também é possível em uma conexão Main Mode, mas requer um pouco mais de esforço. No caso do Main Mode, não basta poder ler o tráfego, é necessário um ataque Man-in-the-Middle (MitM), ou seja, um invasor deve ser capaz de interceptar e manipular o tráfego. Por meio de um ataque MitM, um invasor pode contornar a criptografia, o que não é suficiente para obter acesso à VPN, pois o PSK ainda é necessário para isso, pois a Fase 1 não será concluída com sucesso sem ele, mas mesmo assim um invasor teria o valor do hash e todos os dados necessários para calcular e poderia tentar adivinhar o PSK da mesma forma. E se um invasor já for capaz de ler todo o tráfego (que é um pré-requisito para qualquer cenário de ataque), é muito provável que ele também possa realizar um ataque MitM e, nesse caso, Main Mode não oferece proteção adicional.

Um PSK com 11 caracteres alfanuméricos aleatórios tem uma entropia de aproximadamente 64 bits, que são 2^64 valores possíveis. Placas gráficas modernas de última geração (a partir de 2016) podem calcular na ordem de 1 bilhão de hashes SHA-265 por segundo. Em média, você precisa tentar 50% de todas as possibilidades para encontrar uma correspondência e isso levaria 292 anos. Se um invasor tiver 100 dessas placas gráficas à sua disposição, o ataque demoraria “apenas” cerca de 3 anos. Mas mesmo com 14 caracteres, a entropia é de 80 bits e aqui uma única placa gráfica precisaria de 19.154.798 anos. Nem mesmo 10.000 placas gráficas encurtariam o tempo significativamente. E nunca se deve negligenciar os custos de tal ataque. Não tanto o custo de comprar as placas gráficas, mas sim seu consumo de energia quando todas essas placas gráficas operam com potência máxima 24 horas por dia, durante anos, décadas ou até séculos. Isso pode facilmente custar bilhões de euros em eletricidade apenas para quebrar uma única conexão PSK no mundo todo. Além disso, sempre que o PSK for alterado, o invasor terá que começar do zero. Portanto, se o PSK for trocado apenas uma vez por ano, um invasor terá no máximo 1 ano para encontrá-lo; isso já seria bastante ambicioso, mesmo com um PSK fraco.

}