CISSP Domain 3

Confinamento, Bounds e Isolamento de Processos

Diego DiasLeave a comment

Para garantirmos a tríade CIA (Confidencialidade, Integridade e Disponibilidade) no design dos sistemas, devemos certificar que a interação entre todos os componentes de um sistema seja segura e controlada.

A arquitetura de software utiliza-se de diferentes técnicas para certificar que os programas executem somente aquilo que é requerido e nada mais. Os conceitos abaixo de Confinamento (Confinement), Limites (Bounds) e Isolamento (Isolation), são comumente utilizados em todas as áreas de segurança.

1. Confinamento (Confinement) ou Sandboxing

O conceito de confinamento consiste em restringir rigorosamente as ações que um determinado programa ou processo pode executar. Em termos simples, designers de software utilizam o confinamento para permitir que um processo leia e escreva exclusivamente em áreas específicas de memória e recursos previamente mapeados.

Esse comportamento é amplamente conhecido no nosso dia a dia técnico como Sandboxing. Trata-se da aplicação prática do Princípio do Menor Privilégio (Least Privilege): o processo recebe apenas o estritamente necessário para sua operação, mitigando o risco de vazamento de dados para programas, usuários ou sistemas não autorizados.

Se um processo tentar iniciar uma ação que exceda sua autoridade concedida, o sistema operacional (ou outro componente de segurança ativo) intercepta e nega a operação. Geralmente, o processo violador é sumariamente terminado e a tentativa é registrada em logs. O confinamento pode ser implementado via isolamento de processos no SO, proteções de memória ou aplicações dedicadas de sandbox (como Sandboxie, soluções baseadas em containers ou hipervisores como VMware e VirtualBox).

2. Limites (Bounds)

Cada processo em execução possui um nível de autoridade associado (por exemplo, os clássicos níveis user e kernel em sistemas modernos). Com base nisso, o sistema operacional define os Limites (Bounds) de um processo.

Os limites consistem em restrições e faixas de valores associadas aos endereços de memória e aos recursos de hardware que o processo pode legalmente acessar. Eles mapeiam a área exata onde o processo está confinado. O sistema operacional tem a responsabilidade de impor esses limites lógicos para impedir que um processo acesse o espaço reservado a outros.

Embora limites lógicos (gerenciados via tabelas de páginas do SO) sejam eficientes, ambientes de alta segurança podem exigir limites fisicamente segregados de memória. Limites físicos exigem chips ou partições de memória dedicadas por processo, o que torna a solução financeiramente cara, mas substancialmente mais resiliente a vulnerabilidades de canal lateral (side-channel attacks). No final do dia, definir limites é o mecanismo usado para consolidar o confinamento.

3. Isolamento (Isolation)

Quando aplicamos limites estritos (bounds) e garantimos o confinamento de um processo (confinement), dizemos que ele está rodando em Isolamento. O isolamento garante que o comportamento de um determinado processo afete unicamente a memória e os recursos que lhe foram explicitamente atribuídos.

Em sistemas operacionais modernos e estáveis, o isolamento cumpre um papel crítico:

  • Proteção do Ambiente: Protege o ambiente operacional de execução, o kernel do sistema e as outras aplicações independentes.
  • Prevenção de Acessos Indevidos: Impede que uma aplicação comprometa ou acesse a memória de terceiros, intencionalmente ou não.
  • Tolerância a Falhas (Fail-Soft Environment): Assegura que, caso um processo específico trave ou sofra um crash catastrófico, ele seja encerrado sem interferir ou derrubar o restante do sistema.

💡 Em suma: O Confinamento busca assegurar que o processo acesse apenas recursos específicos; os Limites representam a demarcação e autorização do que ele pode interagir; e o Isolamento é o meio/estado final alcançado através da imposição ativa desses limites.

Controle de Acesso, Confiança (Trust) e Garantia (Assurance)

Para fechar o ecossistema de proteção, os sistemas utilizam os Controles de Acesso. Eles ditam as regras lógicas e garantem que apenas sujeitos (processos/usuários) autorizados acessem determinados objetos (arquivos/memória/hardware), operando por meio de políticas discricionárias (DAC), baseadas em papéis (RBAC) ou mandatórias (MAC).

A partir disso, derivamos dois conceitos chaves de governança em engenharia de segurança:

  • Sistemas Confiáveis (Trusted Systems): São sistemas onde todos os mecanismos de proteção operam de maneira coordenada para processar dados sensíveis multiusuário de forma segura, preservando a estabilidade computacional.
  • Garantia (Assurance): É o grau de confiança de que os mecanismos de segurança de fato atendem e satisfazem a política de segurança estipulada. A confiança em si é a presença desses mecanismos em funcionamento, enquanto a Garantia é a métrica/avaliação de quão confiáveis e robustos esses mecanismos são em cenários de estresse, mudanças de hardware, ou frente a atualizações (como patches de correção de vulnerabilidades ou gerência de configuração).

Referências

CHAPPLE, Mike; STEWART, James Michael; GIBSON, Darril. ISC2 CISSP Certified Information Systems Security Professional Official Study Guide. 10. ed. New Jersey: John Wiley & Sons, 2024.

Quando o Sistema Falha: Relembrando os Modos Fail-Soft, Fail-Safe, Fail-Open e Fail-Closed

Diego DiasLeave a comment

Construir sistemas resilientes não significa apenas programar para o cenário ideal; significa, primordialmente, projetar como o sistema irá se comportar quando o inevitável acontecer: a falha. Mecanismos básicos como blocos try..catch funcionam de maneira análoga às estruturas condicionais if..then..else, mas com o propósito explícito de tratar erros de forma elegante, impedindo o colapso imediato da aplicação.

No entanto, quando subimos um degrau na arquitetura de segurança e design de produtos, nos deparamos com termos frequentemente confundidos, mas que ditam a sobrevivência do negócio, dos dados e das pessoas: fail-soft, fail-secure, fail-safe, fail-open e fail-closed. A grande confusão geralmente ocorre porque o significado desses conceitos muda drasticamente dependendo do contexto: se estamos falando do mundo físico ou do ambiente digital?

O Mundo Físico vs. O Mundo Digital

No design de segurança, a prioridade máxima dita o comportamento da falha:

  • No mundo físico: As entidades priorizam quase sempre a proteção da vida humana e das pessoas.
  • No mundo digital: O foco está na proteção de ativos digitais, guiado pelos pilares da Tríade CIA (Confidencialidade, Integridade e Disponibilidade).

O Conceito de Fail-Soft

Se uma falha total não é uma opção aceitável, o arquiteto de softwares precisa projetar um comportamento de degradação graciosa. Entrar em modo Fail-Soft significa permitir que o sistema continue operando mesmo após a falha de um componente específico. É a alternativa direta a deixar que um erro localizado derrube toda a infraestrutura.

Exemplo: Um sistema operacional multitarefa moderno que suporta dezenas de aplicações simultâneas. Se um único aplicativo falhar ou travar, os outros continuam operando normalmente, isolados do erro original.

Fail-Safe (Físico)

Quando a segurança humana é a prioridade, chamamos o comportamento de fail-safe. Em caso de pane, o dispositivo reverte para um estado que protege a saúde e a vida das pessoas. Por exemplo, uma porta eletrônica fail-safe se destranca automaticamente se faltar energia elétrica, permitindo que as pessoas evacuem o prédio em uma emergência, mesmo que isso signifique expor temporariamente os bens materiais do local.

Fail-Secure / Fail-Closed (Físico)

Existem cenários físicos onde os ativos guardados possuem prioridade crítica (ex: cofres bancários, laboratórios de segurança biológica ou data centers). Nesses casos, o sistema adota o modo fail-secure: se faltar energia, a porta permanece trancada, sacrificando o fluxo de pessoas para blindar o ativo.

A Perspectiva Digital: Fail-Open vs. Fail-Closed

Quando migramos exclusivamente para a engenharia de software e redes, os termos ganham uma tradução direta baseada nos requisitos de negócio:

  • Fail-Open (Prioridade: Disponibilidade): Se o mecanismo de segurança falhar, o fluxo ou a comunicação é permitido. Pense em um firewall de borda que, ao travar por sobrecarga, decide deixar todo o tráfego passar sem filtragem. A disponibilidade do serviço é mantida, mas a confidencialidade e a integridade são sacrificadas.
  • Fail-Closed / Fail-Secure (Prioridade: Confidencialidade e Integridade): Se o componente falhar, o acesso é completamente cortado. Usando o mesmo exemplo do firewall: se ele falhar em modo fail-closed, toda a rede perde o acesso à internet. O ativo deixa de funcionar (sacrifica-se a disponibilidade), mas nenhum pacote malicioso ou não autorizado entra na rede.

Referencias

CHAPPLE, Mike; STEWART, James Michael; GIBSON, Darril. ISC2 CISSP Certified Information Systems Security Professional Official Study Guide. 10. ed.: John Wiley & Sons, 2024.

Entendendo Confusão, Difusão e o Efeito Avalanche na Criptografia

Diego DiasLeave a comment

A criptografia faz parte de quase a totalidade de serviços digitais que utilizamos. Quando pensamos em proteger dados confidenciais, seja o tráfego de uma API, credenciais em um fluxo de Single Sign-On (SSO) ou pacotes trafegando em uma VPN, confiamos nos algoritmos de criptografia, como o AES (Advanced Encryption Standard).

Mas que realmente torna esses algoritmos matematicamente seguros contra ataques de força bruta ou análise estatística?

Na segurança da informação, a solidez de um algoritmo de cifragem baseia-se em três pilares fundamentais: Confusão (Confusion), Difusão (Diffusion) e o Efeito Avalanche (Avalanche Effect).

Confusão (Confusion)

A Confusão é o princípio que busca tornar a relação entre o texto claro (plaintext), a chave de criptografia e o texto cifrado (ciphertext) o mais complexa e obscura possível.

Imagine que um atacante consiga capturar interceptações de mensagens cifradas. Se ele conseguir encontrar um padrão estatístico que ligue o resultado cifrado diretamente à chave utilizada, a criptografia quebra. A técnica de Confusão impede isso ao garantir que cada bit do texto cifrado dependa de várias partes da chave.

  • Como é implementada: Na prática (como no AES ou DES), a confusão é alcançada através de operações de Substituição, utilizando as chamadas S-Boxes (Substitution Boxes). Essas caixas pegam um bloco de dados e o substituem por outro valor de forma não-linear, quebrando qualquer relação matemática simples direta.

Difusão (Diffusion)

Se a confusão mascara a relação com a chave, a Difusão foca em dissipar a estrutura estatística do próprio texto original ao longo de todo o texto cifrado. Em termos simples: a informação de um único bit do texto claro deve se espalhar por múltiplos bits do resultado.

Se não houvesse difusão, alterar a primeira letra de uma palavra mudaria apenas o primeiro bloco do texto cifrado, permitindo que um analista fizesse engenharia reversa por tentativa e erro (linguística descritiva).

  • Como é implementada: A difusão é obtida por meio de operações de Transposição ou Permutação (como as etapas de ShiftRows e MixColumns no AES). Os bits e bytes mudam de posição constantemente, garantindo que a estrutura original da mensagem seja completamente desfeita.

Avalanche (Avalanche Effect)

O Efeito Avalanche é o resultado prático desejado quando combinamos de forma eficiente a Confusão e a Difusão ao longo de várias rodadas (rounds) do algoritmo.

Esse conceito dita que uma mudança mínima no texto claro ou na chave deve causar uma alteração drástica e imprevisível no texto cifrado. Idealmente, se você alterar apenas um único bit na entrada, cerca de 50% dos bits do texto cifrado resultante devem mudar de estado (de 0 para 1 ou vice-versa).

Exemplo :

Imagine que criptografamos a string RotaDefault1 e depois RotaDefault2 utilizando a mesma chave. Mesmo mudando apenas o último caractere, o resultado precisa ser completamente diferente:

  • RotaDefault1 – 7a4f9b2c8e1a3f6d…
  • RotaDefault2 – f3e10a8b9c4d2e7f…

Se o texto cifrado de ambas ficasse parecido, o algoritmo falharia no teste de avalanche, abrindo brechas para ataques diferenciais.

Por que isso importa?

Como administradores de redes, desenvolvedores ou engenheiros de segurança, raramente precisamos programar uma S-Box do zero. No entanto, entender esses conceitos muda a forma como consumimos tecnologia:

  • Escolha de Cifras: Entender o efeito avalanche deixa claro porque protocolos antigos como o DES (que possui blocos pequenos e poucas rodadas) ou o ecossistema WEP/TKIP foram aposentados. Eles falham nos padrões modernos de difusão contra o hardware atual.
  • Geração de Chaves: Chaves fracas ou previsíveis anulam o efeito de confusão de algoritmos robustos como o AES-256. É por isso que o uso de geradores de números pseudo-aleatórios criptograficamente seguros é importante.

Compreender como a confusão, a difusão e o efeito avalanche operam em sinergia nos dá a clareza necessária para rejeitar protocolos obsoletos e aplicar políticas rígidas de cifragem, garantindo que o tráfego que cruza nossos firewalls, VPNs e nuvens garanta os requisitos mínimos de segurança da informação.