Canal Oculto Temporal

Um canal oculto temporal é uma subclasse de canal oculto em que a informação viaja não em valores armazenados, mas no próprio tempo dos eventos. Dois processos, um emissor e um receptor, compartilham um recurso cujo uso é observável: uma conexão de rede, um disco ou um processador. O emissor codifica a mensagem alterando o momento em que os eventos ocorrem ou quanto tempo duram. O receptor observa o fluxo de eventos, mede os intervalos e decodifica a mensagem. Nenhum byte é escrito em um lugar que outro processo lê. O sinal existe apenas no padrão dos tempos.

O conceito segue a história geral dos canais ocultos. A pesquisa sobre o problema do confinamento, no início dos anos 1970, mostrou que um processo pode vazar informações mesmo quando lhe é formalmente proibido comunicar-se. Critérios posteriores para sistemas confiáveis, como o TCSEC dos EUA, tornaram a análise de canais ocultos, incluindo os temporais, parte obrigatória da avaliação de sistemas de alta garantia. Avaliações formais normalmente não exigem eliminar os canais temporais. Exigem que sejam identificados, que a largura de banda seja estimada e que a capacidade seja reduzida onde isso importa.

Duas propriedades distinguem essa classe. Primeiro, as duas partes costumam ter acesso legítimo ao recurso compartilhado, por isso o controle de acesso comum não fecha o canal: o recurso continua cumprindo sua função enquanto transporta o sinal oculto. Segundo, o ruído degrada o sinal. Qualquer atraso aleatório entre emissor e receptor, como jitter de rede, interrupções do escalonador ou carga concorrente, pode corromper um bit. Por isso os canais temporais são muito mais lentos que os de armazenamento, e os emissores trocam velocidade por redundância.

Emissor e receptor combinam antecipadamente um esquema de codificação e depois usam um fluxo de eventos compartilhado como portador. As codificações mais comuns:

Qualquer fluxo de eventos observável que duas partes possam influenciar e medir pode se tornar um canal temporal. As famílias mais conhecidas:

• Tráfego de rede: atrasos modulados em tráfego TCP/IP, ritmo de consultas DNS ou rajadas de ping. A criptografia não oculta esse ritmo, porque os dados estão no tempo e não no conteúdo.
• Dispositivos de armazenamento: um processo mantém a cabeça do disco sobre uma trilha e outro mede a latência de busca. É o exemplo clássico da literatura de pesquisa.
• Processador e memória: processos se desaceleram mutuamente de forma mensurável. Vários ataques microarquiteturais modernos se baseiam nesse efeito.
• Fluxos interativos: intervalos entre teclas, eventos do mouse ou tempos da fila de impressão. Qualquer fluxo com carimbos de tempo que um observador externo também possa ver pode ser modulado.

Um canal oculto de armazenamento deixa provas que um inspetor pode verificar: um campo de cabeçalho com valor estranho, um pacote de tamanho incomum ou um atributo de arquivo alterado. Um canal temporal não deixa valor algum. O sinal existe apenas nas diferenças entre os tempos dos eventos, e a inspeção de conteúdo não as vê, porque o conteúdo em si é perfeitamente normal.

Sistemas normais já apresentam muita variação temporal: jitter de rede, congestionamento, pausas humanas. Um canal temporal se esconde nesse ruído, por isso a detecção precisa ser estatística. É preciso construir uma linha de base da distribuição dos intervalos entre eventos e sinalizar regularidades suspeitas ou padrões improváveis. Provar que um canal temporal não existe é praticamente impossível. O objetivo realista é manter sua largura de banda baixa e seus padrões visíveis o bastante para que deixem de ser úteis.

Largura de banda e discrição são o compromisso central. Um canal que envia bits rapidamente produz um ritmo antinatural, que se destaca do comportamento humano e das aplicações. Um emissor paciente, limitado a poucos bits por minuto, se mistura à variação de fundo, mas precisa de dias para transferir um arquivo relevante. Os defensores usam o mesmo compromisso: limites de taxa e ruído adicional forçam o emissor ao modo lento, enquanto linhas de base e detecção de anomalias encarecem o modo rápido.

Como o portador é atividade legítima, as contramedidas combinam observação estatística com medidas que degradam o próprio canal:

• Análise estatística de tráfego: identifica regularidade tipo metrônomo, que usuários reais não produzem.
• Detecção de anomalias comportamentais: perfis por usuário captam desvios persistentes de transferências lentas.
• Limitação de taxa: restringe a frequência de eventos, tornando grandes transferências impraticavelmente lentas.
• Controles de ruído e escalonamento: o escalonamento aleatório dificulta ao receptor medir o sinal do emissor.
• Redução de caminhos compartilhados: listas de permissão e filtragem de saída removem os recursos de que o canal precisa.

As regras estatísticas da funcionalidade de detecção de ameaças internas operam sobre o mesmo tipo de eventos registrados. O console do administrador pode agrupar os pacotes de rede enviados em intervalos de um segundo a dez minutos, para que uma rajada curta se destaque contra um fundo tranquilo.

Comece pelos canais que podem carregar um ritmo oculto: fluxos de rede, de armazenamento e interativos. As linhas de base precisam de um período de atividade normal para aprender, por isso configure-as antes de um incidente, e não depois.

Um canal temporal costuma ser usado por alguém que já está dentro: uma ameaça interna com acesso legítimo. Por isso o monitoramento precisa cobrir os canais que as pessoas realmente usam.

Leitura adicional: Vazamento técnico de informações: o que é e como se proteger?.