Imagine a internet como uma cidade gigante e movimentada onde cada dispositivo tem um endereço único, como o número de uma casa. Na versão mais antiga desta cidade (IPv4), as ruas eram lotadas e era fácil alguém caminhar por cada quarteirão, batendo em cada porta, para ver quem estava em casa. Mas na nova e massiva expansão da cidade (IPv6), as ruas são tão longas e os números das casas são tão aleatórios e mudam constantemente que é quase impossível encontrar alguém apenas tentando adivinhar. Você precisaria de um mapa que se atualizasse a cada segundo.

Para manter seus relógios sincronizados, a maioria dos dispositivos nesta cidade não apenas adivinha a hora; eles perguntam a um cronometrista central chamado NTP Pool. Pense no NTP Pool como uma enorme torre de relógio gerida por voluntários, onde qualquer pessoa pode instalar um relógio e oferecer a hora para a vizinhança. Como é muito popular, milhões de dispositivos perguntam a esses relógios a hora todos os dias. O problema é que, quando um dispositivo pergunta a hora, ele tem que mostrar seu "número de casa" (seu endereço IP) para que o relógio saiba para onde enviar a resposta. Este artigo explora um truque sorrateiro onde algumas pessoas estão usando esses relógios voluntários não apenas para dizer a hora, mas para anotar secretamente os números das casas de todos que passam por lá, e então usar essa lista para ir bater às portas que elas não teriam encontrado de outra forma.

O Assalto à Torre do Relógio

Neste estudo, os pesquisadores Erik Rye e Robert Beverly decidiram investigar um fenômeno estranho que chamaram de "back-scanning" (varredura reversa). Eles suspeitavam que alguns dos relógios voluntários no NTP Pool estavam agindo como espiões. Veja como o truque funciona: Um dispositivo pede a hora a um relógio. O relógio vê o endereço do dispositivo, anota-o e então — em vez de apenas enviar a hora de volta — começa a enviar sondas para esse endereço para ver quais serviços estão rodando nele. É como um padeiro amigável que, após você perguntar as horas, secretamente começa a verificar se sua casa tem uma porta trancada, uma câmera de segurança ou um cofre escondido, tudo porque você entrou na loja dele.

Para pegar esses espiões, os pesquisadores montaram uma armadilha inteligente. Eles criaram um computador "sondador" especial que enviou milhares de solicitações aos relógios do NTP Pool. Mas aqui está a mágica: cada solicitação vinha de um número de casa novo, falso e de uso único (chamado de "nonce"). Esses números eram aleatórios e nunca seriam usados novamente. Os pesquisadores então esperaram para ver se alguém bateria à porta dessas casas falsas.

Se um relógio estivesse apenas fazendo seu trabalho, ele responderia com a hora e esqueceria o número da casa falsa. Mas se um relógio fosse um espião, ele anotaria esse número falso e, mais tarde, enviaria uma sonda para ele. Como a casa falsa não existia de fato, a única maneira de uma sonda alcançar o endereço era se o relógio (ou alguém conectado a ele) tivesse salvo o número e estivesse ativamente procurando por ele.

O Que Eles Encontraram

Ao longo de um ano, os pesquisadores enviaram cerca de 2,45 milhões dessas solicitações falsas para 2.335 servidores NTP diferentes. Eles descobriram que 22 desses servidores estavam, de fato, agindo como espiões. Esses 22 servidores foram agrupados em quatro "clusters" distintos de comportamento:

1. Os Tocadores Leves: Um grupo de servidores apenas enviava um "ping" (uma verificação básica para ver se o dispositivo está vivo) para os endereços falsos. Eles eram curiosos, mas não cavavam fundo.
2. Os Pesos Pesados: O grupo mais ativo, que os pesquisadores apelidaram de Cluster 2, era uma operação massiva. Eles usaram 8 servidores NTP para coletar endereços, mas então lançaram uma enorme campanha de varredura usando mais de 3.000 endereços IP diferentes para bater às portas. Eles não apenas checaram se a porta estava aberta; eles tentaram 572 tipos diferentes de fechaduras (portas TCP) e 9 tipos diferentes de chaves (portas UDP). Eles estavam procurando por coisas específicas, como servidores web, ferramentas de controle remoto e bancos de dados.
3. Os Lobos Solitários: Outros dois grupos eram muito menores, com apenas um servidor cada, mas ainda assim realizavam varreduras. Um enviava pings, e o outro tentava acessar uma porta específica de depuração do Android.

Os pesquisadores notaram algo interessante sobre o tempo. Para os "Tocadores Leves", levava cerca de 14 horas em média para começar a varrer após ver um novo endereço. Os "Pesos Pesados" demoravam um pouco mais, cerca de 22 horas, mas uma vez que começavam, não paravam. Algumas dessas varreduras continuaram por mais de um mês, verificando repetidamente os mesmos endereços.

O "Porquê" e o "Quem"

Os pesquisadores rastrearam o proprietário do maior grupo de varredura (Cluster 2). Descobriu-se que era uma empresa de seguros cibernéticos. Quando os pesquisadores perguntaram a eles sobre isso, a empresa foi franca: admitiram que estavam usando o NTP Pool especificamente para aprender endereços IPv6 ativos com o propósito de realizar o back-scanning. Eles alegaram que faziam isso para "fins defensivos", especificamente para ajudar a calcular o risco para seus clientes de seguros. Argumentaram que saber quais dispositivos existem ajuda a entender o cenário de ameaças.

No entanto, os pesquisadores apontaram um grande problema: as pessoas cujos dispositivos estavam sendo varridos não sabiam que isso estava acontecendo. A maioria desses dispositivos são pequenos aparelhos embarcados (como termostatos inteligentes ou sensores IoT) que apenas perguntam automaticamente ao NTP Pool pela hora. Eles nunca concordaram em ser varridos. Além disso, a empresa de varredura utilizava uma mistura de servidores na nuvem que eram difíceis de identificar. Embora a empresa tenha admitido que cerca de 40% de sua infraestrutura de varredura carecia de registros de identificação (rDNS) e afirmou ter corrigido essas entradas específicas, eles não adicionaram registros de identificação aos seus servidores NTP. Adicionalmente, nem seus servidores NTP nem seus servidores de varredura hospedam uma página web para explicar quem são ou como optar por não participar, embora um redirecionamento em seu domínio forneça algumas informações.

O Desfecho

Esta descoberta destacou uma "área cinzenta" na ética da internet. Embora bater à porta para ver se alguém está em casa geralmente não seja um crime, fazer isso secretamente usando um truque para encontrar endereços que deveriam estar ocultos é eticamente nebuloso. Os pesquisadores não apenas apontaram o problema; eles começaram a trabalhar com os administradores do NTP Pool para resolvê-lo.

Eles estão construindo um sistema para integrar seu método de detecção diretamente no sistema de pontuação do NTP Pool. No futuro, se um relógio servidor voluntário for pego realizando "back-scanning", o sistema baixará automaticamente sua pontuação, o que significa que ele parará de receber tráfego e acabará sendo expulso do pool. Os pesquisadores também compartilharam uma lista dos maus atores com o NTP Pool, e a empresa de seguros envolvida concordou em tornar suas operações mais transparentes, corrigindo os registros de identificação ausentes em seus servidores de varredura, embora os servidores NTP permaneçam não identificados.

A Lição

Este artigo mostra que, mesmo em um mundo onde encontrar dispositivos deveria ser difícil, existem formas astutas de trapacear o sistema. Ao usar a confiança depositada em um serviço voluntário de cronometragem, algumas entidades foram capazes de construir um mapa dos dispositivos mais elusivos da internet. O estudo sugere que, embora essas varreduras possam ter a intenção de segurança ou seguros, elas ignoram o consentimento dos proprietários dos dispositivos. A solução não é desligar o NTP Pool, mas torná-lo mais inteligente, garantindo que os relógios voluntários continuem sendo apenas isso — relógios — e não espiões secretos.