O que é sincronização por tempo (timestamp)?
Eu não tenho certeza se estamos pensando no mesmo conceito, mas uma técnica que utiliza o relógio para reforçar a segurança é a "Senha de Uso Único baseada no Tempo" (Time-based One-Time Password - TOTP). Eu menciono essa técnica em uma resposta à minha própria pergunta sobre Autenticação em Dois Fatores. É o mesmo método que o Google, Facebook etc usam no seu sistema de login, em que o dispositivo móvel do usuário gera um código diferente a cada 30 segundos, e esse código tem de ser fornecido junto com a senha para autenticar-se em um computador desconhecido.
Ela não é difícil de implementar, não, na realidade é bem simples (com 14 linhas de Python tornei meus sites/sistemas compatíveis com o Google Authenticator). A ideia geral é a seguinte:
Um dos participantes cria uma chave secreta, e comunica essa chave ao outro participante de forma segura (no seu caso, as chaves podem ser estabelecidas na instalação).
Quando um participante quer se autenticar com o outro, ele deriva um valor a partir dessa chave e da hora atual, truncada segundo um intervalo mínimo de tempo (no caso do Google Authenticator, o código é válido por 30 segundos).
- Essa derivação é simplesmente um HMAC (Um código "Autenticador de Mensagem" - MAC - baseado em Hash) da hora atual [truncada] usando aquela chave comum como chave.
O recipiente pega a hora local (também truncada) e refaz a derivação do código, comparando os resultados. Se forem iguais, aceita, caso contrário rejeita. É comum se testar códigos 30 segundos no passado e no futuro também, para o caso dos relógios estarem um pouco dessincronizados (isso aumenta um pouco a "janela de ataque", para 1 minuto e 30 segundos).
O interessante desse método é que mesmo que o código seja enviado em texto plano, e um atacante consiga interceptar esse código, ele só é válido por 30 segundos e depois é inútil. Não interessa quantos códigos distintos o atacante veja, ele não é capaz de descobrir qual o código esperado numa interação futura.
No seu caso, você pode usar um intervalo menor que 30 segundos, rejeitar duas ou mais mensagens num intervalo muito curto de tempo, re-sincronizar os relógios caso eles estejam defasados, etc. Cada caso é um caso. Mas só isso não garante que a segurança dos dados, pois:
Como transmitir dados de forma segura?
Isso depende do que você chama de "segura", mas vou concentrar em duas propriedades (disclaimer: as únicas que estudei até agora rsrs): confidencialidade e integridade/autenticidade (ok, são três propriedades, mas dois modos de atingi-las).
A confidencialidade normalmente se obtém encriptando os dados. Uma criptografia "perfeita" (Perfect Secrecy) só é conseguida se cada chave for usada uma única vez de depois descartada, e só se essa chave for tão ou mais longa que a mensagem cifrada (ver One-Time Pad). Isso não é nada prático, mas felizmente existe uma noção mais relaxada de segurança, chamada "segurança semântica", que é satisfeita se a chance do adversário quebrá-la for "negligível".
Cifras de Bloco como o AES oferecem essa segurança semântica caso a mensagem seja menor ou igual ao tamanho do bloco (128 bits, ou 16 bytes) e se você nunca cifrar a mesma mensagem duas vezes usando a mesma chave. Já os Modos de Operação permitem que mensagens maiores que um bloco sejam cifradas, e o uso de alguma "randomização" (como o Vetor de Inicialização do modo CBC ou o nonce do modo CTR) permite que mais de uma mensagem seja encriptada com a mesma chave, inclusive mensagens iguais (que pela randomização gerará cifras diferentes cada vez que forem cifradas).
O problema é que a encriptação, simplesmente, só protege contra ataques passivos (eavesdropping) - em que o atacante lê mas não altera a comunicação. Ataques ativos (tampering) onde o atacante pode alterar o que é enviado entre os participantes, incluindo decidir quais mensagens vão e quais "se perdem no caminho" são capazes de burlar a criptografia, mesmo quando o algoritmo utilizado é eficaz ao proporcionar confidencialidade (ver Chosen Ciphertext Attack).
A autenticidade e a integridade normalmente se obtém usando um MAC, já citado anteriormente. De posse de uma chave comum entre o remetente e o destinatário, o remetente gera uma sequência relativamente curta de bytes (uns 80 bits ou mais devem ser suficientes) - chamada tag - a partir dessa mensagem, e envia essa tag junto à mensagem, para que o destinatário re-compute o valor e compare com a tag recebida. Se forem iguais, pode-se assumir que a mensagem é legítima (nota: isso ainda não protege contra replays).
Para se conquistar as três propriedades, é necessário portanto usar ambas as técnicas: encriptação e MAC. Caso decida fazê-lo em etapas separadas, sempre encripte primeiro e aplique o MAC ao ciphertext, isso até onde eu sei é seguro sempre (usar o MAC primeiro e encriptar tudo depois é inseguro em alguns casos, e encriptar só a mensagem e enviar o MAC da mensagem sem encriptar é inseguro quase sempre).
Há também a opção de se usar um modo de Encriptação Autenticada, como o OCB (aviso: patentes!), EAX, GCM e CCM. Esse último é particularmente interessante pro seu caso, pois a mesma primitiva criptográfica usada para encriptar (o AES) também é usada para criar o MAC - de modo que a quantidade total de código a ser utilizada fica reduzida. Você também pode usar esse método para implementar o TOTP (caso venha utilizá-lo), poupando-o de incluir uma implementação do SHA caso você já não esteja usando isso.
De que forma poderia solucionar este problema de segurança na minha aplicação?
Ok, replays. Bom, eu tenho pouco conhecimento do assunto, mas vou descrever exatamente o que sei sobre o protocolo TLS (1.2), que resolve essa questão de uma maneira que - acredito eu - seja satisfatória (se não for, acho que não tem um único site seguro no mundo rsrs):
O TLS usa 4 chaves simétricas em cada sessão (as chaves são estabelecidas durante o protocolo de "aperto-de-mão", e são efêmeras, mas nada impede que você use chaves fixas - você só perde a perfect forward secrecy, mas isso provavelmente não é importante no seu caso). Uma pra "Alice" encriptar para "Bob", outra pra Alice assinar, outra pra Bob encriptar para Alice e a última para Bob assinar (nota: por "assinar" eu me refiro a aplicar o MAC).
Cada mensagem trocada possui um cabeçalho e um corpo. O cabeçalho não é encriptado (vai em texto plano), mas é autenticado (entra na geração do MAC). Além disso, ambos os lados mantém um par de contadores, representando quantas mensagens (no caso, pacotes) foram enviadas de um lado pro outro.
O ponto-chave aqui é que na hora de gerar o MAC se utiliza a mensagem em si (lembrete: não faça isso - encripte primeiro depois crie o MAC; no caso particular do TLS é seguro, mas é muito fácil cometer um erro se você fizer dessa forma), os dados do cabeçalho, e o contador representando aquela mensagem. De modo que o MAC gerado só vale para aquele contador, se o atacante reenviar o pacote em um momento futuro, a verificação do MAC falhará, pois nesse momento o contador já terá mudado.
No TLS o contador é implícito (ambas as partes sabem qual é o contador, ele não é enviado junto da mensagem), e se ocorrer um erro - qualquer erro - na hora de decriptar e/ou verificar o MAC a conexão é imediatamente encerrada (sem revelar por que isso ocorreu) e o protocolo de aperto-de-mão precisa ser feito de novo para reestabelecer a conexão. Isso é para bloquear qualquer tipo de ataque, e como no TLS uma chave nova é criada a cada conexão, qualquer vantagem que o atacante tivesse no momento em que o protocolo falhou deverá ser anulada.
Como você pode aplicar isso ao seu caso, não vou arriscar a opinar. Criptografia é um assunto muito complexo (como mencionado por EduardoFernandes em sua resposta), e eu ainda não tenho conhecimento suficiente para propor algo que depois não se descubra ter uma falha horrorosa... Do topo da minha cabeça, a opção que eu exploraria seria no momento da autenticação (os dispositivos se autenticam mutuamente, certo?) eles combinarem em um identificador de sessão (único, gerado aleatoriamente pelo participante com mais recursos - provavelmente o servidor) e um contador, e cada mensagem incluir na geração do seu MAC esses dois valores. Como duas mensagens jamais repetirão os dois valores ao mesmo tempo (na mesma sessão, contadores crescentes; em sessões diferentes, IDs distintos) um ataque de replay não será possível.
Ainda precisaria pensar um bocado sobre o assunto (teria como o adversário interferir no momento em que esse ID da sessão é negociado? hmmm...) mas no momento é tudo que eu tenho pra contribuir.
X
e ele criar o CTX xor 0000...1
então o plaintext será o mesmo, só com o último bit invertido. Isso vale tanto pro modo CBC quanto pro CTR, e possivelmente outros. Então a solução de colocar sufixos "diferentes" não impede um replay, pois é fácil construir um CT distinto do interceptado que contenha a mesma mensagem "útil" mas com um sufixo ligeiramente diferente.