> O que é sincronização por tempo (timestamp)?

Eu não tenho certeza se estamos pensando no mesmo conceito, mas uma técnica que utiliza o relógio para reforçar a segurança é a "Senha de Uso Único baseada no Tempo" ([Time-based One-Time Password][1] - TOTP). Eu menciono essa técnica em [uma resposta][2] à minha própria pergunta sobre [Autenticação em Dois Fatores][3]. É o mesmo método que o Google, Facebook etc usam no seu sistema de login, em que o dispositivo móvel do usuário gera um código diferente a cada 30 segundos, e esse código tem de ser fornecido junto com a senha para autenticar-se em um computador desconhecido.

Ela não é difícil de implementar, não, na realidade é bem simples (com [14 linhas de Python][4] tornei meus sites/sistemas compatíveis com o [Google Authenticator][5]). A ideia geral é a seguinte:

* Um dos participantes cria uma chave secreta, e comunica essa chave ao outro participante de forma segura (no seu caso, as chaves podem ser estabelecidas na instalação).

* Quando um participante quer se autenticar com o outro, ele deriva um valor a partir dessa chave e da hora atual, truncada segundo um intervalo mínimo de tempo (no caso do Google Authenticator, o código é válido por 30 segundos).
    * Essa derivação é simplesmente um [HMAC][6] (Um código ["Autenticador de Mensagem"][7] - MAC - baseado em Hash) da hora atual [truncada] usando aquela chave comum como chave.

* O recipiente pega a hora local (também truncada) e refaz a derivação do código, comparando os resultados. Se forem iguais, aceita, caso contrário rejeita. É comum se testar códigos 30 segundos no passado e no futuro também, para o caso dos relógios estarem um pouco dessincronizados (isso aumenta um pouco a "janela de ataque", para 1 minuto e 30 segundos).

O interessante desse método é que mesmo que o código seja enviado em texto plano, e um atacante consiga interceptar esse código, ele só é válido por 30 segundos e depois é inútil. Não interessa quantos códigos distintos o atacante veja, ele não é capaz de descobrir qual o código esperado numa interação futura.

No seu caso, você pode usar um intervalo menor que 30 segundos, rejeitar duas ou mais mensagens num intervalo muito curto de tempo, re-sincronizar os relógios caso eles estejam defasados, etc. Cada caso é um caso. Mas só isso **não** garante que a segurança dos dados, pois:

> Como transmitir dados de forma segura?

Isso depende do que você chama de "segura", mas vou concentrar em duas propriedades (disclaimer: as únicas que [estudei até agora][8] rsrs): confidencialidade e integridade/autenticidade (ok, são três propriedades, mas dois modos de atingi-las).

A confidencialidade normalmente se obtém encriptando os dados. Uma criptografia "perfeita" (*Perfect Secrecy*) só é conseguida se cada chave for usada uma única vez de depois descartada, **e** só se essa chave for tão ou mais longa que a mensagem cifrada (ver [*One-Time Pad*][9]). Isso não é nada prático, mas felizmente existe uma noção mais relaxada de segurança, chamada "segurança semântica", que é satisfeita se a chance do adversário quebrá-la for "negligível".

Cifras de Bloco como o [AES][10] oferecem essa segurança semântica caso a mensagem seja menor ou igual ao tamanho do bloco (128 bits, ou 16 bytes) e se você *nunca* cifrar a mesma mensagem duas vezes usando a mesma chave. Já os [Modos de Operação][11] permitem que mensagens maiores que um bloco sejam cifradas, e o uso de alguma "randomização" (como o Vetor de Inicialização do modo CBC ou o nonce do modo CTR) permite que mais de uma mensagem seja encriptada com a mesma chave, inclusive mensagens iguais (que pela randomização gerará cifras diferentes cada vez que forem cifradas).

O problema é que a encriptação, simplesmente, só protege contra ataques passivos (*eavesdropping*) - em que o atacante lê mas não altera a comunicação. Ataques ativos (*tampering*) onde o atacante pode alterar o que é enviado entre os participantes, incluindo decidir quais mensagens vão e quais "se perdem no caminho" são capazes de burlar a criptografia, mesmo quando o algoritmo utilizado é eficaz ao proporcionar confidencialidade (ver [*Chosen Ciphertext Attack*](https://pt.stackoverflow.com/q/50712/215)).

A autenticidade e a integridade normalmente se obtém usando um MAC, já citado anteriormente. De posse de uma chave comum entre o remetente e o destinatário, o remetente gera uma sequência relativamente curta de bytes (uns 80 bits ou mais devem ser suficientes) - chamada *tag* - a partir dessa mensagem, e envia essa *tag* junto à mensagem, para que o destinatário re-compute o valor e compare com a *tag* recebida. Se forem iguais, pode-se assumir que a mensagem é legítima (nota: isso *ainda não protege* contra *replays*).

Para se conquistar as três propriedades, é necessário portanto usar ambas as técnicas: encriptação e MAC. Caso decida fazê-lo em etapas separadas, sempre encripte primeiro e aplique o MAC ao *ciphertext*, isso até onde eu sei é seguro sempre (usar o MAC primeiro e encriptar tudo depois é inseguro em alguns casos, e encriptar só a mensagem e enviar o MAC *da mensagem* sem encriptar é inseguro quase sempre).

Há também a opção de se usar um modo de [Encriptação Autenticada][12], como o OCB (aviso: patentes!), EAX, GCM e [CCM][13]. Esse último é particularmente interessante pro seu caso, pois a mesma primitiva criptográfica usada para encriptar (o AES) também é usada para criar o MAC - de modo que a quantidade total de código a ser utilizada fica reduzida. Você também pode usar esse método para implementar o TOTP (caso venha utilizá-lo), poupando-o de incluir uma implementação do SHA caso você já não esteja usando isso.

> De que forma poderia solucionar este problema de segurança na minha aplicação?

Ok, *replays*. Bom, eu tenho pouco conhecimento do assunto, mas vou descrever exatamente o que sei sobre o protocolo [TLS][14] (1.2), que resolve essa questão de uma maneira que - acredito eu - seja satisfatória (se não for, acho que não tem um único site seguro no mundo rsrs):

O TLS usa 4 chaves simétricas em cada sessão ([as chaves são estabelecidas durante o protocolo de "aperto-de-mão"][15], e são efêmeras, mas nada impede que você use chaves fixas - você só perde a [*perfect forward secrecy*][16], mas isso provavelmente não é importante no seu caso). Uma pra "Alice" encriptar para "Bob", outra pra Alice assinar, outra pra Bob encriptar para Alice e a última para Bob assinar (nota: por "assinar" eu me refiro a aplicar o MAC).

Cada mensagem trocada possui um cabeçalho e um corpo. O cabeçalho não é encriptado (vai em texto plano), mas é autenticado (entra na geração do MAC). Além disso, ambos os lados mantém um par de contadores, representando quantas mensagens (no caso, pacotes) foram enviadas de um lado pro outro.

O ponto-chave aqui é que na hora de gerar o MAC se utiliza a mensagem em si (lembrete: não faça isso - encripte primeiro depois crie o MAC; no caso particular do TLS é seguro, mas é muito fácil cometer um erro se você fizer dessa forma), os dados do cabeçalho, **e o contador** representando aquela mensagem. De modo que o MAC gerado só vale para aquele contador, se o atacante reenviar o pacote em um momento futuro, a verificação do MAC falhará, pois nesse momento o contador já terá mudado.

No TLS o contador é implícito (ambas as partes sabem qual é o contador, ele não é enviado junto da mensagem), e se ocorrer um erro - qualquer erro - na hora de decriptar e/ou verificar o MAC a conexão é imediatamente encerrada (sem revelar *por que* isso ocorreu) e o protocolo de aperto-de-mão precisa ser feito de novo para reestabelecer a conexão. Isso é para bloquear *qualquer* tipo de ataque, e como no TLS uma chave nova é criada a cada conexão, qualquer vantagem que o atacante tivesse no momento em que o protocolo falhou deverá ser anulada.

Como você pode aplicar isso ao seu caso, não vou arriscar a opinar. Criptografia é um assunto muito complexo ([como mencionado por EduardoFernandes em sua resposta][17]), e eu ainda não tenho conhecimento suficiente para propor algo que depois não se descubra ter uma falha horrorosa... Do topo da minha cabeça, a opção que eu exploraria seria no momento da autenticação (os dispositivos se autenticam mutuamente, certo?) eles combinarem em um identificador de sessão (único, gerado aleatoriamente pelo participante com mais recursos - provavelmente o servidor) e um contador, e cada mensagem incluir na geração do seu MAC esses dois valores. Como duas mensagens jamais repetirão os dois valores ao mesmo tempo (na mesma sessão, contadores crescentes; em sessões diferentes, IDs distintos) um ataque de *replay* não será possível.

Ainda precisaria pensar um bocado sobre o assunto (teria como o adversário interferir *no momento em que esse ID da sessão é negociado*? hmmm...) mas no momento é tudo que eu tenho pra contribuir.


  [1]: http://en.wikipedia.org/wiki/Time-based_One-time_Password_Algorithm
  [2]: https://pt.stackoverflow.com/a/33316/215
  [3]: https://pt.stackoverflow.com/q/32559/215
  [4]: http://www.brool.com/index.php/using-google-authenticator-for-your-website
  [5]: http://en.wikipedia.org/wiki/Google_Authenticator
  [6]: http://pt.wikipedia.org/wiki/HMAC
  [7]: http://Autenticador%20de%20mensagem
  [8]: https://www.coursera.org/course/crypto
  [9]: http://pt.wikipedia.org/wiki/One-time_pad
  [10]: https://pt.stackoverflow.com/q/43492/215
  [11]: http://pt.wikipedia.org/wiki/Modo_de_opera%C3%A7%C3%A3o_%28criptografia%29
  [12]: http://en.wikipedia.org/wiki/Authenticated_encryption
  [13]: http://en.wikipedia.org/wiki/CCM_mode
  [14]: http://pt.wikipedia.org/wiki/Transport_Layer_Security
  [15]: https://pt.stackoverflow.com/q/28828/215
  [16]: https://pt.stackoverflow.com/q/50833/215
  [17]: https://pt.stackoverflow.com/a/64614/215