Questão de Redes de Computadores — DHCP — INSTITUTO AOCP 2024

DHCP (Dynamic Host Configuration Protocol)

Gabarito: letra C. O DHCP é um protocolo de serviço TCP/IP cujo propósito central é oferecer configuração dinâmica de terminais, com concessão de endereços IP de host, máscara de sub-rede, default gateway, servidores DNS e outras opções — ou seja, alocar automaticamente endereços IP e configurações de rede para dispositivos. As demais alternativas descrevem funções de outros protocolos ou serviços (criptografia, roteamento, autenticação e auditoria), que não fazem parte do escopo do DHCP.

O DHCP (Dynamic Host Configuration Protocol) é um protocolo de serviço TCP/IP que oferece configuração dinâmica de terminais, com concessão de endereços IP de host, máscara de sub-rede, default gateway (gateway padrão), número IP de um ou mais servidores DNS, sufixos de pesquisa do DNS e número IP de um ou mais servidores WINS. Ele é o sucessor do BOOTP, que, embora mais simples, tornou-se limitado para as exigências atuais. O DHCP surgiu como um padrão em outubro de 1993, e o RFC 2131 (1997) contém as especificações mais atuais. O último standard para a especificação do DHCP sobre IPv6 (DHCPv6) foi publicado como RFC 3315 (2003).

O DHCP opera em um modelo cliente-servidor. Quando um computador (ou outro dispositivo) se conecta a uma rede, o host/cliente DHCP envia um pacote UDP em broadcast (destinado a todas as máquinas) com uma requisição DHCP (para a porta 67). Qualquer servidor DHCP na rede pode responder à requisição. O servidor DHCP mantém o gerenciamento centralizado dos endereços IP usados na rede e informações sobre os parâmetros de configuração dos clientes, como gateway padrão, nome do domínio, servidor de nomes e servidor de horário. Os servidores DHCP que capturarem este pacote responderão (se o cliente se enquadrar numa série de critérios) para a porta 68 do host solicitante com um pacote com configurações onde constará, pelo menos, um endereço IP e uma máscara de rede, além de dados opcionais, como o gateway, servidores de DNS, etc.

O processo de atribuição de endereço envolve quatro passos, que seguem a seguinte ordem: discovery (descoberta), offer (oferta), request (pedido) e acknowledge (confirmação). Esse fluxo é conhecido como DORA. No primeiro passo, o cliente transmite mensagens na sub-rede física para descobrir os servidores DHCP disponíveis. Como o cliente acabou de ligar e não tem IP nem sabe quem é o servidor DHCP, ele envia essa mensagem em broadcast (gritando para toda a rede). Os administradores de rede podem configurar um roteador local para encaminhar pacotes DHCP a um servidor DHCP de uma sub-rede diferente. Este cliente cria um pacote UDP (User Datagram Protocol), com o destino de difusão 255.255.255.255 ou o endereço de broadcast de sub-rede específica.

O DHCP suporta três mecanismos para alocação de endereços IP: na "automatic allocation", o DHCP atribui um endereço IP permanente a um cliente; na "dynamic allocation", o DHCP atribui um endereço IP a um cliente por um período limitado de tempo (ou até que o cliente explicitamente renuncie ao endereço); na "manual allocation", o endereço IP de um cliente é atribuído pelo administrador de rede, e o DHCP é usado simplesmente para transmitir o endereço atribuído ao cliente. Uma rede específica usará um ou mais desses mecanismos, dependendo das políticas do administrador de rede. A alocação dinâmica é a única dos três mecanismos que permite a reutilização automática de um endereço que não é mais necessário ao cliente ao qual foi atribuído.

A base do protocolo DHCP não inclui nenhum mecanismo de autenticação. Por isso, é vulnerável a uma variedade de ataques. Esses ataques se dividem em três categorias principais: fornecimento de informações falsas a clientes por servidores DHCP não autorizados; acesso aos recursos da rede por clientes não autorizados; e ataques exaustivos aos recursos da rede advindos de clientes DHCP mal-intencionados. Porque o cliente não tem como validar a identidade de um servidor DHCP, servidores DHCP não autorizados podem ser operados em redes, prestando informações incorretas aos clientes DHCP. Isso pode servir tanto como um ataque de negação de serviço, impedindo o cliente de ter acesso à conectividade de rede. Porque o servidor DHCP fornece ao cliente DHCP endereços IP do servidor, como o endereço IP de um ou mais servidores DNS, um atacante pode convencer um cliente DHCP a fazer pesquisas através de seu próprio servidor DNS, e pode, portanto, fornecer suas próprias respostas a consultas DNS do cliente. Por sua vez, isso permite que o atacante redirecione o tráfego de rede através de si, permitindo-lhe escutar as conexões entre os servidores de rede do cliente e os contatos que ele estabelece, ou simplesmente substituir os servidores de rede com os seus próprios. Como o servidor DHCP não tem nenhum mecanismo seguro para autenticar o cliente, os clientes podem obter acesso não autorizado aos endereços IP apresentando credenciais, tais como identificadores do cliente, que pertencem a outros clientes DHCP. Isso também permite que os clientes DHCP esgotem o armazenamento de endereços IP do servidor DHCP, apresentando novas credenciais cada vez que pedem um endereço, consumindo todos os endereços IP disponíveis em um link de rede particular, impedindo outros clientes DHCP de obter serviços. DHCP fornece alguns mecanismos para mitigar esses problemas.

A pegadinha desta questão é justamente a associação do DHCP a funções que pertencem a outros protocolos ou serviços de rede. O candidato que não domina o escopo exato do DHCP pode confundir com criptografia (IPsec), roteamento (RIP, OSPF, BGP), autenticação (RADIUS, TACACS+) ou auditoria de segurança (ferramentas de monitoramento). O DHCP é um protocolo de configuração automática, e é isso que a alternativa C captura com precisão.

Alternativa A — ❌ Incorreta

Fornecer serviços de criptografia para a comunicação de rede é função de protocolos de segurança como IPsec (que possui os protocolos AH e ESP). O DHCP não realiza criptografia; ele apenas entrega parâmetros de configuração de rede. A confusão aqui é associar o DHCP a serviços de segurança, o que não faz parte do seu escopo.

Alternativa B — ❌ Incorreta

Rotear pacotes entre redes diferentes é a função dos protocolos de roteamento, como RIP, OSPF e BGP, que operam em roteadores. O DHCP não participa do roteamento de pacotes; ele apenas configura os dispositivos com endereços IP e outras informações. A alternativa troca o papel do DHCP pelo papel de um protocolo de roteamento.

Alternativa C — ✅ Correta ⟵ GABARITO

Alocar automaticamente endereços IP e configurações de rede para dispositivos é exatamente o propósito do DHCP. Ele oferece configuração dinâmica de terminais, com concessão de endereços IP de host, máscara de sub-rede, default gateway, servidores DNS e outras opções. O fluxo DORA (Discover, Offer, Request, Acknowledge) é o mecanismo pelo qual o DHCP realiza essa alocação.

Alternativa D — ❌ Incorreta

Autenticar usuários na rede é função de protocolos como RADIUS, TACACS+ ou LDAP. O DHCP não possui mecanismo de autenticação — inclusive, a base do protocolo DHCP não inclui nenhum mecanismo de autenticação, o que o torna vulnerável a ataques. A alternativa confunde o DHCP com um serviço de autenticação.

Alternativa E — ❌ Incorreta

Realizar auditorias de segurança é função de ferramentas de monitoramento e análise de tráfego, como IDS/IPS e sistemas de log. O DHCP não realiza auditoria; ele apenas distribui configurações de rede. A alternativa atribui ao DHCP uma função de segurança que não lhe pertence.

Gabarito: letra C