Você fez a sua parte: escolheu um roteador de qualidade, definiu uma senha de administrador forte e talvez até tenha investido em um sistema mesh e uma assinatura de VPN. Sua rede doméstica parece segura e, honestamente, provavelmente está mesmo. Então, um dia, você quer verificar suas câmeras de segurança do escritório e ativa uma configuração aparentemente inofensiva para conseguir isso.
Essa configuração é o encaminhamento de portas, e pode ser problemática. Não porque o encaminhamento de portas seja ruim, mas porque ele faz exatamente uma coisa muito bem: abre um buraco permanente na parede que impedia a internet de chegar à sua casa.
Seu roteador é um segurança, e o encaminhamento de portas lhe dá acesso aos bastidores.
Tudo de bom em segurança de rede começa com a porta bem fechada.
Por padrão, seu roteador usa algo chamado NAT, que funciona como um firewall, rejeitando todas as tentativas de acesso não solicitadas do mundo externo. Se alguém na internet tentar acessar um dispositivo dentro da sua casa, o roteador simplesmente ignora a solicitação, pois não sabe para onde encaminhá-la. Esse comportamento de “não te conheço, vá embora” é o principal motivo pelo qual estranhos não conseguem invadir sua rede sem permissão. É um recurso de segurança fantástico e gratuito.
O encaminhamento de portas é como se você chegasse para o segurança e dissesse: “Na verdade, deixe esse tráfego específico passar, sempre, para sempre”. Você está dizendo ao roteador que tudo que chegar a uma determinada porta deve ser enviado diretamente para um dispositivo dentro da sua casa. O problema é que a internet não é um lugar amigável, e uma vez que essa porta é aberta, ela se abre para todos, não apenas para você.
A internet encontra sua porta aberta mais rápido do que você imagina.
Ninguém está procurando manualmente por você, e esse é exatamente o problema.
Acho que muita gente presume que está segura porque não é ninguém. Quem se daria ao trabalho de atacar minha rede doméstica aleatória, certo? Mas não é assim que funciona.
Os atacantes não ficam tentando adivinhar seu endereço IP e testando portas uma a uma. Eles usam scanners automatizados que varrem a internet inteira constantemente, catalogando todos os dispositivos que respondem. Existem mecanismos de busca inteiros, como o Shodan, dedicados a indexar dispositivos conectados à internet e as portas abertas que eles utilizam. Basta apontar um desses mecanismos para a web e você encontrará milhares de câmeras, roteadores e servidores expostos.
Se você quer um exemplo realmente assustador de quão rápido isso acontece, a equipe de segurança da Sophos realizou um experimento onde eles configuraram um servidor, expuseram a Área de Trabalho Remota à internet e simplesmente foram embora.
As tentativas de login começaram em menos de um minuto. Ao longo de 15 dias, registraram mais de dois milhões de tentativas de login malsucedidas, provenientes de quase mil endereços IP diferentes.
E antes que você pense “Vou usar um número de porta estranho para que ninguém encontre”, eles também testaram isso. Os scanners identificam um serviço aberto, independentemente da porta em que ele esteja oculto. Algumas dessas configurações padrão inseguras do roteador merecem ser revisadas antes mesmo de você encaminhar uma única porta.
Um dispositivo exposto se torna uma porta de entrada para toda a casa.
A câmera não é o prêmio, sua rede de contatos é.
Digamos que você encaminhe uma porta para uma câmera IP barata para poder monitorar sua varanda enquanto estiver fora. Na pior das hipóteses, alguém vê sua varanda, certo? Quem dera.
O verdadeiro perigo reside no fato de que o dispositivo exposto se torna um ponto de apoio. Uma vez que um invasor compromete essa câmera, ele entra na sua rede e pode se movimentar lateralmente para todo o resto. Em segurança da informação, isso é chamado de movimento lateral, e é exatamente por isso que um único dispositivo vulnerável e exposto representa um problema tão sério.
É assim também que dispositivos domésticos são recrutados para botnets. Os infames ataques Mirai, em 2016, realizaram isso em uma escala gigantesca, sequestrando dispositivos IoT, como câmeras, e usando-os para lançar um dos maiores ataques de negação de serviço (DoS) que a internet já viu.
Seu dispositivo comprometido não apenas coloca você em risco; ele pode acabar se tornando um soldado involuntário no exército de alguém. E grupos de ransomware adoram armazenamento exposto.
Existem famílias de ransomware que especificamente vasculham a internet em busca de dispositivos NAS acessíveis externamente, e é exatamente por isso que a recomendação é evitar expor seu NAS à internet . Uma única porta aberta e seus arquivos mais importantes se tornam um alvo.
É quase certo que você não precisa encaminhar portas.
Existem maneiras mais seguras de acessar seus pertences de qualquer lugar.
A maioria dos motivos pelos quais as pessoas encaminham portas agora tem alternativas muito mais seguras. O objetivo principal de encaminhar uma porta geralmente é “quero acessar um dispositivo em casa enquanto estou fora”. Você pode fazer isso sem expor nada à internet pública. A opção mais segura para a maioria das pessoas é uma VPN ou uma rede overlay. Em vez de abrir uma porta para um dispositivo específico, você cria um túnel criptografado privado ao qual somente você tem acesso e, uma vez dentro, tudo funciona exatamente como se você estivesse em casa.
Ferramentas como Tailscale e WireGuard tornaram isso surpreendentemente fácil. O Tailscale, em particular, cria uma rede privada entre seus dispositivos usando o protocolo WireGuard e, crucialmente, não exige que você abra nenhuma porta. Você instala um aplicativo, faz login e seus dispositivos podem se comunicar com segurança de qualquer lugar do mundo. Se você hospeda seus próprios servidores, essa é uma alternativa mais segura ao encaminhamento de portas que vale a pena configurar. Um proxy reverso é outra opção, caso você se sinta confortável com uma configuração um pouco mais complexa. A questão é que o antigo conselho de “basta encaminhar uma porta” está realmente ultrapassado para a grande maioria dos casos de uso doméstico.
Então, antes de prosseguir, pergunte a si mesmo se você realmente precisa.
Da próxima vez que um aplicativo ou guia lhe disser para encaminhar uma porta, pare por um segundo e pergunte-se se existe uma maneira de fazer isso sem expor sua rede para o mundo inteiro. Na maioria das vezes, existe. Recorra primeiro a uma VPN ou a uma rede sobreposta, mantenha o UPnP desativado para que nada encaminhe portas sem o seu conhecimento e, se precisar encaminhar alguma porta, faça-o o mínimo possível e proteja-a bem. Sua segurança só funciona se a porta principal permanecer fechada, então não seja você quem a deixa aberta apenas por conveniência.
