Substituição de Protocolos Inseguros: Telnet vs SSH, FTP vs SFTP

Muitos protocolos fundamentais da Internet foram projetados nas décadas de 1970 e 1980, quando a segurança não era uma preocupação prioritária. Os protocolos em texto claro transmitem todos os dados — incluindo nomes de usuário, senhas e informações confidenciais — em texto simples pela rede. Qualquer dispositivo no mesmo segmento de rede, ou qualquer sistema pelo qual os pacotes passem, pode capturar e ler esse tráfego com ferramentas disponíveis gratuitamente, como o Wireshark. Em ambientes com switches de rede (que normalmente isolam o tráfego entre portas), a falsificação de ARP pode redirecionar o tráfego para o sistema de um invasor, tornando os protocolos em texto claro perigosos até mesmo em redes “internas”.

O Telnet (porta TCP 23) fornece acesso remoto à linha de comando dos sistemas, mas transmite tudo em texto simples. Ele não tem autenticação integrada além de nome de usuário e senha, que são enviados sem criptografia. O SSH (Secure Shell) (porta TCP 22) substitui o Telnet por um canal criptografado e autenticado. O SSH usa uma troca de chaves assimétricas para estabelecer uma chave de sessão e, em seguida, criptografa toda a comunicação subsequente com criptografia simétrica. O SSH também autentica o servidor (impedindo a personificação do servidor) e oferece suporte à autenticação por chave pública (sem senha, mas mais segura do que senhas), além da autenticação por senha.

A segurança do SSH depende de um processo robusto de troca de chaves. Ao conectar-se, o cliente verifica a chave do host em relação a uma cópia armazenada localmente — isso impede a personificação do servidor. Se a chave do host mudar inesperadamente, o SSH avisará o usuário (um sinal comum de ataque do tipo intermediário). Depois de verificar o servidor, a autenticação do cliente pode usar: senha (criptografada em trânsito, suscetível a força bruta), chave pública (o cliente comprova que possui a chave privada; é muito mais forte) ou interativa pelo teclado (oferece suporte a MFA). As organizações devem exigir autenticação baseada em chaves e desativar a autenticação por senha nos serviços SSH expostos à Internet.

O FTP (File Transfer Protocol) (portas TCP 20/21) transfere arquivos em texto simples — credenciais, comandos e dados dos arquivos ficam todos expostos. O FTP também usa um canal de dados separado (modo passivo ou ativo), o que complica as regras do firewall. O SFTP (SSH File Transfer Protocol) encapsula a transferência de arquivos no SSH pela porta 22 — é completamente diferente do FTP e apenas compartilha um nome semelhante. O FTPS (FTP Secure) adiciona criptografia TLS ao protocolo FTP original. O SFTP geralmente é preferível porque usa uma única porta e herda a autenticação e a criptografia do SSH. O FTP deve ser desativado em todos os sistemas de produção.

O HTTP (porta TCP 80) transmite conteúdo da Web, incluindo dados de formulários, cookies de sessão e tokens de autenticação, em texto simples. O HTTPS (porta TCP 443) encapsula HTTP em TLS, fornecendo criptografia, autenticação do servidor e integridade dos dados. As organizações devem exigir HTTPS em todos os lugares: redirecionar todo o tráfego HTTP para HTTPS (redirecionamento 301), implementar HSTS para impedir que os navegadores se conectem por HTTP e configurar os sinalizadores de cookies secure e HttpOnly para impedir o roubo de tokens de sessão por HTTP ou JavaScript. Os navegadores modernos marcam os sites HTTP como “Não seguro” — HTTPS agora é o padrão básico esperado para todos os serviços Web.

O SNMP (Simple Network Management Protocol) gerencia dispositivos e servidores de rede. O SNMPv1 e o v2c usam strings de comunidade (essencialmente senhas compartilhadas) enviadas em texto claro — strings de comunidade como “public” (leitura) e “private” (gravação) são valores padrão que os invasores conhecem. Um invasor que capture o tráfego SNMP descobre a string de comunidade e pode ler configurações de dispositivos ou alterar configurações. O SNMPv3 adiciona autenticação (HMAC-MD5 ou HMAC-SHA) e criptografia (AES) com credenciais por usuário, tornando-o a única versão apropriada para ambientes de produção. O SNMPv1/v2c deve ser desativado.

O LDAP (Lightweight Directory Access Protocol) (porta TCP 389) autentica e consulta serviços de diretório (Active Directory, OpenLDAP) em texto claro por padrão, expondo credenciais e dados do diretório. O LDAPS (LDAP sobre SSL/TLS, porta TCP 636) criptografa a conexão usando um certificado. O StartTLS é uma alternativa que atualiza uma conexão LDAP existente para TLS usando a mesma porta 389. Tanto o LDAPS quanto o StartTLS fornecem criptografia, mas o LDAPS geralmente é mais simples e confiável. As organizações devem configurar todos os aplicativos que consomem LDAP para usar LDAPS e bloquear o LDAP em texto claro na porta 389 no firewall.

Clientes de e-mail legados recuperam e-mails usando POP3 (porta 110) e IMAP (porta 143) em texto claro. Alternativas criptografadas: POP3S (porta 995, TLS) e IMAPS (porta 993, TLS). Plataformas de e-mail modernas (Exchange Online, Google Workspace) exigem TLS para todas as conexões de clientes e oferecem suporte à autenticação baseada em tokens OAuth 2.0 em vez de senhas. As organizações devem desativar a autenticação básica nos protocolos de e-mail — exigir autenticação moderna (OAuth 2.0 + MFA) impede ataques de preenchimento de credenciais que exploram os mecanismos de autenticação em texto claro dos protocolos de e-mail legados.

Substituir protocolos Insecure exige mais do que simplesmente ativar a versão Secure — a versão Insecure deve ser desativada ativamente. Etapas: auditar o uso dos protocolos existentes (varreduras do Nmap, registros do firewall), migrar aplicativos e configurações para o protocolo Secure, testar minuciosamente (os aplicativos de negócios podem parar de funcionar) e, então, bloquear o protocolo Insecure no firewall e no host. Problemas comuns: impressoras legadas e dispositivos incorporados geralmente oferecem suporte apenas a FTP ou SNMPv2; sistemas industriais legados podem depender do Telnet. Esses casos exigem isolamento de rede ou substituição pelo fornecedor, e não uma simples atualização do protocolo.

O RDP (Remote Desktop Protocol) (porta 3389) é amplamente usado para administração remota do Windows e é um dos principais alvos de ataques. Configurações inseguras de RDP incluem: expor a porta 3389 à Internet, usar autenticação somente por senha e desativar o NLA. Fortalecimento do RDP: ative a Network Level Authentication (NLA), que autentica antes de a sessão completa ser aberta (bloqueando conexões não autenticadas); exija TLS 1.2+ para todas as sessões RDP; coloque o RDP atrás de uma VPN ou de um gateway RDP, em vez de expô-lo à Internet; e imponha o bloqueio de contas para impedir ataques de força bruta. Muitas campanhas de ransomware obtêm acesso inicial por meio de RDP exposto e mal protegido.

Migrar de protocolos Insecure em ambientes de produção exige planejamento cuidadoso para evitar interrupções nos negócios. Uma abordagem em fases: Phase 1 — Descoberta: execute varreduras do Nmap e audite os registros do firewall para identificar todos os usos de protocolos em texto claro. Phase 2 — Ativação de alternativas Secure: configure SSH, SFTP e HTTPS junto aos serviços Insecure existentes. Phase 3 — Migração dos consumidores: atualize scripts, aplicativos, ferramentas de monitoramento e fluxos de trabalho dos usuários para usar o protocolo Secure. Phase 4 — Desativação e bloqueio: desative o serviço Insecure em cada host e bloqueie a porta no firewall. Testes em cada fase evitam indisponibilidades em produção.

Teste sua compreensão dos conceitos do CompTIA Security+ (SY0-701) abordados nesta lição.

Nesta lição, você aprendeu que: protocolos em texto claro (Telnet, FTP, HTTP, SNMPv1/v2c, LDAP) expõem credenciais e dados à interceptação na rede e devem ser substituídos; substitutos seguros (SSH, SFTP, HTTPS, SNMPv3, LDAPS) usam criptografia TLS ou SSH para proteger a mesma funcionalidade; e a substituição de protocolos exige desativar a versão insegura no firewall e no host depois de auditar as dependências legadas. A seguir, exploraremos versões do TLS, conjuntos de cifras e sigilo de encaminhamento perfeito.