Protocolos em texto claro: o que os invasores veem

O protocolo de transferência de hipertexto transmite todos os dados como texto ASCII simples, sem criptografia. Quando o usuário envia um formulário de acesso por esse protocolo, o navegador envia uma requisição POST contendo seu nome de usuário e sua senha em texto aberto. Qualquer pessoa no mesmo segmento de rede, ou qualquer roteador entre o usuário e o servidor, pode ler a requisição completa, incluindo credenciais, cookies de sessão e quaisquer dados sensíveis do formulário.

O Telnet era o protocolo padrão para terminais remotos antes do SSH. Cada tecla pressionada em uma sessão Telnet viaja até o servidor como um único pacote TCP não criptografado. Um invasor que capture o tráfego da rede vê não apenas o nome de usuário e a senha usados no login, mas também todos os comandos digitados e todas as linhas de saída exibidas, possibilitando o sequestro completo da sessão sem qualquer barreira criptográfica.

O FTP autentica com um comando USER seguido por um comando PASS, ambos enviados como texto simples pela porta TCP 21. Uma captura de pacotes de um login FTP mostra as credenciais exatas. Mesmo que o canal de transferência de arquivos seja criptografado com FTPS, a troca inicial de autenticação revela a senha a qualquer observador. Servidores FTP legados são comuns em ambientes corporativos e representam alvos fáceis para a obtenção de credenciais.

O POP3 (porta 110) e o IMAP (porta 143), quando usados sem TLS, enviam as credenciais de e-mail e o conteúdo completo das mensagens como texto simples. Quando uma pessoa abre seu cliente de e-mail em uma rede Wi-Fi de cafeteria com uma configuração não criptografada do servidor de e-mail, todas as mensagens baixadas ficam legíveis para qualquer outro dispositivo na rede. A atualização para POP3S (porta 995) e IMAPS (porta 993) usa TLS desde o início da conexão.

Servidores de banco de dados como MySQL (porta 3306) e PostgreSQL (porta 5432) oferecem conexões não criptografadas por padrão. Servidores de aplicações que se conectam ao banco de dados sem exigir SSL enviam consultas e seus resultados, incluindo dados pessoais sensíveis, como texto simples pela rede. Muitas vezes, as redes internas são consideradas confiáveis, mas invasores que obtêm qualquer ponto de apoio podem começar imediatamente a interceptar o tráfego do banco de dados.

O LDAP (Protocolo Leve de Acesso a Diretórios), na porta 389, transmite consultas ao diretório e autenticação como texto simples. Ambientes corporativos que usam o Active Directory para autenticação podem ter operações de vinculação LDAP expondo nomes de usuário e senhas na rede interna. O LDAPS na porta 636 usa TLS, e o STARTTLS na porta 389 pode atualizar a conexão, mas isso nem sempre é exigido.

Por padrão, o Redis escuta na porta 6379 sem autenticação e sem TLS. Uma instância do Redis exposta à rede sem senha permite que qualquer cliente leia todas as chaves armazenadas, execute comandos arbitrários e potencialmente grave arquivos de configuração. Até o Redis 6.0 (2020), quando foi adicionado o suporte a TLS, todo o tráfego do Redis, incluindo dados de cache e identificadores de sessão, ficava completamente exposto durante a transmissão.

O Memcached, uma camada de cache amplamente utilizada, não possui um mecanismo de autenticação integrado e envia todos os dados como texto simples ASCII pela porta TCP 11211. Normalmente, os desenvolvedores dependem de firewalls de rede para restringir o acesso, mas instâncias do Memcached mal configuradas e expostas à internet já foram usadas em ataques DDoS de amplificação e roubo de dados. Todo o conteúdo armazenado em cache, incluindo dados de sessão e respostas da API, fica visível para qualquer pessoa que consiga alcançar a porta.

O syslog tradicional usa a porta UDP 514 sem autenticação e sem criptografia. Os registros do sistema enviados pela rede podem ser lidos, modificados ou falsificados por qualquer pessoa no caminho. Um invasor que consiga interceptar o tráfego do syslog pode ler eventos de segurança em tempo real ou inserir entradas de registro falsas para encobrir seus rastros. A RFC 5425 define o syslog sobre TLS, mas muitos sistemas ainda usam o protocolo legado em texto simples.

A partir de um único ponto de observação na rede, um invasor que capture o tráfego de protocolos em texto simples obtém uma visão abrangente do ambiente. Ele vê nomes de usuário e senhas de vários serviços, identificadores de sessão que podem ser reutilizados sem a senha original, dados sensíveis sendo transferidos e a arquitetura interna da rede. Essas informações podem ser obtidas passivamente, sem nenhuma interação com os sistemas-alvo.

Apesar de décadas de conhecimento sobre os riscos do texto simples, os protocolos não criptografados persistem devido a sistemas legados que não podem ser atualizados, à complexidade de configuração em ambientes grandes, a preocupações de desempenho em conexões internas de alta capacidade e à suposição de que as redes internas são confiáveis. A segmentação de rede e os princípios da arquitetura de confiança zero contestam essa suposição ao tratar o tráfego interno com o mesmo nível de rigor que o tráfego externo.

HTTP, Telnet, FTP, POP3, IMAP, conexões diretas com bancos de dados, LDAP, Redis, Memcached e syslog transmitem dados sem criptografia por padrão. Qualquer observador no caminho da rede pode ler credenciais, identificadores de sessão e dados sensíveis. Existem versões protegidas por TLS para todos esses protocolos. As suposições de confiança na rede interna são perigosas; os princípios de confiança zero consideram que todo o tráfego pode ser observado.