A impressora fantasma: uma ode ao OpenSSH

Há frases que só percebemos anos depois de as ouvirmos pela primeira vez. Esta é uma dessas.

Ainda no início da minha vida em IT, tive a sorte de ter alguém por perto que gostava de mostrar, sem grandes discursos, aquilo que uma ferramenta realmente conseguia fazer. Numa dessas conversas, a propósito de nada e de tudo, ouvi uma frase que ficou:

“Se ali houver uma impressora com SSH, nós estamos bem daqui :)”

Na altura ri-me, como quem ouve uma piada de corredor. Só mais tarde é que percebi que aquilo não era bem uma piada. Era uma aula inteira de redes, segurança e humildade técnica, resumida numa frase de dez palavras.

A impressora, o elo mais aleatório da corrente

Pensem nisto: numa rede empresarial típica, o firewall é revisto, os servidores são patcheados, o EDR está a piscar luzinhas verdes em todo o lado… e depois há uma impressora, esquecida num canto, ligada há sete anos, com um serviço SSH de administração que ninguém desativou porque “é só a impressora”.

É esse o género de detalhe que separa a rede “no papel” da rede “na realidade”. A estupidez humana em IT raramente é dramática, não é um hacker de capuz a escrever sudo rm -rf / por engano. É muito mais banal: é um dispositivo esquecido, um serviço de gestão que nunca devia ter saído da VLAN de management, uma credencial default que ninguém trocou porque “isto é só uma impressora, quem é que quer entrar numa impressora?”.

A resposta, como o meu mentor sabia muito bem, é: quem quer entrar na rede toda. E isto não ficou só na teoria: nessa mesma rede, chegámos a usar essa impressora como salto para alcançar um host reservado, mais lá para dentro, montando um túnel SSH em cima dela. Já nem me lembro bem do motivo exato que nos levou até esse host específico, mas lembro-me perfeitamente do caminho: impressora, SSH, túnel, destino alcançado. Uma impressora com SSH aberto não é um alvo, é uma porta. E o SSH, bem entendido, não abre só uma porta: abre um corredor inteiro de portas, todas ligadas por túneis.

O ódio bonito ao SSH

Só mais tarde descobri que quem me disse aquela frase vivia e respirava segurança de forma profundamente pró-ativa. Família OpenBSD, pf como religião, o mínimo de superfície exposta como princípio de vida. Não era alguém a gabar-se de entrar em redes por gostar de causar caos; era alguém a mostrar, com uma imagem simples, porque é que cada porta aberta importa. Não é por acaso que este blog se chama doas, o sudo do mundo OpenBSD, mínimo, direto, sem gorduras a mais.

A piada da impressora não era sobre quebrar nada. Era sobre respeito: se um único serviço SSH esquecido chega para começar a dançar dentro de uma rede inteira, então cada serviço exposto merece ser tratado como se fosse a porta da frente. Porque, tecnicamente, é.

O verdadeiro herói: décadas de OpenSSH

E é aqui que quero dar o devido valor a quem faz mesmo o trabalho pesado. Não é o meu truque, nem o túnel do dia, nem a rede mal segmentada. É o OpenSSH.

Nasceu ali no projeto OpenBSD, no fim dos anos 90, e desde então tem sido a porta de entrada (a legítima e a nem por isso) de praticamente todos os servidores, routers, impressoras e brinquedos de rede do planeta. Décadas de utilização massiva, décadas de gente a tentar todo o tipo de password óbvia, ataque de força bruta e configuração distraída contra ele, e o protocolo continua de pé, sólido, auditado, chato de partir a sério.

Isso não é sorte. É engenharia feita com paciência, sem pressa, a preferir dizer “não” a uma funcionalidade duvidosa do que abrir uma fresta. É o mesmo espírito que ouvi naquela frase sobre a impressora: uma ferramenta simples, bem pensada, que continua a aguentar o peso do mundo inteiro em cima dela, ano após ano, password atrás de password.

Hoje em dia, uso o OpenSSH todos os dias para suporte remoto, incluindo por cima de túneis de relay como o meshtun (uma ferramenta minha para chegar a máquinas atrás de NAT ou sem rota direta), onde um simples -D transforma uma ligação num proxy SOCKS dinâmico e abre caminho até uma rede inteira. Não vou entrar em detalhes técnicos aqui, o meshtun é só o corredor; o SSH é que é a chave que continua a abrir a porta certa, décadas depois de ter sido cortada.

Um protocolo que nasceu modesto, sem alarde, sem fogo de artifício, e ainda hoje aguenta, sereno, password atrás de password, ataque atrás de ataque, enquanto algures, numa VLAN esquecida, uma impressora continua a piscar, sem saber que, com SSH, todas as portas são a mesma porta.

Nota de segurança (porque sim)

A ironia bonita disto tudo é que a mesma confiança que deposito no OpenSSH para dar suporte remoto de forma limpa e autorizada é, ponto por ponto, a mesma que faz dele um alvo tão apetecível quando mal configurado. A ferramenta é sólida; o contexto e a autorização é que fazem toda a diferença.

Por isso, se há uma lição prática a tirar disto:

• Serviços de gestão (SSH incluído) vivem em VLAN própria, nunca na rede geral.
• Dispositivos “menores”, impressoras, switches, UPS, NAS de canto, levam o mesmo escrutínio que um servidor.
• Se uma única ligação SSH esquecida chega para atravessar a rede toda, é porque a segmentação, não o SSH, é o problema.

Fecho

Há coisas que só se aprendem a olhar de lado, anos depois de as ouvir a direito. Aquela frase sobre a impressora não era sobre impressoras. Era sobre como uma ferramenta bem entendida, e um mentor com paciência para a explicar sem grandes discursos, vale mais do que qualquer curso caro sobre redes.

Obrigado pela aula. Ainda hoje, sempre que abro uma ligação SSH, oiço essa risada baixinha e satisfeita, como quem sabia desde sempre que a internet inteira não passa de uma boa rede de túneis à espera de um protocolo que ainda ninguém conseguiu partir a sério.