Riscos e medidas de proteção

Entenda a quem você concede acesso, onde a criptografia começa e termina e o que verificar antes de compartilhar uma conexão ou alterar a rede.

Exposição de rede e autenticação

Riscos de escutar em 0.0.0.0

0.0.0.0 escuta em todas as interfaces IPv4, não apenas no Wi-Fi atual. Isso não publica a porta na Internet por si só: o encaminhamento de portas, o firewall e o roteamento determinam o acesso. Sem autenticação, um serviço acessível pode se tornar um proxy aberto: terceiros podem consumir banda, acessar recursos disponíveis pelo Mac ou pelas rotas proxy e gerar abusos associados ao seu IP público. Prefira um endereço privado específico. Se precisar de 0.0.0.0, ative a autenticação e restrinja os endereços de origem no firewall. Não exponha diretamente a porta HTTP/SOCKS sem criptografia a uma rede não confiável. A autenticação por si só não criptografa a conexão.

Riscos sem autenticação

Sem autenticação, qualquer cliente admitido pelas verificações de acesso da porta pode usar o proxy sem credenciais. Um endereço privado ou o mesmo Wi-Fi não garantem confiança; as solicitações também não podem ser atribuídas com segurança a usuários individuais. Terceiros podem consumir banda ou acessar recursos alcançáveis, e abusos podem ser associados ao seu IP público. Ative a autenticação, a menos que uma rede isolada restrinja rigorosamente o acesso a dispositivos confiáveis.

Encaminhamentos e portas SOCKS

Um encaminhamento local expõe o serviço de destino pelo Mac. Um remoto expõe, pelo servidor SSH, um serviço acessível a partir do Mac. A escuta remota de loopback pertence ao servidor, não ao Mac; outros usuários autorizados do servidor podem acessá-la. Uma exposição mais ampla também depende da política SSH e do firewall do servidor. Mantenha a autenticação própria de bancos de dados, áreas de trabalho remotas e serviços web.

A escuta SSH SOCKS comum é separada do compartilhamento de rede autenticado. As credenciais do compartilhamento não a protegem automaticamente. Prefira 127.0.0.1 e revise escuta, permissões e firewall antes de ampliar o acesso. :: é um endereço curinga IPv6, não uma restrição a redes privadas. Veja encaminhamento local e remoto.

Criptografia e identidade do servidor SSH

SSH criptografa o túnel entre Mac e servidor SSH, mas não automaticamente os trechos cliente–escuta ou servidor–destino. Use HTTPS de ponta a ponta ou a criptografia do protocolo de destino quando necessário. O servidor SSH e o destino ainda precisam ser confiáveis. Um túnel não torna seguro um serviço não confiável nem garante anonimato.

Confira a primeira impressão digital da chave do host por um canal confiável. Investigue alterações antes de redefinir a confiança; não desative a verificação estrita para ignorar um aviso. Senha, chave privada e OTP autenticam você; a chave do host autentica o servidor. Veja confiança SSH.

Cobertura de roteamento e DNS

Revise a ordem, a regra padrão e o DNS da regra correspondente. DIRECT escolhe explicitamente o caminho direto. Configure alternativas sem supor que uma falha de PROXY muda automaticamente para DIRECT. Resolução e conexão do app podem seguir caminhos diferentes. DNS por proxy não transforma DNS upstream comum TCP/53 em DoH.

Proxy HTTP manual, SSH SOCKS e roteamento transparente não são um VPN universal nem um bloqueio de tráfego garantido. Apps podem ignorar o proxy, usar DNS próprio, reutilizar conexões ou enviar tráfego incompatível. HTTP CONNECT não oferece encaminhamento UDP geral. Verifique app, protocolo e caminho IPv4/IPv6. Veja regras, DNS e limites SOCKS.

Riscos do modo gateway

O modo gateway é experimental e não oferece autenticação por usuário e senha nem multiusuário. A autenticação do modo proxy não protege esse tráfego; a filtragem IP não verifica identidades. Use apenas em uma LAN confiável e isolada, limitando os IPs de origem. Alterar o encaminhamento IP e as regras de filtragem exige autorização de administrador e pode interromper a rede. O enlace com o Mac não é criptografado; IPv6 pode contornar as regras. Em redes com vários gateways, rotas de ida e volta diferentes podem causar tempos limite, desconexões ou falhas de encaminhamento. Repouso do Mac, encerramento do app ou mudanças de endereço interrompem o compartilhamento. Depois, restaure o gateway e o DNS originais dos clientes. Este aviso descreve riscos, não um procedimento de configuração validado.

Administração Enterprise e certificados

Os ajustes Enterprise estão disponíveis apenas na edição Enterprise. O acesso Web/API pode expor configurações e controles permitidos; console e arquivos são especialmente sensíveis. Inicialize o administrador localmente, limite acesso de rede e funções e conceda só os controles necessários. O bloqueio do app não substitui autenticação de API, administrador ou proxy.

Use HTTPS verificado em caminhos não confiáveis. O cliente deve confiar na CA privada e o certificado deve cobrir o nome usado. Importe apenas identidades confiáveis e proteja as chaves privadas. O TLS do proxy HTTPS protege só sua escuta; não criptografa a porta HTTP/SOCKS separada nem adiciona UDP. Redefinir o token API é independente das sessões web do administrador. Veja Enterprise e TLS.

Credenciais, backups e compartilhamento

URLs de proxy e comandos shell copiados podem incluir senhas expostas por sincronização da área de transferência, histórico ou logs. Oculte credenciais, tokens, endereços e dados pessoais antes de compartilhar diagnósticos. Proteja chaves SSH e use credenciais separadas com permissões mínimas.

Um backup de configuração pode conter credenciais no conteúdo criptografado por senha. Guarde backup e senha com segurança, separadamente. Ele não inclui arquivos de chaves privadas, identidades TLS/chaves privadas de CA, contas de administrador/tokens API, atividade Enterprise ou dados de desbloqueio do app; prepare recuperação separada. QR codes excluem credenciais, mas revelam configurações. Quem tem QR e senha pode importar. A expiração não revoga cópias já importadas. Veja cobertura do backup e QR.

Automação e conexões sem supervisão

Revise scripts locais/remotos e ações após conexão antes de ativar: eles usam as permissões da conta Mac ou SSH correspondente. Inspecione destinos, escutas, regras e scripts de perfis importados. Grupos de início e novas tentativas automáticas podem reabrir várias conexões sem outro clique. Bloquear o app não desconecta túneis ativos. Revise membros e ajustes de início/repetição antes de deixar o Mac sem supervisão. Veja automação.

Disponibilidade, privacidade e responsabilidade

Repouso, mudanças de rede, limites upstream e conexões em excesso podem interromper serviços ou esgotar recursos. SSH verde não prova disponibilidade do destino. Estatísticas e históricos são indicadores, não provas de segurança ou registros completos de cobrança. Compartilhe apenas redes e serviços autorizados. Os provedores mantêm suas próprias regras; abusos podem ser associados ao IP de saída. Veja solução de problemas.

Antes de tornar um serviço acessível

• Identifique quem alcança cada escuta, incluindo redes roteadas e usuários do servidor remoto.
• Ative autenticação e criptografia adequadas; confira identidades SSH/TLS.
• Revise origens, ordem, regra padrão e DNS; teste primeiro um cliente autorizado.
• Revise início, novas tentativas, grupos e scripts; prepare ajustes originais e recuperação separada de chaves/certificados.
• Acompanhe recursos e conexões e pare o compartilhamento quando não for necessário.

Se houver suspeita de uso não autorizado

1. Pare o compartilhamento, escuta ou conexão afetados; pare também o serviço de gestão se esse acesso estiver afetado.
2. Reduza a exposição do firewall/roteador e revogue contas, credenciais ou tokens afetados. Redefinir um token não encerra a sessão do navegador.
3. Preserve os logs necessários em privado e verifique acessos ao servidor/destino, regras, grupos e ações de início.
4. Restaure gateway/DNS originais nos clientes alterados; reative apenas o necessário e confira com um cliente confiável.