Ferramentas

Ferramentas que correm no seu navegador

As vinte e quatro ferramentas do lado do navegador não precisam de idas e vindas ao servidor para o seu trabalho principal. As mais recentes são duas ferramentas para tratar segredos e instaladores localmente: a suite PGP gera pares de chaves, encripta e desencripta mensagens e cria e verifica assinaturas no seu navegador, porque as chaves privadas e as frases-passe nunca devem ser coladas em chats nem enviadas, e o analisador de APK lê as declarações e os certificados de assinatura de um instalador Android antes de o instalar, com o ficheiro analisado no seu dispositivo e nunca enviado. Antes delas chegou a triagem de pacotes: o analisador PCAP lê capturas .pcap e .pcapng — conversas, DNS, metadados TLS, avisos de texto simples — sob a mesma regra de tudo o resto nesta lista, porque um ficheiro de captura é uma prova e nunca é enviado para ser lido. Antes chegou um par de ferramentas forenses de e-mail: o analisador de relatórios DMARC abre os relatórios agregados que os recetores enviam (XML, comprimidos com gzip ou em zip) e funde-os numa tabela por origem, e o analisador de cabeçalhos de e-mail disseca uma mensagem suspeita — cadeia Received, resultados de autenticação, domínios que não coincidem, ligações neutralizadas — porque ambos os trabalhos começam com um ficheiro cheio de detalhes da sua infraestrutura, e esses ficheiros não devem ser enviados para serem lidos. A calculadora de sub-redes é aritmética pura; o analisador de registos e o gerador de dados de teste correm inteiramente na sua máquina, e é por isso que um registo de produção ou uma base de dados de teste podem passar por eles em segurança. As cinco mais recentes existem para os trabalhos que as pessoas tentam em chats de IA e depois lamentam: calcular hashes (um chat inventa os resumos), identificar hashes, descodificar e verificar JWT, converter Base64 e gerar senhas — trabalhos cujas entradas são credenciais e cujas respostas têm de ser calculadas, por isso as cinco correm localmente e não transmitem nada. O lote de planeamento trabalha com entradas que nunca devem ser coladas no servidor de um estranho: o programador de plantões trabalha com a lista da sua equipa, o gerador de certificados cria chaves privadas — localmente, nunca enviadas — e as calculadoras de retenção de cópias e de orçamento de erros trabalham com as suas políticas internas e os seus números de incidentes. As três mais recentes estendem a mesma regra: o validador de .env analisa o ficheiro com mais segredos da sua pilha sem transmitir um único byte, o planejador de reuniões faz a sua aritmética de fusos horários com os dados Intl do seu próprio navegador, e o estimador de capacidade transforma os seus números internos de tráfego num plano de frota no momento. A consulta DNS, o analisador de certificados e a consulta de domínios chamam de facto serviços públicos — Google ou Cloudflare para DNS, crt.sh para o histórico de certificados, os registos RDAP para os dados de domínios — e cada uma dessas páginas nomeia o serviço que consulta, para que saiba sempre para onde foi realmente um domínio que escreveu. Quando um trabalho tem forma de navegador e de servidor, as páginas ligam-se entre si: o analisador de certificados aponta para o verificador SSL ao vivo, a consulta de domínios aponta para o verificador de expiração, e a consulta DNS aponta para a verificação de saúde para ver o panorama completo.

Como funcionam os verificadores

Cada verificador aceita um nome de domínio simples, mais nada. Não há URL, caminhos nem portas a fornecer, e o serviço só se liga às portas web padrão do domínio que indicar. Depois percorre as suas verificações de forma independente: uma sondagem HTTP para a acessibilidade e o tempo de resposta, um handshake TLS para o certificado, uma consulta ao registo (RDAP) para os dados de registo do domínio, e consultas DNS para os registos que encaminham o tráfego e o correio. Como as secções são independentes, uma parte que falha nunca esconde o resto: um site com o servidor web avariado continua a mostrar o seu certificado e as suas datas de expiração, que costuma ser exatamente o que precisa para o reparar. Duas verificações mais recentes quebram a regra do domínio simples de propósito: a cadeia de estado HTTP aceita um URL completo, porque uma cadeia é uma propriedade de um endereço, não de um domínio; e a verificação de propagação DNS coloca a mesma pergunta a quatro resolvedores públicos, porque a propagação é uma propriedade das caches, não só do domínio. A mesa de triagem de CVE quebra-a de uma terceira maneira: aceita uma lista de identificadores de vulnerabilidades, porque a sua pergunta é sobre uma fila de correções, não sobre um anfitrião — e as suas respostas vêm de conjuntos de dados que o servidor atualiza diariamente, não de sondar coisa alguma.

Os resultados ficam em cache por pouco tempo, para que um relatório que partilhe com um colega mostre o mesmo instantâneo que viu, etiquetado com a hora em que foi tirado. Quando faltam menos de noventa dias para um certificado ou um domínio expirar, o relatório diz isso bem alto e oferece monitorização contínua gratuita através do myeventwatch, porque uma contagem decrescente de que tem de se lembrar de voltar a verificar é apenas meia solução.