Escrita · 28 fev 2019
Perceber os riscos de segurança do alojamento partilhado
Portas abertas e serviços de rede sem uso: o que ter em conta
Há quem me pague para os hackear, desde que eu explique como foi feito, para que se evitem ataques futuros. Como consultor de segurança, procuro pontos fracos nas apps, lojas online e sites dos meus clientes. Muitas vezes um ataque começa por explorar uma falha de segurança visível a partir do exterior. Lê até ao fim para saberes como os hackers encontram falhas de segurança e o que podes fazer para as proteger.
Para hackear uma app, uma loja online ou um site, os hackers visam muitas vezes os servidores que os alojam. Para explicar porque o fazem, primeiro tens de perceber o que é o alojamento e que tipos existem.
O que é o alojamento?
O alojamento (hosting) é um serviço que permite que a tua app, loja online ou site fique disponível na internet. É feito com computadores especiais chamados servidores. Quando alguém escreve o endereço do teu site no navegador, o dispositivo liga-se ao teu servidor.
Se os hackers conseguirem tomar o controlo de um servidor, podem aceder a toda a informação que lá está e manipulá-la. Além disso, podem abusar da rede e da capacidade de cálculo do servidor para fazer coisas más. Isto é mesmo algo que não queres...
Diferentes tipos de alojamento
A tua app, loja online ou site pode ser alojado de várias maneiras. Cada tipo de alojamento traz preocupações de segurança diferentes, mas é relativamente fácil de perceber, porque tudo depende da forma como o servidor físico (no centro de dados) é partilhado entre os sites.
As empresas de alojamento costumam ter vários servidores e dividem a capacidade pelos sites que precisam de ser alojados. Um servidor grande pode alojar sem problemas vários sites, tudo depende do tráfego da app, loja online ou site.
Existem três tipos de alojamento:
- alojamento partilhado: O servidor corre vários sites partilhando o sistema operativo, a memória, os núcleos do processador e o armazenamento em disco. Não há divisões rígidas entre os sites.
- alojamento VPS: O servidor físico corre vários servidores privados virtuais (VPS), cada um com o seu próprio sistema operativo e a sua parte da memória, da capacidade de processamento e do armazenamento. Um VPS pode ser configurado para correr um ou alguns sites (relacionados). Como a divisão entre as instâncias VPS é rígida, é muito difícil para os hackers passarem de um VPS para outro.
- alojamento dedicado: O servidor físico corre apenas um site. Não se partilha nada, todos os recursos são dedicados a uma só app, loja online ou site. Graças a esta divisão física, não és afetado por ataques a nenhum outro site.
Atenção: o "Cloud Hosting" é muitas vezes alojamento partilhado com outro nome
É importante perceber que a maior parte do "Cloud Hosting" moderno é, na verdade, alojamento partilhado com um nome pomposo. Os gabinetes de web design configuram muitas vezes o seu servidor dedicado ou privado virtual para venderem alojamento partilhado aos clientes. Por isso, a não ser que giras o teu próprio VPS ou servidor dedicado, é bem provável que estejas em alojamento partilhado.
Riscos de segurança do alojamento partilhado
Os riscos de segurança do alojamento partilhado vêm precisamente de ser partilhado. Quando um dos sites no mesmo servidor que o teu é hackeado, há uma grande probabilidade de o teu também ser afetado. Nessa situação, as medidas de segurança aplicadas ao teu site podem não chegar para o proteger dos hackers.
Endereço IP partilhado
Além disso, o alojamento partilhado costuma significar que todos os sites partilham o mesmo endereço IP. Vais ter problemas se qualquer outro site estiver envolvido em más práticas, como enviar e-mails de spam ou alojar conteúdo ilegal. Isso pode levar a que o teu site seja posto em lista negra, bloqueado ou despromovido nos resultados dos motores de pesquisa.
Desempenho
Se pensares que as empresas de alojamento costumam pôr centenas, às vezes até milhares (!), de sites no mesmo servidor partilhado, percebes porque é que isto aumenta a probabilidade de ser hackeado. Para além dos problemas de segurança, o alojamento partilhado também afeta o desempenho do teu site, que tem de competir com outros sites pelos mesmos recursos limitados do servidor. Se um dos outros sites tiver um pico enorme de tráfego, a tua app, loja online ou site também pode ficar mais lento!
Serviços de rede partilhados
Outro problema do alojamento partilhado é que o servidor costuma ter muitos serviços de rede ativos, como web, e-mail, FTP e base de dados. Estes serviços estão disponíveis através de portas abertas. É má prática ter todas as portas abertas para toda a gente, porque expõe os serviços que escutam nessas portas a ataques. As firewalls podem limitar quem se pode ligar a determinada porta, mas num ambiente de alojamento partilhado estas restrições muitas vezes não são muito apertadas (por causa das muitas coisas diferentes alojadas no mesmo servidor).
Hackear uma app, loja online ou site
Para hackear a tua app, loja online ou site, um hacker pode analisar o teu servidor à procura de portas abertas, identificando os diferentes serviços que correm nele. O programa unix nmap é muito usado para isto. O hacker liga-se ao serviço que escuta nas portas abertas para descobrir que programa é.
Esta informação pode ser usada para verificar se os serviços de rede em execução têm falhas de segurança conhecidas. Existem bibliotecas online onde estas falhas se consultam pelo nome e versão do software. Encontrar uma falha conhecida é tão fácil como uma pesquisa no Google. Se encontrar uma falha existente, o hacker pode usá-la para obter acesso ao servidor.
Verificando o endereço IP do servidor, o hacker consegue perceber se o servidor é partilhado com outras apps, lojas online ou sites. É possível (com consultas DNS inversas) listar todos os sites alojados no mesmo servidor. Mesmo que o teu esteja atualizado e seguro, os outros no mesmo servidor podem usar software desatualizado (com falhas de segurança). O software mais comum para sites está bem documentado, e é sabido que as versões antigas do PHP e do WordPress têm problemas graves de segurança.
Conclusão
A melhor maneira de proteger a tua app, loja online ou site é limitar ao máximo a sua exposição a ataques. Manter o software do site atualizado é essencial, mas pode não bastar se o alojamento for partilhado.
Para evitares que ataques a outros afetem a tua app, loja online ou site, deves considerar alojá-lo num servidor físico ou virtual dedicado, com o seu próprio endereço IP. Depois podes reforçar a segurança filtrando as portas abertas e desligando os serviços de rede que não usas.
Desta forma reduzes aquilo a que os especialistas em cibersegurança chamam a "superfície de ataque". Quanto mais pequena, mais fácil é defendê-la. Boa sorte, e lembra-te de que há ajuda disponível!
