Segurança e confiança

1. Modelo de segurança

O ProxyEdu combina controles no Client, no Server e no processo de distribuição. Nenhuma camada isolada elimina todos os riscos: a proteção final também depende do Windows, da segmentação da rede, das credenciais e da operação da instituição.

Os dados operacionais permanecem localmente por padrão. Serviços externos recebem somente o necessário para funções específicas, como validação comercial e consulta de releases.

2. Identidade e controle de acesso

• Clients modernos possuem identidade criptográfica e identificador persistente.
• Nonces de autenticação têm validade curta e ajudam a impedir repetição.
• Senhas administrativas são armazenadas por hash, não em texto simples.
• O painel deve ser acessível somente por operadores autorizados.
• A instalação deve substituir credenciais iniciais e limitar privilégios.

Mudanças de IP, MAC ou hostname não devem ser tratadas como prova suficiente de uma nova identidade.

3. Licenciamento separado

O serviço privado de licenciamento é independente do ProxyEdu Server instalado nas escolas. Documentos de licença usam RSA-PSS com SHA-256, incluem KeyId para rotação e são vinculados ao ServerInstallationId.

A chave privada permanece exclusivamente no ambiente privado de licenciamento ou em mecanismo seguro de gestão de chaves. O ProxyEdu distribuído contém somente as chaves públicas necessárias à verificação.

Licenças inválidas, adulteradas ou vinculadas a outro Server são rejeitadas com fallback seguro.

4. Atualizações e procedência

Releases oficiais podem incluir:

• instalador e pacotes separados de Client e Server;
• manifesto de atualização;
• hashes SHA-256;
• arquivos de assinatura .sig;
• notas com compatibilidade e validação executada.

Baixe somente da página oficial de Releases ou do repositório oficial. Compare hashes quando publicados e não remova as assinaturas dos pacotes.

5. Autoridade certificadora local

Recursos de proxy HTTPS podem exigir uma autoridade certificadora local. Sua chave privada deve permanecer protegida no Server e o certificado raiz deve ser instalado apenas em equipamentos autorizados e administrados pela instituição.

O plano de desinstalação deve incluir a remoção dessa confiança dos endpoints. Nunca publique a chave privada, inclua-a em chamados ou copie-a para repositórios.

6. Checklist de implantação

• Atualizar Windows, ProxyEdu e dependências.
• Restringir as portas do Server por firewall ou VLAN.
• Criar credenciais administrativas individuais e fortes.
• Proteger o diretório de dados com ACLs e criptografia de disco.
• Criptografar backups e testar restauração.
• Limitar a instalação da CA aos dispositivos autorizados.
• Revisar retenção, logs e acessos administrativos.
• Monitorar alertas, uso de recursos e falhas de atualização.

7. Relatar uma vulnerabilidade

Não publique detalhes exploráveis em issues abertas. Use o canal privado de GitHub Security Advisories e não envie dados reais de alunos, credenciais, bancos de produção, certificados ou chaves privadas.