Transparência técnica

2. Arquitetura e fluxos

CONFIRMADO O Server escuta HTTP em todas as interfaces na porta 5000. O painel HTTPS escuta somente em loopback. Login administrativo remoto por HTTP é recusado, mas arquivos estáticos e rotas anônimas específicas continuam acessíveis conforme os controles de cada rota.

3. Matriz de dados

“Client → Server” abaixo inclui o serviço Client e, quando indicado, o tráfego dos aplicativos que usam o proxy. “Não localizado” significa que a análise estática não encontrou rotina correspondente; não é prova matemática de ausência em qualquer dependência ou versão futura.

Acesso aos dados: o histórico de navegação é restrito ao perfil Administrador. Dados de estações podem ser vistos por Administrador e Professor; outras áreas usam perfis Administrador, Professor, Auditor ou Somente leitura conforme a rota. Ações sensíveis selecionadas geram auditoria local.

4. O que o Client faz

ESCOPO O ProxyEdu gerencia somente WinINet. A revisão candidata removeu do instalador e do desinstalador o reset cego de WinHTTP; uma configuração WinHTTP preexistente deve permanecer intacta. A confirmação desse comportamento em Windows real ainda faz parte do gate de VM.

5. O que o Client envia

Payload resumido do heartbeat

new {
    ip = GetLocalIp(),
    timestamp = DateTime.UtcNow,
    installationId = InstallationIdentity.Value,
    clientVersion = InstallationIdentity.Version,
    hostname = Environment.MachineName,
    macAddress = ClientNetworkIdentity.GetMacAddress()
}

Headers de autenticação do Client moderno

X-ProxyEdu-InstallationId: <SHA-256 da chave pública>
X-ProxyEdu-Timestamp: <Unix time>
X-ProxyEdu-Nonce: <aleatório de 16 bytes>
X-ProxyEdu-Signature: <assinatura ECDSA do método, rota, tempo, nonce e corpo>

Esses headers autenticam integridade e origem da requisição quando a identidade assinada é exigida. Eles não cifram hostname, usuário, IP, MAC ou os demais campos enviados por HTTP.

6. HTTPS e inspeção TLS

Para aplicar políticas a HTTPS, o ProxyEdu usa uma autoridade certificadora local. O Server mantém a chave da CA e pode gerar certificados de sessão para os destinos acessados. O certificado raiz é confiado apenas nos equipamentos onde a instituição instala o Client.

CONFIRMADO O código do proxy consulta a URL, o método, o status e o tamanho da resposta. Ele usa a URL para avaliar regras e atualiza a atividade com o domínio.

ANÁLISE ESTÁTICA Não foram localizadas chamadas que leiam e persistam corpos de requisição/resposta, cookies, senhas ou formulários. Esses dados ainda podem atravessar memória, buffers e conexões do processo durante o encaminhamento.

RECOMENDAÇÃO Restrinja acesso físico e administrativo ao Server, use criptografia de disco, proteja backups e a pasta de certificados e instale a CA somente em endpoints autorizados.

7. Histórico e minimização

A função NavigationPrivacy.ToDomain remove o prefixo CONNECT:, interpreta a URL, extrai o hostname IDN, converte para minúsculas, remove o prefixo www., rejeita host vazio ou acima de 253 caracteres e descarta caminho, query e fragmento.

var domain = ToDomain(string.IsNullOrWhiteSpace(log.Domain)
    ? log.Url
    : log.Domain);
log.Domain = domain;
log.Url = domain;

A retenção padrão é 30 dias e aceita valores de 1 a 3650 dias. A limpeza ocorre ao iniciar o Server e depois a cada hora; remove tanto registros persistidos quanto itens pendentes na fila. O relatório da limpeza é mantido no banco.

Backups: a retenção do banco ativo não apaga cópias já existentes. Backups podem preservar estações, histórico, auditoria, configurações e material operacional além do prazo do banco original, conforme a política da instituição.

8. Comunicações externas

A busca no código não localizou SDK ou endpoint de analytics, publicidade, crash reporting ou telemetria externa. RuntimeDiagnostics mantém métricas agregadas locais e declara não incluir URLs, headers ou corpos.

DNS: o código usa a resolução normal do sistema operacional para hostnames e serviços HTTPS. Não foi localizado resolvedor DNS próprio nem domínio fixo de telemetria. Consultas DNS efetivas devem ser confirmadas em execução, pois dependem do Windows, rede e destinos acessados.

9. Modelo de ameaças

10. Controles de segurança e alcance

Nota técnica: a derivação de senhas usa PBKDF2-SHA256 com salt individual e 100 mil iterações na versão analisada.

11. Desinstalação e limpeza

BUILD CANDIDATO O comportamento abaixo descreve o build de hardening analisado em 27/08/2026. A versão pública anterior não deve ser presumida equivalente.

RECOMENDAÇÃO Antes de remover, faça inventário e backup aprovado. Depois, confirme serviços, WinINet, WinHTTP, CA, certificado HTTPS, diretórios, firewall e chaves. Use remoção completa somente quando a exclusão permanente de banco, backups e material criptográfico for realmente desejada.

12. Guia de verificação independente

Execute primeiro em VM ou VLAN de laboratório, com dados fictícios e snapshot recuperável. Os comandos abaixo são de leitura, exceto onde indicado explicitamente.

Autenticidade do instalador

Get-FileHash .\ProxyEdu-Setup-v2026.2.5.3.exe -Algorithm SHA256
Get-AuthenticodeSignature .\ProxyEdu-Setup-v2026.2.5.3.exe |
  Select-Object Status, StatusMessage, SignerCertificate

Serviços, portas e processo

Get-Service ProxyEduClient, ProxyEduServer -ErrorAction SilentlyContinue
Get-NetTCPConnection -State Listen |
  Where-Object LocalPort -in 5000,5443,8888
Get-NetUDPEndpoint |
  Where-Object LocalPort -eq 50505

Proxy e certificados

Get-ItemProperty 'HKCU:\Software\Microsoft\Windows\CurrentVersion\Internet Settings' |
  Select-Object ProxyEnable, ProxyServer, ProxyOverride, AutoConfigURL
netsh winhttp show proxy
Get-ChildItem Cert:\LocalMachine\Root,Cert:\CurrentUser\Root |
  Where-Object Subject -Like '*ProxyEdu*' |
  Select-Object Subject, Issuer, Thumbprint, NotAfter
Get-Content 'C:\ProgramData\ProxyEdu\state\owned-root-ca.json' -ErrorAction SilentlyContinue
Get-Content 'C:\ProgramData\ProxyEdu\state\owned-dashboard-https.json' -ErrorAction SilentlyContinue

Arquivos locais

Get-ChildItem 'C:\ProgramData\ProxyEdu' -Force -Recurse |
  Select-Object FullName, Length, LastWriteTime

Esse diretório pode conter dados pessoais, banco, backups e material criptográfico. Não publique a saída completa.

Tráfego e falhas controladas

• Use firewall ou Wireshark e filtre tcp.port == 5000 || tcp.port == 8888 || udp.port == 50505.
• Registre DNS e conexões do processo para comparar com a seção de comunicações externas.
• Bloqueie temporariamente GitHub e a API de licença no laboratório; confirme startup, proxy, cache e mensagens.
• Teste os três níveis de histórico com URLs contendo caminho, query e fragmento; inspecione a API/painel e o banco de teste.
• Antes/depois da desinstalação, repita os comandos de serviço, WinINet, WinHTTP, CA, HTTPS local e arquivos; teste separadamente preservação e remoção completa.
• Em VM, cubra proxy manual, PAC, autodetecção, dois usuários, login/logoff e perfil descarregado; confirme que estado pendente bloqueia a remoção.

13. Evidências da versão analisada

Release pública usada como linha de base

Build candidato de hardening

Validação candidata: os pacotes Client e Server foram verificados por assinatura RSA-PSS e manifesto; o pacote do Server contém o Updater. O instalador compilou, a auditoria de dependências não encontrou vulnerabilidades conhecidas e os testes automatizados cobriram adulteração de pacotes, propriedade de certificados, snapshot/restauração WinINet e rollback. Isso não substitui instalação, upgrade, desinstalação e atualização entre versões em VM.

Componentes inspecionados: Client, Server, Shared, Updater, instalador NSIS, scripts de instalação/desinstalação, configurações e artefatos locais da release.

Limites da evidência: a análise do build candidato foi conduzida em ambiente interno e não é reproduzível apenas com o repositório público. Os hashes da release pública comprovam identidade dos arquivos analisados, não autoria ou segurança. Não houve pentest, auditoria externa, análise dinâmica completa nem comparação reprodutível entre fonte e binário.

14. Código proprietário e revisão responsável

O ProxyEdu é software proprietário. Os exemplos publicados são representativos e reduzidos para demonstrar estruturas de dados e controles, sem divulgar código completo, credenciais, chaves privadas, tokens, detalhes de infraestrutura ou propriedade intelectual desnecessária à avaliação.

• Trechos não equivalem ao código-fonte integral.
• Ausência de rotina localizada não equivale a prova formal de impossibilidade.
• Uma auditoria completa pode exigir acesso controlado ao código e aos binários sob confidencialidade.
• Mudanças materiais de dados, destinos ou controles devem atualizar esta página e sua versão de referência.