Em uma entrevista ao All Things Considered da NPR em abril de 2024, o engenheiro de software da Microsoft Andres Freund diz que estava executando testes de rotina de software de código aberto quando notou algo estranho: o SSH — a ferramenta que administradores usam para controlar computadores remotamente — "parecia estar usando recursos demais" em uma máquina onde ninguém estava autorizado a fazer login. Os sintomas eram "estranhos o suficiente para que eu não conseguisse realmente justificar para mim mesmo não mudar" do trabalho planejado para investigar.
Aprofundando-se, ele encontrou código injetado no software de código aberto que alimenta servidores de governos, empresas e bancos — um backdoor que permite a alguém fazer login sem autorização. Quem detém esse acesso pode fazer praticamente qualquer coisa, diz ele: desligar sistemas bancários, interromper controles industriais, roubar dados. Freund recorda que a injeção exigiu vários anos de trabalho e mais esforço do que um único indivíduo conseguiria realizar.
A percepção veio lentamente, diz ele; ele continuava presumindo que devia estar errado, e então voltava a perceber que poderia realmente ser verdade. Assim que soou o alarme, desenvolvedores se mobilizaram e corrigiram a falha, e um especialista em segurança cibernética disse que "o mundo deve a Andres cerveja grátis ilimitada".
Para Freund, o problema mais profundo é estrutural: o componente comprometido havia sido mantido por uma única pessoa não remunerada por quase vinte anos, apesar de ser usado de forma extremamente ampla. "Tivemos uma sorte irrazoável aqui, e não podemos simplesmente contar com isso daqui para frente", diz ele.
O backdoor não foi detectado por ferramentas de segurança, mas por seu próprio efeito colateral: CPU extra por login SSH, que um engenheiro se recusou a ignorar.
A detecção veio do próprio efeito colateral do backdoor — uso extra de recursos nos logins SSH — e não de qualquer revisão ou varredura de segurança.
A disciplina de Freund foi o diferencial: o sintoma era pequeno o suficiente para ser ignorado, e ele mudou todo o seu plano para persegui-lo.
A descoberta dependeu de sorte, segundo o próprio Freund, e é por isso que ele argumenta que o financiamento dos mantenedores precisa mudar, como mudou depois do Heartbleed.
Pequenas anomalias inexplicadas são baratas de investigar e caras de ignorar. E o software de infraestrutura não deveria depender de um único mantenedor não remunerado por vinte anos.
Assim que Freund relatou o caso, a comunidade agiu rapidamente: as pessoas se mobilizaram e a falha foi corrigida, e ele se tornou um "herói da internet". Na entrevista, ele aponta o Heartbleed como o modelo para o que vem a seguir — depois daquela vulnerabilidade do OpenSSL, empresas começaram a pagar mantenedores para que a segurança pudesse realmente melhorar, "e isso precisa acontecer mais".
CONFIRA AS EVIDÊNCIAS