12. Utilizações abusivas: o que o Warda impede, e os seus limites

O que o Warda impede#

• Ser usado contra outros. O Warda só responde aos dispositivos da sua rede. Uma consulta vinda da Internet não tem resposta, nem através de uma porta reencaminhada no seu router. A partir do Warda 0.8.0, também é recusado um pedido que chega da Internet através de um proxy inverso ou de um túnel (Traefik, nginx, Caddy, Cloudflare Tunnel…).
• As suas ferramentas usadas como arma. O ping, o traceroute, o teste de porta e os testes de um SIEM ou de um diretório estão reservados aos administradores, um de cada vez e no máximo 30 por minuto, e cada um fica escrito no registo de atividade.
• Uma palavra-passe guardada enviada para outro lado. Com o Warda Business, a palavra-passe do diretório da empresa volta a ser pedida quando o seu servidor ou a sua cifra mudam.
• Um membro que quer mais direitos, ou uma criança que quer contornar as regras. Um membro não pode dar-se direitos; Alguma coisa deixou de funcionar nunca abre o conteúdo para adultos nem os horários de uma criança; as VPN, os proxies e o DNS cifrado estão bloqueados para os menores e são assinalados.
• Um adulto que lê a navegação de outro adulto. Os nomes que um adulto visita não são mostrados a mais ninguém sem o seu acordo.
• Uma porta DNS aberta no seu router sem que saiba. A partir do Warda 0.8.0, a verificação da exposição na Internet (capítulo 5) testa também as portas 53 e 853, e assinala-as como críticas (por TCP: um reencaminhamento só da UDP 53 não é visto).
• Palavras-passe adivinhadas. As tentativas são travadas, há um segundo fator disponível, as sessões terminam sozinhas.

O que não impede#

• A primeira hora. Enquanto a caixa não estiver instalada, qualquer pessoa na sua rede que conheça a palavra-passe predefinida (é pública: é o mês da versão) pode instalá-la no seu lugar, durante a hora que se segue a cada arranque.
• Um administrador que abusa da caixa. Um administrador pode enviar todos os nomes consultados para um SIEM, dar os dispositivos de um adulto a uma criança, ligar a sua própria conta a um adulto que não tem conta e ver então o histórico dessa pessoa, ou repor uma palavra-passe. Tudo fica escrito no registo de atividade, que os outros administradores leem, mas o adulto em causa nem sempre é avisado.
• Um telemóvel com um novo endereço Wi-Fi privado é um dispositivo novo: enquanto não o atribuir, tem as regras de um adulto, a não ser que a página Proteções proteja os dispositivos desconhecidos como uma criança ou um adolescente.
• Um endereço de proteção fora de casa (capítulo 11) obtido por outra pessoa: quem o tem recebe as regras desse dispositivo. Guarde estes endereços como palavras-passe; Novo endereço anula um de imediato.
• Redes autorizadas alargadas à mão. Se alguém definir WARDA_ALLOWED_CLIENTS com endereços públicos, o Warda responde à Internet: apenas escreve um aviso no seu registo ao arrancar.
• Um programa modificado. Quem modifica o programa do Warda na sua própria caixa pode desbloquear tudo nela.

O que pode fazer#

1. Instale o Warda assim que arrancar pela primeira vez, a partir de um computador da sua própria rede. Numa rede partilhada (um escritório, um prédio), ligue-o a uma rede só para ele até estar instalado.
2. Nunca reencaminhe as portas 53, 853 ou 443 do seu router para o Warda, e nunca publique a sua interface na Internet: para os seus dispositivos fora de casa, use a proteção fora de casa (capítulo 11).
3. Dê a função de administrador apenas a pessoas de confiança, e leia o registo de atividade de vez em quando.
4. Guarde as suas cópias de segurança e a sua palavra-passe num local seguro: uma cópia contém todas as contas e a chave da caixa.