Uma falha de segurança extremamente preocupante foi recentemente denunciada e, surpreendentemente, a Microsoft não pretende corrigi-la. De acordo com um relatório submetido ao Microsoft Security Response Center por Daniel Wade, o Protocolo de Ambiente de Trabalho Remoto do Windows (RDP) permite que utilizadores entrem em sistemas usando palavras-passe antigas, já alteradas, devido à presença de credenciais armazenadas em cache.
Atenção! Mudar a palavra-passe NÃO impede acessos indesejados!
Mesmo após a atualização das credenciais, é possível realizar uma autenticação com a palavra-passe anterior. Isto representa uma ameaça séria à segurança digital e levanta questões alarmantes sobre a integridade do sistema. Esta falha cria um autêntico “buraco” no sistema, permitindo acessos não autorizados sem qualquer aviso ao utilizador legítimo.
Inacreditavelmente, a Microsoft afirma que este comportamento é intencional e garante que não existem planos para alterar este mecanismo. A empresa defende que esta funcionalidade tem como objetivo garantir que os utilizadores nunca fiquem completamente bloqueados dos seus dispositivos – uma explicação que está a ser fortemente criticada por especialistas em cibersegurança.
Microsoft redefine o que é uma “vulnerabilidade”?
A gigante tecnológica tem uma interpretação própria do conceito de vulnerabilidade de segurança e não considera esta falha como tal. Segundo a empresa, esta funcionalidade foi implementada propositadamente para permitir o acesso remoto mesmo após longos períodos de inatividade. No entanto, o mais alarmante é que esta funcionalidade não pode ser desativada, o que agrava ainda mais os riscos envolvidos.
Daniel Wade alerta que este comportamento representa uma quebra de confiança inaceitável. Num cenário ideal de segurança informática, alterar uma palavra-passe deveria ser o passo definitivo para revogar acessos. Contudo, com o RDP do Windows, as palavras-passe antigas continuam ativas, sem qualquer notificação ao utilizador.
Perigo real: se a sua palavra-passe foi exposta, o acesso ainda é possível!
Este problema torna-se ainda mais perigoso quando consideramos situações em que palavras-passe foram comprometidas publicamente. Uma vez em cache, os atacantes podem obter acesso total ao sistema, mesmo que o utilizador tenha tomado medidas imediatas para mudar as suas credenciais.
A Microsoft já tinha conhecimento deste problema desde agosto de 2023, altura em que foi feito um primeiro relatório. No entanto, decidiu não alterar o funcionamento atual, alegando potenciais problemas de compatibilidade com aplicações existentes.
🔒 Alternativas mais seguras ao RDP que deve começar a usar JÁ!
Dada a recusa da Microsoft em corrigir esta falha crítica, é imperativo considerar alternativas mais seguras e modernas ao RDP tradicional. Aqui ficam algumas opções que colocam a segurança em primeiro lugar:
- AnyDesk – Extremamente leve e rápido, com forte encriptação TLS 1.2 e verificação de sessões em tempo real.
- RustDesk – Código aberto, permite alojamento privado e controlo total sobre a infraestrutura.
- TeamViewer – Popular em ambientes empresariais, com autenticação de dois fatores e gestão centralizada de acessos.
- Chrome Remote Desktop – Solução prática para utilizadores Google, com ligação cifrada ponto a ponto.
- Apache Guacamole – Solução RDP, SSH e VNC baseada na web, sem necessidade de cliente local e ideal para ambientes corporativos.
⚠️ Não espere por um ataque! Mude já para uma destas alternativas e proteja o seu sistema contra intrusões invisíveis.
