Ataquei minha própria casa
Numa noite, pedi a um programa que tentasse entrar na minha casa. Não na de tijolo; na outra, a que fui construindo ao longo dos anos num servidor no armário e que aparece na internet com uma dúzia de nomes que só eu uso. Dei a ele a lista de tudo que eu expunha e uma instrução simples: pense como alguém que quer entrar, e me conte o que encontrou.
Levou menos tempo do que eu gostaria. O relatório voltou com uma lista de portas e, ao lado de cada uma, o que havia atrás. A maioria tinha fechadura, uma camada de login na frente, e o programa bateu e foi embora. Mas uma não tinha nada. Estava aberta para quem quisesse. Era o aplicativo de rotina que eu tinha feito para mim, o mais recente, o que eu mais gostava. Publiquei num sábado, feliz com o resultado, e esqueci de pôr uma porta.
Fiquei um tempo olhando para isso. A porta aberta não era a mais velha, a que eu teria esquecido por descuido de anos. Era a mais nova. A que eu tinha feito por último, com mais carinho, e por isso sem fechadura. Quando a gente ama uma coisa que acabou de construir, o último pensamento é que alguém possa querer entrar nela por motivo errado. A segurança é uma forma de pessimismo, e eu estava otimista demais naquele sábado.
“A porta aberta era a mais nova. A que eu tinha feito por último, com mais carinho, e por isso sem fechadura.”
Tem algo desconfortável em ser atacante e defensor ao mesmo tempo. Quando você defende, pensa em camadas, em boas práticas, em listas de verificação. Quando ataca, pensa em uma coisa só: onde está o erro. E o erro, quase sempre, não está nas camadas; está na porta que ninguém lembrou de incluir na lista. Defender é um trabalho de completude. Atacar é um trabalho de uma única omissão. A matemática é injusta, e por isso quem defende sozinho perde: o defensor precisa acertar tudo, e o atacante precisa achar uma.
Então parei de defender sozinho. Depois daquela noite, coloquei uma fechadura na frente de tudo, uma só, igual, que pede uma identidade antes de deixar qualquer porta ser vista. Não porque confie nela mais do que nas outras, mas porque uma regra que vale para todas é a única que eu não consigo esquecer de aplicar na próxima coisa que construir num sábado.
E agendei o programa para voltar. Toda semana ele passa pela lista, bate em cada porta, e me conta se alguma coisa mudou. Chamo isso de desvio: a distância entre a casa que eu acho que tenho e a casa que está lá. O relatório quase sempre diz que não mudou nada. Esse quase sempre é o motivo de continuar rodando.
Me perguntam se não é paranoia. Uma casa de serviços que só eu uso, atrás de um domínio que ninguém conhece, atacada por mim mesmo toda semana. Talvez seja. Mas a alternativa que eu tinha antes não era confiança; era não olhar. Eu não sabia que a porta estava aberta porque nunca tinha ido até lá verificar, e não ir verificar parecia tranquilidade, e não era. Era só distância.
Agora olho. Uma vez por semana, por alguns minutos, alguém que trabalha para mim tenta entrar na minha casa e me diz que não conseguiu. É uma forma estranha de dormir melhor. Mas foi a única que encontrei que não depende de eu lembrar de alguma coisa num sábado em que estou feliz demais para lembrar.
— MS