IoT Nível 5: divulgação responsável e defesa

Esta é a parte que separa pesquisa de barulho. Uma vulnerabilidade só vira contribuição quando é comunicada de um jeito que o problema seja corrigido antes de virar dano — e sem expor usuários no caminho.

Divulgação coordenada

O fluxo padrão: você contata o fabricante por um canal de segurança (security.txt, PSIRT, bug bounty), descreve a falha com provas e dá um prazo razoável para correção — 90 dias é a convenção. Se houver impacto amplo, um CVE é aberto via uma CNA, e um coordenador como um CERT nacional ajuda a mediar.

Quando o fabricante ignora

Acontece, e muito, no mundo IoT. A escalada é por um coordenador (CERT/CC, CISA) antes de qualquer divulgação pública. Full disclosure é o último recurso, pensado para proteger usuários — nunca para exibir troféu. A ética aqui não é detalhe: é o que mantém a pesquisa legítima.

Do outro lado: como se defende

Fechar o ciclo é entender a correção. Secure boot e firmware assinado matam o update inseguro e a persistência. Nada de credenciais fixas — segredos por dispositivo, provisionados. Uma SBOM e um processo de patch tornam os componentes velhos rastreáveis. A maioria das falhas de IoT são o básico não feito; a defesa é fazer o básico.

O pesquisador que sabe consertar o bug vale dez que só sabem encontrá-lo.

Isso fecha a série de IoT, do zero ao avançado. Da próxima vez que você olhar uma lâmpada inteligente, vai enxergar o computador — e saber como estudá-lo com responsabilidade.