Isolamento de perfis do navegador: o que é realmente separado?

«Perfil separado» parece uma expressão precisa até um fluxo depender dela. Um produto pode referir-se a uma pasta diferente. Outro pode acrescentar supervisão dos processos, política de rede por perfil, criptografia, bloqueios, backups e permissões da equipe. A designação, por si só, não garante uma combinação específica destes limites.

A pergunta prática é, portanto: separado de quê, perante que falha ou interveniente e com que provas?

Quatro limites que se confundem facilmente

Limite	O que separa	O que não estabelece
Origem web	O armazenamento legível por scripts de um site do armazenamento de outra origem	Separação entre dois inícios de sessão no mesmo site dentro de um perfil
Perfil do navegador	Um conjunto de estado do navegador associado a um perfil	Proteção contra outra pessoa que possa acessar a mesma conta do sistema operacional
Isolamento de Sites e sandbox	Conteúdo web de sites diferentes em processos de apresentação restritos	Uma instalação dedicada do navegador ou uma pilha de rede por perfil
Conta do sistema operacional, contêiner ou máquina virtual	Arquivos, processos, credenciais e, por vezes, política de rede num limite do sistema	Separação automática de contas dentro de um navegador sem configuração

Estas camadas resolvem problemas diferentes. As regras de mesma origem da Web impedem que um script comum de uma origem leia o armazenamento de outra. O modelo de segurança do Isolamento de Sites do Chromium acrescenta limites de sandbox entre processos de apresentação de sites diferentes. Um perfil do navegador agrupa o estado de navegação de uma pessoa ou fluxo. Uma conta do sistema operacional ou máquina virtual aborda um problema mais exigente de adversário local ou isolamento do host.

Uma afirmação sobre uma camada nunca deve ser usada como prova de outra.

O que um perfil persistente do navegador separa normalmente

O Chromium documenta que o diretório de dados do usuário contém dados de perfis, como histórico, marcadores e cookies, e que cada perfil é um subdiretório desse diretório. As orientações do Chrome sobre perfis também indicam que os perfis mantêm separados os marcadores, o histórico, as senhas e as configurações.

Num perfil de trabalho persistente, o limite de estado esperado inclui normalmente:

Estado	Efeito prático da separação
Cookies e estado de autenticação	Iniciar sessão num serviço no perfil A não deve iniciar a sessão no perfil B através do mesmo armazenamento de cookies
Armazenamento local e bases de dados de sites	O estado conservado localmente por um aplicativo Web pertence ao perfil que o criou
Cache HTTP e Cache Storage	Respostas reutilizáveis e dados de aplicativos sem conexão normalmente não atravessam para outro perfil
Histórico, marcadores e estado da sessão aberta	Os registros de navegação e destinos guardados permanecem associados ao fluxo pretendido
Permissões dos sites	As decisões sobre câmara, microfone, notificações, localização e funções relacionadas podem variar por perfil
Extensões e estado das extensões	As extensões instaladas, as suas configurações e o acesso concedido podem ser gerenciados por perfil
senhas e estado de preenchimento automático	As credenciais e os dados de formulários conservados localmente permanecem no perfil escolhido, sujeitos a qualquer sincronização de conta ativa

A localização física varia conforme a plataforma. A documentação do Chromium indica que o caminho da cache pode ser derivado do caminho do perfil e guardado no local de cache do sistema operacional, em vez de junto do resto do perfil. Também distingue os dados dos perfis de outro estado local relativo à instalação, mantido no diretório de dados do usuário. Um desenho de isolamento credível acompanha, portanto, todos os caminhos sob a sua responsabilidade e documenta o estado compartilhado da instalação, em vez de tratar uma pasta visível do perfil como todo o limite.

Um limite de diretório continua a precisar de controles do ciclo de vida

Um caminho de dados único só evito reusos acidentais do estado quando cada inicialização recebe o caminho certo. O Chromium também indica que duas instâncias do Chrome em execução não podem compartilhar em segurança um diretório de dados do usuário. Um sistema de perfis gerenciados deve tornar explícitas as regras do ciclo de vida:

• atribuir uma raiz de armazenamento única a cada perfil;
• impedir que dois processos de escrita abram o mesmo estado persistente;
• identificar os processos que pertencem à inicialização;
• parar ou recuperar esses processos como um único ciclo de vida;
• concluir as escritas antes do backup ou migração; e
• detectar um encerramento incompleto antes da inicialização seguinte.

Sem estes controles, «pastas separadas» ainda podem produzir inicializações no perfil errado, bloqueios obsoletos, cópias parciais ou corrupção após uma interrupção.

O que um perfil do navegador não separa automaticamente

Acesso local

O Chrome avisa que qualquer pessoa com acesso ao dispositivo pode mudar para outro perfil do Chrome e ver informações como os sites visitados. As suas orientações recomendam compartilhar o dispositivo apenas com pessoas de confiança. Um seletor normal de perfis organiza usuários de confiança. Não controla o acesso contra outro usuário da mesma conta do sistema operacional.

Se o risco incluir uma pessoa local curiosa ou maliciosa, use contas distintas do sistema operacional, controles do dispositivo ou um limite de execução mais forte. A criptografia do perfil e uma política de desbloqueio podem reduzir a exposição em repouso, mas o desenho, o armazenamento de chaves, o caminho de recuperação e o comportamento no estado desbloqueado continuam a precisar de revisão.

Binário do navegador e caminho de atualização

Vários perfis podem existir sob um diretório de dados do usuário do Chromium. Normalmente dependem do mesmo navegador instalado e do respectivo atualizador. O estado separado dos perfis não cria comportamentos separados de aplicação de correções de segurança.

Este componente compartilhado pode ser desejável, pois é mais fácil atualizar de forma coerente um único navegador mantido. Também significa que uma compilação desatualizada ou comprometida afeta todos os perfis que a utilizam. A atualidade do navegador, a verificação de assinaturas e a segurança da reversão fazem parte da avaliação do isolamento.

Identidade de rede

Criar um perfil novo não altera, por si só, o endereço IP público, o caminho DNS, a rede local nem o proxy a montante. Normalmente, os perfis num dispositivo utilizam o mesmo caminho de rede, salvo se um navegador, extensão, política do sistema operacional ou gerenciador de perfis configurar algo diferente.

Se um fluxo exigir um proxy por perfil, verifique mais do que o endereço configurado. Teste a autenticação, o tratamento de DNS, o comportamento de WebSocket e de outros protocolos, a alternativa após uma falha e o que acontece antes de o proxy estar pronto. Uma conexão que falha de forma aberta pode anular o limite de rede pretendido, mesmo quando a configuração de proxy guardada no perfil está correta.

Características do dispositivo e do ambiente

Um perfil pode ter cookies e configurações diferentes e continuar a expor características do mesmo navegador, sistema operacional, hardware, tela, configuração de idioma e rede. O W3C descreve a impressão digital como uma reidentificação por características observáveis e inclui cabeçalhos de pedidos, endereço IP, tamanho da janela, tipos de letra, dispositivos ligados, desempenho, sensores e apresentação gráfica entre os possíveis elementos nas suas orientações sobre impressão digital.

A separação de perfis pode impedir o reuso de estado. Não torna um dispositivo irreconhecível, não garante uma impressão digital diferente nem garante acesso a um serviço de terceiros.

Arquivos fora do perfil

As transferências saem muitas vezes do armazenamento pertencente ao perfil do navegador e entram numa pasta comum do usuário. A documentação do Chrome sobre eliminação de dados concretiza a distinção: limpar o histórico de transferências não elimina os arquivos transferidos.

Os carregamentos criam o risco inverso. Um seletor de arquivos pode expor o mesmo sistema de arquivos do host a vários perfis. O conteúdo da área de transferência, os dados arrastados, as impressões, as capturas de tela e as notificações do sistema operacional também podem atravessar o limite do perfil, salvo se o produto envolvente ou o sistema operacional os contiver.

Escolha e documente uma política de transferências. As opções incluem uma pasta dedicada por perfil, um diretório de trabalho efêmero, exportação explícita ou um limite de contêiner mais forte. A escolha certa depende de o objetivo ser evitar erros, proteger segredos ou isolar trabalho sem confiança mútua.

Contas na nuvem e sincronização

O estado do navegador separado no disco pode continuar a ser copiado através de um serviço de sincronização ativo. Uma senha, um marcador, uma configuração ou um elemento do histórico pode aparecer em outro local porque o perfil está ligado a uma conta que sincroniza essa categoria. O Chrome, por exemplo, permite a uma pessoa com sessão iniciada escolher que informações do perfil são guardadas numa Conta Google.

Trate a sincronização como outro limite de confiança. Registre o que é carregado, como é criptografado, quem pode autorizar um dispositivo novo, como se propaga a eliminação e se uma restauração pode combinar o estado do perfil errado.

O Isolamento de Sites é um controle de segurança diferente

O Isolamento de Sites do Chromium coloca páginas de sites diferentes em processos de apresentação separados e dentro de uma sandbox nas plataformas suportadas. Isto reduz a possibilidade de um processo comprometido de um site obter dados sensíveis de outro.

Esta proteção funciona dentro de uma sessão do navegador. Não responde à pergunta de saber se dois perfis de trabalho têm raízes de dados separadas, propriedade dedicada do ciclo de vida, proxies distintos, backups independentes ou permissões de equipe diferentes. Inversamente, um produto pode criar diretórios de dados separados e continuar a depender da sandbox normal do navegador para conteúdo web hostil.

Ambos os controles são importantes. Devem ser testados e descritos separadamente.

Perfil persistente, sessão anônima ou perfil descartável?

O modo de navegação anônima do Chrome conserva temporariamente cookies e dados de sites enquanto a sessão privada estiver aberta e deixa de conservar esses dados e o registro dos sites visitados quando a sessão termina. A Google também afirma que o modo de navegação anônima não altera a forma como os sites visitados e os respectivos serviços coletam dados.

Isto torna a navegação anônima útil para uma sessão breve num dispositivo de confiança. É uma alternativa inadequada a um perfil de trabalho duradouro quando são necessárias extensões repetíveis, estado recuperável, um proprietário atribuído ou uma transferência controlada.

Um perfil descartável gerenciado pode combinar uma política de estado efêmero com controles explícitos de inicialização, rede e limpeza. A eliminação continua a precisar de provas. O gerenciador deve verificar que os caminhos e as credenciais pertencentes ao perfil foram removidos, identificando claramente os arquivos ou registros conservados fora do perfil por motivos de auditoria ou jurídicos.

A recuperação faz parte do isolamento

O isolamento pode falhar durante a restauração com a mesma facilidade que durante a inicialização. Copiar um perfil enquanto está em execução pode capturar uma combinação de estado antigo e novo das bases de dados. Restaurar com o identificador errado pode combinar dois fluxos. Abrir dados escritos por uma versão mais recente com uma compilação anterior pode causar problemas de compatibilidade; o Chromium mantém regras explícitas de compatibilidade e reversão dos dados do usuário.

Um desenho de recuperação deve demonstrar que:

1. um backup pertence a uma identidade imutável de perfil;
2. a captura foi efetuada num ponto coerente do ciclo de vida;
3. os segredos permanecem protegidos no arquivo e durante a restauração;
4. a versão do navegador é compatível com o estado restaurado;
5. a restauração nunca se combina implicitamente com um perfil existente; e
6. uma interrupção permite regressar ao último estado válido conhecido.

A cache é normalmente substituível. Os marcadores, os dados locais criados pelo usuário, as credenciais, o estado das extensões e os metadados de auditoria podem não ser. A política de recuperação deve distingui-los.

Um teste prático de isolamento

Considere uma equipe de QA autorizada que testa dois inquilinos do mesmo aplicativo Web. O inquilino A e o inquilino B devem permanecer independentes.

Para cada perfil, a equipe pode registrar uma pequena matriz de testes:

1. Inicie sessão, defina uma preferência, conceda uma permissão ao site e registre qualquer estado de aplicativo sem conexão no perfil A.
2. Abra a mesma origem no perfil B e confirme que o estado autenticado e local de A está ausente.
3. Configure o caminho de rede pretendido para B e verifique os pedidos normais e o comportamento de falha antes de introduzir credenciais.
4. Transfira um arquivo marcador inofensivo de cada perfil e confirme onde aparecem os arquivos e quem os consegue ler.
5. Interrompa uma inicialização, volte a abri-lo e verifique que nenhum estado passou para o outro perfil.
6. Crie um backup de A, restaure-o com um novo identificador de teste e confirme que B permanece inalterado.

Isto testa comportamento observável. Uma captura de tela com duas janelas de cores diferentes não o faz.

Perguntas a fazer antes de depender do isolamento

• Que classes exatas de dados pertencem ao perfil?
• Existem caminhos de estado ou cache fora do diretório principal do perfil?
• Duas inicializações podem escrever no mesmo perfil e como é isso impedido?
• Que processos ou serviços do navegador são compartilhados?
• A política de rede é vinculada antes do primeiro pedido e falha de forma fechada?
• Onde atravessam o limite as transferências, os carregamentos, os dados da área de transferência e as notificações?
• Quem pode desbloquear, exportar, copiar, restaurar ou eliminar um perfil?
• Como são guardadas e recuperadas as chaves de criptografia?
• A sincronização pode combinar estado entre perfis ou dispositivos?
• Que provas existem sobre falhas, atualizações, backups e reversões?

Conclusão orientada para a decisão

Use um perfil normal do navegador quando o principal objetivo for organizar e separar contas num dispositivo controlado por pessoas de confiança. Exija um sistema gerenciado de perfis isolados quando inicializações no perfil errado, escritas simultâneas, erros de rede, falhas de recuperação ou transferências na equipe criarem um risco significativo. Passe para uma conta do sistema operacional, um contêiner ou uma máquina virtual quando a ameaça incluir outro usuário local, código nativo não confiável ou a necessidade de um limite mais forte no sistema host.

A palavra «isolado» é apenas o ponto de partida. O verdadeiro produto é o limite documentado, o respectivo comportamento de falha e as provas de que o limite sobrevive ao uso diário.

Limitações

O comportamento do navegador e do sistema operacional muda com o tempo e varia conforme a plataforma, as políticas, as extensões e a implementação do produto. As categorias acima são um modelo de avaliação, não uma afirmação de que todos os gerenciadores de perfis separam os mesmos dados. Teste a versão exata do navegador, o dispositivo, a rede, as extensões, o fornecedor de identidade e o fluxo de recuperação que pretende usar.