Compreender o SMB3: o protocolo por trás dos backups de rede seguros

Quando liga o Mac a um disco de rede e o Time Machine começa a fazer backup, há um protocolo sofisticado a funcionar nos bastidores para que essa transferência seja rápida, fiável e segura. Esse protocolo é o SMB3 — Server Message Block, versão 3 — e é a base que torna possíveis os backups Time Machine na cloud.

Não precisa de perceber o SMB3 para o usar (o Mac trata de tudo automaticamente), mas saber como funciona ajuda a valorizar a segurança dos seus backups e a tomar decisões mais informadas. Este artigo explica o SMB3 em termos práticos — o que faz, porque a Apple o escolheu e como mantém os seus dados seguros.

O que é o SMB?

SMB (Server Message Block) é um protocolo de partilha de ficheiros em rede. Simplificando, é a linguagem que os computadores usam para partilhar ficheiros pela rede. Quando acede a uma pasta partilhada da rede do escritório, vê ficheiros num NAS (Network Attached Storage) ou se liga a um servidor de ficheiros, é quase certo que o SMB está a fazer o trabalho.

O SMB foi inicialmente desenvolvido pela IBM nos anos 80 e mais tarde alargado de forma significativa pela Microsoft. Apesar das raízes no mundo Windows, o SMB tornou-se um padrão multi-plataforma. macOS, Linux e praticamente todos os dispositivos de armazenamento em rede suportam-no.

Breve história

• SMB1 (1983–2006) — a versão original. Funcional, mas lenta e com vulnerabilidades graves. A Apple e a Microsoft deixaram de a suportar pelos riscos de segurança.
• SMB2 (2006) — reescrita importante: melhor desempenho, menos chamadas, melhor tratamento de erros. Introduzida no Windows Vista.
• SMB3 (2012) — adicionou encriptação, melhor desempenho em redes alargadas e funcionalidades essenciais para armazenamento na cloud. É a versão usada pelo macOS moderno para backups de rede.
• SMB 3.1.1 (2015) — revisão mais recente, com verificação de integridade pré-autenticação e negociação segura obrigatória. Suportada pelo macOS Catalina e posteriores.

Porque é que a Apple usa SMB3 para os backups de rede do Time Machine

A história da Apple com partilha de ficheiros em rede é interessante. Durante anos, o macOS usou o protocolo próprio AFP (Apple Filing Protocol) para partilha e backups Time Machine em rede. A já descontinuada Time Capsule usava AFP em exclusivo.

A partir do macOS Big Sur, a Apple começou a migrar os backups Time Machine de AFP para SMB3. No macOS Monterey, o SMB3 tornou-se o protocolo preferido para destinos de rede do Time Machine. Várias razões para a mudança:

1. Encriptação integrada

O SMB3 inclui encriptação de transporte nativa com AES-128-CCM ou AES-128-GCM. Todos os dados entre o Mac e o servidor de backup são encriptados ao nível do protocolo — uma VPN ou camada de encriptação adicional não é estritamente necessária (embora adicione defesa em profundidade).

O AFP também suportava encriptação, mas a implementação no SMB3 é mais moderna, mais testada e mais escrutinada pela comunidade de segurança.

2. Melhor desempenho na internet

O SMB3 foi pensado para desempenho em redes alargadas. Inclui funcionalidades como:

• Suporte a multichannel — usar várias ligações de rede em simultâneo para mais débito
• Suporte a MTUs grandes — pacotes maiores significam menos voltas e mais eficiência
• Directory leasing — cache de listagens de pastas para reduzir tráfego desnecessário
• Compounding melhorado — agrupar várias operações num único pedido

Estas funcionalidades são particularmente importantes para o backup na cloud, em que o caminho entre o Mac e o servidor atravessa várias redes e tem latência mais elevada do que uma ligação local.

3. Padrão da indústria

Ao adoptar o SMB3, a Apple alinhou-se com um padrão amplamente suportado. Isto significa que o Time Machine funciona com qualquer servidor compatível com SMB3 — não apenas com hardware Apple. Abre caminho a serviços como o Capsule Backup para oferecerem destinos Time Machine na cloud sem servidores proprietários.

4. Ligações resilientes

O SMB3 introduziu failover transparente e handles persistentes. Se a ligação à rede for temporariamente interrompida (o Wi-Fi falha momentaneamente, o ISP tem um soluço), o SMB3 consegue retomar a sessão sem começar de novo. É crítico para backups que transferem grandes volumes de dados por ligações potencialmente instáveis.

Como funciona a encriptação no SMB3

Entender a encriptação no SMB3 implica olhar para duas fases: autenticação e transferência de dados.

Autenticação

Quando o Mac se liga a um servidor SMB3, tem primeiro de provar a identidade. O SMB3 suporta vários métodos:

• NTLMv2 — protocolo de autenticação desafio-resposta em que a palavra-passe nunca é enviada pela rede
• Kerberos — sistema de autenticação baseado em tickets, comum em ambientes empresariais

Em ambos os casos, a palavra-passe nunca é transmitida em texto. A autenticação usa desafios e respostas criptográficas que provam o conhecimento da palavra-passe sem a revelar.

Encriptação no transporte

Após a autenticação, o SMB3 encripta todos os dados em trânsito com AES-128-CCM ou AES-128-GCM (com SMB 3.1.1 a suportar também AES-256-CCM e AES-256-GCM). Significa que:

• Cada ficheiro transferido entre o Mac e o servidor é encriptado
• Cada comando (criar, apagar, ler directório) é encriptado
• Nomes de ficheiros, metadados e estruturas de pastas estão encriptados em trânsito
• Quem intercepte o tráfego só vê dados encriptados

Esta é a encriptação ao nível do transporte — protege os dados enquanto atravessam a rede. É comparável ao HTTPS para a web. Ninguém entre o Mac e o servidor consegue ler ou alterar os dados.

A distinção: transporte vs. encriptação em repouso

A encriptação SMB3 protege dados em trânsito. Para dados em repouso (guardados no servidor de backup) é precisa outra camada: a encriptação do Time Machine.

Quando activa a encriptação do Time Machine (algo que recomendamos vivamente para backups na cloud), o Time Machine encripta toda a imagem de backup com AES-XTS-128 antes de a enviar para o servidor. Os dados ficam encriptados no disco do servidor — nem o administrador do servidor consegue ler os ficheiros sem a sua palavra-passe de encriptação do Time Machine.

Com ambas as camadas activas, os seus dados estão:

• Encriptados no Mac (encriptação do Time Machine)
• Encriptados em trânsito (encriptação do SMB3)
• Encriptados no servidor (Time Machine em repouso)

Para mais opções de segurança, incluindo VPN e whitelist de IP, veja a nossa página de segurança.

SMB3 vs. outros protocolos para backup

SMB3 vs. AFP (Apple Filing Protocol)

O AFP era o protocolo proprietário da Apple para partilha de ficheiros, usado pela Time Capsule e pelo macOS Server. Funcionou bem dentro do ecossistema Apple, mas tinha limitações:

• Proprietário — poucas implementações no servidor
• Menos escrutínio de segurança pela comunidade do que o SMB3
• A Apple descontinuou oficialmente o AFP em favor do SMB
• Já não tem desenvolvimento activo

O SMB3 é o sucessor natural, e a transição da Apple é positiva para compatibilidade e segurança.

SMB3 vs. SFTP/SCP

O SFTP e o SCP são protocolos seguros de transferência de ficheiros, muito usados em administração de servidores. Têm encriptação forte, mas são protocolos de transferência, não de partilha. A diferença importa:

• SFTP/SCP transferem ficheiros — o SMB3 apresenta um sistema de ficheiros
• O Time Machine precisa de um sistema de ficheiros montado (um disco que aparece no Finder)
• O SMB3 suporta padrões de acesso aleatório usados nos backups incrementais do Time Machine
• O SMB3 trata de bloqueios de ficheiros, essenciais para integridade do backup

SMB3 vs. WebDAV

O WebDAV é um protocolo de partilha sobre HTTP. Funciona pela internet e suporta HTTPS, mas é claramente mais lento que o SMB3 para backups, por causa do overhead do HTTP e da falta de funcionalidades como compounding e multichannel.

SMB3 vs. NFS

O NFS (Network File System) é muito usado em ambientes Linux/Unix. O NFS4 suporta encriptação via Kerberos, mas o Time Machine no macOS não o suporta nativamente. O SMB3 é o protocolo escolhido pela Apple para os backups de rede, tornando-o a única escolha prática para backup Mac na cloud.

SMB3 na prática: como funciona o seu backup na cloud

O que realmente acontece quando o Mac faz backup para um servidor SMB3 na cloud como o Capsule Backup:

1. Estabelecimento da ligação: o Mac inicia uma ligação SMB3 ao servidor. Negoceia-se a versão do protocolo (escolhe-se a mais alta comum).
2. Autenticação: as credenciais são verificadas com NTLMv2 desafio-resposta. A palavra-passe nunca atravessa a rede.
3. Activação da encriptação: liga-se a encriptação de transporte do SMB3. Todo o resto é encriptado.
4. Montagem do volume: o volume de backup aparece no Finder como disco montado. O macOS trata-o como local.
5. Operação do Time Machine: o Time Machine procura alterações desde o último backup e escreve apenas o que mudou. A camada de encriptação do Time Machine encripta os dados antes de chegarem ao SMB3.
6. Conclusão: o Time Machine guarda a marca temporal e fica em repouso até ao próximo ciclo horário.

Todo o processo é transparente. Não vê comandos SMB3, apertos de mão de encriptação ou negociações de protocolo. Vê um disco no Finder e a marca "Último backup" na barra de menus.

Considerações de desempenho

O SMB3 foi pensado para desempenho, mas a velocidade do backup pela internet é, em última instância, limitada pela sua ligação. Factores que afectam o desempenho de um backup na cloud:

A velocidade de envio

É quase sempre o gargalo. Os servidores do Capsule Backup estão ligados por fibra de 1 Gbps sem limites de largura de banda, por isso o lado do servidor raramente é o problema. A velocidade de envio do seu ISP determina a rapidez com que os dados saem do Mac.

A latência

Graças ao compounding e pipelining, o SMB3 é menos sensível à latência do que versões anteriores. Latências muito altas (>200 ms) afectam o desempenho. Escolher uma região de dados próxima de si (Alemanha, Finlândia ou EUA) minimiza-a.

A distribuição dos ficheiros

Fazer backup de muitos ficheiros pequenos é mais lento por megabyte do que poucos grandes, porque cada ficheiro exige operações de protocolo. O Time Machine atenua isso usando imagens sparse bundle que agrupam pequenas alterações.

O custo da encriptação

O overhead combinado da encriptação do Time Machine e do SMB3 é mínimo no hardware moderno do Mac. Os chips Apple Silicon têm aceleração AES por hardware, o que torna a encriptação praticamente gratuita do ponto de vista de desempenho.

Boas práticas de segurança em backups SMB3

O SMB3 oferece forte segurança por defeito, mas há passos adicionais que aumentam a protecção:

1. Active sempre a encriptação do Time Machine — protege os dados em repouso no servidor
2. Use uma palavra-passe forte tanto para a conta de backup como para a encriptação do Time Machine
3. Considere VPN — o Capsule Backup inclui suporte para WireGuard e OpenVPN como camada extra
4. Active a whitelist de IP — restringe o acesso ao volume de backup a IPs específicos
5. Guarde as credenciais com segurança — guarde as palavras-passe SMB e do Time Machine num gestor de palavras-passe, não apenas no porta-chaves do Mac (que se perde se o Mac avariar)

O essencial a reter

O SMB3 é a base técnica que torna o backup Time Machine na cloud prático, seguro e fluido. A encriptação integrada, as ligações resilientes e o alto desempenho em redes alargadas permitem que o Mac faça backup para um servidor a milhares de quilómetros com a mesma facilidade e segurança que num disco local.

Não precisa de pensar no SMB3 mais do que pensa no HTTPS quando navega. Ele simplesmente funciona — encripta dados, mantém a ligação e garante que o backup chega em segurança. E essa fiabilidade é exactamente o que se quer do protocolo que protege os seus dados mais importantes.

Para instruções passo a passo, visite o nosso guia de configuração. Para mais sobre como o Capsule Backup usa SMB3, consulte a página de funcionalidades.