Segurança de Aplicações Web
Problemas
Fotocopiadoras, Faxes e afins… um potencial problema de Segurança
May 5th
Tive recentemente conhecimento através da ML da comunidade de segurança de informação portuguesa, através de um email do Ralf Braga, de uma reportagem da CBS que dava conta de uma funcionalidade que a maior parte das máquinas fotocopiadoras, faxes e multifunções mais modernas (especialmente aquelas que foram fabricadas depois de 2000) que constitui um grave problema de segurança.
Aparentemente todos estas máquinas vêm equipadas com um disco rígido que armazena grande parte das cópias, faxes e emails enviados pelas máquinas ao longo do seu tempo de vida útil. Até aqui tudo bem, trata-se de um mecanismo que permite facilitar a operação das mesmas.
O verdadeiro problema começa quando estas máquinas ficam obsoletas, e são depois vendidas para outros mercados (usados, por exemplo) em que ao novo comprador é oferecida a possibilidade de visualizar a informação do antigo dono (e de terceiros) que ainda está contida nos discos rígidos das mesmas. Este problema só não é mais grave porque a maior parte dos novos donos também não sabe desta característica das mesmas e como tal não a sabe explorar.
Enfim, fica o alerta feito. É preciso ter a certeza que o disco rígido destas máquinas está absolutamente limpo antes de se desfazerem das mesmas.
A reportagem da CBS é impressionante e mostra três exemplos em que foi possível aceder a informação pessoal de muitas pessoas (alguma desta informação muito crítica) usando esta “funcionalidade”.
25 pecados mortais da programação
Feb 22nd
O título deste post é talvez exagerado em demasia… ou talvez não.
Os programadores (não são os únicos, claro) têm hoje em dia uma quota parte de responsabilidade na segurança de uma aplicação. O código que desejam e escrevem, contribui de forma decisiva para a (in)segurança de uma aplicação ou de um sistema.
A SANS Institute e a MITRE, à semelhança do que acontece com a OWASP com o seu Top 10, lançou igualmente um relatório anual em que lista as principais vulnerabilidades de segurança originados por problemas de programação. Desta lista fazem parte 25 dos principais e mais perigosos erros de programação.
Caros programadores, olhem para o vosso código e garantam que não cometem (ou cometeram) um destes 25 erros.
A Privacidade e a Segurança nas Redes Sociais
Feb 6th
Depois de uma época em que a World Wide Web em que os utilizadores da mesma eram simples consumidores da informação que era disponibilizada on-line, e em que este canal de comunicação era na sua essência unidireccional, assistimos hoje a uma nova realidade.
Os utilizadores deixaram de ser passivos e passaram eles próprios a produzirem os seus próprios conteúdos e a disponibilizá-los on-line. Os utilizadores criam comunidades virtuais de interesse entre si, para partilharem gostos, preferências, fazerem amigos, partilharem músicas e fotos de uma forma perfeitamente transparente. Florescem grande comunidades e serviços de partilha, que vulgarmente se designam por redes sociais.
Estas redes sociais apresentam um enorme potencial de crescimento, não apenas do ponto de vista individual assim como oportunidades para implementar inovadores modelos de negócio que podem ser explorados por empresas e empreendedores. Estas redes sociais são reconhecidamente importantes quer pelo seu aspecto lúdico, assim como numa vertente mais profissional de desenvolvimento de redes de contactos/networking, quer na possibilidade oferecida como canal de marketing. Do ponto de vista empresarial estas redes sociais podem determinar ou ajudar a determinar o potencial de negócio de um determinado produto ou serviço.
No entanto, e apesar de todo o potencial apresentado, estas redes sociais são igualmente uma séria ameaça.
Não querendo pintar um cenário demasiado negro, mas tentando ser realista, as redes sociais, em particular aquelas de maior dimensão e que maior representatividade apresentam, são alvo de ataques visando explorar a principal vulnerabilidade destas mesmas redes: os seus utilizadores.
Não posso deixar de confessar que sou um utilizador de redes sociais. Para além de ter conta de em redes sociais como o LinkedIn, Plaxo, Twitter, Facebook, Tumblr e outras, sou igualmente um blogger acérrimo, criando conteúdo para múltiplos sites. Apesar de tudo, tenho a perfeita consciência do grau de exposição que esta situação causa, em particular a exposição a múltiplas ameaças e riscos.
Uma das principais ameaças à segurança e privacidade dos utilizadores, é proveniente do tipo de conteúdos e de informação que os utilizadores partilham nas redes sociais. Um pequeno exemplo: uma foto divertida hoje partilhada no Facebook, pode tornar uma foto comprometedora no futuro. Existe alguma falta de percepção por parte dos utilizadores sobre o impacto que a partilha destes conteúdos e outros pode provocar. Os conteúdos partilhados hoje numa rede social, vão ser distribuídos e partilhados por inúmeros utilizadores e vão persistir na rede social, mesmo que a conta do utilizador seja removida da rede. Não há retorno.
Igualmente, numa perspectiva empresarial e profissional, estas redes sociais podem ser uma ameaça. Hoje em dia, as empresas recorrem frequentemente às redes sociais como uma forma complementar de verificar o perfil dos candidatos a postos de trabalho. Adicionalmente, existe o sério perigo de quebra de confidencialidade pelo facto dos colaboradores de uma organização ao divulgarem informação interna das suas organizações.
Num estudo recente realizado pela Sophos, no qual estiveram envolvidas cerca de 500 empresas em que responderam a um inquérito, cerca de 60% consideraram que o Facebook apresenta-se como um dos principais ameaças à segurança e privacidade da informação das suas organizações (Facebook 60%, Myspace 18%, Twitter 17% e Linkedin 4%).
O Facebook tem vindo a crescer exponencialmente nos últimos tempos passando a ser a maior das redes sociais (com cerca de 400 milhões de utilizadores em 6 anos de existência). A sua dimensão torna-a o alvo preferencial para ameaças de diversos tipos.
Do ponto de vista da privacidade, o Facebook é extremamente agressivo na violação “consentida” dessa mesma privacidade. A mudança da politica de privacidade do Facebook mudou no ano passado, passando a apresentar valores de partilha com o toda a rede social, de informação pessoal. Ou seja, por defeito, se nada for feito por parte do utilizador, todos os seus dados e conteúdos são partilhados com toda a rede, para sempre.
A isto alia-se o facto de que os utilizadores das redes sociais (extrapolando para a própria utilização da Internet e da WWW) terem muito pouca consciência das implicações da divulgação da sua informação pessoal e privada em redes pessoais. O mesmo estudo realizado pela Sophos, chegou a conclusões assustadoras sobre o comportamento dos utilizadores no Facebook, em relação aos dados que revelam. Assim, conclui-se que:
- 46% dos utilizadores do FB aceitam pedidos de amizade de estranhos;
- 89% dos utilizadores da faixa etária dos 20 divulgam a sua data de aniversário;
- quase 100% dos utilizadores divulgam o seu endereço de email;
- entre 30-40% dos utilizadores listam dados sobre a sua família e amigos.
O facto dos utilizadores estarem tão disponíveis para partilhar tanta da sua própria informação pessoal no Facebook, faz com que o risco de ocorrência de ataques de roubo de identidade ou de engenharia social aumentem consideravelmente. Um exemplo muito curioso e recentemente relatado na comunicação social dizia respeito a uma história que contava como a esposa do director do MI6 do Reino Unido, tinha colocou no seu perfil no Facebook detalhes sobre a sua morada e sobre os seus amigos, colocando a própria segurança nacional em risco [8].
Figura 1. Solicitação de amizade por parte de utilizadores que não conhecemos de lado nenhum
Recomenda-se a utilização das redes sociais de uma forma racional, e acima de tudo perceber quais os dados a partilhar e que tipos de conteúdos disponibilizar e para quem. Um conjunto simples de indicações pode melhorar em muito a privacidade dos utilizadores e reduzir o risco de exposição ao algumas das possíveis ameaças. Estas indicações [3][4] podem ser resumidas no seguinte:
- Usar correctamente as listas de amigos;
- Remover-se dos resultados de pesquisa do Facebook;
- Evitar o tagging em fotos e vídeos (o que pode ser embaraçoso);
- Proteger os seus álbuns de fotografias;
- Evitar que as histórias apareçam no feed de news dos seus amigos;
- Proteger-se contra histórias publicadas por outras aplicações;
- Tornar a sua informação de contacto privada;
- Evitar Wall posts que possam ser embaraçosos;
- Tornar as suas relações privadas;
No entanto as ameaças não estão resumidas à privacidade dos utilizadores. As ameaças que populam as redes sociais, em particular as de maior dimensões, são cada vez mais perigosas. Uma das ameaças mais recentes no Facebook é uma aplicação misteriosa que está a afectar os utilizadores [7]. Os utilizadores estão a ser solicitados por outros utilizadores a instalarem uma aplicação chamada “Unnamed App”. A Sophos já identificou esta ameaça como sendo Mal/FakeVirPk-A.
Figura 2. Alguns dos utilizadores mais activos no Facebook são muitas vezes confrontados com aplicações estranhas que podem ter comportamentos completamente diferentes do esperado
Figura 3. Inclusive podem enviar “chat requests“ com links para sites que podem conter software malicioso
Figura 4. Notificações dessas mesmas aplicações que não são mais do que pedidos “encapuçados” para levar o utilizador para outros sites na Internet
Figura 5. Alguns desses pedidos servem para bombardear os utilizadores com publicidade não solicitada
No passado ano de 2009 foram duas as principais ameaças que afectaram as principais redes sociais e que estiveram na origem de inúmeros problemas. Uma destas ameaças deu pelo nome de Koobface (um anagrama da palavra Facebook), e que é um worm que ataca directamente os utilizadores de redes sociais como o Facebook, MySpace, hi5, Bebo, Friendster, e Twitter. O Koobface tenta, após infectar o sistema do utilizador, vai tentar obter informação diversa do utilizador, tal como números de cartão de crédito.
O Koobface espalha-se através do envio de mensagens do Facebook a pessoas que são “amigas” de um utilizador Facebook que tenha sido previamente infectado. Depois de recebida, a mensagem direcciona o receptora para um site de Web, em que os utilizadores são levados a pensar na existência de uma actualização de uma versão recente do software Flash. Se descarregarem e instalarem este ficheiro, os utilizadores ficam igualmente infectados com o Koobface, passando a estar sob o controlo do mesmo e passando a infectar mais utilizadores. Um sistema infectado com o Koobface possui instalado os seguintes componentes [9]:
- Componente que permite descarregar mais software Koobface da Internet sem o utilizador se aperceber;
- Componente de propagação para outras redes sociais;
- Componente servidor Web;
- Componente de instalação de um antivírus falso;
- Componente que quebra CAPTCHA;
- Componente para roubar informação;
- Componente modificador de informação de DNS;
- E outros.
O Koobface é um worm tão sofisticado que é capaz de, entre outras coisas:
- Registar uma conta no Facebook;
- Activar essa mesma conta através da confirmação do email enviado para uma conta do Gmail;
- Fazer-se amigo de várias pessoas na rede social;
- Juntar-se a múltiplos grupos no Facebook;
- E colocar posts na Wall de “amigos” com mensagens com links para sites ou para vídeos que são fontes de distribuição de malware;
- Inteligente ao ponto de não adicionar muitos amigos por dia, para não chamar as atenções para si próprio.
A segunda grande ameaça identificada nas redes sociais foi o worm “stalkdaily” criado por um jovem de 17 anos chamado Mikeyy Mooney. Este worm lançou o pânico no Twitter, enviando mensagens aos utilizadores para visitarem site stalkdaily.com que infectava o perfil do visitante que tivesse uma conta de Twitter associada.
As redes sociais (principalmente o Facebook e o Twitter) tornaram-se assim meios preferenciais para lançar diversos tipo de ataques: phishing, malware, roubo de dados e de identidade, stalking, entre outros. Estes atacam não apenas a ingenuidade dos utilizadores, mas igualmente a própria infra-estrutura onde assentam estas redes sociais, em que as mesmas não são completamente imunes a problemas de segurança, e são susceptíveis a algumas das vulnerabilidades apontadas por organizações como a OWASP (através do OWASP Top 10) e como tal podem ser explorados por atacantes determinados. Aplicações como o Facebook (ou as micro-aplicações dentro do próprio Facebook) são reconhecidamente vulneráveis a alguns tipos de vulnerabilidades, como Cross Side Scripting (XSS) e Cross Site Request Forgery (CSRF).
Mas as ameaças à privacidade dos utilizadores na Internet. O próprio gigante Google está hoje a tornar-se uma séria ameaça à privacidade dos utilizadores. A quantidade de serviços que o Google oferece aos utilizadores (motor de busca, Youtube, Adesense, Adwords, Blogger, DNS, URL shortner, e muitos outros) viram tornar a Google numa empresa com características muito especiais. Nunca antes na história, tanta informação (muita dela pessoal) esteve nas mãos de uma única entidade privada. Quais os perigos que isto pode representar em termos de privacidade para os muitos milhões de utilizadores que usam os serviços/produtos da Google? Fala-se muito do monopólio da Microsoft, mas o verdadeiro monopolista da informação é o Google.
Foi referido que o recente ataque levado a cabo por hackers chineses ao Google (Gmail) assim como a outras empresas norte-americanas e europeias, só ter sido possível porque a Google colocou um backdoor no Gmail para poder ser acedido pelo Governo norte-americano (foi por aí que os atacantes conseguiram entrar)[1][2]. Este backdoor, a confirmar-se, diz muito sobre as intenções da Google, e sobre a forma como a nossa informação é processada pela empresa.
No caso das redes sociais, aqui ficam algumas recomendações sobre privacidade/segurança em redes sociais. Nem todas se aplicam em todos os casos, mas aqui ficam alguns desses mesmos conselhos:
- Se usar um sistema operativo Windows, deve usar um antivírus, que consiga detectar ameaças na Web e que funcione igualmente como firewall e anti-spyware;
- Cuidado com a informação que partilha e com quem assim como com os conteúdos que coloca nas redes sociais
- Reveja as politicas de partilhas e âmbito das mesmas no Facebook;
- Nunca revelar informação pessoal (detalhes de morada, etc.) ou de negócio através de redes sociais;
- Cuidado com fotos e outros conteúdos que se colocam nas redes sociais – o que é giro hoje pode ser comprometedor no futuro;
- Desconfiar sempre dos links e outras mensagens que sejam partilhados por “amigos” conhecidos e desconhecidos;
- Isto é particularmente difícil, pois os serviços de redução das URL escondem os detalhes da URL original.
- Não instalar discriminadamente aplicações no Facebook, sem saber do que se trata primeiro. Nunca, mas mesmo nunca instalar aplicações desconhecidas!
- Em resumo: usar as redes sociais **SIM**, mas com **RESPONSABILIDADE**!
[1] Alvy/Microsiervos, “China vs. Google: los atacantes aprovecharon una “puerta trasera” en GMail pensada para el gobierno americano”, lainformacion.com, 25 Janeiro 2010, http://noticias.lainformacion.com/arte-cultura-y-espectaculos/internet/china-vs-google-los-atacantes-aprovecharon-una-puerta-trasera-en-gmail-pensada-para-el-gobierno-americano_xYmT4AxRsa69E4HY9LmKr/
[2] Bruce Schneier, “U.S. enables Chinese hacking of Google”, CNN, 23 Janeiro 2010, http://edition.cnn.com/2010/OPINION/01/23/schneier.google.hacking/index.html
[3] Nick O’Neill, “10 Privacy Settings Every Facebook User Should Know”, Fevereiro 2009, http://www.allfacebook.com/2009/02/facebook-privacy/
[4] SARAH PEREZ, “The 3 Facebook Settings Every User Should Check Now”, The New York Times, Janeiro 2010, http://www.nytimes.com/external/readwriteweb/2010/01/20/20readwriteweb-the-3-facebook-settings-every-user-should-c-29287.html?em
[5] Kevin Bankston, “Facebook’s New Privacy Changes: The Good, The Bad, and The Ugly”, EFF, Dezembro 2009, http://www.eff.org/deeplinks/2009/12/facebooks-new-privacy-changes-good-bad-and-ugly
[6] Marshall Kirkpatrick, “Privacy, Facebook and the Future of the Internet”, Read Write Web, Janeiro 2010, http://www.readwriteweb.com/archives/privacy_facebook_and_the_future_of_the_internet.php
[7] David Neal, “Mystery app plagues Facebook users”, Yahoo! News, Janeiro 2010, http://uk.news.yahoo.com/16/20100128/ttc-mystery-app-plagues-facebook-users-6315470.html
[8] Michael Evans, “Wife of Sir John Sawers, the future head of MI6, in Facebook security alert”, Times Online, July 2009, http://technology.timesonline.co.uk/tol/news/tech_and_web/article6644199.ece
[9] Jonell Baltazar, Joey Costoya, and Ryan Flores, “The Real Face of KOOBFACE: The Largest Web 2.0 Botnet Explained”, Trend Micro Threat Research, 2009, http://us.trendmicro.com/imperia/md/content/us/trendwatch/researchandanalysis/the_real_face_of_koobface_jul2009.pdf
[10] Lidija Davis, “StalkDaily: A New Twitter Virus on the Loose?”, ReadWriteWeb, 2009, http://www.readwriteweb.com/archives/stalkdaily_a_new_twitter_virus_on_the_loose.php
[11] Sophos, “Security Threat Report:2010”, Sophos, 2010, http://www.sophos.com/sophos/docs/eng/papers/sophos-security-threat-report-jan-2010-wpna.pdf
Dia Europeu da Protecção de Dados
Jan 28th
Hoje não é só o dia em que o Mundo vai começar discutir as vantagens e desvantagens do iPad da Apple… é igualmente o Dia Europeu da Protecção de Dados (ou Dia Europeu da Privacidade dos Dados).
Numa altura em que as redes sociais enchem a Web, e em que milhões e milhões de utilizadores partilham a sua informação pessoal, as suas actividades diárias, as suas fotografias e vídeos, os seus próprios gostos e preferências pessoais, convém para um pouco e pensar: quem e o quê estará a visualizar e a utilizar toda esta informação que está a ser disponibilizada. E acima de tudo para quê?
Redes como o MySpace, o Hi5, Youtube, Twitter, Flickr, Facebook, Tumblr, e tantas outras será oferecem mecanismos de protecção e de privacidade para os seus muitos milhões de utilizadores. O Google, o maior monopolista mundial de informação, quais as preocupações de privacidade que na verdade implementa?
Qual o impacto que a impessoalidade imposta pelas TIC tem nas pessoas e no facto de que existe pouca consciência do que se passa do “outro lado do computador”.
“A privacidade é um direito humano – desfrute do mesmo com cuidado”.
Data Privacy Day is an international celebration of the dignity of the individual expressed through personal information. In this networked world, in which we are thoroughly digitized, with our identities, locations, actions, purchases, associations, movements, and histories stored as so many bits and bytes, we have to ask – who is collecting all of this – what are they doing with it – with whom are they sharing it? Most of all, individuals are asking ‘How can I protect my information from being misused?’ These are reasonable questions to ask – we should all want to know the answers.
Deixo-vos aqui alguns links com mais informação sobre o evento:
- EDPS statement and activities on the occasion of Data Protection Day (28 January 2010)
- European Data Protection Supervisor
- Data Protection Day site
- Resources Site for Data Privacy Day 2010
- Tips for protecting personal privacy online
10 principais técnicas de hacking da Web
Jan 22nd
Jeremiah Grossman é o fundador e o CTO da WhiteHat Security, uma empresa responsável por fazer avaliações de risco em sites web e na identificação e correcção de vulnerabilidades nos mesmos. No seu blog, Jeremiah apresentou recentemente dois posts (aqui e aqui) que resumem claramente a actividade em termos de segurança de informação das passadas duas semanas.
Para além desses dois excelentes resumos, o que me despertou mais a atenção no blog do Jeremiah foi a sua listagem que descreve as 10 principais técnicas de hacking da Web – através de apresentações ou de artigos. Tomei a liberdade de reproduzir essa mesma listagem aqui, em português:
- Criação de certificado forjado de CA: uma vulnerabilidade encontrada na actual infra-estrutura de PKI que permite forjar um certificado de uma CA, e com isso gerar certificados digitais forjados para uma série de sites, com o intuito de emitar outros legítimos. Este ataque/vulnerabilidade baseia-se numa fraqueza encontrada na função de hash MD5;
- Poluição de parâmetros HTTP (HPP): este tipo de ataques ocorrem com a possibilidade de ultrapassar ou injectar parâmetros HTTPS POST/GET através da injecção de delimitadores de cadeias de caracteres. Esta vulnerabilidade pode ser usada para ataques do lado do cliente ou do servidor;
- Vulnerabilidade da API do Flickr que permite forjar assinaturas (ataque à extensão MD5): uma vulnerabilidade encontrada na API do Flickr com a chave que permite gerar as assinaturas necessárias para a autenticação das aplicações externas que usam a API do Flickr. Esta vulnerabilidade permite que um utilizador possa gerar assinaturas válidas sem conhecer a parte secreta de uma chave;
- Pesquisa intra-domínios temporizada: um ataque de timing (de temporização) é um ataque em que um atacante tenta comprometer um sistema analisando o tempo que demorar uma determinada operação a ser realizada;
- DoS HTTP Slowloris: o Slowloris é um ataque de DoS HTTP que se aproveita do facto de que é possível manter uma sessão HTTP aberta indefinidamente e de se poder repetir esse mesmo processo por diversas vezes;
- Vulnerabilidade 0-day no parsing de ficheiros do IIS: esta vulnerabilidade surge(ia) pelo facto do ISS executar código ignorando a interpretação de um ‘;’. Por exemplo o script “malicioso.asp;.jpg” seria executado (o ASP) uma vez que o IIS ignorava o ‘;’ e considerava o ficheiro como sendo uma imagem JPEG;
- Explotar XSS inexplorado: mais um conjunto métodos para explorar vulnerabilidades do tipo XSS;
- Os filtros XSS favoritos e como atacá-los
- Problemas de segurança na cache RFC1918: explorar os mecanismos de mapeamento de cache desse mapeamento na Internet, em especial nos endereços IP não-públicos que são passíveis de “routear”;
- Rebinding to DNS: este tipo está divido em três partes distintas, cookies persistentes, scraping e spamming e fixação de sessões.
Como escolhe as passwords que usa?
Jan 21st
Escolher uma boa password é meio caminho andado para ter um sistema mais seguro. Num relatório realizado pela Imperva, que realizou um estudo a 32 milhões de passwords que haviam sido expostas no site RockYou.com.
É interessante notar neste estudo, a forma descuidada como os utilizadores escolhem as suas passwords, sendo a maior parte delas um alvo demasiado fácil para atacantes. Aqui fica uma lista das passwords mais escolhidas:
- 123456
- 12345
- 123456789
- Password
- iloveyou
- princess
- rockyou
- 1234567
- 12345678
- abc123
Enfim… o curioso é que número de utilizadores que escolheu a password “123456″ é impressionante – quase 300000 utilizadores tinham esta password!!!
Assim, não há segurança que resista!!!
Clickjacking em grandes aplicações Web
Jan 20th
De acordo com este especialista em Segurança da Informação israelita, Narkolayev Shlomi, o mesmo encontrou em algumas das principais aplicações Web que são usadas por milhões de utilizadores, vulnerabilidades do tipo Clickjacking.
O Clickjacking é uma técnica maliciosa que permite os utilizadores de aplicações Web a revelarem informação confidencial ou que permitem controlar o seu computador, quando os mesmos carregam em páginas web aparentemente inofensivas. Esta é uma vulnerabilidade que pode ser encontrada em multiplas plataformas e browsers, e assume a forma de código embebido ou scripts que podem ser executados sem a permissão e conhecimento dos utilizadores quando o utilizador carrega num botão da página que aparenta desempenhar outra função.
De acordo com este especialista israelita, o mesmo pode escrever uma aplicação maliciosa, que pode explorar este tipo de vulnerabilidade em grandes aplicações Web, como por exemplo o Facebook.
Aqui fica um vídeo que demonstra esta vulnerabilidade.
Descoberto worm para o iPhone?!?
Nov 9th
Acho uma certa piada quando títulos como estes aparecem na comunicação social com o único objectivo de criarem FUD. Quando alguém lê uma coisa destas fica logo a imaginar que se trata de um problema de segurança do iPhone, que o mesmo é vulnerável, que existe uma ameaça real que se propaga de um lado para o outro, enfim…
Mas é melhor analisar os factos… e os factos são os seguintes:
- este problema apenas afecta iPhones que tenham sido jailbreak;
- mesmo no caso dos iPhones jailbreak, afecta apenas aqueles que tenham o OpenSSH instalado;
- finalmente, apenas afecta os iPhones que tenham o OpenSSH instalado, e cujos os utilizadores não tenham alterado a password que está configurada por defeito, e que como tal é de conhecimento público.
Meus caros amigos, isto é a mesma coisa que eu convidar um ladrão a vir a minha casa e dar-lhe a chave da porta principal. Não é um worm, que faz um bypass dos controlos de segurança implementados no iPhone. Não é um worm que explora alguma vulnerabilidade do sistema operativo no iPhone.
Importa que alguns jornalistas menos esclarecidos tenham o cuidado de reportar estas situações de uma forma correcta e completa (não que eu queira intrometer-me na sua actividade).
Para os utilizadores que tenham feito jailbreak ao seu iPhone, e que tenham o OpenSSH instalado é importantíssimo que alterem a password dos utilizadores “root” e “mobile”. A password configurada por defeito é “alpine” e por isso é importante alterá-la na primeira vez que o OpenSSH é usado. Para isso basta usar o comando “passwd” depois de entrar em sessão da primeira vez.
Com esta simples operação, o problema fica resolvido.
PGP cracking, vulnerabilidade Linux, estatísticas, Gumblar e mais algumas coisas
Nov 4th
Como não tem havido muito tempo para escrever muitas coisas, aqui fica um pequeno apanhado de algumas das notícias relacionadas com segurança de informação nos dias que passaram.
Usar cloud computing para quebrar o PGP
O Cloud Computing tem vindo a permitir alguns projectos interessantes, que não teriam sido tentados anteriormente sem o barato, flexível, disponível e simples acesso que permite liberar o poder de computação que “nuvem” proporciona.
Uns tipos resolveram aproveitar o poder computacional proporcionado pela cloud (Amazon EC2) e resolveram montar um projecto para quebrar as palavras-passe PGP dos ficheiros ZIP. Para isso usaram parte do software da Elcomsoft Distributed Password Recovery. O software a correr num computador dual core com Windows 7 iria demorar cerca de 2100 dias para quebrar as palavras-passe num ataque de força bruta. O objectivo é reduzir este número para um valor bastante mais aceitável…
Interessante.
Vulnerabilidade no Kernel Linux
Foi descoberta uma vulnerabilidade no kernel Linux que afecta a maioria das versões do Linux e que pode permitir que utilizadores não confiáveis possam conseguir o controlo completo sobre o sistema operativo open-source.
Esta vulnerabilidade foi apenas corrigida na próxima release candidate 2.6.32 do kernel do Linux, fazendo com que praticamente todas as versões de produção em utilização estejam neste momento vulneráveis.
Mais detalhes podem ser obtidos aqui.
Relatório de estatísticas de vulnerabilidades Web
O Web Application Security Consortium (WASC) publicou o WASC Web Application Security Statistics Project 2008. Os objectivos deste projecto eram os seguintes:
- Identificar a prevalência e a probabilidade das diferentes classes de vulnerabilidades;
- Comparar as metodologias de testes com os tipos de vulnerabilidades que as mesmas seriam capazes de identificar.
Ao que parece, o Gumblar está de regresso. O Gumblar infecta sites de web vulneráveis como forma de comprometer PCs que estejam igualmente vulneráveis.
Recentemente, foram encontrados milhares de sites em que havia sido colocado um IFRAME, como forma de colocar conteúdo de um site num outro. Este IFRAME redireccionava o tráfego para o domínio gumblar.cn. O Gumblar tentava então explorar o computador do utilizador através de vulnerabilidades encontradas em software da Adobe Systems em produtos como o Flash ou o Acrobat Reader e em seguida distribuir o seu código malicioso.
Mais informações sobre esta perigosa ameaça podem ser encontradas neste artigo.
