21/11/2012 15h18
- Atualizado em
21/11/2012 16h05
Vírus que ataca servidores de Linux adiciona código em páginas web
Nova praga digital age como 'rootkit' e se esconde no sistema.
Código adicionado às páginas ataca visitantes com Windows.
Comente agora
O código, que era até então desconhecido, infecta o sistema Linux agindo como um "rootkit". Em outras palavras, o programa não aparece na lista de tarefas em execução do sistema. Ele é injetado diretamente no kernel para alterar funções do sistema operacional. De acordo com uma análise da fabricante de antivírus Kaspersky, a praga foi especificamente desenvolvida para atacar sistemas 64-bit baseados na distribuição Debian Squeezy.
A alteração do conteúdo enviado ocorre com uma modificação na
função do sistema que constrói os pacotes TCP/IP. O administradohttp://g1.globo.com/tecnologia/noticia/2012/11/virus-que-ataca-servidores-de-linux-adiciona-codigo-em-paginas-web.htmlhttp://g1.globo.com/tecnologia/noticia/2012/11/virus-que-ataca-servidores-de-linux-adiciona-codigo-em-paginas-web.htmlhttp://g1.globo.com/tecnologia/noticia/2012/11/virus-que-ataca-servidores-de-linux-adiciona-codigo-em-paginas-web.htmlr que
relatou o ataque descobriu respostas alteradas em um servidor de proxy
usando o software "nginx", mas não se sabe se outros softwares poderiam
também ter a resposta alterada pela praga.
Usuários de Windows que visitarem páginas de um site hospedado em
um servidor infectado podem também ser infectados por pragas digitais
se não estiverem com o navegador web e plug-ins atualizados.De acordo com Georg Wicherski, especialista em segurança da CrowdStrike, é pouco provável que o vírus tenha sido desenvolvido para um uso específico, sendo parte de uma "operação de cibercrime genérica". Wicherski opinou que a qualidade do código é baixa e que certas partes do código funcionam por "sorte" do desenvolvedor, que seria um iniciante.
Dados do Netcraft sugerem que 11,9% dos sites da web utilizam o nginx, sendo o terceiro servidor web mais popular, atrás do Internet Information Server (16,52%) e do Apache (57,23%).
Pacotão: neutralidade da rede e protegendo a senha
qua, 28/11/12
por Altieres Rohr |
categoria Coluna
Se
você tem alguma dúvida sobre segurança da informação (antivírus,
invasões, cibercrime, roubo de dados, etc), vá até o fim da reportagem
e utilize a seção de comentários. A coluna responde perguntas deixadas
por leitores todas as quartas-feiras.
>>> Neutralidade da rede
A coluna Segurança Digital comentou sobre a polêmica envolvendo a neutralidade de rede, e um leitor deixou o seguinte comentário:
Me desculpe, mas o argumento do colunista não faz sentido. “qualquer regulamentação futura terá de conceder exceções à neutralidade para as empresas que precisam do acesso prioritário para seu próprio uso interno (como acesso de sistemas e banco de dados de filiais a uma matriz).” Se é de uso interno, é uma rede interna. Não é uma rede de uso público. Se a empresa quer acesso prioritário entre dois pontos pertencentes a ela mesma, não é a obrigatoriedade de neutralidade na rede que vai proibir isso. Confundir a permissão para que empresas de telecomunicações cobrem uma vez pelo acesso, e outra vez pela “prioridade” (ou seja, não existir neutralidade) com a permissão que uma empresa contrate redes particulares para si (que já existe) é absurdo. O colunista parece querer nos impingir a ideia que o marco civil tem como objetivo proibir a contratação de redes que não sejam conectadas pela internet.
Roberto Berlim
Roberto, a coluna já afirmou que provavelmente não é intenção do Marco Civil proibir esses tipos de uso (veja o último parágrafo da seção “Neutro, exceto quando não for”). A única coisa que a coluna buscou informar é que existem acessos prioritários e que, no entanto, não entram na preocupação do que é a “neutralidade da rede”.
Por outro lado, você está um pouco equivocado ao dizer que o acesso ocorre “fora da internet”. Como a coluna deixou claro, a “internet” não existe. O que existe é uma ligação entre várias redes. Se um cabo qualquer de um provedor reserva uma via exclusiva a determinado cliente, mesmo que para acessos não relacionados à internet, aquela faixa não está disponível para o uso regular dos usuários para acesso à internet.
Mesmo que o provedor tenha cabos de fibra “separados” para essa tarefa, ele ainda poderia, da mesma forma, alocar o cabo para fins de internet. O fato que ele o reservou para fins de acesso prioritário – que são mais caros – está tirando essa capacidade da rede normal dele para outras tarefas.
Pense de outra forma: se uma empresa de telecomunicação passar a priorizar tráfego dentro dela para um serviço que ela mesma fornece a seus próprios usuários (que é, veja bem, algo muito semelhante), provavelmente haverá uma questão de neutralidade a ser examinada.
Da mesma forma, existem vários usos da priorização para qualidade de serviço que também podem se mostrar necessários. Veja que o Marco Civil jamais fala em “cobrar” por algo – o pagamento é irrelevante. Todos os pacotes devem ser tratados de forma “isonômica”. E é apenas isso que o Marco Civil determina.
>>> Protegendo a senha
Esta coluna já comentou anteriormente que não adianta, por exemplo, usar um teclado virtual com a finalidade de impedir que uma senha seja capturada por um software malicioso. Um leitor deixou as seguintes dúvidas:
Será que não há um jeito mais completo de proteger a senha?
Usando um tipo de teclado, ou alterando a fonte?
E também se a senha já estiver salva no PC, e ela for automaticamente para a caixa de digitação da senha sem clicar, se é perceptível aos Keyloggers entre outros?
Humberto Oliveira da Silva
O termo “keylogger”, que é usado para classificar um software com o objetivo de roubar senhas capturando as teclas digitadas e vem das palavras “key” (tecla) e “log” (registro), é bem “equivocado” atualmente. A digitação não é mais a única maneira de inserir uma senha: recursos de preenchimento automático e teclados virtuais com cliques em páginas de banco são exemplos de outras formas para se entrar com uma senha em um site ou serviço.
Portanto, os keyloggers realizam muito mais atividades do que apenas capturar a digitação das teclas. Eles são programados para “entender” determinados softwares, como o clientes de mensagem instantânea e navegadores de internet, para roubar senhas de formas inteligentes.
No caso do recurso de preenchimento automático da senha, as senhas precisam estar armazenadas no computador para que esse recurso funcione. Não é muito mais seguro do que você simplesmente ter um arquivo com as suas senhas no computador. Ou seja, o mais simples para o software, nesse caso, é simplesmente copiar esse arquivo com as senhas e enviar ao responsável.
No caso de softwares maliciosos destinados ao roubo de bancos, muitos já incluíram recursos capazes de capturar a área ao redor do clique, de modo a permitir a identificação das senhas “clicadas” em teclados virtuais. Alguns chegaram até mesmo a capturar um vídeo do procedimento.
Certos softwares chamados de “keylogger” também registram outras atividades do computador, como a execução de aplicativos.
O fato é que não se pode pensar em um software de captura de senha como um mero registrador de teclas digitadas. Eles são muito mais do que isso. E tentar ser mais “esperto” do que eles usando qualquer recurso é inútil. O importante é impedir que eles se instalem no computador, seguindo as dicas de segurança sempre publicadas aqui na coluna.
O pacotão da coluna Segurança Digital desta semana vai ficando por aqui, mas não se esqueça que a área de comentários está logo abaixo. Se você tem uma dúvida sobre segurança, privacidade, redes, vírus de computador ou mesmo legislação de informática, escreva! A coluna responde dúvidas todas as quartas-feiras. Até a próxima!
>>> Neutralidade da rede
A coluna Segurança Digital comentou sobre a polêmica envolvendo a neutralidade de rede, e um leitor deixou o seguinte comentário:
Me desculpe, mas o argumento do colunista não faz sentido. “qualquer regulamentação futura terá de conceder exceções à neutralidade para as empresas que precisam do acesso prioritário para seu próprio uso interno (como acesso de sistemas e banco de dados de filiais a uma matriz).” Se é de uso interno, é uma rede interna. Não é uma rede de uso público. Se a empresa quer acesso prioritário entre dois pontos pertencentes a ela mesma, não é a obrigatoriedade de neutralidade na rede que vai proibir isso. Confundir a permissão para que empresas de telecomunicações cobrem uma vez pelo acesso, e outra vez pela “prioridade” (ou seja, não existir neutralidade) com a permissão que uma empresa contrate redes particulares para si (que já existe) é absurdo. O colunista parece querer nos impingir a ideia que o marco civil tem como objetivo proibir a contratação de redes que não sejam conectadas pela internet.
Roberto Berlim
Roberto, a coluna já afirmou que provavelmente não é intenção do Marco Civil proibir esses tipos de uso (veja o último parágrafo da seção “Neutro, exceto quando não for”). A única coisa que a coluna buscou informar é que existem acessos prioritários e que, no entanto, não entram na preocupação do que é a “neutralidade da rede”.
Por outro lado, você está um pouco equivocado ao dizer que o acesso ocorre “fora da internet”. Como a coluna deixou claro, a “internet” não existe. O que existe é uma ligação entre várias redes. Se um cabo qualquer de um provedor reserva uma via exclusiva a determinado cliente, mesmo que para acessos não relacionados à internet, aquela faixa não está disponível para o uso regular dos usuários para acesso à internet.
Mesmo que o provedor tenha cabos de fibra “separados” para essa tarefa, ele ainda poderia, da mesma forma, alocar o cabo para fins de internet. O fato que ele o reservou para fins de acesso prioritário – que são mais caros – está tirando essa capacidade da rede normal dele para outras tarefas.
Pense de outra forma: se uma empresa de telecomunicação passar a priorizar tráfego dentro dela para um serviço que ela mesma fornece a seus próprios usuários (que é, veja bem, algo muito semelhante), provavelmente haverá uma questão de neutralidade a ser examinada.
Da mesma forma, existem vários usos da priorização para qualidade de serviço que também podem se mostrar necessários. Veja que o Marco Civil jamais fala em “cobrar” por algo – o pagamento é irrelevante. Todos os pacotes devem ser tratados de forma “isonômica”. E é apenas isso que o Marco Civil determina.
>>> Protegendo a senha
Esta coluna já comentou anteriormente que não adianta, por exemplo, usar um teclado virtual com a finalidade de impedir que uma senha seja capturada por um software malicioso. Um leitor deixou as seguintes dúvidas:
Será que não há um jeito mais completo de proteger a senha?
Usando um tipo de teclado, ou alterando a fonte?
E também se a senha já estiver salva no PC, e ela for automaticamente para a caixa de digitação da senha sem clicar, se é perceptível aos Keyloggers entre outros?
Humberto Oliveira da Silva
O termo “keylogger”, que é usado para classificar um software com o objetivo de roubar senhas capturando as teclas digitadas e vem das palavras “key” (tecla) e “log” (registro), é bem “equivocado” atualmente. A digitação não é mais a única maneira de inserir uma senha: recursos de preenchimento automático e teclados virtuais com cliques em páginas de banco são exemplos de outras formas para se entrar com uma senha em um site ou serviço.
Portanto, os keyloggers realizam muito mais atividades do que apenas capturar a digitação das teclas. Eles são programados para “entender” determinados softwares, como o clientes de mensagem instantânea e navegadores de internet, para roubar senhas de formas inteligentes.
No caso do recurso de preenchimento automático da senha, as senhas precisam estar armazenadas no computador para que esse recurso funcione. Não é muito mais seguro do que você simplesmente ter um arquivo com as suas senhas no computador. Ou seja, o mais simples para o software, nesse caso, é simplesmente copiar esse arquivo com as senhas e enviar ao responsável.
No caso de softwares maliciosos destinados ao roubo de bancos, muitos já incluíram recursos capazes de capturar a área ao redor do clique, de modo a permitir a identificação das senhas “clicadas” em teclados virtuais. Alguns chegaram até mesmo a capturar um vídeo do procedimento.
Certos softwares chamados de “keylogger” também registram outras atividades do computador, como a execução de aplicativos.
O fato é que não se pode pensar em um software de captura de senha como um mero registrador de teclas digitadas. Eles são muito mais do que isso. E tentar ser mais “esperto” do que eles usando qualquer recurso é inútil. O importante é impedir que eles se instalem no computador, seguindo as dicas de segurança sempre publicadas aqui na coluna.
O pacotão da coluna Segurança Digital desta semana vai ficando por aqui, mas não se esqueça que a área de comentários está logo abaixo. Se você tem uma dúvida sobre segurança, privacidade, redes, vírus de computador ou mesmo legislação de informática, escreva! A coluna responde dúvidas todas as quartas-feiras. Até a próxima!
Novo estudo questiona eficácia de programas antivírus
seg, 03/12/12
por Altieres Rohr |
categoria Coluna
Se
você tem alguma dúvida sobre segurança da informação (antivírus,
invasões, cibercrime, roubo de dados, etc), vá até o fim da reportagem
e utilize a seção de comentários. A coluna responde perguntas deixadas
por leitores todas as quartas-feiras.
Um estudo realizado pela Universidade de Tel Aviv, em Israel, e solicitado pela companhia de segurança Imperva analisou soluções antivírus e concluiu que os softwares são um desperdício de dinheiro, principalmente porque, no teste, soluções pagas não tiveram resultados melhores que as gratuitas. O estudo é polêmico e foi realizado de uma maneira bastante discutível, mas traz uma mensagem válida: não se pode gastar muito dinheiro em antivírus e esquecer outros aspectos de segurança.
O método do estudo é problemático, porque os pesquisadores enviaram um conjunto de 82 pragas digitais para o site Virus Total. No site, um arquivo é analisado em dezenas de antivírus, e um resultado com a detecção de cada programa é retornado. Os pesquisadores enviaram os mesmos 82 arquivos periodicamente para verificar quanto tempo levava para que cada antivírus detectasse as pragas. Alguns produtos demoraram semanas para detectar certos arquivos.
O primeiro detalhe é que o Virus Total nem sempre apresenta os mesmos resultados de um antivírus completo instalado no sistema. O segundo detalhe é que o número de 82 pragas é muito pequeno no universo das pragas digitais.
De qualquer forma, a Imperva não sugere que os antivírus sejam abandonados, e sim que empresas e indivíduos lembrem-se disso quando forem adquirir produtos antivírus – que às vezes é mais interessante buscar uma solução mais barata ou até gratuita para investir em outras áreas de segurança.
Esta coluna já comentou que antivírus não são perfeitos e que é preciso aprender a identificar algumas formas de risco, nem que seja preciso desinstalar o antivírus para isso. O antivírus é uma ferramenta, um guia. Mas os ataques rápidos e diariamente distribuídos em novas embalagens, hoje comuns, não deixam o antivírus ser uma boa ferramenta de prevenção. Ele é excelente para identificar, depois do problema já ocorrido, que ele ocorreu. E isso é indispensável, especialmente para empresas que têm dezenas, centenas ou milhares de computadores para monitorar.
Empresas ainda podem considerar outras ferramentas mais caras de monitoramento de rede e contratar profissionais que possam identificar anomalias e comportamentos ligados às pragas digitais. Mas elas também não estão em vantagem em relação a quem usa o PC em casa, já que empresas estão mais sujeitas a ataques de Ameaças Avançadas Persistentes (APT, na sigla em inglês), que são feitas especialmente para driblar ferramentas de segurança.
Alguém que prefere buscar um antivírus pago a legalizar a cópia do Windows, por exemplo, está tomando uma decisão errada. Normalmente, ter o Windows pirata faz com que a pessoa tenha medo de atualizar o sistema, já que corre o risco de ser “pego” pela Microsoft e não conseguir mais usar seus aplicativos. O resultado é um Windows desatualizado e inseguro, que o antivírus não tem nenhuma condição de proteger.
Há quem compre um antivírus para proteger seus dados, mas acha muito caro adquirir um disco rígido externo ou pen drive extra para realizar cópias adicionais de seus arquivos principais. Mesmo um computador livre de vírus pode apresentar defeito no disco rígido e os dados serão perdidos; logo, a segurança não foi ideal, mesmo que a proteção contra vírus tenha sido.
Essa é a principal mensagem do estudo da Imperva: antivírus não é o mesmo que segurança, e é preciso investir em segurança com mais cuidado. Gastar centenas, milhares ou milhões de reais em uma suíte antivírus para depois não ter condições de investir em outras ferramentas de segurança não é uma boa ideia.
Para quem tem dinheiro sobrando, tudo bem comprar um antivírus pago e contar com suporte técnico e outras regalias. Quem precisa fazer escolhas não pode mais ter o antivírus como prioridade, especialmente quando, pelo menos no ambiente doméstico, existem várias soluções gratuitas à disposição.
Talvez o maior problema dos antivírus seja as expectativas nada razoáveis que empresas e usuários têm em relação a eles.
Um estudo realizado pela Universidade de Tel Aviv, em Israel, e solicitado pela companhia de segurança Imperva analisou soluções antivírus e concluiu que os softwares são um desperdício de dinheiro, principalmente porque, no teste, soluções pagas não tiveram resultados melhores que as gratuitas. O estudo é polêmico e foi realizado de uma maneira bastante discutível, mas traz uma mensagem válida: não se pode gastar muito dinheiro em antivírus e esquecer outros aspectos de segurança.
O método do estudo é problemático, porque os pesquisadores enviaram um conjunto de 82 pragas digitais para o site Virus Total. No site, um arquivo é analisado em dezenas de antivírus, e um resultado com a detecção de cada programa é retornado. Os pesquisadores enviaram os mesmos 82 arquivos periodicamente para verificar quanto tempo levava para que cada antivírus detectasse as pragas. Alguns produtos demoraram semanas para detectar certos arquivos.
O primeiro detalhe é que o Virus Total nem sempre apresenta os mesmos resultados de um antivírus completo instalado no sistema. O segundo detalhe é que o número de 82 pragas é muito pequeno no universo das pragas digitais.
De qualquer forma, a Imperva não sugere que os antivírus sejam abandonados, e sim que empresas e indivíduos lembrem-se disso quando forem adquirir produtos antivírus – que às vezes é mais interessante buscar uma solução mais barata ou até gratuita para investir em outras áreas de segurança.
Esta coluna já comentou que antivírus não são perfeitos e que é preciso aprender a identificar algumas formas de risco, nem que seja preciso desinstalar o antivírus para isso. O antivírus é uma ferramenta, um guia. Mas os ataques rápidos e diariamente distribuídos em novas embalagens, hoje comuns, não deixam o antivírus ser uma boa ferramenta de prevenção. Ele é excelente para identificar, depois do problema já ocorrido, que ele ocorreu. E isso é indispensável, especialmente para empresas que têm dezenas, centenas ou milhares de computadores para monitorar.
Empresas ainda podem considerar outras ferramentas mais caras de monitoramento de rede e contratar profissionais que possam identificar anomalias e comportamentos ligados às pragas digitais. Mas elas também não estão em vantagem em relação a quem usa o PC em casa, já que empresas estão mais sujeitas a ataques de Ameaças Avançadas Persistentes (APT, na sigla em inglês), que são feitas especialmente para driblar ferramentas de segurança.
Alguém que prefere buscar um antivírus pago a legalizar a cópia do Windows, por exemplo, está tomando uma decisão errada. Normalmente, ter o Windows pirata faz com que a pessoa tenha medo de atualizar o sistema, já que corre o risco de ser “pego” pela Microsoft e não conseguir mais usar seus aplicativos. O resultado é um Windows desatualizado e inseguro, que o antivírus não tem nenhuma condição de proteger.
Há quem compre um antivírus para proteger seus dados, mas acha muito caro adquirir um disco rígido externo ou pen drive extra para realizar cópias adicionais de seus arquivos principais. Mesmo um computador livre de vírus pode apresentar defeito no disco rígido e os dados serão perdidos; logo, a segurança não foi ideal, mesmo que a proteção contra vírus tenha sido.
Essa é a principal mensagem do estudo da Imperva: antivírus não é o mesmo que segurança, e é preciso investir em segurança com mais cuidado. Gastar centenas, milhares ou milhões de reais em uma suíte antivírus para depois não ter condições de investir em outras ferramentas de segurança não é uma boa ideia.
Para quem tem dinheiro sobrando, tudo bem comprar um antivírus pago e contar com suporte técnico e outras regalias. Quem precisa fazer escolhas não pode mais ter o antivírus como prioridade, especialmente quando, pelo menos no ambiente doméstico, existem várias soluções gratuitas à disposição.
Talvez o maior problema dos antivírus seja as expectativas nada razoáveis que empresas e usuários têm em relação a eles.
Pacotão: localizar celular, senha do Facebook e e-mail invadido
qua, 05/12/12
por Altieres Rohr |
categoria Coluna
Se
você tem alguma dúvida sobre segurança da informação (antivírus,
invasões, cibercrime, roubo de dados, etc), vá até o fim da reportagem
e utilize a seção de comentários. A coluna responde perguntas deixadas
por leitores todas as quartas-feiras.
>>> Localização do celular
Afinal de contas, eu posso localizar o meu aparelho celular pelo IMEI? Desde já, obrigado.
Ricardo Coimbra
A resposta é “talvez” para “provavelmente não”. Uma operadora tem condição de dizer em qual torre um determinado aparelho está conectado. No entanto, a torre pode cobrir uma área de vários quilômetros, de modo que não vai ajudar muito para localizar o celular. Celulares podem utilizar o mecanismo de triangulação para determinar a própria localização com base nas torres da operadora – o inverso já não é tão simples.
Se o celular foi perdido ou roubado, o IMEI pode ter sido trocado, ou o aparelho pode ter sido vendido para outro país. Ele não está necessariamente sendo usado na mesma operadora em que você estava.
Se quiser tentar localizar seu celular pelo IMEI, vai precisar entrar na Justiça para solicitar isso à operadora, comprovando que aquele IMEI era de um celular que era seu e você não está usando isso para descobrir a localização de uma outra pessoa qualquer — e isso pode ser um desafio.
Normalmente o custo disso será superior ao valor do celular.
Se a polícia não conseguiu encontrar o aparelho, é bem provável que você também não consiga – pelo menos não a tempo do celular ainda valer algo.
>>> E-mail malicioso sendo enviado
Altieres, o que fazer no caso do meu e-mail estar enviando spam para meus amigos, sendo que não sou eu que estou enviando? Acredito que eu loguei num computador infectado e está acontecendo isso. Obrigado!
Duarth Fernandes
Se a sua conta foi roubada, basta trocar a senha e verificar todos os demais mecanismos de recuperação de senha, como a resposta secreta, e-mail alternativo e celular cadastrado, se for o caso.
No entanto, nada impede que qualquer pessoa envie e-mail como se fosse você. O protocolo de e-mail ainda não tem uma proteção boa em funcionamento que impeça isso de acontecer. Ou seja, mesmo que sua conta não tenha sido invadida, ainda é possível que outras pessoas recebam e-mails infectados dos quais o remetente é, supostamente, você.
>>> Senha com caps lock no Facebook
Percebi que é possível acessar o Facebook digitando toda a minha senha com o CAPS LOCK ligado. Pode até parecer besteira, mas acho que não deveria funcionar dessa forma. O que você acha?
Raoni de Paiva Nunes
É isso mesmo, Raoni. Facebook aceita três formas da senha: a original, a original com a primeira letra em maiúsculo, e a senha com maiúsculas e minúsculas invertidas.
Ou seja, se a senha for “seNH1a”, o Facebook vai aceitar “SeNH1a” e “SEnh1A”.
O objetivo de aceitar a senha com o primeiro caractere em maiúsculo é ter compatibilidade com dispositivos móveis, como celulares, que tendem a colocar a primeira letra de um campo qualquer em maiúsculo. O segundo é justamente para não dar erro nos casos de caps lock.
Embora a medida reduza a segurança, é uma troca aceitável. O Facebook não aceita que uma senha com caracteres maiúsculos e minúsculos seja digitada toda em maiúsculo. “SENH1A” não será aceito, no nosso exemplo. (Há uma exceção: se a única letra minúscula for a primeira, o Facebook aceitará a senha toda em maiúsculo.)
Para quem usa uma senha adequada no Facebook, essas medidas não tornarão o acesso vulnerável, ou pelo menos não de forma significativa. O ganho de usabilidade do site, que aceita erros honestos do usuário sem grandes e assustadores avisos sobre “senha incorreta”, é bastante bem-vindo.
O pacotão da coluna Segurança Digital desta semana vai ficando por aqui, mas toda semana tem mais. Se você tem alguma dúvida de segurança, vírus de computadores, cibercrime, entre outros assuntos do gênero, não se esqueça de deixar sua dúvida na área de comentários, logo abaixo. Até a próxima!
Se você tem alguma dúvida sobre segurança da informação (antivírus, invasões, cibercrime, roubo de dados, etc), vá até o fim da reportagem e utilize a seção de comentários. A coluna responde perguntas deixadas por leitores todas as quartas-feiras.
Quando o dinheiro troca de mãos por meio da internet, cria-se a oportunidade para o cibercrime. Quando chega o Natal, criminosos que atuam na internet criam também seus golpes “natalinos”, tirando proveito do que eles sabem que todos estão procurando nesta época: promoções, viagens, presentes, brindes…
Mas não é difícil se manter seguro durante as compras de fim de ano. A coluna Segurança Digital reuniu algumas dicas das fabricantes de antivírus Eset, Trend Micro e McAfee, além de algumas sugestões da própria coluna, para que você não tenha problemas. Confira!
Dica para compras
É claro que esses cuidados devem ser tomados além dos cuidados básicos: manter o sistema operacional, o antivírus e o navegador web atualizados, ficar atento a qualquer tipo de mensagem, fazer cópias de segurança de seus dados e não fornecer dados financeiros e pessoais, exceto quando isso for realmente necessário (como uma compra).
Caso tenha alguma dúvida, não deixe de postar na seção de comentários, logo abaixo. E boas compras!
>>> Localização do celular
Afinal de contas, eu posso localizar o meu aparelho celular pelo IMEI? Desde já, obrigado.
Ricardo Coimbra
A resposta é “talvez” para “provavelmente não”. Uma operadora tem condição de dizer em qual torre um determinado aparelho está conectado. No entanto, a torre pode cobrir uma área de vários quilômetros, de modo que não vai ajudar muito para localizar o celular. Celulares podem utilizar o mecanismo de triangulação para determinar a própria localização com base nas torres da operadora – o inverso já não é tão simples.
Se o celular foi perdido ou roubado, o IMEI pode ter sido trocado, ou o aparelho pode ter sido vendido para outro país. Ele não está necessariamente sendo usado na mesma operadora em que você estava.
Se quiser tentar localizar seu celular pelo IMEI, vai precisar entrar na Justiça para solicitar isso à operadora, comprovando que aquele IMEI era de um celular que era seu e você não está usando isso para descobrir a localização de uma outra pessoa qualquer — e isso pode ser um desafio.
Normalmente o custo disso será superior ao valor do celular.
Se a polícia não conseguiu encontrar o aparelho, é bem provável que você também não consiga – pelo menos não a tempo do celular ainda valer algo.
>>> E-mail malicioso sendo enviado
Altieres, o que fazer no caso do meu e-mail estar enviando spam para meus amigos, sendo que não sou eu que estou enviando? Acredito que eu loguei num computador infectado e está acontecendo isso. Obrigado!
Duarth Fernandes
Se a sua conta foi roubada, basta trocar a senha e verificar todos os demais mecanismos de recuperação de senha, como a resposta secreta, e-mail alternativo e celular cadastrado, se for o caso.
No entanto, nada impede que qualquer pessoa envie e-mail como se fosse você. O protocolo de e-mail ainda não tem uma proteção boa em funcionamento que impeça isso de acontecer. Ou seja, mesmo que sua conta não tenha sido invadida, ainda é possível que outras pessoas recebam e-mails infectados dos quais o remetente é, supostamente, você.
>>> Senha com caps lock no Facebook
Percebi que é possível acessar o Facebook digitando toda a minha senha com o CAPS LOCK ligado. Pode até parecer besteira, mas acho que não deveria funcionar dessa forma. O que você acha?
Raoni de Paiva Nunes
É isso mesmo, Raoni. Facebook aceita três formas da senha: a original, a original com a primeira letra em maiúsculo, e a senha com maiúsculas e minúsculas invertidas.
Ou seja, se a senha for “seNH1a”, o Facebook vai aceitar “SeNH1a” e “SEnh1A”.
O objetivo de aceitar a senha com o primeiro caractere em maiúsculo é ter compatibilidade com dispositivos móveis, como celulares, que tendem a colocar a primeira letra de um campo qualquer em maiúsculo. O segundo é justamente para não dar erro nos casos de caps lock.
Embora a medida reduza a segurança, é uma troca aceitável. O Facebook não aceita que uma senha com caracteres maiúsculos e minúsculos seja digitada toda em maiúsculo. “SENH1A” não será aceito, no nosso exemplo. (Há uma exceção: se a única letra minúscula for a primeira, o Facebook aceitará a senha toda em maiúsculo.)
Para quem usa uma senha adequada no Facebook, essas medidas não tornarão o acesso vulnerável, ou pelo menos não de forma significativa. O ganho de usabilidade do site, que aceita erros honestos do usuário sem grandes e assustadores avisos sobre “senha incorreta”, é bastante bem-vindo.
O pacotão da coluna Segurança Digital desta semana vai ficando por aqui, mas toda semana tem mais. Se você tem alguma dúvida de segurança, vírus de computadores, cibercrime, entre outros assuntos do gênero, não se esqueça de deixar sua dúvida na área de comentários, logo abaixo. Até a próxima!
Conheça os golpes on-line que você não quer ganhar neste Natal
seg, 10/12/12
por Altieres Rohr |
categoria Coluna
Se você tem alguma dúvida sobre segurança da informação (antivírus, invasões, cibercrime, roubo de dados, etc), vá até o fim da reportagem e utilize a seção de comentários. A coluna responde perguntas deixadas por leitores todas as quartas-feiras.
Quando o dinheiro troca de mãos por meio da internet, cria-se a oportunidade para o cibercrime. Quando chega o Natal, criminosos que atuam na internet criam também seus golpes “natalinos”, tirando proveito do que eles sabem que todos estão procurando nesta época: promoções, viagens, presentes, brindes…
Mas não é difícil se manter seguro durante as compras de fim de ano. A coluna Segurança Digital reuniu algumas dicas das fabricantes de antivírus Eset, Trend Micro e McAfee, além de algumas sugestões da própria coluna, para que você não tenha problemas. Confira!
Dica para compras
- Compre de casa: Utilizar uma rede sem fio pública é uma má ideia. Aproveite o conforto de sua casa e faça as compras no seu próprio computador, usando a sua conexão com a internet. É também o mais seguro.
- A loja: Se você já conhece uma loja, vale a pena pagar um pouco mais para ter a certeza de que vai receber o produto. Sempre pesquise o nome da loja em sites de busca e não confie em “depoimentos” publicados no site da própria loja, mas atenção também para depoimentos falsos em outros sites.
- Promoções: Desconfie de promoções via e-mail. Muitas lojas divulgam promoções dessa forma, mas o e-mail não é uma maneira segura de divulgação e a maioria das lojas não inclui recursos no e-mail para permitir a identificação da origem da mensagem. Visite o site da loja, confira se está no endereço verdadeiro da loja e veja se a promoção está lá.
- Primeira compra: A primeira compra em um site ainda desconhecido pode ser de um produto de pequeno valor para verificar a credibilidade da loja. A Eset também dá a dica de comprar com cartão de crédito, pois, no caso de problemas, é mais fácil estornar o valor.
- Apps específicos: Algumas lojas fornecem apps específicos para compras em celulares ou tablets. Desde que você obtenha o app verdadeiro, a compra será segura. A Trend Micro alerta para cuidado com apps falsos, que são um risco especialmente fora das lojas oficiais (Google Play, no caso do Android, ou iPhones com “jailbreak”).
- Fique de olho no extrato: Depois de utilizar o cartão de crédito ou débito, fique sempre de olho no extrato para verificar que não foi realizada nenhuma compra sem autorização.
- Viagens: De acordo com a McAfee, criminosos criam falsas agências de viagens para convencer internautas a fornecerem dados financeiros – seja para aquisição de pacotes ou para recebimento de promoções.
- Instituições beneficentes: Também segundo a McAfee, criminosos criam falsas campanhas beneficentes para se aproveitar do tema do Natal e convencer internautas a fornecerem dados financeiros.
- Cartões de natal e vale-presentes: cartões de natal e vale-presentes dão um bom tema para golpes nesta época, já que muitos internautas podem acabar acreditando na pegadinha. É preciso ter atenção redobrada nesses casos. A maioria dos cartões com mensagens que dependem de um “clique” para ser lida é falso.
- Pesquisas falsas: A Eset alerta para a existência de supostas “pesquisas” que podem prometer prêmios, em mercadoria ou em dinheiro, para quem fornecer seus dados pessoais. Essas pesquisas são apenas uma forma de obter dados pessoais de internautas.
É claro que esses cuidados devem ser tomados além dos cuidados básicos: manter o sistema operacional, o antivírus e o navegador web atualizados, ficar atento a qualquer tipo de mensagem, fazer cópias de segurança de seus dados e não fornecer dados financeiros e pessoais, exceto quando isso for realmente necessário (como uma compra).
Caso tenha alguma dúvida, não deixe de postar na seção de comentários, logo abaixo. E boas compras!
Pacotão: falsos positivos e configuração ‘rede pública’ na internet
qua, 12/12/12
por Altieres Rohr |
categoria Coluna
Se
você tem alguma dúvida sobre segurança da informação (antivírus,
invasões, cibercrime, roubo de dados, etc), vá até o fim da reportagem
e utilize a seção de comentários. A coluna responde perguntas deixadas
por leitores todas as quartas-feiras.
>>> Falsos positivos
O meu problema com antivírus não é pegar vírus, e sim ter arquivos sem vírus bloqueados pelo antivírus sem necessidade (os chamados falsos positivos). Uma coisa que eu queria saber é como fazer um antivírus parar de detectar um aplicativo confiável e seguro como um falso positivo. Exemplo: o AVG detecta como falso positivo muitos jogos onlines baixados pela internet, o Microsoft Security Essentials detecta como falso positivo programas de artes gráficas, e o Avast detecta como falso positivo arquivos simples como imagens (qualquer imagem). Nesses casos, eu desativo o antivírus, mas acho que fazer isso é perigoso, principalmente quando preciso estar com a internet conectada.
Para quem usa um sistema original e programas originais, o que dá para fazer? Todos os antivírus detectam algum tipo de falso positivo.
P.S.: apesar de eu ter citado 3 antivírus acima, eu só uso 1, ok?
Marcella
Falsos positivos são inevitáveis, Marcella. Todos os antivírus têm problemas e detectam arquivos legítimos como vírus. Essa é uma das razões para jamais se usar mais de um antivírus no computador ao mesmo tempo: a taxa de detecções incorretas (ou seja, de problemas) aumenta em proporção muito maior do que qualquer proteção.
No entanto, normalmente é possível avisar o fabricante do antivírus sobre falsos positivos para que eles sejam corrigidos. Alguns têm uma página específica no site para fazer a denúncia. Outros fornecem diretamente um endereço de e-mail. Se você paga um antivírus, o suporte técnico também pode ajudá-la nesse caso. Com o falso positivo eliminado, você pode voltar a utilizar o antivírus sem problemas.
Muitos antivírus também incluem uma função para ignorar determinados arquivos. Se você sabe que algo é um falso positivo, pode adicionar nessa lista de arquivos ignorados. É melhor do que ter de desativar o software antivírus completamente durante o uso de um software ou da leitura de determinado arquivo.
>>> Configuração da conexão
Bom dia. O meu PC está configurado pelo provedor como “rede pública”. Estou em risco nas transações via Internet, como compras com cartão, uso de internet banking, etc.? Muito obrigada.
Emilia (via e-mail)
Emilia, na verdade é o contrário. Se você se refere à configuração da rede do Windows que existe no Windows Vista e no Windows 7, “rede pública” é a configuração mais segura.
Essa configuração não significa que sua conexão é “pública” e que seu computador poderá ser acessado livremente por outros. Ao contrário, ela indica ao Windows que você está em uma rede na qual você não tem controle sobre os demais computadores que se conectam a ela (por isso “pública”). Isso faz com que o Windows ative configurações extras de segurança e desative determinadas funções que não são usadas em redes desse tipo.
Quando você configura a rede do Windows como “rede doméstica”, por outro lado, o Windows é menos rígido com certas configurações para permitir que computadores da mesma rede acessem um ao outro, compartilhem arquivos e façam streaming de mídia, por exemplo. Em outras palavras, aí é que você fica mais vulnerável. Mas como os demais computadores que participam da rede estão sob seu controle – desde que você tenha configurado sua rede doméstica de forma adequada -, não haverá risco de nenhuma exploração desses serviços.
A internet é a maior rede pública do mundo. Se você está se conectando diretamente à internet por meio do provedor ou a outros clientes do provedor, como no caso de uma conexão via rádio, a configuração “rede pública” é a correta.
No entanto, se você tem algum equipamento intermediário que realiza a conexão (como um modem-roteador que não esteja no modo “bridge”), você pode utilizar a configuração de “rede doméstica” em seus computadores. Nesse caso, quem está na rede pública não é o seu computador e sim o modem-roteador, e a cabe a ele isolar as duas redes para que pessoas da internet não acessem os recursos do seu computador.
O pacotão da coluna Segurança Digital desta semana vai ficando por aqui. Mas não se esqueça que eu estou de volta toda quarta-feira e que a seção de comentários, logo abaixo, está aberta para você postar sua dúvida. Até a próxima!
>>> Falsos positivos
O meu problema com antivírus não é pegar vírus, e sim ter arquivos sem vírus bloqueados pelo antivírus sem necessidade (os chamados falsos positivos). Uma coisa que eu queria saber é como fazer um antivírus parar de detectar um aplicativo confiável e seguro como um falso positivo. Exemplo: o AVG detecta como falso positivo muitos jogos onlines baixados pela internet, o Microsoft Security Essentials detecta como falso positivo programas de artes gráficas, e o Avast detecta como falso positivo arquivos simples como imagens (qualquer imagem). Nesses casos, eu desativo o antivírus, mas acho que fazer isso é perigoso, principalmente quando preciso estar com a internet conectada.
Para quem usa um sistema original e programas originais, o que dá para fazer? Todos os antivírus detectam algum tipo de falso positivo.
P.S.: apesar de eu ter citado 3 antivírus acima, eu só uso 1, ok?
Marcella
Falsos positivos são inevitáveis, Marcella. Todos os antivírus têm problemas e detectam arquivos legítimos como vírus. Essa é uma das razões para jamais se usar mais de um antivírus no computador ao mesmo tempo: a taxa de detecções incorretas (ou seja, de problemas) aumenta em proporção muito maior do que qualquer proteção.
No entanto, normalmente é possível avisar o fabricante do antivírus sobre falsos positivos para que eles sejam corrigidos. Alguns têm uma página específica no site para fazer a denúncia. Outros fornecem diretamente um endereço de e-mail. Se você paga um antivírus, o suporte técnico também pode ajudá-la nesse caso. Com o falso positivo eliminado, você pode voltar a utilizar o antivírus sem problemas.
Muitos antivírus também incluem uma função para ignorar determinados arquivos. Se você sabe que algo é um falso positivo, pode adicionar nessa lista de arquivos ignorados. É melhor do que ter de desativar o software antivírus completamente durante o uso de um software ou da leitura de determinado arquivo.
>>> Configuração da conexão
Bom dia. O meu PC está configurado pelo provedor como “rede pública”. Estou em risco nas transações via Internet, como compras com cartão, uso de internet banking, etc.? Muito obrigada.
Emilia (via e-mail)
Emilia, na verdade é o contrário. Se você se refere à configuração da rede do Windows que existe no Windows Vista e no Windows 7, “rede pública” é a configuração mais segura.
Essa configuração não significa que sua conexão é “pública” e que seu computador poderá ser acessado livremente por outros. Ao contrário, ela indica ao Windows que você está em uma rede na qual você não tem controle sobre os demais computadores que se conectam a ela (por isso “pública”). Isso faz com que o Windows ative configurações extras de segurança e desative determinadas funções que não são usadas em redes desse tipo.
Quando você configura a rede do Windows como “rede doméstica”, por outro lado, o Windows é menos rígido com certas configurações para permitir que computadores da mesma rede acessem um ao outro, compartilhem arquivos e façam streaming de mídia, por exemplo. Em outras palavras, aí é que você fica mais vulnerável. Mas como os demais computadores que participam da rede estão sob seu controle – desde que você tenha configurado sua rede doméstica de forma adequada -, não haverá risco de nenhuma exploração desses serviços.
A internet é a maior rede pública do mundo. Se você está se conectando diretamente à internet por meio do provedor ou a outros clientes do provedor, como no caso de uma conexão via rádio, a configuração “rede pública” é a correta.
No entanto, se você tem algum equipamento intermediário que realiza a conexão (como um modem-roteador que não esteja no modo “bridge”), você pode utilizar a configuração de “rede doméstica” em seus computadores. Nesse caso, quem está na rede pública não é o seu computador e sim o modem-roteador, e a cabe a ele isolar as duas redes para que pessoas da internet não acessem os recursos do seu computador.
O pacotão da coluna Segurança Digital desta semana vai ficando por aqui. Mas não se esqueça que eu estou de volta toda quarta-feira e que a seção de comentários, logo abaixo, está aberta para você postar sua dúvida. Até a próxima!
Padrão da ONU permite identificar BitTorrent e MP3 protegidos
seg, 17/12/12
por Altieres Rohr |
categoria Coluna
Se
você tem alguma dúvida sobre segurança da informação (antivírus,
invasões, cibercrime, roubo de dados, etc), vá até o fim da reportagem
e utilize a seção de comentários. A coluna responde perguntas deixadas
por leitores todas as quartas-feiras.
Um tratado proposto pela União Internacional de Telecomunicações (UIT), órgão das das Nações Unidas (ONU), foi rejeitado por 55 países na sexta-feira (14), sob a suspeita de que governos teriam mais controle sobre a internet, ameaçando a liberdade de expressão. No entanto, um padrão técnico da UIT, que determina o funcionamento de tecnologias de inspeção de pacotes (dados que trafegam na internet), foi aprovado em um encontro do órgão terminado no final de novembro. A tecnologia descrita no texto é capaz de monitorar certos aspectos do acesso à internet, e dá uma série de possibilidades para provedores.
Padrões da UIT não valem como lei ou regulamentação, mas são essenciais para que todas as operadoras de telecomunicação falem uma “língua comum”. Com o novo padrão, provedores sabem quais tipos de tecnologia devem estar disponíveis em suas redes, permitindo a avaliação de uso de determinados serviços e a alteração do tráfego.
O documento está disponível apenas para membros da UIT, mas um rascunho da proposta vazou na web.
Entre os exemplos dados pelo texto da UIT estão limitações e cobranças baseadas em serviços específicos, bloqueio de tráfego malicioso e “detecção de tráfego anormal”, além da gerenciamento e priorização de tráfego – que envolve a questão polêmica da neutralidade da rede, debatida no Brasil no projeto de lei do Marco Civil.
Na parte mais técnica do documento, que traz exemplos diretos para engenheiros que irão adotar o procedimento, há exemplos que ensinam como criar um filtro que iria identificar usuários que enviam arquivos por BitTorrent e a transferência de arquivos MP3 protegidos.
A tecnologia
O padrão da UIT detalha o funcionamento de da inspeção profunda de pacotes ou “deep packet inspection” (DPI). O documento recebeu o número ITU-T Y.2770 e foi aprovado durante o “World Telecommunication Standardization Assembly” (WTSA), que ocorreu de 20 a 29 de novembro, também em Dubai. O WTSA era um dos três eventos realizados pela UIT em Dubai para discutir questões do setor de telecomunicação.
Com o DPI, as redes dos provedores de telecomunicações podem ser mais “inteligentes”, sendo capazes de identificar qual o aplicativo que gerou determinado tráfego (por exemplo, se é um acesso a um site, uma chamada VoIP ou o uso de um software P2P, como BitTorrent).
No padrão aprovado também está definido que a tecnologia deve ser capaz de determinar certos detalhes sobre os serviços em uso na rede. O texto cita como exemplo um endereço específico de um site acessado, ou o “codec” (tecnologia de compressão) usado em uma transmissão de vídeo.
A tecnologia de DPI é muito utilizada em redes empresariais que precisam controlar, gerenciar e monitorar o acesso à internet para prevenir ataques e evitar o vazamento de informações. O texto da UIT, no entanto, mostra uma preocupação em trazer essa flexibilidade para os grandes provedores de telecomunicação. O padrão prevê que a filtragem e análise dos dados seja feita de acordo com regras criadas por uma “autoridade”, que poderia automaticamente atualizar as regras das entidades que de fato realizam a inspeção nos pacotes.
Em outras palavras, diversos provedores poderiam compartilhar regras para garantir que as mesmas características de serviço e priorização sejam mantidas.
A coluna Segurança Digital havia dito anteriormente que a priorização de tráfego na internet era inviável porque os dados não continuariam sendo priorizados ao deixar a rede de um provedor. Caso a tecnologia padronizada pela UIT seja adotada por todos os provedores, não haverá mais dificuldade para qualquer priorização, já que as regras poderiam ser sincronizadas entre os provedores.
Exemplos
Nos “exemplos de uso” dados pelo documento da UIT, o órgão lista a cobrança diferenciada por serviço (o que traduzindo significaria dados transmitidos em uma chamada VoIP serem mais caros que e-mail, por exemplo) e oferta de serviços de internet restritos a determinados serviços (um acesso 3G que permite apenas e-mail, por exemplo).
Em alguns exemplos de “espionagem”, há regras que permitiriam criar estatísticas sobre o sistema operacional de videogames, detectar um arquivo específico transferido por um usuário específico, e “traffic shaping” – redução de velocidade – para determinadas aplicações.
Redes ponto a ponto (P2P) são citadas diversas vezes. Dois serviços de transferência de arquivos P2P, frequentemente ligados à pirataria, aparecem por nome no documento: eDonkey e BitTorrent. No caso do BitTorrent, um dos “exemplos” lista uma regra que permitiria ao provedor identificar quais usuários de sua rede são “uploaders” no BitTorrent. Esse monitoramento seria feito no momento da conexão ao rastreador, quando o próprio cliente de BitTorrent informa qual foi a quantidade de dados enviada, uma prática rotineira no uso do BitTorrent. O BitTorrent é o protocolo usado pelos arquivos listados no site “The Pirate Bay”, alvo de ações de grupos de proteção ao direito autoral.
Uma pequena alteração nessa regra poderia permitir que um provedor automaticamente soubesse quem envia quais conteúdos via BitTorrent em sua rede.
Outro exemplo de BitTorrent mostra como criar estatísticas de uso do BitTorrent para saber quantos bytes foram transferidos por um determinado cliente.
Em outro exemplo ainda mais próximo da pirataria, uma regra de exemplo detecta a transmissão de um arquivo MP3 contendo uma marca d’água, que sinaliza um arquivo de distribuição restrita.
Embora os exemplos sejam interessantes do ponto de vista técnico, é questionável por que provedores de internet teriam interesse em “policiar” suas redes inspecionando os dados transferidos.
A proposta já está aprovada, o que significa que provedores que instalarem um serviço de DPI deverão atender a esses requerimentos “mínimos”. Caso isso seja feito, provedores de telecomunicação terão à disposição uma série de novos modelos de negócio, além de um controle mais rígido sobre o que acontece em suas redes.
Se levado a sua última consequência e não regulamentado por nenhuma lei, o padrão teria a capacidade de tirar da internet seu status de “rede genérica”, obrigando novamente as pessoas a pagarem pelo uso de serviços específicos. Isso é muito difícil de acontecer, já que não seria fácil para nenhum consumidor “engolir” essa ideia. Mas a tecnologia estará pronta, ao menos.
Um tratado proposto pela União Internacional de Telecomunicações (UIT), órgão das das Nações Unidas (ONU), foi rejeitado por 55 países na sexta-feira (14), sob a suspeita de que governos teriam mais controle sobre a internet, ameaçando a liberdade de expressão. No entanto, um padrão técnico da UIT, que determina o funcionamento de tecnologias de inspeção de pacotes (dados que trafegam na internet), foi aprovado em um encontro do órgão terminado no final de novembro. A tecnologia descrita no texto é capaz de monitorar certos aspectos do acesso à internet, e dá uma série de possibilidades para provedores.
Padrões da UIT não valem como lei ou regulamentação, mas são essenciais para que todas as operadoras de telecomunicação falem uma “língua comum”. Com o novo padrão, provedores sabem quais tipos de tecnologia devem estar disponíveis em suas redes, permitindo a avaliação de uso de determinados serviços e a alteração do tráfego.
O documento está disponível apenas para membros da UIT, mas um rascunho da proposta vazou na web.
Entre os exemplos dados pelo texto da UIT estão limitações e cobranças baseadas em serviços específicos, bloqueio de tráfego malicioso e “detecção de tráfego anormal”, além da gerenciamento e priorização de tráfego – que envolve a questão polêmica da neutralidade da rede, debatida no Brasil no projeto de lei do Marco Civil.
Na parte mais técnica do documento, que traz exemplos diretos para engenheiros que irão adotar o procedimento, há exemplos que ensinam como criar um filtro que iria identificar usuários que enviam arquivos por BitTorrent e a transferência de arquivos MP3 protegidos.
A tecnologia
O padrão da UIT detalha o funcionamento de da inspeção profunda de pacotes ou “deep packet inspection” (DPI). O documento recebeu o número ITU-T Y.2770 e foi aprovado durante o “World Telecommunication Standardization Assembly” (WTSA), que ocorreu de 20 a 29 de novembro, também em Dubai. O WTSA era um dos três eventos realizados pela UIT em Dubai para discutir questões do setor de telecomunicação.
Com o DPI, as redes dos provedores de telecomunicações podem ser mais “inteligentes”, sendo capazes de identificar qual o aplicativo que gerou determinado tráfego (por exemplo, se é um acesso a um site, uma chamada VoIP ou o uso de um software P2P, como BitTorrent).
No padrão aprovado também está definido que a tecnologia deve ser capaz de determinar certos detalhes sobre os serviços em uso na rede. O texto cita como exemplo um endereço específico de um site acessado, ou o “codec” (tecnologia de compressão) usado em uma transmissão de vídeo.
A tecnologia de DPI é muito utilizada em redes empresariais que precisam controlar, gerenciar e monitorar o acesso à internet para prevenir ataques e evitar o vazamento de informações. O texto da UIT, no entanto, mostra uma preocupação em trazer essa flexibilidade para os grandes provedores de telecomunicação. O padrão prevê que a filtragem e análise dos dados seja feita de acordo com regras criadas por uma “autoridade”, que poderia automaticamente atualizar as regras das entidades que de fato realizam a inspeção nos pacotes.
Em outras palavras, diversos provedores poderiam compartilhar regras para garantir que as mesmas características de serviço e priorização sejam mantidas.
A coluna Segurança Digital havia dito anteriormente que a priorização de tráfego na internet era inviável porque os dados não continuariam sendo priorizados ao deixar a rede de um provedor. Caso a tecnologia padronizada pela UIT seja adotada por todos os provedores, não haverá mais dificuldade para qualquer priorização, já que as regras poderiam ser sincronizadas entre os provedores.
Exemplos
Nos “exemplos de uso” dados pelo documento da UIT, o órgão lista a cobrança diferenciada por serviço (o que traduzindo significaria dados transmitidos em uma chamada VoIP serem mais caros que e-mail, por exemplo) e oferta de serviços de internet restritos a determinados serviços (um acesso 3G que permite apenas e-mail, por exemplo).
Em alguns exemplos de “espionagem”, há regras que permitiriam criar estatísticas sobre o sistema operacional de videogames, detectar um arquivo específico transferido por um usuário específico, e “traffic shaping” – redução de velocidade – para determinadas aplicações.
Redes ponto a ponto (P2P) são citadas diversas vezes. Dois serviços de transferência de arquivos P2P, frequentemente ligados à pirataria, aparecem por nome no documento: eDonkey e BitTorrent. No caso do BitTorrent, um dos “exemplos” lista uma regra que permitiria ao provedor identificar quais usuários de sua rede são “uploaders” no BitTorrent. Esse monitoramento seria feito no momento da conexão ao rastreador, quando o próprio cliente de BitTorrent informa qual foi a quantidade de dados enviada, uma prática rotineira no uso do BitTorrent. O BitTorrent é o protocolo usado pelos arquivos listados no site “The Pirate Bay”, alvo de ações de grupos de proteção ao direito autoral.
Uma pequena alteração nessa regra poderia permitir que um provedor automaticamente soubesse quem envia quais conteúdos via BitTorrent em sua rede.
Outro exemplo de BitTorrent mostra como criar estatísticas de uso do BitTorrent para saber quantos bytes foram transferidos por um determinado cliente.
Em outro exemplo ainda mais próximo da pirataria, uma regra de exemplo detecta a transmissão de um arquivo MP3 contendo uma marca d’água, que sinaliza um arquivo de distribuição restrita.
Embora os exemplos sejam interessantes do ponto de vista técnico, é questionável por que provedores de internet teriam interesse em “policiar” suas redes inspecionando os dados transferidos.
A proposta já está aprovada, o que significa que provedores que instalarem um serviço de DPI deverão atender a esses requerimentos “mínimos”. Caso isso seja feito, provedores de telecomunicação terão à disposição uma série de novos modelos de negócio, além de um controle mais rígido sobre o que acontece em suas redes.
Se levado a sua última consequência e não regulamentado por nenhuma lei, o padrão teria a capacidade de tirar da internet seu status de “rede genérica”, obrigando novamente as pessoas a pagarem pelo uso de serviços específicos. Isso é muito difícil de acontecer, já que não seria fácil para nenhum consumidor “engolir” essa ideia. Mas a tecnologia estará pronta, ao menos.
Pacotão: biometria, cartão de crédito na web e fraude de compras
qua, 19/12/12
por Altieres Rohr |
categoria Coluna
Se
você tem alguma dúvida sobre segurança da informação (antivírus,
invasões, cibercrime, roubo de dados, etc), vá até o fim da reportagem
e utilize a seção de comentários. A coluna responde perguntas deixadas
por leitores todas as quartas-feiras.
>>> Segurança de dispositivos e biometria
Já existe alguma boa solução de hardware para melhorar a segurança? Isto é, uma espécie de teclado/mouse seguro, talvez com chip SIM, de forma que o sistema operacional somente execute comandos previamente validados pelo chip.
E como você avalia as soluções de biometria disponíveis hoje no mercado, elas realmente ajudam a evitar acessos indevidos?
Allan Medeiros
Vamos começar com a primeira pergunta – um “mouse” ou “teclado” seguro. Nesse caso, você está vendo a questão pelo lado errado. O dispositivo de entrada para o sistema operacional é irrelevante.
É o sistema que tem a capacidade de validar os comandos recebidos e verificar se eles devem ou não ser autorizados. Não há ganho nenhum em passar essa tarefa aos periféricos. Na verdade, o periférico teria de ser muito inteligente para conseguir validar o que está sendo enviado ao sistema, porque o periférico envia informações muito simples. Quem reúne e dá sentido e contexto a elas é o sistema.
O que se teme – e aí sim existe um problema – é com entradas genéricas como a USB ou a Thunderbolt. Pense o seguinte: um “teclado USB” pode na verdade ser um “hub” USB e o teclado pode ter um microfone embutido que será usado, junto de outros códigos instalados no PC (por falha no USB ou de outra forma), para gravar informações. Isso é possível e já foi feito em laboratórios. Mas, também nesse caso, o “truque” não está no hardware utilizado; o problema são peças de hardware criadas especificamente para esse uso malicioso. Não adianta criar um teclado seguro se esse teclado vai ser substituído pelo invasor.
O sistema também tem a capacidade de fazer uma validação do hardware. E, de qualquer forma, ainda é preciso que o sistema seja comprometido em conjunto com o uso do hardware malicioso. Na vida real, seria mais fácil simplesmente deixar uma escuta comum na sala, ou instalar um vírus no PC.
Quanto à biometria, em geral a tecnologia não está pronta. O problema é a taxa de acerto necessária: quando você digita uma senha ou utiliza um cartão magnético, não existe erro: caso o cartão esteja em bom estado e a senha digitada esteja correta, o sistema vai funcionar. A taxa de acerto é de 100%. No caso da biometria, é muito mais complicado – diversos fatores podem interferir com a leitura da digital, gerando erros.
Como um sistema que depende da biometria lida com esses erros? Em geral, ignorando-os, justamente porque eles são frequentes. No máximo a pessoa é indicada a realizar um recadastramento da digital, mas ela pode continuar fazendo o que estava fazendo. Veja o caso em que um eleitor votou por outro, apesar da biometria.
Um problema muito difícil de resolver é a imutabilidade da senha. Em quase qualquer sistema, uma recomendação básica é que as senhas sejam trocadas regularmente. A coluna Segurança Digital não vê necessidade da troca regular de senhas, mas ainda é preciso trocar a senha caso algum acesso não autorizado ocorra. Na biometria, não existe forma de trocar a senha depois que se acabaram seus dedos e olhos.
É por esse motivo que em nenhuma hipótese a biometria pode ser o único fator de segurança. É no máximo um adicional.
>>> Produto não entregue
Um amigo meu fez o depósito na conta de uma loja qualquer que vendia um celular de última geração por um preço pouca coisa mais barato que as demais lojas. Resultado: o celular nunca chegou. Minha pergunta é: sabendo que com certeza ele não foi o primeiro e certamente não será o último, por que não é possível exigir das agências bancárias que bloqueiem as contas desses bandidos?
Raino Cezara da Silva
É possível, mas quem precisa exigir isso é a polícia, diante de fraudes adequadamente documentadas.
Ou seja, a sugestão é procurar a delegacia de polícia e fazer um boletim de ocorrência detalhando todos os passos da fraude.
Embora não seja um indicativo ideal, muitos sites fraudulentos oferecem apenas uma única forma de pagamento, seja para roubar o cartão de crédito ou para ganhar diretamente com depósitos de produtos que nunca serão entregues.
>>> Número do cartão na web
É seguro enviar a numeração do cartão de crédito pelo formulário na hora da compra pela internet? A numeração do cartão vai ficar protegida?
Vagner
É seguro sim, desde que: seu computador esteja livre de pragas digitais, e a loja tenha adotado medidas de segurança adequadas e seja confiável. Existem muitos golpes na internet que oferecem produtos a preços incríveis, mas oferecem cartão de crédito como única forma de pagamento. O objetivo nesse caso é apenas roubar os dados do cartão. Nesse caso, o produto comprado normalmente não vai constar do extrato do cartão.
Uma dica é utilizar um serviço de pagamento terceirizado para não ter de fornecer seu cartão diretamente à loja. É claro que nem todas as lojas aceitam pagamentos a partir desse tipo de serviço, mas a chance de fraude é menor e também é mais fácil de rastrear. Tentar adivinhar quem pode ter roubado seu cartão que foi usado em dezenas de lojas é mais complicado.
No entanto, a maior parte das fraudes atualmente ainda acontece por meio do uso físico dos cartões. Dos cerca de R$ 1,5 bilhão de reais em fraudes anuais registrados pela Febraban, R$ 900 milhões ocorrem no meio físico (presenciais) ou por telefone, não pela internet. As fraudes pela internet somam R$ 300 milhões.
Lembre-se que, caso seu cartão seja usado de forma não autorizada, você pode entrar em contato com o banco para comunicar a fraude e solicitar o estorno dos valores cobrados. Ficar atento ao extrato e agir o quanto antes é a melhor recomendação. Se você está tendo problema com uma loja e acredita que foi fraudado, pode ser uma boa ideia pedir para cancelar o cartão e obter outro ainda antes de ele ser usado pelos bandidos.
A coluna Segurança Digital desta quarta-feira vai ficando por aqui, mas não se esqueça de deixar sua dúvida na área de comentários, logo abaixo. Toda quarta-feira eu estou de volta para responder as perguntas. Até lá!
>>> Segurança de dispositivos e biometria
Já existe alguma boa solução de hardware para melhorar a segurança? Isto é, uma espécie de teclado/mouse seguro, talvez com chip SIM, de forma que o sistema operacional somente execute comandos previamente validados pelo chip.
E como você avalia as soluções de biometria disponíveis hoje no mercado, elas realmente ajudam a evitar acessos indevidos?
Allan Medeiros
Vamos começar com a primeira pergunta – um “mouse” ou “teclado” seguro. Nesse caso, você está vendo a questão pelo lado errado. O dispositivo de entrada para o sistema operacional é irrelevante.
É o sistema que tem a capacidade de validar os comandos recebidos e verificar se eles devem ou não ser autorizados. Não há ganho nenhum em passar essa tarefa aos periféricos. Na verdade, o periférico teria de ser muito inteligente para conseguir validar o que está sendo enviado ao sistema, porque o periférico envia informações muito simples. Quem reúne e dá sentido e contexto a elas é o sistema.
O que se teme – e aí sim existe um problema – é com entradas genéricas como a USB ou a Thunderbolt. Pense o seguinte: um “teclado USB” pode na verdade ser um “hub” USB e o teclado pode ter um microfone embutido que será usado, junto de outros códigos instalados no PC (por falha no USB ou de outra forma), para gravar informações. Isso é possível e já foi feito em laboratórios. Mas, também nesse caso, o “truque” não está no hardware utilizado; o problema são peças de hardware criadas especificamente para esse uso malicioso. Não adianta criar um teclado seguro se esse teclado vai ser substituído pelo invasor.
O sistema também tem a capacidade de fazer uma validação do hardware. E, de qualquer forma, ainda é preciso que o sistema seja comprometido em conjunto com o uso do hardware malicioso. Na vida real, seria mais fácil simplesmente deixar uma escuta comum na sala, ou instalar um vírus no PC.
Quanto à biometria, em geral a tecnologia não está pronta. O problema é a taxa de acerto necessária: quando você digita uma senha ou utiliza um cartão magnético, não existe erro: caso o cartão esteja em bom estado e a senha digitada esteja correta, o sistema vai funcionar. A taxa de acerto é de 100%. No caso da biometria, é muito mais complicado – diversos fatores podem interferir com a leitura da digital, gerando erros.
Como um sistema que depende da biometria lida com esses erros? Em geral, ignorando-os, justamente porque eles são frequentes. No máximo a pessoa é indicada a realizar um recadastramento da digital, mas ela pode continuar fazendo o que estava fazendo. Veja o caso em que um eleitor votou por outro, apesar da biometria.
Um problema muito difícil de resolver é a imutabilidade da senha. Em quase qualquer sistema, uma recomendação básica é que as senhas sejam trocadas regularmente. A coluna Segurança Digital não vê necessidade da troca regular de senhas, mas ainda é preciso trocar a senha caso algum acesso não autorizado ocorra. Na biometria, não existe forma de trocar a senha depois que se acabaram seus dedos e olhos.
É por esse motivo que em nenhuma hipótese a biometria pode ser o único fator de segurança. É no máximo um adicional.
>>> Produto não entregue
Um amigo meu fez o depósito na conta de uma loja qualquer que vendia um celular de última geração por um preço pouca coisa mais barato que as demais lojas. Resultado: o celular nunca chegou. Minha pergunta é: sabendo que com certeza ele não foi o primeiro e certamente não será o último, por que não é possível exigir das agências bancárias que bloqueiem as contas desses bandidos?
Raino Cezara da Silva
É possível, mas quem precisa exigir isso é a polícia, diante de fraudes adequadamente documentadas.
Ou seja, a sugestão é procurar a delegacia de polícia e fazer um boletim de ocorrência detalhando todos os passos da fraude.
Embora não seja um indicativo ideal, muitos sites fraudulentos oferecem apenas uma única forma de pagamento, seja para roubar o cartão de crédito ou para ganhar diretamente com depósitos de produtos que nunca serão entregues.
>>> Número do cartão na web
É seguro enviar a numeração do cartão de crédito pelo formulário na hora da compra pela internet? A numeração do cartão vai ficar protegida?
Vagner
É seguro sim, desde que: seu computador esteja livre de pragas digitais, e a loja tenha adotado medidas de segurança adequadas e seja confiável. Existem muitos golpes na internet que oferecem produtos a preços incríveis, mas oferecem cartão de crédito como única forma de pagamento. O objetivo nesse caso é apenas roubar os dados do cartão. Nesse caso, o produto comprado normalmente não vai constar do extrato do cartão.
Uma dica é utilizar um serviço de pagamento terceirizado para não ter de fornecer seu cartão diretamente à loja. É claro que nem todas as lojas aceitam pagamentos a partir desse tipo de serviço, mas a chance de fraude é menor e também é mais fácil de rastrear. Tentar adivinhar quem pode ter roubado seu cartão que foi usado em dezenas de lojas é mais complicado.
No entanto, a maior parte das fraudes atualmente ainda acontece por meio do uso físico dos cartões. Dos cerca de R$ 1,5 bilhão de reais em fraudes anuais registrados pela Febraban, R$ 900 milhões ocorrem no meio físico (presenciais) ou por telefone, não pela internet. As fraudes pela internet somam R$ 300 milhões.
Lembre-se que, caso seu cartão seja usado de forma não autorizada, você pode entrar em contato com o banco para comunicar a fraude e solicitar o estorno dos valores cobrados. Ficar atento ao extrato e agir o quanto antes é a melhor recomendação. Se você está tendo problema com uma loja e acredita que foi fraudado, pode ser uma boa ideia pedir para cancelar o cartão e obter outro ainda antes de ele ser usado pelos bandidos.
A coluna Segurança Digital desta quarta-feira vai ficando por aqui, mas não se esqueça de deixar sua dúvida na área de comentários, logo abaixo. Toda quarta-feira eu estou de volta para responder as perguntas. Até lá!
http://g1.globo.com/platb/seguranca-digital/
Nenhum comentário:
Postar um comentário