Nova falha de segurança afeta computadores com Linux

Depois da Heartbleed e Shellshock, há uma nova falha de segurança afetando computadores Linux. Batizada de “Ghost”, a brecha pode atingir todos os dispositivos rodando versões superiores ao ano 2000.

O bug foi descoberto pela empresa de segurança Qualy e pode ser encontrado no software GNU glibc, a biblioteca “C” que sustenta todos os sistemas Linux e é usada por muitos softwares. Segundo a companhia, o bug afeta a função com o nome “__nss_hostname_digits_dots ()” que, por sua vez, é usado pela função “_gethostbyname ()”.

Assim como muitas falhas de segurança, a Ghost pode extrapolar o buffer, isto é, o espaço temporário de armazenamento de dados durante transferências, o que por sua vez, faz as informações serem gravadas na memória adjacente e permite que hackers executem um código arbitrário.

Ainda de acordo com a Qualy, a brecha existe desde a versão 2.2 do glibc, lançada em novembro de 2000. No entanto, a boa notícia é que a função “gethostbyname” é raramente usada por softwares mais recentes. Além disso, a brecha foi corrigida entre a versão 2.17 e 2.18 do glibc em 2013. Sendo assim, distribuições mais recentes do Linux já devem estar protegidas.

Vale frisar, porém, que os patches (os pacotes de correção) daquela época não foram rotulados como ameaça de segurança para distribuições Linux mais antigas. Deste modo, Red Hat Enterprise Linux 6 e 7, CentOS 6 e 7, SUSE Linux Enterprise 11 e mais velhos, e Ubuntu 12.04, podem ser apenas algumas das distribuições em perigo.

Via SlashGear

Saiba como descobrir se alguém está roubando sua internet Wi-Fi

Ter uma rede Wi-Fi na sua casa é praticamente obrigatório nos dias de hoje, com tantos celulares, tablets, laptops, videogames, TVs e outros dispositivos conectados. Ao mesmo tempo, sempre há a possibilidade de que algum espertinho tenha aproveitado uma brecha mínima que você tenha deixado na hora de criar sua rede e esteja conectado em sua rede sem a sua permissão.

Existem vários modos pelos quais você pode realizar esta tarefa; a mais básica de todas é olhar os LEDs do seu roteador para ver se ele está piscando mais do que seria normal. Isso não vai funcionar, no entanto, se você tiver muitos aparelhos conectados à sua rede, já que você provavelmente não vai identificar nenhuma diferença. Também não há muito que possa ser feito para solucionar o problema por este método.

Outro modo, mais refinado, é acessar as configurações de seu roteador. Qualquer modelo, por mais simples que seja, mostrará uma lista com todas as conexões ativas no momento, possibilitando o bloqueio de qualquer atividade estranha. Infelizmente, cada roteador tem sua própria interface, com menus únicos, então é impossível detalhar como acessar esta opção (é recomendável olhar o manual), mas é necessário acessar as configurações, normalmente disponíveis no endereço http://192.168.0.1.

A última opção, mas não menos útil, é utilizar um programa capaz de identificar conexões estranhas. Um deles é o SoftPerfect Network Scanner, mas há vários outros similares. O software faz uma listagem de todos os IPs e aparelhos conectados na sua rede. Ele é até mesmo capaz de desligar um computador ligado.

Basta seguir o passo a passo abaixo para ver a lista de dispositivos conectados. Se você tem, por exemplo, seis aparelhos conectados na sua casa, mas a lista mostra 9 conexões, por exemplo, há alguma coisa errada.

Reprodução

Reprodução

 

Como criar uma rede segura e evitar conexões estranhas:
A forma mais simples de resolver este problema é resetar o roteador e mudar suas configurações para garantir que isso não aconteça de novo. Os passos abaixos não garantem totalmente a segurança de sua conexão, mas ajudam bastante e são uma camada a mais de dificuldade para possíveis ataques ou ladrões de sinal:

Trocar o nome da rede (SSID) e senha de acesso: ao instalar o aparelho em casa, é obrigatório mudar imediatamente o nome da rede e a senha de acesso. Sem isso, o equipamento usará um nome padrão de fábrica sem senha, que facilita a descoberta do modelo por um possível cibercriminoso. Com esta informação, ele pode explorar as vulnerabilidades que já são conhecidas.

Criptografia WPA2: Como dito antes, o mínimo que você deve fazer é colocar uma senha (de preferência bem forte). Depois disso, outro passo importantíssimo é definir o padrão de segurança. O WPA ou o WPA2 (prefira a segunda opção se possível) são protocolos muito mais seguros que o WEP, que pode ser quebrado com facilidade.

Desativar WPS (WiFi Protected Setup): O recurso pode gerenciar a segurança com mais simplicidade, mas é vulnerável. Em algumas horas, o PIN de 8 números pode ser quebrado por um ataque de força-bruta, deixando a rede exposta.

Ativar filtro de MAC: Com a utilização desta ferramenta, apenas os aparelhos autorizados poderão se conectar à rede. Cada dispositivo possui uma placa de rede própria, identificada por um endereço contendo uma sequência única de letras e números. Ao cadastrar esta informação no roteador, apenas os endereços cadastrados na lista de acesso poderão se conectar.

Desativar exibição do nome da rede (SSID): Ao fazer isso, sua rede fica “invisível” para outras pessoas, dificultando o direcionamento dos ataques. O problema é que será necessário digitar o nome da rede manualmente para cada novo dispositivo que se conecta.

Definir senha para modificar configurações: Além da senha de acesso à rede, é importante criar outra para mexer no roteador em si. Normalmente o equipamento vem com uma senha padrão ou, até mesmo, sem senha, criando uma brecha grave. No caso de algum cibercriminoso conseguir entrar na sua rede, ele poderá modificar o roteador para direcionar o usuário para sites maliciosos que imitam páginas legítimas, entre inúmeras outras alternativas.

Atualização de firmware: Fazer isso deve solucionar erros de segurança críticos e amplamente conhecidos. Na indústria da tecnologia, de um modo geral, um software desatualizado significa mais brechas, então a dica vale para todos os seus dispositivos.

 

Fonte: Olhar Digital

Aspectos de Segurança do “Novo” Protocolo IPv6

Olá Pessoal.

O sexto capítulo do meu livro intitulado “IPv6 – O Novo Protocolo da Internet” é dedicado aos aspectos de segurança do protocolo IPv6. Logo no início desse capítulo explico ao leitor que existe uma “promessa folclórica” de que o IPv6 é um protocolo mais seguro do que o seu antecessor IPv4, porque ele foi projetado na década de 1990, período em que muitas deficiências e vulnerabilidades do IPv4 eram amplamente conhecidas pela comunidade técnica. Por ser mais recente, realmente o IPv6 teve a oportunidade de corrigir várias dessas vulnerabilidades, no entanto, eu diria que ainda é equivocado afirmar categoricamente que o IPv6 é mais seguro do que o IPv4. Eu prefiro pensar que o IPv6 tem potencial para ser mais seguro do que o IPv4.

No entanto, não podemos ser passionais e ignorar o fato de que o IPv6 é um protocolo apenas recente operacionalmente, o que torna sua adoção ainda pouco representativa atualmente. Isso quer dizer que o IPv6, por ser “novo”, traz consigo várias funcionalidades nebulosas em relação ao seu modo de operação e, à medida que sua adoção crescer nas empresas e na Internet, fatalmente surgirão novas modalidades de ataques e novas vulnerabilidades que sequer existiam no IPv4.

Do ponto de vista arquitetural, o IPv6 é realmente mais robusto do que o IPv4, afinal, não podemos esquecer que segurança não era um requisito de projeto na concepção do IPv4, ao contrário do processo de concepção do IPv6 em que segurança foi um dos critérios mais relevantes na escolha da proposta que daria origem ao chamado IPng, ou IP de próxima geração, que posteriormente foi denominado IPv6. Tanto é que o protocolo IPSec foi criado para o IPv6 e somente depois foi aproveitado para operar sobre o IPv4.
Essa afirmação “folclórica” de que o IPv6 é um protocolo mais seguro vem do fato de ele possuir suporte nativo ao IPSec. Por isso, muitas pessoas pensam que todo o tráfego v6 sempre é criptografado automaticamente sem nenhuma intervenção ou configuração do administrador – o que NÃO é verdade! O fato de IPSec estar embutido nos dispositivos (suporte nativo) não quer dizer que a solução de segurança seja autoconfigurada. Ao contrário, as principais soluções de segurança, a exemplo de autenticação e criptografia, deverão ser manualmente configuradas pelo administrador, de maneira bastante similar ao que já é feito atualmente com o IPv4.
No decorrer do livro essa discussão é aprofundada, oportunidade em que apresento um tópico delicado e muitas vezes polêmicos: o fim do NAT no IPv6! 😉 Além dessa discussão, no livro apresento ao leitor os principais ataques conhecidos, bem como os respectivos mecanismos de defesa recomendados para mitigar esses ataques. Os links abaixo direcionam vocês para outros artigos que escrevi no blog e que trazem vários exemplos de configurações de segurança para IPv6 em roteadores e também em sistemas operacionais:
Por fim, aproveito a oportunidade para compartilhar um vídeo recém produzido pelos colegas do NIC.br, em que essa discussão é abordada em apenas 10 minutos! Vale a pena conferir…

Samuel.

https://www.youtube.com/watch?v=Ywg3v9i7IpI
Fonte: http://labcisco.blogspot.com.br
Autor: Samuel Henrique B. Brito

Ano de 2015 terá um segundo a mais

Praticamente todo profissional de TI ao menos as vezes reclama do tempo. Pra ser mais preciso, da falta de tempo. Pois bem, 2015 será um ano longo… Todos teremos tempo de sobra. Ao menos um segundo a mais, de sobra. Mas será que realmente devemos comemorar isso?

O que é esse tal de leap second? É justamente o que o título desse artigo sugere: um segundo a mais, acrescentado na virada do dia 30 de Junho de 2015, para o dia 01 de Julho [1]. Ou seja, os relógios devem contar:

23h59m59s 30/06/2015
23h59m60s 30/06/2015 <—– leap second = segundo extra
00h00m00s 01/07/2015

Na verdade, na maior parte do Brasil estamos no fuso horário UTC-3, então, para nós isso não acontecerá a meia noite, mas sim as 20h59:

20h59m59s 30/06/2015
20h59m60s 30/06/2015 <—— leap second = segundo extra
21h00m00s 30/06/2015

Os profissionais de TI devem se preocupar com isso? Infelizmente sim. Em junho de 2012, na última vez em que houve um leap second, vários sites importantes na Internet (como exemplo o próprio Linkedin [2]) tiveram problemas sérios. Praticamente todos que usavam aplicações Java, e alguns dos que usavam o sistema operacional Linux sofreram problemas, como travamentos ou lentidão. Em dezembro de 2008, na penúltima ocorrência do leap second, muitos sistemas Linux apresentaram também travamentos, embora com impactos menores do que em 2012.

Não há razão para alarme, mas pode haver alguns problemas. Embora os bugs específicos que causaram dificuldades em 2008 e 2012 tenham sido corrigidos, acredito que no mínimo é prudente:

  1. Estudar a situação, procurando entender se e como seus sistemas podem ser afetados.
  2. Zelar para os seus sistemas estejam corretamente configurados, usando NTP.
  3. Realizar testes em ambiente apropriado, com antecedência, simulando o leap second que acontecerá em 30 de Junho.
  4. Programar um plantão para o dia e horário do evento, executando testes apropriados em seus sistemas logo após o leap second.

O que é o leap second? Por que ele é necessário?

Por que existem os leap seconds? É simples. Historicamente medimos o tempo olhando o céu. Acho que todos já viram por aí o termo GMT (Greenwich Mean Time). A posição do Sol medida pelo Observatório Real, em Greenwich, Londres, foi referência por muito tempo para a medida do tempo. Contudo, nem a rotação da Terra, nem sua translação em torno do Sol são tão precisas.

Desde 1967 o tempo é medido por relógios atômicos. Atualmente, a definição do segundo se baseia nas variações no estado dos átomos do Césio. Isso garante precisão e acurácia muito superiores as das medições baseadas em observações astronômicas. Relógios Atômicos, com Césio, estão em laboratórios metrológicos por todo o mundo. Cada país mantem suas próprias referências de tempo. Todos esses laboratórios, contudo, estão integrados, comparando constantemente seus relógios e definindo a escala de tempo que é usada como padrão em todo o mundo. No Brasil, o Observatório Nacional é o responsável pela medição oficial de tempo.

Na verdade existem algumas escalas de tempo diferentes [1]. A escala que é definida diretamente com base nos relógios de Césio chama-se TAI (Tempo Atômico Internacional). Você pode imaginar, contudo, que já que a rotação da Terra não é tão precisa assim, com o tempo, haveria diferenças entre o tempo medido pelo Sol (equivalente ao antigo GMT) e essa nova escala. Ou seja, ao meio dia, depois de alguns anos, o Sol já não estaria mais a pino. Na verdade, sabe-se que a Terra está desacelerando sua rotação lentamente, por causa principalmente do “atrito” causado por nosso satélite natural, a Lua: os dias estão ficando ligeiramente mais longos.

Para uso civil, no dia a dia, é muito mais cômodo continuarmos nos baseando no Sol. Foi criada então uma escala de tempo apropriada, o UTC (Tempo Universal Coordenado). UTC é basicamente equivalente a TAI (no sentido de que o segundo é medido da mesma forma), mas acrescentamos ou ‘pulamos’ um segundo sempre que for necessário, para manter a sincronia com o Sol. Esse segundo a mais, ou a menos, é o leap second. Não há uma periodicidade definida pra isso acontecer. Apesar de na média, lentamente, a rotação da Terra estar desacelerando, ela não é regular. Para o uso no dia a dia, então, o UTC é basicamente equivalente ao antigo GMT.

OK. Já sei o que são leap seconds. Mas por que eles podem travar meu computador?

Os computadores são muito sensíveis ao tempo. O pessoal que escreve softwares, os programadores, sempre consideram duas coisas como verdade, talvez sem parar muito pra pensar no assunto:

Normalmente o NTP, uma tecnologia que permite aos computadores manterem os relógios sincronizados entre si, e com o padrão de tempo mundial, é parte da solução para esse ‘problema’. Se quiser saber mais sobre o NTP em si, veja o vídeo a seguir:

 

O leap second também é tratado pelo NTP e pelos sistemas operacionais dos computadores, contudo, 2008 e 2012 nos provaram que talvez não tão bem assim.

Os problemas relacionados ao leap second podem acontecer basicamente por duas razões:

Devo então parar de usar o NTP ou desligá-lo no dia? Ouvi dizer que o Google faz algo parecido.

Não! Eu penso no NTP como parte da solução (para a necessidade dos computadores trabalharem sincronizados entre si, com o tempo sempre avançando, e sincronizados com um padrão mundial de tempo). E não como parte do problema. Recomendo o uso do NTP (e do www.ntp.br). Dito isso…

O Google adotou uma solução curiosa já há algum tempo [4]. Eles modificaram o tratamento do tempo em seus sistemas, de forma que o leap second é ‘inserido’ com um ligeiro aumento (ou diminuição, se for o caso) da frequência dos relógios no dia previsto, de forma que o tempo vai variando lentamente até que à meia noite, os relógios já estão ‘adiantados’ 1s. Isso garante que o tempo vai sempre avançar para todos os softwares e, dentro do ambiente do Google pode garantir que os computadores continuam sincronizados entre si.

Mas eles perdem ao menos por um dia o sincronismo com o resto do mundo. Isso aparentemente não é um problema para o Google, dada a natureza dos sistemas que operam. Esses sistemas aparentemente toleram a eventual diferença de até 1s entre eles e o resto do mundo. Talvez para outro tipo de empresa contudo, isso seja completamente inviável. Não vejo, por exemplo, a solução do Google sendo adotada pelo mercado financeiro, a menos que fosse algo padronizado e adotado globalmente.

O que aconteceu em 2008 e 2012 deixou claro que a solução atual tem problemas. Talvez a solução do Google deva ser estudada com mais seriedade, mas não para ser aplicada de forma isolada, na sua ou na minha empresa. Só faria realmente sentido, se fosse padronizada.

Aviões vão colidir? Navios vão se perder? Drones atingirão alvos errados? A Internet irá parar? Não teremos energia elétrica? Será o caos e o fim da civilização conhecida?

Não. Não se espera nenhum desastre nem consequências tão drásticas. Se em 2008 e 2012, quando havia menos consciência do problema, não ocorreu nada assim… Se aprendemos já com os bugs e erros de 2008 e 2012 e os softwares estão mais maduros… Então não será agora que teremos caos…

O sistema GPS, que poderia ser motivo de preocupação, não usa UTC. Não considera leap seconds. Obviamente os receptores GPS domésticos que usamos nos smartphones ou carros fazem a devida correção antes de nos mostrar o horário, e até podem eventualmente falhar (isso aconteceu em 2003 com alguns modelos). Mas o sistema GPS em si está a salvo desse tipo de problema.

Por que não acabamos simplesmente com essa história de leap seconds? Não seria melhor?

Alguns acreditam que sim. O assunto, contudo, é controverso e está em discussão na ITU: https://itu4u.wordpress.com/2013/10/11/time-to-leave-leap-seconds-behind/. Aparentemente haverá uma decisão neste ano.

E se nós acelerássemos a rotação da Terra para manter a sincronia naturalmente com os relógios de Césio?

O assunto foi discutido divertidamente nessa edição de what if do xkcd: https://what-if.xkcd.com/26/.

Aparentemente não é viável, ao menos não sem matar praticamente toda a população do planeta. Daí de qualquer forma não precisaríamos nos preocupar com os leap seconds.

Apesar de ser humorístico, vale ler o artigo (em inglês), ao menos pela forma didática com que explicam a desaceleração.

O que fazer, então?

Repito as sugestões do início deste (longo) artigo, para o caso de ter se esquecido delas depois de chegar tão longe…

Acredito que no mínimo é prudente:

  1. Estudar a situação, procurando entender se e como seus sistemas podem ser afetados.
  2. Zelar para os seus sistemas estejam corretamente configurados, usando NTP.
  3. Realizar testes em ambiente apropriado, com antecedência, simulando o leap second que acontecerá em 30 de Junho.
  4. Programar um plantão para o dia e horário do evento, executando testes apropriados em seus sistemas logo após o leap second.

Fonte: https://www.linkedin.com/pulse/espere-um-segundo-mais-em-30jun2015-antonio-m-moreiras

Autor: Antônio M. Moreiras

Confira quais são os 20 sites mais populares do mundo desde 1996

Você conseguiria dizer quais são os sites mais visitados de todo o planeta? Citar Facebook, Google e Yahoo! é uma tarefa obrigatória, mas e os outros componentes do ranking? Ou melhor… e os rankings de 10 ou 15 anos atrás? Pois o jornalista Philip Dump, do site Washington Post, criou uma seleção muito interessante para mostrar tudo isso com bastante facilidade.

Ele separou os rankings emitidos pelo ComScore ao longo de vários anos, criando as listas dos 20 sites mais populares do ano, desde 1996 até 2013 — lembrando que o ano de 2014 ainda não teve as médias de audiência publicadas pelo instituto especializado em medição de público online. Está curioso para saber como estão os resultados? Então confira as divisões que Dump separou, acompanhadas de rápidas explicações

A explosão”.com”

Apesar de a internet já ser uma realidade no início dos anos 90, foi apenas na segunda metade da década que ela se popularizou como algo pessoal. Foi nesse período que sites menos profissionais começaram a surgir, e a internet passou a se mostrar uma ótima ferramenta para a localização de informações. Prova disso está no domínio total do AOL.

eCommerce começa a se difundir

A partir de 2000, é possível ver que os sites de vendas online começam a ficar mais populares. O eBay passa a ocupar o Top 5 em 2002, e outros serviços, como Shopping.com e Amazon, também chegam ao ranking, junto com Walmart, Ticketmaster e vários outros serviços similares.

E aí vem um novo competidor

Na segunda metade dos anos 2000, é possível perceber que um novo competidor chega para ficar. Em 2007, pela primeira vez uma rede social chegou ao Top 20 do ComScore, e é claro que nós estamos falando do Facebook. O serviço apareceu na 17ª colocação, subindo para 11º no ano seguinte e então para 10º em 2009. No ano seguinte, ele dá um salto enorme…

Os rankings mais recentes

Depois de muito tempo sem aparecer nos rankings, o AOL fez sua volta triunfal nos últimos anos — entre 2003 e 2007, os acessos ao site foram computados para a empresa Time Warner. Até 2013, ele ainda figurava no top 5 dos rankings, sendo que as primeiras colocações ficam sempre disputadas entre Google, Yahoo e Microsft. Em 2014 e 2015, há grandes chances de o Facebook aparecer no lugar de uma delas.

2009

20. Adobe
19. AT&T
18. cragislist
17. Weather Channel
16. Viacom
15. The New York Times
14. CBS
13. Apple
12. Turner
11. Glam Media
10. Facebook
9. Wikimedia
8. Amazon
7. eBay
6. Ask
5. Fox
4. AOL
3. Microsoft
2. Yahoo
1. Google
2010

20. Answers
19. Comcast
18. VEVO
17. Fox
16. Domand Media
15. The New York Times
14. eBay
13. Apple
12. Wikimedia
11. Viacom
10. CBS
9. Turner
8. Glam Media
7. Amazon
6. Ask
5. AOL
4. Facebook
3. Microsoft
2. Google
1. Yahoo
2011

20. Wheater Channel
19. Walmart
18. Demand Media
17. VEVO
16. Federated
15. eBay
14. The New York Times
13. CBS
12. Viacom
11. Apple
10. Wikimedia
9. Turner
8. Glam Media
7. Ask
6. AOL
5. Amazon
4. Facebook
3. Yahoo
2. Microsoft
1. Google
2012

20. Answers
19. Walmart
18. VEVO
17. Federated
16. Viacom
15. Comcast
14. Demand Media
13. eBay
12. CBS
11. Turner
10. Apple
9. Wikimedia
8. Ask
7. Glam Media
6. AOL
5. Amazon
4. Facebook
3. Microsoft
2. Yahoo
1. Google
2013

20. LinkedIn
19. Answers
18. Walmart
17. Gannett
16. About
15. Comcast NBC
14. Weather Co.
13. Ask
12. Apple
11. eBay
10. Turner
9. CBS
8. Wikimedia
7. Glam Media
6. Amazon
5. AOL
4. Facebook
3. Microsoft
2. Google
1. Yahoo

Fonte: Olhar Digital

Next Page →