Consolidação vs Segmentação

Hoje, apesar do atraso, respondo ao comentário de meu post do dia 9 de novembro, sobre Next Generation Firewalls. A pergunta foi "como tem evoluido a posicao das empresas em relacao a consolidacao de dispositivos de seguranca, no que diz respeito a famosa "separacao fisica"? Jah eh viavel termos um mesmo chassi implementando - de forma virtualizada - varias camadas de firewalls (externa, DMZ, interna) sem o pessoal de Seguranca ter um ataque cardiaco? "

O que tenho observado é que sim, muitas empresas estão encarando a consolidação/virtualização de firewalls com  naturalidade e, devido ao tema da TI Verde, a virtualização da segurança vem crescendo, mas não ainda no Brasil. Conheço empresas de diferentes segmentos no exterior, como um banco global, algumas empresas de telefonia e vários datacenters que já adotaram firewalls virtualizados, consolidados em um único chassis. Mas vamos por partes.

Segmentar será sempre mais seguro que virtualizar. Diferentes equipamentos permitem um nível de segurança maior que um equipamentos com múltiplas instâncias. Mas há dois fatores que contribuiram para a adoção da consolidação/virtualização:

1. Os produtos de consolidação e virtualização evoluiram e fornecem um nível de segurança muito próximo ao dos equipamentos individualizados;
2. Consolidar/virtualizar reduz custos, o que hoje é uma necessidade. Não é um cenário aceitável para um executivo que os servidores cada vez mais se concentrem enquanto os de segurança continuam individualizados. No exterior até que cunhou um termo para isso: "appliance sprawl", ou proliferação de appliances.

Alguns casos ilustram o que é isso. Um datacenter em um país na América Latina decidiu substituir 200 pequenos appliances de firewall por um único chassi com virtualização de firewall. É claro que um firewall individual por cliente dá mais segurança, mas como, nos dias de hoje, justificar 200 appliances utilizando muito espaço (200 u de rack), 200 patch cables, 200 portas de switch, etc? É claro que a empresa não migraria se o software e o hardware para virtualização de firewall não fossem maduros. Então ai está a questão: as grandes empresas terão que mais cedo ou mais tarde migrar para a virtualização, amparados por soluções mais robustas e maduras. O pessoal da Segurança terá que se adaptar, não tem jeito, procurando meios de implementá-la da forma mais confiável. E a indústria de segurança terá que fornecer as soluções, confiáveis, robustas e maduras.

Um pouco mais sobre TEMPEST

Conforme escrevi em outro post, TEMPEST é para mim uma das coisas mais fascinantes da segurança da informação. Há vários relatos sobre as origens das pesquisas em emissões eletromagnéticas no século passado, o que depois se tornou o que hoje conhecemos como TEMPEST, embora este seja um nome exclusivamente norte-americano. Outros países não utilizam a mesma terminologia. Conta-se que na Primeira Guerra Mundial os alemães fincavam estacas no chão para ouvir as conversas dos inimigos, já que estes usavam somente um fio de telefone para comunicar-se, e o retorno dos telefones ia pela terra.

Uma das histórias, contada em um relatório da NSA (Network Security Agency) relata que durante a Segunda Guerra Mundial um pesquisador da Bell Labs realizava testes em um equipamento de criptografia quando, por acidente, percebeu que cada vez que uma tecla era pressionada no equipamento, uma alteração era registrada em um osciloscópio distante alguns metros. Ao analisar o aparelho, para seu espanto, percebeu que poderia entender o que foi digitado, em texto claro, sem criptografia. O exército americano reagiu de forma "burocrática". Como pesquisadores da Bell Labs conseguiram reproduzir o problema em até 25 metros de distância, determinou-se uma área de segurança de 30 m ao redor dos centros de criptografia. A preocupação dos americanos terminou junto com a guerra, para reaparecer somente em 1951, já com a Guerra Fria, em testes de equipamentos de criptografia realizados pela CIA, a agência de inteligência norte-americana.

Mas não foram só os americanos que se preocupavam na metade da década passada. Conta-se que em 1954 os soviéticos publicaram um manual completo de padrões para redução da interferência eletromagnética, com foco principal em equipamentos de comunicação e teclados, e que já usavam a técnica para espionar os seus inimigos, ou seja, os Estados Unidos.

O principio é que todos os equipamentos emitem ondas eletromagnéticas que podem ser detectadas e interpretadas. Para uma pessoa comum isso é completamente irrelevante, a não ser quando alguém publica um estudo dizendo que tais emissões podem causar doenças como o câncer. No entanto, para quem trabalha com comunicações ou dados confidenciais, faz toda a diferença. Os equipamentos necessários para captar e decodificar esses emanações não são sofisticados: antena e um receptor eletromagnético comuns, porém a complexidade aumenta na mesmo proporção que a distância. Os sinais capturados são então processados por programas que auxiliam na sua interpretação. Já a solução primária para mitigar o problema é a blindagem dos componentes, embora não a única. Há técnicas de adicionar ruído ao que é emitido, tornando o que é detectado ininteligível, embora dependa da qualidade do software utilizado pelo outro lado para limpar a detecção.

Outros métodos de espionagem foram também pesquisados pelas agências de inteligência e cientistas. Um dos mais antigos é o da gravação sonora, não de vozes nem de conversas, mas do som produzido por equipamentos, como por exemplo, teclados. Hoje em dia esse pode não mais ser um problema, no entanto, há trinta ou quarenta anos, teclados e impressoras eram bem barulhentos. Um texto que encontrei na Internet há alguns anos descrevia um método para reproduzir impressões a partir do som das velhas impressoras matriciais. Uma experiência que ficou famosa foi realizada pelo pesquisador holandês Wim van Eck em 1985, na qual conseguiu reproduzir o conteúdo mostrado em um monitor do tipo CRT (de tubo) ao capturar suas emissões. A técnica passou a ser conhecida como Van Eck phreaking e mais tarde se mostrou também eficiente com os modernos monitores LCD, sendo inclusive demonstrada na Cebit em 2006. Outra experiência, realizada pelo pesquisador Markus G. Kuhn da Universidade de Cambridge, em 2003, conseguiu reproduzir o conteúdo de um monitor através da luminosidade difusa refletida na parede. O reflexo foi gravado para então ser processado por um software que “limpou” a imagem, com um resultado surpreendente. Já uma dupla de suiços, Martin Vuagnoux e Sylvain Pasini, realizou com sucesso em 2008 experiências em que capturavam informações digitadas em modernos teclados com fio, dos mesmos tipos que usamos em nossos computadores atualmente. Os resultados estão em um vídeo publicado na Internet. Eles dizem que o mesmo efeito seria produzido com teclados sem fio.

Preocupações Militares

Há algumas semanas ouvi um oficial do Exército Brasileiro expor suas preocupações sobre o uso de sistemas de segurança de TI com tecnologia estrangeira pelas Forças Armadas. Confesso que no inicio achei excesso de preocupação, mas depois refleti que a preocupação pode não ser assim tão exagerada. Afinal estamos falando de Defesa, com "D" maiúsculo. E o oficial do nosso Exército não está sozinho. As Forças Armadas dos Estados Unidos estão preocupadas porque apenas 2% dos 3,5 bilhões dos circuitos integrados comprados anualmente para uso em equipamentos militares são americanos (caderno The New York Times da Folha de São Paulo, de 9/11/2009). O receio é que chips estrangeiros tragam embutidos cavalos de troia criados por inimigos.

Considero a resolução desse problema quase impossível. As linhas de produção de hardware e software de quase todas as empresas estão espalhadas pelo mundo, o que trouxe ganhos de escala e barateamento. Para resolver o problema governos teriam que centralizar desenvolvimento e produção no próprio país ou em países aliados, o que não seria nada fácil. Ademais, aliados hoje podem ser inimigos amanhã. Complicado!

Sobre TEMPEST e a criatividade

Foi noticiado que o TSE convidou vários especialistas em segurança para um concurso cuja objetivo era testar a segurança do sistema de votação eletrônica, uma iniciativa a ser parabenizada. O mais legal foi a maneira como o ganhador, o perito Sérgio Freitas da Silva, realizou o teste que ganhou o prêmio, e que está disponível nessa matéria do IDGNow:
http://idgnow.uol.com.br/seguranca/2009/11/20/perito-quebra-sigilo-eleitoral-e-descobre-voto-de-eleitores-na-urna-eletronica/

O TEMPEST é uma das coisas mais interessantes da segurança da informação, e saber que alguém a usou, nesses tempos em que qualquer pessoa pode "se tornar hacker" ao comprar ou baixar utilitários prontos de invasão e até fazer um curso (!), é uma boa noticia. Quem não é familiar com o assunto pode consultar o Wiki, que traz um bom artigo e links para consulta: http://en.wikipedia.org/wiki/TEMPEST

O pior invasor de sistemas é o criativo, que utiliza técnicas não óbvias, mesmo que simples, e que foge do lugar comum. Um bom exemplo? A invasão do Twitter. A técnica utilizada pelo invasor foi a mais antiga que se conhece: a engenharia social, e explorou a mais antiga das vulnerabilidades: a humana. Ele fez o estrago sem que na verdade nenhum esquema de segurança tenha sido burlado, assim como nenhum sistema tenha sido tecnicamente invadido. Resumidamente (a história completa está disponível no TechCrunch), o hacker pesquisou os dados disponíveis dos funcionários do Twitter em sites de redes sociais, descobriu a senha do email pessoal de um deles para depois obter acesso aos dados da empresa, disponíveis em serviços contratados na modalidade de cloud computing. Estavam em sites de provedores e não em servidores internos. Deu bastante trabalho mas aparentemente ele tinha todo o tempo do mundo, o que, aliás, é uma lição que não podemos esquecer: hackers sempre tem todo o tempo do mundo.

Hackers e a ONS

Impossível não comentar a discussão em torno do apagão, dos rumores da inteligência americana sobre blecautes antigos terem sido provocados por hackers, sobre o programa da CBS - 60 Minutes - insinuando a mesma coisa, e sobre a noticia publicada hoje na Folha de São Paulo sobre vulnerabilidades no sistema da ONS.

Trabalho há muitos anos em segurança para duvidar de tudo. Duvido quando um executivo declara que seu site é seguro assim como duvido quando alguém diz que pode invadir determinado sistema. As coisas não são assim tão simples, tão binárias! É fato que o site da ONS estava com uma baita vulnerabilidade que dava acesso a um ou mais servidores e aplicações. Mas dizer que a partir da daí alguém poderia invadir o sistema de operação é simples chute. Há muitos "se": "se as redes estiverem conectadas", "se o sistema invadido armazenar dados que permitam ...", etc etc. Somente uma avaliação criteriosa pode dizer até onde um invasor poderia chegar e o que poderia fazer. Fora isso é chute.

Mas a imagem romântica do hacker continua. Em nosso imaginário estão filmes como "Duro de Matar 4.0" ou o antigo "A Rede" (alguém se lembra?). Hackers são aqueles que conseguem tudo, feiticeiros do século 21. Pessoas que se intulam "hackers" exercem uma atração sobre as outras. Dizer que trabalha com segurança também. Há um certo romantismo em dizer que um evento como o apagão da semana passada foi obra de hackers. Imagine como será frustrante descobrir que foi incompetência de alguém ou erro operacional de algum sistema que deveria funcionar e não funcionou. Zero de glamour.

Os problemas no site da ONS também não tem nenhum glamour. Nada. Zero. Tratam-se de vulnerabilidades banais que permitem ataques manjados contra servidores de banco de dados e que seriam identificados com um teste simples, que obviamente não foi feito. Incrivel que um site tão importante tenha sido colocado no ar sem a realização de um teste, mas essa realidade é mais comum do que deveria ser. O diretor do DSIC - Raphael Mandarino - declarou à Folha de São Paulo que um servidor do governo foi invadido porque a senha do sistema era a default! Essa é a frustrante realidade do mundo da segurança da informação. Em boa parte do tempo lidamos com essas falhas banais, não com gênios da tecnologia.

Next Generation Firewall

Todos sabemos que os termos em informática possuem significados diferentes de acordo com visões pessoais, principalmente aqueles relativamente novos ou ainda não amadurecidos. É o caso do “Next Generation Firewall” ou simplesmente NGFW, que anda muito em voga nos últimos tempos e merece um olhar mais próximo. Afinal de contas, o seu próximo firewall pode ser um NGFW (ou um firewall comum renomeado para “next generation”, mas aí já é outra história).

Para entender o que é um firewall de próxima geração é importante começar pelo o que seria um firewall “da geração atual”. Um firewall em seu conceito mais básico é um sistema ou dispositivo projetado para bloquear acessos não autorizados. É uma tecnologia bastante antiga, do final da década de 80, o que explica suas deficiências. Nos anos 90 a tecnologia evoluiu, em boa parte graças a CheckPoint, que criou entre outras coisas o conceito de stateful inspection, que se tornou um requisito obrigatório. Com o passar do tempo o firewall tornou-se essencial, quase onipresente, e acabou virando para leigos sinônimo de proteção de rede ou do computador.

No entanto toda a evolução não retirou do firewall sua característica e limitação essencial: tomar decisões a partir de protocolos e portas. Ao mesmo tempo as técnicas de invasão utilizadas por hackers evoluiram gerando outros sistemas de segurança complementares. O mais famoso deles foi o IDS (intrusion detecion system), que depois evoluiu para o IPS (intrusion prevention system). Não os citei por acaso. Firewall e IDS/IPS foram desde o inicio consideramos primos, tecnologias não apenas complementares como simbióticas. Não foi por acaso que na primeira metade dessa década muitos especialistas acreditaram que os produtos de firewall iriam incorporar os de detecção e até provocar sua extinção. Na época o Gartner Group chegou a anunciar o fim da detecção de intrusos como tecnologia isolada. Esse novo produto foi chamado de “deep packet inspection firewall”, ou firewall com inspeção profunda de pacotes, em uma tradução ao pé da letra. Foi a primeira versão de um NGFW.

Hoje sabemos que o “deep packet inspection firewall” não deu certo, pelo menos até agora. Por vários motivos as empresas de firewall não conseguiram integrar componentes eficientes de detecção de intrusos. Por outro lado, as empresas de detecção de intrusos, que tentaram o caminho oposto de integrar um firewall aos seus produtos, também falharam. Mas os esforços não foram em vão. Esse investimento em pesquisa foi um dos geradores da tecnologia que permitiu o UTM, os produtos de segurança multifuncionais para pequenas e médias redes. A diferença entre um UTM e um NGFW é o desempenho limitado do primeiro. O NGFW deveria, desde o inicio, ser um firewall corporativo. O resultado é que as grandes empresas em sua maioria continuam a utilizar equipamentos dedicados para firewall e IPS.

Apesar do fracasso o conceito inicial se manteve, e até hoje o conjunto firewall + IPS continua a ser a base do que as empresas e mercado chamam de NGFW. A diferença é que cada um incorpora ou sugere funcionalidades adicionais. Para o Gartner, por exemplo, o NGFW deveria incorporar, além do IPS, as funcionalidades de identificação de aplicações, integração com outras tecnologias de segurança não instalados no firewall, como filtros web, e recursos avançados de gerenciamento de políticas de acesso. Para outros não deve faltar o chamado firewall de aplicação, tecnologias especializadas para filtrar o acesso a servidores de aplicação ou banco de dados. Um fator de ajuda aos fabricantes é a evolução da capacidade de processamento do hardware e a tecnologia multicore, tanto no processamento de rede como no de aplicação, que já permite que sistemas corporativos de firewall e IPS possam ser executados no mesmo equipamento com bons resultados, embora ainda não existam exemplos de software integrados realmente eficientes. Não é a toa que melhores exemplos atuais de integração são encontrados nos produtos de blade, hardware genéricos que permitem a instalação de produtos independentes em um mesmo chassi.

É possível que com o passar do tempo a idéia evolua para algo mais abrangente, migrando do paradigma de um único produto com superpoderes para o que acabou se tornando de fato o que é NGFW hoje: sistemas diversos integrados em seu gerenciamento e monitoração por processos e/ou tecnologias. Para as empresas o mais importante é o resultado final, não importando se as diferentes camadas de proteção estão em um único produto de software, em diferentes appliances/servidores ou integrados em um grande equipamento com blades de hardware. Além disso as experiências em tentar integrar em um único produto diferentes camadas mostraram que elas não interagem entre si só porque compartilham o mesmo hardware. Pelo contrário, a maioria atua como se fossem produtos independentes. Para piorar, as consoles de gerenciamento estão muito longe de ser a soma das consoles dos produtos dedicados. Todas são limitadas.

Na hora de selecionar produtos corporativos de segurança as empresas devem focar em dois pontos: a eficiência da tecnologia em cumprir o que promete e a eficiência do gerenciamento para que a empresa aproveite os benefícios da tecnologia. É claro que há outros pontos importantes como os custos envolvidos para aquisição e operação, porém o mais importante é que o produto de segurança funcione bem em todos os aspectos, o que inclui não afetar a rede e os sistemas de negócio. Falando especificamente de firewall, deve-se escolher um firewall que faça bem a sua função primordial. Se o produto trouxer outras camadas, ainda melhor. Depois deve-se complementar o firewall com as camadas de segurança necessárias para a operação da empresa, não importando se o produto está ou não integrado ou se é ou não do mesmo fabricante. Se for, é melhor. Por fim deve-se integrá-los na camada de gerenciamento, com processos ou software se for o caso, para correlacionar eventos e gerar informação. Em outras palavras, NGFW é a solução de segurança implementada para proteção de rede que ao mesmo tempo que a protege contra diferentes tipos de ataques, fornece ao administrador de segurança informações úteis que o ajudem a identificar e mitigar ameaças. Pode ser um produto ou vários, gerenciado pela empresa ou por um prestador de serviços. A forma, na verdade, é o que menos importa, se o resultado for o que a empresa precisa.

Um Mundo Perigoso

Há alguns anos assisti uma palestra na qual o apresentador gostava de repetir que a Internet é mundo perigoso. Um relatório da Websense indica como crítico o uso das redes sociais como propagador de sites maliciosos, e a principal característica dessa onda é justamente aproveitar do fato que a confiança é algo implícito nas redes sociais. Estamos lá para compartilhar e acessar o que é compartilhado. É uma pena que a Internet é feito por pessoas, que são as mesmas fora e dentro da rede, e que esta é um ótimo refúgio para pedófilos, criminosos e desocupados em geral.

O Phishing por email irá acabar?

Começo a pensar que em algum tempo o email como método de envio de phishing será abandonado, sendo substituido pelas redes sociais. Nada contra as redes sociais, que não tem nenhum caráter malicioso. No entanto os hackers sabem muito bem como se aproveitar de novos métodos de ataque. Vamos usar o Twitter como exemplo, embora o exemplo sirva para outros sites também.

Enviar phishing por email é complicado. A mensagem precisa parecer séria, publicidade ou similar, ou então se fazer passar por mensagem de uma empresa. O autor também precisará ocultar bem a URL e montar sua mensagem de modo que evada os sistemas antispam e antiphishing instalados. No Twitter a tarefa é bem mais simples. Por serem pequenas, as mensagens não precisam parecer o que não são. Uma simples mensagem como “estou numa festa legal http://bit.ly/...” já serve como isca.

Além disso as mensagens se aproveitam do fator social. É uma rede de relacionamento, e pessoas estão lá para compartilhar experiências, informações e idéias. Muitos são amigos virtuais, cujo relacionamento ocorre apenas via internet. Há muito menos filtros técnicos e humanos que o email. O hacker nem precisaria invadir a conta de um usuário para enviar uma mensagem, embora também possa fazer isso. Poderia enviar de uma ou mais contas suas, criadas com esse intuito.

SPAM no Skype

Já sabemos que hackers estão sempre buscando novas formas de espalhar seus programas. Daí que não me espanta os recentes problemas no Twitter e outros sites de relacionamento. Também não me espanta o que anda ocorrendo no Skype. Não me espanta, mas me irrita bastante!

Ao lado está uma cópia de meu Skype. Eu recebo diariamente ao menos 5 "convites" de contato, de usuários distintos e todos com URLs com propósito claro de executar download involuntário. Não tive tempo de testar-las mas não tenho dúvidas sobre o resultado final se eu as clicasse.

As primeiras reclamações e discussões datam do último trimestre de 2007. Infelizmente até agora nada foi feito de concreto. Em um contato com o suporte técnico do Skype, a recomendação é que eu desligasse a notificação de novos pedidos de contato. Como bem explicou o técnico de suporte "isso não eliminará o problema, você continuará a receber os convites de contatos, mas não aparecerá mais notificações". Dessa forma ao longo do mês os cerca de 100 convites fraudulentos que eu receberia iriam permanecer na minha tela, mas eu apenas não seria avisado. Sem comentários!

Um post de 19/08 no blog do Skype anuncia medidas que ainda serão anunciadas. Mas os comentários mostram também o nivel de irritação dos usuários. O post está em: http://share.skype.com/sites/en/2009/08/our_antispam_initiatives.html

Isso mostra como os desenvolvedores em geral estão despreparados para lidar com os problemas de spam e segurança. Para sistemas de relacionamento e IM/VOIP como o Skype isso pode ser fatal, já que os usuários podem simplesmente migrar para outro site ou software.

Palestra "Green Security"

No inicio do mês apresentei palestra na Netcom 2009, evento na área de redes, com o tema de Green Security. A palestra abordou a aplicação de conceitos de TI Verde em segurança de redes, como virtualização, consolidação, segurança como serviço. Para quem se interessar, e só me enviar um email que respondo com os slides.

Botnets, as 10 +

A Network World publicou artigo bem interessante, com o título de “As 10 botnets mais procuradas da América”. Há alguma confusão entre a botnet e o malware utilizado, mas não deixa de ser uma boa leitura. Juntas, as redes listadas somam mais de 12 milhões de computadores infectados. O artigo também resume as atividades executadas por cada rede.
Em http://www.networkworld.com/news/2009/072209-botnets.html.

Cyberwar

Há muito se fala do uso da Internet como ferramenta de ação política ou militar, no que nos acostumamos a chamar de cyberwar, ciberguerra ou gerra cibernética. Apesar de ainda fazer parte do imaginário e dos temas de filmes de Hollywood, alguns fatos esse ano mostraram que a realidade pode estar mais perto do que parece.

Na semana de 4 de Julho, diversos sites da Coreia do Sul e dos Estados Unidos sofreram ataques denial of service, e culparam a inimiga histórica – Coreia do Norte. Um dos resultados foi o anuncio de uma nova unidade militar na Coreia do Sul especializada em defesa digital. Em 25 de Junho o site do Telegraph do Reino Unido (http://www.telegraph.co.uk) publicou notícia sobre a acusação, por parte de um alto funcionário do governo daquele país, de que a China, Russia e a Al-Qaeda estavam promovendo ataques contra a infraestrutura digital do país, e que o governo britânico estava lançando uma nova estratégia para defesa digital, incluindo ataques terroristas que poderiam ser lançados no futuro. Coincidência ou não, o governo dos Estados Unidos anunciou há algumas semanas um novo plano de defesa contra ataques e uma nova estrutura organizacional, com pesados investimentos e um claro aviso de que pode revidar ataques cibernéticos militarmente, com forças convencionais, para deixar bem claro. De qualquer forma, os países anunciaram que o contra-ataque faz parte da estratégia.

Não considero que chegamos ao ponto, como alguns já falam, de uma nova guerra fria, cibernética e virtual; mas o fato é que os ataques contra a Coreia do Sul e a Estônia em 2007 mostraram que é possível atingir e causar danos sérios a um país via ataques coordenados. Para quem não se lembra do caso da Estonia, em 2007 uma ataque praticamente tirou o pequeno país do ar, incluindo sites governamentais e privados. Houve acusações contra a Russia, porém nada foi provado. Em alguns países totalitários, como China e Irã, já há uma “guerra cibernética” em curso, entre o governo que tenta bloquear o acesso livre à Internet e grupos de dissidentes com suas ferramentas para burlar os sistemas de controle. É uma situação diferente, porém o motivo da censura é político. Uma preocupação dos países ocidentais é impedir que a Internet seja usada para coordenar e sincronizar ações terroristas “físicas”. Porém aqui já entramos em outra discussão: como prevenir o mau uso sem atingir a privacidade.

Mas o que é fantasia e o que é realidade? O que realmente pode ser feito contra um país a partir da Internet? O ataque à Estonia mostrou uma das possibilidades: um ataque denial of service, retirando serviços essenciais do ar. Um ataque DoS bem sucedido pode não comprometer a infraestrutura física de um país, mas certamente causa danos e prejuizos, além do efeito psicológico. Realizar esse ataque não é hoje algo especialmente complicado, dado às redes bot com milhares e milhares de computadores ao redor do mundo. Por outro lado, redes do mundo todo estão mais preparadas para lidar com esse tipo de ameaça. Outro evento possível, e o que mais reclamam países como Estados Unidos e Reino Unido, é o de espionagem. Técnicas existem, assim como farto conhecimento de como explorar vulnerabilidades para invadir redes de computador. É certo que muitos casos de vazamento são simplesmente erros crassos de usuários ou administradores de sistemas, mas enfim essas são vulnerabilidades exploráveis, como qualquer outra. Outros ataques, que derrubariam redes de energia elétrica, telecomunicações ou até aviões ainda continuam no espaço da ficção, e pelo que parece os governos estão tentando fazer com que lá permaneçam.

É notável que os Estados Unidos, onde há bem mais de dez anos diferentes agências governamentais como CIA, FBI e NSA (agência de segurança nacional) atuam ativamente na área de segurança cibernética, ainda esteja procurando a estratégia ideal. Tive a oportunidade de conhecer alguns profissionais que antes de trabalharem no setor privado atuaram em unidades especializadas. Um deles trabalhou no Exército americano e tinha como função investigar ataques à rede da instituição em qualquer lugar do mundo, com o complicador que muitas vezes o patrocinador do ataque era o governo de outro país. É seguro dizer que segredos militares foram muitas vezes roubados.

O Governo Brasileiro felizmente também está se organizando, com o Departamento de Segurança da Informação e Comunicações (DSIC), que faz parte do Gabinete de Segurança Institucional da Presidência da República, o que é bom sinal, já que está subordinado diretamente ao Presidente. Uma estrutura centralizada de coordenação e planejamento é mesmo essencial. De acordo com o site Convergência Digital, do portal Terra, a administração pública federal possui 320 redes informatizadas e, em apenas uma delas, os ataques de hackers chegaram a três milhões em 2008.

Em comparação aos seus similares na América do Norte e na Grã Bretanha, o DSIC possui hoje desafios mais prosaicos, porém não menos complexos: disseminar os conceitos de segurança de informação aos quase um milhão de servidores públicos. Isso não quer dizer que seja menos importante. Vulnerabilidades causados por erro humano são as mais fáceis de explorar e as mais dificeis de prevenir e detectar. Geralmente é tarde demais e o arquivo sigiloso já foi perdido ou vendido. Não adianta investir em hardware e software se os dados continuarem a passear sem controle, ou protegidos por senhas fracas e conhecidas, ou sem senha alguma. Por outro lado o governo brasileiro possui alguns dos melhores e mais bem preparados grupos de resposta a ataques do país, em empresas como o Banco do Brasil, Petrobras e Serpro. Aos poucos esse conhecimento será disseminado para governos estaduais e municipais, além de empresas privadas.

Não precisamos chegar ao ponto do Paquistão, que proclamou em 2008 uma lei que pune com a pena de morte os autores de ciberterrorismo, mas é essencial que a infraestrutura e os serviços digitais, assim como dados sigilosos e importantes para o país estejam protegidos.

Ajudando hackers a invadir sua empresa

Há algum tempo, um post no blog da Errata Security chamou minha atenção. Com o sugestivo título de “Cyberspyes #2” (http://erratasec.blogspot.com/2009/04/cyberspies-2.html), o autor comentava sobre uma notícia falsa, uma barriga no jargão do jornalismo, publicada nos dias 8 e 9 de abril, sobre supostas invasões à rede de distribuição de energia elétrica dos Estados Unidos por espiões russos e chineses. A notícia saiu em midias importantes dos Estados Unidos: Wall Street Jornal, BBC News, Reuters e CNN. Como a característica principal da Internet é a velocidade da informação, comprometendo obviamente sua qualidade, a noticia foi replicada em diversos blogs e sites mundo afora. A revelação da barriga saiu da própria comunidade de segurança, incluso de profissionais independentes que são contratados para testar os sistemas de infraestrutura norte-americanos.

Notícias sobre invasões digitais e cyberwar saem a toda hora, há muitos anos. Algumas são verídicas, outras simplesmente alarmistas. Mas nessa história da suposta espionagem à rede elétrica dos Estados Unidos, o artigo mais interessante foi publicado ainda em abril no site do Economist (http://www.economist.com/opinion/displaystory.cfm?story_id=13527677). Nele o jornal discute a possível origem da notícia falsa: uma disputa interna entre diferentes órgãos de segurança interna dos Estados Unidos por espaço e fundos dentro do novo orçamento que o governo Obama irá definir para segurança digital. Caso o Economist esteja correto, essa versão é mais assutadora que a notícia de espionagem e vulnerabilidade da infraestrutura do país mais poderoso do mundo. Os próprios responsáveis pela segurança nacional estariam plantando notícias, e imagina-se o que mais, para desfrutar de mais poder e dinheiro.

Alguns dias antes desse fato, a CNN publicou um artigo sobre as vulnerabilidades do “Smart Grid”, a rede de distribuição elétrica inteligente, iniciativa criada para reduzir custos e aumentar e eficiência do sistema. O objetivo do Smart Grid, uma iniciativa em escala global, porém prioridade do governo dos Estados Unidos, é modernização das redes de transmissão e distribuição de energia através do emprego de uma série de equipamentos e software. O título do artigo “Smart Grid pode ser vulnerável a hackers” soa um tanto óbvio para especialistas de segurança, e possui um tom alarmista desnecessário. A modernização via o Smart Grid irá adicionar novas vulnerabilidades ao sistema que controla energia, seja qual for o país que o implemente, não porque seja ruim, mas porque qualquer sistema de informática ou transmissão de dados possui vulnerabilidades, tal qual redes de telefonia VoIP, internet banking e votação eletrônica. O fato desses sistemas possuirem vulnerabilidades não significa que não devam ser usados, e sim que devem ser implementados controles para mitigar o risco dessas delas serem exploradas. Alardear que a implantação deve ser retardada até que suas vulnerabilidades sejam sanadas não faz nenhum sentido. Se fôssemos seguir a regra não teriamos hoje em dia nem a web mais básica.

Então sempre é bom recordarnos de alguns conceitos elementares, que nunca ficarão obsoletos:
1. Qualquer sistema de informática possui vulnerabilidades
2. Qualque sistema possa ser invadido por alguém que possua conhecimento, acesso e motivação para tal. Não há sistema 100% seguro.
3. Risco é o resultado da equação vulnerabilidades x ameaças x valor do ativo. Portanto o aumento do nível de vulnerabilidades não significa que os riscos serão aumentados irremediavelmente. Novas vulnerabilidades são compensadas por controles que reduzem a exposição a ameaças.
4. Se o dito ativo ou sistema não possui valor, e não pode ser usado para invadir outros sistemas, esqueça. Não desperdice dinheiro com ele.
5. O guia dos investimentos deve ser o valor dos ativos. Identificando-se os ativos mais importantes deve-se atuar sobre vulnerabilidades e ameaças.

Esses fatos são uma boa oportunidade para procurar em nossas empresas ocorrências semelhantes. Boas idéias não devem ser descartadas somente porque possuem riscos. Estes devem ser tratados. É função da área de segurança procurar o equilibrio e indicar o caminho com menor risco para implementar a idéia. Normalmente boas idéias estão associadas a bons negócios e uma má implementação, não segura, pode simplesmente destrui-la. Assim a área de segurança se torna uma peça fundamental para os negócios de qualquer empresa: viabilizar seus negócios através de meios digitais. Qualquer coisa diferente disso é paranóia inútil. Por outro lado, ignorar a importância das medidas de mitigação de riscos, portanto da área de segurança, nos novos negócios e implementações, achando que as tecnologias tem a segurança nelas embutidas é achar que o mundo é cor de rosa. Pura inocência.

Uma das coisas que mais atrapalham a implementação bem sucedida de controles de segurança são as disputas entre departamentos, muito similar às disputas entre os órgãos do governo americano. Elas, além de nada ajudar, ainda pioram a situação porque ajudam a manter abertas vulnerabilidades que podem ser exploradas, as janelas de oportunidade dos hackers. O nível de segurança e vulnerabilidade deve ser divulgado como é, nem a mais, nem a menos. Esconder vulnerabilidades ajudam invasores, sejam programas ou pessoas, já que as falhas omitidas não são corrigidas. Disputas internas quase sempre levam a empresa a gastar onde não deve, com prioridades erradas.

Protegendo ambientes virtuais

Para aqueles que estão pensando em iniciar um projeto de virtualização de servidores com segurança, recomendo uma lida no artigo de Ricky M. Magalhaes publicado no site da WindowSecurity. A data é de 30 de Abril de 2008, mas está atualizadissimo. Segue o link: http://www.windowsecurity.com/articles/Security-Virtualization.html

Contra-ataque e ética.

A Network World publicou essa semana um artigo muito interessante de M. E. Kabay, "Kraken the botnet: The ethics of counter-hacking" ( http://www.networkworld.com/newsletters/sec/2009/031609sec1.html?tc=sec ) onde o autor discute a ética do contra-ataque usando um fato ocorrido na Tipping Point, cuja direção não permitiu que seu grupo de pesquisa criasse uma ferramenta automática de limpeza do bot Kraken, o qual iria eliminar o programa malicioso de milhares de computadores infectados, porém sem avisar o usuário. Vale a pena a leitura e pensar no assunto.

Criador de botnet é sentenciado nos Estados Unidos

Saiu na ComputerWorld americana e no IDGNow aqui no Brasil que a justiça america condenou John Schiefer, que infectou 150 mil computadores e foi acusado em 2007, a quatro anos de prisão mais multas. A noticia completa está em http://idgnow.uol.com.br/internet/2009/03/06/lider-de-rede-bot-pega-4-anos-de-prisao-por-roubo-de-dados-nos-eua/

Schiefer trabalhava como consultor de segurança em Los Angeles, nos Estados Unidos. É de se pensar o que leva um sujeito com um bom emprego a cometer fraudes. Assim como é de se pensar o alcance e poder das redes bot atuais. Outra noticia a respeito de Schiefer falava em 250 mil computadores infectados, com sucesso na interceptação e roubo de credenciais de usuários. Considero hoje as redes bot como o maior problema da segurança digital, e deve ser o principal foco dos administradores de segurança.

Segurança para Redes 3G

As redes de telefonia móvel se mantiveram nos últimos anos a margem das discussões de segurança e proteção de redes. Mas o tempo em que a única ameaça a elas era a clonagem de celulares parece ter chegado ao fim. A causa dessa mudança é a chegada das redes 3G e a massificação das redes 2.5G, que tornaram as operadoras de telefonia celular verdadeiros provedores de Internet. Ademais o 3G pode causar um efeito semelhante ao causado pelo acesso residencial em banda larga, popularizando o uso da Internet móvel, atraindo negócios e, como é inevitável, hackers.

Uma rede 3G, apesar de diferente de uma rede local ou corporativa, também está fortemente baseada nos serviços e protocolos IP. Podemos dizer que o mundo 3G é em realidade um mundo IP, com todas as suas vantagens e desvantagens, nesse caso vulnerabilidades e fragilidades em sua arquitetura de segurança. O seu principal protocolo, GTP (GPRS Tunneling Protocol), que encapsula o protocolo IP, foi criado sem muitas preocupações com segurança. Não há nenhum nível de autenticação, verificação de integridade de protocolo ou dados, ou mecanismos de proteção de confidencialidade, como criptografia. Em segurança isso tem uma significado claro: ataques sem dificuldade.

Aos poucos as redes móveis vão ficando parecidas com suas similares cabeadas e semfio também nos dispositivos de acesso. Há três tipos principais de dispositivos: telefones “comuns”, smartphones/PDAs e laptops. Dos últimos não é necessário falar muito. Todos rodam sistemas operacionais com vulnerabilidades (seja Windows, Linux ou MacOS) e que podem ser utilizados por hackers diretamente ou como hospedeiros para ataques. Já os smartphones e PDAs estão cada vez mais próximos de um computador comum, apesar de rodarem sistemas operacionais específicos e menos visados. Entretanto, desde já esses dispositivos podem ser usados para lançar ataques, ou ser infectados via técnicas hoje comuns aos usuários de computadores, como os downloads involuntários.

O primeiro impacto às redes 3G vem da sua incapacidade em eliminar tráfego indesejado. É possível configurar alguns filtros de acesso, porém sem a granularidade e poder suficiente para separar o joio do trigo. A consequência é o desperdício de largura de banda com os investimentos decorrentes em infraestrutura para manter a qualidade da conexão dos usuários. Em situações extremas esse tráfego indesejado pode causar lentidão, prejudicando o acesso, e até queda de serviço, no que seria um ataque DoS – denial of service. O nível de vulnerabilidade dos componentes de uma rede 3G ao DoS é o mesmo dos componentes de uma rede local, e até worms típicos de redes locais podem também causar problemas de uso exagerado de banda no backbone da rede móvel.

Outro ataque que preocupa as operadoras é o over-billing, uma espécie de clonagem moderna, mais elaborada e mais dificil de impedir. Nesse ataque o fraudador utiliza a rede e faz downloads utilizando-se da conexão de um usuário da operadora, que no final é cobrado, ou vê sua franquia utilizada. O over-billing é bem mais dificil de detectar e ser percebido. Enquanto na clonagem fica claro que alguém usou seu telefone para chamadas que você não fez, nessa nova fraude o uso indevido fica oculto dentro do plano de dados, normalmente vendido em megabytes.

A proteção de uma rede 3G também não é muito diferente do que estamos acostumados. As principais tecnologias de defesa são sistemas de firewall, detecção e prevenção de intrusos, e detectores de anomalias de tráfego. A diferença é que a esses sistemas se requer o suporte e decodificação dos protocolos utilizados na rede 3G, como o GTP. Definir a localização dos dispositivos também não é complicada. Em geral as redes 3G possuem dois pontos de perímetro: um com a Internet e outro com redes de outras operadoras, possibilitando o roaming.

A conexão entre o core da rede 3G e a Internet ou outras redes IP externas chama-se Gi e é na prática uma conexão IP normal, e mesmo sistemas firewall e IPS tradicionais podem ser instalados nesse ponto. Já a conexão com outras operadoras chama-se Gp e nele se requer suporte ao protocolo GTP. O roaming é um elemento de risco inerente ao negócio da telefonica móvel, já que as redes das operadoras necessitam estar abertas e conectadas a outras operadoras, assim é essencial manter o core da rede protegido de outras redes problemáticas.
Um terceiro ponto passível de monitoração é o backbone da rede, chamado de Gn. A instalação de sistemas de análise de anomalias, firewalls e IPS nesse ponto complementa a segurança e dá ao administrador maior visibilidade e controle sobre o tráfego.

Embora aparentemente seja simples saber o que deve ser feito, instalar mecanismos de proteção e monitoramento em uma rede 2.5/3G é uma operação delicada, já que estamos falando do core da rede de serviços. Um erro de configuração pode causar panes e problemas que afetariam diretamente a operadora e seu negócio, com prejuizos imediatos. Os requerimentos portanto, são muito mais rigídos do que os utilizados para a proteção das redes corporativas. Além disso os requerimentos de capacidade de tráfego são maiores, e a taxa de crescimento da largura de banda, muito maior. Itens como alta-disponibilidade, tolerância a falhas, self-healing e resiliência são mais do que pré-requisitos. Apesar desses desafios, em um negócio tão competitivo como o da telefonia móvel, a segurança pode ser não apenas uma ferramenta para evitar problemas como um importante aliado para a melhoria da eficiência operacional e para o próprio negócio.

Cloud computing, e segurança nas nuvens

Cloud computing, ou computação em nuvem, é um daqueles termos que todos falam e significa muita coisa. Uma das definições é a de centralização do processamento em servidores e mainframes instalados fora da empresa, em um datacenter de um fornecedor. Isso significa que o gerenciamento e segurança do ambiente passam a ser de responsabilidade desse provedor, que estará sob um SLA de altissimo nível e tendo que proteger uma rede extremamente exigente em termos de desempenho. Mesmo que empresas criem suas próprias nuvens de aplicação para uso interno, irão requerer muita banda de rede e níveis altissimos de segurança para as redes e servidores. Certamente em 2009 os principais fabricantes irão começar a difundir sua visão de segurança para o cloud computing, e a lançar produtos e versões. A ver

Tendências 2009: Endpoint Protection

... Ou como proteger o usuário enquanto o deixa trabalhar?

No passado não tão distante assim a segurança do usuário final era sinônimo de um único – e leve – agente de segurança instalado: o antivirus. Mas o cenário das ameaças digitais se expandiu, e com ele o leque das tecnologias de segurança. Sobretudo por conta da mobilidade o computador do usuário final se tornou parte do perímetro da rede e portanto passou a requerer toda a parnafenália de segurança habitual dos perímetros. Traduzindo: firewall, cliente VPN, IPS, antivirus de assinatura, antivirus de comportamento, anti-spyware, proteção de aplicações e, agora, agente DLP. É muita coisa. No computador em que escrevo esse artigo, com Windows XP e apenas o MS Word aberto, 500 MB estão ocupados. Com o Windows Vista seria muito mais.

E a realidade é que muitas empresas, talvez a maioria, ainda possuem em grande escala desktops com 512MB de RAM, deixando muito pouco para as aplicações de negócio. Esse é o imblóglio que os fabricantes precisam resolver. Provavelmente não será resolvido em 2009, mas os clientes estão pressionando por algo mais eficiente, sem falar na questão do gerenciamento.

Tendências 2009: Data Loss/Leakage Prevention

Em 2008 várias empresas no Brasil se interessaram e avaliaram sistemas DLP, para prevenção da perda de vazamento de dados. Como também já comentei em outros artigos, DLP é muito mais do que sistemas de detecção de uso de informações confidenciais, porém esses sistemas são um componente essencial. Em 2009 haverá uma amadurecimento do mercado – sobretudo dos usuários – a respeito do que é essencial e do que é exagero do tema do DLP.

Um ponto que está gerando muita discussão é o dos agentes DLP nas estações de trabalho. Apesar das novas estações de trabalho estarem sendo adquiridas com 1GB de RAM ou mais, o próprio sistema operacional Windows está exigindo e consumindo boa parte dessa memória, o que nos leva ao problema comum de que instalar muito software administrativo no desktop acaba por reduzir seu desempenho para as aplicações de negócio, o que aumenta em muito o custo ao exigir mais recursos de CPU e memória. Essa discussão nos leva ao próximo ponto.

Tendências 2009: UTM e Virtualização

A crise econômica alidada à questão ambiental está trazendo uma oportunidade para os já conhecidos sistemas UTM – Unified Threat Management, lançados há pouco mais de cinco anos e de acordo com o IDC, que cunhou o termo, irá evoluir para outra plataforma, o XTM – Extended Theat Management.

As soluções de UTM são um sucesso nas pequenas e médias empresas, além das redes distribuidas de grandes corporações, e já são comercializados pela maioria dos fabricantes. Embora com diferentes funcionalidades, todos os produtos compartilham as funções básicas de firewall, VPN, intrusion detection/prevention e antivírus. O sucesso do UTM se deve à simplificação dos processos de compra, instalação, gerenciamento e manutenção; com o efeito imediato de redução de custos. Esse sucesso está alavancando o UTM para as grandes redes, mais precisamente para o backbone das redes, sob pressão para também se tornarem mais ‘verdes’, compatíveis com o esforço do Green IT.

É nesse sentido que o IDC indica o conceito de XTM como sua evolução natural. O ambiente das redes corporativas, e sobretudo dos backbones, exigem funcionalidades antes não previstas na arquitetura dos UTM, concebidos para pequenas redes. O principal deles é performance, que necessita alcançar os 10Gbps enquanto mantém baixa latência. O IDC ainda aponta outros elementos para o XTM: gerenciamento mais completo, funcionalidades de rede como load balancing e suporte amplo a protocolos, e suporte a tecnologias de segurança mais complexas. O ano de 2009 parece portanto uma excelente oportunidade para o mercado de UTMs.

Ainda sob o guarda-chuva do Green IT temos a questão da virtualização, já comentando por mim em um artigo. A virtualização da segurança não está tão disseminada quanto o UTM e ainda há poucos fabricantes com soluções maduras no mercado, mas a maioria deles irá lançar produtos ou versões virtualizadas de seus produtos. Assim virtualização será um assunto corrente em 2009. Também será muito comentado no ano a questão da segurança em ambientes virtualizados, tema que deverá ganhar muita importância em 2010.

Tendências para 2009

O que esperar de 2009? Finalmente chegamos a 2009! Escrevo ´finalmente´ porque muita gente queria que 2008 acabasse logo, de preferência junto com a crise financeira/econômica. Infelizmente o Ano Novo foi comemorado sob incertezas dos impactos para o mercado de TI. Há também incertezas sobre a reforma ortográfica. Não que ela tenha algum efeito sobre segurança, mas já começaram a circular os spams oferecendo guias e miraculosos corretores, que provavelmente não irão fazer nada além de instalar malware nos computadores dos desavisados.

Minhas tendências para 2009 (irei comentar uma a uma em posts futuros)

• UTM e Virtualização
• DLP
• Mudanças na proteção das estações (Endpoint Protection)
• Segurança para cloud computing

Profissionalização do Crime Digital e a Floresta Amazônica

Vale a pena ler o artigo do Greenpeace “Hackers help destroy the Amazon rainforest” (Hackers ajudam a destruir a Floresta Amazônica) no endereço http://www.greenpeace.org.uk/blog/forests/hackers-help-destroy-amazon-rainforest-20081212. De acordo com o Greenpeace, o Ministério Público do Pará está investigando a contratação de hackers para invadir e fraudar os sistemas de controle do Governo, afim de permitir a exploração ilegal de madeira na Amazônia.

Esse artigo nos remete ao tema da profissionalização do crime cibernético, ou como os grupos de hackers estão vendendo cada vez mais seus serviços. Um ótimo comentário está no blog Frequency X: http://blogs.iss.net/archive/RainforestHackers.html.

Perguntas (talvez) incômodas

Todas as áreas do conhecimento humano possuem suas perguntas, digamos assim, incômodas ou impertinentes. Ou porque vão contra o pensamento comum (e confortável), ou porque tocam em pontos polêmicos. Não seria diferente em segurança da informação. Vejamos quatro dessas questões. Meu objetivo não é julgá-las e sim listar argumentos para que cada um construa sua opinião.

Senhas

A primeira é a respeito das senhas. Está nas boas práticas da segurança desde sempre que as senhas devem ser alteradas periodicamente, em média 90 dias. Dez em dez políticas de segurança possuem essa regra, e ninguém questiona isso. Quando perguntado o porquê, o administrador de segurança responderá que é uma boa prática para aumentar a segurança. Porém algumas pessoas começaram a se perguntar: “qual realmente o motivo de se trocar a senha a cada x dias?. Isso é ainda necessário em 2008?”

Eles argumentam que hoje em dia a quase totalidade dos sistemas exigem senhas complexas com letras, números e algarismos especiais. Os mecanismos de proteção de senha estão mais avançados e muitos usam autenticação baseada em dois fatores. Por outro lado, alguém que escreva suas senhas em um post-it abaixo do mousepad continuará fazendo, seja qual for a periodicidade de troca. Mas o ponto principal é que hoje temos que lidar com dezenas de senhas. Como nenhum ser humano tem memória inesgostável a gente acaba usando senhas semelhantes onde é possível. Como a maior parte dessas senhas necessitam ser alteradas periodicamente, a pessoa acaba por fazer alterações insignificantes em suas senhas, ou pior, escreve em algum lugar que pode ser muito mais vulnerável que a memória. Nessa visão, a prática de mudança periódica de senhas diminuiria o nível de segurança. Primeiro porque a pessoa tenderá a usar senhas mais fáceis de lembrar e alterar, e segundo porque terá que anotar essa senha em algum lugar.

Patchs

Hoje é uma prática comum os fabricantes disponibilizarem correções de segurança para os bugs em seu software. Tornou-se uma prática tão comum que alguns elegeram dias específicos para publicá-las. Además quase todos desenvolveram pequenos agentes para atualização automática, que verificam a existência de uma patch, efetuam o download e a instalam, alguns automaticamente. Os usuários se habituaram com esse método e o tratam com normalidade, e o que deveria ser uma exceção se tornou normal, como se fosse normal um fabricante soltar software com falhas graves de segurança para depois corrigir. Há ainda um agravante, muitas vezes os próprios agentes de atualização possuem bugs de segurança e servem como porta de entrada para invasores.

Ainda sobre as patchs, temos uma questão bem polêmica exemplificada pela seguinte situação: em Novembro a Microsoft emitiu um alerta e publicou uma patch para a vulnerabilidade MS08-067. Entre cinco a seis semanas depois, o ataque “conficker” tinha infectado, de acordo com a PC World, 500 mil sistemas ao redor do mundo. Ou seja, apesar da funcionalidade de atualização automática do Windows, milhares de sistemas (talvez milhões) permanecem vulneráveis mesmo que o bug seja considerado crítico. Isso está levando algumas pessoas a questionar se não seria justificável que as atualizações críticas fossem aplicadas sem conhecimento do usuário, com o argumento de que a negligência de alguns usuários está prejudicanto outros. A discussão é bem polêmica e dificilmente seria adotada por fabricantes já que invade a área da privacidade, mas é um assunto que vale a discussão.

Computadores Inseguros e o Roubo de Dados

Continuando um pouco o tópico anterior, imagine que uma pessoa tem seus dados de cartão de crédito ou bancários roubados em seu próprio computador, invadido por este estar desatualizado e vulnerável. Qual a responsabilidade do usuário e qual a do banco ou empresa de comércio eletrônico? E se esse computador fosse usado para atacar outra pessoa ou empresa? Qual a reponsabilidade do usuário que por negligência deixou seu computador vulnerável? Ou seria por desconhecimento e portanto sem culpa?

A Ética da Publicação de Vulnerabilidades

Imagine que você é um estudioso de segurança e descobre uma vulnerabilidade em algum sistema, e que essa vulnerabilidade quando explorada poderia dar acesso privilegiado aos computadores de milhões de usuários. O que você faria? (a) Enviaria a informação diretamente ao fabricante para que este providenciasse uma correção; (b) Publicaria imediatamente na Internet inclusive com o código para explorá-la; (c) Venderia a informação para alguma das empresas de segurança que compram vulnerabilidades.

Se você nunca pensou no assunto, então benvindo à discussão da ética na publicação de vulnerabilidades. De início a mais responsável parece ser a primeira opção. Você envia ao fabricante que rapidamente publica um alerta com os devidos créditos a você e desenvolve uma correção. Mas, e se o fabricante simplesmente o ignorasse? Você ainda manteria a vulnerabilidade em segredo, mesmo que milhares de usuários ficassem expostos a uma invasão?
A segunda opção é a escolhida por diversos pesquisadores independentes, sobretudo aqueles que seguem a velha máxima do hackerismo, de que a “informação deve ser livre”. Essa opção também não deixa ser uma “punição ao fabricante descuidado”, embora os verdadeiros punidos sejam os usuários inocentes. Mas enfim não há nada ilícito em publicar informações, embora seja discutível no ponto de vista da ética.

Mas a terceira é com certeza a mais polêmica, pois trata do mercado de compra e venda de vulnerabilidades. Esse mercado surgiu quando algumas empresas de segurança, sérias, começaram a pagar pesquisadores independentes de vulnerabilidades. Essas empresas sustentam que pagar pesquisadores é ético ao incentivar a pesquisa de segurança e recompensar aqueles que não desejam se associar a um determinado empregador. Por outro lado, os críticos suspeitam que grupos de crackers utilizariam esses programas para financiar suas atividades ilegais. Assim uma vulnerabilidade vendida pagaria a pesquisa de outras que seriam mantidas em segredo até serem usadas para um ataque.