Notícia - Projeto Debian planeja manter a CIA longe

"Lunar, um líder dos desenvolvedores no Projeto Debian Reproducible Builds, falou recentemente sobre uma séria falha de segurança que pode afetar todo o software open-source, incluindo muitas distribuições Linux. Ela tem o potencial de expor os usuários a um indesejável exame minucioso vindo de terceiros, incluindo agências de segurança. Seu projeto é desenhado para fechar esse buraco [falha].

Uma das grandes vantagens de software de código livre é que terceiros podem inspecionar o código para certificar que ele faz o que deve fazer. Se qualquer código malicioso estiver presente, é detectado e eliminado. Porém quando o programa é distribuído na forma de binários executáveis, há o risco que código malicioso (não presente no código fonte original) tenha sido adicionado.

Isso não necessariamente indica que o desenvolvedor pretende distribuir código corrompido. Se o desenvolvedor está a usar um compilador comprometido, este pode introduzir o malware e só então tornar o código um executável.

Isso pode soar como um pouco forçado, mas na verdade isso é uma preocupação de segurança real. O material revelado por Snowden revelou que a CIA está trabalhando em modos de explorar essa vulnerabilidade para instalar software de monitoramento nos dispositivos de clientes por todo o mundo.

Numa conferência recente organizada pela CIA, um time de desenvolvedores apresentou uma prova de conceito [(POC, sigla em inglês)]. Eles corromperam certificados da Apple para produzir uma versão corrompida do XCode, o compilador proprietário da Apple. Esse compilador é usado por desenvolvedores independentes para construírem aplicações para o IOS e o OS X. A versão corrompida embutia um spyware em qualquer aplicação compilada pelo desenvolvedor, sem o seu conhecimento. Essas aplicações iriam parar nas APP Stores, e potencialmente, dentro de milhões de aparelhos de clientes. Isso poderia dar permissão para que agências espionassem as conversas e mensagens privadas de milhões de usuários inocentes pelo mundo todo.

Se a Apple já seria um grande alvo, então o Linux seria ainda mais tentador. Usuários preocupados com segurança entendem o risco de plataformas comerciais, frequentemente usam Linux por seus recursos de segurança. Isso inclui pessoas que as agências de segurança estão MUITO interessadas em espiar.

Os anti-vírus poderiam detectar fragmentos de malwares conhecidos, mas isso somente seria possível se antes os mesmos tivessem sido descobertos e analisados. Isso não protegeria contra novos ou indetectáveis infecções de malwares. Resumindo, programas anti-vírus não são o bastante contra esse tipo de ataque.

O único meio de ter a certeza que o binário executável não inclui qualquer código malicioso é compilando o código fonte e comparar os dois executáveis. Se o executável recente não se parece com o binário executável durante os testes, deve ter código embutido, possivelmente um malware.

Enquanto tudo soa como uma ideia, existem as dificuldades. O código fonte para a maioria dos pacotes do Linux são escritos de maneira que, ao compilar, não se obtenha uma cópia idêntica a qualquer outra já feita. Existem bons motivos para que um arquivo compilado seja sempre diferente. Incluindo:

- Etiquetas de data e hora embutidas no código.
- Números incrementados na versão [(do programa)].
- Diferenças entre os diversos sistemas de arquivos, logo um binário compilado no meu computador é diferente de outro do seu computador.
- Pastas de arquivos de máquinas diferentes são embutidas no binário - computadores diferentes guardam fontes e o código em locais diferentes.
- Dados aleatórios da memória ou da CPU embutidos no arquivo compilado.
- Entre outras.

O problema de produzir "builds" reproduzíveis é a quantidade de mudanças que deveriam ser feitas:

1- O código fonte deveria mudar então as variáveis sempre seriam inicializadas em valores estáticos (sem valores dinâmicos da memória, o qual pode ser dinâmico).
2- Eliminar o uso de etiquetas de data e hora, pastas no código, e números de versão.
3- Especificar o ambiente exato da construção, que deveriam ser reproduzidos em computadores diferentes.

Como você deve imaginar, isso deve dar um trabalho gigante num único projeto. Mas o Projeto Debian possui mais de 20.000 pacotes, e a maioria deles precisam ser reformulados. Esta é uma tarefa importante, para dizer o mínimo.

Mas precisa ser finalizada. Um único pacote quebrado, pode resultar em milhares de computadores comprometidos."

--------------

Sem dúvidas essa falha deve ter sido usada por agências de segurança, no entanto ainda não houve nenhum registro disso (pelo menos no "mundo Linux"), logo não há motivo para pânico.

O melhor seria haver pessoas para executar o teste dos executáveis (como foi explicado na matéria), porém, de momento, isso parece ser inviável. Então a escolha certa seria mudar para o Linux e não utilizar software de terceiros (isso inclui não usar os repositórios "non-free" ou os de terceiros, como os famosos PPA's do Ubuntu), no mais aguardar as mudanças propostas pelo time de desenvolvedores do projeto que Lunar participa (o que não parece ser fácil nem rápido de se fazer imediatamente).

Também é claro que as dicas que muitos sabem de cabeça, como tomar cuidado com os downloads, sites desconhecidos, propagandas e anúncios, além de manter o software sempre atualizado, entre outras, são muito válidas.

Conheça mais sobre o Debian no site oficial (em inglês) clicando aqui.

Fonte (em inglês): http://www.linuxjournal.com/content/debian-project-aims-keep-cia-our-computers

Via Debian Brasil

Espero que os usuários preocupados com privacidade não estejam a usar o Windows e se estiverem, espero poder convencê-los de mudar para o mundo do software livre.

Dúvidas e sugestões, além de uma possível discussão, visite nosso grupo no Facebook.

Até a próxima!

Read More

Uma introdução à modelagem de ameaças

E ai pessoal!

Fiquei sabendo recentemente de um projeto da Electronic Frontier Foundation (espero que você saiba o que é a EFF...) chamado Surveillance Self-Defense. O projeto basicamente visa ensinar e concientizar as pessoas sobre a espionagem e segurança de suas informações de uma forma geral.

Como achei muito interessante e quero colaborar passando o projeto adiante vou traduzir algumas partes que julgo interessante e postarei aqui, ja que a maioria dos leitores do blog não segue meu conselho e vão estudar inglês. :)

Se você se garante, sinta-se a vontade de ir lá e ler por conta própria. O link está ali em cima...

Pra você que optou por esperar a tradução vamos lá! Vou começar pelo primeiro assunto, a introdução a modelagem de ameaças.



Não há uma solução única para se manter seguro online. Segurança digital não é sobre quais as ferramentas que você usa; ao contrário, trata-se de compreender as ameaças que enfrentam e como você pode combater essas ameaças. Para se tornar mais seguro, você deve determinar o que você precisa proteger, e de quem você precisa protegê-lo. As ameaças podem mudar dependendo de onde você está localizado, o que você está fazendo, e com quem você está trabalhando. Portanto, a fim de determinar quais as soluções que vai ser melhor para você, você deve realizar uma avaliação das ameaças.

Ao realizar uma avaliação, existem cinco questões principais que você deve se perguntar:

1. O que você quer proteger?
2. De quem você quer proteger?
3. Qual a probabilidade de que você vai precisar para protegê-la?
4. Quão ruim são as consequências se você falhar?
5. Quanta dificuldade que você está disposto a percorrer, a fim de tentar evitar esses?

Quando falamos sobre a primeira pergunta, que muitas vezes referem-se a bens, ou as coisas que você está tentando proteger. Um recurso é algo que você valoriza e quer proteger. Quando estamos falando de segurança digital, os ativos são geralmente informações. Por exemplo, seus e-mails, listas de contatos, mensagens instantâneas, e os arquivos são todos os ativos. Os dispositivos também são ativos.

Faça uma lista dos dados que você mantém, onde ele é mantido, quem tem acesso a ele, e que impede os outros de acessá-lo.

A fim de responder à segunda questão, "De quem você quer proteger," é importante compreender quem poderia querer você ou sua informação, ou quem é o seu adversário. Um adversário é qualquer pessoa ou entidade que representa uma ameaça contra um ou vários ativos. São exemplos de potenciais adversários o seu chefe, o seu governo, ou um hacker em uma rede pública.

Faça uma lista de quem pode querer se apoderar de seus dados ou de comunicações. Ele pode ser um indivíduo, uma agência governamental, ou uma corporação.

A ameaça é algo de ruim que pode acontecer a um ativo. Há inúmeras maneiras que um adversário pode ameaçar seus dados. Por exemplo, um adversário pode ler suas comunicações privadas à medida que passam através da rede, ou eles podem apagar ou corromper seus dados. Um adversário também pode desativar o seu acesso aos seus próprios dados.

Os motivos dos adversários são muito diferentes, como fazem seus ataques. Um governo que tenta evitar a disseminação de um vídeo mostrando a violência policial pode se contentar em simplesmente excluir ou reduzir a disponibilidade do vídeo, enquanto um adversário político pode desejar ter acesso ao conteúdo secreto e publicá-lo sem você saber.

Anote o que o seu adversário pode querer fazer com seus dados privados.

A capacidade de o atacante também é uma coisa importante para se pensar. Por exemplo, o seu fornecedor de telefone celular tem acesso a todos os seus registros de telefone e, portanto, tem a capacidade de usar esses dados contra você. Um hacker em uma rede Wi-Fi aberta pode acessar suas comunicações não criptografadas. Seu governo pode ter capacidades mais fortes.

A última coisa a considerar é de risco. O risco é a probabilidade de que uma ameaça específica contra um determinado ativo venha a ocorrer, e caminha lado a lado com a capacidade. Enquanto o seu provedor de telefonia móvel tem capacidade para acessar todos os seus dados, o risco deles postando seus dados pessoais on-line para prejudicar a sua reputação é baixo.

É importante distinguir entre as ameaças e riscos. Enquanto a ameaça é uma coisa ruim que pode acontecer, o risco é a probabilidade de que a ameaça ocorrerá. Por exemplo, não é uma ameaça que seu prédio poderia entrar em colapso, mas o risco de isso acontecer é muito maior em San Francisco (onde terremotos são comuns) do que em Estocolmo (onde eles não são).

Uma análise de risco é tanto um processo pessoal e subjetivo; nem todos têm as mesmas prioridades ou visões ameaças da mesma forma. Muitas pessoas acham que certas ameaças inaceitáveis não importa o que o risco, porque a simples presença da ameaça a qualquer risco não vale a pena o custo. Em outros casos, as pessoas desprezam riscos elevados, porque eles não consideram a ameaça como um problema.

Em um contexto militar, por exemplo, pode ser preferível para um ativo a ser destruída do que para que ela caia em mãos inimigas. Por outro lado, em muitos contextos civis, é mais importante para um ativo, como serviço de e-mail para estar disponível de confidencial.

Agora, vamos praticar este modelo

Por exemplo, se você quer manter sua casa e seus bens seguros, aqui estão algumas questões que você deve se perguntar:

• Deveria trancar minha porta?
• Que tipo de fechadura ou fechaduras eu deveria investir?
• Precisaria de um sistema de segurança mais avançado?
• Quais são os ativos neste cenário?
• A privacidade da minha casa
• Os objetos dentro da minha casa
• Qual é a ameaça?
• Alguém poderia entrar
• Qual é o risco real de alguém quebrando em? É provável?

Depois de ter perguntado a si mesmo estas perguntas, você está em uma posição para avaliar que medidas tomar. Se as suas posses são valiosas, mas o risco de um roubo é baixo, então você provavelmente não vai querer investir muito dinheiro em uma fechadura. Por outro lado, se o risco é alto, você vai querer obter as melhores fechaduras e cadeados no mercado, e talvez até mesmo adicionar um sistema de segurança.

Read More

Pesquisadores criam rede BitTorrent anônima e 'impossível de ser derrubada'

Divulgação

Com a derrubada do The Pirate Bay, um dos problemas levantados pela comunidade foi o atraso tecnológico do indexador, e a dependência da atual estrutura em relação a servidores centralizados. Mas uma equipe de pesquisadores da Universidade Delft de Tecnologia, na Holanda, lançou uma nova versão do cliente Tribler que promete resolver essa questão, ao mesmo tempo em que oferece ferramentas de anonimato aos usuários.

"O Tribler torna o BitTorrent anônimo e impossível de ser derrubado", diz o Dr. Johan Pouwelse ao site TorrentFreak. O cliente utiliza uma rede descentralizada, semelhante ao P2P, desenhada para manter o BitTorrent funcionando mesmo se todas as ferramentas de busca, indexadores e trackers forem derrubados.

"Eventos recentes mostram que governos não hesitam em bloquear o Twitter, atacar websites, confiscar servidores e roubar domínios. O time do Tribler está trabalhando há dez anos para nos preparar para a a era de soluções sem servidores e de repressores agressivos", diz Pouwelse. 

O design de rede inovador do Tribler conta ainda com integração nativa à rede Tor, o que garante um alto nível de anonimato – ainda que não absoluto – aos seus usuários, que transmitem dados com o IP mascarado. Esse processo torna o fluxo de informações pela rede mais lento, o que causa problemas de velocidade, mas Pouwelse acredita que uma comunidade ativa e colaborativa pode compensar. 

"Estamos muito curiosos para ver quão rápidos os downloads anônimos serão. Tudo depende do quão sociais as pessoas serão, deixando o Tribler ativo para ajudar os outros a se manter anônimos. Se muitos usuários compartilharem e se importarem, a velocidade será suficiente para uma boa experiência de download", diz Pouwelse.

Fonte: INFO

Opinião: Será que existe algo impossível na internet? Veremos no futuro se este projeto é ou não algo impossível de derrubar..

Read More

Hackers fizeram engenharia reversa em ferramentas nas espionagem da NSA

Além de expor todas as coisas ruins feitas pela NSA e outras agências clandestinas pelo mundo, os documentos vazados por Edward Snowden permitiu que hackers fizessem engenharia reversa em algumas das ferramentas usadas pela NSA para nos espionar.

Entre os detalhes nefastos da constante vigilância feita pela agência, o catálogo Advanced Technology Network – uma lista de gadgets usados pela NSA para espionar computadores e telefones – foi incluído nos documentos vazados.

Uma equipe de pesquisadores de segurança liderados por Michael Ossmann usaram as informações para reconstruir dois dispositivos de vigilância usados pela NSA. Os dispositivos, chamados “retro refletores”, são pequenos transmissores de dados sem fio via rádio, que, quando colocados em um computador ou teclado, permite que informações sejam coletadas (como teclas digitadas ou imagens da tela) mesmo quando o aparelho não está conectado à internet.

Ossmann diz que apresentará suas descobertas durante a Defcon, e mostrará a outras pessoas como fazer para se proteger de futuros hacks da NSA – se é que isso é possível.

Fonte: Gizmodo

Read More

Kaspersky Lab descobre nova campanha de espionagem

Nesta quinta-feira, 26, a equipe de pesquisa em segurança da Kaspersky Lab divulgou que descobriu o "Icefog", um grupo de ameaças persistentes avançadas (APTs) que visa alvos na Coreia do Sul e no Japão. 

"Nos últimos anos, observamos diversas APTs atacando quase todos os tipos de vítimas e setores. Na maioria dos casos, os atacantes ficam estabelecidos em redes corporativas e governamentais por anos, extraindo vários terabytes de informações sigilosas", disse Costin Raiu, diretor da Equipe de Pesquisa e Análise Global. 

De acordo com a Companhia, os ataques demonstram o surgimento de uma nova tendência: grupos menores que atacam e fogem, e que buscam por informações com precisão cirúrgica. Normalmente, o ataque dura poucos dias ou semanas e, depois de obter o que procuram, os invasores fazem a limpeza e batem em retirada. "No futuro, prevemos que o número de pequenos grupos focados em `APTs contratadas' deve aumentar, especializando-se em operações relâmpago.", ressaltou a empresa em comunicado. 

Fonte:  Kioskea

Read More

Google faz testes de criptografia antiespionagem

Programa de vigilância da Agência de Segurança Nacional dos EUA, PRISM, espionou contas de usuários de várias empresas

Foto: Reprodução

O Google acredita que a tecnologia de criptografia de dados utilizada no armazenamento do conteúdo dos usuários guardados no Google Drive uma proteção contra as políticas de cobrança do governo dos EUA.

A iniciativa de proteção de privacidade permanece na fase experimental, mas pode diminuir o medo de clientes abalados pela revelação de que a Agência de Segurança Nacional (NSA) acessou milhões de contas. O Google, de acordo com o relatório da CNET, revelou pela primeira vez o teste onde criptografa uma pequena porcentagem de arquivos do Google Drive. O teste atual é declaradamente a analisar se seria possível criptografar os dados armazenados no serviço de nuvem do Google, bem como Google Drive.

A empresa, assim como outros no Vale do Silício, vem sofrendo crítica e acusações de que não só participou do governo secreto de vigilância programa PRISM, mas lucrou com ele também.

As informações são do site RT.com

Fonte: Terra

Já era hora...

Read More