Let’s Encrypt, iniciativa para criptografar toda a web

No último outono americano, a fundação sem fins lucrativos EFF (Eletronic Frontier Foundation), lançou uma iniciativa chamada “Let’s Encrypt” (tradução livre: Vamos Criptografar) que visa emitir certificados digitais TLS gratuitos para qualquer site que necessite.

Hoje, a Let’s Encrypt assinou o seu primeiro certificado, um marco importante no objetivo de criptografar toda a web. A iniciativa permitirá que qualquer site da internet possa proteger seus usuários com certificados SSL/TLS que criptografam todos os dados enviados entre os usuários e o site. A iniciativa também torna a implementação HTTPS mais fácil para qualquer site ou site de compras online, afim de garantir a segurança dos dados de seus clientes.

Especificamente, a Let’s Encrypt promete ser uma autoridade certificadora com as seguintes características:
Gratuita – certificados sem nenhum custo;
Automática – instalação, configuração, bem como renovação dos certificados sem quaisquer ações de administrador;
Segura – a equipe é empenhada em ser um modelo de melhores práticas das suas próprias operações;

Transparente – os registros de todas as emissões de certificados ou revogação estarão disponíveis ao público;
Aberta – a emissão automática e o procedimento de renovação serão publicados como um padrão aberto;
Cooperativa – a iniciativa é uma organização controlada por várias empresas e existe para beneficiar a comunidade.

Acesse a notícia completa no link.

Fonte: Seginfo

Read More

Deep Web recebe regulamentação oficial

Parece que os dias em que a Deep Web é enxergada apenas como um local escuro, sombrio e cheio de bandidos está chegando ao fim. Reconhecendo que a web “oculta” é uma necessidade constante, instituições de regulação da internet reconheceram os domínios .onion, tornando-os exclusivos da rede Tor e garantindo que eles sejam tratados como endereços “especiais”.

O parecer foi emitido pela IANA e pela ICANN, duas organizações responsáveis por regulamentar a utilização da internet e a atribuição de endereços para as páginas. Elas reconheceram a necessidade de uma rede anônima, para uso em países onde a liberdade de informação é restrita, e também como uma forma de garantir a segurança de delatores, que possam aproveitar a segurança incrementada da Deep Web para fazer denúncias e trazer segredos que possam ser de interesse do público.

A mudança também garante proteção contra o sequestro de endereços. Na onda dos domínios distintos, com finais diferentes dos tradicionais .com ou .org, por exemplo, existia um temor de que, em algum momento, as portas para o .onion fossem abertas na rede tradicional, o que poderia enlouquecer navegadores e dificultar o acesso aos sites. Com a exclusividade dessa atribuição para a rede Tor, isso não pode mais acontecer.

Mais do que isso, a regulamentação também garante uma diferenciação entre endereços legítimos que estejam na Deep Web e domínios criminosos, como os serviços de venda de drogas ou tráfico de pessoas que tornaram essa versão da rede tão notória. Com a legitimação, sites poderão solicitar certificados de segurança e aplicar novos protocolos de proteção de informação, tornando o ambiente como um todo muito mais seguro.

Alguns sites, como as versões do Facebook ou do The Intercept disponíveis na Deep Web, já haviam obtido certificados, mas fizeram isso a partir de seus endereços na superfície. Para as organizações envolvidas, se trata de um novo compromisso com a privacidade e a segurança, além da garantia de que exista uma rede oculta e que sirva aos propósitos de propagação de informação, da forma segura e anônima que todos os seus usuários desejam.

Fonte: Crimes pela Internet

Read More

Indicação: Entrevista exclusiva com Edward Snowden

Olá leitores!

A alguns dias foi lançado um podcast com uma entrevista exclusiva com o Snowden.

Provavelmente você já foi impactado pelo conteúdo da entrevista, todos os maiores sites de notícias já publicaram notícias sensacionalistas com títulos como "Snowden revela que não nos comunicamos com extraterrestres por causa de criptografia". Bem, não é bem isso que ele falou, e fora de contexto também não ajuda de nada.

Mas sem me alongar mais, fica ai a indicação do podcast Startalk, com o incrível Neil DeGrasse Tysson como host, falando sobre ciência em geral, e nesta edição, entrevista com o Edward Snowden, perguntando coisas que todos nos tínhamos curiosidade e um bom papo.

Para ouvir clique aqui!

Read More

230 mil novos malwares são detectados a cada dia

A PandaLabs confirmou um aumento significativo na criação de novos malwares. No segundo trimestre de 2015, foram estimados uma média de 230 mil novos malwares detectados a cada dia, o que da cerca de 21 milhões de novas variantes nesses três meses.


Comparado com o mesmo período do ano passado, foram registrados 160 mil amostras por dia. São cerca de 43% de aumento. A maior parte destes são variantes de malwares conhecidos, mutados por cyber criminosos para tentar passar pelos antivírus sem serem detectados.

Trojans continuam sendo os mais comuns das infecções (71,16%), contabilizando 76,25% das infecções.

Um dos principais investigados e detectados foi o Cryptolocker, e é possível notar uma sofisticação nas técnicas para infectar os usuários.

Também foi identificado ataques a dispositivos móveis, como os recentes ataques ao Whatsapp. Outro ataque voltado a mobile foi uma campanha de phishing com alvo desenvolvedores de Android, com o objetivo de capturar suas credenciais e enviar malware dentro de aplicativos legítimos.




Para mais informações sobre esta pesquisa veja o relatório aqui.

Fonte: Net-security

Read More

Monitorando mudanças em websites

Olá pessoal!

Descobri recentemente uma ferramenta no mínimo curiosa.

A ferramenta em questão se chama Website-Watcher e seu objetivo é monitorar mudanças em sites. Ai você pode me perguntar, mas por quê vou querer monitorar mudanças em sites?

Os usos são muitos. Pode ser para substituir o RSS caso não goste dele, monitorar novos posts, novos tópicos em fóruns e listas de discussão, levantamento de informações, ou apenas monitorar por curiosidade.

Não sei vocês mas esta ferramenta vai me ajudar bastante. Já consegui pensar em certos usos para ela...

Esta ferramenta é paga mas tem um trial de 30 dias. Possivelmente existem ferramentas gratuitas que fazem a mesma coisa, e também não é algo tão complexo que não possa ser feito uma versão sua.

Caso queiram mais detalhes podem olhar aqui!

E era isso!

Até a próxima.

Read More

Antivirus são coisa do passado, conheça o Next Generation Endpoint Protection

Se o próprio John Mcafee, criador da ferramenta de proteção contra vírus McAfee, comprada a algum tempo pela Intel Security, afirmou que as ferramentas de proteção contra vírus como conhecemos atualmente estão extremamente ultrapassadas, quem somos nós para discordar de tal argumento.

Olhando com um olhar um pouco mais crítico, é possível ver que ele não está de todo errado, com os mais variados tipos e quantidades imensas de ataques de todos os tipos, um sistema simples de antivírus não tem a mínima chance.

Dentro destes milhões de ataques diários ocorrendo, uma parte considerável são dos ataques e falhas ainda não catalogados e corrigidos, os famosos 0-days.

Uma ferramenta que promete proteger uma ou mais máquinas, hoje em dia, precisa conseguir detectar e corrigir problemas relacionados a APT (Advanced Persistent Threat), 0-days, automatizar algumas tarefas forenses e muitas outras questões de segurança, além da proteção contra vírus que já conhecemos.

Algumas empresas do ramo como a própria Intel Security, Kaspersky e Symantec já estão ligadas nisso e evoluindo suas soluções para continuar atendendo esta demanda, mas esta abertura da lugar a ferramentas novas ou não tão conhecidas.

Conheci recentemente uma solução chamada SentinelOne, que promete resolver tudo isso. Está muito bem conceituada no momento, principalmente pela notícia de que a Netflix abandonou completamente suas soluções de proteção de endpoint para utilizar as soluções da SentinelOne.

E ai, quais são suas opiniões sobre isso? Estamos seguros? Nossos antivírus dão conta do recado?

Read More

11 milhões das senhas do Ashley Madison já foram quebradas

A pouco tempo atrás, milhões de informações foram vazadas do site de relacionamentos Ashley Madison, acredito que todos ficaram sabendo disso.

Junto com esses dados, foram vazados cerca de 36 milhões de senhas criptografadas, o que muitos especialistas afirmaram levar séculos para quebrar.

A novidade é que um grupo de hackers descobriu algumas falhas do algoritmo, o que facilita a quebra da boa parte das senhas.

Para ver mais informações e detalhes sobre essa quebra, acesse o artigo do arstechnica.

Read More

Hackers vendem informações de saúde no mercado negro

Com o crescente do cyber crime, a indústria da saúde se torna um potencial alvo para os hackers. A segurança dos pacientes pode não esta diretamente ligada com proteção de dados, mas em um documento médico pode ser encontrado informações como endereço, informações médicas e até informações de cartão de crédito. Desde 2009, cerca de 29.3 milhões de fichas de pacientes foram comprometidas.

Custo da informação roubada

Mais e mais informações pessoais de saúde aparecem na deep web. Algumas coisas não podem ser mudadas, como data de nascimento e registro de pessoa. Cada cadastro de saúde pode valer até $363 dólares na Deep Web.

Já ocorreram mais de 270 vazamentos documentados. "Estes vazamentos vão continuar ocorrendo porque a indústria da saúde construiu muitos sistemas com diversos pontos de falha", disse Dra. Deborah Peel, fundadora dos direitos de privacidade dos pacientes em Austin, Texas. 

Estes dados podem ser utilizados para diversos fins, e podem ser classificados como:

- Credenciais: Nome, nascimento, telefone, tipo de plano, e outras informações de cadastro. 

- Completos dossies eletrônicos: Valem muito mais, contam com praticamente todas as informações de uma pessoa, muito utilizada para roubo de identidade. Além de credenciais também contam com email e talvez senhas, números de documentos, ID da empresa/hospital, informações bancárias e de cartão de crédito.

- Kit completo de identificação: Conta com todas as informações das categorias acima, inclusive com cópias físicas e falsificadas de documentos, cartões e identificações.

A indústria da saúde como um todo no momento não leva segurança dos dados no nível que deveria, o que causa cada vez mais problemas, já que lidam com informações críticas. De acordo com as falhas e vazamentos notificados, é claro que a indústria necessita adotar medidas de segurança digital.

Link da notícia completa: http://resources.infosecinstitute.com/hackers-selling-healthcare-data-in-the-black-market/

Read More

Obtendo todas as informações de uma pessoa através de métodos legais e públicos

E ai pessoal!

Dando uma lidinha em algumas coisas voltadas para engenharia social acabei me deparando com este newsletter do Social-Engineering.org em particular, que descreve um caso REAL de obtenção de informações, para ser mais preciso, TODAS AS INFORMAÇÕES de uma pessoa.

Pelo tamanho e peculiaridade da informação não vou traduzir, vou apenas postar o link e você que leia por sua conta e risco. O propósito do texto é apenas para quesitos informacionais.

Neste exemplo, a partir de um email de spam de uma empresa local, o engenheiro social conseguiu obter todas as informações pessoais do dono do spam e de sua família, apenas com informações previamente públicas e um pouco de intuição.

O texto que me refiro é o que tem como título "An Invasion of Privacy"

Fique com o texto:

http://www.social-engineer.org/newsletter/SocialEngineerNewsletterVol02Is09.htm

Read More

Infográfico: O que especialistas de segurança dizem e o que fazem

E ai pessoal!

Infográfico interessante, mostrando o que pessoas normais (não técnicas) consideram mais importante como boas práticas na internet e o que especialistas em segurança consideram.

Este gráfico foi gerado baseado em uma pesquisa, onde pessoas "normais" e especialistas em segurança foram questionados para saber suas 5 mais importantes práticas para segurança na internet.

E ai o que você acha, concorda? Comente ai quais são as suas 5 principais práticas!

Read More

Aparentemente agora você pode hackear rifles...

O casal americano de pesquisadores de segurança Run Sandvik e Michael Auge publicou um vídeo online para mostrar como eles conseguiram hackear o sistema do fuzil inteligente Tracking Point TP750, utilizado por atiradores de elite. No vídeo, eles demonstram como acessar o servidor e recalcular o alvo antes do disparo.

O fuzil, que é comercializado nos Estados Unidos por 13 000 dólares, permite configurar o alvo em um computador de bordo online, que funciona por meio de dispositivos móveis Android ou equipamentos com Wi-Fi. Além disso, o modelo TP750 da Tracking Point consegue mirar o objeto de disparo a uma distância de até 900 metros.

A fim de testar o sistema de segurança dos computadores de bordo dos equipamentos da Tracking Point, o casal de pesquisadores dedicou um ano até conseguir hackear o fuzil que roda o sistema operacional Linux.  

Na hora de explorar a vulnerabilidade do software, o casal se conectou ao Wi-fi, por meio da senha padrão – o que já permite que qualquer pessoa tenha acesso ao computador de bordo da arma – e, depois, conseguiu acessar a interface do servidor do fuzil para realizar as alterações balísticas antes do disparo.

Com o acesso ao servidor, foi possível alterar comandos básicos da arma inteligente como recalcular, mudar o alvo e desabilitar o disparo do atirador e até bloquear o acesso ao computador de bordo.

A pesquisa completa será divulgada durante a conferência de segurança Black Hat que acontece em Las Vegas do dia 1 a 6 de agosto. Enquanto isso, em declaração ao site de notícias Wired, o fundador da Tracking Point John McHale disse que corrigirá o mais rápido possível a falha de segurança dos equipamentos da empresa.

Fonte: Wired

------

Agora todos devem estar se perguntando "Mas por que diabos um rifle precisa de Wi-fi?". Anos e mais anos de treino para chegar na hora e um cachorro bem treinado consegue fazer o mesmo :)

Pensando bem, armas com Wi-fi dariam um outro nível para o termo Cyber Guerra, já que a guerra convencional já vai estar bem cyber, então os soldados seriam os Cyber soldados? Os hackers iriam para o campo de batalha, mas não usariam redes e sim armas conectadas? Que confusão...

Read More

Que tal ganhar uma grana para testar suas habilidades?

Olá!

Mais um achado interessante do meu RSS aqui!

O Infosec Institute lançou um CTF que vale grana! Sim isso mesmo, você pode ganhar uma grana por resolver os desafios.

Se você deseja participar siga o link abaixo, leia o regulamento e mão na massa!

LINK: http://ctf.infosecinstitute.com/ctf2/

Read More

Deseja saber se foi hackeado?

E ai pessoal!

Dando uma volta pela interwebs encontrei um serviço interessante.

Embora não seja uma ferramenta nova, está em uso crescente pela sua capacidade de nos informarem, automaticamente, se a nossa informação (username ou e-mail) for “leakada” na Internet por algum hacker. Isto é bastante útil porque desta forma podemos alterar a password ou assegurarmo-nos de que aquela password leakada não irá funcionar em qualquer outro site (lembra-te: o uso de passwords iguais em vários sites é desaconselhado!).

A ferramenta chama-se “have i been pwned?” (a tradução será algo como “será que fui invadido?”) e permite procurar por mais de 49 sites, 185.229.998 contas, 24.776 publicações de dados e 15.515.025 publicações de contas.

Veja abaixo uma busca por um usuário de um conhecido meu. Esta ferramenta pode ser usada tanto para descobrir se alguma credencial sua foi comprometida e também para descobrir gostos e outras atividades estranhas hehehe :D

Read More

Engenharia Social: Como obter verdades

Mais um post antigo do Fórum sobre engenharia social!

Confere ai!

Mais uma do Dr. David J. Lieberman!

O Texto é relativamente grande, mas vale a pena ler.


1. Não acuse - Insinue: O objetivo é fazer uma pergunta que não represente nenhuma acusação, mas que insinue o possível comportamento da pessoa.

Exemplo de uso:

Suspeita: Você acha que seu (a) namorado (a) foi infiel na noite passada.

Pergunta incorreta: "Você andou me traindo?"

Pergunta correta: "Aconteceu alguma coisa diferente na noite passada?"

Observe sua expressão corporal e alguma possível pista de preocupação e nervosismo com sua pergunta. Qualquer resposta do tipo: "Porque perguntou isso?" ou "Alguém te falou alguma coisa?", seguidas de um certo nervosismo, indicam forte preocupação por parte da pessoa. Ela não estaria preocupada em saber porque você está fazendo tal pergunta, a menos que pense que você pode estar sabendo o que ela não quer que você saiba.

2. Situação semelhante: Aqui você vai apresentar uma situação semelhante à que suspeita que esteja acontecendo. O bom é que vai poder falar sobre o assunto sem parecer acusatório.

Exemplo de uso:

Suspeita: Você acha que seu (a) namorado (a) está lhe traindo.

Pergunta incorreta: "Você está me traindo com Fulana (o) de Tal?"

Pergunta correta: "Sabe, minha (meu) amiga (o) Fulana (o) de Tal me disse que está muito desconfiada (o) do (a) seu (sua) namorado (a). Ela (e) tem quase certeza que ele (a) está cometendo uma traição. Ele (a) fica muito estranho (a) e nervoso (a) quando ela (e) fala sobre histórias de traição. O que você acha disso?"

Se a pessoa for culpada, ficará preocupada, constrangida ou embaraçada e vai querer rapidamente mudar de assunto. Porém, se a pessoa achar que sua pergunta é interessante e ela for inocente, poderá iniciar uma conversa a respeito da pergunta. Esta é uma forte indicação de inocência, porque ela não tem receio de discutir o tema e não está investigando por quê você faz a pergunta.


3. Não é surpreendente?: Como no exemplo acima, aqui você vai abordar o assunto, mas de uma forma geral. Nos permitirá uma grande percepção de culpa ou inocência da pessoa.

Exemplo de uso:

Suspeita: Você desconfia que seu (sua) noivo (a) está saindo com outra (o)

Pergunta incorreta: "Você está saindo com outra (o)?"

Pergunta correta: "Olha que absurdo... Hoje minha (meu) amiga (o) Fulana (o) de Tal me contou que pegou seu (a) noivo (a) com outra (o). Não é impressionante como alguém consegue ser infiel e não ter receio de ser desmascarado?"

Quaisquer respostas que demonstrem reações de embaraço, nervosismo ou constrangimento, seguidas de perguntas como: "Por que está me perguntado isso?", além de tentativas de mudança de assunto, demonstram grande carga de preocupação e culpa.

4. Atacando o ego da pessoa. Aqui vamos usar o ego da pessoa contra ela própria. Vamos dizer a ela que jamais seria capaz de confessar, pois está sendo 'pressionada' por outra pessoa à não dizer a verdade e que essa pessoa manda nela. Esta técnica é muito usada por policiais.

Exemplo de uso:

Suspeita: Você tem quase certeza que Fulano (a) roubou sua empresa

Pergunta incorreta: "Vai confessar que roubou minha empresa, ou não?"

Pergunta correta: "Acho que já sei qual é o problema: Você não me diz a verdade porque alguém manda em você. Você não tem o poder para decidir isso. Tem outra pessoa por trás disso e você não quer 'ficar mal' com ela, não é?"

O mais incrível é que geralmente as pessoas acabam confessando e se sentindo orgulhosas de ter feito isso.

5. Indução: Aqui está uma poderosa técnica. Particularmente, já utilizei e obtive ótimos resultados. Elabore uma pergunta que restrinja sua resposta a algo que a pessoa pense ser positivo, de forma que ela não se importe em responder sinceramente.

Exemplo de uso:

Suspeita: Alguém viu seu (a) namorado (a) numa festa na noite passada.

Pergunta incorreta: "Você andou fazendo festa escondido de mim?"

Pergunta correta: "Ontem, você chegou em casa após as 24h, não foi?"

Se a pessoa tiver ficado em casa, ficará livre para responder, mas se tiver, realmente saído, mesmo assim se sentirá a vontade em responder sinceramente, porque você deu a entender que já sabia e não havia problemas. O fato de a pessoa ter voltado para casa de madrugada não está em questão. O importante é que você conseguiu a resposta à verdadeira pergunta.


6. Bumerangue psicológico: Com esta técnica, você diz à pessoa que ela fez algo bom, e não mau. Assim, ela ficará, completamente livre para lhe dizer toda a verdade.

Exemplo de uso:

Suspeita: Você suspeita que fulano (a) está roubando sua empresa.

Pergunta incorreta: "Fulano (a), você anda me roubando?"

Pergunta correta: "Ei, Fulano (a)! Acho que podemos nos tornar sócios muito ricos! Parece que você, ultimamente, tem 'passado à perna' em mim, mas está tudo bem. Nós podemos trabalhar juntos, seu (sua) espertinho (a)! Me conte mais sobre suas incríveis técnicas... Quero aprender tudo!"

Você quer aparentar que está contente por saber o que a pessoa está fazendo. Ela não terá saída e vai se abrir para você.

Outro exemplo: (Utilizado em entrevistas para emprego)

Suspeita: Você suspeita que o candidato à vaga oferecida mentiu sobre as informações em seu currículo.

Pergunta incorreta: "Fulano (a), você andou colocando informações falsas em seu currículo?"

Pergunta correta: "Fulano (a), nós dois sabemos que todo mundo inventa um pouco sobre seu currículo. Pessoalmente, acho que isso demonstra coragem, porque a pessoa não tem medo de assumir novas responsabilidades. Me diga, quais partes em que você foi mais criativo no seu currículo?"

7. Paranóia: Esta técnica de sugestão é muito poderosa e pode induzir a um estado temporário de paranóia na pessoa - principalmente se várias pessoas falarem a mesma coisa.

Exemplo de uso:

Suspeita: Você suspeita que sua (seu) colega de trabalho está roubando o material de escritório da empresa

Pergunta incorreta: "Fulana (o), você anda roubando o material de escritório?"

Pergunta correta: "Fulana (o), acho que todo mundo já sabe sobre o material. Já reparou que, às vezes, eles ficam encarando você?"

Se ela for mesmo culpada, vai se sentir encarada por todos e logo passará a aceitar a sugestão de que todos já estão sabendo do roubo. Você poderá verificar isso na sua expressão corporal de tensão e pavor, seguida de uma atitude de desconfiança diante das pessoas. Caso ela não seja culpada, não demonstrará nenhuma atitude e apenas vai achar que você está brincando com ela.

Postado originalmente por mim no fórum da Brutal Security.

Fonte original, livro do Lieberman

Read More

Como uma pessoa pode ser rastreada através de uma foto

E ai pessoal!

Provavelmente vocês devem ter visto nas notícias que a alguns dias atrás uma base do ISIS foi bombardeada porque sua localização foi identificada através de uma foto.

Caso não tenha visto, clique aqui!

Então, o terrorista tirou uma foto e publicou e ai, que magica foi essa que tornou possível identificar?

A resposta é mais simples do que você imagina! É bem provável que o exército e governo americano tenham tecnologias e ferramentas muito mais complexas para este tipo de situação, mas mesmo nós meros mortais podemos ter acesso a algo parecido e com um pouco de sorte identificar a localização de alguém por uma foto.

Uma informação interessante que todos deveriam saber é que todas as fotos, quando são capturadas, geram diversas informações, que são adicionadas nas fotos, os famosos metadados ou EXIF. Os dados EXIF (Exchangeable image file) são padrões que especificam formatos de imagem, audio e outros dados utilizados por processadores de imagem, incluindo câmeras digitais, smartphones, scanners, entre outros. Estes campos especiais adicionados aos arquivos foram criados para que os fotógrafos e produtores de conteúdo não precisassem anotar informações como abertura, velocidade do obturador, para poder registrar e tratar de forma correta a imagem.

Além destas informações, podem ser encontradas também informações como Marca, modelo e nome do dispositivo que tirou a foto, informações de cores, informações de localização GPS, resolução, uso de flash, data e hora que a fotografia foi tirada e outras informações técnicas.

Qualquer dispositivo que tenha conexão com algum sistema de GPS vai adicionar esta informação nos dados EXIF, na hora que a foto foi tirada.

Mas chega de papo e vamos a um exemplo.

Para esta demonstração vou pegar uma imagem tirada por um iPhone, que eu sei que adiciona esses dados por padrão a cada foto registrada. No próprio site da Apple eu consegui a imagem abaixo:

OBS: Não tente rodar a ferramenta nas imagens deste post, leia até o fim e entenda porque não achará nada.

Seguindo em frente, de posse da imagem, vou utilizar o comando exifprobe para obter os dados EXIF.

O comando é bem simples:

# exifprobe -R imagem3.jpg

Rodando este comando vou ter o seguinte resultado:

Olhando atentamente por todas as informações úteis que uma foto pode nos dar, a que estamos procurando está logo abaixo da tag <GPS IFD>.

Podemos confirar essa informação inserindo as coordenadas no website gps-coordinates:

Como mostra a imagem, esta foto foi tirada na Universidade de Stanford, Stanford - CA, USA.

Para mais informações sobre a ferramenta e uso acesse a wiki da FDTK onde postei originalmente .

Read More

Entrevista: Daniel Leme - Criador do POG

E ai galera!

Gravamos uma entrevista com o Daniel Leme, o criador de uma ferramenta chamada POG. O objetivo desta ferramenta é utilizar comandos de voz para controlar computadores.

Fica ai então nosso apoio aos Devs brasileiros que como o Daniel, tem criatividade e potencial para desenvolver algo interessante.

Projeto com muito potencial! Siga desenvolvendo e aprimorando.

Video:

E você ai, tem algum projeto interessante ou algum texto/artigo que gostaria de contribuir? Entre em contato e divulgaremos seu trabalho com o maior prazer :D

Read More

Os 30 sinais da mentira

Mais um post do antigo fórum. Este originalmente postado por mim na área de Engenharia Social.

Veja ai 30 sinais de mentira.

1. A pessoa fará pouco ou nenhum contato direto nos olhos;

2. A expressão física será limitada, com poucos movimentos dos braços e das mãos. Quando tais movimentos ocorrem, eles parecem rígidos e mecânicos. As mãos, os braços e as pernas tendem a ficar encolhidos contra o corpo e a pessoa ocupa menos espaço;

3. Uma ou ambas as mãos podem ser levadas ao rosto (a mão pode cobrir a boca,  indicando que ela não acredita - ou está insegura - no que está dizendo). Também é improvável que a pessoa toque seu peito com um gesto de mão aberta;

4. A fim de parecer mais tranqüila, a pessoa poderá se encolher um pouco;

5. Não há sincronismo entre gestos e palavras;

6. A cabeça se move de modo mecânico;

7. Ocorre o movimento de distanciamento da pessoa para longe de seu acusador, possivelmente em direção à saída;

8. A pessoa que mente reluta em se defrontar com seu acusador e pode virar sua cabeça ou posicionar seu corpo para o lado oposto;

9. O corpo ficará encolhido. É improvável que permaneça ereto;

10. Haverá pouco ou nenhum contato físico por parte da pessoa durante a tentativa de convencê-lo;

11. A pessoa não apontará seu dedo para quem está tentando convencer;

12. Observe para onde os olhos da pessoa se movem na hora da resposta de sua pergunta. Se olhar para cima e à direita, e for destra, tem grandes chances de estar mentindo.

13. Observe o tempo de demora na resposta de sua pergunta. Uma demora na resposta indica que ela está criando a desculpa e em seguida verificando se esta é coerente ou não. A pessoa que mente não consegue responder automaticamente à sua pergunta.

14. A pessoa que mente adquire uma expressão corporal mais relaxada quando você muda de assunto.

15. Se a pessoa ficar tranqüila enquanto você a acusa, então é melhor desconfiar. Dificilmente as pessoas ficam tranqüilas enquanto são acusadas por algo que sabem que são inocentes. A tendência natural do ser humano é manter um certo desespero para provar que é inocente. Por outro lado, a pessoa que mente fica quieta, evitando a todo custo falar de mais detalhes sobre a acusação;

16. Quem mente utilizará as palavras de quem o ouve para afirmar seu ponto de vista;

17. A pessoa que mente continuará acrescentando informações até se certificar de que você se convenceu com o que ela disse;

18. Ela pode ficar de costas para a parede, dando a impressão que mentalmente está pronta para se defender;

19. Em relação à história contada, o mentiroso, geralmente, deixa de mencionar aspectos negativos;

20. Um mentiroso pode estar pronto para responder as suas perguntas, mas ele mesmo não coloca nenhuma questão.

21. A pessoa que mente pode utilizar as seguintes frases para ganhar tempo, a fim de pensar numa resposta (ou como forma de mudar de assunto): "Por que eu mentiria para você?", "Para dizer a verdade...", "Para ser franco...", "De onde você tirou essa idéia?", "Por que está me perguntando uma coisa dessas?", "Poderia repetir a pergunta?", "Eu acho que este não é um bom lugar para se discutir isso", "Podemos falar mais tarde a respeito disso?", "Como se atreve a me perguntar uma coisa dessas?";

22. Ela evita responder, pedindo para você repetir a pergunta, ou então responde com outra pergunta;

23. A pessoa utiliza de humor e sarcasmo para aliviar as preocupações do interlocutor;

24. A pessoa que está mentindo pode corar, transpirar e respirar com dificuldade;

25. O corpo da pessoa mentirosa pode ficar trêmulo: as mãos podem tremer. Se a pessoa estiver escondendo as mãos, isso pode ser uma tentativa de ocultar um tremor incontrolável.

26. Observe a voz. Ela pode falhar e a pessoa pode parecer incoerente;

27. Voz fora do tom: as cordas vocais, como qualquer outro músculo, tendem a ficar enrijecidos quando a pessoa está sob pressão. Isso produzirá um som mais alto.

28. Engolir em seco: a pessoa pode começar a engolir em seco.

29. Pigarrear: Se ela estiver mentindo têm grandes chances de pigarrear enquanto fala com você. Devido à ansiedade, o muco se forma na garganta, e uma pessoa que fala em público, se estiver nervosa, pode pigarrear para limpar a garganta antes de começar a falar.

30. Já reparou que quando estamos convictos do que estamos dizendo, nossas mãos e braços gesticulam, enfatizando nosso ponto de vista e demonstrando forte convicção? A pessoa que mente não consegue fazer isso. Esteja atento.


Créditos : Dr. David J. Lieberman

Read More

Indicação: Mega lista de Filmes/Séries/Documentários que merecem ser assistidos

E ai pessoal!

Esta lista foi feita com a ajuda do pessoal do Grupo do Facebook da BS. Se não está lá corra e veja os conteúdos que rolam por la!

Esta lista foi feita com alguns critérios. Ser sobre hacking ou segurança da informação em geral, ter alguma ligação com o tema, ou em casos mais extremos, ser um bom filme sobre tecnologia.

Esta lista não está em ordem de prioridade ou qualidade, apenas na ordem que foi sugerida no grupo.

Vamos a lista:

Documentários

• DEFCON
• Citizenfour
• Hackers: Criminosos ou anjos
• Revolution OS
• We are legion
• The internet own boy
• Underground - Julian Assange
• O jeito Google de trabalhar
• Inside the dark web
• Hackers World: Anonymous Investigation
• The Pirate Bay: Away from Keyboard
• Cyberwar
• Downloaded
• We Steal Secrets
• Terms and Conditions May Apply

Filmes

• O jogo da imitação
• Enigma
• Piratas do Vale do Silício
• Trust
• Hackers 2: Operation Takedown
• A rede social
• 007 Skyfall
• Prenda-me se for capaz
• Traveling Salesman
• Matrix
• Firewall
• O quinto poder
• Vips (Brasileiro)
• Algorithm
• Wargames
• Eu robô (AI é algo próximo, então ta ai :D)
• Quebra de sigilo
• A chamada

Séries

• Scorpion
• CSI Cyber
• Numbers
• Tiger Team
• Silicon Valley

Esquecemos algum? Comente aqui no post com sua sugestão!

Um agradecimento especial ao Dimas Daros, Messias Bruno, Skyfall Schmitz, Daybson Bruno e Guilherme Alves que contribuíram com a lista!

Se você gostou compartilhe e espalhe a palavra da BS! :D

Read More

Controle de acesso à web com o Alt Linux School

O uso de dispositivos informáticos na educação já não é recente no cenário brasileiro (ALMEIDA, 2009).

Sua viabilidade parte das possibilidades como mediadora em potencial para a prática do ensino e aprendizagem. A Internet , por sua vez, vem sendo um grande canal de comunicação e também uma ferramenta em potencial para criar e desenvolver ideias, conhecimento e valores em prol do desenvolvimento humano. Com a informática ocupando cada vez mais o espaço no ambiente educacional, novas tecnologias surgem com o intuito de aperfeiçoar o sistema de ensino. Hoje é indiscutível a importância da informática na educação, mas é preocupante a maneira descontrolada como vem sendo utilizada.

A falta de recursos financeiros é um grande problema para escolas públicas brasileiras, muitas vezes podendo privá-las de dar aos alunos a segurança que necessitam. Por essa razão este trabalho mostra uma solução viável para a questão da segurança na Internet no laboratório de informática destas instituições de ensino.

A solução encontrada foi a utilização dos sistemas ALT LINUX SCHOOL desenvolvidos pelo governo russo para resolver problemas de segurança em suas escolas. Mesmo sendo russo, os sistemas possuem tradução para vários idiomas, principalmente para o PT-BR ABNT2, que é o padrão mais utilizado no Brasil.

Sobre a Alt Linux

Conforme especificado na documentação criada pela Alt Linux Team (2010), ALT LINUX é uma equipe de 200 desenvolvedores de software livre residentes na Rússia, Bielorrússia, Ucrânia, Cazaquistão, Estônia e Israel. Esta equipe coordena projetos e fornece soluções de implementação e suporte. Com o propósito de resolver problemas de usuários, os softwares desenvolvidos pela ALT LINUX são soluções baseadas em software livre, que se distinguem por um alto grau de confiabilidade e segurança, simplicidade e atualizações de acessibilidade com interface simples.

A ALT LINUX possui um repositório de softwares denominado “Sísifo” que é atualizado diariamente. Os sistemas ALT LINUX são desenvolvidos tanto para usuários iniciantes quanto para avançados, fornecendo um ambiente de trabalho integrado.

Alt Linux 5.0.2 School Server

Conforme especificado na documentação desenvolvida pela Alt Linux Team (2010), o ALT LINUX 5.0.2 SCHOOL SERVER é um sistema gratuito baseado em Linux desenvolvido pela ALTLINUX especificamente para servidores de escolas. O sistema fornece uma infraestrutura completa para uma rede de dados escolar voltados para o alto desempenho e segurança. Além de possuir serviços para fazer o controle de acesso na Internet , o sistema possui outros serviços, incluindo servidor de arquivos, de impressão, de DHCP , de instalação via rede, DNS , VPN, de e-mail e muitos outros. Sua configuração é muito fácil, pois é feita através de interface WEB , qualquer administrador iniciante ou até mesmo uma pessoa que não possui experiências com este tipo de sistema poderá configurá-lo sem nenhuma dificuldade.

Alt Linux 5.0.2 School Junior

Trata-se de um sistema operacional gratuito, com base Linux, desenvolvido com foco em escolas e instituições de ensino. Este sistema já vem com um pacote de programas voltados para o desenvolvimento escolar, com editores de texto, editores de imagem, browser e muitos outros. Existe também a possibilidade de instalar novos programas armazenados no enorme banco de softwares do ALT LINUX por meio da Internet . Possui um painel de controle denominado Alterator , onde todas as configurações do sistema são centralizadas nele, tornando-se assim de fácil configuração. A configuração básica para sua instalação é de no mínimo 256 MB de RAM , espaço de disco de 3 GB , processador Pentium III ou superior e leitor de DVD . 

Testes Realizados

Foram realizados testes em uma instituição de ensino para uma proposta de implementação de uma política de controle de acesso à Internet. Um aluno foi usado no teste para a utilização dos sistemas. O resultado foi muito positivo quanto a segurança proporcionada pelos sistemas.

Neste caso em questão, foram utilizados somente os serviços do ALT LINUX 5.0.2 SCHOOL SERVER necessários para o controle na WEB . O serviço de diretórios OpenLDAP vai de encontro aos fundamentos do RBAC , pois em sua base de dados armazenam-se dados de forma hierárquica de grupos de usuários e seus usuários com suas respectivas informações pessoais como senhas, e-mails, telefone, etc. No proxy Squid , mesmo que sua filtragem padrão é por endereços URL, foi possível adaptá-lo com filtragem por palavras editando seu arquivo em modo texto. Outra qualidade desta ferramenta são os registros de acessos dos usuários nele autenticados, onde é gravada cada conexão realizada em um servidor na Internet . O firewall IPTABLES bloqueou todo tráfego de dados não autorizados em sua configuração, dando então proteção à rede e aos computadores da sala de informática.

No sistema para desktop houve a tentativa de acesso a conteúdos indevidos, sendo que o sistema bloqueou-os com êxito. Ao tentar acessar as configurações mais importantes do sistema (rede, firewall , sistema, usuário e interface gráfica), que são centralizadas no centro de configuração do sistema ( Alterator ), o sistema solicitou a senha do administrador para que o usuário comum não obtivesse sucesso no acesso. O aluno efetuou download de um programa aleatório e quando foi instalá-lo novamente a senha de administrador foi solicitada. Este bloqueio de instalação é de suma importância para impedir que vírus e programas impróprios possam ser instalados no sistema.

Conclusões

Os sistemas gratuitos ALT LINUX 5.0.2 SCHOOL SERVER e ALT LINUX 5.0.2 SCHOOL JUNIOR demonstraram possuir todas as ferramentas necessárias para efetuar controles de segurança em uma rede de dados gratuitamente. Basta configurá-los conforme as especificações descritas na política de controle das instituições escolares onde forem implementados para se ter as vulnerabilidades controladas facilmente.

Os resultados obtidos na análise mostraram que uma política de segurança em companhia da utilização dos sistemas ALT LINUX são muito eficientes em controlar qualquer ação não autorizada do aluno, desde a filtragem de conteúdos na Internet até o bloqueio de acesso às configurações importantes do sistema e instalação de novos programas.

A segurança de alto potencial com muita facilidade na configuração é um fator muito importante a ser relevado, pois não possuir um gerente especializado em computadores poderia ser um grande problema para uma instituição, entretanto, com um simples treinamento dado a um funcionário da escola, já foi o necessário para que aprendesse a utilizá-lo.

A satisfação da direção foi muito grande com o resultado final dos testes realizados, principalmente pela solução dos problemas encontrados no laboratório de informática da escola sem precisar investir em softwares pagos para obter a proteção dos seus alunos.



Fonte Original:
Orientador: Eduardo Alves Moraes - FATEC – Campus Ourinhos/SP.

Autores: Douglas Henrique Ribeiro da Silva, Samuel Apolo Ferreira Lourenço - FATEC – Campus Ourinhos/SP.

Fonte do fórum: Gabriel Silva

Read More

O porquê de não haver hacks para alguns jogos online

Todos os dias recebemos mensagens sobre como arranjar “hacks” ou “cheats” para jogos online, então, aqui vamos tentar explicar o porquê de, no geral, ser quase impossível tal coisa e normalmente acabam a ficar sem as suas contas.

Servidor – Esta parte é responsável por disponibilizar o conteúdo

Cliente – Esta parte é responsável por requisitar o conteúdo ao Servidor, e entregá-lo ao jogador, na maior parte dos casos no próprio browser.

Código de jogo no Servidor

O código de jogo no Servidor é quando o motor de jogo fica alojado num Servidor. Para cada cada pedido do Cliente um código é executado no Servidor que resulta no envio do resultado para o Cliente em formato HTML. Normalmente este tipo de jogo tem uma performance mais lenta devido a restrições dos próprios servidores.

Este código é quase impossível de ser alterado pelo jogador (e muitas vezes pelos próprios hackers), pois ele reside num servidor protegido cujo acesso é muito restrito.

Código de jogo no Cliente

O código de jogo no Cliente é quando o motor de jogo fica alojado no browser do jogador. O código é executado no Cliente apenas. O utilizador consegue facilmente ver o código fazendo apenas “Ver – Código da página”. Este código é muitas vezes usado em formulários de validação como entrada de texto (se está vazio ou não), validação de endereços de email, etc. É mais rápido que executando o mesmo no Servidor.

Existem muitos programas por aí que dizem ser capazes de fazer hacks em jogos como o “Clash of Clans”, são todos falsos, porquê? Aqui porquê:

Qualquer programa que diga fazer “Hack de Gemas” não vai funcionar porque a informação está alojada no Servidor, por isso, editar qualquer informação no Cliente teria que ser posteriormente confirmada pelo servidor. Por outras palavras, não existe forma de “hackear” estes jogos.

E se, por alguma razão, alguém descobriu uma forma de o fazer, e essa informação chegou ao público, por norma estes erros são corrigidos no próprio dia ainda. Este tipo de jogos são desenhados de forma a que o Jogador não consiga passar do Cliente para o Servidor. Para o fazer, teria que ganhar acesso ao servidor onde as informações do jogo estão guardadas, e modificar de forma a ganhar algo. Isto é quase impossível de ser fazer de forma automática ou mesmo manual. Era o mesmo que tentar conseguir informação de crédito de um website como por exemplo a Amazon. É extremamente difícil e improvável que tal coisa seja feita, e é ilegal. Mas, fugas acontecem de tempos em tempos.

Fonte: Hackers Portugal

Read More