Hackers testarão defesas eletrônicas de bancos britânicos

Londres - Nos próximos meses, hackers vão tentar penetrar as defesas eletrônicas de grandes bancos da Grã Bretanha e roubar informações de milhões de clientes. Mas desta vez serão bem vindos.

Os bancos estão em alerta vermelho após criminosos cibernéticos terem obtido detalhes sobre 83 milhões de clientes do JPMorgan Chase neste ano, e os principais bancos britânicos aceitaram participar de testes que permitem que equipes de hackers certificados ataquem à vontade.

Os jogos de guerra eletrônica vão marcar uma grande escalada sobre como bancos testam suas defesas em uma batalha de alto risco com criminosos.

"É a primeira vez que bancos terão seus sistemas testados por ameaças de seguranças em um ambiente real em vez de um ambiente simulado ou isolado", disse o sócio da equipe de segurança eletrônica da KPMG Stephen Bonner.

Crimes eletrônicos custam 445 bilhões de dólares ao ano à economia global e a conta está crescendo, segundo o Centro de para Estudos Estratégicos e Internacionais (CSIS, na sigla em inglês), que disse que os crimes prejudicam o comércio, competitividade e inovação em vários setores.

O banco central da Inglaterra está por trás da iniciativa. Em junho, o BC detalhou um novo plano chamado de CBEST para lidar com a crescente ameaça eletrônica.

O plano inclui o compatilhamento de inteligência de agências do governo, como a agência britânica de espionagem GCHQ, empresas e o encorajamento de testes mais intensos de instituições financeiras.

Testes pilotos já começaram e a maioria das instituições devem concluir o processo até o final de 2015, disse uma das fontes.

Os testes também vão envolver companhias de seguros, bolsas financeiras e operadoras de sistemas de pagamentos.

Fonte

Read More

WhatsApp adota criptografia para proteger mensagens em trânsito

Uma ferramenta para proteger a privacidade, apoiada por Edward Snowden, evita que as mensagens de WhatsApp sejam espionadas, criptografando-as quando viajam pela internet, anunciaram nesta terça-feira empresas vinculadas ao setor.

A Open Whisper Systems anunciou uma aliança com o Facebook, proprietário do WhatsApp, com a finalidade de usar um protocolo de textos seguros (TextSecure) para codificar mensagens em trânsito e escondê-las de olhares indiscretos.

"O WhatsApp merece enormes elogios por dedicar um tempo considerável e um esforço a este projeto", indicou a empresa Open Whisper Systems em nota publicada em um blog.

"Embora estejamos ainda no começo desta implementação, achamos que isto já representa o maior desenvolvimento da comunicação criptografada (...) na história", acrescentou a nota.

O WhatsApp confirmou o anúncio à AFP, mas se recusou a fazer mais comentários.

O TextSecure é ativado automaticamente, já que, está incluído por default na versão mais recente do WhatsApp para celulares equipados com Android, onde são trocadas bilhões de mensagens diariamente, informou a Open Whisper.

O co-fundador do WhatsApp "Brian Acton e a equipe de engenheiros do WhatsApp trabalharam incrivelmente nisto", acrescentou Open Whisper, um projeto apoiado por doações e subvenções.

Ao fazer parte da conferência South By Southwest, no começo deste ano, a ex-funcionária da Agência de Segurança Nacional dos Estados Unidos (NSA, em inglês) apoiou estas ferramentas para criptografar criadas pela Open Whisper.

Snowden se conectou à conferência pela internet da Rússia, onde se refugiou depois de vazar informações sobre a vigilância na internet em nível mundial por parte da NSA.

Em outubro, o Facebook completou a compra por 22 bilhões de dólares do aplicativo para celulares WhatsApp, usada por 600 milhões de pessoas.

Fonte: MSN

Read More

Book Review: Getting Things Done

Sinopse

Nos dias de hoje, os métodos de ontem não funcionam mais. Em Getting Things Done, o veterano consultor administrativo David Allen compartilha seus métodos inovadores para aumentar a performance sem stress, que ele já demonstrou para dezenas de milhares só nos EUA. Sua premissa é simples: nossa produtividade está diretamente ligada com nossa habilidade de relaxar. Só quando nossas mentes estão livre e nossos pensamentos organizados que conseguimos atingir a verdadeira produtividade e libertar nosso potencial criativo. Em Getting Things Done Allen mostra como:

• Aplicar o conceito de "faça, encaminhe, adie, largue" para manter todas as suas inbox vazias.
• Reavaliar objetivos e manter-se focado em mudar a situação
• Planejar projetos e desencalhar projetos parados
• Superar sentimentos de confusão, ansiedade, se sentir sobrecarregado
• Se sentir bem em deixar de fazer coisas

Com estes princípios básicos e dicas testadas, Getting Things Done pode transformar o modo que você trabalha.

Traduzido e adaptado da Amazon

Review

Bom, antes de mais nada tenho que dizer que tanto a tradução quanto a sinopse original são horríveis, não ficando claro o objetivo do livro. Como vocês podem ver o livro, diferente dos outros postados aqui, não é sobre assuntos técnicos de Segurança da informação ou relacionados, mas conhecer essas técnicas e conceitos influencia diretamente em sua vida, em seu trabalho, estudos e etc.

O objetivo do livro GTD (maioria conhece o livro e as técnicas pela sigla) é ensinar diversas dicas e truques para uma vida mais produtiva. Agora você pergunta, "Mas porque preciso ser mais produtivo?" E eu respondo, simples, se você sabe organizar sua vida, você pode estudar mais, trabalhar melhor, aprender coisas novas e ainda sobrar tempo para fazer o que gosta, tudo isso com menos preocupação e stress.

As dicas do livro são bem simples, nada que você vai ter muito trabalho em fazer, basta um papel e caneta e você já está pronto para tornar sua vida mais produtiva. Eu recomendo fortemente o software Evernote no lugar de papel e caneta, muito fácil de organizar e manter tudo próximo para anotar e consultar. Um livro que estou querendo fazer um review também é o Organizando a Vida com o Evernote, que segue a mesma linha do GTD, mas focado no software, para tirar o maior proveito do Evernote com GTD.

Outra coisa interessante do método GTD é o fato de aumentar e estimular o pensamento criativo. Você gostaria de criar algo, ou seu trabalho depende de pensamento criativo? O GTD pode te ajudar. A premissa do GTD é esvaziar a cabeça e anotar todos os seus pensamentos no papel, porque seu cérebro não consegue lembrar de tudo e na hora que você precisa. Por isso você acaba esquecendo de coisas ou ficando estressado tentando manter tudo na cabeça. Já usando as técnicas, com tudo anotado no papel (ou digital), seu cérebro fica aberto a novas idéias e pensamento criativo.

Você pode encontrar o livro em diversos lugares, mas obviamente, vou indicar o lugar que acho melhor o serviço (desde preço até entrega), que como já devem imaginar é a Amazon. Agora na Amazon brasileira você pode encontrar diversos livros e comprar nacional. Caso você consiga ler em inglês recomendo a versão em inglês, super barata. Caso não consiga, este livro tem uma versão em português, que no momento está mais barata.

Eu fico por aqui, cada vez mais produtivo!

Read More

Hackeando carros

E ai pessoal!

Não sei se já postei isso por aqui mas mesmo assim vou postar. Acabei de rever hoje um vídeo do Charlie Miller e do Chris Valasek na Forbes apresentando algumas técnicas e hacks em carros. Similar a palestra deles do ano passado da H2HC.

Segue vídeo da Forbes:

E o vídeo da palestra:

Read More

OWASP Top 10: A2 Broken Authentication and Session Management

E ai pessoal!

A muito tempo atrás eu comecei a postar uma série explicando como funciona cada uma das 10 falhas mais comuns, classificadas pela OWASP. Só agora me sobrou um tempo para continuar postando.

Até agora temos 2 falhas já explicadas basicamente. Assim que eu tiver um tempo eu faço um repost um pouco mais detalhado.

Já atualizando para a nova versão do OWASP Top 10, temos até o momento:

OWASP Top 10: A1 Injection
OWASP Top 10: A3 Cross Site Scripting

E vamos ao que interessa!


Cerca de 90% das aplicações web hoje em dia usam simples formulários em HMTL para autenticação, capturando o usuário e senha informado e encaminhando para uma função de autenticação.

Funções de autenticação ou sessão são normalmente desenvolvidas com falhas graves que podem ser facilmente ignoradas podendo causar o vazamento de credenciais, e também causar escalação de privilégios horizontalmente. Escalação de privilégios horizontalmente quer dizer, um usuário comum acessar informações de outro usuário comum, e a escalação vertical é quando um usuário normal acessa informações de uma conta com acesso superior.

O comum nas aplicações web atuais é um sistema de login seguro e completamente blindado onde nenhuma requisição maliciosa pode passar, mas em outros campos como “Esqueci minha senha”, “Lembrar-me”, troca de senha, entre outros, nenhuma verificação de segurança é realizada e através desses campos as informações podem ser obtidas. 

O erro do desenvolvedor está em não dar a mesma atenção com relação a segurança a todos os campos e funções onde o usuário interage com a aplicação. Outro erro bem comum é utilizar exatamente a mesma função de segurança para todas as páginas e campos, o que pode causar algum bug e escapar dos métodos de segurança.

Este tipo de falha está cada vez mais comum hoje em dia, subindo para segundo lugar nesta última versão, tomando o lugar do XSS. Vejamos algumas falhas na criação das aplicações de hoje em dia:

- Senhas fracas: Muitas aplicações web hoje em dia ainda tem falhas críticas nas suas políticas de senha. É comum ver sites que permitem senhas muito curtas ou até mesmo em branco, permitem palavras presentes em dicionários ou nomes, uma senha padrão, ou até mesmo o login na senha.

- Possibilidade de Bruteforce: Sem dúvida você viu o vazamento de fotos que vazou de celebridades a algum tempo atrás. Isso foi causado por essa falta de cuidado. A aplicação permite que um usuário tente diversas vezes combinações de usuário/senha sem problema nenhum, isso quer dizer, permite o uso da técnica de bruteforce de tentar milhares de tentativas.

- Mensagens de erro vazando informação: Normalmente aplicações usam 2 ou mais campos para autenticar usuários, como por exemplo login/senha, e até mesmo outras informações como tokens, senhas de dois passos, datas de nascimento e etc. O maior erro dos desenvolvedores é avisar indiretamente, com mensagens de erros diferentes, qual é o campo que está errado, em vez de uma mensagem genérica.

- Falhas na funcionalidade de mudar a senha: Em muitas aplicações é comum que um campo seja informado errado e volte uma mensagem de erro informando que algum campo de login foi inserido errado. O erro dos desenvolvedores está em informar exatamente qual o campo está errado com mensagens de erro diferente. Um usuário mal intencionado pode usar isso para enumerar possíveis usuários da aplicação e depois executar um ataque de dicionário ou bruteforce para conseguir as senhas. O correto seria uma mensagem genérica de "usuário ou senha incorreta" para dificultar e não vazar informações sensíveis.

- Sistemas de troca de senha falhos: Sistemas de troca de senha ou recuperação de senha podem por descuido também informar informações sensíveis da senha atual. Por exemplo, o campo "Nova senha" pode retornar mensagens de erro como "Nova senha não pode ser igual a senha atual".

E vou ficando por aqui! Eu poderia escrever muito mais falhas e erros básicos que os desenvolvedores cometem até mesmo sem saber, no intuito de fazer algo bom e seguro, que entram nessa categoria de Broken Authentication, mas isso já está bom para exemplificar o que esta categoria do OWASP Top 10 quer dizer.

Imagens originalmente publicadas no livro The Web Application Hacker's Handbook.

Read More

Microsoft libera 14 patches de segurança para o Windows

A Microsoft liberou nesta terça-feira, 11/11, soluções para 14 vulnerabilidades no Windows, no Office e no Internet Explorer, incluindo quatro classificadas como críticas.

Todos os quatro bugs críticos poderiam permitir que invasores executassem programas remotamente em um sistema direcionado, algo que já permitiu a hackers roubarem informações pessoas como senhas ou “tomar” máquinas para enviar spam.

Os patches foram liberados como parte da já conhecida atualização mensal de segurança da empresa, chamada “patch Tuesday”. Originalmente, a empresa tinha planejado entregar 16 updates, mas dois estão marcados informando que ainda vão chegar.

De qualquer, essas 14 soluções representam um recorde mensal para os anos de 2013 e 2014 na Microsoft.

Elas incluem um problema com o Windows Object Linkind and Embedding que pode permitir a execução remota de código se o usuário visitar um site contendo código malicioso. Se o usuário estiver logado como o administrador, o criminoso pode ganhar a habilidade de instalar programas e alterar e apagar dados. Um patch relacionado para o Internet Explorer soluciona a vulnerabilidade com sites maliciosos e 16 outros problemas com o software, segundo a Microsoft.

Um update de segurança para o Microsoft Secure Channel no Windows soluciona um problema que deixa o Windows Server vulnerável a ataques. O quarto patch crítico arruma um “buraco” no Windows que permite a criminosos invocarem Microsoft XML Core Service de um site malicioso e então executar remotamente um código em um sistema.

Outras sete soluções são marcadas como importantes – a segunda classificação mais alta para a Microsoft.

Fonte: IDG NOW!

Read More