Phishing e fraudes em alta

O ano começa com algumas notícias preocupantes nos campos do phishing e das fraudes. Ouça no artigo de hoje.

Audio via YouTube


Audio via Odeo/Kiwi6 (arquivo disponível só durante alguns dias)

Clique aqui para baixar o artigo do site da Kiwi6 em seu micro para poder carregá-lo em seu mp3-player.

Clique aqui para ler o artigo da Help Net Security sobre o crescimento dos casos de phishing.

Clique aqui para ler o artigo da Computerworld sobre o crescimento das fraudes nigerianas.

Clique aqui para ler o artigo do G1 sobre as fraudes nigerianas no Brasil.

Para ler esse artigo, clique no botão abaixo.

Duas notícias recentes mostram que velhos problemas de segurança continuam em alta, prometendo estragos ainda maiores em 2010.

Na primeira delas o site Help Net Security comenta sobre um estudo da Network Box apontando para uma estatística triste: mais de 55% dos ataques via e-mail foram de phishing agora em janeiro. Ou seja, de cada 2 e-mails maliciosos recebidos, um é de ataque de phishing. Essa estatística absurda indica que esse tipo de ataque continua sendo bastante efetivo, encontrando vítimas aos montes mesmo diante de tantos avisos sobre a praga. Os dados da Network Box confirmam ainda algo sobre o qual já comentei aqui no 5 Minutos de Segurança: o Brasil continua sendo o campeão mundial no envio de SPAM, e também vence na subcategoria SPAM de phishing. Segundo o estudo, 15,7% das mensagens de phishing enviadas no mundo têm origem no Brasil. Imagino que os ouvintes e leitores do 5 Minutos de Segurança estejam se preparando constantemente contra esse tipo de ataque, e não vão cair facilmente nesse tipo de conto do vigário. Ainda assim, ficam algumas perguntas para todos nós: será que estamos estendendo nosso conhecimento sobre esse assunto (e sobre outras questões de segurança, claro) para as pessoas que conhecemos? Será que estamos alertando nossos pais, nossos parentes, nossos irmãos, filhos, amigos, colegas sobre esse problema? Ou estamos nos preparando para enfrentá-lo e mantendo “a candeia sob o alqueire”, para usar uma expressão antiga? Posso afirmar que não é nada agradável receber a notícia de que um conhecido sofreu um problema desses sendo que a gente poderia perfeitamente ter feito algo a respeito a título preventivo.

A segunda notícia, que é relacionada com essa questão foi publicada pela Computerworld, mencionando um estudo da empresa holandesa Ultrascan, que informa um crescimento de mais de 40% nas fraudes do tipo 419 (também conhecida como “fraude nigeriana”). Para refrescar a memória é aquele golpe em que você recebe um e-mail de algum suposto oficial do governo de um país africano oferecendo uma grande soma de dinheiro em troca de ajuda financeira para tirar a bolada do país e trazer para o Brasil. Em 2008, afirma o estudo, foram 6,3 bilhões de dólares roubados com esse tipo de golpe, um número que cresceu para 9,3 bilhões de dólares em 2009 e engloba casos em 152 países. No Brasil esse golpe toma cores tupiniquins e é aplicado geralmente via mensagem SMS no celular. A vítima é informada que ganhou algum prêmio, tipo um celular, uma casa ou um carro e para recebê-lo tem que pagar uma taxa qualquer. Quem paga vê seu dinheiro ir embora e não recebe nada em troca.

Penso que essas duas notícias de crescimento de golpes antigos estejam ligadas ao fato de que cada vez mais gente ganha acesso à Internet, sem o devido preparo para isso. Entrar na rede é fácil, criar um e-mail é rápido e sair navegando é um prazer para quem chega à Internet. Mas se não fizermos um esforço para instruir nossos conhecidos sobre os tipos de perigo contra os quais eles têm que se precaver, estaremos contribuindo com nossa passividade para que esses problemas cresçam ainda mais nos anos à frente.

Bom fim de semana e até a próxima.

Algumas questões de privacidade do iPad

O tão esperado iPad foi anunciado, finalmente. O que devemos esperar do dispositivo em termos de segurança? Ouça no artigo de hoje.

Audio via YouTube


Audio via Odeo/Kiwi6 (arquivo disponível só durante alguns dias)

Clique aqui para baixar o artigo do site da Kiwi6 em seu micro para poder carregá-lo em seu mp3-player.

Clique aqui para ler o artigo de Dan Morrill sobre o código malicioso no site www.ipad.com.

Clique aqui para ler o artigo de Agam Shah, da TechWorld, sobre a segurança do iPad.

Para ler esse artigo, clique no botão abaixo.

Meses de espera e especulações terminaram ontem com o lançamento do iPad da Apple. O executivo chefe da empresa, Steve Jobs, assessorado por alguns dos vice-presidentes da empresa demonstraram as capacidades do novo dispositivo e depois do lançamento não se falou praticamente sobre mais nada na Web.

O que se espera de agora para frente é um conjunto de revisões sobre o produto, muitas opiniões (e se a história recente é algum indicativo, muita gente vai meter o pau no dispositivo), mas no fim das contas — também levando em conta a história recente — vai ter fila em Abril para comprá-lo e a Apple vai ganhar dinheiro suficiente para encher alguns petroleiros com as vendas nos próximos anos.

Mas e a segurança? O que podemos dizer sobre a segurança do novo dispositivo da Apple?

Bem, a primeira coisa a ser dita é o seguinte: não entre no endereço www.ipad.com, pois segundo o consultor Dan Morrill o mesmo foi registrado por alguém na China, e a página tenta descarregar um código malicioso chamado QVodSetup3.exe no computador do usuário. Péssimo começo, não é mesmo? Pois é, os golpistas vêm tentando antecipar o nome do dispositivo faz meses, e um deles deu a sorte de acertar o nome e registrá-lo, fazendo uma página cujo objetivo é invadir o computador de quem a acessar.

Outra preocupação com a segurança foi levantada pelo colunista Agam Shah, do site TechWorld, e diz respeito à impossibilidade de travar o dispositivo à distância, protegendo os dados do usuário se o iPad for roubado. Essa capacidade existe no iPhone, e como o iPad também tem comunicação via sinal de celular 3G, deveria vir de fábrica. Se um desses dispositivos for roubado, o ladrão terá acesso ao conteúdo nele armazenado, sem que a vítima possa fazer nada para impedir.

Por falar em roubo, uma das ferramentas de segurança mais úteis para quem usa notebooks é o cabo de aço com cadeado, que impede os dispositivos de “evaporarem” quando o dono sai da sala. Esse mesmo dispositivo torna-se um contrassenso para o iPad, pois impede a total mobilidade exigida pelo aparelho. Isso implica em o usuário carregá-lo o tempo todo, sob o risco de não o encontrar se o mesmo for deixado sem supervisão. Esse é um problema conhecido dos donos de iPhone, e a expectativa é que se torne uma preocupação também para os donos de iPad.

No mais, as preocupações devem ser as mesmas que temos que ter com um computador comum: atualizações periódicas no sistema operacional e no navegador (que é o Safari, da Apple), não bobear com a conexão com as redes sem fio desativando o sinal quando não estiver em uso, não se conectar com redes desconhecidas, não baixar aplicações sem conhecer a procedência, e outras sobre as quais vivo falando nesse espaço.

Imagino que o iPad vá ser um sucesso, mas espero que o dispositivo não venha a ser um risco para a segurança de seus donos.

Até a próxima.

O Google, o bug e a privacidade

Uma falha na barra de ferramentas do Google viola a privacidade dos usuários. Ouça no artigo de hoje.

Audio via YouTube


Audio via Odeo/Kiwi6 (arquivo disponível só durante alguns dias)

Clique aqui para baixar o artigo do site da Kiwi6 em seu micro para poder carregá-lo em seu mp3-player.

Clique aqui para ler o artigo do professor Ben Edelman sobre o caso.

Clique aqui para ver um vídeo mostrando a violação de privacidade da barra de ferramentas do Google.

Para ler esse artigo, clique no botão abaixo.

Você conhece a barra de ferramentas do Google? Trata-se de um mecanismo para facilitar o acesso aos recursos da empresa, tais como as buscas, as configurações pessoais de acesso ao site, o acesso ao GMail e por aí vai. É um recurso muito semelhante a outras barras de ferramentas oferecidas por várias empresas, tais como por exemplo o Yahoo!, a Microsoft, o Bing (que é da Microsoft) e o Orkut (que é do Google).

Essas barras de ferramentas são semelhantes em função, facilitando o acesso aos recursos disponibilizados pela empresa, mas também se parecem em outro aspecto: quando ativas elas coletam dados do ambiente e da navegação do usuário e os enviam para a empresa que criou a barra em questão. Esse é um fato que o usuário nem sempre conhece, e que sutilmente reduz sua privacidade na rede. Quando a barra de ferramentas está ativa, os endereços dos sites navegados pelo usuário, por exemplo, são enviados à empresa, que utiliza essa informação para servir publicidades mais direcionadas para os gostos desse usuário.

É bom lembrar que não há nada de ilegal nesse processo, pois o usuário é informado sobre esse compartilhamento de informações quando instala a barra de ferramentas. Isso, claro, se esse usuário lê o acordo de uso de licença, com o qual tem que concordar para que a barra seja instalada. Numa estimativa puramente empírica, penso que menos de um a cada dez mil usuários leem esses acordos. Ainda assim, ao clicar no botão “concordo”, estamos dando o direito à empresa de coletar nossas informações.

O problema maior não é esse, infelizmente. Ontem o professor de Harvard Ben Edelman demonstrou em seu blog que a opção de desligar a barra de ferramentas para a janela em uso não funciona, pois as informações continuam sendo coletadas e enviadas para o Google. Essa sim é uma violação de privacidade de primeira grandeza, que obrigou o Google a um pronunciamento e fez com que o gigante das buscas criasse uma correção imediata para o problema.

Depois do alarme dado por Edelman a comunidade de segurança volta seu foco novamente para as questões da privacidade, enfatizando que as barras de ferramentas atuam contra essa privacidade. Atuam legalmente, claro, mas nem sempre o usuário está devidamente informado sobre os efeitos ocultos das facilidades oferecidas. Além do que, a oferta dessas barras é cada vez mais comum nos sites que visitamos, sua instalação é simples e bem rápida, e desabilitá-las é em alguns casos um processo complexo.

O usuário doméstico deve pesar com critério e atenção os supostos benefícios de ter uma ou mais dessas barras de ferramentas instaladas em seu navegador. Muitas vezes vejo usuários instalando esses recursos sem pensar sobre o que estão fazendo, e sem nunca utilizá-los. “Ah, o site ofereceu e eu instalei sem pensar” é uma resposta que já ouvi mais de uma vez. Essa definitivamente não é uma atitude de quem preza pela própria privacidade, e consequentemente por sua segurança.

Até a próxima.

Outro golpe em quem baixa filmes ilegais

Mais um mediaplayer falso tenta arrancar dinheiro dos espertinhos. Ouça no artigo de hoje.

Audio via YouTube


Audio via Odeo/Kiwi6 (arquivo disponível só durante alguns dias)

Clique aqui para baixar o artigo do site da Kiwi6 em seu micro para poder carregá-lo em seu mp3-player.

Para ler esse artigo, clique no botão abaixo.

Um ouvinte anônimo mandou a seguinte pergunta:

“Eu gostei muito das suas dicas sobre golpes dados em pessoas que usam o BitTorrent, e como eu achei mais um, resolvi passar a dica: o filme XYZ pede a instalação de um tal ‘moviexplayer’ para ser passado no computador. Tem toda a cara de ser mais um golpe, né não?”

Obrigado pela dica, anônimo. Substituí o nome do filme por XYZ por não achar que é papel do 5 Minutos de Segurança dar dicas de material protegido por copyright sendo baixado pela Internet. Com relação ao moviexplayer, fiz uma pequena pesquisa e o resultado não poderia deixar de ser o esperado: sim, é mais um golpe. Há relatos de vários piratas do BitTorrent que como você baixam filmes que ao serem executados pelo Windows Media Player, por exemplo, só exibem uma mensagem dizendo que aquele filme exige o tal mediaxplayer e mostram uma URL onde você pode baixar esse tal programa. O programa, claro, custa dinheiro.

É um golpe simples, mas que por ser muito lucrativo ainda faz inúmeras vítimas pelo mundo afora. Todos os usuários que cederam à tentação e pagaram o valor pedido pelo mediaxplayer receberam o software e mesmo assim não conseguiram exibir o filme pirateado. Isso porque ele não existe. O que você vê na sua tela já é o filme. Não existe codificação mágica que vá tirar daquele arquivo outras imagens diferentes do aviso que você vê na tela quando tenta ver o filme com um player qualquer.

De quebra, esse programa tenta instalar código malicioso em sua máquina, como vários usuários também relatam, o que o coloca na categoria de cavalo de troia. E como se isso tudo não bastasse, para comprar esse programa falso você tem que dar seus dados de cartão de crédito para os bandidos, digo, para os fabricantes da porcaria, digo, do software. Isso seria uma atitude inteligente? Claro que não.

Fica aqui uma sugestão para a pessoa quer assistir filmes novinhos em folha que acabaram de sair no cinema: vá ao cinema. O preço cobrado pelo ingresso me parece ainda mais justo dado que nos protege de jogar dinheiro fora em golpes e de quebra não coloca nosso computador em risco.

Até a próxima.

Falha no Flash exige atenção

Mais uma falha da Adobe, mais dor de cabeça para o usuário. Ouça no artigo de hoje.

Audio via YouTube


Audio via Odeo/Kiwi6 (arquivo disponível só durante alguns dias)

Clique aqui para baixar o artigo do site da Kiwi6 em seu micro para poder carregá-lo em seu mp3-player.

Clique aqui para ler um artigo da Reuters informando sobre caso.

Para ler esse artigo, clique no botão abaixo.

A história começa lá em 2006, quando uma possível vulnerabilidade na linguagem de programação Flash, da Adobe foi descoberta. A própria Adobe, naquela época, instruiu a comunidade de programadores sobre como evitar o problema utilizando técnicas simples de programação. Infelizmente, os avisos da empresa não têm sido levados em consideração, e o resultado é um problema que ameaça vários sites conhecidos, como informa o pesquisador Mike Bailey, da Foreground Security.

Segundo Bailey, a vulnerabilidade é um problema mais de programação imprópria do que uma falha da Adobe, e é aí que a situação fica mais grave. Se fosse algo a ser corrigido pela empresa, esta certamente o faria e resolveria o problema de uma vez por todas. Contudo, como é uma questão de utilização da linguagem de programação, todos os milhares de programadores em Flash pelo mundo afora são passíveis de inserir o erro nos programas que criam, e quando esses programas são embutidos em sites da Web, o erro pode levar usuários desses sites a ficarem expostos aos bandidos.

O exemplo dado por Bailey de como a falha pode ser nociva foi nada mais nada menos do que invadir uma conta do Twitter (criada especialmente para a demonstração) e enviar mensagens através dessa conta. Na verdade, uma vez invadida, a conta poderia ser violada de várias formas, expondo todos os dados do usuário.

O que torna o caso preocupante é a afirmação de Bailey de que a falha de programação em questão encontra-se repetida em vários sites conhecidos. Ele pretende divulgar uma lista desses sites num evento de segurança que ocorre nos EUA a partir do dia 02 de Fevereiro. Por via das dúvidas, o Twitter já tomou a providência de desabilitar o módulo Flash embutido em sua página, protegendo os usuários de eventuais problemas. Ainda assim, o potencial de dano dessa falha de programação no Flash é grande, dado o número de sites que usam essa tecnologia.

Mas o que o usuário doméstico pode fazer para se proteger desse problema? Bem, a exploração da falha depende da execução de um script malicioso, isso é, de um conjunto mal intencionado de instruções, conjunto esse cujo link é embutido em uma página Web que o usuário visita. Esse script é armazenado em um site diferente da página visitada, o que caracteriza o ataque como sendo do tipo “cross site”, ou um ataque que cruza códigos da página armazenada em um site com código armazenado em outro. Para evitar esse tipo de ataque existem mecanismos de segurança nos principais navegadores. Esses mecanismos evitam a execução de códigos cruzados. No Internet Explorer 8 e no Chrome, por exemplo, esse mecanismo de proteção já vem “de fábrica”, e o usuário deve verificar se está ativado em seu navegador. No Firefox existe a extensão NoScript que deve ser instalada. Em todos os casos, o mecanismo contra scripts cruzados deve permanecer ativo o tempo todo, garantindo assim a proteção do navegador contra esse tipo de ataque.

Até a próxima.

Mais segurança no novo Firefox

A nova versão do navegador Firefox melhora ainda mais a segurança dos usuários. Ouça no artigo de hoje.



Audio via Odeo/Kiwi6 (arquivo disponível só durante alguns dias)

Clique aqui para baixar o artigo do site da Kiwi6 em seu micro para poder carregá-lo em seu mp3-player.

Clique aqui para checar se seus plugins do Firefox estão atualizados.

Para ler esse artigo, clique no botão abaixo.

Na contramão dos problemas vividos pela Microsoft com seu navegador Internet Explorer, a Mozilla lançou ontem a versão 3.6 do Firefox, que vem mais robusta contra congelamentos inesperados, mas rápida e — o que é mais importante para os leitores do 5 Minutos de Segurança — mais seguro.

As novas características de segurança dizem respeito aos vários módulos adicionais de terceiros disponíveis para o navegador, as extensões e os plugins. Primeiro, uma explicação rápida sobre o que são.

As extensões são módulos adicionais que o usuário instala por sua livre escolha. Esses módulos adicionam funcionalidades ao Firefox tais como a habilidade de checar de antemão se um link conduz a uma página segura ou não, como no caso da extensão WOT já comentada aqui. Existem centenas de extensões à disposição do usuário, que transformam o Firefox em uma ferramenta bastante completa, podendo ir muito além da navegação pura e simples. O Firefox já tem há um bom tempo um mecanismo que avisa quando novas versões das extensões estão disponíveis, o que é excelente para manter o arsenal de extensões sempre atualizado.

Já os plugins são módulos complementares de programas que rodam fora do Firefox. O Adobe Acrobat, por exemplo, tem um plugin que permite a visualização de arquivos em formato PDF de dentro do navegador. O problema com os plugins é que em muitos casos eles são instalados no Firefox à revelia do usuário, isto é, sem seu conhecimento e sem seu consentimento. Além disso, não existe mecanismo formal por parte dos fabricantes dos plugins para avisar quando há novas versões dos mesmos, o que implica em raramente serem atualizados.

Essa questão das atualizações é crucial, pois quando vulnerabilidades são encontradas nas extensões e nos plugins, seus fabricantes agem no sentido de corrigir os erros encontrados. Se o usuário não é avisado de que existem atualizações disponíveis, tende manter as vulnerabilidades em seu sistema por um bom tempo.

Pois bem, a versão 3.6 do Firefox implementa um mecanismo de checagem automática de plugins, avisando o usuário se existem atualizações para os que estão instalados em seu navegador e levando a uma página com as atualizações quando for este o caso. Isso significa que a partir dessa versão os usuários não vão mais ter vulnerabilidades em seus computadores devidas a plugins desatualizados.

Outra característica nova da segurança do Firefox é a capacidade de impedir a execução de extensões que sejam prejudiciais sob o ponto de vista de segurança. De vez em quando descobre-se que alguma extensão não foi desenvolvida com parâmetros adequados de segurança, colocando o computador de quem a instala e risco. A partir de agora existe uma lista centralizada de extensões nocivas, e o navegador checa periodicamente essa lista e desativa qualquer extensão nessas condições que estejam instaladas.

Em suma, o Firefox torna-se um navegador um pouco mais seguro, colocando-se como alternativa para quem está em busca de um navegador. É um navegador perfeito? Não, como já dissemos por aqui. O Firefox já foi vítima de vulnerabilidades no passado e nada indica que isso não vá acontecer novamente no futuro. Contudo, certamente é uma das melhores alternativas entre os navegadores disponíveis sob o ponto de vista de segurança.

Bom fim de semana e até a próxima.

Incidentes de segurança aumentaram muito em 2009

O Cert.br publicou suas estatísticas de incidentes de segurança para o ano de 2009, e as notícias não são nada boas. Ouça no artigo de hoje.

Audio via YouTube


Audio via Odeo/Kiwi6 (arquivo disponível só durante alguns dias)

Clique aqui para baixar o artigo do site da Kiwi6 em seu micro para poder carregá-lo em seu mp3-player.

Clique aqui para ir à página de estatísticas do Cert.br.

Para ler esse artigo, clique no botão abaixo.

Todo ano o Cert.br, o Centro de Estudos, Resposta e Tratamento a Incidentes de Segurança no Brasil arregimenta estatísticas dos incidentes relatados ao órgão. Essa semana foram publicados os resultados de vários tipos de incidentes no Brasil, traçando um panorama de como anda a questão de segurança em terras tupiniquins. O quadro traçado pelas estatísticas é triste de se contemplar, infelizmente, e aponta para a necessidade de mais empenho da parte de todos para melhorar, um prospecto no mínimo duvidoso a curto prazo.

O primeiro dado disponibilizado pelo Cert.br informa que os incidentes de segurança relatados ao órgão cresceram 61% em 2009 com relação a 2008. Foram 358 mil incidentes relatados em 2009 contra 222 mil relatados em 2008. Os três principais tipos de ataque relatados são de Worms, varreduras não autorizadas e fraudes, sendo que esta última categoria contabiliza quase 70% de todos os ataques. Com relação à origem, estamos com nossa quota de bandidos nacionais bem preenchida, pois 82% dos ataques tiveram origem em solo brasileiro.

Esses números têm implicações importantes para o usuário doméstico. O aumento de 61% na quantidade de incidentes deve-se tanto ao crescimento do acesso aos recursos da Internet quanto ao despreparo desses novos usuários e de usuários antigos. Deve-se também ao aumento do valor de nossas transações on-line, pois a cada ano que passa, mais nós transferimos atividades que têm valor financeiro do mundo real para o mundo virtual. O fato de que quase 70% dos incidentes são de fraude é um forte indicativo de que os bandidos sabem que estamos trafegando valores com frequência crescente pela Internet. Já a presença de Worms entre os principais tipos de ataque indica claramente que não estamos utilizando ferramentas contra códigos maliciosos de forma eficiente. Ou seja: a lição de casa é toda nossa.

Outro dado doloroso publicado pelo Cert.br foi o do aumento de 422% no envio de SPAM no Brasil, saltando de pouco mais de 3 milhões de relatos em 2008 para mais de 17 milhões em 2009. Os três principais provedores de onde se originam estes SPAMs são a antiga Telemar (atualmente Oi), a antiga Brasil Telecom (atualmente Oi) e em terceiro lugar a Telefonica, o que significa que a praga está disseminada por todo o território nacional. A causa principal continuam sendo os proxies abertos, sobre os quais já comentamos aqui no 5 Minutos de Segurança.

E o que isso significa para o usuário doméstico? Significa principalmente que muitos de nós ainda estamos com nossos computadores vulneráveis a ataques externos, e não estamos nem cientes de que muitos desses computadores são atualmente zumbis a serviço dos bandidos, enviando mensagens não solicitadas sem que sequer estejamos cientes disso. É mais um caso em que a lição de casa é toda nossa.

Por fim, outro item que cresceu nas estatísticas foi a quantidade de sites falsos de bancos, que são utilizados em golpes de phishing. O número destes sites falsos cresceu 112% de 2008 para 2009, o que indica que golpes dessa natureza ainda são bem-sucedidos a ponto de os bandidos se animarem e aumentarem a frequência dos ataques. Aqui a questão continua sendo de muita atenção e de um critério adequado de navegação.

Começar 2010 com esses números na cabeça não é nada agradável, eu sei. Mas pelo menos serve de alerta para que cuidemos com muito carinho de nossa segurança no ano que se inicia.

Até a próxima.

Alemanha e França abandonam o IE

Vulnerabilidade no Internet Explorer que gerou ataque ao Google na China faz com que governos da Alemanha e da França recomendem que não se utilize o browser da Microsoft. Ouça no artigo de hoje.

Audio via YouTube


Audio via Odeo/Kiwi6 (arquivo disponível só durante alguns dias)

Clique aqui para baixar o artigo do site da Kiwi6 em seu micro para poder carregá-lo em seu mp3-player.

Para ler esse artigo, clique no botão abaixo.

Tudo começou na semana passada quando a empresa Google demonstrou interesse em sair da China em função de ataques de hackers a contas do GMail de usuários chineses. Esses usuários são ativistas por direitos humanos na China, e desconfia-se que os ataques tenham sido de alguma forma influenciados pelo próprio governo.

Há indícios, também, de que os ataques em questão tenham sido possíveis em função de mais uma vulnerabilidade no Internet Explorer, possibilidade essa já reconhecida pela própria Microsoft e ainda sem correção até a publicação deste artigo.

Pois bem, em função destes dois acontecimentos, primeiro o governo da Alemanha e logo em seguida o governo da França emitiram comunicados oficiais recomendando o abandono do browser da Microsoft. A Microsoft chegou a afirmar que a configuração do browser para o nível mais alto de segurança funciona como correção paliativa contra a vulnerabilidade, mas essa afirmação foi contestada pela recomendação alemã, que insiste que essa medida não é suficiente, no que tem a concordância de vários especialistas em segurança.

Tanto a Alemanha quanto a França recomendam explicitamente que órgãos do governo e cidadãos evitem utilizar o Internet Explorer até que a Microsoft corrija o problema em definitivo, o que ainda não tem data para ocorrer. A Microsoft, por sua vez, está aproveitando a oportunidade para encorajar não só a atualização do browser da versão 6 para a versão 8, mas também sugere que os usuários atualizem seus sistemas operacionais do XP para o Windows 7, o que de quebra pode gerar bons lucros para a empresa.

O que o usuário doméstico pode tirar de conclusão desse “quiproquó” todo? Bem, não é de hoje que notícias de vulnerabilidades do Internet Explorer e de outros browsers atingem o noticiário, e esse tipo de ocorrência que não deve desaparecer tão cedo. Todos os browsers do mercado têm apresentado falhas ao longo do tempo, uns mais e outros menos, mas o fato é que não existe browser 100% seguro. A troca do Internet Explorer por outro browser pode até proteger o usuário dessa falha em questão, mas tende a expor o usuário a outros problemas em outros momentos. A decisão pela troca deve ser feita com critério e com uma boa dose de leitura prévia. Tanto aqui no 5 Minutos de Segurança quanto em vários outros recursos da Web existem análises dos browsers que podem ajudar o usuário a decidir adequadamente.

A sugestão fica para que o usuário que estiver preocupado com o assunto se informe, de preferência não a partir de uma fonte só, se prepare para as consequências, e tome uma decisão com consciência.

Até a próxima.

Ele sabe onde você está nesse momento

Um fato interessante: pelas minhas contas esse é o 100º artigo de segurança desse blog. Muito obrigado a vocês todos pela audiência e pela paciência nesses cinco meses de existência do 5 Minutos de Segurança. Nossos encontros diários têm sido tremendamente enriquecedores para mim, e espero estar contribuindo “um tiquinho” para que todos estejamos mais seguros em nossas aventuras on-line.

Um novo ataque conceitual permite saber a localização geográfica do usuário. Ouça no artigo de hoje.

Audio via YouTube


Audio via Odeo/Kiwi6 (arquivo disponível só durante alguns dias)

Clique aqui para baixar o artigo do site da Kiwi6 em seu micro para poder carregá-lo em seu mp3-player.

Clique aqui para ir à página de Samy Kamkar onde ele mesmo explica o ataque conceitual.

Clique aqui para ler um artigo do The Register sobre o ataque e suas implicações.

Para ler esse artigo, clique no botão abaixo.

Samy Kamkar é um daqueles hackers/consultores que podem ser acusados de muita coisa, menos de serem entediantes. Em 2005 ele já parou o site de relacionamento MySpace com um ataque que atingiu mais de um milhão de usuários, transformando todos em “amigos” de Kamkar. Agora esse hacker norte-americano vem a público novamente para alertar contra uma vulnerabilidade que se for explorada por gente mal-intencionada pode simplesmente revelar onde uma pessoa se encontra geograficamente.

Kamkar criou o ataque conceitual e o publicou em seu site, o que é, por assim dizer, uma “notícia de dois gumes”. Seu objetivo é alertar para a possibilidade e para as falhas que permitem o ataque, mas um indivíduo com más intenções tem acesso ao ataque do mesmo jeito, podendo usar as informações disponibilizadas como bem entender.

O ataque é simples, mas bastante criativo. Começa — como tantos outros ataques — com o usuário navegando até um site que tenha sido invadido e adulterado pelos bandidos. Nesse site existe um código malicioso que é descarregado na máquina do usuário sem que ele saiba, simplesmente pelo ato de ir até o site infectado. O código malicioso em questão se comunica com o dispositivo de rede onde o usuário está conectado e consegue seu endereço físico, um número único e universal presente em todos os dispositivos de comunicação. O código malicioso de Kamkar envia esse número para o perpetrador do ataque (no caso, o próprio Kamkar), que o utiliza num serviço gratuito de localização disponibilizado pelo Google chamado Google Location Services. Esse serviço devolve a localização geográfica sob forma de latitude e longitude e também visualmente num conveniente mapa do Google. A precisão, segundo Kamkar, é de alguns metros. Fiz um teste em laboratório com alguns alunos e o resultado que obtivemos confirma o que diz o hacker americano.

Apesar de ser um ataque conceitual, o perigo é bastante real. É bem fácil imaginar um cenário em que essa técnica seja utilizada para identificar onde um indivíduo — nesse caso, um alvo — se encontra quando estiver utilizando a Internet. Além de ser uma brutal invasão de privacidade pessoal, é uma ameaça à integridade física da pessoa. Dito isso, é bom frisar que ninguém criou esse tipo de ataque direcionado ainda, e que a maioria de nós leva vidas simples e normais demais para ser alvo de um algo tão sofisticado assim. Em outras palavras, não há o menor motivo para pânico de qualquer espécie.

Sob o ponto de vista de segurança, a dica para nos protegermos desse tipo de ataque está lá no início da descrição que fiz do mesmo: muito cuidado e muito critério para com nossos hábitos de navegação. Tudo começa com um simples clique num link que leva a um site malicioso ou a um site legitimo que tenha sido infectado. No primeiro caso nossa cautela é bem melhor conselheira que nossa curiosidade; no segundo caso o que nos salva é ficarmos atentos para as notícias e utilizar plugins de avaliação de URLs tais como o WOT, já comentado nesse blog.

É mais um caso de mecanismos e medidas já conhecidas serem o que nos vai proteger contra mais um ataque novo.

Até a próxima.

As caixas de areia e a segurança

Um conceito cada vez mais popular entre os fabricantes de produtos de segurança pode ser muito útil na proteção de nossos computadores. Ouça no artigo de hoje.

Audio via YouTube


Audio via Odeo/Kiwi6 (arquivo disponível só durante alguns dias)

Clique aqui para baixar o artigo do site da Kiwi6 em seu micro para poder carregá-lo em seu mp3-player.

Clique aqui para ler um artigo sobre como funcionaum aplicativo que implementa o conceito de sandboxes.

Para ler esse artigo, clique no botão abaixo.

O ouvinte Lúcio pergunta:

“Ouvi falar de uma técnica nova de proteção chamada sandbox. Você pode explicar para que ela serve e como pode me ajudar na segurança do meu computador?”

Excelente pergunta, Lúcio. Vamos a ela.

Sandbox é um termo em inglês que quer dizer “caixa de areia”. Refere-se àquelas caixas de areia em parquinhos infantis onde as crianças pequenas são colocadas para brincar. A ideia é que a criança pode fazer o que quiser naquele espaço, moldando a areia a seu bel-prazer, mas não pode sair dali de dentro. Transpondo esse conceito para a área de segurança de TI, uma sandbox, isso é, uma caixa de areia é uma área controlada criada para conter um programa. Essa área simula todos os recursos que o programa precisa, e dentro dela esse programa pode fazer o que quiser. Contudo o programa não pode sair de seu espaço de confinamento, e todos os arquivos que este cria ou altera são apenas arquivos temporários ou cópias dos originais, que permanecem intactos enquanto essas cópias são apagadas ao final da sessão.

O efeito positivo é que o computador fica protegido caso os aplicativos dentro das sandboxes tentem provocar algum dano. Simples assim. É claro que o confinamento desses aplicativos tem seu preço. Os aplicativos ficam mais lentos, pois existe a necessidade de executá-los ao mesmo tempo em que se executa o gerenciador de sandbox. Além disso o processo todo usa mais memória e mais armazenamento em disco. Vejamos como funciona.

Se o usuário tem um gerenciador de sandbox implantado em seu computador e baixa um aplicativo que quer testar, por exemplo, esse aplicativo será instalado inicialmente dentro de uma sandbox. O gerenciador vai registrar todas as mudanças que o aplicativo em questão tentará provocar no sistema. Se o comportamento do aplicativo for adequado, isso é, se este não tentar instalar códigos maliciosos no computador, por exemplo, depois de algum tempo de teste o usuário pode desfazer a sandbox em volta do aplicativo, e as modificações criadas por este passam a ser permanentes. Se o usuário estiver insatisfeito com as mudanças provocadas pelo aplicativo, poderá simplesmente apaga-lo junto com a sandbox que seu computador não terá sido modificado de maneira alguma.

Existem várias ferramentas surgindo no mercado que utilizam esse conceito, e a versão 5.3 do antivírus Avast, que está em beta teste atualmente, não só cria sandboxes para os aplicativos como também analisa as modificações provocadas por esses dentro da ótica dos códigos maliciosos e com base nas assinaturas de vírus, o que torna o conceito ainda mais potente. É claro que a Avast só disponibiliza essa característica na versão “Professional” de seu antivírus (que é paga), e quem quiser se proteger com esse conceito vai ter que desembolsar o valor de uma licença anual. Penso que os R$100,00 cobrados pela empresa sejam um investimento valioso que deve gerar dividendos em tranquilidade para os usuários que decidirem fazê-lo.

Até a próxima.

Terremoto no Haiti gera fraudes

O Haiti ainda sofre horrores com os efeitos do terremoto e os bandidos já se movimentam para lucrar com a tragédia. Ouça no artigo de hoje.

Audio via YouTube


Audio via Odeo/Kiwi6 (arquivo disponível só durante alguns dias)

Clique aqui para baixar o artigo do site da Kiwi6 em seu micro para poder carregá-lo em seu mp3-player.

Clique aqui para ler a lista original de dicas do FBI.

Para ler esse artigo, clique no botão abaixo.

Sempre que algum acontecimento de vulto no campo das tragédias atinge os noticiários vários grupos se movimentam para a ocasião. A imprensa noticia a não poder mais, governantes tomam para si a responsabilidade de auxiliar a nação atingida, a Cruz Vermelha (ou o Crescente Vermelho no caso das nações Islâmicas) se mobiliza para enviar ajuda médica e por aí vai. Os bandidos também têm suas atividades programadas para esses momentos, e se mobilizam com velocidade e organização impecáveis.

No caso do terremoto no Haiti ocorrido no dia 12 de Janeiro, os bandidos já estão em plena luta para lucrar com a tragédia, registrando domínios na Web para angariar doações e atrair vítimas para outros tipos de golpe. O FBI publicou uma lista de dicas de segurança que vale a pena ser vista, pelo valor que traz para o usuário doméstico.

A primeira delas é não responder a e-mails não solicitados (ou seja, SPAM) cujo assunto seja relacionado ao terremoto. Não devemos também clicar em links desses e-mails, claro.

Devemos desconfiar de indivíduos que se apresentam como sobreviventes da tragédia ou autoridades pedindo doações por e-mail ou via sites de relacionamento.

Antes de fazermos doações para alguma ONG ou outro tipo de entidade, o certo é verificar e certificar a legitimidade dessa instituição. Não devemos confiar no link da mensagem que leva ao site dessa instituição, mesmo que o site pareça estar nos conformes. Como eu mesmo já comentei antes, os sites falsos estão ficando cada vez mais sofisticados.

Devemos tomar cuidado com e-mails prometendo mostrar fotos ou vídeos do terremoto. Tais e-mails podem conter códigos maliciosos, e a última coisa que queremos é que nossa curiosidade traga vírus para nossos computadores.

Se formos contribuir com alguma doação, devemos fazê-lo diretamente, sem depender de ninguém para fazê-la por nós, especialmente organizações na Web.

Não devemos dar informações pessoais ou financeiras para quem pede doações, até porque essas informações são absolutamente irrelevantes para as vítimas do terremoto.

Os golpes já estão aí, prontos para enganar os desavisados. O melhor mesmo é recorrer às instituições tradicionais para fazermos nossas doações, tais como as Nações Unidas, o Exército da Salvação, a Cruz Vermelha e outras de igual renome. Ah, e é importante também lembrarmos sempre que os bandidos usam nossa curiosidade para nos atrair para suas armadilhas. Supostos vídeos da tragédia sempre atraem milhões de curiosos, e nem sempre o vídeo é só um vídeo.

O fato é que a tragédia no Haiti já te vítimas suficientes. Não há a menor necessidade de nos tornarmos vítimas solidárias, caindo no conto do vigário que os bandidos contam com tanta emoção, de olho no nosso bolso.

Bom fim de semana e até a próxima.

Um novo cavalo de troia para celulares

Está se espalhando por aí um perigoso cavalo de troia para celulares. Ouça no artigo de hoje.

Audio via YouTube


Audio via Odeo/Kiwi6 (arquivo disponível só durante alguns dias)

Clique aqui para baixar o artigo do site da Kiwi6 em seu micro para poder carregá-lo em seu mp3-player.

Clique aqui para ler o artigo sobre o cavalo de troia no blog da CA.

Para ler esse artigo, clique no botão abaixo.

O pesquisador Akhil Menon, do laboratório de análise de códigos maliciosos da Computer Associates, publicou recentemente o resultado de uma descoberta interessante e perigosa para quem tem um celular capaz de executar programas em Java (ou seja, para mais de 80% dos donos de celular no mundo todo).

Menon contou que no laboratório da CA eles vêm observando o espalhamento de um cavalo de troia criado em Java, que afeta diretamente o bolso dos usuários desavisados. Essa praguinha, quando instalada nos celulares, acessa uma pequena base de dados própria que contém vários números de serviços pagos de pornografia e envia uma mensagem SMS para esses números, tudo sem dar pistas do que está fazendo para o usuário do aparelho celular. Uma vez que isso tenha acontecido o usuário efetivamente vira assinante desses serviços, e vai arcar com pesadas contas telefônicas até que identifique o problema e cancele os ditos cujos.

O principal problema dessa praga é que a mesma é independente de plataforma, isso é, pode ser executada em qualquer celular que tenha a capacidade de rodar programas escritos em Java, uma linguagem bastante difundida hoje em dia. Quase todos os aparelhos celulares com dois anos ou menos de existência já vem com essa capacidade, independente do fabricante. Os joguinhos que hoje são tão populares nos aparelhos, são em sua maioria desenvolvidos em Java, por exemplo.

Infelizmente o pesquisador da CA não comentou sobre os vetores de infecção, isto é, não deu dicas de como esta aplicação está chegando até os aparelhos dos usuários, mas ainda assim existem algumas dicas genéricas que nos protegem de pragas desse tipo.

Por ser uma aplicação, a mesma precisa da cooperação total do usuário para ser baixada (aliás, da Internet em muitos casos), transferida para o celular e instalada. A primeira dica, portanto, é tomar muito cuidado com a proveniência dos aplicativos que instalamos em nossos celulares. São muitos os sites que disponibilizam pequenas aplicações Java para celulares, e nem todas têm critérios adequados de teste e aceitação das aplicações que lá estão disponíveis.

Como essa aplicação maliciosa não causa efeito perceptível a não ser na conta mensal dos usuários, é fácil imaginá-la disfarçada de, por exemplo, aplicativo para melhorar o desempenho do celular. Também é fácil prever que o cerne dessa aplicação vai ser inserido em aplicativos mais interessantes, tais como jogos e outros programas de produtividade espalhados por aí via sites de compartilhamento de arquivos (aqueles em que reina a pirataria). A dica aqui é aquela nossa velha conhecida: pirataria rima com porcaria para seu celular, e nesse caso rima também com prejuízo para seu bolso.

Pedi mais detalhes para Menon sobre como especificamente esta praga está se espalhando, e se ele der mais informações volto ao assunto em um artigo futuro.

Até a próxima.

A Adobe fez sua lição de casa

A notícia mais esperada do ano (até agora) para usuários do Acrobat Reader. Ouça no artigo de hoje.

Audio via YouTube


Audio via Odeo/Kiwi6 (arquivo disponível só durante alguns dias)

Clique aqui para baixar o artigo do site da Kiwi6 em seu micro para poder carregá-lo em seu mp3-player.

Para ler esse artigo, clique no botão abaixo.

Depois de mais de um mês da descoberta de uma falha no Acrobat Reader que permitia a invasão de computadores em que o mesmo estivesse instalado, a Adobe finalmente publicou a correção tão esperada. A falha, para quem não se lembra, ocorre em função de um problema com a implementação do Javascript dentro dos documentos PDF, e no fim do ano passado mostrei como desabilitar esse componente defeituoso para que os ouvintes do 5 Minutos de Segurança ficassem imunes à falha enquanto a mesma não era corrigida.

Pois bem, agora os usuários do Acrobat Reader devem abrir esse aplicativo, clicar na opção “Ajuda” no menu horizontal, e depois clicar na opção “Verificar Atualizações”. A partir daí a versão 9.3 do Acrobat Reader será baixada e instalada. Trata-se de um arquivo de 62 MB, e traz uma novidade. Segundo “tuitou” Brad Arkin, diretor de segurança e privacidade de produtos da Adobe, a partir de agora o Acrobat permite atualizações automáticas, que é uma mudança importante e muito necessária. Isso porque como já dissemos a Adobe deve se tornar alvo preferencial dos atacantes em 2010, tomando o lugar da Microsoft no topo da lista de alvos mais visados. Com um processo de atualizações automáticas, quando a empresa lançar correções os usuários serão notificados imediatamente, ao invés de dependerem de notícias sobre os problemas para atualizarem seus sistemas. Uma excelente adição, sem dúvida.

É bom ressaltar que a Adobe manteve as opções de segurança e confiança que já existiam. A saber:

A opção “segurança” lida com a proveniência do arquivo, permitindo ao usuário checar a origem dos documentos através de certificados digitais. Essa opção é útil para usuários que recebem documentos oficiais em formato PDF e querem se certificar de que a origem dos mesmos é legítima.

A opção “segurança avançada” integra a segurança dos sistemas operacionais Windows com o Acrobat Reader. Dessa forma o Acrobat rejeita arquivos e URLs que não são confiáveis para o Windows.

A opção “confiança multimídia” permite a configuração de que aplicativos externos de multimídia podem ser acionados por documentos PDF sendo lidos pelo Acrobat Reader, e é útil para evitar que aplicativos maliciosos sejam acionados sem conhecimento do usuário.

Por fim, a opção “gerenciador de confiança” permite ao usuário decidir se quer ou não permitir que informações sejam enviadas à Internet através dos documentos PDF. Essa é uma adição importante, pois impede vazamento de informações através de PDFs maliciosos, e já vem bloqueada na configuração inicial após a instalação da nova versão.

Em suma, à primeira vista parece que a Adobe fez sua lição de casa e corrigiu o problema do fim do ano passado. Para quem não quis adotar o STDU Viewer (sugerido aqui no artigo intitulado Algumas previsões e duas alternativas), o Acrobat Reader volta a ser uma alternativa que não depende de configurações emergenciais por parte do usuário. Pelo menos até que se descubra outra falha na ferramenta, claro.

Até a próxima.

10 desculpas para se manter inseguro - parte 2

O SANS Institute publicou as 10 desculpas mais populares usadas por quem não usa ferramentas de segurança. Ouça no artigo de hoje.

Audio via YouTube


Audio via Odeo/Kiwi6 (arquivo disponível só durante alguns dias)

Clique aqui para baixar o artigo do site da Kiwi6 em seu micro para poder carregá-lo em seu mp3-player.

Para ler esse artigo, clique no botão abaixo.

Dando sequência às 10 principais desculpas esfarrapadas, digo, às 10 maiores razões dadas por quem não usa ferramentas de segurança, vamos às cinco restantes.

Razão número 5: “As ferramentas reduzem o desempenho do meu computador”. Sim, da mesma forma que as barras de ferro nas portas e no chassi, os freios, os airbags, os cintos e outros dispositivos de segurança do seu carro fazem com que esse fique mais pesado e com desempenho menor, consequentemente. Mas você não dirigiria seu carro se ele não tivesse esses dispositivos de segurança, dirigiria? Principalmente porque ele poderia facilmente chegar aos 200km/h. Já pensou estar num carro nessa velocidade que fosse só chassi, motor, direção e um banco para você sentar?

Razão número 4: “Eu achava que viessem com meu computador”. Bem, se você não montou seu computador do zero, isto é, se comprou um computador de marca, com software já instalado, certamente que muitas ferramentas vieram junto com ele. Ocorre que o usuário deve ativar essas ferramentas e configurá-las adequadamente para que funcionem corretamente. Não adianta nada ligar o computador e começar a usá-lo esperando que as configurações iniciais forneçam algum tipo de proteção. Essa desculpa é negligência impulsionada pela preguiça, nada mais.

Razão número 3: “É caro demais”. Já coloquei aqui uma frase do ex-reitor de Harvard, Derek Bok, mas não custa repetir: “se você acha que educação é caro, imagine ignorância”. Dá para parafrasear assim: “se você acha que segurança é caro, imagine insegurança”. Em primeiro lugar, porque não é caro. Quem consegue manter um computador e uma assinatura mensal de banda larga não deveria reclamar do preço de ferramentas de segurança. E se você for uma das exceções que realmente não tem recursos para manter assinaturas anuais, deveria saber que existem alternativas gratuitas. Outro caso de economia porca.

Razão número 2: “Os Macs não precisam de segurança”. Essa foi a razão mais alegada por usuários de sistemas da Apple, e é apenas uma meia verdade. Ataques de phishing, por exemplo, não escolhem sistema, e ocorrem em Macs, PCs e máquinas Linus, indiscriminadamente. Ah, e o HTML versão 5 vem aí, quebrando barreiras entre sistemas. Sempre repito para meus alunos que arrogância não é ferramenta de segurança, e espero que os ouvintes usuários de Macs não estejam sendo arrogantes com as questões de sua própria segurança.

Razão número 1: “Eu não sei o que comprar ou como instalar”. Um princípio da legislação brasileira dita eu o desconhecimento da lei não exime o cidadão de cumpri-las, isto é, não é porque você não sabe da existência de uma lei que vai se safar se quebrá-la. A ignorância não é uma desculpa válida. O fato é que no caso dos computadores o usuário precisa de segurança, e deve procurar ajuda caso não saiba o que fazer. Aliás, esse é o propósito desse blog: criar consciência para a necessidade de segurança que todos temos.

Taí. Espero que os ouvintes do 5 Minutos de Segurança leiam essa lista de razões e não se encaixem em nenhuma delas. Acho que estamos bem “crescidinhos” para não precisarmos nos apoiar em nenhuma desculpa esfarrapada quando na verdade estamos nos eximimos de nossas responsabilidades.

Até a próxima.

10 desculpas para se manter inseguro

O SANS Institute publicou as 10 desculpas mais populares usadas por quem não usa ferramentas de segurança. Ouça no artigo de hoje.

Audio via YouTube


Audio via Odeo/Kiwi6 (arquivo disponível só durante alguns dias)

Clique aqui para baixar o artigo do site da Kiwi6 em seu micro para poder carregá-lo em seu mp3-player.

Para ler esse artigo, clique no botão abaixo.

O SANS Institute publicou na semana passada o resultado de uma pesquisa interessante. Usuários que ainda teimam em não utilizar ferramentas de segurança foram questionados sobre quais as razões pelas quais agem assim, negligenciando sua própria segurança, e o resultado foi compilado em uma lista com as dez principais razões. Vejamos quais são, e como devemos agir diante dessas que não são nada além de desculpas esfarrapadas.

Razão número 10: “Eu só uso meu computador para e-mail e para navegar”. Como se essas não fossem as duas principais portas de entrada para códigos maliciosos, hackers e golpes, não é mesmo? Essa resposta faz tanto sentido quanto a pessoa que justifica não usar cinto de segurança quando anda de carro dizendo “só uso o carro no meu bairro”. Só que no caso da Internet, todos os bairros são violentos, com motoristas imprudentes e sanguinários. Essa desculpa é pura negligência, e quem a usa está pedindo para se dar mal.

Razão número 9: “Eu nunca tive problemas de vírus”. Imagino que quem use essa desculpa também não escove os dentes, não tenha tomado vacinas, não faça seguro de carro e por aí vai. Outra: estou certo de que a máquina de uma pessoa que use essa desculpa esteja infestada de vírus, mas como ela não tem antivírus, não está sabendo nem de que é esse o caso. O que falta aqui é que a pessoa entenda o valor da prevenção.

Razão número 8: “As ferramentas ficam dando alarmes o tempo todo”. Mesmo? E o que a ferramenta deve fazer quando descobre algo errado? Você prefere o conforto da ignorância enquanto sua máquina é infestada, invadida ou transformada em zumbi a serviço dos bandidos? Você prefere não ficar sabendo quando um código malicioso estiver entrando em sua conta bancária e fazendo transferências do seu dinheiro para algum lugar no leste Europeu? Essa desculpa é resultado de pura ignorância, ponto.

Razão número 7: “As ferramentas podem travar meu computador”. Ah, é? E o que os vírus vão fazer? Melhorar o desempenho do dito-cujo? Códigos maliciosos e hackers podem fazer muito pior que travar computadores. Outra desculpa fruto de ignorância.

Razão número 6: “Minha assinatura expira sempre”. Claro, né? Afinal de contas, você recebe um baita valor das assinaturas de suas aplicações de segurança, e os fabricantes que prestam esse serviço útil têm o direito de receber por isso, não é verdade? Ou você também não usa eletricidade, água e telefone para não precisar pagar as contas no fim do mês? Quem usa esse tipo de desculpa faz economia porca. E vai acabar se dando mal por isso.

Amanhã passo as outras cinco razões. Até a próxima.

Dicas para manter seu PC novo "na linha"

Você está de PC novo e quer mantê-lo seguro? Ouça como no artigo de hoje.

Audio via YouTube


Audio via Odeo/Kiwi6 (arquivo disponível só durante alguns dias)

Clique aqui para baixar o artigo do site da Kiwi6 em seu micro para poder carregá-lo em seu mp3-player.

Clique aqui para ler a série de dicas de Ric Broida na PCWorld.

Para ler esse artigo, clique no botão abaixo.

O colunista Rick Broida, das revistas PCWorld e ComputerWorld publicou nesses últimos dias um conjunto de dicas para quem está de computador novo depois do Natal — computador com sistema operacional Windows, é bom frisar. Trata-se de uma lista simples de ser seguida e muito útil para manter o usuário doméstico seguro e sem que seu computador corra riscos de deixá-lo na mão.

Apesar de a lista ser bacana, não pude deixar de perceber algumas coisas que podem ser complementadas. Bem, mas vamos a elas.

Em primeiro lugar, o usuário deve gerar discos de recuperação para seu computador, caso ele já tenha vindo com o Windows instalado de fábrica. Poucos são os fabricantes que mandam CDs ou DVDs de recuperação hoje em dia, e é responsabilidade do usuário gerar suas próprias cópias. Digo cópias, no plural, porque é fundamental ter pelo menos duas, já que as mídias de hoje falham com frequência. Muitos são os fabricantes que já colocam a opção de criação dos discos de recuperação para aparecer na tela logo que se liga o computador, mas caso esse não seja o caso do seu computador, você deve consultar as instruções de como criar os discos por você mesmo. Se seu computador veio com o Windows 7, você está com sorte, pois o procedimento é bastante simples. Eu complementaria essa dica com outra na mesma linha: depois de instalar todos os aplicativos que você vai usar, crie um ponto de recuperação em seu disco. Dessa forma, se alguma coisa der errado, você pode recuperar inclusive a aparência de seu desktop e os dados de configuração de seus aplicativos.

A segunda dica de Broida é: livre-se do software desnecessário. Os fabricantes de PCs fazem acordos com empresas de software de todo tipo, e incluem versões demo de seus aplicativos nas máquinas novas sem perguntar se queremos aquela baboseira toda ou não. A maioria só vai servir para tornar a máquina mais lenta, e portanto a sugestão é para que nos livremos do que não formos usar. Não é uma dica de segurança, mas sim de desempenho. Só temos que tomar cuidado para não apagar coisas que vamos precisar mais tarde, como aplicações para lidar com o gravador de DVD, por exemplo.

A terceira dica é outra que nos interessa sob o ponto de vista de segurança: instale software de para proteção da máquina. Broida sugere que a suíte de segurança da Microsoft é suficiente para assegurar o computador novo, mas eu creio que essa decisão deva ficar a cargo do próprio usuário. Nos meus artigos anteriores já falei muito sobre antivírus, firewall pessoal, browsers e plugins de segurança. Aliás, esse é um dos principais objetivos desse blog: assegurar seu computador. Muito cuidado e empenho devem ser colocados na execução dessa dica, em suma, e na dúvida, a ajuda profissional é sempre bem-vinda.

Uma vez que o computador está livre das aplicações indesejáveis, que está seguro, e assumindo que você já instalou as aplicações que vai usar no seu dia-a-dia, a próxima dica é criar uma imagem do HD, que pode ser restaurada no caso de alguma coisa dar errado. O que pode dar errado? Quedas de energia podem danificar o disco, vírus podem devastar sua configuração, usuários menos capacitados podem apagar coisas importantes, e por aí vai. O melhor é fazer uma imagem logo no início e guardar em DVD ou em um HD externo. Broida sugere o Macrium Reflect Free, que é uma aplicação gratuita para criar e restaurar uma imagem do HD. Testei essa aplicação e gostei muito: é simples, amigável e rápida.

A quinta e última dica para seu novo computador é: faça backups periódicos. Não vou repetir tudo o que já disse em artigos passados sobre a importância dos backups, mas vale reforçar que muita gente se arrepende amargamente por não ter adotado uma rotina semanal de backup para seus arquivos pessoais, e muita gente agradece ter adotado essa disciplina quando os imprevistos acontecem.

Usando as dicas apresentadas aqui, seu computador ficará livre de problemas e você, livre de dor de cabeça. Resolve todos os problemas? Não, pois a segurança é um processo contínuo, que deve ser cuidado no dia-a-dia, uma consciência que devemos desenvolver e trabalhar continuamente. Mas que as dicas ajudam, ah ajudam sim.

Até a próxima.

Um "bug" e antivírus da Symantec

Até mesmo os fabricantes de segurança são passíveis de erros que afetam os clientes. Ouça no artigo de hoje.

Audio via YouTube


Audio via Odeo/Kiwi6 (arquivo disponível só durante alguns dias)

Clique aqui para baixar o artigo do site da Kiwi6 em seu micro para poder carregá-lo em seu mp3-player.

Clique aqui para ler a reportagem sobre o bug da Symantec, na página da ComputerWorld.

Clique aqui para ler um artigo no blog oficial da Symantec falando sobre o problema e sobre a solução paliativa já em uso.

Para ler esse artigo, clique no botão abaixo.

Você se lembra do “Bug do Milênio”? Faz exatos 10 anos que as previsões diziam que tudo o que dependesse de informática iria parar por causa desse tal “bug”: usinas de energia elétrica, aviões, sistemas de controle de tráfego, emissoras de TV, e por aí vai. Datas armazenadas com apenas dois dígitos fariam com que os computadores acreditassem que era 01/01/1900 na virada do milênio, provocando um caos sem tamanho. Bem, o problema foi corrigido a tempo, graças ao exército de programadores e revisores de código contratado pelas empresas do mundo todo, e apenas alguns raros problemas isolados (sem vítimas, aliás) foram relatados. O “Bug do Milênio” teria sido provocado por datas com anos armazenados em apenas dois dígitos, o que economizaria memória — cara nas décadas de sessenta e setenta — e é algo que não deve ocorrer novamente, aliás, nem no ano 10.000.

Pois bem, um erro semelhante acaba de ser descoberto em algumas versões de antivírus da Symantec, fazendo com que as assinaturas de vírus distribuídas automaticamente pela empresa com data posterior a 31/12/2009 sejam rejeitadas nos computadores dos usuários. Isso é um problema gravíssimo, pois já completamos uma semana desde a virada do ano, e um antivírus sem atualização por uma semana é uma ferramenta praticamente obsoleta.

Bem, e o que os usuários de produtos Symantec devem fazer? A resposta, felizmente, é: nada. A própria Symantec arrumou uma solução paliativa até que a correção do código esteja disponível. Eles passaram a emitir atualizações da base de assinaturas de vírus com a data de 31/12/2009 e com versões cada vez maiores, o que permite a atualização sem dores para o usuário. Dessa forma, os usuários continuam protegidos e atualizados mesmo diante do erro encontrado pela Symantec.

Ainda assim, é fundamental que os usuários de produtos da Symantec estejam com as atualizações automáticas ativadas não só para as bases de assinatura dos vírus, mas também para o próprio software de antivírus. Quando disponibilizada, essa correção deve ser distribuída automaticamente, e essa é uma que os usuários não vão querer perder.

Para quem utiliza soluções de antivírus de outros fabricantes que não a Symantec, fica a dica para fazer uma pequena revisão em sua solução de antivírus, abrindo a interface do aplicativo e checando se está tudo OK e se todos os arquivos estão atualizados. É uma excelente atitude para quem quer começar o ano mais seguro.

Até a próxima.

Uma dica dos banqueiros

Quer uma boa dica para se manter seguro em suas visitas a sites de banco? Ouça no artigo de hoje.

Audio via YouTube


Audio via Odeo/Kiwi6 (arquivo disponível só durante alguns dias)

Clique aqui para baixar o artigo do site da Kiwi6 em seu micro para poder carregá-lo em seu mp3-player.

Clique aqui para ler a reportagem sobre a dica da ABA, na página do jornal USA Today.

Para ler esse artigo, clique no botão abaixo.

Hoje a dica é simples, rápida, mas super útil.

A Associação Americana de Banqueiros publicou uma sugestão para empresas pequenas e médias que acessam bancos via Internet. A dica, claro, também serve para os usuários domésticos, apesar de ter um custo mais sensível para estes.

Trata-se do seguinte: se você pretende acessar sites de banco via Internet, essa ação deve ser tomada a partir de uma máquina dedicada para essa função. A dica é menos radical que a que publiquei no dia 03 de novembro, no artigo intitulado Internet Banking” e “Windows” não combinam. Naquela ocasião, repeti a sugestão de Brian Krebs, do Washington Post, que diante dos estragos do Zeus e do URLZone sugeria que os usuários de Windows desistissem do Internet Banking de vez.

A dica da ABA (sigla em inglês) é mais sensata: as pequenas e médias empresas devem dedicar uma máquina apenas para o acesso aos sites de banco, nunca utilizando essa máquina para acesso a e-mails ou, outros sites da Web, ou para o desempenho de qualquer outra função. O raciocínio é simples: se a máquina for sempre usada para acessar os mesmos sites (os oficiais, claro) e os mesmos serviços, sem se prestar a nenhum outro papel, estará segura.

Mas será que é possível ao usuário doméstico agir da mesma forma? Bem, manter uma segunda máquina só para acesso aos bancos parece um exagero, e para muitos vai estar além das possibilidades financeiras Contudo, existem formas alternativas de se conseguir o mesmo efeito, isto é, a segregação do acesso aos sites de banco. Vejamos algumas.

Em primeiro lugar, muitos usuários trocam de computador com certa frequência. Uma alternativa é não se desfazer do seu velhinho quando for comprar o computador novo. Ao invés, formate-o, reinstale apensa o sistema operacional, o antivírus e um browser decente, e passe a utilizá-lo apenas para as operações bancárias. Se necessário, crie uma senha para manter os demais usuários afastados, só para garantir que ninguém vai ficar com comichão de usar a máquina para uma “navegadinha à toa”. Essa navegadinha pode trazer cavalos de troia e outros códigos maliciosos para a máquina, pondo em risco a estratégia toda.

Outra dica é colocar um disco separado na sua máquina, ou mesmo criar uma pequena partição no seu disco principal. Nessa partição ou no disco separado, a dica é a mesma do micro velho: instalar apenas o absolutamente necessário para o acesso aos sites de banco. A única sugestão complementar, nesse caso, é que no disco ou partição de acesso aos bancos seja instalado um sistema operacional diferente do sistema principal. Você usa Windows na partição principal? Instale (ou peça para alguém instalar) o Linux na partição de acesso aos bancos, de forma a evitar o perigo de “contaminação” de uma partição para outra.

Essa segregação, seja através de uma máquina separada, de um disco rígido separado ou de uma partição separada é uma excelente dica, mas exige uma disciplina muito grande para garantir a segurança. Aliás, o ponto fraco da sugestão é exatamente a monumental falta de disciplina tão característica da natureza humana. Se sucumbirmos a essa falta de disciplina, estaremos mais uma vez inutilizando uma boa ferramenta de segurança em função de nossa invigilância. E a responsabilidade será — mais uma vez — só nossa.

Até a próxima.