Comparativo de firewalls 2011

Novas features e novos concorrentes agiram o mercado de firewalls pessoais para o ano que vem. Ouça no artigo de hoje.

Audio via YouTube

Audio via Odeo/FileFreak

Clique aqui para baixar o artigo do site FileFreak em seu micro para poder carregá-lo em seu mp3-player.

Clique aqui para ir à página do site Top 10 Reviews que apresenta o comparativo dos top 10 melhores firewalls pessoais para 2011.

Para ler esse artigo, clique no botão abaixo.

O site Top 10 Reviews publicou recentemente seu comparativo de firewall para o ano de 2011, isto é, levando em consideração as suítes recém-lançadas e que protegerão os internautas no ano que vem.

A primeira coisa que salta aos olhos na lista já é algo que nos deveria fazer pensar: o firewall da Microsoft, que vem embutido nos sistemas operacionais da empresa não figura entre os Top 10, ou seja, não foi considerado à altura das melhores soluções do mercado. Considerando que a maioria dos internautas brasileiros não se preocupa direito nem com antivírus, a preocupação com o firewall pessoal é prá lá de secundária, isto é, é praticamente inexistente. O usuário compra a máquina, ativa o firewall do Windows quando escolhe o modo de proteção, e esquece o assunto para o resto da vida. É bom observar que o firewall do Windows é competente, mas se restringe ao básico do básico em proteção contra as ameaças da Internet.

Um bom firewall deveria se preocupar com o básico, sim, ou seja, evitar que tentativas de comunicação não autorizadas (leia-se invasões) ocorram na máquina. Deveria também prover proteção adicional contra vírus e worms, integrando-se com o antivírus. Deveria ainda evitar por si só que o usuário navegasse por algum site que tenta infectar seu computador. Como extra, um bom firewall deveria dar ao usuário a opção de limitar a navegação daqueles que usam o computador, evitando, por exemplo, acesso a conteúdo impróprio para crianças.

A lista do site Top 10 Reviews é bastante completa, no sentido de oferecer uma visão ampla acerca das soluções selecionadas. E dando uma olhada nos três primeiros colocados, percebemos as razões de serem considerados os melhores para os usuários domésticos.

O firewall da Kaspersky ficou em terceiro lugar, e custa US$59,95. Ele tem a capacidade de se instalar em computadores “travados” em função de códigos maliciosos, limpar esses computadores, liberar o acesso para os usuários sem a necessidade de uma formatação do disco, e se colocar como barreira contra novas invasões e travamentos daí para frente. Também oferece controle para os pais sobre a navegação de seus filhos. Um ponto que tira um pouco do brilho da solução é que a configuração não é lá muito intuitiva para usuários novatos.

O firewall da Online Armor ficou em segundo lugar, e custa US$39,95. Ele traz um modo de funcionamento específico para proteger o usuário durante transações financeiras em sites de bancos, modo esse chamado de “Banking Mode”, e também tem regras específicas para proteger o usuário contra phishing. Um dos pontos negativos é o total desconhecimento da marca, sendo que a mesma não tem relevância alguma no mercado brasileiro.

O firewall da Comodo ficou em primeiro lugar, e custa US$44,95. Ele combina o que há de mais moderno em técnicas de prevenção de invasões com o mínimo de interrupção das atividades do usuário, ou seja: é um excelente firewall que não fica no caminho o tempo todo. Infelizmente, também é um firewall pouco conhecido. Apesar de haver mais de 100 milhões de cópias instaladas em todo o mundo, esse número ainda é pequeno perto dos mais de dois bilhões de internautas do planeta. No Brasil a marca também é pouco conhecida.

Bem, o fato é que vale uma olhada na lista e também vale repensarmos se é adequado nos mantermos na “zona de conforto” proporcionada pelo firewall do Windows.

Um bom fim de semana e até a próxima. O blog emenda o feriado e estaremos de volta na quarta-feira, dia 03 de novembro.

Brasil é vice-campeão em golpes na Internet

Mais um triste resultado de nossa insistência em não agir de acordo com as boas práticas de segurança. Ouça no artigo de hoje.

Audio via YouTube

Audio via Odeo/FileFreak

Clique aqui para baixar o artigo do site FileFreak em seu micro para poder carregá-lo em seu mp3-player.

Clique aqui para ler o artigo de Célio Yano no Portal Info sobre o relatório da Norton.

Para ler esse artigo, clique no botão abaixo.

O jornalista Célio Yano publicou um artigo ontem no Portal Info comentando acerca de um relatório da Norton que traz dados sobre crimes cibernéticos pelo mundo afora.

Segundo o relatório o Brasil ocupa a indesejada segunda posição entre os países cujos internautas mais sofreram golpes digitais. A China vem em primeiro lugar, com 86% de seus Internautas, o Brasil vem em segundo, com 75% e os EUA vêm em terceiro com 73%.

Ou seja, segundo o relatório 3 de cada 4 internautas brasileiros já sofreram com golpes, que são definidos como danos causados por roubo de credenciais bancárias, acesso indevido a números de cartão de crédito, roubo virtual de identidade (que é quando o bandido se faz passar por outra pessoa) e ataques de vírus. O único dado que me incomoda no relatório é o fato de terem incluído vírus no mesmo, pois aí acho que a proporção não é mais de 3 em cada 4 internautas, mas sim 39 em cada 40, ou mesmo 399 em cada 400. Minha estatística pessoal diz que todo mundo que conheço em algum momento já sofreu — por menos que seja — com a presença de vírus em seu computador.

Mas esse dado à parte, o que salta aos olhos no relatório são dois dados bem dolorosos. O primeiro deles diz que apenas 44% das vítimas relatam às autoridades o crime que lhes ocorreu. Isso é muito nocivo porque deixa os ciber-criminosos livres para continuarem agindo. Tudo bem que muita gente desconfia da competência de nossas autoridades policiais e investigativas, mas simplesmente deixar de relatar o fato é a pior das ações. Se todos relatarmos esse tipo de crime as autoridades e a própria sociedade ficam sabendo, e aí o poder de pressão pode vir a provocar as mudanças necessárias. Se ficamos quietos, tudo tende a ficar como está, e a piorar gradativamente.

O outro dado triste é que 49% dos internautas afirmam que não mudariam seu comportamento se fossem vítimas de crimes cibernéticos. Isso equivale a deixar a porta da frente escancarada de noite, sofrer um assalto e continuar deixando a porta da frente escancarada de noite. Atitudes assim devem fazer com que no relatório do ano que vem o Brasil ocupe o tão dispensável posto de campeão em golpes sofridos.

Até a próxima.

Mantendo o computador em ordem

Uma “faxina” de vez em quando pode fazer maravilhas pelo desempenho de seu computador. Ouça no artigo de hoje.

Audio via YouTube

Audio via Odeo/FileFreak

Clique aqui para baixar o artigo do site FileFreak em seu micro para poder carregá-lo em seu mp3-player.

Para ler esse artigo, clique no botão abaixo.

O ouvinte Alan enviou a seguinte dúvida:

“Uso dois antivírus na minha máquina e ainda assim ela está lenta. Tenho o AVG versão grátis e sempre atualizo a base e faço varreduras toda semana. Também uso o Malwarebytes como segunda opinião como você sugeriu. Os dois sempre me dizem que não tem vírus no computador, mas apesar disso a máquina anda lenta nesses últimos meses. Eu tinha vários pacotes instalados, e achei que era isso, mas andei desinstalando muitos pacotes e a lentidão continua, mas melhorou um pouco. Que tipo de infecção é essa que passa por dois antivírus?”

Bem, Alan, pode ser um monte de coisas, inclusive pode não ser uma infecção.

Pelo lado da segurança, imagino que você também esteja em dia com as atualizações do sistema operacional, está com todos os pacotes de software instalados também atualizados e tem um firewall ativado, certo? Se alguma dessas coisas não está OK, é preciso cuidar delas primeiro. Para ter mais certeza ainda de que não se trata de um vírus, tente mais algumas soluções de antivírus tipo segunda opinião. O Hitman Pro e o House Call são duas boas sugestões nesse sentido. Só para desencargo de consciência, pois não precisa ficar rodando 4 antivírus na máquina, no seu caso.

Depois que estiver com tudo atualizado (se é que ainda não está) e depois de descartar uma infecção, se a máquina ainda estiver lenta, não desanime: ainda tem mais ações a tomar para melhorar o desempenho.

A primeira delas é fazer uma “faxina” no computador. A sugestão é a seguinte: dê uma boa olhada no disco e faça um backup completo dos arquivos que você quer preservar. Olhe inclusive na lixeira para ver se não apagou acidentalmente nenhum arquivo importante. Preserve tudo em um backup, e se quiser aumentar ainda mais a garantia, faça uma cópia desse backup. Feito isso, faça download de algum aplicativo de limpeza e o execute. Na Internet há várias alternativas boas e gratuitas para isso, e eu recomendo o CCleaner, que é fácil de usar e é bem estável.

O CCleaner vai eliminar um monte de dados temporários de seu computador, dados esses que pelo acúmulo vão tornando a máquina mais lenta. Arquivos temporários de todos os aplicativos instalados, cookies de seu navegador, histórico de navegação, dados de preenchimento de formulários, arquivos da lixeira, e muitos outros arquivos desnecessários serão apagados, liberando espaço da máquina e melhorando o desempenho dos aplicativos. O CCleaner também faz uma limpeza no Registro do Windows, apagando tudo aquilo que esteja desatualizado: entradas de aplicativos já desinstalados, links quebrados e tudo aquilo que não tem mais sentido e que os programas (e o próprio Windows) vão deixando para trás. Uma limpeza no Registro tem ainda o bônus de corrigir vulnerabilidades que os programas tenham introduzido no passado, além de apagar entradas maliciosas deixadas por velhos vírus.

Feita essa faxina com o CCleaner (ou com outro pacote que você escolher), finalize o processo com uma desfragmentação de seu disco. De tanto gravarmos e apagarmos informações no HD, ele vai ficando com espaços cada vez mais fragmentados, tendo que dividir arquivos grandes em pedaços menores para acomodar todos os dados. Essa quebra dos arquivos contribui para a lentidão, e a desfragmentação coloca tudo em ordem novamente.

Imagino que essas ações já vão melhorar o desempenho de sua máquina, Alan. Mas se ainda assim a coisa continuar ruim, procure se lembrar dos pacotes que instalou, observando qual a configuração sugerida pelos fabricantes para que funcionem bem. Em último caso, aumentar a memória da máquina, colocar um disco maior, ou mesmo trocar a placa mãe e o processador por modelos mais rápidos são ações que certamente vão resolver a situação. Só que aí já custa mais caro, não é mesmo?

Até a próxima.

Segurança bancária na América Latina

Um relatório recente mostra que nós, latino-americanos ainda temos muito o que aprender acerca da segurança bancária. Ouça no artigo de hoje.

Audio via YouTube

Audio via Odeo/FileFreak

Clique aqui para baixar o artigo do site FileFreak em seu micro para poder carregá-lo em seu mp3-player.

Clique aqui para ler o artigo da PRWeb sobre a pesquisa de segurança bancária na América Latina.

Para ler esse artigo, clique no botão abaixo.

Um artigo da PRWeb publicado hoje comenta acerca de uma pesquisa realizada pela empresa Easy Solutions, cujo objetivo é entender como nós, latino-americanos, nos comportamos com relação à segurança bancária. Entre os vários dados obtidos dos respondentes, alguns saltam aos olhos e merecem uma avaliação mais detalhada.

Em primeiro lugar, o estudo mostra que 43% dos pesquisados acreditam que a prevenção de fraudes bancárias é uma responsabilidade do banco. A meu ver isso é muito preocupante, pois equivale a depositar totalmente no fabricante do seu automóvel a responsabilidade por sua segurança. Tudo bem que o fabricante tem que nos fornecer um carro livre de problemas de freio, com motor confiável, sem problemas estruturais no chassi, com cinto de segurança que funcione adequadamente, e por aí vai. Mas daí a responsabilizarmos o fabricante porque temos o hábito de cruzar sinais vermelhos de olhos fechados, ou porque constantemente desrespeitamos os limites de velocidade vai uma distância muito grande.

O mesmo é válido para nossa segurança bancária. Claro que o banco tem que nos prover um canal seguro para nossas transações on-line. Claro que a loja virtual tem que proteger nossas informações de compra e de cartão de crédito. Claro que os cartões que utilizamos têm que ter medidas de segurança que impeçam seu uso se porventura os perdermos. Mas apenas as medidas de segurança disponibilizadas pelas instituições não substituem nossa responsabilidade como usuários. Aliás, as medidas de segurança disponíveis aqui no Brasil são de primeira qualidade, mesmo quando comparadas com países de primeiro mundo. Os cartões com chip, por exemplo, já bastante disseminados em nosso país, ainda não são comuns nos EUA, onde a maioria das lojas ainda depende de máquinas leitoras de tarja magnética, que não aceitam senha eletrônica.

Ricardo Viladiego, responsável pela pesquisa recomenda, sim, que as instituições disponibilizem os mecanismos necessários à proteção dos usuários. Mas recomenda também que junto dessas medidas venham ações de educação, para que os usuários aprendam a se protegerem adequadamente com as ferramentas à mão. Exemplo de como essas medidas de educação são importantes é o fato de que apenas 36% dos usuários latino-americanos estarem cientes das ameaças dos golpes de phishing via e-mail.

Sobre a recomendação de Viladiego, acrescento uma minha: os usuários não devem deixar por conta das instituições bancárias os esforços de educação. Devem buscar essa educação por si mesmos, aprendendo sobre as ameaças e sobre como se proteger das mesmas. Afinal de contas, mesmo que diante de uma fraude consigamos reverter o prejuízo financeiro — o que não é garantido — a dor de cabeça e a trabalheira desnecessária ficam sempre por nossa conta. Melhor prevenir, não é verdade?

Até a próxima.

Segurança: chato, mas necessário

Sim, segurança da informação é tão interessante quanto discussões contábeis num sábado à noite. Mas ainda assim precisamos saber sobre o assunto (a segurança, não a contabilidade no sábado à noite). Ouça no artigo de hoje.

Audio via YouTube

Audio via Odeo/FileFreak

Clique aqui para baixar o artigo do site FileFreak em seu micro para poder carregá-lo em seu mp3-player.

Clique aqui para ler sobre a campanha da Webroot.

Para ler esse artigo, clique no botão abaixo.

A empresa norte-americana de software de proteção contra códigos maliciosos Webroot criou uma campanha de publicidade no mínimo inusitada. A ideia veio das respostas obtidas para uma das questões do questionário respondido por 2.400 usuários. Instados a responder o quanto discordavam ou concordavam com a afirmação “Eu gostaria que as empresas de software de segurança me explicassem em linguagem simples e direta contra o que eu estou me protegendo”, os usuários responderam em massa que “concordam fortemente”. A Webroot, então, descobriu o que é óbvio, mas pouca gente percebe: segurança da informação é um assunto chato prá dedéu, e as empresas no mais das vezes fazem-no ficar ainda mais chato falando um “tecniquês” que ninguém entende.

A campanha da Webroot é baseada em imagens de outdoors sendo pintados, com uma frase em destaque: “Tinta secando: mais interessante do que explicar proteção contra códigos maliciosos.” Em outro outdoor, mantas de grama coladas na superfície e a frase “Grama crescendo: mais interessante do que explicar prevenção contra spam.”

O objetivo da campanha é admitir para os usuários que segurança da informação é, no mais das vezes, um assunto bem desinteressante. A empresa adota, a partir daí, uma linguagem mais simples, através da qual visa explicar aos usuários não como faz para protegê-los, mas sim quais os benefícios de suas soluções.

Penso que a chatice do assunto seja um dos principais motivos pelo desinteresse generalizado dos usuários. Vejo os efeitos disso diariamente, tanto com os números humildes de leitores desse blog, quanto pelo noticiário, que mostra em cores brutais o resultado do desinteresse pelo assunto, tanto para usuários domésticos quanto para empresas e para o próprio país.

O que me leva ao alerta óbvio: sim, segurança é um assunto pouco interessante para a maioria das pessoas. Contudo, é também um assunto fundamental, absolutamente indispensável para todos nós. Usar computadores e acessar a Internet sem atentar para a segurança é um erro grave, com consequências prá lá de perigosas. E se já adotamos outras ações de segurança, como trancar portas, não parar o carro em locais suspeitos, usar cinto de segurança, pagar seguro, etc., por que não aprendermos também como nos proteger on-line?

E essa necessidade premente me leva a questionar como venho fazendo as coisas. Aqui no 5 Minutos de Segurança eu sempre busco trazer assuntos e dicas que sejam ao mesmo tempo relevantes e acessíveis para quem não é especialista no assunto. Eu me pergunto se estou sendo bem sucedido nessas intenções. O espaço de comentários está sempre aberto para dúvidas e sugestões, e nesse momento convido explicitamente a todos para palpitarem: o que eu posso (ou devo) fazer para tornar esse espaço mais útil para os usuários domésticos que buscam se manter seguros on-line? A palavra está com vocês. Todas as sugestões serão consideradas, e quando estiver ao meu alcance, serão implantadas. Se preferirem, podem se comunicar comigo por e-mail: ruy[ponto]flavio[arroba]gmail[ponto]com é o meu endereço.

Até a próxima.

O phishing cai, mas o risco sobe

Uma queda na quantidade de ataques de phishing é uma boa notícia, mas nem tanto. Ouça no artigo de hoje.

Audio via YouTube

Audio via Odeo/FileFreak

Clique aqui para baixar o artigo do site FileFreak em seu micro para poder carregá-lo em seu mp3-player.

Clique aqui para ler o relatório do estado do phishing da APWG (PDF).

Para ler esse artigo, clique no botão abaixo.

A APWG, instituição denotada pela sigla que pode ser traduzida como “Grupo de Trabalho Anti-Phishing”, publicou essa semana um relatório com o estado das questões de phishing na primeira metade do ano de 2010.

Em primeiro lugar o relatório dá uma boa notícia para o problema do phishing: a quantidade de ataques desse tipo está diminuindo. É bom relembrar que o phishing é um tipo de ataque que visa enganar os usuários através de sites falsos fazendo-se passar por sites oficiais, e provocando estes usuários a darem informações sigilosas, tipo número do cartão de crédito e dados da conta corrente. Pois bem, depois de crescer para mais de 30.000 sites comprometidos na primeira metade de 2009, esse número vem caindo, até chegar a pouco mais de 28.000 sites comprometidos agora, um ano depois.

Essa notícia boa para o phishing tem uma razão simples, e que exige atenção: a gangue internacional conhecida como “Avalanche”, que nos últimos anos tem dominado o cenário mundial do phishing, está mudando seu foco de ataque. A gangue está rapidamente abandonando o comprometimento de sites para envio de ataques de phishing e passando a distribuir cavalos de troia de roubo de credenciais bancárias, tais como o Zeus.

Por que essa mudança por parte da gangue? Porque dá mais lucro, e esse lucro é mais fácil de ser obtido. Isso porque a distribuição do cavalo de troia é mais direta e mais eficaz que a espera pela vítima cair no golpe de phishing.

Em outras palavras, a boa notícia pelo lado do phishing está sendo acompanhada por uma má notícia: a do crescimento dos ataques de distribuição de cavalos de troia financeiros.

Diante deste cenário, duas atitudes são importantes por parte do usuário doméstico: é fundamental não baixar a guarda quanto aos ataques de phishing, pois houve um declínio de menos de 10% nesse tipo de ataque, e ele ainda é uma ameaça gigante para os desavisados; é também fundamental aprender um pouco mais sobre os cavalos de troia financeiros, tipo o Zeus, que é internacional, e o Bancos, que é produto genuinamente nacional, brazuca na malemolência e no coração. Aprender como se proteger dessas pragas, evitar atitudes on-line que nos coloquem em risco e manter o antivírus sempre atualizado são peças fundamentais de nossa defesa.

Espero que um dia possamos ter boas notícias na área de segurança que não venham acompanhadas de outras más. Enquanto isso não acontece, o bom mesmo é nos prevenirmos.

Um bom fim de semana e até a próxima.

Combatendo os keyloggers

Os keyloggers são pequenas pragas virtuais que coletam o que você digita no teclado e enviam para os bandidos. Como evitar seus efeitos maléficos? Ouça no artigo de hoje.

Audio via YouTube

Audio via Odeo/FileFreak

Clique aqui para baixar o artigo do site FileFreak em seu micro para poder carregá-lo em seu mp3-player.

Clique aqui para ir a uma página na Wikia contendo várias soluções de anti-keyloggers.

Para ler esse artigo, clique no botão abaixo.

Os keyloggers, que em essência coletam tudo o que você digita no teclado e enviam para algum ciber-criminoso à espreita na Internet, são códigos maliciosos dos mais perigosos. Os cavalos de troia bancários, por exemplo, em muitos casos utilizam esse tipo de mecanismo para roubar as senhas das vítimas, enviando-as para bandidos, que mais tarde limparão a conta, ou usarão os dados para fazer compras em lojas virtuais. Dados de cartões de crédito e de conta corrente devem ser sempre protegidos contra essas pequenas e perigosas pragas.

Para tanto, as armas são três: o bom-senso, o antivírus e o anti-keylogger. O bom-senso de ter critérios adequados de navegação e de não instalar software duvidoso na máquina, e o antivírus sempre atualizado e varrendo o computador periodicamente, já foram ambos bastante discutidos nesse espaço. Falemos, então, um pouco acerca dos anti-keyloggers.

Esses pequenos aplicativos não são voltados para identificar os keyloggers nem para arrancá-los de seu computador. Para isso existem os antivírus, não é verdade? Os anti-keyloggers agem como uma camada de proteção, entre a parte do sistema operacional que capta as teclas digitadas e as várias aplicações para as quais essas teclas são enviadas. Funciona assim: o módulo de criptografia recebe as teclas digitadas, e as embaralha usando algum método particular; depois de embaralhada a sequência de teclado, essa é devolvida para o sistema operacional, que vai enviá-la ao aplicativo (o navegador onde você digitou um dado, por exemplo); um módulo decifrador instalado no aplicativo recebe os dados, os desembaralha e os entrega ao módulo de processamento do aplicativo.

Dessa forma, se houver um keylogger que conseguiu evitar o antivírus e se instalou na máquina, ele estará “de butuca” em algum ponto do caminho. Contudo, o que esse keylogger vai pegar é a sequência criptografada, que não faz o menor sentido. Pronto, sua digitação está protegida.

É bom lembrar que um anti-keylogger é uma solução complementar, que de forma nenhuma substitui as duas primeiras armas necessárias, o bom-senso e o antivírus. Isto posto, é bom poder contar com mais essa arma na prevenção aos ciber-criminosos. Existem boas soluções no mercado em matéria de anti-keyloggers, e pelo menos duas delas têm versões gratuitas: o Keystroke Interference, que é gratuito para instalação no navegador Microsoft Internet Explorer e o KeyScrambler, que é gratuito para qualquer navegador. Para o acoplamento com outros aplicativos, tais como e-mail, Office e demais, existe custo para o usuário. Em todas as soluções uma característica é comum: são aplicativos pequenos, que quase não ocupam recursos da máquina.

Fica a dica: faça uma pesquisa, teste algumas das soluções, e adote aquela que melhor se adaptar às suas necessidades. Os keyloggers podem ser um problemão, mas a solução está à disposição de quem quiser.

Até a próxima.

Spam em alta

Em um mundo em que 95% das mensagens de e-mail são spam, não saber identificar essa praga é um baita problema. Ouça no artigo de hoje.

Audio via YouTube

Audio via Odeo/FileFreak

Clique aqui para baixar o artigo do site FileFreak em seu micro para poder carregá-lo em seu mp3-player.

Clique aqui para ler o artigo de Rui Maciel, do site IDG Now! sobre a dificuldade dos brasileiros em identificar spam.

Para ler esse artigo, clique no botão abaixo.

Qualquer administrador de TI pode constatar: em média 95% das mensagens de correio eletrônico que tentam chegar às caixas de entrada dos usuários são lixo, o tal spam. O envio automático — através de meios legítimos e ilegítimos — é tão fácil, e as técnicas são tantas, que mesmo usuários mais experientes e com computadores mais “blindados” acabam sofrendo algum efeito, mesmo que pequeno, dessa praga.

Ainda assim, identificar se uma mensagem é spam ou não me soa como uma tarefa relativamente simples, e por isso o artigo de Rui Maciel, publicado ontem no IDG Now! me pareceu um tanto incrível. No artigo, Maciel aponta para pesquisa da empresa Inova, que levantou uma cifra impressionante: 49,7% dos internautas brasileiros têm dificuldade de distinguir e-mails legítimos de spam.

Penso que essa capacidade de identificação seja fundamental para todos os usuários, e penso também que não seja difícil fazer essa identificação. Basta postular algumas perguntas sobre a mensagem que chega até nós antes de tomar alguma ação.

Conheço quem está me mandando essa mensagem? Se for de uma pessoa, fica mais fácil, mas se for de alguma empresa, será que me cadastrei para receber mensagens deles? Se não conheço quem me mandou, a chance de ser um spam, isso é, uma mensagem indesejada é enorme. Aqui vale lembrar que boletins informativos e promoções de venda de empresas sérias só são enviados quando o usuário concorda em receber. Órgãos governamentais e prestadores de serviço só costumam mandar mensagens em resposta a algum questionamento do usuário, e jamais enviam mensagens de cunho oficial por e-mail, tipo cobranças e ofícios.

Mesmo conhecendo quem me mandou a mensagem, o assunto é de meu interesse? Nossos amigos e conhecidos sabem que tipo de preferências e interesses nós temos, e muito provavelmente não vão nos enviar material diverso daquilo que faça sentido para nós. Isso significa que quando aquele parente de repente mandar uma mensagem sobre descontos no preço do Viagra, ou sobre como aumentar certas partes da anatomia masculina, saberemos que não é uma mensagem válida, e sim mais spam. Nesses casos, opto sempre por encaminhar a mensagem de volta para quem me enviou, avisando que tem alguma coisa muito errada com o computador da pessoa, provavelmente uma infecção “braba” que transformou essa máquina em zumbi. O mesmo vale para mensagens “nada a ver” recebidas em nossas páginas nas redes sociais. O spam via Orkut, Facebook, Twitter e que tais está crescendo muito, e nesses casos o bom é avisar os administradores do site.

Penso que raciocinar um pouco sobre a mensagem, sua origem e seu propósito sejam suficientes para identificarmos se trata-se de spam ou não. E se chegamos à conclusão de que sim, o melhor é adotar alguma ferramenta de controle desse tipo de praga, como as várias disponíveis como complemento à solução de antivírus. Outra atitude bastante importante é: a única resposta útil ao spam é não responder à mensagem. Não pedir para descadastrar, não escrever de volta pedindo para sermos retirados da lista, não clicar em botão que automaticamente nos exclui, e por aí vai. A única coisa que tende a acontecer nesses casos é que passemos a receber mais spam, uma vez que teremos confirmado nossa existência e nosso endereço de e-mail. Avisar nosso provedor de que se trata de spam é sempre uma atitude mais adequada.

Até a próxima.

Java sob ataque

No ano passado a Adobe ultrapassou a Microsoft em ataques, e nesse último trimestre a biblioteca Java ultrapassou a ambos, pondo em risco centenas de milhões de computadores mundo afora. Ouça no artigo de hoje.

Audio via YouTube

Audio via Odeo/FileFreak

Clique aqui para baixar o artigo do site FileFreak em seu micro para poder carregá-lo em seu mp3-player.

Clique aqui para ler o artigo de Holly Stewart no blog de segurança da Microsoft sobre os ataques crescentes ao Java..

Para ler esse artigo, clique no botão abaixo.

Em um artigo no blog de segurança da Microsoft, a especialista Holly Stewart alerta para um novo perigo: “uma onda sem precedentes de ataques ao Java”. Segundo dados coletados pela Microsoft, a partir de maio deste ano iniciou-se o que só pode ser definido como uma explosão nos ataques ao ambiente Java, presente em centenas de milhões de computadores no mundo todo (sendo que o seu muito provavelmente faz parte desse conjunto). Tamanho é o fenômeno que os ataques aos produtos da Adobe — em especial o Acrobat — ficam insignificantes em comparação, como pode ser visto no gráfico apresentado pelo artigo.

Essa explosão se alicerça sobre três vulnerabilidades do ambiente Java, e o que mais dói é que essas vulnerabilidades já foram corrigidas pela empresa faz um tempão. As correções já foram extensivamente testadas, e estão disponíveis gratuitamente, bastando para isso que o usuário atualize sua própria instalação. E é aí que está o cerne da questão: inúmeros são os usuários que nem sabem que têm esse tal Java instalado na máquina. Como vão se dispor a atualizar a coisa?

O Java é um ambiente que faz parte da “infraestrutura” do computador, por assim dizer. Fica entre o sistema operacional e muitos dos aplicativos que executamos cotidianamente, mas apesar de sua importância, quase não aparece para o usuário. Não existe, por exemplo, uma janela Java ou um programa Java que falem rotineiramente com o usuário. Por sua própria conta, ele quase não dá sinal de vida, e é muito fácil a gente esquecer que ele está lá. Mas está, e precisa de nossa atenção. Como mostra o crescimento exponencial de ataques, é fundamental que o mantenhamos atualizado.

Sugiro duas formas para que não tenhamos dor de cabeça com a atualização do Java. Uma delas é habilitar as atualizações automáticas do ambiente, o que vai fazer com que essa peça fundamental de nosso computador procure periodicamente por atualizações que estejam disponíveis na rede e as instale. Outra é a adoção de uma aplicação de atualização automática de software, como o Secunia PSI, que é gratuito.

Mantendo o Java atualizado, continuaremos usufruindo os benefícios dessa plataforma sem fazer parte da triste — e perigosa — estatística apresentada pela Microsoft.

Até a próxima.

Perigo na rede Wi-Fi doméstica

Muita gente descuida da proteção da rede Wi-Fi, e se põe desnecessariamente em risco. Ouça no artigo de hoje.

Audio via YouTube

Audio via Odeo/FileFreak

Clique aqui para baixar o artigo do site FileFreak em seu micro para poder carregá-lo em seu mp3-player.

Clique aqui para ler um artigo do The Sun sobre o experimento britânico de segurança em redes Wi-Fi.

Clique aqui para ler a seção da cartilha de segurança do Cert.br que trata das redes sem fio.

Para ler esse artigo, clique no botão abaixo.

A empresa britânica de proteção à identidade CPP realizou um experimento inusitado: enviou alguns de seus especialistas a várias cidades do Reino Unido para verificar a segurança de redes Wi-Fi cujo sinal fosse acessível a partir de locais públicos. O resultado foi a constatação de que quase metade das redes testadas podem ser invadidas em menos de 5 segundos, de tão pobres — ou inexistentes — que são os mecanismos de segurança adotados.

As redes Wi-Fi, de tecnologia sem fio, estão cada vez mais acessíveis, e hoje em dia poucas pessoas se aventuram a instalar cabeamento de redes em suas residências, optando pelo sinal sem fio, que além de mais simples de ser implantado, dá mais flexibilidade para se usar computadores em qualquer parte da casa.

A essa característica soma-se outra: não é preciso acesso a um fio de conexão para se enxergar e acessar a rede. Se essa rede é mal configurada, isso significa que existe a possibilidade de alguém não autorizado utilizar o sinal para se conectar à Internet; existe também a possibilidade de esse indivíduo não autorizado acessar dados tanto das máquinas coo da comunicação entre essas máquinas e a Internet.

De acordo com o experimento, das inúmeras redes invadidas, apenas 1 de cada 20 donos dessas redes tinha ciência de que sua rede havia sido utilizada sem autorização.

Existem várias dicas sobre como proteger uma rede Wi-Fi doméstica, e os amigos do Cert.br reuniram um conjunto fora de série dessas dicas em sua cartilha de segurança. Vale a pena dar uma boa lida, e aplicá-las em nossas redes domésticas. A adoção do modo de proteção via senha, hoje em dia chamado WPA-2 e o uso de mecanismos de criptografia para as comunicações são dicas fundamentais, e configurar uma rede sem segui-las é pedir para ter problemas, a exemplo do experimento britânico.

Outra dica é não disponibilizar publicamente nem o nome da rede. Se sua rede se chama “Rede de Casa”, não há a menor necessidade dessa informação ser acessível para outros computadores. Esconder o nome da rede é um procedimento simples em qualquer roteador wireless.

As redes sem fio são muito úteis, facilitando nossa vida no acesso doméstico à Internet. Contudo, exigem cuidados constantes para que não se transformem em fonte de dor de cabeça para nós mesmos.

Até a próxima.

Como fazer senhas fortes

Como criar senhas fortes que sejam de fácil memorização e não se repitam de site para site? Ouça no artigo de hoje.

Audio via YouTube

Estou e viagem, e portanto hoje não teremos áudio. Segunda-feira voltamos ao ritmo normal.

Audio via Odeo/FileFreak

Estou e viagem, e portanto hoje não teremos áudio. Segunda-feira voltamos ao ritmo normal.

Para ler esse artigo, clique no botão abaixo.

As senhas são nossa proteção individual mais básica na Internet, e precisam ser encaradas como bens que valem dinheiro e que em mãos erradas podem nos prejudicar muito. As boas senhas não são compartilhadas com ninguém; são usadas em um único local; não são óbvias, são longas, e usam combinações de letras maiúsculas, minúsculas, números e caracteres especiais; e são trocadas de tempos em tempos. Difícil manter senhas assim o tempo todo? Sim, é difícil. Mas vou dar uma dica de como facilitar um pouco nossa vida nesse sentido.

Começamos montando uma base para nossas senhas. A sugestão é usarmos um verso de uma música, ou uma frase de que gostamos. Vou usar o verso inicial de um poema infantil de Vinícius de Moraes para ilustrar: “Era uma casa muito engraçada, não tinha teto, não tinha nada.” Usando uma frase ou um verso que conhecemos, fica fácil lembrar. Dessa frase, tiramos as primeiras letras de cada palavra, e nossa base fica assim: “eucmenttntn”. Lembrando da frase, conseguimos formar imediatamente a base. É claro que não devemos usar uma frase muito óbvia, algo que vivamos dizendo a toda hora e que todos saibam que fazemos. É claro, também, que não devemos contar a frase escolhida para ninguém. Seguindo esse mecanismo, a base de nossas senhas está pronta.

O segundo passo é incrementar essa base, dando uma “bagunçada organizada” nas letras. Usando maiúsculas e números em algumas das posições, além de caracteres especiais, nossa base fica assim: eUcM3n#tnTn. Se fizermos as trocas de forma organizada, o fica mais fácil decorar a sequência. O “3” e o “E”, por exemplo, têm uma semelhança visual, e o “#” pode ser visto como um “t” dobrado. Cada um vai fazer essas trocas da forma que mais fizer sentido em sua própria cabeça, o que mantém a organização. O fato é que usando uma mistura de minúsculas, maiúsculas, letras e caracteres especiais — especialmente em sequências mais longa como essa — dificultamos horrores para os ciber-criminosos que querem descobrir nossa senha na base da força bruta, isso é, tentando todas as combinações possíveis de caracteres. Sem falar que deduzir uma senha assim na base do conhecimento que se possa conseguir a respeito de cada um de nós é simplesmente impossível.

Pronta a base, é hora de criarmos um diferenciador para cada site em que estamos cadastrados. Fica mais fácil de lembrar se usarmos alguma variação do nome do próprio site, e nesse sentido podemos, por exemplo, usar as quatro primeiras letras do site na ordem inversa (para o Facebook seria “ecaf”, para o Orkut seria “ukro”), ou as duas primeiras e as duas última letras (para o Facebook seria “faok”, para o Orkut seria “orut”). Incrementar esses diferenciais com mais uma dose de “bagunça organizada” também ajuda, claro, e nesse caso é importante manter um padrão para facilitar a lembrança. Vamos usar, como exemplo, os quatro primeiros caracteres invertidos, e passar para maiúscula a primeira e a terceira letras: para o Facebook será “EcAf”, e para o Orkut será “UkRo”.

Nossa senha para o Facebook fica, portanto, a soma da base com o diferenciador: “eUcM3n#tnTnEcAf”. Nossa senha para o Orkut fica: “eUcM3n#tnTnUkRo”. Se para cada site criarmos um diferencial próprio, teremos sempre senhas diferentes. Como a frase é de fácil memorização para nós, lembrar da mesma é imediato, e ficamos com a tarefa simples de decorar como bagunçamos a mesma. Como sabemos o nome do site e qual a nossa regra pessoal para identificá-lo, também não teremos problemas para lembrar.

À primeira vista o processo pode parecer complicado, mas não é. Com um pouco de treino, lembraremos de nossas senhas com facilidade, e teremos sempre senhas fortes e diferentes para cada site que frequentamos. No exemplo acima, as senhas ficam com 15 caracteres, e são fortíssimas. Penso que daria para usá-las por um bom período de tempo, e na hora de trocar, bastaria compormos outra base, escolhendo outra frase e aplicando o conceito da troca de caracteres proposta acima.

Dá trabalho? Sim, dá um pouco. Perdemos conveniência? É relativo: no começo, sim, mas depois de alguns dias, quando esse mecanismo “entra no sangue”, fica bem simples de lembrarmos de todas as nossas senhas. Melhora nossa segurança? Como diz o pessoal do interior de São Paulo de onde eu venho: “Ô! E como melhora!”

Bom fim de semana e até a próxima.

Protegendo "o produto"

Se nós somos o produto, como fazer para nos proteger? Ouça no artigo de hoje.

Audio via YouTube

Estou e viagem, e portanto hoje não teremos áudio.

Audio via Odeo/FileFreak

Estou e viagem, e portanto hoje não teremos áudio.

Clique aqui para ler um artigo do site Help Net Security sobre práticas ruins de senhas.

Para ler esse artigo, clique no botão abaixo.

O ex-aluno Leonardo, baseado no artigo de ontem, me puxou a orelha por não ter dado mais dicas de proteção, uma vez que nós somos o produto das redes sociais. É verdade, Leonardo, existe muito mais que precisa ser falado sobre o assunto, mas como eu te disse: se fosse falar tudo o que é preciso nesse assunto, teria que mudar o nome do blog para 5 Semanas de Segurança, o que provavelmente iria afugentar a maioria de meus poucos ouvintes e leitores.

Contudo, como você tem razão, vou, sim, expandir um pouco sobre a questão. Em primeiro lugar, por que temos que nos preocupar com nossas informações? Tudo bem que partilhamos um monte de coisas no Facebook ou no Orkut, por exemplo, mas só o fazemos para nossos amigos. Que mal tem isso? Esses são um raciocínio e uma pergunta válidos, e a resposta tem dois aspectos.

O primeiro é que em muitos casos não temos tanto critério com nossas “amizades” em redes sociais quanto temos com nossas amizades “ao vivo”. Pessoas com quem temos pouco contato, ou com quem não nos encontramos há muito tempo continuam lá em nossa rede: vendo e participando de que compartilhamos. Quer um exemplo de como isso é complicado? Então responda: você contaria para aquele ex-colega, com quem você trabalhou por poucos meses, digamos um 7 anos atrás, que nem sabe mais por onde anda ou o que está fazendo, o que você anda fazendo, ou o por onde anda viajando? Em suma, você daria detalhes de sua intimidade para alguém com quem não tem mais intimidade? Na vida real a resposta é não, mas em nossas redes sociais, fazemos exatamente isso. E não temos o menor controle de o que essas pessoas com quem não temos mais contato vão fazer com nossas informações.

O segundo ponto é que muitas vezes não cuidamos de nosso controle de acesso como deveríamos. Em um relatório recente, a Help Net Security divulga que 41% dos usuários usam a mesma senha em vários locais, também 41% dos usuários compartilham suas senhas com outras pessoas, 47% dos usuários do Facebook usam suas senhas daquela rede social em outros sites, e 62% dos usuários do mesmo Facebook afirmam que nunca trocam sua senha. Práticas como essa facilitam que ciber-criminosos roubem nossas senhas, e a partir daí tenham acesso aos nossos dados. E se esses ciber-criminosos tiverem acesso à senha de um de nossos amigos virtuais, além de acesso aos dados desse amigo, terão acesso a tudo o que publicarmos em nossa página da rede social. Ou seja: senha é coisa séria, e tem que ser tratada de forma séria, mesmo que seja para algo usado basicamente para nossa diversão, como no caso das redes sociais pessoais.

E como fazemos para ter senhas mais fortes? Bem, não sem um pouco de inconveniente, mas um inconveniente muito necessário. Começamos por duas coisas bem básicas: não compartilhar senhas com ninguém, e não usar a mesma senha em mais de um site. Essa segunda dica é a que mais “dói”, pois significa que temos que guardar às vezes dezenas de senhas diferentes. Outra dica bem básica é para não usarmos senhas de fácil dedução, tais como nomes de filhos, cônjuges e que tais, ou datas significativas para nós. Usar senhas compostas de letras, números e caracteres especiais, tais como “@”, “#”, “$”, “%” também ajuda muito. E por fim, fazer as senhas um pouco mais compridas do que normalmente usamos. Oito caracteres é um limite inferior bastante desaconselhável, aliás.

Mas com tantas dicas que “complicam”, como fazer para ter senhas fortes que a gente não esqueça ou que não tenha que escrever, correndo o risco de roubo pelo lado mais real da vida?

Bem, essas são questões muito válidas e muito importantes, de fato. No artigo de amanhã passo dicas de como facilitar nossa vida e ter senhas fortes ao mesmo tempo.

Até a próxima.

O usuário é o produto

Uma opinião lúcida sobre as redes sociais: você é o produto, e não o site em si. Ouça no artigo de hoje.

Audio via YouTube

Audio via Odeo/FileFreak

Clique aqui para baixar o artigo do site FileFreak em seu micro para poder carregá-lo em seu mp3-player.

Clique aqui para ler um artigo do The Register sobre a opinião de Bruce Schneier acerca das redes sociais.

Para ler esse artigo, clique no botão abaixo.

“Não se engane pensando que você é o usuário das redes sociais: você é o produto.” A frase é do guru Bruce Schneier, no evento da RSA na Europa que ocorre essa semana.

Schneier fez uma avaliação bastante contundente das redes sociais e do que significam para o usuário sob o ponto de vista da privacidade, e suas conclusões são bastante importantes para todos nós que gostamos de Facebooks, Twitters, Orkuts e que tais. Em suma: nós todos, os componentes das redes, não somos os clientes, mas sim o produto. Mark Zuckerberg, o jovem bilionário americano que como dono de 24% do Facebook amealhou aos 26 anos uma fortuna de 6,9 bilhões de dólares, não ganhou seu dinheiro de nós usuários, mas sim comercializando o acesso às nossas informações com centenas de empresas parceiras do Facebook. O acesso às nossas informações vale uma grana preta para as redes sociais, que conseguem vendê-las para empresas que mais tarde terão mais facilidade de acesso aos nossos bolsos, pois saberão quem somos, do que gostamos e como compramos.

Nesse sentido, quando usamos uma rede social qualquer, somos como o gado virtual, pastando e engordando com nossas informações as bases de dados dessa rede, que — à nossa revelia, mas com nosso consentimento inicial explícito — vai ser gerar lucro lá na frente, tanto para quem vende, quanto para quem compra. Em teoria todos saem ganhando: os usuários têm um serviço gratuito que facilita o relacionamento pessoal e profissional; o provedor de serviços ganha dinheiro (e muito, e exemplo de Zuckerberg) vendendo essas informações; e quem compra as informações ganha uma base selecionada de potenciais clientes para quem vender produtos e serviços. Tudo seria muito bacana se parasse por aí. Infelizmente, o outro lado da balança tem quem perde, e lá só se encontra um desses “jogadores”: o usuário. O usuário é o único que tem sua privacidade posta em risco nesse trâmite todo.

O que nos pede para tomarmos muito cuidado com o que publicamos em nossas páginas pessoais nessas redes de relacionamento. Muitos são os usuários que não se preocupam e colocam lá detalhes de suas vidas que podem no futuro representar problemas. Falsificação de documentos, acesso indevido às nossas contas bancárias e mesmo assaltos à nossa residência podem ser facilitados com as informações que muitas vezes damos de mão beijada. No caso das empresas que compram nossas informações, nem todas as protegem da forma adequada, e vira e mexe ficamos sabendo de que alguma dessas bases de dados vai parar nas mãos de ciber-criminosos. E nosso endereço, nossa data de nascimento, o nome de nossos filhos, quando vamos sair de férias e para onde vamos, e muitas outras informações não deveriam cair nas mãos desses bandidos, não é mesmo?

Até a próxima.

Navegadores: avaliando os "Big 4"

Uma pequena avaliação dos quatro principais navegadores disponíveis no mercao mostra o que cada um tem de bom e de ruim, perfazendo um sumário bastante útil ao usuário doméstico. Ouça no artigo de hoje.

Audio via YouTube

Audio via Odeo/FileFreak

Clique aqui para baixar o artigo do site FileFreak em seu micro para poder carregá-lo em seu mp3-player.

Clique aqui para acessar o número de 24 de setembro da revista Ouch!, do SANS Institute (PDF).

Para ler esse artigo, clique no botão abaixo.

O ultimo número da revista Ouch!, do SANS Institute, traz uma avaliação “curta e grossa” dos quatro principais navegadores disponíveis no mercado. A avaliação é simples, quase singela, mostrando apenas algumas das principais características de cada navegador, colocando em destaque o que cada um possa ter de melhor, ou de pior.

O Internet Explorer, por exemplo, é destacado por sua maior fatia de mercado e por usar controles de segurança baseados na tecnologia ActiveX, da Microsoft, enquanto os demais navegadores tem seus mecanismos fundamentados sobre o Java. Por ser o navegador mais popular (com 49,87% do mercado), é o navegador mais atacado, mas também é o navegador com menos vulnerabilidades encontradas ao longo dos últimos anos. A Microsft também é, ao lado da Mozilla, quem mais rapidamente resolve os problemas encontrados em seu navegador.

O Mozilla Firefox é destacado por ser um navegador de código aberto, isto é, no qual qualquer um pode mexer, desenvolvido por uma comunidade sem fins lucrativos e com inúmeros plugins que aumentam as facilidades e funcionalidades na hora da navegação. Com 19,85% do mercado, é o segundo navegador mais popular na Web. O Firefox é o navegador com mais vulnerabilidades encontradas nos últimos anos, fato que se explica pelo acesso facilitado ao código fonte. A Mozilla também é, junto com a Microsoft, quem mais rapidamente resolve problemas encontrados.

O Google Chrome chegou mais tarde nessa briga, tendo sido introduzido no fim de 2008, e hoje já é o terceiro navegador mais popular, com 11,40% do mercado. Se destaca por uma interface enxuta e uma maior agilidade na navegação. Em termos de segurança, é um navegador reconhecido pela eficácia de seus mecanismos de defesa, o que também pode ser atribuído ao baixo número de ataques perpetrados contra um navegador ainda com pouca penetração no mercado. A relativa demora em resolver os problemas encontrados é citada como um dos pontos negativos do Chrome.

O Apple Safari vem em quarto lugar, com 5,50% de popularidade, por ser voltado quase que totalmente para os usuários de Macs. É o navegador mais utilizado pelos usuários de computadores da Apple, e por ser irrisória sua participação no mercado de PCs com sistemas operacionais Microsoft, a empresa não se aplica como os analistas acham que ela deveria na correção de problemas de segurança na plataforma Windows.

Vale a pena uma lida no artigo para sabermos um pouco mais sobre o navegador que usamos em nosso dia-a-dia, e quem sabe conhecer opções, talvez mais adequadas às nossas necessidades de navegação.

Mudando de assunto, hoje tive uma excelente e inesperada notícia: o 5 Minutos de Segurança surpreendentemente está entre os Top 100 blogs de tecnologia no concurso da TopBlog. Em primeiro lugar, muito obrigado pelos votos de todos vocês. Fico muito feliz pelo apoio, e sinto-me incentivado a fazer desse um espaço cada vez melhor e mais útil. Dia 10, domingo, começa o segundo turno da votação. Gostaria de continuar contando com o apoio de vocês, pois chegar ao Top 10 — um sonho admitidamente distante — seria excelente para a divulgação desse trabalho, que é feito sem fins lucrativos, diga-se de passagem.

Um bom fim de semana a todos, um bom feriado e até a próxima, no caso, até quarta-feira, dia 13.

O usuário tem que ser parte da solução

Em uma entrevista, o executivo chefe da AVG repete o que venho dizendo há muito tempo: o usuário tem que participar de sua própria proteção. Ouça no artigo de hoje.

Audio via YouTube

Audio via Odeo/FileFreak

Clique aqui para baixar o artigo do site FileFreak em seu micro para poder carregá-lo em seu mp3-player.

Clique aqui para ler um artigo de Lance Whitney, da CNET com uma entrevista com J. R. Smith, executivo chefe da AVG.

Para ler esse artigo, clique no botão abaixo.

Ontem à noite tuitei sobre uma entrevista de J. R. Smith, o executivo chefe da empresa de antivírus AVG. Achei que o assunto da entrevista é tão importante que decidi também discuti-lo aqui no 5 Minutos de Segurança.

Em essência, o que Smith disse que mais chama a atenção é algo que venho falando desde que comecei a trabalhar na área de segurança, e que repito nesse espaço sempre que posso: o usuário tem que ser responsável por sua própria segurança. Smith aponta dados que mostram um quadro óbvio: 95% das ocorrências de segurança poderiam ser facilmente evitadas se o usuário tivesse tomado algumas ações básicas, tais como usar um antivírus; outro dado interessante é que 60% dos usuários pesquisados pela empresa tem algum tipo de proteção — uma solução de antivírus qualquer — mas os demais só pensam que têm. Compram o computador, olham para o ícone do escudo da McAfee no canto da tela, e acham que estão protegidos, não percebendo que precisam ativar a licença para que a proteção seja efetiva. Outros deixam as licenças temporárias de 30 dias expirar e não percebem que navegar na Web assim equivale a entrar pelado em um incêndio.

Mas o que mais dói no quadro apresentado por Smith é a mentalidade de muitos usuários que insistem em pensar que segurança é problema dos outros. “Se roubarem dinheiro da minha conta, o banco me reembolsa” é o raciocínio corrente de muita gente, e eu mesmo já ouvi coisa semelhante de conhecidos que deveriam estar melhor informados. O quadro de “o banco paga” está mudando, como o Itaú já demonstrou esse ano, quando conseguiu ganho de causa em uma ação movida por um cliente. O banco mostrou que o cliente não havia feito o que era necessário para se proteger, e não precisou ressarcir o cliente lesado. Sem entrar no mérito de se essa foi ou não uma boa decisão judicial, penso que com o precedente aberto, a tônica das decisões judiciais será essa daqui para frente.

As perguntas aqui são: e você? O que está fazendo para se envolver em seu próprio processo de segurança? Você é parte do problema ou já é parte da solução? Já está consciente de seu papel na manutenção de sua segurança e já o está cumprindo?

Acho bom darmos respostas favoráveis a essas questões, ou então vamos continuar sofrendo as consequências, que só vão piorar no futuro.

Até a próxima.

Um atestado de saúde para seu PC

A Microsoft propõe a criação de um atestado de saúde para o PC, com o qual o usuário teria acesso irrestrito à Internet. Será que rola? Ouça no artigo de hoje.

Audio via YouTube

Audio via Odeo/FileFreak

Clique aqui para baixar o artigo do site FileFreak em seu micro para poder carregá-lo em seu mp3-player.

Clique aqui para ler um artigo de Dennis Fisher (em português) publicado no site ThreatPost sobre a proposta de atestado de saúde para computadores da Microsoft.

Para ler esse artigo, clique no botão abaixo.

Scott Charney, o vice-presidente de computação confiável da Microsoft, apresentou essa semana uma proposta da empresa para a criação de um mecanismo de checagem de segurança em computadores conectados à Internet que é no mínimo curiosa.

Charney descreveu o que em essência é um “atestado de saúde”, que deve ser apresentado pelo computador quando este tenta acessar algum recurso na Internet. Esse atestado seria atribuído à máquina por um software de varredura — tipo um antivírus — que certificaria que o computador em questão está livre de ameaças. Ao apresentar esse certificado de limpeza, o computador tem acesso ao recurso que está buscando, seja ele entrar em um Web Site, conectar-se a uma rede social, mandar uma mensagem e por aí vai.

Em seu fundamento a ideia é muito boa, e se fosse implantada exigiria que todos nós mantivéssemos nossos computadores limpos, livres de ameaças. Infelizmente, a implementação prática desse conceito está longe de se tornar realidade. Existem muitos obstáculos a serem transpostos, tais como a padronização do mecanismo de checagem, a exigibilidade de sua adoção, as questões relativas ao cerceamento de liberdade do indivíduo em suas andanças on-line e — talvez a questão mais sensível — quem paga a conta pela emissão, manutenção e checagem desses atestados de saúde.

Dois obstáculos têm a ver especificamente com a questão da segurança (apesar de o assunto todo ser relativo à segurança, claro). São eles: a privacidade dos usuários, que não podem ter seus dados pessoais circulando por aí em um atestado de saúde de seus computadores, e a questão da falsificação desses atestados. Uma questão se opõe diretamente à outra, uma vez que quanto mais “genérico” for o certificado, mais passível de falsificação esse será. Por outro lado, quanto mais específico e rico em informações for o certificado, mais difícil de falsificar este será, porém com o agravante de potencialmente expor a privacidade do usuário.

De qualquer forma, penso que seria um gigantesco avanço para a segurança de todos os usuários da Internet. A obtenção e manutenção de um atestado de saúde seria um baita incentivo para que mantivéssemos nossos computadores livres de ameaças, vulnerabilidades, vírus e que tais. Já estou torcendo para que um dia isso vire realidade.

Até a próxima.

Cuidado com as ofertas de emprego "milagrosas"

Ofertas de emprego que parecem boas demais para ser verdade, geralmente são. Leia no artigo de hoje (estou escrevendo em voo, e portanto hoje não teremos áudio).

Audio via YouTube
Hoje, excepcionalmente, não teremos audio.

Audio via Odeo/FileFreak
Hoje, excepcionalmente, não teremos audio.

Para ler esse artigo, clique no botão abaixo.

Nos últimos dias tenho falado bastante sobre uma praga que já assola o mundo todo e finalmente está chegando ao Brasil de forma mais organizada e perigosa: os cavalos de troia que roubam informações bancárias. Com a chegada desses, é bastante provável que vejamos em breve a chegada de outro tipo de ameaça: as ofertas de emprego que buscam recrutar mulas para os golpes financeiros.

Funciona assim: os bandidos que infectam computadores com seus cavalos de troia, uma vez que consigam as credenciais bancárias das vítimas, fazem transferências de dinheiro dessas contas, mas obviamente não para suas próprias contas, uma vez que assim ficaria fácil identificá-los. O mecanismo que utilizam para manterem a devida distância do golpe é simples: contratam laranjas par que recebam o dinheiro em suas contas correntes e depois transfiram o dinheiro para os bandidos, ou adquiram bens e os enviem a esses mesmos bandidos.

Em tempos bicudos como os atuais, quantos de nós — quando desempregados e sem perspectivas de emprego a curto prazo — não ficaríamos gratos por uma oportunidade de trabalhar a partir de casa, de nosso computador, como “agentes de intermediação financeira” ou outro cargo falso, mas que soa oficial?

Anúncios para cargos semelhantes já são comuns na América do Norte e na Europa, com promessas de benefícios, sites de recrutamento bem montados e entrevistas pela Internet. Tudo soa muito moderno e eficiente, e muita gente se deixa ludibriar. Uma vez “contratados”, o credenciamento exige dados de conta corrente — para que o “empregado” seja pago, claro — e os demais dados que os RHs das empresas geralmente pedem.

O “empregado” — na verdade, a mula, um receptador e transportador de dinheiro roubado — recebe seu primeiro trabalho: transferir uma some em dinheiro que será depositada em sua conta corrente para uma conta no exterior, ou comprar produtos tais e quais com o dinheiro depositado em sua conta e remetê-los para o exterior. Uma porcentagem do dinheiro depositado fica para o “empregado” a título de comissão, e o “empregado” se sente bem, trabalhando honestamente para uma empresa internacional de prestígio. Até, claro, que a Polícia Federal bata à sua porta, informando-o que ele tem recebido dinheiro roubado em sua conta, fruto de transações fraudulentas. Quando esse pobre laranja tenta contatar a “empresa” para a qual trabalha, a fim de explicar o mal entendido à polícia, os bandidos já sumiram faz tempo, e o laranja fica com o mico na mão.

Histórias como essa já são bastante comuns nos EUA, e há casos bem contundentes também na Europa, a exemplo do que aconteceu na Alemanha no primeiro semestre desse ano. Com o aparecimento de versões brasileiras de cavalos de troia de roubo de informações financeiras, como anunciado pela Kaspersky na semana passada, penso que em poucos meses veremos notícias de golpes semelhantes aqui no Brasil.

O cuidado aqui deve ser tomado com as ofertas de emprego pela Internet, principalmente de empresas de que nunca se ouviu falar. Antes de aceitar ofertas que parecem boas demais para serem desperdiçadas, temos que dar uma verificada bem criteriosa na empresa, pedindo referências e buscando conhecer seu passado e sua atuação nos mercados brasileiro e internacional. E não adianta pedir informações apenas para a empresa em questão: é necessário fazer uma pequena pesquisa independente também. Tanto pela Internet como entre amigos e conhecidos, para ver se alguém conhece a empresa de fato. E desconfie sempre se a empresa insistir em não falar com você “ao vivo e a cores”. Nada como um contato pessoal, em um escritório com endereço fixo em local conhecido, não é verdade.

Sei que o mercado de trabalho anda complicado, e que muita gente relutaria em desconfiar de uma oportunidade de emprego que se apresentasse “de bandeja”. Mas é preciso esse tipo de desconfiança. Esses bandidos buscam exatamente aqueles de nós que estão desesperados, pois justamente esses não vão fazer as perguntas incômodas, e serão presas mais fáceis em função da dificuldade que passam.

É justamente pela coisa não andar nada fácil que quem está nessa situação precisa redobrar sua atenção. O que menos precisamos, estando desempregados, é de problemas com a polícia.

Até a próxima.

A maior ameaçada é a sua conta corrente

Um relatório da Panda Labs mostra quais são aos maiores ameaças à solta na Internet. Ouça no artigo de hoje.

Audio via YouTube

Audio via Odeo/FileFreak

Clique aqui para baixar o artigo do site FileFreak em seu micro para poder carregá-lo em seu mp3-player.

Clique aqui para ler o relatório trimestral da Panda Labs (PDF).

Para ler esse artigo, clique no botão abaixo.

Um relatório trimestral recém-publicado pela Panda Labs reforça o que eu disse no último artigo: que as ameaças de cunho puramente financeiro estão em alta, e tendem a continuar aumentando, uma vez que são as que dão maior resultado para os ciber-criminosos.

Segundo o relatório, 55% dos novos códigos maliciosos identificados pela Panda Labs são do tipo cavalos de troia, sendo que a maioria tenta ir “na jugular” da vítima, isto é, coletar suas informações bancárias para envio aos bandidos, dando-lhes acesso irrestrito a saldos e operações de conta corrente (com operações de transferência inclusas, claro). Os dois cavalos de troia brasileiros identificados pela Kaspersky, sobre os quais falei na semana passada são evidências claras de que isso não é só problema de outros países, mas está acontecendo aqui também, com o risco de serem nossos vizinhos e parentes — ou nós mesmos — as próximas vítimas.

Outros dois dados interessantes do relatório da Panda mostram que o Brasil ocupa dois tristes terceiros lugares em rankings mundiais: somos o terceiro país mais infectado por códigos maliciosos de todos os tipos, perdendo para Taiwan e para a Rússia; e somos o terceiro país que mais espalha SPAM pela Internet, atrás apenas da Índia e da Rússia. O espalhamento de "spam" é consequência de máquinas zumbis, transformadas em escravas de espalhadores internacionais de "spam" através de códigos maliciosos inseridos nos computadores à revelia das vítimas. Este terceiro lugar em SPAM é uma consequência direta do terceiro lugar em infecções, e ambos os dados mostram que temos muito a fazer ainda para garantir nossa segurança e a segurança daqueles com quem nos importamos.

O relatório é bastante interessante, e mostra outros dados que requerem a atenção do usuário doméstico. Vale uma leitura para se ter uma ideia dos cuidados necessários hoje em dia e nos próximos meses.

Até a próxima.