Terremoto no Haiti gera fraudes

O Haiti ainda sofre horrores com os efeitos do terremoto e os bandidos já se movimentam para lucrar com a tragédia. Ouça no artigo de hoje.

Audio via YouTube


Audio via Odeo/Kiwi6 (arquivo disponível só durante alguns dias)

Clique aqui para baixar o artigo do site da Kiwi6 em seu micro para poder carregá-lo em seu mp3-player.

Clique aqui para ler a lista original de dicas do FBI.

Para ler esse artigo, clique no botão abaixo.

Sempre que algum acontecimento de vulto no campo das tragédias atinge os noticiários vários grupos se movimentam para a ocasião. A imprensa noticia a não poder mais, governantes tomam para si a responsabilidade de auxiliar a nação atingida, a Cruz Vermelha (ou o Crescente Vermelho no caso das nações Islâmicas) se mobiliza para enviar ajuda médica e por aí vai. Os bandidos também têm suas atividades programadas para esses momentos, e se mobilizam com velocidade e organização impecáveis.

No caso do terremoto no Haiti ocorrido no dia 12 de Janeiro, os bandidos já estão em plena luta para lucrar com a tragédia, registrando domínios na Web para angariar doações e atrair vítimas para outros tipos de golpe. O FBI publicou uma lista de dicas de segurança que vale a pena ser vista, pelo valor que traz para o usuário doméstico.

A primeira delas é não responder a e-mails não solicitados (ou seja, SPAM) cujo assunto seja relacionado ao terremoto. Não devemos também clicar em links desses e-mails, claro.

Devemos desconfiar de indivíduos que se apresentam como sobreviventes da tragédia ou autoridades pedindo doações por e-mail ou via sites de relacionamento.

Antes de fazermos doações para alguma ONG ou outro tipo de entidade, o certo é verificar e certificar a legitimidade dessa instituição. Não devemos confiar no link da mensagem que leva ao site dessa instituição, mesmo que o site pareça estar nos conformes. Como eu mesmo já comentei antes, os sites falsos estão ficando cada vez mais sofisticados.

Devemos tomar cuidado com e-mails prometendo mostrar fotos ou vídeos do terremoto. Tais e-mails podem conter códigos maliciosos, e a última coisa que queremos é que nossa curiosidade traga vírus para nossos computadores.

Se formos contribuir com alguma doação, devemos fazê-lo diretamente, sem depender de ninguém para fazê-la por nós, especialmente organizações na Web.

Não devemos dar informações pessoais ou financeiras para quem pede doações, até porque essas informações são absolutamente irrelevantes para as vítimas do terremoto.

Os golpes já estão aí, prontos para enganar os desavisados. O melhor mesmo é recorrer às instituições tradicionais para fazermos nossas doações, tais como as Nações Unidas, o Exército da Salvação, a Cruz Vermelha e outras de igual renome. Ah, e é importante também lembrarmos sempre que os bandidos usam nossa curiosidade para nos atrair para suas armadilhas. Supostos vídeos da tragédia sempre atraem milhões de curiosos, e nem sempre o vídeo é só um vídeo.

O fato é que a tragédia no Haiti já te vítimas suficientes. Não há a menor necessidade de nos tornarmos vítimas solidárias, caindo no conto do vigário que os bandidos contam com tanta emoção, de olho no nosso bolso.

Bom fim de semana e até a próxima.

Um novo cavalo de troia para celulares

Está se espalhando por aí um perigoso cavalo de troia para celulares. Ouça no artigo de hoje.

Audio via YouTube


Audio via Odeo/Kiwi6 (arquivo disponível só durante alguns dias)

Clique aqui para baixar o artigo do site da Kiwi6 em seu micro para poder carregá-lo em seu mp3-player.

Clique aqui para ler o artigo sobre o cavalo de troia no blog da CA.

Para ler esse artigo, clique no botão abaixo.

O pesquisador Akhil Menon, do laboratório de análise de códigos maliciosos da Computer Associates, publicou recentemente o resultado de uma descoberta interessante e perigosa para quem tem um celular capaz de executar programas em Java (ou seja, para mais de 80% dos donos de celular no mundo todo).

Menon contou que no laboratório da CA eles vêm observando o espalhamento de um cavalo de troia criado em Java, que afeta diretamente o bolso dos usuários desavisados. Essa praguinha, quando instalada nos celulares, acessa uma pequena base de dados própria que contém vários números de serviços pagos de pornografia e envia uma mensagem SMS para esses números, tudo sem dar pistas do que está fazendo para o usuário do aparelho celular. Uma vez que isso tenha acontecido o usuário efetivamente vira assinante desses serviços, e vai arcar com pesadas contas telefônicas até que identifique o problema e cancele os ditos cujos.

O principal problema dessa praga é que a mesma é independente de plataforma, isso é, pode ser executada em qualquer celular que tenha a capacidade de rodar programas escritos em Java, uma linguagem bastante difundida hoje em dia. Quase todos os aparelhos celulares com dois anos ou menos de existência já vem com essa capacidade, independente do fabricante. Os joguinhos que hoje são tão populares nos aparelhos, são em sua maioria desenvolvidos em Java, por exemplo.

Infelizmente o pesquisador da CA não comentou sobre os vetores de infecção, isto é, não deu dicas de como esta aplicação está chegando até os aparelhos dos usuários, mas ainda assim existem algumas dicas genéricas que nos protegem de pragas desse tipo.

Por ser uma aplicação, a mesma precisa da cooperação total do usuário para ser baixada (aliás, da Internet em muitos casos), transferida para o celular e instalada. A primeira dica, portanto, é tomar muito cuidado com a proveniência dos aplicativos que instalamos em nossos celulares. São muitos os sites que disponibilizam pequenas aplicações Java para celulares, e nem todas têm critérios adequados de teste e aceitação das aplicações que lá estão disponíveis.

Como essa aplicação maliciosa não causa efeito perceptível a não ser na conta mensal dos usuários, é fácil imaginá-la disfarçada de, por exemplo, aplicativo para melhorar o desempenho do celular. Também é fácil prever que o cerne dessa aplicação vai ser inserido em aplicativos mais interessantes, tais como jogos e outros programas de produtividade espalhados por aí via sites de compartilhamento de arquivos (aqueles em que reina a pirataria). A dica aqui é aquela nossa velha conhecida: pirataria rima com porcaria para seu celular, e nesse caso rima também com prejuízo para seu bolso.

Pedi mais detalhes para Menon sobre como especificamente esta praga está se espalhando, e se ele der mais informações volto ao assunto em um artigo futuro.

Até a próxima.

A Adobe fez sua lição de casa

A notícia mais esperada do ano (até agora) para usuários do Acrobat Reader. Ouça no artigo de hoje.

Audio via YouTube


Audio via Odeo/Kiwi6 (arquivo disponível só durante alguns dias)

Clique aqui para baixar o artigo do site da Kiwi6 em seu micro para poder carregá-lo em seu mp3-player.

Para ler esse artigo, clique no botão abaixo.

Depois de mais de um mês da descoberta de uma falha no Acrobat Reader que permitia a invasão de computadores em que o mesmo estivesse instalado, a Adobe finalmente publicou a correção tão esperada. A falha, para quem não se lembra, ocorre em função de um problema com a implementação do Javascript dentro dos documentos PDF, e no fim do ano passado mostrei como desabilitar esse componente defeituoso para que os ouvintes do 5 Minutos de Segurança ficassem imunes à falha enquanto a mesma não era corrigida.

Pois bem, agora os usuários do Acrobat Reader devem abrir esse aplicativo, clicar na opção “Ajuda” no menu horizontal, e depois clicar na opção “Verificar Atualizações”. A partir daí a versão 9.3 do Acrobat Reader será baixada e instalada. Trata-se de um arquivo de 62 MB, e traz uma novidade. Segundo “tuitou” Brad Arkin, diretor de segurança e privacidade de produtos da Adobe, a partir de agora o Acrobat permite atualizações automáticas, que é uma mudança importante e muito necessária. Isso porque como já dissemos a Adobe deve se tornar alvo preferencial dos atacantes em 2010, tomando o lugar da Microsoft no topo da lista de alvos mais visados. Com um processo de atualizações automáticas, quando a empresa lançar correções os usuários serão notificados imediatamente, ao invés de dependerem de notícias sobre os problemas para atualizarem seus sistemas. Uma excelente adição, sem dúvida.

É bom ressaltar que a Adobe manteve as opções de segurança e confiança que já existiam. A saber:

A opção “segurança” lida com a proveniência do arquivo, permitindo ao usuário checar a origem dos documentos através de certificados digitais. Essa opção é útil para usuários que recebem documentos oficiais em formato PDF e querem se certificar de que a origem dos mesmos é legítima.

A opção “segurança avançada” integra a segurança dos sistemas operacionais Windows com o Acrobat Reader. Dessa forma o Acrobat rejeita arquivos e URLs que não são confiáveis para o Windows.

A opção “confiança multimídia” permite a configuração de que aplicativos externos de multimídia podem ser acionados por documentos PDF sendo lidos pelo Acrobat Reader, e é útil para evitar que aplicativos maliciosos sejam acionados sem conhecimento do usuário.

Por fim, a opção “gerenciador de confiança” permite ao usuário decidir se quer ou não permitir que informações sejam enviadas à Internet através dos documentos PDF. Essa é uma adição importante, pois impede vazamento de informações através de PDFs maliciosos, e já vem bloqueada na configuração inicial após a instalação da nova versão.

Em suma, à primeira vista parece que a Adobe fez sua lição de casa e corrigiu o problema do fim do ano passado. Para quem não quis adotar o STDU Viewer (sugerido aqui no artigo intitulado Algumas previsões e duas alternativas), o Acrobat Reader volta a ser uma alternativa que não depende de configurações emergenciais por parte do usuário. Pelo menos até que se descubra outra falha na ferramenta, claro.

Até a próxima.

10 desculpas para se manter inseguro - parte 2

O SANS Institute publicou as 10 desculpas mais populares usadas por quem não usa ferramentas de segurança. Ouça no artigo de hoje.

Audio via YouTube


Audio via Odeo/Kiwi6 (arquivo disponível só durante alguns dias)

Clique aqui para baixar o artigo do site da Kiwi6 em seu micro para poder carregá-lo em seu mp3-player.

Para ler esse artigo, clique no botão abaixo.

Dando sequência às 10 principais desculpas esfarrapadas, digo, às 10 maiores razões dadas por quem não usa ferramentas de segurança, vamos às cinco restantes.

Razão número 5: “As ferramentas reduzem o desempenho do meu computador”. Sim, da mesma forma que as barras de ferro nas portas e no chassi, os freios, os airbags, os cintos e outros dispositivos de segurança do seu carro fazem com que esse fique mais pesado e com desempenho menor, consequentemente. Mas você não dirigiria seu carro se ele não tivesse esses dispositivos de segurança, dirigiria? Principalmente porque ele poderia facilmente chegar aos 200km/h. Já pensou estar num carro nessa velocidade que fosse só chassi, motor, direção e um banco para você sentar?

Razão número 4: “Eu achava que viessem com meu computador”. Bem, se você não montou seu computador do zero, isto é, se comprou um computador de marca, com software já instalado, certamente que muitas ferramentas vieram junto com ele. Ocorre que o usuário deve ativar essas ferramentas e configurá-las adequadamente para que funcionem corretamente. Não adianta nada ligar o computador e começar a usá-lo esperando que as configurações iniciais forneçam algum tipo de proteção. Essa desculpa é negligência impulsionada pela preguiça, nada mais.

Razão número 3: “É caro demais”. Já coloquei aqui uma frase do ex-reitor de Harvard, Derek Bok, mas não custa repetir: “se você acha que educação é caro, imagine ignorância”. Dá para parafrasear assim: “se você acha que segurança é caro, imagine insegurança”. Em primeiro lugar, porque não é caro. Quem consegue manter um computador e uma assinatura mensal de banda larga não deveria reclamar do preço de ferramentas de segurança. E se você for uma das exceções que realmente não tem recursos para manter assinaturas anuais, deveria saber que existem alternativas gratuitas. Outro caso de economia porca.

Razão número 2: “Os Macs não precisam de segurança”. Essa foi a razão mais alegada por usuários de sistemas da Apple, e é apenas uma meia verdade. Ataques de phishing, por exemplo, não escolhem sistema, e ocorrem em Macs, PCs e máquinas Linus, indiscriminadamente. Ah, e o HTML versão 5 vem aí, quebrando barreiras entre sistemas. Sempre repito para meus alunos que arrogância não é ferramenta de segurança, e espero que os ouvintes usuários de Macs não estejam sendo arrogantes com as questões de sua própria segurança.

Razão número 1: “Eu não sei o que comprar ou como instalar”. Um princípio da legislação brasileira dita eu o desconhecimento da lei não exime o cidadão de cumpri-las, isto é, não é porque você não sabe da existência de uma lei que vai se safar se quebrá-la. A ignorância não é uma desculpa válida. O fato é que no caso dos computadores o usuário precisa de segurança, e deve procurar ajuda caso não saiba o que fazer. Aliás, esse é o propósito desse blog: criar consciência para a necessidade de segurança que todos temos.

Taí. Espero que os ouvintes do 5 Minutos de Segurança leiam essa lista de razões e não se encaixem em nenhuma delas. Acho que estamos bem “crescidinhos” para não precisarmos nos apoiar em nenhuma desculpa esfarrapada quando na verdade estamos nos eximimos de nossas responsabilidades.

Até a próxima.

10 desculpas para se manter inseguro

O SANS Institute publicou as 10 desculpas mais populares usadas por quem não usa ferramentas de segurança. Ouça no artigo de hoje.

Audio via YouTube


Audio via Odeo/Kiwi6 (arquivo disponível só durante alguns dias)

Clique aqui para baixar o artigo do site da Kiwi6 em seu micro para poder carregá-lo em seu mp3-player.

Para ler esse artigo, clique no botão abaixo.

O SANS Institute publicou na semana passada o resultado de uma pesquisa interessante. Usuários que ainda teimam em não utilizar ferramentas de segurança foram questionados sobre quais as razões pelas quais agem assim, negligenciando sua própria segurança, e o resultado foi compilado em uma lista com as dez principais razões. Vejamos quais são, e como devemos agir diante dessas que não são nada além de desculpas esfarrapadas.

Razão número 10: “Eu só uso meu computador para e-mail e para navegar”. Como se essas não fossem as duas principais portas de entrada para códigos maliciosos, hackers e golpes, não é mesmo? Essa resposta faz tanto sentido quanto a pessoa que justifica não usar cinto de segurança quando anda de carro dizendo “só uso o carro no meu bairro”. Só que no caso da Internet, todos os bairros são violentos, com motoristas imprudentes e sanguinários. Essa desculpa é pura negligência, e quem a usa está pedindo para se dar mal.

Razão número 9: “Eu nunca tive problemas de vírus”. Imagino que quem use essa desculpa também não escove os dentes, não tenha tomado vacinas, não faça seguro de carro e por aí vai. Outra: estou certo de que a máquina de uma pessoa que use essa desculpa esteja infestada de vírus, mas como ela não tem antivírus, não está sabendo nem de que é esse o caso. O que falta aqui é que a pessoa entenda o valor da prevenção.

Razão número 8: “As ferramentas ficam dando alarmes o tempo todo”. Mesmo? E o que a ferramenta deve fazer quando descobre algo errado? Você prefere o conforto da ignorância enquanto sua máquina é infestada, invadida ou transformada em zumbi a serviço dos bandidos? Você prefere não ficar sabendo quando um código malicioso estiver entrando em sua conta bancária e fazendo transferências do seu dinheiro para algum lugar no leste Europeu? Essa desculpa é resultado de pura ignorância, ponto.

Razão número 7: “As ferramentas podem travar meu computador”. Ah, é? E o que os vírus vão fazer? Melhorar o desempenho do dito-cujo? Códigos maliciosos e hackers podem fazer muito pior que travar computadores. Outra desculpa fruto de ignorância.

Razão número 6: “Minha assinatura expira sempre”. Claro, né? Afinal de contas, você recebe um baita valor das assinaturas de suas aplicações de segurança, e os fabricantes que prestam esse serviço útil têm o direito de receber por isso, não é verdade? Ou você também não usa eletricidade, água e telefone para não precisar pagar as contas no fim do mês? Quem usa esse tipo de desculpa faz economia porca. E vai acabar se dando mal por isso.

Amanhã passo as outras cinco razões. Até a próxima.

Dicas para manter seu PC novo "na linha"

Você está de PC novo e quer mantê-lo seguro? Ouça como no artigo de hoje.

Audio via YouTube


Audio via Odeo/Kiwi6 (arquivo disponível só durante alguns dias)

Clique aqui para baixar o artigo do site da Kiwi6 em seu micro para poder carregá-lo em seu mp3-player.

Clique aqui para ler a série de dicas de Ric Broida na PCWorld.

Para ler esse artigo, clique no botão abaixo.

O colunista Rick Broida, das revistas PCWorld e ComputerWorld publicou nesses últimos dias um conjunto de dicas para quem está de computador novo depois do Natal — computador com sistema operacional Windows, é bom frisar. Trata-se de uma lista simples de ser seguida e muito útil para manter o usuário doméstico seguro e sem que seu computador corra riscos de deixá-lo na mão.

Apesar de a lista ser bacana, não pude deixar de perceber algumas coisas que podem ser complementadas. Bem, mas vamos a elas.

Em primeiro lugar, o usuário deve gerar discos de recuperação para seu computador, caso ele já tenha vindo com o Windows instalado de fábrica. Poucos são os fabricantes que mandam CDs ou DVDs de recuperação hoje em dia, e é responsabilidade do usuário gerar suas próprias cópias. Digo cópias, no plural, porque é fundamental ter pelo menos duas, já que as mídias de hoje falham com frequência. Muitos são os fabricantes que já colocam a opção de criação dos discos de recuperação para aparecer na tela logo que se liga o computador, mas caso esse não seja o caso do seu computador, você deve consultar as instruções de como criar os discos por você mesmo. Se seu computador veio com o Windows 7, você está com sorte, pois o procedimento é bastante simples. Eu complementaria essa dica com outra na mesma linha: depois de instalar todos os aplicativos que você vai usar, crie um ponto de recuperação em seu disco. Dessa forma, se alguma coisa der errado, você pode recuperar inclusive a aparência de seu desktop e os dados de configuração de seus aplicativos.

A segunda dica de Broida é: livre-se do software desnecessário. Os fabricantes de PCs fazem acordos com empresas de software de todo tipo, e incluem versões demo de seus aplicativos nas máquinas novas sem perguntar se queremos aquela baboseira toda ou não. A maioria só vai servir para tornar a máquina mais lenta, e portanto a sugestão é para que nos livremos do que não formos usar. Não é uma dica de segurança, mas sim de desempenho. Só temos que tomar cuidado para não apagar coisas que vamos precisar mais tarde, como aplicações para lidar com o gravador de DVD, por exemplo.

A terceira dica é outra que nos interessa sob o ponto de vista de segurança: instale software de para proteção da máquina. Broida sugere que a suíte de segurança da Microsoft é suficiente para assegurar o computador novo, mas eu creio que essa decisão deva ficar a cargo do próprio usuário. Nos meus artigos anteriores já falei muito sobre antivírus, firewall pessoal, browsers e plugins de segurança. Aliás, esse é um dos principais objetivos desse blog: assegurar seu computador. Muito cuidado e empenho devem ser colocados na execução dessa dica, em suma, e na dúvida, a ajuda profissional é sempre bem-vinda.

Uma vez que o computador está livre das aplicações indesejáveis, que está seguro, e assumindo que você já instalou as aplicações que vai usar no seu dia-a-dia, a próxima dica é criar uma imagem do HD, que pode ser restaurada no caso de alguma coisa dar errado. O que pode dar errado? Quedas de energia podem danificar o disco, vírus podem devastar sua configuração, usuários menos capacitados podem apagar coisas importantes, e por aí vai. O melhor é fazer uma imagem logo no início e guardar em DVD ou em um HD externo. Broida sugere o Macrium Reflect Free, que é uma aplicação gratuita para criar e restaurar uma imagem do HD. Testei essa aplicação e gostei muito: é simples, amigável e rápida.

A quinta e última dica para seu novo computador é: faça backups periódicos. Não vou repetir tudo o que já disse em artigos passados sobre a importância dos backups, mas vale reforçar que muita gente se arrepende amargamente por não ter adotado uma rotina semanal de backup para seus arquivos pessoais, e muita gente agradece ter adotado essa disciplina quando os imprevistos acontecem.

Usando as dicas apresentadas aqui, seu computador ficará livre de problemas e você, livre de dor de cabeça. Resolve todos os problemas? Não, pois a segurança é um processo contínuo, que deve ser cuidado no dia-a-dia, uma consciência que devemos desenvolver e trabalhar continuamente. Mas que as dicas ajudam, ah ajudam sim.

Até a próxima.

Um "bug" e antivírus da Symantec

Até mesmo os fabricantes de segurança são passíveis de erros que afetam os clientes. Ouça no artigo de hoje.

Audio via YouTube


Audio via Odeo/Kiwi6 (arquivo disponível só durante alguns dias)

Clique aqui para baixar o artigo do site da Kiwi6 em seu micro para poder carregá-lo em seu mp3-player.

Clique aqui para ler a reportagem sobre o bug da Symantec, na página da ComputerWorld.

Clique aqui para ler um artigo no blog oficial da Symantec falando sobre o problema e sobre a solução paliativa já em uso.

Para ler esse artigo, clique no botão abaixo.

Você se lembra do “Bug do Milênio”? Faz exatos 10 anos que as previsões diziam que tudo o que dependesse de informática iria parar por causa desse tal “bug”: usinas de energia elétrica, aviões, sistemas de controle de tráfego, emissoras de TV, e por aí vai. Datas armazenadas com apenas dois dígitos fariam com que os computadores acreditassem que era 01/01/1900 na virada do milênio, provocando um caos sem tamanho. Bem, o problema foi corrigido a tempo, graças ao exército de programadores e revisores de código contratado pelas empresas do mundo todo, e apenas alguns raros problemas isolados (sem vítimas, aliás) foram relatados. O “Bug do Milênio” teria sido provocado por datas com anos armazenados em apenas dois dígitos, o que economizaria memória — cara nas décadas de sessenta e setenta — e é algo que não deve ocorrer novamente, aliás, nem no ano 10.000.

Pois bem, um erro semelhante acaba de ser descoberto em algumas versões de antivírus da Symantec, fazendo com que as assinaturas de vírus distribuídas automaticamente pela empresa com data posterior a 31/12/2009 sejam rejeitadas nos computadores dos usuários. Isso é um problema gravíssimo, pois já completamos uma semana desde a virada do ano, e um antivírus sem atualização por uma semana é uma ferramenta praticamente obsoleta.

Bem, e o que os usuários de produtos Symantec devem fazer? A resposta, felizmente, é: nada. A própria Symantec arrumou uma solução paliativa até que a correção do código esteja disponível. Eles passaram a emitir atualizações da base de assinaturas de vírus com a data de 31/12/2009 e com versões cada vez maiores, o que permite a atualização sem dores para o usuário. Dessa forma, os usuários continuam protegidos e atualizados mesmo diante do erro encontrado pela Symantec.

Ainda assim, é fundamental que os usuários de produtos da Symantec estejam com as atualizações automáticas ativadas não só para as bases de assinatura dos vírus, mas também para o próprio software de antivírus. Quando disponibilizada, essa correção deve ser distribuída automaticamente, e essa é uma que os usuários não vão querer perder.

Para quem utiliza soluções de antivírus de outros fabricantes que não a Symantec, fica a dica para fazer uma pequena revisão em sua solução de antivírus, abrindo a interface do aplicativo e checando se está tudo OK e se todos os arquivos estão atualizados. É uma excelente atitude para quem quer começar o ano mais seguro.

Até a próxima.

Uma dica dos banqueiros

Quer uma boa dica para se manter seguro em suas visitas a sites de banco? Ouça no artigo de hoje.

Audio via YouTube


Audio via Odeo/Kiwi6 (arquivo disponível só durante alguns dias)

Clique aqui para baixar o artigo do site da Kiwi6 em seu micro para poder carregá-lo em seu mp3-player.

Clique aqui para ler a reportagem sobre a dica da ABA, na página do jornal USA Today.

Para ler esse artigo, clique no botão abaixo.

Hoje a dica é simples, rápida, mas super útil.

A Associação Americana de Banqueiros publicou uma sugestão para empresas pequenas e médias que acessam bancos via Internet. A dica, claro, também serve para os usuários domésticos, apesar de ter um custo mais sensível para estes.

Trata-se do seguinte: se você pretende acessar sites de banco via Internet, essa ação deve ser tomada a partir de uma máquina dedicada para essa função. A dica é menos radical que a que publiquei no dia 03 de novembro, no artigo intitulado Internet Banking” e “Windows” não combinam. Naquela ocasião, repeti a sugestão de Brian Krebs, do Washington Post, que diante dos estragos do Zeus e do URLZone sugeria que os usuários de Windows desistissem do Internet Banking de vez.

A dica da ABA (sigla em inglês) é mais sensata: as pequenas e médias empresas devem dedicar uma máquina apenas para o acesso aos sites de banco, nunca utilizando essa máquina para acesso a e-mails ou, outros sites da Web, ou para o desempenho de qualquer outra função. O raciocínio é simples: se a máquina for sempre usada para acessar os mesmos sites (os oficiais, claro) e os mesmos serviços, sem se prestar a nenhum outro papel, estará segura.

Mas será que é possível ao usuário doméstico agir da mesma forma? Bem, manter uma segunda máquina só para acesso aos bancos parece um exagero, e para muitos vai estar além das possibilidades financeiras Contudo, existem formas alternativas de se conseguir o mesmo efeito, isto é, a segregação do acesso aos sites de banco. Vejamos algumas.

Em primeiro lugar, muitos usuários trocam de computador com certa frequência. Uma alternativa é não se desfazer do seu velhinho quando for comprar o computador novo. Ao invés, formate-o, reinstale apensa o sistema operacional, o antivírus e um browser decente, e passe a utilizá-lo apenas para as operações bancárias. Se necessário, crie uma senha para manter os demais usuários afastados, só para garantir que ninguém vai ficar com comichão de usar a máquina para uma “navegadinha à toa”. Essa navegadinha pode trazer cavalos de troia e outros códigos maliciosos para a máquina, pondo em risco a estratégia toda.

Outra dica é colocar um disco separado na sua máquina, ou mesmo criar uma pequena partição no seu disco principal. Nessa partição ou no disco separado, a dica é a mesma do micro velho: instalar apenas o absolutamente necessário para o acesso aos sites de banco. A única sugestão complementar, nesse caso, é que no disco ou partição de acesso aos bancos seja instalado um sistema operacional diferente do sistema principal. Você usa Windows na partição principal? Instale (ou peça para alguém instalar) o Linux na partição de acesso aos bancos, de forma a evitar o perigo de “contaminação” de uma partição para outra.

Essa segregação, seja através de uma máquina separada, de um disco rígido separado ou de uma partição separada é uma excelente dica, mas exige uma disciplina muito grande para garantir a segurança. Aliás, o ponto fraco da sugestão é exatamente a monumental falta de disciplina tão característica da natureza humana. Se sucumbirmos a essa falta de disciplina, estaremos mais uma vez inutilizando uma boa ferramenta de segurança em função de nossa invigilância. E a responsabilidade será — mais uma vez — só nossa.

Até a próxima.

2010: o ano para ser Mineiro

Quer uma dica boa de segurança para 2010: seja mais como nossos compatriotas de Minas Gerais. Saiba por que no artigo de hoje

Audio via YouTube


Audio via Odeo/Kiwi6 (arquivo disponível só durante alguns dias)

Clique aqui para baixar o artigo do site da Kiwi6 em seu micro para poder carregá-lo em seu mp3-player.

Para ler esse artigo, clique no botão abaixo.

Estive avaliando a lista de previsões da McAfee sobre a qual falamos ontem, em que a empresa prevê quais serão os principais problemas de segurança de 2010 e cheguei a uma conclusão: 2010 é o ano para sermos Mineiros.

Quando digo “sermos Mineiros” me refiro aos amigos naturais e residentes no belo estado de Minas Gerais, que tanta saudade deixa na gente. A explicação para essa “dica” é a seguinte: o Mineiro tem a fama de ser desconfiado, e uma característica das principais ameaças previstas para este ano é que elas se alicerçam sobre a confiança que depositamos nos recursos da Web. Como uma vez me disse um amigo de Uberlândia, “Mineiro não mete a mão em cumbuca”, e se conseguirmos manter esse nível saudável de desconfiança — que é tão natural aos amigos de Minas — estaremos colaborando um tantão para nossa segurança. Vejamos como essa “mineirice” nos ajuda com as ameaças previstas para 2010.

É bastante prudente desconfiarmos de ambientes considerados seguros a partir de agora, entre eles os Macs e os sistemas baseados em Unix tais como o Linux e o FreeBSD. A chegada do HTML versão 5, como já comentei, tende a trazer problemas por ser nova demais, e uma das características que essa nova versão possibilita é a criação de código HTML que pode executar comandos de sistema em vários sistemas operacionais, o que tira bastante da “impermeabilidade” que esses sistemas operacionais acreditavam gozar quando comparados ao Windows.

Os sites de relacionamento também deveriam ser fonte de desconfiança nesse ano que se inicia. A começar pelo Facebook, agora em Dezembro, vários deles estão reforçando suas regras de privacidade e segurança. Isso tende a criar uma certa sensação de tranquilidade em vários usuários, que tendem a desconsiderar que as novas aplicações — o tempo todo sendo criadas nesses sites — tendem a crescer em complexidade, sem que o devido cuidado na criação do código seja tomado pelos desenvolvedores. Isso significa que mais pontos de entrada indevida são deixados para trás. Combinem-se essas vulnerabilidades esperadas com a sensação de segurança que as novas medidas dos sites trazem e pronto: se não formos desconfiados, logo estaremos cometendo o erro que meu amigo disse que Mineiro não comete: estaremos enfiando a mão em cumbuca.

Quem é adepto do Internet banking, então, deveria não só desconfiar mineiramente, mas mudar de vez para Minas Gerais, de tanta desconfiança que devemos ter com essa facilidade oferecida pelos bancos. Os cavalos de troia tendem a se tornar mais sofisticados e mais ativos, dado o “sucesso” que essas pragas tiveram em 2010. Os relatos de cavalos de troia capazes de fazer transações bancárias ocultas nas máquinas infectadas certamente vão animar muitos ciber-criminosos por aí. Para evitar esse problema devemos desconfiar de todos os sites visitados, das aplicações que rodamos, e até mesmo de nossa solução de antivírus, perguntando o tempo todo se a mesma está atualizada. E quando tudo parecer estar OK, não custa efetuar mais uma Mineira varredura no disco com o antivírus, só por precaução.

Outros de que devem estar em alta esse ano são os ataques de phishing, também devido ao “sucesso” no ano passado. Segundo os analistas da McAfee, esses ataques devem ser feitos com mensagens mais bem compostas e mais com cara de “oficiais”. Já não vai ser mais tão fácil perceber que são falsas só pelos erros de ortografia e gramática, por exemplo. Devemos, portanto, desconfiar de mensagens enviadas de bancos, de operadoras, de órgãos governamentais (e por aí vai) quando essas nos pedirem informações. Uma desconfiada ligadinha para o número 0800 da instituição em questão antes de fornecer as informações solicitadas é uma atitude que os Mineiros apoiam, aposto.

Mas será que ser tão desconfiado assim não vai emperrar nossa produtividade? Bem, quem responde é o próprio estado de Minas Gerais, onde a desconfiança é a regra, e onde reside o 3º maior PIB estadual do Brasil. Há muito tempo que Minas vem mostrando que é, sim, possível ser bem produtivo enquanto se nutre uma saudável dose de desconfiança.

Até a próxima.

Algumas previsões e duas alternativas

Estamos de volta! Apesar de um tanto atrasados ara o dia de hoje, não é mesmo... Erro meu... Dia complicado e tal. Mas estamos aí! Um excelente — e seguro — 2010 a todos!

Audio via YouTube


Audio via Odeo/Kiwi6 (arquivo disponível só durante alguns dias)

Clique aqui para baixar o artigo do site da Kiwi6 em seu micro para poder carregá-lo em seu mp3-player.

Clique aqui para ler o relatório completo da McAfee.

Clique aqui para ir ao site do STDU Viewer.

Para ler esse artigo, clique no botão abaixo.

No apagar das luzes de 2009 a McAfee resolveu dar uma de “Mãe Diná” e publicar uma lista de previsões de problemas de segurança que supostamente estarão em alta esse ano.

Entre as previsões apresentadas, algumas são bastante óbvias, como por exemplo a de que as redes sociais serão um alvo crescente dos ciber-criminosos e a de que as aplicações do Facebook, em especial — por crescerem constantemente em complexidade — vão fornecer ótimas oportunidades para esses mesmos ciber-criminosos. Outras previsões são interessantes por serem mencionadas pela primeira vez (apesar de fazerem bastante sentido para quem é profissional de segurança), como a de que a versão 5 do HTML, a ser lançada na segunda metade do ano, será alvo preferencial de ataques quando chegar ao mercado. Vivo dizendo aos meus alunos que nada é mais bem-vindo para os bandidos da Internet que software novo. Quanto mais novo, menos testado em campo; quanto menos testado em campo, mais portas abertas por onde os bandidos podem entrar.

Contudo, a previsão mais interessante do ponto de vista desse blogueiro é a de que a Adobe vai tomar o lugar da Microsoft como alvo central de ataques. Já falamos algumas vezes sobre os problemas no Acrobat Reader e no Flash, e a previsão da McAfee é de que esses problemas da empresa se intensifiquem esse ano. Aqui vale uma dica, que nos foi gentilmente passada pelo ouvinte do 5 Minutos de Segurança Cristiano Silveira. Ao invés de usar o Acrobat Reader da Adobe para ler seus arquivos em formato PDF, o Cristiano sugere o STDU Viewer, que é um leitor de múltiplos formatos de documento. Segundo informação fornecida pelos desenvolvedores do STDU Viewer, este não inclui suporte ao Javascript, que é a porta de entrada para os ataques sendo perpetrados contra o Acrobat Reader. Fiz alguns testes com o STDU Viewer e o achei muito bom: ele apresenta com precisão documentos em formato PDF e em minha opinião não deixa nada a desejar para o Acobat Reader. Ah, e é gratuito para uso não comercial, o que é mais uma boa notícia. Outra alternativa ao Acrobat Reader é a utilização do Google Docs, o programa on-line da Google para leitura, armazenamento e compartilhamento de documentos. Funciona muito bem para arquivos de vários formatos e, claro, o PDF é um deles. Para quem quiser usar o Google Docs, dois alertas: um, o processo inicial pode ser um pouco lento em conexões de baixa velocidade, pois os arquivos devem ser “subidos” para a Internet; e dois, os arquivos ficam armazenados na Internet, o que significa que podem ser acessados de qualquer lugar, mas em compensação é mais uma informação a seu respeito que a Google tem, ou seja, é mais um pouquinho da sua privacidade de que você abre mão.

Bem, mas voltando às previsões da McAfee, penso que a principal conclusão a ser tirada das mesmas seja a seguinte: os problemas potenciais apontados são evidências de que em 2010 a atenção dos usuários deverá ser redobrada se quiserem se manter seguros on-line. À medida que forem sendo identificados, os problemas deverão ser endereçados pelos fabricantes, claro, mas até lá as ferramentas de segurança mais eficazes vão continuar sendo o critério e o cuidado dos usuários.

Um feliz 2010 a todos, e até a próxima.