Um novo tipo de vírus no Facebook

Um novo tipo de vírus deu as caras no Facebook. Ouça no artigo de hoje.


Clique aqui para baixar o artigo em seu micro para poder carregá-lo em seu mp3-player.

Clique aqui para ver o vídeo explicativo do ataque no YouTube.

Para ler esse artigo, clique no botão abaixo.

No fim de semana passado o Facebook foi atacado por um novo e interessante tipo de vírus. Trata-se de um ataque que se utiliza de técnicas novas, como o clickjacking (que já explicarei do que se trata) e de uma técnica bem antiga de disseminação de vírus.

Primeiro uma descrição de como o ataque ocorre. Você vai ao Mural de um amigo no Facebook quando vê um recado com uma mulher seminua e um texto em inglês dizendo “quer ver uma coisa quente? Se você vai até a imagem em tamanho grande, vê um botão e um convite para clicar. Clicando, você é levado para um site pornográfico, e a mesma imagem agora aparece no seu próprio mural, podendo ser clicada por todos os seus amigos.

A tática antiga é exatamente essa de espalhar a praga para seus amigos através de uma estupidez, digo, de uma ação sua. Era assim que os antigos vírus se espalhavam, dependendo de ações impensadas do usuário desavisado. A novidade é ter aparecido no Facebook, um site visitado por milhões de pessoas todos os dias, e onde não é costumeiro desconfiar daquilo que supostamente é publicado por nossos amigos e conhecidos.

A tática mais nova é o clickjacking, ou “seqüestro de clique”, em que o usuário é enganado para clicar em um link sem saber que está caindo numa armadilha. Ao clicar no botão, o usuário espera que algo aconteça com a moça seminua, e não que ele seja levado a um site pornográfico ao mesmo tempo em que infecta sua página no Facebook. Imagina-se que os autores dessa proeza estejam ganhando dinheiro com os cliques que levam ao site pornográfico, mas nada garante que esse site também não contenha código malicioso.

Os administradores do Facebook já tomaram as providências para remover essa praga de todas as páginas infectadas do site, mas o ocorrido mostra que a técnica funciona, e bem. Isso quer dizer que a mesma técnica pode ser usada para ataques semelhantes, e eu aposto que ainda vamos ouvir falar muito desse novo conceito de praga.

O pesquisador Roger Thompson, da AVG (fabricante de antivírus) publicou um vídeo no YouTube que demonstra como a praga se espalha. Você pode ver o vídeo na seção de links desse artigo, mas antes um aviso: como o ataque leva o usuário a um site pornográfico, é bom você saber que existem imagens explícitas em certa parte do vídeo (que fora esse detalhe é bastante didático).

O resumo da ópera é o seguinte: como se já não bastasse a praga do “Mafia Wars” empesteando o Facebook, agora temos que nos preocupar também com esse novo vírus. Mais uma dor de cabeça para quem for descuidado, e mais uma razão para nos cuidarmos quando estivermos em sites de relacionamento.

Ajude-nos a melhora os artigos desse site deixando na seção de comentários suas dúvidas, críticas e sugestões.

Até a próxima.

Não dê mole com seus dados

Além dos bandidos virtuais e das falhas de equipamento, um inimigo ameaça nossos dados: nossa própria negligência. Ouça no artigo de hoje.


Clique aqui para baixar o artigo em seu micro para poder carregá-lo em seu mp3-player.

Para ler esse artigo, clique no botão abaixo.

Como se não bastassem as ameaças diárias de vírus, bandidos virtuais e mesmo as falhas de disco, que colocam em risco nossas informações privativas, ainda temos que tomar um baita cuidado com uma ameaça que não tem jeito de estar mais próxima: nós mesmos.

Várias vezes ao longo do dia manipulamos nossas informações e dados pessoais, e em algumas dessas oportunidades agimos com menos cuidado do que deveríamos, deixando brechas nas quais podem ocorrer “vazamentos” de informações sensíveis, isto é, que gostaríamos que ficassem só sob nosso domínio.

Vejamos algumas dessas situações potenciais e o que fazer para evitar que problemas surjam a partir delas.

É muito prático usarmos dispositivos móveis para transportar nossos dados, claro. Pendrives e discos portáteis com interface USB são úteis a não poder mais, mas exigem um cuidado grande. Em primeiro lugar, se os dados que transportamos são sensíveis ou mesmo confidenciais, o correto é usarmos mecanismos de criptografia nos dispositivos, pois se estes forem extraviados, nossas informações terão um certo grau de proteção. Existem bons pacotes que criptografam dados em dispositivos móveis, e se adicionam o complicador de mantermos mais uma senha, certamente esse complicador vale a pena para protegermos nossos dados confidenciais. O fato é que sempre que vejo alguém usando um desses dispositivos faço duas perguntas: “tem dados sigilosos?” e “o dispositivo é criptografado?” Invariavelmente as respostas são “sim” e “não”, respectivamente.

Outra coisa com relação aos dispositivos móveis deveria ser bastante óbvia: não devemos descuidar nunca dos mesmos. Apesar de serem objetos sólidos, eles têm a peculiaridade de ser “voláteis”, isso é, evaporam com uma facilidade que dá medo. Principalmente quando tiramos os olhos deles.

Outro erro comum é o armazenamento de informações sigilosas em computadores fora do controle do usuário. Isso ocorre quando precisamos fazer alguma alteração em algum arquivo pessoal e baixamos uma cópia no computador que está à mão naquele momento, seja de um parente ou amigo, seja de uma Lan House ou de algum outro local público onde consigamos acesso. O problema não é essa atitude em si, mas sim o fato de muitas vezes não nos lembrarmos de limpar o ambiente após o uso. Isto é, depois que terminamos o acesso aos dados, não os apagamos da máquina, e vamos embora deixando lá informações que podem ser sensíveis. O mesmo cuidado deve ser tomado com os sistemas onde entramos — por exemplo, em nossa conta de Webmail — a partir de máquinas que não são nossas. Será que nos lembramos de clicar no botão de “sair da conta” antes de virarmos as costas? E não adianta dizer “ah, mas eu fecho o browser e desligo a máquina”, pois isso não é suficiente. Muitas configurações de browser gravam, através de cookies, as informações do último indivíduo que entrou nos sistemas que exigem senha. Isso ocorre para todos os sistemas? Não, felizmente, e os sites de banco são honrosos exemplos que evitam essas armadilhas para o usuário. Mas vários sites têm a opção “lembrar”, que quando ativada vai guardar nossas informações a menos que digamos explicitamente que nos desconectem do sistema. Por que isso é um problema? Bem, porque certamente teremos recebido ou enviado informações sensíveis via e-mail, e as mensagens permanecerão na nossa caixa de entrada ou na caixa de mensagens enviadas. Alguém que entre na máquina depois de termos saído sem cuidado, poderá ter acesso às nossas informações.

Um último problema que gostaria de mencionar hoje é o hábito negligente de deixarmos nossos computadores ligados e acessíveis em áreas públicas. Isso ocorre muito dentro de empresas, mas é ainda mais comum em casa ou em locais públicos onde não temos qualquer controle sobre quem entra e quem sai. O mesmo hábito se estende para nossos dispositivos móveis, tais como PDAs e celulares. Vai saber quem mexeu no seu notebook quando você levantou para ir ao banheiro, não é mesmo? E pensar que travar seu micro com uma senha é uma atitude tão fácil...

Bem, estes são alguns dos exemplos mais corriqueiros de como colocamos nossos dados em perigo sem a ajuda de pragas e bandidos virtuais. Vale a pena refletir sobre eles e tomar as atitudes necessárias.

Ajude-nos a melhora os artigos desse site deixando na seção de comentários suas dúvidas, críticas e sugestões.

Até a próxima.

Programa "Plug Eldorado" (link)

Sábado, dia 21/1, fui convidado a participar do programa Plug Eldorado, na rádio Eldorado de São Paulo.

Trata-se de um programa dos professores Pierluigi Piazzi e Tarcisio de Carvalho com dicas sobre informática para usuários domésticos, e eles foram gentis em me convidar para ajudar a responder questões de segurança.

Quem quiser conferir, segue o link.

Fica aqui meu muito obrigado ao Pier, ao Tarcisio e ao pessoal da Eldorado por essa excelente oportunidade de divulgação de informações de segurança para os usuários domésticos. Valeu!

Ameaças para 2010: como prevenir

No último artigo falamos sobre previsões de ameaças para 2010. Hoje veremos como prevenir que tais ameaças se concretizem em nossos computadores.


Clique aqui para baixar o artigo em seu micro para poder carregá-lo em seu mp3-player.

Clique aqui para ir à página com as previsões de ameaças para 2010 feitas pela Freedom Dynamic (é preciso fazer uma inscrição gratuita no site para ter acesso à apresentação).

Para ler esse artigo, clique no botão abaixo.

Como prometido, vamos ver algumas medidas para evitar as ameaças previstas para 2010, comentadas na semana passada na apresentação feita por Jon Collins e Paul Wood, da Freedom Dynamic.

Botnets – As botnets, isto é, redes clandestinas criadas com os computadores infectados de usuários desavisados são criadas através da disseminação de código malicioso. Isso significa que as ferramentas de prevenção e remoção de códigos maliciosos continuarão à frente no arsenal de proteção do usuário doméstico. Para evitar pragas virtuais é mandatório utilizar uma ferramenta de boa reputação, manter a base de assinaturas atualizada religiosamente uma vez ao dia e fazer uma varredura completa dos discos e pendrives pelo menos uma vez por semana. Sugere-se também a adoção de ferramentas de antyspyware e antimalware, tais como o BitDefender e o MalwareBytes, O usuário previdente vai fazer uma varredura de seu computador com ferramentas desse tipo pelo menos uma vez ao mês.

Reputação – para evitar ser ludibriado por inimigos que se aproveitam do quesito reputação, o usuário vai usar uma boa dose de cautela no ano que vem. Quem quiser se proteger vai ser bem lento em dar confiança a pessoas e sistemas novos que vierem via Internet. Muita leitura sobre os recursos que se quer utilizar antes de se clicar nos links oferecidos, e muita atenção ao noticiário de segurança. E nunca esquecer: reputação se conquista, se perde fácil e não se dá à toa.

SPAM – A primeira providência que o usuários deve tomar com relação a SPAM é não se tornar um propagador consciente de SPAM. Nesse sentido, peço a todos os ouvintes e leitores que pensem muito antes de clicar no botão “encaminhar” de seu programa de correio eletrônico. Sugiro um questionamento amplo sobre a utilidade das mensagens que se quer encaminhar, e antes de dizer “sim, é útil”, recomendo uma verificação no Google para ver se não se trata de uma mentira, como tantas que circulam por aí. A segunda sugestão é para que o usuário não se torne um propagador involuntário de SPAM, e para tanto deverá tomar as providências necessárias para que seu micro não vire um zumbi a serviço dos "spammers". O antivírus e a assepsia sugeridos acima são as melhores ferramentas. Para se prevenir do SPAM que chega, dois caminhos podem ser utilizados: a adoção de soluções de Webmail, tais como o GMail, o Yahoomail, o Hotmail e tantos outros, que já têm filtro contra SPAM; e a adoção de software antispam, tais como os que são vendidos junto com os principais antivírus disponíveis. Esses aplicativos geralmente são pagos, e o usuário vai ter que desembolsar dinheiro anualmente para mantê-los, mas são eficazes e bastante úteis.

Especialização do Código Malicioso – o código malicioso voltado para “alvo” específicos deve ser combatido com muita atenção e com as devidas proteções. Estamos falando aqui de ataques que são voltados para determinados profissionais ou categorias, médicos ou executivos, por exemplo. Aquele profissional que usa seu equipamento pessoal para acessar a rede do trabalho deve tomar muito cuidado com seus critérios de navegação e desconfiar sempre de mensagens não esperadas. Elas podem trazer a tiracolo o ataque. Na dúvida, o usuário deve buscar sempre obter mais informações antes de tomar as ações requisitadas por mensagens de correio eletrônico ou por janelas de pop-up em seu computador.

Eventos mundiais – Para evitar ser vítima de golpes desenhados para se aproveitar dos eventos mais proeminentes, uma boa dose de bom senso e outra de desconfiança serão muito úteis. Promoções que pareçam ser boas demais para ser verdade provavelmente serão. A dica principal é não deixar que a ganância cegue o usuário para o golpe à sua frente.

Ataques ao Windows 7 – Quem quiser adotar o Windows 7 deve saber que vai optar por um sistema desenvolvido com a segurança como um de seus conceitos centrais. Os problemas certamente surgirão, obviamente, mas também serão corrigidos com presteza. É claro que a forma de se garantir que as correções serão aplicadas é se utilizando sistemas oficiais, e não obtidos ilegalmente. Pirataria não é atitude de quem se preocupa com a própria segurança.

Perda de dados – Para proteção contra perda de dados, nada melhor do que o bom e velho backup. Um bom processo periódico e disciplinado de backup. Além disso, usar a própria natureza distribuída dos dados pode ajudar. Isto significa usar os vários dispositivos para fazer cópias dos dados mais relevantes, criando redundância quando necessário.

Aí está: algumas sugestões de como combater os problemas levantados.

Até a próxima.

Previsões de ameaças para 2010

Hoje veremos algumas ameaças previstas para “bombar em 2010. Mesmo que algumas delas não venham a se concretizar, é muito bom saber que são possibilidades e conhecer um pouco sobre elas.


Clique aqui para baixar o artigo em seu micro para poder carregá-lo em seu mp3-player.

Clique aqui para ir à página com as previsões de ameaças para 2010 feitas pela Freedom Dynamic (é preciso fazer uma inscrição gratuita no site do The Register para ter acesso à apresentação).

Para ler esse artigo, clique no botão abaixo.

Essa semana assisti a uma apresentação na Internet feita por Jon Collins e Paul Wood, da Freedom Dynamic, que falaram sobre previsões de ameaças para o ano de 2010. Algumas das previsões são bem fáceis de fazer, e outras são inusitadas, mas todas são muito importantes, e fornecem para os mais cuidadosos um mapa de caminhos a serem seguidos e perigos a serem evitados no ano que vai começar. Vamos ver algumas dessas previsões que penso serem bastante úteis ao usuário doméstico.

Botnets – Os botnets, ou seja, as redes clandestinas formadas por software malicioso (vírus e worms) estão melhorando em termos de tecnologia, tornando-se mais resistentes e mais difíceis de derrubar. Os botnets agem em dois níveis. Em primeiro lugar, criam uma gigantesca rede de computadores, usando os ciclos de CPU, a memória e o disco dos usuários para rodar programas que exigem grande capacidade de processamento. Os exemplos são os craqueadores de senhas e os emissores distribuídos de SPAM. No segundo nível, cada “bot” instalado em cada máquina pode agir individualmente como spyware, buscando informações dos usuários da máquina e os enviando para os criadores.

Reputação – reputação é uma arma importante para os bandidos, e em 2010 eles vão buscar realizar seus ataques através de sites de boa reputação. Em uma variação da questão da reputação, os bandidos usarão com mais ênfase os sites de relacionamento e o Twitter para angariar informações que lhes deem acesso às vítimas. As vítimas passam a acreditar nos bandidos, crendo-os indivíduos de boa reputação pelo fato de saberem coisas sobre elas.

SPAM – Hoje 90% das mensagens enviadas pela Internet são não solicitadas, e o crescimento da banda larga continuará contribuindo para o aumento dessa porcentagem que já é absurda. O crescimento dos botnets, como comentado acima, ajuda bastante no crescimento do SPAM. Bill Gates previu que a evolução dos sistemas operacionais acabaria com o SPAM, mas a evolução da tecnologia também é útil para os bandidos, que continuam desenvolvendo técnicas para enviar seu lixo eletrônico. Por exemplo, as redes de relacionamento já começam a sofrer com o problema do SPAM, e a situação tende a piorar no ano que vem.

Especialização do Código Malicioso – Além das pragas generalizadas, é de se esperar que os códigos maliciosos vão se especializar cada vez mais para atacar sistemas específicos. Por exemplo, os vírus específicos para o iPhone e para máquinas de votação eletrônica (que poderiam mudar o resultado de uma eleição), os cavalos de tróia desenvolvidos especificamente para roubar um tipo específico de informação de um grupo específico de usuários.

Eventos mundiais – Espera-se que golpes multimilionários tenham como alvo a Copa do Mundo na África do Sul, por exemplo. Redes falsas de vendas de ingressos e sites de phishing com supostas informações oficiais encontrarão milhões de possíveis vítimas

Ataques ao Windows 7 – Essa é uma previsão fácil de se fazer, uma vez que o Windows 7 é um produto novo, quase sem tempo nenhum de estrada. E software sem teste de campo, feito por milhões de usuários ao longo das tarefas do dia-a-dia, é um prato cheio para os bandidos. Ainda vamos ouvir muito acerca de vulnerabilidades do tipo “Zero Day” no Windows 7, exatamente como a que já apareceu na semana passada. Isso serve de demonstração que o Windows 7 é um sistema operacional ruim? Absolutamente não. Só demonstra que é natural todo software apresentar falhas, nada mais.

Perda de dados – Já falamos aqui sobre a importância do backup, e em 2010 a necessidade de desenvolvermos essa disciplina só vai fazer crescer. É natural, não é mesmo: afinal de contas nossa massa de dados só cresce, e se torna cada vez mais distribuída. Hoje temos dados no HD do micro, no HD do Laptop, na memória e no chip do celular, no pendrive, no PDA, no MP3 Player e por aí vai. Cada vez mais substituímos nossas anotações e dados em papel pelos equivalentes digitais, tornando-nos sempre mais e mais dependentes do armazenamento em meio magnético, óptico ou em memória flash. É natural que os desafios da preservação desses dados só cresçam no ano que vêm.

Hoje falamos sobre os problemas previstos. Na segunda-feira falaremos sobre como evitar essas ameaças, permitindo que o usuário doméstico navegue em 2010 com mais controle sobre esses perigos.

Bom fim de semana e até a próxima.

Programa "Plug Eldorado"

Neste sábado estarei no programa Plug Eldorado, com os professores Pierluigi Piazzi e Tarcisio de Carvalho. O assunto, claro, é segurança, e estaremos respondendo as perguntas dos ouvintes.

Quem for de São Paulo e quiser prestigiar, o programa vai ao ar no sábado, 21/11 às 14:00. Aos demais, colocarei u link para o programa assim que a página do Intermatica (que hospeda os programas) for atualizada.

Algumas técnicas de engenharia social

Que tipo de técnica o engenheiro social usa para perpetrar seus golpes?Ouça no artigo de hoje.


Clique aqui para baixar o artigo em seu micro para poder carregá-lo em seu mp3-player.

Clique aqui para ler o artigo de Jamey Heary sobre a engenharia social.

Para ler esse artigo, clique no botão abaixo.

Muitos golpes on-line contam com a inestimável ajuda da engenharia social, e é interessante conhecer algumas técnicas usadas pelos bandidos com o objetivo de conseguir com que façamos o que eles querem. Li um artigo interessante publicado recentemente por Jamey Heary, que é especialista de segurança da Cisco, citando seis técnicas muito eficientes usadas por engenheiros sociais. Vamos a elas:

Técnica 1 – Familiaridade. Nada nos faz abrir o bico sobre coisas que deveríamos manter sob sigilo do que termos familiaridade com quem estamos interagindo. Os engenheiros sociais vão buscar essa familiaridade de varias formas, que no fim dão no mesmo: desenvolvem um relacionamento com a vítima, que a partir daí passa a agir de forma mais relaxada e tende a abrir informações e tomar ações só porque os bandidos pedem.

Técnica 2 – Agir de forma hostil. Ninguém gosta de estar próximo a alguém que esteja fumegando de raiva. Fazemos coisas que normalmente não faríamos quando estamos diante de alguém que está alterado, à beira de um ataque de nervos. Os engenheiros sociais costumam criar situações assim quando querem ser deixados em paz. Simulam brigas com seus celulares, xingam, gesticulam, prometem retaliações pesadas contra seus inimigos imaginários. Enquanto isso, vão em frente com o mínimo de importunações. Porém, é interessante que nunca briga com suas potenciais vítimas. A briga é sempre com alguém externo aos seus objetivos.

Técnica 3 – Armazenamento e uso de informações. Antes de atacar, o engenheiro social vai aprender tudo o que conseguir sobre a vítima. Antes de usar a técnica 1, da familiaridade, por exemplo, o engenheiro social vai juntar uma quantidade enorme de informações sobre a vítima. As redes sociais são ótimos locais para começarem, mas se necessário vão até seguir a vítima, entrevistar conhecidos e por aí vai. Sabendo com quem vão lidar fica bem mais fácil desenvolver um relacionamento e conseguir o que se procura.

Técnica 4 – Arrumar um emprego ou prestar um serviço na empresa ou na casa que se quer atacar. Essa técnica é usada por muitos bandidos que roubam casas, por exemplo. Pouquíssimos são os moradores que verificam antecedentes de prestadores de serviço antes de os contratarem. E como resultado, há inúmeras histórias de roubos semanas ou meses depois. Os bandidos sabiam exatamente onde os valores se encontravam. Claro, tiveram todo o tempo do mundo para descobrir quando estavam fazendo algum serviço na reforma da casa.

Técnica 5 – Ler e reagir à linguagem corporal. Aquele livro antigo, mas muito útil do Roland Tompakow intitulado “O Corpo Fala” é muito útil ao engenheiro social também. Ele sabe interpretar as ações não verbais da vítima, e reage com maestria a essas ações. Aliás, engenheiro social que se preze conhece muito de programação neurolinguística, e vai utilizar técnicas bastante eficazes no sentido de deixar sua vítima bem à vontade e se sentindo bem importante. Assim vai poder explorá-la com facilidade, claro.

Técnica 6 – Sexo. Se a vítima for um homem e o engenheiro social for uma mulher, as chances de sucesso automaticamente aumentam. Basta ela assumir um certo ar de disponibilidade e mostrar interesse pelo imbecil, digo, pela vítima. Em inúmeros casos o homem tende a baixar a guarda para mulheres que se mostram simpáticas e disponíveis. O contrário funciona? Claro que sim. O próprio Kevin Mitnick, lendário engenheiro social americano, chegou a namorar uma secretária com o objetivo único de obter informações sigilosas.

A essas seis técnicas sugeridas por Heary eu adicionaria uma sétima: a impressão da autoridade. O engenheiro social se veste bem, tem modos enérgicos mas contidos, uma expressão séria e confiante no rosto, e em muitos casos não pede: exige. A vítima se sente coagida a cooperar, assumindo que está diante de um superior hierárquico.

E como podemos nos defender dessas técnicas? Bem, o próprio autor alerta para o fato de não existirem ferramentas de software ou de hardware que façam essa prevenção. Não inventaram ainda o “detector de engenheiro social”, e nem vão inventar. Só o que resolve é a conscientização e o treinamento. Conhecer as técnicas e aprender como evitar cair nelas é um processo que exige empenho, mas é o único que dá bons resultados.

Ajude-nos a melhorar a qualidade dos artigos desse site deixando na seção de comentários suas dúvidas, críticas e sugestões.

Até a próxima.

Dá para confiar no "5 Minutos de Segurança"?

Eu sugiro que o ouvinte desconfie de tudo e de todos, mas peço sua confiança. Isso não é uma contradição? Ouça no artigo de hoje.


Clique aqui para baixar o artigo em seu micro para poder carregá-lo em seu mp3-player.

Para ler esse artigo, clique no botão abaixo.

O ouvinte IDGPOL fez um comentário interessante, que penso merecer uma avaliação mais detalhada. Vamos a ele:

“Você fala de segurança, investimento e tal... porém você coloca um blog cheio de 'clique aqui' para ouvir ou ler. Você sabe o quanto um blog é prato cheio para 'os tais crimes'. Quanto ao seu não é diferente.”

Como eu disse na minha réplica ao seu comentário, IDGPOL, você tem uma boa dose de razão. De fato eu alerto muito aos cuidados a serem tomados pelo usuário moderno quanto aos “cliques” que esse usuário executa em suas navegações. Por que esse usuário não deve tomar cuidado com os cliques que eu sugiro em meus artigos? Bem, a verdade é que ele deve sim desconfiar de meus cliques. Não sou diferente de ninguém. Eu coloco links em meus artigos para mostrar ao usuário que as informações apresentadas nesse espaço têm procedência. Não digo as coisas de minha cabeça, e os dados que apresento são fundamentados em pesquisas e relatos de fontes que considero idôneas. Em suma, coloco os links para não ser acusado de inventar coisas e para incentivar o usuário a aprender um pouco mais sobre os assuntos expostos.

Até porque, eu — que vivo reclamando de informações encaminhadas por e-mail que não tem o menor grau de veracidade — sinto uma baita necessidade de agir diferente, isso é, de embasar o que digo em informações e dados verdadeiros. O contrário, IDGPOL, seria escrever na base do “achismo”, e perpetuar a propagação de disse-me-disse. Se acho essas práticas abomináveis, tenho que dar o exemplo de como creio que as coisas devam ser feitas. E acredito piamente no valor de se apresentar as fontes que comprovem uma afirmação.

Agora, se o usuário doméstico vai confiar em mim e nos links que disponibilizo, isso é outra questão. Aliás, se esse usuário está prestando atenção no que digo, é bom que desconfie mesmo. Lembro de uma piada dos meus tempos de criança: o pai chega par ao filho e diz “filho, você não pode confiar em ninguém nessa vida, viu?” ao que o filho responde “OK, papai”; o pai diz “Filho, coloca o dedo aqui na mesa”, e quando o filho coloca, o pai dá-lhe uma martelada no dedo, dizendo”viu, filho? Não pode confiar nem no papai.”

O princípio é o mesmo: se meus links parecerem estranhos, isso é, se são parecerem legítimos no canto inferior esquerdo do browser quando o usuário passa o mouse sobre ele, então o mais adequado é não clicar. Não peço para mim nenhum privilégio nesse quesito, e se os leitores e ouvintes resolverem não clicar nos links que sugiro por desconfiarem dos mesmos, ficarei feliz, pois essa é uma demonstração de que estão pensando em sua segurança.

Você afirma que um blog é um prato cheio para “os tais crimes” e que o meu não é diferente. Mais uma vez, estou com você e não abro, IDGPOL: é isso mesmo. Eu só acrescentaria que a segurança do 5 Minutos de Segurança não é nada diferente da segurança oferecida pelo Blogger, que é o serviço que uso para publicar meus artigos. No mais, uso senhas fortes, que são trocadas periodicamente (afinal de contas, casa de ferreiro, espeto de ferro, não é mesmo?) e estou constantemente revisitando os artigos antigos para ver se não houve alterações nos mesmos desde que os publiquei. Mas de novo, isso é o que eu estou dizendo, nada mais. Se o usuário não confiar, melhor mesmo não visitar minhas páginas. Ficarei feliz ainda outra vez, pois será outra evidência de que o usuário está empenhado em zelar por sua segurança.

Aqueles que quiserem continuar a se aventurar por meus artigos,vão me encontrar sempre aqui. E, claro, estarei sempre “de butuca” na segurança oferecida pelo site e por esse blog.

Ajude-nos a melhorar a qualidade dos artigos desse site deixando na seção de comentários suas dúvidas, críticas e sugestões.

Até a próxima.

A Segurança dos principais browsers

Qual é o browser mais seguro? Ouça no artigo de hoje.


Clique aqui para baixar o artigo em seu micro para poder carregá-lo em seu mp3-player.

Clique aqui para ler o relatório da Cenzic (PDF).

Clique aqui para ir à página da Scanit e testar a segurança de seu browser.

Para ler esse artigo, clique no botão abaixo.

Um leitor anônimo pergunta:

“Qual o browser mais seguro?”

Trata-se de uma pergunta que exige um critério sério para ser respondida, para não corrermos o risco da leviandade. Em primeiro lugar porque existem muito mais browsers disponíveis no mercado do que a meia dúzia que a maioria das pessoas conhece. Uma lista de compatibilidade com o teste “Acid3 mostra nada menos do que 35 browsers ainda em uso para navegação na Web.

Para fins de comparação, vamos nos ater aoscincoo seguintes: Microsoft Internet Explorer, Mozilla Firefox, Apple Safari, Google Chrome e Opera, que juntos detêm mais de 99% do mercado.

O browser Opera tem uma vantagem logo de cara: com pouco mais de 1,5% do mercado, é o menos utilizado de todos os cinco “grandes”. Isso é uma vantagem, pois os hackers sentem-se menos estimulados a encontrar falhas nele, pois o tempo despendido nessa atividade seria o mesmo para encontrar falhar em um browser mais popular, com potencial de atingir muito menos usuários no caso do Opera. O Opera ainda apresenta dois destaques de segurança: a exposição do dono do certificado em caso de uma conexão criptografada (com seu banco, por exemplo), demonstrando que aquele certificado é válido e pertence de fato à parte com quem você quer se comunicar; e a exposição do endereço real da página em uma janela de pop-up (que às vezes é deliberadamente escondido por quem criou o código da página).

O Google Chrome vem bem recomendado no quesito segurança, com listas internas de sites maliciosos e sites que tenham sido invadidos e neles haja código malicioso. Como esta lista vem do próprio Google, isso é, do maior indexador de sites e páginas do planeta, é uma característica e tanto. Também oferece o modo incógnito de navegação, que permite que o usuário mantenha sigilo de suas andanças na Internet. Ótimo para quem navega de locais públicos, como lan houses, e não quer que os outros saibam por onde se esteve. Essa característica também é muito apreciada por adolescentes que costumam se trancar no banheiro por longos períodos de tempo.

Para os usuários de computadores da Apple, o Safari é sempre uma opção, mas segundo uma avaliação do especialista Roger Grimes, da Revista InfoWorld, apesar de ter boas ferramentas de segurança acopladas, a segurança em si não é o ponto forte do Safari. Foram varias as vulnerabilidades descobertas até o início do ano e tendo dificuldade no gerenciamento de senhas e na criptografia forte de comunicações. A grande vantagem do Safari no quesito segurança é ser uma excelente alternativa quando rodado nos sistemas operacionais da Apple, evitando a miríade de pragas virtuais desenvolvidas para as várias versões do Windows.

O Firexo, da Mozilla, já é o segundo browser mais popular entre os usuários da Internet no mundo, com 26% do mercado. A versão 3.5 conta com todas as características de segurança de seus concorrentes, inclusive o modo incógnito, a avaliação de certificados digitais e as listas de sites maliciosos, controle para pais e bloqueios anti-phishing. Conta também com inúmeros plugins de segurança que o usuário pode baixar gratuitamente e “turbinar” seu browser. Nas listas de discussão e nos comparativos da Web geralmente é muito bem posicionado, vencendo vários “desafios” entre browsers.

O Internet Explorer nasceu como um browser sem muita sofisticação no quesito segurança, mas a versão 8, atualmente disponível para o usuário resolve inúmeros dos problemas anteriores. Teve bons resultados nos testes pré-lançamento, sendo que as vulnerabilidades encontradas nas versões 7 e 6 foram corrigidas. Quanto às ferramentas internas de segurança, uma chama a atenção pela praticidade: o destaque nas URLs visitadas, dando mais ênfase aos pontos normalmente ignorados dos endereços que visitamos. O objetivo é facilitar a identificação de ataques de phishing, e os usuários que se disciplinam a usar essa ferramenta conseguem uma boa taxa de rejeição a sites falsos.

No geral, todos os browsers apresentam boas características de segurança, e o que uns têm de diferente na configuração nativa, outros podem acrescentar na forma de plugins. O Internet Explorer e o Firefox são geralmente considerados os dois que se destacam ligeiramente, mas um estudo recente da Cenzic traz uma informação inusitada e importante: no primeiro semestre de 2009 o Firefox foi responsável por 44% das vulnerabilidades encontradas em browsers, seguido pelo Safari com 35%, depois pelo Internet Explorer com 5 e finalmente pelo Opera com 6%. Uma notícia preocupante para quem, como eu, é fã do Firefox.

É isso, anônimo. Espero ter dado alguns elementos para que você faça a escolha mais adequada. E antes que você reclame que eu não dei uma resposta direta à sua pergunta, saiba que é porque a mesma não tem uma resposta só. Diferentemente dos anti vírus, que contam com pesquisas independentes apontando um claro vencedor, no caso dos browser a briga é mais “parelha”. Vale um estudo e uma decisão baseada nas suas próprias conclusões.

Ajude-nos a melhorar a qualidade dos artigos desse site deixando na seção de comentários suas dúvidas, críticas e sugestões.

Até a próxima.

Segurança dá trabalho, mas vale a pena

Será que é mesmo possível adotarmos um procedimento seguro na Internet? Ouça no artigo de hoje.


Clique aqui para baixar o artigo em seu micro para poder carregá-lo em seu mp3-player.

Para ler esse artigo, clique no botão abaixo.

Fui interpelado por um amigo esse fim-de-semana, que apesar de achar importante a preocupação com segurança na Internet, disse achar muito difícil fazer tudo o que sugiro em meus artigos. Conversamos um pouco acerca do assunto, e na percepção dele as dicas passadas nessas páginas são úteis, sim, mas para segui-las à risca o usuário fica muito “engessado”. São muitos os aspectos a serem observados, muitos cuidados a serem tomados, muitos perigos a serem lembrados, e no fim das contas, o prazer da navegação vai embora, e mesmo assim a gente não consegue fazer tudo do jeito certo.

Percebi que a preocupação dessa pessoa pode ser a preocupação de outros leitores e ouvintes desse espaço, e creio que seja útil endereçar a questão. Vamos lá.

Nem de longe eu subestimo as dificuldades enfrentadas pelo usuário doméstico na busca por se manter seguro em suas interações com computadores e com a Internet. Sei muito bem que o esforço é enorme, e que as dificuldades para se criar um comportamento adequado são inúmeras. Eu também já estive lá, isso é, também já achei “um saco” essa história de segurança, e muitos foram os momentos em que pensei que um comportamento on-line que pudesse ser considerado seguro era impossível. Aliás, se eu for honesto comigo mesmo vou perceber que ainda existem alguns pontos que não são fáceis de seguir, e não é raro eu aprender alguma coisa nova que ando fazendo errado e que precisa ser corrigida.

Não serão essas dificuldades todas um indício de que aquilo que costumo classificar como “comportamento adequado” é algo impossível de ser atingido na prática? Não, penso que não. E, claro, explico porquê.

O zelo pela segurança é um processo complicado, obviamente. Dá um baita trabalho e exige atenção constante por parte do usuário. Contudo, não é diferente de inúmeros processos e disciplinas que já desenvolvemos ao longo da vida. As dificuldades são oriundas da falta de hábito, e da curva de aprendizado que exige que criemos familiaridade com vários conceitos e procedimentos que antes nos eram desconhecidos. São muitas as coisas com que precisamos aprender a cuidar, e é natural a frustração quando nos esquecemos de algumas delas. É natural também que nos frustremos quando fazemos uma varredura no disco esperando encontrá-lo limpo e lá encontramos ainda algum software malicioso que não sabemos de onde veio. Infelizmente, isso ainda vai acontecer muito, e de vez em quando ocorre mesmo com os experts no assunto.

Ainda assim, o único caminho responsável a seguir é enfrentar essas dificuldades e frustrações. Aos poucos os procedimentos vão entrando “no sangue”, vão ficando mais naturais. Pode até demorar, mas o fato é que chega uma hora em que deixamos de enxergar nossos procedimentos de segurança como empecilhos ou como estorvos. Passamos a vê-los como ferramentas úteis, e nos sentimos mais seguros em nossas andanças virtuais.

Demora? Sim, demora. Dá trabalho? Ô se dá trabalho. Mas certamente vale a pena. Principalmente porque permite que troquemos a tranquilidade proporcionada pela ignorância pela segurança adquirida pelo conhecimento. E um dia olhamos para nós mesmos e percebemos que aprendemos a nos cuidar. Nesse momento, se olharmos para trás, perceberemos que o aprendizado realizado na disciplina da segurança nem terá sido assim tão complexo. Nunca ouvi ninguém que já tenha trilhado esse caminho dizer que não valeu a pena.

Até porque o contrário é muito pior. Lembro-me de uma frase famosa de Derek Bok, quando era reitor da Universidade Harvard. Em tradução livre, ele disse: “Se você pensa que a educação é um processo custoso, imagine a ignorância.”

Ajude-nos a melhorar a qualidade dos artigos desse site deixando na seção de comentários suas dúvidas, críticas e sugestões.

Até a próxima.