Como o Anonymous tirou do ar os sites dos bancos?

Semana passada aconteceu uma série de ataques a sites de bancos brasileiros promovido pelo grupo hacker Anonymous. Sites dos principais bancos brasileiros como o Itaú, Bradesco, Banco do Brasil, Caixa Econômica Federal, Santander, HSBC e o site do Banco Central sofreram com instabilidade e até mesmo ficaram indisponíveis por um certo período, durante os ataques. O intuito do grupo hacker é protestar contra a corrupção, pois os bancos acabam agindo como intermediadores financeiros no processo corrupto.

A técnica usada pelo Anonymous é chamada de DDoS (Distributed Denial of Service) que é um ataque distribuído de negação de serviço. Para entendermos como isso funciona, precisamos conhecer como funciona um serviço da web e como funciona um ataque de negação de serviço comum.

Um serviço da web recebe requisições (pedidos de conexão) por parte dos clientes (os usuários dos navegadores). Quando se acessa o site, o servidor da web recebe um pedido de conexão e devolve com os arquivos disponíveis ou pedidos pelo cliente. Os pedidos são tratados pelo servidor, sendo que os válidos, responde com as informações pedidas, e as inválidas, devolve páginas com mensagens de erro. No caso do DoS (Denial of Service), é feita uma grande quantidade de requisições inválidas ou incompletas deixando o servidor ocupado, pois mesmo sendo uma solicitação inválida, o servidor somente saberá que é quando ler a informação recebida. Durante o recebimento e o tratamento da requisição, um espaço de conexão fica reservado. A ideia é deixar o servidor ocupado deixando todos os espaços de conexão reservados, pelo disparo de informações inválidas. Quando todos os espaços estiverem ocupados, o servidor pára de atender requisições, passando a rejeitar novas conexões, negando a prestação do serviço (daí o nome). Com isso, o servidor pára de fornecer páginas e  o site sai do ar.

O ataque distribuído é similar ao DoS convencional, diferenciando pelo fato de não ser um, mas milhares de computadores enviando dados inválidos ao mesmo tempo. Geralmente um servidor web possui um sistema de monitoramento que identifica um computador que efetua um ataque DoS e passa a sistematicamente bloquear o acesso ao servidor. Mas no ataque distribuído, milhares de computadores fazem a investida, deixando até mesmo os sistemas de detecção de ataques sobrecarregados. Assim, o servidor web fica sem defesa e acaba caindo. O ataque distribuído utiliza-se de uma grande quantidade de dispositivos, que na maioria dos casos, não sabem que estão atacando um site. Estes computadores, costumeiramente chamados de "computadores zumbis", são computadores infectados por vírus que, por sua vez, são controlados remotamente por hackers. No momento do ataque, os hackers apenas enviam comandos aos computadores infectados para atacar o site. Outros servidores invadidos também realizam o ataque, paralizando os sites que se tornaram alvo.
Um risco de um ataque do tipo DoS, além de tornar um serviço inoperante, pode ser parte de uma estratégia de ataque mais complexa e elaborada com o intuito de acessar outros sistemas e roubar dados. Isto pois primeiramente, uma instabilidade pode provocar falhas em outros sistemas, permitindo um acesso indevido. O trabalho invasivo também é uma forma de distrair analistas de sistemas e softwares de controle de acesso e detecção de intrusos, enquanto outros métodos de ataque seriam utilizados. Apesar dos transtornos causados, analistas garantem que os ataques não colocaram em risco dados bancários ou patrimônio financeiro dos correntistas. Entretanto, deve-se tomar cuidado ao realizar operações bancárias na internet.

Resumo do módulo de Firewall

Seguem o resumo comentado dos temas do módulo Firewall:

1. Definição de Firewall e Incidentes de Segurança (Capítulos 1, 2 e 3, pag. 4 a 9) - Trata das definições de firewall e todos os cuidados que devemos ter para manter uma rede segura. Também ilustra as possíveis ameaças e os desafios que um administrador de firewall terá.
2. Particionamento do Disco Rígido (Capítulo 4, pag. 10 a 13) - Mostra a importância em distribuir o sistema Linux em diversas partições, e mostra alguns recursos para evitar o disco cheio tais como a adoção de Quotas de usuário e opções especiais de montagem.
3. PAM, Segurança básica local - (Capítulo 5, pag. 14 a 35) - Trata do PAM (Módulos de autenticação Plugáveis) que associados ao LDAP, proporcionam um sistema unificado e seguro de autenticação.
4. AIDE: Verificação da integridade do sistema (Capítulo 6, pag. 36 a 42) - Mostra o funcionamento da ferramenta AIDE, que é um utilitário que verifica a integridade de arquivos, através de seu checksum.
5. Bind em ChRoot (Capítulo 6, pag. 43 a 46) - Mostra como "enjaular" o serviço de DNS do Linux.

O “Big Brother Digital”

Hoje, na Aula de TI ao abordar sobre DNS, falei sobre alguns aspectos das comunicações de rede e os alunos contribuiram bastante com questionamentos e opiniões que me permitiram a ter a inspiração necessária para escrever este artigo. Vivemos sobre um momento de intensa imersão tecnológica, e junto com ela, os dispositivos de controle e segurança nos expõe a uma situação similar a um Reality Show, um enorme “Big Brother Digital”. O carater mundial e imune a leis locais coloca a internet em um território livre, porém, não se pode afirmar que é um ambiente impune, pois tudo o que é produzido na internet, se não for adequadamente e habilmente despistado, é facilmente rastreável. Exemplos não faltam e tecnologias são diversas que ajudam ou atrapalham neste pro processo.
Vamos começar com algumas tec brnologias que enganam sistemas restritivos, a começar pelo episódio ocorrido no Egito em que o governo simplesmente bloqueou o acesso às redes sociais naquele país, no início dos protestos que culminaram com a queda de Hosni Mubarak. A primeira e mais simples estratégia dos manifestantes a agirem nas redes sociais foi substituir os endereços de domínio pelos respectivos endereços ip dos servidores. Assim, em vez de acessarem www.facebook.com era digitado seu endereço IP (69.63.189.39) e acessavam a rede social. Este recurso também é muito usado para burlar um servidor proxy em uma rede local. Mas com a busca DNS reversa é possível bloquear um domínio, mesmo acessando-o pelo endereço IP, para muitos servidores proxy atuais.
Uma outra coisa que acontece é quando um serviço ou site é excusivo para acesso a um país. Isto é muito comum nos EUA quando não é possível acessar um serviço online pois informa que este “não esta disponível para seu país”. Estes serviços utilizam recursos de Geolocalização IP ou GeoIP. Por meio do IP do Computador é possível saber onde este computador se encontra. Este serviço chega a substituir o GPS em dispositivos móveis pelo seu grau de precisão, chegando a poucos metros. Um exemplo de uso é o aplicativo Google Maps para celulares. É possível tornar seu telefone um GPS, mesmo não tendo o recusro, pois o programa analisa a conexão de dados e a força do sinal celular para indicar sua localização com uma precisão que chega até a alguns metros, pouca diferença frente ao aparelho GPS. Voltando aos sites proibidos para um país, a solução para acessar o site é através de servidores proxy públicos no próprio país onde o site está hospedado. Assim, o site é enganado pois a requisição parte de um servidor próximo e a encaminha até seu computador. Outro recurso utilizado para burlar sistemas de geolocalização é o Mascaramento de IP. Este recurso permite que um computador tenha acesso a uma rede a qual não pode acessar diretamente, através de um roteador que intermedia as conexões. Mas para o servidor que recebe a conexão, a informação que recebe é que a conexão partiu do roteador e não da máquina cliente.
Muito falou-se sobre invasões. Invadir redes sociais, roubar senhas e enganar pessoas. Há recursos que permitiriam invadir sistemas, mas houve uma mudança de foco: de invadir os sistemas, para utilizar recursos de engenharia social para enganar pessoas. Um dos problemas mais sérios em servidores em relação a ataques ou golpes virtuais é o envenenamento de DNS no qual é alterada a entrada DNS para indicar a um site falso. Caso desconfie que o servidor DNS ao qual está conectado foi atacado ou envenenado, altere as configurações DNS do computador para apontar para os servidores DNS públicos do Google: 8.8.8.8 ou 8.8.4.4.
Fui questionado sobre a possibilidade de invasão de perfis em redes sociais, mas informei que a possibilidade é pequena, pois as páginas são construídas em linguagens server-side, ou seja, o código da página é interpretado pelo servidor, e conforme as informações recebidas pelo cliente por meio de formulários, sessões, cookies ou query strings, são apresentados os resultados na linguagem HTML de modo ao usuário não ter acesso à qualquer parte do código que gerou o conteúdo. Uma forma de obter uma invasão é explorando uma falha de código, mas isto requer um conhecimento parcial dele. Além disso, grandes redes sociais tratam suas páginas como projetos de software, no qual uma equipe de desenvolvedores analisam cada parte do código do site, verificando os possíveis erros e tratando-os de modo a não revelar falhas ou expor os seus usuários a riscos.
Como havia abordado anteriormente, o foco dos ataques passou a ser no usuário. Utilizando técnicas de engenharia social, ou mesmo, de métodos persuasivos, os cybercriminosos tentam convencer as pessoas incautas a fornecer dados bancários ou pessoais. De posse desses dados, eles podem realizar transações e roubar dinheiro das pessoas. Mas é um ledo engano achar que esta vida de farsa desses criminosos virtuais é impune. É facílimo rastrear operações fraudulentas pela internet. A primeira forma de rastrear é através das conexões. Todas as transações passam por roteadores e provedores de acesso costumam registrar as conexões podendo rastrear sua origem. É possível ainda determinar por qual telefone conectado a um modem ADSL ou Cable Modem essa conexão partiu. A outra é por meio das transações efetuadas. Um falsário mal sabe que todos os caixas eletrônicos possuem câmeras que registram o rosto do cliente que realizou a transação. Transações por telefone são rastreadas pelo número chamador, mesmo que ele o faça de um celular e oculte a identificação de chamada. Em suma, é uma grande mentira achar que um crime virtual é um crime perfeito.
Também é uma grande mentira achar que sistemas de cartões de crédito com chip são seguros. Em alguns casos eles são até mais inseguros que os cartões de tarja magnética, pois no chip são salvos todos os dados, inclusive a senha. Utilizando equipamentos leitores chamados “Chupa-cabras”, os dados do chip são lidos e salvos para que possam ser copiados para outros cartões, daí a clonagem de cartões. Mas aí que também é passível de rastreamento. Temos algumas operadoras de sistemas de pagamentos de cartões sendo as mais conhecidas a Cielo, Redecard e Santander. Por ser poucas redes, também é fácil rastrear transações de um cartão.
Um criminoso qualquer não conseguirá se sair impune e fugir com um cartão de crédito e um celular. Isto pois as transações do cartão, efetuadas online, e as trocas de dados entre o telefone e as antenas de celular podem traçar a rota de fuga com extrema precisão e facilidade. Tendo acesso a esses dados, a polícia localizaria um bandido onde quer que esteja, se estiver portando estes objetos.
Um caso que estarreceu o Brasil, foi o massacre do Realengo em 07/04, onde Wellington de Oliveira invadiu a escola municipal Tasso da Silveira e abriu fogo contra alunos matando 12 e ferindo outras pessoas, se suicidando, em seguida. Wellington não tinha amigos e passava o dia inteiro no computador, e antes de executar o massacre, ele queimou o aparelho. Se foi para eliminar provas que elucidaria a causa do crime, Wellington foi muito ingênuo por duas razões. A primeira é que uma perícia detalhada poderá obter dados de seu disco rígido, mesmo danificado. E a segunda, mais abrangente será rastrear suas conexões antes do crime, através de seu provedor de acesso. Assim poderia encontrar quais foram os sites que ele estava acessando antes do crime.
Um caso recente em que a tecnologia elucidou um crime foi no mês passado, no Rio de Janeiro, onde uma menina foi encontrada morta em um quarto de hotel. A criminosa, que era amante do pai da menina, foi descoberta pelo Bilhete eletrônico, que registrou sua passagem no ônibus, que por sua vez, possuía GPS, que identificou sua localização, e ainda, o veículo possuía câmera que registrou a assassina e a menina no ônibus, sendo assim provas irrefutáveis de sua culpa.
O Brasil parte para uma solução tecnológica que visa acabar com fraudes e impunidade com o novo RG, chamado RIC (Registro de Identificação Civil). Este documento substitui todos os outros e possui recursos aprimorados de segurança para coibir fraudes, e possui abrangência nacional. O grande problema do RG, é que este documento é emitido por estado, e assim, pode-se burnar sistemas estaduais (que não se comunicam) para que se emitam novos documentos fraudados, mas legítimos.
O grande entrave ainda é a questão legal. Muitos crimes virtuais podem ter seus julgamentos se arrastando por anos por entraves legais como não previsão e enquadramento destes crimes, possíveis recursos, etc. Mas está em tramitação no Congresso Nacional um projeto de lei sobre crimes virtuais.
Por fim, vimos que é possível, com o uso da tecnologia detectar e rastrear crimes e falhas de modo a tornar o ambiente virtual mais justo e mais seguro. Mas apenas isto não é suficiente. É preciso preparar e conscientizar o usuário sobre a prática da computação segura, para que não se torne presa fácil de pessoas mal-intencionadas.

Ubuntu 11.10: agora com kernel 3.0

O pessoal da Canonical deu um passo a frente com a nova versão de sua distribuição Ubuntu. Além de uma repaginada no visual com a nova versão da interface Ubiquity, o coração do sistema é também novo. Se não me engano, é a primeira distro popular a vir com o kernel 3.0 de fábrica. O kernel é o núcleo do sistema operacional onde se encontram as funções que controlam o computador e também dispositivos, execução de programas além da interface com o usuário.

Apesar na mudança da versão, não houve diferenças significativas entre as versões 2.6 e 3.0. O que houve foi uma mudança na maneira em que as versões foram batizadas, onde a versão do kernel deixou de ser composta por 4 números e sim por três. A versão anterior era a 2.6.40.2 enquanto a nova versão passou a ser 3.0.2, por exemplo. O segundo número da identificação de versão deixou de ser utilizado. Essa mudança na nomenclatura das versões faz parte das comemorações dos 20 anos do kernel do Linux. A nova versão do Kernel foi anunciada por Linus Trovalds, o criador do Linux, em junho deste ano.

O novo Ubuntu conta com mudanças na interface e na tela de login, permitindo uma pessoa entrar como convidado no computador. Conta com novas versões de aplicativos populares como o LibreOffice, Firefox, e mudou o seu cliente de e-mail: sai o Evolution e entra o Mozilla Thunderbird em seu lugar.

Dar nome aos bois

Em tecnologia, a lógica é fator determinante para quase tudo. Em um campo de atuação onde a técnica e a exatidão são exigidas, qualquer ação sem propósito pode culminar em fracasso. E para que isso não ocorra, é preciso se utilizar de embasamento lógico, ou de uma técnica que permita a solução do problema de maneira eficiente.
Asssim, buscar ao máximo a organização dos recursos de trabalho, permite agilizar o processo de concepção, de correção de eventuais desvios ou ainda de modificação de projetos em qualquer área de atuação tecnológica.
E dar a nomenclatura certa a elementos do trabalho é de suma importância. Em um projeto de redes, por exemplo, é importante dar a nomenclatura correta para os nós da rede, como estações de trabalho, roteadores e servidores.
Abordamos na última aula estes aspectos e como eles podem nos ajudar ou atrapalhar na solução de problemas. Estabelecer um padrão de nomenclatura coerente auxilia o analista ou técnico no tratamento e mitigação de problemas operacionais.
Citei a hipotética história do analista que batizou os roteadores com nomes e sabores de marca de refrigerante e que quando ele saiu, ninguém mais conseguiu resolver os problemas com os roteadores da empresa.
Interessante entender deste exemplo, como a falta de critério pode ser prejudicial a qualquer aparato tecnológico. E mesmo que esses critérios estejam fora de padrão, devem seguir uma lógica, e se possível, documentar tudo.
A documentação apresenta a linha de raciocínio do engenheiro do projeto, de forma que um outro profissional, de nível técnico semelhante, possa dar prosseguimento aos trabalhos.
Trabalhar de forma empírica pode ser uma solução, mas não deve ser uma solução final, pois está crua e deve ser desenvolvida.
Por fim, devemos sempre buscar aprimorar nosso trabalho, buscando na técnica, lógica, informação e coerência, prover soluções adequadas às nossas demandas.

O uso da tecnologia no cotidiano

A tecnologia e o mercado de trabalho

10 pecados cometidos ao instalar uma rede sem fio

1. Instalar um AP em qualquer lugar – A antena fica obstruída por algum obstáculo e piora a qualidade da comunicação sem fio. Também deve-se evitar instalar AP’s onde há um forte campo eletromagnético como bobinas, antenas de TV, quadros de luz, etc.
2. Ativar a Rede sem fio sem configurar – Com a rede aberta, qualquer um terá acesso e além de “roubar” sua internet, poderá ter acesso a seus dados, sem contar que isto piora a qualidade da sua conexão e da sua internet.
3. Comprar roteador doméstico com wireless, sem necessidade – Se não houver em casa algum dispositivo com Wi-Fi, não compre a menos que tenha planos de ter dispositivos Wi-Fi no futuro. Prefira roteadores domésticos sem AP, mas são difíceis de encontrar. Se não houver jeito, desative a função wireless do roteador doméstico, se não houver dispositivos de rede sem fio em casa.
4. Usar senhas fáceis de deduzir – Prefira WPA a WEP, pois há uma melhora da qualidade da senha. Utilize senhas complexas (com letras maiúsculas, minúsculas, números e caracteres especiais), e evite senhas fáceis de deduzir como números de telefone, datas de aniversário, nomes de pessoas e pior, o nome da rede sem fio.
5. Deixar o AP ou roteador doméstico ligado o tempo todo – É um erro comum que até eu cometo. Mas há duas razões para desligar seu roteador quando não estiver em uso. O primeiro é pela economia de energia que você terá no mês. E o segundo pela segurança. Para descobrir uma senha de uma rede sem-fio leva tempo, muito tempo, horas a fio! Se deixar ligado o tempo todo, um bom hacker consegue quebrar a senha da rede.
6. Usar uma antena muito potente sem necessidade – É a mesma coisa que um jovem botar um som no último volume pra ouvir no carro ou no quarto. Além de incomodar os outros, pode também permitir que a vizinhança faça a festa usando seu som. Uma potência elevada no sinal de rede sem-fio pode causar interferência nas outras redes sem-fio ou em outros aparelhos que operem na frequência de 2,4 GHz, como alguns modelos de telefones sem fio. Para piorar, uma antena aumenta o raio de alcance da rede permitido que mais pessoas possam entrar na sua rede.
7. Instalar AP em locais com muitos obstáculos – Frisando o item 1, mas em local interno. Não adianta colocar um AP em um local onde há muitos obstáculos como estantes, ventiladores, armários e paredes. Seria como falar com a mão tapando a boca. De perto é possível entender alguma coisa, mas de longe… Que??? Não entendi!
8. Tentar instalar o AP sem saber nada do assunto – Para instalar um AP, achismos não funcionam. É preciso conhecer minimamente o que é uma rede sem fio e como ela funciona. Se configurar errado é capaz de não funcionar adequadamente ou pior, permitir que outras pessoas entrem de bico na sua rede. Procure saber mais a respeito ou pedir ajuda a quem saiba.
9. Não ler o manual de instruções do AP – É importante que o usuário leigo ou mais experiente leia o manual do proprietário onde contém as orientações básicas de rede wireless, além de saber quais as funcionalidades suportadas ou não pelo aparelho.
10. Pedir ajuda a quem não entende do assunto – Tem muito “micreiro” que pensa que sabe tudo. E em vez de ajudar só atrapalha, pois não sabe nadica de nada de redes Wi-Fi. Então, procure alguém que seja perito, não curioso, no assunto. Ou melhor, por sua conta e risco, aprenda a operar, pois é melhor aprender a mexer com Wi-Fi do que gastar com alguém que não saiba nada e ainda deixe você na mão.

7 dicas de configuração de redes sem fio em casa

1. Posicione o Access Point em um local estratégico – O local ideal deve ser em um ponto alto e livre de obstáculos. A melhor forma de saber se o Access Point está em um local adequado é simplesmente verificando se a antena dele está visível em qualquer ponto do ambiente onde está instalado.
2. Evite utilizar nomes de SSID que o identifique ou facilite o seu acesso – Evite batizar sua rede sem fio com o seu nome, com o mesmo nome da senha, ou ainda, com um apelido que você tenha entre seus vizinhos. Também não repita no nome da rede a senha de seu acesso.
3. Torne sua rede sem fio oculta – Para ocultar sua rede, basta desativar no Access Point o recurso SSID Broadcast. Isto faz com que o nome da rede não seja divulgado e assim, para que alguém acesse a sua rede precisaria digitar o nome dela. Ainda sim é possível descobrir o nome da rede, mas requer um método mais aperfeiçoado de busca. Isto reduz a possibilidade de leigos tentarem entrar na sua rede.
4. Escolha a criptografia certa – Escolha o melhor método de proteção por senha adequado a sua rede. nem sempre o método mais avançado para ambientes domésticos que é o WPA2, é suportado pelos aparelhos que você tem em casa. Existem dispositivos mais antigos ou mais simples que não suportam este tipo de autenticação. Por isso, recomenda-se ler o manual de instruções dos dispositivos e computadores que irão se conectar ao Access Point.
5. Escolha o padrão Wi-Fi certo – O padrão Wi-fi determina a velocidade máxima suportada pela rede. O padrão 802.11b tem velocidade máxima de 11 mbps, enquanto o 802.11g vai até 54 mbps e o 802.11n, por sua vez vai até 600 mbps. A questão é que nem todos os dispositivos suportam todos os padrões. Há equipamentos que suportam até 802.11g e outros que somente suportam 802.11b. Há AP’s que detectam automaticamente o padrão, mas nem sempre é reconhecido pelo dispositivo. A dica é utilizar o padrão utilizado pelo dispositivo mais antigo ou simples.
6. Escolha um canal de rádio diferente – O sinal de Wi-fi é um sinal de rádio, mas somente utiliza-se uma parte do espectro disponível para a comunicação. A esta parte chamamos de canal. É igual na TV e no rádio, para ver um programa, você precisa sintonizar um canal para assistir. O que acontece é que a grande maioria dos Access Points e roteadores domésticos configuram por padrão o canal 6 para comunicações Wi-fi. Seria como se todos estivessem conversando em uma mesma sala assuntos distintos, tendo momentos em que uma conversa vai atrapalhar a outra. Assim, em um local onde existam muitas redes sem fio escolha um canal diferente, conforme imagem abaixo. O canal 14 somente deverá ser utilizado se o dispositivo suportar (geralmente fabricado no Japão). Outra dica: utilize os canais 11 ou 12 para o máximo de compatibilidade, pois todos os dispositivos podem se comunicar nestes canais.
   
7. Ative o MAC Filter – Esta é uma dica de segurança e somente utilize se seu roteador doméstico ou Access Point suportar (a grande maioria desses aparelhos suportam essa função). É um filtro que permite acesso somente a computadores registrados no AP. O registro é feito por MAC Address, que é o endereço físico da placa de rede sem fio do dispositivo. É preciso ter acesso ao manual de instruções do aparelho ou a ajuda do sistema operacional para ter acesso a informação. Uma dica: o próprio router pode cadastrar os dispositivos para acessar a rede, basta ver na configuração os dispositivos conectados e gravar seus dados no router. Esta é a segurança máxima que existe, pois mesmo que descubram a senha da rede, um dispositivo que tente entrar nela, não consegue acesso.

Principais termos para configuração de AP (Access Point)

• SSID – Nome (ou identificador) de uma rede sem fio.
• SSID Broadcast – Sinal enviado pelo access point que torna uma rede visível em seu raio de alcance. Isto ocorre quando ocorre a difusão de pacotes contendo dados da identificação da rede.
• Método de criptopgrafia da rede -  é a forma como a rede é protegida a rede com controle de acesso por senha e criptografia de dados. Quanto a criptografia, uma rede pode ser aberta (sem criptografia), protegida com senha WEP, WPA ou WPA2.
• MAC Filter – Recurso de alguns roteadores ou AP’s que permite permitir ou bloquear o acesso pelo endereço físico (MAC Address) da placa de rede sem fio.