[Notícia] Hackers conseguem fazer Linux rodar no iPad

Todo mundo gosta de um bom "hack" de tablet – afinal de contas, é só ver todo o interesse gerado em "abri" o leitor de e-books Nook Color (da livraria Barnes & Noble) e o HP Touchpad, que deve ganhar Android. Pois os hackers conseguiram “desbloquear” os aparelhos iOS para rodar o sistema Linux.

Um hack feito por Patrick Wildt e Ricky Taylor, do projeto iDroid, permite que o sistema de código aberto rode no iPad, iPhone ou iPod Touch de 4ª geração. Apesar de ainda não terem divulgado mais detalhes de como a modificação foi feita, é um passo importante para os desenvolvedores,  por causa da dificuldade de fazer root em aparelhos com o chip A4, da Apple – de acordo com o site iJailbreak, originalmente era bastante complicado conseguir root em qualquer produto lançado após o iPhone 3G.

O iDroid publicará em breve mais detalhes sobre o hack. No momento, Wildt e seus colegas trabalham para rodar o Linux no iPad 2, algo mais complicado (como esperado). Ainda assim, será interessante ver o que outros desenvolvedores conseguirão fazer a partir desse novo hack.

Fonte: http://idgnow.uol.com.br

Breve explicação sobre Traffic Shaping

Ontem descobri que não consigo mais acessar meu Linux via FTP. Motivo? Há uma grande chance de a NET estar adotando definitivamente o Traffic Shaping. Dessa forma, nem utilizando redirect de porta, como fazia até então, consigo conexão por FTP.

Pra quem não conhece, o Traffic Shaping é uma forma com a qual os provedores de Internet limitam o tamanho da banda utilizada pelos seus usuários para os protocolos que usam mais a rede, que são basicamente os de transferência de arquivos, como o P2P ou os Torrents.  O objetivo é claro; como alguns estudos mostram, cerca de 10% dos usuários de Internet do país são responsáveis por aproximadamente 80% do tráfego de Internet. Boa parte deste tráfego é gerada pela transferência de grandes arquivos, sejam pelas redes de compartilhamento ou por serviços como FTP. Nossa Internet, e isso não é novidade, é extremamente deficitária no que diz respeito à infra-estrutura e, portanto, por se tratar de uma rede compartilhada, o excesso de utilização de uns “prejudicam” aos demais usuários com “acessos normais”, os 90% segundo os estudos.

Claro que, por não se tratar de uma ação considerada legal, nenhum provedor assume tal prática. Mas também não fazem muita questão de esconder. Ao determinar em contrato que o provedor só garante 10% da banda adquirida, ou seja, se você compra um pacote de 5 Mbps de Internet, até 500 Kbps de velocidade o usuário não tem o direito de “reclamar”, isso pode significar nas entrelinhas que sua banda pode ser reduzida até esta velocidade, se assim o provedor considerar conveniente mediante sua utilização. Por coincidência, essa é a eficiência ao se fazer o Traffic Shaping. A NET, por exemplo, coloca em seu contrato a “franquia de consumo”, uma quantidade em MB de download onde em teoria você pode utilizar com a banda contratada em sua totalidade. Ao atingir este valor, o provedor se reserva ao direito de reduzir a sua banda até o final daquele mês em, outra coincidência, 10%.

No caso do FTP a coisa pode ir mais além. Podendo ser considerado um serviço teoricamente utilizado por empresas, o provedor determina que o tráfego “entrante” deste protocolo só seria permitido em pacotes corporativos, com “recursos” especiais mediante ao pagamento de um valor diferenciado, geralmente bem diferenciado.

Sendo assim, o trabalho agora será utilizar outra forma de disponibilizar o conteúdo antes acessado por FTP, ou “encontrar” outra maneira de voltar a usá-lo.

A história dos Honeypots

Pro pessoal que andou curioso sobre os "HoneyPots", aqui vai um pouquinho de história sobre o assunto. E não, esse não será o assunto do meu TCC.

Segundo Clinfford Stoll, em agosto de 1986 ele e outros administradores de rede do Lawrence Berkley Laboratory perceberam que alguém estava atacando e obtendo acesso a sua rede. Porém eles não tentaram interromper os ataques para manter o invasor longe, e sim resolveram deixá-lo continuar o ataque enquanto eles monitoravam a ação do invasor, mas as máquinas que sofreram o ataque não eram preparadas para o fim de monitoramento, eram máquinas de uso do instituto, com arquivos e serviços verdadeiros.
 

No ano de 1991 Bill Cheswick relatou que ao perceber que um computador da AT&T Bell Laboratories estava sofrendo um ataque resolveu fazer algo parecido com o descrito por Stool, mas este preparou especialmente uma máquina para ser invadida, assim poderia melhor controlar os acessos e permissões do invasor, além de não comprometer assim os arquivos e sistemas reais da rede.
 

Porém foi em 1998 que Fred Cohen desenvolveu e distribuiu gratuitamente pela internet a ferramenta chamada The Deception Toolkit. Esta ferramenta tinha o objetivo de simular vulnerabilidades em softwares conhecidos, emitindo respostas específicas para cada tentativa de invasão que a ferramenta sofresse, para assim tornar o sistema mais real para que o atacante não perceba que caiu em uma armadilha. Neste modo surgiu o que pode ser considerado o primeiro honeypot de aplicação.
 

Mesmo com os conceitos de honeypots serem da época de Stoll e Cheswick foi apenas no ano de 2002 que foi concedido ao termo honeypot uma definição clara, sendo definido como recurso de segurança cujo valor está na sua sondagem, ataque ou comprometimento.
 

Com uma definição tão genérica como esta se pode utilizar outros equipamentos para este fim e não apenas computadores.
 

O valor de um honeypot está no fato que nenhum serviço de uso comum é associado e ele, sendo que sua existência não é divulgada, então nenhuma tentativa de conexão com ele será esperada, assim qualquer tentativa de atividade com ele será considerada uma possível tentativa de ataque.

Fonte: http://www.segurancalinux.com

Curso "Hacking Ético" em promoção.

O curso "Hacking Ético", mencionado no dia 08 de agosto, está em promoção. Segue a dica:

Cursos online grátis com certificado – Fundação Bradesco

Pode ser que muitos já saibam, mas a título de informação, a Fundação Bradesco oferece gratuitamente cursos através da Escol@ Virtual, um portal de e-Learning dedicado a oferecer cursos a distância - via Internet e semipresenciais. A Fundação Bradesco é uma entidade sem fins lucrativos, fundada em 1956, por Amador Aguiar, para oferecimento de educação básica, educação profissional e educação de jovens e adultos às comunidades carentes. Basta se inscrever e escolher o curso na qual tenha interesse. Dentre esses existem cursos na area contábil, administrtiva, informatica, recursos humanos e o melhor, com certificado!
O primeiro passo é efetuar a inscrição no portal da Escola Virtual, no link Inscreva-se! Em seguida, o candidato receberá um e-mail (no endereço informado no ato do cadastramento) com o login e a senha de acesso aos cursos totalmente on-line. Após receber o e-mail comunicando que o seu cadastro foi realizado com sucesso, você deve informar seu login e senha na página inicial da Escol@ Virtual, na área "Acesso aos Cursos". O detalhe é que os cursos devem ser concluídos em, no máximo, 30 dias.
Alguns cursos interessantes dentro da área de TI: Fundamentos de COBIT, Fundamentos de Governança de TI, Gestão Estratégica de TI - ITIL, Segurança da Informação, Segurança e Privacidade de Computadores, além de vários cursos de Desenvolvimento de Softwares, Aplicativos, gerenciamento de Banco de Dados etc. Detalhe também aos cursos "semipresenciais" de certificação CISCO.
O site da Escol@ Virtual da Fundação Bradesco é http://www.ev.org.br.


Colaboração: Rafael Bueno dos Reis e Bruno Henrique de Barros

[Notícia] Hackers do Anonymous anunciam ataque ao Facebook em novembro

O grupo hacker Anonymous, responsável por uma série de ataques em sites de governos, de empresas de cartão de crédito e à rede de games on-line PlayStation Network (PSN), da Sony, anunciou que realizará um ataque em massa contra o Facebook no dia 5 de novembro. O objetivo dos criminosos é derrubar o site, que conta com mais de 700 milhões de usuários cadastrados.
O ataque foi confirmado por meio do Twitter e por um vídeo divulgado no YouTube. Nele, a gravação afirma que a rede social tem auxiliado governos, "vendendo informações de usuários e garantindo acesso clandestino para firmas de segurança que espionam pessoas de todo o mundo".
O dia 5 de novembro foi escolhido por ter relação à história em quadrinhos "V de Vingança", cujo personagem principal, Guy Fawkes, é lembrado por integrantes do Anonymous no uso da máscara característica apresentada na série.
Eles ainda afirmam no comunicado que "tudo o que o usuário faz no Facebook fica na rede social, independentemente das configurações de privacidade", e que "deletar a conta é impossível, pois os dados ficam armazenados no Facebook". "O Facebook sabe mais sobre você do que sua família", diz a mensagem.
O grupo ainda avisa que o dia do ataque "entrará para a história".
Ainda pelo Twitter, o Anonymous publicou uma mensagem dizendo que estava organizando o que chama de "Operação Facebook" (#opfacebook), mas que nem todos os membros concordavam ou participavam da preparação do ataque.
Existem suspeitas de que os ataques servem para tentar fortalecer a rede social Anon+, criada pelo gruopo. A comunidade do site no Google+ foi banida do serviço pelo Google, o que teria irritado membros do Anonymous.
O Facebook não se manifestou sobre as ameaças até o momento.

Fonte: http://g1.globo.com/tecnologia/

[Notícia] Mais de 70 empresas foram alvos de um grande ciberataque mundial

Um ciberataque massivo que pode ter durado até cinco anos infiltrou computadores e roubou dados de diversas multinacionais e até da Organização das Nações Unidas, afetando um total de 72 organizações, alegou relatório divulgado na última semana pela McAffee.

Apesar de não citar os nomes das vítimas, o levantamento trevela que os ataques aconteceram em 14 países, sendo a maioria nos Estados Unidos e no Canadá (4). Entre as 72 empresas atingidas, estão três companhias da indústria eletrônica, duas do setor de segurança computacional, duas de TI e uma de serviço de informação.

O documento expõe dados que levam à especulação de quais seriam tais companhias. A McAfee fala em uma “empresa taiwanesa de eletrônicos”, que teve seu sistema afetado por oito meses em setembro de 2007. Outra empresa, do “setor de eletrônicos nos Estados Unidos”, teve dados roubados por mais de um ano a partir de fevereiro de 2008.

A McAfee cita ainda que uma companhia “canadense do setor de TI” foi violada por quatro meses a partir de julho de 2008 e em maio de 2010, outra “empresa norte-americana de TI” teve seus dados roubados por sete meses.

O vice-presidente da McAfee, Dmitri Alperovitch, assina o relatório de análise dos dados que ressalta a “diversidade das vítimas que foram surpreendidas pela audácia dos invasores”.

As primeiras violações nos sistemas datam da metade de 2006, mas a McAfee não descarta invasões anteriores não detectadas. A empresa não divulgou de quais países os ataques vieram, mas informou que notificou todos os atingidos e órgãos de justiça, que estão investigando os casos.

Fonte: http://modulo.com.br

Workshop "Hacking Ético"

Na última sexta-feira, dia 05, acompanhei um workshop online realizado pela Linux Solutions (linuxsolutions.com.br), uma apresentação do curso ministrado por Marcos Pitanga, “Hacking Ético”. O próprio Marcos apresentou o workshop, mostrando um pouco de como funciona o curso, demonstrando algumas técnicas e ferramentas de invasão, além de conversar e trocar idéias com os participantes do evento através do chat. Foi a primeira vez que tive contato com uma ferramenta específica para treinamento online e achei muito prático.

O workshop em si foi bem interessante. Apesar de sempre ter (e achei que isso só acontecesse em cursos presenciais) um ou outro que se mostra tão especialista quanto o próprio, e faz questão de querer demonstrar isso para os demais, a apresentação transcorreu em certa tranqüilidade. O curso apresentado, Hacking Ético, parece bem técnico e bem completo, mas tem um valor um pouco salgado (R$ 990,00).

A título de curiosidade, foi demonstrado no workshop o Metasploit framework, um conjunto de plataformas de aprendizagem e investigação para profissionais de segurança, que possui centenas de exploits, payloads e ferramentas muito avançadas para testar vulnerabilidades em muitas plataformas, sistemas operacionais, e servidores. Em conjunto com ferramentas conhecidas, como o Nmap, foram realizadas simulações de invasões em sistemas Linux e Windows, explorando vulnerabilidades no Samba e no Adobe Reader. Tudo muito superficial é verdade, já que o evento todo não durou mais do que duas horas.

Por fim, o pessoal da Linux Solutions foi bem atencioso ao me enviarem no dia seguinte, atendendo ao meu pedido, um certificado de participação digitalizado.

Mais informações sobre o treinamento: http://linuxsolutions.com.br/cursos/hacking-etico.html

Post "Um"

Olá pessoal.
Esse primeiro post será, na verdade, uma apresentação. Quero aqui explicar quais são as razões da criação deste blog.
Não, não tenho a pretensão de virar blogueiro. Tem gente muito mais competente pra isso, blogs mais elaborados, inteligentes e com conteúdo realmente relevante. Pretendo inclusive neste espaço indicar alguns ótimos artigos em blogs que leio. A razão na verdade é criar um canal de comunicação, de troca de informações, de dicas, entre as novas amizades que criei nestes últimos anos dentro deste mundo da segurança da informação. Amigos das empresas por onde passei, dos clientes onde tive a oportunidade de trabalhar e, principalmente, dos colegas que batalharam (ou continuam batalhando) para se formar neste curso tão puxado, mas tão gratificante, que foi a turma de Redes e Segurança da Informação da FATEC - Americana. Tenho esperança de que este seja um espaço legal para mantermos contato, compartilhar conhecimentos etc.
A partir desta segunda-feira, 08/08/11, começo a escrever por aqui. No primeiro post de fato, vou escrever sobre um workshop on line no qual participei nesta sexta-feira, uma apresentação de um curso (Hacking Ético), que não só foi bem interessante, como também me permitiu obter um certificado de participação, o que o pessoal da FATEC que está atrás das "horas culturais" sabe o que significa.
Um abraço e até amanhã.