Vulnerabilidades em aplicações Web

Uma das revoluções da Web e do software da última década (?) em geral, é a sua extensibilidade. Sob o ponto de vista da segurança, pelo contrário, é sabido que esse é um dos grandes problemas que é preciso enfrentar. Um artigo interessante que fala desse problema usando como exemplo uma aplicação Web:

How Bugs Can Give Attackers Access to Protected Portions of a Web App

Cyrus Peikari and Seth Fogie
Jul 27, 2007.

There are thousands of web applications available for anything from simple file uploads to complex forums. All of these programs are created to be easy to install and even easier for a client to use, which is why they are very popular with the average non-technical customer. While the benefits of these programs are typically obvious and worth the cost, there are often some serious risks associated with using these web applications because they are built by people who are not security experts. In this section we are going to look at one such program that came across my radar and the simple fact that by installing this program you could be exposing every other user of the hosting server to major security problems.

Fonte: informit.com

Pirataria...

Encerrados três sites portugueses de partilha de ficheiros
25.07.2007 - 18h56 Lusa, PUBLICO.PT

Três sites portugueses que serviam de plataformas para pirataria informática e troca ilegal de ficheiros foram encerrados pelas autoridades nacionais numa operação que afectou 200 mil utilizadores, anunciou hoje a Polícia Judiciária (PJ).

Os sites www.zetuga.com, www.zemula.org e www.btuga.pt foram encerrados no decurso de uma operação conjunta da PJ e da Autoridade de Segurança Alimentar e Económica (ASAE), realizada ontem, que visava evitar "a reprodução de conteúdos protegidos por direitos de autor através da Internet, dando cumprimento a seis mandados de busca, em Ovar, Leiria e Lisboa".

...

"Os gestores dos sites em questão, entres eles um elemento da PSP, foram constituídos arguidos e sujeitos a termo de identidade e residência", refere a PJ em comunicado.

Entre o material apreendido, as autoridades destacam "dois servidores instalados em empresas, computadores de última geração, suportes multimédia (nomeadamente 370 DVD com filmes, 385 CD de música, 142 CD com jogos para PC, 29 DVD com jogos XBOX, quatro discos externos com a capacidade de 980 gigabites) e documentação diversa".

...

Notícia completa no Público

Projecto Internet Segura






do sítio do projecto:

"A Comissão Europeia lançou em 1999 o programa Safer Internet, a que se seguiu em 2005 o programa Safer Internet Plus, com o objectivo de dinamizar projectos dos Estados Membros de promoção da utilização segura da Internet.

No âmbito do programa Safer Internet, a Direcção Geral de Inovação e Desenvolvimento Curricular, através da Equipa de Missão Computadores, Redes e Internet (DGIDC-CRIE) do Ministério da Educação, desenvolveu, em 2004, o projecto Seguranet, para a promoção de uma utilização esclarecida, crítica e segura da Internet junto dos estudantes do ensino básico e secundário.

Uma das orientações estratégicas do programa de acção LigarPortugal, adoptado pelo Governo em Julho de 2005, é “Assegurar a Segurança e a Privacidade no Uso da Internet“, mais especificamente “garantir que todos, e em particular as famílias, dispõem de instrumentos para protecção de riscos que possam ocorrer no uso da Internet e têm informação sobre como os utilizar”.

O projecto Internet Segura contribui para a concretização desta orientação estratégica. Este projecto é da responsabilidade de um consórcio coordenado pela UMIC – Agência para a Sociedade do Conhecimento e que também envolve a DGCI-CRIE, a Fundação para a Computação Científica Nacional – FCCN e a Microsoft Portugal. Após avaliação e aprovação da candidatura do projecto apresentada ao programa europeu Safer Internet Plus, o respectivo contrato entre o consórcio e a Comissão Europeia foi assinado em Junho de 2007." "

Sítio: http://www.internetsegura.pt/

iPhone vulnerável

há gente que nunca aprende...

http://www.securityevaluators.com/iphone/


TheNIS - Thematic Network in Information Security

Rede portuguesa de segurança:

The Thematic Network in Information Security consists of R&D centres, companies and public institutions that share a special interest in all aspects of information security. Its main objectives are
  1. to promote the knowledge transfer between partners,
  2. to develop effective collaborations between members, and
  3. build a national community that shares a common understanding of the strategic importance of security technologies for competitiveness at the international level.
Site: http://sqig.math.ist.utl.pt/TheNIS/

SINO 2007

3ª Conferência Nacional sobre Segurança Informática nas Organizações (SINO'2007)
7 e 8 de Novembro de 2007

A chamada para trabalhos está aberta até 21 de Setembro. Breve apresentação:

"A Segurança Informática está na ordem do dia, no que diz respeito à segurança das organizações e indivíduos.

A 3ª edição da Conferência Nacional sobre Segurança Informática nas Organizações (SINO'2007) constitui uma excelente oportunidade de reflexão e discussão das diversas questões inerentes à segurança informática, quer na visão da investigação científica, quer como fórum de discussão envolvendo as empresas e instituições, para troca de experiências sobre projectos de I&D e sobre a real adopção de tecnologias e práticas de segurança para sistemas computacionais.

O evento juntará assim, num fórum aberto de discussão e debate, diferentes especialistas, investigadores, consultores, administradores de sistemas, responsáveis pela segurança e outros representantes das empresas e das diversas instituições."

Guia de referência de segurança

A propósito da mensagem anterior, vale a pena mencionar que o informit.com tem vindo a desenvolver um guia de referência de segurança que tem material muito interessante. É um documento de trabalho, que tem vindo a crescer com o tempo, mas que vale a pena ter presente:

informit.com Security Reference Guide

Perigos dos sticks/pens USB

Dão muito jeito? Sim, mas também colocam grandes problemas de segurança...

"USB sticks are so handy. You just pop it into your USB drive, and voilà! Your files are ready to go with you. However, a USB stick can be used for more than just a file storage – programs can be run from it, which makes it über appealing to hackers. This week in the Security Reference Guide, Seth Fogie and Cyrus Peikari illustrate how to turn a USB stick into a password stealing and trojan installing device. They also discuss how to prevent USB attacks. After reading this, you'll never trust a USB stick again (but I bet you'll still use them)."

Fonte: informit.com

Evolução da auto-defesa do malware

The Evolution of Self-Defense Technologies in Malware
by Alisa Shevchenko - Virus analyst at Kaspersky Lab - Monday, 2 July 2007.

"This article explores how malware has developed self-defense techniques and how these techniques have evolved as it has become more difficult for viruses to survive. It also provides an overview of the current situation."

Fonte: Help Net Security

Descoberta a password de root do iPhone

... provando mais uma vez que os pequenos dispositivos --telemóveis, pdas,... -- são novos e fáceis alvos de ataques...

iPhone root password cracked in three days

By Nick Gibson | 2007/07/03 16:56:16

It's been out just three days, but already the Apple iPhone has been taken apart both literallyfiguratively. The latest: inquisitive Apple fans have hacked into the firmware and discovered the master root password to the smart phone.

The information came from an an official Apple iPhone restore image (rename as a zip file and extract). The archive contains two .dmg disk images: a password encrypted system image and an unencrypted user image. By delving into the unencrypted image inquisitive hackers were able to discover that all iPhones ship with predefined passwords to the accounts 'mobile' and 'root', the last of which being the name of the privileged administration account on UNIX based systems.

Hackers used the simple UNIX program 'strings' to extract a list of human readable character strings from the disk image, which contained a list of user accounts and their corresponding encrypted passwords (equivalent to the /etc/passwd file on UNIX and Linux systems). A call was then made out on the Full Disclosure mailing list for someone to run the popular password cracking tool John the Ripper on the encrypted passwords.

It took one replier just sixteen seconds to extract the passwords for both accounts -- both passwords were simple six letter words of lower case letters.

Having the passwords will not do anybody any good for the moment. The iPhone has no console or terminal access, so there is no way to log in as either account. In fact, nobody even seems certain that the accounts access the machine at all, some Internet commentators suggesting that the password file was left over from early development work, or was intentionally included to throw hackers off the scent.

The Worst Jobs in Science 2007

Os piores trabalhos em Ciência de 2007 segundo a revista Popular Science: "Our annual bottom-10 list, in which we salute the men and women who do what no salary can adequately reward".

E em 6º lugar temos:

Microsoft Security Grunt
Like wearing a big sign that reads “Hack Me”

Do you flinch when your inbox dings? The people manning secure@microsoft .com receive approximately 100,000 dings a year, each one a message that something in the Microsoft empire may have gone terribly wrong. Teams of Microsoft Security Response Center employees toil 365 days a year to fix the kinks in Windows, Internet Explorer, Office and all the behemoth’s other products. It’s tedious work. Each product can have multiple versions in multiple languages, and each needs its own repairs (by one estimate, Explorer alone has 300 different configurations). Plus, to most hackers, crippling Microsoft is the geek equivalent of taking down the Death Star, so the assault is relentless. According to the SANS Institute, a security research group, Microsoft products are among the top five targets of online attack. Meanwhile, faith in Microsoft security is ever-shakier—according to one estimate, 30 percent of corporate chief information officers have moved away from some Windows platforms in recent years. “Microsoft is between a rock and a hard place,” says Marcus Sachs, the director of the SANS Internet Storm Center. “They have to patch so much software on a case-by-case basis. And all in a world that just doesn’t have time to wait.”