Existem várias técnicas e táticas que golpistas empregam para roubar dados, obter vantagens financeiras, prejudicar pessoas e organizações e outros fins ilícitos. Entre elas se incluem a disseminação de malwares diversos (ransomware, trojans, vírus, etc.), invasão de redes, ataques de negação de serviço, e outras.

Essas técnicas tem em comum o emprego de tecnologias variadas, mesclando software com hardware, programação e protocolos rede, entre outras. Mas existem técnicas que não empregam diretamente tecnologias, mas que exploram o fator humano por trás dos sistemas. Estou me referindo às técnicas de Engenharia Social.

A engenharia social lida com a manipulação de alvos humanos em vez de tecnológicos ou outros mecanismos.

Definida como um tipo de ataque de natureza não-técnica, que envolve alguma forma de interação humana com o objetivo de tentar enganar ou coagir uma vítima a revelar informações sigilosas ou violar práticas de segurança normais.

O termo é empregado em um contexto amplo, que inclui diversas atividades, geralmente maliciosas, realizadas por meio de interações humanas. Emprega regularmente técnicas de manipulação psicológica para enganar usuários e levá-los a cometer erros de segurança, ou ainda deixar vazar informações importantes.

O interesse de um “engenheiro social” é obter informação que possa ser empregada para realizar ações como roubo de identidade ou de senhas, por exemplo.

Trata-se de um método bastante popular empregado por golpistas e fraudadores, pois o elemento humano é frequentemente a parte mais fraca de um sistema, facilmente manipulável, e mais propensa a erros.

Uma das formas de ataque é tentar enganar a vítima, fazendo-a pensar que o atacante é alguém que possui autoridade, levando a vítima a baixar sua guarda e liberar informações importantes. veremos outras formas mais adiante neste artigo.

Psicologia da engenharia social

Os engenheiros sociais são bons em reconhecer sinais ou comportamentos que podem ser úteis na extração de informação, como por exemplo:

• Obrigação moral: a vítima demonstra desejo de fornecer assistência porque se sente compelida a tal por um senso de dever
• Confiança: Os seres humanos possuem uma tendência inerente a confiar nos outros. Por exemplo, usar uniformes, palavras técnicas ou jargão pode levar a vítima a pensar que o atacante é realmente um profissional de confiança. A tendência à confiança é uma fraqueza constantemente explorada.
• Ameaça: Uma vítima pode ser ameaçada se não colabora com as requisições do atacante
• Algo por Nada: O atacante pode prometer a uma vítima que, por pouco ou nenhum trabalho, ela receberá algum tipo de recompensa interessante.
• Ignorância: A realidade dura é que muitas pessoas não percebem os perigos associados à engenharia social, e não são capazes de reconhecê-la como ameaça.

E por que a engenharia social funciona?

Funciona por diversos motivos, sendo que o elemento humano é muito facilmente iludido. Porém, outros fatores influem para que os engenheiros sociais tenham sucesso na perpetração de seus golpes. Entre esses fatores incluem-se:

• Falta de tecnologias apropriadas que possa combatê-la
• Políticas de segurança insuficientes nas organizações
• Difícil detecção e, por conseguinte, prevenção
• Falta de treinamento de funcionários e usuários

Some-se a a isso o fato de que, no geral, funcionários não possuem treinamento adequado sobre normas de segurança digital – normalmente, nenhum treinamento – e ainda por cima algumas vezes ocorre desonestidade por parte de colaboradores, descontentes com a organização ou simplesmente querendo obter alguma vantagem financeira, e, pronto! temos a receita do sucesso de um ataque social.

Como dizem, “não há remédio para a estupidez humana”

Técnicas de Engenharia Social

Ataques de engenharia social são realizados de diversas formas, sendo realizados em qualquer lugar onde interação humana esteja envolvida. Algumas formas de ataques comuns incluem os seguintes:

• Baiting (“isca”): Neste ataque, uma promessa falsa é feita para atiçar a curiosidade ou ganância da vítima.
  Por exemplo, um atacante deixa uma isca (como um pendrive infectado) e locais por onde vítimas em potencial circulam (corredores, estacionamentos, etc.).
  A vítima recolhe a isca e, por curiosidade, conecta a um computador, em casa ou na empresa, resultando na contaminação automática do sistema com o malware presente.
  Propagandas enganosas, como ads maliciosos também são considerados formas de baiting, levando os usuários a clicarem em lnks suspeitos e baixarem programas maliciosos, pensando se tratar de itens legítimos.
• Cavalos de Tróia (trojans): Classe de malware cujo princípio de operação é enganar as pessoas, levando-as a abrir e executar arquivos maliciosos em seus computadores, que acabam assim infectados.
• Scareware (“software que assusta”): tipo de malware projetado para assustar uma vítima, levando-a a agir quando não é necessário. A vítima é bombardeada com alarmes falsos e ameaças fictícias. Por exemplo, um antivírus falso que diz para o usuário que ele precisa instalar uma atualização ou uma versão do software para proteger o sistema, que supostamente está infectado.
• Pretexting (pretexto, alegação): Neste tipos de ataque, informação é obtida por meio de uma série de mentiras cuidadosamente inventadas. O golpe é iniciado normalmente por alguém que finge precisar de informações sensíveis ou confidenciais da vítima, para realizar tarefas (supostamente) importantes.
  Normalmente, o golpista começa estabelecendo uma confiança com a vítima ao fingir ser um colega de trabalho, oficial, policial, ou outras pessoas que possuam algum tipo de autoridade. Então, o atacante começa a fazer perguntas que confirmem a identidade da vítima, por meio das quais dados pessoais importantes são obtidos.
  Com esse tipo de ataque é possível obter dados como números de CPF, números de contas bancárias e cartões de crédito, senhas de contas e outros serviços, senhas de acesso a sistemas, e muito mais.
• Phishing (“pescaria”): Este é um dos tipos de ataque mais comuns de engenharia social, que consistem em mensagens de texto ou e-mails criadas para incutir nas vítimas um senso de urgência, de medo ou de curiosidade. O ataque leva as vítimas a revelar informações importantes e confidenciais, clicar em links e visitar páginas maliciosas, ou ainda, abrir arquivos anexos que contenham infeção por malwares diversos.
  Um golpe comum deste tipo é o envio de e-mails que ofereçam prêmios se a vítima preencher uma pesquisa em um website. Ao entrar no website, um formulário deve ser preenchido, onde a vítima acaba por colocar seus dados pessoais e outras informações sensíveis, que são então enviadas ao atacante.
• Spear Phishing (“pesca com arpão”): Forma mais direcionada de phishing, no qual o atacante escolhe indivíduos ou empresas específicas. As mensagens então são criadas com base nas características da vítima, como dados pessoas, posição dentro da empresa e contatos, de modo a tornar o ataque mais fácil.
  Este tipo de ataque requer bastante esforço por parte do atacante, pois envolve todo um trabalho de pesquisa, podendo levar semanas ou até meses para ser lançado. Porém, é muito mais difícil de detectar e em uma taxa de sucesso maior do que um ataque de phishing convencional – se for bem executado.
  Um exemplo desse ataque é um golista que se faz passar por alguém do departamento de TI da empresa que envia um e-mail para um ou mais funcionários específicos. O e-mail é escrito exatamente da forma como seria escrito se fosse legítimo, o que permite enganar as vítimas quanto à sua proveniência. Neste e-mail podem ser solicitadas informações confidenciais, preenchimento de informações em páginas (falsas), ou ainda pedir que os usuários alterem suas senhas para um padrão específico conhecido do atacante – o que dá a ele acesso ao sistemas da empresa.

Para evitar esses ataques é importante que os usuários sejam treinados em detectar e discernir esses incidentes de segurança. Bom-senso é importante aqui, e alguns dos sinais que denunciam um ataque de engenharia social incluem:

• Uso de autoridade pelo atacante, como por exemplo fazer referência a quem ele é ou quem ele conhece, ou mesmo fazer ameaças com base em seu suposto poder.
• Incapacidade de fornecer informações de contato válidas, que permitiriam que o atacante fosse contatado quando necessário.
• Fazer requisições informais ou fora de contexto, tentando encorajar a vítima a soltar informações que normalmente não seriam reveladas.
• Usar repetidamente nomes de pessoas que o atacante supostamente conhece dentro da empresa
• Uso excessivo de elogios, tentando bajular a vítima
• Mostras de desconforto ou inquietação pelo atacante, quando questionado

Fases e etapas de um ataque de engenharia social

Um ataque de engenharia social geralmente consiste em três fases distintas:

1. Pesquisa
2. Desenvolvimento
3. Exploração

Essas fases englobam as seguintes etapas:

1. Usar footprinting (“seguir as pegadas”) e obter detalhes sobre um alvo, por meio de pesquisa e observação. Fontes de dados podem incluir ataques de phishing, websites, funcionários, dumpster diving (“vasculhar o lixo”), e outras.
2. Selecionar um indivíduo ou grupo que possa ter acesso à informação desejada. Alvos comuns são pessoas frustradas, super confiantes, arrogantes, que podem fornecer informações prontamente. A presença desse tipo de pessoa pode ser considerada uma ameaça interna em uma empresa.
3. Forjar um relacionamento com a vítima por meio de conversas, discussões, e-mails, ou outros canais.
4. Explorar o relacionamento formado com a vítima, e extrair a informação desejada.

Impactos da Engenharia Social

Ataques de engenharia social podem ter efeitos diversos em uma organização, impactando-a de diversas formas (geralmente nefastas):

• Perdas econômicas: a empresa pode perder dinheiro de diversas formas.
• Terrorismo: um alvo é coagido a agir por conta de ameaças de violência física
• Perda de privacidade: informações obtidas podem ser usadas para realizar roubo de identidades
• Processos judiciais: dependendo do grau de comprometimento, podem surgir problemas judiciais para indivíduos ou organizações.
• Encerramento temporário ou permanente: Se um vazamento de dados for muito grave, pode levar ao encerramento catastrófico das atividades de uma empresa.
• Perda de confiança: Os clientes podem deixar de confiar em uma marca ou empresa dependendo do grau de danos do ataque.

Alvos comuns de engenheiros sociais

Atacantes costumam procurar alvos oportunos ou vitimas em potencial que tenham algo a oferecer. Alguns alvos comuns incluem:

• Recepcionistas
• Pessoal de Help Desk
• Administradores de Sistemas
• Executivos
• Usuários em geral

Essas pessoas ocupam cargos em empresas que, geralmente, tem acesso a algum tipo de dado importante, ou ainda informações que podem dar acesso a sistemas internos e, justamente por isso, costumam ser alvos dos golpistas.

Como se prevenir contra ataques de engenharia social

Os engenheiros sociais enganam suas vítimas manipulando os sentimentos humanos, como o medo, ganância ou curiosidade, levando-as a cair em suas armadilhas. Assim, sempre que você se sentir alarmado ao receber um telefonema, mensagem ou um e-mail, fique alerta: é grande a possibilidade de se tratar de uma fraude.

Siga também as seguintes dicas para ajudá-lo a evitar esse tipo de golpes:

• Não abra e-mails nem tampouco anexos vindos de fontes suspeitas: Se você não conhece a pessoa que lhe enviou um e-mail, é grande a probabilidade de você sequer precisar ler esse e-mail. Mesmo que o e-mail tenha vindo de uma pessoa conhecida, fique esperto: é muito simples forjar um e-mail falso, e por isso sempre verifique se a pessoa em questão realmente te enviou a mensagem.
• Fique esperto com ofertas muito tentadoras: Como diz o ditado, “se é muito bom para ser verdade, então não é”. Pense duas vazes antes de aceitar ofertas muito tentadoras recebidas por e-mail ou telefone, como supostos prêmios ou promoções, principalmente se envolverem o fornecimento ou confirmação de dados pessoais ou da empresa onde você trabalha. Uma pesquisa rápida em um buscador como o do Google vai te mostrar se aquela oferta é um golpe ou possivelmente não.
• Use autenticação baseada em mais de um fator: As credenciais de acesso são o tipo de informação mais desejada por golpistas, pois elas lhes dão acesso a sistemas e dados confidenciais. Por isso, ao usar autenticação baseada em dois ou mais fatores, como o emprego concomitante de biometria, você dificulta em muito o trabalho de um fraudador, ajudando a manter suas contas mais seguras.
• Mantenha antivírus e softwares de segurança atualizados: Essa é básica, mas ainda assim muitos se esquecem de atualizar antivírus na máquina (e alguns nem tem instalado!), e para auxiliá-lo deixe sempre o esquema de atualização automática do antivírus ativo. E, obviamente, somente use antivírus original – obtido diretamente a partir do fabricante – e nunca baixado de sites diversos e torrents, pois o antivírus obtido nesses locais pode ele próprio estar infectado, e assim não funcionar como deveria.
• Ah, e use o antivírus! Rode periodicamente as rotinas de verificação de ameaças em sua máquina, para determinar se há algum arquivo infectado presente no seu sistema.

Casos clássicos de Engenharia Social

Ataques de engenharia social são muito comuns ao redor do mundo. A seguir, alguns exemplos conhecidos de ataques que resultaram em grandes prejuízos para organizações e governos (e lucro para outros).

Partido Democrata dos Estados Unidos, 2016

Um dos casos mais impactantes de engenharia social foi a eleição presidencial dos Estados Unidos no ano de 2016. Ataques de spear phishing levaram ao vazamento de e-mails e informações do Partido Democrata que acabaram por influenciar o resultado da eleição, levando à vitória de Donald Trump sobre Hillary Clinton.

Neste ataque, hackers russos criaram um e-mail falso do Gmail, convidando usuários, por meio de um link, a alterar suas senhas devido a atividades incomuns.

O alvo principal era o gerente de campanha de Hillary Clinton, John Podesta. Podesta recebeu um e-mail falso de “redefinição de conta” que parecia ser legítimo do Google, solicitando que ele fizesse login e alterasse sua senha; porém o endereço real do link fornecido, oculto por um encurtador de link bit.ly, era o link myaccount.google.com-securitysettingpage.ml.

A partir daí os fraudadores tiveram acesso a centenas de e-mails contendo informações confidenciais sobre a campanha de Clinton.

Ubiquiti Networks, 2015

A Ubiquiti Networks, um fabricante de tecnologia para redes, teve um prejuízo quase 40 milhões de dólares, em 2015, após sofrer um ataque de phishing.

Aparentemente uma conta de e-mail de um funcionário foi comprometida em Hong Kong. Os atacantes enviaram e-mails aos funcionários do departamento financeiro da subsidiária da Ubiquiti em Hong Kong, alegando ser um alto executivo, solicitando transferências eletrônicas de fundos para “terceiros” – na verdade, contas sob o controle dos criminosos. E o dinheiro foi transferido.

RSA, 2011

A RSA, uma das maiores empresas da área de segurança digital, perdeu cerca de US$ 66 milhões por conta de uma violação de dados, em 2011.

O ataque começou com um documento Excel, enviado a um pequeno grupo de funcionários por e-mail. Ao menos dois funcionários de baixo escalão abriram esse arquivo, chamado “Plano de recrutamento 2011.xls”, proveniente de um remetente desconhecido.
O anexo continha um arquivo malicioso que abriu um backdoor para os hackers – ele rodou uma macro que instalou um backdoor nos computadores, compromentendo e reduzindo a eficácia do produto SecurID, o carro-chefe da RSA.

As peripécias de Kevin Mitnick

Kevin Mitnick foi um dos hackers mais notórios dos anos 80 e 90 da era da informática. Suas façanhas eram (de acordo com ele) motivadas pela curiosidade, e não pelo lucro, e a engenharia social era seu superpoder.

Um exemplo do que Mitnick era capaz: em 1979, com apenas 16 anos, ele fez amizade com alguns hackers que encontraram o número de um modem dial-up para um sistema que a DEC (Digital Equipment Corporation) empregava para desenvolvimento de SO, mas eles disseram a Mitnick que o número não tinha serventia porque eles não tinham um nome de conta ou senha para login.

O que Mitnick fez? Ele simplesmente ligou para o gerente de sistema da DEC, alegou ser Anton Chernoff, um dos principais desenvolvedores da empresa, e disse que estava tendo problemas para fazer login nos sistemas; imediatamente lhe foi informado um login que fornecia acesso de alto nível ao sistema. (Mitnick, agora do lado dos “bons”, trabalha no negócio de consultoria de segurança.)

Sony Pictures, 2014

Após uma investigação, o FBI (Federal Bureau of Investigation) nos EUA apontou que o ataque cibernético à Sony Pictures, em 2014, foi de responsabilidade do governo da Coreia do Norte.

Milhares de arquivos, incluindo acordos comerciais, documentos financeiros e informações de funcionários, entre outros, foram roubados. A Sony Pictures foi alvo de ataques de spear phishing. Aparentemente os funcionários foram atraídos por e-mails falsos supostamente enviados pela Apple.

Dicas

Para aprender um pouco mais sobre engenharia social enquanto se diverte, recomendo o filme Prenda-Me se For Capaz (2002), que é uma dramatização das explorações de um engenheiro social do mundo real.

Outros filmes interessantes sobre o assunto são Os Vigaristas (2003) e Uma Saída de Mestre (2003).

Referências

• HADNAGY, C. Social Engineering: The Art of Human Hacking. Wiley Publishing. 1ª ed., 2011.
• Website Security Through Education: https://www.social-engineer.org/

O post O que é Engenharia Social e como se prevenir de ataques apareceu primeiro em Bóson Treinamentos em Ciência e Tecnologia.

Um dos pilares da segurança digital é o reconhecimento e identificação de um indivíduo, seja para garantir ou negar seu acesso a um local físico, permitir a entrada em um sistema de computador ou o acesso a recursos a que ela tenha direito, ou ainda para impedir que pessoas não-autorizadas consigam acessar tais recursos e sistemas.

As técnicas mais tradicionais de autenticação e autorização envolvem o uso de senhas ou tokens de identificação (como cartões de acesso). Em um sistema baseado em senhas, por exemplo, uma correspondência perfeita entre duas strings alfanuméricas é necessária para validar a identidade de um usuário.

E para tal o usuário precisa criar essas strings e se lembrar delas – duas tarefas que podem comprometer o nível de segurança da aplicação ou do sistema, pois é comum que se empreguem senhas fáceis de memorizar (como datas de aniversário, nomes de animais de estimação, etc.) e, consequentemente, de se descobrir.

Para melhorar e aumentar o nível de segurança em tais aplicações é recomendado que se empreguem tecnologias mais confiáveis, como o uso da Biometria, ou Reconhecimento Biométrico.

Conceitos Básicos de Segurança

Para entender e apreciar a importância da ciência biométrica, precisamos ter em mente dois conceitos básicos: os conceitos de identidade pessoal e de gerenciamento de identidade.

• Identidade Pessoal: é o conjunto de atributos físicos e comportamentais associados a uma pessoa.
• Gerenciamento de Identidade: Técnicas empregadas para estabelecer a associação entre um indivíduo e sua identidade pessoal.

Uma pessoa pode ser reconhecida com base em três métodos básicos:

1. O que ela sabe, como as já citadas senhas ou PINs (Personal Identification Numbers);
2. O que ela possui (extrinsecamente), como um token ou cartão de acesso;
3. O que ela é (intrinsecamente), ou seja, as suas características físicas e comportamentais.

O gerenciamento de identidade tem papel crucial em diversas aplicações. Alguns exemplos incluem o controle do cruzamento de fronteiras internacionais, restrição de acesso físico a instalações importantes como usinas nucleares, o controle de acesso lógico a recursos compartilhados e informações, a realização remota de transações financeiras, ou a distribuição de benefícios sociais.

Roubo de Identidade

A grande importância do gerenciamento de identidade reside no fato de que uma identidade pode ser usurpada. O roubo ou fraude de identidade ocorre quando uma pessoa se apossa da identidade de outro indivíduo ou ainda afirma uma identidade falsa de modo a acessar recursos ou serviços para os quais ela não tem direito.

Por exemplo, de posse da senha de uma pessoa é possível realizar transações bancárias pela Internet sem que ela se dê conta, podendo causar prejuízos financeiros grandes.

Biometria

O reconhecimento biométrico pode ser definido como a ciência empregada para estabelecer a identidade de um indivíduo com base em características físicas e/ou comportamentais da pessoa, de forma total ou semi-automatizada. A palavra “biometria” é a combinação de duas palavras em grego: “bios“, que significa vida, e “metros“, que significa medição. Ou seja, a medição de características de um ser vivo.

As características biométricas constituem uma ligação forte e razoavelmente permanente entre uma pessoa e sua identidade. Isso significa que essas características, ou traços, podem ser associados a um indivíduo de forma a permitir que esse indivíduo seja identificado e diferenciado dos demais indivíduos com baixa probabilidade de erro, além de serem imutáveis, ou seja, não mudam ao longo da vida da pessoa, exceto em casos específicos.

Sistema Biométrico

Um sistema biométrico é essencialmente um sistema de reconhecimento ou comparação de padrões que consiste em quatro blocos básicos de construção:

• Sensor: Interface de usuário que mede ou registra os dados biométricos brutos do usuário.
• Extrator de características:  Módulo que realiza pré-processamento nos dados brutos lidos do sensor. Funções incluem a avaliação da qualidade da leitura realizada, segmentação e melhoria
• Banco de dados: Repositório das informações biométricas e identidade pessoal.
• Comparador (sistema de correspondência): Módulo que compara amostras biométricas com dados armazenados no banco, para efetuar validação ou recusar uma identidade alegada.

Segmentação é a separação entre dados coletados e ruído presente na leitura das características desejadas.
Melhoria inclui processos como equalização, suavização, mais redução de ruído, etc., empregados para aumentar a qualidade dos dados adquiridos a partir do sensor biométrico.

Um sistema biométrico mede uma ou mais características físicas ou comportamentais, como informações de impressões digitais, rosto, íris, retina, voz, assinatura, modo de andar, DNA, e outras de um indivíduo para determinar ou verificar sua identidade.

Essas características são chamadas de traços, indicadores, identificadores ou modalidades. Resumiremos os principais traços biométricos mais adiante, neste artigo.

Erros em sistemas de biometria

A ciência do reconhecimento biométrico é baseada em duas premissas fundamentais dos traços biométricos: singularidade e permanência. Um identificador biométrico é único (singular) apenas se duas pessoas no mundo podem ser diferenciadas com base nesse identificador.

Já um traço biométrico é permanente se ele não muda ao longo do tempo de vida de um indivíduo.

Raramente essas duas premissas são totalmente válidas em sistemas biométricos reais, e por conta disso sempre há um componente de erro que pode acometer o sistema. Porém, a taxa de erros em leituras ou verificações em um sistema biométrico é muito menor do que em sistemas tradicionais, como os sistemas que empregam senhas para identificação pessoal.

Características biométricas comuns

Algumas das características biométricas mais comuns empregadas em sistemas incluem:

• Impressões digitais
• Impressão da palma da mão
• Íris
• Rosto
• Geometria da mão
• Voz
• Modo de andar
• Retina
• Assinatura
• DNA

Vamos ver uma breve introdução a algumas das características biométricas mais comumente empregadas.

Impressão Digital

Impressão digital é o padrão de cristas (papilas) e sulcos na superfície da ponta de um dedo, cuja formação é determinada durante os primeiros sete meses do desenvolvimento do feto.

Desde a Antiguidade é sabido que as impressões digitais são diferentes de pessoa para pessoa, e elas já vem sendo usadas em aplicações forenses há mais de 100 anos. Os padrões de impressão digital são diferentes até mesmo em gêmeos idênticos.

Leitor de impressões digitais

A leitura de digitais é a técnica biométrica mais difundida e comum, mas não necessariamente a mais segura ou eficiente, apesar de indiscutivelmente ser muito importante nos dias de hoje.

Impressão da Palma da Mão

As palmas das mãos humanas contém padrões de cristas e sulcos como as impressões digitais, e  por isso são exploradas em aplicações de biometria.

A área da palma é bem maior que a área de um dedo, e, por conta disso, as impressões de palmas podem ser mais distintivas que as impressões digitais.

Leitura da palma da mão com um leitor biométrico

Também é possível explorar os padrões das veias nas palmas das mãos, que é diferente em todas as pessoas, mesmo em gêmeos idênticos.

Reconhecimento de Íris

A íris é a região anular do olho que se localiza entre a pupila e a esclera (branco do olho). Trata-se da parte do olho que é colorida, sendo facilmente observável e muito utilizada em aplicações de biometria.

Íris em um olho humano

A textura visual da íris é formada durante o desenvolvimento fetal e se estabiliza durante os dois primeiros anos de vida (a cor continua a mudar por mais tempo). Como essa textura é muito complexa, pode ser usada para reconhecimento pessoal.

Scanner de íris

Mais de 200 pontos são analisados por um leitor de íris comum. E o uso de óculos ou lentes de contato não altera as características da íris.

Scanner de Retina

A vasculatura da retina (conjunto das veias no fundo do olho) é rica em estruturas e aparentemente distinta para cada indivíduo e também para cada olho. Alega-se que é o tipo de biometria mais seguro de todos, pois é praticamente impossível alterar ou replicar o padrão de veias na retina humana.

Veias na retina humana

Porém pode revelar condições médicas, como hipertensão. A taxa de erro de um scanner de retina é de cerca de 1 em 10 milhões.

É impossível forjar uma retina humana, e a retina de um morto se degrada muito rapidamente, de modo que não é possível usá-la para enganar um scanner. A taxa de erro de um scanner de retina é de cerca de 1 em 10 milhões – compare isso à taxa de erro de leitores de impressão digital, que pode ser tão alta como 1 em 500 leituras.

Scanner de retina para biometria

Trata-se de um método indicado e apropriado para ambientes que requeiram segurança máxima, como instalações militares, governamentais ou financeiras.

Reconhecimento Facial (Rosto)

Reconhecimento facial é um método não-intrusivo, que leva em conta características específicas do rosto de uma pessoa, sendo que os atributos faciais são os traços biométricos mais comuns empregadas pelos humanos para se reconhecerem entre si.

Envolve a análise de características e padrões faciais para verificação e autenticação de um indivíduo.

Equipamento para reconhecimento facial biométrico

O reconhecimento facial comumente emprega recursos avançados de Inteligência Artificial, como algoritmos específicos que facilitam o processamento das imagens capturadas.

Geometria da Mão

Sistema baseado em um número de medidas tiradas da mão humana, incluindo formato, tamanho da palma, comprimentos e larguras dos dedos, entre outras.

Scanner de geometria das mãos

A geometria das mãos não é muito distintiva, e por isso não pode ser escalonada para sistemas que necessitem identificar um indivíduo em uma população grande, sendo indicada para ambientes com poucas pessoas, como pequenos escritórios ou residências.

Modo de Andar

O modo de andar é um dos poucos traços biométricos que pode ser usado para reconhecer uma pessoa à distância.

Essa técnica biométrica consiste em uma câmera de vídeo que captura imagens de uma pessoa caminhando, considerando características como ângulos entre as articulações e silhuetas do indivíduo para criar e verificar um perfil biométrico.

É útil em cenários de vigilância onde a identidade de um indivíduo pode ser estabelecida de forma secreta e sem a necessidade de sua colaboração.

Reconhecimento de Voz

O reconhecimento por voz emprega uma combinação de características biométricas físicas e comportamentais.

As características físicas são invariantes para um indivíduo, pois dependem da constituição de suas cordas vocais, formato da boca, nariz, etc., mas os aspectos comportamentais podem mudar ao longo do tempo, devido à idade, condição de saúde (uma gripe, por exemplo), estado emocional, etc.

Por conta desses fatores a biometria por voz não é apropriada para identificação em grande escala, sendo empregada apenas em ambientes pequenos, como ambientes domésticos.

Assinatura

A forma como uma pessoa assina seu nome é uma característica específica de cada indivíduo.

Uma assinatura requer contato físico com o instrumento de escrita (e esforço do usuário), e é uma técnica amplamente aceita em transações legais, governamentais e comerciais como forma de autenticação. A assinatura pode ser realizada de forma tradicional, em papel, ou em um sistema digital, usando-se sensores e dispositivos apropriados.

Assinatura biométrica com dispositivo digital

Porém, trata-se de um traço biométrico comportamental que pode mudar ao longo do tempo, e ainda ser influenciado por estados físico e emocional do assinante. Além disso, falsificadores profissionais são capazes de forjar uma assinatura, e assim enganar todo um sistema de verificação.

DNA

O DNA , ou Ácido Desoxirribonucleico, é a molécula que contém a informação genética necessária para o desenvolvimento e funcionamento de organismos vivos. Trata-se de uma espécie de código unidimensional único para cada indivíduo, sendo distinto até mesmo em gêmeos idênticos.

A chance de dois indivíduos compartilharem o mesmo DNA é menor do que uma em cem bilhões. Mesmo gêmeos idênticos não compartilham 100% do mesmo DNA, com algumas mutações diferindo entre eles.

A identificação por DNA é usada atualmente em aplicações forenses para identificar suspeitos e vítimas, ou para verificar a existência de laços familiares entre pessoas. É uma forma de identificação suscetível à contaminação ou degradação, necessita de métodos químicos, e pode acabar revelando informações privadas, como a existência de doenças no indivíduo.

Outros tipos de biometria

Existem diversos outros tipos de traços biométricos que podem encontrar aplicação em sistemas de reconhecimento, apesar de não serem muito empregados atualmente (ainda).

Entre eles se incluem:

• Termograma infravermelho das veias
• Odor
• Formato das Orelhas

Multibiometria

Uma forma de melhorar ainda mais a precisão de um sistema biométrico é usar mais de um traço biométrico em uma aplicação de reconhecimento, tornando-os mais confiáveis devido ao emprego de múltiplas peças de evidência.

Esse tipo de sistema é denominado sistema multibiométrico ou ainda biometria multimodal.

Ao se combinar mais de uma forma de identificação biométrica em uma mesma aplicação, obtém-se um sistema de identificação ultra seguro, com aplicações geralmente nas áreas militar e governamental.

Aplicações dos sistemas de biometria

Estabelecer a identidade de uma pessoa com alto grau de confiabilidade é crítico em diversas aplicações. Alguns exemplos:

Sistemas de Segurança

É importante perceber que um sistema de biometria é apenas um componente em uma solução geral de segurança, pois ele cuida apenas do aspecto da autenticação.

Outras tecnologias como criptografia, assinaturas digitais, etc. são necessárias para atender aos critérios de confidencialidade, integridade e disponibilidade do sistema de informação como um todo.

Assim, o sistema de biometria pode ser considerado como um subsistema no sistema de informação completo.

Resumo

A biometria traz diversas vantagens quando comparada a sistemas de autenticação baseados em tokens ou informações conhecidas:

• Desencoraja a fraude e aumenta a segurança
• Detecta duplicação de identidades
• Não pode ser transferido, esquecido, perdido ou copiado com facilidade
• Elimina alegações de repúdio
• Aumenta a conveniência e facilidade de uso para o usuário.

Assim, os sistemas de reconhecimento por biometria são reconhecidos como uma ferramenta poderosa e necessária para o gerenciamento de identidades.

O reconhecimento confiável de indivíduos é parte integral do funcionamento adequado de nossa sociedade. Hoje é amplamente aceito que técnicas de reconhecimento convencionais baseadas em credenciais como documentos de identificação, passaportes, senhas, PINs, etc., não são suficientemente confiáveis para reconhecer um indivíduo, pois são vulneráveis a roubo e falsificação.

Referências

• JAIN, A.K.; ROSS, A.A.; NANDAKUMAR, K. Introduction to Biometrics. 1ª ed. 2001. Springer
• JAIN, A.K.; ROSS, A.A.; NANDAKUMAR, K. Handbook of Multibiometrics. 1ª ed. 2006. Springer

O post O que é Biometria – Conceitos e Tecnologias apareceu primeiro em Bóson Treinamentos em Ciência e Tecnologia.

É extremamente comum armazenarmos uma senha em um bancos de dados usando um hash criptográfico computado a partir dessas senhas. Assim, em teoria, se alguém conseguir acessar a tabela que armazena esses hashes, não poderá saber qual é a senha que o gerou, pois as funções de hash empregadas são funções de uma via (one-way), o que significa que o algoritmo não é reversível.

Porém, isso não garante efetivamente que seja impossível descobrir as senhas. Existem técnicas que podem levar um indivíduo mal-intencionado a obter senhas de forma indevida, como ataques de força bruta e ataques de dicionário – mas o tipo de ataque que pode ser mais efetivo neste caso é o emprego de Rainbow Tables.

Rainbow Table é um método para descobrir senhas a partir de hashes, de forma rápida. A ideia básica é pré-computar uma longa lista de senhas, com seus respectivos hashes gerados por algum algoritmo específico, e armazenar essa lista em um arquivo, no formato de uma tabela. Assim, é possível reverter uma função de hash criptográfico.

Uma rainbow table pode conter muitos bilhões de hashes com as respectivas senhas que os geraram, podendo ser consultada em questão de segundos. Assim, a partir de um hash, é possível retornar a senha correspondente.

Exemplo

Suponha que o usuário Fábio use a senha LaranjaLima para se logar em um sistema. Essa senha, após ser criptografada usando um algoritmo de hash como o MD5, fica assim:

58D8295B3B5966D00DFC5304544D806F

Este é o hash MD5 da senha fornecida, que para este exemplo gerei usando um gerador de hash online, e que seria armazenado no banco de dados de senhas do sistema. A partir desse hash, não há função que permita determinar a senha original.

Porém, se este hash for fornecido a uma aplicação que utilize rainbow tables, pode ser possível descobrir a senha que o originou. Existem inclusive bancos de dados de hashes online para descobrir senhas de hashes comuns – vamos testar esse hash no site HashKiller:

Note que ao fornecer o hash da senha, o site retornou imediatamente a senha que escolhemos. Nível de segurança dessa senha com a criptografia MD5? Quase nulo, como podemos ver.

Onde encontrar Rainbow Tables

Muitos sites na Internet distribuem rainbow tables para download, como por exemplo o Free Rainbow Tables, em arquivos que podem chegar a vários Terabytes (TB) de tamanho.

Como se proteger contra Rainbow Tables

A forma mais prática e efetiva de evitar o emprego de rainbow tables para descobrir senhas é o uso de salt na hora de criar o hash de uma senha. Isso basicamente anula o valor das tabelas, pois é praticamente impossível computar previamente os hashes de todas as combinações de caracteres gerados pela combinação de senhas com strings de salt – desde que sejam longas.

Além disso, alguns algoritmos são mais seguros que outros, tornando difícil o processo de criação de rainbow tables. Evite usar algoritmos de hash vulneráveis, como o MD5 e o SHA1, por exemplo.

O post O que é Rainbow Table em Criptografia apareceu primeiro em Bóson Treinamentos em Ciência e Tecnologia.

Um salt é, basicamente, uma cadeia de caracteres aleatória concatenada com uma senha, passphrase ou arquivo antes de efetuar uma operação de hash. O salt pode ser anexado antes ou depois desses dados, e o uso do salt permite que o hash gerado seja completamente diferente toda vez que for gerado, mesmo que a senha seja idêntica.

Assim, por exemplo, se dois usuários escolherem a mesma senha para login em um sistema, o hash de ambas será completamente diferente, por conta do salt adicionado (que será diferente, por ser aleatório).

Chamamos comumente a essa operação de salgar a senha.

O valor de salt gerado é armazenado no banco de dados juntamente com o hash, pois ele será necessário quando do processo de verificação da senha – por exemplo, quando um usuário tenta se logar em um sistema com suas credenciais.

O emprego de salt inutiliza as técnicas empregadas para descobrir senhas hasheadas, como rainbow tables, tabelas de lookup e de lookup reverso, por exemplo. Como o hacker não tem como saber de antemão os valores de salts que serão empregados ao criar os hashes de senha, se torna impossível gerar tabelas de senhas com seus respectivos hashes (como Rainbow Tables).

Além disso,seu uso impede que duas senhas iguais tenham o mesmo valor de hash.

Os salts são gerados usando bibliotecas e funções do tipo CSPRNG (Cryptographically Secure Pseudo-Random Number Generator), ou Gerador de Números Pseudo-Aleatórios Criptograficamente Seguros, que estão disponíveis na maioria das linguagens de programação.

Exemplos dessas bibliotecas e funções em algumas linguagens de programação incluem:

• C – getrandom()
• Java – java.security.SecureRandom
• Python – secrets()
• PHP – password_hash(), random_bytes()
• C# – RNGCryptoServiceProvider
• Ruby – Securerandom

Exemplo

Suponha que um usuário deseja se cadastrar em um sistema online, criando um nome de usuário e uma senha, a saber: usuário fabio e senha a1s2d3fH. Precisamos armazenar esse par de valores em um banco de dados (BD) para permitir que o usuário seja capaz de fazer logon sempre que for necessário em sua conta.

Evidentemente não vamos armazenar essa senha no BD, por questões de segurança – afinal, qualquer um que tenha acesso à tabela do banco de dados poderia obter a senha instantaneamente. O que devemos armazenar é um hash dessa senha – o valor fornecido de senha será processado por um algoritmo de hash criptográfico.

Porém, mesmo essa técnica não é segura, pois é relativamente fácil encontrar tabelas de senhas com seus respectivos hashes pré-calculados na Internet (chamadas de Rainbow Tables) – assim, de posse do hash em si é possível descobrir qual senha foi utilizada para gerá-lo.

Para evitar esse problema usamos o salt.

Geramos um salt criptográfico aleatório (que nunca deve ser reutilizado) e o concatenamos com a senha fornecida pelo usuário, antes de efetuar a operação de hashing. Assim, suponhamos que foi gerado um salt com a sequência de caracteres hfwoffw8k0*4Mj&jk. Esse salt será concatenado com a senha:

hfwoffw8k0*4Mj&jka1s2d3fH

E esse conjunto alimentará a função de hash:

hash = fHash(hfwoffw8k0*4Mj&jka1s2d3fH)

O valor de hash retornado será armazenado no banco de dados. E o salt empregado também deve ser armazenado, para que seja possível validar a senha posteriormente, quando o usuário desejar entrar no dito sistema novamente:

Resumindo os passos para armazenar senhas de forma segura com salt

Como armazenar uma senha de forma segura em um banco de dados

1. Gere um salt longo e aleatório usando um CSPRNG.
2. Anexe o salt gerado à senha escolhida pelo usuário e então crie um hash usando uma função de hash de senha padrão, como bcrypt, scrypt, PBKDF2, ou outra comum.
3. Salve tanto o hash gerado quanto o salt em campos no banco de dados.

Como verificar uma senha

1. Obtenha o salt e o hash armazenados no banco de dados.
2. Anexe o salt à senha fornecida pelo usuário e crie o hash usando a mesma função de hash usada ao armazenar a senha.
3. Compare o hash da senha fornecida com o hash armazenado banco de dados. Se eles forem iguais, significa que a senha fornecida está correta. Caso contrário, a senha está errada.

Conclusão

O emprego de salt aumenta brutalmente a segurança ao criptografar dados usando algoritmos de hash, e é imprescindível que o utilizemos em todos os sistemas que exijam autenticação em algum ponto.

Leia mais sobre o utilitário de criptografia bcrypt aqui.

O post O que é Salt em criptografia apareceu primeiro em Bóson Treinamentos em Ciência e Tecnologia.

O nmap é um utilitário open source para exploração de redes e auditoria de segurança. Criado por Gordon Lyon em 1997, ele permite escanear desde hosts únicos a grandes redes de dispositivos, tanto local quanto remotamente, por meio do envio de pacotes e análise das repostas recebidas.

O nmap roda em Linux, BSD, OS X e Windows, possuindo interface padrão em linha de comandos e também uma implementação de interface gráfica, chamada de zenmap.

Neste tutorial vamos mostrar doze exemplos de uso do nmap. Mas antes, precisamos instalá-lo no sistema. Usaremos um sistema Ubuntu Linux para mostrar os exemplos, que poderão ser replicados em qualquer outro sistema:

Como instalar o nmap e zenmap

Vamos instalar os pacotes:

# apt install nmap zenmap

Verificar se nmap e zenmap estão instalados:

# whereis nmap
# whereis zenmap

Não vamos utilizar o zenmap neste tutorial; deixe-o instalado pois vamos mostrar como usá-lo nos próximos tutoriais sobre o assunto.

Vamos aos exemplos de uso do nmap agora.

Exemplos

1 – Listar as portas abertas em um host remoto, como o scanme.nmap.org:

# nmap scanme.nmap.org

Conta comum: envia TCP Connect Scan; Conta com privilégios: envia SYN Stealth Scan.

Estados das portas

As portas podem se encontrar nos seguintes estados:

• open – Uma aplicação está escutando conexões nesta porta.
• closed – Pacote recebido, mas nenhuma aplicação escutando na porta.
• filtered – Pacote não recebido, e estado não pôde ser estabelecido. Pacotes podem estar sendo descartados por filtros.
• unfiltered – Pacote recebido, mas estado não pôde ser estabelecido.
• open/filtered – Porta filtrada ou aberta, mas o nmap não conseguiu estabelecer o estado.
• closed/filtered – Porta filtrada ou fechada, mas o nmap não conseguiu estabelecer o estado.

2 – Detecção de Versão de Serviços

A detecção de serviço é uma das técnicas mais usadas no nmap, permitindo por exemplo identificar vulnerabilidades de segurança ou simplesmente verificar se um serviço está rodando em uma porta específica.

A flag sV habilita detecção de serviço, retornando informações sobre serviços e versões.

# nmap -sV scanme.nmap.org

3 – Usar o Modo Agressivo

O modo agressivo é um modo de operação especial do nmap que é ativado com o uso da flag A, habilitando a detecção de S.O., versão, escaneamento de script e traceroute:

# nmap -A localhost

4 – Encontrar hosts ativos na rede

Podemos enumerar ou monitorar alvos ativos, usando a flag P (ping scanning):

# sudo nmap -sP 192.168.1.1/24

5 – Escanear portas específicas na rede

Podemos escanear uma porta ou grupo de portas específicas com a flag -p

# sudo nmap -p80 192.168.1.1/24

Outras formas de escanear portas específicas:

Lista de portas:

# sudo nmap -p80, 443 192.168.1.1/24

Faixa de portas:

# sudo nmap -p1-200 192.168.1.1/24

Todas as portas:

# sudo nmap -p- 192.168.1.1/24

Portas específicas por protocolos:

# sudo nmap -pT:22,U:53 192.168.1.1/24

Por nome de serviço:

# sudo nmap -p ftp 192.168.1.1/24

6 – Identificar hostnames

Podemos identificar os nomes de hosts ativos na rede com a flag -L

# sudo nmap -sL 192.168.1.1/24

7 – Identificar sistema operacional

Para identificar o sistema operacional de um host usamos a flag -O

# sudo nmap -O 192.168.1.1

8 – Escanear as x principais portas

Podemos escanear as x principais portas (por exemplo, as 20 principais portas) com o parâmetro –top-ports:

# sudo nmap --top-ports 20 192.168.1.1

9 – Salvar a saída em um arquivo de texto

Podemos salvar a saída gerada pelo nmap em um arquivo de texto, que pode ser analisado posteriormente, com a opção -oN:

# sudo nmap --top-ports 20 -oN saida.txt 192.168.1.1

E então abrir essa saída usando qualquer editor de textos, ou até mesmo o comando cat.

10 – Ler um arquivo de texto contendo IPs

Podemos usar um arquivo de texto contendo diversos endereços IP com entrada para o escaneamento do nmap com a opção -iL.

Suponha que tenhamos um arquivo de nome listaIP.txt e que possua o seguinte conteúdo:

192.168.1.1
8.8.8.8
192.168.1.60
www.locaweb.com.br

Usamos o comando como segue:

# sudo nmap -p80 -iL listaIP.txt

11 – Escanear apenas portas TCP ou UDP

Podemos especificar se o escaneamento deve ocorrer apenas em portas TCP ou UDP (o padrão é em ambas), com as flags -sT (TCP) e -sU (UDP):

# sudo nmap -sT localhost
# sudo nmap -sU localhost

12 – Mostrar rotas e interfaces no host

Podemos verificar a configuração das interfaces de rede e as rotas no host que roda o nmap, para fins de troubleshooting:

# sudo nmap -iflist

Bônus: Como usar o NSE – Nmap Scripting Engine

Recurso poderoso do nmap, o NSE nos permite usar um conjunto pré-determinado de scripts, ou ainda escrever nossos próprios scripts de alta complexidade.

Um exemplo é um script de teste completo de vulnerabilidade:

# sudo nmap -Pn --script vuln 192.168.1.1

Referências

Lyon, G. F. Nmap Network Scanning. Ed. Insecure.com, 1ª Ed. 2008

O post 12 Exemplos de uso do utilitário nmap apareceu primeiro em Bóson Treinamentos em Ciência e Tecnologia.

Phishing se refere a um conjunto de técnicas empregadas por bandidos digitais com o intuito de enganar usuários para que eles forneçam inadvertidamente informações sigilosas e valiosas.  Geralmente, este tipo de ataque começa com o recebimento de um e-mail falso, ou ainda outra forma de comunicação cujo intuito seja enganar a vítima, como uma mensagem instantânea.

A mensagem enviada é forjada para se parecer com uma mensagem legítima, proveniente de uma fonte confiável ao usuário. Caso a vítima caia na armadilha, poderá ter informações confidenciais roubadas, comumente fornecendo esses dados em um website falso. Algumas vezes também é feito o download de software malicioso para o computador da vítima.

O phishing é um exemplo clássico de técnica de Engenharia Social empregada para enganar usuários de sistemas de computador.

A palavra “phishing” é um homófono (palavras que soam da mesma forma) da palavra em inglês fishing, que significa “pescaria” – denotando o caráter de “pesca” de vítimas.

Tipos de Phishing

Existem várias formas de se realizar ataques de phishing, dependendo de como é realizado e de quem são os alvos. Os mais comuns são os seguintes:

Whaling

Quando um ataque de phishing tem por alvo uma figura de grande importância, como o diretor de uma grande empresa, o ataque é também conhecido como “whaling”, que significa basicamente “pesca à baleia”, pelo porte do usuário-alvo e alta possibilidade de retorno da “operação”. Este é um ataque de periculosidade elevada, devido à categoria de informações que podem ser obtidas.

Pharming

Uma outra forma de phishing bastante comum é chamada de “Pharming”, na qual os usuários são redirecionados a um website falso, mas que aparenta ser legítimo. Às vezes nem é necessário que o usuário clique em um link malicioso – é possível alterar registros DNS na máquina da vítima ou no servidor de hospedagem do site de modo a redirecionar as requisições de acesso ao site para uma página falsa, mesmo que o endereço correto do website seja digitado no navegador.
É preciso tomar muito cuidado e sempre inspecionar minuciosamente o endereço que está sendo acessado, pois normalmente um endereço falso difere de um legítimo por diferenças mínimas, como um simples caractere.

Por exemplo, a URL www.bancobrasil.com.br leva ao site oficial do Banco do Brasil; um atacante pode forjar um redirecionamento para um site falso cuja URL seja, por exemplo, www.bancobrazil.com.br, a qual não te leva ao site original.

Spear Phishing

Também existe o conceito de Spear Phishing (“Pesca com Arpão”), no qual o alvo são indivíduos específicos, em vez de um grande grupo de pessoas aleatórias. Para tal, os atacantes podem pesquisar informações sobre o alvo em redes sociais e em outros locais, de modo a coletar informações suficientes para personalizar a comunicação empregada no ataque – o que a torna muito mais autêntica, e passível de êxito.

Clone Phishing

Neste tipo de ataque um e-mail legítimo, recebido anteriormente e contendo um anexo ou link tem seu conteúdo e endereços de destinatários recebidos alterados para criar um e-mail praticamente idêntico ou ainda totalmente clonado. O anexo ou link enviado no email é substituído por uma versão maliciosa e, enviado a partir de um endereço de email falsificado para que pareça ser proveniente do remetente original.

Objetivos de um ataque de Phishing

Na maior parte dos casos, meliantes querem obter vantagens financeiras, e fazem isso roubando números de cartão de crédito, senhas de acesso a bancos ou outros tipos de dados do gênero. Algumas vezes o phishing é empregado para obter dados de acesso a uma corporação, obtendo esses dados de funcionários incautos, como por exemplo dados de login em sistemas.

Além disso, é possível que um ataque de phishing seja escalado para um ataque mais elaborado, como por exemplo a implantação de ransomware nos computadores de uma empresa.

Como se proteger contra ataques de Phishing

Há diversas medidas que podem ser tomadas para a proteção contra o phishing. Entre elas elencamos:

Uso de Tecnologias de Segurança

É imprescindível que sejam implantadas tecnologias de segurança dos equipamentos da empresa (ou de sua casa), sendo as mais comuns o emprego de antivírus e firewall, que permitem diminuir a probabilidade de um ataque ocorrer, ou ainda minimizar seu impacto, caso ocorra.
Controle de acesso de usuários e monitoramento de suas ações também são técnicas amplamente empregadas para proteger a rede de ataques em geral, incluindo phishing.

Uma técnica bastante empregada também é o emprego de uma lista de sites de phishing conhecidos e sempre verificar essa lista ao acessar um site em sua máquina. Um exemplo desse tipo de serviço é o Google Safe Browsing, e praticamente todos os navegadores possuem algum tipo de técnica anti-phishing como esta.

O uso de filtros de spam também pode ajudar a diminuir problemas com ataques de phishing, por meio da análise e remoção automáticas de alguns tipos de ataques, muitas vezes empregando abordagens avançadas de machine learning (aprendizagem de máquina) ou processamento de linguagem natural, para classificar e-mails maliciosos.

Muitos pacotes de softwares para segurança, como pacotes antivírus, possuem software anti-phishing integrado.

Educar os Usuários

De crucial importância é a educação dos usuários, sejam eles funcionários da organização ou você mesmo, em sua casa ou outro local. É muito importante saber como reconhecer um e-mail de phishing, e o que fazer ao receber um – o que, basicamente, significa jamais clicar em links ou abrir anexos não solicitados, e excluir o e-mail suspeito imediatamente. Dependendo da ferramenta de segurança disponível no sistema, também é possível reportado o e-mail para que ele seja detectado e marcado caso venha a ser recebido novamente.

O post O que é Phishing? – Tópicos de Segurança Digital apareceu primeiro em Bóson Treinamentos em Ciência e Tecnologia.

Nesta lição vamos aprender a usar o protocolo SSH para efetuar acesso remoto a um sistema Linux Debian (e derivados), usando uma conexão por meio de senha. Instalaremos o pacote de código aberto OpenSSH para nossos testes.

Servidor SSH (Secure Shell)

Trata-se de um protocolo de rede seguro utilizado para administração e acesso remotos em servidores Linux (e outros tipos de sistemas operacionais) que permite a comunicação com nível elevado de segurança através do uso de criptografia entre os clientes e o servidor SSH.

Para instalá-lo no Debian e derivados, use o comando a seguir:

# apt-get install openssh-server

Após instalar o serviço, verifique se ele está em execução:

# service ssh status

Para iniciar o programa (se necessário) use o comando a seguir:

# /etc/init.d/ssh start

ou ainda

# service ssh start

Após a instalação do OpenSSH será necessário gerar as chaves de criptografia que serão utilizadas durante os processos de autenticação e transferência de dados. Para isso, digite o seguinte comando no terminal:

# ssh-keygen –t rsa

Pressione <enter> quando perguntado sobre os locais para armazenamento das chaves. Isso irá gerar as chaves de criptografia no padrão RSA. Verifique o local onde as chaves serão salvas. Serão gerados dois arquivos: id_rsa e id_rsa.pub, que correspondem respectivamente à chave privada e à chave pública de criptografia.

Testando o OpenSSH

Para entrar no servidor remotamente basta agora rodar um cliente ssh, como o PuTTY no Windows (www.putty.org).

O serviço do SSH roda por padrão na porta TCP 22. Lembre-se sempre de liberar essa porta no firewall do sistema, se ele estiver ativo, caso contrário a conexão remota será recusada.

Ainda com dúvidas? Assista a um vídeo sobre a instalação e configuração do servidor SSH no Linux a seguir:

Até a próxima!

O post Servidor SSH – Conceitos básicos e conexão por senha no Linux apareceu primeiro em Bóson Treinamentos em Ciência e Tecnologia.

Para representar números grandes (longos) de forma sucinta e compacta, usando pouco símbolos, os sistemas de computador utilizam representações alfanuméricas com uma base numérica maior do que a base 10. Por exemplo, o sistema tradicional de representação numérica que usamos no dia-a-dia é o sistema base 10, que utiliza os numerais de 0 a 9 para representar todos os números.

Porém, é muito comum em programação de computadores que endereços de memória sejam representados numericamente, e para isso geralmente usamos o sistema de numeração hexadecimal (base 16), que contém os numerais de 0 a 9, mais as “letras” de A a F, que representam os valores numéricos de 10 a 15. Assim, um número representado no sistema hexadecimal é mais curto do que sua representação equivalente em decimal, facilitando as tarefas de digitação, representação e memorização (se necessária).

Podemos compactar ainda mais a representação de strings de caracteres e valores numéricos usando sistemas como o Base64, que utiliza as 26 letras do alfabeto latino minúsculas, as 26 letras maiúsculas, 10 numerais (0 a 9) e mais dois caracteres especiais, como “+” e “/” para a transmissão de dados binários em mídias baseadas em texto, como e-mails. O sistema Base64 é muito utilizado para adicionar anexos binários em e-mails.

Base58

Já o sistema Base58 é um formato de codificação binária baseado em texto desenvolvido para uso em aplicações de criptomoedas, como o Bitcoin. Ele oferece um balanço entre a representação compacta, facilidade de leitura, detecção e prevenção de erros. O Base58 é um subconjunto do sistema Base64, utilizando as letras do alfabeto maiúsculas e minúsculas, números, e omitindo alguns caracteres que muitas vezes são confundidos com outros caracteres, e que podem parecer idênticos dependendo da fonte usada na representação do texto.

No caso do Base58, os caracteres que não são utilizados são o 0 (zero), O (letra o maiúscula), I (letra i maiúscula), l (letra L minúscula) e os símbolos “+” e “/”.

Abaixo temos o alfabeto Base58 completo:

123456789ABCDEFGHJKLMNPQRSTUVWXYZabcdefghijkmnopqrstuvwxyz

O Base58 foi projetado especificamente para que seja possível humanos entrarem com dados manualmente, ou ainda copiá-los de alguma fonte visualmente.

As principais aplicações do Base58 são a criação de endereços de Bitcoin, endereços de Ripple (outra criptomoeda) e URLs encurtadas para o Flickr, entre outras.

Base58Check

O Base58Check é um formato de codificação Base58 que, além de codificar os dados, também registra o tipo dos dados na string formada, e inclui detecção de erros nos últimos caracteres da codificação.

O checksum (soma de verificação para detecção de erros) consiste em quatro bytes adicionais concatenados no final dos dados que são codificados. O checksum é derivado de um hash dos dados codificados, e assim pode ser utilizado para detectar e prevenir modificação dos dados e erros de digitação. 

Quando um software recebe uma string codificada com Base58Check, ele calcula o checksum dos dados e o compara com o checksum incluído no código e si. Se os valores não baterem, um ero ocorreu na transmissão dos dados e o dado é considerado inválido. Desta forma, por exemplo, evita-se que um endereço Bitcoin digitado erroneamente seja aceito por um software de carteira como um destino válido de fundos, um erro que resultaria em perda do dinheiro transferido.

Para converter dados brutos em formato Base58Check, primeiramente adicionamos um prefixo ao dado, chamado de “Byte de Versão”, que serve para identificar com facilidade o tipo de dado que está sendo codificado. Por exemplo, para um endereço de bitcoin o prefixo será zero, enquanto o prefixo usado para codificar uma chave privada será o número 128 (em hexadecimal, 0x80).

Após adicionar o prefixo, é computado um hash duplo do dado, usando o algoritmo SHA256 duas vezes, como segue:

soma de verificação = SHA256(Sha256(prefixo + dado))

O resultado será uma string de 32 bytes, dos quais usa-se apenas os quatro primeiros. Esses quatro bytes servem como código de verificação de erros (não de correção!), e é o que chamamos de “Checksum”. Esse valor é concatenado o final da string de dados a ser transmitida.

Assim, temos no final ma string composta por um prefixo, dados e um checksum. Esse conjunto é então codificado usando o formato Base58 que vimos na seção anterior.

Uma das principais aplicações do Base58Check é a codificação de dados em bitcoin para apresentação ao usuário, pois os dados se tornam compactos, fáceis de ler e de detectar erros. Os endereços de bitcoin codificados desta forma sempre iniciam com o caractere 1 (um).

Como exemplo, veja o endereço público para contribuições de bitcoin para a Bóson Treinamentos (caso queira contribuir com qualquer valor, fique à vontade!):

1F2zucNtHimYR2dpnGxpX1fnoMn5xKM5S6

Como esperado, o endereço (que está codificado) se inicia com o valor 1.

É isso aí! No próximo tutorial vamos continuar explorando as tecnologias por trás das criptomoedas. Até mais!

O post Esquema de Codificação Base58 apareceu primeiro em Bóson Treinamentos em Ciência e Tecnologia.

Por Joshua Holden
Professor de matemática no Instituto de Tecnologia Rose-Hulman em Indiana. Ele estuda teoria dos números e criptografia. É o autor de The Mathematics of Secrets: Cryptography from Cesar Ciphers to Digital Encryption (2017).

Dois tipos básicos de esquemas de criptografia são usados hoje na internet. Um, conhecido como criptografia de chave simétrica, segue o mesmo padrão que as pessoas tem usado para enviar mensagens secretas por milhares de anos. Se Alice quer enviar uma mensagem secreta a Bob, eles começam por se reunir em algum lugar onde eles não possam ser ouvidos e escolhem uma chave secreta; Mais tarde, quando eles estão separados, eles podem usar essa chave para enviar mensagens que Eva, a espiã, não consegue entender mesmo que as intercepte. Este é o tipo de criptografia usado quando você configura uma conta online com o banco na sua vizinhança; Você e seu banco já possuem informações privadas um sobre o outro e usam essas informações para configurar uma senha secreta para proteger suas mensagens.

O segundo esquema é chamado de criptografia de chave pública, e foi inventado apenas na década de 1970. Como o nome sugere, estes são sistemas nos quais Alice e Bob escolhem uma chave, ou parte dela, trocando apenas informações públicas. Isso é incrivelmente útil no comércio eletrônico moderno: se você deseja enviar o seu número de cartão de crédito com segurança pela internet para a Amazon, por exemplo, não quer ter que se dirigir à sua sede para ter uma reunião secreta primeiro. Os sistemas de chave pública dependem do fato de que alguns processos matemáticos parecem ser fáceis de fazer, mas difíceis de desfazer. Por exemplo, para Alice pegar dois números inteiros grandes e multiplicá-los é relativamente fácil; Para Eva para obter o resultado e recuperar os números originais parece muito mais difícil.

A criptografia de chave pública foi inventada por pesquisadores da sede de comunicações do governo (GCHQ) – o equivalente britânico (mais ou menos) da Agência Nacional de Segurança dos EUA (NSA) – que queriam proteger as comunicações entre um grande número de pessoas em uma organização de segurança . Seu trabalho foi classificado e o governo britânico nem o usou nem permitiu que ele fosse divulgado ao público. A ideia de comércio eletrônico, aparentemente, nunca ocorreu a eles. Alguns anos depois, pesquisadores acadêmicos de Stanford e do MIT, nos Estados Unidos,  redescobriram os sistemas de chave pública. Desta vez, eles estavam pensando nos benefícios que a criptografia generalizada poderia trazer às pessoas comuns, e não menos a capacidade de fazer negócios usando computadores.

Agora os criptógrafos acreditam que um novo tipo de computador baseado na física quântica poderia tornar a criptografia de chave pública insegura. Os bits em um computador normal são 0 ou 1. A física quântica permite que bits estejam em uma superposição de 0 e 1, da mesma maneira que o gato de Schrödinger pode estar em uma superposição de estados vivo e morto. Isso às vezes permite que os computadores quânticos explorem possibilidades mais rapidamente do que os computadores normais. Embora ninguém tenha construído um computador quântico capaz de resolver problemas de tamanho não trivial (a menos que o estejam mantendo em segredo) nos últimos 20 anos, os pesquisadores começaram a descobrir como escrever programas para esses computadores e previram que, uma vez construídos, os computadores quânticos resolverão rapidamente “problemas ocultos de subgrupos”. Uma vez que todos os sistemas de chave pública atualmente dependem de variações desses problemas, eles poderiam, em teoria, ser quebrados por um computador quântico.

Os criptógrafos não estão desistindo, no entanto. Eles estão explorando substituições para os sistemas atuais, de duas formas principais. Uma implanta cifras quantum-resistentes, que são formas de criptografar mensagens usando computadores atuais, mas sem envolver problemas de subconjuntos ocultos. Assim, eles parecem ser seguros contra os quebradores de código que usariam computadores quânticos. A outra ideia é fazer cifras verdadeiramente quânticas. Estes “combateriam quantum com quantum”, usando a mesma física quântica que poderia nos permitir construir computadores quânticos para proteger contra ataques computacionais quânticos. Progresso está sendo realizado em ambas as áreas, mas ambos exigem mais pesquisas, que atualmente estão sendo realizadas em universidades e outras instituições ao redor do mundo.

No entanto, algumas agências governamentais ainda querem restringir ou controlar as pesquisas sobre a segurança criptográfica. Eles argumentam que, se todos no mundo tiverem acesso a uma criptografia forte, então terroristas, sequestradores e pedófilos serão capazes de esconder seus atos de tal forma que os funcionários da segurança pública e da segurança nacional não vão conseguir descobrir.

Mas isso não é realmente verdade. O que é verdade é que praticamente qualquer pessoa pode se apossar de um software que, quando usado corretamente, é seguro contra ataques conhecidos publicamente. A chave aqui é “quando usado corretamente”. Na realidade, quase nenhum sistema é sempre usado corretamente. E quando terroristas ou criminosos usam um sistema incorretamente, mesmo que seja uma única vez, isso pode permitir que um criptoanalista experiente que trabalhe para o governo leia todas as mensagens enviadas usando esse sistema. O pessoal responsável pela aplicação da lei e da segurança nacional pode reunir essas mensagens com informações recolhidas de outras formas – vigilância, informantes confidenciais, análise de metadados e características de transmissão, etc. – e ainda possuir uma ferramenta poderosa contra os infratores.

Em seu ensaio “A Few Words on Secret Writing’” (“Algumas palavras sobre a escrita secreta”), de 1841, Edgar Allan Poe escreveu: “É possível afirmar rotundamente que a ingenuidade humana não pode inventar uma cifra que a própria ingenuidade humana não possa resolver”. Na teoria, foi comprovado que ele estava: quando executado corretamente nas condições adequadas, técnicas como a criptografia quântica são seguras contra qualquer possível ataque de um intruso, como nosso personagem invasor Eva. Em situações da vida real, no entanto, Poe estava, sem dúvida, correto. Toda vez que um sistema “inquebrável” foi colocado em uso real, algum tipo de infortúnio inesperado eventualmente deu a Eva a oportunidade de quebrá-lo. Por outro lado, sempre que parecia que Eva havia ganho a partida, Alice e Bob encontraram uma maneira inteligente de voltar ao jogo. Estou convencido de uma coisa: se a sociedade não dá a “engenhosidade humana” tanto espaço para florescer quanto podemos gerenciar, todos sairemos mais empobrecidos por isso.

The Mathematics of Secrets: Cryptography from Caesar Ciphers to Digital Encryption por Joshua Holden está disponível na Princeton University Press.

Traduzido e republicado com permissão de Aeon. Artigo original: “Quantum cryptography is unbreakable. So is human ingenuity“

LICENÇA: Creative Commons Attribution-No Derivatives

Leia também: Introdução à Criptografia

O post A criptografia quântica é inquebrável. Assim como a engenhosidade humana apareceu primeiro em Bóson Treinamentos em Ciência e Tecnologia.

O WikiLeaks revelou um outro documento relacionado à série Vault 7 (revelação de ferramentas de hacking da agência central de inteligência americana).

Conhecido como programa “Cherry Blossom“, que de acordo com os documentos vazados, foi supostamente desenvolvido e implementado pela CIA com a ajuda de um instituto de pesquisa sem fins lucrativos sediado em Menlo Park, na Califórnia, para seu projeto “Cherry Bomb“, e que se foca em comprometer dispositivos wireless (sem fio).

O Cherry Blossom em si é um firmware que permite aos invasores explorar vulnerabilidades e comprometer dispositivos de rede sem fio, como por exemplo pontos de acesso (Access Points) e roteadores sem fio.

Funcionamento do Cherry Blossom

Ao comprometer remotamente o dispositivo visado, o Cherry Blossom substitui o firmware existente pelo seu próprio, permitindo que os atacantes transformem o roteador ou o AP em algo chamado de “FlyTrap“. O FlyTrap pode vasculhar endereços de e-mail, nomes de usuário de bate-papo, endereços MAC e números de VoIP no tráfego que passa pela rede – e tudo isso sem a necessidade de nenhum acesso físico.

De acordo com o Press Release da WikiLeaks:

Uma vez que o novo firmware no dispositivo seja ativado, o roteador ou AP se tornará o chamado FlyTrap. Um FlyTrap se comunicará pela Internet com um servidor de comando e controle chamado CherryTree.

As informações transmitidas contém o status do dispositivo e informações de segurança que o CherryTree registra em um banco de dados. Em resposta a esta informação, o CherryTree envia uma missão com tarefas definidas pelo operador.

Um operador pode usar o CherryWeb, uma interface de usuário baseada em navegador para visualizar o status do Flytrap e informações de segurança, planejar tarefas da missão, visualizar dados relacionados à missão e executar tarefas de administração do sistema.

Além disso, a WikiLeaks observa que, como os dispositivos Wi-Fi (sem fio) são muito comuns em residências, locais públicos e escritórios, isso os torna adequados para realizar ataques do tipo “Man-In-The-Middle”, pois o programa Cherry Blossom de hacking wireless da CIA pode monitorar, controlar e manipular facilmente o tráfego da Internet de usuários conectados.

Equipamentos vulneráveis

Alguns dos dispositivos que podem ter vulnerabilidades exploradas pelo Cherry Blossom incluem equipamentos da 3Com, Aironet / Cisco, Allied Telesis, Ambit, Apple, Asustek Co, Belkin, Breezecom, Cameo, D-Link, Linksys, Orinoco, USRobotics, entre outros.

É possível consultar uma lista completa contendo centenas de outros fornecedores a partir deste link

A CIA e Malwares

Até agora, a série Vault 7 vem mostrando como a CIA supostamente hackeia e invade TVs, smartphones, caminhões (!!!) e computadores. A série também destaca as vulnerabilidades críticas que a comunidade de inteligência tem descoberto em sistemas operacionais como Microsoft Windows e Apple Mac OS X, mas que nunca compartilha com os fabricantes em si.

Os documentos também mostraram como a CIA usa malwares e outros tipos de softwares contra usuários desavisados em todo o mundo. Estes incluem, entre muitos outros, Dark Matter, Marble, Grasshoppe, HIVE, Weeping Angelk, Archimedes, AfterMidnight, Athena e Pandemic.

Fontes: Hackread e WikiLeaks

O post WikiLeaks revela um sistema de hacking wireless da CIA apareceu primeiro em Bóson Treinamentos em Ciência e Tecnologia.