quarta-feira, 31 de dezembro de 2008

Os ataques aos certificados SSL

Bom, já tem muito tempo que não blogo. Estava meio sem assunto e sem tempo cuidando de algo que será assunto aqui em breve (evento do OWASP).

O assunto de hoje é o ataque da turma do prof. Lenstra, que conseguiu subverter a infra-estrutura de chaves pública (PKI) usada pelos browsers para sites com SSL (veja no site: http://www.win.tue.nl/hashclash/rogue-ca/). Vamos começar pelo resultado do ataque: eles conseguiram criar uma autoridade certificadora (AC) falsa capaz de emitir certificados que são aceitos pelos principais browsers (leia-se IE e firefox). Com isso, eles agora são capazes de gerar certificados (que são aceitos como válidos) para qualquer site que queiram.

Com o certificado falso, é possível montar um ataque contra um site legítimo de e-banking ou e-commerce. Vamos supor que o Banco do Sapão (BdS) é uma instituição bancária respeitada e reconhecida e que tem um site de e-banking no endereço www.bds.com.br. Tendo em mãos a AC falsa, vários ataques são possíveis:
  1. subverter o DNS do cliente para que acesse www.bds.com.br em um endereço IP designado pelo atacante. Antes, os ataques de DNS eram contidos porque o browser iria reclamar do certificado usado pelo sevidor web. Com a AC falsa, o site falso agora pode usar um certificado que será aceito pelo browser sem reclamar.
  2. Usar falhas na aplicação (cross-site scripting, redirects, etc) para fazer o cliente acessar o site falso. Assim como no caso anterior, essa possibilidade já existia, mas o uso de certificados falsos faz com que o browser não avise ao usuário que tem alguma coisa estranha acontecendo, facilitando (e muito) o ataque.
  3. Fazer phishing para um site que pareça real. E que ficará mais "real" ainda já que terá um certificado "válido".
Existem outras possibilidades de ataque, mas essas me parecem as mais importantes.

Mas como isso é possível? Bom, tudo começa quando, em 2004, um grupo de pesquisadores chineses liderados pela profa. Xiaoyun Wang apresentou uma evolução dos ataques de Antoine Joux para geração de colisões no MD5. O grande avanço dos chineses foi conseguir gerar colisões no MD5 completo (com todos os rounds), tornado o ataque praticável com os recursos computacionais disponíveis atualmente.

Depois de divulgar este ataque e as colisões MD5 geradas, a profa. Wang, dentre outras coisas, participou de um projeto com o prof. Lenstra onde eles conseguiram gerar certificados com chaves diferentes. Este primeiro resultado tinha apenas a chave diferente, os demais dados do certificado eram iguais. Depois a equipe do prof. Lenstra conseguiu gerar certificados para identidades diferentes, mas sob condições controladas (era uma AC interna, o que ajuda a saber e definir como são gerados todos os campos do certificado).

O trabalho apresentado no CCC é uma evolução disso tudo, em que o resultado agora foi gerar um par de certificados assinados por uma AC comercial. Os certificados são gerados de forma coordenada para que a assinatura RSA usando MD5 como hash seja igual para ambos. O primeiro é comprado de uma AC comercial a partir de chaves e identidades cuidadosamente escolhidas. O segundo é o certificado falso, para o qual é copiada a assinatura presente no primeiro.

Para tornar o ataque mais inteligente, os pesquisadores fizeram de forma que o segundo certificado seja um certificado de um AC, ou seja, os browsers aceitam certificados assinados por ele. Assim, os atacantes podem criar quantos certificados quiserem a partir de um único certificado falso.

Algumas pessoas e instituições estão minimizando a importância deste ataque, como a fundação Mozzila e a Microsoft. O principal argumento é que poucas ACs usam MD5 e que o ataque foi específico a uma AC (que usa números de série sequenciais). O problema é que se uma única AC estiver vulnerável, o ataque é possível e pode afetar todos os usuários da Internet. Neste caso dependemos de todas as ACs estarem vigilantes para podermos confiar na PKI usada pelos browsers. E todos sabemos que muitas empresas só estão preocupadas em seu faturamento, ainda mais em tempos de crise. Não creio que haverá tanta boa vontade por parte das ACs em mudar softwares e processos, a menos que haja um pressão econônica grande. Só que com os grandes players falando que o problema é bobagem, muito da possibilidade de pressão se perde.

O ataque também depende de um grande poder computacional: é verdade, mas com as estimativas de milhões arrecadados com fraudes a sites bancários, será que é muito caro comprar 200 Playstation (coisa de 70 mil dólares)? Por fim, o ataque depende de conhecimento de criptografia. Bom, vamos lembrar que tem gente mal intencionada em todos os níveis de escolaridade e conhecimento e que as máfias internacionais podem também usar chantagem ou extorsão como forma de obter o conhecimento necessário.

Em suma, é um novo ataque que põe em cheque um dos pilares da segurança de sites de comércio eletrônico e internet banking. O ataque é de difícil implementação, mas depende apenas de uma AC vulnerável, conhecimento criptográfico e poder computacional. Nada impossível de acontecer, embora a tendência dos fabricantes de browser venha sendo negar o problema.

Me parece que há uma guerra de informações: estão querendo abafar o caso pra não prejudicar os números dos sites de e-commerce ou e-banking. Em tempos de crise econômica, quem é que vai querer que o público saiba que os hackers tem uma ferramenta tão poderosa nas mãos?

Update: A AC atacada no artigo original corrigiu o problema: https://blogs.verisign.com/ssl-blog/2008/12/on_md5_vulnerabilities_and_mit.php

quinta-feira, 20 de novembro de 2008

R.E.M. e Via Funchal



Aproveitando que eu estava em São Paulo no dia certo, fui no show do REM no Via Funchal. O resumo é que foi um bom show, mas a qualidade do som foi decepcionante. Pelo preço dos ingressos (R$ 200+ na pista), eu esperava mais qualidade, mas o que tivemos foi um som chiado e que mal permitia identificar os vocais, mesmos nas baladas e músicas mais lentas.

No resto, a casa é organizada, não vi confusão e os caras tem presença de palco. O show poderia ter sido excelente se o som estivesse melhor.

OWASP Summit 2008 - O que rolou por lá

Bom, fiquei algum tempo sem postar nada porque estava primeiro no OWASP Summit e depois ministrando o mesmo treinamento aqui no Brasil. Mas agora eu voltei à minha rotina normal.

Falando no Summit, gostei do evento. Foi possível conhecer muita gente legal e ver apresentações MUITO mais técnicas do que o normal em eventos no Brasil. Fora a possibilidade de interagir com as pessoas durante e depois das palestras.

Foi importante também para entender um pouco mais como funciona o OWASP: é uma comunidade, não uma organização formal. Isso traz benefícios porque é aberto e basta chegar e participar, mas também tem seus problemas (e discutimos isso no painel de interação com governos) porque é complicado de obter uma "posição oficial".

Alguns pontos positivos foram os paineis sobre o "Education project" e o curso "Securing WebGoat using ModSecurity". O primeiro porque é a forma de tentar levar as informações sobre segurança de aplicações para as universidades. O segundo porque acabou sendo um "in-depth" de ModSecurity.

Foi proveitosa a possibilidade de conhecer e interagir com os portugueses do OWASP e discutir temas como a produção de material em português, embora não tenhamos chegado a um consenso sobre como fazer isso acontecer.

E, no final, ainda rolou de passear um pouco...

sexta-feira, 10 de outubro de 2008

OWASP Summit 2008


No meu último post, falei sobre o curso que está agendado para o OWASP EU Summit 2008. Só que não falei o que é o OWASP Summit. Então vou aproveitar para sanar esta falha.

Pra quem não sabe, o OWASP (Open Web Applications Security Project) é uma comunidade que objetiva melhorar a segurança das aplicações web. E é hoje o organismo mais importante desta área, promovendo diversos projetos (desde documentação até ferramentas open-source) e conferências. O projeto mais famoso é o OWASP Top Ten, que lista as 10 vulnerabilidades mais críticas em sistemas web.

O OWASP Summit é uma das conferências organizadas pelo OWASP. A outra é o AppSec, que ocorre em diversas partes do mundo anualmente. O Summit é um encontro cujo objetivo principal, além de trocar idéias sobre segurança de aplicações web, é traçar os rumos do OWASP. Ou seja: Quer ajudar a moldar o futuro da segurança de aplicações web? Então venha para o OWASP Summit.

Este ano, o Summit ai acontecer nos dias 3 a 7 de novembro em Portugal, o que tem a grande vantagem do idioma (embora nem sempre a comunicação verbal seja trivial, é bem mais fácil do que se virar em russo :). As atividades previstas para o summit são cursos, apresentações dos projetos do OWASP e apresentações de como as empresas podem aproveitar os projetos e contrubuir para o OWASP. Fora a oportunidade de conhecer gente do mundo todo, trocar idéias e fazer negócios.

Enfim, é uma oportunidade ímpar de aprender, compartilhar e conhecer pessoas.

domingo, 5 de outubro de 2008

OWASP Summit - meu curso foi aceito

O encontro do OWASP na Europa acontecerá em Portugal nos dia 3 a 7 de novembro. Este encontro terá sessões técnicas, reuniões de trabalho do pessoal do OWASP e alguns treinamentos, dentre os quais o meu curso de Programação Segura em Java. Este curso é uma versão condensada do curso que estou organizando junto com a Conviso.

Assim, se você vai ao OWASP Summit, nos vemos em Portugal. Senão, você ainda tem a chance de assistir a um dos cursos do OWASP Summit no Brasil e em Português (apesar do encontro ser em Portugal, a língua será o inglês). Para mais informações, veja o folder do curso.

sexta-feira, 3 de outubro de 2008

Segurança em Java - curso

Estamos lançando um curso de Segurança no desenvolvimento de sistemas com Java. Vamos ter turmas em SP e em Brasília em novembro. Mais informações no site da Conviso.

sábado, 6 de setembro de 2008

Segurança em Java 2

Há algum tempo, divulguei o site de segurança em Java que estou montando. Pois é, acabei de dar uma melhorada no site, incluindo novas dicas e até um RSS feed das novidades, feito usando o Yahoo! Pipes. Espero vocês lá...

quarta-feira, 3 de setembro de 2008

A urna, ainda.



Ontem vi na TV que o PSDB se tocou que parte do código da urna eletrônica é feito na Abin e, com as suspeitas dos grampos ilegais, resolveu desconfiar da Agência. Nada mais natural. Credibilidade é difícil de conquistar, mas basta uma escorregada para colocar tudo a perder. E a escorregada dos grampos foi grande, convenhamos.

Assim eles resolveram que é importante que o processo seja "vigiado" por uma entidade neutra. Aí que entra o problema: eles querem chamar a OAB para verificar a urna eletrônica!!!!

Impressionante! Nossos advogados são tão bons que agora sabem tudo de sistemas eletrônicos...

E assim vamos perder mais uma oportunidade de abrir a caixa preta.

domingo, 31 de agosto de 2008

A urna, de novo...


Em época de eleição, surgem muitas notícias sobre a famigerada urna eletrônica. A imagem que ilustra este post é uma dessas notícias, que saiu neste domingo (31/08/2008) no Correio Braziliense.

Para deixar as coisas bem claras, eu não sou contra o uso de equipamentos eletrônicos de votação. Muito pelo contrário, sou adepto do uso da informática para facilitar a vida das pessoas. O que me incomoda no caso da urna brasileira é a propaganda (veja no link o que realmente quero dizer com isso) feita em torno dela. E também a falta de transparência do processo eleitoral brasileiro.

O processo eleitoral é extremamente crítico num regime democrático e sua transparência e credibilidade são da maior importância. E a falta de transparência do processo eleitoral brasileiro tende a minar a sua credibilidade com o tempo.

Dito isso, temos a reportagem do Correio. E o problema já começa começa no título: Urnas mais seguras. Sem levar em conta o conteúdo da reportagem, seria uma excelente notícia. Quanto mais segura for a urna, melhor para todos. Mas a reportagem já começa com um equívoco: nunca foi detectada fraude nas urnas. Pode até ser, mas sempre que aparecem indícios, as autoridades rapidamente abafam o caso e desconversam. Assim é fácil: se não há investigação, não há como descobrir fraudes.

A reportagem continua afirmando que o motivo da maior segurança das urnas é um novo módulo de criptografia. E segue com declarações de que o novo módulo torna urna "praticamente inviolável". Só que a maioria dos sistemas que usam criptografia são quebrados usando falhas em outras partes do sistema, sem a necessidade de atacar os algoritmos criptográficos, como bem demonstrou o prof. Ross Anderson da Universidade de Cambridge em 1993. Mais ainda, este resultado é amplamente conhecido dentre os estudiosos de criptografia.

Ou seja, mesmo que o novo módulo criptográfico seja inviolável, isto não torna a urna inviolável. E mais, os algoritmos desenvolvidos no CEPESC são segredos de estado. Ou seja, enquanto forem utilizados, não há possibilidade de uma auditoria plena da urna eletrônica, indo contra o princípio de Kerckhoff, que diz que a segurança de um sistema criptográfico deve se basear no fato da chave, e não do algoritmo, ser secreta.

A reportagem também diz que os partidos políticos poderão testar o módulo de criptografia entre os dias 8 e 12 de setembro. Como assim? Uma semana? Nem nos melhores sonhos alguém teria esperança de quebrar um algoritmos criptográfico sério em uma semana. E, com certeza o pessoal do CEPESC é sério. Não infalível, mas sério. É ridículo dar um módulo binário para alguém analisar em uma semana e achar que vai fazer muita diferença.

No fundo, a reportagem não passa de uma boa peça de propaganda: devemos confiar cegamente no TSE e na Abin (ué, mas no mesmo jornal dizia que a Abin faz grampos ilegais...). Confiar cegamente no governo e aceitar de bom grado tudo que nos é empurrado goela abaixo. Ou será que o TSE tem medo de alguma coisa?

terça-feira, 19 de agosto de 2008

Quem sabe, sabe...

A Folha noticiou que o presidente do TSE confirmou a segurança da urna eletrônica brasileira:
"A urna eletrônica é segura. É impossível conhecer o conteúdo do voto, fraudar o resultado da eleição e impossível entrar no programa para desfigurá-lo", afirmou Britto. Segundo o ministro, o sistema é inviolável. "Fazemos um software inviolável e inacessível ao racker. Se o programa é alterado, a urna eletrônica se auto-defende. Ela se fecha e está auto-imunizada."
Pois bem. Se o Brasil realmente chegou neste nível tão avançado em termos de segurança da informação, o TSE deveria contribuir com o país e começar a arrecadar divisas exportando a tecnologia que desenvolveu. Se a urna fizer metade do que o TSE afirma, temos em mãos uma tecnologia única no mundo (um sistema auto-imune), que valeria uns bons dólares se fosse exportada.

Bom, voltando à realidade, o TSE continua tentando convencer o povo brasileiro de que a urna é boa "porque eu disse que é boa". E como aqui no brasil a urna é caso de segurança nacional, ninguém consegue ter acesso completo ao sistema para uma avaliação de sua segurança. Alias, nem mesmo o TSE conhece todo o código usado na urna: o código criptográfico da Abin é secreto inclusive para o TSE.

Ou seja, enquanto muitos países caminham para o uso de sistemas de votação com projeto aberto e implementação auditada, o Brasil vai na contramão da história por conta da arrogância do TSE. Mesmo nos Estados Unidos onde existem vários sistemas de votação completamente furados do ponto de vista de segurança, é nítida a evolução desde que universidades começaram a publicar as falhas de segurança descobertas em urnas eletrônicas. No mínimo eles sabem que os sistemas tem furos de segurança.

Por aqui, os ganhos em termos de auditabilidade (impressão de votos) são abandonados porque estavam causando problemas técnicos e de logística para o TSE. Ou seja a conveniência da autoridade eleitoral é mais importante que a auditabilidade da eleição por parte do cidadão.

O site Página do voto eletrônico tem muita informação e contrapontos ao TSE.

sexta-feira, 1 de agosto de 2008

Segurança em Java

Eu estive quieto estes dias porque estava preparando minha última criação: um site com dicas de desenvolvimento seguro em Java, que já está disponível em http://java.sapao.net.

Para fazer este site, aproveitei para experimentar o Google Sites, o sistema do Google que parece uma wiki (tá, tem gente que vai dizer que não tem wikilink, mas eu achei o modo de funcionamento bem similar a uma wiki. Gostei bastante deste sistema, principalmente da edição WYSIWYG.

Bom, voltando ao java.sapao.net, a ideia é manter um repositório de dicas e boas práticas para desenvolvimento seguro em Java. Pra isso, vou precisar de colaboradores, então quem estiver disposto pode entrar em contato comigo.

No mais, estão todos convidados a dar uma olhada no site e me mandar críticas e sugestões.

terça-feira, 15 de julho de 2008

Ética

Estava lendo um post sobre ética e me lembrei de reportagem do Correio Braziliense deste final de semana.

Me lembrei também de uma propaganda contra as drogas que mostrava que a grana das drogas financia também outros tipos de crime, no caso assaltos em sinais e sequestros relâmpagos. O crime organizado tem várias faces e está inclusive aliciando hackers para atuar também com crimes digitais.

Muitos profissionais de segurança da informação supostamente éticos compram produtos piratas sem perceber que o dinheiro deles pode estar financiando os crimes que se esforçam em combater (já vi inclusive gente que fala o tempo todo de ética usar um crack em um software "porque iria utilizar apenas uma vez"). Ou senão sabem que financiam o crime organizado e querem mesmo é incentivar a insegurança para manter seus empregos.

É necessária uma reflexão ética na sociedade brasileira e tenho visto que há uma reação de algumas pessoas. Este é um post de apoio a esta reflexão.

sexta-feira, 11 de julho de 2008

As Cobras


Durante algum tempo, eu acompanhei as tirinhas das Cobras, do Veríssimo (de verdade. Não um dos textos falsos suportamente assinados por ele que cisculam na Internet). As tiras eram publicadas em jornais que o meu avô assinava e a primeira coisa que eu fazia ao chegar na casa dele era ler a tirinha das Cobras do dia. E costumava também procurar as tiras mais antigas nos jornais velhos.

Para mim, as Cobras foram o máximo em termos de quadrinhos nacionais.

Para minha surpresa, a Terra Magazine colocou algumas das tiras na Internet. Dê uma olhada aqui e se delicie.

sábado, 5 de julho de 2008

Fábulas 2


Depois de ler a série Fábulas, da DC, me lembrei de uma música antiga, dos meus tempos de moleque... A letra falava algo como:

Garotinha, não adianta sonhar. O lobo não vive mais na floresta. Ele agora é playboy ou CEO. Ele come as meninas, mas elas gostam...
Bom, fui procurar a letra e acabei achando. Só tem um detalhe, a música é em francês, mas quem souber a língua de Molière pode se divertir um pouco.

quinta-feira, 3 de julho de 2008

RatProxy

Rapidamente: o Google liberou a ferramenta que usa para análise de vulnerabilidades. Esta notícia tem circulado bastante, mas achei que valia a pena registrar. Quem tiver interesse deve procurar por RatProxy.

Submarino

Alguns posts atrás, escrevi sobre o péssimo atendimento que recebi do Fast Shop. Faltou dizer que o micro-ondas veio com defeito e tive de esperar mais uns 15 dias até que ele fosse substituído. Mas no final deu tudo certo e já fizemos muita pipoca para comemorar.

Já que reclamei do Fast Shop, me senti na obrigação de elogiar quem me atende bem. No caso foi o Submarino, onde encomendei uma impressora. Recebi uma previsão de entrega em 12 dias úteis e comecei a pensar se não valia mais a pena comprar no supermercado da esquina.

No entando, o Submarino superou todas as minas expectativas e me entregou a impressora em 4 dias. Fiquei mais satisfeito ainda quando a impressora funcionou corretamente...

quinta-feira, 19 de junho de 2008

Fábulas


Depois de Sandman, o João Pestana, agora temos Branca de Neve, Lobo Mau e os Três Porquinhos para adultos.

A série Fábulas é considerada a herdeira da tradição Vertigo iniciada pelo genial e aclamado Sandman. A idéia agora não é brincar com divindades e mitologias, mas com as fábulas mais conhecidas, incluindo alguns personagens literários mais conhecidos.

A brincadeira começa com a pergunta: "E se os personagens das fábulas fossem reais e vivessem entre nós?" E a brincadeira continua inserindo todos na Nova Iorque atual. Embora sejam dois textos fantásticos, podemos também estender a Teoria Kenji de Inícios Improváveis para Piadas e verificar que o início das histórias tanto de Sandman quanto de Fábulas é bem clichê.

No caso do Sandman, a história começa com um bruxo maluco querendo capturar a morte para se tornar o mais poderoso do mundo. No caso de Fábulas, mais clichê ainda: um inimigo desconhecido (um Sauron que deu certo?) monta um exército poderoso e expulsa todas as fábulas de suas terras, exilando-as nas terras dos Mundanos (nois mess, uai...). Mas depois do clichê, começa a diversão.

As histórias trazem temáticas nunca antes imaginadas em contos de fadas, além de misturarem os personagens em um só cenário. Cenas misturando Barba Azul, Branca de Neve e Lobo Mau se tornam coisas comuns. A mistura é ainda maior que em Sandman. Além disso, são resgatados personagens pouco conhecidos, como Reynard Raposa (do Francês Roman de Renart) ou Rosa Vermelha (só faltaram os três lobinhos e o porco mau - conto a minha versão em breve no Uivo :)

Um interessante ponto comum entre as duas séries é que os personagens só existem por causa dos humanos. Se nenhuma menininha quiser ouvir as histórias da Branca de Neve, ela pode deixar de existir. Desta forma, mesmo sem querer, o humanos influem nos fatos do mundo das fábulas, assim como influiam no universo de Sandman.

Bom, acho que já fiz confusão demais na cabeça dos meus leitores. Talvez a ponto de gerar interesse na série. Se foi seu caso, aproveite... :-)

quarta-feira, 11 de junho de 2008

E por falar em consumismo

Como esse foi o tema do meu post anterior, acho que vale registrar que a edição de junho da revista eletrônica Com Ciência, editada pela SBPC e o Labjor (Unicamp) trata exatamente deste tema. Uma das reportagens trata da sustentabilidade da sociedade baseada no consumo:

O modelo da sociedade de consumo está tão enraizado na sociedade contemporânea
que alguns pesquisadores já chegaram a afirmar que ele é irreversível.

É uma revista de altíssima qualidade. Vale a pena a leitura. Só falta adicionar feeds RSS.

domingo, 8 de junho de 2008

Consumismo


Voltando ao tema consumismo (que tratei superficialmente alguns posts atrás), outro dia recebi uma carta da Claro com um cheque-desconto para a compra do meu próximo celular. Isso me fez pensar que as próprias operadoras de celular incentivam o consumismo exagerado. Embora meu celular atual ainda esteja perfeito e atenda às minhas necessidades, fiquei pensando por qual modelo eu o trocaria. É impressionam do como as operadoras incentivam o consumo de aparelhos, mesmo tendo de fornecê-los subsidiados aos seus clientes. Será que por ter um celular mais novo eu vou falar mais tempo?

Outro exemplo é a forma com que lidamos com estereótipos. Por exemplo, o estereótipo da mulher que gasta demais com moda e/ou produtos de beleza. Outro dia, minha esposa foi a shopping e voltou sem comprar nada. Não haveria nada de mais, mas o estereótipo faz com que isto seja um caso a ser contato nas rodas de conversa. A sociedade já assimilou que as mulheres devem gastar e os homens devem reclamar dos gastos das mulheres. Tanto é que quando uma delas vai ao shopping e não compra, usamos a história para impressionar.

É claro que temos de diferenciar o consumo, que é necessário desde que a humanidade abandonou o escambo pelo uso de moeda, do consumismo, que é o consumo exagerado e desnecessário. Talvez nós mesmos tenhamos de quebrar nossos estereótipos e preconceitos.

terça-feira, 3 de junho de 2008

Soldados biônicos

Equipamentos como os que são mostrados no vídeo são excelentes para ajudar pessoas com deficiências. Só que tenho certeza que os militares não vão se limitar ao uso terapeutico. Resta saber se ainda há espaço para soldados biônicos nas guerras modernas.

Seria uma bela ironia que se conseguisse finalamnete criar um soldado biônico e ele estar obsoleto para as guerras virtuais.

quarta-feira, 28 de maio de 2008

The Story of Stuff

Vídeo interessante sobre os efeitos econômicos e sociais do consumismo. Thanks Sandro. Veja o vídeo completo aqui. Com legendas aqui.

terça-feira, 27 de maio de 2008

As cinco ordens da ignorância



Do inglês: Five Orders of Ignorance.

Demorou um pouco, mas eu consegui encontrar novamente o artigo com as Cinco Ordens da Ignorância (eu estava procurando sete graus de ignorância). Eu acho o conceito das cinco ordens fantástico: além de se aplicar a todos os campos do conhecimento, nos permite entender melhor os perigos da disinformação (ou pior, meia informação).

Segundo Phillip Armour, as cinco ordens são:

  • Ordem 0: quando se tem o conhecimento de forma demonstrável.
  • Ordem 1: quando não se tem o conhecimento sobre algo, mas a falta de conhecimento é identificada. Ou seja: eu não sei e sei que não sei.
  • Ordem 2: quando não se tem o conhecimento sobre a falta de conhecimento em determinado assunto. Ou seja: eu não sei e não sei que não sei.
  • Ordem 3: Quando não se sabe como descobrir o que não se conhece. Ou seja: eu não sei nem mesmo como descobrir que não sei algo.
  • Ordem 4: Quando não se tem conhecimento sobre as Cinco Ordens da Ignorância.
Bom, agora vou tentar descobrir se sei o que não sei... :-P

Vírus em RFIDs


RFIDs são as etiquetas inteligentes, capazes de responder um número de identificação para um sensor. Em princípio, estas etiquetas deveriam conter apenas os dados de identificação de um produto (há também projetos de usá-las para identificar animais de estimação ou gado). Imagina-se que, quando acionada, a etiqueta apenas responda com seu número de identificação.

No entanto, o modelo de máquinas de Von Neuman, usado pelos computadores atuais, não oferece separação entre dados e código quando armazenados na memória. Essa mistura de dados e código é que propicia uma série de ataques, como buffer overflows, worms e vírus em emails, cross-site scripting.

No caso do RFID, é possível incluir programa (vírus) no identificador que é retornado para o sensor. Este código certamente vai para em um computador e será tratado por alguma aplicação. Se houver uma vulnerabilidade na aplicação, o programa pode ser executado. A partir daí depende da criatividade e habilidade do autor do ataque.

Bom, mas estas idéias não são minhas. O trabalho original está disponível aqui.

A vida na Microsoft.


Life At Microsoft - The Truth Revealed


Achei este vídeo feito pelo pessoal da Microsoft com uma sátira à imagem da empresa. Bom humor garantido.

segunda-feira, 26 de maio de 2008

Filhos e a Internet

A Internet é uma ferramenta fantástica de comunicação. E a facilidade de entrar em contato com tanta gente apresenta, como tudo na vida, benefícios e riscos. Vou pular os benefícios, que obviamente nos trazem para cá. No caso de riscos, temos (dentre outros) spam, phishing e outras criativas formas de engenharia social.

Há alguns anos, o Fantástico fez uma reportagem em que um ator ia num parquinho e tentava atrair crianças (com balas, brinquedos, etc) para que fossem com ele para longe de seus pais. E o "ataque" funcionou na quase totalidade das tentativas. Só que esse é um ataque do passado, para crianças do século 20. No século 21, as crianças estão online. E os ataques estão migrando para o ciber-espaço também.

O contato no parquinho agora é via MSN, Orkut, etc. E os pais precisam de uma forma de vigilância equivalente a ir ao parquinho com seus filhos, sentar no banco da praça e ficar lá olhando o que está acontecendo. Os pais do século 21 precisam do equivalente virtual para o banquinho da praça.

De olho neste mercado surgiram várias ferramentas. A mais antiga que me lembro é a Net Nanny, que já possibilitava que os pais controlassem o conteúdo que seus filhos acessam na Internet. Depois vieram inúmeras outras.

De uns tempos para cá, comecei a achar que estava precisando do meu "banquinho da praça virtual". Usei algumas opções de controle de conteúdo que faziam parte de pacotes de segurança do tipo tudo-em-um Home Edition, mas acabei desistindo. Primeiro porque troco de software de segurança todo ano quando acaba a licença e depois porque os sistemas não me atendiam plenamente (em outras palavras: davam pau!). Comecei a tentar usar algumas versões stand-alone e acabei descobrindo o produto chamado de Windows Live Proteção para a Família. Como era de graça, instalei para ver como era. Acabei gostando.

O produto tem, na minha opinião, como principal ponto forte a possibilidade de administração online. Ou seja, eu posso alterar as opções de acesso dos meus filhos online. Por outro lado, os relatórios de acesso ficam armazenados no live.com. Tem que confiar no site, embora eu não ache que os registros de navegação dos meus filhos sejam dados lá tão críticos (meus emails, que são mais críticos para mim, estão todos nos servidores do Google, então...). Outro ponto positivo foi que, apesar de ser gratuito, acionei o suporte e fui bem atendido (os problema de sempre para suporte a sistemas: demora até conseguir falar com alguém que entenda o produto, atendente diferente a cada email, etc). No final acabei conseguindo uma versão sem o bug que estava atrapalhando. No lado negativo, uma funcionalidade que está fazendo falta é a possibilidade de determinar horários para acesso à Internet.

Enfim, é um bom produto, controla acessos a sites via IE e Firefox (não testei outros browsers) e controla a lista de contatos do MSN messenger.

terça-feira, 20 de maio de 2008

ReclameAqui.com.br

E não é que funciona? Hoje testei o ReclameAqui e gostei muito. Mas vamos começar do começo...

Há alguma tempo, pesquisei preços de micro-ondas na Internet e encontrei o modelo que queria com um preço excelente na Fast Shop online. Então fiz a compra no site e fiquei esperando. Como o prazo previsto passou e não tinha nenhuma informação no site, resolvi entrar em contato com o SAC. Eles disponibilizam um email ou um telefone em SP, então mandei um email para lá pedindo informações. Como o email não foi respondido, mandei outro.

Hoje de manhã, tentei entrar no site, mas estava fora do ar. Telefonei para o SAC e não atendia. Então comecei a ficar preocupado. Ao buscar informações sobre a empresa, achei algumas reclamações no ReclameAqui, mas todas tinham sido respondidas. Aí eu me cadastrei no ReclameAqui e fiz a minha reclamação. Algum tempo depois, veio a resposta da Fast Shop com a data de entrega. Bem mais ágil que tentar falar com o SAC.

Enfim, a Fast Shop é grande (tem várias lojas físicas) mas não tem um atendimento adequado. E o ReclameAqui funciona muito bem. Fiquei satisfeito com o e-Procon.

segunda-feira, 19 de maio de 2008

GeraSenha

Ultimamente tenho revisado muitas coisas que fiz há algum tempo e que acabaram ficando esquecidas. É impressionante como temos coisas que fizemos que podem ser úteis ou divertidas e que deixamos esquecidas em algum lugar.

Depois de ressuscitar alguns textos mais didáticos sobre criptografia, resolvi desempoeirar o antigo GeraSenha. O GeraSenha é um programa que fiz há muitos anos para gerar senhas a partir de um segredo mestre e da identificação do sistema em que a senha será usada. Assim, somente é preciso lembrar uma única senha (o segredo mestre) para podermos gerar em real-time todas as senhas de que precisamos. Além disso, o GeraSenha não depende de estado, ou seja, não tem nenhum tipo de arquivo de configuração ou de dados. Isso é um grande vantagem para quem precisa de mobilidade ou compartilhamento.

Comecei então a revisar a literatura, começando pelos artigos que me deram a idéia do GeraSenha e que foram usados como base para o trabalho de final de curso do meu irmão. A partir daí comecei a olhar artigos mais recentes e percebi que a técnica do GeraSenha original tinha ficado datada.

Um dos artigos trouxe um insight interessante: para gerar a senha precisamos de uma função uniderecional (one-way function) que não seja muito rápida para se computar. Que ironia... Há décadas que os pesquisadores tentam criar funções unidirecionais que sejam cada vez mais rápidas de se computar (funções de hash por exemplo) e a gente agora precisa de uma função que seja lenta, embora não exageradamente lenta porque o usuário não vai querer esperar horas para que a senha de acesso à sua conta de emails seja gerada.

A função não pode ser rápida demais, porque ficaria vulnerável a uma busca exaustiva. Se for muito rápido calcular a senha, um adversário poderia facilmente testar todas as alternativas até achar a senha mestra escolhida.

Enfim, estou ainda em busca desta função unidirecional "meio lenta"... Quem vir alguma por aí, por favor me avise.

quinta-feira, 15 de maio de 2008

Os Pereba

É verdade! A página da poderosa esquadra bolínea está de volta. Com Java e tudo. Não perca.

Um pouco da história d'Os Pereba aqui.

terça-feira, 13 de maio de 2008

Eventos empresariais

Acabo de chegar em casa depois do segundo dia de um desse eventos empresariais famosos, em que as grandes (e as pequenas que fingem de grandes) empresas mandam seus melhores (será?) consultores para apresentarem palestras.

Acho que algum sociólogo devia estudar isso. É um acontecimento social interessante. Primeiro, os palestrantes (talvez nem todos) tentam convencer a todos que não estão lá pra fazer propaganda. E na maioria das vezes nem são garotos-propaganda muito bons não. Alguns são tão patéticos que apenas "queimam o filme" de suas empresas.

Por exemplo, era um evento de segurança e o CIO de uma grande empresa apresentou diversos diagramas com detalhes da sua rede de dados (WAN, MAN...). Tive a impressão de que o cara estava tentando demonstrar seu "grande" conhecimento técnico e acabou demonstrando que não sabia muito sobre o tema da conferência.

Mais comuns são os palestrantes de obviedades. Os caras podem até ser grandes consultores, mas as palestras não agregam nada. O cara passa horas dizendo obviedades usando frases tão genéricas que servem para qualquer assunto. Acho que esses são os mais comuns.

Felizmente, sempre tem alguns que realmente tem o que falar. Só que, para conseguir ouvir estes poucos (uns 2 ou 3) temos de aguentar outros sei-lá-quantos que se acham muito bons, mas não apresentam conteúdo nenhum.

Bom, pelo menos fui sorteado no final...

domingo, 11 de maio de 2008

Extra! Extra! Escavações acham o primeiro Uivo!

O meu amigo Marco Antônio, além de me achar no Orkut, conseguiu me mandar uma imagem da primeira edição do Uivo. Alguém aí fora se lembra desta edição?

Obrigado novamente Marco.

sexta-feira, 9 de maio de 2008

Sonho de Geek



Este é o DVD player dos sonhos de muitos nerds por aí. E o meu também...

Só é ruim o preço de 2800 euros. Coisa de geek rico. Mais detalhes no site do fabricante

Tem tembém uma webcam, mais barata (350 euros), mas não gostei tanto...

terça-feira, 6 de maio de 2008

ElephantDrive.com


Já tem algum tempo que tenho procurado me informar sobre iniciativas de "cloud computing". Em especial, aplicações que eu possa usar no meu dia a dia sem que meu cartão de crédito tenha que interferir (a internet nos deixa muito mal acostumados...).

Primeiro foram as aplicação de "office", depois hosting de domínios, etc. Até chegar no armazenamento online. Descobri o Windows Live Skydrive, e fiquei contete de ter 5GB de espaço para arquivos. Só que a interface, apesar das melhorias de usabilidade, continuava sendo a velha interface web de sempre, exigindo o download ou upload de cada arquivo sempre que necessário.

Aí fiquei pensando em como seria mais fácil se pudéssemos simplesmente montar o disco virtual como um novo drive remoto. Aí poderíamos simplesmente trabalhar em um arquivo online usando uma aplicação instalada localmente no micro. Eu sei que a tendência é que as próprias aplicações estejam na núvem, mas caso o aplicativo necessário não exista em versão "núvem", ficamos na mão. Neste caso seria bastante útil um serviço que nos permitisse manter os dados na núvem, com os aplicativos rodando localmente.

Aí comecei a imaginar como isto poderia ser feito. Imaginei um proxy (ou algo similar) capaz de receber comandos WebDAV do micro e repassá-los ao Skydrive. Talvez fosse necessário um esquema de cache local, já que o skydrive é orientado a arquivos e não a partes de arquivos.

Antes de começar a realmente tentar desenvolver um proxy desses, resolvi procurar na Internet se já não existia um serviço similar. E, como era de se esperar, muita gente já tinha pensado nisso e alguns já tinham inclusive implementado tal serviço. Achei várias empresas que oferecem "cloud storage systems", mas que cobram pelo serviço.

Como eu não queria gastar só pra evitar de ficar fazendo upload e download de arquivos do Skydrive, continuei procurando. Até que achei o ElephantDrive.com. Eles fornecem um serviço de disco virtual, tem uma versão gratuita de 1GB e tem um programinha que funciona como um serviço do Windows e permite acessos via WebDAV ao seu disco virtual. Perfeito.

Testei o serviço e funcionou bem para arquivos pequenos. É claro que deve ter problemas de tempo de acesso dependendo do seu link de Internet, mas eu consegui usar sem problemas de casa de do trabalho.
Para outros usos, existem serviços de sincronização de dados, no estilo CVS. Só que não testei nenhum deles ainda.

Zoho e Blogger: integração perfeita

Depois de tentar usar o Google docs para postar no Blogger e verificar que não funciona, resolvi dar uma chance ao Zoho. E para minha grata surpresa, o resultado foi perfeito.

Não só o Zoho importou uma página HTML antiga com perfeição, como ele também criou o post com toda a formatação original.

Aproveitei também para testar o Zoho Creator, que permite criar aplicações web simples. É um ambiente de desenvolvimento visual baseado em web com bastante recursos. Fiz uma aplicação de teste, que só esconde um campo e grava dados numa base em menos de 5 minutos.

É isso, o Zoho está me saindo bem melhor que a encomenda.

segunda-feira, 5 de maio de 2008

Postar no Blogger a partir do Google docs

Outro dia, tentei usar o Google docs para formatar um post para o Uivo. Só que não funcionou direito, a formatação ficou toda sambada.

E isso porque era um texto bastante simples, um poema com o nome do autor justificado à direita.

Ou seja, a integração Google docs e Blogger tem de melhorar muito ainda.

Um tratamento algébrico para cifras de blocos

Continuando as escavações arqueológicas dos bits e bytes do meu HD, encontrei um esboço do que deveria ter sido um livro sobre criptografia em português. Só que a aventura parou antes de terminar o primeiro capítulo, lá pelos idos de 2001.

Para não desperdiçar o esforço que já tive para escrever este pedaço de capítulo, e também porque não é fácil conseguir bons textos sobre criptografia em português, resolvi revisar o material que já existe e publicá-lo.

Trata-se se uma parte do que seria o capítulo sobre cifras de blocos, mas com um tratamento um pouco diferente do tradicional. Eu resolvi usar definições algébricas para facilitar (ou dificultar, dependendo do leitor) o entendimento do funcionamento das cifras.

O capítulo começa com uma definição de cifra de Feistel, usando notação de funções inversíveis. Depois aproveita para descrever a mais famosa cifra de Feistel, o DES. Por fim, há uma descrição do IDEA, um dos mais incríveis algoritmos na minha opinião. Acho simplesmente genial a forma como o IDEA usa apenas operações algébricas.

Enfim, espero que seja útil para alguém. O arquivo está disponível aqui.

Vander Lee e o SESC de Ceilândia


Ontem , pra fechar um final de semana em família, fomos convidados para o show do Vander Lee no SESC de Ceilândia, com direito a ingresso de cortesia, lugares reservados e CD de brinde (obrigado Renata). E o espetáculo nos reservou duas boas surpresas: o Vander Lee e o teatro do SESC Ceilândia.

Começando pelo Vander Lee, gostamos muito do show. Ele é um cantor de qualidade e um compositor muito bom. Ele transita por samba e MPB e até flerta um pouco com o rock brasuca mais melódico. Recomendo a todos que curtem MPB que experimentem.

A segunda surpresa, foi o teatro do SESC Ceilândia. É um excelente teatro, muito moderno, com tudo novinho. Um dos melhores que conheci em Brasília.

Enfim, terminamos o dia muito bem.

sexta-feira, 2 de maio de 2008

Criptografia não é contar bits

Desenterrei recentemente um texto que escrevi em 2002 sobre criptografia. Era para ser um texto bem introdutório, focado na confusão que muitos fazem sobre a quantidade de bits dos algoritmos criptográficos.

Devido ao tamanho do texto, preferi publicá-lo diretamente no meu site, para evitar um post muito longo. Acredito também que entradas de blogs são efêmeras e não queria que este texto tivesse prazo de validade. Por outro lado, o formato blog permite comentários, que são bem vindos.

O texto Criptografia não é Contar Bits, está disponível aqui.

quinta-feira, 1 de maio de 2008

Novo Uivo

Há muito tempo, numa galáxia distante, um amphibio maluco resolveu que queria publicar seus escritos (e os dos outros). Daí surgiu a ideia de fazer um fanzine, que logo ganhou o nome de Uivo (que muitos acreditam ser uma homenagem ao Uivo de Ginsberg).

Em seguida veio a fase de preparação do fanzine, que foi editado eletronicamente, e a impressão dos originais. Aí coloquei um pouco da minha grana pra fazer algumas cópias e comecei a distribuir em pontos estratégicos de BH (cinemas de arte e na UFMG). Como a grana acabou, fui em busca de alternativas e a minha tia Bil resolveu patrocinar o Uivo (Eu até coloquei uma propaganda do escritório de arquitetura dela no fanzine...). Com isto, tivemos uma tiragem bem maior.

Depois de umas duas ou três edições, comecei a achar que, embora a diagramação dos primeiros Uivos fosse divertida de fazer e eu tivesse a possibilidade de inventar muitas maluquices, seria mais fácil e barato colocar o Uivo na Internet. Daí nasceu o e-uivo, que está no ar até hoje, embora não seja atualizado há uns 8 anos...

Muito tempo se passou. Outro dia eu estava refazendo meu site e fiquei pensando em que tipo de conteúdo eu poderia colocar lá. Me lembrei do Uivo. Mas então resolvi que o Uivo merecia um pouco mais de destaque do que viver à sombra da minha página pessoal (que quase não tem nada). Também achei que o formato de blog seria adequado para o Uivo. Assim nasce o novo Uivo, em formato blog, com todas as firulas que um blog pode ter.

De início, vou republicar os textos das versões anteriores. Daí, espero receber contribuições novas. Bom, era isso, espero que todos possam dar uma passada pelo Uivo para curtir as velharias e as novidades.

terça-feira, 29 de abril de 2008

Google docs ou Zoho?

Hoje eu descobri o Zoho.com. E gostei. Eu estava me tornando um usuário contumaz do Google docs, mas talvez mude para o Zoho. As aplicações são muito mais completas, com bem mais opções de formatação de texto, por exemplo.

O único problema foi a demora para carregar as aplicações. O Zoho demorou bastante para mostrar todos os menus e ícones das aplicações.

Bom, assim que der, eu testo o Zoho e posto aqui.