|
|
O que você precisa fazer para proteger
seus dados e sua empresa...
Foi estatisticamente provado que a maioria dos "ataques" sofridos pelas empresas
que não estão directamente ligadas à informática são feitos por ex-funcionários;
em segundo lugar estão os espiões industriais, ou hackers profissionais. Por
isso, relaciono aqui alguns cuidados que você deve tomar ao participar (não
somente como responsável, mas principalmente como usuário) de um sistema de
computação.
É incrível como as pessoas não dão a importância devida aos seus sistemas no
quesito "segurança"! Existem muitos responsáveis por sistemas de computação que,
quando ouvem falar em segurança, pensam em contratar um especialista fortemente armado
para tomar conta dos seus computadores. Outros se limitam à backups e sistemas
de no-break (não que isso não seja importante, mas não chega nem perto de ser o
suficiente). A informação que percorre a empresa pode ser (e geralmente é) tão
ou mais importante do que qualquer bem material, e muitas vezes é crucial para
as tomadas de decisões em relação à todas as suas actividades, desde o melhor
fornecedor para sua matéria-prima, até o método de publicidade mais vantajoso
para seu negócio. Isso, caindo nas mãos de outras empresas do mesmo ramo, é como
entregar o ouro ao bandido.
O Problema das Senhas
Imagine se todas as senhas fossem numéricas, de apenas 4 dígitos? Seria muito
simples criar um arquivo que contivesse todas as combinações possíveis dos
números em 4 posições diferentes. Pronto o arquivo, codifica-se cada uma delas,
depois é só comparar para ver qual a senha de cada usuário e correr para o
abraço. Acontece que, nenhum sistema sério utiliza regras tão falhas para as
senhas. Muitos, inclusive, proíbem até o uso de palavras que existam no
dicionário. Assim se evita que algum fulano codifique um arquivo contendo
palavras do dicionário e descubra as senhas. Agora, você já deve concordar
comigo que, quando maior em comprimento e mais variados forem os caracteres da
senha, melhor. Não?
Não gosto de dar opiniões sem justificativas. Portanto, prepare-se para mais uma
chata explicação técnica sobre invasão de sistemas. Vamos citar o exemplo dos
sistemas Unix: todo usuário deste sistema precisa de uma senha. Alguns usuários
possuem níveis maiores, onde podem fazer muitas coisas; outros, níveis menores,
onde não podem fazer quase nada. Você sendo o responsável por um sistema desses,
jamais daria um tipo de acesso "liberal demais" para um irresponsável (que não
tem responsabilidades para com o sistema), mas todos eles possuem acesso ao
arquivo de senhas, que é um arquivo geral que contém as senhas de todos os
usuários. Então, o fulano irresponsável que possui um nível baixo pode pegar uma
cópia deste arquivo e tentar descobrir a senha de usuários com um nível maior. A
senha, evidentemente, é codificada e não pode ser lida de forma alguma depois da
codificação. Não existe maneira de se recuperar a senha original apenas com o
resultado de sua codificação no arquivo de senhas. Então, como o sistema faz
para saber se a senha que o usuário digitou está correcta? Toda vez em que o
usuário tentar entrar no sistema, a senha que ele digitar é codificada, e o
resultado comparado com o que consta no arquivo de senhas. Se for igual (o
calculo de codificação é sempre o mesmo) então o acesso àquele usuário é
liberado. Piorou! Como é então que o fulano vai fazer para descobrir as senhas de
outros usuários? Simples: ele codifica uma palavra, se o resultado for igual ao
código constante do seu arquivo de senhas, ele sabe, por referência, qual a
palavra (senha) que deve ser utilizada. Então ele deve tentar várias palavras
até encontrar alguma que se encaixe na codificação? Exactamente! E é aqui que
entramos no mérito de "Como escolher sua senha":
É uma pena eu ser tão ruim em matemática e análise combinatória, senão lhe
mostrava os cálculos na ponta do lápis. Mas imagine só: o que é maior, um
arquivo contendo a combinação de todas as letras minúsculas formando palavras de
no máximo 6 letras, ou um arquivo contendo a combinação de todas as letras
minúsculas, maiúsculas (são diferentes), números, e símbolos (como vírgula,
ponto, hífen, asterisco etc.) formando palavras de no máximo 8 letras? Assuma
que cada letra deste arquivo ocupará 1 byte, que tamanho ele terá? Sem falar no
tempo que se leva na criação, codificação e comparação com o arquivo de senhas.
Todo o processo é automatizado, mas mesmo assim leva muito tempo. Outro
dia desses, eu estava criando um arquivo (para fins de estudos, evidentemente)
com apenas letras minúsculas e números, formando palavras de 4 à 6 letras
(experimente você mesmo com o Dict). Deixei o computador ligado e fui dormir.
Acordei lá pelas 4:00am para ver à quantas andava o processo e ele tinha sido
interrompido. Qual o problema? O espaço do disco tinha acabado. Era só 1Gb que
eu tinha disponível, e o arquivo não chegou nem na metade. A documentação do
Starcrack (um dos programas mais completos para codificação e comparação de
senhas, mas que nem morto eu disponibilizo aqui), feita em 1996, assume uma
semana como tempo médio para criação e codificação de senhas de 8 caracteres
simples (letras e números) utilizando um Pentium 120MHz, com 16Mb de RAM.
A Engenharia Social
Preste atenção no tipo de informação que sai da empresa, nos papéis jogados no
lixo e na entrada da pessoas estranhas. Um prato cheio para se praticar a
engenharia social é encontrar um organograma da empresa. A partir daí, o intruso
vai saber exactamente com quem está falando, podendo se fazer passar, inclusive,
por um chefe seu. O legendário hacker Kevin Mitnick aprontava muito das suas
desta maneira. Um dos casos mais interessantes foi quando ele e seus amigos
resolveram aprontar com uma certa empresa (que não importa o nome). Primeiro
eles fizeram um "cavalo de Tróia" que permitiria entrar do sistema da empresa, o
embalaram de forma idêntica aos produtos originais como se fosse um upgrade de
software, e entregaram na própria empresa (estavam disfarçados de carteiros, pois
se mandassem pelo correio configuraria fraude postal). Só que o pessoal da
empresa sequer se preocupou em efectuar o tal "upgrade". O jeito foi voltar à
empresa à noite, e após convencer o segurança de que tinham um relatório
importantíssimo para terminar, conseguiram entrar e puderam vasculhar tudo,
recolher cópias de programas, informações sobre a empresa, e entre outras
coisas, implantar algumas informações em cadernos telefónicos de secretárias.
Depois disso, era muito fácil, por exemplo, dizer o que estava escrito em certo
caderno e pedir para que lessem o resto... Também teve a vez em que Kevin queria
saber se sua linha telefónica estava grampeada, e simplesmente ligou para
central fingindo ser um técnico de lá (ele sabia os jarrões usados na área),
perguntou pelo próprio número e foi tiro e queda: a pessoa abriu o jogo para
ele...
Por mais extraordinário que possa parecer, o método mais simples, mais usado e,
infelizmente, mais eficiente de se descobrir uma senha é... adivinha?
Perguntando!!! É sério... Basta alguém de boa lábia perguntar a um funcionário
despreparado que ele solta a língua. Pode não ser a senha, mas ele vai contar o
tipo de sistema, o tipo de computador, e o que mais ele ver pela frente. Tudo
vai depender de quão bom é o "Engenheiro Social", e quantos conhecimentos sobre
a empresa ele possui.
Fique de Olho nas Novidades
Se você é o responsável por um sistema de computação, durma de olhos abertos
quando o assunto for a segurança dos seus usuários. A toda hora estão
descobrindo falhas e remendando buracos, mas para que você se atualize em tempo
hábil, é preciso acompanhar sempre as últimas novidades da área, consultando os
fornecedores, participando de grupos de discussão e ajudando o próximo. Forme
uma comunidade "pró-segurança" e deixe de lado o pensamento de que esses
problemas só acontecem com os outros. Afinal de contas, um sistema produtivo não
pode ficar vulnerável a nenhum tipo ataque, e se nós batalharmos neste sentido,
os computadores vão oferecer cada dia mais soluções seguras e um mundo mais
tranquilo de se viver.
O simples fato de estar conectado à Internet implica em uma série de
possibilidades de atentado à sua segurança. Entre as principais ameaças estão:
- Servidores: A ameaça de alteração nas informações de servidores pode ser
mortalmente prejudicial para uma empresa. Por exemplo, a modificação da
especificação de algum produto em um servidor da web pode fazer com que inúmeros
negócios sejam perdidos.
- Transmissão: Às vezes pode não ser necessário uma invasão de servidores ou
redes. É possível violar a transmissão da informação pela Internet,
interceptando-se mensagens, arquivos, senhas etc.
- Negação: Em transacções pela Internet, ainda temos um outro problema a
solucionar. Negar a participação em uma negociação digital também pode ser
considerada um ataque a seu bom funcionamento.
- Redes Corporativas: Disponibilizar serviços Internet em uma rede corporativa
pode abrir diversos furos de segurança, permitindo que recursos ou informações
da empresa sejam visíveis de forma indevida por estranhos.
- Interrupção: Um serviço pode ser atacado de uma maneira menos
subtil, mas nem
por isso menos perigosa. Pode-se, simplesmente, fazer com que o serviço "caia",
deixe de funcionar, e que todos os seus usuários legítimos fiquem inacessíveis.
Pontos Fracos
Existem inúmeras categorias de ataque a serviços Internet, explorando falhas de
software, hardware e principalmente burlando esquemas de segurança ineficazes em
nossas políticas operacionais. Por exemplo:
Adulteração: A falta de um controle de conteúdo eficiente pode fazer com que uma
informação seja adulterada durante sua transmissão, pondo em risco a comunicação
entre dois sistemas.
Spoof: Baseia-se na confiança da negociação entre servidores, que acreditam na
veracidade do endereço de origem daquela ordem ou informação, e podem sofrer um
ataque por mensagens na qual a origem é "disfarçada" como sendo de alguém de
confiança.
Mudanças de rota: Um ataque desta natureza pode fazer com que toda a informação
de um dado servidor seja obrigada a passar por um espião antes de seguir seu
caminho, ou simplesmente sejam redirecionadas para lugar nenhum, causando a
"queda" do serviço.
Snifer: Captura informações que transitam pela rede, como logins e senhas em
texto não criptografado, podendo ser utilizadas futuramente por um invasor.
Trojan Horse: Um programa pode ser inadvertidamente instalado em um servidor, o
qual permitiria uma invasão por alguma porta ou "brecha" propositadamente
implantada neste programa.
Vírus: À primeira vista pode parecer um simples problema de usuários domésticos,
mas os vírus, se não forem devidamente eliminados e controlados, podem causar,
directa e indirectamente, vários problemas em uma rede, desde a impossibilidade de
comunicação interna, até a interrupção dos serviços vitais.
Replay: Alguma acção, comandos ou sequência de eventos podem ser observados
durante um processo de autenticação, e repetidas, posteriormente, por um invasor
para obter acesso a estes sistemas.
Alguns produtos, tais como servidores ou até mesmo sistemas operacionais
completos, vêm configurados "da fábrica" de uma forma muito pouco segura, e é
necessário conhecer todos os aspectos da nova ferramenta instalada no seu
sistema para que ela seja correctamente utilizada. Programas como servidores de
Mail, ftp, web ou configurações do sistema, como permissões de arquivos,
aplicativos desnecessários (tal como um lpd em um servidor exclusivo de web)
devem ser completamente vistoriados antes da sua instalação, procurando se
informar sobre suas capacidades de auditoria e sobre seus recursos de segurança.
Pode-se ainda, caso o sistema em questão seja inseguro e necessário, cogitar
produtos que possam implementar esta segurança à parte, e dar a mesma
importância a eles, instalando-os simultaneamente, e nunca "deixar para depois",
pois se alguém detectar uma falha no seu sistema, ela será explorada
imediatamente!
E o mais importante: estas configurações padrões, ou os erros mais comuns
durante as instalações, são o primeiro alvo dos hackers e, em pouquíssimo tempo
seu sistema poderá ser completamente comprometido por pura falta de atenção.
PRINCIPAL
|
