Skip to content

Vai um update ai?

11 de novembro de 2008

Sempre em minhas aulas eu fazia uma reflexão sobre o crescente número de aplicativos que acessam a Internet, me incomoda muito pensar que aplicativos sem um ciclo de desenvolvimento seguro acessam a rede de dentro de meu computador. Para mim já é fato consumado que depois de tanto apanhar, os sistemas operacionais alcançaram uma maturidade muito superior aos aplicativos de terceiros, e esses se tornaram as portas de entrada escancaradas para os atacantes no momento. Uma ínfima porcentagem dos programadores realmente sabe escrever código seguro hoje, e os desenvolvedores de aplicações menos críticas talvez nem saibam o que é isso.

 

Por outro lado, sou um ferrenho defensor da implantação de um eficiente sistema de gerenciamento de atualizações de qualquer tipo de software que tenha o mínimo contato com a rede, já me envolvi em várias discussões por isso. Sempre falo aos meus alunos sobre um gerente de TI que dizia que só se aplica correções onde o problema foi identificado. Concordo com ele, mas o que ele não vê é que um patch de segurança é um problema identificado para todos os usuários, é um problema assintomático, até que venha o ataque.

 

O terceiro e último ponto que sempre abordei foi a ridícula relutância de alguns fabricantes em assinar digitalmente suas aplicações e drivers. Bem fez a Microsoft que não aceita a instalação de drivers sem assinatura em sua plataforma 64 Bits. Se não dá para concertar o que já está ai, vamos acertar pelo menos o que vem pela frente.

 

Recentemente um amigo me apresentou um conceito muito interessante de ataque, que explora exatamente esse desconhecimento de mecanismos de programação segura dos desenvolvedores dos auto-updates das aplicações. Trata-se do evilgrade, um projeto opensource de um framework que explora a falta de uma verificação dos upgrades por parte das aplicações.

 

A idéia consiste basicamente em desviar o trafego de upgrade dos clientes via exploração de DNS (que voltou a moda ultimamente) ou qualquer outro método que faça o aplicativo buscar o upgrade em um servidor falso que tenha uma atualização preparada com um backdoor para a aplicação. Como esta confia cegamente no servidor temos rapidamente um parque de máquinas com um backdoor.

 

Dentre as aplicações “contempladas” palo Evilgrade encontramos algumas famosas como: Java plugin, OpenOffice, iTunes, Winzip, linkedin toolbar, Winamp, etc.

 

Por enquanto o que podemos fazer é proteger nosso DNS e esperar que as aplicações se protejam, mas fica ai a prova de que se deixamos uma possibilidade das coisas saírem erradas, elas saem, imaginem então se deixarmos três vulnerabilidades para trás. Basta alinhar as vulnerabilidades e nadar de braçadas. 

Prometo falar mais sobre isso na próxima edição da Antebellum Confida as edições anteriores:
 
Abraçõs,
 
Fernando Fonseca
Anúncios
Deixe um comentário

Deixe um comentário

Preencha os seus dados abaixo ou clique em um ícone para log in:

Logotipo do WordPress.com

Você está comentando utilizando sua conta WordPress.com. Sair / Alterar )

Imagem do Twitter

Você está comentando utilizando sua conta Twitter. Sair / Alterar )

Foto do Facebook

Você está comentando utilizando sua conta Facebook. Sair / Alterar )

Foto do Google+

Você está comentando utilizando sua conta Google+. Sair / Alterar )

Conectando a %s

%d blogueiros gostam disto: