• Mobile

    Multifactor Authentication na DreamHost

    google-authenticator-logoA DreamHost, um dos webhostings mais conhecidos e utilizados na blogosfera brasileira (e lá fora também), implementou por esses dias a Autenticação Múltipla (numa tradução livre de Multifactor Authenticator) em seu painel de controle. Em parte isso se deve a um dos últimos episódios de hacking envolvendo a DreamHost, quando seus usuários tiveram suas senhas de painel expostas a um grupo invasor e rapidamente a DH agiu de forma corretiva. Essa é uma ação preventiva.

    Tendo em vista uma invasão ainda mais recente envolvendo o LinkedIN (unsalted passwords, LinkedIN? Really?), qualquer iniciativa de tornar o processo de login um pouco mais seguro, é sempre válida. E no caso da DH, a solução adotada foi o uso de um token virtual em forma de aplicativo mobile. O escolhido foi o Google Authenticator.

    O que é o Google Authenticator e como utilizá-lo

    Você provavelmente utiliza em seu acesso ao Internet Banking alguma forma de autenticação secundária, seja através de um cartão de códigos (bizarro) ou um token eletrônico em forma de chaveiro. Alguns bancos já possuem token eletrônico, em forma de aplicativo móvel e/ou extensão do browser. Nada mais é que um gerador automático e temporal de senhas dinâmicas. Uma segunda senha que só quem sabe é quem tem acesso ao token.

    O Google Authenticator App é um desses geradores, que possui duas formas de apresentar os códigos: em forma de contador, em que cada vez que você utiliza ele gera um código, e temporal, que muda o código a cada intervalo de tempo, bem pequeno, sendo assim mais seguro.

    O aplicativo é multiplataforma. Existem versões para iOS, Android, BlackBerry e Windows Phone, abrangendo praticamente todo o mercado mobile e por isso, a opção mais adequada a ser adotada pela DreamHost. Para baixá-lo, apenas acesse sua loja de aplicativos mobile de costume e busque pelo nome – ou acesse a wiki da DH e veja os endereços.

    Após a instalação do aplicativo, basta clicar no “+” e criar uma nova autenticação com o site escolhido. No passo a passo abaixo, aprenda como criar uma autenticação secundária no seu painel da DreamHost.

  • Segurança

    Cuidado com o resultado das suas buscas

    Semana passada a McAffee divulgou seu estudo sobre os perigos de segurança na internet. A fonte de risco são os sites de busca e a grande questão são buscas por downloads, screensavers e vídeos. Em 2010, os resultados foram menos alarmantes em comparação aos anos anteriores, mas ainda há riscos, avisa Dave Marcus, pesquisador de segurança do McAffee Labs. Claro que os golpistas sofisticam suas técnicas, da mesma forma que nós, usuários, buscamos segurança. A questão é que hoje os scammers estão em busca de lucros – e visam, principalmente, o público fora dos Estados Unidos, segundo a pesquisa de 2010.

    No caso de algumas palavras-chave, como “screensavers” (protetores de tela populares) e “descargar google” (baixar google), e algumas de suas páginas de resultados, o risco pode ser imenso, 75% ou mais dos resultados (três em cada quatro) podem aumentar o risco à segurança na Internet.

    Isso não surpreende quem acompanha as tendências de segurança. Uma vez que os hackers em busca de fama foram substituídos pelos hackers em busca de lucro, essas pessoas mal intencionadas foram sofisticando cada vez mais sua habilidade de encontrar grandes grupos de vítimas em potencial. Ao medir o risco relativo de termos de busca populares, esse estudo confirma que os scammers continuam a visar grandes grupos de vítimas.

    Mas esse estudo também encontrou interessantes evidências contrárias. Estudos anteriores da McAfee sobre segurança da internet demonstraram que cerca de 4% dos sites apresentavam risco. Essa é uma medida ampla do risco geral que enfrentamos ao utilizar a web. Em contrapartida, o nível de risco médio de todas as páginas de resultados que estudamos foi de apenas 1,7%.

    As palavras mais perigosas em buscas em todo o mundo

    1. Screensavers (Protetores de tela)
    2. Free Games (Jogos grátis)
    3. Trabalho em casa
    4. Rihanna
    5. Webkinz
    6. Powerball
    7. iPhone
    8. Jonas Brothers
    9. Crepúsculo
    10. Barack Obama
    11. Taxes (Impostos)
    12. Viagra

    A isca para os internautas distraídos são celebridades.

    1. Cameron Diaz
    2. Julia Roberts
    3. Jessica Biel
    4. Gisele Bündchen
    5. Brad Pitt
    6. Adriana Lima
    7. Jennifer Love Hewitt e Nicole Kidman
    8. Tom Cruise
    9. Heidi Klum e Penélope Cruz
    10. Anna Paquin

    No Brasil, os termos de busca mais perigosos são segundo a empresa:

    1. Globo
    2. Juliana Paes
    3. Google Talk
    4. Google Toolbar
    5. Orkut
    6. Corinthians
    7. Palmeiras
    8. Tradutor
    9. MSN
    10. Músicas

    Para ajudar o internauta, a empresa oferece o McAffee Site Advisor, sistema que informa a segurança do site visitado.

    * foto: paul.klintworth em CC

  • Internet,  Segurança

    4 dicas para a sua segurança online

    Uma pesquisa da Opiniões de Valor, feita no fim de 2009 para a VeriSign revelou que 73% dos internautas brasileiros não são capazes de identificar as formas de phishing. No Brasil as principais questões, por ordem de importância:

    • Erros ortográficos – 73% enganados.
    • Inexistência do símbolo do cadeado na barra de endereço do navegador – 54% enganados
    • Solicitação de informações adicionais sobre conta – 36% enganados
    • URL contendo um nome de domínio numérico e não-específico – 33% enganados

    Para saber se um site é genuíno ou não, e se ele protege seus dados pessoais, preste atenção nestes itens:

    Barra de HTTPS no Firefox
    Barra de HTTPS no Firefox

    1. https:// o “s” no https:// significa que o site é criptografado, portanto as informações inseridas no site estão seguras. Apesar de alguns sites de phishing possuírem um endereço de Web seguro, muitos não têm. Portanto, os visitantes do site devem estar atentos para a falta de segurança em sites que deveriam tê-la. A Webjet, por exemplo, não tem área de compras fechada, mas não é um site de phishing (embora exponha os dados de seus clientes na internet).

    Cadeado de segurança no Internet Explorer
    Cadeado de segurança no Internet Explorer

    2. O ícone do cadeado: para ser verdadeiro, este ícone deve aparecer no navegador e não dentro do conteúdo da própria página.

    3. Marcas de confiança: pistas visuais simples sob a forma de logotipos populares podem mostrar que um site é autenticado e seguro e que a empresa é respeitável.

    4. Verifique o endereço: suspeite de qualquer site com um domínio desconhecido e que contenha o nome de um site conhecido na última parte do seu endereço Web.

    Barra de HTTPS no Firefox
    Barra de HTTPS no Firefox

    5. Barra de endereços verde: isso significa que este site tem autenticação, de modo que você pode ter certeza que é o site que afirma ser.

  • Internet,  Segurança

    Phorm desembarca no Brasil, trazida pela Oi

    O meu amigo Knutz avisou lá no CyberVida sobre a vinda do Phorm para o Brasil. A solução, que já foi banida na Europa, enfrenta um sério movimento de resistência na Internet, inclusive com grandes nomes se juntando ao protesto. A Phorm fornece uma forma de rastrear os passos do usuário na Internet e (teoricamente) utilizá-los para fornecer publicidade direcionada.

    Uma solução controversa similar já é utilizada pela Google em seu AdWords/AdSense desde o ano passado, sem muito alarde. Nesse caso, o usuário só consegue ser rastreado em sites em que a solução de publicidade da Google é utilizado e, também teoricamente, só serve para montar um “perfil de consumo” de publicidade segmentada.

    Segundo a matéria divulgada na Revista Época, o programa BT Webwise da Phorm entra no paí­s com o nome de “Navegador” e vem trazido pela operadora Oi Velox. O programa já está sendo testado com clientes de banda larga do Rio de Janeiro da operadora e promete ser a próxima dor de cabeça da privacidade. Instalado e ativo no provedor, é possí­vel rastrear toda e qualquer ação que o usuário faz via Internet, além de poder monitorar o conteúdo dessa navegação (exceto, claro, nos sites seguros, com criptografia).

    A empresa afirma que o serviço será “opt-in” (o usuário escolhe quando participar), mas na British Telecom, na Inglaterra, paí­s de origem da empresa, o problema começou justamente porque isso não aconteceu. Todos os clientes usavam, sem saber, o tal programa e só pedindo pra sair é que eram (supostamente) removidos do programa. Você confia numa empresa que já fez isso antes? Acredita que aqui será diferente, ou mesmo que eles realmente deixarão de rastreá-lo caso você peça? Se você é security freak como eu, certamente prefere não arriscar.

  • Internet,  Segurança

    Trojan infecta blogs em forma de applet

    Está rolando há algumas semanas já, mas como tenho visto voltando, achei melhor alertar por aqui e pedir que espalhem o aviso. Um applet malicioso distribui trojan como se fosse atualização do plugin Flash em blogs, principalmente, mas não exclusivamente.

    Os atacantes estão usando diversas formas de fazer com que o código malicioso seja implementado nos blogs:

    1. Explorando falha em blogs com versão desatualizada do WordPress

    De tempos em tempos o WordPress, plataforma de blogs gratuita e muito utilizada em todo o mundo, disponibiliza atualizações de seus arquivos. Algumas dessas atualizações incluem correções de falhas de segurança. É sempre importante ficar atento e fazer os updates quando solicitado.

    Nas versões mais novas do WP, isso pode ser feito em apenas 2 cliques, sem qualquer dificuldade por parte de quem utiliza o WP e não possui habilidades com servidores e procedimentos técnicos. O próprio sistema faz tudo por você, mas você precisa pedir que ele se atualize.

    Na área administrativa do blog, você verá um aviso marcado em amarelo no topo da página, avisando que existe uma atualização disponí­vel e um link para atualizar. Ao clicar nesse link, uma nova tela será aberta para confirmar a atualização, basta clicar no botão “atualizar automaticamente”. Lembrando que a versão mais nova disponí­vel é a 2.9.2.

    2. Distribuindo em temas gratuitos disponí­veis para download

    Evite baixar temas de outros sites que não estejam no repositório de temas oficial do WordPress. Se fizer isso, pois existem vários temas Premium fora do repositório, principalmente os que não são gratuitos, sempre procure dentro do código fonte por chamadas estranhas.

    O que você deve procurar:

    • Chamadas externas de qualquer natureza. Se o tema pede uma inclusão de arquivo fora do seu domí­nio, desconfie e verifique do que se trata;
    • Chamadas para arquivos Flash que não deveriam estar presentes no tema. Se você não baixou um tema com Flash, uma chamada dessas pode esconder um código malicioso.
    • Chamadas para Applets. Essa praga era usada no tempo do ronca para executar coisas que hoje fazemos com Flash, CSS ou HTML5, portanto, deixe-a relegada aos bancos e suas traquitanas de segurança. Applet é um troço que roda na máquina do usuário e, se o mesmo permitir, pode fazer leitura e gravação em disco local, uma potencial falha de segurança (e a gente sabe que o usuário permite sempre né?).
    • Links estranhos escondidos com CSS. Muitos temas podem servir para referenciar sites maliciosos, fazendo com que os backlinks para esses sites os destaquem nos mecanismos de busca. Não suporte parasitas, só dê link para o autor do tema, se não for um site-armadilha.

    3. Distribuindo em plugins gratuitos disponí­veis para download

    Os plugins agem no WordPress como extensão do aplicativo. Isso faz com que o comportamento do sistema possa ser comprometido e o seu blog se tornar ví­tima de golpe ou distribuidor de arquivos maliciosos. Se você não tem habilidades técnicas para verificar o código de um plugin, baixe sempre de sites confiáveis, como o próprio repositório do WordPress. Leia os comentários dos usuários sobre o plugin, a compatibilidade e se verificar algum problema, relate, é sua ajuda que faz com que o repositório se mantenha limpo.