Palestra no Colégio Murialdo

Aconteceu na quarta feira, 23 de abril de 2014 a palestra "Cyberbullying e Segurança na Internet - Também são questões de Bom Senso", no Teatro MURIALDO do Colégio MURIALDO em Caxias do Sul. 

Após um belo trabalho de divulgação da atividade, que foi agendada com cerca de 2 meses de antecedência, tivemos um público muito satisfatório de alunos, pais de alunos e integrantes da comunidade interessados no tema, participando do evento.

Fico muito satisfeito ao ver temas como Cyberbullying e segurança na rede, sendo levados a sério por instituições importantes e que possuem um forte papel social como o MURIALDO. Certamente uma atividade como essa atinge um grande número de pessoas que certamente se preocuparão um pouco mais com a segurança online (bem como as dos seus filhos) e serão agentes de multiplicação e transformação desse cenário. 

Mesmo achando ter tempo suficiente para chegar em Caxias do Sul, saí de Porto Alegre as 17h e cheguei as 20h (sendo que levei quase 1h entre Canoas/São Leopoldo devido as obras de um viaduto em Sapucaia do Sul), portanto tive um atraso de 30min (o início da atividade estava agendado para as 19:30h). Ainda assim, o pessoal permaneceu e pudemos conversar por cerca de 2hs sobre os problemas recorrentes do Cyberbullying, a importância da presença dos pais na vida digital dos filhos, como o Cyberbullying acontece, o que fazer nesses casos, como fazer uma denúncia e etc. Assistimos alguns vídeos sobre o tema também. 

Conversamos ainda sobre os aspectos da segurança digital, a importância do treinamento do usuário de computador para ter um processo de segurança efetivo, como os usuários veem a segurança digital, superexposição de informações em redes sociais e diversos outros assuntos relacionados.

É preciso ressaltar a estrutura do Teatro MURIALDO. Sons e imagens perfeitos, de tamanho adequado ao ambiente, sem dúvida uma das melhores estruturas que tive o prazer de realizar essa palestra. Fui muito bem recebido pelo Ir. Pedro e por toda a equipe do colégio e só tenho a agradecer pelo interesse e pelo apoio dado à atividade. 

 

Segue abaixo alguns dos feedbacks que tive após a palestra e que, certamente motivam a atingir um público ainda maior de pessoas.

 Como costumo comentar nas palestras, a ideia desse contato é despertar as pessoas para a segurança na rede. Fazê-las entender que a Internet é um "mundo" completamente a parte do nosso mundo real ao qual estamos acostumados e é sabidamente um lugar inseguro. Ter cuidado com a engenharia social, criar boas senhas, aprender a identificar boatos, evitar a super exposição na rede, ter atenção aos contratos e termos de condições dos softwares utilizados, enfim, uma série de medidas não técnicas que fazem uma grande diferença na postura que adotaremos ao utilizar uma ferramenta de alcance mundial.

Agradeço novamente a equipe do Colégio MURIALDO pela oportunidade e confiança. 

t+

Cristiano
"A grandeza não consiste em receber honras, mas em merecê-las." - Aristóteles

Vulnerabilidades no varejo...

Como você se sentiria se uma empresa especializada em manutenção de automóveis, descobrisse que o seu veículo tem um problema grave de segurança que permitisse que ele fosse furtado e... não lhe dissesse nada??? E pior, suponha que a fabricante do automóvel queira comprar essa informação e ainda assim essa empresa se recusar a vendê-la, afinal, porque vender a uma única entidade (no caso, a fabricante), se ela pode vender a informação para várias outras entidades (ladrões de carros, empresas e até governos)?

A grosso modo, é o que fazem empresas como a Vupen (www.vupen.com), elas vendem os chamados "Zero-day Exploits" que se aproveitam das "Zero-day Vulnerabilities" (ou Vulnerabilidades do Dia Zero), que são falhas de softwares comerciais ainda desconhecidas pelos fabricantes. Suponha que você descobriu uma falha de segurança no Microsoft Windows, que permitiria que um atacante tivesse acesso total e irrestrito a um computador. O caminho natural seria informar essa falha ao desenvolvedor do produto, nesta caso, a Microsoft, certo? Bom, nem todos pensam da mesma maneira. Algumas pessoas ao invés de relatar essa vulnerabilidade à fabricante, ou mesmo fazer o full disclosure da vulnerabilidade junto a comunidade acadêmica/especializada, preferem vender a informação a quem puder pagar seu preço, simples assim. E Vupen não está sozinha nessa. Conforme esse artigo do Bruce Schneier (traduzido aqui pelo pessoal da Brown Pipe Consultoria), intitulado "O mercado de vulnerabilidades e o futuro da segurança", empresas como Netragard, EndGame, Northrop Grumman, General Dynamics e Raytheon, estão no mercado de venda de vulnerabilidades desconhecidas dos fabricantes de software. O analista de segurança da Kaspersky, Fábio Assolini, afirma no episódio 46 do Podcast Segurança Legal que, uma falha "Zero-day" no IOS da Apple, chega a valer R$500.000,00 no mercado negro, e que, como já era de se esperar, os principais compradores são justamente governos.

Ora, não é preciso muito  para compreender que a fórmula "mercado de vulnerabilidades em alta + programador ganancioso e sem ética mesmo que a equipe seja idônea + baixa qualidade de testes dos programas + pouca ou nenhuma auditoria no código = falha inserida propositalmente num sistema" para obter um lucro a mais no produto.

Cada vez mais me convenço que os problemas de tecnologia são, fundamentalmente, humanos. Computadores não roubam pessoas. Pessoas roubam pessoas. E por mais que me esforce, não consigo imaginar um futuro muito promissor ou uma mudança de postura, no que diz respeito ao mercado das vulnerabilidades.

t+

Cristiano
"A grandeza não consiste em receber honras, mas em merecê-las." - Aristóteles