Livro indicado: No Place to Hide

Livro: No Place to Hide | Sem Lugar para se Esconder

Autor: Glenn Greenwald

Editora: Metropolitan Books

Edição: 1º

Data: 2014 
ISBN-10: 162779073X

ISBN-13: 978-1627790734
Livro no Scribd: http://pt.scribd.com/doc/226087265/Glenn-Greenwald-Sem-Lugar-Para-Se-Esconder-A-historia-de-Ed-Snowden

Porque ler: Traçando um cenário quase cinematográfico, onde baterias de celulares precisam ser removidas dos dispositivos para evitar que sejam remotamente explorados, o uso de criptografia nos softwares é imprescindível para as comunicações e precauções são tomadas para evitar serem seguidos nas ruas, Greenwald narra toda a história que envolveu a denúncia da escandalosa vigilância americana sobre as comunicações digitais pela NSA. Ele narra os fatos desde os seus primeiros contatos com Edward Snowden (que tentou contatá-lo diretamente diversas vezes mas esbarrou no fato de Greenwald não usar criptografia nos seus e-mails), passa pela política de "Coletar Tudo" do governo americano, faz duras críticas a imprensa americana que estaria sendo conivente com as ações do governo e termina no seu drama pessoal com as acusações de espionagem e tentativas de manchar sua imagem e a de Snowden após as revelações. 

Greenwald comenta sobre sua parceira nas revelações com Laura Poitras, que efetivamente teve os primeiros contatos e acreditou na história que Snowden tinha para contar. Laura que, anos antes, havia ensinado a Greenwald uma importante lição: depois de trabalhar algum tempo explorando o tema "Vigilância da NSA" e produzido 3 filmes bem críticos da chamada "Guerra ao Terror", Laura começou a ser alvo do governo americano, sendo constantemente "capturada" em aeroportos para interrogação. Laura foi interrogada, constantemente ameaçada e teve, por diversas vezes, seus materiais (laptops, câmeras, smartphones) apreendidos. Após um interrogatório extremamente abusivo no Newark Liberty International Airport, Laura, que havia decidido não reclamar publicamente com medo de que as agressões se intensificassem, notou que a situação não estava melhorando, pelo contrário, as abordagens estavam ficando piores. Foi então que Greenwald publicou um artigo sobre esses abusos e, pela primeira vez em alguns anos, Laura pôde viajar em paz sem ser ameaçada ou interrogada. Qual a lição? Conforme Greenwald, a lição é que os oficiais da segurança nacional americana não gostam da luz. Eles agem abusivamente e furtivamente quando acreditam estarem seguros, no escuro. Conforme o autor "A transparência é o único antídoto que funciona". 

Já tive minhas dúvidas sobre as intenções de Snowden, afinal, porque alguém assinaria sua "sentença de morte", revelando documentos importantes sobre abusos de espionagem ao redor do globo terrestre, realizados pelo seu próprio governo (governo ao qual, ele trabalhava terceirizado)? Me custava acreditar que fosse apenas um "bom samaritano", um verdadeiro patriota buscando por justiça. Porém declarações como essas, feitas pelo próprio Snowden e registradas por Greenwald, certamente me fazem entender suas motivações mais claramente: "Quero promover um debate mundial sobre privacidade, liberdade na Internet e os perigos de um estado de vigilância. Não tenho medo do que acontecerá comigo. Eu aceitei que minha vida terá praticamente acabado depois de fazer isso. Estou em paz com isso. Eu sei que é a coisa certa a fazer. (...) A única coisa com a qual não posso viver é saber que não fiz nada. (...) Eu só tenho um medo em fazer tudo isso: que as pessoas vão olhar esses documentos e dar de ombros; que dirão 'nós sabemos que isso está acontecendo mas não nos importamos'. A única coisa que me preocupa é fazer todas essas revelações por nada." Conforme o autor comenta, nos primeiros contatos, Snowden se apresentou como "Cincinatus", uma referência ao general romano Cincinato, que era um fazendeiro e se tornou símbolo do uso do poder político para o interesse público e desapego (pois uma vez cumprida a sua missão, renunciou ao poder). 

Estando dentro da NSA, Snowden percebeu que, o que seu governo fazia, não era exatamente o que ele pregava. A obra cita exemplos de atividades inescrupulosas, como no caso de um banqueiro suíço, o qual a CIA queria recrutar para obter informações confidenciais financeiras sobre indivíduos dos EUA considerados "suspeitos". Conforme o relato de Snowden, um agente da CIA disfarçado fez amizade com o tal banqueiro e, numa certa noite, o embebedou e o incentivou a voltar de carro para casa. Armadilha preparada, o homem foi parado pela polícia, dirigindo embriagado. Foi quando o agente se ofereceu para ajudá-lo de várias maneiras, contanto que ele cooperasse com a agência fornecendo as informações necessárias. No final das contas a tentativa de recrutamento acabou fracassando, mas, conforme Snowden, "Eles destruíram a vida do sujeito por algo que nem deu certo, e depois simplesmente foram embora". Snowden relata ainda ter visto drones sobrevoando casas de pessoas que eles intencionavam matar, viu pessoas sendo espionadas em tempo real, enquanto elas digitavam na Internet sem sequer suspeitar que estavam sendo vigiadas e percebeu o quão invasiva e abrangente era essa vigilância. Eu, sinceramente, acredito nas suas motivações. 

Além disso, o fato de Snowden ter revelado informações apenas sobre a vigilância exacerbada e não sobre informações da CIA (o que segundo ele, poderia revelar a identidade de agentes duplos ou informantes), atesta muito a seu favor e diz muito sobre suas intenções. Revelar segredos da CIA, poderia ameaçar vidas humanas. Revelar segredos da NSA, ameaça apenas sistemas abusivos de vigilância. 

Lendo o livro, chama a atenção que diversas pessoas, de diversas agências, certamente sabiam da coleta de dados, visto que várias empresas foram compelidas a fornecer informações ao governo americano. Ainda assim, a atitude de fazer essas revelações ao mundo partiu de de alguém de dentro, que sabia "o que" e "como" fazê-lo. Porém o que me assusta de fato é: quantos, além de Snowden, passaram por esse "conflito ético" e decidiram não fazer nada??? Será que eu o faria? E você? O livro numa análise profunda, nos remete mostra justamente um cenário onde alguém está fazendo, alguém teve essa coragem, e ao invés de ser ouvido, está sendo, por muitos veículos da imprensa americana, julgado (e pasmem, condenado).

Link: http://www.amazon.com/No-Place-Hide-Snowden-Surveillance/dp/162779073X
Capa do distinto:

Indo adiante, as revelações de Snowden tocam num ponto da segurança da informação que é, o acesso de terceiros a informações sensíveis e privilegiadas, sem um controle eficiente. Mesmo sabendo que, existe uma suspeita de que Snowden tenha usado engenharia social contra alguns de seus colegas, é um ponto falho que precisa ser levado em consideração, afinal, não estamos falando do controle de acesso as informações da padaria da esquina e sim de um profissional com um determinado nível de acesso que, após enfrentar um conflito ético, mostrou ao mundo uma coletânea de ações que infringem diversos aspectos da constituição americana (e de diversos outros países também). Se um órgão como a NSA não consegue evitar que seus funcionários vazem informações, é de se pensar que a sua empresa, que provavelmente não possui o mesmo nível de segurança (e tampouco investimentos nessa área, comparáveis a NSA), também esteja vulnerável, não?! Ainda mais agravante, o fato de esse mesmo governo não agir com transparência para com sua própria população.

O engraçado é que, "transparência" é justamente um dos motivos da "vigilância". O governo tem a obrigação de ser transparente com os seus governados, afinal, trata-se de um governo eleito e suas ações devem ir comprovadamente de encontro aos interesses dessa população.  E o que acontece é justamente o contrário!! Os governos (e aqui não falo apenas do americano), agem furtivamente para tornar a vida da sua população transparente. Acesso vigilante e indiscriminado aos seus e-mails? As suas ligações? Aos seus pensamentos??? A hipocrisia envolvida em querer que os outros abram mão da sua privacidade, enquanto você se agarra a sua com unhas e dentes é um fator repetido diversas vezes no livro. Inclusive o caso do CEO do Google, Eric Schmidt, que teve suas informações pessoais como endereço, hobbies, e salário, divulgados por repórteres da CNET com informações descobertas através do próprio Google (a Google ficou 1 ano inteiro sem conceder entrevistas aos jornalistas da CNET em função do episódio que tratava-se justamente de questionar a empresa sobre a quantidade de informações que coletava).

Citando um pequeno trecho do livro (na minha parca tradução): "A democracia exige responsabilidade e consentimento do governado, que só é possível se o cidadão sabe o que está sendo feito em seu nome. Presume-se que, com raras exceções, eles saberão o que seus políticos estão fazendo, que é o motivo pelo qual eles são chamados de servidores públicos, trabalham no setor público para órgãos públicos. Da mesma maneira, presume-se que o governo, com raras exceções, não saberá nada do que os cidadãos obedientes à lei estão fazendo. É por isso que somos chamados de pessoas privadas, funcionando em nossas capacidades privadas. Transparência é para aqueles que exercem funções públicas e poder público. Privacidade é para todos os outros."

No decorrer do livro, são feitas muitas outras revelações como a espionagem à entidades internacionais, inclusive às brasileiras PETROBRAS, Ministério de Minas e Energia do Brasil e até mesmo as comunicações da presidenta Dilma e da chanceler alemã Angela Merkel. Fala ainda sobre o caso da Verizon, que foi intimada pela NSA a entregar regularmente todos os detalhes dos registros de ligações das comunicações feitas dos EUA para fora e mesmo de ligações locais, ou seja, a NSA estava secretamente e indiscriminadamente  coletando os registros de ligações de milhões de cidadãos americanos e com qualquer um que eles tenham feito contato externamente (e se você não entende o perigo da coleta desses metadados, dê uma olhadinha nesse artigo). O livro ainda discorre sobre temas como: 

-  governo americano tentando (e conseguindo) controlar a imprensa, principalmente na era Obama;

- países espionados como França, Brazil, Índia, Alemanha; países que são "aliados" ou, na pior das hipóteses, "neutros" a administração americana sendo vítimas dessa espionagem;

- retrata o caso do GCHQ (Government Communication HeadQuarters, agência de inteligência Britânica) que obrigou o jornal The Guardian a eliminar os discos rígidos que continham informações relevantes sobre os dados vazados;

- uso dessas poderosas ferramentas para espionar outras nações ao invés de "lutar contra o terrorismo";

- NSA instalando backdoors em produtos;

- uso de ferramentas utilizadas por hackers pelo governo americano;

- questões relativas a privacidade (e principalmente o porquê privacidade é tão importante);

- a detenção do namorado de Greenwald, David Miranda num aeroporto britânico acusado de terrorismo, sem motivo aparente.

- e muito, muito mais.

É importante notarmos que as revelações nos levam a um importante pensamento: o que fazer? Como se comunicar privadamente num mundo absolutamente grampeado? Como usar ferramentas de forma segura, de instituições que colaboram com um governo que abusa da vigilância sobre seus cidadãos e dos cidadãos do resto do mundo? (e coincidentemente, no dia em que escrevo esse artigo, surge a notícia de que o governo americano tem acesso direto às ligações dos diversos consumidores da Vodafone, em alguns países que ela atua, inclusive em tempo real). Segundo o próprio Snowden, o futuro está na criptografia, a qual infelizmente, ainda é de pouco uso pelos usuários finais, devida a sua complexidade.

Se você se interessa pelo tema, e quer conhecer mais sobre as ferramentas do catálogo ANT da NSA, ou seja, o que há de mais avançado em tecnologia de vigilância (de emuladores de torres de celular GSM até conectores de rede Ethernet e USB modificados de forma a instalar Trojans), dê uma olhadinha aqui.

Mas no livro tem muito mais. Leia porque é um livro inspirador, e trata-se de mais um exemplo da vida real, de que não importa o tamanho nem influência do oponente se você estiver determinado e tiver um objetivo (e agir com inteligência, claro). Ainda mais se esse oponente estiver agindo furtivamente para alcançar seus interesses. Afinal, como afirma o próprio Snowden: "Eu estive nas esquinas mais sombrias do governo e o que eles temem é a luz". Vale muito a pena ler o livro. Concordando ou não com os argumentos de Snowden e Greenwald, não deixa de ser uma boa leitura.

t+

Cristiano
"A grandeza não consiste em receber honras, mas em merecê-las." - Aristóteles

CryptoCat - Privacidade nas conversas do Facebook (e fora dele também)

Creio que você já deva ter ouvido falar de Edward Snowden alguma vez na sua vida, principalmente nesse último ano. Eu, particularmente, considero sua aparição um marco na comunicação digital. O conceito de privacidade online pode ser definido antes e depois de Snowden. Sim, é claro que já se falava bastante sobre isso antes de suas revelações, ainda assim, é inegável que muitas empresas e governos (como o nosso), só passaram a se importar realmente com segurança digital após suas revelações de espionagem. Suas revelações estão mudando radicalmente a maneira como as pessoas (físicas e jurídicas) estabelecem suas comunicações através da Internet. A preocupação com segurança já era uma necessidade;  hoje é uma obrigação.

Geralmente "segurança" e "facilidade de uso" não andam de mãos dadas, mas esse felizmente não é o caso do Cryptocat. Essa ferramenta de chat criptografa todas as mensagens entre os participantes, impedindo (ou dificultando) que as mensagens por ventura interceptadas sejam lidas, tanto no seu browser quanto no seu smartphone. Atualmente (mai/2014), o Cryptocat funciona nos navegadores Chrome, Firefox, Safari, Opera e OSX e no iPhone (prometendo em breve uma versão também para Android). Para detalhes do seu funcionamento e de como as mensagens são criptografadas consulte a página do desenvolvedor em: https://github.com/cryptocat/cryptocat/wiki/Design-and-Functionality

A ferramenta é tão simples de usar que, após suas instalação, 3 cliques lhe permitem conversar de maneira segura com seus amigos pela Internet. Melhor ainda, pode ser utilizado para suas conversas do Facebook, basta seguir esses passos (clique nas imagens para ampliar):

1º - Baixe e instale a extensão para o seu navegador através do site: https://crypto.cat/

2º - Depois de instalado, abra o Cryptocat e na tela inicial clique na aba "Facebook" e depois em "Chat via Facebook":

3º - Confirme as operações que poderão ser feitas pelo cryptocat na sua conta do Facebook:

4º - Confirme que a ferramenta poderá enviar e receber mensagens em seu nome:

5º - Aguarde a geração das chaves criptográficas que serão utilizadas pela ferramenta:

6º - Pronto, ferramenta instalada. Agora é imprescindível que a pessoa a qual você deseja ter uma conversa privada também tenha a ferramenta instalada. Uma vez que ela estiver utilizando-a, ela aparecerá na interface do cryptocat com o ícone do programa, como no exemplo abaixo (note que a conversação estava acontecendo sem criptografia; a partir do momento que o usuário remoto se conectou no cryptocat, as mensagens passaram a ser criptografadas):

Todas as mensagens trocadas através do programa, aparecerão no Facebook com a mensagem "[mensagem criptografada]". E se você acessá-las através da opção "Mensagens" na interface do Facebook, é assim que elas parecerão:

Mas veja que também é possível utilizar o programa, sem ser pelo Facebook. O Cryptocat é uma ferramenta de chat e você pode criar uma sala aleatória quando desejar estabelecer uma conversa privada. Basta que a pessoa remota, ingresse na mesma sala que você criou.No exemplo abaixo, foi criada uma sala chamada "alcidesmaya" e loguei com o usuário "spk". Logo após, informei ao contato remoto a sala criada e ele se logou com o nome "victor" para que a conversa fosse estabelecida  (mais simples que isso, impossível ;o)).

Apesar da segurança e da simplicidade, é preciso estar ciente de que, conforme o próprio site alerta, o cryptocat não é uma "bala mágica". Existem situações as quais ele não irá te proteger, como:

• o cryptocat não lhe deixará anônimo (não existe mascaramento de IP, ele não é o Tor);
• o cryptocat não te protegerá de keyloggers (as mensagens serão criptografadas através da rede, o que não significa que seu teclado é seguro);
• o cryptocat não lhe protegerá de pessoas mal intencionadas (se alguém mal intencionado conversar com você através da ferramenta, a informação "confidencial" poderá ser comprometida de qualquer maneira).

Ainda assim é uma mão na roda para quem aprecia sua privacidade nas comunicações on-line.

Grato ao professor Victor Mateus Espíndola do Alcides Maya Tecnologia pela participação no teste da ferramenta ;o)

t+

Cristiano
"A grandeza não consiste em receber honras, mas em merecê-las." - Aristóteles

Palestra no E.E.E.B. Prudente de Morais

Aconteceu no dia 05/05/2014 na E.E.E.B. Prudente de Morais em Osório/RS a palestra "Cyberbullying e Segurança na Internet - Também são questões de Bom Senso". Agradeço a escola nas figuras da psicopedagoga Cíntia Nunes pelo convite e a vice diretora Neli de Oliveira e diretora Ana Rufino pelo suporte e apoio para a realização da atividade. 

 

Pudemos conversar por cerca de 2h e, para mim, é sempre gratificante ver a galerinha mais nova interessada num tema tão importante.

Aproveito para registrar também meu agradecimento para a intérprete de libras Eliani da Silva, que possibilitou minha primeira experiência como palestrante para pessoas com deficiências auditivas. Muito bacana mesmo, parabéns pelo trabalho.

 

Como de costume, finalizamos a palestra com o esclarecimento de dúvidas e creio que tenha sido uma atividade tão boa para eles quanto o foi para mim.

t+

Cristiano
"A grandeza não consiste em receber honras, mas em merecê-las." - Aristóteles

Palestra no Colégio Murialdo

Aconteceu na quarta feira, 23 de abril de 2014 a palestra "Cyberbullying e Segurança na Internet - Também são questões de Bom Senso", no Teatro MURIALDO do Colégio MURIALDO em Caxias do Sul. 

Após um belo trabalho de divulgação da atividade, que foi agendada com cerca de 2 meses de antecedência, tivemos um público muito satisfatório de alunos, pais de alunos e integrantes da comunidade interessados no tema, participando do evento.

Fico muito satisfeito ao ver temas como Cyberbullying e segurança na rede, sendo levados a sério por instituições importantes e que possuem um forte papel social como o MURIALDO. Certamente uma atividade como essa atinge um grande número de pessoas que certamente se preocuparão um pouco mais com a segurança online (bem como as dos seus filhos) e serão agentes de multiplicação e transformação desse cenário. 

Mesmo achando ter tempo suficiente para chegar em Caxias do Sul, saí de Porto Alegre as 17h e cheguei as 20h (sendo que levei quase 1h entre Canoas/São Leopoldo devido as obras de um viaduto em Sapucaia do Sul), portanto tive um atraso de 30min (o início da atividade estava agendado para as 19:30h). Ainda assim, o pessoal permaneceu e pudemos conversar por cerca de 2hs sobre os problemas recorrentes do Cyberbullying, a importância da presença dos pais na vida digital dos filhos, como o Cyberbullying acontece, o que fazer nesses casos, como fazer uma denúncia e etc. Assistimos alguns vídeos sobre o tema também. 

Conversamos ainda sobre os aspectos da segurança digital, a importância do treinamento do usuário de computador para ter um processo de segurança efetivo, como os usuários veem a segurança digital, superexposição de informações em redes sociais e diversos outros assuntos relacionados.

É preciso ressaltar a estrutura do Teatro MURIALDO. Sons e imagens perfeitos, de tamanho adequado ao ambiente, sem dúvida uma das melhores estruturas que tive o prazer de realizar essa palestra. Fui muito bem recebido pelo Ir. Pedro e por toda a equipe do colégio e só tenho a agradecer pelo interesse e pelo apoio dado à atividade. 

 

Segue abaixo alguns dos feedbacks que tive após a palestra e que, certamente motivam a atingir um público ainda maior de pessoas.

 Como costumo comentar nas palestras, a ideia desse contato é despertar as pessoas para a segurança na rede. Fazê-las entender que a Internet é um "mundo" completamente a parte do nosso mundo real ao qual estamos acostumados e é sabidamente um lugar inseguro. Ter cuidado com a engenharia social, criar boas senhas, aprender a identificar boatos, evitar a super exposição na rede, ter atenção aos contratos e termos de condições dos softwares utilizados, enfim, uma série de medidas não técnicas que fazem uma grande diferença na postura que adotaremos ao utilizar uma ferramenta de alcance mundial.

Agradeço novamente a equipe do Colégio MURIALDO pela oportunidade e confiança. 

t+

Cristiano
"A grandeza não consiste em receber honras, mas em merecê-las." - Aristóteles

Vulnerabilidades no varejo...

Como você se sentiria se uma empresa especializada em manutenção de automóveis, descobrisse que o seu veículo tem um problema grave de segurança que permitisse que ele fosse furtado e... não lhe dissesse nada??? E pior, suponha que a fabricante do automóvel queira comprar essa informação e ainda assim essa empresa se recusar a vendê-la, afinal, porque vender a uma única entidade (no caso, a fabricante), se ela pode vender a informação para várias outras entidades (ladrões de carros, empresas e até governos)?

A grosso modo, é o que fazem empresas como a Vupen (www.vupen.com), elas vendem os chamados "Zero-day Exploits" que se aproveitam das "Zero-day Vulnerabilities" (ou Vulnerabilidades do Dia Zero), que são falhas de softwares comerciais ainda desconhecidas pelos fabricantes. Suponha que você descobriu uma falha de segurança no Microsoft Windows, que permitiria que um atacante tivesse acesso total e irrestrito a um computador. O caminho natural seria informar essa falha ao desenvolvedor do produto, nesta caso, a Microsoft, certo? Bom, nem todos pensam da mesma maneira. Algumas pessoas ao invés de relatar essa vulnerabilidade à fabricante, ou mesmo fazer o full disclosure da vulnerabilidade junto a comunidade acadêmica/especializada, preferem vender a informação a quem puder pagar seu preço, simples assim. E Vupen não está sozinha nessa. Conforme esse artigo do Bruce Schneier (traduzido aqui pelo pessoal da Brown Pipe Consultoria), intitulado "O mercado de vulnerabilidades e o futuro da segurança", empresas como Netragard, EndGame, Northrop Grumman, General Dynamics e Raytheon, estão no mercado de venda de vulnerabilidades desconhecidas dos fabricantes de software. O analista de segurança da Kaspersky, Fábio Assolini, afirma no episódio 46 do Podcast Segurança Legal que, uma falha "Zero-day" no IOS da Apple, chega a valer R$500.000,00 no mercado negro, e que, como já era de se esperar, os principais compradores são justamente governos.

Ora, não é preciso muito  para compreender que a fórmula "mercado de vulnerabilidades em alta + programador ganancioso e sem ética mesmo que a equipe seja idônea + baixa qualidade de testes dos programas + pouca ou nenhuma auditoria no código = falha inserida propositalmente num sistema" para obter um lucro a mais no produto.

Cada vez mais me convenço que os problemas de tecnologia são, fundamentalmente, humanos. Computadores não roubam pessoas. Pessoas roubam pessoas. E por mais que me esforce, não consigo imaginar um futuro muito promissor ou uma mudança de postura, no que diz respeito ao mercado das vulnerabilidades.

t+

Cristiano
"A grandeza não consiste em receber honras, mas em merecê-las." - Aristóteles

Palestra no Alcides Maya Tecnologia

Aconteceu entre os dias 10 e 14 de março de 2014 a 1º Semana Acadêmica da Faculdade Alcides Maya de Tecnologia. Uma semana de fóruns, palestras, painéis, minicursos  e simpósios, visando discorrer sobre temas atuais de tecnologia da informação com os alunos da graduação. 

 Com o professor Mathyas e o Coordenador de ensino Vitor Hugo

Ao ser escolhido como um dos facilitadores dessa atividade, ministrei no dia 12/03/2014 a palestra sobre "Segurança na Internet - Também é questão de Bom Senso" para os alunos dos cursos Tecnólogo em redes de Computadores e de Sistemas para a Internet. Por três horas e meia, conversamos bastante sobre a importância de um usuário bem treinado/informado desde o atendimento até a alta direção das empresas para minimizar os ataques inerentes ao fator humano. Conversamos também sobre o novo cenário da segurança e suas mudanças nesses últimos anos (principalmente seus novos vetores de ataque), conceituamos segurança com seus fatores básicos (confidencialidade, disponibilidade, integridade, autenticidade, e irrefutabilidade), a importância (ínfima) que geralmente se dá para a segurança digital até que algo ruim aconteça, exploramos casos de engenharia social e super exposição na web. Debatemos sobre a grande importância dada à prevenção (amplamente discutida e implementada pelas empresas através de firewalls, certificados digitais e afins), e a pouca importância sobre fatores ainda mais relevantes  como a detecção e a resposta a incidentes (que as empresas geralmente esquecem ou dão menos atenção).

 

Além disso, falamos sobre novos (e perigosos) aplicativos para smartphones, falamos sobre hoaxes e suas consequências traumáticas, descarte correto de informações, perigos das redes sem fio (vista erroneamente por muitos como plug-and-play), abordamos o Ransonware e a importância do usuário ter backup de suas informações, falamos sobre senhas e autenticação e fizemos uma prática com o CUPP para reforçar a importância da utilização de senhas seguras.

Por fim, exploramos algumas dicas de programas para melhor proteger as comunicações na rede, falamos sobre segurança em Cloud, BYOD e a "Internet das coisas" e abordamos as tendências e horizontes da segurança da informação, inclusive sobre os efeitos da espionagem governamental sobre as comunicações em rede a nível mundial. 

Abaixo, algumas fotos com o professor Elton Oliveira que, em nome da instituição me presenteou com o certificado de participação e com a professora Felícia Volkweis, que também em nome do Alcides Maya Tecnologia me presenteou com um "mimo", contribuindo para meu famigerado sobrepeso \o/\o/.

Fico muito feliz em ter contribuído para a atividade e agradeço a confiança no trabalho sendo realizado, principalmente ao setor pedagógico nas figuras das Sras. Bianca Gonçalves, Cíntia Moura, Paula Machado e nosso coordenador de ensino Vitor Hugo Aramburo Pires. Sem dúvida um belo trabalho de equipe.

Abaixo alguns dos feedbacks recebidos pela palestra e, aqui é importante ressaltar, que sendo positivos ou não, sempre merecem atenção (principalmente os negativos, pois quando justos, te fazem repensar o trabalho prestado). 

"Nenhum de nós sozinho é melhor do que todos nós juntos". Parabéns à equipe pedagógica, à todo o corpo docente e ao Alcides Maya Tecnologia como um todo (marketing, serventes, secretaria, enfim, todos os setores), por um trabalho muito bem realizado.

t+

Cristiano
"A grandeza não consiste em receber honras, mas em merecê-las." - Aristóteles

Livro indicado: Secrets & Lies

Livro: Secrets & Lies – Digital Security in a Networked World

Autor:  Bruce Schneier

Editora: Wiley

Edição: 1º

Data: 2000

Porque ler: simplesmente um dos melhores livros sobre segurança da informação que tive o prazer de ler. E olha que a obra é de 2000. Tenho mania de usar caneta marca texto nos meus livros, justamente para ressaltar as informações que julgo importantes e/ou quero discutir em sala de aula com meus alunos (mesmo que algumas pessoas me olhem torto por essa prática), e eu praticamente pintei o livro todo. :p São páginas com muita informação, muito embasamento e muita segurança da informação explicada de forma clara, sem rodeios, com pontos de vista que fazem absoluto sentido e que nos fazem parar para pensar. Conceitos complexos explicados de maneira simples, quem não gostaria? Nesse livro, Bruce Schneier que é criptólogo e especialista em segurança da informação, considerado um guru da área, aborda temas como ameaças digitais, ataques, quem são os atacantes, necessidades de segurança, criptografia, segurança computacional, identificação e autenticação, segurança em redes de computadores, defesas, responsabilidades dos fabricantes de software, certificação digital, o fator humano da segurança, vulnerabilidades em sistemas, políticas de segurança, testes de produtos e muito mais. São 400 páginas que passarão muito rápido, visto o prazer que o aprendizado te proporcionará. Nesse livro, algumas das famosas frases de Schneier como “Segurança é um processo, não um produto” e “Se você acredita que a tecnologia pode resolver todos os seus problemas de segurança, então você não entende nem dos seus problemas nem da tecnologia”, que inclusive constam no livro, são explicadas com analogias que facilitam o entendimento.  Vale mencionar que trata-se de um ótimo escritor, que te presenteia com sacadas como: “Se os scanners de vulnerabilidades funcionassem da maneira como você espera que eles funcionem, eles iriam estragar seus computadores e derrubar sua rede. Ninguém usaria uma ferramenta como essa, então eles mentem. Imagine um scanner de vulnerabilidade para a sua casa. Um dos testes é confirmar se o vidro é resistente a um ataque com uma pedra, mas como testá-lo sem causar dano?”. Imperdível.

Link: http://www.amazon.com/Secrets-Lies-Digital-Security-Networked/dp/0471453803

Capa do distinto:

O autor ainda fala da responsabilidade dos fabricantes de software, comenta o porque de sua preferência pelo software livre e porque a bronca com sistemas fechados, cujos sistemas criptográficos não são amplamente testados pela comunidade especializada. Fala ainda do pouco interesse das empresas em resolver falhas de segurança, da importância de prevenir, detectar e reagir aos eventos de segurança, fazendo críticas ao fato de as empresas se preocuparem apenas com a prevenção, esquecendo que a detecção e a reação são até mais importantes. Afinal, não é só porque você comprou um cofre, que pode abrir mão do alarme e da polícia, certo? Pelo contrário, detectar e reagir tornam-se ainda mais importantes. Conforme Schneier: “Não combatemos o crime, tornando nossos bancos 100% imunes a ataques. Combatemos o crime, prendendo criminosos”.

Tá bom, só mais algumas frases:

"Em um ataque direcionado, o atacante quer saber tudo sobre Alice. Se Alice é uma pessoa, isso chama-se stalking. Se Alice é uma empresa, isso chama-se espionagem industrial. Se Alice é um governo, então chama-se inteligência nacional ou espionagem. Todos eles podem lhe levar a cadeia se você usar determinadas técnicas; mas se usar outras, não".

"É uma pobreza cívica, instalar tecnologias que poderão um dia facilitar um estado policial." 

Sobre a importância que damos à nossa privacidade: "Se o Mc Donalds oferecesse 3 hambúrgueres gratuitos em troca de uma amostra do seu DNA, haveriam filas em volta da quadra para a promoção. Por outro lado, anuncie a frase: "5% de desconto se você nos der o nome e endereço da creche do seu filho" e você terá uma reação completamente diferente. (...) Os consumidores médios terão algumas exceções pessoais, mas em geral as pessoas não se importam com o anonimato."

"De qualquer maneira, isso nos mostra o segundo maior problema da Biometria: ela não se dá bem com as falhas. (...) Uma vez que sua informação biométrica foi roubada, é para a vida toda. Não tem volta." (não é como uma senha que você toca)

"Nós precisamos trazer os ataques a público. Precisamos entender publicamente porque os sistemas falham. Precisamos compartilhar informações sobre falhas de segurança: causas, vulnerabilidades, efeitos, metodologias. O segredo, só favorece os atacantes."

Ok, ok, chega pra não tirar o prazer da sua leitura. Mas acredite quando digo que vale a pena. Trata-se de uma bela obra que deveria ser lida por todos os profissionais da segurança da informação.

t+

Cristiano

"A grandeza não consiste em receber honras, mas em merecê-las." - Aristóteles

Segurança x Confiança: Problemas causados por bugs em softwares

Você confia nos programas que você utiliza? Você toparia uma cirurgia remotamente, com seu médico a km de distância utilizando os recursos da telemedicina? Você confia que os automóveis mais modernos disponíveis te levarão de um ponto a outro do globo terrestre sem que você encoste no volante?  Você confia que as empresas nas quais você armazena seus dados estão fazendo tudo para manuseá-los/preservá-los com segurança e que o acesso às suas informações é restrito? Você confia que os softwares que você utiliza são testados exaustivamente a procura de brechas que possam resultar num incidente de segurança? Se você respondeu que sim a todas as perguntas anteriores, parabéns! Eu queria ser você, mas simplesmente não consigo.

A confiança nos dispositivos computacionais e eletrônicos, na minha opinião, nunca estiveram tão em baixa, seja em software ou hardware (o que por um lado, ajuda a manter aquecido o mercado de segurança da informação). Já é um mantra do pessoal de segurança em TI que "100% de Segurança não existe", mas devemos nos acostumar também ao fato de que "Código de programa bem escrito, 100% bug free", também é lenda urbana. Todo programa tem suas vulnerabilidades e o fato de você não as encontrar, ou mesmo os especialistas de segurança não as encontrarem, não significa que seu programa esteja livre de erros, significa apenas que os erros não foram encontrados! Ele pode permanecer anos invisível no seu ambiente até que alguém o descubra e, sendo pessimista, o explore (e sob esse ponto de vista é bem melhor saber sobre a falha e corrigi-la do que simplesmente não saber da sua existência).

Claro que alguns erros tem proporções ínfimas, e não são motivo de tanta preocupação. Uma aplicação que executa uma função inválida e trava o seu computador, trará muito menos dor de cabeça do que um foguete espacial que se desintegrou ao receber uma informação errônea (e veremos esse caso adiante). E com esse pensamento, procurei na Internet alguns casos que mostram que um código vulnerável (ou um programa mau escrito, como queira), é um dos principais problemas que temos na segurança da informação. Aponte um programa que não tem falhas. Pense sobre os programas e sistemas operacionais que você utiliza; agora vá no Google e digite "Falha de segurança no [coloque aqui o programa que você pensou]". Conseguiu encontrar algum que não retornasse nenhum resultado? Note que nem todos esses casos citados abaixo estão relacionados à segurança da informação, mas servem para exemplificar o quão difícil é projetar e implementar códigos livres de bugs. Veremos casos de agências espaciais internacionais como a NASA que possuem recursos de sobra e um forte incentivo para certificar-se da qualidade de seus programas e mesmo assim falharam e apresentaram bugs que custaram alguns milhões (em casos de outras empresas, algumas vidas). 

E por falar em "bug", pesquisando na Internet, você encontrará diversas "lendas" dizendo que o termo "bug" surgiu em 1945 quando Grace Murray Hopper (uma das pioneiras na programação do famoso Harvard Mark I e II e responsável por popularizar a ideia de linguagens de programação independentes do hardware, levando ao desenvolvimento do COBOL - COmmon Business Oriented Language), documentou o primeiro bug da informática. Segundo essa lenda, no dia  9 de setembro de 1945 seu grupo de trabalho encontrava-se na sala do Mark II tentando identificar porquê o computador não funcionava adequadamente. Após uma inspeção minuciosa, encontraram no "Painel F" uma mariposa entre os contatos de um dos relés do computador. No caderno de registros, Grace registrou o incidente como "First actual case of bug being found" (encontrado o primeiro caso de bug) e "anexou" junto da inscrição a famigerada mariposa ;o) associando pela primeira vez o termo "bug" a um erro num sistema computacional. A partir de então, quando os computadores apresentam falhas, é normal usar o termo bug para referenciar tais falhas (vindo daí também o termo "debug").

 Grace Murray Cooper                      Harvard Mark II

 

A anotação de Grace Cooper sobre bugs

Na verdade, conforme o site ComputerWorld, o termo bug surgiu bem antes mas ainda assim é uma lenda que vale a pena ser mantida, em função dos serviços prestados pela sra. Cooper. Segundo o site, dois argumentos invalidam a origem do termo conforme o relato de 1945:

1 - O Harvard Mark II entrou em operação no verão de 1947, dois anos após a data atribuída para essa história e;

2 - não se usa um termo como "Encontrado o primeiro caso de bug" se a expressão "bug" não for de uso comum, ou seja, rotineira no ambiente em que foi utilizada. Esse tipo de comentário não faria sentido a não ser como uma mensagem bem humorada para um erro.

Engenheiros e cientistas já falavam sobre bugs, um século antes do incidente da "mariposa no relé", incluindo Thomas Edison, inventor de diversos dispositivos (entre eles a lâmpada elétrica incandescente), que em 1878, numa carta enviada a Theodore Puskas escreveu: "Bugs - como essas pequenas falhas e dificuldades são chamadas - aparecem e meses de observações, estudos e trabalhos intensos são necessários antes do sucesso ou fracasso comercial ser atingido com precisão". Estudiosos inclusive "rastrearam" a palavra bug a um termo que fazia referência a um monstro, uma palavra que sobreviveu em termos obscuros como "bugaboo" (bicho-papão) e "bugbear" (pesadelo) e de forma mascarada na palavra "boogeyman" (bicho-papão).

Independente de onde/quando o termo tenha sido utilizado pela primeira vez, vejamos alguns casos onde um "simples errinho de programação", causou danos significativos. Veja que nem todos os casos são de programas mau escritos, alguns envolvem falta de testes, erros diversos ou uso incorreto, mas sou da opinião que fundamentalmente, os softwares deveriam estar preparados para o uso incorreto. 

(clique nos links abaixo das imagens para ser direcionado até a página de origem da foto)

1962 - Sonda Mariner

Em 28 de julho de 1962 um bug no software da sonda Mariner I (cujo destino era Vênus), desviou seu percurso de voo logo após o lançamento, fazendo com que o controle da missão destruísse o foguete cerca de 5 minutos após a decolagem enquanto ele sobrevoava o oceano Atlântico. A investigação do acidente determinou que o problema estava numa fórmula escrita a lápis que foi imprecisamente inserida no computador de cálculo (o programador se esqueceu de inserir uma "/", e sem ela o software tratava variações normais de velocidade como se fosse um problema grave, gerando falhas e enviando o foguete para fora de curso). O custo da falha foi de 18,5 milhões de dólares.

Mariner I

1978 - Coliseu Hartford

Uma falha no desenvolvimento do programa utilizado para projetar o Coliseu Hartford em Connecticut, EUA, (que não previa o peso acumulado da neve), causou o desabamento do telhado da arena durante uma tempestade de neve que teve duração de 10 dias. Apesar de uma partida ter sido disputada no coliseu apenas 6 horas antes do ocorrido, não houve feridos; ainda assim, o prejuízo foi de 70 milhões de dólares.

Coliseu Hartford  

1982 - Explosão no Gasoduto Transiberiano
Considerada a maior explosão não nuclear registrada até hoje, a explosão desse gasoduto teve origem num erro de programação. As informações dão conta que o governo soviético adquiriu um sistema canadense para controlar o gasoduto Transiberiano, com o objetivo estratégico de roubar ou obter de maneira sigilosa informações sensíveis sobre a tecnologia americana. Quando a CIA (agência de inteligência central americana) tomou conhecimento da compra, infiltraram um bug no sistema que a princípio deveria passar pela inspeção soviética porém ocasionar má operação, além de permitir aos americanos manipular remotamente todo o tipo de máquinas e tecnologia. Mas em 1982 quando o bug foi ativado as coisas saíram completamente diferentes do esperado, provocando a gigantesca explosão. Felizmente, como aconteceu numa área remota, não houve vítimas.

Gasoduto Transiberiano

1983 - A "quase" 3º Guerra Mundial

Uma falha no sistema de alerta da União Soviética indicou, em 1983, que 5 mísseis balísticos intercontinentais haviam sido lançados pelos Estados Unidos. Detalhe: exatamente um período em que essas nações estavam na chamada Guerra Fria!!!! O então tenente-coronel Stanislav Yevgrafovich Petrov estava como um oficial de serviço no dia 26 de setembro 1983 no Serpukhov-15, um poderoso bunker em Moscou, de onde controlava-se o sistema de alerta antecipado de mísseis americanos. Ao invés de informar seus superiores, Stanislav (contra o protocolo militar estabelecido), preferiu esperar os primeiros impactos de solo para só então tomar as contra medidas que fossem necessárias. Felizmente foi uma falha do sistema soviético que, diga-se de passagem, jamais havia falhado. Os sensores dos satélites de alerta tinha experimentado uma situação estranha, que fez a luz solar refletida por nuvens em elevadas altitudes, parecerem disparos de misseis, ativando a rede de alarme. História completa aqui.

 Stanislav Petrov

1985 - Therac-25

O Therac-25 era um acelerador linear utilizado para o tratamento de tumores na década de 80, produzido pela Atomic Energy Canada Limited - AECL. Ele emitia radiação de alta energia sobre células cancerígenas sem causar dano ao tecido circundante. Devido a uma falha de programação (um bug sutil chamado "race condition"), um técnico configurou acidentalmente o Therac-25 para emitir 100 vezes mais a energia do que o necessário (o feixe de elétrons seria como um fogo de alta potência). Como consequência, 6 pessoas morreram em função das altas doses de radiação recebidas e várias dezenas também sofreram os efeitos, inclusive os próprios funcionários. O software não reconhecia quando doses exageradas eram aplicadas, fazendo com que alguns pacientes morressem pouco depois da exposição. Este caso tornou-se um ícone para os estudantes de informática na saúde e engenharia de software.

  A estrutura do Therac-25                                  THERAC-25

 

" CS não é engenharia, falhas de software nunca machucaram ninguém! Ah sério? Já ouviu falar do Therac-25?"

1988 - O worm de Morris

O primeiro worm de Internet, também chamado de Morris Worm, foi criado por Robert Morris Jr. e apenas na tarde do dia 2 de novembro de 1988, infectou entre 2.000 e 6.000 computadores em menos de um dia (o que correspondia a 10% da Internet na época). Morris que é filho do na época cientista chefe do Centro Nacional de Segurança Computacional dos EUA, foi o primeiro a ser condenado pela lei de Abuso e Fraude de Computadores, mas pagou multa de US$ 10 mil e prestou serviços comunitários. O worm de Morris fazia um buffer overflow no daemon finger do Unix que possuía uma falha no código. 

 O código do worm de Morris                      Robert Morris

1990 - Pane nas linhas da AT&T

No dia 15 de janeiro de 1990 uma única linha de código numa atualização de software implementada para acelerar chamadas causou uma pane com efeito cascata na gigante da telefonia americana AT&T. Este bug no software que controlava os equipamentos de telefonia de longa distância, fez com que a unidade de comutação com erro, informasse as unidades vizinhas que estava com problemas. Infelizmente, a unidade de comutação vizinha também travava ao receber essa mensagem (não sem antes passar a mensagem adiante), gerando um efeito em cascata. Cerca de 9 horas e 75 milhões de ligações perdidas depois, o problema foi resolvido.

                                     

 Imagem ilustrativa de linhas da AT&T

1991 - Falha de mísseis Patriot acaba em desastre

No dia 25 de fevereiro de 1991, durante a primeira Guerra do Golfo, o sistema americano dos mísseis Patriot falhou ao interceptar um míssil vindo do Iraque que atingiu uma base americana em Dhahran na Arábia Saudita, matando 28 soldados e ferindo outros 110. Um erro de arredondamento no cálculo e consequentemente na medição do tempo, ocasionou um deslocamento na posição da região de procura do radar da ordem de 687 metros o que conduziu à não detecção do míssil Scud iraquiano (segundo esse site, o erro grosseiro ocorreu em função de terem se passado 100 horas sem que o sistema fosse reiniciado). Mais informações técnicas explanando o exato problema do erro de arredondamento aqui.

          Resultado da explosão

                                                           

 Misseis Al Hussein (aprimoramento dos mísseis Scud soviéticos)

1992 - Acidente do Raptor F-22 
Em abril de 1992 um avião Raptor F-22 caiu ao pousar na Base Aérea Edwards na Califórnia. Após investigação, descobriu-se que a causa do acidente foi um erro no software de controle de voo que falhou ao impedir uma oscilação induzida pelo piloto.

 O piloto David Cooley                                Raptor F-22

1993 - Falha da divisão de números de ponto flutuante nos processadores Pentium
Em 1993 um problema com os então novíssimos microprocessadores Pentium da Intel (que vieram para substituir os 486), trouxeram enorme prejuízo à empresa. O divisor da unidade de ponto flutuante do Pentium tinha uma tabela de divisão insuficiente, faltando cerca de 5.000 entradas, o que resultava num erro de arredondamento. Por exemplo, ao dividir 4195835,0 por 3145727,0 o resultado apresentado pelo microprocessador era 1,33374 ao invés de 1,33382, um erro de 0.006%. Ainda que esse tipo de falha afetasse poucos usuários, a Intel assumiu o erro mas inicialmente se propôs a trocar apenas os processadores de quem conseguisse provar que usava o computador para cálculos matemáticos que exigissem precisão absoluta. A resposta das centenas de milhares de consumidores que haviam pago mais de $600 pelo processador foi dura (ahhh se isso acontecesse com os fabricantes de software) e a Intel viu-se substituindo os processadores de todos os clientes que o solicitaram, arcando com um prejuízo de $450.000.000,00.

Imagem ilustrativa de processador Intel Pentium

1994 - Calculadora do Windows 3.x
Um erro na calculadora que acompanhava as versões de Windows 3.x fazia com que a subtração de 2.1 de 2.11 resultasse no valor "0.00" ao invés de "0.01".

1994 - Acidente com um Chinook no Mull of Kintyre

No dia 02 de junho de 1994 um helicóptero Chinook da Força Aérea Real Britânica caiu no Mull of Kintyre (região montanhosa situada no ponto mais extremo ao sudoeste da Península Kintyre na Escócia onde se localiza um farol histórico, imortalizada numa canção de Paul McCartney nos anos 70). O acidente que matou 29 pessoas (25 passageiros e 4 tripulantes) teve inicialmente sua causa atribuída a erro humano. Após uma investigação porém, foram descobertas evidências suficientes de que o acidente tenha sido causado por um bug no software do computador de controle do motor da aeronave.

                                      Imagem ilustrativa de um Chinook

                                                               

Memorial das vítimas no Mull of Kintyre 

                                     

1995/1996 - Ping da morte

O ping da morte era um ataque de DoS (Denial of Service ou Negação de Serviço) a um computador, que explorava uma má implementação do protocolo TCP/IP nos sistemas operacionais. O ping da morte enviava um pacote mal formado com um tamanho de pacote absurdamente elevado e com uma frequência muito alta. Esse tipo de ataque afetava uma grande variedade de sistemas como Unix, Linux, Mac, Windows, impressoras, roteadores e etc. Em sistemas Windows, o ataque geralmente resultava na famosa "Tela azul da morte". Entre 1997 e 1998 a grande maioria dos sistemas foi corrigido. 

Tela azul da "morte" no Windows 95

1996 - Explosão do Foguete Ariane

Em 4 de junho de 1996 a estação espacial europeia lançou o foguete Ariane-5 contendo 4 satélites para estudar como o campo magnético da Terra interage com os ventos solares. O foguete desintegrou-se 40 segundos após o seu lançamento. O problema aconteceu quando o computador de orientação tentou converter a velocidade do foguete expressa com 64-bits para um formato de 16-bits. O número era muito grande para ser armazenado por uma variável de 16-bits e acabou ocasionando um overflow. Quando o sistema de orientação desligou, o controle foi passado para uma unidade redundante idêntica que também veio a falhar por rodar o mesmo algoritmo. Nesse caso existem 2 situações cruciais para serem analisadas sobre a ótica da segurança:

1 - Os cientistas que desenvolveram o Ariane-5, reutilizaram parte do código do Ariane-4. A função errônea fazia parte de um requisito do Ariane-4 que não fazia parte da especificação do Ariane-5.

2 - Os resultados fornecidos pelo segmento de código que resultaram no erro eram relevantes apenas antes da decolagem. Após a decolagem esta função não servia para nada.

O prejuízo foi de $500.000.000,00.

Imagens do lançamento e desintegração do Ariane-5

1997 - USS Yorktown

 Um membro da tripulação de um cruzador de mísseis guiados USS Yorktown inseriu por engano um valor "0" num determinado dado que resultou numa "divisão por 0" causando um buffer overflow. O erro teve um efeito em cascata derrubando toda a rede de 16 computadores e eventualmente desligando o sistema de propulsão do navio. O navio permaneceu por quase 3 horas inoperante na água (ou como eles chamam: "dead in the water"), simplesmente porque um programa não validava os dados de entrada. Ainda segundo os engenheiros: "Usar Windows NT ao invés de Unix num ambiente tão crítico foi uma bola fora" e que a decisão de usar Windows NT ao invés de Unix no programa foi uma decisão política equivocada e não uma decisão técnica. Reportagem aqui.

 Imagem ilustrativa de um USS Yorktown

1999 - Destruição das sondas Mars Polar Lander e Mars Climate Orbiter

No dia 3 de dezembro de 1999 a sonda Mars Polar Lander estava se preparando para pousar quando houve um desligamento prematuro do motor antes que ele tocasse o solo. Quando o aterrizador se encontrava a 40 metros da superfície, suas pernas de pouso se abriram e o balanço causado no aterrizador pode ter gerado sinais espúrios nos sensores, levando o computador a considerar que já havia pousado e procedendo o desligamento do motor de descida (situação que não havia sido prevista pelos desenvolvedores). Os cientistas acreditam que a sonda espatifou-se no solo de Marte a uma velocidade de 22 metros/segundo.  O custo da missão excedeu os U$120.000.000,00.

Já a Mars Climate Orbiter foi uma sonda lançada pela NASA no dia 11 de dezembro de 1998 e que chegou a Marte em 23 de setembro de 1999. A nave espacial deveria efetuar sua inserção na órbita de Marte a uma altitude de 140 km a 150 km da superfície, mas devido a um erro de cálculo essa manobra ocorreu a 57 km da superfície causando a destruição da nave (devido a sua fricção com a atmosfera de Marte). O erro aconteceu devido a equipe em Terra ter utilizado o sistema imperial (polegadas e libras) para calcular os parâmetros da manobra de inserção enquanto os sistemas na nave utilizavam apenas o sistema métrico (metros e Newtons).

 Mars Polar Lander                       Mars Climate Orbiter

1999 - Problemas na emissão de passaportes britânicos

No verão de 1999 a agência de passaportes no Reino Unido implementou um novo sistema da Siemens para controlar a emissão de passaportes. Ao mesmo tempo, uma mudança na lei exigia que todos os menores de 16 anos viajando ao exterior deveriam emitir passaporte (o que resultou numa procura enorme para emissão de novos passaportes). Porém o novo sistema não havia sido testado de forma adequada, bem como seus funcionários não haviam recebido o treinamento necessário. Como resultado, meio milhão de cidadãos britânicos não conseguiu emitir seus passaportes e o custo da imperícia foi em torno de  £12.6 milhões.

Imagem ilustrativa de passaportes britânicos

1999 - Bug do milênio

O bug do milênio consistia no fato de uma boa parcela dos softwares gerenciar datas com apenas 2 dígitos (fazendo com que "1998" fosse referenciado como "98", ficando subentendido que na frente desses haveriam os dígitos "19"). O problema aconteceria quando, no ano "2000", os softwares considerariam o ano "00" como "1900", causando diversos problemas como boletos de cobrança sendo emitidos com cem anos de atraso, por exemplo. Embora nenhuma falha significativa tenha ocorrido, as empresas correram para atualizar seus sistemas numa espécie de pânico coletivo. É possível que um problema similar aconteça em 2038 (o problema do ano 2038). Os sistemas Unix calculam o tempo em segundos desde 01 de Janeiro de 1970 e armazenam este número como um inteiro de 32 bits signed (que considera o sinal). O valor máximo possível com essa representação é 2³¹, ou seja, 2.147.483.647 segundos, valor que será atingido as 03:14:07 do dia 19 de Janeiro de 2038.

2000 - Vítimas de um Tratamento de Câncer no Panamá

Em novembro de 2000, no Instituto Oncológico Nacional na cidade do Panamá, numa série de acidentes e falhas dos engenheiros da Multidata Systems International calcularam erroneamente a dosagem de radiação que os pacientes deveriam receber durante uma terapia de radiologia. A falha estava no software de controle da máquina de raios software RTP/2 (vers. 2.11, 1991), que provocou a morte de 8 pacientes e fez com que outros 20 recebessem sobredosagens que poderiam causar graves danos a sua saúde.

 Erros de dosagem em pacientes

2004 -  Falha em atualização gera prejuízo para governo Britânico

Uma falha no sistema para distribuição de bolsas assistenciais originados por dois softwares da  Electronic Data Systems (EDS), gerou enormes prejuízos ao governo Inglês. Ao longo de 2004 os dois sistemas da EDS (o Child Tax Credit e o Working Tax Credits) repassaram cerca de 27 bilhões de dólares a 5,7 milhões de famílias, mas praticamente um terço delas recebeu pagamentos extras no ano, em virtude das falhas (o prejuízo superou £1 bilhão e resultou na renúncia do chefe da CSA - Child Support Agency, Doug Smith). Um memorando interno da EDS vazou para a mídia onde a empresa admitia que o sistema da CSA foi "mal projetado, mal testado e mal implementado".

2005 - Perda do satélite europeu CryoSat-1

No dia 8 de outubro de 2005, o satélite CryoSat-1 da agência espacial europeia  foi perdido durante uma falha no seu lançamento. A falha aconteceu porque não havia um comando para desligamento do segundo estágio do motor do foguete no sistema de controle de voo do seu foguete Rokot. Isto impediu que o segundo estágio se separasse do Briz-KM e o foguete foi impedido de alcançar a órbita.

 

 Lançamento do CryoSat-1

2005 - Sistema de proteção contra cópia da SONY

Em outubro de 2005 a Sony produziu um esquema de proteção contra cópias denominado SONY DRM rootkit (XCP) que instalava um rootkit nos computadores com Windows XP. A intenção era esconder o mecanismo de proteção para ser mais difícil de burlar, mas infelizmente esse rootkit abria uma brecha de segurança que permitia a instalação de cavalos de Tróia por terceiros nos computadores de quem executasse o CD.

 Boicote a Sony BMG

2006 - Vulnerabilidade do OpenSSL

Na tentativa de resolver um problema, um mantenedor do Debian fez uma atualização do OpenSSL e quebrou o gerador de números aleatórios nesse processo. Trecho do alerta do CAIS disponível aqui: "Devido a uma modificação introduzida pelo Debian no pacote OpenSSL original, existe uma vulnerabilidade na geração de números aleatórios, o que faz com que essas aplicações gerem sempre um número limitado e pequeno de chaves criptográficas. Com isso um atacante de posse de uma lista dessas chaves pode realizar ataques de força bruta contra as aplicações e conseguir acesso ao conteúdo criptografado."

 

Piadinha sobre gerador de números aleatórios no Debian

2007 - Excel informando valor incorreto

A Microsoft lançou uma correção para o Microsoft Excel 2007 que corrige um erro onde era apresentado o número 100.000 como resultado de cálculos que deveriam resultar em 65.535 ou 65.536.

  Excel 2007

2007 - Atualização do jogo Espacial EVE online trava computadores

Uma atualização lançada para o jogo RPG Espacial EVE online que deveria melhorar desempenho gráfico, causou o travamento de computadores com Windows XP. Isto porque os desenvolvedores atualizavam o arquivo "boot.ini" no computador do usuário (mesmo nome do arquivo que possui parâmetros de inicialização do Windows XP). O primeiro reinicio de sistema após  a atualização travava o computador.

 Microsoft Corp. corrigiu uma falha no software Excel 2007 que apresentava valores incorretos para cálculos envolvendo alguns números, informou a empresa nesta quarta-feira (10/10). A companhia ainda informou que vai incluir a correção no Windows Update, o quando antes.
O bug, que a Microsoft reconheceu há duas semanas, mostra o número 100.000 como o resultado de cálculos que deveriam resultar em 65.535 ou em 65.536. O erro, segundo a Microsoft, não está nos cálculos do Excel, mas no código que carrega os valores resultantes e os formata antes de exibi-los em uma célula da planilha eletrônica. Somente a mais nova versão do programa, o Excel 2007, e seu equivalente online, o SharePoint 2007, contém esse bug.
As correções para a falha e a documentação no banco de dados de suporte da Microsoft, foram publicadas no site de downloads da companhia, com links disponíveis no blog do Excel. O downaloda para o Excel 2007 possui substanciais 32,5 Megabytes (MB).
"Estamos no processo de adicionar esta correção ao Microsoft Update para que ela seja atualizada automaticamente a usuários rodando o Excel 2007 ou o Excel Services 2007", informou David Gainer, gerente de projetos do programa, no blog da equipe.
A correção não está entre as correções liberadas no boletim mensal de atualizações anunciado ontem (09/10) pela Microsoft.
- See more at: http://idgnow.com.br/seguranca/2007/10/10/idgnoticia.2007-10-10.9822776538/#sthash.3uYGZqTy.dpuf

A Microsoft Corp. corrigiu uma falha no software Excel 2007 que apresentava valores incorretos para cálculos envolvendo alguns números, informou a empresa nesta quarta-feira (10/10). A companhia ainda informou que vai incluir a correção no Windows Update, o quando antes.
O bug, que a Microsoft reconheceu há duas semanas, mostra o número 100.000 como o resultado de cálculos que deveriam resultar em 65.535 ou em 65.536. O erro, segundo a Microsoft, não está nos cálculos do Excel, mas no código que carrega os valores resultantes e os formata antes de exibi-los em uma célula da planilha eletrônica. Somente a mais nova versão do programa, o Excel 2007, e seu equivalente online, o SharePoint 2007, contém esse bug.
As correções para a falha e a documentação no banco de dados de suporte da Microsoft, foram publicadas no site de downloads da companhia, com links disponíveis no blog do Excel. O downaloda para o Excel 2007 possui substanciais 32,5 Megabytes (MB).
"Estamos no processo de adicionar esta correção ao Microsoft Update para que ela seja atualizada automaticamente a usuários rodando o Excel 2007 ou o Excel Services 2007", informou David Gainer, gerente de projetos do programa, no blog da equipe.
A correção não está entre as correções liberadas no boletim mensal de atualizações anunciado ontem (09/10) pela Microsoft.
- See more at: http://idgnow.com.br/seguranca/2007/10/10/idgnoticia.2007-10-10.9822776538/#sthash.3uYGZqTy.dpuf

2010 - Erros em terminais do Bank of Queensland na Austrália

Um erro no código do terminal  pagador do Bank of Queensland, na Austrália, deixou diversos dispositivos inoperantes por uma semana. Aparentemente o problema aconteceu devido a uma rotina incorreta na conversão de um número hexadecimal. Quando o dispositivo devia assinalar 2010 ele pulava 6 anos até 2016, fazendo com que os terminais recusassem os cartões dos clientes por estarem expirados. 

E veja que não foram citadas aqui, falhas de segurança, apenas casos de falhas de programas que ganharam notoriedade em função dos seus efeitos desastrosos.

A infeliz realidade é que erros de software como esses estão em todo lugar mas têm pouca repercussão caso seus efeitos não sejam tão devastadores. Se a planilha eletrônica travar enquanto você está alterando informações dos seus gastos pessoais ninguém morrerá por isso e, convenhamos, se os usuários não reclamarem do problema, certamente a fabricante não terá motivação para corrigi-lo se isso não resultar num ganho financeiro. Mas a partir do momento que softwares cada vez mais complexos começam a invadir sistemas críticos (sistemas para evitar acidentes em veículos automotivos, decolagem e aterrissagem de aeronaves, plantas de controle nuclear, etc) é possível que vejamos mais falhas como essas acontecendo. Diariamente a imprensa especializada divulga casos de crackers que invadem sistemas devido as suas falhas de segurança (boa parte em função de códigos vulneráveis)  mas nossa passividade em cobrar softwares de maior qualidade dos fabricantes, não são lá motivadores para que eles se empenhem mais nessa tarefa (apenas para registro, nos casos de falha de segurança também é preciso computar os casos de má implementação ou uso). 

Vemos que as empresas deixam muito a desejar quando o assunto é teste dos seus produtos. Por um lado é até compreensível pois ninguém conseguirá testar todas as possibilidades com todas as variáveis que o mundo real oferece. Um problema que foi encontrado utilizando o software num determinado ambiente pode não acontecer em outro de característica similar, pois uma variável diferente, mesmo que ínfima, pode estar envolvida e desencadear toda uma gama diferente de resultados. O problema começa quando uma empresa sabe que o software possui determinadas vulnerabilidades e o comercializa assim mesmo. Como saber quais programas são esses? Como confiar nesse tipo de programa? 

A confiança se torna um problema mais crítico ainda por que as falhas que são utilizadas para quebrar a segurança, geralmente não afetam a performance do produto. Falhas que afetam a performance de um software ou de um dispositivo são rapidamente notadas e demandam correções urgentes. Porém uma falha de segurança pode permanecer num produto durante anos e não ser descoberta (o que não impede que ela seja explorada por alguém que já a tenha encontrado) e por isso são deixadas pra segundo plano, mesmo que seus efeitos sejam devastadores. Este é um desafio muito grande e que torna a segurança mais difícil (e importante) do que a confiança. Quem "confia", sente-se "seguro", certo? Confiança é você acreditar que, quando o controle anticolisão do veículo falhar, ele voltará a funcionar como um veículo antigo lhe devolvendo o controle, e não que ele se espatife na próxima árvore que encontrar no caminho a 200 km/h. Se você não se sente seguro, dificilmente ativará essa funcionalidade do veículo, pois não há confiança. Confiança é você acreditar que se por algum motivo o braço mecânico do robô que está fazendo sua cirurgia falhar, ele será tranquilamente removido por um elemento humano, antes que decida brincar de jogo da velha com algum órgão interno seu. Mas como confiar nesses sistemas com tantos casos de dispositivos que negligenciaram a segurança no passado e que continuam negligenciando ainda hoje? Com códigos tão mal escritos? Sabendo que tratam-se de softwares extremamente complexos que rodam em rede? Como vamos esperar que aplicações melhores sejam desenvolvidas, se nos acostumamos com pior, se nos acostumamos a reiniciar o computador quando algo dá errado e está tudo bem?

Conforme Bruce Schneier na sua apresentação para a Black Hat uma das soluções para os problemas de segurança passa por fazer códigos mais simples, pois quanto mais complexo for o código do programa, mais falhas ele terá. A fórmula na verdade é bem simples: 

• Mais complexidade -> Mais código -> Mais erros
• Mais erros -> mais vulnerabilidades de segurança (conhecidas ou não)

Mas o que estamos vendo vai justamente na contramão desse processo. Os códigos estão cada vez mais complexos e cheios de funcionalidades (algumas bem inúteis ou que nunca serão utilizadas) e a responsabilização dos fabricantes cada vez mais ignorada. Afinal, todo software possui erros, certo? Enquanto os fabricantes dos produtos não forem chamados às suas responsabilidades com mais rigor, não criarem códigos mais simples e com testes mais exaustivos, creio que continuaremos vivendo essa assincronia entre confiança e segurança, pois estamos confiando cada vez mais em softwares e a sensação de segurança é cada vez menor.

Você confia? E se sente seguro? Novamente, queria ser como você. Afinal, "Errar é humano, mas para estragar tudo mesmo é preciso um computador" - Paul Ehrlich (Biologista americano). E lendo essa frase, o pensamento que me vêm a cabeça é: "E não é que é verdade?" ;o)

Fontes de pesquisa sobre bugs históricos:

http://www.devtopics.com/20-famous-software-disasters/

http://fotos.noticias.bol.uol.com.br/imagensdodia/2013/05/13/relembre-falhas-tecnologicas-que-causaram-ameacas.htm

http://www.mdig.com.br/?itemid=4090

http://en.wikipedia.org/wiki/List_of_software_bugs

http://www.wired.com/software/coolapps/news/2005/11/69355?currentPage=all

http://www.computerworld.com/s/article/9183580/Epic_failures_11_infamous_software_bugs

http://listverse.com/2012/12/24/10-seriously-epic-computer-software-bugs/

http://bugsniffer.blogspot.com.br/2007/11/infamous-software-failures.html

http://www.computerworlduk.com/in-depth/infrastructure/3239009/11-famous-software-bugs/

http://www.computerworld.com/s/article/9183580/Epic_failures_11_infamous_software_bugs?taxonomyId=18&pageNumber=2 

t+

Cristiano
"A grandeza não consiste em receber honras, mas em merecê-las." - Aristóteles