Falha grave em protocolo permite ataque a milhares de dispositivos em rede

virus

Vulnerabilidades em bibliotecas Universal Plug and Play usadas em milhares de produtos permite ataques de execução de código remoto e DDoS

Milhares de dispositivos habilitados para rede, incluindo roteadores, impressoras, servidores de mídia, câmeras IP, SmartTVs, entre outros, podem ser atacados por meio da Internet por conta de uma falha grave que envolve a implementação do protocolo padrão UPnP (Universal Plug and Play), disseram pesquisadores da empresa de segurança Rapid7, na terça-feira (29/1) em uma pesquisa.

O UPnP permite que dispositivos em rede descubram uns aos outros e automaticamente estabeleçam configurações de trabalho que habilitam o compartilhamento de dados, streaming de mídia, controle de reprodução de mídia e outros serviços.

Um cenário comum é uma aplicação de compartilhamento de arquivos, sendo executada em um computador, dizer ao roteador via UPnP para abrir uma porta específica e mapeá-la para o endereço de rede local do computador, com o objetivo de abrir seu serviço de compartilhamento de arquivos para usuários de Internet.

O UPnP é utilizado principalmente dentro de redes locais. No entanto, os pesquisadores em segurança da Rapid7 encontraram mais de 80 milhões de endereços de IPs (Internet Protocol) públicos únicos que responderam a solicitações de descoberta de UPnP por meio da Internet durante as verificações realizadas no ano passado, entre os meses de junho e novembro.

Além disso, eles identificaram que 20%, ou 17 milhões, desses endereços de IP correspondiam a dispositivos que expunham o Protocolo Simples de Acesso a Objeto (SOAP ou Simple Object Access Protocol) para a Internet. Esse serviço pode permitir a crackers atacar sistemas por trás do firewall e expor informações sigilosas sobre eles, disseram os pesquisadores.

Com base nas respostas para a solicitação de descoberta de UPnP, os pequisadores puderam registrar os dispositivos únicos e descobrir qual biblioteca UPnP eles utilizavam. Foi identificado que mais de um quarto dos dispositivos tinham o UPnP implementado por meio de uma biblioteca chamada Portable UPnP SDK.

Oito vulnerabilidades que podem ser exploradas remotamente foram encontradas nessa SDK, incluindo uma que pode ser utilizada para a execução de código remoto, disseram os pesquisadores.

“As vulnerabilidades que identificamos no Portable UPnP SDK foram corrigidas na versão 1.6.18 (liberada hoje), mas levará bastante tempo até que cada fornecedor de dispositivos e aplicação incorpore esse patch em seus produtos”, escreveu o chefe de segurança da Rapid7, HD Moore, na terça-feira, no blog da empresa.

Mais de 23 milhões de endereços de IP daqueles identificados durante a verificação correspondem a dispositivos que podem ser comprometidos pelas vulnerabilidades por meio do envio de um único pacote UDP personalizado especificamente para eles, de acordo com Moore.

Falhas adicionais, incluindo aquelas que podem ser utilizadas em ataques de negação de serviço (DDoS) e execução de código remoto, também existem em uma biblioteca chamada de MiniUPnP. Mesmo que elas tenham sido corrigidas nas versões liberadas em 2008 e 2009, 14% dos dispositivos com UPnP expostas utilizavam a versão do MiniUPnP 1.0 (exatamente a vulnerável), disseram os pesquisadores.

Outros problemas foram identificados na última versão da MiniUPnP (1.4), mas eles não serão publicamente divulgados até que os desenvolvedores das bibliotecas liberem uma correção.

“Dito isso, fomos capazes de identificar mais de 6900 versões de produtos que estão vulneráveis por conta do UPnP”, disse Moore. “Essa lista engloba mais de 1500 fornecedores e leva em conta apenas dispositivos que expõem o serviço SOAP da UPnP à Internet – o que é uma vulnerabilidade grave por si só.”

A Rapid7 publicou três listas separadas de produtos vulneráveis, que possuem falhas do Portable UPnP SDK, MiniUPnP e dispositivos que expõem o SOAP à Internet.

A Belkin, Cisco, Netgear, D-Link e Asus, todas com dispositivos vulneráveis segundo a lista, não comentaram imediatamente sobre o caso.

Atualizações de segurança

Moore acredita que, na maioria dos casos, os dispositivos em rede que não são mais vendidos não serão atualizados e permanecerão vulneráveis a ataques remotos indefinidamente, a menos que seus donos desabilitem manualmente a funcionalidade UPnP ou a substitua.

“Essas descobertas provam que muitos fornecedores ainda não aprenderam o básico em projetar dispositivos que padronizam uma configuração segura e robusta”, disse o chefe do departamento de segurança da Secunia, Thomas Kristensen. “Dispositivos que são destinados a conexão direta com a Internet não devem executar quaisquer serviços em suas interfaces públicas por padrão, principalmente serviços como UPnP que são destinados exclusivamente para redes de ‘confiança’.”

Kristensen acredita que muitos dos dispositivos vulneráveis provavelmente permanecerão sem correção até que sejam substituídos, mesmo que suas fabricantes liberem atualizações de firmware.

Muitos usuários de computadores sequer atualizam os softwares que são frequentemente utilizados e com os quais estão familiarizados, disse ele, acrescentando que a tarefa de encontrar uma interface web de um dispositivo em rede vulnerável, obter a atualização para o firmware e passar por todo o processo de update provavelmente é muito intimidante para muitos usuários.

A pesquisa feita pela Rapid7 inclui recomendações de segurança para provedores de serviços de Internet, empresas e usuários domésticos.

Provedores de Internet (ISP) foram aconselhados a forçar atualizações para as configurações ou firmware para dispositivos de assinantes, a fim de desabilitar os recursos UPnP ou substituir os dispositivos por outros configurados de forma segura, que não expõem o UPnP à Internet.

“Usuários domésticos e de dispositivos móveis devem garantir que a função UPnP dos seus roteadores e dispositivos de banda larga móvel esteja desabilitada”, disseram os pesquisadores.

Além de garantir que nenhum dispositivo exponha a UPnP à Internet, as empresas foram aconselhadas a realizar uma revisão cuidadosa sobre o potencial impacto de segurança para todos os dispositivos compatíveis com UPnP encontrados em suas redes – impressoras de rede, câmeras IP, sistemas de armazenamento, etc – e considerar segmentá-los da rede interna até que uma atualização de firmware esteja disponível pelo fabricante.

A Rapid7 lançou uma ferramenta gratuita chamada ScanNow para Universal Plug and Play, bem como um módulo para o teste de penetração Metasploit Framework, que pode ser usado para detectar ​​serviços UPnP vulneráveis que estejam rodando dentro de uma rede.

 

Anúncios

Google põe obstáculos à bisbilhotagem eletrônica feita por governos

 

Google

 

Se um governo deseja dar uma espiadela na sua conta de e-mail, é surpreendentemente fácil – na maior parte do tempo, sequer exige o consentimento judicial.

Isso é o problema, de acordo com o Google, que afirma ter recebido 21.389 solicitações de informações sobre 33.634 usuários na segunda metade do ano passado, um aumento de 70% em três anos. O Google entregou dados pessoais em dois terços desses casos.

A imensa maioria das solicitações veio do governo dos Estados Unidos. Nos últimos seis meses, funcionários públicos dos EUA fizeram 8.438 solicitações de dados, e o Google consentiu com pelo menos parte dos pedidos em 88% das vezes. (Numa delas, muito provavelmente, foi para acessar a conta de Gmail de Paula Broadwell, o que basicamente revelou seu “affair” com David H. Petraeus, diretor da CIA.)

Para marcar o Dia da Privacidade de Dados na segunda-feira (feriado nos EUA que, sem dúvida, você realçou no calendário em antecipação ávida), o Google está tentando ajuntar apoio contra o acesso amplo de governos a dados on-line pessoais.

“Nós queremos garantir que estamos conduzindo nossas responsabilidades de maneira séria, protegendo as informações dos nossos usuários e sendo transparentes quanto a isso”, declarou o diretor jurídico do Google, David Drummond, em uma entrevista rara.

“Queremos que as pessoas saibam o que nós não estamos passando por cima, mas estamos nos direcionando para ter certeza que os governos ao redor do mundo sigam padrões e façam isso de uma maneira razoável que seja satisfatória a ambas as partes”, acrescentou ele.

O cerne do problema é uma lei que garante mais proteção a um pedaço de papel na sua mesa do que a um e-mail armazenado on-line. O Ato de Privacidade das Comunicações Eletrônicas foi sancionado em 1986, anos antes da difusão de uso do e-mail e do armazenamento em nuvem, ou da invenção das redes sociais.

“Pessoas provavelmente supõem que todas as suas comunicações, seja em cartas físicas ou telefonemas ou e-mails, são protegidas pela Quarta Emenda e que a políciavai a juízo pedir uma autorização”, diz Trevor Timm, advogado de privacidade que estuda vigilância no Electronic Frontier Foundation, organização que trabalha pela liberdade em rede. “De fato, não é esse o caso.”

Por exemplo, a lei diz que a polícia não precisa de um mandato de busca, que exige um juiz concordando que há uma causa provável, para ler mensagens de e-mail que têm mais de 180 dias.

Espera-se que o Congresso considere emendas à lei de 1986 ainda neste ano. Enquanto isso, a administração Obama tem empurrado a companhias de internet para facilitar o grampo digital.

Nos Estados Unidos, 68% das solicitações sobre informações de usuários do Google vieram na forma de intimações, que não exigem aprovação de um juiz. O resto são mandatos de busca ou outros tipos de ordem judicial.

O Google disse que vem brigando contra o uso generalizado de intimações pela exigência de mandatos de busca para dados pessoais detalhados – além de coisas como o nome de usuário, localização, número de telefone e o tempo em que o e-mail foi enviado – mesmo se a lei afirma que uma intimação é suficiente.

Em uma cartilha publicada na segunda-feira, o Google diz que exige um mandato de busca para compartilhar mensagens de e-mail, vídeos do YouTube privados, mensagens de voz armazenadas ou mensagens de texto no Google Voice e posts privados no Blogger.

Embora o Google tenha se esforçado ao longo dos anos para ganhar a confiança dos usuários para manipular dados pessoais, a companhia tem se sobressaído nos esforços para proteger usuários contra as solicitações de dados feitas por governos.

“O Google tem sido um tipo de pioneiro”, diz Timm.

Desde 2010, quando publicou o seu relatório de transparência, o Google esboça o número de solicitações governamentais que recebe para dados de usuários ou para remover conteúdo da internet. Companhias que incluem o Twitter, que emprega muitos advogados remanescentes do Google, tem seguido a diretriz. Drummond diz que deseja que outras companhias de internet façam o mesmo também.

O Google diz que escrutina cada solicitação de governo, estreita o escopo se possível e notifica usuários sobre a solicitação, caso isso não seja proibido pela lei.

 

Dentista desenvolve escova de dente de três cabeças e pretende faturar R$ 800 mil

Escova

Practical Plus terá preço entre R$ 7 e R$ 8 e deve chegar ao mercado entre março e abril

Em busca de alternativas para resolver parte dos problemas bucais, o dentista Samuel Gomes decidiu partir para o empreendedorismo e estudar sobre o assunto. O resultado foi a elaboração de uma escova que une design e funcionalidade. Diferentemente das escovas tradicionais, o modelo desenvolvido por Gomes tem três cabeças.

Para desenvolver a escova, que tem nome provisório de Practical Plus, o dentista priorizou um modelo que higienizasse todos os lados dos dentes ao mesmo tempo e também promovesse uma massagem gengival saudável. O modelo ainda tem um raspador lingual no lado oposto.

O dentista pontua que muitas pessoas não fazem a escovação correta por desconhecimento ou falta de tempo. E a Practical Plus foi desenvolvida para solucionar esse problema e, principalmente, beneficiar crianças e pessoas com problema de coordenação motora e facilitar o processo de escovação.

Gomes está estudando o assunto há dez anos, mas conseguiu tirar o projeto do papel após vencer um edital de inovação do Serviço Nacional de Aprendizagem Industrial (Senai), em 2011. Com ajuda financeira e técnica do Senai, o projeto está na fase final. Os modelos devem estar prontos em fevereiro e o produto deve chegar ao mercado entre março e abril com preço entre R$ 7 e R$ 8.

Inicialmente, Gomes vai focar a distribuição em São Paulo e no Rio de Janeiro. Para ampliar o negócio, o empreendedor está em busca de parceiros comerciais e investidores. A escova será produzida pela Indiplas, com capacidade de fabricação de 400 mil escovas por mês. Mas inicialmente, a meta é produzir 30 mil peças por mês. Com essa capacidade, a empresa tem uma expectativa de faturar R$ 800 mil em um ano.

Veja Video

Códigos para smartphone viram painéis no Rio

Escultura

O Rio acaba de ganhar mais uma ferramenta informativa sobre seus principais atrativos turísticos. Lançado na sexta-feira, o projeto QRio vai instalar, até o fim de 2013, painéis esculpidos em forma de QR codes em 30 pontos da cidade.

QR codes são códigos semelhantes aos de barras. Fotografados com o smartphone ou tablet (antes é preciso baixar um leitor, disponível nas lojas de aplicativos de cada plataforma), destravam o conteúdo de uma página na internet – nela estarão informações e fotos sobre o local em questão.

Os QR codes esculpidos em pedra portuguesa já estão instalados no Arpoador (foto) e no Mirante do Leblon. Leme, São Conrado e Barra da Tijuca terão os seus em breve. Outros materiais, vários deles recicláveis, serão usados nos próximos painéis. Veja a lista completa em blogs.estadao.com.br/viagem.

Incrível! Surfista pega onda gigante de 100 pés e pode bater recorde mundial

Onda

Norte-americano Garrett McNamara desceu de uma altura de um prédio de dez andares no litoral de Portugal

O norte-americano Garrett McNamara, 45 anos, pode ter feito história em uma onda gigante na praia do Norte, em Portugal. Estimativas feitas em função da fotografia dão conta que ele desceu algo em torno de 100 pés, o que daria 30,48 metros. Se a marca for confirmada, seria considerado o recorde mundial que é dele mesmo – em novembro de 2011 ele encarou um onda de 27,40 metros no mesmo local e gravou seu nome no Guinness Book. “Essa onda em Nazaré é sempre muito imprevisível, pois pode vir de um lado ou de outro e nunca sabemos como vai arrebentar”, disse McNamara.

O feito incrível pode colocar o surfista como o primeiro homem a surfar uma onda superior a 30 metros, feito que era considerado impossível décadas atrás, mas com a ajuda do jet ski, que impulsiona o atleta para dentro da montanha de água, isso se tornou possível. Alastair Mennie, que estava com McNamara, ficou entusiasmado. “Cotty e eu surfamos duas grandes ondas de cerca de 60 pés e, depois, quando Garrett estava pronto, veio uma onda de mais de 90 pés. O jet ski foi o melhor lugar para vê-lo surfar a maior onda que eu já vi. Foi incrível. A maioria das pessoas ficaria assustada, mas Garrett estava no controle de tudo na parte crítica da onda. Foi um passeio inspirador de um surfista inspirador”, disse Mennie ao jornal inglês “The Guardian”.

Nos últimos anos, surfistas de ondas grandes de todas as partes do mundo começaram a pesquisar os melhores locais para a formação das arrebentações. Em Portugal, encontraram um lugar batizado de Canhão de Nazaré, um raro fenômeno geográfico submerso. No formato de um desfiladeiro de 210 quilômetros abaixo da água com cinco quilômetros de profundidade em seu ponto mais fundo, ele começa a se definir a 500 metros da costa, e isso possibilita a formação de grandes ondas.

The Guardian

 

França obriga Twitter a revelar autores de mensagens racistas

Twiter

Decisão da justiça do país também pune internautas que publicam posts antissemitas e homofóbicos.

Em uma decisão inédita na França, a Justiça do país obrigou a rede social Twitter a identificar os autores anônimos de mensagens racistas, antissemitas e homofóbicas.

O Tribunal de Grande Instância de Paris acatou o pedido de várias associações francesas de defesa dos direitos humanos, entre elas a União dos Estudantes Judeus da França, que desejam identificar os autores de mensagens racistas no Twitter, publicadas por meio de pseudônimos, para levá-los aos tribunais.

A empresa americana também deverá implantar um sistema, em língua francesa e facilmente acessível, que permita aos usuários denunciar à rede social comentários que incitem o ódio racial ou façam apologia de crimes contra a humanidade.

As mensagens com conteúdo racista começaram a ser publicadas em outubro do ano passado. Os usuários utilizaram palavras-chave com hashtags (#) para reunir em uma mesma página comentários sobre um mesmo assunto.

Desta forma, foram criadas páginas como “um bom judeu” ou “um judeu morto” com centenas de mensagens antissemitas.

Nazismo

As primeiras hashtags foram seguidas de outras com conotações racistas ou homofóbicas, como “um bom negro” ou “se meu filho é gay”.

O Twitter havia retirado do site as páginas antissemitas e racistas publicadas em outubro, mas novas surgiram posteriormente. Em janeiro, foi criada a hashtag “se eu fosse um bom nazista”.

As associações francesas de direitos humanos haviam inicialmente pedido ao Twitter para identificar os autores desses comentários, mas a empresa se recusou a fornecer os dados.

No processo na Justiça francesa, o Twitter alegou ser uma empresa americana e que, por esse motivo, estaria sujeita apenas às leis do Estado americano da Califórnia, onde fica sua sede.

Mas, para o Tribunal de Grande Instância de Paris, “a infração foi cometida no território francês” e “os usuários, cuja identificação está sendo solicitada, estão sujeitos à legislação penal da França”.

A decisão da Justiça francesa poderá abrir uma brecha na Europa, escreve o jornal Le Monde desta sexta-feira.

Transparência

O Twitter publicou no ano passado um “relatório de transparência”” com os pedidos de identificação de usuários, transmitidos por país.

A empresa americana também recebeu pedidos de bloqueio de conteúdo em países europeus. Pela primeira vez, a rede social utilizou em 2012 um sistema que permite bloquear uma conta somente em um país.

O Twitter bloqueou na Alemanha a conta de um grupo neonazista que pode ainda ser vista na França ou em outros países.

Outros sites, como o Ebay, já adotaram esse sistema. O site bloqueia, por exemplo, a venda de objetos nazistas na França e na Alemanha, mas nos Estados Unidos ela é autorizada. BBC Brasil – Todos os direitos reservados. É proibido todo tipo de reprodução sem autorização por escrito da BBC.

 

Jill Price tem uma condição inédita: Ela se lembra de tudo o que aconteceu nos últimos 28 anos. Mesmo

mylifememory-logo-scaled

A americana Jill Price se lembra perfeitamente da noite em que decidiu procurar ajuda. Ela tinha 34 anos, e a certeza de que não era normal. “Eu consigo me lembrar de tudo. A memória controla a minha vida. É como um filme que não acaba nunca”, disse ela ao cientista James Gaugh, da Universidade da Califórnia. Gaugh e seus colegas resolveram estudar o caso e descobriram uma capacidade jamais vista: Jill realmente se lembrava de tudo o que havia acontecido em todos os dias desde 1980, de notícias a bobagens cotidianas. Os pesquisadores checaram as respostas da mulher (verificando as informações em jornais e numa enorme coleção de diários que ela escreve desde a infância) e constataram que estava tudo certo. Eles não sabem explicar essa capacidade, que batizaram de síndrome hipertiméstica – do grego “se lembrar” – , mas têm algumas pistas. Vinte áreas do cérebro de Jill, entre elas o córtex pré-frontal (que controla a memória de longo prazo), são maiores que a média. Em compensação, ela tem lateralização anômala – uma confusão na divisão de tarefas entre as duas metades do cérebro, que está ligada ao autismo. Jill não é autista, mas tem depressão. “Minha esperança é que os cientistas consigam descobrir alguma coisa no meu cérebro para ajudar as pessoas que perdem a memória”, diz ela, que acaba de lançar uma autobiografia nos EUA e revela: na prática, ter supermemória nem sempre é bom. “Imagine se você conseguisse se lembrar de todos os erros que já cometeu.”