Presidente do Serpro ignora criptografia em favor do desempenho

Ao participar de audiência nesta quinta, 3 de setembro de 2015, da CPI dos Crimes Cibernéticos, o presidente do Serpro, Marcos Mazoni, lembrou que os backdoors continuam existentes na infraestrutura, na camada lógica e nas aplicações, apesar dos esforços recentes de buscar maior segurança.

“Criptografia existe, mas é muito pouco usada, porque tira performance. Basta lembrar como as pessoas acabam optando por e-mails que não tem essa proteção. Nesse terreno estamos incentivando a ampla adoção de criptografia no governo. O Expresso tem um milhão de contas. Nem todas do Serpro. Nós temos umas cento e poucas mil. Mas a Previdência tem, universidades, escolas técnicas vários órgãos e muitas empresas privadas”, listou Mazoni.

“Algoritmos de criptografia criado em países estrangeiros também têm fragilidades. Precisamos de maior conhecimento de matemática para ter maior proteção. Muitas vezes se adotam algoritmos internacionais e eles são, em geral, desenvolvido pela NSA, que participa desse processo. Por isso é importante termos nosso desenvolvimento, nossa matemática, matemática quântica e teremos criptografia mais sólida”, emendou.

Ao pontuar que as vulnerabilidades começam nas redes físicas, o presidente do Serpro destacou os investimentos no novo cabo submarino para a Europa e no satélite geoestacionário de defesa e comunicações. Mas reconheceu que são muitos produtos e software que atendem as legislações internacionais, com exigências da implementação prévia de backdoors para acesso.

“A cláusula de proteção do governo dos EUA garante acesso absoluto, mesmo que equipamento seja instalado por nós em nossos bancos de dados. Está escrito na licença dos produtos e por isso mesmo temos que cuidar também do trafego sainte de nossas redes, pelos chamados backdoors. São proteções de fabricantes norte-americanos, mas chineses também. Não estamos acusando nenhuma empresa, apenas apontando, como em um seguro, a possibilidade de acontecer", completou Mazoni.

May The Source be with You: http://convergenciadigital.uol.com.br/cgi/cgilua.exe/sys/start.htm?infoid=40530&sid=18

Final de semana agitado (parte 1)

Essa semana que passou foi agitada no mundo da (in)Segurança da Informação.

Pra começar os trabalhos, na quinta-feira /* dia 24/01 */ uma empresa de consultoria em segurança sediada na Áustria divulgou /* depois de ter avisado o vendor */ uma backdoor que atinge quase todos os produtos da Barracuda Networks.

Pra quem não sabe, a Barracuda é uma empresa que fornece soluções de segurança como: Firewall, Filtro de Conteúdo Web, Filtro de Spam, Load Balancer, SSL VPN, WAF, entre outras coisas. É /*auto*/ reconhecida como uma das grandes do mercado de segurança. Particularmente, tive a experiência de administrar um cluster de Barracuda Spam and Virus Firewall /* aka filtro de spam */ e, apesar dos pesares, ele cumpria seu papel no bloqueio de mensagens indesejadas. Mas essa backdoor derrubou a Barracuda no meu conceito.

A falha consiste de contas de usuários (não documentadas) que podem ser usadas para loggar remotamente via SSH (port 22) nos appliances combinadas com uma regra de iptables mal-feita /* aka preguiça */ que permite o acesso a partir de um range privado e público de IPs /* incluindo IPs que não pertencem à Barracuda */.

Na prova de conceito, os pesquisadores conseguiram ganhar o shell da máquina logando com o usuário "product" e, posteriormente, obtiveram acesso ao banco MySQL /*senha fraca*/.

A Barracuda divulgou a falha, classificando-a como média e lançou uma atualização de correção. A "desculpa" é que as contas /* 'root', 'build', 'shutdown', 'product', 'ca', 'support', 'web_support', 'qa_test' */ eram para facilitar o suporte remoto aos produtos.

Reflexão 1: Ninguém está seguro, nem mesmo com produtos /*caros*/ líderes do mercado.
Reflexão 2: Até que ponto vale sacrificar a segurança em nome do suporte?

May The Force be with You.