Convite: Roadsec Curitiba 2015

O Roadsec volta pra Curitiba!

O maior evento brasileiro de Hacking, Segurança e Tecnologia volta à Curitiba, na última edição do ano antes do grande encerramento! Pra fechar com chave de ouro, novidades te esperam no Roadsec em 2015, e você tem um convite de honra para conferir o que há de melhor. Venha aproveitar o sábado épico do dia 17 de Outubro conosco, não perca!

ATENÇÃO: O Roadsec concede certificado de Horas Complementares.

PALESTRAS: O evento está recheado de palestrantes de altíssimo nível, que vieram de todo o país! Aprenda, debata, faça novos contatos e fortaleça seu networking como nunca. É hora de valorizar sua carreira!

OFICINAS: Disputadas oficinas estarão no laboratório do Roadhack: Robótica Mindstorms, controle de drones, corrida em autorama de inteligência artificial, técnicas de lock picking, construção de circuitos programáveis e mais!

DESAFIOS: O maior campeonato de Hacking do Brasil está no Roadsec! O HACKAFLAG (campeonato Capture the Flag) te desafia a mostrar o seu talento. Os vencedores de cada estado ganham viagem com tudo pago para a grande final em São Paulo!

E tem mais: A Cryptorace voltou com tudo esse ano. Recheada de prêmios incríveis a cada edição, a corrida criptográfica do Roadsec também leva o grande campeão para a mega edição de São Paulo com tudo pago!

Não fique de fora!

As vagas são limitadas.  

CÓDIGO EXCLUSIVO DE DESCONTO: RSPR-JHA8391K7

INSCREVA-SE AQUI!!!

roadsec.com.br | @roadsec | /roadsec

Presidente do Serpro ignora criptografia em favor do desempenho

Ao participar de audiência nesta quinta, 3 de setembro de 2015, da CPI dos Crimes Cibernéticos, o presidente do Serpro, Marcos Mazoni, lembrou que os backdoors continuam existentes na infraestrutura, na camada lógica e nas aplicações, apesar dos esforços recentes de buscar maior segurança.

“Criptografia existe, mas é muito pouco usada, porque tira performance. Basta lembrar como as pessoas acabam optando por e-mails que não tem essa proteção. Nesse terreno estamos incentivando a ampla adoção de criptografia no governo. O Expresso tem um milhão de contas. Nem todas do Serpro. Nós temos umas cento e poucas mil. Mas a Previdência tem, universidades, escolas técnicas vários órgãos e muitas empresas privadas”, listou Mazoni.

“Algoritmos de criptografia criado em países estrangeiros também têm fragilidades. Precisamos de maior conhecimento de matemática para ter maior proteção. Muitas vezes se adotam algoritmos internacionais e eles são, em geral, desenvolvido pela NSA, que participa desse processo. Por isso é importante termos nosso desenvolvimento, nossa matemática, matemática quântica e teremos criptografia mais sólida”, emendou.

Ao pontuar que as vulnerabilidades começam nas redes físicas, o presidente do Serpro destacou os investimentos no novo cabo submarino para a Europa e no satélite geoestacionário de defesa e comunicações. Mas reconheceu que são muitos produtos e software que atendem as legislações internacionais, com exigências da implementação prévia de backdoors para acesso.

“A cláusula de proteção do governo dos EUA garante acesso absoluto, mesmo que equipamento seja instalado por nós em nossos bancos de dados. Está escrito na licença dos produtos e por isso mesmo temos que cuidar também do trafego sainte de nossas redes, pelos chamados backdoors. São proteções de fabricantes norte-americanos, mas chineses também. Não estamos acusando nenhuma empresa, apenas apontando, como em um seguro, a possibilidade de acontecer", completou Mazoni.

May The Source be with You: http://convergenciadigital.uol.com.br/cgi/cgilua.exe/sys/start.htm?infoid=40530&sid=18

Coursera e Universidade de Maryland lançam programa de especialização em cybersegurança

A plataforma de MOOC em parceria com a Universidade de Maryland (EUA) está lançando uma série de cursos como parte de um programa de especialização em cybersegurança.

São ofertados 4 cursos que têm relação com a área de Segurança da Informação:
* Usable Security
* Software Security
* Cryptography
* Hardware Security

O curso "Usable Security" começou na última semana (15/09/2014) e é focado no projeto e construção de sistemas seguros com foco em HCI /* interação humano-computador */ e trata da problemática segurança vs. usabilidade.
Ele é ministrado pela Dra. Jennifer Golbeck, diretora do Laboratório de IHC e professora da Univ. de Maryland. Em 2006 ela foi selecionada como uma das "IEEE Intelligent Systems Top Ten to Watch", uma lista dos principais jovens pesquisadores de IA da IEEE.

O curso "Software Security" (20 de outubro) trata do ciclo de vida seguro do desenvolvimento de software; codificação segura: incluindo falhas de buffer overflow, erros aritméticos, cross-site scripting, SQL injection, condições de corrida, aleatoriedade ruim, vazamento de informações e como remediar tudo isso; Além de testes e auditoria: diferença de testes funcionais vs. testes de segurança, técnicas de pentest, incluindo Fuzz Testing e ferramentas de análise estática e dinâmica.
As aulas são dadas pelo professor do Dpto. de Ciência de Computação da Univ.d e Maryland, o premiado Michael Hicks.

Já o curso de criptografia (10 de novembro), ministrado pelo Prof. Jonathan Katz, trata, dentre outros assuntos dos princípios da criptografia moderna, criptografia de chave privada/pública, autenticação de mensagens, funções hash e assinaturas digitais.

O último curso, "Hardware Security" (5 de janeiro/2015), é focado nos fundamentos do design de lógica digital. Mostra os ataques físicos aos sistemas digitais populares como smartcards e sistemas baseados em FPGA; Ataques como análise de energia, de tempo, e eletromagnéticos e suas contramedidas; Além de tópicos emergentes como: Trust Platform Modules (TPM), Physical Unclonable Functions (PUF), True Random Number Generators (TRNG), tags RFID e proteção da propriedade intelectual.

Recomendado para estudantes de matemática, ciência da computação, engenharia da computação ou engenharia elétrica, com alguma familiaridade com programação /* de preferência em C/C ++ ou Java e C# */ e exposição prévia a algoritmos e lógica digital.

"If I wish to use the NSA" or "Teoria da Conspiração do Truecrypt"

Na semana passada, uma mensagem dos desenvolvedores  do TrueCrypt (ferramenta Opensource de criptografia largamente usada) na página oficial da ferramenta alarmou todo o mundo da InfoSec.

O anúncio dizia que o software não é seguro e pode ter brechas de segurança. O aviso ainda aconselhava os usuários migrassem para o Bitlocker, ferramenta proprietária da Micro$oft.

A principal frase era essa:
"Using TrueCrypt is not secure as it may contain unfixed security issues"

Os teóricos da Conspiração isolaram a primeira letra de cada palavra:
"(U)sing (T)rueCrypt (i)s (n)ot (s)ecure (a)s (i)t (m)ay (c)ontain (u)nfixed (s)ecurity (i)ssues"

O resultado é: "utinsaimcusi"

Se as palavras forem separadas adequadamente obtem-se:  "uti nsa im cu si"
Que em latim quer dizer: "If I wish to use the NSA" em pt-br: "Se eu quiser usar a NSA"

Não seria nenhuma novidade se a NSA quiser forçar os desenvolvedores a deixarem uma "back door" no código do Truecrypt.

May The Force be with You!

Fonte: http://pastebin.com/9catw4X7

Gmail com OpenPGP

A Google está lançando uma extensão do Chrome para, entre outras coisas, encriptação de email com OpenPGP.

"Ferramentas de criptografia ponta-a-ponta como PGP e GnuPG, em geral, exigem um know-how técnico e esforço manual para serem usadas. Para ajudar a fazer esse tipo de criptografia um pouco mais fácil, nós estamos liberando o código para uma nova extensão Chrome que usa OpenPGP , um padrão aberto apoiado por muitas ferramentas de criptografia existentes." diz o blog de segurança da Google. 

A ferramenta suporta as seguintes RFCs: RFC 4880 (OpenPGP Message Format) e RFC 6637 (Elliptic Curve Cryptography (ECC) in OpenPGP).

O código ainda está em fase de testes e não foi lançado na Chrome Web Store. Você pode verificá-lo aqui e ajudar a testar e descobrir vulnerabilidades (e talvez ganhar algum dinheiro!)

Uma ferramenta alternativa é o Mailvelope.

May The Force be with You!

Fonte: http://googleonlinesecurity.blogspot.com.br/2014/06/making-end-to-end-encryption-easier-to.html

Heartbleed - Falha grave no OpenSSL afeta 2/3 da Internet.

Heartbleed é uma falha grave no OpenSSL, biblioteca de código mais popular do mundo para a implementação de criptografia HTTPS em sites , servidores de e -mail e aplicações. Esta vulnerabilidade permite roubar informações protegidas, em condições normais, pela criptografia SSL/TLS usada para proteger a 2 terços dos sites da Internet.

Com a exploração é possível obter as credenciais de usuário, chaves privadas de encriptação, assinaturas e certificados X.509, tudo isso sem deixar nenhum vestígio ou log.

Já saiu o Patch de correção: https://github.com/openssl/openssl/commit/96db9023b881d7cd9f379b0c154650d6c108e9a3

Versões afetadas:
    OpenSSL 1.0.1 até 1.0.1f (inclusive) são vulneráveis
    OpenSSL 1.0.1g não é vulnerável
    OpenSSL 1.0.0 não é vulnerável
    OpenSSL 0.9.8 não é vulnerável
   
CVE: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-0160

Exploit: http://www.exploit-db.com/exploits/32764/

Sites vulneráveis em 8 de abril (de 2014)
https://github.com/musalbas/heartbleed-masstest/blob/master/top1000.txt

Produtos Cisco vulneráveis:
http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20140409-heartbleed

Aplicativo para ver se o seu celular está vulnerável:
https://play.google.com/store/apps/details?id=com.lookout.heartbleeddetector (Android)

Notícias:
http://blog.cloudflare.com/answering-the-critical-question-can-you-get-private-ssl-keys-using-heartbleed
http://g1.globo.com/tecnologia/noticia/2014/04/falha-grave-vaza-dados-de-dois-em-cada-tres-sites-seguros-da-web.html
http://arstechnica.com/security/2014/04/critical-crypto-bug-exposes-yahoo-mail-passwords-russian-roulette-style/

Que a Força esteja com vocês!




Fonte: http://heartbleed.com/

Extração da chave-mestra e identificação do volume do TrueCrypt

É possível extrair a chave mestra do TrueCrypt, bem como identificar quais os volumes estão criptografados.

Michael Ligh, pesquisador da Volatility, conseguiu identificar a chave mestra da encriptação de um volume do TrueCrypt.

Acontece que o software guarda essa chave em memória e o "pulo do gato" é que o padrão usual de criptografia usa o algoritmo AES no modo XTS. 

Esse modo concatena duas chaves de 256-bits para formar uma chave de 512-bits, o que torna muito fácil a identificação da chave utilizando-se de ferramentas de dump de memória e captura de pacotes como se vê abaixo:

$ ./aeskeyfind Win8SP0x86.raw
f12bffe602366806d453b3b290f89429
e6f5e6511496b3db550cc4a00a4bdb1b
4d81111573a789169fce790f4f13a7bd
a2cde593dd1023d89851049b8474b9a0
269493cfc103ee4ac7cb4dea937abb9b
4d81111573a789169fce790f4f13a7bd
4d81111573a789169fce790f4f13a7bd
269493cfc103ee4ac7cb4dea937abb9b
4d81111573a789169fce790f4f13a7bd
0f2eb916e673c76b359a932ef2b81a4b
7a9df9a5589f1d85fb2dfc62471764ef47d00f35890f1884d87c3a10d9eb5bf4
e786793c9da3574f63965803a909b8ef40b140b43be062850d5bb95d75273e41
Keyfind progress: 100%

O problema é que conhecer a chave é só meio caminho andado, é preciso saber onde está o arquivo criptografado. Para isso existe o plugin truecryptsummary, que usa as mesmas funções do driver do TrueCrypt e consegue detectar quais volumes/arquivos estão criptografados e onde eles estão.

Aí vira brincadeira de padawan...

Que a Força esteja com vocês!

Fonte: http://volatility-labs.blogspot.com.br/2014/01/truecrypt-master-key-extraction-and.html

Safari guarda em texto plano dados de uma sessão segura

Função ‘Reopen All Windows from Last Session' no Safari

A Kaspersky Lab encontrou uma falha no navegador da Apple Safari que guarda dados de sessões seguras anteriores não criptografados em uma pasta oculta.

O navegador armazena as informações da sessão em um XML (texto plano), incluindo as credenciais de autenticação usadas em sessões HTTPS anteriores para implementar o recurso "Reabrir todas as janelas da última sessão".

Arquivo plist após uma tentativa de fazer login no Gmail

A função é implementada nas seguintes versões do Mac OS X e Safari:

    OSX10.8.5, Safari 6.0.5 (8536.30.1)

    OSX10.7.5, Safari 6.0.5 (7536.30.1)

Kaspersky Lab já notificou a Apple da vulnerabilidade do Safari e a Apple mitigou  a vulnerabilidade no Safari 6.1

Arquivo plist do Safari

 
Que a Força esteja com vocês!

Fonte: http://www.securelist.com/en/blog/8168/Loophole_in_Safari