INFORMÁTICA

Pacotão de segurança: como ocorre uma invasão, senhas e Anonymous

Coluna responde dúvidas deixadas pelos leitores.
Deixe você também sua dúvida na área de comentários.

Altieres Rohr Especial para o G1*

imprimir

Outra quarta-feira e outro pacotão de respostas da coluna Segurança Digital do G1. Hoje, a coluna fala sobre invasões e explica, de forma simplificada, como elas ocorrem. Também comenta sobre segurança de senhas e o “grupo” Anonymous. Confira!

Se você tem alguma dúvida sobre segurança da informação (antivírus, invasões, cibercrime, roubo de dados, etc), vá até o fim da reportagem e utilize a seção de comentários. A coluna responde perguntas deixadas por leitores todas as quartas-feiras.

Invasores precisam explorar vulnerabilidades nos
programas, na configuração ou no usuário para
realizar uma invasão (Foto: Reprodução)

>>> Invasões
Uma pergunta: como ocorrem essas invasões às redes? Utilizam-se somente computadores? Que ferramentas?
Gabriel Fagundes

Depende, Gabriel. Você deixou essa pergunta em uma coluna sobre os Anonymous, então a resposta vai tratar tanto das invasões de computador de modo geral como algumas táticas usadas pelos participantes do Anonymous.

A invasão de redes clássica – quando se pensa em um “super hacker” – envolve uma brecha no sistema operacional ou em um serviço de rede. Um serviço de rede é um software que deixa o computador aberto para receber solicitações e, por isso, a existência de uma falha permite a invasão. Computadores domésticos não possuem muitos serviços que recebem solicitações da rede e, portanto, um hacker teria dificuldade para encontrar algo vulnerável nessa modalidade.

Exemplos de serviços de rede são servidores de jogos, de páginas de internet, de e-mail, etc. Computadores domésticos rodam os jogos, navegadores e clientes de e-mail que acessam esses serviços e que não ficam abertos o tempo todo para acesso externo de um hacker.

Uma vez identificada a falha, o hacker precisa enviar uma solicitação maliciosa, feita de forma especial. Essa solicitação se chama “exploit”. Ela irá causar um erro no serviço de rede e irá dar ao hacker o controle do sistema. A partir daí, pode ser que o invasor tenha acesso total ou parcial e pode usar novas falhas para conseguir outros acessos.

Recentemente, muitas invasões têm ocorrido por conta de falhas nas aplicações web, ou seja, nos sites da internet. Ou seja, mesmo que o software responsável por enviar páginas solicitadas seja seguro, isso de nada vale se o site tiver vulnerabilidades.

Observe que identificar uma falha é algo complicado e criar um exploit é ainda mais; o que ocorre na maioria das vezes é que uma falha já identificada e para a qual já existe um exploit ainda não foi corrigida em um sistema, e certas pessoas se aproveitam disso. Existe uma invasão que não envolve um exploit e sim um ataque de adivinhação de senha. Nesse caso, a vulnerabilidade do sistema não está no programa e sim no responsável que permitiu o uso de uma senha inadequada e/ou não configurou bloqueios para tentativas repetidas de acesso.

De qualquer forma, os serviços de rede e servidores estão cada vez com mais segurança. Criminosos se voltaram para atacar os softwares nos PCs de usuários – os navegadores, clientes de e-mail, mensageiros instantâneos, suítes de escritório, entre outros. Nesse caso, é preciso que o usuário abra um arquivo específico ou uma página de internet.

Para convencer você a abrir um arquivo, um hacker pode enviar um e-mail bem escrito como se fosse do seu trabalho ou de uma agência de empregos. No caso inverso, uma agência de empregos pode ser atacada com um e-mail que tem supostamente um currículo em anexo. No caso das páginas de internet, há quem pague para que códigos maliciosos sejam incluídos em determinados sites, há quem altere páginas de internet legítimas para incluir o exploit e há ainda aqueles que envenenam resultados em páginas de pesquisas para redirecionar internautas aos sites contaminados.

É importante ressaltar que vulnerabilidades são corrigidas em atualizações de software. Manter os programas atualizados diminui as opções disponíveis para um invasor e, às vezes, tudo que ele vai conseguir é oferecer um arquivo executável (.exe) enquanto torce que você caia no golpe. Infelizmente, muita gente cai, mostrando que às vezes nem é preciso se esforçar para criar um ataque sofisticado.

Quanto aos Anonymous, a atividade do grupo não se restringe a invasões e ataques de negação de serviço (que sobrecarregam a rede). Eles também enviam páginas pretas de fax para congestionar a linha de fax e gastar tinta à toa, saturam linhas de callcenter (esses dois últimos seriam equivalentes aos ataque de negação de serviço da internet) e, em alguns casos, também foram às ruas para protestar.

Senhas que contenham apenas números
ou letras são mais fáceis de serem
adivinhadas (Foto: Divulgação)

>>> Senha PSN
Por que ao criar a primeira conta na Playstation Network (PSN) antes do ataque pedia apenas uma senha comum, e hoje pede uma combinação de letras e números? No que isso ajuda?
Tiago Ferreira

Dificulta que alguém adivinhe sua senha. Existem vários tipos de ataques envolvendo senhas. A maioria deles envolve repetidas tentativas de acesso com todas as senhas possíveis, mas algumas técnicas tentam ser mais eficientes que outras. Porém, na web, mesmo a técnica mais eficiente vai resultar em muita bagunça e o ataque vai ser facilmente percebido por qualquer provedor de serviço competente.

Na realidade, solicitar uma senha com letras e números ajuda a impedir que usuários criem senhas fáceis de descobrir por adivinhação. Por exemplo, se você usasse a senha “tiagoferreira”, ela seria fácil de descobrir. Mas se um número for obrigatório, já fica mais difícil saber qual número você escolheu e onde o colocou, aumentando de forma significativa a quantidade de senhas que teriam de ser tentadas.

Da mesma forma, se a senha tiver apenas números, muitas pessoas tendem a utilizar o número da casa, da placa do carro, CEP, algum número de documento ou, pior, a data de nascimento. São dados que, em várias circunstâncias, um indivíduo mal intencionado consegue ter acesso.

Em qualquer circunstância é importante proteger suas contas com senhas adequadas. Confira esta coluna especial sobre senhas da coluna Segurança Digital.

Manifestante em protesto contra a Cientologia em Hollywood (Foto: Jason Scragz/Flickr/CC-BY)

>>> Anônimos
Esse movimento 'Anonymous' não é pioneirismo. O movimento neoísmo, 'movimento dos sem nome' iniciou no século passado e teve o seu ápice no final da década de 70 como uma forma contra o uso de copyrights. Talvez o maior representante histórico seja Luther Blissett ou os Wu Ming (Anônimos, em chinês).
Jeniffer Evangelista

Até onde a coluna conseguiu verificar, essa informação deixada pela leitora Jeniffer procede. É no mínimo um fato curioso e, por isso, a coluna decidiu registrar aqui, embora não seja uma dúvida como os outros comentários. A coluna agradece sua colaboração, Jeniffer. Para quem ainda não conhece o Anonymous, a coluna fez um texto especial sobre o rótulo.

Mais um pacotão da coluna Segurança Digital chega ao fim, mas toda quarta-feira tem mais, então deixe sua dúvida na área de comentários. Ela poderá ser respondida na próxima coluna. Até lá!

*Altieres Rohr é especialista em segurança de computadores e, nesta coluna, vai responder dúvidas, explicar conceitos e dar dicas e esclarecimentos sobre antivírus, firewalls, crimes virtuais, proteção de dados e outros. Ele criou e edita o Linha Defensiva, site e fórum de segurança que oferece um serviço gratuito de remoção de pragas digitais, entre outras atividades. Na coluna “Segurança digital”, o especialista também vai tirar dúvidas deixadas pelos leitores na seção de comentários. Acompanhe também o Twitter da coluna, na página http://twitter.com/g1seguranca

http://g1.globo.com/tecnologia/noticia/2011/05/pacotao-de-seguranca-como-ocorre-uma-invasao-senhas-e-anonymous.html