Últimas sobre Vírus e Cia [an error occurred while processing this directive] Busca Saiba mais na Internet sobre: Download E-business Games Hacker Hardware Informática Internet Linux Macintosh MP3 Software Tecnologia Vírus Windows Faça sua pesquisa na Internet:

O evento começou com uma concorrida sessão de abertura, com cerca de 400 participantes. Estavam presentes todas as espécies da fauna e flora dos administradores de sistemas de segurança, principalmente em ambientes Unix, desde os mais "certinhos" aos mais estranhos. A apresentação de abertura tratou de questões relativas à identidade e à reputação, fazendo uma reflexão bastante elaborada e sinistra sobre uma década de pseudo-anonimidade na Internet.

O "keynote speaker" conhecido como Black Unicorn (A.S.L. von Bernhardi) fez uma profunda reflexão sobre o que significa a identidade, e o que representa a reputação de um indivíduo ou instituição, e sua relação com a representação ou suposição da verdade. Uma excelente apresentação. Apesar de parecer um tema um tanto abstrato para uma conferência de "tecno-geeks", o apresentador mostrou como estes importantes conceitos sociológicos (pouco considerados pelos profissionais de tecnologia) influem na elaboração de sistemas críticos e de segurança.

Ele mostrou que, apesar da subjetividade, estes conceitos afetam profundamente as expectativas sociais, legais e tecnológicas da sociedade e dos sistemas. Interessante mencionar que Black Unicorn é um consultor das cinco maiores empresas americanas e atua como profissional de inteligência estratégica. Atualmente pesquisa sobre modelos de análise e correlação da dinâmica entre tráfico internacional de drogas e lavagem de dinheiro.

O melhor trabalho da conferência, eleito pelo comitê de programa, foi "Remote Timing Attacks are Pratical", de David Brumley e Dan Boneh, da Universidade Stanford. Com uma abordagem sofisticada, os ataques temporais permitem a um atacante extrair as chaves secretas mantidas num sistema de segurança, por meio da observação do tempo que o sistema leva para responder a várias espécies de requisições. Este tipo de ataque é comumente usado contra dispositivos computacionais fracos, tais como smartcards ("tokens") de OTP (One Time Password), que funcionam como validadores de acesso (senhas) em sistemas.

Entretanto, os pesquisadores mostraram que os ataques temporais são aplicáveis a quaisquer sistemas de segurança de software em geral. Especificamente, eles realizaram com sucesso um ataque contra um sistema OpenSSL, de tal forma que foi possível extrair chaves criptográficas secretas de um servidor Web em uma rede local, comprometendo-o. Os autores levaram cerca de duas horas para obter as chaves secretas e romper a segurança criptográfica do sistema. O trabalho já surtiu efeito e algumas bibliotecas, incluindo a OpenSSL, já estão incorporando defesas contra este ataque.

Outra conferência de grande repercussão foi o artigo escolhido como melhor trabalho de estudante, de Scott Crosby, denominado "Denial of Service via Algorithmic Complexity Attacks". Apesar do título estranho, este trabalho trata de uma nova classe de ataques de negativa de serviço que atuam por meio do uso de uma banda de passagem bem pequena. Os autores mostraram que isso pode ser feito por meio da exploração de deficiências algorítimicas existentes em vários tipos de estruturas de dados.

Por exemplo, árvores binárias e tabelas "hash" podem degenerar para listas ligadas por meio de uma entrada de dados maliciosa, ocasionando o travamento do sistema. Um atacante pode calcular tais entradas cuidadosamente, de forma a tornar o sistema inoperante ou catatônico. Os autores provaram os conceitos, comprometendo tabelas de hash em duas versões de Perl, de um servidor Squid, e de um sistema de detecção de intrusão (IDS) dedicado, usando banda de passagem menor do que uma linha dial-up.

As vulnerabilidades das redes wireless são outra grande preocupação. Uma conferência tratou deste assunto com relação a problemas de autenticação, "desautenticação" e dissociação entre clientes e "access points" wireless. Os autores John Bellardo e Stefan Savage, da Universidade da Califórnia, mostraram resultados de análises experimentais de ataques de negativa de serviço contra o sistema de gerenciamento, e contra o sistema de acesso ao meio destas redes.

Durante a conferência, os autores fizeram uma demonstração prática surpreendente, em tempo real, paralisando a rede wireless da sala de conferência, usando apenas um computador de mão do tipo PocketPC com um software especialmente preparado por eles. Os pesquisadores defendem que ainda existe um longo caminho a ser percorrido para se obter conceitos de segurança, a saber, confidencialidade, disponibilidade e autenticidade, neste tipo de rede.

A melhor sessão da tarde foi a de Bill Cheswick, um dos autores do renomado livro Firewalls and Internet Security. Com bastante descontração e bom humor, Bill discutiu as mudanças que ocorreram na Internet na última década e como os sistemas têm evoluido através dos tempos, desde versões ingênuas até mecanismos de segurança mais atualizados.

Ele fez uma análise interessante sobre como os mecanismos de segurança atuais ainda são largamente dependentes do sistema de DNS. Abordou a relação entre os sistemas atuais e os malware (códigos maléficos) que estão surgindo, e quais as possíveis defesas contra estas novas ameaças, uma vez que, cada vez mais, os grandes sistemas Web corporativos tendem a repousar sobre a arquitetura da Internet.

O 12o Simpósio de Segurança da Usenix vai até o dia 8 de agosto. O evento conta com algumas lendas da Internet mundial, muito atuantes, tais como Steve Bellovin, Vern Paxson, Niels Provos, Alec Mufet, Matt Blaze, Bill Cheswick, Simson Garfinkel, Evi Nemeth e vários outros.

Adriano Mauro Cansian é doutor em segurança de redes de computadores, professor do curso de Ciências da Computação da Unesp de São José do Rio Preto e chefe do laboratório de segurança Advanced Counter-measures Environment (ACME), daquela instituição. Cansian está participando do Simpósio de Segurança da Usenix e gentilmente se dispôs a colaborar com InfoGuerra enviando boletins informativos sobre o evento.