[Segurança] CNASI-RJ e Guerra cibernética

Nos dias 28 e 29 de Março/2011 será realizado o CNASI Rio de Janeiro, edição carioca do tradicional Congresso Latinoamericano de Auditoria de TI, Segurança da Informação e Governança (CNASI). O evento terá dois dias de palestras, mini-cursos, alguns debates e uma área com diversos expositores.



No dia 29 de março eu terei a grata oportunidade de participar do painel "Monitoração com foco na prevenção de fraudes eletrônicas" e também irei apresentar a palestra "Prepare-se para a Guerra cibernética!", que será uma versão atualizada do material que apresentei no CNASI-SP em 2010. Estou particularmente empolgado pois, nesta nova versão da palestra, eu reduzi alguns slides para ter mais tempo para comentar um pouco mais sobre o Stuxnet e para dar uma visão melhor de como os países estão se preparando para a guerra cibernética.

A 14ª Edição do CNASI Rio de Janeiro é organizada pelo IDETI e será realizada no Hotel JW Marriott, localizado na Av. Atlântica, 2600 em Copacabana (Rio de Janeiro/RJ). Para mais informações sobre o evento, visite o site do CNASI Rio.

Aproveitando, para maiores informações sobre os principais eventos de Segurança no primeiro semestre deste ano, visite o post que eu publiquei aqui.

[Cyber Cultura] Quando Hackers e Geeks ajudam

Após sofrer uma terrível calamidade devido ao terremoto seguido por um tsunami devastador, que ainda por cima trouxe ao país o risco de um acidente nuclear, o povo japonês agora está tentando se recuperar do desastre, achar e enterrar seus mortos e reconstruir suas cidades. Mas ainda há um enorme caminho pela frente. Muitas cidades sofrem não só pela devastação, mas também pelo racionamento de energia e pela falta de abastecimento (comida, combustível e muito mais).

Mas hoje eu vi uma notícia muito legal vindo do Hackerspace no Japão, que mostra como a comunidade "geek" pode colaborar em um momento triste como este.

O hackerspace de Tóquio já começou a traçar planos para criar e alavancar alguns projetos que podem ajudar o povo do Japão, utilizando as habilidades técnicas, a criatividade e os recursos de seus membros. Os projetos propostos, que são muito interessantes, incluem:

• Lanternas de LED movidas a energia solar: O grupo juntou peças necessárias para montar 150 lanternas de LED que funcionam a base de energia solar. Essas lanternas fornecem luz suficiente para que as pessoas possam se sentir seguras a noite, caminhar no escuro e manter o senso de comunidade. As lanternas se recarregam durante o dia através do sol, e funcionam por oito horas cada noite.
  
• Contadores Geiger: O pessoal também pretende utilizar contadores Geiger e vários tubos de Geiger para criar sensores comunitários, a fim de ajudar a manter o público informado sobre os riscos de contaminação.
  
• Outros projetos interessantes em discussão incluem construir estações de recarregamento para telefones celulares usando energia solar, equipamentos de cozinha que usem baixa quantidade de energia e empréstimo de acesso internet, wi-fi e laptops.

Um lembrete importante é que as pessoas que tenham interesse em ajudar através de doações, que procurem apenas instituições de caridade conhecidas e respeitáveis, como a UNICEF, os Médicos Sem Fronteiras, a Cruz Vermelha (no caso, há a Cruz Vermelha Brasileira, a Cruz Vermelha Americana e a Japonesa), etc. O site do Consulado do Japão em São Paulo também possui uma página sobre o atendimento relacionado às doações para as vítimas do terremoto.

[Segurança] Impactos do Tsunami no Japão e do Godzilla no Twitter

Recentemente o Japão foi atingido por um grande terremoto de 8.9 graus na escala Richter, e várias cidades foram varridas por um tsunami com ondas gigantes que atingiram até 10 metros de altura. Imagens assustadoras divulgadas no momento do desastre mostraram grandes casas, barcos e dezenas de carros sendo arrastados pelas enchentes. O tremor do dia 11 de Março foi tão forte que cientistas estimam que o terremoto pode ter deslocado o eixo de rotação da Terra em quase 10 centímetros e deslocado a ilha 4 metros em direção aos EUA.



Enquanto as notícias corriam o mundo, o Twitter registrou as palavras #prayforjapan, #tsunami, #japon e #Godzilla no Trend Topics global, mostrando que a comunidade online estava acompanhando de perto as notícias sobre esta terrível calamidade. Mas, espera aí, Godzilla? Diversos internautas, de vários países, trocaram posts fazendo piadas ou reclamando das piadas relacionando o lendário monstro Godzilla ao terremoto e ao tsunami (na verdade, a maioria das mensagens sobre Godzilla era de pessoas comentando que a palavra estava no Trend Topics ou reclamando porque estavam fazendo piada sobre o assunto - as piadas, em si, eram as minorias das mensagens).

O terremoto no Chile no ano passado, que atingiu 8.8 graus, e o recente desastre natural no Japão nos mostraram como uma situação dessas pode afetar as empresas e a infra-estrutura de um país.

• Antes de mais nada, um desastre dessa proporção causa danos imediatos na infra-estrutura crítica do país, afetando as redes elétricas, de telecomunicação (Internet e telefonia), no transporte e até mesmo na distribuição de água e esgoto.
• Milhares de casas e de empresas ficaram sem energia elétrica no Japão, e mesmo cidades que não foram afetadas diretamente pelo tsunami estão sofrendo por conta do racionamento de energia. No caso de empresas, dependendo do ramo de negócio, vale a pena investir em sistemas próprios de energia, como no-breaks e equipamentos de geração de energia.
  
  • Há ainda o risco de desastre em cidades e empresas que estejam próximos a usinas elétricas - sejam usinas nucleares ou hidroelétricas.
    
  • Algumas usinas nucleares no Japão foram seriamente afetadas pelo terremoto e pelo tsunami, com risco de vazamento de material radioativo. Um acidente deste tipo pode afetar toda uma cidade ou região, obrigando o evacuamento de pessoas (isto é, clientes e funcionários) por tempo indeterminado, além de problemas ambientais e de saúde pública a médio e longo prazo.
  
  
• Um desastre natural como o sofrido pelo Chile e pelo Japão afeta a infra-estrutura de telecomunicação do país, danificando equipamentos e rompendo cabos de comunicação. Mesmo em uma sociedade altamente conectada como no Japão, as operadoras locais reportaram problemas com disponibilidade dos serviços de comunicações, tanto na telefonia fixa quanto na celular. As operadoras de telefonia móvel tiveram seus serviços interrompidos em várias regiões do Japão devido aos danos na infra-estrutura, além de enfrentar congestionamento causado pela grande demanda de usuários. Embora o terremoto no Japão não tenha interrompido a comunicação com a Internet, alguns cabos submarinos foram afetados.
  
  • Os serviços de Internet na Ásia já foram interrompidos anteriormente devido a terremotos na região. Em 2009 um terremoto em Taiwan e deslizamentos submarinos causados ​​por um tufão cortaram os cabos de comunicação entre Taiwan e a China continental. Um terremoto em Taiwan em 2010 também danificou quatro cabos submarinos, interrompendo o acesso Internet por dois dias.
    
  • O Twitter, novamente, cumpriu um papel importante ao ajudar as pessoas a trocarem notícias sobre o terremoto e o tsunami. Assim como aconteceu no terremoto no Chile em 2010, a ferramenta se tornou uma poderosa aliada para ajudar as pessoas a encontrarem familiares desaparecidos e amigos, e obter o apoio das autoridades e da mídia.
  
  
• Problemas com os funcionários: Um problema desta proporção afeta a disponibilidade de mão de obra para a indústria local. Diversos funcionários podem ser afetados direta ou indiretamente, seja pela falta de transporte, por problemas de saúde, ou mesmo por eventual morte.
  
  • Devido a devastação causada pelo terremoto e pelo tsunami no Japão, a população local tem sofrido pela falta de comida, combustível e de bens de primeira necessidade.
    
  • Além de tudo, há o fator psicológico: possivelmente a grande maioria dos empregados estão passando por diversos problemas pessoais, seja por perda de suas casas ou bens, ou mesmo problemas com familiares ou amigos. Isto impacta a motivação e a disposição para trabalhar.

No Chile, o terremoto em fevereiro de 2010 causou impacto em várias as empresas locais, principalmente a indústria (cuja atividade diminui 17,4% nos primeiros meses após o desastre), de geração de eletricidade (que caiu 10,5%) e de distribuição de energia eléctrica (que caiu 10,3%). Por outro lado, a atividade comercial cresceu: as vendas no varejo subiram 12,3% (um recorde nunca visto desde que o índice começou a ser medido, em 2004), e as vendas de supermercados subiram 9,3%.

Porém, o Japão é um país com economia muito mais relevante no mercado mundial do que o Chile (o país é a terceira maior economia mundial), o que torna mais significativo o impacto dos recentes desastres em sua economia. Por exemplo...

• No primeiro dia de negócios após terremoto, a bolsa de Tóquio sofreu queda de 6,18%.
  
• O terremoto de magnitude 8,9 que atingiu o Japão no dia 11/03 fez com que diversas fábricas de produtos de tecnologia fechassem suas portas ou paralisassem a produção. A Sony interrompeu a fabricação de seu console PlayStation 3 e do portátil PSP. A produtora dos games da série "Final Fantasy", Square Enix, teve seus servidores desligados por conta do racionamento de energia anunciado pela Tokyo Electric Power Company.
  
• Os efeitos do terremoto e do tsunami no Japão poderão ser sentidos na indústria de telecomunicações nos próximos meses, pois o país possui alguns dos maiores fornecedores mundiais de silício, microchips e monitores. Além de potenciais danos às instalações de fábricas de eletrônicos, o fornecimento de energia e o transporte foram fortemente impactados. Consequentemente, o mercado mundial poderá sofrer a escassez e o aumento dos preços de componentes eletrônicos, como memórias, microcontroladores e peças de monitores.
  
• Vários portos sofreram graves danos em consequência do terremoto e do tsunami e devem passar meses ou até anos inoperantes, o que deve causar prejuízos na ordem de US$ 3,4 bilhões por dia, devido ao cancelamento de embarques.

Empresas que possuem um plano de contingência ou de continuidade de negócios tem maiores chances de sobreviverem a uma situação crítica como um desastre natural, ou mesmo a problemas mais simples, como a falta temporária de energia elétrica. Um plano de continuidade de negócios (ou BCP, sigla para Business Continuity Plan) deve considerar as estratégias da empresa, os seus processos de negócio, sua organização e suas necessidades. Para ser efetivo, as empresas devem necessariamente testar e auditar o BCP periodicamente. É a melhor maneira de identificar os pontos críticos a serem cobertos, os prazos necessários para recuperação e quem são as pessoas-chave responsáveis pela recuperação da empresa em caso de emergência.

Para saber mais:

• Mais noticias sobre o Japão no portal G1, na Veja e no UOL.
  
• Veja o álbum de fotos no UOL
  
• Artigo "Las lecciones tecnológicas que dejó el terremoto".
  

[cyber Cultura] Mapa Global da Internet

A empresa TeleGeography lançou recentemente a nova edição do seu Mapa Global da Internet (Global Internet Map), que mostra as redes de comunicação internacionais que ligam a Internet através das cinco grandes regiões do mundo.



O mapa mostra, por exemplo, a dissiparidade existente no tráfego golbal de dados. Enquanto o volume de dados trafegado através do conjunto de links de comunicação que conectam a América do Sul com o resto do mundo (3.567 Gbps de dados) representa quase um terço dos links de comunicação com os Estados Unidos e Canadá, ele também significa metade dos links com a Ásia e quase dez vezes o volume de dados trafegado para a África.

[Segurança] BCP, Moonageddon e Zoombies

Quais tipos "incomuns" de potenciais ameaças à segurança uma organização deve considerar quando for criar ou revisar o seu Plano de Continuidade de Negócios (ou BCP, de Business Continuity Plan)?

Há pouco tempo atrás, várias empresas tiveram que criar medidas emergenciais para evitar um impacto severo em seus negócios e manter suas atividades operacionais devido à gripe aviária e a gripe suína. As empresas estavam preocupadas com o fato de que seus funcionários não estariam disponíveis para trabalhar, devido à infecção por gripe - ou, na pior das hipóteses, se as empresas tivessem que substituir os trabalhadores que eventualmente morressem devido a essas doenças. No entanto, uma pandemia não afeta apenas os funcionários da empresa - ela pode ter um impacto em todo o país e na economia como um todo. Os parceiros de negócio e os clientes também podem não ser capazes de trabalhar ou de consumir, devido à doença ou, em um caso ainda pior, se as autoridades solicitarem que toda a população não deixe suas casas em um esforço dramático para evitar a proliferação da doença. O governo do México fez isso durante a crise da gripe suína.

Como uma empresa poderia estar preparada para trabalhar em uma situação em que sua força de trabalho, seus parceiros comerciais e seus clientes simplesmente desapareceram? E se o seu administrador de sistemas foi mordido por um lobisomem ou se ele se transformou em um zumbi? Será que a sua empresa também tem que ter um Plano de Contingência contra Lobisomem ou um Plano de Contingência contra Zumbis?

E com relação as catástrofes naturais? Tenho certeza que a maioria das empresas a nossa volta tem um plano para lidar com inundações, terremotos, tornados e assim por diante, dependendo das ameaças específicas existentes na região geográfica em que atuam. Mas como as empresas devem se preparar contra ameaças estranhas como um "Moonageddon" (talvez eu deva traduzir isso como "Luagedon") ? A sua empresa está preparada para enfrentar uma possível catástrofe natural causada pelo simples fato de que a Lua estará mais próxima da Terra do que o habitual?

Vamos lá, na maioria das vezes, todas essas histórias estranhas cairão nas categorias de ameaça que a empresa já deveria ter incluído em seu BCP. Gripe Suína e ataque de lobisomem cai no mesmo tipo de risco: uma ameaça externa que afeta o mercado de trabalho ou a disponibilidade das pessoas para fazer negócios. Um terremoto ou um "Moonageddon" afeta a disponibilidade do país, de suas infra-estruturas críticas (como transporte, água, luz, etc). Um plano de contingência maduro vai ajudar sua empresa a continuar seus negócios mesmo com todos esses cenários possíveis (ou impossíveis).

[Segurança] Cadê o Klaus?

Este vídeo de conscientização, chamado Where's Klaus, mostra, de uma forma muito criativa, como seria se os amigos virtuais dos seus filhos visitassem a sua casa. A idéia é questionar porque os pais não devem proteger os seus filhos quando eles estão online da mesma forma que tentam protegê-los no mundo real. Cabe aos pais orientar seus filhos sobre os perigos que podem existir ao se relacionarem com estranhos no mundo virtual, como quando eles visitam sites de redes sociais ou bate-papos na Internet.

[Segurança] Eventos de Segurança no primeiro semestre

Neste primeiro semestre de 2011 teremos vários eventos de segurança no Brasil no primeiro semestre de 2011. Segue abaixo uma lista com os principais e maiores eventos:

• Março/2011
  
  • 28 e 29/03: CNASI Rio de Janeiro- Edição do tradicional Congresso Latinoamericano de Auditoria de TI, Segurança da Informação e Governança (CNASI) que ocorre em Brasília. Dois dias de palestras e debates.
    
• Abril/2011
  
  • 09 e 10/04: Web Security Forum - Um evento novo, em sua primeira edição, com uma grade com palestras de diversos temas e alguns debates que prometem ser bem interessantes.
    
  • 14/04: SecureBrasil - Esta é a principal conferência do (ISC)² e a primeira vez que realizam no nosso continente.
    
• Maio/2011
  
  • 13 e 14/05: GTS-17 - Esta será a 17ª Reunião do Grupo de Trabalho em Segurança de Redes, do NIC.br. É um evento gratuito, com um foco um pouco mais técnico. Ocorre junto com o GTER - Grupo de Trabalho de Engenharia e Operação de Redes. Normalmente, o GTER ocorre no primeiro dia e o GTS no segundo (dia 14/05).
    
  • 15/05: Conferência O Outro Lado (COOL) - Mini-conferência sobre segurança da informação, organizada pelo Garoa Hacker Clube como forma de divulgar o espaço. A conferência será gratuita, com diversas atividades programadas para acontecer simultaneamente, como palestras, oficinas e churrasco.
    
  • 16/05: You Shot the Sheriff (YSTS) - Um evento que já ficou tradicional no Brasil. O YSTS é um evento único, de um dia, onde a maioria dos convites são distribuídos para um público seleto, indicado pelos patrocinadores. A excelente qualidade das palestras e o clima descontraído do evento fazem do YSTS um evento imperdível. Os organizadores, que também são responsáveis pelo podcast I Shot the Sheriff, também colocam a venda uma pequena quantidade de ingressos.
    
  • 16 e 17/05: CNASI Brasília - Edição do tradicional Congresso Latinoamericano de Auditoria de TI, Segurança da Informação e Governança (CNASI) que ocorre em Brasília (DF). Inclui uma área com expositores.
• Junho/2011
  • 27 a 30 de junho: ICTinForensics 2011 - International Conference on Information and Communication Technologies in Forensics), um congresso sobre perícia forense que será realizado em Salvador, BA.

A maioria dos eventos acima são em São Paulo, SP.

No segundo semestre deste ano teremos também o ICCYBER (05 a 07 de Outubro em Florianopolis), a vigésima edição do CNASI-SP (de 18 a 20 de outubro), a segunda edição do Security Leaders (23 e 24 de Novembro), a Hackers to Hackers Conference (H2HC), normalmente em Novembro, e a 18ª Reunião do GTS. O Security Leaders é um evento que segue um formato novo, que foi realizado pela primeira vez em 2010, onde a programação é voltada principalmente para os debates, retransmitidos ao vivo pela Internet. Também inclui uma área com expositores.

Se eu esqueci de algum evento brasileiro, me avise.

Em tempo, também recomendo a Ekoparty, um evento excelente em Buenos Aires (Argentina), com foco principal em pesquisa em segurança, que deve ocorrer na ultima semana de Setembro.

OBS: A data do GTER/GTS foi atualizada em 03/03/2011.

[Cyber Cultura] O Facebook é Pop

O Facebook, o maior site de rede social em todo o mundo, está em todo o lugar. Já virou livro e um filme, que ganhou o Globo de Ouro (justamente na categoria de melhor filme) e que está concorrendo ao Oscar 2011 em 8 categorias. O Facebook foi fundado em 2004 e aos poucos foi superando todas as demais redes sociais (como o MySpace, Orkut e alguns outros) na preferência dos Internautas de todo o mundo, atingindo mais de 500 milhões de usuários (uma quantidade de pessoas que, se fosse um país, seria o 3o mais populoso do mundo, menor apenas do que a China e a Índia). Como a Internet tem 2 bilhões de usuários no mundo, isto significa que pelo menos 1 em cada 4 internautas deve ter uma conta no Facebook.

O Facebook já ajudou a aleger presidentes (como o Barack Obama, nos Estados Unidos) e atualmente tem ajudado a derrubar ditadores no Oriente Médio.

Neste mês, o Facebook está em destaque aqui no Brasil, na capa da revista Info Exame. Mas aqui no Brasil, o Facebook ainda está bem atrás do Orkut, a rede social do Google e que é muito popular entre os Brasileiros. Mas esta situação não é tão confortável (ou não deveria ser). O Orkut já foi líder de audiência na Índia (principalmente porque o criador do Orkut foi um Indiano), mas na segunda metade de 2010 ele perdeu a liderança para o Facebook.

Eu imagino que em breve o Facebook também vai superar o Orkut aqui no Brasil. Isto talvez aconteça em um ano, mas é difícil fazer uma previsão pois, na Internet, uma migração em massa dessas pode demorar meses ou pode ocorrer da noite para o dia. Pelo o que eu vejo acontecer com amigos próximos, me parece que o Facebook está adquirindo um status aqui no Brasil como se fosse uma opção mais elitista do que o Orkut - uma forma das pessoa fugirem do lugar comum e se encontrarem em uma rede social que é ao mesmo tempo mais restrita (em termos de público nacional) e, ao mesmo tempo, global. Tenho vários amigos estão deixando o Orkut de lado e usando o Facebook pois tem menos pessoas e menos "tumulto". Entre isso acontecer e o começo de uma migração em massa dos usuários, é só uma questão de tempo. Afinal, quem usa uma determinada rede social o faz para se manter conectado com os amigos. O mesmo fenômeno já aconteceu com os comunicadores instantâneos. Se a maioria dos seus amigos deixarem de usar o Orkut e forem para o Facebook, o que você faria?

De fato, a reportagem da revista Info mostra que o Facebook vem crescendo no Brasil. Enquanto a quantidade de usuários no Facebook praticamente dobrou entre Setembro de 2009 e Maio de 2010 (pulou de 5,5 para 10,7 milhões de usuários), o Orkut permanece quase estagnado entre 26 e 27 milhões de usuários.

O interessante a se pensar, do ponto de vista de segurança da informação, é que esta mudança na preferência das redes sociais pode afetar o cenário do cyber crime no Brasil. Atualmente os cyber criminosos brasileiros costumam utilizar o Orkut como tema para criar mensagens de phishing, páginas falsas (para roubar dados de login e senha), ou eventualmente criam códigos maliciosos que utilizam o Orkut para invadir as vítimas. Como poucos países utilizam o Orkut, estes ataques focam naturalmente restritos ao público nacional. Por outro lado, os vírus criados atualmente que utilizam o Facebook são criados por criminosos de outros países e normalmente não afetam usuários brasileiros. Porém, a partir do momento em que o Facebook se torne popular no Brasil, os tipos de crimes cibernéticos que ocorrem isoladamente nessas redes provavelmente irão convergir.

O resultado é que, se hoje o cyber crime brasileiro ainda é muito restrito ao território nacional (criminosos brasileiros atacando bancos e usuários nacionais, usando ferramentas criadas localmente), provavelmente a popularização do Facebook permitirá que cyber criminosos brasileiros começem a interagir mais efetivamente com seus pares no exterior, aproveitando a expertise que eles já tem em explorar o Facebook. Os cyber criminosos brasileiros, que são especialistas em criar mensagens de phishing e Banking Trojans, começarão a atacar através do Facebook. Ao mesmo tempo, se antes um phishing ou um vírus brasileiro que explorasse o Orkut ficava restrito ao Brasil, em breve os golpes nacionais usando o Facebook poderão facilmente se espalhar pelo mundo todo. Além disso, os internautas brasileiros que utilizam o Facebook são potenciais vítimas de gangs extrangeiras que já utilizam essa rede social para espalhar vírus e realizar diversos tipos de ataques.

Será que estaremos preparados para isso?

[Segurança] Dia Mundial da Internet Segura 2011

No dia 08 de Fevereiro de 2011 várias entidades e organizações em 65 países de todo o mundo vão comemorar o Dia Mundial da Internet Segura (“Safer Internet Day”)



O Dia Mundial da Internet Segura é uma iniciativa que visa promover ações de conscientização sobre o uso seguro da Internet. O evento é direcionado principalmente para usuários finais, e o tema deste ano é "Estar online é mais que um jogo. É sua vida". No site da Safernet há uma agenda com as diversas atividades programadas para o dia 08 de Fevereiro, e o site do evento tem uma relação bacana de links com diversos materiais sobre o assunto, como artigos, pesquisas, cartilhas e dicas de segurança.

Além do vídeo oficial da campanha (acima), a Safernet lançou em Janeiro deste ano um vídeo de conscientização muito legal, chamado "Retr@to Falado", como uma forma de ajudar a promover o uso seguro da Internet.



Também não custa lembrar que a OAB-SP e o Mackenzie lançaram recentemente uma Cartilha sobre o "Uso Seguro da Internet para toda a Família". O material aborda, de forma simples e didática, tópicos como a privacidade na Internet, a liberdade de expressão, os cyber crimes (incluindo os crimes de preconceito, o desrespeito ao direito autoral, o cyberbullying e a pornografia infantil), além de dicas sobre como denunciar os crimes na Internet e dicas para usar a Internet de forma segura e sem medo.

Outro site que fiquei conhecendo hoje (devido ao post no blog da Elisa Araujo) foi o "Guia para o uso responsável da Internet para Crianças", mais uma iniciativa para nos auxiliar a conscientizar os jovens sobre o uso seguro da Internet.

O site europeu Insafe também criou uma página especial com dicas e materiais ("toolkit")referentes ao Dia Mundial da Internet Segura.

Eu também recomendo a reportagem especial do Jornal Hoje entitulada "Saiba como monitorar o uso que seu filho faz da internet", sobre o Dia Mundial da Internet Segura, com várias dicas muito interessantes sobre como os pais podem lidar com a necessidade de disponibilizar o acesso a Internet para seus filhos.

A Rádio Câmara aproveitou a data para divulgar uma campanha contra a pedofilia na internet, que corresponde a um conjunto de 36 mensagens curtas, de 31 segundos cada, para alertar a população sobre o aliciamento e a exploração de imagens de crianças e adolescentes na internet. O material foi disponbilizado para download gratuito no site da Rádio Câmara.

[Segurança] O IPv4 está morto. Vida longa para o IPv6

Após vários meses de agonia, com direito até mesmo a um contador de quantos endereços IP permaneciam disponíveis na versão 4 (o padrão utilizado desde os primórdios da Internet), a Internet Assigned Numbers Authority (IANA) finalmente anunciou no dia 03 de Fevereiro o fim dos blocos de endereço IPv4 disponíveis para uso (veja o vídeo abaixo).



Os endereços IP são utilizados para identificar os equipamentos colocados em uma rede local que segue o padrão TCP/IP. Para que estes equipamentos possam se comunicar através da Internet, os equipamentos precisam ter um endereço IP único em todo o mundo, que serve como forma de identificação do equipamento. Como disse a WIRED, os endereços IP são como números telefónicos. E é aí que começam os problemas. O padrão IPv4 utiliza endereços formados por 4 octetos (quatro conjuntos de números que, em notação binária, possuem 8 bis cada um, e portanto podem variar entre 0 e 255). Esta é uma numeração fácil de entender e simples. Porém, também é muito limitada: há cerca de apenas 4.3 bilhões de endereços IP únicos possíveis, contra cerca de 2 bilhões de usuários Internet hoje em dia. E os endereços IP não identificam apenas os micros dos usuários: também são utilizados por servidores, roteadores, access points wireless, e diversos equipamentos de rede. Além do mais, com a proliferação dos dispositivos pessoais como smartphones e tablet PCs, a tendência é que cada pessoa tenha em seu poder vários dispositivos conectados a Internet ao mesmo tempo, e cada um deles precisa de um endereço IP.

Conforme explicou a IANA, "a atribuição dos últimos endereços IPv4 é análogo a quando os últimos caixotes de um produto deixam o armazém da fábrica e vão para as lojas regionais ou centros de distribuição, onde eles ainda podem ser distribuídos aos clientes finais. Uma vez que eles acabem, a oferta estará esgotada. Neste caso, os registers regionais vão distribuir os endereços IPv4 restante para os ISPs (Internet Service Providers), universidades, governos, empresas de telecomunicações e outras empresas." Assim que as autoridades regionais esgotarem os endereços IP remanescentes, seus clientes (como os ISPs e empresas) terão dificuldade em atribuir endereços IP aos seus equipamentos e a conectá-los na Internet. Neste novo cenário, qualquer nova empresa ou provedor de acesso que queira operar na Internet terá que utilizar o novo padrão de endereçamento IP, conhecido como IPv6.

Os endereços no padrão IPv6 tem 128 bits, logo há 2 elevado a 128 endereços disponíveis, ou algo na ordem de 10 elevado a 38. Isso é muita coisa. Mas... Embora o IPv6 exista desde Dezembro de 1998 e há muitos anos se fala no fim dos endereços IP disponíveis, pouco foi feito até hoje para migrar os sites atuais para o novo padrão. Segundo uma pesquisa realizada recentemente pelo pessoal do grupo de pesquisas Sucuri, apenas 1.981 entre o 1 milhão de sites mais acessados utilizam o IPv6 em seu domínio principal. Isso significa que apenas 0,19% destes sites estão prontos para o IPv6.

Essa demora na adoção do IPv6, na minha opinião, é devido ao fato do protocolo IPv6 ser bem mais complexo do que o IPv4 (eu lembro da dificuldade que tive para entender o IPv6 na primeira vez que eu abordei esse assunto em um curso de Pós-graduação em segurança no início dos anos 2000). O endereçamento de rede, no IPv6, é muito mais complicado do que no padrão IPv4, sem falar de vários outros aspectos de configuração de rede no padrão IPv6. Isso significa que os administradores de rede e de servidores terão que apreender a utilizar o novo padrão e deverão reconfigurar todos os seus equipamentos conectados em rede. Isto também pode significar a necessidade de atualizar os equipamentos de rede existentes ou a compra de novos equipamentos, um gasto que as empresas terão que assumir. Uma alternativa para as empresas é a implementação de gateways específicos ou de soluções que mascarem os endereços IPv4 existentes e os convertam para endereços IPv6, através do conceito de Network Address Translation (NAT), que atualmente já é muito utilizado em redes IPv4 para que vários computadores compartilhem um mesmo endereço IP. De qualquer forma, os administradores de rede e de servidores terão de enfrentar diversos cenários em que endereçamentos IPv4 e IPv6 devem coexistir por algum tempo, o que irá aumentar a complexidade dos ambientes de Internet.

Além disso tudo, o padrão IPv6 tem sido pouco utilizado e pouco testado, principalmente nos aspectos de segurança. Isso significa que novas vulnerabilidades e novas ameaças podem surgir no futuro. Outro potencial problema de segurança que pode surgir diz respeito ao uso de NAT nas redes corporativas. Hoje o NAT é muito utilizado, pela necessidade das empresas de "economizarem" endereços IP válidos. Como uma vantagem de segurança adicional, o NAT permite que as empresas escondam os endereços reais dos seus computadores internos, e assim dificultem um acesso direto aos equipamentos, que não passe passem pelas ferramentas de controle de tráfego existentes. Normalmente, o NAT é implementado nos mesmos equipamentos que fazem a segurança da rede. Com o uso do IPv6, os equipamentos das redes internas terão endereços IP válidos na Internet - logo, as empresas devem ter um maior controle das configurações de suas ferramentas de segurança.

Como bem lembrou o SANS Institute, é pouco provável que a Internet IPv4, conforme conhecemos hoje em dia, vai parar tão cedo, pois existem alguns mecanismos de transição que podem ser utilizados. As duas "Internets" podem coexistir por um tempo através do uso de de proxies e túneis. Além do mais, as mudanças serão imperceptíveis para os usuários finais, logo não há motivo para desespero.

A boa notícia é que várias empresas e entidades tem se esforçado em divulgar o conhecimento. Por exemplo, o comitê gestor da Internet brasileira lançou um site específico com informações sobre IPv6 em português para usuários finais, profissionais da área e provedores (http://ipv6.br). O site inclui diversas apostilas e palestras sobre IPv6. Um site similar foi criado no Chile (em Espanhol): http://www.ipv6.cl

Além disso, diversas empresas e entidades estão organizando o "Dia Mundial do IPv6" (World IPv6 Day), que acontecerá no dia 08 de Junho de 2011. O objetivo é oferecer os seus conteúdos através do protocolo IPv6 para testes por 24 horas, motivando as organizações em todos os setores a prepararem os seus ambientes para o padrão IPv6 e garantirem uma transição bem sucedida assim que os endereços IPv4 acabarem. Recentemente, Vint Cerf (que é considerado "o pai da Internet) sugeriu que o governo britânico poderia proporcionar incentivos para ajudar as empresas a se prepararem para o esgotamento dos endereços IPv4 e atualizarem suas redes. Essa é uma boa idéia, quando pensamos em governos sérios.

A propósito, a ZDNet publicou uma ótima reportagem sobre o assunto.

O fato principal é que agora não há mais opção: todos devemos aprender IPv6 o mais rápido possível.

Nota: Adicionado em 04/02 o vídeo da conferência de imprensa da ICANN que anunciou o fim dos endereços IPv4 e os links para o pequeno FAQ do SANS Institute e para a reportagem da ZDNet. Aproveitei para aumentar o comentário sobre as preocupações de segurança associados ao uso do IPv6.