[Segurança] Próximas edições da Conferência Co0L BSidesSP em 2013

Sim, você leu o título deste post corretamente: ao invés de uma edição, ainda neste ano pretendemos realizar mais duas edições da Conferência O Outro Lado - Security BSides São Paulo (Co0L BSidesSP), um evento sobre segurança e cultura hacker que faz parte do calendário global de conferências Security BSides.

As próximas edições acontecerão em Outubro e Novembro deste ano:

• Co0L BSidesSP H2HC Edition no dia 06 de Outubro de 2013 (domingo), em comemoração a décima edição da Hackers to Hackers Conference (H2HC), uma das mais importantes conferências de segurança brasileiras, que vai ocorrer de 03 a 08 de Outubro.
• Co0L BSidesSP Black Hat Edition no dia 24 de Novembro de 2013 (domingo), próximo a primeira edição da Black Hat Regional Summit São Paulo, uma das mais importantes conferências de segurança em todo o mundo, que vai ocorrer nos dias 26 e 27 de Novembro de 2013.

A Co0L BSidesSP H2HC Edition, que ocorrerá no dia 06 de Outubro de 2013 (domingo), será realizada novamente no mesmo espaço e em conjunto com a Hackers to Hackers Conference (H2HC), que neste ano comemora sua décima edição. Devido a limitações impostas pelo espaço aonde o evento será realizado, nesta edição teremos algumas restrições:

• O público será limitado a apenas 100 participantes, que devem se inscrever previamente (até mesmo os participantes da H2HC que queiram ir na BSidesSP terão que se inscrever em nosso site!)
• Teremos apenas uma trilha de palestras e uma trilha de oficinas
• Serviremos alimentação para os participantes, mas será controlada e limitada apenas ao pessoal da BSidesSP. Diferente do que fizemos no ano anterior, desta vez não poderemos oferecer um "churrascker" para todos :(

Já a Co0L BSidesSP Black Hat Edition, que realizaremos no dia 24 de Novembro de 2013 (o domingo anterior a Black Hat Regional Summit São Paulo), seguirá o modelo da edição de maio deste ano, que realizamos em um espaço enorme cedido gentilmente pela FATEC de São Caetano do Sul (Fatec SCS). Por isso, pretendemos fazer um evento bem legal para todos:

• Espaço grande com várias salas, fornecido pela FATEC de São Caetano do Sul (Fatec SCS)
• Teremos várias atividades em paralelo, incluindo
  • Duas trilhas de palestras técnicas
  • Lightning Talks
  • O "Garoa Village" e o "Techberto Room" (em homenagem ao Alberto Fabiano), com várias oficinas simultâneas
  • Sala de descompressão, com lojinhas
  • A segunda edição da “Hacker Job Fair”
  • “Churrascker” para os presentes.

E talvez tenhamos mais novidades, se tudo der certo ;)

Então, para não causar confusão na cabeça de ninguém, segue um resumo das novidades...

• Co0L BSidesSP H2HC Edition
  • 06 de Outubro de 2013 (domingo), junto com a Hackers to Hackers Conference (H2HC)
  • Uma trilha de palestras e uma trilha de oficinas
  • Divulgação da Agenda: 06 de Setembro de 2013
  • Início das inscrições: 09 de Setembro de 2013
  • Local: Novotel Morumbi
• Co0L BSidesSP Black Hat Edition
  • 24 de Novembro de 2013 (domingo), no final de semana anterior a Black Hat Regional Summit São Paulo,
  • Várias atividades em paralelo, incluindo duas trilhas de palestras e duas trilhas de oficinas
  • Divulgação da Agenda: 20 de Outubro de 2013
  • Início das inscrições: 28 de Outubro de 2013
  • Local: Faculdade de Tecnologia de São Caetano do Sul (Fatec SCS), na Rua Bell Aliance, 225, São Caetano do Sul, SP

Em breve lançaremos o Call For Papers para os dois eventos, que será um CFP em conjunto (o palestrante escolherá em qual evento quer apresentar o seu trabalho).

A Conferência O Outro Lado - Security BSides São Paulo (Co0L BSidesSP) é uma mini-conferência sobre segurança da informação e cultura hacker organizada pelo Garoa Hacker Clube como forma de divulgar o nosso espaço e, principalmente, promover a inovação, discussão e a troca de conhecimento entre os participantes e divulgar os valores positivos e inovadores da cultura hacker. A Co0L BSidesSP é um evento gratuito que faz parte das conferências “Security B-Sides” existentes em mais de 35 cidades de dez países diferentes, que são mini-conferências voltadas para a comunidade.

[Segurança] Ciber Ataques ao Governo Brasileiro

O pessoal do IG publicou recentemente dois artigos com alguns dados sobre ciber ataques sofridos pelos sites do governo Brasileiro em 2013.

O IG usou dados de ataques aos sites do governo a partir de relatórios do Centro de Tratamento de Incidentes de Segurança de Redes de Computadores (CTIR-Gov), o centro de resposta a incidentes do governo federal. O próprio CTIR-Gov disponibiliza estas estatísticas em seu site, e as reportagens do IG foram baseadar principalmente nos relatórios sobre incidentes detectados no primeiro e no segundo trimestres deste ano.

Veja algumas das estatísticas relacionadas ao primeiro semestre de 2013, segundo dados do IG e do CTIR-Gov:

• Total 4228 incidentes: 2027 incidentes no primeiro trimestre e 2201 incidentres no segundo trimestre
• Segundo o IG, as páginas do governo federal ficaram fora do ar 672 vezes
• Em média, as páginas do governo ficaram inacessíveis uma vez a cada oito horas
• A reclamação de incidentes mais recorrente (25% das notificações) é o chamado “abuso de sítio” (que inclui defacement, exposição de código fonte ou descobertas de vulnerabilidades)
• Cerca de 20% das reclamações de incidentes passadas ao CTIR-Gov foram relacionadas à “indisponibilidade de sítio”
• Cada incidente leva em média cinco dias e 13 horas para ser solucionado
• Em 22% dos casos, os problemas demoram mais de dez dias para terem uma solução
• Os Estados Unidos e o Brasil são os países destinatários do maior número de notificações de incidentes (isto é, de onde partiram os ataques e incidentes detectados e notificados), com grande diferença para os outros países apresentados
• Ocorreram 67 casos de vazamento de informações de órgãos federais entre janeiro e junho de 2013
  • Segundo fontes do IG na Abin, em pelo menos cinco casos houve vazamento de informações confidenciais
• No dia 22 de junho, durante os protestos em todo o Brasil, vários sites sofreram ataques e ficaram indisponíveis em alguns momentos, incluindo o portal do governo federal, a Receita Federal, a Presidência da República e o site da Petrobrás.

O interessante é que estes dados incluem a atuação do CTIR-Gov no tratamento dos incidentes de segurança durante a Copa das Confederações, de 15 a 30 de junho de 2013, quando eles atuaram sob a coordenação do Centro de Defesa Cibernética (CDCiber), do Ministério da Defesa.

O CTIR-Gov é o Centro de Tratamento de Incidentes de Segurança de Redes de Computadores da Administração Pública Federal (APF), e está subordinado ao Departamento de Segurança de Informação e Comunicações (DSIC), que faz parte do Gabinete de Segurança Institucional da Presidência da República (GSIPR). Sua finalidade é atender aos incidentes de segurança nas redes da APF.

A reportagem do IG também destacou que o CDCiber sofre com constantes problemas de falta de investimentos federais, e divulgou alguns números para exemplificar esta falta de investimentos: Em 2012, de R$ 90 milhões liberados para o programa, R$ 61 milhões foram empenhados (reservado para gastos). Já em 2013, dos R$ 90 milhões destinados, apenas R$ 7,9 milhões foram empenhados mas, até o final do primeiro semestre, foram gastos menos de R$ 917 mil, ou apenas 1% do total previsto para este ano.

Vale lembrar que hoje também foram anunciados cortes no orçamento do Ministério da Defesa na ordem de R$ 919 milhões, representando um corte este ano na casa dos 4,1 bilhões de reais. Não tenho nada contra o governo cortar despesas, mas me preocupa ele fazer estes cortes no ministério da defesa nas vésperas da Copa do Mundo e das Olimpíadas de 2016. Afinal, vimos muitas atrapalhadas e muitos sites governamentais pichados ou fora do ar durante a Copa das Confederações e durante a Jornada Mundial da Juventude.

[Cyber Cultura] A Revolução dos Smartphones

Recentemente eu estava vendo um material que, entre outras coisas fala sobre segurança em mobile e alguns dados sobre a popularização dos Smartphones me chamaram a atenção:

• A produção de Smartphones em todo o mundo atingiu 671 milhões ao ano em 2012
• Isto é, tivemos 671 milhões de novos smartphones em 2012, embora nasceram “apenas” 140 milhões de pessoas no mesmo ano.
• A quantidade de Smartphones produzidos em 2012 aumentou quase 42% em relação a 2011
• Segundo a Apple, foram baixados 50 bilhões de aplicativos da loja de aplicativos iOS nos quatro anos desde a sua inauguração.

Hoje em dia, os Smartphones são populares e estão nas mãos de todo mundo, mas até poucos anos atrás eles eram restritos principalmente ao mundo corporativo. Afinal, ter um Smartphone só se justificava para quem precisasse acessar os e-mail da empresa. Hoje em dia, mesmo os usuários leigos usam os Smartphones para tudo, principalmente navegar na Internet, nas redes sociais e, por que não, acessar o e-mail pessoal.

A grande virada aconteceu em 2007, quando a Apple lançou o iPhone. Sem dúvida nenhuma, ele foi o maior responsável pela popularização dos Smartphones: pela primeira vez, todos tivemos acesso a um aparelho compacto, bonito, fácil de usar, com acesso intuitivo a Internet e diversos aplicativos. E que tirava foto, tinha jogos, tocava música e, de quebra, ainda fazia ligações ;)

Vamos dar uma rápida olhada nos principais fatos relacionados a breve história dos Smartphones:

• 16 de Agosto de 1994: Surge o primeiro Smartphone, o Simon Personal Communicator, da IBM e BellSouth
• Março de 1996: O Pilot 1000 e o Pilot 5000 são os primeiros PDAs produzidos pela Palm, Inc.
• 19 de Setembbro de 1996: A Nokia lança o Nokia 9000, que fez sucesso como o primeiro celular "all in one"
• 12 de Julho de 1999: A RIM lança o aparelho modelo 850 (um "Wireless Handheld", que era um pager, e não um celular). Dá início, assim, a trajetória do BlackBerry.
• Fevereiro de 2001: A Palm, Inc. lança o Kyocera 6035, um dos primeiros smartphones no mercado Norte Americano
• Fevereiro de 2002: Surge o Treo 180, um smartphone GSM dual-band da Handspring que misturava os populares PDAs da Palm com um telefone (que se fundiu com a divisão de hardware da Palm, Inc. em 2003) (veja review aqui)
• 17 de Março de 2003: Surge o BlackBerry Quark 6210, o primeiro com um telefone integrado e um dos modelos mais populares na primeira geração dos aparelhos BlackBerry
• 09 de Janeiro de 2007: Steve Jobs anuncia o iPhone, que só seria disponibilizado nas lojas no final de Junho. Em 74 dias, foram vendidas um milhão de unidades.
• 11 de Março de 2007: Surge o SYMBOS_FEAKS.A, primeiro malware para telefones ataca celulares rodando Symbiam e se propaga através de Bluetooth.
• 05 de Novembro de 2007: A Google lança o Android OS
• Julho de 2008: A Apple lança a AppStore e atinge 10 milhões de download na primeira semana
• Janeiro de 2011: A Apple atinge 10 bilhões de downloads de aplicativos (e 15 bilhões em Julho)
• 2011: São conhecidos 1,000 samples de malware para Android
• 2012: A Trend Micro reporta 350,000 samples de malware para Android (demorou 14 anos para os vírus de computador atingirem este nível)
• Fevereiro de 2013: A Google retira 60,000 aplicativos da Play Store considerados de "baixa qualidade"
• 16 de Maio de 2013: A Apple atinge 50 bilhões de downloads de aplicativos

[Segurança] Ciber Terrorismo?

A mídia, e até mesmo Hollywood têm uma certa atração especial para o tema do ciber terrorismo e, normalmente, confunde ciber ativismo, hacktivismo e o ciber terrorismo. Até que é fácil encontrar notícias classificando ataques cibernéticos regulares como "terrorismo cibernético", da mesma forma que é fácil achar a mídia relatando casos de espionagem cibernética como se fossem guerra cibernética.

Entretanto, uma análise mais cética dos casos reais de grupos que empregam ataques cibernéticos sob uma motivação política ou ideológica, resulta na conclusão de que praticamente nenhum caso é universalmente reconhecido como um ato de ciber terrorismo. Até hoje, apenas a operação OpAbabil (que está prestes a começar sua quarta onda de ataques a bancos americanos) representa um caso de ciber ataque que poderia ser considerado, por alguns, como um ato de terrorismo cibernético.

O maior problema, na verdade, é a falta de uma definição universalmente aceita de terrorismo, e consequentemente, do que poderia ser enquadrado como terrorismo cibernético (ciber terrorismo). Isso acaba por causar confusão quando alguém tenta categorizar um ataque cibernético como sendo um ato de hacktivismo, um simples conflito cibernético entre duas partes ou ciber terrorismo.

A classificação de uma ação ou de um determinado grupo como algo associado ao terrorismo carrega um grande grau de polêmica principalmente porque atos de terrorismo normalmente envolvem dois grupos com posições políticas, ideológicas ou religiosas radicalmente distintas. Logo, envolve um alto grau de emoção e conflito. Por isso, sempre haverá um grupo favorável (que apóia a causa, e portanto, os atos que este grupo realiza), e haverá, naturalmente, um grupo contrário aos atos que o outro grupo pode considerar como terrorismo ou uma forma muito radical de protesto.

Em alguns casos a classificação como um ato de terrorismo pode parecer óbvia para nós, como nos ataques aos EUA em 11 de setembro de 2001, os ataques em Mumbai em 2008, há casos mais polêmicos, ou os ataques do IRA na Inglaterra. Mas, por exemplo, há quem evite considerar as FARC como sendo um grupo terrorista. Ou podemos achar populações islâmicas que consideram os ataques de 11 de setembro como sendo justificáveis. Sempre haverá alguém a favor!

Outro exemplo interessante foi o que aconteceu no recente ataque na maratona de Boston em Abril deste ano: Embora os dois irmãos responsáveis pelo ataque (Tamerlan e Dzhokhar Tsarnaev) fossem conhecidos das autoridades russas e considerados radicais e potenciais terroristas, eles moravam nos EUA livremente, apesar do serviço secreto russo ter notificado as autoridades americanas. Em minha humilde opinião, provavelmente as autoridades americanas não deram tanta atenção aos irmãos pois eles eram da região próxima a Chechenia, e possivelmente os americanos acharam que o alerta das autoridades russas deveu-se simplesmente ao potencial envolvimento deles nos conflitos nesta região, que nada tem a ver com os EUA.

Desta forma, a classificação do que é terrorismo, e até a penalização de algum ato terrorista, é algo intrinsicamente polêmico. Por isso, vários países tem leis e posicionamentos diferentes sobre o assunto.

Entretanto, a maioria das definições de terrorismo considera alguns fatores:

• tem uma forte motivação ideológica, política ou religiosa
• são direcionados a população em geral
• resultam em atos violentos ou potencialmente violentos
• visam, porincipalmente, causar o medo, o pânico e a desestabilização de suas vítimas

Pelo exposto acima, temos que considerar o terrorismo cibernético como ciber ataques que resultem, de alguma forma, em ameaça de violência ou provoquem medo entre as potenciais vítimas, além uma forte agenda ideológica.

Sob esta ótica, a OpAbabil certamente representa o caso mais indiscutível de terrorismo cibernético que enfrentamos até agora. Desde 18 de setembro de 2012, quando o ​​grupo al-Qassam Cyber Fighters lançou a OpAbabil exigindo a retirada do polêmico vídeo "A Inocência dos Muçulmanos" do YouTube, seus ataques de negação de serviço (DDoS) foram direcionados a dezenas de bancos norte-americanos, que sofreram repetidas interrupções e lentidão em seus sites.

No entanto, em 5 de abril de 2013 o usuário identificado como XtnRevolt, membro do Tunisian Cyber Army (TCA) publicou um post no Facebook anunciando uma operação hacktivista que muito se assemelhou com o que poderíamos considerar como um caso de terrorismo cibernético. Em seu post, XtnRevolt advertiu sobre possíveis ataques cibernéticos como parte de OpBlackSummer que seriam direcionados contra empresas americanas de infra-estrutura e de energia, previstos para o chamado "FridayofHorror" (Sexta-feira de Horror), que seria em 12 de abril de 2013. Em sua mensagem no Facebook, o XtnRevolt ameaçou autoridades norte-americanas de que o grupo iria continuar atacando o sector financeiro e iria atacar companhias aéreas e do setor elétrico dos EUA se as autoridades americanas "não declarassem que vão retirar o exército de nossas amadas terras de Maomé".

O post do TCA no Facebook (vide imagem acima, pois o post já foi removido) é muito parecido com qualquer declaração pública feita por organizações terroristas, em termos de palavreado e demandas. Além disso, o TCA anunciou uma parceria com um grupo hacker chamado "al-Qaeda Electronic Army", uma clara referência a uma organização terrorista conhecida de todos nós. O tom da mensagem, suas ameaças e o potencial de causarem grave impacto em empresas americanas, poderiam fazer com que o "FridayofHorror" fosse o primeiro grande ato de ciber terrorismo da história. Motivação e tecnologia para tal, certamente não faltam.

Mas, felizmente, o grupo não cumpriu suas promessas e os ataques na "FridayofHorror" não aconteceram. Além do mais, poucos ataques significativos marcaram a operação OpBlackSummer.

Só nos resta, portanto, continuar considerando o ciber terrorismo como uma buzzword, pelo menos por enquanto.

[Segurança] O maior cyber crime de todos os tempos... da última semana...

E lá vamos nós de novo... A mídia global está fazendo a festa com a notícia do "maior cibercrime da história nos EUA". Afinal, a mídia adora notícias com números grandes, ainda mais se puder inserir a palavra "hacker" em todo o lugar.

Vejam só:

• G1: "Hackers são acusados em maior cibercrime da história nos EUA"
• Terra: "EUA acusam hackers em maior cibercrime da história"
• TI Inside: "Desbaratada maior rede de hackers financeiros dos Estados Unidos" (peraí... "hackers financeiros"? AimeuDeusdocéu...)
• CNN: "5 charged in credit card hacking scheme feds call largest ever prosecuted in U.S."
• Reuters: "U.S. indicts hackers in biggest cyber fraud case in history"
• The Wall Street Journal: "Nasdaq, Others, Targeted by Hackers"
• The Hackers News: "Russian Hackers charged for stealing 160 million Credit Cards"
• ARStechnica: "“NASDAQ is owned.” Five men charged in largest financial hack ever"
• Wired: "Feds Identify the Young Russians Behind the Top U.S. Cyber Thefts in Last 7 Years" (ufa, alguém não usou a palavra "hacker' no título da notícia!!!)
• Nem mesmo o press-release do Departamento de Justiça americano se salva: "Five Indicted in New Jersey for Largest Known Data Breach Conspiracy - Hackers Targeted Major Payment Processors, Retailers and Financial Institutions Around the World"

Os números do caso realmente impressionam: em 7 anos, de 2005 a 2012, o grupo formado por quarto russos e um ucraniano conseguiu roubar os dados de mais de 160 milhões de cartões de crédito, causando prejuízos estimados em mais de US$ 300 milhões (e olha que este é o prejuízo declarado por apenas 3 das empresas atacadas!!!). Entre as empresas afetadas, constam grandes nomes de bancos e empresas americanas, como a bolsa eletrônica Nasdaq, Dow Jones, JetBlue, Citibank, PNC Bank, Heartland Payment Systems, 7-Eleven, Carrefour, JCPenney e Hannaford Brothers, entre outros.

Cada um dos envolvidos tinha uma especialidade, algo muito comum em grupos organizados de ciber criminosos:

• Os russos Vladimir Drinkman e Alexandr Kalinin eram especializados em invadir as redes de computadores das vítimas. Ambos já foram acusados anteriormente de trabalhar em conjunto com Albert Gonzalez, o responsável por um dos maiores roubos de dados de cartões, na empresa americana Heartland Payment Systems (130 milhões de cartões de crédito roubados, prejuízo de U$ 200 milhões). Segundo a acusação, o ataque era realizado principalmente através de SQL Injection, buscando identificar servidores vulneráveis. Quando eles conseguiam acesso ao sistema, instalavam backdoors nos servidores para garantir o acesso e sniffers para capturar dados. Normalmente eles tentavam atacar as empresas pacientemente por semanas ou meses a fio, até conseguirem. Uma vez que conseguiam invadir, em alguns casos os backdoors ficaram instalados por mais de um ano.
• O russo Roman Kotov, de 32 anos, era especializado em explorar as redes invadidas em busca de dados que pudessem ter algum valor para o grupo.
• O ucraniano Mikhail Rytikov fornecia serviços anônimos de hospedagem on-line para o grupo, conhecidos normalmente como "bullet profing hosting services", pois garantia que não iria fornecer informações e logs sobre os servidores para a polícia.
• O russo Dmitriy Smilianets é acusado de vender os dados roubados e distribuir os lucros. Os dados dos cartões eram vendidos no underground por US$ 10 para cada cartão americano, por US$ 15 cada cartão canadense e US$ 50 cada cartão europeu - com descontos para grandes quantidades ou clientes frequentes ;).

Enfim, agora me resta uma pergunta: poruqe chamar esse pessoal de "hackers"? Eles não são criminosos? então que tal chamar de, simplesmente "ciber criminosos"? Ou será que isso não chama tanto a atenção para a notícia? Afinal, ser "hacker" é pop, né?

Ah, em termos de estatísticas, o Brasil não deixa por menos. A SERASA lançou algumas estatísticas novas sobre fraudes por aqui...

• No primeiro semestre de 2013 ocorreram 1.007.606 tentativas de fraude contra o consumidor no Brasil.
• A cada 15,5 segundos um consumidor brasileiro é vítima da tentativa de fraude conhecida como roubo de identidade
• O setor telefonia liderou o ranking, com 400.913 tentativas de fraude contra o consumidor, ou 40% do total. O setor de serviços vem em segundo lugar, com 320.711 tentativas de fraude (32%), seguido pelos bancos e financeiras (191.567 tentativas de fraude, ou 19% do total) e pelo varejo (78.428 tentativas de fraude, 8%).

Acho que só me resta lançar uma música nova, baseado no antigo sucesso dos Titãs:

"O melhor hacker russo de todos os tempos da última semana
O melhor malware chinês em empresa americana
O melhor ciber crime dos últimos anos de fraudes do passado
O maior prejuízo de todos os tempos entre os dez maiores ataques"

[Segurança] Alberto Fabiano

“Quando um homem morre, é como se uma biblioteca inteira se incendiasse.”
Provérbio africano

Nenhuma frase poderia resumir melhor o que significa o falecimento do Alberto Fabiano, um grande amigo e um dos melhores profissionais que pude conhecer. E, coincidentemente, achei esta frase no Blog dele.

O Alberto nos deixou na semana passada, no dia 18/7, enquanto visitava sua cidade natal, Ilha Solteira, vítima de um ataque cardíaco. Um acontecimento muito triste, que pegou a todos de surpresa e nos deixou sem a chance de um último adeus, de uma última conversa.

O Alberto era uma biblioteca ambulante: dono de uma conversa fácil, e seu conhecimento de tecnologia, ciências exatas, cultura e literatura científica era praticamente infinito. Pelo perfil que ele mesmo criou sobre si mesmo no site do Garoa, podemos ver que o conhecimento técnico do Alberto era muito amplo, incluindo diversas linguagens de programação, sistemas embarcados e segurança, suas áreas favoritas. Isto sem falar na facilidade com que ele discutia qualquer assunto que surgisse.

E ele adorava isso. As conversas com ele eram quase intermináveis, e seus e-mails, normalmente longos e detalhados. E repletos de referências, viagens, etc. Algumas vezes eu chegava a duvidar que ele pudesse ter escrito tanta coisa em uma única mensagem, e me sentia tentado a procurar algumas frases no Google, para me certificar que ele não teria copiado o texto de algum lugar. Mas bastava conhecer ele pessoalmente para perceber a verdade: o Alberto era um poço sem fundo em termos de conhecimento. As listas de discussão ficarão mais sem graça, menos inteligentes e menos verborrágicas sem ele. Talvez o próprio Google perceba uma diminuição do volume de dados do Google Groups nos próximos dias.

O Alberto tinha vários apelidos, que ele colecionou com o passar dos anos: Alberto, Aleph (nome completo: Aleph Lépton Leptos), Techberto, Void, Voidberto, ALFCM, @alfacme, A., AF, yellowbug.nullptr, Red, Fabiano, etc. Por conta disso, gostávamos de brincar com ele que estas eram múltiplas personalidades que habitavam o mesmo corpo. E, de vez em quando, ele enviava várias mensagens seguidas na mesma discussão, dando a impressão de que tinha respondido a mensagens que ele mesmo postava. Quando isso acontecia, eu rapidamente dizia que era o Alberto discutindo com o Aleph, ou vice-versa ;)

Conhecer todas estas personalidades e entendê-las é quase impossível, mas, em homenagem a memória dele, eu quero tentar:

• O Alberto era simples e humilde, e sempre se dispunha a ajudar seus colegas.
• O Aleph Leptos era apaixonado por tecnologia e cultura hacker. Discursava sobre literatura cyber punk com a mesma facilidade com a qual discutia linguagens de programação, eletrônica ou códigos maliciosos.
• O Fabiano nasceu em Ilha Solteira e viveu em Santa Cruz do Sul, cercado por uma família enorme e carinhosa (que eu tive a chance de conhecer recentemente). Esta família certamente deu a base para as principais características da personalidade dele: a humildade, a honestidade e a preocupação pelo próximo.
• O Alberto era sincero, e uma das suas expressões mais características foi "De verdade, de verdade mesmo, eu ...", que usava para começar uma frase.
• O Techberto era o lado técnico dele. Programador, especialista em múltiplas áreas que envolvesse tecnologia e computadores. Lembro de ter lido e-mails do Techberto no início da minha carreira, em algumas das primeiras listas de discussão em que participei.
• O Aleph só usava camisetas nerds ou de eventos. Uma camiseta da 2600 devia ser sua favorita, pois era uma das que ele mais usava.
• O Alberto era calmo, tranquilo. Chegava quietinho mas, na primeira oportunidade, entrava na conversa e nunca mais saía.
• O Aleph era engajado, frequentava todos os eventos e encontros, e também participava de todas as comunidades que pudesse. Era até difícil ir a algum evento e não encontrá-lo. H2HC? TDC? Campus Party? YSTS? Encontro de usuários do Mozilla? Lá estava ele. Nós nos encontramos em 2001 no evento da BOS-BR, possivelmente o primeiro evento da comunidade de segurança brasileira, organizado pelo Thiago Zaninotti. 
• O Alberto falava inglês, com sotaque marciano (segundo sua própria definição).
• O Aleph foi um dos fundadores do Garoa Hacker Clube e um dos sócios mais participativos. Se tinha algum evento em algum hackerspace aqui por perto, ele sempre era o primeiro a querer ir lá comigo. Fomos juntos no LHC (Laboratório Hacker de Campinas) e no SJCHC. Além de participar da organização do TDC, o Aleph foi o primeiro a se interessar em me ajudar a organizar a BSides São Paulo.
• Quando soube que o governo estava analisando o capítulo sobre crimes cibernéticos na reforma do Código Penal, o Alberto tomou a iniciativa de entrar em contato com o Ministério Público e liderou um grupo de trabalho do Garoa que ajudou eles a revisarem a proposta da nova lei.

Talvez o Alberto fosse uma reencarnação do Fernando Pessoa. Pelo menos é o que indica a variedade de personas que ele colecionava e a qualidade dos e-mails e artigos que ele produzia.

O Alberto foi um grande amigo, e era, sem dúvida nenhuma para mim, um grande gênio, uma dessas pessoas raras de aparecer e temos que agradecer pela oportunidade de tê-lo conhecido. Além de apaixonado pela tecnologia e pelas comunidades de que participou, o Alberto era um exemplo de ética e de como aliar o conhecimento com um belo toque de humanidade.

[Segurança] O futuro da segurança: e se o ataque virou rotina?

Nota: Este artigo faz parte (tardiamente) de uma série sobre o futuro do mercado de segurança. Para ler o primeiro artigo, clique aqui.

Sob o ponto de vista do empresariado, especializado ou não em segurança da informação, os incidentes de seguranca ja viraram ~rotina, "carne de vaca", e todo dia surgem notícias de empresas ou órgãos de governos que foram atacados, tiveram seus sites retirados do ar por ataques de negação de serviço ou tiveram dados de clientes roubados. E a imprensa é hábil em acusar os super-sofisticados "hackers", como se a capacidade de ataque deles fosse ilimitada e nada há o que possamos fazer contra isso.

Veja o caso do jornal The New York Times: no início deste ano o jornal divulgou que foi invadido por hackers chineses (leia-se: "super hakers, capazes de invadir qualquer empresa em qualquer lugar do mundo"), que tiveram total acesso ao jornal por pelo menos 4 meses. Os atacantes conseguiram instalar 45 malwares, que não foram detectados pelo antivírus utilizado pela empresa, da gigante Symantec.

Se nem a Symantec consegue proteger o The New York Times, quem irá nos proteger? Nem mesmo o Chapolim Colorado...

Como consequencia da complexidade dos ataques atuais e da incapacidade da indústria em defender as empresas e os usuários, os casos de invasão ficaram comuns e, consequentemente, ninguém mais considera isso um grande problema. O impacto para a imagem das empresas é minimo: basta alegar que sua empresa foi atacada por um malware super sofisticado ou por hackers chineses, que estará tudo bem. Salvo raras excessões, os clientes não se assustam mais e não trocariam de fornecedor por causa da empresa ter sofrido um ataque. 

Se, nos primórdios da Internet, algumas empresas poderiam perder clientes ou até fechar por serem invadidas, hoje isto certamente não acontece mais. Na verdade, eu não conheço nenhum caso importante de empresa que fechou por causa de um cyber ataque, exceto pelo site brasileiro de piadas Humortadela. Há muitos anos atrás eu ouvi que a empresa americana CDNow teria falido por causa de um ataque, mas é mentira - o problema foi a administração e a concorrência mesmo.

Recentemente, tivemos alguns casos de empresas vergonhosamente atacadas e invadidas, mas que não sofreram grande impacto nos negócios depois dos ataques (isto é, tiveram prejuízo pontual por causa dos ataques, mas não perderam mercado): a Telefonica no Brasil e a Sony, em todo o mundo. Embora a ANATEL tenha proibido a Telefônica de vender o seu serviço de banda larga Speedy por causa da instabilidade de seus serviços (como consequência de ataques), a empresa continua vendendo Speedy como água. Embora a Sony tenha sofrido vários ataques em 2010, ninguém deixou de comprar o PlayStation.

Estes casos provam que, hoje em dia, o usuário dificilmente trocaria de empresa por causa de um ciber ataque (afinal, qualquer empresa spode ser atacada e derrubada hoje em dia), mas talvez por algum problema grave no serviço final ou falta de atendimento. Como eu disse, as notícias de ataques, roubos de dados e de sites fora do ar por causa de ataques DDoS são muito comuns, corriqueiros, e por isto os consumidores já se acostumaram. 

Os ciber ataques fazem parte do dia a dia, já viraram rotina.

A indústria já está percebendo isto, por isso fica cada vez mais difícil justificar o investimento em segurança.

[Segurança] Um balanço da Co0L BSidesSP

Recentemente eu escrevi um post no blog do Garoa contando como foi a última edição da Co0L BSidesSP, que ocorreu dia 19 de Maio de 2013 na FATEC de São Caetano do Sul. Além do que consta no blog, eu gostaria de acrescentar mais algumas opiniões pessoais e comentários sobre esta experiência.

De cara, esta edição trouxe muitas novidades para o formato do evento, para os participantes e para nós da organização:

• O local: Pela primeira vez realizamos o evento em um local totalmente independente do Garoa e do evento principal (a edição passada, que foi realizada junto com a H2HC já representou uma primeira ruptura, por ser a primeia edição fora do espaço do Garoa). Por questões de custos, decidimos aceitar um convite que recebemos da FATEC SCS e fizemos o evento lá, sem gasto nenhum (exceto pela faixina). Foi uma ótima decisão, pois o local é muito espaçoso, o que permitiu ter várias salas dedicadas a atividades diferentes. Além disso, o pessoal da FATEC SCS nos recebeu super bem e deu todo o apoio que precisávamos.
• Churrasco: Para reduzir custos e não ficarmos no prejuízo, decidimos contratar um churrasqueiro em vez de contratar um buffet, como tínhamos feito nas edições passadas. Embora tenha dado certo do ponto de vista financeiro, isto nos deu muito trabalho extra, pois precisamos comprar as carnes, bebidas, carvão e gelo. Isso fez com que perdessems muito tempo e ficamos cansados, afinal lotamos dois carros (porta-malas e bancos de trás) com as compras. Para piorar, o churrasqueiro que cotratamos não deu conta da quantidade de pessoas e, por isso, na hora do almoço tinha pouco espetinho para muita gente. O resultado foi uma fila enorme para a comida, além da triste cena de ver pessoas furando a fila e desrespeitando os colegas. O fornecimento de espetinhos só regularizou no meio da tarde. 

• Novas atividades: Nesta edição fizemos uma "Hacker Job Fair" na tentativa de aproximar as empresas e os participantes do evento, trazendo oportunidades de carreira para o pessoal. Também tivemos uma sala de descompressão, com lojinhas e uma piscina de bolinhas. Aparentemente o pessoal gostou: eu marquei algumas bolinhas e oferecemos brindes para quem achasse estas bolinhas. E não é que acharam? Além do mais, um amigo levou seu filho pequeno para o evento, que certamente se divertiu na piscina. 
• Pré-venda de camisetas: foi ma idéia que nos permitiu fazer uma quantidade de camisetas condizente com a demanda e, pela primeira vez, não tivemos sobras. Nas edições anteriores ficamos com dezenas de camisetas, o que significaram muito dinheiro jogado fora, além do trabalho para levar de volta e guardar. Além disso, poderíamos ter usado o dinheiro da pré-venda para ajudar nas compras (o que seria ótimo para nosso fluxo de caixa) se o PayPal não tivesse bloqueado nossa conta :(
• Pesquisa no formulário de inscrição: desta vez incluímos uma pequena pesquisa no formulário de inscrição, o que nos ajudou a ter uma melhor visão sobre o perfil do nosso público. Vou comentar sobre os resultados logo abaixo.

Na minha opinião, a foto com o pessoal sentado no gramado da FATEC SCS sintetiza exatamente o que nós queremos para a BSidesSP: que ela seja um lugar aonde as pessoas possam se encontrar, conversar, assistir conteúdo de qualidade e, principalmente, se divertir com os amigos.

O espaço da FATEC SCS simplesmente superou nossas expectativas: conseguimos distribuir as atividades confortavelmente, com espaço suficiente para todos. Cada oficina tinha uma sala dedicada, além de termos o auditório gigante, uma sala para palestra, uma sala de descompressão (com lojinhas e a piscina de bolinhas) e uma sala para a Hacker Job Fair. Além do mais, o pessoal da FATEC SCS nos deu muito apoio antes e durante o evento, o que nos ajudou bastante. Sinceramente, não esperávamos tamanha receptividade e tanta energia positiva.

Falando rapidamente das estatísticas (que estão mais detalhadas no blog do Garoa):

• Tivemos 196 pessoas presentes
• Bad news: tivemos um alto no-show: 47% dos inscritos não apareceram
• A maioria dos inscritos tem bastante experiência: 59% já trabalham na área e a média de idade foi de 27.9 anos (variando de 13 a 52 anos).
• Poucos participantes (cerca de 1/3) iriam participar da You Sh0t the Sheriff e apenas 25% já participaram de alguma das edições anteriores da Co0L BSidesSP.

Vale a pena falar um pouquinho mais sobre o no-show: ao se inscrever e não comparecer, este pessoal tomou o espaço de pessoas que gostariam de ter vindo no evento. Como as atividades estavam dimensionadas para mais de 300 pessoas, algumas palestras ou oficinas ficaram mais vazias do que pretendíamos, o que é chato também para os palestrantes. E, apesar do problema que tivemos de atraso no churrasco, sobrou muita comida e muita bebida. Acreditamos que os dois principais motivos para o no-show foram o final do campeonato "sei-lá-qual" de futebol no mesmo dia e a difícil localização da FATEC SCS.

Para dar uma idéia do crescimento das edições da BSidesSP, eu disponibilizei uma apresentação com um único slide que resume as cinco edições da Co0L BSidesSP que já realizamos, de Maio de 2011 até Maio deste ano.



Anote na sua agenda: A próxima edição será no dia 06 de Outubro de 2013, junto com a H2HC.

Em tempo: a quinta edição da Co0L BSidesSP contou com o patrocínio da Trend Micro, da Cipher e da Tempest Security Intelligence. Digo isso porque o evento não seria possível sem o apoio delas.

[Cyber Cultura] Richard Stallman vai para o Hall da Fama da Internet

A Internet Society e a Free Software Foundation anunciaram que o Richard Stallman foi incluído no Hall da Fama da Internet, um prêmio anual que homenageia as personalidades que fizeram contribuições significativas para o avanço da Internet em todo o mundo.

O Internet Hall of Fame homenageou o Stallman por suas contribuições filosóficas como o fundador do movimento do software livre, incluindo a criação do Projeto GNU, autoria da GNU General Public License (que surgiu muito antes do conceito de Creative Commons) e fundação da Free Software Foundation. Além do mais, neste ano será comoemorado 30 anos da publicação do o Manifesto GNU.

Para quem quiser conhecer mais sobre a história do Stallman e o nascimento do movimento do Software Livre, eu recomendo a leitura do livro "Coding Freedom", da Gabriella Coleman, que tem vários capítulos discutindo e detalhando isto muito bem. O livro está disponível para download.

A propósito, o vídeo dele como Saint IGNUcius e sobre a Igreja do Emacs (Church of Emacs) é hilário.



O Internet Hall of Fame de 2013 inclui vários agraciados, entre ativistas (como o Aaron Swartz), engenheiros e empreendedores (como o Marc Andreessen)

[Cidadania] Vai protestar contra o sistema? O sistema agradece.

Não importa se você está no Brasil, na Turquia, nos EUA, no Egito ou na Espanha. Se você for as ruas protestar contra o governo, contra a indústria do copyright ou a favor da liberdade de expressão, provavelmente este protesto foi organizado pelas redes sociais. E provavelmente foi organizado pelo Anonymous. E provavelmente terá uma galera lá usando a máscara do filme V de Vingança.

Uma reportagem do jornal The New York Times de 2011 já alertava: a máscara do personagem Guy Fawkes é licenciada pela Time Warner, gigante da indústria do entretenimento. Portanto, ela é financeiramente beneficiada toda vez que alguém usa a máscara durante os protestos. Ou seja: os protestos contra a indústria do copyright beneficiam... a indústria do copyright.

A Time Warner agradece.

Segundo o NYT, a máscara do Guy Fawkes é a mais vendida entre as máscaras na Amazon (mais do que as máscaras do Batman, Harry Potter e Darth Vader). Segundo a empresa americana Rubie’s Costume, eles vendem cerca de 100 mil máscaras por ano, enquanto a venda das outras máscaras mal passa de 5 mil unidades por ano.

Como eu já expliquei anteriormente, os participantes do grupo Anonymous começaram a usar a máscara do Guy Fawkes quando organizaram os primeiros protestos nas ruas. Esta máscara foi criada como uma representação estilizada do Guy Fawkes no comic book "V de Vingança", escrito pelo Alan Moore em 1981. Em 2005 foi lançado o filme homônimo, que ajudou a popularizar o personagem V desta história como um defensor anônimo do povo contra um governo opressor. E, a partir daí, surgiu a associação da máscara estilizada com a ideologia utilizada pelo Anonymous em seus protestos.

Vamos protestar contra o governo? Contra o ACTA e as iniciativas pró-indústria do Copyright? Contra o aumento da passagem em São Paulo? Em Porto Alegre? Eu comprei a minha máscara do Guy Fawkes numa lojinha na Ladeira Porto Geral, por R$ 7,00.

E a Time Warner agradece.