[Segurança] Criptografia do Acre

Baseado na história do jovem do Acre que sumiu e deixou vários textos escritos de forma criptografada, alguns tipógrafos criaram uma fonte em homenagem à criptografia do Manual do Escoteiro Mirim, batizada de "Tipografia aCReMisT".

Após baixar e instalar a fonte "Tipografia aCReMisT", que é grátis, qualquer um pode escrever seus próprios textos criptografados!

Quando surgiu a história do Bruno de Melo Silva Borges, que sumiu deixando inscrições criptografadas nas paredes do seu quarto e 14 livros escritos à mão, rapidamente foi especulado que os textos foram escritos no alfabeto de criptografia que foi publicado no Manual do Escoteiro Mirim, e lá batizado de "Código Secreto Marciano", que é uma cifra parecida com a Cifra Maçônica.

Lançado em 1971, o Manual do Escoteiro Mirim trazia muitos ensinamentos sobre escotismo, com técnicas e táticas nos acampamentos, mas também falava sobre códigos secretos, heráldica e até como socorrer animais feridos. Recentemente a Editora Abril decidiu lançar uma reedição do livro.

Dois pesquisadores de segurança, Igor Rincon e Renoir dos Reis, deram uma olhada nas imagens que foram disponibilizadas na imprensa com os textos do jovem do Acre e criaram um site, chamado de "Decifre o livro", para ajudar a desvendar os textos com base nas chaves deixadas por Bruno.

Para saber mais:

• "Manual do Escoteiro Mirim" teria inspirado alfabeto de jovem do Acre?
• 11 curiosidades do “Manual do Escoteiro Mirim”, relançado nesta sexta pela Abril
• Coisas úteis que aprendemos com o Manual do Escoteiro Mirim

[Cyber Cultura] A lingua de sinal dos nerds

Se você usa língua de sinais (Libras) para falar com seus amigos, como você vai dizer que o seu computador roda Ubuntu e que você prefere programar em Perl?

Seus problemas acabaram!!! Eu estava buscando imagens de geeks e nerds no Google Images e achei uma imagem com alguns sinais para coisinhas nerds: Ubuntu, Windows, Perl, C, C++, Raskell, Apple, etc.

Divirta-se!

A propósito, quer aprender sobre a língua de sinais? Veja esse post aqui.

[Segurança] As Tretas na área de Segurança

O texto de Call for Papers (CFP) da Alligator Security Conference deste ano traz um resumo sarcástico das principais tretas que aconteceram recentemente na área de segurança brazuca. Esse texto ilustra bem o espírito hostil, segregatório e pouco colaborativo de algumas das comunidades do nosso mercado.

Como eu achei que o texto ficou engraçado devido ao seu alto nível de sarcasmo e trolagem, eu decidi reproduzir aqui as partes que descrevem as principais tretas que surgiram recentemente em nosso mercado, que eles batizaram de "HackTrospectiva" e deram a cada caso um nome de filme:

• "A Queda": O drama narra os últimos dias de arrogância e empáfia de um pedante e pernóstico garçom, cuja megalomania resultou em um wipe generalizado sem precedentes na história do hacking nacional. Aclamado pela crítica blogueira, resultou em uma enxurrada de mimimis e chororôs entre os pseudo-formadores de opinião da cena. É uma verdadeira obra prima com direito a lágrimas, risos e frases memoráveis como: "Como profissional de SI e certificado CISSP, eu gostaria de deixar meus sentimentos por todos aqueles que, de certa forma, foram afetados" (eu abordei este caso neste meu post);
• "O Homem que Ripava": Estrelando o ilustríssimo Foguinho Pernambucano. O filme também é indicado ao prêmio shame of the year 2017 e conta a estória de um menino humilde, jogador de CTF de várzea, que começou a ganhar notoriedade ripando writeups de outrem. Durante a trama, o jovem percebe o quão ridícula, incipiente e vexatória era sua ação, culminando em uma eloquente e emocionante destruição de provas, na tentativa inócua de ocultar sua majestosa e suntuosa cagada;
• "O Golpe": Um famoso diretor de grandes produções, demonstra como conseguiu enganar centenas de idiotas durante 2 anos consecutivos, com a promessa de trazer um palestrante internacional para o seu evento. A trama, produzida em 10 camadas (segundo a interpretação do protagonista para Modelo OSI), ilustra a possibilidade de conseguir usurpar reais de alguns imbecis, de maneira simples, através de mentiras, promessas e frases megalomaníacas. Uma verdadeira aula de charlatanismo (...)
• "Corram que taviso vem ai!": A narrativa conta a estória de um pesquisador de segurança que vem destroçando as empresas de antivírus em uma caçada implacável. O curta mostra que os produtos que deveriam proteger os indefesos cidadãos são na verdade uma grande piada. Revelando ao público o grande circo que é a indústria de segurança atual;
• "O poderoso cagão": A estória conta a trajetória de um pesquisador de malware que, em busca de notoriedade e pressionado pela própria empresa, divulga problemas de segurança em um banco no sul, e por consequência disso, acaba pegando em merda! Um prato cheio para aqueles que adoram ações judiciais e cenas de presídio. (eu abordei este caso neste meu post)

[Segurança] Global Cybersecurity Index (GCI)

No início de Julho foi lançada a edição 2017 do Global Cybersecurity Index (GCI), um estudo que mede o compromisso dos 193 Estados-Membros da UIT com a segurança cibernética. Ele foi criado em 2014 pela International Telecommunication Union (ITU) para ajudar os países a promoverem a cultura de ciber seguranca.

Ele é formado através de 25 indicadores que formam 157 perguntas, e servem para medir o que o índice considera serem os 5 pilares de seu modelo conceitual de segurança: Legal, Técnico, Organizacional, Capacidade e Cooperação.

A edição de 2017 do GCI foi elaborada com base nas respostas de 134 países e de dados obtidos dos países que não responderam, de forma que o relatório aborda todos os 193 países membros do ITU. O mapa abaixo sumariza os resultados em termos de nível de compromisso com ciber segurança, do verde (mais alto) ao vermelho (menor).

Em geral, a Europa foi a região aonde a pontuação média nos scores foi alta em todos os 5 pilares. Os 10 países mais comprometidos com segurança, segundo a ITU, são:

• Singapura
• Estados Unidos
• Malasia
• Oman
• Estônia
• Ilhas Mauricio
• Austrália
• Georgia
• França
• Canadá

O Brasil está posicionado em 38o lugar, em um grupo de países que o relatório considera que ainda estão amadurecendo. Singapura é o país melhor classificado no estudo. Ees tem uma longa história de iniciativas de segurança cibernética, sendo que lançou seu primeiro plano diretor de segurança cibernética em 2005. A Agência de Segurança Cibernética de Singapura foi criada em 2015 como uma entidade dedicada para supervisionar a segurança cibernética e o país emitiu uma estratégia abrangente em 2016.

Um dos indicadores mais fortes do estudo representa se o país possui uma estratégia de segurança cibernética descrevendo como ele irá se preparar e responder a ciber ataques contra suas redes, alo que só um pouco mais de 1/3 dos países possuem. Vehja algumas estatísticas do estudo:

• Apenas 38% dos países possuem uma estratégia pública de segurança cibernética, enquanto metade dos Estados membros não tem uma estratégia de segurança
• 61% dos países têm uma equipe de resposta de emergência com responsabilidade nacional (por exemplo, CIRT, CSRIT e CERT);
• Pouco mais de um quinto (21%) dos países publica métricas de incidentes de segurança;
• 32% dos países pussuem uma indústria de cibersegurança local

[Segurança] Hacking: uma História

Recentemente o Anderson Ramos foi convidado a palestrar no TEDxMauá, aonde ele aproveitou para contar a sua visão da história da cultura hacker, desde os anos 60 até os dias atuais. Assim, ele resumiu décadas de história em pouco mais  de 20 minutos, com várias informações interessantes na palestra "Hacking: uma História".

A palestra ficou bem interessante, cobrindo desde o surgimento da cultura hacker no "Tech Model Railway Club" do MIT. Pelo curto espaço de tempo, o Anderson foi obrigado a resumir e simplificar muita coisa, ainda mais porque é impossível contar a evolução da cultura hacker sem falar também da evolução da tecnologia pessoal e das telecomunicações desde os anos 60. Mas isso não desmerece a sua palestra :)

[Cyber Cultura] Hacker Camps

Nesta segunda metade de 2017 temos um belo calendário de Hacker Camps pela frente:

• 04 a 08/08: SHA2017 na Holanda - Evento que acontece a cada 4 anos, intercalado com o CCCamp. Será em uma cidade a 55 kilômetros a leste de Amsterdã;
• 05 e 06/08: Dumont Hacker Camp em Paranapiacaba (SP) - Pela primeira vez iremos realizar um encontro de hackerspaces durante a V SteamCon, um encontro bem legal sobre a cultura cyber punk;
• 29/09 a 01/10: Garoa Hacker Camp (Santana de Parnaíba, SP) - Este já é o terceiro Hacker Camp organizado pelo Garoa e o segundo neste ano. Será em um sítio perto de São Paulo.

Os "Hacker Camps" são eventos de tecnolgia e cultura hacker que acontecem em um ambiente externo, de camping ao ar livre, aonde os participantes ficam em um ambiente totalmente descontraído. Por serem feitos em um local externo, eles favorecem a integração dos participantes.

Normalmente com a maioria dos participantes acampam em barracas. Mas, dependendo do evento, quem não curte dormir dentro de uma barrada pode se alojar em pousadas, chalés, barco ou trailer ("motor home"), dependendo da infra-estrutura do local.

    

Outros hacker camps famosos são o Chaos Communication Camp, que acontece na Alemanha a cada 4 anos (a edição passada foi em 2015), o ToorCamp nos EUA e o Hacking at Random.

[Cyber Cultura] Steampunks e Cyberpunks

Os Steampunks e Cyberpunks são manifestações culturais que encontram inspiração na literatura de ficção científica com uma mistura de tecnologia com o passado e o futuro.

Aproveitando o verbete da Wikipedia, o Cyberpunk é um subgênero de ficção científica focado em um cenário de alta tecnologia e baixa qualidade de vida ("High tech, Low life"), que combina a ciência avançada, como as tecnologias de informação e a cibernética, junto com algum grau de desintegração ou mudança radical na ordem social. São cenários futurísticos aonde a vida é impactada pela rápida mudança tecnológica.

O Steampunk (que podemos traduzir como "Tecnavapor", derivado de 'Tecnologia a Vapor''), é um subgênero da ficção científica ambientada no passado, misturando tecnologias e vestimentas associadas a era Virotiana (Inglaterra do século 19) com os paradigmas tecnológicos modernos, como se eles tivessem ocorrido naquela época ou reimaginando a ciência já disponível naquela época. Este gênero ganhou fama no final dos anos 1980 e início dos anos 1990. No universo Steampunk, a tecnologia a vapor teria evoluído até níveis impossíveis, reimaginando como seriam máquinas e até mesmo robôs movidos a vapor naquela época.

Um exemplo popular no cinema é o filme "As Loucas Aventuras de James West" ("Wild Wild West​") de 1999, com o ator Will Smith. Os amantes da cultura steampunk e cyberpunk costumam usar adereços de moda futuristas.

Segundo um artigo no portal buzzfeed, "The Steampunk longs for a time where technology was romanticized rather than mass manufactured. He scoffs at the minimalism of homogenized modern devices and attempts to make them his own. Displaying an unhealthy fascination with steam, valves and gears, the Steampunk will spend hours in his workshop crafting accessories for his wardrobe. Custom timepieces, goggles and Nerf guns are often overly customized to the point that they obscure the item’s original purpose. Modern day electronic devices are modified to look like rusted antiques."

Para saber mais:

• Conselho SteamPunk
• V SteamCon - 05 e 06 de agosto de 2017

[Segurança] Preparativos para a Defcon 2017

Falta um pouco mais de uma semana para a Defcon deste ano, que comemora a sua 25a edição. Por isso, vale a pena lembrar algumas dicas rápidas e curiosidades:

Curiosidades:

• Em 2016, a Defcon atingiu o público record de 20.000 participantes!
• Neste ano eles anunciaram a Voting Machine Hacking Village, um espaço para discutir segurança nas eleições e que promete ter algumas urnas eletrônicas para os participantes testarem;
• Eu já disse que esta é a 25a edição do evento, né?

Lembretes:

• Neste ano o ingresso do evento custará US$ 260. Esse valor deve ser pago em dinheiro vivo, pois eles não aceitam cartões;
• Pela primeira vez o evento será no centro de convenções do cassino Caesars Palace. A Defcon começou no Alexas Park, em 1993, depois passou pelo cassino Riviera (que foi fechado no ano passado), pelo Rio e recentemente no Paris e Bally's;
• Revise a sua agenda para a semana da Defcon:
• Black Hat: de Sáb. a 5a (22 a 27/7) - Treinamentos de 22 a 25/7 e evento dias 26 e 27/7;
• BSides Las Vegas:  3a e 4a (25 e 26/7) - ótima opção para quem não vai na BlackHat;
• Defcon: 5a a Dom. (27 a 30/7) - 6a e Sábado são os dias principais. Na 5a é feito o registro e tem poucas atividades, e o Domingo a tarde é dedicado para a cerimônia de encerramento (a partir das 15h);
• Para garantir o seu ingresso na BSides Las Vegas, você deve amanhecer na fila (25/07);
• Chegue cedo para se registrar na Defcon, na 5a feira (27/7). A fila é enorme, mas os últimos podem ficar sem o crachá bonitão do evento;
• Veja algumas dicas sobre a Defcon nesse meu post. Neste ano eu criei uma versão dele no Medium também;
• Em 2015 eu escrevi uma pequena FAQ. 

Acompanhe as novidades pelo site do evento, pelo Twitter @defcon ou pela página deles no Facebook.

Post atualizado em 20/07/17 para incluir o novo vídeo teaser da Defcon 25.

[Segurança] Defcon Documentary

A Defcon é a maior conferência hacker do mundo, realizada todo ano em Las Vegas, Nevada, desde 1999. Para quem deseja entender um pouco sobre o que é o evento, sua história, e como é a experiência de frequentar, em 2013 foi lançado um documentário muito bom sobre o evento, o "DEFCON: The Documentary", que é possível ser visto no YouTube.

O documentário foi gravado em 2012, ano da vigésima edição da Defcon, em que o evento foi realizado no cassino Rio.

Embora a conferência possua políticas rigorosas de não-filmagem, a organização permitiu que uma equipe de documentaristas tivesse acesso total ao evento. O filme começa contando a história da Defcon desde o surgimento da idéia e sua primeira edição, como ela cresceu e se tornou mitológica nos anos em que foi realizada no Alex Park e depois sua grandeza a obrigou a ser realizada em cassinos. A minha primeira vez na Defcon foi no cassino Riviera, e de lá ele já passou pelo Rio, Paris + Bailys e neste ano chega no Caesars Palace.

O documentário cobre os quatro dias da conferência, os diversos eventos e atividades que acontecem em paralelo, fala muito sobre os organizadores, sobre os frequentadores do evento e também o pessoal do staff. O documentário é bem interessante e consegue trazer a sensação que temos ao participar od evento.

Neste ano, a Defcon está na sua 25a edição e acontecerá nos dias 27 a 30 de Julho, no cassino Caesars Palace pela primeira vez.

Eu, particularmente, sou um grande fã da Defcon. Ela é um grande zoológico, que atrai todo tipo de gente interessada na cultura hacker. As palestras costumam ser muito boas e trazer muita idéia inovadora, além do clima de festa que reina nos corredores.

[Segurança] A Cifra Macônica

Fuçando na Amazon, eu encontrei alguns objetos bem legais usados para implemeentar cifras de cripitografia antigas, como um disco que representa a Cifra de César e um anel usado para representar a Cifra Maçõnica.

A Cifra Maçônica (conhecida em Inglês como "Pigpen cipher" ou "Freemason's cipher"), é uma cifra criptográfica de substituição aonde cada caractere do alfabeto é trocado por um símbolo, previamente definido, de acordo com a sua posição em duas matrizes 3x3 e 2 cruzes, aonde as letras são dispostas para representar como deve ser feita a substituição. A letra é representada pela imagem que ilustra a sua posição nessas matrizes ou cruzes.

Normalmente esta cifra é representada da seguinte forma:

Assim, cada letra é representada pelas arestas em sua volta, indicando a sua posição de tro da matriz 3x3 ou na cruz. Por exemplo, a letra A é representada pelo símbolo e a letra X pelo símbolo .

Aproveitando um exemplo disponível na Wikipedia, a mensagem "X marks the spot" (ou seja, "O X indica o lugar") ficaria codificada da seguinte forma:

A cifra é normalmente conhecida como "Cifra Macônica" pois era muito utilizada no século XVIII pelos membros da maçonaria. Segundo a wikipedia em Português, essa cifra foi descrita em 1533 por Heinrich Cornelius Agrippa von Nettesheim, no livro 3 capítulo 30 da obra De occulta philosophia. A tradução literal do nome da cifra é "chiqueiro" e vem do fato de que cada uma das letras (os porcos) é colocada em uma "casa" do chiqueiro.