[Segurança] Marcelo Tas e os Hackers

Em sua palestra de abertura no Roadsec São Paulo, o Marcelo Tas deu uma visão ótima e objetiva dos valores da cultura hacker.

Segundo o Marcelo Tas, as duas características mais importantes da cultura hacker são:

• A obsessão pela busca do conhecimento, descobrindo "coisas que estão escondidas", e pelo compartilhamento da informação
• O espírito de comunidade e de apreender junto, e neste ponto ele destacou a importância de nós, que vivemos no mundo virtual, aproveitarmos as oportunidades de interação em carne e osso, tal como participar em eventos

Ele, que participa da TV e do mundo online há muitos anos, fez um pouco de jabá pessoal e de um projeto novo dele (o Tasômetro), mas a palestra valeu por ele ter destacado sua visão e proximidade com a cultura hacker.

[Segurança] Phishing

Phishing é uma das técnicas de fraude mais antigas e, até hoje, mais eficientes, que atinge clientes de bancos no Brasil e em todo o mundo.

No México, por exemplo, o Phishing é considerado a principal ameaça online para os bancos do país, pois a principal ação dos ciber criminosos locais é realizada através de mensagens ou sites de Phishing, que são usados para obter informações de acesso (usuário e senha) dos clientes.

O problema principal é que a grande maioria dos usuários clica em tudo o que vê, e não tem discernimento para perceber quando a mensagem é falsa, ou quando leva ele para um site falso. Veja o exemplo abaixo: não precisa ser expert para imaginar que uma mensagem de aviso do WhatsApp jamais seria enviado a partir do endereço de e-mail "gishjewellersn@rogers.com".

Além do mais, ataques de phishing são fáceis de fazer: basta ao fraudador ter criatividade para criar uma mensagem que convença o usuário a clicar num link, que serve para levar a vítima até um site falso ou que vai causar o download de um código malicioso.

Mas essa é uma visão muito simplista. Mesmo porque, hoje em dia existem quadrilhas especializadas em fazer mensagens e sites de phishing bem feitas, que parecem reais e podem, eventualmente, enganar até mesmo um especialista.

E diariamente somos bombardeados por dezenas destas mensagens.

Tudo isso existe com um único objetivo: capturar qualquer informação das vítimas que possam ser utilizadas para cometer fraude, desde as credenciais de login em sites de Internet Banking e dados de cartões de crédito, até mesmo login em serviços de e-mail ou em sites de milhagem de companias aéreas (assim, os criminosos podem vender passagens obtidas com as milhas das vítimas). Outro golpe muito conhecido que se aproveita das mensagens de phishing para espalhar são as fraudes de boleto, que fazem com que a vítima baixe e instale o malware especializado em fraudar pagamentos de boletos bancários.

Desde 2008, o pessoal do CAIS, o Centro de Atendimento a Incidentes de Segurança da RNP, mantém o Catalogo de Fraudes que lista exemplos de mensagens de phishing recebidas por eles. É uma ótima referência sobre o assunto.

[Cyber Cultura] Como medir a importância de um evento?

Ao ver a reportagem da TechMundo sobre "os 7 maiores eventos para hackers do mundo" (segundo a qual, quatro destes eventos são do Brasil) eu me pergunto: como medir a importância de um "evento hacker"? Ou melhor, como medir a importância de um evento qualquer...

Vejo algumas possibilidades:

• Pela quantidade de pessoas presentes: é fácil dizer quais são os "maiores" eventos, em termos de público. Neste caso, podemos considerar a quantidade total de participantes - e não o de inscritos, pois há muitos inscritos que não vão no dia do evento. Mas este é uma medida perigosa, pois determinados mercados, lugares ou países tem um público potencial muito maior do que a quantidade de participantes - pense, por exemplo, qual é a quantidade de pessoas que poderiam ir em um evento de segurança nos EUA (a Defcon, por exemplo, atrai cerca de 10 mil pessoas), no Brasil (a H2HC teve cerca de 400 participantres e o Roadsec pretende atrair 2000 - já dá para ver a diferença até mesmo para 2 eventos na mesma cidade) e um evento em um país pequeno (como, por exemplo, o Chile ou Portugal) pode ter poucos parcicipantes (em quantidade), mesmo que eles representem, por exemplo, 90% dos profissionais daquele país;
• Pela qualidade das palestras e palestrantes: esse é um critério muito subjetivo, exceto quando pensamos nos poucos palestrantes rockstar na área;
• Pela qualidade do público que atende: aí também fica muito difícil medir, embora possamos analisar a qualidade do público pelo cargo e empresa/instituição em que atuam. Mesmo assim, para mim este é o critério mais difícil de avaliar, principalmente porque não podemos contar apenas com os títulos dos CSOs, pois há eventos técnicos que eles não vão. E, mesmo no caso do público técnico, possuir certificação ou atuar em uma empresa renomada não é sinal inquestionável de competência suprema.

Se pensarmos bem, cada um dos critérios acima acabam caindo em análises subjetivas (e, portanto, sujeita a cabeça de cada um que avalia), e assim pode dar margem a diversas interpretações. E, mesmo se usemos todas as métricas sugeridas, ainda assim corremos o risco de ter algumas injustiças.

Para mostrar como é difícil e polêmico medir a importância de um evento, eu fiz uma "brincadeira": fazendo as contas na tabela abaixo com alguns eventos conhecidos de todos nós, e utilizando valores 0, 1 e 2 para medir cada ítem - algo bem simples, subjetivo e apenas para testarmos o modelo. Por exemplo: 0 de quantidade de participantes significa que o evento recebe uma quantidade muito baixa se comparada com a quantidade de pessoas que poderia ir, pelo público potencial do evento. Por outro lado, 2 para a qualidade de palestras significa que o evento atrai gente foda para palestrar, enquanto 2 na qualidade de público significa que o evento atrai profissionais e pesquisadores importantes e renomados na área e para o público alvo do evento.

Evento	Qt Pessoas	Palestras	Público	Média	Comentário
Defcon	2	2	2	2	Ok, nem tem como discordar da avaliação máxima para a Defcon ;)
YSTS	0	1	1	0,6	A YSTS é um evento pequeno, formada principalmente por um público convidado, o que acaba filtrando bastante a qualidade do público. Mas, exatamente por causa desse formato, ela deixa muita gente de fora. As palestras são boas, com alguns palestrantes ótimos, mas não dá para dizer que é "estelar". Por se tratar de um evento tão desejado pela comunidade de segurança, a nota de 0,6 é injusta.
H2HC	0	2	2	1,3	A H2HC estagnou na quantidade de público: há vários anos ela recebe cerca de 400 pessoas. Por outro lado, ela investe em trazer excelentes palestrantes internacionais e o público é fiel: os melhores profissionais do mercado estão lá.
RoadSec	2	0	1	1	Atrai um público enorme, ainda mais considerando o total das edições regionais. Mas é um público eclético, que varia de interessados a profissionais da área. As palestras são boas, mas nada de extraordinário. Na média, ficou na média.
BSidesSP	0	1	1	0,67	Justiça e auto-avaliação sejam feitas: embora todos os participantes elogiem a BSidesSP, nós atraímos uma quantidade pequena de público, perto do potencial.
Security Leaders	1	0	2	1	Para um evento destinado a gestores, ele cumpre o que promete: conteúdo superficial com uma platéia formado por principalmente executivos de médio escalão e alguns de alta gerência.
Ekoparty	2	2	2	2	Na minha opinião, é o melhor evento do continente. Atrai uma grande quantidade de pessoas de todo o continente, com um oúblico bem qualificado e sempre tem ótimos palestrantes.

[Segurança] Somos um risco à soberania nacional?

O relatório da Auditoria Especial no Sistema Eleitoral 2014 realizado pelo PSDB tem um trecho que chamou a atenção de várias pessoas. Na página 102 ele diz:

"Os analistas tiveram que ser pré-aprovados pelo TSE, tendo sido recusada a inscrição do professor Alex Halderman e do analista de segurança Rodrigo Branco, por alegado risco à soberania nacional. Um pedido de reconsideração dessa recusa não foi respondido até o final dos trabalhos da análise."

Basta acompanhar as histórias e notícias sobre todas as iniciativas de auditoria do processo eleitoral brasileiro para perceber que o TSE limita, e muito, qualquer tentativa de avaliação séria da segurança das urnas eletrônicas. Pior ainda: eles promovem uma falsa sensação de transparência, pois ao mesmo tempo que promovem iniciativas de auditoria independente, eles controlam com mão de ferro como estas auditorias devem ser feitas. Todas as pessoas participantes, ferramentas e metodologias de teste devem ser previamente avaliados e aprovados pelo TSE.

Por isso, não causa surpresa ver que um dos mais conhecidos profissionais e pesquisadores de segurança brasileiros teve a sua participação na equipe de auditoria rejeitada pelo TSE. O espantoso é o motivo alegado: "risco à soberania nacional". Parece piada, não é? E assim foi tratado por várias pessoas.

O assunto é mais interessante se analisamos o motivo para essa decisão. Segundo a transcrição da decisão do TSE o Rodrigo Rubira Branco foi apresentado como "residente nos EUA", e por isso o TSE entendeu que as informações sobre o processo eleitoral "não podem ter seu acesso franqueado a pessoas físicas ou jurídicas estrangeiras, ou vinculadas a países ou entidades internacionais". Uma explicação fraca, que pode facilmente ser questionada, pois o Rodrigo é Brasileiro, com direito a voto - apenas mora no exterior.

Voltando a questão da segurança das urnas eletrônicas, o extenso relatório do PSDB não deixa dúvidas: o sistema é falho, inseguro e impossível de ser auditado. Para exemplificar, o capítulo 4.4.2.5.8, que menciona a exclusão do Rodrigo Branco, diz respeito a "Análise do Código-fonte Disponível", aonde foi executada uma análise estática do código, o que permitiu que fossem encontradas diversas falhas, conforme podemos ver na transcrição abaixo:

"Uma parte da análise consistiu na execução do programa de verificação estática de código CppCheck, em busca de vulnerabilidades e pontos de atenção. Tal execução apontou mais de 1000 trechos identificados como erros (i.e., problemas considerados graves pelo programa de análise) e mais de 2000 alertas (i.e., sugestões relativas a técnicas de programação defensiva, que podem evitar falhas)."

Ainda neste capítulo, é discutida também a segurança do sistema operacional sobre o qual o sistema da urna eletrônica é executado. E a análise foi...

"Especificamente para as urnas eletrônicas, o TSE optou por utilizar o sistema operacional de software livre Linux com algumas adaptações. O Linux foi congelado na versão 2.6.16.62 de 2009.
Por ser esta uma versão antiga, várias atualizações e implementações de segurança, feitas pelo projeto Linux ao longo dos últimos 6 anos, ficaram de fora da versão congelada pelo TSE."

Resumindo ainda mais o resumo das conclusões do relatório da auditoria realizada pelo PSDB sobre o 2º turno da eleição presidencial de 2014, temos um quadro desastroso, mas que não causa surpresa a qualquer profissional de segurança que já tenha gasto poucos minutos analisando ou simplesmente refletindo sobre o nosso sistema eleitoral. Veja os principais pontos identificados pelo PSDB:

• A coleta de dados para auditoria teve sua confiabilidade prejudicada porque enfrentou restrições administrativas, tendo sido negada a entrega de parte dos dados solicitados;
• Não foi possível se determinar a confiabilidade dos resultados produzidos pelas urnas eletrônicas, pois:
• Não é possível fazer uma auditoria contábil da apuração dos votos em um sistema de urnas eletrônicas que é essencialmente dependente de software e não produz um registro material do voto (o voto impresso) que tenha sido visto e conferido pelo eleitor e que possa ser utilizado como trilha de auditoria;
• Não é possível fazer uma validação e certificação minimamente confiável do software embarcado nas urnas eletrônicas para verificar sua integridade devido a restrições impostas pela autoridade eleitoral;
• o sistema eletrônico de votação do TSE não está projetado e implementado para permitir uma auditoria externa independente e efetiva dos resultados que publica.

Ou seja, só nos resta perguntar, sarcasticamente: quem será que é o verdadeiro risco à soberania nacional?

[Cyber Cultura] Programa de Combate à Intimidação Sistemática (Bullying)

No dia 06 de Novembro foi promulgada a Lei nº 13.185, que institui o Programa de Combate à Intimidação Sistemática (Bullying), uma iniciativa do governo para incentivar  ações do Ministério da Educação e das Secretarias Estaduais e Municipais de Educação que eduquem e evitem casos de bullying e ciber bullying. Além disso, e entre outras iniciativas, o programa prevê oferecer assistência psicológica, social e jurídica às vítimas e aos agressores, além de capacitar docentes e equipes pedagógicas para a implementação das ações de discussão, prevenção, orientação e solução do problema do bullying e ciber bullying

É difícil saber se a lei terá algum efeito prático de imediato, mas pelo menos é um primeiro passo. Merece destaque, na minha opinião, o Artigo 5o, que define que...

"É dever do estabelecimento de ensino, dos clubes e das agremiações recreativas assegurar medidas de conscientização, prevenção, diagnose e combate à violência e à intimidação sistemática (bullying)."

O bulling é um problema sério que afeta os jovens e adolescentes, e é agravado pelo uso das redes sociais para humilhar e ofender a vítima. Recentemente, uma estudante de um colégio no Rio de Janeiro, de apenas 12 anos, foi vítima de três abusos sexuais cometidos por três colegas de escola com idades de 15 a 17 anos, e teve o vídeo com imagens dela fazendo sexo com colegas divulgado no Whatsapp. Após isso, a menina começou a sofrer bullying na escola: “As meninas escreviam bilhetes xingando-a”, conta a advogada. Segundo ela, a família concordou em afastar a jovem da escola, após orientação de especialistas

[Cyber Cultura] Aaron Swartz Day

Neste final de semana, dias 07 e 08 de Novembro, está sendo comemorado o Aaron Swartz Day, aproveitando a sua data de aniversário (08 de Novembro).  Diversas atividades e hackatons foram organizados em vários países, em sua homenagem.

Aaron foi um programador americano que era um fervoroso ativista pela privacidade na Internet e pelos direitos de acesso a informação. Entre outras coisas, ele foi um dos criadores do RSS (aos 13 anos de idade) e um dos fundadores do Reddit aos 19 anos, uma das maiores comunidades online. Ele também contribuiu na criação da licença Creative Commons e foi um opositor ao projeto de lei antipirataria SOPA. No início de 2013, Aaron Swartz cometeu suicídio, aos 26 anos. Ele não aguentou a pressão e a tortura psicológica causadas pelo processo que sofria por ter tornado público os artigos da base acadêmica JSTOR, que conseguiu baixar utilizando um script de dentro da rede do MIT. Ele respondia por 13 acusações criminais e poderia ser condenado a até 50 anos de prisão e a US$ 4 milhões em multas, e a Procuradoria dos EUA queria colocá-lo na prisão para servir de exemplo na luta contra os ciber ativistas.

Se você ainda não viu, esta é uma ótima oportunidade para assistir ao documentário "The Internet's Own Boy: The Story of Aaron Swartz", lançado em 2014 e dirigido por Brian Knappenberger - o mesmo diretor de "We Are Legion: The Story of the Hacktivists". O documentário retrata a vida do Aaron Swartz, através de entrevistas com ele, sua família, amigos e pessoas que trabalharam com ele, para contar a história da vida de Aaron até o seu suicídio. Além disso, o documentário explora as questões de acesso à informação e das liberdades civis, que eram a principal motivação do trabalho de Aaron.

O documentário está disponível em vários sites com legenda em Português. Veja uma das versões abaixo.

O documentário é sensacional, emocionante e muito bem feito. Ela está disponível em licença Creative Commons e foi financiado através do Kickstarter, superando a meta de arrecadação: Knappenberger pediu US$ 75.000, mas recebeu quase US$ 94.000.

[Segurança] Estão todos prontos para o Roadsec São Paulo !?

No próximo dia 12/11 o pessoal da Flipside vai realizar o super-hiper-mega-uber-blaster Roadsec São Paulo, o evento que encerra a caravana Roadsec deste ano.

Spoiler: se você ler este post até o final, vai ver que tem um código de desconto para se inscrever no evento.

Não basta o fato do evento ser muitíssimo bem organizado e ter diversas palestras e atividades de qualidade. Eu faço questão de dar destaque ao Roadsec pois acredito que o evento tem o mesmo espírito e qualidade que mantemos na BSidesSP (com a diferença de ser organizado por uma empresa especializada e focada em eventos, enquanto a BSidesSP é organizada no nosso tempo livre): é um evento que preza pela qualidade, que atrai iniciantes e profissionais experientes e os trata em pé de igualdade, e tudo isso ao mesmo tempo que valoriza diversos aspectos da cultura hacker (isto é, não fica apenas restrito a segurança, falando também de robótica, drones, lockpicking e nerdices em geral).

O Roadsec já se tornou o maior evento de hacking, segurança e tecnologia do Brasil, reunindo profissionais e entusiastas da área, além de professores, alunos e estudiosos. Não importa se você considera apenas a edição de São Paulo (que espera receber 2 mil pessoas) ou se inclui na conta do público todas as 14 capitais que percorreu ao longo de 2015. E, na verdade, aqui está o grande mérito da Flipside: criar um evento que leva conteúdo de qualidade para diversas cidades do país, sendo que várias delas nunca tinham recebido algo parecido antes.

A edição de São Paulo, portanto, serve para coroar e encerrar esse trajeto percorrido durante o ano. A grade de palestras conta com especialistas e executivos de segurança renomados (não contem p/ ninguém, mas eu não vou palestrar porque rejeitaram a minha proposta de palestra), além de diversas oficinas, atividades práticas, sessões de autógrafos com autores de livros.

A edição deste ano também tem uma área para comunidades, aonde estará presente, entre outras comunidades, o Garoa Hacker Clube e as garotas do MariaLab, que pretende ser o primeiro hackerspace para mulheres do Brasil-sil-sil !!!

Mas não ligue agora !!! O Roadsec SP também tem alguns fru-frus, como uma área de food trucks, pinballs e fliperamas, DJs (incluindo o Bruno, o "DJ do Garoa" que tocou também na última edição da BSidesSP) e pocket shows (WTF!?).

Mas não ligue agora !!!! Outro aspecto importante do Roadsec é que o evento deu destaque e nova energia para os campeonatos de Capture The Flag (CTF). No Roadsec, o CTF foi batizado de HackFlag, com competições em todas as cidades que o Roadsec percorreu e com uma grande final ao vivo no Roadsec São Paulo, com os 15 campeões estaduais. Quem for de São Paulo ainda tem chance de competir, pois a etapa São Paulo acontece neste Sábado, dia 07 de Novembro, no Mackenzie (com entrada gratuita!).

Mas não ligue agora !!!! Como se não bastassem as palestras, oficinas, food trucks, pinballs, DJs, e o Hackflag, o evento tem um mega-show de encerramento as 21h, com os Titãs !!!!!

No ano passado, a edição de São Paulo do Roadsec foi animal, com muitas atividades e com o show do Ira. Muitas pessoas ficaram lá no final do evento, bebendo e conversando até na hora em que fomos expulsos do espaço.

Então, que tal ir no Roadsec? O pessoal da Flipside me passou um código de desconto para quem quiser se inscrever no evento: 7QPM5C5. Basta ir no site de inscrição e fornecer este código, que o valor da inscrição inteira cai de R$ 120, para R$ 73 (estudantes já tem direito a meia-entrada, de R$ 60).

Resumindo:

• Roadsec São Paulo
• 12 de novembro de 2015 (quinta-feira), a partir das 8h
• Local: AUDIO CLUB SP - Av. Fco. Matarazzo, 694, Água Branca, São Paulo
• Incrição com desconto: utilize o código 7QPM5C5
• Veja aqui como participar gratuitamente do Hackflag São Paulo, dia 07/11

[Segurança] Os maiores eventos para hackers do mundo

Recentemente a TechMundo fez uma reportagem sobre "os 7 maiores eventos para hackers do mundo", segundo a qual, quatro destes eventos são do Brasil: a H2HC, a BSidesSP, o Roadsec e o YSTS.

A triste parte dessa notícia é que claramente o jornalista que a escreveu não sabe do que está falando. Não conhece os eventos nacionais nem, principalmente, os que existem no resto do mundo e sequer sabe comparar os eventos em termos de importância ou tamanho.

Digo isso porque, em importância, infelizmente os nossos eventos não tem destaque no mercado global. #prontofalei

Para exemplificar bem toscamente, a Wikipedia tem uma lista pequena e imprecisa de "Hacker_conventions", que não inclui nenhum evento brasileiro nem sul americano. Por outro lado, a página de "Computer security conference" lista apenas a Ekoparty e a H2HC.

Em termos de tamanho, nossos eventos são pequenos: a Co0L BSidesSP, a H2HC e o YSTS não recebem mais de 400 pessoas cada um. Para comparar, a Ekoparty, na Argentina, recebe cerca de 2.000 pessoas, ou mais. A única excessão Brasileira é o Roadsec, que conta a seu favor com a somatória de cada uma das edições locais e, no evento de encerramento em São Paulo, a organização corre atrás de participantes para chegar ao desejado número de 2 mil pessoas.

Ou seja, pensando em termos de público, eu acredito que atualmente os maiores eventos no mundo focados em hacking (em termos de quantidade de inscritos) são:

• a Defcon (EUA, com mais de 10.000 presentes)
• o CCCongress (Alemanha, com provavelmente mais de 5 mil pessoas)
• o conjunto das Security BSides em todo o mundo
• o conjunto de Roadsec (Brasil)
• a Hack in the Box (Malasia + Amsterdan).
• a Ekoparty

O CCCamp, que acontece na Alemanha a cada 4 anos, também recebe um número astronômico de participantes. E a China provavelmente tem alguma conferência de Hacking que atrai milhares de chineses - mas eu não conheço o suficiente para opinar. Além disso, eu não considero a Black Hat na lista acima, pois ela tem um foco maior no público corporativo do que no pessoal de pesquisa em segurança e hacking.

Além da lista acima, podemos pensar em quais são os eventos de segurança "para hackers" (ou seja, eventos com foco no público técnico e em pesquisa de segurança) "mais importantes" em todo o mundo. Eu diria que são os seguintes:

• EUA e Canadá
• CanSecWest, Vancouver (Canada)
• DEFCON, Las Vegas (Nevada, USA)
• Hacker Halted, Atlanta (Georgia, USA)
• ShmooCon, Washington, D.C. (USA)
• SOURCE Conference, Boston (Massachusetts, USA)
• Toorcon: San Diego e Seattle (USA).
• Europa
• CCC (Chaos Communication Congress), Hamburgo (Alemanha)
• CCCamp (Chaos Communication Camp), Alemanha, que acontece a cada 4 anos
• Hackito Ergo Sum, Paris (França)
• TROOPERS IT Security Conference, Heidelberg (Alemanha)
• Ásia e Pacífico
• HITBSecConf (Hack In The Box Conference), Originada na Malásia, também tem uma edição em Amsterdam
• América Latina
• 8.8, Santiago (Chile)
• Ekoparty, Buenos Aires (Argentina)
• H2HC (Hackers to Hackers Conference), São Paulo (Brasil)
• YSTS (You Sh0t the Sheriff), São Paulo (Brasil)
• Eventos Itinerantes
• Security BSides: uma família de eventos que hoje dezenas de edições locais acontecendo durante o ano, em diversos países - inclusive no Brasil, com a BSides São Paulo
• Roadsec (em várias cidades do Brasil)

Não vale a pena esquecer que, há pouco tempo atrás, eu escrevi um post sobre as conferências de segurança mais relevantes ao redor do mundo. Esta lista é mais ampla pois considera eventos focados em vários públicos, como o público corporativo, governamental, acadêmico e relacionado a criptografia.

Atualização (11/01/16): O blog da Tripwire publicou um texto listando o que considerou como as 11 conferências mais importantes do mundo.

[Cidadania] Nos colocando no lugar das Mulheres

Alguns amigos postaram este texto no Facebook e eu achei ele tão bom que resolvi copiar aqui, para lembrar da dificuldade que as mulheres sofrem no dia-a-dia.

"Somos homens. E eu vou usar linguagem "de homem", pra tentar ficar mais claro.
Ninguém nos apalpa no caminho do banheiro, na balada, puxa nosso cabelo ou nosso braço, ou sussurra "vagabundo" no pé do nosso ouvido apenas porque queremos mijar.
Ninguém nos encoxa no metrô ou no ônibus, goza na nossa calça ou no nosso ombro, filma escondido a gola da camisa e publica em site pornô.
Ninguém fotografa nossa bunda e envia por Whatsapp. Ninguém coloca câmera escondida pra filmar por baixo de nossas bermudas na rua.
Ninguém pega foto do nosso pau ou vídeo gravado transando p'ra tirar onda com as amiguinhas de como nós somos gostosos e que vagabundos nós somos.
Ninguém se vinga de fim de relacionamento expondo nossa intimidade na Internet, pra familiares, amigos, chefes.
Nenhum taxista, por mais bêbado que estivesse, me levou pra um matagal em vez do destino que pedi.
Nunca fui seguido na rua, voltando do trabalho, e temi coisa alguma senão perder o celular ou a carteira.
Nenhuma mulher nojenta ficou se lambendo ou esfregando a mão enquanto eu atravesso a rua.
Nenhum assaltante jamais enfiou a mão na minha calça ou tentou me beijar à força.
Ninguém nunca me ameaçou a vida depois de uma bota.
Ninguém nunca ameaçou meu emprego a troco de sexo.
Nunca tive medo de circular de noite ou de dia e ser vítima de um estupro.
Meu salário é oferecido de acordo à minha qualificação e estado do mercado. Só.
Minha liberdade sexual é garantida pelos bagos que carrego, e, inclusive, quanto mais mulheres eu colecionar, mais foda eu sou.
Ninguém espera que eu largue o trabalho e dedique minha vida a filhos, quando eles nascerem.
Ninguém vai me chamar de puto se desejar tomar uma cerveja no fim do expediente.
Ninguém vai criar qualquer conceito sobre mim senão baseado nas minhas reais atitudes.
Então, fera, veja em quantos pontos supracitados você se enquadra e me conta como é bacana a vida sem essa violência indireta ou direta, como é simples viver assim.
Lembra desse papo quando nomear "vitimismo", "mimimi", "falta de rola", "louça pra lavar", enfim, os clichês que a gente conhece bem.
Não precisa pensar na desconhecida não: pensa na sua mãe, sua irmã, sua companheira, sua filha... Faz o mais forte exercício de empatia do mundo, que é se colocar no lugar delas, volta aqui e me chama de "feministo". Aguardo ansiosamente."

[Segurança] Estamos sob ataque !!!

Em seu recente artigo sobre "Como atingir a segurança perfeita em 3 passos simples", o blog da empresa Veracode fez uma descrição excelente de como é o dia-a-dia de um profissional de segurança trabalhando durante uma mega-invasão em seu ambiente.

Eu, particularmente, já vivenciei na pele e presenciei outros colegas lidando com diversos casos de ciber ataques, aonde a equipe de SI (e TI) tínha que lidar com um incidente, e por isso mesmo achei que a descrição dada pelo pessoal da Veracode é sensacional, e cômico. Veja uma transcrição parcial abaixo, com pequenas adaptações minhas - e algumas notas adicionais.

"Passe um longo tempo respondendo aos gestores como o ataque aconteceu. Sinta como se tivesse um buraco enorme e escancarado em seu peito. Sinta desamparo total. Esconda-se por um tempo em seu escritório para ningém ver você chorar. Se alguém perguntar, diga que tem alergia a poeira.

Perceba que você precisa fazer alguma coisa. Fique com raiva e largue tudo para investigar como o ataque aconteceu. Olhe para os eventos e para os logs até que sua cabeça comece a latejar. Pare tudo o que está fazendo, pela milésima vez, para responder a perguntas dos gestores sobre o ataque. Desista de investigar. Continue dizendo a todos que perguntarem que você realmente não sabe como isso aconteceu.

Nota: se você tiver a sorte de achar algum IP da China fazendo qualquer acesso em seu site (mesmo que seja um acesso válido), culpe os hackers chineses e pode parar de ler a história por aqui ;) #fato

O seu gerente pergunta se você deve contactar a polícia. Você realmente não sabe. Entra em contato com a polícia, mas eles também não sabem o que fazer. Diga ao gestores que eles devem entrar em contato com parceiros e clientes que possam ser afetados. Receba como resposta que você deve evitar os jornalistas. Os gestores te perguntam o que eles devem dizer para os demais empregados, mas você não sabe. Para não dizer nada, peça para os gestores orientar a todos que eles devem alterar suas senhas.

Concentre-se em limpar os equipamentos suspeitos de terem sido invadidos. Altere todas as senhas em todos os lugares que encontrar pela frente. Leia o que todos estão dizendo sobre sua violação nas redes sociais e sites de noticia. Sinta-se mal... Encontre um pouco de conforto em outros profissionais de segurança, seus colegas, que vão te dizer que todo mundo pode ser hackeado algum dia. Vá para casa dormir, mas passe a noite acordado e preocupando-se ao ponto de ter náuseas.

Descubra o banco de dados está corrompido. Seja feliz que você investiu em uma super solução de back-up. Mas descubra que o último back-up realmente recuperável é de um mês atrás. Chute a si mesmo por nunca testar o sistema de recuperação e se sinta um idiota. Fique com raiva e chute a máquina de back-up. Sinta-se mais idiota ainda por bater em uma máquina.

Saia do seu esconderijo o tempo suficiente para ir a gerência relatar o progresso - ou melhor: falta de progresso e falta de perspectiva em quando vai ter tudo resolvido. Diga que você ainda está investigando e limpando o ambiente. Ouça que vai receber um orçamento muito maior para comprar novas soluções e corrigir o ambiente. Não diga a eles que é tarde demais, mas você acha sabe que é e engole seco.

Nota: Durante um ataque grave, os gestores adoram fazer um tour no Data Center para ver o pessoal trabalhando desesperadamente e botar um pouco mais de pressão na galera. Eles nunca colocam o pé lá, e daí descobrem como o ambiente está zoneado. e prometem investir mundos e fundos para corrigir todo o ambiente. Passado o ataque, nenhum investimento é feito, os gestores não voltam nunca mais no data center zoneado e tudo continua bagunçado como sempre foi.

Pense sobre suas ferramentas de proteções para tudo o que entra e sai da rede. Perceba que você seu Firewall parece mais um queijo suiço. Tome uma respiração profunda e diga a si mesmo que é bom que agora você está aprendendo. Perceba que você não têm de perímetro na rede e tudo entra e sai praticamente por todos os lugares.

Descubra que você está atrasado para a reunião com a gerência. Peça para adiar, porque você está no caminho certo. Rode o Wireshark e veja o que está acontecendo na sua rede. Tente achar algum sentido da confusão. Mas tudo é uma bagunça.

(...)

Uma manhã você começa a trabalhar e encontra seus servidores web atacados pelo novo exploit para buffer overflow que foi anunciado no início daquela semana. Verifique com o seu SOC e descubra que o seu WAF e o IPS deixaram o ataque passar. Ligue para o fornecedor para reclamar e ouça de volta que você configurou as ferramentas errado. Lembre-lhes que eles configuraram o ambiente. Eles negam. Fique com raiva. Vá falar com os gestores sobre trocar os fornecedores. Descubra que você ainda tem mais dois anos de contrato com o fornecedor. Descubra também, através de alguém em sua equipe, que o fornecedor é o primo do CEO. Coma chocolate para lidar com isso.

(...)

Acorde e sinta-se terrível. Você tem toda uma inteligência de segurança para lhe dizer o que as suas defesas de segurança não podem te proteger. Sinta-se como uma fraude por ter um diploma e ter diveersos certificados em segurança da informação, mas não sabe como realmente proteger nada."