[Carreira] Carta de Oposição ao Sindpd 2018

Começa 2018 e, antes mesmo de esfriar a ceia de Natal, já temos que fazer a tradicional visita ao SINDPD :(

De 03 a 12 de Janeiro deste ano os profissionais de TI, sindicalizados ou não, devem se opor formalmente a Contribuição Assistencial do SINDPD/SP (Sindicato dos Trabalhadores em Processamento de Dados e Empregados de Empresas de Processamento de Dados do Estado de São Paulo), imposta aos trabalhadores associados a eles. Isso significa um desconto no salário de 1% (um por cento) ao mês, limitado a R$ 40 por mês.

Para evitar este desconto mensal, os profissionais de TI devem entregar, presencialmente, uma carta formal de oposição, que deve ser feita em 2 vias. No momento da entrega, o SINDPD fica com uma via e carimba a segunda (para protocolar o recebimento), que você deve entreguar no RH da sua empresa.

Minhas sugestões:

• A carta não precisa ser escrita de próprio punho. Ela pode ser impressa, mas, por via das dúvidas, deixe para assiná-la no momento da entrega;
• Vá o mais cedo possível no SINDPD, logo nos primeiros dias. No final do prazo as filas costumam ser enormes (eu já perdi algumas horas nessa fila, nos primeiros anos);
• Quem está viajando pode enviar a carta registrada pelos correios; 
• Quem está afastado (por exemplo, férias ou auxílio doença) tem um prazo de 10 dias contados a partir do retorno ao trabalho;
• Leve 2 cópias extras impressas da carta de oposição e pelo menos 2 folhas de papel em branco - vai que dá algum problema na hora H e você não vai querer perder a viagem, né?
• Eu recomendo escanear a carta protocolada e guardar essa cópia com você, antes de entregar a via original no RH da sua empresa;
• Não se esqueça de levar um documento com foto.

Eu coloquei um modelo da Carta de Oposição ao SINDPD para 2018 no Slideshare e no Dropbox (em Word editável).

Carta de oposição ao Sindpd 2018 from Anchises Moraes (versão editável aqui)

Não se esqueça:

• Prazo para entrega da carta: 03 a 12/01/18, de segunda a sábado, das 9h as 17h
• Local de entrega em São Paulo, Capital: Clube Atlético Juventus, na R. Comendador Roberto Ugolini, 152 (Mooca), CEP 03125-010, São Paulo, SP
• OBS: Nesse ano eles mudaram a entrada, agora é pela Rua Juventus (veja foto abaixo)

Mas a Reforma Trabalhista de 2017 não extinguiu a contribuição ao sindicato?

Mais ou menos! Segundo essa reportagem no portal Administradores, a única forma de recolhimento do sindicato que sofreu mudanças com a nova reforma trabalhista (Lei 13.467/2017) foi a contribuição sindical (também chamada de "imposto sindical"), que era aquele valor recolhido obrigatoriamente uma vez por ano e que correspondia ao desconto de um dia de trabalho. Agora, a partir de 2018, tornou-se optativo. Se o funcionário quiser optar por pagar, será necessário autorizar a cobrança na folha de pagamento.

Atualização em 14/01/2020: Na verdade, a redação da Reforma Trabalhista sobre a não obrigatoriedade do imposto sindical ficou meio confusa, o que permitiu que os sindicatos tenham tentado dar jeitinho para manter a cobrança. Isso havia sido corrigido na Medida Provisória 873/2019, que estipulava explicitamente a necessidade de "autorização prévia e voluntária do empregado" (nos artigos 578 e 579 da CLT), mas ela perdeu a validade em 28 de junho do ano passado. Com isso, voltou a valer o texto da Reforma Trabalhista de 2017, que apesar de acabar com a obrigatoriedade da contribuição sindical (aquela equivalente a um dia de trabalho descontada do salário no mês de março), o novo texto indicado pela lei não deixa claro quem deve fornecer a autorização prévia e expressa do desconto (por exemplo, o artigo 578 atualmente diz que "As contribuições devidas aos sindicatos (...) serão (...) pagas, recolhidas e aplicadas (...), desde que prévia e expressamente autorizadas."- e a frase acaba assim, sem indicar quem deve dar o consentimento). Por isso, sem a MP e com o texto atual da CLT, alguns sindicatos tem forçado uma interpretação do novo texto dado pela reforma trabalhista na qual o consentimento é dado pela assembléia, e não pelo empregado. Assim, eles arranjam uma brecha para manter a cobrança da contribuição sindical.

A contribuição confederativa, que é uma contribuição acordada em âmbito sindical e responsável pela manutenção dos sindicatos e outras entidades de classe, não foi alterada, após a reforma trabalhista. Ela é descontada em folha dos filiados à entidade, e seu valor depende do acordo coletivo ou convenção coletiva de trabalho, ficando também em torno de um dia de trabalho, cobrado geralmente no reajuste anual dado à categoria.

A contribuição assistencial, permitida por conta do artigo 513 da CLT, que é o tópico desse post, é estabelecida por acordo ou convenção coletiva de trabalho e não sofreu alterações na reforma trabalhista. Seu recolhimento continua válido e o valor, cobrado em folha, varia conforme os acordos trabalhistas. Mas essa cobrança é opcional e o trabalhador pode pedir o fim do desconto, apresentando uma carta de oposição ao sindicato.

Mini-FAQ:

• O que é a "Contribuição Assistencial"? Essa "Contribuição Assistencial" é um desconto mensal direto na folha de pagamento que é destinado ao SINDPD. O desconto é de 1% do salário do empregado, com valor máximo de R$ 40,00 por mês;
• Ainda é obrigatório contribuir com o sindicato? No caso da Contribui'ção Assistencial, sim, ela continua valendo!!! A contribuição sindical obrigatória, entretanto, passou a ser opcional depois da reforma trabalhista de 2017. Ela era aquela contribuição cobrada vez por ano, em Abril, no corresponde a 1 dia de trabalho. 
• Então a contribuição assistencial continua valendo? Sim, e se o trabalhador não se opor formalmente a sua cobrança, esse valor será descontado mensalmente;
• Todo trabalhador de TI deve entregar essa carta? Não, somente os trabalhadores que são filiados ao SINDPD. Verifique na sua Carteira de Trabalho ou com o RH da sua empresa qual é o sindicato que os empregados da empresa estão afiliados;
• Eu nunca me filiei a um sindicato. Devo me opor? Mesmo que você jamais tenha se afiliado a um sindicato, a empresa aonde você trabalha está, e ela escolhe um sindicato "default", no qual todos os empregados ficam associados. Ela faz isso para, entre outras coisas, pagar sua contribuição anual, exigida por lei - e isto consta na sua carteira de trabalho (CTPS);
• O que fazer se mudar de emprego durante o ano? Neste caso, você deve apresentar para o RH do novo empregador uma cópia da carta entregue no início do ano, na empresa anterior. Assim você evita ser descontado no novo emprego;
• Em caso de dúvidas, procure o RH de sua empresa.

Para saber mais:

• Veja a Notificação oficial para o exercício de 2018
• Modelo oficial da Carta de Oposição para 2018
• Página do Sindpd sobre a Reforma Trabalhista

OBS:

• Obrigado ao meu amigo Julio Carvalho por ter me avisado que o prazo já estava rolando.
• Post atualizado em 04/01 com algumas revisões no texto e no FAQ.
• Post atualizado em 07/01 com a foto da entrada pela R. Juventus e o link para o modelo da carta em word, no Dropbox
• Post atualizado em 14/01/2020 para incluir uma nota sobre a confusão existente sobre a não obrigatoriedade da contribuição sindical.

[Segurança] Princípios de segurança para carros inteligentes

Há alguns meses atrás o governo britânico divulgou uma série de diretrizes que visam incentivar as montadoras a priorizar a segurança cibernética dos carros, devido a crescente automatização deles. O guia, chamado de "Princípios fundamentais da segurança cibernética para veículos conectados e automáticos" ("The key principles of vehicle cyber security for connected and automated vehicles") (disponível em HTML e PDF), fornece um conjunto de diretrizes de segurança para todas as partes envolvidas na cadeia de produção de um veículo, divididos em oito princípios básicos.

Eu achei que o guia é bem objetivo e aborda as principais recomendações de segurança, de alto nível, para a indústria de veículos autônomos (CAV) e transporte inteligente (ITS). Por serem princípios que podem ser facilmente generalizados para qualquer outra indústria, eu acredito que esses princípios poderiam ser aplicáveis para qualquer fabricante de produtos relacionados a Internet das Coisas (IoT). Assim, decidi transcrever abaixo quais são os principais itens desses princípios de segurança indicados no guia.

Princípio 1 - A segurança organizacional é de propriedade, governada e promovida pela alta administração

1.1. Existe um programa de segurança alinhado com a missão e os objetivos mais amplos da organização.
1.2. A responsabilidade pessoal pela segurança dos produtos e dos sistemas (física, pessoal e ciber) é da alta administração, sendo delegada de forma adequada e clara para toda a organização.
1.3. A conscientização e o treinamento são implementados para incorporar uma "cultura de segurança" para garantir que os indivíduos compreendam seu papel e responsabilidade na segurança dos sistemas de veículos autônomos e transporte inteligente.
1.4. Todos os novos projetos abrangem a segurança por design. Os princípios de design seguro são seguidos no desenvolvimento de um sistema seguro e todos os aspectos da segurança (física, pessoal e ciber) são integrados no processo de desenvolvimento de produtos e serviços.

Princípio 2 - Os riscos de segurança são avaliados e gerenciados de forma adequada e proporcional, incluindo aqueles específicos da cadeia de suprimentos

2.1. As organizações devem exigir conhecimento e compreensão das ameaças atuais e relevantes e das práticas de engenharia para mitigá-las, dentro das suas atribuições de engenharia.
2.2. As organizações colaboram e se envolvem com terceiros que sejam apropriados para aumentar a conscientização de ameaças e um planejamento de resposta.
2.3. Os procedimentos de avaliação e gerenciamento de riscos de segurança devem estar em vigor dentro da organização. São desenvolvidos processos apropriados para identificação, categorização, priorização e tratamento de riscos de segurança, inclusive aqueles de ciber [segurança].
2.4. Os riscos de segurança específicos e/ou abrangendo as cadeias de suprimentos, subcontratados e prestadores de serviços são identificados e gerenciados através de práticas de design, especificação e contratação.

Princípio 3 - As organizações precisam de cuidados pós-atendimento e resposta a incidentes para garantir que os sistemas estejam seguros ao longo da vida

3.1. As organizações planejam como manter a segurança ao longo da vida de seus sistemas, incluindo quaisquer serviços de suporte pós-venda que sejam necessários.
3.2. Os planos de resposta a incidentes estão em vigor. As organizações planejam como responder ao potencial comprometimento de ativos críticos de segurança, ativos críticos não relacionados a segurança e falhas no sistema, e como retornar os sistemas afetados a um estado seguro.
3.3. Existe um programa ativo para identificar vulnerabilidades críticas e sistemas adequados para mitigá-los de forma adequada.
3.4. As organizações asseguram que seus sistemas sejam capazes de suportar a criação de dados forenses e a recuperação de dados forenses que sejam robustos e de identificação única. Isso pode ser usado para identificar a causa de qualquer incidente, ciber ou não.

Princípio 4 - Todas as organizações, incluindo subcontratados, fornecedores e potenciais terceiros, trabalham em conjunto para melhorar a segurança do sistema

4.1. As organizações, incluindo fornecedores e terceiros, devem ser capazes de fornecer garantia, tal como validação ou certificação independente, de seus processos e produtos de segurança (física, pessoal e ciber).
4.2. É possível verificar e validar a autenticidade e origem de todos os fornecedores dentro da cadeia de formecimento.
4.3. As organizações planejam em conjunto como os sistemas interagirão de forma segura com dispositivos externos, conexões (incluindo o ecossistema), serviços (incluindo manutenção), operações ou centros de controle. Isso pode incluir a adoção de padrões e requisitos de dados.
4.4. As organizações identificam e gerenciam dependências externas. Onde a precisão ou disponibilidade de dados sensores ou externos é fundamental para funções automatizadas, também devem ser utilizadas medições secundárias.

Princípio 5 - Os sistemas são projetados usando uma abordagem de defesa em profundidade

5.1. A segurança do sistema não depende de pontos únicos de falha, segurança por obscuridade ou qualquer coisa que não possa ser imediatamente alterada, caso seja comprometida.
5.2. A arquitetura de segurança aplica técnicas de defesa em profundidade e segmentaçãp, buscando mitigar riscos com controles complementares, tais como monitoramento, alerta, segregação, redução de superfícies de ataque (como portas Internet abertas), camadas/limites de confiança e outros protocolos de segurança.
5.3. Controles de design para mediar transações entre limites de confiança, devem estar aplicados em todo o sistema. Eles incluem o princípio do menor acesso, controles de dados unidirecionais, criptografia completa de disco e minimizando o armazenamento compartilhado de dados.
5.4. Os sistemas remotos e back-end que podem fornecer acesso a um sistema, incluindo servidores baseados em nuvem, possuem níveis adequados de proteção e monitoramento aplicados para impedir o acesso não autorizado.

Princípio 6 - A segurança de todo o software é gerenciada ao longo de sua vida útil

6.1. As organizações adotam práticas de programação segura para gerenciar proporcionalmente riscos de vulnerabilidades conhecidas e desconhecidas em software, incluindo as bibliotecas de códigos existentes. Deve haver sistemas de gerenciamento, auditoria e teste de código.
6.2. Deve ser possível verificar o status de todos os softwares, firmware e suas configurações, incluindo a versão, a revisão e os dados de configuração de todos os componentes do software.
6.3. É possível atualizar o software de forma segura e devolvê-lo a um bom estado conhecido se ficar corrompido.
6.4. O software adota práticas abertas de design e revisão de código por pares é usado sempre que possível. O código-fonte pode ser compartilhado quando apropriado.

Princípio 7 - O armazenamento e a transmissão de dados são seguros e podem ser controlados

7.1. Os dados devem ser suficientemente seguros (confidencialidade e integridade) quando armazenados e transmitidos, de modo que somente o destinatário ou as funções do sistema possam receber e/ou acessá-lo. As comunicações recebidas são tratadas como não seguras até serem validadas.
7.2. Os dados pessoais identificáveis ​​devem ser gerenciados adequadamente.
Isso inclui:

• O que é armazenado (tanto dentro como fora do sistema ITS / CAV)
• O que é transmitido
• Como é usado
• O controle que o proprietário dos dados tem sobre esses processos

Sempre que possível, os dados que são enviados para outros sistemas são sanitizados.
7.3. Os usuários podem ser capazes de excluir dados confidenciais mantidos em sistemas e em sistemas conectados.

Princípio 8 - O sistema foi projetado para ser resiliente aos ataques e responder adequadamente quando suas defesas ou sensores falharem

8.1. O sistema deve ser capaz de receber dados ou comandos corrompidos, inválidos ou maliciosos através de suas interfaces externas e internas enquanto permanece disponível para o uso primário. Isso inclui o bloqueio ou falsificação da comunicação dos sensores.
8.2. Os sistemas são resistentes e a prova de falhas se as funções críticas de segurança estiverem comprometidas ou deixarem de funcionar. O mecanismo é proporcional ao risco. Os sistemas são capazes de responder adequadamente se as funções críticas que não sejam de segurança falham.

A principal dificuldade, na tradução acima, é que a segurança de sistemas embarcados envolve os conceitos de "safety" e "security", que são conceitos parecidos, mas diferentes, mas que no Português tem uma única tradução, "segurança". Em um sistema industrial ou sistema embarcado, "safety" normalmente se aplica a capacidade de um sistema atuar de forma segura, sem erros.

Para saber mais:

• Página dos projetos de segurança para carros inteligentes
• Documento detalhado "The Key Principles of Cyber Security for Connected and Automated Vehicles" (em PDF)
• Versão web dos princípios de segurança para carros conectados
• Versão em PDF

[Cyber Cultura] IoT e o futuro das seguradoras de carro

Recentemente eu vi um vídeo que mostra de forma bem divertida como as empresas de seguro poderiam usar a tecnologia para auxiliar seus clientes para automatizar e agilizar o atendimento de sinistros.

Tudo o que o vídeo mostra já poderia ser feito hoje, pois já existe tecnologia para isso.

[Segurança] Tendências para 2018

Fim de ano é tempo de pensarmos em o que aconteceu nesse ano e o que nos espera no futuro próximo.

Algumas tendências são óbvias e vão refletir naturalmente os acontecimentos dos últimos anos: crescimento do ciber crime e dos investimentos em segurança, constante risco de vazamento de dados e novos ataques em IoT, a plataforma da modinha. Nem mesmo as novas iniciativas de criar padrões de proteção para novas tecnologias em IoT serão capazes de frear a constante descoberta de vulnerabilidades nessa área.

Pensando em tendências que realmente vão fazer diferença em nosso mercado de segurança, eu acredito que algumas coisas vão balizar as principais tendências para o ano que vem:

• A indústria de segurança vai continuar investindo pesado em Machile Learning e em segurança para dispositivos IoT. É interessante notar que o assunto "machine learning" esteve presente em 3 dos 10 cursos mais populares do Coursera em 2017;
• Vai começar a ter um fortalecimento gradativo da segurança do e-commerce, com a adoção lenta e gradual do padrão 3DS 2.0, o que vai dificultar um pouco as compras fraudulentas com cartões de crédito roubados;
• Ainda do ponto de vista regulatório, as empresas europeias estão se preparando para a entrada em vigor do "General Data Protection Regulation" (GDPR) a partir de 25 de Maio de 2018. Esta é uma regulamentação importante sobre proteção de dados e privacidade, que vai influenciar as empresas européias e pode servir de inspiração para aumentar o debate sobre privacidade online e motivar que outros países criem leis semelhantes;
• Assim como ocorreu com a pobre coitada da Kaspersky em 2017, provavelmente veremos em 2018 vários governos oficialmente banindo o uso de tecnologias de segurança de outros países para instituições governamentais. Isso se deve principalmente a crescente sofisticação das capacidades de ciber espionagem de vários países;
• No Brasil, está começando a surgir a discussão sobre seguro contra ciber ataques, algo que já existe nos EUA há muitos anos;
• A notícia do grande vazamento de dados da Netshoes vai impactar o mercado nacional: as nossas empresas vão ficar cada vez mais preocupadas em esconder seus problemas de segurança do público e da mídia, já que não existe nenhuma obrigação legal delas notificarem esses incidentes. O caso da Mastercard é outro exemplo de que as empresas nacionais também podem sofrer vazamentos de dados. Enquanto isso, a população vai começar a perceber mais fortemente que seus dados online podem ser vazados, e a sociedade vai começar a cobrar mais controle e segurança sobre os cadastros online, a guarda e a responsabilidade sobre esses dados. Com isso, os projetos de lei referente a proteção de dados pessoais sofrerão maior pressão para serem aprovados;
• Ainda no Brasil, veremos muitos problemas e discussões sobre as notícias falsas disseminadas em redes sociais. Esse é um problema que já acontece muito hoje em dia, mas vai ficar muito pior para nós durante a campanha para as eleições presidenciais;
• A Rússia é um celeiro do ciber crime, ao mesmo tempo em que as autoridades russas tem fama de serem boazinhas com ciber crimonosos e ciber espiões que atacam os países capitalistas. Vai ser interessante ver o quanto o ciber crime russo vai se aproveitar do campeonato mundial e futebol da FIFA para praticar golpes online - ou não. Será que os russos vão manter os ciber criminosos sob controle, para evitar prejudicar a imagem da competição? #justasking

Infelizmente há várias previsões divulgada por fabricantes e pela imprensa que eu considero "furadas", por simplesmente repetir discurso de marketing e FUD do mercado, sem considerar alguma inovação ou mudança efetiva. Esses casos me lembram quando, nos anos 80 e 90, era comum irem futurólogos no programa do Fantástico fazer previsões triviais, como de que a inflação ia aumentar (sempre crescia!) e que algum famoso iria morrer no ano seguinte.

Por isso mesmo, eu quis destacar aqui no meu post as previsões que fogem da obviedade e que não representem fatos que já acontecem hoje em dia.

Algumas leituras interessantes:

• Cinco ameaças devem dominar o cenário de cibersegurança em 2018 - reportagem que cita 5 "tendências" que são coisas óbvias e sem nenhuma novidade com relação aos anos anteriores. Vale ler como exemplo de previsão furada, que não agrega nada;
• O pessoal da Cipher que me perdoe, mas das "Cinco previsões de cibersegurança para 2018" que eles apresentaram, 4 são óbvias e já acontecem hoje (ciber crime como serviço já existe há vários anos, vulnerabilidades em IoT já fazem parte do dia-a-dia, uso de SIEM já é arroz-com-feijão, preocupação com privacidade já acontece, mas pelo menos acertaram em mencionar a GDPR) e uma é, evidentemente, puxando sardinha para o lado deles (a necessidade de recorrer a terceirização de operações de segurança, em função da falta de mão de obra qualificada no mercado);
• O Gartner prevê que os investimentos globais em segurança vão aumentar 8% em 2018, atingindo a cifra de US$ 96 bilhões de dólares;
• Dez tendências tecnológicas estratégicas para 2018, segundo o Gartner - para refletir. 3 dessas tendências estão relacionadas a IoT e duas a IA;
• What’s in store for security in 2018?
• Top 5 cybersecurity facts, figures and statistics for 2017 - apesar do título, o artigo fala principalmente sobre estatísticas e tendências para os próximos anos;
• 8 IoT security trends to look out for in 2018.

Atualização (04/01/18): O artigo 10 Cybersecurity Trends: What to Expect in 2018 contém uma lista com 10 tendênias/previsões bem óbvias, mas que retratam muito bem o cenário atual. Vale uma lida bem rápida no artigo.

OBS: Post atualizado em 13/03/18 para incluir a charge sobre o que devemos focar neste ano.

[Carreira] Expressões regulares

Expressão regular (também chamado de "regex", uma abreviação do inglês "regular expression") é uma forma concisa e flexível de representar conjuntos específicos de caracteres de forma a identificá-los dentro de um conjunto maior, como quando procuramos por palavras específicas ou padrões de caracteres em um bloco de texto.

As expressões regulares são escritas numa linguagem formal para identificar os blocos de texto que coincidem com a especificação dada.

O exemplo mais simples e arcaico de uma expressão regular é o uso do asterisco (*) e da interrogação (?) na linha de comando do windows ou Linux, aonde o asterisco representa qualquer conjuto de caracteres e a interrogação representa um caractere qualquer (como quando, por exemplo, você busca por todos os arquivos com final .doc fazendo um "dir *.doc"). Hoje as expressões regulares são aceitas em uma grande quantidade de linguagens de programação e ferramentas, como Perl, Python, Ruby, Java, PHP, e MySQL.

Recentemente eu encontrei um artigo com 8 expressões regulares referente a informações capturadas em web sites que todo mundo deveria saber. Elas são bem interessantes e mostram o poder das expressões regulares, por isso eu resolvi destacar aqui 5 delas:

• Para identificar um username:  /^[a-z0-9_-]{3,16}$/
  
  
• Para uma senha com 6 a 18 caracteres: /^[a-z0-9_-]{6,18}$/
  
  
• Para identificar um e-mail:  /^([a-z0-9_\.-]+)@([\da-z\.-]+)\.([a-z\.]{2,6})$/
  
  
• Para uma URL: /^(https?:\/\/)?([\da-z\.-]+)\.([a-z\.]{2,6})([\/\w \.-]*)*\/?$/
  
  
• Para um endereço IP:
  /^(?:(?:25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)\.){3}(?:25[0-5]|2[0-4][0-9]|[01]?[0-9][0-9]?)$/
  
  

O site Regexpal dá outra dica para identificar endereços IPv4:

^([0-9]{1,3}\.){3}[0-9]{1,3}(\/([0-9]|[1-2][0-9]|3[0-2]))?$

Além das expressões acima, outra que pode ser bastante utilizada no dia-a-dia é para identificar nomes de pessoas. Sem considerar caracteres acentuados, uma exressão simples sugerida pelo site Regexpal é:

^[a-zA-Z]+(([',. -][a-zA-Z ])?[a-zA-Z]*)*$

Eu, recentemente, me baseei nesse para criar um Regex bem mais simples, aonde o "\s" permite identificar nomes compostos:

[A-Za-z\s]+

Há vários sites que ajudam a criar e testar expressões regulares, basta uma busca rápida no Google. Três sites muito bons são o regexr.com e o regexpal.com, e o regex101.com. Neles é possível colar o texto aonde você quer achar um determinado padrão e testar sua expressão regular, na medida que a escreve. ambos os sites também tem algumas referências e exemplos.

A O'Reilly tem dois livros sobre o assunto:

• Introducing Regular Expressions
• Mastering Regular Expressions

Para saber mais:

• regexr.com
• regexpal.com
• regex101.com
• Ótimo artigo: "An introduction to regular expressions"

[Humor] Um Natal nerd

Resolvi fazer uma pequena coletânea das principais charges com temática nerd que eu recebi neste Natal.

Que tal começar com essa tirinha do XKCD? (veja aqui a original) Como dizem os gringos, "old but gold"...

E como seria se o nascimento de Jesus acontecesse nos dias de hoje?

Ou se fosse uma menina?

Duas versões da mesma charge com o mestre Yoda:

E as versões nerd do Natal?

E o pessoal da Flipside misturou o Papai Noel com a F-Society...

Mais algumas engraçadas...

Para acabar, desejo a todos...

Boas Festas !!!

Para todos nós esta é uma época de celebração e renovação. Independente da religião de cada um, todos nós nos juntamos em torno de um grande sentimento de confraternização.

Neste ano eu recebi uma mensagem de um colega do trabalho que me fez pensar. Ela começava com a frase abaixo:

"As the year wanes and the many different celebrations of the season begin around the world, one element continues to connect us all... It is an element as old as time and one that we use every single day as we fight for, and defend, the digital universe… Light!"

Ou seja, há um elemento comum a todas as celebrações que vivenciamos nessa época: a luz. A luz representa alegria, amor, vida, renascimento, energia, etc. Também representa a presença divina (ou espiritual, se você preferir assim). Junte a isso o aspecto prático, de iluminar as noites no período do ano em que ela é mais longa, na época do Solstício de Inverno no hemisfério Norte. Assim, surgiu a tradição de iluminarmos a noite de Natal, e hoje decorarmos nossas casas e cidades com um mar de luzes.

O oposto da luz é a escuridão. A escuridão também representa o mal que nos cerca, nos persegue, e que está presente no mundo real e no ciber espaço. Nós, que trabalhamos na área de segurança da informação, somos responsáveis por combater esse mal que está prestes a causar dano para qualquer usuário desavisado na Internet. Quantas pessoas não tiveram suas economias roubadas no piscar de um led de seu modem, ou sua vida pessoal devastada com suas fotos íntimas expostas? Não podemos nos calar frente as ameaças e nós, que temos o conhecimento técnico na área, temos que ajudar os usuários menos capacitados a se conectarem com segurança.

Quantas vezes você não se pegou conversando com seus amigos sobre como esse mundo está ficando chato, poluído, cercado de corrupção? Eu perdi a conta.

Cada um de nös tem que ser aquela pequena fagulha de luz que ajuda a iluminar a noite. Temos que ser parte da mudança para o mundo melhor que desejamos. Afinal, a luz consegue expulsar a escuridão, mas a escuridão não consegue apagar a luz.

Boas festas a todos, e um feliz 2018.

OBS: Post atualizado um pouco depois de publicado, para adicionar as imagens do presépio e da nossa "Árvore de Natal".

[Seguranca] Quanto vale o seu cartão de crédito?

A RSA fez um infográfico mostrando como o preço médio de um cartão de crédito comercializado no underground pode variar de país para país.

Estes são os valores médios que os ciber criminosos pagam por dados de cartões roubados. Na verdade a variação é bem grande, e o preço de um cartão de crédito varia de acordo com o tipo de cartão, da bandeira, do país de localização, e as vezes até do limite que o cartão tem.

O infográfico acima é interessante para mostrar como esses valores podem variar dependendo do país, desde US$ 6,05 nos EUA até US$ 13,90 na Nova Zelândia.

[Segurança] Dicas para um bom pentester

O pessoal do SANS Institute acabou de lançar um poster bem legal, que apresenta as principais dicas para ser um bom pentester.

Batizado de "Building a Better Pen Tester", o poster que está disponível em PDF traz dicas de como trabalhar em cada uma das fazes do teste de invasão: planejamento ("pre-engagement"), varredura ("reconnaissance"), análise de vulnerabilidades, ataques contra senhas ("password attacks"), invasão ("exploitation"), pós invasão ("post-exploitation"), e criação do relatório ("reporting").

O poster também traz dicas de comandos a serem executados nessas fases e, no verso, tem uma lista de principais comandos para algumas ferramentas: nmap, powershell, scapy e metasploit.

[Segurança] Retrospectiva 2017 (com memes)

Fim de ano é época de assistirmos o show do Roberto Carlos e recapitularmos quais foram as coisas mais relevantes que nos aconteceram nessa nossa última volta ao redor do Sol.

É comum assistir as retrospectivas em vários canais de televisão, e no nosso mercdo, alguns fabricantes também publicam um resumo do ano. Mas ninguém faz uma retrospectiva... com memes!!!

Este ano foi bem intenso para quem trabalha na área de segurança, com várias vulnerabilidades sérias surgindo, novos ataques globais e vazamentos de dados constantes, atingindo diversas empresas. Na minha opinião, os eventos que mais marcaram o mercado de segurança em 2017 foram os seguintes:

• Um dos principais destaques do ano foi o ataque do ransomworm WannaCry, que foi uma infestação global como não víamos há cerca de 10 anos. Junto com o Petya, eles serviram para fazer o Brasil despertar para o velho problema dos ransomwares;

• Continuamos com a tendência de grandes vazamentos de dados. Acredito que os destaques desse ano, entre tantos, vão para o Yahoo!, que divulgou que os dados de 3 bilhões de clientes foram acessados, a Equifax que deu frio na espinha de 143 milhões de americanos, e até mesmo o Uber anunciou no final do ano que em 2016 foi vítima de um roubo de dados de 57 milhões de usuários em 2016;
• Descobriram que a CSO da Equifax era formada em Música! Isso gerou muita crítica, provavelmente vinda inclusive do pessoal que defende que não precisa de diploma para trabalhar na nossa área!
• A HBO viveu um incidente aonde um grupo invadiu sua rede e chantageou a empresa com a ameaça de divulgar episódios da série Game of Thrones antes deles irem para o ar;
• No Brasil, a Netshoes foi destaque no final do ano, com uma base gigantesca de clientes vazada na Internet!

• Presenciamos uma onda de novos ataques e vulnerabilidades em protocolos e ferramentas de criptografia. O ataque eu considero o mais grave de todos, contra o WPA2, foi rapidamente esquecido;

• A Kaspersky foi pega de bode espiatório: acusada de ajudar o governo russo de roubar informações da NSA, ela está vendo suas vendas sendo restingidas para órgãos de governo nos EUA e na Europa;
• O Bitcoin foi a notícia do ano! Quanto mais seu preço sobre, mais se especula quando a bolha vai estourar!

• Nunca antes a segurança do voto eletrônico foi tão discutido! Tivemos escândalos da Rússia manipulando a eleição nos EUA e na Europa, uma atividade bem sucedida na Defcon de "Voting Machine Hacking Village", aonde os pesquisadores invadiram modelos reais de urnas eletrônicas em cerca de 90 minutos, e até no Brasil, no final do ano, os testes públicos e controlados da nossa "urna impenetrável" encontráram vários problemas de segurança;

• Os ciber criminosos brasileiros marcaram 2017 com uma grande onda de golpes enviados por SMS e Whatsapp, aproveitando que os usuários podem ser mais descuidados quando navegam em seus Smartphones. Vimos muitas mensagens de phishing sendo enviadas por SMS, para os clientes caírem em páginas que pedem suas informações bancárias, elém de mensagens trocadadas via redes sociais com falsas promoções;

• Muito se falou no Brasil sobre a Baleia Azul e notícias falsas disseminadas em redes sociais;
• Na comunidade de segurança, um pesquisador rapidamente foi do Olimpo para a cadeia: o Malwaretech, que ficou famoso ao descobrir acidentalmente uma URL que servia de "kill switch" para o WannaCry, foi preso pelo FBI ao ir para os EUA participar da Defcon, acusado de desenvolver malware bancário;

• Uma celebridade da área teve um ano ruim: poucos dias antes de vir ao Brasil palestrar no Roadsec, torna-se público que o Capitão Crunch tem o hábito de convidar garotos em eventos de segurança para fazer uma "massagem energizante";

• A comunidade brasileira assiste a "mãe de todas as tretas", uma discussão online sobre quem foram os fundadores da H2HC, o que gerou várias piadas e memes;

• Nos eventos brasileiros, tivemos a felicidade de ver um maior destaque para o público jovem e para as mulheres: duas garotas foram finalistas de etapas regionais do HackaFlag e o Jonatas Fil, de 16 anos, foi o vencedor da etapa em São Paulo. Também tivemos jovens de 18 anos ou menos palestrando em alguns eventos!
• Por falar em jovens, o Chkrootkit fez 20 anos!!!

• Parabéns ao Fernando Mercês! Seu canal Papo Binário passou de 1.000 inscritos no início do ano para mais de 7 mil, um aumento quase tão grande quanto o Bitcoin! E ainda fez uma campanha para arrecadar doações de sucesso!

• A imprensa Brasileira deu muito destaque a segurança da informação (ou muitas vezes, aos "ataques dos hackers"), infelizmente. Assistimos a Ana Maria Braga discutindo o assunto e especialistas na área dando dicas furadas.

Talvez eu tenha esquecido alguns acontecimentos importantes, por isso fique a vontade para comentar esse post!

OBS: Pequena atualização no texto do post em 19/01.