Segurança: janeiro 2007 Archives

PGP Whole Disk Encryption

| | Comments (3)

Se você já foi roubado conhece a sensação de absoluta impotência diante da violência (especialmente em caso de assalto). Depois do ocorrido, intercalam-se sentimentos de alívio (por você estar bem) e de raiva. Mas o alívio pode ser momentâneo, no caso de o objeto de furto ter sido o seu notebook, algo relativamente comum (infelizmente) hoje em dia.

Em meu notebook, por exemplo, eu carrego fotos da família, documentos importantes, emails de trabalho e pessoais, contratos incluindo os de aluguel, de compra (casa, carro), etc e uma infinidade de coisas absolutamente sensíveis que poderiam ser utilizadas para me identificar com detalhes, incluindo a possibilidade de usar meus dados para praticar golpes e afins. No meu notebook estão inclusos até mesmo os dados de rotina, horários e afins, já que costumo trocar e-mails e IMs com a minha esposa ao longo do dia. Essa montanha de dados vale ouro (muito mais que o próprio notebook) tanto para o bandido que levou a sua máquina quanto o que vai recebê-la (sim, porque quem compra ou recepta notebooks roubados é bandido do mesmo jeito). Não que você tenha milhões na conta e tenha muito dinheiro. Não é esta a questão. Você pode ser um pé rapado como eu, mas certamente não vai conseguir dormir direito sabendo que coisas íntimas como fotos, documentos, contratos, extratos e outras coisas absolutamente pessoais podem estar nas mãos de bandidos, seja para a prática de golpes ou para simplesmente olhar para suas fotos e pensar: esse é o mané de teve o notebook roubado.

Para evitar isso você pode usar uma senha na BIOS do notebook e argumentar que sem conhecê-la ninguém poderia ligar o seu notebook. Ledo engano. Dar um Clear-CMOS num notebook é algo bastante simples. A senha de usuário do seu sistema operacional (seja ele Windows, Mac, Linux) tampouco poderia proteger os seus arquivos do escrutínio alheio mal intencionado. Tendo em mãos qualquer distro Linux com boot em CD, que pudesse “bypassar” o sistema de autenticação (qualquer que seja) ou mesmo qualquer um destes softwares de recuperação de dados, qualquer bandido relativamente bem instruído (e acredite, eles existem) teria acesso fácil aos seus arquivos.

A única solução real (e atual) para este problema (além da erradicação da violência, claro) é a criptografia. O problema é que normalmente os softwares de criptografia são sacais, tediosos e trabalhosos (mais ou menos como os de backup). Não são todos os usuários que tem saco de, por exemplo, criptografar arquivos, e-mails e fotos toda vez que estes são alterados ou gerados. Na verdade, já seria complicado (em termos de tempo) escolher o que deve e o que não deve ser criptografado dentro do seu notebook. Isso deveria ser feito sem pensar, sem se preocupar.

Criptografar o notebook inteiro pode ser a solução. Buscando exatamente isso, encontrei um software bastante interessante chamado PGP Whole Disk Encryption, da conhecidíssima PGP Corporation, que como o nome diz, criptografa o conteúdo de seu disco rígido por inteiro, tornando impossível acessá-lo inteiramente (ou em partes) sem conhecer a chave de criptografia (o software utiliza o algoritmo AES 256-bit, um dos mais usados por comprovada segurança). Por U$ 143,00 numa licença perpétua, decidi que valia a pena usá-lo, e me surpreendi com a qualidade do mesmo. Entre os pontos fortes está a criptografia em tempo real, sem distinção de arquivos pois o disco inteiro, literalmente, incluindo sistema operacional é criptografado. Há ainda a integração com o seu login no Windows para facilitar o processo de logon (importante: o software só suporta Windows e MacOS por enquanto) e desempenho excelente, sem interferir no uso normal do notebook (imperceptível), entre outros (confira a lista de features).

Se você preza pela sua segurança e privacidade (não se trata de paranóia, mas de mero bom senso e cuidado), não deixe para pensar nisso depois de ter o seu notebook roubado. Fica aí a dica deste excelente software, e que pelo que entrega e faz (e protege), não custa nada caro.

PGP Whole Disk Encryption

PHP: Pretty Hard to Protect?

| | Comments (0)

Um levantamento na base de dados do NIST (National Institute of Standards and Technology) mostrou que aplicações escritas em PHP detinham 43% das falhas de segurança de aplicações web em 2006. E a maior parte dessas falhas não eram do PHP em si, e sim de como os programadores - a maioria deles amadores, segundo o NIST - haviam escrito a aplicação. (fonte: SecurityFocus)

Para mim é um caso claro em que a facilidade de uso da linguagem (atrelada a sua produtividade) possibilita que até mesmo programadores inexperientes construam um aplicativo. Assim, pela inexperiência, cometem erros básicos, inclusive de segurança. O ColdFusion igualmente pode sofrer (mas felizmente não sofre) do mesmo mal. E isso é um questionamento tão comum que até está presente no CFFaq (Usando ColdFusion terei códigos ruins e mal escritos? De maneira alguma!).

A tecnologia ser segura por si só é apenas uma das pontas. Se o desenvolvedor não escrever código seguro, não adianta. É como eu digo em apresentações: a Volvo afirma que seu carro é o mais seguro do mundo, mas eles nunca dizem com quem dirigindo. Segurança não é apenas questão da tecnologia, e sim do uso. Fazer bom uso é que são elas. E isso vale para qualquer segmento: energia nuclear te lembra algo?

About this Archive

This page is a archive of entries in the Segurança category from janeiro 2007.

Segurança: novembro 2006 is the previous archive.

Find recent content on the main index or look in the archives to find all content.

Pages

Powered by Movable Type 4.1