Dicas de Segurança e Medidas Defensivas

Por Rafay Baloch

Neste artigo você irá aprender os passos necessários para se proteger de hackers e crackers.

Password Hacking

Advinhando a senha –

Para evitar que descubram a sua senha, fuja da tentação de usar uma senha óbvia como a sua data de nascimento, nome do seu pai etc.

Advinhando a resposta secreta –

Tenha uma resposta secreta complexa. Por exemplo, se a sua pergunta secreta é “Onde a sua mãe nasceu?” caso o hacker ou cracker possuam alguma informação sobre você, eles irão descobrir facilmente sua resposta secreta. É recomendado ter uma resposta secreta extremamente complicada.

Engenharia Social –

A engenharia social é difícil de ser evitada, mas há diversos métodos para evitá-la.

1. Jamais forneça sua senha ou qualquer informação pessoal a qualquer representante de uma empresa a não ser que você já tenha confirmado seguramente a identidade dele(a).

2. Funcionários de empresas como o Google, youtube, Hotmail e etc nunca irão pedir sua senha.

3. Nunca presuma que uma ligação que aparenta ter sido feita por uma organização seja verdadeira.

4. Se você tem dúvidas da veracidade de um e-mail, entre em contato com a empresa para confirmar a origem do e-mail.

Phishing –

Praticamente 80% das contas de e-mail são hackeadas por esse método, os passos listados abaixo lhe ajudarão a se previnir do phishing.

1. Para usuários do Internet Explorer é recomendado o uso do Phishing filter, que alertará toda vez que você se deparar com uma página de login falsa ou um Phisher site. Clique aqui para baixar um phishing filter.

2. O Secure login [recomendado para usuários do Firefox] ignora automaticamente as páginas falsas lhe protegendo assim de todos os tipos de Phishing Attacks.

3. Certifique-se que está em uma página segura conferindo se há “https” no início da URL e se o ícone do cadeado aparece no navegador.

4. Sites como paypal, Alertpay, Money Bookers irão sempre lhe chamar pelo seu nome ao invés de usar “Dear Paypal user”, “Dear Valued customer” ou outras coisas do genêro.

Aqui estão algumas frases que entregam que uma mensagem de e-mail na verdade se trata de phishing.

1. Verifique ou atualize sua conta.

2. Você ganhou na loteria.

3. Se você não responder ou atualizar as suas informações sua conta será encerrada em 24 horas.

Manipulação de Link –

Sempre confira a url da página antes de logar para evitar ser vítima desse golpe.

Por exemplo, se você vai se logar no facebook confira primeiro a url do site. A url de um golpista pode se parecer com www.facebok.com ou www.facebuk.com ou qualquer coisa nesse estilo. Como alternativa você pode usar o Phishing filter ou o Secure logging para se proteger do golpe da manipulação de link.

Desktop Phishing –

Para evitar ser vítima desse golpe é recomendado usar um programa chamado Macros. Pois como se sabe no Desktop Phishing os hackers substituem o Windows/System32/drivers/etc/hosts

O Macros protege os seus arquivos host, previnindo que você seja vítima do golpe do desktop phishing.

Tabnabbing –

O jeito mais fácil de evitar o tabnabbing é usar o secure login e o Phishing filter do firefox.

Keylogging –

Keylogging é fácil de evitar caso você tenha um bom anti-vírus instalado. No entanto hackers habilidosos usam métodos como Crypting, Hexing, Filepumping e etc para que os anti-vírus tenham dificuldade de detectá-lo. Assim sendo, o anti-vírus sozinho não te protejerá do keylogging, você precisará de um bom programa anti-spyware como o Spyware cease. Você pode usar também programas anti-logging como o Zemana antilogger. Para usuários do Firefox é recomendado o uso do Keyscrambler. Keyscrambler é um programa anti-logging único que criptografa o que é digitado antes de ser processado pelo sistema operacional, assim o hacker será incapaz de descobrir o que realmente foi digitado por você.

Password Cracking

Força Bruta and Rainbow tables –

Ataques de Força Bruta e Rainbow tables podem ser evitados com o uso de senhas longas e fortes. Uma senha robusta contém letras em caixa alta e baixa, números e caractéres especiais. No entanto há o site www.strongpasswordgenerator.com que gera automaticamente senhas robustas pra você.

Ataque de Dicionário –

Para evitar ataquede dicionário evite usar senhas que estejam contidas em dicionários como imortal, dinheiro, livro e etc.

Windows Hacking

Netbios Hacking -

Para manter o seu computador a salvo da invasão por Netbios certifique-se que o compartilhamento de arquivos e impressora estejam desativados. No windows vista o compartilhamento de arquivos e impressora vem desativado por pré-definição, mas no windows xp você precisa desabilitá-lo manualmente.

Siga as instruções abaixo para proteger o seu computador da invasão por Netbios:

1. Vá em Iniciar → Painel de Controle → Conexões de Internet

2. Dê um Clique Duplo na conexão ativa

3. Clique em Propriedades

4. Desmarque a opção “compartilhamento de arquivos e impressoras para redes.”

Wireless Hacking

ARP Poisoning Attack -

Arpon (Arp Handler Inspection) é um daemon manipulador portável com bons recursos para lidar com os ARP Poisoning atacks. Você também precisará de um bom firewall como o zonealarm e o commodo. Desses dois o commodo é a melhor opção porque funciona melhor contra ARP attacks. O ARP protection vem desabilitado por pré-definição no firewall do commodo, para habilitá-lo clique em Firewall na barra de cima e clique em Advanced Buttom no painel esquerdo. Vá em attack detection settings e selecione “Protect The Arp Cache.”

Packet Sniffing -

Para se resguardar do packet sniffing attack certifique-se que você utiliza Criptografia SSL. Se a Criptografia SSL estiver habilitada toda url começará com https:// ao invés de http://

Website Hacking

SQL Injection -

SQL Injection só é possível se os formulários do seu site aceitam caractéres especiais. Logo, o melhor jeito de se previnir desses ataques é desabilitar espaços e caractéres especiais.

Cross Site Scripting -

O Cross Site Scripting pode ser evitado com os seguintes passos:

1. Codifique a saída baseado nos parâmetros de entrada.

2. Filtre parâmetros de entrada para os caractéres especiais.

3. Filtre a saída baseado nos parâmetros de entrada para caractéres especiais.

Remote File Inclusion -

O Remote Inclusion attack pode ser evitado desabilitando register_globals e allow_url_open no arquivo php.ini do seu servidor.

Local File Inclusion -

Local File Inclusion attacks podem ser evitados com boas práticas de codificação e desabilitando o upload de qualquer script para o seu servidor.

DDOS Attacks -

Realmente é difícil evitar um ataque DDOS[*][**], gigantes da web como google, yahoo e twitter foram vítimas desses ataques. Recomenda-se procurar por serviços de empresas que possam ajudá-lo a lidar com esses ataques.

Malware e Rats

O jeito mais fácil de evitar ser infectado com malware é instalar um bom anti-vírus e um bom firewall. Em computadores de configuração baixa utilize anti-vírus como Avira ou AVG e para computadores de configuração alta use anti-vírus como Norton, Kaspersky ou Mcafee.

Início

Quais são as vulnerabilidades da criptografia, e como se previnir?

Se você usar uma trava de segurança ao invés de uma corrente para fechar a sua porta, você dificulta o acesso do ladrão a sua casa. Analogamente, há três níveis de segurança que softwares de criptografia fornecem. A maioria dos algorítmos de criptografia famosos que são considerados “bons” são matematicamente complexos o suficiente para serem difíceis de quebrar; pois de outro modo, eles não seriam utilizados amplamente. Ma até mesmo bons algorítimos são passíveis de serem quebrados se alguém for suficientemente persistente. Para maiores informações sobre a vulnerabilidade de algum algorítimo ou software em particular, pesquise na internet por análises de sua efetividade.

No geral as vulnerabilidades são:

Ataque de “Força Bruta”

“Força Bruta” é sinônimo de “tentativa e erro.” Com esse método, um “cracker”[1] tenta todas as chaves[2] possíveis até conseguir descobrir a correta. Nenhum software de criptografia é completamente seguro contra o método da força bruta, mas se o número possível de chaves for alto o suficiente, tornará o programa astronomicamente difícil de crackear usando força bruta. Por exemplo, uma chave de 56-bit tem 2⁵⁶ possibilidades de chave. Está em torno de 72,057,594,037,927,936 – setenta e dois quadrilhões – chaves que um cracker deve testar até achar a correta.

Dica: Quanto mais bits em uma chave, mas segura ela é, então escolha um software com o máximo de bits possível. Se tiver que escolher entre 56-bit ou 128-bit de criptografia, por exemplo, use a criptografia de 128-bit.

Resumindo, o ataque de força bruta pode ser desacelerado com o uso de uma criptografia robusta, (essencialmente, basta usar chaves longas) e algorítimos lentos. A criptografia segura e moderna é capaz de conter praticamente tudo com exceção de crackers fortemente financiados e com bastante tempo disponível para gastar. A criptografia torna o acesso a informação difícil o suficiente para que crackers maliciosos decidam procurar por um alvo mais fácil do que gastar tempo e dinheiro tentando quebrar uma criptografia robusta.

“Back Doors”

“Back door” é uma falha na segurança em uma parte do software. Um “back door” pode estar presente porque alguém criou um software de má-fé, ou por acidente. Independente do motivo, se um cracker malicioso descobrir uma falha em um programa, ele será capaz de descobrir sua chave ou senha.

Dica: Tenha certeza que o software de criptografia que você escolheu foi rigorosamente testado. Leia análises online, e considere a quanto tempo este software está no mercado. Visite o website do software periodicamente para conferir se há patches e atualizações, e instale-os.

Gerando boas chaves

Em qualquer tipo de software de criptografia, há um tipo de senha que deve ser criado para que o destinatário da informação possa acessá-la. Criar uma senha que “hackers” ou terceiros mal intencionados sejam incapazes de advinhar facilmente é tão importante quanto escolher um bom algorítimo ou um software de criptografia robusto.

Dica: Procure criar uma chave forte. Use uma variação de caractéres, incluindo caixa baixa e alta, números e símbolos (como espaços, dois pontos, aspas, cifrões, etc.). Uma senha boa tem que ter mais de 8 caractéres; quanto mais longa ela for, mais dificil para quebrá-la.

Se você está preocupado se conseguirá se lembrar de uma senha longa, relaxe. Até mesmo senhas longas feitas de tipos diferentes de caractéres podem ser facilmente lembradas. Ao invés de simplesmente usar o nome de sua filha, “Carolina,” por exemplo, use “C4r0l é: A #1 /\/0 mEu L1\/ro!!!”. (muitos programas para adivinhar senhas utilizam um banco de dados de palavras inglesas que advinham senhas por intermédio de várias combinações de letras, então é uma boa ideia usar senhas feitas de palavras de idiomas diferentes misturados. Perceba que no exemplo acima há números e símbolos intercalados por letras) É até melhor usar uma série de números, letras e símbolos aleatórios para que se torne ainda mais difícil de se advinhar.

Dica: Se esquecer sua senha, você será incapaz de descriptografar os dados que criptografou préviamente. Certifique-se de fazer uma cópia da sua senha e guardá-la em um lugar seguro, como em um disquete, pendrive, CD, DVD, ou em um HD externo. Você também pode copiar e colar sua senha em um novo documento, imprimir esse documento, arquivar a impressão em um lugar seguro, e deletar esse documento do seu computador.

[1] Cracker é alguém que tenta obter acesso não autorizado a um sistema de computador. Essas pessoas muitas vezes têm motivos maliciosos para invadir um sistema. (Por exemplo, furtar dados confidenciais, destruir ou apagar informações).

[2] A sequência específica de dados que é usado para criptografar e descriptografar mensagens, documentos e outros tipos de dados eletrônicos. Chaves têm diferentes níveis de força. Chaves com números mais elevados de bits são teoricamente mais difíceis de quebrar, porque há mais permutações possíveis de bits de dados. (Como os bits são binários, o número de permutações possíveis para uma chave de x bits é 2^x.) A especificidade do uso de uma chave depende da forma que ela criptografa informações (isto é, assimetricamente ou simetricamente).

Início