PDF malicioso


Uma falha de segurança no PDF (Portable Document Format) permite a execução de arquivos maliciosos. Por enquanto a Adobe (criadora do padrão e referência em softwares para leitura e criação de PDFs) ainda não disponibilizou uma atualização que proteja os usuários desta vulnerabilidade. Foi criado apenas uma forma de detectar que o arquivo PDF é uma ameaça e exibir um aviso para o usuário informando da tentativa de execução do um arquivo malicioso.

Mas o especialista em segurança Didier Stevens mostrou em seu blog como utilizar de engenharia social para enganar o usuário final. Ele manipula a mensagem exibida pelo Adobe Reader para que o usuário acredite que a melhor opção seja permitir que o aplicativo seja executado. Como pode ser visto no seu blog no endereço http://blog.didierstevens.com/2010/03/29/escape-from-pdf/. Após este artigo a Foxit também desenvolveu o alerta para a detecção de malware.

Diante disso, no blog da Adobe foi divulgado como se proteger desta ameaça, como um paliativo, de uma forma bem simples. No menu Editar clique em Preferências, aparecerá a janela mostrada abaixo:


Clique em Gerenciador de Confiança e desmarque a opção "Permitir abertura de anexos de arquivos não-PDF com aplicativos externos".

Para administradores de rede a Adobe sugere a criação de uma chave de registro, no Windows, para fazer com que esta opção seja definida como desabilitada:

HKEY_CURRENT_USER\Software\Adobe\Acrobat Reader\9.0\Originals

Name: bAllowOpenFile
Type: REG_DWORD
Data: 0

E esta outra para desabilitar a opção Preferências para que o usuário não tenha acesso às configurações de segurança:

HKEY_CURRENT_USER\Software\Adobe\Acrobat Reader\9.0\Originals

Name: bSecureOpenFile
Type: REG_DWORD
Data: 1

Um abraço!!

Arquivo INFO.

A revista INFO acaba de disponibilizar 6 anos de edições de revistas gratuitamente em seu site. Os leitores podem acessar integralmente as edições a partir de 2003.


Boa Leitura!!

Abraço a todos.

LinkedIn em Portugues

LinkeIn, maior rede de relacionamento profissional lançou a versão em portugues de seu site. Vale a pena conferir. LinkedIn.

Abraço a todos.

Personas for Firefox | Beagle Network - I


Há algum tempo a Mozilla criou os personas, que são temas para personalizar o Firefox. O mais legal disso é que qualquer um pode criar o seu próprio tema de uma maneira muito fácil. Basta seguir o passo a passo criado pelo pessoal do Firefox.

Dêem uma conferida também no persona do Beagle Network que criamos clicando no link abaixo. Ficou bem simples mas acredito que ficou usável rs.

Criptografia [3]: PGP - Pretty Good Privacy (Privacidade Muito Boa)

Olá!

Apresentaremos aqui aspectos básicos do PGP.

HISTÓRICO

Em 1991 o americano Phillip Zimmermman previu o crescimento dos computadores , bem como o incremento no seu uso para troca de mensagens. Preocupado com possíveis violações aos direitos de privacidade desses usuários, Phill desenvolveu o PGP, um sistema de encriptação híbrido.

Logo o programa espalhou-se pela internet e como a exportação de softwares criptográficos sem autorização do governo é vetada pela lei americana, Zimmermman foi investigado durante 3 anos. Provou-se ao final do processo que uma terceira pessoa não identificada fora a responsável pela distribuição indevida do programa e Zimmermman foi inocentado.

O programa passou a ser legalmente distribuído através de livros publicados com as novas versões de seu código-fonte, já que a legislação americana não considera o código impresso como um programa. (Nesse caso, temos aí uma boa utilização das brechas da lei =P)

Zimmmermmann fundou a PGP Inc. e em 1996 passou a comercializar o programa. Posteriormente a companhia foi comprada pela McAfee que perdeu o interesse pelo software e o repassou a uma nova empresa.

Pode-se encontrar uma versão livre para implementação chamada GPG (GNU Privacy Guard), baseado no OpenPGP (RFC4880).

COMO FUNCIONA

Como um método híbrido de encriptação, o PGP combina desempenho e segurança na transmissão de dados.

O primeiro passo é a compressão de dados. Isso agiliza a transmissão e aumenta a segurança da cifra, já que dificulta a identificação de um padrão encontrado nas mensagens originais que pode facilitar a quebra da cifra.

No segundo passo do processo é criada o que chamamos de chave de sessão, que é gerada uma única vez. A session key corresponde à criptografia com chave privada e é composta por um número aleatório.

Temos então uma espécie de mensagem encriptada em 1ª versão. Essa versão inicial será agora encriptada com a chave pública do destinatário da mensagem, e levará em seu conteúdo a session key criada anteriormente.

No processo de desencriptação o destinatário da mensagem utiliza a sua chave privada para acessar os dados encriptados na geração da session key do remetente. A session key é então utilizada para recuperar a mensagem original.

A repetição de alguns termos pode parecer confusa mas uma leitura com mais calma facilita a visualização do processo.

Próximos assuntos: assinatura digital, certificação digital e hash

Abçs =)

Criptografia [2] : Chaves Simétricas e Assimétricas

Olá!

Continuando o assunto Criptografia iniciado aqui, vamos conhecer um pouco sobre Chaves Simétricas e Assimétricas.

As chaves simétricas

A criptografia simétrica é computacionalmente menos custosa e mais rápida e, portanto, é mais indicada para grandes quantidades de dados.

Isto se deve ao fato de que aos algoritmos para esse tipo de criptografia são mais simples, visto que apenas uma chave é utilizada para criptografar e descriptografar os dados.

Essa agilidade leva a um problema de gerenciamento de segurança porque todas as partes envolvidas no processo precisam conhecer a chave de criptografia, que é a mesma para crip/descrip. E no tocante ao gerenciamento de chaves criptográficas, o processo inclui a geração, a distribuição, o backup, a nova geração e o ciclo vital da chave. E é nesse ponto de distribuição que pode ocorrer o incidente, já que todas as pessoas que necessitam dos dados requisitam o acesso à chave.

Esse tipo de criptografia fornece permissão para dados criptografados. A segurança no tocante ao acesso devido à chave é razoável. Porém, a criptografia simétrica não oferece não-repúdio. Qualquer pessoa pode enviar uma mensagem se passando pelo dono da chave.

Os algoritmos utilizados incluem RC2(128bits), 3DES(Padrão triplo de criptografia de dados) e AES(Padrão de criptografia avançada).

As chaves assimétricas

Em uma comunicação 1/1 a chave simétrica cai como uma luva. Mas como ficaria em uma comunicação 1/N (1 para vários) ?

Os dados enviados poderiam ser descriptogrados por qualquer pessoa que tivesse acesso à chave, mesmo que não fosse o destinatário original, ou ainda qualquer um poderia enviar mensagens como sendo o dono da chave.

A chave assimétrica resolve esse tipo de problema porque são utilizadas duas chaves distintas: uma para criptografar e outra para descriptografar. Uma é a chave pública, que é distribuída para todos, a outra é a chave privada, que deve permanecer em sigilo.

Ao enviar uma mensagem, utiliza-se a chave pública do destinatário para criptografá-la com um algoritmo de chave assimétrica. Essa mensagem só pode será descriptografada com a chave privada do destinatário, o que garante que o seu conteúdo seja acessado apenas detentor da chave.

A criptografia assimétrica assegura, assim, a confidencialidade das mensagens.

Se pensarmos um pouco mais, chegaremos à conclusão que outros quesitos relacionados à segurança não podem ser atendidos apenas com esse tipo de criptografia. A confirmação da origem real da mensagem bem como a integridade dos dados transmitidos, são aspectos importantes do gerenciamento de segurança não contemplados durante esses processos de crip/descrip. Soluções para esses casos serão abordadas futuramente.

Abçs =)

Os nomes das grandes companhias

Olá!

Tem que escolher um nome pra sua empresa de tecnologia mas a dúvida está te consumindo?

Vamos aprender com os grandes! =P





Bill Hewlett e Dave Packard decidiram no cara-ou-coroa como a empresa que fundaram seria conhecida: Hewlett-Packard ou Packard-Hewlett.


Jonathan Swift, autor de Viagens de Gulliver, é o criador desse termo. Na estória de Gulliver o termo é utilizado referindo-se à pessoas tão desagradáveis e repulsivas que mal pareciam humanas.

Jerry Yang e David Filo, fundadores do Yahoo!, escolheram esse nome por considerarem-se os próprios, como Yahoos.



Até a criação da Xerox as cópias eram, em sua maioria, úmidas. Utilizando a raiz grega ‘xer’, que significa seco, o inventor Cheston Carlson batizou seu invento que apresentava cópias secas, obviamente.



A Sun foi fundada por quatro amigos da Universidade de Stanford. É a sigla para Stanford University Network.



Origem latina na palavra ‘sonus’, que significa som, e uma gíria que os americanos utilizam referindo-se a um jovem brilhante.






"Systems, Applications, Products in Data Processing", formada por quatro ex-funcionários da IBM que trabalhavam no grupo de Sistemas/Aplicações/Projetos da IBM.



O avô do Marc Ewing, fundador da companhia, deu de presente ao neto um boné do time de lacrosse(?) da Universidade de Cornell. Marc perdeu o boné e procurou desesperadamente. O manual da versão beta do Linux Red Hat saiu com um apelo aos leitores para que, caso encontrassem o presentinho, o devolvessem.
Larry Ellison e Bob Oats estavam trabalhando em um projeto de consultoria para a Agência Central de Inteligência (CIA). O codinome para o projeto era Oracle (a CIA via o projeto como um sistema que daria respostas a todas as peruntas).



Pois o senhor Paul Galvin, fundador da companhia, apareceu com esse nome quando começou a fabricar rádios para automóveis. A empresa de rádios mais popular da época chamava-se Victrola.




Software para microcomputadores = Micro-Soft. Idéia do tio Bill. Mais tarde o nome perdeu o hífen.



O dono da empresa, senhor Mitch Kapor foi professor de meditação transcendental de Maharishi Mahesh Yogi, batizando seu empreendimento com o nome da posição de lótus ou padmasana.

Uma cadeia de hotéis havia registrado o nome Moore Noyce e isso frustrou os planos inicias dos senhores Bob Noyce e Gordon Moore. Apelaram então para o acrônimo de Integrated Eletronics. (Cá pra nós, INTEL soa infinitamente melhor)




O fundador Jack Smith teve a idéia de acessar e-mails via web de um computador em qualquer lugar do mundo. Quando Sabeer Bhatia apresentou o projeto para o correio eletrônico, tentou todos os nomes terminados em 'mail' e finalmente optou por HoTMaiL, que incluía as letras HTML -liguagem utilizada para se escrever páginas web. Inicialmente escrevia-se com as letras em caps: HoTMaiL
Quanta informação o mecanismo de pesquisa seria capaz de acessar? Para responder a essa pergunta foi dado inicialmente o nome de Googol, palavra que significa o número representado por 1 seguido de 100 zeros! Ao apresentarem o projeto a um investidor, Sergey Brin e Larry Page receberam um cheque nominal ao Google. E parece que deu sorte!




O nome mais charmoso (na minha modesta opnião). É uma abreviação de São Francisco e o logo da companhia é um desenho estilizado da ponte Golden Gate.


A Apple foi fruto (trocadilho sem graça) da combinação entre a predileção de Steve Jobs por maçãs e a falta de criatividade dos seus colegas em sugerirem outro nome pra companhia. Com o projeto atrasado, Jobs deu a eles a missão de encontrarem um nome melhor para a empresa sob pena de batizá-la de Apple Computers. Eles não encontraram.
Jonh Warnock, fundador da companhia, morava numa casa que tinha o rio Adobe Creek correndo atrás do seu quintal.



Ajudou?

Abçs

Original em: http://ow.ly/1qDHl


Referência Salarial da Área de TI


Olá!

Vou deixar aqui uma tabela de salários da área de TI publicada na revista Info. Particularmente desconheço os locais onde esses salários são praticados, salvo algumas grandes empresas em São Paulo. O que tenho observado é que o trabalho é baseado no acúmulo de 2 ou mais funções destas e a referência de pagamento é o cargo que ocupam.
Seria interessante a opinião de profissionais que atuam em outros estados.

Abçs


Configurando interface de rede e criando rede sem fio no ZeroShell



Explicarei no post de hoje como configurar as interfaces de rede do ZeroShell, para que possamos acessar sua interface Web para poder configurar os serviços que o ZeroShell disponibiliza.
Antes de configurar a interface de rede do ZeroShell, por motivo de segurança, é necessário alterar a senha padrão do administrador. Para isso no menu inicial digite o atalho "P" e digite a nova senha de administrador. Com a senha do administrador alterada, agora podemos efetuar a configuração da interface de rede.
Para isso no menu principal do ZeroShell digite o atalho "I", para configurar a interface, aparecerá um novo menu, neste menu aperte o atalho "A" que irá direcionar para menus questionando sobre a conexão que desejamos configurar.
O primeiro menu questiona qual interface desejamos configurar, no ZeroShell as interfaces são representadas com dois números ao invés de um somente, por exemplo, eth00 ou eth01 e assim por diante. Escolha a interface digitando seu respectivo identificador e aperte Enter. Em seqüência insera os dados, iniciando pelo endereço IP (por exemplo, 192.168.1.1), depois pela mascara (por exemplo, 255.255.255.0).
Agora iremos criar uma rede sem fio com o ZeroShell, para isso é necessário que o Servidor tenha uma placa de rede sem fio com chipset da Atheros. Caso o ZeroShell tenha essa placa iremos criar uma rede sem fio, transformando a placa de rede sem fio para modo Access point.
Para isso volte ao menu principal do ZeroShell digite o atalho “W”, o menu será alterado
para o menu de gerenciamento das conexões Wi-Fi. Neste menu digite o atalho
“N” para criar uma nova rede. Serão solicitados vários dados sobre a
conexão, inicialmente será perguntado sobre a interface que será utilizada,
escolha a interface, exemplo (wifi0), a próxima questão é sobre o modo de
atuação da placa, 1 para modo Access point, e 2 para modo cliente, como desejamos criar uma rede sem fio, a opção a se escolher é a 1. A próxima questão é sobre o SSID (nome) da rede, digite o nome desejado (por exemplo, Wirelless). A próxima questão é sobre a intenção ou não de esconder o SSID, digite Yes para esconder e No, para não esconder. A seguir a questão é sobre a utilização do sistema WDS1, digite yes para utilizar, ou no para não utilizar. Depois disso a questão é sobre a forma de criptografia, as opções são:
1. Texto Plano (Sem criptografia);
2. WPA-EAP/RSN/802.1X+WEP (Criptografia, com autenticação no servidor
RADIUS);
3. WPA-PSK (Criptografia com chave compartilhada);
4. WEP.
Eu sugiro a utilização da criptografia WPA-PSK, por ser mais seguro que o WEP. Caso você tenha configurado o servidor RADIUS utilize a opção 2. Mas consideraremos que não tenha configurado o servidor RADIUS. Em seguida digita-se a chave que se deseja utilizar.
Com a rede Wi-Fi criada, agora se adiciona um endereço IP para essa interface, no menu principal do ZeroShell, digita-se o atalho „I‟, que irá redirecionar para a página de configurações de redes, para adicionar um endereço IP a essa interface, basta seguir os mesmos passos citados no inicio do post.
Pronto, seguindo esses passos rapidamente suas conexões de rede e sua rede sem fio estará criada. Logo logo, criarei mais posts explicando como configurar os outros serviços do ZeroShell. Aproveitem e conheçam essa distribuição linux, se você mexe com servidores Linux para redes locais, você irá se impressionar, com a facilidade de instalação e configuração.


Everton Moschen Bada
Tecnólogo em Redes de Computadores- IFES
06/03/2010

Documentação do NRPE em português


Venho estudando o Nagios, seus addons e plugins a algum tempo e, consequentemente, criando artigos sobre o assunto em diversos meios.

O NRPE (Nagios Remote Plugin Executor) é um complemento para o Nagios que permite o monitoramento de máquinas Linux e suas variantes UNIX.

Trata-se do método mais utilizado entre administradores de redes para monitorar sistemas Linux/Unix remotos utilizando o Nagios.

Sendo esta a primeira versão em português da Documentação do NRPE, a ser lançada diretamento no site do Nagios, trata-se da primeira entre as muitas contribuições que espero fazer ao projeto, inclusive a tradução da documentação completa do Nagios (Projeto Iniciado).

Disponibilizo, em primeira mão aqui no Beagle, a Documentação do NRPE em sua versão em português, traduzida e atualizada para uso no Ubuntu Desktop 9.10 e Ubuntu Server 8.04.



A documentação também já está no site oficial do Nagios, clique aqui para visitar.

Abraço a todos.

Creative Commons License
Documentação NRPE pt_br - por Adriano Vieira é licenciada sobre uma Creative Commons Atribuição-Uso Não-Comercial-Compartilhamento pela mesma Licença 3.0 Brasil License.

Minicurso Comandos Básicos em Linux

Minicurso ministrado na ocasião de boas-vindas para os novos alunos do IFES.

Google buzz... a nova aposta da google

A Google lança, novamente, seus dados no tabuleiro das redes sociais...

A princípio, com o lançamento do Google Wave, a gigante dos serviços web pareceu ter perdido a onda, visto que boa parte dos usuários ainda não viram usabilidade na ferramenta que, por hora, parece ainda ser só uma "ondinha". Porém Bradley Horowitz, vice-presidente de produtos da empresa, acaba de anunciar a nova ferramenta da Google: O Google buzz

O Google buzz pode ser integrado ao Gmail, basta ter uma conta no Gmail para usar a ferramenta, que aparece como um link na barra lateral, como na figura abaixo:



Muito parecido com a famosa ferramenta Twiter, o Google Buzz tem basicamente o mesmo propósito, porém com aquele "toque Google", caracteristico da empresa.

As 5 caracteristicas do Google buzz:

1) Auto following: Pessoas com quem você trocou ou troca emails são adicionadas automaticamente como contatos. Isso já acontece com o Gtalk.

2) Compartilhamento rápido: com a integração com o YouTube, Picasa, Flickr, Google Reader, Twitter e Google Chat, fica mais fácil compartilhar vídeos, fotos, feeds e recados. É possível até usar o “reply” do Twitter, com @ e tudo. =D

3) Opções de Compartilhamento: é possível compartilhar vários tipos de conteúdo e definir se eles serão públicos ou exclusivos aos seus contatos. Você também pode definir um grupo de contatos separado dos contatos convencionais.

4) Integração com a caixa de entrada: o que é postado no Buzz, volta para você em formato resumo por email. E o melhor, você pode continuar a conversa pela sua caixa de entrada.

5) Só coisas boas: o usuário pode usar o Buzz para aprovar ou não uma mensagem de um contato. Logo abaixo da mensagem há um botão para “gostar” ou não. Além disso, o próprio serviço recomenda postagens interessantes que combinam com você.

Curtam sua nova forma de Rede Social galera... essa parece que veio para ficar.

Abraço a todos,
Adriano Vieira

 
Design by Scooby Doo jogos