Bloggi

por @pliniotorres : artigo

Você ainda é do tipo de pessoa que utiliza senhas como "123" ou "amor" no computador ou em serviços online? Pois sabia que mesmo senhas como "w56e@hd$%d" podem ser consideras inúteis com a crescente expansão da capacidade do processamento dos computadores atuais.

O poder de uma placa de video
Um dos setores que mais cresce no mundo da computação é o de jogos e as placas gráficas precisam acompanhar este crescimento para rodar os jogos cada vez mais pesados e realistas. O que muita gente não sabe é que uma das principais caracterísitcas das novas placas gráficas é a capacidade de realizar grandes quantidades de cálculos por segundo, como o chip GF100 da placa de video GeForce GTX 480, capaz de processar cerca de dois trilhões de operações de ponto flutuante por segundo, recurso inpensável em um computador a 10 anos atrás.

O que isso tem a ver com as senhas que utilizamos nos computadores? Segundo o Georgia Tech Research Institute, hackers estariam usando o poder de processamento de placas gráficas para quebrar senhas de usuários através de ataques do tipo brute force.
Um estudo feito pelo instituto mostrou que as unidades de processamento gráficas são extremamente rápidas em códigos de  cracking (quebra) porque são concebidas como computadores paralelos, com diferentes núcleos de processamento trabalhando em vários problemas de uma vez.

Quando a Nvidia lançou um kit de desenvolvimento de software para suas placas gráficas, a empresa forneceu as ferramentas para que os programadores pudessem escrever comandos em linguagem C, dando ordens diretamente a unidade de processamento gráfico, trazendo uma série de novos recursos, incluindo ataques de força bruta em senhas.

Força bruta (ou busca exaustiva) é uma algoritmo  trivial mas de uso muito geral que consiste em enumerar todos os possíveis candidatos de uma solução e verificar se cada um satisfaz o problema. De acordo com o cientista Joshua Davis, ataques de força bruta utilizando essas ferramentas podem ser feitos em um curto tempo, especialmente se a senha envolver palavras curtas, sem caracteres diversos ou letras maiúsculas e minúsculas. Uma senha de apenas 7 caracteres simples podem ser quebrada em questão de dias.
O comprimento é um fator importante na proteção contra a força bruta de uma senha", explicou Davis. "Um teclado de computador contém 95 caracteres, e cada vez que você adiciona um novo caracter a sua senha, a sua proteção sobe exponencialmente 95 vezes."
Abaixo, uma antiga estimativa do tempo necessário para se quebrar uma senha de acordo com a quantidade de caracteres. A estimativa é ultrapassada, pois muitos computadores pessoais hoje, já possuem a capacidade de processar mais de 1 milhão de tentativas de combinação de senhas por segundo.

Política de Segurança para Senhas

Tamanho mínimo da senha e Complexidade da senha: A exigência de um tamanho mínimo e a de complexidade (a presença de letras, números, símbolos e maiúsculas/minúsculas) são a principal defesa contra ataques de força bruta ou dicionário. As duas juntas garantem um nível de variação mínimo para tornar um ataque de força bruta demasiado caro ou mesmo inviável.

Complexidade: A senha deve satisfazer a requisitos de complexidade. Não pode ser formada pelo nome da conta de usuário ou parte do nome da conta. Deve possui caracteres de três dos quatro grupos abaixo:
Letras maiúsculas (A-Z).
Letras minúsculas (a-z).
Números (0-9).
Caracteres especiais (!, #, %, $, etc).

Frases Secretas: Mas como balancear a complexidade da senha com a necessidade dela ser facilmente lembrada? O uso de frases secretas ao invés de senhas curtas: Por exemplo, a senha Eucompropãoas11hs tem mais força do que dce*(1%& e é muito mais fácil de ser lembrada.

Troca periódica da senha: Forçar a troca da senha periodicamente acrescenta muito pouco em termos de segurança. A origem da troca periódica de senha está no tempo em que o poder computacional para fazer o ataque de força bruta contra uma senha era limitado, e fazia sentido trocar a senha em um prazo menor do que o tempo que em tese seria gasto fazendo o ataque. Nos dias de hoje com o poder computacional existente, a frequencia com que essa troca é feita pode ser menor.

Senhas automaticamente geradas: Garante que você não reutilizará nenhuma senha pessoal (senha da caixa postal, do banco, do computador do trabalho, etc). A reutilização de senhas, ou a utilização de uma senha única para todos os sistemas, é uma prática bastante desaconselhada, uma vez que o vazamento da senha em um sistema compromete a segurança de outros.

Cuidados que você deve tomar com logins e senhas
* Evite utilizar o mesmo login em diferentes serviços, evite também utilizar o seu email como login. Saber o login de um usuário é meio caminho andado para uma futura invasão.
* Não revele sua senha para ninguém, nem compartilhe com colegas de trabalho, assistentes ou secretárias, mesmo quando viajar ou sair de férias.
* Não reutilize a senha de um site ou programa em nenhum outro sistema com senha.
* Não envie sua senha por e-mail a ninguém. Os e-mails de recibo de cadastro e lembrança de senha devem ser mantidos em local seguro ou preferencialmente apagados.
* Não escreva sua senha em papel. Decore-a ou utilize-se do recurso ‘Lembrar senha’.

O futuro das senhas
Os sistemas e o poder computacional evoluiram fazendo com que as senhas precisem evoluir também. O uso de geradores de token, autenticação utilizando certificados digitais, validação por hardware ou mesmo biometria são recursos essenciais para o futuro da segurança dos usuários comuns. Foi-se o tempo em que escaneamento de retina ou impressões digitais eram coisa de filmes de ficção científica.

Bom, como sempre leio o blog do Plinio Torres, achei interessante repassar esse artigo sobre um golpe que visa roubar números de contas e senhas de usuários que utilizam bancos via internet. O golpe consiste em utilizar um vírus/worm ou outro método para alterar o arquivo de HOSTS do Windows, redirecionando endereços de instituições financeiras para falsos sites que possuem as mesmas interfaces usadas pelos bancos no intuito de enganar seus usuários.

O arquivo HOSTS é um arquivo especial do sistema operacional. Ele é capaz de forçar a resolução de certos nomes (ou sites na internet) para endereços IP específicos. Dessa forma, você pode bloquear sites, fazer com que um endereço entre em uma página diferente, entre outras coisas.

Verifique o arquivo hosts do seu Windows, ele se encontra normalmente dentro da pasta C:\WINDOWS\system32\drivers\etc e para abri-lo, clique com o botão direito > abrir > escolha a opção bloco de notas.

O arquivo original apresentará apenas um direcionamento do localhost em seu conteúdo, como no exemplo abaixo, o restante acima são apenas comentários.

127.0.0.1                              localhost

Após ser modificado pelos golpistas, o arquivo hosts pode apresentar diversos redirecionamentos, como os que foram encontrados no arquivo do computador infectado:

127.0.0.1                             localhost
65.18.164.41                      www.bradesco.com.br
76.163.108.205              www.santander.com.br
65.18.164.41                      bancoreal.com.br
65.18.164.41                      bancodobrasil.com.br
65.18.164.41                      banrisul.com.br
65.18.164.41                      bb.com.br
65.18.164.41                      bradesco.com.br
76.163.108.205              santander.com.br
65.18.164.41                      itau.com.br
76.163.108.205              americanexpress.com.br
76.163.108.205              itaupersonnalite.com.br
76.163.108.205              bradescoprime.com.br

Através desses redirecionamentos, o cliente que acessa o site de algum destes bancos acima é levado para uma página falsa hospedada em alguns destes enderços de IP, onde o cliente é induzido a digitar seus dados bancários que eventualmente serão usados para realização de saques e transferências indevidas.

Verifique o arquivo hosts do seu Windows e caso ele possua alguma alteração, apague-as e reforce a segurança do seu anti-vírus! Algumas empresas fazem mudanças no arquivo hosts para controlar o tráfego da rede. Caso encontre alguma alteração neste arquivo, informe ao administrador da sua rede.

Entre os hosts usados para hospedar sites falsos pelos golpistas é possível encontrar coisas inusitadas, como um site de uma igreja evangélica que hospeda um teclado virtual usado para roubar senhas de clientes do banco Bradesco

Parece que atráves de alguma brecha de segurança no host os golpistas conseguiram transferir arquivos e usar o host da igreja como um fantasma para hospedar a tela que imita o banco ou o próprio administrador do site da igreja está por trás do golpe, quem sabe.

Muitas pessoas deixam de usar os serviços do internet banking por receio deste tipo de golpe, mas tomando todos os devidos cuidados, como verificar se o endereço da página é realmente do banco, visualizar o cadeado no navegador que atesta que aquela é uma conexão segura e sempre manter um bom programa anti-vírus atualizado no computador, garantem tranquilidade para este tipo de operação. Denuncie ao seu banco qualquer tipo de anomalia suspeita.