Posts Tagged ‘ Segurança

Trocando a senha de support do Sagemcom F@ST 1704

Há umas duas semanas, assinei 15Mbps com a GVT. Já tinha 10, mas velocidade nunca é demais. Hoje chegou o roteador novo, um Sagemcom F@ST 1704, e o técnico insistiu em desligar meu antigo Linksys WAG200g e ligar este novo. Já que já tinha ligado este, resolvi dar uma chance para ele (além do mais, o sinal estava melhor nele).

Imediatamente notei que ele usava um firmware igual ao dos antigos Siemens, e uma rápida pesquisa confirmou que o modem é, na verdade, um Siemens mesmo.

Eis que fui trocar a senha e descubro que há 3 usuários: admin, support e user. A senha padrão de admin vem escrita no modem, e é gvt12345. O problema é que, para trocar as outras senhas, é necessário conhecê-las, e não estão escritas em nenhum lugar.

Vejam o problema de deixar as senhas padrão. Eu não quero a GVT fuçando no meu modem. O antigo Thomson que me deram quando assinei 10Mbps tinha um problema curioso de resetar as configurações de DNS e port forwarding. Quando troquei para o Linksys, isto parou.

Quando reclamei no twitter sobre não poder trocar a senha, meu amigo @elland sabiamente me disse:

Com esta intenção, conectei ao roteador por telnet. Eis que descubro que rodar passwd username senha troca a senha do usuário sem confirmação nenhuma. Mais fácil do que eu esperava.

Filevault com HFS+ Case Sensitive

Então, amigos. Acabo de instalar meu SSD novo e aproveitei para instalar o Snow Leopard num sistema Case Sensitive, como um bom sistema Unix.

Para minha surpresa, o OSX não deixa ativar FileVault em sistemas Case Sensitive. Eis que encontrei uma solução:

  1. Crie um novo usuário administrador
  2. Logue como este usuário
  3. Mova sua antiga pasta de usuário para evitar que ela seja deletada:
  4. $ cd /Users

    $ sudo mv meuusuario meuusuario.bak

  5. Delete sua conta antiga e crie uma nova com o mesmo nome. Não esqueça de marcar que quer usar FileVault
  6. Deslogue da conta de administrador e logue na sua nova conta
  7. Copie toda sua pasta antiga para a nova

    $sudo /usr/bin/rsync -av /Users/meuusuario.bak/ /Users/meuusuario
    $sudo chown -R meuusuario ~/

  8. Deslogue e logue de novo em seu usuário para as configurações voltarem a funcionar
  9. Se deu tudo certo, pode remover o usuário administrador que foi criado antes e a pasta sem criptografia do seu usuário:

    $ sudo rm -rf /Users/meuusuario.bak

Qualquer dúvida deixe um comentário.

Metasploit com rubygems 1.5

O rubygems 1.5 foi lançado há quase um mês, e, junto com novas features, ele quebrou várias coisas, entre elas o Metasploit.

Tentar iniciar o msfconsole solta um belo

Encoding::UndefinedConversionError

Como pode ser visto neste bug.

Por sorte, há um fix bem fácil.

Primeiro, encontre todos os arquivos no seu rubygems que carregam outros arquivos com UTF:

grep -ri ‘File.read.*utf’ ~/.rvm/rubies/ruby-1.9.2-p136/lib/ruby

Atente para o fato de que ruby-1.9.2-p136 pode mudar, dependendo do teu sistema e da versão do ruby que você instalar. Se você não usa rvm, aí não faço idéia de onde você encontra.

Aqui a pesquisa retornou dois arquivos (além de vários de gems como o Nokogiri e o builder, mas as linhas não eram exatamente o que procurava):

~/.rvm/rubies/ruby-1.9.2-p136/lib/ruby/1.9.1/rubygems/source_index.rb

~/.rvm/rubies/ruby-1.9.2-p136/lib/ruby/site_ruby/1.9.1/rubygems/specification.rb

Caso haja outros arquivos, aconselho editar primeiro esses dois, testar, e então modificar os outros, caso o problema persista.

Nesses dois arquivos, procure a linha que diz

File.read file, :encoding => “UTF-8″

Ela deve estar em um bloco if-else. Você pode remover todo o bloco, deixando somente a linha

File.read file

Ou editar a primeira linha e remover da vírgula até o fim, tanto faz.

Após editar estes dois arquivos, o metasploit deverá carregar corretamente.

Testei isso tanto no Fedora 14 quanto no Snow Leopard 10.6.6 e funcionou. Qualquer coisa deixe um comentário.

O Pequeno (Grande) Manual da USENET

Decidi, para o bem de vocês, quebrar as Regras 1 e 2 e explicar a USENET e tudo o que se pode fazer com ela. Bem, quase tudo.

First things first,

O que é a USENET?

Pirate

Here be pirates

Bem, amiguinhos, vocês que são noobs e acham que não havia computadores antes do Google provavelmente não sabem que havia redes antes da Internet. E é lá em 1979 que nossa história começa.

Na época, redes eram lentas, grandes mainframes dominavam, homens eram homens e programavam em ASM e Pokémon ainda era um delírio na mente de um garoto japonês. O conceito de email como é conhecido hoje não existia, pois não havia domínios da internet, logo, listas de discussão também não existiam.

Eis que alguém resolveu criar um sistema para tal. Uma pessoa postaria uma mensagem em um ou mais newsgroups e quem quisesse ler e responder tinha livre acesso para tal, desde que pudesse se conectar a um servidor de relay. Os servidores eram interconectados, permitindo que, embora nem todos tivessem todos os artigos de todos os newsgroups, a experiência fosse transparente para o usuário final. Tão transparente quanto uma conexão de 8 bauds permitia, isso é.

Estrutura

Como que se identificam os newsgroups, então?, você me pergunta. Pelo nome, oras. Eles são divididos em uma árvore sem um nodo principal (puristas vão dizer que são diversas árvores, mas eu os mando à merda). Por exemplo, todos as listas sobre ciências deveriam estar no “sci.”. Por exemplo, discussões sobre matemática acontecem no sci.math.

Eis que, um belo dia, alguém resolveu que queria discutir sobre algo totalmente aleatório. Aí surgiu a árvore alt, a mais interessante para vários propósitos.

BINÁRIOS!!!111oneoneone

Binário

Binário, né?

No jargão, um binário é qualquer ‘blob’ (definir jargão com jargão: eu pratico). Uma imagem, uma música, um filme. Arquivos que não são puro texto. E eles ficam na árvore alt.binaries.

Mas a USENET é uma rede antiga, não foi projetada para essas coisas. Servidores têm de replicar conteúdo, mas se alguns bits se perderem numa mensagem de texto não há muito problema. A mensagem ainda está lá. Com binários a história já é outra.

Alternativas foram criadas e vocês usam a maioria delas hoje em dia e nem sabem porque diabos. Para prevenir maiores perdas, divide-se o arquivo em várias partes, de modo a facilitar a recuperação, e cria-se arquivos de paridade.

Sabe quando tu baixa aquele torrent e vem 435 .rar, um .svf e um .par2? Aquele arquivo veio direto da USENET e foi baixado de maneira old school. Já chego lá.

A idéia é a seguinte: o servidor A vai replicar o conteúdo do servidor B, mas o protocolo não é muito tolerante a falhas (ou tolerante demais, dependendo do ponto de vista), e partes dos artigos podem se perder no meio do caminho. Melhor que se perca um arquivo de 10MB do que um de 700, certo? Mais fácil de baixar denovo o arquivo problemático (que pode ter sido re-replicado). Mais fácil ainda é consertar dito arquivo, e para isto serve o par2. Através de um algoritmo macabro ou simples magia negra, ele consegue, muitas vezes, descobrir o quê há de errado com um arquivo rar e recuperá-lo. Coisa linda.

Mas fazer isso na mão é terrível. Aí que entra os newsreaders modernos.

Sendo moderninho

Hipster

Por favor, não seja moderninho ASSIM

Vamos começar um pouco antes. Imagine você que há quatrocentas pessoas enviando arquivos para um certo grupo ao mesmo tempo. As partes chegam entrelaçadas, um pedaço de um arquivo, depois um de outro, depois talvez uns 3 de outro, e por aí vai. Catar as partes de um arquivo grande seria infernal.

Para isto criou-se um padrão, o NZB. Ele é um arquivinho, análogo a um .torrent, que é gerado após o envio dos arquivos para um newsgroup apontando a localização de todas as partes dele. Isso permite também a indexação destes mesmos arquivos por sites, exatamente igual aos trackers de torrent.

Um cliente moderno vai abrir este .nzb e baixar automaticamente todas as partes do arquivo, verificar se precisam ser reparadas e reparar caso seja necessário, extrair tudo e te dizer “Tá tudo pronto, chefinho, quer um café?”.

E há vários clientes que suportam este padrão e vários sites que indexam. Dois clientes chamam mais a atenção, o SABnzbd+ e o Unison.

O SABnzbd+ é escrito em python e roda até em uma batata-doce, se você pedir com jeitinho. Ele é feio, só tem uma interface web, mas faz o que se propõe e o faz muito bem.

SABnzbd+

Isto pode ou não ser meu.

Este aqui está rodando no Ubuntu, mas controlo pela rede se preciso, ou até mesmo pelo iPhone.

Ele pode ser baixado AQUI e é totalmente grátis.

Ele não serve para navegar na USENET, somente para baixar de lá. Para isto é necessário um site indexador. Já chego lá.

A instalação em cada sistema é diferente, não vou detalhar aqui, mas o site é bem bom, tem uma wiki detalhada. Dê uma conferida.

A outra opção é o Unison, da Panic!

Este é pago, custa 30 dólares e só funciona no OSX, mas é o cliente mais elegante para se navegar pela USENET. Não só de binários viverá o homem, já dizia o poeta (ou seria o profeta?).

Unison

Veja bem de quem é a mensagem

A USENET ainda é utilizada para seu propósito original. Aí em cima, por exemplo, eu estou lendo a linux.kernel, a lista de discussão oficial do desenvolvimento do kernel do linux.

Alternativa de pobre: Google Groups.

O Google indexa muito da USENET e o faz de graça, mas a árvore alt. não está lá. Nada de pirataria desse jeito, mas os grupos de texto podem ser acessados, em sua marioria.

Servidores

Pra acessar essa maravilha toda, tu vais precisar de acesso a um servidor, e isto não é de graça. Sim, amiguinhos, a USENET é paga. Alguém tem que manter estes servidores e o único jeito de ganhar dinheiro é cobrando diretamente dos usuários.

Por sorte, não é caro. Eu recomendo a Supernews, que custa uns 10 dólares por mês e aceita Paypal sem compromisso nenhum.

Outras opções são a Giganews, que tem a maior retenção de todas mas é uma das mais caras e a Blocknews, que vende por tráfego. Caso esteja em dúvida, com a Blocknews dá para comprar 5GB por $2,75 e ver se gosta da idéia. Mas eu iria direto para a Supernews.

Há algumas coisas a se manter em mente quanto a esses servidores: Retenção, Número máximo de Conexões e suporte a SSL.

Retenção é a idade de um post quando ele é deletado do servidor. Com a quantidade de informações postadas na USENET diariamente, é impossível manter tudo, então após alguns meses o post é deletado. A média está em uns 400 dias, o que é bem bom. Muitas coisas são repostadas com freqüência, então não é exatamente um problema mesmo para coisas mais velhas.

Número máximo de conexões é exatamente isso, quantas conexões simultâneas do mesmo IP são permitidas. Não sei de nenhum servidor que permite conexões de mais de um IP, então nada de compartilhar contas. Mais conexões simultâneas = mais chances de baixar na velocidade máxima da sua conexão.

Suporte a SSL é a capacidade do servidor de manter conexões encriptadas. Provedores de internet podem ser malvados e reduzir a velocidade do teu acesso à USENET do mesmo jeito que fazem com torrent. Se tu encriptares o tráfego, eles não vão saber o quê tu tá fazendo e não vão te capar a conexão.

Na Supernews eu já atingi 11MBps (isto é onze megabytes por segundo, também conhecido como oitenta e oito megabits por segundo, numa conexão que obviamente não é a da minha casa) com 30 conexões simultâneas e SSL.

Segurança

Eu sou muito paranóico, então acredite em mim que eu pesquisei demais e posso te dizer com tranqüilidade que é seguro baixar da USENET. O único jeito de descobrirem o quê tu tá baixando é se tu contares (desde que uses SSL). Vai firme, os servidores não mantém logs. Agora, se você começar a enviar conteúdo…

Sites indexadores

A USENET é um lugar enorme e selvagem. Acredite em mim. Procurar qualquer coisa lá é enlouquecedor. Para resolver isto há sites que indexam o conteúdo e geram nzbs prontos para serem adicionados ao seu cliente. Os melhores são:

TVNZB.com: Só séries de TV, anda com o servidor meio instável. Grátis.

NZBs(dot)ORG: De tudo, mal categorizado, mas com uma engine de busca bem decente. Requer registro, mas é grátis.

Newzbin: O antigo gigante que recentemente se meteu em brigas contra a MPAA e foi obrigado a desativar as categorias de TV e filmes, mas as outras continuam ativas. Costumava ser invite-only e pago, ainda por cima, agora está aberto e grátis.

NZBMatrix: Feio que dói, mas o melhor atualmente. Custa algumas libras para cadastrar, mas só se paga uma vez.

Sou preguiçoso, quero tudo automático

Boa notícia é que eu também sou e já testei praticamente todas as maneiras de automatizar minha vida.

Quem acompanha muitas séries de TV sabe como é complicado baixar todas elas, ficar lembrando do dia que tem episódio novo, se tem essa semana ou não. Mas há uma solução!

O Sick-Beard é outra dessas maravilhas escritas em Python que roda até em uma banana, com vaselina suficiente.

Sick-Beard

Não me pergunte o porquê do nome.

Novamente, a instalação depende de cada sistema, então dê uma olhada na Wiki deles.

Esta maravilha faz tudo pra ti: consulta o TVRage para descobrir quando tem episódio novo, procura nos indexadores e bota a baixar no SABnzbd+ pra ti. Tem como fazer ele funcionar com outros clientes, mas ele brilha mesmo com o SAB.

Se tu quiseres, ele baixa os episódios antigos da série, move os arquivos, renomeia e organiza, adiciona sinopse, thumbnail do episódio e pôster da temporada e avisa o XBMC ou o Boxee que tem episódio novo.

Além disso, ele pode baixar o episódio no primeiro formato que aparecer, e, caso não seja 720p, baixar a versão 720p assim que ela estiver disponível e substituir na coleção.

Sensacional.

Muito bonito, mas qual a vantagem disso sobre torrent, ou por que devo pagar se torrents são grátis?

As coisas saem primeiro na USENET, já que os grupos que lançam no torrent precisam distribuir entre si os arquivos primeiro para ter seeds. Além disso, tu não estás preso ao inferno de arquivos sem seeds, a velocidade é constante e, provavelmente o máximo da tua conexão.

E já falei que as coisas saem antes lá? Quase toda esta temporada de Chuck estava aparecendo na USENET cerca de 12 horas antes de passar na TV americana. Vazava de dentro da emissora, suponho, e em 720p.

Vai lá, instala o SABnzbd+ e assina um mês ou dois da Supernews. Tu nunca mais vais querer usar torrent na vida.

E, não, não tenho medo de falar sobre isso, eu acabo comprando os DVDs ou BluRays dos filmes e séries que baixo, minha consciência está tão limpa quanto os esgotos de Paris. OH WAIT-

Como aumentar o seu número de listed no Twitter

O Twitter hoje começou por esses dias a liberar uma feature nova, as “lists”. E os probloggers e adeptos da meritocracia informal da internet já viram nisso uma nova métrica de popularidade, já que o número de seguidores não significava mais nada, graças aos mass-follows.

Mas duas coisas aconteceram na primeira meia hora que tive contato com as lists: fui adicionado a uma list robô de insatisfeitos com a Vivo (e estou bem satisfeito com eles, diga-se de passagem), provando que já há scripts para adicionar a lists.

Outra é que descobri que é possível se adicionar às suas próprias lists. Para isto, vá até seu perfil (na home da web, clicke na sua foto, ou entre em twitter.com/seu_username). É possível ver o dropdown de listas a incluir este perfil, mesmo as listas sendo tuas e o perfil também:

Tenha números artificiais, stick it to the man.

Tenha números artificiais, stick it to the man.

O seu número de listed será atualizado para incluir as suas próprias listas. Agora é só criar over9000 listas e seguir a si mesmo em todas, ser mais popular do que a Twittess.

Abraços a todos os envolvidos.

Hackeando RFID, se incomodando com a American Express

RFID (Radio-frequency Identification, ou Identificação por Rádio-Freqüência) é uma dessas tecnologias que tem um grande hype em volta, como o bluetooth ou a biometria, mas que é, também como esses, amplamente furada em termos de segurança.

Além dos problemas óbvios de privacidade, de se ter um cartão dentro do bolso transmitindo o teu nome e possivelmente o número do teu cartão de crédito para quem quiser ler, a criptografia normalmente empregada é nada mais do que precária. Há pouco tempo o Reino Unido resolveu implantar RFID nos seus passaportes. Em menos de 48 horas a criptografia foi quebrada e passaportes falsos foram feitos.

Este vídeo do BoingBoingTV explica muito bem a situação:

Estes cartões, por sinal, estão sendo distribuídos no Brasil, com a mesma (falta de) criptografia.

Obviamente, qualquer um que pretenda usar um cartão de crédito vai se manter bem longe da American Express. Mas a Visa e outras companhias já têm suas versões também.

Um leitor de RFID pode ser encontrado no ebay por 8 dólares, mais o frete para o Brasil, no máximo 25 dólares. E nem passa da cota, muito provavelmente nem imposto será cobrado. Então qualquer jaguara com 40 pila e um notebook pode roubar um cartão desses.

Como o tio ali no vídeo disse, as empresas não estão preocupadas em criar um sistema seguro, mas sim um sistema que pareça seguro para o consumidor. É importante estar alerta disso ao aderir a uma nova tecnologia.

Todas essas empresas estão cientes dos riscos da tecnologia, mas preferem esconder tudo.

Adam Savage, dos Mythbusters falou sobre isso na HOPE, uma conferência Hacker há pouco tempo:

[youtube]http://www.youtube.com/watch?v=-St_ltH90Oc[/youtube]

[Link para quem lê o feed]

RFID não é de um todo mau. A tecnologia é excelente para marcar gado, por exemplo. Mas eu não usaria nem mesmo para comanda de restaurante. Onde há seres humanos, há risco de segurança.

Destruidor de CDs e DVDs

De vez em quando a gente cruza por algo que parece maravilhoso à primeira vista, mas logo em seguida, depois que o efeito wow passou, a gente tem certeza de que isso é uma bela porcaria.

Este é um lindo exemplo:

Estragador de Discos

Estragador de Discos

Aparentemente a idéia é boa. Você tem aquele DVD de putaria backups que deve ser destruído. Basta colocar nesse negócio, fazer o que o manual diz, e, pronto, seu DVD estará irrecuperavelmente riscado.

Por 15 dólares, não parece nada mau.

Até você se dar conta de que uma lixa faria o mesmo efeito, e custa centavos. Ou que seu microondas também pode atingir os mesmos resultados, mas de uma maneira muito mais bonita.

[youtube]http://www.youtube.com/watch?v=Z1Wegnjmd-8[/youtube]

[Via Lifehacker]

Isso foi obra de um arquiteto, só pode

Porque engenheiros não fariam uma coisa dessas.

Aliás, dizem que arquitetos são aqueles que não foram afetados o suficiente para serem designers, nem homem o suficiente para serem engenheiros.

Banheiro

Guia rápido de manutenção de servidores por ssh

O ssh (secure shell) já salvou a minha vida mais de uma vez. É muito mais prático do que FTP quando se quer fazer alterações nos arquivos do servidor e não é necessário subir ou baixar nenhum arquivo. Além disso, existe o sshfs, que é uma grande facilidade para nós usuários do Linux, que podemos montar uma pasta ssh como se fosse um sistema de arquivos local, e ter todo o conforto de editores de texto gráficos e bonitinhos 100% online.

Abalone shell
Crédito da foto: Stryker W@SP

Ela provê uma conexão segura e encriptada a um servidor remoto, e te dá uma shell completa do sistema hospedeiro, que normalmente é unix. Conhecer a linha de comando então é mais que uma mão na roda, é obrigatório. Mas muita gente não vai muito longe do ls, cd, pwd, rm, mv.

Existem dois truques que eu uso muito em todos os sites que eu administro, e realmente facilitam muito a minha vida.

Imagina a situação: no teu site tem uma centena ou mais de arquivos de backup, simples cópias de segurança de arquivos, de antes de serem modificados, e você não precisa mais deles. Sempre ouvimos que é uma boa prática nesses casos simplesmente fazer uma cópia do arquivo, adicionando .bak ao fim do nome, mas ninguém nunca nos diz porque. Esse primeiro truque é justamente para tirar proveito disso. Tendo todos os teus arquivos de backup terminando em .bak, não importa quão espalhados eles estejam na árvore de diretórios, basta rodar este comandinho:

find . | grep .bak | xargs rm

(Antes que os xiitas venham reclamar, sim, dá pra juntar o find com um grep, mas o grep é mais rápido que o find para esse caso.)

Explicando por partes: Cada “|” (chamado de pipe) concatena comandos, passando a saída de um comando para o próximo. O primeiro comando, find ., lista recursivamente todos os arquivos do diretório atual. A saída é passada para o grep, que procura nessa lista por arquivos que contenham a expressão .bak no nome (e é uma boa rodar só os dois primeiros comandos para ter certeza de que não tá aparecendo nada extra aí). Por fim, temos o todo-poderoso xargs, que tem mais usos do que o próprio Stallman conhece, executa o comando rm em cada nome desta lista.

A segunda situação é quando precisamos fazer uma faxina no servidor, mas não sabemos o que diabos está pesando 1,5GB. Isso é facilmente resolvido com este lindo comando:

du -ch

(É fácil de lembrar dele, lê “duch”, que soa a “douche”, um xingamento em inglês).

Este comando vai também listar recursivamente todos os diretórios (mas só eles, não os arquivos), e te dar o tamanho de cada um, e o total da pasta atual no fim. Extremamente útil.

E ao fim do segundo dia…

Morto de cansado. Não há melhor maneira de descrever meu estado após o dia de hoje da FISL.

Nem tirei muitas fotos porque fiquei de palestra em palestra. Assisti uma especialmente boa, do Rasmus Lerdorf, criador do PHP.

Ele contou da sua experiência em portar todo o Yahoo para PHP, as dificuldades de um sistema em larga escala, como optimizar o código e principalmente como manter a segurança do sistema.

A wireless estava um pouco menos pior. Fora dos lugares mais movimentados, onde a interferência das outras redes era menor, eu pegava IP com certa facilidade, e até consegui baixar a incrível velocidade de 1MBps.

O problema, mesmo, era no meio do povo. Com cerca de 15 redes wireless, não tinha como não dar interferência. O resultado foi ligar na cabeada mesmo.

No pouco tempo que eu estive fora das palestras, vi um grupo de crianças que fazem parte de um projeto-piloto do OLPC, cada uma com seu XO. Peguei um pedaço da conversa de duas menininhas de, no máximo, 10 anos, que contavam ter blogs. Damn, competição de gatos a gente atura, mas menininhas pré-adolescentes?

No geral, foi melhor que o segundo dia, mas ainda temos os mesmos problemas de sempre. E pensar que depois de 9 anos já teriam aprendido…

 
SEO Powered by Platinum SEO from Techblissonline