Posts Tagged ‘ Segurança

O Pequeno (Grande) Manual da USENET

Decidi, para o bem de vocês, quebrar as Regras 1 e 2 e explicar a USENET e tudo o que se pode fazer com ela. Bem, quase tudo.

First things first,

O que é a USENET?

Pirate

Here be pirates

Bem, amiguinhos, vocês que são noobs e acham que não havia computadores antes do Google provavelmente não sabem que havia redes antes da Internet. E é lá em 1979 que nossa história começa.

Na época, redes eram lentas, grandes mainframes dominavam, homens eram homens e programavam em ASM e Pokémon ainda era um delírio na mente de um garoto japonês. O conceito de email como é conhecido hoje não existia, pois não havia domínios da internet, logo, listas de discussão também não existiam.

Eis que alguém resolveu criar um sistema para tal. Uma pessoa postaria uma mensagem em um ou mais newsgroups e quem quisesse ler e responder tinha livre acesso para tal, desde que pudesse se conectar a um servidor de relay. Os servidores eram interconectados, permitindo que, embora nem todos tivessem todos os artigos de todos os newsgroups, a experiência fosse transparente para o usuário final. Tão transparente quanto uma conexão de 8 bauds permitia, isso é.

Estrutura

Como que se identificam os newsgroups, então?, você me pergunta. Pelo nome, oras. Eles são divididos em uma árvore sem um nodo principal (puristas vão dizer que são diversas árvores, mas eu os mando à merda). Por exemplo, todos as listas sobre ciências deveriam estar no “sci.”. Por exemplo, discussões sobre matemática acontecem no sci.math.

Eis que, um belo dia, alguém resolveu que queria discutir sobre algo totalmente aleatório. Aí surgiu a árvore alt, a mais interessante para vários propósitos.

BINÁRIOS!!!111oneoneone

Binário

Binário, né?

No jargão, um binário é qualquer ‘blob’ (definir jargão com jargão: eu pratico). Uma imagem, uma música, um filme. Arquivos que não são puro texto. E eles ficam na árvore alt.binaries.

Mas a USENET é uma rede antiga, não foi projetada para essas coisas. Servidores têm de replicar conteúdo, mas se alguns bits se perderem numa mensagem de texto não há muito problema. A mensagem ainda está lá. Com binários a história já é outra.

Alternativas foram criadas e vocês usam a maioria delas hoje em dia e nem sabem porque diabos. Para prevenir maiores perdas, divide-se o arquivo em várias partes, de modo a facilitar a recuperação, e cria-se arquivos de paridade.

Sabe quando tu baixa aquele torrent e vem 435 .rar, um .svf e um .par2? Aquele arquivo veio direto da USENET e foi baixado de maneira old school. Já chego lá.

A idéia é a seguinte: o servidor A vai replicar o conteúdo do servidor B, mas o protocolo não é muito tolerante a falhas (ou tolerante demais, dependendo do ponto de vista), e partes dos artigos podem se perder no meio do caminho. Melhor que se perca um arquivo de 10MB do que um de 700, certo? Mais fácil de baixar denovo o arquivo problemático (que pode ter sido re-replicado). Mais fácil ainda é consertar dito arquivo, e para isto serve o par2. Através de um algoritmo macabro ou simples magia negra, ele consegue, muitas vezes, descobrir o quê há de errado com um arquivo rar e recuperá-lo. Coisa linda.

Mas fazer isso na mão é terrível. Aí que entra os newsreaders modernos.

Sendo moderninho

Hipster

Por favor, não seja moderninho ASSIM

Vamos começar um pouco antes. Imagine você que há quatrocentas pessoas enviando arquivos para um certo grupo ao mesmo tempo. As partes chegam entrelaçadas, um pedaço de um arquivo, depois um de outro, depois talvez uns 3 de outro, e por aí vai. Catar as partes de um arquivo grande seria infernal.

Para isto criou-se um padrão, o NZB. Ele é um arquivinho, análogo a um .torrent, que é gerado após o envio dos arquivos para um newsgroup apontando a localização de todas as partes dele. Isso permite também a indexação destes mesmos arquivos por sites, exatamente igual aos trackers de torrent.

Um cliente moderno vai abrir este .nzb e baixar automaticamente todas as partes do arquivo, verificar se precisam ser reparadas e reparar caso seja necessário, extrair tudo e te dizer “Tá tudo pronto, chefinho, quer um café?”.

E há vários clientes que suportam este padrão e vários sites que indexam. Dois clientes chamam mais a atenção, o SABnzbd+ e o Unison.

O SABnzbd+ é escrito em python e roda até em uma batata-doce, se você pedir com jeitinho. Ele é feio, só tem uma interface web, mas faz o que se propõe e o faz muito bem.

SABnzbd+

Isto pode ou não ser meu.

Este aqui está rodando no Ubuntu, mas controlo pela rede se preciso, ou até mesmo pelo iPhone.

Ele pode ser baixado AQUI e é totalmente grátis.

Ele não serve para navegar na USENET, somente para baixar de lá. Para isto é necessário um site indexador. Já chego lá.

A instalação em cada sistema é diferente, não vou detalhar aqui, mas o site é bem bom, tem uma wiki detalhada. Dê uma conferida.

A outra opção é o Unison, da Panic!

Este é pago, custa 30 dólares e só funciona no OSX, mas é o cliente mais elegante para se navegar pela USENET. Não só de binários viverá o homem, já dizia o poeta (ou seria o profeta?).

Unison

Veja bem de quem é a mensagem

A USENET ainda é utilizada para seu propósito original. Aí em cima, por exemplo, eu estou lendo a linux.kernel, a lista de discussão oficial do desenvolvimento do kernel do linux.

Alternativa de pobre: Google Groups.

O Google indexa muito da USENET e o faz de graça, mas a árvore alt. não está lá. Nada de pirataria desse jeito, mas os grupos de texto podem ser acessados, em sua marioria.

Servidores

Pra acessar essa maravilha toda, tu vais precisar de acesso a um servidor, e isto não é de graça. Sim, amiguinhos, a USENET é paga. Alguém tem que manter estes servidores e o único jeito de ganhar dinheiro é cobrando diretamente dos usuários.

Por sorte, não é caro. Eu recomendo a Supernews, que custa uns 10 dólares por mês e aceita Paypal sem compromisso nenhum.

Outras opções são a Giganews, que tem a maior retenção de todas mas é uma das mais caras e a Blocknews, que vende por tráfego. Caso esteja em dúvida, com a Blocknews dá para comprar 5GB por $2,75 e ver se gosta da idéia. Mas eu iria direto para a Supernews.

Há algumas coisas a se manter em mente quanto a esses servidores: Retenção, Número máximo de Conexões e suporte a SSL.

Retenção é a idade de um post quando ele é deletado do servidor. Com a quantidade de informações postadas na USENET diariamente, é impossível manter tudo, então após alguns meses o post é deletado. A média está em uns 400 dias, o que é bem bom. Muitas coisas são repostadas com freqüência, então não é exatamente um problema mesmo para coisas mais velhas.

Número máximo de conexões é exatamente isso, quantas conexões simultâneas do mesmo IP são permitidas. Não sei de nenhum servidor que permite conexões de mais de um IP, então nada de compartilhar contas. Mais conexões simultâneas = mais chances de baixar na velocidade máxima da sua conexão.

Suporte a SSL é a capacidade do servidor de manter conexões encriptadas. Provedores de internet podem ser malvados e reduzir a velocidade do teu acesso à USENET do mesmo jeito que fazem com torrent. Se tu encriptares o tráfego, eles não vão saber o quê tu tá fazendo e não vão te capar a conexão.

Na Supernews eu já atingi 11MBps (isto é onze megabytes por segundo, também conhecido como oitenta e oito megabits por segundo, numa conexão que obviamente não é a da minha casa) com 30 conexões simultâneas e SSL.

Segurança

Eu sou muito paranóico, então acredite em mim que eu pesquisei demais e posso te dizer com tranqüilidade que é seguro baixar da USENET. O único jeito de descobrirem o quê tu tá baixando é se tu contares (desde que uses SSL). Vai firme, os servidores não mantém logs. Agora, se você começar a enviar conteúdo…

Sites indexadores

A USENET é um lugar enorme e selvagem. Acredite em mim. Procurar qualquer coisa lá é enlouquecedor. Para resolver isto há sites que indexam o conteúdo e geram nzbs prontos para serem adicionados ao seu cliente. Os melhores são:

TVNZB.com: Só séries de TV, anda com o servidor meio instável. Grátis.

NZBs(dot)ORG: De tudo, mal categorizado, mas com uma engine de busca bem decente. Requer registro, mas é grátis.

Newzbin: O antigo gigante que recentemente se meteu em brigas contra a MPAA e foi obrigado a desativar as categorias de TV e filmes, mas as outras continuam ativas. Costumava ser invite-only e pago, ainda por cima, agora está aberto e grátis.

NZBMatrix: Feio que dói, mas o melhor atualmente. Custa algumas libras para cadastrar, mas só se paga uma vez.

Sou preguiçoso, quero tudo automático

Boa notícia é que eu também sou e já testei praticamente todas as maneiras de automatizar minha vida.

Quem acompanha muitas séries de TV sabe como é complicado baixar todas elas, ficar lembrando do dia que tem episódio novo, se tem essa semana ou não. Mas há uma solução!

O Sick-Beard é outra dessas maravilhas escritas em Python que roda até em uma banana, com vaselina suficiente.

Sick-Beard

Não me pergunte o porquê do nome.

Novamente, a instalação depende de cada sistema, então dê uma olhada na Wiki deles.

Esta maravilha faz tudo pra ti: consulta o TVRage para descobrir quando tem episódio novo, procura nos indexadores e bota a baixar no SABnzbd+ pra ti. Tem como fazer ele funcionar com outros clientes, mas ele brilha mesmo com o SAB.

Se tu quiseres, ele baixa os episódios antigos da série, move os arquivos, renomeia e organiza, adiciona sinopse, thumbnail do episódio e pôster da temporada e avisa o XBMC ou o Boxee que tem episódio novo.

Além disso, ele pode baixar o episódio no primeiro formato que aparecer, e, caso não seja 720p, baixar a versão 720p assim que ela estiver disponível e substituir na coleção.

Sensacional.

Muito bonito, mas qual a vantagem disso sobre torrent, ou por que devo pagar se torrents são grátis?

As coisas saem primeiro na USENET, já que os grupos que lançam no torrent precisam distribuir entre si os arquivos primeiro para ter seeds. Além disso, tu não estás preso ao inferno de arquivos sem seeds, a velocidade é constante e, provavelmente o máximo da tua conexão.

E já falei que as coisas saem antes lá? Quase toda esta temporada de Chuck estava aparecendo na USENET cerca de 12 horas antes de passar na TV americana. Vazava de dentro da emissora, suponho, e em 720p.

Vai lá, instala o SABnzbd+ e assina um mês ou dois da Supernews. Tu nunca mais vais querer usar torrent na vida.

E, não, não tenho medo de falar sobre isso, eu acabo comprando os DVDs ou BluRays dos filmes e séries que baixo, minha consciência está tão limpa quanto os esgotos de Paris. OH WAIT-

Como aumentar o seu número de listed no Twitter

O Twitter hoje começou por esses dias a liberar uma feature nova, as “lists”. E os probloggers e adeptos da meritocracia informal da internet já viram nisso uma nova métrica de popularidade, já que o número de seguidores não significava mais nada, graças aos mass-follows.

Mas duas coisas aconteceram na primeira meia hora que tive contato com as lists: fui adicionado a uma list robô de insatisfeitos com a Vivo (e estou bem satisfeito com eles, diga-se de passagem), provando que já há scripts para adicionar a lists.

Outra é que descobri que é possível se adicionar às suas próprias lists. Para isto, vá até seu perfil (na home da web, clicke na sua foto, ou entre em twitter.com/seu_username). É possível ver o dropdown de listas a incluir este perfil, mesmo as listas sendo tuas e o perfil também:

Tenha números artificiais, stick it to the man.

Tenha números artificiais, stick it to the man.

O seu número de listed será atualizado para incluir as suas próprias listas. Agora é só criar over9000 listas e seguir a si mesmo em todas, ser mais popular do que a Twittess.

Abraços a todos os envolvidos.

Hackeando RFID, se incomodando com a American Express

RFID (Radio-frequency Identification, ou Identificação por Rádio-Freqüência) é uma dessas tecnologias que tem um grande hype em volta, como o bluetooth ou a biometria, mas que é, também como esses, amplamente furada em termos de segurança.

Além dos problemas óbvios de privacidade, de se ter um cartão dentro do bolso transmitindo o teu nome e possivelmente o número do teu cartão de crédito para quem quiser ler, a criptografia normalmente empregada é nada mais do que precária. Há pouco tempo o Reino Unido resolveu implantar RFID nos seus passaportes. Em menos de 48 horas a criptografia foi quebrada e passaportes falsos foram feitos.

Este vídeo do BoingBoingTV explica muito bem a situação:

Estes cartões, por sinal, estão sendo distribuídos no Brasil, com a mesma (falta de) criptografia.

Obviamente, qualquer um que pretenda usar um cartão de crédito vai se manter bem longe da American Express. Mas a Visa e outras companhias já têm suas versões também.

Um leitor de RFID pode ser encontrado no ebay por 8 dólares, mais o frete para o Brasil, no máximo 25 dólares. E nem passa da cota, muito provavelmente nem imposto será cobrado. Então qualquer jaguara com 40 pila e um notebook pode roubar um cartão desses.

Como o tio ali no vídeo disse, as empresas não estão preocupadas em criar um sistema seguro, mas sim um sistema que pareça seguro para o consumidor. É importante estar alerta disso ao aderir a uma nova tecnologia.

Todas essas empresas estão cientes dos riscos da tecnologia, mas preferem esconder tudo.

Adam Savage, dos Mythbusters falou sobre isso na HOPE, uma conferência Hacker há pouco tempo:

[youtube]http://www.youtube.com/watch?v=-St_ltH90Oc[/youtube]

[Link para quem lê o feed]

RFID não é de um todo mau. A tecnologia é excelente para marcar gado, por exemplo. Mas eu não usaria nem mesmo para comanda de restaurante. Onde há seres humanos, há risco de segurança.

Destruidor de CDs e DVDs

De vez em quando a gente cruza por algo que parece maravilhoso à primeira vista, mas logo em seguida, depois que o efeito wow passou, a gente tem certeza de que isso é uma bela porcaria.

Este é um lindo exemplo:

Estragador de Discos

Estragador de Discos

Aparentemente a idéia é boa. Você tem aquele DVD de putaria backups que deve ser destruído. Basta colocar nesse negócio, fazer o que o manual diz, e, pronto, seu DVD estará irrecuperavelmente riscado.

Por 15 dólares, não parece nada mau.

Até você se dar conta de que uma lixa faria o mesmo efeito, e custa centavos. Ou que seu microondas também pode atingir os mesmos resultados, mas de uma maneira muito mais bonita.

[youtube]http://www.youtube.com/watch?v=Z1Wegnjmd-8[/youtube]

[Via Lifehacker]

Isso foi obra de um arquiteto, só pode

Porque engenheiros não fariam uma coisa dessas.

Aliás, dizem que arquitetos são aqueles que não foram afetados o suficiente para serem designers, nem homem o suficiente para serem engenheiros.

Banheiro

Guia rápido de manutenção de servidores por ssh

O ssh (secure shell) já salvou a minha vida mais de uma vez. É muito mais prático do que FTP quando se quer fazer alterações nos arquivos do servidor e não é necessário subir ou baixar nenhum arquivo. Além disso, existe o sshfs, que é uma grande facilidade para nós usuários do Linux, que podemos montar uma pasta ssh como se fosse um sistema de arquivos local, e ter todo o conforto de editores de texto gráficos e bonitinhos 100% online.

Abalone shell
Crédito da foto: Stryker W@SP

Ela provê uma conexão segura e encriptada a um servidor remoto, e te dá uma shell completa do sistema hospedeiro, que normalmente é unix. Conhecer a linha de comando então é mais que uma mão na roda, é obrigatório. Mas muita gente não vai muito longe do ls, cd, pwd, rm, mv.

Existem dois truques que eu uso muito em todos os sites que eu administro, e realmente facilitam muito a minha vida.

Imagina a situação: no teu site tem uma centena ou mais de arquivos de backup, simples cópias de segurança de arquivos, de antes de serem modificados, e você não precisa mais deles. Sempre ouvimos que é uma boa prática nesses casos simplesmente fazer uma cópia do arquivo, adicionando .bak ao fim do nome, mas ninguém nunca nos diz porque. Esse primeiro truque é justamente para tirar proveito disso. Tendo todos os teus arquivos de backup terminando em .bak, não importa quão espalhados eles estejam na árvore de diretórios, basta rodar este comandinho:

find . | grep .bak | xargs rm

(Antes que os xiitas venham reclamar, sim, dá pra juntar o find com um grep, mas o grep é mais rápido que o find para esse caso.)

Explicando por partes: Cada “|” (chamado de pipe) concatena comandos, passando a saída de um comando para o próximo. O primeiro comando, find ., lista recursivamente todos os arquivos do diretório atual. A saída é passada para o grep, que procura nessa lista por arquivos que contenham a expressão .bak no nome (e é uma boa rodar só os dois primeiros comandos para ter certeza de que não tá aparecendo nada extra aí). Por fim, temos o todo-poderoso xargs, que tem mais usos do que o próprio Stallman conhece, executa o comando rm em cada nome desta lista.

A segunda situação é quando precisamos fazer uma faxina no servidor, mas não sabemos o que diabos está pesando 1,5GB. Isso é facilmente resolvido com este lindo comando:

du -ch

(É fácil de lembrar dele, lê “duch”, que soa a “douche”, um xingamento em inglês).

Este comando vai também listar recursivamente todos os diretórios (mas só eles, não os arquivos), e te dar o tamanho de cada um, e o total da pasta atual no fim. Extremamente útil.

E ao fim do segundo dia…

Morto de cansado. Não há melhor maneira de descrever meu estado após o dia de hoje da FISL.

Nem tirei muitas fotos porque fiquei de palestra em palestra. Assisti uma especialmente boa, do Rasmus Lerdorf, criador do PHP.

Ele contou da sua experiência em portar todo o Yahoo para PHP, as dificuldades de um sistema em larga escala, como optimizar o código e principalmente como manter a segurança do sistema.

A wireless estava um pouco menos pior. Fora dos lugares mais movimentados, onde a interferência das outras redes era menor, eu pegava IP com certa facilidade, e até consegui baixar a incrível velocidade de 1MBps.

O problema, mesmo, era no meio do povo. Com cerca de 15 redes wireless, não tinha como não dar interferência. O resultado foi ligar na cabeada mesmo.

No pouco tempo que eu estive fora das palestras, vi um grupo de crianças que fazem parte de um projeto-piloto do OLPC, cada uma com seu XO. Peguei um pedaço da conversa de duas menininhas de, no máximo, 10 anos, que contavam ter blogs. Damn, competição de gatos a gente atura, mas menininhas pré-adolescentes?

No geral, foi melhor que o segundo dia, mas ainda temos os mesmos problemas de sempre. E pensar que depois de 9 anos já teriam aprendido…

Mulheres preferem chocolate à segurança

Incrível como mulher gosta de chocolate. Certo que homem também gosta, mas mulher tem uma necessidade que não dá pra explicar. O pior, mesmo, é que depois elas ficam atazanando a vida das pessoas em volta por causa da culpa que sentem ao comer, porque acham que estão ou vão ficar gordas, etc.

Chocolate
Creative Commons License photo credit: yoppy

Um grupo de cientistas desocupados resolveu testar até que ponto vai isso: Ofereceram chocolates para mulheres e homens em Londres, em troca de suas senhas. Cerca de 45% das mulheres aceitaram a troca, enquanto somentes 10% dos homens o fizeram. Obviamente deveriam ter tentado cerveja.

Isso nos leva a uma preocupação muito grande. Nós que cuidamos de segurança digital sabemos que as piores falhas são as humanas, porque são exatamente essas que não podemos prever ou consertar. A engenharia social é uma das habilidades mais valiosas para os hackers blackhat (os hackers do mal, crackers e afins), justamente por explorar características de todos os seres humanos, como a ingenuidade e a ganância.

A equipe do google e dos bancos que o diga, aliás. Todas essas medidas de segurança que foram implantadas no Orkut e internet bankings nos últimos dois anos são exatamente por causa do excesso de ataques de engenharia social. Sempre tem um idiota que acredita que vai poder ver fotos de álbuns bloqueados se instalar aquele programinha daquela comunidade. Sempre tem um bando de idiotas que acreditam que o banco precisa da sua senha para atualizar o cadastro…

E esse é exatamente o nosso maior desafio. Nenhum sistema é perfeito quando o usuário é um idiota.

HSBC parou no tempo

Está se tornando comum ver notícias de empresas que perderam dados de clientes, normalmente porque não têm nenhuma noção de segurança digital, e muitas vezes, nem de segurança física. Largam notebooks por aí, têm máquinas com firewalls precários, deixam discos de backup atirados… O resultado é como o meu armário: tende ao caos.

A mais nova empresa a perder dados relativamente importantes de clientes, como nome, data de nascimento e detalhes de seguros foi o HSCB, na Inglaterra. O detalhe é que os dados estavam em um disquete. É, isso mesmo. Essas coisas quadradas que os mais velhos devem ter nas gavetas, e tem gente que jura que chegou a usar um uma vez.

Disquetão

Creative Commons License photo credit: kalleboo

O outro problema é que eles estavam enviando o disquete. Partindo do princípio que eram dados importantes, e que eram no máximo um mega e quebrados de dados, custava mandar por email? É pra isso que existe criptografia, pombas!

Não sei porque ainda me surpreendo.

[Fonte: ZeroHora]

Urnas Livres: Orgulho nacional

As eleições no Brasil são um exemplo mundial a ser seguido, quanto a organização. E muito disse se deve ao fato de termos um sistema padronizado de votos, 100% eletrônico. Nos EUA, por exemplo, há urnas eletrônicas, mas elas são diferentes entre si, e a maioria dos lugares ainda usa cédulas de papel, aquela que se fura e ninguém acredita no resultado da contagem.

Aualmente, porém, há um único probleminha. As urnas rodam windows. O problema não é o windows em si, as urnas funcionam muito bem com ele, mas a legislação eleitoral determina que todos os programas utilizados na votação e na contagem dos votos sejam abertos à fiscalização. Embora o programa em si seja, o sistema operacional não é. Num esforço para mudar isso, o TSE autorizou a substituição do sistema em todas as 430 mil urnas para o Linux, e a compra de mais 50 mil. A economia imediata com lisenças também influenciou a decisão, claro. A expectativa é de uma economia imediata de 3 a 4 milhões de reais.

TuxCreative Commons License photo credit: malagent

Além disso, o Linux está sendo implantado também nos sistemas de contagem de votos, transmissão de dados e publicação de resultados. O nosso sistema eleitoral será, finalmente, totalmente livre. Isso vale também para todos os programas desenvolvidos pelo governo para rodar nas urnas e nos processos posteriores: Técnicos credenciados da OAB e do Ministério Público poderão testar o sistema contra fraudes desde já, e por até dois anos após essas eleições.

A nossa urna eletrônica não é algo que se mostra sob sigilo. O que desejo firmar é que nós estamos com um sistema totalmente aberto para acompanhamento por aqueles que tenham interesse legítimo. Não há o que esconder, não há o que escamotear.

Disse o presidente do TSE, Marco Aurélio Mello.

Isso também ajudará na implantação das urnas biométricas, completando assim a segurança do sistema eleitoral. Com urnas biométricas a possibilidade existente atualmente de uma pessoa votar por outra será anulada.

É nessas horas que eu tenho orgulho de ser brasileiro.

[Fonte: ZeroHora]

 
SEO Powered by Platinum SEO from Techblissonline