Bancos ganham novas tecnologias contra fraude

ATM serão equipados com biometria e sistema de vigilância digital para detectar comportamento suspeito

Os bancos começam brasileiros começam a se equipar com sistemas de biometria para reconhecer o cliente pelas características físicas, certificação digital para garantir mais segurança nas transações financeiras e câmeras digitais para controlar fraudes nas salas de auto-atendimento. As últimas novidades nessa área estarão em demonstração no Ciab, feira e congresso de tecnologia bancária, que a Febraban realiza esta semana, em São Paulo, de 13 a 06 de junho.

Uma das novidades que a feira vai mostrar são os ATMs com biometria, videoconferência, recursos de VoIP (voz sobre IP) e sistema de vigilância digital. Esses caixas eletrônicos vêm com sistemas para detectar o comportamento do usuário no terminal. Baseado em uma tecnologia que utiliza câmeras e algoritmos, o equipamento identifica operações suspeitas e aciona a segurança.

Fonte : Módulo News

[Dica] - Pesquisa Nacional de Segurança da Informação - Módulo

Olá caros colegas,

Recentemente saiu a Pesquisa Nacional de Segurança da Informação - Módulo Security.

Ela é bastante interessante para os profissionais e interessados na área por apresentar alguns parâmentro essenciais que ajudam identificar as oportunidades não só de mercado como também de índices técnicos.

Disponível em: http://www.modulo.com.br/pdf/10a-pesquisa-nacional-pdf.zip

Fonte : Módulo News

Alemanha declara ilegal o uso de "ferramentas de hacker"

O Governo da Alemanha atualizou sua lei de crimes digitais para tornar ilegais quaisquer ferramentas consideradas "para hacker". Profissionais de segurança e de redes de computadores estão preocupados com os reflexos que essa lei pode ter em seu dia-a-dia, pois utilizam essas ferramentas para fins profissionais defensivos e pacíficos.

Segundo o site Ars Technica, as novas regras endurecem as penas existentes e proíbe o uso não autorizado de programas que possam contornar ou desativar a segurança de um sistema. A notícia foi destaque no site da Computerworld e no britânico The Register.

Segundo a nova lei, desenvolver, distribuir e instalar esse tipo de software é ilegal. O problema é que algumas das ferramentas são usadas tanto pelos bandidos digitais quanto pelos profissionais de segurança que os combatem. Colocando as ferramentas do outro lado da lei, o governo alemão deixa as empresas e os órgãos públicos sem armas para se defender de ataques cibernéticos. A lei ainda cita nominal e explicitamente os ataques de negação de serviço (DoS - Denial of Service), que são considerados crime mesmo quando perpetrados a título de brincadeira. Em um ataque de negação de serviço, o agressor tira do ar algum sistema que esteja online. Quem for apanhado praticando o delito pode pegar até 10 anos de cadeia, além de pagar pelos prejuízos.

Algumas vozes, contrárias à medida, argumentam que a nova lei vai impedir a pesquisa e o desenvolvimento de soluções de segurança, mas não vai diminuir em nada a ação dos criminosos. O porta-voz do Chaos Computer Club, Andy Maguhn, criticou duramente as autoridades de seu país: "proibir esse tipo de software é mais ou menos como proibir a fabricação e a venda de martelos só porque algumas pessoas usam martelos para quebrar coisas". O Chaos é uma associação de usuários de informática bastante importante na Alemanha.

Além do problema com os bandidos digitais, há a preocupação com o abuso de poder por parte das autoridades. Maguhn revelou que os profissionais de segurança alemães estão preocupados com a possibilidade de a polícia começar a investigar suspeitos usando técnicas "hacker". A prática foi considerada fora-da-lei há alguns meses, mas teme-se que a polícia possa agir sem ser detectada caso os profissionais de TI estejam impedidos de usar suas ferramentas de trabalho.

A lei contra crimes digitais foi endurecida depois que ataques de negação de serviço deixaram um país inteiro, a Letônia, sem conexão com a Internet. Alarmados com a iminência de novos ataques, espera-se que outros países da Europa votem leis semelhantes. E não só na Europa. Em janeiro deste ano a Austrália também tornou ilegal o uso de várias ferramentas supostamente "para hackers"

Um efeito colateral dessa lei é bastante curioso. A maioria das distribuições de Linux do planeta (incluindo a SuSE Linux, que é desenvolvida na Alemanha) incluem as tais ferramentas de segurança banidas pela lei. Especula-se que a medida legal possa inviabilizar ou, senão, dificultar a disseminação do Linux (e do software livre em geral) no território alemão. A nova lei pode ser lida no atalho dtmurl.com/amr (em alemão).

Fonte : http://tecnologia.terra.com.br/inter...EI4805,00.html

Descobrir usuários válidos no Windows 2003 remotamente

Quando se utiliza o Active Directory no Windows para controlar os usuários e praticamente todos os recursos de uma rede Windows, pode-se definir os horários nos quais determinados usuários têm permissão para fazer o login. Isso é útil pois aumenta a segurança contra acessos não autorizados utilizando uma conta roubada (quando ainda não percebeu-se que esta foi comprometida).

Porém, no Windows 2003 é possível enumerar nomes de usuários válidos no sistema remotamente, quando se tem acesso ao servidor utilizando Terminal Services.

Por causa desta falha, quando se informa um nome de usuário válido uma mensagem é retornada pelo Domain Controller e ao se informar um nome de usuário inválido, outra mensagem (diferente) é retornada pelo DC. Lembrando que isso só é válido para contas que tenham a restrição de horas nas quais pode fazer o logon configuradas.

A Microsoft já informou que NÃO irá fornecer correções para esta falha, potencialmente perigosa. SE alguma correção for desenvolvida por eles, esta só será disponibilizada quando algum Service Pack for liberado para os usuários do Windows ou quando outra versão for liberada.

Vale citar que esta não é a única forma de se enumerar contas válidas em um servidor Windows (pode-se utilizar o protocolo NetBIOS para isso), é apenas mais uma “opção” para o pen tester.

Fonte: Not so Secure
http://www.notsosecure.com/folder2/2007/05/27/logon-time-restrictions-in-a-domain-in-windows-server-2003-allows-username-

Setor de sistemas eletrônicos de segurança cresce 14% e puxa criação de tecnologias personalizadas

O segmento de sistemas eletrônicos de segurança movimentou aproximadamente US$ 1 bilhão no ano passado, valor 14% superior ao de 2005, de acordo com a Abese (Associação Brasileira das Empresas de Sistemas Eletrônicos de Segurança).

De olho nesse mercado, as empresas do setor de segurança eletrônica começam a expandir e fortalecer sua atuação em direção aos setores comercial e empresarial, que atendam às especificidades de cada estabelecimento.

Atualmente, as grandes inovações tecnológicas estão baseadas em sistemas ligados a centrais computadorizadas, controle de acesso por biometria (leitura das digitais) e iridiologia (leitura da íris), monitoramento em locais de elevada concentração de público, integração de operações humanas com sistemas eletrônicos de segurança, digitalização de registros como imagens em vídeo e fotos, sensores de movimento, de abertura e infravermelho e circuitos fechados de televisão.

Fonte : Módulo News

Usuários devem redobrar a atenção. Especialistas alertam para evolução constante das pragas

O perigo não se limita aos sites desconhecidos. Até mesmo os mais populares podem danificar a sua máquina

Toda a atenção é pouca quando se trata de navegar pela Internet por sites desconhecidos. Mas, nem sempre é dos pouco explorados que podem vir as ameaças. O novo worm, SpreadBanker.A, utiliza um vídeo do YouTube para enganar os usuários e se propagar, segundo informa o PandaLabs.

O SpreadBanker.A é formado por dois componentes. Quando o usuário executa o primeiro deles, este se conecta à página do YouTube e exibe um vídeo. O problema é que, ao mesmo tempo, ele baixa a segunda parte do worm no computador.

Este worm está programado para roubar senhas introduzidas em páginas de vários bancos on-line. Além disto, também pode roubar detalhes de login de jogos como Age Of Mythology, GTA, Unreal Tournament, WarCraft ou Final Fantasy.

Ele também faz modificações no registro do Windows e cria cópias de si mesmo em diversas pastas pertencentes aos programas P2P (peer to peer). Estas cópias recebem nomes atraentes como "sexogratis" ou "crackwindowsvista" para chamar a atenção dos usuários dessas redes e se propagar.

O worm também modifica o arquivo hosts para impedir o acesso do usuário a páginas da web relacionadas a produtos de segurança.

"O malware está cada vez mais sofisticado. Neste caso, uniram a capacidade de propagação dos worms com a utilidade para roubar senhas dos Trojans. Desta forma, os criminosos virtuais esperam conseguir o maior lucro possível de cada infecção realizada", explica Eduardo D¿Antona, diretor-executivo da Panda Software.

Bancos ganham novas tecnologias contra fraude

Os bancos começam brasileiros começam a se equipar com sistemas de biometria para reconhecer o cliente pelas características físicas, certificação digital para garantir mais segurança nas transações financeiras e câmeras digitais para controlar fraudes nas salas de auto-atendimento. As últimas novidades nessa área estarão em demonstração no Ciab, feira e congresso de tecnologia bancária, que a Febraban realiza esta semana, em São Paulo, de 13 a 06 de junho.

Uma das novidades que a feira vai mostrar são os ATMs com biometria, videoconferência, recursos de VoIP (voz sobre IP) e sistema de vigilância digital. Esses caixas eletrônicos vêm com sistemas para detectar o comportamento do usuário no terminal. Baseado em uma tecnologia que utiliza câmeras e algoritmos, o equipamento identifica operações suspeitas e aciona a segurança.

Fonte : Módulo News

IRIB quer que cartórios se tornem emissores da certificação digital

Entidade entrou com pedido junto à Receita Federal para que seus 7 mil associados possam prestar este serviço em todo o Brasil

A Receita Federal do Brasil (RFB) recebeu pedido do Instituto de Registro Imobiliário do Brasil (IRIB) para se habilitar ao serviço de emissão de certificados digitais e-CPF e e-CNPJ. O IRIB tem mais de sete mil cartórios de registro filiados e poderá prestar serviços aos cidadãos em todo o País.

De acordo com o coordenador-geral substituto de Tecnologia e Segurança da Informação da RFB, Donizetti Victor Rodrigues, essa nova autoridade certificadora deverá emitir grande número de e-CPF e e-CNPJ. "Em qualquer município brasileiro e até distrito sempre há um cartório", diz Donizetti, reforçando que o objetivo é disseminar o uso da certificação em todo o Brasil.

Além das cinco autoridades certificadoras já habilitadas pela Receita (Serasa, Certisign, Serpro, Companhia de Tecnologia da Informação de Minas Gerais e Imprensa Oficial do Estado de São Paulo), está em fase final de credenciamento o Sincor (Sindicato dos Corretores de Seguros) e Fenacon (Federação Nacional dos Contabilistas). A próxima entidade a se habilitar será o Colégio Notarial do Brasil, cuja documentação foi entregue à Receita em 29 de maio.

Segundo o coordenador da Receita, atualmente há um milhão de contribuintes com certificação digital no Brasil. "Nossa expectativa é que, dentro de dois anos, esse número atinja 5 milhões", comenta, lembrando que a tecnologia faz com que Fisco tenha relação de mão-dupla com os contribuintes, trocando informações e dados via rede de forma ágil e segura.

Fonte: Módulo News

Google compra empresa de software antivírus

O Google está ingressando também no mercado de antivírus. A companhia arrematou dessa vez a GreenBorder Technologies, poucos dias depois de anunciar que pretende utilizar sua infra-estrutura de data center para investigar e identificar quais sites listados por seu sistema de pesquisa contêm malware.

Assim como a maioria das outras companhias adquiridas pelo Google, a GreenBorder também suspendeu downloads de seus softwares. No entanto, a companhia informou que manterá seu suporte disponível para clientes durante a transição.

A companhia tem ofertado uma versão grátis de seus programas e também uma versão paga, com aplicações destinadas a usuários corporativos. Entre elas está um produto que promete proteger os computadores com o navegador Internet Explorer e o correio eletrônico Outlook, ambos da Microsoft. O sistema leva o nome de GreenBorder Professional Edition.

A GreenBorder popularizou sua tecnologia com promessas de impedir a execução de códigos maliciosos nas máquinas. A forma previa forçar a execução do conteúdo não confiável a serem executados em um ambiente virtualizado e protegido.

IDG Now! - Crime digital: quais as principais legislações ao redor do globoA companhia está sediada em MountainView, mesma cidade do Google. Até o momento o buscador não comentou a nova aquisição.

Fonte : IDG NOW

Antivírus tradicionais são inconsistentes e incompletos, diz estudo

São Francisco - Ainda que as soluções AV não tenham morrido, elas poderiam se apoiar em novas camadas para garantir mais segurança.

De acordo com estudo publicado pela Universidade de Michigan e pela empresa de segurança de redes Arbor, soluções antivírus são no máximo inconsistentes quando trata-se de se identificar ataques como worms, phishing ou redes zumbis. O relatório (em inglês) é chamado Classificação automática e analise de malware na internet.

”Usando uma grande e nova amostra de malware que ataca de diversas formas (como spyware, worms e spam, por exemplo), mostramos que a descoberta entre diferentes produtos AV é inconsistente e, em relação aos malware, é incompleta, além de falhar em ser concisa em sua semântica”, diz o relatório. Em outras palavras, as técnicas de antivírus falharam em detectar ou dar rótulos entre 20% a 62% das 3,7 mil amostras de malware.

Os pesquisadores argumentam que uma nova técnica de classificação é demandada, que use “o comportamento do malware em termos de mudanças no sistema”. O levantamento afirma que, ao utilizar uma nova metodologia para classificar os malwares, é possível cuidar do crescente volume e diversidade de pragas na internet.

*Equipe Network World, de São Francico (EUA)

Fonte: IDG NOW

Google é a pior empresa em proteção à privacidade na web, diz estudo

Cingapura - Privacy International lista conduta de 23 empresas de internet quanto à privacidade e classifica o gigante das buscas como a pior.

Quando se trata de proteção à privacidade na web, o Google é o pior colocado, segundo um estudo divulgado pela organização Privacy International (Privacidade Internacional).

O resultado é baseado em seis meses de pesquisa com 23 empresas de internet. O Google foi considerada a pior delas no quesito privacidade, praticando “monitoramento abrangente do consumidor e forte hostilidade à privacidade”.

Outras empresas, como Yahoo! e Microsoft, ficaram ligeiramente melhor posicionadas no ranking. Como razões para a classificação do Google, a organização cita a imensa quantidade de dados coletados pela empresa e a falta de controles de privacidade.

A situação do gigante das buscas ficou ainda mais delicada após o diretor da Privacy International, Simon Davies, ter enviado uma carta aberta ao CEO do Google, Eric Schmidt, acusando a companhia de iniciar uma campanha para atacar os critérios da pesquisa.

Segudo Davies, dois jornalistas europeus disseram separadamente que representantes do Google os contatou para dizer que a organização tem interesses próprios ao denegrir a imagem da companhia, já que um dos 70 participantes do conselho da entidade está atualmente empregado na Microsoft.

Davies rejeitou os argumentos, listando cinco ações importantes do grupo contra a Microsoft, incluindo o apoio à investigação antitruste da Comissão Européia contra a empresa de Bill Gates.

*Sumner Lemon é editor do IDG News Service, em Cingapura, e Steven Schwankert é editor do IDG News Service, em Cingapura.

Fonte : IDG NOW

Segurança no pendrive

Usar o sistema operacional no pendrive é seguro? Leia a análise de Marco Sêmola.

Programas de computador, sem exceção, possuem falhas de desenvolvimento e codificação, consideradas inerentes a sua natureza, mas algumas dessas falhas podem comprometer a estabilidade do programa ou ainda comprometer direta ou indiretamente a seguranca do sistema operacional e afetar a privacidades e os dados do usuario.

À medida que a mobilidade do usuário e o tele-trabalho se tornam mundialmente uma realidade, surgem alternativas criativas e interessantes com os sistemas operacionais de bolso.

Refiro-me especialmente a uma nova modalidade de operação dos sistemas Linux, em geral, chamada Live CD. Existe uma infinidade de sistemas operacionais abertos e “sabores” diferenciados de Linux, mas muitos deles, com a proposta de serem portáveis, enxutos e indolores, já podem ser transportados e executados a partir de simples mídias de CD, DVD ou até Pen Drives USB.

Dessa forma, podem entrar em funcionamento rapidamente após iniciar qualquer computador que permita o boot por CD ou USB sem interferir no ambiente de trabalho e sistema operacional originalmente instalado.

Deixando a compatibilidade e outros aspectos funcionais de lado, essas variantes de Linux podem ser também muito úteis quando é preciso utilizar um computador público ou de terceiros, sem que você interfira no sistema operacional e no ambiente de trabalho originais.

Entretanto, o maior beneficio está na possibilidade de levar consigo o próprio ambiente de trabalho, no qual você confia e se sente seguro para realizar operações críticas como realizar uma transação no internet banking, enviar um e-mail ou ainda qualquer tarefa rotineira que poderia estar em risco caso a executasse em um computador contaminado com um vírus, um trojan hourse ou com qualquer outro aspecto de segurança comprometido.

Em geral, os Linux na versão Live CD cabem em um único disco, quando não, podem ser gravadas e executadas em um DVD ou em um generoso Pen Drive USB com mais de 1 GB. Este último ainda permite a configuração personalizada do ambiente de trabalho e sua gravação, assim como de qualquer outro arquivo de dados, no próprio dispositivo.

Costumam vir acompanhados de muitos aplicativos de código aberto para auxiliar o usuário nas mais comuns tarefas, como acessar a internet; enviar e receber emails; assistir vídeo; editar um documento ou uma planilha eletrônica e muito mais. E antes mesmo que seu lado conservador condene completamente a iniciativa, vale lembrar que a comunidade Linux tem obtido avanços significativos em relação ao suporte de hardware e especialmente à interface gráfica, podendo entusiasmar até o mais incrédulo usuário.

Popularmente comparando, esta alternativa pode representar para o usuário de computador praticamente o mesmo que um preservativo contraceptivo representa para seu usuário ao se relacionar com múltiplos parceiros, ou seja, independente do estado de saúde do parceiro, ele carrega consigo um mecanismo que o isola do potencial risco, tornando a experiência sempre segura e saudável onde quer que ele esteja.

Infelizmente, esta descoberta não elimina completamente as ameaças e os riscos no uso do computador mesmo que você carregue um ambiente computacional conhecimento e confiável, pois como já disse, conceitualmente todo programa de computador possui falhas e nada impede que um descuido ao abrir um arquivo suspeito ou até mesmo o aparecimento de uma nova ameaça especializada em explorar falhas do seu ambiente de código aberto, não provoque um furo no seu preservativo.

Conhecido o cerário de uso, mapeados os riscos e ponderados os benefícios de possuir uma versão e bolso de um sistema operacional, só resta escolher o sabor de Linux que melhor se alinha ao seu paladar, sem esquecer que também existem ótimas distribuições brasileiras, e adicioná-lo à bagagem.

Marcos Sêmola é Diretor de Operações de Security & Information Risk da Atos Origin em Londres, Consultor Sênior em Gestão de Segurança da Informação, certificado CISM, BS7799 Lead Auditor, Membro da ISACA, ISSA, CSI e fundador do IISP – Institute of Information Security Professionals of London. Professor da FGV, Pós Graduado em Negociação e Estratégia pela London School, MBA em Tecnologia Aplicada, Pós Graduado em Marketing e Estratégia de Negócios, Bacharel em Ciência da Computação, autor de livros sobre gestão da segurança da informação e inteligência competitiva. Premiado SecMaster® em 2003 e 2004, tornando-se membro da comissão em 2005. Visite www.semola.com.br ou contate marcos@semola.com.br

NIC.br implementa protocolo de segurança DNSSEC

O Núcleo de Informação e Coordenação do Ponto br - NIC.br, entidade civil sem fins lucrativos criada para implementar as decisões e projetos do Comitê Gestor da Internet no Brasil, o CGI.br, anuncia a disponibilidade da nova extensão do protocolo DNS (Domain Name System), o DNSSEC (Domain Name System Security Extensions). A nova versão do protocolo de segurança chega ao mercado, mas não substituirá a anterior, usada há mais de 20 anos.

O DNSSEC permite ao usuário validar uma resposta de DNS, ao checar sua integridade, mesmo nos casos em que a resposta indique a não existência de um nome ou tipo. O novo protocolo foi criado com estas características para melhorar a segurança na resolução de nomes e, consequentemente, a confiança no sistema de nomes de domínio. O sistema utiliza criptografia de chaves públicas somente para a validação de assinaturas.

A nova versão do protocolo visa verificar a autenticidade de registros, garantir a segurança no uso do DNS por outros protocolos de segurança, como o SPF (Sender Policy Framework) e o DKIM (DomainKeys Identified Mail) além de ser uma plataforma para a distribuição de chaves também em outros protocolos. Ela é uma evolução da anterior, que poderá continuar sendo utilizada.

O DNSSEC inicialmente poderá ser utilizado nos domínios ".br", "gov.br", "blog.br", "eng.br" e "eti.br" e estará disponível nas interfaces Web, com a adição de campos para a coleta do registro DS (Delegation Signer), e EPP (Extensible Provisioning Protocol).

Fonte : Módulo News

[ Interessante ! ] Projeto de lei exige plástico biodegradável no comércio para reduzir o impacto ambiental

Projeto de Lei do deputado Sebastião Almeida (PT-SP) exige que os estabelecimentos comerciais do Estado de São Paulo troquem as sacolinhas de plástico comum por material biodegradável no prazo de um ano, a contar da data de publicação da legislação. O parlamentar se inspirou em uma lei similar que foi aprovada em março deste ano em São Francisco (EUA).

O parlamentar destaca que algumas estimativas indicam a produção anual de 210 mil toneladas de plástico-filme no Brasil. O composto é utilizado principalmente para a fabricação de saquinhos de supermercado. "Na maioria das cidades não existe a coleta seletiva e todo esse plástico termina em aterros sanitários e lixões a céu aberto", afirma o deputado. Além de usar petróleo na produção, algumas embalagens precisam de 300 anos para se decompor no ambiente. De acordo com ele, os sacos biodegradáveis desaparecem em até 40 dias dependendo da condição em que for estocado.

O PL 534/07 determina a adoção de embalagens plástica oxi-biodegradáveis, que apresentam degradação inicial por oxidação acelerada pela luz e pelo calor e em um período de tempo especificado. "O mais importante é que esse plástico seja biodegradado por microorganismos, tendo como resultado CO2, água e biomassa para que os resíduos finais desse processo não poluam o Meio Ambiente", diz o deputado.

Fonte : Módulo News

Spyjax descobre o que há no histórico do seu browser

Você acha que seu histórico na Internet é privado? Bem, o Spyjax não acha. O widget explora uma característica comum a todos os browsers: a mudança de cor nos links que você já visitou. Assim, um código de Javascript é capaz de verificar a cor de uma lista de links que você pode ter visitado – graças a tecnologia Ajax centenas de links podem ser testados em segundos, sem que você perceba.

“Tudo que um website precisa fazer para ver as páginas que você viu é colocar uma lista de links na página e examinar a cor desses links. A tecnologia Ajax pode ser usada para buscar uma lista de links para teste e depois mandar os resultados para o seu servidor sem que os usuários desconfiem”, diz o site do Spyjax.

E qual a aplicação prática dessa malandragem, além, claro , da mera curiosidade? Você pode ver que outros sites seus usuários também acessam, e saber quem são seus concorrentes. Fora isso, pura espionagem.

Se você não quer que ninguém descubra nada sobre seu histórico há três alternativas básicas: desabilite completamente o JavaScrip no seu browser, apague seu histórico ou pare de entrar em sites que não devia.

Fonte: Mashable
Acessado em: TNow!