Posts tagged Segurança Física
Design e segurança
Sempre tive um interesse muito grande pelo design de uma maneira geral. Por conta disso, sempre me incomodou muito o fato da segurança* caminhar muito longe desta disciplina. Embora existam algumas poucas áreas de interação, podemos dizer que quando você pensa em um design de qualidade, dificilmente você verá a segurança bem integrada dentro da coisa toda. Pense num móvel de design assinado e pense depois num fragmentador de papel e você vai ter uma idéia do que eu estou querendo dizer. Ou então pense num prédio bonito, e depois lembre daquelas câmeras estilo Santa Efigência/Uruguaiana/Feira do Paraguai, com aquelas gambiarras toscas na fiação, e o resultado será o mesmo. Por isso, sempre que eu vejo um objeto de segurança deliberadamente desenhado levando em consideração aspectos referentes ao uso, técnicas de produção, aparência estética, etc. eu acho que é um fato a ser noticiado. Nesta semana eu recebi através de um site bem interessante, o Yanko Design, as imagens de um fragmentador de papel inovador e bacanudo. Se você já era um fragmentador de papéis compulsivo, agora é que você não vai mais querer voltar pra tua cadeira no escritório. Dá uma olhada no Paper2Dust:

O fragmentador além de ser particularmente simpático, ainda é extremamente seguro, pois transforma o papel em , ao invés de transformá-lo em pedaços. Isso evita qualquer tentativa de tentar remontar os documentos. Além disso, o usuário vê o resultado da fragmentação, o que tangibiliza o processo todo um pouco mais (além de torná-lo mais viciante ;-) Por hora, é apenas um conceito. O produto ainda não existe, mas sinaliza para um futuro interessante.

* Quando eu disse que o design está longe da segurança, eu me referia a security e não a safety, já que este último incluiria as preocupações de segurança com o uso de produtos e serviços em geral.

Read More
Cofre com chupa cabra

cofrecabra2.jpg

Os espanhóis inventaram as tapas e os cofres com uma propensão a clonagem de cartões de crédito. Eu já tinha visto essa engenhoca aí em hotéis de diversos países. Essa semana foi num hotel que eu estou aqui no Panamá. O princípio é bem intencionado: para simplificar o fechamento do cofre, sem criar com problemas de esquecimento de senhas, a porta abre e fecha com o cartão de crédito do hóspede. O avanço científico é fabricado por uma empresa de Zaragoza chamada BVT. A idéia é, obviamente, idiota. Um funcionário da manutenção pode colocar um clonador no cofre, contando ainda com a opção de selecionar os quartos mais luxuosos, pegando assim os cartões com os limites mais gordos. O dispositivo passaria despercebido pela operadora do cartão, já que o sistema do cofre é off-line e (provavelmente) não autorizado por ela
Read More
Wiki para mapeamento de crimes

wikicrimes.gif

O WikiCrimes é um projeto de pesquisa da Célula de Engenharia do Conhecimento da Universidade de Fortaleza, sob a coordenação do Professor Vasco Furtado. O sítio é um mashup onde os usuários podem cadastrar crimes que tenham sofrido,  gerando estatísticas que podem ser visualizadas de diversas maneiras, incluindo uma visão geo-referenciada através do Google Maps.

Como os índices de notificação de crimes para as autoridades competentes nem sempre representam a realidade por uma série de fatores, a idéia do sítio é criar uma base alternativa que possa ser contrastada com os dados oficiais.

Read More
Atravessar a rua falando no celular pode gerar multa

Crossing the streets by Jonathan Irwin

Um político dos EUA está em campanha para aprovar uma lei que multará pedestres que atravessarem a rua falando ao telefone celular. O legislador Kenneth Dunkin do estado de Illinois acredita que a sua lei ajudará a reduzir a mortalidade de pedestres. Um exemplo típico de lei polêmica, a iniciativa já está dando o que falar. Notícias satirizando ou apoiando a iniciativa têm aparecido em alguns sites e blogs por aí. E você, o que acha? Pura maluquice exagerada ou uma medida importante para conscientizar as pessoas sobre os riscos envolvidos? Fonte: The Register.
Read More
IBM desenvolve algoritmo de resposta a desastres

ibm2.jpg

A IBM patenteou nos EUA um algoritmo cujo objetivo é aumentar a eficiência na resposta a catástrofes naturais. A técnica é chamada de Programação Estocástica, podendo ser usada para uma ampla gama de aplicações.

Na resposta aos desastres, as técnicas ajudariam a aumentar a velocidade do processo de tomada de decisões em momentos de crise. Segundo a notícia, quase 200 milhões de pessoas são afetadas todos os anos por esse tipo de incidente. Entretanto, as iniciativas governamentais estão normalmente baseadas em sistemas desconexos, sem inteligência específica para lidar com este tipo de problema.

Maiores informações na fonte original: IBM touts complex math to help handle natural disasters.

Read More
Hackers publicam impressões digitais de ministro

Fingerprint por sensesmaybenumbed

O CCC (Chaos Computer Club), um grupo de hackers alemães, resolveu publicar as impressões digitais de Wolfgang Schauble, Ministro do Interior da Alemanha, como forma de protesto contra as iniciativas do governo alemão de armazenar informações biométricas em passaportes eletrônicos. Um simpatizante do grupo capturou as impressões digitais a partir de um copo usado pelo ministro em um painel de discussões. A notícia, bem como uma explicação do método utilizado para a coleta, foram divulgadas na última edição da revista Die Datenschleuder, a principal publicação do CCC. Quatro mil edições da revista foram impressas contendo um filme plástico para ser colocado sobre os dedos dos leitores, para que estes possam se passar pelo ministro. O CCC é uma organização hacker fundada em Berlin no ano de 1981, o que a torna um dos mais antigos (e influentes) grupos da atualidade. Segundo o Wikipedia, a organização conta hoje com 1800 membros. O CCC é muitas vezes classificado com um grupo gray hat, tendo um comportamento que o coloca no limite entre o legal e o ilegal e que já lhes causou uma série de problemas. Eles são responsáveis pelo Chaos Communication Congress, um evento que seria o equivalente europeu da DEF CON, o maior evento hacker existente. A porta voz do primeiro ministro informou que nenhum tipo de ação legal será tomada contra o grupo, provavelmente por medo de dar visibilidade aos seus questionamentos que são totalmente pertinentes, embora o método possa ser condenável. A coleta indiscriminada de informações biométricas é uma prática que certamente gerará muitos problemas no futuro e os seus defensores e financiadores não estão dando a devida atenção ao problema. Via Gizmodo.
Read More
Artigos mais acessados de 2008

Compact Card Calendar por Joe Lanman

Hoje faz exatamente três meses que este blog está no ar. Certamente um período curto de tempo, mas que me deixa muito feliz por conta do resultado alcançado. Para compartilhar um pouco dessa realização com os leitores, resolvi fazer aqui um resumo de quais foram os artigos, posts e seções que foram os campeões de audiência do trimestre. Os três artigos mais acessados (e comentados) foram: Guia de Certificações em Segurança da Informação - Parte 1 - Essa série, que ainda está sendo publicada, junta em uma única fonte a maior quantidade possível de informações sobre as certificações profissionais existentes na área de segurança da informação (SI), além de fornecer dicas de preparação. A Parte 2A deste artigo também foi publicada e está disponível aqui. Resoluções de Ano Novo - Como Fazer o que Você Ama - O segundo colocado é um texto que não é de minha autoria. Ele foi traduzido a partir de um original do Paul Graham (autor do livro Hackers and Painters) e é o texto mais inspirador que eu já li sobre como dar um rumo a sua carreira profissional. Como não implementar medidas de segurança - Parte 1 - Essa série também está em publicação. Nela eu comentei alguns aspectos sobre a postura dos profissionais de SI que podem influenciar na resistência que ele enfrentará dentro da organização onde trabalha. A Parte 2 já está disponível e explica na prática como proceder com as negociações durante o processo de definição controles, também com o objetivo de diminuir resistências. Na última parte eu falarei sobre como conscientizar os usuários a respeito dos controles mas, enquanto ela não sai, há também um artigo disponível aqui sobre o assunto. Já os três posts mais acessados, com títulos auto-explicativos, foram: Explicando um deadlock com imagens de trânsito (ISC)² publica guia sobre como contratar profissionais de SI Como se preparar para o CISM Por fim, as seções mais acessadas do blog são: Livros publicados - Trabalhei como autor e organizador de três livros sobre segurança da informação, mas infelizmente os dois mais populares estão esgotados. Há planos para a publicação de uma nova edição mas, por hora, a única forma de conseguir os dois volumes do Security Officer - Guia Oficial para Formação de Gestores em Segurança da Informação é comprando de segunda mão. Uma boa dica é tentar em listas de discussão especializadas como a CISSP BR. O outro livro no qual eu trabalhei (Information Security Management Handbook) foi publicado nos EUA e pode ser encontrada nas livrarias de lá, ou em qualquer livraria especializada por aqui, como a Livraria Cultura. Artigos - Todos os artigos disponíveis no blog estão nesta seção. Você também pode usar a barra de categorias lateral para filtrar tanto artigos como posts de acordo com o tema de sua preferência. Palestras - Aqui estão todas as principais palestras que eu ministrei nos últimos dez anos. Se você gostaria de ter visto algum e perdeu, ela provavelmente deve estar aqui. Aproveito esta mensagem para agradecer as mensagens e os comentários freqüentes dos leitores e colegas que têm contribuído para enriquecer todo o conteúdo que eu publico por aqui. Grande abraço!
Read More
Governo prioriza proteção da infra-estrutura crítica

brasao_brasil.gif

Uma matéria publicada na Folha de São Paulo, sobre o impacto dos movimentos sociais no Brasil, especificamente o MST e similares, informa que o GSI (Gabinete de Segurança Institucional) fará um mapeamento da infra-estrutura crítica do país de forma a minimizar possíveis impactos a essas instalações. Internacionalmente, essas ações costumam receber o nome de proteção à infra-estrutura crítica. Normalmente, estão incluídas nessas atividades o mapeamento de instalações, serviços ou processos tidos como críticos, cujo impacto em seu funcionamento pode trazer sérios problemas econômicos, sociais, políticos, diplomáticos ou de segurança nacional. No próximo mês de maio será o aniversário de dez anos do início deste tipo de iniciativa nos EUA, onde o programa se encontra em um estágio bem mais maduro que o brasileiro. O programa norte-americano foi posteriormente expandido por um decreto do presidente George W. Bush, em uma das muitas respostas aos atentados sofridos pelas torres gêmeas. Maiores informações estão disponíveis no Wikipedia. O GSI está vinculado diretamente à Presidência da República, e possui status de ministério. O ministro-chefe é o Gen. Jorge Armando Felix, cujo compromisso e apoio às iniciativas de Segurança da Informação no Brasil são notórias. Sob o comando do GSI encontram-se a ABIN (responsável pelo PNPC - Programa Nacional de Proteção ao Conhecimento) e a Secretaria-Executiva da Câmara de Relações Exteriores e Defesa Nacional, que trabalha em parceria com o CGSI (Comitê Gestor de Segurança da Informação). O CGSI é um comitê multidisciplinar que assessora a Secretaria-Executiva, sendo que sua iniciativa mais conhecida é a publicação da Política de Segurança da Informação para a Administração Pública Federal, feita em 2000, através do Decreto 3.505 Acabei por fazer um resumo das principais iniciativas de SI na esfera do Governo Federal. Todas elas estão alinhadas com a visão, que para mim é cada vez mais marcante, que o Brasil precisa se profissionalizar em vários aspectos, uma vez que estamos saindo da posição de "capital mundial da simpatia" (nome de uma matéria da Exame desta semana) para um país que tem cada vez mais destaque no cenário internacional (e incomoda cada vez mais).
Read More
Guia de Implementação para um Sistema de Gestão de Continuidade

enisa.jpg

A ENISA (European Network and Information Security Agency) publicou mais um guia de excelente qualidade, e totalmente gratuito, sobre a implementação de um Sistema de Gestão de Continuidade de Negócios (BCMS - Business Contintuity Management System). Intitulado Business and IT Continuity: Overview and Implementation Principles, o guia contém 175 páginas de muita informação e está organizado em conformidade com a norma inglesa BS25999 e com a brasileira NBR 15999 (que foi inspirada na norma inglesa). Além disso, a elaboração do guia considerou ainda mais de uma dezena de outras normas, recomendações ou padrões no seu processo de elaboração, incluindo o ITIL v3 e o CobiT. Se você está em um projeto sobre continuidade, ou estará em um futuro próximo, essa é certamente uma literatura indispensável. Business and IT Continuity: Overview and Implementation Principles.
Read More
A cada quatrocentos telefones, um foi legalmente grampeado

This phone is tapped - por Sparky

O número te assustou? A mim também. O mais alarmante é que ele se refere apenas a telefones que foram legalmente interceptados através de ordens expedidas pela justiça apenas no ano de 2007. Se for colocado no bolo as interceptações clandestinas, não é difícil acreditar que existam mais de meio milhão de telefones grampeados no país enquanto você está lendo esta entrada. A notícia completa saiu na Folha de São Paulo.
Read More
Kit espionagem baseado em um celular 3G

Colete de espionagem 3G

Uma coisa que sempre desperta a minha curiosidade é a popularização de aparelhos de espionagem utilizando tecnologias simples e baratas que foram originalmente projetadas para uso pessoal. Uma empresa na Inglaterra lançou um colete com câmera e microfone embutidos, que permite o monitoramento remoto em tempo real de vídeo e som. O kit ainda permite o acoplamento de um dispositivo GPS, completando o pacote com a coleta das coordenadas do sujeito que estiver usando o colete. Nada que não possa ser feito em casa por um adolecente de 12 anos aspirante a James Bond. Embedding a 3g Video Camera into clothing
Read More
Nova revista canadense sobre segurança

Security Matters - Fall 2007

Foi lançada no Canadá a revista Security Matters, focada em conteúdo para profissionais de segurança. Sua assinatura é gratuita para residentes nos EUA e Canadá. Se você quer receber este tipo de publicação no Brasil sem pagar fortunas pela assinatura, o melhor macete é usar um serviço como o SkyBox. Com ele, você ganha um endereço nos EUA e, tudo que for entregue lá, eles mandam pra tua casa, cobrando apenas o envio (e os impostos, claro ;-). Porém, livros, revistas e periódicos são isentos de tributação.
Read More
Adolescente hackeia sistema de trens usando um controle remoto de TV

Tram

Sou contra títulos sensacionalistas para notícias, mas o que aconteceu neste caso foi exatamente o que você leu. Um adolescente polonês que vive em Lodz invadiu o sistema que gerencia os trens* da cidade usando um controle remoto de televisão adaptado. Resultado: confusão, quatro trens descarrilados e doze pessoas feridas. Esse é o conteúdo das acusações que estão sendo feitas contra ele. O adolescente foi descrito pelos seus professores como um estudante exemplar, fã de eletrônica. Ele vai responder pela acusação de por em perigo a ordem pública em uma corte juvenil da justiça polonesa. O que mais impressiona na notícia é a facilidade com a qual um sistema tão crítico foi comprometido. Embora a notícia informe que o adolescente supostamente estudou o alvo durante um longo período, o simples fato de ele ter conseguido deixa muito claro que elementos básicos de proteção não foram observados. * Mais precisamente, ele descarrilou um sistema de trams, que no Brasil são chamados de bondes, mas que na sua versão moderna se assemelha bastante a um trem de superfície. Eles são mostrados na foto deste artigo. Fonte: The Register
Read More
Etiquetas RFID para roupas (ou como fazer jaquetas rastreáveis)
Que tal uma etiqueta para roupas, aquela onde são colocadas as informações sobre a temperatura do ferro de passar e outros cuidados, que possua dentro de si uma tag RFID? Imagine seu ferro regulando automaticamente a temperatura de acordo com as informações da etiqueta ou a lavadora decidindo se vai ou não colocar alvejante na lavagem. Imaginou? Agora imagine que suas roupas sendo rastreadas por onde passam, permitindo (por exemplo) que um motel saiba quantas vezes você foi lá no último mês. Não parece mais tão legal, né?

Via Yanko Design.

Read More
Cuidado com os carros quando estiver ouvindo seu iPod!
A polícia do estado de New South Wales, na Austrália, iniciou uma campanha de mídia impressa de alto impacto, cujo objetivo é alertar os usuários de tocadores MP3 sobre os riscos de caminhar de maneira desatenta enquanto se está ouvindo sua música preferida ou seu podcast indispensável.

 

Segundo a fonte das imagens, o número de adolescentes mortos por atropelamento nessas condições está alcançando patamares alarmantes.

Via The Cool Hunter

Read More
Quais as sociedades que menos protegem a privacidade de seus cidadãos?

Common Criteria - Some rights reserved - by Markus Mayer

A Privacy International é uma ONG, fundada em 1990, com o objetivo de observar governos e corporações e suas práticas de proteção da privacidade de pessoas e informações. Anualmente, eles publicam um ranking internacional, apontando quais são as sociedades que menos iniciativas possuem no sentido de resguardar a privacidade de seus cidadãos. O Brasil aparece na categoria definida por "falha sistemática em sustentar proteções" de privacidade. Nas explicações, são mencionados o caso Cicarelli X YouTube, a falta de uma lei de proteção de dados, como as que vêm sendo adotadas nos EUA e na Europa, e o fato de, embora a interceptação de conversar telefônicas seja considerado um crime grave, ela é feita de maneira insdiscriminada, com serviços anunciados em jornais de grande circulação. The 2007 International Privacy Ranking
Read More
Lambança no programa de classificação de informações brasileiro

O programa de classificação de informações da administração pública brasileira, parte da política nacional de arquivos públicos e privados, foi instituído pela Lei 8.159, em 8 de janeiro de 1991. Essa versão, totalmente reformulada, teve como objetivo substituir o programa antigo, criado na época da ditadura militar. Numa velocidade que é característica da administração pública brasileira, a lei só foi terminar de ser regulamentada em janeiro de 1999, oito anos depois. Quando todo o aparato legal estava finalmente pronto, ele foi substancialmente alterado em 2002, pelo então presidente Fernando Henrique Cardoso. Primeiro com uma reestruturação no Conselho Nacional de Arquivos, em janeiro, e depois com alterações mais substanciais no programa, em dezembro do mesmo ano. Curiosamente, em dezembro de 2002 o programa foi alterado duas vezes. Primeiro, com o Decreto 4.497, no dia 4, depois com o Decreto 4.553, que cancelou o próprio 4.497, vinte e três dias depois deste. Tamanha barbeiragem dá a impressão de confusão no processo, não? Vale ressaltar que dezembro de 2002 foi o último mês da era FHC, e vou deixar para o leitor a pergunta: por que um programa de proteção de dados sigilosos da administração pública foi substancialmente alterado faltando apenas quatro dias para uma troca de comando no Planalto? Deixe-me encaminhar a discussão por outras vias, pois esta parece ligeiramente nebulosa... Pois bem, para quem pensou que o programa havia alcançado o “estado da arte”, mais alterações estavam por vir. Em janeiro de 2004, o presidente Lula revogou e alterou uma série de dispositivos através do Decreto 5.301. Não bastasse tudo isso, imagina a minha surpresa em ler mais uma vez na mídia, que o jogo político anda acirrado para alterar novamente o aparato: Disputa entre Dilma e Amorim emperra abertura de arquivos Vou deixar a discussão técnica a respeito das alterações para um artigo mais longo e elaborado, pois a classificação de informações é um assunto que me interessa amplamente, e vou me focar no óbvio. O resultado prático de tantas alterações em um período tão curto de tempo, é que o tal programa é completamente desconhecido por pelo menos 90% da equipe de segurança da informação dos ministérios federais. Com exceção do Ministério da Casa Civil, responsável por todos esses decretos, e pelo Gabinete de Segurança Institucional, órgão com status de ministério que tem sob si a ABIN, o programa de classificação da informação é um ilustre desconhecido. Infelizmente, os prejuízos para a proteção das informações sigilosas da administração pública e os custos com tantas alterações, são simplesmente incalculáveis. Os problemas de segurança ficam evidentes com os repetidos escândalos relacionados ao vazamento de informação, e os prejuízos se mostram na ineficiência crônica do estado brasileiro de produzir resultados compatíveis com os tributos que são colhidos.
Read More
Primeiro episódio do Tiger Team disponível gratuitamente
Semana passada eu havia comentado sobre um novo programa televisivo que estreou nos EUA. O canal responsável disponibilizou o conteúdo do primeiro episódio gratuitamente pela Internet, e ele é imperdível. O programa é uma espécie de reality show onde um grupo de profissionais de habilidades variadas, chamado Tiger Team, é filmado enquanto testa a estrutura de segurança de uma empresa qualquer, que paga pelo serviço. Os alvos têm apelo popular, como lojas de automóveis de luxo ou joalherias. Os ataques envolvem a exploração de vulnerabilidades lógicas, físicas e humanas. Em geral, profissionais experientes não verão muitas novidades. Como entretenimento, o programa vale muito a pena. Uma estréia por aqui, inclusive, seria muito bem-vinda. O programa é uma excelente ferramenta de conscientização e disseminação da cultura de segurança para o público leigo. http://www.trutv.com/video/?id=870&link=truTVshlk
Read More
Programa de TV sobre espionagem industrial
Você talvez já tenha visto por aí a notícia de que estreou na TV norte-americana um programa sobre espionagem industrial. Ele cobre um grupo de especialistas que põe a prova os sistemas de segurança dos seus clientes, fazendo testes de invasão lógicos e físicos, além de usar abordagens de engenharia social. Tudo bem, eu também pensei que seria mais um reality show palhaçada. Porém, embora eu não tenha visto ainda, as primeiras avaliações parecem positivas. Se você já riu o que tinha que rir com o The IT Crowd, talvez este programa seja uma boa alternativa. O trailer está disponível aqui: http://www.youtube.com/watch?v=4Be-ZzcXVLw
Read More