Segurança da Informação, Hacking, PenTest, malware, analise forense. Um blog para quem acha que segurança importa.

terça-feira, 24 de maio de 2016

Vazamento de senhas do Linkedin v2016


Semana passada uma ocorrência de 2012 voltou as manchetes (http://thehackernews.com/2016/05/linkedin-account-hack.html) .

Em 2012 o LinkedIn sofreu ataque onde de acordo com as informações o dados de 6 milhões de pessoas haviam vazado, esse dados incluiam os logins e as senhas cifradas.

Semana passada por volta do dia 18 de maio, apareceu a venda na DeepWeb uma base do LinkedIn contendo nada menos que 167 milhões de contas sendo que   117 milhões das senhas já foram "crackeadas". ( significa que sua senha provavelmente já foi descoberta )

Alguns sites publicaram as senhas mais utilizadas e suas frequencias, que aqui reproduzo .

Rank Password Frequency
1 123456 753,305
2 linkedin 172,523
3 password 144,458
4 123456789 94,314
5 12345678 63,769
6 111111 57,210
7 1234567 49,652
8 sunshine 39,118
9 qwerty 37,538
10 654321 33,854
11 000000 32,490
12 password1 30,981
13 abc123 30,398
14 charlie 28,049
15 linked 25,334
16 maggie 23,892
17 michael 23,075
18 666666 22,888
19 princess 22,122
20 123123 21,826
21 iloveyou 20,251
22 1234567890 19,575
23 Linkedin1 19,441
24 daniel 19,184
25 bailey 18,805
26 welcome 18,504
27 buster 18,395
28 Passw0rd 18,208
29 baseball 17,858
30 shadow 17,781
31 121212 17,134
32 hannah 17,040
33 monkey 16,958
34 thomas 16,789
35 summer 16,652
36 george 16,620
37 harley 16,275
38 222222 16,165
39 jessica 16,088
40 GINGER 16,040
41 michelle 16,024
42 abcdef 15,938
43 sophie 15,884
44 jordan 15,839
45 freedom 15,793
46 555555 15,664
47 tigger 15,658
48 joshua 15,628
49 pepper 15,610

( fonte: https://www.leakedsource.com/blog/linkedin )

Ai, decidi ver as "estatísticas" de uma forma diferente. Quais seriam as teclas mais utilizadas nas senhas ?
Fiz um programa em PHP para ler um arquivo de palavras e gerar um gráfico, e o resultado está aqui.


Nesse exemplo eu usei somente uma vez cada senha. (eu não coloquei 750 mil vezes a senha "123456")

Acredito que deveriamos ter uma distribuição mais homogenea. (tentarei futuramente com mais senhas)

Como desafio, tente usar menos as letras E R I O A S L N e os números 1 e 2 nas suas próximas senhas. ( será que conseguimos algum anagrama interessante com essas letras ? )

Resumo: Não adianta ter criptografia de curva Elíptica, se as pessoas tem memória fraca (e isso inclui votar nos mesmos políticos ruins) . Quando e como iremos substituir as senhas ? (pelo menos esse tipo de senha ? )

(Para que serve isso ?  Talvez para sair um pouco do obvio e mostar algo diferente para os gerentes e clientes.)

Em tempo: Recebi do LinkedIn uma simpatica mensagem solicitando a troca da minha senha. Nã, minha senha não está nessa lista !  Não, não é phishing ! É real.
Eu já troquei e voce ? ( só não vai colocar a mesma tentanto iludir o bandido ... )

Segurança Importa ?

quarta-feira, 30 de março de 2016

Como escolher uma solução Anti-Malware / Anti-Virus

Uma coisa que sempre vejo em diversas listas, foruns e grupos, são pessoas pedindo dicas de qual anti-malware eles devem usar.
Primeiramente e tecnicamente, existe uma diferença entre cada um dos tipos de ameaças, virus, worms, cavalos de troia, etc e o nome "Anti-Malware" engloba todas as classes de softwares maliciosos. Dizer anti-virus, não esta errado, pois todas as soluções continuam fazendo esse serviço, porem dizer anti-malware deixa o escopo mais completo.

Como as escolhas são feitas
Não conheço nenhuma empresa que tenha escolhido sua solução anti-malware baseado em um teste real de detecção. (principalmente porque poucos são capazes de conduzir esse tipo de teste)
  • Posicionamento no quadrado mágico do Gartner
    • Existem varios fatores que influenciam no posicionamento das empresas, nem sempre detecção é um deles.
  • Dicas de algum sobrinho
    • Sempre tem um esperto por perto sabendo de todos os assuntos 
  • Amizades 
    • Durante um Jogo de Golf, um executivo pergunta para o outro e pensa ... Se a empresa dele usa, deve ser bom, vou usar tambem!
  • Viagens 
    • Atitudes "um pouco" agressivas de algumas empresasa/revendas
  • Brindes
Como as escolhas deveriam ser feitas
Uma boa escolha deve começar com perguntas, perguntas a serem respondidas internamente.
As primeiras perguntas deveriam ser "contra quem estou lutando" ou  "qual o objetivo ?"
Poucas são as empresas ( leia-se os ditos "profissonais" que trabalham nessas empresas) que sabem exatamente o motivo da escolha de uma solução ou outra.
Leve em conta fatores como :
  • Tempo de resposta 
    • Talvez voce só descubra esse, depois de um problema
  • Quem irá te atender em caso de problemas ?
    • A empresa do Anti-Malware, a revenda, o suporte terceirizado ou o sobrinho ?
  • Tem time técnico de análise no Brasil ?
    • Por curiosidade, vale perguntar onde estão os laboratórios técnicos das empresas
  • Tem interface de administração amigavel 
  • Quais as outras ferramentas incluidas no pacote ?
    • Elas podem conflitar com alguma outra solução ja existente ?
  • Sua empresa tem alguma restrição com algum fornecedor ?
    • Não podemos esquecer que os forncedores seguem as politicas de privacidade dos seus paises de origem.
  • Quer fazer o teste de detecção ? Contrate um consultor especializado e neutro.
Gratis vs Pago
Algumas empresas oferecem versões gratis e pagas de seus produtos.
Normalmente o "Motor" da ferramenta é o mesmo, o que varia é o conjunto de regras, onde o usuário assinante (pagante) recebe as regras logo que são lançadas e os usuário da versão gratis, algum tempo depois ( uma ou duas semanas ).
Sendo assim o tempo de exposição de quem usa a solução gratis é bem maior.
( existem ainda versões com funções reduzidas, porem o motor continua sendo o mesmo )

Fatos

  • Não existe bala de prata.
  • As maiores empresas de anti-virus são estrangeiras e o faturamento do Brasil como um todo não impacta as operações dessas empresas. Voce acredita que elas darão foco no mercado nacional ? (Aposto que o vendedor vai dizer que sim ...)
  • Todas as grandes empresas de AV compartilham "malwares" assim se uma empresa é capaz de detectar um malware hoje, a outra empresas concorrente (se quiser) será capaz de detectar o mesmo malware amanhã.
  • Algumas empresas não desenvolvem, nem analisam nada. Simplemente pagam para usar o "motor" de outra empresa, mas colocando seu proprio nome . ( sim, voce tambem pode ter um anti-virus com o seu nome )


Melhores soluções
A melhor solução é aquela que te atende.

Resumo
Escolha, mas saiba justificar sua escolha.

Minha dica
Se voce não sabe nem o que esta procurtando, use qualquer um. Qualquer um é melhor que nada.

Segurança Importa ?