Segurança de Navegadores / Browsers

[ 18/09/2012 - Update ]

Devido a uma vulnerabilidade 0-day presente em todas as versões do Internet Explorer (até a v9),
empresas que ainda usam o Internet Explorer como padrão em suas estações devem utilizar um outro browser. Já existem exploits públicos disponíveis e sendo utilizadas largamente. O IE10 não está vulnerável, o que pode indicar que a Microsoft corrigiu esta falha silenciosamente.

O Governo alemão recomendou que todos os usuários deixem de utilizar o IE, até que a Microsoft libere um patch para o problema.

Outras links sobre o assunto que valem a visita:

• BrianKrebs:  http://krebsonsecurity.com/2012/09/exploit-released-for-zero-day-in-internet-explorer/

• AlianVault: http://labs.alienvault.com/labs/index.php/2012/new-internet-explorer-zero-day-being-exploited-in-the-wild/

• Zataz: http://eromang.zataz.com/2012/09/17/microsoft-internet-explorer-execcommand-vulnerability-metasploit-demo/

[ 28/02/2012 - Update ]

O Chrome foi o único browser a sobreviver aos desafios da PWN2OWN até o momento. E para o evento de 2012, o Google anunciou que vai pagar recompensas até o limite de $ 1.000.000,00 (um milhão de dólares), sendo que o tipo de bug mais valioso é um "Full Chrome Exploit" no Windows 7.

Mais informações:

http://blog.chromium.org/2012/02/pwnium-rewards-for-exploits.html

[ 15/12/2011 - Update ]

A Microsoft anunciou hoje que a partir de Janeiro de 2012, iniciando pelos clientes Windows ( da Austrália e Brasil, será executado, via windows update, a migração de de versões antigas de IE para a versão mais nova suportada pelo sistema operacional (XP: 8, Vista: 9, Windows 7: 10)

Duas observações:

Do ponto de vista de segurança, é melhor ter um IE 8 que um IE 6, sem dúvida. Porém a Microsoft ainda tem que melhorar especialmente no que diz respeito ao Sandboxing e à Segurança de Plugins, como pode ser visto no gráfico comparativo do Update de 13/12/2011, abaixo. Para um caso prático, veja o post "Exploit Kits e o seu Java".

Do ponto de vista da briga no mercado de navegadores (Browser Wars) é um movimento muito inteligente da Microsoft já que o padrão nos últimos tempos tem sido de grande queda do IE e leve queda do Firefox, e grande crescimento do Chrome. Veja o gráfico divulgado recentemente pela StatCounter:

Com este movimento de atualizar os browsers antigos via windows update a Microsoft pode evitar que usuários insatisfeitos com o IE 6 ou 7 migrem para o Chrome ou Firefox, atenuando assim a queda vertiginosa do Internet Explorer nos últimos 4 anos. Mais inteligente ainda seria portar as versões mais novas do IE para os S.Os. mais antigos..

Post relacionado:

• IE to Start Automatic Upgrades across Windows XP, Windows Vista, and Windows 7

[ 13/12/2011 - Update ]

Na última semana a Accuvant publicou um estudo bem completo (mais de 100 páginas) comparando a segurança dos principais Browsers. Segue o link para o relatório detalhado (PDF) entitulado "Browser Security Comparison". Um resumo dos resultados pode ser visto no gráfico abaixo:

[ 09/05/2011 - Update ]

Nem o browser com melhor design e histórico de segurança (veja updates mais antigos) conseguiu resistir..

Chrome 32bit e 64bit para Windows Pwn3d pela Vupen, usando 0-day e incluindo bypass de ASLR/DEP/Sandbox, (não fecha o browser ao executar o payload), mais informações e vídeo de demonstração em http://www.vupen.com/demos/VUPEN_Pwning_Chrome.php

A Vupen informa que detalhes da exploração (e o exploit) serão repassados exclusivamente para os clientes governamentais que assinam seus serviço "Offensive Solutions"

[ 16/03/2011 - Update ]

Apesar do Firefox também ter sobrevivido ao último desafio PWN2OWN, o Chrome saiu mais uma vez na frente corrigindo com uma semana de antecedência o Flash Player utilizado por ele (coisa que a Google faz há 1 ano!). Usuários de todos os outros browsers terão que aguardar o patch da Adobe, e continuam vulneráveis a ataques cada vez mais comuns.

Mais info aqui: http://www.networkworld.com/news/2011/031611-google-first-to-patch-flash.html

[ 11/03/2011 - Update ]

A notícia é "re-reciclada" (de 21/03/2009 e 08/06/2010) mas o título continua valendo. Pelo 3o ano consecutivo, o Chrome sobrevive ao desafio pwn2own.

E não foi por falta de incentivo.. Até mesmo porque o programa de recompensas pagou US $14000 a vários pesquisadores que encontraram vulnerabilidades e reportaram ao Google que teve tempo de corrigir antes do desafio..

Aliás, o programa de recompensas parece estar valendo a pena - além obviamente das proteções adicionais de segurança por design feitas pelo Google no Chrome - como o modelo de separação de memória (sandbox) por tabs e até de plugins problemáticos como o Flash...

O IE8 e o Safari já cairam, e o Firefox será testado hoje e tentará sobreviver pela 1a vez..

Mais informações aqui: http://idgnow.uol.com.br/seguranca/2011/03/10/chrome-sai-ileso-de-desafio-hacker-mas-ie8-e-safari-nao-resistem/

[ 08/06/2010 - Update ]

No Patch Tuesday de hoje, a Microsoft corrigiu 34 bugs, incluindo explorado por Peter Vreugdenhil durante o teste de segurança de browsers (PWN2OWN) de quase 3 meses atrás! (Aquele que "bypassou" DEP e ASLR ..) Se você por algum motivo obscuro ainda usa o IE, é hora de "patchear", antes tarde do que nunca...

Todo usuário de Windows precisa ficar esperto porque depois do Patch Tuesday vem o Exploit Wednesday.. Além do mais, neste Patch Tuesday a Microsoft corrigiu 13 vulnerabilidade com o índice "1 - Consistent exploit code likely"!

PS: Um bom overview dos patches foi feito pelo SANS Institute - acesse aqui.

[ 26/03/2010 - Update ]

A notícia é reciclada (veja o post original de 21/03/2009) mas o título continua valendo.

Motivo: o navegador Chrome mais uma vez foi o único browser a sobreviver ao desafio PWN2OWN 2010 na CanSecWest.

Nesta 4a edição do evento produzido pela Zero Day Initiative da 3Com/TippingPoint caíram (foram invadidos remotamente através de uma vulnerabilidade não patcheada ou 0-day) o Internet Explorer 8 (com bypass de DEP em Windows 7 64bit inclusive), o FireFox 3.6, o Safari, e o iPhone..

Resultado: mais força pro Google com o Chrome nas "Browsers Wars". Pois além das vantagens de performance ele vem mostrando superioridade em relação à segurança...

Mais informações sobre a PWN2OWN 2010:

• http://dvlabs.tippingpoint.com/blog/2010/02/15/pwn2own-2010
• https://infosecurity.us/?p=7311
• https://infosecurity.us/?p=13431
• http://www.cio-today.com/story.xhtml?story_id=72409&full_skip=1
• http://blogs.paretologic.com/malwarediaries/index.php/2010/03/25/charlie-millers-one-man-show-at-cansecwest/

[ 27/03/2009 - Update ]

A Mozilla saiu na frente dos demais browsers vulneráveis e lançou hoje a correção para a vulnerabilidade explorada no Firefox durante a conferência CanSecWest (veja post original abaixo).

[ 21/03/2009 - Post Original ]

Sabemos que grande parte das intrusões que ocorrem nos dia de hoje se devem à exploração de browsers e seus plugins. É comum haver algum debate sobre qual browser é mais seguro. Temos agora um teste prático para responder a esta pergunta.

A empresa de segurança TippingPoint possui um projeto chamado "Zero Day Initiative - ZDI" que paga pesquisadores independentes quando encontram vulnerabilidades críticas em softwares conhecidos e trabalham em correções juntamente com as empresas responsáveis.

Durante a Conferência CanSecWest deste ano, a ZDI estava desafiando (e pagando) qualquer um que conseguisse invadir máquinas de usuários completamente "patcheadas" (sistema operacional e navegadores), apenas com uma visita a uma página - eis o resultado do primeiro dia ( instalação default e sem plugins).

Seguem os resultados do desafio PWN2OWN:

Windows 7

• IE8 (recém lançado) - invadido
• Firefox - invadido
• Chrome - não foi invadido

Macintosh

• Safari - invadido (em 10 segundos)
• Firefox - invadido

Pelo visto as proteções adicionais de segurança por design feitas pelo Google no Chrome fizeram a diferença, especialmente o modelo de separação de memória (sandbox) de cada "tab" de navegação - segundo um dos hackers que conseguiu a façanha - veja entrevista.

Outro hacker (com pseudônimo "Nils") conseguiu invadir três browsers: IE8, Firefox e Safari.

Páginas relacionadas:

http://dvlabs.tippingpoint.com/blog/2009/02/25/pwn2own-2009

http://www.networkworld.com/news/2009/031909-researcher-hacks-just-launched.html

http://arstechnica.com/security/news/2009/03/chrome-is-the-only-browser-left-standing-in-pwn2own-contest.ars

http://blogs.zdnet.com/security/?p=2941

http://www.sci-tech-today.com/story.xhtml?story_id=65450

http://www.crkportugal.net/?p=224

Tipos de Monitoramento de Segurança de Rede

Antes de iniciar este post, gostaria de retomar uma discussão frequente e uma resposta que tenho a esta questão: "O que uma empresa ou órgão deve fazer para estar preparado a responder incidentes de segurança (do ponto de vista de soluções/produtos)?":

Meu posicionamento/resposta diante desta pergunta:

I - Uma infra-estrutura de "Network Forensics" que seja capaz de reconstruir e fazer o "replay" dos pacotes relacionados ao ataque (ex: NetWitness NextGen / NikSun / Infinistream / NetIntercept )

II - Uma solução de SIEM/SEM para correlacionamento em near-real time dos logs (firewall, roteadores, servidor comprometido, ids/ips, dhcp, dns, aplicações internas) (ex: ArcSight / ISM Intellitatics / Symantec SIM)

III - Uma solução (idealmente enterprise) de forense computacional que possibilite a análise de dados voláteis (incluindo memória) e de disco (ex: Encase Enterprise / F-Response / AccessData Enterprise )

IV - Uma ferarmenta de monitoração de atividade de desktops (ex: SpectorCNE, WorkExaminer) [item incluído em 18/10/2009]

Com relação a primeira das soluções listadas acima, o Richard Bejtlich (CSO da General Eletric e autor de vários livros - todos recomendados) é uma referência mundial no que diz respeito à Segurança e Monitoramento de Rede, já o utilizei de referência/links em vários assuntos abordados aqui no nosso blog.

Ele postou há alguns dias atrás um artigo muito interessante sobre tipos de aplicações de monitoração de segurança de rede e eu fiquei esperando ter um tempinho para atualizar o blog com este excelente material e discussão.

São elencados por ele seis "data types" (maltraduzindo: tipos de dados) possíveis em uma ferramenta que lida com monitoração de rede (tradução livre minha):

1. Alertas: julgamento e detecção e/ou bloqueio feito por um produto ("Port scan!" ou "Buffer overflow!");
2. Estatísticas: descrição high-level de atividades (percentual de protocolos, tendências, etc.);
3. Sessões: comunicações entre hosts ("A conversou com B na 6a-feira por 61 segundos enviando 1234 bytes");
4. Conteúdo Completo (Full Content): todos os pacotes trafegados (no cabo/ar);
5. Extração de Conteúdo: reconstrução de elementos de uma sessão e extração de metadados;
6. Transações: geração de logs baseado em tráfego do tipo requisição-resposta (request-reply) como DNS, HTTP, etc.

Depois disto, ele produziu uma interessante tabela de referência contendo as categorias de produtos de Monitoramento de Segurança de Rede e os tipos de data types suportados por cada uma (genericamente). Esta foi a melhor abordagem comparativa de tecnologias de Segurança de Rede do ponto de resposta a incidentes que já vi.

Na minha opinião, a tabela mostra claramente porque uma organização que se preocupa com segurança precisa possuir ou desenvolver pelo menos uma das duas últimas categorias de produtos (NetWork Forensic Appliance ou Custom NSM Appliance) e não se satisfazer com soluções tradicionais (ex: IDS/IPS).

Apresento abaixo uma análise da tabela apresentada, algumas opiniões próprias (*) e nomes de aplicações e produtos que o autor do post citado preferiu não incluir.

(1) Produto IDS/IPS: Alerta ou Bloqueio OK; Estatísticas de Alertas OK; Sem Sessões; Sem Conteúdo Completo; Sem Extração de Conteúdo; Sem Transações. [ * Minha opinião: melhor opção comercial: SourceFire, melhor opção free: Snort / pouquíssimas vezes tive a oportunidade de ver um IDS/IPS bem gerenciado/"tunado"* ]

(2) Produto NBAD (Network Bahavioral Anomaly Device): Alerta baseados na análise de flows; Bons dados estatísticos; Bons dados de sessão; Conteúdo Completo somente para alguns flows; Sem Extração de Conteúdo; Sem Transações.

(3) Network Forensic Appliance: Sem alertas (* O NextGen da NetWitness possui alertas *); Bons dados estatísticos; Dados de sessão não podem ser manipulados imediatamente (*O NextGen da NetWitness permite que dados de sessão que possam ser manipulados imediatamente * ); Conteúdo Completo (propósito deste tipo de solução); Extração de Dados (alguns appliances possuem); Bons dados de Transações.

(4) Custom NSM Appliance *ou faça você mesmo com ferramentas de código aberto*: Alertas: Snort, Bro; Estatísticas: MRTG, Ntop; Sessões: auto-contidas ou aceitam Netflow; Conteúdo Completo: Dumpcap/Wireshark, Daemonlogger/Snort; Extração de sessão: requer desenvolvimento próprio (* tcpxtract, Networkminer *) ; Transações: Bro, Httpry.

Extendendo a resposta dada no início deste post no que diz respeito à monitoração de rede com objetivo de resposta a incidentes:

Se você possui budget para investimento, o ideal é buscar uma solução de Forense de Rede (opção 3 acima - que também é a que traz resultados mais rápidos)

No caso de não ter dinheiro mas possuir uma equipe numerosa e qualificada em segurança e open-source para dispor no desenvolvimento de uma solução customizada, o melhor (porém mais demorado) caminho é a opção 4 (Custom NSM Appliance).

Sei que este tipo de discussão costuma gerar debates interessantes... Comentários?

10.000 page-views - Audiência do Blog e Pesquisas no Google sobre segurança

Este é um post comemorativo pela marca de 10.000 (DEZ MIL) page-views alcançada por este blog desde seu lançamento em junho passado!

O gráfico acima mostra um mapa com a localização "Geo-Ip" dos visitantes deste blog desde ontem (0h de 23/03/2009) até agora (11h de 24/03/2009). Estamos tendo uma média de visita de mais de 100 IPs únicos por dia, de diferentes países - muito obrigado pela audiência e contribuições / comentários!

Dentre os 73 posts já publicados, o ranking dos 10 mais populares é o seguinte:

Conficker / DownadUp / Kido: De um erro de programação a um WORM Global

A Saga de se manter seguro usando Windows - Capítulo Adobe Flash e Reader

Chrome é o único browser a sobreviver à desafio 0-day

Encase + Memscript + Memoryze - facilitando a analise forense de memória em Windows

Forense de Memória - Uma comparação de Ferramentas Disponíveis

NSA paga Bilhões por grampo no Skype

Blogs de seguranca em português - links

(In)Segurança em Desenvolvimento de Software e o modelo BSIMM

Dicas para Gerenciar Segurança durante a Recessão

Wargaming na Intel

Muitas das visitas são diretas (digitando o endereço diretamente no browser), outras várias são via leitores de RSS Feed como o Google Reader e NetVibes e muitas outras são através de buscas no Google - os termos de pesquisa mais usados nos últimos 3 dias que levaram internautas a conhecerem este blog foram os seguintes:

• basiléia, pci
• blog crimes eletrônicos
• blog segurança
  
• blog do marcapasso
• botnet spam
• certificado ssl xp nao funciona
• chrome é invadido
• cnasi 2009
• codigo fonte downadup conficker
• coldboot attack exe how to
• como detectar conficker
• como identificar o dns da maquina
• Conficker codigo fonte
• Conficker firewall blocking ports
• conficker hash technical firewall
• conficker kido worm erro
• conficker proteção
• criptografia utilizada malwares
• definição colisão md5
• disco rigido criptografado Forense site:blogspot.com
• DNSChanger
• downadup ou kido
• download backtrack 3
• é possível grampear a internet fisicamente?
• fazendo um ataque usando o back/track4
  
• forense notícias
• f-secure kido
• grampo no skype
• invadir maquinas pelos browsers?
• iphone forensics
  
• kaspersky remove o conficker
• lei 84/99 Segurança da Informação
  
• leni de abreu neto
• live cd forensics brasil
  
• logs skype
• Metodologia BSS-IM
  
• remover o conficker do dominio
• resposta a incidentes segurança
• sandro suffert
• segurança da informação NSA
• sha1sum legal justica
• sistema ENCASE
• skype is insecure
• solução espionagem industrial
• suffert
• vazar informacoes de cliente de site de compras e crime
• windows downadup
• Zlob.DNSChanger

Ainda falando de pesquisas no Google, para quem se preocupa com a privacidade de suas pesquisas (sim, o Google sabe de tudo sobre você) - eu recomendo um ótimo Google scrapper via SSL chamado Scroogle - confira.

Os browsers mais utilizados para acesso a este blog têm sido Firefox 3 (54%), IE 7 (20%), Chrome (17%) e IE 8 (9%). Dentre os mais incomuns estão o Iphone o Opera, o Safari e um administrador de sistemas maluco que usa lynx na linha de comando de uma máquina Unix =)

Eu estou utilizando o serviço gratuito do statcounter.com para acompanhar as visitas ao blog - o número de "page-views" que recentemente ultrapassou os 10 mil vai ficar aí ao lado.

Para encerrar o post comemorativo de 10.000 page-views, segue listagem dos posts publicados até o momento:

• CNASI RJ 2009
• Chrome é o único browser a sobreviver à desafio 0-...
• Mil e uma maneiras de invadir uma máquina com um P...
• (IN)SECURE MAGAZINE 20a EDICAO
• Material de Treinamento para equipes de Resposta a...
• (In)Segurança em Desenvolvimento de Software e o m...
• BBC aluga botnet para Spam e DDOS
• A saga de se manter seguro usando Windows - capítu...
• CyberWar Russia vs Estônia : a confirmação
• Dicas para Gerenciar Segurança durante a Recessão
• Fases de um Ataque: Stealth
• NSA paga Bilhões por grampo no Skype
• Conficker / DownadUp / Kido: De um erro de program...
• Windows7 UserAssist - Microsoft troca de ROT13 par...
• Projeto de Lei - Crimes Eletrônicos (PL 84/99)
• Governo Obama lista cybersecurity como prioridade
• Blogs de seguranca em português - links
• TOP 25 CWE/SANS - Problemas de Segurança em Progra...
• pdymail - Forense de Memória para o Yahoo Mail
• Forjando certificados SSL que utilizam o MD5
• Encase + Memscript + Memoryze - facilitando a anal...
• ATENÇÃO: Patch para Vulnerabilidade Crítica do Int...
• Forense de Memória - Uma comparação de Ferramentas...
• DNSChanger - v4
• FACE: Automated digital evidence discovery and cor...
• MS08-067 - O Trojan está aí, e o uso em Bots e o W...
• UPDATE - Forense: aquisição e análise de dumps de ...
• Preparação / Procedimentos em alto nível para susp...
• Espionagem Industrial - Engenheiro da Intel que fo...
• Cymru disponibiliza serviço gratuito para verifica...
• pdgmail: nova ferramenta para Forense de Memória d...
• FBI prende 60 pessoas depois de 2 anos de operação...
• Sans Forensic Summit & afterthoughs
• T-Mobile/Deutsche Telekom e Shell Oil anunciam vaz...
• Edição de Outubro da INSECURE MAGAZINE
• Skype Chinês - Você está sendo vigiado... e suas ...
• Sans publica consenso sobre novas tendências de Re...
• Helix3 2.0 lançado
• Apresentação sobre logs para resposta a incidentes...
• Iphone Forensics Book & Video
• Venda de senhas do sistema INFOSEG
• Esteganografia na Folha de São Paulo para denuncia...
• Portal Brasileiro de Programação Segura Java
• Brasileiro preso na Holanda por aluguel de botnet ...
• Pesquisa: Ataque remoto à marcapassos
• OpenVas - fork GPL Free do Nessus
• China e EUA: Quer privacidade? Desligue e Tire a b...
• DNS Vuln + "Evilgrade" = Pandemônio em updates de...
• Presos os hackers responsáveis pelos maiores roubo...
• Falha no protocolo DNS descoberta / patches
• NIST: Performance Measurement Guide for Informatio...
• Ladrão que rouba de ladrão - versão online.
• China força hotéis a instalar software de monitora...
• ColdBoot Attack em Forense Computacional
• Adeona - solução OpenSource para Recuperação de No...
• HoneyBlog divulga registros sobre redes 'FastFlux'...
• TrueCrypt 6.0 - melhor e mais rápido.
• Sseguranca.blogspot.com: Resumo de Posts de Junho...
• Botnets + 'Fast-Flux': alta disponibilidade para ...
• Engenharia Social: Google SafeBrowsing como isca
• Saiu a nova edição da INSECURE MAGAZINE
• Firefox 3: Novas Funcionalidades de Segurança
• Download do BackTrack 3 disponível
• DAM - Database Activity Monitoring
• Assinaturas/Regras não bastam - caso prático
• DLP e WAF, porque é tão difícil / Segurança em pro...
• Falhas de Cross Site Scripting em sites do Governo...
• Wargaming na Intel
• Criptografia forte - dos dois lados da guerra
• Incidentes de Segurança - O que os causa e como ev...
• Trojan Zlob/DNSChanger altera configurações de rou...

Firefox 3: Novas Funcionalidades de Segurança

A Websense publicou um interessante post sobre as novas funcionalidades de segurança do Firefox 3:

• eTLD - restrição do uso de cookies a dominios unicos
  
• Anti-Malware/Phising - usando a API 'safe browsing' do Google
• Impede re-declaração de variáveis globais em javascript
• Restrição do objeto 'XMLHttpRequest' entre sites