Tecnoblog

Em fevereiro o Google anunciou um incentivo considerável para os hackers participantes do concurso Pwn2Own, que acontece durante a conferência CanSecWest. É nesse concurso que os participantes devem descobrir e usar uma falha no navegador à sua escolha para ganhar o computador em que ele está instalado, junto com algumas verdinhas. Para quem conseguisse hackear o Chrome e seu sistema homonônimo, no entanto, o prêmio seria maior: 20 mil dólares e mais um Cr-48 com o Chrome OS rodando. Mas ninguém levou a grana ainda.
Leia mais

A Microsoft anunciou que liberará nesta terça-feira (30) uma atualização de emergência para o Internet Explorer que repara nove vulnerabilidades no navegador.

Esta atualização era para ter saído apenas na próxima Patch Tuesday, no dia 13 de abril. Porém a Microsoft decidiu apressar o lançamento em virtude dos ataques que seu navegador vem sofrendo. Um dos principais deles toma proveito de uma falha conhecida como vulnerabilidade de dia-zero (zero-day), que basicamente é uma vulnerabilidade que já está sendo usadas para ataques antes mesmo que o desenvolvedor tenha ciência de que existe.

Essa falha (entre outras) deverá ser corrigida com a atualização desta terça-feira. O update é essencial especialmente para quem ainda usa as versões 6 ou 7 do Internet Explorer. Segundo informou a Microsoft, usuários do Internet Explorer 8 e Windows 7 não estão vulneráveis a esses ataques.

Na edição de 2010 do já tradicional concurso de hackers Pwn2Own, bastou o primeiro dia (na verdade os primeiros minutos apenas) para que a segurança no iPhone e no Safari em um Mac caíssem por terra, assim como aconteceu também com o Internet Explorer 8 e o Firefox, ambos no Windows 7.

O iPhone foi hackeado pela dupla formada por Vincenzo Iozzo e Ralf-Philipp Weinmann — este último conhecido por ter feito parte da equipe de três homens que em 2007 demonstrou como quebrar o protocolo WEP de segurança de redes Wi-Fi em um tempo muito menor do que era possível anteriormente. Levou menos de cinco minutos para que os dois explorassem uma brecha de segurança e invadissem o iPhone (sem jailbreak). Pelo feito, a dupla voltou pra casa US$ 15 mil mais rica.

O veterano do concurso Charlie Miller conseguiu o tri-campeonato fazendo o que ele faz melhor: hackeando um Mac a partir do Safari. Ele já tinha sido campeão em 2008 e em 2009 (quando quebrou a segurança do Safari em apenas 10 segundos), e na edição 2010 ganhou novamente o prêmio (US$ 10 mil) por ter invadido um MacBook Pro rodando Snow Leopard, a mais atual versão do sistema operacional da maçã.

Indo agora para o mundo Windows, o hacker Peter Vreugdenhil conseguiu explorar uma vulnerabilidade no Internet Explorer 8 rodando no Windows 7 com um ataque que a TippingPoint (que organiza e financia o evento) definiu como “tecnicamente impressionante”. Ele conseguiu contornar o sistema de prevenção de execução de dados do Windows 7 (Data Execution Prevention, ou DEP) e assim ganhou o prêmio de US$ 10 mil.

O mesmo valor foi ganho por um estudante alemão de ciências de computação conhecido apenas como Nils, agora bicampeão do Pwn2Own. Ele ganhou o prêmio por ter tido sucesso ao hackear o Firefox rodando no Windows 7.

O único navegador que foi definido como alvo dos ataques no concurso e não foi (até o momento) derrubado foi o Google Chrome. Pelo menos ao primeiro dia de ataques ele resistiu bravamente.

Esses ataques e as informações sobre as brechas exploradas são adquiridas pela TippingPoint como parte do concurso. Ela mantém essas informações sob sigilo até que a empresa responsável pelo software invadido as compre e corrija as vulnerabilidades. A Apple, por exemplo conseguiu corrigir a vulnerabilidade da qual Miller tirou vantagem para ganhar seu primeiro Pwn2Own em apenas três semanas. Este recorde só foi batido pela Mozilla, que conseguiu fechar em apenas uma semana a brecha no Firefox usada por Nils para ganhar o concurso no ano passado. [Computerworld]

Nesta quinta-feira a Microsoft publicou uma atualização de segurança do Internet Explorer para proteger seus usuários de oito vulnerabilidades, incluindo a que possibilitou ataques às operações do Google na China semana passada.

Leia mais:

• Microsoft Brasil fala a respeito de falhas no IE
• “Não usem o Internet Explorer”, diz governo alemão

O perigo dessa vulnerabilidade específica consiste no fato de que bastaria visitar um site mal-intencionado se aproveitando dela para que ele pudesse tomar o controle do PC vulnerável, não seria necessário nem mesmo baixar ou executar qualquer tipo de programa.

A atualização fecha essas brechas de segurança e deve ser baixada automaticamente para a maioria dos usuários do Internet Explorer. Para atualização manual, deve-se visitar esse site. A empresa disse que as outras sete vulnerabilidades corrigidas não eram publicamente conhecidas anteriormente.

“A Microsoft recomenda, ainda, aos clientes que utilizam as versões antigas do browser, que façam a migração para o Internet Explorer 8, considerado o pelo NSS Labs o browser mais seguro do mercado hoje. Além disso, o Internet Explorer é o único navegador com autenticação de segurança automática do ICP-Brasil, que beneficia usuários no acesso a recursos e sites seguros da Internet,” escreveu em comunicado à imprensa Marinês Gomes, Gerente de segurança da Microsoft.

A atualização é recomendada a todas as versões do navegador, desde o Internet Explorer 6, qualquer que seja a edição do sistema operacional da Microsoft em que ele esteja rodando.

A Microsoft Brasil acabou de soltar um comunicado à imprensa falando a respeito das recentes falhas de segurança apresntadas por seu navegador Internet Explorer. Nele, afirma que os problemas foram apresentados apenas no IE 6 e, apesar de não terem sido identificadas invasões semelhantes na América Latina, que o nível de proteção do browser seja configurado como “Alto”.

Leia mais:

• “Não usem o Internet Explorer”, diz governo alemão

Confira. Os grifos foram feitos pela equipe Tecnoblog:

Nos últimos dias, a Microsoft confirmou a ocorrência de uma série de tentativas de roubo de informações online e controle não-autorizado de computadores, em sua maioria, contra empresas que utilizam a versão do Internet Explorer 6. Trata-se da versão do browser lançada há 10 anos que não está preparada para o tipo de ameaça que existe hoje.
 
Sabemos que nenhum browser atualmente é 100% seguro, pois os ataques a navegadores são constantemente renovados e aprimorados. Por isso, a Microsoft recomenda que todos os clientes migrem as versões utilizadas para a última versão do browser, o Internet Explorer 8, sendo esta a forma mais efetiva de evitar esse tipo de problema. Os casos de falha constatados nesta última semana não foram identificados no Internet Explorer 8.

(…) Ainda que, na América Latina, não haja ocorrências como os incidentes reportados anteontem (17/01), como um cuidado adicional, a Microsoft recomenda aos internautas que já utilizam o IE8 que definam como padrão o Nível Máximo de Segurança do browser, selecionando a opção “Ferramentas / Opções” do menu “Internet / Segurança”.  Estas precauções contribuem para uma proteção efetiva contra as vulnerabilidades de segurança noticiadas em 17/01 no boletim de segurança em inglês, “Security Advisory 979352”, ou citadas como “Cyber-ataque Chinês” e “Google attack”.
 
Em paralelo, a Microsoft está desenvolvendo uma atualização de segurança que proteja todas as versões do Internet Explorer, desde a versão 6 do browser. A empresa recomenda a todos os clientes que tiverem algum indício ou considerarem que sofreram um ataque, que entrem em contato com o centro de atendimento ao cliente, via http://support.microsoft.com/contactus.

Alemanha: Firefox em 1º lugar

Pela primeira vez desde 1998, quando tomou a liderança do mercado local das garras do Netscape, o Internet Explorer não é o mais usado na Alemanha. Dados divulgados pelo jornal Der Spiegel relativos até ao segundo trimestre de 2009 mostram que o Mozilla Firefox tem a preferência de 45,6% dos alemães, enquanto o navegador da Microsoft conta com “apenas” 44,4%, seu pior índice em 11 anos.

Ironicamente, as maiores taxas de uso do IE, superiores a 90%, foram registradas no começo de 2003, mesma época em que a primeira versão do browser da Mozilla fez seu debute na rede.

Desde então o programa da raposa vem aumentando seus índices continuadamente, enquanto seu rival vem amargando uma grande seqüência de resultados negativos, apesar de já ter ganho duas novas versões (com uma terceira pronta para sair do forno) desde então.

Já nos números globais, a coisa fica menos surpreendente. Apesar de há anos ganhar mercado sobre seu rival, o Firefox é o preferido de cerca de 20% dos navegantes de todo mundo, enquanto as mútiplas versões do Internet Explorer (6, 7 e 8 ) que existem por aí ainda são usadas por 65% dos internautas.

Por meio de um boletim de segurança publicado na segunda-feira (23), a Microsoft avisou seus usuários de uma falha que afeta tanto a versão 6 quanto a versão 7 do seu navegador Internet Explorer e que poderá ser explorada por pessoas mal-intencionadas. Segundo o boletim, a falha está na maneira como essas versões do IE interpretam uma folha de estilos CSS, que pode tornar possível a execução de código remoto na máquina atacada.

Para se tornar vítima do ataque, o internauta só precisaria acessar a página contendo o código malicioso, o que torna a falha ainda mais perigosa por não exigir ação do usuário. No boletim, eles também avisam que tomarão as medidas necessárias para proteger seus clientes, mas não avisam se será liberado uma atualização fora do ciclo normal ou somente no próximo pacote de updates de segurança, agendado para o dia 8 de dezembro. Até lá, a empresa aconselha seus usuários a ativarem as soluções de segurança fornecidas no boletim para minimizar os efeitos de um possível ataque.

Aqueles usuários que não atualizaram seu Internet Explorer desde 2001 e ainda rodam a versão 5.01 SP4 não são afetados por esse ataque, bem como aqueles utilizando a versão 8, a mais recente do navegador. [PCWorld]

Mais novidades estão saindo da PDC 2009, Conferência para Desenvolvedores Profissionais organizada pela Microsoft. Dessa vez quem tomou o palco foi a próxima versão do navegador Internet Explorer, que ainda não tem data para ser liberado mas parece que deverá trazer várias melhorias em relação ao anterior.

O Internet Explorer 9 tem uma engine de renderização de Javascript consideravelmente mais rápida, chegando a se comparar em performance com os concorrentes Chrome, Firefox e Safari, mas ainda não vence nenhum deles. Além disso, o navegador vai usar a placa de vídeo do computador em que está rodando para renderizar páginas e será mais compatível com os padrões Web, embora ainda não exista confirmação de que suportará os padrões de vídeo do HTML5.

Também não se sabe se a interface sofrerá mudanças, já que os anúncios ficaram restritos à comparações de renderização. [DownloadSquad]