Todos os posts tagados browser

Google Chrome mantém invencibilidade na Pwn2Own

No Peopleware:

O Pwn2Own é um concurso organizado pela empresa de segurança informática TippingPoint. O evento ocorre desde 2008 e reúne os mais importantes ‘hackers’ do mundo. Durante três dias foram apresentadas novidades de segurança e estiveram à prova dos participantes para os desafiar a ‘hackear’ os variados sistemas apresentados. Este ano a Google deixou um desafio: com o Chrome à cabeça, o departamento de segurança da Google decidiu premiar com 20.000 dólares (14 722.12 Euros) o primeiro participante que consiga superar as defesas do seu browser.

A este desafio responderam e inscreveram-se dois participantes… e a seguir desistiram. Um dos indivíduos não apareceu e o outro, conhecido como “Team Anon”, decidiu focar a sua atenção noutro lugar. Entretanto o evento continuava e o IE8 era destronado por Stephen Fewer, que usou três vulnerabilidades distintas para sair do Modo Protegido e “crackar” os bloqueios do browser. O Safari que corria num MacBook Air foi novamente envergonhado e foram precisos apenas alguns segundos para o derrubar. Não houve grande evolução face ao que havia acontecido ano passado.

(…)

Utilizador continuará a ser rastreado na web

No IDG Now!:

Apesar de as três gigantes desenvolverem recursos para evitar que sites armazenem informações dos usuários, medidas ainda são ineficientes.

A Mozilla, a Microsoft e o Google desenvolveram algum tipo de recurso “anti-rastreamento” para seus respectivos navegadores. A intenção é boa, mas cada solução dessas é falha e dificilmente irá funcionar muito bem no mundo real .

Seguindo o pedido da Comissão Federal do Comércio (FTC, em inglês) para criar algum tipo de lista navegação “sem rastreamento” similar a lista “não liguem”, composta de consumidores que não querem ser incomodados por operadores de telemarketing, os grandes browsers tomaram uma iniciativa e iniciaram os trabalhos.

A Microsoft anunciou como candidato o Internet Explorer 9 – a última versão de avaliação antes da disponibilização da final. O IE9 RC inclui a solução da empresa para o problema de rastreamento de navegação. O problema da estratégia da companhia, contudo, é que o recurso depende muito da intervenção do usuário, que precisa gerenciar quais sites devem ou não devem rastrear o comportamento do navegador.

Já o Google apostou em uma ferramenta que não é inerente ao navegador, porém é oferecia como uma extensão chamada “Keep My Opt-Outs“. A ferramenta do Google não só requer que o usuário saiba do complemento e o baixe, mas também que a habilidade da extensão em impedir rastreamento online é baseado em esforços auto-regulatórios de companhias anunciantes responsáveis pela retenção dos dados

Por fim, há a alternativa da Mozilla para evitar o rastreamento. A ferramenta da fundação foi adicionada à nova versão do Firefox 4 e, se ativada, o navegador adiciona às requisições de HTTP a partir do navegador informando aos sites se o usuário quer ou não que seus dados sejam rastreados… desde que o site preste atenção e escolha ligar para isso.

Elegância impraticável
A Fundação Fronteira Eletrônica (EFF, em inglês), organização sem fins lucrativos que protege os direitos expressão no mundo digital, escolhei a alternativa apresentada pela Mozilla. De acordo com um porta-voz da EFF, “a proposta para o “não rastreio” apoiada pela FTC e agora pela Mozilla é uma ótima ideia. É tecnicamente elegante e irá servir como plataforma para inovações futuras na privacidade. Sim, esforços paralelos ainda serão necessários para combater esse tipo de armazenamento de informações online, phishing e malwares (e irão também proteger as pessoas que não utilizam ferramentas para evitar os rastreamentos) contudo esse é um grande passo na direção certa”, apontou.

Pode ser tecnicamente elegante, entretanto uma falha crítica da ferramenta coloca nas mãos do site coletar as informações do usuário ou, em nome da honra, obedecer o pedido do navegador e não rastrear as informações. Esses são alguns dos impedimentos que fazem essa elegância técnica impraticável.

Doug Wolfgram, CEO da IntelliProtect, companhia privada de gerenciamento online, concorda que a solução da Mozilla é insuficiente, e disse que a alternativa “funciona somente com empresas que concordam com esse pensamento, que somam até o momento, zero. Enquanto parece forte como anunciado, permite do mesmo jeito que os sites optem ou não por rastrear conteúdos, não deixando escolha nenhuma para os usuários” avaliou.

Legislação
Em resposta às críticas feitas ao recurso do Firefox, o porta-voz da EFF explicou que “o rastreamento que nos preocupa mas é aquele conduzido por grandes domínios terceirizados. Esses sites gigantes são os que mais armazenam nossas informações e na maior parte do tempo, todavia nunca enxergamos isso porque eles estão escondidos dentro de iframes e marcadores JavaScript nas páginas que visualizamos. Entre esses grandes domínios, acreditamos que será comparativamente fácil determinar quais respeitam o princípio do não rastreamento e quais não”, pontuou.

Wolfgram também comentou outro grande obstáculo. “Grande parte das companhias com esse comportamento são baseadas fora dos EUA, deixando a legislação sem efeito. No momento, aquelas dentro do pais devem cooperar voluntariamente”. O CEO da IntelliProtect disse também as soluções com ideologias de “tudo ou nada” não dão ao consumidores controle suficiente.

As boas notícias são que o FTC e as maiores empresas de software estão atentas ao problema e estão trabalhando para resolvê-lo. As más notícias são que essas tentativas iniciais falham próximo do objetivo, e que seria melhor se todas as partes concordassem em uma única solução.

Firefox quer melhorar protecção da privacidade

No Sol:

A Mozilla quer introduzir uma nova funcionalidade no Firefox, através da qual os utilizadores do browser podem optar por não ser alvo de mecanismos de publicidade comportamental.

A revelação foi feita no blogue oficial da Mozilla pelo responsável pela privacidade na fundação responsável pelo Firefox.

De acordo com Alex Fowler, o objectivo é ajudar os utilizadores do browser a terem «um melhor conhecimento e controlo sobre as suas informações pessoais on-line».

Com a activação da funcionalidade, sempre que um utilizador do Firefox entra num site com mecanismos de publicidade comportamental, ou seja, os sites onde os anúncios que aparecem são baseados no historial de navegação do cibernauta, a empresa responsável pelo site recebe um aviso onde lhe é pedido para não monitorizar o utilizador.

O responsável realça contudo que esta ferramenta não significa o fim da publicidade em si, que continuará a surgir, apenas irá incidir nos anúncios personalizados.

Um dos principais desafios que se coloca agora, segundo Alex Fowler, é levar os programadores de sites a adoptarem o sistema, para que este se torne estandardizado.

Mantra - uma framework browser-based grátis e opensource

O Mantra é uma colecção de ferramentas gratuitas e opensource integradas num web browser.
O principal objectivo desta framework é auxiliar pentesters, web developers, profissionais de segurança, e outros utilizadores que necessitem de portabilidade, facilidade e rapidez, em testes de intrusão e análises de segurança web.

Na minha opinião, é um projecto interessante e com grande capacidade de evolução.

Querem testar? É só ir a www.getmantra.com

Ferramenta de Fuzzing descobre mais de 100 vulnerabilidades nos browsers mais populares

Com o lançamento público do cross_fuzz foi possível para muitos analistas de segurança verificarem a existência de várias vulnerabilidades nos browsers mais utilizados (Internet Explorer, Firefox, Opera, Chrome e Safari).

De referir que, muitas dessas falhas continuam por corrigir e já poderão estar a ser utilizadas no underground.
Podem ler a notícia no Help Net Security.