"O Portal Top em Notícias do Sul”

TECNOLOGIA E SEGURANÇA: Brasileiro recebe maior prêmio do Facebook após encontar bug

26/01/2014 12:15

Reginaldo Silva recebeu R$ 80 mil, a maior recompensa da história da rede social após encontrar brecha de segrança.

O Facebook pagou, nesta última semana, a maior recompensa da história da rede social a um “caçador de bugs”: 33,5 mil dólares, ou cerca de 80 mil reais. O premiado foi o mineiro Reginaldo Silva, engenheiro da computação de 27 anos, que encontrou uma brecha de segurança que permitia a execução de códigos remota afetando os servidores do site.

 

A premiação vem por meio do programa Facebook Bug Bounty, inaugurado pela rede social em novembro passado. Silva reportou à empresa todo o procedimento feito até chegar à falha, que foi logo corrigida pelos engenheiros do próprio site – todo o longo processo, aliás, você pode conferir aqui. O valor entregue ao brasileiro foi definido de acordo com a gravidade da brecha – e pela alta soma, dá para imaginar o estrago que o bug poderia causar se tivesse sido descoberto por um cracker.

Hoje residente em São José dos Campos (SP), o mineiro formado pelo Instituto Tecnológico da Aeronáutica (ITA) falou a INFO sobre sua carreira como especialista em segurança da informação e caçador de bugs – e ainda dá algumas dicas para quem quer começar na área.

Primeiro, quando você começou a se interessar e a procurar por bugs de segurança pela internet? E qual foi o primeiro que encontrou?

Eu me interesso por segurança da informação já há 10 anos, e meio que decidi fazer carreira nessa área. A primeira falha que encontrei pela internet foi em um framework para programação Web em Java, chamado Play Framework. O processo para isso é sempre o mesmo: ler o código fonte do software pacientemente, enumerar os problemas – por mais simples que sejam – e ver as maneiras pelas quais eles podem ser explorados. Mas quando o código fonte não está disponível, é na base da tentativa e erro mesmo.

Até hoje, quantas falhas já achou? Todas renderam algum tipo de recompensa? 

Estimo que algumas centenas, somando os bugs que acho atuando profissionalmente e os de vários programas de recompensa ao redor da internet. Procuro bastante por falhas também em software de código livre, então muitas das que acho não rendem nenhuma recompensa financeira imediata. A principal é mesmo ter o trabalho reconhecido e saber que estou contribuindo para uma internet mais segura. E como também atuo como consultor, a notoriedade gerada pela associação do meu nome à descoberta de falhas importantes ajuda a atrair clientes.

Antes de receber essa recompensa do Facebook, você já havia parado até em um hall da fama do Google. Como isso aconteceu? 

O Google mantém um "hall da fama" que lista os pesquisadores que mais relataram falhas de segurança à empresa. Como reportei alguns problemas ao longo de 2012 e 2013, acabei indo parar nessa lista. [A tabela foi criada em novembro 2010, junto do programa de recompensas do Google. Ela é atualizada de três a quatro vezes por ano, e Reginaldo Silva não é o único brasileiro na lista.

Agora no caso específico do Facebook, esse foi o primeiro bug que você achou? Como foi o procedimento? 

Não foi o primeiro que encontrou na rede social, mas a falha com o maior impacto. Na verdade, achar uma brecha grave, que possibilitaria a invasão no site de uma grande empresa é o objetivo de todo profissional na área de segurança, e estou sempre tentando fazer isso.

Achei o problema quando estava testando a segurança da parte do site que é utilizada quando o usuário esqueceu a senha. Suspeitei que o Facebook pudesse estar vulnerável a uma falha semelhante a outra que eu já tinha descoberto em 2012, quando estava a segurança do Drupal, o gerenciador de conteúdo de código aberto. 

A falha permitia ler arquivos internos do servidor do Facebook, e com ela em mãos, pensei em um cenário que poderia ser utilizado para concretizar a invasão – ou seja, o comprometimento total dos servidores da empresa. Como não tinha permissão para testá-la, apenas relatei o que tinha descoberto ao time de segurança do Facebook, que confirmou minha teoria. [O relato completo de Silva está disponível em sua pessoal, em inglês.]

A alguém que queira começar a caçar bugs ou mesmo uma carreira em segurança de informação, o que você recomenda?

Há muito material, principalmente em inglês. Para segurança na web, recomendo os livros “The Tangled Web”, de Michal Zalewski, e “The Web Application Hacker’s Handbook”, de Dafydd Stuttard e Marcus Pinto. Uma abordagem sistemática sobre análise de código está no livro “The Art of Software Security Assessment”, considerado por muitos a bíblia da área. Além dos livros, leio muitos blogs de segurança, tanto de empresa quanto de desenvolvedores e pesquisadores. 

Mas a melhor forma mesmo é acompanhar as falhas de segurança nas páginas dos próprios frameworks e software, olhas os commits que consertam as falhas e tentar explorá-las. Além disso, também vale ver uma falha e pensar: “Onde será que vou achar outro problema desse tipo?”.

E além do procedimento padrão, de ler o código fonte atentamente e enumerar problemas, você usar alguma ferramenta em especial no trabalho? 

Meu editor favorito é o GNU Emacs, que posso personalizar do jeito que eu gosto. No dia a dia, utilizo muito uma ferramenta chamada Burp Suite, para pausar e modificar as requisições feitas aos servidores web. Mas a verdade é que passo grande parte do tempo na linha de comando, utilizando as ferramentas Unix padrão. Grip, Sed, Awk, Curl, etc... Sou mais rápido na linha de comando do que em uma interface gráfica, para ser sincero.

 

Fonte: Exame

Post. Eloídes Nunes.

 

Notícias:

21/11/2017 17:45

GERAL: Médico urologista Cláudio Polo palestrou sobre o novembro azul em Nova Candelária - RS

Mais de 170 homens com mais de 55 anos participaram da palestra sobre a conscientização do Câncer de Próstata, em Nova Candelária Com o principal objetivo de alertar aos homens para os cuidados com o câncer de próstata, para a realização dos exames preventivos e a importância de manterem a saúde...
21/11/2017 17:29

GERAL: Nova Candelária em clima de natal

As luzes e enfeites já anunciam a chegada da época mais esperada do ano Uma das épocas mais esperadas do ano está se aproximando. O nascimento do menino Jesus espalha nas comunidades um clima de paz e um sentimento de amor profundo pelo verdadeiro significado do Natal. Para acompanhar esta...
21/11/2017 17:15

SAÚDE: Unidades de Saúde de Três Passos são climatizadas

Pensando no bem-estar e conforto dos usuários do sistema público de saúde e dos servidores, a Administração Municipal de Três Passos, por meio da Secretaria Municipal da Saúde, equipou as Estratégias de Saúde da Família (ESF) com condicionadores de ar.   Além de beneficiarem as unidades de...
21/11/2017 16:59

GERAL: Governador e ministro estiveram em Porto Mauá para inauguração do reperfilamento e restauração da ERS 344

Na segunda-feira, 20 de novembro de 2017, o Governador do Estado, José Ivo Sartori, o Ministro de Desenvolvimento Social e Agrário, Osmar Gasparini Terra e comitiva, estiveram no Município de Porto Mauá, das 11h30min às 13h35min, para inauguração do reperfilamento do asfalto da ERS 344, entre os...
21/11/2017 16:46

EDUCAÇÃO: Professora Lurdes Dresh assume coordenação da 21ª CRE de Três Passos - RS

A partir de hoje, 21 de novembro, a 21ª Coordenadoria Regional de Educação (CRE / Três Passos) tem nova titular. Trata-se da professora Lurdes Dresch que até então, no governo de Ivo Sartóri, ocupava a vaga de coordenadora adjunta. A designação consta no Diário Oficial do Estado. É a quarta vez...
21/11/2017 16:27

UTILIDADE PÚBLICA: : Receita Estadual cancela envio de cartas do IPVA 2018 pelos Correios

O Detran não vai mais enviar a carta de IPVA (Imposto sobre a Propriedade de Veículos Automotores) aos proprietários de veículos pelos Correios. A decisão foi em conjunto com a Receita Estadual. A partir de agora o encaminhamento de correspondências referentes ao IPVA 2018 ocorre exclusivamente...
21/11/2017 16:08

GERAL: Novo modelo de certidão de nascimento permite inclusão de nome de padrasto

A partir de hoje, 21 de novembro, os cartórios de registro civil podem começar a adotar os novos modelos de certidões de nascimento, casamento e óbito definidos pelo Conselho Nacional de Justiça (CNJ). As alterações visam a facilitar registros de paternidade e maternidade de filhos não biológicos e...
21/11/2017 15:50

EDUCAÇÃO: Abre o prazo para matrículas nas escolas municipais de Sede Nova - RS

Abriu ontem o prazo para matrículas e rematrículas nas escolas municipais de Sede Nova. Os pais têm até o próximo dia 20 de dezembro para inscrever os alunos. As informações constam em edital assinado pelo prefeito José Elias Paz.   As matrículas no Ensino Fundamental e turmas do Jardim I e...
21/11/2017 15:31

TRÂNSITO: Acidente na RS 400 deixa uma pessoa morta na rodovia que liga Candelária a Sobradinho - RS

Um acidente de trânsito por volta das 10h desta terça-feira (21) deixou uma pessoa morta e outra gravemente ferida no km 12 da RS 400, rodovia que liga Candelária a Sobradinho. Segundo informações do Corpo de Bombeiros Voluntários de Candelária, o condutor de uma carreta com placas de...
21/11/2017 15:18

PLANTÃO POLICIAL: Polícia prende dois acusados por tráfico de drogas em Tenente Portela - RS

Por volta das 22h de ontem, policiais civis de Tenente Portela e da 22ª Delegacia de Polícia Regional/Três Passos, em conjunto com a Brigada Militar de Tenente Portela, prenderam em flagrante dois indivíduos que ocupavam um táxi e levavam para Tenente Portela 103g de crack, além de portar um...

Contato

TopSul Notícias - O Portal Top em Notícias do Sul!

topsulnoticias@gmail.com
topsulcrissiumalrs@gmail.com

Cel.: (55) 9.9148-8420

Pesquisar no site

-

www.topsulnoticias.com.br - TopSul Notícias.

© 2013 - 2017 - Todos os direitos reservados.