"O Portal Top em Notícias do Sul”

TECNOLOGIA E SEGURANÇA: Brasileiro recebe maior prêmio do Facebook após encontar bug

26/01/2014 12:15

Reginaldo Silva recebeu R$ 80 mil, a maior recompensa da história da rede social após encontrar brecha de segrança.

O Facebook pagou, nesta última semana, a maior recompensa da história da rede social a um “caçador de bugs”: 33,5 mil dólares, ou cerca de 80 mil reais. O premiado foi o mineiro Reginaldo Silva, engenheiro da computação de 27 anos, que encontrou uma brecha de segurança que permitia a execução de códigos remota afetando os servidores do site.

 

A premiação vem por meio do programa Facebook Bug Bounty, inaugurado pela rede social em novembro passado. Silva reportou à empresa todo o procedimento feito até chegar à falha, que foi logo corrigida pelos engenheiros do próprio site – todo o longo processo, aliás, você pode conferir aqui. O valor entregue ao brasileiro foi definido de acordo com a gravidade da brecha – e pela alta soma, dá para imaginar o estrago que o bug poderia causar se tivesse sido descoberto por um cracker.

Hoje residente em São José dos Campos (SP), o mineiro formado pelo Instituto Tecnológico da Aeronáutica (ITA) falou a INFO sobre sua carreira como especialista em segurança da informação e caçador de bugs – e ainda dá algumas dicas para quem quer começar na área.

Primeiro, quando você começou a se interessar e a procurar por bugs de segurança pela internet? E qual foi o primeiro que encontrou?

Eu me interesso por segurança da informação já há 10 anos, e meio que decidi fazer carreira nessa área. A primeira falha que encontrei pela internet foi em um framework para programação Web em Java, chamado Play Framework. O processo para isso é sempre o mesmo: ler o código fonte do software pacientemente, enumerar os problemas – por mais simples que sejam – e ver as maneiras pelas quais eles podem ser explorados. Mas quando o código fonte não está disponível, é na base da tentativa e erro mesmo.

Até hoje, quantas falhas já achou? Todas renderam algum tipo de recompensa? 

Estimo que algumas centenas, somando os bugs que acho atuando profissionalmente e os de vários programas de recompensa ao redor da internet. Procuro bastante por falhas também em software de código livre, então muitas das que acho não rendem nenhuma recompensa financeira imediata. A principal é mesmo ter o trabalho reconhecido e saber que estou contribuindo para uma internet mais segura. E como também atuo como consultor, a notoriedade gerada pela associação do meu nome à descoberta de falhas importantes ajuda a atrair clientes.

Antes de receber essa recompensa do Facebook, você já havia parado até em um hall da fama do Google. Como isso aconteceu? 

O Google mantém um "hall da fama" que lista os pesquisadores que mais relataram falhas de segurança à empresa. Como reportei alguns problemas ao longo de 2012 e 2013, acabei indo parar nessa lista. [A tabela foi criada em novembro 2010, junto do programa de recompensas do Google. Ela é atualizada de três a quatro vezes por ano, e Reginaldo Silva não é o único brasileiro na lista.

Agora no caso específico do Facebook, esse foi o primeiro bug que você achou? Como foi o procedimento? 

Não foi o primeiro que encontrou na rede social, mas a falha com o maior impacto. Na verdade, achar uma brecha grave, que possibilitaria a invasão no site de uma grande empresa é o objetivo de todo profissional na área de segurança, e estou sempre tentando fazer isso.

Achei o problema quando estava testando a segurança da parte do site que é utilizada quando o usuário esqueceu a senha. Suspeitei que o Facebook pudesse estar vulnerável a uma falha semelhante a outra que eu já tinha descoberto em 2012, quando estava a segurança do Drupal, o gerenciador de conteúdo de código aberto. 

A falha permitia ler arquivos internos do servidor do Facebook, e com ela em mãos, pensei em um cenário que poderia ser utilizado para concretizar a invasão – ou seja, o comprometimento total dos servidores da empresa. Como não tinha permissão para testá-la, apenas relatei o que tinha descoberto ao time de segurança do Facebook, que confirmou minha teoria. [O relato completo de Silva está disponível em sua pessoal, em inglês.]

A alguém que queira começar a caçar bugs ou mesmo uma carreira em segurança de informação, o que você recomenda?

Há muito material, principalmente em inglês. Para segurança na web, recomendo os livros “The Tangled Web”, de Michal Zalewski, e “The Web Application Hacker’s Handbook”, de Dafydd Stuttard e Marcus Pinto. Uma abordagem sistemática sobre análise de código está no livro “The Art of Software Security Assessment”, considerado por muitos a bíblia da área. Além dos livros, leio muitos blogs de segurança, tanto de empresa quanto de desenvolvedores e pesquisadores. 

Mas a melhor forma mesmo é acompanhar as falhas de segurança nas páginas dos próprios frameworks e software, olhas os commits que consertam as falhas e tentar explorá-las. Além disso, também vale ver uma falha e pensar: “Onde será que vou achar outro problema desse tipo?”.

E além do procedimento padrão, de ler o código fonte atentamente e enumerar problemas, você usar alguma ferramenta em especial no trabalho? 

Meu editor favorito é o GNU Emacs, que posso personalizar do jeito que eu gosto. No dia a dia, utilizo muito uma ferramenta chamada Burp Suite, para pausar e modificar as requisições feitas aos servidores web. Mas a verdade é que passo grande parte do tempo na linha de comando, utilizando as ferramentas Unix padrão. Grip, Sed, Awk, Curl, etc... Sou mais rápido na linha de comando do que em uma interface gráfica, para ser sincero.

 

Fonte: Exame

Post. Eloídes Nunes.

 

Notícias:

25/09/2018 17:29

GERAL: JBS de Três Passos voltou ao trabalho nesta segunda-feira

O Ministério do Trabalho após fazer a auditoria na Unidade de Abate de Suínos da JBS de Três Passos, no dia 19 de setembro, concedeu a desinterdição total do frigorífico. A notícia foi confirmada pela gerente da unidade, Mirta Thisen, comemorando o retorno da planta ao trabalho a todo...
25/09/2018 17:03

EDUCAÇÃO: 21ª CRE divulga melhores resultados do Ideb em escolas da região

A 21ª Coordenadoria Regional de Educação (CRE / Três Passos) conta com escolas que se destacaram no Índice de Desenvolvimento da Educação Básica (Ideb). A titular da 21ª CRE, Lurdes Dresch, comemorou os melhores resultados obtidos pelas escolas estaduais da região. Ela reconhece, no entanto, que...
25/09/2018 16:47

JUSTIÇA: Acusados pela morte de trilheiros em Carazinho são condenados a 50 anos de prisão

Dois homens foram condenados a mais de 50 anos de prisão pelo assassinato de Alexandre Cristiano Soder, de 28 anos, e Carlos Henrique Hoppen, de 25 anos. Os dois amigos foram mortos durante um assalto, enquanto faziam uma trilha de moto no Santuário Santa Rita, a 5 km do Centro da cidade de...
25/09/2018 16:31

PLANTÃO POLICIAL: Empresários suspeitos de fraudar licitação em Braga estão foragidos

A pedido do Ministério Público (MP), a Justiça de São Leopoldo determinou a prisão preventiva de dois irmãos investigados por fraudes em licitações na área de saneamento em diversos municípios gaúchos, dentre eles Braga, na região Celeiro. A determinação da prisão ocorreu na terça-feira da semana...
25/09/2018 16:13

GERAL: Semana de valorização da vida inicia com palestra para profissionais da educação de Crissiumal - RS

Teve início na segunda-feira (24) em Crissiumal, a programação da Semana de Valorização da Vida, em alusão ao Setembro Amarelo. A iniciativa tem o intuito de resgatar valores humanos que se relacionam com a família, a escola e a comunidade, buscando combater a crescente violência, a falta de...
25/09/2018 15:54

PLANTÃO POLICIAL: Brigada Militar prende suspeitos de execuções em Coronel Bicaco - RS

Em uma rápida ação da Brigada Militar, durante a madrugada, no município de São Martinho, também na região Celeiro, cinco adultos e um adolescente foram presos. Eles são suspeitos de terem cometido o crime. Com o grupo foram apreendidas duas pistolas 9mm, provavelmente utilizadas no crime, e um...
25/09/2018 10:52

PUBLICIDADE: Confira neste Dia Primeiro de Outubro a Reinauguração da Status Variedades da Rosane em novo endereço, centro de Crissiumal – RS

No dia primeiro de outubro, segunda-feira, reinaugurou a Loja Status Variedades da Rosane em novo endereço, na Av. Presidente Castelo Branco, ao lado do Feirão das Frutas, centro de Crissiumal – RS. A Status Variedades da Rosane trás inúmeras novidades em seu Portfólio de Produtos, Assessórios,...
24/09/2018 16:51

TRÂNSITO: Saída de pista na BR 472 envolve caminhonete de Boa Vista do Buricá - RS

Um acidente de trânsito, foi registrado no inicio da tarde desta segunda feira (24), na BR 472 sentido Santa Rosa a Três de Maio. Conforme informações chovia no momento do acidente, o que ocasionou a aquaplanagem de uma caminhonete Hilux. A mesma acabou descendo o barranco e ficando fora da...
24/09/2018 16:32

TRÂNSITO: Aquaplanagem e colisão em parada de ônibus deixa uma pessoa ferida na BR 285, em Coronel Barros - RS

Um acidente de trânsito por volta das 10h10min na BR 285 deixou uma pessoa ferida na manhã dessa segunda-feira (24). De acordo com informações da PRF de Ijuí que atendeu a ocorrência, um veículo Astra com placas da cidade de Cândido Godoi em virtude das fortes chuvas no momento do acidente...
24/09/2018 16:24

PLANTÃO POLICIAL: Homem é morto a tiros em Coronel Bicaco - RS

Por volta das 2h15min desta segunda-feira (24) um homem foi assassinado a tiros no pátio do Paradouro Casemiro Antoniolli localizado na no trevo de entroncamento da BR 468 com a ERS 317, em Coronel Bicaco. Segundo informações Madson Reis do Santos, 44 anos, era vigilante junto à empresa e seu...

Contato

TopSul Notícias - O Portal Top em Notícias do Sul!

topsulnoticias@gmail.com
topsulcrissiumalrs@gmail.com

Cel.: (55) 9.9206-0445

Pesquisar no site

-

www.topsulnoticias.com.br - TopSul Notícias.

© 2013 - 2018 - Todos os direitos reservados.