"O Portal Top em Notícias do Sul”

TECNOLOGIA E SEGURANÇA: Brasileiro recebe maior prêmio do Facebook após encontar bug

26/01/2014 12:15

Reginaldo Silva recebeu R$ 80 mil, a maior recompensa da história da rede social após encontrar brecha de segrança.

O Facebook pagou, nesta última semana, a maior recompensa da história da rede social a um “caçador de bugs”: 33,5 mil dólares, ou cerca de 80 mil reais. O premiado foi o mineiro Reginaldo Silva, engenheiro da computação de 27 anos, que encontrou uma brecha de segurança que permitia a execução de códigos remota afetando os servidores do site.

 

A premiação vem por meio do programa Facebook Bug Bounty, inaugurado pela rede social em novembro passado. Silva reportou à empresa todo o procedimento feito até chegar à falha, que foi logo corrigida pelos engenheiros do próprio site – todo o longo processo, aliás, você pode conferir aqui. O valor entregue ao brasileiro foi definido de acordo com a gravidade da brecha – e pela alta soma, dá para imaginar o estrago que o bug poderia causar se tivesse sido descoberto por um cracker.

Hoje residente em São José dos Campos (SP), o mineiro formado pelo Instituto Tecnológico da Aeronáutica (ITA) falou a INFO sobre sua carreira como especialista em segurança da informação e caçador de bugs – e ainda dá algumas dicas para quem quer começar na área.

Primeiro, quando você começou a se interessar e a procurar por bugs de segurança pela internet? E qual foi o primeiro que encontrou?

Eu me interesso por segurança da informação já há 10 anos, e meio que decidi fazer carreira nessa área. A primeira falha que encontrei pela internet foi em um framework para programação Web em Java, chamado Play Framework. O processo para isso é sempre o mesmo: ler o código fonte do software pacientemente, enumerar os problemas – por mais simples que sejam – e ver as maneiras pelas quais eles podem ser explorados. Mas quando o código fonte não está disponível, é na base da tentativa e erro mesmo.

Até hoje, quantas falhas já achou? Todas renderam algum tipo de recompensa? 

Estimo que algumas centenas, somando os bugs que acho atuando profissionalmente e os de vários programas de recompensa ao redor da internet. Procuro bastante por falhas também em software de código livre, então muitas das que acho não rendem nenhuma recompensa financeira imediata. A principal é mesmo ter o trabalho reconhecido e saber que estou contribuindo para uma internet mais segura. E como também atuo como consultor, a notoriedade gerada pela associação do meu nome à descoberta de falhas importantes ajuda a atrair clientes.

Antes de receber essa recompensa do Facebook, você já havia parado até em um hall da fama do Google. Como isso aconteceu? 

O Google mantém um "hall da fama" que lista os pesquisadores que mais relataram falhas de segurança à empresa. Como reportei alguns problemas ao longo de 2012 e 2013, acabei indo parar nessa lista. [A tabela foi criada em novembro 2010, junto do programa de recompensas do Google. Ela é atualizada de três a quatro vezes por ano, e Reginaldo Silva não é o único brasileiro na lista.

Agora no caso específico do Facebook, esse foi o primeiro bug que você achou? Como foi o procedimento? 

Não foi o primeiro que encontrou na rede social, mas a falha com o maior impacto. Na verdade, achar uma brecha grave, que possibilitaria a invasão no site de uma grande empresa é o objetivo de todo profissional na área de segurança, e estou sempre tentando fazer isso.

Achei o problema quando estava testando a segurança da parte do site que é utilizada quando o usuário esqueceu a senha. Suspeitei que o Facebook pudesse estar vulnerável a uma falha semelhante a outra que eu já tinha descoberto em 2012, quando estava a segurança do Drupal, o gerenciador de conteúdo de código aberto. 

A falha permitia ler arquivos internos do servidor do Facebook, e com ela em mãos, pensei em um cenário que poderia ser utilizado para concretizar a invasão – ou seja, o comprometimento total dos servidores da empresa. Como não tinha permissão para testá-la, apenas relatei o que tinha descoberto ao time de segurança do Facebook, que confirmou minha teoria. [O relato completo de Silva está disponível em sua pessoal, em inglês.]

A alguém que queira começar a caçar bugs ou mesmo uma carreira em segurança de informação, o que você recomenda?

Há muito material, principalmente em inglês. Para segurança na web, recomendo os livros “The Tangled Web”, de Michal Zalewski, e “The Web Application Hacker’s Handbook”, de Dafydd Stuttard e Marcus Pinto. Uma abordagem sistemática sobre análise de código está no livro “The Art of Software Security Assessment”, considerado por muitos a bíblia da área. Além dos livros, leio muitos blogs de segurança, tanto de empresa quanto de desenvolvedores e pesquisadores. 

Mas a melhor forma mesmo é acompanhar as falhas de segurança nas páginas dos próprios frameworks e software, olhas os commits que consertam as falhas e tentar explorá-las. Além disso, também vale ver uma falha e pensar: “Onde será que vou achar outro problema desse tipo?”.

E além do procedimento padrão, de ler o código fonte atentamente e enumerar problemas, você usar alguma ferramenta em especial no trabalho? 

Meu editor favorito é o GNU Emacs, que posso personalizar do jeito que eu gosto. No dia a dia, utilizo muito uma ferramenta chamada Burp Suite, para pausar e modificar as requisições feitas aos servidores web. Mas a verdade é que passo grande parte do tempo na linha de comando, utilizando as ferramentas Unix padrão. Grip, Sed, Awk, Curl, etc... Sou mais rápido na linha de comando do que em uma interface gráfica, para ser sincero.

 

Fonte: Exame

Post. Eloídes Nunes.

 

Notícias:

23/06/2018 23:03

PLANTÃO POLICIAL: PF apreende cerca de meia tonelada de cocaína escondida em bloco de concreto, em Santiago - RS

A Polícia Federal apreendeu na tarde deste sábado (23), 448 quilos de cocaína nas proximidades do município de Santiago. Essa foi a maior apreensão da droga no Rio Grande do Sul em 2018. A abordagem ocorreu nas proximidades do município de Santiago. A droga foi localizada em um caminhão,...
23/06/2018 22:58

BOMBEIROS: Em dia de fúria, táxi é destruído e casa incendiada em Ajuricaba - RS

Incêndio e danos em um automóvel foram registrados no final da tarde de ontem (22), no bairro João Carlini em Ajuricaba. Na ocasião, um homem, não satisfeito com o fim do relacionamento causou danos em um táxi no qual trabalha o atual namorado de sua ex-companheira e a seguir ateou fogo na casa...
23/06/2018 19:22

TRÂNSITO: Jovem é atropelada por moto em faixa de segurança de Horizontina - RS

Uma jovem foi atropelada por uma motocicleta no início da noite desta sexta-feira, dia 22 na Rua Dahne de Abreu, esquina com a Rua Duque de Caxias próximo a uma pet shop.  O condutor da moto acionou o socorro e aguardou o policiamento da Brigada Militar que orientou o trânsito e realizou...
23/06/2018 19:15

PLANTÃO POLICIAL: Brigada Militar recaptura dois fugitivos do Presídio Estadual de Santa Rosa - RS

Dois dos quatro fugitivos do Presídio Estadual de Santa Rosa, foram recapturados por uma guarnição de policiais da Brigada Militar, na manhã deste sábado (23). As prisões ocorreram após um policial civil de Tuparendi, ligar para a central de operações da Brigada Militar relatando ter visto...
23/06/2018 19:09

BOMBEIROS: Escola desativada é destruída por incêndio no interior de Três de Maio - RS

Um sinistro na noite desta sexta-feira (22) destruiu por completo o prédio de uma escola desativada, no interior do município de Três de Maio. A antiga Escola Estadual de Ensino Fundamental Lajeado Caneleira, teve um incêndio por volta das 20h30min. O Corpo de Bombeiros de Três de Maio,...
23/06/2018 15:22

GERAL: Lar de Idosos é interditado após constatação de maus tratos em Passo Fundo - RS

A casa de acolhimento de idosos Doce Lar, que é particular, foi fechada na tarde desta sexta-feira (22) durante uma ação do Ministério Público e fiscais da Vigilância Sanitária de Passo Fundo. O motivo, conforme o órgão, é uma série de irregularidades flagradas após diversas denúncias,...
23/06/2018 15:13

TRÂNSITO: Homem morre em acidente na RS-453, em Caxias do Sul - RS

Um homem ainda não identificado morreu em um acidente de trânsito no Km 5 da RS-453, em Caxias do Sul, na manhã desta sexta-feira (22). O Grupo Rodoviário de Farroupilha, que atendeu a ocorrência, foi acionado pouco depois das 9h. A colisão, que ocorreu próximo ao Viaduto Campo dos Bugres,...
23/06/2018 15:04

PLANTÃO POLICIAL: Divulgadas fotos dos 4 detentos fugitivos do Presidio Estadual de Santa Rosa - RS

Por volta das 4h50min desta sexta-feira, os detentos, Josiel Gomes, Jeferson Adriano Lamarque Felício, João Francisco Medeiros da costa e Leandro dos Santos  fugiram do Presídio Estadual de Santa Rosa. Os dois primeiros cumpriam pena por tráfico de drogas e Homicídio e os outros dois por...
22/06/2018 17:45

PUBLICIDADE: Confira as Novidades em Roupas Juninas e Edredons na Status Variedades – Crissiumal – RS

Confira as novidades em roupas para festa junina e edredons inverno: Visite a STATUS VARIEDADES e Aproveite a alegria de comprar bem, conferindo os melhores preços e as condições de pagamento. Telefone para Contato 9154-1672.
21/06/2018 17:51

GERAL: Pica-pau fura caixa de fibra ótica e deixa cidade do interior do AC quase 5 horas sem internet e telefonia

Um fato inusitado deixou a segunda maior cidade do Acre, Cruzeiro do Sul, cerca de 5 horas sem internet e telefonia nesta terça-feira (19). A Oi confirmou que a interrupção foi causada pela ação de um pica-pau, que perfurou com o bico uma caixa que protege os fios de fibra...

Contato

TopSul Notícias - O Portal Top em Notícias do Sul!

topsulnoticias@gmail.com
topsulcrissiumalrs@gmail.com

Cel.: (55) 9.9148-8420

Pesquisar no site

-

www.topsulnoticias.com.br - TopSul Notícias.

© 2013 - 2018 - Todos os direitos reservados.