"O Portal Top em Notícias do Sul”

TECNOLOGIA E SEGURANÇA: Brasileiro recebe maior prêmio do Facebook após encontar bug

26/01/2014 12:15

Reginaldo Silva recebeu R$ 80 mil, a maior recompensa da história da rede social após encontrar brecha de segrança.

O Facebook pagou, nesta última semana, a maior recompensa da história da rede social a um “caçador de bugs”: 33,5 mil dólares, ou cerca de 80 mil reais. O premiado foi o mineiro Reginaldo Silva, engenheiro da computação de 27 anos, que encontrou uma brecha de segurança que permitia a execução de códigos remota afetando os servidores do site.

 

A premiação vem por meio do programa Facebook Bug Bounty, inaugurado pela rede social em novembro passado. Silva reportou à empresa todo o procedimento feito até chegar à falha, que foi logo corrigida pelos engenheiros do próprio site – todo o longo processo, aliás, você pode conferir aqui. O valor entregue ao brasileiro foi definido de acordo com a gravidade da brecha – e pela alta soma, dá para imaginar o estrago que o bug poderia causar se tivesse sido descoberto por um cracker.

Hoje residente em São José dos Campos (SP), o mineiro formado pelo Instituto Tecnológico da Aeronáutica (ITA) falou a INFO sobre sua carreira como especialista em segurança da informação e caçador de bugs – e ainda dá algumas dicas para quem quer começar na área.

Primeiro, quando você começou a se interessar e a procurar por bugs de segurança pela internet? E qual foi o primeiro que encontrou?

Eu me interesso por segurança da informação já há 10 anos, e meio que decidi fazer carreira nessa área. A primeira falha que encontrei pela internet foi em um framework para programação Web em Java, chamado Play Framework. O processo para isso é sempre o mesmo: ler o código fonte do software pacientemente, enumerar os problemas – por mais simples que sejam – e ver as maneiras pelas quais eles podem ser explorados. Mas quando o código fonte não está disponível, é na base da tentativa e erro mesmo.

Até hoje, quantas falhas já achou? Todas renderam algum tipo de recompensa? 

Estimo que algumas centenas, somando os bugs que acho atuando profissionalmente e os de vários programas de recompensa ao redor da internet. Procuro bastante por falhas também em software de código livre, então muitas das que acho não rendem nenhuma recompensa financeira imediata. A principal é mesmo ter o trabalho reconhecido e saber que estou contribuindo para uma internet mais segura. E como também atuo como consultor, a notoriedade gerada pela associação do meu nome à descoberta de falhas importantes ajuda a atrair clientes.

Antes de receber essa recompensa do Facebook, você já havia parado até em um hall da fama do Google. Como isso aconteceu? 

O Google mantém um "hall da fama" que lista os pesquisadores que mais relataram falhas de segurança à empresa. Como reportei alguns problemas ao longo de 2012 e 2013, acabei indo parar nessa lista. [A tabela foi criada em novembro 2010, junto do programa de recompensas do Google. Ela é atualizada de três a quatro vezes por ano, e Reginaldo Silva não é o único brasileiro na lista.

Agora no caso específico do Facebook, esse foi o primeiro bug que você achou? Como foi o procedimento? 

Não foi o primeiro que encontrou na rede social, mas a falha com o maior impacto. Na verdade, achar uma brecha grave, que possibilitaria a invasão no site de uma grande empresa é o objetivo de todo profissional na área de segurança, e estou sempre tentando fazer isso.

Achei o problema quando estava testando a segurança da parte do site que é utilizada quando o usuário esqueceu a senha. Suspeitei que o Facebook pudesse estar vulnerável a uma falha semelhante a outra que eu já tinha descoberto em 2012, quando estava a segurança do Drupal, o gerenciador de conteúdo de código aberto. 

A falha permitia ler arquivos internos do servidor do Facebook, e com ela em mãos, pensei em um cenário que poderia ser utilizado para concretizar a invasão – ou seja, o comprometimento total dos servidores da empresa. Como não tinha permissão para testá-la, apenas relatei o que tinha descoberto ao time de segurança do Facebook, que confirmou minha teoria. [O relato completo de Silva está disponível em sua pessoal, em inglês.]

A alguém que queira começar a caçar bugs ou mesmo uma carreira em segurança de informação, o que você recomenda?

Há muito material, principalmente em inglês. Para segurança na web, recomendo os livros “The Tangled Web”, de Michal Zalewski, e “The Web Application Hacker’s Handbook”, de Dafydd Stuttard e Marcus Pinto. Uma abordagem sistemática sobre análise de código está no livro “The Art of Software Security Assessment”, considerado por muitos a bíblia da área. Além dos livros, leio muitos blogs de segurança, tanto de empresa quanto de desenvolvedores e pesquisadores. 

Mas a melhor forma mesmo é acompanhar as falhas de segurança nas páginas dos próprios frameworks e software, olhas os commits que consertam as falhas e tentar explorá-las. Além disso, também vale ver uma falha e pensar: “Onde será que vou achar outro problema desse tipo?”.

E além do procedimento padrão, de ler o código fonte atentamente e enumerar problemas, você usar alguma ferramenta em especial no trabalho? 

Meu editor favorito é o GNU Emacs, que posso personalizar do jeito que eu gosto. No dia a dia, utilizo muito uma ferramenta chamada Burp Suite, para pausar e modificar as requisições feitas aos servidores web. Mas a verdade é que passo grande parte do tempo na linha de comando, utilizando as ferramentas Unix padrão. Grip, Sed, Awk, Curl, etc... Sou mais rápido na linha de comando do que em uma interface gráfica, para ser sincero.

 

Fonte: Exame

Post. Eloídes Nunes.

 

Notícias:

18/12/2018 14:45

PLANTÃO POLICIAL: Operação contra o tráfico de drogas tem ordem judicial cumprida em Três Passos - RS

A Polícia Civil realiza na manhã de hoje uma operação para combater uma organização criminosa ligada ao tráfico de drogas, com sede no Vale dos Sinos e que atua no Rio Grande do Sul, Paraná e fronteira com o Uruguai. Estão sendo cumpridas 30 ordens judiciais em 12 cidades do estado gaúcho – Esteio,...
18/12/2018 14:41

GERAL: Comércio de Crissiumal com horário diferenciado no período que antecede o Natal

O comércio de Crissiumal começou ontem (17) a adotar um horário especial em função do período que antecede o Natal. Até sexta-feira, dia 21, as lojas na cidade estarão atendendo os clientes até às 20h30min. Nos dias 22 e 24 de dezembro, sábado e segunda-feira, o atendimento será até as 16 horas. Os...
18/12/2018 14:34

TRÂNSITO: Condutor perde controle de caminhão que desce barranco na RSC-472 em Tenente Portela - RS

O condutor de um caminhão placas de Três Passos perdeu o controle do veículo e desceu um barranco na manhã desta terça-feira, 18 de dezembro, na RSC-472, em Tenente Portela. Ninguém ficou ferido. O acidente ocorreu numa curva nas proximidades do acesso a localidade de Manchinha, distante...
18/12/2018 14:28

POLÍTICA: Partido de Sartóri adere ao Governo de Eduardo Leite

O MDB estadual decidiu, nesta segunda, aderir ao governo Eduardo Leite (PSDB). A medida foi aprovada por 47 votos favoráveis, nove contra e dois nulos em eleição no Diretório Estadual da sigla. O presidente do partido no RS, Alceu Moreira, optou para que coubesse ao colegiado avaliar o convite...
18/12/2018 14:22

GERAL: Primeiro veículo emplacado no RS no padrão Mercosul é um HB20 de Porto Alegre - RS

Durante os testes do Departamento Estadual de Trânsito (Detran/RS) para implementação das placas no padrão Mercosul no Estado, um HB20 de Porto Alegre recebeu a nova identificação na manhã desta segunda-feira (17). É o primeiro veículo emplacado no RS com o equipamento.  Em razão da...
18/12/2018 14:17

PLANTÃO POLICIAL: Residência é alvo de furto no interior de Sede Nova - RS

Uma residência foi alvo de furto na tarde do último sábado no interior de Sede Nova. Conforme ocorrência registrada junto à Polícia Civil, o furto teria ocorrido por volta das 15h na casa situada na localidade de Vista Alegre, no interior do município. A vítima compareceu nesta segunda-feira...
17/12/2018 15:57

TRÂNSITO: Colisão entre carreta e caminhão deixa homem gravemente ferido na BR-386, em Estrela - RS

Um acidente aconteceu por volta das 12h30 desta segunda-feira (17), no km 352 da BR-386, em Estrela. A colisão traseira entre uma carreta da empresa Concrevale, com placas de Cruzeiro do Sul, e um caminhão Mercedes Benz, de Passo Fundo, ocorreu no sentido interior – capital da rodovia. A carreta...
17/12/2018 15:39

MUNDO: Papa Francisco recebe bolo de aniversário em comemoração aos 82 anos

Crianças que freqüentam uma instituição beneficente do Vaticano deram ao papa Francisco um bolo de aniversário neste domingo (16), um dia antes de o pontífice completar 82 anos. As informações são da agência Associated Press. Francisco brincou com as crianças no domingo, dizendo que...
17/12/2018 15:31

TRÂNSITO: Vectra de Três Passos se envolve em acidente na ERS 207, entre Humaitá e Crissiumal - RS

Um GM Vectra sofreu danos de grande monta ao se envolver em um acidente de trânsito no final da tarde deste domingo na ERS 207, trecho que liga Humaitá e Crissiumal. O condutor seguia de Crissiumal em direção a Humaitá, por volta das 19h, momento em que perdeu o controle da direção, nas...
17/12/2018 13:17

GERAL: Prefeitura de Crissiumal terá expediente diferenciado nos dias 24 e 31 de dezembro

O prefeito de Crissiumal, Roberto Bergmann determinou, nesta segunda-feira, através do Decreto nº 199/2018, Turno Único de atendimento e trabalho reduzido, nas repartições públicas municipais, para os dias 24 e 31 de dezembro de 2018. Nestas datas, considerando os festejos tradicionais de final de...

Contato

TopSul Notícias - O Portal Top em Notícias do Sul!

topsulnoticias@gmail.com
topsulcrissiumalrs@gmail.com

Cel.: (55) 9.9206-0445

Pesquisar no site

-

www.topsulnoticias.com.br - TopSul Notícias & Publicidades

© 2013 - 2018 - Todos os direitos reservados.