"O Portal Top em Notícias do Sul”

TECNOLOGIA E SEGURANÇA: Brasileiro recebe maior prêmio do Facebook após encontar bug

26/01/2014 12:15

Reginaldo Silva recebeu R$ 80 mil, a maior recompensa da história da rede social após encontrar brecha de segrança.

O Facebook pagou, nesta última semana, a maior recompensa da história da rede social a um “caçador de bugs”: 33,5 mil dólares, ou cerca de 80 mil reais. O premiado foi o mineiro Reginaldo Silva, engenheiro da computação de 27 anos, que encontrou uma brecha de segurança que permitia a execução de códigos remota afetando os servidores do site.

 

A premiação vem por meio do programa Facebook Bug Bounty, inaugurado pela rede social em novembro passado. Silva reportou à empresa todo o procedimento feito até chegar à falha, que foi logo corrigida pelos engenheiros do próprio site – todo o longo processo, aliás, você pode conferir aqui. O valor entregue ao brasileiro foi definido de acordo com a gravidade da brecha – e pela alta soma, dá para imaginar o estrago que o bug poderia causar se tivesse sido descoberto por um cracker.

Hoje residente em São José dos Campos (SP), o mineiro formado pelo Instituto Tecnológico da Aeronáutica (ITA) falou a INFO sobre sua carreira como especialista em segurança da informação e caçador de bugs – e ainda dá algumas dicas para quem quer começar na área.

Primeiro, quando você começou a se interessar e a procurar por bugs de segurança pela internet? E qual foi o primeiro que encontrou?

Eu me interesso por segurança da informação já há 10 anos, e meio que decidi fazer carreira nessa área. A primeira falha que encontrei pela internet foi em um framework para programação Web em Java, chamado Play Framework. O processo para isso é sempre o mesmo: ler o código fonte do software pacientemente, enumerar os problemas – por mais simples que sejam – e ver as maneiras pelas quais eles podem ser explorados. Mas quando o código fonte não está disponível, é na base da tentativa e erro mesmo.

Até hoje, quantas falhas já achou? Todas renderam algum tipo de recompensa? 

Estimo que algumas centenas, somando os bugs que acho atuando profissionalmente e os de vários programas de recompensa ao redor da internet. Procuro bastante por falhas também em software de código livre, então muitas das que acho não rendem nenhuma recompensa financeira imediata. A principal é mesmo ter o trabalho reconhecido e saber que estou contribuindo para uma internet mais segura. E como também atuo como consultor, a notoriedade gerada pela associação do meu nome à descoberta de falhas importantes ajuda a atrair clientes.

Antes de receber essa recompensa do Facebook, você já havia parado até em um hall da fama do Google. Como isso aconteceu? 

O Google mantém um "hall da fama" que lista os pesquisadores que mais relataram falhas de segurança à empresa. Como reportei alguns problemas ao longo de 2012 e 2013, acabei indo parar nessa lista. [A tabela foi criada em novembro 2010, junto do programa de recompensas do Google. Ela é atualizada de três a quatro vezes por ano, e Reginaldo Silva não é o único brasileiro na lista.

Agora no caso específico do Facebook, esse foi o primeiro bug que você achou? Como foi o procedimento? 

Não foi o primeiro que encontrou na rede social, mas a falha com o maior impacto. Na verdade, achar uma brecha grave, que possibilitaria a invasão no site de uma grande empresa é o objetivo de todo profissional na área de segurança, e estou sempre tentando fazer isso.

Achei o problema quando estava testando a segurança da parte do site que é utilizada quando o usuário esqueceu a senha. Suspeitei que o Facebook pudesse estar vulnerável a uma falha semelhante a outra que eu já tinha descoberto em 2012, quando estava a segurança do Drupal, o gerenciador de conteúdo de código aberto. 

A falha permitia ler arquivos internos do servidor do Facebook, e com ela em mãos, pensei em um cenário que poderia ser utilizado para concretizar a invasão – ou seja, o comprometimento total dos servidores da empresa. Como não tinha permissão para testá-la, apenas relatei o que tinha descoberto ao time de segurança do Facebook, que confirmou minha teoria. [O relato completo de Silva está disponível em sua pessoal, em inglês.]

A alguém que queira começar a caçar bugs ou mesmo uma carreira em segurança de informação, o que você recomenda?

Há muito material, principalmente em inglês. Para segurança na web, recomendo os livros “The Tangled Web”, de Michal Zalewski, e “The Web Application Hacker’s Handbook”, de Dafydd Stuttard e Marcus Pinto. Uma abordagem sistemática sobre análise de código está no livro “The Art of Software Security Assessment”, considerado por muitos a bíblia da área. Além dos livros, leio muitos blogs de segurança, tanto de empresa quanto de desenvolvedores e pesquisadores. 

Mas a melhor forma mesmo é acompanhar as falhas de segurança nas páginas dos próprios frameworks e software, olhas os commits que consertam as falhas e tentar explorá-las. Além disso, também vale ver uma falha e pensar: “Onde será que vou achar outro problema desse tipo?”.

E além do procedimento padrão, de ler o código fonte atentamente e enumerar problemas, você usar alguma ferramenta em especial no trabalho? 

Meu editor favorito é o GNU Emacs, que posso personalizar do jeito que eu gosto. No dia a dia, utilizo muito uma ferramenta chamada Burp Suite, para pausar e modificar as requisições feitas aos servidores web. Mas a verdade é que passo grande parte do tempo na linha de comando, utilizando as ferramentas Unix padrão. Grip, Sed, Awk, Curl, etc... Sou mais rápido na linha de comando do que em uma interface gráfica, para ser sincero.

 

Fonte: Exame

Post. Eloídes Nunes.

 

Notícias:

23/09/2020 14:12

PLANTÃO POLICIAL: 37º BPM prende mãe e filho por tráfico de drogas em Frederico Westphalen - RS

Na noite desta terça-feira (22/9), policiais militares do 37º Batalhão de Polícia Militar (37ºBPM), prenderam um homem de 24 anos e sua mãe de 43 anos de idade, por tráfico de entorpecentes no Bairro São José em Frederico Westphalen. O jovem foi preso após ser flagrado saindo de sua residência com...
23/09/2020 14:05

PLANTÃO POLICIAL: 4º BPAF Operação Hórus apreensão de plantação de maconha em Porto Mauá - RS

4º BPAF Operação Hórus apreensão de plantação de maconha em Porto Mauá - RS. Na segunda-feira (21/09) Policiais Militares do 4º Batalhão de Polícia de Área de Fronteira, atuando na Operação Hórus, efetuaram a apreensão de 241 pés de maconha em Porto Mauá - RS. Um homem de 33 anos foi preso e...
23/09/2020 08:38

GERAL: Seguros Sicredi beneficiam mais de 3 mil associados em nossa região Noroeste do RS

A Sicredi Noroeste RS, além de oferecer experiências positivas, soluções adequadas, produtos e serviços financeiros completos, busca atender os associados na integralidade de suas necessidades e expectativas. Os seguros Sicredi são completos e com proteção que fazem diferença no patrimônio dos...
22/09/2020 23:18

BOMBEIROS: Incêndio destrói residência na Rua Coroados, centro de Crissiumal - RS

Na noite desta terça-feira (22), um incêndio destruiu uma casa mista de alvenaria e madeira na rua Coroados, esquina com a rua Três Passos, próximo da Sorveteria do Guinter, centro de Crissiumal – RS. No momento do sinistro, os moradores não estavam na casa, sendo um casal e uma criança. Populares...
21/09/2020 15:36

COVID-19: Confirmado o 19º óbito de paciente infectado pela coronavírus em Três Passos - RS

O município de Três Passos confirmou na manhã desta segunda-feira (21), o 19º óbito de pessoa infectada pela Covid-19. Trata-se de um paciente, do sexo masculino, de 79 anos. Ele foi internado no dia 30 de agosto, no Hospital de Caridade, pela família. Coletado exame PCR para o Laboratório Central...
21/09/2020 15:25

PLANTÃO POLICIAL: 7° BPM atendeu seis ocorrências de perturbação do sossego durante o final de semana em Tenente Portela, Barra do Guarita, Chiapetta, Sede Nova e Tiradentes do Sul - RS

O final de semana de tempo bom fez muitas pessoas saírem de casa e por vezes descumprirem as orientações de distanciamento controlado impostas pela pandemia. Foram atendidas seis ocorrências de perturbação do sossego, sendo sete pessoas responsabilizadas mediante termo circunstanciado. Das seis...
21/09/2020 09:15

PLANTÃO POLICIAL: Trator VALMET foi identificado pela Brigada Militar com as mesmas características relatadas em um registro de estelionato em Araranguá - SC. Trator encontrava-se na localidade de Novo Planalto, interior de Tiradentes do Sul - RS

No domingo (20/9), por voltas das 20h30min, na localidade de Novo Planalto, interior de Tiradentes do Sul - RS. Policias Militares do 7ºBPM localizaram um TRATOR VALMET ANO 1971, o qual foi constatado ter as mesmas características de uma máquina descrita em uma ocorrência policial de estelionato...
19/09/2020 08:21

SOCIAL: Mensagem de Agradecimento: 1 Ano de Falecimento “in Memória” de Claudinei Neitzke Both – Crissiumal - RS

Foi há um ano Claudinei que você partiu. Ainda recordamos da dor, da angústia, de todo pesadelo que foi receber e lidar com a notícia de seu trágico falecimento, pois você partiu, sem aviso, sem tampouco nós permitir lhe dizer adeus, tão cedo você se foi, tão cedo e tão de repente, com tanta...
18/09/2020 22:30

PUBLICIDADE: (18/09/2020) Confira as Ofertas da Semana em HOMERDING CORRETORES DE IMÓVEIS em Crissiumal – RS

ATENÇÃO!  Se você deseja adquirir um terreno, a HOMERDING CORRETORES DE IMÓVEIS pode lhe ajudar!! Contate-nos pelo waths app:  (55) 9.9137-9985 com Clóvis Homerding. Ou venha até nosso escritório:  Avenida Presidente Castelo Branco, nº 306, sala 03, Crissiumal/RS ‼️São diversos...

Contato

TopSul Notícias - O Portal Top em Notícias do Sul!

topsulnoticias@gmail.com

Cel.: (55) 9.9206-0445

Pesquisar no site

www.topsulnoticias.com.br - TopSul Notícias & Publicidades

© 2013 - 2020 - Todos os direitos reservados.