InterNexo Ltda.

Consultoria e Serviços de Acesso à Internet

Arquivo

diretório
todos os artigos

Pesquisa

Novidades

2010-09-01 14:30:36

Cuidado com senhas fracas

A despeito de todo o avanço recente em métodos de autenticação tais como biometria e certificados criptográficos, as boa e velha senha ainda é o método mais utilizado em um grande número de aplicações. Para enviar um email, por exemplo, o servidor pode pedir uma senha. Para aceder a uma caixa postal remota e baixar as mensagens recebidas, também é necessário fornecer uma senha. A segurança dos sistemas cujo acesso é autorizado pela autenticação de uma senha é tão mais forte quanto mais fortes forem as senhas usadas.

Introdução

Uma senha forte é a que resiste a sua adivinhação por um atacante, mas quem são os atacantes, quem quer obter senhas e por que? Infelizmente são muitos e são bastante espertos. De posse de senhas os bandidos podem

• invadir sistemas,
• roubar dados confidenciais,
• roubar recursos de comunicações,
• falsificar identidades,
• etc.

O principal tipo de ataque contra senhas é o chamado ataque de dicionário em que o ladrão de senhas tenta o acesso ao serviço com um repertório de senhas conhecidas, o dicionário, e suas variações. Normalmente a primeira tentativa é justamente o próprio nome do usuário. Com a disponibilidade de serviços de Internet em banda larga e computadores poderosos a preço de banana, ataques assim geralmente conseguem quebrar uma pequena fração das senhas tentadas, mas essa pequena fração é suficiente para fazer muito estrago.

Um exemplo real das consequências do comprometimento de senhas ocorreu em uma empresa onde um funcionário ao enviar um email para um fornecedor teve o dissabor de ver sua mensagem recusada porque o endereço IP do servidor de email da empresa se encontrava em uma lista negra. O caso foi levado ao executivo de TI, que, em primeiro lugar estranhou o caso, porque nas políticas de segurança da empresa são tomadas todas as medidas para evitar que qualquer máquina da rede corporativa envie spam clandestinamente. Investigando melhor e contatando o gerente da lista negra em questão ele descobriu que a mensagem que causou a listagem era autenticada, isto é, ela parecia ter sido enviada por um usuário legítimo da empresa, com uso de nome e senha. Mais um passo na investigação descobriu-se que a senha desse usuário era igual ao seu nome, e que devia ter sido quebrada por um dos vários bots, programas clandestinos, que rodam pelos computadores pessoais sem que seus donos percebam. Na verdade os spams também foram enviados por bots, de várias partes do mundo, mas sempre usando o nome e senha do usuário descuidado. Correntes sempre quebram no elo mais fraco e, neste caso, o elo mais fraco era uma senha fraquíssima.

Então, mesmo que a aplicação protegida pela senha não seja o detonador do fim do mundo, seu abuso pode ter consequências catastróficas para a empresa e para o usuário.

Política de senhas

O problema de fazer com que os usuários tenham senhas fortes é mais complicado do que parece à primeira vista. Uma boa senha, além de ser forte em relação aos ataques de dicionário, deve ser facilmente lembrável pelo dono e dificilmente adivinhável pelos outros.

Há quem recomende a troca periódica de senhas, com base no fato de que quanto mais velha, mais exposta a senha esteve às tentativas de quebra, porém, trocar as senhas frequentemente leva a senhas sem sentido, difíceis de memorizar, e as pessoas as acabarão guardando em arquivos ou escrevendo em post-it colado ao lado da tela do computador. Eu não recomendo a troca periódica de senhas, mas o uso de senhas naturalmente fortes.

Como criar senhas fortes? Em primeiro lugar, vejamos o que não fazer:

• senha igual ao nome, é a mais fraca possível;
• sobrenomes, nome do meio, apelidos;
• palavras de dicionário, ainda que modificadas, como b0nec@;
• anagramas do próprio nome ou sobrenome;
• senhas completamente numéricas, datas de aniversário.

Fica difícil assim escolher alguma coisa que seja fácil de lembrar, mas difícil de um outro adivinhar. Uma idéia é usar uma frase e formar a senha com a primeira (ou segunda, ou selecionada com algum critério) letra de cada palavra, por exemplo, para a frase Batatinha quando nasce esparrama pelo chão, a senha seria Bqbepc que é considerada forte por vários programas quebradores.

Na mesma linha, o acróstico de um poema pode servir muito bem. Por exemplo, eis uma estrofe de uma canção bem conhecida de Janis Joplin:

O, Lord, won't you buy me
a Mercedes Benz.
My friends all drive Porsches,
I must make amends.
Worked hard all my lifetime,
no help from my friends,
so, Lord won't you buy me
a Mercedes Benz

Outra receita para construir uma senha forte e lembrável é partir de uma palavra que tem sentido para o usuário mas para quase mais ninguém, como era o caso de rosebud para o Cidadão Kane (a propósito, hoje em dia essa é uma palavra de dicionário e não pode mais ser usada). O nome do monstro que morava debaixo da cama pode servir bem, se não for uma palavra de dicionário.

2010-05-25 16:44:09

Quão larga é a banda?

Uma dúvida de todo usuário de acesso à Internet em banda larga é se a banda que ele contratou corresponde à realidade. Há vários sítios que possuam "velocímetros", mas suas estimativas de velocidade não são confiáveis porque a velocidade fim-a-fim depende de fatores que estão completamente fora do controle do provedor, portanto dos termos de contrato. Para resolver, pelo menos em parte, este problema, o Centro de Estudos e Pesquisas em Tecnologia de Redes e Operações do Comitê Gestor de Internet no Brasil criou um velocímetro que mede a velocidade do cliente até os pontos de troca de tráfego, de modo que suas estimativas de desempenho são muito semelhantes ao desempenho real com os grandes provedores de conteúdo como o Google, Yahoo, grandes jornais, etc., pois eles participam dos pontos de troca de tráfego.

Para ter acesso ao velocímetro do CEPTRO, vá até http://ceptro.br/Simet. Lá você encontrará as instruções para usar o dispositivo e interpretar seus resultados.

2010-05-17 13:32:28

Novo webmail à disposição dos usuários

Colocamos à disposição de nossos usuários de email um novo sistema de webmail baseado no software Roundcube.

O novo serviço pode ser encontrado em https://servicos.inexo.com.br/webmail/. No campo do Usuário entre com o endereço eletrônico completo, como fulano@algum.lugar. A senha é a mesma do seu servidor SMTP ou IMAP. É necessário configurar as caixas postais locais, clicando em Configurações pessoais.

O Roundcube é baseado em AJAX, e é uma das interfaces web para email mais ágeis que se conhece. Esperamos que esta opção a mais (as outras são o TWIG e SquirrelMail) seja do agrado de nossos usuários.

2010-03-17 23:07:05

Onde foi parar meu email?

Saiu mas não chegou? O outro lado jura ter enviado mas você ainda não recebeu? São situações comuns para o usuário de correio eletrônico. De fato, cada passo que sua mensagem dá em nosso servidor, desde sua submissão ou recebimento até a entrega, é registrado. O problema para responder às perguntas dos usuários, procurar as mensagens corretas nos registros, é como procurar agulha no palheiro. Era, até o lançamento de nossa ferramenta MyMail, que permite vasculhar os registros, a fila de mensagens e até as caixas postais.

Para usar a nova ferramenta entre em http://seu.dominio/cgi-bin/MyMail, onde, obviamente, seu.dominio deve ser substituido pelo seu domínio. Usuários de correio eletrônico devem usar o mesmo nome e senha que usam para receber e enviar mensagens. O nome não leva o sufixo do domínio, então se seu endereço de email é fulano@algum.lugar, o nome de usuário é fulano e não fulano#algum.lugar, como na configuração dos servidores SMTP e IMAP.

Os administradores do domínio podem usar a ferramenta para verificar os registros de qualquer endereço dentro do domínio.

Esperamos que a nova ferramenta ajude aos usuários de nosso sistema de correio eletrônico a entender o que acontece com as mensagens e a traçar todos os passos de seu processamento.

Em caso de dúvidas e sugestões a respeito do sistema, entre em contato com o nosso PostMaster.

2009-12-31 23:59:59

Boas Festas!

Desejamos a todos os amigos, parceiros e clientes Boas Festas e um Feliz Ano Novo.