A captura de tráfego em redes pode trazer informações úteis de outras máquinas conectadas nela. Em um pentest interno, podemos simular uma ameaça interna ou um atacante que tenha descoberto uma brecha no perímetro, capturando o tráfego de outros sistemas na rede e pode nos dar informações adicionais interessantes (inclusive usuários e senhas) que podem nos ajudar na fase de exploração. O problema de capturar o tráfego é a quantidade de dados que pode ser produzido. Pouco tempo de captura em uma rede pode inundar o Wireshark com dados que tornam difícil a vida do pentester em descobrir o que realmente é útil. Veremos a seguir como manipular uma rede para pegar acesso ao tráfego que não conseguimos ver. (mais…)
SSL
Pesquisadores expõem vulnerabilidades do SSL
Pesquisadores da Universidade do Texas em Austin e da Universidade Stanford publicaram os resultados de uma pesquisa que expõe vulnerabilidades críticas no uso de bibliotecas SSL em aplicações “não-browser”, antes consideradas altamente seguras. Esses softwares são usados em serviços críticos bancários e SDKs para comércio eletrônico, além de softwares menos críticos como armazenamento na nuvem e mensageria. A pesquisa coloca a culpa nos pobres testes de adversidades, bibliotecas de SSL inseguras, uso programação insegura das bibliotecas SSL, complexidade na resolução de problemas escondidos profundamente na pilha de erros e na prática de desabilitar a validação dos certificados pelos desenvolvedores. (mais…)
Aplicativos Android têm sérias vulnerabilidades SSL, dizem pesquisadores
Uma equipe de pesquisadores de duas universidades alemãs lançou um estudo afirmando que muitos dos aplicativos gratuitos mais populares disponíveis na loja do Google Play podem ser vulneráveis a ataques man-in-the-middle (MitM) – ameaçando seriamente a privacidade do usuário.
Um ataque “man-in-the-middle” é aquele em que um intermediário intercepta a comunicação entre dois sistemas, como entre um PC e usuário.
Os pesquisadores, das universidades de Hannover e Marburg, estudaram os 13,5 mil aplicativos gratuitos mais populares da loja online, com o intuito de encontrar vulnerabilidades SSL (“Secure Socket Layer”, protocolo de certificação) e TSL (“Transport Layer Security”, ou “segurança nas camadas de transporte”, em tradução livre). (mais…)
Mecanismos de certificação e a criptografia
Os mecanismos de certificação são responsáveis em atestar a validade de um documento.
Certificação Digital
A Certificação Digital pode ser vista como um conjunto de técnicas, processos e normas estabelecidas ou adotadas, que visam propiciar mais segurança às comunicações e transações eletrônicas, proporcionando a autenticidade e integridade das informações que tramitam de forma eletrônica. (mais…)