DJB: DNSSec x DNSCurve

Fotos da palestra de Daniel j. Bernstein sobre DNSCurve. Melhor palestra do FISL 10 !!

No FISL

Assistindo a palestra de Jacob Appelbaum ...




... ao lado de Daniel Bernstein, ou simplesmente DJB:





Isso pra mim já valeu todo o FISL :-)

Tchelinux dia 13/06 em Caxias do Sul

Habilitando Som e USB no VMware

Não sei porque isso já não vem por padrão nas máquinas virtuais, mas fica aqui a dica. Caso você esteja rodando o vmware server sobre o Fedora 10, e deseja que o som e o USB da máquina virtual Windows funcionem, basta fazer o seguinte:

- Como vmware usa OSS, instalar o pacote alsa-oss:
# yum install alsa-oss

- Habilitar o som e o USB no arquivo de configuração da máquina virtual (*.vmx):
# adicione as seguintes linhas:
sound.present = "TRUE"
sound.virtualDev = "es1371"
usb.present = "TRUE"
usb.generic.autoconnect = "TRUE"


Depois é só iniciar a máquina virtual e deixar o windows detectar os dispositivos. Não esqueça de instalar o vmware tools na máquina virtual.

YSTS 3 - Grade, Concurso e Treinamentos

1) CONCURSO CULTURAL:

Você já pediu um convite para o YSTS 3 com nossos patrocinadores e ninguem te atendeu ?
Você pensou em comprar com cartão mas o crédito está estourado ?
Você quer muito ir nessa conferência mas não sabe como ?

Seus problemas acabaram !

Escreva uma frase que será estampada na camiseta oficial do evento e envie para camiseta30@ysts.org até quarta, 27/05/2009.

A melhor frase ganha, inteiramente grátis, um passaporte (pessoal e intransferível) para a conferencia de segurança mais badalada do Brasil, que ocorrerá em um Bar na cidade de Sao Paulo durante o dia 22 de junho de 2009.Além disso, receberá um convite para festa VIP que ocorre no dia 23 de junho em outro bar (beba com moderação nos dois dias, hehehe).

As frases devem ter temas "geek",de preferencia em portugues. Seguem alguns exemplos:

"There's no place like 127.0.0.1"
"Bow before me, for I am root."
"No, I will not fix your computer"

Envie logo a sua frase. Aceitaremos submissões até esta quarta, 27 de maio.


2) TREINAMENTOS:

Não perca, esse ano teremos 4 treinamentos. Garanta logo a sua vaga acessando o link "inscrições" em www.ysts.org:

Introdução a Engenharia Reversa, com Luis Miras, pesquisador de segurança independente e co-autor do livro "Reverse Engineering Code with IDA Pro" (Syngress/2008).

Dismistificando Segurança em Wireless, com Luiz Eduardo e Nelson Murilo.
Aprenda, com histórias da vida real, não só quebrar, mas como montar uma rede robusta.

Internet Hacking Techniques, com Felipe Balestra (parceria Conviso)

Web Hacking Techniques, com Wagner Elias (parceria Conviso)


3) GRADE:

Veja em www.ysts.org a agenda oficial do evento, que contará com as palestras a seguir, muitas delas inéditas e programadas para serem apresentadas também nas conferencias Defcon e Blackhat USA. Você vê antes, aqui no Brasil e com tradução simultânea.:

Policy - The Biscuit Game of Infosec, Jim O'Gorman

Behind the Curtain ? the Microsoft Security Response Process explained, Mike Reavey: Director, MSRC

w3af - A framework to own the web, Andrés Riancho

Profiling Modern Hybrids & Threats , Derek Manky

Attacking Mobile Phone Messaging, Luis Miras e Zane Lackey

Hackeando do banheiro, Bruno Gonçalves de Oliveira

RIA Risks (Rich Internet Applications), Kevin Stadmeyer e Jon Rose

Reverse engineering and auditing extensible Microsoft subsystems and subsequent 3rd party implementations, Aaron Portnoy, DVLabs

Como Transformar uma Abotoadura em um Boné (Porque os gestores devem olhar de perto os controles técnicos de segurança), Eduardo V. C. Neves

Segurança e técnicas de intrusão em ambiente Oracle, Wendel Guglielmetti Henrique

Grato e nos vemos lá !

Willian Caprino, Nelson Murilo e Luiz Eduardo
www.ysts.org
www.naopod.com.br

Segurança mais visível no Firefox para sites https

Uma pequena dica, mas que faz uma grande diferença, ainda mais hoje em dia que os ataques a servidores DNS estão comuns e a existência de ataques do tipo ssl strip que podem levar o usuário a pensar que está no site correto, mas na verdade está em outro (uma forma de MITM).

Para que sites seguros com HTTPS exponham os certificados de forma mais visível, conforme figura abaixo, basta configurar a variável browser.identity.ssl_domain_display para o valor "1". Isso é feito no about:config do Firefox:



Veja a diferença no campo da URL quando você acessar sites com https depois de modificar essa configuração:



Fonte: The right way to handle encryption with Firefox 3

IRPF 2009 e ReceitaNet Java no Fedora 10

No Fedora 10, o IRPF 2009 em java até funciona bem. Mas para transmitir a declaração, é necessário ter o ReceitaNet Java, e esse apresenta problemas no Linux:

$ ./ReceitanetJava2009.01_setup_linux.bin

Assistente InstallShield

Inicializando Assistente InstallShield…

Procurando Java(tm) Virtual Machine…
…………………………The wizard cannot continue because of the following error: could not load wizard specified in /wizard.inf (104)


Só para variar, deve ser feito uma gambiarra para conseguir instalar o ReceitaNet:

./ReceitanetJava2009.01_setup_linux.bin -is:javahome /usr/java/jre1.6.0_07


Quando será que a Receita vai se convencer que a declaração deve ser via web, para evitar esse tipo de problema ?


Update: Encontrei diversos relatos na internet de pessoas que não conseguiram imprimir o recibo de envio. E isso independente de sistema operacional, seja Windows ou Linux. Isso aconteceu comigo também, para conseguir imprimir o recibo, é preciso manualmente copiar a declaração da pasta gravadas para a pasta transmitidas.

Esse software da Receita é um LIXO !

Código Aberto é mais seguro

As aplicações com o código aberto são mais seguras dos que as aplicações de código fechado. E essa afirmação foi feita em 1883 !!

1883? Você está maluco, Zucco ?

Calma !

Na verdade em 1883, Auguste Kerckhoffs criou em seu artigo intitulado "La Cryptographie Militaire" uma máxima chamada de "Princípio de Kerckhoffs": "Um sistema de criptografia deve ser seguro mesmo que tudo sobre o sistema, exceto a chave criptográfica, seja de conhecimento público."

Apesar de o artigo tratar especificamente sobre criptografia, o princípio também pode ser aplicado em aplicativos com outras funções, já que o conhecimento do algoritmo e seu funcionamento produz código mais seguro e eficiente, segundo esse mesmo princípio. Eric Raymond também fez essa analogia do princípio de Kerckhoffs com a segurança de aplicações com código aberto.


E pensar que tem pessoas que duvidam disso desde 1883 até hoje... Segurança por obscuridade não é garantia de segurança.

Ouro de Tolo

O Raul Seixas deveria estar sentindo o que sinto agora quando escreveu essa música. Não fique no seu apartamento também esperando a morte chegar. :-)

Ouro de Tolo
Raul Seixas

Composição: Raul Seixas

Eu devia estar contente
Porque eu tenho um emprego
Sou um dito cidadão respeitável
E ganho quatro mil cruzeiros
Por mês...

Eu devia agradecer ao Senhor
Por ter tido sucesso
Na vida como artista
Eu devia estar feliz
Porque consegui comprar
Um Corcel 73...

Eu devia estar alegre
E satisfeito
Por morar em Ipanema
Depois de ter passado
Fome por dois anos
Aqui na Cidade Maravilhosa...

Ah!
Eu devia estar sorrindo
E orgulhoso
Por ter finalmente vencido na vida
Mas eu acho isso uma grande piada
E um tanto quanto perigosa...

Eu devia estar contente
Por ter conseguido
Tudo o que eu quis
Mas confesso abestalhado
Que eu estou decepcionado...

Porque foi tão fácil conseguir
E agora eu me pergunto "e daí?"
Eu tenho uma porção
De coisas grandes prá conquistar
E eu não posso ficar aí parado...

Eu devia estar feliz pelo Senhor
Ter me concedido o domingo
Prá ir com a família
No Jardim Zoológico
Dar pipoca aos macacos...

Ah!
Mas que sujeito chato sou eu
Que não acha nada engraçado
Macaco, praia, carro
Jornal, tobogã
Eu acho tudo isso um saco...

É você olhar no espelho
Se sentir
Um grandessíssimo idiota
Saber que é humano
Ridículo, limitado
Que só usa dez por cento
De sua cabeça animal...

E você ainda acredita
Que é um doutor
Padre ou policial
Que está contribuindo
Com sua parte
Para o nosso belo
Quadro social...

Eu que não me sento
No trono de um apartamento
Com a boca escancarada
Cheia de dentes
Esperando a morte chegar...

Porque longe das cercas
Embandeiradas
Que separam quintais
No cume calmo
Do meu olho que vê
Assenta a sombra sonora
De um disco voador...

Ah!
Eu que não me sento
No trono de um apartamento
Com a boca escancarada
Cheia de dentes
Esperando a morte chegar...

Porque longe das cercas
Embandeiradas
Que separam quintais
No cume calmo
Do meu olho que vê
Assenta a sombra sonora
De um disco voador...

Linux: Fedora 10 - Webcam Microdia SN9C201 0c45:624f

Baseado nos posts sobre web cams do Douglas Landgraf, resolvi testar o funcionamento da minha câmera embutida do notebook. O notebook é um AmazonPC L81/Compal HEL81, e a câmera dele é uma Microdia SN9C201 0c45:624f.



Até pouco tempo atrás, só existia um driver proprietário, mas resolvi procurar mais um pouco. Acabei encontrando esse post, e adaptei o mesmo para funcionar com o Skype e Fedora 10.

Dados sobre a câmera:

# lsusb:
Bus 001 Device 002: ID 0c45:624f Microdia PC Camera (SN9C201 + OV9650)

# dmesg:
usb 1-4: new high speed USB device using ehci_hcd and address 2
usb 1-4: configuration #1 chosen from 1 choice
usb 1-4: New USB device found, idVendor=0c45, idProduct=624f
usb 1-4: New USB device strings: Mfr=0, Product=1, SerialNumber=0
usb 1-4: Product: USB20 Camera


Instruções para instalação:


1 - Instalar pacotes Pacotes requeridos:

# yum install libv4l kernel-headers ctags git


2 - Baixar o código fonte do driver:

# git clone http://repo.or.cz/r/microdia.git


3 - Compilar e instalar o módulo da câmera:

# cd microdia
# make
# strip -g sn9c20x.ko
# cp sn9c20x.ko /lib/modules/`uname -r`/kernel/drivers/media/video/usbvideo/
# depmod -a


Testando o funcionamento da câmera:

# modprobe videodev
# modprobe compat-ioctl32 (somente se você usar Linux 64 bits)
# make insmod
$ LD_PRELOAD=/usr/lib/libv4l/v4l2convert.so mplayer tv:// -tv \
driver=v4l2:width=640:height=480:fps=25:device=/dev/video0 -vo xv



Integrando com o Skype:

Crie um novo executável:

shell> sudo vi /usr/local/bin/webcamSkype

Adicione as 2 linhas abaixo:

#!/bin/bash
LD_PRELOAD=/usr/lib/libv4l/v4l2convert.so skype


Configurando permissões:
# chmod 755 /usr/local/bin/webcamSkype


Agora você pode carregar o webcamSkype de um terminal ou crie um atalho no seu desktop.
Ex: shell> webcamSkype



Agradeço ao desenvolvedor do driver, e ao grupo de suporte de cãmeras microdia para Linux.


Update: Não teve jeito de fazer funcionar o microfone usando o PulseAudio. A alternativa é configurar no skype para o dispositivo de entrada ser direto, conforme figura abaixo:


Não esqueça também de tirar seu microfone do "mudo" no mixer (você pode fazer isso através do gnome-volume-control ou do kmix).

YSTS 3.0 - CFP

A chamada para submissao de apresentacoes do YSTS 3.0 esta aberta!

A terceira edicao ocorrera em Sao Paulo, em 22 de Junho de 2009

INTRODUCAO

O YSTS e' um evento unico, de alto nivel, com foco na comunidade de seguranca da informacao brasilera, com participacao de palestrantes nacionais e internacionais.

Buscando combinar apresentacoes de alta qualidade, cobrindo os mais diversos topicos relacionados com seguranca da informacao, do nivel mais tecnico ao gerencial.

O objetivo e' permitir que a audiencia compreenda a abrangencia do mundo da seguranca da informacao, que exige entendimento das particularidades dos varios segmentos deste mercado.

Este e' um evento apenas para convidados. Assim sendo, submeter uma palestra e', certamente, um excelente modo de garantir a participacao no evento.

Devido ao sucesso das edicao anteriores, nos mantivemos o mesmo formato:

- - Ambiente confortavel e descontraido

- - O local do YSTS 3.0 sera informado apenas aos convidados

- - Como nas edicoes anteriores, o local secreto sera um bar fechado ou club

- - E sim havera comida e bebida


TOPICOS

Os focos de interesse, para o YSTS 3.0, sao:

* Sistemas Operacionais

* Topicos relacionados com carreira e gestao

* Dispositivos moveis/Sistemas embarcados

* Auditoria e controle

* Web e coisas 2.0

* Politicas para seguranca da informacao

* Telecomunicacao/Redes/Radio frequencias

* Respostas a incidentes e politicas (uteis) relacionadas

* Guerra cibernetica

* Malware/ BotNets

* Concientizacao de usuarios/Problemas em redes sociais

* Programacao segura

* Espacos e comunidades hacker

* Fuzzing

* Seguranca fisica

* Virtualizacao

* Criptografia/Ofuscacao

* Infraestrutura e sistemas criticos

* CAPTCHAS inviolaveis

* E qualquer outro topico relacionado com seguranca que voce imagine
relevante para a conferencia

Nos gostamos de palestras curtas, 30 minutos costuma ser suficiente para passar o recado, se voce achar que necessita de mais tempo, faca essa observacao na sua submissao.


REGALIAS AOS PALESTRANTES

* Auxilio para despesas de viagem e hospedagem, para palestrantes fora de Sao Paulo,
no valor de R$ 700,00 (Setecentos reais).

* Cafe da manha, almoco e jantar, durante a conferencia

* Festa pos-conferencia

* Auditoria de produto em pizzarias/churrascarias tradicionais


SUBMISSAO

Cada submissao deve incluir as segintes informacoes:

* Nome, titulo, endereco, email e telefone/numero de contato

* resumo biografico e qualificacoes

* Experiencia em apresentacoes

* Sumario e abstrato da sua apresentacao

* Se ja tiver produzido algum material envie tambem (ppt, pdf, etc.)

* Requisitos tecnicos (alem do projetor)

* Outras publicacoes ou conferencia onde este materia foi ou sera publicado/submetido

Nos aceitamos submissoes e apresentacoes em Ingles, Portugues e Espanhol


DATAS IMPORTANTES

Data final para submissoes - 10 de Maio de 2009
Notificacao dos autores aceitos - 20 de Maio de 2009
Envio do material para apresentacoes aceitas - 15 Junho 2009

Por favor envie sua submissao para cfp/at/ysts.org


CONTATO

Informacoes gerais: b0ard/at/ysts.org

Patrocinio: sponsors/at/ysts.org

Esperamos voce!


I Sh0t the Sheriff - 63 edições no ar: http://naopod.com.br

Tchelinux na Ulbra Gravataí

ncdu » NCurses Disk Usage

As the name already suggests, ncdu is an ncurses version of the famous old 'du' unix command. It provides a fast and easy interface to your harddrive. Where is your disk space going? Why is your home directory that large? ncdu can answer those questions for you in just a matter of seconds!



Source: http://dev.yorhel.nl/ncdu

Introduction to Canonical Landscape

http://www.youtube.com/watch?v=EgeS8WinWz4

Blacklist OSSEC

Script simples que lista os IPs que mais geraram active responses no log do OSSEC:


#!/bin/bash
LOG="/var/ossec/logs/active-responses.log"

cat ${LOG} | awk -F \ '{ print $10 }' | sort | tr A-Z a-z | uniq -c | sort -gr



blacklist_ossec.sh


O resultado pode ser integrado com regras de firewall facilmente. O fato dos IPs de origens dos ataques se repetirem não é mera coincidência. :-)

Nerdices na areia

Praia. Sol. Descanso merecido e um bom livro para ler na beira do mar de Florianópolis. Mas como todo bom nerd, o assunto não foge muito, mesmo durante o descanso.

Nas últimas férias, li o livro Rebel Code: Linux and the Open Source Revolution, de Glyn Moody.



Leitura recomendada para todos os amantes do software livre. Conta diversas histórias sobre como surgiram vários softwares de código aberto (entre eles: Linux, X, Mosaic, Gnome, KDE, Apache, Sendmail), o próprio movimento GNU, distribuições Linux, etc.

Algumas curiosidades que estão no livro:

- Andrew Tanenbaum: quem estudou (ou estuda) computação, sabe quem é ele. Além de seus livros, eu conhecia também a sua histórica flamewar com Linus Torvalds, na lista de discussão do Minix. Mas você sabia que antes disso tudo, Richard Stallman também trocou farpas com Tanenbaum? Tudo porque no início do projeto GNU, Stallman estava precisando de um compilador C, e tentou convencer Tanembaum de tornar livre o Amsterdam Compiler Kit (ACK). A resposta de Tanenbaum foi: "Porque você não desiste dessa idéia triste de criar um sistema livre? Eu gostaria de alguns utilitários para distribuir junto com o compilador para incrementar as vendas. Contribua com alguns utilitários e lhe darei uma parte dos lucros." O que para Tanenbaum parecia generosidade, foi um insulto para Stallman, é claro. Pode se dizer que, indiretamente, Tanembaum foi um dos grandes motivadores da criação do GCC e do Linux, os maiores projetos de software livre atuais.

- Quando comprou seu primeiro computador da arquitetura x86, em Janeiro de 1991, Linus Torvalds passou 70% do tempo jogando Prince of Persia enquanto aguardava os disquetes do minix que havia encomendado pelo correio.

- A Microsoft foi o principal fator que ajudou o Linux a se tornar mais popular que o unix 386BSD. A razão disso? Linux era capaz de ser dual-boot, enquanto o BSD não, e muitas pessoas queriam ter os dois sistemas operacionais usando a mesma máquina. Além disso, o 386BSD exigia co-processador aritmético (80387), o que tornava o equipamento mais caro e inacessível, enquanto o Linux emulava o 80387 por software. Pequenas decisões que fazem toda a diferença. Depois, é claro, o principal fator da escolha de um ao invés de outro foi a dúvida legal existente devido ao processo USL v. BSDi.

- A primeira aplicação comercial desenvolvida para rodar em Linux foi o Flagship da Multisoft.

Cansei de escrever. Para saber mais, você vai ter que ler o livro. Vale a pena. :-)

Twitter

Twitter serve para alguma coisa? Eu até achava que não, mas depois que comecei a usá-lo, começou a ficar interessante. Você consegue trocar idéias facilmente, postar links interessantes para ler (principalmente se não conseguir fazer isso no momento), acompanhar o que os outros estão fazendo, etc.

Ficou muito mais simples depois que (através de um post do twitter de um amigo, olha o exemplo de uso!) descobri um plugin para o pidgin para postar e receber atualizações no twitter:

http://code.google.com/p/microblog-purple/

Caso não use pidgin, existe também o twitterfox, que é um plugin para o Firefox com a mesma função.


Se quiser me acompanhar no twitter, é só clicar em "follow" no http://twitter.com/jczucco.

(IN)SECURE Magazine Issue 20 released

(IN)SECURE Magazine is a freely available digital security magazine discussing some of the hottest information security topics.

Issue 20 has just been released. Download it from:
http://www.insecuremag.com

The covered topics include:

- Improving network discovery mechanisms
- Building a bootable BackTrack 4 thumb drive with persistent changes and Nessus
- Review: SanDisk Cruzer Enterprise
- Forgotten document of American history offers a model for President Obama's vision of government information technology
- Security standpoint by Sandro Gauci: The year that Internet security failed
- What you need to know about tokenization
- Q&A: Vincenzo Iozzo on Mac OS X security
- Book review - Hacking VoIP: Protocols, Attacks and Countermeasures
- A framework for quantitative privacy measurement
- Why fail? Secure your virtual assets
- Q&A: Scott Henderson on the Chinese underground
- iPhone security software review: Data Guardian
- Phased deployment of Network Access Control
- Playing with authenticode and MD5 collisions
- Web 2.0 case studies: challenges, approaches and vulnerabilities
- Q&A: Jason King, CEO of Lavasoft
- Book review - Making Things Happen: Mastering Project Management
- ISP level malware filtering
- The impact of the consumerization of IT on IT security management

Instalando o Kde 4.2 no Fedora 10

Foi lançado o kde 4.2. Realmente a primeira impressão é de que está bem melhor. Para quem quiser testar no fedora 10 também, execute os comandos abaixo, como super usuário:

# cd /etc/yum.repos.d/
# wget http://apt.kde-redhat.org/apt/kde-redhat/fedora/kde.repo

* edite o arquivo e habilite o repositório kde-testing e kde-testing-all, colocando a linha “enabled=1″ nas suas respectivas sessões

# rpm –import http://kde-redhat.sourceforge.net/gpg-pubkey-ff6382fa-3e1ab2ca
# yum groupupdate kde-desktop
# yum update

Reinicie a sessão após o update, caso esteja utilizando o kde.

Segurança da Informação em Filmes

Publicado na edição 4 do Antebellum:

Site com uma ótima e bem compilada relação de filmes cuja estória, ou alguma cena específica está relacionada direta ou indiretamente com SI:

http://cid-a5471764a99bcec0.profile.live.com/Lists/cns!A5471764A99BCEC0!149