Falhas de segurança encontradas na versão 1.18 do VeraCrypt

System

Uma auditoria realizada pela Quarkslab, empresa francesa de segurança cibernética, descobriu falhas críticas de segurança no software de código aberto VeraCrypt, utilizado para a encriptação de discos ou a criação de compartimentos criptografados nestes.

O trabalho foi realizado sob encomenda do Open Source Technology Improvement Fund, e possibilitou que fossem encontradas oito vulnerabilidades críticas, três de risco médio, além de quinze outras de baixo impacto.

Algumas destas falhas já foram corrigidas e liberadas junto à versão 1.19 do VeraCrypt, portanto se você utiliza versões anteriores a esta é recomendável que realize a atualização do aplicativo. Outras permanecem em aberto devido a complexidade envolvida na correção, e que poderiam causar problemas de retrocompatibilidade.

Uma das mudanças mais significativas, foi a remoção do padrão russo de criptografia GOST 28147-89, que foi considerado inseguro pelos especialistas. Usuários que utilizaram anteriormente este padrão ainda serão capazes de acessar e manipular compartimentos ou discos, porém a criação de novos não estrá mais disponível.

Outras correções foram aplicadas ao gerenciador de inicialização, voltadas a computadores e sistemas operacionais com recursos UEFI, e corrigem falhas encontradas. As bibliotecas XZip e XUnzip também continham falhas e foram substituídas pela mais moderna e segura libzip.

Para acessar o relatório técnico da auditoria, em formato PDF, basta clicar neste link. Para ver o anúncio oficial por parte da OSTIF clique aqui.

Parrot Security 3.2 lançada! Outubro, 2016.

parrot-security-3-2

A Parrot Security é uma distribuição desenvolvida para a realização de testes de penetração em sistemas na nuvem e dispositivos da geração IoT (Internet das Coisas). É baseada na distribuição Debian Gnu/Linux  versão 9, e inclui um laboratório completo para especialistas em segurança e forense digital, mas também disponibilizando ferramentas para o desenvolvimento de seus próprios softwares, ou proteger a privacidade com ferramentas de criptografia e anonimidade.

A edição 3.2 da distribuição trás uma versão customizada do kernel Linux 4.7.5, com vários patches para suportar uma grande variedade de hardware, e ambiente gráfico baseado no MATE Desktop Environment 1.16 na versão full da distribuição, que também conta com versões Live, que trás o LXDE como ambiente gráfico, em 32 bits apenas, além da Parrot Cloud Edition, Lite Edition e Studio, todas em 64 bits.

Como pode ser visto pela imagem que mostra um de seus menus, a distribuição disponibiliza diversas ferramentas para a coleta de informações, análise de vulnerabilidades, análise de aplicações web, ferramentas de exploração de vulnerabilidades, entre outras.

Para a instalação da distribuição é recomendado um equipamento com pelo menos 256 Mb de RAM, sendo 2 Gb o recomendado, um processador dual-core com no mínimo 1 Ghz de clock e 16 Gb de espaço em disco.

Para escolher a sua versão e realizar o download, acesse a página oficial da distribuição.

Freak ainda afeta centenas de provedores de serviços em nuvem

Segurança na web

Segundo uma pesquisa realizada pela SkyHigh Networks, centenas de provedores de hospedagem em nuvem ainda estão vulneráveis à falha de segurança denominada Freak, que possibilita a atacantes forçarem os navegadores web a utilizarem chaves criptográficas com um nível de encriptação já obsoleto, permitindo então que estas sejam decriptografadas para o roubo de dados sensiveis, como credenciais bancárias, entre outras.

Embora a equipe de desenvolvimento do OpenSSL tenha corrigido a falha em janeiro, a pesquisa revelou que 766 tipos de serviços em nuvem, em um universo de 10.000 tipos de serviços avaliados, ainda estavam sob risco de sofrerem este tipo de ataque. A média é de 122 tipos de serviços vulneráveis por companhia provedora de hospedagem em nuvem, e revela que as empresas estão com processos lentos na correção da falha em seus serviços.

Um em cada dez domínios listados no top 1.000.000 ( um milhão ) da Alexa, ou seja, algo em torno de 9,5% destes, ainda estão vulneráveis à falha, segundo os dados coletados no dia de hoje. A Alexa é uma companhia da Amazon, que fornece ferramentas para análises variadas em websites.

Através da análise dos um milhão de websites melhor colocados no ranking da Alexa, resultados que são atualizados diariamente, um outro website verificou que a correção da falha ainda não havia sido aplicada em centenas deles, além de informar que 26,3% de todos os servidores web ainda permanecem vulneráveis a este tipo de ataque.

“Se o website ou serviço em nuvem que você estiver acessando, for construído sobre o Apache, e muitos são, a Freak é uma séria vulnerabilidade”, disse Nigel Hawtorn, diretor de estratégia na SkyHigh Networks. “Até que as correções sejam aplicadas, será como utilizar tecnologia dos anos 90 contra hackers modernos, o que não representa desafio”.

A companhia contatou cada uma das empresas, provedoras de serviços em nuvem afetadas, e está trabalhando junto às mesmas para assegurar de que estejam cientes quanto a vulnerabilidade e que apliquem as correções necessárias.

Para acessar o artigo original, em inglês, siga o link para o site The Register.