Renovação do Cartão de Cidadão online interrompida por certificado de segurança expirado

O esquecimento da renovação de certificados SSL volta a fazer vítimas, desta vez impedindo o funcionamento do serviço de renovação online do cartão de cidadão, e outros serviços pendurados no mordomo.gov.pt.

Google anuncia o início do fim do SSL 3.0 com o POODLE

Sabendo-se que todas as comunicações na Internet podem ser interceptadas, é de importância crítica haver sistemas que permitam garantir a segurança dos dados mesmo quando são enviados através de pontos potencialmente inseguros (daí o recurso ao HTTPS e afins.) Mas isso não evita que estes próprios sistemas que deveriam garantir a segurança possam ter vulnerabilidades - como aconteceu recentemente com o OpenSSL - e como acontece agora o o SSL versão 3.0.

LibreSSL quer substituir OpenSSL

As consequências do bug heartbleed continuam a fazer-se sentir, e uma das últimas é um novo projecto que diz "basta" e quer tornar-se numa nova alternativa ao OpenSSL... mas cortando toda a "tralha" que esse projecto foi acumulando ao longo das décadas e que o torna numa autêntica manta de retalhos propícia a erros, vulnerabilidades e bugs.

Apple lança actualização de emergência para iOS devido a vulnerabilidade no SSL

Poderão haver bug e erros pelos quais temos que esperar meses (ou anos) para que sejam corrigidos, mas noutras vezes a coisa faz disparar os alarmes e as actualizações surgem em tempo recorde, como foi agora o caso do iOS 7.0.6 que veio corrigir uma polémica vulnerabilidade nas ligações seguras via SSL (e que também afecta o OS X).

Notícias do Dia

A Lycamobile já é o maior operador móvel virtual em Portugal; estudo da CE revela que velocidades de acesso à internet são mais lentas do que as anunciadas pelos operadores; a LG tem um curioso passatempo que te faz repescar o telemóvel que tinhas em 2003; e ainda os casos absurdos das patentes abstractas que alguns juízes insistem em aceitar.

E agora as notícias do dia:


IE11 vai Suportar WebGL e SPDY

Boas notícias para os fãs do Internet Explorer - e de todos aqueles que são obrigados a utilizá-lo. A Microsoft parece estar a reconhecer os benefícios de ouvir o que os utilizadores querem (com os recuos nas políticas abusivas da Xbox One; e o Start Button e a possibilidade de arrancar para o desktop clássico no Windows 8.1), e agora volta a dar-nos uma boa surpresa: o IE 11 vai suportar WebGL e SPDY.

O SPDY é um protocolo desenvolvido pelo Google que permite acelerar o carregamento das páginas web, e o WebGL é a tecnologia que permite criar gráficos 3D directamente nas páginas do Browser (uma tecnologia que anteriormente a MS se tinha recusado a adoptar dizendo que o seu Silverlight seria uma melhor opção).

Apps Vulneráveis Colocam Dados em Risco

Já sabemos que todos os locais onde se encontrem "multidões" são um autêntico chamariz para os amigos do alheio, quer isso seja em ambientes físicos... ou digitais. Nos PCs já todos estamos consciencializados para a existência de vírus e malwares que se tentarão apoderar dos nossos dados. Mas, nos smartphone e equipamentos mobile, esse risco é também uma ameaça que vai aumentando a cada dia que passa.

Investigadores de segurança descobriram casos preocupantes de falhas de segurança em Apps que estão instaladas em milhões de equipamentos Android e que permitem que um atacante possa efectuar os chamados "Man in the Middle" para capturar dados dos utilizadores mesmo quando estes pensam estar seguros ao usar uma ligação SSL.

Um caso caricato foi o de uma App AntiVirus que foi enganada para descarregar um ficheiro de actualização "malicioso"! Outras Apps (instaladas milhões de vezes) permitiam capturar os dados de login no Facebook e Google, ou aceder aos números de telefone da nossa lista de contactos.

Cada vez mais é preciso ter especial atenção não só às Apps que usam, como também aos locais onde as usam. Hotspots públicos ou desconhecidos, por muito atractivos que possam parecer, poderão ser autênticas armadilhas à espera de utilizadores insuspeitos. Até que se tenham garantias de que as Apps utilizam modos SSL verdadeiramente seguros... o melhor é limitarem o vosso uso mobile a redes em que tenham total confiança. Especialmente para realizarem operações sensíveis como acesso a serviços de online banking, compras online, etc.

Segurança SSL em Risco

Numa altura em que muitos utilizadores da internet tomavam finalmente consciência de que as suas comunicações poderiam ser facilmente interceptadas e que deveriam utilizar as ligações seguras por SSL (o https) para se precaverem... eis que a comunidade da segurança tem que enfrentar uma dura realidade: um ataque que permite descodificar transmissões feitas via SSL.

A par dos recentes ataques às entidades que gerem os certificados de segurança, e que permitem que sites fraudulentos se façam passar pelos sites originais sem que tal seja detectado pelo utilizador, este é mais um caso que demonstra que a segurança na internet tem que ser bastante mais dinâmica e célere, para conseguir evoluir a um ritmo que impossibilite os ataques potenciados por uma tecnologia sempre em crescimento.

Embora este ataque apenas consiga decifrar comunicações TLS (transport layer security) 1.0 e anteriores, a verdade é que poucos são os servidores e browsers que suportam as versões mais recentes - fazendo com que praticamente todos os sites "seguros" da actualidade, como o Paypal, Gmail, etc. estejam efectivamente em risco.

Notícias do Dia

Para além das novidades que nos têm chegado da IFA 2011 em Berlim, como o novo Galaxy Note e as novas câmaras da Samsung, já vos mostei como ver o estado do tempo no Google Maps, e uma repetição do caso do iPhone perdido.

Mas, há muito mais coisas interessantes, que podem ver já a seguir:

Google Acelera Ligações SSL

O problema da segurança nas ligações é uma questão cada vez mais pertinente e que começa a preocupar um número crescente de pessoas.

Na realidade, todos os dados que partem e chegam ao vosso browser podem ser, na sua maioria, facilmente capturados e lidos por qualquer pessoa.

Para evitar isso, há o protocolo HTTPS, que encripta as ligações de dados, impedindo que "quem estiver a ouvir" possa saber o que fazem.

No entanto, este tipo de ligações seguras representa custos acrescidos para os prestadores de serviços, e causa maior lentidão nas ligações: já que são necessárias duas comunicações iniciais para que o vosso computador e o servidor se entendam.

E foi neste preciso ponto que o Google decidiu inovar, com uma técnica chamada FalseStart que reduz esse "handshaking" inicial para apenas uma ligação (semelhante à das ligações não-seguras.) Esta técnica, que não obriga a nenhuma alteração do lado do servidor, faz com que as ligações SSL possam ser feitas 30% mais rapidamente, e já foi implementada no Chrome.

Resta-nos esperar que um dia, todas as ligações à web possam ser feitas via https, aumentando a segurança dos nossos acessos mesmo quando estão a ser feitos através de redes WiFi "duvidosas".

[via The Register]

O Peso do SSL no Gmail

Com a segurança na internet a estar constantemente sobre ameaça, é cada vez mais recomendado que todos os serviços passem a usar as ligações seguras, como o HTTPS.

No entanto, muitas empresas vão adiando essa medida, dizendo que isso sobrecarrega os seus servidores, obrigando a investimentos adicionais.

Pois bem... nada como olhar para um caso exemplar: no início do ano o Gmail passou a utilizar o HTTPS para todos os seus utilizadores - e estamos a falar de bem mais de 100 milhões.

O que é que isso implicou para o Google?... Quase nada!

In January this year (2010), Gmail switched to using HTTPS for everything by default. Previously it had been introduced as an option, but now all of our users use HTTPS to secure their email between their browsers and Google, all the time. In order to do this we had to deploy no additional machines and no special hardware. On our production frontend machines, SSL/TLS accounts for less than 1% of the CPU load, less than 10KB of memory per connection and less than 2% of network overhead. Many people believe that SSL takes a lot of CPU time and we hope the above numbers (public for the first time) will help to dispel that.

If you stop reading now you only need to remember one thing: SSL/TLS is not computationally expensive any more.
[Imperial Violet]

Portanto... é tempo de as empresas deixarem de usar essa desculpa. Toca a usar HTTPS sempre que for necessário!

E bem a propósito disto, aqui fica uma ferramenta de verificação de servidores SSL que vos poderá ser útil.

[Via Pedro Melo]