segurança

Senhas seguras e fáceis de memorizar com Diceware D12

Já faz alguns meses, tive contato com a técnica de geração de senhas seguras conhecida como Diceware. O princípio na verdade é bem simples: pegue uma lista de 6^5 palavras (7.776 para ser exato), um dado comum de seis faces e pronto! Você tem todos os ingredientes para gerar uma senha segura! Basta sortear umas 4 palavras pelo menos, sendo que cada palavra exige a rolagem do dado 5 vezes. A vantagem do dado é que a aleatoriedade fica garantida. Se quiser saber mais sobre o Diceware, recomendo o artigo no The Intercept tratando do assunto.

Olhando isso, eu pensei: bom, essa técnica é divertida! E acho que dá pra fazer ficar ainda mais interessante! Assim nasceu o Diceware D12.

O princípio do Diceware D12 é o mesmo do Diceware tradicional, com algumas mudanças importantes:

  1. Ao invés do dado de 6 lados, utilizamos um dado de 12 lados.
  2. Ao invés de uma lista de 7.000+ palavras, utilizamos tomos, que são agrupamentos menores, porém mais organizados, de palavras. Cada tomo contém 1.728 palavras, mas não é só isso: elas estão agrupadas em 12 páginas de 12 sessões, cada sessão com 12 palavras.
  3. Ao invés de uma lista só de palavras, você vai escolher que tomos utilizar e recomendo que adote um "tomo secreto" para tornar a senha ainda mais difícil de ser quebrada.
  4. Como nem todo sistema suporta senhas gigantescas, o Diceware D12 oferece um método alternativo para quando precisamos de senhas mais curtas (e ainda assim, um pouco sofisticadas e fáceis de lembrar)

O Diceware D12 está sendo publicado no Wiki Cordéis. Lá você pode ver as regras e tomos já existentes. Os tomos estão apresentados em 2 grupos: tomos comuns (de palavras fáceis) e tomos sofisticados (de palavras mais difíceis e incomuns). A proposta é que você utilize um tomo sofisticado (à sua escolha) como se fosse seu tomo secreto, caso não tenha um realmente secreto e exclusivo. Até o momento, você verá 3 tomos públicos comuns e 2 tomos públicos sofisticados. Usando 4 tomos, você já será capaz de criar senhas que se aproximam da segurança do Diceware tradicional.

Tá, e como funciona na prática? Vejamos: pegue os 3 tomos públicos e escolha um tomo sofisticado (vamos usar o Asteroides). Você precisará colocá-los em uma ordem desejada. Por exemplo:

  1. Tomo Machado
  2. Tomo Pimentel
  3. Tomo Queirós
  4. Tomo Asteroides

Vamos criar uma senha de 4 palavras, ok? Rolamos o dado e saiu 3. De acordo com a tabela no wiki, isso significa que usaremos o primeiro tomo, o Machado. Agora, rolamos 3 vezes o dado: 4, 7, 4. A palavra inicial será "sai".

Segura aí e vamos repetir o procedimento. Rolando, deu 2, ou seja, o mesmo tomo novamente. Rolando 3 vezes deu 3, 1, 6. A palavra é "vá".

Continuando as rolagens, agora sai um 12. Vamos usar o tomo Asteroides. Rolando 3 dados, temos 1, 6 e 2. A palavra é "Erato".

Como o tomo especial já apareceu, vamos tirá-lo da jogada agora para evitar que a senha tenha mais de uma palavra "sofisticada". Assim, sobram os 3 tomos na ordem em que já estavam. Rolando novamente, sai um 5. Pela tabela (agora vendo a coluna com 3 tomos), o tomo  será o Pimentel. A rolagem de 3 dados deu 4, 10, 10. A palavra será então "prédio".

A senha que criamos foi "sai vá Erato prédio". Não transforme em frase tipo "sai, Erato, vá pro prédio". Parte da riqueza desse tipo de senha está no fato de a junção de palavras não fazer sentido, o que torna a senha mais forte. Como você pode ver,. é ainda uma senha relativamente fácil de ser memorizada.

Vamos criar uma usando o método alternativo? Então tá, considere os tomos na mesma posição em que estavam antes.

Rolando o dado saiu 7, o que nos leva ao Tomo Queirós. Sorteando palavras veio 10, 8, 8. A palavra é "proveito". Como ela tem 8 caracteres (mais que 4 e menos que 10, portanto), ela serve como está.

Vamos à primeira transformação. Rolando dois dados saiu 1, 7. Seguindo o método alternativo, devemos apagar a penúltima letra. A senha provisória é "proveio".

Para a segunda mudança a rolagem resultou em 5, 3. Devemos tornar maiúscula a terceira letra. Senha provisória: "prOveio".

A rolagem da terceira mudança: 8, 6. Alteração: trocar a quarta letra de traz para a frente com a antepenúltima. Senha: "prOevio".

A senha gerada foi "prOevio". É uma senha razoável. Como se vê, não apareceu caractere especial ou número (o método proposto às vezes os insere). Se achá-la fraca, você pode sortear mais alterações ou até alterar você mesmo. Por exemplo, transformando-a em "prOe^1o".

O método alternativo serve, inclusive, para tornar as senhas gigantes ainda mais difíceis. Nada impede que sua senha seja, por exemplo, "sai vá Erato prédio prOevio".

Este é o método sendo aplicado de forma pretensamente didática! Veja mais sobre o Diceware D12 no wiki! Espero que seja útil!

Ah, você pode estar pensando: "que louco isso! Mas eu não tenho um dado desses." Esses dados são vendidos em qualquer loja de RPG. E as regras trazem formas variantes de aplicação, ensinando você a emular um D12 com dados de 6 lados, cartas de baralho ou mesmo uma moeda! Dá uma olhada lá! E boas senhas! :-)

P. S.: Imagem do post.

Cuidado com Webmail

Em mais um artigo da série A Internet não é tão segura assim, hoje vamos ver porque pode não ser uma boa idéia depender de webmail.

A Cobertura do Sétimo Fórum Internacional Software Livre (e também o BR-Linux) divulgou:

"Não confiem seu email para uma companhia dos EUA", alertou Richard Stallman em evento durante o Fisl 7.0. O hacker relatou o caso de seu colega, um advogado estadunidense, que teve seu email e contatos cancelados a pedido do governo George W. Bush. Os serviços eram prestados por uma companhia privada dos EUA. Stallman afirmou que não usa desses serviços de armazenamento de dados e os mantém apenas em bancos de dados pessoais.

Por que usar Webmail?

O webmail traz como principal vantagem a facilidade de acesso às suas mensagens. Com um webmail (serviço de e-mail através da Internet), você pode acessar as mensagens recebidas a partir de qualquer lugar. Também pode facilmente enviar mensagens. É parte da idéia de você ter seu ambiente de trabalho na Internet.

E se der problema no seu HD, você não perde suas mensagens e seus contatos.

E qual o problema?

Stallman fala de Webmail porque foi o que ele lembrou na hora (tinha a ver com o exemplo que ele citava), mas o problema não se resume a isso, mas envolve sim a idéia de ter seu ambiente de trabalho na web.

O que você tem que perceber é: quando você usa um programa de e-mail, as mensagens ficam no seu computador. Se você perder conexão com a Internet ou até mesmo se um homem-bomba explodir a sede da empresa de onde você tem o e-mail, mesmo assim você tem acesso a todas as suas mensagens enviadas ou recebidas.

A partir do momento em que você coloca suas coisas na web, você deixa de ter controle sobre seus arquivos importantes. Se seu e-mail está em um site e você o acessa através da web, qualquer coisa que se coloque entre você e o seu servidor trará um dano agravado.

No exemplo que o Stallman cita, uma decisão arbitrária de um líder político sem bom-senso terminou privando alguém do seu servidor de e-mail. Se o amigo do Stallman usasse um programa de e-mail em seu próprio computador, tudo o que ele perderia era o "endereço". Teria que arrumar outro serviço de e-mail, mas todas as suas mensagens e todos os seus contatos estariam salvos em lugar seguro.

Mas ele não usava um programa de e-mail e sim um serviço de e-mail acessado pelo site (o que chamamos de webmail). Neste caso, bem, ele perdeu toda sua lista de contatos e todas as mensagens que tinha.

E o que mais pode acontecer a um servidor de e-mail? Ele pode:

  • ser invadido e ficar fora do ar em momentos em que você precisaria de uma informação importante que está no seu e-mail;
  • descontinuar o serviço (a empresa pode falir em alguns casos);
  • decidir espionar e-mail de hora pra outra;
  • abrir sigilo de todas as suas mensagens para alguém com um mandato judicial.

Assim, a partir do momento em que você usa um programa de e-mail e não deixa mais mensagens no servidor, você está livre dessas coisas. Pelo menos o dano será mínimo caso alguma catástrofe aconteça.

Adicionalmente, você pode fazer de vez as pazes com o limite da sua caixa de mensagem, pois programando para que, a cada vez que o programa pega os e-mails, eles deixam de existir no servidor, libera seu espaço no e-mail para novas mensagens vindouras.

E se usar uma opção como o Thunderbird, você ainda ganha um excelente filtro anti-SPAM e a possibilidade de instalar diversos outros recursos.

Solução Intermediária

A idéia de colocar tudo na Internet para ser acessível de qualquer lugar é muito interessante, mas você tem que se preocupar com o que faz. Não se pode confiar em todas as empresas, em todas as situações.

Como vimos, há vantagens em se usar webmail e vantagens em usar programa de e-mail. Como balancear isso?

Uma boa saída é adotar um serviço de e-mail que ofereça tanto comunicação com um programa cliente de e-mail como também acesso pelo site. Assim, você pode acessar de outro computador e-mails que esteja esperando receber com urgência, mas ao chegar em casa, transfere tudo para o programa de e-mail que você usa. Esta é a estratégia que tenho usado, e tem funcionado muito bem.

Ah, mas usar Outlook não vale: é um dos programas da Microsoft de piores históricos quanto a falhas de segurança. Ao invés dele, por que não tentar o Mozilla Thunderbird?

Não se esqueça também de fazer cópias de segurança periodicamente. Faça para CDs, que estão muito baratos hoje em dia.

E evite perder o controle dos seus arquivos, pois cada vez mais nossas vidas dependem de computadores. Se esses computadores de que nossa vida depende são os nossos, tanto melhor.

Golpes por email: vale a pena dizer de novo

Exemplo de Golpe

Cada vez mais me surpreendo com a criatividade dos golpistas da Internet brasileira. Mais especificamente, praticantes do golpe que vem sendo chamado de phishing. Os e-mails a serviço de golpes estão ficando mais e mais sofisticados (apesar dos erros de Português, que teimam ainda em aparecer). E sempre há pessoas que acreditam no que recebem e abrem esses e-mails falsos. Aí já era...

Pela enésima vez: Não, a Internet não é um local seguro e confiável. E nunca será! Você pode criar meios sofisticados de segurança, mas enquanto houver pessoas mal intencionadas, há perigo.

Mais alarmante é que não há mais uma receita de bolo pra identificar fraudes que funcione sempre. Você pode nunca clicar em links que levem a arquivos .exe, ou .com, ou .pif, ou .scr, mas e se o malandro usar um meio de mascarar o link (quem programa pra web sabe como isso é fácil de fazer)? Como fica?

A estratégia que está valendo hoje é a do link sedutor. Tentando despertar curiosidade, preocupação ou outros sentimentos, o malandro da web quer que você clique em seu link. Um click e você vai baixar um programa espião. Vão ver o que você digita, conhecer as suas senhas, inclusive de bancos.

Saída rápida? Não clicar em links dos tipos citados acima, usar um navegador confiável ou um Sistema Operacional seguro. Isso te deixa livre dessas coisas. Mas isso basta?

Título Eleitoral e outros truques

Venho recebendo um e-mail falso que diz que meu título eleitoral foi cancelado. Reproduzo agora seu conteúdo:

Brasília, 20 de abril de 2006
Informamos que seu titulo eleitoral foi CANCELADO apartir de hoje.

O motivo do cancelamento foi uma irregularidade no seu Cadastro de Pessoa Física (CPF) a qual motivou o cancelamento do mesmo, e também do seu titulo eleitoral.

Para saber mais detalhes sobre esta irregularidade, e quais providências tomar, abra o regulamento no link a seguir.

Após clicar no link,será exibida uma nova janela,aonde deve ser escolhida a opção "Abrir",para que o regulamento seja exibido corretamente e sem necessidade de ser salvo em seu computador.

CLIQUE AQUI PARA ABRIR O REGULAMENTO

Todos os direitos reservados ao Tribunal Superior Eleitoral

Claro que não vou colocar o link para isso, mas adianto que boa parte dos e-mails de golpe que tenho recebido referenciam páginas em http://www.gratisweb.com. Mas há muitos outros.

Perceba que até faz uma observação sobre o procedimento para que o regulamento seja exibido corretamente (na verdade, a janela é se Abrir/Salvar. Seguindo estas instruções, você vai instalar com sucesso o programa espião no seu computador).

Assim como o caso de cancelamento de Título eleitoral e de CPF, convém citar outros:

  • E-mail de alguém que te conhece e você não se lembra quem é;
  • Cartão virtual;
  • Pedido de voto em concurso de beleza;
  • Declaração de amor secreto;
  • Filmes e fotos pornô ou eróticas;
  • Vale presente;
  • Estão te traindo
  • E-mail colorido de jogos ou coisas assim, para crianças clicarem.

Isso tudo já está sendo praticado hoje.

Futuro não tão bom

Ok, muita gente vai começar a prestar mais atenção nesses detalhes... E aí?

Aí que muita coisa ainda pode ser feita por malandros desse tipo:

  • Uso de bate-papos e redes sociais para simular personalidades simpáticas na tentativa de obter informações úteis (como o primeiro passo para o que desejam). O Orkut já vem sendo usado para ajudar na execução de seqüestros, por exemplo;
  • Uso de defacement em golpes. O que quer dizer essa sopa de letrinhas?! Sujeito invade um site conhecido e muda só o destino de alguns links, para que apontem para arquivos de instalação de programas espiões. Mudando-se pouco - só uns links -, pode demorar até que os responsáveis pelo site descubram a invasão;
  • Uso de servidores DNS para fazer com que sites falsos sejam carregados ao invés dos verdadeiros, mesmo você digitando o endereço corretamente.

Coisas desse tipo são bem difíceis de se fazer, mas como o crime on-line parece que vem dando retorno, eles podem tentar algo assim a qualquer momento.

E o que podemos fazer?! A dica mais importante é: mantenha um mínimo de paranóia. Não confie totalmente em nada. Perceber como esses malandros pensam e como podem agir é nossa única arma de proteção realmente confiável.

Para Phishing, especificamente, recomendo primeiro que adote o Mozilla Firefox como navegador, visto que o Explorer, além de não suportar corretamente os padrões web, é uma peneira.

Você pode instalar também alguma extensão anti-phishing. Encontrei estas:

E boa sorte nesse mundo hostil.