Diferenças entre Covert Redirect e Heartbleed
A falha de segurança conhecida como Covert Redirect ganhou grande
atenção por parte dos especialistas de TI e chegou até a ser comparada
com a devastadora vulnerabilidade Heartbleed – que afetou milhões de
servidores no último mês. Apesar de ambos causarem sérias brechas de
segurança, desconsidero a possibilidade do Covert Redirect ser tão grave
quanto o Heartbleed.
Isso porque o Cover Redirect é uma falha
de segurança – e não vulnerabilidade – na implementação do OAuth, que é
um protocolo aberto de autorização segura, oferecido pelos prestadores
de serviços. Ela se aproveita de terceiros que estão suscetíveis a um
redirecionamento online aberto, no qual os cibercriminosos enviam uma
aplicação vulnerável aos internautas e interagem com eles para adquirir
permissões e informações estratégicas.
Já o Heartbleed é uma
grave brecha no código do OpenSSL, que é usado por aproximadamente 2 em
cada 3 servidores para proteger as comunicações em sites que têm trafego
de informações sigilosas. É este sistema que protege os dados como nome
de usuários, senhas, números de cartão de crédito e contas bancárias.
Um falha nesta biblioteca criptográfica pode permitir aos criminosos
virtuais o acesso irrestrito à memória do sistema e a todas as
informações pertinentes de empresas e pessoas lá armazenadas.
Diante
deste panorama, ambas são oportunidades sérias que favorecem a perda e
roubo de dados. Segundo o Relatório da Symantec sobre Ameaças à
Segurança da Informação, em 2013, mais de 550 milhões de identidades
foram expostas por meio de brechas na segurança online de companhias.
Este número representa um aumento de 62% em relação ao ano anterior.
No
Covert Ridirect, o OAuth comprometido faz com que sites que exigem
login e senha tenham o comando de memorizar a informação do usuário,
redirecionar estes dados e permitir a utilização deles por terceiros.
Isso acontece tanto no acesso a este locais virtuais a partir de
aplicações móveis em tablets e smartphones quanto no desktop e
notebooks. O resultado pode ser notado, infelizmente, quando a vítima
começa a perceber movimentações estranhas em seus e-mails e perfis
sociais, por exemplo.
Neste caso, para o ataque ser bem sucedido, o internauta
precisa conceder a permissão para enviar os dados – mesmo que sem saber
– para um local virtual utilizado pelo cybercriminoso. Entre os dados
que podem ser violados a partir do Covert Redirect estão o nome
completo, a data de nascimento, a lista de contatos, os endereços de
e-mail e os perfis sociais. Por isso, é importante se atentar para as
seguintes dicas de segurança digital para não ser vítima de falhas ou
vulnerabilidades na Internet:
- Verifique a procedência dos aplicativos e sites antes de enviar informações pessoais;
- Tenha o hábito de trocar as senhas de e-mails e perfis sociais periodicamente;
- Mantenha seus dispositivos conectados à Web, incluindo smartphones e tablets, protegidos com soluções de segurança originais e atualizadas;
- Não acesse sites duvidosos. Opte por portais oficiais e com boa reputação;
- Acompanhe a sua conta bancária e fatura do cartão de crédito. Desconfie de qualquer transação incomum ao seu perfil;
- Para os desenvolvedores: bloqueie os redirecionamentos em seu site, para não infectar os usuários.
André Carraretto
é especialista em segurança da informação da Symantec para o Brasil.
Como parte de sua função, o executivo ajuda a educar os consumidores
sobre as questões de segurança online mais recentes.
Fonte: www.canaltech.com.br
Deixe um comentário