Desde uma reunião secreta de emergência entre especialistas em segurança de computadores, na sede da Microsoft, em março, Dan Kaminsky vem instando empresas de todo o mundo a corrigir uma falha potencialmente perigosa na estrutura básica da Internet.
Enquanto os provedores de acesso à Internet correm para resolver o problema, que torna possível a criminosos encaminhar usuários de computadores a sites falsos nos quais informações pessoais e financeiras podem ser roubadas, Kaminsky se preocupa com a possibilidade de que a demora seja excessiva.
Ele calcula que cerca de 41% da Internet continua vulnerável. Agora ele está reforçando a pressão sobre as empresas e organizações para que realizem as mudanças de software necessárias, antes que hackers criminosos se aproveitem da vulnerabilidade.
Na semana que vem, ele continuará em sua campanha, ao expor publicamente os detalhes da falha em uma conferência de segurança em Las Vegas. Isso deve forçar administradores de redes a corrigir defeitos nos milhões de sistemas afetados.
Mas, ao detalhar onde está o problema, ele facilitará aos criminosos explorá-lo, roubando senhas e outras informações pessoais.
Kaminsky tem de encontrar o equilíbrio entre a proteção a milhões de usuários e abalar a confiança dos consumidores nos sistemas bancários e de comércio via Internet. Mas ele está entre os especialistas que acreditam que ameaças de segurança reveladas forçam os administradores de redes a agir. “Precisamos planejar para o caso de desastres”, ele disse.
A falha que Kaminsky descobriu está no sistema de nomes de domínio, uma espécie de lista telefônica automatizada que converte endereços simples de lembrar, como google.com, em contrapartes numéricas que as máquinas aceitam mais facilmente.
As conseqüências potenciais do defeito são apavorantes. Ele poderia permitir que um criminoso redirecionasse o tráfego da web secretamente, de modo a que uma pessoa que digitasse o endereço correto de um banco terminasse encaminhada a um site falso criado para obter sua senha e nome de usuário. O consumidor não estaria ciente de que o site visitado era falso.
O problema é análogo ao de, por exemplo, ligar para a assistência ao assinante de uma companhia telefônica para conseguir o número de um banco, e receber uma informação incorreta com um telefone no qual alguém se faria passar por operador do banco e solicitaria senha e nome de usuário.
O problema na Internet e a corrida para corrigi-lo são um lembrete urgente de que a Internet continua a ser uma mistura ocasionalmente anárquica de jurisdições. Nenhuma pessoa ou grupo isolado tem o poder de proteger as transações online de todos. A segurança da Internet depende de pessoas como Kaminsky, que precisa persuadir outros especialistas de que as ameaças são reais.
“Isso revela os riscos que as pessoas enfrentam, e o consumidor deveria ficar esperto”, diz Ken Silva, vice-presidente de tecnologia da VeriSign, que administra endereços de Internet com terminação .com e .net. “Não tome por certas as coisas que as máquinas fazem por você”.
Quando Kaminsky, 29, anunciou o problema, em 8 de julho, ele disse que esperaria um mês antes de divulgar os detalhes, na esperança de que isso estimulasse os administradores de redes a corrigi-lo com alterações de software antes que os hackers pudessem atacar.
Mas na semana passada detalhes corretos sobre a falha foram veiculados por algum tempo, aparentemente devido a um erro acidental em uma empresa de segurança da computação. Agora os especialistas estão esperando para ver se as correções nos até nove milhões de computadores afetados, em todo o mundo serão realizadas com a rapidez necessária.
“As pessoas levaram o problema a sério e estão atualizando seus servidores”, diz Silva.
Grandes provedores de Internet nos Estados Unidos indicaram esta semana que já haviam ou em breve corrigiriam o problema. Comcast e Verizon, dois dos maiores provedores, anunciaram que suas redes já estavam atualizadas, e a AT&T anunciou que estava procedendo às correções.
Mas o problema é mundial, e o tempo necessário a resolvê-lo pode expor usuários da web por semanas ou meses.
Indivíduos e pequenas empresas que estejam preocupados com o problema e disponham de algum conhecimento técnico podem alterar as preferências de rede em seus computadores de modo a que eles utilizem os servidores de nome de domínio de um serviço chamado OpenDNS (www.opendns.com), de San Francisco.
Alguns sistemas de computadores estão imunes ao defeito. Cerca de 15% dos servidores de nomes de domínio nos Estados Unidos e 40% dos europeus, incluindo os de grandes provedores de acesso à Internet como a America Online e a Deutsche Telekom, utilizam software de uma empresa holandesa chamada PowerDNS, que não é vulnerável à falha.
Mas boa parte da rede continua exposta.
“Estou vendo o trabalho de correção, e sei que não é fácil”, declarou Kaminsky em entrevista por telefone.
O erro, que ele descobriu por acidente em fevereiro, passou despercebido por quase duas décadas. O momento da revelação surgiu quando ele estava refletindo sobre outra ameaça de segurança. Da mesma forma que, se alguém olha para uma imagem por longo tempo, outra imagem parece emergir, ele subitamente compreendeu que seria possível adivinhar informações cruciais sobre o protocolo que os servidores de nomes de domínio utilizam para converter em endereços numéricos os endereços textuais de Internet.
“Eu estou envolvido nesse jogo para proteger as pessoas”, disse Kaminsky, que participa de trabalhos de segurança da computação desde seus anos de universidade.
Tradução: Paulo Migliacci ME
Fonte: Terra
