‘Nuvem’ tem vantagem na correção de falhas de segurança
Autor: Rafael L.K.D "Fi Do Fei" | Publicado: 2013-06-14T11:46:00-07:00


Se você tem alguma dúvida sobre segurança da informação (antivírus, invasões, cibercrime, roubo de dados etc), vá até o fim da reportagem e utilize a seção de comentários. A coluna responde perguntas deixadas por leitores todas as quintas-feiras.

Uma das discussões que mais divide opiniões em segurança de sistemas é a forma pela qual uma falha deve ser divulgada. Há quem diga que isso deva ocorrer imediatamente, sem que os programadores do software sejam avisados antes – a chamada “revelação total” (“full disclosure”, em inglês); há quem diga que nenhuma informação deve ser divulgada antes de uma correção estar disponível. O Google tem uma postura em relação a isso: 60 dias para uma falha qualquer, e apenas 7 dias para uma brecha que está “sendo explorada”.

Com essa postura, o Google toca no calcanhar de Aquiles dos produtos tradicionais: a demora na disponibilização e aplicação de correções de segurança.

Os dois prazos são um tanto apertados, mas o de 60 dias é mais flexível, sendo apenas uma “recomendação”. Quanto aos que estiver “sob ataque”, este parece não ser negociável – a empresa responsável pelo software vulnerável deve divulgar um alerta, aviso ou outra forma de orientação em até sete dias. Caso não o faça, o Google pretende divulgar a informação do ataque.

O que é uma brecha “sob ataque”? Existem dois tipos de ataque: um deles é focalizado, específico; outro é massivo, buscando atingir o maior número de vítimas possível. Lidar com esse primeiro tipo de ataque é mais complicado, porque se trata de uma vulnerabilidade que apenas um pequeno grupo de invasores conhece. Liberar detalhes técnicos nesse caso pode não ser benéfico. O Google deverá considerar isso no futuro.

Apesar das recomendações do Google, um pesquisador da empresa, Tavis Ormandy,&nbsp;publicou um código&nbsp;para explorar uma brecha no Windows que permite a qualquer usuário obter o controle total do sistema. Isso permite que um vírus executado a partir de um usuário limitado ganhe acesso administrativo sem precisar da permissão do “Controle de Contas de Usuário”.

Ormandy não fez a publicação da falha em nome do Google, mas como pesquisador independente. Em outra ocasião, em que fez a mesma coisa, ele afirmou que as ações dele não tem relação com o Google. Para a Microsoft, as ações do pesquisador deveriam refletir os valores da empresa.

Provedores da ‘nuvem’ estão em vantagemPrazos apertados deixam clara a vantagem de empresas que atuam na “nuvem”, como o próprio Google, quando o assunto é a distribuição de atualizações.

Quando o Google corrige uma falha no Gmail, ou a Microsoft conserta um erro no Outlook.com, a mudança vale imediatamente para todos os usuários do webmail. Quando a Microsoft corrige uma brecha no Microsoft Outlook (o software que faz parte do Office), ou o Google muda o Chrome, é preciso que cada usuário do programa baixe e instale a atualização, criando uma janela entre o período em que uma atualização é disponibilizada e quando o usuário está finalmente protegido.

Somar essa janela obrigatória a mais um período – o de desenvolvimento da atualização – significa que usuários podem estar em risco por bastante tempo, caso uma falha seja divulgada.

Existe, claro, um argumento para a pressão: vulnerabilidades que ficam sem correção. A empresa de segurança TippingPoint, que pertence à HP, mantém uma lista de falhas conhecidas por pesquisadores colaboradores da companhia e que não foram corrigidas. A falha mais antiga tem 442 dias, e está em algum produto da própria HP. Microsoft e Adobe têm falhas aguardando correção há mais de 200 dias, enquanto a Apple aparece com 192 dias, porém com falhas menos graves.

Com vários nomes conhecidos na lista, fica claro que grandes desenvolvedores de software podem demorar a corrigir certos problemas.

Se essas vulnerabilidades tivessem sido publicadas, é bem provável que já teriam sido eliminadas dos produtos. Mas a decisão da TippingPoint, que foi de aguardar, significa que usuários seguem, por um lado, com um software vulnerável, e, por outro, com uma falha que – até onde se sabe – nunca foi usada em um ataque.

A dificuldade para a aplicação da atualização também não pode ser ignorada. Exemplo: segundo dados da Websense, 93% dos usuários utilizam alguma versão antiga do Java, cujo plugin é um dos softwares mais atacados por hackers. O Java, além de ter um&nbsp;mecanismo de atualização complicado, às vezes impede que certos aplicativos funcionem após uma atualização, o que contribui para que usuários continuem usando versões antigas e inseguras.

O problema com uma atualização que&nbsp;deixou muitos usuários de Windows sem poder iniciar o computador&nbsp;é outro exemplo do que pode dar errado com o processo de distribuição de remendos – e prazos apertados não contribuem para que o resultado seja melhor.

Em comparação, provedores de serviços nas nuvens normalmente controlam o ambiente inteiro e podem facilmente verificar e corrigir qualquer problema causado por uma atualização. Na verdade, o próprio conceito de “atualização de segurança” é inexistente: enquanto o Google cobra que empresas divulguem pelo menos uma “orientação” no caso de uma brecha, o Google não mantém uma lista com brechas no Gmail, por exemplo. Aliás, esse conceito não existe em nenhum software que é executado na nuvem, o que dá a impressão que erros não existem.

A Microsoft não tem escolha: ela precisa revelar que existe uma vulnerabilidade em seus produtos quando divulga uma falha. O Google, claro, também se vê na mesma situação para o desenvolvimento do Android ou do navegador Chrome, que são softwares tradicionais. E embora o Chrome tenha um mecanismo de atualização que funciona bem, o mesmo não pode ser dito a respeito do Android: 36% dos usuários utilizam uma versão desatualizada, porque fabricantes não fornecem uma opção de atualização.

Se uma falha crítica fosse descoberta hoje em uma dessas versões antigas do Android, quanto tempo seria necessário para proteger os usuários?

É ainda preciso muito bom senso para sabermos o que fazer em um caso desses, e a atual tendência de “abandonar” sistemas antigos – a Microsoft disse que o período de suporte para uma versão do Windows&nbsp;


Para outro ponto de vista, o aumento de complexidade dos softwares e as falhas inevitáveis que seguem só podem levar cada vez mais partes do sistema para a nuvem, fora do controle do usuário, e onde atualizações são imediatas, porém secretas.