Gbitten

Tentei instalar uma atualização de segurança hoje. Mas a Microsoft não me permite fazer o download da atualização sem que o Windows Genuine Advantage (WGA) esteja instalado. O FAQ do WGA diz o seguinte:

P: As atualizações de segurança exigem validação?
R: As atualizações de segurança não fazem parte do WGA ou do OGA. Você pode instalar atualizações de segurança com o recurso Atualizações Automáticas do Windows ou baixá-las do Centro de Download.

Mentira! Não há como abaixar a atualização que apontei acima. Em resumo, sempre me recusei a instalar o WGA simplesmente por que ele não me agrega nenhum benefício. Agora, a Microsoft me nega a possibilidade de realizar uma atualização de segurança importante. Me sinto ultrajado.

Em tempo, meu Windows não é pirata, eu pagei à Microsoft por ele.

Marcadores: Windows

Na semana passada, conjecturei sobre o poder que a Microsoft tem de "reiniciar a Internet" por meio do processo de Update. Fernando Cima discordou nos comentários, informando que o Vista não reinicia sem a autorização do usuário, a não ser que este não esteja "logado". Contudo não foi o que me ocorreu a cerca de 10 minutos, quando sugiu o diálogo ao lado. Esgotada a contagem regressiva, minha estação reiniciou sumariamente.

Marcadores: Windows

Na quinta-feira, 16 de agosto de 2007, a rede peer-to-peer do Skype tornou-se instável e sofreu uma interrupção crítica. Esta interrupção foi desencadeada por uma reinicialização massiva dos computadores de nossos usuários em todo o mundo dentro de um período muito curto de tempo, quando todos faziam o reboot após o recebimento de uma atualização de rotina do Windows Update.

Diferente do que noticiaram vários sites, o pessoal do Skype nunca culpou o Windows Update pelo blackout que sofreram. O fato é que eles reconheceram que havia um bug não identificado no software que aliado as inúmeras reinicializações causaram a parada nos serviços do Skype.

Contudo não é especificamente sobre este assunto que quero comentar. Mas sim sobre algo que pode-se perceber deste incidente. O poder que a Microsoft tem de desligar 90% dos computadores do mundo.

Não sou adepto de teorias conspiratórias e meu objetivo aqui não é lançar mais uma. Acho que as únicas coisas que a Microsoft ganharia em indisponibilizar parcial ou totalmente os sistemas em Windows são o descrédito e talvez a bancarrota, portanto não acredito que ela daria um tiro no pé. Mas de qualquer forma é um poder e tanto!

Marcadores: Windows

Weber Ress apresenta uma série de webcasts sobre Security Development Lifecycle no MSN.

• Desenvolvimento Seguro
• Desenvolvendo Software Seguro para o Windows Vista

Um aspecto fundamental no SDL é a transparência quando há um problema de segurança, isso pode ser verificado dentro da própria Microsoft. Esta mudança de atitude é com certeza o passo de segurança mais significativo dado pela empresa até então.

Marcadores: Webcast, Windows

Augusto Paes de Barros levantou a bola do Personal Security Inspector (PSI) da Secunia. O PSI varre as aplicações instaladas e verifica quais estão desatualizadas e trazem alguma vulnerabilidade para o sistema. Agora preciso de uma boa ferramenta de hardening para o Vista, de preferência gratuita como o PSI. Nota: O PSI ainda está numa versão beta.

Marcadores: Windows

Fernando Cima publicou dois artigos bem interessantes sobre o Longhorn. Pelo visto a nova versão do Windows Server é muito promissora em relação a segurança.

• Windows Server "Longhorn" - Server Core
• Windows Server "Longhorn" - SSL VPNs

O segundo artigo, entre outras coisas, descreve o protocolo SSTP:

O SSTP usa HTTP 1.1 com SSL 3.0 para encapsular o tráfego de VPN com segurança e compatibilidade.

Particularmente, não gosto das soluções QualquerOutraCoisaQueNãoSejaWeb-over-HTTP, como diz Richard Bejtlich:

WE've got 65535 TCP ports to use and the whole world is collapsing onto one. Argh.

Infelizmente, esta é uma tendência inegável. De qualquer forma, espero que o Cima nos brinde com mais artigos sobre a segurança do Longhorn.

Marcadores: Longhorn, VPN, Windows

Jeff Jones publica com frequência comparativos de vulnerabilidade entre plataformas, principalmente entre o Windows e o Linux. Não entrando no mérito se esses comparativos foram realizados de forma imparcial, tenho a opinião que o número de vulnerabilidades de um SO é menos importante do que como essas vulnerabilidades são tratadas.

Utilizo o Windows XP e o Ubuntu no meu dia a dia. E tanto o Ubuntu quanto a Microsoft possuem um processo bastante adequado para tratamento de vulnerabilidade (excetuando a escorregadela que a Microsoft deu com o WGA). O Firefox é outro software que tem respondido com bastante agilidade as novas vulnerabilidades. Por sua vez, a Oracle, extremamente criticada até então, reviu seu processo de patch management recentemente.

Contudo, além da comparação entre os SOs, o último estudo do Jeff apresenta uma visão interessante de como as vulnerabilidades tem evoluido nos últimos anos.

• 2006 January through September Vulnerability Trends

Marcadores: Artigo, Linux, Windows

ou quase todos os males de segurança do Windows.

Aplicar o princípio do Least Privilege é simples no ambiente Unix|Linux|BSD, porem é um pesadelo no Windows. Aaron Margosis vem a anos evangelizando o Least Privilege para o sistema operacional da empresa de Redmond, este seu artigo é um belo apanhado dos problemas e das soluções para implantar o Least Privilege.

• Problems of Privilege: Find and Fix LUA Bugs

Marcadores: Windows

Bruce Schneier aborda em detalhes o recurso do Windows Vista que permite criptografar o sistema de arquivos.

• http://www.schneier.com/blog/archives/2006/05/bitlocker.html

Marcadores: BombaDeFumaça, Criptografia, Windows