domingo, 23 de janeiro de 2011

Entrevista concedida ao Correio Braziliense

As falhas ocorridas no web site do Enem motivaram a publicação de uma matéria no Correio Braziliense, onde o nosso CTO, Wagner Elias, foi entrevistado para dar a sua opinião sobre o problema ocorrido. Reproduzida abaixo, a matéria original está disponível aqui.

Para senador Cristovam Buarque, Enem é uma "série de descasos"


Débora Álvares e Alexandre Botão

O novo problema no Sistema de Seleção Unificada (Sisu) — mais uma vez expondo a fragilidade na segurança do site administrado pelo Ministério da Educação (MEC) — levou autoridades em educação a questionar o modo como o processo foi adotado pelo governo.

Ex-ministro da Educação, o senador Cristovam Buarque não aliviou em relação a mais uma confusão envolvendo o Exame Nacional do Ensino Médio (Enem): “É um descaso, nitidamente. Uma série de descasos, na verdade. Com o dinheiro público, com os estudantes e com a educação, de uma maneira geral”, lamentou.

Segundo Cristovam, que foi o primeiro titular da pasta no governo Lula, tanto a maneira como vem sendo aplicado o Enem quanto o processo de seleção e ingresso foram “empurrados sem qualquer preparo”: “É inconcebível que um sistema como esse apresente falhas sucessivas. A verdade é que, desde que começou, ele ainda não funcionou”.

À frente do MEC, Cristovam pensava em adotar um sistema que ele considera “ainda mais complexo”. A ideia — lembra o ex-ministro — era implementar o Programa de Avaliação Seriada (PAS) em todo o Brasil. “E logo naquele início de preparação, já era possível notar que seria fundamental um planejamento minucioso. Chegamos à conclusão que ele só sairia do papel se estivesse 100% pronto para ser aprovado no teste prático”, comparou.

O ex-diretor-geral do Instituto Nacional de Estudos e Pesquisas Educacionais (Inep) Pedro Demo segue essa linha. “Ficou muita coisa para arrumar.” Para o sociólogo da UnB, que esteve à frente do instituto em 1986 e em 1987, os problemas recorrentes, de fato, abalaram a credibilidade da prova. “As pessoas perderam a confiança e é isso que o Inep pretende recuperar agora.”

Segundo o ex-diretor-geral, esse é o principal motivo que levou à escolha de Malvina Tuttman, ex-reitora da Universidade Federal do Estado do Rio de Janeiro (UniRio), para ocupar a cadeira de presidente do Inep. “Ela tem um perfil de professora e foi reitora.”

Para Demo, no entanto, erros gerenciais, como as trocas das provas e os problemas nos cadernos, registrados no fim do ano passado, são imperdoáveis, assim como a divulgação de dados de estudantes pelo site do Sisu.

Erros primários

A mesma opinião tem o especialista em segurança da informação Wagner Elias. Gerente de pesquisa e desenvolvimento de uma empresa especializada em segurança de tecnologia da informação, ele diz que os recentes problemas no portal são primários. “Bastava ter pensado em segurança. Não é nenhum tipo de técnica muito sofisticada. São erros simples de corrigir”, ressalta.

Wagner destaca que as falhas estão na arquitetura e também na codificação do site. Outro problema apontado pelo especialista é a capacidade de resposta precária, que leva o portal a travar quando muito acessado. “As pessoas que produzem sites acabam desenvolvendo muito mais a parte de funcionalidade e esquecem da segurança.”

quarta-feira, 5 de janeiro de 2011

ASLR - Address Space Layout Randomization

Certamente o ASLR foi um dos mecanismos de segurança mais eficazes na contenção da explosão no número de explorações com sucesso no inicio do Século XXI. Inicialmente foi apresentado como solução genérica para problemas de buffer overflow. Explorações que assumiam que o aplicativo vulnerável seria carregado em memória usando blocos de endereços fixos foram invalidadas. Muito embora, pouco tempo depois técnicas para burlar a proteção tenham surgido, o custo para construção de um exploit funcional para essa categoria de vulnerabilidade aumentou significativamente.

As tentativas de exploração ficaram mais “ruidosas”, evidenciando padrões de ataques e fornecendo subsídos para construção de dispositivos de detecção automática. Atualmente, o ASLR é implementado nativamente nos sistemas operacionais mais populares. Esse artigo tem por objetivo apresentar um breve (i) histórico, (ii) descrever o funcionamento, (iii) apresentar uma análise qualitativa e (iv) apresentar as principais técnicas utilizadas parar contornar a proteção provida.

Leia no Scribd