3x4

Uma publicação da tecepe. Ano I número 1. Última atualização 18/11/95.
A sua página de informações sobre a Internet. Nesta edição de 3x4, você encontra:

Virus em documentos no formato .DOC do Word (27/11/95 ofr)

Virus de computador costumam contaminar novas máquinas atraves da execução de um programa contaminado. Tipicamente a vítima faz o download do programa contaminado via Internet ou BBS e contamina seu computador ao testar o novo programa. Usuários prudentes costumam "escanear" novos programas antes de rodá-los.
A mais nova classe de virus contamina um outro tipo de arquivo: os arquivos .DOC do programa MS Word. O Word tem uma linguagem de macros que permite a automação de tarefas. O Virus é escrito na nesta linguagem. Ao abrir o documento contaminado, o virus contamina o template global, tipicamente "NORMAL.DOT". Todos os outros documentos criados subsequentemente são contaminados. Acredita-se que este virus foi feito em Portugal.
Estes virus tem várias facetas novas: Cuidado, portanto, ao abrir arquivos .DOC retirados da Internet.Para mais informações, visite Dr. Solomon

Criptografia proibida (18/11/95 ofr)

Governar é uma atividade solitária, já dizia o filósofo. As vezes, nessa solidão, os governantes tomam decisões estranhas. E não é só aqui no Brasil.

O governo americano proibiu a exportação de tecnologia de encripção. A idéia original era impedir que traficantes de drogas e terroristas internacionais tivessem acesso a esse tipo de tecnologia que permite a codificação de mensagens, fugindo assim aos sistemas de escuta da polícia.

Embora o objetivo inicial fosse louvável, com o passar do tempo a lei se tornou anacrônica. Isto por que esta tecnologia pode ser achada livros técnicos de computação, que não estão sujeitos à mesma limitação. O mesmo livro, gravado em disquete, é considerado uma arma e não pode ser exportado dos EUA.

Além disso, as técnicas de encripção podem ser encontradas em numerosos sites da Internet fora dos EUA. Em consequência desta lei, muitos congressos de criptografia passaram a ser realizados em outros paises, o que contribui ainda mais para a disseminação desta tecnologia.

A lei tem um impacto direto na Internet. O programa Netscape, por exemplo, que na sua versão exportação pode usar chaves de no máximo 40 bits, teve o seu sistema de segurança violado por pesquisadores franceses, numa demonstração da inadequação de chaves deste tamanho. A versão americana - com chaves maiores - é segura, mas não pode ser exportada.

O que há por trás desta lei aparentemente tão inócua? Phil Zimmermann, autor do programa PGP (Pretty Good Privacy), sugere que a Casa Branca quer que os meios eletrônicos de transmissão segura de dados usem o chamado "Clipper Chip" como dispositivo de encripção. Uma chave especial seria gravada neste chip e ficaria com o governo, podendo ser usada pela polícia, desde que autorizada pela justiça. Para que este esquema funcione, claro, todas as outras formas de encripção devem ser proibidas.

Vai de Netscape ou MegaDrive? (10/11/95 ofr)

As grandes empresas de eletrônicos de consumo não querem perder o bonde da Internet. Nomes como Phillips, Sega e Sony estão desenvolvendo browsers para o WWW que funcionam acoplados à televisão. São equipamentos semelhantes ao video game, onde o joy stick desempenha a função do mouse. Funcionam ligados a uma linha telefônica ou ao próprio cabo da TV a cabo.

A grande vantagem destes sistemas é o preço baixo (entre US$300 e $500) e a simplicidade de operação. Os fabricantes de PCs apostam que este tipo de produto não tem futuro, por não contar com disco rígido. Isto impediria a estocagem de arquivos, imagens e sons.

Mas é bom não esquecer que estas empresas realmente sabem como desenhar uma interface fácil de usar. E conhecem o mercado de cunsumo como nenhuma empresa de computação.

O que pode ser mais plug-and-play do que um video game?

Se estes dispositivos realmente funcionarem bem, é provavel que ocorra um crescimento da Internet de proporções assustadoras. E só esperar prá ver.
Sites: Sega, Sony

SATAN: Anjo ou demônio? (7/11/95 ofr)

SATAN. Quem está realmente ligado na Internet já ouviu este nome. Não se trata de nenhuma nova seita exotérica de adoração ao coisa-ruim, mas de um polêmico programa de computador.

SATAN, sigla de Security Administrator Tool for Analyzing Networks, foi desenvolvido por dois especialistas em Internet - Dan Farmer e Wietse Venema - e liberado para download pela Internet. O programa, que roda em máquinas Unix, analisa possíveis falhas de segurança de sistemas conectados à Internet.

Farmer e Wietse foram duramente criticados por parte da comunidade da Internet. A grande mídia, com sua queda para o superficialismo, usou o apelo demoníaco do nome do programa em manchetes sensacionalistas. Farmer até perdeu seu emprego na Silicon Graphics em consequência desta publicidade.

Segundo os críticos do programa, SATAN dá aos hackers uma poderosa ferramenta para identificar falhas na segurança em sistemas alheios. "Corresponde a dar uma pistola de 9mm para uma criança" comentou um especialista em segurança de redes.

Farmer e Wietse se defendem explicando que os hackers modernos estão cada vez mais aparelhados tecnicamente para atacar sistemas na Internet. Somente com uma ferramenta como SATAN é que os administradores de redes podem identificar e corrigir falhas na sua segurança. Estes administradores, segundo os programadores, são normalmente menos equipados tecnicamente do que os hackers.

Um outro fato interessante é que SATAN está disponível apenas para máquinas Unix (o único Sistema Operacional que realmente merece este qualificativo, segundo os autores). Isto complica a vida de administradores de sites baseados em outros sistemas operacionais, como Windows NT e OS/2.
Se você esta interessando em SATAN, pode obter uma cópia no site de Farmer (Satan's home page). O programa requer a linguagem PERL instalada e a análise dos dados é feita através de um browser HTML (Mosaic ou Netscape).Outros sites:

Proteja as informações sigilosas no seu disco com RSA Secure (31/10/95)

Qual o melhor produto: Windows ou Macintosh? Netware ou NT? Pentium ou PowerPC? As opiniões se dividem. Mas quando o assunto é encripção - codificação de informações sigilosas - todos são unânimes: RSA.
A RSA licencia praticamente todos os programas que suportam encripção de chave pública. A empresa é detentora da patente deste engenhoso sistema de transmissão de informações sigilosas.
O mais recente lançamento é o RSA Secure: um sistema para proteção de dados em discos rígidos. Com RSA Secure, você codifica arquivos de maneira que só quem tenha a senha E acesso ao seu micro consegue decodificar. O programa instala-se no menu do file manager do Windows.
Durante o processo de instalação, uma chave aleatória é gerada com movimentos ao acaso do mouse. A seguir, você deve inventar uma senha que será usada na codificação da chave RSA e dos arquivos. A chave RSA tem 40 bits na versão de demonstração, o que dá um segurança bastante razoável. Devido a restrições da legislação federal americana, a versão que usa chaves de 80 bits - mais segura - está disponível apenas nos EUA e Canadá.
Uma boa pedida, especialmente para encriptar informações sigilosas guardadas em notebooks.
RSA Secure pode ser copiado do site da RSA para avaliação por 30 dias. A leitura dos termos do download é recomendada, uma vez que existem várias restrições legais que você deve entender.

Chave pública. Você ainda vai ter uma (28/10/95)

Um dos pontos em discussão atualmente na Internet é como fazer transações seguras via rede. A evolução da tecnologia da Internet no meio acadêmico fez com que os protocolos usados não sejam particularmente eficientes no que diz respeito a segurança.
Com o aumento da rede, muitas empresas passaram a considerar a possibilidade de se fazer transações comerciais pela rede. Mas como evitar a fraude em transações com pessoas que nem ao menos estamos vendo?
Alguns tipos de fraude são possiveis em transações comerciais via Internet:
  1. Um comprador se passando por outra pessoa.
  2. Um falso vendedor se passando por outro.
  3. Um terceiro que, espionando a troca de informações, se apropria de informações sigilosas (p.e. número de cartão de crédito) para depois usá-las em fraudes.
Duas soluções surgiram para estes problemas.
A mais simples consiste em evitar o uso da Internet para transferência de informações sensíveis. É o método usado pelo sistema de pagamentos First Virtual.
Encripção
A segunda - mais complicada porém mais versátil - consiste na encripção das informações: codificá-las de maneira que só quem tem uma chave específica, o legítimo destinatário da mensagem, possa obter seu conteúdo. Fazendo uma analogia, é como se você fechasse as informações em uma caixa inviolável e mandasse para alguém que tem a chave.
Surge então um outro problema: como passar a chave para esta pessoa. Se a rede é insegura para transmissão da mensagem, é igualmente insegura para transmissão da chave.
Chave privada e chave pública
A solução encontrada pelos pesquisadores é o uso de duas chaves: o que uma fecha só a outra pode abrir e vice-versa. Uma das chaves, chamada chave privada, é guardada por você em local seguro e mantida secreta. A outra é publicada de modo que qualquer pessoa possa ter acesso a ela.
Com este sistema, os tres tipos de fraude citados acima podem ser evitados. Entender como isto é possível é um pouco complicado. Analisemos este exemplo. Suponhamos que José deseja enviar uma mensagem sigilosa para Ana. José então codifica a mensagem com a própria chave privada e depois com a chave pública de Ana. Ao receber a mensagem, Ana decodifica com a sua chave privada e depois com a chave pública de José. Se a mensagem for aberta com sucesso, Ana pode ter certeza que:
  1. A mensagem foi enviada por José, pois foi codificada com a chave privada de José, que só ele tem. Não se trata portanto de outra pessoa tentando se passar por José. Corresponde a uma assinatura eletrônica.
  2. Ninguém mais conseguiu ler a mensagem, pois ninguém mais tem a chave privada de Ana. Corresponde a nossa caixa inviolável.
Deste modo, Ana e José podem fazer uma transação comercial via Internet sem medo de serem vítimas de fraudes.

The Microsoft Network

Um dos pontos mais polêmicos da nova versão do Windows 95 é o lançamento do serviço on-line da Microsoft. O programa de acesso a este serviço aparece no desktop do Windows 95, exigindo do usuário apenas 1 click para ativação. No Brasil, a Microsoft pretende lançar este serviço em novembro.

Nos EUA, os serviços de informações on-line reclamaram que a colocação do ícone do Microsoft Network (MSN) no desktop do Win95 representava uma vantagem competitiva ilegal. Houve até uma tentativa destes serviços de impedir o lançamento do Windows 95 com o ícone do MSN. Não conseguiram.

RegWiz

A mais recente polêmica a respeito do MSN diz respeito ao RegWiz, o programa de registro na rede Microsoft. Este programa coleta dados no computador do usuário, especificamente a lista dos softwares instalados, e transmite para a MS. Isto incendiou a fúria dos defensores da privacidade. Muitos alegaram que se tratava de uma versão micro-cibernética do "big brother".

A organização Netsurfer Focus on Cryptography and Privacy, por exemplo, fez em uma de suas páginas no WWW a seguinte questão: "It's eleven o'clock at night. Do you know what your software is doing?"

Ralph Nader, o advogado dos consumidores, sugeriu ao presidente Clinton que "impedisse as agências federais de comprar o Windows 95 até que o dispositivo de captura de informações do 'Registration Wizard' fosse desabilitado ou modificado".( Ralph Nader on Windows 95 Problems).

A Microsoft publicou uma explicação pela Internet, explicando que o programa RegWiz solicita a permissão do usuário para o envio destes dados para a MSN e que estas informações podem ser visualizadas no arquivo REGINFO.TXT. Segundo este mesmo documento, as informações enviadas pelo RegWiz são apenas uma versão eletrônica de um cartão de registro.

No entanto, a quantidade das informações transmitidas pelo RegWiz é bastante grande, um pouco além do que a paciência de um usuário médio suportaria informar em um cartão de registro de papel. E não está muito claro o que a Microsoft pretende fazer com estas informações. Muitos desenvolvedores de software alegam que este tipo de informação dá uma vantagem competitiva desleal à MS. Segue abaixo a lista dos aplicativos cuja existência no micro do usuário é informada à Microsoft :

3-D Dinosaur Adventure                  Aldus Pagemaker for Windows
Aldus Persuasion                        America On-line
AmiPro for Windows                      Approach for Windows 
Bookshelf 94 for Windows                Borland C++ for Windows
Borland Dbase                           Borland Delphi
Borland Paradox for DOS                 Borland Paradox for Windows
CA - Visual Objects                     Charisma 
Charisma for Windows                    Clipper
Complete Baseball for Windows           Comptons Multimedia Encyclopedia 
CompuServe                              Corel Draw for Windows
Crayola Art Studio                      Creative Writer
Creative Writer - Ghost Mysteries       DataEase 
DataEase for Windows                    dBase for Windows
Director's Lab DOS                      Encarta
Fine Artist                             Flight Simulator 
FoxPro for DOS                          FoxPro for Windows - Standard
Freddi Fish                             Gupta SQL Windows
Harvard Graphics                        Haunted House
Internet In A Box                       Kid Pix DOS
Kid Pix WIN                             Lion King Print Studio
Lion King Story Book                    Lotus 123 for Windows
Lotus Notes                             Lotus123 for DOS 
Mathblaster Episode 1                   Mathblaster Episode 2
Microsoft Access Developers Toolkit     Microsoft Access for Windows 
Microsoft Access Upsizing Tool          Microsoft Encarta '95
Microsoft Excel for Windows             Microsoft Money
Microsoft Office for Windows            Microsoft Powerpoint for Windows 
Microsoft Project for Windows           Microsoft Publisher
Microsoft Visual Basic Professional     Microsoft Visual C++ 
Microsoft Visual FoxPro for Windows     Microsoft Word for DOS
Microsoft Word for Windows              Microsoft Works for Windows
Mind Your Money                         Money
MSB - Human Body                        MSB - Solar
My First Encyclopedia                   NCSA Mosaic for Windows
Oregon Trail                            Oregon Trail 2
Personal Oracle 7                       PGA Tour 486 
Playroom                                PowerBuilder Enterprise 4 for NT 
PowerBuilder Enterprise 4 for Windows   PowerPlus
Print Shop Deluxe for Windows           Prodigy
Putt Putt                               Quattro Pro for DOS
Quattro Pro for Windows                 Quick C for Windows
Quicken for Windows                     Rabbit Ears - Leopard
Reader Rabbit 1                         Reader Rabbit 2
Relentless                              Scenes
Spider Man Cartoon Maker                SuperBase
Treehouse                               Turbo Pascal for Windows 
Where in Space is Carmen San Diego      Where in the USA is Carmen
Where in the World is Carmen San Diego  Wine Guide
WordPerfect for DOS                     WordPerfect for DOS
WordPerfect for Windows
Mais informações sobre este assunto, cheque estes sites:

The O'Reilly Windows Center

Bug no NetScape

A Netscape Communications, empresa que desenvolveu o NetScape Navigator, o browser mais usado de acesso ao WWW, comunicou que dois estudantes de Berkeley detectaram uma falha no sistema de segurança do Netscape. O programa Netscape permite fazer transações comercias na Internet, usando um algorítmo de encripção.

Por este sistema, as mensagens contendo dados que devem permanecer secretos (p.e. o seu número de cartão de crédito) são codificadas. Mesmo que alguém consiga interceptar a mensagem, não conseguirá decodificá-la a menos que tenha a chave correta.

Teoricamente, seria possível abrir a mensagem usando a força bruta: um computador muito poderoso que testasse todas as senhas possíveis. Isto porém levaria milhares de anos, tal o número de chaves possíveis.

O que os estudantes descobriram é que o algorítmo de geração das chaves, baseado em geração de números aleatórios, pode gerar um número bem menor de chaves.

Como todo algorítmo gerador de números aleatórios, o usado no Netscape usa uma "semente", um número que inicializa o gerador. Esta semente é calculada tendo como base alguns dados do computador (hora, data, data do BIOS, tamanho da memória etc). Embora seja grande, o numero de sementes possíveis é bem menor que o de chaves. De posse do sistema de geração das chaves (o que pode ser conseguido por engenharia reversa), um atacante poderia testar todas as sementes viáveis, reduzindo significativamente a segurança do programa.

O resultado é que o número de chaves possíveis é muito menor que o teórico, permitindo que a chave correta fosse achada por força bruta em poucas horas.

Em mensagens trocadas em foruns de discussão na Internet, vários interlocutores sugeriram que este bug é um caso típico de pressionite, um mal que induz programadores com prazos vencidos a usarem técnicas pouco científicas de programação. Um bom exemplo de como criar uma chave aleatória pode ser visto no programa RSA Secure.

A Netscape afirma já ter uma nova versão do Netscape que corrige este problema.

Economize sua grana telefonando pela Internet

Mais uma corrida mercadológica se instala na Internet. Várias empresas estão atrás de um novo santo graal: o mercado de telefone na Internet. Usando tecnologia de compactação de dados, essas empresas desenvolveram programas para transmitir som full-duplex (i.e. bidirecional) e em tempo real pela Internet. Isto é feito usando-se uma coneção por modem (pelo menos 14.4k) e uma placa de som tipo Sound Blaster.
A vantagem deste sistema é o baixo preço, particularmente em ligações de longa distância (DDI e DDD). Se nos EUA este tipo de tecnologia é vantajoso, será muito mais aqui no Brasil, onde o custo do impulso é bem maior. Um dos primeiros sistemas é o Internet Phone da empresa VocalTec. Vale o download por ftp do programa demo (810k) que leva mais de uma hora.
Este tipo de sistema está preocupando os operadores de telefonia e os provedores de Internet.
As empresas operadoras de telefonia podem sofrer com a concorência do serviço de voz pela Internet, que embora seja operado em parte por elas próprias, tem uma forma de tarifação fixa (sem cobrança de impulso).
Os operadores de Internet, por sua vez, temem o congestionamento ainda maior da infraestrutura da Rede.
O problema reside na forma de tarifação da Internet, que não diferencia entre serviços de alta e baixa demanda do canal de comunicação. Quem usa a Internet apenas para e-mail - uma informação compacta e que não precisa ser entregue em real-time - paga o mesmo de quem usa o Internet Phone ou um serviço de download de GIFs. Isso contudo, é uma tradição da Internet e um pré-requisito para se prover acesso à Rede.
Existe um grande debate a respeito de mudanças na tarifação do acesso à Internet. Mande-nos e-mail com a sua opinião de como resolver este problema. E não se esqueça de fazer o download do seu Internet Phone.

Pagamentos eletrônicos pela rede

Poucas empresas crescem a uma taxa de 16% por semana. É o caso do First Virtual, um serviço de pagamento de software pela Internet. Através dele, é possível pagar programas de computador e outros tipos de informação adquiridos pela Rede.
O sistema usa o telefone regular - um meio de transmissão mais seguro que a Internet - para a comunicação de dados sigilosos como o número do cartão de crédito. As compras são cofirmadas através de mensagens por e-mail, usando uma palavra chave. O custo de inscrição é US$2.
Este tipo de serviço também está causando alguma preocupação, especialmente ao fisco. Como controlar a evasão de divisas e sonegão fiscal? Para os interessados, o endereço do First Virtual é este.

3x4

3x4 é uma newsletter sobre a Internet. O nome 3x4 se deve ao fato de ela ser pequena. Todos temos pouco tempo e pouca paciência. Aqui, você encontra a informação "zipada" e por um preço conveniente: zero. Se você quiser publicar material nesta página, envie-nos email. Nos reservamos o direito de selecionar o material enviado, que será publicado com crédito.