O meu "Facebook privado": https://social.plaureano.com
Para quem queira ler o que publico o meu feed está em: https://social.plaureano.com/u/plaureano

Não há anúncios, os dados das pessoas não estão à venda, não há posts “promovidos” à custa de dinheiro, o que partilham com família e amigos em privado é mesmo privado, não há algoritmos a escolher o que aparece no vosso mural (aparecem os posts todos das pessoas que “amigarem&rdquo.



O meu "twitter privado": https://bbs.plaureano.com
Para quem queira ler o que publico o meu feed está em: https://bbs.plaureano.com/@pls
RSS: https://bbs.plaureano.com/@pls.rss

Plataforma publica de micro-blogging muito semelhante ao twitter. Corre num Raspberry Pi! A sério!



Por fim, há também uma BBS à moda antiga online! Não lembra à outra senhora mas, num ataque de nostalgia descontrolado, deu-me para fazer a gracinha. Está a correr no mesmo Raspberry Pi, porque, chega e sobra para o efeito. O que o meu Commodore Amiga 3000 e USRobotics chorariam por ter o mesmo poder computacional e banda (ah, sim, para além de estar no Raspberry Pi, a banda é celular, em GSM/3g/4g, dependendo do vento)…



Em todas as plataformas, para quem as quiser usar, podem, só tenho três regras muito simples:

- respeitem os outros utilizadores como se fossem convidados em minha casa. Estão a utilizar os meus computadores, é suficientemente parecido.

- não coloquem conteúdos ou links para conteúdos ilegais.

- não espalhem (ou coloquem links para) noticias falsas / aldrabices e esquemas / chain letters.

Fora isso, divirtam-se, partilhem com família e amigos, usem à vontade. Estas plataformas foram pensadas para grupos de pessoas que valorizam a sua privacidade e querem falar entre elas, não para quem procura um megafone: para isso há o Facebook e Twitter.




Pronto, está dado o meu contributo ao mundo...

Tags: Blog

Num ataque épico de nostalgia e loucura fiz uma BBS em 2021. É o que dá o confinamento.





A melhor forma de aceder é puxar o Syncterm (http://syncterm.bbsdev.net), binários para Windows em Mac OS X em https://sourceforge.net/projects/syncterm/ para terem a experiência tão genuína quanto possível de usar uma BBS. O syncterm é, no que ao interface respeita, um programa de DOS, tirado dos anos 80. Perfeito para o efeito.

Dois bónus relevantes; dá para escrever em português (i.e. acentos) e tem Zmodem (para transmitir ficheiros).




No caso particular da BAT BBS os dados para se ligarem com o Syncterm são:

Telnet (inseguro, pelo que evitem):

Address: bbs.plaureano.com
TCP port: 9999
Font: Codepage 437 English


SSH (mais seguro):

Address: bbs.plaureano.com
TCP port: 8889
Font: Codepage 437 English





Para os impacientes, que não querem a experiência retro completa, sem instalar o Syncterm, também podem aceder via terminal/shell usando telnet ou ssh:


Telnet (com o codepage 437 ou em UTF-8):

telnet bbs.plaureano.com 9999


SSH (com o codepage 437 ou em UTF-8):

ssh -p 8889 -c 3des-cbc bbs.plaureano.com



Quanto a conteúdos a BAT BBS é um local para nostálgicos… entre os ficheiros encontram software escrito por mim:

- para o Commodore Amiga nos anos 80, e publicado em 1991 numa revista, chamado Total War - um clone do risco, que podem correr legalmente em emuladores modernos: https://www.amigaforever.com/emulator/

- Jogos de Game & Watch e de Arcades de que fiz remakes para Windows 10, Mac OS X e Linux (Fire, Octopus, Frogger).

Nas mensagens aparecem esporádicos mini-blog posts, alguns talvez com direito a conversas… há boards de mensagens em Inglês e em Português. Não devem ter grande movimento, se tiverem podem sempre (re)descobrir os "QWK" readers… agora a sério, julgo que não deve haver movimento nenhum, ou perto disso… há alternativas um bocado mais práticas para as pessoas conversarem.



Para quem queira perder-se no passado glorioso das BBS's: https://www.telnetbbsguide.com/bbs/list/brief/

Tags: BBS

Passou quase um ano desde as minhas ferias de verão de 2019. Na altura estava um tempo péssimo, a praia do barril cheia de algas com uma água gelada, dediquei 15 dias a ensinar a malta mais nova (teenagers) a programar. Foi a melhor alternativa a maus dias de praia que arranjei. Entretanto fiz uns videos com as ditas aulas, obviamente modificadas, desde as ferramentas (o blitzmax cedeu o lugar ao C) ao material de apoio (de um pequeno programa "explicado linha a linha" para uma revista gratuita e alguns exemplos adicionais que escrevi).



Divirtam-se.

Tenho alguma esperança que este ano esteja sol, água quentinha e o mar sem algas… para regressar com um belo bronze em vez de voltar com meia dúzia de jogos na mão. Com o COVID-19, que gostava de evitar, não sei muito bem o que me espera, mas preciso de mudar de cenário que este ano foi trabalhoso e mais complicado que o normal.

Tags: programar, Jogos, Aprender

Este verão a água do mar estava fria (15º a 18º, cheia de algas, e sem o beneficio de um vento levante que tornasse os banhos divertidos. Foi no que respeita à praia o pior verão que apanhei na praia do Barril. Fui à praia apenas três vezes, dei um único mergulho na água gelada, em quinze dias de férias. A maior parte do tempo fiquei em casa e, entre uns pulinhos à piscina e explanada, estive a ensinar os mais novos a programar. Jogos, claro, mas os conceitos são universais.

Como exemplos dos conceitos que estava a ensinar fui fazendo uns joguinhos nos intervalos das aulas. Servem de inspiração para os formandos e são um enorme gozo de escrever para o instructor.

O projecto era ensinar apenas o necessário para fazer um jogo a cada um dos miúdos. Não ser excessivamente exaustivo, passar apenas as bases que se usam 90% do tempo. Usei como linguagem o Blitxmax (open source, gratuito, com suporte a programação orientada a objectos, com "garbage collection"). Podem fazer o download em https://blitzmax.org e divertirem-se a programar para Mac, Windows e Linux.

O mini-curso consistia em 3 aulas (sim, só três) de uma hora e meia.

Os conceitos que foram ensinados:

Aula 1 (o básico)

- datatypes (int / float / long), scope de variáveis
- flow control (while loop até uma condição se realizar) - usado para o loop do jogo
- conditional code ( if / else ) - usado para detectar teclas que fazem uma sprite andar no écran
- Graphics (setup de uma janela com um canvas gráfico), cls para apagar um écran, Flip de um sistema de backbuffer) - onde os exemplo correm…
- sprites (LoadImage / DrawImage) - porque (quase) todos os jogos precisam de uns bonecos baseados em imagens.
- Texto no écran (DrawText) - porque temos que escrever textos com as pontuações do jogo

Aula 2

- Funcões (function)
- estruturas e classes (type) - como criar, como chamar, como instanciar…
- Pensar como um programador, fazer "mais com menos", evitar repetição de código e reutilizar código em diferentes contextos.

Aula 3

- Colisões de sprites - como detectar quando duas sprites ocupam o mesmo espaço no écran
- sprite sheets (para animações) - o exemplo foi como fazer explosões…
- Listas (TLIst) de objectos
- ciclos de "For / EachIn" para percorrer listas



Os jogos que eu escrevi para lhes dar como exemplos:




Baseado no primeiro arcade comercial… reproduzido em código que podem consultar e interpretar… é o mais simples dos exemplos. Não utiliza gráficos baseados em imagens, cada jogador movimenta um rectangulo e a "bola" é um "quadrado". Para um (contra o computador semi-inteligente) ou dois jogadores(um contra o outro). O exemplo foi escrito usando apenas os conceitos explicados nas duas primeiras aulas.

Download the game: Mac / Windows / Linux
Download the source code: All platforms








Octopus - o meu "Game &. Watch" preferido que fez as minhas delicias quando tinha a idade deles… escrevi um "clone" usando apenas o que tinham aprendido nas duas primeiras aulas, a que acrescentei apenas o exemplo de como carregar sons e os tocar.



Download the source code: All platforms







Um jogo "original" vagamente inspirado em características do "Defender" (Arcade), em que o jogador tem um campo de batalha do tamanho de vários écrans, visíveis em formato tipo "radar", e no Jetpac (ZX spectrum) em que o jogador tem um jetpac às costas e inimigos que o perseguem… utiliza os conceitos da terceira aula (listas de objectos) e um exemplo de "inheritance" de uma classe com overload de um dos métodos.




Bom, eu achei piada a ensinar a garotada, deu-me um gozo bestial escrever os exemplos, e estou a considerar seriamente fazer uns videos com estas lições. Até estou a considerar ir mais longe e ensinar as mesmas coisas em múltiplas linguagens. Não sei se vou ter o tempo e a pachorra, mas que me está a apetecer é uma certeza. Se o fizer será um projecto comercial, provavelmente em inglês, porque não vejo outra forma de justificar o tempo e dinheiro que teria de dedicar a tal obra.

Update em Maio de 2020: já estão os videos online, de borla para todos…



Farei uma versão video (em Português), mais "descontraída" (versão totalmente amadora) e consequentemente menos trabalhosa, para familiares e filhos de amigos que não estiveram comigo de férias. Os interessados mandem-me um e-mail. Não tenciono tornar esses vídeos públicos, é mesmo só para quem me conhece pessoalmente.

Update em Maio de 2020: Ainda não existe…

Tags: programar, Jogos, Aprender

Há uns tempos atrás escrevi um texto sobre a importância de os sistemas de comércio electrónico serem inteligentes. É quase um insulto ao cliente serem o oposto, não terem memória, não serem capazes de reconhecer o cliente que acabou de navegar no site e fazer uma compra. É como ter a Dory do “Finding Nemo” por trás do balcão a atender clientes. Pode parecer hilariante, mas não é… é mesmo uma catástrofe. Infelizmente presente na maior parte dos sites de comércio electrónico nacionais.

Conhecer o consumidor

Fazer montras de comércio electrónico é uma mistura de (bom ou mau) gosto, (mais ou menos ) inteligência e (maior ou menor) conhecimento do cliente com quem se está a interagir no momento. Uma boa montra tem que ser bonita, o(s) produto(s) que mostra precisam de ser visualmente explorado(s) de forma inteligente e é um disparate de todo o tamanho estar a mostrar ao cliente o produto errado (que ele por exemplo já comprou ou de uma secção da loja na qual demonstrou total falta de interesse). Claro que não é fácil ou simples. Se fosse não haveria tanto óbvio disparate na web.

Existem dois tipos de abordagem ao problema:

- Tentar mostrar o máximo possível de produtos o mais depressa possível (desde a primeira página), forçosamente a maioria em versão quase iconográfica, disparando em todas direcções que potencialmente atinjam o objectivo de vender alguma coisa.



- Fazer montras minimalistas com o máximo de destaque visual a cada produto (seguida pela Apple e principais fabricantes de produtos "topo de gama").




Pessoalmente prefiro a segunda abordagem. Em ambos os casos é relevante escolher bem o que se mostra, principalmente quando se segue a abordagem "minimalista" e usar critério aplicado ao conhecimento que temos do consumidor com que estamos a interagir. A principal diferença entre a Amazon e uma Worten ou Fnac (sendo que as três enchem páginas de produtos) é precisamente o critério de escolha do que mostrar.

A Amazon mostra conjuntos de produtos baseadas no conhecimento que tem dos clientes: “Related to Items You've Viewed”, “Recommendations for You”, “Inspired by Your Wish List”, “Inspired by Your Shopping Trends”, “New for you”, “Your Recently Viewed Items and Featured Recommendations”. A worten e a fnac mostram a versão “totalmente amnésica”, “surda” e “cega” do vendedor que não faz a mínima ideia de quem tem à frente. Mostram “secções da loja”. Cada iteração com a Amazon aproxima o cliente dos produtos que estatisticamente (baseado no seu padrão de consumo) para ele são relevantes, ao contrário do que acontece nas lojas nacionais, em que cada iteração com o cliente é sempre semelhante à primeira.

Montar um sistema de registo e análise de padrões em tempo real demora horas e é infinitamente mais barato que tratar os clientes desta forma. A Full IT tem soluções chave na mão para integrar com qualquer site ou sistema de CMS. Há livrarias em open source para quem achar que explorar o assunto directamente é melhor abordagem que contactar uma empresa com 20 anos de experiência para ajudar e acelerar a implementação… em sistemas modernos é perfeitamente possível oferecer resultados em tempo real em decimas de segundo. O que era impraticável há uns anos é hoje francamente barato.

Comunicar visualmente de forma a facilitar o processo de compra

Conhecer o cliente e saber o que mostrar é o mais importante, no entanto, logo a seguir, surge a questão de como mostrar. Confesso que fico doente com os milhares de péssimos exemplos que encontro de falta de critério. É a loja de vinhos que mostra fotografias minúsculas de garrafas, em vez de rótulos e marcas, pessoas a saborear o vinho, copos e o liquido… ou thumbnails de “sound bars”, ou de “máquinas de lavar”. Essas listas “visuais” não produzem nenhum valor acrescentado à experiência de compra e não aumentam capacidade de escolha ao consumidor. São só um disparate, provavelmente tornam o processo de escolha “mais complexo”, representam um obstáculo à venda em vez de serem um factor facilitador.



Quando se entra no “detalhe” do produto encontramos tipicamente textos pobres na descrição, uma reprodução das fichas que estão nas lojas físicas, e uma confrangedora falta de ilustração, principalmente ao nível do detalhe. Um exemplo óbvio é quando se procura uma maquina de lavar roupa, em que é relevante ver que botões possui e respectivas legendas. Sem as imagens em alta definição esse processo de “descoberta” e avaliação é uma tarefa impossível. O mesmo se aplica às fichas disponíveis em computadores e televisões e a exploração visual. Em filmes é relevante a capa e contracapa em alta definição. Os detalhes das caixas de qualquer produto com a informação do fabricante são elementos relevantes. Um consumidor nas lojas físicas usa a visualização desses elementos no seu processo de escolha e decisão.



A Amazon lida melhor que as lojas nacionais com a ilustração de produtos, tipicamente apresentando mais imagens, com a possibilidade de as ver em detalhe com um efeito de lupa. Fotografar / filmar em alta definição produtos, em ambiente uniforme (luz, fundos, etc) custa paradoxalmente sensivelmente o mesmo que fazer um mau trabalho. É mais uma questão de metodologia que de mão de obra, o custo inicial é residual quando comparado com os custos fixos de operação ao longo do tempo.

Comprar produtos visualmente semelhantes, mal ilustrados, mal descritos, sem, qualquer ajuda excepto nomes de normas (que não são explicadas) apenas com base no preço e marca, é um convite a ter clientes que compram produtos errados, ficam descontentes e compram forçosamente menos onde for mais barato.

O que faz o vendedor na loja física?

É absolutamente vital ajudar o cliente na sua experiência de compra, explicar siglas, agrupar produtos em função da qualidade, conduzir a boas escolhas. E a boa escolha pode ser o produto melhor, mesmo que mais caro, o que apresente melhor relação de qualidade / preço, o que sendo barato apresenta os seguintes compromissos que podem ser aceitáveis pelo comprador.

A conversa e aconselhamento com um vendedor na loja física é tipicamente no sentido de responder a estas questões. Não o ajuda percorrer o labirinto de bancadas repletadas de ofertas semelhantes. Ajuda quando é claramente apontado que existem X gamas, que os factores de distinção são estes, que a recomendação que fazemos para o sistema de “buget” é esta, que a escolha para o melhor compromisso entre qualidade e preço é esta, que o melhor produto é o Y.

A wikipedia faz um excelente trabalho a descrever normas e siglas. Os textos são criados com licenças que permitem a sua utilização. O staff das lojas sabe quais as perguntas relevantes feitas por consumidores e as respostas que dão. A questão é porque esses elementos não chegam aos sites.

A solução óbvia é criar estruturas de comunicação entre o staff da loja que de forma eficiente e sistemática assegurem a criação e manutenção da informação, que no fim da linha chega aos sistemas que os clientes utilizam. Gamificar a actividade comercial ajuda substancialmente a recompensar, reconhecer e fazer uso, dos funcionários mais capazes de responder às questões relevantes para guiar os compradores. É um processo de concorrência interna saudável e entreajuda. Resulta também numa inevitável capacidade de avaliação e comparação entre melhores e piores vendedores, numa ferramenta que acelera e potencia a formação e desenvolvimento dos quadros.

A minha experiência de conhecer o trabalho do mestre (guru) da gamificação ( Rui Cordeiro da fractalmind.pt para os interessados) foi particularmente rica nos últimos anos. Mostrou-me que as empresas encontram extrema dificuldade em descobrir e analisar a sua própria realidade, em conhecer o verdadeiro potencial dos seus funcionários individualmente e os avaliar / comparar correctamente. Por outro lado, mostrou a ansiedade das pessoas para terem oportunidades de mostrar o seu valor, os resultados do seu trabalho, o seu empenho e compromisso com as empresas que os empregam, a falta de formação de que necessitam, a falta de meios para aprenderem de forma metódica e persistente com os colegas.

Os sistemas de informação permitem compilar, trabalhar e apresentar aos consumidores o que de melhor existe ao nível do aconselhamento e recomendações entre o staff. Este staff reúne informações absolutamente preciosas relativamente ao feedback de clientes que recebem, sobre dificuldades no processo de compra. Infelizmente faltam-lhes os meios para de forma sistemática comunicarem com os clientes que não estão fisicamente junto deles, a sua voz, sabedoria e experiência, é limitada porque ninguém conta com eles para trabalhar no online. Abram as portas, distribuam os “megafones”, que o mérito, esforço, conhecimento de causa e talento rapidamente sobressaem.

O falhanço espectacular do crowdsourcing de reviews e comentários na lojas nacionais

É deprimente olhar para os formulários de “reviews” e feedback de produtos nos sites nacionais. Não existe qualquer sentido de comunidade, as pessoas não encontram motivação para regressarem às lojas e dar uma opinião, e nada é feito no sentido de alterar esse cenário. No entanto, ter caixinhas de feedback parece estar no livro de requisitos de quem monta lojas online, provavelmente por verem os resultados que produzem em sistemas como a Amazon.

É o elefante na sala, que todos reconhecem lá estar, mas de que não se fala. Não há mais comentários porque ninguém quer ser o primeiro, porque pouca gente participa, porque há muitos produtos e o pouco feedback existente está disperso. Na realidade o que se passa é, para não variar, uma quase total falta de estratégia e de aplicação de inteligência ao problema. Está à vista o resultado…

Para que as pessoas se envolvam com a marca, produtos e serviços, é necessário perceber o que as motiva, a componente emocional e as recompensas das suas acções. Não haveria facebooks e twitters sem “likes” e “loves” nos posts, “amigos” e “seguidores”. A mentalidade de tribo, a necessidade de validação social, a necessidade e facilidade de expressar emoções (positivas ou negativas), os factores de motivação para apontar o dedo ao que se considera relevante. Não havia jogos sem puzzles por resolver não haveria tabelas de “melhores pontuações” e “troféus” à vista dos amigos orgulhosamente partilhados e coleccionados. Não haveria “reviews” dos condutores no Uber em mais de 95% das viagens se não tivessem sido identificados as motivações para as pessoas participarem, a motivação para os condutores terem bons resultados, e montada a plataforma de forma a que as pessoas possam participar e se sintam motivadas para o fazer.

A gamificação do crowdsourcing é a solução óbvia. Menos óbvio é como o fazer bem (novamente, deixo isso para pessoas que criaram jogos durante décadas, de tabuleiros a blockbusters digitais, como é o caso muito singular do Rui Cordeiro da fractalmind.pt ). Saber identificar CORRECTAMENTE motivações e recompensas, colocar no terreno os métodos correctos e cenários ideais para que essa participação ocorra, é o segredo para formar comunidades vibrantes e participação.

A boa noticia é que é melhor ter lojas completamente desprovidas de comunidades vibrantes… que ter o nojo que são os comentários de jornais nacionais. Entre ter uma comunidade absolutamente agreste e que cria um péssimo ambiente, gerando literalmente lixo, é preferível não ter coisa nenhuma. Estes casos são a demonstração cabal do que é não saber gerir uma comunidade, não saber orientar uma vontade absolutamente óbvia de participar, não entender de todo motivações e recompensas. O problema de lidar mal com estas questões pode ter um preço a pagar substancialmente maior que ser ignorado.

Stocks, prazos de entrega, comunidades de vendedores e comunicação com clientes…

A minha experiência a comprar na fnac e worten online é absolutamente trágica.

Na Fnac é um exercício de frustração usar o “marketplace”, com encomendas que são canceladas (pelos vendedores incapazes de entregar os produtos que colocam à venda), preços desactualizados, pesquisas poluídas por uma oferta artificial e mal trabalhada. Tudo funciona melhor com os produtos vendidos pela própria fnac. Uma péssima ideia ter o "marketplace" quando não se assegura que as ofertas expostas são reais e estão actualizadas.

Na worten em metade das encomendas dos ultimos meses não havia stock para honrar os prazos de entrega expostos. Aconteceu com headphones, que só foram expedidos vários dias mais tarde, com mensagens pelo meio a pedir desculpa e a perguntar se preferia esperar ou desistir. A questão para o consumidor é se a frustração de descobrir esses casos não causa uma erosão excessiva de confiança na relação com consumidores.

Em anos a comprar na Amazon, literalmente centenas de encomendas, nunca tive “azares” semelhantes. Nas lojas nacionais compro menos. Estou sempre a equacionar se quero comprar por impulso ou se mais vale ir lá “quando tiver tempo” porque me arrisco a que o produto não chegue nos prazos anunciados ou que a encomenda seja cancelada por ser uma oferta fantasma.

A abstracção da transacção simultânea online (pagar com o produto na mão à saída da loja, por oposição a confiar que o contrato implícito nos stocks e prazos de entrega online) ser “segura” e “previsível” é relevante. No entanto as lojas nacionais não estão a considerar adequadamente o problema que criam com estes casos. A Amazon por seu lado enviou-me encomendas em duplicado quando houve atrasos / extravios aparentes (todos “falsos positivos” diga-se!) e eu expressei o meu desapontamento por não ter chegado antes do prazo. Em todos os casos em que vendedores do marketplace se portaram mal (os produtos chegaram tarde, danificados ou não correspondiam de alguma forma ao anunciado) a Amazon imediatamente entrou em campo no sentido de me proteger e se colocar ao meu lado.

A worten e fnac fazem a mesma coisa, protegendo exemplarmente os seus clientes em compras na loja. Tenho zero de negativo a apontar depois de anos como cliente. Online, misteriosamente, dão aparentemente menos importância às más experiências de compra. É a sedução pelo potencial dos modelos de "marketplace" (no caso da fnac) e pela venda do “long tail” (no caso da worten)… quando a experiência do cliente, retenção e maximização do potencial do mesmo como consumidor, deveria ser mais importante. São lapsos momentâneos de senso em empresas que mostraram ao longo de anos no mercado que possuem os valores certos.

Tags: E-commerce

É o "elefante na sala" que ninguém parece identificar… As empresas de retalho quando fazem vendas “online” procuram transpor do “offline” para a Internet procedimentos que não são de todo adequados. São os procedimentos que conhecem, as “receitas” para o sucesso “offline”, e o primeiro impulso é duplicar o que funciona. Fazem-no de forma quase automática, e às vezes até particularmente bem, tentando transpor o que fazem “offline” para a web. Só não pensam o suficiente sobre o assunto…

As montras online não devem de ser estáticas como no retalho tradicional…

Os computadores são extraordinariamente bons a coleccionar dados, a guardar informação sobre cada acção dos utilizadores, e igualmente bons a comparar padrões (i.e. sequencias de acções) entre utilizadores. São igualmente extraordinários a comparar dados e a fazer contas.

Imagine que um funcionário de uma loja física (i.e. tradicional) se lembra de todos os clientes, conhece cada um deles através do que compraram, todos os produtos lhe interessaram, perguntas que fizeram… Nunca se esquece. Nunca perde o cliente de vista.

Imagine que esse funcionário conhece, com uma certeza matemática absoluta, as probabilidades estatísticas do “top” de acções futuras prováveis para o cliente que tem à sua frente (i.e. pessoas que tiveram este comportamento X% compraram o produto A, Y% compraram o B, Z% o C. Imagine que esse funcionário aprende que acções explicitas (comprar algo) são tão importantes como “virar à direita” para uma dada secção da loja, pegar num dado produto mas não o comprar, e não se esquece de nenhuma acção… nunca.

Imagine o potencial de vendas desse funcionário, de discretamente poder mudar as montras em tempo real antes do cliente olhar para elas. Saber sempre o que sugerir e o que evitar, não por intuição de vendedor, mas por reconhecer padrões e agir em conformidade.

Esse funcionário “excepcional” é o seu servidor de e-commerce. Nunca se distrai, está sempre numa relação “um para um” com cada cliente individual, multiplica-se as vezes que forem necessárias para cada cliente.

Não o tenha amnésico, desligado da realidade de cada cliente, a mostrar as mesmas coisa a todos os visitantes. É literalmente dar álcool ao seu melhor vendedor até ao ponto de ser totalmente inapto para desempenhar a função dele. Venda ideias, produtos ou noticias… é exactamente a mesma coisa.

Uma longa história de 18 anos de evolução…

O primeiro cliente a quem fiz “data mining” (calcular e organizar padrões de acções e extrair estatisticamente a previsível acção seguinte da sequencia) foi a uma grande empresa de retalho multinacional há muitos anos atrás (década e meia seguramente). Entretanto já fizeram e refizeram o site várias vezes, não faço a mínima ideia se passaram ou não do básico (receita para o mau e-commerce).

Na altura em que montei o sistema dessa empresa a minha maior preocupação era o tempo real. O poder computacional era mais limitado do que é hoje, e ao contrário da amazon, eu fazia questão de explorar todos os dados em tempo real, pelo que tinha de fazer opções que iam desde limitar o tamanho de padrões (i.e. sequencias de acções) a exercer um critério “simplificado” na classificação (peso) de cada acção (i.e. sequências de produtos e interacção com o carrinho eram mais importantes que ver o detalhe de um produto ou se o utilizador saltava de uma secção do site para outra).

Durante todos estes anos, fui refinando algoritmos, e tecnologia. Oferecendo os meus serviços e implementação (genérica, independente do site propriamente dito) a várias entidades. Recentemente montei uma pequena demonstração para usar em palestras e conferencias.

movie.finders.guru

Não é o site que interessa. O site propriamente dito não tem nada interessante, vai buscar informação de filmes a bases de dados na internet, e nem sequer o faz de forma particularmente inteligente ou eficiente. Tudo o que ali está foi o resultado de umas poucas horas de trabalho. O que interessa ali é verificar como as nossas acções determinam o que vimos na iteração seguinte com o sistema.

Siga passo por passo a receita:

1 - Entre no sistema (http://movie.finders.guru ). Se nunca o fez antes aparece uma montra com alguns filmes em exibição… ignore os ditos, não os classifique, ignore. Estes filmes representam os conteúdos de uma montra genérica, feita por um sistema que não conhece o visitante.



2 - Procure e classifique o “Shrek” com 5 estrelas, é o filme da sua vida para efeitos da demonstração. E as primeiras coisas que o sistema sabe sobre si (que “pesquisou pelo filme” e lhe “deu cinco estrelas”, são duas acções).



3 - Clique em “You may like” (uma das quatro listas permanentes para a demo; as restantes são “Want to see”, “Not interested” e “Your picks&rdquo E verifique o que mudou na lista… Repita o processo para dois ou três filmes. Escolha mesmo uns de que goste, remova o “Shrek da lista (“Your picks” se quiser). Repare que cada acção, incluindo o “clicar” numa lista, o que ignora, o que faz perante os filmes apresentados, tudo são “acções”, e como tal moldam o que está a ver de seguida.



Engraçado não é? Agora imagine isto por trás de cada site de e-commerce a fazer o trabalho… Eu tenho duas décadas a refinar soluções e não poderes mágicos. Nada do que aqui foi mostrado é “rocket science", até há livrarias open source para fazer os cálculos, e os melhores algoritmos para o efeito há muito que são públicos… o resto é fazer boas escolhas.

Não maltratem as pessoas…

Na web as pessoas devem ser mais livres de seguir impulsos, a iteração deve ser facilitada nesse sentido. Sim faz todo o sentido em muitos casos que tenham cestinhos de compras. FAz zero sentido em tantos outros. É o “iTunes” (compra por impulso “musica a musica” ou “álbum a álbum”, “livro a livro”, etc) versus a gestão de listas “por comprar”. A formula correcta difere de negócio para negócio. Mas há mais opções, como ter listas de produtos comprados e ainda não entregues (por oposição a listas de produtos por comprar), e não antes que falem mais depressa do que pensam: não precisam de ser processados os pagamentos individualmente (como os clientes do iTunes descobriram quando compram mais que um produto, estes podem ser processados de forma agregada).

Para quem faz compras de supermercado online… a gestão de listas de alguns sites são uma coisa demoníaca. E de vez em quando “perdem-se”, desaparecem, produtos são substituídos porque afinal “não havia” em stock e disparates afins. Dentro de uns anos isto serão histórias em que ninguém acredita, mas hoje são reais.

É mais fácil vender com menos poluição visual. Menos produtos, os certos para cada cliente em cada página. Lembram-se da formula Yahoo / Altavista nos portais de pesquisa há uns anos, em comparação com a do Google, é exactamente a mesma coisa. Quando mostram dois produtos que fazem um utilizador questionar “mas qual o melhor” estão provavelmente a dificultar o processo de venda. Se querem apresentar ambos ajudem o utilizador a fazer a escolha e é bom que seja uma escolha “de caras” (i.e. são a mesma coisa, só varia o preço).

O crowdsourcing e uma experiência social de compras é profundamente relevante no processo de escolher. Novamente o que “mostrar” é que é a dificuldade, e a solução deve ser por determinar isso matematicamente utilizador a utilizador, porque precisam de saber escolher a informação certa e relevante em vez de bombardear o utilizador com a dita. É mais relevante a critica (review ou pontuação, ou o simples acto de ter comprado) da pessoa que ele conhece que a de um milhar de estranhos.

Fazer sites de e-commerce é muito mais que escolher tecnologias, que o HTML, CMS e CRM que está por trás. Quem fica por aí proporciona uma experiência universal e medíocre aos seus clientes. Pior que a do senhor da mercearia, que pode não se lembrar de tudo sobre si, mas a menos que tenha alguma doença que lhe afecte a memória, o que se lembrar é útil na iteração consigo, e não se vai esforçar para lhe vender produtos que acabou de comprar ou que lhe disse que detestava ou o tratar como um completo estranho todos os dias.

Tags: E-commerce

O e-mail é importante. É importante porque as empresas dependem cada vez mais dele. É importante porque é através dele que se recuperam passwords de vários serviços. É importante porque as empresas o utilizam para transmitir facturas a clientes. É importante. Nesse ponto provavelmente estamos todos de acordo. Talvez seja então de começar a agir em conformidade com essa dita importância.


Os servidores corporativos devem controlar todo o tráfego do domínio

SPF, DKIM, existem há anos. Infelizmente mal configurados em muitos casos. A ideia é simples; todo o tráfego de e-mail de um dado domínio deve ter origem em servidores previamente identificados.

Muitas empresas, literalmente a medo, configuraram PPF/DKIM mas sem as flags que instruem os restantes servidores da Internet para recusarem qualquer mensagem que tenha origem em servidores errados.

O SPF e DKIM são francamente diferentes os servidores que “recebem” e-mail devem implementar ambas as tecnologias e recusar mail que venha dos servidores errados. Os servidores que enviam e-mail precisam de implementar (correctamente) pelo menos uma delas.


O e-mail deve ser sempre assinado digitalmente no cliente de e-mail

Assinar todos o e-mail digitalmente (recorrendo ao PGP ou a certificados S/MIME) é importante porque remove da equação a duvida sobre quem é o real remetente da mensagem. A esmagadora maioria dos ataques de phishing (e spear-phishing) baseiam-se no pressuposto do e-mail não ser devidamente autenticado na origem.

É importante perceber que a origem é o “cliente de e-mail do remetente” e não o servidor através do qual ele foi enviado. Um computador (de um dos funcionários) que tenha sido hackado provavelmente forneceu ao hacker as passwords do utilizador para fazer relay no servidor, passwords com as quais (na maioria dos cenários) ele (hacker) passa a poder passar por qualquer um dos funcionários da empresa a enviar e-mail pelo servidor corporativo. O certificado de cliente limita esse risco à falsificação do e-mail funcionário em causa (por oposição a todo o universo da empresa).

Ao não assinar digitalmente todos os e-mails estamos a expor clientes e colegas de trabalho a problemas de segurança que não deviam existir de todo. Esta classe de problemas de segurança depende totalmente da ignorância e margem de manobra proporcionada pelos responsáveis técnicos pelo e-mail das empresas. A ignorância cura-se, é uma coisa maravilhosa o que algumas horas a estudar um problema fazem no sentido de o resolver.

É francamente deprimente em 2015 ver bancos (todos?) e operadores de telecomunicações (MEO, Vodafone, etc) a comunicarem com clientes com mensagens não assinadas. E sim, há muitas empresa que há anos que assinam digitalmente as mensagens, isto não é propriamente tecnologia “nova”, tem mais de duas décadas. Lembro-me de há uma década atrás ver mensagens assinadas das “Estradas de Portugal”, da ZON (actual NOS, resta saber se passou bons hábitos à OPTIMUS ou se herdou os maus hábitos da empresa da SONAE, não fui verificar). Ver os “disclaimers” nas mensagens, do tipo “nunca metemos links nas mensagens”, e outros tesourinhos deprimentes, eram perfeitamente evitáveis com uma manhã de formação.

Não há desculpa nenhuma. É só falta de competência . O suporte a PGP e S/MIME existe para todos os sistemas operativos e praticamente todos os clientes de e-mail há décadas. As mensagens assinadas recebem atributos visuais (como os certificados SSL na web). Cada e-mail enviado entre colegas coloca a organização em risco (o Google e Apple foram hackados em ataques de spear-phishing), cada e-mail que se envia para fora da organização sem ser assinado coloca em risco parceiros, clientes e fornecedores.

As empresas precisam não só de implementar boas práticas mas também de exigir a parceiros e fornecedores que o façam. E se alguma informação deve ser passada aos clientes sobre o assunto não é de “não seguir links” ou que “nunca pedimos informação por e-mail”, mas sim de que devem habituar-se a verificar a proveniência das mensagens através dos simbolos que autenticam o remetente, da mesma forma que na web procuram pelos símbolos de SSL.


O e-mail deve ser encriptado nas comunicações internas e com fornecedores/parceiros.

Agora que o outsourcing dos servidores de e-mail na cloud (PT, gmail, Microsoft, etc) parece estar na moda, é importante perceber que independentemente de vulnerabilidades dos clientes, existe a possibilidade de alguém estar dos sistema de que a empresa depende para guardar mail terem fragilidades. Se o mail que lá é depositado estiver encriptado entre quem o enviou e quem o recebe, fica mitigado o problema do local onde o e-mail “aterra” e onde é “guardado”. Tanto o PGP como o S/MIME permitem encriptar os conteúdos do e-mail. Por defeito devem estar configurados para encriptar sempre que possível (i.e. quando ocorreu uma troca de certificados entre duas pessoas) todo o e-mail.

Não é difícil com qualquer uma das tecnologias assegurar que todas as pessoas de uma empresa (e interlocutores externos) trocaram certificados. No caso do S/MIME até é automático quando se recebe a primeira mensagem assinada, no caso do PGP existem repositórios de chaves públicas universalmente acessíveis por qualquer pessoa.

As mensagens encriptadas, à semelhança das “assinadas”, recebem nos clientes de e-mail referências visuais.


Os servidores de e-mail precisam de ser inteligentes e monitorizados…

Súbitas mudanças de localização dos clientes, novos devices, mensagens por assinar/encriptar. Tudo isso devem ser sinais de alarme e devem fazer soar os ditos juntos do utilizador e de quem gere o e-mail. O Gmail (por exemplo) implementa as duas primeiras particularmente bem.


A autenticação por dois (ou mais) factores…

Os utilizadores não podem fornecer informação que desconhecem a terceiros. Usar sempre autenticação por dois factores (de preferência sendo um deles biométrico, ou baseada em hardware diferente do que está a pedir a autenticação, ou uma combinação de ambos os pontos) é absolutamente obrigatório.

Hoje a vida está facilitada pela elevada percentagem telemóveis por utilizador rondar os 100%. Muitos desses telemóveis com leitores de impressão digital, todos eles capazes de correr uma aplicação da empresa e/ou de receber mensagens com passwords não reutilizáveis.

A utilização de certificados digitais, que complementam passwords, para efeitos de autenticação é absolutamente preciosa e simples de implementar dentro de cada empresa. O mito de que é complexo fazer o deployment (usando um instalador ou uma aplicação corporativa) é inqualificável através de palavras simpáticas.


Full IT

A Full IT há duas décadas que ajuda empresas e tornar o e-mail mais seguro.

- toda a consultoria,
- formação de quadros na administração de sistemas,
- desenho dos processos de deployment (desde instaladores a aplicações móveis corporativas),
- sistemas de backup de todo o mail que passa por servidores,
- fornece igualmente a opção de servidores como uma solução "chave na mão" a empresas de todo o mundo.

Tags: Mail, Full IT

Um serviço destruído e desleixado

É um dos serviços mais utilizados na Internet. Um dos mais mal tratados (usado sem encriptação de dados em trânsito, sem assinaturas digitais, sem os cuidados com privacidade que lhe são devidos, etc) muito por culpa dos ISP (Internet Service Provider) e empresas de hosting que em meados dos anos 90 o usaram como algo “gratuito”, “oferecido na compra de outros serviços”, que representava algum valor acrescentado às propostas mas que tinha custos irrisórios.

O resultado foi catastrófico e o e-mail passou rapidamente a um serviço com um notório défice de atenção da parte de administradores de sistemas. Tornou-se uma ameaça (Phishing), foi abusado (spam), não reunia o valor acrescentado para compensar investimentos na evolução das tecnologias que o sustentam e evangelização de utilizadores relativamente à forma correcta de o utilizar. Plataformas como o “Hotmail”, inseguras, sem qualquer suporte a criptografia (assinaturas digitais e encriptação de dados) e cheias de spam/phishing, literalmente destruíram a reputação do serviço como sendo seguro e privado.

Durante 20 anos (do inicio dos anos 90 até meados da primeira década do novo século tudo se degradou. Mesmo sendo o e-mail usado para missões criticas, para recuperar passwords, para transportar informação confidencial e de extrema importância...

Google foi o primeiro sinal de mudança

Com o “gmail” o Google começou a apontar caminhos diferentes. Não quando criou “mais um serviço gratuito de mail, que tinha como único atributo oferecer 1Gb de espaço”, em que parecia condenar-se a ser “mais do mesmo”, mas com um “twist” diferente na oferta de espaço mais generosa que a concorrência… mas sim quando começou a prestar serviços pagos para empresas e grupos. Estabeleceu preços (i.e. 50 euro por ano por cada conta, com direito a mais espaço “por conta” do que um ser humano “normal” é capaz de gastar) e padrões de qualidade. Durante os últimos 5 anos literalmente fui “empurrando” empresas (minhas clientes na Full IT) para o Google, de que a Full IT é revendedora.

A AnubisNetworks vende serviços relacionados com segurança e filtragem de “spam/phishing”. Mostraram que é possível e relevante para as empresas que pessoas com o ”know how” necessário tratem da segurança do e-mail. São excelentes, os melhores na sua actividade, e a minha recomendação para “limpar” e “proteger” empresas dos riscos associados ao e-mail. Estes riscos são absolutamente óbvios quando as maiores empresas do planeta tiveram graves problemas de segurança relacionados com “(spear)phishing”.

Nasceu o “FullMailServer” da “Full IT”!

Desgostoso com a abordagem de misturar o e-mail com calendários, gestores de contactos e (no caso do google) uma panóplia infindável de aplicações para fazer “tudo e um par de botas”, o serviço da Full IT é só de mail: mail que funcione bem, seja privado e seguro. Não gosto do preço do gmail (50 euro por ano por utilizador é uma barbaridade de caro na minha opinião). Não gosto da ausência de suporte. Não gosto de limitações do serviço na criação de “forwarders” entre contas, de ausência de aliases não associados a qualquer conta em particular. Falta ao Google, muito pela natureza e massificação dos serviços que presta, a sensibilidade para dar apoio aos seus clientes em casos em que o e-mail falha (ou é recusado, ou não é transmitido), para os ajudar a criar certificados digitais para usarem nas suas contas e assinarem e encriptarem correio. Não me agrada que o “POP” e o “IMAP” sejam vistos como “opcionais”, algo que tem de ser ligado, que por defeito o webmail seja a oferta de base do serviço. Não me interpretem mal, o serviço é “bom” e “vale o muito dinheiro que custa”, e para vários casos será uma solução adequada.

Eu tenho uma alternativa radicalmente diferente para oferecer:



- Servidores de mail em que as empresas podem criar as contas que entenderem, os “aliases” (contas virtuais, endereços que correspondem a uma ou mais pessoas dentro da organização) para essas contas de que necessitarem, fazer os “forwards” e notificações necessários à sua actividade.

- O webmail é visto como uma “alternativa de recurso” (onde configurar “mensagens de ausência”, “mudar passwords” e eventualmente, na ausência de um cliente de email em computador ou telemóvel, se possa enviar/receber esporadicamente alguma mensagem. O que não significa que não tenha um interface cuidado, bastante mais agradável e funcional que o gmail, com drag&drop e muito semelhante ao que de melhor se faz em clientes de e-mail nativos no Mac/Windows/Linux…

- A primazia é para a utilização de IMAP (protegido por SSL) com suporte a IDLE (para o tornar mais rápido e adequado para a utilização em plataformas móveis) para receber e-mail e SMTP (protegido por SSL) para enviar correio. Funciona em todos os principais clientes de e-mail de Mac/windows/Linux (Outlook, Thunderbird, Apple Mail, etc) e de telemóveis (Android/iPhone/iPad). O envio de e-mail através de sistemas proprietários (Blackberry por exemplo) não é suportado.

- Não são suportados protocolos inseguros (i.e. sem SSL) e os utilizadores são acompanhados na criação de certificados digitais para assinarem e encriptarem todo o e-mail. Ao contrário do que se passa com o gmail, no nosso serviço as mensagens devem ser privadas, não se faz perfilagem dos utilizadores para lhes mostrar publicidade. Não é suportado POP por ser um protocolo pouco adequado para gerir automatismos de servidores e permitir aos utilizadores lidar com filtros de spam sem recorrer a interfaces “web”.

- O serviço é monitorizado 24h por dia (para detectar roubos de passwords, acessos indevidos a contas, problemas com recepção e envio de mensagens). Tem suporte profissional, de uma equipa que lida com filtros de Spam (treináveis pelos utilizadores) com capacidade de filtragem de 99% do spam e phishing.



- Quanto a preços quero afastar-me precisamente do que tanto me desagrada no modelo do Google para o gmail: é cobrado apenas o espaço usado pela empresa, e não quantas contas ou e-mails administrativos a empresa necessita de criar. Se a empresa fizer cópias para folders locais do e-mail, em vez de o deixar nos servidores, pode ter milhares de colaboradores no pacote “mais acessível” (i.e. 32 euros/mês por 50gb). Para a maioria das empresas que usar racionalmente os recursos em termos de espaço o serviço custará 384 euros por ano na modalidade mais barata. É equivalente a 7 contas do gmail! Para as que necessitarem de mais espaço, ou optem por guardar o mail nos servidores (onde há backups diários e um nível de segurança elevado) temos pacotes até 1000gb (e podemos vender tantos desses quanto a empresa necessitar).

O serviço começa dia no 29 de Maio de 2013 e é dirigido fundamentalmente a empresas e grupos de indivíduos que queiram e-mail realmente seguro, privado e isento de spam/phishing. Pode ser subscrito em http://www.fullmailserver.com

PS: repararam que não mencionei os “serviços de cloud” da Microsoft? Ao fim de duas décadas a ver vírus, malware, vulnerabilidades idiotas, patches infindáveis… francamente perdi a pachorra. A Microsoft é irrelevante, teve os seus dias, usar software deles por saudosismo ou desconhecimento é de um masoquismo sem paralelo. No século XXI não contam...

Tags: Full IT, MrNet, Mail

Qualquer pessoa pode falsificar o identificador de uma chamada ou de mensagens escritas, para qualquer telefone… chato e perigoso porque pode ser utilizado por qualquer pessoa mesmo sem grandes conhecimentos de informática.

Pode parecer “magia negra” mas na realidade é trivial. É muito mais simples do que parece, e muito mais perigoso do que as pessoas imaginam. Para todos os efeitos é exactamente o mesmo problema dos e-mails falsificados e pode levar as pessoas a situações profundamente desagradáveis. Não me vou alongar sobre os riscos potenciais de divulgar isto, dado ser ainda mais perigoso as pessoas não terem a noção da realidade.

Para os mais “habilidosos” (que percebem alguma coisa de tecnologia e que gostam de não gastar dinheiro) a wikipedia é um bom ponto de partida: http://en.wikipedia.org/wiki/Caller_ID_spoofing explicando que o http://en.wikipedia.org/wiki/Asterisk_(PBX) e o http://en.wikipedia.org/wiki/FreeSWITCH são vossos amigos...

Para o comum dos mortais, que não percebe nada de tecnologia, pagando uns euros, podem aceder ao mesmo tipo de funcionalidade:

http://www.spooftel.com/
http://www.spoofcard.com/

E vão precisar de um serviço com bons preços para os EUA, dado que estas coisas não dão normalmente numero nacionais para se usarem, pelo que eu sugiro que olhem para o skype: http://www.skype.com/intl/pt/prices/



Moral da história: o serviço de callerID não é minimamente fiável, não se pode de depender dele para identificar a origem de uma chamada ou mensagem escrita, e as pessoas depositam uma confiança excessiva e injustificada na informação disponibilizada pelos operadores.

Os operadores (móveis e fixos) podem minorar o problema, bem como os fabricantes de telemóveis, mas na data em que escrevo este texto (Agosto de 2012) a realidade é que ninguém tomou qualquer medida no sentido de lidar com o problema. O “CallerID spoofing” funciona em todos os operadores nacionais (e internacionais).

Tags: CallerID, SMS, Telefones

Este caso é invulgar. Porque não é todos os dias que se recebe um phishing com SMTP autenticado e a conta de e-mail de quem o enviou… mas aqui vai a história toda:

Recebi uma mensagem aparentemente vinda do BPI:



Acontece que o BPI usa SPF com “-all” (hardfail), pelo que não me chegaria de todo à caixa de correio:



Mesmo no iPad deu para perceber que a mensagem não vinha do BPI… E claro que a nota de transferência era na realidade um executável (i.e. troiano) e não um PDF...



E até aqui estava tudo “normal”. Eu recebo estas trampas todos os dias. A Internet é perigosa e isso não é novidade nenhuma para quem tenha um olho aberto.

A minha surpresa foi quando fui ver os headers do mail:



O IP é americano (69.162.99.163) mas o envio de e-mail foi autenticado no smtp da “artelecom”. Isto pode significar duas coisas:

- O José Manuel é um hacker particularmente “desastrado” e está a fazer phishing usando a sua conta para fazer relay.

- Alguém está a usar a conta do José Manuel para fazer relay do mail.

O IP ser americano não me diz nada (qualquer VPN, ou routing por um sistema hackado, faz esse efeito). Eu tentei entrar em contacto com o jose.manuel@unpac.pt (para lhe dizer que “estavam a usar a conta dele”, ou que era um “hacker de meia tigela e se quer fazer phishing é má ideia usar um smtp autenticado”, dependendo do rumo da conversa) mas ele não respondeu ao meu e-mail.

O dominio unpac.pt responde na web com:



Parece estar “abandonado”, “hackado” ou a ser “remodelado”, não tenho como descobrir qual... O domínio está registado em nome de:



Estes ataques são perigosos e eficazes. Há vitimas. São crimes. Vai haver pessoas infectadas por este troiano e vão ser lesadas. Ficam os dados para o Ministério Publico / Policia Judiciária poderem investigar quando aparecerem vitimas a queixar-se… Não faço ideia se o José Manuel é o autor do Phishing ou uma vitima do verdadeiro autor. Mas inclino-me para a primeira. E se for o caso vai correr mal, assim que aparecerem queixas no banco/PJ e encontrarem esta página.

Não consegui deixar de achar que isto era o equivalente informático ao “Small time crooks” do Woody Allen… Ainda por cima a mensagem veio parar a mim… Não fosse tão perigoso para tanta gente e até teria piada.

------------ 10-Jun-2012 15:00 ------------









That is all folks!

Tags: Mail, Phishing

Já que pretendem sempre “fazer melhor” eu aproveito para deixar umas sugestões. O que fazem é “pouco” e “mau” no que respeita à vossa comunicação por e-mail com clientes, que neste momento roça o absurdo devido ao receio (sem qualquer lógica) de colocarem links em mensagens, pelo que podem melhorar muito.

Headers da mensagem de mail que recebi do MilleniumBCP:



O SPF está bem configurado (-all = hardfail), o que significa que em servidores de e-mail bem configurados as mensagens falsificadas devem ser devidamente descartadas (em vez de entregues). Isto é bom e ajuda a combater o Phishing. Sugiro o suporte a DKIM (com a configuração equivalente: “Discard” para as mensagens falsas). Ambos os métodos podem ser utilizados em conjunto (e são usados cumulativamente pelos filtros mais populares em servidores de e-mail como o Spamassassin).

A mensagem não é assinada digitalmente (com s/mime). Isso é mau, é péssimo, porque:

1 - a mensagem pode ser adulterada em transito ou no destino. Podem ser acrescentados links, alterados os numero de telefone, removidos ou acrescentados parágrafos, ou alterada a mensagem na totalidade. Numa mensagem alterada o utilizador é informado de que algo está errado se esta estiver assinada digitalmente, caso contrário não existe nenhum dado que permite detectar a sua modificação.

2 - é a habituação dos utilizadores aos símbolos de segurança associados à verificação de certificados digitais que lhes permite em mensagens falsificadas perceber que algo está errado. É exactamente a mesma coisa que se passa quando se visita um site em SSL (em que os símbolos de segurança dos browsers ajudam o utilizador a perceber se algo está errado).

Em vez da “lenga lenga” apresentada nas mensagens sobre “não enviamos links” sugiro que gastem esse espaço a explicar aos utilizadores como verificar a assinatura digital do banco e que a ausência da mesma significa que a mensagem é falsa. Todos os programas de e-mail, com algo que se pareça com uma quota de mercado, suportam a verificação de assinaturas digitais.

A percepção que alguém no BCP tem de que apresentar links para o site é “mais perigoso” que apresentar números de telefone é errada. Se há coisa que a história do hacking mostra é que o domínio de telefones e técnicas de engenharia social é usado com sucesso mais vezes que qualquer site “falsificado” ou “malware” para que o link de uma mensagem possa apontar. Na minha opinião o risco é na realidade maior se temos um utilizador a ligar para um numero de telefone convencido de que é do banco. O mesmo se passa com potenciais enganos a digitar o URL. A solução é utilizarem criptografia e informarem utilizadores sobre como verificar certificados digitais, no e-mail ou na world wide web.

Recomendo vivamente a leitura de alguns livros sobre a história do hacking e que de seguida contratem hackers para vos ajudarem a avaliar riscos. Não estarão a fazer nada de diferente das maiores companhias do planeta. Não é um conceito “vanguardista”, e é usado por estados e empresas de todo o mundo.

Francamente o que estão a fazer até é “giro” (de inocente e ingénuo) mas absolutamente ineficaz e perigoso. Tem a sua graça, mas eu como administrador de e-mail de várias empresas (vossas clientes) poderia alterar a mensagem livremente… Pensem nisso. O mesmo se passa com os restantes administradores de sistemas de mail do planeta. Aprecio a vossa fé na humanidade e honestidade desses profissionais, mas seriam melhor servidos por assinar digitalmente as mensagens.

Permanecem vulneráveis a mensagens vindas de outros domínios parecidos com o vosso se não usarem certificados digitais, e domínios parecidos não faltam:




A solução para o e-mail é a mesma que para a web: precisam de informar os vossos clientes de que só nos certificados digitais pode ser verificada a identidade do banco. Uma vez estabelecida a boa prática de assinar as mensagens já podem enviar links à vontade e comunicar com os clientes com o mesmo à vontade que fazem no vosso site. Neste momento é absurdo o jogo descritivo que enviam às pessoas (retirado da vossa mensagem: “Agradecemos a sua colaboração individual, preenchendo um questionário de satisfação, bastando para tal efetuar o login e selecionar em cima, à esquerda do ecrã, “Mensagens Novas” e, em seguida, entrar na mensagem “Inquérito à qualidade”.”)

Eu saúdo (e aprecio) o esforço que vai para os vossos apelos em cada mensagem (neste caso era seguramente mais de 50% do texto!) para não seguirem links e afins. Mas é energia mal gasta, com más recomendações, seguindo práticas que não são de todo uma boa abordagem e limitam a vossa capacidade de comunicar, sem resolver o problema.

Tags: SPF

Contexto histórico

A informática é uma jovem industria milionária. Profundamente desequilibrada entre a protecção dos consumidores e de fabricantes. Este texto é uma necessária introdução à história da informática e ao mundo em que vivemos. Leiam, vejam os filmes (duas horas) e documentários (três horas), liguem o cérebro e respirem fundo… seguem-se mais dois textos na serie “Informática 101” com a minha abordagem aos problemas e respectivas soluções.

É uma industria que está em grande parte por regulamentar, é durante os primeiros anos a “lei da selva” como todas as novas industrias, em que os fabricantes de software (i.e. programas informáticos) declinam toda a responsabilidade por qualquer erro funcional ou de segurança. Não há qualquer tipo de garantia para o utilizador, nem que o programa faz sequer que é “descrito na embalagem”, corresponde às características anunciadas ou é de facto seguro/estável.

Por ser uma industria “milionária” tem a capacidade de comprar e influenciar políticos, pelo que “copiar ilegalmente software” é na maior parte dos países um crime punível com pena de prisão. O objectivo da industria (normal e expectável) é fazer tanto dinheiro quanto possível.

Quando uma industria (pensem por exemplo na industria automóvel ou farmacêutica) é regulamentada e forçada a “garantir” níveis de desempenho e segurança isso implica informar de forma mais rigorosa o consumidor, responder judicialmente por erros, mentiras e omissões. Custa dinheiro. Na informática estamos longe de isso acontecer. É claro que se a indústria da informática pode escapar ao escrutínio de testes de qualidade e segurança, obrigatórios e a sério, ao contrário das industrias farmacêutica ou automóvel que para colocarem produtos no mercado precisam de os testar, e passar pelo escrutínio de vários testes e entidades reguladoras… obviamente que declina essa responsabilidade e faz antes “mais dinheiro”... ficam os testes para “os clientes”, e até podem vender as soluções para os problemas encontrados mais tarde.

Por ser assim é que temos versões “beta” (i.e. que é suposto significar que está por ser testar antes de ser lançada a versão “final&rdquo, com mais ou menos erros e defeitos, vendidas no mercado de forma impune. A Apple até se dá ao luxo de indicar a real “maturidade” e “falta de testes” de alguns produtos e tecnologias: o “Siri” do “iPhone 4S” (que é o principal argumento de venda e estrela dos anúncios!) que estará em “beta” provavelmente até o telefone ser substituído pela versão seguinte (iPhone 5?)… Na Apple até já se transformou em tradição; “iWork.com” (“beta” até ser descontinuado!), “Face Time” para o Mac, etc. Os fabricantes fazem isto porque podem. Se a industria farmacêutica tivesse a mesma liberdade também teríamos muitos (mais) medicamente “em beta”, os carros matariam muito mais do que matam, etc.

Os fabricantes de hardware não tiveram a mesma sorte… e há garantias a prestar aos consumidores. Mas mas no software “vale tudo”. É a lei do ouro (quem tem o ouro faz as leis). Cabe às empresas e particulares depois de entenderem o contexto histórico agirem em função disso. É por isso necessário agir de forma inteligente e exercer cautela.

Os melhores vilões de sempre, e o fascínio que provocam...

Não é linear para a maior parte das pessoas perceber todas as perversões do mundo em que vivem, em particular no que respeita à informática. A IBM, Microsoft, Apple e Google, são empresas formidáveis. Empregam pessoas absolutamente geniais e verdadeiros fora de série. Não são é propriamente “anjinhos”, nem todos os quadros são “programadores” e há brilhantes “evangelistas”, comerciais e estrategas com uma agenda óbvia (e legitima!) que todos entendem: maximizar lucros! Se o mercado não é regulamentado, se podem proteger os seus interesses e conseguir legislação que lhes é favorável, e podem assim obter mais lucros, tanto melhor, e é isso que fazem. É aproveitar ao máximo o momento. E se aproveitam… Usam a sua força, jogam o seu jogo, e ainda conseguem escrever as regras do mesmo a seu favor. Excelente contexto histórico para construir as maiores fortunas do planeta. Não os levem a mal, a industria automóvel, de exploração de combustíveis fosseis e farmacêuticas fizeram o mesmo.

Os vencedores escrevem a história, e quando falamos em história recente, tudo acontece a uma velocidade que torna mais complicado criar um distanciamento que permita observar os factos. Estas mega-empresas são no contexto deste texto os “maus da fita”…

Serem os “maus da fita”, não impede o mundo de os ver com um fascínio quase hipnótico. Aqui os lideres de cada “gang” são extraordinários. Vencedores natos. Lutam entre si furiosamente. Há um seguimento quase religioso pelas várias empresas. O publico que exploram (e se exploram!) não só compra o software como ainda “veste a camisola”. Aplaude cada lançamento, vibra com os resultados das vendas, defende publicamente com alma e coração a sua “religião informática”.


A Microsoft custa milhões a estados, empresas e particulares, vendendo os mesmos produtos reciclados vezes sem conta.

Durante anos colocou a sua estratégia no terreno com “requintes de malvadez” absolutamente fantásticos, dignos dos piores vilões de qualquer série. Incompatibilidade entre formatos proprietários, tecnologias e protocolos que tornavam impraticável utilizar produtos concorrentes, etc. Minou (e mina) universidades e currículos escolares, com as suas tecnologias, em paralelo distribui certificados de “Microsoft certified Engineer”. Não fosse a Internet a minorar estragos (revelando problemas graves de segurança e alternativas) e hoje o estaríamos todos a falar “Microsoftês” e perfeitamente assimilados.

Os produtos da Microsoft serem em tantos casos medíocres, inseguros, pouco fiáveis e perfeitamente substituíveis com vantagens óbvias por alternativas (livres e pagas) não impediu o estrondoso sucesso da empresa. Muito desse sucesso alicerçado numa fantástica máquina comercial, a suprema inteligência e sentido estratégico com que lidaram com a IBM e Apple (no primeiro reinado do rei Steve Jobs e nos anos em que esteve ausente).

O melhor para perceberem a história é verem o filme “Pirates of Silicon Valley” (link para filme completo no Youtube!). Ou se preferirem documentários vejam o excelente “Triumph of the nerds”:







O Google que é o actual “menino bonito da industria” faz-se passar por campeão do bem na luta contra patentes e software livre e aberto, no entanto é um negócio construído com base em patentes, o motor de pesquisa é um segredo bem guardado (e longe de ser software aberto ou livre), idem para o código do gmail, adwords, adsense, etc. A forma como descaradamente copia projectos concorrentes, e usa o musculo proporcionado pelo poder do seu motor de pesquisa para os “promover” e “integrar” (aquela “barrinha de topo” que integra tudo) é tudo menos inocente ou resultado de ingenuidade. A forma como literalmente se apropriou do Java (RIP!) e Linux para fazer o Android é absolutamente fascinante.

“Os sete magnificos” - Precisamos de heróis tão bons como os vilões...

Em 1960 o filme “Os sete magnificos” (baseado no fabuloso “Sete samurais&rdquo mostrou ao mundo a história de uma aldeia aterrorizada por bandidos, que contratou sete pistoleiros para lutar por eles. Estes sete “heróis” são na realidade anti-heróis, com diferentes origens e histórias, que o destino e circunstâncias uniu para salvar a aldeia.

Os “magníficos” no “mundo real” são programadores e administradores de sistemas que nos ajudam e lidar com os vários “gangs” de “mauzões” já apresentados. É possível conviver com a informática de forma inteligente, beneficiando do que de melhor existe, aplicando racionalidade e bom senso. Ao contrário dos filmes, aqui os vilões são também fornecedores de excelentes tecnologias, que podem e devem ser usadas. Cada empresa precisa dos seus “heróis magníficos”, que defendam os seus interesses pelo menos tão bem como os nossos “simpáticos vilões” defendem os deles, e é aqui que “a porca torce o rabo”…

Há infelizmente muito poucas pessoas inteligentes, com conhecimento de informática, imparcialidade e racionalidade, para ajudarem estados, empresas e particulares. Não chegam para todos as que existem. Sorte de quem tem a lucidez de os contratar. Porque é uma corrida contra o tempo. A maior parte dos técnicos capazes são recrutados pelas empresas de informática. Quanto mais não seja para jogarem na equipas deles, de acordo com as respectivas agendas. Mas há excepções. E encontrarem essas excepções é uma revelação, e um tremendo negócio, para quem o faz.

Tal como no filme “Os sete magníficos” os pistoleiros que não tenham sido recrutados pelos “gangs” são a melhor abordagem disponível para lidar com o mundo em que vivemos. E até os conhecem ou ouviram falar deles! São os “hackers”, os não alinhados, os anti-heróis. Os textos seguintes (da série “Informática 101&rdquo não são o culto destes personagens (com que eu me identifico) mas sim a descrição do que podem fazer por si… ou se preferirem a minha visão pessoal do que deve ser feito por si, pela sua empresa, pelo país em que vive.

Segunda parte: A armadilha montada para marcar território

Tags: Apple, Microsoft, IBM, Google, História

Antes de ler este texto (segundo da série “Informática 101&rdquo deve estar familiarizado com a história dos sistemas operativos (parte 1). O texto que se segue é sobre uma armadilha montada pelos fornecedores de sistemas operativos, embebendo nas suas distribuições aplicações que não deviam estar lá, e que representam problemas de segurança assim que deixam de ser actualizadas. Remover estas aplicações representa um problema e actualizar as mesmas é muitas vezes impossível. Nada de bom para quem usa Windows e Mac…

Componentes dos sistemas operativos

Quando se fala em Windows, Mac OS X, Linux, *BSD, iOS, Android, Symbian e afins, estamos a falar de “sistemas operativos”. Antes de mais nada é preciso perceber o que são e quais os principais componentes.

O componente mais importante de um sistema operativo é o kernel. O kernel é para todos os efeitos o “segundo” programa que é executado quando arranca o computador (primeiro é a BIOS/EFI), e é responsável por (entre outras coisas, como disponibilizar acesso ao hardware; memória, discos, pens usb, video, etc) gerir todos os restantes programas que forem executados, respectivas prioridades e memória que podem utilizar.

A acompanhar o “kernel” são distribuídos com os sistemas operativos uma série de programas auxiliares a que se chama normalmente “userland” (ou “user space&rdquo que são concebidos para “controlar” e “aceder” a funcionalidade disponibilizada pelo “kernel”, bem como permitir ao utilizador lançar/eliminar outros programas e gerir ficheiros em disco.

Em sistemas operativos com interfaces gráficos estes são normalmente carregados para memória e executados durante o processo de arranque e consistem normalmente em programas da “userland”. Na prática são a versão “gráfica” do velhinho “dir/ls/makedir/etc”, em que o utilizador com o mouse (ou com toques no caso dos interface de “touch) navega entre directorias, e lista ficheiros de dados, ou executa programas. Pouco mudou ao longo dos últimos 40 anos relativamente à forma como estas estruturas se relacionam.

Infelizmente os fabricantes de sistemas operativos tornaram-se progressivamente mais gananciosos, porque podiam, porque eram eles que decidiam o que era distribuído “por defeito” em cada computador… e começaram a misturar com a “userland” uma série de aplicações que deveriam ser distribuídas “à parte” (fossem criadas pela mesmo empresa ou por empresas diferentes). Editores de texto, bases de dados, folhas de calculo, programas de multimédia, jogos, programas de mail, browsers e tudo resto (e mais um par de botas)…

“all the junk and bloat on top”

A ideia é simples: se uma empresa que distribui o sistema operativo for incluindo “coisas” em cima do sistema de base, os utilizadores tendem a usar “essas coisas”, por oposição a tecnologias de terceiros. E estaria tudo bem se o software fosse como o vinho do Porto e melhorasse com os anos. Não melhor, pelo contrário tende a ficar “avinagrado”muito depressa. Muitos dos utilizadores não sabem sequer como alterar o programa por defeito para o “e-mail”, ou “navegar na Internet”.

Quando a Microsoft que estava “atrasada para a festa” que era a Internet abriu os olhos, rapidamente percebeu a importância estratégica do espaço ocupado por outras empresas (como a Netscape que disponibilizava um programa de e-mail e browser), e para “ganhar o espaço” nessa “nova moda” que era a world wide web e o e-mail recorreu ao truque de criar o seu próprio browser (IE) e cliente de e-mail (Outlook) e integrar os mesmos no sistema operativo. A ideia foi desde o inicio usar a popularidade do Windows para ganhar notoriedade e posição (ocupar o espaço) nesse estranho mundo online. A Apple seguiu os mesmos passos distribuindo o Internet Explorer como o “browser” por defeito nos Mac’s (e mais tarde criando o Safari e Apple Mail).

Quando um utilizador instala browsers (Chrome, Firefox, Opera e afins) ou programas de e-mail (Mozilla Thunderbird) alternativos (e melhores!) obtém o mesmo tipo de funcionalidade, em arquivos que pode instalar e desinstalar na totalidade. Acontece que os fabricantes de sistemas operativos tendem a esquecer-se de permitir ao utilizador remover com o mesmo tipo de facilidade os componentes que distribuíram… tendem a tornar os mesmos “embebidos” no sistema operativo, dificultando ou impossibilitando a sua remoção.

O espaço em disco é um problema menor, acontece que o software não envelhece com graciosidade, e estes programas tendem a ficar desactualizados, em particular quando o fabricante do sistema operativo resolve que uma dada versão deixa de ser suportada. Por exemplo utilizadores com o Windows 95/98/ME/2000/XP (ou com o Mac OS X em versões mais antigas - é a mesma coisa), tendem a ter estas peças de museu instaladas, cheias de bugs, problemas graves de segurança, que são permanentemente explorados por malware/vírus.

No mundo do Windows o problema é ainda agravado pelos fabricantes de hardware, que junto com o windows tendem a instalar “demos” e “programas patrocinados”, “programas que ao expirar procuram levar o utilizador a comprar algo”, etc, na esmagadora maioria dos casos pura palha electrónica, que alguém lhes pagou para meter no computador. Esses programas todos representam espaço em disco desperdiçado, provavelmente CPU e memória (dado que alguns “arrancam por defeito” com o Windows, e em alguns casos problemas de segurança. A Microsoft que sempre observou passivamente o fenómeno, agora inclusive presta o serviço (se lhes pagarem) de “remover a palha dos outros” do seu computador… só é pena que não remova a sua própria “tralha” (como o IE, Outlook, Media player e afins) responsável por tantos problemas graves de segurança.

A Apple tende a ser parecida com a Microsoft. Segue a mesma lógica de ocupação de “espaços estratégicos”. A diferença é apenas na qualidade do lixo “extra” que vem com o sistema operativo (o lixo da Apple tende a ser de melhor qualidade o da Microsoft). Em ambos os casos os sistemas são distribuídos misturados com várias aplicações que claramente são “marcações de território”.

Simplicidade, funcionalidade e segurança andam de mão dada…

Quanto mais simples for o sistema operativo mais simples é de o tornar seguro. Deve ser adequado à função particular de um computador (seja pessoal ou profissional). Os problemas mencionados do Windows e Mac OS X transformam ambos os sistemas “particularmente inadequados” para a maior parte das funções. É um paradoxo cheio de piada porque é precisamente o que a maior parte dos administradores de sistemas tem no seu parque informático.

A Microsoft vende o windows em “pacotes” especializados faz isso de forma cumulativa: as versões “home” levam com a tralha destinada aos utilizadores domésticos, à qual acresce mais tralha nas versões “supostamente profissionais”, a que depois acresce mais tralha em versões “premium”. Fantástico. Depois propõem a actualização em cadeia de tudo isto em patches de segurança cumulativos de uma séria de coisas perfeitamente inúteis que estão instaladas por defeito.

É possível no Windows e OS X não instalar vários componentes (ou desinstalar), mas exige um profundo conhecimento dos sistemas, e a maior parte dos “informáticos” não faz a mínima ideia de como isso se faz, nem sequer percebem a importância de os sistemas serem tão simples quanto possível. Foi criada uma geração de técnicos que sabe fazer “reboots e carregar em botões” sem perceber “muito mais” do assunto. Fizeram o culto da incompetência e facilítismo (instale a mais, que assim está lá tudo), ao mesmo tempo que cresceu a complexidade e quantidade de componentes instalado.

Um sistema operativo é potencialmente mais seguro, se tiver apenas os componentes necessários para a função que desempenha, não deve ter aplicações esquecidas e desactualizadas (e muito menos aplicações activas, que são impossíveis de actualizar!)… deve ser tão simples e pequeno quanto possível.

Migração e escolha de outros sistemas

O Linux (e BSD ou Google Chrome OS) são melhores opções, mais simples de operar, mais baratas de suportar e incomparavelmente mais seguras, para muitos dos postos de trabalho que o Windows ou Mac OS X. Tendem ainda a ser mais simples de personalizar “por empresa” e “posto de trabalho”, e o facto de não haver licenciamento de cópias permite uma replicação mais simples e ilimitada. É feita uma (ou mais) “instalação modelo”, faz-se a imagem do disco, e depois duplica-se para os vários computadores da empresa. A formação necessária para a maior parte dos administradores de sistemas é de “horas” e há excelentes manuais publicados.

Casos há em que o Windows e OS X são boas opções (ou melhores, ou mesmo obrigatórias), mas é necessário sempre emagrecer as distribuições, e evitar as aplicações “oferecidas” uniformizando o parque informático com alternativas disponíveis para todos os sistemas operativos. Por outras palavras: IE, Outlook, Safari, Apple Mail e afins, devem ser substituídos por aplicações “universais” disponíveis para todas as plataformas usadas no parque informático.

Não tem lógica nenhuma os administradores de sistemas gerirem e suportarem múltiplos browsers, programas de e-mail, de calendário, várias “suites de Office”, etc. É um convite ao erro, à actualização “por fazer”, ao problema de segurança que “passou ao lado”. Adicionalmente não faz sentido ter excessiva dependência de um fabricante particular.

Os processos de migração do sistema operativo são muito simples (mais complicadas são as migrações entre aplicações que as pessoas utilizam), e devem ser o ultimo passo de um processo. Primeiro implementam-se em Windows/Mac gradualmente as aplicações universais, só depois se deve mudar o sistema operativo. A migração do sistema operativo propriamente dito depende mais de condicionantes relacionadas com o hardware a suportar (computador e periféricos) que dos aspectos humanos (i.e. habituação a diferentes aplicações, que pode ser feita no ambiente de origem). O recurso à virtualização de sistemas (e acesso remoto) permite correr aplicações “exclusivas” de outros sistemas operativos em ambientes mais seguros, controlados e mais fáceis de manter seguros e actualizados.

Resumindo…

Não se deve confundir o sistema operativo com as aplicações que as pessoas usam e deve ser evitada a promiscuidade entre ambos os componentes de um sistema informático. Essa promiscuidade resulta de uma tentativa de controlar mercados da parte dos fabricantes de sistemas operativos, mas não é uma boa ideia. Na prática os computadores com sistemas operativos mais antigos ficam “bloqueados” de se actualizarem para as ultimas versões das aplicações, o que causa problemas de segurança.

O resultado é a diferença entre o “IE” (fragmentado pelas versões 6, 7, 8 e 9) e os utilizadores do Firefox e Chrome (que estão sempre nas ultimas versões devidamente actualizadas, mesmo quando estão em versões mais antigas dos sistemas operativos). O mesmo se passa com os restantes componentes do sistema: clientes de mail, suporte a PDF, etc. São estes componentes desactualizados os mais explorados por vírus, worms e malware, para se instalarem. Este cenário é perigoso e disparatado. É uma armadilha sem solução, causada pelos fabricantes de sistemas operativos ,que importa evitar! Use SEMPRE software tão independente do sistema operativo quanto possível e mantenha o mesmo actualizado.

Adicionalmente, se o seu parque informático suporte multiplas plataformas (Mac, Windows, Linux, etc), é importante escolher o mesmo software para todas. Essa escolha permite limitar custos/esforço de suporte a utilizadores, dar mais atenção aos problemas e actualizações de cada software, etc.

Os sistemas operativos devem ser tão simples e fáceis de manter seguros e actualizados quanto possível. Eu recomendo a utilização de sistemas open source (linux, *BSD ou Chrome OS) por serem mais simples de personalizar à medida de cada posto de trabalho. A esmagadora maioria das aplicações que as pessoas precisam de utilizar estão disponíveis em qualquer plataforma. As excepções devem ser encaradas com “naturalidade”, exactamente como “excepções” que são, recorrendo à utilização pontual de outros sistemas operativos e aplicações ou o recurso a virtualização.

A história desta industria levou a Apple e a Microsoft e montarem esta armadilha. A resposta dos profissionais de informática (e utilizadores mais conscientes) deve ser “banir a utilização de tudo o que esteja indevidamente a ser distribuído com os sistemas operativos”. É preciso fazer uma dieta rigorosa aos sistemas que utilizamos, simplificar os mesmos, e não aceitar este tipo de presentes envenenados. Não devemos ser danos colaterais de uma guerra entre milionários gananciosos.

Tags: Windows, Mac OS X

Introdução

Este artigo não é dirigido aos utilizadores individuais, aos que “pouco ou nada” percebem de tecnologia, aos que não fazem a mínima ideia de como os computadores funcionam, nem querem saber. É sim dirigido a profissionais de TI, hackers (i.e. pessoas que gostam de tecnologia e de perceber como as coisas funcionam) e aos utilizadores “mais interessados” em perceber como as coisas funcionam (mesmo que lhes faltem “as bases” para perceber “tudo&rdquo.

Os conceitos expostos são muito simples de perceber. Não é preciso serem génios. Já aplicar no terreno as soluções e lidar com as ferramentas é outra conversa, e não é para todos. Se a maior parte das pessoas que profissionalmente trabalham em tecnologias de informação não percebem patavina de segurança, e não sabem lidar de forma minimamente airosa com os problemas, é completamente utópico pensar que o comum utilizador vai perceber alguma coisa. Restam os hackers (profissionais de TI ou os que estão a caminho disso) para perceber estes textos.

Ando a observar os vendedores de anti-virus (e afins) a tentarem colocar-se no mercado do Mac OS X. Todas as semanas aparecem noticias sobre “o ultimo potencial grande problema de segurança e troiano da moda”. Claro que os “suspeitos do costume” estão por trás de toda a histeria.

Os press releases são sempre algo do tipo:
http://www.theverge.com/2012/4/26/2976422/eugene-kaspersky-apple-security-behind-microsoft-10-years
http://ismashphone.com/2012/04/malware-is-indeed-abundant-on-mac-os.html

O resultado prático é aparecerem artigos destes em publicações e sites:
http://arstechnica.com/apple/2012/05/hands-on-with-five-antivirus-apps-for-the-mac/
http://lifehacker.com/5800267/the-non+alarmists-guide-to-mac-malware-protection
http://antivirus.about.com/od/antivirussoftwarereviews/tp/aamacvir.htm

O objectivo/agenda é vender assinaturas de anti-vírus, expandir o mercado ao OS X, e fazer o mesmo que fazem no windows… ehr… ou seja quase nada.

É uma industria de bilhões completamente idiota, feita para proteger pessoas de fantasmas (quase todos moderadamente inofensivos), da forma mais ineficiente possível, dado que a ideia não é “resolver nenhum problema ou causa da infecção”, mas sim perpetuar o licenciamento (i.e. venda) do “remédio”. De preferência os vírus são “chatos”, detectados e removidos às resmas, sempre com o utilizador a achar que ficou muito “protegido”, e que lhe prestaram um serviço bestial sem o qual a vida não é possível. Chegamos ao ridículo de haver “milhares de vírus que não fazem nada a não instalar-se, propagar-se, e ficar pacientemente à espera da remoção”. Temos outros que originalmente numa data distante “fariam qualquer coisa”, mas o mundo é salvo regularmente por estes paladinos da desinfecção digital.

A Microsoft alinhou no jogo (não me perguntem a motivação!), e até chateia o utilizador “acabado de comprar o produto deles” (i.e. Windows) para ir imediatamente às compras, dado que falta o anti-vírus, com mensagens do tipo “o seu computador está em risco”. A palhaçada chegou ao ponto de o vulgar utilizador do Windows achar que um “anti-vírus” é uma espécie de “extra” obrigatório. Porque é que isto acontece? Sigam o dinheiro..,

De volta ao básico (virus 101)

http://en.wikipedia.org/wiki/Computer_virus - É para ler ok?

Um vírus é um programa de computador que se propaga (i.e. se copia e instala), e como qualquer organismo equivalente fora do mundo informático, tem que ter uma estratégia de sobrevivência (evitar detecção e remoção). Os que se propagam de forma “pouco eficiente” dão mais tempo a que medidas de detecção existam e impeçam a dita propagação, os que tiverem más estratégias de sobrevivência estão mais expostos e consequentemente são mais susceptíveis de serem eliminados.

Vamos imaginar que o vírus faz algo que “dá nas vistas” (i.e. coloca em risco a sua estratégia de sobrevivência por ser detectado); formata o computador, faz efeitos visuais perceptíveis pelo utilizador, crasha o sistema torto e a direito, comunica para outros sistemas enviando informação. Tudo o que dá “nas vistas” coloca em causa a sobrevivência do próprio vírus. Tudo o que coloque essa sobrevivência em risco diminui a probabilidade de se multiplicar “mais vezes”.

O compromisso ideal para um vírus é portanto ser ultra-discreto e multiplicar-se de forma eficiente (durante tanto tempo quando possível).

O que os anti-virus tipicamente fazem é “monitorizar a rede” (i.e. firewall), que executáveis comunicam, para onde e em que ports. Fazem também a pesquisa “por assinaturas” (i.e. conjuntos de bytes) que permitam identificar um padrão previamente associado a um vírus (é essa a origem das “definições e actualizações” constantes das “bases de dados”, que correspondem ao serviço “assinado” pelos clientes, que devem ser utilizados perpetuamente), quer na comunicação, quer nos ficheiros em disco (i.e. daí os “scans” ao disco, para ver se encontram em ficheiros os ditos padrões).

Esta metodologia não faz qualquer sentido, é a pior abordagem possível para se segurar um sistema informático, serve apenas para perpetuar a venda assinaturas das bases de dados de padrões. Pelo menos enquanto houver “medo” do “bicho seguinte”. O problema começa pelo “funcionamento com base em padrões conhecidos”, que significa que um vírus tem que “chegar aos fornecedores de anti-vírus”, de forma a ser identificado o padrão e distribuída a solução. Ora, eu estranho “a velocidade” a que isso parece suceder (caramba, os vírus chegam lá muito depressa!), estranho a eficiência para determinar um padrão “único” que não se confunda com outros binários e comportamentos, e o facto desta abordagem “tão má” poder ser “tão eficiente” a maior parte do tempo.

Não lhes dá “jeitinho nenhum” que os clientes “com assinatura” sejam infectados, no entanto, e por uma espantosa coincidência constante e quase universal, a maior parte das pessoas com um anti-vírus parece nunca ser infectada ANTES dos vírus chegarem às empresas, serem estudados, e lançado os respectivos antídotos. E enquanto “nada se passa” os fabricantes de anti-vírus parecem estranhamente empenhados em informar o utilizador que as bases de dados foram actualizadas (i.e. está protegido contra mais uma montanha de germes). Alguns fazem aparecer popups, outros anunciam em alta voz, alguns fazem uns ruídos tipo sonar, lembrando os clientes que o guarda-costas está sempre presente. Quando termina a assinatura, claro, volta o Windows volta a queixar-se que o computador está em risco eminente e constante.

Estranhamente os vírus parecem estar, há vários anos, com um sério problema de reprodução… é que, para se reproduzirem precisam de sistemas informáticos com problemas de segurança por resolver. Precisam de ultrapassar os normais patches de segurança (actualizações) dos fabricantes dos sistemas operativos, dos autores dos programas, das ferramentas básicas de sistema (como os firewall que monitorizam a comunicação). As janelas de oportunidade para se propagarem são diminutas e relativamente raras. Quando uma se abre normalmente “dá nas vistas”, é conhecida e tudo quanto é “bichedo” tenta explorar esse canal. Algo que é progressivamente mais complicado (porque os vários sistemas operativos vão evoluindo, bem como as práticas de programação segura).

Para ser muito preciso e claro: sem bugs, defeitos de programação ou de engenharia dos sistemas informáticos, essas janelas de oportunidade não existem. Logo os vírus (e a sua multiplicação/reprodução) só existe em sistemas defeituosos. Corrigido o defeito o “vírus” pode “permanecer” no sistema infectado, mas deixa de se propagar “sozinho”.

Para lidar com esta limitação chata, passámos a ter “vírus” com uma “reprodução assistida”! Usam um “recurso ilimitado” para se espalharem: a estupidez humana. Usam o e-mail, com textos que levem as pessoas a aceder a sites remotos, ou a executar uma aplicação embebida na mensagem, que de alguma forma induza em erro o utilizador. Os anti-vírus lidam com isto, novamente, com a abordagem mais ineficiente possível (bases de dados de sites remotos, que podem estar em constante mutação, logo tornando “a lista” ineficaz com cada infecção) e padrões do executável (novamente provenientes de uma autópsia realizada pela empresa que vende o antídoto, que para isso precisa de receber o mail antes dos clientes).

Qual o papel dos anti-vírus? Bom, a mim parecem-me que partem de uma premissa fatal em termos de ineficiência: precisarem de ser analisados antes de descobrirem os padrões a detectar. Há algum efeito positivo? Há, ninguém é infectado pelas gripes dos anos anteriores, se continuarem a pagar a assinatura. Mas não seria preferível ter os computadores actualizados (i.e. destruir as vias de infecção em vez de “reconhecer” os germes)? Lidar com as limitações humanas de instalar e executar programas “estranhos” ao sistema? Limitando a capacidade de qualquer novo programa de interferir com executáveis e dados , processos de bootstraping e automatizando processos de preservação de dados entre acessos?

Para além das más abordagens “normais” (e ineficazes excepto contra problemas previamente conhecidos), depois temos a entrada no reino da completa fantasia, em que alguns produtos se dizem capazes de “detectar vírus futuros”, variando as abordagens entre o completamente imbecil e o totalmente utópico. Mas nem vou entrar em detalhes, bastando dizer o óbvio: no dia em funcionassem eram feitas as ultimas vendas do programa de anti-vírus… ah, sim, é mesmo isso que pretendem oferecer: a destruição do seu próprio mercado. Essas formulas mágicas não existem, e se existissem estavam nos sistemas operativos, destruindo instantaneamente toda a industria de “medicamentos informáticos e banha da cobra digital”.

Cavalos de troia, rootkits e outro malware.

Os nomes “pomposos” são simples de entender, mas devem estudar o que significam.

Cavalos de troia são a versão digital de um engodo que permita ultrapassar a “muralha” e atacar os inimigos a partir de dentro da fortaleza. A diferença para o vírus que manda o e-mail é a “passividade”, o falso programa não envia “coisa nenhuma”, é colocado na Internet e aguarda que o puxem e instalem, fornecendo o utilizador as “credenciais” necessárias ao sistema para ultrapassar a “muralha virtual”.

Um rootkit é um sistema que perpetua a existência de um programa escondido do sistema operativo, não permitindo às normais ferramentas disponíveis visualizar o que está instalado ou a ser executado. Nem todo o “malware” são “rootkits”, nem todos os “rootkits” são “malware”. O software malicioso pode nem estar particularmente escondido, e o rootkit pode ser apenas um sistema de manutenção “escondido pela equipa de TI de uma empresa” para o processo não ser “morto” ou “removida a aplicação” pelo utilizador.

A maior parte das aplicações de anti-vírus são muito parecidas com rootkits (para evitar que os vírus as removam ou anulem). Muito malware são plugins de browsers (para fazer tracking de utilizadores, apanhar passwords, etc), addons de sistema (drivers de teclados / keyloggers), de video, etc.

Impacto de ter aplicações estranhas no sistema

Eu escrevi há uns tempos um artigo sobre as possibilidades inerentes a ter um rootkit. Basicamente quem instala um rootkit faz o que quiser da máquina. Acrescento só que o Rookit pode correr na BIOS da máquina, no kernel do sistema operativo, e ser absolutamente impossível de detectar pelo sistema operativo. Pode no entanto ser detectado por um sistema externo, desde que se saiba o que devia estar na BIOS e no disco, e se possa comparar com o que lá está. Para os profissionais de IT: esta é a única forma de assegurar a segurança de uma máquina, saber se alguma coisa foi alterada, e ter a certeza que o sistema entregue corresponde ao que está actualmente a uso. Tudo o resto são fantasias e falsas ilusões de segurança, é lutar contra os problemas conhecidos, fechando os olhos a todos os que forem “novos” (ou feitos de propósito para um alvo especifico, como a sua empresa, e não para ataques genéricos e indiscriminados).

O seu portátil é inspeccionado pelo seu serviço de IT com que regularidade? Ah! Como nunca? É viver uma ilusão de segurança, perpetuada por pessoas mal treinadas e que precisam de apoio. A culpa disto é a irresponsabilidade em cadeia, as promessas vazias de muitas empresas “de segurança”, que parecem resistir a tudo menos… 10 minutos de investigação: http://blog.webroot.com/2011/09/13/mebromi-the-first-bios-rootkit-in-the-wild/ , http://www.computerworld.com/s/article/99843/RSA_Microsoft_on_rootkits_Be_afraid_be_very_afraid, etc.

Soluções reais em vez de doces ilusões

Neste ponto do texto, se ainda está na fase dos “anti-vírus”, desista de ler. Não vale a pena. Não percebeu nada do que escrevi. Isto não é para si.

Para os que continuarem a ler:

- Os sistemas precisam de monitorização externa. Investiguem o Tripwire e percebam que é fundamental ser capaz de detectar alterações em sistemas, em particular saber o que é “a normalidade” (i.e. que binários existem) para se poder detectar quando algo muda. A monitorização começa na BIOS e termina no mais recente documento editado pelo utilizador. Todos os sistemas operativos (isto não tem nada a ver com ser Windows, linux ou Mac) precisam de ser conhecidos. A regularidade das alterações define a velocidade a que é descoberta toda e qualquer modificação. É importante que existam pessoas na vossa organização (ou contratadas) para aferir dados caso sistemas sejam alterados. NÂO SE PROCURA POR PADRÕES CONHECIDOS DE VIRUS E MALWARE MAS SIM POR QUALQUER MODIFICAÇÃO AO QUE SABEMOS QUE DEVIA LÁ ESTAR.

- Os sistemas de firewall são absolutamente vitais (assegurado que correm em cima de um kernel e stack de tcp/ip saudável e não adulterado) para evitar qualquer comunicação por binários não explicitamente autorizados.

- O sistema operativo deve ser preservado num filesystem read only. Caso não saibam há discos com switch de hardware (read only / read write) que complementam uma BIOS e kernel saudáveis. As áreas de escrita devem ser limitadas (swap, directorias temporárias e áreas de utilizadores).

- Os binários que correm no sistema devem ser assinados digitalmente e sandboxed/chrooted ou correr em ambientes virtualizados e isolados. É toda a gente tão rápida a usar virtualização nos sistemas de backend e depois esquecem-se dela nos computadores que toda a gente usa. O impacto de qualquer vírus ou troiano em sistemas de chroot/sandbox/virtualizados é próximo de nulo. Se o sistema só corre binários assinados digitalmente é extremamente complicado de ultrapassar, mesmo com a tal “ilimitada disponibilidade humana” para fazer disparates.

- O sistema operativo deve assegurar versões de dados (i.e. todas, sempre que um ficheiro é modificado) e roolback de preferência sincronizada em servidores externos. Ainda não foi assimilado pela maior parte das empresa que deve existir uma clara separação entre dados e executáveis. Os dados devem ser dissociados de máquinas particulares e sincronizados para os servidores da empresa (pensem numa “Dropbox” privada, com encriptação forte, capaz de assegurar que em qualquer local onde o utilizador faça login estão os seus dados disponíveis).

- Os sistemas de DNS devem ser monitorizados e autenticados. Bloqueado todo o tráfego para outros servidores.

- Os sistemas de e-mail devem ser monitorizados e autenticados. Bloqueado todo o tráfego para outros servidores.

- As cadeias de certificação (de certificados digitais) devem estar em suportes read only.

- Os browsers não podem estar desactualizados (nem um update que seja: espreitem o chrome e a próxima versão do Firefox para descobrirem sistemas de auto-update automáticos).

- Os sistemas de backup devem ser automáticos, transparentes, e testados regularmente pelos utilizadores (o “time machine” do OS X ligado a uma “time capsule” é um bom exemplo para seguirem), podendo estes fazer “roolback” para qualquer versão de qualquer documento, aceder ao que foi apagado, etc. Estas funcionalidades estão disponíveis em sistema de cloud storage (e as empresas podem criar os seus ou utilizar sistemas “off the shelf&rdquo.

A ignorância cura-se, os maus procedimentos mudam-se, mas para isso é absolutamente fundamental que liguem o cérebro e ponham a mão na consciência. Todos, de profissionais de TI a gestores. O pior erro que podem cometer é não pensarem sobre o que fazem e usam todos os dias. O sucesso dos programas de anti-vírus e respectivas assinaturas em empresas diz muito sobre a real dimensão do problema…

Quanto a particulares… bom, não vejo que se possa fazer alguma coisa, é tecnologia que não percebem, e é natural que estejam num beco sem saída. Antes com anti-vírus contra as maleitas “conhecidas” que sem eles (e nenhum outro tipo de segurança). Usem os gratuitos. Vai dar ao mesmo.

Para quem tem Windows (particulares)

- Usem o Open DNS.

- 99.9% dos vírus/troianos que podem “apanhar” seguindo links de e-mail, ou páginas na Internet, estão relacionados com software instalado no vosso computador que não está actualizado, esse é o principal problema (via de infecção), pelo que é a primeira prioridade a resolver. Instalem o “Secunia personal scanner” (http://secunia.com/vulnerability_scanning/personal/) que vos ajudará a perceber o que está no vosso computador desactualizado e representa uma vulnerabilidade.

- Mantenham o flash e Java desligados excepto para sites em que implicitamente confiam. No Chrome existe a funcionalidade equivalente nas preferências (liguem a dita cuja). Evitem usar o IE caso não tenham acesso à ultima versão disponível (visto que a Microsoft não permite usar a ultima versão em instalações antigas do Windows), recomendo que usem o Chrome (ou o Firefox, Safari, Opera, desde que tenham um plugin que permita desligar por defeito o Java e Flash excepto para os sites que autorizarem).

- Escolham e dominem um bom firewall (http://www.techsupportalert.com/best-free-firewall.htm). O importante é que vos permite escolher que aplicações comunicam com o exterior, por defeito bloqueie todas excepto as que autorizarem explicitamente, e percebam quando algo de “novo” e “anormal” está a tentar estabelecer ligações com o exterior ou a tentar contactar a vossa máquina.

- Façam backups tão regulares quanto possível (nas empresas isto é facilitado por boas práticas impostas por bons administradores de sistemas profissionais, os particulares precisam de as substituir com alguma disciplina pessoal).

- Ao contrário do Mac OS X (em que não existe um histórico de vírus: nenhum, zero, zilch, batatoides), no Windows é importante estarem protegidos contra infecções do passado (e para isso os anti-vírus com a sua abordagem completamente idiota até “servem&rdquo. Utilizem um anti-vírus gratuito e sem interesses comerciais (i.e. que não tenha interesse em vos vender coisa nenhuma). Não recomendo que usem nenhuma ferramenta que tenha um “interesse implicito” em que comprem uma versão “paga” e para isso ofereçam uma “gratuita” com uma protecção de alguma forma reduzida! Recomendo o ClamWin (http://www.clamwin.com/).

Para quem tem Macs (particulares)

- Usem o OpenDNS.

- Mantenham o vosso Mac actualizado (especialmente o software da Adobe e Microsoft que usarem: estas duas companhias sozinhas são responsáveis pela esmagadora maioria de problemas de segurança do Mac OS X nos últimos anos).

- Mantenham o flash e Java desligados com um plugin (http://hoyois.github.com/safariextensions/clicktoplugin/). No Chrome existe a funcionalidade equivalente nas preferências (liguem a dita cuja).

- Compre e instalem o LitleSnitch (é um firewall com que muitos conseguirão lidar).

- Façam backups com o Time machine e assegurem-se que são tão regulares quanto possível.

- Se querem um anti-vírus (que não vos vai servir para nada, a menos que andem a piratear software, e mesmo nesse cenário é mais uma questão de timing da potencial “infecção” que qualquer outra coisa) usem o ClamXav. Que, repito uma ultima vez, não vos vai servir para nada.

O resto não é simples de explicar nem prático para particulares… a próxima versão do OS X (10.8 / mountain lion) suporta de raiz a opção de correrem apenas binários assinados digitalmente e em sandboxes, deve ajudar…

Os comportamentos de risco no Mac são relacionados com executarem ficheiros de origem “questionável” (piratarias, puxados de links que vos chegam em mensagens de e-mail, ou em “falsos sites&rdquo. Se não o fizerem não vão apanhar malware nenhum.

Tags: Vírus

As empresas que fazem comércio electrónico e entregam bens por e-mail (recibos, bilhetes electrónicos, boarding passes, números de série de produtos ou links para download de bens digitais) devem verificar os endereços de e-mail dos clientes ANTES da emissão de e-mails contendo informação confidencial.

O processo é simples: quando alguém inscreve um e-mail, no qual vai ser transmitida informação confidencial, VERIFIQUEM o dito cujo, pedindo à pessoa para seguir um link presente em um e-mail de teste, de forma a assegurar que quando entregarem algo de valioso ou confidencial o fazem no endereço correcto.

As mensagens da empresa, incluindo a mensagem de teste do e-mail, devem ser autenticadas digitalmente, assinando o servidor de envio a proveniência da mensagem dos servidores correctos (DKIM e/ou SPF) e o respectivo conteúdo (S/MIME). O nível de irresponsabilidade e inconsciência da maior parte das empresas é chocante. Eu sei que a Internet é uma coisa “nova” para muitas empresas, mas se querem jogar este jogo precisam de rapidamente adquirir conhecimento sobre como o fazer de forma correcta, sem colocar em risco os clientes.

De vez em quando recebo e-mails por engano (não são phishing, são mesmo endereços de e-mail dos destinatários trocados com o meu)…

Na ultima semana chegou-me o e-mail com o link para o “boarding pass” do Patrick Laureano que viajava de Toronto para Ottawa na Air Canada (que bem pode esperar por ele chegar ao seu telemóvel/computador)… A mensagem da Air Canada não vinha nem assinada digitalmente, nem conteúdo do e-mail, nem o servidor emissor, mas verifiquei os mesmos.

Calculo que o Patrick Laureano esteja às seis e picos da manhã (hora local) de hoje anda no aeroporto de Toronto com um ar intrigado…

Mais preocupante é quando me enviam, por engano, muito mais dados… desde dados de compras (moradas, números parciais de cartões de crédito, telefones de contacto, etc). O que dependendo da quantidade de homónimos que tiverem, e do vosso endereço de e-mail ser confundido com o dos titulares, pode acontecer mais ou menos vezes. Tudo porque as empresas se esquecem de verificar os e-mails introduzidos ANTES de emitirem informação confidencial para os mesmos.

O caso do Pedro Luis Laureano, que viajou no passado 5 de Maio de San Juan (Porto Rico) para New York (EUA)…



Tive oportunidade de verificar que a Jet Blue também não assina digitalmente as mensagens, nem o servidor que as envia, nem os conteúdos das mesmas. O que significa que ataques de Phishing com estas duas companhias são viáveis, simples de executar, e colocam todos os seus clientes em risco.

Não é complicado (pelo contrário) configurar sistemas de e-mail. Mas para o fazer devidamente empresas e particulares precisam de perceber minimamente que acções devem tomar e porque são importantes. Assinar mail digitalmente, em servidores e nos conteúdos é imperativo para evitar problemas. O e-mail sem estas assinaturas é inerentemente inseguro. Se uma empresa lhe envia mail por assinar contacte a mesma e explique que isso é irresponsável e uma conduta pouco apropriada que coloca toda a gente em risco.

Tags: Mail

Eu não confio no Google. Isto não é chocante, dado que eu não confio em quase nenhuma empresa e confio em muito poucas pessoas, o Google só não é uma excepção à regra. A licença do “Google drive” às alternativas (com serviços equivalentes) são notórias. Eu também não confio na Microsoft ou Dropbox. É mesmo um problema pessoal este de confiar em empresas. O Google drive é o pretexto para o artigo, pelo que vamos a isso:

Eu recomendo a quem usar este tipo de serviços que utilize encriptação, da mesma forma que recomendo a quem usa o gmail que o faça também. Não é complicado em Mac OS X (Utilizadores de windows: http://www.howtogeek.com/howto/5291/how-to-create-a-virtual-hard-drive-in-windows-7/ cortesia do Paulo Bastos) basta utilizarem o “Disk utility” e criarem um disco virtual encriptado, colocarem esse disco no vosso google drive e meterem todos os ficheiros lá dentro. Segue-se a “banda desenhada” de instruções…

O meu folder “normal e não encriptado” e uma janela do Finder a mostrar o respectivo conteúdo… este folder contem alguns documentos que quero meter no google…


Abram o Disk utility...



Carreguem em “New Image”, no “Save as” metam o nome do unico ficheiro que o google vai ver no vosso espaço do “Google Drive” (eu escolhi o nome “StayAwayFromMyStuffGoogle&rdquo, no encription escolham “256 bit AES”...



Quando o aparecer o pedido de password escolham uma password forte (fica gravada no keychain, nunca vão ter de a memorizar! O Finder do OS X trata disso sozinho):




Uma vez criado o disco virtual é só usar (vejam em video):



Tudo o que está dentro do vosso disco encriptado está fora do alcance do google. Podem ter do “Google drive” um ou mais discos, deixem de fora dos discos o queiram tornar público. O mesmo se aplica a qualquer outro sistema de “cloud storage” (Dropbox, skydrive, etc&hellip por uma questão de segurança dos vossos ficheiros contra olhares de terceiros…

Tags: Google drive, Dropbox, Skydrive

Introdução

A ideia deste blog não é fazer uma “hacker school”, nem “formar” ou dar “lições” a colegas administradores de sistemas e profissionais de informática, mas sim mostrar ao comum utilizador de informática o que pode fazer para evitar problemas (e que problemas são esses)... Configurar correctamente o e-mail ajuda, bem como utilizar correctamente passwords. Se os profissionais fizerem o seu trabalho nas empresas há determinados riscos que baixam consideravelmente, pelo que insisto muitas vezes para que toda a gente solicite às empresas para agirem de forma responsável, os clientes que podem mudar o mundo com a pressão que fazem por um melhor serviço.

O software de que vou mencionar neste texto é para todos os efeitos “um rootkit” (i.e. escondido no sistema, perpetua o acesso remoto de quem o instalou, permite o acesso a um conjunto de ferramentas que quebram qualquer tipo de confidencialidade), em quase tudo semelhantes ao que um hacker utilizaria. A grande diferença é que em vez de “know how” para entrar no sistema e os instalar, o utilizador só precisa de um dedo e de uma célula cerebral funcional (para acertar no botão certo do rato e fazer a instalação)… e de acesso de administrador à máquina. Todos os exemplos que vou dar são serviços pagos. É de propósito.

Quem estiver interessado em saber “mais” pode começar pelo artigo da wikipedia sobre rootkits, e a partir daí usar o Google para chegar ao código fonte de uns quantos rootkits. E se souber como compilar um programa chegará a rootkits funcionais e gratuitos. Modificar os mesmos (para evitar detecção) e descobrir como os instalar em máquinas é igualmente trivial para quem dedicar algum tempo ao assunto. A primeira parte é mais complexa, a segunda nem por isso, dado que os utilizadores caiem em ataques de Phishing, instalam troianos puxados a partir de redes de p2p, etc.

O que é que um hacker pode fazer num computador hackado?

Quase tudo, excepto “festinhas no monitor”, introduzir ou retirar cd/dvd do leitor,se não tiver acesso físico à máquina… Pode ligar microfones e ouvir ou gravar qualquer conversa, pode tirar imagens ou videos de câmeras ou das imagens que aparecerem no monitor, apanhar todas as teclas que alguém pressionar no teclado, ver todas as mensagens recebidas ou escritas, todos os “chats”, retirar/modificar/apagar qualquer ficheiro existente no disco, receber relatórios sobre tudo o que o utilizador faz e respectivas passwords, etc. A lista é quase infindável. Verifiquem por exemplo o “Spector pro”.

Quer experimentar com um computador seu? É só ler os reviews e comprar. Seja um Mac ou Windows há escolhas para todos os gostos.

A maioria destes programas permite correr em modo “escondido” ou “com avisos ao utilizador” que está a ser monitorizada a actividade do computador.

Lembrem-se que telefones também são computadores...

E naturalmente que não ficam de fora. Neles podemos “naturalmente” saber onde estão (GPS e/ou triangulação de células), ver todos os sms recebidos ou enviados, ver listas de chamadas feitas ou recebidas, ouvir as conversas, ouvir o som ambiente quando a pessoa não está a usar o telefone, consultar contactos e agendas, ver videos e fotografias, etc.

Exemplos acessíveis e fáceis de instalar:
http://www.mobistealth.com/
http://www.mobile-spy.com/compatibility.html

Fogo, carros e facas de cozinha...

Estas aplicações podem ser utilizadas para fins legítimos (controle de menores por exemplo).O facto de conter código que pode potenciar invasões de privacidade graves (eu diria totais) não implica que seja usado para esse efeito. Com estes programas é extremamente simples fazer muitas coisas “boas e más”. Trata-se de uma ferramenta, como tantas outras é nas mãos de quem a usar que está o poder de fazer bom ou mau uso da mesma. Os carros matam que se fartam, o fogo é lixado, as facas de cozinha são letais se usadas contra alguém.

Pense duas vezes antes de instalar estes programas em qualquer computador ou telefone que seja utilizado por outra pessoa (cônjuge, colegas de trabalho, crianças, etc). Para além das implicações éticas e legais de o fazer, a quebra de confiança que uma acção dessas implica provavelmente será irreparável, e arrisca-se a não gostar do que vai ver.

A minha opinião sobre tudo isto...

Tudo isto que aqui menciono não só é objectivamente acessível a qualquer pessoa (que pague para as usar), bem ou mal intencionada, como não exige qualquer “know how” de informática. Não estou a mostrar estas coisas para assustar as pessoas, mas sim para as despertar para os riscos que correm quando não se protegem. Talvez um exemplo mais “colorido” ajude a que despertem para a realidade…

Tags: Rootkits

O que são boas passwords

As passwords são cruciais para proteger os nossos acessos, no entanto são completamente desleixadas e mal utilizadas pela maior parte das pessoas. As passwords não são para ser "decoradas". São a nossa chave digital para entrar em locais que queremos protegidos contra terceiros, devem ser longas, devem ser evitadas “palavras coladas”, e meter "alguns números” e uns pontos de exclamação ou virgulas (no inicio ou final) não melhora muito o cenário.

As passwords devem ser fortes, de preferência sem utilizar palavras de forma a resistir a ataques com base em dicionários. Para evitar que sejam atacáveis via engenharia social não devem ser construídas com base em matriculas de carros, datas de nascimento, de casamento, nomes de animais de estimação, etc.

As passwords devem ser únicas, e se uma for encontrada por um hacker não deve comprometer todos os sistemas que utilizamos.

Boas passwords do tipo "&E3)dD*ry8#4nj'm8Xj1)" tendem a ser complicadas e (perto de) impossíveis de memorizar. Pelo que precisamos de um local seguro para as guardar, seja digitalmente (que é conveniente para fazermos “cut & paste” das mesmas) ou dentro de algum cofre físico (que não dá jeitinho nenhum).

Se optarmos pela opção digital (que é o que eu faço) devemos ter UMA password (a nossa "master password") que protege todas as outras. Essa temos mesmo que decorar, e guardar offline num cofre para em caso de emergência, um ataque de amnésia ou uma branca a podermos consultar. Em lado nenhum a guardamos digitalmente. Paradoxalmente esta password é tipicamente a mais "fraca" que usamos, precisamente porque temos de memorizar e introduzir sempre que precisamos de usar qualquer uma das restantes passwords.

A solução não deve ser ter más passwords!

Essa é uma abordagem mais perigosa que as ter memorizadas nas ferramentas disponíveis para o efeito nos sistemas operativos. Uma má password pode ser ultrapassada com ataques de “força bruta” em relativamente pouco tempo.

O sistema tende a não confundir sites porque os nomes ou a imagem “são parecidos”, o que o Phishing e os ataques de engenharia social exploram são falhas humanas de identificação, confusão visual, emoções que levam pessoas ao ler um texto a ter uma resposta emocional. Falhas das mesmas pessoas que guardam para si o ónus de memorizar passwords, que são “piores” a determinar se um site em que estão a aceder é ou não aquele onde devem fazer login.

A maior parte dos roubos de password são em sites que simulam o site de bancos (paypal em particular), recorrendo ao mesmo grafismo, só que em um endereço (URL) ligeiramente diferente. Em redes WiFi por estarem mal configurados os programas de e-mail, etc.

Mas como se inventam tantas passwords?

Não se inventam. As passwords não devem ser criadas pela própria pessoa! Devem ser aleatórias e desprovidas de qualquer lógica que a ligue ao titular da conta que protegem. Para isso usam-se geradores de passwords.



Faça o download de um e use sempre que precisa de criar uma password. Utilize sempre o máximo de caracteres suportado pelo serviço (por exemplo o paypal são salvo erro 20 caracteres), e se não souber o limite use pelo menos 30 caracteres (se forem demais o sistema queixa-se e fica a saber o limite).

Este é o que eu utilizo que eu utilizo para Windows, Mac OS X, Linux e iOS (iPhone / iPad / iPod touch): Password generator (Public domain / gratuíto)

Quanto mais “longa e estapafúrdia” melhor. Os geradores de passwords suportam “limitar a password” a alguns caracteres de forma a suportar sistemas que tenham limitações quanto ao que aceitam numa password.

Como o Windows e Mac “memorizam” e “protegem” as passwords...

Os utilizadores de Mac são servidos pelo "keychain", que memoriza todas as passwords e quando estamos a "ligar-nos a uma rede wireless", usar "uma aplicação" ou um "visitamos um site", o “keychain” preenche automaticamente os campos de login e password.

Para aceder a qualquer password do “keychain” o utilizador só precisa de saber uma única password (a mesma que utiliza para aceder ao seu login). Todos os dados estão encriptados e protegidos com base nessa password. Se é esta a opção que quer perseguir como solução deve configurar o seu computador para se auto-bloquear sempre que esteja sem ser usado mais que uns minutos (de forma a ser necessária a password de login para que fique funcional). No windows é basicamente a mesma coisa que acontece.

Alguns programas, em Mac OS X, Windows e Linux utilizam as suas próprias estruturas para guardar logins e passwords, como é por exemplo o caso do Firefox...

Em ambos os casos as passwords estão "sem segurança" quando se faz login no computador e este está a ser usado, ficam protegidas pela operação de “logout” (o encerrar da sessão do utilizador e todos os seus processos) ou por estar bloqueado o acesso ao computador através de uma password do “screen blanker”.

As soluções do Windows e Mac OS X são frágeis, dado que a nossa “master password” neste cenário é a de “login” no sistema. Se entregamos o computador a alguém essa pessoa poderá fazer uso dessas facilidades. Se é esta a solução que querem adoptar devem ter o cuidado de não partilhar o computador com o mesmo utilizador entre várias pessoas. Cada pessoa deve ter a sua conta e deve existir uma conta especial para administração da máquina (ou seja ninguém deve ter poderes de “administração&rdquo.

Como sempre a wikipedia é útil http://en.wikipedia.org/wiki/Password como complemento de qualquer texto...

Há mais?

Há. Pessoalmente eu não gosto particularmente das opções “nativas” oferecidas em Windows e Mac OS X. Usam encriptação fraca, uma “master password” correspondente ao “login” na máquina, e não são na minha opinião adequadas a uma realidade mais complexa que aquela para que foram desenhadas (i.e. um computador com múltiplos utilizadores).

Acontece que o “mundo real” em que todos vivemos não é tão simples. As pessoas precisam de aceder a diversos sistemas a partir de outros computadores e de telemóveis, ora isso torna a utilização de passwords “fortes” um pesadelo... imagine-se a copiar algo do tipo "&E3)dD*ry8#4nj'm8Xj1)" para o Facebook do telemóvel, depois outra equivalente para o Twitter, outra para o mail, outras para cada um dos sites que utiliza. Ah, sim isso vai correr bem...

Felizmente há melhores soluções. Infelizmente não são de borla como as que mostrei até aqui. Eu acho obviamente que valem a pena, caso contrário não estaria a mencionar esta opção.

A minha solução de eleição é o “1password”. Todas as passwords são sincronizadas via Dropbox entre todos os sistemas que utilizar (Windows, Mac, iPhone, iPad, iPod touch, Android). Integra com vários browsers (Safari, Firefox e Chrome) e as nossas passwords estão sempre disponíveis. Utiliza encriptação forte e uma “master password” que não tem nada a ver com o login. Melhor ainda; podemos configurar o sistema para só disponibilizar passwords contra a nossa “master password”, pelo que é “como termos uma só password para tudo” (quando na realidade são todas diferentes).

Adicionalmente podemos guardar texto, dados de cartões de crédito, numero de série de telefones, computadores, software, etc. Fica tudo encriptado, sempre disponível, e mesmo que o nosso “telefone” ou “computador” perdido/roubado estivesse “por bloquear” pode ser configurado para exigir a nossa “master password” com a regularidade que entender-mos “indicada” (até mesmo sempre que uma password qualquer seja necessária).

Um serviço alternativo (recomendado pelo Rogério Vicente) é o “LastPass”, que me parece em tudo equivalente ao “1password” e pode ser usado gratuitamente! Nunca o usei pessoalmente mas parece encaixar como uma luva nos requisitos que enunciei, com a vantagem de suportar mais plataformas (incluindo o Blackberry, Symbian, Windows mobile, webOS e Linux) e mais browsers (incluindo o Internet Explorer e o Opera).

A versão “premium” custa $1 por mês (cobrado em conjuntos de 12 meses, ou seja $12 por ano) e parece-me uma excelente proposta. Custa o mesmo que um café por mês...

Mas e se o computador for “hackado”?

Adeus e boa noite... a sua vida ficou subitamente mais desagradável… Provavelmente a culpa até é sua...

Dependendo do que foi instalado no computador (não forçosamente por hackers, qualquer pessoa consegue) pode ter desde o écran gravado em video, até “key loggers” (gravadores de todas as teclas que teclar), microfones a fazer streaming de som, etc, derrotando potencialmente qualquer password ou sistema de protecção de passwords que se tenha. Azar terrível. Corra a mudar todas as passwords em todo o lado e a começar de novo com um computador “limpo”.

Os computadores devem estar tão protegidos quanto possível, quando são comprometidos é fundamental que haja algum “sinal de alarme”, se perceba o que aconteceu. Se não perceber vai descobrir o que aconteceu quando estiverem em seu nome a vender Viagra na Internet, a aceder à sua conta do facebook, ou a fazer compras no seu cartão de crédito.

Quando um computador é “hackado” deve ser o mais depressa possível desligado de qualquer rede e entregue a alguém que saiba lidar com o assunto (basicamente fazendo boot de outro sistema operativo e uma analise do computador comprometido sem correr nenhum rootkit/vírus ou troiano).

Mas notem que para roubar passwords não é preciso comprometer computadores... podem ser apanhadas via WiFi em redes mal protegidas, via Phishing em e-mails e mais mil e uma abordagens que não lembram ao diabo.

Este texto não é suposto ser uma “bala de prata” para transmitir uma falsa sensação de segurança, é para ajudar a melhorar cenário actual: más passwords e utilizadas em múltiplos sistemas. Pare com isso... a sério... depois chorar em cima do leite derramado não vai servir para nada.

Uma nota final...

Há sistemas alternativos ao uso de passwords, sistemas que complementares às passwords, e até sistemas que permitem que as passwords possam ser “roubadas à vontade” porque só podem ser usadas uma vez. Mas para a maior parte das “aplicações” e “sites” com que lidamos estamos limitados a usar passwords. Já agora que saibamos o que estamos a fazer… até porque isto não é propriamente complicado. É só algo em que as pessoas parecem não pensar muito...

Tags: Passwords

É simples, e só há uma regra:

“Nunca inscreva um e-mail numa lista… a pessoa que se inscreva, seja verificada e confirmada a inscrição por e-mail, e só depois recebe mensagens. “

Se enviar UM e-mail não solicitado através de software de mailing lists (i.e. para várias pessoas; “bulk&rdquo está a fazer spam.

A ideia completamente estúpida de “a pessoa consegue sair da lista, logo não é spam” (opt-out) é um raciocínio que nem merece resposta. É um excelente filtro para filtrar mensagens, se estiver algo que se pareça com essa argumentação corpo do e-mail é Spam de certeza.

Resultado prático:Fazer listas com muita gente, demora muito tempo, dá muito trabalho e é preciso conteúdos interessantes. É precisamente por isto que há Spam: porque construir algo dá muito trabalho, exige talento e paciência. Obstáculos estes com que as pessoas que tendem a fazer Spam (e a vender o mesmo) não sabem, ou não conseguem, ultrapassar.

Ainda me lembro da Internet sem Spam, sem “artistas” a vender a ideia de que alguém “chega milhares/milhões” enviando lixo não solicitado para caixas de correio. É um negócio nojento, de pessoas que vendem listas de e-mails, sem um pingo de pudor, a idiotas gananciosos que compram a tese de que andar a chatear/massacrar pessoas por e-mail é uma abordagem comercial legitima. Não é, e quem acredita nisso é um completo cretino! Merece mandar o dinheiro para o lixo, ou para o “habilidoso” a quem o entrega. O que vai receber em troca é má vontade.

Percebo os vigaristas que fazem Spam para enganar pessoas, propagar troianos, roubar, burlar, e tudo o resto. Não se apresentam com “imagens” pomposas tipo “e-marketer” e não se fazem passar por negócios legítimos (que não são). Ao menos o primeiro grupo são criminosos assumidos, não pedem desculpa a ninguém, nojentos como são, pelo menos não “vendem” distribuir mail não solicitado como um serviço legitimo.

Não tenho Spam no mail. Em servidores de mail bem configurados, e com uma atitude agressiva perante o Spam, isso deixa de ser um problema. Tenho é obviamente milhares de tentativas de entregar “lixo” por hora, nos servidores, a gastar banda, CPU e memória, para recusar as mensagens. È a vida, faz parte, não me incomoda e até é divertido lidar com a esperteza saloia.

Enviar mail é muito barato, e o serviço de distribuição de listas “legitimas” (i.e. mailing lists em que as pessoas se inscrevem) tem pouco valor acrescentado, o que alimenta “os artistas” são as bases de dados para Spam, a “ajudinha ao negócio” com uns milhares de e-mails, e a fachada de “aparente legitimidade” de que “as pessoas podem sair da lista, pelo que não é Spam” (opt-out). Depois aparecem aqueles “disclaimers” completamente idiotas a dizer que ao abrigo de um artigo qualquer “esta mensagem não pode ser considerada spam”. Para ser claro: só ter este “disclaimer” faz com que eu não aceite a mensagem, nem vale a pena ver mais regras do Spamassassin.

Eu faço distribuição de mail para clientes… as listas legitimas tendem a ser bastante mais pequenas que as listas de Spam, não é precisos fazer “truques de circo” para distribuir as mensagens, nem as mesmas são confundidas com Spam. Não me recordo em 14 anos de ver uma unica mensagem recusada. Se as listas são legitimas devem ser distribuídas a partir dos servidores de mail das empresas, usando os domínios das empresas, e não a partir de empresas “de distribuição de mail” , ou por outras palavras Spammers.

O termo nasceu a partir de um sketch dos Monty Python...



O Spam que ao longo dos anos recebi é quase todos de micro-empresas, que caiem no conto do vigário dos Spammers… enquanto houver burros gananciosos vai sempre haver quem os engane. Reparem na fachada de alguns dos artistas que mais lixo tentam entregar nas SPAMTRAPS (são e-mail que não existem ó “aldrabões que não fazem spam”, ah sim, são os e-mail criados para serem armadilhas e publicados na web que se inscreveram nas vossas listas e confirmam as inscrições!).

Temos a empresas americanas tipo “sério e responsável”, gosto do “abuse@elabs5.com” em grande destaque!



Outros são foleiros e não disfarçam nada (quem é que compra alguma coisa a uma empresa destas??):



Os veteranos da distribuição de lixo em Portugal, que tentam ter o aspecto tipo “empresa americana”:



Outros registam dominos via:



Para depois distribuírem o mail através dos domínios “dos vegetais” anónimos:



Este tipos divertem-me, são particularmente cómicos… e pelo menos há alguma vergonha… e os sites sempre são mais engraçados que o da “ptsender”… os burroides que distribuem mail pelos relayers “dos vegetais” não percebem nada, pelo que não faz diferença a falta de sobriedade e o anonimato de quem regista os domínios. Parabéns à “2send.net”, ou “mercadoweb.pt”, ou lá como se querem chamar, pela “imaginação” e “anonimato”. O rui@2send.net (endereço para os bots e robots apanharem, já que ele gosta de spam, coma o seu próprio lixo) pelo menos tem criatividade.

A questão que se coloca é: mas o Spam resulta? A Internet pode ser um “el dorado” em que qualquer treta se vende? Não. Não resulta, é um logro como qualquer outro, em que caiem pessoas ignorantes e ambiciosas (as presas de qualquer burlão). Quem vende Spam procura precisamente essas pessoas. As mesmas que caiem nos esquemas nigerianos, lotarias e prémios imaginários e afins. E há sempre um “burro” para cada “espertalhão”, só que, por puro azar, os burros não são em numero suficiente para fazer o Spam funcionar (fazendo das banhadas que se tentam vender sucessos)… Apenas são em numero suficiente para sustentar as empresas de Spam (que são “nano empresas”, pelo que não é difícil, dado que distribuir lixo é barato).

Para azar dos spammers e respectivos clientes há empresas como a http://www.anubisnetworks.com/ que lhes estragam a festa toda. Eliminam o Spam em segundos, em organizações gigantescas com milhares de e-mails das listas, servindo algumas das maiores empresas e instituições nacionais (espreitem o site), e basicamente esvaziam todo o conceito de chegar a esses “milhares” de endereços de correio que os Spammers prometem. Sobram os pequenos servidores de mail, cada vez mais raros, dado que o gmail parece ser o destino da maior parte das pequenas empresas.



Metam nessas cabecinhas minúsculas: vocês não são mais espertos que o resto do mundo, não descobriram nada, e não tiveram nenhuma ideia genial. Uns vendem um serviço de distribuição de lixo, outros compram esses serviços, e ninguém quer saber das vossas mensagens. Mesmo as mensagens que eventualmente cheguem a alguém, e não sejam paradas por um qualquer filtro, vão para o lixo. Só mesmo um idiota que pague a uma empresa de Spam é que pode acreditar que alguém consuma a palha que pagou para distribuir.

Ah, e pessoalmente, até vos acho piada, é como ver o “Dumb & Dumber” em versão “reality show”. Continuem, que se comprarem a “nova lista segmentada com milhões de endereços” é que vai ser… O Spam a que me refiro neste artigo nem é perigoso, é mesmo só estúpido, ineficaz, e serve como uma medalha de burrice para quem participa na festa.

Quando o Spam é feito por criminosos o caso muda de figura, mas esses não precisam das empresas de venda de “banha da cobra” para nada. Mas os “clientes” são, desconfio eu, os mesmos.

Tags: Mail, Spam