No passado mês de Fevereiro, a Apple publicou a solução para um bug ou falha de software crítica existente na validação de certificados do iOS, que basicamente podia ter proporcionado a um atacante a capacidade de espiar as comunicações supostamente seguras.
Embora o bug fosse crítico, este anúncio tardio passou bastante despercebido. No entanto, os alertas dispararam no dia seguinte, quando se concluiu que o bug não só afectou o sistema operativo iOS dos dispositivos móveis da Apple, como também o seu sistema operativo tradicional OSX. A trama tornou-se ainda mais complexa na semana passada, quando passou a ser evidente que um bug similar afectou o GnuTLS, um programa de software livre e de código aberto utilizado para implementar cifragem em várias distribuições do Linux e outras plataformas.
Para a Kaspersky Lab, este bug de validação de encriptação no GnuTLS significa que todos os produtos desktop e de servidor da Red Hat, assim como todas as instalações do Debian e Ubuntu (Linux) contêm um erro que pode ser usado para rastrear as comunicações nesses dispositivos. Os efeitos deste bug afectam os sistemas de cima a baixo. Não só podem ser afectadas as sessões seguras de navegação web, como também as aplicações, downloads e qualquer outra comunicação do utilizador, supostamente encriptada, que utilize o GnuTLS para sua implementação.
Os atacantes teriam que estar numa rede local com o seu alvo para poder aproveitar-se de qualquer um destes bugs. No entanto, uma vez criadas as circunstâncias apropriadas, os bugs podem permitir a um atacante realizar um ataque man-in-the-middle, onde a vítima acredita que está a comunicar com um fornecedor de serviços online de confiança, mas na realidade está a enviar pacotes de dados para um atacante na rede. Ambos os bugs incorporam formas eficazes de roubar as chaves de acesso e vigiar as comunicações da rede local.
Os utilizadores de equipamentos com Linux são vulneráveis a esta falha. A Kaspersky Lab recomenda a instalação da actualização mais recente do Linux o quanto antes. Se o utilizador não utilizar um dos muitos sistemas operativos do Linux, isto não significa necessariamente que esteja a salvo. O GnuTLS é um pacote de software de código aberto usado de forma extensa, que se executa num número indeterminado de sistemas. A moral desta história é a mesma de sempre: instale as correcções disponibilizadas com frequência, e logo que estejam disponíveis.
Comentários