INFO Online: Invasão nos servidores Fedora e Red Hat
A Info também cobre a invasão que noticiamos na semana passada:
Intrusos comprometem a rede do Fedora e também invadem máquinas da Red Hat.
Inicialmente, o Projeto Fedora tirou do ar os downloads do sistema, sem especificar por quê. Nesta sexta-feira (22/8), mais de uma semana depois, Paul Frields (da Red Hat), líder do projeto, tornou público que os servidores foram invadidos. Um deles é o servidor encarregado de autenticar os pacotes do Fedora postos para distribuição.
Há, portanto, a hipótese de algum pacote ter sido adulterado. Por isso é que os downloads foram suspensos. Mas a invasão não ficou só nos servidores do Fedora. Os intrusos também chegaram à rede da Red Hat, empresa que patrocina o Projeto Fedora. (via info.abril.com.br)
Saiba mais (info.abril.com.br).
@brlinuxblog
Feed RSS
Era tudo que a MS queria… agora além do Debian o Fedora/Red Hat, também estão na lista dos servidores de código aberto que foram violados… Meu Deus…
E o que tem haver MS com os servidores terem sido invadidos?
Algum admin deles pode ter feito algo ou esquecido de fechar tal porta ou algo do tipo.
Servidores invadidos de empresas de software pode acontecer, isso não é impossivel.
Até a Microsoft teve uma vez os servidores invadidos, não lembro agora se era da parte do Windows ou da parte do MSN.
Mas aconteceu , isso não é o fim do mundo.
E outra coisa , a Red Hat foi honesta em falar que isso ocorreu.
Quantas empresas ai que tem seus servidores invadidos e ficam caladas?
Tem muitas sim.
De qualquer maneira, isso mostra que há algo errado: ou o software é inseguro ou a empresa é incompetente.
Você confiaria os dados da sua empresa a uma empresa que não consegue cuidar nem dos próprios dados?
Concordei com o Bruno…
Jack Ripoff, o Windows é o sistema operacional mais usado do mundo, e não é lá um exemplo de segurança :-)
Eu me pergunto agora… cade o pessoal do “Projeto Fedora Brasil” para nos avisar do ocorrido em primeiro plano. Além disso, no site deles nao consta nada.
Sinal que que quando a notícia é negativa eles não “se preocupam” em informar os usuários (como eu).
Porque pra mim, pior do que errar é não admitir a falha/erro… e que é bem o contrário do que a Red Hat fez.
Um ponto a menos no quesito transparência pro Fedora.
Olá Carlos Teixeira
Divulgamos a notícia sobre o problema no dia 22/08/2008, sexta-feira, as 20:23h.
E informamos os usuários das listas e grupos do Projeto Fedora Brasil de imediato.
Estranho você não saber disso desde o dia do ocorrido =)
Atenciosamente,
Erick Goes
Embaixador do Fedora no Brasil
Pode acontecer com qualquer um, agora só acho que o pessoal deva tomar maiores cuidados com a segurança. Coisa que sei que hoje, não é ruim, e é na verdade superior a de muitas empresas.
Caro Carlos Teixeira,
Estamos aqui!
A título de informação:
Publicado em: sex, 08/15/2008 – 19:19
http://projetofedora.org/atencao-anuncio-de-problemas-leiam-com-atencao
Publicado em: sab, 08/16/2008 – 20:18
http://projetofedora.org/novidades-sobre-o-problema-na-infra-estrutura-do-projeto-fedora-internacional
Publicado em: ter, 08/19/2008 – 03:05
http://projetofedora.org/mais-novidades-sobre-problema-na-infra-estrutura-do-projeto-fedora-internacional
Publicado em: sex, 08/22/2008 – 20:23
http://projetofedora.org/relatorio-final-sobre-problema-na-infra-estrura-do-projeto-fedora-internacional
Você precisa de mais alguma informação? Estaremos a disposição caso você não encontre alguma informação desejada, mas por favor, procure no lugar correto antes de *qualquer* coisa.
Diego Búrigo Zacarão
Membro do FLSCo
Embaixador do Fedora no Brasil
Tá na cara que teve um administrador incompetente (ou alguns) por trás dessa invasão aos servidores do Fedora e Red Hat! Eu não acho que tenha sido culpa do sistema!
Quando um servidor Windows é invadido, quala desculpa que dão? Que é culpa do administrador! Pois bem, então, neste caso da invasão dos servidores do Fedora e da Red Hat, deve ser culpa do administrador também!
Não vamos julgar o sistema fedora, pois estamos fazendo o possivel para a dilvulgação e nunca esconder qualquer erro no sistema fedora. Nunca ocultamos qualquer tipo de informação do que acontece em nosso sistema e se precisar de alguma informação acesse ao nosso site pois sempre colocarmos mais informações tanto la quanto nos maiores sites de SL da brasil.
a Redhat foi certa em comunicar. ai toda a imprensa sai falando.
quando a debian teve invasao. nao se falou nada. e ninguem saiu escrevendo e fazendo aue.
“Há, portanto, a hipótese de algum pacote ter sido adulterado.”
Na verdade, a possibilidade de algum pacote ter sido adulterado é praticamente nula. O invasor não obteve acesso a senha da máquina. Tirar os servidores do ar é um protocolo padrão de segurança que, é claro, nós do Projeto Fedora não deixaríamos de adotar, muito menos a gigante Red Hat.
Mesmo sabendo que é mínima a possibilidade de nossas senhas terem sido violadas, assim como qualquer um dos nossos pacotes, a infra estrutura do projeto começou a mudar todas as chaves ssh e realizou um verdadeiro pente fino, trabalhando quase que sem parar por mais de uma semana.
Nossos usuários podem permanecer tranquilos, o projeto aproveitou a oportunidade para adicionar umas melhorias que estavam agendadas há muito tempo mas que exigiam um trabalho mais profundo nos servidores.
os embaixadores tão nervosinhos ;(
é.. realmente isso ocorre, e não vejo problema algum ficar por uns dias sem atualizar seu sistema. creio que a redhat não vai perder a confiabilidade dos seus usuários por causa desse ocorrido, façam uma comparação com a concorrente e veja a diferença.
espero que isso não se torne uma tendencia para os nerds donzelos ;)
Podem falar mal de Windows ou linux , Unix e Mac OS.
Esses sistemas são confiaveis e seguros, sim eu incluo o Windows nessa.
Aqui digo em relação a servidores e não desktops em casa.
Os sistemas operacionais pra servidores são seguros sim, claro que pode ter falhas e um hackers se utilizar delas.
Mas quem é o responsavel por deixar o servidor seguro , bem atualizado com pacth ou service pack como queiram?
É o administrador.
Ta certo que o sistema pode ser mais propenso a ter falhas de segurança, mas quem tem que ficar de olho e fazer toda a configuração do sistema é o administrador.
Sei que muitos ai vão zuar dizendo que eu to errado em afirmar que o Windows Server(2003 ou outro qualquer) seja seguro e confiavel.
Mas quem faz ser seguro e confiavel é o administrador.
Instala um Linux(qualquer distro) , um Unix(qualquer um) , um Windows server e um Mac Os pra servidores(eu sei que tem um, não sei o nome rs) de forma default. Todos eles sem exceção vão ter vulnerabilidades que podem ser usadas pra invadir o servidor.
Olha que não estou nem colocando que nesse servidor possa ter um banco de dados , servidor http ou outros serviços que também se mal configurados deixam brechas que podem ser usadas pra invadir um SO.
Então antes de jogar pedra e dizer que o Red hatFedora agora não é confiavel , pensem nisso.
Legal, o que isso tem a ver com o tópico?
O OpenBSD não.
Acho que me expressei mal …
Não quer dizer que seja vulnerabilidade no sentido de o SO ter uma falha.
A vulnerabilidade que quis dizer era que se você instala com as configurações de segurança e outra por default.
Pode ser que por default algumas portas fiquem abertas.
No caso de instalar servidor http(apache por exemplo) ou banco de dados e outros serviços.
Quando são instalados por default a segurança ou é minima ou é nula.
Cabe ao administrador fazer uma configuração de segurança mais fina.
Fechar portas no firewall , desabilitar certos serviços que não serão usados.
Tem certas falhas que não está ligada ao SO em si e sim ligada ao software instalado.
Como assim “algumas portas fiquem abertas”?
No caso por exemplo deixar o ssh logar como root direto, o cracker já olha e pensa, “hum meio caminho andado agora só falta saber o nome da namorada/filho do administrador para usar como senha.
A configuração padrão do ssh em todos os sistemas que eu peguei até hoje é a de não permitir login como root…
Mesmo assim, isso não tem a ver com portas. A porta do ssh continua aberta normalmente nesse caso. (no caso de ser resposta à minha pergunta, não sei se era)
Não, você se expressou muito bem. E reitero, no OpenBSD não é assim. Experimente e verá. Não é por acaso o slogan “Secure by Default”.
Eu também achei esquisito. Estou com a impressão de que ele não sabe o que está dizendo, e que os comentários dele são meras especulações de um usuário sem qualquer experiência no assunto…
Lembro que o professor do curso de administração de linux nos explicou sobre fechar e abrir portas no iptables.
Por isso imaginei que ao instalar o linux ou o unix algumas portas por default fiquem abertas.
Ai cabe ao administrador fechar essas portas que não serão utilizadas por algum serivçosoftware.
Igual por exemplo você colocar um software de p2p e depois que desinstalar não fechar a porta que o tal programa usa.
O SO pode ter um firewall bacana com tudo configurado certinho , mas se depois começar a tirar um software e o administrador não for lá e fechar a porta do serviçosoftware ai o SO pode ser atacado nesse ponto.
Foi nesse ponto que eu quis dizer , configurar um firewall no inicio é bacana , tudo fica a mil maravilhas.
Mas se passar o tempo e não ficar de olho quando se tira um programa que funcionava em uma porta x ou y.
E numa falha dessas de um administrador que um servidor pode sere invadido.
Eu tenho vontade de instalar um BSD em minha maquina , só estou aguardando um tempo pra comprar uma maquina nova e ai vou poder estudar melhor.
Fazendo pós fica dificil pra mexer , pois preciso de certas coisas no Windows pra fazer os trabalhos e tal.
Mas assim que comprar outra essa maquina fica pra instalar um BSD ou um OpenSolaris que achei bacana também.
Bruno,
“Igual por exemplo você colocar um software de p2p e depois que desinstalar não fechar a porta que o tal programa usa.”
Monte um blog para compartilhar sua experiencia.