Invasão da PSN: Serviço da Sony usava Apache desatualizado, sem firewall
Gene Spafford, um dos pesos-pesados históricos da análise de segurança na Internet, foi convidado a testemunhar em uma investigação do Congresso dos EUA sobre o recente caso da invasão da PlayStation Network, que tirou o serviço do ar e colocou na mão de criminosos os dados pessoais (e possivelmente os dados de cartão de crédito) de milhões de usuários.
A situação descrita por Spafford é detalhada, mas vou resumir: é péssima. Servidor web Apache velho e sem aplicação de atualizações, exposto à Internet sem firewall – algo pouco tolerável em um empreendimento amador, mas completamente inaceitável nos servidores que contém os dados confidenciais pessoais e de crédito dos clientes da segunda mais popular rede de jogos on-line do mundo.
Para piorar, a situação descrita acima foi comunicada em fóruns monitorados por empregados da Sony, meses antes do ocorrido.
Que karma, hein, Sony? Se for demonstrada a conduta temerária e imprudente na gestão da privacidade de dados tão valiosos, não há dúvida de que os prejudicados irão buscar a reparação financeira dos danos causados pelo vazamento de informações confiadas à empresa. (via osnews.com)
@brlinuxblog
Feed RSS
E assim, mais uma dúzia de estagiarios foi Empalada no mundo… :D
Que bom que a notícia surgiu Antes que o FUD recorrente de dizer que Software Livre não é seguro e tralalá.
Augusto; sempre com seu bom humor ao escolher as imagens relacionadas…hahahahaha
E eles ainda dizem, sem a menor cerimônia:
“Sony has been the victim of a very carefully planned, very professional, highly sophisticated criminal cyber attack,”
Quer outro exemplo? A companhia de eletricidade do Ceará é parte de uma multinaiocnal e deixa acessíves os dados de todos os clientes. Basta mandar uma requisição HTTP GET (sem precisar se autenticar) e vc consegue a conta de qualquer pessoa física ou jurídica.
Juan,
Denuncia ao ministério público daí.
Ou seria outro órgão? Não sei. Enviando para as grandes redes de imprensa deve ser mais eficaz, infelizmente.
Nosso mercado de TI é lindo.
Ao encher de grana os bolsos dos CEOs ou para contratar advogados caros para processar hackers fundo de quintal não falta verba. Agora, para contratar um bom técnico, cada centavo é pensado como custo e não investimento.
Essa não é a primeira bola fora da Sony. Não podemos nos esquecer do calcanhar de aquiles que detonou toda super segurança anti pirataria do PS3. Basta ler o capitulo sobre RSA do livro do Scheinider. O primeiro ataque possível ao RSA é justamente a escolha de numero primo constante para gerar chaves.
O que deve ter acontecido na sony é o mesmo que acontece em 9 de cada 10 empresas de TI. Quando se contrata o gerente, que mal sabe dividir tarefas, gasta-se rios de dinheiro. Mas na hora de contratar um programador, contrata-se o sobrinho, bem barato.
Um adendo.
quem que poderia ter sido um windows server com iis…
@Weber Jr
Já entrei em contato com a empresa e pedi que fosse consertado; estou esperando um mês para fazer a denúncia se continuarem com o sistema aberto. O mais engraçado era a menina do tele-atendimento: “para estar vendo a conta o senhor precisa estar logado…”, passei pra ela a URL e ela não conseguia escrever direito, no final, disse que ia passar “pro departamento de TI”.
Realmente, coisa de amador…
HAHAHAHAHA MCDR!!
Apache? Realmente coisa de amador e que não tá nem aí pra segurança.
Plantão “Mãe Joana” informa, um tsunami de pedidos de indenização está por vir …
Çeguirância? Eu agarantiu!!!
@Alexandre Arruda Paes
Nem sempre, muitas vezes são os próprios gerentes que preferem deixar como estar, algo do tipo: time que estar ganhando deixa do jeito que estar até quando explode uma bomba dessas.
Na boa: uma equipe de TI cometer tais erros (uso de softwares desatualizados e a ausência de firewall), mesmo que sejam as mais limitadas técnicamente, ainda assim está estranho demais para o meu gosto… &;-D
@LeoM
Se entendi bem, você disse que o Apache é um servidor inseguro, por natureza.
Gostaria de saber qual a sua alternativa ao Apache.
Até onde sei, um servidor web têm a obrigação de efetuar o parse de uma requisição HTTP e entregar para algum módulo ou outro servidor responsável por executar lógica.
No caso da PS3 falar que é culpa do Apache e falta de firewall é fogo. Mesmo em caso de uma falha catastrófica os dados deveria estar seguros e protegidos no banco de dados e por uma forte camada de segurança nos servidores de aplicação.
Acho que além de infraestrutura ruim, faltou na PS3 uma arquitetura segura. Provavelmente colocaram o servidor de banco com a senha padrão. :D
Será que depois desta e muitas outras, os administradores de verdades serão valorizados? O investimento em TI (meu CPD está uma me**a) quando pedido em ofício vai ser atendido? Não, não vai adiantar, pelo menos onde trabalho, tenho que se virar. E aí de dar algum problema mais sério… Dados são bem “backupeados”, mas o problema é a “vazão” de dados que não posso nem pensar, se acontecer…
Ora, eles passam o tempo todo jogando, pq gastariam o preciso tempo pra preparar firewall, verificar politicas e updates?! É pedir demais ne! :-P eauheauhaehuaehuahehuuhaeruherahu
Será que a Sony esqueceu de atualizar o Apache e de instalar um firewall por estar muito ocupada com o processo contra o GeoHot?
Segundo a info o grupo Anonymous já se defendeu :
http://info.abril.com.br/noticias/seguranca/anonymous-contesta-acusacoes-da-sony-05052011-44.shl
ISSO é o que esse “ESPECIALISTA” se segurança alega.
ta que nem mãe dina.. DEPOIS que acontece TODO MUNDO ACERTA!
isso ta me cheirando a gente que quer audencia na desgraça dos outros.
Vou comprar duas caixas de Chupa Chups, sendo que uma vou enviar para a Sony e outra para a Oracle, epigrafadas como sendo de “Telly Savalas”.
Colocaram um alface, para tomar conta dos firewalls ¬¬
É ISSO AI SONY, NUNCA ME ENGANEI SOBRE SUA COMPETENCIA DESDE O PRINCIPIO… TSC…
nem sei em que mentira acreditar
deixa ver ……..a mesma gigante empresa que cria tecnologias inovadoras , aparelhos de consumo , sistemas de segurança , medicina ,telecomunicaçoes usados no planeta inteiro e ate no espaço
não faz manutenção a servidores usados por milhoes…………..e não usa firewall…………..pois…mais nada……….espero que continuem a mandar perolas destas
e claro don’t buy ssssony
Não existe sistema perfeito! Se o seu sistema é perfeito então ele já está desatualizado!
Tem até uma imagem que ilustra isso!
Tem uma site de marca de jóias famosas ai que aceita sql injection! Meu amigo que me mostrou, ele fez na minha frente, e ali estavam, cartões de todas pessoas com $$ que compraram no site!
Todo lugar tem uma falha, o problema é o tamanho da falha!
E claro o maior dos problemas! “Pessoas” O que adianta um sistema com 10 firewall , isso e aquilo! Se a senha é admin/senha123 !
@Daniel Gurgel
Não duvido NADA que seja algo assim mesmo !
Cloud computing fail