Perguntinhas ingênuas:
Exitem Piratas Legais ? Qual é o prêmio de maior Valor no Cassino que é o TSE? As cinco mil merrecas? Ter sido o primeiro a 'matar a cobra e mostrar o pau ? ***O que tem makior valor ? A segurança do indivíduo (Pirata) ? A Segurança da Sociedade (Auditabilidade do Processo Eleitoral)? É isso! fernando gonçalves 13 9109-6150 "Tenho convicção que teremos uma sociedade melhor e mais justa quando todos tiverem conhecimento de seus direitos e deveres para com o próximo." --- Em seg, 26/10/09, Marco Carnut <k...@tempest.com.br> escreveu: De: Marco Carnut <k...@tempest.com.br> Assunto: Re: [PSL-Brasil] Hackers acusam TSE de manipular desafio de urnas eletrônicas Para: "Projeto Software Livre BRASIL" <psl-brasil@listas.softwarelivre.org> Data: Segunda-feira, 26 de Outubro de 2009, 11:58 Prezados, Eu não sou um dos grandes participantes dessa lista, mas eu a acompanho semi-regularmente porque, a despeito de alguns ocasionais quebra-paus, aqui aparecem notícias e opiniões interessantes. Creio, porém, que eu possa dar uma contribuição significativa sobre esse assunto porque tenho uma empresa que realiza comercial e profissionalmente o serviço de testar a segurança de sistemas computacionais. Numa tentativa talvez fútil de não ser acusado de estar fazendo propaganda, nem vou mencionar o nome dela. Qualquer um interessado em saber rapidamente será capaz de catar no Google quem sou e qual ela é. Ou quem sabe o Pedro Rezende, velho amigo e habitué dessa lista, possa me apresentar. Na condição de quem já viu e/ou participou direta ou indiretamente de talvez uma centena de trabalhos de Ethical Hacking, afirmo-lhes que, salvo uma, as condições impostas pelo TSE não são pouco razoáveis, nem sequer incomuns no mercado. Ao sermos contratados, vários clientes colocam nos contratos um monte de restrições no escopo ou na metodologia que por vezes soam esdrúxulas e que atrapalham, sim, tendendo a tornar o resultado míope -- mas não totalmente inútil. O fato de, apesar disso, nossa taxa de sucesso ser historicamente superior a 90% apenas mostra a) o quão frágil é a segurança dos sistemas computacionais e b) o quão pouco eficazes essas restrições são para um time realmente competente. Mas se é o que o cliente quer, terá de ser assim e pronto; a função última de toda operação comercial é dar aquilo que o cliente quer, nada menos e, nesses casos, nada mais. O cliente não é o obrigado (ao meu ver, infelizmente -- vide http://www.postcogito.org/Kiko/EsqueletosNoArmario.html) a testar seu site nem a aceitar compulsoriamente a metodologia de ninguém. Em vista disso, não considero a iniciativa do TSE "idiota". Pelo contrário, acho até uma mudança de atitude histórica, dada que a abordagem anterior deles parecia ser rechaçar sistematicamente qualquer possibilidade de o sistema pudesse ser menos que perfeito, ao bom estilo "la garantia soy yo!". Isso posto, acho que a iniciativa do TSE é, no máximo, não muito bem concebida, pois: a) o prêmio de R$ 5.000,00 é muitíssimo inferior ao preço comumente praticado no mercado por esse tipo de auditoria, mesmo em um escopo sufocantemente pequeno. Tende a atrair aventureiros em busca de notoriedade e não especialistas sérios. Com efeito, esse foi o principal motivo de minha empresa não ter sequer se interessado em participar. b) A urna eletrônica é apenas parte do processo eleitoral. Garantir que a urna eletrônica seja segura "standalone" é necessário, mas não suficiente, para que o processo eleitoral como um todo seja seguro. Há diversos outros sistemas computacionais e processos humanos envolvidos, como bem colocou um dos entrevistados na matéria jornalística. Quando o Banfy diz que um resultado negativo não garante que a urna seja segura. Mas também é verdade que um resultado positivo garante que ela é insegura. É por isso que, para esse tipo de situação, acho que os testes deveriam periódicos, parte intrínseca do processo, e deveria haver um tipo de revesamento: um ano vai ser o time tal, outro ano vai ser o time tal, algo nessa linha, para minimizar o efeito o "olho viciado" e outras coisinhas comuns no mundo real, tais como conluios ou arrumadinhos. Não é uma estratégia perfeita, mas não conheço outra melhor. Um dos entrevistados citou o clichê que "em informática não existe sistema seguro". Esse é um sofisma sutil. Se por um lado isso é verdade do ponto de vista estritamente lógico, essa frase costuma ser mais usada para justificar a falta de empenho em tornar os sistemas adequadamente seguros, tipo "nosso objetivo é intrinsecamente inatingível, então não vale a pena nem tentar". Ledo engano. Na condição de quem já viu centenas de sistemas computacionais vulneráveis, eu posso lhes garantir que existem, sim, sistemas extremamente resistentes a ponto de podermos "arredondar" e chamá-los de seguros sem estar forçando demais a barra. Mas eles dão uma trabalheira de fazer, frequentemente bem acima do que a maioria das pessoas e instituições costumam querer dispender. Em outras palavras: se por um não existem sistemas 100% seguros, existem, sim, sistemas seguros o bastante. Mas, realmente, são raros. Meu oftamologista diz que "pra quem era cego, voltar a ter 10% de visão já é estar vendo muito". A atitude anterior do TSE parecia insistir em que ficássemos cegos; agora nos franqueiam a possibilidade de vermos talvez uns 10%. É um começo, talvez um começo não muito grandioso, mas um começo. Àqueles que optarem por participar apesar das condições adversas e recompensa pífia, meus sinceros respeitos, pois serão vocês que abrirão a trilha para que algum dia venhamos a ver mais do que 10%. E digo mais: atribuo pelo menos em parte a possibilidade desse "começo" à militância de muita gente persistente e corajosa, muitas das quais frequentam esta lista, aos quais eu, como cidadão, estendo minha gratidão. Por favor, continuem em sua militância e contem comigo no que eu puder ajudar. No dia que o TSE sair dos atuais 10% e for para, quem sabe uns 50% e estiver disposto a pagar o que isso realmente custa (valor irrisório se comparado ao custo total das eleições), estarei na fila para participar. --Marco "Kiko" Carnut, CISSP #22767 _______________________________________________ PSL-Brasil mailing list PSL-Brasil@listas.softwarelivre.org http://listas.softwarelivre.org/mailman/listinfo/psl-brasil Regras da lista: http://twiki.softwarelivre.org/bin/view/PSLBrasil/RegrasDaListaPSLBrasil SAIR DA LISTA ou trocar a senha: http://listas.softwarelivre.org/mailman/options/psl-brasil __________________________________________________ Fale com seus amigos de graça com o novo Yahoo! Messenger http://br.messenger.yahoo.com/
_______________________________________________ PSL-Brasil mailing list PSL-Brasil@listas.softwarelivre.org http://listas.softwarelivre.org/mailman/listinfo/psl-brasil Regras da lista: http://twiki.softwarelivre.org/bin/view/PSLBrasil/RegrasDaListaPSLBrasil SAIR DA LISTA ou trocar a senha: http://listas.softwarelivre.org/mailman/options/psl-brasil
