Saiu a release candidate do Owasp top 10, 2010!

O PDF estava no meu e-mail há alguns dias, mas só hoje consegui dar uma atenção.

O Owasp Top 10 é uma lista dos principais riscos aos quais as aplicações web estão submetidas. A escolha desses riscos é feita através da metodologia do projeto Owasp, bastante completa e amplamente discutida.


Veja os top 10 de 2010:
* Preferi não traduzir o nome das falhas por que é mais fácil encontrar referências sobre elas em inglês.

A1 Injection
Brechas de injeção, como as de SQL, Sistema Operacional, e LDAP, ocorrem quando dados não confiáveis são enviados a um intepretador como parte de um comando ou query. Os dados hostis do atacante podem enganar o interpretador fazendo-o executar comandos indesejpaveis ou acessando dados não autorizados.

A2 Cross Site Scripting (XSS)
Brechas de XSS ocorrem sempre que uma aplicação usa dados não-confiáveis e os envia para um browser se a devida validação e tratamento (scaping). XSS permite que o atacante execute scripts no browser da vitima, que pode sequestrar sessão de usuário, deformar web sites, ou redirecionar o usuário para sites maliciosos.

A3 Broken Authentication and Session Management
Funções da aplicação relacionadas a autenticação e gerenciamento de sessão são mal implementadas com freqüência, permitindo atacantes a comprometer senhas, chaves/índices, tokens de sessão, ou explorar brechas de implementação para assumir a identidade de outros usuários.

A4 Insecure Direct Object References
Uma referência direta a um objeto ocorre quando um desenvolver expõe a referência a implementação de um objeto interno, como um arquivo, diretório, ou índice de banco de dados. Se uma verificação de controle de acesso ou outra proteção, atacantes podem manipular estas referências para acessar dados não autorizados.

A5 Cross Site Request Forgery (CSRF)
Um ataque de CSRFG força o browser de uma vitima logada a enviar uma requisição HTTP forjada, incluindo o cookie de sessão da vítima e qualquer outra informação de autenticação, para uma aplicação web vulnerável. Isto permite que o atacante force o browser da vitima a gerar requisições que a aplicação vulnerável pense que sejam requisições legítimas da vítima.

A6 Security Misconfiguration
Segurança depende da existência de uma configuração segura bem definida para a aplicação, framework, web server, application server, e plataforma. Convém que todas estas configurações sejam definidas, implementadas e mantidas uma vez que muitas não são distribuídas com padrões seguros pré-definidos.

A7 Failure to Restrict URL Access
Muitas aplicações web verificam direitos de acesso antes de renderizar links protegidos e botões. No entanto, aplicações precisam realizar controles de acesso similares quando estas páginas são acessoas, ou atacantes estará hábeis a forjar URLs para acessar essas páginas escondidas de qualquer forma.

A8 UnvalidatedRedirects and Forwards
Aplicações web redirecionam e encaminham usuário para outras páginas e websites com frequência, e usam dados não-confiáveis para determinar o destino das páginas. Sem a devida validação, atacantes podem redirecionar vítimas para sites de phishing ou malware, ou use os encaminhamentos para acessar páginas não autorizadas.

A9 Insecure Cryptographic Storage
Muitas aplicações web não protegem devidamente dados sensíveis, como números de cartão de crédito, SSNs (Números de seguridade social), e credenciais de atenticação, com algoritimos de encriptação e hashing apropriados. Atacantes podem usar estes dados mal protegidos para conduzir furto de identidade, fraude de cartão de crédito, ou outros crimes.

A10 Insufficient Transport Layer Protection
Aplicações falham frequêntemente ao encriptar seu tráfego de dados em rede quando é necessário proteger comunicações sensíveis. Quando elas fazem, as vezes utilizam algorítmos fracos, certificadas expirados ou inválidos, ou não os usam corretamente.

Veja descrições completas das falhas, assim como exemplos, e técnicas e ferramentas que podem ser usadas para mitigar ou eliminar esses riscos.

VIA DIGITAL FECHA NEGÓCIO COM PORTAL DO SOFTWARE PÚBLICO

Olha que notícia interessante. Eu me formei ouvindo quase que diariamente informações sobre o ViaDigital, um projeto tocado na UFSC por um cara que é meu vizinho (mora aqui no condomínio) e foi meu professor, o Delucca. Tinha um colega na minha sala (o Jonatas) que trabalhava com o Delucca no ViaDigital.

O Projeto VIADIGITAL www.viadigital.org.br vem estimulando e aproximando as prefeituras, estudantes, universidades e empresas do setor de TIC, em torno da oferta de soluções de software livre para as prefeituras. A intenção do projeto
é fortalecer o desenvolvimento tecnológico, a geração de oportunidades de negócio, de emprego e renda, de capacitação e informação, e de evolução dos softwares de gestão para os municípios.

A parceria tem como proposta incorporar no Portal do Software Público Brasileiro www.softwarepublico.gov.br a experiência do projeto Via Digital na relação com
os municípios brasileiros, atuando de forma integrada, articulada e cooperada. O Professor De Lucca, da UFSC, considera que o acordo será extremamente útil porque permitirá ampliar a aproximação da comunidade acadêmica e de software livre com os problemas da informatização das prefeituras e, ao mesmo tempo, fornecer para os gestores públicos municipais uma referência inequívoca para a busca de soluções sólidas e seguras visando a melhoria do atendimento da população.

A proposta surge em função da necessidade interna do setor público buscar cada vez mais soluções para compartilhamento, colaboração e cooperação, com objetivo de diminuir os esforços redundantes, reduzir os custos similares, reaproveitar as soluções existentes, aumentar a produtividade e usufruir dos benefícios de ações cooperadas, atividades que o Portal do Software Público vem cumprindo na prática.

De Lucca complementa dizendo que o grande beneficiário será o empreendedor
local, aquele que presta serviços para pequenas prefeituras, pois ele também
terá segurança na adoção de softwares públicos disponíveis no portal SPB
e terá as comunidades virtuais e o Mercado Público Virtual www.mercadopublico.gov.br como parceiros de negócio.

O acordo faz parte da iniciativa da Secretaria de Logística e Tecnologia
da Informação - SLTI, órgão ligado ao Ministério do Planejamento, Orçamento e Gestão, de incentivar o uso das soluções disponíveis no Portal pelas prefeituras brasileiras, com o propósito de apoiar a modernização da gestão municipal.

Esta notícia eu recebi por e-mail, pela newsletter do Portal do Software Público Brasileiro.

Fuel

Em épocas de petróleo a US$ 135,00 / barril, ações de petrolíferas nas alturas, uma imagem quer dizer muito.

Li uma reportagem no Valor Econômico dizendo que há certos campos de petróleo no Oriente Médio que são essenciais para o funcionamento das tropas americanas naquelas bandas e que aprox. 20% dos gastos das forças armadas americada é com combustíveis.

Quanto menos petróleo, mais bombas para poder lançar mais bombas.

A imagem eu ratei do blog do Ulysses (Esquerda Festiva).

Descontinuando...

Estou parando com as atividades do Cirque Du Lelé.
Mas calma. É por um ótimo motivo: estou trocando de blog.

Não é seis por meia dúzia. Acontece que a Da Caverna inaugurou neste final de semana um blog no Kzuka, um dos veículos do Grupo RBS, e é lá que vou passar a escrever com freqüência. Afinal, era uma oportunidade que nós Da Caverna não poderíamos perder: a de pescar várias e diversificadas cabeças através de um meio amplamente divulgado e visualizado.

Neste blog vou manter apenas os posts relacionados a política. Tudo o que eu escrevia sobre cultura e até sobre tecnologia tem tudo haver com o trabalho Da Caverna ou com a minha identidade e criação, assim como de meus irmãos Vina e Vitor (ou seja, com Da Caverna), por isso será escrito lá no Kzuka. Já sobre política são opiniões muito pessoais e não convém misturá-los com os ideais da banda.

Você poderá acompanhar o Blog Da Caverna pelo site da banda (www.dacaverna.com.br) ou por aqui. Pega lá o endereço do RSS e adiciona no seu feed reader. Comenta, manda e-mails, fala mal, fala bem, mas se junte a Da Caverna e faz daquele espaço o seu espaço.

Esses anos 80...

Entre uma pesquisa e outra pelo Google procurando algumas coisas do trabalho, vejam só o que eu encontrei.

No final dos anos 80 eu não sabia ler nem escrever, tomava mamadeira e chupava dedo (e se eu toco bateria hoje, agradeçam a esse maldito hábito que me entortou os dentes) mas já mandava bem no River Raid no Atari. E eu lembro muito bem que um tio meu tinha uns cartuchos proibidos. Só pra adultos.

Taí o que eles escondiam da gente:


É um programete (em inglês) comentando sobre alguns jogos-pornô do Atari. São toscos, mas o legal é a criatividade que a malucada tinha pra fazer (e vender) jogos - porque com certeza devia vender bastante, ou vocês acham que video-game é coisa de criança?

Bizarro!

Pra quem quiser matar a saudade, aqui você pode baixar um emulador pra Atari. E neste site você encontra vários ROMs, que são arquivos-jogos para serem executados no emulador (inclusive os citados no vídeo acima - óbvio que eu procurei e baixei pra jogar).

Rural Rock Fest 2008...

O negócio tá esquentando. Quem ainda não viu, assita agora aos vídeos do Sarcastico.com.br, criados por Bianca Chiaradia, Pauli Mizhaji e Tiago Skárnio.




Tem vários shows de várias bandas, gravadas pelo grande e eterno amigo Dias, lá de Herval D'Oeste (a incorporação está desabilitada e como são vários vídeos, melhor navegar lá no perfil do Dias mesmo).

E em maio... Transito Musical especial. Por Antônio Rossa. Já estou com água na boca.


Em maio provavelmente vai rolar a primeira festa pós-Rural com produção do Rural Rock Fest. Este ano as coisas vão ser diferente pra no ano que vem o negócio pegar mais embaixo. Fique de olho.

Michê

Já não é novidade nenhuma, mas quem não acompanha o blog do Marquinhos, nem do Antônio Rossa, nem do Ulysses, nem do Weiss (será que esqueci de alguém?), talvez ainda não tenha visto este video.

Está "fresquinho" na rede (desde 29/03 - sábado). Foi oficialmente lançado na quinta-feira (para o público, porque um punhado de jornalistas privilegiados já o assistiram na quarta, na coletiva de imprensa) lá na Célula. Eu estive presente pra assistir de primeira mão (não dava pra esperar sair no YouTube depois da bela divulgação que a rapaziada fez). Sem contar que lá rolou também o making off do clipe, com bastante informação interessante e algumas partes engraçadas das cenas, invisíveis no filme finalizado (pena que não estou encontrando no YouTube, imagino que os SSC não tenham colocado ainda).

Da Caverna está trabalhando num video-clipe também. Agora que a Samambaia botou o Michê na roda, o peso aumentou pra gente pois não podemos deixar cair a petaca da qualidade da produção clubedalutana. Aerocirco já tinha lançado em 2007 o clipe de Ser Quem Sou, que tem o roteiro elaborado pelo próprio Jean Mafra, da SSC. Sei que Gubas & Os Possíveis Budas estão no meio do processo também.

Dalhe 2008! As coisas estão empolgantes por aqui. Aguardem e confiem. Por enquanto, curte aí: Michê.


Tem também a última edição do Transito Musical, programa do Antônio Rossa, gravado lá na coletiva de imprensa e com vários comentários de pesos pesados do jornalismo cultural e da própria cena artística catarinense. Vale uma olhada:

Mas a melhor do final de semana mesmo...

Mas a melhor do final de semana vai ser mesmo em Criciúma.

Da Caverna e Leopoldo & Valéria.
Pela primeira vez na casa deles.

L&V são nossos parceiros há anos e são uma das bandas que eu mais respeito e aposto em SC.
Têm um trabalho impecável e um puta rock n' roll sincero e bem tocado.

A Sexta On The Rocks é um projeto que eles tocam lá em Criciúma, chamando bandas parceiras de todos os lugares para dividir o palco com eles. Vai ser um show animal!

As mulheres membros da comunidade Sexta on the rocks no ORKUT que colocarem o nome no tópico Ladies Free (dia 28 de março) entram sem pagar!

COMUNIDADE SEXTA ON THE ROCKS: http://www.orkut.com/Community.aspx?cmm=15702905

Boas pro final de semana...

As clássicas indicações de boas festinhas pra curtir em Floripa.

No sábado:

Lançamento da Coletânea Nós do Rock - só com artista catarinenses.
4 super bandas, todas com canções que fazem parte da Coletânea que as meninas do blog Nós do Rock prepararam durante alguns vários meses de árduo trabalho. Eu estou na espectativa pra ouvir o resultado final. A seleção que elas fizeram dá água na boca e Da Caverna tá ali no meio.

Ainda no sábado, os Tijuquera vão fazer na célula o que eles estão chamando de último show de 2008. No bar que eles próprios criaram, e que tem tudo haver com a banda em si, eles vão se despedir para uma temporada na Europa.

Eu já sabia que eles estavam de malas prontas para o velho continente, mas ainda estou tentando acreditar que este vai ser o último show em solo tupiniquim ainda em 2008. De qualquer forma, que levem o rock com pêxe frito pra bem longe, porque o trabalho deles é digno de ir beeem longe.

Acreditem só se quiser, "patrocinado pela marca Mormaii, [a Tijuquera] embarca no começo de abril para shows em Paris (Favela Chic, La Cigale), em Lisboa (eventos da Rádio RTP), na Espanha (Madrid, Cartagena), Dinamarca (Roskilde), Londres (Guanabara), Suíça (Montreux Jazz Festival) e quem sabe gravar um DVD ao vivo nas ruínas de Pompéia".

Que postem videozinhos no YouTube pra irmos acompanhando daqui.

Então, 2008 last show, na Célula.

E na sexta...

Estréia de Valdir Agostinho no Clube da Luta...
O cara é um figurasso! Típico manezinho da ilha, com umas letras muito inteligentes e uma atuação impressionante no palco. De tirar o fôlego.
Sobre Os Berbigão e Coletivo Operante eu nem preciso falar nada né?

Extraordinário

Parece piada!
Secretário Extraordinário para Assuntos Extraordinários...
e eu achava que o Lula que gostava de criar uns cargos sem nexo.

Vide mais no blog do Vieirão.

GUJAVA-SC no FISL 9.0

Vamos às definições pra não deixar ninguém boiando:
FISL - Forum Internacional do Software Livre
É um dos maiores eventos de sotware livre do mundo e acontece neste ano a nona edição nos dias 17, 18 e 19 de abril no centro de convenções da PUC-RS, em Porto Alegre.

GUJAVA-SC - Grupo de Usuários de Java de SC
Java é uma linguagem de programação de computadores e existem milhares de grupos de usuários ao redor do mundo que se reunem para trocar experiências e informações para fazer melhor uso da linguagem e obviamente temos um em SC, que pode ser considerado hoje um dos mais ativos do Brasil, graças algumas poucas e grande figuras.

Acontece que o GUJAVA-SC terá dois dos seus mais ativos membros paletrando num dos maiores fóruns de TI do mundo. Falo de Bruno Ghisi - o Joca - e Lucas Torri, dois grandes parceiros e alguns dos meus ídolos no ramo da tecnologia. Eles são os criadores do Framework Marge (os frameworks estão paras os softwares como as lages estão para as casas - são as estruturas mais básicas, mas que ditam todo o formato do produto final) utilizado para desenvolver aplicações com Bluetooth, um framework reconhecido e premiado internacionalmente.

Parece brincadeira, mas está acontecendo embaixo do nosso nariz. Os caras são duas celebridades no mundo da tecnologia e volta e meia eles estão tomando cerveja e falando bobagem ali no vasquinho, no Córrego.

Ó Joca e Lucas... vocês têm que parar de dar palestra sobre o Marge longe, pô! Não consigo sair daqui durante a semana por causa do trabalho. Mas mandem ver lá. Mostrem pra eles que belas cabeças também são moldadas pela UFSC. E no meio do ano é Marge no Java One em San Francisco - California.

Workshop de Dubble Drumming - Hoje

Uma quentíssima pra hoje (pena que eu não vou poder ir devido a outros compromissos).

Workshop do meu camarada de KR, Cluver Yu - de Blumenau - ao lado de Ítalo Bruno - de Brasília. Vai ser um puta workshop. KR tá lá dando o apoio.

24/03 - Workshop de Bateria – Double Drumming
Participantes: Ítalo Bruno (Brasília/DF – Instituto de Bateria Alicerce dos Tambores) e Culver Yu (Itajaí/SC – Steel Warrior e Infektus)
Local: JB PUB - Av. Rui Barbosa, 580 (antiga estrada da Rainha, entre Itajaí e Balneário Camboriú) - Praia dos Amores - Balneário Camboriú/SC
Horário: 20h (abertura da casa às 19h)
Fones: (47) 3363-5689 ou (47)3361-1933
Ingressos: R$ 10,00
Informações: frankmetalforce@gmail.com ou (47) 9963-6731
Apoio: JB PUB (o melhor do Rock), KR Drums (baterias customizadas), All The Bangers (webmagazine), Novo Metal (webmagazine) e Zabumba Livros Musicais
Estado: SP

Célula renovada / Kid Vinil / Tô Puto

Pra recomeçar com as postagens-texto, cobri para o Tô Puto a festa oficial de abertura da Célula, o novo "point da galera jovem". Atração da noite era Kid Vinil. Dêem uma sacada aqui.

(Kid Vinil pedindo um autógrafo pra mim)

Choque de gerações

Depois do furacão Rural Rock Fest 2008 (que foi um sucesso - vide www.ruralrockfest.com) fiquei um bom tempo sem conseguir tirar alguns minutos para botar minhas idéias no teclado.

E pra não machucar o cérebro, vou começar devagar. Esta imagem foi surrupiada do blog Trabalho Sujo.

Medidor de banda

Textículo de (in)utilidade pública.

Se você anda meio descontente com os serviços que a sua operadora de banda larga anda oferendo, se você acha que eles estão te enganando com aquela história de turbo 300, turbo 600, 2M e por aí vai, eis que encontrei um pequeno e interessante site que faz a medição da banda.

O funcionamento é simples. Ele manda um arquivo pra você e conta quanto tempo leva pra esse arquivo (que não é virus nem fica gravado na sua máquina) chegar até você. Sabendo a quantidade de dados que foi trafegada e o período de tempo ele pode medir a banda disponível.

Acesse: www.net-uniao.com.br/netscripts/medidor/

Abaixo o teste aqui em casa.É interessante lembrar que essa medição diz respeito à sua conexão com aquele site. Existem vários fatores que podem influenciar no fator banda como o trafego da rede no momento, a quatidade de roteamentos necessária e a banda disponível em cada nó da rede por onde o dado traféga, etc.

Mas provavelmente a sua conexão com outros sites não vai ficar muito longe da banda medida ali.

Mr. Tony Royster Jr!

Esse texto é inspirado por este do Renê Müller lá no Trá-la-lá.

Quem me apresentou este vídeo foi o meu brother Batata, atual baixista da Mindborn (toca no Rural na sexta e amanha dá uma canja no show da Coda no Drakkar). Faz um bom tempo isto. Acho que foi nos idos de 2004 pra 2005, quando ainda éramos sócios da exinta Netpixel.

Trata-se de um solo de bateria do "monstro" da bateria, o senhor Tony Royster Jr. quando ele tinha meros 12 anos. Hoje ele tem entre 23 e 24 anos e toca desde os 3. Decerto matava aula pra tocar bateria também, hehehe.

Apreciem. Perceba a precisão, a dinâmica, a velocidade e a leveza com que o muleque toca a bateria. É impressionante.



As fotos abaixo é do já rapaz Tony, em 1999 tocando ao lado dos também monstros, o americano Dennis Chambers (ex Parliament e ex Funkadelic entre outras) e o panamenho Billy Cobham na PASIC (Percussion arts society international convention.

Lero-lero musical

Ontem teve mais um "lero-lero musical", o primeiro que pude presenciar. É um projeto organizado pelo camarada Marquinhos Espíndola, da coluna Contra-capa do Diário Catarinense, em parceiria com a Livraria Saraiva, no shopping Iguatemi, em Floripa.

Desta vez o convidado foi o jornalista Alexandre Matias, do blog Trabalho Sujo, que há dez anos trabalha com jornalismo cultural. Atualmente também colabora com alguns dos principais veículos da área no Brasil,como os jornais Folha de S. Paulo e O Globo, as revistas MTV, Volume01 e Bravo! e o site da loja SomLivre.com.

O papo começou um pouco atrasado, Matias e Gasperim chegaram depois das 19:00 como era o combinado, mas foi o tempo de dar uma espiadinha nos livros (jogada de marketing - eu mesmo comprei um no final da noite) e trocar uma idéia com o pessoal que estava chegando.

Na pauta, mídia digital, meios de distribuição e música independente. Na verdade esse era o pretexto, porque no final o papo foi muito além disso. Matias começou a falar quem ele era e o que fazia, ao falar disso já começou a emendar a história das mídias de áudio e o papel da internet nos dias atuais. Falou-se bastante sobre a necessidade de lançar disco ou não, o conceito de sucesso (se é que ele existe) e por aí vai. O negócio foi longe, quando o papo estava ficando animado, a loja precisou fechar as portas - clássico.

Minha contribuição para o negócio talvez tenha sido a parte mais chata do bate-papo. Perguntei se ele achava válido as bandas aderirem ao Creative Commons, já que discutíamos mídia digital e pirataria. Falei que conheci o Creative Commons porque também trabalho com tecnologia e com software livre e o cara ao tentar explicar pro povo o que era o Creative Commons acabou divagando um pouco.

Fora isso, foram horas bastante produtivas. Descobri algumas ferramentas interessantes como The Hype Machine, fui alertado a outras como Last.fm que já tinha ouvido falar mas nunca tinha usado e introduzido a uma série de termos do mundo musica internético que, no alto dos meus antiquados 22 anos, ainda não conhecia.

Pra fechar a noite ainda rolaria no Drakkar Fusion a festa "Gente bonita, clima de paquera" onde o próprio Matias estaria discotecando. Nesta parte eu não compareci, peço desculpas ao Marquinho porque havia dito que faria uma força pra ir, mas acabou não dando certo. Pelo que li, parece ter sido boa a festa.

Seja bem vindo

Pra quem ainda não tinha visto esta:

Clique na foto para vê-la em tamanho real

Faltam 2 semanas

Clube da Luta Hoje!

Recebi do estimado André Guesser e repasso:
2 jovens conversando em Floripa

Lá,lá,lá....olha, você aqui de novo?

Oi gata, que coincidência, tudo bem?

Tudo, dando aquela caminhadinha né, sabe como é!

Pode crê, pra manter a forma... mas você é linda, nem precisa caminhar.

Riririri, obrigado, mas estou um pouco gordinha.

Então, hoje tem aquele lance de novo, né?

Sim, sim, já faz 15 dias.

Pô Nicole, eu adorei o Clube da Luta, não conhecia e achei sensacional...

Não falei pra você? Até a feijoada do cacau perdeu força depois do clube.

Deve ser mesmo, pelo menos na última noite estava lotado.

Foi maravilhosa a última edição, autos sons...

É eu também gostei. Tu sabe quem toca hoje, sexta-feira(29)?

Claro, eu estou no mailing-list do projeto, é só você se cadastrar na entrada.

Com certeza vou fazer... tá, mas quem toca?

Hoje tem Aerocirco, Ilha de Nós e Felixfônica, que se não me engano, está estreando no projeto.

Que legal esse negócio de colocar bandas novas, isso dá um gás pro evento.

É verdade, eu conheço as três e adoro.

Eu já ouvi falar, as pessoas falam bem.

As minhas amigas adoram o guitarrista de óculos da aerocirco, acham ele estiloso.

Hááá, esses caras de banda sempre estão uma pinta.

Ó, mas não esqueça que o primeiro show começa às 23h, em... não vai se atrasar!

Não, não, da outra vez quase perdi o primeiro, mas dessa vez chegarei cedo.

É até bom pra você conseguir estacionar o carro mais perto, sabe como é, muita gente.

Bem pensado gatinha... é no mesmo local?

É sim, lá na célula cultural joão paulo, saco grande.

Massa, então nos falamos lá?

Claro, vou terminar minha corridinha, ir pra casa, tomar um banho e ir cheirosa para o clube..

Não esquece das amigas em....

Pode deixar, beijão

Outro gata, até lá!