Capital Digital – Política e Ecomomia do mundo digital – Por Luiz Queiroz [Unofficial]Debate sobre data center alerta para o Brasil se transformar em “colônia digital”
MBA em privacidade e segurança da informação abre nova turma para servidores públicos
Celepar: relatório aponta “fato consumado” para impedir revisão da privatização
Paulo RenáNovo texto no @TecMundo! 🍄💉
Usei a metáfora de The Last of Us para discutir o pânico regulatório em torno do ECA Digital (Lei nº 15.211/25). O ponto é: não precisamos destruir o laboratório, precisamos calibrar a vacina.
A ANPD abriu tomada de subsídios até 15/06. É o momento de quem entende de tecnologia e direitos digitais entrar no debate para garantir normas exequíveis e segurança jurídica.
Confira a minha análise completa: https://www.tecmundo.com.br/seguranca/412835-a-vacina-do-eca-digital-calibrar-o-remedio-e-melhor-do-que-destruir-o-laboratorio.htm
Backup soberano nacional desafia domínio estrangeiro em dados corporativos
veroandi_brPassei uma noite dando uma olhada nos logs no servidor e encontrei algo muito bizarro. Vai vendo.
Há uns meses atrás eu tinha instalado o Linkwarden no meu servidor para substituir o Pocket e poder salvar os artigos que eu leio online. Instalei o plugin no navegador para ficar mais fácil salvar os artigos, o que era bem prático pois bastava um clique e o artigo ficava arquivado.
Mas o Linkwarden nunca funcionou muito bem para mim, tinha uns bugs irritantes e no final das contas eu encontrei minha felicidade usando o ArchiveBox para arquivar os artigos + FreshRSS para assinar os RSS.
Quando se hospeda coisas no próprio servidor, é sempre bom eliminar o que não se usa para evitar aumentar a superfície para ataques, então depois de testar algumas ferramentas, se eu não usar muito, eu apago.
Então eu desinstalei o Linkwarden via a interface do Yunohost no início do ano.
Qual não foi minha surpresa ao analisar os logs em /var/log/nginx e encontrar um do linkwarden com data de última atualização daquele dia mesmo.
Ué, eu não tinha desinstalado? Por que tem coisa sendo logada sob o nome do Linkwarden? Estranho. Abri para ver o que tinha.
Basicamente continha todas as páginas que eu acessava no meu navegador, em tempo real, e todas as palavras que eu busquei no sistema de busca do navegador nos últimos tempos.
Em outras palavras, tudo o que eu via naquele navegador.
Logo concluí que tinham instalado um spyware que ficava registrando tudo o que os usuários faziam na plataforma. Onde e como encontrar isso? E além disso, quem faz isso provavelmente envia os links para algum servidor remoto. O desespero. Justo eu, com tantos cuidados que eu tomo com um monte de coisa?
Paniquei e desanimei. Tá muito difícil se proteger hoje em dia, e quando vc se dá ao trabalho de auto-hospedar softwares para vc, é justamente para evitar esse tipo de problema. Vc confia no software open source, na comunidade, etc.
Começo a testar. Abro outro navegador, visito um site, mas nada é logado no servidor. Em seguida abro uma janela privada do navegador principal, de onde tudo era coletado, testo coisas na barra de endereço: nada é logado.
Bom, tem alguma coisa de sessão então, presumi. Será que era por que eu estava logada na conta do Yunohost? Mas o que é que tem a ver uma coisa com a outra?
Fico parada olhando a tela fazendo o luto de mais uma confiança depositada e frustrada e tentando fazer os neurônios funcionar e encontrar a causa.
Percebi que tinha um log complementar que registrava todas as tentativas de acesso ao meu Linkwarden que não mais existia, também em tempo real. Abro o log, e tem centenas de robôs acessando o endereço o tempo inteiro, instantes antes. Mas como é possível se eu desinstalei o programa?
Ah, claro. Eu esqueci de deletar o subdomínio destinado ao Linkwarden. Tonta. Fui lá apagar então. Não teve mais logs de tentativas de ataque por robôs, pelo menos.
De repente o olho bate no alto do navegador: pqp, o plugin. Era a merda do plugin que registrava todos os sites que eu visitava, e logava tudo no meu servidor. Desinstalei o plugin, testei acessar algum site e nada mais foi registrado. Mistério aparentemente resolvido.
Exceto que:
- por que o plugin continuou a enviar a informação dos sites que eu visito para o meu servidor, apesar da plataforma minha do Linkwarden não existir mais? Em outras palavras, com a supressão da plataforma inteira, não existe mais o nome de usuário com o qual eu tinha me logado no plugin, então por que ele continuava conectado à plataforma inexistente?
Certamente tem uma falha aí. Não sei se ter o Yunohost como intermediário impacta em alguma coisa. Esse ponto está em aberto.
Mas tem outro problema.
Eu era usuária única, mas era possível criar contas para outras pessoas, assim como acontece com instâncias do Fediverso: vc instala o programa e abre para outras pessoas criarem conta. Eu poderia ser uma empresa, associação, admin de um clube de amigos e oferecer conta no Linkwarden para terceiros. E isso significa que a pessoa que administra aquilo, no caso eu, tendo acesso aos logs, poderia consultar o histórico de navegação de todo mundo em tempo real. "Só" isso. 😵💫
Eu não entendo a lógica de um arquivador de sites registrar cada informação inserida na barra de endereço do navegador em um arquivo de log, seja uma url ou uma palavra no buscador. Digamos que, se ele registrasse apenas os sites que escolhemos arquivar, ok, talvez fosse útil para debugar alguma coisa. Mas ele registra tudo! Vc quer procurar receita de bolo de chocolate, aparece no log. Vê um vídeo no Youtube? Marcado no log. Todas as urls de perfis que vc visita? Logado. Perguntas existenciais, médicas, financeiras? Tudo logado. WTF? Para quê isso?
Não estamos em um caso de falha de segurança por ter deixado de fazer algo, mas sim em um caso de um código ter sido feito de forma pensada e intencional de logar informações desnecessárias e potencialmente sensíveis. Nada se registra em log sem comando expresso do programador para fazê-lo. Talvez exista uma boa razão para isso, poderia ser útil para debugar, mas é mesmo necessário registrar esse tipo de coisa? Tipo, tudo?
Por fim, deixo a mensagem para aqueles que usam Linkwarden de terceiros: saibam que é possível que os sites que vcs visitem fiquem registrados e acessíveis ao dono da plataforma que vcs usam.
Se vcs quiserem manter a conta, desvinculem da identidade de vcs: usem um email falso e não visitem ou arquivem páginas que possam ajudar a identificar quem vcs são.
Não quer dizer que o admin veja esse tipo de coisa (não é facilmente acessível), e possivelmente muitos nem saibam que isso é possível, principalmente os que são leigos e criam uma instância do Linkwarden na melhor das boas intenções.
Talvez o admin nem saiba quem vc é pois existem milhares de contas, e vc foi diligente de usar um email falso ou alias para criar a conta - nesses casos, a menos que vc digite seu nome na barra de endereço repetidamente para procurar o que dizem de vc na internet, talvez nem seja possível ligar a sua identidade verdadeira àquela conta no Linkwarden.
Muitos admins, ainda que tenham acesso a informações sensíveis, não se interessam em ficar vendo pois são hacker éticos ou militantes por proteção à privacidade, como algumas associações e cooperativas são, e que oferecem esse tipo de serviço para suas comunidades.
Mas fica o alerta:
- admins: ser cuidadoso com o que vcs instalam no servidor e oferecem acesso para as pessoas. Vcs são responsáveis por dados pessoais coletados indevidamente, ou sem necessidade, por aplicações de terceiros.
- usuários: como sempre, prestem atenção nos sites onde vcs criam conta, os plugins e apps que instalam etc. As mesmas recomendações de segurança de sempre.
Brasil de Fato [Unofficial]Lula critica big techs e avanço da extrema direita durante a 1ª Cúpula Brasil-Espanha
Guia de TICurso LGPD Gratuito: Aprenda DPO na Prática e Proteção de Dados nas Empresas
https://guiadeti.com.br/curso-lgpd-gratuito-dpo-pratica/
#compliance #cursogratis #dpo #lgpd #privacidade #protecaodedados #segurancadainformacao #tecnologia
https://guiadeti.com.br/curso-lgpd-gratuito-dpo-pratica/?fsp_sid=935
Caixa publica polêmico contrato emergencial de R$ 8,1 milhões
Mauricio CassemiroA maioria das empresas acha que tem backup…
Até o dia que precisa dele.
E aí descobre que:
não estava atualizado
não cobre tudo
ou simplesmente… não funciona
Backup não é custo.
É o que separa um susto de um desastre.
👉 Conheça o 𝗶𝗗𝗿𝗶𝘃𝗲: https://mauriciocassemiro.click/idrive
#Backup #iDrive #SegurançaDaInformação #Cloud #TI #ProteçãoDeDados #Empresas #CloudComputing #CyberSecurity #TI #GestãoDeRiscos #BackupEmNuvem #SegurançaDigital #TransformaçãoDigital
