Categoria
Segurança e WAF
Todas as ferramentas e artigos desta categoria, reunidos em um só lugar.
Ferramentas
Analisador de Cabeçalhos de Segurança
Cole uma resposta HTTP e veja uma análise com nota dos cabeçalhos de segurança, flags de cookies e política de origem cruzada, verificada contra OWASP, RFC 6797, CSP Level 3 e RFC 6265bis.
Analisador de entropia de User-Agent
Cole uma string de User-Agent e veja os tokens identificadores que ela expõe, os bits distintivos que cada um contribui e a migração para Client Hints.
ZscalerPing IdentityAvaliador de CSP
Cole uma Content-Security-Policy, como valor de cabeçalho, linha de cabeçalho inteira, cabeçalho Report-Only, elemento meta ou várias de uma vez, e leia-a como o CSP Level 3 a lê: cada diretiva nomeada e explicada, cada expressão de fonte classificada pela gramática (palavra-chave, nonce, hash, esquema, host e seus curingas), a lista de fontes em vigor por destino pela cadeia de recurso, e uma lista graduada de achados, cada um citando a especificação: 'unsafe-inline' e 'unsafe-eval', fontes curinga, data: e http:, object-src, base-uri e frame-ancestors ausentes, nonces curtos, 'strict-dynamic' sem nonce, palavras-chave sem aspas, pontos e vírgulas faltando, diretivas duplicadas, desconhecidas e obsoletas, diretivas ignoradas em meta ou em Report-Only, e se a política atende à Strict CSP da própria especificação. Só decodifica e gradua, offline: nada é buscado.
Classificador de URL para SSRF
Cole uma URL e veja para onde ela realmente aponta: loopback, uma faixa privada ou link-local, um endpoint de metadados de nuvem, CGNAT, qualquer bloco dos registros de uso especial da IANA ou a internet pública. Ofuscação de IP em decimal, octal e hexadecimal é decodificada, assim como um endereço IPv4 escondido dentro de um IPv6 (IPv4-mapped, IPv4-compatible, NAT64, 6to4, Teredo); esquemas perigosos e credenciais embutidas são sinalizados, e um nível de risco de SSRF é exibido. Nunca resolve DNS e nunca envia a requisição.
Decodificador de fingerprint TLS JA4 / JA3
Decodifique um fingerprint JA4 de cliente TLS ou um JA3 em seus campos, calcule o JA4 com hash a partir dos valores brutos, ou calcule um MD5 de JA3. Detecta automaticamente qual você colar. Tudo no seu navegador.
ZscalerPing IdentityDecodificador de injeção OGNL
Cole uma carga OGNL encontrada num log de WAF ou de aplicação e leia o que ela pretendia fazer. Separa a fuga do sandbox da chamada de execução, nomeia a família de boletim compatível com o formato e sempre declara o que não determinou. Só decodifica - nunca avalia a carga e não guarda modelos.
Decodificador de vetor CVSS
Cole um vetor CVSS v3.1 ou v3.0 e veja a pontuação calculada e mapeada para uma severidade, com cada métrica explicada. Local e offline; nada é enviado a lugar nenhum.
Decodificador SAML
Cole uma resposta ou asserção SAML (bruta, base64 ou URL-encoded) e decodifique emissor, status, sujeito, condições, audiência e atributos, com verificação de assinatura e de algoritmos fracos. Protegido contra XXE.
Ping IdentityDecodificador XML
Cole XML e leia sua estrutura: a declaração, o DOCTYPE e quaisquer entidades, a árvore de elementos com namespaces e atributos, mais uma verificação de segurança da superfície de ataque XML. Nada é buscado ou resolvido.
Fingerprint TLS passivo JA3 / JA3N
Cole uma string JA3 e ela recomputa o hash JA3, computa o JA3N estável a permutação, decodifica os campos, e sinaliza valores GREASE.
ZscalerPing IdentityImpressão digital pela ordem de cabeçalhos HTTP
Cole um bloco de cabeçalhos de requisição e veja como a ordem e a caixa dos cabeçalhos identificam o cliente - o análogo em HTTP passivo do JA3.
ZscalerPing IdentityOrdem de avaliação de políticas PAN-OS
Coloque uma base de regras do Panorama na ordem em que o PAN-OS realmente avalia, trace um fluxo até a regra que decide, e encontre as regras que nunca disparam porque algo acima delas já casou.
Artigos
Headers de segurança HTTP: a camada de defesa em profundidade
O que são os headers de segurança HTTP, por que eles formam uma camada de defesa por cima do código seguro, e não um substituto dele, quais headers têm mais peso e como avaliar num relance a postura de uma resposta.
LerO fingerprint que quebrou e o que o próprio autor escreveu para substituí-lo
O Chrome passou a embaralhar as extensões TLS em 2023, e o JA3 deixou de identificar o Chrome. A correção veio da mesma pessoa que criou o JA3, e o motivo de ela funcionar cabe numa palavra: ordenado.
LerQuantificadores e classes de caracteres em regex
Uma expressão regular é construída a partir de duas perguntas: qual caractere eu quero e quantos deles? As classes de caracteres respondem à primeira, os quantificadores respondem à segunda. Acerte essas duas e a maior parte das regex se encaixa.
LerSAML 2.0: como funciona o SSO no navegador
O que é uma asserção SAML, os papéis do provedor de identidade e do provedor de serviço, o fluxo de Web Browser SSO (login único, do inglês single sign-on) iniciado pelo SP de ponta a ponta, e a diferença entre os bindings HTTP-POST e HTTP-Redirect que transportam as mensagens.
LerContent Security Policy, diretiva por diretiva
Como a CSP funciona como controle contra cross-site scripting e injeção: a forma de uma política, por que default-src importa, o que 'unsafe-inline' e 'unsafe-eval' entregam, como nonces e hashes permitem código inline específico com segurança e para que serve o modo report-only.
LerDentro de uma asserção SAML: sujeito, condições e audiência
A anatomia de uma asserção SAML: o Subject e os formatos de NameID, a SubjectConfirmation do tipo bearer e as verificações de NotOnOrAfter / Recipient / InResponseTo, a janela de validade das Conditions, a AudienceRestriction e o AuthnStatement, com a validação que um provedor de serviço deve fazer em cada uma.
LerGrupos, retrorreferências e lookarounds em regex
Os parênteses fazem muito mais do que definir precedência em uma regex. Eles capturam texto para você reutilizar, nomeiam as partes que importam e — com um prefixo de interrogação — permitem afirmar o que vem antes ou depois sem consumir.
LerAssinaturas SAML e XML-DSig
Como uma mensagem SAML é assinada com XML Signature: o ds:Signature envelopado, os algoritmos SignatureMethod e DigestMethod, por que o SHA-1 é fraco, a diferença entre assinar a Response e assinar a Assertion, e como funcionam os ataques de signature wrapping em XML.
LerBacktracking catastrófico e ReDoS
Alguns padrões de aparência inocente podem levar segundos, minutos ou praticamente uma eternidade em uma string curta. A causa é o backtracking catastrófico, e quando um atacante controla a entrada ele vira uma falha de negação de serviço. Eis por que acontece e como escrever padrões que não podem travar.
LerHSTS e a exigência de HTTPS
Como o Strict-Transport-Security fecha a janela de downgrade para HTTP; o que fazem o max-age, o includeSubDomains e o preload; a brecha da confiança no primeiro uso, que o preload elimina; e os erros de configuração que desativam o HSTS sem ninguém perceber.
LerUma Content Security Policy, lida como o navegador a lê
Um cabeçalho CSP é uma frase numa pequena linguagem formal, e o navegador o lê com um algoritmo que a especificação soletra: dividir nos pontos e vírgulas, passar os nomes a minúsculas, ignorar uma diretiva que se repete, ler cada token de um valor contra uma gramática. A maioria das políticas quebradas quebra exatamente nesses passos, e em silêncio: uma palavra-chave sem aspas vira nome de host, um ponto e vírgula faltando funde duas diretivas numa só, um default-src que parece protetor não governa nada depois que script-src é definido, 'unsafe-inline' ao lado de um nonce é ignorado sem aviso. Aqui está a leitura do próprio CSP Level 3, passo a passo, com a cadeia de recurso, as regras de casamento para curingas, esquemas e endereços IP, o que 'strict-dynamic' desliga, e a política de três diretivas que a própria especificação chama de Strict CSP.
LerÂncoras e limites em regex
Âncoras casam uma posição, não um caractere: o início ou o fim da string, ou a borda de uma palavra. São a diferença entre um padrão que casa em qualquer lugar e um que casa só onde você quer. Este artigo cobre ^, $, \b e seu comportamento em modo multilinha, além dos erros que causam.
LerFlags de segurança de cookies
Como Secure, HttpOnly e SameSite protegem os cookies de sessão, o que cada valor de SameSite significa, por que SameSite=None exige Secure e como os prefixos __Host- e __Secure- impõem essas garantias no nível do navegador.
LerXXE e por que um parser SAML rejeita DOCTYPE
Como funcionam os ataques de Entidade Externa de XML (XXE), a negação de serviço billion laughs, por que ambos dependem de uma DTD, e por que um decodificador SAML reforçado rejeita qualquer DOCTYPE ou declaração de entidade de imediato em vez de tentar interpretá-lo com segurança.
LerBindings SAML e iniciação por SP vs IdP
Um fluxo SAML pode começar no serviço ou no provedor de identidade, e as mensagens podem viajar por dois bindings diferentes: um redirect HTTP com a mensagem compactada na URL, ou um formulário HTML de auto-submit que a envia por POST. Qual binding carrega qual mensagem, e onde o fluxo começa, explica muito do comportamento do SSO.
LerClickjacking e controle de enquadramento
O que é clickjacking, como o enquadramento o torna possível, a diferença entre o cabeçalho legado X-Frame-Options e a diretiva moderna CSP frame-ancestors, por que ALLOW-FROM é obsoleto e como os dois controles interagem.
LerFlags e modos em regex
Uma flag muda como o padrão inteiro casa: sensibilidade a maiúsculas, se ^ e $ enxergam linhas, se o ponto cruza quebras de linha e se o espaço em branco no padrão é ignorado. O mesmo regex pode casar coisas completamente diferentes dependendo de suas flags, então conhecê-las evita muita confusão.
LerO SAML proxy: como inserir uma camada de identidade numa sessão
Um SAML proxy fica no fluxo de SSO em vez do caminho dos pacotes: ele termina a requisição do usuário, força a autenticação contra um provedor de identidade, e só então deixa a sessão passar, usando o modelo de redirecionamento por navegador do SAML. Ele pode agir como provedor de serviço para o IdP e provedor de identidade para a aplicação ao mesmo tempo (um proxy ou broker), que é como um único login federa muitos sistemas downstream. Este artigo explica os papéis, o fluxo, e por que ele é um proxy afinal.
LerComo ler OGNL num log de WAF: o que a carga pretendia fazer
Uma carga OGNL num log tem duas metades que vale distinguir: algo que tenta desligar o sandbox de expressões e algo que tenta executar um comando. Com as duas, é tentativa de exploração. Só com a segunda, normalmente é um scanner percorrendo uma lista. Sem nenhuma das duas, é sondagem verificando se a entrada é avaliada - e essa resposta decide se qualquer outra coisa da lista teria chance.
LerXXE e entidades externas
XML permite que um documento declare entidades, e uma entidade externa pode apontar para um arquivo ou URL. Um parser que resolve uma pode ser enganado a ler arquivos locais ou fazer requisições no lado do servidor, a vulnerabilidade XXE. A correção é direta e eficaz: não processar um DOCTYPE de forma alguma.
LerBillion laughs e expansão de entidades
Entidades podem referenciar outras entidades, e se cada uma multiplica a anterior, um documento minúsculo pode expandir para gigabytes e exaurir a memória. O ataque billion laughs transforma isso em uma negação de serviço. A defesa é limitar a expansão ou recusar o DOCTYPE de imediato.
LerComo funciona a pontuação CVSS
O CVSS transforma uma string de vetor curta em um número de severidade de 0 a 10 usando uma fórmula fixa. A pontuação Base é construída a partir de duas subpontuações: Explorabilidade (quão acessível e fácil é a falha) e Impacto (quão grave é o resultado). Todo o resto refina essa base. Isso é aritmética, não opinião, e por isso uma calculadora reproduz exatamente qualquer pontuação publicada.
LerAs métricas Base do CVSS, explicadas
A pontuação Base vem de oito métricas em duas famílias. Quatro métricas de explorabilidade (Vetor de Ataque, Complexidade do Ataque, Privilégios Necessários, Interação do Usuário) descrevem quão difícil é o ataque, e quatro métricas de impacto (Escopo, mais Confidencialidade, Integridade e Disponibilidade) descrevem o dano. O Escopo é a sutil: é o que permite que uma pontuação ultrapasse a fronteira do próprio componente vulnerável.
LerPontuações Temporal e Ambiental do CVSS
A pontuação Base é apenas o ponto de partida. As métricas Temporais a reduzem conforme os fatos surgem, como o lançamento de um patch, e só podem diminuir a pontuação. As métricas Ambientais permitem que uma organização recalcule a falha para seus próprios sistemas, elevando ou reduzindo a importância de confidencialidade, integridade e disponibilidade e sobrescrevendo métricas base. Ambas são opcionais, mas produzem um número mais honesto.
LerComo ler uma string de vetor CVSS
Um vetor CVSS é uma string compacta e autodescritiva: um prefixo de versão seguido de pares métrica:valor separados por barras. Aprender a lê-la diretamente, em vez de confiar em uma pontuação renderizada, permite detectar erros de transcrição e entender exatamente o que um fornecedor afirmou. As métricas Base são obrigatórias e o resto é opcional.
LerFaixas de severidade do CVSS e o que o score não diz
O número de 0 a 10 corresponde a cinco faixas qualitativas, de Nenhuma a Crítica. Essa divisão ajuda na triagem, mas o score Base do CVSS mede severidade, não risco. Ele não diz nada sobre a falha estar sendo explorada, sobre o valor do ativo ou sobre os controles que você tem. Usar o número Base como fila de prioridade é o jeito mais comum de as equipes usarem mal o CVSS.
LerCVSS v3.0, v3.1 e v4.0: o que mudou
Este decodificador calcula CVSS v3.0 e v3.1. As duas versões v3 compartilham uma fórmula mas diferem no arredondamento e em um termo ambiental, então as pontuações podem diferir em um décimo. O CVSS v4.0, lançado em 2023, é um redesenho maior, com novos grupos de métricas e sem a métrica Escopo, e seus vetores não são compatíveis com ferramentas v3. O CVSS v2 está descontinuado.
LerFingerprinting TLS passivo: JA3, GREASE, e o churn que levou ao JA4
Um ClientHello anuncia o cliente às claras, e a combinação de versões, ciphers, e extensões é característica do software que o enviou. Isto cobre como o JA3 transforma isso em um hash, por que o GREASE precisa ser removido, como a randomização da ordem das extensões quebrou o JA3 (o churn), como o JA3N e o JA4 restauram a estabilidade, e onde um fingerprint TLS se encaixa como sinal para secure web gateways e autenticação adaptativa.
LerO que é server-side request forgery (SSRF)
SSRF é uma vulnerabilidade em que um atacante faz o servidor emitir uma requisição HTTP para um destino escolhido por ele. Como a requisição parte de dentro da rede do servidor, ela alcança serviços internos, metadados de nuvem e endereços de loopback que o atacante jamais alcançaria diretamente. A correção é validar o destino, não o texto da URL.
LerFaixas de IP privadas, reservadas e públicas
A IANA registra todos os blocos IPv4 e IPv6 de propósito especial, de loopback, link-local e uso privado ao espaço compartilhado, à documentação e aos prefixos de tradução, e duas colunas desses registros, Destination e Globally Reachable, decidem se um endereço é um destino público. Depois da leitura, você consegue ler essas colunas, classificar um endereço só depois de transformar sua grafia no número ao qual o cliente se conecta, explicar como um destino público ainda leva para dentro por uma segunda consulta DNS ou por um redirecionamento, citar os endereços de metadados de nuvem e testar um filtro de SSRF.
LerTruques de ofuscação de endereço IP
Um endereço IP pode ser escrito de muitas formas: decimal simples, octal, hexadecimal, forma abreviada e IPv6 mapeado em IPv4. Cada forma volta a apontar para o mesmo endereço, e é assim que atacantes passam um alvo interno por um filtro que só bloqueia a grafia decimal pontuada. Por isso verificações de SSRF precisam decodificar, não comparar texto.
LerEndpoints de metadados de nuvem e SSRF
Toda nuvem grande dá a uma instância um serviço de metadados em um endereço link-local fixo, e ele pode devolver credenciais temporárias do papel da instância. Isso o torna o alvo de SSRF de maior valor. Conhecer os endpoints, e as defesas no estilo IMDSv2, é essencial tanto para entender o ataque quanto para a defesa.
LerComo se defender de SSRF com allow-lists
A defesa durável contra SSRF é uma allow-list de destinos pretendidos, combinada com resolver o endereço antes de confiar nele e reverificar após redirecionamentos. Block-lists de faixas internas ajudam, mas perdem para ofuscação e DNS rebinding. Esta é a abordagem em camadas que se sustenta.
LerEsquemas de URL perigosos em SSRF
SSRF não se limita a http. Esquemas como file, gopher, dict e ftp permitem a um atacante ler arquivos locais ou forjar bytes brutos para serviços internos como Redis e SMTP. Um buscador de URL que não restringe o esquema entrega ao atacante uma primitiva muito mais poderosa do que uma simples requisição web.
LerSSL forward proxy: como funciona a interceptação de TLS de saída e o que a faz falhar
Para inspecionar o tráfego de saída criptografado, o forward proxy faz um man-in-the-middle controlado: termina a sessão TLS do usuário, abre a sua própria sessão até o servidor real e forja um certificado para esse servidor, assinado por uma CA privada em que os dispositivos da própria organização confiam. Este artigo explica a mecânica, o modelo de confiança que torna isso seguro (e perigoso) e por que o pinning, o HSTS e o TLS mútuo derrotam a interceptação.
LerA LGPD para engenheiros: o vocabulário que importa
A lei brasileira de proteção de dados atribui um papel a você, oferece dez bases legais em vez de uma e coloca um relógio de três dias úteis na comunicação de incidentes. O que controlador, operador e encarregado significam quando é você quem opera os sistemas.
LerFingerprinting passivo: o que você emite sem ninguém perguntar
Toda conexão anuncia a sua pilha antes que um único byte de dados da aplicação seja enviado. Como um SYN do TCP, uma string de User-Agent e a simples ordem dos headers HTTP identificam, cada um, um cliente, e por que a contradição entre eles é o sinal clássico de proxy e de bot.
LerHacking no século XX: um guia de campo sobre a gente que desmontava as coisas
De um menino cego assobiando num telefone nos anos sessenta a sete hackers depondo ao Senado americano sob seus apelidos em 1998 - o arco inteiro, num lugar só. Quem eram essas pessoas, o que de fato fizeram, quais histórias são verdadeiras, e como uma subcultura criminalizada acabou construindo a indústria de segurança que hoje a emprega.
LerPhreaking: a rede que assobiava as próprias senhas
Antes de alguém hackear um computador, hackeavam a companhia telefônica - porque a rede de longa distância carregava seus tons de controle no mesmo fio da voz, e um apito de brinquedo de caixa de cereal por acaso cantava a frequência mágica. Joybubbles, o Captain Crunch, o artigo da Esquire que acendeu o pavio, a blue box que dois moleques chamados Steve venderam antes de fundar a Apple, e a lição de arquitetura que a indústria pagou caro para aprender: nunca ponha o plano de controle no plano de dados.
LerO worm de Morris: a noite em que a internet descobriu que era frágil
Em 2 de novembro de 1988 um mestrando de Cornell soltou 99 linhas de C para medir o tamanho da internet. Uma única decisão aritmética sobre reinfecção transformou a medição no primeiro desastre em escala de internet, deu à luz o sistema CERT, produziu a primeira condenação sob o novíssimo Computer Fraud and Abuse Act, e ensinou à rede uma lição sobre monocultura e confiança que ela ainda está reaprendendo.
LerThe Cuckoo's Egg: 75 centavos, dez meses e a invenção da resposta a incidentes
Em 1986 um astrônomo recebeu uma diferença contábil trivial e a ordem de encontrá-la. Ele a seguiu por um laboratório de Berkeley até dentro de redes militares americanas e, do outro lado, até um hacker da Alemanha Ocidental que vendia acesso ao KGB - improvisando, no caminho, o caderno de bordo, a linha do tempo, o honeypot e quase todo reflexo que a profissão hoje ensina.
LerKevin Mitnick: o mito, o homem, e o que o caso de fato decidiu
Chamaram-no de hacker mais perigoso do mundo, ficou anos preso sem julgamento e foi proibido de tocar num telefone sem supervisão - com base em alegações que não sobrevivem ao contato com os autos. A história real é menor e muito mais útil: um engenheiro social de habilidade extraordinária, uma narrativa de imprensa que virou acusação, e um caso que moldou como se acusa crime de computador e como se trata pesquisadores até hoje.
LerKevin Poulsen: o homem que ganhou um Porsche dominando a companhia telefônica
Dark Dante tomou todas as linhas de entrada de uma rádio de Los Angeles para garantir que seria o ouvinte 102, e saiu dirigindo um Porsche. Ele também era funcionário de uma empreiteira de defesa durante o dia, o primeiro americano acusado de espionagem por um crime de computador, e - depois de cinco anos de prisão - o editor que revelou algumas das maiores histórias de segurança dos anos 2000 e coconstruiu um sistema de vazamento para jornalistas.
LerOs 414s e o verão de 1983: o ano em que hackear virou crime
Seis adolescentes de Milwaukee com modems entraram sem querer num hospital de câncer, num banco e num laboratório de armas nucleares. WarGames estreou no mesmo verão. A Newsweek pôs um hacker na capa, o Congresso fez audiências com o filme rodando numa tela, e em três anos os Estados Unidos tinham a lei sob a qual o crime de computador ainda é processado.
LerO Chaos Computer Club, o golpe do Btx e o hack que terminou numa floresta
A cena hacker alemã pegou um caminho diferente da americana: organizada, política e argumentando diante das câmeras. Em 1984 o Chaos Computer Club tirou 134 mil marcos de um banco durante a noite e os devolveu na televisão. Quatro anos depois, outro grupo de Hanôver vendeu suas invasões ao KGB, e um deles morreu numa floresta aos vinte e três anos.
LerLOD, MOD e a Operação Sundevil: a Grande Guerra Hacker e a batida que criou a EFF
Duas turmas brigaram pela rede telefônica americana por orgulho. Então o Serviço Secreto apareceu em quatorze cidades, apreendeu o manuscrito de um jogo de RPG como manual de hacking, e processou uma revista por um documento que podia ser encomendado por treze dólares. Os dois casos desabaram, e dos escombros veio a Electronic Frontier Foundation.
LerPhrack, 2600 e a imprensa underground: como a cena se publicou por cinquenta anos
Um boletim yippie sobre enganar a companhia telefônica, em 1971. Um trimestral de três folhas com tiragem de vinte e cinco, em 1984. Um zine de BBS de St. Louis que lançou seu primeiro número em novembro de 1985 e o septuagésimo segundo, em quinze mil exemplares impressos, em agosto de 2025. Antes de conferências, programas de recompensa ou uma indústria de segurança, a cena tinha uma imprensa - e a imprensa pagou, em batidas, indiciamentos e liminares, pelo que imprimiu.
LerA Electronic Frontier Foundation: os advogados que construíram uma máquina de quebrar cifras e uma autoridade certificadora
Começou com um agente do FBI na cozinha de uma fazenda no Wyoming, em 1990. Estabeleceu que código-fonte é discurso, construiu a máquina que acabou com o DES, levou a sala da rua Folsom a um tribunal e depois parou de processar pelo tempo necessário para escrever o software que fez do HTTPS o padrão. É isto que uma organização de liberdades civis fez ao trabalho diário de quem opera redes.
LerL0pht, cDc e o ano em que o underground entrou no Senado
Em maio de 1998 sete hackers depuseram ao Senado dos Estados Unidos sob seus apelidos e disseram que conseguiriam derrubar a internet em trinta minutos. Dois meses depois o Cult of the Dead Cow lançou o Back Orifice num palco da DEF CON para forçar a mão da Microsoft. Entre os dois, 1998 é o ano em que a cena deixou de ser subcultura e começou a virar indústria.
LerO worm WANK e os International Subversives: o capítulo australiano
Dias antes de a NASA lançar uma sonda movida a plutônio, seus computadores saudaram os operadores com um banner de protesto antinuclear. O primeiro worm hacktivista nunca foi atribuído em definitivo, mas a trilha aponta para uma cena de Melbourne que também produziu o livro Underground - pesquisado por um jovem hacker chamado Mendax, que depois fundou o WikiLeaks.
LerOs ataques nomeados ao TLS, 2011-2023: o que cada um quebrou, e o que o protocolo removeu por causa dele
BEAST, CRIME, Lucky13, Heartbleed, POODLE, FREAK, Logjam, DROWN, SWEET32, SLOTH, ROBOT, ROCA, Raccoon, ALPACA, Terrapin. Quatorze nomes, doze anos, um padrão: cada ataque achou uma funcionalidade que o protocolo nunca deveria ter mantido, e o TLS 1.3 é a lista do que foi retirado. Este é o guia para ler um relatório de cipher suites como história.
LerOs manifestos: o Mentor, os cypherpunks, a Declaração e os textos que uma cultura escreveu sobre si mesma
Quatrocentas e cinquenta palavras digitadas por um garoto de dezenove anos na noite seguinte à sua prisão, em 1986. O pastiche de Marx de um criptoanarquista lido numa conferência em 1988. Sete parágrafos sobre privacidade em 1993, dezesseis sobre independência escritos num hotel em Davos em 1996, e uma página redigida na Itália em 2008 que um promotor leria mais tarde em voz alta. O que dizem os textos fundadores da cultura hacker, por que cada um foi escrito quando foi, e onde lê-los no original.
LerDEF CON: uma festa de despedida que virou instituição, e as camisas vermelhas que a sustentam
Começou em 1993 como festa de despedida para a rede de BBS de um amigo. Trinta anos depois enche Las Vegas com dezenas de milhares de hackers, roda com dinheiro vivo na porta, e é mantida de pé por voluntários não remunerados de camisa vermelha que pagam do próprio bolso para estar lá. Os Goons são a razão de aquilo funcionar, e a razão de ainda parecer comunidade em vez de feira de negócios.
LerEternalBlue, WannaCry, NotPetya: o ano em que um exploit roubado foi trabalhar para todo mundo
Em abril de 2017 um grupo anônimo publicou um exploit funcional da NSA para um protocolo que roda em toda máquina Windows do mundo. A Microsoft o tinha corrigido um mês antes. Em oito semanas ele moveu os dois incidentes cibernéticos mais caros da história - um parado por um pesquisador que registrou um domínio de dez dólares, o outro imparável porque nunca foi feito para ser parado.
LerA série RFC: como a internet se documenta
Em abril de 1969, um aluno de pós-graduação passou a limpo umas anotações sobre software de host e, com medo de parecer presunçoso, chamou o texto de Request for Comments, um pedido de comentários. Nove mil documentos depois, essa cautela ainda dá nome ao processo pelo qual foi acordado cada protocolo que você opera. O que é uma RFC, o que o status dela quer dizer de verdade e por que a numeração tem uma tradição de primeiro de abril.
LerStuxnet: a primeira ciberarma, e o dia em que código quebrou máquina
Um worm carregando quatro exploits desconhecidos de Windows atravessou um air gap até uma usina de enriquecimento iraniana, girou centrífugas até a destruição e tocou aos operadores leituras normais gravadas enquanto eles olhavam as telas. Só foi achado porque escapou. Tudo o que veio depois em operações cibernéticas estatais - inclusive os vazamentos que armaram o mundo - começa aqui.
LerA guerra dos protocolos: como o TCP/IP venceu contra todas as expectativas
Todos os governos, todas as companhias telefônicas, todos os grandes fabricantes de computadores e o Departamento de Defesa dos Estados Unidos apoiavam o OSI. A especificação era mais completa e mais rigorosa, e tinha a aprovação formal dos órgãos de padronização do mundo inteiro. Mesmo assim, perdeu para uma suíte de protocolos criada por alunos de pós-graduação e distribuída de graça, e o motivo dessa derrota é a lição mais útil deste catálogo para quem precisa escolher uma tecnologia hoje.
LerAnonymous, LulzSec e a década hacktivista
Um coletivo sem liderança vindo da cultura dos imageboards virou o rosto público do hacking de protesto, defendeu o WikiLeaks, entrou na Primavera Árabe, e então se fragmentou numa turma de seis pessoas que invadiu Sony, PBS e uma afiliada do FBI em cinquenta dias - enquanto seu líder já era informante. A década seguinte definiu o que um movimento sem estrutura de responsabilização consegue e não consegue fazer.
LerAs Crypto Wars: quando criptografia era munição
Durante a maior parte dos anos noventa, exportar criptografia forte dos Estados Unidos equivalia juridicamente a exportar uma arma. Um programador deu de graça uma ferramenta de cifragem e enfrentou três anos de investigação criminal; uma camiseta com quatro linhas de código era item sob controle de exportação; e o governo propôs um chip que cifraria suas ligações guardando uma cópia da chave. A briga daquela década decidiu se a web moderna podia existir.
LerAs Crypto Wars: trinta e três anos da mesma discussão
Em 1993 um governo propôs um chip de telefone cuja cifragem era forte e de cujas chaves ele guardava uma cópia. A proposta morreu em três anos. A discussão não: voltou como controle de exportação, como porta dos fundos numa norma, como ordem judicial contra um fabricante de celulares, e como uma notificação secreta a um provedor de nuvem que ainda está num tribunal. Toda rodada pergunta se acesso excepcional pode ser acrescentado a um sistema seguro, e toda rodada recebe a mesma resposta de engenharia.
Ler2011: o ano em que as âncoras de confiança quebraram
Em março, um e-mail de spear phishing com um anexo de Excel chegou à empresa cujos tokens guardavam as empreiteiras de defesa do mundo. Em junho, uma autoridade certificadora em que todo navegador do planeta confiava foi tomada, e emitiu 531 certificados fraudulentos usados para ler o correio de uns 300 mil iranianos. Os dois foram achados tarde, os dois foram comunicados mais tarde ainda, e a segunda empresa não existe mais.
LerO circuito latino-americano de conferências de segurança: um índice
A América Latina construiu o próprio circuito de conferências em vez de importar um - Ekoparty em Buenos Aires desde 2001, H2HC em São Paulo desde 2004, DragonJAR na Colômbia, 8.8 no Chile, RoadSec rodando as capitais brasileiras. Este é o índice: quem fundou cada uma, para que cada uma serve de fato, e como diferem dos eventos do norte com que costumam ser comparadas.
LerA cena brasileira: do Alternex a uma conferência por mês
A cultura hacker brasileira não começou num alojamento universitário nem numa companhia telefônica - começou numa ONG de justiça social que pôs no ar a primeira rede pública do país, e cresceu por BBSs, um underground de fraude de classe mundial, um sistema de governança incomumente aberto, e um calendário de conferências tão denso que a maioria das semanas do ano tem uma. O que é a cena, como chegou aqui, e como está agora.
LerMoonlight Maze, Titan Rain, Aurora: as três campanhas que ensinaram uma palavra nova à indústria
Entre 1996 e 2010, três campanhas de intrusão moveram o alvo das redes de governo para as empreiteiras que o servem e daí para as empresas de tecnologia que todo mundo usa. Uma foi achada por acaso, outra por um homem que trabalhava de madrugada e perdeu o emprego por isso, e a terceira foi anunciada pela própria vítima em seu blog - decisão que mudou como violações são divulgadas e produziu a arquitetura hoje vendida como zero trust.
LerA era dos worms, 1999-2008: de Melissa a Conficker, e a correção que sempre existia
Sete surtos em nove anos tomaram o e-mail, depois os servidores web, depois os bancos de dados, depois qualquer máquina Windows alcançável. Em quase todos os casos a correção tinha saído semanas ou meses antes e não fora instalada - e no último, o boletim da Microsoft dizia por escrito que a falha era passível de worm. Esta é a era que produziu a atualização automática, o firewall ligado por padrão, e a discussão que a indústria ainda trava.
LerCibercrime brasileiro: do boleto ao Pix
O Brasil bancarizou online cedo, inventou instrumentos de pagamento que o resto do mundo não tinha, e criou uma indústria criminosa moldada exatamente a eles — manipulação de código de barras, sobreposição de tela, jackpotting de caixa eletrônico, e agora engenharia social mirando transferências instantâneas. As técnicas, as quadrilhas que as exportaram, os ataques ao Estado, e as leis escritas depois de cada choque.
LerNão existe código perfeito: por que segurança é um relógio, não um código-fonte
Todo fornecedor relevante já lançou uma falha que facilitou uma invasão, e todos vão lançar de novo. O que separa as organizações não é a densidade de defeitos - é o tempo entre o comprometimento e a detecção, a detecção e a contenção, a contenção e uma correção definitiva, e a honestidade do que se diz no meio disso. Este é o argumento, com as evidências, e uma pergunta aberta sobre o que a IA faz com os dois lados do relógio.
LerPor que a SSL-VPN está sendo desmontada, e o que de fato a substitui
O FortiOS 7.6.3 removeu o modo túnel da SSL VPN de todo FortiGate, e as configurações existentes não são migradas na atualização. Isso é fato verificado, com consequências operacionais reais. A afirmação de que todo fornecedor está abandonando a SSL-VPN é mais complicada, e a maior parte das cronologias em circulação é publicada por empresas que vendem a substituição. Aqui está o que está estabelecido, o que é inferência, e o que um profissional deve realmente fazer.
LerWireGuard: o argumento de que um túnel deveria ser pequeno o bastante para ser lido
Cerca de quatro mil linhas de código, uma única suíte de cifras sem negociação, nenhuma identidade de usuário, e nenhum jeito de pedir uma opção mais fraca. Foi incorporado ao núcleo do Linux em 2020 com um endosso público de Torvalds, e é o padrão dentro da maioria dos produtos hoje vendidos como acesso zero trust. Também não consegue fazer várias coisas de que uma empresa precisa, e saber quais é o ponto deste artigo.
LerFiddler, Burp, Cain e os demais: as ferramentas que leem uma conversa da qual não faziam parte
Um proxy de depuração, uma suíte de teste de invasão, um programa de recuperação de senhas de um site italiano de uma pessoa só, e um appliance corporativo de inspeção fazem todos a mesma operação - terminar uma conexão que as duas pontas julgam ser delas. O que os separa não é técnica, é consentimento e transparência. Onde cada um se coloca, o que derrota cada um, e por que a ferramenta em que todo mundo aprendeu sumiu da web.
LerWireshark: a ferramenta que tornou os pacotes legíveis, e a pilha por baixo dela
Em julho de 1998 um engenheiro de redes de um provedor pequeno de Kansas City anunciou um programa que escrevera porque os analisadores comerciais custavam mil e quinhentos dólares e não rodavam nas plataformas dele. Em dias, desconhecidos mandavam correções. Perdeu o próprio nome para uma marca registrada em 2006, sobreviveu a três patrocinadores corporativos, e é a razão de um profissional conseguir ler um protocolo que nunca viu.
LerKRACK e Dragonblood: o que veio depois do WEP e por que um handshake comprovadamente seguro quebrou mesmo assim
O four-way handshake do WPA2 tinha passado por análise formal e sido declarado seguro. Em 2017, um pesquisador da KU Leuven quebrou esse handshake mesmo assim, fazendo o cliente reinstalar uma chave que ele já estava usando. O substituto, o WPA3, saiu em 2018 e foi quebrado pelo mesmo pesquisador em 2019. Nenhuma das falhas estava na cifra, e essa é a lição inteira.
LerA falha de Kaminsky: o verão em que oitenta fabricantes corrigiram o mesmo bug no mesmo dia
Em 2008, um pesquisador percebeu que uma fraqueza já conhecida do DNS era muito mais grave do que se calculava: ela não servia só para envenenar um registro, mas para tomar um domínio inteiro em segundos, quantas vezes o atacante quisesse. Veio então o maior patch coordenado que a internet já tinha tentado, uma correção que trouxe mais entropia, e não certeza, e um lembrete de que publicar um patch também é publicar a vulnerabilidade.
LerReflections on Trusting Trust: a palestra de 1984 que previu todo ataque de cadeia de suprimento desde então
Ken Thompson usou sua palestra do Prêmio Turing para explicar que pusera uma porta dos fundos no compilador C que se reinseria toda vez que o compilador era reconstruído - e depois apagou a evidência do código-fonte. Ler o fonte nunca acharia aquilo. Quarenta e dois anos depois existe exatamente um método que o derrota formalmente, e a razão de o XZ Utils e a 3CX terem funcionado é que quase ninguém o usa.
LerMirai: a botnet que não explorou nada
Três estudantes de vinte e poucos anos a construíram para vencer no negócio de hospedar servidores de Minecraft, e ela produziu os maiores ataques que a internet já vira. Não usou vulnerabilidade nenhuma. Ela fez login, com uma lista de umas sessenta senhas de fábrica, em câmeras e roteadores cujos donos não sabiam ter uma conta. Não dá para corrigir um padrão de fábrica, e é por isso que o conserto acabou sendo uma lei.
LerAutoridades certificadoras: o cadeado é uma lista de gente que você nunca conheceu
Seu navegador confia em algumas centenas de organizações para atestar quem é dono de qual nome, e qualquer uma delas pode emitir um certificado válido para qualquer site da internet. Esse desenho já falhou em público pelo menos uma vez de forma grave o bastante para acabar com uma empresa e expor os dissidentes de um país. O que quebra quando uma AC é comprometida, por que a revogação mal funciona, e como a indústria trocou confiança por vigilância de si mesma.
LerTarget, 2013: os alertas dispararam, e ninguém se moveu
Um empreiteiro de ar-condicionado na Pensilvânia abriu um e-mail de phishing. Seis semanas depois, um malware nos caixas de 1.797 lojas lia cartões de pagamento da memória durante as três semanas mais movimentadas do ano no varejo. A ferramenta de segurança detectou e alarmou enquanto acontecia. É essa a parte que vale ensinar, porque nada nesta invasão foi falha de tecnologia.
LerY2K: o que custa estar certo sobre um desastre que então não acontece
Gastou-se algo entre duzentos e seiscentos bilhões de dólares, a meia-noite passou, quase nada quebrou, e quem fez o trabalho vem sendo chamado de charlatão desde então. O relato honesto é mais interessante que a versão de qualquer um dos lados: parte do medo era fundamentada, parte comprovadamente não era, e uma comparação nunca foi respondida de forma satisfatória.
LerUnix: o sistema operacional dentro de toda caixa da sua rede
Entre num balanceador de carga, num firewall ou num ponto de acesso e olhe embaixo da interface de gerência. Há um sistema de arquivos, um shell, syslog, cron e tcpdump. O appliance é um Unix com um produto por cima, e é assim por causa de um acordo antitruste de 1956 que impediu uma companhia telefônica de vender software.
LerAutenticação de e-mail: o que SPF, DKIM e DMARC de fato fazem
O e-mail foi desenhado sem nenhuma forma de conferir quem enviou, e os três registros que todo mundo publica resolvem metades diferentes desse problema — mal explicados, frequentemente mal configurados, e rotineiramente creditados com uma proteção que não oferecem. O que cada um confere, por que alinhamento é a ideia que importa, por que encaminhamento quebra tudo, e a ordem de implantação que de fato chega à aplicação.
LerShellshock e Log4Shell: quando a vulnerabilidade é uma funcionalidade
Nenhum dos dois foi erro de memória. Nos dois casos um componente amplamente usado fez exatamente o que sua documentação dizia, com uma cadeia de caracteres vinda de um estranho. Um ficou no bash por uns vinte e dois anos sem ser descoberto; o outro transformou o registro em log - a única coisa que toda aplicação faz com entrada não confiável - em execução remota de código. Esta é a classe de falha que testar em busca de travamentos nunca vai achar.
LerDiffie-Hellman explicado sem matemática
Duas pessoas que nunca se viram, gritando numa sala cheia onde todos ouvem tudo, terminam a conversa sabendo um número secreto que ninguém mais na sala sabe. Parece truque. É a única ideia que torna possível comprar algo pela internet, e aqui está como funciona, com uma equação e nenhum conhecimento prévio.
LerPasskeys: por que este MFA é diferente do MFA que segue falhando
A maior parte da autenticação multifator impede reúso de senha e não faz nada contra phishing, porque tudo o que o usuário consegue ler e digitar pode ser retransmitido por um atacante em tempo real. As passkeys fecham isso amarrando a credencial à origem do site, dentro do navegador. O que o WebAuthn de fato faz, por que a amarração à origem é o truque inteiro, e os problemas de recuperação e ciclo de vida que ninguém resolveu ainda.
LerBackups: o controle que precisa funcionar quando todos os outros já falharam
O ransomware transformou o backup de preocupação de disponibilidade na última linha de defesa, e então foi atrás dos próprios backups. O que mudou, por que a velha regra 3-2-1 precisa de uma quarta cláusula, por que uma restauração não testada é boato, e o fato incômodo de que o backup resolve a metade da cifragem num ataque moderno de extorsão e nada da metade da divulgação.
LerTherac-25: a máquina cujo antecessor tinha os mesmos defeitos e não feriu ninguém
Entre 1985 e 1987 uma máquina de radioterapia aplicou doses maciças em excesso a pelo menos seis pacientes. O defeito de software era grave. O achado que fez daquilo o caso mais ensinado da engenharia de software é outro, e pior: o modelo anterior rodou código comparavelmente defeituoso por anos sem ferir ninguém, porque tinha um hardware que não deixava.
LerDDoS: por que a defesa é capacidade, e por que a amplificação é culpa dos outros
Negação de serviço não é um ataque, são três problemas com respostas diferentes: um cano que enche, uma tabela de estado que esgota, e uma requisição cara repetida de forma barata. Os maiores ataques só são possíveis porque as redes de terceiros deixam sair tráfego forjado — o que faz da mitigação mais eficaz algo que se implanta para estranhos, e não para si.
LerO ataque ao STJ, 2020: a quinzena em que a segunda mais alta corte do Brasil parou
Em 3 de novembro de 2020 um ransomware cifrou o acervo de processos do Superior Tribunal de Justiça. Sessões foram canceladas, prazos processuais foram suspensos por resolução, e os sistemas voltaram quinze dias depois. Fazia parte de uma onda contra o Judiciário brasileiro, e os relatos sobre o que aconteceu com os backups nunca foram reconciliados.
LerSATAN, 1995: o scanner que fez seu autor ser demitido
Dois pesquisadores construíram um programa que achava falhas de segurança numa rede, explicava cada uma em linguagem clara e dizia como consertar. Antes do lançamento a imprensa previu desastre, um laboratório nacional se preparou para uma invasão, e a Silicon Graphics demitiu um dos autores. A indústria então passou trinta anos concordando com ele, e a discussão acaba de recomeçar.
LerZero trust, ZTNA e SASE: o que os termos significam quando se tira o marketing
Zero trust é um princípio de arquitetura, ZTNA (acesso à rede zero trust) é um jeito de publicar aplicações, e SASE (borda de serviço de acesso seguro) é um arranjo de compra. Os fabricantes embaralham os três porque a confusão vende. Aqui está o que cada um de fato é, o que muda de verdade ao adotá-los, e a lista honesta do que eles não resolvem.
LerAriane 5: o código estava correto, e o mundo tinha mudado
Quarenta segundos depois do primeiro voo o foguete se destruiu. O software que o matou funcionava exatamente como escrito e voara com sucesso muitas vezes no modelo anterior. Ele calculava algo que não era necessário depois da decolagem, a partir de uma rotina que ninguém pensara em desligar, usando uma premissa que fora verdadeira de outro foguete.
LerKnight Capital: quarenta e cinco minutos, e um rollback que espalhou o defeito
Uma corretora responsável por um décimo do volume de ações americano implantou código novo em sete dos seus oito servidores. O oitavo ainda guardava uma função morta desde 2005, ligada a uma flag que o código novo reaproveitara. Noventa e sete e-mails de aviso saíram antes de o mercado abrir. E quando os engenheiros entenderam o que acontecia, fizeram rollback - pondo o código defeituoso nos oito.
LerSIEM: por que custa tanto e detecta tão pouco
Um SIEM é um banco de dados com uma caixa de busca e um agendador. Sozinho ele não detecta nada, e a maioria das implantações falha do mesmo jeito — comprada como produto, custeada como projeto, alimentada com tudo, ajustada por ninguém. O que faz diferença é tratar detecções como artefatos de engenharia, com dono, teste e resposta documentada.
LerSchrems II: o dia em que um tribunal leu o registro da vigilância e tirou uma conclusão
Em 2020 a mais alta corte da Europa derrubou a base jurídica que cinco mil empresas americanas usavam para mover dados pessoais pelo Atlântico. Seu raciocínio não era sobre contratos. Era sobre o que a lei de inteligência dos Estados Unidos de fato permite, e se um europeu cujos dados fossem coletados sob ela teria onde reclamar. A consequência de engenharia é a parte que os profissionais mais erram.
LerO e-mail de 500 milhas: a melhor história de debugging da profissão
Um departamento de estatística avisou que não conseguia mandar e-mail para mais longe que umas 520 milhas. A primeira reação do sysadmin foi dizer que e-mail não funciona assim. O departamento tinha um mapa. A causa era um arquivo de configuração, um upgrade, um timeout configurado em zero e a velocidade da luz, e cada um desses elementos ainda pode acontecer com você hoje à tarde.
LerA Silk Road: a rede de anonimato aguentou, o operador não
O Tor nunca foi quebrado. O fundador do site foi identificado porque em 2011 anunciara o mercado em fóruns públicos sob um apelido, e uma dessas postagens trazia o e-mail real dele. Como os investigadores acharam o servidor é outra pergunta, e uma que um tribunal se recusou a responder - porque respondê-la exigiria que o réu admitisse que o servidor era dele.
LerYou Sh0t the Sheriff: o podcast que virou a conferência de segurança mais exclusiva do Brasil
Três pessoas em três cidades começaram um podcast de segurança em 2006. O evento veio depois, e herdou o formato do podcast: pequeno de propósito, só por convite, com o local mantido em segredo até a confirmação. Duas décadas depois, o podcast continua gravando e a conferência já pôs Jeff Moss e o Space Rogue no mesmo palco de quem escreveu as ferramentas brasileiras.
LerO defeito FDIV do Pentium: um erro pequeno e uma resposta de 475 milhões de dólares
Cinco entradas faltando numa tabela de consulta deixavam certas divisões ligeiramente erradas. A Intel achara o defeito internamente, decidira que ele não qualificava sequer como errata, o consertara em silêncio e nada disse. Quando um professor de matemática o achou por conta própria, a empresa ofereceu troca apenas a clientes que provassem ter sido afetados - e transformou uma falha aritmética rara no recall mais famoso da computação.
LerSegurança contra disponibilidade: a troca que ninguém escreve
Todo controle de segurança é também um jeito novo de o sistema parar. A tríade põe confidencialidade, integridade e disponibilidade no mesmo pé, e as organizações então as separam em áreas, medem em separado, e descobrem o conflito durante um incidente. A história da troca, onde ela é decidida na prática, os modos de falha dos dois lados, e como equipes maduras a precificam antes da queda, e não depois.
LerMars Climate Orbiter: os dois lados estavam certos, e a espaçonave se perdeu
Um programa produzia valores de impulso em libras-força-segundo. O programa que os consumia esperava newtons-segundo. Nenhum estava errado internamente, a especificação dizia qual era exigido, e nada conferia. A versão famosa desta história é uma conversão de unidades; a versão útil é o que acontece numa fronteira entre duas organizações, e o que a equipe fez com quatro meses de aviso.
LerSegurança por obscuridade: o que Kerckhoffs de fato disse
A máxima é citada como proibição de esconder qualquer coisa, o que não é o que ela diz nem o que o campo pratica. Kerckhoffs em 1883, e Saltzer e Schroeder em 1975, faziam uma afirmação mais estreita e mais afiada sobre de qual segredo um sistema pode depender. A história, a diferença entre um segredo e uma obscuridade, onde cada um é legítimo, e os sistemas que provaram o ponto ao serem quebrados assim que alguém olhou.
LerComo os sistemas falham: um mapa de leitura para os casos deste catálogo
Nove falhas, ordenadas não por setor ou década, mas por onde a falha de fato morava - numa salvaguarda que alguém removeu, numa premissa que venceu, num rollback, numa fronteira entre duas organizações, numa decisão sobre o que dizer. Lidas como conjunto, deixam de ser anedotas e viram uma lista dos lugares onde procurar.
LerO firewall: nascimento, gerações, e o que vem depois do perímetro
Ninguém inventou o firewall. Ele foi discutido até existir, ao longo de uns seis anos, por gente da Digital Equipment Corporation, do Bell Labs e da Trusted Information Systems que discordava de quase tudo, menos de que uma rede precisava de um lugar para dizer não. Esta é a história da família: o artigo de 1988, o primeiro produto entregue em 13 de junho de 1991, a patente de inspeção com estado que decidiu o mercado, o campo dos proxies que perdeu no desempenho e estava certo sobre inspeção, o appliance, o rótulo de próxima geração, e o que acontece com um equipamento de fronteira num parque que não tem mais fronteira.
LerO registro da divulgação: o que houve entre achar e dizer
Todo caso deste catálogo tem um intervalo dentro - entre o momento em que alguém soube e o momento em que os outros souberam. Às vezes foram seis horas e às vezes foi uma década. Esta página reúne os casos em que esse intervalo decidiu o desfecho, e o que cada um estabeleceu sobre coordenar, reter, publicar e ser acreditado.
LerO fio brasileiro: seis artigos que só fazem sentido juntos
Uma reserva de mercado que produziu clones e contrabando, um modelo de governança que era multissetorial antes de a palavra existir, uma cultura hacker que começou numa ONG de justiça social, uma indústria criminosa moldada para instrumentos de pagamento que nenhum outro país tinha, uma lei de dados com dez bases legais e um prazo de três dias, e a quinzena em que um tribunal superior parou. Separados, são fatos de país. Em ordem, são um argumento sobre o que acontece quando um país grande constrói a própria internet.
LerDetecção de intrusão: a disciplina construída sobre ler os registros
A detecção de intrusão começou como problema de arquivo. O relatório de James Anderson, de 1980, propunha auditar os registros de um computador para achar uso anormal; Dorothy Denning e Peter Neumann transformaram aquilo num modelo em tempo real entre 1984 e 1986; Todd Heberlein levou a ideia para o fio em 1990; e Marty Roesch a deu de graça em 1998. Esta é a história da família, inclusive a divisão entre detecção e prevenção, que foi decisão de negócio tanto quanto técnica, e por que o problema mais difícil da área sempre foi a pessoa que precisa ler a saída.
LerO firewall de aplicação web: comprado por auditores, culpado por engenheiros
O primeiro firewall de aplicação web e o primeiro scanner de aplicação web foram construídos pela mesma empresa, e esse é o fato estrutural que costuma faltar quando esta família é explicada. O AppShield saiu no verão de 1999; o ModSecurity abriu a categoria em 2002; o OWASP Top 10 deu vocabulário a ela em 2003; e o PCI DSS a transformou em compra em 2004. Esta é a história da família, inclusive por que uma tecnologia com vinte e cinco anos de desenvolvimento ainda é descrita pelos próprios órgãos profissionais como uma caixa preta mágica que faz segurança.
LerSAST e DAST: duas linhagens, uma linha de orçamento
Teste estático e teste dinâmico de segurança de aplicação são vendidos como par e descendem de lugares completamente diferentes. O SAST vem do lint, escrito no Bell Labs em 1978 para resolver um problema de portabilidade e só depois apontado para segurança. O DAST vem do ferramental de ataque do fim dos anos 1990, construído pela mesma empresa que fez o primeiro firewall de aplicação web. Esta é a história da família, inclusive por que o nome da ferramenta fundadora virou xingamento, e por que as duas abordagens discordam por construção, e não por qualidade.
LerCifragem: o padrão, a suspeita, e o que a suspeita errou
A criptografia civil tem um documento fundador e uma discussão fundadora. O documento é o Data Encryption Standard, emitido em janeiro de 1977 a partir de uma cifra que a IBM construiu sobre o Lucifer de Horst Feistel. A discussão é o que a National Security Agency fez com ele - e a resposta, que levou dezessete anos para aparecer, é que a agência tornou o algoritmo mais forte contra um ataque que ninguém de fora conhecia, ao mesmo tempo que encurtou a chave. Esta é a história da família: de um nome de arquivo longo demais para um sistema operacional, passando pelas guerras da criptografia, até um processo de padronização que hoje roda aberto por causa do que aquela suspeita custou.
LerO módulo de segurança em hardware: o homem que inventou as duas metades
Mohamed Atalla inventou o MOSFET no Bell Labs, viu a invenção ser ignorada, pediu demissão, e doze anos depois inventou o módulo de segurança em hardware. A tecnologia de transistor que tornou a computação moderna possível e a caixa que protege os segredos mais valiosos dela vieram da mesma pessoa - e ele precisou sair do principal laboratório de pesquisa do mundo para construir a segunda. Esta é a história da família: a Caixa Atalla de 1973, um padrão criado por medo de que uma empresa dominasse, um nível de garantia que quase ninguém alcança, e o que acontece quando a resposta à gestão de chaves se muda para a nuvem de outra pessoa.
LerIdentidade: o L de LDAP é uma discussão
O X.500 era um bom modelo de dados embrulhado num protocolo que ninguém conseguia implantar. Em julho de 1993, três engenheiros publicaram uma especificação cuja premissa inteira era jogar a maior parte dele fora, e chamaram o resultado de Leve. Esta é a história da família da identidade - do arquivo de senha por máquina ao NIS, X.500, LDAP, Kerberos, SAML e OpenID Connect - e a discussão que atravessa tudo isso: se identidade é algo que a rede afirma, algo que um diretório guarda, ou algo por que um terceiro se responsabiliza.
LerPKI: uma monografia de graduação, e um modelo de confiança que ninguém projetaria hoje
Em maio de 1978, um aluno de graduação do MIT escreveu uma monografia que nomeou o certificado, nomeou a lista de revogação e desenhou a estrutura sobre a qual a web ainda roda. O que cresceu em volta é um modelo de confiança que ninguém proporia do zero: cerca de cem emissores confiáveis, qualquer um deles capaz de se responsabilizar por qualquer nome da internet, com o mais fraco definindo a força para todo mundo. Esta é a história da família - Kohnfelder em 1978, X.509 em 1988, os comprometimentos de 2011, o Certificate Transparency como resposta, e um preço que caiu de centenas de dólares para nada.
LerNegação de serviço: a palestra interrompida pelo próprio assunto
Em fevereiro de 2000, Steven Bellovin estava havia cinco minutos numa palestra de abertura sobre ataques de negação de serviço quando os pagers começaram a tocar e a sala esvaziou. O ataque em curso tinha sido lançado por um garoto de quinze anos usando ferramentas que ele não escreveu. Esta é a história da família - o Trinoo em 1999, a semana que derrubou Yahoo, Amazon, eBay e CNN, o padrão de amplificação que este catálogo já documentou três vezes, e por que a única defesa real é capacidade que ninguém sustenta sozinho.
LerCorreio eletrônico: um projeto paralelo que virou a camada de identidade
O empregador de Ray Tomlinson não pediu que ele construísse o correio eletrônico. Ele estava, nas palavras de um colega, só brincando, procurando o que fazer com a ARPANET - e montou aquilo a partir de uma ferramenta local de mensagens e um programa de transferência de arquivos. A especificação escrita onze anos depois permitiu que o remetente mostrado a um humano fosse diferente do remetente declarado ao servidor, que é a decisão de projeto que criou o phishing. Esta é a história da família, e ela termina com a exceção mais clara a uma regra que este catálogo julgava ter estabelecido.
LerControle de acesso à rede: a ideia que chegou cedo demais, duas vezes
O controle de acesso à rede não nasceu para a rede local. Nasceu em 1984, na BBN, para o equipamento ao qual você se conectava por discagem, e foi criado para as pessoas se autenticarem menos, e não mais. Esta é a história da família: do terminal access controller à autenticação do acesso discado e ao 802.1X, depois o fabric orientado a conexão da Cabletron, o ciclo da Enterasys que detectava, localizava, continha e remediava sozinho, a década em que a ideia toda foi declarada um fracasso e a volta dela com um nome que vende melhor.
LerComo um proxy sabe quem você é: métodos de autenticação de usuário inline
Política por usuário é a promessa inteira de um proxy inline - o que significa que o proxy precisa prender uma identidade a cada fluxo, inclusive aos que não conseguem fazer login. Os quatro padrões que funcionam: desafios explícitos 407, autenticação web por cookie, identidade afirmada por agente, e o compromisso do surrogate IP - mais onde cada um quebra, porque todos eles quebram em algum lugar.
LerData loss prevention: como máquinas reconhecem segredos
Todo produto de DLP responde à mesma pergunta - este conteúdo de saída é sensível? - com os mesmos quatro instrumentos: padrões, dicionários, correspondência exata contra registros com fingerprint e correspondência de documentos indexados. O que cada instrumento consegue e não consegue reconhecer, por que existem confiança e proximidade, e por que a parte difícil do DLP nunca foi a correspondência.
LerDetonação em sandbox: como julgar um arquivo pelo que ele faz
Assinaturas reconhecem malware que já foi visto; um sandbox condena malware que não foi - executando o arquivo numa jaula instrumentada e observando seu comportamento. O que a detonação realmente observa, por que vereditos levam minutos, a janela de paciente-zero que o tempo cria, como o compartilhamento de hashes transforma um veredito na proteção de todos, e a corrida armamentista de evasão que mantém os construtores de jaulas empregados.
LerIsolamento de navegador: quando não dá para confiar na página, mova o navegador
O Remote Browser Isolation para de perguntar se uma página é segura e remove a pergunta: o navegador real roda num contêiner descartável na nuvem, e o endpoint recebe apenas uma projeção renderizada - pixels ou um DOM reconstruído. O que cada modo de renderização troca, por que isolamento é a resposta para o meio incategorizável, o que custa, e onde ficam seus limites honestos.
LerCORS explicado: o controle de fronteira do navegador
CORS é a mensagem de erro mais mal-entendida do desenvolvimento web, porque pune o modelo mental errado. Ele não é o muro - a same-origin policy é o muro; CORS é a porta: um protocolo de cabeçalhos pelo qual um servidor se oferece: 'aquela outra origem pode ler minhas respostas'. Requisições simples vs preflights, o que o OPTIONS está fazendo na sua aba de rede, por que credenciais apertam cada regra, por que '*' não é o conserto, e por que o CORS nunca protegeu o servidor, para começo de conversa.
LerFiltros de busca LDAP: como ler os parênteses
Toda consulta a diretório - PingDirectory, Active Directory, qualquer servidor LDAP - se resume a uma string de filtro em notação prefixada. Como lê-la: os operadores, os seis tipos de correspondência, os escapes, os famosos OIDs de bit-filter do AD, e por que um filtro sem índice pode derrubar um diretório.
LerFluxos OAuth: como escolher o grant em 2026
Uma decisão inicia toda integração: qual fluxo. A resposta moderna é curta - authorization code + PKCE para humanos, client credentials para máquinas, device grant para TVs - e as razões pelas quais implicit e ROPC morreram valem saber de cor. A RFC 9700 finalmente escreveu tudo isso.
LerSegurança de memória: as classes de bug e as defesas que respondem a elas
Estouro de buffer, use-after-free, desreferência de ponteiro nulo, estouro de inteiro - quatro nomes para duas falhas, ficar dentro de um objeto e só tocá-lo enquanto está vivo. Como cada uma funciona, por que cerca de setenta por cento das vulnerabilidades sérias em grandes bases de código C e C++ pertencem a esta família, e o que cada camada defensiva de fato compra.
LerTor: como o roteamento em cebola realmente funciona, e o que ele não protege
O roteamento em cebola foi inventado num laboratório da Marinha dos EUA, e esse paradoxo é a chave para entendê-lo: anonimato só funciona se a multidão for diversa. Como um circuito de três saltos é construído, o que são de fato os serviços onion, o modelo de ameaças que o Tor admite abertamente perder, e por que a maior parte do tráfego Tor nunca toca a dark web.
LerListas de bloqueio no DNS: RPZ, classificação de domínios e o custo de uma resposta recusada
Bloquear um domínio no resolver é o controle de segurança mais barato que existe, e por isso todo fabricante vende um. Como funcionam os feeds de RPZ, o que a classificação de DNS de um fabricante avalia de fato, os dois modos de falha que ninguém planeja e por que o bloqueio que você não vê é pior do que o que você vê.
LerO comprometimento da SolarWinds: como uma atualização assinada virou o maior ataque à cadeia de suprimentos já registrado
A partir de setembro de 2019 um intruso ficou dentro do sistema de build da SolarWinds, testou em outubro e, a partir de fevereiro de 2020, inseriu um backdoor na plataforma de monitoramento Orion que a própria SolarWinds assinou e distribuiu. Menos de 18.000 clientes o instalaram; um punhado foi invadido de fato. Descoberto em dezembro de 2020 por uma vítima que investigava a própria invasão, atribuído ao SVR russo em abril de 2021 e ainda em juízo em 2024 pelo que a empresa dissera sobre a própria segurança.
LerDesvio de tráfego e man-in-the-middle: a família de ataques e a jogada que todos têm em comum
Um mapa das formas de fazer o tráfego passar por onde não deveria, com a defesa que responde a cada uma. Todos os métodos, do ARP poisoning numa LAN ao BGP hijack na internet, são variações de uma única jogada: virar o caminho. Este artigo de abertura explica o princípio comum, organiza os métodos pela camada em que atuam e leva ao passo a passo de cada um, sempre com a mitigação padrão ao lado, porque, num site de treinamento, entender um ataque serve para reconhecê-lo e detê-lo.
Ler