Certificação Digital - Estamos em novo endereço - CRYPTO ID - www.cryptoid.com.br : 06/07/14 - 13/07/14
A Microsoft lançou nesta quinta-feira (10) uma atualização para diversas versões do Windows que revoga certificados de segurança falsos do Google e do Yahoo.
Uma autoridade certificadora da Índia emitiu certificados ilegítimos para endereços do Google e do Yahoo que poderiam ser usados para a criação de sites clonados. Eles permitem o redirecionamento do endereço com a inclusão do "cadeado" de segurança, o que dificulta a identificação do site falso.
A atualização será distribuída automaticamente para o Windows 8 e o Server 2012. Versões anteriores do Windows, como Vista e 7, precisam ter instalado o atualizador automático de certificados (ele pode ser baixado aqui).
Não se sabe quem usou esses certificados ou com qual finalidade. O Google soube da existência dos certificados no dia 2 de julho, mas o primeiro certificado falso foi emitido no dia 25 de junho. A autoridade certificadora na Índia revogou os certificados no dia 3 de julho.
A autoridade certificadora responsável pelas emissões é subordinada ao governo indiano. Normalmente, o procedimento de validação de domínios e de identidade deve impedir que certificados sejam emitidos para terceiros. O "processo de emissão" dos certificados, porém, teria sido comprometido, apontou uma investigação da autoridade certificadora.
Certificados emitidos por autoridades certificadoras valem no mundo todo. Dessa maneira, não há problema caso um internauta visite uma página falsa que apresenta um certificado da Índia, mesmo que o site ou a empresa em questão sejam de outro país. Qualquer autoridade certificadora, quando comprometida, pode ser usada para atacar qualquer site seguro.
Para atacar o site, porém, é preciso primeiro que o acesso a ele seja redirecionado. Para isso, é necessário atacar o provedor da vítima, o roteador da conexão com a internet ou a própria rede, como no caso de uma rede sem fio pública.
Em resposta ao incidente, o Google informou em seu blog de segurança que fará uma alteração no navegador Chrome para limitar os certificados do governo indiano aos domínios do país.
Celulares estão mais protegidos
Aplicativos para celulares aplicam um conceito chamado de "certificate pinning". Com isso, o próprio app pode verificar se o certificado usado pela conexão é ou não o certificado do provedor de serviço.
De acordo com a companhia de segurança Lacoon Security, o aplicativo do serviço de e-mail Gmail, do Google, para o sistema iOS, da Apple, não faz uso dessa proteção. O app para Android, no entanto, faz uso do "certificate pinning". O site "Threatpost" diz que entrou em contato com o Google para perguntar se o recurso, que supostamente já existia no aplicativo, seria incluído. Não houve resposta da empresa.
Postado por Regina Tupinambá às 23:06:00
A Comissão Permanente de Tecnologia da Informação e Gestores do Processo Judicial Eletrônico (PJe) elabora campanha de comunicação institucional para esclarecer a comunidade da Justiça sobre os benefícios da utilização do PJe, sistema de informática desenvolvido pelo CNJ em parceria com os tribunais para automatizar a tramitação dos processos judiciais. Seis peças publicitárias estão disponíveis na página do PJe a todos os assessores de comunicação dos Tribunais das Justiças Estadual, Federal e do Trabalho.
O material aborda de maneira concisa e direta as vantagens proporcionadas pelo uso do sistema, como a celeridade processual, a praticidade e a economicidade. A ideia é que os tribunais disseminem as peças nos seus canais próprios de comunicação interna. Uma das peças aborda a necessidade de advogados, magistrados e servidores adquirirem certificação digital para acessar e movimentar os processos no PJe, em função da proteção a dados confidenciais que a tecnologia da informação fornece a ações judiciais.
Além das peças para internet, um boletim mensal está sendo produzido pela Coordenadoria de Imprensa do CNJ para manter os servidores da Justiça informados sobre os avanços do projeto e eventos de capacitação das equipes que operarão o novo sistema. Notícias dos sítios de tribunais de todo o país e do Portal do CNJ começaram a ser distribuídas por meio desse novo produto da Secretaria de Comunicação Social do Conselho. Aprimeira edição está no ar desde o último dia 25.
Cronograma - Outro objetivo da ação é incentivar a adoção do PJe pelos tribunais. Instituído em dezembro de 2013 pela Resolução 185/CNJ, o PJe já havia sido adotado por 34 cortes até o início de junho, além da Turma de Uniformização (TNU) dos Juizados Especiais Federais e do próprio CNJ. Os tribunais que não aderiram ao sistema têm até 15 de julho para propor ao CNJ um plano para implantar o PJe. O cronograma deverá listar as unidades judiciárias em que o PJe será instalado. O prazo para conclusão do projeto poderá variar entre três e cinco anos, de acordo com o porte do tribunal, conforme previsto no anuário estatístico do Judiciário "Justiça em Números".
A partir do dia 3 de fevereiro, o Conselho Nacional de Justiça (CNJ) utilizará exclusivamente o Processo Judicial Eletrônico (PJe) para o trâmite de novos processos. Será o primeiro passo para a migração dos processos em andamento do sistema e-CNJ para o PJe, sistema desenvolvido pelo CNJ em parceria com os tribunais e a participação da Ordem dos Advogados do Brasil (OAB) para a automação do Judiciário.
Com isso, será exigida a certificação digital de advogados, magistrados, servidores ou partes que precisarem atuar nos novos processos. Pelo período de 30 dias, ainda não será requerida certificação digital para a inclusão de petições e outros documentos em processos protocolados até o dia 2 de fevereiro e que hoje tramitam no sistema e-CNJ, utilizado pelo Conselho desde 2007.
Leia o guia rápido do PJE para:
usuários simples;
Clique aqui para saber mais sobre o treinamento judicial para advogados;
Confira aqui a cartilha para acesso ao sistema PJe.
Postado por Regina Tupinambá às 20:34:00
Marcadores: CNJ, PJe
Ibama altera regras de acesso dos usuários ao sistema
O Ibama editou a Instrução Normativa nº 10, de 25 de junho de 2014, alterando as regras de acesso dos usuários pessoa física ou jurídica ao sistema DOF.
A partir do novo prazo estabelecido, 4 de agosto, o uso da certificação digital será obrigatório para acesso e realização de todas as transações no sistema DOF.
A instrução normativa, além de prorrogar o prazo da obrigatoriedade da certificação digital, estende a obrigatoriedade para os empresários individuais ou de sociedade em comum que não possuam inscrição no CNPJ, nos termos da legislação civil e tributária.
O uso do certificado digital atesta a identidade do usuário e tem por objetivo garantir que as transações eletrônicas dos produtos e subprodutos florestais sejam efetuadas com segurança, mantendo a integridade e a confidencialidade dos documentos e dados da transação, reduzindo os riscos de furtos de senha e movimentações fraudulentas de créditos florestais.
Até que se inicie a obrigatoriedade, os usuários que quiserem usufruir da segurança conferida pela certificação digital já podem aderir a essa modalidade de acesso ao DOF de forma facultativa. Para obter o certificado digital, o usuário deverá escolher uma Autoridade Certificadora (AC), da qual poderá adquirir o dispositivo criptográfico (token), e proceder à habilitação de seu certificado.
Informações adicionais de como obter o certificado digital podem ser obtidas no site do Instituto Nacional de Tecnologia da Informação (ITI).
Para mais informações de como realizar a adesão à certificação digital e o acesso ao DOF, o Ibama também disponibilizará um manual para a orientação dos usuários.
Fonte: Por Ascom/Ibama
04/07/2014 - 12:06:19
Postado por Regina Tupinambá às 23:21:00
A partir do dia 25 de julho, advogados com atuação no Trinunal de Justiça do Distrito Federal terão que usar uma certificação digital para todos os atos seus processos em tramitação. Será preciso usar o eToken, um tipo de pen-drive que certifica documentos através de senhas, para fazer a assinatura eletrônica. É o chamado Certificado Digital ICP-Brasil. 28 de junho de 2014, 10:28h
Essa novidade é decorrente da implantação do Processo Judicial eletrônico, e será implementada a partir do Centro de Soluções de Conflitos dos Juizados Especiais Cíveis de Brasília (CEJUSC) e do 1º ao 7º Juizados Especiais Cíveis de Brasília, com cronograma já programado para até o final do ano.
A introdução do PJe no TJ-DF está prevista no plano de administração do biênio 2014-2016 e atende à resolução 185/2013 do Conselho Nacional de Justiça, que institui o processo eletrônico conforme a Lei 11.419/2006, que dispõe sobre a informatização do processo judicial.
No dia 13 de maio deste ano, foi instituído, pela portaria GPR 664/2014, comitê gestor para coordenar as ações de implantação do processo eletrônico e, no mesmo dia, a portaria GPR 662/2014 criou a secretaria especial do PJe com a atribuição de promover as ações de implantação do processo eletrônico no tribunal. Com informações da Assessoria de Imprensa do TJ-DF.
Postado por Regina Tupinambá às 10:46:00
Thursday, July 10, 2014 Swati Khandelwal
Cyber criminals are infecting thousands of computers around the world with malware and are utilizing those compromised machines to break into Point-of-Sale (PoS) terminals using brute-force techniques, and the attackers have already compromised 60 PoS terminals by brute-force attacks against poorly-secured connections to guess remote administration credentials, says researchers from FireEye.
The new botnet campaign, dubbed as BrutPOS, aims to steal payment card information from the POS systems and and other places where payment data is stored, by targeting Microsoft Remote Desktop Protocol (RDP) servers that were disgracefully using poorly secured and simple passwords.
Due to the better track inventory and accuracy of records, the Point-of-sale (POS) machine is used worldwide and it can be easily set-up, depending on the nature of the business. But, Point-of-sale (POS) systems are critical components in any retail environment and the users are not aware of the emerging threats it poses in near future.
A group of three researchers from FireEye, named Nart Villeneuve, Joshua Homan and Kyle Wilhoit, found 51 out of 60 Remote Desktop Protocol (RDP) servers located in the United States. It is really shamefull that the most common username used by the breached servers was "administrator" and the most common passwords were "pos" and "Password1".
Researchers at FireEye has uncovered five BrutPOS command-and-control (CnC) servers, three of which are now offline and two are active, both based in Russia, which were set up in late May and early June. Only a small fraction of the bots are active at any given time.
The campaign has been active since at least February this year. According to the latest count, cyber criminals are running 5,622 bots in 119 countries, majority of them appeared to be located in Eastern Europe given the language used in interfaces and logs, most likely Ukraine or Russia.
"The infected system begins to make connections to port 3389; if the port is open it adds the IP to a list of servers to be brute forced with the supplied credentials," FireEye researchers Nart Villeneuve, Josh Homan and Kyle Wilhoit wrote in a blog post. "If the infected system is able to successfully brute force an RDP server, it reports back with credentials."
Once the BrutPOS malware successfully guesses the remote access credentials of an RDP-enabled system, the attacker uses that information to install a malware program on the infected system and then extracts payment card information from the memory of applications running on it.
The malware also attempted to obtain debug permissions likely to identify POS configurations and if it succeeds in getting those permissions, it runs an executable. But if it failed, it copies itself to%WINDIR%\lsass.exe and installed itself as a service.
The FireEye researchers built a honeypot in an effort to understand the attacker's intentions. They set-up a fake POS software and left some fake credit card details on the desktop, and allow hackers to compromise it. They issued signals mimicking infection and watched as attackers popped its RDP login and crawled around the box attempting to open its installed PoS software before formatting the drive to erase evidence trails.
In past, we have seen many massive data breaches targeting POS machines such as TARGET data breach, the third-largest U.S. Retailer in which over 40 million Credit & Debit cards were stolen, and multiple retailers including Neiman Marcus, Michaels Store involving the heist of possibly 110 million Credit-Debit cards, and personal information.