Sites do Governo alojados em software desactualizado e com falhas de segurança Posted: 14 Aug 2013 03:16 AM PDT Operação #OpAntiGov colocou “scans” a vários servidores dos sites .gov.pt online, onde por uma análise simples, se constata que usam software obsoleto. Porque é que é possível mandar os sites do Governo Português abaixo tão facilmente? Apenas um PC consegue tal facto, devido ao software que usam. Na maioria dos casos usam software IIS que não te embutida protecção para DDoS. Mesmo algum dos sites do Governo que usam ISS correm muitas das vezes a versão 6.0, quando na realidade já existe a versão 7.5 bastante mais estável que é a maioritariamente usada. Já para OpenSSH, que permite ligações remotas aos servidores aos quais não se acede todos os dias de forma física, temos versões 4.0, 4.3, 5.1p1 e 5.3p1. Na realidade e segundo o site oficial a última versão é a 6.2. Isto significa que dos “scans” que estão disponíveis no Pastebin, todos os servidores do Governo usam o softeware OpenSSH desactualizado. Ver informação no Pastebin Para o #C!RCU!T Sn3ak3r, da Team Whit3 Portugal, que aceitou ser entrevistado para o Tugaleaks, “eles não vão melhorar a segurança informatica porque pouco se importam com isso”. Questionado sobre a possibilidade de ajudar o Governo ou a PJ, este hacker foi prentório afirmando que “nunca na vida iria ajudar alguma organização policial ou governamental outras empresas sim estaria 100% disposto ajudar, mas policial não, eles têm dinheiro suficiente para contratar bons informaticos/hackers. Mesmo que me dessem uma boa proposta não aceitaria”. O desastre está “assim” de acontecer… Um consultor de segurança que não pretendeu ser identificado, afirmou que “a utilização de software desactualizado traduz-se numa série de riscos potenciais: vulnerabilidades de segurança, problemas relacionados com desempenho, disponibilidade de serviços ou até mesmo a sua funcionalidade. No contexto actual, em que os ataques a sistemas são constantes e cada vez mais sofisticados, é importante sublinhar que na maior parte das situações, um ataque com sucesso (seja através de intervenção humana directa ou através de vírus, bots, trojans e afins) é, na maior parte das vezes, resultado da exploração de vulnerabilidades de software documentadas, e para as quais já são conhecidas e disponibilizadas soluções”. Afirma ainda que “para além dos óbvios prejuízos de imagem para as organizações, poderão ainda existir prejuízos directos (destruição de informação, ou inoperacionalidade de sistemas que suportam actividades/negócios) e indirectos (recursos humanos, técnicos e de tempo de inoperacionalidade). As políticas de actualização de software (de preferência precedida de testes em ambiente controlado) devem ser englobadas numa política mais abrangente de segurança de informação, equilibrando a segurança com a disponibilidade de serviços, priorizando as actualizações de maior criticidade. Termina ainda a indicar que “manter software desactualizado (especialmente o que suporta serviços expostos à Internet) é um risco que, nos dias que correm, não faz sentido menosprezar”. Ver informação no Pastebin Uma análise aos scans efectuados pela equipa de hacktivistas mostra-nos claramente um padrão de desorganização do estado e, sob pena de graves prejuízos, o uso de dinheiro dos contribuintes para resolver um problema que é fácil precaver. Além dos ataques efetuados durante o final do dia de ontem, a equipa de hacktivistas efectuou ainda defaces aos sites www.cm-alcobaca.pt/index.html, www.efxsoft.com e www.esep.pt. Artigos relacionados: Falhas de segurança no Cartão de Cidadão permitem falsificar assinaturas digitais Sites do Governo e de Câmaras Municipais continuam vulneráveis a ataques de hackers Antes de atacarem a PCDiga, hackers avisaram das falhas de segurança mas foram ignorados