especialista em segurança Derek Newton, considera a utilização do popular serviço on-line Dropbox como um risco de segurança. O serviço armazena arquivos na web e permanentemente, sincroniza-os entre diferentes computadores. Isso é feito utilizando um software client para Windows, Linux e Mac OS e sistemas móveis como o IOS e Android.
O serviço de armazenamento online é muito popular também com os usuários corporativos. Ao examinar o cliente do Windows, Newton descobriu uma falha de segurança grave no serviço de movimentação da conta de acesso à dados no Dropbox. As credenciais só precisam ser inseridas uma única vez, durante a instalação. O processo de instalação gera um token de autenticação, o HOST_ID, que é posteriormente armazenado no arquivo config.db no diretório %APPDATA%\Dropbox em um disco rígido local.
Newton diz que o HOST_ID não está vinculado ao sistema que foi gerado e pode, portanto, ser transferido para qualquer outro sistema. Isso permite potencialmente que um trojan extraia o arquivo config.db, e obtenha acesso não autorizado a arquivos armazenados de um usuário Dropbox.
Tais acessos não registram-se como sistemas adicionais porque, aparentemente, quando o novo sistema não autorizado se conecta ao serviço Dropbox, o HOST_ID faz com que pareça ser o sistema original. Não há solicitação de credenciais e não há máquinas adicionadas à lista de sistemas que o Dropbox está sincronizando.
Alteração de senhas, a forma usual de impedir o acesso contínuo de usuários não deve funcionar, devido ao HOST_ID permanecer válida após a mudança. O HOST_ID pode ser revogado, indo para www.dropbox.com/account e selecionando "My Computers" e "Unlink" para qualquer sistema comprometido.
As Dimensões da Falha de Segurança
Newton acha que a falha de segurança é causada por uma falha de projeto no cliente Windows. Ainda não está claro se o software para outros sistemas operacionais também é afetada, mas isso parece possível, porque eles compartilham a mesma arquitetura.
Além disso, Newton recomenda que os usuários corporativos devem se abster de utilizar o Dropbox, por enquanto. O especialista aconselha que a criptografia forte deve ser utilizada para proteger dados confidenciais armazenados em um Dropbox, e que os usuários devem remover quaisquer sistemas antigos de sua lista de sistemas de autorizados, e que cuidados devem ser tomados para evitar possíveis intrusos de acessar o arquivo config.db.
Em uma discussão em fóruns Dropbox, o CTO da empresa, Arash Ferdowsi, disse que não concorda com a avaliação de Newton sobre a questão. Ele ressalta que, se alguém teve acesso ao sistema, seja fisicamente ou por meio de um vírus ou trojan, "a batalha da segurança acabou" e que os dados de todo o sistema são vulneráveis.
Ferdowsi diz que a empresa vai "pensar com cuidado sobre as melhorias de segurança possíveis" a serem implementadas no cliente Dropbox, e irá apresentá-las em versões mais recentes do serviço. Ele menciona mais símbolos complexos, melhorias no arquivo e permissões obscuras de melhoria do local onde a identificação é realizada. Uma opção Dropbox deve considerar a geração de HOST_ID token com base em um identificador ligado ao sistema físico.
Links de Interesse:
- Newton Derek
- Security issue found in Dropbox client
terça-feira, 12 de abril de 2011
quinta-feira, 31 de março de 2011
terça-feira, 22 de março de 2011
Analistas de sistema e técnico de informática podem ter profissões regulamentadas
As profissões de analista de sistemas e técnico em informática serão regulamentadas se o Senado e a Câmara aprovarem o projeto de lei do Senado (PLS) 607/07. Atualmente a proposta aguarda a decisão final, em turno suplementar, da Comissão de Assuntos Sociais, onde é relatada pela senadora.
De acordo com o texto em exame na CAS, a profissão de analista de sistemas seria exercida por pessoas diplomadas em análise de sistemas, ciência da computação, processamento de dados ou engenharia de software. Também estariam autorizados os profissionais que tenham exercido a profissão comprovadamente por, pelo menos, cinco anos, assim como os que tiverem feito graduação no exterior e revalidado seus diplomas no Brasil.
A responsabilidade técnica por projetos e sistemas para processamento de dados, informática e automação, assim como a emissão de laudos, relatórios e pareceres técnicos seria privativa de analista de sistemas.
Já a profissão de técnico em informática, ainda de acordo a proposta, seria exercida por profissionais com curso técnico de informática ou de programação de computadores (em nível de ensino médio ou equivalente) e por quem tenha exercido essa profissão, comprovadamente, por pelo menos quatro anos.
Esses profissionais teriam, ainda segundo a proposta, uma jornada de trabalho de 40 horas semanais. Compensação de horários e redução da jornada poderiam ser feitas mediante acordo ou convenção coletiva de trabalho. Para os profissionais com atividades com esforço repetitivo, a jornada seria de 20 horas semanais com, no máximo, cinco horas diárias, incluído descanso de 15 minutos.
O projeto já foi discutido em audiências públicas e aprovado pelas comissões de Ciência, Tecnologia, Inovação, Comunicação e Informática (CCT) e de Constituição, Justiça e Cidadania (CCJ). Na CAS, onde receberá decisão terminativa, a proposta foi aprovada na forma de substitutivo, o que exige a votação em turno suplementar. Depois de aprovada na CAS, a matéria será enviada à Câmara dos Deputados.
Mais informações através do endereço eletrônico: http://www.senado.gov.br/notic...
quinta-feira, 10 de março de 2011
Caixa é condenada a pagar R$ 1,5 milhão por uso de software
:: Da redação
:: Convergência Digital :: 04/03/2011
:: Convergência Digital :: 04/03/2011
Escriturário da Caixa Econômica Federal - CEF teve reconhecido na Justiça do Trabalho o direito a receber por software criados por ele para a instituição. Como o trabalhador não fora contratado para exercer esse tipo de atividade, a Caixa foi condenada a pagar ao empregado 30% do valor do software, atribuindo R$ 500,00 por cada cópia de programas de computador criado, num total de três mil cópias.
No último julgamento, a Sétima Turma do TST confirmou a decisão da Vara do Trabalho e do Tribunal Regional do Trabalho da 5ª Região (BA) que condenaram a Caixa com base na legislação que trata dos direitos autorais e de propriedade industrial.
No caso, o trabalhador foi contratado como escriturário pela Caixa, no entanto, devido aos seus conhecimentos na área de informática, lhe foi solicitado a criação de programas de computador, utilizados em todo território nacional, e que não estavam dentro das suas atividades como escriturário.
Por este fato ele ajuizou ação na Justiça do Trabalho solicitando o pagamento dos valores que lhe seriam devidos pela criação dos programas de computador.De acordo com o TRT, "a criação de softwares e programas de computador são funções específicas de analistas e programadores, cargos, inclusive, que a ré admite existirem em seu quadro funcional. Frise-se, ainda, que inexiste prova nos autos de que tais funções encontram-se vinculadas às funções do cargo de escriturário exercido pelo reclamante".
Com isso, o trabalhador não teria direito apenas a diferença salarial com a remuneração de analistas e programadores. "Não houve, na hipótese dos autos, simples desvio de função, mas a criação e invenção de programas de informática que trouxe benefícios para a ré, sem que ela, em contrapartida, tivesse remunerado o reclamante por tais criações, conforme discriminadas na inicial", concluiu o TRT que aplicou, no caso, a Lei 91.279/96.
Desta forma, o escriturário se enquadraria como criador de invenções casuais, sendo-lhe devida a justa remuneração, como determina o § 2º da aludida lei. De acordo com esse parágrafo, "é garantido ao empregador o direito exclusivo de licença de exploração e assegurada ao empregado a justa remuneração'.
Quanto ao valor da condenação, o TRT confirmou a sentença da Vara do Trabalho que fixou a importância da indenização ao equivalente a 30% do valor arbitrado ao software, atribuindo a cada uma das cópias do programa a quantia de R$ 500,00, num universo de três mil cópias por programa.
A quantidade de cópia estaria prevista "no artigo 56, parágrafo único da Lei nº 9.610/98 que fixa o número de três mil cópias para as hipóteses de previsão contratual sobre o número de cópias a ser utilizado pelo contratante".
No recurso ao TST, a Caixa Econômica alegou que o escriturário não comprovou quais os programas que realmente ele criou. No entanto, a Sétima Turma concordou com a tese do TRT, segundo a qual o ônus da prova seria da Caixa pelo fato de o preposto da empresa ter confirmado, em audiência na Vara do Trabalho, que o trabalhador realmente criava software.
De acordo com a juíza Maria Doralice Novaes, relatora do recurso da Caixa na Sétima Turma, diante da confirmação do preposto da Caixa, a empresa "acabou por reconhecer o direito pleiteado, atraindo para si o ônus de comprovar a existência dos elementos relativos à improcedência, total ou parcial, do pleito".
terça-feira, 1 de março de 2011
STJ: Empresa que pirateou programas da Microsoft pagará indenização 10 vezes maior
:: Da redação*
:: Convergência Digital :: 25/02/2011
A empresa do ramo de bebidas Santamate Indústria e Comércio Ltda terá de pagar 10 vezes mais em indenização à Microsoft Corporation, do que o simples valor de mercado auferido pelo uso, sem licença, de 28 cópias de programas de computador da multinacional. A decisão foi tomada pela Quarta Turma do Superior Tribunal de Justiça (STJ) que reformou a sentença proferida anteriormente pelo Tribunal de Justiça do Rio de Janeiro. O TJRJ ao analisar o caso, apenas obrigou a empresa de bebidas a compensar a Microsoft pelo valor de face dos programas. Ou seja, o Tribunal de Justiça do Rio de Janeiro alegou que na hipótese de apuração exata dos produtos falsificados, a indenização se restringiria ao pagamento do preço alcançado pela venda. O STJ, por sua vez, entendeu que o uso sem licença de programa de computador não pode apenas se restringir ao valor de mercado dos produtos apreendidos. A indenização deve levar em conta a violação de direitos autorais e ser punitiva, seguindo o previsto no artigo 102 da Lei n. 9.610/1998, que impõe maior rigor na repressão à prática da pirataria. No caso, o TJRJ condenou a empresa de bebidas Santamate Indústria e Comércio Ltda a pagar à Microsoft Corporation indenização por 28 cópias de softwares apreendidos. Os magistrados se basearam no artigo 103 da Lei de Direitos Autorais. A Microsoft recorreu ao STJ, com alegação de que a utilização dos programas de computador proporcionou um incremento ao processo produtivo da infratora, ao incorporar um capital que não lhe pertencia. A empresa alegou, ainda, que a condenação ao pagamento do preço dos produtos em valor de mercado não se confundia com o pedido de indenização, que deveria ter caráter pedagógico. Para os ministros do STJ, a interpretação adotada pelo TJRJ, ao condenar a empresa Santamate Indústria e Comércio Ltda a pagar o mesmo que uma empresa que adquiriu o produto licitamente, apenas remunera pelo uso ilegal do programa, mas não indeniza a proprietária do prejuízo sofrido. Na ausência de dispositivo expresso sobre a matéria, os ministros da Quarta Turma aplicaram o entendimento do artigo 102 da Lei n. 9.610/98, que estabelece indenização no caso de fraude. Segundo o relator do recurso, ministro Luis Felipe Salomão, a indenização por violação de direitos autorais deverá ser não só compensatória, relativa ao que os titulares deixaram de lucrar com a venda dos programas "pirateados", mas também punitiva, sob o risco de se consagrar práticas lesivas e estimular a utilização irregular de obras. A Quarta Turma aumentou a indenização devida em dez vezes o valor de mercado de cada um dos programas indevidamente utilizados. * Com informações da Assessoria de Imprensa do STJ
quinta-feira, 17 de fevereiro de 2011
Gerenciamento de projetos de TI
IT Careers - Convergência Digital
:: Por Marcelo Sales* :: 16/02/2011
A disciplina de Gerenciamento de Projetos tem sido cada vez mais adotada nas diversas áreas de negócio. Em Tecnologia da Informação e Comunicação (TIC) não tem sido diferente. Ao contrário, essa área destaca-se como a grande fomentadora da evolução da disciplina de gerenciamento de projeto nas últimas duas décadas. O conceito de projeto hoje é utilizado desde a construção dos maiores arranha-céus ao planejamento e preparação da menor das cerimônias de casamento. Atualmente, muitas companhias têm políticas definidas para que a empresa como um todo seja gerida utilizando o conceito de projeto. São as chamadas "empresas projetizadas". Em decorrência disso, a área de gerenciamento de projetos está mudando. O que funcionava bem no passado, não necessariamente funcionará no futuro. A razão disso: o mundo dos negócios muda continuamente. Algum tempo atrás, gerenciar projetos representava focar em três elementos chaves: custos, tempo (cronograma) e qualidade. Esses três aspectos são conhecidos como a tríplice restrição do gerenciamento de projetos. Variações em um destes pontos certamente afetarão os outros dois. Trata-se da abordagem clássica de gerenciamento de projetos. Entretanto, recentemente a disciplina de gerenciamento de projetos tem dado maior foco nos aspectos comportamentais. Isso significa que as ferramentas, técnicas e princípios utilizados no modelo clássico, continuam importantes. Mas, em adição, o aspecto humano passa a ter igual importância. É valioso observar que projetos são executados por pessoas, justificando a importância recentemente destacada aos aspectos humanos e comportamentais, muitas vezes denominados soft skills. Apesar de ter seus principais conceitos firmados na década de 1950, o gerenciamento de projetos pode ser considerado uma disciplina recente. Sua adoção se intensificou principalmente na década de 90, mas certamente ainda está longe da maturidade. Assim, faz-se necessário contribuir para o avanço desta área de conhecimento. E a coleta de experiências práticas, reais e vividas no dia a dia das empresas representa uma forma interessante de contribuição. A literatura disponível no Brasil sobre gerenciamento de projetos esteve muito tempo restrita ao material importado, disponível na língua inglesa. Recentemente, a partir de 2006, começamos a perceber o aumento de publicações de autores nacionais. Um exemplo é a obra "Indicadores de Gerenciamento de Projetos" (M.Books). Ainda assim, a grande maioria das publicações nacionais tem forte referência ao conteúdo anteriormente disponível (importado), não representando, ainda, na maioria dos casos, a situação cotidiana vivenciada nas organizações brasileiras. Pensando que, com a abertura do século 21 teremos um incrível número de mudanças e mudanças são realizadas, prioritariamente, através de projetos, todos – sem exceção – precisaremos nos adaptar e, no mínimo, estar alinhados com seus pares. O ideal é que sejam as locomotivas e "puxem" as mudanças. O ritmo acelerado de mudanças traz incertezas para as organizações. A disciplina de gerenciamento de projetos pode ajudar a administrar o risco associado a essas incertezas. Essa disciplina usa técnicas de comprovado sucesso para selecionar, planejar e executar projetos, obtendo redução de custos, prazos e maximizando a qualidade dos produtos. Logo, parece imperativo para as organizações que desejam seguir competitivas, a necessidade de se estabelecer um processo de gerenciamento, associado a um eficaz e efetivo escritório de projetos, capaz de eficientemente gerenciar o portfólio de projetos da empresa, garantindo e maximizando o retorno dos investimentos realizados. * Marcelo Sales é diretor de consultoria da Sonda Kaizen, unidade de negócios do grupo Sonda IT, maior companhia latino-americana de Tecnologia da Informação.
Assinar:
Postagens (Atom)
http://under-linux.org/problemas-de-seguranca-no-cliente-dropbox-2632/