6/8/2014

Segurana de Software: cdigo aberto versus fechado faz diferena quando tratamos de vulnerabilidades em programas

SEGURANADESOFTWARE:CDIGOABERTOVERSUS
FECHADOFAZDIFERENAQUANDOTRATAMOSDE
VULNERABILIDADESEMPROGRAMAS?
12/11/2013

Estepostvisaesclareceraimportnciadaseguranadesoftwareecomoaauditoria
decdigoemelhoriasnosprocessossoitensfundamentaisparaaqualidade.A
auditabilidadedeumcdigoumdosfatoresaseremconsiderados,masnopode
ser...
Resumo:
Estepostvisaesclareceraimportnciadaseguranadesoftwareecomoaauditoriade
cdigoemelhoriasnosprocessossoitensfundamentaisparaaqualidade.Aauditabilidade
deumcdigoumdosfatoresaseremconsiderados,masnopodeseronico.

Gostariadecomearestepostcomalgunsavisoseagradecimentos.Primeiramente,gostaria
deagradecera4Linuxpormecederesteespaoparadiscutirumtemaquerecentementetem
ganhadomuitoespao(esclarecereiosmotivosparaousodapalavrarecentemente,mesmo
sendoesteumtemabastanteantigo).Preferidivulgarestepequenoartigoatravsda4Linux
simplesmenteporelesseremumaempresasriaejaltamentereconhecidanacomunidade
OpenSource,sendoestaumdosmeusprincipaisobjetivosdeatingir.Paraaspessoasque
preferempartirparaperguntasecomentrios,antesdesequerestudar(leiaseestudar,no
apenasler)umdeterminadocontedo,sugiroqueleiamcompletamenteoFAQque
disponibilizeiaofinaldesteartigo.spessoasinteressadasemsaberumpoucomaissobre
mimtambmrecomendoquevoparaaFAQ.Atodosaquelesquesoamantesdosoftware
livre,peoqueleiamotextopensandonoquevocspodemmudarparacontribuircoma
melhoriadaqualidadenaseguranadosoftware,jaltamenteefetiva,quecolaboram,utilizam
oupromovem.Paratodososleitores:porfavorentendamquemeuobjetivoaquidesmentir
algoqueacabasendoprejudicialcomunidadedesoftwarelivre,enoatacaromesmo.
Softwarelivreemminhaopinioamelhoropoedeveserincentivado.
Esteartigofoiamplamentemotivadopelaconstantedvidaediscussoemtornoda
seguranadesoftware.Programascrescem,novosprogramadorescontribuem
(independentementedocdigoserabertooufechado)ediferentesquesitosenecessidades
dequalidadesurgemdependendodosobjetivosdomesmo(umgrandeexemploosoftware
utilizadoemdispositivosmdicos,amplamentetestadoparaproveraconsistnciadosdados,
masnonecessariamenteprotegidocontraleiturasindevidas[1]).Essarealidadefazcomque
bugs(nonecessariamentedesegurana)constantementesejaminseridosecorrigidos.A
dvidaediscussodiscorresobreoquefazerarespeito.Comogarantiraseguranano
desenvolvimentoeaconstantemelhoriadestequesitoespecficoemumaaplicao?As
dennciasrecentesemrelaoaespionagemamericana[2]aindaenfatizaramainsero
http://www.4linux.com.br/noticia/seguranca-de-software-codigo-aberto-versus-fechado-faz-diferenca-quando-tratamos-de

1/5

6/8/2014

Segurana de Software: cdigo aberto versus fechado faz diferena quando tratamos de vulnerabilidades em programas

propositaldevulnerabilidadesemaplicaes.Adiscussoaquemerefirosurgequandoos
defensoresdesoftwarelivreutilizamtaisdennciasparadizerqueomelhoremaisseguro
usarsoftwarelivre.
Garantiraseguranadeumsoftwareexigeprocessosdetesteeauditoriadecdigo
constantes.Obviamentepelosoftwareserlivre,eportanto,seucdigoamplamentedisponvel,
confundeseestafacilidadecomaautomticaseguranaqueamesmaproporcionaria.
Infelizmenteemumareadeexatas,afacilidadeparaalgonoimplicanecessariamenteque
estealgovenhaaserfeito.Eaquificaminhasplicaparaaspessoasdesoftwarelivre:
aprendammaissobrecomoencontrarvulnerabilidadesemprogramas.Entendammaissobre
quesitosdeseguranaquedefatodificultamaexploraodesistemas(taiscomoativar
canarynacompilao,fornecerexecutveisPIEqueproporcionamaefetivaaplicaode
randomizao,utilizaocorretadecriptografiaeseusdiversoselementos),implementeme
aceitemtestesespecficosparaencontrarproblemasdesegurana(fuzzerseanlise

esttica).
Oargumentodeinserodefalhaspropositaisemsoftwareproprietriosdeveriadeixarde
serutilizado,poisassumequetaisfalhasnopoderiamserinseridosemsoftwareabertos
(vejamainfluncia,porexemplo,daNSAnodesenvolvimentodokerneldoLinuxcomo
SELinux[3]).Talargumentotambmassumequesoftwareproprietriosnopoderiamser
auditados(emboraatarefasejamaistrabalhosa,amesmanoimpossvel,aindamais
quandoseassumeasformasclssicasqueaparentementeamaioriadaspessoasimagina
parainserodevulnerabilidadesemprogramas).
Aproveitandoparafalarsobreainseropropositaldevulnerabilidades,queroenfatizarquea
mesmanosetratademodificaesvisivelmentefalhas.Emgeral,taisinseressosutis,
misturadascomreaisbenefciosparaosoftwareefacilmenteconfundidascomerrosno
intencionaisquandodescobertas.Dadoisto,comosaberseumoumaiscontribuidoresde
softwarenoofazemdepropsito,tantoemempresasdesoftwareproprietrioquantoem
projetosOpenSource?Opagamentoporvulnerabilidadesdescobertaseosaltosvalores
negociadosemexploits[4]mudamabalanadevaloresquandotratamostaisassuntos,ea
inocnciaperanteestefatonodeveserdesconsiderada.
Dadotudooquefoiditoatagora,doquesetrataentoumsoftwareseguro?Tratasedo
softwarecorretamenteauditado(porumnmeroadequadodeprogramadoresqueentendam
osproblemasdeseguranainfelizmentenoexisteumnmeromgico,nemumaproporo
mgica,dadoquetudodependedacomplexidadedosoftware,interrelaocomelementos
externosediferentesquesitos),umsoftwarequepossuitestesconstantesdesegurana
(automatizadosnaformadefuzzerseanlisesestticas,bemcomomanuaisemnovos
http://www.4linux.com.br/noticia/seguranca-de-software-codigo-aberto-versus-fechado-faz-diferenca-quando-tratamos-de

2/5

6/8/2014

Segurana de Software: cdigo aberto versus fechado faz diferena quando tratamos de vulnerabilidades em programas

recursosadicionados).
Umdosargumentosquecostumoouvirequeestacorretssimoparaosoftwareabertoem
diversoscasos,masinfelizmentenoseaplicaaquestoseguranaestnofatodequeuma
empresainteressadaemutilizardeterminadosistemaequedesejegarantirqueomesmono
possuivulnerabilidadesintencionaisepossuicertaqualidadeemtermosdesegurana,
poderiasimplesmentecontratarumterceiroparaefetuarumaauditoria,dadaadisponibilidade
docdigo.Estequesitomostraseerrado(namaioriadoscasos,masobviamenteemcasos
menorespodesertotalmenteplausvel,esperoqueoleitorentendataisargumentosecomece
acriarumavisocrticaparaavaliarcadacaso)poisocustoparadefatoserealizaruma
anliseextremamentecompletadeumprojetodeportemedianodepoisdedesenvolvidoseria
astronmico(issosemconsideraraanlisecontnuadomesmorazopelaqualasempresas
desoftwarefechadohojeapanhamtantoemrelaoaseguranadeseusprogramas,afinal,
poranosnoinvestirameagoramesmoosbilhesdirecionadosaestafinalidadeno
conseguemresolveroproblema)eportantoumaanliseamostralteriadeserutilizada.Como
explicado,vulnerabilidadesintencionaissofacilmentedisfaradascomovulnerabilidades
normais,eportantomesmoumaauditoriacompletamostrarianomximoalgumas
vulnerabilidadesenotodasdeumsoftware.Talresultadopodeseratingidodamesmaforma
comanlisedeaplicativosbinrios(comojcomprovadopelasdiversasvulnerabilidades
lanadasemdiferentesprogramasdemercado).Aoinvsdeutilizaroargumentodesermais
seguroporseraberto,deverseiaaproveitaraverdadeiravantagemdocdigoaberto:Porser
aberto,poderiasertornadomaisseguro,casoaempresaestivessedispostaainvestirem
especialistasparatalprojeto.Issocriariaoincentivoparadiversasempresasusuriasde
softwarelivreapoiaremosprojetos,almdedesenvolverummercadomaiorpara
especialistasfocadosemsoftwareabertoeinfluenciarpositivamenteaseguranadele.A
economiacomlicenaspoderiaserrevertidaemconhecimentoparaaempresa(coma
contrataodetaisespecialistas),queauxiliariamnoapenasnesteprojeto,comoem
diversasoutrasnecessidadesdeseguranadamesma,gerandoeconomiaposterior(danosa
imagemeperdasemcasosdeinvases,bemcomonaprpriacontrataodemodeobra
qualificada).

Seconsiderarmosopapeldosgovernosna
melhoriadaqualidadedesoftware,aindamaisemfacedasespionagensdenunciadas
recentemente,devemospensarqueincentivosnaeducaoeinvestimentosemsistemas
auditveis(eemprocessosdeauditoriasabertosparaosmesmos)soprovavelmentea
nicaviaparaproverindependnciatecnolgica.Deixareiparadiscutiresteitememum
prximopost,masfiquemavontadeparacomearemaopinar.
Aperguntaqueficaento,:comosetornarumpesquisadordevulnerabilidades?Este
http://www.4linux.com.br/noticia/seguranca-de-software-codigo-aberto-versus-fechado-faz-diferenca-quando-tratamos-de

3/5

6/8/2014

Segurana de Software: cdigo aberto versus fechado faz diferena quando tratamos de vulnerabilidades em programas

perguntamemuitasvezesfeitaporpessoasquepensamemencontrarvulnerabilidadesem
softwareproprietrioseentrarnomercadodeexploits.Estaspessoasseesquecemquea
pessoaqueauditacdigos(tantoproprietriodentrodasempresas,quantoOpenSource,seja
dentrodeempresasouapenaspordiverso)tambmumpesquisadordevulnerabilidades.
Muitospesquisadoresdevulnerabilidadesestofocadosnaanlisebinria(engenharia
reversa,fuzzing)deumsoftware,masdiversos(eudiriaqueamaioria)soespecializadosem
anlisedecdigo.Comotudoemsegurana(ouquase?),aprticalevaaperfeioeaquio
softwareabertopodecontribuir(ecomissorecebercontribuies)emuito!Olharasdiversas
correesefetuadasaolongodosanos,osproblemasencontradoseasmelhoresprticas
adotadasparaevitlosessencialparaointeressadoconseguircriaramentalidade
necessriaparaauditarcdigo.Cursosnareapodemagilizaresteprocesso,dandoaviso
depadresclaramenteerrados,paraqueaexperinciaposteriorpermitaoaprendizadoea
extrapolaodecasosmaisgerais.
FAQ:
1)Mas,ofatodosoftwareserlivrefacilitaaauditoria
Esseargumentoconstantementeusadoeapesardeservlido,aindadeixaemabertoa
questodequemirrealizartalauditoriaecomoelaseriarealizada.Mesmoprojetosde
tamanhomdiopossuemtamanhacomplexidadequeauditoriascompletassoinviveise
portantoamostragensdevemserutilizadas.Emtaiscasos,umsoftwareproprietriopodeser
tooumelhorauditadoqueumsoftwarelivre(dadoqueamostragenspodemcontererrosde
amostra,sortenasescolhas,melhorexperinciadoanalistacomdeterminadoquesitodo
software,etc.)
Talargumentotambmesqueceofatormudanadeumsoftwarelivre:osprojetosevoluem
maisrapidamentedoqueasempresasconseguematualizarseussistemas,oquefazcom
quediversasvulnerabilidadescorrigidasnomainlineaindanoestejamcomasatualizaes
presentesnasdistribuiesemenosaindanossistemasemproduo.Investirnestes
processosessencialparaoaumentodaseguranadosoftwarelivre.
Aeconomiadomercadodevulnerabilidadesoutrofatorconstantementeignoradoportal
argumento.Lembrandoquevulnerabilidadesinseridassosutis,emuitasvezes
confundidas/misturadascomnovosrecursos.
2)Entoosoftwareproprietriovantajosoemtermosdesegurana?
Maisumaconclusoprecipitada,comumentevistaemdiscussesemqueaspessoasse
apressamageneralizareconcluircoisasantesdeasentenderem.NO.Softwareproprietrio
novantajosoemtermosdesegurana.Nemdesvantajoso.Elepossuiaspectosfavorveis
(comoocontroledereleases/verseseprticasdetestes)efatoresdesfavorveis(as
empresassoinfluenciadaspelomercadoenoporquesitostcnicosepodemserforadas
porgovernosatomaraesduvidosasemrelaoasegurana).
Osoftwarelivrepodeedeveriasersempremelhor,tambmnoquesitosegurana.Oque
acontecequeemdiversosprojetos,talquesitonoprioritrioouentodecididopor
programadoresnoespecialistasnoassuntosegurana.
SOFTWARESEGUROAQUELEEMQUEDECISESDEPROJETOLEVAMEM
CONSIDERAOASEGURANADASINFORMAESEAUDITORIASCONSTANTES
http://www.4linux.com.br/noticia/seguranca-de-software-codigo-aberto-versus-fechado-faz-diferenca-quando-tratamos-de

4/5

6/8/2014

Segurana de Software: cdigo aberto versus fechado faz diferena quando tratamos de vulnerabilidades em programas

GARANTEMQUEERROSSEJAMENCONTRADOS,CORRIJIDOS,DOCUMENTADOSE
LIESSEJAMAPRENDIDAS.Emgeral,softwarelivrefalha(emuito)napartede
documentaes[6].
3)Nohsentidoemfazercursosparaauditoriadesoftware,dadoquecadasoftware
diferente?
Semprepenseiquecursospodemajudarcasoaexperinciaprticadoprofessoragilizeo
aprendizadodoaluno.Nuncaaceiteienemaceitareiqueumcursosubstituaaprticaouque
semumcursooaprendizadoseriaimpossvel.Nocasodeauditoriadeprogramas,dadoo
crescimentodosmesmos,acomplexidadeeaquantidadedeinformaesdisponveis
atualmente,umcursopodeajudaraalinharospensamentoseaspesquisas,provendo
informaesquecontribuamparaaextrapolaoposteriordocontedoparacasosmais
especficosvivenciadosnaprtica.

4)Vocachasoftwarelivremaisseguro?
Vejodiversosproblemasnosprocessosatuaisdesoftwareemgeral,sejaelelivreou
proprietrio.Masasvantagensdosoftwarelivreextrapolamquaisquerdesvantagensna
maioriadoscasoseseasdiscussesfossemmaisjustascommenosargumentosduvidosos
(porambasaspartes,eemgeralfeitosporpessoasquenosodefatoespecialistasnos
itensemqueestoargumentando),creioqueficariaMUITOmaisclaroparatodosas
vantagensdosoftwarelivre.

http://www.4linux.com.br/noticia/seguranca-de-software-codigo-aberto-versus-fechado-faz-diferenca-quando-tratamos-de

5/5