Métodos de Negociação do IKE - (Main Mode, Aggressive Mode e Quick Mode)

The Many Modes of IPSec With IKE
IKE is a key management protocol designed for the secure exchange of encryption keys used by other encryption and authentication schemes. The IPSec draft requires the support of DES and 3DES for data encryption, and MD5 and SHA-1 for authentication. IKE is the framework that negotiates security association (SA) and keys.

Within IKE, two modes are used. Main Mode provides identity protection for the hosts initiating the IPSec session, but takes slightly longer to complete. Aggressive Mode provides no identity protection, but is quicker. All IPSec devices must support Main Mode; Aggressive Mode is optional. Note that the IPSec SA is negotiated independently of the IKE SA.

Main Mode An IKE session begins with the initiator sending a proposal or proposals to the responder. The proposals define what encryption and authentication protocols are acceptable, how long keys should remain active, and whether perfect forward secrecy should be enforced, for example. Multiple proposals can be sent in one offering. The first exchange between nodes establishes the basic security policy; the initiator proposes the encryption and authentication algorithms it is willing to use. The responder chooses the appropriate proposal (we'll assume a proposal is chosen) and sends it to the initiator. The next exchange passes Diffie-Hellman public keys and other data. All further negotiation is encrypted within the IKE SA. The third exchange authenticates the ISAKMP session. Once the IKE SA is established, IPSec negotiation (Quick Mode) begins.

Aggressive Mode Aggressive Mode squeezes the IKE SA negotiation into three packets, with all data required for the SA passed by the initiator. The responder sends the proposal, key material and ID, and authenticates the session in the next packet. The initiator replies by authenticating the session. Negotiation is quicker, and the initiator and responder ID pass in the clear.

Quick Mode IPSec negotiation, or Quick Mode, is similar to an Aggressive Mode IKE negotiation, except negotiation must be protected within an IKE SA. Quick Mode negotiates the SA for the data encryption and manages the key exchange for that IPSec SA.

Fonte:

Network Computing - Making IPSEC for You By Mike Fratto

NIC.br disponibiliza NTP

Gostariamos de anunciar que o novo serviço de NTP do NIC.br,
o NTP.br,está em funcionamento.

O serviço fornece a Hora Legal Brasileira através
dos servidores: a.ntp.br, b.ntp.br e c.ntp.br.

Manter o relógio dos computadores sempre correto
é algo que tem assumidouma importância crescente.
Relógios incorretos geram reflexos no funcionamento
de diversos softwares e sistemas e na segurança dos
computadores, redes e da própria Internet.
O NTP corretamente configurado resolve isso de
forma bastante eficaz, gastando pouquíssimos
recursos de processamento e de rede.

O NTP.br vem ajudar a suprir a carência de
bons servidores NTP públicos no Brasil,
complementando outros projetos existentes.
Como diferenciais, podemos apontar:
- fornece a Hora Legal Brasileira,
baseando-se em relógios atômicos do Observatório Nacional,
mas localizados em diferentes datacenters;
isso torna o NTP.br independente do GPS estadunidense,
no qual baseia-se grande parte dos servidores públicos;

- os servidores têm redundância de hardware e rede
e estão localizados em datacenters com ótima
conectividade à Internet, estando aptos a
suportar milhares de consultas por segundo.

Convidamos a todos a visitar o site do projeto em:
http://www.ntp.br.
Nele há informações sobre o protocolo NTP
detalhes sobre o NTP.br, há tutoriais de
instalação e configuração e é possível monitorar o
funcionamento do serviço através de gráficos.

Dúvidas, sugestões, comentários, elogios e críticas podem ser
encaminhados para ntp@nic.br.

TOP 10 de vulnerabilidades WEB críticas - OWASP-BR

Senhores(as);

É com grande prazer que anuncio a versão traduzida do documento OWASP
TOP 10 2007 para nosso bom e velho português.

Para quem não tem conhecimento, o TOP 10 contém as 10
vulnerabilidades mais críticas encontradas em aplicações WEB para o
ano de 2007. Para cada uma das vulnerabilidades é apresentada uma
descrição, forma de identificação e proteção, entre outras
informações.

O link para o documento é:
http://www.owasp.org/images/4/42/OWASP_TOP_10_2007_PT-BR.pdf

Parabenizo o esforço de todos que cooperaram com a tradução e revisão
dos textos!!!

Aproveito o momento para convidar todos a conhecerem e participarem
das atividades da OWASP-BR : http://www.owasp.org/index.php/Brazil

Equipe OWASP-BR

Samba Team recebe documentacão sobre protocolos de comunicacão da microsoft

Matéria super legal informando que o Samba Team recebeu a documentação sobre os protocolos de comunicacão do Microsoft Windows workgroup server

http://samba.org/samba/PFIF/

Clássico dos Administradores de Rede/Sistemas...

Esse video já em bem conhecido, mas vou postar como lembrança apra todos meu amigos que passam ou jah passaram por isso um dia..

"Usuário é usuário, não adianta!!!"
kkkkk

Videos do Hack In The Box Security Conference 2007 na Malasia Malaysia disponíveis

The videos from Hack In The Box Security Conference 2007 Malaysia is now
available for download! The files were created in Quicktime, however if
you're having trouble playing them on your platform, please ensure you
have the latest 3IVX codec installed.

Time to fire up your favorite Bit Torrent clients and please remember to
seed!

go to http://video.hitb.org/2007.html to download the torrents

On a related note, the Call for Papers for HITBSecConf2008 - Dubai is
still open. If you're interested in speaking at the upcoming event in
the UAE, please take a look at the CFP page for details on how to
submit. We are especially looking for more submissions from the EMEA region.

Pg Conference Brasil 2007 - em São Paulo

7 e 8 de Dezembro (Sexta-feira e Sábado) das 9h00 às 18h00 no Centro de Convenções Pompéia em São Paulo.

As exigências do mercado de Sistemas Gerenciadores de Bancos de Dados nunca foram tão grandes. Velocidade, grande volume de informações, análises complexas e não estruturadas são apenas alguns desafios que os SGBDs têm que enfrentar. Neste cenário, o PostgreSQL vem ganhando mais mercado a cada ano. Com um novo lançamento por ano, o PostgreSQL tem demonstrado um amadurecimento na utilização em corporações exigentes, atendendo a requisitos antes só satisfeitos por soluções proprietárias. Confiabilidade, flexibilidade, robustez e um desempenho excelente é o que se pode esperar do banco de dados livre mais avançado no mundo.

Além do crescente número de usuários, o PostgreSQL tem um ecossistema completo no Brasil: grandes implementações, suporte técnico, consultoria, treinamento e desenvolvedores brasileiros. Somente a lista de discussão por e-mail conta com mais de 4 mil usuários cadastrados e o site www.postgresql.org.br possui mais de 10 mil acessos por dia. Bases com mais de 2TB e milhares de conexões simultâneas já são realidade. Empresas de grande porte como Sun, Sony e Red Hat têm apostado no PostgreSQL e a presença de desenvolvedores nacionais e internacionais em eventos brasileiros tem sido freqüentes nos últimos 5 anos.

Vários eventos exclusivamente dedicados ao PostgreSQL tem ocorrido ao redor do mundo, na Itália, Japão, EUA, Canadá e agora no Brasil. O PGCon Brasil será uma oportunidade de conhecer as potencialidades do PostgreSQL, além de estar em contato com profissionais que o conhecem bem. O evento também contará com oficinas e tutoriais para aqueles que desejam aprender a extrair o máximo deste excelente banco de dados.

Este evento apresentará:

• As novidades da versão 8.3 e o que está previsto para a versão 8.4;
• Casos de sucesso;
• Tuning de aplicações e servidores;
• Administração de servidores, melhores práticas e segurança;
• Soluções de replicação, alta disponibilidade e alto desempenho;
• Técnicas de migração para PostgreSQL;
• Presença de desenvolvedores nacionais e internacionais, membros da comunidade de PostgreSQL Brasileira e empresas prestadoras de serviços.

Inscreva-se hoje!

Palestrantes

Veja a grade provisória do evento (sujeito a alterações):

Grade de Palestras

7/12 (Sexta-feira)
09:00	Novos Recursos no PostgreSQL – Diogo Biazus / Euler Taveira
10:10	Coffe Break
10:30	Preciso armazenar arquivos no banco. O que fazer? - Diogo Biazus
11:30	Recursos aplicados a distribuição de dados - Monica Tissiani De Toni Pereira
12:30	Almoço
14:00	Uso de Bancos de Dados Grandes, Replicação e Balanceamento de Carga com PostgreSQL - Lucio Chiessi
15:00	Monitorando o PostgreSQL com pgsnmpd - Dextra
16:00	Casos de Sucesso: Metrô-SP
17:00	Coffe Break
17:20	PL/pgSQL - O Poder da programação Server Side – Ivo Nascimento
18:20	A Babel of Programming Languages - David Fetter
8/12 (Sábado)
09:00	Abertura oficial: Composição de mesa com convidados
09:30	Apresentação da Sun
10:10	Coffe Break
10:30	Modelagem e Administração de Dados em PostgreSQL – Leandro Dutra
11:30	Fazendo um elefante passar debaixo da porta – Fábio Telles Rodriguez
12:30	Almoço
14:00	Npgsql: .Net Data Provider para o PostgreSQL - Francisco Figueiredo Jr.
15:00	O elefante com asas: implantação do PostgreSQL em 54 unidades da Força Aérea Brasileira - Dextra / Tenente Robson
16:00	Coffe Break
16:20	Sintonia em SQL - Euler Taveira
17:20	PostgreSQL Tuning: Elefante mais rápido que um leopardo – Fernando Ike
18:20	Encerramento oficial: mesa redonda com membros da comunidade. PostgreSQL Brasil: onde estamos e para onde vamos

Mais info em: http://pgcon.postgresql.org.br/

Como conquistar um cliente: Um fósforo, uma bala de menta, uma xícara de café e um jornal!

Boa tarde galera..
esse post aqui é um texto muito legal que vi no blog de um amigo meu,
César Domingos (Cdom) - http://cdom.wordpress.com, é um texto bem legal (sai um pouco de tecnologia mas ajuda a pensar um pouco. heheheh)

abraços mano...

Como conquistar um cliente: Um fósforo, uma bala de menta, uma xícara de café e um jornal!

Um homem estava dirigindo há horas e, cansado da estrada, resolveu procurar um hotel ou uma pousada para descansar.
Em poucos minutos, avistou um letreiro luminoso com o nome: Hotel Venetia. Quando chegou à recepção, o hall do hotel estava iluminado com luz suave. Atrás do balcão, uma moça de rosto alegre o saudou amavelmente: “- Bem-vindo ao Venetia!” Três minutos após essa saudação, o hóspede já se encontrava confortavelmente instalado no seu quarto e impressionado com osprocedimentos: tudo muito rápido e prático.

No quarto, uma discreta opulência; uma cama, impecavelmente limpa, uma lareira, um fósforo apropriado em posição perfeitamente alinhada sobre a lareira, para ser riscado. Era demais! Aquele homem que queria um quarto apenas para passar a noite, começou a pensar que estava com sorte. Mudou de roupa para o jantar (a moça da recepção fizera o pedido no momento do registro). A refeição foi tão deliciosa, como tudo o que tinha experimentado, naquele local, até então. Assinou a conta e retornou para o quarto. Fazia frio e ele estava ansioso pelo fogo da
lareira. Qual não foi a sua surpresa! Alguém havia se antecipado a ele, pois havia um lindo fogo crepitante na lareira. A cama estava preparada, os travesseiros arrumados e uma bala de menta sobre cada um.

Que noite agradável aquela! Na manhã seguinte, o hóspede acordou com um estranho borbulhar, vindo do banheiro. Saiu da cama para investigar. Simplesmente uma cafeteira ligada por um timer automático, estava preparando o seu café e, junto um cartão que dizia: “Sua marca predileta de café. Bom apetite!” Era mesmo! Como eles podiam saber desse detalhe? De repente, lembrou-se: no jantar perguntaram qual a sua marca preferida de café.
Em seguida, ele ouve um leve toque na porta. Ao abrir, havia um jornal. “Mas, como pode?! É o meu jornal! Como eles adivinharam?” Mais uma vez, lembrou-se de quando se registrou: a recepcionista havia perguntado qual jornal ele preferia.

O cliente deixou o hotel encantando. Feliz pela sorte de ter ficado num lugar tão acolhedor. Mas, o que esse hotel fizera mesmo de especial? Apenas ofereceram um fósforo, uma bala de menta, uma xícara de café e um jornal.

Nunca se falou tanto na relação empresa-cliente como nos dias de hoje.
Milhões são gastos em planos mirabolantes de marketing e, no entanto, o cliente está cada vez mais insatisfeito, mais desconfiado. Mudamos o layout das lojas, pintamos as prateleiras, trocamos as embalagens, mas esquecemos-nos das pessoas.

O valor das pequenas coisas conta, e muito. A valorização do relacionamento com o cliente. Fazer com que ele perceba que é um parceiro importante!!!

Lembrando que:
Esta mensagem vale para nossas relações pessoais (namoro, amizade, família,
casamento) enfim pensar no outro como ser humano é sempre uma satisfação
para quem doa e para quem recebe. Seremos muito mais felizes, pois a verdadeira felicidade está nos gestos mais simples de nosso dia-a-dia que na maioria das vezes passam desapercebidos.

PHP Conference Brasil 2007

Prezado Cliente,

Se você é programador e usa PHP, tem um encontro marcado com a comunidade que desenvolve, aprimora e divulga a linguagem de programação que garante sites dinâmicos e seguros. Nos dias 30/11 e 01/12, acontece a PHP Conference Brasil 2007, promovida pela Tempo Real Eventos e com o apoio da Revista WWW.

O encontro será no campus da Unifieo, em Osasco (SP), e pelo menos 1.000 programadores de software são esperados nesta segunda edição brasileira. O objetivo é fortalecer a comunidade de usuários e melhorar o conhecimento técnico de PHP no Brasil. Entre os destaques da programação estão Lukas Smith, que participa do projeto PHP desde 2002 e trabalha com bancos de dados relacionais, das 9h às 10h30, no dia 1º. Ele falará sobre a sexta versão PHP, que está em testes.

Em seguida, é a vez de David Coallier, da consultoria internacional de software Agora, falar sobre PEAR2 e Pyrus. O canadense é um dos principais arquitetos do PEAR (PHP Extension and Aplication Repository), que é uma plataforma e sistema de distribuição para a codificação de componentes em PHP.

O PHP pode ser considerado uma linguagem de programação que também funciona como servidor de aplicativos. Entre as vantagens, roda em qualquer sistema operacional, tem código aberto e é gratuita. Além disso, a grande comunidade que a adota garante a facilidade de uso e a cooperação técnica.

Outra atração serão as atividades de formação como a palestra de Guilherme Blanco (São Carlos/SP), sobre SEO (técnica de marketing em buscadores como o Google) com PHP, e a de Marcio Pessoa (São Paulo/SP), que vai ensinar a evitar incidentes de segurança em PHP. Para os iniciantes, a dica é freqüentar os mini-cursos marcados para o primeiro dia do evento.

Para se inscrever, visite www.temporealeventos.com.br. A Unifieo fica na Av. Franz Voegeli, 300, na Vila Yara, em Osasco (SP).

Links relacionados:

PHP Brasil
http://br.php.net

Tempo real eventos
http://www.temporealeventos.com.br

Pro-PHP
http://www.prophp.com.br/phpconference/2007

Hackers criam trojan inteligente capaz de burlar captcha

Um novo trojan está sendo utilizado por hackers e tem como finalidade burlar sistemas online de captcha, verificações efetuadas por diversos serviços para garantir que determinado registro está sendo feito por um ser humano e não por uma máquina, evitando assim, principalmente, ações de spammers.

Segundo o site heise Security, o novo trojan, batizado de RompeCaptchas.A, Captchar ou Captcha Breaker (cada nome dado por uma das firmas de segurança que o reconheceram) se comunica com um servidor malicioso que por sua vez está conectado a um servidor legítimo que utiliza captchas, apresentados na forma de imagens que então são comparadas a textos digitados por usuários.

O servidor malicioso então envia a imagemlegítima e pede para que sua vítima adigite em uma caixa. A cada captcha digitado é oferecida uma nova imagem de uma bela modelo que se despe, o que faz com que a vítima pense que o trojan na verdade se trata de um jogo de striptease.

Enquanto o trojan pode ser utilizado para burlar qualquer servidor que exija tal verificação, a TrendMicro noticiou em seu blog que o vírus observado utilizava o mecanismo do Yahoo, possivelmente para a criação de um banco de contas de email que poderia, então, ser utilizado para envio de spam em massa.

Esta não é a única técnica utilizada por cibercriminosos para burlar verificações. Spammers utilizam já há algum tempo diversos métodos de reconhecimento OCR, tecnologia capaz de transformar imagens em texto, porém o uso de engenharia social pode auxiliar bastante na tarefa, tornando-a ainda mais precisa.

Não foi especificado o método de disseminação do "trojan de striptease", mas acredita-se que este esteja sendo veiculado via email.