Segurança > Google e UOL ‘hackeados’ por DNS

511 Views

Tempo de leitura: 2 Minutos 

No dia 6 de janeiro de 2017, nada mais nada menos do que Google Brasil e UOL foram vítimas de um tipo de ‘ataque’ que consiste em alterar o direcionamento do endereço do site, os fazendo exibir conteúdos não pertencentes aos respectivos sites. No caso do UOL, todo acesso exibia conteúdo erótico do site Redtube (e isso durou por horas).

Primeiramente, nem Google nem UOL foram hackeados. Os domínios em questão tiveram seus servidores DNS modificados bem longe dos servidores de Internet pertencentes a essas empresas.

Mas como isso foi acontecer?

Todo domínio nacional é mantido pela CGI.br, NIC.br e Registro.br, em uma escala hierárquica, sendo que o Registro.br é a interface de acesso e administração para os usuários donos de domínios. A mudança dos servidores de DNS do Google e do UOL, portanto, foi feita via Registro.br.

Esse tipo de mudança só é possível por meio de credenciais de acesso. O ‘invasor’, portanto, precisava de usuário e senha de administração dos domínios.

Meio caminho pra essa autenticação é fornecida através de ferramentas de whois (pesquisa de domínio). Essas ferramentas informam alguns dados dos domínios, dentre eles o nome do usuário que os administra.

Vejamos um exemplo de whois em command line no Linux:

Quanto a senha, há algumas hipóteses; o uso de senhas fracas ou senhas vazadas ou até mesmo brute force.

Indenependente da forma como a senha foi obtida, há um terceiro fator de autenticação que não foi considerado pelas empresas e que certamente evitaria todo esse stress; a autenticação em duas etapas ou múltiplos fatores.

O que é autenticação em duas etapas/múltiplos fatores?

O termo é MFA e significa Multi-factor authentication. Por aqui também chamamos de duas etapas ou simplesmente autenticação por token.

Após informar usuário e senha, o sistema solicita um terceiro fator; um número baseado em um token, igual àqueles usados por Internet Banking. Esse número aleatório expira a cada X segundos. Portanto, apenas àquele com acesso as credenciais + token consegue fazer o acesso. Isso torna praticamente impossível o acesso de terceiros.

A seguir, veremos como o sistema de autenticação do Registro.br solicita token:

Observação: Esse recurso de token no Registro.br, por padrão, vem desativado. É preciso que o usuário o ative.

Como evitar?

Basicamente, pode-se utilizar softwares gratuitos como o Google Autenticator para vincular sua conta ao sistema de Token no Registro.br. Toda vez que precisar acessar sua conta no Registro.br, será solicitada autenticação com usuário + senha. Se usuário e senha baterem, será solicitado o token que, neste exemplo, poderá ser obtido via Google Autenticator. Isso é MFA.

Lembrando que:

Se Google e UOL tivessem seguido as boas práticas de segurança para senhas, isso não teria acontecido. E MFA evitaria esse transtorno, já que ganharam seus usuários e senha. Como não usavam, deu no que deu.