por BENIRA MAIA
benira@jc.com.br

Melbar e Zackeel. Mais do que dois nicks usados por jovens nos canais de bate-papo da Internet, esses nomes guardam histórias em comum. São apelidos de hackers que hoje estudam informática e integram o Recife Tiger - grupo de teste de segurança em redes - do Centro de Estudos Avançados do Recife (Cesar), organização ligada ao Departamento de Informática da Universidade Federal de Pernambuco (UFPE). Antes de estudarem juntos, os dois já se conheciam pelas peripécias não-autorizadas - nome um tanto pomposo para definir invasão - na Internet. O paraense "Melbar", 25 anos, confessa que entrou em pelo menos 20 sistemas. Cinco anos mais jovem, o carioca "Zackeel" não fica atrás: se denuncia em pelo menos 15 invasões. Agora juntos, acompanhados por professores, os dois hackers se dizem bem-comportados e preparados para sanar os furos de segurança das empresas que contratem os serviços do Recife Tiger. "Temos experiência dos métodos usados. Atacar é a melhor maneira de descobrir os problemas de segurança", garante "Melbar".

JC - Como um ex-hacker pode ajudar na segurança de uma empresa?

Zackeel - Temos experiência em primeira mão dos métodos usados. Temos o conhecimento do lado negro da força e do outro lado. Às vezes, um administrador vê um andamento meio estranho e não nota. Mas é um ataque mesmo. Geralmente, é o hacker quem desbrava as novas tecnologias, e não as empresas. As empresas estão preocupadas em fazer funcionar, enquanto o hacker em achar os furos.

Melbar - No meio acadêmico, os que mais sabem sobre segurança são os que lidam com uma invasão. É tênue a linha que divide a intenção do administrador e a do hacker. Atacar é a melhor maneira de descobrir os problemas de segurança. Por isso, foi criado o Recife Tiger.

JC - As empresas têm preconceito ao contratar um serviço de segurança onde estejam hackers?

Zackeel - Ao contrário. Vêem isso como um ponto positivo: afinal, um hacker é um cara que sabe atacar e, portanto, achará os furos que houver.

JC - Qual era a intenção de vocês ao entrar em um site?

Zackeel - No início, testar, explorar, aprender, ver o que havia de errado. Hoje continuo navegando, conversando. Faço testes, mas com permissão.

Melbar - Hoje quando vejo uma vulnerabilidade testo em minha máquina. Temos um playground (risos...)

JC - Qual foi a maior dificuldade que enfrentaram num ataque?

Melbar - Até o momento, nenhum lugar foi genuinamente difícil. Mas o que demorei mais foi um nos Estados Unidos... Temos que pensar o que nunca ninguém do sistema pensou.

Zackeel - O mais difícil foi o da UNB, de Brasília, que precisei de uma semana e meia estudando a rede para ver como funcionava. Havia um servidor principal no qual havia um controle muito grande. Porém ele confiava em outra máquina que confiava em outra máquina. A técnica utilizada foi NFS Spoofing, que faz com que a máquina do invasor seja a que o computador pretendido confia.

JC - Quais as principais falhas dos administradores de redes?

Melbar - Não conhecer a fundo o sistema que administra e deixar de tomar cuidados básicos, como instalar as versões mais novas. Ele administra o computador como quem dirige um carro: só sabendo dirigir. O certo é que ele dirija também como sendo um mecânico, que sabe que, se mexer aqui, vai subverter ali.

JC - O Windows é um bom sistema operacional, em termos de segurança?

Zackeel - O Windows é a piscina cheia de ratos do Cazuza: linda por fora e uma esculhambação por dentro.

JC - Quando uma rede se torna vulnerável?

Melbar - Quando não possui firewall e não usa criptografia em caso de confidencialidade. Também se torna vulnerável se não tem segurança física. Não adianta uma rede ser segura por fora, mas não ser internamente. Quem entrar lá fará uma festa...

JC - E o qual a responsabilidade do internauta?

Zackeel - É importante a conscientização do usuário. Ele deve tomar precaução no mundo virtual como toma normalmente no mundo real. Ninguém recebe um presente de um estranho e vai logo abrindo! Na Internet, as pessoas têm mania de fazer isso. Lá, também nunca, jamais, se deve executar algo enviado por um estranho. E, se for alguém conhecido, também desconfie. Também deve ter cuidado com a senha. Qualquer senha que se baseia em palavras existentes em dicionário é insegura, como também placa de carro, data de aniversário, nomes invertidos. Tudo isso é quebrado por força bruta - ou seja, um programa de senha decifra. O ideal é colocar oito caracteres, misturando sinal de pontuação, e que a senha pareça aleatória. Uma boa dica é pegar as primeiras sílabas de uma frase.

JC - Qual a qualidade das redes brasileiras?

Zackeel - Vixe! Vi umas estatísticas que mostram que as duas redes mais inseguras são as do Brasil e da Rússia.

Melbar - Só não ocorrem mais incidentes aqui porque as redes são menores, existem menos hackers e a maioria dos textos sobre o assunto é em inglês.

JC - Uma pessoa que consegue entrar num sistema já pode ser considerada um hacker?

Zackeel - Hoje existe pela Internet muita receita de bolo, que só funciona em rede mal-administrada. Então a pessoa segue essa receita, clica aqui e acha que já é um hacker! Não é bem assim. Como também não é assim aquele que fica mudando homepage...

JC - Um internauta pode se considerar seguro em relação ao provedor?

Zackeel - Ele não está seguro. Primeiro, quando conecta a Internet. Depois, mesmo que o seu computador esteja desligado, podem pegar seus dados pessoais no servidor do provedor, fazer compras em seu nome, olhar seus e-mails.

JC - Existe uma rede segura?

Zackeel - Eu não confiaria.

Melbar - A única rede segura é a que está desplugada, desligada. Colocar um computador na rede é um ato de insegurança, mas que é preciso quanto se vê a relação de custo-benefício.

________________________________