Virtualização da Microsoft suportará o CentOS

O diretor-geral de Marketing do Grupo de Soluções Abertas da Microsoft (Microsoft's Open Solution Group), Sandy Gupta, anunciou na Conferência para Negócios em Código Aberto (Open Source Business Conference) que a solução de virtualização Windows Server Hyper-V oferecerá suporte à distribuição CentOS, que chamou de "Linux comunitário". O diretor observou que o CentOS é uma distribuição popular entre os provedores de hospedagem web, usuários pesados de virtualização, o que o torna prioridade número 1 para interoperabilidade.

Mais especificamente, o Windows Server 2008 R2 Hyper-V suportará o CentOS, porém Gupta não explicitou nenhum detalhe técnico ou trabalho da comunidade para permitir esse suporte. Ele também não informou que versões particulares do CentOS serão suportadas. Aparentemente, o suporte à distribuição ainda existe de forma limitada como suporte técnico da Microsoft. "Se um cliente ligar, vamos auxiliar com a instalação e configuração para o CentOS, ao invés de dispensá-los", o diretor disse.

O Hyper-V já suporta o SUSE Linux Enterprise Server, versões 10 (com o service pack 3) e 11, e o Red Hat Enterprise Linux (RHEL), versões 5.2, 5.3, 5.4 e 5.5. Como o CentOS é um clone do RHEL, deve existir pouca complexidade técnica em prover suporte a ele. Contudo, comentários no blog "Openness@Microsoft" sugere que o processo é tudo menos simples.

Fonte: h-online, em inglês.

Créditos: Linux Magazine

Apache HTTP Server Correção de Problemas com Ataques DoS

O Apache HTTP Server  trouxe a versão 2.2.18 do servidor web de mesmo nome, como uma correção de bugs e lançamento de correções de segurança. A correção de segurança é necessária devido a uma vulnerabilidade de ataque Denial of Service (DoS), a vulnerabilidade é classificada como moderada.

Um bug no Apache Portable Runtime's (APR) apr_fnmatch() function  pode ser provocado em desencadear correspondência sequencial recursiva, e causar uso excessivo de CPU além de desgaste na memória. Sistemas que têm mod_autoindex habilitado e os diretórios de indexação de arquivos com nomes longos são bastante vulneráveis ​​ao problema. Usuários que não conseguirem atualizar, podem definir a opção IgnoreClient no "IndexOptions" que irá desativar o processamento de fornecer argumentos do cliente e evitar esse tipo de ataque.

Distribuições Linux como Red Hat tem pacotes de liberação para corrigir o problema de negação de serviço (DoS). O código fonte para a atualização está disponível para download.

Mais informações em Apache HTTP Server Project:
http://httpd.apache.org/download.cgi

Créditos: Under-Linux.Org

phpMyAdmin 3.4.0 Traz Muitos Progressos

O phpMyAdmin apresentou a sua versão 3.4.0, considerada uma grande atualização para sua ferramenta de administração  de banco de dados. Em uma postagem publicada em seu blog, o desenvolvedor do phpMyAdmin e mantenedor do projeto Michal Čihař, diz que o mais recente lançamento é um "enorme passo" já alcançado, observando que essa edição introduz uma série de novos recursos.

Versão 3.4.0 possui a adição de uma interface simplificada para exportação / importação, um construtor de consulta visual e um editor ENUM/SET. Várias partes do phpMyAdmin também foram atualizadzs para fazer uso de tecnologias AJAX. Outras alterações incluem atualizações para as preferências do usuário e gráficos, suporte para o esquema de exportação, relação com vários formatos e um novo tema padrão.

Versão 3.4.0 do phpMyAdmin está disponível para download  a partir do site o projeto. Ele está disponível para download a partir do SourceForge.

Mais informações em SourceForge:
http://sourceforge.net/news/?group_id=23067&id=300277

Uma máquina Linux no seu navegador

O JavaScript é uma linguagem de programação client-side que pode fazer muito mais do que simples animações e processar dados de servidores. O hacker francês Fabrice Bellard, que acumula no currículo projetos como o FFmpeg e o emulador/virtualizador QEMU, mostrou o potencial da linguagem de script com um simples emulador, que executa um terminal Linux na janela do navegador. O JS/Linux emula um processador compatível com x86 em 32-bits, um controlador de interrupção programável, um temporizador de interrupção programável e uma porta serial, usando pouco mais de 90KB para fazê-lo. O PC emulado não possui um co-processador matemático e comandos MMX, o que o equipara com um processador 486 sem FPU. Essa máquina virtual pode, entretanto, ser usada para executar kernels mais antigos do Linux (2.6.20), que possuem um emulador de FPU.

O emulador em JavaScript pode ser usado na maioria dos navegadores modernos, como o Firefox 4 ou o Chrome 11. Seu código faz uso extenso de typed arrays, que só estão presentes nas implementações mais modernas. Esse novo recurso permite que dados binários sejam lidos e escritos diretamente na linguagem. Além de um kernel Linux, o JS/Linux também possui um clone do Emacs e um compilador C (Tiny C Compiler), que pode ser testado com um pequeno código-fonte presente no computador emulado.

Fonte: h-online, em inglês.

Créditos: Linux Magazine

Pentest: BackTrack 5 Lançado

O BackTrack e sua equipe de desenvolvimento anunciou a disponibilidade de seu BackTrack 5, a sua distribuição Linux com foco em segurança, enquanto foi descartada um ataque de negação de serviço (DoS) em seu servidor Web  no dia anterior. Segundo os desenvolvedores, o mais recente lançamento "foi construído a partir do zero, e possui diversas melhorias importantes sobre todos os lançamentos anteriores".

BackTrack oferece mais de 300 ferramentas de teste de penetração, com a intenção de permitir que usuários e administradores possam testar a segurança de ítens importantes, que vão desde aplicações Web para sistemas de RFID. As ferramentas incluem LAN e WLAN sniffers, crackers de senhas, scanners de vulnerabilidade e explorar o Metasploit Framework.

Além disso, BackTrack 5 (BT5), de codinome "Revolution", é baseado na mais recente Long Term Support (LTS) do Ubuntu, a versão 10.04 "Lucid Lynx", e usa o kernel 2.6.38 do Linux, apresentando todos os ajustes necessários. Pela primeira vez, uma imagem ARM está sendo fornecida. Até agora, os desenvolvedores têm realizado testes em um smartphone 4G Atrix da Motorola e um tablet Motorola Xoom.

Nos fóruns, os desenvolvedores afirmam ter deixado o suporte para todas as versões do BackTrack 4. Detalhes sobre a nova versão pode ser encontrados no Fórum BackTrack 5 e em um post no blog BackTrack Linux.

Mais informações em BackTrack 5:
http://www.backtrack-linux.org/backt...ack-5-release/

Créditos: under-linux.org

Facebook: Novos Recursos de Segurança para Combater Spam e Clickjacking

Uma das maiores especialistas da área de segurança mundial, a Symantec, descobriu a existência de uma violação de privacidade no Facebook. Assim, a rede social lançou quatro (4) novos recursos para reforçar a sua segurança, mas tais recursos nao tem nenhuma sem relação com a descoberta feita pela empresa.

Esses quatro novos recursos tem o intuito de melhorar as medidas de proteção contra scams, spam, clickjacking e ataques cross-site scripting (XSS). Além disso, as novas funcionalidades também incluem uma nova parceria com uma companhia de website e aprovação de logins.


Os recursos incorporados:
Parceria do Facebook com "Web of Trust": WOT é uma ferramenta gratuita que informa em quais sites o usuário pode confiar, baseado em um sistema colaborativo de notas de outros membros da comunidade do WOT. Mesmo que o Facebook já possua um sistema desse estilo, essa parceria com o WOT trará para sua conta uma camada extra de defesa.

Depois de realizar todos os updates para se defender do clickjacking, o Facebook agora embutiu uma defesa contra a referida praga no seu botão "Curtir", para alertar ao usuário, caso haja alguma coisa errada. Quando algo suspeito é detectado, você precisará confirmar o seu "Curtir" antes que o Facebook torne pública a ação para o seu perfil e para o "feed de notícias" de todos os seus amigos.

Proteção XSS própria: Outro caminho que os spammers gostam muito de tirar vantagem das fraquezas dos navegadores: pedindo a usuários para copiar e colar código malicioso nas suas barras de endereço. Agora, quando o sistema do Facebook detectar que você postou código malicioso na sua barra de endereços, será imediatamente mostrado um pop-up, confirmando se você quer realmente fazer isso, e informando porque isso pode ser uma má idéia.

Validação de logins avançada: A nova função "Login Approvals" do Facebook, agora está disponível para todos. O recurso é opcional, entretanto, seria bom que todos os users da rede social aderissem à sua utilização. Ele utiliza o método two-factor authentication (autenticação em 2 passos).

Isso quer dizer que sempre que você logar no Facebook por meio de um novo dispositivo, será solicitado que você entre também com um código que eles enviam para o seu celular via SMS. Se o Facebook acusar alguma tentativa de login proveniente de um dispositivo que o usuário não tenha salvo, ele notificará isso da próxima vez que o usuário logar. Caso o usuário não reconheça o referido login, ele pode então alterar a senha de acesso ao Facebook.

Créditos: Under-Linux.Org