'Bash Bug' é uma preocupação, mas pouca ameaça aos serviços de Bitcoin

Houve preocupações generalizadas com a segurança ontem após a Confira de uma falha antiga que pode afetar servidores web e dispositivos conectados à Internet – mas muitos no setor afirmam que isso não representa uma ameaça imediata aos serviços de Bitcoin .

A vulnerabilidade, denominada 'Bash Bug' ou 'Shellshock Bug', permitiria um acesso malicioso ao sistema operacional de um dispositivo baseado em UNIX por meio do shell de linha de comando - o mais amplamente usado dos quais ébater.

Os sistemas baseados em UNIX incluem MacOS, versões Linux (desktop e servidor), plataformas móveis populares e sistemas embarcados em outros dispositivos que se comunicam online.

CNET relatadoque o especialista em segurança Robert Graham,descritoé "um negócio tão grande quantoSangramento do coração"– a falha do OpenSSL descoberta em abril – dada a "enorme porcentagem de software que interage com o shell".

'Exagerado'

Jeff Garzik

, desenvolvedor do CORE do Bitcoin e agora engenheiro de software sênior na BitPay, no entanto, disse que não há perigo claro e presente para os usuários de Bitcoin .

"Previsão: o bug do bash NÃO é uma ameaça maior que o heartbleed", elepostadoem um tópico do Reddit.

Garzik disse ao CoinDesk que, embora o bug recém-descoberto tenha potencial para ser ruim, "a maioria dos serviços online que usam Bitcoin são muito mais seguros do que um roteador doméstico comum".

Ele acrescentou que o Bash Bug afetaria principalmente sites que não usam Bitcoin e que estava sendo exagerado.

"Ele requer um conjunto especial de condições para ser explorável, e roteadores domésticos e antigos servidores web Apache já eram segurança de queijo suíço de qualquer maneira. Acho que o impacto prático será muito menor do que a grande mídia está fazendo parecer."

Bitcoin é um alvo?

Neste estágio, não há relatos de nenhuma exploração do Bash Bug afetando quaisquer serviços relacionados a bitcoin. Então por que se importar?

Os serviços de Bitcoin podem ser um alvo mais atraente para hackers e ladrões do que serviços mais estabelecidos baseados em moedas fiduciárias, como serviços bancários on-line e PayPal.

Há duas razões históricas para isso: implementação de segurança deficiente em alguns serviços de Bitcoin online em estágio inicial e a relutância das autoridades em investigar ou punir crimes envolvendo moedas digitais, a menos que suspeitem de envolvimento de drogas ou lavagem de dinheiro.

Portanto, é melhor pelo menos estar ciente dos possíveis problemas que desenvolvedores e serviços podem enfrentar.

Visão de uma bolsa

Yan Chuan ou 'YC', CTO de câmbioBitBays.com, disse que o bug era "relativamente fácil para hackers usarem" e recomendou que todos os usuários corrigissem, fizessem backup dos logs e verificassem os sistemas para ver se algum ataque havia ocorrido.

Como o bug permitia que hackers mal-intencionados tivessem acesso total ao sistema operacional, havia potencial para qualquer tipo de ataque, desde roubo de carteiras de Bitcoin até instalação de keyloggers e backdoors.

YC disse que o Bitcoin em si não seria afetado devido à sua estrutura descentralizada.

"No entanto, como um provedor centralizado de serviços de câmbio ou carteira, é possível ser afetado pelo bug bash. Devido à presença dessa vulnerabilidade, servidores abertos SSH, HTTP, FTP e outros aplicativos correm o risco de serem acessados e controlados remotamente por um hacker."

Como o Windows não é baseado em UNIX, seus usuários de desktop não seriam afetados. A plataforma da BitBays está preparada, YC continuou, mas usuários preocupados de outras plataformas podem querer perguntar ao seu serviço de exchange ou carteira sobre a situação se não tiverem certeza.

Casca rachada

A vulnerabilidade do Bash Bug decorre de uma falha de segurança grave que existe no comando bash (Bourne Again SHell) 'ambiente'. Ele afeta o shell local, bem como SSH, FTP, HTTP e outros serviços importantes.

YC explicou como o bug pode ser explorado, dizendo que muitos servidores web enviam as informações de Request HTTP do usuário (REMOTE_HOST), REQUEST_METHOD, QUERY-STRING, ETC) armazenadas em uma variável de ambiente para o framework Web de backend ou scripts CGI.

Se essas informações incluírem instruções maliciosas, na próxima vez que o servidor executar o bash, ele executará as instruções maliciosas. Assim, o servidor está comprometido.

Atualmente, os populares frameworks Apache + PHP e Nginx + wsgi são vulneráveis.

Nenhuma solução QUICK

De acordo com a Red Hat, que emitiu seu próprio aviso de segurança, muitos programas acessam o shell bash em segundo plano. Várias distribuições Linux já disponibilizaram patches, incluindo Red Hat Enterprise Linux, Debian, Ubuntu e CentOS.

O bug, que na verdade já existia há mais de 25 anos antes do lançamento das notícias de hoje, pode afetar milhões de dispositivos e deixar dispositivos muito mais antigos precisando de patches. É o grande número de dispositivos precisando de patches, em vez da complexidade da falha ou exploits conhecidos, que preocupa alguns especialistas.

Imagem de bug viaShutterstock