Pacotão de segurança: DNS dinâmico, Java e máquinas virtuais

VirtualBox é solução para rodar programas antigos em PCs atuais.
Deixe suas dúvidas, críticas e sugestões na área de comentários.

Altieres Rohr*

Especial 

T

Chega o dia da coluna Segurança para o PC responder mais algumas dúvidas deixadas por leitores. Hoje, as respostas são para perguntas referentes a serviços de DNS dinâmico (DynDNS ou No-IP), sobre falhas de segurança na linguagem de programação Java e uso de máquinas virtuais para executar programas antigos. Vamos lá!

>>> No-IP
Gostaria de saber se o software do site No-IP é confiável e bom para se usar para uma conexão remota ou mesmo para uma rede virtual privada (VPN).
Diego 

É sim, Diego. O No-IP é um serviço legítimo de “DNS dinâmico” e pode ser usado para criar

uma conexão remota ou VPN com seu computador de casa sem problema algum. Na verdade, 

alguns modems e roteadores já trazem neles mesmos a possibilidade de você enviar a informação 

de IP para o No-IP sem precisar instalar qualquer software no computador.

Aos leitores que desconhecem, cabe uma explicação: o No-IP permite que você crie um endereço 

de internet para apontar ao seu próprio computador. Com isso, mesmo quem possui uma conexão 

com IP dinâmico pode acessar o computador a partir da internet pelo mesmo endereço, em qualquer 

lugar. Para conseguir fazer isso, faz-se necessário a instalação de softwares que permitem uma 

conexão remota, é claro.

De modo geral, o No-IP sozinho não torna seu computador mais inseguro. Como a coluna já 

explicou anteriormente, os computadores que formam as chamadas redes zumbi atacam praticamente 

toda a internet, porque tentam todas as combinações de IP possíveis. Assim, independentemente de 

você ter um IP fixo ou dinâmico – ou, no caso, um endereço de domínio fixo – você receberá um 

ataque mais cedo ou mais tarde.

Vale ressaltar, porém, que qualquer serviço instalado para permitir conexões remotas precisa ser 

muito bem configurado, seja ele um simples VNC, um servidor web ou mesmo algo avançado 

como um SSH ou outro software de VPN. Esses serviços também são atacados pelos hackers e computadores zumbi. Alguns desses serviços podem até operar sem senha, o que é inadmissível

 para um software que receberá comandos da internet.

Sendo assim, Diego, a resposta para sua pergunta é: o No-IP em si não vai lhe trazer problemas, 

mas os softwares que você usará com ele podem sim deixar seu PC vulnerável, mas basta ter 

alguns cuidados e nenhum problema deve acontecer.

>>> Vulnerabilidades no Java

Gostaria de saber se há vulnerabilidades com relação a Java, porque hoje em dia muitos se 

aperfeiçoam nesta linguagem de programação.

Brenon P. Araujo 

Java é, como o leitor descreve, uma linguagem de programação. Mas ela apresenta uma 

característica que a difere das demais: um programa Java não é criado para um sistema operacional específico. 

Ele é distribuído em um formato chamado “bytecode”. O computador que usará o programa 

precisa ter a máquina virtual Java, chamada de JRE (Java Runtime Environment). O JRE irá se 

encarregar de executar o “bytecode” do programa. 

Isso permite aos programadores Java muito mais flexibilidade para desenvolver um programa, o 

que se traduz em velocidade de desenvolvimento e facilidade de interoperação entre diversos “ecossistemas” digitais. Por outro lado, adiciona uma “camada de abstração” a mais no software, 

o que o torna mais complexo e, portanto, mais lento. Uma das queixas mais comuns de quem usa programas em Java é o consumo de recursos como processador e memória. No entanto, melhorar 

o hardware, para muitas empresas, é mais barato do que contratar programadores e/ou aguardar 

o desenvolvimento do mesmo programa em uma linguagem mais otimizada.

Mas também o JRE pode ter problemas de segurança. Normalmente, isso não importa muito. 

Essas falhas dificilmente são utilizadas, porque os programas em Java, mais populares nas 

empresas, são tão específicos que muitas vezes não é fácil desenvolver um código que será 

realmente útil para explorar essas brechas.

O problema maior do Java se localiza no chamado “sandbox” (caixa de areia). O sandbox é utilizado 

para executar programas em Java em páginas de internet – os chamados applets. Páginas da web 

não podem criar nem ler arquivos que estão armazenados no seu PC. O sandbox é responsável por 

impedir que isso aconteça, mesmo que o programa tente. Por isso uma “caixa”, que limita as 

permissões do software.

Não raramente aparecem problemas no sandbox que permitem que um applet saia desta “caixa de 

areia”. Com isso, ele pode realizar qualquer função no computador, inclusive instalar vírus. Basta 

acessar uma página web com o applet malicioso.

Também é comum que, em vez de explorar uma brecha, o applet simplesmente peça a permissão 

do usuário para sair da caixa de areia. Esse é, hoje, o método mais fácil de obter consentimento do

 usuário para executar um programa a partir da web: basta um clique. Normalmente, são necessários

 pelo menos dois cliques (um deles avisando sobre os riscos de se executar programas) até que 

um software seja executado. A Sun, que desenvolve o JRE, certamente deveria rever essa função.

Um fato curioso: durante anos, uma das brechas mais populares exploradas por sites maliciosos 

era na máquina virtual Java da Microsoft, que hoje a empresa não tem mais permissão para distribuir. 

A falha ficou conhecida como a brecha do “ByteVerify” e foi usada extensamente em 2003 e 2004. 

>>> Máquina virtual para softwares antigos

Uso o MS Money 98 com o WinXP 32bits. Em um novo computador, instalei o Win7 64 bits. Já 

que o Money 98 é incompatível com o Win7, eu poderia rodá-lo no novo computador com a criação 

de uma máquina virtual? Quais softwares você recomenda para a criação de máquinas virtuais 

dentro do Win7 64bits?

Paulo Menezes

Paulo, esta coluna já sugeriu a utilizar do software VirtualBox. Veja como funcionam as máquinas 

virtuais e como configurar o VirtualBox (o guia é para Linux, mas não é difícil adaptar para 

criar um Windows). O VirtualBox funciona em Windows 7 64 bits para emular sistemas 32 bits 

sem problema algum. 

É possível rodar o programa em uma máquina virtual. No entanto, para o seu caso, vale questionar se
essa é mesmo a solução. O Microsoft Money é um software descontinuado. Vale bem mais a pena ir
se acostumando a utilizar outro software com a mesma finalidade – há muitos outros no mercado.
Mais cedo ou mais tarde, essa mudança será necessária, porque não é um software de uso
 esporádico, como um game. Você provavelmente o utiliza todos os dias ou pelo menos muitas
vezes por semana. Não compensa deixá-lo dentro de uma máquina virtual.

A coluna sugere que você procure alternativas lá no Baixatudo. No entanto, a solução de máquina
virtual irá funcionar, sim, se você preferir esse caminho.

E com isso chegamos ao fim de outro pacotão de segurança. A coluna volta na sexta-feira (19)
para comentar os principais fatos de segurança da semana. Não esqueça de deixar sua dúvida,
crítica ou sugestão de pauta na área de comentários, logo abaixo. Todos os comentários são lidos.
Até a próxima!


* Altieres Rohr é especialista em segurança de computadores e colunista do G1