Novo meme: minha mesa/baia/cubículo tem…

• poster do inter campeão gaúcho 2008
• flyer da “casa de massagens” Michelle Privê
• pote de chá solúvel de maçã
• papel higiênico
• papéis de rascunho
• canetas (muitas)
• copo
• chaves, carteira, celular, som do carro
• uma estação LTSP (thin client, teclado, mouse, monitor LCD)
• caixas de som (sem uso)
• 2 x fones de ouvido (sem uso)
• tubo de CD (vazio)
• mouse (de outra máquina)
• “caixa” da coca-cola

É única palavra que tenho para descrever minha reação ao descobrir que o MercadoLivre, supostamente o maior site de comércio eletrônico do Brasil não usa SSL para login (figura 1). A atitude padrão deles é dizer que a alterção dos dados pessoais e efetivação de compras só pode ser realizada por SSL, estando o cliente portanto protegido. Isso é verdade, pero no mucho. Um atacante bem disposto (ou simplesmente capaz) irá atacar o ponto fraco do sistema, que é a passagem de senha de no login sem criptografia. Ora, quem tem nome usuário, senha e o mínimo de malícia, há de fazer estrago rapidamente.

Figura 1: o MerdacoLivre NÃO USA SSL por default para login dos seus usuários

Mas tudo bem, dizem os conformistas: “digitai https na tua barra de endereço e tereis uma conexão segura”. Pena que o certificado expirado (Figura 2) deles não vale nem o trabalho dos pobres electróns movimentados para sua transmissão. Na verdade, eles têm um certificado válido… para o super confiável domínio www.mercadolibre.com (la garantia soy jo!)

Figura 2: o certificado de mercadolivre.com.br está expirado

E claro, o certificado expirado não seria exatamente um problema; idealmente, certificados poderiam ser verificados manualmente, checando-se a fingerprint por algum outro meio de comunicação (e.g. telefone ou pessoalmente). Infelizmente, o MerdacoLivre não informa endereço, e-mail ou telefone para contatos; tudo que oferece é uma porca página de troubleshooting. Comunicar-se diretamente com o atendimento deles é bem difícil.

Bom, há quem diga que os riscos em questão valem a pena por ser possível encontrar bons preços no mercado livre. Eu achava isso até conhecer o www.dealextreme.com que, pasmem, entrega no Brasil sem cobrar frete!

Caiu o estádio, morreram 8 pessoas?
Vamos demolir o estádio!

Menina de 15 anos é presa numa cela com 20 homens por um mês?
Vamos demolir a cadeia!

Pra fechar todas, só falta um escândalo no Congresso…

1. Pegar um livro próximo;
2. Abra-o na página 161;
3. Procurar a 5ª frase, completa;
4. Postar essa frase em seu blog;
5. Não escolher a melhor frase nem o melhor livro.

You can allow users to connect from as broad or narrow a set of host as you prefer.

–Kerry Cox & Christopher Gerg, Snort and IDS Tools