Category Archives: Security

Falha na conexão segura, certificado de segurança inválido, problema no certificado de segurança: o que fazer?

Num post anterior eu comentei alguns aspectos técnicos das mudanças no Firefox 3 que exibe uma nova mensagem de erro para certificados de segurança inválidos, e notei que esse é um dos posts mais populares pelo pessoal que busca no Google para saber o que fazer. Neste post irei tentar explicar do jeito mais simples possível o que está acontecendo e o que você pode fazer a respeito.

Eliminando causas comuns

Erros de certificado inválido podem ocorrer se o relógio do seu computador estiver errado. Então, antes de qualquer coisa, ajuste o relógio do seu PC (dê duplo-clique no relógio) e tente novamente.

Outra causa comum é que alguns bancos usam um certificado brasileiro que ainda não está incluso por padrão no Firefox. Não se preocupe em entender o que isso significa: se você está tentando acessar um site de banco ou algum site do governo e está tendo erros de certificado inválido, siga os passos indicados neste outro blog.

Agora, se o erro persiste…

Por que esse erro apareceu?

Basicamente, quando ocorre um erro de certificado inválido ou com problema, o motivo é um dentre:

  1. Há um problema no site sendo acessado. O site, provavelmente mal administrado, não possui um certificado de segurança válido; OU
  2. Você visitou um site não confiável, ou está sendo alvo de um golpe. Você pode estar visitando um site que quer se passar por outro ou então alguém está tentando manipular a sua conexão com a internet.

O grande problema é que não há como saber qual dos dois motivos está causando o erro! (A culpa não é do seu computador; e sim dos sites mal administrados que acabam caindo no primeiro item — se todos administrassem seus sites corretamente, você poderia ter certeza que é o segundo caso).

O que eu faço então?

Você possui duas alternativas; a decisão fica a seu critério, portanto analise bem a consequência de cada uma.

  1. Ignorar o erro. Essa é a opção menos recomendada, mas você pode ignorar o erro se lembrar dos seguintes itens:
    • O site que visitar pode não ser o site que aparenta ser (pode ser um golpe)
    • Existe a possibilidade das informações que você envia para esse site (dados de formulários) serem interceptadas por outras pessoas
  2. A segunda opção é não continuar a visitar o site. Obviamente você não vai poder continuar a fazer o que queria, mas não irá correr riscos!

Por exemplo, considere o site da Polícia Federal, mais especificamente a página para entrega de armas mediante indenização. Ao iniciar a entrega, ocorre o erro de certificado inválido (mais especificamente, erro de certificado expirado — provavelmente o administrador do site esqueceu de renovar). O que fazer?

Não há perigo em continuar, por enquanto, apenas tenha em mente os dois itens acima: o site pode ser uma fraude, ou seus dados podem ser interceptados. Você verá o formulário onde terá que preencher seus dados pessoais. Agora você terá que se perguntar: você está disposto a correr o risco, por menor que seja, de alguma pessoa que não é da polícia conseguir esses dados? Se você está disposto, você pode continuar. Neste caso os dados não são tão sensitivos (depende da visão de cada um), então você pode achar seguro continuar.

Agora, por exemplo, considere que o erro de certificado inválido ocorre no site do seu banco, ao acessar o internet banking. Você deve continuar? NÃO! Porque existe a possibilidade de você estar sofrendo um golpe e seus dados estarem sendo interceptados. E neste caso, se seus dados (senha do banco) forem interceptados, alguém pode limpar todo seu dinheiro.

Em resumo: ignore o erro apenas se você não for transmitir dados pessoais e importantes como senhas, etc.

Como ignorar o erro?

OK, você chegou a conclusão que não há perigo em ignorar o erro. Como fazer para ignorá-lo? Não é difícil, mas no Firefox ficou um pouco mais complicado:

  • No Firefox 3, clique em “Ou você pode adicionar uma exceção”, “Adicionar exceção”, “Verificar certificado”, “Confirmar exceção de segurança”.
  • No Internet Explorer 7, clique em “Continuar neste site (não recomendado)”

Mas lembre: tome cuidado! Quando fizer isso, não envie dados pessoais e importantes para o site sendo visitado!

Reclame

Sempre que encontrar um site com certificado inválido, reclame! Procure o formulário ou e-mail de contato, ou até mesmo telefone, e reclame. Um site profissional e bem administrado nunca terá erros de certificado de segurança inválido. Existe sim a possibilidade do problema ser no seu computador (você estar sendo alvo de ataque por algum programa malicioso ou alguém está manipulando a sua conexão com a internet) mas não custa avisar (se eles responderem que está tudo certo do lado deles, então você irá saber que tem algo errado no seu computador).

Senhas do Enem são totalmente inseguras

Me deparei com uma coisa que achei razoavelmente revoltante, mas ninguém parece dar a mínima.

Para ver sua nota e cadastro no Enem, você pode logar no site com o seu número de inscrição e uma senha que lhe é fornecida ao se inscrever.

O problema é: a senha não é gerada aleatoriamente. Não é escolhida por você. A senha é trivialmente calculado a partir do seu número de inscrição! (A fórmula para calcular é simples, mas não vou postar aqui.) Qualquer um que tenha o seu número de inscrição pode descobrir sua senha. E através de um formulário do site, você pode descobrir o número de inscrição de qualquer pessoa tendo seu nome completo, data de nascimento e estado.

Tá. E daí?

E daí que, com a senha, além de ter acesso às notas do candidato, você tem acesso ao seu cadastro, incluindo:

  • CPF
  • Endereço
  • Telefone
  • Email
  • RG

Sem mencionar que é possível também alterar os dados, mas não sei qual seria o real impacto disto.

Se isso é grave ou não, cabe a cada um julgar, vai do seu grau paranóia. Mas acredito que seja um prato cheio para golpistas de plantão… E simplesmente não há nada que você possa fazer a respeito (no site do INEP não há nenhuma forma de entrar em contato).

O irônico são as pessoas “esquecidas” agradecendo nos posts pela internet que ensinam como calcular sua senha de volta.