Não é Comigo

Este fim-de-ano foi movimentado para muitos administradores de redes Windows.

Ou, pelo menos, devia ter sido.

Tornou-se pública uma falha de segurança no Windows que pode ser ativada apenas navegando por um site. Sem clicar, sem autorizar, sem instalar nada. A falha existe na forma como o Windows interpreta arquivos WMF (Windows Meta File) que, normalmente, contém imagens vetoriais. O que torna essa falha excepcionalmente grave é que basta você navegar por uma página que tenha uma imagem dessas, por menor que seja. Basta voce abrir um e-mail com uma imagem dentro. Mesmo que ela tiver o sufixo JPG, o Windows, prestativo como sempre, vai examinar a imagem e processar usando o maquinário do WMF. Basta isso. Sua máquina não é mais sua. Vai começar a mandar spam, distribuir pedofilia, enviar seu número de cartão de crédito para a máfia russa e, bom... Dá pra ter uma idéia.

Mas isso não é tão novidade. Falhas assim já aconteceram antes.

Preocupante é que essa falha não tem uma correção da Microsoft. Ainda. Ela deverá ser corrigida nos próximos dias. Administradores de rede devem baixar a correção e aplicá-la o mais depressa possível.

Ou seja - vai levar dias para que seus micros fiquem seguros novamente (ao menos, tão seguros quanto uma máquina Windows pode ser).

E, nesse meio-tempo, cada vez mais e-mails com essas imagens são enviados, cada vez mais máquinas são infectadas e cada vez mais poder ganham as gangues que estão por trás dos programas que são instalados nos seus computadores sem que vocês saibam.

E isso é o que mais me preocupa.

Já vai longe o tempo em que adolescentes mal-amados faziam essas coisas para compensar sua perene virgindade. Os bandidos que fazem essas coisas hoje querem ganhar dinheiro. Querem roubar cartões de crédito e senhas bancárias. Querem criar redes de envio de spam (e cobrar por isso) e usar suas máquinas como armas em DDoSs ("Distributed Denial of Service" - ataques em que centenas de máquinas derrubam conexões de alguém que não pagou o que o responsável queria).

Essa é a cara feia dos vírus, worms e exploits de hoje.

"Grande Coisa"

Pois é. Falhas de segurança do Windows nunca foram novidade. O Windows (desde sua versão 1) foi concebido para ser um sistema operacional desktop, para computadores mono-usuários. A idéia de usar um Windows como servidor veio bem depois, quando a Microsoft estava colaborando com a IBM no OS/2 (alguns dizem que o Windows NT era para ser o OS/2 3.0). O Windows NT (do qual descendem 2000, XP, 2003 e Vista) era inspirado no VMS da Digital (teve o mesmo visionário por trás, David Cutler) e é bem melhor, diga-se de passagem, que os descendentes do Windows 3 (95, 98, Me) que ainda são muito usados por aí. Mesmo o NT foi pensado em uma época de redes domésticas ou de escritórios. A internet de hoje não foi sequer imaginada pela Microsoft até ela ser importante demais para ser ignorada. Uma rede hostil cheia de bandidos como é a internet hoje era território da ficção científica - mais William Gibson do que Bill Gates.

O resultado disso é um sistema operacional grudado ao desktop gráfico (o que, naquela época, parecia mesmo ser o caminho certo) em que tudo pode interagir. Uma estrutura em que segurança foi pensada "de cima pra baixo", depois das fundações do sistema serem lançadas.

Some-se a isso conteúdo hostil e você tem uma bomba-relógio.

Essa falha, especificamente, afeta todas as versões de Windows desde a 3.0. Se isso servir de consolo, o Windows 3 não deve ser capaz de rodar as pragas digitais que afetam as máquinas mais modernas.

Como eu resolvo

Por mais tentado que eu esteja de recomendar que você use Linux, eu não vou. É provável que você esteja lendo esse artigo de uma máquina Windows e que você não esteja pronto para cortar seus laços com o passado e partir para um sistema novo, programas novos e algumas diferenças. Poderia recomendar a compra de um Mac mini e passar a viver com o MacOS X, que é mais bonito e mais seguro que o Windows. Quem tem que decidir como se responde à crise é você.

Estou supondo que você não vá abandonar o Windows essa semana.

Estou supondo, também, que você já esteja de saco cheio de ter que navegar com medo e de pagar alguém para limpar vírus da sua máquina.

A primeira coisa a se fazer é parar de usar o Internet Explorer. Pare de navegar pela web com IE. Use Firefox ou Opera. Firefox tem seu código aberto, o que facilita encontrar problemas como esse antes que sejam catastróficos ou disponibilizar correções antes que a crise se torne vergonhosa. Opera é bom também, mas não tenho certeza se esse problema o afeta também. Alguns webmasters incompetentes (não existe outra palavra para isso) não conseguem fazer páginas que sejam mostradas corretamente nesses browsers. Aprenda a viver com isso ou mande e-mails avisando-os do problema. Se não funcionar, comece a mandar pros chefes deles.

Tanto Outlook quanto Outlook Express usam o maquinário de mostrar páginas web do IE para mostrar seus e-mails. Isso é bem perigoso - lembre-se que basta mostrar a imagem para sua máquina ser comprometida. No Windows, meu preferido é o Thunderbird (feito pelo mesmo pessoal do Firefox). O único problema é ele não ter a agenda de compromissos do Outlook nem as conexões com o Exchange. Viver sem isso pode ser entre doloroso ou impossível. Caso seja impossível, você deve estar em uma empresa com um departamento de TI. Cobre deles uma solução. É pra isso que eles são pagos, afinal.

Se você insiste em usar Windows, deve, necessariamente, usar programas anti-vírus, programas anti-spyware e um firewall decente (o do Windows XP - eu preciso mesmo dizer isso? - deixa muito a desejar). Todos esses programas devem ser capazes de se atualizar sozinhos e você deve olhá-los de tempos em tempos para ter certeza de que estão fazendo isso. Usar Windows sem eles é como fumar um cigarro vestindo roupas encharcadas de gasolina. Usar Windows com eles é como fumar um cigarro vestindo roupas encharcadas de gasolina, mas com um bombeiro treinado ao lado.

Espero não precisar também dizer que você deve manter sua máquina atualizada. Rode o Windows Update regularmente.

Quanto ao Título

Bom... Quanto ao título... É com imensa satisfação que eu digo que isso tudo não é problema meu.

Como todos devem saber a essa altura, eu só uso internet com Windows muito de vez em quando, para ir ao banco (lembra dos webmasters de quem eu falei há pouco?). No resto do tempo, eu uso Ubuntu Linux e navego com Firefox. Os raros problemas de segurança que acontecem não são capazes nem de provocar danos sérios, nem de criar transtornos permanentes.

A suprema ironia nisso tudo é que eu tenho que usar Windows e Internet Explorer para acessar a conta da minha empresa. Isso acontece porque o Unibanco precisa que eu use o Internet Explorer em contas de pessoa jurídica.

Por incrível que pareça, eles dizem que é para minha segurança.

Vai entender...

Este artigo também está disponível aqui.

© Ricardo Bánffy