No entanto, há dispositivos em que se supunha ser impossível proceder a alterações e que actualmente são modificados por utilizadores que pretendem melhorar as suas características. Por exemplo, as centralinas electrónicas de alguns automóveis são modificadas para alterar os parâmetros de carburação e assim obter uma maior potência. Muitos adeptos de tunning substituem o chip que controla a centralina do seu carro por outro, destinado a aumentar o desempenho do motor. Esta modificação prejudica muitas vezes outros parâmetros, como o consumo, a segurança ou o ambiente.

Imaginemos a seguinte situação: o proprietário de um automóvel quer obter mais potência. Há duas soluções: ou muda de carro, o que pode ser financeiramente impossível, ou força as suas características com uma alteração da centralina. Ao optar pela segunda hipótese é necessário modificar o sistema de controlo do automóvel. Será que outros componentes foram afectados? Imaginemos que o carro tem um sistema de controlo de estabilidade. Este foi também modificado? O risco é assim maior do que o suposto à primeira vista.

Pensemos agora que ao aceder a uma página Web nos é oferecido um plug-in (geralmente na forma de um controlo ActiveX) que, uma vez instalado, nos vai permitir ver determinadas páginas ou descarregar determinados elementos especiais. Quem é o autor do programa? Quais são as suas acções? Ainda que possamos obter mais algumas funcionalidades, quem nos assegura que o resto do sistema não foi afectado?

Para evitar essa desconfiança, os programadores recorrem às assinaturas digitais. Assim, é-nos apresentada uma janela em que nos é pedida permissão para instalar um determinado componente. Somos também informados o programa está assinado digitalmente. No entanto, este facto não garante que o programa não seja perigoso.

Uma assinatura digital é empregue para que o utilizador saiba que aquilo que está a receber é exactamente o que o autor lhe enviou. Que não existiu nenhum elemento externo, como um vírus ou um hacker, que o tenha alterado desde a sua criação. Mas se o componente for malicioso, o facto de incorporar uma assinatura digital apenas garante que não foi alvo de modificações, não sendo sinónimo de conteúdo seguro.

Voltando ao exemplo do carro: é possível que o chip com a nova programação para a centralina venha numa caixa fechada. Esta medida de segurança vai simplesmente dizer-nos que o seu conteúdo é o mesmo desde a selagem à abertura da caixa. Mas isto não nos assegura que o programador do novo chip não tenha cometido um erro que faça com que o consumo do automóvel dispare ou que o ABS deixe de funcionar quando mais necessitamos dele. Ou pior, não garante que o programa não tenha sido unicamente concebido para danificar a viatura.

Ao instalar no nosso sistema qualquer tipo de software, devemos saber muito bem do que se trata e quais as funções que vai desempenhar. Uma vez que é impossível conhecer todos os códigos perigosos, o melhor é estarmos protegidos por uma solução capaz de detectar e eliminar todas as ameaças conhecidas.

Se a solução de segurança for ainda capaz de detectar perigos desconhecidos, observando simplesmente o comportamento dos programas no sistema, então em princípio não teremos de nos preocupar com algo tão pouco esclarecedor como a assinatura digital dos componentes. No entanto, todo o cuidado é pouco e, em caso de dúvida, é essencial que apenas autorizemos a execução de programas assinados por entidades com credibilidade. Já houve casos raros em que as assinaturas digitais foram roubadas por hackers e utilizadas para assinar software malicioso (aconteceu por exemplo com a Macromedia), mas as possibilidades de isso acontecer novamente são bastante reduzidas e esta medida pode ajudar a reduzir consideravelmente o risco dos componentes ActiveX. Algumas acções simples e um bom software de segurança fazem toda a diferença na protecção dos utilizadores.

Autor : Rui Lopes, Director do Departamento de Consultoria da Panda Security

 

{mosgoogle}