Sim, o badlock é real

   

     No dia 12 de Abril deste ano, foi revelada a falha de segurança Badlock. O que começou como uma grande campanha de marketing sobre uma falha de segurança, com direito a logomarca e site, o que, diga-se de passagem, não é novidade, vide HearthBleed, o que foi mais condenado neste episódio, foi anunciar que existe uma falha, e manter o suspense por aproximadamente três semanas até a revelar.

     No entanto, não se trata puramente de uma campanha de marketing, a falha existe, e não é inofensiva.

     Como já era cogitado através de pistas dos responsáveis pela descoberta da falha, o problema está na implementação do protocolo DCE/RPC  Distributed Computing Environment/Remote Procedure Call.

     O protocolo é utilizado em redes Windows para acessar o Active Directory,  serviço que é utilizado para administrar vários elementos da rede (logar na rede com conta de administrador, instalar programas remotamente etc, imagina a exploração desta falha com a utilização de um ransomware!), além de servidores SAMBA. A falha do protocolo faz com que um atacante possa burlar a criptografia da troca de mensagens entre o administrador e o AD, possibilitando um ataque de MITM para alguém que esteja farejando os pacotes da rede. Servidores Samba conectados à rede com Active Directory ficam vulneráveis, pois a comunicação com o AD fica comprometida.

No site da RedHat, ainda não está disponível uma atualização de segurança, apenas é aconselhado a não utilizar contas de acesso privilegiado através do protocolo SMB/CIFS, o qual é implementado utilizando o DCE/RPC. 

Não é apenas uma jogada de marketing, a falha é real, portanto, administradores de redes fiquem atentos.

Badlock - estamos aqui pelo lucro

O mercado de marketing parece estar começando um namoro com o mercado de segurança de informação. Desde a aparição da falha Heartbleed Blug, falhas de segurança agora começam a ter nomes mais atrativos do que apenas códigos CVE.
Algumas falhas de segurança ganharam site, logo e nomes atrativos, como foi o caso do Heartbleed, o DROWN Attack, e mais recentemente o Badlock.
Anunciado como uma falha nos servidores SAMBA e relacionado a estações Microsoft, o site que anuncia o Badlock e  site não apresenta a falha, apenas anuncia que esta será apresentada ao público no dia 12 de abril deste ano, não por coincidência, neste dia a Microsoft irá lançar um patch de segurança para seus sistemas. 
O que gera polêmica, foi a divulgação da existência da falha de segurança, antes da apresentação do respectivo pacote de correção. A empresa ServNet, possui em seu time o desenvolvedor David Litchfield, um grande nome dentro do projeto Samba, além de outros quatro desenvolvedores do projeto Samba, entre eles Stephan Metzmatcher, quem descobriu a vulnerabilidade. Como a vulnerabilidade afeta sistemas SAMBA  e Windows, vem se especulando que a falha seja sobre a implementação do protocolo SMB/CIFS, porém nada foi confirmado oficialmente pela ServNet.
Além da publicação da falha, David Litchfield vem twitando pequenas "pistas" sobre qual seria a falha encontrada. 
Todo este alvoroço sobre a falha de segurança surpresa é uma boa jogada de marketing, já que a ServNet é uma empresa que fornece suporte e consultoria SAMBA.
Na minha opinião, se você tem uma empresa de consultoria, claro que almejaria contratar os grandes nomes por trás dos produtos com que você trabalha. Se encontrasse um ponto sensível, claro que faria alvoroço. Porém, anunciar uma falha de segurança três semanas antes da correção? Lançar vários hackers em uma corrida do ouro, que pode significar um 0-Day com possíveis milhares de pontos sensíveis?
Aqui parece que temos um caso entre os limites da ética e do marketing. O que você faria se uma empresa de segurança veicular criasse um site dizendo que existe uma falha que permite que qualquer um roube o seu carro? Irresponsabilidade ou chantagem? Você decide.