Arch Linux e o módulo de segurança Warsaw do Banco do Brasil

[Rafael Fontenelle]

Saudações, comunidade Arch-br !

Estou precisando de ajuda de harckers da comunidade para fazer o Banco do Brasil para funcionar no Arch!

Visão Geral

O Autoatendimento do Banco do Brasil (também conhecido com internet banking) desabilitará suporte ao Java, o qual já teve suporte removido dos principais navegadores web (Chrome, Firefox, Opera, etc.). O último a remover suporte foi o Firefox 52.0, disponível desde ontem no Arch Linux.  Com isso, o Banco do Brasil exigirá que os usuários Linux passem a usar o componente de segurança Warsaw, da GAS Tecnologia, a partir de 31/03/2017. Fonte: http://www.bb.com.br/warsaw

Adicionando suporte do Warsaw ao Arch Linux

O Arch Linux não está na lista de distribuições oficialmente suportadas. Estando na lista de "Outras distribuições" há instalador para arquiteturas de 32-bit e 64-bit que deveriam instalar os arquivos binários (já compilados) no diretório apropriado, mas que não funciona por alguns problemas de scripting no próprio instalador

Portanto, decidi fazer um pacote (com PKGBUILD, etc.), contornando problemas de scripting no instalador e instalando os arquivos nos diretórios adequados, conforme Arch Packaging Standards.

O pacote está instalando os arquivos nos locais apropriados e já possui é iniciado automaticamente na inicialização -- ao iniciar uma sessão no GNOME, identifico o executável ativo (ps aux | grep /usr/bin/warsaw/core | grep -v grep).

Questões pendentes com o pacote

Ainda não está funcionando. Mesmo com o executável ativo, o navegador não reconhece o módulo de segurança como instalado (diagnóstico em https://seg.bb.com.br). Isto ocorre para Firefox, Chrome, Chromium.

Usando as opções de inspeção de página (tecla F12) ao acessar a página de diagnóstico, pude perceber que no Chromium aparece uma mensagem de erro de que Flash Player 11 não está instalado -- mas não sei dizer se isso também é um empecilho para o acesso à conta bancária.

Realizando o mesmo diagnóstico com o Google Chrome, notei que não aparece a mensagem de erro do Flash Player e a tentativa de comunicação do diagnóstico com o Warsaw falha apenas após um curto tempo de tentativa, o que me faz imaginar ser um timeout.

Concluindo

Já criei um pacote, instalei os arquivos nos devidos lugares, porém ainda não está funcionando. E eu aceitaria auxílio para entender como contornar isso. Aceito sugestões!

Abraços,

Rafael Fontenelle

[Reinaldo]

Pessoal, boa tarde.

Importante lembrar que esse software warsaw roda como root w ninguém tem controle sobre a caixinha preta que ele é.

Se possível alguém podia produzir um Script para habilitar/desabilitar o mesmo sem necessidade de rodar o kill.

Grato

Reinaldo newbie

Enviado por Samsung Mobile.

-------- Mensagem original --------

De : Rafael Fontenelle <rffont...@gmail.com>

Data:08/03/2017 15:45 (GMT-03:00)

Para: archlinux-br <archli...@googlegroups.com>

Cc:

Assunto: [archlinux-br] Arch Linux e o módulo de segurança Warsaw do Banco do Brasil

--
--
Você recebeu esta mensagem porque você se inscreveu no lista de dicussão do projeto Arch Linux Brasil - http://groups.google.com/group/archlinux-br
Maiores informações e novidades sobre o projeto podem ser vistas em http://www.archlinux-br.org
Para mandar mensagens para o grupo use o email archli...@googlegroups.com. Lembre-se que somente membros podem postar mensagens.
Para se desinscrever deste grupo, envie um email para archlinux-br...@googlegroups.com
Para mais opções. visite este grupo em http://groups.google.com/group/archlinux-br
---
Você recebeu essa mensagem porque está inscrito no grupo "archlinux-br" dos Grupos do Google.
Para cancelar inscrição nesse grupo e parar de receber e-mails dele, envie um e-mail para archlinux-br...@googlegroups.com.
Para mais opções, acesse https://groups.google.com/d/optout.

[Isaac F. Ferreira]

Esse é um receio que eu tenho também. Em outro banco eu fui obrigado a usar uma máquina virtual só pra usá-lo. 

Enviado através de um dispositivo móvel 

[Rafael Fontenelle]

Que tal usar o serviço de systemd para ativar quando quiser? Isto é, em vez de usar "systemctl enable warsaw", usar apenas "systemctl start warsaw" e "systemctl stop warsaw" para os momentos específicos de acesso à conta bancária.

A propósito, obrigado por seu comentário. O módulo de segurança estava falhando exatamente porque eu não tinha iniciado o warsaw como root. Ao iniciar como root, ele passou a ouvir no endereço e porta exigido pelo BB (127.0.0.1:30900).

Consegui acessar a conta no Firefox, Chrome e Chromium, apesar do diagnóstico falhar no Chromium por falta de Flash Player 11.

O PKGBUILD está disponível em https://aur.archlinux.org/packages/warsaw

Sugestões e críticas são bem-vindas.

Atencisamente,

Rafael Fontenelle

[Reinaldo]

Obrigado 

Enviado por Samsung Mobile.

-------- Mensagem original --------

De : Rafael Fontenelle <rffont...@gmail.com>

Data:08/03/2017 19:47 (GMT-03:00)

Para: archlinux-br <archli...@googlegroups.com>

Cc:

Assunto: Re: [archlinux-br] Arch Linux e o módulo de segurança Warsaw do Banco do Brasil

[Mauro Risonho de Paula Assumpção]

Um pouco sobre a caixa preta warsha  (mesmo sendo a analise em ambiente macosx, vale a pena dar uma olhada no funcionamento):

https://www.google.com.br/amp/jspin.re/2016/05/05/adventure-time-warsaw-osx-pt-br/amp/

@firebitsbr

Para se desinscrever deste grupo, envie um email para archlinux-br-unsubscribe@googlegroups.com

Para mais opções. visite este grupo em http://groups.google.com/group/archlinux-br
---
Você recebeu essa mensagem porque está inscrito no grupo "archlinux-br" dos Grupos do Google.

Para cancelar inscrição nesse grupo e parar de receber e-mails dele, envie um e-mail para archlinux-br+unsubscribe@googlegroups.com.

Para mais opções, acesse https://groups.google.com/d/optout.

--

--
Você recebeu esta mensagem porque você se inscreveu no lista de dicussão do projeto Arch Linux Brasil - http://groups.google.com/group/archlinux-br
Maiores informações e novidades sobre o projeto podem ser vistas em http://www.archlinux-br.org
Para mandar mensagens para o grupo use o email archli...@googlegroups.com. Lembre-se que somente membros podem postar mensagens.

Para se desinscrever deste grupo, envie um email para archlinux-br-unsubscribe@googlegroups.com

Para mais opções. visite este grupo em http://groups.google.com/group/archlinux-br
---
Você recebeu essa mensagem porque está inscrito no grupo "archlinux-br" dos Grupos do Google.

Para cancelar inscrição nesse grupo e parar de receber e-mails dele, envie um e-mail para archlinux-br+unsubscribe@googlegroups.com.

[Rafael Fontenelle]

Pois é, Mauro... E esse artigo que você divulgou é de maio de 2016, então é muito recente.

Eu estava pensando em escrever um script que usa janelas do Zenity, mantendo o Warsaw aberto até uma janela ser fechada.

A ideia é exatamente não ter o Warsaw aberto sem necessidade.

Imaginei o seguinte:

# 1.   verifica: algum processo do warsaw está ativo?

# 1.1.  se inativo, pergunta: ativar warsaw?

# 1.1.1  se sim, inicia o serviço systemd e verifica inicialização

# 1.1.1  se não, faz nada e EXIT

# 1.2.  se ativo, janela avisando que warsaw está ativo e que ao fechar essa janela, será finalizado

# 1.2.1. interrompe todo e qualquer processo do warsaw e EXIT

O que acham?

Rafael Fontenelle

Para se desinscrever deste grupo, envie um email para archlinux-br...@googlegroups.com

Para mais opções. visite este grupo em http://groups.google.com/group/archlinux-br
---
Você recebeu essa mensagem porque está inscrito no grupo "archlinux-br" dos Grupos do Google.

Para cancelar inscrição nesse grupo e parar de receber e-mails dele, envie um e-mail para archlinux-br...@googlegroups.com.

Para mais opções, acesse https://groups.google.com/d/optout.

--
--
Você recebeu esta mensagem porque você se inscreveu no lista de dicussão do projeto Arch Linux Brasil - http://groups.google.com/group/archlinux-br
Maiores informações e novidades sobre o projeto podem ser vistas em http://www.archlinux-br.org
Para mandar mensagens para o grupo use o email archli...@googlegroups.com. Lembre-se que somente membros podem postar mensagens.

Para se desinscrever deste grupo, envie um email para archlinux-br...@googlegroups.com

Para mais opções. visite este grupo em http://groups.google.com/group/archlinux-br
---
Você recebeu essa mensagem porque está inscrito no grupo "archlinux-br" dos Grupos do Google.

Para cancelar inscrição nesse grupo e parar de receber e-mails dele, envie um e-mail para archlinux-br...@googlegroups.com.

[Reinaldo]

Muito legal, Rafael.

Transparência, 

-------- Mensagem original --------

De : Rafael Fontenelle <rffont...@gmail.com>

Data:09/03/2017 10:48 (GMT-03:00)

[Reinaldo]

Ótimo, Rafael.

Transparência é algo fundamental.

[Pedro Angelo]

Se o software é totalmente caixa preta, então em termos de segurança
não faz diferença deixar no "systemctl start/stop" ao invés de
"systemctl enable", pq se vc rodou o programa uma vez sequer como
root, já era, ele pode fazer o que ele quiser (rootkits, etc), né?
Acho que pra quem estiver preocupado com segurança, a única saída é
usar o BB numa maquina virtual mesmo.

abraços

[Fernando Rocha]

O warsaw é praticamente um malware, fica analisando tudo o que é trafegado na rede. Sugiro instalar isso em uma máquina virtual.

[Isaac F. Ferreira Filho]

Em 08-03-2017 20:20, Pedro Angelo escreveu:
> Se o software é totalmente caixa preta, então em termos de segurança
> não faz diferença deixar no "systemctl start/stop" ao invés de
> "systemctl enable", pq se vc rodou o programa uma vez sequer como
> root, já era, ele pode fazer o que ele quiser (rootkits, etc), né?
> Acho que pra quem estiver preocupado com segurança, a única saída é
> usar o BB numa maquina virtual mesmo.
>
> abraços

Concordo. Foi justamente o que pensei. Usar o start/stop dá uma falsa
sensação de controle.

--
Isaac F. Ferreira Filho
..:: http://yzakius.me
..:: @yzakius

[thotypous]

Concordo com todos que estão dizendo que é melhor utilizar uma máquina virtual.

O histórico de falhas de segurança desses módulos de "segurança" é bem antigo, e vem de bem antes do Warsaw: https://pmatias.me/operagbas/2010-h2hc-explorando-applets.pdf

[]s

[Rafael Fontenelle]

A quem possa interessar:

http://br-linux.org/2017/01/privacidade-modulo-de-seguranca-de-internet-banking-solicita-senha-sudo-de-usuarios-linux.html

Rafael Fontenelle

[Fabiano Furtado]

Diante disso tudo que foi comentado aqui, acho que vou utilizar somente o aplicativo do banco para celular.

Valeu!

[Rafael Fontenelle]

Não sei até onde usar o aplicativo do BB no celular resolve o problema. Digo, se a solução do Warsaw para todas as plataformas é uma invasão de privacidade publicamente conhecida, será que o aplicativo não faz o mesmo com seu dispositivo móvel?   Enfim, não tem muito para onde correr, aparentemente.

Rafael Fontenelle

--

--
Você recebeu esta mensagem porque você se inscreveu no lista de dicussão do projeto Arch Linux Brasil - http://groups.google.com/group/archlinux-br
Maiores informações e novidades sobre o projeto podem ser vistas em http://www.archlinux-br.org
Para mandar mensagens para o grupo use o email archli...@googlegroups.com. Lembre-se que somente membros podem postar mensagens.

Para se desinscrever deste grupo, envie um email para archlinux-br-unsubscribe@googlegroups.com

Para mais opções. visite este grupo em http://groups.google.com/group/archlinux-br
---

Você recebeu essa mensagem porque está inscrito em um tópico no grupo "archlinux-br" dos Grupos do Google.
Para cancelar inscrição nesse tópico, acesse https://groups.google.com/d/topic/archlinux-br/2wK9Cb3eQaI/unsubscribe.
Para cancelar inscrição nesse grupo e todos os seus tópicos, envie um e-mail para archlinux-br+unsubscribe@googlegroups.com.

[Vitor Eiji Justus Sakaguti]

Só pra constar, minha conta do BB foi hackeada através do aplicativo
do celular (Android). Agora só uso o BB Code nesse app.

E como ainda não consegui fazer o warsaw funcionar na VM, estou
efetivamente sem internet banking :(

[Isaac F. Ferreira Filho]

Em 06-04-2017 16:41, Vitor Eiji Justus Sakaguti escreveu:
> E como ainda não consegui fazer o warsaw funcionar na VM, estou
> efetivamente sem internet banking:(

qual foi o problema que você teve?

[Pedro Angelo]

> Só pra constar, minha conta do BB foi hackeada através do aplicativo
> do celular (Android). Agora só uso o BB Code nesse app.

Vc pode dar mais detalhes desse hack? Que vulnerabilidades foram
exploradas, como vc ficu sabendo, o que o atacante foi capaz de fazer,
o que vc fez quando soube, etc. :)

abraços

> Você está recebendo esta mensagem porque se inscreveu no grupo "archlinux-br" dos Grupos do Google.

> Para cancelar inscrição nesse grupo e parar de receber e-mails dele, envie um e-mail para archlinux-br...@googlegroups.com.

> Para obter mais opções, acesse https://groups.google.com/d/optout.

[Vitor Eiji Justus Sakaguti]

On Apr 6, 2017 6:22 PM, "Isaac F. Ferreira Filho" <isaa...@riseup.net> wrote:

Em 06-04-2017 16:41, Vitor Eiji Justus Sakaguti escreveu:

E como ainda não consegui fazer o warsaw funcionar na VM, estou
efetivamente sem internet banking:(

qual foi o problema que você teve?

Não sei exatamente ainda. Criei uma vm fresquinha, instalei o Warsaw, 'sudo systemctl start warsaw' , iniciei o Firefox, acessei o BB, recebi mensagem de que não tenho o módulo de segurança. Não tive muito tempo de olhar isso nessa semana, vou ver se resolvo no FDS. Mas se tiver alguma dica pra adiantar eu agradeço. 

--
Isaac F. Ferreira Filho
..:: http://yzakius.me
..:: @yzakius

--
--
Você recebeu esta mensagem porque você se inscreveu no lista de dicussão do projeto Arch Linux Brasil - http://groups.google.com/group/archlinux-br Maiores informações e novidades sobre o projeto podem ser vistas em http://www.archlinux-br.org
Para mandar mensagens para o grupo use o email archli...@googlegroups.com. Lembre-se que somente membros podem postar mensagens.

Para se desinscrever deste grupo, envie um email para archlinux-br-unsubscribe@googlegroups.com

Para mais opções. visite este grupo em http://groups.google.com/group/archlinux-br

--- Você está recebendo esta mensagem porque se inscreveu no grupo "archlinux-br" dos Grupos do Google.

Para cancelar inscrição nesse grupo e parar de receber e-mails dele, envie um e-mail para archlinux-br+unsubscribe@googlegroups.com.

Para obter mais opções, acesse https://groups.google.com/d/optout.

[Vitor Eiji Justus Sakaguti]

On Apr 6, 2017 6:31 PM, "Pedro Angelo" <pedro....@gmail.com> wrote:

> Só pra constar, minha conta do BB foi hackeada através do aplicativo
> do celular (Android). Agora só uso o BB Code nesse app.

Vc pode dar mais detalhes desse hack? Que vulnerabilidades foram
exploradas, como vc ficu sabendo, o que o atacante foi capaz de fazer,
o que vc fez quando soube, etc. :)

Não sei detalhes sobre o ataque, mas tudo indica que tenha sido um ataque ao Android em si. 

Historinha:

No começo do ano, finalzinho das minhas férias,  o chip do meu celular do trabalho parou de funcionar de repente. Como eu voltaria a trabalhar na semana seguinte, deixei pra ver isso na segunda e toquei a vida. Devo mencionar que esse é o celular para o qual o BB manda mensagens informando sobre quaisquer transações na minha conta. 

Na segunda informei o pessoal do trabalho sobre o problema do celular, e na terça a operadora resolveu o problema. No fim da tarde recebi uma mensagem dizendo que eu fizera um saque do outro lado da cidade. Acessei o Internet banking e vi que desde o dia em que o meu celular parara de funcionar, havia transferências diárias da minha conta corrente no valor exato do meu limite diário, além de saques diários (saque sem cartão), também no valor do limite. 

Liguei imediatamente para o banco e depois de ser passado de um lado pro outro por um tempo, finalmente consegui  fazer a denúncia / reclamação. Bloquearam minha conta e eu teria que ir à minha agência para mais providências.

Na agência vi também que havia lançamentos estranhos no meu cartão de crédito. Escrevi umas cartinhas de próprio punho dizendo que eu não fizera nem autorizara nada disso e o banco depositou o valor do ressarcimento na minha conta, em caráter de adiantamento (eu teria que devolver se minha contestação fosse indeferida). Os lançamentos do cartão de crédito foram cancelados; mudei minhas senhas e desbloquearam minha conta. 

Enquanto eu fazia tudo isso na agência, recebi um telefonema da equipe de segurança e fraudes do BB. Foi esse cara que me informou que todas as operações fraudulentas foram realizadas via App. Aparentemente ele nem sabia que eu já estava tomando providências, tinha me ligado porque as tais transações levantaram suspeitas no sistema deles. 

Dias depois recebi uma carta do banco informando que minha contestação fora aceita. 

Lições aprendidas:

Não acessar a conta do banco através de um dispositivo que você não tenha certeza que é seguro e está atualizado. 

Se sua linha de comunicação com o banco cair de repente, investigue imediatamente. 

Se mudar de cidade, mude de agência para uma na nova cidade...

Limites diários são irritantes às vezes, mas até que são bons.

abraços

> E como ainda não consegui fazer o warsaw funcionar na VM, estou
> efetivamente sem internet banking :(
>
> 2017-04-06 14:22 GMT-03:00 Fabiano Furtado <fus...@gmail.com>:
>> Diante disso tudo que foi comentado aqui, acho que vou utilizar somente o
>> aplicativo do banco para celular.
>>
>> Valeu!
>>
>>
>> Em sábado, 1 de abril de 2017 11:16:32 UTC-3, Rafael Fontenelle escreveu:
>>>
>>> A quem possa interessar:
>>>
>>> http://br-linux.org/2017/01/privacidade-modulo-de-seguranca-de-internet-banking-solicita-senha-sudo-de-usuarios-linux.html
>>>
>>>
>>> Rafael Fontenelle
>>
>> --
>> --
>> Você recebeu esta mensagem porque você se inscreveu no lista de dicussão do
>> projeto Arch Linux Brasil - http://groups.google.com/group/archlinux-br
>> Maiores informações e novidades sobre o projeto podem ser vistas em
>> http://www.archlinux-br.org
>> Para mandar mensagens para o grupo use o email
>> archli...@googlegroups.com. Lembre-se que somente membros podem postar
>> mensagens.
>> Para se desinscrever deste grupo, envie um email para

>> archlinux-br-unsubscribe@googlegroups.com

>> Para mais opções. visite este grupo em
>> http://groups.google.com/group/archlinux-br
>> ---
>> Você recebeu essa mensagem porque está inscrito no grupo "archlinux-br" dos
>> Grupos do Google.
>> Para cancelar inscrição nesse grupo e parar de receber e-mails dele, envie

>> um e-mail para archlinux-br+unsubscribe@googlegroups.com.

>> Para mais opções, acesse https://groups.google.com/d/optout.
>
> --
> --
> Você recebeu esta mensagem porque você se inscreveu no lista de dicussão do projeto Arch Linux Brasil - http://groups.google.com/group/archlinux-br
> Maiores informações e novidades sobre o projeto podem ser vistas em http://www.archlinux-br.org
> Para mandar mensagens para o grupo use o email archli...@googlegroups.com. Lembre-se que somente membros podem postar mensagens.

> Para se desinscrever deste grupo, envie um email para archlinux-br-unsubscribe@googlegroups.com

> Para mais opções. visite este grupo em http://groups.google.com/group/archlinux-br
> ---

> Você está recebendo esta mensagem porque se inscreveu no grupo "archlinux-br" dos Grupos do Google.

> Para cancelar inscrição nesse grupo e parar de receber e-mails dele, envie um e-mail para archlinux-br+unsubscribe@googlegroups.com.

> Para obter mais opções, acesse https://groups.google.com/d/optout.

--
--
Você recebeu esta mensagem porque você se inscreveu no lista de dicussão do projeto Arch Linux Brasil - http://groups.google.com/group/archlinux-br
Maiores informações e novidades sobre o projeto podem ser vistas em http://www.archlinux-br.org
Para mandar mensagens para o grupo use o email archli...@googlegroups.com. Lembre-se que somente membros podem postar mensagens.

Para se desinscrever deste grupo, envie um email para archlinux-br-unsubscribe@googlegroups.com

Para mais opções. visite este grupo em http://groups.google.com/group/archlinux-br
---

Você está recebendo esta mensagem porque se inscreveu no grupo "archlinux-br" dos Grupos do Google.

Para cancelar inscrição nesse grupo e parar de receber e-mails dele, envie um e-mail para archlinux-br+unsubscribe@googlegroups.com.

[Isaac F. Ferreira Filho]

Em 07-04-2017 08:35, Vitor Eiji Justus Sakaguti escreveu:
> Não sei exatamente ainda. Criei uma vm fresquinha, instalei o Warsaw,
> 'sudo systemctl start warsaw' , iniciei o Firefox, acessei o BB, recebi
> mensagem de que não tenho o módulo de segurança. Não tive muito tempo de
> olhar isso nessa semana, vou ver se resolvo no FDS. Mas se tiver alguma
> dica pra adiantar eu agradeço.

Entendi! Vou ficar devendo a dica, pois ainda não tive tempo de fazer
uma vm para isso. Mas está na lista to do.

[Helvecio Borges]

E ai galera!

Meio fora de contexto, eu sei, mas se não for aqui não será em outro lugar.

O BB bloqueou meu acesso via Win10 e diz que tem que reformatar. (Continuo com acesso via Linux em outra máquina).

Fiquei imaginando: o quê poderia fazer na minha máquina Win para eles acharem que formatei e resinstalei  o Windows.

Já fiz o básico: desinstalei o Warsaw, limpei cache do navegador, troquei o MAC address, reinstalei o Warsaw mas o danado ainda detecta minha máquina e diz que tenho que reformatar, o que é drástico demais e aparentemente desnecessário.

Alguma idéia/dica??

Desde já agradeço.

[]

Helvécio

[Helvecio Borges]

Mesmo com uma VM rodando Windows (VirtualBox) o Warsaw ainda detecta que estou usando a mesma máquina.

Deve ter alguma forma de rastrear aonde  Warsaw detecta a máquina que está sendo usado. Acredito que só isto já resolveria o problema.