e-SIC da Prefeitura de São Paulo tem falha de segurança

[Nitai Silva]

Gente,

Alguns de vocês sabem que estou tramitando um pedido de acesso à informação pra conseguir os dados em GTFS da SPTrans.

Hoje fui enviar mais um recurso e acabei descobrindo que o sistema tem uma falha de segurança. a falha é a mesma que o Pedro encontrou no e-SIC do governo federal. A mesminha! Ela permite que a pessoa autenticada consiga navegar pelos pedidos dos outros usuários, apenas trocando o número do pedido na URL.

Façam aí o teste. Entrem em http://e-sic.prefeitura.sp.gov.br/ se autentiquem e acessem o meu pedido http://e-sic.prefeitura.sp.gov.br/detalhes_pedido.aspx?id=10

Depois naveguem nos outros trocando apenas o final da URL.

Fica o alerta pra prefeitura!

[]s

Nitai

ps. acabei não conseguindo enviar o recurso. Não apareceu o botão!

[Daniela Mattern]

acho que o desenvolvedor não concordou com o sistema ficar fechado e deixou essa opção pra aumentar a transparência ... ;)

2012/11/4 Nitai Silva <nitaib...@gmail.com>

--
Você recebeu esta mensagem porque está cadastrado no grupo "Transparência Hacker"
Para enviar uma mensagem a todo o grupo, escreva para thac...@googlegroups.com
Para não receber mais mensagens, envie um email para thackday+u...@googlegroups.com
Para mais informações, ou para ler mensagens arquivadas deste grupo, visite http://groups.google.com/group/thackday?hl=pt-BR

--
Daniela Mattern
Coordenadora Geral
IT3S - Instituto de Fomento à Tecnologia do Terceiro Setor
Rua Emiliano Cardoso de Mello, 34
Vila Butantã
CEP: 05360-000
São Paulo - SP
Brasil
Fone: 0055-11-34768025
Celular: 0055-11-987 356 563

Siga nosso Twitter | Acompanhe nosso Facebook
mootiro.org

it3s.org

[Diego Rabatone]

Nitai, só lembrando que de acordo com a proposta de alteração do Código Penal para incluir as tipificações de crimes usando meios tecnológicos isso que você fez é um crime passível de prisão..... (Só pra jogar o tema).....

--------------------------------
Diego Rabatone Oliveira
diraol(arroba)diraol(ponto)eng(ponto)br
Identica: (@diraol) http://identi.ca/diraol
Twitter: @diraol

[Nitai Silva]

Boa Diego. Me explica melhor. Foi crime eu trocar o id da URL, eu ler o pedido de outra pessoa, ou eu divulgar publicamente que existe e como replicar o problema no sistema público? Ou tudo é crime?

2012/11/4 Diego Rabatone <dir...@diraol.eng.br>

[Daniela Mattern]

ler o pedido de outra pessoa e ainda divulgar!

2012/11/4 Nitai Silva <nitaib...@gmail.com>

[Patrícia Cornils]

oxe! (acabei de ver Gonzaga).

Patrícia Cornils
11 8372-7473

[Diego Rabatone]

Nitai, segue um quadro resumo do projeto:
 - Acho que você se enquadraria no artigo de "Invasão de Sistema" (Art. 209).

Quadro Resumido
Stalking	Art. 147. Perseguir alguém, de forma reiterada ou continuada, ameaçando-lhe a integridade física ou psicológica, restringindo-lhe a capacidade de locomoção ou, de qualquer forma, invadindo ou perturbando sua esfera de liberdade ou privacidade. Pena – Prisão, de dois a seis anos.
Cyberbullying	Art. 148. Intimidar, constranger, ameaçar, assediar sexualmente, ofender, castigar, agredir, segregar a criança ou o adolescente, de forma intencional e reiterada, direta ou indiretamente, por qualquer meio, valendo-se de pretensa situação de superioridade e causando sofrimento físico, psicológico ou dano patrimonial. Pena – prisão de um a quatro anos.
Fraude Informática	Art. 170. Obter, para si ou para outrem, em prejuízo alheio, vantagem ilícita, mediante a introdução, alteração ou supressão de dados informáticos, ou interferência, por qualquer outra forma, indevidamente ou sem autorização, no funcionamento de sistema informático. Pena – de prisão, de um a cinco anos.
Invasão de Sistema	Art. 209. Acessar, indevidamente ou sem autorização, por qualquer meio, sistema informático protegido, expondo os dados informáticos a risco de divulgação ou de utilização indevida. Pena – prisão, de seis meses a um ano, ou multa.
Defacement / Negação de Serviço	Art. 210. Interferir de qualquer forma, indevidamente ou sem autorização, na funcionalidade de sistema informático ou de comunicação de dados informáticos, causando-lhe entrave, impedimento, interrupção ou perturbação grave, ainda que parcial. Pena – prisão, de um a dois anos.

--------------------------------
Diego Rabatone Oliveira
diraol(arroba)diraol(ponto)eng(ponto)br
Identica: (@diraol) http://identi.ca/diraol
Twitter: @diraol

[Patrícia Cornils]

... se tem um problema de segurança e vc aponta... o criminoso é vc...

[Nitai Silva]

E se eu não tivesse divulgado a falha aqui e tivesse informado à prefeitura, seria crime?

2012/11/4 Patrícia Cornils <patrici...@gmail.com>

[Daniela Mattern]

não. - bom, seria interessante podemos conversar sobre isso com os responsaveis pelos sistemas. uma coisa que todos os sistemas carecem é a falta de um recurso pra relatar um bug.

isso compromete a usabilidade dos sistemas, sua segurança e o avança da implementação da lei de acesso.

2012/11/4 Nitai Silva <nitaib...@gmail.com>

[Nitai Silva]

Sem dúvida Daniele. A falta do botão pro recurso me parece um bug também!

Mas voltando à questão do crime. Não é crime se eu não divulgasse aqui? Mas eu teria que ter acessado, mesmo que pra descobrir e informar à SPTrans.

2012/11/4 Daniela Mattern <daniela...@it3s.org>

[Daniela Mattern]

ué, é possível e até um certo ponto normal que sistemas possuem problemas de segurança - tudo bem, esse bug é muito grave é básico, ele deveria ser descoberto pela equipe que testou o sistema antes de lançar.

mas se vc encontra o bug é necessário que você o informa para os administradores do sistema. assim você colabora com a melhoria do sistema. isso não é crime.

2012/11/4 Nitai Silva <nitaib...@gmail.com>

[Diego Rabatone]

Sinceramente, querem a minha leitura da situação? As pessoas que fizeram e pensaram a lei legislariam que isso foi sim um crime. Não está escrito em lugar nenhum que o crime é "acessar com más intenções" ou "acessar e causar danos", mas sim "acessar".
Sim, a lei é absurda. Mas o que esperar de alguém que não vivencia o mundo digital e quer legislar sobre o mesmo? Ou de pessoas que defendem um modelo absolutamente restrito?

Não se esqueçam que estamos no Brasil, o país que mais faz requisições de remoção de conteúdo ao google.

--------------------------------
Diego Rabatone Oliveira
diraol(arroba)diraol(ponto)eng(ponto)br
Identica: (@diraol) http://identi.ca/diraol
Twitter: @diraol

[Nitai Silva]

Ok!

Então pra evitar má interpretações da minha mensagem: aqueles que tiverem contato com a equipe responsável pelo e-sic da prefeitura de são paulo, os informem do problema.

[]s

n

2012/11/4 Diego Rabatone <dir...@diraol.eng.br>

[Diego Rabatone]

hehehe.... Só pra destacar que essa é a leitura que eu acho que os juristas e legisladores brasileiros fariam.... não é a minha opinião pessoal sobre o tema!!!

Mas, como essa legislação ainda não foi aprovada, mandemos ver! Let's find the bugs!

Aliás, esse é um bug que deveria virar uma feature-request.... rs

--------------------------------
Diego Rabatone Oliveira
diraol(arroba)diraol(ponto)eng(ponto)br
Identica: (@diraol) http://identi.ca/diraol
Twitter: @diraol

[yaso]

Aliás,

vou aproveitar a thread porque o senado acabou de aprovar a lei carolina dieckmann, que, entre outras maravilhas, coloca um pedacinho do AI-5 digital do azeredo no texto do CODIGO PENAL.

Olhem esse trecho mal escrito:

"devassar dispositivo informático alheio, conectado ou não à rede de computadores, mediante violação indevida de mecanismo de segurança e com o fim de obter, adulterar ou destruir dados ou informações sem autorização expressa ou tácita do titular do dispositivo,"

Imaginem a discussão sobre o que seria "devassar dispositivo informático alheio"  e "violação de mecanismo de segurança" com o "fim de obter dados".

(http://www.senado.gov.br/atividade/materia/Consulta_Parl.asp?RAD_TIP=PLC&Tipo_Cons=16&FlagTot=1&p_cod_senador=4994&p_cod_comissao=)

Detalhe: esse trem é do Paulo Teixeira.

yaso

[Pedro Markun]

Opa,

é a mesma feature que tinha no site da CGU e que eles desabilitaram depois que a gente avisou =/

Tomara que na prefeitura eles entendam o valor disso e ao invés de desabilitar a feature eles dêem visibilidade pra ela na página inicial e tragam mais transparência pro processo!

abs,
Pedro Markun

2012/11/4 Nitai Silva <nitaib...@gmail.com>

--