Dias após pesquisadores terem invadido o sistema de defesa do Windows 7 para explorar o Internet Explorer e o Firefox, a Microsoft disse que as medidas não têm a intenção de "evitar qualquer ataque para sempre". Ao mesmo tempo, a companhia defendeu as medidas de segurança, dizendo que elas permanecem como uma maneira eficaz de impedir invasões.

Pete LePage, gerente de produtos da divisão de desenvolvimento do IE defendeu os recursos de segurança DEP (Prevenção da Execução de Dados) e ASLR (Address Space Layout Randomization), que foram "furados" por hackers na competição Pwn2Own, evento anual que reúne hackers de todos os cantos do mundo, na última quarta-feira (24/3). Cada um dos invasores foi premiado com 10 mil dólares pelo feito.

O DEP, que a Microsoft introduziu em 2004 com o Windows XP SP2, foi projetado para impedir a execução de códigos de uma região da memória não-executável em um aplicativo ou serviço. ASLR, recurso que estreou com o Windows Vista, há três anos, é um processo que implica em organizar as posições das principais áreas de dados aleatoriamente no espaço de endereço virtual.

Em um post no blog de segurança do Windows, LePage comparou a resistência de proteção de sua empresa com a tentativa de se abrir um cofre. "Sem as técnicas de defesa em profundidade, em uma prova de fogo o seu conteúdo estará protegido por uma ou duas horas", disse.

A Microsoft fez a declaração antes do DEP, ASLR e outras medidas de segurança não garantirem que o Windows pode conter ataques. Ano passado, por exemplo, o engenheiro do Microsoft Secutiry Responde Center (MSRC), Robert Hensing, disse que o "DEP por si só não é forte".

O especialista Peter Vreugdenhil, que fazia sua estreia no evento, tirou proveito de uma vulnerabilidade no IE8, em um PC com Windows 7 e também ganhou 10 mil dólares. E o sistema da Microsoft serviu como base para a investida de um hacker alemão conhecido apenas como Nils, que usou o browser Firefox como porta de entrada para o sistema e levou a mesma quantia em dinheiro.

Único hacker a vencer três vezes a competição Pwn2Own, Charlie Miller descobriu, recentemente, 20 falhas no sistema operacional Mac OS, no pacote Office e no software Adobe Reader, com o uso de uma ferramenta simples (utilizada por desenvolvedores para testar bugs), que procura vulnerabilidades nos sistemas.

“Nós encontramos um bug, eles corrigem. Isso não melhora a segurança do produto. Eles precisam investir direito na melhoria de seus programas”, afirma Miller.

(Gregg Keizer)

IDG Now!