O site Nãomeperturbe.com.br foi lançado este semana como solução para quem quer se livrar daquelas ligações chatas de telemarketing e afins que tanto incomodam hoje em diam, mas o site acabou resolvendo um problema e criando outro. Várias analistas da area de Ti (e comprovamos aqui no GeekZilla também) identificaram uma falha de configuração amadora no servidor utilizado pelo serviço.
Trata-se de uma simples permissão de listagem de diretório, onde ao vasculhar o código fonte você pode verificar as pastas que estão sendo utilizadas pelo código da página e acessar diretórios com configurações que normalmente não deveriam ser públicas, como informações sobre banco de dados, ou no caso do Nãomeperturbe, informações sobre a chave do serviço SendGrind, que de acordo com o site da Azure, Sendgrid é um serviço de email baseado em nuvem que fornece uma entrega de email transacional, escalabilidade e análise em tempo real confiáveis com APIs flexíveis que facilitam a integração personalizada.
Hoje a falha foi parcialmente corrigida, o diretório que continha a chave e a maioria dos arquivos php utilizados no código do site, que parece ser extremamente simples, agora não permite mais a listagem do seu conteúdo. Mas verificamos que outros diretórios do site ainda permitem que o seu conteúdo seja listado, se um destes diretórios conter alguma informação sensível pode ocorrer novamente uma falha de segurança que irá prejudicar os usuários do serviço.
Também fica questionado por exemplo quais as medidas de segurança que são utilizadas no site no que se refere ao armazenamento das informações fornecidas, os dados estão criptografados? Como senhas, emails e afins?
A iniciativa do Nãomeperturbe é ótima, mas a sua execução acabou deixando muito a desejar e o pior é trata-se de um erro primário, qualquer admin sabe que deve evitar que diretórios em seu servidor possam ser listados, e é bem mais fácil aplicar uma configuração geral evitando que isto acontece do que fazer o config pasta por pasta. Resta esperar que o sistema do Nãoperturbe tenha sua segurança melhorada.
Observação: No momento desta postagem o diretório que continha a chave do SendGrid e outros arquivos php teve sua configuração alterada para não permitir a listagem do diretório, enquanto que o restante do site continua permitindo a listagem.
Analise Geral
Outro ponto importante é que como você pode ter percebido o domínio não é governamental e o site não foi criado pela Anatel e sim por um conjunto de empresas. Nossa recomendação é evitar o site por enquanto e esperar algo mais “oficial”. Até porque a grande ironia é que para fazer o cadastro você deve fornecer seus dados, CPF, telefone etc justamente para as empresas que você não quer que tenha acesso a estas informações.
Também não consta no site cnpj ou vinculação a qualquer orgão do governo, a mídia está fazendo um grande barulho em volta do site mas está falhando em enfatizar que trata-se de algo criado pela iniciativa privada.
