Instalando o TWRP e o Xposed em dispositivos MTK com Android 5

Recentemente adquiri um Blu Studio C HD rodando o Android 5.1, muito bom aparelho porem com um problema irritante: Reinicia sozinho aleatoriamente.

Com muita pesquisa a respeito, descobri que esse não é um problema do aparelho em si (hardware) mas sim um sério bug de vazamento de memória do Android 5 (lolipop) que faz com que aplicativos recém fechados não liberem a memória RAM, com o tempo a memória estoura e há um Kernel Panic, fazendo o dispositivo reiniciar.

Problema 1:

Teoricamente primeiro o dispositivo precisa ter acesso ROOT, mas isso é apenas a ponta do iceberg, pois a solução para isso seria utilizar uma correção via Xposed, que para quem não conhece, é uma biblioteca que permite fazer coisas mais a fundo que o ROOT em si, modificando o comportamento de bibliotecas do sistema, sem alterar os arquivos originais, tudo em nível de memória.

Problema 2: 

A partir do Android 5, há uma proteção que não permite a instalação do Xposed, mesmo tendo root, a instalação deste sdk só é possível via menu de recovery.

Problema 3: 

O menu de recovery (aquele que permite voltar a configuração original de fábrica, caso seu sistema de pau) original dos dispositivos não permite que instale pacotes não devidamente assinados pelo fabricante, no meu caso a BLU.

O Google além de liberar um sistema com um problema gravíssimo, ainda não mede esforços para bloquear qualquer tentativa de modificação, que permitira corrigir bugs.

Resolvendo os problemas:

Antes de começar, já vou avisando que os procedimentos descritos abaixo são de dificuldade moderada, exigindo um certo conhecimento e risco. Ou seja se:

• Seu celular brickar
• Seu celular morrer
• Seu celular derreter
• Seu celular for possuído por um demônio
• A Skynet acordar e haver uma gerra nuclear
• O Faustão fizer um firme pornô gay
• A Sacha revelar que é hermafrodita
• A Claudia leite se casar com a Ivete Sangalo

NÃO É PROBLEMA MEU !

Primeiro de tudo, temos que fazer o root do dispositivo, ou seja, se ele já for, pode pular esta parte. Uma forma fácil de fazer o root, que funcionou para mim é usar o Kingo Root:

https://www.kingoapp.com/

Se não funcionar para você, o Google está ai para tentar outras trocentas mil formas de fazer root no Android 5.

Tendo o dispositivo rooteado, é hora de baixar o app chamado Flashify:

https://play.google.com/store/apps/details?id=com.cgollner.flashify

ou

Link do MEGA

Abra o Flashify e vá em Backup Current Revovery:

Ele vai pedir um destino para o backup da sua revovery, escolha o Cartão SD. Depois de feito o Backup, copie esse arquivo no seu computador, ele deve estar na pasta:

Android\com.cgollner.flashif\files\flashify-backup\recovery\

Agora você vai precisar do MTK Extractor:

https://mega.nz/#!pE4zmIjT!MkVJsaBivbKwqNS52uiCoCLG406k-QxnqK7qF_iFc-A

Extraia a pasta compactada do MTK Extractor em algum lugar do seu computador, e renomeie ela como "MTK Extractor Stock" copie o arquivo de backup do seu recovery (que você fez através do Flashify) na nesta pasta, e renomeie este arquivo para boot.img.

Rode o MTK Extractor.exe como administrador, Clique no botão BOOT e em seguida UNPACK BOOT.IMG:

Clique na imagem para ampliar

Feche-o e volte na pasta do MTK Extractor, e você verá que ele extraiu os dados do arquivo recovery do backup que você fez. 

Descompacte novamente o arquivo do MTK Extractor, e desta vez renomeie sua pasta como "MTK Extractor Custom", você terá duas pastas do MTK Extractor. Agora vamos precisar do arquivo img do TWRP, eu aconselho que você consiga algum que seja do mesmo chipset do seu celular, no meu caso, o BLU STUDIO C HD é um MT6580, e eu usei este aqui:

https://mega.nz/#!0VpSBawR!EOKzTPQfTsbHGkKjzAT3yCNcCAO8yGmt6lki3G-yJWI

Você consegue descobrir isso facilmente pesquisando as especificações técnicas do seu dispositivo, ou usando o Mtk Droid Tool. Se você não conseguiu descobrir ou não achou um correspondente ao seu celular, tente a sorte com este mesmo, no máximo que pode acontecer é não funcionar, que em geral não bricka o seu celular, apenas não entra ou trava no menu de recovery. 

Descompacte o arquivo img do TWRP na pasta "MTK Extractor Custom", e novamente renomeie este arquivo como boot.img, rode o MTK Extractor.exe como administrador, clique em BOOT e depois UNPACK BOOT.IMG da mesma forma como você fez antes, feche-o.

Agora é o pulo do gato ! Volte na pasta "MTK Extractor Stock" e copie APENAS o arquivo kernel desta pasta na pasta "MTK Extractor custom", você vai substituir este arquivo por um outro que tinha nesta pasta. Depois que você substituiu o arquivo, rode novamente o MTK Extractor.exe da pasta "MTK Extractor Custom" como administrador, vá em BOOT só que desta vez clique em REPACK BOOT.IMG, ele pode dar um erro, clique em "continuar" e feche-o.

Volte na pasta "MTK Extractor custom" e agora terá um arquivo chamado boot-new.img, esta é a imagem do seu menu recovery do TWRP (ou outro), copie este arquivo no cartão SD do seu celular.

Volte no seu celular, rode novamente o Flashify, vá em "Recovery Image", selecione "from file" e selecione o arquivo que você acabou de criar e copiar no cartão SD e mande flashar:

Depois de flashado, ele vai sugerir reiniciar o dispositivo, ao reiniciar, você já pode segurar as teclas especificas do seu aparelho para entrar no menu de recovery, e testar para ver se deu certo, se você não sabe que teclas são essas, procure saber e testar antes de fazer todo este procedimento, pois senão você não saberá se deu certo ou não.

Caso não funcione, não se desespere, isso normalmente não bricka o aparelho, se travou tire a bateria, religue o aparelho, volte no Flashify, vá em RESTORE/RECOVERY, e volte a recovery original do seu aparelho. Neste caso você pode tentar outros arquivos de custom recovery, a versão free do Flashify só permite fazer 3 flashs por dia, mas você pode burlar isso adiantando a data do seu celular.

Agora está na hora de resolver o problema 2

Estando tudo ok, baixe a ultima versão do Xposed na pagina oficial:

http://forum.xda-developers.com/showthread.php?t=3034811

E baixe o correspondente da versão do seu Android, não esquecendo de baixar também o uninstaller, caso de pau. Copie os arquivos na raiz do seu cartão SD e entre no seu novo Custom Recovery, e mande atualizar com o arquivo zip do Xposed, reinicie o aparelho. Lembrando que o primeiro boot depois de fazer isso pode demorar, então só considere que deu merda depois de esperar mais de 20 minutos. Caso ele tenha ficado preso no menu de boot, reinicie o dispositivo (removendo a bateria por exemplo) e rode o uninstaller do Xposed, nesse caso provavelmente ele vai bootar normal, e você baixou algum  arquivo errado.

Com o Xposed instalado, finalmente:

Resolvendo o problema 1

O Xposed sozinho apenas não faz nada, você vai precisar instalar o apk gerenciador dele, baixe ele:

https://mega.nz/#!UJgyxCyA!R3JSFwyv8mZxAdezS8sdh7Yz4Vu8N-ht5fnT5b0x8vA

E instale, lembrando de ativar a permição de fontes desconhecidas. Abra o Xposed Instaler, e se tudo estiver ok ele vai mostrar o XPosed devidamente instalado:

Estando tudo ok, vá em "baixar" e procure por "Fix Lolipop Memory Leak", baixe, instale, e vá em módulos e habilite-o. Agora é só reiniciar.

Finalmente, até agora o meu Android não deu mais nenhum reinicio sozinho, nem travamentos, qualquer novidade, eu volto aqui e modifico esse post.

Lembrando que é extremamente aconselhável você guardar em local seguro o backup da sua custom recovery original, que qualquer coisa pode ser flashado novamente usando o flashify.

Até mais !

Vire o jogo, faça o banco dar dinheiro pra você

Taxas disso, taxas daquilo, quando você vê aquela camisa que você deixou de comprar, na verdade foi pro banco. Não é a toa que os bancos são as empresas que mais tem lucro neste país, disparado. O fato é que além deles pegarem seu dinheiro para empresar esse dinheiro a outras pessoas, a juros (o chamado Spread), eles ainda embutem taxas em tudo, inclusive na tal "taxa de manutenção da conta" que nada mais é do que te disponibilizar mais serviços que na maioria das vezes você nunca usa. E isso sai caro, normalmente fica na faixa de R$ 25,00 por mês que no ano são R$300,00 a menos na sua conta, que foi pro lixo.

A verdade que pouca gente sabe, é que conta bancária básica e sem cobrança de taxas é garantida por lei, e é claro que o banco jamais vai te oferecer isso ao abrir uma conta, e algumas vezes vão até te negar dizendo que isso não existe, existe ! Esse é um direito garantido pela resolução nº 3.518/2007, em vigor desde 30 de abril de 2008 e atualizada pela Resolução nº 3.919/2010, do Banco Central do Brasil. O artigo 2º da Resolução nº 3.919/2010 proíbe as instituições bancárias de cobrar tarifas pela prestação de serviços bancários essenciais a pessoas naturais, isto é, à pessoa física. Ou seja, por direito, a conta básica sem taxas deveria ser algo "comum" entre as pessoas, mas não é. Veja só o que uma conta gratuita é garantida por lei:

• Um extrato anual;
• Dois extratos mensais contendo a movimentação dos últimos trinta dias;
• Duas transferências de saldo entre contas do mesmo banco;
• Quatro saques;
• Dez folhas de cheques;
• Fornecimento de cartão com função débito;
• Compensação de cheques;
• Consultas ilimitadas pelo Internet Banking.

Veja que é bem possível ter uma conta dentro destes parâmetros. Pois extrato em folha é algo obsoleto e até perigoso, você pode consultar seu extrato pela internet sem problema algum gratuitamente e ilimitadamente. Cheque é algo também obsoleto e perigoso, mesmo assim você pode ter 10 folhas de cheque. Praticamente qualquer boteco de esquina aceita cartão de débito, você pode usar e abusar dele até pra comprar uma bala, e não, o lojista não pode te negar o uso do cartão de débito para valores baixos. 

Não há necessidade de usar dinheiro físico na maioria dos casos, mesmo assim você pode fazer um extrato com mais ou menos o que você usa de dinheiro físico por mês, e o outro você pode usar numa emergência, o mesmo vale para transferência bancária.

Mesmo que em um mês ou outro você "fuja" destas regras, o banco vai te cobrar uma taxa na ordem de R$2,00 ~ R$4,00, mesmo assim sai mais barato do que pagar uma tarifa mensal de ~R$ 25,00.

Zerando as "taxas" bancárias,  fuja de qualquer outro serviço, mesmo que o banco ligue insistentemente para você te oferecendo (alias, bloqueadores de chamada são aplicativos muito úteis  e comuns nos smarthphones #ficaadica). 

Agora o que você pode fazer para realmente o banco te dar dinheiro é aplicar aquele dinheiro que sobrou no final do mês em CDB. Não, nem pense em poupança, poupança é lixo ! Pois ela rende abaixo da inflação, é uma micharia, uma vergonha. Eu na verdade poderia falar para você aplicar em tesouro direto, mas para quem nunca ouviu falar nisso, pode ser complicado de fazer, mas se tem interesse, pesquise mais a respeito. Porém, o que está ali fácil, seguro e disponível em qualquer banco é o CDB (certificado de depósito bancário), que leigamente quer dizer, que você passa a emprestar dinheiro pro banco à juros, e é dai que o banco passa a dar dinheiro pra você.

O CDB rende um percentual do CDI, que em termos leigos, ainda rende muito mais que a poupança. E assim como a poupança, o dinheiro é seu, e você pode resgata-lo quando quiser, parcialmente ou integralmente. A única coisa que você precisa saber é que existem 2 tipos de CDB, o pré fixado e o pós fixado. O pós fixado rende bem mais próximo do CDI, mas se você precisar resgatar esse dinheiro antes do tempo determinado pelo contrato, (que pode ser de uns 4 anos) você pagará multa e perderá dinheiro, e normalmente só pode ser resgatado integralmente. Ou seja, só use o pós fixado se você tem certeza que não usará esse dinheiro para nada nos próximos anos. Mesmo que você use o pré fixado que normalmente rende ao dia e você pode resgatar integralmente ou parcialmente quando quiser, você estará muito mais no lucro que a poupança, pois assim como a poupança mesmo que o banco quebre, você tem garantia de receber esse dinheiro de volta em até R$25.000,00, sendo assim, somente há risco de você investir em CDB acima deste valor.

Fora isso, tome muito cuidado com cartão de crédito. Tenha apenas 1 cartão de crédito, e lembre que normalmente esse cartão tem taxa anual. Porém alguns bancos sob certas condições de uso, não cobram tarifa anual do cartão de crédito. Por exemplo, o Santander tem um cartão de crédito gratuito que você só precisa ter a fatura de no mínimo R$100,00 todo mês, considerando que todo mundo tem que fazer compras, se diverte no final de semana etc, ao invés de usar o precioso dinheiro físico, use o cartão de crédito e controle rigidamente a fatura, pois se a coisa sair do controle e você não pagar a fatura completa, os juros não são altos, são extratosféricos, sempre pague a fatura integralmente.

Resumindo, se você tem uns R$ 6.000,00 parado, e investir em um CDB pré fixado, sem taxas de manutenção de conta, e sem taxas do cartão de crédito, o banco vai te pagar em média R$ 15,00 por mês ! Ta bom pra você ?

Lembrando que atendente de telemarketing, gerente de banco etc, trabalha para o banco não pra você ! Nunca caia na lorota desses salafrários com promoçõezinhas, sorteiozinhos e servicinhos. A palavra de ordem é NÃO, lembre-se sempre disso. E se você é bancário e não gostou do salafrário eu tenho algo a dizer a você: É exatamente isso que você é ! Eu vejo mais e mais pessoas sendo enganadas na cara dura com funcionários que só pensam em atingir sua meta desesperadamente, e não pensam 2x em sair de greve deixando todo mundo na mão.

Tudo que eles fazem tem um propósito, como por exemplo em promoções onde eles dizem converter a tarifa da conta, em crédito de celular (para você não abrir uma conta gratuita), mas na verdade esse "crédito" é "bônus" e no fim das contas não serve pra porra nenhuma. Fique atento e não caia em lorota !

O legado de TrueCrypt e o combustível da paranóia

Desde que Edward Snowden abriu o bico sobre os projetos na NSA (Agencia Nacional de Segurança dos EUA), o que era ficção em filmes virou realidade. O governo não ta nem ai para a sua privacidade, e sim ele te espiona descaradamente. Não que há neste momento um agente da CIA olhando seus e-mails (mas se eles quiserem, eles podem), mas há data-centers espalhados por ai, com softwares monitorando tudo que cai na rede, e já é sabido que empresas como Microsoft (oi tio Bil !), Facebook, Twitter, Google etc, colaboram ativamente para isso, eles são grandes pois facilitam tudo, ao contrário estariam quebrados.

Desde então, a procura por serviços e softwares de criptografia aumentou e muito, e pelo que parece, as agências de segurança não estão gostando nada disso. Quebrar a criptografia, dependendo do caso é praticamente impossível (o Bitcoin ta ai pra provar isso), e isso tem sido uma dor de cabeça para eles, sendo assim, "eles" não estão medindo esforços para "dar um jeito nisso". Um exemplo disso no Brasil são os constantes bloqueios no WhatsApp, que tem criptografia de ponta-a-ponta, isso significa que um simples: "oi tudo bem" vira "d@#4¨¨3de*/!!&" ao sair do seu celular e chegar no celular de destino, e no celular de destino o "d@#4¨¨3de*/!!&" vira "oi tudo bem". Ou seja, nem os federais, nem o próprio facebook consegue ler o conteúdo das mensagens, nem mesmo que eles queiram. Os Federais sabem disso, e mesmo assim eles forçam o bloqueio do aplicativo como forma de forçar o Facebook a "dar um jeito nisso" (leia-se: "insira um backdoor nessa porra"), com a desculpa de que isso está impedindo eles de fazer as investigações etc etc etc ...

A questão é: Vale a pena sacrificar a sua privacidade por causa de um bando de maconheiro ? Alguns dizem: "Eu não faço nada de errado, sendo assim não tenho o que me preocupar", mas dai eu digo: "Você confia na justiça ?". Analise o seguinte caso: Você faz um comentário na internet, que foi interpretado como racista ou terrorista (mesmo não sendo), alguém denuncia, e essa denúncia vira um mandato de busca e apreensão, e sem que sequer você imagine isso, vão ter federais na sua casa bisbilhotando descaradamente tudo que você tem no seu PC, e vão levar seu HDD para perícia. Eles podem pensar que aquelas fotos inocentes da sua sobrinha são um indício que você seja pedófilo, ou aquela piadinha que você fez no facebook, é indício de que você realmente é racista, ou por algum acaso, você acessou alguma página que tenha uma suástica, vão achar que você é nazista. O que eu quero dizer é, eles vão procurar pelo em ovo pra pelo menos mostrar serviço. Não importa o que possam dizer, a verdade é que a criptografia é sua amiga, você tem o direito de não produzir provas contra sí mesmo e principalmente, há o principio da presunção da inocência.

Imagine também que sua casa ou seu notebook seja roubado, e agora vai saber o que eles vão fazer com seus arquivos. Ou seu notebook / PC se perca no aeroporto etc etc etc. São dezenas os casos em que depois você vai pensar: "Por que eu não criptografei tudo ?? Eu provavelmente estaria mais tranquilo agora".

Porém é aqui que o combustível da paranoia começa. As agências de segurança e o governo não gostam de criptografia (somente pra eles ...), e o simples fato de você usar, já te torna um possível suspeito, mesmo você tendo o direito à privacidade. Usar o bitlocker ou coisa parecida, cai naquilo que eu já mencionei antes, grandes empresas abrem as pernas para as agências de segurança, eles não estão nem ai, o que nos leva a crer que a NSA por exemplo pode ter alguma ferramenta que acessa um possível backdoor previamente posto na programação do bitlocker por exemplo, pois o mesmo não é open source, e podemos confiar apenas na palavra da Microsoft, em questão de que não tem nada escondido lá, mesmo especialistas nos alertando de que o Windows 10 está repleto de falhas de privacidade.

O TrueCrypt por outro lado, é opensource, e foi por quase uma década uma dor de cabeça para aqueles que se deparam com ele. Sim ele é inquebrável, já foi comprovado isso, poucas falhas de segurança foram encontradas, e até hoje a única forma de quebrar sua segurança é por força bruta (tentativa e falha). Ou seja, se você usa uma senha com mais de 20 caracteres, que não tenham nada a ver com você, faz com que leve séculos para conseguir quebrar a criptografia dele, mas isso se você usar uma boa senha, pois a mais poderosa ferramenta de criptografia não irá te proteger da burrice da data de aniversário sua ou de alguém.

Então está tudo resolvido, basta usar um software artisticamente programado, opensource, gratuito e comprovadamente por via de auditoria profissional, livre de backdoor. Correto ? Nem tanto.

Algo muito estranho aconteceu ano passado. A página oficial da TrueCrypt aparentemente foi "Hackeada", mas não. O projeto estava encerrado, depois de quase uma década, e pior, eles dizem ser inseguro e recomendam usar o bitlocker. Se a piada é essa, todo mundo entendeu. A NSA botou pressão nos caras (provavelmente pra inserir um backdoor nele) e eles resolveram lavar as mãos e não se meter em encrenca. Os autores do truecrypt falam cada um uma coisa. "Ahhh simplesmente acabou" ... "Cansamos ..." ... "Não temos mais interesse" ...
Mas se eles quisessem deixar um recado, o recado está na primeira linha da "nova página"

"WARNING: Using TrueCrypt is not secure as it may contain unfixed security issues"

Sim, há uma mensagem escondida ai. Pegue a primeira letra de cada palavra: "UTINSAIMCUSI" separando adequadamente dá: "uti nsa im cu si" que está em latim. Traduza isso do latim e você descobrirá a verdadeira frase escondida: "Se você usar a NSA". É isso ai, a falha de segurança pode ser na verdade um backdoor da NSA escondido no código. Apesar do código ter passado por 2 auditorias sem nenhum código malicioso ter sido encontrado, alguns dizem que até mesmo os auditores foram coagidos pela NSA, e como o código do truecrypt envolve avançada criptografia, certamente uma pessoa comum não iria achar nada lá, mesmo que estivesse em neon piscando.

A verdade pode ter aparecido, quando um homem foi condenado depois dos federais terem quebrado a criptografia do TrueCrypt em seu computador. Uns dizem que os federais usaram o tal backdoor, outros dizem que a senha dele era fraca, outros. que eles estão explorando falhas de segurança no software, já que ele a anos não tem atualização, e por ai vai ...

Não da mais pra confiar no TrueCrypt (mesmo tendo apenas 1 caso de quebra por enquanto), não  sabe se realmente tem um monstrinho escondido no código ou eles acharam uma forma de quebra-lo, usando um exploit, baseado em alguma vulnerabilidade no já seu desatualizado código.

Porém nem tudo está perdido, Do legado truecrypt, nasceram 2 softwares baseados nele, o CipherShed e o VeraCrypt. Ambos são idênticos em funcionamento e aparência do truecrypt, e ambos prometem a mesma coisa: é o código do truecrypt só que melhorado. O CipherShed por exemplo é totalmente compatível com algum volume pré criado do truecrypt (ao contrário do VeraCrypt) e se comporta até mesmo como uma "atualização" do truecrypt, já o VeraCrypt se comporta como um software paralelo. Mesmo assim, não nos tira a pulga atras da orelha. Mesmo esses 2 sendo pouco conhecidos ainda, será que tem algum monstrinho da NSA escondido lá ? Olha só o que fala o CipherShed:

"Nós não negamos, nem tentamos esconder o fato de que alguns de nossos membros foram ou estão atualmente financiado por entidades governamentais ou empresariais. Queremos especialmente salientar que, na verdade, a única razão pela qual podemos ter, e têm confiança em CipherShed é que, mesmo embora nunca pode ter certeza sobre as identidades ou intenções dos nossos contribuintes individuais, podemos contar com o nosso rigoroso, descentralizado processo de revisão de auditoria de segurança para evitar adições maliciosas. Antes de aceitar contribuições de qualquer pessoa, eles vão, sem exceção, ser examinados por vários revisores independentes, sob a mesma premissa: que mudanças maliciosas podem ter sido feitas. Assim, acreditamos firmemente que a segurança de CipherShed reside no modelo de desenvolvimento, e que passados ou atuais filiações dos nossos colaboradores, sejam elas organizacionais, sexo, raça, crenças, orientação sexual ou outros, não importa."

E agora veja o que o VeraCrypt fala:

"Nós não implementamos qualquer 'backdoor' em VeraCrypt (e nunca implementaremos, mesmo se for solicitado por uma agência governamental), porque isso iria derrotar o propósito do software. O VeraCrypt não permite descriptografia de dados sem conhecer a senha correta ou chave. Nós não podemos recuperar seus dados, porque não sabemos e não pode determinar a senha que você escolheu ou a tecla você gerou usando VeraCrypt. A única maneira de recuperar seus arquivos é tentar "crackear" a senha ou a chave, mas isto pode levar milhares ou milhões de anos (dependendo do comprimento e da qualidade da senha ou keyfiles, sobre o desempenho do software / hardware, algoritmos e outros factores). Em 2010, houve notícias sobre o FBI não conseguir descriptografar um volume TrueCrypt após um ano de tentativas. Embora não possamos verificar se isso é verdade ou apenas um boato, em VeraCrypt nós aumentamos a segurança da chave derivação para um nível em que qualquer força bruta da senha é praticamente impossível, desde que toda a segurança requisitos sejam respeitados."

A Lavabit foi um serviço de e-mail criptografado que publicamente fechou depois que a NSA exigiu o acesso à criptografia do sistema. Foi um escândalo pois centenas de pessoas perderam suas contas devido a isso. O TrueCrypt mesmo publicamente não assumindo, há especulações de que o projeto tenha sido abandonado pelo mesmo motivo. Agora você acha mesmo que se chegasse os federais aos responsáveis de um dos projetos, eles simplesmente falariam: "Olha sinto muito, mas não podemos fazer isso"

Deixando a paranoia de lado, agora nós temos 3 alternativas:

1. Apesar de não ter (e não mais terá) atualizações no TrueCrypt, este passou por 2 auditorias de segurança e em nenhuma delas foi encontrado um código malicioso (backdoor), e destas 2 auditorias foram encontrados 11 vulnerabilidades de segurança sendo destas 3 de nível médio.
O relatório desta auditoria está resumidamente aqui e em termos leigos, estes podem ser um atalho para a criação de algum exploit, mas isso só seria eficaz se alguém tivesse acesso físico ao seu PC sem que você soubesse. Um Keyloger ou virus poderia ser eficaz para pegar sua senha no momento que você a digitar, e mesmo que você utilize a criptografia no disco inteiro do sistema, o próprio bootloader do TC poderia ser modificado para armazenar a senha digitada, mas como eu disse anteriormente um software malicioso teria que ser introduzido antes de você digitar a senha para que isso fosse viável.

2. O CipherShed não passou por nenhuma auditoria, e podemos apenas confiar na palavra dos desenvolvedores de que este realmente passa por uma auditoria interna a fim de que nenhum código malicioso tenha sido introduzido nele. Eles prometem ter corrigido os principais erros do TrueCrypt abordados nas 2 auditorias de segurança. Porem uma delas, a fraca derivação da chave continua a mesma. A resposta que eles dão quanto a isso é que o uso desta derivação de chave mais fraca se deve que apesar de fraca, a forma como ela é implementada (e foi isso que os auditores não perceberam) a torna forte. A implementação de uma derivação de chave mais forte, além de comprometer o desempenho (pra montar um volume pode levar vários segundos) ainda tornaria incompatível volumes criados pelo TrueCrypt.

3. O VeraCrypt também ainda não passou por nenhuma auditoria, e assim como o CipherShed, temos que confiar apenas nos desenvolvedores. A abordagem é a mesma em relação do CipherShed, mas eles vão além, pois eles não confiam na fraca derivação da chave, mesmo sendo segura à nível de execução. Isso aumenta e muito a segurança já inquebrável do TrueCrypt e CipherShed, mas isso tem um preço, que é a incompatibilidade com volumes criados pelo TrueCrypt e CipherShed e a demora para montar o volume, que em alguns casos, dependendo do computador, pode chegar a 30 segundos.

Agora tire suas conclusões. O TrueCrypt continua seguro, mesmo depois de anos sem atualização, mas com a certificação de 2 auditorias. Vale a pena sacrificar alguns segundos toda vez que for montar uma unidade por conta de uma confusão no algorítimo original do TrueCrypt (VeraCrypt), será esta implementação mesmo segura, ao ponto de não confiar na pericia dos auditores ao custo de usar volumes antigos e monta-los instantaneamente (CipherShed), agora é com você, tire suas próprias conclusões.

Baterias - Mitos , Verdades e Conservação

Não tem como escapar delas, elas estão em todos os lugares: Celulares, Tablets, Carros, Notebooks etc. O problema é que muito se fala (sem fundamento) sobre como maximizar a sua vida útil, já que muitas vezes a sua substituição é cara e o seu descarte é trabalhoso. Com meus mais de 20 anos trabalhando com tecnologia, eu hoje posso desmentir muitos mitos e verdades a respeito.

Sempre lembrando que existem várias tecnologias diferentes de baterias recarregáveis, e umas podem se comportar diferente de outras, uma bateria de celular não é igual a uma bateria de carro. Sendo assim, vou citar aqui os maiores mitos e verdades ouvidos por ai:

A primeira carga deve ser de 12hs: MITO

Não importa o quanto você deixe uma bateria carregando, bons carregadores sempre mantem a bateria em flutuação depois de carregada, pois continuar carregando uma bateria mesmo depois que ela já chegou a 100% de sua carga na verdade é prejudicial e dependendo da sobrecarga, pode até mata-la. Então manter o aparelho na tomada depois que chegou a sua carga máxima, só vai manter a sua carga em 100%. Então relaxe, ao dar a primeira carga assim que der 100% já pode usar. Mas é importante logo depois da primeira carga, esperar a bateria descarregar totalmente antes de carregar novamente. É importante fazer esse ciclo de carga e descarga e carga completa da primeira vez, pois não se sabe quanto tempo essa bateria está parada. Das próximas vezes você pode dar cargas parciais e carregar mesmo que ela tenha carga, porém não faça sempre isso, de vez em quando carregue ela totalmente, use até o aparelho desligar (descarga completa) e carregue totalmente.

Manter a bateria sempre carregada a danifica: VERDADE

Isso acontece muito com notebooks, normalmente a pessoa mantem ele sempre ligado a tomada, e consequentemente a bateria sempre a 100%, quando a pessoa quer deixar o aparelho fora da tomada, ele percebe que a bateria não segura mais como antes ou ela não segura quase nada. O problema é que manter a bateria sempre com carga faz com que as células atrofiem por falta de uso, efeito chamado de cristalização ou congelamento das células. Se você usa o notebook sempre na tomada, trabalhe com ele sem bateria, se possível.

A bateria deve estar com 100% de carga, caso ela vá ficar guardada: MITO

Caso você deseje guardar a bateria e ela vá ficar sem uso por muito tempo, o ideal é nem deixar ela totalmente carregada e nem sem carga, o ideal é deixar como ela vem de fábrica, ou seja com meia carga. Isso evita o efeito de congelamento tanto pela falta como pela total carga.

A bateria perde a carga, mesmo que ela não vá ser usada: VERDADE

Mesmo que o aparelho esteja desligado, ainda já um pequeno fluxo de corrente, que com o tempo pode descarregar a bateria, por isso é importante retirar a bateria do equipamento (se possível) caso ele vá ficar muito tempo desligado. Mesmo assim a carga pode diminuir um pouco caso ela fique por muito tempo parada.

Uma bateria pode explodir ou pegar fogo: VERDADE 

Caso ela sofra um estresse muito grande como um curto-circuito um impacto, sofrer altas temperaturas, toda energia acumulada nela pode entrar em colapso e ela pode vazar, pegar fogo e até explodir. Isso pode acontecer até mesmo por próprio defeito dela. Por isso se você perceber que ela está esquentando demais, retire-a e se possível a substitua, pois há relatos de queimaduras e acidentes envolvendo baterias.

Deve sempre esperar descarregar totalmente para recarrega-la: MITO

Isso era verdade quando ainda se usava as baterias de NiCd (Níquel e Cadmio), porém já a algum tempo esta tecnologia está ultrapassada. A grande maioria das baterias de hoje é de lithium ou niquel metal cromo, que tem bem mais tolerância ao efeito de congelamento. Ou seja, você pode normalmente recarrega-la mesmo que ela esteja com meia carga por exemplo, mas mesmo assim é aconselhado de vez em quando descarrega-la totalmente, para maior vida útil da mesma.

É possível recuperar uma bateria dando uma sobrecarga: MITO

Inevitavelmente, chega uma hora que a vida útil da bateria chega ao fim, e você terá que trocar ela. Isso se deve à corrosão das placas internas, da validade dos produtos químicos e da cristalização das células. Dar um "choque"  na bateria só vai fazer ela funcionar por pouco tempo, e logo ela volta ao seu estado antigo. Esse método além de ser ineficaz ainda é perigoso, pois ela pode explodir como eu citei anteriormente.

Deixar uma bateria descarregada parada por algum tempo, faz com que ela recupere um pouco de carga: VERDADE

Isso se deve ao efeito "copo de leite", se você tomar um copo de leite e deixar o copo parado, depois de um tempo o leite que estava "preso" nas bordas escorre e forma algumas gotas no fundo. Algo parecido acontece com a bateria, quando ela fica parada, um pouco de carga nas células tende a se unir e no final, sobra "umas gotas" que pode ser o suficiente para mandar uma msg por exemplo.

Isso acontece com as pilhas comuns também, é por isso que sua mãe ou seu pai deixava pilhas velhas na geladeira, com a esperança de usar o ultimo restinho.

Hidrosteril e Clorin, o pega trouxa do momento.

Eu já denunciei aqui outros casos em que o consumidor Brasileiro é enganado descaradamente, pelo simples fato de que infelizmente esse país é pobre em educação, ficando fácil assim para os grandes empresários seduzirem o consumidor mais humilde com propaganda barata, o enganando.

Um produto que eu vou denunciar aqui, se chama Hidrosteril, e ele serve para clorar a água, um processo amplamente utilizado para a tornar estéril e potável. Não vou discutir aqui a sua eficácia, ele funciona, o problema é que ele tem exatamente a mesma composição que a ÁGUA SANITÁRIA , isso mesmo ! A enganação é você pagar 50ml de um produto que pelo mesmo preço você compraria um litro ! e com certeza você já deve ter na lavanderia da sua casa.

Se você duvida, veja você mesmo, procure saber da composição do Hidrosteril, você vai descobrir o seguinte: Hipoclorito de sódio 2,5%, Cloreto de sódio 1,0%, água deionizada q.s.p 100%

Agora entre no site da Wikipedia e procure a respeito do Hipoclorito de sódio. Veja com os seus próprios olhos que o seu nome comercial é Água Sanitária repare também que um subproduto da Água sanitária também é o cloreto de sódio (sal de cozinha), também componente do Hidrosteril. Dai você pergunta: "Mas e a água deionizada ?" Não seja tolo meu amigo(a), água deionizada é a mesma coisa que água desmineralizada, água com minerais (mineral) faz mal a você ? Na verdade toda água que é usada em componentes químico como solvente universal é desmineralizada.

Outro produto que segue a mesma linha para os consumidores desavisados é o Clorin, a diferença é que ele é o dobro, até o triplo do preço do Hidrosteril e vem na forma de pastilha. Como se isso fizesse diferença, se você for procurar saber do seu principio ativo, você vai chegar no seguinte composto: Dicloro-s-triazinatriona de sódio 

Ohhhh você nem sabe o que significa, mas se o nome é mais complicado, esse deve ser bem melhor, correto ? ERRADO ! Dicloro-s-triazinatriona de sódio é o mesmo que ácido dicloro-iso-cianúrico, ou dicloro-iso-cianurato de sódio é o cloro em forma sólida vendida no mercado em flocos ou em pastilhas, muito utilizado para clorar piscinas.

Opa ... clorin então é aquele cloro de piscina vendido por Kg no supermercado ? SIM e digo mais, ele é um substituto dos hipocloritos (leia-se água sanitária), então se você prefere a forma sólida, compre cloro de piscina que é a mesma coisa e sai bem mais barato.

Então lembre-se, para higienizar frutas, legumes, a chupeta e a mamadeira do nenê, tornar potável água de origem duvidosa e até esterilizar latas e utensílios domésticos, não pague mais por isso, coloque a velha e boa água sanitária em um conta-gotas e adicione 2 ou 3 gotas por litro e deixe repousar por 15 minutos, e já é mais do que o suficiente.

Lembrando que a cloragem da água só elimina germes, vírus e bactérias, ele não elimina metais pesados e materiais radioativos. Ou seja, se um dia você for para Pripyat, não tente clorar a água de lá, que não vai te deixar livre de perder os cabelos.

Atualização 29/03/2018 

Heis que eu sou surpreendido hoje por um e-mail inusitado, de uma pessoa que se aproveitou do meu grupo sobre Arduino para me mandar um e-mail inusitado. Demorou, mas alguém que eu vou chamar aqui de "Jacinto" e que se diz ser de "Assuntos Regulatórios", me mandou um e-mail com entoação coagitiva, dizendo que esse post pode causar risco a alguma pessoa. Eu vou postar aqui o conteúdo integro da mensagem enviada:

##################################################################################

O sr afirma que todas as águas sanitárias são a mesma fórmulado Hidrosteril. A informação tem como base o site Wikipédia, que não tem embasamento técnico, mas sim, elaborado por qualquer pessoa.

Na verdade, o Hidrosteril tem o princípio ativo hipoclorito de sódio 2,5% (assim como a água sanitária), tem o estabilizante cloreto de sódio e água deionizada.

Ambos os produtos são saneantes pela Anvisa, mas o  Hidrosteril é​ da categoroia de desinfetante para hortifrutícolas, desinfetante para lactários e desinfecção para água para o consumo humano. ​
Hidrosteril tem as três categorias aprovadas.

A água sanitária é de categoria própria.

São legislações diferentes para obter-se registro. As exigências são diferentes, as análises bacteriológicas são diferentes também.

Para tanto, o Hidrosteril passou por todas as análises que permitem informar que elimina bactérias presentes em hortifrutícolas, lactários e água.

A água sanitária não passa obrigatoriamente pelas análises que desinfetam hortifrutícolas e água para o consumo humano e, portanto, poucas marcas têm em seu rótulo, no "Modo de Uso", essa indicação.

Na verdade, a grande maioria, serve para desinfecção de limpeza do lar e lavagem de roupas.

Outra questão é a embalagem na qual o Hidrosteril é comercializado, no caso em gotas, próprio para uso residencial e em expedições.

O uso em expedições onde a água é de procedência duvidosa, como rios é obrigatória a desinfecção da água para o consumo humano e o Hidrosteril está seguro em sua embalagem original, que também é aprovada pela Anvisa, para garantir a estabilidade e portanto, a eficácia do produto.

É proibido pela Anvisa retirar de uma embalagem maior e colocar em outra que caiba na mochila, pois compromete sua eficácia e podem até ocorrer vazamentos devido à natureza do produto.

A informação fornecida pelo blog, é irresponsável, quando indica qualquer água sanitária para uso em alimentos e consumo humano, levando o leitor ao risco à própria saúde e dos seus familiares.

Poderia retirar o post do seu blog?

###################################################################################

Agora a minha resposta:

Sr. "Jacinto", sinceramente, se você já começa dizendo que a Wikipédia não é uma fonte confiável de informação, sinto dizer que o Sr. provavelmente começou a usar a internet ontem. Sim qualquer pessoa pode escrever coisas lá, principalmente mestres em química, do qual esses artigos de química em específico são revisados, pois o Wikipédia é amplamente usado e aceito no mundo acadêmico, principalmente pela seriedade das pessoas que o auditam.

Mas o que mais me faz duvidar da sua inteligência (ou você duvidando da minha) é que você mesmo confirma que o Hidrosteril tem a mesma composição da água sanitária, e se você justifica seu argumento dizendo que a água sanitária não passa pelas regulamentações da Anvisa, leia esse relatório da própria Anvisa, dizendo que pelas regulamentações dela, a Água Sanitária pode sim ser usado para o consumo humano para clorar a água e desinfetar alimentos:

http://www.inmetro.gov.br/consumidor/produtos/agua_sanitaria_2014.pdf


Ou seja, para a Água Sanitária passar pelos testes do immetro, ela deve sim ser desinfetante para hortifrutícolas, desinfetante para lactários e desinfecção para água para o consumo humano, etc.

Agora quanto a questão da embalagem, realmente você me fez rir, ao afirmar que é proibido pela Anvisa uma pessoa pegar a Água Sanitária e colocar um conta-gotas, era mesmo para eu rir? Pois eu não conheço nenhuma pessoa que tenha sido processada por ter feito isso, até porque isso seria motivo de chacota nas redes sociais. E mesmo que fosse, assim como eu cito nesse post, eu não recomendo que uma pessoa use água de rios, pois a cloragem não livra a água de metais pesados e toxinas, nem mesmo o seu maravilhoso Hidrosteril. Irresponsável é você, em afirmar ser seguro dizer a uma pessoa, que basta adicionar o seu produto em uma água duvidosa, que ela está 100% segura para o consumo.

Por fim, eu afirmo que esse post não contem conteúdo ofensivo, se você assim o julga, denuncie-me ao Google, se ele concordar com você, ele irá remover esse post do ar.

Sem mais e passar bem!

HashOcean e TopMine OFFLINE

É isso ai ! eu avisei ! Esse é um dia triste para aqueles que tinham algum dinheiro investido nesses sites de "mineração em nuvem", para aqueles que tem alguma esperança de que o serviço volte, não tenha muitas, pois já era previsível que esses serviços fossem cair em breve.

Eu também fiquei tentado nesse tipo de investimento, investi dinheiro, mas com cautela, não muito, e minhas perdas foram pequenas comparado a algumas pessoas por ai que investiram muito mais.

Sim, eu parei de investir depois de estudar o cenário e ver que TODAS essas mineradoras em núvem são scam ou ponzi, por um motivo muito simples:

"É virtualmente impossível alugar equipamento de mineração para milhares de pessoas e ainda ter lucro, seriam necessários DEZENAS de data centers GIGANTES para conseguir isso"

Eu não cheguei à essa conclusão a toa, ou estou inventando dados, é uma questão de estatística, qualquer mineradora por ai trabalha na casa dos TH/s e a hashoceam mesmo dizia ter GH/s para milhares de pessoas. Vamos fazer um calculo simples? os últimos dados da HashOcean, por exemplo dizia estar trabalhando com um total de 455.4 GH/s, e o número de usuários (conforme o próprio site) estava em 702174. Sendo assim 455.400.000.000 H/s dividido por 702174 usuários daria no máximo 648.5 KH/s por usuário. Ou seja cada usuário poderia ter no máximo 648.5KH/s de poder de mineração, isso não da nem 1 ponto de mineração no site que é de 700KH/s. E você sabe que muitos usuários tinham muito mais que isso.

Ou seja, é tudo uma grande mentira ... assim como TODOS os sites de mineração. Mas não fique triste, eu antes de chegar à esta conclusão, também investi nestes 2 sites, e assim como você, perdi dinheiro (cerca de 200 conto). Esse dinheiro não vai me fazer falta, mas imagino quantas pessoas investiram muito mais que isso.

Dai você se pergunta: "Mas como que eles pagam ?" - Muito simples ! Assim como todo esquema ponzi, eles pagam você com o dinheiro de outras pessoas que investiram e continuam investindo, quando tem poucas pessoas investindo e a coisa começa a apertar, eles apertam o botão vermelho do foda-se, fecham as portas e ficam com o dinheiro de todo mundo, simples assim. Isso era previsto, pois com a dificuldade dobrando agora em julho, é muito possível que o preço do bitcoin vá as alturas, sendo assim as pessoas estão guardando os bitcoins, consequentemente parando de investir e "quebrando" todas esses esquemas ponzi baseados em bitcoins. Eu cheguei a ver relatos de pessoas que investiram mais de 5 BTC (~R$10.000,00), e isso é realmente muito triste, muito me admira a interpol não estar na cola destes sites fraudulentos, pois a HashOcean mesmo deu bolo em mais de 700000 usuários no mundo todo. Imaginar quantos sites destes ainda tem por ai, e que ainda vão fugir com o investimento de todo mundo é assustador.

Ahh, detalhe, hoje cedo (26/06/2016) ambas as "mineradoras" estavam funcionando, não é uma grande coincidência as 2 saírem do ar no mesmo dia ? Não da pra supor que as duas eram mantidas pelo mesmo pilantra administrador ? 

Então aprenda a lição:

NÃO JOGUE SEU DINHEIRO FORA COM SITES DE MINERAÇÃO EM NUVEM, É TUDO UMA MENTIRA !!

Atualização 29/06/2016

Como eu previa, nem a HashOcean nem a Topmine voltaram, ou seja, agora não tem mais o que falar a não ser que os dois deram calote mesmo. Se você tinha alguma esperança, pode enterra-la, assim como seus bitcoins. Conselho que eu dou a você (além do que eu escrevi em letras garrafais acima) é: Aceite, é melhor, perdeu, já era. Não procure sites com nomes parecidos como hashoceam.co, você só vai perder mais dinheiro, e nem em outros prometendo o estorno. 

Aparentemente nem a mídia nem os federais não estão nem ai pra esse tipo de golpe, e muito menos estão fazendo alguma coisa para impedir isso, o bitcoin praticamente é algo inexistente para eles. O que resta é nós, blogueiros da imprensa livre é deixar bem avisado para o perigo que é este tipo de investimento, que está mais para golpe. É muito triste ver pessoas que venderam até automóvel para investir e tentar ter um "rendimento extra",o mais incrível é ver outros blogueiros e youtubers por ai incentivando a entrar em outros sites de mineração, dizendo "A HashOcean caiu, mas esse aqui ó, esse é de confiança". PARE ! Eles só estão pensando neles mesmos, querendo que você clique no link de cadastro deles para que eles ganhem comissão naquilo que você investir. Quando cair eles vão falar a mesma coisa de sempre: "ahh não me culpe, ninguém colocou uma arma na sua cabeça, você investiu por que quis".

Este episódio para mim serviu de lição, e para você ?

Gerenciando e recuperando seus bitcoins com o Electrum

A um tempo atras, como eu já comentei, eu levei o maior susto, quando o serviço do Copay saiu do ar, e eu simplesmente não conseguia acessar meus fundos nem mesmo pelo app de emergência. Depois quando o serviço voltou ao normal, eu consegui, mas uma pulga atras da minha orelha ficou falando:  "E se o serviço não voltasse mais ?"

É uma neurose bem real, de nada adianta ter a sua frase mnemônica (frase secreta) anotada num papel guardada a sete chaves, se o serviço sai do ar e você não consegue mais restaurar sua carteira através dela. Desde esse dia eu venho estudando formas de interconectar frases secretas de diferentes serviços, de uma forma do qual eu possa recorrer em uma emergência. Em um post atras, eu descobri que é possível  inserir a chave secreta da carteira blockchain.info no software Mycelium, e através dele exportar a xpriv e importar no Electrum.

Só essa solução por si já é perfeita, pois ai eu tenho 3 serviços diferentes trabalhando com a mesma chave, mesmo que se 2 deles fiquem fora do ar, eu ainda consigo acessar meus fundos, na verdade, só o fato de poder trabalhar com o Electrum, já é possível assinar uma transação mesmo que todos os seus servidores fiquem offline, pois nele é possível exportar a chave privada de cada endereço da sua carteira.

Se isso já não bastasse, eu descobri outra forma de importar (aparentemente) qualquer chave secreta no formato BIP44 que é utilizado por diversos serviços por ai, como por exemplo:

• Blockchain.info
• Copay*
• Mycelium*
• Encompass (fora do ar)
• CoinVault
• Wallet32

Os serviços marcados com * são os que eu testei com sucesso.

Para fazer isso, o macete é simples. Ao abrir o Electrum pela primeira vez, já aparece o assistente de criação ou restauração da carteira (ou vá em File - New/Restore), em "What do you want do do ?" selecione "Restore a Wallet or import keys" e em "Wallet Kind" selecione "Hardware Wallet" de um Next e na próxima janela em "What do you want to do ?" escolha "Restore Electrum wallet from device seed words" e em "Select the type of hardware wallet" escolha "Ledger wallet" de um Next e agora insira a sua frase secreta (ou frase mnemônica) e de um Next (se o Next ficar apagado, é por que tem algo errado), na próxima janela ele ira perguntar da senha da sua frase secreta, normalmente não tem (se você usa por exemplo o Copay e escolheu a opção de chave secreta com senha, insira agora) e você deve deixar tudo em branco, de um Next e agora sim, defina a senha de acesso do Electrum (que você vai usar para assinar uma transação, ver a chave privada etc). Pronto, se tudo estiver certo depois de calcular a sua chave, você verá que todas os seus endereços estão disponíveis no Electrum, assim como as transações e o seus fundos.

Aparentemente o pulo do gato é usar o suporte do Electrum com o "Ledger", que é o mesmo usado por todos esses outros serviços citados que também usam o algorítimo BIP44.

Mas apesar de tudo, eu ainda prefiro usar a chave secreta criada pelo blockchain.info, pois agora é possível importar tanto no Mycelium como diretamente no Electrum, sem precisar extrair a xpriv.