Polishing

3 files changed, 167 insertions, 81 deletions

diff --git a/cool.html b/cool.html
index f617e1c..3d6b116 100644
--- a/cool.html
+++ b/cool.html
@@ -61,7 +61,7 @@ básicos da internet:</p>
   <li>SSL: <a href="https://links.sarava.org/tags/ssl">Várias brechas</a></li>
 </ul>
 
-<p>Estamos falando de falhas de especificação e não de implementação ou DoS, o que é muito
+<p>Estamos falando principalmente de falhas de especificação e não de implementação ou DoS, o que é muito
 mais difícil de mitigar.</p>
 
 
@@ -89,7 +89,7 @@ mais difícil de mitigar.</p>
 </div>
 <div class='slide '>
 <h1 id="ssl">SSL</h1><ul>
-  <li>HSTS</li>
+  <li>HTTP Strict Transport Security - HSTS</li>
   <li>CipherSuite e Perfect Forward Secrecy</li>
   <li>Revogação (CRS / OCSP)</li>
   <li>Autoridades Certificadoras (CAs)</li>
@@ -99,6 +99,7 @@ mais difícil de mitigar.</p>
       <li><a href="http://www.win.tue.nl/hashclash/rogue-ca/">Hashclash (MD5)</a></li>
       <li><a href="https://wiki.koumbit.net/BeastSecurityAssessment">BEAST</a></li>
       <li><a href="https://code.google.com/p/littleblackbox/">LittleBlackBox</a>: chaves padrões em dispositivos embarcados!</li>
+      <li><a href="http://www.thoughtcrime.org/software/sslsniff">sslsnif</a></li>
     </ul>
   </li>
 </ul>
@@ -138,7 +139,7 @@ são considerados como autoassinados.</p>
 <ul>
   <li>Exemplo: o caso do http://www.cacert.org, uma CA Comunitária</li>
   <li>Mozilla: https://www.mozilla.org/projects/security/certs/included/</li>
-  <li>ICP-Brasil: http://www.iti.gov.br/twiki/bin/view/Certificacao/WebHome</li>
+  <li>ICP-Brasil: http://www.iti.gov.br</li>
 </ul>
 
 
@@ -149,7 +150,7 @@ são considerados como autoassinados.</p>
   <li>Opera - http://www.opera.com/docs/ca/</li>
   <li>M$ - http://technet.microsoft.com/en-us/library/cc751157.aspx (desatualizado)</li>
   <li>Safari - https://www.apple.com/certificateauthority/ca_program.html</li>
-  <li>Google - ?</li>
+  <li>Chromiun - <a href="http://code.google.com/p/chromium/wiki/LinuxCertManagement">NSS</a> (GNU/Linux)</li>
 </ul>
 
 
@@ -180,19 +181,29 @@ são considerados como autoassinados.</p>
 
 </div>
 <div class='slide '>
-<h1 id="situao-atual">Situação atual</h1><ul>
+<h1 id="situao-atual">Situação atual</h1><pre><code>The authenticity of host 'foo.example.org (192.0.2.3)' can't be established.
+RSA key fingerprint is 17:f4:2b:22:90:d4:98:9a:a2:c5:95:4e:4a:89:be:90.
+Are you sure you want to continue connecting (yes/no)?
+</code></pre>
+
+<ul>
   <li>Vocês checam seus fingerprints (OpenPGP, SSH e OpenSSL)?</li>
-  <li><a href="http://www.thoughtcrime.org/software/sslsniff">sslsnif</a></li>
   <li>Maus hábitos de sysadmins geram falsa sensação de segurança</li>
-  <li>Bypass da tela de &ldquo;conexão não-confiável&rdquo;</li>
+  <li>Usabilidade: Bypass da tela de &ldquo;conexão não-confiável&rdquo;</li>
 </ul>
 
 
 </div>
 <div class='slide '>
-<h1 id="casos-reais">Casos reais</h1><p>&ldquo;Crime maior do que roubar uma CA é fundar uma CA&rdquo; - Bertold Brecha</p>
+<h1 id="evidncias-de-cooperao">Evidências de cooperação</h1><ul>
+  <li><a href="http://web.monkeysphere.info/news/CA_Cooperation_with_Governments/">Certified Lies: Detecting and Defeating Government Interception Attacks Against SSL</a>: <em>evidence that CAs may be cooperating with government agencies to help them spy undetected on &ldquo;secure&rdquo; encrypted communications</em></li>
+  <li><a href="https://www.schneier.com/blog/archives/2010/04/man-in-the-midd_2.html">Man-in-the-Middle Attacks Against SSL</a>: <em>a new attack, the compelled certificate creation attack, in which government agencies compel a certificate authority to issue false SSL certificates that are then used by intelligence agencies to covertly intercept and hijack individuals&rsquo; secure Web-based communications.</em></li>
+</ul>
 
-<ul>
+
+</div>
+<div class='slide '>
+<h1 id="casos-reais">Casos reais</h1><ul>
   <li><a href="http://it.slashdot.org/story/08/12/23/0046258">Comodogate</a>: mail.google.com, addons.mozilla.org, login.skype.com, etc.</li>
   <li><a href="http://www.f-secure.com/weblog/archives/00002228.html">DigiNotar</a>: certificados falsos da CIA, MI6 e Mossad (<a href="http://www.networking4all.com/en/ssl+certificates/ssl+news/time-line+for+the+diginotar+hack/">timeline</a>).</li>
   <li><a href="https://www.eff.org/observatory">The EFF SSL Observatory</a> (<a href="http://events.ccc.de/congress/2010/Fahrplan/events/4121.en.html">27c3</a>)</li>
@@ -249,7 +260,7 @@ são considerados como autoassinados.</p>
 </div>
 <div class='slide '>
 <h1 id="mas-o-quanto-disso--factvel">Mas o quanto disso é factível?</h1><ul>
-  <li>Oriente médio: &hellip;</li>
+  <li>Oriente médio: <a href="http://www.slate.com/articles/technology/webhead/2010/08/the_internets_secret_back_door.html">The Internet&rsquo;s Secret Back Door: Web users in the United Arab Emirates have more to worry about than having just their BlackBerries cracked</a></li>
   <li>EUA: <a href="https://en.wikipedia.org/wiki/NSA_warrantless_surveillance_controversy / https://en.wikipedia.org/wiki/Hepting_v._AT%26T">NSA warrantless surveillance controversy</a></li>
   <li>Brasil: <a href="http://www.securelist.com/en/blog/208193214/Massive_DNS_poisoning_attacks_in_Brazil">Massive DNS poisoning attacks in Brazil</a></li>
 </ul>
@@ -263,7 +274,8 @@ apenas a capacidade do atacante.</p>
 <h1 id="mitigao">Mitigação</h1><p>Recentemente foram propostas várias formas de mitigação:</p>
 
 <ul>
-  <li><a href="https://addons.mozilla.org/pt-BR/firefox/addon/certificate-patrol/?src=search">Certificate Patrol</a>: muito útil porém sofre to problema de &ldquo;bootstrapping&rdquo;.</li>
+  <li><a href="https://addons.mozilla.org/pt-BR/firefox/addon/certificate-patrol/?src=search">Certificate Patrol</a>: muito útil porém sofre to problema de &ldquo;bootstrapping&rdquo;/secure introduction (Trust On First Use/Persistence of Pseudonym - TOFU/POP).</li>
+  <li><a href="https://code.google.com/p/certlock/">Certlock</a></li>
   <li>IETF:
     <ul>
       <li><a href="https://www.ietf.org/id/draft-evans-palmer-key-pinning-00.txt">Public Key Pinning Extension for HTTP</a>: também sofre do &ldquo;problema de bootstrapping&rdquo;.</li>
@@ -291,17 +303,12 @@ de CAs pode ser <em>plugável.</em></p>
 
 </div>
 <div class='slide '>
-<h1 id="convergence">Convergence</h1><ul>
-  <li>http://convergence.io</li>
-  <li><a href="http://convergence.io/releases/firefox/convergence-current.application=x-xpinstall">Add-on para firefox</a></li>
+<h1 id="httpconvergenceio">http://convergence.io</h1><ul>
+  <li><a href="http://convergence.io/releases/firefox/convergence-current.application=x-xpinstall">Add-on para firefox</a> + daemon</li>
   <li>Precedido pelo Perspectives (http://perspectives-project.org)</li>
-  <li>&ldquo;Trust agility&rdquo;</li>
-  <li>Problemas:
-    <ul>
-      <li>Se o MITM estiver exatamente no provedor upstream, o Convergence pode não perceber.</li>
-      <li>Mudanças de chaves.</li>
-    </ul>
-  </li>
+  <li>&ldquo;Trust agility&rdquo;: usuário/a escolhe em quem confiar e por quanto tempo</li>
+  <li>Sistema notarial distribuído e robusto</li>
+  <li>Anônimo e com boa usabilidade</li>
 </ul>
 
 
@@ -347,9 +354,17 @@ de CAs pode ser <em>plugável.</em></p>
 
 </div>
 <div class='slide '>
-<h1 id="monkeysphere">Monkeysphere</h1><ul>
-  <li>http://web.monkeysphere.info</li>
-  <li><a href="https://addons.mozilla.org/pt-BR/firefox/addon/monkeysphere/?src=search">Add-on pra firefox</a></li>
+<h1 id="convergence-problemas">Convergence: Problemas</h1><ul>
+  <li>Se o MITM estiver exatamente no provedor upstream, o Convergence pode não perceber.</li>
+  <li>Mudanças de chaves.</li>
+  <li>The Citibank Problem</li>
+</ul>
+
+
+</div>
+<div class='slide '>
+<h1 id="httpwebmonkeysphereinfo">http://web.monkeysphere.info</h1><ul>
+  <li><a href="https://addons.mozilla.org/pt-BR/firefox/addon/monkeysphere/?src=search">Add-on pra firefox</a> + agent</li>
   <li>Atrela a autenticação à identificações pessoais pela Web Of Trust</li>
   <li>Também provê autorização</li>
 </ul>
@@ -357,10 +372,12 @@ de CAs pode ser <em>plugável.</em></p>
 
 </div>
 <div class='slide '>
-<h1 id="i---estabelecimento-de-confiana-entre-pessoas">I - Estabelecimento de confiança entre pessoas</h1><pre><code> ________       ________
+<h1 id="i---estabelecimento-de-confiana-entre-pessoas">I - Estabelecimento de confiança entre pessoas</h1><p>Usuários e/ou admins trocam seus fingerprints OpenPGP.</p>
+
+<pre><code> ________       ________
 |        |--&gt;--|        |
 | Admin  |     |  User  |
-|________|--&gt;--|________|
+|________|--&lt;--|________|
 </code></pre>
 
 
@@ -398,10 +415,20 @@ de CAs pode ser <em>plugável.</em></p>
 
 </div>
 <div class='slide '>
+<h1 id="web-of-trust">Web of Trust</h1><ul>
+  <li>Identificação.</li>
+  <li>Confiabilidade.</li>
+  <li>Mesmo que um usuário não tenha identificado um admin que assinou a chave de um servidor,
+confiabilidade ainda pode ser estabelecida por meios indiretos.</li>
+</ul>
+
+
+</div>
+<div class='slide '>
 <h1 id="integrao">Integração</h1><ul>
   <li>O Monkeysphere ainda é muito geeky porém oferece um nível de segurança muito mais alto
 para a verificação de certificados; o código está maduro porém é preciso muito mais desenvolvimento
-de UI e usabilidade.</li>
+de UI e usabilidade, além de depender de uma grande WoT para ser eficaz.</li>
   <li>O Convergence pode utilizar como backend o Monkeysphere, o que pode reduzir o problema do MITM
 upstream.</li>
 </ul>
@@ -436,7 +463,10 @@ em dizer que o problema são as &ldquo;maçãs podres&rdquo; ou o excesso de CAs
 
 </div>
 <div class='slide '>
-<h1 id="perguntas">Perguntas?</h1></div>
+<h1 id="perguntas">Perguntas?</h1><pre><code>:)
+</code></pre>
+
+</div>
 

 

 </div><!-- presentation -->

diff --git a/cool.mdwn b/cool.mdwn
index 006003f..1e7303b 100644
--- a/cool.mdwn
+++ b/cool.mdwn
@@ -38,7 +38,7 @@ básicos da internet:
 - BGP: [The Internet’s Biggest Security Hole](http://www.wired.com/threatlevel/2008/08/how-to-intercep/)
 - SSL: [Várias brechas](https://links.sarava.org/tags/ssl)
 
-Estamos falando de falhas de especificação e não de implementação ou DoS, o que é muito
+Estamos falando principalmente de falhas de especificação e não de implementação ou DoS, o que é muito
 mais difícil de mitigar.
 
 SSL: Breve histórico
@@ -61,7 +61,7 @@ No [caso do SSL/TLS](https://techmeet.sarava.org/uploads/Agenda/SSL_For_Activist
 SSL
 ===
 
-- HSTS
+- HTTP Strict Transport Security - HSTS
 - CipherSuite e Perfect Forward Secrecy
 - Revogação (CRS / OCSP)
 - Autoridades Certificadoras (CAs)
@@ -70,6 +70,7 @@ SSL
   - [Hashclash (MD5)](http://www.win.tue.nl/hashclash/rogue-ca/)
   - [BEAST](https://wiki.koumbit.net/BeastSecurityAssessment)
   - [LittleBlackBox](https://code.google.com/p/littleblackbox/): chaves padrões em dispositivos embarcados!
+  - [sslsnif](http://www.thoughtcrime.org/software/sslsniff)
 
 Autoridades certificadoras
 ==========================
@@ -79,7 +80,6 @@ Autoridades certificadoras
 - 2010: Verisign: operação de CA vendida por US$1.28 bi para a Symantec
 - "Two big to fail"
 
-
 Netcraft (2009)
 ===============
 
@@ -102,7 +102,7 @@ são considerados como autoassinados.
 
 - Exemplo: o caso do http://www.cacert.org, uma CA Comunitária
 - Mozilla: https://www.mozilla.org/projects/security/certs/included/
-- ICP-Brasil: http://www.iti.gov.br/twiki/bin/view/Certificacao/WebHome
+- ICP-Brasil: http://www.iti.gov.br
 
 CA: Procedimentos
 =================
@@ -111,7 +111,7 @@ CA: Procedimentos
 - Opera - http://www.opera.com/docs/ca/
 - M$ - http://technet.microsoft.com/en-us/library/cc751157.aspx (desatualizado)
 - Safari - https://www.apple.com/certificateauthority/ca_program.html
-- Google - ?
+- Chromiun - [NSS](http://code.google.com/p/chromium/wiki/LinuxCertManagement) (GNU/Linux)
 
 CA: Em geral
 ============
@@ -139,15 +139,24 @@ Obtenção de um certificado assinado
 Situação atual
 ==============
 
+    The authenticity of host 'foo.example.org (192.0.2.3)' can't be established.
+    RSA key fingerprint is 17:f4:2b:22:90:d4:98:9a:a2:c5:95:4e:4a:89:be:90.
+    Are you sure you want to continue connecting (yes/no)?
+
 - Vocês checam seus fingerprints (OpenPGP, SSH e OpenSSL)?
-- [sslsnif](http://www.thoughtcrime.org/software/sslsniff)
 - Maus hábitos de sysadmins geram falsa sensação de segurança
-- Bypass da tela de "conexão não-confiável"
+- Usabilidade: Bypass da tela de "conexão não-confiável"
+
+Evidências de cooperação
+========================
+
+  - [Certified Lies: Detecting and Defeating Government Interception Attacks Against SSL](http://web.monkeysphere.info/news/CA_Cooperation_with_Governments/): _evidence that CAs may be cooperating with government agencies to help them spy undetected on "secure" encrypted communications_
+  - [Man-in-the-Middle Attacks Against SSL](https://www.schneier.com/blog/archives/2010/04/man-in-the-midd_2.html): _a new attack, the compelled certificate creation attack, in which government agencies compel a certificate authority to issue false SSL certificates that are then used by intelligence agencies to covertly intercept and hijack individuals' secure Web-based communications._
 
 Casos reais
 ===========
 
-"Crime maior do que roubar uma CA é fundar uma CA" - Bertold Brecha
+% "Crime maior do que roubar uma CA é fundar uma CA" - Bertold Brecha
 
 - [Comodogate](http://it.slashdot.org/story/08/12/23/0046258): mail.google.com, addons.mozilla.org, login.skype.com, etc.
 - [DigiNotar](http://www.f-secure.com/weblog/archives/00002228.html): certificados falsos da CIA, MI6 e Mossad ([timeline](http://www.networking4all.com/en/ssl+certificates/ssl+news/time-line+for+the+diginotar+hack/)).
@@ -164,7 +173,6 @@ O que é preciso para interceptar conexão SSL?
    - Redirecionamento de tráfego via BGP.
    - Acesso físico à rede.
 
-
 Conexão SSL
 ============
 
@@ -198,7 +206,7 @@ MITM
 Mas o quanto disso é factível?
 ==============================
 
-- Oriente médio: ...
+- Oriente médio: [The Internet's Secret Back Door: Web users in the United Arab Emirates have more to worry about than having just their BlackBerries cracked](http://www.slate.com/articles/technology/webhead/2010/08/the_internets_secret_back_door.html)
 - EUA: [NSA warrantless surveillance controversy](https://en.wikipedia.org/wiki/NSA_warrantless_surveillance_controversy / https://en.wikipedia.org/wiki/Hepting_v._AT%26T)
 - Brasil: [Massive DNS poisoning attacks in Brazil](http://www.securelist.com/en/blog/208193214/Massive_DNS_poisoning_attacks_in_Brazil)
 
@@ -210,7 +218,8 @@ Mitigação
 
 Recentemente foram propostas várias formas de mitigação:
 
-- [Certificate Patrol](https://addons.mozilla.org/pt-BR/firefox/addon/certificate-patrol/?src=search): muito útil porém sofre to problema de "bootstrapping".
+- [Certificate Patrol](https://addons.mozilla.org/pt-BR/firefox/addon/certificate-patrol/?src=search): muito útil porém sofre to problema de "bootstrapping"/secure introduction (Trust On First Use/Persistence of Pseudonym - TOFU/POP).
+- [Certlock](https://code.google.com/p/certlock/)
 - IETF:
   - [Public Key Pinning Extension for HTTP](https://www.ietf.org/id/draft-evans-palmer-key-pinning-00.txt): também sofre do "problema de bootstrapping".
   - [DNSSEC/DANE](http://tools.ietf.org/html/draft-ietf-dane-protocol-12): aumenta ainda mais a centralidade do DNS e apenas muda o problema de lugar.
@@ -228,16 +237,14 @@ A grande questão é: abandonar o SSL hoje é uma opção que não depende apena
 é importante considerar que _o modelo atual de certificação não é mandatório._ Ao invés disso, o modelo
 de CAs pode ser _plugável._
 
-Convergence
-===========
+http://convergence.io
+=====================
 
-- http://convergence.io
-- [Add-on para firefox](http://convergence.io/releases/firefox/convergence-current.application=x-xpinstall)
+- [Add-on para firefox](http://convergence.io/releases/firefox/convergence-current.application=x-xpinstall) + daemon
 - Precedido pelo Perspectives (http://perspectives-project.org)
-- "Trust agility"
-- Problemas:
-  - Se o MITM estiver exatamente no provedor upstream, o Convergence pode não perceber.
-  - Mudanças de chaves.
+- "Trust agility": usuário/a escolhe em quem confiar e por quanto tempo
+- Sistema notarial distribuído e robusto
+- Anônimo e com boa usabilidade
 
 Funcionamento
 =============
@@ -278,21 +285,29 @@ Bundles
       |_________|------>----------|__________|
                        
 
-Monkeysphere
-============
+Convergence: Problemas
+======================
 
-- http://web.monkeysphere.info
-- [Add-on pra firefox](https://addons.mozilla.org/pt-BR/firefox/addon/monkeysphere/?src=search)
+  - Se o MITM estiver exatamente no provedor upstream, o Convergence pode não perceber.
+  - Mudanças de chaves.
+  - The Citibank Problem
+
+http://web.monkeysphere.info
+============================
+
+- [Add-on pra firefox](https://addons.mozilla.org/pt-BR/firefox/addon/monkeysphere/?src=search) + agent
 - Atrela a autenticação à identificações pessoais pela Web Of Trust
 - Também provê autorização
 
 I - Estabelecimento de confiança entre pessoas
 ==============================================
 
+Usuários e/ou admins trocam seus fingerprints OpenPGP.
+
      ________       ________
     |        |-->--|        |
     | Admin  |     |  User  |
-    |________|-->--|________|
+    |________|--<--|________|
 
 
 II - Assinatura de chave do servidor
@@ -325,12 +340,20 @@ III - Conexão SSL
     |_________|------>-------|__________|
                      1  
 
+Web of Trust
+============
+
+  - Identificação.
+  - Confiabilidade.
+  - Mesmo que um usuário não tenha identificado um admin que assinou a chave de um servidor,
+    confiabilidade ainda pode ser estabelecida por meios indiretos.
+
 Integração
 ==========
 
 - O Monkeysphere ainda é muito geeky porém oferece um nível de segurança muito mais alto
   para a verificação de certificados; o código está maduro porém é preciso muito mais desenvolvimento
-  de UI e usabilidade.
+  de UI e usabilidade, além de depender de uma grande WoT para ser eficaz.
 - O Convergence pode utilizar como backend o Monkeysphere, o que pode reduzir o problema do MITM
   upstream.
 
@@ -354,3 +377,6 @@ Demonstrações
 
 Perguntas?
 =========
+
+    :)
+
diff --git a/cool.pdf.html b/cool.pdf.html
index 4631dd7..39e87d7 100644
--- a/cool.pdf.html
+++ b/cool.pdf.html
@@ -87,7 +87,7 @@ básicos da internet:</p>
   <li>SSL: <a href="https://links.sarava.org/tags/ssl">Várias brechas</a></li>
 </ul>
 
-<p>Estamos falando de falhas de especificação e não de implementação ou DoS, o que é muito
+<p>Estamos falando principalmente de falhas de especificação e não de implementação ou DoS, o que é muito
 mais difícil de mitigar.</p>
 
 
@@ -115,7 +115,7 @@ mais difícil de mitigar.</p>
 </div>
 <div class='slide '>
 <h1 id="ssl">SSL</h1><ul>
-  <li>HSTS</li>
+  <li>HTTP Strict Transport Security - HSTS</li>
   <li>CipherSuite e Perfect Forward Secrecy</li>
   <li>Revogação (CRS / OCSP)</li>
   <li>Autoridades Certificadoras (CAs)</li>
@@ -125,6 +125,7 @@ mais difícil de mitigar.</p>
       <li><a href="http://www.win.tue.nl/hashclash/rogue-ca/">Hashclash (MD5)</a></li>
       <li><a href="https://wiki.koumbit.net/BeastSecurityAssessment">BEAST</a></li>
       <li><a href="https://code.google.com/p/littleblackbox/">LittleBlackBox</a>: chaves padrões em dispositivos embarcados!</li>
+      <li><a href="http://www.thoughtcrime.org/software/sslsniff">sslsnif</a></li>
     </ul>
   </li>
 </ul>
@@ -164,7 +165,7 @@ são considerados como autoassinados.</p>
 <ul>
   <li>Exemplo: o caso do http://www.cacert.org, uma CA Comunitária</li>
   <li>Mozilla: https://www.mozilla.org/projects/security/certs/included/</li>
-  <li>ICP-Brasil: http://www.iti.gov.br/twiki/bin/view/Certificacao/WebHome</li>
+  <li>ICP-Brasil: http://www.iti.gov.br</li>
 </ul>
 
 
@@ -175,7 +176,7 @@ são considerados como autoassinados.</p>
   <li>Opera - http://www.opera.com/docs/ca/</li>
   <li>M$ - http://technet.microsoft.com/en-us/library/cc751157.aspx (desatualizado)</li>
   <li>Safari - https://www.apple.com/certificateauthority/ca_program.html</li>
-  <li>Google - ?</li>
+  <li>Chromiun - <a href="http://code.google.com/p/chromium/wiki/LinuxCertManagement">NSS</a> (GNU/Linux)</li>
 </ul>
 
 
@@ -206,19 +207,29 @@ são considerados como autoassinados.</p>
 
 </div>
 <div class='slide '>
-<h1 id="situao-atual">Situação atual</h1><ul>
+<h1 id="situao-atual">Situação atual</h1><pre><code>The authenticity of host 'foo.example.org (192.0.2.3)' can't be established.
+RSA key fingerprint is 17:f4:2b:22:90:d4:98:9a:a2:c5:95:4e:4a:89:be:90.
+Are you sure you want to continue connecting (yes/no)?
+</code></pre>
+
+<ul>
   <li>Vocês checam seus fingerprints (OpenPGP, SSH e OpenSSL)?</li>
-  <li><a href="http://www.thoughtcrime.org/software/sslsniff">sslsnif</a></li>
   <li>Maus hábitos de sysadmins geram falsa sensação de segurança</li>
-  <li>Bypass da tela de &ldquo;conexão não-confiável&rdquo;</li>
+  <li>Usabilidade: Bypass da tela de &ldquo;conexão não-confiável&rdquo;</li>
 </ul>
 
 
 </div>
 <div class='slide '>
-<h1 id="casos-reais">Casos reais</h1><p>&ldquo;Crime maior do que roubar uma CA é fundar uma CA&rdquo; - Bertold Brecha</p>
+<h1 id="evidncias-de-cooperao">Evidências de cooperação</h1><ul>
+  <li><a href="http://web.monkeysphere.info/news/CA_Cooperation_with_Governments/">Certified Lies: Detecting and Defeating Government Interception Attacks Against SSL</a>: <em>evidence that CAs may be cooperating with government agencies to help them spy undetected on &ldquo;secure&rdquo; encrypted communications</em></li>
+  <li><a href="https://www.schneier.com/blog/archives/2010/04/man-in-the-midd_2.html">Man-in-the-Middle Attacks Against SSL</a>: <em>a new attack, the compelled certificate creation attack, in which government agencies compel a certificate authority to issue false SSL certificates that are then used by intelligence agencies to covertly intercept and hijack individuals&rsquo; secure Web-based communications.</em></li>
+</ul>
 
-<ul>
+
+</div>
+<div class='slide '>
+<h1 id="casos-reais">Casos reais</h1><ul>
   <li><a href="http://it.slashdot.org/story/08/12/23/0046258">Comodogate</a>: mail.google.com, addons.mozilla.org, login.skype.com, etc.</li>
   <li><a href="http://www.f-secure.com/weblog/archives/00002228.html">DigiNotar</a>: certificados falsos da CIA, MI6 e Mossad (<a href="http://www.networking4all.com/en/ssl+certificates/ssl+news/time-line+for+the+diginotar+hack/">timeline</a>).</li>
   <li><a href="https://www.eff.org/observatory">The EFF SSL Observatory</a> (<a href="http://events.ccc.de/congress/2010/Fahrplan/events/4121.en.html">27c3</a>)</li>
@@ -275,7 +286,7 @@ são considerados como autoassinados.</p>
 </div>
 <div class='slide '>
 <h1 id="mas-o-quanto-disso--factvel">Mas o quanto disso é factível?</h1><ul>
-  <li>Oriente médio: &hellip;</li>
+  <li>Oriente médio: <a href="http://www.slate.com/articles/technology/webhead/2010/08/the_internets_secret_back_door.html">The Internet&rsquo;s Secret Back Door: Web users in the United Arab Emirates have more to worry about than having just their BlackBerries cracked</a></li>
   <li>EUA: <a href="https://en.wikipedia.org/wiki/NSA_warrantless_surveillance_controversy / https://en.wikipedia.org/wiki/Hepting_v._AT%26T">NSA warrantless surveillance controversy</a></li>
   <li>Brasil: <a href="http://www.securelist.com/en/blog/208193214/Massive_DNS_poisoning_attacks_in_Brazil">Massive DNS poisoning attacks in Brazil</a></li>
 </ul>
@@ -289,7 +300,8 @@ apenas a capacidade do atacante.</p>
 <h1 id="mitigao">Mitigação</h1><p>Recentemente foram propostas várias formas de mitigação:</p>
 
 <ul>
-  <li><a href="https://addons.mozilla.org/pt-BR/firefox/addon/certificate-patrol/?src=search">Certificate Patrol</a>: muito útil porém sofre to problema de &ldquo;bootstrapping&rdquo;.</li>
+  <li><a href="https://addons.mozilla.org/pt-BR/firefox/addon/certificate-patrol/?src=search">Certificate Patrol</a>: muito útil porém sofre to problema de &ldquo;bootstrapping&rdquo;/secure introduction (Trust On First Use/Persistence of Pseudonym - TOFU/POP).</li>
+  <li><a href="https://code.google.com/p/certlock/">Certlock</a></li>
   <li>IETF:
     <ul>
       <li><a href="https://www.ietf.org/id/draft-evans-palmer-key-pinning-00.txt">Public Key Pinning Extension for HTTP</a>: também sofre do &ldquo;problema de bootstrapping&rdquo;.</li>
@@ -317,17 +329,12 @@ de CAs pode ser <em>plugável.</em></p>
 
 </div>
 <div class='slide '>
-<h1 id="convergence">Convergence</h1><ul>
-  <li>http://convergence.io</li>
-  <li><a href="http://convergence.io/releases/firefox/convergence-current.application=x-xpinstall">Add-on para firefox</a></li>
+<h1 id="httpconvergenceio">http://convergence.io</h1><ul>
+  <li><a href="http://convergence.io/releases/firefox/convergence-current.application=x-xpinstall">Add-on para firefox</a> + daemon</li>
   <li>Precedido pelo Perspectives (http://perspectives-project.org)</li>
-  <li>&ldquo;Trust agility&rdquo;</li>
-  <li>Problemas:
-    <ul>
-      <li>Se o MITM estiver exatamente no provedor upstream, o Convergence pode não perceber.</li>
-      <li>Mudanças de chaves.</li>
-    </ul>
-  </li>
+  <li>&ldquo;Trust agility&rdquo;: usuário/a escolhe em quem confiar e por quanto tempo</li>
+  <li>Sistema notarial distribuído e robusto</li>
+  <li>Anônimo e com boa usabilidade</li>
 </ul>
 
 
@@ -373,9 +380,17 @@ de CAs pode ser <em>plugável.</em></p>
 
 </div>
 <div class='slide '>
-<h1 id="monkeysphere">Monkeysphere</h1><ul>
-  <li>http://web.monkeysphere.info</li>
-  <li><a href="https://addons.mozilla.org/pt-BR/firefox/addon/monkeysphere/?src=search">Add-on pra firefox</a></li>
+<h1 id="convergence-problemas">Convergence: Problemas</h1><ul>
+  <li>Se o MITM estiver exatamente no provedor upstream, o Convergence pode não perceber.</li>
+  <li>Mudanças de chaves.</li>
+  <li>The Citibank Problem</li>
+</ul>
+
+
+</div>
+<div class='slide '>
+<h1 id="httpwebmonkeysphereinfo">http://web.monkeysphere.info</h1><ul>
+  <li><a href="https://addons.mozilla.org/pt-BR/firefox/addon/monkeysphere/?src=search">Add-on pra firefox</a> + agent</li>
   <li>Atrela a autenticação à identificações pessoais pela Web Of Trust</li>
   <li>Também provê autorização</li>
 </ul>
@@ -383,10 +398,12 @@ de CAs pode ser <em>plugável.</em></p>
 
 </div>
 <div class='slide '>
-<h1 id="i---estabelecimento-de-confiana-entre-pessoas">I - Estabelecimento de confiança entre pessoas</h1><pre><code> ________       ________
+<h1 id="i---estabelecimento-de-confiana-entre-pessoas">I - Estabelecimento de confiança entre pessoas</h1><p>Usuários e/ou admins trocam seus fingerprints OpenPGP.</p>
+
+<pre><code> ________       ________
 |        |--&gt;--|        |
 | Admin  |     |  User  |
-|________|--&gt;--|________|
+|________|--&lt;--|________|
 </code></pre>
 
 
@@ -424,10 +441,20 @@ de CAs pode ser <em>plugável.</em></p>
 
 </div>
 <div class='slide '>
+<h1 id="web-of-trust">Web of Trust</h1><ul>
+  <li>Identificação.</li>
+  <li>Confiabilidade.</li>
+  <li>Mesmo que um usuário não tenha identificado um admin que assinou a chave de um servidor,
+confiabilidade ainda pode ser estabelecida por meios indiretos.</li>
+</ul>
+
+
+</div>
+<div class='slide '>
 <h1 id="integrao">Integração</h1><ul>
   <li>O Monkeysphere ainda é muito geeky porém oferece um nível de segurança muito mais alto
 para a verificação de certificados; o código está maduro porém é preciso muito mais desenvolvimento
-de UI e usabilidade.</li>
+de UI e usabilidade, além de depender de uma grande WoT para ser eficaz.</li>
   <li>O Convergence pode utilizar como backend o Monkeysphere, o que pode reduzir o problema do MITM
 upstream.</li>
 </ul>
@@ -462,7 +489,10 @@ em dizer que o problema são as &ldquo;maçãs podres&rdquo; ou o excesso de CAs
 
 </div>
 <div class='slide '>
-<h1 id="perguntas">Perguntas?</h1></div>
+<h1 id="perguntas">Perguntas?</h1><pre><code>:)
+</code></pre>
+
+</div>
 
 
   </div> <!-- presentation -->