Capítulo 3

Prévia do material em texto

Capítulo 3: Proteção de seus dados e privacidade
Este capítulo é voltado para seus dispositivos e dados pessoais. Ele inclui dicas para proteger dispositivos, criar senhas fortes e usar redes sem fio com segurança. Também aborda a manutenção segura dos dados.
Seus dados on-line valem algo para criminosos virtuais. Este capítulo aborda brevemente as técnicas de autenticação que podem ajudá-lo a manter seus dados de forma segura. Abrange também maneiras de aumentar a segurança dos dados on-line, com dicas sobre o que fazer e o que não fazer on-line.
Proteger os dispositivos de computação
Os dispositivos de computação armazenam seus dados e são o portal para a sua vida on-line. Abaixo está uma pequena lista de etapas que você pode executar para proteger os dispositivos de computação contra invasão:
· Mantenha o firewall ativado – seja um software de firewall ou um firewall de hardware em um roteador, ele deve estar ativado e atualizado para impedir que hackers acessem dados pessoais ou da empresa. Clique Windows 7 e 8,1. ou Windows 10 para ativar o firewall na respectiva versão do Windows. Clique aqui para ativar o firewall em dispositivos Mac OS X.
· Use o antivírus e antispyware – software mal-intencionado, como vírus, cavalos de Troia, worms, ransomware e spyware, é instalado nos dispositivos de computação sem a sua permissão, a fim de obter acesso ao computador e aos dados. Os vírus podem destruir seus dados, deixar o computador lento ou assumir seu computador. O vírus pode assumir o computador ao permitir que os spammers enviem e-mails usando sua conta. O spyware pode monitorar suas atividades on-line, coletar informações pessoais ou produzir anúncios pop-up indesejados no navegador da Web, enquanto você estiver on-line. Uma regra adequada é baixar o software apenas de sites confiáveis, principalmente para evitar o spyware. O software antivírus é projetado para verificar o computador e o e-mail recebido à procura de vírus e excluí-los. Às vezes, o software antivírus também inclui antispyware. Mantenha seu software atualizado para proteger o computador contra os mais recentes softwares mal-intencionados.
· Gerencie o sistema operacional e o navegador – os hackers estão sempre tentando utilizar vulnerabilidades em sistemas operacionais e navegadores da Web. Para proteger o computador e os dados, defina as configurações de segurança no computador e navegador como intermediárias ou altas. Atualize o sistema operacional do computador, incluindo navegadores da Web e, regularmente, baixe e instale os patches de software mais recentes e atualizações de segurança dos fornecedores.
· Proteja todos os dispositivos – os dispositivos de computação, sejam computadores, notebooks, tablets ou smartphones, devem ser protegidos por senha para evitar acesso não autorizado. As informações armazenadas devem ser criptografadas, principalmente para dados confidenciais. Para dispositivos móveis, só armazene as informações necessárias, caso estes dispositivos sejam roubados ou extraviados quando você estiver longe de sua casa. Se qualquer um dos dispositivos estiver comprometido, os criminosos poderão ter acesso a todos os seus dados através do provedor de serviços de armazenamento em nuvem, como o iCloud ou Google Drive.
Os dispositivos de IoT apresentam um risco ainda maior do que seus outros dispositivos de computação. Enquanto desktop, notebook e plataformas móveis recebem atualizações de software frequentes, a maioria dos dispositivos de IoT ainda mantêm o firmware original. Se vulnerabilidades forem encontradas no firmware, o dispositivo de IoT provavelmente permanecerá vulnerável. Para piorar o problema, os dispositivos de IoT muitas vezes são projetados para ligar para casa e precisam de acesso à Internet. Para acessar a Internet, a maioria dos fabricantes de dispositivos de IoT depende da rede local do cliente. O resultado é que os dispositivos de IoT provavelmente estão incluídos e, quando isso acontece, permitem acesso à rede local e aos dados do cliente. A melhor maneira de se proteger neste cenário é fazer com que os dispositivos de IoT usem uma rede isolada, compartilhando-a somente com outros dispositivos de IoT.
Clique aqui para acessar Shodan, um scanner de dispositivo de IoT baseado na Web.
Usar redes sem fio com segurança
Redes sem fio permitem que dispositivos habilitados com WiFi, como notebooks e tablets, se conectem à rede através do identificador de rede, conhecido como Service Set Identifier (SSID). Para impedir que invasores entrem na rede sem fio residencial, deve-se alterar a senha padrão do SSID para acesso administrativo através do navegador. Os hackers têm conhecimento a respeito deste tipo de informação de acesso padrão. Opcionalmente, o roteador sem fio também pode ser configurado para não transmitir o SSID, que adiciona uma barreira adicional à descoberta de rede. No entanto, isto não deve ser considerado uma segurança adequada para rede sem fio. Além disso, você deve criptografar a comunicação sem fio ao permitir a segurança sem fio e o atributo de criptografia WPA2 no roteador sem fio. Mesmo com a criptografia WPA2 habilitada, a rede sem fio ainda pode estar vulnerável.
Em outubro de 2017, foi descoberta uma falha de segurança no protocolo WPA2. Essa falha permite a um invasor quebrar a criptografia entre o roteador sem fio e o cliente sem fio, além de acessar e manipular o tráfego de rede. Esta vulnerabilidade pode ser explorada usando Key Reinstallation Attacks (KRACK). Ela afeta todas as redes WiFi modernas e protegidas. Para mitigar um invasor, um usuário deve atualizar todos os produtos afetados: roteadores sem fio e qualquer dispositivo com capacidade para rede sem fio, como notebooks e dispositivos móveis, assim que as atualizações de segurança forem disponibilizadas. Em notebooks ou outros dispositivos que têm placa de rede com fio, uma conexão com fio pode mitigar essa vulnerabilidade. Além disso, você também pode usar um serviço VPN confiável para impedir o acesso não autorizado aos seus dados enquanto estiver usando a rede sem fio.
Clique aqui para saber mais sobre o KRACK.
Quando você estiver longe de casa, um ponto de acesso de WiFi público permite acessar as informações on-line e navegar na Internet. No entanto, é melhor não acessar ou enviar informações pessoais e confidenciais em uma rede sem fio pública. Verifique se o computador está configurado com o compartilhamento de arquivos e mídia e se ele requer autenticação de usuário com criptografia. Para impedir que alguém intercepte as informações (conhecidas como "espionagem") enquanto estiver usando uma rede sem fio pública, utilize serviços e túneis VPN criptografados. O serviço VPN fornece acesso seguro à Internet, com uma conexão criptografada entre o computador e o servidor VPN do provedor de serviços VPN. Com um túnel VPN criptografado, mesmo se for interceptada uma transmissão de dados, ela não será decifrável.
Clique aqui para saber mais sobre como se proteger ao utilizar redes sem fio.
Muitos dispositivos móveis, como smartphones e tablets, vêm com o protocolo sem fio Bluetooth. Esse recurso permite que dispositivos habilitados para Bluetooth conectem-se entre si e compartilhem informações. Infelizmente, o Bluetooth pode ser explorado por hackers para bisbilhotar alguns dispositivos, estabelecer controles de acesso remoto, distribuir malware e drenar as baterias. Para evitar esses problemas, mantenha o Bluetooth desligado quando você não estiver usando.
Use senhas exclusivas para cada conta on-line
Você provavelmente tem mais de uma conta on-line, e cada conta deve ter uma única senha. São muitas senhas para lembrar. No entanto, não usar senhas fortes e exclusivas faz com que você e seus dados fiquem vulneráveis aos criminosos virtuais. Usar a mesma senha para todas as contas on-line é como usar a mesma chave para todas as portas trancadas; caso um invasor pegue sua chave, ele pode acessar tudo o que você possui. Se os criminosos pegarem sua senha através de phishing, por exemplo, eles tentarão entrar em suasoutras contas on-line. Se você usar apenas uma senha para todas as contas, eles poderão entrar em todas as suas contas, roubar ou apagar todos os dados ou se passar por você.
Nós usamos tantas contas on-line que precisam de senhas que torna-se impossível lembrar. Uma solução para evitar a reutilização de senhas ou usar senhas fracas é um gerenciador de senhas. Um gerenciador de senhas armazena e criptografa todas as suas senhas diferentes e complexas. O gerenciador então pode ajudá-lo a entrar em suas contas on-line automaticamente. Você só precisa lembrar de sua senha mestra para acessar o gerenciador de senhas e gerenciar todas as contas e senhas.
Dicas para escolher uma boa senha:
· Não use palavras do dicionário ou nomes em qualquer idioma
· Não use erros ortográficos comuns de palavras do dicionário
· Não use nomes de computador ou de contas
· Se possível use caracteres especiais, como ! @ # $ % ^ & * ( )
· Use uma senha com 10 ou mais caracteres
Use a frase secreta, em vez de uma senha
Para evitar o acesso físico não autorizado aos seus dispositivos de computação, use frases secretas em vez de senhas. É mais fácil criar uma frase secreta longa do que uma senha, porque geralmente está na forma de uma sentença em vez de uma palavra. O comprimento mais longo torna a frase secreta menos vulnerável a ataques de dicionário ou força bruta. Além disso, uma frase secreta talvez seja mais fácil de lembrar principalmente se você precisar alterar a senha com frequência. Aqui estão algumas dicas na escolha de boas senhas ou frases secretas:
Dicas para escolher uma boa senha:
· Escolha uma frase significativa para você
· Adicione caracteres especiais, como ! @ # $ % ^ & * ( )
· Quanto maior melhor
· Evite frases comuns ou famosas, como a letra de uma música famosa
Recentemente, o Instituto Nacional de Padrões e Tecnologia (NIST) dos Estados Unidos publicou os requisitos de senha melhorada. Os padrões NIST são destinados à aplicação governamental, mas também podem servir como um padrão para os outros. As novas orientações visam fornecer uma melhor experiência de usuário e colocar o ônus da verificação do usuário nos fornecedores.
Resumo das novas orientações:
· No mínimo 8 caracteres e no máximo 64 caracteres
· Não use senhas comuns e fáceis de ser descobertas, como a senha abc123
· Não aplique regras de composição, como ter que incluir números e letras maiúsculas e minúsculas
· Melhore a precisão da digitação, permitindo que o usuário não veja a senha durante a digitação
· Todas as marcas de formatação e espaços são permitidos
· Não use dicas para senhas
· Não aplique expiração de senha periódica ou arbitrária
· Nenhuma autenticação baseada em conhecimento, como informações de perguntas secretas compartilhadas, dados comerciais e histórico de transações
Clique aqui para saber mais sobre o requisito de senha melhorada do NIST.
Mesmo com o acesso seguro aos computadores e dispositivos de rede, também é importante proteger e preservar os dados.
Criptografar seus dados
Seus dados sempre devem ser criptografados. Você pode pensar que não tem segredos e nada a esconder, então, por que usar criptografia? Pode achar que ninguém quer seus dados. Provavelmente, isto não é verdade.
Está pronto para mostrar todas as suas fotos e documentos para estranhos? Está pronto para compartilhar informações financeiras armazenadas em seu computador com os seus amigos? Você quer dar seus e-mails e senhas de conta para o público em geral?
Isso poderá ser ainda mais problemático se um aplicativo mal-intencionado infectar o computador ou dispositivo móvel e roubar informações valiosas, como números de conta e senhas e outros documentos oficiais. Esse tipo de informação pode levar ao roubo de identidade, fraude ou pedido de resgate. Os criminosos podem decidir simplesmente criptografar seus dados e torná-los inutilizáveis até que você pague o resgate.
O que é criptografia? Criptografia é o processo de converter as informações em um formato que não pode ser lido por uma pessoa não autorizada. Somente uma pessoa confiável, autorizada com a chave secreta ou uma senha pode descriptografar os dados e acessá-los em sua forma original. A criptografia em si não impede que alguém intercepte os dados. A criptografia só pode impedir uma pessoa não autorizada de exibir ou acessar o conteúdo.
Programas de software são usados para criptografar arquivos, pastas e, até mesmo, unidades inteiras.
O EFS (Encrypting File System, Sistema de Criptografia de Arquivos) é uma característica do Windows que pode criptografar dados. O EFS está vinculado diretamente a uma conta de usuário específica. Apenas o usuário que criptografou os dados poderá acessá-los depois de eles terem sido criptografados usando EFS. Para criptografar os dados usando EFS em todas as versões do Windows, siga estes passos:
Passo 1. Selecione um ou mais arquivos ou pastas.
Passo 2. Clique com o botão direito nos dados selecionados >Propriedades.
Passo 3. Clique em Avançado...
Passo 4. Marque a caixa de seleção Criptografar conteúdo para proteger os dados.
Passo 5. Os arquivos e as pastas que foram criptografados com EFS são exibidos em verde, como mostrado na figura.
Backup dos seus dados
O disco rígido pode falhar. Você pode perder seu notebook. Seu smartphone pode ser roubado. Talvez você tenha apagado a versão original de um documento importante. O backup pode impedir a perda de dados insubstituíveis, como fotos de família. Para fazer backup de dados corretamente, você precisará de um local de armazenamento adicional para onde deverá copiá-los, de forma regular e automática.
A localização adicional dos seus arquivos de backup pode ser na sua rede domiciliar, localização secundária ou na nuvem. Quando armazena o backup dos dados localmente, você tem controle total dos dados. Você pode optar por copiar todos os dados para um dispositivo de armazenamento em rede (NAS), um simples disco rígido externo, ou talvez selecionar somente algumas pastas importantes para backup em pen drives, CDs e DVDs ou até mesmo fitas. Nesse cenário, você é o proprietário e totalmente responsável pelo custo e pela manutenção do equipamento de dispositivo de armazenamento. Se você assinar um serviço de armazenamento em nuvem, o custo dependerá do espaço de armazenamento necessário. Com um serviço de armazenamento em nuvem como o Amazon Web Services (AWS), você tem acesso aos dados de backup e ao mesmo tempo à sua conta. Quando você assina serviços de armazenamento on-line, pode precisar ser mais seletivo sobre os dados para backup, devido ao custo de armazenamento e as transferências de dados on-line constantes. Uma das vantagens de armazenar um backup em um local alternativo é a segurança em caso de incêndio, roubo ou outras catástrofes que não sejam a falha do dispositivo de armazenamento.
Excluir os dados permanentemente
Quando você move um arquivo para a lixeira e o exclui permanentemente, o arquivo só está inacessível para o sistema operacional. Qualquer um com as ferramentas forenses corretas ainda pode recuperar o arquivo devido ao rastro magnético deixado no disco rígido.
Para apagar dados de modo que eles não sejam recuperáveis, os dados devem ser substituídos por um e zero várias vezes. Para impedir a recuperação de arquivos excluídos, talvez seja necessário usar ferramentas especificamente projetadas para isso. O programa SDelete da Microsoft (para o Vista e versões posteriores) alega ter a capacidade de remover completamente os arquivos confidenciais. Shred para Linux e Secure Empty Trash para Mac OSX são algumas ferramentas que alegam proporcionar um serviço semelhante.
A única maneira de ter a certeza de que os dados ou arquivos não são recuperáveis é destruir fisicamente o disco rígido ou o dispositivo de armazenamento. A insensatez de muitos criminosos é pensar que os arquivos são impenetráveis ou irrecuperáveis.
Além de armazenar dados nos discos rígidos locais, os dados também podem ser armazenados on-line na nuvem. As cópias também precisarão ser eliminadas. Reserve um momento para se perguntar:onde salvo meus dados? Eles estão salvos em outro local? Eles estão criptografados? Quando você precisar excluir os dados ou se livrar de um disco rígido ou computador, pergunte a si mesmo: os dados estão protegidos para que não caiam em mãos erradas?
Autenticação de dois fatores
Serviços on-line populares, como Google, Facebook, Twitter, LinkedIn, Apple e Microsoft, usam autenticação de dois fatores para adicionar uma camada extra de segurança nos logins de conta. Além do nome de usuário e senha ou número de identificação pessoal (PIN) ou padrão, a autenticação de dois fatores requer um segundo token, como:
· Objeto físico - cartão de crédito, cartão de débito, telefone ou fob
· Verificação biométrica - impressão digital, impressão palmar, facial ou reconhecimento de voz
Mesmo com a autenticação de dois fatores, os hackers ainda conseguem acessar as contas on-line através de ataques, como phishing, malware e engenharia social.
Clique aqui para descobrir se os sites que você visita usam autenticação de dois fatores.
OAuth 2.0
Open Authorization (OAuth) é um protocolo padrão aberto que permite às credenciais de um usuário final acessar aplicativos de terceiros sem expor a senha do usuário. OAuth funciona como o intermediário para decidir se deseja permitir aos usuários finais o acesso a aplicativos de terceiros. Por exemplo, digamos que você deseja acessar o aplicativo da Web XYZ e não tem uma conta de usuário para acessá-lo. No entanto, o XYZ tem a opção de permitir que você faça logon usando as credenciais de um site de redes sociais ABC. Então, acesse o site usando o logon de redes sociais.
Para que isso funcione, o aplicativo “XYZ” é registrado com “ABC” e está aprovado. Quando você acessar XYZ, usará suas credenciais de usuário de ABC. Então, XYZ solicita um token de acesso do ABC em seu nome. Agora, você tem acesso ao XYZ. XYZ não sabe nada sobre você e suas credenciais de usuário, e essa interação é totalmente simples para o usuário. Usar tokens secretos impede que um aplicativo mal-intencionado receba suas informações e seus dados.
Não compartilhe muitas informações nas redes sociais
Se você quiser manter a privacidade nas redes sociais, compartilhe o mínimo de informação possível. Você não deve compartilhar informações, como data de nascimento, endereço de e-mail ou número de telefone, no seu perfil. As pessoas que precisam de suas informações pessoais provavelmente já conhecem tais informações. Não preencha completamente seu perfil de redes sociais; só forneça as informações necessárias. Além disso, verifique as configurações de redes sociais para permitir que somente pessoas que você conheça veja suas atividades ou participe das suas conversas.
Quanto mais informações pessoais você compartilha on-line, mais fácil será para alguém criar um perfil sobre você e se beneficiar com isso off-line.
Você já esqueceu o nome de usuário e a senha de uma conta on-line? Perguntas de segurança como "Qual é o nome de solteira da sua mãe?" ou "Em qual cidade você nasceu?" são supostamente para ajudar a manter sua conta segura contra invasores. No entanto, qualquer pessoa que queira acessar suas contas pode procurar as respostas na Internet. Você pode responder a estas perguntas com informações falsas, desde que consiga lembrar delas. Se você tiver dificuldade de lembrar, poderá usar o gerenciador de senhas para gerenciá-las.
Privacidade de e-mail e navegador da Web
Todos os dias, milhões de mensagens de e-mail são usadas para comunicação com amigos e negócios. E-mail é a maneira adequada de se comunicar rapidamente. O envio de um e-mail é semelhante ao envio de uma mensagem usando um cartão postal. A mensagem de cartão postal pode ser vista por qualquer pessoa; a mensagem de e-mail é transmitida em texto sem formatação e pode ser lida por qualquer pessoa que tenha acesso. Estas comunicações também são passadas entre diferentes servidores na rota até o destino. Mesmo quando você apaga suas mensagens de e-mail, elas podem ser arquivadas nos servidores de e-mail por algum tempo.
Qualquer pessoa com acesso físico ao computador ou roteador pode visualizar os sites que você visitou usando o histórico do navegador da Web, cache e possivelmente os arquivos de log. Este problema pode ser minimizado ao habilitar o modo de navegação em privado no navegador da Web. A maioria dos navegadores populares da Web tem seu próprio nome para o modo de navegação privada:
· Microsoft Internet Explorer: InPrivate
· Google Chrome: Incognito
· Mozilla Firefox: Aba privada / janela privada
· Safari: Privado: Navegação privada
Com o modo privado ativado, os cookies estão desabilitados; os arquivos de Internet temporários e o histórico de navegação são removidos depois de fechar a janela ou o programa.
Manter privado o histórico de navegação de Internet pode impedir que outros coletem informações sobre suas atividades on-line e atraiam você para comprar algo com anúncios direcionados. Mesmo com a navegação privada habilitada e os cookies desabilitados, as empresas estão desenvolvendo maneiras diferentes de identificar exclusivamente os usuários para reunir informações e rastrear o comportamento do usuário. Por exemplo, os dispositivos intermediários, como roteadores, podem ter informações sobre o histórico de navegação na Web de um usuário.
Em última análise, você é responsável por proteger seus dados, sua identidade e seus dispositivos de computação. Quando você envia um e-mail, deve incluir seus registros médicos? Na próxima vez que você navegar na Internet, a transmissão estará segura? Apenas algumas precauções simples podem evitar problemas mais tarde.
Capítulo 3: Proteção de seus dados e privacidade
Este capítulo abordou seus dispositivos e dados pessoais. Incluiu dicas para proteger os dispositivos, criar senhas fortes e usar redes sem fio com segurança. Descreveu os backups de dados, o armazenamento de dados e exclusão permanente dos dados.
As técnicas de autenticação foram discutidas para ajudá-lo a manter seus dados de forma segura. Abordou brevemente como é fácil compartilhar muitas informações nas redes sociais e como evitar esse risco à segurança.
Se você quiser se aprofundar ainda mais nos conceitos deste capítulo, confira a página de Recursos e atividades adicionais nos Recursos do aluno.