[Crime] Tópico da Segurança da Informação

[Nuno156]

Há já algum tempo que achei que fazia falta um tópico sobre Segurança da Informação.

Um tópico onde se pudesse alertar as pessoas para potenciais problemas de segurança
na utilização Internet, quer através de computadores desktop, laptop, tablets e até
smartphones, com base em vulnerabilidades dos sistemas, aplicações, ou até sites
fraudulentos.

Pretende-se que aqui sejam colocados alertas de vulnerabilidades, de ataques em
curso (phishing, por exemplo), ou sites inseguros.

Acabei por criar hoje o tópico devido a um utilizador do fórum que ficou tentado pelos
preços apresentados num site muito pouco aconselhável. O primeiro post seguirá em
breve, escalpelizando os problemas desse site, mostrando porque não é credível.

[LinoMarques]

Pode não ser exactamente a mesma coisa, mas também tem muito a ver: http://forum.autohoje.com/off-topic/...-pessoais.html

[msantos]

Fico à espera de aprender alguma coisa!

[PugGT]

Pode fechar.

[Nuno156]

Um utilizador do fórum pretendia comprar um iPhone 5S 16GB Dourado num
site que dá pelo nome "XXXXXXXXXX".

Achava o site credível porque, segundo ele:

(...) eles têm toda a espécie de páginas sociais, vários telefones, formas de pagamento, e um local físico para levantar os equipamentos. (...)

Primeiro ponto para desconfiar: escrita.
Olhar bem para o tipo de erros que existam na escrita.
Ver bem o tipo de vocabulário usado.

Neste caso, na página do tal iPhone temos algumas pistas para que o site
seja algo amador, ou mesmo nada profissional.

"Add à comparação"
ADD?! Meio português, meio inglês?

"Disponibilidade: Disponível-efectue a sua encomenda (...) antes
de efetuar o seu pagamento"
A mesma palavra com e sem acordo ortográfico na mesma frase?

"Atendimento - Contate-nos"
"Contate"?! Afinal o site é português, ou é brasileiro?

"XXXXXXXXX é a maior (...) imbatíveis. Entregas em todo o País, Angola
Moçambique e resto do Mundo. Se procuras, nós temos."
"Procuras"?! Agora tratamo-nos por tu?
Angola, Moçambique e resto do mundo? A sério?!

Na página de entregas e devoluções:
"Resolução de contracto"
"Contracto"?! A sério?!




Aprofundando um pouco mais a análise à página...
Meios de pagamento.

Apresentam no final da página uma bela imagem:

pagamentos1.png

Ora, todos os ícones de outras entidades obedecem a um conjunto de regras para
que possam ser usados. Neste caso, nenhum dos ícones respeita essas regras.
Os que referem entidades conhecidas (PAYPAL e MB) não estão conforme as regras.
Exemplo, ver página 26:
https://www.paypal-marketing.com/htm...nes_v21_mm.pdf
Quanto ao "SECURED"... são válidos apenas os ícones que, cumulativamente:
- Apresentam a marca de quem garante a segurança
- Têm um link para essa entidade via HTTPS com um certificado dessa mesma
entidade.
Não é o caso, pelo que não há qualquer certificado, muito menos entidade
certificadora.




Morada... Não indica o piso.
Curiosamente, existe um outro site de "VISTOS GOLD" também com morada no
mesmo local, e mesmo escritório, mas aqui já indicam o piso...
Mas mais interessante mesmo são os ESCRITÓRIOS VIRTUAIS exactamente no
mesmo endereço... Talvez por isso haja tanta empresa a funcionar no mesmo
escritório.




Aprofundemos mais um pouco...
Questões legais.
Termos e condições:
"propriedade da empresa com a designação social de YYYYYYY, Lda., sociedade
por quotas (...) número de pessoa colectiva 111111111"
Curiosamente, a empresa com essa designação social foi dissolvida e liquidada
por acção judicial, ainda antes do site ser criado, era do ramo da restauração,
e tem um NIF diferente.
A que realmente existe com aquele NIF é:
"YYYYYYYYY ZZZZZZZZZ UNIPESSOAL, LDA"
Tem morada nos tais escritórios virtuais, e foi constituída em Janeiro deste ano.




Análise técnica...




Segurança.
Tem lá o ícone da segurança SSL (falso), mas em lado algum (registo, login, etc.)
tem ligação HTTPS nem certificado de segurança/autenticação. Os dados pessoais,
principalmente username e password, deveriam estar protegidos por uma ligação
segura. Não é o caso.

Outros.
Está alojado na Alemanha.
O domínio está registado de forma anónima.
Um dos servidores de domínio tem o mesmo contacto, mas sem registo anónimo,
com morada e telefone falsos.




Portanto, conclusão:

Existe efectivamente uma empresa real (registada), que alegadamente é a responsável
pelo site, é unipessoal, e que no mínimo tem um capital social de 1€.

As questões que ficam para responder são:
Confiam num site que...
... indica uma empresa unipessoal cuja morada é num escritório virtual?
... indica a empresa com um nome incorrecto numa página de condições legais?
... indica ter acesso seguro mas não tem?
... regista o domínio de forma anónima?
... regista um servidor de domínio com dados falsos?
... tem dois artigos iguais com preços diferentes?

[Dainese]

apagar

[PeLeve]

Excelente tópico. Vou estar atento.

[acca]

Compras pela Internet só mesmo por sites oficiais e por norma faço uma pesquisa antes para ter algum feedback. Mas vou ser sincero, o site que o user Nuno156 fala não é tão evidente como outros que já vi, ou seja, tem uma boa apresentação e os "pormenores" que o user referiu provavelmente nem reparava. Não estou a dizer que comprava alguma coisa nesse site, já que tenho sempre preferência por lojas físicas, só que fiquei surpreendido com a aparente qualidade do site, pelo menos quando se olha rapidamente.
Na minha opinião há outro factor, uma pessoa quando está empolgada para comprar determinado produto, no meio de toda a empolgação, ás tantas nem repara se o site é de confiança ou não e ao ver ali uma boa oportunidade acaba por comprar.
Acho que é um tópico muito interessante.

[Nuno156]

Compras pela Internet só mesmo por sites oficiais e por norma faço uma pesquisa antes para ter algum feedback. Mas vou ser sincero, o site que o user Nuno156 fala não é tão evidente como outros que já vi, ou seja, tem uma boa apresentação e os "pormenores" que o user referiu provavelmente nem reparava. Não estou a dizer que comprava alguma coisa nesse site, já que tenho sempre preferência por lojas físicas, só que fiquei surpreendido com a aparente qualidade do site, pelo menos quando se olha rapidamente.
Na minha opinião há outro factor, uma pessoa quando está empolgada para comprar determinado produto, no meio de toda a empolgação, ás tantas nem repara se o site é de confiança ou não e ao ver ali uma boa oportunidade acaba por comprar.
Acho que é um tópico muito interessante.

Pois, é muito isso.
A pressa dos "bons negócios"...

Aqui há uns anos, a minha Maria queria vender o carro.
Um dos interessados era daqueles que deixa papelinhos nos carros, que compra
qualquer coisa com rodas.
Percebi pela conversa do gajo, que ele estava a deitar a fisgada para ver se quem
vendia era daqueles que estava com a corda ao pescoço. Ofereceu por baixo, e não
saía dali. Mostrou notas de 500€ (várias), para ver se pegava. A minha Maria já
estava tentada a aceitar o valor que o gajo oferecia. Eu disse:
- "Deixe estar, obrigado. Não temos pressa em vender. Boa noite."
Começámos a ir embora, veio logo o gajo a correr.
Curiosamente, quando pagou, não usou nem uma das notas de 500€...
Truque nº1: procurar vítimas que estejam com a corda no pescoço.
Truque nº2: ter notas de 500€ só para mostrar, e caçar aqueles que querem ter uma.


Há muitos esquemas e burlas na Internet que funcionam assim.
Valem-se das dificuldades que as vítimas têm, e/ou acenam com lucro fácil.
Esquemas de Ponzi, Cartas da Nigéria, etc.

No caso dos carros, o esquema é oferecer "por cima". O carro está à venda por 10.000€
e os burlões oferecem 12.000€, sendo que os 2.000€ são para pagar a expedição do
carro para outro país, e o que sobrar desses 2.000€ ficam para o vendedor. O truque é
que o cheque é falso, e o despachante também. A pessoa deposita o cheque (que demora
mais de um mês até o banco verificar que é falso), e entretanto paga quase 2.000€ a um
despachante falso com o dinheiro dele. Nunca mais ouve falar do despachante, nem do
comprador. Passado uns tempos recebe más notícias do banco.

[ZylmhuinVII]

Bom tópico Nuno. Será para seguir atentamente.

[Pastis]

Outra burla muito em voga agora é vir o BdP + o PR + todas as entidades sérias e devidamente credenciada dizerem que se podem comprar ações do aumento de capital dum banco "à confiança" e depois passado 1 mês esse banco desparecer.

Por isso Já sabem: os maiores aldrabões são sempre pessoas sérias.

Espero ter ajudado.

[Nuno156]

Outra burla muito em voga agora é vir o BdP + o PR + todas as entidades sérias e devidamente credenciada dizerem que se podem comprar ações do aumento de capital dum banco "à confiança" e depois passado 1 mês esse banco desparecer.
Por isso Já sabem: os maiores aldrabões são sempre pessoas sérias.
Espero ter ajudado.

Agradeço, mas já vens tarde...

[Axxantis]

Bom tópico!

2 erros muito comuns em redes wi-fi:
- Não alterar as passwords que são colocadas pelos instaladores do serviço. Na Zon, por exemplo, era comum deixarem sempre a mesma: 0123456789. Mas também há routers que parecem gerar passwords aleatórias, que na verdade não o são. São simples passwords geradas a partir dos respectivos números de série e há formas as descobrir.

- Em Windows, utilizar os folders "my documents" e respectivos sub-folders para guardar ficheiros. É que esses folders são partilhados por default no Windows. Bem sei que é fácil retirar essas partilhas, mas a maioria das pessoas não o sabe fazer, ou não está para se chatear. Se alguém entrar na rede doméstica tem logo ali as portas escancaradas! Portanto, se não querem surpresas, gravem os ficheiros noutros pastas.

[ZylmhuinVII]

Ainda sobre a SI e a informação em PCs, como está a história do TrueCrypt?
Pode-se usar, não se pode usar?

[Axxantis]

Na minha opinião, a segurança informática caseira não deve ser vista como uma coisa a defender em absoluto. Há sempre um trade-off entre segurança e conveniência. No fundo, é como a segurança física das nossas casas. Nenhum de nós tem em casa portas e fechaduras inexpugnáveis. Temos, isso sim, portas e fechaduras com um nível de segurança que consideramos suficiente para impedir os amigos do alheio mais comuns de entrar. Digamos que com isso prevenimos 80% (número ao calhas) da ladroagem, mas é certo que há sempre uma minoria de assaltantes especializados que conseguiriam roubar as nossas casas com toda a facilidade se quisessem. Se quiséssemos segurança absoluta teríamos que gastar mais dinheiro do que o que valem as coisas que queremos proteger dos ladrões!
Na informática é a mesma coisa. Não há segurança absoluta, e se quisermos segurança a 99%, das duas uma, ou simplesmente não usávamos computadores e internet, ou então teríamos que arranjar soluções tão sofisticadas e trabalhosas que fariam do uso da informática um pesadelo, em vez de uma ferramenta útil.
A melhor solução é sempre um compromisso.

[Pastis]

Vou então começar pelas mitos nas empresas pois acho que tem mais piada:

Mito 1) Toda gente sabe que os computadores são complicados portanto o melhor é não perder tempo com isso e entregar a gestão da rede e parque informático a um empresa séria e recomendada de preferência com um avença em conta e esquecer o assunto.

Mito 2) A malta toda carrega os PCs de Virus e volta e meia os PCs borregam pelo que devem fazer backups de tudo por este motivo. Depois do backup feito, todos os problema da segurança desaparecem e acaba a fome no mundo.

Mito 3) Os ácaros vivem todos na Rússia logo, não há qq problema com a informação crítica que empresa ou pessoa guarda no seu servidor/computador de ficheiros , não interessa aos russos. Nem aos Ukranianos.

Mito 4) Os meus email estão dentro do meu computador. Portanto só quem tem a minha password é que pode ver os meus emails, eu não dou a minha password a ng e, como tal, estou seguro.
Corolário mítico 4.1 -> só eu é que recebo os meus emails
Corolário mítico 4.2 -> os email que envio só são recebido pelo destinatário

Mito 5) As pastas do meu computador não estão partilhadas logo, ng pode ver o que está nas minhas pastas, só euzinho.
Corolário mítico 5.1) -> eu consigo ver aqui a pasta de fotos de gajas do zé manel mas isso é porque ele partilhou isso sem querer. O gajo é memo estúpido.
Corolário mítico 5.1) -> A gestão das partilhas está a cargo do Dr. Zacarias e ele controla isso tudo dos grupos e e cenas "tipo isso" de quem tem acesso a ou não às pastas.

Mito 8) Está tudo sob controlo.

Mito 9) O gajo da empresa referida no mito 1 é um gajo de confiança e muito experiente o tipo domina computadores.

Mito 10) O Paulinho do armazem não percebe nada de computadores, o gajo só tem o 9 ano mal tirado e vê-se negro para manusear o ERP coitado...


Portanto a minha sugestão ( que vale ouro) : questionar sempre todos este mitos até à exaustão. Mas mesmo a fundo... Sem receios ou vergonhas de passarem por ignorantes ou desconfiados.

O post é mesmo só para reflectir.

[Audigy]

(...)
- Em Windows, utilizar os folders "my documents" e respectivos sub-folders para guardar ficheiros. É que esses folders são partilhados por default no Windows. Bem sei que é fácil retirar essas partilhas, mas a maioria das pessoas não o sabe fazer, ou não está para se chatear. Se alguém entrar na rede doméstica tem logo ali as portas escancaradas! Portanto, se não querem surpresas, gravem os ficheiros noutros pastas.

Por predefinição aquando da criação de uma conta de administrador no windows, são geradas automaticamente duas pastas dentro da raiz C:\Users, uma pasta atribuída ao user em questão, e outra com atributos de visibilidade pública e com referencias tanto no próprio nome da pasta como nas subpastas predefinidas dentro desta(Public Documents, Public Downloads, etc):



Se porventura não é esse o caso, a actual configuração não é a predefinida e algo/alguém alterou os atributos de partilha da pasta/subpastas do utilizador.

Finalmente, se não houver real uso das pastas públicas por parte do utilizador, este poderá desactivar o seu acesso:

[Axxantis]

Por predefinição aquando da criação de uma conta de administrador no windows, são geradas automaticamente duas pastas dentro da raiz C:\Users, uma pasta atribuída ao user em questão, e outra com atributos de visibilidade pública e com referencias tanto no próprio nome da pasta como nas subpastas predefinidas dentro desta(Public Documents, Public Downloads, etc):

Se porventura não é esse o caso, a actual configuração não é a predefinida e algo/alguém alterou os atributos de partilha da pasta/subpastas do utilizador.

Sim, tens razão. São os folders public. Não convém guardar lá nada que não se queira divulgar. Mas é verdade que também se vê muitas vezes a pasta Users partilhada.

[PugGT]

Ó Pastis estás de ferias ? Epá ocupa-te com algo util, vai cortar a relva ou lavar a piscina

[Axxantis]

O Pastis aborda uma questão recorrente e importante que é a confiabilidade dos profissionais de TI. É um caso clássico de "quem guarda a guarda?".

[Pastis]

Ó Pastis estás de ferias ? Epá ocupa-te com algo util, vai cortar a relva ou lavar a piscina

bolas , esqueci-me do mito 11 e 12.

Mito 11) qualquer ficheiro com password é impossível de abrir.


O mito 12 aprendi aqui com o Nuno156.

mito 12) é impossível aceder aos dados de um servidor sem a password de administrador.
Corolário do Mito 12: A password de administrador é tão sagrada como a rata da.. opps...

[TILT]

Vou então começar pelas mitos nas empresas pois acho que tem mais piada:

Mito 1) Toda gente sabe que os computadores são complicados portanto o melhor é não perder tempo com isso e entregar a gestão da rede e parque informático a um empresa séria e recomendada de preferência com um avença em conta e esquecer o assunto.

Mito 2) A malta toda carrega os PCs de Virus e volta e meia os PCs borregam pelo que devem fazer backups de tudo por este motivo. Depois do backup feito, todos os problema da segurança desaparecem e acaba a fome no mundo.

Mito 3) Os ácaros vivem todos na Rússia logo, não há qq problema com a informação crítica que empresa ou pessoa guarda no seu servidor/computador de ficheiros , não interessa aos russos. Nem aos Ukranianos.

Mito 4) Os meus email estão dentro do meu computador. Portanto só quem tem a minha password é que pode ver os meus emails, eu não dou a minha password a ng e, como tal, estou seguro.
Corolário mítico 4.1 -> só eu é que recebo os meus emails
Corolário mítico 4.2 -> os email que envio só são recebido pelo destinatário

Mito 5) As pastas do meu computador não estão partilhadas logo, ng pode ver o que está nas minhas pastas, só euzinho.
Corolário mítico 5.1) -> eu consigo ver aqui a pasta de fotos de gajas do zé manel mas isso é porque ele partilhou isso sem querer. O gajo é memo estúpido.
Corolário mítico 5.1) -> A gestão das partilhas está a cargo do Dr. Zacarias e ele controla isso tudo dos grupos e e cenas "tipo isso" de quem tem acesso a ou não às pastas.

Mito 8) Está tudo sob controlo.

Mito 9) O gajo da empresa referida no mito 1 é um gajo de confiança e muito experiente o tipo domina computadores.

Mito 10) O Paulinho do armazem não percebe nada de computadores, o gajo só tem o 9 ano mal tirado e vê-se negro para manusear o ERP coitado...


Portanto a minha sugestão ( que vale ouro) : questionar sempre todos este mitos até à exaustão. Mas mesmo a fundo... Sem receios ou vergonhas de passarem por ignorantes ou desconfiados.

O post é mesmo só para reflectir.

Tenho que perguntar... o que é que aconteceu aos mitos 6 e 7?

[Pastis]

Tenho que perguntar... o que é que aconteceu aos mitos 6 e 7?

Baralhei-me qd escrevi os corolários.

Mas e opiniões?

[Axxantis]

Mito 5) Aceder localmente é muito fácil, mas por rede não está (felizmente) ao alcance de qualquer curioso. É das tais coisas que já é preciso saber umas coisitas.

[Pastis]

Mito 5) Aceder localmente é muito fácil, mas por rede não está (felizmente) ao alcance de qualquer curioso. É das tais coisas que já é preciso saber umas coisitas.

Depende de empresa para empresa e essencialmente dos erros humanos que existentes no processo de gestão da rede e das pessoas...

Qd se trata de acesso físico a um computador, qq bandalho consegue chegar aos ficheiros com maior ou menor dificuldade. Nisso estamos de acordo.
Já em rede, tudo depende de como ela está desenhada.

O objectivo desse mito é questionar e avaliar, do ponto de vista do gestor, quais a vulnerabilidades da rede. Por exemplo os perigos dum servidor numa sala de livre acesso como se vê em muitos locais etc...

[ZylmhuinVII]

Mito xx) A minha password é difícil de adivinhar.

[pacxito]

Mais um mito (neste caso dos CSO's):

- Obrigo toda a gente na minha empresa a mudar de password todas as semanas, nunca vou ter problemas.

*EDIT
- Qualquer que seja o meu problema, haverá um caixote grande, barulhento e caro que o resolve.

[shaki]

Mito xx) A minha password é difícil de adivinhar.

Por acaso é. Sabes bem que ninguém se vai lembrar de usar "1234567890".

[augustus]

ou a mais usada, "password".

[ZylmhuinVII]

ou a mais usada, "password".

Agora é mais P@ssw0rd, por causa das regras de strong password