↖️  Experimente a Novidade, ative o menu de navegação e tenha o conteúdo completo do Avis Ara

quarta-feira, 23 de novembro de 2016

Internet das Coisas, você está protegido?

Cuidado! Não é porque você não usa Internet das Coisas que você está protegido - CIO

Como trata-se de assunto que sempre abordamos aqui no AvisAra, não podia deixar de repassar para nossos seguidores.

Refere-se  a matéria de Carlos Rodrigues, publicada originalmente em portal CIO.COM, com uma abordagem simples e direta, mesmo que você não tenha  interesse ou seja leigo sobre os assuntos relacionados a segurança num ambiente IOT, ficará informado como surgem os riscos e vulnerabilidades.

Vale a pena a leitura.



Enviado do meu iPhone

Cuidado! Não é porque você não usa Internet das Coisas que você está protegido

Tecnologia - 23 de novembro de 2016 às 10h50

Embora muitas empresas não possuam câmeras WiFi ou gadgets de IoT passíveis de ataque, isso não quer dizer que não precisem se preocupar com ataques geralmente direcionados à IoT

Carlos Rodrigues *

No último mês, a empresa fornecedora de serviços de DNS Dyn sofreu um ataque que prejudicou serviços como Airbnb, Netflix, Paypal, Spotify e Twitter, entre outros. O protagonista da ação foi o malware Mirai, que tira vantagens de uma série de vulnerabilidades de dispositivos de internet das coisas para comprometer aqueles que usam configurações de fábrica ou credenciais de acesso com senhas estáticas.

A falta de dispositivos de internet das coisas em uma empresa não é garantia de que um malware desse tipo não possa se aproveitar desses mesmos erros de segurança. Várias vulnerabilidades já encontradas em câmeras WiFi, por exemplo, também aparecem em uma série de equipamentos simples de classe empresarial.

Conheça dois erros que colocam os negócios em risco:

 1 - Perímetro desprotegido

Este ano, a Cisco divulgou uma vulnerabilidade conhecida como ExtraBacon, que permitia à hackers a execução de códigos remotamente em um de seus produtos de firewall. Em julho, uma vulnerabilidade do tipo zero-day em um produto da Juniper permitia que hackers monitorassem o tráfego interno da rede.

Mais preocupante que isso talvez seja o potencial dos hackers de atacar o firmware – o código de hardware do qual roteadores, telefones, laptops e outros gadgets dependem. Como o firmware não é assinado digitalmente, os hackers podem alterá-lo para conter um malware especial para tomar o dispositivo.

IoThacker

Um funcionário de uma empresa de data center trabalhando para um grupo de cibercriminosos pode carregar o firmware com malware em um roteador, por exemplo. Um grupo de cibercriminosos pode ainda atacar o site de um fabricante de roteadores e trocar um bom firmware por uma versão maliciosa que pode ser baixada por milhares de roteadores e firewalls.

Diante dessas vulnerabilidades, o perímetro acaba em perigo e as ferramentas de defesa podem fazer muito pouco por esse tipo de problema.

2 - Configurações de fábrica

É comum vermos consumidores tratando seus roteadores e outros dispositivos conectados à internet como torradeiras ou outros eletrodomésticos – plugam na tomada e esquecem.

Infelizmente, mesmo os roteadores mais fáceis de usar e livres de manutenção precisam de atenção, incluindo a mudança das configurações de fábrica para adicionar senhas mais complexas.

Quando esse tipo de comportamento é adotado nas empresas, as consequências podem ser graves. Em 2014, por exemplo, a Verizon notou, em ataques a pontos de venda, que os hackers escaneiam portas públicas e então adivinham senhas fracas para o servidor ou dispositivo de ponto de venda – incluindo aqueles com senhas nunca antes alteradas e senhas óbvias como "admin1234".

Os hackers sempre vão tirar vantagem de softwares corporativos internos com configurações de fábrica nunca alteradas. Infelizmente, isso é algo comum. A TI vive sob pressão para manter o funcionamento rápido de aplicações e sistemas e, por isso, contas com configurações de fábrica e senhas falsas são mantidas em atividade por uma questão de conveniência.

Por isso, além de contar com um plano para quando os hackers ultrapassarem suas primeiras linhas de defesa, também é importante contar com controles de segurança para monitorar e detectar invasores.

 (*) Carlos Rodrigues é gerente regional da Varonis na América Latina

               


Enviado do meu iPhone

Internet via satélite - Uma necessidade real

A corrida para fornecer  o acesso à Internet via satélite é uma realidade que, a cada dia, tem novos competidores.


É uma questão estratégica para liderar o processo de transformação e deter liderança no mercado do futuro totalmente conectado.


Segue reportagem sobre um dos  competidores (SpaceX) e  próximos passos no mercado americano.  


http://revistapegn.globo.com/#/noticia/Tecnologia/noticia/2016/11/empresa-americana-planeja-rede-de-4425-satelites-para-cobertura-global-de-internet.html



Enviado do meu iPhone

Guerra cibernética ou uma versão americana de Coxinha vs Mortadela ?

Hillary deve pedir a recontagem de votos, insistem especialistas | EXAME.com - Negócios, economia, tecnologia e carreira

Teria sido mais uma das batalhas da Guerra Cibernética ou mais uma Versão americana da Batalha entre coxinha e mortadela 

"Às vésperas das eleições em 8 de novembro, agências de inteligência do país divulgaram um comunicado oficial no qual expressaram preocupações em torno de possíveis ciberataques com o objetivo de sabotar o resultado de alguma maneira. Acusaram a Rússia de envolvimento direto. Moscou, contudo, negou todas as acusações."

Hillary deve pedir a recontagem de votos, insistem especialistas

Grupo de cientistas da computação alega ter evidências de manipulação dos resultados em três estados-chave: Wisconsin, Michigan e Pensilvânia

access_time 23 nov 2016, 10h34

Hillary Clinton

Hillary Clinton: democrata perdeu a eleição presidencial para o republicano Donald Trump (Justin Sullivan/Getty Images)

São Paulo – Um grupo de cientistas da computação e especialistas em direito eleitoral alega ter evidências de que o resultado das eleições presidenciais dos Estados Unidos pode ter sido manipulado.

A notícia foi primeiro divulgada nesta manhã pela revista The New York Magazine e, em seguida, por veículos de imprensa como a rede CNN e o jornal The Guardian.

Agora, esses cientistas insistem que a campanha da democrata Hillary Clinton peça a recontagem dos votos em três estados-chave: Wisconsin, Michigan e Pensilvânia. Ao todo, eles representam 46 delegados no Colégio Eleitoral, o processo que, na prática, elege o presidente. Para tanto, é necessário que o candidato chegue ao número mágico de 270 delegados (Entenda como funcionam as eleições nos EUA).

A ex-secretária de Estado de Obama está com 233 delegados e o republicano Donald Trump com 290. A maioria dos estados conta com um sistema no qual o candidato vencedor no voto popular leva todos os delegados disponíveis. Estes três, inclusive. Na ocasião de um erro (intencional ou não) uma recontagem poderia significar 278 votos para Hillary.

Manipulação?

De acordo com os especialistas, entre eles o diretor do Centro de Segurança da Computação e Sociedade da Universidade de Michigan, o resultado no Michigan, por exemplo, apresentou uma tendência considerada "questionável", uma vez que a democrata registrou desempenho pior em condados nos quais a votação é eletrônica que naqueles onde o voto se dá por meio de cédulas de papel ou leitores ópticos.

Vale lembrar que, no caso do Michigan, Hillary está perdendo no voto popular por uma diferença de pouco mais de 11 mil votos, mas a contagem ainda não foi finalizada. Segundo os cientistas, que de acordo com a The New York Magazine não estão se manifestando oficialmente sobre o tema, o sistema eletrônico em algumas regiões pode ter sido alvo de interferências externas.

E Hillary?

As fontes ouvidas pela revista disseram que o grupo está em contato com a campanha da democrata e que preparam um documento oficial para ser enviado às autoridades federais no qual pedem uma auditoria oficial nas urnas. O prazo, no entanto, está apertado, uma vez que em todos estes estados, qualquer reclamação acerca do resultado deve ser protocolada nos próximos dias.

Ação de hackers?

Às vésperas das eleições em 8 de novembro, agências de inteligência do país divulgaram um comunicado oficial no qual expressaram preocupações em torno de possíveis ciberataques com o objetivo de sabotar o resultado de alguma maneira. Acusaram a Rússia de envolvimento direto. Moscou, contudo, negou todas as acusações.



Enviado do meu iPhone

Conexão por satélite é única solução em parte do Brasil

MCTIC quer reduzir impostos para ampliar conexão à internet por satélite no Brasil - Notícia - Ciência, Tecnologia, Inovações e Comunicações


Reproduzo abaixo a notícia divulgada hoje em relação a possibilidade de redução de impostos para serviços de telecomunicações, que nos parece bastante animadoras.

Mas a discursão precisa ser ampliada para todos os tributos, principalmente aquele que mais contribuem para os preços serem tão salgados.

Particularmente,  acredito que a carga de imposto em telecomunicações é muito alta, isso impede a aceleração da modernização da rede atual, os preços sempre estarão desalinhados com a capacidade de pagamento dos consumidores, sem compradores não tem receita, sem receita os fornecedores não tem como realizar investimentos, em consequência sempre ficamos atrasados e correndo atrás do prejuízo.

Entendo também que em determinadas localidades longínqua, desprovidas de tudo, o investimento não se pagará nesta vida, nestas o Estado deve assumir esta responsabilidade para realizar a transformação do país. Seja através de disponibilização de infraestrutura para prover os serviços públicos, educação, justiça, saúde, segurança, etc ou através de isenção de impostos para investimentos nestas localidade, ou como moeda de troca para redução de outros encargos em outra localidades.

Acredito que este o espaço deve ser   ocupado estrategicamente pelo Estado Brasileiro, os grandes players vão dominar e formaram Estados paralelos, dominando além da infraestrutura, as informações, a cultura, etc de grande parte do território  Brasileiro.

Sem mudança de modelo de tarifação, estes grandes players continuarão sugando a riqueza e entupindo a rede com tráfegos sem pagar nada por isso.

Leia alguns Post que fiz sobre este tema: 

"Imagine um dia em que o consumidor vai ter acesso livre, sem custo e ainda sendo remunerado por acesso ou exposição aos anunciantes... Utópico mas não impossível."  ✍️️http://avisara.blogspot.com.br/2016/04/internet-ilimitada-que-modelo-seguir.html?m=1
"Este modelo tem que mudar! Ainda haverá a ruptura deste modelo, quando os usuários passarão a ser remunerados pelo volume de informações que coletam!"  ✍️️http://avisara.blogspot.com.br/2016/08/pokemon-go-evolucao-do-modelo-de.html?m=1

Sem duvidas, as redes fixas e móveis não são capazes de atender plenamente a necessidade de expansão da inclusão digital no Brasil em todas as localidades é algo precisa ser feito por uma questão de sobrevivência.


http://www.mcti.gov.br/noticia/-/asset_publisher/epbV0pr6eIS0/content/mctic-quer-reduzir-impostos-para-ampliar-conexao-a-internet-por-satelite-no-brasil;jsessionid=11CFC21CAA64183A725C871D8F3FB043.columba

MCTIC quer reduzir impostos para ampliar conexão à internet por satélite no Brasil

Por Ascom do MCTIC

Publicação: 22/11/2016 | 16:29

Última modificação: 22/11/2016 | 17:31

O diretor de Banda Larga, Artur Coimbra, participou de debate sobre acesso à internet por satélite no Painel Telebrasil.

Crédito: Ascom/MCTIC

O Ministério da Ciência, Tecnologia, Inovações e Comunicações (MCTIC) quer ampliar a conexão à internet via satélite no Brasil. Durante participação no 60º Painel Telebrasil, nesta terça-feira (22), o diretor do Departamento de Banda Larga, Artur Coimbra, revelou que a proposta é criar uma nova categoria na tabela do Fundo de Fiscalização das Telecomunicações (Fistel) para antenas de satélite. A medida deverá reduzir de forma significativa o valor do equipamento e beneficiar o usuário de internet, principalmente da zona rural e de áreas remotas.

Durante a apresentação, Artur Coimbra destacou que os preços praticados hoje para a conexão à rede via satélite são muito altos. Como exemplo, citou que o gasto do consumidor com uma conexão de 3 Mbps é de R$ 3,5 mil por mês. Nos Estados Unidos e na Europa, o custo de uma conexão com velocidade de 5 Mbps varia de R$ 72,00 a R$ 134,00. "A diferença de preços supera 10 vezes. A gente imagina diminuir essa diferença com um conjunto de medidas institucionais."

O diretor de Banda Larga disse que a proposta de redução do Fistel sobre as antenas de conexão satelital ainda está sendo elaborada. A previsão é de que seja apresentada pelo governo federal até o segundo semestre de 2017. Em relação à redução da arrecadação do Fistel com a medida, Artur explicou que isso seria compensado pelo crescimento dos acessos via satélite no país e o consequente aumento da arrecadação de outros tributos incidentes sobre o serviço, como ICMS e PIS/Cofins.

Artur Coimbra mostrou que a participação das conexões via satélite no número de acessos à banda larga no Brasil representa apenas 0,03% do total. O acesso à internet pelas redes móveis soma 88,38% e pelas redes fixas, 11,59%. "A gente tem de partir para a conexão satelital. As redes fixas e móveis não são capazes de atender plenamente a necessidade de expansão da inclusão digital no Brasil", reforçou.

Segundo o diretor de Banda Larga, a estimativa é de que oito satélites de banda Ka, de alta capacidade, estarão operando no Brasil até 2018.

O deputado federal Daniel Vilela (PMDB-GO), que também participou do painel "Os novos desafios ao mercado de satélite", destacou que a tecnologia satelital é fundamental para um país com dimensões continentais como o Brasil. O parlamentar é autor do Projeto de Lei 3453/ 2015, que moderniza a Lei Geral de Telecomunicações (LGT) e viabiliza investimentos na expansão da banda larga.

"A politica satelital é extremamente importante do ponto de vista tecnológico e está incorporada no PL 3453", disse Daniel Vilela, lembrando que os objetivos do projeto são colocar a banda larga no centro das políticas públicas do país e estimular os investimentos no setor de telecomunicações.

De acordo com o deputado, a tramitação do projeto na Câmara deverá ser concluída até a próxima semana e depois segue para o Senado.



Enviado do meu iPhone

Guerra Mundial Cibernética.

Batalha invisível: estamos prestes a ver uma Guerra Mundial Cibernética? - TecMundo
Reproduzo abaixo uma matéria publicada pelo site TecMundo que aborda um assunto que já tratamos alguma vezes aqui no AvisAra. 

A guerra cibernética já encontra-se em andamento, só não vê quem não quer!

Boa leitura!

Batalha invisível: estamos prestes a ver uma Guerra Mundial Cibernética?

No mundo físico, é fácil saber quando um conflito violento foi iniciado. Em suas devidas proporções, nos tempos de ensino ginasial, entendíamos que aquele bate-boca e empurra-empurra entre dois alunos resultaria em uma briga ferrenha; lá em 1914, Gavrilo Princi certamente sabia que, ao assassinar o arquiduque Francisco Fernando, estaria acendendo o pavio de uma guerra que poderia afetar o mundo inteiro.

No mundo virtual, porém, as coisas costumam ser mais nebulosas. Algumas pessoas defendem que não perceberemos quando a Primeira Ciberguerra Mundial for iniciada — outras dizem que ela já começou faz tempo e segue ocorrendo neste exato momento, enquanto você usa seu computador para ler este texto. Se seguirmos essa sensata segunda linha de pensamento, podemos dizer que esse conflito digital teve suas origens em 2010.

Foi em junho daquele ano que a empresa de segurança VBA32 descobriu a existência do Stuxnet, um malware complexo que infectou e danificou as usinas de enriquecimento de urânio do Irã. Foi a primeira vez que um vírus de computador ultrapassou a barreira entre o físico e o digital, criando não apenas prejuízos financeiros incalculáveis, mas também um risco de tragédias reais que poderiam afetar milhões de vidas inocentes.

A descoberta do Stuxnet pode ser vista como o início de uma guerra cibernética global

Soldados digitais

Seis anos após sua descoberta, ninguém sabe quem foi o criador do Stuxnet. Porém, a teoria mais aceita é a de que o malware seria, na verdade, uma arma cibernética criada pelos Estados Unidos em parceria com Israel, com o intuito de prejudicar o programa nuclear iraniano. Visto que quase 9 mil máquinas do país também foram afetados pelo vírus, a Rússia acabou sendo descartada como possível culpada por trás do ataque.

O número de ataques cibernéticos sofridos por grandes potências globais tem aumentado de forma vertiginosa

De lá para cá, o número de ataques cibernéticos sofridos por grandes potências globais tem aumentado de forma vertiginosa. O melhor exemplo que podemos citar é o misterioso ataque de negação de serviço organizado no dia 21 de outubro e direcionado à Dyn, uma das maiores operadoras de DNS dos EUA. O feito congelou a operação de uma série de websites e serviços importantes do país, incluindo Twitter, Amazon, PayPal, Spotify e Netflix.

Isso só foi possível graças ao uso de uma ferramenta chamada Mirai, que vasculha a web em busca de dispositivos de Internet das Coisas (IoT) vulneráveis e os transforma em uma rede de bots a seu comando. Com essa arma em mãos, os hackers puderam enviar um tráfego absurdo oriundo de um número incalculável de pequenos gadgets dotados de endereço IP, quebrando o servidor da Dyn.

Através do Mirai, hackers conseguiram usar dispositivos IoT para realizar o maior ataque de negação de serviço da história

A nova Guerra Fria?

Não demorou muito para que internautas começassem a enxergar o ataque como uma operação conjunta de hackers patrocinados pela Rússia. Afinal, dias antes, oficiais estadunidenses culparam o país em público pelo vazamento de quase 20 mil emails trocados entre membros do Comitê Nacional Democrata, responsável pela coordenação do Partido Democrata dos Estados Unidos. O vazamento foi divulgado através da plataforma WikiLeaks.

Um porta-voz de Putin demonstrou descontentamento com os ânimos dos americanos

Para o Departamento de Segurança do país, apenas oficiais russos de alto escalão poderiam ter colaborado com o roubo de informações — que, na teoria, foi de suma importância para definir os rumos das eleições presidenciais de 2016. Afinal, o presidente da Rússia, Vladimir Putin, já demonstrou ter "maior afinidade" com o republicano Trump, vencedor das eleições, do que Hillary Clinton, do Partido Democrata.

O ataque aos servidores da Dyn ocorreu pouco tempo depois que os EUA ameaçaram retaliar a Rússia à altura dentro do campo cibernético. Na época, um porta-voz de Putin demonstrou descontentamento com os ânimos dos americanos. "Todos os dias o site de Putin é atacado por dezenas de hackers. Vários dos ataques são rastreados como tendo origem nos EUA, mas nós não culpamos a Casa Branca por isso", afirmou.

O conflito digital entre Rússia e EUA é o maior indicativo de uma possível ciberguerra

TAO: os hackers de elite dos EUA

Quase todas as grandes potências globais já possuem, dentro de seu setor de segurança nacional, algum tipo de força de elite formada por hackers contratados para defender os interesses de seu país caso realmente venhamos a presenciar uma ciberguerra mundial. Os Estados Unidos, por exemplo, possuem o Office of Tailored Access Operations (TAO), que pode ser traduzido como Escritório de Operações de Acessos Adaptados.

Um grupo de profissionais que são capazes de identificar, monitorar e se infiltrar em sistemas computadorizados

Por trás desse nome inofensivo, se esconde um grupo de profissionais altamente capacitados que, a serviço da Agência Nacional de Segurança (NSA), são capazes de identificar, monitorar e se infiltrar em sistemas computadorizados de fora dos Estados Unidos. De acordo com uma reportagem publicada em 2013 pelo site Foreign Policy, a unidade existe desde o final da década de 90 e é formada por mais de milhares hackers, analistas de inteligência e engenheiros de software e de hardware.

Em uma entrevista concedida à VICELAND, Jorg Schindler, repórter do site alemão Der Spiegel, afirmou que não é possível saber o real tamanho e verdadeiras intenções do TAO — porém, sabe-se que o grupo desenvolve e utiliza ferramentas que visam invadir todo e qualquer dispositivo eletrônico, com o intuito de "ficar de olho" em nações rivais e interceptar comunicações que sejam importantes.

Trabalhando dentro da NSA, a TAO é a agência dos EUA especializada em ciberguerra

Outros países

Embora não hajam informações públicas sobre uma eventual agência de ciberguerra russa, todos sabem que o país, de fato, possui profissionais competentes ao seu dispor quando o assunto são os conflitos digitais. De acordo com o jornalista investigativo Andrei Soldatov, a maioria das atividades militares cibernéticas da nação são coordenadas pelo Serviço de Segurança Federal (ou FSB, no original em inglês).

A Coreia do Norte possui a Bureau 121, uma agência formada por quase 2 mil hackers de elite selecionados a dedo

Já a Coreia do Norte possui a Bureau 121, uma agência formada por quase 2 mil hackers de elite selecionados a dedo pelas forças militares coreanas. A unidade começou a receber as luzes dos holofotes em 2014, quando seus membros supostamente invadiram os servidores da Sony Pictures, forçando a companhia a cancelar a estreia do filme "A Entrevista" (que satirizava Kim Jong-un, supremo líder da República Popular da China).

E, por falar nos chineses, vale observar que eles também contam com um exército cibernético próprio, que costuma ser referenciado como pelo código Unidade PLA 61398. Especializado em espionagem industrial e manobras ofensivas contra redes estrangeiras, o grupo só teve sua existência confirmada pelo governo local em março de 2015, embora os EUA os culpem de invadir sistemas norte-americanos desde o começo de 2014.

Coreia do Norte e China também possuem suas próprias agências de defesa cibernética

O Brasil se prepara

Por mais que muitos não saibam, o Brasil também possui uma infraestrutura militar para nos defender caso o país acabe se envolvendo em uma guerra virtual de proporções mundiais. Trata-se do Centro de Defesa Cibernética (CDCiber), unidade que responde diretamente ao Ministério da Defesa. Inaugurada em 2012, a unidade tem como objetivo "planejar, orientar e controlar as atividades operacionais, doutrinárias e de desenvolvimento das capacidades cibernéticas" da nação.

A simples existência do CDCiber fez com que o governo federal separasse uma verba para o setor de segurança cibernética

Tendo atuado na análise e neutralização de ameaças durante vários eventos importantes sediados no Brasil — incluindo o Rio +20 e a Copa do Mundo de 2014 —, o CDCiber se desdobra em diversos setores especializados, como o Centro Integrado de Telemática do Exército (CITEx) e o Comando de Comunicações e Guerra Eletrônica do Exército (CCOMGEX). Cada um desenvolve e trabalha em seus próprios projetos.

É óbvio que, até o momento, o Brasil não sofre tanto com conflitos cibernéticos globais quanto os outros países citados anteriormente — porém, é natural que estejamos nos preparando para o pior. A simples existência do CDCiber fez com que o governo federal separasse uma verba para o setor de segurança cibernética, e, visto que estamos atrasados em relação aos EUA, por exemplo, é bom ver que tal área começa a receber a devida atenção.

O Exército Brasileiro possui o Centro de Defesa Cibernética (CDCiber)

Contagem regressiva

A conclusão é simples: todo mundo está se armando para um conflito que deve tomar proporções perigosas em um futuro breve. Guerras cibernéticas podem desbalancear uma nação em pouco tempo, afetando suas comunicações e causando prejuízos financeiros tanto para órgãos públicos quanto para empresas privadas. O ataque de negação de serviço à Dyn foi a maior prova disso.

A ciberguerra — felizmente — também não envolve o uso de exércitos armados ou bombas nucleares, mas, acredite, na pior das hipóteses, você também vai sofrer com as consequências dela nos próximos anos.



Enviado do meu iPhone

quinta-feira, 17 de novembro de 2016

IPhone envia seu histórico de chamadas para Apple

iPhones Secretly Send Call History To Apple, Security Firm Says


Mesmo que você não se preocupa com a privacidade, deve lê a matéria abaixo.

A material original publicada no Site The Intercept, revela como a Apple trata das informações que confiamos que ela mantém a privacidade.

Em resumo, a matéria revela que a empresa russa   Elcomsoft descobriu que os dispositivos móveis da Apple enviam automaticamente o histórico de chamadas de um usuário para os servidores da empresa se o iCloud estiver ativado - mas os dados são carregados em muitos casos sem a escolha ou notificação do usuário.

"Você só precisa ter o iCloud habilitado" para que os dados sejam enviados, disse Vladimir Katalov, CEO da Elcomsoft.

Os logs que são carregados para a Apple contêm uma lista de todas as chamadas feitas e recebidas em um dispositivo iOS, com números de telefone, datas e horários e duração. Eles também incluem chamadas perdidas e ignoradas. A Elcomsoft afirmou que a Apple mantém os dados na conta iCloud de um usuário por até quatro meses, fornecendo uma bênção para a aplicação da lei, que pode não ser capaz de obter os dados da operadora do usuário, que pode reter os dados por um curto período ou a partir do dispositivo do usuário, se ele é criptografado com uma senha inquebrável.

Para mais detalhes, leiam abaixo a matéria na íntegra.


iPhones Secretly Send Call History To Apple, Security Firm Says

Apple emerged as a guardian of user privacy this year after fighting FBI demands to help crack into San Bernardino shooter Syed Rizwan Farook's iPhone. The company has gone to great lengths to secure customer data in recent years, by implementing better encryption for all phones and refusing to undermine that encryption.

But private information still escapes from Apple products under some circumstances. The latest involves the company's online syncing service iCloud.

Russian digital forensics firm Elcomsoft has found that Apple's mobile devices automatically send a user's call history to the company's servers if iCloud is enabled — but the data gets uploaded in many instances without user choice or notification.

"You only need to have iCloud itself enabled" for the data to be sent, said Vladimir Katalov, CEO of Elcomsoft.

The logs surreptitiously uploaded to Apple contain a list of all calls made and received on an iOS device, complete with phone numbers, dates and times, and duration. They also include missed and bypassed calls. Elcomsoft said Apple retains the data in a user's iCloud account for up to four months, providing a boon to law enforcement who may not be able to obtain the data either from the user's carrier, who may retain the data for only a short period, or from the user's device, if it's encrypted with an unbreakable passcode.

"Absolutely this is an advantage [for law enforcement]," Robert Osgood, a former FBI supervisory agent who now directs a graduate program in computer forensics at George Mason University, said of Apple's call-history uploads. "Four months is a long time [to retain call logs]. It's generally 30 or 60 days for telecom providers, because they don't want to keep more [records] than they absolutely have to. So if Apple is holding data for four months, that could be a very interesting data repository and they may have data that the telecom provider might not."

It's not just regular call logs that get sent to Apple's servers. FaceTime, which is used to make audio and video calls on iOS devices, also syncs call history to iCloud automatically, according to Elcomsoft. The company believes syncing of both regular calls and FaceTime call logs goes back to at least iOS 8.2, which Apple released in March 2015.

And beginning with Apple's latest operating system, iOS 10, incoming missed calls that are made through third-party VoIP applications like Skype, WhatsApp, and Viber, and that use Apple CallKit to make the calls, also get logged to the cloud, Katalov said.

Because Apple possesses the keys to unlock iCloud accounts, U.S. law enforcement agencies can obtain direct access to the logs with a court order. But they still need a tool to extract and parse it.

Elcomsoft said it's releasing an update to its Phone Breaker software tool today, that can be used to extract the call histories from iCloud accounts, using the accountholder's credentials. Elcomsoft's forensic tools are used by law enforcement, corporate security departments, and even consumers. The company also leases some of its extraction code to Cellebrite, the Israeli firm the FBI regularly uses to get into seized phones and iCloud data.

In some cases Elcomsoft's tool can help customers access the iCloud even without account credentials, if they can obtain an authentication token for the account from the accountholder's computer, allowing them to get iCloud data without Apple's help. The use of authentication tokens also bypasses two-factor authentication if the accountholder has set this up to prevent a hacker from getting into their account, Elcomsoft notes on its web site.

Apple's collection of call logs potentially puts sensitive information at the disposal of people other than law enforcement and other Elcomsoft customers. Anyone else who might be able to obtain the user's iCloud credentials, like hackers, could potentially get at it too. In 2014, more than 100 celebrities fell victim to a phishing attack that allowed a hacker to obtain their iCloud credentials and steal nude photos of them from their iCloud accounts. The perpetrator reportedly used Elcomsoft's software to harvest the celebrity photos once the accounts were unlocked.

Generally, if someone were to attempt to download data in an iCloud account, the system would email a notification to the account owner. But Katalov said no notification occurs when someone downloads synced call logs from iCloud.

Apple acknowledged that the call logs are being synced and said it's intentional.

"We offer call history syncing as a convenience to our customers so that they can return calls from any of their devices," an Apple spokesperson said in an email. "Device data is encrypted with a user's passcode, and access to iCloud data including backups requires the user's Apple ID and password. Apple recommends all customers select strong passwords and use two-factor authentication."

The syncing of iCloud call logs would not be the first time Apple has been found collecting data secretly. A few months ago, The Intercept reported about similar activity occurring with iMessage logs.

Chris Soghoian, chief technologist for the American Civil Liberties Union, said he's not surprised that Apple is collecting the information.

"It's arguably not even the worst thing about iCloud," he told The Intercept. "The fact that iCloud backs up what would otherwise be end-to-end encrypted iMessages is far worse in my mind. There are other ways the government can obtain [call logs]. But without the backup of iMessages, there may be no other way for them to get those messages."

Still, he said it's further proof that "iCloud really is the Achilles heel of the privacy of the iPhone platform. The two biggest privacy problems associated with iCloud don't have check boxes [for users to opt out], nor do they require that you opt in either."

Jonathan Zdziarski, an iOS forensics expert and security researcher, said he doesn't think Apple is doing anything nefarious in syncing the call logs. But he said that Apple needs to be clear to users that the data is being collected and stored in the cloud.

Authorized and Unauthorized iCloud Collection

iCloud is Apple's cloud service that allows users to sync data across multiple Apple devices, including iPhones, iPads, iPods, and Macs. The iPhone menu corresponding to the service gives users the option of syncing mail, contacts, calendars, reminders, browser history and notes and wallet data. But even though call logs are automatically getting synced as well, the menu does not list them among the items users can choose to sync. Because there's no way to opt-in to sync call logs, there is also no way to opt out — other than turning off iCloud completely, but this can cause other issues, like preventing apps from storing documents and data (such as WhatsApp backups) in the cloud.

"You can only disable uploading/syncing notes, contacts, calendars and web history, but the calls are always there," Katalov said. One way call logs will disappear from the cloud, is if a user deletes a particular call record from the log on their device; then it will also get deleted from their iCloud account during the next automatic synchronization.

Katalov said they're still researching the issue but it appears that in some cases the call logs sync almost instantly to iCloud, while other times it happens only after a few hours.

In addition to syncing data among their devices, users can also configure their iCloud account to automatically back up and store their data. Katalov said that call logs get sent to the cloud with these backups as well, but this is separate from the trafficking his company discovered: Even if users disable the backups, their call logs will still get synced to Apple's servers.

"I would suggest Apple to add a simple option to disable call log syncing, as they do that for calendars and other things," Katalov told The Intercept, though he acknowledges this would likely take some re-architecting on Apple's part. Nonetheless, he says "they should allow people to disable that if they want to."

Even as Apple has increased the security of its mobile devices in recent years, the company has been moving more and more data to the cloud, where it is less protected. Although iCloud data is encrypted on Apple's server, Apple retains the encryption keys in almost every instance and can therefore unlock the accounts and access data for its own purposes or for law enforcement.

"All of your [iCloud] data is encrypted with keys that are controlled by Apple, but the average user isn't going to understand that," Zdziarski said. "You and I are well aware that Apple can read any of your iCloud data when they want to."

A report in the Financial Times nine months ago indicated Apple plans to re-architect iCloud to resolve this issue and better protect customer data, but that has yet to occur.

Apple discusses the privacy implications of iCloud collection on its website, and does say that implementing backups will send to iCloud "nearly all data and settings stored on your device." A 63-page white paper on the site discloses more clearly that call logs get uploaded to Apple servers when iCloud backups are enabled. But neither document mentions that the logs still get uploaded even if backups aren't enabled.

Even law enforcement seems to be in the dark about the availability of these logs, especially logs going back four months. Osgood told The Intercept he was not aware of them. And in an online document about handling legal requests from law enforcement, Apple never mentions that call logs are available through iCloud. It says that it possesses subscriber information that customers provide, including name, physical address, email address, and telephone number. It also says it retains IP connection logs (for up to 30 days), email metadata (for up to 60 days), and content that the user chooses to upload, such as photos, email, documents, contacts, calendars, and bookmarks. The law enforcement document also says that Apple's servers have iOS device backups, which may include photos and videos in the user's camera roll, device settings, application data, iMessages, SMS and MMS messages and voicemail.

The only time it mentions call logs is to say that iCloud stores call histories associated with FaceTime, but it says it maintains only FaceTime call invitation logs, which indicate when a subscriber has sent an invitation to someone to participate in a FaceTime call. Apple says the logs "do not indicate that any communication between users actually took place." It also says it only retains these logs for "up to 30 days."

But Elcomsoft said this is not true. Katalov said the FaceTime logs contain full information about the call, including the identification of both parties to the call and the call duration. He said his researchers also found that the FaceTime call logs were retained for as long as four months.

Early Clues from Frustrated Apple Customers

Some users are aware that their call logs are being synced to Apple's servers, because a by-product of the automatic syncing means that if they have the same Apple ID as someone with a different device — for example spouses who have different phones but use the same Apple ID — they will see calls from one device getting synced automatically to the device of the other person who is using the same ID.

"Its very irritating," one user complained in a forum about the issue. "My wife and I both have iPhones, we are both on the same apple ID. When she gets a call my phone doesn't ring but when she misses that call my phone shows a missed call icon on the phone app and when I go to the phone app its pretty clearly someone who wasn't calling my phone. Any way to fix this so it stops?"

Another user expressed frustration at not knowing how to stop the syncing. "I use my phone for business and we have noticed in the last few days that all of the calls I make and receive are appearing in my wife's iPhone recent call history? I have hunted high and low in settings on both phones but with no joy."

There's no indication, however, that these customers realized the full implications of their logs being synced — that the same data is being sent to and stored on Apple's servers for months.

Apple isn't the only company syncing call logs to the cloud. Android phones do it as well, and Windows 10 mobile devices also sync call logs by default with other Windows 10 devices that use the same Microsoft Account. Katalov said there are too many Android smartphone versions to test but his company's research indicates that call log syncing occurs only with Android 6.x and newer versions. As with Apple devices, the only way for a user to disable the call history syncing is to disable syncing completely.

"In 'pure' [stock versions of] Android such as one installed on Nexus and Pixel devices, there is no way to select categories to sync," Katalov said. "For some reason, that is only able on some third-party Android versions running on Sony, HTC, Samsung etc." The company already produces a tool for harvesting call logs associated with Android devices.

There's little that subscribers can do to prevent law enforcement from obtaining their iCloud call logs. But to protect against a hacker who might obtain your AppleID from doing the same, they can use two-factor authentication. But Zdziarski said there's another solution.

"The takeaway really is don't ever use iCloud. I won't use it myself until I can be in control of the encryption keys," he said.



Enviado do meu iPhone

domingo, 13 de novembro de 2016

Facebook declara que Zuckerberg morreu



Me chamou atenção a noticia: 


"FaceBook declara morte de usuários vivos; Zuckerberg também "morreu".


Não me surpreende este tipo de falha. Acredito que Zuckerberg usa da mesma estratégia de Bill Gates na época da tela azul da morte (BSOD) numa das demonstrações do Windows para se proteger de problemas no futuro.


Tenho uma teoria que Bill Gates, planejou propositalmente a falha na apresentação para deixar uma mensagem subliminar.


Com aquele evento, aparentemente trágico, teve a melhor e bem sucedida  utilização de mensagem subliminar que tenho conhecimento. 


Para quem não conhece a história, no evento de demonstração das facilidades do Windows ele iniciou uma apresentação e logo no início o PC travou com Tele azul (https://youtu.be/73wMnU7xbwE).


Com esta falha ele passou recado que  pode acontecer com qualquer um do Windows falhar, travar com a tela azul, mas que rapidamente pode ser recuperado  apertando apenas um botão ou o famoso Ctrl+Alt+Del. 


A partir daí,  ficou gravado no sub consciente das pessoas que a Tela  Azul é algo que pode acontecer com qualquer um, pois, se aconteceu com Bill Gates porque não pode acontecer comigo mesmo?  Mesmo que aconteça, a solução é simples sem a necessidade de qualquer especialista. 


Então, na mesma lógica, se o Facebook é capaz de cometer falha com o  Zuckerberg,  pode cometer com qualquer outro e isso é tratado com "normal" e passa desapercebido pelos pobres mortais, com uma simples declaração de que foi corrigido.


Com isso, qualquer campanha negativa, processos judiciais, perdas financeiras e etc são simplesmente inibidos. 


Ou seja, O Facebook declarou acidentalmente  como mortos vários usuários que continuam vivos e isso vai passar sem nenhum arranhão, pois aconteceu com o próprio Mark Zuckerberg. 


Será que aconteceu mesmo com o Mark ou teria sido mais uma manobra para se proteger de ter perdas financeiras com ações judiciais?




http://g1.globo.com/tecnologia/noticia/2016/11/facebook-declara-morte-de-usuarios-vivos-zuckerberg-tambem-morreu.html




Enviado do meu iPhone

sábado, 12 de novembro de 2016

Era Trump - O jogo vai começar.


Mesmo que você seja daquelas pessoas que não se preocupa com a privacidade e segurança cibernética deve lê este Post. 


Nele, reproduzo trechos do artigo  de Aviva Rutkin publicado originalmente no site NewScientistem (https://www.newscientist.com/article/2112521-trumps-election-stokes-fears-of-future-nsa-surveillance-abuses/ ) que traça um cenário nebuloso para Era Trump em relação à segurança e privacidade cibernética.


Particularmente acredito que pouco vai mudar na Era Trump. Todos aquele discursos da campanha será lembrado como mais um script seguido personagem que ele representou para o público americano.


Será que a  população foi levada pela emoção e "barrismo" típico de pais de terceiro mundo?


Será que  foi levada pelo personagem de um super herói americano, com forte apelo patriótico, que  promete  defender a pátria dos exploradores externos e capaz de realizar o sonho americano para os americanos? 


Pois é, o capitão América é fichinha diante do Super Trump.


É verdade, quando Donald Trump assumir o cargo, serão entregues as chaves dos EUA e um conjunto poderoso de ferramentas para espionar as pessoas organizações e governos, mas a vida real é diferente e ele não é nenhum Maluco, do mesmo jeito que não é um super herói!


Pouco ou nada vai nesse episódio de jogos mortais. NSA vai continuar atuando como sempre atuou, a invasão de privacidade continuará sendo praticada da mesma forma. As trincheiras da guerra cibernética continuará em fogo cruzado. 


Segue o artigo...


A eleição de Trump alimenta temores de futuros abusos de vigilância da NSA


Os EUA estão a poucas semanas de entregar poderes de vigilância maciça a um homem que expressou entusiasmo pela idéia de espionar aqueles que ele vê como adversários.


Quando Trump tomar posse em janeiro, como ele vai decidir exercer os poderes de fiscalização do governo? 


Ele poderia tentar reverter as reformas que Obama implementou, como as limitações sobre quando a agência pode coletar dados das pessoas e como elas podem ser armazenadas. 


Ele pode decidir em que países os EUA espionam. 


Ele pode optar por empurrar muito mais dificuldades  contra as empresas que se recusam a construir  " portas dos fundos " para sua tecnologia para seu governo.


Trump também prometeu se vingar de inimigos pessoais, como as mulheres que o acusaram de agressão sexual. Quando os detalhes das escutas telefônicas sem mandato da NSA vieram à luz, os analistas foram apanhados espionando seus parceiros e interesses amorosos. Poderia Trump ter vantagens semelhantes?


Enquanto isso, o Open Rights Group, uma organização de direitos digitais em Londres, levantou questões sobre o que a eleição de Trump poderia significar para os cidadãos britânicos. Na quarta-feira, o seu director executivo, Jim Killock, apontou que agência de segurança GCHQ tem trabalhado estreitamente no passado com a NSA, a partilha de ferramentas de hacking e os dados coletados. "Nós confiamos tanto na tecnologia e nos dados dos EUA que levantam questões para nossa soberania", escreve ele. "Será que o Trump ameaçará o Reino Unido com a remoção de tecnologias-chave, se o nosso governo sair da linha?"


Desde a eleição, os ativistas de privacidade aconselharam o público a mudar para proteger plataformas, como o navegador de internet  aplicativos  de mensagens criptografado. 


Alguns se perguntam o que, se alguma coisa, Obama poderia fazer para desmantelar os poderes de fiscalização do governo antes de ele desce em janeiro. Luta para o Futuro, uma organização sem fins lucrativos em Boston, Massachusetts, pediu ao presidente para " desligar o NSA ", apagando todos os dados sobre os cidadãos dos Estados Unidos e derrubar a infra-estrutura utilizada para recolher. "Se Trump quiser espionar centenas de milhões de americanos, faça com que ele construa essa capacidade do zero", diz.


Enviado do meu iPhone

quinta-feira, 27 de outubro de 2016

Ética e Segurança não são negociáveis.


Não adianta contratar as maiores e mais conceituadas empresas, se os valores defendidos não forem rigorosamente seguidos em todos os níveis.  


"Não foi pelo tamanho que Davi  derrotou Golias!"


Valores como Ética e  Segurança não são negociáveis e não podem ser apenas um conceito ou uma tagline no cartão de visita para produzir vendas, tem que ir mais além, tem que fazer parte das entranhas, tem que fazer parte do DNA da organização


Depois, não adianta chorar o leite derramado com "artifícios" e desculpas de que providências estão sendo tomadas! 


Depois que o  estrago já foi feito não  tem como reparar! 


Booz Allen Hamilton anunciou que encomendou avaliação externa das suas práticas de segurança, depois que as autoridades prenderam seu funcionário que trabalhava para a NSA,  sob acusação  de roubar informações classificadas.


Segue matéria sobre o assunto: http://feeds.reuters.com/~r/reuters/technologyNews/~3/ZK_aMQ0s5C8/us-usa-cyber-arrest-booz-allen-idUSKCN12R2U8



Enviado do meu iPhone

terça-feira, 18 de outubro de 2016

Guerra cibernética - Como vc pode ser usado!

Segurança da 'internet das coisas' passa por 'tragédia anunciada' | G1 - Tecnologia e Games - Segurança Digital
A notícia que reproduzo abaixo pode ter passado desapercebida do público em geral, mas se vc esta lendo este meu post, recomendo lê a matéria completa para entender como vcs podem ser usados como artefatos e base de ataque da guerra cibernética.

Boa leitura!

Segurança da 'internet das coisas' passa por 'tragédia anunciada'

por

Se você tem alguma dúvida sobre segurança da informação (antivírus, invasões, cibercrime, roubo de dados etc.) vá até o fim da reportagem e utilize o espaço de comentários ou envie um e-mail para g1seguranca@globomail.com. A coluna responde perguntas deixadas por leitores no pacotão, às quintas-feiras.

Switch de redeDispositivos "inteligentes" da internet das coisas - principalmente câmeras IP e gravadores de vídeo, mas também impressoras e talvez algumas geladeiras - estão sendo invadidos por hackers para realizar ataques na internet. 

Essa é a má notícia.

A péssima notícias é que em alguns casos a única solução é desconectar o dispositivo da internet ou comprar um novo: não existe como resolver o problema, pois o fabricante não previu a necessidade de atualizações. 

Quando há uma solução - que é a maioria dos casos - ela exige o download manual de um arquivo no site do fabricante ou a alteração de uma configuração e a maioria dos usuários não perceberá o problema para saber que precisa precisar fazer algo a respeito.

Essa situação ocorre apesar de inúmeros alertas, inclusive desta coluna, que há um ano afirmou que a internet das coisas exigia sistemas capazes de "cuidar de si mesmos". 

Vários especialistas rebatizaram a sigla "IoT", de "internet of things" ("internet das coisas", em inglês) para "internet of threats" (internet das ameaças), prevendo esse cenário há ainda mais tempo. 

O problema é que a insegurança não afeta só esses dispositivos, mas traz consequências para o resto da internet. Sistemas inseguros inevitavelmente se transformam em armas de criminosos e o impacto na rede acaba prejudicando mesmo quem faz a lição de casa em termos de segurança. 

Como isso funciona? 

Criminosos ameaçam que vão tirar uma loja on-line do ar, por exemplo, se o dono da loja não pagar uma certa quantia em dinheiro para evitar o ataque. E o ataque só é possível porque o criminoso conta com um exército de sistemas inseguros que ele tomou para si e que vão inundar o site alvo com tráfego ilegítimo. 

Esse tipo de extorsão não é novidade e esses sistemas usados indevidamente no ataque costumavam ser só computadores, nos quais o problema fica visível e um antivírus pode atuar para remover o código, de modo que realizar o ataque por muito tempo chamava atenção e não era interessante para o criminoso perder as máquinas do seu "exército".

Mas, quando o sistema em questão é uma câmera IP, o aparelho continua funcionando sem qualquer sinal de problema. E nem sempre há antivírus ou outra solução capaz de eliminar o código ou impedir o ataque. Em alguns aparelhos, não há nem sequer uma atualização do fabricante para eliminar a brecha usada pelo criminoso para contaminar o dispositivo.

Foi usando esses dispositivos que criminosos conseguiram quebrar o recorde de maior ataque da história, de 665 Gbps, contra o site do jornalista Brian Krebs. 

Em uma publicação sobre o caso, o jornalista comparou venda desses dispositivos inseguros ao depósito de "lixo tóxico" na rede.

Intervenção do governo

A receita para se construir esse cenário é simples: tenha dispositivos que não foram projetados para funcionar de maneira segura e ofereça-os a consumidores que não têm como saber disso e que vão conectar esses aparelhos à internet.

O especialista em segurança Bruce Schneier, um dos mais respeitados do ramo, defende uma intervenção do governo. 

Schneier argumenta que os incentivos econômicos existentes hoje não colaboram para a criação de um ambiente seguro. "O mercado não consegue corrigir isso porque nem o comprador e nem o vendedor se importam. Pense em todas as câmeras e gravadores de vídeos usados no ataque contra [o jornalista] Brian Krebs. Os donos desses aparelhos não se importam, os dispositivos foram baratos e funcionam, e eles nem sabem quem é o Brian. 

Os vendedores não se importam, porque estão vendendo modelos mais novos e melhores, e os compradores do modelo anterior só queriam saber do preço e recursos. Não há solução de mercado porque a insegurança é o que economistas chamam de uma externalidade: um efeito da decisão de compra que afeta outras pessoas. Entenda isso como um tipo de poluição invisível", explicou Schneier em seu blog.

Para Schneier, há duas possibilidades: a legislação deve obrigar que os aparelhos tenham um certo nível de segurança ou ela deve permitir que pessoas e empresas atacadas pelos dispositivos possam processar diretamente a fabricante dos aparelhos vulneráveis, o que mudaria os incentivos econômicos para a fabricação desses equipamentos.

A Comissão Europeia está avaliando uma proposta para que a indústria desenvolva um tipo de certificação (algo como um "Inmetro da internet das coisas") para que o consumidor possa saber se um produto foi testado e é "seguro". Mas ainda não existe nada concreto.

US$ 50 mil para saber quem está na rede

Mesmo quem quer usar sistemas da "internet das coisas" de forma segura tem problemas, porque os dispositivos não estão preparados para um bom funcionamento em rede. 

Administradores de rede têm dificuldades para identificar, gerenciar e detectar irregularidades (ou invasões) que possam surgir a partir desses dispositivos.

A Mitre Corporation, uma ONG que gerencia patrocínios federais de pesquisa nos Estados Unidos, está oferecendo até US$ 50 mil (cerca de R$ 160 mil) para pesquisadores ou equipes que encontrarem uma solução barata para identificar de forma única os dispositivos de "internet das coisas" conectados a uma rede. 

A ideia é criar um programa capaz de varrer uma rede e apontar onde estão as câmeras, gravadores de vídeo, impressoras, termostatos e outros aparelhos "inteligentes".

O próprio texto explicativo (leia aqui, em inglês) da Mitre sobre a pesquisa afirma que a solução ideal envolve uma identificação fornecida pelo próprio dispositivo, mas que isso não existe nos sistemas que estão no mercado.

Quem quiser participar do desafio e levar o prêmio terá que identificar particularidades de diversos dispositivos da "internet das coisas" para adivinhar "quem é quem" na rede. É como se eles tivessem que mapear a "personalidade" dos dispositivos.

Embora a mesma tecnologia possa ser usada por criminosos para identificar possíveis alvos de ataques, a verdade é que não há alternativa: criminosos vão continuar atacando - e nada os ajuda mais do que a ausência de medidas defensivas.

Imagem: Switch de rede. (Foto: Mario Alberto Magallanes Trejo/Freeimages.com)

Siga a coluna no Twitter em @g1seguranca.



Enviado do meu iPhone