Mobile e Social – as ameaças que você deve saber sobre

Devido ao uso crescente de smartphones e telefones celulares, as ameaças contra esses dispositivos móveis aumentaram/aumentaram nos últimos anos. Vamos analisar detalhadamente vários golpes, phishing, spear phishing, engenharia social, segurança na nuvem, vírus, worms e outras ameaças que um usuário pode encontrar e ameaças futuras.

Ameaças de segurança, como malware, estão começando a se manifestar em dispositivos móveis, pois estamos aprendendo que os dispositivos móveis não são imunes a vírus, malware e outros ataques. À medida que os PCs estão sendo cada vez mais substituídos pelo uso de dispositivos móveis, a incidência de novos ataques contra dispositivos móveis está crescendo. O usuário tem que tomar precauções para proteger seus dispositivos móveis, assim como eles protegeriam seu PC.

Um dos principais tipos de cibercrime móvel é a mensagem de texto não solicitada que captura detalhes pessoais. Outro tipo de cibercrime envolve um telefone infectado que envia uma mensagem SMS que resulta em cobranças excessivas de conectividade.

As ameaças móveis estão aumentando de acordo com o Relatório da Symantec de 2012; 31% de todos os usuários de dispositivos móveis receberam um SMS de alguém que não conheciam. Um exemplo é quando o usuário recebe uma mensagem SMS que inclui um link ou número de telefone. Esta técnica é usada para instalar malware em seu dispositivo móvel. Além disso, essas técnicas são uma tentativa de induzi-lo a divulgar dados pessoais ou privados. Em 2012, a Symantec lançou um novo relatório de crimes cibernéticos. Eles concluíram que países como Rússia, China e África do Sul têm os maiores incidentes de crimes cibernéticos. Sua taxa de exploração varia de 80% a 92%. Você pode encontrar este relatório em http://nowstatic.norton.com/now/en/pu/images/Promotions/2012/cybercrimeReport/2012_Norton_Cybercrime_Report_Master_FINAL_050912.pdf.

Malware

O tipo mais comum de ameaça é conhecido como malware. É a abreviação de software malicioso. O malware é usado ou criado por invasores para interromper muitos tipos de operações de computador, coletar informações confidenciais ou obter acesso a um dispositivo/computador móvel privado. Inclui worms, cavalos de Tróia, vírus de computador, spyware, keyloggers e root kits, e outros programas maliciosos.

Como o malware móvel está aumentando em uma velocidade rápida, o governo dos EUA quer que os usuários estejam cientes de todos os perigos. Assim, em outubro de 2012, o FBI emitiu um alerta sobre malware móvel (http://www.fbi.gov/sandiego/press-releases/2012/smartphone-users-should-be-aware-of-malware-targeting-mobile-devices-and-the-safety-measures-to-help-avoid-compromise).

O IC3 foi informado de vários malwares atacando sistemas operacionais Android para dispositivos móveis. Algumas das últimas versões conhecidas deste tipo de malware são Loozfon e FinFisher. Loozfon fisga suas vítimas enviando e-mails para o usuário com links promissores, tais como: um pagamento lucrativo apenas para enviar e-mails.

Em seguida, ele se instala no telefone quando o usuário clica neste link. Esse malware específico se conectará ao dispositivo e começará a coletar informações do seu dispositivo, incluindo:

Informações de contato
Endereço de e-mail
Números de telefone
Número de telefone do dispositivo comprometido

Por outro lado, um spyware chamado FinFisher pode assumir vários componentes de um smartphone. De acordo com o IC3, este malware infecta o dispositivo através de uma mensagem de texto e através de um link de e-mail falso. O FinFisher ataca não apenas dispositivos Android, mas também dispositivos que executam Blackberry, iOS e Windows.

Vários relatórios de segurança mostraram que o malware móvel está em ascensão. Os criminosos virtuais tendem a ter como alvo dispositivos móveis Android. Como resultado, os usuários do Android estão recebendo uma quantidade crescente de Trojans destrutivos, botnets móveis e malware e spyware que enviam SMS. Alguns desses relatórios incluem:

Como afirmado recentemente em uma pesquisa do Pew, mais de cinquenta por cento dos usuários de dispositivos móveis dos EUA são excessivamente suspeitos/preocupados com suas informações pessoais e se recusaram a instalar aplicativos por esse motivo ou desinstalaram aplicativos.

Em outras palavras, o IC3 diz:

Use as mesmas precauções em seus dispositivos móveis que você faria em seu computador ao usar a Internet.

Fraude de pedágio

Desde as décadas de 1970 e 1980, hackers usam um processo conhecido como phreaking. Este truque fornece um tom que diz ao telefone que um mecanismo de controle está sendo usado para gerenciar chamadas de longa distância. Hoje, os hackers estão usando uma técnica conhecida como fraude de pedágio. É um malware que envia SMS de taxa premium do seu dispositivo, incorrendo em cobranças na sua conta telefônica. Alguns malwares de fraude de pedágio podem induzi-lo a concordar com Termos de Serviço obscuros, enquanto outros podem enviar mensagens de texto premium sem quaisquer indicadores perceptíveis. Isso também é conhecido como malware SMS de taxa premium ou abusador de serviço premium.

A figura a seguir mostra como funciona a fraude de pedágio, retratada pelo Lookout Mobile Security:

De acordo com a VentureBeat, os desenvolvedores de malware estão atrás de dinheiro. O dinheiro está no malware de fraude de pedágio. Aqui está um exemplo de http://venturebeat.com/2012/09/06/toll-fraud-lookout-mobile/:

Agora, vamos ver as etapas quando seu dispositivo está infectado com o malware conhecido como FakeInst:

O usuário final baixa um aplicativo de malware que envia uma mensagem SMS para esse mesmo provedor de toque.
Como de costume, o provedor de toque envia a mensagem de confirmação. Nesse caso, em vez de chegar ao dono do smartphone, o malware bloqueia essa mensagem e envia uma mensagem de confirmação falsa antes que o usuário saiba.
O malware agora se coloca entre a operadora sem fio e o provedor de toque. Fingindo ser o cobrador, o malware extrai o dinheiro que foi pago através da conta do usuário.

FakeInst é conhecido por contornar o software antivírus, identificando-se como software novo ou único.

No geral, os dispositivos Android são conhecidos por serem mais afetados por malware do que o iOS. Uma grande razão para isso é que os dispositivos Android podem baixar aplicativos de quase qualquer local na Internet. A Apple limita seus usuários a baixar aplicativos da Apple App Store.

Falsificação de SMS

O terceiro tipo mais comum de golpe é chamado de falsificação de SMS. A falsificação de SMS permite que uma pessoa altere o número de telefone celular original ou o nome (ID do remetente) de onde vem a mensagem de texto. É uma tecnologia bastante nova que usa SMS em telefones celulares. A falsificação pode ser usada de maneiras legais e ilegais. Fazer-se passar por uma empresa, outra pessoa ou um produto é um uso ilegal de spoofing. Algumas nações o baniram devido a preocupações sobre o potencial de fraude e abuso, enquanto outros podem permitir. Um exemplo de como a falsificação de SMS é implementada é a seguinte: A falsificação de SMS ocorre quando as informações de endereço do remetente da mensagem foram manipuladas. Isso é feito muitas vezes para se passar por um usuário de telefone celular que está em roaming em uma rede estrangeira e enviando mensagens para uma rede doméstica. Muitas vezes, essas mensagens são endereçadas a usuários que estão fora da rede doméstica, que está essencialmente sendo "sequestrada" para enviar mensagens para outras redes.

Os impactos dessa atividade incluem o seguinte:

A rede do cliente pode receber cobranças de rescisão causadas pela entrega válida dessas mensagens "ruins" para parceiros de interligação.
Os clientes podem criticar por serem enviados por spam ou o conteúdo de suas mensagens pode ser confidencial. Os parceiros da Interlink podem cancelar a rede doméstica, a menos que uma correção desses erros seja implementada. Feito isso, o serviço telefônico pode não conseguir enviar mensagens para essas redes.
Há um grande risco de que essas mensagens se pareçam com mensagens reais, e usuários reais podem ser cobrados por mensagens móveis inválidas que não enviaram.

Há uma falha dentro do iPhone que permite a falsificação de SMS. É vulnerável à falsificação de mensagens de texto, mesmo com a versão beta mais recente, o iOS 6. O problema com o iPhone é que, quando o remetente especifica um número de resposta dessa maneira, o destinatário não vê o número de telefone original na mensagem de texto. Isso significa que não há como saber se uma mensagem de texto foi falsificada ou não. Isso abre o usuário para outros tipos de manipulação de falsificação em que o destinatário acha que está recebendo uma mensagem de uma fonte confiável.

De acordo com pod2g (http://www.pod2g.org/2012/08/never-trust-sms-ios-text-spoofing.html):

Em uma boa implementação desse recurso, o receptor veria o número de telefone original e a resposta a um. No iPhone, quando você vê a mensagem, parece vir do número de resposta, e você perde o controle da origem.

Engenharia social

Para que muitos ataques existam, a vítima é obrigada a divulgar informações pessoais de alguma forma; Isso é conhecido como engenharia social. Os hackers estão em todos os lugares e nunca dormem, seja uma mensagem de texto SMS com uma intenção maligna ou um e-mail de phishing que está observando cada passo seu em seus dispositivos móveis.

Se você é um gerente de TI protegendo funcionários e sistemas corporativos ou está simplesmente tentando manter seus próprios dados pessoais seguros, essas ameaças — algumas crescendo rapidamente, outras ainda surgindo — representam um risco potencial.

Uma boa fonte para uma definição de engenharia social é http://en.wikipedia.org/wiki/Social_engineering_(segurança).

A engenharia social está cometendo um ato de manipular pessoas para executar ações ou divulgar informações confidenciais, como um documento de identidade e senha ou conta bancária, cartão de crédito ou número de segurança social. Existem duas formas de engenharia social: uma é o phishing e a outra é o spear phishing, em que as pessoas se apresentam como entidades confiáveis em uma comunicação eletrônica.

Phishing

Phishing é o ato fraudulento de tentar capturar informações pessoais confidenciais disfarçando através de um e-mail de fonte confiável/legítima. Esses tipos de ataques podem utilizar táticas de engenharia social. Os e-mails de phishing podem incluir links que levam a sites infectados com malware. Usando essa confiança, eles tentam adquirir informações confidenciais, como nomes de usuário, senhas de conta, dados de cartão de crédito e informações corporativas confidenciais. Esses ataques são bastante amplos, geralmente envolvendo e-mails de spam ou outras comunicações distribuídas para muitas pessoas. Um exemplo é o tipo de e-mail solicitando "verificação" de informações enquanto avisa de alguma consequência terrível se elas não forem fornecidas. Desconfie particularmente de comunicações não solicitadas. É melhor digitar a URL diretamente do que copiá-la e colá-la.

Aqui está um exemplo:

Um usuário recebe um e-mail de seu banco, solicitando que ele verifique as informações de sua conta, como nome de usuário e senha. O usuário clica no link onde insere seu nome de usuário e senha.

Aqui está outro exemplo:

Se o aplicativo Groupon no iPhone quiser compartilhar algo no Facebook, o programa normalmente aparece uma janela que convida o usuário a entrar nesse site. Mas, geralmente não há como ter certeza de que o site de login é legítimo e que o proprietário do telefone está realmente enviando seu nome de usuário e senha para o Facebook. Os usuários são manipulados dessa forma; Portanto, você nunca deve inserir nenhuma informação sensível e sempre usar cuidado extra.

No geral, é difícil para os usuários de telefones celulares distinguir sites reais de sites falsos. As telas menores dos celulares não ajudam nesse processo de identificação.

Tipos de phishing

Há uma variedade de tipos de ataque; Vamos rever alguns:

Phishing baseado em malware: esse tipo de phishing envolve a execução de software mal-intencionado nos dispositivos dos usuários. É fácil introduzir malware como um arquivo para download em um site ou um e-mail. Um alvo fácil são empresas menores e/ou usuários finais que não mantêm seus dispositivos atualizados com o software antivírus mais recente.
Phishing enganoso: usando o email como mecanismo de entrega principal, o phishing enganoso usa o email para enganar o usuário final a compartilhar informações sobre as informações de sua conta. Embora não se limite totalmente ao e-mail, esse tipo de truque tentará dizer que você tem taxas de conta fictícias. Como resultado, os usuários finais compartilham informações pessoais.
Phishing baseado em DNS (pharming): Este é um tipo avançado de phishing. Pharming, especialmente, é a modificação do arquivo de um host do sistema. Isso também pode afetar um DNS (Sistema de Nomes de Domínio). Isso é tão perigoso quanto parece. Os hackers estão mexendo com um arquivo de host corporativo e/ou o sistema DNS e, como resultado, eles podem rotear URLs para os sites do hacker.
Phishing por injeção de conteúdo: Injeção de conteúdo é quando um hacker substitui alguma parte de um site legítimo para redirecionar o usuário para um site falso. Este também pode ser um site modificado onde as informações são efetivamente roubadas do usuário final e enviadas diretamente para o hacker.
Roubo de dados: Este é o tipo mais comum de phishing. PCs que não são bem gerenciados são alvos fáceis para hackers. Esses tipos de PCs não são PCs autorizados ou PCs que não têm todo o software de verificação de vírus necessário instalado. Esses PCs não seguros podem ser usados para acessar servidores corporativos e roubar dados intelectuais de uma empresa.
Phishing em mecanismos de pesquisa: esse tipo de phishing fornece ao usuário ofertas genuínas muito sofisticadas, atraentes e legítimas que aparecem no índice adequado do mecanismo de pesquisa. Os hackers criam esses sites pesquisáveis. Esses sites aparecem durante o curso normal de um usuário em busca de produtos ou serviços e são enganados a abrir mão de suas informações confidenciais. Um bom exemplo desse tipo de golpe é quando golpistas criam sites bancários falsos com taxas de crédito mais baixas ou melhores taxas de juros para hipotecas ou empréstimos pessoais. As vítimas são atraídas para esses sites a fim de ganhar mais juros ou até mesmo se poupar de cobranças de juros. A vítima é encorajada a abrir mão de suas informações pessoais.

Outros tipos de ataques incluem:

Ataques de reconfiguração do sistema: esse tipo de ataque modificará as definições de configuração na área de trabalho de um usuário. Uma vez que essas configurações maliciosas tenham sido instaladas, os hackers podem controlar os dispositivos.
Keyloggers e screenloggers: Este é um tipo muito antigo de ataque. Keyloggers existem há muito tempo. Esse ataque realmente rastreará cada uma das chaves enviadas e, em seguida, enviará esses dados para os servidores dos hackers.

Spear phishing

Agora que apresentamos o phishing, vamos falar sobre o spear phishing. O spear phishing é outro método que pode ser usado para roubar sua identidade. O spear phishing tem como alvo indivíduos. Esse tipo de ataque é personalizado para uma pessoa de cada vez. Esse tipo de ataque está em alta principalmente em dispositivos móveis. Os dispositivos móveis estão sendo usados cada vez mais para acesso corporativo. Esse ataque expõe não apenas o usuário final, mas também a rede da corporação à qual ele se conecta. O spear phishing usa dados que são diretamente de um usuário final; por exemplo, informações de mídia social ou e-mail. São ataques muito personalizados.

Os dispositivos BYOD hoje estão conectados à rede corporativa. Esse acesso inclui acesso não apenas às informações do usuário final, mas também às informações corporativas, como um diretório corporativo de usuários. Se o diretório corporativo for comprometido, os hackers agora têm um conjunto maior de usuários finais que podem atacar.

Como funciona o spear phishing

O spear phishing normalmente usa o e-mail como mecanismo de entrega. Um exemplo inclui um e-mail que tem uma URL (hiperlink) que aponta para um site falso. O site falso coletará informações pessoais assim que for acessado. Em muitos casos, um arquivo é anexado. Isso pode ser muito convincente, pois a mensagem de origem parece ser real. O usuário inicia o anexo e, em seguida, executa o malware que pode destruir o dispositivo, ou neste exemplo, irá extrair informações pessoais do dispositivo e enviá-las diretamente para o hacker.

Outros exemplos

Vamos dar uma olhada em alguns exemplos de spear phishing.

Receber e-mails de um "amigo"

O phisher da lança cresce vigorosamente usando a familiaridade. Os criminosos virtuais sabem seu nome e sobrenome, seu endereço de e-mail e pelo menos um pouco de algo pessoal sobre você. É muito provável que a saudação da mensagem de e-mail seja personalizada: "Olá Steve" em vez de "Caro Senhor/Senhora". O e-mail pode fazer referência a um "amigo mútuo/comum", a uma pesquisa recente que você fez sobre um produto ou um item, ou a uma compra on-line recente que você fez. Como as informações do remetente do e-mail são de alguém com quem você está muito familiarizado, você pode estar menos atento e fornecer a ele qualquer informação solicitada. Com um pedido de ação urgente, você pode ficar tentado a agir antes de pensar, especialmente quando é uma empresa que você acessa com frequência que está pedindo.

Usando sua presença na Web contra você

Você sabe que está se tornando um alvo de spear phishing? As informações que você está fornecendo na Internet a partir do seu PC ou smartphone podem torná-lo um alvo. Por exemplo, eles podem verificar sites de redes sociais, encontrar seu endereço de e-mail, sua página, uma postagem recente sua contando aos amigos sobre o novo laptop ou tablet que você comprou em um site de varejo on-line e sua lista de amigos. Ao usar essas informações, um spear phisher pode se passar por um amigo, enviar um e-mail e pedir informações pessoais ou uma senha para sua página de fotos. Se você responder com a senha, os phishers tentarão essa senha e muitas combinações dela para tentar acessar suas contas pessoais naquele site de compras online que você mencionou. Se eles encontrarem o certo, eles vão usá-lo para executar uma guia grande e cara para você; ou o spear phisher pode se passar por alguém do varejista on-line usando as mesmas informações e pedir que você redefina sua senha ou verifique novamente o número do seu cartão de crédito. Se você fizer isso, você vai bagunçar suas informações financeiras e causar danos a si mesmo.

Mantendo seus segredos em segredo

Você está seguro e suas informações estão seguras? Depende em parte de você ter cuidado. Verifique sua presença online com seus nomes. Verifique seus tópicos de redes sociais. Esteja ciente de suas informações e quanto há sobre você que pode ser reunido para alguém enganá-lo. Além disso, os dados que você coloca na Internet "ficam na Internet". Algumas dessas informações podem incluir:

Seu nome.
Endereço de e-mail.
Nomes de amigos.
Os endereços de e-mail dos seus amigos.
Você está, por exemplo, em algum dos sites de redes sociais populares?
Certifique-se e olhar para suas postagens diárias em vários sites de redes sociais.
Cuidado com o excesso de informações nas redes sociais. Não compartilhe demais.
Seja proativo e não revele muito.
Existe algo que você não quer que um golpista saiba?
Você postou algo na página de um amigo que pode revelar demais?

Certifique-se de fazer todas essas perguntas a si mesmo. Pesquise seu nome no Google e fique atento. Consulte a seguinte captura de tela de exemplo:

Senhas que funcionam

Muitas pessoas têm senhas comuns. Eles usam a mesma senha em vários sites e serviços, usam "senhas facilmente adivinhadas" ou ambos. Repense todas as suas senhas. Você usa apenas um ou é fácil descobrir variações em apenas um? Se você fizer qualquer um dos dois, não deveria, porque você está se tornando um alvo para um golpista para obter acesso às suas informações financeiras confidenciais. Cada senha para cada site que você visita deve ser diferente, realmente única. Letras aleatórias, maiúsculas ou minúsculas e números funcionam melhor. Troque-os com frequência, a cada dois ou três meses. Seu software de segurança na Internet e seu sistema operacional podem ajudá-lo a manter o controle de suas senhas.

Aqui está uma técnica comum que os hackers usam para encontrar suas senhas:

Os hackers obterão informações sobre você: seu nome, seu e-mail ou outras informações pessoais. Além disso, o hacker descobrirá onde seu banco está e/ou quais sites corporativos você usa. Listas de palavras são muito comuns na Internet; Os hackers obterão essas listas como ponto de partida. Os hackers escrevem código simples para criar listas de senhas. Cada senha será modificada para que possa ser usada como um ataque contra seus sites; por exemplo, e-mail.

As senhas serão criadas usando um algoritmo simples: .[Base word] & [character change] & [Character add]

Por exemplo.Base words – password, or your last name

Fórmula."password" & [change the letter a to @] & [add a "01"]

Isso cria as seguintes senhas potenciais:

p@ssword01
p@ssword02
p@ssword03
p@ssword04
p@ssword05
p@ssword06
p@ssword07
p@ssword08
p@ssword09

Siga o exemplo de Johnson: ."johnson" & [change the letter 's' to $] & [add a "01" to "09"]

John$on01
John$on02
John$on03
John$on04
John$on05
John$on06
John$on07
John$on08
John$on09

Com base no exemplo anterior, você pode ver por que você precisa de senhas mais complexas e por que as senhas devem ser alteradas regularmente. Agora, com informações pessoais extraídas de você (ou até mesmo através de um mecanismo de busca), os hackers atacarão sua conta com o mesmo nome de usuário () e, em seguida, cada uma das senhas criadas. Este é um processo automatizado e tem uma alta taxa de sucesso. Sim, isso pode demorar um pouco, mas os hackers terão usado milhares de PCs dos quais teriam obtido controle por meio de outras técnicas. Analise este artigo para ver como essa técnica é poderosa: http://arstechnica.com/security/2012/12/25-gpu-cluster-cracks-every-standard-windows-password-in-6-hours/.mike.johnson@example.com

Patches, atualizações e software de segurança

Mantenha sempre seus patches de software atualizados. Quando você receber avisos de fornecedores de software para atualizar seu software, nunca ignore essas notificações, apenas faça isso. A maioria das atualizações do sistema operacional e do navegador inclui patches de segurança. Às vezes, basta seu nome e endereço de e-mail para que um hacker passe por uma brecha de segurança em seu sistema. E é quase desnecessário dizer, você deve ser protegido por software de segurança da Internet.

Fique atento

Seja sempre vigilante e proativo. Se um "amigo" enviar um e-mail e pedir uma senha ou outras informações, ligue ou envie um e-mail (em um e-mail separado) para esse amigo e peça que ele verifique se realmente entrou em contato com você. Como observamos antes, você precisa verificar com seu fornecedor (banco ou outro) e certificar-se de que essas mensagens são válidas. Lembre-se de que a maioria das empresas legítimas nunca enviará e-mails pedindo senhas ou números de conta. Isso pode não parecer justo, mas cabe a você ficar alerta. Em caso de dúvida, não selecione o link que está no e-mail. Agora, em relação a mensagens de texto, por favor, não envie informações pessoais por texto; isso é só pedir problema.

Segurança de computação em nuvem

A computação em nuvem é um serviço que é fornecido na Internet usando recursos de computação compartilhados, como hardware e software. Esses serviços são implementados, gerenciados e, em muitos casos, fornecem um ambiente seguro controlado para os clientes. Esses serviços estão disponíveis para os usuários quando solicitados via Internet a partir dos servidores de um provedor de computação em nuvem, incluindo hardware, software e, em muitos casos, rede. Este serviço de computação não utiliza servidores próprios de uma empresa. Além disso, existem soluções híbridas que são fornecidas aos clientes que podem ser usadas como serviços de transição e/ou um conjunto de serviços parciais que um cliente pode comprar. Ele foi projetado para fornecer aos usuários acesso fácil a aplicativos, recursos compartilhados e serviços gerenciados pelo provedor de serviços de nuvem. Alguns exemplos de serviços de nuvem são armazenamento de dados online, soluções de backup, serviços de email baseados na Web, pacotes de escritório hospedados e serviços de colaboração de documentos. Existem muitos serviços de nuvem pública que podem ser usados para criar, armazenar, fazer backup e compartilhar dados, incluindo Google Docs, Dropbox, Microsoft 365 Apps, Carbonite, Apple iCloud e SlideShare. Muito provavelmente, a maioria de vocês lá fora já usou algumas formas de computação em nuvem. Se você tem qualquer tipo de serviço de e-mail baseado na Web, como Gmail, Yahoo! Mail ou Hotmail, você tem alguma experiência com computação em nuvem. O software e o armazenamento são armazenados na sua conta online e não existem no seu computador.

Como funciona

Ao falar sobre arquitetura de computação em nuvem, é útil separá-la em três níveis: o frontend, a camada de rede e o backend. Todas essas extremidades estão conectadas através de uma rede, geralmente a Internet. O frontend é o lado do usuário do computador ou de um dispositivo móvel, enquanto o backend é a seção Cloud do sistema.

A figura a seguir mostra um exemplo de solução de nuvem:

Recentemente, a computação em nuvem ganhou velocidade e está transformando a infraestrutura de computação na Internet. Além disso, aplicativos móveis e dispositivos móveis se desenvolveram rapidamente. Os dispositivos móveis podem usar a nuvem para processamento de dados, armazenamento e outras operações de processamento intensivo. Mobile Cloud computing refere-se à disponibilidade de serviços Cloud em um ambiente móvel. É uma combinação da rede móvel e computação em nuvem, fornecendo assim serviços ideais para usuários móveis. A computação em nuvem existe quando as tarefas e os dados são mantidos na Internet e não em dispositivos móveis individuais, fornecendo acesso sob demanda. Os aplicativos são executados em um servidor remoto e, em seguida, são enviados ao usuário.

Como os usuários de computação em nuvem móvel estão crescendo, a questão da segurança em nuvem entra em cena. As ameaças à segurança na nuvem vêm em todas as formas e tamanhos. Proteger a privacidade e a integridade de dados ou aplicativos de um usuário de computação em nuvem móvel é uma das principais questões que a maioria dos provedores de nuvem também está dando atenção. Embora a computação móvel em nuvem seja uma combinação de redes móveis e computação em nuvem, os riscos de segurança são divididos em duas áreas: a segurança do usuário da rede móvel e a segurança da nuvem.

A segurança do usuário móvel

Algumas das maiores preocupações para dispositivos móveis incluem:

Segurança: A ideia de uma empresa entregar dados importantes para outra empresa para serviços de computação causa preocupação para algumas pessoas. Os usuários são muito céticos para tirar proveito do sistema de computação em nuvem. A preocupação gira em torno dos riscos de segurança inerentes ao uso de aplicativos móveis. As maneiras mais simples de detectar ameaças de segurança serão instalando e executando software e programas antivírus em seus dispositivos móveis.
Privacidade: Fornecer informações pessoais privadas, como indicar sua localização atual e informações importantes do usuário, cria cenários para problemas de privacidade. Por exemplo, o uso de serviços baseados em localização (LBS) fornecidos por dispositivos de Sistema de Posicionamento Global (GPS) pode expor a privacidade do usuário a uma ameaça. As ameaças podem ser minimizadas por meio da seleção e análise das necessidades da empresa e da exigência de que apenas serviços especificados sejam adquiridos e movidos para a Nuvem.

Segurança na nuvem

A lista a seguir mostra vários problemas de segurança/segurança na nuvem que os usuários devem estar cientes:

Localização de dados: os dados na nuvem podem ser hospedados em qualquer lugar. Seus dados pessoais e/ou dados corporativos podem ser hospedados em um servidor em qualquer lugar conectado à Internet. Os dados podem estar em qualquer cidade ou país. Antes de hospedar seus dados, ou dados corporativos, certifique-se de aprender sobre as leis de hospedagem de segurança. Um exemplo é o Safe Harbor Act: http://export.gov/safeharbor/eu/eg_main_018476.asp.
Segregação de dados: refere-se ao armazenamento de dados em nuvem armazenados em uma arquitetura compartilhada ao lado de dados de outros usuários. Em alguns casos, os dados podem ser criptografados dentro da nuvem. Além disso, os dados podem ser segregados dentro da nuvem. Certifique-se de verificar com seu provedor e ver como eles gerenciam seus dados na nuvem.
Acesso de usuário privilegiado: Quando você hospeda seus dados fora do seu próprio computador, alguém terá acesso a esses dados. Certifique-se de obter informações sobre as pessoas que gerenciam esses dados e verificar quais processos eles usam para manter seus dados seguros.
Conformidade de segurança: No final do dia, você é responsável pela segurança de seus dados, mesmo que os dados sejam hospedados por terceiros. Novamente, verifique com seu provedor de serviços e pergunte como seus dados são gerenciados.
Recuperação de desastres (DR): a recuperação de desastres é o processo em que os dados são hospedados em vários locais. Se o site primário for desligado e/ou destruído, um site secundário poderá colocar seus dados online novamente. Entre em contato com seu provedor e pergunte sobre os níveis de serviço que eles usam na hospedagem de seus dados. Se você está realmente interessado em DR, confira NISSST800-34 (http://csrc.nist.gov/publications/nistpubs/800-34-rev1/sp800-34-rev1_errata-Nov11-2010.pdf). Entre em contato com seu provedor de serviços e pergunte quanto tempo leva para colocar sua fonte de dados secundária on-line para seu acesso.

Vírus/worms/outros

Nós, como usuários de dispositivos móveis, pensamos que não somos capazes de ser infectados por qualquer tipo de vírus em nossos dispositivos móveis. Mas, a verdade é que somos vulneráveis a todo tipo de ameaça. Qualquer pessoa que tenha qualquer tipo de dispositivo móvel corre o risco de contrair um vírus se você não tiver cuidado ou não se proteger. Alguns dos mais comuns vírus móveis, cavalos de Tróia e worms notáveis são:

Skulls: Este vírus Trojan substitui todos os ícones da área de trabalho do telefone com imagens de um crânio e o dispositivo se torna inútil.
ZitMo: O malware ZitMo tem como alvo as informações bancárias online dos usuários. Uma vez que este malware é instalado, o software ruim irá encaminhar todas as mensagens SMS recebidas para um centro de comando e controle. Uma vez que esses dados tenham sido compartilhados com os hackers, eles usarão esses dados para atacar suas contas bancárias.
DroidKungFu: Este é um poderoso Trojan para aplicativos Android que obtém privilégios de gerente / mestre em seu dispositivo. Este vírus recolhe e envia os dados para um servidor remoto.
Zeus: Outro cavalo de Tróia que rouba informações bancárias. Esse malware é executado por um processo conhecido como registro de pressionamento de teclas man-in-the-browser. O Zeus é espalhado principalmente por meio de downloads drive-by e esquemas de phishing.
CommWarrior: Este é um dos primeiros worms que usa o Multimedia Messaging Service (MMS) para se espalhar para outros dispositivos.
SpyEye: Isso injeta novos campos em uma página da web. Essa técnica é chamada de injeção de HTML. Isso resulta em uma solicitação de dados de usuários que tentam usar seus sites bancários. Esse malware pode incluir solicitações de login e solicitações de senha. Uma vez que os hackers têm esses dados, eles podem acessar suas contas bancárias.
Ikee: Este malware em particular só funciona em telefones com jailbreak. Este livro discute o risco com jailbreak e este é um dos grandes.
Gingermaster: Este malware foi criado para a plataforma Android. Esse malware específico se espalha instalando um aplicativo que contém um conjunto oculto de código que é executado em segundo plano no dispositivo. Este vírus explora uma versão específica do software Android, Gingerbread 2.3. O resultado é que o malware cria um serviço que rouba informações do dispositivo visado.

Ameaças futuras

Na curta história dos dispositivos móveis, uma das áreas que tem recebido muita atenção é o BYOD. Trazer seu próprio dispositivo para o trabalho não é apenas uma parte significativa da história recente, mas será uma parte de nosso futuro próximo. Olhando para o futuro, julgamos que veremos cada vez mais malware para dispositivos móveis. No geral, esperamos ver mais do seguinte:

Malware que tira proveito da sua localização através do Sistema de Posicionamento Global (GPS). Você usa isso como parte de seus programas de mapa, e os fornecedores também estão começando a usar o GPS para ajudar a identificar os clientes enquanto eles entram em sua porta. Mais e mais aplicativos estão usando GPS.
Os hackers pegarão dados do seu dispositivo e os usarão para phishing e engenharia social. É por isso que é tão importante para você proteger suas informações pessoais. É fácil para os hackers violarem sua privacidade e, em seguida, usar seus dados contra você.
Também prevemos mais aplicativos que parecem ser legítimos, mas na realidade são uma plataforma para hackers atacarem você.
Mais uso de SMS e outras mensagens para entregar cargas infectadas de malware.
Também veremos mais malware personalizado para você.
À medida que mais dispositivos móveis são infectados, um número maior de redes corporativas será infectado. Este será um grande problema para os administradores corporativos.

Medidas preventivas – como reduzir a probabilidade de seu dispositivo ser hackeado

Embora às vezes possa parecer o contrário, você não está impotente em proteger seu dispositivo contra possíveis ataques. Os hackers dependem de alguns pontos de acesso específicos em suas tentativas de hackear seu dispositivo; entrada de ID do usuário, criptografia de dados e aplicativos. Ao tomar algumas medidas simples para fortalecer esses potenciais pontos de acesso, você pode reduzir a probabilidade de que os hackers sejam bem-sucedidos em suas tentativas de hackear seu smartphone. Vamos rever alguns pontos importantes.

iPhone

Para um dispositivo iPhone, considere os seguintes pontos:

Certifique-se de que tem uma palavra-passe ativada no iPhone.
Habilite a função Apagar Dados. A funcionalidade Apagar Dados adiciona outra camada de segurança ao seu iPhone. Esse recurso apagará todos os dados após 10 tentativas de senha com falha. Assim, se um hacker roubar seu telefone, ele removerá todos os dados após 10 tentativas malsucedidas na senha. Para habilitar isso, você precisa definir Apagar dados como ATIVADO na tela de bloqueio de senha.
Encontrar o meu iPhone – se alguma vez perder ou perder o seu iPhone ou iPad, você pode usar o recurso Buscar iPhone / Encontrar iPad. Tudo o que você precisa fazer é baixar o aplicativo em seu dispositivo e obtê-lo através do iCloud (icloud.com).
Backup criptografado – a configuração Criptografar backup é encontrada no iTunes. Esta definição aplica-se ao novo serviço do iCloud no iOS 5. Uma vez habilitada, essa configuração garantirá que o backup do seu dispositivo seja criptografado.

Andróide

Para um dispositivo Android, considere os seguintes pontos:

Ativar telas de bloqueio – você pode encontrá-lo em Configurações | Configurações de segurança
Desative a depuração USB – você encontrará isso em Configurações | Seção de depuração USB
Habilitar criptografia de disco completo – isso é encontrado em Configurações | Seção de segurança
Certifique-se e use apenas lojas de aplicativos oficiais
Bloqueio de tela – certifique-se de ter ativado um bloqueio de tela em seu telefone, dessa forma ele bloqueará automaticamente o telefone depois que ele ficar ocioso por alguns minutos

Para qualquer dispositivo

Certifique-se de que tem o SO mais recente instalado.

Pense duas vezes antes de fazer jailbreak ou rooting

Jailbreak é a prática de quebrar seu próprio dispositivo. O jailbreak em vigor ignora as limitações e restrições que são colocadas em prática pelo fabricante que protege o dispositivo. Ao contornar essas restrições, basicamente alguém tenta instalar aplicativos que não são compatíveis com os aplicativos de suporte para Apple e/ou Android. A prática também pode desbloquear algumas das restrições que uma operadora de telecomunicações específica pode colocar em seu dispositivo.

O root, por outro lado, pertence aos dispositivos Android. Embora a Apple seja mais rigorosa quanto à instalação de aplicativos, alguns usuários do Android sentem que é necessário superar o que sentem serem limitações do sistema operacional. A prática lhes dá a capacidade de controlar todas as funções em seu dispositivo. Em geral, o jailbreak violará os termos e condições do dispositivo e poderá violar o seu suporte e/ou garantia.

Foi estimado por Cyndia que apenas 10 por cento dos smartphones estão agora com jailbreak ou root. Há muitas razões pelas quais este pode ser um número tão baixo, não menos importante é a preocupação de que fazer isso pode transformar o dispositivo em um tijolo muito caro e inútil. A outra pode ser que muitos provedores tenham disponibilizado mais serviços para os telefones e que muito mais aplicativos tenham sido desenvolvidos para atender a demanda que o público tem.

Infelizmente, ambas as práticas comprometem o dispositivo e podem permitir o vazamento de senhas, informações de localização e outras informações pessoais que não devem ser tornadas públicas. Também aumenta muito a probabilidade de que canais inseguros sejam criados e disponibilizem um caminho direto no seu dispositivo para permitir que malware e outros softwares mal-intencionados sejam carregados no seu dispositivo sem o seu conhecimento. A melhor prática é não ser tentado pelos benefícios prometidos. Entrar em contato com seu provedor sobre as adições desejadas ao seu dispositivo pode parecer caro, mas fazê-lo sozinho por meio de outros canais pode ser catastrófico. Os benefícios temporários podem estar longe de ser aceitáveis, mas as consequências podem ser esmagadoras.

Segurança em números – senhas e IDs de usuário

Hoje, parece que todo serviço requer um ID de usuário e senha. Precisamos que eles acessem nossas contas bancárias, nossas contas de redes sociais, nossas contas de funcionários e muito mais. Devido à variedade desconcertante de IDs de conta, que devemos gerenciar, pode ser tentador reutilizar os mesmos nomes de usuário, IDs ou senhas para várias contas. Afinal, isso reduziria a probabilidade de esquecermos nosso ID de usuário ou senha. De acordo com uma pesquisa recente na ZDNet, cerca de 60% dos usuários admitem usar a mesma senha para várias contas online (http://www.zdnet.com/blog/security/survey-60-percent-of-users-use-the-same-password-across-more-than-one-of-their-online-accounts/9489).

O gerenciamento de senhas pode ser um desafio. Isso também pode ser um problema com sua rede corporativa e servidores. Os autores trabalharam com muitas grandes empresas e descobrimos que, em alguns casos, as chamadas para um help desk específico podem sobrecarregar um help desk apenas com alterações de senha. Essas alterações são devidas a senhas perdidas e/ou esquecidas. Além disso, os autores descobriram que essas chamadas podem ser superiores a 60% de todas as chamadas para um suporte técnico.

Os hackers geralmente visam informações de ID de usuário e senha por causa da proeminência de informações de login duplicadas. Se um hacker pode obter as informações de login de uma conta, ele pode usar essas informações para acessar algumas das outras contas desse mesmo usuário. Os hackers nem sempre obtêm as informações de login de um usuário visando a conta de um usuário específico; Às vezes, eles são capazes de acessar um grande banco de dados de contas de usuário visando o banco de dados de uma empresa. Até o momento em que este artigo foi escrito, o ataque notável mais recente dessa natureza foi o hack de janeiro de 2012 do banco de dados de usuários do Twitter. Cerca de 250 mil contas de usuários foram comprometidas no ataque.

O que isso significa para você, como usuário, é que você não deve se sentir seguro se utilizar uma senha complexa e ID de usuário que, em sua opinião, seria difícil para um hacker em potencial "quebrar". No caso de as informações da sua conta terem sido comprometidas como parte de um desses ataques em grande escala, a complexidade de suas informações de login seria insignificante se você tivesse usado consistentemente o mesmo nome de usuário e senha para cada uma de suas contas.

Os hackers podem obter suas informações de login de várias maneiras, muitas das quais foram mencionadas em capítulos anteriores; ataques em grande escala a empresas, golpes de phishing, falsificação de SMS e assim por diante. Devido à variedade de métodos disponíveis para os hackers, você também deve usar vários métodos para reduzir os danos que um hacker pode fazer quando eles tiverem suas informações de login. Um problema é quando um site/serviço pode enviar por e-mail aos usuários sua senha em texto sem formatação; Isso mostra que os dados não estão sendo armazenados usando armazenamento criptográfico unidirecional em seu banco de dados. Se o fornecedor pode descriptografá-lo para enviá-lo em texto sem formatação, o hacker também pode.

Usando senhas fortes

O primeiro lugar para começar é criar senhas fortes; Essas são senhas difíceis de serem adivinhadas por um hacker.

Você não deve usar nenhuma informação pessoal. Considere a facilidade com que um hacker pode ser capaz de obter esse tipo de informação pessoal; Grande parte pode ser encontrada através de pesquisas on-line ou através da navegação em contas de redes sociais. Se você decidiu usar informações pessoais para formar sua senha ou ID de usuário, um hacker pode ser capaz de deduzir o que é com base no que ele ou ela sabe sobre você pessoalmente ou a partir de informações que você postou on-line.

Você pode negar essa possibilidade garantindo que suas senhas não contenham nenhuma informação de identificação pessoal. Não use, por exemplo, o nome do seu animal de estimação ou a data de nascimento do seu filho como base para as suas senhas. Em vez disso, suas senhas e IDs de usuário devem ser o mais inespecíficos possível. Formulações logicamente consistentes, como substantivos ou padrões numéricos, devem ser evitadas.

Senhas mais longas e variadas

Senhas mais curtas e IDs de usuário são mais fáceis de decifrar por causa de sua simplicidade. De acordo com um estudo recente da Carnegie Mellon, o comprimento de uma senha é a variável mais importante que diferencia senhas fortes das fracas. De acordo com os pesquisadores, senhas fortes contêm pelo menos oito caracteres, com a força da senha aumentando a cada caractere adicional. Em outras palavras, quanto mais longa for a senha, melhor para você (http://usatoday30.usatoday.com/tech/news/story/2012-07-28/techlicious-password-security/56540586/1).

Senhas longas e sem sentido são mais fortes do que senhas logicamente consistentes e curtas porque os hackers nem sempre tentam deduzir pessoalmente informações de conta direcionadas. Muitas vezes, os hackers utilizam um tipo de programa conhecido como cracker de senha ou invasor de senha. Esses programas usam algoritmos baseados em padrões de senha comuns para adivinhar as informações de login de um usuário. Dado tempo suficiente, esses programas podem quebrar muitas senhas aparentemente inexpugnáveis.

Um exemplo de senha longa é:

Comece com: Meu gato tem um chapéu.

Sua senha é:

myC@1hasah0T

Como usuário, seu melhor método de proteção contra esses tipos de programas é alongando sua senha e garantindo que ela seja absurda. Tornar uma senha absurda significa que sua senha não contém padrões reconhecíveis; sem palavras, sem padrões numéricos e sem consistência, como variação minúscula para maiúscula. Para testar a eficácia de uma senha e obter uma estimativa sobre a quantidade de tempo que pode levar para decifrar uma senha, você pode usar serviços on-line gratuitos, como passfault (https://passfault.appspot.com/password_strength.html) ou medidor de senha (http://www.passwordmeter.com/). Digitar a palavra Gato na senha, por exemplo, revela um tempo estimado para rachar de menos de um dia. Alternativamente, passfault estima 49eXp1nfL3 com um tempo de um século, duas décadas. Embora não seja uma medida exata da força da senha, esses tipos de serviços podem ser úteis para reconhecer os pontos fracos de uma senha específica.

Além de criar uma senha forte, você também deve desenvolver senhas e IDs de usuário diferentes para cada uma de suas contas. Não use as mesmas informações de login para várias contas, por mais conveniente que isso possa parecer. Embora a reutilização das mesmas informações de login possa reduzir o incômodo de precisar lembrar várias senhas e IDs de login, essa prática pode ser significativamente mais inconveniente no caso de suas informações de login de uma conta serem hackeadas.

Agora, vamos ser realistas. Você tem o dispositivo para facilitar sua vida. Você o usa diariamente e não pode andar com um cartão escrito ou nota adesiva para lembrá-lo do que cada ID de usuário e senha realmente é. O teclado é menos do que amigável em dispositivos móveis e nomes de usuário e senhas complexos muitas vezes soam como uma boa ideia, mas na facilidade de uso no dispositivo a boa prática desliza facilmente para o desuso. Enquanto seria uma tarefa simples para o hacker inserir as informações do usuário obtidas de uma conta em outra. Não é nisso que você está pensando ao criar uma senha ou ID de usuário.

Existem vários aplicativos disponíveis para dispositivos Android, iOS e Blackberry para ajudá-lo. Eles estão disponíveis na loja de aplicativos associada à plataforma do seu dispositivo e podem tornar as coisas mais simples. Alguns estão disponíveis gratuitamente e outros são aplicativos pagos. Mas uma boa regra prática para criar um novo ID de usuário pode ser algo que faça sentido para você. Se por acaso você gosta de cavalos American Racing Breed e as letras A. R. B. não são suas iniciais, tente algo assim: você está criando uma nova conta bancária online. Para o nome de usuário, você digita ARB e o nome do banco com um número – ARB2chase ou arb2chase. Isso será muito diferente do seu endereço de e-mail (esperançosamente) ou qualquer coisa associada ao seu nome. Reutilize esses mesmos primeiros caracteres, se necessário, ou uma variação deles.

Uma ressalva; Se as pessoas sabem que você ama cavalos de corrida e você está constantemente falando sobre isso em um fórum de mídia social ou outro. Não use. Certifique-se de escolher algo que só você sabe sobre você. Certifique-se de não compartilhar as informações e não começar a postar fotos de cavalos no Facebook.

As senhas podem ser outra questão. Essas mesmas limitações de teclado em um dispositivo dificultam digitá-las corretamente e você pode ser bloqueado da sua conta. Se você estiver usando seu dispositivo móvel como seu principal meio de acessar uma conta, por exemplo, sua conta da loja de aplicativos, olhe para o teclado e tente decidir qual seria a frase mais fácil que você conhece combinada com números. Não substitua a letra O por um zero ou a letra I pelo número um; isso é óbvio demais. Então, digamos que você abriu a conta Chase que discutimos anteriormente para comprar ações. Considere usar a expressão buystocks como senha, mas com algumas mudanças significativas. Ao escolher os números acima de certas letras, buystocks podem se tornar b87s6ocks em uma variação. Só para esclarecer, o 8 é o número acima da letra U em um teclado QWERTY normal e o número 7 é o número acima do Y, assim como o 6 está acima do T. Ao vincular a senha ao que é seu propósito neste site e substituir números no lugar de letras, você criou um ambiente mais seguro do que se usasse seu endereço de e-mail ou sobrenome e repetisse a mesma senha que fez para todo o resto. Ao desenvolver várias senhas e IDs de usuário, você pode efetivamente conter o dano potencial no caso de uma de suas contas ser hackeada.

Nota

A seguir está um exemplo de uma técnica de senha forte.

Uma senha forte será:

Pelo menos oito caracteres
Diferente de outras senhas
Contendo pelo menos um caractere de cada uma das seguintes categorias:
Letras maiúsculas: A, B, C
Letras minúsculas: a, b, c
Números: 0, 1, 2, 3, 4, 5, 6, 7, 8, 9
Símbolos encontrados no teclado: - + = { } [ ] \; " ' < > , . ? |` ~ ! @ /# $ % ^ & * ( )/ _ :

Uma senha fraca inclui:

Seu nome, nome de usuário ou nome da empresa
Menos de 6 caracteres
Inclui uma palavra completa (exemplo, Televisão)

Alterando senhas

O terceiro passo que você pode tomar para proteger suas contas contra atenção indesejada é alterando suas senhas rotineiramente. Considere os invasores de senha mencionados anteriormente; Esses programas teoricamente seriam capazes de decifrar qualquer senha dado tempo suficiente. Além disso, você não deve considerar sua senha completamente segura, mesmo que um serviço, como o passfault, estime o tempo para decifrar sua senha em mais de um século. Novos e mais complexos invasores de senhas estão sendo desenvolvidos o tempo todo, o que pode, portanto, reduzir significativamente o tempo para decifrar suas senhas. Portanto, a maneira mais fácil de reduzir a probabilidade de que um desses programas possa hackear as informações da sua conta é alterando suas senhas em um cronograma consistente. Geralmente, você deseja alterar suas senhas pelo menos uma vez a cada três meses. Além de reduzir a eficácia dos invasores de senhas, alterar suas senhas também pode combater a eficácia de ataques de hackers em larga escala, como o mencionado contra o Twitter. Afinal, as informações de login obtidas em tal hack só são efetivas se as informações permanecerem inalteradas.

Criptografia de dados

Ao criptografar seus dados, você pode aumentar a dificuldade envolvida em hackear seu dispositivo ou contas pessoais. A criptografia de dados é um método de proteção no qual os dados são alterados, ou criptografados, usando uma chave. Com a criptografia de dados, as únicas partes capazes de acessar dados criptografados são aquelas que possuem a chave.

Alguns termos que você pode encontrar ao aprender a criptografar seu dispositivo são dados em trânsito, dados em repouso e dados em uso. Todos esses termos tratam de como os dados são transferidos e acessados no contexto da criptografia de dados. Dados em trânsito e dados em uso são termos intercambiáveis, que se referem a quaisquer dados acessados por uma rede. Exemplos desse tipo de dados podem ser e-mails, sites, downloads ou uploads. Como alternativa, dados em repouso são quaisquer dados que não estão sendo acessados atualmente por uma rede. Exemplos desse tipo de dados incluem músicas que residem em um disco rígido portátil ou documentos de processador de texto, que não estão sendo alterados ou enviados por e-mail. Quando usados, esses termos geralmente se referem a como a criptografia de dados opera, dependendo de como eles estão sendo usados ou acessados.

Criptografia no iOS

No espaço móvel, a criptografia de dados está se tornando cada vez mais comum. A partir da versão 5, o iOS tem criptografia embutida em seu sistema operacional. IIRC, a chave derivada parcialmente da senha e usada para proteção de dados, é usada para criptografar certos dados em repouso no dispositivo. Por padrão, esse é o armazenamento de email (mensagens e anexos), as chaves e quaisquer aplicativos de terceiros que tenham sido escritos para usar a API de proteção de dados.

Para verificar se esse recurso está ativo no iPhone, iPad ou iPod, basta abrir o submenu Bloqueio de senha em Configurações gerais, rolar até a parte inferior e procurar o subcabeçalho Proteção por senha.

Embora a criptografia de dados integrada seja útil, o recurso não se estende a chamadas telefônicas; Se você deseja criptografar suas chamadas telefônicas de saída, você precisará baixar algum software adicional. Kryptos e Cellcrypt são dois dos aplicativos de criptografia de voz mais bem avaliados e considerados atualmente disponíveis na Apple App Store. Para usar este ou qualquer outro software de criptografia, o remetente e o destinatário devem ter os mesmos aplicativos de criptografia instalados em ambos os dispositivos. Uma vez instalado, um usuário pode simplesmente fazer uma chamada através do aplicativo, e o destinatário receberá uma notificação em seu dispositivo da chamada telefônica recebida.

Criptografia no Android

O Android tem criptografia de dispositivo completa integrada desde a versão 2.3.4 (Gingerbread) e todas as versões posteriores do sistema operacional (3.x, 4.x). São algumas desvantagens potenciais, sendo elas:

Desempenho mais lento: a criptografia sempre adiciona alguma sobrecarga, para que seu dispositivo seja um pouco mais lento. A diminuição real do desempenho depende do hardware do dispositivo, e com CPUs de velocidade de clock de GHz multicore modernas é provável que seja insignificante.
A criptografia é unidirecional: depois de criptografar o armazenamento do dispositivo, você só pode desativar a criptografia redefinindo o telefone para as configurações padrão de fábrica (portanto, faça backups regulares).Ele pode ser ativado através de Configurações | Segurança | Criptografe o telefone (ou Criptografe o tablet) no subtítulo Criptografia.

Aplicativos baixados

Em junho de 2012, a Apple App Store continha mais de 650.000 aplicativos, e mais de 30 bilhões de downloads de aplicativos ocorreram desde o lançamento da loja (http://mashable.com/2012/06/11/wwdc-2012-app-store-stats/). Em setembro do mesmo ano, a Google Android Store alcançou 25 bilhões de downloads e hospedou mais de 675.000 aplicativos (http://appleinsider.com/articles/12/09/26/google-android-reaches-25-billion-downloads-675000-apps).

Considerando o grande número de aplicativos e o grande número de downloads, não deve ser surpresa que as tentativas da Apple e do Google de policiar suas lojas nem sempre sejam bem-sucedidas. É certo que a Android Store do Google contém mais aplicativos suspeitos do que a App Store da Apple; o primeiro caso registrado de software malicioso na App Store da Apple ocorreu em maio de 2012 (http://www.wired.com/gadgetlab/2012/07/first-ios-malware-found/). Independentemente da loja que usam, os usuários devem estar atentos para se proteger contra esse potencial risco de segurança. Os usuários podem seguir dois passos básicos para se proteger contra aplicativos maliciosos: instalar software antivírus em dispositivos smartphones e reservar um tempo para pesquisar aplicativos antes de baixar.

Software antivírus em smartphones

Software antivírus para smartphones ainda é relativamente novo como uma categoria de programa no espaço móvel. Esta pode ser a razão pela qual um número tão grande de smartphones ainda não possui nenhum software antivírus instalado.

Obter software antivírus para o seu smartphone é uma tarefa simples. Você não deve realizar uma pesquisa por "software antivírus" ou um termo relacionado em sua loja de aplicativos; Você não tem como saber que os aplicativos retornados em tal pesquisa não são eles mesmos alguma forma de malware. Em vez disso, os usuários devem ter o cuidado de baixar o software antivírus de um desenvolvedor respeitado e conhecido. O Norton e a McAfee, por exemplo, lançaram pacotes antivírus para smartphones, que você pode baixar e instalar em seu dispositivo por uma taxa. Para encontrar esses aplicativos em sua loja preferida, digite o nome exato do pacote antivírus que você deseja baixar.

Verificando se um aplicativo é legítimo

O segundo passo que qualquer usuário deve seguir para se proteger contra aplicativos maliciosos ou enganosos é reservar um tempo para pesquisar aplicativos antes de optar por baixar. Só porque um usuário instalou um software antivírus no telefone, eles não devem esperar que este software irá capturar todas as possíveis ameaças; assim como nos computadores pessoais, é importante lembrar que novos cavalos de Tróia e vírus estão sendo desenvolvidos em um ritmo extremamente rápido.

Pode ser tentador confiar no recurso de pesquisa de uma loja de aplicativos; Procurar um termo específico e ler comentários na loja antes de baixar pode parecer um método conveniente para obter novos aplicativos. Você pode até decidir simplesmente baixar o resultado mais bem avaliado de uma pesquisa específica. Infelizmente, as classificações e os resultados de listagem nos mecanismos de pesquisa da loja de aplicativos não são uma medida confiável da qualidade ou legitimidade de um aplicativo.

Por exemplo, o Trojan Geinimi ganha acesso a smartphones quando os usuários baixam um jogo intitulado Monkey Jump 2. Você pode acreditar que qualquer aplicativo com malware provavelmente teria avaliações negativas; Afinal, por que uma vítima de um ataque de malware analisaria positivamente um aplicativo malicioso? Surpreendentemente, no entanto, Monkey Jump 2 tem críticas relativamente positivas na loja do Android; possui mais de cento e oitenta avaliações de 5 estrelas! Apesar desta classificação, Monkey Jump 2 é um dos mais de 30 aplicativos na loja Android conhecido por conter o Trojan Geinimi. Se você estava procurando um jogo divertido e cometeu o erro de baixar este aplicativo com base em avaliações positivas na loja Android, você pode ter baixado sem saber este Trojan devastador.

A maneira mais fácil de evitar o download de um aplicativo malicioso é dedicar um tempo para realizar algumas pesquisas básicas através de um navegador tradicional antes de baixar um aplicativo. Se, por exemplo, você deseja baixar um personal exercise trainer, você pode simplesmente inserir alguns termos de pesquisa relevantes em seu mecanismo de pesquisa favorito; Top Exercise Trainers para iPhone pode ser um bom termo. Para segurança e confiabilidade adicionais, você deve considerar apenas os resultados produzidos por um consumidor respeitado ou publicação de tecnologia, como CNET ou Wired; tais publicações revisam rotineiramente certas categorias de aplicativos nas lojas de aplicativos da Apple e do Android.

Depois de escolher qual aplicativo deseja baixar com base em avaliações confiáveis, você deve digitar cuidadosamente o nome exato do aplicativo na caixa de pesquisa da sua loja de aplicativos. Não omita nenhum termo no título do aplicativo. Por exemplo, se o nome do aplicativo for Norton Security e Antivirus, você não deverá digitar Antivírus na caixa de pesquisa da loja de aplicativos. Embora seja provável que você obtenha alguns dos mesmos resultados, também é possível que alguns resultados ilegítimos também possam aparecer. Para evitar o risco de baixar um desses aplicativos ilegítimos ou intencionalmente enganosos, você deve inserir o nome exato do aplicativo que deseja baixar.

Caso seu dispositivo tenha sido comprometido

Apesar de seus melhores esforços, é possível que seu dispositivo ou dados possam em algum momento sofrer um ataque. Isso pode ocorrer de várias maneiras; O dispositivo pode ter sido deixado por engano em um local público, ou um hacker pode ter sido bem-sucedido em obter informações de login por meio de um ataque em grande escala. Independentemente do motivo, existem certas medidas que você pode tomar para mitigar os danos no caso de seu dispositivo ter sido comprometido.

Seu dispositivo foi hackeado?

Primeiro, você precisará verificar se seus dispositivos ou contas foram hackeados. Os hackers geralmente usam dispositivos hackeados para enviar e-mails remotamente, fazer chamadas telefônicas ou usar mensagens SMS. Portanto, os usuários devem monitorar cuidadosamente seus dados de saída e entrada. Além disso, fique atento quando seu dispositivo se conectar a um hotspot Wi-Fi, pois alguns hotspots são hospedados por hackers.

Você recebeu algum texto estranho de remetentes desconhecidos? Um método pelo qual os hackers tentam hackear smartphones é enviando mensagens SMS com malware incorporado; Tudo o que o destinatário precisa fazer é abrir o texto para baixar o malware. Textos com malware incorporado geralmente contêm um quadrado ou outro símbolo abstrato no corpo do texto. Se você recebeu esse tipo de texto, você pode ter baixado malware sem saber em seu smartphone.

Os usuários devem monitorar cuidadosamente suas mensagens de texto, chamadas telefônicas e e-mails enviados. Se um hacker estiver usando seu dispositivo para enviar mensagens ou fazer chamadas telefônicas, é provável que seu histórico de chamadas ou mensagens reflita essa atividade. Preste muita atenção a quaisquer mensagens ou chamadas que foram feitas em momentos estranhos, como quando você sabe que estava dormindo ou provavelmente não estava usando seu dispositivo. Você também deve verificar o conteúdo de mensagens SMS ou e-mails suspeitos enviados para verificar se você digitou e enviou a mensagem específica. Se você acha que seu telefone está enviando mensagens SMS devido a malware, entre em contato com seu provedor o mais rápido possível.

Muitas vezes, os hackers usam um dispositivo comprometido para enviar mensagens para todos na lista de contatos de um usuário. Se você descobrir que seu dispositivo foi usado para esse fim, você deve entrar em contato imediatamente com as pessoas que receberam essas mensagens e aconselhá-las a não abrir links ou anexos contidos em tais mensagens. Ao abrir esses links ou anexos, os destinatários podem comprometer seus próprios dispositivos ou dados. O exemplo anterior mostra onde um hacker está tentando fazer com que você abra um link por meio de uma mensagem SMS.

Da mesma forma, os usuários devem prestar muita atenção à atividade em várias contas on-line. Facebook, Twitter, PayPal, banco pessoal, Amazon, eBay; Estes são apenas alguns dos serviços que muitos utilizadores acedem através dos seus smartphones. Caso uma dessas contas seja invadida, será importante reconhecer a violação o mais rápido possível para minimizar o risco. Portanto, assim como você deve monitorar seus e-mails e mensagens SMS enviados, você também deve prestar muita atenção às suas atividades nesses tipos de contas online. Como exemplo, se seus amigos do Facebook de repente começarem a receber anúncios de spam de sua conta do Facebook, você deve considerar a possibilidade de que seu login do Facebook tenha sido hackeado.

Engenharia social

A engenharia social é o processo de manipular as pessoas para que compartilhem suas informações pessoais. Isso pode ser executado de várias maneiras; Uma maneira é convencer uma pessoa a responder perguntas de uma suposta autoridade. Por exemplo, você acha que sua empresa liga para você e diz: "Somos do seu help desk corporativo, precisamos confirmar sua senha". Neste exemplo o "hacker" não é da sua empresa e está tentando extrair sua senha de você. Existem muitos tipos diferentes de engenharia social e estes são discutidos nos capítulos anteriores. No geral, a regra é nunca dar informações para as pessoas que ligam para você; Mas pode haver casos em que você acha que chamou o lugar certo. Em todos os casos, tenha cuidado e certifique-se de saber com quem está falando antes de compartilhar qualquer informação por telefone!

Cavalos de Tróia e malware no seu smartphone

Seu dispositivo pode baixar um cavalo de Tróia ou malware através de vários métodos: uma mensagem de texto SMS, um hotspot Wi-Fi comprometido, um aplicativo baixado ou um anexo de e-mail. Dependendo da via exata de acesso, bem como do Trojan ou malware em particular, o melhor curso de ação pode variar significativamente.

Ataques de mensagens SMS

Aqueles Trojans que acessam um smartphone através de uma mensagem SMS suspeita estão entre os mais prejudiciais para um dispositivo; O sinal mais seguro de que você foi o destinatário de tal mensagem é se o corpo da mensagem não contiver nada mais do que um símbolo abstrato, como um círculo ou quadrado. Comumente, esse tipo de cavalo de Tróia será instalado automaticamente no momento em que o usuário abrir o texto; este Trojan permitirá que um hacker acesse e controle remotamente o dispositivo.

Infelizmente, as respostas possíveis a este tipo específico de ataque são relativamente limitadas. Significativamente, os programas antivírus para smartphones têm sido amplamente malsucedidos em isolar essa ameaça. De acordo com o pesquisador de segurança Charles Miller, o melhor curso de ação é desligar imediatamente o dispositivo; quanto mais tempo o dispositivo for deixado ligado com o Trojan ofensivo instalado, maiores serão os possíveis danos à identidade pessoal do usuário. Afinal, se o hacker pode controlar remotamente o dispositivo, ele tem um método de acessar as contas pessoais de um usuário por meio de qualquer aplicativo baixado ou até mesmo pelo histórico do navegador do usuário. Apesar de ser um ataque antigo, vale ressaltar:

http://www.ibtimes.com/what-do-if-your-iphone-gets-hacked-virus-302908

O usuário deve, então, levar o dispositivo a uma loja de serviços ou fabricante o mais rápido possível. O dispositivo deve permanecer desligado nesse ínterim, pois ligar o dispositivo só permitirá que o Trojan seja reativado. Por exemplo, se o dispositivo for um iPhone, o usuário deve levar o dispositivo para o local mais próximo da Apple. Como alternativa, se o dispositivo for um telefone Android, a melhor opção provavelmente será a loja do provedor de serviços mais próximo. Muitas vezes, esses locais de loja optam por limpar o dispositivo e restaurá-lo para as configurações de fábrica, no processo removendo todos os dados ofensivos. Os usuários devem acompanhar essa atividade seguindo as etapas listadas na seção sobre contas comprometidas.

Ataques por meio de downloads de anexos e aplicativos

Os outros dois métodos, pelos quais um hacker pode acessar um dispositivo, baixar aplicativos ou baixar anexos, raramente são tão devastadores quanto o método de texto SMS. Isso ocorre porque, ao contrário do método de texto SMS, o usuário pode evitar baixar o Trojan ou malware em primeiro lugar. Ao realizar algumas pesquisas sobre um aplicativo e decidir não baixar anexos de fontes não confiáveis, os usuários podem reduzir a probabilidade de permitir que um hacker acesse seu dispositivo.

No caso de um usuário acreditar que baixou um cavalo de Tróia ou malware, ele deve primeiro executar uma verificação de vírus através do software antivírus de seu smartphone. Muitas vezes, o software será capaz de apreender downloads ofensivos antes mesmo de um usuário decidir executar uma varredura. Mesmo assim, os usuários devem permanecer vigilantes e executar varreduras em uma base programada para capturar quaisquer ameaças adicionais. No caso de o antivírus reconhecer e isolar com sucesso um vírus ofensivo, o usuário deve considerar que o vírus pode ter sido bem-sucedido em hackear quaisquer contas acessadas pelo dispositivo. Como no caso de um ataque de mensagem SMS, os usuários devem seguir os conselhos contidos na seção a seguir sobre contas comprometidas. Os usuários também devem monitorar cuidadosamente suas mensagens de texto SMS e chamadas telefônicas enviadas; Se você notou quaisquer mensagens ou chamadas suspeitas, você deve imediatamente levar o dispositivo para o fabricante mais próximo ou loja de operadora de celular para uma redefinição de fábrica e limpeza de dados.

Contas comprometidas

Informações de login comprometidas são uma das ameaças mais significativas na segurança móvel. Um dispositivo pode ser reparado ou substituído, mas uma conta invadida pode afetar significativamente sua identidade e finanças pessoais. Se você acredita que as informações de login de uma de suas contas podem ter sido comprometidas, há medidas que você pode tomar para limitar os danos.

Confira http://www.sophos.com/en-us/medialibrary/PDFs/other/sophossecuritythreatreport2013.pdf.

Independentemente do tipo de conta que foi comprometida, o primeiro passo que um usuário deve tomar é tentar acessar sua conta de um dispositivo diferente. Isso permitirá que você veja se pode entrar em sua conta e/ou alterar sua senha. Não continue a utilizar o seu smartphone para gerir a conta em questão; em vez disso, use um laptop ou computador pessoal até que a ameaça tenha sido suficientemente gerenciada. A partir de um computador, o usuário deve fazer login na conta e alterar a senha de login. A maioria das contas terá um link dentro das configurações pessoais de uma conta, onde isso pode ser feito de forma fácil e rápida.

Dependendo do tipo de conta e das atividades para as quais a conta foi usada, o usuário pode querer alterar o ID de login, bem como a senha. Para a maioria das contas, como Facebook ou Twitter, isso não pode ser feito sem entrar em contato com o atendimento ao cliente por telefone ou e-mail. Se um serviço não puder ou não quiser permitir essa alteração, você pode considerar excluir totalmente a conta antiga e criar uma nova. Se você acha que tem um problema com uma conta de email, verifique as configurações de encaminhamento para ver se o email está sendo redirecionado.

Se a conta foi usada para transações financeiras ou gerenciamento de contas bancárias, as repercussões podem ser mais graves. Por exemplo, se as informações da conta de compras da Amazon de um usuário foram comprometidas, ele deve seguir as etapas de verificação de sua senha e ID de login. Além dessas mudanças, no entanto, o usuário também deve entrar em contato com seus bancos para obter quaisquer cartões de crédito associados. O seu banco deve ser notificado o mais cedo possível se se pretender que essa conta seja comprometida.

O usuário também deve monitorar e, se necessário, contestar quaisquer cobranças questionáveis com seu banco. Medidas semelhantes devem ser tomadas se a conta em questão for um perfil bancário online; A maioria dos bancos possui respostas avançadas para essas situações cada vez mais comuns.

Muitos sites terão um conjunto de URLs/páginas que fornecem informações se sua conta for comprometida, por exemplo:

Dispositivos roubados ou perdidos

No caso de seu dispositivo ter sido perdido ou roubado, você pode potencialmente limpar os dados do dispositivo remotamente para proteger contra a possibilidade de que qualquer conta usada no dispositivo seja comprometida. Cada vez mais, as empresas passaram a contar com esse método para mitigar esse tipo de risco. Como parte desses recursos, as empresas podem decidir apagar parcial ou completamente um dispositivo. Em uma limpeza parcial, apenas certos dados considerados confidenciais serão excluídos do dispositivo. Alternativamente, em uma limpeza completa, todos os dados e o sistema operacional do dispositivo serão alterados de modo a tornar o dispositivo praticamente inutilizável por meio de um bloqueio remoto. Hoje, você, como usuário, pode ser capaz de realizar uma limpeza completa dependendo do seu dispositivo específico e da solução de MDM.

Limpando um dispositivo iOS

Caso seu dispositivo iOS tenha sido perdido ou roubado, você pode decidir limpá-lo remotamente. No entanto, você pode querer primeiro utilizar o recurso Find my iPhone do iCloud para verificar se o dispositivo não foi perdido em um lugar seguro, como sua casa ou veículo. O recurso Encontrar meu iPhone está disponível como um download de aplicativo para seu dispositivo iOS ou fazendo login no icloud.com e clicando no link buscar meu iPhone relacionado. Este recurso utiliza o iCloud para localizar o sinal de GPS do seu dispositivo, desde que o dispositivo esteja ligado. Lembre-se de que você deve primeiro ativar o recurso Buscar iPhone no seu dispositivo enquanto ele ainda estiver em sua posse; você pode fazer isso acessando o submenu do iCloud na guia Configurações no seu dispositivo iOS.

Se você decidir que deseja limpar completamente seu dispositivo depois de realizar essa pesquisa, você pode fazê-lo usando o aplicativo Find my iPhone ou fazendo login no icloud.com. Em ambos os casos, os dados do seu dispositivo iOS serão apagados; ele terá sido efetivamente redefinido para sua configuração padrão de fábrica.

Limpando um dispositivo Android

Uma opção que você pode usar para bloquear seu Android é o aplicativo Android Lost para executar alguns dos mesmos recursos do aplicativo Find my iPhone da Apple. Confira https://play.google.com/store/apps/details?id=com.androidlost&hl=en. Com o Android Lost, um usuário pode ler as mensagens de texto SMS do dispositivo, definir um alarme no dispositivo, localizar o dispositivo através de seu sinal de GPS ou limpar os dados do dispositivo. Tal como acontece com os dispositivos iOS, esta funcionalidade de limpeza irá efetivamente repor o dispositivo para a sua configuração predefinida de fábrica. Em outras palavras, isso não será uma limpeza completa tornando o dispositivo inutilizável; ele apenas impedirá que outra pessoa acesse quaisquer dados ou aplicativos que você adicionou ao dispositivo após a compra.

Espero que ajude !