Do BYOD ao CYOD: Conheça os perigos inerentes à utilização de dispositivos pessoais no local de trabalho
fevereiro, 22, 2013 11:07 amA mais recente moda no local de trabalho dá pelo nome de BYOD: Bring Your Own Device, o que em português significa, traga os seus próprios dispositivos (para o trabalho). Esta tendência é especialmente popular entre os colaboradores, dado que permite ler o e-mail pessoal de um modo mais conveniente e ainda navegar pela Internet com um menor controle por parte da entidade patronal. O BYOD permite ainda aos colaboradores trabalharem em um dispositivo que conhecem realmente bem.
Porém esta tendência não é apenas vista com bons olhos por parte dos colaboradores, já que muitos empregadores consideram que pode ajudar a poupar dinheiro à empresa, evitando a compra “desnecessária” de hardware e software.
O BYOD tem vindo a assumir cada vez mais importância na sociedade atual, e para além das empresas, este fenômeno pode ser observado nas escolas, especialmente se considerarmos que a vontade dos alunos utilizarem as últimas novidades em informática, leva-os a usarem os seus próprios computadores, ligando-os à rede escolar.
Prós e Contras do BYOD
Segundo um estudo conduzido em 2012 pela British Telecom, 60% dos colaboradores têm permissão para ligarem os seus dispositivos à rede empresarial, número este que deverá aumentar para 82% nos próximos dois anos.
No estudo ESET, realizado em parceria com a Harris Interactive, foram inquiridos diversos adultos empregados e residentes nos Estados Unidos, de onde se concluiu que 80% utilizam algum dispositivo pessoal em funções relacionadas com o trabalho. Enquanto os utilizadores mais informados e colaboradores dos departamentos técnicos deram origem a esta tendência, os gestores e outros elementos ligados à administração seguiram-na rapidamente.
O estudo da British Telecom concluiu ainda que apesar desta rápida adoção, 25% dos utilizadores estão conscientes de alguns riscos significativos para a segurança. Eis as estatísticas de utilização por país:
Normalmente, o surgimento de uma nova tendência trás consigo vantagens e desvantagens. O BYOD não é exceção.
No campo das vantagens importa considerar que a grande maioria dos dispositivos são pequenos, leves e simples de transportar. Têm ainda uma autonomia que dá para um dia de trabalho. Os colaboradores preferem utilizar os seus próprios dispositivos, para que não tenham de se habituar a outros sistemas que não estão habituados a usar, o que iria ter um impacto negativo na produtividade.
Já as desvantagens, são muitas e variadas. É, por exemplo, difícil – senão impossível – gerir o conteúdo e a configuração dos dispositivos. Não obstante , são ainda mais difíceis de proteger e torna-se difícil controlar o trafego efetuado. Mas existem mais fatores a considerar, sendo que uma característica importante se refere a questões de compatibilidade. Imaginemos que todos os computadores têm a mesma aplicação instalada, porém com versões diferentes. Isto significa que o utilizador A pode fazer um documento que o utilizador B e C não consigam abrir, o que iria afetar a produtividade.
Imaginemos ainda que um colaborador está fora da empresa e necessita acessar a um documento que se encontra disponível na rede empresarial. A solução mais lógica seria utilizar um cliente VPN e assim obter o arquivo pretendido. Mas e se não existir um cliente VPN para o dispositivo pessoal do colaborador? Nesse caso ele pode ter de copiar os documentos para o próprio dispositivo, antes de sair da empresa. Isto poderá dar origem a um potencial risco de segurança. Mesmo que não se tratem de documentos, os utilizadores poderão configurar as contas de e-mail da empresa nos seus próprios computadores, o que irá contribuir para o armazenamento local de muitas informações sensíveis. Não será difícil adivinhar o que poderá acontecer à empresa no caso de perda ou roubo do dispositivo em questão.
Uma diversidade de dispositivos
A diversidade de dispositivos existentes no mercado, torna a configuração das redes empresariais num problema complexo. Neste campo, alguns dos riscos são notoriamente mais óbvios do que outros.
Se olharmos, por exemplo, apenas para os smartphones, há muitas variáveis a ter em conta quando o utilizador liga o seu dispositivo a uma porta USB do computador da empresa. O equipamento que foi ligado pode servir como:
Um dispositivo de armazenamento externo cujos dados são gravados na memória interna;
Um dispositivo de armazenamento externo cujos dados são gravados na memória externa, como por exemplo, em cartões MicroSD;
Um modem quando a configuração do smartphone permite que os dispositivos USB utilizem a Internet via 3G/4G;
Uma estação de retransmissão Wi-Fi (hotspot público);
Um hub de ligações Bluetooth;
Um hub de ligações infra-vermelhos (embora estas sejam muito pouco populares).
Mas não são só os smartphones que oferecerem perigos para as empresas, já que outros dispositivos, podem causar grandes problemas, como por exemplo, os porta-retratos digitais.
Existem muitos colaboradores que gostam de levar este tipo de dispositivos para o local de trabalho, de modo a sentirem-se em casa.
Se por um lado os porta-retratos digitais mais simples que não têm funcionalidades de acesso a redes sem fio não apresentam perigo, as mais completas, que inclusivamente podem aceder à Internet, representam uma séria ameaça.
Estes porta-retrato digitais possuem normalmente um pequeno sistema operacional que utiliza determinadas bibliotecas que podem conter potenciais problemas de segurança e que poderão permitir, por exemplo, que a mesma seja explorada de forma maliciosa. Se considerarmos que o dispositivo pode estar ligado à rede empresarial existem diversas possibilidades infindáveis e preocupantes. Se a moldura for programada para analisar a rede, pode tentar encontrar arquivos abertos com acesso a dados confidenciais. Pode ainda ser usada como backdoor, como pequeno servidor C&C, centro de spam, entre outras. Para piorar toda esta situação não existem soluções antimalware para estes dispositivos. Em termos práticos isto significa que estes equipamentos infectados poderão levar a adiante as suas ações maliciosas sem serem detectados.
Aplicações que se ligam à Internet
Muitas aplicações comunicam frequentemente com a Internet, na maioria dos casos para obterem, por exemplo, dados relacionados com a meteorologia, ou para acessarem ao e-mail. Estas comunicações são normalmente efetuadas de forma não segura. Utilizando ferramentas como o WireShark é possível acessar a todos os detalhes dessas comunicações (incluindo senhas), o que poderá levar cibercriminosos a apoderarem-se de informações confidenciais importantes. Porém os dispositivos que se ligam à Internet podem também ter a capacidade de rodar aplicações como o WireShark, armazenando todas as comunicações empresariais no dispositivo, para que sejam transmitidas posteriormente a terceiros.
Atualizações do firmware ou do sistema operacional
Mesmo que o administrador de sistemas classifique os dispositivos pessoais dos colaboradores como seguros e confirme que não estão sendo efetuadas quaisquer ações impróprias, pode surgir uma nova atualização de firmware ou a nível do sistema operaciona que traga funcionalidades indesejadas.
Uma atualização pode fazer, por exemplo, com que um sistema operacional passe a ter uma sincronização permanente com a tão famosa “cloud”, transportando eventualmente informações confidenciais para fora do equipamento. É certo que esta poderá ser uma funcionalidade interessante no caso do dispositivo se avariar ou for roubado e quiser voltar a recuperar todas as informações. Porém, não se torna tão interessante se considerarmos que um utilizador mal intencionado pode conseguir acessar a estes dados. Mesmo que o dispositivo esteja protegido por PIN ou por uma senha, existem programas que conseguem ludibriar estes mecanismos.
É impossível um equipamento de segurança corporativa conhecer todos os recursos introduzidos frequentemente pelos novos sistemas operacionais, aplicações ou firmware, especialmente se não estiverem familiarizados com os dispositivos em questão.
Porquê CYOD?
O CYOD, ou em português, “Escolha o seu próprio dispositivo”, é um modelo que tem como objetivo resolver os eventuais problemas que podem surgir do BYOD. Deste modo, existe uma lista pré-selecionada de dispositivos que os colaboradores poderão eventualmente utilizar. Estes dispositivos são normalmente, bem conhecidos pelos administradores de sistema e foram escolhidos por serem fáceis de gerir, controlar e pela elevada compatibilidade. Permitem também uma implementação eficaz das políticas de segurança vigentes na empresa.
Os funcionários que não quiserem um destes equipamentos, pré-selecionados pelo departamento de TI da empresa e pretendem utilizar os seus próprios dispositivos terão de aceitar que não poderão acessarr à rede empresarial. Em simultâneo, deverão ser instruídos sobre segurança de TI no trabalho.
Windows to Go
Outro problema associado ao BYOD é criado pelos colaboradores que trabalham a partir de casa, ou em mobilidade com o seu próprio computador e conseguem acessar à rede da empresa, muitas vezes através de um hotspot público.
O estado dos sistemas operacionais nestas situações é completamente desconhecido para os administradores de sistemas e na maioria dos casos nem os próprios donos dos computadores sabem se estão infectados ou não. Basta alguém ter usado o computador para navegar por páginas menos aconselháveis para o equipamento ter ficado infectado por uma backdoor, sem que o utilizador tenha percebido.
O Windows 8 inclui uma nova funcionalidade denominada “Windows To Go” que permite às empresas criarem um ambiente de trabalho completo, no qual se incluem aplicações e utilitários, que ocorre a partir de uma drive USB. Assim que o sistema operacional é carregado, todas as políticas de segurança e ferramentas de gestão entram em vigor. Isto torna o equipamento do colaborador tão seguro, como se estivesse utilizando o próprio computador da empresa.
O Windows To Go vem ainda com algumas camadas extra de segurança. Para prevenir uma potencial perda de dados, se o pendrive USB for removido, os processos em execução serão congelados. Se ele voltar a ser introduzida num espaço de tempo igual ou inferior a 60 segundos, o sistema irá continuar a trabalhar. Se nenhuma destas condições se verificar, o sistema irá encerrar prevenindo o roubo de informações confidenciais. Um pendrive com o Windows To Go pode também ser protegido pelo Bitlocker.
O Windows To Go significa que não existem riscos quando é utilizado no computador pessoal de um colaborador?
Na realidade existem alguns riscos. Assumindo que o ambiente de trabalho do Windows To Go foi configurado corretamente, de modo a que seja sempre estabelecida uma ligação VPN segura entre o computador e a empresa, existe o problema da ligação à Internet não estar devidamente protegida. Enquanto a rede empresarial esta segura através da utilização de uma firewall, o computador pessoal pode ser utilizado em ambientes inseguros, abrindo a porta a riscos e ameaças que poderão infectar o computador.
Conclusão
Se considera que o BYOD é um problema que irá ocorrer apenas no futuro, não se engane porque o futuro já chegou e todos os riscos que referimos anteriormente são bem reais. É praticamente impossível prevenir que os colaboradores levem os seus equipamentos pessoais para o trabalho. Se for proibida a utilização de tablets ou smartphones existem, por exemplo, relógios que têm funcionalidades de telemóvel e até uma porta USB.
Está ao alcance das empresas valorizarem o BYOD e reestruturarem as políticas empresarias. Caso contrário e mais cedo do que possa esperar, as informações confidenciais da sua empresa, poderão cair nas mãos erradas.
Ao mudar para um modelo CYOD onde os diferentes dispositivos que podem acessar à rede empresarial são controlados pelos administradores de sistemas, os riscos podem ser minimizados para níveis aceitáveis, ao mesmo tempo que se continua a oferecer flexibilidade aos colaboradores.
Righard Zwienenberg
Sensores dos smartphones podem revelar sua senha
fevereiro, 18, 2013 10:26 amUm estudo realizado por investigadores de Swarthmore College na Pensilvania, determinou que é possível obter padrões e números PIN de bloqueio analisando a informação que geram e armazenam determinados sensores dos telefones inteligentes como o acelerômetro.
De acordo com a publicação, o acelerômetro dos telefones inteligentes armazena pelo geral, dados relacionados aos movimentos em três dimensões: de lado a lado, para frente e para trás, para cima e para baixo. Com esta informação, os investigadores levantaram que é possível adivinhar os padrões de bloqueio e números PIN utilizados para proteger os telefones inteligentes. Durante a prova, a informação registrada pelo acelerômetro do dispositivo foi capturada, exportada e analisada para compará-la com um dicionário previamente armado de toques e golpes. O resultado foi surpreendente, pois um programa desenvolvido pelos investigadores alcançou 5 intenções, 43% de números PIN e 73% de padrões de bloqueio. Contudo, estas porcentagens diminuiram se a pessoa utilizava o telefone inteligente caminhando ou movendo-se de um lugar para outro. Isto porque os movimentos introduzem “ruído” portanto, dificulta-se a obtenção da informação.
Na base do apontado por Dr. Aviv, um dos investigadores, a preocupação por parte dos profissionais de segurança com respeito a este tema está crescendo. O motivo é claro, os dados que registra-se no acelerômetro não são tratados com o mesmo rigor que outros controles. Neste sentido, os sensores tem maior liberdade para obter informação que as aplicações instaladas em um smartphone. Assim mesmo, o Dr. Aviv, afirmou que um usuário não necessita outorgar permissões especiais para que um sensor posso obter informação inclusive se os dados registrados neste momento não tem direta relação com a aplicação que se estava utilizando.
Ainda que esta investigação seja uma prova de conceito, também é uma possibilidade mais que tem os atacantes para poder deixar vulnerável a segurança do usuário e deste modo, acessar sua informação confidencial. Se considerarmos que mais de 58% dos usuários da América Latina tiveram furtados seus celulares, a necessidade de implementar uma senha de bloqueio torna-se imprescindível. Alguns smartphones permitem estabelecer vários métodos de bloqueio como os que se mencionam na sequência:
- Bloqueio por padrão: Consiste em unir uma sequência de pontos para formar uma figura que serve para desbloquear o telefone. Tal como se descobriu nesta investigação, o uso de padrões de bloqueio não é recomendável devido a facilidade com que se pode adivinhar uma sequência:
- Desbloqueio facial: Consiste no registro fotográfico do usuário que se utiliza para desbloquear o telefone. Ainda que este sistema de proteção é mais rápido que estar inserindo uma senha, o nivel de segurança que outorga é inferior al de desbloqueio por número PIN ou senha tal como informa o Android no momento de ativar esta característica:
- PIN: (não confundir com o PIN do cartão SIM ou chip), trata-se de um bloqueio que funciona através de uma senha numérica. Este método é mais seguro que o desbloqueio facial ou por padrões. Dependendo do telefone, a longitude pode ser maior do que quatro dígitos:
-Senha: É o método mais seguro para bloquear um telefone inteligente. A diferença do PIN, o bloqueio por senha permite estabelecer chaves alfanuméricas, o que dificulta consideravelmente que um terceiro possa vulnerar este sistema de proteção:
Resumindo as características dos métodos de proteção disponíveis, deve-se começar pela premissa de que não estabelecer nenhum tipo de bloqueio é a ação mais insegura e perigosa de todas, portanto, tal situação deve evitar-se sempre. Ainda implementar um código PIN de quatro dígitos permite proteger o smartphone relativamente bem, uma senha alfanumérica composta por mais de quatro caracteres segue sendo a opção mais segura de todas. Em contraposição, a ausência de um sistema de proteção, o bloqueio por padrão e o sistema de reconhecimento facial deve ser evitado. Finalmente o recomendamos a leitura de nosso Guia de Segurança para dispositivos móveis.
André Goujon
Especialista de Awareness & Research
Vulnerabilidade em Android afeta Samsung Galaxy S2 e S3.
dezembro, 28, 2012 9:47 amFalha em Angry Birds propaga Boxer.
dezembro, 26, 2012 10:56 amOs grandes avanços no desenvolvimento de tecnologias móveis tem convertido os dispositivos em intens indispensáveis, não somente para levar a cabo as tarefas diárias sejam pessoais ou de trabalho, mas também em peça fundamental para o ócio. Uma das últimas aplicações que tem tido grande acolhida entre os usuários de jogos em dispositivos móbile é uma nova versão de Angry Birds desta vez ambientada no universo Star Wars. E é precisamente esta popularidade a que tornou-se alvo dos desenvolvedores de códigos maliciosos.
Neste caso, foi desenvolvida uma aplicação maliciosa fazendo crer o usuário que trata-se de uma versão completa e não paga do popular jogo, a qual pode-se fazer o download de alguns repositórios não oficiais de aplicações para dispositivos Android, como um arquivo apk e que se pode instalar diretamente do celular. Uma vez que tem-se instalado a aplicação o dispositivo começa a enviar mensagens de textos a números SMS Premium, o qual implica uma perda econômica para o usuário e que por último poderia chegar a exceder o custo da aplicação oficial.
Particularmente este código malicioso é detectado por uma solução ESET Mobile Security como Android/TrojanSMS.Boxer.AQ.Gen, uma variante do já conhecido SMS Trojan. Uma análise deste código malicioso, deixa ver no AndroidManifest.xml as permissões que estão sendo requeridas. Neste ponto ressalta-se obviamente o envio de mensagens SMS. O importante que deve estar claro para os usuários sobre este tipo de subscrição é que uma vez que o usuário aceita a instalação está aprovando uma série de condições nas quais assume a responsabilidade de todo o gasto que possa ocorrer. Também dentro do código há uma porção desta ameaça compatível com a versão 4.0 do Android.
Cabe recordar que desde o Laboratório da ESET Latinoamérica foram seguidas a uma amostra deste código malicioso cuja particularidade radicava em que também de afetar nove países latino-americanos que fazia também sobre outros 54 países mais a nível mundial, pondo em evidencia a atratividade que tem se convertido o mercado da América Latina para os ciberdelinquentes. Mais informação sobre este caso pode-se encontrar com mais detalhe no informe SMS Boxer Trojan.
O grande problema com este tipo de malware é que eles geram uma perda econômica a vítima, quem descobre que está infectado uma vez que seu saldo se esgote ou que chegue sua fatura de cobrança. Por tal motivo a primeira alternativa que um usuário deve ter é contar com uma solução de segurança que ajude a identificar se seu smartphone está infectado com este tipo de código malicioso ou com algum outro que possa por em risco a segurança de sua informação. ESET Mobile Security conta com o premiado motor de heurística de ESET que junto com outras funcionalidades como o antispam e o firewall oferecem proteção em tempo real contra as ameaças conhecidas e emergentes, sem afetar o rendimento.
Como parte de alguns conselhos práticos para proteger os dispositivos móveis, cabe ressaltar o cuidado que devem ter os usuários ao baixar aplicações de repositórios não oficiais, pois os controles para determinar se estão relacionados com códigos maliciosos não são tão restritos como no caso dos repositórios oficiais que no caso de Android é o Google Play. Vale a pena mencionar que a versão 4.2 do sistema operacional móvel do Google trará incorporada uma nova característica de segurança que perguntará ao usuário sobre se está de acordo em instalar uma aplicação que acesse a recursos sensíveis ou suas funções que podem significar um custo para o usuário. Também ao tomar este tipo de medida preventiva, o convidamos a ler nosso Guia de segurança para dispositivos móveis o qual encontra-se disponível em nosso Centro de Ameaças e é de acesso gratuito.
H. Camilo Gutiérrez Amaya
Especialista de Awareness & Research
Sexting: Quando não se medem as consequências
julho, 2, 2012 6:22 pmNa sociedade da informação, a cada dia surgem novas tendências impulsionadas pelo grande crescimento das tecnologias da informação. Infelizmente, muitas dessas tendências têm consequências prejudiciais para quem as adota de forma direta ou indireta. Uma dessas tendências é o Sexting, que já evoluiu da mera troca de mensagens de texto com insinuações eróticas (daí vem sem nome: a união das palavras em inglês Sex e Texting), até chegar à troca de fotos ou vídeos pessoais com caráter sexual.
A característica que diferencia o Sexting da pornografia infantil é que existe o consentimento inicial do envolvido para produzir fotos sensuais; o que começa como uma brincadeira que se complica quando a informação se propaga em redes sociais e se torna incontrolável. Esta difusão se sustenta na utilização de dispositivos, geralmente smartphones ou computadores com webcam, que facilitam a produção e o envio das imagens a partir de qualquer lugar onde o adolescente tenha privacidade com que se sinta confortável.
Vale a pena destacar que as fotos podem começar com poses inocentes que vão evoluindo até fotos com conteúdos sexuais explícitos, impulsionados pelos comentários de seguidores ou amigos nas redes sociais, que se tornam os veículos de propagação. Assim é aberta a porta para que o adolescente enfrente casos que vão desde extorsões do tipo econômico ou sexual até sofrer danos em sua imagem no futuro.
Há um compromisso formal desde 2007 das Nações Unidas (ONU) chamado “Um mundo apropriado para as crianças” (A world fit for children), em que, dentre outras coisas, os governos integrantes se comprometem a lutar contra os abusos sexuais contra os mais jovens. Apesar disso, parece que qualquer esforço não é suficiente, porque os jovens insistem em compartilhar imagens sem maiores cuidados, desconhecendo ou ignorando os riscos por não medir as consequências de seus atos. Por isso é tão importante a intervenção dos pais com uma orientação adequada sobre o manuseio responsável dos dispositivos e as consequências de seu mau uso que podem incluir perseguição, roubo e até ter suas fotos divulgadas como material pornográfico. Esta comunicação pode se apoiar em três simples conselhos:
- Os computadores com acesso à Internet devem ficar em locais compartilhados da casa.
- Ter instalados sistemas de proteção de dados que permitam restringir o acesso a sites que menores de idade não devem acessar.
- Estar ciente das atividades do jovem na Internet, revisando o que faz no computador e por onde navega.
O desafio para os pais é conhecer os riscos a que seus filhos podem estar expostos, e deixar claro que, mesmo que eles sejam os integrantes da família que melhor dominam a tecnologia, não pode ser os que impõem as condições para o seu uso. A ESET oferece gratuitamente seu Guia de Proteção Infantil e o Guia de Redes Sociais, para que os pais saibam o que fazer para se proteger e proteger os mais jovens da família.
H. Camilo Gutiérrez Amaya
Especialista de Awareness & Research
