Tópico da Apple
- Iniciador de tópicos Lsk
- Data de início
]
RespectRequired
Banido
Irascivel
Membro participativo
Não estava era à espera que tivesse havido tanta gente que não percebeu isso…
[]
Quanto ao resto…
O teu problema é mesmo esse: "(...) o máximo que me leva é o user (...)".
Estás errado.
Leva-te o teu endereço de e-mail, por exemplo.
Leva-te o tipo de password que costumas usar (formato, tipo de palavras, etc.) que pode ser usado para facilitar um ataque à password do e-mail, por exemplo.
Leva-te o tipo de posts que fazes (temas, conteúdos), associado ao e-mail (pessoa), que permite direccionar publicidade (ou ataques de phishing — spear phishing)
Etc.
Ou seja, é precisamente o tipo de coisa que eu estava a falar: FALTA DE NOÇÃO sobre a realidade das coisas, sobre os perigos, sobre o que o conjunto de pequenas coisas sem importância quando em separado, mas de grande valor quando reunidas.
Dá aí umas dicas então de como geres a "tua vida online".
Mesmo supondo que não te interessas por facebooks, instragrams e tretas do genero, como é que fazes a gestão de todos os outros sites/serviços onde estás registado - o forum, netflix, email(s), (i)clouds, etc?
Tens um email e uma pw por cada serviço? Como os memorizas, onde os guardas, etc
Mas dicas para os comuns dos mortais, não me vás dizer para montar o meu servidor linux, com encriptação xpto, aceder só por VPN, em rede privada, dentro do armário e de luz apagada [
]
Nuno156
Membro histórico
Bem, se é para ter conversas civilizadas, estou disponível e terei o maior prazer em discutir o assunto contigo, ou com quem quiser discutir o assunto de forma civilizada.
Quanto ao reddit, nunca usei.
E também não tenho interesse nenhum em andar a discutir casos concretos em público. Discuti com quem tinha a discutir (SAMSUNG). E eles não apresentaram nenhuma explicação satisfatória que me levasse a continuar a comprar SAMSUNG. Não seriam eventuais teorias de gajos do reddit (por exemplo) que me iriam convencer de que a SAMSUNG seria uma boa aposta (ou o contrário, eventualmente).
Mas sim, é mais ou menos o que dizes na parte em que a explicação deles é verdade (não sou paranóico ao ponto de duvidar de tudo o que os outros dizem, normalmente parto do princípio que as pessoas dizem a verdade, e que apenas mentem em certas situações).
Posso fazer um daqueles posts longos, a contar a história toda, depois de jantar.
Quanto ao Knox, acho melhor deixar para outro tópico. É mais complexo, não tem uma explicação preto ou branco, e tem muitos cinzentos, ainda que algumas partes sejam fáceis de compreender.
RespectRequired
Banido
O Reddit iria dar visibilidade publica a esse caso; mais um prego na Samsung [kiss][kiss][kiss] Se precisares e ajuda diz, para derreter os coreanos i'm all in [
]
Última edição:
singularidade
Membro participativo
2 Multimilionários no tópico Apple .
Nuno156
Membro histórico
Dá aí umas dicas então de como geres a "tua vida online".
Mesmo supondo que não te interessas por facebooks, instragrams e tretas do genero, como é que fazes a gestão de todos os outros sites/serviços onde estás registado - o forum, netflix, email(s), (i)clouds, etc?
Tens um email e uma pw por cada serviço? Como os memorizas, onde os guardas, etc
Mas dicas para os comuns dos mortais, não me vás dizer para montar o meu servidor linux, com encriptação xpto, aceder só por VPN, em rede privada, dentro do armário e de luz apagada [
Sim, sim, sim, blá, blá, blá…
Sim, tenho os meus próprios servidores, incluindo de e-mail, e por isso posso criar endereços de e-mail à minha vontade.
Mas isso é irrelevante.
Ou seja, é irrelevante o que eu faço.
Simplesmente porque eu sou humano (e estúpido), e faço cenas certas e erradas, e tenho exageros tanto para o bem (virtudes) como para o mal (vícios).
Quando eu escrevo qualquer coisa sobre segurança, é apenas para dar a conhecer BOAS PRÁTICAS bem como os RISCOS que podem estar a correr ao violar uma boa prática.
Basicamente: INFORMAR para que possam tomar decisões informadas.
Parêntesis: Neste caso sobre os riscos de usar o Tapatalk.
Ora, o facto de eu alertar para as coisas, não signifique que eu as siga às riscas.
Faço aquilo que todos devem fazer:
— estar o mais bem informados possível (daí eu prestar informação, sempre que surge a oportunidade)
— ponderar os prós e os contras (vantagens vs riscos)
— tomar uma decisão informada sobre o assunto.
Não há regras.
Há BOM-SENSO.
RespectRequired
Banido
CHB
Membro participativo
O Reddit iria dar visibilidade publica a esse caso; mais um prego na Samsung [kiss][kiss][kiss] Se precisares e ajuda diz, para derreter os coreanos i'm all in [
Falei no Reddit porque a comunidade é gigante e a chance de encontrar alguém com um caso semelhante ou até alguém da Samsung é extremamente elevada.
Ou então, alguém que refute o que pensas e te explique de uma forma que aceites, sobre o sucedido.
É que, uma pesquisa rápida sobre o que te aconteceu não encontra nada o que acho extremamente estranho. O que é facto é que, caso tenha sido um acesso humano ou não, para ter havido tentativa, é porque houve acesso à informação de login e só por ai, é preocupante.
Em relação ao facto da Samsung ser boa ou má, não discuto nem faz sentido discutir porque ninguém está isento de problemas e para cada artigo contra a Samsung, há um ou dois ou três contra os restantes fabricantes, incluindo a Apple.
singularidade
Membro participativo
A Samsung tem o seu próprio departamento militar pode Bombardiar a Apple na Califórnia.
segurança []
segurança [
]
Nuno156
Membro histórico
O Reddit iria dar visibilidade publica a esse caso; mais um prego na Samsung [kiss][kiss][kiss] Se precisares e ajuda diz, para derreter os coreanos i'm all in [
Este caso já está morto e enterrado.
Tem a ver com o Social Hub, e acho que isso já não existe na SAMSUNG (a menos que tenham mudado de nome e tenham mantido o funcionamento por armazenamento de passwords).
Por isso é que agora estou disposto a dar alguns detalhes sobre o assunto em público.
Na altura só dizia respeito à SAMSUNG.
Se a minha chamada de atenção (da minha troca de e-mails com a SAMSUNG) serviu para os gajos repensarem o Social Hub e a ideia estúpida de guardar passwords nos servidores deles, então melhor ainda.
Já a discussão pública do assunto (caso em concreto, por oposição a uma prática genérica) não iria trazer nada de benéfico para ninguém.
Para mim o padrão é evidente: é uma aplicação que instalas.
E quanto à questão que vais colocar a seguir:
— "Mas eu não instalei nada de novo nos últimos X whatever!"
É irrelevante.
Uma aplicação pode estar boa quando a instalas depois de comprares o telemóvel, mas ficar "marada" com uma actualização (a nova versão tem bug e a anterior não tinha).
E quanto à questão que vais colocar a seguir:
— "Mas eu não instalei nem actualizei nada de novo nos últimos X whatever!"
É irrelevante.
Um bug pode manter-se "adormecido" durante anos, até que ocorra uma situação que o active.
Exemplo:
Espaço de armazenamento restrito (pouco) para as operações de cache ou similares.
Portanto, eu aposto numa aplicação, e aposto em aplicações de redes sociais, jogos, ou outros lixos, como a do Facebook (ou aplicações do Facebook, como Messenger, Instagram, e Whatsapp).
NOTA:
Aplicações de gestão de bateria, anti-vírus, "limpeza", etc., estragam mais do que arranjam.
E, como tal, faria o que já te aconselharam aí atrás:
— desligar o background update de TODAS as Apps ("ninguém" precisa disso activo, a menos que seja um especulador bolsista, ou algo muito específico).
— desligar o serviço de localização em background nas Apps.
— fechar as aplicações todas.
— fazer reboot (para garantir que Apps que tenham eventuais serviços em background sejam também reiniciados).
Mas, para teres mesmo a certeza, tens de ver as percentagens e TEMPOS das Apps.
Ver anexo 142109
Pode ser, seria realmente uma justificação para o padrão mantido.
Já cumpri isso tudo que escreves, a ver como evolui, no entanto como disse antes aposto que com o iOS 11 fica resolvido por algum tempo
Audigy
Membro participativo
Propositadamente a inserir-me onde não fui chamado, pessoalmente guardo todas as senhas de recuperação e passwords num vault encriptado via Cryptomator(https://cryptomator.org/architecture/). Por ser open source dá-me mais garantias(nada é absolutamente garantido, que fique claro) de que quem desenvolve não está a esconder um backdoor ou similar com variadíssimos tipos de intenções, bem como torna-se mais fácil implementar melhorias e descobrir buracos através do escrutínio da comunidade(usa open source libraries como o JCA, Bouncy Castle, OpenSSL e Common Crypto).
Claro que esta é uma solução pouco prática para o comum dos mortais, portanto existem soluções menos "tin foil hat". Para serviços mundanos do dia a dia, como forums e serviços com 2FA activo, o serviço de sync da Google no Chrome oferece a possibilidade de guardar os dados de autenticação na cloud com recurso a chave definida pelo utilizador(https://support.google.com/chrome/answer/1181035?hl=en). Claro que isto pressupõe confiança no sandbox do Chrome(para além da marca em si e no seu back end cloud), e preferencialmente num sistema não comprometido(sendo que por vezes o elemento mais inseguro reside entre o monitor e a cadeira e quanto a isso nada feito). Peca por essencialmente estar exposto a man-in-the-middle attacks(interceptar a blob de data encriptada que contém as passwords), sendo possível minimizar o risco através do uso de 2FA nos serviços de onde são essas passwords. Tem a vantagem de ser algo idiot proof no que consta a phishing, pois no caso de certificados inválidos e/ou domínios similares, simplesmente os dados não são automaticamente introduzidos, dando um sinal de aviso ao user. De modo a proteger a conta da Google, 2FA deve estar obrigatoriamente activo, e preferencialmente a extensão Password Alert da Google instalada: https://chrome.google.com/webstore/detail/password-alert/noondiphcddnnabmjcihcjfbhfklnnep?hl=en
Irascivel
Membro participativo
Mas os riscos que apontas ao Tapatalk são exactamente os mesmos que podes apontar a quem gere o FAHO. Ou seja, os admins do fórum também podem aceder à tua pass, formato, email para publicidade, etc etc, daí perguntar o que se deve fazer, sendo que para o comum dos mortais é impraticável criar um email e pw por cada serviço.
Eu tenho uma pass para cada site, mas sempre partido de uma base comum, senão nunca me iria orientar. Estaria sempre no I forget my password...
Irascivel
Membro participativo
Se for um open source tão bom como o Truecrypt estás feito [
]Suspeitou-se que a NSA tinha lá um backdoor, mas não chegou a ser confirmado. Quem geria o desenvolvimento simplesmente encerrou aquilo de um dia para o outro, sem grandes explicações. Há muitas lendas contadas lol
Audigy
Membro participativo
Se for um open source tão bom como o Truecrypt estás feito [
Suspeitou-se que a NSA tinha lá um backdoor, mas não chegou a ser confirmado. Quem geria o desenvolvimento simplesmente encerrou aquilo de um dia para o outro, sem grandes explicações. Há muitas lendas contadas lol
Sinceramente não sei porque estaria feito "ao bife"... foi devido ao TrueCrypt ser open source que várias forks seguidamente continuaram o projecto(com outros nomes, por ex: VeraCrypt). Essa da NSA foi para fechar o tasco mais cedo, o código foi auditado imensas vezes tanto pela comunidade como por identidades externas, nenhum backdoor foi descoberto. Aliás, desconfio que por isso mesmo surgiram pressões para o projecto terminar. Claro que isto iria surgir como mais um meg@upload, fecham com um, meia dúzia de forks mais tarde já tens mais um 3 ou 4 projectos similares...
Quanto ao Cryptomator(que até tem uma mui útil app para iOS):
RespectRequired
Banido
Tópico da Apple
As figurinhas que fazes:
Desfruta o teu 'Nissan Cube', tens tópico ali ao lado para discutires sobre as qualidades desse colosso entupido em crapware e malware.
As figurinhas que fazes:
Desfruta o teu 'Nissan Cube', tens tópico ali ao lado para discutires sobre as qualidades desse colosso entupido em crapware e malware.
Última edição:
singularidade
Membro participativo
As figurinhas que fazes:
Desfruta o teu 'Nissan Cube', tens tópico ali ao lado para discutires sobre as qualidades desse colosso entupido em crapware e malware.
Diz uma coisa
Nao te chateia nem um pouco !!
que a empresa de bilhões que tanto amas e ès fanboy
esta a te vender uma peça de hardware maioritariamente já bem conhecida e usada a anos pela concorrência e te vai vender por um preço exorbitante como uma relíquia tecnológica de que em hardware não te traz nada demais... ao nao ser o bom IOS inclusivo ?
Ate te fica mal esse comentário, user de aparência em um falso ferrari è só um smartphone não è uma joia não é um carro é um smartphone.
o que seria do iPhone nos dias de hoje sem o IOS?
vc esta a comprar software não hardware!
compraria vc um iPhone com Android?
Eu sinceramente ca*o para o iPhone X comigo não cola mais fica para os exibicionistas de bijuteria.
Eu cá prefiro um carro a sério e um smartphone ��
Última edição:
Nuno156
Membro histórico
Bem, já jantei…
Pode parecer estranho começar a história da Samsung a falar da Google, mas depois vão perceber…
Um dos problemas da Google (e da Apple, e da Microsoft, e de um porradão de empresas) é o endereço de e-mail ser também o username.
Isto é uma falha de segurança infantil.
Mas como os "grandes" têm essa falha de segurança, há quem pense que "não deve ser assim tão grave"…
Se a gravidade das falhas de segurança for proporcional à estupidez, então é uma falha de segurança GRAVÍSSIMA, de tão estúpida (e infantil) que é.
Explico:
O endereço de e-mail é suposto ser público.
Nós damos os endereços de e-mail a outras pessoas para que nos enviem mensagens. O propósito do endereço é mesmo ser um identificador público.
O username faz parte do sistema de autenticação de uma pessoa. A autenticação é bem sucedida quando tanto o username e como a password estão correctas.
Ora, fazer com que o endereço de e-mail (público) seja o username, e assim o username seja público, é uma redução de segurança da autenticação.
Ou seja, quem tiver uma conta GMAIL automaticamente está a dizer que o username é aquele endereço.
Já só falta acertar na password.
Se o username for diferente do endereço de e-mail, eu sei que existe uma pessoa com aquele endereço, mas não faço a mais pálida ideia de qual é o username para aceder àquela conta de e-mail.
Ou seja, teria não só de descobrir a password, como também teria de descobrir o username.
Um certo gajo alemão (que eu não conheço, mas que depois obtive o nome), teve acesso ao meu endereço de GMAIL (obviamente, público).
Provavelmente o gajo deveria estar a tentar mandar-me vírus, ou algo do género.
E uma das formas que tentou foi via GTALK ou HANGOUTS (já não me recordo, isto foi há 3 anos).
Sei que a dada altura tinha um porradão de pedidos de aceitação de contacto, que eu recusei na totalidade.
Ora, já estão mesmo a ver…
Como não conseguiu por via de phishing, ou algo do género, foi à BD da SAMSUNG procurar se aquele endereço tinha lá conta.
Tinha.
Sacou a password, e tentou fazer login na minha conta se GMAIL (imagino que para aceitar em meu nome os convites dele).
Azar dos azares:
— estava na rede da SAMSUNG na Alemanha
— a Google achou que eu não podia estar em Portugal e na Alemanha ao mesmo tempo
— a Google bloqueou o acesso e enviou-me um e-mail com o alerta da tentativa
— no registo da tentativa estava o endereço IP de onde foi realizada a tentativa (um dos IP públicos da rede da SAMSUNG na Alemanha)
Segue imagem do e-mail que recebi da Google a avisar da tentativa de acesso.
O e-mail foi alterado, e as alterações estão assinaladas a vermelho (mesmo que consigam perceber o que está debaixo dos riscos vermelhos, o que lá está é falso).
De notar que o e-mail da Google diz EXPLICITAMENTE que foi usada uma APLICAÇÃO para fazer o acesso.
Isto exclui o acesso de um servidor, como o e-mail inicial da SAMSUNG quis dar a entender que teria sido o caso.
No entanto, MESMO QUE FOSSE O CASO, foi a primeira e única vez que tive este e-mail da Google a avisar-me de uma tentativa de acesso (Samsung ou outra).
Reparem bem: único! Desde que tenho a conta de GMAIL até hoje!!!
Ou seja, se tivesse efectivamente sido um servidor da Samsung, já deveria ter dado o aviso anteriormente.
Ou, no limite, deveria ter dado mais algumas vezes algum tempo depois.
Mas não. A única vez na minha vida que recebi um e-mail destes foi precisamente na mesma altura em que um gajo me estava a fazer SPAM de pedidos de aceitação de contacto no GTALK/HANGOUTS.
Há quem acredite em coincidências, eu não.
Como tal, contactei a SAMSUNG a pedir explicações.
Já continuo noutro post…
Entretanto, enquanto eu escrevo o próximo post, deixo esta:
Sim, é bué fácil falsificar e-mails.
Até uma criança consegue.
Podem dizer isso nos tópicos do Benfica, Porto e Sporting.
Ou seja, se eu quisesse, poderia ter inventado tudo o que está no printscreen do e-mail acima.
Pode parecer estranho começar a história da Samsung a falar da Google, mas depois vão perceber…
Um dos problemas da Google (e da Apple, e da Microsoft, e de um porradão de empresas) é o endereço de e-mail ser também o username.
Isto é uma falha de segurança infantil.
Mas como os "grandes" têm essa falha de segurança, há quem pense que "não deve ser assim tão grave"…
Se a gravidade das falhas de segurança for proporcional à estupidez, então é uma falha de segurança GRAVÍSSIMA, de tão estúpida (e infantil) que é.
Explico:
O endereço de e-mail é suposto ser público.
Nós damos os endereços de e-mail a outras pessoas para que nos enviem mensagens. O propósito do endereço é mesmo ser um identificador público.
O username faz parte do sistema de autenticação de uma pessoa. A autenticação é bem sucedida quando tanto o username e como a password estão correctas.
Ora, fazer com que o endereço de e-mail (público) seja o username, e assim o username seja público, é uma redução de segurança da autenticação.
Ou seja, quem tiver uma conta GMAIL automaticamente está a dizer que o username é aquele endereço.
Já só falta acertar na password.
Se o username for diferente do endereço de e-mail, eu sei que existe uma pessoa com aquele endereço, mas não faço a mais pálida ideia de qual é o username para aceder àquela conta de e-mail.
Ou seja, teria não só de descobrir a password, como também teria de descobrir o username.
Um certo gajo alemão (que eu não conheço, mas que depois obtive o nome), teve acesso ao meu endereço de GMAIL (obviamente, público).
Provavelmente o gajo deveria estar a tentar mandar-me vírus, ou algo do género.
E uma das formas que tentou foi via GTALK ou HANGOUTS (já não me recordo, isto foi há 3 anos).
Sei que a dada altura tinha um porradão de pedidos de aceitação de contacto, que eu recusei na totalidade.
Ora, já estão mesmo a ver…
Como não conseguiu por via de phishing, ou algo do género, foi à BD da SAMSUNG procurar se aquele endereço tinha lá conta.
Tinha.
Sacou a password, e tentou fazer login na minha conta se GMAIL (imagino que para aceitar em meu nome os convites dele).
Azar dos azares:
— estava na rede da SAMSUNG na Alemanha
— a Google achou que eu não podia estar em Portugal e na Alemanha ao mesmo tempo
— a Google bloqueou o acesso e enviou-me um e-mail com o alerta da tentativa
— no registo da tentativa estava o endereço IP de onde foi realizada a tentativa (um dos IP públicos da rede da SAMSUNG na Alemanha)
Segue imagem do e-mail que recebi da Google a avisar da tentativa de acesso.
O e-mail foi alterado, e as alterações estão assinaladas a vermelho (mesmo que consigam perceber o que está debaixo dos riscos vermelhos, o que lá está é falso).
De notar que o e-mail da Google diz EXPLICITAMENTE que foi usada uma APLICAÇÃO para fazer o acesso.
Isto exclui o acesso de um servidor, como o e-mail inicial da SAMSUNG quis dar a entender que teria sido o caso.
No entanto, MESMO QUE FOSSE O CASO, foi a primeira e única vez que tive este e-mail da Google a avisar-me de uma tentativa de acesso (Samsung ou outra).
Reparem bem: único! Desde que tenho a conta de GMAIL até hoje!!!
Ou seja, se tivesse efectivamente sido um servidor da Samsung, já deveria ter dado o aviso anteriormente.
Ou, no limite, deveria ter dado mais algumas vezes algum tempo depois.
Mas não. A única vez na minha vida que recebi um e-mail destes foi precisamente na mesma altura em que um gajo me estava a fazer SPAM de pedidos de aceitação de contacto no GTALK/HANGOUTS.
Há quem acredite em coincidências, eu não.
Como tal, contactei a SAMSUNG a pedir explicações.
Já continuo noutro post…
Entretanto, enquanto eu escrevo o próximo post, deixo esta:
Sim, é bué fácil falsificar e-mails.
Até uma criança consegue.
Podem dizer isso nos tópicos do Benfica, Porto e Sporting.
Ou seja, se eu quisesse, poderia ter inventado tudo o que está no printscreen do e-mail acima.