Tópico da Apple
- Iniciador de tópicos Lsk
- Data de início
Nuno156
Membro histórico
Sexo online é seguro…
[] [
Não tem DST nem descuidos passados 9 meses.
[
Podes apanhar uma tendinite
Audigy
Membro participativo
No teu caso Nuno, palmas para os algoritmos da Google que descortinaram a coisa e avisaram-te a tempo. Claramente alguém teve acesso aos teus dados. Já me aconteceu receber esses avisos em dias de viagem.
2FA nisso e claro ter mais cuidado(coisa que já fazes) nos serviços onde se confiam os nossos dados de autenticação.
2FA nisso e claro ter mais cuidado(coisa que já fazes) nos serviços onde se confiam os nossos dados de autenticação.
Nuno156
Membro histórico
Estás a assumir que as coisas funcionam por magia… (sem bugs, sem vulnerabilidades, e isentas de estupidez humana)
1.
No caso em concreto, era irrelevante.
Receber uma mensagem a dizer que o acesso foi bloqueado, ou receber uma mensagem com o segundo passo da autenticação a avisar que se não tiver sido encetada a autenticação pelo próprio para ignorar (que o acesso será bloqueado), o resultado seria o mesmo que obtive: o gajo não teve acesso.
O problema aqui não é ter acesso ou não.
Até porque não teve acesso.
O problema é as minhas credenciais (usernames e passwords) de várias contas (umas com possibilidade de autenticação de dois passos, outras não):
— estarem guardadas algures fora do meu controlo
— alguém ter acesso a elas e conhecê-las
Usá-las é outro passo, mas basta o primeiro ponto (estarem guardadas fora do meu controlo) para já estar errado.
2.
A autenticação por dois passos (ou whatever), só é eficaz se BEM IMPLEMENTADA!
Portanto, estar a usar autenticação de dois passos pode ser menos seguro que estar a usar uma autenticação simples mas muito bem implementada (como a que detectou o acesso ilegal com base na origem).
E dou um exemplo:
Estamos no contexto de uma empresa que tem muitos funcionários e a sua própria rede.
A rede é constituída por tecnologia Microsoft, com autenticação em servidores Microsoft Windows, e servidores de mail Microsoft Exchange.
Há muitos anos atrás era banal dar acessos POP3 às contas de e-mail.
Do mesmo modo era banal que as contas dos funcionários na empresa estivessem configuradas para bloquear ao fim de 3 tentativas erradas.
Qual era o problema? Tentativas falhadas no POP3 não contavam para o bloqueio da conta.
Ou seja, se um gajo quisesse fazer brute-force numa rede Windows, não fazia tentativas no LOGIN do Windows… fazia via POP3.
Portanto, autenticação de dois passos apenas é segura se não houver falhas de segurança que permitam contornar a medida de segurança em questão.
E normalmente há modos de contornar.
Exemplo:
https://arstechnica.com/information...ing-2-factor-bypass/?comments=1&post=26926711
Nuno156
Membro histórico
Eu não percebo nada de segurança.
Não tenho nada a ver com isso.
A minha área de negócio é desenvolvimento de software, incluíndo tudo o que está relacionado, desde formação (programação, bases de dados, análise, testes, padrões de desenho, processos de engenharia, etc.), consultoria (nos mesmos ramos da formação), outsourcing (idem), desenvolvimento de produtos (por medida, ou produtos próprios), desenho e especificação de protocolos, criação de algoritmos, etc.
Desde 1988 que ando nisto a nível profissional, como hobby desde 1981, e na universidade em 1985.
E, na minha experiência, a segurança não pode ser adicionada depois.
A segurança tem de estar presente desde o início da construção do software (seja um sistema operativo, uma aplicação, um site, ou uma app).
E se vocês soubessem o que eu sei sobre o software que é desenvolvido e que o pessoal instala nos computadores e telemóveis… nunca mais usariam computadores na vida.
Muito me espanta não haver mais buracos de segurança a serem descobertos todos os dias.
Prefiro nem falar sobre o assunto.
A sorte é que actualmente muitas linguagens de programação evitam ALGUNS erros de programação infantis.
Ainda assim, a estupidez humana não tem limites, e encontram sempre maneira de fazer buracos em tudo o que é software.
Já vi queijo suíço com menos buracos.
Ou seja, o que eu sei de segurança é derivado de saber o que causa as vulnerabilidades, e como se exploram.
E do que leio (leio bastante sobre o assunto, como hobby).
Não sei nada de casos concretos (sei de alguns antigos que furei, quando era novo e tinha tempo para isso, já há muitos anos, e tudo já prescrito acho eu [
]).As últimas que estive a ler foi das cryptocurrencies, nomeadamente da BITCOIN (daí ter participado no tópico das bitcoins), sobre o qual li o paper do "Satoshi Nakamoto" e mais uns quantos artigos sobre o BLOCKCHAIN. Uma das ameaças possíveis à segurança que identifiquei, e referi no tópico das bitcoins, é a concentração da mineração e consenso (semelhante ao TOR, que acho que referi algures há uns tempos), e que está actualmente a ocorrer com a maioria dos servidores de mineração estarem localizados na China.
Portanto, para responder à tua questão:
A menos que tenhas fotos comprometedoras, qualquer porcaria serve para meteres as fotos.
Se tiveres fotos comprometedoras… não as coloques online, qualquer que seja o serviço.
MAIS: NÃO AS GUARDES NO COMPUTADOR NEM NO TELEMÓVEL!!!
Mete isso num SD Card bem guardado.
Se o PC avaria, ou o telemóvel cai ao chão, saberás que já está reparado, e que irás receber o aparelho em poucos dias, quando começares a ver as tuas fotos e os teus vídeos online.
Nuno156
Membro histórico
Nunca me passou pela cabeça que a SAMSUNG fosse guardar nos servidores deles os usernames e passwords que meti na APP de e-mail deles.
É daquelas coisas que NINGUÉM no seu perfeito juízo faz.
Não há nenhuma empresa que perceba de desenvolvimento de software e de segurança da informação, que vá fazer uma INFANTILIDADE dessas.
Já nem as aplicações web amadoras (sejam fóruns, gestores de conteúdos, ou outras) guardam as passwords em claro nem encriptadas.
Já toda a gente guarda as passwords em hash, para não haver forma de chegar à forma inicial.
Acho que já toda a gente, por esta altura estará a usar hashes para guardar as passwords, e as versões mais recentes estarão a usar SALTED HASH.
E muito provavelmente com segurança superior à mínima exigida pelas aplicações bancárias (PCI), que é SHA-2.
https://www.pcisecuritystandards.org
Audigy
Membro participativo
O conceito de salt em criptografia é mais antigo que a maria cachucha... eles não usaram porque meteram uns estagiários como responsáveis(qualquer chefia digna desse nome nunca deixaria passar isto). Claro que iria dar barraca. Como se costuma dizer, you pay peanuts you get monkeys. Não caias na falácia de que as boas práticas são regularmente aplicadas. E quantos mais serviços não estão nas mesmas condições?! Exceptuando os grandes(Google, AWS, MS, Apple) que são regularmente auditados, arriscaria num número valente. O que não falta no dia a dia das TI é erros de amador a dar com um pau... por trabalhar no ramo digo isto com toda a convicção. Maus profissionais hoje em dia é como cogumelos. Sou do tempo que a malta seguia isto por real gosto e ambição de aprender, agora a malta jovem vai toda engodada pelas coisas mundanas e a qualidade arrasta-se.
Nuno156
Membro histórico
… continuando…
Recebi o e-mail da Google.
Fiquei preocupado.
Comecei a imaginar em que contextos é que as minhas credenciais poderiam ter sido capturadas.
Onde é que eu teria falhado?
Onde é que eu coloquei o meu username e password que me caçou a conta de GMAIL?
Vi o IP indicado no e-mail da Google, e fui ver a quem pertencia.
Quando vi que o IP pertencia à SAMSUNG na Alemanha, ainda fiquei mais preocupado (tinha um porradão de contas no telemóvel, pelo que TODAS estavam em risco).
Como liguei as duas situações (spam de pedidos de aceitação de contacto na conta de gmail, e tentativa de acesso à conta), percebi que as minhas credenciais poderiam ter sido obtidas por alguém que trabalhasse na SAMSUNG.
Não fazia sentido alguém ter obtido as credenciais de fora da SAMSUNG, e depois as fosse usar de dentro da SAMSUNG.
Contactei a SAMSUNG, e expus o problema.
A minha exposição do problema foi feita de modo a que os gajos demoraram mais de 1 mês a responder.
A recepção do meu e-mail foi confirmada no próprio dia:
Mas a resposta do departamento competente para a resposta só chegou passado 1 mês e 5 dias.
Durante um mês os gajos andaram a investigar o que se passou.
E acertaram no que se passou.
Ou seja, não era segredo dentro da empresa que estavam a guardar passwords dos clientes.
Tanto que chegaram ao departamento correcto, e responsável pela situação: SOCIAL HUB.
E foi assim que recebi o e-mail da SAMSUNG que reproduzi anteriormente (do departamento do SOCIAL HUB).
Agora, convém explicar o que é o SOCIAL HUB da SAMSUNG.
O que eles fizeram na versão deles do Android foi acrescentar uma coisa a que chamaram de SOCIAL HUB, para além de aplicações que duplicavam as aplicações originais da Google que vêm com o Android.
O Social Hub era um meio de acompanhar todas as comunicações efectuadas com uma dada pessoa.
Escolhia-se um dos contactos, e era possível ver reunidas num único ecrã todas as comunicações feitas com essa pessoa: chamadas, SMS, e-mails, Facebook posts, etc.
Não sei que raio de ideias é que passaram por aquelas cabecinhas, mas a realidade é que isto pode ser feito sem ser necessário enviar os usernames e passwords para os servidores deles, pois pode tudo funcionar na mesma de forma LOCAL (no telemóvel, não precisa de sair nada para os servidores deles).
Mas ok, vamos imaginar que existem limitações de armazenamento, de tráfego, de desempenho, etc.
Vamos imaginar que os gajos queriam fazer PUSH da informação, de modo a poupar bateria, por exemplo.
Continua a ser estúpido, porque guardar as passwords dos clientes nos servidores deles é INFANTIL. É de quem percebe zero de segurança, mas vamos assumir que não é grave, só para explicar o propósito de ter as credenciais nos servidores deles, imaginando que era uma prática aceitável.
O objectivo que eles defendiam (como sendo legítimo, que NÃO É), era que eles usavam os nossos usernames e passwords para os servidores deles acederem às nossas contas, e obter as mensagens que depois eram passadas para os nossos telemóveis no SOCIAL HUB.
Segundo o e-mail deles:
A infantilidade não é menos infantil por se acreditar que a "encriptação" resolve qualquer tipo de problema.
Não resolve nenhum. ZERO!
Nem aquilo que se pretende implementar serve de desculpa para tamanha infantilidade.
Primeiro porque tudo poderia ter sido feito localmente.
Segundo porque esse tipo de funcionalidades já está contemplado pela maioria dos serviços SEM SER NECESSÁRIO TER A PASSWORD!!! Por exemplo, na Google e Facebook, as entidades externas (servidores, aplicações, etc.) podem requisitar acesso indicando as permissões que querem ter, e o utilizador confirma esse pedido junto da Google ou Facebook. O que a entidade externa usa depois para aceder é a sua identificação de entidade externa e um token de acesso. Não precisa de password para nada.
https://www.facebook.com/help/262314300536014/
https://support.google.com/accounts/answer/3466521?hl=en
Portanto, não há necessidade de fazerem o que fizeram. E mesmo que houvesse necessidade, não deveriam ter feito por ser uma violação da segurança da informação dos seus clientes, e por ser uma prática irresponsável.
Resumindo:
— TODAS as contas de e-mail, messaging, redes sociais, etc. que meti na porra das aplicações deles ficaram com o username e password guardadas nos servidores deles.
— TODAS as pessoas com acesso à chave de encriptação, base de dados, código de recolha de credenciais, código de "bridge", etc. têm acesso a todas as minhas credenciais EM CLARO!!!
— TODOS os hackers que violem os sistemas deles podem ter acesso às minhas credenciais de autenticação de todos os sistemas que eu registei no telemóvel.
Etc.
Aquilo que o pessoal que percebe de segurança a sério sabe é que as passwords são dos utilizadores, e todo o controlo deve estar do lado dos utilizadores.
É que NEM MESMO OS SERVIÇOS nos quais nos autenticamos devem guardar as nossas passwords!!! Nem encriptadas!!! Já é uma prática irresponsável fazer isso.
O que os servidores guardam são HASHES das passwords.
O armazenamento de credenciais de acesso encriptadas só faz sentido se o ÚNICO A CONSEGUIR DESENCRIPTAR for o dono da password.
Se mais alguém conseguir desencriptar… então não estão encriptadas. A encriptação não tem cinzentos. Ou apenas o destinatário do conteúdo consegue desencriptar, ou então não se pode considerar que esteja encriptado.
Recebi o e-mail da Google.
Fiquei preocupado.
Comecei a imaginar em que contextos é que as minhas credenciais poderiam ter sido capturadas.
Onde é que eu teria falhado?
Onde é que eu coloquei o meu username e password que me caçou a conta de GMAIL?
Vi o IP indicado no e-mail da Google, e fui ver a quem pertencia.
Quando vi que o IP pertencia à SAMSUNG na Alemanha, ainda fiquei mais preocupado (tinha um porradão de contas no telemóvel, pelo que TODAS estavam em risco).
Como liguei as duas situações (spam de pedidos de aceitação de contacto na conta de gmail, e tentativa de acesso à conta), percebi que as minhas credenciais poderiam ter sido obtidas por alguém que trabalhasse na SAMSUNG.
Não fazia sentido alguém ter obtido as credenciais de fora da SAMSUNG, e depois as fosse usar de dentro da SAMSUNG.
Contactei a SAMSUNG, e expus o problema.
A minha exposição do problema foi feita de modo a que os gajos demoraram mais de 1 mês a responder.
A recepção do meu e-mail foi confirmada no próprio dia:
Mas a resposta do departamento competente para a resposta só chegou passado 1 mês e 5 dias.
Durante um mês os gajos andaram a investigar o que se passou.
E acertaram no que se passou.
Ou seja, não era segredo dentro da empresa que estavam a guardar passwords dos clientes.
Tanto que chegaram ao departamento correcto, e responsável pela situação: SOCIAL HUB.
E foi assim que recebi o e-mail da SAMSUNG que reproduzi anteriormente (do departamento do SOCIAL HUB).
Agora, convém explicar o que é o SOCIAL HUB da SAMSUNG.
O que eles fizeram na versão deles do Android foi acrescentar uma coisa a que chamaram de SOCIAL HUB, para além de aplicações que duplicavam as aplicações originais da Google que vêm com o Android.
O Social Hub era um meio de acompanhar todas as comunicações efectuadas com uma dada pessoa.
Escolhia-se um dos contactos, e era possível ver reunidas num único ecrã todas as comunicações feitas com essa pessoa: chamadas, SMS, e-mails, Facebook posts, etc.
Não sei que raio de ideias é que passaram por aquelas cabecinhas, mas a realidade é que isto pode ser feito sem ser necessário enviar os usernames e passwords para os servidores deles, pois pode tudo funcionar na mesma de forma LOCAL (no telemóvel, não precisa de sair nada para os servidores deles).
Mas ok, vamos imaginar que existem limitações de armazenamento, de tráfego, de desempenho, etc.
Vamos imaginar que os gajos queriam fazer PUSH da informação, de modo a poupar bateria, por exemplo.
Continua a ser estúpido, porque guardar as passwords dos clientes nos servidores deles é INFANTIL. É de quem percebe zero de segurança, mas vamos assumir que não é grave, só para explicar o propósito de ter as credenciais nos servidores deles, imaginando que era uma prática aceitável.
O objectivo que eles defendiam (como sendo legítimo, que NÃO É), era que eles usavam os nossos usernames e passwords para os servidores deles acederem às nossas contas, e obter as mensagens que depois eram passadas para os nossos telemóveis no SOCIAL HUB.
Segundo o e-mail deles:
A infantilidade não é menos infantil por se acreditar que a "encriptação" resolve qualquer tipo de problema.
Não resolve nenhum. ZERO!
Nem aquilo que se pretende implementar serve de desculpa para tamanha infantilidade.
Primeiro porque tudo poderia ter sido feito localmente.
Segundo porque esse tipo de funcionalidades já está contemplado pela maioria dos serviços SEM SER NECESSÁRIO TER A PASSWORD!!! Por exemplo, na Google e Facebook, as entidades externas (servidores, aplicações, etc.) podem requisitar acesso indicando as permissões que querem ter, e o utilizador confirma esse pedido junto da Google ou Facebook. O que a entidade externa usa depois para aceder é a sua identificação de entidade externa e um token de acesso. Não precisa de password para nada.
https://www.facebook.com/help/262314300536014/
https://support.google.com/accounts/answer/3466521?hl=en
Portanto, não há necessidade de fazerem o que fizeram. E mesmo que houvesse necessidade, não deveriam ter feito por ser uma violação da segurança da informação dos seus clientes, e por ser uma prática irresponsável.
Resumindo:
— TODAS as contas de e-mail, messaging, redes sociais, etc. que meti na porra das aplicações deles ficaram com o username e password guardadas nos servidores deles.
— TODAS as pessoas com acesso à chave de encriptação, base de dados, código de recolha de credenciais, código de "bridge", etc. têm acesso a todas as minhas credenciais EM CLARO!!!
— TODOS os hackers que violem os sistemas deles podem ter acesso às minhas credenciais de autenticação de todos os sistemas que eu registei no telemóvel.
Etc.
Aquilo que o pessoal que percebe de segurança a sério sabe é que as passwords são dos utilizadores, e todo o controlo deve estar do lado dos utilizadores.
É que NEM MESMO OS SERVIÇOS nos quais nos autenticamos devem guardar as nossas passwords!!! Nem encriptadas!!! Já é uma prática irresponsável fazer isso.
O que os servidores guardam são HASHES das passwords.
O armazenamento de credenciais de acesso encriptadas só faz sentido se o ÚNICO A CONSEGUIR DESENCRIPTAR for o dono da password.
Se mais alguém conseguir desencriptar… então não estão encriptadas. A encriptação não tem cinzentos. Ou apenas o destinatário do conteúdo consegue desencriptar, ou então não se pode considerar que esteja encriptado.
Nuno156
Membro histórico
Vermelho:
Não. Não colocaram a password hashed porque não podiam.
Acho que não estás no contexto.
Não era a minha password para o serviço deles que está em causa. Era a MINHA password, da conta GMAIL, nos servidores da SAMSUNG. E para todas as outras contas de mail que tenho, e messaging, etc.
Ou seja, para que seja possível usar a MINHA password de GMAIL para que a SAMSUNG aceda ao GMAIL em MEU nome, a password não pode estar hashed. Se estiver hashed eles não a conseguem saber de volta.
Azul:
Não me leste para trás.
Cito-me:
A verde:
Irmão! Vem a meus braços!
Temos exactamente a mesma noção da realidade.
Prefiro nem falar sobre o assunto. [s)]
Ainda por cima ando há uns 2 anos a tentar arranjar pessoal de jeito. Já desisti. Prefiro verdinhos acabados de sair da universidade, e formá-los eu mesmo, ainda que demore 2 anos ou mais.
[Ajuda] Imac A1225 Aquece
[Ajuda] Imac A1225 Aquece
Gostava que me ajudassem neste pormenor:
Tenho um Imac A1225 24" de 2009 e o mesmo de há uns tempos para cá tem tendência a aquecer muito ao ponto de embaciar o vidro protector do ecrã por medida de precaução desligo de imediato.
-Ora a minha primeira coisa que fiz foi limpar os ventiladores e o "radiador" coisa que se encontrava com imenso pó.
Mas o problema persiste, o que poderá ser ? Ventiladores "mortos" ? Outra coisa???
Agradeço ajuda do pessoal especializado.
[Ajuda] Imac A1225 Aquece
Gostava que me ajudassem neste pormenor:
Tenho um Imac A1225 24" de 2009 e o mesmo de há uns tempos para cá tem tendência a aquecer muito ao ponto de embaciar o vidro protector do ecrã por medida de precaução desligo de imediato.
-Ora a minha primeira coisa que fiz foi limpar os ventiladores e o "radiador" coisa que se encontrava com imenso pó.
Mas o problema persiste, o que poderá ser ? Ventiladores "mortos" ? Outra coisa???
Agradeço ajuda do pessoal especializado.
Última edição:
206Hdi
Banido
Tens de pedir a um administrador para mover o tópico.
ZylmhuinVII
Membro histórico
Só cá venho ler as postas de segurança, e tenho pena que fiquem perdidas no meio das da Apple. Não havia um tópico sobre isso, para ficar tudo mais "direitinho"?
Isso já foi feito ... menos a pasta térmica..havia pó para dar e vender