Mostrando postagens classificadas por data para a consulta token. Ordenar por relevância Mostrar todas as postagens
Mostrando postagens classificadas por data para a consulta token. Ordenar por relevância Mostrar todas as postagens

segunda-feira, 9 de fevereiro de 2026

DE VOLTA ÀS VIAGENS NO TEMPO — 74ª PARTE

O TEMPO É ALGO QUE CRIAMOS. 

Costumamos pensar no hoje como o amanhã de ontem e o ontem de amanhã, que o tempo passa — ou passamos por ele — do nascimento à morte. Mas uma série de argumentos sustentados por filósofos, físicos e astrônomos desafia a intuição de que o tempo é real. É o caso do matemático e filósofo inglês J. M. E. McTaggart, que se vale do pensamento lógico para sustentar a inexistência do tempo.


Percebemos os eventos como presentes, passados ou futuros. Como ilustra McTaggart, a afirmação "o nascimento de alguém é futuro" só é verdadeira antes do fato; depois que ocorre, ela se torna imediatamente falsa, pois o evento agora é passado. No entanto, essa classificação em termos de "antes", "depois" ou "agora" é uma relação externa. Ela não modifica a posição temporal objetiva do evento nem o valor de verdade da proposição que descreve sua ocorrência efetiva.


CONTINUA DEPOIS DA POLÍTICA


A condução da transação bilionária entre Daniel Vorcaro e BRB foi marcada por falta de rigor e clareza. Sustentar o suposto desconhecimento dos envolvidos sobre detalhes essenciais, como a titularidade dos papéis negociados, é escarnecer da inteligência alheia. No universo da alta finança, não há transação que não seja precedida de uma minuciosa análise dos papéis, dos documentos, dos títulos. E para isso existem empresas de auditoria e equipes técnicas que passam em revista todos os dados, todos os documentos, sobretudo quando se trata de um negócio de R$12 bilhões.

De um lado do balcão estava Daniel Vorcaro e do outro, Paulo Henrique Costa, então presidente do Banco de Brasília, vinculado ao governo do DF. Curiosamente, os personagens que comandaram essa transação foram acometidos de uma oportuna amnésia coletiva — Vorcaro, então, diz que não se lembra de nada.

A postura dessa quadrilha banalizou o padrão esperado de governança em operações com recursos públicos, transformando uma alta transação financeira num negócio de uma xepa de feira. E aí ficam discutindo quem enfiou o quê na sacola.


É impossível alterar a característica temporal de um evento (de futuro para passado) sem, de certa forma, transformá-lo em algo distinto. Mas esse pressuposto desafia nossa compreensão da realidade temporal, pois aponta para um paradoxo mais profundo sobre tempo e mudança: por um lado,  um mundo sem mudança seria atemporal; por outro, se a mudança significa que um evento adquire ou perde uma propriedade temporal (como "ser futuro"), então o evento em si precisa se alterar. Mas como um evento ocorrido pode mudar? Isso não o tornaria um evento diferente?


O problema em ver o tempo como subjetivo — isto é, associado ao momento da percepção — é que algo pode ser presente para uma pessoa e passado para outra. Se duas pessoas veem um piano, esse piano é presente para ambas, mas passa a ser presente e passado simultaneamente no instante em que uma das pessoas deixa de vê-lo, ele — o que gera uma contradição lógica difícil de sustentar. 


O presente de um tempo objetivo difere intimamente do presente desse tempo subjetivo — o “presente ilusório”, como McTaggart chama o que é presente apenas no momento da percepção. No tempo objetivo, os diversos presentes que ocorrem em momentos diferentes não podem ser todos presentes ao mesmo tempo, apenas sucessivos. Mas a objeção central à distinção entre o presente e o presente ilusório é que, se o presente objetivo é diferente do que percebemos como presente, não há razão para acreditarmos em sua existência. No entanto, se admitirmos que ele exista, qual seria sua duração?


McTaggart afirma que devemos acreditar no presente porque os diversos presentes ilusórios (de cada percepção) não podem estar uns dentro dos outros, já que uns ocorrem antes de outros, mas todos precisam estar em um tempo objetivo. Quanto à duração do presente, ele diz que devemos concebê-lo apenas como um ponto — a interseção entre o passado e o futuro, a fronteira que os separa. Mas não aplica esse mesmo raciocínio para contestar a realidade do espaço — por causa do “aqui” — e da personalidade — por causa do “eu”.


Assim, não há análogos para o espaço ou para a personalidade: mesmo que todos os termos token-reflexivos de nossa linguagem espacial (expressões que dependem do contexto de quem fala, como “aqui”, “agora”, “ali” e semelhantes) fossem removidos, ainda seria possível conceber os objetos no espaço e as pessoas sem recorrer a termos como “eu”, “ele” e assemelhados — o que não seria análogo ao tempo.


Ainda de acordo com McTaggart, há dois tipos de descrições temporais possíveis: uma independente do sujeito (completa) e outra dependente do sujeito (incompleta). Mesmo que se dispusesse de uma descrição temporal independente — ou seja, que não recorresse a termos como “agora”, “hoje” ou “ontem” —, não seria possível descrever os acontecimentos exclusivamente por esse tipo de descrição, pois haveria apenas eventos tridimensionais dispostos em sequência ao longo dos pontos do tempo, formando o que o filósofo chama de “figura tetradimensional da realidade”. E ainda que pudesse contemplar toda a sequência de eventos na ordem que desejasse, o observador precisaria dos termos token-reflexivos para indicar qual evento está ocorrendo agora. Mas McTaggart não deixa claro se “observar todos os eventos” significa acompanhar sua sucessão real ou apenas visualizar uma representação estática dessa sequência.


Quando representamos os eventos no tempo, representamos estados de coisas tridimensionais diferentes em pontos temporais distintos. Para criar representações bidimensionais de uma sequência de eventos tridimensionais, recorremos a convenções gráficas que indicam tanto a terceira dimensão quanto o tempo propriamente dito. 


Uma pessoa que observasse uma representação bidimensional ou tridimensional de um universo quadridimensional — como uma pessoa caminhando, por exemplo — veria apenas os estados ocupados pela pessoa em cada momento, e não seu deslocamento contínuo entre eles. Ainda assim, ao serem examinadas mais profundamente, essas ideias revelam-se incompatíveis com a maneira como normalmente as compreendemos. 


Se isso estiver correto, as premissas de McTaggart — fundamentais para suas conclusões — seriam falsas, e não conseguir provar a irrealidade do tempo abre espaço para discussões filosóficas futuras. E se o tempo não passa de uma ilusão, discutir viagens temporais é tão inútil quanto planejar férias em Atlântida. Afinal, como atravessar algo que não existe? Se não há fluxo temporal, não há “antes” nem “depois”; o viajante do tempo seria apenas um observador preso a um ponto fixo de um quadro estático, não a um filme em movimento.


Talvez o verdadeiro paradoxo não seja o de mudar o passado, mas o de acreditar que há um caminho a ser percorrido entre o ontem e o amanhã. E, convenhamos: se o tempo for mesmo uma invenção humana, as máquinas do tempo não passam de meros artefatos da ficção científica tentando corrigir um defeito de fábrica da mente humana.


Continua…

sábado, 22 de março de 2025

DE VOLTA ÀS SENHAS

SEGREDO ENTRE TRÊS, SÓ MATANDO DOIS.

Embora existam outras formas de autenticação mais sofisticadas e até mais seguras, as senhas continuam sendo largamente utilizadas para desbloquear a tela do celular, acessar o webmail, as redes sociais e por aí afora. 

A impressão digital é mais segura do que o reconhecimento facial, mas perde longe para um PIN de seis dígitos combinado com uma segunda camada de segurança (2FA), e memória fraca deixou de ser desculpa depois que alguém inventou o gerenciador de senhas 

CONTINUA DEPOIS DA POLÍTICA

Assim que soube que o PT pediu ao STF a apreensão de seu passaporte, o deputado Eduardo Bolsonaro — apelidado de Dudu Bananinha pelo general Hamilton Mourão — homiziou-se na cueca de Donald Trump.
Bibo Pai, que no gogó é um democrata insuspeitado, trata Bobi Filho como herói da resistência, finge que a proposta de anistia visa abrir as celas dos "pobres coitados" do 8 de janeiro, mas, na prática, ele está predestinado à cadeia, e a anistia que tramita na Câmara é um projeto em benefício próprio.
A PGR foi contra o pedido de apreensão do passaporte e Moraes acabou de demolir o moinho de vento que o "herói da resistência" finge combater. Se sua fuga serve para alguma coisa, é para iluminar a hipocrisia bolsonarista. Sob a presidência da deputado bolsonarista Felipe Barros, a Comissão de Relações Exteriores da Câmara foi convertida em palco para expor a teatralidade do autoexílio do filho do pai. Em entrevista ao jornal Valor, Barros informou que conversará semanalmente com o fujão para ajustar a agenda da comissão a suas conveniências e lhe oferecer suporte institucional. 
Nesse circo, a Comissão fica no papel de bumbo da desqualificação, reservando ao brasileiro que financia o espetáculo o figurino de bobo.

 

O uso de senha é uma prática mais antiga do que costumamos imaginar: segundo o Antigo Testamento, o termo "xibolete" (do hebraico שבולת, que significa "espiga") funcionava como palavra passe para identificar um grupo de indivíduos. No âmbito da TI, as senhas se popularizaram depois que o MIT criou o Compatible Time-Sharing System (CTSS) e a ArpaNet adotou o login com nome de usuário e senha de acesso.

Quando o correio eletrônico surgiu, uma combinação de 4 algarismos era suficiente, mas a necessidade de uma autenticação segura cresceu com a popularização do e-commerce e do netbanking. Hoje, mesmo senhas como S#i2to&Ø6Da*&%# só oferecem proteção confiável quando combinadas com uma segunda camada de proteção.

Essa segunda camada pode ser um número de identificação pessoal (PIN), a resposta a uma "pergunta secreta", um padrão específico e pressionamento de tela, uma senha de seis dígitos gerada por um token de hardware ou por um aplicativo instalado no smartphone (que vale para um único acesso e expira em menos de 1 minuto), um padrão biométrico etc. A maioria dos webservices suporta o 2FA, mas não o habilita por padrão (a quem interessar possa, o site Two Factor Auth ensina a configurar essa função). 

Chaves de segurança físicas ou digitais, FIDO2Blockchain e outras soluções inovadoras devem se tornar padrão em breve, e autenticação via dados comportamentais promete tornar o processo de login praticamente "invisível". Até lá, continuaremos dependentes das senhas e dos gerenciadores — ruim com eles, pior sem eles, pois amizades se desfazem, namoros terminam, noivados são rompidos, casamentos acabam em divórcio, enfim, segredo entre três, só matando dois.
 
Observação: Para mais dicas sobre senhas, acesse a página da McAfee ou o serviço MAKE ME A PASSWORD; para testar a segurança de suas senhas, acesse CENTRAL DE PROTEÇÃO E SEGURANÇA DA MICROSOFT ou o site HOW SECURE IS MY PASSWORD.

Continua...

terça-feira, 11 de fevereiro de 2025

CAUTELA E CANJA DE GALINHA...

A CURIOSIDADE MATOU O GATO.

Quanto mais discreto o ataque, mais eficaz, daí os cibercriminosos agirem "na surdina" para não levantar suspeitas. Uma maneira de passar despercebido é adulterar extensões para o Google Chrome para coletar informações — como token de acesso do Facebook e ID do usuário, por exemplo — e enviá-las, juntamente com os cookies da plataforma, para um servidor de comando e controle.

CONTINUA DEPOIS DA POLÍTICA

Na física, polos opostos se atraem, na política, se apresentam como antagonistas irreconciliáveis. Lula é o roto que critica o esfarrapado e Bolsonaro, o sujo tripudia do mal-lavado, mas ambos são populistas, demagogos, agentes da polarização — que os retroalimenta — e devotos de S. Francisco do Centrão ("é dando que se recebe), não porque o presidencialismo requer maioria no Congresso para aprovar projetos "de interesse público", mas porque presidentes incompetentes e ímprobos precisam das marafonas do Congresso para não acabarem como Collor (em 1992) ou Dilma (em 2016). 
Os espelhamentos não param por aí. Em 2018, o então ex-presidente presidiário esticou sua candidatura ficcional até o último minuto, e não conseguindo convencer Jaques Wagner a lhe servir de preposto, resignou-se a indicar Fernando Haddad como bonifrate (sempre existe um chinelo velho para um pé doente). Em 2026, essa tragicomédia tem grandes chances de ser reprisada, com Bolsonaro — que está inelegível até 2030 por duas decisões do TSE — no papel principal e com ainda-não-se-sabe-quem no papel de esbirro. 
Mas nada é tão ruim que não possa piorar: o deputado bolsonarista Bibo Nunes propôs reduzir de 8 para dois anos a inelegibilidade de políticos condenados por crimes eleitorais, e seu colega Hélio Lopes (também conhecido como Hélio Negão e Hélio Bolsonaro), vincular a inelegibilidade ao trânsito em julgado da sentença condenatória. 
Mesmo que as propostas sejam aprovadas na Câmara e no Senado, sua aplicação dependerá de análises do TSE — que pode avaliar a retroatividade ao julgar os pedidos de registro de candidatura — e do STF — que pode considerar as mudanças inconstitucionais ou entender que a redução do período de inelegibilidade tornará inócua a Lei da Ficha Limpa.
Se for condenado por abolição violenta do estado democrático de direito, golpe de estado, organização criminosa, venda das joias sauditas e fraude em cartões de vacinação, Bolsonaro pode pegar até 28 anos de prisão. Mas vale lembrar que Lula foi condenado a 25 anos por corrupção e lavagem de dinheiro (somadas as penas do caso do tríplex e do sítio), mas deixou a carceragem da PF após míseros 580 dias (6 das 11 supremas togas decidiram mudar as regras da prisão em segunda instância) e foi "descondenado" (com 5 anos de atraso, uma epifania revelou ao ministro Fachin que a 13ª Vara Federal de Curitiba não tinha competência territorial para julgar o pontifex maximus da Petelândia. 
Para bom entendedor, meia palavra basta.
 
O vetor de ataque inicial, que foi usado para adulterar extensões de ao menos 30 empresas — dentre as quais a Cyberhaven, que é voltada à prevenção de perda de dados —, evidencia que as técnicas dos cibercriminosos estão cada vez mais sofisticadas: um
 email de phishing tendo o Google como remetente avisava a empresa de que sua extensão seria removida por violar as políticas da Chrome Web Store. Quando alguém da equipe de desenvolvimento clicava no botão que supostamente dava acesso às políticas, entregava de bandeja o controle da extensão aos criminosos, que posteriormente publicaram versões manipuladas para fazer novas vítimas.

Em rio que tem piranha, jacaré nada de costas.

sexta-feira, 2 de agosto de 2024

SPAM, SCAM E EMAILS TEMPORÁRIOS

NUNCA ACENDA UMA FOGUEIRA SE VOCÊ NÃO TIVER CERTEZA DE QUE PODE APAGÁ-LA.

Até o surgimento dos aplicativos mensageiros e das redes sociais, o Correio Eletrônico era o serviço mais popular da Internet. Sua "paternidade" é atribuída a Ray Tomlinson, que criou para si o primeiro endereço eletrônico (tomlinson@bbn-tenexa) e enviou mensagens para os colegas da Universidade, ensinando-os a utilizar o "novo recurso". 

Observação: "Novo" entre aspas, porque o conceito de correio eletrônico havia sido implementado num sistema rudimentar de comunicação de dados desenvolvido em meados dos anos 1960, mas a verdão que Tomlinson criou em 1972 já contava com as funções "send" e "read" e foi pioneira no envio de mensagens entre diferentes nós conectados à ARPANet.

Ainda que não tenha o mesmo protagonismo dos tempos e antanho, o email ainda é largamente utilizado no âmbito corporativo — não obstante a popularização do WhatsApp também nesse segmento — e em nosso dia a dia, já que precisamos de um endereço eletrônico para nos logamos em sistemas, sites e aplicativos, para preencher cadastros e formulários, para fazer compras online, para acessar conteúdos exclusivos, e por aí vai.

CONTINUA DEPOIS DA POLÍTICA

Ou os partidos e seus políticos dão um jeito de acabar com os abusos ao dinheiro da coletividade, ou o uso abusivo do financiamento público dessas agremiações acabará com o que resta da pouca credibilidade de que ainda dispõem junto aos brasileiros. Caso sigam indiferentes, cedo ou tarde caberá à sociedade ou à Justiça, esta provocada por aquela, dar um fim ao impasse retirando do Legislativo a vantagem da iniciativa. É uma encruzilhada, e cabe ao Senado decidir se inicia a construção de um caminho para sair dela ou se prefere afundar na lama do descrédito e da amoralidade, em prejuízo da saúde democrática.
A camarilha, digo, a Câmara dos Deputados vem de aprovar emenda que eterniza na Constituição um prêmio à ilicitude, perdoa dívidas com renegociações camaradas, reduz as cotas de candidaturas negras e pardas, institui vantagens tributárias, aumenta o poder discricionário dos dirigentes partidários e estabelece um liberou geral para infrações passadas e futuras. Pelo texto, partidos serão inimputáveis e poderão fazer o que bem entenderem ao arrepio da legalidade, pois estarão constitucionalmente cobertos para sempre. 
Não há como a sociedade aceitar, mas há uma forma de os senadores frearem a derrocada, repudiando a ofensiva cheia de tenebrosas intenções — vantagens financeiras sem garantias específicas que seguem submetidas às decisões dos dirigentes, estabelecendo o império da servidão do Estado a interesses individuais perpetrados ao arrepio da legalidade e estimulando a disseminação de uma infecção que se alastra no organismo institucional já combalido e que na teoria é defendido por aqueles que na prática são seus piores algozes.

No final do século passado, quando o acesso à Internet via rede dial-up começou a se popularizar no Brasil, AOLiGiBest, Yahoo! e outros provedores ofereciam serviços de webmail para os assinantes. Como as mensagens ficavam armazenadas nos servidores dos provedores, os internautas acessavam suas caixas postais a partir do navegador, mas o espaço miserável (entre 1 e 5 MB) levou muita gente a optar por programas clientes  como Eudora, Outlook, IncrediMail e Thunderbird. Com eles era possível baixar os emails para o computador, gerenciar a correspondência offline e, ao final, restabelecer a conexão para enviar as respostas.

Observação: O acesso discado não só era lento e instável — baixar arquivos pesados levava horas (ou dias); um hipotético upgrade para o Win11 demoraria anos — como inviabilizava o uso concomitante do telefone. Da feita que um aplicativo discador discava literalmente para o número do provedor de acesso, a linha ficava ocupada até a conexão ser desfeita. Para piorar, o tempo de navegação era tarifado do mesmo jeito que as chamadas telefônicas convencionais — 1 pulso quando a ligação era completada e pulsos adicionais a cada 6 segundos. 
 
Quando lançou o Gmail 
 em 1º de abril de 2004  o Google oferecia caixas postais de 1GB. Como os populares HotmailYahoo! Mail limitavam o espaço a 5MB, o número de internautas que migrou para o novo serviço cresceu em progressão geométrica — ultrapassando a casa do bilhão em 2016. A empresa chegou a prometer espaço gratuito "ilimitado", mas acabou limitando-o em 15GB (divididos entre o Gmail, o Google Drive e o Google Fotos). Mesmo assim, 15GB são suficientes para armazenar 7,5 milhões de mensagens ou 3 milhões de fotos, e quem precisar de mais espaço pode optar pelos planos pagos, que partem de 100GB e vão até 30TB.
 
Voltando ao que eu disse no início, o WhatsApp e as redes sociais não aposentaram o correio eletrônico, e assim os emails de spam e scam continuam chegado aos borbotões. Embora as caixas postais miseráveis sejam coisa do passado, o acúmulo de mensagens não solicitadas e indesejadas dificulta o gerenciamento da correspondência eletrônica e põe em risco nossa segurança. 
 
Observação: "Spam" era a marca de um presunto enlatado fabricado pela HERMEL FOODS, que ficou famoso por ser pedido de modo jocoso na comédia inglesa MONTY PYTON. Em 2004, Bill Gates profetizou que a versão digital (também conhecida como "junkmail") seria varrida do mapa dali a 2 anos, mas já se passaram 20 e os spammers continuam fazendo a festa. Já o scam (ou "phishing scam") é uma variação do spam que busca induzir os destinatários a abrir anexos maliciosos ou clicar em links suspeitos, e continua sendo uma das principais "ferramentas de trabalho" dos fraudadores e cibercriminosos. 
 
Não há, pelo menos até onde eu sei, como evitar esse aborrecimento sem abrir mão do correio eletrônico, até porque os softwares "antispam", que pareceram promissores num primeiro momento,
 se revelaram tão úteis quanto enxugar gelo. Mas é possível minimizar o problema criando duas ou mais contas de email, reservando uma delas para assuntos importantes e as demais para se cadastrar em sites, participar de fóruns online, testar serviços etc. Outra possibilidade é usar endereços de email que são criados de forma aleatórias e se "autodestroem" depois de utilizados, eliminando qualquer possibilidade de acesso futuro.

O email provisório permite gerenciar melhor a privacidade e manter a caixa de entrada principal livre de junkmail, já que o usuário deixa de receber mensagens indesejadas na conta principal, evita que os sites coletem dados pessoais para criar uma base de leads e vender para "empresas parceiras", o que aumenta significativamente as chances de vazamento e/ou de uso não autorizado.
 
Quando abordei este assunto pela primeira (em agosto de 2007), sugeri usar o 10 Minute Mail para criar endereços válidos por 10 minutos (e prorrogáveis por mais dez) e o BugMeNot para obter logins já prontos. Muita água rolou desde então, e a gama de possibilidades ficou bem maior, inclusive com opções compatíveis com o Android e o iOSO 10 Minute Mail continua ativo e operante, mas não custa conhecer outros serviços similares e igualmente eficientes, começando pel
o TempMail, que permite criar endereços temporários quantas vezes for preciso e fazer o download de todos os conteúdos recebidos (versões para smartphone estão disponíveis na Google Play Store e na Apple Store).

O Email On Deck fornece um token e aconselha o usuário a salvá-lo em algum lugar (são mais de 30 caracteres). Inserindo o código alfanumérico na página para recuperação do domínio do site, pode-se recuperar a caixa de entrada temporária, mas é preciso fazê-lo rapidamente, pois as contas são descartadas em até 24 horas. 

No Spamgourmet oferece suporte em português e permite definir quantas mensagens o usuário deseja receber — o "X" que aparece no endereço (algumapalavra.x.nomedeusuário@spamgourmet.com) corresponde ao número de mensagens serão repassadas; as demais são jogadas no lixo. Maildrop usa filtros criados pelo serviço antispam Heluna para entregar uma caixa postal mais limpa, mesmo que temporária, e o Mohmal (que significa "lixo eletrônico em árabe) tem suporte em português e oferece endereços que duram 45 minutos (que são gerados aleatoriamente, mas podem ser personalizados pelos usuários). 
 
O serviço "Tua mãe, aquela ursa" se destaca pela abordagem direta e bem-humorada. Ele permite acessar qualquer email recebido num endereço @tuamaeaquelaursa.com sem que seja preciso criar uma conta específica 
— o usuário precisa apenas preencher o nome desejado no campo apropriado; passadas algumas horas, as mensagens recebidas são destruídas. Com o AdGuard Temp Mail, basta acessar a página principal para o email temporário ser exibido no topo da página (e clicar nele para copiá-lo). O serviço "memoriza" o endereço e armazena as mensagens usando cookies (que o provedor se encarrega de apagar ao cabo de 7 dias de inatividade;

Criar um email temporário é simples e intuitivo na maioria das plataforma; via de regra, basta acessar a página principal do serviço para um endereço descartável ser gerado automaticamente, copiar esse endereço e usá-lo no site em que o interessado deseja se cadastrar, por exemplo. Mas nem tudo são flores. Após um prazo que varia conforme o provedor — dez minutos prorrogáveis por mais dez no 10 Minute Mail e cerca de 24 horas no Email On Deck— as mensagens são destruídas e não pode ser mais acessadas. Além disso, a maioria dos provedores só permite o recebimento de mensagens — em alguns casos elas podem ser reencaminhadas diretamente para a conta de email pessoal do usuário, mas essa não é uma característica universal, de modo que é preciso verificar as informações sobre a duração fornecidas por cada serviço. 

Por último, mas não menos importante, tenha em mente que esses serviços podem ser instáveis e, portanto, não devem ser usados para o recebimento de dados sensíveis ou sigilosos.

segunda-feira, 24 de outubro de 2022

CIBERATAQUE VAZA DADOS DE 5,4 MILHÕES DE USUÁRIOS DO TWITTER

ACTA NON VERBA.

Em seu relatório de segurança do primeiro semestre de 2022, a empresa Check Point® Software Technologies Ltd apontou um aumento global de 42% nos ataques cibernéticos. No dia 05 de agosto, o Twitter revelou um ciberataque que resultou no vazamento de dados de 5,4 milhões de usuários da plataforma


Quando ocorre um ataque dessa natureza, os endereços de email vazados costumam ser usados para enviar mensagens de phishing com links fraudulentos e/ou anexos contendo malware. Os cibercriminosos buscam se passar por marcas conhecidas para ganhar a confiança das vítimas em potencial. 


Jamais clique em links ou baixe anexos sem antes confirmar a respectiva procedência, e só faça transações financeiras pelo aplicativo ou pelo site oficial da instituição financeira em que você mantém sua conta.

 

Crie senhas seguras e não utilize a mesma combinação usada no webmail para se logar em suas redes sociais, por exemplo. Assim, se uma senha vazar, o estrago ficará limitado àquele serviço (o que já não é pouco). 

 

Senhas alfanuméricas que misturam letras maiúsculas e minúsculas e caracteres especiais são mais difíceis de quebrar, mas a dupla autenticação agrega uma camada adicional de proteção. A maioria das redes sociais e serviços providos por empresas como GoogleMicrosoft e Apple suportam o 2FA, mas não o ativam por padrão. 

 

No 2FA baseado em SMS, a senha de uso único (OTP) é enviada por mensagem de texto para o número de celular cadastrado e, a exemplo do procedimento adotado no 2FA baseado em soft-token/token de hardware, deve ser informada para garantir o acesso ao aplicativo, serviço ou seja lá o que for. 

 

Para atividades online de baixo risco, esse modelo está de bom tamanho, mas deve ser evitado em transações financeiras e compras online, acesso a contas de email etc., dada a possibilidade de a mensagem de texto ser interceptada por um cibercriminoso de plantão (a rigor, o SMS é a forma menos segura de dupla autenticação).

 

TOTP (código de uso único baseada em tempo) é a modalidade mais popular atualmente. Como as senhas geradas por tokens de hardware, os códigos criados por aplicativos só podem ser usados uma única vez, e sua validade expira em menos de 1 minuto. Apps de 2FA estão disponíveis para WindowsMacOSAndroidiOS etc. 

 

Em algumas versões, em vez informar a senha gerada pelo app, o usuário autoriza a tentativa de acesso de autenticação (ou nega, caso ele não a tenha feito) a partir de uma mensagem recebida por intermédio do aplicativo. Essa modalidade evita erros de digitação e outros que tais, mas exige um celular ou outro dispositivo capaz de acessar a Internet (para a instalação do aplicativo). 


Na 2FA baseada em biometria, o próprio usuário faz o papel de token, pois a autenticação é feita a partir de reconhecimento facial ou de voz, escaneamento de íris ou, mais comumente, de impressões digitais. Resta saber até quando essas muralhas, hoje “intransponíveis”, resistirão à criatividade dos cibervigaristas.

 

Para mais informações, visite TwoFactorAuth.org. Para baixar o app Authy2FA para Android, iOS ou Windows, clique aqui ; para aprimorar a segurança de sua conta no Twitter, clique aqui; para saber como habilitar o 2FA para seus sites favoritos, clique aqui; para noções básicas sobre 2FA, clique aqui; para entender melhor como funciona o recurso de vários dispositivos do Authy2FA, clique aqui.

 

Por último, mas não menos importante, mantenha atualizados o sistema e os demais programas, tanto no computador quanto no smartphone, e não deixe de instalar uma solução robusta de segurança para minimizar os riscos. Afinal, seguro morreu de velho.

terça-feira, 18 de outubro de 2022

SENHAS — É MELHOR USAR UM GERENCIADOR DEDICADO OU O DO PRÓPRIO NAVEGADOR?

PEQUENAS MENTIRAS FAZEM O GRANDE MENTIROSO. 

 

Senhas óbvias não protegem, e as mais complexas são difíceis de memorizar, sobretudo quando usamos uma para cada coisa e as trocamos regularmente, seguindo as recomendações dos especialistas. 

 

Quem se der ao trabalho de pesquisar o Blog vai encontrar diversas dicas para a criação de senhas complexas “memorizáveis”, mas eu recomento usar um gerenciador de senhas (até porque aceitar a simpática oferta dos navegadores pode ser cômodo, mas comodidade e segurança raramente andam de mãos dadas). 

 

Se você se logar no Facebook, por exemplo, e autorizar o Chrome a memorizar suas credenciais de acesso, DB Browser for SQLite dará acesso ao arquivo do banco de dados com sua senha no formato hexadecimal. Mas basta recorrer ao CryptUnprotectData, por exemplo, para ter a esses dados em texto plano (o que é uma mão na roda para cibercriminosos).

 

O gerador de senhas do Google Chrome cria passwords robustas de forma simples e fácil, e as salva em seu banco de dados de forma segura, já que, segundo a gigante de Mountain View, a palavra-chave é gerada de forma totalmente automática e disponibilizada somente para o usuário. 


Observação: Para usar esse recurso, faça logon no Chrome com sua senha do Google, clique na foto de perfil (no canto direito da janela do browser), selecione o ícone de chave (que é exibido logo abaixo do seu nome) e ative (se necessário) a opção “Oferecer para salvar senhas”. Para testar, acesse qualquer rede social, clique em “Criar uma conta”, preencha os dados, clique no campo “senha” e na opção “Sugerir senha forte”. Se não ficar satisfeito, clique em qualquer lugar da tela, volte a selecionar o campo “senha” e veja se a nova sugestão de código de acesso lhe agrada. Se quiser ou precisar alterar a senha mais adiante, use o próprio gerenciador para excluir a password salva e gerar uma nova. No smartphone, o procedimento é basicamente o mesmo. A diferença é que a ferramenta aparecerá ao lado do teclado (basta clicar nela para ativá-la). Note que o gerador só irá funcionar se você estiver logado no Chrome (com sua conta do Google) e que a sugestão de gerar senha pode não aparecer de forma automática. Se for o caso, clique com o botão direito no campo respectivo e depois selecione “Sugerir senha”.

 

A maioria dos serviços baseados na Web que suporta o 2FA raramente o habilita por padrão, mas o site Two Factor Auth ensina a configurar essa função nos webservices que a suportam. A tal “segunda camada” pode ser um número de identificação pessoal (PIN), a resposta a uma “pergunta secreta”, um padrão específico e pressionamento de tela, uma senha de seis dígitos gerada por um token de hardware ou um aplicativo instalado no smartphone (que vale para um único acesso e expira em menos de 1 minuto) ou um padrão biométrico — impressão digital ou de voz, reconhecimento facial, varredura da íris etc.

 

Observação: A autenticação em três fatores combina Senha/PIN (o que se sabe) com Token (o que se tem) e métodos biométricos (o que se é) é ainda mais segura — quanto maior o número de fatores no processo de autenticação, tanto maior a segurança.

 

Gerenciadores de senhas baseados na Web dispensam instalação e oferecem alguns recursos adicionais, como a geração de senhas aleatórias seguras e o armazenamento de números de cartões de crédito. Tanto a codificação quanto a decodificação dos dados são feitas no próprio computador do usuário, de modo que as administradoras de cartões não têm acesso à chave criptográfica e, em tese, a privacidade dos clientes não seria comprometida por um eventual ataque a seus servidores.

 

Para mais dicas sobre senhas, acesse a página da MCAFEE ou recorra ao serviço MAKE ME A PASSWORD; para testar a segurança de suas senhas, acesse a CENTRAL DE PROTEÇÃO E SEGURANÇA DA MICROSOFT ou o site HOW SECURE IS MY PASSWORD.

quarta-feira, 29 de junho de 2022

SENHAS E MAIS SENHAS

O QUE ARDE CURA E O QUE APERTA SEGURA.

O interesse do brasileiro pela segurança da própria senha nunca foi tão expressivo como em 2021. Segundo o Google, as pesquisas por "gerenciador de senha" saltaram 523%; por "autenticação em dois fatores", 475%; por "vazamento de senha", 299%; e por "senha forte", 239%. 

Google integrou um Gerenciador de Senhas no Chrome, no Android e na Conta do Google. O software usa a mais recente tecnologia baseada em IA para armazenar e proteger senhas, facilitando, inclusive, a criação de palavras-chave complexas. 


A ferramenta oferece ainda a opção de completar automaticamente campos de acesso a contas em diferentes sites, bem como de realizar um exame minucioso para identificar se uma senha utilizada foi comprometida e verificar se a mesma combinação já foi usada para outra conta. 


Uma novidade é o Password Import (acessível em Configurações), que permite importar facilmente até 1.000 senhas por vez. Para fortalecer ainda mais a segurança, o Google disponibiliza a verificação em duas etapas (uma segunda autenticação, que pode ser feita por meio de outros dispositivos ou aplicações). 

 

Observação: Há anos que a gigante de Mountain View lidera a inovação na área de verificação em duas etapas (uma das formas mais confiáveis de evitar acesso não-autorizado a contas e redes). A proteção é mais forte quando combina um elemento que a pessoa "conhece" (como uma senha, por exemplo) a um elemento que a pessoa "tem" (um celular ou um chaveiro com token). 


No ano passado, o Google ativou automaticamente a verificação em duas etapas em contas de pelo menos 150 milhões de usuários, e passou a exigir de cerca de 2 milhões de criadores do YouTube a ativação desse recurso.


Considerando que o que abunda não excede, não custa relembrar:

 

1 - Procure utilizar todas as possibilidades de caracteres na criação das senhas, como símbolos, letras maiúsculas e minúsculas e números.

 

2 - Evite quaisquer sequências lógicas ou que remetam a informações da sua vida. Não coloque nomes de animais, marcas de veículos ou hobbies pessoais (saiba mais neste vídeo). Opte sempre por novidades sem padrão. Se possível, grave as criações no Gerenciador de Senhas do seu Google Chrome ou Android!
 

3 - Crie senhas diferentes para acessos diferentes. Não repita seus códigos em sites, contas bancárias, senhas de cartão ou e-mail. Surpreenda!

 

4 - Use ferramentas de verificação em duas etapas. Em qualquer conta, procure por outros métodos de autenticação que acompanhem a sua senha.
 

5 - Não envie suas senhas por e-mail ou aplicativos de mensagem. Se possível, evite inclusive dizê-las ao telefone. Suas palavras-chave são importantes e não devem ser transferidas em nenhuma hipótese.

 

6 - Evite acessar seus dados ou contas em computadores, celulares e outros gadgets que não são seus, mesmo se houver verificação em duas etapas. Se o fizer, não salve seus acessos!

 

Para mais dicas e informações relevantes, visite a Central de Segurança do Google e o Blog do Google Brasil.