Exercicis: Mesures preventives i correctives

Ordena aquestes tres contrasenyes de menys a més seguretat i explica el criteri que has seguit: «lluna2024», «Tr3s!TristosTigres», «123456».

Explica què és la verificació en dos passos i per què protegeix el teu compte encara que algú aconsegueixi robar la teva contrasenya.

La figura compara la solidesa estimada de dues contrasenyes.

Indica quina de les dues és més robusta, explica quines característiques la fan forta i raona quin temps de desxiframent ocuparia, en comparació, el buit marcat amb ?.

La figura explica com funciona un gestor de contrasenyes.

Explica què representa la caixa forta marcada amb ?, quin avantatge té memoritzar una única contrasenya mestra enfront de repetir la mateixa contrasenya a tot arreu i quina precaució especial exigeix aquesta contrasenya mestra.

Quines dades personals no haurien d'aparèixer mai en una contrasenya (el teu any de naixement, el nom de la teva mascota, el teu equip de futbol)? Explica per què són precisament les primeres que prova un atacant que et coneix o t'investiga a les xarxes.

Explica què és el bloqueig per intents fallits en un mòbil o en un caixer automàtic i com converteix un PIN de només quatre dígits en una defensa raonable encara que hi hagi poques combinacions possibles.

Per què es diu que el correu electrònic és el compte més important que has de protegir? Explica què pot fer un atacant que controli el teu correu amb tots els teus altres comptes, pensant en el botó «he oblidat la contrasenya».

Comenta aquesta pràctica: «apunto la contrasenya en un paper enganxat sota el teclat; total, no és digital». Valora el seu risc real i proposa dues alternatives més segures per no oblidar les contrasenyes importants.

Un PIN de quatre dígits admet $10^4$ combinacions possibles. Calcula quantes combinacions admet un PIN de sis dígits i, si un programa prova $1.000$ combinacions per segon, estima quant trigaria com a màxim a desxifrar cadascun. Quina conclusió treus sobre afegir caràcters a una contrasenya?

El teu mòbil fa mesos que avisa d'una actualització del sistema i sempre prems «més tard». Explica quin risc concret estàs acceptant i quina relació hi ha entre les actualitzacions i les bretxes de seguretat que ja es coneixen públicament.

Una xarxa social pateix una filtració i el teu correu apareix a la llista de comptes afectats. Descriu pas a pas i en ordre què faries des d'aquell moment: quines contrasenyes canviar, què comprovar en altres comptes i quina protecció addicional activar.

Compara aquestes dues contrasenyes: «X7#k9», de cinc caràcters molt rars, i «casa verda lluna riu», una frase llarga de paraules comunes. Explica què pesa més en la resistència d'una contrasenya, la longitud o la raresa dels caràcters, quina recordaries millor i quin tipus d'atac pateix cadascuna.

Un servei t'avisa: «s'ha detectat un inici de sessió des d'un altre país». Descriu pas a pas i en ordre què faries a partir d'aquest avís: com confirmar si has estat tu, quines credencials canviar, on revisar les sessions obertes i quina protecció activar després.

Explica què són les preguntes de seguretat («nom de la teva primera mascota?»), per què són una baula feble si les respostes es poden trobar a les teves xarxes i quina estratègia pots fer servir en respondre-les sense oblidar-les després.

Estàs connectat a la wifi gratuïta d'una cafeteria i necessites consultar el teu compte bancari. Explica quins riscos té una xarxa wifi pública, quines precaucions tècniques la fan més segura (https, VPN, utilitzar les dades mòbils) i quines operacions és millor no fer mai des d'aquesta xarxa.

Una contrasenya de vuit caràcters utilitza només lletres minúscules, és a dir, un alfabet de $26$ símbols; una altra de la mateixa longitud utilitza majúscules, minúscules, dígits i signes, un alfabet d'uns $70$ símbols. Escriu les combinacions possibles de cadascuna com a potències, $26^8$ i $70^8$, i, sense calcular el valor exacte, raona amb potències de deu quantes vegades més resistent és la segona. Què protegeix més: allargar la contrasenya o ampliar l'alfabet?

Després de filtrar-se la base de dades amb correus i contrasenyes d'una botiga de roba en línia, diversos clients pateixen accessos no autoritzats als seus comptes bancaris i de correu, malgrat que aquestes entitats no van patir cap fallada de seguretat.

1. a) Justifica el procediment tècnic automatitzat que utilitzen els atacants per entrar als altres comptes a partir de les dades filtrades, explicant per què una contrasenya llarga i complexa deixa de ser segura tan bon punt es reutilitza.
2. b) Un usuari afectat afirma: «Amb canviar la contrasenya de la botiga de roba hackejada ja estic fora de perill». Rebat la seva afirmació preveient els riscos reals als quals continua exposat i dissenya un protocol de resposta immediata en tres passos per protegir la seva identitat digital.

Una família emmagatzema al seu ordinador de sobretaula 400 GB de fotos i documents oficials irremplaçables. Com a precaució, guarden una còpia setmanal en un disc dur extern USB que mantenen sempre connectat a l'equip.

1. a) Justifica per què aquesta mesura resulta insuficient enfront de dues amenaces concretes: un atac per ransomware i una sobretensió elèctrica a l'habitatge.
2. b) Dissenya una estratègia de còpia de seguretat eficaç aplicant el principi 3-2-1 adaptada a aquesta família: concreta quins suports utilitzar, on s'han d'ubicar físicament les còpies i amb quina periodicitat s'han d'actualitzar, justificant cada decisió tècnica.

Un conegut afirma: «Tinc instal·lat un antivirus de pagament molt potent, així que m'és igual fer servir una contrasenya senzilla en tots els meus comptes i no necessito perdre el temps instal·lant les actualitzacions del sistema operatiu».

1. a) Prediu detalladament un escenari d'atac en què un ciberdelinqüent prengui el control del seu equip o dels seus comptes personals sense que l'antivirus arribi a emetre cap alerta (per exemple, mitjançant una vulnerabilitat no pedaçada del sistema o per força bruta i enginyeria social).
2. b) Justifica mitjançant el principi de defensa en profunditat per què un únic mecanisme de seguretat mai no és suficient, explicant com s'han de complementar tres capes defensives diferents (actualitzacions del sistema, autenticació i protecció activa) per neutralitzar l'amenaça si una d'elles falla.

Dissenya la política de contrasenyes per al web d'un club esportiu que desa dades de menors: longitud mínima, verificació en dos passos per a entrenadors i directius, què fer amb el compte compartit de l'equip i com ajudar les famílies menys expertes a complir-la.

En registrar-te en una aplicació web gratuïta d'edició d'imatges, la plataforma t'ofereix prémer a «Inicia la sessió amb Google». Abans d'entrar, una finestra et sol·licita autoritzar l'accés al teu nom i correu, però a més demana permisos per «Veure, editar i eliminar els teus fitxers de Google Drive».

1. a) Interpreta els permisos sol·licitats i justifica per què concedir-los suposa una vulneració del principi de mínim privilegi en aquest cas concret.
2. b) Analitza el risc del «punt únic de fallada» per a un usuari que utilitza el seu compte de Google com a clau d'accés per a més de vint serveis diferents a internet. Prediu les conseqüències immediates si li sostreuen el compte principal i dissenya un procediment de tres passos per auditar i revocar accessos periòdicament.

Un company emmagatzema totes les seves contrasenyes en una nota de text sense xifrar al mòbil, sincronitzada automàticament al núvol, i argumenta: «Si faig servir un gestor de contrasenyes i hackegen la seva empresa, me les roben totes alhora; amb la meva nota al mòbil, només qui em robi físicament el telèfon pot veure-les».

1. a) Rebat el seu argument explicant dues situacions reals en què les seves contrasenyes quedarien exposades sense necessitat que ningú li robi físicament el telèfon ni conegui el seu codi de desbloqueig.
2. b) Justifica tècnicament com protegeix un gestor de contrasenyes la informació enfront d'una fuga de dades en els seus propis servidors (concepte de xifratge d'extrem a extrem) i quin avantatge aporta enfront de la nota de text.

Una aplicació bancària proposa substituir completament totes les contrasenyes escrites per reconeixement facial o petjada dactilar, argumentant que «la teva cara i el teu dit són únics i no es poden oblidar ni teclejar malament».

1. a) Rebat la proposta del banc justificant tècnicament per què una dada biomètrica no ha de ser l'únic secret d'autenticació, contrastant què passa quan es filtra una contrasenya enfront del que passa si es filtra una plantilla biomètrica.
2. b) Dissenya un esquema d'autenticació multifactor (MFA) per autoritzar transferències bancàries d'alt import que combini almenys dos factors de naturalesa diferent (quelcom que saps, quelcom que tens o quelcom que ets), i justifica per què resisteix davant del robatori físic del telèfon mòbil.

Prioritza aquesta llista de comptes per activar la verificació en dos passos, d'imprescindible a prescindible, i justifica el teu criteri: correu electrònic, banc, videojoc preferit, xarxa social, plataforma de l'institut. Acaba reflexionant sobre si té sentit posar la màxima seguretat en tot.

Repte del tema. Converteix-te en auditor de ciberseguretat i dissenya un «Pla de Protecció Digital Familiar» per blindar el teu entorn enfront dels riscos de la xarxa.

Segueix aquestes fases:

1. Obtenció de dades reals: Entrevista $4$ o $5$ persones del teu entorn sobre els seus hàbits digitals (gestió de contrasenyes, còpies de seguretat, clics en enllaços desconeguts). Compara els teus resultats amb dades de l'INCIBE o de l'INE, on el frau en línia supera el $85,0$ % dels ciberdelictes denunciats.

2. Diagnòstic de vulnerabilitats: Classifica els riscos observats relacionant-los amb amenaces concretes: programari maliciós (troians, ransomware, virus) i enginyeria social (phishing, smishing o suplantació d'identitat).

3. Guia d'acció amb LibreOffice: Elabora un informe o tríptic breu (1-2 pàgines) amb LibreOffice Writer que detalli un decàleg de mesures preventives (antivirus, gestors de claus, doble factor d'autenticació) i un protocol de resposta correctiva en cas d'atac o segrest de dades.

Es valorarà:

• Recollida de dades de l'entorn i contrast rigorós amb fonts oficials.

• Classificació encertada dels tipus de programari maliciós i tècniques d'engany detectades.

• Claredat i utilitat real de les mesures preventives i correctives proposades.