Medidas preventivas e corretivas

Ordene estas três palavras-passe da menor para a maior segurança e explique o critério que seguiu: «luna2024», «Tr3s!TristesTigres», «123456».

Que dados pessoais nunca deveriam constar de uma palavra-passe (o seu ano de nascimento, o nome do seu animal de estimação, o seu clube de futebol)? Explique por que razão são precisamente os primeiros a ser testados por um atacante que o conheça ou que investigue as suas redes sociais.

Explique o que é o bloqueio por tentativas falhadas num telemóvel ou numa caixa multibanco e como converte um PIN de apenas quatro dígitos numa defesa razoável, embora existam poucas combinações possíveis.

Um PIN de quatro dígitos admite $10^4$ combinações possíveis. Calcule quantas combinações admite um PIN de seis dígitos e, se um programa testar $1\,000$ combinações por segundo, estime quanto tempo demoraria no máximo a decifrar cada um. Que conclusão retira sobre adicionar carateres a uma palavra-passe?

Compare estas duas palavras-passe: «X7#k9», de cinco carateres muito invulgares, e «casa verde luna rio», uma frase longa de palavras comuns. Explique o que pesa mais na resistência de uma palavra-passe, o comprimento ou a raridade dos carateres, de qual se lembraria melhor e que tipo de ataque sofre cada uma.

A figura compara a robustez estimada de duas palavras-passe.

Indique qual das duas é mais robusta, explique que características a tornam forte e justifique que tempo de decifração ocuparia, em comparação, o espaço assinalado com ?.

A figura explica como funciona um gestor de palavras-passe.

Explique o que representa o cofre assinalado com ?, que vantagem tem memorizar uma única palavra-passe-mestra em vez de repetir a mesma palavra-passe em todo o lado e que precaução especial exige essa palavra-passe-mestra.

Por que razão se diz que o correio eletrónico é a conta mais importante a proteger? Explique o que pode fazer um atacante que controle o seu correio eletrónico com todas as suas outras contas, pensando no botão «esqueci-me da palavra-passe».

Comente esta prática: «anoto a palavra-passe num papel colado debaixo do teclado; afinal, não é digital». Avalie o seu risco real e proponha duas alternativas mais seguras para não esquecer as palavras-passe importantes.

Explique o que são as perguntas de segurança («nome do seu primeiro animal de estimação?»), por que razão são um elo fraco se as respostas puderem ser encontradas nas suas redes e que estratégia pode usar ao responder-lhes sem as esquecer mais tarde.

Após a fuga da base de dados com endereços de e-mail e palavras-passe de uma loja de roupa online, vários clientes sofrem acessos não autorizados nas suas contas bancárias e de e-mail, apesar de essas entidades não terem sofrido qualquer falha de segurança.

1. a) Justifica o procedimento técnico automatizado que os atacantes utilizam para entrar nas restantes contas a partir dos dados divulgados, explicando por que razão uma palavra-passe longa e complexa deixa de ser segura assim que é reutilizada.
2. b) Um utilizador afetado afirma: «Ao mudar a palavra-passe da loja de roupa pirateada já estou a salvo». Rebate a sua afirmação prevendo os riscos reais aos quais continua exposto e concebe um protocolo de resposta imediata em três passos para proteger a sua identidade digital.

Um colega teu armazena todas as suas palavras-passe numa nota de texto não encriptada no telemóvel, sincronizada automaticamente na nuvem, e argumenta: «Se eu usar um gestor de palavras-passe e a empresa deles for pirateada, roubam-mas todas de uma vez; com a minha nota no telemóvel, só quem me roubar fisicamente o telemóvel é que pode vê-las».

1. a) Refuta o argumento dele explicando duas situações reais nas quais as palavras-passe ficariam expostas sem necessidade de que alguém lhe roube fisicamente o telemóvel nem conheça o seu código de desbloqueio.
2. b) Justifica tecnicamente como é que um gestor de palavras-passe protege a informação face a uma fuga de dados nos seus próprios servidores (conceito de encriptação de ponta a ponta) e que vantagem traz em relação à nota de texto.

Explique o que é a autenticação em dois passos e por que razão protege a sua conta mesmo que alguém consiga roubar a sua palavra-passe.

Uma palavra-passe de oito carateres utiliza apenas letras minúsculas, ou seja, um alfabeto de $26$ símbolos; outra com o mesmo comprimento utiliza maiúsculas, minúsculas, dígitos e símbolos, um alfabeto de cerca de $70$ símbolos. Escreva as combinações possíveis de cada uma sob a forma de potências, $26^8$ e $70^8$, e, sem calcular o valor exato, justifique com potências de base dez quantas vezes mais resistente é a segunda. O que protege mais: aumentar o comprimento da palavra-passe ou alargar o alfabeto?

Conceba a política de palavras-passe para a página web de um clube desportivo que armazena dados de menores: comprimento mínimo, autenticação em dois passos para treinadores e dirigentes, o que fazer com a conta partilhada da equipa e como ajudar as famílias menos experientes a cumpri-la.

Ao registares-te numa aplicação web gratuita de edição de imagens, a plataforma dá-te a opção de clicar em «Iniciar sessão com o Google». Antes de entrar, uma janela solicita-te autorização para aceder ao teu nome e e-mail, mas também pede permissões para «Ver, editar e eliminar os teus ficheiros do Google Drive».

1. a) Interpreta as permissões solicitadas e justifica por que razão concedê-las representa uma violação do princípio do menor privilégio neste caso concreto.
2. b) Analisa o risco do «ponto único de falha» para um utilizador que usa a sua conta Google como chave de acesso para mais de vinte serviços distintos na Internet. Prevê as consequências imediatas se lhe roubarem a conta principal e desenha um procedimento de três passos para auditar e revogar acessos periodicamente.

Uma aplicação bancária propõe substituir por completo todas as palavras-passe por reconhecimento facial ou impressão digital, argumentando que «a tua cara e o teu dedo são únicos e não se podem esquecer nem digitar mal».

1. a) Refuta a proposta do banco justificando tecnicamente por que razão um dado biométrico não deve ser o único segredo de autenticação, contrastando o que acontece quando uma palavra-passe é divulgada face ao que ocorre se uma matriz biométrica for divulgada.
2. b) Desenha um esquema de autenticação multifator (MFA) para autorizar transferências bancárias de valor elevado que combine pelo menos dois fatores de natureza distinta (algo que sabes, algo que tens ou algo que és), e justifica por que razão resiste ao roubo físico do telemóvel.

Prioriza esta lista de contas para ativar a verificação em dois passos, de imprescindível a dispensável, e justifica o seu critério: correio eletrónico, banco, videojogo favorito, rede social, plataforma da escola. Termina refletindo sobre se faz sentido aplicar a segurança máxima a tudo.

O seu telemóvel está há meses a avisar para uma atualização do sistema e clica sempre em «mais tarde». Explique que risco concreto está a assumir e que relação existe entre as atualizações e as falhas de segurança já conhecidas publicamente.

Está ligado ao Wi-Fi gratuito de um café e precisa de consultar a sua conta bancária. Explique que riscos tem uma rede Wi-Fi pública, que precauções técnicas a tornam mais segura (HTTPS, VPN, usar os dados móveis) e que operações é melhor nunca realizar através dela.

Um conhecido teu afirma: «Tenho instalado um antivírus pago muito potente, por isso tanto me faz usar uma palavra-passe simples em todas as minhas contas e não preciso de perder tempo a instalar as atualizações do sistema operativo».

1. a) Prevê detalhadamente um cenário de ataque no qual um cibercriminoso tome o controlo do seu computador ou das suas contas pessoais sem que o antivírus chegue a emitir qualquer alerta (por exemplo, através de uma vulnerabilidade não corrigida do sistema ou por força bruta e engenharia social).
2. b) Justifica através do princípio de defesa em profundidade por que razão um único mecanismo de segurança nunca é suficiente, explicando como se devem complementar três camadas defensivas distintas (atualizações do sistema, autenticação e proteção ativa) para neutralizar a ameaça se uma delas falhar.

Uma rede social sofre uma fuga de informação e o seu correio eletrónico aparece na lista de contas afetadas. Descreva passo a passo e por ordem o que faria a partir desse momento: que palavras-passe alterar, o que verificar noutras contas e que proteção adicional ativar.

Um serviço alerta-o: «foi detetada uma sessão iniciada a partir de outro país». Descreva passo a passo e por ordem o que faria a partir desse aviso: como confirmar se foi o próprio, que credenciais alterar, onde verificar as sessões ativas e que proteção ativar de seguida.

Uma família armazena no seu computador de secretária 400 GB de fotografias e documentos oficiais insubstituíveis. Como precaução, guardam uma cópia semanal num disco rígido externo USB que mantêm sempre ligado ao computador.

1. a) Justifica por que razão esta medida se revela insuficiente face a duas ameaças concretas: um ataque por ransomware e uma sobretensão elétrica na habitação.
2. b) Desenha uma estratégia de cópia de segurança eficaz aplicando o princípio 3-2-1 adaptada a esta família: concretiza que suportes utilizar, onde devem ser localizadas fisicamente as cópias e com que periodicidade devem ser atualizadas, justificando cada decisão técnica.

Desafio do tema. Torna-te auditor de cibersegurança e desenha um «Plano de Proteção Digital Familiar» para blindar o teu meio envolvente contra os riscos da rede.

Segue estas fases:

1. Obtenção de dados reais: Entrevista $4$ ou $5$ pessoas do teu meio sobre os seus hábitos digitais (gestão de palavras-passe, cópias de segurança, cliques em hiperligações desconhecidas). Compara os teus resultados com dados do Centro Nacional de Cibersegurança ou do INE, onde a fraude online ultrapassa os $85,0$ % dos cibercrimes denunciados.

2. Diagnóstico de vulnerabilidades: Classifica os riscos observados relacionando-os com ameaças concretas: software malicioso (troianos, ransomware, vírus) e engenharia social (phishing, smishing ou usurpação de identidade).

3. Guia de ação com o LibreOffice: Elabora um relatório ou tríptico breve (1-2 páginas) com o LibreOffice Writer que detalhe um decálogo de medidas preventivas (antivírus, gestores de palavras-passe, autenticação de dois fatores) e um protocolo de resposta corretiva em caso de ataque ou sequestro de dados.

Avaliar-se-á:

• Recolha de dados do meio envolvente e contraste rigoroso com fontes oficiais.

• Classificação correta dos tipos de malware e técnicas de engano detetadas.

• Clareza e utilidade real das medidas preventivas e corretivas propostas.