Separar lazer e negócios no dispositivo móvel evita maiores consequências em caso de ciberataque

09 out 2012
Notícias de Vírus

A cidade de Amsterdão acolheu a conferência mundial de segurança profissional EUSecWest 2012, onde se pretendeu dar uma visão real sobre a impossibilidade evitar ataques perpetrados por um ciber-adversário motivado e disposto a atacar.

Membros da equipa de analistas da Kaspersky Lab presentes no evento puderam contactar de perto com hackers que usaram vulnerabilidades de dia-zero e inovadoras técnicas de exploração para atacar o iPhone4S e o Android 4.0.4 (Samsung S3), mesmo quando os equipamentos contavam com todas as funcionalidades de segurança instaladas. A principal conclusão do EUSecWest2012, segundo a Kaspersky Lab, é que a utilização de um dispositivo móvel contendo informações de valor, como o acesso ao email do trabalho ou documentos confidenciais, é perigosa.

Evidentemente, para a maioria das pessoas este não é um conselho prático, tendo em conta que o dispositivo móvel já se tornou numa extensão do computador e existe uma necessidade real de aceder ao email da empresa através do smartphone, seja este iPhone/iPad, Android ou Blackberry. No entanto, há algo importante que pode ser feito e que o utilizador deve começar a aplicar – a separação do lazer e do negócio nos dispositivos móveis que usa.

Não há dúvida de que os antiexploits, como ASLR e DEP, dificultam a vida aos hackers que procuram penetrar nas plataformas móveis, mas com o tempo são a cada vez mais fáceis de contornar. A equipa de hackers do Certified Secure confirmou ao analista da Kaspersky Lab presente no encontro que lhes levou menos de três semanas a atacar o iPhone 4S, incluindo a busca de uma vulnerabilidade e a criação de um exploit capaz de contornar as barreiras antiexploit. A sua motivação: Publicidade e um prémio de 30 mil dólares.

A motivação que move os atacantes, seja ciber-espionagem governamental ou APTs (Advanced Persistent Threats) contra organizações ou activistas políticos, é bem mais poderosa. Como também ficou demonstrado na conferência de segurança Black Hat deste ano, é possível utilizar outros métodos como o protocolo NFC (Near Field Communication) para abrir um documento e a sua aplicação associada sem necessidade que estar sequer fisicamente perto do telefone alvo. Deste modo, pode-se forçar um telemóvel a aceder a um site que infecta o equipamento e permite aos criminosos assumir o seu controlo, sem sequer lhe tocar.

No iPhone, com um sistema operativo aclamado como sendo o mais seguro, o motor WebKit usado pelos browsers continua a ser um pesadelo para a segurança e um dos alvos preferidos dos hackers. Isto torna os equipamentos especialmente vulneráveis às técnicas de “drive-by”, através das quais se redirecciona um utilizador para uma página web especialmente criada para explorar vulnerabilidades e infectar o dispositivo.

O facto de os três principais sistemas operativos (iOS, Android e Blackberry) usarem WebKit e todos terem problemas com as correcções para as vulnerabilidades do WebKit, não deixa de ser uma grande preocupação.

Segundo confirma o analista da Kaspersky Lab, Ryan Naraine, “impressiona-me particularmente a abordagem da RIM com o Balance, a tecnologia que separa e protege a informação pessoal e empresarial existente nos dispositivos Blackberry. Ao separar os aspectos corporativos e pessoais, a RIM oferece maior controlo sobre o acesso às aplicações pessoais e aos dados corporativos. O Balance assegura que a informação empresarial se mantem protegida e separada, que as aplicações pessoais do utilizador não acedem à sua informação corporativa, e que esta não se pode copiar nem colar em aplicações pessoais ou mensagens de correio”.

Mas acrescenta: “o Balance não é perfeito e estou seguro de que um hacker astuto encontrará a maneira de o violar, mas representa a forma correcta de pensar sobre a segurança da informação em plataformas móveis. Se pudermos manter as aplicações Angry Birds, Facebook e Twitter afastadas dos nossos relatórios de vendas e arquivos Excel, sentir-nos-emos mais tranquilos com o dipositivo que levamos no bolso”.

Se a informação é valiosa para o utilizador e que, de forma alguma, deve cair nas mãos dos cibercriminosos (fotos pessoais, mensagens de correio e SMS), então não convém guardá-la num dispositivo móvel que seja fácil de violar.

Existem algumas recomendações a ter em conta, como ter um código de acesso, desinstalar os programas que pedem mais permissões do que as necessárias em dispositivos Android, manter sempre actualizados o sistema operativo móvel e as aplicações instaladas no dispositivo, e tratar de manter separadas a vida pessoal da profissional.

© 1997 - 2014 Kaspersky Lab ZAO.

Todos os direitos reservados.