Israel “terá de responder” ao Irão. Resta saber como

[BearManBull]

Hoje em dia, a maior parte dos utilizadores de smartphones permitem o acesso aos seus dados gratuitamente

Portanto os utilizadores não se importam com a divulgação dos dados pessoais que tenham numa conta de um serviço online?

Uma coisa é enviar dados pessoais a um provedor de serviço, outra coisa é ver essa informação nas mãos de hackers...

[BearManBull]

Eu consigo, tirarem-me dinheiro da conta.

Como é que retiras dinheiro de uma conta?

Tinhas de hackear não só um banco mas pelo menos dois e provavelmente uma rede swift (ou similar). Isso quase não acontece porque é muito difícil não seres apanhado, deixarias sempre um rastro por onde passou a transação. não podes meter dinheiro numa pen USB...

Já a clonagem de cartões de credito é algo que acontece com alguma regularidade. Em países menos desenvolvido é o prato do dia.

[volvista]

Pelos comentários que ouvi ontem sobre os carros elétricos:
Se for um carro de 100 mil euros compensa ao fim de 8 anos comprar as baterias por 15 mil esros, mas se for um carro de 40 mil já não compensa!

[mais_um]

Os dados de utilizador/cliente são um sistema do mais critico que existe. Não consigo ver algo que seja pior para a reputação de uma empresa de que um data breach dos dados dos clientes.

Eu consigo, tirarem-me dinheiro da conta.
Hoje em dia, a maior parte dos utilizadores de smartphones permitem o acesso aos seus dados gratuitamente, instalam todas as apps e mais alguma que "lambem" o telefone todo de uma ponta à outra.... até permitem serem gravados e filmados

[mais_um]

Um firewall tecnologicamente moderno para ser ultrapassado tem que estar mal configurado e/ou sem actualizações de software.
Com uma boa arquitectura, bem configurado, e com as actualizações feitas não me recordo de haver noticias de terem sido ultrapassados.

Assumes que a Vodafone não deve usar firewalls...

Quero dizer, não é por teres uma super mega firewall que não podes ser hackeado. Honestamente não menosprezaria a equipa de engenharia da Vodafone, certamente que terá o state of art do que se pode encontrar no sector.

Mais um péssimo hábito que tens, deturpas os factos. Já é do conhecimento comum que foi por engenharia social que foi roubada a password de um administrador de rede e que clonaram o nº de telemovel tendo ultrapassado dessa forma a dupla autenticação que permite o acesso à rede de gestão dos equipamentos de CORE da rede movel. Não foram roubados dados (o administrador de rede não tem acesso aos dados), limitaram-se a apagar as configurações dos equipamentos CORE que gerem o tráfego móvel. São milhares de linhas de código de configurações efectuadas ao longo de anos. A questão foi a reposição das copias de segurança e perceber quando é que a segurança foi comprometida, isto não tem a ver com passar firewalls mas sim com a arquitectura da rede que claramente tinha uma falha de concepção ao permitir que um administrador de rede apague as configurações dos equipamentos remotamente, assim a falha foi humana e não dos firewall. Tens uma capacidade para inventar...

Mais informação tem sido revelada sobre o ataque à Vodafone, e sabe-se que os atacantes entraram "pela porta da frente" usando credenciais de um funcionário e ultrapassando os sistemas 2FA via SMS.

Enquanto se aguarda por um relatório oficial da Vodafone que descreva em detalhe o ataque sofrido, que será útil para evitar que casos idênticos aconteçam, vão-se descobrindo mais detalhes sobre o que se terá passado. Em primeiro lugar, fica de fora a vertente do potencial ataque aproveitando vulnerabilidades de hardware da infraestrutura. Afinal, e como costuma ser o mais frequente, a coisa foi bastante mais "simples".

Os atacantes terão conseguido infiltrar-se na rede interna da Vodafone usando credenciais de um funcionário - credenciais que aparentemente já estariam à venda em fóruns de hackers há algum tempo. Mas a parte mais interessante é que além das credenciais roubadas, os atacantes também terão conseguido ultrapassar o sistema de autenticação de 2-factores (2FA) usado pela Vodafone - de código extra enviado via SMS - e que vem demonstrar porque motivo os especialistas de segurança desaconselham o uso de SMS para este fim, há anos!

Quer tenha sido através de engenharia social, ou suborno de um funcionário, ou outro método, os atacantes terão conseguido apoderar-se do número de telefone do funcionário em questão, e assim ficar com acesso total até para as operações perigosas que permitiram afectar o funcionamento da Vodafone a uma escala sem precedentes.

Fica demonstrada a vulnerabilidade dos SMS para efeitos de 2FA. Este ataque não poderia ter sido feito - pelo menos não tão facilmente - caso fosse exigida uma chave física de autenticação. Dito isto, resta esperar que este caso sirva de lição para que se reforce a segurança, e há ainda que salientar que, perante tal cenário apocalíptico, a Vodafone conseguiu fazer um excelente trabalho na recuperação e reposição dos serviços - para quem foi apanhada completamente de surpresa.

[mais_um]

1- As próprias firewalls são passiveis de ser hackeadas.
2-- Muitas vezes ocorre um encapsulamento em que A não tem acesso a C, mas A tem acesso a B que tem acesso a C.

Vais desculpar-me mas não sabes o que dizes....

Relativamente ao ponto 1 é extremamente complicado mas se juntares um grupo de pessoas com os skills correctos está longe de ser impossível. Isto é muito importante, os sistemas não sofrem mais hacking porque a relação custo beneficio não compensa. Alguém com o conjunto de skills necessários para corromper uma firewall pode facilmente ganhar bem a vida sem ter de correr riscos desnecessários.

Quanto ao ponto 2 é algo que acontece no exemplo que se referiu antes, acontece muitas vezes que localmente A não tem acesso ao servidor C. Mas existe uma maquina B que sim e A pode aceder a B por RDC. Ou seja para chegar a C não tens de passar nenhuma firewall, só tens de conseguir acesso a A e as credenciais de B.

Bem para terminar a minha participação neste tema, realmente já me tinha esquecido da forma como estás nas discussões, mesmo quando não percebes nada de um assunto, fazes lembrar-me aquelas pessoas que defendem que a terra é plana.

Sou engenheiro informático, trabalho há 33 anos no ramo, há 15 num Banco na área de redes e não tenho paciência para ler as tuas barbaridades, deves julgar que a rede de um banco é igual à chafarica da esquina.

[BearManBull]

o elo mais fraco é o humano, a tecnologia bem mantida e com operadores devidamente treinados é bastante fiável.

Concordo.

E uma coisa é conseguir uns endereços de email e nomes, outra é aceder aos sistemas core da instituição.

Os dados de utilizador/cliente são um sistema do mais critico que existe. Não consigo ver algo que seja pior para a reputação de uma empresa de que um data breach dos dados dos clientes.

Nesta manchete do FT de outro ataque da Vodafone em 2015 dizia:
Hackers steal Vodafone customer details

https://www.ft.com/content/ca560af4-7ff ... c8b3b18e5f

Isso aconteceu mas foram pessoas dentro da organização que o fizeram (NSA/Snowden) agora há ferramentas de monitorização que detectam volume de tráfego anormalmente acima da média, as equipas estão segregadas, há várias camadas, sempre com logs de tudo e mais alguma coisas por isso impossível acredito que não seja, no entanto sem um erro humano ou colaboração interna será muito difícil (como na Vodafone e Expresso).

Tudo que é grande organização tem ferramentas para monitorizar de tudo, é mais se alguém vê/lê o alerta.

[BearManBull]

Um firewall tecnologicamente moderno para ser ultrapassado tem que estar mal configurado e/ou sem actualizações de software.
Com uma boa arquitectura, bem configurado, e com as actualizações feitas não me recordo de haver noticias de terem sido ultrapassados.

Assumes que a Vodafone não deve usar firewalls...

Quero dizer, não é por teres uma super mega firewall que não podes ser hackeado. Honestamente não menosprezaria a equipa de engenharia da Vodafone, certamente que terá o state of art do que se pode encontrar no sector.

[BearManBull]

1- As próprias firewalls são passiveis de ser hackeadas.
2-- Muitas vezes ocorre um encapsulamento em que A não tem acesso a C, mas A tem acesso a B que tem acesso a C.

Vais desculpar-me mas não sabes o que dizes....

Relativamente ao ponto 1 é extremamente complicado mas se juntares um grupo de pessoas com os skills correctos está longe de ser impossível. Isto é muito importante, os sistemas não sofrem mais hacking porque a relação custo beneficio não compensa. Alguém com o conjunto de skills necessários para corromper uma firewall pode facilmente ganhar bem a vida sem ter de correr riscos desnecessários.

Quanto ao ponto 2 é algo que acontece no exemplo que se referiu antes, acontece muitas vezes que localmente A não tem acesso ao servidor C. Mas existe uma maquina B que sim e A pode aceder a B por RDC. Ou seja para chegar a C não tens de passar nenhuma firewall, só tens de conseguir acesso a A e as credenciais de B.

[mais_um]

1- As próprias firewalls são passiveis de ser hackeadas.
2-- Muitas vezes ocorre um encapsulamento em que A não tem acesso a C, mas A tem acesso a B que tem acesso a C.

Vais desculpar-me mas não sabes o que dizes....

99% of firewall failures are a result of firewall misconfigurations, not necessarily because of flaws within the firewall itself. What this means is that a firewall, which may have all the most advanced and secure features, can still be penetrated because it was simply not set up properly. Basically, it is human error that results in firewall vulnerabilities.

https://evolvit.co.uk/it-support/breach ... l-failure/

Um firewall tecnologicamente moderno para ser ultrapassado tem que estar mal configurado e/ou sem actualizações de software.
Com uma boa arquitectura, bem configurado, e com as actualizações feitas não me recordo de haver noticias de terem sido ultrapassados.

Não tenho conhecimento, mas suponho que não vai ser algo que vão publicar de bom grado.

São obrigados a comunicar qualquer incidente de segurança, penso que não é secreto.

Hackear um sistema explorando vulnerabilidades tecnológicas é extremamente complicado, mas não impossível. Como tudo na vida tem de haver motivação e recompensa $$$

Não sou perito, sei mais que o suficiente para argumentar contigo mas o elo mais fraco é o humano, a tecnologia bem mantida e com operadores devidamente treinados é bastante fiável.
Todos os dias somos alvo de tentativas de ataque, principalmente com origem da China e da Rússia, presumo que em geral toda a banca seja, isto há anos e no entanto nunca conseguiram passar o 1º perímetro. E uma coisa é conseguir uns endereços de email e nomes, outra é aceder aos sistemas core da instituição. Isso aconteceu mas foram pessoas dentro da organização que o fizeram (NSA/Snowden) agora há ferramentas de monitorização que detectam volume de tráfego anormalmente acima da média, as equipas estão segregadas, há várias camadas, sempre com logs de tudo e mais alguma coisas por isso impossível acredito que não seja, no entanto sem um erro humano ou colaboração interna será muito difícil (como na Vodafone e Expresso).

Já agora em relação aos custos de sistemas de segurança, o que a Banca gasta é seguramente uma ínfima parcela do que gasta com a parte aplicacional.

[BearManBull]

Mas posso dizer-te que aprendi esta política no banco, por defeito está tudo fechado, nada comunica com nada, mesmo internamente, uma aplicação precisas de comunicar com outra aplicação, tem que ser especificado o IP e os portos necessários

1- As próprias firewalls são passiveis de ser hackeadas.
2-- Muitas vezes ocorre um encapsulamento em que A não tem acesso a C, mas A tem acesso a B que tem acesso a C.

Em relação aos casos que referiste não são nada de especial, BD de utilizadores/clientes é algo que não me surpreende, esse tipo de informação é acedido via front-ends, assim se conseguires penetrar nos front-end acabas por aceder à informação.

Nos bancos podes aceder a quase toda a informação de cliente por portais/apps. Se bem que a banca se pode dar ao luxo de ser bem mais intrusiva com as politicas de segurança que o utilizador tolera.

Agora, em relação a bancos, na Europa quantos é que tiveram o seu sistema central comprometido?

Não tenho conhecimento, mas suponho que não vai ser algo que vão publicar de bom grado.



Hackear um sistema explorando vulnerabilidades tecnológicas é extremamente complicado, mas não impossível. Como tudo na vida tem de haver motivação e recompensa $$$

[mais_um]

Como referi, além da password do acesso do meu wifi, até te dou as credenciais de acesso ao router.... e até te abro a porta de casa e mesmo assim não consegues acesso...

Sim tens restrição por MAC address. Realmente a menos que conhece-se algum MAC de um dispositivo com acesso não faço ideia como seria possível hackear mas não quer dizer que seja impossível.


Tenho bem presente que os bancos fazem pen tests regularmente e a Vodafone quase que de certeza que os faz com o mesmo critério (atrevo-me a dizer que a Vodafone terá um critério muito mais rigoroso ao ser uma marca global). Isso não quer dizer que;

1. A abrangência seja completa - depende da empresa que executa o test e raramente existe $$$ para explorar todos os sistemas e vulnerabilidades.
2. Se corrigem todas as vulnerabilidades - muitas são identificadas, catalogadas e quando muito mitigadas, mas não são completamente eliminadas.

Linkedin, Facebook e Twitter que devem ter dos sistemas mais seguros do planeta tiveram data breachs colossais.

LinkedIn
Date: June 2021

Impact: 700 million users

Data associated with 700 million LinkedIn users was posted for sale in a Dark Web forum on June 2021. This exposure impacted 92% of the total LinkedIn user base of 756 million users.


Facebook
Date: April 2019

Impact: 533 million users

In April 2019, the UpGuard Cyber Risk team revealed two third-party Facebook app datasets had been exposed to the public Internet. One, originating from the Mexico-based media company Cultura Colectiva, weighs in at 146 gigabytes and contains over 533 million records detailing comments, likes, reactions, account names, FB IDs and more. This same type of collection, in similarly concentrated form, has been cause for concern in the recent past, given the potential uses of such data. Read more about this Facebook data breach here.

Twitter
Date: May 2018

Impact: 330 million users

In May of 2018, social media giant Twitter notified users of a glitch that stored passwords unmasked in an internal log, making all user passwords accessible to the internal network. Twitter told its 330 million users to change their passwords but the company said it fixed the bug and that there was no indication of a breach or misuse, but encouraged the password update as a precaution. Twitter did not disclose how many users were impacted but indicated that the number of users was significant and that they were exposed for several months.

Sim, tenho restrição ao MAC, por defeito está tudo bloqueado, só abro para os MAC dos equipamentos cá de casa e mesmo assim tenho 2 routers, cada um com a sua rede que não se vêm uma à outra, um para dispositivos WIFI e outro para os dispositivos ligados por cabo. Sei que não sou exemplo, como eu só os maluquinhos das redes do meu departamento, esse ainda são piores do que eu.

Mas posso dizer-te que aprendi esta política no banco, por defeito está tudo fechado, nada comunica com nada, mesmo internamente, uma aplicação precisas de comunicar com outra aplicação, tem que ser especificado o IP e os portos necessários, só esses é que são abertos.
Ligar maquinas na nossa rede, nada funciona até ser autorizado o respectivo mac. Acesso VPN? As maquinas têm que permitir ser inspecionadas antes da ligação ser concluída (via agente instalado no equipamento), se determinado software não existir ou não estiver configurado de determinada forma (politicas) a ligação VPN não se concretiza. Sempre com duplo factor de autenticação via APP proprietária do Banco. Acesso a alterar configurações? Só localmente e via aplicação especifica, ou seja saber a password de domínio de um administrador de rede não dá acesso, ainda é preciso a password da aplicação para alterar configurações e as passwords do equipamento de rede. É à prova de bala? Não, não é mas torna muito muito difícil que aconteça algo do tipo da Vodafone. Pode existir uma vulnerabilidade que seja explorada antes dos fabricantes a descobrirem e se for grave pode ter impacto mas o facto de trabalharmos com vários sistemas, em várias camadas minimiza a situação.

Em relação aos casos que referiste não são nada de especial, BD de utilizadores/clientes é algo que não me surpreende, esse tipo de informação é acedido via front-ends, assim se conseguires penetrar nos front-end acabas por aceder à informação.

Agora, em relação a bancos, na Europa quantos é que tiveram o seu sistema central comprometido?

[BearManBull]

Como referi, além da password do acesso do meu wifi, até te dou as credenciais de acesso ao router.... e até te abro a porta de casa e mesmo assim não consegues acesso...

Sim tens restrição por MAC address. Realmente a menos que conhece-se algum MAC de um dispositivo com acesso não faço ideia como seria possível hackear mas não quer dizer que seja impossível.


Tenho bem presente que os bancos fazem pen tests regularmente e a Vodafone quase que de certeza que os faz com o mesmo critério (atrevo-me a dizer que a Vodafone terá um critério muito mais rigoroso ao ser uma marca global). Isso não quer dizer que;

1. A abrangência seja completa - depende da empresa que executa o test e raramente existe $$$ para explorar todos os sistemas e vulnerabilidades.
2. Se corrigem todas as vulnerabilidades - muitas são identificadas, catalogadas e quando muito mitigadas, mas não são completamente eliminadas.

Linkedin, Facebook e Twitter que devem ter dos sistemas mais seguros do planeta tiveram data breachs colossais.

LinkedIn
Date: June 2021

Impact: 700 million users

Data associated with 700 million LinkedIn users was posted for sale in a Dark Web forum on June 2021. This exposure impacted 92% of the total LinkedIn user base of 756 million users.


Facebook
Date: April 2019

Impact: 533 million users

In April 2019, the UpGuard Cyber Risk team revealed two third-party Facebook app datasets had been exposed to the public Internet. One, originating from the Mexico-based media company Cultura Colectiva, weighs in at 146 gigabytes and contains over 533 million records detailing comments, likes, reactions, account names, FB IDs and more. This same type of collection, in similarly concentrated form, has been cause for concern in the recent past, given the potential uses of such data. Read more about this Facebook data breach here.

Twitter
Date: May 2018

Impact: 330 million users

In May of 2018, social media giant Twitter notified users of a glitch that stored passwords unmasked in an internal log, making all user passwords accessible to the internal network. Twitter told its 330 million users to change their passwords but the company said it fixed the bug and that there was no indication of a breach or misuse, but encouraged the password update as a precaution. Twitter did not disclose how many users were impacted but indicated that the number of users was significant and that they were exposed for several months.

[mais_um]

No meu banco, até o tráfego de voz é cifrado, vê quanto tempo é necessário para decifrar uma chave AES- 256:

Lol deves ser o único gaijo no mundo que trabalha numa empresa que tem 100% em pen tests

Pede la o relatório do ultimo pen test e vais ver a quantidade de problemas que existem...

A questão de ser ou na hackeado esta relacionado com custo beneficio. E como actividade ilegal é algo que dá direito a prisão por isso é normal que não seja pratica do dia a dia. O que não quer dizer que seja impraticável. A Vodafone tenho a certeza que tem dos melhores resultados em pen tests do país e mesmo assim foi o que se viu.

Ser fácil não é, nem é isso que discuti, mas existem mecanismos que são muito mais simples do que andar a explorar vulnerabilidades técnicas.


Quanto ao teu modem, tens restrição de por MAC duh...

O caso da Vodafone aparentemente foi um roubo de credenciais, provavelmente a arquitectura deles tinha falhas, não sei, sobre o resultado das auditorias de segurança não sei se são obrigados a fazer, os bancos são e dá direito a multas pesadas.
As auditorias descobrem vulnerabilidades, é para isso que servem, sendo os bancos obrigados a fazê-lo com regularidade significa que a possibilidade de haver ataques como o da Vodafone ou o do Expresso é reduzida, até porque está segmentado entre quem desenha, aprova, executa e monitoriza. Com 4 áreas distintas, mesmo sabendo as 4 passwords ainda tinham que conseguir assaltar as instalações, partindo do principio que determinado tipo de operações nos sistemas só pode ser executado na rede local.

Em todo o mundo quantos bancos tiveram o seu sistema central comprometido? Ou seja acesso ilegítimo com movimentação ilegitima de dinheiro ou destruição de informação, como aconteceu no Expresso?

Como referi, além da password do acesso do meu wifi, até te dou as credenciais de acesso ao router.... e até te abro a porta de casa e mesmo assim não consegues acesso...

[MarcoAntonio]

Já agora, olhando um pouco para a frente, vamos acabar por ter provavelmente veiculos autónomos que não é possivel conduzir localmente (não vão ter volante, pedais, etc) porque a certa altura isso será considerado um desperdício e uma inconveniência até. E a longo-prazo, antecipo que é para aí que nos vamos encaminhar (para já, creio que os fabricantes estão legalmente impedidos de o fazer). Mas mesmo nessas circunstâncias, se e quando chegarmos aí, nada impede de existirem circuitos hardwired alternativos para activar em caso de emergência (que sejam capazes de fazer, por exemplo, algo tão simples quanto parar a viatura em segurança).

[MarcoAntonio]

Ok sim suponho que podes ter algum mecanismo físico que retira a alimentação ao sistema de controlo. Não acredito que seja o que acontece na actualidade mas sim pode-se implementar.

O que estou a descrever, basicamente, é o que já se faz na aviação, em que os pilotos têm acesso a botões que activam circuitos de cut-off para desactivar a aviónica automática que também existe e basicamente consegue pilotar o avião sozinho.

Eu não estou a dizer que existe ou está correctamente implementado nas viaturas actuais autonomas ou com capacidades autonomas (francamente, não sei). E até na aviação eles podem ser mal implementados por decisão de design (e.g., 737 MAX). Estou antes a dizer que se pode fazer, não é nenhum problema fundamental de engenharia. O investimento que se faz em termos de design para prever (e prevenir) situações deste género também depende do risco envolvido (ou percebido). Ora, como disse atrás, os veículos de condução autónoma são tecnologia incipiente e só foi possível chegar aqui tão rapidamente pelos avanços incríveis em ML/DL nos últimos 10 anos ou quê. Mas é tecnologia que ainda está a amadurecer, os standards desta industria estão por estabelecer.

Estamos ainda a aprender como a utilizar...

[BearManBull]

No meu banco, até o tráfego de voz é cifrado, vê quanto tempo é necessário para decifrar uma chave AES- 256:

Lol deves ser o único gaijo no mundo que trabalha numa empresa que tem 100% em pen tests

Pede la o relatório do ultimo pen test e vais ver a quantidade de problemas que existem...

A questão de ser ou na hackeado esta relacionado com custo beneficio. E como actividade ilegal é algo que dá direito a prisão por isso é normal que não seja pratica do dia a dia. O que não quer dizer que seja impraticável. A Vodafone tenho a certeza que tem dos melhores resultados em pen tests do país e mesmo assim foi o que se viu.

Ser fácil não é, nem é isso que discuti, mas existem mecanismos que são muito mais simples do que andar a explorar vulnerabilidades técnicas.


Quanto ao teu modem, tens restrição de por MAC duh...

[BearManBull]

Não creio que estejas a ler com a atenção. Eu estou a dizer que é possível ter um carro com capacidades autónomas mas ser sempre possível desactivar essas capacidades. É apenas uma decisão de design.

Ok sim suponho que podes ter algum mecanismo físico que retira a alimentação ao sistema de controlo. Não acredito que seja o que acontece na actualidade mas sim pode-se implementar.

[mais_um]

Trabalho num banco, na área de TI, departamento de redes e faço gestão de projectos da minha area por isso sei do que estou a falar.... sei o que é possível fazer e o que não é. Um sistema bem desenhado não é possível hackear, mesmo com a password de sistema, basta não aceitar conexões fora da rede local, por exemplo.

Sim a firewall permite cortar determinados acessos mas podes sempre fazer de man in the middle. Se por acaso conseguires apanhar o certificado que origina o token e/ou encripta a mensagem, há sempre volta a dar ao assunto.

Ter um sistema realmente resiliente a ataques custa muito mais dinheiro do que qualquer instituição portuguesa pode pagar. Aposto que no teu banco ainda usam RSA que tem vulnerabilidades criticas...

Tenho quase a certeza que também deve ter coisas com log4j que é uma lib com vulnerabilidade critica.

Estas coisas tens de gastar um orçamento demasiado elevado para conseguir ter uma instituição grande a par de tudo que é problema de segurança e está muito longe do poder da grande maioria das grandes empresas.

Não fales do que não sabes.... se fosse assim tão simples como queres dar a entender não faltaria era ter bancos pirateados e outras grandes instituições. Os ataques que têm algum sucesso são aqueles que dependem da engenharia humana (roubo de credenciais) ou falha humana, como por exemplo não ter os sistemas actualizados com as ultimas versões. Não te vou explicar tecnologia nem arquitetura de redes, nem sistemas de segurança. Mas estás a escrever um monte de disparates.

Chegas a minha casa, até podes saber o ID da rede a password do wifi mas não te consegues ligar, explica-me porquê. E faço isso com um equipamento domestico, que custou 70 ou 80 €.

No meu banco, até o tráfego de voz é cifrado, vê quanto tempo é necessário para decifrar uma chave AES- 256:

https://scrambox.com/article/brute-force-aes/

Provavelmente estou a perder tempo, mas se tiveres interesse em alargar um pouco os teus conhecimentos:

https://www.techtarget.com/searchmobile ... Engine-ISE

Só tens razão numa coisa, custa dinheiro, muito ou pouco depende, em minha casa tenho um alarme, para os fins a que se destina serve, para a "casa da moeda "já não serve....

[MarcoAntonio]

Como é que fabricas um carro autónomo em que os SW não controla aceleração, travagem e direção?

Se estás a dizer que são módulos físicos internos desacoplados da rede é outra questão.

Não creio que estejas a ler com a atenção. Eu estou a dizer que é possível ter um carro com capacidades autónomas mas ser sempre possível desactivar essas capacidades. É apenas uma decisão de design.

Mesmo assim estarão sujeitos a algum tipo de hacking, por exemplo num update de firmware, em que alguém deixe uma instrução de acelerar continuamente quando passam N dias... Neste caso seria um ataque assíncrono.

Eu acabei de escrever que o software (firmware é software) não tem de controlar tudo. O firmware só controla o hardware que por design for possível controlar.

[BearManBull]

Como é que fabricas um carro autónomo em que os SW não controla aceleração, travagem e direção?

Se estás a dizer que são módulos físicos internos desacoplados da rede é outra questão.

Mesmo assim estarão sujeitos a algum tipo de hacking, por exemplo num update de firmware, em que alguém deixe uma instrução de acelerar continuamente quando passam N dias... Neste caso seria um ataque assíncrono.


É impossível garantir um sistema de informação/controlo 100% seguro, mas pode-se reduzir muito as probabilidades. Portanto eu não postularia a questão da segurança e de vulnerabilidades a hackings dos autónomos como sendo um travão ao desenvolvimento desta tech, É algo que se tem de mitigar mas o risco estará sempre presente.

[MarcoAntonio]

(o veículo pode ter capacidades autonomas mas ser sempre possível, mesmo assim, desactivar essas capacidades em caso de mal funcionamento ou ataque).

Como assim? Carregas no pedal? E se o pedal for hackeado...

O sistema AI tem controlo sobre a hidráulica, portanto em teoria podias hackear para impedir qualquer mecanismo de controlo manual.

A única forma seria desacoplar fisicamente a AI dos sistemas de rede.

É uma decisão de design. O que estou a dizer é que é sempre possível ter um veículo com capacidades autonomas mas, por design (terá de envolver componentes hardwired que não são controladas pelo software) desactivar essas capacidades. O software não controla nem tem de controlar literalmente tudo o que existe no veículo e/ou em toda e qualquer circunstância, é meramente uma decisão de design.

[BearManBull]

Trabalho num banco, na área de TI, departamento de redes e faço gestão de projectos da minha area por isso sei do que estou a falar.... sei o que é possível fazer e o que não é. Um sistema bem desenhado não é possível hackear, mesmo com a password de sistema, basta não aceitar conexões fora da rede local, por exemplo.

Sim a firewall permite cortar determinados acessos mas podes sempre fazer de man in the middle. Se por acaso conseguires apanhar o certificado que origina o token e/ou encripta a mensagem, há sempre volta a dar ao assunto.

Ter um sistema realmente resiliente a ataques custa muito mais dinheiro do que qualquer instituição portuguesa pode pagar. Aposto que no teu banco ainda usam RSA que tem vulnerabilidades criticas...

Tenho quase a certeza que também deve ter coisas com log4j que é uma lib com vulnerabilidade critica.

Estas coisas tens de gastar um orçamento demasiado elevado para conseguir ter uma instituição grande a par de tudo que é problema de segurança e está muito longe do poder da grande maioria das grandes empresas.

[BearManBull]

[não permitir alterações remotas para impedir que alguém remotamente controle o carro sem tua autorização.

Bem hackear um sistema é justamente saltar esse tipo de segurança... é literalmente a definição de hacking.

[BearManBull]

Posso dizer-te que se entrares no edifico do meu banco e ligares um PC a uma qualquer tomada de dados mesmo com as password de administrador não tens acesso à rede

Um ataque muito simples basta meter um destes dispositivos no local certo para arruinar uma empresa.
https://www.keelog.com/airdrive-keylogg ... and-flash/

Podes ter a melhor arquitetura do mundo com um dispositivo de 100 euros fazes a festa.