Utilizar o portátil e o telemóvel com segurança

Módulo 5: Dispositivos, software e rede · Tempo de leitura: 10 minutos

Objetivo de aprendizagem: Depois desta lição, saberá proteger portáteis e telemóveis contra perda, roubo e malware, e saberá o que fazer na primeira hora se um dispositivo desaparecer.
Conceitos-chave: bloqueio de ecrã, encriptação do disco, chave de recuperação, localizar e apagar dispositivo, proteção integrada, utilizador padrão, conta de administrador, permissões de aplicações, gestão remota (MDM)

O dispositivo é o molho de chaves

Num portátil ou telemóvel de um empresário não estão apenas ficheiros. Estão também sessões iniciadas de correio eletrónico, contabilidade e banco, palavras-passe guardadas, a aplicação de autenticação para a autenticação de dois fatores, dados de clientes na pasta de transferências e fotografias de passaportes que alguém "só por um momento" tinha enviado. Um dispositivo perdido ou roubado é, por isso, quase sempre mais do que um custo. Pode dar acesso a toda a sua empresa e pode constituir uma fuga de dados (lição 8.2).

Existem dois tipos de risco, com medidas diferentes:

Bloqueio de ecrã: a primeira porta

Sem bloqueio, qualquer pessoa que pegue no seu dispositivo pode continuar exatamente de onde ficou. Configure, por isso:

• um código PIN ou palavra-passe em cada dispositivo, com biometria (impressão digital ou rosto) como comodidade adicional. Um código PIN de seis dígitos ou mais é muito mais forte do que quatro; um padrão de deslize é muitas vezes visível pelas marcas de dedos no ecrã;
• bloqueio automático ao fim de alguns minutos sem utilização;
• o hábito de bloquear você mesmo ao afastar-se. No Windows é tecla Windows + L, num Mac é Control + Command + Q;
• limitar as notificações no ecrã de bloqueio. Um código de início de sessão por sms ou um excerto de um e-mail confidencial não precisa de ficar visível para quem vir o seu telemóvel em cima da mesa.

Encriptação do disco: o que um ladrão não consegue ler

Um bloqueio de ecrã impede um curioso, mas não um ladrão com tempo. Esse pode retirar o disco de um portátil e lê-lo noutro computador. Contra esse cenário ajuda a encriptação do disco: todos os dados no armazenamento são encriptados com uma chave que só fica disponível quando você inicia sessão. Sem essa chave, o disco é um conjunto de caracteres ilegíveis.

A encriptação é acompanhada de uma chave de recuperação: um código longo com o qual pode aceder aos dados se a sua palavra-passe deixar de funcionar ou após uma alteração significativa ao dispositivo. Guarde essa chave num local a que também consiga aceder se o próprio portátil desaparecer, por exemplo no seu gestor de palavras-passe ou na conta da sua organização. Uma chave de recuperação num papel dentro do saco do portátil é tão útil como a chave de casa debaixo do tapete.

Porque é que isto conta para o RGPD: se perder um dispositivo encriptado cuja chave esteja guardada em segurança, a probabilidade de utilização indevida dos dados é reduzida. Com um portátil não encriptado que contenha dados de clientes, a situação é diferente. Como avaliar isto, aprende na lição 8.2.

Perdeu-o? A primeira hora

Configure isto agora, para que funcione quando for preciso:

1. Ativar a localização e a limpeza remota. A Apple, a Google e a Microsoft têm cada uma uma função para mostrar um dispositivo no mapa, fazê-lo tocar, bloqueá-lo e apagá-lo. Só funciona se tiver sido ativada previamente.
2. Saiba onde inicia sessão para o fazer, e certifique-se de que consegue fazê-lo também sem o dispositivo perdido. Se a sua autenticação de dois fatores estiver apenas associada a esse telemóvel, vai precisar dos seus códigos de recuperação (lição 2.3).

Se o dispositivo desaparecer:

1. Bloqueie-o à distância e mostre uma mensagem com um número de telefone.
2. Revogue as sessões dos seus serviços mais importantes: correio eletrónico, armazenamento na cloud, contabilidade. No Nextcloud, por exemplo, pode revogar o acesso por dispositivo ou dar ordem ao dispositivo para apagar os dados desse serviço.
3. Altere as palavras-passe das contas que estavam abertas no dispositivo, a partir de outro dispositivo limpo.
4. Apague o dispositivo à distância se não o recuperar rapidamente.
5. Avalie e documente se havia dados pessoais no dispositivo, e apresente queixa à polícia em caso de roubo.

Malware: proteção integrada e direitos mínimos

Um portátil ou telemóvel moderno já tem muita proteção incorporada: o Windows tem o Microsoft Defender, o macOS tem verificações próprias de programas, e as lojas de aplicações da Apple e da Google verificam as aplicações antes de serem disponibilizadas. Um antivírus à parte pode oferecer funcionalidades adicionais, mas o mais importante é que a proteção integrada esteja ativa e seja atualizada.

Dois hábitos fazem uma grande diferença:

• Trabalhe diariamente como utilizador padrão, não como administrador. O malware que inicia acidentalmente obtém os mesmos direitos que você. Como utilizador padrão, pode fazer muito menos: não consegue instalar software, alterar definições do sistema nem desativar a proteção. Se precisar de direitos de administrador uma vez por outra, o sistema pede a palavra-passe de administrador. Esse momento de reflexão é precisamente o objetivo.
• Instale apenas a partir da loja de aplicações oficial ou do site do criador. No Android, isto significa manter desativada a opção "instalar de origens desconhecidas". Em casos de burla com pedidos de ajuda ou notificações bancárias falsas, os burlões gostam de enviar uma ligação para uma "aplicação" que na realidade assume o controlo do seu ecrã.

Permissões de aplicações: o que pode uma aplicação fazer?

Cada aplicação pede permissões: câmara, microfone, localização, contactos, ficheiros. Uma aplicação de lanterna que pede acesso aos seus contactos não tem uma boa razão para isso. Reveja as permissões nas definições do seu telemóvel uma vez por trimestre:

• conceda acesso à localização apenas "durante a utilização", nunca sempre;
• revogue o acesso a contactos e ficheiros em aplicações que não precisem disso. Os seus contactos são dados pessoais de terceiros;
• elimine aplicações que já não utiliza;
• preste atenção redobrada a aplicações que pedem permissões de acessibilidade ou partilha de ecrã. Com isso, uma aplicação consegue ver e clicar em tudo o que você vê.

Mais dispositivos? Gestão remota

Se trabalhar com várias pessoas, "cada um trata do seu" torna-se difícil de controlar. Com a gestão remota de dispositivos (Mobile Device Management, MDM), define centralmente que cada dispositivo está encriptado, tem bloqueio, recebe atualizações e pode ser apagado à distância. Existem soluções integradas nos grandes pacotes de escritório empresariais, serviços independentes e soluções de código aberto. Para telemóveis dos próprios colaboradores (bring your own device), muitas vezes só consegue gerir a parte profissional, de modo a não aceder às fotografias pessoais de alguém.

Mesmo sem MDM, pode definir acordos e rever estes uma vez por ano em conjunto. A lista de verificação no exercício ajuda nisso.

Na prática: é assim que se apresenta

No Nextcloud, tal como o WebOké o oferece, encontra em Definições, Segurança, uma lista Dispositivos e sessões. Aí vê cada navegador, aplicação e palavra-passe de aplicação com acesso. Através dos três pontos, revoga o acesso de um dispositivo, ou faz com que o dispositivo apague os dados do Nextcloud assim que voltar a ligar-se. Noutros serviços de cloud, isto chama-se muitas vezes "dispositivos", "sessões" ou "visão geral de segurança" e funciona de forma semelhante.

Resumo

• Um dispositivo é um molho de chaves: contém sessões, palavras-passe e a aplicação de 2FA.
• Bloqueie automaticamente, utilize um código PIN forte e limite as notificações no ecrã de bloqueio.
• Ative a encriptação do disco e guarde a chave de recuperação num local diferente do dispositivo.
• Ative previamente a localização e a limpeza remota; em caso de perda: bloquear, revogar sessões, alterar palavras-passe, apagar, avaliar.
• Trabalhe como utilizador padrão, instale apenas a partir de fontes oficiais e reveja as permissões das aplicações.

Questionário

Exercício

Exercício D5.2: Verificar o seu portátil e telemóvel. Verifique no seu próprio portátil e telemóvel o bloqueio, a encriptação do disco, a chave de recuperação, a localização e a limpeza remota, o tipo de conta e as permissões de aplicações. Assinale a lista de verificação e escreva o que faria se o seu telemóvel fosse roubado amanhã.

Para saber mais

Os passos nos artigos do WebOké aplicam-se ao ambiente do WebOké; noutros fornecedores, o funcionamento é semelhante.

• Manual do Nextcloud 3.6: Ver, revogar ou apagar remotamente dispositivos e sessões
• Manual do Nextcloud 3.10: Perdeu o telemóvel ou a 2FA: assim volta a entrar
• Manual do WebOké 3.6: Ver e terminar sessões ativas
• O centro nacional de cibersegurança, equipamento móvel: https://www.ncsc.nl/mobiele-apparatuur
• Microsoft, Encriptação de dispositivo no Windows: https://support.microsoft.com/nl-nl/windows/apparaatversleuteling-in-windows-cf7e2b6f-3e70-4882-9532-18633605b7df
• Apple, códigos de acesso e proteção de dados (em inglês): https://support.apple.com/guide/security/passcodes-and-passwords-sec20230a10d/web