Telefónica Tech Boletim semanal de Cibersegurança 29 Abril – 5 Maio Vulnerabilidade crítica nos firewalls Zyxel O fabricante de equipamentos de rede Zyxel lançou patches de segurança para uma vulnerabilidade crítica que afeta seus firewalls. A vulnerabilidade, que foi descoberta e relatada...
Telefónica Tech Boletim semanal de Cibersegurança 15 – 21 Abril Google corrige duas novas vulnerabilidades de 0-day exploradas ativamente O Google emitiu novos avisos de segurança sobre a identificação de vulnerabilidades de 0-day que afeta o navegador Chrome que está...
Biometria: como funciona o reconhecimento facial e quais são suas aplicações?ElevenPaths 14 mayo, 2019 A biometria é a tecnologia que compara padrões físicos das pessoas e permite diferenciar um indivíduo do outro, estabelecendo seu perfil com informações pessoais de idade, sexo e estado emocional. Para realizar um teste biométrico precisamos partir de um modelo de identificação, com motores treinados com dados classificados. Esse treinamento consiste em adicionar dados catalogados com informações que adicionam valor aos mesmos, por exemplo uma foto armazenada pode ter informação de idade, gênero, se a pessoa está doente ou sadia, localização etc. Geralmente, se captura múltiplas fotos para se confirmar essas informações. Quando concluímos o treinamento dos motores de identificação, podemos estabelecer processos de comparação com dados novos, ou seja, uma nova imagem. O resultado dessa comparação será obtido com o grau de semelhança ou diferença entre este novo registro e o modelo original, a partir do qual podemos extrair conclusões relacionadas. Estes modelos são definidos seguindo regras de inteligência artificial que nos permitem desempenhar certas operações: Perfilar: pode-se obter características como sexo, idade, estamos emocional etc. Com um modelo básico treinado, os dados novos podem ser comparados automaticamente.Verificação: comprovar a identidade real do indivíduo. Com um modelo que está treinado para comparar e avaliar as similaridades entre o dado novo e aquele gravado.Identificação: comprovar se a imagem identifica um membro de um grupo pré-definido. O modelo avaliará todos os elementos do grupo, tentando encontrar semelhanças entre eles e o indivíduo registrado. Para definir um perfil, é necessário um banco de dados com características comuns entre grupos e indivíduos. Para a verificação e identificação, o treinamento deve ser feito com base na foto do próprio indivíduo, que serão comparadas no futuro: O processo varia um pouco: O que é o #10YearChallenge?Foi um desafio que viralizou na internet nos últimos meses e que, apesar de parecer inocente, tinha como objetivo final conseguir uma quantidade enorme de dados categorizados que puderam ser usados para treinar motores de reconhecimento facial das gigantes de tecnologia facebook, Google, Amazon e Microsoft. Essas empresas têm, com certeza, a maior quantidade de dados pessoais etiquetados para treinar seus motores de reconhecimento, o desafio permitiu fortalecer os negócios dessas empresas com base na melhoria da identificação dos seus usuários para uso próprio ou venda a terceiros. Como dissemos antes, os modelos de reconhecimento ficam cada vez mais precisos à medida em que são treinados com novos dados categorizados. Além disso, as empresas podem criar ferramentas para projetar os modelos futuros de rostos de seus usuários. O processo tem consequências sérias:Segurança Sistemas que não contem com ferramentas de detecção de spoofing (imitação ou suplantação) podem, com essa foto, serem enganados para permitir acesso de terceiros às contas dos usuários.Usando as características físicas ou de envelhecimento de uma pessoa, se pode inferir como seriam seus parentes, ou seja, identificar filhos, bastando um estudo rápido de rotina para descobrir onde e em que horário eles estarão. Privacidade A publicidade dirigida é outra consequência clara do desafio. Por exemplo, se nesses 10 anos o usuário tiver sofrido mudanças físicas, engordou ou emagreceu, sofreu algum acidente ou doença que alterou seu aspecto físico, isso pode ser usado em publicidade, como clínicas de estética e indústria farmacêuticaAlgo mais relacionado com os últimos escândalos do facebook, o desafio #10YearsChallenge poderia ser usado para formar padrões comuns ao longo do tempo entre grupos com similaridades em relação a religião, tendência política, dentre outras, para direcionar campanhas de propaganda ou publicidade. Por exemplo, se você vota em um determinado candidato, por estar usando uma camiseta de campanha, poderia ser influenciado por propaganda do candidato opositorSe poderia analisar mudanças comuns em segmentos de população associados a movimentos sociais, políticos e religiosos, estabelecendo critérios e análises comuns para aplicar ações controladas sobre esses segmentos. Além disso a quantidade de dados recebida no desafio poderia ser utilizada para criar projeções para se avaliar como, passados mais 10 anos, o usuário envelheceria. Por exemplo, o facebook deve ter milhões de fotos com marcação de data dos seus usuários, o que permite analisar como esse usuário envelheceu em determinado período, se o envelhecimento acelerou ou não. A partir do treinamento de modelos, pode-se criar imagens falsas de pessoas reais que não poderão ser diferenciadas. Além disso podemos ser alvo publicidade dirigida de acordo com demanda futura, ou seja, em função de certos aspectos de nosso envelhecimento poderíamos ser impactados com publicidades para resolver problemas que nem sabemos que temos, vivendo em um déjà-vu constante. ConclusãoDepois dos últimos escândalos de uso indevido de dados pessoas, deveríamos ser mais conscientes sobre o valor das informações que subimos para a internet, saber o tamanho de vulnerabilidade que isso pode criar para nós mesmos e se as empresas fazem uso ético desses dados.Temos que levar em conta que essa engenharia de dados pode ser a alavanca para determinados setores lucrarem pesado com modelos antiquados e pouco éticos de negócios. A falta de consciência nos faz delegar a responsabilidade do uso de nossos dados, o que dá poderes que não imaginamos para as empresas, que decidirão se vão utilizar essas informações de maneira correta, lícita e ética. Por isso precisamos de uma postura crítica, entender o papel das empresas e limites na utilização de nossos dados.Temos que fazer isso agora, porque a digitalização do mundo será cada vez maior, assim como o uso dos nossos dados. Inteligência de ameaças: uma área necessária para toda empresa de segurançaNão confunda a frequência de um incidente com a facilidade com a qual você se lembra dele
Telefónica Tech Boletim semanal de Cibersegurança 11 – 17 Fevereiro Apple corrige 0-day explorado ativamente A Apple emitiu vários avisos de segurança para corrigir uma vulnerabilidade de 0-day explorada ativamente. A falha de segurança, listada como CVE-2023-23529, é uma confusão...
Telefónica Tech Boletim semanal de Cibersegurança 4 – 10 Fevereiro Vulnerabilidade crítica no Atlassian Jira A Atlassian emitiu um comunicado de segurança no qual lança correções para resolver uma vulnerabilidade crítica no Jira Service Management Server e no Data Center. De...
Telefónica Tech Boletim semanal de Cibersegurança 27 Janeiro – 3 Fevereiro LockBit Green: nova variante LockBit Pesquisadores da vx-underground detectaram recentemente que uma nova variante de ransomware, chamada LockBit Green, está sendo usada pelos manipuladores de ransomware LockBit. Esta nova variante seria...
Telefónica Tech Boletim semanal de Cibersegurança 21 – 27 Janeiro Killnet visando vítimas na Espanha Esta semana, o grupo hacktivista Killnet anunciou uma campanha de ataques contra a Alemanha, levando a ataques de Negação de Serviço Distribuído (DDoS) que tornaram...
Telefónica Tech Boletim semanal de Cibersegurança 14 – 20 Janeiro Vulnerabilidades críticas nos roteadores Netcomm e TP-Link Várias vulnerabilidades foram descobertas nos roteadores Netcomm e TP-Link. Por um lado, as falhas, identificadas como CVE-2022-4873 e CVE-2022-4874, são um caso de estouro de...
Telefónica Tech Boletim semanal de Cibersegurança 31 Dezembro – 6 Janeiro Cadeia de dependência do PyTorch é violada O PyTorch, uma popular estrutura de aprendizado de máquina de código aberto, alertou os usuários que instalaram o PyTorch todas as noites entre...