Autor: Abner | Publicado: 2013-06-27T08:55:00-03:00



Uso seguro da Internet


A Internet traz inúmeras possibilidades de uso, porém para aproveitar cada uma delas de forma segura é importante que alguns cuidados sejam tomados. Além disto, como grande parte das ações realizadas na Internet ocorrem por intermédio de navegadores&nbsp;Web&nbsp;é igualmente importante que você saiba reconhecer os tipos de conexões existentes e verificar a confiabilidade dos certificados digitais antes de aceitá-los (detalhes sobre como fazer isto são apresentados na Seção&nbsp;10.1).

Alguns dos principais usos e cuidados que você deve ter ao utilizar a Internet são:

Ao usar navegadores&nbsp;Web:

mantenha-o atualizado, com a versão mais recente e com todas as atualizações aplicadas;
configure-o para verificar automaticamente atualizações, tanto dele próprio como de complementos que estejam instalados;
permita a execução de programas&nbsp;Java&nbsp;e&nbsp;JavaScript, porém assegure-se de utilizar complementos, como o NoScript (disponível para alguns navegadores), para liberar gradualmente a execução, conforme necessário, e apenas em&nbsp;sites&nbsp;confiáveis (mais detalhes na Seção&nbsp;6.2&nbsp;do Capítulo&nbsp;Outros riscos);
permita que programas&nbsp;ActiveX&nbsp;sejam executados apenas quando vierem de&nbsp;sites&nbsp;conhecidos e confiáveis (mais detalhes também na Seção&nbsp;6.2, do CapítuloOutros riscos);
seja cuidadoso ao usar&nbsp;cookies&nbsp;caso deseje ter mais privacidade (mais detalhes na Seção&nbsp;6.1&nbsp;do Capítulo&nbsp;Outros riscos);
caso opte por permitir que o navegador grave as suas senhas, tenha certeza de cadastrar uma chave mestra e de jamais esquecê-la (mais detalhes na Seção8.4, do Capítulo&nbsp;Contas e senhas);
mantenha seu computador seguro (mais detalhes no Capítulo&nbsp;Segurança de computadores).


Ao usar programas leitores de&nbsp;e-mails:

mantenha-o atualizado, com a versão mais recente e com as todas atualizações aplicadas;
configure-o para verificar automaticamente atualizações, tanto dele próprio como de complementos que estejam instalados;
não utilize-o como navegador&nbsp;Web&nbsp;(desligue o modo de visualização no formato HTML);
seja cuidadoso ao usar&nbsp;cookies&nbsp;caso deseje ter mais privacidade (mais detalhes na Seção&nbsp;6.1&nbsp;do Capítulo&nbsp;Outros riscos);
seja cuidadoso ao clicar em&nbsp;links&nbsp;presentes em&nbsp;e-mails&nbsp;(se você realmente quiser acessar a página do&nbsp;link, digite o endereço diretamente no seu navegadorWeb);
desconfie de arquivos anexados à mensagem mesmo que tenham sido enviados por pessoas ou instituições conhecidas (o endereço do remetente pode ter sido falsificado e o arquivo anexo pode estar infectado);
antes de abrir um arquivo anexado à mensagem tenha certeza de que ele não apresenta riscos, verificando-o com ferramentas&nbsp;antimalware;
verifique se seu sistema operacional está configurado para mostrar a extensão dos arquivos anexados;
desligue as opções que permitem abrir ou executar automaticamente arquivos ou programas anexados às mensagens;
desligue as opções de execução de&nbsp;JavaScript&nbsp;e de programas&nbsp;Java;
habilite, se possível, opções para marcar mensagens suspeitas de serem fraude;
use sempre criptografia para conexão entre seu leitor de&nbsp;e-mails&nbsp;e os servidores de&nbsp;e-mail&nbsp;do seu provedor;
mantenha seu computador seguro (mais detalhes no Capítulo&nbsp;Segurança de computadores).


Ao acessar&nbsp;Webmails:

seja cuidadoso ao acessar a página de seu&nbsp;Webmail&nbsp;para não ser vítima de&nbsp;phishing. Digite a URL diretamente no navegador e tenha cuidado ao clicar emlinks&nbsp;recebidos por meio de mensagens eletrônicas (mais detalhes na Seção&nbsp;2.3&nbsp;do Capítulo&nbsp;Golpes na Internet);
não utilize um&nbsp;site&nbsp;de busca para acessar seu&nbsp;Webmail&nbsp;(não há necessidade disto, já que URLs deste tipo são, geralmente, bastante conhecidas);
seja cuidadoso ao elaborar sua senha de acesso ao&nbsp;Webmail&nbsp;para evitar que ela seja descoberta por meio de ataques de força bruta (mais detalhes na Seção8.2&nbsp;do Capítulo&nbsp;Contas e senhas);
configure opções de recuperação de senha, como um endereço de&nbsp;e-mail&nbsp;alternativo, uma questão de segurança e um número de telefone celular (mais detalhes na Seção&nbsp;8.5&nbsp;do Capítulo&nbsp;Contas e senhas);
evite acessar seu&nbsp;Webmail&nbsp;em computadores de terceiros e, caso seja realmente necessário, ative o modo de navegação anônima (mais detalhes na Seção12.3&nbsp;do Capítulo&nbsp;Segurança de computadores);
certifique-se de utilizar conexões seguras sempre que acessar seu&nbsp;Webmail, especialmente ao usar redes Wi-Fi públicas. Se possível configure para que, por padrão, sempre seja utilizada conexão via "https" (mais detalhes na Seção&nbsp;10.1);
mantenha seu computador seguro (mais detalhes no Capítulo&nbsp;Segurança de computadores).


Ao efetuar transações bancárias e acessar&nbsp;sites&nbsp;de&nbsp;Internet Banking:

certifique-se da procedência do&nbsp;site&nbsp;e da utilização de conexões seguras ao realizar transações bancárias via&nbsp;Web&nbsp;(mais detalhes na Seção&nbsp;10.1);
somente acesse&nbsp;sites&nbsp;de instituições bancárias digitando o endereço diretamente no navegador&nbsp;Web, nunca clicando em um&nbsp;link&nbsp;existente em uma página ou em uma mensagem;
não utilize um&nbsp;site&nbsp;de busca para acessar o&nbsp;site&nbsp;do seu banco (não há necessidade disto, já que URLs deste tipo são, geralmente, bastante conhecidas);
ao acessar seu banco, forneça apenas uma posição do seu cartão de segurança (desconfie caso, em um mesmo acesso, seja solicitada mais de uma posição);
não forneça senhas ou dados pessoais a terceiros, especialmente por telefone;
desconsidere mensagens de instituições bancárias com as quais você não tenha relação, principalmente aquelas que solicitem dados pessoais ou a instalação de módulos de segurança;
sempre que ficar em dúvida, entre em contato com a central de relacionamento do seu banco ou diretamente com o seu gerente;
não realize transações bancárias por meio de computadores de terceiros ou redes Wi-Fi públicas;
verifique periodicamente o extrato da sua conta bancária e do seu cartão de crédito e, caso detecte algum lançamento suspeito, entre em contato imediatamente com o seu banco ou com a operadora do seu cartão;
antes de instalar um módulo de segurança, de qualquer&nbsp;Internet Banking, certifique-se de que o autor módulo é realmente a instituição em questão;
mantenha seu computador seguro (mais detalhes no Capítulo&nbsp;Segurança de computadores).


Ao efetuar transações comerciais e acessar&nbsp;sites&nbsp;de comércio eletrônico:

certifique-se da procedência do&nbsp;site&nbsp;e da utilização de conexões seguras ao realizar compras e pagamentos via&nbsp;Web&nbsp;(mais detalhes na Seção&nbsp;10.1);
somente acesse&nbsp;sites&nbsp;de comércio eletrônico digitando o endereço diretamente no navegador&nbsp;Web, nunca clicando em um&nbsp;link&nbsp;existente em uma página ou em uma mensagem;
não utilize um&nbsp;site&nbsp;de busca para acessar o&nbsp;site&nbsp;de comércio eletrônico que você costuma acessar (não há necessidade disto, já que URLs deste tipo são, geralmente, bastante conhecidas);
pesquise na Internet referências sobre o&nbsp;site&nbsp;antes de efetuar uma compra;
desconfie de preços muito abaixo dos praticados no mercado;
não realize compras ou pagamentos por meio de computadores de terceiros ou redes Wi-Fi públicas;
sempre que ficar em dúvida, entre em contato com a central de relacionamento da empresa onde está fazendo a compra;
verifique periodicamente o extrato da sua conta bancária e do seu cartão de crédito e, caso detecte algum lançamento suspeito, entre em contato imediatamente com o seu banco ou com a operadora do seu cartão de crédito;
ao efetuar o pagamento de uma compra, nunca forneça dados de cartão de crédito em&nbsp;sites&nbsp;sem conexão segura ou em&nbsp;e-mails&nbsp;não criptografados;
mantenha seu computador seguro (mais detalhes no Capítulo&nbsp;Segurança de computadores).


10.1. Segurança em conexões&nbsp;Web

Ao navegar na Internet, é muito provável que a grande maioria dos acessos que você realiza não envolva o tráfego de informações sigilosas, como quando você acessa&nbsp;sites&nbsp;de pesquisa ou de notícias. Esses acessos são geralmente realizados pelo protocolo HTTP, onde as informações trafegam em texto claro, ou seja, sem o uso de criptografia.

O protocolo HTTP, além de não oferecer criptografia, também não garante que os dados não possam ser interceptados, coletados, modificados ou retransmitidos e nem que você esteja se comunicando exatamente com o&nbsp;site&nbsp;desejado. Por estas características, ele não é indicado para transmissões que envolvem informações sigilosas, como senhas, números de cartão de crédito e dados bancários, e deve ser substituído pelo HTTPS, que oferece conexões seguras.

O protocolo HTTPS utiliza certificados digitais para assegurar a identidade, tanto do&nbsp;site&nbsp;de destino como a sua própria, caso você possua um. Também utiliza métodos criptográficos e outros protocolos, como o SSL (Secure&nbsp;Sockets&nbsp;Layer) e o TLS (Transport&nbsp;Layer&nbsp;Security), para assegurar a confidencialidade e a integridade das informações.

Sempre que um acesso envolver a transmissão de informações sigilosas, é importante certificar-se do uso de conexões seguras. Para isso, você deve saber como identificar o tipo de conexão sendo realizada pelo seu navegador&nbsp;Web&nbsp;e ficar atento aos alertas apresentados durante a navegação, para que possa, se necessário, tomar decisões apropriadas. Dicas para ajudá-lo nestas tarefas são apresentadas nas Seções&nbsp;10.1.1&nbsp;e&nbsp;10.1.2.

10.1.1 Tipos de conexão

Para facilitar a identificação do tipo de conexão em uso você pode buscar auxílio dos mecanismos gráficos disponíveis nos navegadores&nbsp;Web1&nbsp;mais usados atualmente. Estes mecanismos, apesar de poderem variar de acordo com o fabricante de cada navegador, do sistema operacional e da versão em uso, servem como um forte indício do tipo de conexão sendo usada e podem orientá-lo a tomar decisões corretas.

De maneira geral, você vai se deparar com os seguintes tipos de conexões:

Conexão padrão:&nbsp;é a usada na maioria dos acessos realizados. Não provê requisitos de segurança. Alguns indicadores deste tipo de conexão, ilustrados na Figura&nbsp;10.1, são:

o endereço do&nbsp;site&nbsp;começa com "http://";
em alguns navegadores, o tipo de protocolo usado (HTTP), por ser o padrão das conexões, pode ser omitido na barra de endereços;
um símbolo do&nbsp;site&nbsp;(logotipo) é apresentado próximo à barra de endereço e, ao passar o&nbsp;mouse&nbsp;sobre ele, não é possível obter detalhes sobre a identidade do&nbsp;site.





Figura 10.1: Conexão não segura em diversos navegadores.


Conexão segura:&nbsp;é a que deve ser utilizada quando dados sensíveis são transmitidos, geralmente usada para acesso a&nbsp;sites&nbsp;de&nbsp;Internet Banking&nbsp;e de comércio eletrônico. Provê autenticação, integridade e confidencialidade, como requisitos de segurança. Alguns indicadores deste tipo de conexão, ilustrados na Figura&nbsp;10.2, são:

o endereço do&nbsp;site&nbsp;começa com "https://";
o desenho de um "cadeado fechado" é mostrado na barra de endereço e, ao clicar sobre ele, detalhes sobre a conexão e sobre o certificado digital em uso são exibidos;
um recorte colorido (branco ou azul) com o nome do domínio do&nbsp;site&nbsp;é mostrado ao lado da barra de endereço (à esquerda ou à direita) e, ao passar omouse&nbsp;ou clicar sobre ele, são exibidos detalhes sobre conexão e certificado digital em uso2.





Figura 10.2: Conexão segura em diversos navegadores.


Conexão segura com EV SSL:&nbsp;provê os mesmos requisitos de segurança que a conexão segura anterior, porém com maior grau de confiabilidade quanto à identidade do&nbsp;site&nbsp;e de seu dono, pois utiliza certificados EV SSL (mais detalhes na Seção&nbsp;9.4&nbsp;do Capítulo&nbsp;Criptografia). Além de apresentar indicadores similares aos apresentados na conexão segura sem o uso de EV SSL, também introduz um indicador próprio, ilustrado na Figura&nbsp;10.3, que é:

a barra de endereço e/ou o recorte são apresentados na cor verde e no recorte é colocado o nome da instituição dona do&nbsp;site3.





Figura 10.3: Conexão segura usando EV SSL em diversos navegadores.



Outro nível de proteção de conexão usada na Internet envolve o uso de certificados autoassinados e/ou cuja cadeia de certificação não foi reconhecida. Este tipo de conexão não pode ser caracterizado como sendo totalmente seguro (e nem totalmente inseguro) pois, apesar de prover integridade e confidencialidade, não provê autenticação, já que não há garantias relativas ao certificado em uso.

Quando você acessa um&nbsp;site&nbsp;utilizando o protocolo HTTPS, mas seu navegador não reconhece a cadeia de certificação, ele emite avisos como os descritos na Seção10.1.2&nbsp;e ilustrados na Figura&nbsp;10.6. Caso você, apesar dos riscos, opte por aceitar o certificado, a simbologia mostrada pelo seu navegador será a ilustrada na Figura10.4. Alguns indicadores deste tipo de conexão são:

um cadeado com um "X" vermelho é apresentado na barra de endereço;
a identificação do protocolo "https" é apresentado em vermelho e riscado;
a barra de endereço muda de cor, ficando totalmente vermelha;
um indicativo de erro do certificado é apresentado na barra de endereço;
um recorte colorido com o nome do domínio do&nbsp;site&nbsp;ou da instituição (dona do certificado) é mostrado ao lado da barra de endereço e, ao passar o&nbsp;mousesobre ele, é informado que uma exceção foi adicionada.





Figura 10.4: Conexão HTTPS com cadeia de certificação não reconhecida.


Certos&nbsp;sites&nbsp;fazem uso combinado, na mesma página&nbsp;Web, de conexão segura e não segura. Neste caso, pode ser que o cadeado desapareça, que seja exibido um ícone modificado (por exemplo, um cadeado com triângulo amarelo), que o recorte contendo informações sobre o&nbsp;site&nbsp;deixe de ser exibido ou ainda haja mudança de cor na barra de endereço, como ilustrado na Figura&nbsp;10.5.




Figura 10.5: Uso combinado de conexão segura e não segura.


Mais detalhes sobre como reconhecer o tipo de conexão em uso podem ser obtidos em:


Chrome - Como funcionam os indicadores de segurança do&nbsp;website&nbsp;(em português)&nbsp;

http://support.google.com/chrome/bin/answer.py?hl=pt-BR&amp;answer=95617


Mozilla Firefox -&nbsp;How do I tell if my connection to a website is secure?&nbsp;(em inglês)&nbsp;

http://support.mozilla.org/en-US/kb/Site Identity Button


Internet Explorer - Dicas para fazer transações&nbsp;online&nbsp;seguras (em português)&nbsp;

http://windows.microsoft.com/pt-BR/windows7/Tips-for-making-secure-online-transaction-in-Internet-Explorer-9


Safari -&nbsp;Using encryption and secure connections&nbsp;(em inglês)&nbsp;

http://support.apple.com/kb/HT2573



10.1.2 Como verificar se um certificado digital é confiável

Para saber se um certificado é confiável, é necessário observar alguns requisitos, dentre eles:

se o certificado foi emitido por uma AC confiável (pertence a uma cadeia de confiança reconhecida);
se o certificado está dentro do prazo de validade;
se o certificado não foi revogado pela AC emissora;
se o dono do certificado confere com a entidade com a qual está se comunicando (por exemplo: o nome do&nbsp;site).


Quando você tenta acessar um&nbsp;site&nbsp;utilizando conexão segura, normalmente seu navegador já realiza todas estas verificações. Caso alguma delas falhe, o navegador emite alertas semelhantes aos mostrados na Figura&nbsp;10.6.




Figura 10.6: Alerta de certificado não confiável em diversos navegadores.


Em geral, alertas são emitidos em situações como:

o certificado está fora do prazo de validade;
o navegador não identificou a cadeia de certificação (dentre as possibilidades, o certificado pode pertencer a uma cadeia não reconhecida, ser autoassinado ou o navegador pode estar desatualizado e não conter certificados mais recentes de ACs);
o endereço do&nbsp;site&nbsp;não confere com o descrito no certificado;
o certificado foi revogado.


Ao receber os alertas do seu navegador você pode optar por:
Desistir da navegação:&nbsp;dependendo do navegador, ao selecionar esta opção você será redirecionado para uma página padrão ou a janela do navegador será fechada.Solicitar detalhes sobre o problema:&nbsp;ao selecionar esta opção, detalhes técnicos serão mostrados e você pode usá-los para compreender o motivo do alerta e decidir qual opção selecionar.Aceitar os riscos:&nbsp;caso você, mesmo ciente dos riscos, selecione esta opção, a página desejada será apresentada e, dependendo do navegador, você ainda terá a opção de visualizar o certificado antes de efetivamente aceitá-lo e de adicionar uma exceção (permanente ou temporária).

Caso você opte por aceitar os riscos e adicionar uma exceção, é importante que, antes de enviar qualquer dado confidencial, verifique o conteúdo do certificado e observe:

se o nome da instituição apresentado no certificado é realmente da instituição que você deseja acessar. Caso não seja, este é um forte indício de certificado falso;
se as identificações de dono do certificado e da AC emissora são iguais. Caso sejam, este é um forte indício de que se trata de um certificado autoassinado. Observe que instituições financeiras e de comércio eletrônico sérias dificilmente usam certificados deste tipo;
se o certificado encontra-se dentro do prazo de validade. Caso não esteja, provavelmente o certificado está expirado ou a data do seu computador não está corretamente configurada.


De qualquer modo, caso você receba um certificado desconhecido ao acessar um&nbsp;site&nbsp;e tenha alguma dúvida ou desconfiança, não envie qualquer informação para osite&nbsp;antes de entrar em contato com a instituição que o mantém para esclarecer o ocorrido.


[1]&nbsp;A simbologia usada pelos navegadores&nbsp;Web&nbsp;pode ser diferente quando apresentada em dispositivos móveis.&nbsp;voltar&nbsp;

[2]&nbsp;De maneira geral, as cores branco, azul e verde indicam que o&nbsp;site&nbsp;usa conexão segura. Ao passo que as cores amarelo e vermelho indicam que pode haver algum tipo de problema relacionado ao certificado em uso.&nbsp;voltar&nbsp;

[3]&nbsp;As cores azul e branco indicam que o&nbsp;site&nbsp;possui um certificado de validação de domínio (a entidade dona do&nbsp;site&nbsp;detém o direito de uso do nome de domínio) e a cor verde indica que o&nbsp;site&nbsp;possui um certificado de validação estendida (a entidade dona do&nbsp;site&nbsp;detém o direito de uso do nome de domínio em questão e encontra-se legalmente registrada).&nbsp;voltar&nbsp;