fundamentos de segurança
19 artigos com esta tag
Como limpar o histórico de navegação, os cookies e as senhas salvas (Chrome, Safari, Edge e Firefox no computador e no celular): o que apagar depois de um vazamento e o que guardar antes
Um guia para excluir o histórico de navegação, os cookies (dados de sites), o cache, as senhas salvas e o preenchimento automático no Chrome (Windows, Mac, Android, iPhone), no Safari (Mac, iPhone, iPad), no Edge e no Firefox, com os nomes usados na ajuda oficial de cada fabricante. Excluir o histórico de navegação não recupera nada que já tenha sido copiado e não é uma defesa contra uma ameaça. O que reduz danos futuros é cuidar do estado de login (cookies) e das senhas salvas: troque as senhas e saia de todas as sessões a partir de um dispositivo seguro. Se você for procurar a polícia, registre o e-mail de ameaça e as extensões suspeitas antes de apagar. Se a sincronização estiver ativada, a exclusão também remove os dados dos seus outros dispositivos na mesma conta. No caso do Onamae.com Desktop Cloud, de outubro de 2026, o sexto comunicado da GMO Internet pede aos clientes que mantenham a sincronização do navegador desativada até concluir a verificação dos dispositivos.
O que é o GDPR: as regras de proteção de dados da UE e o dever de notificar vazamentos
O GDPR (General Data Protection Regulation) é o conjunto de regras abrangente da UE para proteger os dados pessoais de pessoas na UE — e pode alcançar empresas fora da UE que atendem usuários da UE. Ele exige uma base legal (ex.: consentimento), finalidade clara, minimização de dados, direitos do titular (acesso/apagamento) e notificação de vazamento à autoridade (em geral em até 72 horas), com multas pesadas para violações graves. A essência técnica: coletar e guardar apenas os dados pessoais de que você precisa, protegê-los, e ser capaz de detectar e reportar um vazamento rapidamente.
O que é o OWASP Top 10: a lista padrão dos 10 maiores riscos de aplicações web
O OWASP Top 10 é uma lista que a organização sem fins lucrativos OWASP publica a cada poucos anos com os 'riscos mais críticos de aplicações web'. É uma linguagem comum entre desenvolvedores e operadores. A edição atual de 2025 (anunciada em novembro de 2025) continua liderada por Controle de Acesso Quebrado; Configuração Incorreta de Segurança subiu para o segundo lugar, e duas categorias novas entraram: Falhas na Cadeia de Suprimentos de Software e Tratamento Inadequado de Condições Excepcionais. O SSRF foi incorporado a Controle de Acesso Quebrado. Estas são CATEGORIAS de risco, não exploits individuais — use-as como uma lente para auditar o seu próprio app.
O que é criptografia de chave pública: cifrar e assinar com um par de chaves
A criptografia de chave pública usa uma 'chave pública' (segura para distribuir) e uma 'chave privada' (guardada só pelo dono). Qualquer coisa cifrada com a chave pública só pode ser decifrada pela chave privada correspondente, e uma assinatura feita com a chave privada pode ser verificada com a chave pública. Essa assimetria sustenta a troca de chaves do TLS (HTTPS), as assinaturas digitais e as passkeys. Defesas: não escreva sua própria criptografia (use protocolos padrão e bibliotecas comprovadas), proteja e seja capaz de revogar a chave privada, e mantenha o comprimento das chaves e os algoritmos atualizados.
Autenticação vs autorização: só um login não protege os dados de outros usuários
Autenticação = verificar quem é a pessoa; autorização = decidir o que ela pode fazer. São coisas diferentes, e adicionar um login não é autorização. Sem restringir os dados ao dono (user_id), 'logado = vê todos os dados' — o Broken Access Control, o número um do OWASP. Some a isso um scaffold com o registro deixado aberto e um estranho pode se cadastrar e entrar. Defesas: restrinja toda consulta ao dono, feche o registro desnecessário, defesa em profundidade, logs de auditoria/acesso antes do incidente, detecte novos cadastros.
Como as pessoas guardam senhas? O que os dados mostram — e o jeito seguro
Pesquisas representativas mostram que ~54% confiam na memória, ~33% anotam senhas no papel e só ~36% usam um gerenciador de senhas dedicado — com ~25% reutilizando senhas. Enquanto isso, o DBIR da Verizon constatou comprometimento de credenciais em ~38% das violações e que ~74% das senhas em dados de violação eram reutilizadas. Em resumo: os hábitos de armazenamento mais populares são os mais fáceis de explorar para os atacantes. O básico seguro é um gerenciador (senha única por site) mais passkeys/MFA nas suas contas mais importantes.
Segurança para a era da IA: os fundamentos para blindar agora (checklist por prioridade)
A IA em sua maior parte amplifica ataques sobre fraquezas EXISTENTES (CVEs sem correção, senhas reutilizadas, segredos expostos) em vez de inventar novas — encontradas de forma automática, rápida e em escala. Então a melhor preparação é blindar os fundamentos na ordem certa: correção de CVE + monitoramento de dependências, parar de reutilizar senhas + MFA, remover segredos expostos, menor privilégio, reduzir a superfície pública, logs/IOCs, backups.
Medidas de segurança na era da IA que funcionam e as que não funcionam: por que sites pequenos também são alvo
Quatro equívocos da era da IA corrigidos: (1) pequeno demais para ser alvo → ataques automatizados não precisam de um humano para escolher o alvo; (2) precisa de um novo controle especial → o básico ainda funciona melhor; (3) um produto te deixa seguro → design de prevenção antes da detecção; (4) código de IA é rápido então é seguro → ele pode vir com vulnerabilidades, então revise antes de publicar. O que funciona é o básico tedioso na ordem certa.
Fundamentos de backup: a regra 3-2-1 e um plano de recuperação que sobrevive a ransomware
'Tenho um backup' não basta — só um backup que você verificou ser restaurável é útil. O básico: a regra 3-2-1 (três cópias, dois tipos de mídia, uma fora do local). Para ransomware você também precisa de ao menos uma cópia 'offline ou imutável' — um backup sempre conectado é criptografado junto com o original. Sincronização na nuvem não é backup (ela replica exclusões e criptografia também). Versionamento e um teste de restauração periódico completam a prática.
Escolhendo MFA do jeito certo: o que significa 'resistente a phishing' e por que o SMS é fraco
MFA combina categorias diferentes de fatores. Códigos digitados podem ser retransmitidos por phishing; SMS também depende do controle do número. Para contas importantes, prefira métodos resistentes a phishing, como passkeys ou chaves FIDO2, e confira a verificação do usuário e a recuperação.
Ainda no Windows 10? Os riscos de segurança de usá-lo após o fim do suporte
O suporte regular do Windows 10 da família Home/Pro versão 22H2 terminou em 14 de outubro de 2025. A orientação oficial consultada em 16 de outubro de 2026 indica ESU para consumidores até 12 de outubro de 2027, com continuidade automática para quem já está inscrito. Confira a inscrição, as atualizações e as condições regionais, priorizando a migração para um SO atualizado. LTSC/IoT e ESU corporativo são programas separados.
Protegendo um laptop que você carrega — defesa contra roubo, perda e bisbilhotagem por cima do ombro
Carregar um laptop pressupõe que você vai perdê-lo ou ele vai ser roubado. A defesa principal é configurá-lo para que uma perda não vaze o conteúdo: criptografia de disco (BitLocker/FileVault), um login forte com um bloqueio automático curto e bloqueio/localização remotos. Com HTTPS em todo lugar, a interceptação em Wi-Fi público é de prioridade menor; as ameaças reais são pontos de acesso falsos, bisbilhotagem por cima do ombro e se afastar. Não confie demais numa VPN — endureça o dispositivo primeiro.
Gerenciadores de senhas são seguros? Como funcionam, nuvem vs. local e como escolher
Um gerenciador de senhas ajuda a usar uma senha forte e diferente para cada serviço. A criptografia de conhecimento zero foi projetada para proteger o conteúdo mesmo se dados criptografados vazarem do provedor, mas a segurança também depende da força da senha-mestra, das configurações de criptografia e da segurança do dispositivo. Use MFA para impedir logins não autorizados e escolha nuvem ou local conforme o uso.
Os perigos do Wi-Fi público: pontos de acesso falsos e avisos de certificado importam mais que o sniffing
O 'sniffing' em Wi-Fi público é em grande parte mitigado pelo HTTPS e hoje é de baixa prioridade. Os riscos reais são (1) você mesmo se conectar a um ponto de acesso falso gêmeo maligno, (2) ignorar avisos de certificado e (3) expor seu dispositivo na rede compartilhada. As medidas mais eficazes são simples: use o tethering do celular, confie no HTTPS e nos avisos de certificado, e não entre automaticamente em SSIDs desconhecidos. Uma VPN é a camada seguinte.
A base de segurança para devs independentes e pequenos operadores: os controles padrão em ordem de prioridade
A base não é 'tudo igualmente importante'. A ordem de prioridade deste site: 1) contas de administrador, domínio e e-mail (MFA), 2) segredos e código, 3) o próprio app, 4) corrigir, detectar, recuperar. Com tempo finito, preencha de cima para baixo. A maioria das invasões sérias vem não de ataques inéditos, mas da falta de um destes controles básicos.
O mínimo de segurança de uma organização: seis prioridades deduzidas dos incidentes reais do Japão em 2026
O «mínimo» de uma organização deve ser definido por onde os incidentes reais romperam a defesa, não por uma lista de produtos. Colocando em fila os incidentes do Japão em 2026, as entradas diferem — um dispositivo VPN, software de terceiros, uma função de consulta, não divulgada —, mas as causas que ampliaram o dano se resumem a seis: (1) fechar dispositivos expostos à internet com prazo, (2) restringir contas de manutenção, terceirizados e ex-funcionários, (3) vigiar volume e horário, (4) manter logs o bastante para olhar para trás, (5) não guardar dados que não são mais necessários, (6) repriorizar pelo KEV. A visão deste site: o mínimo é decidir quem percebe, por qual número e quando.
Inventário de segurança: 7 verificações que quem roda vários servidores ignora
Para operadores solo/pequenos, incidentes vêm menos de controles ausentes do que de estado não rastreado. A fronteira é o PC que guarda suas chaves. Priorize o 2FA conforme qual conta pode recuperar as outras (o e-mail primeiro), liste qual chave SSH abre qual servidor e apague duplicatas, chaves sem uso e cadastros esquecidos, remova senhas em texto puro da nuvem, remedie de forma reversível uma de cada vez e mantenha segredos fora do registro. Inventarie antes de adicionar ferramentas.
Fundamentos de segurança no smartphone: protegendo o único dispositivo que guarda suas senhas, pagamentos e ID
Um celular concentra 2FA, e-mail, banco e ID em um só dispositivo, então perdê-lo afeta muitos serviços (um ponto único de falha). A proteção mais eficaz não é um app de segurança: (1) um bloqueio forte + bloqueio automático curto (o código é a chave de criptografia); (2) atualizações automáticas de SO/apps; (3) loja oficial + revisão de permissões; (4) configure bloqueio/apagamento remoto com antecedência; (5) mantenha um backup do seu 2FA. iOS/Android já criptografam e isolam por padrão.
Guardar suas senhas no Google Drive é seguro? Como mantê-las do jeito certo
Guardar senhas em um Documento/Planilha Google em texto puro é perigoso: uma conta Google vira o ponto único de falha para toda senha — sequestro de conta, um app conectado malicioso ou phishing vazam todas de uma vez. A opção mais segura é um gerenciador de senhas dedicado (o conteúdo fica criptografado mesmo quando sincronizado). Se você precisar usar o Drive, guarde só um arquivo de cofre criptografado e coloque MFA resistente a phishing na conta.