Recomendações de segurança para

smartphones
 ÍNDICE

1. INTRODUÇÃO ....................................................................................................................... 3

2. DISPOSITIVOS MÓVEIS: QUAIS OS RISCOS DE SEGURANÇA?................................................... 3

3. RECOMENDAÇÕES DE SEGURANÇA ....................................................................................... 4

3.1 GENERALIDADES ................................................................................................................... 4

3.2 CONTROLO DE ACESSOS .......................................................................................................... 5
3.3 SEGURANÇA DAS APLICAÇÕES ................................................................................................... 6
3.4 SEGURANÇA DOS DADOS E COMUNICAÇÕES ................................................................................. 7
3.5 SEGURANÇA DO SISTEMA OPERACIONAL...................................................................................... 8

4. COEXISTÊNCIA DE UTILIZAÇÃO PROFISSIONAL E PESSOAL DO MESMO DISPOSITIVO ............... 8

ANEXOS ....................................................................................................................................... 9

A – PERDA DE DISPOSITIVO .......................................................................................................... 9

B – APLICAÇÕES MALICIOSAS ....................................................................................................... 9

C – EXPLORAR FALHAS NO SISTEMA OPERATIVO OU NAS APLICAÇÕES .......................................... 9

D - FUNÇÕES OPERACIONAIS INTEGRADAS COM HARDWARE...................................................... 10

[2]
1. Introdução

A utilização de smartphones e tablets está cada vez mais generalizada no contexto

profissional. Nesse sentido, importa avaliar as características destes dispositivos para
compreender as suas vulnerabilidades.
Entre essas características, destacam-se:
• Vários sensores (GPS, altímetro, giroscópio, acelerómetro, microfone, câmara, etc.);
• Possibilidade de comunicação sem fios;
• Grande capacidade de armazenamento;
• Alta performance, que permite o uso de aplicações complexas;
• Câmaras fotográficas;
• Velocidade na troca de informação.
Estes dispositivos permitem, por exemplo, que o utilizador para além de ser contactado
por voz, possa ser contactado por via email, atraves de outras aplicações e possa
navegar na Internet. Para além das funcionalidades apresentadas, os dispositivos podem
também ser ligados às redes Wi-Fi das organizações para trabalhar em aplicações e/ou
documentos.
No entanto, a sua utilização pode ser problemática e expor riscos de segurança.
Este manual surge com o objetivo de aumentar a consciencialização sobre os principais
riscos de segurança associados à utilização de smartphones e apresentar algumas das
boas práticas a adotar para reduzir os riscos, de forma significativa.
Quando os sistemas de informação lidam com informação sensível, os dispositivos que
permitam o acesso a esses sistemas devem ser sempre verificados e ser alvo de
avaliações de segurança periódicas.

2. Dispositivos móveis: quais os riscos de segurança?

Os dados armazenados nos dispositivos móveis que são registados voluntariamente

(emails, calendário, contactos, fotos, documentos, SMS, etc.) ou involuntariamente
(cache do navegador, histórico, localização, etc.), podem ser sensíveis para a
organização a que pertencem. Este é também o caso dos códigos de segurança, das
passwords e dos certificados que podem ser usados de forma indireta para acesso a

[3]
elementos essenciais do sistema de informação da organização. Em particular, a
tendência dos utilizadores para o uso inadequado de passwords. Nomeadamente, o uso
da mesma password para o acesso a vários serviços e plataformas levanta preocupações
com o armazenamento dessas passwords. É também necessário avaliar o risco de
modificação, destruição ou divulgação dos dados da organização.
O risco de divulgação de informação armazenada em dispositivos móveis sempre foi
significativo mas, atualmente, o risco é ainda maior sendo proporcional às
características que os smartphones e tablets agora apresentam.
O contexto profissional deve ser tido em consideração aquando do uso de dispositivos
móveis com acesso a documentação profissional. Um hacker pode, por exemplo,
procurar atacar uma organização através de um sistema de informação utilizando como
porta de entrada um dispositivo móvel de um colaborador. Isto acontece devido ao
grande número de vulnerabilidades que os sistemas operativos móveis apresentam,
mas essencialmente pelos comportamentos pouco seguros dos utilizadores desses
dispositivos.

3. Recomendações de Segurança

Em seguida são apresentadas 21 boas práticas que deve ter em consideração para
garantir uma utilização mais segura dos dispositivos móveis, em ambiente
organizacional.
Importa ressalvar que é uma ilusão esperar atingir um nível de segurança elevado com
um smartphone ou com um tablet comum, independentemente dos cuidados que são
tidos na configuração dos mesmos. As boas práticas apresentadas neste documento
pretendem apenas proteger, o melhor possível, os dados armazenados nos dispositivos
móveis.
O acesso, a partir dos dispositivos móveis, a qualquer informação interna dos sistemas
da organização também devem ser protegidos.

3.1 Generalidades
As várias recomendações deste documento devem ser incluídas num perfil de utilizador
não-editável e a configuração deve ser aplicada usando soluções de gestão de

[4]
dispositivos móveis. Esses perfis de segurança devem ser criados a partir de um ponto
central para permitir mudanças rápidas e em grande escala. Naturalmente, não será
viável para todos os tipos de dispositivos no mercado e as soluções de gestão de “grupo”
devem ser bem avaliadas em função dos dispositivos em utilização.

1 Utilização de soluções de gestão de dispositivos móveis que implementem

perfis de segurança de forma rápida e a partir dem um ponto central.

Para além das medidas técnicas de segurança e das medidas organizacionais (ex. política
de utilização aceitável dos recursos, política de segurança, procedimentos operacionais,
etc.) é essencial garantir a segurança dos sistemas de informação.
Finalmente, a segurança deve ser tida em conta durante todo o ciclo de vida do
dispositivo:

• A escolha deve recair sobre um dispositivo intrinsecamente seguro;

• O sistema operativo do dispositivo deve ser protegido antes da entrega ao
utilizador;
• A manutenção das condições de segurança para o conjunto de dispositivos
(aplicação de patches de segurança, atualizações do sistema operacional e aplicações);
• Controlo dos dados e redefinição do dispositivo antes de qualquer formatação,
destruição ou entrega a outro utilizador.

3.2 Controlo de acessos

2 Definir uma password com um prazo de validade máximo de 3 meses.

3 Definir o bloqueio automático do dispositivo após 2 minutos sem

atividade.

4 Se o dispositivo tiver informação sensível, recomenda-se que seja

utilizada uma password muito forte em substituição dos métodos de

[5]
 desbloqueio padrão. Em todos os outros casos, a utilização de um PIN
com 5 carcarteres ou algarismos será suficiente.

É necessário avaliar, com base na tecnologia do dispositivo, a força dos mecanismos de

bloqueio que são oferecidos. O desbloqueio por símbolo (pontos a serem ligados) não
tem riqueza combinatória suficiente para atingir o nível de segurança recomendado.
Este tipo de solução deve ser evitada, dando preferência à utilização de soluções
biométricas.
5 Limitar o número de tentativas de desbloqueio. Configurar um tempo
de bloqueio mais curto e ao fim de 3 tentativas falhadas o dispositivo
deve ficar bloquado durante um determinado período de tempo.

6 Não deixar o aparelho sem vigilância. O acesso temporário a um

dispositivo móvel pode ser o suficiente para comprometer o sistema sem
que o utilizador se aperceba.

7 Não conectar o dispositivo aos postos de trabalho sem controlo de

segurança ou a qualquer dispositivo que não seja confiável.

3.3 Segurança das aplicações

8 Proibir a instalação de aplicações que não estejam explicitamente
autorizadas pela organização. Esta recomendação aplica-se também às
aplicações pré-instaladas.

9 As aplicações instaladas devem ser objeto de uma avaliação prévia e

devem ter autorização de instalação. Essa análise inclui a avaliação do
nível de segurança de aplicações com base em informação pública (ex.
permissões relevantes, reputação, vulnerabilidades publicadas,
avaliações de segurança, etc.) e, se possível, ser objeto de auditoria. Esta

[6]
 recomendação é, mais uma vez, para as aplicações pré-instaladas que
devem ser desinstaladas caso se verifique necessário.

10 As aplicações implementadas devem ter as permissões necessárias

apenas para as funções a que se destinam, seja o acesso aos dados ou à
Internet, mas também o acesso ao controlo dos vários sensores. As
permissões concedidas devem ser verificadas com uma periodicidade
mensal, tanto a nível de instalação como de configuração.

11 As aplicações de acesso ao serviço de geolocalização devem ser

bloqueadas sempre que as funções do utilizador não estejam
relacionadas com a posição geográfica. Se esta opção não estiver
disponível para o dispositivo em consideração, deve desligar o serviço de
localização quando não é utilizado.

12 As aplicações instaladas devem ter perfis de segurança adequados,

distribuídos no âmbito das políticas de segurança implementadas pela
organização.

13 As aplicações instaladas devem ser atualizadas regularmente e logo que

os patches de segurança sejam disponibilizados.

3.4 Segurança dos dados e comunicações

14 As ligações sem fios (Bluetooth e Wi-Fi) e sem contacto (ex. NFC) têm de
ser desativadas quando não estiverem a ser utilizadas.

15 Desativar a conexão automática a pontos de acesso Wi-Fi configurados

no dispositivo, de modo a manter o controlo sobre a ativação da ligação
sem fios.

[7]
 16 Evitar a ligação a redes sem fios desconhecidas.

17 O armazenamento removível e armazenamento interno deve ser cifrado

através de uma solução de criptografia forte.

18 Qualquer troca de informação sensível deve ser feita através de um canal

encriptado para garantir a confidencialidade e a integridade dos dados
entre um ponto e o outro ponto.

A utilização de soluções VPN, de preferência dedicadas e qualificadas, pela organização

podem ser necessárias para superar a criptografia nativa em falta.

3.5 Segurança do sistema operacional

19 O sistema operativo deve ser atualizado de forma regular e automática
para incorporar os patches de segurança mais recentes. Qualquer
dispositivo que não permita mais mudanças de suporte no sistema
operativo deve ser substituído.

4. Coexistência de utilização profissional e pessoal do mesmo dispositivo

De acordo com as recomendações até aqui apresentadas, a coexistência de utilização

profissional e pessoal do mesmo dispositivo deve ser cuidadosamente avaliada. De
acordo com os requisitos deste documento, a política de BYOD1 deve ser tida em
especial consideração quando são utilizados dispositivos pessoais dentro da
organização.
Se o uso de um único smartphone para ambos os contextos não pode ser evitado,
dependendo da sensibilidade dos dados corporativos que são processados pelo
dispositivo, é necessária a implementação de soluções dedicadas para compartimentar
cada ambiente (pessoal e profissional).

1
BYOD = Bring Your Own Device

[8]
Anexos

A – Perda de dispositivo

A perda de dispositivos móveis é comum. Assim sendo, o atacante pode aceder

rapidamente aos dados confidenciais armazenados nos dispositivos apenas por desleixo
do utilizador. Uma solução de criptografia de dados robusta pode reduzir
significativamente o risco de perda de informações, como uma barreira adicional que
contribui para a defesa em profundidade do dispositivo.

B – Aplicações maliciosas

Uma aplicação que tem permissão para aceder ao cartão de armazenamento de dados
e à Internet móvel poderia, por exemplo, copiar todos os dados para um servidor de
indivíduos maliciosos. Grande parte das aplicações atualmente disponíveis em lojas de
aplicações online executam operações que fogem da sua função principal, sem o
conhecimento dos utilizadores. Estas aplicações são na sua grande maioria gratuitas e
oferecem serviços muito atrativos.
Sabendo-se que é difícil perceber que determinada aplicação pode ser maliciosa (ex.
Trojan) e, sem posterior análise, deve ser considerada como tal. Por conseguinte, é
essencial controlar rigorosamente as aplicações que se instalam nos dispositivos. Os
atacantes observam o mercado das aplicações e tentam obter a aplicação mais popular,
depois adicionam-lhe uma carga maliciosa e distribuem-na noutro mercado.

C – Explorar falhas no sistema operativo ou nas aplicações

Os sistemas operacionais dos dispositivos móveis têm vulnerabilidades. As

vulnerabilidades permitem, por vezes, o acesso às camadas inferiores do sistema e
podem ser utilizadas, por exemplo, para adicionar backdoors ou interceção de códigos
de portas. Estas são muitas vezes exploradas pelas aplicações ou diretamente através
dos interfaces dos dispositivos (ex. USB, placa Wi-Fi, Bluetooth, etc.). Um atacante pode
conseguir o controlo total sobre um dispositivo e intercetar todos os dados, de forma
discreta, e/ou ativar equipamentos (ex. câmara e microfone).

[9]
Note-se que os dispositivos desbloqueados ou routers expõem o utilizador,
especialmente se o seu sistema for de baixa qualidade e muitas vezes dificultam a
implementação de patches de segurança. O processo "jailbreak" é geralmente baseado
na exploração de uma falha que permite executar um código privilegiado que pode
mesmo desativar proteções impostas pelo fabricante (ex. verificação de integridade de
atualizações de software). Da mesma forma, os sistemas alternativos disponíveis para
alguns dispositivos não são recomendados devido à sua qualidade altamente variável e
difícil de avaliar.
Por outro lado, as aplicações legítimas e confiáveis também podem ser vulneráveis.
Deve-se implementar perfis de configurações de segurança adaptados que não podem
ser editados pelo utilizador.

D - Funções operacionais integradas com hardware

As diferentes componentes de um dispositivo móvel incluem funções de baixo nível e

um atacante pode usar a sua vantagem para assumir o controlo do dispositivo. Este
risco, embora baixo, é de o ter em mente em contextos mais sensíveis de uso.

O presente conteúdo é propriedade do Centro Nacional de Cibersegurança estando protegido

nos termos da legislação de propriedade intelectual aplicável. O utilizador pode copiar, importar
ou usar gratuitamente parte ou a totalidade da informação, para uso pessoal ou público, desde
que não tenha finalidades lucrativas ou ofensivas e seja referida a fonte de informação.

[10]