Categorias
Data Breach FinTech Fraude Meios de Pagamento Payments Serviços Financeiros Startups

A vulnerabilidade das CPU’s

Meltdow

por Pedro Milanez:

Recentemente, foi divulgado uma nova falha de segurança presente em processadores Intel, AMD e ARM.

A vulnerabilidade, permite que um software tenha acesso a áreas protegidas da memória do kernel – núcleo do sistema operacional – e do usuário expondo informações sensíveis.

Na quarta-feira, dia 3, os pesquisadores de segurança do Google divulgaram um estudo detalhado sobre essas falhas, descrevendo como Meltdown e Spectre. Elas estão vindo a público somente agora, mas foram descobertas e reportadas para a Intel, a AMD e a ARM em junho de 2017.

O Meltdown, a princípio só atinge processadores Intel e consiste em quebrar um mecanismo de segurança que previne aplicativos de acessarem a memória reservada ao kernel do sistema operacional.

Com áreas da memória do kernel – a ponte entre os software e o hardware da máquina – exposta, a falha é considerada grave. Em teoria, ela permite que um aplicativo comum (inclusive um malware ou até mesmo um código em JavaScript rodando no navegador) tenha acesso a senhas e outras informações restritas.

Meltdown in Action: Dumping memory https://www.youtube.com/watch?v=bReA1dvGJ6Y

A proporção piora uma vez que todos os processadores Intel desde 1995 (com exceção dos Intel Itanium e Intel Atom produzidos antes de 2013) são vulneráveis ao ataque, ou seja, desktops, laptops e servidores do dia a dia.

A correção para a falha já está sendo implementada por software em todos os sistemas operacionais do mercado. No entanto, como o patch consiste em isolar completamente os processos de usuários e a memória do kernel, é possível que haja redução no desempenho entre 5 e 30%. Em um contexto onde servidores trabalham constante com carga elevadas, qualquer perda de desempenho afetará em grande escala todas as indústrias.

Cloud providers como AWS, Azure e Google Cloud já estão aplicando os patches em seus sistemas e máquinas virtuais e impactos já podem ser sentidos. Um estudo feito com o banco de dados PostgreSQL demonstrou uma perda de performance significativa em processos de indexação de tabelas.

O Spectre é uma falha mais difícil de corrigir, porque, para ser totalmente resolvida, exigiria que os chips fossem reprojetados. No entanto, as empresas já trabalham para mitigar o problema por software.

O nome do Spectre está relacionado à causa do problema, que é a execução especulativa (speculative execution, em inglês). Para acelerar o desempenho dos softwares, os processadores modernos tentam adivinhar qual código será executado em seguida. Caso a previsão esteja errada, o resultado é simplesmente descartado; caso esteja certa, há uma economia de tempo.

No entanto, a tecnologia também pode induzir um processador a executar uma operação “adivinhada” que não seria executada em condições normais. Isso permite que um aplicativo vaze uma informação confidencial para outro aplicativo, quebrando vários mecanismos de segurança de softwares, como o sandbox do Chrome, que separa as abas de sites e o resto do sistema operacional, por exemplo.

Com informações: The New York Times, The Verge, ZDNet, Axios e Tecnoblog

Pedro Milanez é ex-CTO da Beblue (www.beblue.com.br), responsável por tecnologia e produto. Foi o primeiro funcionário do Nubank onde foi responsável pelo produto de mobile e pela operação do cartão de crédito. Formado em Sistemas de Informação pela PUC-Rio, abriu a primeira empresa do Rio de Janeiro de desenvolvimento para iOS e Android.

Categorias
Payments

Bitcoin – parte 3/3

capa Janus do escambo a inclusão

Material retirado do livro “Do Escambo à Inclusão Financeira” – A Evolução dos Meios de Pagamento, publicado em novembro de 2014.

A dança dos valores

Outro fato que incomoda os críticos é o valor de uma Bitcoin e a oscilação de preços. Muitos acreditam que ela seja resultado de especulação e que, tal como uma “bolha”, uma dia, possa estourar. O valor de BTC é baseado diretamente em dois itens: o uso do sistema de pagamento hoje – volume e a velocidade de pagamentos que funcionam através da contabilidade – e especulações sobre o uso futuro desse sistema de pagamento.

Esta é uma parte que vem confundindo muita gente. Não é porque a moeda Bitcoin tenha algum valor arbitrário que as pessoas estão negociando com ela. A verdade é que, como as pessoas podem negociar com BTC, em qualquer lugar, sem fraude e sem custo (ou com custos muito baixos), como resultado ela tem valor…

Para compreender melhor como isso funciona, imagine que você é dono de uma loja virtual e, ao vender seus produtos obtém uma margem de 10%. Entretanto, para aceitar pagamentos através de um cartão de crédito, por exemplo, você tem que pagar, digamos, 2,5% de taxa de desconto para uma Credenciadora. Isto representa 25% da sua margem, certo? Agora você tem a oportunidade de fazer a mesma venda aceitado Bitcoins como meio de pagamento. Você não precisa (e não deve) manter BTCs na sua carteira, você os vende imediatamente, trocando pela moeda que quiser. O resultado é uma receita idêntica ao exemplo anterior, mas com uma taxa de desconto próxima de zero (ou simplesmente sem taxa nenhuma).

Além de tudo, Bitcoin é extremamente atraente para os comerciantes, pois elimina o risco de fraude com cartões de crédito que, como já vimos, continua motivando criminosos a colocar cada vez mais recursos a fim de roubar informações pessoais e os dados dos cartões.

Assim, o valor da BTC não tem importância alguma, nem tampouco sua volatilidade. Consumidores e comerciantes podem utilizar Bitcoin como um sistema de pagamento sem a necessidade de mantê-lo como moeda (entesouramento) ou deixá-lo exposto à oscilação do preço. BTC em si é apenas uma ponte conceitual para levar as pessoas a negociar dentro do sistema de contabilidade Bitcoin, que se valoriza em proporção direta com o número de transações que estão acontecendo dentro dele, o que em si é uma consequência direta do número de pessoas na contabilidade .

As propriedades antifraude do Bitcoin se estendem também para o mundo físico de lojas e compradores. Por exemplo, enquanto este texto estava sendo escrito, a rede de lojas norte-americana Home Depot tornava público que 56 milhões de cartões de débito e cartões de crédito podem ter sido violados em um dos maiores roubos de dados da história. Com BTC isso não teria sido possível. Aqui está como isso funciona:

Você enche seu carrinho de compras e vai até o caixa como normalmente faz hoje. Mas, em vez de entregar o seu cartão de crédito para pagar, você pega seu smartphone e tira uma foto de um código QR exibido pela caixa registradora. O código QR contém todas as informações necessárias para que você possa enviar Bitcoin ao lojista, incluindo a quantidade. Você clica em “Confirmar” no seu telefone e a transação é feita (incluindo a conversão de Reais de sua conta para BTC, caso você não tenha uma reserva de Bitcoins).

O lojista está feliz porque tem o dinheiro na forma de Bitcoin, que ele pode transformar imediatamente em Reais, se quiser, pagando taxas muito baixas (ou nenhuma) no processamento desta transação de pagamentos. Você está feliz, porque não há nenhuma maneira de que hackers possam roubar quaisquer de suas informações pessoais. O único infeliz é o crime organizado. Bem, talvez os criminosos ainda estejam felizes: eles podem tentar roubar dinheiro diretamente de sistemas computadorizados de lojistas menos cuidadosos, mas mesmo se tiverem sucesso, os consumidores não têm qualquer risco de perda, fraude ou roubo de identidade.

Como moeda, e analisando sob os critérios de escassez, divisibilidade, flexibilidade, transportabilidade e segurança, BTC é superior a qualquer outro sistema de dinheiro já inventado, e seu valor vem de internalizar essas superioridades.

A economista e professora de economia da tecnologia da escola de administração da Universidade de Stanford, Susan Athey, em fevereiro de 2010, no blog BTC 101 faz a seguinte análise, sobre a volatilidade de preços do Bitcoin:

“Como moeda, Bitcoin não deve ser suscetível a uma espiral deflacionária. Em primeiro lugar, ‘vagas’ no livro-razão só podem aumentar de preço (apreciar) até o limite do custo de transação em outra moeda, ou não valerá a pena pagar mais caro para ter acesso a um meio de transação de menor atrito. Em segundo lugar, o entesouramento diminui a velocidade de transação que, como mostrado, resulta na valorização do preço. Deve haver um ciclo em forma de looping aqui: valorização esperada leva a acumulação, entesouramento leva a uma menor velocidade, menor velocidade leva a expectativas reduzidas sobre valorização, expectativas mais baixas reduzem o entesouramento. Muito parecido com um termostato em equilíbrio nem muito quente, nem muito frio. Em terceiro lugar, mesmo que haja algum efeito de entesouramento, a riqueza aumenta através da apreciação da moeda (Bitcoin), mas o risco de perda aumenta também. BTCs poderão se tornar muito atraentes, não somente para o comércio de mercadorias, mas para diversificar, proteger a riqueza criada, ou simplesmente encontrar uma melhor reserva de valor, tais como ações, títulos ou imóveis. O alto preço das ações de uma empresa não necessariamente leva a um colapso em liquidez desse ativo. Há uma distribuição normal de tolerância ao risco que levará a realização de lucros e injeção de Bitcoins de volta ao mercado (…)”

Quanto aos riscos, como um sistema técnico, Bitcoin tem demonstrado notável capacidade de resiliência. Os ataques a BTC não atingiram o núcleo de sua arquitetura técnica, mas nos terceiros intermediários, como o Mt. Gox exchange.

Mas, como vimos no capítulo sobre regulamentação, sempre haverá o risco de intervenção governamental. O controle da oferta de moeda é um dos principais papéis dos governos. Eles utilizam a política monetária como uma ferramenta para obter resultados econômicos reais, que têm um impacto direto sobre a capacidade de sua manutenção do poder.

Mesmo que Bitcoin não se torne a moeda digital do mundo, substituindo a moeda física, o conceito de um sistema de contabilidade pública de pós-moeda ganhou raízes. No mundo todo, milhares de programadores estão utilizando a tecnologia do BTC para criar um infinidade de produtos e serviços cuja a ideia era impossível de ser concebida antes. A lista de possibilidades de uso do Bitcoin para melhorar o mundo já é imensa, mas vale a pena mencionar algumas:

Remessas Internacionais – Todos os dias centenas de milhões de pessoas de baixa-renda trabalham duramente em outros países para alimentar suas famílias em seu país de origem. De acordo com o Banco Mundial, cerca de US$400 bilhões por ano são remetidos e, desse montante, bancos e empresas extraem receitas que chegam até 10%, ou até mais, do valor remetido;

Inclusão financeira – Bitcoin, como um sistema de pagamento global, capaz de ser utilizado por qualquer um a qualquer tempo, pode se tornar um poderoso catalisador para tornar os benefícios da economia moderna acessíveis a qualquer ser humano em qualquer lugar do planeta;

Micro pagamentos – Apesar de todo avanço do sistema financeiro e de mais de 20 anos de tentativas, pagamentos de pequena monta, ou minúsculos, são economicamente inviáveis. Bitcoins têm a propriedade de divisibilidade infinita. Atualmente, de até oito casas decimais após a virgula, mas será maior no futuro. Assim, você pode especificar um pequena quantidade de dinheiro, como um milésimo de centavo, e enviá-lo para qualquer pessoa no mundo de graça ou quase isso.

Pense sobre monetização de conteúdo, por exemplo, nas empresas de mídia. Com o Bitcoin, há uma maneira economicamente viável para cobrar pequenas quantias de dinheiro por artigo, ou por seção, ou por hora, ou por reprodução de vídeo, ou por acesso de arquivo, etc.

Combate ao Span – Sistemas de e-mail e redes sociais poderiam recusar-se a aceitar as mensagens de entrada, a menos que sejam acompanhados com pequenas quantidades de Bitcoin – pequenas o suficiente para não importar para o remetente, mas grandes o suficiente para, economicamente, dissuadir os que enviam bilhões de mensagens de spam.

Bem, com certeza que você já imaginou o que pode acontecer com os Bancos, Bandeiras, Credenciadoras e Emissores de cartões de pagamentos, além de muitos outros negócios. Empreendedores e Investidores de todo mundo já entenderam o poder dessa tecnologia e sua capacidade de modificar de forma disruptiva, muitos dos serviços – financeiros ou não – , como os conhecemos hoje. Imagine a quantidade de eficiência (e baixo custo) que podemos introduzir em nossas vidas.

Hoje, utilizamos ao mesmo tempo praticamente todos os tipos de pagamentos já criados, da troca ao Bitcoin. Ficamos com uma sensação de que o tempo não existe e que passado, presente e futuro convivem juntos, quando se trata de meios de pagamento. A liberdade geral para experimentar novas tecnologias e modelos de negócios tem sido o segredo que alimentou o sucesso da Internet e da economia digital, e pode ser configurado para a próxima grande revolução dos meios de pagamento – se permitirmos isso, claro.

Como é bom estar vivendo nesta época de “inovação sem pedido de permissão”. Temos o privilégio de fazer parte da geração que pode assistir todo esse processo de mudança acontecer. Afinal, viver a ruptura do velho e o nascimento do novo é uma das coisas mais fantásticas de se testemunhar.

…nos vemos no futuro!

Categorias
Payments

Data Breach

data-breach

Quatro notícias de roubo de dados na semana

Pode parecer nada de mais, até por que estamos acostumados a receber tantas notícias ruins, que já parece não ter o mesmo impacto.

Nos últimos anos tivemos invasões e roubos de dados em diversas empresas note-americanas, desde grandes grande varejistas até empresas que cuidam de pagamentos. Havia uma expectativa de que o mercado protegeria melhor os dados de seus clientes, e provavelmente assim o fizeram. Entretanto, sabemos que a indústria da fraude é bem lucrativa e mantém ativos aqueles interessados em ganhar dinheiro com pouco esforço. Quando é difícil, ou quase impossível, invadir um grande banco de dados, alguns médios e pequenos ainda produzem resultados desastrosos.

Nesta semana tivemos a notícia da invasão na T-Mobile, onde invasores tiveram acesso aos dados pessoais de clientes potenciais que solicitaram os serviços da T-Mobile USA entre setembro de 2013 e setembro de 2015. O mais interessante nesta história é que o sistema invadido pertence a Experian, uma empresa que zela pela segurança de dados de outras empresas.

No dia anterior, foi revelado outro data breach, desta vez de uma empresa de cambio online. A FXCM informou que foi vítima de hackers que tiveram acesso a dados sensíveis de um “pequeno número” de contas. Entretanto, trata-se de 180.000 contas ativas.

Até mesmo a ABA, American Bankers Association, o grupo de lobby que tem assumido um papel de liderança em criticar varejistas relaxados na segurança dos dados, admitiu que endereços de email e senhas usadas para fazer compras ou registar-se para os eventos, através do seu carrinho de compras on-line, teriam sido comprometidos.

A notícia que mais me chamou atenção, foi a invasão da rede de hotéis de luxo de Donald Trump. Em uma nota muito bem preparada a empresa informa que “aparentemente” um “malware não autorizado” pode ter tido acesso a dados como, número dos cartões, data de validade e código de segurança.

Então você se preocupa com a segurança e toma todas as medidas possível para não ter problema, certo? Até você ligar, por exemplo, para o seu agente de viagem e informar, pelo telefone, todos os dados do seu cartão de crédito. Talvez sua agência de viagem não seja grande o bastante para atrair a atenção de fraudadores, mas se alguém decidir invadir, poderá encontrar milhares de dados de cartões de crédito guardados em um PC ou notebook, talvez em uma planilha eletrônica, provavelmente sem proteção alguma. Que tal?

Categorias
Payments

Visa Europa lança a “toquenização” no mercado europeu!

Visa Europa deve lançar um serviço de tokenização personalizado para o mercado europeu em meados de abril, em um movimento que abriria o caminho para o lançamento da Apple Pay em todo o continente.

Visa também anunciou planos de criar um serviço de pagamento global de pessoa-a-pessoa (P2P), permitindo transferências de dinheiro rápido entre os titulares de cartão através da utilização de apenas um número de telefone celular ou número de cartão Visa.

Veja mais em: Visa brings tokenization to Europe.

Categorias
Payments

Simples? talvez não, mas inteligente!

A Visa trabalha com especialistas para analisar a localização do smartphone do titular do cartão de pagamento e então comparada com a localização da loja onde a transação de pagamento esta sendo realizada. Tudo isto em menos de um milésimo de segundo.

Além da melhora do serviço prestado, pode gerar grande economia para todo sistema.

Leia mais em: www.finextra.com/news/fullstory.aspx?newsitemid=26997

Categorias
Payments

Metade dos lojistas norte-americanos não estão preparados para o padrão EMV

Faltando apenas nove meses para a data limite de migração para o padrão EMV, mais da metade dos varejistas norte-americanos não estão prontos para a mudança!! Você leu corretamente: Estados Unidos! Não parece notícia brasileira? :).

http://tinyurl.com/lj3sc8r