Nossas informações são criptografadas no BS?
comentada em 09/08/2018 08:57

Boa pergunta. Também gostaria de conhecer um pouco sobre a segurança do site com relação a proteção de nossas informações pessoais. E se há política de privacidade?

Essa é uma discussão EXTREMAMENTE importante.

Principalmente com o crescimento do site, isso fica crítico, pois o site passa a ser um alvo tentador para hackers tentarem pegar as infos financeiras + pessoais da turma.

Imagino que a maioria aqui não tem dívidas, tem boa renda e patrimônio. Com isso o credit rating de todos aqui é bom. Dados pessoais de quem tem credit rating bom são valorizados no mundo do crime, para aplicar golpes (tirar um carro financiado com documentos falsos e sumir com o carro, etc).

Imagino que os dados tenham algum tipo de criptografia, mas só isso possivelmente não é suficiente, pois as chaves privadas teriam que estar acessíveis aos servidor para descriptografar e servir o usuário, portanto podem ser comprometidas.

Eu sugiro como investimento para o site uma forma de que a chave de criptografia fique com o próprio usuário, como algumas carteiras de bitcoin via browser fazem.

Assim mesmo que o servidor da Bastter seja invadido, nada vão poder fazer com os dados pois as chaves privadas não estão em posse da Bastter, o servidor apenas serve o usuário com os dados criptografados e a transformação em dados legíveis fica feita localmente. Eu não sei exatamente como isso funciona, mas já tem vários serviços online com esse tipo de segurança.

Isso também daria segurança na forma de que só você pode ler os seus dados, compartilhando só o que quiser com a equipe do site ao usar os serviços (como análise de carteira).

Uma melhoria nesse aspecto traria mais segurança e, portanto, VALOR aos usuários. Pois ficaria inclusive mais seguro que planilhas no seu PC (salvo se também são criptografadas).

Essa é uma questão que eu também estava prester a perguntar aqui no suporte. Inclusive seria interessante implementar um sistema de autenticação em 2 etapas para login no site. 
Seria legal fazer um "desafio" aos hackers do site para identificar os possiveis problemas de segurança e ganhar alguns bitcoins de recompensa =)

oq são pessoas de TIC?

@vynnus pessoas de TIC, são os que trabalham com TIC (TI = Tecnologia da Informação + C = Telecomunicações)

@gustavo Você que é o programado, pode explicar melhor pro pessoal o que tem de segurança, mas a ideia do desafio hackers do  site é interessante pra melhorar a segurança.

Boa
topico importante 
marquei como favorito para acompanhar 
obrigado

A ideia do tópico é entender o mínimo da segurança dos nossos dados (criptografia).

Na verdade os programadores não devem expor a arquitetura do site justamente para preservar a sua segurança.

O que quis trazer com a discussão é o mínimo do mínimo, no quesito segurança.

abs,

@vynnus

Pelo contexto TIC = Tecnologias da Informação e Comunicação.

Também me preocupo com isso. Até por isso só coloquei minhas ações.
Muita gente tem moeda estrangeira. Essas informações nas mãos de bandidos é muito perigosa.

Excelente questionamento. No meu último aporte pensei a mesma coisa sobre a segurança de minhas informações. Não sou nenhum milionário ainda, mas são minhas informações.

A ideia do celti é excelente, implementar uma forma de encriptação onde é gerada uma chave pessoal que não fica armazenada no banco de dados da baster, e toda vez que o indivíduo acessar o BS a chave seria requisitada, desse modo para ter acesso aos dados teriam que ter as informações do banco + a chave pessoal.

 

Isso poderia ser colocado como opcional, quem sentir que as informações do BS são muito sensíveis, ativa a encriptação, vai dar mais trabalho para utilizar, mas compensa na segurança.

q curioso, parece que eu sou
uma pessoa de TIC e nem sabia 

ou seja, se tiverem acesso às informações cadastradas
no Bastter System não é possível ter ligação diretamente com
o dono das informações já q nao há registro de endereços
nem dados pessoais nos servidores da bastter.com

os dados q vc informa durante o assinatura só ficam
com o Pagseguro/Moip, certo @gustavo ?

no pior dos casos suas informações
serão alteradas ou excluídas

@gustavo , talvez ativar o logoff automático
após algum período ou deixar esse periodo
pra o usuario escolher

isso poderia ter evitado o episodio do hotel
q vc escreveu acima

Só com a informação do e-mail da pessoa e o que ela tem de ativos, moedas, veículos, etc, abre uma infindável possibilidades de fraudes. Há que se pensar nisso.

Qual é a resposta para o título do post?

Sugiro, ao menos, uma autenticação dois passos pra acessar o BS, tal como é feito em corretoras de criptomoedas. 

A exceção do que digo, tudo meu aqui é fake. rs

A gente se assusta um pouco porque sabe que os nossos dados no BS são nossos. Mas, se a gente lembrar que só a gente sabe disso, fica tranquilo.

Usar nome falso, e-mail exclusivo pra conta do site, e só se autenticar em dispositivos confiáveis me parece o bastante.

Um ponto: discordo da expiração automática da sessão proposta acima. Entendo que a expiração automática da sessão deva ser uma escolha do usuário (como aqueles checkboxes do tipo "Estou em um computador privado", quando da autenticação).

Arbitrar a expiração, como instituições financeiras são obrigadas a fazer, eu acho um saco. rs

Abraço.

concordo pessoal
teria q ter a opção de expiração automatica ou nao
na hora do login, dai o usuario escolhe

Metade das razões de eu não ter revelado foto e nome quando virei moderador foi essa, gente, segurança. é bom evitar essa exposição.

A outra metade foi manter a saúde mental elevada aqui no site =)

metade das razoes de eu ter revelado
minha foto e as fotos dos meus cachorros
é q eu não sou ricão como o @oxe  

A idéia de limitar informações pessoais é boa, já torna a informação do patrimônio menos útil, fica sendo só um número sem utilidade. Precisaria de um atacante altamente sofisticado (cruzando dados com outras fontes públicas ou não) para tornar esses dados úteis. Vou revisar isso no meu perfil.

 

Ficando nome real e cartão só noa plataforma de pagamento, como entendi que é, melhor ainda.

daria para criar um token, tipo o itoken do itau ou a chave de segurança do bradesco, ou até mesmo um qr code que nem o BBCode do BB
só uma ideia, não sei o quão complicado isso é de implementar

outra alternativa
cadastra uma pergunta e uma resposta de segurança
respondeu corretamente dai entra no bastter system