Há 30 anos, o primeiro vírus de computador pessoal (padrão x86) foi criado. Chamava-se "Brain" e era obra de dois irmãos paquistaneses, tendo por objetivo inicial impedir o uso não autorizado de um software médico. No entanto, ele se espalhou de disquete em disquete exibindo uma mensagem que avisava que o computador estava infectado. Inocentemente, tinha dentro de seu código o nome, endereço e telefone dos criadores para que fossem acionados para a desinfecção. Um documentário recente de televisão inclusive indica que ambos podem ser encontrados até hoje, no mesmo endereço.
Brain e seus criadores tornaram-se uma curiosidade histórica. Mas desde então, os vírus e malwares, de um modo geral, evoluíram bastante. Aumentaram em termos de agressividade, tornaram-se parte de um negócio de cibercrime que movimenta bilhões de dólares todos os anos. E atingiram diferentes plataformas, incluindo os cada vez mais onipresentes dispositivos móveis.
Um novo capítulo foi recentemente adicionado a esta história. Estima-se que o malware conhecido como "Hummer", para plataformas Android, atingiu o recorde de 1,2 milhão de dispositivos conectados. Se as estimativas de especialistas forem relativamente precisas, trata-se da maior ameaça em plataformas móveis já registrada. O Hummer tem a capacidade de obter acesso de administrador no telefone e, com isso, ter acesso total ao mesmo, baixar e instalar propagandas, e mesmo aplicativos indesejados.
Mas o que isso significa para a segurança da sua empresa?
Talvez a ameaça seja menor em um ambiente no qual os aparelhos são propriedade da empresa, e a esta se assegure o direito de instalar as ferramentas, padrões e políticas corporativas que melhor lhe convenha. Neste caso, a organização assume a gestão e o controle do dispositivo como um todo. A política da empresa proíbe a instalação de aplicativos estranhos ao negócio ou diferentes de um conjunto homologado e aprovado, reduzindo riscos (a algum custo de experiência e flexibilidade do usuário, claro). Soluções de Mobile Device Management (MDM) se encaixam nesse cenário.
Em organizações que adotam o modelo BYOD (Bring Your Own Device ou Traga Seu Próprio Dispositivo), a história pode ser outra. Neste ambiente, o dispositivo é propriedade do funcionário (ou terceiro) e os dados corporativos são descarregados em um dispositivo no qual não se tem muito controle de atualizações, ou sobre quais aplicativos são instalados e utilizados. Trata-se sem dúvida de um ambiente com menor controle e, portanto, mais suscetível a infecções por malware.
Neste caso, torna-se necessário adotar soluções de segurança móveis destinadas a proteger individualmente aplicativos e seus dados, não em proteger o dispositivo como um todo. Soluções avançadas que criam uma "capa" ao redor da aplicação e seus dados, em um processo conhecido como "Application Wrapping", pode ser a solução. Esta técnica permite criar para cada aplicação individualmente um ambiente virtual totalmente isolado dentro do dispositivo (não importa se infectado ou não). Este ambiente isolado é transparente aos usuários (não requer containers, instalação de agentes ou técnicas similares). E apresenta um isolamento criptográfico que blinda os aplicativos e dados corporativos de quaisquer ameaças trazidas por outros aplicativos ou usuários não autorizados naquele mesmo equipamento. Assim, a aplicação protegida e seus dados não são visíveis a outras aplicações e tampouco a usuários não autorizados. Ou seja, um acesso indevido ao dispositivo ou um malware que o contamine não terá visibilidade e acesso àquele segmento de memória protegido para a aplicação. O usuário pode, assim, fazer o download de aplicativos sem ameaçar a segurança dos dados corporativos.
Soma-se a este isolamento outros recursos de segurança, tais como: um sistema de autenticação forte (com múltiplos fatores de autenticação, como tokens, certificados digitais e biometria); um túnel IPSec, individual para cada aplicação, conectando-a de modo seguro ao Data Center (ou Nuvem) onde reside o servidor de aplicação; identificação de dispositivos comprometidos (jailbreak); data de validade para uso das aplicações, o que facilita o controle em caso de terceiros com contratos de trabalho encerrando; habilitação ou não de funcionalidades de acordo com a geolocalização do dispositivo; desabilitação de funções como copiar e colar, para proteção adicional dos dados visualizados na aplicação, entre outras. Tudo isso em um nível de granularidade de aplicações. Ou seja, você pode aplicar diferentes regras para diferentes aplicações. Vários túneis IPSec, por exemplo, um para cada aplicação acessar seguramente seu respectivo servidor.
Tão importante quanto aumentar a segurança é fazê-lo rapidamente e com custo acessível. E isto também já é oferecido por boas soluções de segurança de aplicações móveis disponíveis no mercado. Note que algumas delas permitem que a segurança seja provisionada rapidamente, sem alterar uma linha de código e sem requerer adoção de APIs. Ganha-se tempo para o lançamento de novas aplicações no mercado, e reduz-se o custo e tempo para proteção de aplicações móveis já desenvolvidas.
Enfim, as ameaças para as plataformas móveis crescem de modo tão acelerado quanto o uso destas ferramentas dentro das empresas. Soluções de segurança para aplicações móveis tornam-se uma alternativa segura, flexível e econômica para proteção de dados corporativos em dispositivos móveis, sejam estes de propriedade de quem forem. À medida em que as necessidades de negócio demandam mais aplicações móveis, é imprescindível a adoção de abordagens de segurança de fácil implementação, transparentes para as aplicações e eficazes. Casos como o do Hummer se tornarão mais e mais frequentes. A segurança dos ambientes móveis não pode ser negligenciada.
Leonardo Carissimi, lidera a Prática de Segurança da Unisys na América Latina.
