Portugal: CMVM alerta para riscos de investir em criptoativos

Joao Ptt says:

O problema é que NENHUM banco proporciona verdadeira autenticação segura. NENHUM.

Logo querer responsabilizar o cliente quando o próprio banco não tem forma de garantir a 100% que realmente só o cliente poderia ter efectuado aquela operação e nenhuma outra pessoa, é abusar da paciência.

Então e como propunha eu resolver esse problema das burlas simples? Seja de terceiros ou criados pelo próprio banco.
Fácil: com legislação que obrigasse as instituições financeiras/ créditos/ débito/ seguradoras, etc. a terem de receber uma confirmação assinada com um certificados digital pelo cliente, através de um dispositivo dedicado só para essa função onde exiba a informação toda e permita assinar aquilo de forma totalmente segura, por exemplo utilizando alguma espécie de variação do TREZOR, previamente testada por empresas e universidades especializadas para garantir que proporciona uma segurança de topo (ex.: pelo menos 256 bit de nível de segurança real). A pessoa utilizava o computador, smartphone, tablet, phonetablet, terminal de pagamentos na loja, etc. e teria sempre de confirmar a operação nesse aparelho… no mínimo vão reparar se vos pedir 2000 euros em vez dos 3 euros que a operação deveria custar.

E onde obtinham o certificado digital que qualquer instituição existente pudesse verificar a autenticidade desde o primeiro momento? No IRN (Instituto dos Registos e do Notariado I.P. ). Iam ao balcão com o aparelho, e a vossa identificação, e depois de os funcionários confirmarem que são de facto vós, instalavam o certificado no dispositivo. Por questões de segurança o certificado só deveria ficar activo 15 dias depois, para dar tempo de a pessoa ser notificada por correio (e por e-mail/ telefone se tiverem tais dados) de que activou um certificado digital para fins de identificação financeira em dispositivo dedicado, e que caso não o tenha feito para se dirigir a algum IRN, loja do cidadão, etc. para cancelar o mesmo. O aviso deveria ser enviado para qualquer morada constante na base de dados desde há 15 anos, de forma a que mesmo que alguém mude a morada malignamente (por exemplo com falsas testemunhas e tal) a pessoa original ter sempre hipótese de bloquear a operação e aperceber-se do esquema.

Como vêm não é difícil, é preciso é que o Estado queira resolver: um dispositivo dedicado com certificado digital que confirma a operação, e lá se vai o phishing de dados e outras coisas porque todas as operações têm de ser assinadas como deve ser ou a instituição é a responsável e no limite podem ser encerrados e o pessoal preso. Isto não evita que as pessoas possam ser ameaçadas, ou que não possam autorizar operações com valores diferentes ou para destinos diferentes daqueles que pensavam se não estiverem atentos, apenas que têm a hipótese de prevenir os ataques mais simples, e de saberem o que está a acontecer (no caso de ameaças).

Aplicações dos bancos, sms, web sites, sistemas operativos… tudo isto pode ser alvo de todo o tipo de ataques, existe malta a alterar o BGP que basicamente controla a Internet, de propósito, para obter ganhos financeiros (fonte: https://www.grc.com/sn/sn-859-notes.pdf página 12)… logo assumir que o quer que aconteça é sempre culpa da pessoa prejudicada é ir longe de mais!