1
GESTÃO DE FRAUDE
CRÓNICA VISÃO ELECTRÓNICA
Nº 353 / 2015-10-22
http://www.gestaodefraude.eu
Edgar Pimenta
> > A password morreu. Viva a password!
A autenticação através de password é, provavelmente, o método de autenticação (processo no qual provamos que somos mesmo nós) generalizado mais antigo que se conhece e já tem uns bons anos. No entanto, será que o fim está
próximo?
Senão, vejamos.
Considera-se que a autenticação junto de um qualquer sistema
pode ser feita segundo três métodos: Algo que se sabe, algo que
se tem ou algo que se é.
•
Algo que se sabe - é o método onde se enquadra a password e é
considerado, em termos de segurança, o mais fraco dos três.
•
Algo que se tem - quando a autenticação se baseia em algo
que só o utilizador possui e que, tipicamente, é algo físico.
•
Algo que se é - método onde entra a biometria; é quando a
autenticação é efetuada com base em características da pessoa, não sendo por isso facilmente falsificável ou reproduzível
(íris, impressão digital, etc..). Este é considerado o método
mais seguro dos três.
Para tornar o processo de autenticação ainda mais robusto, o ideal é juntar a autenticação usando dois destes fatores (ou mesmo
três). É a vulgarmente designada como two-factor authentication.
Um exemplo simples, e que anda na carteira de muitos de nós, é
o vulgar cartão multibanco. Para se levantar dinheiro, é preciso
algo que se tem (o cartão) e algo que se sabe (o PIN ou código).
Um outro exemplo são as validações de transferências bancárias:
após autenticação no site do banco, temos que confirmar o movimento com base em algo que temos (pode ser um cartão matriz, um token ou um telemóvel – envio de sms).
Consequentemente, a autenticação por password é sem dúvida o
sistema mais utilizado, nomeadamente pela facilidade de implementação (o ser fácil não implica que seja bem feito) e pela facilidade de utilização – é algo já habitual no nosso dia a dia. Contudo, por outro lado, é um sistema com diversas fragilidades. A
2
GESTÃO DE FRAUDE
CRÓNICA VISÃO ELECTRÓNICA
Nº 353 / 2015-10-22
http://www.gestaodefraude.eu
Edgar Pimenta
primeira está entre o teclado e a cadeira (sim, estou a falar de si).
Tendemos a escolher passwords simples, fáceis de decorar (“123456”
e “password” estão entre os códigos mais comuns). E para melhor
tudo isto, ainda usamos a mesma password em diversos sítios –
aumentando o risco KOKA – Know One, Know All. É a natureza humana. Mas não é só aqui que a natureza humana falha!
Quando colocamos a password num qualquer sitio para nos autenticarmos, ela é comparada com a arquivada (escolhida previamente). É só através dessa comparação que é possível verificar se
a password introduzida é a correta. Esse arquivo pode (mas não
deve!!) ser feito sem qualquer tipo de proteção ou com um nível
de proteção mais elevado (usando umas funções matemáticas
que permitem gerar um código cifrado que não é reversível – funções hash). No entanto, quando nos registamos num qualquer
site, não sabemos se a entidade que arquivou o password para
nossa futura utilização resolveu usar um sistema de arquivo suficiente robusto ou não (a forma como é usada a tal função hash
é decisiva – se não for feito da forma correta, o nível de proteção
pode ser insuficiente).
E quando um dia sabemos que a nossa password foi comprometida, mudamos. Já agora, é boa prática não usar a mesma password
em todos os sistemas e alterá-la periodicamente.
A password morreu. Viva a password!
É por estas e por outras razões que a password começa a ter a sua
morte anunciada. E os sistemas biométricos começam a ganhar
alguma relevância, até porque a tecnologia tem vindo a ficar mais
barata, facilitando a sua massificação.
A impressão digital é, dos vários sistemas biométricos, o que tem
vindo a ganhar mais espaço. Alguns smartphones incluem já o desbloqueio por este sistema. Agora sim, segurança robusta!!
Mas será?
Quando passamos o dedo num leitor de impressão digital para
autenticação, essa informação terá de ser passada para um qualquer formato que permita a comparação com uma cópia guardada no sistema, certo? E como está guardada essa cópia? Estará
guardada de forma segura e que não permita a reprodução da impressão digital? Mais, supondo que essa informação é divulgada?
Como mudamos a impressão digital? Se não devemos divulgar as
3
GESTÃO DE FRAUDE
CRÓNICA VISÃO ELECTRÓNICA
Nº 353 / 2015-10-22
http://www.gestaodefraude.eu
Edgar Pimenta
nossas passwords, como fazemos para não divulgar a nossa impressão digital?
Quando perder o seu telemóvel com desbloqueio por impressão
digital, pode ficar descansado que essa mesma impressão digital
não está em mais lado nenhum do equipamento? Utiliza-o sempre com luvas!
A password morreu. Viva a password!
De facto, a password apresenta diversos problemas como sistema
de autenticação. Mas a aplicação prática de alguns métodos tidos como mais seguros também não estão isentos de problemas.
O que leva a uma máxima sempre verdadeira da segurança: não
existem sistemas perfeitos! Com quais imperfeições somos mais
capazes de viver?