0
0
Um dos maiores riscos de segurança dos negócios modernos é o uso em massa de senhas como o principal método de autenticação para diferentes aplicativos. Quando a tecnologia foi desenvolvida pela primeira vez, as senhas eram percebidas por indivíduos e empresas como uma maneira segura de garantir o acesso a sistemas e dados confidenciais. Hoje, no entanto, as falhas por trás dessa forma de autenticação são cristalinas: elas não apenas dificultam a vida do usuário, mas também criam uma falsa sensação de segurança e deixam grandes buracos nas defesas de uma empresa.
Por causa disso, muitas empresas estão começando a fazer a transição para a tecnologia sem senha. No entanto, ainda há alguma confusão sobre o que exatamente classifica como autenticação “sem senha”. Algumas soluções que podem pretender se enquadrar na categoria simplesmente salvam e inserem a senha em nome do usuário ou a substituem por algo que também é inseguro, como um link mágico ou senha única.
Entender o que realmente constitui uma solução sem senha é o primeiro passo para fazer a mudança para um futuro mais seguro para as organizações, além de remover as frustrações e processos demorados pelos quais os usuários sitiados são obrigados a percorrer simplesmente para verificar sua identidade.
Os riscos por trás das senhas
As senhas são uma das maneiras mais populares de os criminosos invadirem redes de negócios e contas de consumidores. Na verdade, o Relatório de Investigações de Violação de Dados da Verizon 2021 descobriu que 61% das violações no último ano envolveram credenciais de login, e a haveibeenpwned atualmente lista mais de 11 bilhões de contas comprometidas.
A falha fundamental é que as senhas são um “segredo compartilhado”. Isso significa que ambos os lados da troca estão no segredo (a senha) e a armazenam. Essas senhas são armazenadas em um banco de dados pelo aplicativo, tornando-o um alvo óbvio para cibercriminosos. As senhas se tornam o identificador proxy para os usuários, e os usuários geralmente escolhem senhas relacionadas a algo em suas vidas, incluindo nomes e datas importantes, para torná-las mais fáceis de lembrar. Mas isso torna mais fácil para os adversários adivinharem suas senhas e entrarem em dados confidenciais.
Nos últimos anos, os criminosos se tornaram mais bem-sucedidos do que nunca em enganar seus alvos para entregar seus detalhes de login para várias contas. Eles implantaram sites falsos que imitam o verdadeiro que pode roubar a senha e, em seguida, registrar o hacker no site legítimo. Eles também projetaram malware que é executado no dispositivo do usuário e rouba credenciais quando o usuário as digita. Se as senhas forem usadas para várias contas, o roubo de uma senha pode fornecer entrada em vários sistemas. E como os usuários geralmente usam senhas fáceis de adivinhar, como seu time de futebol favorito ou personagem de filme, os adversários podem simplesmente empregar técnicas de força bruta, onde sistematicamente colocam senhas populares em páginas de login para obter acesso.
Embora alguns usuários tenham seguido conselhos de especialistas e optado por senhas mais complicadas com a ajuda de um gerador de senhas, eles permanecem em risco porque as técnicas mencionadas anteriormente (sites de roubo e malware de roubo de credenciais) simplesmente não se importam se a senha tem quatro ou quatrocentos caracteres.
Mesmo os gerenciadores de senhas, que armazenam senhas com segurança, não são uma solução confiável. Quando um e-mail de phishing chega à caixa de entrada e uma senha é enviada automaticamente para um site falso pelo gerenciador de senhas, os criminosos ainda saem por cima. Esses métodos deixam os usuários e organizações pensando que estão mais seguros do que são. No final das contas, a autenticação que depende de um “segredo compartilhado” pode e será hackeada.
Entendendo as alternativas
Dadas todas as desvantagens associadas às senhas, as dores de cabeça que elas criam para os usuários e os riscos de segurança e despesas gerais de gerenciamento com os quais as organizações estão sobrecarregadas – desde redefinições de senha até recuperação de contas – a busca por maneiras mais simplificadas e seguras de verificar os usuários e suas identidades deve ser uma prioridade estratégica de segurança.
No entanto, ainda deve-se ter cautela ao considerar alternativas que podem parecer “sem senha”. Qualquer método que use um segredo compartilhado pode ser hackeado. Adicionar outra salvaguarda às senhas na forma de autenticação multifatorial (MFA) vem com seus desafios. Além das etapas adicionais, muitas vezes inconvenientes, que cria para os usuários, as abordagens MFA legadas ainda dependem de senhas como verificação de segurança inicial, portanto, o ponto fraco da cadeia de segurança não foi removido.
Os cibercriminosos podem sequestrar a senha e os códigos MFA por meio de ataques man-in-the-middle ou man-in-the-endpoint e, em seguida, iniciar uma sessão desonesta. Dois segredos compartilhados não são muito mais seguros do que um. Qualquer solução de MFA que dependa de um segundo fator que possa ser roubado simplesmente não é segura o suficiente para enganar os atacantes modernos.
Uma abordagem verdadeiramente sem senha remove os riscos de segurança inerentes às senhas e às abordagens MFA legadas que dependem de senhas ou outras formas de segredos compartilhados. Uma boa abordagem é eliminar a senha do fluxo de login, do banco de dados de aplicativos e do fluxo de recuperação de contas e substituí-la por algo inerentemente seguro. A maneira mais confiável de substituir senhas é usar criptografia pública/privada comprovada para que nenhum segredo compartilhado seja trocado. Esta é a mesma abordagem usada para proteger transações financeiras pela internet na forma de TLS. O Transport Layer Security (TLS), indicado pelo ícone de cadeado no navegador, prova que o usuário está se comunicando com o servidor legítimo e que está se comunicando por um canal seguro/privado. O TLS usa criptografia de chave pública/privada para validar o servidor e configurar o canal de comunicações seguras.
A autenticação sem senha baseada em criptografia de chave pública/privada armazena com segurança a chave privada no próprio dispositivo do usuário. As soluções mais seguras armazenam a chave em hardware especializado e estão disponíveis em dispositivos modernos (PCs, telefones e tablets) para que a chave privada nunca saia do dispositivo e permaneça desconhecida para todas as partes. A chave pública é disponibilizada para os aplicativos que um usuário deseja acessar, mas a chave pública não pode ser usada para acessar o sistema. Durante o login, um certificado, assinado com a chave privada, é enviado para o servidor onde a chave pública é usada para validar que o certificado foi assinado pela chave privada associada, autenticando com confiança o usuário sem qualquer troca secreta sagrada compartilhada. Nem mesmo o usuário fica a par da chave privada, então não há nada que possa ser gravado e acidentalmente perdido ou repassado.
Conclusão
Os riscos colocados pelas credenciais comprometidas são uma das maiores ameaças enfrentadas pelas organizações hoje. À medida que mais líderes de TI e segurança percebem e corrigem as falhas de segurança criadas pelas senhas, temos uma chance melhor de nos proteger contra cibercriminosos com a intenção de invadir organizações e roubar dados.
Substituir soluções antigas por tecnologia sem senha é uma maneira fundamental de fortalecer as defesas de uma organização, bem como erradicar as frustrações sentidas pelos usuários nos processos de verificação. Os benefícios do sem senha já estão sendo reconhecidos e, à medida que a tração aumenta, mais empresas se juntarão ao movimento em direção a um futuro mais seguro. Precisamos avançar rapidamente em direção a um mundo onde nunca precisamos pedir a outro usuário para criar uma senha.
FONTE: HELPNET SECURITY