0
0
O usuário médio da Internet tem 100 senhas, segundo pesquisa do NordPass. Lembrando que muitas senhas são impossíveis, então as pessoas devem implementar um sistema para mantê-las rastreadas. Durante anos, profissionais de cibersegurança tentaram convencer as pessoas a gravar suas senhas em contêineres seguros, como KeePass, NordPass, Keeper e DashLane. Mas, enquanto o gerenciamento de senhas ajuda, não elimina problemas de senha.
O reaproveitamento é outro problema de senha: cerca de 65% das pessoas reutilizam senhas em sites, de acordo com uma pesquisa google/harris 2019. Essa prática aumenta os riscos para todas as contas que usam as mesmas credenciais. Depois de invadir um site, um ator de ameaças pode vender nomes de contas e senhas roubados em um fórum subterrâneo por apenas US$ 10. Um comprador poderia então usar a engenharia social para encontrar outros sites que a vítima usa, testar se as mesmas credenciais foram usadas nesses sites e explorar o acesso para ganhos financeiros. Os atores de ameaças às vezes usam ataques de encha de credenciais para testar automaticamente uma longa lista de nomes de usuário e senhas roubados, tentando encontrar um que seja bem sucedido. A vítima pode não saber que suas credenciais foram comprometidas até que seja tarde demais.
Em suma, as senhas fornecem pouca segurança. Substituí-los por um método de acesso diferente poderia eliminar os problemas associados à memória, armazenamento, reutilização e adivinhação de senhas. Chaves de segurança, biometria e tecnologia FIDO (Fast Identity Online) são algumas das formas cada vez mais populares de fornecer acesso seguro sem senhas.
Os Benefícios da FIDO
A tecnologia FIDO de código aberto aproveita a autenticação multifatorial (MFA) e a criptografia PKI (Public Key Infrastructure). É um conjunto de especificações de segurança agnósticas de plataforma para forte autenticação. Ao contrário dos bancos de dados de senha, o FIDO armazena informações de identificação pessoal (PII), como dados de autenticação biométrica, localmente no dispositivo do usuário para protegê-los. Nenhuma informação é enviada para um site. Muitos fornecedores – incluindo Yubico, Google, Microsoft, PayPal e Nok Labs – estão desenvolvendo a tecnologia FIDO.
Como o FIDO funciona apenas com sites legítimos, ele pode parar ataques de phishing nos quais os atores de ameaças aproveitam um e-mail fraudulento e um site falso para atrair os usuários para fornecer credenciais. A FIDO também alivia as preocupações das organizações sobre violações de dados, particularmente compromissos de detalhes confidenciais do cliente, informações de saúde, dados financeiros ou propriedade intelectual.
O FIDO combina algo que você tem (um dispositivo de hardware) e algo que você é (biometria) — eliminando algo que você tem que lembrar (uma senha) — para autenticar a identidade do usuário.
O FIDO padroniza o uso de dispositivos de hardware, como chaves de segurança, para autenticação. As chaves de segurança são objetos físicos que são conectados a uma porta USB ou Lightning. Uma única chave de segurança digital pode fornecer autenticação segura a recursos como sites, aplicativos e bancos de dados. As chaves também podem aproveitar aplicativos de autenticação biométrica, como o Face ID da Apple ou o Windows Hello. Por exemplo, um usuário pode digitar seu nome de usuário em uma página de login do site em seu computador, conectar sua chave de segurança, tocar em um botão e, em seguida, usar a tecnologia de autenticação biométrica do computador para verificar sua identidade.
As chaves de segurança são tipicamente cerca de US $ 20, com versões mais sofisticadas $40 ou mais. Modelos avançados incluem leitores de impressões digitais embutidos. A maioria dos serviços permite que os usuários registrem várias chaves de segurança; ter mais de uma chave pode ser útil se uma chave for perdida ou danificada.
Um telefone celular (iPhone, Android ou Windows) também pode ser atribuído como uma chave de segurança: Depois de digitar seu nome de usuário em uma página de login do site em seu computador, o usuário pode receber uma solicitação em seu telefone e, em seguida, usar o sistema de autenticação biométrica do telefone para verificar sua identidade. O celular comunica protocolos de autenticação via Bluetooth, por isso deve estar dentro do alcance Bluetooth do computador. A Microsoft oferece autenticação baseada em FIDO para produtos como Outlook, Office, Skype e Xbox Live.
Por que a FIDO funciona
A FIDO usa a criptografia PKI que protege os números de cartões de crédito há décadas. Uma grande vantagem dessa abordagem é que um dispositivo de segurança FIDO não funciona com sites fraudulentos, mesmo que pareçam legítimos para os usuários. Em vez de o usuário verificar um site, o site deve provar-se à chave criptografada.
É quase impossível lembrar senhas fortes e únicas para centenas, ou mesmo apenas dezenas, de contas. Mecanismos para redefinir senhas esquecidas são caros e podem ser explorados por atores de ameaças que roubam credenciais. A autenticação alimentada pelo FIDO pode melhorar a segurança fundamentalmente fraca e eliminar muitos dos riscos associados à baixa segurança de senhas, incluindo a redução do número de ataques de phishing bem-sucedidos e a diminuição da exfiltração de dados confidenciais das redes das organizações.
FONTE: DARK READING