{"id":32662,"date":"2019-10-31T21:48:16","date_gmt":"2019-10-31T18:48:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/chto-budet-s-autentifikatsiej-i-parolyami-perevod-otcheta-javelin-sostoyanie-strogoj-autentifikatsii-s-kommentariyami\/"},"modified":"2019-10-31T21:48:16","modified_gmt":"2019-10-31T18:48:16","slug":"chto-budet-s-autentifikatsiej-i-parolyami-perevod-otcheta-javelin-sostoyanie-strogoj-autentifikatsii-s-kommentariyami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/chto-budet-s-autentifikatsiej-i-parolyami-perevod-otcheta-javelin-sostoyanie-strogoj-autentifikatsii-s-kommentariyami","title":{"rendered":"O que acontecer\u00e1 com a autentica\u00e7\u00e3o e senhas? Tradu\u00e7\u00e3o do relat\u00f3rio Javelin \"Estado da Autentica\u00e7\u00e3o Forte\" com coment\u00e1rios","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"O
\n
\nO spoiler do t\u00edtulo do relat\u00f3rio \"O n\u00famero de casos de uso de autentica\u00e7\u00e3o forte aumentou devido a novas amea\u00e7as e exig\u00eancias dos reguladores.\"
\nA empresa de pesquisa \"Javelin Strategy & Research\" publicou o relat\u00f3rio \"The State of Strong Authentication 2019\" ( o original em formato pdf pode ser baixado aqui<\/a><\/noindex>). Este relat\u00f3rio discute: qual a porcentagem de empresas americanas e europeias que utilizam senhas (e por que as senhas est\u00e3o se tornando raras); por que a porcentagem de uso da autentica\u00e7\u00e3o de dois fatores baseada em tokens criptogr\u00e1ficos est\u00e1 crescendo rapidamente; por que c\u00f3digos \u00fanicos enviados por SMS n\u00e3o s\u00e3o seguros.<\/p>\n

Todos que se interessam pelo tema da autentica\u00e7\u00e3o atual, passada e futura em empresas e aplicativos de usu\u00e1rio est\u00e3o convidados.
\n<\/a><\/noindex>
\nDo tradutor<\/b><\/p>\n

Infelizmente, a linguagem usada neste relat\u00f3rio \u00e9 bastante \"seca\" e formal. E o uso quintuplicado da palavra \"autentica\u00e7\u00e3o\" em uma \u00fanica frase curta n\u00e3o \u00e9 resultado de m\u00e3os (ou c\u00e9rebros) desajeitados do tradutor, mas sim uma peculiaridade dos autores. Ao traduzir entre duas op\u00e7\u00f5es \u2014 fornecer aos leitores um texto mais pr\u00f3ximo do original ou um texto mais interessante \u2014 eu \u00e0s vezes escolhi a primeira, e outras vezes a segunda. Mas, por favor, leitores, tenham paci\u00eancia; o conte\u00fado do relat\u00f3rio vale a pena.<\/p>\n

Alguns trechos irrelevantes e desnecess\u00e1rios para a narrativa foram omitidos, caso contr\u00e1rio, a maioria n\u00e3o conseguiria ler todo o texto. Aqueles que desejam acessar o relat\u00f3rio \"sem cortes\" podem faz\u00ea-lo no idioma original, seguindo o link.<\/p>\n

Infelizmente, os autores nem sempre s\u00e3o precisos com a terminologia. Assim, senhas tempor\u00e1rias (One Time Password \u2013 OTP) \u00e0s vezes s\u00e3o chamadas de \"senhas\", outras vezes de \"c\u00f3digos\". Com os m\u00e9todos de autentica\u00e7\u00e3o, a situa\u00e7\u00e3o \u00e9 ainda pior. Para o leitor despreparado, nem sempre \u00e9 f\u00e1cil perceber que \"autentica\u00e7\u00e3o usando chaves criptogr\u00e1ficas\" e \"autentica\u00e7\u00e3o forte\" s\u00e3o a mesma coisa. Eu tentei unificar ao m\u00e1ximo os termos; al\u00e9m disso, o pr\u00f3prio relat\u00f3rio cont\u00e9m um trecho com suas defini\u00e7\u00f5es.<\/p>\n

Contudo, o relat\u00f3rio \u00e9 altamente recomendado para leitura, pois cont\u00e9m resultados de pesquisas exclusivos e conclus\u00f5es corretas. <\/b><\/p>\n

Todos os n\u00fameros e fatos apresentados est\u00e3o sem quaisquer mudan\u00e7as, e se voc\u00ea n\u00e3o concordar com eles, ent\u00e3o \u00e9 melhor discutir n\u00e3o com o tradutor, mas com os autores do relat\u00f3rio. Minhas observa\u00e7\u00f5es (dispostas como cita\u00e7\u00f5es, e marcadas no texto por it\u00e1lico<\/i>) s\u00e3o meu julgamento pessoal e estarei feliz em debater sobre cada uma delas (assim como sobre a qualidade da tradu\u00e7\u00e3o). <\/p><\/blockquote>\n

<\/p>\n

Vis\u00e3o geral<\/h2>\n

\nNos dias de hoje, os canais digitais de comunica\u00e7\u00e3o com os clientes s\u00e3o mais importantes do que nunca para os neg\u00f3cios. Al\u00e9m disso, dentro das empresas, a comunica\u00e7\u00e3o entre os funcion\u00e1rios est\u00e1 mais voltada para o ambiente digital do que nunca. E a seguran\u00e7a dessas intera\u00e7\u00f5es depende do m\u00e9todo escolhido para a autentica\u00e7\u00e3o dos usu\u00e1rios. Os criminosos aproveitam a autentica\u00e7\u00e3o fraca para realizar ataques em massa a contas de usu\u00e1rios. Em resposta, os \u00f3rg\u00e3os reguladores est\u00e3o refor\u00e7ando as normas para obrigar as empresas a proteger melhor as contas e os dados dos usu\u00e1rios.<\/p>\n

As amea\u00e7as relacionadas \u00e0 autentica\u00e7\u00e3o n\u00e3o se limitam apenas a aplica\u00e7\u00f5es de consumo; os criminosos podem tamb\u00e9m acessar aplica\u00e7\u00f5es que operam dentro das empresas. Essa opera\u00e7\u00e3o permite que eles se fa\u00e7am passar por usu\u00e1rios corporativos. Usando pontos de acesso com autentica\u00e7\u00e3o fraca, os criminosos podem roubar dados e realizar outras atividades fraudulentas. Felizmente, existem medidas para combater isso. Uma autentica\u00e7\u00e3o rigorosa pode reduzir significativamente o risco de ataques tanto em aplica\u00e7\u00f5es de consumo quanto nos sistemas empresariais.<\/p>\n

Este estudo investiga: como as empresas implementam autentica\u00e7\u00e3o para proteger aplica\u00e7\u00f5es de usu\u00e1rios e sistemas de neg\u00f3cios; os fatores que consideram ao escolher uma solu\u00e7\u00e3o de autentica\u00e7\u00e3o; o papel que a autentica\u00e7\u00e3o rigorosa desempenha em suas organiza\u00e7\u00f5es; e os benef\u00edcios que essas organiza\u00e7\u00f5es obt\u00eam.<\/p>\n

Resumo<\/h2>\n

<\/p>\n

Principais Conclus\u00f5es<\/h3>\n

\nDesde 2017, a porcentagem de uso de autentica\u00e7\u00e3o rigorosa aumentou drasticamente. <\/b> Com o aumento do n\u00famero de vulnerabilidades afetando solu\u00e7\u00f5es tradicionais de autentica\u00e7\u00e3o, as organiza\u00e7\u00f5es est\u00e3o fortalecendo suas capacidades de autentica\u00e7\u00e3o por meio da autentica\u00e7\u00e3o rigorosa. O n\u00famero de organiza\u00e7\u00f5es que utilizam autentica\u00e7\u00e3o multifatorial com criptografia (MFA) triplicou desde 2017 para aplica\u00e7\u00f5es de consumo e aumentou quase 50% para aplica\u00e7\u00f5es corporativas. O maior crescimento \u00e9 observado na autentica\u00e7\u00e3o m\u00f3vel devido \u00e0 crescente disponibilidade da autentica\u00e7\u00e3o biom\u00e9trica.<\/p>\n

Aqui vemos a ilustra\u00e7\u00e3o do prov\u00e9rbio \"at\u00e9 o trov\u00e3o n\u00e3o estrondar, o homem n\u00e3o se benze\". Quando os especialistas alertaram sobre a inseguran\u00e7a das senhas, ningu\u00e9m se apressou a implementar a autentica\u00e7\u00e3o em duas etapas. Assim que hackers come\u00e7aram a roubar senhas, as pessoas come\u00e7aram a adotar a autentica\u00e7\u00e3o em duas etapas.<\/p>\n

Na verdade, pessoas f\u00edsicas est\u00e3o muito mais ativas na implementa\u00e7\u00e3o da 2FA. Em primeiro lugar, \u00e9 mais f\u00e1cil para elas acalmar seus medos, confiando na autentica\u00e7\u00e3o biom\u00e9trica embutida nos smartphones, que na realidade \u00e9 bastante insegura. J\u00e1 as organiza\u00e7\u00f5es precisam investir na aquisi\u00e7\u00e3o de tokens e realizar trabalhos (que na verdade s\u00e3o bastante simples) para sua implementa\u00e7\u00e3o. Al\u00e9m disso, sobre as vazamentos de senhas de servi\u00e7os como Facebook e Dropbox, s\u00f3 um pregui\u00e7oso n\u00e3o escreveu, mas os diretores de TI dessas organiza\u00e7\u00f5es n\u00e3o compartilhar\u00e3o hist\u00f3rias sobre como as senhas foram roubadas (e o que aconteceu depois) sob nenhuma circunst\u00e2ncia. <\/p><\/blockquote>\n

\nAqueles que n\u00e3o utilizam autentica\u00e7\u00e3o rigorosa subestimam o seu risco para os neg\u00f3cios e clientes. <\/b> Algumas organiza\u00e7\u00f5es que atualmente n\u00e3o usam autentica\u00e7\u00e3o rigorosa tendem a considerar logins e senhas como um dos m\u00e9todos mais eficazes e simples para a autentica\u00e7\u00e3o de usu\u00e1rios. Outras n\u00e3o reconhecem o valor dos ativos digitais que possuem. \u00c9 preciso considerar que cibercriminosos est\u00e3o interessados em qualquer informa\u00e7\u00e3o comercial e de consumo. Dois ter\u00e7os das empresas que utilizam apenas senhas para autenticar seus funcion\u00e1rios fazem isso porque acreditam que as senhas s\u00e3o boas o suficiente para o tipo de informa\u00e7\u00e3o que est\u00e3o protegendo.<\/p>\n

No entanto, as senhas est\u00e3o a caminho de \"morrer\". <\/b> No \u00faltimo ano, a depend\u00eancia de senhas diminuiu significativamente, tanto para aplica\u00e7\u00f5es de consumo quanto corporativas (de 44% para 31% e de 56% para 47%, respectivamente), \u00e0 medida que as organiza\u00e7\u00f5es ampliam a aplica\u00e7\u00e3o da MFA tradicional e da autentica\u00e7\u00e3o rigorosa.
\nMas se analisarmos a situa\u00e7\u00e3o como um todo, os m\u00e9todos de autentica\u00e7\u00e3o vulner\u00e1veis ainda predominam. Para a autentica\u00e7\u00e3o de usu\u00e1rios, cerca de um quarto das organiza\u00e7\u00f5es utiliza SMS OTP (senha \u00fanica) juntamente com perguntas secretas. Como resultado, para proteger contra vulnerabilidades, s\u00e3o necess\u00e1rias a implementa\u00e7\u00e3o de medidas adicionais, o que aumenta os custos. O uso de m\u00e9todos de autentica\u00e7\u00e3o muito mais seguros, como chaves criptogr\u00e1ficas de hardware, \u00e9 muito menos comum, sendo aplicado em cerca de 5% das organiza\u00e7\u00f5es.<\/p>\n

O ambiente regulat\u00f3rio em desenvolvimento promete acelerar a ado\u00e7\u00e3o de autentica\u00e7\u00e3o rigorosa para aplica\u00e7\u00f5es de consumo. <\/b> Com a introdu\u00e7\u00e3o da PSD2, bem como novas regras de prote\u00e7\u00e3o de dados na UE e em alguns estados dos EUA, como Calif\u00f3rnia, as empresas sentem que a press\u00e3o est\u00e1 aumentando. Quase 70% das empresas concordam que enfrentam uma forte press\u00e3o regulat\u00f3ria para garantir a autentica\u00e7\u00e3o rigorosa para seus clientes. Mais da metade das empresas acredita que, em alguns anos, seus m\u00e9todos de autentica\u00e7\u00e3o n\u00e3o ser\u00e3o adequados para atender aos padr\u00f5es regulat\u00f3rios.<\/p>\n

\u00c9 bem vis\u00edvel a diferen\u00e7a nas abordagens dos legisladores russos e americanos-europeus em rela\u00e7\u00e3o \u00e0 prote\u00e7\u00e3o de dados pessoais dos usu\u00e1rios de programas e servi\u00e7os. Os russos dizem: caros propriet\u00e1rios de servi\u00e7os, fa\u00e7am o que quiserem e como quiserem, mas se o seu administrador vazar o banco de dados, n\u00f3s os puniremos. No exterior, dizem: voc\u00eas devem implementar um conjunto de medidas que n\u00e3o permitir\u00e1<\/b> o vazamento do banco de dados. \u00c9 por isso que l\u00e1 est\u00e3o sendo amplamente implementadas exig\u00eancias para a presen\u00e7a de autentica\u00e7\u00e3o de dois fatores rigorosa.
\nNo entanto, n\u00e3o \u00e9 certo que, em um belo dia, nossa m\u00e1quina legislativa n\u00e3o ir\u00e1 acordar e levar em considera\u00e7\u00e3o a experi\u00eancia ocidental. Nesse caso, surgir\u00e1 que todos precisar\u00e3o implementar 2FA, de acordo com os padr\u00f5es criptogr\u00e1ficos russos, e de forma urgente.\n<\/p><\/blockquote>\n

\nCriar uma base confi\u00e1vel para autentica\u00e7\u00e3o permite que as empresas mudem o foco de atender \u00e0s exig\u00eancias regulat\u00f3rias para atender \u00e0s necessidades dos clientes. <\/b> Para aquelas organiza\u00e7\u00f5es que ainda utilizam senhas simples ou recebem c\u00f3digos via SMS, o fator mais importante na escolha do m\u00e9todo de autentica\u00e7\u00e3o ser\u00e1 a conformidade com os requisitos regulat\u00f3rios. J\u00e1 as empresas que utilizam autentica\u00e7\u00e3o rigorosa podem se concentrar na escolha de m\u00e9todos que aumentam a lealdade dos clientes.<\/p>\n

Na escolha do m\u00e9todo de autentica\u00e7\u00e3o corporativa dentro da empresa, os requisitos dos reguladores j\u00e1 n\u00e3o s\u00e3o um fator significativo. <\/b> Neste caso, a simplicidade de integra\u00e7\u00e3o (32%) e o custo (26%) s\u00e3o muito mais importantes. <\/p>\n

Na era do phishing, os criminosos podem usar o e-mail corporativo para fraudes,<\/b> enganando para acessar dados, contas (com os direitos de acesso relevantes) e at\u00e9 convencendo funcion\u00e1rios a efetuar transfer\u00eancias de dinheiro para suas contas. Portanto, as contas de e-mail corporativo e portais devem ser especialmente bem protegidos.<\/p>\n

O Google intensificou sua prote\u00e7\u00e3o implementando autentica\u00e7\u00e3o rigorosa.<\/b> H\u00e1 mais de dois anos, o Google publicou um relat\u00f3rio sobre a implementa\u00e7\u00e3o da autentica\u00e7\u00e3o de dois fatores baseada em chaves de seguran\u00e7a criptogr\u00e1ficas pelo padr\u00e3o FIDO U2F, reportando resultados impressionantes. Segundo a empresa, n\u00e3o houve nenhum ataque de phishing contra mais de 85.000 funcion\u00e1rios. <\/p>\n

Recomenda\u00e7\u00f5es<\/h3>\n

\nImplemente autentica\u00e7\u00e3o rigorosa para aplicativos m\u00f3veis e online. <\/b> A autentica\u00e7\u00e3o multifatorial baseada em chaves criptogr\u00e1ficas oferece prote\u00e7\u00e3o muito mais confi\u00e1vel contra invas\u00f5es do que os m\u00e9todos tradicionais de MFA. Al\u00e9m disso, o uso de chaves criptogr\u00e1ficas \u00e9 muito mais conveniente, pois n\u00e3o \u00e9 necess\u00e1rio usar e transmitir informa\u00e7\u00f5es adicionais \u2014 senhas, senhas \u00fanicas ou dados biom\u00e9tricos do dispositivo do usu\u00e1rio para o servidor de autentica\u00e7\u00e3o. Al\u00e9m disso, a padroniza\u00e7\u00e3o dos protocolos de autentica\u00e7\u00e3o facilita a implementa\u00e7\u00e3o de novos m\u00e9todos \u00e0 medida que surgem, reduzindo os custos de uso e protegendo contra esquemas de fraude mais complexos.<\/p>\n

Prepare-se para o fim das senhas \u00fanicas (OTP). <\/b> As vulnerabilidades inerentes ao OTP tornam-se cada vez mais evidentes, na medida em que criminosos cibern\u00e9ticos utilizam engenharia social, clonagem de smartphones e malware para comprometer esses meios de autentica\u00e7\u00e3o. E, embora o OTP apresente certas vantagens em alguns casos, isso se aplica apenas \u00e0 sua acessibilidade universal para todos os usu\u00e1rios, mas n\u00e3o \u00e0 seguran\u00e7a.<\/p>\n

N\u00e3o se pode ignorar que a obten\u00e7\u00e3o de c\u00f3digos via SMS ou notifica\u00e7\u00f5es push, assim como a gera\u00e7\u00e3o de c\u00f3digos atrav\u00e9s de aplicativos para smartphones, \u00e9 exatamente o que chamamos de senhas de uso \u00fanico (OTP), cuja extin\u00e7\u00e3o nos \u00e9 sugerida. Tecnicamente, a solu\u00e7\u00e3o \u00e9 bastante correta, pois \u00e9 raro que um golpista n\u00e3o tente sacar uma senha de uso \u00fanico de um usu\u00e1rio ing\u00eanuo. Mas acredito que os fabricantes desses sistemas se agarrar\u00e3o a essa tecnologia em extin\u00e7\u00e3o at\u00e9 o fim. <\/p><\/blockquote>\n

Utilize a autentica\u00e7\u00e3o rigorosa como uma ferramenta de marketing para aumentar a confian\u00e7a dos clientes. <\/b> A autentica\u00e7\u00e3o rigorosa pode n\u00e3o apenas melhorar a seguran\u00e7a real do seu neg\u00f3cio. Informar os clientes de que sua empresa utiliza autentica\u00e7\u00e3o rigorosa pode fortalecer a percep\u00e7\u00e3o p\u00fablica da seguran\u00e7a desse neg\u00f3cio \u2014 um fator importante quando h\u00e1 uma demanda significativa dos clientes por m\u00e9todos de autentica\u00e7\u00e3o confi\u00e1veis.<\/p>\n

Realize um invent\u00e1rio detalhado e avalie a import\u00e2ncia dos dados corporativos e os proteja de acordo com sua relev\u00e2ncia. <\/b> Mesmo dados de baixo risco, como informa\u00e7\u00f5es de contato dos clientes (n\u00e3o, \u00e9 verdade, o relat\u00f3rio diz 'low-risk', \u00e9 muito estranho que eles subestimem a import\u00e2ncia dessas informa\u00e7\u00f5es<\/i>), podem trazer um valor significativo para os criminosos e causar problemas para a empresa. <\/p>\n

Use autentica\u00e7\u00e3o rigorosa na sua empresa. <\/b> V\u00e1rios sistemas s\u00e3o os alvos mais atraentes para os criminosos. Isso inclui sistemas internos e conectados \u00e0 Internet, como programas cont\u00e1beis ou armazenamento de dados corporativos. A autentica\u00e7\u00e3o rigorosa impede que os criminosos obtenham acesso n\u00e3o autorizado, al\u00e9m de permitir identificar com precis\u00e3o qual empregado cometeu atividades maliciosas.<\/p>\n

O que \u00e9 autentica\u00e7\u00e3o rigorosa? <\/h2>\n

\nAo usar autentica\u00e7\u00e3o rigorosa para verificar a identidade do usu\u00e1rio, s\u00e3o utilizados v\u00e1rios m\u00e9todos ou fatores:<\/p>\n