O declínio das senhas

As senhas foram um método de autenticação muito antes da invenção da tecnologia moderna e da cibersegurança; “Palavras de ordem” já foram usadas por sociedades antigas para conceder entrada em espaços exclusivos e impedir que pessoas de fora ganhassem entrada. Hoje, usamos senhas para proteger informações confidenciais, verificar nossas identidades e restringir o acesso a nossas contas – há apenas um problema – as senhas por si só não fazem o suficiente para impedir o acesso não autorizado.

Embora as senhas não desapareçam tão cedo, para proteger verdadeiramente os consumidores de dados confidenciais, as pequenas e médias empresas e as grandes empresas precisarão aumentar o uso de senhas implementando os métodos de autenticação multifator (MFA) em seus planos de prevenção de perda de dados. Com o MFA, o acesso não autorizado pode ser evitado usando várias formas de verificação em conjunto.

Identidade como serviço e o problema com senhas

Em teoria, as senhas são uma sequência única de caracteres que são conhecidos apenas pelo usuário pretendido. Infelizmente, senhas verdadeiramente únicas podem ser difíceis de lembrar e de acordo com o LastPass Relatório Psicologia de Senhas, um chocante 59% dos usuários pesquisados ​​reutilizam a mesma senha, deixando todas as suas contas e dados confidenciais vulneráveis, caso a senha seja vazada por uma violação de dados. Após o lançamento dos tão esperados serviços de streaming da Disney +, milhares de contas foram comprometidas em uma violação de dados. Após uma investigação mais aprofundada do incidente, a Disney não encontrou evidências de uma violação interna. Especulou-se que essas contas foram comprometidas pelos usuários usando os mesmos nomes de usuário e senhas que foram roubados anteriormente em violações anteriores.

Para qualquer pessoa que tenha histórico de reutilização de credenciais de login, o serviço de doação que eu fui enviado pode alertá-lo quando os serviços que tiverem contas associadas ao seu email forem violados.

Outra vulnerabilidade das senhas é a necessidade de um banco de dados para armazená-las. Embora exista uma ampla variedade de tecnologias de criptografia para ofuscar e proteger as senhas, um banco de dados comprometido muitas vezes terá seus nomes de usuário e senhas decodificados e vazados, deixando contas em outros serviços usando as mesmas senhas abertas ao acesso de usuários não autorizados.

Identidade como serviço (IDaaS)

Os provedores de identidade como serviço (IDaaS), como o OneLogin e o Centrify, ajudam a proteger e gerenciar identidades on-line para organizações por meio de recursos de gerenciamento de identidade e acesso (IAM), incluindo tecnologias de logon único (SSO) que permitem que seus clientes gerenciem um grande número de usuários e suas permissões. Os provedores de IDaaS também costumam oferecer recursos para auditar comportamentos de uso de credenciais do usuário.

Gerenciadores de senhas

As senhas geradas pelo usuário geralmente são fáceis de adivinhar, reutilizadas ou deixadas em um local central não seguro, como um notebook, planilha ou documento do Word. Os gerenciadores de senhas como 1Password, LastPass e KeePass visam solucionar essas vulnerabilidades, gerando senhas seguras e exclusivas para cada logon e armazenando-as atrás de uma única senha mestra ou de outros métodos de autenticação, como biometria.

Os gerenciadores de senhas fornecem aos usuários a segurança de senhas exclusivas, exigindo apenas que eles lembrem uma única “senha mestre”, permitindo a conveniência de terem uma única senha sem as vulnerabilidades relacionadas.

Biometria

No contexto de autenticação e segurança, “biometria” refere-se ao uso de nossos recursos biológicos exclusivos – impressões digitais, rostos e vozes – para verificar nossas identidades. A biometria já é de uso comum como um autenticador em tecnologia de consumo – o Face ID da Apple e os scanners de impressões digitais embutidos em telefones celulares, como o LGG6, são os principais exemplos.

A biometria é mais difícil de manipular do que as senhas padrão baseadas em texto, mas mesmo elas não são totalmente inquebráveis. Embora improvável, se a identidade biométrica de um usuário é roubada, as implicações são tão graves quanto se sua identidade fosse roubada. Uma senha vazada pode ser redefinida para uma nova senha – as impressões digitais de um usuário não são tão facilmente alteradas.

Outra desvantagem da biometria é que a implementação da biometria nem sempre é facilmente viável, exigindo hardware ou software especializado para permitir seu uso, tornando muito menos onipresente do que as senhas baseadas em texto que podem ser usadas com hardware e software de teclado prontamente disponíveis.

Quando disponível, a biometria pode ser usada em conjunto com outras tecnologias, como gerenciadores de senhas. Os fornecedores de software de gerenciamento de senhas, como LastPass e 1Password, permitem que os usuários com smartphones habilitados para biometria usem suas impressões digitais registradas no lugar de suas senhas mestras.

Tokens de hardware

Os tokens de hardware – também conhecidos como tokens de segurança – são dispositivos físicos, como porta-chaves, cartões inteligentes e unidades USB com software de autenticação exclusivo, destinado a funcionar em conjunto com outras medidas de segurança para restringir o acesso a usuários não autorizados.

Para impedir que as violações de segurança dos tokens de hardware sejam perdidas, roubadas ou emprestadas de forma inadequada, elas geralmente são usadas como parte de uma estratégia de autenticação multifatorial, juntamente com números de identificação pessoal (PIN) exclusivos, senhas ou outros autenticadores.

Autenticação baseada em conhecimento (KBA)

A autenticação baseada em conhecimento é usada em processos de autenticação multifator como uma medida de segurança adicional. Os KBAs geralmente ocorrem na forma de “perguntas secretas”, com respostas exclusivas do usuário.

A principal falha dos KBAs é que as respostas a perguntas secretas pré-determinadas (estáticas) comuns, como “quantos animais de estimação você tem” e “qual é o nome da sua sobrinha mais velha”, muitas vezes podem ser inadvertidamente reveladas nas mídias sociais ou em conversa casual. Isso pode ser atenuado usando KBAs dinâmicos, nos quais as perguntas são geradas a partir de uma lista mestre maior de dados disponíveis e o usuário recebe tempo limitado para responder à pergunta, reduzindo a oportunidade de usuários não autorizados simplesmente pesquisarem as respostas.

Senhas de uso único (OTP)

As senhas de uso único (OTP) são fornecidas de várias formas e geralmente são usadas como parte de uma estratégia de autenticação de 2 fatores (2FA) ou multifator (MFA). Normalmente, um usuário efetua login com sua senha normal e é solicitado que forneça um OTP secundário gerado por métodos como códigos aleatórios fornecidos por mensagens SMS ou um gerador de código 2FA como Authy ou Microsoft Authenticator.

Identidade como serviço: O que devo fazer em seguida?

Agora que você tem uma visão geral das opções em potencial para segurança de autenticação, precisará decidir quais opções são adequadas para você ou sua organização. Os consumidores e as organizações devem alavancar absolutamente a segurança adicional das medidas de autenticação multifator (MFA) para melhorar as vulnerabilidades do uso de senhas sozinhas. Organizações maiores que trabalham com dados confidenciais se beneficiarão muito dos recursos de um provedor de Identidade como Serviço (IaaS) para terceirizar a tecnologia e os processos necessários para gerenciar adequadamente as permissões de usuário em larga escala, e os consumidores que trabalham para melhorar sua higiene de senha podem começar por inscrevendo-se para receber alertas de Eu fui enviado e usando um gerenciador de senhas para gerar senhas únicas e seguras para cada um de seus serviços.