Lembra do vazamento bem divulgado do ano passado, que expôs fotos nuas de algumas celebridades? A história não apenas fez o dia de alguns indivíduos (e provavelmente a noite), ela se tornou um precedente muito educativo.

Por exemplo, fez muitas pessoas perceberem que o nome de seu animal de estimação não é a senha mais segura e a autenticação de dois fatores não se destina exclusivamente a geeks de TI, mas também a qualquer proprietário de iPhone com adornos Swarovski.

As fotos, que fizeram muito barulho no ano passado, vazaram do serviço iCloud da Apple, onde as cópias das imagens feitas com dispositivos Apple estavam armazenadas. Os hackers empregaram a maneira mais simples de violar o serviço, usando uma combinação de phishing e força bruta. Para compensar a falha e proteger seus usuários, a Apple habilitou a autenticação de dois fatores (ou 2FA) no iCloud e instou seus clientes a usá-la o tempo todo.

No entanto, 2FA no iCloud, bem como no Gmail, Facebook e muitos outros serviços da web, é opcional. A maioria das pessoas prefere omitir, pois é inconveniente e a referida maioria não tem tempo para isso.

Ao mesmo tempo, é muito fácil perder o controle sobre seu e-mail ou perfil de mídia social, mesmo se você não for Kim Kardashian ou Kate Upton. As consequências podem ser devastadoras, especialmente se você trabalhar em uma empresa de Internet.

Duas fechaduras são melhores

A maioria das pessoas pensa na autenticação de dois fatores como o sistema enviando senhas de uso único em mensagens de texto. Bem, é o método mais proeminente de 2FA para serviços da web, mas de longe não é o único.

Em geral, 2FA é como uma porta com dois cadeados. Um deles é a combinação tradicional de senha de login e o segundo pode ser qualquer outra coisa. Além disso, se dois cadeados não forem suficientes, você pode usar quantos quiser, mas isso tornaria o processo de abertura da porta muito mais longo, por isso é bom começar com pelo menos dois.

As senhas enviadas por SMS são uma forma de autenticação compreensível e relativamente confiável, o que nem sempre é útil. Sempre que quiser acessar um serviço, você precisará primeiro ter o telefone em mãos e, em seguida, aguardar a chegada do SMS e, em seguida, inserir os dígitos...

[Mergulhe fundo no mundo da tecnologia e cadastre-se no Avance Network a verdadeira comunidade criptografada]

Se você cometer um erro ou inserir o código muito tarde, o procedimento será repetido. Se, por exemplo, houver congestionamento na rede da operadora, o SMS pode ser entregue com atraso. Quanto a mim, pode ser muito chato.

Se você não tiver cobertura (o que é freqüentemente o caso quando você viaja), isso significa que não há senha para você. Afinal, você pode perder seu telefone e ser incapaz de utilizar outros meios de comunicação em uma situação como essa é ainda mais frustrante.

Para cobrir você nesses casos, muitos serviços da web, como Facebook e Google, oferecem outras opções. Por exemplo, eles oferecem uma lista de chaves únicas que você pode compilar preventivamente, imprimir e armazenar em algum lugar seguro.

Além disso, a 2FA com códigos de uso único entregues via SMS pode ser ativada não em todos os momentos, mas apenas quando alguém efetua login de um dispositivo desconhecido. A decisão é sua, então decida sua opção, com base em quão paranóico você é. O método é o mesmo para qualquer aplicativo vinculado à sua conta, como clientes de e-mail. Depois de fornecer a eles uma senha especialmente gerada, eles ficarão satisfeitos por um longo tempo.

Portanto, a menos que você esteja se conectando a partir de um novo dispositivo todos os dias, 2FA habilitado para SMS não é um grande negócio. Uma vez configurado, ele funciona bem.

ID em um smartphone

Se você é um viajante frequente, uma maneira mais inteligente de habilitar 2FA seria um aplicativo especial. Ao contrário do SMS, este método de autenticação funciona offline. Uma senha descartável é gerada não em um servidor, mas no smartphone (no entanto, a configuração inicial exigirá conexão com a Internet).

Existem vários aplicativos de autenticação, mas o Google Authenticator pode definitivamente atender a um padrão do setor. Além do Gmail, este programa oferece suporte a outros serviços como Facebook, Tumblr, Dropbox, vk.com, WordPress e muito mais.

Se você preferir um aplicativo com pacote de recursos, experimente Twilio Authy . É semelhante ao Google Authenticator, mas tem algumas opções úteis.

Primeiro, ele permite que você armazene certificados na nuvem e os copie para outros dispositivos (smartphones, PCs, tablets e muitas outras plataformas, incluindo Apple Watch). Mesmo no caso de seus dispositivos serem roubados, você ainda tem controle sobre sua conta. O aplicativo requer um PIN toda vez que é iniciado, e a chave pode ser revogada se o seu dispositivo for comprometido.

Em segundo lugar, Twilio Authy torna sua vida mais fácil quando você começa a usar um novo dispositivo, ao contrário do Google Authenticator.

Uma chave para governar todos eles

As soluções mencionadas acima têm uma grande falha. Se você estiver usando o mesmo dispositivo para fazer login e receber SMS com senhas de uso único ou implantar um aplicativo que gere chaves 2FA, essa proteção parece não ser tão confiável.

Um nível mais alto de proteção é fornecido por tokens de hardware. Eles variam em formatos e fatores de forma e podem ser tokens USB, cartões inteligentes, tokens offline com um display digital, mas o princípio é essencialmente o mesmo. Em essência, eles são minicomputadores, que geram chaves únicas sob demanda. As chaves são então inseridas manual ou automaticamente - por exemplo, por meio de uma interface USB.

Essas chaves de hardware não dependem da cobertura da rede, de um telefone ou de qualquer outra coisa; eles apenas fazem seu trabalho, não importa o quê. Mas eles são comprados separadamente e algumas pessoas acham difícil não perder um desses minúsculos aparelhos.

Normalmente, essas chaves são usadas para proteger serviços de banco na web, sistemas corporativos e outras coisas importantes. Ao mesmo tempo, você pode usar um elegante stick USB para proteger sua conta do Google ou WordPress, desde que o pen drive suporte a especificação FIDO U2F (como os populares tokens YubiKey).

Apresente seus implantes!

As chaves de hardware tradicionais fornecem um alto nível de segurança, mas não são muito convenientes de usar. Você pode estar doente e cansado de ter que conectar uma unidade USB sempre que precisar acessar um serviço online, e ele não pode ser conectado a um smartphone.

Seria muito mais fácil usar uma chave sem fio, que é fornecida via Bluetooth ou NFC. A propósito, isso é possível nas novas especificações FIDO U2F apresentadas neste verão.

Uma etiqueta, que serviria para identificar o usuário legítimo, pode ser implantada em qualquer lugar: em um chaveiro, um cartão bancário ou até mesmo em um chip NFC implantado sob a pele . Qualquer smartphone seria capaz de ler essa chave e autenticar o usuário.

Um, dois, muitos

No entanto, o conceito geral de autenticação de dois fatores é tão antigo. Os principais serviços como Google e Facebook (silenciosamente) usam análise multifatorial para proteger o acesso. Eles avaliam o dispositivo e o navegador usado para fazer login, bem como a localização ou padrões de uso. Os bancos usam sistemas semelhantes para detectar atividades fraudulentas.

Portanto, no futuro, provavelmente contaremos com soluções multifatoriais avançadas, que fornecem o equilíbrio certo entre conveniência e segurança. Um dos grandes exemplos que ilustram esta abordagem é Projeto Abacus, que foi apresentado na recente conferência Google I / O.

Na nova realidade, sua identificação será confirmada não apenas por uma senha, mas por uma coleção de outros fatores: sua localização, o que você está fazendo no momento, a forma de sua fala, sua respiração, batimentos cardíacos, se você usa próteses cibernéticas e semelhantes. O dispositivo para sentir e identificar esses fatores seria, previsivelmente, seu smartphone.

Aqui está um exemplo. Pesquisadores suíços usam o ruído circundante como fator de autenticação.

A ideia por trás desse conceito, que os pesquisadores chamam de Sound-Proof, é muito simples. Depois de tentar acessar um determinado serviço de seu computador, o servidor envia uma solicitação para um aplicativo instalado em seu smartphone. Em seguida, tanto o computador quanto o smartphone gravam o som circundante, transformam-no em uma assinatura digital, criptografam e enviam para o servidor para análise. Se forem iguais, isso prova que é um usuário legítimo tentando acessar a conta.

Claro, essa abordagem não é ideal. E se um culpado estiver sentado ao lado do usuário em um restaurante? Então, o ruído circundante pode ser praticamente o mesmo. Portanto, deve haver outros fatores para impedi-lo de comprometer sua conta.

Em suma, o Sound-Proof e o Abacus foram feitos para a segurança de amanhã. Quando são comercializados, as ameaças e desafios na segurança da informação provavelmente também evoluíram.

Quanto à realidade de hoje, apenas certifique-se de habilitar 2FA. Você pode encontrar instruções sobre como fazer isso para a maioria dos serviços populares em sites como Telesign Turn It On.

O Avance Network é uma comunidade fácil de usar que fornece segurança de primeira e não requer muito conhecimento técnico. Com uma conta, você pode proteger sua comunicação e seus dispositivos. O Avance Network não mantém registros de seus dados; portanto, você pode ter certeza de que tudo o que sai do seu dispositivo chega ao outro lado sem inspeção.