A Autenticação de Dois Fatores não é Invencível: Por Que Usar um Gerenciador de Senhas é a Sua Melhor Escolha

Os profissionais de segurança são muito escrupulosos quando se trata do que deve e o que não deve ser dito sobre as defesas cibernéticas de um produto. Se um departamento de marketing é insensato o suficiente para afirmar que um determinado sistema tem uma proteção "perfeita", os especialistas embarcarão em uma missão para provar que essas alegações estão erradas. E você pode ter certeza de que será uma missão bem-sucedida.

Quando se trata de segurança cibernética, nada é perfeito. O mecanismo de autenticação tradicional que se baseia em um nome de usuário e senha fornecidos pelo usuário, por exemplo, é terrivelmente falho. Muitas pessoas dirão a você que as imperfeições podem ser contornadas pela autenticação de dois fatores, mas o fato é que ela também não é isenta de falhas. Mas o que elas são exatamente? E a existência delas significa que devemos abandonar a autenticação de dois fatores?

Quando a tecnologia falha

Algumas semanas atrás, o Reddit, uma plataforma de agregação de notícias que foi recentemente classificada como o sexto site mais popular do mundo, admitiu que havia sofrido uma violação de dados.

Deve ser dito que não é o ataque cibernético mais horrível que o mundo já viu. Os bandidos conseguiram roubar um banco de dados que continha coisas como nomes de usuários, senhas salted e com hash, postagens e até mesmo mensagens privadas, mas esse banco de dados foi criado em 2007, quando o Reddit era muito menos popular. A maneira pela qual os criminosos entraram, no entanto, destacou um dos problemas com a autenticação de dois fatores - o fato de que ela, às vezes, se baseia em uma tecnologia que é vulnerável a ataques.

Primeiro, os hackers roubaram as credenciais de login que pertenciam a alguns funcionários do Reddit e abriram contas no provedor de hospedagem do agregador de notícias. O provedor de hospedagem ofereceu a autenticação de dois fatores, e os funcionários o habilitaram, mas o sistema dependia de um código temporário enviado por meio de uma mensagem de texto, e fica bastante claro que os hackers conseguiram obter esse código. Os responsáveis pelo Reddit estavam convencidos de que não havia malware nos telefones dos funcionários e concluíram que os bandidos conseguiram interceptar os SMS enquanto estavam no ar.

Não é algo que um script comum possa fazer, mas interceptar textos já é tecnicamente possível há algum tempo, e hackers experientes e determinados o suficiente sabem claramente como fazê-lo. Se acharem que poderão roubar informações valiosas, eles não hesitarão em atacá-lo também, e é por isso que é uma boa idéia ficar longe de mensagens de texto como um segundo fator sempre que possível. Mesmo se você escolher uma opção diferente, ainda há uma coisa que pode falhar: o seu dedo indicador.

Quando as pessoas falham

Em abril de 2017, o hacker Kuba Gretzky demonstrou uma outra maneira de contornar a autenticação de dois fatores que deve funcionar independentemente do sistema depender ou não de mensagens de texto. Ele começa com um invasor redirecionando as vítimas para uma falsa página de login que imita a aparência da real.

A página falsa não registra apenas os nomes de usuários e senhas. Ela age como um proxy para o formulário de login real e não prosseguirá para a próxima etapa até que a vítima forneça as credenciais corretas. Em seguida, o site mal-intencionado solicita o segundo fator que a vítima deve inserir exatamente como faria normalmente e, quando isso for feito, Gretzky projetou o sistema para redirecionar o usuário para um documento padrão do Google Drive.

Você pode pensar que a página de login falsa roubou o código temporário do segundo fator, mas estaria errado. O ataque todo gira em torno da interceptação do cookie de sessão, o que dá ao invasor muito mais liberdade, porque enquanto o cookie de sessão estiver ativo, ele terá acesso à conta da vítima sem precisar digitar o nome de usuário e a senha.

Você pode argumentar que esse ataque é possível devido à maneira como a autenticação de dois fatores funciona, mas a verdade é que os trapaceiros não conseguirão chegar perto do cookie da sessão se o usuário não clicar em um link e for redirecionado para o falso formulário de login. Então, tudo se resume ao fato de que as pessoas não são treinadas o suficiente e são extremamente propensas a se tornarem vítimas de ataques de phishing.

Isso significa que devemos parar de usar a autenticação de dois fatores?

Claro que não. Se você ainda não fez isso, ative-a em todos os serviços que a oferecem e certifique-se de usar algo mais seguro que o SMS, sempre que possível.

Mesmo com o melhor sistema de autenticação de dois fatores, você deve se certificar de que todos os ataques sejam interrompidos o mais cedo possível. Isso obviamente inclui o uso de senhas únicas e fortes para todas as suas contas. A maneira mais fácil de fazer isso é, obviamente, com um gerenciador de senhas, e estamos felizes em apresentar a você a nossa própria solução: o Gerenciador de Senhas do Cyclonis.

Usando o nosso gerador de senhas aleatórias, você poderá criar senhas complexas e exclusivas para todas as suas contas, e não precisará se lembrar delas, pois todas elas serão armazenadas no seu cofre criptografado pessoal. Para a sua conveniência, há uma extensão de navegador que pode preencher automaticamente as credenciais de login para você, mas só fará isso nas páginas legítimas, o que significa que, se você acabar em um site de phishing, a extensão poderá realmente ajudá-lo a perceber que algo não está certo. O melhor de tudo, tudo isso não lhe custará um centavo, pois o Gerenciador de Senhas do Cyclonis é totalmente gratuito.

Os especialistas em segurança têm procurado por uma bala de prata cujo tamanho resolva todos os nossos problemas e nos permita aproveitar a Internet sem nos preocuparmos com os milhões de ameaças que surgem em cada esquina. Não há como fugir do fato de que, se isso for possível, temos um longo caminho a percorrer até chegarmos lá. Até lá, a segurança permanecerá dependente de múltiplos fatores, que incluem senhas fortes e exclusivas, mecanismos robustos de autenticação de dois fatores e a nossa própria compreensão de onde um único clique errado pode nos levar.