Capítulo 13 — Identidade e acesso
Mapa da aula
Aula 13 publicada. Mapa, exemplo, EX037.
flowchart TD
N0["13.1 Fatores de autenticação"]
N1["13.2 Políticas de senha"]
N2["13.3 Autenticação usável"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX037"]
Desenho lógico
flowchart LR
N0["13.1 Fatores de autenticação"]
N1["13.2 Políticas de senha"]
N2["13.3 Autenticação usável"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3 --> Q["EX037"]
[13.1 Fatores de autenticação]
|
v
[13.2 Políticas de senha]
|
v
[13.3 Autenticação usável]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX037]
Objetivos de aprendizagem
Você vai (1) explicar os fatores de autenticação; (2) avaliar políticas de senha com evidências de fatores humanos; (3) recomendar uma autenticação usável.
13.1 Fatores de autenticação
A autenticação verifica se alguém é quem diz ser, usando algo que a pessoa sabe, como uma senha; algo que ela tem, como um cartão ou uma chave de segurança; ou algo que ela é, como uma impressão digital. Combinar fatores torna as senhas roubadas menos úteis. Nadia observa que a Ashcombe usa apenas senhas no sistema de gestão da biblioteca, que guarda os endereços dos usuários. Um e-mail de phishing que capturasse uma senha daria acesso total, de modo que acrescentar um segundo fator reduziria o dano que uma única pessoa enganada poderia causar.
13.2 Políticas de senha
A Ashcombe exige que os funcionários troquem as senhas a cada sessenta dias, com regras complexas. Adams e Sasse (1999) constataram que regras assim levam as pessoas a anotar as senhas ou a usar padrões previsíveis, porque memorizar muitas senhas que mudam é difícil. Nadia aplica um questionário anônimo a um pequeno grupo de colegas e descobre que a maioria acrescenta um número à senha antiga a cada troca. Ela recomenda acabar com as trocas periódicas forçadas, a menos que haja evidência de comprometimento, e permitir frases-senha mais longas, que são mais fáceis de lembrar e mais difíceis de adivinhar.
13.3 Autenticação usável
Nadia compara opções de segundo fator: códigos por SMS, um aplicativo autenticador em celulares pessoais e chaves de segurança. Nem todos os atendentes de balcão têm celular do trabalho, e alguns preferem não usar o celular pessoal para o trabalho. As chaves de segurança funcionam sem celular e resistem ao phishing porque verificam o site. Ela recomenda chaves para os funcionários que acessam dados de usuários, com um processo simples de contingência. Sua recomendação equilibra segurança, custo e a situação prática dos funcionários, algo que ela aprendeu a ponderar nos capítulos anteriores.
Exemplo resolvido
Nadia explica os fatores, liga as trocas forçadas a senhas fracas e recomenda frases-senha e chaves de segurança.
Caso sintético. O questionário é sintético; Adams e Sasse (1999) é real.
Erros e limites
Chaves podem ser perdidas. Acabar com as trocas forçadas exige detecção de comprometimento.
Exercícios
- EX037 — Três tipos de fator. Quais são os três tipos de fator? Rubrica: 3 = saber, ter, ser;; 2 = três;; 1 = vago;; 0 = nenhuma.
- EX038 — Efeito da troca forçada. O que Nadia descobriu que os funcionários fazem nas trocas forçadas? Rubrica: 3 = acrescentam um número à senha antiga;; 2 = padrão;; 1 = vago;; 0 = nenhuma.
- EX039 — Vantagem da chave. Por que as chaves de segurança resistem ao phishing? Rubrica: 3 = verificam o site;; 2 = verificação do site;; 1 = são longas;; 0 = nenhuma.
Síntese
A autenticação utilizável combina fatores de formas que convêm à equipe e resistem ao engano.
Continue estudando — aula 13 (capítulo 13 de 40)
← Capítulo 12 · Índice das aulas · Capítulo 14 →
Continue para a próxima aula já escrita.