Capítulo 17 — Autenticação

Capítulo 17 — Autenticação

Mapa da aula

Aula 17 publicada. Mapa, exemplo, EX049.

flowchart TD
  N0["17.1 Fatores"]
  N1["17.2 Autenticação multifator"]
  N2["17.3 Ataques"]
  N3["17.4 Recuperação de contas"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX049"]

Desenho lógico

flowchart LR
  N0["17.1 Fatores"]
  N1["17.2 Autenticação multifator"]
  N2["17.3 Ataques"]
  N3["17.4 Recuperação de contas"]
  N0 --> N1 --> N2 --> N3 --> Q["EX049"]

[17.1 Fatores]
    |
    v
[17.2 Autenticação multifator]
    |
    v
[17.3 Ataques]
    |
    v
[17.4 Recuperação de contas]
    |
    v
[Exemplo resolvido] --> [Exercício EX049]

Objetivos de aprendizagem

Você vai (1) comparar os fatores de autenticação; (2) explicar a autenticação multifator; (3) reconhecer os ataques à autenticação.

17.1 Fatores

A autenticação confirma que alguém é quem diz ser. Aisha aprende três tipos de fator: algo que você sabe, como uma senha; algo que você tem, como um celular ou uma chave física; e algo que você é, como uma impressão digital. Cada um tem fraquezas. As senhas podem ser adivinhadas ou roubadas; os celulares podem ser perdidos; as impressões digitais não podem ser trocadas se forem copiadas. O Dr. Carrow explica que combinar fatores de tipos diferentes torna os ataques muito mais difíceis. Ela lista que fatores a Ashfield já usa para os associados e para os funcionários.

17.2 Autenticação multifator

O internet banking da Ashfield usa senhas mais um código enviado por mensagem de texto. Aisha aprende que os códigos por mensagem de texto são melhores do que as senhas sozinhas, mas podem ser interceptados por meio da tomada do número de celular. Os códigos de aplicativo e as chaves físicas são mais fortes. Para o acesso remoto da equipe, ela recomenda códigos de aplicativo e, para os administradores de TI, chaves físicas. Ela observa que a conveniência dos associados importa, então as mudanças para eles exigem comunicação e apoio cuidadosos. Ela redige um folheto para os associados explicando por que os códigos de aplicativo são mais seguros, e a equipe de marketing concorda em incluí-lo nos extratos anuais.

17.3 Ataques

Aisha estuda os ataques à autenticação. O phishing engana as pessoas para que digitem suas credenciais em sites falsos. O credential stuffing testa nomes de usuário e senhas vazados de outros serviços. A adivinhação de senhas testa senhas comuns contra muitas contas. O bombardeio de notificações envia repetidos pedidos de aprovação, na esperança de que um usuário cansado aceite um deles. Ela aprende que a autenticação multifator impede muitos desses ataques, mas que métodos resistentes a phishing, como as chaves físicas, são necessários contra os atacantes mais capazes. Ela escreve um breve resumo de cada ataque para o programa de conscientização, em linguagem simples e com um exemplo de mensagem que os funcionários poderiam ver.

17.4 Recuperação de contas

Os atacantes muitas vezes miram a recuperação da conta, em vez do login. Se um associado consegue redefinir uma senha respondendo a perguntas fáceis de descobrir, os controles fortes de login são contornados. Aisha revisa o processo sintético de recuperação da Ashfield e descobre que a equipe das agências redefine senhas depois que os associados informam a data de nascimento e o endereço, informações muitas vezes disponíveis publicamente. Ela recomenda documentos de identidade na agência ou a verificação pelo telefone cadastrado. O Dr. Carrow observa que a recuperação costuma ser o ponto mais fraco. Os gerentes das agências concordam com a mudança depois de um breve teste.

Exemplo resolvido

Aisha compara os tipos de fator, recomenda códigos de aplicativo e chaves físicas, estuda o phishing, o credential stuffing e o bombardeio de notificações e fortalece a fraca recuperação de senhas dos associados.

Caso sintético. Os processos são sintéticos.

Erros e limites

Os controles fortes de login são contornados se a recuperação da conta for fraca.

Exercícios

• EX049 — Fraqueza da impressão digital. Qual é a fraqueza das impressões digitais? Rubrica: 3 = não podem ser trocadas se forem copiadas;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

• EX050 — Risco do código por mensagem. Como os códigos por mensagem de texto podem ser roubados? Rubrica: 3 = tomada do número de celular;; 2 = parcialmente correto;; 1 = outro;; 0 = nenhuma.

• EX051 — Fraqueza da recuperação. Que verificação fraca de recuperação as agências usavam? Rubrica: 3 = data de nascimento e endereço;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

Continue estudando — aula 17 (capítulo 17 de 40)

← Capítulo 16 · Índice das aulas · Capítulo 18 →

Continue para a próxima aula já escrita.