Capítulo 19 — Identidade e criptografia
Mapa da aula
Aula 19 publicada. Mapa, exemplo, EX055.
flowchart TD
N0["19.1 Comparar métodos"]
N1["19.2 A criptografia que os usuários nunca veem"]
N2["19.3 Implantar com os usuários"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX055"]
Desenho lógico
flowchart LR
N0["19.1 Comparar métodos"]
N1["19.2 A criptografia que os usuários nunca veem"]
N2["19.3 Implantar com os usuários"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3 --> Q["EX055"]
[19.1 Comparar métodos]
|
v
[19.2 A criptografia que os usuários nunca veem]
|
v
[19.3 Implantar com os usuários]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX055]
Objetivos de aprendizagem
Você vai (1) comparar métodos de autenticação por usabilidade e segurança; (2) explicar por que a autenticação resistente a phishing ajuda as pessoas; (3) planejar com os usuários a implantação de um método de autenticação.
19.1 Comparar métodos
Aiko compara opções de autenticação para a Greyford: senhas, códigos por SMS, aprovações em aplicativo, códigos em aplicativo e chaves de segurança. Avalia cada uma quanto à resistência a phishing, rapidez, custo e modos de falha. Senhas são fáceis de capturar por phishing e muitas vezes reutilizadas. Códigos por SMS podem ser interceptados ou capturados por phishing em tempo real. Aprovações em aplicativo podem ser abusadas com prompts repetidos até que um usuário cansado aceite. Chaves de segurança resistem ao phishing porque usam criptografia vinculada ao site legítimo e são rápidas depois que os funcionários aprendem a usá-las. Ela resume a comparação em uma tabela.
19.2 A criptografia que os usuários nunca veem
Aiko explica aos funcionários que uma chave de segurança guarda uma chave privada que nunca sai do dispositivo. No login, o site envia um desafio, a chave o assina, e o site confere a assinatura com a chave pública correspondente. A chave também verifica a identidade do site, de modo que um site falso não recebe nada de útil. Os funcionários não precisam entender isso para se beneficiar; basta tocar a chave. Um bom projeto criptográfico esconde a complexidade e, ao mesmo tempo, elimina um julgamento que os usuários faziam mal.
19.3 Implantar com os usuários
Aiko planeja uma implantação: piloto com vinte voluntários, coleta de problemas, duas chaves por pessoa com uma guardada em local seguro, uma via rápida de recuperação nos depósitos e um treinamento de cinco minutos com um vídeo curto. Ela evita códigos por SMS como alternativa, porque reintroduziriam o risco de phishing. Marca a implantação fora do inverno, quando canos estourados deixam as equipes de campo mais ocupadas. Planejar em torno do trabalho das pessoas é tão importante quanto escolher a tecnologia certa. Ela também combina que os voluntários do piloto atuem como apoio local em cada depósito, já que os colegas muitas vezes preferem perguntar a um par antes de ligar para o service desk.
Exemplo resolvido
Aiko compara cinco métodos de autenticação, explica as chaves de segurança em termos simples e planeja uma implantação em etapas, com reservas, recuperação e escolha da estação do ano.
Caso sintético. O plano de implantação é sintético.
Erros e limites
Chaves de segurança exigem logística de reposição. Alguns sistemas talvez ainda não as suportem.
Exercícios
- EX055 — Abuso de prompts. Como as aprovações em aplicativo podem ser abusadas? Rubrica: 3 = prompts repetidos até que um usuário cansado aceite;; 2 = fadiga de prompts;; 1 = vago;; 0 = nenhuma.
- EX056 — Chave e site falso. Por que um site falso não obtém nada de útil de uma chave de segurança? Rubrica: 3 = a chave verifica a identidade do site antes de assinar;; 2 = verificação de origem;; 1 = vago;; 0 = nenhuma.
- EX057 — Sem SMS como alternativa. Por que evitar códigos por SMS como alternativa? Rubrica: 3 = reintroduziriam o risco de phishing;; 2 = phishing;; 1 = custo;; 0 = nenhuma.
Síntese
A autenticação resistente a phishing tira das pessoas um julgamento difícil, se a implantação respeitar a forma como elas trabalham.
Continue estudando — aula 19 (capítulo 19 de 50)
← Capítulo 18 · Índice das aulas · Capítulo 20 →
Continue para a próxima aula já escrita.