More

    A Apple finalmente adotou o 2FA baseado em chave. Então você deveria


    Prolongar / Um Yubikey da marca Ars.

    Steven Klein

    Há quase três anos, o Google introduziu o Advanced Protection Program (APP), um plano de segurança para usuários de alto risco que requer chaves de hardware para acesso à conta e é sem dúvida a maneira mais eficaz do setor para impedir a aquisição de contas. Mas até agora havia uma grande falha que impedia a APP: suas ofertas para iPhone e iPad eram proibitivamente limitadas para a maioria dos usuários. Agora que isso mudou – mais sobre a mudança daqui a pouco – sinto-me à vontade para recomendar a APP muito mais amplamente.

    O que é aplicativo?

    Ao exigir que os usuários produzam uma chave de segurança física, além de uma senha, cada vez que fazem login com um novo dispositivo, o APP foi projetado para impedir os tipos de violações de conta que os operadores russos usavam para interromper a eleição presidencial de 2016 ao publicar emails confidenciais de altos funcionários democratas.

    Esses ataques apresentaram alvos com e-mails convincentes supostamente do Google. Eles alertaram, falsamente, que a senha da conta do alvo havia sido obtida por alguém de fora e deveria ser alterada imediatamente. Quando o presidente da campanha presidencial de Hillary Clinton, John Podesta e outros democratas, cumpriram, eles efetivamente entregaram suas senhas a hackers. Embora os hackers tenham muitas maneiras de comprometer as contas, o phishing continua sendo um dos mais populares, porque é fácil e porque a taxa de sucesso é muito alta.

    A APP torna esses ataques praticamente impossíveis. Os segredos criptográficos armazenados nas chaves físicas exigidas pelo APP não podem ser phishing e, teoricamente, não podem ser extraídos, mesmo quando alguém obtém acesso físico a uma chave ou corrompe o dispositivo ao qual está conectado. A menos que os invasores roubem a chave – algo que não é viável remotamente – eles não poderão fazer login, mesmo que obtenham a senha do alvo.

    Pense no APP como autenticação de dois fatores (2FA) ou autenticação multifatorial (MFA) em esteróides.

    Os profissionais de segurança consideram quase unanimemente que as chaves físicas são uma alternativa MFA mais segura aos aplicativos autenticadores, que fornecem uma senha em constante mudança que os usuários inserem como um segundo fator. As senhas temporárias são ainda mais problemáticas quando enviadas por mensagens de texto SMS, vulneráveis ​​a ataques de troca de SIM e a comprometimentos das redes de telefonia celular. Senhas de uso único também são problemáticas porque podem ser falsificadas e, em alguns casos, roubadas. Um estudo de 2016 com 50.000 funcionários do Google ao longo de dois anos descobriu que as chaves de segurança superam outras formas de 2FA, tanto por segurança quanto por confiabilidade. O APP combina a segurança das chaves físicas com um método rigoroso de bloqueio de uma conta. Ao configurar o APP pela primeira vez, os usuários devem registrar duas chaves de segurança, como as criadas por Yubico ou Titan Security. Depois que as chaves são registradas, todos os dispositivos que podem estar conectados à conta são desconectados automaticamente e só podem ser conectados novamente usando uma das chaves como segundo fator.

    Os usuários também devem usar as chaves ao efetuar login de novos dispositivos pela primeira vez. (O Google chama esse processo de inicialização). Depois que um dispositivo é autenticado, por padrão, não precisa mais do segundo fator de autenticação durante os logins subseqüentes. Mesmo assim, o Google pode exigir um segundo fator novamente, caso os funcionários da empresa vejam logins de IPs suspeitos ou outros sinais de que a conta foi ou está quase sendo invadida. O APP funciona com todos os aplicativos do Google e com a série Nest de serviços domésticos inteligentes, mas restringe os aplicativos de terceiros a apenas alguns. O Google diz que a APP fornece salvaguardas adicionais, mas nunca ofereceu muitos detalhes além disso.

    Para tornar a inicialização menos dolorosa, os usuários podem registrar seu Android – e, mais recentemente, seu dispositivo iOS – como uma chave física adicional que é ativada clicando em sim em uma tela que aparece automaticamente durante o processo de inicialização. O apelo dessa opção é que os usuários geralmente têm o telefone no bolso, tornando-o mais conveniente do que as chaves físicas tradicionais.

    Veja como fica no iOS e no Android:

    Uma chave de segurança interna em um iPhone (esquerda) e um Pixel (direita).
    Prolongar / Uma chave de segurança integrada em um iPhone (esquerda) e um Pixel (direita).

    As teclas baseadas no telefone – que estão em conformidade com o padrão WebAuthn recentemente introduzido (mais sobre isso mais tarde) – funcionam apenas quando o Bluetooth está ativado no telefone e no dispositivo que está sendo inicializado. Além disso, as teclas só funcionam quando o telefone e o dispositivo de inicialização estão próximos um do outro. Esse requisito corrige uma fraqueza de segurança no 2FA anterior baseado em envio, no qual os usuários pressionavam o botão OK em seus telefones após inserir com êxito uma senha da conta.

    De maneira semelhante às senhas temporárias dos autenticadores e do SMS, as proteções de autenticação por push podem ser ignoradas quando o login cronometrado com cuidado de um invasor segue de perto o alvo que tenta fazer logon no site falso do invasor. Como os alvos pensam que estão fazendo login, não têm motivos para não atingir o alvo. sim botão. O requisito Bluetooth adiciona um obstáculo adicional – não apenas o invasor deve ter a senha da conta do alvo e acertar as coisas perfeitamente, mas também o invasor Além disso tenha proximidade física com o dispositivo do alvo.

    Ótimo para Android, mas e o iOS?

    Como especialista em segurança e jornalista que trabalha com fontes anônimas de tempos em tempos, inscrevi-me no APP, tanto com minha conta pessoal quanto com minha conta pessoal, que usa o G Suite. (Eu tive que pedir ao meu administrador para permitir o APP primeiro, mas ele foi capaz de ativá-lo facilmente.) O processo para cada conta levou menos de cinco minutos, sem contar o tempo necessário para comprar duas chaves. A partir de então, uma chave física era o único meio de fornecer um segundo fator de autenticação.

    Embora o APP não seja uma bala mágica contra violações, ele faz mais do que qualquer outra medida em que posso pensar para evitar comprometimentos da conta resultantes de phishing e outros tipos de ataques que exploram senhas comprometidas. Gostei da garantia e também da usabilidade. Usando um Pixel XL com suporte a NFC, eu era capaz de usar facilmente chaves físicas em todos os dispositivos que possuía, mesmo durante os primeiros dias da APP, quando as opções principais eram mais limitadas. As coisas ficaram ainda mais fáceis quando eu pude usar meu telefone como chave de segurança.

    Até agora, no entanto, deixei de recomendar o uso geral do APP ou mesmo de chaves físicas para o 2FA em outros sites. Meu motivo: a prática de longa data da Apple de restringir fortemente o acesso à porta Lightning e, até recentemente, o iPhone e o iPad NFC, feitos com chaves baseadas em hardware nesses dispositivos, são proibidos de forma limitada. Não valia a pena recomendar um método de autenticação que fosse desagradável ou inadequado para usuários de uma das plataformas mais populares e influentes do mundo.

    Durante a maior parte da existência da APP, os únicos tipos de chaves físicas que funcionavam com iPhones e iPads eram dongles que usavam BLE, abreviação de Bluetooth Low Energy. Achei esses dongles frágeis, pesados ​​e propensos a falhas que às vezes exigiam três ou mais tentativas antes que os logins fossem bem-sucedidos. Essas chaves eram a antítese do mantra da Apple “Simplesmente funciona”.

    Pior ainda, tenho minhas dúvidas sobre a segurança do Bluetooth. Uma série de vulnerabilidades, tanto na especificação Bluetooth quanto em algumas de suas implementações, suscita preocupações legítimas de que elas não estão sujeitas a rigorosa auditoria de segurança. A divulgação do Google no ano passado de uma vulnerabilidade que possibilitou que hackers próximos sequestrassem o processo de emparelhamento do Titan Bluetooth não me fez sentir melhor. (A falha já foi corrigida.)

    Essa falta de opções-chave viáveis ​​estava fora do alcance do Google. A tradição da Apple de construir de dentro para fora – e sua aversão a tecnologias que não são testadas – tornaram a empresa lenta em abrir seus produtos a chaves baseadas em hardware. Como resultado, a Apple resistiu às chamadas para permitir que iPhones e iPads se conectassem à maioria dos dispositivos por NFC ou por sua porta Lightning.

    Embora as chaves baseadas em USB possam ser usadas em Macs (e dispositivos Windows e Linux) que executam o Chrome e, mais tarde, Firefox e outros navegadores, o Bluetooth continua sendo o único meio de conectar chaves a iPhones e iPads. Por fim, as teclas Bluetooth nunca pareciam entender. O fabricante de chaves Yubico, por exemplo, ainda não oferece produtos que usam Bluetooth. Comentários como esses em um fórum de suporte do Google capturam a frustração de alguns usuários com a falta de opções viáveis. Com o iOS e o iPadOS amplamente excluídos, o Google e alguns parceiros da indústria fizeram o possível para juntar alternativas.

    Em junho de 2019, por exemplo, o Google começou a permitir que os titulares de contas da APP usassem seus telefones Android como chaves de segurança para acessar seus iPhones e iPads, mas essa opção não ajudou muito a me convencer de que a APP estava pronta para o iPhone e iPad massas. Depois de superar a curva de aprendizado, a opção funcionou bem o suficiente. Mas, mesmo assim, a exigência de um segundo dispositivo móvel – rodando um sistema operacional rival – significava que provavelmente não atrairia uma grande porcentagem de usuários de iOS e iPadOS.

    Em agosto de 2019, a Yubico lançou o Yubikey 5Ci, uma chave que usava tecnologia proprietária para se conectar à porta Lightning da Apple, enquanto o mundo esperava que a Apple adicionasse suporte nativo. A maioria das pessoas mal notou porque o 5Ci só poderia ser usado com a versão iOS do navegador Brave e, em seguida, para um número extremamente pequeno de serviços. Mais navegadores e sites populares foram completamente deixados de fora. Somente no mês seguinte – setembro de 2019 – o Safari para macOS adicionou suporte a chaves físicas, tornando-o o último navegador principal a fazê-lo.

    Foi somente com o lançamento do iOS e iPadOS 13.3 em dezembro que a Apple adicionou suporte nativo para chaves NFC e USB através de um padrão de autenticação conhecido como FIDO2. Essas adições foram uma grande melhoria, mas elas vieram com suas próprias limitações. Sete meses depois, apenas o Safari e o Brave para iOS e iPadOS podem usar chaves de autenticação. Uma variedade de sites que oferecem 2FA baseado em hardware não funciona bem ou nada com o Brave. Enquanto o navegador trabalha com as chaves do Yubico, as chaves do Titan não são suportadas.

    Para frustração dos fabricantes de navegadores e operadores de serviços on-line, a Apple ainda não publicou as interfaces de programação que os navegadores de terceiros precisam para realmente ler as chaves usando o suporte nativo recentemente adicionado. (O Brave pode ler chaves 5Ci graças a uma interface proprietária Yubico. Para suportar chaves NFC Yubico, o Brave usa uma combinação de interfaces Yubico e um conjunto de APIs da Apple que dão aos aplicativos iOS e iPadOS acesso bruto aos dispositivos habilitados para NFC.) Um porta-voz da Apple confirmou que a empresa ainda não disponibilizou o suporte, mas afirmou que não deve ser interpretado como se não fosse acontecer no futuro.

    Todas essas restrições de usabilidade me impediram de recomendar amplamente as chaves físicas – novamente porque eu não queria endossar um método MFA para iOS e iPadOS e outro para todas as outras plataformas.


    Artigos Recentes

    3 smartphones abaixo de $ 400 que você pode (e realmente deve) comprar hoje

    O Digital Trends pode ganhar uma comissão quando você compra por meio de links em nosso site. Enquanto a Apple anuncia seu iPhone 12,...

    ProBeat: o PayPal aumentará as criptomoedas ao mesmo tempo que enfraquece seu ethos

    O PayPal está entrando no mercado de criptomoedas "nas próximas semanas". A empresa de carteira digital permitirá que os clientes dos EUA...

    AI Weekly: maneiras construtivas de retomar o poder da Big Tech

    O Facebook lançou um conselho de supervisão independente e voltou a se comprometer com as reformas de privacidade nesta semana, mas depois de...

    Artigos Relacionados

    DEIXE UMA RESPOSTA

    Por favor digite seu comentário!
    Por favor, digite seu nome aqui