A contagem está subindo. Todos os dias, uma pessoa comum acumula outra credencial de login.
Bancos. E-mail. Comércio eletrônico. Mídias sociais. O portal do escritório.
Você está gerenciando um exército crescente de sequências de caracteres. E alguém está sempre tentando roubá-los.
Os hackers não querem apenas acesso. Eles querem o dinheiro vinculado a esse acesso. Transações fraudulentas, identidades roubadas, contas esgotadas. O motivo é simples. O método é implacável.
Como você tranca a porta quando tem cinquenta chaves no bolso?
Uma nova abordagem está surgindo. Não se trata apenas de tornar as senhas mais difíceis de adivinhar. Trata-se de torná-los desnecessários.
A fadiga do atrito
Considere o dia típico do usuário.
Você acorda. Você verifica seu e-mail. Você faz login em seu aplicativo bancário. Você procura uma camisa nova. Você responde a uma mensagem de trabalho do Slack.
São cinco eventos de autenticação distintos.
Agora imagine fazer isso para cada serviço que você usa.
O atrito é real. E é perigoso.
Porque os usuários estão cansados. Quando a segurança fica muito complicada, as pessoas trapaceiam.
Eles usam a mesma senha em todos os lugares.
Eles escrevem.
Eles compartilham isso.
Isso cria uma vulnerabilidade enorme. Se um site for violado, o invasor terá a chave de todo o resto.
Phishing e força bruta
As ameaças também estão evoluindo.
Os ataques de phishing estão ficando mais inteligentes. Eles imitam sites legítimos com uma precisão assustadora. Você digita sua senha em uma página de login falsa. O hacker consegue isso instantaneamente.
Depois há a força bruta. Scripts automatizados tentam milhares de combinações por segundo. Se sua senha for “Password123”, pronto.
O dano financeiro é imediato.
Seu cartão de crédito foi cobrado. Sua identidade foi roubada. Sua reputação está comprometida.
A mudança para chaves de acesso
É aqui que entra o novo método.
Chama-se chaves de acesso.
Também conhecidas como credenciais FIDO2 ou WebAuthn.
O nome não importa tanto quanto a função.
As chaves de acesso substituem totalmente as senhas.
Eles contam com criptografia de chave pública.
Veja como funciona em inglês simples.
Seu dispositivo (telefone ou laptop) gera um par de chaves exclusivo.
Uma chave permanece no seu dispositivo. Nunca vai embora.
A outra chave é enviada para o site ou aplicativo. Esta é a chave pública.
Quando você faz login, seu dispositivo prova que possui a chave privada.
Isso é feito usando biometria ou um PIN.
ID facial. Impressão digital. Seu código de bloqueio de tela.
Não há segredo compartilhado. Nenhuma sequência de letras para adivinhar.
Se um site for hackeado, o invasor obterá apenas a chave pública. Inútil.
Eles não podem fazer engenharia reversa da sua senha.
Eles não podem usá-lo em outro lugar.
Por que isso é importante para você
Você não precisa entender a matemática.
Você só precisa saber o benefício.
Chega de lembrar de strings complexas.
Chega de redefinir senhas esquecidas.
Chega de cair em sites de phishing que pedem senha.
Um site de phishing pode parecer real. Pode até solicitar um código de verificação.
Mas sem o seu dispositivo físico e o seu consentimento biométrico, o login falha.
O hacker não ganha nada.
Este não é um conceito futuro.
As principais plataformas estão lançando
Por que as senhas simples estão falhando e como a segurança baseada em comportamento muda o jogo
Seu telefone é basicamente um computador com toda a sua vida no bolso. Dados bancários. E-mails privados. A lista continua. Essa conveniência tem um preço alto: o risco de infecção, cavalos de Tróia e hackers diretos. Quando os criminosos entram, o dano é real. Mesmo assim, continuamos facilitando demais para eles.
A pessoa média corre com mais de 20 contas protegidas por senha. Eles usam cerca de cinco senhas diferentes para mantê-los todos desbloqueados. Essa repetição é um pesadelo de segurança.
Como os criminosos realmente roubam suas chaves
Stephan Wiefling, especialista da Universidade de Ciências Aplicadas de Bonn-Rhein-Sieg (H-BRS), analisa as duas principais maneiras pelas quais os hackers contornam suas defesas. Nem sempre é magia de alta tecnologia.
Primeiro, há vazamentos massivos de bancos de dados. Lembra da Adobe? LinkedIn? MySpace? Esses sites geralmente armazenavam mal os dados do usuário. Os hackers roubam a combinação de e-mail e senha. Em seguida, eles usam uma técnica chamada “Recheio de credenciais”. É automatizado. Eles tentam essas mesmas credenciais em todos os outros sites que você usa. A Akamai, um provedor de serviços on-line, registra 250 milhões dessas tentativas diariamente. Se você reutilizar senhas, estará pronto.
Em segundo lugar está a arte de adivinhar. Parece ingênuo. Funciona de qualquer maneira. Wiefling observa que as taxas de sucesso atingiram 70% em menos de 100 tentativas. Por que? Porque os humanos são previsíveis. Os hackers usam seu nome, o nome do seu animal de estimação, aniversários de família. Eles alimentam isso em modelos estatísticos para gerar uma lista das senhas mais prováveis. O computador adivinha o que você acha que é inteligente. Geralmente está errado.
Um novo escudo: reconhecendo quem você é de verdade
Para impedir isso, Wiefling desenvolveu um sistema de proteção. Ele não apenas verifica se sua senha está correta. Ele verifica se você é quem está digitando.
Isso é chamado de risiko-basierte Authentifizierung (autenticação baseada em risco). O sistema aceita seus dados de login, desde que nada pareça estranho. Se detectar um comportamento estranho, exige uma segunda etapa de verificação.
O que é considerado estranho? Usando um dispositivo no qual você nunca fez login antes. Fazendo login em um local geográfico que você nunca visitou. Ou acessar o site às 3 da manhã de uma terça-feira, quando você normalmente está dormindo. O sistema sinaliza esse desvio. Ele pede provas.
Conforto encontra cautela
Para a maioria dos sites, isso é muito fácil. Você digita sua senha uma vez. Se o comportamento for normal, você está dentro. Um estudo de laboratório com quase 70 participantes confirmou que isso funciona. Os usuários se sentiram significativamente mais seguros com a autenticação baseada em riscos do que com senhas simples. Eles preferiram isso para mídias sociais e sites de compras.
Mas e as contas bancárias?
As pessoas são diferentes lá. Num segundo estudo, os participantes recusaram-se a confiar apenas no comportamento em locais de alta segurança. Eles queriam a tradicional autenticação de dois fatores (2FA). Isso significa sempre fazer login duas vezes. Senha mais um PIN único. É mais atrito. Mas pelo seu dinheiro, você aceitará.
O que torna uma senha realmente segura?
Nada disso funciona se sua senha base for lixo. Wiefling sugere usar um gerenciador de senhas. Muitos navegadores oferecem isso integrado.
Aqui está a parte contra-intuitiva: a complexidade não é rei. O comprimento é. Uma frase longa e memorável como “Montags arbeite ich oft sehr gerne” é melhor do que uma frase curta e caótica como “$Le90pch”. É mais difícil para um computador forçar uma frase longa com força bruta.
E por favor. Pare de reutilizar senhas. Utilize o gerenciador. Ele os armazena em um cofre digital criptografado. Você só precisa lembrar uma senha mestra. Essa chave desbloqueia todo o resto.
Não é perfeito. O sistema ainda pode ser enganado se um invasor conhecer sua rotina. Ou se você estiver viajando e o sistema sinalizar seu comportamento normal como suspeito. Mas é um avanço em relação à esperança de que ninguém adivinhe o nome do seu cachorro.
Você ainda precisa ter cuidado. As ferramentas ajudam. Eles não salvam você.
