Segurança versus conveniência: a verdade sobre a biometria

Visão geral

Existe um equívoco entre o público em geral envolvendo a biometria e seu uso na proteção de nossas informações privadas. A crença comum entre as pessoas diz que a biometria, como o Touch ID ou o Face ID, pode ser usada para eliminar senhas tradicionais. No entanto, isso está longe da verdade. Como descrito aqui, a biometria serve apenas como um elemento de conveniência para os usuários, ou como um segundo fator de autenticação.

Ainda precisamos de senhas

Cada software, aplicativo em nuvem ou site que usamos diariamente exige a criação de uma conta. Normalmente, isso significa fornecer um nome de usuário (ou e-mail) e uma senha. Muitos serviços também oferecem a opção de “fazer login com o Google” ou “fazer login com o Facebook”, que delegam a autenticação a um provedor de identificação confiável de terceiros, usando protocolos OAuth ou OpenID Connect. Esses provedores de identificação não exigem apenas um nome de usuário e uma senha, mas geralmente também solicitam uma autenticação de segundo fator (por exemplo, um código de acesso único por mensagem de texto ou equivalente). No mundo dos negócios, há um grande número de provedores de identificação amplamente utilizados, como Okta, Azure e JumpCloud, que usam um protocolo diferente (SAML 2.0) para fornecer capacidades de Single Sign-on (SSO). Mais uma vez, cada um desses provedores exige o uso de um nome de usuário E uma senha para fazer login em seus sistemas.

Como funciona a biometria em dispositivos móveis

Como exemplo, vamos ver o iOS. Quando você ativa o recurso Touch ID, os dados da sua impressão digital são armazenados pela Apple em um chipset no dispositivo e não ficam disponíveis de maneira alguma para desenvolvedores de software. Os desenvolvedores de software que desejam tirar proveito do Touch ID podem simplesmente pedir ao sistema operacional para solicitar sua impressão digital e esperar por um resultado “aprovado” ou “reprovado”. Se o resultado for “aprovado”, alguns dos dados que o desenvolvedor armazenou no keychain podem ser recuperados (por exemplo, uma chave de criptografia ou uma senha). Isso pode ser usado para contornar a tela de inserção de senha do aplicativo e fazer o login do usuário automaticamente. Usar esse processo simplesmente proporcionou uma conveniência para o usuário ao não exigir que ele digite sua senha. Mas uma senha ainda foi transferida entre o keychain e o aplicativo.

Agora, e se a senha de um aplicativo específico fosse fraca (por exemplo, 123456)? O fato de que a biometria foi usada para pegar a senha do keychain e entregá-la ao aplicativo não fez nada para fortalecer a segurança. Se o aplicativo permitiu essa senha fraca, pode-se deduzir que um invasor do outro lado do mundo poderia adivinhar sua senha e também entrar no mesmo aplicativo.

Os aplicativos que utilizam biometria para fazer login estão simplesmente armazenando sua senha no keychain ou no elemento seguro do dispositivo. Os dados biométricos nunca são convertidos diretamente em uma senha ou chave. Eles só podem ser usados em uma operação com resultado “aprovado” ou “reprovado” para obter informações do hardware que foram lá armazenadas anteriormente pelo aplicativo. Por esse motivo, a biometria está fornecendo apenas um método de conveniência, não segurança adicional.

É de conhecimento geral que fabricantes de hardware como a Apple e o Google nunca fornecerão aos desenvolvedores de sites ou aplicativos os dados biométricos reais usados para identificar os usuários. Isso seria vazar informações privadas do usuário e expor dados biométricos a possíveis roubos ou invasões.

Por que uma senha é sempre necessária

O primeiro motivo principal para a necessidade de senhas é que elas podem ser alteradas. Se a sua senha para um serviço for vazada por acidente ou for roubada por um invasor, você pode simplesmente redefinir sua senha no site que foi prejudicado. Mas você não pode redefinir sua impressão digital ou seu rosto.

Em segundo lugar, apenas uma senha forte e exclusiva é resiliente a um ataque de força bruta, porque ela existe apenas em seu cérebro (ou em um gerenciador de senhas criptografado).

E, por último, nos produtos mais seguros, os dados de sua senha são criptografados. A criptografia requer uma chave cifrada para descriptografia das informações armazenadas. Uma chave só pode ser obtida a partir de uma senha forte digitada exatamente da mesma maneira todas as vezes. Uma chave de criptografia não pode ser obtida diretamente de uma impressão digital. Isso ocorre porque os sistemas operacionais não fornecem dados biométricos brutos para os desenvolvedores — isso significaria o risco de vazamento da sua impressão digital para o mundo inteiro. E mesmo que os dados biométricos brutos estivessem disponíveis para desenvolvedores de software, não estariam de uma forma que seja utilizável como uma chave de criptografia. A descriptografia funciona ou não funciona — a chave não pode estar errada nem mesmo por um único 0 ou 1. É de conhecimento geral que a biometria nunca é exata, e um resultado “aprovado” ou “reprovado” é uma aproximação. A descriptografia nunca pode ser realizada com base em uma aproximação.

Você é tão forte quanto seu código de acesso

O fato é que no iOS os recursos do Touch ID e do Face ID podem ser contornados digitando o código de acesso do dispositivo. Para a maioria das pessoas, este é um número de 4 ou 6 dígitos. A Apple e o Android forçam os usuários a inserir constantemente esse código como um mecanismo de reserva. Portanto, se o código de acesso do seu dispositivo for vazado, um invasor poderá fazer login no seu dispositivo e definir uma nova impressão digital ou redefinir sua ID facial. Isso pode surpreender muitos usuários e encorajá-lo a configurar um código de acesso alfanumérico mais forte no seu dispositivo. É importante buscar um produto que permita que os clientes optem por não usar o Touch ID e restringir o uso de biometria.

Criptografia é importante

Busque um produto que seja “conhecimento zero”. Isso significa que suas informações armazenadas dentro do produto são criptografadas e decriptadas apenas no nível do dispositivo — usando uma chave de criptografia obtida a partir de sua senha principal.

Se um site, aplicativo ou serviço simplesmente permite que você faça login sem uma senha, ou se o serviço não estiver realizando descriptografia do lado do cliente, você deve estar ciente de que isso significa que suas informações são armazenadas nos servidores deles, totalmente abertas. Se os funcionários dessa empresa quiserem visualizar suas informações, eles têm plena capacidade para fazê-lo. Isso também significa que, se a empresa tiver um bug em seu software, suas informações poderiam, em teoria, ser expostas publicamente na internet.

Isso pode não ser importante para você, dependendo do tipo de informações armazenadas no serviço. Mas no caso de arquivos confidenciais, senhas e outras informações secretas, pode ser devastador. As informações privadas e confidenciais devem ser criptografadas no nível do dispositivo, e isso só pode ser alcançado com uma chave de criptografia derivada de algo em seu cérebro que ninguém mais sabe (uma senha!).

É extremamente difícil desenvolver um produto “conhecimento zero”. É por isso que a maioria das empresas não faz isso. O importante para os usuários e empresas é entender quais informações você está armazenando e qual nível de conforto você tem com a empresa que está protegendo suas informações.

No que diz respeito à biometria, a principal conclusão é que uma biometria não pode criptografar diretamente suas informações. Portanto, qualquer serviço que não tenha proteção de senha e se baseie completamente em biometria para acesso não pode ser considerado totalmente seguro.

Biometria como segundo fator de autenticação

Como um segundo fator para fazer login em um dispositivo, a biometria pode ser valiosa para a maioria dos aplicativos, preservando também os mais altos níveis de segurança. Por exemplo, após digitar uma senha ou usar seu gerenciador de senhas para fazer login em um site ou aplicativo no seu PC, você pode ser solicitado a autenticar com sua impressão digital ou reconhecimento facial em seu dispositivo móvel.

Esse tipo de fluxo de trabalho exigiria que o desenvolvedor do aplicativo ou do site estivesse integrado a um aplicativo móvel, ou a um serviço de autenticação de terceiros que seja compatível com dispositivos biométricos. Para associar adequadamente uma autenticação biométrica como um segundo fator, deve haver um recurso de registro e um backend que comunique com segurança as informações do segundo fator entre o aplicativo e os servidores de backend.

Portanto, ao usar a biometria como um segundo fator, o elemento mais importante na proteção de suas informações é baseado no canal de comunicação entre o dispositivo biométrico e os servidores de backend. Um hacker tentando invadir uma conta protegida por um dispositivo biométrico usará seu tempo tentando enganar os servidores para autenticar o usuário, em vez de tentar invadir o leitor de impressões digitais. Portanto, a confiança que você deposita em seu aplicativo ou provedor de software é baseada não apenas no fato de que eles têm uma autenticação biométrica, mas também no método de implementação.

Resumo

A biometria está se tornando mais comum, mas é importante que o público entenda a diferença entre a segurança que eles fornecem e a conveniência adquirida. Cada usuário individual e organização tem um nível diferente de aversão ao risco. A biometria não pode fornecer segurança por conta própria, e uma estratégia forte de gerenciamento de senhas é fundamental para prevenir ataques cibernéticos e roubo de dados.

Os dispositivos móveis e PCs que incorporam autenticação biométrica estão simplesmente fornecendo uma maneira conveniente de transferir uma senha do hardware físico para o aplicativo no qual você está fazendo login. Ter uma senha fraca ou usar a mesma senha para vários aplicativos e sites ainda significa se expor a hackers e roubo de dados, mesmo se você usar um dispositivo biométrico. No entanto, como um segundo fator, a biometria pode fornecer um mecanismo de segurança conveniente e valioso quando implementado com segurança pelo provedor de software.

Craig Lurey
CTO, Keeper Security