Escrito por
Keeper Security
O BreachWatch é um novo e poderoso complemento seguro que monitora a internet e a dark web em busca de contas violadas cujos registros correspondam àqueles armazenados no seu Keeper Vault.
O BreachWatch oferece o monitoramento mais profundo disponível para o público, com um banco de dados de mais de um bilhão de registros, mantendo a arquitetura de segurança de última geração e Conhecimento zero do Keeper.
O BreachWatch alerta você para que possa tomar medidas imediatas para se proteger contra hackers. Uma vez ativado, o BreachWatch faz o monitoramento contínuo de credenciais comprometidas. Monitorando mais de um bilhão de senhas conhecidas, estamos continuamente adicionando novas informações, à medida que violações são descobertas na dark web.
Inscrever-se é fácil. No seu dispositivo móvel, navegue até a tela do BreachWatch e siga as instruções. Você também pode comprar o BreachWatch diretamente no site da Keeper Security.
Após a inscrição, o BreachWatch realiza uma verificação local das senhas que estão atualmente armazenadas no seu Keeper Vault. Os clientes são notificados se alguma das informações de sua conta corresponder a credenciais conhecidas por estarem em risco.
Purchase a Keeper Plus bundle and get BreachWatch included.
1. Os clientes são notificados automaticamente se qualquer senha no cofre corresponder a uma senha violada.
2. A correção da violação de senha é realizada dentro do aplicativo, mudando a senha no site ou serviço afetado.
3. O Keeper monitora o histórico de resolução de cada senha violada para auditoria histórica.
Veja aqui um vídeo do BreachWatch em ação no iOS:
O BreachWatch também está disponível no Cofre da Web do Keeper e no aplicativo Keeper Desktop:
Visão geral da segurança
O BreachWatch é uma arquitetura de conhecimento zero que utiliza várias técnicas sobrepostas para proteger as informações dos clientes. Em resumo:
1. Uma função de hash criptográfico segura e com chave, além de anonimização (descrita abaixo), são usadas para realizar uma comparação de senhas em relação a um banco de dados de informações de contas comprometidas.
2. As senhas do cliente são processadas com um módulo de segurança de hardware (HSM) e uma chave secreta não exportável antes de serem verificadas contra senhas violadas ou armazenadas nos servidores do BreachWatch.
3. Os clientes do Keeper interagem com o BreachWatch usando IDs anônimos do BreachWatch que não são vinculados a outros identificadores de clientes do Keeper.
4. O BreachWatch separa nomes de usuário e senhas em serviços separados com IDs distintas e anônimas para desvincular nomes de usuário e domínios de senhas.
5. Os clientes do BreachWatch nunca fazem upload de informações de domínio; apenas baixam domínios (a maneira mais segura de realizar a obtenção de informações privadas).
Figura 1. O caminho dos dados de senha com hash de um cliente através do BreachWatch. Apenas as senhas fortalecidas com um HSM e uma chave não exportável são armazenadas nos servidores do BreachWatch. Os clientes do BreachWatch usam IDs anônimas ao interagir com servidores do BreachWatch.
Identificação segura de contas violadas
Comparar as credenciais do cliente com um grande banco de dados de informações violadas de maneira privada é tecnicamente desafiador. A solução precisa ser segura e processável com eficiência usando os recursos disponíveis, incluindo processamento e largura de banda. Em geral, esta é uma instância concreta da interseção de um conjunto privado ou um problema de obtenção de informações privadas. Os clientes do Keeper têm um banco de dados local de nomes de domínio, nomes de usuário e senhas. O BreachWatch tem um grande banco de dados dos mesmos itens. Um requisito fundamental da nossa solução é um modelo de segurança que possa determinar quais senhas são vulneráveis sem expor essas informações ao serviço do BreachWatch.
A solução mais simples para o problema de obtenção de informações privadas é que o aplicativo cliente faça o download do conjunto de dados e realize a comparação localmente. Isso é viável para comparações de domínio (o conjunto é pequeno), mas o conjunto de nomes de usuário e senhas violados tem mais de um bilhão de pontos de dados. Não seria prático ou possível transferir essa quantidade de informações diretamente para os dispositivos do cliente.
Técnicas como filtros de Bloom [1] criptografados podem ajudar a reduzir o tamanho dos downloads e ainda manter o processamento no lado do cliente, a fim de preservar os mais altos níveis de segurança de dados. No entanto, um filtro de Bloom criado em conjuntos de dados dessa magnitude ainda é muito grande para a maioria dos dispositivos dos clientes. Além disso, o filtro de Bloom precisaria ser atualizado a cada semana à medida que o banco de dados da violação é atualizado.
Alguns sistemas usam k-anonimato [2], embora com hashes de senha truncados e sem sal, mas essa técnica não é segura. Em suma, em vez de fazer upload de senhas (ou hashes de senhas) para o servidor para realizar a verificação, os clientes fazem upload de um hash truncado de cada senha (digamos, os primeiros 20 bits) para o servidor. Esse hash truncado corresponderá a um conjunto um pouco maior de senhas que são baixadas e verificadas no dispositivo do cliente. O problema com essa abordagem é que o tamanho do conjunto baixado corresponde à ambiguidade do servidor (ou do invasor). Portanto, considerando que um cliente baixe 100 senhas em relação a cada hash truncado enviado, caso o hash truncado de um cliente for exposto (ou roubado do servidor), o atacante terá apenas 100 senhas distintas que precisam ser verificadas. Se um invasor puder testar 5 senhas por dia sem bloquear uma conta, conseguirá acesso a ela em 20 dias.
Figura 2. Os domínios de clientes são verificados localmente: a técnica mais segura em uso para obtenção de informações privadas.
A solução do BreachWatch
Para criar um serviço seguro, o Keeper dividiu o BreachWatch em três serviços: um para verificar domínios, um para verificar nomes de usuário e um para verificar senhas. Os aplicativos de cliente do Keeper contatam cada um desses serviços de backend usando uma API REST criptografada.
Verificação de domínio
A verificação de domínio é a solução mais direta dentre as três verificações que realizamos. Os clientes do BreachWatch baixam uma lista de domínios que foram violados e realizam a verificação localmente. Essa é a solução mais simples (e mais segura) para o problema de obtenção de informações privadas. E, periodicamente, os clientes baixam listas atualizadas de novos domínios à medida que são adicionados ao nosso serviço do BreachWatch.
Nome de usuário e senha
Os serviços de verificação de nome de usuário e senha são mais complexos porque esses conjuntos de dados são muito grandes. Precisamos testar nomes de usuário e senhas offline para que os clientes possam ser alertados se uma nova violação comprometer uma conta. Para esses serviços, os dispositivos dos clientes se conectam ao BreachWatch e fazem upload de uma lista de nomes de usuário com hash (ou senhas) com um identificador aleatório selecionado pelo cliente (identificadores separados para os serviços de verificação de nome de usuário e senhas). Esses hashes de senha são processados no upload com HMAC [3] usando um módulo de segurança de hardware (HSM) e uma chave secreta armazenada no HSM marcada como não exportável (o que significa que o HSM processará apenas o HMAC localmente e a chave não pode ser extraída). Essas entradas com HMAC (nomes de usuário ou senhas) são comparadas aos conjuntos de dados da violação que foram processados com o mesmo HMAC e chave. Quaisquer correspondências são comunicadas ao dispositivo do cliente. Quaisquer valores que não correspondam são armazenados junto à ID anônima do cliente.
À medida que novos nomes de usuário e senhas violados são adicionados ao sistema, eles são processados com HMAC no HSM, adicionados ao conjunto de dados do BreachWatch e comparados com os valores do cliente armazenados. Se houver correspondências, uma mensagem é colocada na fila para esse ID de cliente.
Os clientes se conectam periodicamente ao BreachWatch e apresentam suas IDs do BreachWatch. Mensagens que estiverem na fila são baixadas e os clientes fazem upload dos nomes de usuário e senhas novos ou alterados, que são processados da mesma maneira.
A segurança dos serviços do BreachWatch é baseada em TOFU (trust on first-use). Ou seja, os clientes devem considerar que o servidor do BreachWatch não é malicioso (ou seja, não é comprometido ativamente por um invasor) quando o cliente faz upload de seus valores com hash. Quando esses valores são processados com um HSM, eles ficam protegidos contra tentativas de cracking offline. Em outras palavras, se um invasor roubar o conjunto de dados de valores de clientes armazenados, ele não poderá decifrar esses valores offline sem a chave HMAC armazenada no HSM.
A solução mais segura do setor
O BreachWatch do Keeper permite que os clientes identifiquem e sejam alertados sobre contas que estão em risco devido a violações de senhas. Fazer essa verificação em um ambiente de conhecimento zero é extremamente difícil de desenvolver, mas, para a equipe de engenharia do Keeper, a segurança do cliente é a principal prioridade.
O BreachWatch é mais seguro do que os sistemas que armazenam hashes simples (ou truncamentos) ou exigem que os clientes façam upload de todas as credenciais novamente cada vez que uma nova violação é descoberta. O BreachWatch fornece identificação segura de violações e segurança forte.
O BreachWatch é uma ferramenta de monitoramento que verifica a dark web em busca de credenciais de contas roubadas. O BreachWatch o notificará se uma senha no seu cofre corresponder a uma senha identificada em violações anteriores.
As senhas de alto risco foram identificadas em violações anteriores. Os hackers criam “dicionários” com essas senhas e as usam em seus ataques. Usar essas senhas o coloca em risco.
O BreachWatch é de conhecimento zero e completamente seguro. Os funcionários e os sistemas de backend do Keeper não têm acesso à descriptografia de suas senhas, nem têm conhecimento delas. Consulte a seção de arquitetura técnica desta postagem no blog para obter comunicações detalhadas sobre segurança.
O BreachWatch está disponível aos consumidores para compra diretamente pelo site do Keeper Security, no iOS e no Android. No seu dispositivo móvel, o BreachWatch pode ser comprado como um complemento para sua assinatura atual. Também, os usuários gratuitos podem fazer upgrade para um pacote integrado do Keeper Unlimited + BreachWatch ou do Plano Keeper Family + BreachWatch.
Sim — o BreachWatch está disponível para todos os clientes pessoais, familiares e comerciais/empresariais.
Não. Para aproveitar as verificações contínuas e ilimitadas em dispositivos ilimitados, você pode comprar o BreachWatch como um complemento para qualquer assinatura do Keeper.
Uma vez comprado, o BreachWatch monitorará todas as credenciais armazenadas no seu Keeper Vault.
Uma vez ativado e comprado, o BreachWatch estará sempre verificando as informações da sua conta no banco de dados de registros roubados conhecidos e alertará você dentro do aplicativo sempre que houver uma correspondência.
O BreachWatch é um serviço de conhecimento zero profundamente integrado ao seu Keeper Vault privado. O BreachWatch verifica constantemente seus registros do Keeper contra violações de dados públicos e o alerta dentro do seu cofre, em tempo real; assim, você pode tomar medidas imediatas para se proteger. Nenhum outro serviço disponível no mercado (gratuito ou pago) oferece a conveniência, velocidade de alerta, segurança e proteção do BreachWatch. Para mais informações, leia nossa postagem no blog sobre as vantagens do BreachWatch.
Se tiver alguma dúvida sobre o serviço BreachWatch do Keeper ou a infraestrutura de segurança, entre em contato com nossa equipe de segurança pelo e-mail security@keepersecurity.com. O Keeper Security mantém um programa público de divulgação de vulnerabilidades com o Bugcrowd, que pode ser acessado em https://bugcrowd.com/keepersecurity.
[1] Pesquisas com privacidade aprimorada usando filtros de Bloom criptografados (em inglês). https://mice.cs.columbia.edu/getTechreport.php?techreportID=483
[2] https://blog.cloudflare.com/validating-leaked-passwords-with-k-anonymity/
Você também pode gostar de
O Keeper Security foi apresentado pelo Okta, líder de gerenciamento de acesso no Gartner Magic Quadrant, como o sétimo aplicativo de crescimento mais rápido em número de clientes no relatório Business at Work de 2024 da...
Selecionar idioma