Tweet

Paradigmas e Técnicas de Autenticação

O processo de Autenticação fornece garantia sobre a identidade de um usuário, verificando se você é quem diz ser.

Podemos chamar de Reclamante a pessoa (ou sistema) cuja identidade será verificada.

Credenciais são a evidência que um reclamante apresenta para estabelecer sua identidade.

Assim o sistema de autenticação nos fornece proteção contra ataques como man-in-the-middle, mascaramento e spoofing, por exemplo.

Tipos de Autenticação

– Autenticação de entidade: um usuário afirma ter uma identidade legítima em um sistema.

– Autenticação de origem de dados: Fornece evidência de que dados, como uma mensagem de email, foram originados de um usuário legítimo.

A autenticação de entidade pode ainda se subdividir em:

– Unilateral: Apenas uma das partes envolvidas na comunicação se autentica

– Mútua: Ambas as partes devem se autenticar.

Paradigmas de Autenticação

• Algo que você sabe: o reclamante possui uma informação, como uma senha ou um PIN;
• Algo que você possui: o reclamante demonstra a posse de algo, como uma chave física, um crachá, um cartão ou uma chave privada em um smart card.
• Algo que você é: baseado em alguma característica imutável do reclamante, como impressão digital, voz, padrão de retina ou geometria das mãos.

Algo que você sabe – Senhas e PINs

Senhas são o mecanismo de autenticação mais usado para autenticar um usuário.

Neste modelo, o reclamante prova sua identidade apresentando o conhecimento de uma string de caracteres.

As senhas são uma das maiores vulnerabilidades de um sistema de autenticação, pois as pessoas tendem a escolher senhas fáceis de memorizar – e, por isso, fáceis de adivinhar.

Tipos de ataques a senhas

– Pode ser descoberta se for transmitida sem criptografia em uma rede;

– Um intruso entra em um sistema e lê o arquivo de senhas;

– Alguém pode adivinhar facilmente uma senha mal escolhida;

– Pode ser possível quebrar uma senha usando um ataque de dicionário;

– É possível inclusive enganar um usuário fazendo-o revelar sua senha.

Algo que você tem – Tokens

Um reclamante pode fornecer evidência de sua identidade ao demonstrar a posse de um token.

Um token é um objeto físico, como uma chave, um documento de identidade, um dispositivo eletrônico ou um smart card, por exemplo.

Geralmente os tokens são usado em conjunto com uma senha para fornecer um grau mais elevado de certeza com relação à identidade de um reclamante.

Smart Cards

Um Smart Card é um token do tamanho de um cartão de crédito que contém um microprocessador, memória para armazenar programas e dados, e contatos elétricos usados como interface com um leitor de cartões, o qual também fornece energia elétrica ao dispositivo.

Geralmente o smart card possui um valor secreto armazenado, como uma chave privada de assinatura digital ou um número secreto, usado para realizar a autenticação do portador do cartão.

Tokens Desconectados

Token de senha de uso único síncrono”

É um tipo de token que não possui conexão física nem lógica com o computador cliente.

Possuem um display que mostra um código de autenticação que muda, por exemplo, a cada minuto.

O código pode ser usado então para realizar autenticação em um sistema, geralmente on-line, como um bankline.

Algo que você é – Biometria

A Biometria fornece garantia da identidade de um reclamante baseado em características humanas físicas, comportamentais e morfológicas mensuráveis.

A biometria é usada geralmente em combinação com outros paradigmas de autenticação para obtermos um nível mais alto de segurança.

Exemplos de Biometria

Padrões de Retina – testam os padrões únicos de vasos sanguíneos no tecido da retina de uma pessoa.

Impressões Digitais – Padrões únicos de impressão digital do usuário.

Formato da mão – Exame das medidas geométricas da mão de uma pessoa.

Padrões de Voz – O sistema explora os padrões vocais, acústicos, fonéticos ou até mesmo linguísticos.

Assinatura – Padrões únicos de uma assinatura manual convencional.

Assista agora a um vídeo da Bóson Treinamentos sobre Criptografia e Paradigmas de Autenticação: