Reduzir a nossa dependência de palavras-passe para aumentar a segurança

As violações de dados continuam a ser uma ameaça séria para todas as empresas. Em 2023, cerca de metade delas relataram ter sofrido uma violação de dados, de acordo com o Data Breaches Investigations Report. Nos Estados Unidos, mais de 90 milhões de contas foram violadas apenas no terceiro trimestre do ano, segundo estatísticas de violações de dados monitorizadas pela Surfshark. 

Quando se trata de prevenir violações de dados com autenticação segura, as palavras-passe podem ser um problema sério. Esse problema é seriamente agravado pelo facto de muitas empresas ainda confiarem nelas para fornecer acesso seguro.

Existem várias razões compreensíveis para que as passwords sejam a norma. Para os utilizadores, as passwords são familiares, convenientes e fáceis de entender. Para os administradores, as passwords são fáceis de implementar, suportadas pela infraestrutura existente, não requerem novo hardware e não custam nada. Como resultado desses fatores e outros, quase todos os dispositivos e serviços que usamos exigem autenticação por password.  
 
No entanto, para os hackers, as passwords são vulneráveis, valorizadas e valiosas. As passwords podem ser quebradas por humanos ou bots. Podem ser expostas acidentalmente. Podem ser roubadas numa violação de dados e usadas para executar muitas outras violações adicionais.

Faz sentido reduzir a nossa dependência de passwords e considerar alternativas, mas também é importante lembrar as razões pelas quais tantas empresas dependem delas, ao tentarmos suplementá-las ou substituí-las. Para garantir uma experiência de autenticação contínua e segura para os utilizadores, as principais prioridades para os administradores ao considerar alternativas às passwords devem incluir segurança, usabilidade e escalabilidade.

Aqui está uma visão de outros tipos de autenticações que podem ajudar a sua empresa a aumentar a segurança e reduzir a dependência geral de palavras-passe.

Autenticação de Dois Fatores (2FA) e Autenticação Multi-Fatores (MFA)

2FA e MFA são o padrão de segurança atual para a maioria das aplicações. Com 2FA, os utilizadores devem fornecer duas formas de identificação para obter acesso. Normalmente, um item é algo que o utilizador sabe, como uma palavra-passe, e o segundo item é algo que eles precisam ter, como um código enviado para uma aplicação de autenticação no seu dispositivo móvel. Os utilizadores demoram muito pouco tempo e esforço para iniciar sessão. O MFA adiciona camadas adicionais de autenticação ao processo, como biometria ou biometria comportamental. Para tentar violar o MFA, os hackers utilizam phishing direcionado, juntamente com ataques de fadiga de MFA, também conhecidos como MFA Bombing e MFA spamming.

Autenticação única (SSO)

Com o SSO, os utilizadores podem aceder a várias aplicações com apenas um conjunto de credenciais de login. Para os utilizadores, o SSO elimina a necessidade de muitas palavras-passe e simplifica a experiência de início de sessão. Para os administradores, o SSO pode ser muito eficaz quando se trata de aplicações empresariais internas, mas pode demorar muito tempo a configurar e a ligar utilizadores. O SSO também pode ser arriscado. Se um atacante obtiver acesso a uma conta de SSO, terá também acesso a todas as aplicações, dados, ambientes e sistemas ligados a essa conta. Por essa razão, o SSO pode ser especialmente arriscado quando é utilizado para atividades generalizadas na Internet e para aceder a serviços online, como o Facebook, o Google e a Microsoft.

Autenticação biométrica

Os métodos de autenticação biométrica mais populares incluem o reconhecimento de impressões digitais, facial e de voz. (A digitalização da íris é um método menos comum.) A autenticação biométrica oferece dois benefícios notáveis: é altamente segura e fácil de usar. Para os utilizadores, é uma experiência rápida, simples e fluida. Eles já estão familiarizados com o funcionamento da autenticação biométrica, pois alguns dispositivos de consumo usam essas capacidades. Por exemplo, o reconhecimento facial é usado para desbloquear as versões mais recentes do iPhone da Apple. Além disso, não precisam de se lembrar de uma palavra-passe, da resposta a uma pergunta de segurança ou de qualquer outra coisa. Para os administradores, a tecnologia necessária pode ser dispendiosa de implementar. Além disso, podem existir limitações técnicas, uma vez que nem todos os dispositivos conseguem facilitar a autenticação biométrica.

Tokens de hardware

Um token de hardware é um pequeno dispositivo que normalmente se assemelha a uma pen USB. Para adicionar uma camada extra de segurança, um token de hardware gera um código ou chave criptográfica de uso único e com tempo limitado para permitir a autenticação. Para infiltrar-se numa conta, um atacante teria de conhecer as credenciais de início de sessão do utilizador e ter acesso físico ao dispositivo.

Autenticação Baseada em Certificado (CBA)

A autenticação baseada em certificados (CBA) utiliza certificados digitais criptográficos para verificar a identidade de utilizadores, dispositivos ou máquinas, antes de permitir o acesso a aplicações, redes ou outros recursos. Ao contrário de alguns métodos de autenticação adaptados a utilizadores, como palavras-passe de uso único (OTP) e biometria, a autenticação baseada em certificados é aplicável em todos os endpoints, incluindo servidores, computadores pessoais, e-passaportes e qualquer dispositivo que pertença ao domínio da Internet das Coisas (IoT). 

Autenticação Baseada em Risco (RBA)

A Autenticação Baseada em Risco, muitas vezes referida como autenticação baseada em contexto, é o procedimento de confirmação da identidade de um utilizador durante a entrada, avaliando-o com base num conjunto de critérios predefinidos. O acesso aos recursos é então permitido ou negado, com base no nível de risco determinado. A ABR pode considerar muitos fatores diferentes, incluindo a hora do dia, localização, informações do dispositivo e do navegador, endereço IP, informações do utilizador e o contexto do pedido.

Para aumentar a segurança e facilitar o acesso dos utilizadores, mais empresas estão a recorrer a métodos de acesso sem senha, incluindo estes métodos de autenticação alternativos e suplementares. Muitos destes métodos são frequentemente utilizados como parte de uma abordagem mais ampla de Zero Trust Access. Tanto o acesso sem senha como o Zero Trust ajudam as empresas a proteger eficazmente os seus ativos das ameaças em evolução no panorama atual da cibersegurança.