Upload
mauro-duarte
View
35
Download
1
Embed Size (px)
Citation preview
Algo que o
usuário
sabe...
Algo que o
usuário
tem...
Algo que o
usuário
é...
Algo que o
usuário
faz...
Senhas e Autenticação
Por mais insuficiente que seja a combinação usuário/senha a situação sempre pode piorar:
* se você os deixar escolher uma senha sem qualquer critério, eles
automaticamente escolherão uma senha fraca, como “internacional” ou
“gremio”.“gremio”.
* se você os forçar a escolher uma senha forte com letras maiúsculas, minúsculas,
números e símbolos, eles irão anotar num papel e esconder embaixo do teclado.
* se você os pedir para alterar, eles alterarão para a mesma senha que usavam no
mês passado.
* quando você finalmente consegue fazê-los utilizar uma senha forte, eles
utilizarão essa mesma senha para diversos serviços diferentes.
O consultor de segurança Mark Burnett publicou 10 milhões de senhas junto a seus nomes de usuário
correspondentes.
A ideia é ajudar outros pesquisadores – ele acredita que a maioria das combinações usuário-senha já
foi desativada – mas é algo juridicamente arriscado.
Normalmente, pesquisadores de segurança recebem um conjunto de senhas sem os nomes de
usuário, só que isso os impede de analisar possíveis interações entre nomes e senhas.
http://gizmodo.uol.com.br/10-milhoes-senhas-nomes/https://xato.net/about/
“...há algum tempo, queria criar um banco de dados
limpo para compartilhar com o mundo”.
Ele acredita que fornecer nomes e senhas em
conjunto dá “insights melhores sobre o
comportamento do usuário e é valioso para promover
a segurança de senhas”.
Assim, Burnett se esforça para
explicar porque o FBI não deve
prendê-lo:
“Embora os pesquisadores normalmente só liberem senhas, eu estouliberando os nomes de usuário com as senhas. A análise de nomes esenhas é uma área que tem sido muito negligenciada e pode fornecermais insights que estudar senhas isoladamente.A maioria dos pesquisadores tem medo de publicar nomes deusuários e senhas juntos porque, combinados, eles se tornam umrecurso de autenticação. Se apenas fornecer o link para recursos deautenticação em um canal de IRC privado é considerado tráfico,certamente o FBI iria considerar a liberação pública de dados reais umcertamente o FBI iria considerar a liberação pública de dados reais umcrime…
… a intenção aqui certamente não é fraudar, nem facilitar o acessonão-autorizado a um sistema de computador, nem roubar a identidadede outros, nem auxiliar qualquer crime ou prejudicar qualquer pessoafísica ou jurídica. A única intenção é avançar as pesquisas com oobjetivo de tornar a autenticação mais segura e, portanto, nosproteger contra fraudes e acessos não-autorizados…
Em última análise, até o máximo que pude verificar, estas senhas nãosão mais válidas, e eu tomei medidas extraordinárias para tornaresses dados ineficazes em atacar determinados usuários ouorganizações. Estes dados são extremamente valiosos para finsacadêmicos e de pesquisa e para promover a segurança deautenticação, e é por isso que eu os liberei em domínio público.”
http://wpengine.com/unmasked/
WordPress Hosting Platform 10 Million Passwords Unmasked
Note que há uma
diferença regional
que precisa ser
levada em
consideração.
Faça o que eu digo, não faça o que eu faço! (as senhas dos Grandes de TI)
Afinal, se até o Comando
Aéreo Estratégico dos EUA
mantiveram por 20 anos os
códigos de lançamento doscódigos de lançamento dos
mísseis nucleares como
“00000000”, o que
impediria o usuário
mediano de usar senhas
fracas?
http://www.dailymail.co.uk/news/article-2515598/Launch-code-US-nuclear-weapons-easy-00000000.html
Conforme Bruce Schneier, o conceito de senhas está relacionado a um Oxímoro:
uma figura de linguagem que consiste em relacionar numa mesma expressão ou
locução palavras que exprimem conceitos contrários:
Uma senha segura é aquela onde o esforço para obtê-la é mais custoso do
que o benefício advindo de tal ato.
• silêncio ensurdecedor
• ilustre desconhecido
• mentiroso honesto
A ideia é ter uma palavra randômica fácil de lembrar para servir de autenticação.
Cristiano = fácil de lembrar, mas não é randômico
TRsdj-dsi18*54kuq(0 = randômico, mas não é fácil de lembrar
Porém esse cálculo é feito considerando-se o método de força bruta.
Em ataques de dicionário, uma wordlist será utilizada para tentar quebrar a senha
da vítima, ou seja, tudo dependerá:
• da qualidade da wordlist do atacante
• da qualidade da senha do usuário
O CUPP.py nos permitirá criar uma wordlist personalizada, sempre levando em
consideração que nosso usuário foi tolo o suficiente para utilizar informações
pessoais para compor uma senha.
Lembre-se: usando dados pessoais conseguidos através de currículos coletados na
Internet, redes sociais ou mesmo através de engenharia social, pode-se aumentar
ainda mais a qualidade da wordlist
Criando senhas fortes
Senha = MvJ,87,gbdl.
Frase = Meu vizinho João, 87, gosta bastante de limonada.
96 possibilidades em 12 dígitos (9612): 612.709.757.329.767.363.772.416
Note que esta já não é mais uma senha segura.
DICA DO DIA!!!!!!!!!!
Transforme algo que você sabe em algo que você tem e faça autenticação dupla ;o)
Escreva num pedaço de papel uma parte da senha e leve-o na sua carteira (afinal, é
onde você guarda seus documentos, seu dinheiro, seus cartões...). Você também podeonde você guarda seus documentos, seu dinheiro, seus cartões...). Você também pode
ter essa informação no seu celular, usando softwares como o Keepass.
Senha = MvJ,87,gbdl.@Mg7F-097DsLp-12 sendo que:
MvJ,87,gbdl. é a parte que eu sei e;
@Mg7F-097DsLp-12 é a parte que levo anotada na carteira ou celular.