Desanimado com as consequências de Heartbleed? Você não está sozinho. O pequeno bug na biblioteca SSL mais popular do mundo abriu enormes buracos na segurança que envolve nosso comunicações com todos os tipos de sites, aplicativos e serviços baseados em nuvem – e as lacunas nem são todas corrigido ainda.
O bug Heartbleed permitiu que os invasores retirassem o revestimento resistente à espionagem do OpenSSL e espiassem as comunicações entre cliente e servidor. Isso deu aos hackers uma visão de coisas como senhas e cookies de sessão, que são pequenos pedaços de dados que o o servidor envia para você depois que você faz login e seu navegador envia de volta toda vez que você faz algo para provar que é você. E se o bug afetou um site financeiro, outras informações confidenciais que você estava passando pela Internet, como cartão de crédito ou informações fiscais, podem ter sido vistas.
Vídeos recomendados
Qual a melhor forma de a Internet se proteger contra erros catastróficos como este? Temos algumas ideias.
Sim, você precisa de senhas mais seguras: veja como criá-las
Ok, senhas melhores não impediriam o próximo Heartbleed, mas podem evitar que você seja hackeado algum dia. Muitas pessoas são péssimas em criar senhas seguras.
Você já ouviu tudo isso antes: não use “senha1”, “senha2” etc. A maioria das senhas não tem o que é chamado de entropia – elas são definitivamente não aleatório e eles vai ser adivinhado se um invasor tiver a oportunidade de fazer muitas suposições, seja martelando o serviço ou (mais provavelmente) roubar os hashes de senha – derivações matemáticas das senhas que podem ser verificadas, mas não revertidas para o original senha.
Faça o que fizer, não use a mesma senha em mais de um lugar.
Softwares ou serviços de gerenciamento de senhas que usam criptografia de ponta a ponta também podem ajudar. KeepPass é um bom exemplo do primeiro; Última passagem deste último. Guarde bem o seu e-mail, pois ele pode ser usado para redefinir a maioria das suas senhas. E faça o que fizer, não use a mesma senha em mais de um lugar – você está apenas procurando problemas.
Os sites precisam implementar senhas de uso único
OTP significa “senha de uso único” e você já pode usá-la se tiver um site/serviço configurado que exija o uso Autenticador Google. A maioria desses autenticadores (incluindo o do Google) usa um padrão da Internet chamado TOTP, ou Time-based One-Time Password, que está descrito aqui.
O que é TOTP? Resumindo, o site em que você está gera um número secreto, que é passado uma vez ao seu programa autenticador, normalmente por meio de um Código QR. Na variação baseada no tempo, um novo número de seis dígitos é gerado a partir desse número secreto a cada 30 segundos. O site e o cliente (seu computador) não precisam se comunicar novamente; os números são simplesmente exibidos em seu autenticador e você os fornece ao site conforme solicitado, juntamente com sua senha, e pronto. Há também uma variação que funciona enviando os mesmos códigos para você por meio de uma mensagem de texto.
Vantagens do TOTP: Mesmo que o Heartbleed ou um bug semelhante resultasse na divulgação de sua senha e do número do seu autenticador, o site que você está com quem interagir quase certamente já marcou esse número como usado e ele não pode ser usado novamente - e será inválido em 30 segundos de qualquer maneira. Se um site ainda não oferece esse serviço, provavelmente poderá fazê-lo com relativa facilidade e, se você tiver praticamente qualquer smartphone, poderá executar um autenticador. É um pouco inconveniente consultar seu telefone para fazer login, é verdade, mas o benefício de segurança para qualquer serviço de seu interesse faz valer a pena.
Riscos do TOTP: Invadindo um servidor diferente forma poderia resultar na divulgação do número secreto, permitindo ao invasor criar seu próprio autenticador. Mas se você estiver usando o TOTP em conjunto com uma senha que não é armazenada pelo site, a maioria dos bons provedores armazena um hash que é fortemente resistente à engenharia reversa - então, entre os dois, o risco é grande abaixado.
O poder dos certificados de cliente (e o que são)
Você provavelmente nunca ouviu falar de certificados de cliente, mas na verdade eles já existem há muito tempo (nos anos da Internet, é claro). A razão pela qual você provavelmente nunca ouviu falar deles é que eles são uma tarefa árdua. É muito mais fácil fazer com que os usuários escolham uma senha, portanto, apenas sites de alta segurança tendem a usar certificados.
O que é um certificado de cliente? Os certificados de cliente provam que você é a pessoa que afirma ser. Tudo o que você precisa fazer é instalá-lo (e funciona em muitos sites) em seu navegador e, em seguida, optar por usá-lo quando um site desejar que você se autentique. Esses certificados são primos próximos dos certificados SSL que os sites usam para se identificarem no seu computador.
A maneira mais eficaz de um site proteger seus dados é, em primeiro lugar, nunca estar em posse deles.
Vantagens dos certificados de cliente: Não importa em quantos sites você faça login com um certificado de cliente, o poder da matemática está do seu lado; ninguém poderá usar esse mesmo certificado para fingir ser você, mesmo que observe sua sessão.
Riscos de certificados de cliente: O principal risco de um certificado de cliente é que alguém possa invadir seu computador e roubá-lo, mas há mitigações para esse risco. Outro problema potencial é que os certificados de cliente típicos contêm algumas informações de identidade que você talvez não queira divulgar em todos os sites que usa. Embora os certificados de cliente existam desde sempre e exista suporte funcional no servidor Web software, ainda há muito trabalho a ser feito tanto por parte dos provedores de serviços quanto dos navegadores para tornar eles trabalham bem. Por serem usados tão raramente, recebem pouca atenção de desenvolvimento.
O mais importante: criptografia ponta a ponta
A maneira mais eficaz de um site proteger seus dados é, em primeiro lugar, nunca estar de posse deles - pelo menos, não de uma versão que ele possa ler. Se um site puder ler seus dados, um invasor com acesso suficiente poderá ler seus dados. É por isso que gostamos da criptografia ponta a ponta (E2EE).
O que é criptografia ponta a ponta? Isso significa que você criptografar os dados do seu lado, e isso fica criptografado até chegar à pessoa a quem você deseja ou retornar para você.
Vantagens do E2EE: A criptografia ponta a ponta já está implementada em alguns serviços, como serviços de backup online. Existem também versões mais fracas em alguns serviços de mensagens, especialmente aqueles que surgiram após as revelações de Snowden. No entanto, é difícil para os sites fazer criptografia de ponta a ponta por dois motivos: eles podem precisar ver seus dados para fornecer seus serviços, e os navegadores da Web são péssimos na execução de E2EE. Mas na era dos aplicativos para smartphones, a criptografia ponta a ponta é algo que pode e deve ser feito com mais frequência. A maioria dos aplicativos não usa E2EE hoje, mas esperamos ver mais disso no futuro. Se seus aplicativos não usam E2EE para seus dados confidenciais, você deve reclamar.
Riscos do E2EE: Para que a criptografia de ponta a ponta funcione, ela deve ser feita de forma generalizada – se um aplicativo ou site fizer isso sem entusiasmo, todo o castelo de cartas poderá desabar. Às vezes, um dado não criptografado pode ser usado para obter acesso ao restante. A segurança é um jogo do elo mais fraco; apenas um elo da cadeia deve falhar para quebrá-la.
Então, e agora?
Obviamente, não há muita coisa que você, como usuário, possa controlar. Você terá sorte se encontrar um serviço que use senhas de uso único com um autenticador. Mas você definitivamente deve conversar com os sites e aplicativos que usa e informá-los que você detectou bugs no software acontecem, e você acha que eles deveriam levar a segurança mais a sério e não simplesmente confiar senhas.
Se mais pessoas na Internet usarem esses métodos avançados de segurança, talvez da próxima vez haja uma catástrofe de software na escala Heartbleed – e haverá vai eventualmente – não teremos que entrar em pânico tanto.
[Imagem cortesia de scyther5/Obturador]
