[Segurança] Device Fingerprint

"Device Fingerprint" é o nome dado a técnica de criar uma identificação única (ou melhor, o mais única possível) para o dispositivo utilizado pelos usuários. Na área de segurança, essa identificação do dispositivo pode ser utilizada para associar um usuário ao dispositivo que ele normalmente utiliza para navegar na Internet, seja um computador, o browser ou o dispositivo mobile (smartphone). Assim, teremos uma informação a mais que pode ser usada para identificar um usuário no momento em que ele acessa o nosso site ou serviço.

A identificação de dispositivos permite melhorar a assertividade da autenticação, ao tentar associar um dispositivo "único" a um determinado usuário. Por isso, ela é muito utilizado para detecção e prevenção de fraudes, quando ocorrer um acesso originário de um dispositivo desconhecido, e também é usado para monitoramento e espionagem de usuários, rastreando o acesso do dispositivo que a vítima utiliza.

Esse "fingerprint" deve identificar um equipamento da fora mais única possível, de modo que hajam poucos dispositivos semelhantes. Quanto mais único, mais preciso. A impressão digital de um navegador pode ser criada a partir da coleta de dados sobre a configuração do navegador e do sistema operacional de um usuário quando esse usuário visita um web site. Diversas informações podem ser coletadas sem necessidade de intervenção ou aprovação do usuário, e assim são correlacionadas na tentativa de criar o fingerprint do dispositivo como. Além das informações enviadas no cabeçalho HTTP, várias outras também podem ser utilizadas para este fim, como dados do computador do usuário e até mesmo a lista de plugins utilizados.

O site AmIunique.org, por exemplo, nos permite testar o quanto nosso browser fornece de informação e o quanto isso favorece a nossa identificação.

Esse paper, por exemplo, lista 38 identificadores implícitos que podem ser obtidos dos aparelhos Android que cobrem informações sobre características físicas, da camada de aplicação e da camada de usuário que podem ser utilizados para formar a impressão digital do dispositivo. O interessante é que essas informações podem ser coletadas sem solicitar qualquer permissão.

Um bom sistema para fingerprint de dispositivos deve possuir as características abaixo:

• Diversidade: o principal critério para um algoritmo de impressão digital é saber quantos atributos ele necessita para gerar um fingerprint único. Ele deve aceitar um conjunto de atributos  e calcular o fingerprint com uma entropia aceitável. Ou seja, o algoritmo deve aceitar um conjunto de dados diversos o suficiente para prover uma quantidade aceitável de identificações com alta probabilidade de serem únicas;
• Estabilidade: indica quantas vezes uma impressão digital pode alterar seu valor ao longo do tempo. Devemos considerar o número total de mudanças durante a vida do dispositivo, o tempo médio entre as mudanças, uma razão percentual média de quantas amostras foram modificadas para esses dispositivos, etc;
• Tamanho do código - à medida que o número de impressões digitais coletadas aumenta, assim como as bibliotecas necessárias para processamento, o tamanho do código do algoritmo se torna uma limitação - podendo causar impacto na capacidade de incluir esse código em uma aplicação existente (o overload causado), ou até problemas de performance. Impressões digitais podem depender de um processamento demorado, inviabilizando o seu uso;
• Comprimento da impressão digital - quanto maior o tamanho da impressão (em termos de números de caracteres), menor a chance de gerar colisão, porém, haverá a demanda por maior capacidade de armazenamento desses dados!

Diversos sites nos permitem testar o quanto nossos cesso a internet pode ser rastreável:

• https://panopticlick.eff.org
• https://amiunique.org
• http://webkay.robinlinus.com

Referências bem interessantes:

• Device Fingerprinting and Targeted Marketing: The Next Digital Privacy Battleground?
• Device Fingerprinting: Analysis of Chosen Fingerprinting Methods
• Do you know how much the browser knows about you?
• Fingerprinting mobile devices: A short analysis
• Beauty and the Beast: Diverting modern web browsers to build unique browser fingerprints
• On the Robustness of Mobile Device Fingerprinting
• Efficient Fingerprinting-Based Android Device - Identification With Zero-Permission Identifiers

[Segurança] A evolução do protocolo 3D-Secure

Fala-se muito do GPDR, mas o 3D Secure 2.0 (3DS 2.0) é uma outra regulamentação de segurança que pode causar impacto positivo no mercado. O protocolo 3DS foi criado com o propósito de ajudar emissores de cartão de crédito e sites de e-commerce a reduzir o volume de fraude online, que assola a indústria constantemente. Ele é usado pela Visa (o serviço chamado de "Verified by Visa"), pela Mastercard (que batizou isso de "SecureCode") e pela American Express ("SafeKey").

O Three-Domain Secure (3DS) é um protocolo de mensagens desenvolvido pela EMVCo para permitir que os consumidores (portadores de cartões de crédito) se autentiquem com o emissor do cartão ao realizar as suas compras online, em sites de e-commerce. É um protocolo de comunicação e autenticação entre o portador do cartão de crédito e a entidade financeira que emitiu.

Essa modalidade de compras com cartões é conhecida no mercado como "cartão não presente" (CNP), pois o lojista não tem acesso físico ao cartão, e por isso, não consegue validar o cartão e a identidade do portador de formas tradicionais (por exemplo, pedindo o documento do portador). Nesse tipo de transações, é comum que os bancos forcem que toda a responsabilidade pela identificação de fraude fique com o lojista, e portanto, a loja é quem fica com o prejuízo se uma transação for fraudulenta e for contestada pelo verdadeiro dono do cartão.

O 3DS, portanto, estabelece uma camada de segurança que ajuda a validar a identidade do portador do cartão, para impedir transações fraudulentas (não autorizadas) de CNP e, assim, proteger o comerciante contra fraudes.

A primeira versão do 3DS não foi muito adotada pelo mercado em geral pois, entre outros problemas, ela tinha má usabilidade, o que afastava o cliente no momento do encerramento de sua compra. Para fazer o pagamento, o cliente deveria ter um pré-cadastro no site da emissora do cartão e isso atrapalhava a vida do cliente final.

No final de Outubro de 2016 foi lançado o 3DS 2.0, uma versão melhorada que inclui recursos de autenticação baseada em risco, usando características da transação, além de suporte a transações em ambiente mobile e métodos de autenticação out-of-band.

O vídeo abaixo, da EMVCo, explica rapidamente como o  3DS 2.0 funciona:

Para saber mais:

• Página oficial do padrão 3DS
• 3D Secure 2.0: An Outlook on Merchant Adoption

[Segurança] Nova Buzzword: A Internet das Identidades (IoI)

Vem aí uma nova buzzword para nós:

Internet das Identidades (IoI)

A “Internet of Identies” (IoI), ou "Internet das Identidades", se propõe a tratar o problema de mapear as diversas identidades possíveis para os dispositivos no universo da Internet das Coisas (IoT). Isso inclui a gestão da identidade do dispositivo, do usuário, do aplicativo ou serviço e a identidade do recurso associado ao dispositivo.

Uma das preocupações, válidas, é como implementar uma autenticação forte para os dispositivos IoT, algo normalmente resolvido com certificados digitais X.509 associados ao dispositivo ou tecnologias biométricas quando ocorre intervenção dos usuários finais. A gestão de indentidade dos dispositicvos IoT é fundamental para garantir o acesso apenas dos dispositivos e usuários válidos, além de servir de base para implementações de controle de acesso e de soluções de seguarnça baseadas no comportamento.

[Segurança] Como criar a senha perfeita

O pessoal do blog Minuto da Segurança compartilhou um infográfico bem legal com dicas de como criar senhas perfeitas.

Esse infográfico foi criado em 2014 pelo portal WhoIsHostingThis. No mesmo ano eles também criaram outro infográfico, com o título "Is The Password Dead?", mostrando como simples senhas são inseguras e podem ser descobertas facilmente.

Vale muito a pena dar uma olhada nas dezenas de infográficos bem legais que eles mantém no Blog deles. Dá para perder algumas horas lá :)

[Segurança] Fraudes em programas de milhagens aéreas

Engana-se quem acha que o ciber crime é um problema restrito aos bancos. Na verdade, os ciber criminosos tentam explorar e fraudar qualquer tipo de serviço online em que eles possam obter algum tipo de vantagem financeira.

Até mesmo os programas de milhagem aérea (que permitem trocar pontos por passagens aéreas ou até mesmo por mercadorias) podem ser explorados por ciber criminosos. Uma reportagem publicada recentemente no jornal australiano The Age descreve o caso de um cliente da compania aérea Quantas que teve as suas milhas utilizadas por fraudadores – um prejuízo que só não foi maior pois a compania aérea agiu a tempo.

O roubo de pontos de programas de milhagens aéreas é uma fraude que pode atingir milhões de usuários (a Quantas, por exemplo, possui cerca de 11,5 milhões de clientes utilizando seu programa de milhagem) e permite aos fraudadores emitirem – e revenderem – passagens sem custo, utilizando a pontuação da vítima. A vítima, por outro lado, só vai perceber quando tentar resgatar os seus pontos (para emitir suas passagens ou conseguir um upgrade).

Normalmente os ciber criminosos consequem acesso as contas de programas de milhagem utilizando mensagens de Phishing ou malwares que roubam credenciais. Veja abaixo um caso de phishing prometendo 10.000 pontos para clientes do programa TudoAzul (exemplo retirado do Catálogo de Fraudes da RNP). Engenharia social também pode ser facilmente utilizada. a reportagem lembra que ao publicar uma foto nas redes sociais de seu cartão de embarque ou da identificação de sua mala, você estará fornecendo alguns dados que podem ser utilizados por um fraudador para tentar passar por você e acessar seu programa de milhagem.

A favor dos ciber criminosos conta o fato de que os clientes de companias aéreas não tem consciência deste tipo de fraude, tomam poucas medidas de proteção (normalmente utilizam senhas óbvias) e, além disso, a maioria dos clientes raramente conferem seu saldo e utilizam seus pontos com pouca frequência, dificultando a identificação e bloqueio da fraude. Mesmo do ponto de vista das companias aéreas, muitas delas utilizam uma política de senhas bem simples em seus sistemas. Algumas, por exemplo, exigem senhas numéricas de 6 dígitos – uma combinação que pode ser adivinhada de forma fácil e rápida.

Ainda segundo a reportagem do The Age, a compania aérea Quantas está realizando um projeto piloto para aumentar a segurança no acesso de seus clientes ao portal do programa de milhagens através do uso de tecnologia de segundo fator de autenticação, aonde uma senha de acesso temporária é enviada via SMS para o celular dos clientes.

[Segurança] Autenticação com o seu Apple Watch

Acabei de ver um vídeo de demonstração de uma solução de autenticaçào de segundo fator que utiliza o Apple Watch do usuário como segundo fator de autenticação.

A solução em questão, RSA Via Access, é uma solução de Single Sign-on (SSO) e autenticação forte que pode ser integrada com aplicações web tradicionais ou em nuvem (Software as a service - SaaS) que, entre outras coisas, permite que o usuário aprove seu acesso com o simples clicar de uma opção em seu Apple Watch.

A idéia é utilizar um segundo fator de autenticação, que é a posse física de algo (o seu Apple Watch).

O que me impressiona neste caso é a facilidade para o usuário final: basta ele saber utilizar o seu smart watch e  clicar em uma opção dentre os dois botões disponíveis: aprovar ou negar o acesso. Bem bolado !!!!

[Segurança] Al Token

O pessoal do Banco de Crédito do Peru (BCP) fez uma campanha de marketing (na TV e rádio) muito bem humorada para divulgar o uso de tokens de autenticação entre seus clientes de Internet e Mobile Banking. O vídeo está disponível no You Tube e tornou a expressão "al token" popular entre os peruanos:

Eles também disponibilizaram alguns tutoriais sobre como usar o Internet Banking.

A iniciativa é bem interessante por levar a população a necessidade de acessar seu banco online de forma segura, através de um segundo mecanismo de autenticação.

[Segurança] As 25 piores senhas de 2015

A empresa SplashData divulgou uma lista com as piores senhas de 2015, que ela obteve analisando mais de 2 milhões de senhas que vazaram na Internet durante o ano passado (2015).

Segundo a empresa, uma tendência é que os usuários estão começando a usar senhas mais longas (o que é bom, do ponto de vista de segurança), embora continuem utilizando combinações simples e facilmente adivinháveis. Dois exemplos se destacam nessa lista: as senhas "1234567890" e "qwertyuiop", cada uma utilizando a linha completa do teclado - a linha numérica e a primeira linha de letras de um teclado QWERTY padrão.

Outro destaque de 2015 foi o uso de senhas relacionados ao file Star Wars - O Despertar da Força: entraram na lista das 25 senhas mais utilizadas as palavras "starwars", "Solo" e "princess".

Veja a lista abaixo:

1. 123456
2. password
3. 12345678
4. qwerty
5. 12345
6. 123456789
7. football
8. 1234
9. 1234567
10. baseball
11. welcome
12. 1234567890
13. abc123
14. 111111
15. 1qaz2wsx (usa as posições das teclas no teclado)
16. dragon
17. master
18. monkey
19. letmein
20. login
21. princess
22. qwertyuiop
23. solo
24. passw0rd
25. starwars

[Segurança] A Era das Trevas da Segurança

O presidente da RSA, Amit Yoran, deu uma palestra na RSA Conference, em abril deste ano, aonde ele disse que nós vivemos na "Era das Trevas" da Segurança da Informação, em referência ao fato que nossas estrategias de proteção são praticamente as mesmas há vários anos e não conseguimos proteger as empresas contra os ciber ataques. ele também propôs que busquemos novas abordagens para conseguir vencer as ameaças cibernéticas que nos cercam atualmente.

Na palestra batizada de Escaping Security’s Dark Ages (veja o vídeo aqui), Amit afirma que estamos vivendo na "Idade das Trevas" da segurança. Isso porque nós, profissionais da área, ainda nos apegamos a idéias desatualisadas e contamos com ferramentas e táticas que funcioanvam bem no passado. E, mesmo assim, ficamos surpresos ao nos ver em uma era de caos e violência online, aonde ciber ataques e grandes roubos de dados acontecem quase diariamente.

Desde o início a nossa indústria de segurança tem adotado estratégias similares as que tínhamos na idade média: construímos defesas de perímetro cada vez mais fortes (firewalls e ferramentas mais robustas, tais como os grandes castelos de antigamente), mas a indústria tem relutado em perceber que muros mais altos não vão resolver nossos problemas atuais. Segundo a pesquisa anual da Verizon, menos de 1% dos ataques APT foram detectados pelas ferramentas de SIEM - o que mostra nossa incapacidade de detectar, e consequentemente bloquear e reagir, aos ataques mais importantes.




Uma das frases que resumem bem a palestra dele é a seguinte:

“We need to stop thinking of taller castle walls and deeper moats… At the end of the day, even if you use next generation protective measures, focused adversaries with the resources, with the time, with the skill, and that have a defined objective of breaking into your organization are still going to get in.”

Na segunda metade da palestra, o Amit deu 5 sugestões em como o mercado poderia mudar sua abordagem, para que possamos nos livrar do passado e entrar na era do Iluminismo ("Age of Enlightenment"), conseguindo maior compreensão e proteção do nosso mundo digital:

1. Pare de acreditar que as "ferramentas avançadas" (advanced protection) que o mercado lança vão resolver alguma coisa. Elas também vão falhar porque são baseadas nos mesmos princípios que tem falhado até então;
2. Precisamos ter grande visibilidade de tudo o que acontece no nosos ambiente de TI. As grandes ameaças e ataques que tivemos recentemente foram criadas para ser invisíveis, para evitar a detecção por parte das ferramentas existentes. Não podemos fazer seguranca hoje em dia sem ter visibilidade de tudo o que acontece na redes, nos endpoints, nas aplicações, etc: quem fala com o que e como. Isto também inclui conhecer as técnicas que nossos adversários usam para nos atacar e comprometer nossas defesas;
3. Identidade e autenticação são cada vez mais fundamentais. Segundo a o relatório de incidentes da Verizon, em 95% dos ataques foram utilizadas credenciais roubadas de usuários válidos. Por isso, precisamos utilizar ferramentas de autenticação forte ("strong authentication") e monitorar quem está acessando o que em nosso ambiente, principalmente quando se tratar de contas de acesso críticas (como, por exemplo, logins de altos executivos, de administradores do sistema, etc);
4. Inteligência - Devemos identificar as ameaças que importam mais para a nossa empresa; afinal hoje em dia temosa nossa disposição várias fontes externas de inteligência, tais como servi;cos oferecidos por empresas, informações disponibilizadas livremente por organizações, grupos de usuários, sites, etc;
5. Priorizar: Ao conhecer o que é mais importante e crítico para cada empresa, podemos investir tempo, recursos e dinheiro nos verdadeiros recursos de missão crítica para o negócio. Devemos identificar ps servidores, aplicações, dados que são mais relevantes e que devem ser protegidos a qualquer custo.

[Segurança] Engenharia reversa dos tokens de autenticação

Recentemente, o Thiago Valverde publicou um artigo em seu blog, chamado "Reverse engineering my bank's security token", em que descreve como ele fez a engenharia reversa nos tokens de autenticação utilizados para acesso ao Internet Banking do Bradesco. Rapidamente o artigo foi tirado do ar, mas é possível ver uma cópia dele no cache do Google.

Conforme descrito em seu artigo original, o Thiago descobriu como funciona a versão para celulares Android do token do Bradesco e, com base no algoritmo do token e em uma chave criptográfica armazenada nele, o conseguiu criar um clone de seu token utilizando um Arduino, como mostra o vídeo abaixo.



Existe um algoritmo padrão de mercado para criar os tokens OTP ( "One Time Password"), chamado OATH (sigla criada a partir de "Open Authentication") - que, inclusive, é um padrão que tem sua própria RFC. Desde que foi criado, muitos fabricantes adotaram este padrão, embora alguns fabricantes mais antigos e tradicionais de tokens (como RSA e Vasco) ainda utilizem seus algoritmos proprietários.

O padrão OATH utiliza um algoritmo aberto para geração das senhas, cuja especificação está disponível no próprio site do projeto: é, basicamente, um algoritmo que utiliza uma "semente" única (um valor único para cada token), uma espécie de contador (que pode ser baseado em tempo, isto é, utilizando um relógio para medir o tempo desde um momento inicial) e combina isso tudo utilizando um algoritmo de hash criptográfico (os mesmos utilizados para fazer assinaturas digitais), o HMAC-SHA-1.

Ou seja, não há nenhum mistério e, muito menos, nenhuma ciência oculta no funcionamento destes tokens, que são amplamente utilizados para redes privadas de empresas (VPNs) e acessos a sites de Internet Banking em todo o mundo. No final das contas, independente do algoritmo utilizado, o segredo e a segurança dos tokens segue o mesmo princípio dos algoritmos de criptografia: está na chave, ou seja, na semente única que serve de base para cada token funcionar.