Hardware para two-factor authenticator (2FA)

Tecnologia
caverito   180º
em 27/07/20 17:48
ver comentários do moderador

Comentários

Último comentário 1º comentário do autor Só moderadores Só os meus Só quem eu sigo Ordenar por gostei
Desinternauta  180º
em 27/07/2020 18:15
Não sei muito bem como os outros keys funcionam, mas uma vez eu comprei um item na loja do Google e ganhei um cupom que eu acabei usando pra resgatar um Titan Key: Titan Security Key  |  Google Cloud

Me sinto mais seguro, pois minha conta do Google só fica acessível com senha + esta key.
Acho que vale a pena sim, principalmente para proteger contas corporativas, tipo Google Cloud contra phishing.

Não sei os detalhes, mas teve um caso recente no Twitter, onde um ataque de engenharia social deu aos hackers o acesso a um monte de contas importantes, como a da Apple. Acredito que um 2FA key teria ajudado a evitar esse ataque, por exemplo, pois para acessar a conta, seria necessário ter o key físico e não somente as senhas.
Hardware para two-factor authenticator (2FA) - #1 de 6
darthtrader  180º
em 27/07/2020 18:18
Nível no Race: Intermediário
Eu tenho alguns, inclusive YubiKey, no geral uso muito pouco e por incrível que pareça algumas vezes não funcionou, tendo que autenticar com app do Google por exemplo. Acho que teria maior adoção pelo público em atividades mais críticas, como bancos por exemplo, mas eles resolveram esse 2 nível de segurança usando QR code através de um dispositivo autenticado anteriormente (celular).


 
Hardware para two-factor authenticator (2FA) - #2 de 6
ThiagoDV  7º
em 27/07/2020 23:40
Nível no Race: Taquipariu 
Nunca usei nem sabia que tinha hardware específico para 2FA. 
Hardware para two-factor authenticator (2FA) - #3 de 6
Catullus  180º
em 28/07/2020 02:07
Nível no Race: Rookie
Eu nunca usei, mas tenho interesse em algum momento comprar um par de Yubikeys. Dentre as da Yubico, as "5 series" parecem ter o melhor custo-benefício em relação ao tanto de recursos que oferecem.

Andei pesquisando, e mesmo que o site não ofereça compatibilidade com as chaves, você pode configurar a 2FA normal e, em vez de usar um app como o Google Authenticator, usar o autenticador da Yubico. Nesse caso, os geradores de código ficam armazenados dentro da chave, não no celular (o que deve ser mais seguro).

Como "case de sucesso" tem o próprio Google, que um ano após começar a utilizar essas chaves dentro da empresa, não sofreu nenhuma invasão nas contas dos funcionários:

Google: Security Keys Neutralized Employee Phishing — Krebs on Security
Hardware para two-factor authenticator (2FA) - #4 de 6
Catullus  180º
em 28/07/2020 02:14
Nível no Race: Rookie
Outra coisa: as chaves de segurança são diferentes do 2FA tradicional.

Uma das coisas que me impressionou foi o fato de que tanto o site/aplicativo quanto a chave têm um contador interno com o número de vezes que ela foi utilizada. Ou seja, se alguém, de alguma maneira, conseguisse clonar a sua chave, pode ser que, ao utilizá-la, o site identificasse que o contador dele não bate com o da chave clonada, e então bloquear preventivamente a sua conta e te mandar um aviso, algo assim.

Se tiver tempo e quiser saber mais sobre o assunto, recomendo essa palestra:



Sobre o tal do contador: Advanced topics
Hardware para two-factor authenticator (2FA) - #5 de 6
caverito  180º
em 28/07/2020 10:51
Valeu pessoal, vou comprar pra testar, vi que meu password manager tem suporte para a YubiKey (estava olhando aquela Yubikey 5 mesmo).
@Catullus obrigado por compartilhar os links!


No site da Trezor tem uma explicação bacana da diferença de um autenticador padrão para um hardware desses.

Exemplo de um Autenticador padrão:

Usando um autenticador "padrão"  o hash fica armazenado tanto no autenticador como no server, caso a empresa do serviço seja invadida e o hacker tenha acesso a database das senhas e aos códigos de 2FA de nada adiantaria ter ativado o 2FA, pois ele conseguiria "calcular" qual o código certo.

 

Exemplo de FIDO/U2F (Hardware)

Um hardware de 2FA armazena sua chave privada e o servidor a chave pública, dessa forma uma invasão ao servidor não seria suficiente, pois não daria acesso a chave privada (funciona da mesma forma da Bitcoin, por exemplo, e é por isso que a maioria das hardware wallets de criptomoedas já possuem esse tipo de função de forma nativa).

Why You Should Never Use Google Authenticator Again | by SatoshiLabs | Trezor Blog
Hardware para two-factor authenticator (2FA) - #6 de 6

5 usuários comentaram este tópico.
Clique para ir para o primeiro comentário do usuário.