Segurança no Nextcloud: como bloquear 99,9% dos

ataques à conta do usuário

Se os sites de tecnologia escrevessem sobre cada vazamento de dados, eles não teriam tempo
para cobrir mais nada. Apenas vazamentos de e-mail e senha estariam na casa dos milhões.
LinkedIn: 164 milhões. Adobe: 38 milhões. MySpace: 359 milhões. Facebook: 200 a 600
milhões.

Deve estar dolorosamente claro que você não pode contar com grandes empresas de
tecnologia para proteger os seus dados. O ponto mais importante aqui é, que as senhas não
oferecem segurança suficiente. A maioria dos especialistas concorda que é hora de uma
mudança radical. Mas como? Existem alguns métodos.

Gerenciadores de Senha e Login único

Existem dezenas de sites como o Have I Been Pwned que informam os usuários sobre o roubo
de suas contas - Nextcloud usa este serviço para bloquear usuários de escolhem uma
combinação fraca de nome de usuário e senhas. O problema aqui é, obviamente, que os
usuários tendem a reutilizar as senhas nos serviços. Os gerenciadores de senhas oferecem
uma solução para isso, gerando automaticamente uma senha segura para cada site que um
usuário usa. Embora isso crie um único local que pode ser hackeado, ainda não houve nenhum
vazamento conhecido do gerenciador de senhas.

Outra solução é o login único. Os usuários podem entrar em vários serviços usando sua conta
do Google ou Facebook. A vantagem é, de fato, que você só precisa se lembrar de uma senha.
A desvantagem é, obviamente, que essas empresas ganham um poder incrível e sabem tudo o
que o usuário faz. A dependência do fornecedor é severa. Os usuários que queriam cancelar
contas do Facebook devido ao fluxo contínuo de segurança, privacidade e violações éticas
descobriram que perderiam contas anexadas. Por exemplo, uma conta do Spotify, com todas
as músicas e listas de reprodução favoritas, também desapareceria.

A melhor solução: Autenticação de dois fatores

Uma solução muito melhor é a autenticação de dois fatores (2fa). Isso significa essencialmente
que, em vez de fazer login com um único método de verificação de identidade, como o
conhecimento de uma senha, um serviço solicitará um segundo fator de verificação. Por
exemplo, um código que o usuário recebe em um SMS ou de um aplicativo. Isso provaria que
não apenas o usuário sabe a senha, mas também possui o telefone. É claro que um invasor
teria muito mais dificuldade em colocar as mãos em ambos.

Isso é mais seguro? Pode apostar que sim. Embora o SMS em si não seja o método mais
seguro, a Microsoft estimou que 99,9% de todos os ataques a contas do Hotmail e Outlook são
bloqueados pelo 2fa .

Então, por que nem todo mundo usa autenticação de dois fatores, como um SMS, para
proteger o login? Existem várias razões para isso. Com relação ao SMS como segundo fatorde
autenticação, os usuários estão preocupados com as implicações de privacidade. Eles não se
sentem confortáveis em ceder seu número de telefone a um serviço, e essas preocupações
não são injustificadas. No ano passado, descobriu-se que o Facebook estava usando os
números de telefone que os usuários forneciam para autenticação de dois fatores para
propaganda.

Mas existem outros problemas. A autenticação de dois fatores via SMS é relativamente fácil,
mas outros fatores, como TOTP, que exige que os usuários instalem um aplicativo, digitalizem
um código QR na tela e, em seguida, digitem os códigos manualmente, são muito mais
complicados. E embora as chaves de hardware sejam fáceis de usar e muito seguras, os
preços normalmente são superiores a 50 euros por chave.

2FA no Nextcloud: flexível e fácil

Portanto, 2FA ou autenticação de dois fatores é uma ótima solução, mas tende a complicar as
coisas. Como o Nextcloud lida com esse dilema?

Nossa equipe de segurança sempre trabalha com duas premissas simples, mas importantes:
se é difícil de usar, é menos seguro. E nem todos os usuários são iguais!

Portanto, projetamos uma série de segundos fatores e permitimos que administradores e

usuários habilitem e usem qualquer número deles. Atualmente, há suporte para os seguintes
itens e explicaremos cada um deles rapidamente:

 Senha única baseada em tempo (TOTP, incluindo Google Authenticator ou aplicativos

semelhantes)
 Tokens de hardware de autenticação universal (U2F, como Yubikeys ou Nitrokeys,
também oferece suporte a NFC)
 Gateways: SMS, aplicativos de mensagens seguras Telegram, Signal e mais
 Código em um e-mail
 Notificação (basta clicar para aprovar o login em um dispositivo existente, como
telefone)
 Código de backup do usuário (o usuário deve gerá-lo com antecedência e armazená-lo
em um local seguro)
 Código de backup do administrador (criá-los pode ser delegado aos administradores do
grupo)

Agora, como você pode imaginar, cada um desses métodos tem suas desvantagens e
benefícios. SMS são muito fáceis - se você o configurou como administrador e se confia na
rede telefônica. Signal e Telegram também são bons, mas é difícil garantir que todos os
usuários tenham esses aplicativos de chat!

TOTP tem muitos aplicativos disponíveis e pode ser usado em muitos dispositivos, mas é mais
complicado, U2F é muito seguro, mas caro. Receber um código em um e-mail é um método
familiar, mas os e-mails podem ser interceptados. As notificações são extremamente fáceis de
usar e seguras. Essa última opção não deve faltar nas instalações do Nextcloud!
Códigos de backup são uma ótima maneira de garantir que os usuários não fiquem presos sem
conseguir fazer login.

Vamos mergulhar mais fundo em todos esses métodos para que você saiba quais são suas
vantagens e desvantagens, e quais você deve considerar habilitar em seu servidor Nextcloud.

Senha de uso único (Com base no tempo)

Este 'fator de autenticação' é um código gerado pelo dispositivo. Este código pode ser usado
para fazer login, geralmente apenas uma vez. Um código OTP pode ter uma data de validade,
embora muitas vezes seja bastante longa. O usuário deve inseri-los para fazer o login.

A popular variante baseada no tempo muda o código com frequência - o padrão TOTP mais
usado gera 6 dígitos a cada 30 segundos. Existem tokens de hardware que possuem um
display simples mostrando os códigos. Em celulares, vários aplicativos para implementar este
padrão, desde o aplicativo Google Authenticator até várias alternativas gratuitas e pagas.

Para configurar o TOTP, os usuários precisam fornecer ao dispositivo TOTP um código longo
para iniciar a conexão; em muitos casos, isso pode ser feito digitalizando um QR code para
evitar ter que digitar.

Durante o uso, um dispositivo TOTP não precisa se comunicar com o serviço que está sendo
usado, nem mesmo precisa saber nada sobre ele. Assim, isso funciona sem conexão ou em
uma rede local protegida por firewall.

Uma desvantagem do TOTP é que ele é vulnerável a várias formas de ataques man-in-the-
middle. Um hacker pode criar um site falso projetado para induzir os visitantes a enviar suas
credenciais. Quando um usuário cai na armadilha e insere suas informações, o hacker ganha
acesso à sua conta. Esse ataque não é fácil de realizar: os usuários precisam visitar o site do
invasor e confundi-lo com seu site usual.

Quando ativado pelo administrador, os usuários podem configurar o TOTP em suas

configurações de segurança:

Tokens de hardware de autenticação de dois fatores universal

U2F é um pouco semelhante ao OTP, em que um dispositivo gera um código. Mas, ao contrário
do OTP, os usuários não precisam inseri-lo. O processo deve ser gerenciado pelo cliente, por
exemplo, um navegador ou um aplicativo diretamente. Um dispositivo U2F, portanto, deve ser
conectado fisicamente. USB ou NFC são os métodos mais usados para isso.

O serviço se comunicará com o dispositivo U2F, usando uma criptografia de chave pública e
um modelo de desafio-resposta, o que torna impossível 'atacar' usando o ataque man-in-the-
middle ao qual OTP é vulnerável.

A desvantagem é a necessidade de suporte para os dispositivos. Todos os navegadores e

aplicativos precisam funcionar com isso, e conectar um telefone a um computador via USB ou
NFC ou conectar uma chave U2F de hardware a um telefone pode ser difícil em algumas
situações.

O U2F também pode ser configurado pelos usuários em suas configurações de segurança:

Gateways: SMS, aplicativos de mensagens seguras Telegram,

Signal e mais
Muitos usuários provavelmente estão familiarizados com o recebimento de um código por SMS
e como inseri-lo no portal de login de um site. Nextcloud oferece suporte para conexão a um
'gateway SMS' e pode usar Telegram e Signal por meio deste sistema. Embora não seja
extremamente difícil interceptar um SMS, as mensagens de Telegram e Signal são bastante
seguras. Infelizmente, poucos usuários têm esses aplicativos instalados, então eles não são
adequados como soluções gerais para todos os usuários.

Outro problema é que exige algum trabalho do administrador do sistema definir e configurar
esses métodos..

Código em um e-mail
O quarto método também é bastante familiar para os usuários: receber um código em seu e-
mail. Embora o e-mail também seja relativamente fácil de interceptar, isso torna o login muito
mais seguro e fácil de configurar e usar.

Notificação

Provavelmente, a maneira mais fácil para os usuários fazerem login em seu Nextcloud é por
meio de uma notificação em um dispositivo ou sessão existente. Nextcloud irá simplesmente
criar uma notificação, permitindo ao usuário clicar em 'aprovar' ou 'negar'. Isso funciona a partir
de uma sessão de navegador, telefone celular e cliente de desktop e não requer configuração
por parte do usuário.

Código de backup do usuário

Nas configurações de segurança do usuário, é fornecida uma opção para a criação de códigos
de backup. Isso permite ao usuário gerar uma série de códigos e armazená-los em um local
seguro. Cada um desses códigos pode ser usado, uma vez, como autenticação de dois fatores
para fazer o login no Nextcloud. Se todos os outros métodos falharem, o usuário ainda terá
acesso à sua conta.

Código de backup do administrador

Caso tudo falhe, os usuários podem entrar em contato com o administrador do sistema. Se
ativado, o administrador pode criar um código de login único que o usuário pode usar como
segundo fator. Para tornar mais fácil para as empresas delegar isso ao pessoal de uma equipe
de suporte sem lhes dar acesso de administrador total, os administradores de grupo também
têm a capacidade de criar códigos de backup de segundo fator para seus usuários.

Habilitar autenticação de dois fatores

Recapitulando: as autenticações de dois fatores são extremamente importantes para proteger
as contas. Embora normalmente tenham algumas desvantagens, a ampla gama de opções no
Nextcloud, incluindo a opção de 'notificação' que é incrivelmente amigável, tornam o 2fa um
item obrigatório no Nextcloud.