SEGURANÇA DA INFORMAÇÃO

Autenticação de usuários

Prof. Dr. Marcos A. Simplicio Jr.

 Autenticação de usuários
Processo de verificar uma identidade alegada por ou para uma
entidade do sistema.
Consiste em dois passos:
• Identificação: fornecer identidade
• Nome de usuário, cartão magnético, cartão de proximidade, ...
• Verificação: provar identidade (validar)
• Senha alfanumérica, senha numérica (PIN), digitais, …
• Função de segurança fundamental
• Base para controle de acesso e responsabilização por ações
indevidas
Autenticação de usuários
Equivalente a autenticação de mensagens?
• Não. A apresentação de mensagem autêntica não garante
que usuário seja autêntico.
• Atacante pode estar fazendo ataque de repetição
Mensagem

Tag de Origem
autenticação
Destino
Intruso
Autenticação de usuários
Autenticação de mensagens resistente a ataques de repetição
• Túnel seguro: impede captura por atacante
• Desafio-resposta: MACs são calculados sobre nonces ou carimbos
de tempo
desafio (1)
    
Usuário
➔ ➔ ➔ ➔ ➔
resposta (1)

desafio (2)
     Sistema
Intruso ➔ ➔ ➔ ➔ ➔

resposta (1)
Formas de autenticar usuários
Existem quatro formas de autenticar a identidade de um
usuário diante algo que ele:
• Sabe: senha, PIN
• Possui: chave, token, smartcard
• É (biometria estática): digitais, retina, veias das mãos
• Faz (biometria dinâmica): voz, assinatura, andar
• Usadas individualmente ou de forma combinada
(“autenticação multifator”: preferível)
• Todas podem prover autenticação
• Todas apresentam vantagens e desvantagens
O que usuário sabe: senhas
Senhas: vulnerabilidades (1)
• Captura de senhas
• Na rede, se enviada às claras (ex.: HTTP, telnet)
➔ Solução: usar túnel seguro (ex.: HTTPS, SSH)
• Durante digitação (“keyloggers”)
➔ Solucão: antimalware
• Explorando mau uso: senha escrita em arquivo ou
anotada em papel; engenharia social
➔ Solução: educação de usuários
Senhas: vulnerabilidades (2)
• Reuso de senhas por usuário
• Captura dá acesso a diversos sistemas
• Soluções:
• Ferramentas de gerenciamento de senhas: e.g., navegador
com “senha mestre” (senhas salvas ficam cifradas no disco)
• Uso de sistemas de “Single Sign-On” (SSO): e.g., provedores
como Google e Facebook (“Login com …”)
• Educação de usuários: não reusar senhas em serviços
importantes; usar e-mail descartável ou “bugmenot” quando
senha é irrelevante
Senhas: vulnerabilidades (3)
• Ataques de força bruta
• Baixa entropia: média de 40 bits
• http://research.microsoft.com/en-us/um/people/cormac/Papers/www2007.pdf

• Menos ainda com políticas de senhas equivocadas: proibir

caracteres especiais, limitar tamanho da senha, manter senhas
padrão do sistema
• Online: vários testes junto ao sistema
• Solução: bloqueio temporário de usuário após certo número de
tentativas erradas
• Offline: após roubar base de dados/dispositivo
• Password crackers (ex.: “Cain”): ferramentas automatizadas
• Solução: password hashing
Senhas: vulnerabilidades (3)
• Ataques de força bruta se base/dispositivo armazena:
1. Senhas às claras ➔ custo do ataque = zero...
2. Hash (senha) ➔ custo do ataque = download de tabela pré-computada (e.g.,
rainbow table) ou uso de serviço web grátis...
3. Hash (sal, senha) ➔ custo do ataque = 1 hash/teste
• Poucos us em PCs modernos; pode ser feito paralelo
• Cluster de GPUs : >1012 hashes/h ➔ 5.5 h para quebrar senha de 8 caracteres
alfanuméricos (https://securityledger.com/2012/12/new-25-gpu-monster-devours-passwords-in-seconds/)

1 2 3
user password hash salt Saltedhash
admin admin oijsdfm 857…30 klfuvmhg
oijsdfm root root pcvjvy 968…14 wjkopfjm
123456 Hash
 ?!?  ?!? 
“MyHyperP#werS pcvjvy
ecureP@ssw0rd Hash
Senhas: vulnerabilidades (3)
• Password hashing (com sal)
• Custo configurável: t segundos usando m megabytes de RAM; t
aumenta exponencialmente em ataques com m reduzido.
• Configuração: custo imperceptível por usuários legítimos, mas
relevante para atacantes
• Ex.: t = 1s, m = 1GB para autenticação local (ou remota, se a execução
puder ser deixada a cargo dos clientes)
• Ex. : t = 100 ms, m = 20 MB para autenticação no lado do servidor
*Configurável 1 núcleo de processamento 1000 núcleos de processamento
Algoritmo testes/s uso de memória testes/s uso de memória
1 hash > 10000 < 1 KiB > 10.000.000 alguns KiB
PBKDF/bcrypt 1 < 1 KiB 1000 (todos) alguns KiB
Lyra2/Argon2 1 1 GiB 8 (992 parados) 8 GiB

Limita paralelismo (e.g.: clusters de GPUs)

Criando boas senhas
Senhas fortes: exemplos
• Incluir letras, números e símbolos
• Símbolos: mesmo os espaços, raramente usados
• Evitar palavras do dicionário ou nome do usuário
• Se incluir palavras, incluir várias (“passphrase”) e/ou erros crassos de
ortografia
• Construir senhas a partir de frases fáceis de lembrar, mas difíceis de
adivinhar.
• Ex.: “Esta era uma boa senha… até eu mostrá-la em sala de aula!”:
“Ee1bs…Aemnsda!”
• Ex.: “Quem ri por último é porque não entendeu a piada”: “Qrp’u, ’epneap.”
• Ex.: combinação de duas ou mais frases para aumentar comprimento da senha
 O que usuário tem:
tokens, cartões, smart
cards
O que usuário tem
Cartões
• Ex.: magnéticos, sem-contato (NFC) etc.
• Uso: apenas armazena código de segurança fixo
• Vulnerabilidades principais:
• Clonagem, roubo ou repasse

Trilhas magnéticas Cópia das trilhas

O que usuário tem
• Tokens
• Ex.: em papel ou eletrônicos
• Uso: senha temporária (one-time password - OTP)
• Ex. (Protocolo TOTP) : MAC do valor de relógio interno; “janela” para
lidar com perda de sincronismo com servidor
+1 min janela

MAC: 23456 04759 32658 13952 59382 10093

• Vulnerabilidades principais:
• Em papel: cópia/clonagem
PIN
• Eletrônicos: roubo, repasse
• Recomendado: proteção com senha ou PIN
• Clonagem é rara: OTP não permite descobrir chave
O que usuário tem
• Cartões inteligentes (smart cards)
• Ex.: cartões de crédito, SIM card etc.
• Uso: processamento de código de segurança
• Usa criptografia na comunicação, com chaves protegidas:
• Físicamente: não podem ser lidas diretamente
• Logicamente: podem ser apagadas em caso de ataque (e.g., PIN
incorreto entrado repetidas vezes)
• Vulnerabilidades principais:
• Fraude no leitor (ex.: mostrado ≠ enviado a cartão)
• Algoritmos e protocolos criptográficos falhos
• Ex.: Mifare Classic (Bilhete Único)
http://www.doc.ic.ac.uk/~mgv98/MIFARE_files/report.pdf
• Ex.: Cartões de crédito sem contato (NFC)
https://www.usenix.org/system/files/conference/woot13/woot13-roland.pdf
O que usuário é/faz:
biometria
Biometria
• Autenticação de usuário com base em alguma de suas
características físicas ou comportamentais
Íris
Veia das mãos
Custo
Retina
Assinatura
Digitais
Face
Voz

Acurácia
Exemplo: impressão digital
Leitura de minúcias
• Minúcias: coleção de pontos identificáveis em uma impressão
digital

Padrão de arco Padrão de laço Padrão espiral

Terminação Bifurcação Lago Isolada Ilha Ponte

usados na prática
Exemplo: impressão digital
Processo
• Dados armazenados em banco de dados para comparação posterior

Identificação de Mapeamento Armazenamento

Captura de imagem minúcias para template de registro

111010101
110001000
111010010
000111011

X
Biometria: vulnerabilidades Créditos da imagem:
Tsutomu Matsumoto

• Principais problemas:
• Reprodução das informações biométricas
• Ex: dedo de borracha, foto de alta resolução de olho, …
• Roubo das informações biométricas no canal de comunicação
• Ataque de repetição
• Roubo da base de informações biométricas
• Pode-se criar objeto que dê leitura biométrica correta
• Ex.: lente para leitura de íris: http://www.planetbiometrics.com/article-details/i/1189/
• Revogação é um desafio: um dedo ou outra informação biométrica
revogada não é facilmente substituível
Biometria: contramedidas
• Falsificações
• Bons sensores: boa acurácia dificulta falsificação
• Combinação de sensores
• Para verificar presença: temperatura, profundidade do olho, ...
• Vigilância dos sensores
• Ex.: evita que o usuário apresente artefatos ao sensor, como fotos

• Armazenamento/comunicação
• Proteção física/lógica do canal de envio de dados
• Proteção física/lógica do módulo onde de registros são
armazenados
SEGURANÇA DA INFORMAÇÃO

Autenticação de usuários

Prof. Dr. Marcos A. Simplicio Jr.