Diga adeus às senhas com letras e números

Eis o problema fundamental das senhas: elas são mais eficazes para proteger uma empresa quando são longas, complicadas e trocadas com frequência. Ou seja, quando é mais difícil para os funcionários decorá-las.

Yubico Inc.

Por isso, as firmas de tecnologia estão batalhando para oferecer soluções que sejam, ao mesmo tempo, mais seguras e mais convenientes. Muitos laptops já vêm com leitor de impressões digitais integrado. Os smartphones e outros dispositivos móveis também estão adotando opções biométricas, como reconhecimento facial e de voz.

No ano passado, a Apple Inc. adquiriu a AuthenTec Inc., desenvolvedora de tecnologias para sensores de impressões digitais, e neste mês lançou um novo iPhone com um sensor de impressão digital instalado. A Microsoft anunciou que seu sistema operacional Windows 8.1, que deve ser lançado em outubro, é "otimizado para a biometria baseada em impressões digitais".

Outras empresas, como Google Inc., PayPal Inc. e Lenovo Group Ltd., formaram uma organização conhecida como Aliança Fido (Fast Identity On-line, ou Identidade Rápida On-line), que visa criar padrões para o setor de biometria e outras formas da chamada "autenticação forte".

O Google também está testando um novo tipo de dispositivo, criado pela Yubico Inc., de Palo Alto, na Califórnia. Tal como os tradicionais tokens que geram senhas numéricas aleatórias, já usadas por bancos e outras empresas há anos, os aparelhos da Yubico geram senhas temporárias para serem utilizadas como uma segunda forma de autenticação.

Mas em vez de ter que ler a senha no token e depois digitá-la, o funcionário pode simplesmente introduzir o token numa entrada USB ou encostá-lo num smartphone ou tablet, usando a comunicação de campo próximo (NFC, na sigla em inglês), tecnologia que permite aos dispositivos eletrônicos se comunicarem fazendo contato físico.

O Google está testando os tokens com seus funcionários este ano e pretende oferecê-los aos consumidores em 2014, como uma forma de acessar o Gmail e outras contas do Google com mais segurança. Mayank Upadhyay, diretor de engenharia de segurança do Google, diz que os tokens são fáceis de usar e têm uma criptografia forte.

A tentação das redes Wi-Fi abertas e os riscos para seus dados

Ninguém resiste a um Wi-Fi público, especialmente para mandar um email urgente para o escritório. Entenda os riscos e aprenda a evita-los.

Você provavelmente já leu ao menos um artigo alertando para os perigos inerentes ao uso de uma conexão Wi-Fi pública, então sabe que os malfeitores são capazes de interceptar as informações que trafegam por estas redes. É relativamente fácil capturar informações “sensíveis” trafegando na vasta maioria dos hotspots públicos - em locais como cafés, restaurantes, aeroportos e hotéis, entre outros, e obter endereços de e-mail, senhas e ler mensagens não criptografadas, e até se apossar de informações de login em sites populares.

Mas não há forma mais eficiente de entender o perigo do que presenciar uma interceptação em tempo real. Portanto, fui até um café na minha vizinhança disposto a “bisbilhotar” para ver o que conseguiria encontrar. Minha intenção não era “hackear” o computador ou smartphone de ninguém - isso é ilegal. O que fiz é similar a escutar a conversa entre dois radioamadores ou pessoas usando um walkie-talkie na vizinhança. Assim como estes aparelhos, as redes Wi-Fi operam em frequências de rádio públicas que podem ser “sintonizadas” por qualquer um nas proximidades

Ao chegar no café abri meu notebook e comecei a capturar os dados trafegando pela rede Wi-Fi, tecnicamente chamados de “pacotes”, usando uma versão de demonstração gratuita de um software para análise de redes Wi-Fi. Os pacotes surgiam na minha tela em tempo real, muito mais rápido do que eu poderia ler, então parei a captura após alguns minutos pra ver o que havia “caído na rede”.

Primeiro procurei por pacotes contendo código HTML, para ver quais sites os outros usuários do hotspot estavam visitando. Embora eu tenha visto atividade dos outros clientes, não capturei nada muito interessante. Então visitei meu próprio site, www.egeier.com, em meu smartphone. Os pacotes “brutos” com código HTML pareciam “lixo”, mas o analisador de rede foi capaz de reconstruir a informação e exibí-la como uma página web comum. A formatação estava um pouco errada, e algumas imagens estavam faltando, mas ainda assim o resultado continha informação suficiente.

Ao usar meu notebook para me conectar ao meu próprio servidor FTP, consegui capturar os pacotes contendo meu nome de usuário e senha. Detalhes que permitiriam que qualquer malfeitor nas redondezas ganhasse acesso ilimitado aos meus sites.

Os computadores não são os únicos adequados a esse tipo de espionagem. Também rodei um app chamado DroidSheep em um smartphone Android com “root”. Este app pode ser usado para ganhar acesso a contas em serviços web populares como o GMail, LinkedIn, Yahoo e Facebook.

Felizmente há formas de proteger sua atividade online enquanto você está por aí com seu notebook, tablet ou smartphone. Veja algumas para se manter seguro

1) Sempre que fizer login em um site, certifique-se de que a conexão é criptografada. A URL da página de login deve começar com HTTPS em vez de HTTP.

2) Certifique-se de que a conexão continue sendo criptografada durante toda a sessão. Alguns sites, entre eles o Facebook, criptografam o login mas depois lhe redirecionam para uma sessão insegura, deixando-o vulnerável às práticas que já descrevemos.

3) Muitos sites lhe dão a opção de criptografar toda a sessão. No Facebook você pode fazer isso habilitando o item Navegação Segura em Configurações de Segurança. Uma boa forma de garantir estes três primeiros itens é usando uma extensão para o navegador como a HTTPS Everywhere da Electronic Frontier Foundation, que força automaticamente o uso de conexões HTTPS sempre que possível.

4) Ao checar seu e-mail, faça o login usando o navegador e certifique-se de que a conexão é criptografada. Se você usa um cliente de e-mail como o Outlook, verifique as configurações veja se a criptografia está habilitada nas contas POP3, IMAP e SMTP.

5) Nunca use o FTP, ou outros serviços que você sabe que não são criptografados

6) Para criptografar sua navegação web e outras atividades online, use uma VPN (Virtual Private Network - Rede Virtual Privada).

Matéria publicada em http://computerworld.uol.com.br/seguranca/2013/07/02/a-tentacao-das-redes-wi-fi-abertas-e-os-riscos-para-seus-dados/