Um terço das empresas usará biometria em dispositivos móveis até 2016

Preocupadas com a segurança em ambientes corporativos, 30% das organizações deverão usar autenticação biométrica em dispositivos móveis até 2016, segundo previsão do Gartner divulgado nesta terça, 4. Atualmente, 5% das empresas utilizam o recurso, que substitui senhas complexas e medidas de segurança comuns em PCs.

De acordo com o instituto de pesquisas, smartphones e tablets possuem as mesmas aplicações e dados críticos do que computadores, mas não oferecem o mesmo nível de segurança.

O problema se agrava porque a implantação de políticas de proteção em dispositivos móveis pessoais no trabalho (prática do BYOD) acaba implicando em problemas de privacidade e direitos do usuário. Além disso, Senhas complexas são mais difíceis de serem digitadas em telas sensíveis ao toque.

Assim, a recomendação é que as companhias passem a usar mais a autenticação biométrica. Isso inclui interatividade humana, reconhecimento de voz, topografia da face e estrutura da íris. Apesar da conveniência, o Gartner aconselha a não abandonar as senhas convencionais, pois isso permite uma autenticação de dois passos mais segura.

Não há menção na previsão ao sensor biométrico de leitura digital, como o incorporado no final do ano passado no iPhone 5S, como uma alternativa. Entretanto, o mercado já especula que competidores como Samsung e LG adotem o recurso (que não foi inventado pela Apple, diga-se de passagem), o que pode popularizar essas ferramentas junto ao consumidor final.

Formatar remotamente não resolve

Outro problema, aponta o Gartner, é na hora de realizar o wipe-out (limpeza total) do aparelho em caso de roubos. Segundo a empresa, o risco continua porque os discos de estado sólido (SSD, usados em smartphones e tablets, além de ultrabooks) são "quase impossíveis de serem apagados". A melhor técnica seria usar criptografia que não tenha uma chave acessível após uma operação de formatação rápida do aparelho.

Fonte:http://convergecom.com.br/tiinside

Morte da senha: prepare-se!

Por que continuamos confiando em métodos de autenticação que não são nem seguros, nem convenientes?

Por Phil Scarfo 

É difícil acreditar que em plena Era Digital continuamos sendo obrigados a confiar em um método de autenticação desenvolvido há mais de 50 anos e que se baseia principalmente na memorização de números e letras combinados. Já não era simples quando, no início, tínhamos de decorar uma, duas ou três senhas. 

Como tudo à nossa volta se transformou nestas últimas décadas, a quantidade de senhas e a complexidade delas também aumentou consideravelmente. 

Hoje em dia, é praticamente impossível memorizar todas as combinações – e as pessoas acabam anotando em tudo quanto é lugar, aumentando sua vulnerabilidade também.

Nos anos 60, quando foram criadas, as senhas eram usadas em locais bastante restritos, terminais dedicados, com conexão por fio e dentro de um espaço corporativo bem limitado. Ao serem apresentadas ao mundo, o universo da computação era bem menor do que o que temos hoje dentro de um único smartphone. Hoje, um número incrível de pessoas têm acesso à telefonia celular – mais do que têm acesso a água potável e energia elétrica. Até 2017, para se ter uma ideia, o m-commerce atingirá 3,2 trilhões de dólares. Já as operações bancárias online devem alcançar 894 milhões de pessoas em 2015. E só a receita dos anúncios comercializados no Google supera toda a indústria da mídia impressa nos Estados Unidos.

O fato é que o mundo mudou dramaticamente nas últimas décadas. Então, por que continuamos confiando em métodos de autenticação que não são nem seguros, nem convenientes? No cabo de guerra entre segurança e comodidade, esta última geralmente sai ganhando. Num exemplo extremo, as senhas necessárias para disparar mísseis nucleares dos Estados Unidos durante a Guerra Fria foram definidas em 00000000 para garantir que não haveria perda de tempo nem erros durante a digitação. 

Em situações mais comuns, embora as senhas não fossem consideradas o método mais seguro, pelo menos eram convenientes e, certamente, mais fáceis de serem implantadas na maioria das organizações. Não exigiam grande empenho nem impunham barreiras tecnológicas. Para adicionar um véu de segurança, bastava fornecer um nome de usuário e uma senha para ter acesso a ambientes protegidos.

Sendo assim, não temos de questionar se o uso de senhas está obsoleto. O mais importante é saber o que é necessário para aumentar o nível de segurança, conveniência e privacidade – substituindo, então, as senhas. Com mais de um bilhão de pessoas hoje com acesso à banda larga (incrível, mas eram apenas 38 milhões em 1999), estamos num ponto de inflexão em que um aplicativo seguro (ou aplicativos) num dispositivo inteligente (um smartphone, por exemplo), combinado com uma solução biométrica, será toda tecnologia necessária para a próxima geração, provendo autenticação segura e conveniente.

Isto não quer dizer que a biometria utilizada deva ser parte integrante do dispositivo inteligente, mas certamente é uma opção. Com credenciais seguras sendo armazenadas de forma igualmente segura e transmitidas por NFC (Comunicação de Campo Próximo), Bluetooth, ou qualquer outro meio num dispositivo inteligente, há condições convenientes e seguras para uma ‘chave digital inteligente’ – que, ao encontrar uma ‘fechadura digital inteligente’, que pode ser um caixa eletrônico com sensor biométrico, ou ainda um serviço online, é possível finalmente entregar a solução simplificada que as pessoas anseiam hoje em dia.

Todos precisamos de segurança, mas o que desejamos mesmo é conveniência. Ninguém quer enfrentar um passo a passo muito difícil nem ser exigido demais sempre que precisa ter acesso a um ambiente seguro. Não se trata de uma gincana. Nesse quesito, o Brasil está bastante avançado, principalmente em se tratando de sistema bancário. Hoje, grande parte dos caixas eletrônicos tem sensores biométricos que facilitam muito o acesso da população à conta corrente. Trata-se, inclusive, de uma solução em que ambas as partes saem ganhando. Enquanto o cliente tem acesso fácil e seguro à sua conta bancária, o banco também está mais protegido contra fraudes e perdas financeiras. Com esse modelo em que todas as partes saem ganhando, é possível antever a morte das senhas. Prepare-se!

(*) Phil Scarfo é vice-presidente comercial e de marketing da Lumidigm

Fonte: http://cio.com.br/opiniao/2014/02/03/

Senhas: aprenda mudanças simples que fazem toda a diferença

Somos capazes de lembrar de apenas duas ou três senhas - e a maioria das pessoas escolhe combinações relativamente curtas e previsíveis. É hora de mudar.

Markus Jakobsson, TechHive.com 

Há 20 anos, uma das maiores preocupações de segurança era que um colega poderia descobrir a sua senha por conta do post-it que você colocou na sua tela do computador. A solução era simples: não escreva suas senhas! Isso foi um bom conselho, e a maioria das pessoas podiam facilmente lembrar as duas ou três combinações de que precisavam.

Desde então, as ameaças contra a segurança evoluíram além do conhecimento, mas a nossa capacidade de lembrar de senhas manteve-se inalterada. Ainda somos capazes de lembrarmos de apenas duas ou três senhas - e a maioria das pessoas escolhem combinações relativamente curtas e bastante previsíveis, a fim de serem capazes de recordá-las.

Gerenciadores de senhas resolveram esse problema, mas eles apareceram com seus próprios. E se um malware invadir e roubar todas as senhas? E o que você faz, em termos práticos, quando tem um dispositivo novo ou emprestado?

Camadas de segurança

Primeiro de tudo, devemos revisar o conselho dos anos 90. Hoje, o adversário típico não é um colega olhando por cima do ombro, mas um hacker sem rosto a milhares de quilômetros de distância. 

Anotar as senhas em pedaços de papel pode não ser uma má ideia - embora ainda não recomendamos deixá-los em sua tela. Isto faz sentido particularmente quando o número de senhas aumenta.

Para implementar uma camada adicional de segurança à sua "cola", você pode fazer todas as senhas serem compostas por duas partes. Uma que você memoriza - esta parte é a mesma para todas as suas senhas dentro de uma determinada categoria - e outra que você anota (e essa é única). Usando este método, qualquer pessoa pode gerenciar centenas de senhas enquanto ainda só terá que lembrar de duas ou três coisas.

Seja criativo

Em segundo lugar, precisamos criar senhas fortes. Quando os usuários são obrigados a incluir letras maiúsculas e minúsculas, bem como números e caracteres especiais, o que eles fazem? Reúnem esses requisitos de maneira que seja mais fácil para lembrar. Então, ao invés de usar senhas como "password" ou "seguro", eles usam "Password1!" E "Seguro1!".

Este não é muito inteligente, em termos de segurança, especialmente porque crackers sabem muito bem, provavelmente melhor do que ninguém, que tipo de senhas que as pessoas escolhem. 

Se exigimos caracteres maiúsculos em senhas, quase todo mundo vai capitalizar a primeira letra. Se exigimos um numeral, o número "1" é quase três vezes mais provável do que o número "9", e "3456" é mais de dez vezes mais comum que "4321". 

Da mesma forma, os caracteres "especiais" que as pessoas usam estão longe de ser especiais quando você olha quais são usados ​​e onde eles são colocados na senha. Portanto, técnicas tradicionais de força de senha criam uma falsa sensação de segurança, uma vez que eles contam caracteres, mas pecam em olhar para probabilidades.

O papel dos desenvolvedores

Os usuários não são os únicos culpados. A indústria está dando uma falsa sensação de segurança com a maneira como usam os verificadores de senhas. Em vez de considerar letras maiúsculas e minúsculas, números e caracteres especiais mais exigentes, verificadores de força de senhas deveriam entender as combinações e recusar senhas que são muito previsíveis.

E isso pode ser feito! Em um artigo recente que escrevi com meu aluno Mayank Dhiman mostramos como verificadores de força de combinações podem analisar senhas, quebrando-as em componentes, em seguida classificando tais componentes com base na sua semelhança, e computando uma pontuação para a senha com base na pontuação dos componentes.

É hora de ensinar os usuários a serem menos previsíveis.

Fonte IDGNOW

Leia Também:  

Diga adeus às senhas com letras e números

Diga adeus às senhas com letras e números

Por 

ANDREW BLACKMAN

Eis o problema fundamental das senhas: elas são mais eficazes para proteger uma empresa quando são longas, complicadas e trocadas com frequência. Ou seja, quando é mais difícil para os funcionários decorá-las.

Por isso, as firmas de tecnologia estão batalhando para oferecer soluções que sejam, ao mesmo tempo, mais seguras e mais convenientes. Muitos laptops já vêm com leitor de impressões digitais integrado. Os smartphones e outros dispositivos móveis também estão adotando opções biométricas, como reconhecimento facial e de voz.

No ano passado, a Apple Inc. AAPL +4.73% adquiriu a AuthenTec Inc., desenvolvedora de tecnologias para sensores de impressões digitais, e neste mês lançou um novo iPhone com um sensor de impressão digital instalado. A MicrosoftMSFT -0.16% anunciou que seu sistema operacional Windows 8.1, que deve ser lançado em outubro, é "otimizado para a biometria baseada em impressões digitais".

Enlarge Image

Yubico Inc

O token da Yubico gera senhas por uma entrada USB ou ao encostar no celular

Outras empresas, como Google Inc.,GOOG -1.87% PayPal Inc. e Lenovo Group Ltd., 0992.HK +3.14% formaram uma organização conhecida como Aliança Fido (Fast Identity On-line, ou Identidade Rápida On-line), que visa criar padrões para o setor de biometria e outras formas da chamada "autenticação forte".

O Google também está testando um novo tipo de dispositivo, criado pela Yubico Inc., de Palo Alto, na Califórnia. Tal como os tradicionais tokens que geram senhas numéricas aleatórias, já usadas por bancos e outras empresas há anos, os aparelhos da Yubico geram senhas temporárias para serem utilizadas como uma segunda forma de autenticação.

Mas em vez de ter que ler a senha no token e depois digitá-la, o funcionário pode simplesmente introduzir o token numa entrada USB ou encostá-lo num smartphone ou tablet, usando a comunicação de campo próximo (NFC, na sigla em inglês), tecnologia que permite aos dispositivos eletrônicos se comunicarem fazendo contato físico.

O Google está testando os tokens com seus funcionários este ano e pretende oferecê-los aos consumidores em 2014, como uma forma de acessar o Gmail e outras contas do Google com mais segurança. Mayank Upadhyay, diretor de engenharia de segurança do Google, diz que os tokens são fáceis de usar e têm uma criptografia forte.

"Acreditamos que, ao usar esse token, elevamos o nível de segurança para os nossos funcionários para além do que estava disponível no mercado", diz Upadhyay. O token é compatível com o navegador Chrome, do Google, e "vem funcionando muito facilmente e sem problemas para as pessoas no seu fluxo de trabalho diário aqui no Google", diz.

Cálculo de risco e dados biométricos

Outra nova opção, vinda da RSA, a divisão de segurança da EMC Corp.EMC -0.72% e criadora dos tokens SecurID, muito usados, é a autenticação baseada no risco.

Essa tecnologia classifica grandes massas de dados vindas de usuários de diversos grupos numa empresa, definindo qual é o comportamento "normal". Então atribui uma nota de risco para cada usuário. Se um funcionário faz algo incomum, tal como fazer o login no sistema a partir de um novo local, usar outro computador ou tentar acessar um sistema diferente do habitual, sua nota de risco aumenta e pode ser solicitado a ele que forneça mais uma autenticação — por exemplo, confirmar sua identidade por telefone.

Muita gente acredita que o cenário da segurança vai mudar rapidamente à medida que mais pessoas levam seus próprios smartphones e outros dispositivos para o trabalho. Embora muitos considerem a proliferação desses aparelhos uma ameaça à segurança, alguns analistas acham que eles podem melhorar a segurança ao facilitar o uso da autenticação biométrica. A maioria dos dispositivos móveis tem microfone e câmera e pode identificar a localização do usuário.

Enlarge Image

John Chuang

O professor John Chuang, de Berkeley, usa um fone de ouvido projetado para ler possíveis "senhas mentais"

"Acreditamos que a autenticação biométrica será significativamente mais popular e o que vai impulsionar e viabilizar [essa tecnologia] é a computação móvel", diz Ant Allan, vice-presidente de pesquisas da firma americana Gartner Inc. IT +1.25%

Ele explica que para uma grande empresa instalar um novo hardware para cada funcionário pode sair muito caro. Então, um sistema baseado em dispositivos pessoais que já são comuns oferece uma clara vantagem econômica. Além disso, um funcionário com seu smartphone provavelmente vai achar muito mais fácil usar um leitor de impressões digitais do que lembrar e digitar senhas.

Outro desenvolvedor de ferramentas inovadoras de segurança é a empresa espanhola Agnitio SL, que fabrica um software de reconhecimento de voz usado pela polícia. Ela desenvolveu um sistema que permite a um funcionário fazer o login apenas falando uma frase simples.

Já a PixelPin Ltd., de Londres, quer substituir as senhas por fotos. Escolha uma foto da sua esposa, por exemplo, e faça o login clicando em quatro partes do rosto dela, numa sequência que você memorizou. É mais fácil para as pessoas lembrarem de uma foto do que de uma senha com letras e números e mais difícil para os outros replicarem, diz um dos fundadores da empresa, Geoff Anderson.

Eis uma ideia

Olhando para o futuro, pesquisadores da Universidade da Califórnia em Berkeley estão estudando o uso de ondas cerebrais como forma de autenticação. Os participantes de um teste usaram um fone de ouvido que mede os sinais das ondas cerebrais enquanto eles imaginavam executar uma determinada tarefa. Os pesquisadores puderam distinguir entre as diversas pessoas com 99% de precisão. Em teoria, isso pode se tornar a "senha mental" de um funcionário.

A maioria dos especialistas julga que as empresas vão utilizar várias medidas diferentes. O Hospital Saratoga, no Estado de Nova York por exemplo, usa leitores de impressões digitais como uma alternativa mais segura para as senhas. Mas embora eles tenham resolvido muitos problemas de segurança, não são viáveis para todos. Alguns voluntários idosos que trabalham no hospital têm dificuldade para manter a mão imóvel, e o leitor não funciona se alguém estiver de luvas ou com as mãos muito secas, diz Gary Moon, analista de segurança do hospital. Alguns funcionários também se recusaram a registrar suas impressões digitais. Então o hospital continua usando as senhas como um sistema de segurança de reserva.

"Não há nenhuma solução de autenticação que sirva para todos", diz Vance Bjorn, fundador da DigitalPersona Inc., da Califórnia, que forneceu os leitores de impressões digitais para o Hospital Saratoga. "Uma tecnologia resolve alguns problemas, mas pode não ser a combinação adequada de segurança, conveniência, custo e facilidade de implementação para todos."

Fonte:  The Wall Street Journal Via Paulo Pagliusi, Ph.D., CISM

Empresas ainda têm dificuldades com senhas de funcionários

Imagem IDGNOW

 Por: Denny Roger

É enorme o alvoroço dos funcionários quando recebem a política ou norma de segurança da informação, que diz, por exemplo, que todos devem alterar suas senhas a cada 45 dias.

Nesse momento, os funcionários não pensam duas vezes antes de guerrearem contra os gestores. Em outras palavras, a resistência a mudanças é tão grande que os colaboradores travam um verdadeiro duelo contra a política de segurança da informação.

É lógico que as empresas não falam sobre isso na campanha de conscientização ou na divulgação da política e norma de segurança da informação, mas a companhia cria a regra sobre alteração de senha para atender aos requisitos de uma auditoria externa. São raríssimos os casos em que a organização define este tipo regra para melhorar a segurança.

Mas esse não é o único problema. Hoje temos a senha do internet banking, e-mail pessoal, corporativo, da rede, da intranet, da rede social, do programa de mensagens instantâneas, cartão do banco, blog etc.

Para ajudar ainda mais, a organização solicita que você crie uma nova senha complexa. Ou seja, deve contar letras maiúsculas e minúsculas, números e caracteres especiais.

Mas será que isso tudo realmente funciona?

Primeiro, o colaborador cria uma senha tão difícil que provavelmente irá esquecê-la.

Segundo, para não esquecer a senha, o colaborador irá anotá-la.

Terceiro, a combinação ficou tão “forte” e difícil de alguém adivinhar que a mesma senha será utilizada para tudo. Isso quer dizer que a senha corporativa também é a mesma do e-mail pessoal, do blog pessoal etc. Inclusive o habito de usar a mesma senha foi alvo de uma pesquisa recente.

Em quarto lugar, o colaborador cria uma senha complexa, indicado na política ou norma de segurança da informação, como por exemplo, senha “D&nny123”. Após 45 dias de uso dessa senha, o colaborador é forçado a alterá-la. A nova senha é “D&nny1234”. A próxima senha será “D&nny12345”; e assim por diante.

O tema sem dúvida é importante em todas as organizações. Porém, estamos falando de uma mudança cultural.

As organizações não fazem o uso correto de suas estruturas organizacionais para implantar o que está descrito em sua política e normas de segurança da informação.

Assim, a alta direção acredita que a área de TI ou Segurança da Informação é responsável por desenvolver uma campanha de conscientização com o objetivo a mudança comportamental dos colaboradores.

O departamento de Marketing, Recursos Humanos e até mesmo o Jurídico devem fazer parte do desenvolvimento de uma campanha de conscientização sobre segurança da informação.

A Auditoria Interna deve participar do processo de monitoração para identificar desvios na política e normas de segurança da informação e fornecer informações para o processo de melhoria continua. Ou seja, a área de TI ou segurança da informação é apenas uma das áreas de apoio que sem a colaboração das demais áreas não irá conseguir atingir os objetivos de segurança da informação.

Fonte: IDGNOW

Minhas considerações sobre o Artigo

Excelente artigo e deveria servir de alerta para que gestores de infraestrutura de TI pesquisem  no mercado alternativas disponíveis, e menos arcáicas, para substituição de senhas por certificados digitais para login em sistemas e máquinas.

Existem soluções muito simples e os certificados digitais não precisam ser certificados de hierarquias do âmbito da ICP Brasil, portanto, a validação dos usuários para emissão dos certificados é realizado pela própria organização, sendo assim, requer menos investimento. Vale a pesquisa!

Regina Tupinambá

Leia Também: Que hacker resiste a tanta facilidade?