quarta-feira, 4 de setembro de 2019

DE VOLTA À AUTENTICAÇÃO EM DOIS FATORES


NÃO SOU PRECONCEITUOSO, MAS SUPERIOR.

Diz um velho ditado que o que abunda não excede; outro, que é melhor pecar por ação que por omissão; outro, ainda, que seguro morreu de velho. Então vamos lá:

A vaza-jato, como ficou conhecido o vazamento de mensagens obtidas de forma criminosa (mediante hackeamento de aproximadamente 1000 smartphones de autoridades) e divulgadas seletivamente pelo site Intercept, trouxe preocupação a usuários de aplicativos mensageiros, como o Telegram e o WhatsApp.

Uma das maneiras de aprimorar a segurança desses programas (e de diversos serviços online) é a dupla autenticação, até porque não é boa política confiar apenas numa simples senha alfanumérica, não importa quão segura ela pareça ser — menos pela "insegurança" propriamente dita das senhas e mais pela negligência dos usuários, que não raro criam senhas robustas — isto é, difíceis de memorizar —, mas as anotam num post-it que candidamente colam na moldura do monitor do PC, por exemplo.

Outras prática a evitar, a despeito da comodidade que ela proporciona (conforto e segurança raramente andam de mãos dadas), é usar a mesma senha para se logar em diversos serviços — e, pior ainda, salvá-la no navegador, para que seja preenchida automaticamente sempre que necessário. Mesmo que só você utilize seu PC (ou smartphone, que não deixa de ser um computador), bisbilhoteiros não faltam, e alguém sempre pode se aproveitar... enfim, acho que já me fiz entender.   

sequestro de contas em redes sociais tem sido uma prática recorrente, e uma maneira de dificultá-lo é justamente a autenticação em dois fatores (conforme já frisei uma porção de vezes, mas volto a repetir em atenção aos recém-chegados). Por autenticação de dois fatores (ou 2FA), entenda-se a criação de uma camada adicional de segurança de login, que visa limitar ao legítimo usuário o acesso a um aplicativo ou serviço, mesmo se alguém descobrir a senha. O segundo fator é um código de segurança que não precisa ser memorizado, pois é criado aleatoriamente a cada login e pode ser recebido por SMS ou email, ou mesmo gerado num aplicativo (soft token) ou num dispositivo específico para esse fim (hard token).

Apps de troca de mensagens, como os populares WhatsApp e o Telegramoferecem nativamente o recurso, mas é preciso ativá-lo para uso. Em smartphones com Android 7 e versões superiores pode ser usado como chave de segurança um mecanismo que combina a localização do GPS com o sensor de proximidade conectado pelo Bluetooth. As contas no Facebook e Instagram também oferecem a opção, e uma maneira universal de gerar o código de segurança é recorrer ao aplicativos Google Authenticator e Microsoft Authenticator. Os dois funcionam como geradores de códigos aleatórios para proteger as contas de redes sociais, email, entre outros tipos de serviço online.

Atualmente diversos mecanismos de controle de acesso suportam a autenticação de dois fatores, mas, de novo, é preciso ativar essa segunda camada de segurança. Convém fazê-lo o quanto antes; depois não adianta chorar.