Monitor das Fraudes - O primeiro site lusófono sobre combate a fraudes, lavagem de dinheiro e corrupção
Monitor das Fraudes

>> Visite o resto do site e leia nossas matérias <<

CLIPPING DE NOTÍCIAS


FALSIDADE DOCUMENTAL NOS PROCESSOS ELETRÔNICOS

Veja aqui a programação deste inédito treinamento programado para o dia 20/12 em São Paulo

Acompanhe nosso Twitter

20/06/2011 - Portal Exame Escrever Comentário Enviar Notícia por e-mail Feed RSS

Quebra de segredo de tokens não deve alarmar usuários

Por: James Della Vale

Ataque a aparelhos nos EUA revela falha específica e não deve assustar, por exemplo, brasileiros que usam dispositivo para acessar contas bancárias

São Paulo - Com as dimensões de um chaveiro, o token é um dispositivo de segurança cujo funcionamento é simples. O usuário aperta um pequeno botão na extremidade do aparelho, que imediatamente exibe uma sequência numérica em seu visor. O código deve, então, ser informado a um sistema, o site de um banco, por exemplo.

Do outro lado da conexão, a central de segurança bancária confere se a numeração está correta, liberando ou não o acesso do usuário a seus serviços. Isso é possível porque a sequência numérica exibida pelo token, aparentemente aleatória, obedece na verdade a um padrão previsto pelo sistema central. O código, alterado em invervalos de segundos, está atrelado ainda ao identificador serial do produto – e este, por sua vez, está vinculado à conta do usuário.

Um golpe na confiabilidade dos tokens foi desferido há algumas semanas, quando invasores obtiveram acesso a computadores da Lockheed Martin, fornecedora de material bélico do governo americano. A companhia utilizava o token da RSA Security, subsidiária da EMC Corp, para franquear a funcionários acesso a seu servidor. O ataque, considerado complexo, consistiu na quebra do segredo do token, ou seja, os crackers conseguiram emular o padrão de geração de sequências numéricas.

Em seguida, o código foi usado conjuntamente com senhas e logins, adquiridos em golpes anteriores. A RSA tomou, então, uma decisão difícil, mas fundamental em situações similares: trocar milhões de aparelhos que estavam em poder de seus clientes. "Queremos garantir a tranquilidade de todas as pessoas que utilizam nosso produto", afirmou na semana passada um porta-voz da companhia. Fim de caso? Sim, garantem os especialistas. "O sistema da RSA será tão seguro quanto era antes do ataque", diz Mark Diodati, especialista da consultoria de mercado Gartner.

Os analistas asseguram que o episódio não indica que um ataque em massa a usuários de tokens seja iminente ou sequer exequível. "O problema em questão ocorreu com um fabricante específico e não afeta outros desenvolvedores de tokens, pois cada uma tem sua própria tecnologia", diz Cassio Pereira, consultor de segurança da informação da EZ-Security.

A BRToken, por exemplo, companhia brasileira que fabrica tokens, esconde o segredo – o algoritmo que gera as sequências numéricas – literalmente a sete chaves. "Ele está em um arquivo criptografado dentro do cofre de um banco. Totalmente fora da rede", conta Carlos Eduardo da Fonseca, diretor da empresa.

Sem acesso aos dados, a missão dos criminosos de conhecer o padrão de criação de sequências numéricas é dificultada. Seria necessário realizar um processo complicado conhecido como engenharia reversa, que consiste em descobrir, a partir de uma sequência numérica, o padrão que a gera. A tarefa pode consunir dias, meses ou até anos de trabalho.

Ainda que os criminosos fossem bem-sucedidos nessa primeira fase, esbarrariam em outros obstáculos. Para invadir contas bancárias, por exemplo, além do padrão do token, seria necessário obter senha e login de cada usuário alvo. "Os criminosos teriam, então de realizar ataques exitosos individuais, enviando os conhecidos e-mails falsos de bancos solicitando recadastramento, por exemplo", diz Pereira. Em resumo: um ataque em massa só teria êxito caso os crackers conseguissem acessar de forma irrestrita dados de bancos e empresas.

A área de segurança digital obedece a uma regra simples: quanto mais barreiras à ação de criminosos, melhor. A razão também é simples. O tempo e o dinheiro que crackers precisam investir para lograr êxito em um ataque virtual são proporcionais ao tamanho e à complexidade do sitema de proteção. Assim, a certa altura, tentar cometer o crime não compensa. Por outro lado, todo ataque bem-sucedido revela uma falha. Para minimizar problemas, Fonseca, da BrToken, orienta os usuários a seguir as orientações de segurança. "Nunca informe a terceiros o código serial do token ou a sequência numérica exibida no visor do aparelho", diz. "Os tokens, assim como senhas, constituem umas das camadas de proteção de sistemas eletrônicos. Se qualquer uma delas for exposta indevidamente, cresce a vulnerabilidade."

Página principal do Clipping   Escreva um Comentário   Enviar Notícia por e-mail a um Amigo
Notícia lida 334 vezes




Comentários


Nenhum comentário até o momento

Seja o primeiro a escrever um Comentário


O artigo aqui reproduzido é de exclusiva responsabilidade do relativo autor e/ou do órgão de imprensa que o publicou (indicados na topo da página) e que detém todos os direitos. Os comentários publicados são de exclusiva responsabilidade dos respectivos autores. O site "Monitor das Fraudes" e seus administradores, autores e demais colaboradores, não avalizam as informações contidas neste artigo e/ou nos comentários publicados, nem se responsabilizam por elas.


Patrocínios




NSC / LSI
Copyright © 1999-2017 - Todos os direitos reservados. Eventos | Humor | Mapa do Site | Contatos | Aviso Legal | Principal