A OpenCS, na condição de patrocinadora do evento contribuirá para o debate palestrando sobre segurança na nuvem.

Segundo Ricardo Orsi, presidente da OpenCS, existem muitas preocupações sobre migração a para a Nuvem, mas até o momento, muito pouco tem sido discutido sobre a autenticação dos usuários, que pode ser o calcanhar de Aquiles da Nuvem.  “Não se trata de reinventar a roda”, disse Ricardo, “pois muitos dos desafios das redes locais estão presentes na Nuvem, mas esta mudança introduziu também novos desafios que precisam ser enfrentados, sob pena de, ao invés de migramos os sistemas para um ambiente de paz e tranquilidade, ficarmos expostos a riscos desnecessários”.

Horário das Palestras:
20/10, 14h30 às 15h30 – sala 01: Desafios para a guarda de dados e autenticação na Nuvem.
15h45 às 16h15 – sala 01: Autenticação multi-fator e multi-aplicação na Nuvem.

Para inscrever-se, clique aqui.

OTPGen(secret,x)=otp

O algoritmo OATH é publico e o valor arbitrário x varia a cada autenticação. Desta forma segurança do processo está no valor secret, que deve ser protegido dentro do token e no servidor. Conhecendo o valor de secret é possível obter-se qualquer valor de OTP.  Por outro lado, conhecendo-se apenas a função OTPGen e o valor de x, não possível deduzir o valor da OTP e tampouco do secret.

Dado que o segredo compartilhado é fixo, é a variação do valor arbitrário x é o que efetivamente determina o modo de operação do token.

Os modos básicos de operação dos tokens são:

• OTP por evento: o valor de  é determinado por um contador incrementado a cada autenticação;
• OTP por tempo: o valor de  é determinado por uma função que envolve tempo. Neste modo, os relógios de servidor e do token devem estar sincronizados;
• OTP por desafio/resposta: O servidor determina um desafio arbitrário que deve ser inserido no token para que este possa calcular a resposta;

É possível definir outros modos de operação com base em outros geradores ou até mesmo trabalhar com modos combinados como faz o OCRA que pode combinar o desafio/resposta com tempo e/ou evento.

Um método bastante interessante é o Transaction Signing, em e o valor de x é uma combinação de dados referentes a uma trasação bancária como: valor, moeda, conta de origem, conta de destino de forma que a OTP resultante equivale a assinatura da transação efetuada.

O m-Trusted, a aplicação mobile token da OpenCS possui todos os métodos básicos de OTP e o Transaction Signing.

Vale dizer que o importante na tecnologia não é o programa que gera a OTP, que pode ser público (e é melhor que o seja, um aparente paradoxo da segurança da informação que discutiremos num artigo futuro). O importante é que o programa seja capaz de gerar uma senha dinâmica que seja muito difícil (ou quase impossível) de calcular sem que se conheça o segredo que é armazenado dentro do token e compartilhado com o servidor responsável pela autenticação.

Os tokens OTP que utilizam o padrão OATH geram as OTPs com base em uma função que utiliza um segredo compartilhado e um valor arbitrário. A equação a seguir representa o gerador:

OTPGen(secret,x)=otp

onde  secret é o segredo compartilhado,  x é o valor arbitrário e  otp é a senha dinâmica gerada. Por questões de segurança, esta função deve possuir as seguintes propriedades:

1. Cada par (secret,x) , resulta em uma única OTP porém uma OTP pode ser gerada por mais de um par ;
2. OTPGen() não é reversível, ou seja, não existe uma função capaz de utilizar uma OTP e o valor x para determinar os valor de secret ;
3. O conhecimento de uma sequencia de OTPs não permite determinar as OTPs anteriores e nem as próximas;
4. A sequencia de OTPs geradas deve se comportar como uma sequencia aleatória com distribuição uniforme.

Na prática, esta função é utilizada da seguinte maneira:

1. O secret é um valor grande, normalmente com 160 bits ou mais, compartilhado apenas entre o servidor e o token. Este valor deve ser muito bem protegido para evitar a clonagem do token;
2. O x é um valorque varia de autenticação para autenticação (resultando em OTPs diferentes), podendo ser definida diretamente pelo servidor (challenge/response) ou gerado por alguma sequencia combinada entre o servidor quanto e o token. Este valor pode ser público.

A variação dos valores de secret determinam senhas dinâmicas distintas enquanto que as regras que determinam os valores de x para cada autenticação determinam o modo de operação.

Uma OTP é considerada válida pelo servidor se e somente se o valor gerados pelo token e pelo servidor forem os mesmos para um mesmo valor de x.

Ficou clara a explicação acima? A sua opinião é importante para aprimorarmos os nossos artigos continuamente. No próximo aprofundaremos o conceito falando sobre os tipos de OTP existentes.

Até lá.

O blog da OpenCS publicará, nas próximas semanas, uma série de artigos com objetivo de mostrar como funcionam as senhas dinâmicas, quais as vantagens, bem como os principais problemas e desafios de sua utilização. Os primeiros cinco artigos tratarão dos seguintes temas:

• Como funcionam os tokens OTP?
• Quais os tipos de OTP e suas variações?
• Por que os tokens perdem a sincronização?
• Quais as vantagens de se adotar um padrão para geração das senhas dinâmicas?
• Quais os tipos de aplicações podem se beneficiar com o uso das senhas dinâmicas?
• Quais as aplicações podem se beneficiar do uso dos tokens?

Espero que gostem.

Em breve, este deixará de ser um fator restritivo, pois a OpenCS lançará o @Work, uma solução que visa restringir o acesso a sistemas “in the clouds” somente à rede local das empresas.

O controle de acesso do @Work será realizado por usuário, de forma que, através do console administrativo será possível designar quais usuários terão acesso restrito ao ambiente da empresa e quais poderão acessar livremente a partir do ambiente externo.

Como vantágem adicional, a solução representa um fator extra de autenticação dos usuários, pois para liberar o acesso, o @Work utiliza avançados métodos de autenticação forte com a vantagem de não exigir a interação do usuário, como por exemplo, para a digitação uma nova senha ou OTP, bastando estar conectado a rede da empresa.

O @Work funcionará inclusive com tablets e celulares que possuam navegador WEB com suporte a Java Script, desde que estejam conectados a rede Wi-Fi da empresa.

O @Work trabalhará de forma integrada com a plataforma de Autenticação Forte na Nuvem da OpenCS e estará disponível para usuários de Google Apps, Sales Force e quaisquer outras aplicações compatíveis com o protocolo SAML.

Para que o @Work funcione, a empresa precisará instalar em seu ambiente de rede uma pequena aplicação WEB que interagirá com a plataforma de autenticação da OpenCS. Nenhuma aplicação precisará ser instalada na máquina do usuário, pois o @Work utiliza apenas os recursos nativos do navegador WEB do usuário.

O número de dígitos de uma OTP determina o número de senhas possíveis de serem geradas a cada ciclo. Para uma OTP de seis dígitos, temos um milhão de possibilidades variando de “000000” até “999999”, já para uma OTP de 8 dígitos temos 100 milhões de possibilidades variando de “00000000” até “99999999”. Este é um fator muito importante para determinar as chances de sucesso de um palpite simples, sem nenhum conhecimento prévio do token.

Supondo que o gerador de OTPs comporta-se como um gerador de números aleatórios com distribuição uniforme, a chance de adivinhar a senha gerada em um dado momento é de 10^x (dez elevado ao numero x de dígitos da senha). Se levarmos em consideração uma janela de autenticação de três OTPs, somado a três tentativas de autenticação antes que o token seja bloqueado, a chance de sucesso sobe para nove chances em 10^x (este é um modelo simplificado, pois a chance real de acerto depende também do intervalo de tempo usado para cada tentativa). Desta forma, pode-se dizer que as chances de sucesso de se adivinhar uma senha com seis dígitos é de 9/1.000.000 (nove em um milhão), enquanto que as chances de sucesso para a adivinhar uma senha de 8 dígitos é de 9/100.000.000 (nove  em cem milhões).  Isto significa que ativinhar a OTP de um token com oito dígitos é muito mais difícil que de um token de seis dígitos.

Suponhamos, no entanto, que para executar uma transação, um usuário necessite digitar ao menos duas OTPs, uma para o login e outra para a realização da transação propriamente dita. Neste caso o atacante teria que adivinhar não uma, mas duas senhas, de forma que o atacante teria 18/1.000.000.000.000 (dezoito chances em um trilhão) para acertar as duas senhas de seis dígitos ou 18/10.000.000.000.000.000 (dezoito chances em dez quatrilhões)  para acertar as de oito dígitos. Analizando estes números isoladamente, uma senha de oito dígidos continua sendo significamente mais segura, no entanto,  a probabilidade de se acertar duas senhas de 6 dígidos é tão infima que é mais do que o suficiente para garantir a segurança da maioria das aplicações. Para efeito de comparação, a chance de se acertar os seis digitos da Mega Sena é de “apenas” 1/50.063.860 (uma chance em cinquenta milhões sessenta e três mil oitocentos e sessenta), ou seja é muito mais fácil acertar na Mega Sena que adivivar duas OTPs de seis dígitos.

Portanto, para um cenário em que será solicitada apenas uma OTP, a senha de oito dígitos é mais segura, mas para um cenário que for solicitado mais de uma OTP, não vale a pena penalizar o usuário com uma OTP de oito dígitos.

O fato é que a maioria dos ataques contra tokens OTP não são sencíveis ao número de dígitos da OTP, pois se baseiam em técnicas que tentam obter do usuário a OTP válida utilisando engenharia social ou ainda explorando vulnerabilidades das aplicações para contornar a solicitação da OTP.

De fato, a maioria nem irá perceber a mudança. De qualquer forma, caso haja algum problema, favor entrar em contato com o suporte dos serviços fornecidos pela OpenCS/Dedalus para o GoogleApps.

Para os interessados em certificação digital, especialmente os paranóicos, estes são os dados oficiais do novo certificado:

• Common Name: *.mtrusted.com
• Organization: Open Communications Security S/A
• Organizational Unit: IT Services
• Emitido por: GeoTrust SSL CA
• Fingerprint SHA1: ‎72 07 dd 7e b0 11 d2 03 1c 2f f8 5b 9f 3a a5 2f 9f ce 69 a9

Se o site estiver com este certificado, certamente é o lugar certo!

Aproveitem o carnaval!

Segundo informado no site da instituição, com esta aquisição a Anhanguera passa a ser a primeira de seu setor no Brasil a adotar a versão for business, além de ser a maior da área educacional a utilizar a ferramenta na América Latina disponibilizando a  todos os mais de 310 mil alunos do grupo além de professores e funcionários acesso irrestrito ao Google Apps for Business.

Ainda segundo o site da Anahnguera, a implantação da plataforma oferecerá diversos benefícios como por exemplo, permitir aos estudantes e professores terem uma conta de e-mail e criar sites, onde poderão hospedar e compartilhar conteúdos, como trabalhos, provas, textos complementares, reportagens da imprensa, vídeos e audiocasts. Além disso, terão a oportunidade de acessar ferramentas de comunicação instantânea, criar grupos e comunidades de interesses, bem como ministrar ou assistir aulas via web ou dispositivos móveis. Outro benefício direto é que todos os envolvidos poderão ter acesso ao calendário de eventos da instituição, datas de provas, divulgação de notas e boletos de mensalidade a partir de qualquer lugar, por meio de diversos dispositivos, de smartphones a notebooks.

Equipe da OpenCS.