A maioria de todos está familiarizada com Elon Musk e SpaceX. Elon usou os primeiros princípios de design para reimaginar a indústria de foguetes espaciais. Quebrar os componentes básicos de um foguete e projetar uma versão prática reutilizável resultou em uma maneira revolucionária de transportar seres humanos e suprimentos para o espaço.
Quando olho para o processo de autenticação multifator (MFA) mais usado, que é senha mais SMS OTP, posso usar uma abordagem de primeiros princípios para diagramar algo que é mais fácil para o usuário final e muito mais seguro. Antes de começar a derrubar o que se tornou um processo institucional, vamos ver como a senha mais SMS OTP começou e por que funcionou.
A autenticação começou com nome de usuário e senha, e este é o primeiro tipo de autenticação – algo que um usuário sabe. Quando aplicativos que exigem que um usuário autentique mudou para a internet, os maus atores rapidamente criaram métodos para adquirir essas senhas. Hackear redes corporativas e roubar senhas do banco de dados central usando técnicas sofisticadas era um método. Outro era usar vírus de software cujo único trabalho era instalar um registrador de teclas, que se replicaria na internet e tentaria o caminho para o computador pessoal de uma pessoa.
Assim, o método de autenticação alta precisava de outra coisa. No mundo corporativo, as empresas compraram dispositivos de hardware que geraram uma senha numérica visível (OTP), geralmente dígitos 6-8. O OTP era válido apenas para essa sessão por um tempo limitado - geralmente menos do que os minutos 3 e o usuário entraria rapidamente no OTP logo após a senha. Porque o usuário tinha que estar na posse do dispositivo de hardware especial que gerou válido.
Com a popularização dos celulares, o SMS tornou-se uma alternativa aos dispositivos OTP dedicados. Ambos podem representar a posse de um autenticador; digitar o código exibido não os reclassifica como conhecimento. Os riscos diferem: SMS acrescenta exposição à rede telefônica e à troca fraudulenta de SIM, enquanto um OTP digitado pode ser retransmitido por phishing em ambos os casos.
Uma senha combinada com OTP baseado em posse pode ser MFA e melhorar a proteção em relação à senha isolada. O cenário de login falso continua relevante, pois um atacante pode pedir e retransmitir os dois valores. MFA eficaz requer fatores distintos, não necessariamente os três tipos; a resistência a phishing depende do vínculo com o serviço esperado.
Neste redesenho por primeiros princípios, mantemos o diálogo no site ou aplicativo e o celular da pessoa, mas retiramos a necessidade de copiar um SMS. A questão é como um app cadastrado pode conectar o serviço esperado, a posse do dispositivo e a aprovação da pessoa por fatores distintos e uma solicitação compreensível.
O nome de usuário identifica a conta solicitada; não fornece um fator de conhecimento. Um app cadastrado no smartphone pode provar a posse do autenticador, e a biometria local pode ativá-lo como segundo fator. Instalação pela loja ou hardware seguro, isoladamente, não comprovam cadastro, proteção das chaves ou intenção de aprovar a solicitação.
O PasswordFree® aplica esse redesenho por uma experiência de aprovação no dispositivo cadastrado, em vez de senha e SMS copiado. Full Duplex Authentication® acrescenta a relação estabelecida com o serviço. Quem já consulta o celular pode passar a aprovar uma solicitação contextual, com cadastro e recuperação planejados; o nome de usuário não conta como terceiro fator.