SEGREDOS DE TOKENS SÃO QUEBRADOS POR CRACKERS NOS EUA
Autor: CoNeXão IP - Itamar Pagano | Publicado: 2011-06-19T18:25:00-03:00

Vida Digital19/06/2011 - 16:39SegurançaQuebra de segredo de tokens não deve alarmar usuáriosAtaque a aparelhos nos EUA revela falha  específica e não deve assustar, por exemplo, brasileiros que usam  dispositivo para acessar contas bancáriasJames Della Valle                              

Tokens: segurança dos dispositivos varia entre seus fabricantes, dizem especialistas                                          (Reprodução)                        Com as dimensões de um chaveiro, o token é um dispositivo de segurança  cujo funcionamento é simples. O usuário aperta um pequeno botão na  extremidade do aparelho, que imediatamente exibe uma sequência numérica  em seu visor. O código deve, então, ser informado a um sistema, o site  de um banco, por exemplo. Do outro lado da conexão, a central de  segurança bancária confere se a numeração está correta, liberando ou não  o acesso do usuário a seus serviços. Isso é possível porque a sequência  numérica exibida pelo token, aparentemente aleatória, obedece na  verdade a um padrão previsto pelo sistema central. O código, alterado em  invervalos de segundos, está atrelado ainda ao identificador serial do  produto – e este, por sua vez, está vinculado à conta do usuário.Um golpe na confiabilidade dos tokens foi desferido há algumas semanas,  quando invasores obtiveram acesso a computadores da Lockheed Martin,  fornecedora de material bélico do governo americano. A companhia  utilizava o token da RSA Security, subsidiária da EMC Corp, para  franquear a funcionários acesso a seu servidor. O ataque, considerado  complexo, consistiu na quebra do segredo do token, ou seja, os crackers  conseguiram emular o padrão de geração de sequências numéricas. Em  seguida, o código foi usado conjuntamente com senhas e logins,  adquiridos em golpes anteriores. A RSA&nbsp; tomou, então, uma decisão  difícil, mas fundamental em situações similares: trocar milhões de  aparelhos que estavam em poder de seus clientes. "Queremos garantir a  tranquilidade de todas as pessoas que utilizam nosso produto", afirmou  na semana passada um porta-voz da companhia. Fim de caso? Sim, garantem  os especialistas. "O sistema da RSA será tão seguro quanto era antes do  ataque", diz Mark Diodati, especialista da consultoria de mercado  Gartner.Como funcionam a segurança de um site:
A defesa dos gigantes do comércio eletrônicoOs analistas asseguram que o episódio não indica que um ataque em massa  a usuários de tokens seja iminente ou sequer exequível. "O problema em  questão ocorreu com um fabricante específico e não afeta outros  desenvolvedores de tokens, pois cada uma tem sua própria tecnologia",  diz Cassio Pereira, consultor de segurança da informação da EZ-Security.A BRToken, por exemplo, companhia brasileira que fabrica tokens,  esconde o segredo – o algoritmo que gera as sequências numéricas –  literalmente a sete chaves. "Ele está em um arquivo criptografado dentro  do cofre de um banco. Totalmente fora da rede", conta Carlos Eduardo da  Fonseca, diretor da empresa.Sem acesso aos dados, a missão dos criminosos de conhecer o padrão de  criação de sequências numéricas é dificultada. Seria necessário realizar  um processo complicado conhecido como engenharia reversa, que consiste  em descobrir, a partir de uma sequência numérica, o padrão que a gera. A  tarefa pode consunir dias, meses ou até anos de trabalho.Ainda que os criminosos fossem bem-sucedidos nessa primeira fase,  esbarrariam em outros obstáculos. Para invadir contas bancárias, por  exemplo, além do padrão do token, seria necessário obter senha e login  de cada usuário alvo. "Os criminosos teriam, então de realizar ataques  exitosos individuais, enviando os conhecidos e-mails falsos de bancos  solicitando recadastramento, por exemplo", diz Pereira. Em resumo: um  ataque em massa só teria êxito caso os crackers conseguissem acessar de  forma irrestrita dados de bancos e empresas.A área de segurança digital obedece a uma regra simples: quanto mais  barreiras à ação de criminosos, melhor. A razão também é simples. O  tempo e o dinheiro que crackers precisam investir para lograr êxito em  um ataque virtual são proporcionais ao tamanho e à complexidade do  sitema de proteção. Assim, a certa altura, tentar cometer o crime não  compensa. Por outro lado, todo ataque bem-sucedido revela uma falha.  Para minimizar problemas, Fonseca, da BrToken, orienta os usuários a  seguir as orientações de segurança. "Nunca informe a terceiros o código  serial do token ou a sequência numérica exibida no visor do aparelho",  diz. "Os tokens, assim como senhas, constituem umas das camadas de  proteção de sistemas eletrônicos. Se qualquer uma delas for exposta  indevidamente, cresce a vulnerabilidade."
&nbsp;Fonte: Veja Digital.