Vida Digital19/06/2011 - 16:39SegurancaQuebra de segredo de tokens nao deve alarmar usuariosAtaque a aparelhos nos EUA revela falha especifica e nao deve assustar, por exemplo, brasileiros que usam dispositivo para acessar contas bancariasJames Della Valle Tokens: seguranca dos dispositivos varia entre seus fabricantes, dizem especialistas (Reproducao) Com as dimensoes de um chaveiro, o token e um dispositivo de seguranca cujo funcionamento e simples. O usuario aperta um pequeno botao na extremidade do aparelho, que imediatamente exibe uma sequencia numerica em seu visor. O codigo deve, entao, ser informado a um sistema, o site de um banco, por exemplo. Do outro lado da conexao, a central de seguranca bancaria confere se a numeracao esta correta, liberando ou nao o acesso do usuario a seus servicos. Isso e possivel porque a sequencia numerica exibida pelo token, aparentemente aleatoria, obedece na verdade a um padrao previsto pelo sistema central. O codigo, alterado em invervalos de segundos, esta atrelado ainda ao identificador serial do produto e este, por sua vez, esta vinculado a conta do usuario.Um golpe na confiabilidade dos tokens foi desferido ha algumas semanas, quando invasores obtiveram acesso a computadores da Lockheed Martin, fornecedora de material belico do governo americano. A companhia utilizava o token da RSA Security, subsidiaria da EMC Corp, para franquear a funcionarios acesso a seu servidor. O ataque, considerado complexo, consistiu na quebra do segredo do token, ou seja, os crackers conseguiram emular o padrao de geracao de sequencias numericas. Em seguida, o codigo foi usado conjuntamente com senhas e logins, adquiridos em golpes anteriores. A RSA tomou, entao, uma decisao dificil, mas fundamental em situacoes similares: trocar milhoes de aparelhos que estavam em poder de seus clientes. "Queremos garantir a tranquilidade de todas as pessoas que utilizam nosso produto", afirmou na semana passada um porta-voz da companhia. Fim de caso? Sim, garantem os especialistas. "O sistema da RSA sera tao seguro quanto era antes do ataque", diz Mark Diodati, especialista da consultoria de mercado Gartner.Como funcionam a seguranca de um site:A defesa dos gigantes do comercio eletronicoOs analistas asseguram que o episodio nao indica que um ataque em massa a usuarios de tokens seja iminente ou sequer exequivel. "O problema em questao ocorreu com um fabricante especifico e nao afeta outros desenvolvedores de tokens, pois cada uma tem sua propria tecnologia", diz Cassio Pereira, consultor de seguranca da informacao da EZ-Security.A BRToken, por exemplo, companhia brasileira que fabrica tokens, esconde o segredo o algoritmo que gera as sequencias numericas literalmente a sete chaves. "Ele esta em um arquivo criptografado dentro do cofre de um banco. Totalmente fora da rede", conta Carlos Eduardo da Fonseca, diretor da empresa.Sem acesso aos dados, a missao dos criminosos de conhecer o padrao de criacao de sequencias numericas e dificultada. Seria necessario realizar um processo complicado conhecido como engenharia reversa, que consiste em descobrir, a partir de uma sequencia numerica, o padrao que a gera. A tarefa pode consunir dias, meses ou ate anos de trabalho.Ainda que os criminosos fossem bem-sucedidos nessa primeira fase, esbarrariam em outros obstaculos. Para invadir contas bancarias, por exemplo,