Conta pirateada? Os primeiros 15 minutos podem salvar tudo

Como sempre, excelente post

Na realidade uma vez dentro da conta, é quase impossível expulsar um invasor, porque nenhuma empresa parece implementar mecanismos de defesa robustos que previnam o abuso.

Refiro-me a exigirem que para mudar parâmetros críticos relacionados à identidade ou identificação no sistema que permitam a um terceiro apropriar-se da conta, que tivessem que meter novamente o utilizador e palavra-chave, e ainda um segundo factor de autenticação muito seguro (como as chaves de segurança físicas FIDO U2F, FIDO2, ou pelo menos WebAuthn).

Em alguns casos ainda assim isso não deveria ser suficiente e deveriam exigir outro tipo de verificações para além das já referidas para reduzir ainda mais a facilidade de alguém se apropriar da conta de alguém. A dificuldade estará em serem coisas que um intruso com acesso à conta e eventualmente a dados pessoais da pessoa obtidos de terceiros não possa saber antecipadamente… por exemplo nos bancos as pessoas chegaram a ter uns cartões com números aleatórios com posições que a pessoa tinha de procurar e meter quando o banco perguntava, isso seria algo viável, se a base de dados não tivesse sido comprometida, e a pessoa não tivesse preenchido previamente tal informação em um web site/ aplicação falso que pescasse tais dados… que foi um dos motivos que levou ao abandono de tal sistema; existe o número de telefone, mas os sistemas públicos telefónicos não são um meio seguro e já imensas pessoas perderam dinheiro/ criptomoedas por causa da utilização desse método; existe também os códigos que mudam a cada 30 segundos, mas a pessoa pode ser ludibriada a ceder tal código em um web site falso ou aplicação falsa. É um problema difícil de resolver… pode dificultar-se, mas não dá para impedir completamente um atacante motivado, com recursos e tempo suficiente para tal.

A única coisa que me pareceria viável, mas que implicava a compra de algo físico, seria um autenticador à parte de tudo o resto que conseguisse obter os dados directamente da origem, validar que são da origem, validar o que está a ser feito, e de algum modo permitir recuperar o acesso mesmo que alguém consiga enganá-lo nessa fase, algo que só via possível com um protocolo do tipo “SQRL” (https://www.grc.com/sqrl/sqrl.htm), mas este até onde sei não foi adoptado por nenhuma empresa/ instituição, menos ainda implementado em algo físico, pelo menos disponível ao público em geral para ser comprado (o mais parecido será o FIDO2/ WebAuthn, mas que não oferecem no protocolo a parte da recuperação, e geralmente os dispositivos físicos não exibem qualquer mensagem, apesar de o puderem fazer pelo protocolo, aparentemente a maioria não implementou tal, que permitiria que a pessoa soubesse exactamente porque estava realmente a ser pedida autorização, caso a origem enviasse tal informação, exemplo o banco poderia enviar “Pretende autorizar a transferência de: “€3000,00” para o IBAN: “94182498.0498918924.491” pertencente a: “Exemplar38, Lda.”, da sua conta à ordem: “2938453.93”? Esta transferência é REAL, não é um teste! O seu saldo actual é de “€23.900,09”, após autorizar esta operação o seu saldo passará a ser inferior e será de: “€20.900,09”, será retirado: “- €3000,00” da sua conta. Deseja autorizar esta transferência REAL para terceiros, com a retirada de: – €3000,00 da sua conta?).