Google declara guerra a senhas e propõe novo modelo de autenticação

Em um documento, que será publicado ainda este mês pela IEEE Security & Privacy Magazine, a equipe de segurança do Google destacou novas formas de as pessoas fazerem logins em seus serviços, como simplesmente bater com o anel do seu dedo na tela do seu computador. Os destaques foram feitos por Eric Grosse, vice-presidente de segurança, e o engenheiro Mayank Upadhyay.

2012 foi o ano em que as senhas foram bastante violadas. Parece que todo mundo recebeu spam ou algum golpe. Na verdade, as senhas são uma forma barata e fácil para qualquer pessoa se logar a um serviço, mas elas não são seguras o suficiente para a Internet de hoje.

Para o Google, e para muitos no setor de segurança, as senhas são simples portadores de tokens, da mesma forma que os cookies já não são mais suficientes para manterem os usuários seguros.

Assim, eles estão testando novas maneiras para substituir as senhas, incluindo um pequeno cartão criptográfico YubiKey, que, em um leitor USB, pode automaticamente logar no Google. Eles tiveram que modificar o navegador do Google para funcionar com esse cartão, mas não há necessidade de baixar um software e, assim que o navegador o suporta, ele é fácil de usar. Você loga no site, pluga o USB e o registra com um único clique no mouse.

Eles veem um futuro no qual você vai fazer sua autenticação em um dispositivo – seu smartphone ou algo como um YubiKey – e então irá utilizá-lo como uma chave de carro, para acionar seu e-mail ou contas online. Além disso, eles projetam um futuro no qual as coisas serão bem mais fáceis, talvez conectando computadores através de tecnologia wireless.

Grosse e Upadhyay acreditam que quando uma quantidade satisfatória de sites tiver suporte para essa técnica de login centrada em dispositivos, as pessoas não precisarão mais de senhas fortes, a não ser em raras ocasiões – quando elas estiverem realizando mudanças significativas em suas contas, por exemplo.

Os profissionais reconhecem que, para a tecnologia decolar, ele vai precisar que outros sites a testem. “Outras empresas já tentaram abordagens semelhantes, mas tiveram pouco sucesso no mercado consumidor. Embora reconheçamos que nossa iniciativa irá permanecer especulativa até que tenhamos provado uma aceitação em larga escala, estamos ansiosos para testá-la em outros sites”, afirmaram.

Com esse objetivo, eles desenvolveram um protocolo para autenticação baseada em dispositivo que é independente do Google, não requer software especial para funcionar – a não ser um navegador que suporte o login padrão – e evita que sites utilizem essa tecnologia para rastrear usuários.

Mais detalhes sobre a tecnologia devem ser divulgados quando a reportagem da IEEE Security & Privacy Magazine for liberada.

Com informações de Wired