OPINIÃO | O Alto Risco das Passwords sem Política de Gestão nas Empresas

* especialista em segurança de TI, Segurança Web e defesa cibernética.
CEO da Aker Security Solutions

O problema vai muito para além da grande proliferação de passwords criadas pelo utilizador final e que frequentemente permanecem ativas (pelo menos para algumas aplicações) mesmo depois do desligamento profissional do seu respectivo criador.

O descontrolo mais grave envolve as permissões que dão status de administrador ou autoridade hierárquica. Este tipo de privilégios é gerado, em parte, para suprir necessidades do comando empresarial afetando um pequeno número de gestores.

Mas a expressiva maioria das permissões de privilégio é representada por passwords de finalidade técnica (frequentemente passageira), criadas para assegurar acesso pontual a partes sensíveis do sistema.

É grande o número de passwords produzidas nas corporações para viabilizar tarefas corriqueiras, como a configuração de um periférico ou a ativação de regras de negócio, e que são usadas por anos a fio, quando deveriam ter sido eliminadas e substituídas imediatamente após a utilização a que se destinavam.

Há ainda uma infinidade de privilégios embutidos em aplicações que viabilizam sua interelação com outras entidades da rede ou do ambiente de software.

Tais passwords de aplicação são fixadas no instante da integração do sistema e muitas vezes esquecidas ou até ignoradas pelas equipas responsáveis.

O alto risco de tudo isto está no fato de que a posse de uma única destas passwords por um agente interno ou externo mal intencionado pode criar as condições para se alterar ou vasculhar toda a extensão do ambiente operacional, inclusive propiciando a captura do acervo de passwords disponíveis independentemente do seu nível.

Um estudo da CiberArk concluiu que entre as empresas norte-americanas que dispõem de CIO e profissionais dedicados à segurança, nada menos que 86% se consideram vulneráveis a ataques praticados para a obtenção de senhas de administração.

Entre os fatores mais críticos, descritos em estudos sobre o tema, está justamente a incapacidade das empresas em criar inventários fidedignos de suas passwords e identidade de acesso, o que impede o estabelecimento de qualquer controlo sobre seu ciclo de vida ou sobre o nível atual de legitimidade de seus portadores.

Num documento publicado no site da Lieberman Software com o sugestivo título “Como manter a NSA fora do alcance dos seus sistemas”, a multinacional reporta seis recomendações de segurança criadas pela própria NSA (Agência Nacional de Segurança dos EUA) para as empresas do governo norte-americano e que bem poderiam ser seguidas pelas corporações em todo o mundo. A primeira é a de não permitir o acionamento remoto de qualquer tipo de ação que dependa de privilégios de utilização, medida que cumpre o ideal de restringir a vulnerabilidade apenas ao agente interno sobre o qual o controlo deve se ampliar substancialmente.

Esse controlo ampliado é expresso em todas as demais recomendações, como a de criar restrições de validade dos privilégios de administração, apenas para sistemas específicos, sem que um agente isolado possa navegar ao longo de todas as áreas ou fazer uso indiscriminado dos serviços.

O ponto central, a meu ver, é o que expressa a urgência pela adoção de múltiplas autenticações, tendo em vista os problemas de gestão associados à eficiência crescente dos ataques hackers “de força bruta”.

Isto se faz, por exemplo, através do emprego combinado de passwords com dispositivos  “token”, ou pela exigência de resposta a questões de ordem pessoal (aniversário de casamento, o nome do filho mais velho) ou a requisição de junção de partes de passwords random, distribuídas entre dois ou mais indivíduos no instante da solicitação do acesso.

Com o atual nível de universalização dos smartphones dotados de recursos como câmara, scanner, microfone, Bluetooth, etc, é bem provável que aplicações de segurança de acesso comecem a explorar tais recursos, por exemplo, combinando a password de acesso com uma leitura de “selfie” do utilizador, ou confirmando a sua posição geográfica (está mesmo na empresa?) através da aplicação GPS no momento exato da requisição.

Em casos extremos (como risco de terrorismo), pode-se  estabelecer o cruzamento entre a posição GPS do indivíduo com seu nível de permissão de acesso, levando-se em consideração variáveis dinâmicas de acesso, como data e hora da requisição associada ao perfil do utilizador.

Quaisquer que sejam as soluções ou padrões culturais escolhidos, o fato é que o modelo de senha, em voga desde os primórdios da predominância do chamado teclado QWERTY, já se tornou obsoleta e uma garantia de sucesso fácil para os atacantes profissionais. Ao mesmo tempo, a gestão confusa e ultrapassada tende a transformar os privilégios de administração num instrumento de ameaça nas mãos do utilizador interno malicioso, inclusive o terceirizado ou aquele que saiu para a concorrência.

A questão da gestão e do modelo do emprego de passwords e dos privilégios de administração vai se tornando, portanto, um ponto crucial para a indústria de segurança. E pode ser que, nos próximos anos, as estatísticas dos grandes players da área passem a dar prioridade a este problema, deixando em segundo plano aqueles monótonos relatórios que tratam da infantilidade e inutilidade das passwords “fáceis de memorizar”, como a fatídica “123456”, que são empregadas pelas grandes massas globais de utilizadoreOp.