As perguntas de segurança são um método comum de autenticação de identidade, um que você provavelmente já encontrou antes. Ao criar uma conta ou se inscrever em um serviço online, os usuários compartilharão confidencialmente as respostas a perguntas secretas com um provedor.
Normalmente, essas perguntas e respostas de segurança são usadas para a recuperação de senha de autoatendimento — inserir a resposta correta verifica o usuário e permite que ele redefina sua senha — embora você também possa implementar perguntas de segurança como um fator de autenticação adicional para logins.
No entanto, não aconselhamos confiar apenas em perguntas de segurança para nenhum desses casos de uso. Embora sejam simples de configurar, as respostas de segurança são hackeáveis, adivinháveis e vulneráveis a roubo da mesma forma que as senhas. Dito isso, se você ainda estiver interessado em proteger sua organização com perguntas de segurança, este post do blog ajudará você a entender o que constitui uma boa pergunta e resposta de segurança e as melhores práticas para usá-las de forma eficaz.
Tipos de perguntas de segurança
Existem dois tipos principais de perguntas de segurança:
- Perguntas definidas pelo usuário permitem que os usuários escolham uma pergunta de uma lista definida para a qual gostariam de fornecer uma resposta. Embora seja fácil para os desenvolvedores implementarem essas perguntas como parte do processo de criação de conta, elas só são eficazes se o usuário escolher uma resposta forte que seja difícil de descobrir.
- Perguntas definidas pelo sistema são baseadas em informações que o provedor de serviços já conhece sobre o usuário (por exemplo, endereço ou data de nascimento). Essas perguntas dependem do sistema ter informações suficientes sobre o usuário — e de a resposta ser difícil para um invasor descobrir.
Exploraremos a viabilidade de ambos os tipos de perguntas ao longo do restante desta postagem – mas primeiro, vamos examinar o que torna algumas perguntas de segurança melhores do que outras.
O que torna uma boa pergunta de segurança?
As perguntas de segurança devem ter as seguintes características para contribuir positivamente para a autenticação segura:
- Confidencialidade: Ninguém mais deve ser capaz de adivinhar, pesquisar ou obter a resposta de outra forma. Esta é a característica mais importante que uma resposta deve ter—se a resposta for fácil de descobrir, então ela sabota a segurança de uma conta. Se uma informação é conhecida por qualquer pessoa ao redor do usuário ou pode ser encontrada online, ela não é confidencial.
- Memorabilidade: Os usuários precisam se lembrar da resposta, potencialmente por muito tempo depois de criar uma conta. Idealmente, o usuário pode recordar imediatamente a resposta; ele não deve ter que anotá-la ou procurá-la.
- Consistência: A resposta à pergunta não pode mudar com o tempo. É melhor evitar respostas que são garantidas apenas no momento, como favoritos e opiniões — em vez disso, pense em fatos históricos ou informações permanentes.
- Simplicidade: A resposta deve ser precisa, clara para o usuário e fácil de dar. Perguntas com respostas ambíguas, ou respostas que requerem diferenciação entre maiúsculas e minúsculas ou formatação particular podem ser difíceis de acompanhar.
- Multiplicidade: Deve haver várias respostas possíveis para a pergunta. Quanto mais respostas possíveis, melhor a segurança — será menos provável que alguém consiga adivinhar ou forçar a resposta por força bruta. Muitos provedores de serviços até bloqueiam os usuários de uma conta após um número de tentativas falhadas.
Lista de perguntas de segurança
Tendo em mente os princ\[c3\]\xadpios acima, criamos uma lista de perguntas de seguran\[c3\]\xa7a comuns. Continue lendo para descobrir o que torna alguns mais seguros do que outros.
Exemplos de perguntas de segurança ruins
Estas perguntas de segurança são consideradas ruins porque são impraticáveis ou abertas à exploração:
Pergunta de segurança ineficaz | Justificativa |
|---|---|
Qual é a sua data de nascimento? | Fácil para os outros adivinharem—não é confidencial. |
Qual era o nome do seu professor escolar favorito? | Tópicos da infância podem ser muito distantes para as pessoas lembrarem. |
Qual é o seu filme favorito? | É provável que isso mude com o tempo. |
Qual foi o seu primeiro carro? | É ambíguo qual o nível de detalhe que a resposta deve ter. |
Qual é o seu signo astrológico? | Há uma gama estreita de respostas potenciais, e é algo que outros poderiam adivinhar ou descobrir. |
Exemplos de boas perguntas de segurança
As perguntas acima ficam aquém na segurança ou usabilidade por uma razão ou outra. Abaixo, revisamos a lista de perguntas de segurança, tornando-as mais práticas ou protetoras:
Pergunta de segurança eficaz | Justificativa |
|---|---|
Em que cidade você nasceu? | De modo geral, esse fato é menos conhecido, tornando difícil para os outros adivinhar. |
Qual é o nome do meio do seu irmão mais velho? | Normalmente, isso é algo intimamente conhecido entre irmãos e difícil para outros pesquisarem. |
Qual foi o primeiro show que você assistiu? | A resposta não é propensa a mudanças. |
Qual era a marca e o modelo do seu primeiro carro? | A pergunta pede detalhes precisos e específicos. |
Em que cidade seus pais se conheceram? | Este é um detalhe pessoal. E como há muitas respostas potenciais, é mais difícil para as pessoas adivinharem. |
É bom usar as perguntas de segurança?
As perguntas de segurança são fáceis de implementar para as organizações — além disso, são familiares e fáceis para os usuários. Mas os benefícios terminam aí.
Em um cenário de ameaças cada vez mais sofisticado, as perguntas de segurança já tiveram seu tempo. Elas oferecem proteção de baixa garantia e até mesmo as perguntas de segurança de amostra que fornecemos acima estão abertas para que outros explorem por meio de palpites, mídia social e pesquisa online. Além disso, as respostas de segurança definidas pelo usuário e pelo sistema são tão vulneráveis a serem roubadas em uma violação de dados ou golpe de phishing quanto as senhas, uma razão significativa pela qual os especialistas em segurança defendem seu desuso.
Da mesma forma, não podemos recomendar perguntas de segurança como seu principal método de proteção de conta. Como parte de uma estratégia de segurança mais ampla, achamos que boas perguntas de segurança podem funcionar como um método adicional de autenticação, mas com algumas estipulações em vigor.
Práticas recomendadas para perguntas de segurança
Embora as perguntas de segurança não sejam o método mais eficaz de proteger contas, há algumas coisas que organizações, funcionários e clientes podem fazer para torná-las mais robustas.
Dicas para usar perguntas de segurança
Se você ainda quiser usar perguntas de segurança como um método de segurança de suporte para seus funcionários ou clientes, sugerimos as seguintes práticas recomendadas para mitigar vulnerabilidades:
- Restringir respostas: Verifique as respostas em relação a uma lista de negação para respostas comuns, como o nome de usuário ou endereço de e-mail, a senha atual do usuário e sequências de caracteres adivinháveis como “123” e “senha”. Impor um comprimento mínimo para as respostas também pode ajudar a evitar tais respostas.
- Renovar perguntas: Solicite periodicamente ao usuário que revise suas perguntas de segurança e confirme se ainda sabe as respostas. Isso deve dar a eles a oportunidade de atualizar quaisquer respostas que possam ter mudado e torna mais provável que o usuário se lembre de sua resposta mais recente, caso precise dela para recuperar sua conta.
- Sem perguntas autoescritas: Permitir que os usuários escrevam suas próprias perguntas introduz risco. Poderia resultar em perguntas fortes e exclusivas que são difíceis para os hackers responderem — mas também poderia resultar em perguntas fracas e facilmente exploráveis. As perguntas autoescritas dependem do próprio comportamento de segurança do usuário, portanto, convidar usuários com menos conhecimento de segurança para definir suas próprias perguntas pode realmente aumentar o risco de invasão de conta.
- Defina várias perguntas de segurança: Fazer várias perguntas aos usuários ao mesmo tempo pode melhorar o nível de garantia das perguntas de segurança, especialmente se as respostas forem variadas e exigirem que um invasor obtenha informações mais obscuras. A combinação de perguntas definidas pelo usuário e pelo sistema é uma abordagem potencial para isso. De qualquer forma, quando um usuário recebe uma pergunta de uma seleção, não permita que ele escolha outra pergunta até que a tenha respondido corretamente. Isso minimiza a chance de os invasores serem capazes de adivinhar ou obter as respostas de que precisam para acessar as contas.
- Use armazenamento criptografado: As respostas podem conter informações pessoais sobre os usuários e podem ser reutilizadas em diferentes contas. Considere usar algoritmos de hash seguros para evitar que hackers obtenham respostas de segurança do seu sistema.
Dicas para definir respostas de segurança
A implementação de perguntas de segurança só é eficaz se os usuários conhecerem as práticas recomendadas. Aqui estão alguns conselhos que você pode fornecer a funcionários e clientes para fortalecer suas respostas de segurança:
- Use respostas falsas: Em vez de responder com informações significativas que outros possam descobrir, use uma resposta falsa que outros não possam verificar, idealmente com uma sequência aleatória de caracteres. Nesse sentido, trate as respostas de segurança como senhas — quanto mais obscuras, melhor.
- Use um gerenciador de senhas: Lembrar sequências de texto aleatórias é muito mais difícil do que detalhes pessoais e verdadeiros. É por isso que vale a pena usar um gerenciador de senhas para armazenar suas respostas de segurança, para que você não as perca.
Quais são algumas alternativas melhores para as perguntas de segurança?
Se você preferir seguir em frente com as perguntas de segurança, há uma variedade de outras medidas disponíveis, cada uma com diferentes níveis de garantia.
Antes de selecionar uma para proteger sua força de trabalho e seus clientes, é importante conhecer os riscos e benefícios de cada uma — e quais oferecem o nível mais alto de segurança. Aquelas que dependem de algo que o usuário sabe (por exemplo, perguntas e senhas de segurança) são as menos seguras, enquanto aquelas que dependem de algo que o usuário tem ou um de seus atributos oferecem o nível mais alto de garantia.
Autenticação biométrica, por exemplo, é mais resistente a ameaças do que outras porque depende de identificadores que são exclusivos para cada usuário, como voz, impressões digitais, DNA e reconhecimento facial. Os usuários não precisam se lembrar ou armazenar características biométricas como fazem com as respostas de segurança, tornando-as mais difíceis de serem comprometidas.
A autenticação multifator (MFA), por outro lado, é uma abordagem de autenticação consciente do contexto. Você pode implementar uma combinação de fatores de autenticação para atender às necessidades de sua organização e analisar os sinais de risco das tentativas de login do usuário para determinar quais métodos de autenticação são os mais apropriados. Com esta configuração, você tem a flexibilidade de usar perguntas de segurança e senhas como uma das muitas opções de autenticação, implantando-as para garantia adicional em contextos de baixo risco ou renunciando a elas completamente.
As perguntas de segurança são vulneráveis à exploração porque dependem do conhecimento — se um invasor adivinhar, pesquisar ou fizer phishing em uma resposta de segurança, por exemplo, a conta será comprometida. Nem mesmo as melhores perguntas de segurança são imunes a esses ataques. Para começar a ir além das perguntas de segurança e saber mais sobre a solução Adaptive MFA da Okta, confira nossa folha de dados.
