Segurança cripto: senhas e autenticação

Esta transmissão ao vivo aborda práticas essenciais de segurança para detentores de criptomoedas, desde os fundamentos do gerenciamento de senhas até a autenticação multifator. Andreas Antonopoulos explica os princípios de equilibrar segurança com usabilidade, explica por que os gerenciadores de senhas são essenciais, apresenta o conceito de frase secreta (passphrase) do XKCD e detalha a hierarquia dos métodos de autenticação de dois fatores.

Esta transcrição é uma cópia acessível da transcrição original do vídeo (opens in a new tab) publicada por aantonop. Ela foi levemente editada para facilitar a leitura.

Fundamentos de segurança e equilíbrio de riscos (3:05)

(bipes) - Olá a todos e bem-vindos a esta transmissão ao vivo de sábado. Esta transmissão ao vivo bônus com o tema de senhas, gerenciadores de senhas, autenticação, autenticação multifator e tudo relacionado à segurança de suas contas. Agora, já temos muitas perguntas na fila, mas não serei necessariamente guiado principalmente por perguntas nesta transmissão, porque quero explicar certos tópicos difíceis. E pode fazer mais sentido para mim falar sobre um tópico um pouco mais do que o normal, ou talvez um pouco menos do que o normal e formar meu próprio caminho por esses tópicos. Eles são um pouco complicados. Segurança é um tópico complicado. Então, em vez de tentar encontrar apenas a pergunta perfeita, eu posso não fazer isso. Por outro lado, tenho algumas ótimas perguntas para começarmos. Então, antes de tudo, obrigado a todos por participarem. É um prazer

como sempre, passar minhas manhãs de sábado trabalhando com vocês em tópicos novos e interessantes relacionados ao Bitcoin e Blockchains abertas. Agora, como as senhas e a autenticação multifator se relacionam com o Bitcoin e as Blockchains abertas? Bem, você sabe, para manter a segurança de suas criptomoedas, você precisa manter a segurança de todas as suas contas. Algo muito interessante sobre as criptomoedas é que, para muitas pessoas, esta é a primeira vez que elas precisam pensar cuidadosamente sobre a segurança de sua identidade online e de seus dispositivos online. Porque agora há dinheiro parado lá e isso o torna um alvo muito mais atraente. No passado, as pessoas não se sentiam muito motivadas a proteger sua própria segurança porque, quando você perde sua privacidade, quando suas informações são hackeadas, você não sente isso imediatamente. E isso tem muitas consequências ruins, mas essas consequências não são diretamente

visíveis e não são sentidas imediatamente. Se alguém entra e rouba algumas centenas de dólares ou alguns milhares de dólares ou, pior, dezenas de milhares de seus dispositivos digitais, você sente isso, e sente imediatamente. E você pode relacionar isso de forma tangível, bem, intangível para ser específico. Você pode relacionar isso de forma intangível, mas muito, muito perceptível à sua segurança. Então, é uma daquelas coisas que, infelizmente, é uma lição que só se aprende realmente por meio de uma experiência dolorosa. E assim, posso passar muito tempo dizendo aos novatos como e por que proteger suas contas. Até que eles instalem uma carteira quente de criptomoedas em um de seus dispositivos e, em seguida, percam o dinheiro que está nessa carteira quente. É muito difícil entender ou se sentir motivado pelo que estou falando. Agora, a outra coisa que é realmente importante entender em toda essa conversa é que a segurança

é um equilíbrio. É tudo uma questão de equilíbrio. É gerenciamento de riscos. Não existe segurança 100%. Não existe segurança perfeita. E você não pode se proteger contra todas as ameaças. Você precisa descobrir quais ameaças enfrenta. Você precisa descobrir contra quantas dessas ameaças você pode realmente se proteger e quanto esforço vai colocar na proteção contra essas ameaças, dependendo do que você está realmente protegendo. Você também precisa descobrir quando a solução que está construindo, os sistemas que está usando, se tornam tão complexos que se tornam um risco de segurança por si só. E frequentemente vemos novatos, especialmente no espaço das criptomoedas, criarem soluções que são complexas demais. E então acabamos no lado errado do equilíbrio entre segurança e resiliência. Onde o mecanismo para proteger sua criptomoeda é tão complexo que, de fato, você acaba

perdendo-a porque está usando algo que não é padrão, porque esquece uma senha, porque ninguém sabe exatamente o que você fez e você não está disponível para ajudá-los. Portanto, a segurança não pode ser alcançada cem por cento e é tudo uma questão de equilíbrio. E a simplicidade costuma ser um elemento-chave da segurança. Soluções de segurança simples que você pode aplicar dentro de suas habilidades técnicas e que pode aplicar de forma consistente. E das quais você pode se recuperar se tiver problemas, são melhores do que soluções de segurança complexas que forçam você a exceder seu nível de habilidade, colocam você em território desconhecido e tornam mais provável que você cometa um erro. Isso é frequentemente algo sobre o qual você ouve muitos conselhos ruins. As pessoas aconselharão você a implementar o que parece ser um esquema de segurança muito, muito complexo. E por ser tão complexo, parece seguro. Parece que há um

Mantendo a segurança simples (8:40)

muita coisa acontecendo, então deve ser muito sofisticado e sério. E, em muitos casos, você acabará excedendo sua capacidade técnica e, na verdade, perdendo dinheiro, não por causa de roubo, mas por um erro que você comete porque está operando fora do seu nível de habilidade. Então, vamos manter as coisas simples. Vamos manter a base em padrões. Vamos usar as melhores práticas, ferramentas comuns e usá-las de forma consistente. Assim, podemos estar muito seguros. Vamos direto para, vamos direto para a primeira pergunta. Há 220 pessoas na transmissão até agora. Obrigado por me darem feedback sobre o vídeo e o áudio. É sempre bom saber. Só para vocês saberem, tivemos uma pequena interrupção de energia elétrica mais cedo hoje neste local, e caso fiquemos sem energia, vocês saberão porque a transmissão vai parar. E leva no mínimo cinco minutos para o roteador de internet e o wi-fi

reiniciarem. Eu posso conseguir voltar, mesmo que seja apenas um segundo de perda de energia, vou ter que esperar cinco minutos antes de conseguir voltar. Se eu não conseguir voltar, avisaremos vocês no chat. Então, por favor, sejam pacientes e espero que não sejamos cortados. Mas vocês sabem que esse é um dos riscos que temos que gerenciar hoje. Vamos para a nossa primeira pergunta do dia. A primeira pergunta vem de um anônimo, e escolher a palavra anônimo para fazer sua pergunta é o primeiro e um bom mecanismo de segurança. Qual é a melhor maneira de gerenciar muitas senhas únicas e fortes se sou disléxico e não sou bom em lembrar senhas longas? Esta é uma ótima pergunta. É uma ótima pergunta porque aborda uma questão mais ampla, que é a dificuldade de lembrar das coisas. E todos nós achamos que podemos lembrar melhor do que

realmente conseguimos. E alguns de nós têm dificuldade com a memória, leitura, escrita ou quaisquer outras habilidades que nos ajudam na memorização de senhas. E talvez saibam que não conseguem lembrar muito bem. Então, o anônimo pergunta isso da perspectiva de alguém que sofre de dislexia, mas isso se aplica igualmente a todos. A todos que têm uma memória humana falível. Os humanos são muito ruins em lembrar por longos períodos de tempo, especialmente coisas que não são memoráveis porque não estão ligadas a imagens, experiências ou emoções. Lembrar de coisas que não têm conexão com nossas vidas é quase impossível porque nosso cérebro é muito bom em descartar informações que não são relevantes. Se você não tem uma emoção, uma experiência, uma imagem conectada ao que está tentando lembrar, o cérebro dirá: isso não é mais relevante para o meu algoritmo de cache e irá descartá-lo. E muitas

pessoas esquecem senhas exatamente por causa disso. Então, na verdade, vou usar alguns recursos aqui para responder a essa pergunta de forma mais ampla e ajudar as pessoas a obterem uma base nos princípios fundamentais das senhas. Para isso, vou usar alguns recursos visuais. Eu não costumo usar recursos visuais, mas acho que serão úteis neste caso em particular. Vamos ver como vai ser. Certo, então a primeira coisa sobre a qual vamos falar são os sistemas de gerenciamento de senhas. Por décadas, temos treinado os usuários a criar senhas alfanuméricas longas e aleatórias com uma ampla variedade de caracteres. Estas são senhas que os humanos não conseguem lembrar. Estas são senhas que, na verdade, incentivam maus comportamentos. Elas incentivam um comportamento em que você acaba usando o mesmo padrão previsível, Satoshi Nakamoto com os Os substituídos por zeros e a primeira letra da segunda palavra em maiúscula e o T substituído

por um sete e o símbolo de cerquilha no final. E agora você tem números, letras minúsculas, maiúsculas e letras. Mas se você tiver que usá-la em mais de um site, você faz uma pequena alteração. Então, talvez você tenha que adicionar um número no final. E aí você acaba com esse problema de memória muito complicado, que é o fato de os sites estarem forçando você a criar variações, mas a variação torna impossível que você realmente se lembre, especialmente com senhas dessa complexidade. E assim você acaba reutilizando sua senha em muitos sites. É isso que quase todo mundo faz. E isso é muito, muito ruim para a segurança. Agora, um dos melhores recursos para entender como resolver esse problema é, na verdade, uma tirinha. Então, o que vou fazer é dar a vocês dois conselhos. O primeiro é: não tente criar suas próprias senhas,

Gerenciadores de senhas (13:50)

use um gerenciador de senhas. Um gerenciador de senhas é um software que gera senhas aleatórias para você e as memoriza por você. Esses sistemas resolvem dois problemas: a memória humana é falha e a aleatoriedade humana é ainda pior. Somos muito ruins em criar coisas aleatórias. Somos muito ruins em lembrar e somos duplamente ruins em lembrar de coisas aleatórias. Portanto, você não pode resolver esse problema sendo mais disciplinado, mais inteligente ou mais cuidadoso. Você não pode resolvê-lo colando post-its na sua tela e fazendo, sabe, todas as coisas que você vê aqui, certo? O que você vê em escritórios o tempo todo. Anotar uma senha não é uma má ideia. Se o local onde você a está anotando for realmente seguro. Portanto, a forma mais básica de gerenciador de senhas é um pequeno caderno, um caderno de senhas. E, sabe, por mais que eu diga que isso não é muito moderno, é

não muito avançado tecnologicamente, e não resolve o problema de gerar senhas aleatórias. Honestamente, é a solução que meus pais usam. Porque se eles anotarem, podem ter mais variedade em suas senhas. E se eles mantiverem esse pequeno caderno em um local seguro, como, por exemplo, em casa, em uma gaveta trancada ou algo parecido, é um mecanismo bastante durável. Agora, a maioria de vocês provavelmente é mais sofisticada tecnicamente do que meus pais. Então, vamos falar sobre uma solução melhor para você. Uma solução melhor é baixar um software para fazer isso por você. Existe uma grande variedade de gerenciadores de senhas. E a ótima notícia é que, para a funcionalidade básica, eles são gratuitos. Você pode usar um produto como LastPass, 1Password, Bitwarden e uma grande variedade de outros, KeePass, etc., etc. Agora, eles terão

um monte de recursos diferentes e você precisará descobrir de quais recursos realmente precisa. Meu conselho é começar descobrindo em que tipo de dispositivos você precisa usar isso, porque uma das grandes vantagens de usar um gerenciador de senhas é, de fato, que você pode ter todas as suas senhas sincronizadas em todos os seus dispositivos. Então, se você usa Windows, Android e iOS, bem, provavelmente é fácil. Todos os gerenciadores de senhas vão suportar todas essas plataformas e você ficará bem. Você também quer que ele tenha suporte nos navegadores que você usa. Então, Chrome, Firefox, Edge, Opera, Brave, ou qualquer outro que você esteja usando como extensão, para que você possa preencher e enviar senhas automaticamente em formulários da web. Acho que todos vocês viram minha câmera de vídeo acabar de dar "cartão cheio". Bem no meio da transmissão, isso

foi útil. Sim, meu cartão SD acabou de encher, então não estou mais gravando na câmera. Ops. Ah, bem, deixa para lá. Vamos continuar. Então, uma das maneiras de escolher um gerenciador de senhas é descobrindo quais dispositivos você precisa suportar. E se você tiver alguns dispositivos estranhos, isso se torna um pouco mais complicado. Por exemplo, eu uso Linux no desktop. Eu uso Linux no desktop há muito tempo. E, sabe, acho que este ano é realmente o ano do Linux no desktop. Vai acontecer, pessoal. Não, não vai. Mas, de qualquer forma, eu uso, funciona para mim, mas não é amplamente suportado. Portanto, nem todos os gerenciadores de senhas funcionam ou funcionam bem em desktops Linux. Felizmente, a maioria dos gerenciadores de senhas funciona no navegador como uma extensão de navegador, o que os torna, em sua maioria, multiplataforma. Então, para mim, um

Escolhendo um gerenciador de senhas para vários dispositivos (18:22)

O gerenciador de senhas precisa funcionar no Android, Windows, Linux, Chrome, Firefox, iOS, etc., etc. Para que eu possa tê-lo instalado em todos os meus dispositivos e, portanto, ser capaz de acessar todas as minhas senhas em todos os meus dispositivos. Certo. Então, para responder à pergunta feita por um anônimo: qual é a melhor maneira de gerenciar muitas senhas únicas e fortes se sou disléxico e não sou bom em lembrar senhas longas? A melhor maneira é usar um gerenciador de senhas, que gera senhas únicas e fortes aleatoriamente para você. E, uma vez que você tenha selecionado um gerenciador de senhas, você define uma senha e essa única senha é a senha do seu gerenciador de senhas. Eu também sugeriria que você usasse um mecanismo de autenticação de dois fatores para que alguém não possa simplesmente fazer login e baixar seu arquivo de senhas usando apenas essa senha. Você precisa de um segundo fator de autenticação. Falaremos

sobre isso na segunda parte deste vídeo hoje. Também temos uma pergunta de acompanhamento do público, que é: como posso confiar neste software? Bem, a resposta simples é que você está procurando um software que seja amplamente utilizado, revisado e auditado por profissionais de segurança, ou de código aberto, ou todas as opções anteriores. E acho que todos os que mencionei anteriormente cumprem esses requisitos. Agora vamos voltar ao que mencionei antes, que é: lembra quando eu disse que a segurança não era cem por cento e que a segurança era uma questão de equilibrar e mitigar riscos? Então, agora vamos colocar esses dois riscos na mesa. Risco um: posso confiar no gerenciador de senhas? E o que acontece se o gerenciador de senhas que eu baixar estiver comprometido ou for vulnerável, ou tiver um bug que não seja notado pelos milhões de outros usuários e profissionais de segurança que o estão

revisando? Risco dois: posso confiar no meu cérebro? Bem, se você colocar dessa forma, fica claro que o problema aqui é que qualquer gerenciador de senhas é melhor do que nenhum gerenciador de senhas. Esse é o mesmo tipo de gerenciamento de risco que fazemos quando falamos sobre uma carteira de hardware versus uma carteira de software em criptomoeda. Posso confiar no fabricante da carteira de hardware? Bem, de certa forma, não cem por cento. Existem alguns riscos aí. Como esses riscos se comparam a não ter uma carteira de hardware? E, novamente, a resposta é que qualquer carteira de hardware é melhor do que nenhuma carteira de hardware. Então, quais são os riscos que você pode realmente gerenciar? É importante, ao obter esse gerenciador de senhas, que você se certifique de ter o software correto. Que você não o baixe simplesmente de um site aleatório, com um cupom do Groupon, para algo que já era gratuito de qualquer maneira, e

então pegue um Trojan no seu sistema. Mas voltando ao ponto, qualquer gerenciador de senhas é melhor do que nenhum gerenciador de senhas. E, portanto, você não deve tentar gerar senhas únicas. Se um site pedir uma senha alfanumérica de oito ou mais caracteres, você faz o que eu faço. Você clica no pequeno botão que diz gerar senha segura. Você define o comprimento para 31 caracteres, 75 caracteres, 213 caracteres. Eu gosto de brincar com os sites para ver quão longa posso fazê-la antes que comecem a gritar que é muito longa. Depois de todos esses anos de gerenciadores de senhas e sistemas gritando comigo: isso não é longo o suficiente. Isso não é complexo o suficiente. Eu quero ver os sites começarem a gritar: isso é muito longo. Isso é muito complexo. Qual é, cara, o que você está fazendo? Meu banco de dados não suporta isso. Então, gere uma senha forte e aleatória. Agora, eu consigo lembrar dessa senha?

Claro que não. Eu tenho 800 senhas nos meus gerenciadores de senhas, todas elas têm mais de 20 caracteres, são alfanuméricas completamente aleatórias com símbolos, letras maiúsculas, minúsculas e números. É impossível para mim lembrar de uma delas, muito menos de todas as 800, mas eu lembro da minha senha mestra. Certo, vamos ver quais outras perguntas temos. E ir para a nossa próxima pergunta, que me dará a oportunidade de falar sobre o próximo tópico que quero abordar. Um anônimo pergunta: existe um padrão mínimo viável de segurança para senhas ou frases secretas? Quando estou usando um gerador de senhas fortes, ele não funciona para muitas coisas. Sim. Os sites têm expectativas ridículas para senhas e, muitas vezes, são expectativas ruins. Eles incentivam, por exemplo, informações conflitantes. Deixe-me dar um exemplo. Tem que ter mais de oito caracteres, ser alfanumérica com símbolos e números, mas desativamos a colagem no formulário. O que

Políticas de senhas ruins (24:02)

você está fazendo? O que você está fazendo? Por que você está me pedindo para escolher uma senha complexa se obviamente vou usar o gerador e depois não me deixa colá-la. Ou não me deixa colá-la na parte de confirmação do formulário? Você está louco? O que você está fazendo? Pare de fazer isso. Ou as outras senhas que pedem de oito a 12 caracteres. Sério? Você quer que eu a faça complexa, mas não muito complexa. Então eu posso usar 13 caracteres, o que não faz sentido nenhum. Ou as combinações estranhas de símbolos. Ah sim, podemos usar símbolos, mas apenas cerquilha, exclamação e asteriscos. Aspas simples e arroba nós não aceitamos porque isso vai confundir nosso regex. Todas essas são políticas de senhas muito, muito ruins. Ou mude suas políticas de senha todo mês, mas não reutilize nenhuma que você usou no mês anterior e mantenha-as

estranhamente complexas assim. Estas são todas políticas de senhas estranhas e você vai se deparar com muitas delas. A moral da história é que você não pode esperar que sites diferentes de empresas diferentes, que têm equipes de segurança e políticas de segurança variadas e níveis variados de conscientização sobre segurança, descubram uma boa política que funcione para a maioria de seus usuários. Tenha em mente que eles estão tentando lidar com usuários que vão desde 'estou tentando inserir uma senha aleatória gerada de 37 caracteres do meu gerenciador de senhas' até 'um, dois, três, quatro, cinco, seis, sete, oito'. Que é aparentemente a senha mais comum na internet, ou 'senha um, dois, três, quatro', que eu acho que é a segunda senha mais comum na internet. Então, encontrar uma política que funcione para todas essas pessoas, é muito, muito difícil lidar com sites para fazer isso. Então o que eu faço

é simplesmente continuar tentando. Eu jogo uma senha gerada aleatoriamente do tipo que eu gosto, sabe, 37 caracteres e todos os símbolos. E então o site vai reclamar e dizer: 'Eu não gosto muito de asteriscos, por que você está fazendo isso comigo?' Então eu desativo alguns símbolos ou ele vai dizer que é muito longa, então eu a deixo mais curta. Ou vai dizer: 'na verdade, eu também preciso de pelo menos duas maiúsculas, mas não pode começar com um número'. E eu fico tipo: 'Ugh, qual é'. Eu vou continuar brincando até conseguir algo que funcione. Mas não importa o que eu consiga, teremos duas garantias. Ela será longa e complexa e será gerada de forma completamente aleatória, sem depender do cérebro humano para gerá-la para mim ou lembrá-la. E eu estou usando a maior complexidade que posso. Certo, então um anônimo

faz a próxima pergunta para nós, o que me permite continuar essa narrativa. 'Talvez seja uma pergunta boba, mas o gerenciador de senhas não está localizado na nuvem e, portanto, poderia ser um alvo fácil para hackers?' Ótima pergunta, anônimo. É assim que esses dispositivos funcionam. Um backup do seu banco de dados de senhas é armazenado na nuvem. No entanto, esse backup é criptografado e é criptografado de ponta a ponta. O que significa que ele é criptografado na sua máquina local. Ele é enviado criptografado para a nuvem e é descriptografado novamente, apenas na sua máquina local. A forma como ele é criptografado e descriptografado é usando sua senha mestra. E essa própria senha mestra passa pelo que é conhecido como um 'stretcher' (esticador). E o que um 'stretcher' faz é pegar um algoritmo de alongamento de senha, se preferir, na verdade é um algoritmo de geração de hash. O que ele faz é pegar as palavras ou caracteres que você digita como sua senha

mestra, e então a passa por milhares de rodadas de geração de hash. Agora, isso leva tempo e o que resulta é uma senha que não pode sofrer força bruta. Porque digamos que eu digitei uma senha e a criptografei ou fiz o hash dela uma vez e depois a enviei para o servidor. Ótimo, bem, isso está sujeito a um ataque difícil, ou melhor, razoavelmente fácil, que é chamado de rainbow table (tabela arco-íris). O que aconteceria em seguida é que o invasor pegaria todas as senhas mais comuns que você possa imaginar, faria o hash delas e produziria um banco de dados das senhas com hash que pode ser usado contra esse ataque. Agora, se por outro lado, ou eu posso simplesmente continuar tentando senhas diferentes de novo e de novo e de novo, até encontrar a certa. Um ataque típico de força bruta. Mas se cada senha passar por hash 25.000 vezes ou 50.000 vezes, ou cem mil vezes, toda vez que eu

Como os bancos de dados de senhas são criptografados (29:19)

digitá-la no meu computador leva de dois a três segundos. O que não é um grande problema para mim. Dois a três segundos na primeira vez que faço login no meu navegador ou no meu computador para iniciar meus gerenciadores de senhas, dois a três segundos. Mas se você tiver que adicionar de dois a três segundos toda vez que digitar uma senha, bem, isso arruína completamente a abordagem de ataque de força bruta. Isso também torna impossível gerar esse banco de dados de hashes de senhas pré-computados, porque levaria muito tempo para tentar apenas alguns milhares de combinações. E se a sua senha mestra for complexa o suficiente, será necessário muito mais do que apenas alguns milhares de combinações de senhas para produzi-la. Portanto, o banco de dados de senhas geralmente é criptografado com um algoritmo de criptografia baseado em padrões bastante diretos. O AES256 é provavelmente o mais comum usado para isso, mas é algo como

isso. É um algoritmo de criptografia simétrica que usa uma única chave, uma chave privada para criptografar e descriptografar os dados. A mesma chave é usada para criptografia e descriptografia, e é por isso que é chamado de algoritmo de criptografia simétrica. E essa chave é produzida pela geração de hash repetida da sua frase-senha mestra. Portanto, desde que você interaja com sua frase-senha mestra apenas no dispositivo local, e esse dispositivo seja confiável, você obtém um alto grau de segurança. Sim, o banco de dados de senhas está na nuvem, mas está criptografado e ninguém pode abri-lo a menos que tenha sua frase-senha mestra, que você nunca digita em nada além de um dos seus próprios dispositivos. Existem alguns problemas aí, é claro. Porque se você tiver um keylogger de senhas no seu dispositivo local, ele pode capturar você digitando a frase-senha mestra. Mas, curiosamente, isso não será

o suficiente para um invasor se você tiver autenticação de dois fatores, e o motivo pelo qual não será o suficiente para um invasor é porque ele pode capturar sua frase-senha mestra, mas não pode baixar o banco de dados criptografado da nuvem sem a autenticação de segundo fator, que, com sorte, está vinculada à sua máquina ou a outra coisa. E eles não têm esse segundo fator; falaremos mais sobre autenticação de dois fatores em um segundo. Estamos construindo camadas. Não sei se você percebe o que estamos fazendo aqui, mas sim, estamos analisando cada um dos problemas que podem ocorrer e adicionando camadas de segurança. A segurança não é uma coisa única que impede tudo. A segurança é colocar barreiras no caminho de um invasor. E sim, você poderia quebrar essa barreira, mas logo atrás dela há outra barreira. E então, se você quebrar essa barreira, logo atrás dela, há

outra barreira. E se eu tornar as barreiras suficientemente fortes, mas também abundantes, com camadas e camadas e camadas de segurança, e garantir também que as habilidades necessárias para quebrar uma camada sejam diferentes das habilidades necessárias para quebrar outra camada. E eu me certificar de que as ferramentas e os orçamentos necessários para quebrar uma camada sejam diferentes da outra. Então, a chance de você passar por todas essas camadas, sem que eu perceba, sem que eu coloque um fim nisso e consiga passar com sucesso, ou mesmo fazer isso em grande escala contra muitas, muitas vítimas, é muito, muito, muito reduzida. E esse é o ponto principal. Certo, vou tomar um gole rápido de café aqui e conversar um pouco com vocês nos chats enquanto procuro outras perguntas que, sim, outras perguntas que vocês possam querer fazer. Deixe-me colocar uma

pequena página aqui, agradeço a todos os patronos que tornam possível para mim fazer esse tipo de material educacional enquanto bebo café na minha nova caneca que diz "regras sem governantes". Uma das minhas palestras mais populares recentemente. Ela vem com um pequeno Bitcoin laranja. "Oh meu Deus, pare de fazer propaganda para nós, nós vamos comprar seus produtos." Apenas continue com o bom conteúdo. Em um segundo. E estamos de volta. Ok, posso colocar isso de lado ali. Vou virar para que fique bonito. Aí está. Certo. Então, eu estava analisando as perguntas tentando encontrar uma que me permitisse continuar essa pequena narrativa da maneira mais concisa possível. Então, agora vamos falar sobre frases-senha e, para isso, vou receber uma ajuda do Bruce, que pergunta: o que você acha de usar senhas fortes como frases-senha de carteira.

Frases secretas de carteira e BIP-39 (35:02)

E o que Bruce está falando aqui é sobre a frase secreta opcional que está disponível para aqueles que usam uma frase mnemônica BIP-39. Ela também é conhecida como a 25ª palavra porque as frases mnemônicas têm 24 palavras. E teoricamente, se você adicionar uma 25ª palavra, mas eu não vou adicionar uma 25ª palavra, em vez disso, vamos chamá-la do que ela realmente é, que é uma frase secreta opcional, e pode ter mais de uma palavra. Então, isso é uma frase secreta de carteira. É uma frase secreta opcional adicional que você adiciona à sua frase mnemônica para fazer com que a frase mnemônica tenha um segundo fator. Para que, se alguém roubar as 24 palavras que estão anotadas em um pedaço de papel no seu escritório, por exemplo, não possa pegar seu dinheiro imediatamente porque há uma frase secreta de carteira. Agora, lembre-se de quando estávamos falando sobre a senha única, a senha mestra que é

usada em um gerenciador de senhas. E dissemos que ela passa repetidamente por um processo de hash e isso evita ataques de força bruta. Bem, exatamente o mesmo é feito com a frase secreta opcional e a frase mnemônica no padrão BIP-39. Um algoritmo de alongamento de senha chamado PBKDF2 é usado para alongá-la com SHA-512, aplicando 2.000 rodadas de SHA-512. Agora, isso é um pouco de um meio-termo, é um compromisso no padrão BIP-39 porque o padrão BIP-39, o padrão de frase mnemônica para carteiras, tem que ser capaz de rodar em dispositivos de carteira de hardware, que são pequenos dispositivos USB mais ou menos deste tamanho e que não têm muito poder de processamento. Então, na verdade, executar 2.000 rodadas de SHA-512 leva alguns segundos. Dois, três segundos. Agora, o que isso significa é que, infelizmente, não é uma proteção muito boa, é adequada, mas pode sofrer um ataque de força

bruta se você tiver um computador muito mais poderoso. Então, se você usar uma GPU, por exemplo, ou melhor ainda, um ASIC projetado para SHA-512 ou um dispositivo FPGA para SHA-512, então você pode realmente fazer 2.000 rodadas em uma fração de segundo. E, portanto, você pode tentar centenas, talvez milhares de senhas ou frases secretas por segundo, na mesma semente. O que permitirá que você ataque uma mnemônica BIP-39 com uma frase secreta opcional, com a quantidade certa de hardware dentro do orçamento. Mas, novamente, não é trivial. Então estamos falando de camadas. Vamos falar sobre frases secretas. Usamos o termo frase secreta em vez de senha para denotar que não é uma única palavra. Na verdade, é uma frase. Assim como uma frase mnemônica é uma frase. É uma série de palavras, separadas por espaços. E isso a torna muito mais fácil de lembrar, bem como

de anotar e ler, mesmo que esteja um pouco degradada e ainda ser capaz de lê-la. Acontece que os humanos são muito, muito bons em reconhecimento de padrões. Então, se você anotar com sua própria caligrafia, uma série de palavras em letras minúsculas, você pode lê-la, mesmo que dois terços da palavra estejam borrados, ou você pode dar um palpite muito bom. E se as palavras tiverem algum significado para você, ou se você puder criar uma imagem mental com essas palavras, você pode realmente lembrar de uma frase muito melhor do que pode lembrar de uma senha gerada aleatoriamente que consiste em letras maiúsculas e minúsculas e números. Mas para explicar isso um pouco melhor, vou pedir uma ajuda a Randall Monroe. Agora, você pode ter me ouvido falar sobre Randall Monroe no passado. Randall Monroe é um artista gráfico que faz uma tirinha chamada

XKCD. E XKCD é uma tirinha gráfica que mostra diferentes conceitos técnicos, e também críticas sociais hilárias e todos os tipos de ideias fantásticas. São ideias muito, muito inteligentes apresentadas muito, muito bem. E sabe, é uma daquelas situações em que há um XKCD, há um desenho do XKCD para quase qualquer conceito que você queira explicar bem. Então, vou usar um que muitos de vocês provavelmente já ouviram antes, e é conhecido como "correct horse battery staple". E se isso soa como algo sem sentido, fique por aqui um segundo.

Certo, então vamos dar uma olhada nesse, na nossa tela aqui. Então este se chama, este se chama senhas. Através de 20 anos de esforço, treinamos com sucesso todos a usarem senhas que são difíceis para os humanos lembrarem, mas fáceis para os computadores adivinharem. E se você olhar aqui em cima para

O conceito de frase secreta do XKCD (40:47)

no canto superior esquerdo, esta é uma senha típica que é solicitada em um site. Então, são letras maiúsculas, minúsculas, números e símbolos em algum tipo de ordem. O que você vê aqui é a coisa típica que os usuários fazem para gerar e lembrar delas: eles tentam bagunçar uma palavra. Então, esta é a palavra Troubadour (Trovador). Um músico viajante que canta sobre as façanhas de heróis. Acho que é isso que Troubadour significa. Um Troubadour e um três. Então, neste caso, você vê algo que parece meio aleatório, mas não é realmente aleatório. Agora, essa coisa em particular pode ser analisada a partir de uma base computacional. De uma perspectiva matemática, de uma perspectiva da teoria da informação, para ver quão aleatória essa coisa é. Ou quanta aleatoriedade esse tipo de coisa contém. Então, neste caso em particular, temos aproximadamente 28 bits de entropia. Isso significa que essa

quantidade de complexidade poderia ser expressa por um número binário de 28 dígitos binários, dois elevado a 28. O que, se você fosse capaz de adivinhar a mil tentativas por segundo, levaria três dias para quebrar por força bruta. Então, isso é basicamente um serviço da web ou algo parecido, onde você está tentando várias suposições por segundo. Se você tem um banco de dados que roubou de um site, é claro que pode aplicar muito mais do que mil tentativas por segundo em um computador comum. Mas, de qualquer forma, isso é realmente fácil para os computadores adivinharem. E é fácil para os computadores adivinharem porque 28 bits de entropia não são suficientes, mas, embora seja fácil para os computadores adivinharem e quebrarem por força bruta simplesmente tentando todas as combinações possíveis de letras maiúsculas e minúsculas nesta sequência, na verdade é muito difícil para os humanos lembrarem. E logo

abaixo, Randal Monroe nos mostra uma abordagem diferente, que é usar palavras simples em inglês, separadas por espaços. Esta é uma frase secreta mnemônica, não uma senha. E, neste caso, apenas escolhendo quatro palavras aleatoriamente, apenas quatro. Quatro palavras aleatórias na verdade produzem, se você assumir que é de um grande dicionário, talvez um dicionário da língua inglesa, que inclua cem mil palavras. Então você obtém cerca de 44 bits de entropia. 44 bits de entropia dão a você 550 anos a mil tentativas por segundo. E 55 anos a 10.000 tentativas por segundo. Cinco anos a 100.000 tentativas por segundo. Isso é realmente difícil de quebrar por força bruta e são apenas quatro palavras. Mas o mais importante, é fácil para os humanos lembrarem. É por isso que usamos frases mnemônicas no bit 39. Então, se você pensar em "correct horse battery staple", você pode criar isso, mesmo que sejam

palavras aleatórias, você pode criar essa imagem mental estranha que lhe dá uma base para associação. E a associação é como a memória funciona nos humanos. Então você tem esse pequeno desenho que está sendo feito aqui. Isso é um grampo de bateria, correto. Então, é um cavalo dizendo que isso é um grampo de bateria e alguém dizendo correto, isso é um grampo de bateria, um "correct horse battery staple". E se você disser apenas essas quatro palavras para um geek, ele saberá imediatamente do que você está falando, porque essa frase é tão fácil de lembrar que milhões de pessoas na internet a memorizaram com sucesso a partir deste único cartum e exemplo. Então, com coisas enormes, Xkcd.org é onde você pode ir e ver esta série de cartuns. O trabalho fantástico. XKCD. Mas acho que isso ajuda você a entender o ponto. Então, esta é uma frase secreta, e esta é uma maneira muito melhor de produzir uma

Usando passphrases para carteiras e criptografia (45:27)

senha mestra para o seu gerenciador de senhas, bem como uma passphrase opcional para a sua carteira. Então, você pode realmente criar uma passphrase opcional para as suas carteiras com isso. Isso é muito difícil de quebrar por força bruta, mesmo com uma GPU ou FPGA. Mesmo que você consiga fazer 2000 rodadas de SHA-512, ainda levará meses, senão anos, antes que alguém consiga quebrar por força bruta algo com apenas quatro ou cinco palavras. Se você usar seis palavras, você realmente terá um mecanismo muito forte. Agora, você não usaria apenas isso. Digamos que você tenha uma frase mnemônica BIP-39, e queira adicionar uma passphrase opcional e diga: ok, vou escolher quatro palavras aleatoriamente de um dicionário. E então essa será a minha passphrase opcional, e eu posso memorizar essas quatro palavras e lembrá-las. E também farei o backup delas

em um local secundário porque, embora eu consiga lembrá-las, e se algo acontecer comigo? Eu quero que minha herança desapareça no nada porque ninguém consegue encontrar a passphrase opcional que usei? Não, obviamente não quero. Então, terei que fazer o backup da passphrase também, vou fazer o backup da frase mnemônica, a semente. E também vou fazer o backup da passphrase opcional e mantê-las em dois locais diferentes. Também vou fazer de um jeito que, se alguém der uma olhada na minha semente, eu saiba que eles pegaram a minha semente para que eu saiba que devo mover meu dinheiro antes que eles possam testar todas as combinações possíveis de uma passphrase usando um computador potente. A maneira como faço isso é muito, muito rudimentar. É um saco plástico, um saco plástico com evidência de violação. Você pode comprá-los em um

pacote de cem em varejistas online por toda parte. Eles são usados para doações em dinheiro em jogos de bingo, igrejas e coisas do tipo. Eles são usados para evitar que funcionários roubem. E eles são opacos, e uma vez que você os sela, a única maneira de abri-los sem que seja óbvio é rasgando-os ou cortando-os, você deixará uma marca. Você não pode congelar, aquecer ou abrir e selar novamente sem deixar uma marca. E então, se você colocar sua frase mnemônica e sua passphrase opcional em um saco com evidência de violação como esse, e alguém der uma olhada, você saberá que eles olharam. Portanto, se você auditar seus locais de armazenamento a cada dois meses, terá uma boa base de segurança. Certo, vou encerrar por aqui. Vamos continuar por mais 45 minutos, aproximadamente, porque ainda tenho muito o que falar sobre dois fatores

de autenticação. Mas eu queria que vocês entendessem como aplicamos esse conceito de passphrase. Então, no próximo segmento, vou falar sobre como gerar uma passphrase com segurança. Vamos para uma tempestade de emojis e, por favor, convoco todos os membros da comunidade do YouTube a demonstrarem a todos o incrível poder criativo e expressivo dos emojis personalizados do meu canal, executando uma tempestade de emojis, vai. Certo, e estou de volta. Então você quer criar uma passphrase. E você sabe que essa passphrase provavelmente é melhor se estiver no formato do que conhecemos como uma passphrase do XKCD: "correct horse battery staple". Uma série de palavras em inglês escolhidas aleatoriamente, com as quais você pode criar uma associação mental, uma imagem que as acompanhe. Você vai usar essa passphrase, talvez para a sua senha mestra, para o seu gerenciador de senhas, que você terá que digitar

Gerando frases secretas com segurança (50:25)

muitas vezes por dia em diferentes dispositivos. Eu uso frases secretas semelhantes para outros propósitos e não repito a mesma frase secreta. Mas descobri que consigo lembrar de três ou quatro delas antes que fique complicado. Então, precisarei de uma frase secreta como essa para minha frase secreta opcional de uma carteira bit 39. Também precisarei de uma frase secreta como essa para a criptografia do disco rígido do meu laptop. Prefiro usar um disco rígido criptografado. E antes de inicializar meu laptop ou qualquer um dos meus dispositivos, na verdade, você precisa inserir uma frase secreta. E essa frase secreta também tem esse formato. É uma frase secreta mnemônica. Ela usa uma série de palavras em inglês, separadas por espaços. Por uma questão de consistência, sempre digito minhas frases secretas mnemônicas todas em letras minúsculas com espaços simples entre elas. Então, palavra em minúscula, espaço, palavra em minúscula, espaço, palavra em minúscula, enter. E elas podem

ter de quatro a oito palavras de comprimento. Você tem que decidir qual nível de segurança precisa, e isso depende de onde você a está usando. Quantas rodadas de geração de hash são usadas na geração da chave de criptografia que deriva dessa frase secreta e qual é o nível de ameaça que você está enfrentando para essas coisas. Mas quatro provavelmente deve ser a quantidade mínima de palavras que você usa e oito provavelmente seria a quantidade máxima antes de começar a esquecer as coisas e ficar confuso. Especialmente para uma frase secreta que você não usa com muita frequência. Quanto mais frequentemente você usa uma frase secreta, quanto mais frequentemente você a digita, mais longa você pode fazê-la. Porque então você será forçado a lembrá-la pela prática. Então, posso usar uma frase secreta um pouco mais longa no meu gerenciador de senhas porque eu a digito todos os dias. Usarei uma frase secreta um pouco mais curta,

por exemplo, como uma frase secreta opcional em uma carteira, e uma frase secreta ainda mais curta como uma frase secreta opcional nos meus dispositivos, inicialização criptografada para o meu disco rígido, porque essa eu digito, digamos, uma vez por mês e pode ser mais fácil de esquecer. Então, como escolhemos essas palavras? Há várias maneiras de fazer isso, mas você quer que elas sejam aleatórias. Você não quer que sejam uma música. A letra de, não sei. Eu ia dizer uma música, mas acho que isso criaria muita controvérsia. Então, vou pular isso completamente. Você não quer que seja o grito de guerra do seu time de futebol. Você não quer que seja o slogan do seu estado. Você não quer que seja uma frase de Star Trek. Por quê? Porque todas essas frases existem em dicionários que

hackers coletaram. Qualquer coisa que possa retornar um resultado se você digitar no Google como uma frase, o que, claro, você não vai digitar no Google porque isso quebra a segurança, você nunca deve usar. Você nunca deve usar uma frase que já tenha sido dita, ou que provavelmente será dita por alguém. Então, em vez disso, você deve escolher palavras aleatórias e depois tentar criar uma imagem mental ou associação que seja significativa para você. E pode ser muito estranha e bizarra, desde que seja significativa para você e você consiga repetir essa imagem na sua cabeça e praticar um pouco. Essa é uma boa maneira de fazer isso. Então, como você escolhe palavras aleatórias? Bem, há várias maneiras de fazer isso. Você poderia abrir um dicionário em páginas diferentes e colocar o dedo sem olhar, o que não é muito

bom. É provável que você passe a maior parte do tempo escolhendo o terço central das páginas do dicionário e o terço central da página com o dedo. Mas, na verdade, é bom o suficiente porque o dicionário tem muitas palavras. Um dicionário bom, grande e grosso. Então você vai obter aleatoriedade suficiente. Essa é uma maneira fácil que você pode fazer em casa sem nenhum esforço extra. Se você quiser ir um pouco mais longe, pode usar uma técnica chamada diceware. D-I-C-E-W-A-R-E. E diceware é um mecanismo onde você tem uma lista de palavras que pode baixar. Você pode baixar a lista de índice do diceware, o site que você encontrará é... Você pode encontrar isso no Google com bastante facilidade. O primeiro que aparece, que é diceware.D-M-U-T-H dmuth.org, é o correto. E se você usar esse site, poderá baixar a lista. Agora, o que é

O método diceware (55:27)

O interessante sobre essa lista é que ela é indexada por números que têm dígitos entre um e seis, o que permite que você use dados, dados comuns, dados normais. Você joga os dados cinco vezes e cria um número de cinco dígitos onde todos os dígitos estão entre um e seis, e então você procura a palavra que corresponde a esse índice na lista diceware, anota e você tem aleatoriedade. Você tem uma aleatoriedade que foi projetada para ser usada com dados comuns, o que é conveniente. Se você tiver alguns dados por aí, pode fazer isso facilmente. É não digital, você baixa a lista para o seu próprio computador e simplesmente escolhe palavras dessa lista aleatoriamente. Novamente, essa é uma ótima maneira de gerar uma dessas frases secretas aleatórias. E, claro, você também pode usar um programa no seu computador. O problema, claro, é

que se já houver um malware Trojan ou um keylogger no seu computador, isso pode causar alguma dificuldade. Eu uso um programa chamado XKCD pass, que na verdade produz frases secretas compatíveis com o XKCD. Eu gero um monte delas. E então eu escolho uma aleatoriamente dessa lista muito, muito longa. E não dou nenhuma indicação no meu computador de qual eu escolhi. Eu apenas rolo, rolo e rolo por uma lista muito longa. Isso torna muito mais difícil de capturar dessa forma. Novamente, trata-se de camadas. Não é perfeito. Há muitas dificuldades e brechas em todo esse processo. Certo. Então, agora falamos sobre segurança de senhas e combinamos vários tópicos. Falamos sobre a complexidade das senhas. Falamos sobre camadas de segurança. Falamos sobre as fraquezas da memória humana e da aleatoriedade humana. Falamos sobre por que

usar software é melhor do que não usar software, mesmo que você não possa confiar no software cem por cento. Falamos sobre como gerar sua frase secreta mestre e que tipo de frase secreta mestre você deve usar, a qual você pode então usar para gerar a partir do seu gerenciador de senhas, suas senhas de sessão ou senhas de sites que são alfanuméricas complexas e aleatórias, que são impossíveis de lembrar, e deixar que seu gerenciador de senhas as lembre. Então, o próximo tópico é a autenticação de dois fatores. Agora, o que é a autenticação de dois fatores? A autenticação de dois fatores é quando você usa duas maneiras diferentes de se autenticar. Portanto, autenticação basicamente significa provar que você é quem diz ser. E a autenticação de dois fatores significa usar dois mecanismos distintos para provar que você é quem diz ser. E na segurança da computação, descrevemos as autenticações multifatoriais e os fatores de autenticação como uma de três coisas. Os três fatores possíveis que você

pode ter são algo que você sabe, uma senha como um exemplo de algo que você sabe. Você a memoriza, portanto, você a sabe. A autenticação baseada em conhecimento também é uma forma desse fator de algo que você sabe, como onde você nasceu? Qual é a marca da sua primeira batedeira de bolo? Quem foi a primeira pessoa que você beijou na escola? seja o que for. Agora, obviamente, algo que você sabe é um fator, e é um bom fator. Apenas se, primeiro, você conseguir se lembrar dele e ninguém mais conseguir adivinhá-lo facilmente. E é aqui que entra toda a complexidade sobre a qual falamos com as senhas. Uma segunda forma de autenticação. Um fator de autenticação é algo que você é. E algo que você é geralmente se refere a uma biometria, uma medida imutável sobre o seu ser físico que não pode ser falsificada. Então, uma impressão digital, um escaneamento de íris, o som da sua voz quando você

repete a frase que você deve repetir. Seu modo de andar, sua altura, seu rosto para reconhecimento facial, todas essas coisas são fatores biométricos. Portanto, algo que você é. Os fatores biométricos têm vantagens e desvantagens. Eles podem ser usados em adição a outro fator. Claro, a grande desvantagem de uma biometria é que, se ela for copiada ou perdida, não poderá ser substituída. Então, se, por exemplo, minhas impressões digitais vazarem, e todos tiverem acesso às minhas impressões digitais e puderem recriá-las com látex, como você já viu em todos aqueles filmes de espionagem, então eu não posso mudar minhas impressões digitais. E, portanto, essa biometria não é mais útil para mim. E vimos que as biometrias são bastante difíceis de aplicar, mas muito úteis como um segundo fator, nunca como primário. Eu nunca usaria uma biometria como a única maneira de me autenticar, digamos, na minha

Autenticação biométrica (1:00:44)

telefone. Porque, como você já viu e como toda criança de oito anos sabe, se você encostar o iPhone da mamãe no dedo dela enquanto ela dorme no sofá, você pode ir e comprar coisas na Amazon. Você pode ser o seu próprio Papai Noel pessoal. Contanto que você tenha acesso ao polegar da mamãe ou ao rosto do papai, segurando o dispositivo de reconhecimento facial na frente do rosto do papai. Enquanto o papai está roncando profundamente depois de todo aquele trabalho na festa do churrasco. A biometria por si só não é suficiente, mas é um ótimo segundo fator. O fator final é algo que você tem, algo que você tem e algo que você possui. E esse fator biométrico geralmente está englobado em um dispositivo adicional. É um dispositivo que é um fator de segurança que você segura. Uma chave é um fator de autenticação do tipo "algo que você possui". Uma chave digital, uma chave privada, até mesmo uma física

chave para abrir a sua porta. E, cada vez mais hoje em dia, temos segundos fatores baseados em algo que você possui, que são transformados em dispositivos USB. Na verdade, eu tenho um permanentemente conectado ao meu laptop. Muitos de vocês provavelmente já me ouviram falar sobre eles antes. Esta é uma YubiKey, e esta YubiKey é um dispositivo tão pequeno que, quando a coloco na porta USB do meu laptop, a única coisa que fica para fora é uma pequena aba metálica sensível ao toque. Quando tento usá-la, ela exige que eu a toque. E quando eu toco, eu a ativo e ela envia um código do meu computador. Agora você não pode fazer login no meu computador e em muitos outros serviços que uso sem tocar para autenticar na lateral do meu computador. Agora, se você roubar meu banco de dados ou minha frase secreta mestre, ou

adivinhar minha senha, você ainda não conseguirá descriptografar ou abrir esses dispositivos, nem acessar minhas várias contas, porque você não tem essa coisa. Eu tenho essa coisa. E, claro, isso é um fator adicional de segurança. Por si só, não é suficiente, porque se alguém conseguisse roubar meu laptop, agora teria essa coisa, mas felizmente não teria minha senha, que é o outro fator. Então, em geral, quando falamos sobre autenticação multifator, o que estamos fazendo é reconhecer que nenhum fator único de autenticação é suficiente por si só. Todos os fatores de autenticação têm modos de falha. Mas se você usar a autenticação multifator e seus fatores de autenticação forem variados, então o modo de falha de um fator de autenticação deixa o outro como sua proteção. Então você tem camadas. Sabe em todo filme de espião, quando eles basicamente cortam o dedo do

bandido e o levam até o leitor de impressão digital e o usam para abrir a porta, bem, nenhuma porta funciona assim. Todas elas também exigem um código PIN, justamente para que, se você roubar o código PIN, não tenha o dedo. E se você roubar o dedo e cortá-lo, não saberá o código PIN. É preciso ter ambos. Nenhum fabricante de um dispositivo desse tipo faria com que você pudesse abri-lo apenas com um. E, de fato, quando as pessoas configuram seus telefones para abrir apenas com biometria, isso é incrivelmente perigoso, e você precisa se certificar de ter um mecanismo adicional. Ótima pergunta de acompanhamento no chat: e se eu perder minha YubiKey, minha chave de segurança? Bem, na verdade eu tenho várias. Eu tenho três. E tenho uma armazenada em um local externo como meu backup definitivo.

Eu tenho uma segunda que não mantenho conectada ao meu laptop e que levo comigo. Muitas vezes é algo que você verá o pessoal de segurança usar em um cordão no pescoço, ou conectada como um chaveiro. Esses dispositivos são bastante robustos e frequentemente projetados para serem presos a um chaveiro. Assim, você pode levá-los com suas chaves, o que faz sentido. Modelo de segurança semelhante, eles são quase indestrutíveis. Você pode passar por cima deles com um caminhão e eles ainda funcionam. Então, eu tenho todas essas três chaves de segurança registradas, para que qualquer uma funcione, e eu teria que perder todas as três antes de perder o acesso. Mas todas as três estão em locais de difícil acesso. E o principal risco, a principal ameaça que estou tentando resolver aqui é o comprometimento remoto. Sim, se você invadir minha casa, escritório

Chaves de segurança e YubiKeys (1:05:51)

ou local não revelado número cinco, e você é a camareira mal-intencionada que invade meu quarto de hotel ou algo assim, você pode encontrar esses dispositivos, mas então você provavelmente não tem minha senha. Se você invadir meus sistemas e conseguir minha senha, você não tem o dispositivo. Se você tentar usar a senha para fazer login em um dos meus dispositivos, eu não vou tocar na lateral do computador para lhe dar acesso. E, com toda a honestidade, sabe, quando deixo meu computador sem supervisão, eu retiro a YubiKey e a levo comigo. Então, novamente, trata-se de camadas. Portanto, a autenticação de dois fatores significa usar pelo menos dois fatores para se autenticar em qualquer serviço ou dispositivo. E esses são algo que você sabe, algo que você tem e algo que você é. Qualquer um desses três pode ser usado como um segundo fator. E, claro, você pode

usar a autenticação de três fatores, se quiser, embora isso seja um pouco incomum, torna-se trabalhoso e complexo nesse ponto. Difícil de recuperar, fácil de ficar bloqueado. Então, dois geralmente é o número mágico, e é por isso que chamamos de 2FA, autenticação de dois fatores. Outras pessoas chamam de MFA, de autenticação de múltiplos fatores ou autenticação multifator. É exatamente a mesma coisa. Existe outro padrão, que é um padrão para um formato universal para chaves de segurança, como a pequena YubiKey que mostrei a você, que é usado na indústria. Agora, é um criado por um órgão de padronização chamado FIDO Alliance, e é chamado de U2F, universal two factor (dois fatores universal). Se você notar no slide do meu código há um learn U2F universal two factor. U, o número dois, a letra F, U2F. Isso é simplesmente um padrão para um dispositivo multifator baseado em hardware que pode ser plugado, conectado ou

transmitir via Bluetooth ou NFC para um dispositivo no qual você está tentando se autenticar. Certo, então vamos a uma pergunta. Não essa. Onde está? Talvez agora? Ok, um segundo. Parece que a pergunta não está sendo destacada. Não tenho certeza do porquê. Me dê um segundo, por favor. Vou consertar isso. Preciso atualizar meu navegador. Vamos torcer para que ele não me peça uma senha complexa. Ok, parece haver algum tipo de... oh, espere, aguarde um segundo. Algo deu errado com meu Slido, então não consigo ver as perguntas destacadas. Não sei por que isso está acontecendo. Nunca vi isso antes. Ah, tem uma enquete. Aparentemente, há uma enquete ativa que agora está me impedindo de ver as perguntas. Não sei por quê. Perdão. Ah, aí está. Consertou sozinho. Desculpem pelas dificuldades técnicas, pessoal. Por que uma mensagem de

texto é uma autenticação de dois fatores fraca, é melhor do que nada? Então, muitos bancos usam SMS, como alguém apontou, eles usam mensagens de texto SMS como autenticação de dois fatores. Então, por que uma mensagem de texto é uma autenticação de dois fatores fraca? Certo. Então, que tipo de fator é uma mensagem de texto? Vamos ver se conseguimos descobrir isso. É algo que você sabe? Não, você não sabe no momento. Parece que há algum tipo de enquete em andamento que está interrompendo. Desculpe. O Slido começou com uma enquete por algum motivo. Isso é estranho. Certo. A mensagem de texto é um bom segundo fator? Que tipo de fator é? É algo que você sabe? Não, porque você não sabe, quando é enviada a você como uma mensagem de texto, você não sabe, você descobre na hora. Então não é algo que você sabe. É

Por que o SMS é uma autenticação de dois fatores fraca (1:11:00)

algo que você é? Não, não é algo que você é. É algo que você possui? Mais ou menos. Você pode pensar, ok, é algo que eu possuo, eu possuo o telefone que está recebendo a mensagem de texto. Mas a mensagem de texto não está sendo enviada para um telefone, está sendo enviada para um número de telefone. Você possui o número de telefone? E a resposta é que, na verdade, o número de telefone é o SIM, ou melhor, a conta à qual o cartão SIM do seu telefone está conectado, e quem é o dono dessa conta? E a resposta é Vodafone, Verizon, AT&T, T-Mobile ou quem quer que seja. Então, o problema com a autenticação de dois fatores por mensagem de texto é que você não é o dono do número de telefone. A operadora de telefonia é. E a operadora de telefonia tem uma segurança de merda. É isso, é simples assim. Então, tudo o que você precisa fazer é ligar para o atendimento ao cliente, na operadora de telefonia,

tocar o som de um bebê chorando ao fundo, fingir que está falando com uma babá frustrada enquanto o bebê está gritando. E seu marido está gritando com você ou sua esposa está gritando com você ao fundo. E você está tendo um colapso e um dia muito ruim. E as pessoas muito prestativas e muito empáticas do atendimento ao cliente vão ignorar todas as verificações de segurança porque você não sabe qual senha seu cônjuge definiu na conta, e isso é realmente uma emergência e você realmente precisa entrar em contato. E eles ficarão felizes em portar o número para o seu novo telefone que precisa ser ativado agora mesmo, porque é uma emergência. Agora, se isso soa como um ataque teórico, na verdade há uma demonstração fantástica que acontece na Def Con, na Black Hat e em outras conferências de hackers, onde eles fazem os chamados ataques de engenharia social. E

um dos melhores deles é um vídeo onde um hacker de engenharia social muito, muito habilidoso demonstrou a um jornalista a rapidez com que poderia assumir o controle de seu número de telefone ligando para uma operadora de telefonia, tocando a gravação de um bebê gritando ao fundo e implorando por ajuda neste caso de emergência. E literalmente menos de 10 minutos depois, eles assumiram o controle do número de telefone, depois usaram isso para redefinir sua conta de e-mail e, em seguida, usaram isso para redefinir todas as suas outras contas e basicamente comprometeram toda a sua identidade digital em menos de 15 minutos. É por isso que as mensagens de texto são uma forma fraca de autenticação de dois fatores. E é muito importante que você não use isso se puder evitar. Mas, para a pergunta anônima, é melhor do que nada? É melhor do que nada. É melhor do que nada se

você puder evitar usá-lo em contas onde pode fazer escolhas melhores. Portanto, em qualquer conta onde você possa usar algo diferente de mensagens de texto, use isso. A outra coisa é pensar com muito cuidado sobre quem é o seu provedor de telefonia. Muitos profissionais de segurança usam provedores de telefonia que não têm atendimento ao cliente humano que possa sofrer engenharia social e onde as próprias contas são protegidas por uma forte autenticação de dois fatores. Por exemplo, o projeto Fi do Google, F-I, que é um operador de rede virtual, não tem humanos com quem você possa falar. E você conecta, acessa e configura essa conta de telefone por meio de uma conta do Google que você pode proteger com uma forte autenticação de dois fatores, como um token universal de dois fatores. Isso significa que seu número não pode ser portado, o que significa que você pode usar esse número com mais segurança para proteger a autenticação de dois fatores baseada em mensagem de texto

como no seu banco, que é péssimo em segurança. Então, em termos de empresas mais péssimas em segurança: bancos, operadoras de telefonia e, em seguida, provedores de serviços reais que têm equipes de segurança decentes. Então, é tudo uma questão de camadas. Se você não tem opção a não ser usar a mensagem de texto como sua autenticação de segundo fator, então eu direi que existem alguns serviços que eu uso onde não tenho opção a não ser usar uma mensagem de texto. Então, certifique-se de que essa mensagem de texto vá para uma conta que esteja bem protegida. Mesmo com sua operadora de telefonia, você pode colocar um PIN em sua conta. Você pode desativar a capacidade de portar o número. Você pode ir e fazer todo tipo de coisa para fortalecer essa conta. Mas se você puder, melhor ainda, mova seu número para um operador de rede virtual ou provedor de serviços que não tenha humanos que possam

Protegendo seu número de telefone (1:16:25)

ser alvo de engenharia social para portar o seu número. E que tenha forte autenticação nos fatores que controlam seu número de telefone. E se você puder evitar. Especialmente evite isso se for o segundo fator para se conectar à sua exchange, onde você armazena milhões de dólares em criptomoeda. E, claro, estou meio que insinuando aqui sobre um especialista em criptomoedas bastante infame, que de fato armazenou milhões de dólares em criptomoeda em uma carteira de exchange, em uma carteira quente que é custodial (não são suas moedas), com uma autenticação de dois fatores por SMS hospedada pela AT&T, e que atualmente está processando a AT&T pela perda de uns, sei lá, 50 milhões, cem milhões de dólares, um número ridículo como esse. Sinceramente, esse é o tipo de caso legal em que, como testemunha especialista, eu subiria no banco das testemunhas e riria por 30 minutos na cara

do autor da ação. Quando dissessem que a culpa era de outra pessoa por terem colocado milhões de dólares em uma exchange protegida por uma mensagem de texto, uma autenticação de dois fatores da AT&T. Eu não teria muita simpatia por isso. Certo. Então vamos falar sobre a autenticação de dois fatores que realmente funciona. Eu falei sobre a chave de segurança, que é um pedaço de hardware, mas também há outro mecanismo que é muito comum, que todos vocês já usaram antes, que é onde você tem um número de seis dígitos. Neeraj gentilmente me fez uma pergunta especificamente sobre esse tópico. Olá Andreas, como funciona o autenticador do Google ou da Microsoft? Existe um sistema descentralizado que possa substituí-los? Neeraj, esses são sistemas descentralizados. Embora o aplicativo seja criado por uma entidade centralizada, ele é, na verdade, bastante simples. E, como resultado, ele é de fato descentralizado. Os segredos que são armazenados nesses autenticadores

são armazenados apenas no seu dispositivo local. Existem algumas variações, é claro. Alguns desses aplicativos, como por exemplo o Offi, permitem que você faça backup e porte os segredos que são a base da sua autenticação de dois fatores para outro dispositivo. O que os torna convenientes, mas perigosos. Se você tiver o suporte a vários dispositivos ativado no Offi ou em outros sistemas que suportam backups, você deve mantê-lo desativado e só ativá-lo quando estiver portando para outro telefone ou dispositivo, como, por exemplo, quando você atualiza seu smartphone e precisa mover todas essas contas para um novo dispositivo. O Google Authenticator na verdade introduziu backup e portabilidade em sua versão mais recente. Eu não sei como funciona, mas se funcionar dessa maneira, certifique-se de mantê-lo desativado por padrão. Para que apenas aquele dispositivo local

possa usar esses códigos de segurança. Caso contrário, não é realmente dois fatores, certo? Não é algo que você possui. É uma senha de backup. É algo que você sabe, e que pode ser facilmente roubado, ou está vinculado ao seu número de telefone. Nesse caso, voltamos à segurança por mensagem de texto da qual estávamos falando antes. Alguém faz a portabilidade do seu SIM, eles assumem o controle do seu número. Eles instalam o software autenticador no smartphone. Eles então baixam o backup e o portam para esse dispositivo. E eles têm todas as suas autenticações de dois fatores que não eram realmente autenticação de dois fatores. Então esse é o modo de falha, mas vamos falar sobre como essa coisa funciona antes de mais nada. Então, como funciona o autenticador do Google ou da Microsoft? Primeiro, vamos dar um nome a isso. Este é um mecanismo chamado senha de uso único (OTP - One-Time Password). Senhas de uso único têm décadas e têm sido usadas, bem, deixe-me corrigir. As digitais

senhas de uso único em dispositivos portáteis, têm décadas. As senhas de uso único em si têm, na verdade, milhares de anos. O conceito geral aqui é que, se você gerar uma sequência de números aleatórios e as duas partes de uma comunicação tiverem uma cópia dessa sequência, ou puderem gerar essa sequência e mais ninguém puder. Então não há nada para roubar ou adivinhar. Os blocos de uso único (one-time pads) são um método inquebrável de criptografia, desde que você possa gerar esses segredos e não tê-los roubados. E senhas de uso único que são numéricas, códigos de seis dígitos, são muito, muito difíceis de roubar. Desde que você consiga manter os segredos raiz, que os geram, em segredo. Agora, o autenticador do Google e da Microsoft são uma subclasse particular de senhas de uso único chamadas senhas de uso único baseadas em tempo (TOTP - Time-based One-Time Passwords). E se você quiser encontrar um aplicativo que suporte o padrão de senha de uso único baseada em tempo, você usa a sigla

Senhas de uso único baseadas em tempo (1:21:56)

T-O-T-P. Então, OTP é uma senha de uso único (one-time password) e T-OTP é uma senha de uso único baseada em tempo (time-based one-time password). E baseada em tempo significa simplesmente que o código está vinculado ao tempo atual e muda a cada 30 segundos. Portanto, essas coisas usam um segredo e um relógio, que deve estar mais ou menos sincronizado corretamente com o tempo atual, para gerar o código específico para o momento específico em que você deseja usá-lo. E como é uma janela de tempo de 30 segundos, você pode ter uma pequena margem de erro e tem algum tempo para vê-lo na tela e inseri-lo no site. Agora, como o site ao qual você está se conectando ou o dispositivo ao qual você está se conectando tem o mesmo segredo e o relógio está mais ou menos sincronizado. Ele consegue descobrir qual código você deve inserir. Geralmente, ele verifica o código anterior e o posterior para saber se você está um pouco fora de sincronia,

como um pouco mais de 30 segundos. Ele aceitará esses códigos. E então você vê na sua tela o código atual e verá uma pequena contagem regressiva. E após 30 segundos, ele muda e você tem um novo número de seis dígitos. Então, a maneira como isso funciona é usando uma chave privada. E a partir dessa chave privada, ele usa uma função de derivação, que pode ser uma variedade de coisas diferentes. Eu não sei qual é o uso padrão para T-OTP. Presumo que seja algum tipo de mecanismo de hash com o tempo. E com essa função de derivação, ele produz novos códigos numéricos a cada 30 segundos. E você pode calcular a partir da sequência, desculpe, a partir dos segredos e do tempo atual, o código correto para o tempo atual. O segredo em si está no código QR que o serviço que você está tentando usar exibe na primeira vez. Então, quando você vai usar um

desses dispositivos, e todos eles são compatíveis, então, quer você use o Google Authenticator, o Microsoft Authenticator, o Offi, o Duo ou qualquer um dos outros, e a maioria dos gerenciadores de senhas também tem um desses serviços T-OTP integrados. Tudo o que você precisa fazer é escanear um código QR do site ou serviço ao qual você está tentando adicionar a autenticação de dois fatores. E esse código QR contém um segredo. Esse segredo é uma string alfanumérica gerada aleatoriamente que está anexada às suas contas. E o site a gera aleatoriamente para você. Ele a apresenta como um código QR. Você o escaneia com o seu dispositivo Google Authenticator, o seu dispositivo Google Authenticator o registra como o segredo e, em seguida, começa a gerar códigos para o tempo atual. Você então insere um desses códigos no site. Ele pode confirmar que você o obteve corretamente rastreando e dizendo: sim, esse é o código que eu estava esperando

nesta janela de 30 segundos. E agora você estabeleceu a autenticação de dois fatores. A dificuldade com isso, é claro, é o backup. E há várias maneiras de fazer backup. Uma maneira de fazer backup, que na verdade é provavelmente a maneira mais segura de fazer backup, honestamente, é uma impressão física. Então, quando você tiver esse código QR na sua tela, clique em imprimir. Eu digo impressões físicas porque você pode estar inclinado a fazer outra coisa, que é tirar uma foto dele. E, claro, para tirar uma foto dele, você vai usar o seu smartphone. O problema é que essa foto será armazenada na nuvem. Nesse ponto, ela não está mais apenas no dispositivo no Google Authenticator, no autenticador T-OTP. E, nesse ponto, não é mais um segundo fator seguro. Fazer backups na

nuvem dos seus segredos de autenticação de dois fatores é uma má ideia. Na verdade, é melhor usar o recurso de backup que o software de dois fatores possa ter, que pelo menos é criptografado com uma senha de sua escolha. Onde você coloca essa senha no seu gerenciador de senhas? Estamos andando em círculos aqui, como você pode ver, e às vezes isso pode ficar confuso. Então, imprima o código QR se quiser fazer um backup ou não; com a maioria dos serviços, se você perder o seu token ou aplicativo de autenticação de dois fatores, pode pedir para eles redefinirem. E eles farão você passar por vários obstáculos, segurando identidades e tirando selfies e confirmando por meio de vários outros mecanismos, como e-mails, telefonemas e coisas do tipo. Muitos desses serviços também fornecerão uma série de códigos de backup, que são códigos numéricos pré-computados que você pode inserir em vez do dinamicamente

A hierarquia da autenticação de dois fatores (1:26:44)

gerados que são estáticos. E estes servem para o caso de você perder o seu dispositivo de autenticação. E onde você os armazena? No seu gerenciador de senhas é onde você os armazena. Portanto, a autenticação de dois fatores com um aplicativo de senha de uso único baseada em tempo é um mecanismo forte, eficaz e simples de usar que você pode adicionar a todas as suas contas hoje. Agora vamos ver a hierarquia de segurança. Chave de segurança universal de dois fatores, baseada em uma criptografia muito, muito forte. Se você registrar várias delas e mantê-las em locais seguros, será muito difícil de comprometer. Muito fácil de fazer backup, é uma coisa física. Você faz o backup mantendo outra coisa física por perto. É impossível de copiar e é impossível de roubar sem que você perceba. O segundo nível são as senhas de uso único baseadas em tempo que você usa escaneando um código QR e um aplicativo como o discutido por Neeraj. Eles fornecem um código de seis dígitos

a cada 30 segundos. Novamente, isso faz do seu telefone o segundo fator "algo que você possui", e estes são um pouco difíceis de fazer backup. E se o seu telefone for roubado, eles podem ser fáceis de comprometer. Eu gosto de colocar uma impressão digital no próprio aplicativo de autenticação de dois fatores para que você não possa ver os códigos numéricos sem usar as impressões digitais. Agora, isso é essencialmente um terceiro fator em cima do segundo fator, o que me protege caso alguém roube meu telefone e ele esteja desbloqueado no momento e eles pudessem entrar no meu aplicativo de dois fatores, só que não podem. E, finalmente, o nível mais baixo é a autenticação de dois fatores por mensagem de texto, que obviamente não é segura, a menos que você não tenha outra opção, caso em que é melhor do que não ter nada. Então, esses são os níveis de autenticação de dois fatores. Vamos ver quais outras perguntas temos enquanto

eu faço uma breve pausa aqui. E vou reproduzir um vídeo dos meus patronos, que diz por que você deve apoiar meu trabalho online. Então, o que estamos fazendo hoje, e o que estou sempre tentando fazer, é fornecer a você material educacional de alta qualidade sobre o Bitcoin e Blockchains abertas de uma forma que seja neutra, sem patrocinadores, sem endossos, sem me vender para anunciantes ou ficar preso a interesses corporativos. Ninguém está pagando por isso além de você. E então, se você gosta dessa educação, se você se beneficiou dessa educação, ou mesmo se você simplesmente quer retribuir e ajudar os outros a obterem essa educação e ajudar a mim e à minha equipe a continuar fazendo isso, e fazer melhor e de forma mais ampla, então, por favor, considere me apoiar com uma assinatura no YouTube ou, melhor ainda, uma assinatura mensal de patrono. E nas palavras dos meus patronos, eis o porquê.

• Sou um patrono do Andreas porque encontrei seus vídeos online e foi assim que aprendi sobre o Bitcoin. Então foi assim que fui apresentado ao Bitcoin. - Estou saindo esta noite em um evento social organizado pelo Andreas, como parte do suporte aos seus patronos pagos. Acabei de tomar alguns drinks no centro de Londres, então tem sido uma noite muito divertida. Pude conhecer muitas pessoas com ideias semelhantes. - Devemos apoiar o trabalho que o Andreas está fazendo. Ele está fazendo muito para trazer novas pessoas para o Bitcoin e para a educação sobre o Bitcoin. - Ele é um ótimo professor. Ele consegue explicar tópicos muito complexos de uma forma fácil de entender. Ele é muito honesto e muito preciso. Eles podem ser preparados e intelectualmente honestos. Acho que é a sua melhor característica. - Ele traz muita clareza para um assunto realmente complexo que é o Bitcoin e a indústria ao seu redor. - Tem

sido uma inspiração muito, muito boa para mim e cada Bitcoin que estou dando a ele será muito bem usado para nos ajudar a entender o Bitcoin. E acho que isso vai melhorar o mundo em algum momento. - Sendo um patrono, eu posso conhecer o Andreas e é por isso que adoro ser um patrono e vou continuar sendo um patrono. - Eu acho que é simplesmente uma coisa boa. Se você está interessado em aprender coisas novas e também quer apoiar a comunidade do Bitcoin, então você tem que ser um patrono. - Ser um patrono faz você se sentir especial. Você pode participar das sessões de perguntas e respostas ao vivo dele. Você pode encontrá-lo em happy hours. É realmente ótimo, vale totalmente a pena. Estou muito, muito entusiasmado em ser um patrono. - Eu gostaria que ele pudesse produzir seu conteúdo excelente e valioso em um futuro livre de publicidade e apenas

Perguntas e Respostas: portabilidade de números de telefone e segurança de aplicativos (1:31:37)

com a ajuda de seus patronos. E é por isso que o apoio no Patreon. (música suave) - Muito bem, antes de irmos para a próxima pergunta, temos alguns ótimos acompanhamentos no chat. Que meu produtor postou de forma prestativa para mim. Então, temos, em primeiro lugar, um acompanhamento da Lucia: qualquer número de telefone pode ser portado para um serviço de atendimento ao cliente sem pessoas? Depende do país em que você está registrado. Diferentes países têm diferentes leis sobre portabilidade entre provedores de telecomunicações. Mas, honestamente, a maioria dos países europeus e certamente a América do Norte, sei que este é o caso nos Estados Unidos e no Canadá, exigem que as operadoras honrem as solicitações de portabilidade. E isso significa que, com o processo correto, você pode mover seu número e não perdê-lo, indo para uma nova operadora. E então você poderia ir para uma operadora que não tem atendimento ao

cliente, uma operadora sem pessoas. O Google Fi é o que mais ouvi falar a respeito. Pode haver muitos deles, outros que são igualmente seguros contra ataques de portabilidade de número. Eu tenho preferência por isso, embora tenha alguns riscos de privacidade por razões óbvias. A segunda pergunta vem do Ben, e o Ben diz: como saber se o seu aplicativo não está vazando a chave secreta? Ben, você não pode saber se o seu aplicativo não está vazando a chave secreta. Você só pode optar por aplicativos que são usados por muitas pessoas, usados em ambientes de segurança, auditados, revisados, talvez de código aberto que tenham seu código auditado, que tenham sido construídos por empresas confiáveis. Que levam a segurança a sério, que têm um longo histórico de não quebrar as coisas. Isso exige confiança em uma contraparte. No entanto, quase tudo o que falei exige confiança em uma contraparte. Então a questão é: quanta confiança

você está depositando na contraparte e quem é essa contraparte? E qual é a alternativa? E se a alternativa for não usar um aplicativo e tentar confiar na memória, então, na verdade, a alternativa é pior. E esse é o equilíbrio cuidadoso que você deve alcançar na segurança. Cada vez mais, estamos vendo mais e mais empresas tentarem implementar vários mecanismos para autenticação descentralizada, identidade descentralizada, validação descentralizada, que são mais seguros. Uma multisig no Bitcoin ou Ethereum, por exemplo, costuma ser a base de tais serviços. Mas, por enquanto, esses serviços são relativamente imaturos, não são amplamente implantados e ainda não são adequados para esses tipos de soluções. Portanto, estou muito esperançoso para o futuro nesse espaço. Enquanto isso, a pergunta que você deve fazer é: o que é melhor, usar um serviço centralizado que tenha um bom histórico ou não usar nenhum serviço e tentar confiar na

memória? E eu posso responder a isso definitivamente: é melhor usar um gerenciador de senhas de uma empresa confiável ou que tenha um bom histórico, do que não usar um gerenciador de senhas e tentar confiar em uma memória falha, em uma aleatoriedade falha e em soluções do tipo "faça você mesmo" (DIY) que podem exceder sua competência técnica. Vamos para a próxima pergunta. Ela vem da Trixie: Andreas, adorei os óculos. Eu também. Obrigado, Trixie. Com eles, eu consigo realmente ler o que está no meu laptop. Existem dois tipos de transmissão ao vivo que eu faço. Algumas são um pouco mais ad hoc, mais baseadas em perguntas. Não preciso ler muito o que está acontecendo no meu laptop. Tenho um bom monitor de estúdio ali, que está longe o suficiente para que eu possa ler com a minha visão fraca. E algumas, como a de hoje, são um pouco mais complexas. Eu preciso fazer muito

Perguntas e Respostas: convertendo SMS bancário para uma autenticação mais forte (1:36:01)

de leitura. Estou com meu notebook na mesa. E então eu preciso dessas coisas. Mas obrigado, estamos divagando. Voltando ao cerne desta questão. Vou recomeçar para o nosso editor. Trixie pergunta: existe uma maneira de converter aquelas mensagens de texto estúpidas do banco para o Authy ou algo semelhante? Um sistema de senha de uso único baseada em tempo. O Authy é um desses T-OTP, senhas de uso único baseadas em tempo. Trixie, não, não há. A menos que o seu banco tenha um mecanismo que suporte algo diferente de mensagem de texto, você não pode usar uma senha de uso único baseada em tempo. A resposta correta neste caso é usar mensagens de texto, mas mudar sua operadora de telefonia para uma que exija um mecanismo de autenticação forte, como uma senha de uso único baseada em tempo, ou melhor ainda, um segundo fator universal com uma chave de segurança ou onde você possa configurar essas opções. Para que o seu número não possa ser portado, porque isso exige uma autenticação forte. E

se o seu número não puder ser portado, então a mensagem de texto do seu banco será muito, muito mais segura. Então, essa foi uma ótima pergunta da Trixie. Vamos ver quais outras perguntas temos aqui. Não estou vendo muitas outras perguntas, então, ah, e aí está. Ah, os moderadores estão agora freneticamente, freneticamente puxando perguntas e colocando-as na fila para mim, para que possamos encontrar mais algumas perguntas. Espero que você esteja gostando da sessão de hoje. Então, deixe-me fazer uma rápida recapitulação do que aprendemos até agora. A segurança nunca é cem por cento, a segurança trata de gerenciar riscos realistas dentro da sua competência técnica com a solução mais simples e aplicada de forma mais consistente que você possa encontrar, que é colocada em camadas com outras soluções para fornecer uma série de barreiras contra um invasor determinado. Se você fizer a segurança corretamente, você se sentirá confortável com essas medidas. Você pode aplicá-las de forma consistente, e você

tem camadas suficientes que correspondem cuidadosamente tanto às suas habilidades quanto ao seu ambiente de ameaças para fazer com que um invasor não tenha o tempo, os recursos, o orçamento ou o interesse, a recompensa, realmente, para atacá-lo. E, em vez disso, eles atacam alguém que é um alvo mais fácil, e isso é basicamente segurança. Você não pode ser perfeito nisso. Na verdade, você é humano. Então você será, por definição, imperfeito. Você tem que ser capaz de executá-la de forma consistente e dentro do seu nível de habilidade, o que significa que tem que ser simples o suficiente. Isso não pode ser resolvido com uma única ferramenta, técnica, prática ou ação, então você tem que usar várias ferramentas, várias técnicas, várias ações, em camadas juntas, de preferência mecanismos diversos de segurança que exijam habilidades diferentes dos invasores, que protejam contra as diferentes ameaças para que você possa colocá-las em camadas e criar um sistema abrangente. E isso ainda não o levará

a cem por cento de segurança, mas, você sabe, se você fizer isso de forma consistente, e se você fizer isso deliberadamente, e se você adaptar bem, tanto às suas necessidades de ameaça quanto ao seu nível de habilidades, você pode se juntar ao grupo de elite de pessoas que podem dizer honestamente: eu não sou hackeado há anos. Isso é o melhor que você pode fazer, mas geralmente é muito bom. E isso o coloca muito acima de muitas outras pessoas. Um anônimo pergunta: você poderia compartilhar alguma preocupação ou sugestão sobre gerenciadores de senhas para alguém que ainda não teve tempo de compará-los de perto ou experimentar algum? Eu usei muitos gerenciadores de senhas diferentes ao longo dos anos, existem alguns que são muito, muito comumente usados que não são os meus favoritos. Que eu uso com relutância de vez em quando ou o tempo todo, dependendo do dispositivo em que estou. Existem alguns que caíram nas

graças ou em desuso. E há alguns novos que estão ganhando destaque. Eu realmente não posso dizer o que será certo para você. Posso dizer que provavelmente os dois mais populares são um sistema chamado LastPass e um sistema chamado 1Password, um o número um, seguido pela palavra password, tudo em uma palavra. 1Password e LastPass são provavelmente os mais conhecidos. Além disso, há vários outros sistemas por aí com capacidades e diferenciais variados. Um dos um pouco mais novos que estou olhando com interesse é o Bitwarden, porque este é um sistema de código aberto que é multiplataforma e muito bem arquitetado. Mas, no final das contas, como dei o mesmo conselho para fabricantes de carteiras de hardware, por exemplo, darei o mesmo conselho para nossos gerenciadores de senhas. As diferenças entre os, digamos, três ou quatro principais,

Perguntas e respostas: comparando gerenciadores de senhas (1:41:43)

cinco empresas no setor onde os produtos neste espaço têm pequenas, pequenas diferenças. Todos são muito bons. Todos são muito seguros. Todos são muito consistentes. A diferença entre um dos quatro ou cinco principais gerenciadores de senhas e não ter nenhum gerenciador de senhas, ou tentar confiar na sua memória ou tentar criar sua própria solução é vasta. Portanto, a pergunta não é: qual deles devo usar? É se eu deveria estar usando um, a resposta é sim, e não perca muito tempo. Uma maneira de pensar sobre isso é: o que as outras pessoas da sua família estão usando? Assim, você pode compartilhar senhas facilmente com elas. A maioria dessas coisas são ecossistemas fechados. Então, se todos na sua família têm o bit warden, é melhor que você use o bit warden. Se a sua empresa ou o seu empregador estiver usando um, então você provavelmente

estará melhor usando o mesmo para suas funções pessoais, desde que consiga manter duas contas separadas, apenas para não ter muitos aplicativos em execução e muita complexidade. Novamente, mantenha as coisas simples. A única pergunta que você deve fazer é: com que rapidez posso colocar uma dessas coisas para funcionar e, em seguida, protegê-la adequadamente, e depois sair e alterar todas as senhas em todos os sites, começando primeiro pelos mais importantes. Um anônimo pergunta se a configuração inicial do Google Authenticator e a implementação de uma chave simétrica, diferentemente do Bitcoin, que usa criptografia assimétrica. Sim, é. E eu não sei qual é o padrão T-OTP porque nunca olhei para ele. Pode nem ser criptografia simétrica. Pode ser um algoritmo de alongamento de senha. Na verdade, é provável que seja algum tipo de sequência baseada em

derivação usando hashes. Mas eu não sei, não pesquisei sobre isso. Não é assimétrico, isso eu posso te dizer. Portanto, não é um sistema de chave pública e privada. O que é criptografia simétrica? O que é criptografia assimétrica? Essa é outra pergunta que surgiu no chat. A criptografia assimétrica é quando há duas chaves em um par e as chamamos de chave privada e chave pública, e o que for criptografado por uma só pode ser descriptografado pela outra e vice-versa. Então, se você criptografar algo com sua chave privada, isso só poderá ser descriptografado com sua chave privada, com sua chave pública. E se você criptografar algo com uma chave pública, apenas a pessoa com a chave privada poderá descriptografá-lo. E a combinação dessas técnicas é usada para assinaturas digitais. E é usada para criptografia e descriptografia de dados entre dois destinatários. O que isso significa, no entanto, é

que se você quiser descriptografar algo para mim, precisará da minha chave pública. Se você criptografar para a minha chave pública, que é pública e fácil de compartilhar, então só eu poderei descriptografar. Se você quiser criptografar para muitas pessoas, precisará de todas as chaves públicas delas e precisará criptografar separadamente para todas as chaves públicas delas. A criptografia simétrica é onde você tem uma chave que serve tanto para criptografia quanto para descriptografia. E, de fato, até a década de 1970, a criptografia simétrica era o mecanismo de criptografia. A criptografia assimétrica não foi inventada, acredito eu, se não me engano, até a década de 1970. Então essa é a diferença entre simétrica e assimétrica. Deixe-me ver, acho que tenho outra aqui. Outra pergunta de acompanhamento do Carlos. Quando usaremos assinaturas do Bitcoin para autenticação? Você poderia usar assinaturas do Bitcoin para autenticação hoje. O problema é que você precisa ter

cuidado em como estruturar isso e entender o que exatamente você está provando. Uma assinatura do Bitcoin e, em geral, o uso de assinaturas digitais para autenticação provam um conjunto muito específico e muito restrito de coisas. Então, digamos que você me peça para assinar uma mensagem com minha chave privada do Bitcoin e produzir uma assinatura, e depois compartilhar isso com o mundo. Bem, aqui estão algumas coisas que eu provo. Eu provo que, no momento em que a assinatura foi criada, eu tinha posse da chave privada. Claro, isso não significa que eu não tenha produzido essa assinatura anos atrás. Você não sabe quando a assinatura foi produzida. A outra coisa é que, para usar isso em um esquema viável, a pessoa que está pedindo a assinatura precisa fazer o que é chamado de desafio-resposta. Eu não posso simplesmente dizer assine algo, porque se eu receber

Perguntas e Respostas: Assinaturas do Bitcoin para autenticação (1:47:01)

para escolher a mensagem, eu posso basicamente escolher uma mensagem que outra pessoa assinou há muito tempo no passado, apresentar a assinatura que ela aplicou e dizer a você que acabei de fazer isso. E você não tem como saber se isso é verdade ou não. Então, em vez disso, nesse cenário, você precisa da resposta ao desafio. Então o que eu diria é: por favor, CarlosM, assine uma mensagem que diga: Eu, CarlosM, em dezembro, seja lá o que for, hoje é dia cinco? Eu nem sei, em dezembro, seja lá o que for, dia cinco de 2020, estou em posse da minha chave privada. E estou assinando esta mensagem a pedido do Andreas. Então, você entende o que estou dizendo aqui? O que isso faz é ancorá-la no tempo. Você não saberia qual é a mensagem até que eu pedisse para você assinar uma mensagem específica. Você a relaciona a uma atividade específica. Eu pedi

para você colocar informações sobre a hora em que a assinou e a identidade do signatário nela. Isso torna as coisas muito mais difíceis, mas ainda assim, não sei se o Carlos assinou isso. Tivemos uma conversa semelhante quando falamos sobre assinar com carteiras para provar que você possui um endereço para as novas regras de viagem que estão sendo propostas nos EUA e já foram implementadas na UE. E, claro, se o Carlos quisesse provar que possuía um endereço e eu lhe desse uma mensagem como essa, tudo o que ele teria que fazer era dar essa mensagem ao Jimmy, fazer o Jimmy assiná-la dizendo: este é o Carlos, devolvê-la ao Carlos, o Carlos a entrega para mim, e eu acho que isso prova que o Carlos tem a chave privada quando, na verdade, o Jimmy é quem tem e eles estão trabalhando juntos. Então isso é complexo. Não é

tão simples quanto parece à primeira vista. Certo, vamos ver. Vou responder talvez a mais uma pergunta. Ah, esta é boa. Eu realmente gostei desta. Esta é uma pergunta do Jeff. Jeff Tezos pergunta: e quanto às senhas que você precisa inserir manualmente com o controle remoto na TV ou similar, como Amazon, Netflix? Quão longas e difíceis elas devem ser? Jeff, eu já sofri com isso. E eu tenho a minha resposta para isso, que vou te dar em apenas um segundo. Agora, imagine o cenário de que o Jeff está falando: você usou seu gerenciador de senhas para gerar uma chave alfanumérica única de 32 caracteres com símbolos para a sua conta da Netflix. Agora você tem que inseri-la no teclado de uma smart TV Roku, onde cada letra tem que ser inserida movendo o seu pequeno cursor para a letra correta no teclado, apertando enter,

e depois voltando e descendo para o caps lock e ligando o caps lock e subindo e indo para a letra maiúscula e depois desligando o caps lock e depois movendo para o símbolo e mudando para o teclado numérico. Meu Deus, isso vai levar horas, horas. E então sim, nesses casos, a mesma coisa que eu diria em casos onde a sua segurança não é tão crítica, você precisa fazer algo onde frequentemente tem que compartilhar essa chave com outras pessoas. Um bom exemplo seria a sua senha do wi-fi, certo? Então, nesses casos, o que eu faria é usar uma senha numérica ou alfabética simples. Toda de uma única classe de caracteres e torná-la um pouco mais longa. Então eu não me importo se alguém invadir a minha Netflix e notar que estou assistindo O Gambito da Rainha. Claro que estou assistindo O Gambito da Rainha. Todo mundo está

assistindo O Gambito da Rainha. É a semana de O Gambito da Rainha. Isso realmente não importa para mim, embora existam algumas considerações de segurança, como ser capaz de descobrir onde estou quando estou assistindo a isso. Então eu ainda preciso de uma senha. Mas ela não precisa ser tão longa porque é improvável que alguém tente quebrá-la. O verdadeiro problema é: eu me lembrei de redefinir a TV Roku quando saí do Airbnb? Aha. Essa é uma boa pergunta. Então o que eu faço? Eu geralmente escolho uma senha numérica ou uma senha alfabética ou em letras minúsculas e a agrupo em grupos. Então uma clássica que eu faria são 12 números separados por sinais de menos ou hífen. Então isso significa que farei três grupos de quatro ou quatro grupos de três dígitos. Então a minha senha será algo como nove três sete traço três um dois traço três

Perguntas e respostas: senhas para controles remotos de TV e dispositivos de baixa segurança (1:52:10)

três um traço quatro um cinco. Estou apenas escolhendo números aleatoriamente neste momento. Não é uma aleatoriedade muito boa, a propósito. Eu usaria um gerador de números aleatórios no meu gerenciador de senhas. Eu diria a ele para me dar apenas dígitos e com um comprimento de 12. E então eu escreveria com traços no meio, agrupados em bons grupos de quatro, porque é mais fácil para mim ler isso de uma tela e digitar em um teclado. E geralmente os números e o traço estão no mesmo teclado e ficam a uma distância muito curta, então posso fazer isso rapidamente ou, melhor ainda, muitos controles remotos permitem que você use a parte numérica do teclado, que servia para... Antigamente, costumávamos ter canais em nossa televisão e esses canais eram selecionados pelo número do canal numérico. Eu sei, é uma tecnologia impressionante.

Muitos controles remotos têm um teclado numérico neles. Então, isso novamente torna muito mais fácil digitar uma frase secreta. Obrigado, Jeff. Essa foi uma ótima pergunta. E uma pergunta muito prática sobre equilibrar a segurança. Você realmente, realmente quer passar por todo esse trabalho para proteger uma conta que não é tão segura e onde o maior risco é você esquecer de apagar ou redefinir essa senha quando sair do Airbnb e deixá-la para outras pessoas encontrarem, momento em que isso pode ser um pouco complicado. Uma pergunta semelhante do Jeff. Opa. Ah não, não é o Jeff. Desculpe, um segundo. Aí está. Funcionou? Um pouco de lentidão nos meus aplicativos hoje. Quão seguro é usar apenas o PIN de quatro dígitos, como o que é usado em todos os cartões bancários, por exemplo, pergunta Mike. Mike, isso depende,

depende de onde você pode digitar esse PIN. Então, o motivo pelo qual um PIN de quatro dígitos é seguro em cartões bancários é porque você só pode digitá-lo em um dispositivo de segurança, como uma maquininha de cartão ou um caixa eletrônico. Esses dispositivos são projetados para impedir que você tente mais do que um certo número de vezes. E se forem dispositivos supervisionados, o que significa que você está no posto de gasolina, no caixa de um supermercado, seja o que for, há uma pessoa parada ali e você digitaria mais do que algumas vezes. Eles podem ver você fazendo isso e chamarão a segurança, se você tentar digitar 4.000 combinações diferentes. E quando é um dispositivo não supervisionado, onde você poderia simplesmente sentar lá e tentar por horas e horas todas as combinações possíveis, ele na verdade vai travar e engolir o seu cartão, como você sabe, com caixas eletrônicos. Então,

se eu digitar errado quatro vezes, ou seis vezes, ou três vezes, dependendo da política do banco, ele vai engolir o meu cartão e não me dar outra chance de tentar. Portanto, não é apenas o PIN, é o contexto de como esse PIN é usado. Onde ele é inserido, quantas vezes você pode tentar e o que acontece se você falhar nesses mecanismos de segurança em camadas. Então, sim, um PIN de quatro dígitos é seguro o suficiente no contexto de dispositivos de acesso controlado, como caixas eletrônicos e maquininhas de cartão, onde há camadas adicionais de segurança, como engolir seu cartão se você digitar errado, ou não deixar você tentar muitas vezes. Acho que isso é bom. Cobrimos muitos tópicos. Muito obrigado por todas essas ótimas perguntas. Obrigado por deixarem comentários muito bons. Digam-me o que vocês gostaram sobre

esta sessão em particular. Foi um pouco diferente das outras que fizemos. Digam-me o que mais vocês gostariam de aprender para ajudá-los nesta jornada do Bitcoin e de blockchains abertas. E não se esqueçam, temos várias dessas sessões chegando. Deixem-me mostrar nossos próximos eventos que estão chegando: Conversas Constrangedoras de Fim de Ano, Conversas Constrangedoras de Fim de Ano. Esse é o próximo que está chegando. Vou armar vocês com as respostas certas e também com histórias hilárias de outras pessoas que estão compartilhando atualmente nos comentários do Patreon e de outras plataformas, suas conversas constrangedoras de fim de ano em família. Principalmente sobre Bitcoin e blockchains abertas, às vezes sobre tópicos que tornam tudo muito mais constrangedor e que não cobriremos na transmissão ao vivo. Depois, temos nossas perguntas e respostas de tópico aberto de dezembro, onde você pode fazer qualquer pergunta e eu posso escolher respondê-la. E

Encerramento (1:57:25)

então, finalmente, temos o nosso Evento Extravaganza 2021. Então, para descobrir quando esses eventos estão ocorrendo e aprender sobre eles, por favor, inscreva-se no meu canal. Ative as notificações clicando no ícone do sino, e assim você será o primeiro a saber sobre esses novos eventos. Obrigado por se juntarem a mim hoje, tivemos mais de 300 pessoas no canal na transmissão ao vivo hoje que se juntaram a nós para esta apresentação de quase duas horas, mas tínhamos muito a cobrir. Agora, enquanto eu fazia isso, você provavelmente notou que tenho uma pilha de livros fantasticamente coloridos em cores diferentes. E bem, você precisaria da versão impressa deles para aproveitar as cores, mas você pode realmente ler o conteúdo como um ebook. E você pode adquirir esse ebook na minha loja antonov.com/shop. Você também pode comprar canecas como esta. E

a propósito, estas são canecas realmente fantásticas. Elas são grandes, são pesadas. Elas retêm o calor. São muito difíceis de quebrar. Eu sei, eu já tentei. Já as deixei cair várias vezes e elas comportam muito café, o que todos nós precisaremos para passar por aquelas conversas constrangedoras de fim de ano. Então, até segunda-feira, pelos próximos dois dias, temos nossa promoção de fim de ano, que oferece um desconto de 20% em toda a loja. Uma das coisas que você também pode comprar é o workshop escolha sua criptomoeda. E o desconto de 20% se aplica a ele. A promoção holiday 2020 está disponível na loja, vá para a página inicial da loja para encontrar o cupom antonov.com/shop. Não se esqueça de deixar comentários abaixo para este vídeo. Muito obrigado por assistir. Tenham um fim de semana maravilhoso. Tchau, tchau, pessoal.