Regularmente ouvimos e lemos histórias de roubos a bases de dados de passwords, ataques de phishing, malware que recolhe tudo o que escreve com o seu teclado e até dispositivos que copiam cartões de crédito instalados em caixas Multibanco ou nos terminais de pagamento em lojas.

Para os que aprendem melhor ouvindo, recomendamos o podcast que foi dedicado ao tema, aqui.

Algo pessoal

O terceiro factor a considerar é você próprio. Na maioria dos casos isso ganha a forma de um leitor de impressões digitais, mas também pode utilizar padrões da íris e da retina, reconhecimento facial, entre outras características individuais.

Neste caso, os problemas ganham maior dimensão. A leitura de alguns destes padrões pessoais, como a impressão digital, consegue ser extremamente precisa mas traz custos proibitivos.

O reconhecimento facial e da íris, já provaram ser demasiado fáceis de falsificar. São interessantes como conceito (alguns dispositivos Android dispõem de desbloqueio por reconhecimento facial), mas muito pouco fiáveis para depender deles como principal método de autenticação.

O que nos deixa então a hipótese das impressões digitais. Também já foram falsificadas, mas existem atenuantes.

Como segundo factor podem ser extremamente eficazes. A probabilidade de alguém com uma password ou token roubados, os conseguir conjugar com uma impressão digital viável deixada por alguém, é francamente remota. Mas como a maioria das coisas, dependerá da segurança da aplicação.

A outra questão ao utilizar scanners biométricos é: quanta precisão é considerada demasiada precisão? Se configurar um scanner de impressões digitais para a sua resolução máxima, poderá não conseguir autenticar-se quando as suas mãos estiverem demasiado frias, ou se ganhar uma bolha.

Adicionalmente, terá que convencer as pessoas que deseja autenticar por esse método a entregarem os seus dados biométricos. E ao contrário de uma password, se o scan à sua retina ou impressão digital forem roubados, não poderão ser alterados.

Mantenha-se a par de outros artigos sobre segurança da Sophos seguindo-os no Facebook, Twitter e LinkedIn.