Autenticação fora de banda

A autenticação fora de banda aumenta a segurança ao utilizar um canal de comunicação separado, ou “banda”, para a autenticação, distinto do canal principal ou do dispositivo em uso. Isso contrasta com a “autenticação na banda”: enquanto na autenticação na banda as credenciais são enviadas pelo mesmo canal, na autenticação fora de banda utiliza-se um canal “fora de banda” independente para uma etapa adicional de autenticação.

Em termos mais simples, “fora da banda” significa que a autenticação é independente do dispositivo – portanto, mesmo que um dispositivo seja comprometido, a autenticação não é.

A solução de biometria facial da iProov utiliza uma autenticação verdadeiramente fora de banda. O processo de autenticação ocorre na nuvem, e não no próprio dispositivo do usuário. Isso separa o plano de autenticação do plano do dispositivo.

As vantagens dessa arquitetura incluem:

• Proteção contra dispositivos comprometidos: Se um invasor obtiver acesso total ao dispositivo de um usuário, o processo de autenticação fora de banda permanece seguro, uma vez que a autenticação é processada independentemente do dispositivo; ela fica isolada desse dispositivo comprometido.

• Como evitar vulnerabilidades na banda: a autenticação na banda oferece menos segurança do que se imagina. Por exemplo, se uma organização enviar senhas de uso único (OTPs) para esse dispositivo móvel comprometido para autenticar um indivíduo, o código OTP não está, na verdade, oferecendo nenhuma segurança adicional. O invasor pode copiar as OTPs geradas por e-mail, aplicativo de autenticação ou SMS nesse dispositivo, pois elas são enviadas para o dispositivo ao qual o fraudador já tem acesso. O acesso ao dispositivo garante o acesso à OTP. Essa é uma vulnerabilidade crítica.

• Conveniência para o usuário final: a autenticação biométrica baseada em nuvem permite oferecer uma verdadeira autenticação fora de banda sem a necessidade de utilizar vários dispositivos. Isso maximiza a conveniência para o usuário em comparação com outros fluxos de trabalho; imagine que alguém digite sua senha no computador, mas não tenha o celular consigo (ou o tenha perdido) – nessa situação, o usuário fica completamente impedido de realizar o processo de autenticação, o que reduz as taxas de sucesso.

Continuam a existir vulnerabilidades graves se todos os fatores de autenticação ainda estiverem centralizados no mesmo dispositivo. Por exemplo, se um usuário estiver comprando algo por meio de um aplicativo móvel e o provedor do aplicativo enviar um código por SMS para esse dispositivo móvel a fim de verificar a compra, o código por SMS não está, na verdade, oferecendo nenhuma segurança adicional — o código está sendo enviado para o mesmo dispositivo e é, portanto, “in-band”. Se o dispositivo tiver sido comprometido, a OTP perde todo o seu valor.

O iProov parte do princípio de que o dispositivo não é confiável e realiza a autenticação de forma segura e privada na nuvem, sendo, portanto, independente do dispositivo utilizado. Mesmo que um invasor tivesse acesso total ao dispositivo de outra pessoa, o processo de autenticação continuaria seguro.

As organizações devem adotar uma abordagem abrangente e em várias camadas em relação à segurança. O cenário ideal consiste em descentralizar os sinais de identidade por meio de múltiplas fontes confiáveis — combinando a autenticação fora de banda com dados biométricos e outros sinais coletados de forma independente por diferentes canais, sob a supervisão de um centro de operações de segurança.