Dia Mundial da Palavra-Passe: Sophos defende o fim das passwords

29 April 2025

Por ocasião do Dia Mundial da Palavra-Passe, que se celebra a 1 de maio, a Sophos, líder global em soluções de segurança inovadoras que vencem os ciberataques, enfatiza as limitações das passwords, palavra-passe e dos métodos de autenticação baseados em conhecimento, uma vez as sofisticadas técnicas, táticas e procedimentos (TTPs) dos ciberatacantes em 2025 permitem-lhes contornar facilmente os métodos de autenticação tradicionais. De facto, a edição deste ano do relatório ‘Active Adversary’ da Sophos indica que as credenciais comprometidas representam a principal causa de ataque (41% dos casos) pelo segundo ano consecutivo, pelo que é essencial que os utilizadores e as empresas adotem métodos mais robustos para proteger os seus dados contra o roubo de credenciais.

As limitações da proteção baseada no conhecimento

As soluções de autenticação dupla ou multifator (2FA/MFA) são amplamente adotadas. No entanto, tal como as palavras-passe, estas camadas adicionais de proteção dependem frequentemente de códigos secretos baseados em conhecimento partilhados através de SMS ou de aplicações de autenticação. Infelizmente, muitos destes métodos continuam a ser vulneráveis: atualemnte, os hackers têm à disposição ferramentas como o evilginx2, que facilitam contornar estas proteções ao automatizar o phishing ou roubar cookies de sessão.

Isto significa que adiar constantemente o momento em que as palavras-passe se tornam obsoletas, através de adições frágeis, parece estar repleto de perigos. A realidade do cenário de ciberameaças deve empurrar as empresas para uma mudança de paradigma, afastando-as do modelo de palavra-passe e segredos partilhados baseados no conhecimento.

WebAuthn e chaves de acesso: rumo a uma autenticação multifator mais forte?

Para proteger contra o phishing, o protocolo WebAuthn – que utiliza chaves de acesso ou passkeys em particular – é atualmente objeto de consenso entre os especialistas em cibersegurança. Com este método, quando uma conta é criada, é gerado um par único de chaves criptográficas públicas/privadas. Estas são armazenadas localmente: no servidor do website, para a chave pública; e no terminal do utilizador, para a chave privada, juntamente com o nome do website e a identificação do utilizador.

Para iniciar sessão, o utilizador já não precisa de introduzir uma palavra-passe ou um código secreto partilhado por SMS ou por uma aplicação de autenticação. Em vez disso, o servidor envia um pedido de autenticação digital que só pode ser resolvido se o utilizador estiver na posse física de um dispositivo e puder provar que é o proprietário da chave privada – através de verificação biométrica, por exemplo. Assim, a autenticação continua a basear-se em dois fatores, mas estes não dependem do conhecimento do utilizador, mas sim da posse física de um dispositivo e das características biométricas do próprio utilizador. Em princípio, portanto, as credenciais não podem ser roubados através de métodos convencionais de phishing.

Para além disso, o processo de autenticação inclui uma verificação bidirecional que permite ao utilizador verificar a identidade do serviço através do domínio do website, enviado quando o servidor solicita a autenticação. Contrariamente aos métodos que utilizam palavras-passe e códigos secretos baseados no conhecimento, o utilizador já não é o único a ter de provar a sua legitimidade.

Precauções a tomar para garantir uma autenticação sólida e simplificada

Este novo padrão da indústria, baseado na norma FIDO2, parece oferecer uma proteção comprovada contra o phishing – o principal vetor de ameaça para o roubo de credenciais –, ao mesmo tempo que simplifica a autenticação para os utilizadores.

No entanto, embora o WebAuthn represente um grande passo em frente, continuam a existir várias vulnerabilidades e é necessário manter a vigilância:

É imperativo garantir que o dispositivo ou a Cloud onde as palavras-passe são armazenadas é seguro;
A transição bem-sucedida para o WebAuthn requer a adesão e a adoção por parte das empresas e dos departamentos;
O roubo de cookies de sessão continua a ser um vetor de ataque que permitiria aos ciberataques contornar esta proteção.

É importante ter em conta que os cibercriminosos estão constantemente a aperfeiçoar os seus métodos de ataque, pelo que a adoção destas tecnologias deve ser uma prioridade estratégica de cibersegurança para as empresas.

"Temos de afastar-nos da dependência de palavras-passe e segredos partilhados. As chaves de acesso ou passkeys representam atualmente a solução mais robusta para construir um futuro sem palavras-passe, sem phishing e, esperamos, sem comprometimentos em grande escala," comentou Chester Wisniewski, Director, Global Field CISO da Sophos.

Para mais informação:

Leia as últimas notícias sobre segurança na nossa página Naked Security News e saiba mais sobre a Sophos no nosso canal Sophos News.

Proteja todos os Mac e PC em sua casa com os softwares de segurança de próxima geração da Sophos Home.

Sobre a Sophos: A Sophos é líder e inovadora mundial em soluções de segurança avançadas que vencem ciberataques, incluindo serviços de Deteção e Resposta Geridas (MDR, na sua sigla em inglês), serviços de resposta a incidentes e um vasto portefólio de tecnologias de segurança de endpoints, rede, email e Cloud. Sendo um dos maiores fornecedores de cibersegurança totalmente dedicados, a Sophos protege mais de 600.000 organizações e 100 milhões de utilizadores a nível global contra adversários ativos, ransomware, phishing, malware e outros. Os serviços e produtos da Sophos estão ligados através da Sophos Central, a sua consola de gestão baseada na Cloud, e são impulsionados pela Sophos X-Ops, a unidade de inteligência de ameaças transversal da empresa. A inteligência da Sophos X-Ops enriquece todo o Ecossistema Adaptativo de Cibersegurança da empresa, que inclui um data lake centralizado que tira partido de um rico conjunto de APIs abertas e disponíveis para clientes, parceiros, programadores e outros fornecedores de cibersegurança e tecnologias de informação. A Sophos oferece segurança-como-serviço a organizações que necessitam de soluções de segurança totalmente geridas. Os clientes podem gerir a sua cibersegurança diretamente com a plataforma de operações de segurança da Sophos, ou recorrer a uma abordagem híbrida que complementa as suas equipas internas com serviços Sophos, incluindo threat hunting e remediação. A atividade comercial da Sophos é realizada através de parceiros revendedores e fornecedores de serviços geridos (MSPs) em todo o mundo. A empresa tem sede em Oxford, no Reino Unido. Mais informação em www.sophos.com.

Tecnologia

Relatório Sophos: quase metade das empresas opta por pagar o resgate nos ataques de ransomware

25 June 2025

A Sophos, líder global em soluções de segurança inovadoras que vencem os ciberataques, divulgou o seu sexto relatório anual ‘State of Ransomware’, um inquérito a líderes de TI e de cibersegurança de 17 países que estuda o impacto dos ataques de ransomware nas empresas. O...

25 June 2025

Tecnologia

Mais de 20 empresas criaram e apresentaram a REDI Portugal durante o EuroPride Lisboa 2025

18 June 2025

A Rede pela Diversidade e Inclusão LGBTI (REDI), criada por 24 empresas fundadoras, realizou ontem o seu ato de lançamento oficial em Portugal, numa apresentação pública que coincidiu com o EuroPride Lisboa 2025. O encontro, que decorreu no Auditório da Cuatrecasas, marc...

18 June 2025

Tecnologia

Série Ninebot E3 da Segway: uma gama de trotinetes elétricas que funde inovação e design e é perfeita para o dia a dia

18 June 2025

A Segway-Ninebot, marca líder mundial na venda de trotinetes elétricas, apresenta a nova série Ninebot E3: a inovadora gama de mobilidade urbana concebida para tornar as deslocações na cidade mais fáceis, seguras e elegantes. Graças ao seu design minimalista e futurista,...

18 June 2025

Tecnologia

OPPO licencia patentes essenciais para comunicações móveis nos veículos conectados do Grupo Volkswagen

9 June 2025

A OPPO, marca líder em dispositivos inteligentes, anunciou a assinatura de um acordo global de licenciamento de patentes com a Volkswagen Aktiengesellschaft (doravante designada como Volkswagen) para licenciar para o grupo o portefólio de patentes essenciais para comunic...

9 June 2025