Breve Resumo
Este vídeo apresenta uma visão geral da FIDO Alliance e do protocolo FIDO para autenticação online segura e fácil de usar. Ele aborda os problemas com as senhas tradicionais, como vulnerabilidades de segurança e má experiência do usuário, e explica como o FIDO oferece uma alternativa mais segura e conveniente.
- A FIDO Alliance foi fundada em 2012 para resolver os problemas de segurança e usabilidade associados às senhas.
- O protocolo FIDO utiliza criptografia de chave pública para autenticação, eliminando a necessidade de senhas armazenadas em servidores.
- O FIDO oferece maior segurança, privacidade e usabilidade em comparação com os métodos de autenticação tradicionais.
Introdução [1:37]
Marcelo Lange da Coppetec e Gabriel apresentam o webinar sobre a FIDO Alliance. Eles explicam que a Coppetec é um dos principais parceiros da FIDO na América Latina e que utilizam os protocolos FIDO em suas soluções de CRM e IA para verificação de senha e autenticação multifator (MFA). A Coppetec oferece uma plataforma de gerenciamento de identidade e acesso (IAM) que se posiciona entre o usuário e a aplicação, garantindo segurança, privacidade e usabilidade.
O que é a FIDO Alliance? [5:56]
A FIDO Alliance foi fundada em 2012 pela Google e Samsung, preocupadas com a interoperabilidade e segurança do acesso biométrico. Atualmente, possui mais de 250 membros, incluindo grandes empresas como Microsoft, Lenovo e grandes bancos. A FIDO Alliance visa criar padrões abertos para autenticação forte, reduzindo a dependência de senhas.
Problemas com Senhas [7:31]
O uso de senhas apresenta diversos problemas tanto para usuários quanto para empresas. Usuários precisam lembrar de várias senhas para diferentes aplicativos e serviços, o que leva à reutilização de senhas e senhas fracas. Empresas perdem receita devido a vazamentos de dados e abandono de carrinhos de compra causados por problemas com senhas. A LGPD no Brasil e a GDPR na Europa exigem maior proteção de dados, e empresas podem ser multadas por não protegerem adequadamente as informações dos usuários.
Como a FIDO Soluciona os Problemas [10:09]
A FIDO utiliza um sistema de chave pública e chave privada para autenticação. A chave pública é armazenada na infraestrutura da empresa, enquanto a chave privada é armazenada no dispositivo do usuário e desbloqueada por biometria ou PIN. Isso torna a autenticação mais segura e simples, equilibrando segurança e usabilidade. A FIDO possui um programa de certificações para garantir a conformidade e interoperabilidade de produtos e serviços.
Implementações e Áreas de Trabalho da FIDO [13:39]
A FIDO Alliance possui algumas áreas de trabalho, incluindo uma focada na autenticação de identidade e outra na Internet das Coisas (IoT). A Google, Microsoft e Yahoo já implementaram o FIDO2 em suas ferramentas. A FIDO está constantemente inovando e desenvolvendo novas tecnologias para melhorar a autenticação.
Futuro da FIDO [15:06]
O trabalho da FIDO está baseado em quatro pilares: suporte de empresas, inovação constante, participação de provedores de mercado e milhões de identidades habilitadas. O objetivo é simplificar a autenticação para os usuários e garantir a segurança das informações.
Autenticação Padrão vs. FIDO [16:24]
A autenticação padrão na nuvem envolve um usuário com um dispositivo (navegador ou móvel) acessando servidores com aplicações e dados. O problema é que as senhas são armazenadas no servidor e podem ser roubadas. Além disso, sites falsificados podem enganar os usuários a digitarem suas senhas, comprometendo a segurança. O uso excessivo de senhas leva a esquecimento e reutilização, aumentando os riscos.
Como a FIDO Resolve os Problemas Técnicos [21:02]
A FIDO separa a autenticação em dois passos: verificação do usuário localmente no dispositivo e verificação da autenticação pelo servidor. No primeiro acesso, o usuário cadastra sua senha no dispositivo, gerando um par de chaves pública e privada. A chave privada fica armazenada no dispositivo, e a chave pública é enviada para o servidor. Na autenticação, o servidor envia um desafio, que é assinado com a chave privada e verificado com a chave pública.
Chaves e Identidade [23:14]
Cada chave é dedicada a uma conta ou aplicação, eliminando o risco de perda de uma chave pública comprometer outras contas. A FIDO não exige que o servidor saiba a identidade do usuário, focando na autenticação. A associação de identidade está sendo trabalhada para complementar a autenticação.
Segurança e Metadados [25:58]
A FIDO utiliza um módulo seguro dentro do dispositivo para armazenar as chaves. O servidor pode verificar informações genéricas sobre o dispositivo para implementar políticas de segurança. A FIDO também fornece metadados sobre os autenticadores, permitindo identificar o modelo e características do dispositivo.
Eventos de Autenticação [29:16]
A FIDO permite guardar diversas informações sobre os eventos de autenticação para auditoria e segurança. É possível saber quando e onde a autenticação foi realizada.
Tipos de Autenticadores [29:51]
Existem dois tipos de autenticadores FIDO: embutidos (no celular ou notebook) e externos (tokens USB). O usuário pode escolher diferentes métodos de verificação, como biometria ou PIN.
Componentes da Arquitetura FIDO [31:33]
A arquitetura FIDO inclui um servidor de aplicação, um servidor FIDO (que implementa o protocolo), um cliente FIDO (no navegador ou aplicativo móvel) e um autenticador. A aplicação se comunica com o cliente FIDO, que interage com o autenticador.
Protocolos FIDO [33:42]
A FIDO Alliance especifica os protocolos FIDO, incluindo o UAF (descontinuado), o U2F (para autenticação de segundo fator) e o FIDO2 (que engloba CTAP e WebAuthn). O WebAuthn é um padrão web para autenticação forte, suportado pelos principais navegadores.
WebAuthn e CTAP [35:17]
O WebAuthn é um protocolo universal para autenticação, enquanto o CTAP é usado para comunicação com autenticadores externos. O FIDO2 é mais utilizado em dispositivos móveis com autenticadores integrados.
Registro FIDO [38:38]
O processo de registro FIDO envolve um pedido do cliente ao servidor, que envia informações de identificação da conta e um desafio. O cliente decide qual autenticador usar, agrega informações de segurança e passa para o autenticador, que gera a chave pública e privada. A credencial é enviada ao servidor, que armazena a chave pública.
Autenticação FIDO [41:03]
O processo de autenticação é semelhante ao registro. O cliente faz um pedido ao servidor, que envia um desafio. O cliente usa o autenticador para assinar o desafio com a chave privada e envia a resposta ao servidor, que verifica a assinatura com a chave pública.
Conveniência e Segurança [42:22]
A FIDO oferece conveniência e segurança. Ao contrário das senhas, o usuário não precisa lembrar de várias senhas e pode usar o mesmo método de autenticação em vários serviços. A FIDO garante interoperabilidade, permitindo que novos métodos de autenticação sejam implementados facilmente.
Privacidade e Federação [44:30]
As chaves públicas são armazenadas no servidor, eliminando o risco de vazamento de informações confidenciais. Cada chave é associada a um risco, tornando difícil falsificar mensagens. A FIDO permite implementar políticas de segurança de acordo com os critérios da empresa.
Conclusões [45:54]
A FIDO oferece uma solução de autenticação mais segura e conveniente do que as senhas tradicionais. Ela separa a verificação do usuário da autenticação, suporta diversos tipos de verificação e oferece um alto nível de abstração para a aplicação.
Demonstração [50:15]
Uma demonstração de uma aplicação móvel mostra como o usuário pode iniciar o processo de autenticação e escolher entre diferentes autenticadores, como biometria ou token USB.
Perguntas e Respostas [52:51]
Durante a sessão de perguntas e respostas, foram abordadas questões sobre a geração e gestão das chaves pública e privada, o suporte para a Apple e a instalação de autenticadores em dispositivos Android. A geração de chaves é feita pelo autenticador, e a Apple está implementando suporte para FIDO em seus dispositivos. Dispositivos Android certificados já vêm com autenticadores integrados.
