Suíça cria autenticação de dois fatores usando ruído de fundo

Uma equipe de especialistas em segurança de computadores da Escola Superior Suíça de Zurique criou um novo método de autenticação de dois fatores para o usuário que não exige nenhuma ação deste último. O método, chamado Prova de som , baseia-se na gravação e comparação de ruído de fundo na sala em que o usuário está localizado.

A autenticação de dois fatores é uma maneira comum e eficaz de aumentar a segurança do usuário. Se, com a autenticação de um fator, for suficiente saber apenas o login e a senha do usuário para fazer login em sua conta em qualquer serviço da Web, a autenticação de dois fatores usará um canal de comunicação adicional com o usuário para garantir que a senha não foi recebida pelo invasor.

Na maioria das vezes, o segundo canal é uma mensagem SMS com um código secreto único. Como resultado, se um invasor quiser fingir ser outro, ele terá que não apenas se apossar da senha usual, mas também obter acesso ao telefone da vítima (fisicamente ou com a ajuda de qualquer programa Trojan).

Mas tudo tem prós e contras. A desvantagem dessa abordagem é a necessidade de gestos adicionais para o usuário. Você precisa desbloquear o telefone, ler SMS e inserir corretamente o código recebido no formulário do navegador, excluir a mensagem do telefone. Maior segurança, como costuma acontecer, é fornecida devido a inconveniências.

Como você sabe, a preguiça está impulsionando o progresso - portanto, os suíços têm uma maneira de salvar o usuário de problemas desnecessários. Para fazer isso, ele só precisa instalar o aplicativo certo em seu smartphone uma vez e ter um microfone em seu computador (geralmente é incorporado aos laptops).

Quando você tenta inserir um recurso que suporta esse método de autenticação, o recurso envia um comando ao aplicativo e, em três segundos, registra o ruído de fundo no local em que o usuário estava. O microfone do computador faz o mesmo. Então os ruídos são verificados. Se o programa do servidor confirmar a identidade dos registros, o usuário efetuará login com êxito em sua conta.

E aqui, é claro, há dificuldades. Por exemplo, os microfones em um smartphone e computador podem variar bastante em qualidade. O computador de mesa pode não ter microfone. Um invasor pode fazer login na conta de outra pessoa enquanto estiver na mesma sala que o usuário (isso é especialmente importante para interceptar dados de Wi-Fi em um café). Ou ele pode ligar a mesma estação de rádio ou canal de televisão que o usuário.

Além disso, a carga no servidor aumenta e a privacidade do usuário diminui - embora os desenvolvedores afirmem que a gravação leva apenas 3 segundos, e não um arquivo de áudio é enviado ao servidor, mas uma assinatura digital criada com base nele. Mas quem irá verificar isso?

A simplificação de tal tecnologia vem à mente. E se o aplicativo não precisar registrar ruído e criar uma assinatura digital usando algoritmos complexos? De fato, em vez disso, ele pode receber um conjunto de números do servidor e transmiti-los na forma de sinais de áudio usando seu alto-falante para o microfone de um computador que descriptografa o sinal e compara esses números com o servidor - ou seja, organiza algo como um modem primitivo.

Source: https://habr.com/ru/post/pt382901/