5

Sei que tem vários posts aqui citando os prós/contras de teclados virtuais para evitar keyloggers, mas não vi nenhum que se aprofundou nesse ponto em específico:

Como funcionam aqueles teclados virtuais tipo de banco? Onde, ao invés de se digitar a senha, clica-se em uma combinação de números.

[(1, 4, 6), (2, 3, 5), (7, 8, 9), ...]

Qual a lógica para garantir mais segurança, obviamente além de não digitar a senha explicitamente? Se eu conseguisse capturar os cliques por x vezes, consigo deduzir a senha? Qual é a lógica para validar a senha e garantir a autenticação?

1 Resposta 1

7

Esses teclados geram os números em posições aleatórias, que vão ficar variando entre os acessos do usuário. Assim, mesmo que você consiga saber quais botões o usuário utilizou, você não tem certeza da senha correta.

Por exemplo, supondo uma senha fictícia como 021793. O teclado poderia exibir as seguintes opções:

inserir a descrição da imagem aqui

O usuário deverá utilizar os botões nessa ordem:

[0 ou 4], [2 ou 6], [1 ou 5], [7 ou 9], [7 ou 9], [3 ou 8]

Você já sabe que botões ele utilizou dessa vez, mas para adivinhar a senha na base da força bruta você tem um espaço de 26 = 64 combinações. Lembre-se de que o banco vai bloquear a senha após poucas tentativas com erro (a maioria dos bancos bloqueia com 3).

Da próxima vez que o usuário entrar no sistema, se você capturar os cliques de novo, terá um conjunto de 64 combinações diferentes para tentar.

Então, em tese, isso deixaria o sistema mais seguro pois ofuscaria a senha. Na prática isso é excelente para evitar que uma pessoa olhando por cima do seu ombro adivinhe a sua senha. Mas note que ao invés de tentar quebrar a senha na força bruta, um atacante poderia simplesmente fazer uma análise estatística dos botões utilizados.

Em outras palavras: ao acessar de novo a página do banco algum tempo depois, teremos outro teclado. Temos novamente 64 combinações, mas nem todas essas combinações são iguais às do conjunto anterior. Um atacante teria o espaço de adivinhação bastante reduzindo analisando somente as interseções.

Se pegarmos o teclado da foto e mudarmos:

  • A primeira tecla para [0 ou 6];
  • A terceira tecla para [2 ou 4];

Já saberemos no segundo acesso do cliente que o primeiro número da senha é 0, pois o primeiro número deve ser a interseção dos conjuntos {0, 4} e {0, 6}. O segundo número da senha também ficou mais fácil de adivinhar, pelo mesmo motivo.


Eu posso ter feito a adivinhação da senha parecer fácil, porém não é trivial capturar a tela do usuário. A página do banco tem seus mecanismos para evitar que você vigie os cliques. Além disso os bancos normalmente também pedem a instalação de extensões para o navegador e as vezes até programas externos para aumentar a segurança.

A única maneira de quebrar a segurança de uma senha dessas com exatidão é filmando o usuário com câmeras durante vários acessos diferentes. Talvez você consiga com uma câmera de segurança de escritório, caso os funcionários no escritório utilizem Internet Banking. Ou você poderia utilizar uma câmera com um zoom muito grande para filmar um vizinho enquanto ele acessa o banco. No entanto, esse tipo de ataque é tão elaborado que chega a ser cinematográfico.

Além disso, tudo o que você conseguiria seria ver o saldo do usuário. Todos os bancos que conheço ainda exigem outras formas de autenticação para permitir qualquer movimentação de conta.

2
  • Ótima resposta, parabens. 13/07/2017 às 15:46
  • Obrigado pela resposta! Estava curioso principalmente pela análise estatística em relação a captura do clique. Muito bem explicado. 13/07/2017 às 17:28

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .