A proteção por senha é uma técnica de controle de acesso eficiente que todos nós usamos diariamente. Provavelmente continuará sendo um pilar importante da segurança cibernética nos próximos anos.
Os cibercriminosos, por outro lado, empregam métodos diferentes para quebrar senhas e obter acesso não autorizado. Isso inclui ataques de tabela de arco-íris. Mas o que são ataques de mesa arco-íris e quão perigosos eles são? Mais importante, o que você pode fazer para se proteger contra eles?
Como as senhas são armazenadas?
Nenhuma plataforma ou aplicativo que leve a segurança a sério armazena senhas em texto simples. Isso significa que se sua senha for "password123" (e absolutamente não deveria ser, por razões óbvias), ela não será armazenada como tal, mas sim como uma combinação de letras e números.
Esse processo de conversão de texto simples em uma combinação aparentemente aleatória de caracteres é chamado de hashing de senha. E
as senhas são hash com a ajuda de algoritmos, programas automatizados que usam fórmulas matemáticas para randomizar e obscurecer o texto simples. Alguns dos algoritmos de hashing mais conhecidos são: MD5, SHA, Whirlpool, BCrypt e PBKDF2.Portanto, se você pegar a senha "password123" e executá-la no Algoritmo MD5, isto é o que você obtém: 482c811da5d5b4bc6d497ffa98491e38. Essa sequência de caracteres é a versão com hash de "password123" e o formato no qual sua senha seria armazenada online.
Então, digamos que você esteja fazendo login em sua conta de e-mail. Você digita seu nome de usuário ou endereço de e-mail e, em seguida, a senha. O provedor de e-mail converte automaticamente o texto simples que você inseriu em seu valor de hash e o compara com o valor de hash que foi armazenado inicialmente quando você configurou sua senha pela primeira vez. Se os valores corresponderem, você será autenticado e terá acesso à sua conta.
Como se desenrolaria um típico ataque de mesa arco-íris, então? O agente da ameaça primeiro teria que obter hashes de senha. Para fazer isso, eles realizariam algum tipo de ataque cibernético ou encontrariam uma maneira de burlar a estrutura de segurança de uma organização. Ou eles comprariam um depósito de hashes roubados na dark web.
Como funcionam os ataques Rainbow Table
A próxima etapa seria converter os hashes em texto simples. Obviamente, em um ataque de tabela arco-íris, o invasor faria isso usando uma tabela arco-íris.
As tabelas Rainbow foram inventadas pelo especialista em TI Philippe Oechslin, cujo trabalho foi baseado na pesquisa do criptólogo e matemático Martin Hellman. Com o nome das cores que representam diferentes funções dentro de uma tabela, as Rainbow Tables reduzem o tempo necessário para converter um hash em texto simples, permitindo assim que o cibercriminoso realize o ataque mais eficientemente.
Em um comum ataque de força bruta, por exemplo, o agente da ameaça precisaria decodificar cada senha com hash separadamente, calcular milhares de combinações de palavras e depois compará-las. Esse método de tentativa e erro ainda funciona e provavelmente sempre funcionará, mas requer muito tempo e um tremendo poder computacional. Mas em um ataque de tabela arco-íris, um invasor precisaria apenas executar um hash de senha obtido por meio de um banco de dados de hashes e, em seguida, dividi-lo e reduzi-lo repetidamente, até que o texto simples fosse revelado.
Em poucas palavras, é assim que os ataques Rainbow Table funcionam. Depois de quebrar uma senha, um agente de ameaça tem inúmeras opções de como proceder. Eles podem atingir suas vítimas de várias maneiras, obtendo acesso não autorizado a todos os tipos de dados confidenciais, incluindo informações relacionadas a panificação online e outros.
Como se proteger contra ataques Rainbow Table
Os ataques Rainbow Table não são tão comuns quanto antes, mas ainda representam uma ameaça significativa para organizações de todos os tamanhos e também para indivíduos. Felizmente, existem maneiras de se proteger contra eles. Aqui estão cinco coisas que você pode fazer para evitar um ataque de mesa arco-íris.
1. Configurar senhas complexas
Usar senhas longas e complexas é uma necessidade absoluta. Uma boa senha deve ser única e incluir letras maiúsculas e minúsculas, números e caracteres especiais. A maioria das plataformas e aplicativos atualmente exige que os usuários façam isso de qualquer maneira, portanto, certifique-se de criar uma senha inquebrável que você não vai esquecer.
2. Usar autenticação multifator
A autenticação multifator (MFA) é um mecanismo de segurança simples, mas poderoso, que torna inútil a maioria dos ataques de senha. Com o MFA configurado, você não pode acessar uma conta usando apenas seu nome de usuário e senha. Em vez disso, você precisa fornecer uma prova adicional de sua identidade. Isso pode variar desde confirmar seu número de telefone e inserir um PIN temporário até verificar sua impressão digital e responder a uma pergunta de segurança pessoal.
3. Diversifique suas senhas
Se você usa a mesma senha em todos os lugares, apenas uma violação é suficiente para comprometer todas as suas contas, não importa quão boa seja essa senha. É por isso que é importante usar uma senha diferente para cada conta. Se ficar sem senha é uma opção, considere isso também: se você não estiver usando uma senha, não poderá ser vítima de um ataque Rainbow Table ou de qualquer outro ataque baseado em senha.
4. Evite algoritmos de hashing fracos
Alguns algoritmos de hash, como o MD5, são fracos, o que os torna um alvo fácil. As organizações devem seguir algoritmos de última geração, como SHA-256, que é tão seguro que é usado por agências governamentais nos Estados Unidos, Austrália e outros lugares. Como pessoa comum, você deve tentar evitar plataformas e aplicativos que usam tecnologia desatualizada.
5. Utilize Salting de Senha
O hash de senha é uma medida de segurança excelente e necessária, mas e se você e outra pessoa estiverem usando a mesma senha? Suas versões com hash também seriam idênticas. É aqui que entra um processo chamado salga. Salgar senha basicamente se resume a adicionar caracteres aleatórios a cada senha com hash, tornando-a completamente única. Essa dica também se aplica a organizações e indivíduos.
Entenda a segurança da senha para se manter seguro
A segurança da senha como tal é fundamental quando se trata de impedir o acesso não autorizado e diferentes tipos de ataques cibernéticos. Mas envolve mais do que apenas criar uma frase única e fácil de lembrar.
Para aumentar sua segurança cibernética geral, você precisa entender como a proteção por senha realmente funciona e, em seguida, tomar medidas para proteger suas contas. Isso pode ser um pouco complicado para alguns, mas usar métodos de autenticação confiáveis e um gerenciador de senhas pode fazer uma grande diferença.