O problema fundamental da autenticação por senha

Na autenticação tradicional por senha, o cliente envia a senha, ou um resumo dela, ao servidor, que a compara com um valor armazenado. Esse modelo é simples, mas concentra um risco enorme no servidor: o comprometimento do banco de dados expõe simultaneamente as credenciais de todos os usuários.

Quando um invasor viola um servidor e rouba o banco de dados de senhas, ele pode realizar um ataque de dicionário off-line à velocidade total da GPU, sem limitação de taxa. GPUs modernas podem testar bilhões de tentativas de senha por segundo contra valores gerados por bcrypt ou SHA-256, tornando trivial a recuperação de senhas fracas ou comuns.

Estudos mostram consistentemente que a maioria dos usuários reutiliza senhas em vários sites. Assim, um único comprometimento de servidor vaza credenciais que funcionam em outros serviços. Ataques de preenchimento de credenciais automatizam o teste de pares de nomes de usuário e senha vazados contra sites populares, transformando uma violação em muitas.

O fortalecimento de senhas no lado do servidor (resumos criptográficos robustos, uso de sal e limitação de taxa) não oferece proteção contra fraudes por sites falsos. Quando um usuário insere sua senha em um site falso, o atacante obtém diretamente a senha em texto simples, independentemente de quão bem o servidor legítimo a armazene. Atualmente, as fraudes por sites falsos são o principal vetor de roubo de credenciais.

Bancos de dados com bilhões de pares de nomes de usuário e senhas vazados em violações históricas estão disponíveis publicamente na web obscura. Os atacantes usam ferramentas automatizadas para testar essas credenciais contra instituições financeiras, sites de comércio eletrônico e provedores de e-mail em escala industrial, obtendo sucesso sempre que os usuários reutilizaram uma senha comprometida anteriormente.

Na autenticação tradicional por senha, o servidor necessariamente toma conhecimento da senha do usuário em texto simples durante o processo de acesso (mesmo que apenas por um breve período, antes de aplicar o resumo criptográfico). Isso significa que todo operador de servidor precisa ser plenamente confiável para não fazer uso indevido das credenciais, registrá-las ou expô-las acidentalmente, algo que raramente é garantido na prática.

Um protocolo de autenticação ideal permitiria que um usuário provasse conhecer sua senha sem jamais revelá-la ao servidor. O servidor também provaria que é o servidor legítimo (autenticação mútua), impedindo fraudes por sites falsos. Um banco de dados de servidor comprometido não revelaria nada útil a um atacante.

As provas de conhecimento zero oferecem uma estrutura teórica para isso: um provador pode convencer um verificador da validade de um segredo sem revelar o próprio segredo. Protocolos de autenticação por senha, como SRP e OPAQUE, aplicam esses princípios para obter autenticação sem transmissão direta da senha nem armazenamento da senha no servidor.

Protocolos robustos de autenticação por senha devem resistir a ataques de dicionário off-line mesmo que os dados armazenados no servidor sejam completamente comprometidos. Isso significa que o verificador armazenado não pode ser usado diretamente para personificar o usuário nem permitir tentativas eficientes de descobrir a senha off-line sem a cooperação do servidor.

Com centenas de serviços exigindo autenticação, o modelo tradicional exige confiar a cada operador de serviço um segredo que pode ser reutilizado em outros lugares. A solução é eliminar completamente a transmissão de senhas, armazenar apenas verificadores não reutilizáveis e vincular a autenticação à identidade específica do servidor para impedir fraudes por sites falsos.

As soluções modernas incluem SRP (Senha Remota Segura), OPAQUE e FIDO2/chaves de acesso. Cada uma aborda diferentes aspectos do problema fundamental. SRP e OPAQUE eliminam o conhecimento da senha pelo servidor. FIDO2/chaves de acesso eliminam completamente as senhas ao usar criptografia de chave pública vinculada à origem específica.

Qual ataque NOT é impedido por um resumo criptográfico robusto de senhas no lado do servidor (por exemplo, bcrypt)?

A autenticação tradicional por senha exige que os servidores verifiquem segredos que conhecem, permite a quebra off-line após violações e é derrotada por fraudes em sites falsos. A reutilização de senhas transforma violações individuais em falhas sistêmicas. O sistema ideal oferece autenticação mútua sem transmissão de segredos, armazena apenas verificadores que não podem ser quebrados e vincula a autenticação à identidade do servidor.