Quão Seguro Está Seu Dado Criptografado Roubado?

É provável que alguns dos seus dados tenham sido roubados. Alguma vez usou o Yahoo? 3 bilhões de contas do Yahoo foram roubadas em 2013. Visitou um hotel Marriott? 500 milhões de contas do Marriott foram roubadas ao longo de quatro anos, de 2014 a 2018. Conseguiu manter o seu antigo endereço do Hotmail e o espírito adolescente rebelde? 360 milhões de contas do MySpace foram hackeadas. Usa o MyFitnessPal? 150 milhões de contas.

Então, o que exatamente os hackers conseguiram? Cada hack é diferente, mas eles quase definitivamente conseguiram seu endereço de e-mail, informações do usuário, registros de sua atividade no site e possivelmente coisas muito mais prejudiciais. Porém, há boas notícias: muitos dos dados mais sensíveis estavam provavelmente criptografados. Também há uma boa chance de que não estavam criptografados, mas vamos considerar o melhor cenário de roubo de dados: suas informações foram roubadas, mas as informações sensíveis estavam criptografadas com AES-256. Quão seguro é isso?

O que significa para dados serem criptografados?

“Criptografia” na segurança de dados moderna geralmente se refere à criptografia baseada em chave. Em resumo, você insere os dados que deseja criptografar e a chave (uma sequência de letras, números e/ou símbolos) que deseja usar para criptografá-los. A combinação dessas duas coisas cria uma bagunça confusa que só pode ser desfeita se a chave apropriada for utilizada. Não deve ser confundido com:

• Codificação: Usa o mesmo algoritmo para codificar e decodificar dados, sem chave necessária. Isso é como ASCII ou Unicode – completamente inseguro.
• Hashing: Processo de criptografia unidirecional que produz o mesmo resultado para entradas idênticas, mas deixa resultados muito diferentes se as entradas variarem um pouco. Isso é tipicamente usado para gerenciamento de senhas com um algoritmo como SHA-256 ou bcrypt.

Por exemplo:

| Criptografia (AES 256-bits, chave: Mellon) | ddg18josC+1ouYRjv5CfPoo
jKJV+y3OLtxjIeCUsL+A= | | Hashing (bcrypt, doze rodadas) | $2y$12$3O1EiCPdVrqZFllHJ/
.q9eZzsyzqdmLMluqlQKO1A
NtlYMva94.nS |

Os dois tipos principais de criptografia são simétrica e assimétrica. A criptografia simétrica pode ser descriptografada usando a mesma chave que foi usada para criptografá-la, enquanto a criptografia assimétrica requer uma chave (a chave pública) para criptografar e outra chave (a chave privada) para descriptografar. A maior parte da criptografia moderna é assimétrica, uma vez que ter apenas uma chave para todo um banco de dados de informações é muito inseguro.

Quão segura é a criptografia? Pode ser quebrada?

A resposta curta é sim: a criptografia pode ser quebrada. Uma abordagem de força bruta, que basicamente envolve fazer muitos e muitos palpites até que um se mostre certo, certamente encontraria a resposta correta, dado tempo e poder computacional suficientes. Com nossas capacidades atuais, a força bruta para AES-256 poderia levar até 3 sexdecilhões (3×10^51) de anos, e números similares poderiam ser atribuídos a muitos algoritmos de criptografia amplamente utilizados. No futuro, computadores quânticos e outros avanços poderiam diminuir significativamente a segurança da criptografia, mas, enquanto isso, é efetivamente impenetrável.

Mas isso não torna a criptografia infalível. Os atacantes estão bem cientes de que dados criptografados são inúteis sem chaves, então o que eles procuram? As chaves. A possível violação de dados mais catastrófica é aquela em que os dados criptografados e as chaves de descriptografia são roubadas. Se a segurança dos dados está sendo implementada corretamente, as chaves (múltiplas chaves para diferentes dados, provavelmente por usuário) estarão armazenadas de forma segura em um local separado dos dados e provavelmente também estarão criptografadas. Além disso, as chaves precisarão ser descriptografadas e recuperadas de forma segura toda vez que alguns dados precisarem ser descriptografados, para que os atacantes não consigam interceptá-las. Além de tudo isso, as chaves provavelmente deveriam ser trocadas regularmente.

Se o site de onde suas informações foram roubadas fez tudo isso, os atacantes provavelmente não conseguiram as chaves, e seus dados estão seguros até que o sol se apague ou inventemos computadores muito mais poderosos. Mas quais são as chances de que os sites realmente estejam fazendo isso, e quanto dos seus dados está criptografado mesmo em um cenário ideal?

Quem criptografa e o que está sendo criptografado?

Lembre-se da lista de violações de dados no início deste artigo? Vamos verificá-las novamente.

| Yahoo | 2013/2014 | 3 bilhões | – Senhas hasheadas (principalmente bcrypt, algumas MD5)
– Algumas perguntas de segurança | – Nomes
– Endereços de e-mail
– Números de telefone
– Datas de nascimento | | Marriott | 2014-2018 | 3-500 milhões | – 8,6 milhões de números de cartões de crédito
– 20,3 milhões de números de passaporte | – Nomes
– Endereços
– Datas de nascimento
– Gênero
– Dados do programa de fidelidade
– Informações sobre reservas
– 5,25 milhões de números de passaporte | | MySpace | 2016 | 400 milhões | Senhas (SHA-1, sem sal) | – Endereços de e-mail
– Nomes de usuário | | MyFitnessPal | 2018 | 150 milhões | Senhas (bcrypt, salgadas e SHA-1) | – Nomes de usuário
– Endereços de e-mail
– Senhas |

Esta lista poderia se estender muito, mas você entendeu a ideia: Basicamente, a única coisa que está sendo criptografada na maioria dos sites é sua senha (que na verdade está sendo hasheada) e informações de pagamento. A menos que seja um site que lide com muitas informações sensíveis ou que tenha uma preocupação com segurança elevada, sua violação de dados provavelmente expôs uma quantidade considerável das suas PII (Informações Pessoais Identificáveis). Isso ocorre principalmente porque criptografar e descriptografar coisas requer muito mais poder computacional, tempo, esforço e dinheiro do que apenas armazená-las em texto simples e serví-las diretamente a você.

Mesmo os dados criptografados nesses hacks nem sempre estavam seguros, porém. Yahoo e MyFitnessPal usaram bcrypt para suas senhas, que são um padrão de criptografia forte, mas também estavam usando MD-5 e SHA-1, respectivamente, principalmente para contas mais antigas. Esses são algoritmos de hashing bem mais fracos. MySpace optou por SHA-1 sem sal para tudo, o que faz sentido, mas também significa que sua senha provavelmente foi vazada. O Yahoo também não foi claro sobre se salgaram suas senhas em 2013 (provavelmente não fizeram), o que as torna bastante vulneráveis à quebra.

A Marriott até perdeu 5,25 milhões de números de passaporte em texto claro, o que é empurrado. Eles claramente sabiam que deveriam criptografá-los (20 milhões de outros estavam, afinal) mas deixaram passar 20% de seus clientes. Eles também criptografaram os números dos cartões de crédito: mas não têm certeza se os hackers conseguiram a chave ou não.

A moral da história: a maior parte dos seus dados não está criptografada, mesmo aqueles que você pensaria que realmente deveriam estar.

Mas meus dados estavam criptografados

Certo, então você estava usando um site com uma segurança fantástica que criptografou cada último pedaço de sua informação. Essas opções existem – muitos sites de armazenamento de arquivos (Dropbox, Google Drive) vão criptografar seus arquivos em seu banco de dados, por exemplo. Se esse for o caso, então, desde que o armazenamento de chaves deles seja forte e seus especialistas em segurança tenham feito um bom trabalho trabalhando com os desenvolvedores, as chances são boas de que seus dados permanecerão intocados até a morte térmica do universo.

O cenário mais provável, porém, é que muitos de seus dados estavam não criptografados, e mesmo as informações sensíveis podem ter sido mal hasheadas ou criptografadas com a chave em algum lugar do banco de dados ou no sistema de arquivos. Não há muito que você possa fazer sobre isso, uma vez que precisa fornecer seus dados para as empresas usarem seus serviços, mas pode tentar manter isso ao mínimo – e não reutilize senhas!

E não se esqueça de verificar o HaveIBeenPwned para ver se seus dados apareceram em alguma violação.

Créditos da imagem: Chaves de criptografia de chave pública, Violação de segurança de dados, Criptografia de chave pública azul laranja