Microsoft e provedores de nuvem passam a proibir a autenticação básica

A Microsoft e os principais provedores de nuvem estão começando a tomar medidas para levar seus clientes empresariais a formas mais seguras de autenticação e à eliminação de pontos fracos básicos de segurança – como o uso de nomes de usuário e senhas em canais não criptografados para acessar serviços em nuvem.

A Microsoft, por exemplo, removerá a capacidade de usar autenticação básica para seu serviço Exchange Online a partir de 1º de outubro, exigindo que seus clientes usem autenticação baseada em token. Enquanto isso, o Google inscreveu automaticamente 150 milhões de pessoas em seu processo de verificação em duas etapas, e o provedor de nuvem on-line Rackspace planeja desativar os protocolos de e-mail em texto simples até o final do ano.

Os prazos são um alerta para as empresas de que os esforços para proteger o seu acesso aos serviços em nuvem não podem mais ser adiados, diz Pieter Arntz, pesquisador de inteligência de malware da Malwarebytes, que escreveu uma postagem recente no blog destacando o próximo prazo para usuários do Microsoft Exchange Online.

“Acho que o equilíbrio está mudando a ponto de eles sentirem que podem convencer os usuários de que a segurança extra é do seu interesse, ao mesmo tempo em que tentam oferecer soluções que ainda sejam relativamente fáceis de usar”, diz ele. “A Microsoft costuma ser criadora de tendências e anunciou esses planos há anos, mas ainda encontraremos organizações dispersas e lutando para tomar as medidas apropriadas.”

Violações relacionadas à identidade estão aumentando

Embora algumas empresas preocupadas com a segurança tenham tomado a iniciativa de proteger o acesso aos serviços em nuvem, outras precisam ser estimuladas – algo que os provedores de nuvem, como a Microsoft, estão cada vez mais dispostos a fazer isso, especialmente à medida que as empresas lutam com mais violações relacionadas à identidade. Em 2022, 84% das empresas sofreram violação de identidade, contra 79% nos dois anos anteriores, de acordo com o Aliança de Segurança Definida por Identidadedo relatório “Tendências para 2022 na proteção de identidades digitais”.

Desativar formas básicas de autenticação é uma maneira simples de bloquear invasores, que usam cada vez mais o preenchimento de credenciais e outras tentativas de acesso em massa como primeiro passo para comprometer as vítimas. As empresas com autenticação fraca ficam expostas a ataques de força bruta, abuso de senhas reutilizadas, credenciais roubadas por meio de phishing e sessões sequestradas.

E depois que os invasores obtiverem acesso aos serviços de e-mail corporativo, eles poderão exfiltrar informações confidenciais ou realizar ataques prejudiciais, como comprometimento de e-mail comercial (BEC) e ataques de ransomware, diz Igal Gofman, chefe de pesquisa da Ermetic, fornecedora de segurança de identidade para nuvem. Serviços.

“O uso de protocolos de autenticação fracos, especialmente na nuvem, pode ser muito perigoso e levar a grandes vazamentos de dados”, afirma. “Os estados-nação e os cibercriminosos abusam constantemente de protocolos de autenticação fracos, executando uma variedade de diferentes ataques de força bruta contra serviços em nuvem.”

Os benefícios de reforçar a segurança da autenticação podem trazer benefícios imediatos. O Google descobriu que inscrever automaticamente pessoas em seu processo de verificação em duas etapas resultou em uma redução de 50% nos comprometimentos da conta. Uma parcela significativa das empresas que sofreram uma violação (43%) acredita que ter autenticação multifatorial poderia ter impedido os invasores, de acordo com o relatório “2022 Trends in Securing Digital Identities” da IDSA.

Aproximando-se de arquiteturas de confiança zero

Além disso, nuvem e iniciativas de confiança zero impulsionaram a busca por identidades mais seguras, com mais da metade das empresas investindo em segurança de identidade como parte dessas iniciativas, de acordo com o Grupo de Trabalho Técnico da IDSA, em um e-mail para Dark Reading.

Para muitas empresas, o afastamento dos mecanismos de autenticação simples que dependem apenas das credenciais do usuário foi estimulado por ransomware e outras ameaças, que fizeram com que as empresas procurassem minimizar sua área de superfície de ataque e fortalecer as defesas sempre que possível, disse o Technical Working da IDSA. Grupo escreveu.

“À medida que a maioria das empresas acelera suas iniciativas de confiança zero, elas também estão implementando uma autenticação mais forte sempre que possível – embora seja surpreendente que ainda existam algumas empresas lutando com os princípios básicos, ou [que] ainda não adotaram a confiança zero, deixando-os expostos”, escreveram os pesquisadores.

Obstáculos para identidades seguras permanecem

Todos os principais provedores de nuvem oferecem autenticação multifatorial em canais seguros e usando tokens seguros, como OAuth 2.0. Embora ativar o recurso possa ser simples, gerenciar o acesso seguro pode levar a um aumento no trabalho do departamento de TI – algo para o qual as empresas precisam estar preparadas, diz Arntz, da Malwarebytes.

As empresas “às vezes falham quando se trata de gerenciar quem tem acesso ao serviço e quais permissões são necessárias”, diz ele. “É a quantidade extra de trabalho da equipe de TI que vem com um nível de autenticação mais alto – esse é o gargalo.”

Pesquisadores do Grupo de Trabalho Técnico da IDSA explicaram que a infraestrutura legada também é um obstáculo.  

“Embora a Microsoft esteja no processo de avançar seus protocolos de autenticação há algum tempo, o desafio da migração e da compatibilidade com versões anteriores de aplicativos, protocolos e dispositivos legados atrasou sua adoção”, observaram. “É uma boa notícia que o fim da autenticação básica esteja próximo.”

Os serviços centrados no consumidor também demoram a adotar abordagens mais seguras à autenticação. Embora a mudança do Google tenha melhorado a segurança para muitos consumidores e a Apple tenha habilitado a autenticação de dois fatores para mais de 95% de seus usuários, na maioria dos casos os consumidores continuam a usar a autenticação multifator apenas para alguns serviços.

Embora quase dois terços das empresas (64%) tenham identificado iniciativas para proteger identidades digitais como uma das suas três principais prioridades em 2022, apenas 12% das organizações implementaram a autenticação multifator para os seus utilizadores, de acordo com o relatório da IDSA. No entanto, as empresas procuram oferecer esta opção, com 29% dos fornecedores de cloud focados no consumidor a implementarem atualmente uma melhor autenticação e 21% a planearem fazê-lo para o futuro.