Implementação sem senha em um dos maiores bancos do mundo com o RSA ID Plus
Um dos maiores bancos do mundo escolheu RSA ID Plus para estabelecer as bases para um futuro totalmente sem senhas — eliminando as vulnerabilidades relacionadas ao uso de senhas entre funcionários internos, prestadores de serviços e clientes de alto valor. A abordagem do banco, os autenticadores escolhidos e os requisitos da implantação estão documentados no estudo de caso completo.
Continue lendo para conhecer as principais questões que definem qualquer iniciativa bancária em grande escala sem senha, uma estrutura de implementação baseada na forma como implantações como essa realmente ocorrem, ou baixe o estudo de caso completo.
O FIDO2 é o padrão aberto que possibilita o login sem senha e resistente a phishing. Quando um usuário registra um dispositivo FIDO2, é gerado um par exclusivo de chaves criptográficas: a chave privada nunca sai do dispositivo, e a chave pública é registrada no aplicativo. No momento do login, o dispositivo assina um desafio que está criptograficamente vinculado ao site legítimo — portanto, mesmo que um usuário seja induzido a interagir com uma página fraudulenta, a resposta de autenticação não poderá ser utilizada nesse site.
As chaves de acesso vinculadas a dispositivos ampliam ainda mais essa proteção: a credencial está vinculada a um único dispositivo físico e não pode ser exportada nem clonada. Para ambientes bancários, nos quais ameaças internas e o compartilhamento de dispositivos são preocupações reais, esse nível de vinculação oferece a maior garantia disponível. O envolvimento de longa data da RSA na Aliança FIDO coloca isso no centro do processo de desenvolvimento e implementação dessas normas.
A base de usuários de um banco não é homogênea. Funcionários internos, prestadores de serviços, clientes de alto patrimônio líquido e profissionais em mobilidade apresentam diferentes níveis de acesso a dispositivos, requisitos de segurança e tolerância a dificuldades. Uma implantação sem senha que funcione para operadores em estações de trabalho fixas, mas falhe para prestadores de serviços em dispositivos compartilhados ou para clientes em dispositivos móveis, não é uma solução completa.
RSA ID Plus aborda essa questão ao oferecer suporte a toda a gama de métodos sem senha e MFA resistente a phishing métodos — chaves de segurança de hardware, senhas móveis vinculadas a dispositivos e tokens de hardware — em ambientes de nuvem, híbridos e locais. Failover híbrido garante que a autenticação continue disponível mesmo quando a conectividade for interrompida, um requisito essencial para as operações de serviços financeiros.
Implantações em grande escala sem senha não acontecem da noite para o dia. Para um banco com dezenas de milhares de usuários em vários sistemas e regiões geográficas, a transição do acesso baseado em senha para uma autenticação totalmente resistente a phishing é um programa que se desenvolve em várias fases. Veja a seguir como as implantações dessa magnitude geralmente se desenvolvem.
Fase 1. Avaliação e planejamento
Antes de implantar qualquer tecnologia, as equipes de identidade e segurança do banco mapeiam todos os grupos de usuários, sistemas e casos de uso de autenticação. Isso significa identificar quais usuários precisam de chaves de hardware em vez de chaves de acesso móveis, quais sistemas legados exigem soluções de ponte e qual é o plano de reversão caso um método falhe em um determinado ambiente. O planejamento nessa fase evita as lacunas que surgem no meio da implantação e forçam retrabalhos onerosos.
Fase 2. Implantação piloto
Um subconjunto definido de usuários — normalmente uma única unidade de negócios ou um grupo piloto multifuncional — implementa os novos autenticadores em um ambiente controlado. O objetivo não é apenas a validação técnica, mas também a validação do fluxo de trabalho: a experiência de autenticação se adapta à forma como esses usuários realmente operam? Problemas relacionados ao provisionamento, aos processos de suporte técnico e à comunicação com os usuários são muito mais baratos de resolver em um projeto piloto do que em escala real.
Fase 3. Implantação em grande escala por etapas
A implantação ocorre departamento por departamento ou função por função, priorizando primeiro os grupos de usuários de maior risco — contas com acesso privilegiado, equipe da sala de operações e usuários de sistemas de conformidade. Cada etapa incorpora as lições aprendidas na anterior. Para o banco do estudo de caso, a RSA Professional Services prestou suporte no local durante toda essa fase, garantindo que a implantação ocorresse conforme o planejado em cada etapa.
A maioria dos bancos realiza a transição em fases, começando pelas populações de usuários de maior risco — usuários privilegiados, equipe da sala de operações, usuários do sistema de conformidade — antes de expandir para o restante da força de trabalho e, por fim, para os clientes. A transição não exige a substituição da autenticação multifatorial (MFA) em todos os lugares de uma só vez: RSA ID Plus suporta simultaneamente tanto a autenticação multifatorial (MFA) quanto métodos sem senha, de modo que os bancos possam seguir seu próprio cronograma sem interromper o acesso durante a migração.
As chaves de acesso vinculadas a dispositivos associam as credenciais de autenticação a um dispositivo físico específico, o que significa que elas não podem ser exportadas, compartilhadas ou utilizadas a partir de qualquer outro dispositivo — mesmo que um invasor consiga acessar as credenciais da conta do usuário. Para serviços financeiros Em ambientes em que o roubo de credenciais é o principal vetor de ataque, essa vinculação elimina a categoria de risco que os métodos tradicionais de MFA deixam exposta.
RSA ID Plus oferece suporte a vários tipos de autenticadores sem senha — incluindo chaves de segurança de hardware para usuários que trabalham em estações de trabalho e chaves de acesso móveis vinculadas a dispositivos para usuários que utilizam smartphones — para que cada grupo de usuários tenha um método que se adapte à sua forma de trabalhar. Isso é particularmente importante no setor bancário, onde operadores, funcionários de agências, prestadores de serviços e clientes têm ambientes de autenticação distintos que um único método não consegue atender de maneira uniforme.
Para um banco que atende a dezenas de milhares de usuários e atua em várias regiões geográficas, a implantação completa de um sistema sem senha costuma ser um programa com duração de 18 a 24 meses, quando planejado em fases. O cronograma depende fortemente da complexidade da infraestrutura de identidade existente, do número de grupos distintos de usuários e do grau de integração necessário com os sistemas legados. O estudo de caso detalha a abordagem e o cronograma que esse banco específico está seguindo.
O FIDO2 utiliza criptografia de chave pública para vincular a autenticação a um dispositivo e aplicativo específicos registrados, o que significa que a resposta de autenticação não pode ser reproduzida em um site fraudulento — tornando o phishing tecnicamente ineficaz, e não apenas mais difícil. Bancos que lidam com transações de alto valor e dados confidenciais de clientes exigem esse nível de garantia criptográfica; métodos mais antigos de MFA baseados em segredos compartilhados não podem oferecê-la, independentemente da complexidade desses segredos.
A RSA oferece três opções de autenticadores resistentes a phishing, adequadas a diferentes grupos de usuários bancários: o Série iShield Key 2 chave de hardware (FIDO2 + certificada pela FIPS 140-3, para ambientes que exigem o mais alto nível de segurança), a senha vinculada ao dispositivo do aplicativo RSA Authenticator (para usuários que priorizam dispositivos móveis) e o Token de hardware DS100 (compatível tanto com o método FIDO2 sem senha quanto com OTP para ambientes que exigem um plano de contingência).
O estudo de caso detalha quais autenticadores esse banco escolheu e por quê.
Incluído