Alguns exchanges, para facilitar a experiência do usuário, permitem que as pessoas cancelem operações complicadas em alguns cenários de pagamento, cancelando a entrada da senha do Google Authenticator.

Aprender com o GPT, por que todos devem ativar o Google Authenticator, por que deve ser instalado em um telefone separado que não esteja conectado à internet, qual é o princípio da criptografia por trás disso?

Por que "telefone off-line + Google Authenticator" é o mais seguro?

Porque é essencialmente uma chave secreta (Secret Key) que está apenas no seu telefone e nunca é carregada, mais um relógio matemático.

Você pode imaginar assim: seu celular esconde um "gerador de senha de cofre" que só você conhece, e ele muda a senha automaticamente a cada 30 segundos. Este gerador funciona sem conexão à internet, pois não precisa de nenhum dado de servidor.

Quando ativa o Google Authenticator, você escaneia um código QR que contém uma chave gerada aleatoriamente de 20 a 32 bytes (Secret). Esta chave só existe em dois lugares: no seu Google Authenticator (no seu telefone offline) e no servidor da plataforma (como o exchange). O Google não sabe a sua chave, e ninguém pode roubá-la remotamente, pois não faz upload de nada. Sem a chave, não é possível gerar o seu código de verificação a cada 30 segundos.

O código de verificação é "calculado", não "transmitido". O Google Authenticator exibe a cada 30 segundos um número de 6 dígitos, que na verdade não é obtido do servidor, mas é calculado com base na chave + tempo atual, usando uma fórmula matemática. Ele pode ser calculado mesmo sem rede, tornando-o assim mais seguro offline.

Mesmo que os hackers saibam a sua senha, não conseguem calcular o seu código de verificação, pois os hackers não têm a sua Secret Key, e essa chave nunca sai do seu telemóvel.

As mensagens SMS/e-mail podem ser interceptadas ou roubadas, mas um telefone celular offline não. As mensagens SMS podem ser: engenharia social de hackers, troca de cartão pela operadora; sequestro de gateways de SMS; sequestro do protocolo SS7; aplicativos Trojan que leem mensagens SMS. Os e-mails também podem: ser atacados por força bruta, ataques de intermediários, phishing, ser lidos por Trojans de navegadores que acessam a sessão. Mas um telefone celular offline que não tem cartão SIM, não está conectado à internet e não tem redes sociais: os hackers não têm nenhuma forma de acessá-lo remotamente. Isso é "segurança de isolamento físico".

Por que o Google Authenticator pode funcionar offline?

Porque utiliza um conjunto chamado TOTP, que significa: Time-based One-Time Password, Senha de Uso Único Baseada em Tempo. A sua característica central é: precisa apenas de uma chave secreta partilhada + tempo, não necessita de rede, não necessita de servidor, é completamente calculado localmente.

Usando uma metáfora simples e direta para um iniciante:

Primeiro passo: você compartilha uma chave secreta (Secret Key) com o servidor, assim como você compartilha uma: semente secreta dentro de uma calculadora especial, ambas as partes salvam essa chave.

Passo dois: Ambas as partes olham simultaneamente para o "relógio unificado do mundo", o tempo é uma infraestrutura pública, globalmente consistente: um intervalo de tempo a cada 30 segundos (por exemplo, 1234567890, 1234567920 ...), como duas pessoas observando o mesmo "cronômetro" ao mesmo tempo.

Terceiro passo: calcular o número com uma máquina matemática unificada (HMAC-SHA1). O Google Authenticator e o servidor executam: código de verificação = HMAC-SHA1( chave + tempo atual ) % 1.000.000, não se preocupe com o que é HMAC-SHA1, apenas saiba: é uma máquina matemática que mistura "chave + tempo" de forma irreversível. Trocar 1 bit mudará completamente para outro número. Ambas as partes usam a mesma chave, o mesmo tempo → obtêm o mesmo número de seis dígitos. Como a fórmula é totalmente pública e o algoritmo pode ser verificado por qualquer um, não há porta dos fundos, não depende do Google, qualquer pessoa no mundo pode fazer seu próprio autenticador.

Por que o Google Authenticator pode funcionar completamente offline? Porque a geração do código de verificação só precisa de: chave (você já armazenou localmente), tempo (apenas o horário do sistema do telefone), função matemática (HMAC-SHA1, embutida no programa). Portanto, nenhuma das etapas precisa de conexão à internet, desde que o telefone tenha energia, ele fará o cálculo.

Por que os telemóveis offline são mais seguros do que os telemóveis online? Porque os telemóveis online podem ter malware, vazamentos de sincronização na nuvem, aplicativos Trojan, controle remoto por hackers, escuta de navegadores e backups na nuvem que podem ser quebrados. Enquanto os telemóveis offline não se conectam à internet, não fazem login em contas de redes sociais, não instalam lojas de aplicativos, não inserem cartões SIM e não ativam WiFi. Totalmente isolados fisicamente = segurança extremamente alta. Esses telemóveis são chamados na indústria de segurança: Air-gapped device (dispositivo de isolamento de ar), que é o padrão mais alto para exércitos, agências de inteligência, bancos e sistemas de criptografia.

Quão seguro é um verificador do Google offline? Para quebrar sua 2FA, um hacker deve obter simultaneamente: a senha da sua conta, a chave secreta no seu telefone (invisível), o acesso físico ao seu telefone offline, copiar a chave antes que você perceba, calcular corretamente a janela de tempo, o que é praticamente impossível.