SOLUÇÕES KEYPASCO

ARQUITETURA:

1. O usuário final tenta acessar alguma função no ICP, por exemplo, logar ou solicitar uma transação monetária.
2. O ICP chama o servidor Borgen para criar uma tarefa para o usuário final assinar como forma de verificar se o usuário final está agindo intencionalmente.
3. O client Vakten no dispositivo do usuário final recupera a tarefa do servidor Borgen através da API do Cliente. O usuário final então analisa a mensagem da tarefa e confirma ou nega que ele ou ela deseja prosseguir com esta transação ou login.
4. O client Vakten responde com a resposta do usuário final.
5. O ICP verifica com o servidor Borgen para ver qual é a resposta do usuário final à tarefa.
6. O ICP permite que a transação ocorra ou não, dependendo da resposta do usuário final à tarefa.

FATORES DE AUTENTICAÇÃO:

Existem vários fatores de autenticação disponíveis no sistema Keypasco, além da autenticação básica do usuário final (login e senha). Todos esses fatores funcionam com base em que algum tipo de dispositivo está vinculado ou associado a um usuário final. Exemplos de dispositivos são smartphones, laptops e navegadores. O fator fundamental do sistema Keypasco é a “IMPRESÃO DIGITAL” do dispositivo, que é o único fator obrigatório e ativo por padrão.

Impressora digital do dispositivo

Onde o software client Vakten for instalado e associado a um usuário no sistema Keypasco, ele irá extrair uma série de propriedades e registrar informações comportamentais que podem definir de forma exclusiva aquele smartphone, computador PC ou Mac ou navegador. As chaves e propriedades adicionais são recuperadas do servidor e armazenadas no dispositivo. Juntos, esses dados formam o que é chamado de impressão digital desse dispositivo; ou seja, algo que identifica de forma exclusiva este dispositivo e o separa de todos os outros dispositivos.

A impressão digital pode mudar um pouco, mas se mudar de tal forma que o servidor Borgen julgue ser uma tentativa de criar um clone ou manipular o dispositivo, a autenticação de impressão digital falha e a conexão entre o dispositivo e o usuário final é removido.

Geolocalização

Um client Vakten fornecerá informações sobre sua localização geográfica no servidor Borgen. Isso é feito pelo recurso GPS em smartphones, usando o posicionamento Wi-Fi ou através do IP. A informação de localização é fornecida ao ICP, que então é capaz de analisar e, se necessário, reagir.

• Proximidade – Sempre que dois client Vakten ligados a um único usuário estão ativos simultaneamente, o sistema Keypasco pode determinar se estão ou não na mesma região. Por exemplo, o usuário faz logon no site do ICP usando um laptop com um navegador que possui o cliente Vakten Browser instalado. O ICP solicita a Borgen que envie uma tarefa para ser assinada no smartphone do usuário, que possui o Vakten Mobile instalado. A posição é então correlacionada para determinar se o navegador e o smartphone estão localizados na mesma região.
• Offline – Se um usuário final que tenha um smartphone com um client Vakten estiver off-line, ele ou ela pode usar a Geolocation One Time Password ou o GeoOTP. Este recurso utiliza o GPS do smartphone para gerar um código de 12 dígitos que é específico para a localização, hora e smartphone em que é gerado. Este código pode então, através do ICP, ser submetido ao servidor Borgen para verificar a localização e a posição do dispositivo.
• Proximidade Bluetooth – Um usuário final pode associar um hardware capaz de se comunicar via Bluetooth, como uma pulseira ou um smartwatch para o perfil dele. Para que a autenticação do client Vakten desse usuário em execução em um laptop ou smartphone seja bem sucedida, o dispositivo Bluetooth adicional também deve estar lá. Se o dispositivo Bluetooth adicional não estiver ao alcance do cliente Vakten, a autenticação falhará.

Extensão PKI

A camada superior dos fatores de autenticação do sistema Keypasco é o recurso de extensão PKI.

O recurso PKI só está disponível para os client Vakten do smartphone.

• Objetivo – O recurso permite que o usuário final gere um par de chaves; um público e um privado. A chave pública é usada para solicitar um certificado de um terceiro (CA). A chave pública que foi gerada é inserida no certificado. A chave privada é usada para criar uma assinatura digital, que pode ser verificada pelo servidor Borgen ou pela CA, que ambos possuem o certificado, incluindo a chave pública. Desta forma, o sistema Keypasco verificou que era titular da chave privada que criou a assinatura e ninguém mais.
• Implementação – O par de chaves pode ser gerado pelo Borgen ou pelo client Vakten. Após a geração, a chave privada é dividida entre o smartphone e o servidor. No smartphone, o código PIN do usuário é usado para criar uma chave que criptografe a parte da chave privada armazenada lá. O servidor armazena a outra metade em seu banco de dados, criptografado com outra chave. Desta forma, um invasor precisa acessar o banco de dados do servidor, o smartphone e o código PIN do usuário para derivar a chave privada.
• Integração de CA – Existe um plugin no servidor Borgen que é usado para se integrar na CA da escolha do cliente.

Motor de risco

O mecanismo de análise de risco fornece informações ao ICP sobre comportamentos suspeitos do lado do usuário e do dispositivo. Os parâmetros que são utilizados como entrada e linha de base para os recursos de análise de risco podem ser modificados no servidor Borgen, juntamente com as regras do que deve acontecer quando uma ameaça é detectada.

Uma seleção de três das regras no motor de risco são apresentadas brevemente abaixo:

• Velocidade do dispositivo – Quando um dispositivo foi usado em um local específico, e então usado tão cedo em um local tão distante que o proprietário não pode ter viajado lá. O risco é que um invasor tenha clonado com sucesso um dispositivo e o clone usado em um local muito diferente de onde o dispositivo original é usado. O sistema Keypasco irá acompanhar esse movimento, o que pode levar à suspensão deste dispositivo para evitar que ele seja usado para autenticar qualquer pessoa real.
• Verificação de credencial – Se vários usuários diferentes tentarem usar um dispositivo específico para autenticação em relação a um ICP e não fornecerem credenciais corretas, há uma chance de este dispositivo ser usado para atividades fraudulentas. O sistema Keypasco acompanhará esse comportamento, o que pode levar a uma lista negra deste dispositivo para evitar que ele seja usado para autenticar qualquer pessoa real.
• Detecção de zona quente – No caso de registrar um client Vakten significa que o usuário final ganhará algo, o registro pode ser usado como um instrumento de fraude. A detecção de zona quente alertará o ICP se houver um número elevado de clients Vakten se registrando no mesmo local dentro de um período de tempo configurável.

Adicional

O sistema Keypasco também fornecerá ao ICP informações que, dependendo da situação e do ambiente, podem afetar a validade da autenticação. Os dados enviados para o servidor Borgen pelo client Vakten contém essas informações adicionais sobre o estado do dispositivo no qual o client Vakten está sendo executado.

• Alertas de limpeza – Por exemplo, em um smartphone, o aplicativo Vakten indicará o dispositivo “rooted/jailbroken”, ou mesmo “debuggers” conectados. Caso o ICP considere que isso é um risco muito alto, ele pode negar que o usuário tente autenticar-se no acesso aos serviços do ICP.
• Detecção de emulador – O client Vakten detectará se o ambiente em que ele está sendo executado não é o real. Por exemplo, se o smartphone com um cliente Vakten móvel for emulado em um PC, esta informação é fornecida ao ICP. Atualmente, mais de 20 emuladores de Android podem ser detectados, e o trabalho para detectar novos está constantemente em andamento.

MÓVEL:

SDK móvel, disponível para plataformas Android e iOS. Utiliza o SQLite como um banco de dados local para fins de armazenamento.