O que é NIST 800-63B? Entenda as diretrizes de identidade digital

O que é o NIST?

O National Institute of Standards and Technology (NIST) é uma agência federal não regulatória vinculada ao Departamento de Comércio dos Estados Unidos. Fundado em 1901 como National Bureau of Standards (NBS), seu objetivo inicial era solucionar deficiências na infraestrutura de medições, que colocavam o país em desvantagem competitiva significativa no setor industrial. Em 1988, a organização foi renomeada para refletir a ampliação de seu papel e de suas responsabilidades.

A missão do NIST é promover a inovação e a competitividade industrial nos Estados Unidos, impulsionando a ciência de medições, padrões e tecnologia para fortalecer a segurança econômica e elevar a qualidade de vida. Suas competências centrais incluem a ciência de medições, a rastreabilidade rigorosa e o desenvolvimento e aplicação de padrões.

Embora o foco inicial do NIST estivesse nas ciências físicas e de engenharia, sua atuação foi ampliada para abranger tecnologia da informação, cibersegurança e outras tecnologias emergentes. O NIST realiza pesquisas de ponta em diversas áreas, como física, engenharia, tecnologia da informação, nanotecnologia e ciência dos materiais.

O NIST é amplamente reconhecido por sua atuação no desenvolvimento e promoção de padrões. Esses padrões estabelecem a base para a compatibilidade entre diferentes tecnologias, garantindo integração e funcionamento conjunto sem obstáculos.

O NIST apoia o desenvolvimento de padrões ao identificar áreas que necessitam dessa padronização, reunir stakeholders e oferecer orientação técnica e científica especializada para que os grupos de stakeholders possam chegar a um consenso.

Os padrões fornecidos pelo NIST são adotados em diversos setores, como manufatura, telecomunicações, biotecnologia, tecnologia da informação e saúde. O trabalho do NIST influencia desde nanomateriais avançados e prontuários eletrônicos até chips de computador e redes elétricas inteligentes.

O NIST também desenvolve padrões, diretrizes e práticas recomendadas de cibersegurança para apoiar o setor dos EUA, órgãos federais e o público em geral. Além disso, atua para aprimorar o entendimento e a gestão dos riscos de privacidade. Entre as áreas de segurança e privacidade em que o NIST contribui estão:

• Criptografia
• Educação em cibersegurança e desenvolvimento da força de trabalho
• Medição de cibersegurança
• Gestão de identidade e acesso
• Engenharia de privacidade
• Gestão de riscos
• Proteção de tecnologias emergentes
• Redes confiáveis
• Plataformas confiáveis

O que é o NIST 800-63B?

A NIST Special Publication 800-63B - Digital Identity Guidelines, Authentication and Lifecycle Management - estabelece os requisitos técnicos para órgãos federais que implementam serviços de identidade digital. O documento aborda a comprovação de identidade e a autenticação de usuários que acessam sistemas de TI governamentais por redes abertas.

A autenticação de identidades digitais em redes abertas pode facilitar tentativas de personificação e outros ataques, resultando em uso fraudulento.

O NIST 800-63B também é adotado em diversos setores, como saúde e serviços financeiros, servindo como referência para requisitos de gerenciamento de identidade e gerenciamento de acesso. Outros padrões que fazem referência ao NIST SP 800-63 incluem:

• Aviso da Financial Industry Regulatory Authority (FINRA) sobre autenticação multifator
• Electronic Prescriptions for Controlled Substances (EPCS) da U.S. Drug Enforcement Administration (DEA)
• Federal Risk and Authorization Management Program (FedRAMP) dos EUA

Níveis de Garantia de Autenticadores do NIST 800-63B

A NIST 800-63B define como um indivíduo pode autenticar-se com segurança em um provedor de serviços de credenciais (CSP) para acessar um serviço digital, considerando três Níveis de Garantia de Autenticador (AAL).

O documento apresenta recomendações específicas sobre os tipos de processos de autenticação, incluindo as opções de autenticadores que podem ser utilizados em cada nível.

Os nove tipos de autenticadores reconhecidos pela NIST são:

1. Segredos memorizados: De longe, o tipo de autenticador mais comum. Incluem senhas, frases secretas e números de identificação pessoal (PINs). Senhas e frases secretas são equivalentes, mas a frase secreta é mais longa e pode conter espaços. PINs geralmente representam um segredo numérico.
2. Segredos de consulta: Emitidos pelo CSP ao assinante, só podem ser usados uma vez. São normalmente utilizados como autenticador de backup caso o autenticador principal seja perdido, roubado ou apresente falha.
3. Dispositivos fora de banda: Utilizam um canal de comunicação privado, separado do canal autenticado, para comprovar o controle do usuário sobre um dispositivo físico específico, como um smartphone.
4. Dispositivo OTP de fator único: Dispositivo em posse do assinante que gera senhas de uso único, exibidas e inseridas manualmente.
5. Dispositivos OTP multifator: Semelhantes aos dispositivos OTP de fator único, mas exigem a ativação por meio de um segredo memorizado ou apresentação de um dado biométrico para gerar a senha de uso único.
6. Software criptográfico de fator único: Uma chave criptográfica secreta associada a um software armazenado em meio acessível por software.
7. Dispositivos criptográficos de fator único: Semelhantes ao software criptográfico de fator único, mas a chave privada permanece em um dispositivo de hardware e não pode ser exportada em condições normais.
8. Software criptográfico multifator: Semelhante ao software criptográfico de fator único, mas exige a entrada de um segredo memorizado para acessar a chave privada durante a autenticação.
9. Dispositivos criptográficos multifator: Semelhantes aos dispositivos criptográficos de fator único, mas requerem ativação por meio de um segredo memorizado ou verificação biométrica.

A NIST 800-63B classifica a robustez da autenticação conforme o Nível de Garantia de Autenticador. Quanto mais forte a autenticação, mais recursos e habilidades os agentes de ameaça precisam empregar para contornar os controles. Veja a seguir um resumo dos três Níveis de Garantia de Autenticador.

Nível de Garantia de Autenticador 1 (AAL1)
O AAL1 oferece um grau básico de garantia de que o usuário controla um autenticador vinculado à conta acessada. O requisito para o AAL1 é a utilização de autenticação de fator único ou multifator. Qualquer um dos nove autenticadores mencionados acima é aceito nesse nível.

A autenticação bem-sucedida no AAL1 exige que o usuário comprove a posse e o controle do autenticador por meio de um protocolo de autenticação seguro. A reautenticação do assinante deve ocorrer pelo menos uma vez a cada 30 dias durante sessões de uso prolongadas, independentemente da atividade do usuário. Ao atingir esse limite de tempo, a sessão deve ser encerrada.

Nível de Garantia de Autenticador 2 (AAL2)
No Nível de Garantia de Autenticador 2 (AAL2), há um alto grau de confiança de que o usuário controla os autenticadores. Neste nível, é obrigatório o uso de técnicas criptográficas aprovadas. Também é exigida a comprovação de posse e controle de dois fatores de autenticação distintos por meio de protocolos de autenticação seguros.

Ao utilizar um autenticador multifator, podem ser empregados os seguintes tipos:

• Dispositivo OTP multifator
• Software criptográfico multifator
• Dispositivo criptográfico multifator

Ao combinar dois autenticadores de fator único, um deles deve ser um autenticador de segredo memorizado e o outro deve ser baseado em posse (ou seja, algo que o usuário possui). As opções para autenticadores baseados em posse incluem:

• Segredo de consulta
• dispositivo fora de banda
• dispositivo OTP de fator único
• software criptográfico de fator único
• dispositivo criptográfico de fator único

No AAL2, a reautenticação obrigatória das sessões dos usuários deve ocorrer pelo menos uma vez a cada 12 horas em sessões prolongadas, independentemente da atividade do usuário. Além disso, é necessário repetir a reautenticação após qualquer período de inatividade igual ou superior a 30 minutos. A sessão deve ser encerrada ao atingir qualquer um desses limites.

Nível de Garantia de Autenticador 3 (AAL3)
O Nível de Garantia de Autenticador 3 (AAL3) oferece um grau muito elevado de confiança de que o usuário controla os autenticadores. Esse nível exige a comprovação de posse de uma chave por meio de um protocolo criptográfico.

A autenticação AAL3 exige um autenticador baseado em hardware e outro autenticador que ofereça resistência comprovada à falsificação de identidade. É obrigatório o uso de técnicas criptográficas aprovadas.

Para autenticar no AAL3, os usuários precisam comprovar a posse e o controle de dois autenticadores distintos por meio de fatores de autenticação seguros. Os autenticadores aprovados para o AAL3 são:

• Dispositivo criptográfico multifator
• Dispositivo criptográfico de fator único utilizado em conjunto com um segredo memorizado
• Dispositivo OTP multifator (software ou hardware) utilizado em conjunto com um dispositivo criptográfico de fator único
• Dispositivo OTP multifator (apenas hardware) utilizado em conjunto com um software criptográfico de fator único
• Dispositivo OTP de fator único (apenas hardware) utilizado em conjunto com um autenticador de software criptográfico multifator
• Dispositivo OTP de fator único (apenas hardware) utilizado em conjunto com um autenticador de software criptográfico de fator único (Seção 5.1.6) e um segredo memorizado

A reautenticação periódica das sessões de usuários no AAL3 deve ser realizada pelo menos uma vez a cada 12 horas durante sessões prolongadas, independentemente da atividade do usuário. Caso ocorra um período de inatividade igual ou superior a 15 minutos, a reautenticação do assinante deve ser repetida utilizando ambos os fatores de autenticação. A sessão deve ser encerrada assim que qualquer um desses limites de tempo for atingido.

Lifecycle Management de autenticadores do NIST 800-63B

A seção de Lifecycle Management de autenticadores do NIST 800-63B aborda o tratamento dos autenticadores em todas as etapas do ciclo de vida. Esse processo considera o uso de autenticadores próprios dos usuários, seja como complemento ou alternativa aos emitidos pelos CSPs.

As diretrizes utilizam o termo binding em vez de emissão para englobar os autenticadores provenientes dos próprios usuários, e não apenas aqueles emitidos pelos CSPs. Existem quatro categorias de binding: binding no momento da inscrição, binding pós-inscrição, binding a um autenticador fornecido pelo assinante e renovações.

O vínculo no momento da inscrição envolve a associação de um ou mais autenticadores. Normalmente, esse processo ocorre logo após a verificação da identidade do usuário, conhecida como transação de comprovação de identidade segundo a NIST 800-63B.

É fundamental que o vínculo dos autenticadores esteja fortemente associado ao processo de comprovação de identidade para garantir que a pessoa que associa um autenticador à credencial de um assinante seja, de fato, esse assinante.

O vínculo pós-inscrição abrange a inclusão de autenticadores adicionais para fins de backup, além de atender situações de perda, roubo ou dano de um autenticador existente - processo frequentemente chamado de recuperação de conta. Esse procedimento é mais comum quando o usuário deseja associar um novo autenticador à sua conta ou precisa substituir um autenticador perdido ou danificado.

O vínculo de um autenticador fornecido pelo próprio assinante (ou seja, bring your own authenticator) exige que o CSP compreenda o tipo e o nível de segurança dos autenticadores associados à conta do assinante.

Caso essa avaliação não seja satisfatória, o CSP deve assumir, por padrão, o tipo de autenticador mais fraco - por exemplo, considerar um autenticador de fator único em vez de multifator, ou um autenticador baseado em software em vez de hardware - ao realizar o vínculo.

A expiração de autenticadores é permitida, mas não obrigatória segundo a NIST 800-63B. A orientação é equilibrar o risco de perda não detectada do autenticador com o custo e a complexidade de sua reemissão.

Diretrizes e práticas recomendadas de senhas segundo a NIST 800-63B

As diretrizes estabelecidas na NIST 800-63B representam uma mudança em relação aos protocolos tradicionais de segurança de senhas. A versão mais recente dessas orientações sobre identidade digital propõe práticas que mantêm a segurança e, ao mesmo tempo, reduzem o impacto para os usuários.

As diretrizes da NIST 800-63B reconhecem que controles excessivamente rigorosos podem reduzir a segurança, já que os usuários tendem a buscar alternativas que acabam comprometendo a proteção. Veja a seguir as principais diretrizes e práticas recomendadas para senhas, conforme a NIST 800-63B.

Bloqueio de senhas comuns

A NIST 800-63B exige o uso de uma lista de bloqueio para impedir o uso de senhas óbvias e fáceis de adivinhar. Senhas consideradas inaceitáveis incluem aquelas já expostas em vazamentos anteriores e combinações simples ou previsíveis.

Limitação de tentativas de senha malsucedidas

Para evitar ataques de força bruta, é fundamental limitar o número de tentativas de login sem sucesso.

Expiração e redefinição de senhas

O NIST 800-63B recomenda exigir a expiração e a redefinição de senhas apenas quando houver indícios de comprometimento ou, no máximo, uma vez por ano. Mudanças mais frequentes só devem ocorrer mediante solicitação do usuário ou em caso de evidência de violação de segurança.

Complexidade de senhas

As orientações do NIST 800-63B sobre complexidade de senhas representam uma mudança importante nas práticas recomendadas. O NIST indica que senhas mais longas tendem a ser mais seguras do que aquelas excessivamente complexas. Não é recomendado exigir tipos específicos de caracteres, como combinações de maiúsculas, minúsculas, números e símbolos.

O ideal é permitir o uso de uma ampla variedade de caracteres e incentivar a criação de senhas mais memoráveis e fáceis de usar.

Dicas de senha e perguntas de segurança baseadas em conhecimento

O uso de dicas de senha ou perguntas de segurança baseadas em conhecimento (por exemplo, qual o nome de solteira da sua mãe?) não é recomendado, pois essas informações podem ser facilmente descobertas ou deduzidas.

Comprimento da senha

A norma NIST 800-63B recomenda o uso de senhas longas, com pelo menos oito caracteres para senhas escolhidas pelo usuário e no mínimo seis caracteres para senhas geradas pelo sistema.

Limitação de tentativas

Implemente a limitação de tentativas de senha para bloquear ataques automatizados, como força bruta. Ajuste essa limitação conforme o contexto do usuário, levando em conta fatores como localização, dispositivo utilizado ou horário de acesso.

Quem precisa cumprir o NIST 800-63B?

O NIST 800-63B é obrigatório para todas as agências federais dos EUA. Além disso, organizações e fornecedores que prestam serviços para essas agências ou que lidam com dados federais também podem ser obrigados a seguir os padrões do NIST 800-63B.

Otimize sua postura de segurança com o NIST 800-63B

Assim como outras Publicações do NIST, as diretrizes do NIST 800-63B são amplamente aplicáveis a organizações fora do governo federal. O melhor de tudo é que são de fácil acesso e gratuitas.

Organizações de todos os segmentos adotam essas diretrizes e práticas recomendadas para enfrentar desafios complexos relacionados à autenticação de identidade digital e ao Lifecycle Management de autenticadores. Essas diretrizes também estabelecem uma base para outras políticas e orientações sobre identidade digital.