autenticação
7 artigos com esta tag
Falhas de design na redefinição de senha: 5 formas de tomar contas mesmo com login forte, e como corrigir
Um fluxo de redefinição é um mecanismo para deixar alguém que não sabe a senha definir uma nova — o que o torna um caminho de autenticação por si só. Fortaleça o login quanto quiser: se a redefinição for fraca, ela é a sua força real de autenticação. Cinco formas de falha: tokens adivinháveis, tokens que nunca expiram, links que continuam vivos numa caixa de e-mail, links cujo destino pode ser definido de fora (cabeçalho Host) e respostas que revelam se uma conta existe. O passo-chave na implementação é separar o que a orientação exige dos números que ela deixa para você.
Limitação de taxa e controle de abuso: como projetar limites que barram força bruta e custos descontrolados
A limitação de taxa costuma falhar não porque o limite era frouxo demais, mas porque a pergunta errada foi feita. Três perguntas: quem você conta (o IP pode ser forjado e é compartilhado por usuários reais, então a identidade vem primeiro), o que você conta (só requisições deixam passar operações caras isoladas — custo, tamanho, número de registros) e o que acontece no teto (bloqueio rígido é uma negação de serviço contra usuários legítimos). O NIST limita as falhas consecutivas a 100 e pede atrasos e CAPTCHA em vez de trancar as pessoas do lado de fora; o OWASP inclui limites de gasto com terceiros, o controle final contra dano financeiro.
Autenticação vs autorização: só um login não protege os dados de outros usuários
Autenticação = verificar quem é a pessoa; autorização = decidir o que ela pode fazer. São coisas diferentes, e adicionar um login não é autorização. Sem restringir os dados ao dono (user_id), 'logado = vê todos os dados' — o Broken Access Control, o número um do OWASP. Some a isso um scaffold com o registro deixado aberto e um estranho pode se cadastrar e entrar. Defesas: restrinja toda consulta ao dono, feche o registro desnecessário, defesa em profundidade, logs de auditoria/acesso antes do incidente, detecte novos cadastros.
O que é passkey? Chave pública, resistência a phishing e sincronização
Uma passkey autentica por assinatura de chave privada, enquanto o serviço guarda a chave pública. Passkeys sincronizadas podem transferir credenciais criptografadas entre dispositivos; as vinculadas ao dispositivo não sincronizam. MFA depende da verificação do usuário exigida, e a proteção do dispositivo, da conta de sincronização e da recuperação continua importante.
O que é hashing de senha? Armazenar senhas com segurança usando uma transformação irreversível
Hashing de senha significa armazenar uma senha como uma transformação de mão única, não reversível. Nunca armazene texto puro. Diferente da criptografia, você não consegue descriptografá-la de volta — esse é o ponto. Mas MD5/SHA-256 puro cai diante de rainbow tables e força bruta. A correção: um sal por usuário mais um hash deliberadamente lento (bcrypt/Argon2/scrypt). Não faça o seu próprio — use a função padrão.
Como armazenar senhas com segurança: a forma certa de fazer hash e salt
Um guia prático para armazenar senhas com segurança no servidor. Entenda por que texto puro, criptografia e hashes crus falham e então convirja para uma resposta: um salt por usuário mais um hash deliberadamente lento (Argon2id recomendado, bcrypt/scrypt como alternativas). Não invente o seu — use a função padrão, eleve o custo com o tempo e migre hashes fracos refazendo o hash no login.
O que é um JWT (JSON Web Token)? Como funcionam os tokens assinados e como usá-los com segurança
Um JWT é um token que um servidor assina e emite para que a adulteração possa ser detectada. Ele tem três partes — header.payload.signature — e o servidor verifica a assinatura para confirmar a autenticidade. Cuidado com: (1) sempre verifique a assinatura e fixe o alg esperado (rejeite alg:none); (2) qualquer pessoa pode ler o conteúdo, então não coloque segredos nele; (3) mantenha a expiração curta e tenha uma estratégia de revogação. Decodificar (ler) e verificar (checar autenticidade) são coisas diferentes.