Smartphones armazenam seu e-mail, suas fotos e seu calendário. Eles fornecem acesso a sites de mídia social online como Facebook e Twitter, e até mesmo suas contas bancárias e de cartão de crédito. E eles são a chave para algo ainda mais privado e precioso - sua identidade digital.

Por meio de sua função em sistemas de autenticação de dois fatores, o método de proteção de identidade digital mais comumente usado, smartphones tornaram-se essenciais para identificar pessoas online e offline. Se os dados e aplicativos em smartphones não forem seguros, isso é uma ameaça à identidade das pessoas, potencialmente permitindo que intrusos se apresentem como seus alvos nas redes sociais, o email, comunicações no local de trabalho e outras contas online.

Recentemente, em 2012, o FBI recomendou que o público protegesse os dados de seus smartphones criptografando-os. Mais recentemente, no entanto, a agência pediu aos fabricantes de telefones que fornecessem uma maneira de entrar em dispositivos criptografados, o que a polícia chama de "acesso excepcional". O debate até agora se concentrou na privacidade de dados, mas isso deixa de fora um aspecto vital da criptografia do smartphone:sua capacidade de proteger as identidades online pessoais das pessoas.

Como escrevi em meu livro recente, "Ouvindo:Cibersegurança em uma era insegura, "fazer o que o FBI deseja - tornando os telefones mais fáceis de desbloquear - necessariamente diminui a segurança dos usuários. Estudo de engenharia e medicina, em que participei, também alerta que tornar os telefones mais fáceis de desbloquear potencialmente enfraquece esse elemento-chave de proteger as identidades online das pessoas.

Coletando evidências ou enfraquecendo a segurança?

Nos últimos anos, a polícia buscou acesso aos smartphones dos suspeitos como parte das investigações criminais, e as empresas de tecnologia têm resistido. A mais proeminente dessas situações surgiu na esteira do tiroteio em massa de 2015 em San Bernardino. Antes que os próprios agressores fossem mortos em um tiroteio, eles foram capazes de destruir seus computadores e telefones - exceto um, um iPhone bloqueado. O FBI queria o telefone descriptografado, mas preocupado com o fato de que tentativas fracassadas de quebrar os mecanismos de segurança da Apple poderiam fazer com que o telefone excluísse todos os seus dados.

A agência levou a Apple ao tribunal, buscando forçar a empresa a escrever um software especial para evitar as proteções internas do telefone. A Apple resistiu, argumentando que o esforço do FBI foi um exagero do governo, se bem sucedido, diminuiria a segurança de todos os usuários do iPhone - e, por extensão, o de todos os usuários de smartphones.

O conflito foi resolvido quando o FBI pagou a uma empresa de segurança cibernética para invadir o telefone - e não encontrou nada de relevante para a investigação. Mas a agência permaneceu firme de que os investigadores deveriam ter o que chamaram de "acesso excepcional, "e o que outros chamam de" porta dos fundos ":software integrado que permite à polícia descriptografar telefones bloqueados.

A importância da autenticação de dois fatores

A situação não é tão simples quanto sugere o FBI. Telefones seguros fornecem barreiras para investigações policiais, mas também são um excelente componente de uma forte segurança cibernética. E dada a frequência dos ataques cibernéticos e a diversidade de seus alvos, isso é extremamente importante.

Em julho de 2015, Funcionários dos EUA anunciaram que ladrões cibernéticos roubaram os números do Seguro Social, informações financeiras e de saúde e outros dados privados de 21,5 milhões de pessoas que solicitaram autorizações de segurança federal do Escritório de Gestão de Pessoal dos EUA. Em dezembro de 2015, um ataque cibernético a três empresas de eletricidade na Ucrânia deixou um quarto de milhão de pessoas sem energia por seis horas. Em março de 2016, incontáveis ​​e-mails foram roubados da conta pessoal do Gmail de John Podesta, presidente da campanha presidencial de Hillary Clinton.

Em cada um desses casos, e muitos mais ao redor do mundo desde então, uma má prática de segurança - proteger contas somente por meio de senhas - permite que os bandidos causem sérios danos. Quando as credenciais de login são fáceis de quebrar, intrusos entram rapidamente - e podem passar despercebidos por meses.

A tecnologia para proteger contas online está no bolso das pessoas. Usar um smartphone para executar um software chamado autenticação de dois fatores (ou segundo fator) torna o login em contas online muito mais difícil para os bandidos. O software no smartphone gera uma informação adicional que o usuário deve fornecer, além de um nome de usuário e senha, antes de ter permissão para fazer o login.

Atualmente, muitos proprietários de smartphones usam mensagens de texto como um segundo fator, mas isso não é bom o suficiente. O Instituto Nacional de Padrões e Tecnologia dos Estados Unidos alerta que enviar mensagens de texto é muito menos seguro do que aplicativos de autenticação:os invasores podem interceptar textos ou até mesmo convencer uma empresa móvel a encaminhar a mensagem SMS para outro telefone. (Aconteceu com ativistas russos, DeRay Mckesson, ativista do Black Lives Matter, e outros.)

Uma versão mais segura é um aplicativo especializado, como Google Authenticator ou Authy, que gera o que é chamado de senhas de uso único baseadas em tempo. Quando um usuário deseja fazer login em um serviço, ela fornece um nome de usuário e senha, e recebe um prompt para o código do aplicativo. Abrir o aplicativo revela um código de seis dígitos que muda a cada 30 segundos. Somente ao digitar isso o usuário está realmente conectado. Uma inicialização de Michigan chamada Duo torna isso ainda mais fácil:depois que um usuário digita um nome de usuário e uma senha, o sistema executa ping no aplicativo Duo em seu telefone, permitindo que ela toque na tela para confirmar o login.

Contudo, esses aplicativos são tão seguros quanto o próprio telefone. Se um smartphone tem segurança fraca, alguém que a possui pode obter acesso às contas digitais de uma pessoa, até mesmo bloqueando o proprietário. De fato, não muito depois do lançamento do iPhone em 2007, os hackers desenvolveram técnicas para invadir telefones perdidos e roubados. A Apple respondeu construindo melhor segurança para os dados em seus telefones; trata-se do mesmo conjunto de proteções que a aplicação da lei agora está tentando desfazer.

Evitando desastres

Usar um telefone como um segundo fator na autenticação é conveniente:a maioria das pessoas carrega seus telefones o tempo todo, e os aplicativos são fáceis de usar. E é seguro:os usuários percebem se o telefone está faltando, o que eles não fazem se uma senha for cancelada. Os telefones como autenticadores de segundo fator oferecem um grande aumento na segurança, além de apenas nomes de usuário e senhas.

O Escritório de Gestão de Pessoal estava usando a autenticação de segundo fator, aqueles registros pessoais não teriam sido tão fáceis de levantar. Se as empresas de energia ucranianas estivessem usando autenticação de segundo fator para acesso às redes internas que controlam a distribuição de energia, os hackers teriam achado muito mais difícil interromper a própria rede elétrica. E se John Podesta estivesse usando autenticação de segundo fator, Hackers russos não teriam conseguido entrar em sua conta do Gmail, mesmo com sua senha.

O FBI se contradiz nesta importante questão. A agência sugeriu que o público use a autenticação de dois fatores e a exige quando os policiais desejam se conectar aos sistemas de banco de dados da justiça criminal federal a partir de um local inseguro, como um café ou até mesmo um carro da polícia. Mas o bureau quer tornar os smartphones mais fáceis de desbloquear, enfraquecendo as proteções de seu próprio sistema.

Sim, telefones que são difíceis de desbloquear impedem as investigações. Mas isso perde uma história maior. O crime online está aumentando drasticamente, e os ataques estão ficando mais sofisticados. Facilitar o desbloqueio dos telefones para os investigadores prejudicará a melhor maneira de as pessoas comuns protegerem suas contas online. É um erro do FBI seguir essa política.

Este artigo foi publicado originalmente em The Conversation. Leia o artigo original.