O emparelhamento é o momento em que um monitor de bebé decide em que dispositivo confiar. É uma etapa mais importante do que o ecrã de configuração muitas vezes sugere. Um código curto facilita o início, mas não substitui a troca de chaves nem a confirmação em ambos os dispositivos.
Fluxo de segurança
Como deve ser um emparelhamento seguro
Criar um ponto de encontro
Um código curto ou uma ligação coloca primeiro os dois dispositivos no mesmo sítio.
Trocar material de chave real
Depois disso, os dispositivos precisam de fazer uma troca criptográfica; o código visível não chega.
Comparar o que ambos veem
Ambos devem conseguir confirmar que estão a ver a mesma sessão e o mesmo dispositivo do outro lado.
Só então confiar na sessão
Só então a ligação fica protegida contra emparelhamentos errados óbvios, de uma forma que os pais conseguem acompanhar.
Porque um código curto pode dar aos pais uma falsa sensação de segurança
Os códigos curtos têm o seu lugar: são rápidos de introduzir, fáceis de dizer em voz alta e práticos na vida familiar. O problema começa quando o código é tratado como todo o mecanismo de segurança. Muitas vezes, é apenas um ponto de encontro. Sem troca de chaves ou comparação entre os dois dispositivos, demasiada confiança fica escondida no ecrã de configuração.
Num monitor de bebé, esta não é uma questão abstrata de criptografia. Trata-se de garantir que o dispositivo errado não é emparelhado por engano, que outra sessão não passa despercebida e que os pais conseguem ver como é um emparelhamento correto. Uma boa segurança torna esse momento verificável.
Padrão fraco
Introduzir um código curto e pronto, sem confirmação adicional. É prático, mas difícil de verificar do ponto de vista dos pais.
Padrão melhor
Primeiro, o código como ponto de encontro; depois, troca de chaves real e confirmação visível em ambos os dispositivos.
Padrão forte
Identidade clara do dispositivo, comparação de um número de segurança ou no estilo SAS, e pouca dependência de dados de conta persistentes.
Como é um bom emparelhamento para um pai ou mãe
Um bom emparelhamento mostra mais do que “ligado”. Torna o processo visível: uma comparação de segurança, confirmação nos dois dispositivos e texto claro a explicar porque é necessário um número, código ou aprovação. É assim que a segurança técnica se torna útil no dia a dia.
Quanto menos visível for a lógica de emparelhamento, mais atenção os pais lhe devem dar. Uma configuração muito simples pode parecer conveniente, mas deixa pouco espaço para verificar o momento crítico. Os produtos com acesso remoto e ligação à internet devem explicar particularmente bem como evitam emparelhamentos errados.
Sinais de que o emparelhamento pode ser demasiado fraco
pode simplesmente estar a faltar uma etapa importante de segurança.
o produto não está a comunicar a identidade do dispositivo com clareza suficiente.
torna-se difícil verificar se o emparelhamento é realmente o pretendido.
O emparelhamento e a privacidade andam juntos
O emparelhamento seguro protege contra o dispositivo errado e também ajuda a reduzir os dados recolhidos. Se uma aplicação protege as sessões e o outro dispositivo de forma correta, precisa de menos contas permanentes, endereços de e-mail ou sistemas pesados de gestão de utilizadores. Sistemas bem desenvolvidos conseguem muitas vezes funcionar com menos dados pessoais.
É precisamente por isso que as páginas sobre arquitetura são úteis. Mostram se um fornecedor trata o emparelhamento como um verdadeiro problema de segurança ou apenas como uma etapa de integração que tem de parecer simples a qualquer custo.
Perguntas a fazer sobre o emparelhamento
- O código visível serve apenas por conveniência ou faz todo o trabalho de segurança?
- Ambos os dispositivos confirmam a mesma sessão de forma visível?
- Os pais conseguem perceber como o produto evita o dispositivo errado?
- O sistema precisa de dados de conta persistentes apenas para emparelhar dois dispositivos?
- Depois do emparelhamento, continua visível a que dispositivo pertence a sessão?
Perguntas frequentes
Um código curto de emparelhamento é seguro por si só?
O código curto deve apenas ajudar dois dispositivos a encontrarem-se. Depois, os dispositivos têm de criar as verdadeiras chaves criptográficas sem enviar essas chaves para o servidor.
Porque é que ambos os dispositivos mostram um número de verificação?
Números de verificação iguais ajudam a detetar adulterações despercebidas durante a troca de chaves. Se os números forem diferentes, pare e reinicie o processo de emparelhamento.
Tenho de emparelhar novamente depois de reinstalar?
Depende de a chave segura do dispositivo se manter. Após uma reinstalação ou mudança de dispositivo, um novo emparelhamento é geralmente a opção mais segura e clara.
Fontes e leituras adicionais
- Segurança e arquitetura do Babyphone Timmy · Babyphone Timmy
- Autenticar anonimamente com o Firebase · Documentação do Firebase
- Começar a usar o WebRTC · WebRTC
- API WebRTC · MDN Web Docs
- Internet das Coisas da OWASP · Fundação OWASP
- Dispositivos inteligentes: como usá-los em segurança em casa · National Cyber Security Centre (Reino Unido)
- *Privacy Not Included – Um guia de compra para produtos conectados · Fundação Mozilla
- Requisitos da política para famílias · Ajuda do Google Play