MeldID adiciona modo de pânico: o que acontece quando o acesso à conta não pode mais ser confiável

Na publicação anterior sobre o MeldID, eu falei sobre como o sistema funciona em seu modo normal: armazena um perfil gerenciado, ajuda no acesso a serviços conectados, sincroniza registros TOTP entre dispositivos e permite confirmar novas autorizações através do aplicativo móvel.

Mas toda sistema de identificação possui um cenário que geralmente é lembrado tarde demais: o que fazer se o usuário não confia mais na situação atual de acesso à sua conta?

Para isso, não é necessário saber já que houve uma invasão. Às vezes, uma mensagem inesperada de recuperação de senha, uma sessão desconhecida ou um login de dispositivo não reconhecido pelo proprietário já é suficiente.

Foi pensando nesses cenários que o MeldID introduziu dois novos mecanismos: mudança de senha agendada e modo de pânico.

Primeiro, é importante entender como funciona a senha no MeldID

No MeldID, o usuário não cria a senha manualmente — ela é gerada pelo sistema. Isso elimina combinações fracas e previsíveis, o uso repetido de senhas familiares e outros problemas associados à escolha manual.

Ao mesmo tempo, a senha atual não é enviada ao usuário por e-mail. O caixa de entrada do correio não é o local de onde se obtém a senha existente do MeldID.

O procedimento de recuperação também não revela a senha antiga, apenas permite iniciar a criação de uma nova.

Portanto, a comprometedora exposição do e-mail representa uma ameaça diferente: alguém com acesso ao correio não sabe a senha atual do MeldID, mas pode tentar usar o procedimento de recuperação para estabelecer uma nova.

Por isso, esse cenário foi uma das razões para alterar a lógica do próprio procedimento de recuperação.

A senha agora não é alterada instantaneamente

No cenário habitual, a recuperação acontece quase de imediato. O usuário solicita uma nova senha, recebe uma mensagem e conclui o procedimento.

Isso é conveniente enquanto o e-mail está sob controle do proprietário. Mas, se outra pessoa tiver acesso a ele, a recuperação instantânea transforma o correio em uma rota direta para o controle da conta vinculada.

No MeldID, o pedido de uma nova senha inicialmente se torna um aviso, e não uma substituição imediata da antiga. O usuário recebe uma notificação de tentativa de recuperação, iniciando um período de espera estabelecido.

Esse período pode variar, mas o princípio é o mesmo: entre o pedido e a ativação real da nova senha, há um tempo para verificar a situação.

A senha antiga mantém seu valor nesse intervalo. Assim, o simples fato de iniciar uma recuperação não significa que o controle da conta já foi transferido para outra pessoa.

Se o aplicativo estiver indisponível

Existe um cenário importante que é facilmente esquecido. O usuário pode estar recuperando a senha, mas não ter acesso ao aplicativo MeldID: telefone perdido, quebrado, descarregado ou temporariamente inacessível.

Nesse caso, a recuperação ainda pode ser concluída. Após o período estabelecido, a nova senha entra em vigor automaticamente. O aplicativo móvel não é obrigatório para o procedimento padrão de recuperação.

Portanto, alguém que iniciou a mudança de senha e não consegue abrir o aplicativo não precisa reiniciar o processo. Basta aguardar sua conclusão e fazer login com a nova senha.

Se o aplicativo estiver acessível, há possibilidades adicionais: o usuário pode ativar imediatamente a nova senha ou cancelar a solicitação suspeita. Se não houver acesso ao app, o procedimento de recuperação agendada continua operando normalmente.

O usuário decide o que fazer a seguir

Se a recuperação foi de fato iniciada pelo proprietário da conta e o aplicativo está à mão, ele pode abrir o MeldID e ativar a nova senha imediatamente, sem esperar o período de espera.

Se a solicitação foi inesperada, ela pode ser cancelada pelo aplicativo. Nesse caso, a nova senha não entra em vigor, e a antiga permanece ativa.

Para mim, essa mudança na lógica de recuperação é significativa. O sistema não assume automaticamente que qualquer solicitação está correta só porque foi iniciada via e-mail. Ele deixa ao proprietário da conta a oportunidade de intervir e decidir através do dispositivo confiável.

Imagine a situação comum: alguém recebe uma notificação de mudança de senha, mas não solicitou nada. Cancela a operação no aplicativo, verifica o e-mail, analisa os dispositivos e busca por atividade suspeita.

O MeldID não consegue recuperar o controle sobre um e-mail comprometido, mas pode impedir que a compromissão leve imediatamente à troca da senha principal da conta.

Modo de pânico revoga acessos ativos

A mudança agendada de senha ajuda a ganhar tempo. O modo de pânico é destinado a uma situação onde isso já não é suficiente e o usuário quer interromper imediatamente os acessos previamente concedidos à sua conta.

Ele é acionado de um clique no aplicativo móvel.

Após a ativação, o sistema revoga os tokens ativos — as chaves de acesso — usadas por aplicativos e sites para reconhecer o usuário já autenticado. Ao mesmo tempo, termina as sessões ativas nos dispositivos móveis e web ligados àquela conta.

Isso significa que não apenas a sessão atual do telefone é encerrada. A revogação de acesso também ocorre em outros smartphones, tablets, navegadores e aplicativos conectados que já iniciaram o login.

O modo permanece ativo por um período definido. A sua duração pode variar, mas o princípio importante é que todas as formas de acesso existentes são interrompidas, dando ao usuário um tempo seguro para verificar sua situação.

Modo de pânico não apaga dados

O nome do modo pode parecer radical, por isso é importante explicar claramente o que ele não faz.

O modo de pânico não apaga registros TOTP, perfis salvos, configurações ou outros dados do usuário. Ele não limpa o conteúdo da conta nem a transforma em vazia.

Apenas altera o estado de acesso: os tokens ativos são revogados e as sessões abertas são encerradas. Após o retorno ao modo normal, os dados salvos permanecem no lugar, sem necessidade de nova adição.

Essa é uma diferença importante entre uma intervenção de emergência e a exclusão de conteúdo da conta. O usuário pode desconectar configurações existentes sem medo de perder suas informações ou configurações.

O que acontece com a troca de senha durante o modo de pânico

O modo de pânico inclui mais uma regra crucial: ele cancela qualquer tentativa de troca de senha não concluída.

Não importa quando a senha foi solicitada — antes do modo de pânico ou durante sua vigência. Essa solicitação não poderá ser concluída automaticamente após o fim do modo de proteção.

Ao terminar o modo de pânico, permanece a senha que foi definida antes de sua ativação.

Isso foi feito de propósito.

A recuperação normal do password pressupõe que o proprietário da conta possa ver a solicitação suspeita no MeldID e Cancelá-la antes que a nova senha entre em vigor.

Durante o modo de pânico, não se pode confiar nesse cenário.

Imagine o usuário percebendo atividade suspeita e ativando o modo de proteção. Se o timer de recuperação continuar funcionando normalmente, um invasor poderia solicitar uma nova senha durante o modo de pânico. Caso o período de espera termine antes do fim do modo, a nova senha seria ativada antes que a conta fosse reposta em seu estado normal.

Resultado paradoxal: o usuário ativou uma proteção reforçada, mas, justamente nesse período, o sistema permitiu a alteração da senha sem que o proprietário pudesse usar o método padrão de cancelamento pelo aplicativo.

Assim, o modo de pânico não pausa o procedimento de recuperação; ele interrompe e cancela qualquer solicitação pendente.

Solicitações feitas antes de ativar o modo não poderão alterar a senha após seu término. O mesmo vale para pedidos feitos durante sua vigência.

Portanto, nada do que estiver em andamento na recuperação sobrevive ao limite do modo de pânico.

E se o usuário quiser mudar a senha primeiro

O modo de pânico não impede que o proprietário da conta escolha a sequência de ações desejada.

Se o acesso ao MeldID estiver disponível e o usuário decidir que a senha também precisa ser trocada, ele pode primeiro iniciar a troca e confirmar a nova senha pelo aplicativo.

Nesse caso, a mudança é concluída antes de ativar o modo de pânico.

Depois, ele pode ativar o modo de pânico com a senha atual. Essa senha será mantida após o fim do modo.

Outra alternativa é ativar o modo de pânico, investigar a atividade suspeita e, após o encerramento, fazer uma nova troca de senha, se necessário.

O objetivo do mecanismo não é obrigar o usuário a agir de uma determinada forma. A regra básica é que uma troca de senha incompleta não deve sobreviver ao modo de pânico.

Modo de pânico permite retomar o controle do correio

Há um cenário onde esse mecanismo é especialmente importante: o usuário acredita que o problema não está no MeldID nem no telefone, mas no e-mail.

Nesse caso, o e-mail é um dos canais principais de recuperação. Portanto, o comprometimento dele é perigoso mesmo que a senha do MeldID permaneça confidencial.

Nesse cenário, o usuário pode ativar o modo de pânico e lidar diretamente com a fonte do problema: recuperar o acesso ao email, alterar a senha, terminar sessões desconhecidas e ajustar configurações de segurança.

Durante o modo de pânico, o MeldID impede que a recuperação crie uma nova senha válida.

Se alguém já solicitou a recuperação antes do modo de pânico, essa tentativa não prossegue. Se houver uma nova solicitação enquanto o modo estiver ativo, ela também será interrompida.

O resultado é uma janela de proteção temporária: acessos MeldID revogados, email potencialmente comprometido bloqueado para não gerar nova senha enquanto o modo estiver ativo, e o proprietário tem tempo para retomar o controle do email.

Ao terminar o modo de proteção, a senha do MeldID volta a ser a mesma. Se o controle do email for recuperado e não houver outros sinais de problema, o usuário pode usar a conta normalmente novamente.

Se desejar trocar a senha do MeldID após essa verificação, pode fazer isso separadamente.

Razões para ativar o modo de pânico podem ser várias

Para ativar o modo, não é necessário provar a invasão previamente.

O telefone pode estar na mãos de terceiros. Uma sessão desconhecida pode aparecer na lista de dispositivos. O usuário pode receber notificações inesperadas de login ou recuperação. Às vezes, a suspeita não decorre de um evento evidente, mas de uma combinação de sinais pequenos.

Nessas circunstâncias, nem sempre é necessário investigar antes de agir. Pode ser mais prudente primeiro revogar acessos, e depois buscar detalhes.

O MeldID se baseia na lógica simples: se o proprietário achar a situação perigosa e possuir um aplicativo confiável, deve poder iniciar imediatamente uma ação de proteção. O sistema não exige provas de ataque inicialmente.

Por que uma mudança de senha nem sempre basta

A senha é apenas um elemento de autenticação. Se houver uma sessão ativa ou um token de acesso emitido, alterar a senha por si só não é o mesmo que revogar todos os acessos anteriores.

Por isso, o modo de pânico atua de forma mais abrangente. Ele não apenas muda um parâmetro, mas coloca toda a conta em um estado de proteção especial.

A sequência é a seguinte:

1. Sessões ativas e tokens são revogados;

2. Tentativas de troca de senha não concluídas antes do modo de pânico são interrompidas;

3. Solicitações de recuperação feitas durante o modo não podem alterar a senha após seu fim;

4. A senha ativa é a que foi definida ao entrar no modo de pânico;

5. O usuário tem tempo para verificar o email, dispositivos e outros pontos de risco;

6. Ao sair do modo de proteção, ele volta ao funcionamento normal ou troca a senha, se necessário.

Isso não substitui as demais medidas de segurança, mas é uma ação emergencial para momentos em que a confiança no acesso é momentaneamente perdida.

Aplicativo móvel como ponto confiável

As novas funções estão disponíveis nos aplicativos MeldID para iPhone e Android. Nessa arquitetura, o telefone passa a ser não apenas um dispositivo de login, mas um ponto confiável de gestão de segurança da conta.

Pelo aplicativo, é possível:

• Confirmar mudança de senha agendada;

• Cancelar solicitações suspeitas;

• Ativar modo de pânico;

• Encerrar sessões ativas em diversos dispositivos;

• Definir ações futuras para a conta.

O aplicativo móvel não substitui a proteção por TOTP nem outros métodos de segurança. Ele adiciona um canal de gestão adicional para situações em que a autenticação padrão já não é suficiente para garantir a integridade da conta.

Onde está a fronteira da segurança do MeldID

É importante distinguir a segurança do próprio mecanismo MeldID e a segurança do ambiente onde ele é utilizado.

O MeldID é projetado para não criar um canal padrão de obtenção da senha atual. A senha é gerada pelo sistema, não é escolhida pelo usuário e não é enviada por email. A recuperação não revela a senha existente, apenas inicia a criação de uma nova.

Contudo, o usuário ainda pode revelar seus dados de identificação, por exemplo, passando-os a terceiros ou inserindo-os onde não deveria.

Outro nível de segurança é o próprio dispositivo e sua sistema operacional. O aplicativo móvel funciona dentro dos mecanismos de proteção do iOS e Android, e não pode substituir a segurança da plataforma.

Por isso, o MeldID foca nos riscos que pode gerenciar de seu lado: geração de dados de conta, autenticação, tokens, sessões, recuperação e resposta a possíveis ameaças ao canal de recuperação.

Da entrada à ação

Quando conheci o MeldID pela primeira vez, ele poderia ser descrito como uma sistema de identificação única e gestão de perfil. Com o lançamento do aplicativo móvel e a introdução dos novos mecanismos de proteção, essa descrição ficou limitada.

Hoje, o sistema responde não só à pergunta “como fazer login?”, mas também a questões mais complexas:

• o que fazer na tentativa inesperada de recuperação;

• como recuperar a conta sem acesso ao aplicativo;

• como obter tempo para verificar antes de ativar uma nova senha;

• como cancelar uma recuperação não iniciada pelo proprietário;

• como revogar sessões ativas;

• como impedir que um email comprometido mude a senha durante o modo de proteção;

• como recuperar controle de um canal de recuperação externo;

• como manter dados do usuário ao encerrar todos os acessos;

• como retomar a operação normal após verificar a situação.

Ao todo, resulta um modelo sequencial de proteção.

A senha do MeldID, que está válida, não é transmitida pelo canal de recuperação. O acesso ao email por si só não revela a senha, mas pode permitir iniciar a criação de uma nova. Assim, a recuperação é retardada e pode ser cancelada pelo aplicativo confiável.

Se mesmo assim não for suficiente, o modo de pânico interrompe sessões ativas, revoga tokens e impede que uma recuperação não concluída sobreviva ao período de proteção.

O usuário ganha o que é especialmente importante em um incidente real: tempo.

Tempo para retomar o controle do email, verificar dispositivos, entender o ocorrido e, só então, reabrir o acesso normal à conta.

Por isso, o modo de pânico no MeldID não é só um botão “sair de todos os lugares”. É um cenário de reação para situações em que a autenticação padrão não garante mais a segurança, exigindo primeiro restabelecer a confiança no ambiente da conta.

Mais informações sobre o projeto: meldid.de.