Em virtude de algumas referências publicadas na Internet sobre eventuais questões que poderão colocar em causa a segurança da Chave Móvel Digital, a AMA esclarece:

“A Chave Móvel Digital (CMD) é um serviço público inovador e seguro que permite a autenticação do seu titular em portais e sítios na Internet, quer de entidades públicas, quer de entidades privadas.

A autenticação é feita com recurso ao telemóvel de cada cidadão, ou através do seu endereço de email, seguindo-se para tal as melhores práticas internacionais, previstas no regulamento Europeu 910/2014.

A CMD recorre a um processo de autenticação multifator, sendo sempre requerido duas fases de introdução de um segredo: um PIN (escolhido pelo titular) e um OTP (one-time password, provisório e gerado automática e aleatoriamente pelo sistema da CMD).

Os mecanismos de segurança que integram a CMD -o PIN e o OTP- não permitem uma avaliação isolada ou parcelar na medida em que só atuam de forma conjugada. A segurança do sistema advém precisamente da natureza conjugada dos dois tipos de segredo (um fixo, só de conhecimento do titular, outro variável e gerado aleatoriamente, tal como sucede em sistemas multifator usados já em soluções comerciais de homebanking).

Tratando-se de um sistema multifator, com a existência de dois momentos e dois segredos, é ainda crucial garantir um nível de adequação e comodidade na formação dos códigos PIN. Tal como acontece com os códigos PIN de outros sistemas (nomeadamente os cartões bancários), o formato de PIN utilizado pela CMD garante ambos os objetivos:  i) segurança e ii) conveniência na utilização.

No que concerne à possibilidade de ocorrência de ataques por brute force de tentativa e erro, a plataforma da CMD respeita as melhores práticas já testadas e adotadas por outras plataformas de autenticação (e.g., Apple, Microsoft), que culminam com o bloqueio completo da conta de CMD.

Por ser referido, não podemos deixar ainda de salientar que o reportado sobre login e logout na página "autenticação.gov" nada tem a ver com a CMD, e menos ainda com a segurança que a mesma confere no serviço de autenticação.

A situação reportada refere-se apenas à área reservada de um site (que permite a adesão  ao sistema de certificação de atributos empresariais). Este serviço usa a Chave Móvel Digital (CMD), tal como outros sites públicos (e.g., Portal das Finanças, Segurança Social Direta, Portal SNS, Portal do Cidadão, etc). Assim, o comportamento registado diz apenas respeito à configuração deste site, e não ao serviço de autenticação CMD. Embora se trate de um aspeto de configuração desta área reservada, esclarecemos ainda que este site específico foi entretanto alterado para evitar futuras interpretações ou ocorrências semelhantes.

Assim, o processo de logout tem efeito localmente e, também, centralmente (single logout). Deve, no entanto, ficar explícito que tal sucedia pela configuração do site e não pelo mecanismo de autenticação usado (que tanto poderia ser a CMD como outro a que o site recorresse).

Finalmente, não podemos deixar de agradecer as questões, bem como todos os alertas e contributos que nos permitem melhorar o uso, comunicação e renovação dos sistemas públicos de governo eletrónico.

Estamos igualmente sempre recetivos para robustecer práticas de segurança quando tal ficar evidente e se manifestar necessário, o que não acontece nas situações reportadas.”

Fonte: AMA