Proteção de sessão pós-autenticação com device fingerprinting e nonce com timestamp: um estudo aplicado ao Sistema de Telemedicina e Telessaúde

• Victória Pacheco Lobo UFSC
• Douglas D. J. de Macedo UFSC

DOI: https://doi.org/10.5753/sbseg_estendido.2026.29505

Resumo

Após a autenticação, a sessão web permanece exposta ao sequestro de sessão, em que um atacante reutiliza um token de acesso capturado, e ao ataque de replay, em que uma requisição autenticada é reenviada e aceita. Este trabalho implementa e valida dois mecanismos de proteção pós-autenticação no Sistema de Telemedicina e Telessaúde (STT): o device fingerprinting, que vincula o token ao dispositivo de origem, e o controle de requisições com nonce e timestamp, que garante unicidade e validade temporal. Simulações de ataque mostram que o sistema, que antes estava vulnerável a ambas as ameaças, passa a rejeitar requisições de outro dispositivo e requisições duplicadas ou expiradas.

Referências

ANPD (2024). Guia Orientativo das Hipóteses Legais de Tratamento de Dados — Legítimo Interesse. Autoridade Nacional de Proteção de Dados, Brasília. Acesso em: 17 abr. 2026.

Baitha, A. K. and Vinod, S. (2018). Session hijacking and prevention technique. International Journal of Engineering and Technology, 7(2.6):193–198. DOI: 10.14419/i-jet.v7i2.6.10566. Acesso em: 23 mar. 2026.

BRASIL (2018). Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais (LGPD). Diário Oficial da União, Brasília, DF, 15 ago. 2018. Acesso em: 14 mar. 2026.

BRASIL (2020). Lei nº 13.989, de 15 de abril de 2020. Dispõe sobre o uso da telemedicina durante a crise causada pelo coronavírus (SARS-CoV-2). Diário Oficial da União, Brasília, DF, 16 abr. 2020. Acesso em: 14 mar. 2026.

BRASIL (2022). Lei nº 14.510, de 27 de dezembro de 2022. Altera a Lei nº 8.080, de 19 de setembro de 1990, para autorizar e disciplinar a prática da telessaúde em todo o território nacional, e a Lei nº 13.146, de 6 de julho de 2015; e revoga a Lei nº 13.989, de 15 de abril de 2020. Diário Oficial da União, Brasília, DF, 28 dez. 2022. Acesso em: 14 mar. 2026.

Caetano, R., Silva, A. B., Guedes, A. C. C. M., Paiva, C. C. N. d., Ribeiro, G. d. R., Santos, D. L., and Silva, R. M. d. (2020). Desafios e oportunidades para telessaúde em tempos da pandemia pela COVID-19: uma reflexão sobre os espaços e iniciativas no contexto brasileiro. Cadernos de Saúde Pública, 36(5). DOI: 10.1590/0102-311X00088920. Acesso em: 14 mar. 2026.

Campbell, B., Bradley, J., Sakimura, N., and Lodderstedt, T. (2020). OAuth 2.0 mutual-TLS client authentication and certificate-bound access tokens. RFC 8705, Internet Engineering Task Force (IETF). Acesso em: 20 mar. 2026.

Cao, Y., Li, S., and Wijmans, E. (2017). (cross-)browser fingerprinting via OS and hardware level features. In Proceedings of the Network and Distributed System Security Symposium (NDSS). DOI: 10.14722/ndss.2017.23152. Acesso em: 05 maio 2026.

Cooper, A., Tschofenig, H., Aboba, B., Peterson, J., Morris, J., Hansen, M., and Smith, R. (2013). Privacy considerations for internet protocols. RFC 6973, Internet Architecture Board (IAB). Acesso em: 23 mar. 2026.

Eckersley, P. (2010). How unique is your web browser? In Proceedings of the 10th International Symposium on Privacy Enhancing Technologies (PETS), pages 1–18. Springer. DOI: 10.1007/978-3-642-14527-8_1.

Englehardt, S. and Narayanan, A. (2016). Online tracking: A 1-million-site measurement and analysis. In Proceedings of the 2016 ACM SIGSAC Conference on Computer and Communications Security (CCS ’16). ACM. DOI: 10.1145/2976749.2978313. Acesso em: 05 maio 2026.

Fett, D., Campbell, B., Bradley, J., Lodderstedt, T., Jones, M., and Waite, D. (2023). OAuth 2.0 demonstrating proof of possession (DPoP). RFC 9449, Internet Engineering Task Force (IETF). Acesso em: 29 maio 2026.

Fingerprint (2025). Introduction. Fingerprint Documentation. Acesso em: 20 mar. 2026.

FingerprintJS (2025). FingerprintJS: Browser fingerprinting library. GitHub. Acesso em: 20 mar. 2026.

Franco, M. F., Soares, L. R., and Nobre, J. C. (2025). Saúde sob ataque: Da avaliação de riscos ao desenvolvimento de estratégias de investimentos em cibersegurança na área da saúde. In Minicursos do XXV Simpósio Brasileiro de Computação Aplicada à Saúde (SBCAS 2025). Sociedade Brasileira de Computação. DOI: 10.5753/sbc.16731.5.1. Acesso em: 18 abr. 2026.

Hammer-Lahav, E. (2010). The OAuth 1.0 protocol. RFC 5849, Internet Engineering Task Force (IETF). Acesso em: 12 maio 2026.

Hwang, W. S., Shon, J. G., and Park, J. S. (2022). Web session hijacking defense technique using user information. Human-centric Computing and Information Sciences, 12(16). DOI: 10.22967/HCIS.2022.12.016. Acesso em: 20 mar. 2026.

IBM Security (2025). Cost of a data breach report 2025. Technical report, IBM Corporation, Armonk. Acesso em: 23 mar. 2026.

Jones, M. and Hardt, D. (2012). The OAuth 2.0 authorization framework: Bearer token usage. RFC 6750, Internet Engineering Task Force (IETF). Acesso em: 20 mar. 2026.

Kamal, P. (2016). State of the art survey on session hijacking. Global Journal of Computer Science and Technology, 16(1). Acesso em: 23 mar. 2026.

Laperdrix, P., Bielova, N., Baudry, B., and Avoine, G. (2020). Browser fingerprinting: A survey. ACM Transactions on the Web, 14(2). DOI: 10.1145/3386040. Acesso em: 23 mar. 2026.

Macedo, D. D. J. d., von Wangenheim, A., and Dantas, M. A. R. (2015). A data storage approach for large-scale distributed medical systems. In Proceedings of the Ninth International Conference on Complex, Intelligent, and Software Intensive Systems (CISIS), pages 486–490. IEEE. DOI: 10.1109/CISIS.2015.88.

Mayer, J. R. (2009). “any person. . . a pamphleteer”: Internet anonymity in the age of web 2.0. Senior thesis (bachelor of arts), Woodrow Wilson School of Public and International Affairs, Princeton University, Princeton. Acesso em: 23 mar. 2026.

Mello, E. R. d., Chaves, S. A. d., Silva, C. E. d., Wangham, M. S., Brito, A., and Henriques, M. A. A. (2022). Autenticação e autorização: antigas demandas, novos desafios e tecnologias emergentes. In Minicursos do XXII Simpósio Brasileiro de Segurança da Informação e de Sistemas Computacionais (SBSeg 2022). Sociedade Brasileira de Computação. DOI: 10.5753/sbc.10710.3.1. Acesso em: 24 mar. 2026.

Microsoft (2022). From cookie theft to BEC: Attackers use AiTM phishing sites as entry point to further financial fraud. Microsoft Security Blog. Acesso em: 24 mar. 2026.

Mowery, K. and Shacham, H. (2012). Pixel perfect: Fingerprinting canvas in HTML5. In Proceedings of Web 2.0 Security and Privacy (W2SP). IEEE Computer Society. Acesso em: 05 maio 2026.

NIST (2025). Digital identity guidelines. NIST Special Publication 800-63B-4, National Institute of Standards and Technology. DOI: 10.6028/NIST.SP.800-63b-4. Acesso em: 23 mar. 2026.

Popov, A., Nystroem, M., Balfanz, D., and Hodges, J. (2018). The token binding protocol version 1.0. RFC 8471, Internet Engineering Task Force (IETF). Acesso em: 21 maio 2026.

Redis (2024). SET – Redis commands. Redis Documentation. Acesso em: 23 maio 2026.

Saraiva, A. R., Elleres, P. A. d. P., Carneiro, G. d. B., and Feitosa, E. L. (2014). Device fingerprinting: Conceitos e técnicas, exemplos e contramedidas. In Minicursos do XIV Simpósio Brasileiro em Segurança da Informação e de Sistemas Computacionais (SBSeg 2014). Sociedade Brasileira de Computação. Acesso em: 20 mar. 2026.

Saúde Digital UFSC (2025). Quem somos. Núcleo Saúde Digital UFSC, Florianópolis. Acesso em: 20 mar. 2026.

Sembay, M. J., Macedo, D. D. J. d., and Marquez Filho, A. A. G. (2024). Gerenciamento de dados de proveniência em telemedicina e telessaúde: possíveis abordagens e perspectivas à luz da ciência da informação em saúde no brasil. Asklepion: Informação em Saúde, 3(1). DOI: 10.21728/asklepion.2024v3n1e-89. Acesso em: 18 abr. 2026.

Uma, E. and Kannan, A. (2013). The dynamic nonce based authentication scheme to defend intermediary attack for web services. Journal of Computer Science, 9(8). DOI: 10.3844/jcssp.2013.998.1007. Acesso em: 16 maio 2026.

Unger, T., Mulazzani, M., Frühwirt, D., Huber, M., Schrittwieser, S., and Weippl, E. (2013). SHPF: Enhancing HTTP(S) session security with browser fingerprinting. In Proceedings of the 2013 Eighth International Conference on Availability, Reliability and Security (ARES). IEEE. DOI: 10.1109/ARES.2013.33. Acesso em: 28 mar. 2026.

Verizon Business (2025). 2025 data breach investigations report. Technical report, Verizon. Acesso em: 24 mar. 2026.

Wallauer, J., von Wangenheim, A., Andrade, R., and Macedo, D. D. J. d. (2008). A telemedicine network using secure techniques and intelligent user access control. In Proceedings of the 21st IEEE International Symposium on Computer-Based Medical Systems (CBMS), Jyväskylä. IEEE. Acesso em: 18 abr. 2026.