Fatores de autenticação

Autenticação é provar que você é quem afirma ser.

Uma autenticação forte depende da combinação de diferentes fatores, cada um representando um tipo distinto de prova.

Os fatores de autenticação se dividem em três categorias:

• Algo que você sabe (uma senha ou PIN)
• Algo que você possui (um telefone ou uma chave de segurança)
• Algo que você é (uma impressão digital ou o rosto)

Fatores de conhecimento são segredos que você memoriza: senhas, PINs e perguntas de segurança.

Eles são baratos e familiares, mas podem ser facilmente obtidos por phishing, adivinhados ou reutilizados em vários sites.

Fatores de posse são coisas que você segura fisicamente:

• Um telefone que recebe um código ou uma notificação
• Uma chave de segurança física
• Um cartão inteligente

Um atacante precisa roubar o dispositivo para usá-lo.

Fatores de inerência são biométricos: impressões digitais, rosto, íris ou voz.

Eles são convenientes e difíceis de esquecer, mas não podem ser alterados se forem comprometidos; por isso, é melhor usá-los como um fator entre vários.

A Autenticação multifator (MFA) exige fatores de categorias diferentes.

Uma senha mais um PIN não é MFA, pois ambos são fatores de conhecimento. Uma senha mais um código enviado ao telefone é.

As senhas, sozinhas, são o elo mais fraco: são reutilizadas, obtidas por phishing e expostas em vazamentos.

Adicionar um segundo fator significa que uma senha roubada já não é suficiente para iniciar sessão.

A Autenticação de dois fatores (2FA) é uma MFA com exatamente dois fatores.

MFA é o termo mais abrangente e pode exigir dois ou mais fatores. Na prática, a maioria dos sistemas voltados ao consumidor usa 2FA.

Segundos fatores típicos, do mais fraco ao mais forte:

• Códigos por SMS (vulneráveis à troca de SIM)
• Códigos de aplicativos autenticadores (TOTP)
• Aprovações por notificação
• Chaves de segurança físicas (as mais fortes)

Os sistemas modernos usam autenticação adaptativa (baseada em risco): fatores adicionais só são exigidos quando o início de sessão parece arriscado.

Os sinais incluem um novo dispositivo, uma localização incomum ou um deslocamento impossível.

Alguns sistemas tratam a localização (um lugar onde você está) ou o comportamento (ritmo de digitação) como sinais adicionais.

Geralmente, eles são indicadores de risco, e não fatores independentes, mas fortalecem a decisão geral.

Qual destas combinações se qualifica como verdadeira autenticação multifator?

Você aprendeu as três categorias de fatores de autenticação: algo que você sabe, possui e é.

• A verdadeira MFA combina fatores de categorias diferentes.
• Os segundos fatores vão do SMS fraco às chaves físicas fortes.
• A autenticação adaptativa acrescenta fatores apenas quando o risco é alto.

Em seguida, veremos como funcionam os algoritmos de senhas de uso único.