Chaves push e de hardware

Os códigos OTP digitados funcionam, mas são incômodos e vulneráveis a phishing. Dois fatores de posse mais fortes melhoram a experiência e a segurança: aprovações por notificação e chaves físicas de segurança.

A MFA baseada em notificações envia uma solicitação para seu telefone. Você toca em Aprovar ou Recusar em vez de digitar um código.

É conveniente, e o servidor confirma a resposta por meios criptográficos.

As solicitações de aprovação são vulneráveis à fadiga de MFA (bombardeio de notificações): os invasores enviam muitas solicitações, esperando que o usuário toque em Aprovar por irritação.

Defesa: correspondência de números, na qual o usuário precisa informar um número exibido na tela de login.

Uma chave física de segurança é um pequeno dispositivo físico (USB, NFC ou Bluetooth) que realiza autenticação criptográfica.

A chave privada nunca sai do dispositivo, o que a torna extremamente resistente ao roubo.

FIDO2 é o padrão aberto por trás das chaves de segurança modernas. Sua parte web é a API de navegador WebAuthn.

Juntos, eles permitem que um site autentique usuários com criptografia de chave pública, em vez de segredos compartilhados.

Durante o registro, a chave gera um par de chaves exclusivo para cada site e fornece a chave pública ao site.

Durante o login, o servidor envia um desafio; a chave o assina com a chave privada. A assinatura comprova a posse sem revelar nenhum segredo.

O FIDO2 vincula cada credencial à origem exata do site (domínio).

Um site de phishing em um domínio parecido não obtém uma assinatura válida, porque a chave se recusa a autenticar na origem incorreta. É isso que o torna resistente a phishing.

As chaves de acesso são credenciais FIDO2 que podem ser sincronizadas entre seus dispositivos por meio da plataforma (telefone, notebook).

Elas pretendem substituir completamente as senhas, mantendo a resistência a phishing do FIDO2.

As chaves de segurança podem adicionar uma verificação local, chamada verificação do usuário: um PIN ou dado biométrico no próprio dispositivo.

Isso combina algo que você possui com algo que você sabe ou que você é em um único toque.

Aproximadamente, do mais fraco ao mais forte:

• Códigos SMS (evite-os quando possível)
• Aplicativos TOTP
• Notificações com correspondência de números
• FIDO2 / chaves de acesso (resistentes a phishing)

Ao distribuir chaves físicas:

• Registre pelo menos duas chaves por usuário (uma como backup).
• Ofereça um caminho de recuperação que também seja resistente a phishing.
• Dê preferência ao FIDO2 para contas de alto valor.

Você aprendeu sobre fatores de posse mais fortes.

• As notificações são convenientes, mas precisam de correspondência de números para resistir a ataques de fadiga.
• FIDO2 / chaves de acesso usam pares de chaves por site e vinculação à origem para resistir a phishing.
• Registre chaves de backup.

Em seguida, veremos como a MFA ainda pode ser contornada e como reforçá-la.