{"id":21451,"date":"2023-07-05T11:26:05","date_gmt":"2023-07-05T14:26:05","guid":{"rendered":"https:\/\/www.kaspersky.com.br\/blog\/?p=21451"},"modified":"2023-07-05T11:26:05","modified_gmt":"2023-07-05T14:26:05","slug":"types-of-two-factor-authentication","status":"publish","type":"post","link":"https:\/\/www.kaspersky.com.br\/blog\/types-of-two-factor-authentication\/21451\/","title":{"rendered":"Tipos de autentica\u00e7\u00e3o de dois fatores: os pr\u00f3s e os contras"},"content":{"rendered":"

Em um post anterior, falamos sobre o que \u00e9 a autentica\u00e7\u00e3o de dois fatores<\/a> e por que voc\u00ea precisa dela. Resumindo, \u00e9 um mecanismo de valida\u00e7\u00e3o de acesso que depende de dois m\u00e9todos de autentica\u00e7\u00e3o diferentes.<\/p>\n

Os usu\u00e1rios precisam da autentica\u00e7\u00e3o de dois fatores para contar com uma prote\u00e7\u00e3o de conta mais confi\u00e1vel: embora cada m\u00e9todo de autentica\u00e7\u00e3o individual seja vulner\u00e1vel, dois (ou mais) s\u00e3o usados juntos para dificultar ao m\u00e1ximo perder o controle da conta.<\/p>\n

Neste post falarei sobre as op\u00e7\u00f5es de autentica\u00e7\u00e3o multifatorial dispon\u00edveis, os pr\u00f3s e contras de cada uma delas e minha recomenda\u00e7\u00e3o sobre as melhores para manter suas contas seguras.<\/p>\n

C\u00f3digos \u00fanicos entregues por SMS, e-mail ou chamada de voz<\/h2>\n

Um dos mecanismos de autentica\u00e7\u00e3o de dois fatores mais comuns para valida\u00e7\u00e3o de login s\u00e3o os c\u00f3digos \u00fanicos. Geralmente, s\u00e3o enviados via mensagem de texto para o n\u00famero de telefone especificado durante o registro. O e-mail tamb\u00e9m pode ser usado para isso, mas \u00e9 menos popular. Os principais servi\u00e7os geralmente tamb\u00e9m oferecem a op\u00e7\u00e3o de uma chamada de voz para o n\u00famero de telefone especificado no registro.<\/p>\n

Seja qual for o canal de entrega usado, a ideia \u00e9 a mesma: verificar sua capacidade de ter acesso a alguma outra conta ou n\u00famero de telefone que voc\u00ea definiu na assinatura do servi\u00e7o. Assim, se algu\u00e9m roubar sua senha mas n\u00e3o tiver acesso ao seu telefone, essa prote\u00e7\u00e3o funcionar\u00e1 muito bem.<\/p>\n

\"SMS<\/a>

Op\u00e7\u00e3o de autentica\u00e7\u00e3o de dois fatores mais comum: c\u00f3digo \u00fanico entregue por mensagem de texto<\/p><\/div>\n

Mas esse mecanismo de autentica\u00e7\u00e3o de dois fatores tem suas desvantagens. Se o e-mail for usado para confirmar o login e a senha para efetuar o login for a mesma da conta a ser protegida, voc\u00ea ter\u00e1 uma seguran\u00e7a extra muito limitada. Um invasor que tem conhecimento da senha da conta certamente tentar\u00e1 essa senha para efetuar login no seu e-mail tamb\u00e9m, obtendo assim o c\u00f3digo de valida\u00e7\u00e3o \u00fanico.<\/p>\n

A valida\u00e7\u00e3o por n\u00famero de telefone, seja por SMS ou chamada de voz, apresenta um problema diferente: \u00e9 f\u00e1cil perder o acesso. \u00c0s vezes, os usu\u00e1rios simplesmente se esquecem de recarregar a conta de telefone, perdem o telefone ou mudam o n\u00famero.<\/p>\n

Tamb\u00e9m \u00e9 comum<\/a> que os criminosos conven\u00e7am<\/a> as operadoras de telecomunica\u00e7\u00f5es a fornecer-lhes um cart\u00e3o SIM com o n\u00famero de telefone da v\u00edtima, tendo assim acesso aos c\u00f3digos de valida\u00e7\u00e3o. Al\u00e9m disso, as mensagens de texto podem ser interceptadas, casos assim j\u00e1 foram reportados<\/a>.<\/p>\n

Resumo: essa op\u00e7\u00e3o de autentica\u00e7\u00e3o de dois fatores d\u00e1 conta do recado, mas para proteger as contas mais valiosas, especialmente as relacionadas \u00e0s finan\u00e7as, \u00e9 melhor usar algo mais confi\u00e1vel.<\/p>\n

Senha como segundo fator<\/h2>\n

\u00c0s vezes, a senha n\u00e3o \u00e9 o primeiro, mas o segundo fator. Isto \u00e9 o que os servi\u00e7os de mensagens costumam fazer: por padr\u00e3o, para efetuar o login, basta inserir o c\u00f3digo de uso \u00fanico do SMS. A senha geralmente \u00e9 opcional. Opcional, mas necess\u00e1ria, se voc\u00ea quer saber. A senha ir\u00e1 proteger voc\u00ea contra diversos de problemas em potencial de uma s\u00f3 vez.<\/p>\n

Mais importante,\u00a0 proteger\u00e1 sua correspond\u00eancia contra a perda acidental de acesso ao n\u00famero de telefone que voc\u00ea usou para se registrar no WhatsApp ou Telegram. Digamos que voc\u00ea mudou seu n\u00famero de telefone principal e colocou o cart\u00e3o SIM antigo em uma gaveta, deixando-o inativo por muito tempo. A operadora revender\u00e1 seu n\u00famero depois de algum um tempo, permitindo assim que o novo propriet\u00e1rio acesse o servi\u00e7o de mensagens em seu nome, a menos que esteja protegido adicionalmente com uma senha, \u00e9 claro.<\/p>\n

E, com certeza, a senha dar\u00e1 \u00e0 sua conta do servi\u00e7o de mensagens pelo menos alguma prote\u00e7\u00e3o contra sequestradores que, de uma forma ou de outra,\u00a0 obtiveram acesso ao seu n\u00famero de telefone.<\/p>\n

Lista pr\u00e9-gerada de c\u00f3digos de uso \u00fanico<\/h2>\n

Outra op\u00e7\u00e3o dispon\u00edvel \u00e9 uma lista de c\u00f3digos \u00fanicos pr\u00e9-gerados. Os bancos \u00e0s vezes emitem essas listas para seus clientes para confirmar transa\u00e7\u00f5es, enquanto alguns servi\u00e7os da Internet (como o Google) permitem us\u00e1-las para recupera\u00e7\u00e3o de conta.<\/p>\n

Essa solu\u00e7\u00e3o pode ser considerada um mecanismo confi\u00e1vel: esses c\u00f3digos s\u00e3o transmitidos ao usu\u00e1rio extremamente raramente, ent\u00e3o h\u00e1 um m\u00ednimo de oportunidades de intercepta\u00e7\u00e3o. Os c\u00f3digos s\u00e3o aleat\u00f3rios, o que significa que s\u00e3o \u00fanicos, ent\u00e3o adivinh\u00e1-los \u00e9 quase imposs\u00edvel.<\/p>\n

Mas h\u00e1 o problema de armazenamento: se invasores conseguirem roubar sua lista de c\u00f3digos pr\u00e9-gerados, sequestrar sua conta ou roubar dinheiro ser\u00e1 extremamente f\u00e1cil.<\/p>\n

\"Lista<\/a>

Lista de c\u00f3digos \u00fanicos pr\u00e9-gerados para verifica\u00e7\u00e3o de transa\u00e7\u00f5es banc\u00e1rias<\/p><\/div>\n

Portanto, os c\u00f3digos de confirma\u00e7\u00e3o \u00fanicos devem ser armazenados em um cofre ou em sua contraparte eletr\u00f4nica. Por exemplo, h\u00e1 notas criptografadas no \u201dKaspersky<\/a>. Se voc\u00ea salvar a lista de c\u00f3digos \u00fanicos nessas notas, eles ser\u00e3o protegidos com seguran\u00e7a, desde, \u00e9 claro, que voc\u00ea defina uma senha principal boa e exclusiva para o pr\u00f3prio Kaspersky Password Manager.<\/p>\n

No entanto, o principal inconveniente desse m\u00e9todo de autentica\u00e7\u00e3o \u00e9 que, se voc\u00ea precisar de verifica\u00e7\u00f5es com frequ\u00eancia, rapidamente seus c\u00f3digos pr\u00e9-gerados ficar\u00e3o descobertos. O que significa que voc\u00ea ter\u00e1 que gerar e salvar novos cada vez mais. Se estiver mantendo v\u00e1rias contas, haver\u00e1 facilmente confus\u00e3o com todas essas listas. Portanto, os c\u00f3digos pr\u00e9-gerados como o principal m\u00e9todo de autentica\u00e7\u00e3o foram substitu\u00eddos por c\u00f3digos gerados sob demanda, quando voc\u00ea precisar deles.<\/p>\n\n

C\u00f3digos \u00fanicos gerados por aplicativo autenticador<\/h2>\n

A gera\u00e7\u00e3o de c\u00f3digos \u00fanicos \u201cem tr\u00e2nsito\u201d \u00e9 feita por autenticadores. \u00c0s vezes, podem ser dispositivos aut\u00f4nomos com uma tela pequena que exibe o c\u00f3digo atual, alguns bancos fornecem esses autenticadores a seus clientes.<\/p>\n

Mas hoje em dia os aplicativos autenticadores especiais executados em smartphones s\u00e3o mais populares do que os dispositivos independentes. Temos v\u00e1rios posts sobre o assunto:<\/p>\n