Autenticação de dois fatores

O que significa autenticação de dois fatores

A autenticação de dois fatores, muitas vezes abreviada como 2FA, é um método de login que pede dois tipos diferentes de prova de que a pessoa é quem afirma ser. O primeiro é normalmente algo que se sabe, como a senha. O segundo é algo que se tem, como um telemóvel/celular com uma aplicação autenticadora, uma chave de segurança física ou um código enviado por SMS, ou algo que se é, como uma impressão digital ou o reconhecimento facial.

A ideia é simples. Uma senha roubada ou adivinhada não basta por si só, porque o atacante precisa também do segundo elemento. As senhas vazam em violações de dados, são reutilizadas em vários sites e podem ser capturadas por páginas de login falsas. Um segundo fator acrescenta uma barreira que esses ataques de rotina dificilmente conseguem transpor.

Para quem tem uma conta de corretagem, de negociação ou de pagamentos, o 2FA é uma das proteções mais eficazes e menos custosas que existem. As contas guardam dinheiro e documentos pessoais e podem ser usadas para executar operações ou pedir saques, pelo que são um alvo natural de criminosos. Muitas empresas reguladas exigem ou recomendam fortemente o 2FA e, em algumas regiões, as regras de autenticação forte do cliente em pagamentos fazem com que seja aplicado a certas ações, quer se escolha quer não.

Como funciona

O processo acrescenta uma etapa depois da senha.

1. Introduz-se o nome de utilizador/usuário e a senha, como habitualmente.
2. O serviço pede um segundo fator. Pode ser um código de seis dígitos que muda a cada 30 segundos, uma notificação push que se aprova, um toque numa chave física ou uma verificação biométrica.
3. O serviço verifica o segundo fator em relação ao que espera. Se ambos estiverem corretos, a sessão é iniciada.

Os principais tipos diferem em robustez.

• Códigos por SMS ou chamada de voz. Um código é enviado para o número de telefone. É fácil de configurar, mas mais fraco, porque os números de telefone podem ser desviados por troca de SIM (SIM swapping) e as mensagens podem ser intercetadas.
• Aplicações autenticadoras. A aplicação e o serviço partilham um segredo durante a configuração. A aplicação gera então localmente códigos de uso único baseados no tempo, sem necessidade de rede. É a escolha padrão habitual.
• Aprovações push. O serviço envia um pedido a uma aplicação registada e a pessoa aprova ou recusa. É cómodo, mas pode ser explorado se se tocar em aprovar por hábito.
• Chaves de segurança físicas. Um pequeno dispositivo que comprova a identidade de forma criptográfica e está associado ao endereço real do site, pelo que resiste a páginas de login falsas. Em geral, é a opção mais forte para utilizadores comuns.
• Biometria. Impressão digital ou reconhecimento facial num dispositivo, que normalmente desbloqueia uma credencial guardada em vez de ser enviada ao próprio serviço.

Os serviços emitem também códigos de recuperação na configuração. Estes permitem entrar se o dispositivo for perdido e devem ser guardados offline.

Um exemplo prático

Este é um cenário ilustrativo. Um operador usa a mesma senha num fórum e numa conta de corretagem. O fórum sofre uma violação e a senha aparece numa lista vendida na internet.

Sem 2FA

1. Um atacante experimenta o e-mail e a senha vazados na página de login da corretora.
2. Funciona. O atacante entra na conta, altera os dados de contato e tenta fazer um pedido de saque.

Com 2FA através de uma aplicação autenticadora

1. O atacante experimenta o mesmo e-mail e a mesma senha.
2. A corretora pede um código de seis dígitos. O atacante não tem o telemóvel/celular do operador e não consegue produzir um.
3. O login falha. O operador pode receber uma notificação sobre a tentativa falhada e pode alterar a senha.

A senha vazada era a mesma nos dois casos. A diferença é uma segunda barreira. Se o atacante tivesse, em vez disso, enganado o operador para que este digitasse um código numa página de login falsa em tempo real, um código de aplicação ainda poderia ser retransmitido, e é por isso que as chaves físicas e os métodos resistentes a phishing são valorizados.

Por que é importante

O roubo de contas é uma das principais causas de fraude na negociação de varejo, e as consequências podem incluir operações não autorizadas, tentativas fraudulentas de saque, roubo de identidade e uso indevido dos documentos enviados para verificação. A recuperação pode ser lenta, e nem todas as perdas são reembolsadas, já que os termos dependem da empresa e de ter havido negligência com as credenciais.

As funcionalidades de segurança também diferem entre corretoras. Algumas exigem 2FA em todos os logins e nos saques, outras oferecem-no como opcional e outras só suportam SMS. A proteção dos saques, como a confirmação adicional para acrescentar uma nova conta bancária, pode ser tão importante quanto o próprio login. A abordagem de uma corretora à autenticação é um sinal sobre a seriedade com que trata a segurança dos clientes, a par da segregação de fundos de clientes e de outros controles.

Como usar na prática

1. Ativar o 2FA na corretora, no e-mail, no banco e em quaisquer contas de pagamento ou de criptomoedas. O e-mail é crítico, porque pode redefinir todas as outras senhas.
2. Preferir uma aplicação autenticadora ou uma chave física ao SMS, sempre que o serviço o ofereça.
3. Guardar os códigos de recuperação offline, por exemplo impressos e armazenados em segurança, e não na mesma conta de e-mail.
4. Usar uma senha única para cada serviço, de preferência gerada e guardada num gestor de senhas.
5. Verificar se a corretora oferece confirmação adicional para saques e alterações de dados bancários, e ativá-la.
6. Manter atualizados o número de telefone e o e-mail, para poder recuperar o acesso.
7. Nunca partilhar um código com ninguém, incluindo quem afirme ser do suporte. O pessoal legítimo não o pede.
8. Rever regularmente as notificações de login e de dispositivos enviadas pela corretora.

Erros comuns e ideias erradas

• Presumir que os códigos por SMS são tão fortes como os de uma aplicação. São melhores do que nada, mas estão expostos à troca de SIM.
• Aprovar pedidos push que não foram iniciados pela própria pessoa. Pedidos inesperados devem ser recusados e a senha alterada.
• Perder o único dispositivo sem ter cópia de segurança. Sem códigos de recuperação, a recuperação pode exigir verificações de identidade demoradas.
• Acreditar que o 2FA torna o phishing inofensivo. Ataques de retransmissão em tempo real podem capturar códigos de uso único. Verificar o endereço do site antes de os introduzir.
• Usar 2FA na corretora mas não na conta de e-mail. Um atacante com acesso ao e-mail pode muitas vezes redefinir a senha da corretora e, por vezes, o segundo fator.
• Dizer o código a alguém por telefone porque essa pessoa afirmou tratar-se de uma verificação de segurança.

Riscos e limitações

A autenticação de dois fatores reduz o risco, mas não o elimina. Malware no dispositivo, retransmissões de phishing, engenharia social contra o pessoal de suporte e procedimentos de recuperação fracos podem ainda levar a um comprometimento. Métodos fortes podem também bloquear o acesso se o dispositivo for perdido e não houver cópia de segurança. As regras e os métodos disponíveis variam consoante o país e a empresa, e o 2FA protege o acesso à conta, não o valor dos investimentos nela, pelo que não é defesa contra perdas de mercado.

Como a Brokeli vê o tema

Quando recolhemos pesquisa sobre corretoras, registamos que opções de autenticação são oferecidas, se o 2FA é obrigatório ou opcional e se se aplicam verificações adicionais aos saques. Este é um dos vários itens de segurança da conta que registamos, a par da regulação, da segregação do dinheiro dos clientes e do processo de verificação. Descrevemos o que a corretora publica e não testamos nem certificamos a sua segurança.