O que é Autenticação multifator (MFA)?

O que é MFA (Autenticação multifator)?

A autenticação multifator, ou MFA, é uma forma de verificar a identidade do usuário mais segura do que a clássica combinação nome de usuário/senha. A MFA geralmente incorpora uma senha, mas também incorpora um ou dois fatores adicionais de autenticação. A autenticação de dois fatores (2FA) é um tipo de MFA.

A AMF é uma parte importante do gerenciamento de identidade e acesso (IAM) e é frequentemente implementada dentro das soluções de autenticação única (SSO).

Quais são os fatores de autenticação?

Antes de permitir que um usuário acesse um aplicativo de software ou uma rede, os sistemas de verificação de identidade avaliam o usuário quanto às características que lhe são específicas, de modo a garantir que ele seja quem diz ser. Essas características também são conhecidas como "fatores de autenticação".

Os três fatores de autenticação mais amplamente utilizados são:

1. Conhecimento: algo que o usuário conhece
2. Posse: algo que o usuário possui
3. Qualidades inerentes: algo que o usuário é

MFA se refere ao uso de dois ou mais fatores de autenticação. Caso sejam utilizados apenas dois fatores de autenticação, a MFA também pode ser chamada de autenticação de dois fatores ou verificação em duas etapas. A autenticação de três fatores é outra forma de MFA.

Quais são alguns exemplos do mundo real dos três fatores de autenticação?

• Conhecimento (algo que o usuário conhece): Esse fator é algo que apenas um usuário deve conhecer, como uma combinação de nome de usuário e senha. Outros tipos de fatores de conhecimento incluem perguntas de segurança, números de identificação e números da Previdência Social. Até mesmo um "handshake secreto" pode ser algo que o usuário sabe.
• Posse (algo que o usuário possui): Esse fator se refere à posse de uma chave, token ou dispositivo físico. O exemplo mais básico desse fator de autenticação é usar uma chave física da casa para entrar nela. No contexto da computação, o objeto físico pode ser uma chave com alarme, um dispositivo USB ou mesmo um smartphone.
  Muitos sistemas AMF modernos enviam um código temporário para o telefone de um usuário e pedem que ele digite o código para acessar sua conta. Isso comprova que o usuário possui um telefone que ninguém mais possui, ajudando a estabelecer sua identidade (a menos que um invasor tenha roubado o cartão SIM do usuário).
• Qualidades inerentes (algo que o usuário é): Isto se refere a uma propriedade física do próprio corpo. A versão mais básica desse fator de autenticação é a capacidade de reconhecer alguém pela visão ou pelo som de sua voz. Os seres humanos utilizam essa capacidade constantemente em suas interações diárias. A verificação da aparência de uma pessoa em relação à foto na carteira de identidade é outro exemplo de verificação de qualidades inerentes.
  No contexto da computação, um exemplo desse fator de autenticação é a identificação facial, um recurso oferecido por muitos smartphones modernos. Outros métodos podem incluir a digitalização de impressões digitais, exames de retina e exames de sangue.

Por que a AMF é mais segura do que a autenticação de um único fator?

A autenticação de um único fator é o uso de apenas um dos fatores acima para identificar uma pessoa. Exigir apenas um nome de usuário e uma senha é o exemplo mais comum de autenticação de um único fator.

O problema com a autenticação de um único fator é que um invasor só precisa atacar com êxito o usuário de uma única maneira para se fazer passar por ele. Se alguém roubar a senha do usuário, a conta do usuário fica comprometida. Por outro lado, se o usuário implementar a AMF, o invasor precisará mais do que uma senha para obter acesso à conta. Por exemplo, é provável que ele precise roubar um item físico do usuário também, o que é muito mais difícil.

Esse problema também se aplica a outras formas de autenticação de um único fator. Imagine se os bancos exigissem apenas o uso de um cartão de débito para retirar dinheiro (o fator posse) em vez de exigir um cartão e um PIN. Para roubar dinheiro da conta de alguém, o ladrão só precisaria roubar o cartão de débito dessa pessoa.

É importante lembrar que é o uso de fatores diferentes que tornam a AMF segura, e não múltiplos usos do mesmo fator.

Suponhamos que um aplicativo solicita que o usuário digite apenas uma senha, enquanto outro aplicativo solicita que o usuário digite tanto uma senha como uma resposta a uma pergunta de segurança. Qual aplicativo é mais seguro?

Tecnicamente, a resposta é nenhum: ambos os aplicativos dependem de um único fator de autenticação, o fator conhecimento. Um aplicativo que requer uma senha e um token físico ou a digitalização da impressão digital é mais seguro do que um aplicativo que requer apenas uma senha e algumas perguntas de segurança.

Quais formas de MFA são as mais eficazes?

Esta é uma questão altamente contextual. Geralmente, qualquer forma de autenticação multifator será muito mais segura do que a autenticação de fator único.

Assim, certas formas de MFA demonstraram ser vulneráveis a métodos de ataque sofisticados. Em um exemplo do mundo real, os invasores enviaram aos funcionários mensagens de phishing por SMS apontando para páginas de login falsas para o serviço de logon único da organização. Se um usuário digitasse seu nome de usuário e senha nesta página falsa, as seguintes etapas eram adotadas:

1. Os invasores usaram o nome de usuário e a senha roubados na página de login real da organização
2. A página de login real tentou verificar outro fator de autenticação, posse, enviando um código temporário para o telefone do usuário real.
3. Os invasores redirecionaram o usuário para outra página falsa, que pedia para inserir o código temporário.
4. Se o usuário fazia isso, os invasores usavam esse código na página de login real e obtinham acesso à conta.

Por outro lado, outra forma de verificar a posse, um token de segurança USB, não seria suscetível a esse ataque específico. Se todos os usuários receberem tokens de segurança exclusivos para conectar em seus computadores e precisarem ativar fisicamente esses tokens para se autenticar, os invasores em posse do nome de usuário e da senha de alguém não poderão acessar as contas, a menos que roubem o computador dessa pessoa. O mesmo poderia ser dito sobre a verificação de identidade usando qualidades inerentes, por exemplo o escaneamento facial ou da impressão digital de um usuário.

Isso significa que os tokens de segurança e os escaneamentos de impressões digitais são mais seguras do que senhas únicas? Em um contexto de phishing, sim. Mas as organizações devem avaliar seus riscos e necessidades específicas de segurança antes de selecionar um método de MFA. E mais uma vez, qualquer forma de MFA é mais segura do que a autenticação de um único fator, e representa um importante passo à frente na jornada de segurança de uma organização.

Há algum outro fator de autenticação?

Alguns membros do setor de segurança propuseram ou implementaram fatores de autenticação adicionais além dos três principais listados acima. Embora sejam raramente implementados, esses fatores de autenticação são os seguintes:

Localização: o local onde o usuário está no momento do login. Por exemplo, se estiver sediada nos EUA e todos os seus funcionários estiverem trabalhando nos EUA, uma empresa poderia avaliar a localização do GPS dos funcionários e rejeitar um login feito em outro país.

Hora: Quando um usuário faz login, normalmente o faz no mesmo contexto de seus outros logins e de sua localização. Se um usuário parece fazer login em um país e em seguida, tenta fazer login em outro país vários minutos depois, essas solicitações provavelmente não são legítimas. Um sistema também pode rejeitar tentativas de login fora do horário comercial normal, embora isso seja mais uma política de segurança do que um fator de autenticação de identidade.

Considerando-se que ambas sejam fatores de identidade adicionais — algo que ainda está em discussão —, as autenticações de quatro e cinco fatores são tecnicamente possíveis. Ambas estão incluídas no conceito de autenticação multifator.

A implementação de medidas de segurança reforçadas como essas deve ser ponderada tendo em vista o custo que representam para o usuário, já que medidas de segurança excessivamente rigorosas muitas vezes incentivam os usuários a contornarem as políticas oficiais.

Como os usuários podem implementar a AMF para suas contas?

Muitos serviços web para consumidores oferecem a AMF atualmente. A maioria dos aplicativos que têm AMF oferecem uma forma de 2FA que requer que o usuário use seu smartphone ao fazer o login. Explore as configurações de segurança de cada aplicativo para ver se é possível ativar o 2FA. Além disso, a Cloudflare permite que todos os usuários da Cloudflare implementem o 2FA em suas contas.

Como as empresas podem implementar a AMF?

O uso de uma solução SSO é uma etapa recomendada para a implementação da AMF. O SSO oferece um único lugar para a implementação da AMF em todos os apps, ao passo que nem todos os apps individuais são compatíveis com a AMF.

O Cloudflare Zero Trust se integra aos fornecedores de SSO compatíveis com 2FA. A Cloudflare ajuda a proteger sites e aplicativos de empresas na nuvem controlando o que os usuários são capazes de fazer e aplicando políticas de segurança para os funcionários, quer estejam trabalhando remotamente ou dentro de ambientes de escritório controlados.