O que é autenticação de dois fatores (2FA) e por que você precisa dela

Você pode ter a senha mais forte do mundo e ainda assim perder sua conta, porque as senhas vazam em violações de dados o tempo todo. A autenticação de dois fatores (2FA) é o segundo bloqueio simples que impede que uma senha roubada seja suficiente para entrar. Se você fizer algo pela sua segurança on-line esta semana, faça isso.

O que realmente é 2FA

Os fatores de autenticação vêm em três tipos: algo que você sabe (uma senha), algo que você tem (seu telefone ou uma chave de segurança) e algo que você é (uma impressão digital ou um rosto). 2FA simplesmente requer dois deles em vez de um. Portanto, mesmo que um invasor roube sua senha, ele ainda não conseguirá fazer login sem o segundo fator.

Os tipos, do mais fraco ao mais forte

• Códigos SMS: um texto com um código único. Melhor do que nada, mas vulnerável a ataques de "troca de SIM", em que criminosos sequestram seu número de telefone.
• Aplicativos autenticadores: aplicativos como Google Authenticator ou Authy geram códigos rotativos em seu dispositivo. Muito mais seguro que SMS e gratuito.
• Chaves de segurança de hardware: dispositivos físicos (como uma YubiKey) que você conecta ou toca. O padrão ouro: praticamente à prova de phishing.

Sempre que puder, escolha um aplicativo autenticador ou uma chave de hardware em vez de SMS.

Por que interrompe a maioria dos ataques

A grande maioria das invasões de contas depende de senhas roubadas ou reutilizadas (é por isso que você nunca deve reutilizá-las. Consulte nosso guia de senhas fortes). O 2FA interrompe totalmente esse ataque: a senha por si só é inútil. As principais agências de segurança, incluindo a CISA dos EUA, classificam a habilitação da MFA entre as coisas mais eficazes que os indivíduos podem fazer.

Onde ligá-lo primeiro

Comece com seu e-mail — é a chave mestra, porque as redefinições de senha para todo o resto vão para lá. Depois, seu banco, seu gerenciador de senhas e suas principais contas sociais e na nuvem. A maioria dos serviços está em Configurações → Segurança.

Não se esqueça dos códigos alternativos

Ao ativar a 2FA, você normalmente receberá códigos alternativos. Salve-os em algum lugar seguro (não no mesmo lugar que sua senha). Eles serão o seu caminho de volta se você perder seu telefone. Sem eles, sua própria conta poderá ser bloqueada.

Por que os aplicativos autenticadores superam o SMS

Os códigos SMS são populares porque são fáceis, mas são a forma comum mais fraca de 2FA. Em um ataque de “troca de SIM”, um criminoso convence sua operadora de celular a transferir seu número para o SIM e, de repente, seus códigos chegam ao telefone del. SMS também podem ser interceptados. Os aplicativos autenticadores geram códigos no próprio dispositivo, sem envolvimento de rede, portanto não há nada para interceptar ou redirecionar. Se um serviço oferecer 2FA baseado em aplicativo, escolha-o sempre em vez de mensagens de texto.

Como os códigos TOTP realmente funcionam

Esses códigos de seis dígitos que são atualizados a cada 30 segundos usam um padrão chamado TOTP (senha única baseada em tempo). Quando você escaneia o código QR de configuração, seu aplicativo e o servidor compartilham um segredo; ambos combinam esse segredo com a hora atual para calcular o mesmo código de forma independente. Nenhum código é enviado pela rede – ambos os lados apenas o calculam. É por isso que um aplicativo autenticador funciona mesmo no modo avião e é por isso que os códigos são tão difíceis de phishing em massa.

Chaves de acesso: o próximo passo além do 2FA

Uma tecnologia mais recente, as chaves de acesso, está começando a substituir completamente as senhas mais 2FA. Uma chave de acesso usa a biometria do seu dispositivo (impressão digital ou rosto) e criptografia de chave pública, portanto, não há senha para phishing ou vazamento e nada para digitar. Quando um serviço oferece chaves de acesso, elas são mais seguras e convenientes do que uma senha e um código. A 2FA continua essencial hoje, mas as chaves de acesso são o rumo que a segurança da conta está tomando.

Resultado

2FA exige uma segunda prova de identidade, portanto, uma senha vazada não é suficiente para invadir. Use um aplicativo autenticador ou chave de hardware em vez de SMS, ative-o primeiro em seu e-mail e armazene seus códigos de backup com segurança. São os cinco minutos de maior impacto que você pode dedicar à sua segurança.