Uma palavra-passe sozinha não chega. Mesmo uma palavra-passe forte pode ser adivinhada, roubada ou quebrada por um atacante. Se alguém souber a tua palavra-passe, consegue entrar na tua conta. A autenticação de dois fatores (2FA) é a camada de segurança que impede isso. Exige um segundo passo de verificação além da palavra-passe, a provar que és quem dizes ser, mesmo que a tua palavra-passe tenha sido comprometida.
Este artigo explica como funciona a 2FA, onde a usar nos teus formulários, quais são os métodos de 2FA mais seguros e como a implementar sem criar atrito para os utilizadores legítimos.
O que vais aprender: o que é a autenticação de dois fatores e porque importa, os diferentes tipos de 2FA, como funciona cada método, que formulários precisam de proteção com 2FA e como escolher o método certo para o teu caso.
O que é a autenticação de dois fatores?
A autenticação de dois fatores exige duas provas separadas antes de dar acesso. Os fatores costumam dividir-se assim:
- Algo que sabes: uma palavra-passe ou um PIN
- Algo que tens: um telemóvel, uma chave de segurança ou uma app de autenticação
- Algo que és: um dado biométrico, como a impressão digital ou o reconhecimento facial
Um fluxo de login com 2FA costuma ser assim:
- O utilizador introduz o nome de utilizador e a palavra-passe
- O sistema verifica se a palavra-passe está correta
- O sistema pede um segundo fator (por exemplo, "Introduz o código do teu telemóvel")
- O utilizador fornece o segundo fator (por exemplo, introduz "123456")
- O sistema verifica o segundo fator
- O utilizador recebe acesso
Se alguém roubar a palavra-passe, continua sem conseguir aceder à conta sem o segundo fator. É isto que torna a 2FA tão eficaz.
Porque é que a 2FA é essencial para a segurança dos formulários
As palavras-passe são roubadas constantemente
As fugas de dados expõem milhões de palavras-passe todos os anos. Se a tua palavra-passe esteve numa base de dados comprometida, os atacantes têm-na. Uma palavra-passe forte ajuda, mas continua a ser só uma palavra-passe.
Os ataques a palavras-passe são comuns
Os atacantes usam força bruta (testar milhões de combinações), ataques de dicionário (testar palavras-passe comuns) e credential stuffing (usar palavras-passe de outras fugas). Estes ataques funcionam se não houver mais nada além da palavra-passe.
O phishing visa as palavras-passe
Os atacantes enviam páginas de login falsas que se parecem com o teu site. Os utilizadores enviam as credenciais para a página falsa. Se o teu site exigir só uma palavra-passe, o atacante fica com acesso. Se a 2FA for obrigatória, o atacante não consegue usar apenas a palavra-passe.
Roubos de conta saem caros
Se alguém ganhar acesso à conta de um cliente, pode mudar a palavra-passe, repor a conta, fazer compras não autorizadas ou roubar informação. Com a 2FA, o acesso não autorizado torna-se muito mais difícil.
Tipos de autenticação de dois fatores
Códigos por SMS (mensagem de texto)
Como funciona: o utilizador introduz o nome de utilizador e a palavra-passe. O sistema envia um código de 6 dígitos por SMS para o telemóvel. O utilizador introduz o código da mensagem.
Vantagens: simples para os utilizadores. Funciona em qualquer telemóvel (não é preciso app).
Desvantagens: o SMS pode ser intercetado ou redirecionado. Não é o método mais seguro. Enviar SMS custa dinheiro.
Ideal para: aplicações para clientes em que a facilidade de uso conta mais do que a segurança máxima.
Apps de autenticação
Como funciona: o utilizador instala uma app como o Google Authenticator ou outra app de autenticação. Ao fazer login, a app gera um código temporal (normalmente de 6 dígitos que muda a cada 30 segundos). O utilizador introduz esse código.
Vantagens: muito seguro. Não pode ser intercetado. Grátis para os utilizadores.
Desvantagens: obriga os utilizadores a instalar uma app. Se perderem o telemóvel, perdem o acesso, a não ser que tenham códigos de recuperação.
Ideal para: aplicações de alta segurança (painéis de administração, contas financeiras, dados sensíveis). O atrito aceitável é maior.
Chaves de segurança físicas
Como funciona: o utilizador tem uma chave física (como uma pen USB). No login, o sistema pede a chave. O utilizador liga-a ao dispositivo ou encosta-a. A chave prova que é o dono.
Vantagens: extremamente seguro. Não pode ser pirateado à distância. Funciona em muitos websites.
Desvantagens: os utilizadores têm de comprar as chaves (30 a 50 dólares). Podem perdê-las ou esquecê-las. Ainda não tem suporte generalizado.
Ideal para: cenários de segurança máxima (governo, setor militar, contas de grande valor). Usado por utilizadores com conhecimentos técnicos.
Notificações push
Como funciona: o utilizador tenta fazer login. O sistema envia uma notificação push para o telemóvel: "Queres aprovar este login?" O utilizador toca em "Aprovar" na notificação.
Vantagens: muito fácil de usar. Não há código para escrever. Resiste ao phishing (o utilizador vê de onde vem o login).
Desvantagens: exige uma app ou sistema específico. Não pode ser usado se o telemóvel não estiver disponível.
Ideal para: aplicações pensadas para telemóvel e apps de consumo em que a experiência do utilizador é fundamental.
Códigos por email
Como funciona: o utilizador introduz o nome de utilizador e a palavra-passe. O sistema envia um código para o endereço de email. O utilizador introduz o código do email.
Vantagens: funciona sem telemóvel. Acessível a todos os utilizadores.
Desvantagens: o email pode ser pirateado. O utilizador tem de consultar o email, o que é mais lento do que outros métodos. Menos seguro do que as apps de autenticação.
Ideal para: aplicações de baixa segurança ou como alternativa quando os outros métodos não estão disponíveis.
Biometria (impressão digital, rosto)
Como funciona: o dispositivo do utilizador (telemóvel ou computador) usa sensores biométricos integrados. O utilizador lê a impressão digital ou o rosto para aprovar o login ou a ação.
Vantagens: muito cómodo. Muito seguro. Único para cada pessoa.
Desvantagens: exige um dispositivo com sensor biométrico. Guardar dados biométricos levanta questões de privacidade.
Ideal para: apps móveis e dispositivos modernos. Cada vez mais comum à medida que o hardware biométrico se torna padrão.
Que formulários precisam de 2FA?
Formulários de valor elevado (a 2FA é obrigatória)
- Formulários de login (painel de administração, conta de cliente, email)
- Formulários de recuperação de palavra-passe
- Alterações às definições da conta (sobretudo email ou palavra-passe)
- Formulários de pagamento ou financeiros
- Eliminação de dados ou operações sensíveis
Formulários de valor médio (a 2FA é recomendada)
- Registo de conta (para evitar roubos de conta desde o início)
- Formulários que alteram dados ou preferências do utilizador
- Formulários só para administradores
Formulários de valor baixo (2FA opcional)
- Formulários de contacto (só recolhem informação pública)
- Inscrição na newsletter (formulário sem conta)
- Formulários de inquérito
A regra: se o formulário pode alterar a conta do utilizador, aceder a dados sensíveis ou executar ações irreversíveis, usa 2FA.
Implementar a 2FA sem atrito excessivo
Torna a 2FA opcional no início e obrigatória nas ações sensíveis
Deixa os utilizadores registarem-se sem 2FA. Mas exige 2FA quando tentarem aceder a áreas sensíveis, alterar dados de pagamento ou mudar a palavra-passe.
Oferece vários métodos de 2FA
Alguns utilizadores têm telemóvel, outros não. Alguns preferem apps de autenticação, outros preferem chaves físicas. Oferecer vários métodos garante que todos podem usar a 2FA.
Oferece códigos de recuperação
Se a 2FA for obrigatória e os utilizadores perderem o telemóvel ou a app de autenticação, não conseguem aceder à conta. Oferece códigos de recuperação (códigos de utilização única gerados na configuração) para que possam entrar se perderem o método principal de 2FA.
Memoriza os dispositivos de confiança
Depois de o utilizador concluir a 2FA num dispositivo, podes "memorizar" esse dispositivo, para que não tenha de repetir a 2FA de cada vez. Isto reduz o atrito e mantém a segurança nos logins suspeitos a partir de dispositivos desconhecidos.
Usa 2FA baseada no risco
Se um utilizador entra a partir do local habitual, à hora habitual e no dispositivo habitual, talvez a 2FA não seja necessária. Se entra a partir de outro país às 3 da manhã num dispositivo novo, exige 2FA. Assim equilibras segurança e facilidade de uso.
Planos de recuperação e de reserva
Os utilizadores vão perder telemóveis, esquecer apps e ficar bloqueados fora da conta. Tem um plano:
- Códigos de recuperação: gera 10 códigos de utilização única durante a configuração da 2FA, para usar se o método principal não estiver disponível
- Recuperação de conta: deixa os utilizadores confirmar a identidade com perguntas de segurança ou por email para recuperarem o acesso
- Processo de apoio: forma a equipa de apoio para confirmar a identidade e ajudar os utilizadores bloqueados
Formas de ataque à 2FA e como as evitar
SIM swapping
Um atacante convence a operadora a transferir o número da vítima para um novo cartão SIM. Depois usa os códigos de 2FA por SMS, que chegam ao telemóvel do atacante.
Prevenção: usa apps de autenticação ou chaves físicas em vez de SMS. O SMS é vulnerável ao SIM swapping.
Phishing de códigos 2FA
Um atacante cria uma página de login falsa que pede um código 2FA. O utilizador introduz o código. O atacante usa-o de imediato para entrar na conta verdadeira.
Prevenção: usa métodos que mostram contexto (as notificações push mostram "login em www.example.com") ou chaves físicas (que verificam o domínio do website). Os métodos baseados em códigos são vulneráveis a isto.
Dispositivos perdidos ou roubados
Se o dispositivo com a app de 2FA for perdido ou roubado, um atacante pode conseguir usá-lo para aceder às contas.
Prevenção: exige um PIN ou biometria para desbloquear o dispositivo. Exige um PIN para abrir a app de autenticação. Usa códigos de recuperação e opções de recuperação de conta.
O que verificar na 2FA
Verifica que métodos de 2FA as tuas contas oferecem e ativa o mais forte disponível. Uma app de autenticação é mais segura do que códigos enviados por SMS ou email. Guarda os códigos de recuperação num sítio seguro para poderes recuperar o acesso.
Descobre mais sobre as funcionalidades de segurança e as opções de 2FA nas definições da tua conta ou na página de preços.