Uma palavra-passe forte já não chega, por si só, para proteger o acesso de administrador a um website. A autenticação de dois fatores acrescenta uma segunda camada, e isso faz com que uma palavra-passe roubada não seja suficiente para entrar, o que muda por completo o cálculo de risco de quem tenta apanhar credenciais de administrador. Um fator pode ser comprometido. Dois é bastante mais difícil. Este artigo explica como funciona a autenticação de dois fatores, quais são os tipos de segundo fator e como a ativar no teu website.
Os ataques a credenciais são automatizados. As ferramentas feitas para forçar palavras-passe ou testar credenciais roubadas em páginas de login funcionam sem parar em milhões de sites. A palavra-passe já não é a última linha de defesa que era: demasiadas são fracas, reutilizadas ou expostas por fugas de dados noutros serviços. A autenticação de dois fatores não corrige a palavra-passe. Faz com que a palavra-passe sozinha seja insuficiente. Para uma visão mais ampla sobre proteger o acesso de administrador como parte de uma estratégia de segurança completa, lê o artigo sobre como proteger o teu website de hackers.
O que é a autenticação de dois fatores?
A autenticação de dois fatores, muitas vezes abreviada para 2FA, é um processo de login que exige duas formas separadas de verificação antes de dar acesso. O primeiro fator é normalmente uma palavra-passe. O segundo fator é algo separado, algo a que só o titular da conta tem acesso no momento do login.
O princípio é simples: mesmo que um atacante obtenha a tua palavra-passe por uma fuga de dados, um ataque de phishing ou força bruta, não consegue concluir o login sem controlar também o segundo fator. Na maioria dos casos, o segundo fator está num dispositivo que o titular da conta possui fisicamente, o que significa que aceder exige mais do que uma palavra-passe roubada.
Como funciona a autenticação de dois fatores?
A sequência de login
- O utilizador introduz o nome de utilizador e a palavra-passe na página de login, como de costume
- Em vez de ter acesso imediato, é-lhe pedido um segundo passo de verificação
- O utilizador dá o segundo fator, que o sistema verifica antes de permitir o acesso
- Se qualquer um dos fatores estiver errado, o acesso é negado
O que isto impede
- Um atacante que obteve a palavra-passe certa é travado no segundo passo, porque não tem acesso ao segundo fator
- Os ataques de força bruta que conseguem descobrir uma palavra-passe continuam a não conseguir concluir o login sem o segundo fator
- As credenciais roubadas por phishing ou por fugas de dados noutros serviços ficam insuficientes por si sós
Quais são os tipos de segundo fator?
Aplicações de autenticação
- Uma aplicação de autenticação gera um código baseado no tempo, que muda a cada 30 segundos. O utilizador abre a aplicação, lê o código atual e introduz-o durante o login
- O código é gerado no dispositivo e não é transmitido pela rede, o que o torna resistente a interceção
- É amplamente considerada a opção mais prática e segura para a maioria dos donos de sites
Códigos por SMS
- Um código de utilização única é enviado por mensagem de texto para o número de telemóvel registado do utilizador durante o login
- Os códigos por SMS são mais cómodos de configurar do que uma aplicação de autenticação, mas são considerados menos seguros, porque os números de telemóvel podem ser sequestrados por troca de SIM e as mensagens SMS podem ser intercetadas
- São bastante melhores do que não ter segundo fator nenhum
Chaves de segurança físicas
- Uma chave de segurança física é um dispositivo, normalmente um pequeno dispositivo USB ou NFC, que o utilizador liga ou encosta durante o login para verificar a sua identidade
- As chaves físicas dão a forma mais forte de autenticação de dois fatores e são imunes a phishing, porque a verificação está ligada ao site específico a que se acede
- São mais comuns em ambientes de alta segurança e menos usadas no acesso de administrador de websites normais
Códigos por email
- Um código de utilização única é enviado para o endereço de email registado do utilizador e tem de ser introduzido durante o login
- Os códigos por email são o segundo fator mais fraco, porque dependem da segurança da conta de email. Se a conta de email for comprometida, o segundo fator não dá proteção nenhuma
- São melhores do que não ter segundo fator, mas as aplicações de autenticação são uma escolha mais fiável
Porque precisa o teu website de autenticação de dois fatores?
As palavras-passe são comprometidas com regularidade
- As fugas de dados noutros serviços expõem credenciais que depois são testadas em painéis de administração de websites. Uma palavra-passe reutilizada de outra conta pode ser usada para aceder ao teu site, mesmo que o teu site nunca tenha sido alvo direto
- Os ataques de phishing que capturam palavras-passe são difíceis de evitar por completo. A autenticação de dois fatores limita os danos quando uma palavra-passe é obtida
Os ataques automatizados a credenciais são constantes
- As ferramentas de força bruta funcionam sem parar em websites, testando palavras-passe comuns, palavras de dicionário e listas de credenciais divulgadas
- Com a autenticação de dois fatores, mesmo uma palavra-passe descoberta por força bruta não chega para concluir um login
O acesso de administrador é o alvo mais valioso
- Um atacante que ganha acesso ao painel de administração de um site pode instalar software malicioso, roubar dados, criar portas traseiras ou deixar o dono sem acesso
- Proteger o acesso de administrador com autenticação de dois fatores reduz diretamente as consequências de uma palavra-passe comprometida, que é o alvo mais comum nos ataques a credenciais
Para perceberes o que os atacantes podem fazer quando ganham acesso de administrador, lê o artigo sobre o que é o malware de um website e como afeta o teu site. Para uma explicação completa de porque a segurança de um website importa para além do acesso de administrador, lê o artigo sobre porque a segurança de um website é importante.
Como ativas a autenticação de dois fatores no teu website?
No acesso de administrador do site
- Muitas plataformas de websites incluem a autenticação de dois fatores como opção integrada nas definições da conta. Vê primeiro a secção de segurança ou de definições da conta da tua plataforma
- Nas plataformas que não a incluem de origem, existem extensões ou plugins de segurança que acrescentam o 2FA ao processo de login
- Ativa-a em todas as contas de administrador, não só na conta principal. Qualquer conta de administrador sem autenticação de dois fatores é um possível ponto de entrada
Nas contas de alojamento e de domínio
- O painel de controlo do alojamento e a conta do registador de domínios são tão importantes de proteger como o próprio site. Um atacante que ganha acesso à conta de alojamento pode alterar registos DNS, aceder a cópias de segurança ou pôr o site offline
- Ativa a autenticação de dois fatores no painel de alojamento e na conta do registador de domínios, não só no login do próprio website
Nas contas de email usadas na recuperação de conta
- Os fluxos de redefinição de palavra-passe costumam enviar uma ligação para o endereço de email registado. Se essa conta de email for comprometida, pode ser usada para tomar conta da conta do site
- Proteger com autenticação de dois fatores as contas de email ligadas ao acesso de administrador do site fecha esta via de recuperação como forma de ataque
Para ver como as cópias de segurança funcionam ao lado da autenticação de dois fatores numa abordagem de segurança completa, lê o artigo sobre como fazer cópias de segurança do teu website.
Como a WEMASY trata da segurança da autenticação
A autenticação de dois fatores está disponível para o acesso à conta WEMASY. Os donos de sites podem ativá-la nas definições de segurança da conta, para proteger o acesso ao painel, à configuração do site e à informação de faturação. Ativá-la significa que uma palavra-passe roubada, sozinha, não pode ser usada para aceder à conta.
A atividade de login é monitorizada ao nível da plataforma e os eventos de segurança ficam registados. A plataforma também impõe limites às tentativas de login, para reduzir a exposição a ataques de força bruta.
Vê o que está incluído no criador de websites da WEMASY ou consulta as opções de planos na página de preços.
Perguntas frequentes
O que é a autenticação de dois fatores?
A autenticação de dois fatores é um processo de login que exige duas formas separadas de verificação antes de dar acesso. O primeiro fator é normalmente uma palavra-passe. O segundo é algo a que só o titular da conta tem acesso no momento do login, como um código de uma aplicação de autenticação ou uma mensagem de texto enviada para um telemóvel registado. Os dois têm de ser dados corretamente para concluir o login, o que significa que uma palavra-passe roubada, sozinha, não chega para um atacante entrar. Com o criador de websites da WEMASY, podes configurar isto diretamente no teu website.
Porque devo usar autenticação de dois fatores no meu website?
As palavras-passe são comprometidas com regularidade por fugas de dados, ataques de phishing e ferramentas de força bruta. Com a autenticação de dois fatores, mesmo quando um atacante obtém uma palavra-passe, esta não pode ser usada para concluir um login sem o segundo fator. Nas contas de administrador de websites, onde um login bem-sucedido pode resultar na instalação de software malicioso, no roubo de dados ou no bloqueio do site, a autenticação de dois fatores é uma das medidas de segurança de maior impacto disponíveis.
Qual é o melhor tipo de segundo fator?
Uma aplicação de autenticação é o segundo fator recomendado para a maioria dos donos de sites. Gera um código baseado no tempo no próprio dispositivo, que não é transmitido pela rede e por isso não é vulnerável a interceção da mesma forma que os códigos por SMS. As chaves de segurança físicas são mais seguras, mas menos práticas no uso diário. Os códigos por SMS e por email são melhores do que não ter segundo fator, mas uma aplicação de autenticação dá o equilíbrio certo entre segurança e facilidade de uso.
O que acontece se eu perder o acesso ao meu segundo fator?
A maioria das plataformas que suportam autenticação de dois fatores também dá códigos de recuperação no momento da configuração. Estes códigos de utilização única podem ser usados para aceder à conta se o segundo fator não estiver disponível. Guarda-os num lugar seguro e separado do dispositivo usado para a autenticação. Se os códigos de recuperação se perderem e o segundo fator não estiver disponível, a recuperação costuma exigir a verificação da identidade através do processo de recuperação de conta da plataforma, o que pode demorar e exigir provas de propriedade.
A autenticação de dois fatores protege contra todos os ataques de login?
Protege contra a maioria dos ataques baseados em credenciais, incluindo força bruta, credential stuffing e ataques com palavras-passe roubadas de outros serviços. Não protege contra ataques que contornam o login por completo, como explorar uma vulnerabilidade no software do site ou ganhar acesso através de uma sessão comprometida. A autenticação de dois fatores é uma camada crítica para proteger o acesso de administrador, mas funciona melhor como parte de uma abordagem de segurança mais ampla, que inclua atualizações de software, palavras-passe fortes e cópias de segurança regulares.
Devo ativar a autenticação de dois fatores em contas além do login do website?
Sim. O painel de controlo do alojamento e a conta do registador de domínios devem ter ambos a autenticação de dois fatores ativada. O acesso a qualquer um deles pode ser usado para alterar a configuração do site, os registos DNS ou as cópias de segurança de formas que contornam por completo o login do próprio website. A conta de email usada na recuperação de conta também deve ser protegida com autenticação de dois fatores, porque os fluxos de redefinição de palavra-passe enviam uma ligação para esse endereço e uma conta de email comprometida pode ser usada para tomar conta da conta do site.