Login em duas etapas

Um código de seis dígitos tem exatamente 1 000 000 de valores possíveis, então um ladrão com a sua senha que tenha cinco tentativas tem uma chance de 1 em 200 000.

Um ladrão tem a sua senha. Quais são as chances com o código?

Comece com um desafio. Alguém roubou a sua senha, mas o site também pede um código de seis dígitos, e o ladrão tem cinco tentativas. Qual a probabilidade de um chute certeiro? Calcule no exercício abaixo antes de continuar a leitura.

Seis dígitos vão de 000000 a 999999, ou seja, 10⁶ = 1 000 000 de códigos. Cinco tentativas dão uma chance de 5 em 1 000 000, ou 1 em 200 000. Só com a senha, o ladrão já tinha entrado. Com o código, quase nunca entra. Essa diferença é o que a autenticação multifator oferece.

Três tipos de prova, e por que duas senhas continuam sendo uma

A autenticação multifator (MFA), muitas vezes chamada de autenticação de dois fatores ou login em duas etapas, pede provas de mais de um tipo de fator. A CISA separa os tipos em algo que você sabe (uma senha ou PIN), algo que você tem (um celular ou uma chave de segurança) e algo que você é (uma digital ou o rosto). Duas senhas continuam sendo um tipo só. O conselho da CISA para todos é ativar a MFA em toda conta que oferecer, começando pelo e-mail, pelas redes sociais e pelas contas financeiras. O e-mail vem primeiro porque é para lá que vão os links de redefinição de senha. Quem controla a sua caixa de entrada consegue redefinir quase todo o resto.

Códigos que podem ser repassados e chaves que não podem

As opções mais comuns diferem em quanto resistem. Um código enviado por SMS ou ligação passa pela rede telefônica. A NIST classifica isso como autenticador restrito. Ainda é permitido, mas os serviços devem oferecer uma alternativa, avisar os usuários dos riscos e ficar atentos a sinais como uma troca recente de chip ou uma portabilidade de número, porque criminosos conseguem convencer uma operadora a transferir o seu número para o chip deles. Um código de um aplicativo autenticador é gerado no seu celular e nunca passa pela rede. As notificações push pedem que você toque em Aprovar. Às vezes os criminosos mandam dezenas de pedidos, esperando que você toque em um só para fazê-los parar, por isso a CISA recomenda a correspondência de números, em que você digita um número mostrado na tela de login.

Todos esses ainda podem ser alvo de phishing. Uma página de login falsa pede o seu código, você o digita, e o criminoso o repassa ao site verdadeiro em segundos. A NIST diz com todas as letras que métodos com digitação manual de um código não são resistentes a phishing, porque nada liga o código ao site verdadeiro. A CISA chama a MFA resistente a phishing de padrão ouro e diz que o único tipo amplamente disponível é FIDO/WebAuthn: chaves de segurança e chaves de acesso, que, como mostrou a unidade anterior, só respondem ao site para o qual foram criadas. Qualquer MFA ainda é muito melhor do que nenhuma.

Antes de o celular sumir

Quando você ativa o login em duas etapas, a maioria dos serviços mostra uma lista de códigos de recuperação de uso único. A NIST os chama de segredos de consulta (look-up secrets). Eles são o seu caminho de volta se você perder o celular, então guarde-os em um lugar seguro e separado do aparelho: impressos e guardados em casa, ou em um gerenciador de senhas. Nunca os cole em um e-mail para você mesmo e nunca leia um deles para alguém que ligou para você. Nenhuma equipe de suporte de verdade precisa disso.

Planeje a perda ou a troca do celular antes que aconteça. A maioria dos serviços permite cadastrar mais de um segundo fator, por exemplo um aplicativo autenticador e uma chave de segurança, ou uma chave de acesso em dois dispositivos. Ao trocar de celular, passe o aplicativo autenticador ou as chaves de acesso para o aparelho novo antes de apagar o antigo. Se perder um celular, entre com um código de recuperação ou outro fator e remova o aparelho perdido de cada conta.