“E por que as senhas não são boas o suficiente? Antes de abordar a pergunta, o que é autenticação de dois fatores, ou o que é 2FA, vamos considerar por que é importante fazer tudo o que puder para melhorar a segurança da sua conta online. “
— Com tantas coisas de nossas vidas acontecendo em dispositivos móveis e laptops, não é de admirar que nossas contas digitais se tornem um ímã para criminosos. Ataques maliciosos contra governos, empresas e indivíduos são cada vez mais comuns.
E não há sinais de que os hacks, violações de dados e outras formas de cibercrime estejam diminuindo!
Felizmente, é fácil para as empresas adicionar um nível extra de proteção às contas de usuário na forma de autenticação de dois fatores, também conhecida como 2FA.
Tópicos do artigo:
Aumento do crime cibernético exige maior segurança com o 2FA
Nos últimos anos, testemunhamos um aumento maciço no número de sites perdendo dados pessoais de seus usuários. E, à medida que o cibercrime se torna mais sofisticado, as empresas descobrem que seus antigos sistemas de segurança não são páreo para ameaças e ataques modernos.
Às vezes, é um simples erro humano que os deixou expostos. E não é apenas a confiança do usuário que pode ser danificada.
Todos os tipos de organizações – empresas globais, pequenas empresas, start-ups e até organizações sem fins lucrativos – podem sofrer graves perdas financeiras e de reputação.
Para os consumidores, os efeitos posteriores de hackers direcionados ou roubo de identidade podem ser devastadores.
As credenciais roubadas são usadas para proteger cartões de crédito falsos e financiar compras, o que pode danificar a classificação de crédito da vítima.
E contas bancárias e de criptomoeda inteiras podem ser drenadas da noite para o dia. Um estudo recente revelou que em 2016 mais de US$ 16 bilhões foram retirados de 15,4 milhões de consumidores norte-americanos.
Ainda mais incrível, os ladrões de identidade roubaram mais de US$ 107 bilhões nos últimos seis anos.
Claramente, sites e aplicativos online devem oferecer segurança mais rígida. E, sempre que possível, os consumidores devem adquirir o hábito de se proteger com algo mais forte do que apenas uma senha.
Para muitos, esse nível extra de segurança é a autenticação de dois fatores.
Senhas: historicamente ruins, mas ainda em uso
Como e quando as senhas ficaram tão vulneráveis? Em 1961, o Instituto de Tecnologia de Massachusetts desenvolveu o Sistema de Compartilhamento de Tempo Compatível (CTSS).
Para garantir que todos tivessem a mesma chance de usar o computador, o MIT exigia que todos os alunos fizessem login com uma senha segura.
Em breve, os alunos descobriram que poderiam invadir o sistema, imprimir as senhas e consumir mais tempo no computador.
Apesar disso, e pelo fato de existirem alternativas muito mais seguras, nomes de usuário e senhas continuam sendo a forma mais comum de autenticação do usuário.
A regra geral é que uma senha deve ser algo que apenas você conhece e que é difícil para qualquer outra pessoa adivinhar. E embora seja melhor usar senhas do que não ter proteção, elas não são infalíveis. Aqui está o porquê:
- Os humanos têm péssimas lembranças. Um relatório recente analisou mais de 1,4 bilhão de senhas roubadas e descobriu que a maioria era embaraçosamente simples. Entre os piores estão “111111”, “123456”, “123456789”, “Qwerty” e “Senha”. Embora sejam fáceis de lembrar, qualquer hacker decente pode quebrar essas senhas simples em pouco tempo.
- Contas demais: à medida que os usuários se acostumam a fazer tudo online, eles abrem mais e mais contas. Isso acaba criando muitas senhas para lembrar e abre caminho para um hábito perigoso: a reciclagem de senhas. Eis por que os hackers adoram essa tendência: o software de hackers leva apenas alguns segundos para testar milhares de credenciais roubadas de login em bancos online e sites de compras populares. Se um par de nome de usuário e senha for reciclado, é extremamente provável que ele desbloqueie muitas outras contas lucrativas.
- A fadiga da segurança se estabelece: Para se protegerem, alguns consumidores tentam dificultar os ataques ao criar senhas e frases secretas mais complexas. Mas com tantas violações de dados inundando a dark web com informações do usuário, muitas simplesmente desistem e voltam a usar senhas fracas em várias contas.
2FA para o resgate de senhas
O 2FA é uma camada extra de segurança usada para garantir que as pessoas que tentam obter acesso a uma conta online sejam quem elas dizem ser. Primeiro, um usuário digitará seu nome de usuário e uma senha.
Então, em vez de obter acesso imediato, eles deverão fornecer outra informação. Esse segundo fator pode vir de uma das seguintes categorias:
- Algo que você sabe: pode ser um número de identificação pessoal (PIN), uma senha, respostas a “perguntas secretas” ou um padrão específico de pressionamento de tecla
- Algo que você possui: normalmente, um usuário tem algo em seu poder, como um cartão de crédito, um smartphone ou um pequeno token de hardware
- Algo que você é: Esta categoria é um pouco mais avançada e pode incluir padrão biométrico de impressão digital, digitalização de íris ou impressão de voz
Com o 2FA, um possível comprometimento de apenas um desses fatores não desbloqueará a conta.
Portanto, mesmo que sua senha seja roubada ou seu telefone seja perdido, as chances de alguém ter suas informações de segundo fator são altamente improváveis.
Olhando de outro ângulo, se um consumidor saber usar o 2FA corretamente, sites e aplicativos podem ter mais confiança na identidade do usuário e desbloquear a conta.
Tipos comuns de 2FA – autenticação de dois fatores
Se um site que você usa exige apenas uma senha para entrar e não oferece autenticação de dois fatores, há uma boa chance de que seja eventualmente invadido por hackers. Isso não significa que todos os 2FA são iguais.
Vários tipos de autenticação de dois fatores estão em uso hoje; alguns podem ser mais fortes ou mais complexos que outros, mas todos oferecem melhor proteção do que as senhas sozinhas. Vejamos as formas mais comuns de autenticação de dois fatores – 2FA.
Tokens de hardware para 2FA
Provavelmente a forma mais antiga de 2FA, os tokens de hardware são pequenos, como um chaveiro, e produzem um novo código numérico a cada 30 segundos.
Quando um usuário tenta acessar uma conta, ele olha para o dispositivo e insere o código 2FA exibido novamente no site ou aplicativo.
Outras versões dos tokens de hardware transferem automaticamente o código 2FA quando conectado à porta USB de um computador.
Eles têm várias desvantagens, no entanto. Para as empresas, a distribuição dessas unidades é cara. E os usuários descobrem que seu tamanho facilita a perda ou extravio. Mais importante ainda, eles não estão totalmente seguros de serem invadidos .
Mensagem de texto SMS e 2FA baseado em voz
O 2FA baseado em SMS interage diretamente com o telefone do usuário. Depois de receber um nome de usuário e senha, o site envia ao usuário uma senha (OTP) única via mensagem de texto.
Como o processo do token de hardware, o usuário deve inserir o OTP novamente no aplicativo antes de obter acesso. Da mesma forma, o 2FA baseado em voz disca automaticamente um usuário e entrega verbalmente o código 2FA.
Embora não seja comum, ainda é usado em países onde os smartphones são caros ou onde o serviço de celular é ruim.
Para uma atividade online de baixo risco, a autenticação por texto ou voz pode ser tudo o que você precisa.
Mas para sites que armazenam suas informações pessoais – como empresas de serviços públicos, bancos ou contas de email – esse nível de autenticação de dois fatores pode não ser seguro o suficiente. De fato, o SMS é considerado a maneira menos segura de autenticar usuários.
Por esse motivo, muitas empresas estão atualizando sua segurança, indo além do 2FA baseado em SMS .
Tokens de software para 2FA
A forma mais popular de autenticação de dois fatores (e uma alternativa preferida ao SMS e à voz) usa uma senha de uso único baseada em tempo e gerada por software (também chamada de TOTP, ou “token flexível”).
Primeiro, o usuário deve baixar e instalar um aplicativo 2FA gratuito em seu smartphone ou desktop. Eles podem usar o aplicativo com qualquer site que suporte esse tipo de autenticação.
Ao entrar, o usuário digita primeiro um nome de usuário e senha e, quando solicitado, insere o código mostrado no aplicativo. Como os tokens de hardware, o token flexível é normalmente válido por menos de um minuto.
E como o código é gerado e exibido no mesmo dispositivo, os soft-tokens removem a chance de interceptação de hackers. Essa é uma grande preocupação com os métodos de entrega por SMS ou voz.
O melhor de tudo é que as soluções de autenticação de dois fatores baseadas em aplicativos estão disponíveis para plataformas móveis, portáteis ou de desktop – e até funcionam offline – a autenticação do usuário é possível em qualquer lugar.
Notificação por push para 2FA
Em vez de depender do recebimento e da entrada de um token 2FA, sites e aplicativos agora podem enviar ao usuário uma notificação por push de que está ocorrendo uma tentativa de autenticação.
O proprietário do dispositivo simplesmente visualiza os detalhes e pode aprovar ou negar o acesso com um único toque. É autenticação sem senha, sem códigos para inserir e sem necessidade de interação adicional.
Por ter uma conexão direta e segura entre o revendedor, o serviço 2FA e o dispositivo, a notificação por push elimina qualquer oportunidade de phishing, ataques man-in-the-middle ou acesso não autorizado.
Mas funciona apenas com um dispositivo conectado à Internet, capaz de instalar aplicativos. Além disso, em áreas onde a penetração de smartphones é baixa ou onde a Internet não é confiável, o 2FA baseado em SMS pode ser o substituto preferido.
Mas onde é uma opção, as notificações por push fornecem uma forma de segurança mais amigável e segura.
Outras formas de autenticação de dois fatores
O 2FA biométrico, autenticação que trata o usuário como o token, está ao virar da esquina. As inovações recentes incluem a verificação da identidade de uma pessoa por meio de impressões digitais, padrões de retina e reconhecimento facial.
Ruído ambiente, pulso, padrões de digitação e impressões vocais também estão sendo explorados. É apenas uma questão de tempo até que um desses métodos 2FA decole… e que hackers biométricos descubram como explorá-los.
Todo mundo deveria 2FA
De acordo com um relatório recente, senhas roubadas, reutilizadas e fracas continuam sendo a principal causa de violações de segurança.
Infelizmente, as senhas ainda são a principal (ou única) maneira como muitas empresas protegem seus usuários.
A boa notícia é que o crime cibernético está nas notícias tanto que a conscientização sobre a autenticação de dois fatores está crescendo rapidamente e os usuários estão exigindo que as empresas com as quais fazem negócios tenham maior segurança.
Concordamos: “Todo mundo deveria 2FA”.
