Autenticação de múltiplos fatores Como ativar a autenticação em duas etapas e aumentar sua segurança

Autenticação de múltiplos fatores Como ativar a autenticação em duas etapas e aumentar sua segurança

Você está a apenas um vazamento de dados de ter toda a sua vida online virada de cabeça para baixo. O problema são as senhas, que são formas terrivelmente frágeis de proteger recursos valiosos.

Recursos Especiais

Melhores Práticas de Segurança Cibernética para Proteger seus Ativos Digitais

Encare isso: Seus dados pessoais e empresariais estão sob ameaça 24 horas por dia, 7 dias por semana – e proteger esses ativos digitais enquanto você faz compras, transações bancárias e joga online continua sendo uma prioridade absoluta. Aqui está a boa notícia: Existem mais ferramentas e estratégias focadas em segurança disponíveis do que nunca. Os guias de cibersegurança mais atualizados da ENBLE oferecem dicas práticas para se manter seguro e produtivo hoje diante do cenário de ameaças em constante evolução do futuro.

Não se deixe enganar pela crença de que criar uma senha mais longa, complexa e difícil de adivinhar de alguma forma o tornará mais seguro online. Você pode criar uma senha tão longa e complexa que leve cinco minutos para digitá-la, mas ela não fará nada para protegê-lo se o serviço onde você usa essa senha a armazenar incorretamente e, em seguida, tiver seu servidor violado. Isso acontece o tempo todo.

Mesmo com políticas razoáveis em vigor para garantir que as senhas sejam fortes, geradas aleatoriamente e não reutilizadas, as pessoas ainda são o elo mais fraco na cadeia de segurança. A engenharia social pode convencer até mesmo pessoas inteligentes a inserirem suas credenciais em um site de phishing ou a entregá-las por telefone.

Também: Os melhores gerenciadores de senhas para te salvar do incômodo do login

• Review Intel Core i9-14900K e Core i5-14600K CPU de transição | ENBLE
• Revisão do Apple Watch Ultra 2 por que eu acho que você vai amar | ...
• Análise do Lenovo Legion 9i O laptop com RTX 4090 que bateu um reco...

A solução é a autenticação de dois fatores, também conhecida como 2FA. (Alguns serviços, sendo rigorosos em detalhes, chamam de autenticação de vários fatores ou verificação em duas etapas, mas 2FA é o termo mais amplamente utilizado, então é a nomenclatura que escolhi usar aqui.)

Ao ativar o 2FA em um serviço, os requisitos de segurança são alterados, obrigando você a fornecer pelo menos duas provas de identidade ao acessar um serviço seguro. Essas duas formas de autenticação podem ser provenientes de qualquer combinação de pelo menos dois dos seguintes elementos:

• “Algo que você sabe”, como uma senha ou PIN
• “Algo que você é”, como uma impressão digital ou outro identificador biométrico
• “Algo que você tem”, como um smartphone confiável capaz de gerar ou receber códigos de confirmação, ou um dispositivo de segurança baseado em hardware

Se alguém roubar sua senha e tentar fazer login de um dispositivo desconhecido, eles precisarão fornecer uma segunda forma de identificação, geralmente na forma de um código numérico. Se o pedido de login for de alguém que tenha roubado minhas credenciais de conta, eles serão totalmente impedidos. Sem esse código, eles não podem prosseguir com o processo de login.

Também: O que são passkeys? A mágica transformadora de eliminar senhas

Em sua maioria, os sistemas de autenticação de dois fatores que você vê em vigor hoje usam o primeiro item (sua senha) e o último item (seu smartphone). Os smartphones se tornaram onipresentes, tornando-os dispositivos de segurança ideais.

Seu smartphone pode auxiliar na autenticação fornecendo um código único que você utiliza junto com sua senha para fazer login. Você pode adquirir esse código de duas maneiras: enviado como uma mensagem de texto do serviço ou gerado por um aplicativo instalado em seu telefone. (Alguns serviços também permitem que você aprove uma notificação push em seu smartphone.)

Um relatório da Microsoft concluiu que a autenticação de dois fatores (2FA) funciona, bloqueando 99,9% dos ataques automatizados. Se um provedor de serviços oferece suporte à autenticação de vários fatores, a Microsoft recomenda que você a use, mesmo que seja tão simples quanto senhas únicas baseadas em SMS. Um relatório separado do Google chegou a conclusões semelhantes.

Também: Pare de usar o gerenciador de senhas embutido no seu navegador. Aqui está o porquê

A autenticação de dois fatores irá barrar a maioria dos ataques casuais. No entanto, não é perfeita. Um atacante determinado que esteja direcionando especificamente uma conta pode encontrar maneiras de contorná-la, especialmente se puder sequestrar a conta de e-mail usada para recuperação ou redirecionar chamadas telefônicas e mensagens SMS para um dispositivo controlado por ele. Mas se alguém está tão determinado a invadir sua conta, você tem um problema maior.

Pronto para começar? Configurar segurança adicional para a maioria dos serviços online requer habilidades técnicas mínimas. Se você consegue usar a câmera do seu smartphone, digitar um código de seis dígitos e tocar em OK em uma caixa de diálogo, você já possui todas as habilidades necessárias. A parte mais difícil do trabalho é encontrar a página que contém as configurações relevantes.

Aqui está tudo o que você precisa saber sobre como habilitar o 2FA para aumentar sua segurança.

Como configurar o 2FA com seu telefone ou endereço de e-mail?

Se você estiver usando mensagens SMS, tudo o que você precisa fazer é associar um número de celular à sua conta. (Você também pode usar uma linha telefônica virtual, como um número do Google Voice, que pode receber mensagens SMS.) Configure a conta para enviar um código para esse número sempre que você fizer login em um dispositivo não confiável. A captura de tela abaixo, por exemplo, mostra como essa opção é exibida quando habilitada na plataforma online de transferência de dinheiro Wise.

Quando você configura essa forma de 2FA em uma conta pela primeira vez, normalmente é necessário digitar sua senha novamente e, em seguida, inserir o número de telefone onde você deseja receber os códigos de autenticação. Após concluir esse processo, você receberá um código no dispositivo. Insira o código para confirmar que você o recebeu e a configuração de 2FA está completa, com o serviço marcando aquele dispositivo como confiável. (Este também é um bom momento para gerar um código de recuperação, imprimi-lo e guardá-lo em um local seguro para que você possa recuperá-lo caso o seu método principal de 2FA esteja indisponível.)

Também: 6 regras simples de cibersegurança que você pode aplicar agora

Alguns serviços permitem que você configure um endereço de e-mail confiável para receber códigos de autenticação. O processo é idêntico ao uso de mensagens de texto. Insira o seu endereço de e-mail preferido, aguarde que um código chegue no seu aplicativo de e-mail e insira o código para confirmar que esse método funciona.

Como configurar o 2FA com um aplicativo autenticador?

Para configurar um aplicativo autenticador como um dispositivo confiável, você primeiro precisa provar que pode fazer login no serviço usando sua senha e, em seguida, provar que você é quem diz ser no dispositivo confiável, usando biometria ou um PIN.

Esse processo inicial de configuração requer uma conexão de dados. Depois disso, tudo acontece no seu dispositivo. O processo é regido por um padrão amplamente aceito – o algoritmo de senha única baseada no tempo (TOTP) – que usa o aplicativo autenticador como uma calculadora sofisticada que gera códigos usando a hora atual no seu dispositivo e o segredo compartilhado. O serviço online usa o mesmo segredo e seu próprio carimbo de hora para gerar códigos que são comparados com o que você inseriu. Ambas as partes da conexão podem ajustar para fusos horários sem problemas, embora seus códigos falhem se a hora no seu dispositivo estiver incorreta.

Para começar, você precisa instalar o aplicativo autenticador no dispositivo móvel que deseja usar como seu segundo fator de autenticação. Aqui estão alguns aplicativos autenticadores para você considerar:

• Se você tem um dispositivo iOS, você pode obter o aplicativo Google Authenticator na App Store (Ele é otimizado para uso no iPhone, mas também deve funcionar em um iPad.) Em dispositivos Android, instale o aplicativo Google Authenticator na Google Play Store.
• O aplicativo Microsoft Authenticator, que usa o mesmo padrão para criar tokens de autenticação, está disponível para dispositivos Android na Google Play Store e para dispositivos iOS na App Store.
• O Twilio Authy também está disponível na App Store e na Google Play Store.
• Se você usa o 1Password como seu gerenciador de senhas, o suporte ao 2FA está integrado ao aplicativo 1Password em todas as plataformas. Para obter detalhes sobre como usar o recurso de senha única, consulte esta página de suporte do 1Password. Uma opção de código aberto popular, Bitwarden, oferece recursos semelhantes.

Também: Como usar o Microsoft Authenticator como seu gerenciador de senhas

Depois de instalar o aplicativo em seu dispositivo, o próximo passo é configurá-lo para funcionar com cada conta onde você ativou a autenticação em duas etapas.

O processo de configuração normalmente exige que você insira um segredo compartilhado (uma longa sequência de texto) usando o aplicativo móvel. Todos os aplicativos móveis listados acima suportam o uso da câmera de um smartphone para tirar uma foto de um código QR, que contém o segredo compartilhado para a sua conta. Isso é muito mais fácil do que inserir manualmente uma sequência alfanumérica complexa.

A captura de tela abaixo, por exemplo, mostra o código QR que eu vi ao configurar uma conta do Dropbox.

No seu aplicativo autenticador, escolha a opção de adicionar uma nova conta, selecione a opção de código de barras, aponte o smartphone para o código de barras na tela do seu computador e aguarde o aplicativo preencher os campos necessários.

Depois de configurar a conta no aplicativo autenticador, ele começará a gerar códigos com base no segredo compartilhado e no horário atual. Para concluir o processo de configuração, insira o código atual fornecido pelo aplicativo autenticador.

Também: Os melhores serviços de VPN, testados e avaliados

Da próxima vez que você tentar fazer login em um novo dispositivo ou navegador da web, você precisará inserir o código atual, conforme exibido pelo aplicativo autenticador.

Algumas configurações de autenticação em duas etapas incluem a opção de gerar senhas especiais de aplicativos para uso com aplicativos antigos que não suportam autenticação moderna. As configurações de segurança da sua conta devem orientá-lo no processo. (Mas sinceramente, se você estiver usando um aplicativo tão desatualizado que requer uma senha de aplicativo, você está vivendo na era do Pleistoceno e deveria substituí-lo por uma alternativa moderna.)

Como parte do processo de configuração da autenticação em duas etapas, você também deve gerar um ou mais códigos de recuperação, que você pode imprimir e guardar em um local seguro. No caso de perda ou danificação do seu smartphone, você poderá usar esses códigos para recuperar o acesso à sua conta.

Como transferir contas de autenticação em duas etapas para um novo smartphone?

Se você usa mensagens de texto SMS como segundo fator de autenticação, transferir o seu número para o novo telefone transferirá automaticamente a sua configuração de autenticação em duas etapas.

Também: Os melhores telefones que você pode comprar agora mesmo

Alguns aplicativos autenticadores permitem gerar códigos em vários dispositivos. O 1Password e o Authy estão nessa categoria. Configure o aplicativo no novo telefone, instale o aplicativo, faça login e, em seguida, verifique cada conta para confirmar se os códigos gerados no novo telefone funcionam corretamente. O Microsoft Authenticator permite fazer backup dos códigos na nuvem e restaurá-los em um novo dispositivo. Para instruções passo a passo, consulte “Backup e recuperação de credenciais de conta no aplicativo autenticador.” O Authy oferece um recurso semelhante.

No caso do Google Authenticator e outros aplicativos simples, no entanto, você precisará recriar manualmente cada conta no novo dispositivo. Instale o aplicativo autenticador no seu novo dispositivo e repita o processo de configuração para cada conta que você usava no seu antigo telefone. Configurar uma conta em um novo aplicativo autenticador dessa forma automaticamente desativa os códigos gerados pelo dispositivo antigo.

A autenticação em duas etapas não é inconveniente?

Ao ativar a autenticação em duas etapas para um serviço, você altera os requisitos de segurança, forçando você a fornecer pelo menos duas provas de identidade ao acessar um serviço seguro pela primeira vez em um dispositivo desconhecido. Após cumprir esse desafio com sucesso, geralmente você tem a opção de categorizar o dispositivo como confiável, o que significa que as solicitações de autenticação em duas etapas devem ser relativamente raras nos dispositivos que você usa regularmente.

A maioria (mas não todos) dos serviços que suportam autenticação em duas etapas oferece uma escolha de métodos de autenticação. O Google e a Microsoft, por exemplo, podem enviar notificações para um dispositivo confiável; você toca na notificação para aprovar o login. Um número cada vez maior de serviços suporta o uso de chaves de segurança físicas (veja: “YubiKey – Avaliação prática: A autenticação em duas etapas baseada em hardware é mais segura, mas preste atenção nesses problemas.”)

Qual método de autenticação é o melhor?

O melhor método de autenticação é aquele com o qual você se sente mais confortável, assumindo que você tenha uma escolha. Sempre que possível, você deve configurar pelo menos duas opções de verificação, para evitar o risco de ficar bloqueado em sua conta.

Quando eu tenho uma escolha, eu prefiro a opção de usar um aplicativo autenticador em vez de receber códigos por mensagem de texto, e você também deveria, por duas boas razões. A primeira razão é uma questão de logística simples. Há momentos em que você tem acesso à internet (via uma conexão ENBLE ou Wi-Fi), mas não pode receber uma mensagem de texto, porque o sinal do seu celular é fraco ou inexistente, ou você está usando um chip SIM diferente enquanto viaja. A segunda razão é a pequena, mas real, chance de um atacante usar engenharia social para passar pelas defesas da sua operadora móvel e adquirir um cartão SIM com o seu número de telefone, processo chamado de SIM swapping ou simjacking.

Também: 5 dicas rápidas para fortalecer a segurança do seu celular Android hoje

O aplicativo de autenticação de dois fatores (2FA) mais popular é o Google Authenticator, que está disponível no iOS e Android. Mas, como o processo de geração de tokens seguros é baseado em padrões abertos, há muitas alternativas! Uma alternativa muito bem considerada é o Authy, um aplicativo autenticador gratuito, multiplataforma, que permite gerenciar códigos em vários dispositivos com a capacidade de fazer backup e sincronizar essas credenciais.

Ou talvez você não precise de um aplicativo autenticador dedicado. Cada vez mais, os gerenciadores de senhas, como Bitwarden e 1Password, incluem a capacidade de gerar códigos 2FA e sincronizá-los juntamente com o repositório de senhas.

Se preferir, você também pode combinar aplicativos autenticadores em um dispositivo confiável. Eu uso o 1Password para salvar senhas e códigos 2FA na maioria dos sites e serviços, tornando o login ainda mais fácil. No entanto, eu uso o aplicativo separado Microsoft Authenticator para contas de alto valor, incluindo códigos de verificação para configurar o 1Password em um novo dispositivo. Eu falo mais detalhadamente sobre suas opções de aplicativos autenticadores aqui: “Proteja-se: como escolher o aplicativo autenticador de dois fatores certo.”

Como saber quais serviços suportam 2FA?

Quando comecei a escrever sobre essa tecnologia, mais de uma década atrás, o suporte ao 2FA era relativamente raro. Hoje, é comum e está se tornando cada vez mais um recurso de lista de verificação que os clientes conscientes da segurança exigem dos serviços online.

• Contas do Google, incluindo tanto contas do Gmail para consumidores quanto contas empresariais do Google Workspace, oferecem uma ampla variedade de alternativas de verificação em duas etapas e agora suportam chave de acesso. Esta página de suporte irá ajudá-lo a começar: Verificação em duas etapas (google.com)
• Todas as contas da Microsoft, incluindo as contas gratuitas usadas com o Outlook.com, Xbox, Skype e outros serviços para consumidores, suportam uma variedade de opções de autenticação que são gerenciadas diretamente pelo titular da conta. “Como usar a verificação em duas etapas com a sua conta Microsoft”.
• Administradores de assinaturas empresariais e de negócios do Microsoft 365 gerenciam a autenticação do usuário com a plataforma de gerenciamento de identidade e acesso baseada em nuvem da Microsoft, Entra ID (anteriormente conhecida como Azure Active Directory). Se o seu departamento de TI habilitou esse recurso, siga estas instruções: “Configurar o logon do Microsoft 365 para autenticação multifator”.
• Para contas da Apple, a autenticação de dois fatores requer que você forneça um código de verificação de seis dígitos ao fazer login em um novo dispositivo pela primeira vez. A Apple pressupõe que você tenha outro dispositivo Apple confiável à mão. (Você pode usar um número de telefone confiável se não tiver acesso a outro dispositivo conectado à sua conta Apple.) As instruções oficiais estão neste artigo de suporte da Apple: “Autenticação de dois fatores para o Apple ID”.

Também: Como verificar a criptografia no Google Messages

O suporte à autenticação de dois fatores (2FA) é ubíquo entre os serviços de mídia social (Facebook, X/Twitter, Instagram, e assim por diante). Todo serviço de armazenamento online que vale a pena considerar suporta 2FA, assim como a maioria dos registradores de domínio e empresas de hospedagem na web. Se você não tem certeza sobre um serviço específico, o melhor lugar para verificar é um excelente repositório de informações de código aberto chamado Diretório 2FA, que é administrado por um grupo sem fins lucrativos sueco chamado 2factorauth e mantido no GitHub.

E se um serviço de alto valor em que você confia não suporta 2FA, bem, talvez seja hora de considerar a troca por um que suporte.

Quais serviços devo proteger primeiro?

Provavelmente você tem credenciais de login em dezenas de serviços online que suportam 2FA, então a melhor estratégia é fazer uma lista prioritária e seguir por ela. Sugiro seguir estas prioridades:

Gerenciadores de senhas/identidade: Usar um gerenciador de senhas é talvez a forma mais importante de garantir que você tenha uma senha forte e única para cada serviço, mas isso também cria um único ponto de ataque. Adicionar o suporte à 2FA fortalece essa possível fraqueza. Observe que, para alguns softwares de gerenciamento de senhas, o suporte à 2FA é uma opção paga.

Contas da Microsoft, Google e Apple: Se você usa serviços de qualquer uma dessas grandes empresas de plataforma, adicionar suporte à 2FA é essencial. Felizmente, também é fácil. (Veja a seção anterior para links com instruções detalhadas.)

Contas de email: Se um ator malicioso conseguir assumir o controle da sua conta de email, eles podem causar muito estrago, porque mensagens de email são um meio padrão de enviar links para redefinição de senha. Mensagens enviadas de uma conta de email comprometida também podem ser usadas para atacar seus amigos e colegas (enviando anexos contaminados com malware, por exemplo). Se você usa Outlook.com, Exchange Online, Gmail ou Google Workspace, a conta de email usa o método de verificação de identidade associado à sua conta Microsoft ou Google. Se você usa um serviço de email diferente, precisará configurar a 2FA separadamente.

Também: Estes são os melhores serviços de hospedagem de email que protegerão seus dados

Contas de mídia social: Assim como o email, o maior risco associado a uma conta de Facebook ou Instagram hackeada é que ela seja usada contra seus amigos e associados. Mesmo que você seja apenas um observador que raramente posta algo nas mídias sociais, você deve proteger essas contas.

Bancos e instituições financeiras: A maioria dos bancos e empresas de cartão de crédito fez investimentos significativos em programas de detecção de fraude nos bastidores, por isso as opções de 2FA costumam ser limitadas em comparação com outras categorias. No entanto, vale a pena explorar essas configurações e torná-las o mais seguras possível.

Compras e comércio online: Qualquer site em que você tenha salvado um número de cartão de crédito deve ser protegido.

---

• security
• tech