O que é Autenticação em Duas Etapas ou 2FA?

Se você acompanha os noticiários, já deve ter ouvido falar de vazamentos de senhas ou invasões de contas. E isso preocupa, com razão. Mesmo tomando cuidados como manter programas atualizados, usar senhas diferentes e antivírus, os criminosos digitais costumam encontrar brechas.

Mas existe uma maneira simples para dificultar muito qualquer tipo de invasão de contas: A Autenticação por Duas Etapas – ou 2FA, do inglês Two Factor Autentication!

Quando falamos de segurança, quanto mais, melhor!

Por que um prédio com porteiro é mais seguro que um prédio sem porteiro? A resposta simples seria “O porteiro libera ou não a entrada“. Mas é algo mais complexo: São dois sistemas diferentes que permitem a entrada de alguém na casa: O porteiro (humano) e depois a chave da porta de casa (físico). Se ao invés do porteiro fosse uma fechadura, teríamos somente um único mecanismo de segurança protegendo você dos bandidos da rua – A chave.

E se um bandido consegue abrir uma chave, provavelmente consegue abrir outra.

Quanto mais fatores de proteção independentes, maior a segurança. Veja os carros: hoje temos air bag, freios ABS e cintos de segurança todos funcionando independentes entre si e que juntos, trabalham para que a pessoa sobreviva em caso de acidente.

Quando você liga o fogão, temos a válvula que só libera o gás se o fogo estiver aceso (bloqueio físico) e também temos o cheio característico que colocam junto com o gás (alerta fisiológico)!

Os prédios mais novos atualmente tem sprinkles (“ducha” de teto em caso de incêndio), hidrantes, extintores, alarmes e saídas de emergência.

Tudo relacionado a segurança é trabalhado na redundância. Se um falhar, tem o outro.

O que é autenticação por duas etapas (2FA)?

No mundo digital isso também acontece. Quanto mais proteção, melhor! O problema é que muitas vezes usamos somente a senha para proteger nossos dados (fotos, dinheiro, trabalhos, redes sociais, etc).

“Mas porque não colocamos mais segurança então?”

Por usabilidade (facilidade de usar algo). Infelizmente colocamos a facilidade em primeiro lugar. Quando usamos uma senha fácil de se lembrar, estamos colocando a segurança em segundo plano.

Então precisamos de uma maneira que seja segura e fácil de usar. E ela existe: A autenticação com dois fatores.

Funciona assim: Quando você vai entrar em um site (no email, por exemplo), ele vai pedir a senha como sempre (fig 1 e 2). Se essa senha estiver correta, agora o site vai pedir uma segunda confirmação (fig 3). Para validar, precisa abrir seu celular, abrir um programa específico de segurança (fig 4), memorizar um código que muda de 20 em 20 segundos e só você que tem (fig 5) e enfim colocar o número no campo.

Como somente você tem esse código no mundo, ninguém vai conseguir entrar. E como esse código tem poucos segundos de vida, mesmo se alguém descobrir ele em alguns segundos já não funcionará mais.

Então se eu ativar o 2FA estarei completamente seguro?

Não! Estará muito mais seguro em ataques tecnológicos. Mas ainda estará vulnerável em ataques de “Engenharia Social”. Se você for enganado por um ladrão de conversa enganadora e voz convincente e acabar passando a senha e a chave do 2FA enquanto ele está no computador do outro lado da linha ele terá acesso da mesma maneira.

Falamos sobre o golpe de engenharia social no post “Se envolve dinheiro, desconfie“. Vale a pena a leitura.

Quais são os modelos de 2FA?

• Autenticadores: Apps feitos só para isso como o Google Autenticator ou Microsoft Autenticator;
• Envio por SMS ou email: É melhor do que nada, mas é o pior de todos. O SMS é facilmente hackeado se tiver alguém trabalhando na operadora do seu celular. E tanto SMS quanto o email podem não chegar.
• Confirmação se é você mesmo: Outro modelo é o que a Microsoft, Google e Facebook usam, onde eles avisam que alguém está tentando se logar na sua conta e você tem que responder se foi você ou não digitando o número que está na tela;
• Gerados pelo próprio app: É o que Bancos e o GOV.BR usam. Para você entrar no site tem que digitar o código que está no app do site..

Mas se eu perder meu celular? Como acessar uma conta com o 2FA sem o código?

Caso você tenha perdido o acesso ao programa gerador de código, você tem duas opções: Entrar em contato com a empresa enviando documentos que provem que você é realmente você, ou usar uma chave backup. Quando você ativa o 2FA, a maioria dos programas exibem alguns códigos reservas para você deixar guardado. Você copia eles e deixa eles bem guardados em casa. Quando perder o acesso, entre com algum desses códigos e pronto!

Chave extra de segurança: Quando você ativa o 2FA,a maioria dos sites fornecem um código extra para você anotar e deixar guardado.

Toda vez que eu entrar vou precisar colocar esta chave?

A maioria dos sites só pedem esse código único na primeira vez que você acessa o site naquele computador/navegador. O site entende que se pediu uma vez, está ok!

Outros pedem quando você vai fazer ações mais importantes como alterar a senha.

Sites que envolvem transação em dinheiro sempre vão pedir a autenticação por senha e por chave em qualquer conexão.

Quando eu devo ativar a Autenticação por Dois Fatores (2FA)?

A resposta certa seria “Em todos”. Mas se tivermos que priorizar, comece por:

• GOV.BR – Para ativar veja AQUI.
• Google (Gmail, Youtube, Drive, etc)
• Microsoft (Hotmail, Outlook, Office, etc)
• todas as redes sociais (Facebook, Instagram, etc)
• Comunicadores Instantâneos (Whatsapp, Telegram, etc).

Nos bancos é sempre ativado por padrão.

Como faço para ativar o 2FA?

Como cada aplicativo/site tem sua maneira de autenticar, iremos liberando aos poucos como fazer isso, ok?

Nunca vi isso no Whatsapp! Onde tem?

No WhatsApp, o código enviado por SMS serve apenas para confirmar seu número. O que você precisa ativar é uma senha adicional dentro do próprio app. Isso é essencial, porque o SMS é um método frágil de segurança. Com a senha ativada, mesmo que alguém intercepte o SMS, não conseguirá acessar sua conta.

Resumo: Usar somente a senha para proteger suas contas não é tão seguro.  A Autenticação por Dois Fatores (2FA) permite que somente você tenha acesso a sua conta graças ao código temporário gerado no seu celular e que só você tem acesso.