• A autenticação multifator (MFA) é um método de segurança que exige que os usuários forneçam dois ou mais fatores de verificação para acessar um sistema ou aplicativo.
  • Esses fatores geralmente incluem algo que o usuário sabe (como uma senha), algo que o usuário possui (como um smartphone ou token de segurança) e algo que o usuário é (como uma impressão digital ou reconhecimento facial).
  • A MFA adiciona uma camada extra de segurança para evitar acessos não autorizados, pois mesmo que um fator seja comprometido, o atacante ainda precisaria contornar métodos adicionais de autenticação.

A autenticação multifator (MFA) é um processo de autenticação que exige que os usuários apresentem dois ou mais fatores de verificação para acessar um recurso, como um aplicativo ou conta online. Ela constitui um aspecto fundamental de estratégias sólidas de gerenciamento de identidades e acessos (IAM).

O que é autenticação multifator?

A autenticação multifatoré uma abordagem de segurança em camadas para proteger dados e aplicativos, onde um sistema solicita ao usuário que apresente uma combinação de duas ou mais credenciais para verificar sua identidade durante o login. A MFA fortalece a segurança, pois mesmo que uma credencial seja comprometida, usuários não autorizados não conseguirão atender ao segundo requisito de autenticação e não poderão acessar o espaço físico alvo, o dispositivo computacional, a rede ou o banco de dados.

Os fatores de autenticação geralmente se dividem em três categorias.

A primeira categoria é algo que o usuário sabe. Isso inclui credenciais tradicionais, como senhas, códigos PIN ou perguntas de segurança. Os usuários devem inserir essas informações para verificar sua identidade.

A segunda é algo que o usuário possui. Trata-se de um dispositivo físico ou token, como um smartphone, token de segurança ou cartão inteligente. O usuário deve apresentar ou autenticar esse item para prosseguir.

A terceira é algo que o usuário é. Isso abrange credenciais biométricas como impressões digitais, reconhecimento facial ou leitura da íris. Essas características biológicas únicas são usadas para verificar a identidade do usuário.

Leia também:Como proteger a Internet das Coisas?

Como funciona a autenticação multifator?

O processo de autenticação começa quando o usuário tenta acessar um sistema, aplicativo ou serviço online fornecendo seu nome de usuário ou identificador. Uma vez fornecido o nome de usuário ou identificador, o usuário é solicitado a inserir o primeiro fator de autenticação. O primeiro fator geralmente envolve algo que o usuário sabe, como uma senha, código PIN, frase secreta ou respostas a perguntas de segurança. Esse fator inicial de autenticação serve como primeira camada de segurança, verificando se o usuário possui as credenciais corretas para acessar o sistema.

Após a verificação bem-sucedida do primeiro fator, o usuário é então solicitado a fornecer um segundo fator de autenticação. O segundo fator adiciona uma camada extra de segurança, exigindo que o usuário apresente algo que possui ou algo que é. Esse fator adicional pode assumir várias formas, incluindo um código de uso único (OTP), métodos de autenticação biométrica, posse de um dispositivo físico ou token. O usuário deve apresentar ou autenticar com sucesso esse segundo fator para prosseguir com o processo de login.

Se ambos os fatores de autenticação forem validados com sucesso, o acesso ao sistema ou aplicativo é concedido. O usuário é então conectado de forma segura ao sistema, onde pode realizar ações autorizadas ou acessar recursos protegidos. No entanto, se um dos fatores de autenticação não conseguir verificar a identidade do usuário, o acesso é negado e tentativas adicionais de autenticação podem ser necessárias.

Leia também:O que é gerenciamento de riscos de cibersegurança?

Tipos comuns de autenticação multifator

A autenticação baseada em conhecimento depende de algo que o usuário sabe, como senha, código PIN ou pergunta de segurança. Os usuários são solicitados a inserir suas credenciais durante o processo de login para verificar sua identidade. A autenticação baseada em conhecimento é um dos métodos mais tradicionais, mas é vulnerável a ameaças como roubo de senha e ataques de phishing.

A autenticação baseada em posse envolve algo que o usuário possui, como um smartphone, token de segurança ou cartão inteligente. Os usuários devem possuir um dispositivo físico ou token para autenticar sua identidade. Métodos comuns incluem códigos de uso único (OTP) enviados por SMS ou gerados por aplicativos de autenticação, bem como tokens de hardware que geram códigos únicos para cada tentativa de login.

A autenticação biométrica usa características biológicas únicas do usuário, como impressões digitais, características faciais ou padrões da íris, para verificar a identidade. Os usuários são solicitados a fornecer dados biométricos por meio de dispositivos como scanners de impressões digitais, sistemas de reconhecimento facial ou scanners de íris.

A autenticação baseada em localização verifica a identidade do usuário com base em sua posição física. Este método usa dados de geolocalização do dispositivo do usuário para confirmar sua presença em um local específico.

Leia também:O que é o servidor de identidade WSO2?

A autenticação baseada em tempo valida a identidade do usuário com base na hora da tentativa de autenticação. Os usuários devem fornecer um código ou token sensível ao tempo, válido apenas por um determinado período, geralmente alguns minutos. A autenticação baseada em tempo adiciona uma camada extra de segurança ao garantir que os códigos de autenticação sejam válidos apenas por um tempo limitado, reduzindo o risco de interceptação e acesso não autorizado.

A autenticação comportamental analisa o comportamento e os hábitos do usuário para verificar sua identidade. Este método avalia fatores como velocidade de digitação, movimentos do mouse e hábitos de uso do dispositivo para criar um perfil comportamental único para cada usuário. A autenticação comportamental oferece capacidades de autenticação contínua, adaptando-se a mudanças no comportamento do usuário ao longo do tempo para detectar atividades suspeitas e tentativas de acesso não autorizado.