O que é autenticação multifator (MFA)?
Como você sabe que alguém é quem diz ser? Em resumo, essa é a pergunta que a autenticação se propõe a responder.
O problema é o seguinte: a confirmação da identidade está mais difícil do que nunca. Nomes de usuário e senhas não são suficientes, e é por isso que muitas empresas recorrem à autenticação multifator (MFA).
Não está familiarizado com a MFA? Tem curiosidade de saber como ela pode proteger sua empresa? Continue lendo para saber tudo o que você precisa saber sobre a MFA e por que ela é uma parte essencial da sua postura de segurança cibernética.
O que é MFA?
De acordo com o Instituto Nacional de Padrões e Tecnologia (NIST), a MFA é um método de autenticação que requer mais de um “fator de autenticação” distinto para usar um site, aplicativo ou sistema.
O fator de autenticação é uma credencial de segurança que verifica a identidade de um usuário quando ele tenta acessar um recurso específico. Por exemplo, quando alguém faz login em uma conta de e-mail, normalmente envia um nome de usuário e uma senha. Essas credenciais são uma forma de identificação, indicando que a solicitação de acesso vem de um indivíduo legítimo, e não de um impostor.
O objetivo da MFA é tornar esse processo mais seguro, exigindo pelo menos um fator adicional; daí o nome “autenticação multifator”. Por quê? Porque, quando os hackers tomam as credenciais de login, eles podem obter acesso não autorizado a recursos importantes e informações confidenciais.
Digamos que os criminosos cibernéticos invadam uma conta pertencente a um usuário privilegiado (por exemplo, alguém com permissão para acessar sistemas críticos de TI e realizar atividades que os usuários comuns não têm permissão para fazer). Eles podem exfiltrar grandes quantidades de dados confidenciais, como números de Seguro Social, informações financeiras e muito mais. Uma violação de dados pode levar ao roubo de identidade de funcionários e/ou clientes e causar impactos significativos nos negócios, custando em média US$ 4,45 milhões.
Em resumo, é aí que as soluções de MFA entram em ação. Com o sistema certo, as organizações podem proteger as identidades da força de trabalho, dos consumidores e dos cidadãos por meio de camadas de autenticação forte.
Qual é a diferença entre a MFA e a autenticação de dois fatores (2FA)?
MFA e 2FA são conceitos extremamente semelhantes, mas não exatamente iguais.
Simplificando, a 2FA é um método de autenticação que exige exatamente dois identificadores, nem mais, nem menos. Portanto, é um subconjunto da MFA, que requer no mínimo dois fatores.
Em teoria, a MFA costuma ser mais segura do que a 2FA porque pode abranger quantos autenticadores você quiser para qualquer caso de uso específico. Cada fator adicional torna o acesso não autorizado mais difícil, criando outra camada de proteção entre os hackers e as informações confidenciais.
Dito isso, a 2FA não é insegura por padrão. Ainda é significativamente melhor do que confiar na autenticação de fator único, pois as proteções de senha tradicionais são muito vulneráveis às ameaças cibernéticas modernas.
Exemplos de MFA
Como as organizações usam soluções de MFA? Veja aqui dois dos casos de uso mais comuns:
- Acesso remoto para funcionários: Somente nos Estados Unidos, um terço dos funcionários com capacidade remota está trabalhando em casa com regularidade. Com o aumento do trabalho híbrido em todo o mundo, as empresas precisam oferecer aos usuários acesso remoto seguro a recursos essenciais. As soluções de MFA permitem que eles identifiquem e protejam as identidades da força de trabalho e, ao mesmo tempo, acomodem a conveniência de trabalhar de qualquer lugar.
- Acesso ao sistema no local: Da mesma forma, os sistemas locais, como os de hospitais, são armazenamentos vitais de informações protegidas. Com a solução de MFA certa, os funcionários podem usar crachás de proximidade juntamente com credenciais para acessar bancos de dados de pacientes com rapidez e segurança.
Como funciona a MFA?
O processo depende do método exato de MFA em uso. Entretanto, independentemente das especificidades, o fluxo de trabalho geralmente funciona da seguinte forma:
- Login de usuário: o usuário insere seu nome de usuário e senha.
- Solicitação de autenticação: Se o login principal for bem-sucedido, o sistema solicitará um fator adicional.
- Verificação de MFA: O usuário fornece o segundo fator de autenticação, como uma senha de uso único (OTP) gerada por um aplicativo autenticador.
- Terceiro fator opcional: Uma solução de MFA pode invocar mais solicitações de autenticação se estiver configurada para isso.
- Autenticação bem-sucedida: Se todos os fatores forem verificados, o usuário terá acesso ao sistema.
Normalmente, esse processo leva apenas alguns instantes para ser concluído e tem pouco impacto na experiência do usuário. Em última análise, depende de quantos fatores de MFA você precisa, que se enquadram em três categorias: conhecimento, posse e inerência.
1. Fator de conhecimento
O fator de conhecimento refere-se a algo que somente o usuário saberia, como uma senha ou PIN. Os sistemas de MFA adicionaram mais fatores de conhecimento ao longo do tempo, sendo o exemplo mais comum a resposta a uma pergunta secreta (por exemplo, o nome de solteira de sua mãe, o mascote do colégio etc.).
Entretanto, esse é o fator mais fraco de todos os fatores do MFA, pois pode ser facilmente adivinhado. Por exemplo, não é preciso muito esforço para que os hackers obtenham respostas a perguntas secretas de perfis de redes sociais, pois elas geralmente se baseiam em informações pessoais. Da mesma forma, também são suscetíveis a ataques de phishing.
2. Fator de posse
O fator de posse inclui algo que somente o usuário teria. Atualmente, existem vários tipos avançados de verificação baseada em posse, como:
- OTP ou senha de uso único: Códigos de acesso únicos entregues por e-mail ou SMS.
- Notificações push: Alertas enviados ao dispositivo móvel do usuário solicitando a confirmação da solicitação de acesso. A ideia é que apenas o proprietário tenha o dispositivo.
- Token de hardware: Chaves FIDO2 e outros dispositivos físicos que os usuários conectam a um desktop. Contêm informações criptografadas, que autenticam a identidade do usuário.
- Cartão de chave de segurança: Cartões em papel impressos a partir de arquivos PDF que contêm uma tabela com linhas e colunas compostas de números e caracteres. Os usuários devem fornecer as informações corretas das células correspondentes do cartão exclusivo que possuem.
3. Fator de inerência
O fator de inerência inclui informações que são inerentes ao usuário específico. Em comparação com os outros dois fatores (algo que você sabe e algo que você tem), é mais fácil considerar a inerência como algo que você é. Portanto, ela também é chamada de autenticação por biometria, aproveitando métodos de MFA como:
- Impressão digital
- Escaneamento de retina
- Reconhecimento de voz
- Reconhecimento facial
Como a autenticação por biometria é inatamente difícil de ser contornada, os fatores baseados em inerência estão entre as opções mais seguras disponíveis.
Fatores adicionais de MFA
Além dos três identificadores primários, as soluções de ponta podem usar três fatores emergentes de MFA:
- Tempo: Avalia a tentativa de acesso em relação aos tempos de uso esperados. Se uma solicitação ocorrer fora do horário de expediente, a solução poderá exigir um fator adicional.
- Localização: As soluções de MFA podem validar solicitações com base na localização geográfica ou no endereço IP, garantindo que elas sejam originadas de uma posição autorizada.
- Comportamento: Esse fator analisa os padrões do usuário, como a dinâmica de pressionamento de teclas, para confirmar a identidade com base em ações históricas ou habituais.
Juntos, esses fatores fortalecem a MFA clássica com mecanismos de segurança mais sofisticados. De forma crítica, eles também possibilitam a MFA adaptável, mas falaremos mais sobre isso futuramente.
Deseja saber mais? Baixe nosso último livro eletrônico e descubra o poder da Entrust Identity.
Por que a MFA é importante?
Os hackers estão atacando as identidades em um ritmo incessante. Em 2023, mais de 8,2 bilhões de registros foram roubados em ataques baseados em credenciais, incluindo 3,4 bilhões em uma única violação de dados. É claro que os impactos podem ser devastadores: fraude, roubo de identidade, violações de conformidade, perdas monetárias, danos à reputação... A lista é longa.
Infelizmente, muitas empresas não estão preparadas para ameaças baseadas em identidade. De acordo com um estudo de 2023, 61% das organizações afirmaram que a proteção da identidade digital é uma de suas três principais prioridades. Entretanto, apenas 49% delas tinham uma implementação completa de MFA. Se tivessem uma solução de MFA eficaz, teriam reduzido a probabilidade de invasão em 99%.
MFA e Confiança zero
De fato, a MFA é uma resposta adequada às ameaças cibernéticas do passado e do presente, mas também é vital para o futuro da resiliência cibernética. Em outras palavras, é um componente obrigatório da segurança da Confiança zero.
A Confiança zero é uma estrutura de segurança moderna que enfatiza a autenticação forte, não apenas uma vez, mas continuamente em uma sessão. Com um sistema de MFA robusto como parte de uma plataforma de gerenciamento de identificação e acesso (IAM), as empresas podem implementar um dos três pilares da estrutura de uma só vez. O resultado? Muito menos exposição a acesso não autorizado e ataques baseados em identidade.
Benefícios e desafios da MFA
Por que se preocupar com a MFA? Para começar, ela traz inúmeras vantagens:
- Segurança de dados aprimorada: A MFA protege contra fadiga de senha, ataques de phishing e outras ameaças baseadas em credenciais, reduzindo o risco de invasão de contas.
- Conformidade melhorada: Também ajuda as organizações a atender a vários requisitos regulatórios e padrões do setor. Ao usar a MFA, as organizações podem demonstrar seu compromisso com a proteção dos dados.
- Maior confiança: Quando os clientes sabem que uma organização está usando medidas de segurança robustas, como a MFA, a confiança deles na segurança de seus dados pessoais e financeiros aumenta.
- Redução de custos: A MFA ajuda as organizações a evitar as despesas substanciais associadas à resposta a incidentes, honorários jurídicos, multas regulatórias e danos à reputação. Além disso, a MFA pode reduzir a necessidade de redefinição de senhas e outros custos relacionados ao suporte, pois os usuários têm menos probabilidade de ter a conta comprometida.
Entretanto, vale a pena observar que a MFA tem seus desafios. Isso inclui:
- Inconveniência: Outros fatores podem levar a uma experiência de usuário ruim, o que frustra funcionários e clientes.
- Possíveis vulnerabilidades: A MFA é um excelente mecanismo de segurança, mas não é imune a ataques. Certos vetores de ameaças, como bombardeio imediato ou troca de SIM, estão deixando mais claro que as organizações precisam do suporte de uma plataforma de IAM com todos os recursos, além da MFA.
O que é autenticação adaptável?
A autenticação adaptável, também conhecida como MFA adaptativa ou autenticação baseada em risco, é um tipo de verificação por etapas. Ela analisa as informações contextuais para determinar o nível de risco de qualquer perfil de usuário que esteja solicitando acesso a um recurso, aumentando ou diminuindo os requisitos de segurança de acordo.
Em poucas palavras, a MFA adaptativa exige fatores adicionais quando há uma chance maior de a solicitação ser ilegítima. Quanto maior o risco, maiores serão seus desafios.
Por exemplo, a autenticação adaptável avalia o seguinte:
- Número de tentativas de login malsucedidas
- Endereço IP de origem ou localização geográfica
- Reputação de dispositivo
- Dia e hora da tentativa
- Sistema operacional
- Função do usuário
Se a solicitação de acesso for suspeita, poderá ser solicitado que os usuários confirmem sua identidade usando uma OTP ou uma notificação por push. Da mesma forma, se tudo estiver normal, pode não apresentar nenhum desafio, oferecendo, assim, uma experiência de usuário perfeita.
Práticas recomendadas de implementação de MFA
Está preocupado com a implementação de sua solução de MFA? Procure um sistema de IAM robusto que inclua não apenas a autenticação adaptável, mas também maneiras de aumentar seus recursos. Veja aqui algumas medidas de segurança adicionais que devem ser levadas em conta:
- O logon único (SSO) permite aos usuários acessar vários aplicativos com apenas um conjunto de credenciais de login. Como parte de um portfólio de IAM, o SSO reduz o risco de uma experiência de usuário ruim e ainda aproveita a segurança da MFA adaptável.
- A autenticação sem senha reduz o risco da falta de higiene das senhas. Em vez de senhas, são usados autenticação por biometria e métodos baseados em credenciais, como certificados digitais, para validar identidades.
- A autenticação móvel por push é um tipo de método de autenticação sem senha que envia uma notificação push para o dispositivo móvel do usuário. Isso permite que eles passem o dedo ou toquem em um botão para aprovar transações, acessar aplicativos ou fazer login em aplicativos corporativos.
Obtenha a MFA de alta garantia com a Entrust Identity
O Entrust Identity é nosso portfólio de recursos de gerenciamento de identificação e acesso. Com uma plataforma de IAM, você pode aproveitar todo um conjunto de ferramentas e autenticadores de MFA para proteger sua força de trabalho, consumidores ou cidadãos do atual cenário de ameaças em constante evolução.
Desde a MFA adaptável até a autenticação sem senha e muito mais, temos todas as medidas de segurança de que você precisa para ter sucesso.