Módulo 2 · 2.3
Autenticação de dois fatores: códigos, aplicações e SMS
Módulo 2: Palavras-passe e início de sessão · Tempo de leitura: 11 minutos
Objetivo de aprendizagem: Depois desta lição, consegue comparar as formas de autenticação de dois fatores (SMS, e-mail, TOTP, push), reconhecer os ataques a estas formas e organizar a recuperação para o caso de perder o telemóvel.
Conceitos-chave: 2FA/MFA, fator (saber, ter, ser), TOTP, segredo partilhado, notificação push, fadiga de MFA, sim-swap, códigos de recuperação
Duas provas diferentes
Uma palavra-passe é algo que você sabe. Se for exposta, qualquer pessoa que a conheça pode iniciar sessão. A autenticação de dois fatores (2FA) exige, por isso, uma segunda prova de um tipo diferente. Quando há mais de dois fatores, fala-se de autenticação multifator (MFA); na prática, os termos são usados de forma intercambiável.
Existem três tipos de fatores:
- Saber: uma palavra-passe ou um código PIN.
- Ter: o seu telemóvel com uma aplicação, uma chave de segurança, um cartão.
- Ser: a sua impressão digital ou o seu rosto.
Duas vezes o mesmo tipo não conta: uma palavra-passe mais uma pergunta de segurança são duas coisas que você sabe. O NCSC neerlandês recomenda vivamente o uso de MFA em todos os sistemas e contas que o permitam, e sobretudo nas contas acessíveis pela internet e nas contas com direitos de administração. Para uma pequena empresa, isso inclui pelo menos: e-mail, alojamento e registo de domínio, banco, contabilidade, loja online, o gestor de palavras-passe e as redes sociais da empresa.
As formas lado a lado
| Forma | Como funciona | Ponto fraco | Resistente a phishing? |
|---|---|---|---|
| Código por SMS | O serviço envia um código para o seu número de telemóvel | Sim-swap, interceção, o seu número não é o seu dispositivo | Não |
| Código por e-mail | O serviço envia um código para a sua caixa de correio | Tão forte quanto a sua caixa de correio; se esta for comprometida, deixa de ser uma segunda fechadura | Não |
| Aplicação de autenticação (TOTP) | Uma aplicação gera um novo código a cada 30 segundos | O segredo pode ser exposto durante a configuração ou numa cópia de segurança mal protegida; você copia o código manualmente | Não |
| Notificação push | O seu telemóvel pergunta "É você?" e você toca em Aprovar | Fadiga de MFA | Não, é melhor com confirmação por número |
| Passkey ou chave de segurança | O seu dispositivo prova criptograficamente quem você é, apenas para o domínio verdadeiro | Recuperação se perder tudo | Sim (lição 2.4) |
Qualquer forma é muito melhor do que nenhum segundo passo. Mas a tabela também mostra: tudo em que você copia um código ou aprova uma notificação pode ser reproduzido por um burlão no seu site falso. O NIST diz isto sem rodeios na SP 800-63B-4: os métodos em que o resultado é introduzido manualmente não são resistentes a phishing.
Como funciona uma aplicação de autenticação
Uma aplicação de autenticação usa TOTP: Time-based One-Time Password, descrito na RFC 6238. Funciona assim:
- Ao configurar, o serviço gera um segredo partilhado aleatório, por exemplo 32 carateres como
JBSWY3DPEHPK3PXP.... Esse segredo está contido no código QR que você digitaliza, ou pode ser introduzido manualmente como "chave manual". - A sua aplicação e o serviço têm agora ambos o mesmo segredo. Depois disso, já não é necessário qualquer contacto entre os dois.
- A cada 30 segundos, ambos calculam o segredo mais a hora atual para obter um código de 6 dígitos. Como têm o mesmo segredo e o mesmo relógio, obtêm o mesmo código.
- Ao iniciar sessão, o serviço compara o seu código com o resultado próprio, normalmente com uma margem de um período de tempo antes ou depois, para compensar um relógio ligeiramente dessincronizado.
Duas consequências:
- O segredo é a verdadeira fechadura. Quem vir o código QR ou a chave manual pode gerar para sempre os mesmos códigos que o seu telemóvel. Por isso, nunca tire uma captura de ecrã, não o partilhe com ninguém e não o envie a um colega.
- O código funciona mesmo sem internet e não chega através da rede móvel. É por isso que o TOTP é mais forte do que o SMS.
Existem vários tipos de aplicações de autenticação: separadas no telemóvel, integradas num gestor de palavras-passe, de código aberto ou de uma grande empresa tecnológica, com ou sem cópia de segurança cifrada na cloud. Exemplos são Aegis, Google Authenticator e Microsoft Authenticator, além da função disponível em gestores como Bitwarden ou 1Password. Uma cópia de segurança é útil quando muda de telemóvel, mas o NCSC neerlandês avisa: uma cópia de segurança mal cifrada também dá acesso a um atacante.
Sim-swap: porque é que o SMS é a forma mais fraca
No sim-swap, um burlão assume o controlo do seu número de telemóvel. Faz transferir o seu número para um cartão SIM ou eSIM que ele próprio controla. Isto consegue-se, por exemplo, fazendo-se passar por si junto do seu operador, ou fazendo-o a si próprio colaborar: a polícia alerta para SMS e chamadas telefónicas "em nome do operador" a pedir que o cartão SIM seja validado ou urgentemente convertido para eSIM.
Assim que isso resulta:
- o seu telemóvel deixa de repente de ter rede e já não consegue telefonar nem enviar SMS;
- o burlão recebe todos os códigos por SMS, incluindo os códigos de "esqueci-me da palavra-passe" de serviços que usam o seu número como meio de recuperação;
- por vezes consegue, apenas com o seu número, assumir o controlo de contas.
O mais complicado: só se apercebe quando o telemóvel deixa de funcionar, muitas vezes à noite ou ao fim de semana. Por isso, o NIST classifica o SMS como um método limitado, e diz que os serviços devem estar atentos a sinais como um novo cartão SIM ou um número que foi transferido. O NCSC neerlandês recomenda evitar o SMS sempre que possível, porque as mensagens não são cifradas e podem ser intercetadas.
O que fazer?
- Escolha, sempre que possível, uma aplicação ou passkey em vez de SMS.
- Remova o seu número de telemóvel como meio de recuperação onde esse for um ponto fraco, ou proteja-o adicionalmente.
- Pergunte ao seu operador se pode definir um PIN adicional ou uma verificação extra para a transferência do seu número.
- A rede desaparece de repente sem motivo? Ligue ao seu operador a partir de outro aparelho. Não espere.
O SMS continua a ser melhor do que nada. Se um serviço só oferecer SMS, ative-o na mesma.
Fadiga de MFA: a notificação que você ignora
Numa notificação push, não é preciso copiar nada: o seu telemóvel pergunta "Está a tentar iniciar sessão?" e você toca em Aprovar. Fácil, e exatamente por isso é alvo de abuso.
Na fadiga de MFA (também chamada bombardeamento de push), um atacante já tem a sua palavra-passe. Tenta iniciar sessão repetidamente, fazendo com que o seu telemóvel receba uma notificação atrás da outra, por vezes a meio da noite. A agência norte-americana CISA descreve como as pessoas, por irritação ou por engano, acabam por tocar em Aprovar, ou pensam que pelo menos uma das notificações deve ser verdadeira. Por vezes, o atacante até telefona, fazendo-se passar por "o suporte técnico", a pedir que aprove rapidamente.
Um caso real descrito pelo NCSC neerlandês: atacantes entraram, através de fadiga de MFA, nas contas de e-mail de uma empresa de software e usaram-nas depois para fraude de faturação.
As regras:
- Nunca aprove uma notificação que você próprio não tenha provocado. Nem sequer a vigésima.
- Uma notificação inesperada significa que alguém tem a sua palavra-passe. Altere-a imediatamente e denuncie o caso.
- Escolha, sempre que possível, a confirmação por número: o ecrã de início de sessão mostra um número que você introduz na aplicação. Quem não estiver perante o ecrã de início de sessão não consegue aprovar. A CISA considera isto um bom passo intermédio, mas mais fraco do que uma MFA resistente a phishing.
Recuperação: prepare-a antes de perder o telemóvel
O seu telemóvel cai à água, é roubado ou avaria. Sem preparação, fica de fora das suas próprias contas. Por isso existem os códigos de recuperação (também chamados códigos de backup): uma lista de códigos de reserva que recebe ao configurar e que funcionam cada um apenas uma vez.
- Não os guarde no mesmo telemóvel onde tem a aplicação de autenticação. Imprima-os e guarde-os junto dos seus documentos importantes, ou guarde-os no gestor de palavras-passe, no item correspondente.
- Usou um código de recuperação? Risque-o. Se esgotarem, gere novos.
- Garanta pelo menos duas formas de aceder: por exemplo, a aplicação mais os códigos de recuperação, ou duas chaves de segurança.
- Ao mudar de telemóvel, transfira primeiro as suas contas e só depois apague o antigo.
- Saiba como funciona o procedimento de recuperação dos seus serviços mais importantes. Um bom serviço não repõe simplesmente o seu segundo passo com base num e-mail ou numa chamada, mas verifica primeiro que é realmente você.
Na prática: é assim que se vê
No ambiente WebOké, O meu WebOké pede sempre, depois da palavra-passe, um segundo passo: por predefinição, um código por e-mail, e pode mudar para uma aplicação de autenticação. No DirectAdmin chama-se Autenticação de dois fatores, com códigos de recuperação. No Nextcloud, ativa o TOTP e gera dez códigos de backup. Noutros fornecedores funciona de forma semelhante: procure, no seu perfil ou nas definições de segurança, por "autenticação de dois fatores", "2FA", "autenticador" ou "two-factor".
Os passos são quase sempre os mesmos: digitalizar o código QR, introduzir um código de confirmação, guardar os códigos de recuperação.
Resumo
- A 2FA combina dois tipos de fatores: saber, ter, ser.
- O TOTP funciona com um segredo partilhado e o relógio. O segredo (código QR) é a verdadeira fechadura: nunca o partilhe.
- O SMS é a forma mais fraca devido ao sim-swap e à interceção, mas é melhor do que nada.
- Fadiga de MFA: nunca aprove uma notificação que não tenha provocado, e altere depois a sua palavra-passe.
- Códigos e notificações não são resistentes a phishing; as passkeys e as chaves de segurança são (lição 2.4).
- Prepare códigos de recuperação e um segundo método antes de perder o telemóvel.
Questionário
Exercício
Exercício A2.3: Associar uma aplicação de autenticação. Vai receber um código QR de uma conta de prática "WebOké oefening". Digitalize-o com uma aplicação de autenticação à sua escolha e introduza dois códigos que apareçam em sequência. O programa verifica se a sua aplicação está a calcular corretamente. O segredo de prática não tem qualquer valor e é apagado ao fim de 24 horas; remova depois a conta de prática da sua aplicação.
Exercício D2.3: Ativar a autenticação de dois fatores (2FA) nas suas contas mais importantes. Ative a autenticação de dois fatores no seu e-mail, alojamento ou registo de domínio, banco, contabilidade e gestor de palavras-passe. Guarde os códigos de recuperação num segundo local e responda à pergunta sobre o que faria se perdesse o telemóvel amanhã.
Exercício D2.3: Ativar a autenticação de dois fatores (2FA) nas suas contas mais importantes
Faça assim: (1) Faça uma lista das suas contas mais importantes: caixa de correio, alojamento e registo de domínio, banco, contabilidade, loja online, gestor de palavras-passe, redes sociais da empresa. (2) Ative a autenticação de dois fatores em cada uma. Escolha nesta ordem o que o serviço oferecer: passkey ou chave de segurança, aplicação autenticadora, notificação push com confirmação de número, código por e-mail, SMS. (3) Guarde para cada conta os códigos de recuperação num segundo local (impressos ou no seu gestor de palavras-passe), não no mesmo telemóvel que a sua aplicação autenticadora. (4) Garanta pelo menos duas formas de entrar em cada conta importante. (5) Pergunte ao seu operador se pode definir uma verificação adicional ou código PIN para a transferência do seu número. (6) Combine com a sua equipa: uma notificação de início de sessão que não tenha sido provocada por si próprio nunca se aprova; comunica-se de imediato.
As suas marcações e notas ficam apenas neste navegador; não as enviamos para lado nenhum. Se tiver sessão iniciada, guardamos em Os meus cursos apenas que concluiu o exercício.
Para saber mais
Os passos nos artigos da WebOké aplicam-se ao ambiente da WebOké; noutros fornecedores funciona de forma semelhante.
- Verificação em dois passos na Minha WebOké e configurar uma aplicação de autenticação
- Manual do WebOké 3.2: O código de início de sessão por e-mail (verificação em dois passos)
- Manual do WebOké 3.3: Utilizar uma aplicação de autenticação
- Manual DirectAdmin 3.2: Configurar a Autenticação de Dois Fatores
- Manual DirectAdmin 3.3: Códigos de recuperação e o que fazer se perder o seu autenticador
- Manual do Nextcloud 3.3: Configurar uma aplicação autenticadora e guardar códigos de segurança
- Manual do Nextcloud 3.10: Perdeu o telemóvel ou a 2FA: assim volta a entrar
- Configurar a verificação em dois passos (2FA) no Nextcloud
- NCSC neerlandês, Como escolher um método de MFA? (neerlandês): https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-je-een-mfa-methode
- Polícia neerlandesa, Mensagens falsas em nome de operadores: cartão SIM a ser transferido (neerlandês): https://www.fraudehelpdesk.nl/alert/valse-berichten-kpn-en-odido-simkaart-wordt-overgenomen/
- CISA, Implementing Number Matching in MFA Applications (inglês): https://www.cisa.gov/sites/default/files/publications/fact-sheet-implement-number-matching-in-mfa-applications-508c.pdf
- RFC 6238, TOTP: Time-Based One-Time Password Algorithm (inglês): https://www.rfc-editor.org/rfc/rfc6238