O que é autenticação de vários fatores (AVF)?

• Glossário do IAM
• O que é autenticação de vários fatores (AVF)?

A autenticação de vários fatores (AVF) é uma medida de segurança que exige que os usuários forneçam mais de uma forma de autenticação para acessar um serviço ou aplicativo.

Definição de autenticação de vários fatores

A ideia por trás da AVF é fornecer uma camada adicional de segurança além de um nome de usuário e senha tradicionais, exigindo que os usuários forneçam prova adicional de identidade. Essa prova adicional é chamada de fator de autenticação. Há quatro tipos diferentes de fatores de autenticação:

• Algo que você sabe: Pode ser uma senha, PIN ou resposta a uma pergunta de segurança.

• Algo que você tem: Pode ser um token físico, como um cartão inteligente ou chave de segurança USB, ou um token virtual gerado por um aplicativo autenticador no celular de um usuário. Esses tokens virtuais são chamados de Senhas Únicas (OTPs) ou Senhas Únicas Baseadas em Hora (TOTPs).

• Algo que você é: As informações de biometria, como impressão digital, reconhecimento facial ou varredura de íris.

• Um lugar onde você está: Sua localização geográfica. Alguns aplicativos e serviços só podem ser acessados por usuários localizados dentro de uma localização geográfica específica. Este fator de autenticação em particular é frequentemente usado em ambientes de segurança de confiança zero.

Sistemas de AVF exigem que os usuários forneçam pelo menos dois fatores diferentes de duas categorias. Isto é melhor explicado com um exemplo:

• Um sistema que exige que os usuários insiram uma senha e um PIN não se qualifica como tendo AVF, pois os dois fatores são da categoria "algo que você sabe".
• Caixas eletrônicos têm usado AVF por décadas. Eles exigem que os usuários insiram um cartão (algo que têm) e digitem um PIN (algo que sabem).

Além dos caixas eletrônicos, A VF é amplamente usada para proteger contas on-line, como e-mail, banco on-line e armazenamento em nuvem, bem como acesso físico a prédios e outras áreas seguras.

Nem todos os fatores de autenticação são criados da mesma forma

Alguns sistemas de AVF usam TOTPs enviados por chamadas telefônicas, mensagens de texto ou e-mail para autenticação. Apesar de esses métodos serem tecnicamente fatores "válidos" de AVF, muitos especialistas de segurança desencorajam seu uso devido ao fato de poderem ser facilmente comprometidos.

Portanto, é uma prática recomendada de segurança evitar usar e-mail, chamadas telefônicas ou mensagens de texto para AVF, a não ser que não haja outros métodos disponíveis. Opções mais robustas incluem biometria, um token de segurança física ou um aplicativo de autenticação autônomo.

Qual é a diferença entre AVF e A2F?

2FA significa autenticação de dois fatores. A única diferença entre A2F e AVF é que a A2F se refere a um método de autenticação que exige apenas dois fatores de autenticação, enquanto que AVF é um termo genérico que se refere a um sistema que exige dois ou mais fatores de autenticação.

Portanto, nosso exemplo acima do caixa eletrônico é um exemplo de A2F, mas chamá-lo de AVF também é correto. Inversamente, um sistema que exige que o usuário insira um cartão ou chave de segurança, digite um PIN e digitalize a impressão digital seria AVF, mas não A2F.

Que proteção a AVF fornece?

Senhas comprometidas são a maior causa de violações de dados e de ataques de ransomware. A AVF evita ataques cibernéticos relacionados a senha fazendo com que seja exponencialmente mais difícil que os atacantes comprometam uma conta. Mesmo se o ator da ameaça conseguir obter uma senha funcional, ela será inútil sem os fatores de autenticação adicionais. Uma estatística da Microsoft revelou que a AVF ode bloquear mais de 99,9% de ataques de comprometimento de contas.

Por esse motivo, a AVF tem um papel importante na conformidade de TI. Muitas estruturas de conformidade regulamentar e do setor exigem que as organizações implementem AVF para proteger seus sistemas internos. A AVF também é essencial para a implementação de uma estrutura de segurança de conhecimento zero, que exige que os usuários sejam explicitamente verificados.

Implementar a AVF também pode ajudar a melhorar a confiança de um usuário em um sistema, pois ela demonstra que a organização leva a segurança a sério e está comprometida em proteger as informações dos usuários.

Como posso implementar a autenticação de vários fatores?

Para usuários pessoais

Os indivíduos devem ativar A2F/AVF em todos os sites e aplicativos compatíveis para proteger suas contas pessoas contra atores de ameaças cibernéticas. Muitos sites e aplicativos orientam os usuários nesse processo na configuração da conta. Caso contrário, os usuários podem consultar os documentos de ajuda do site ou aplicativo.

Lembre-se de evitar o uso e e-mail, mensagens de texto ou chamadas telefônicas como um fator de autenticação, a não ser que o site ou aplicativo não tenha suporte para outros métodos.

Para usuários comerciais

Os passos envolvidos na implementação da AVF variarão dependendo das necessidades e recursos específicos de sua organização. Recomenda-se buscar a assistência de um especialista em segurança ou profissional de TI caso você não tenha certeza de como agir. No entanto, eis uma visão geral dos passos envolvidos:

1. Determine os tipos de fatores de autenticação a usar: Decida que fatores de autenticação serão uados com base nas suas necessidades de segurança e nos recursos disponíveis. Lembre-se de escolher pelo menos dois fatores de duas categorias diferentes e evite usar chamadas telefônicas, e-mail ou mensagens de texto como fator de autenticação.

2. Escolha uma solução de AVF: Há muitas soluções comerciais e de código aberto disponíveis para implementar AVF. Escolha uma solução que tenha suporte para os fatores de autenticação que você selecionou e que se encaixe em seu orçamento e suas capacidades técnicas.

3. Integre a solução de AVF em seus sistemas: Isos pode envoltar a integração da solução de AVF em seu sistema de autenticação existente ou substituir seu sistema de autenticação existente por uma solução compatível com AVF. Talvez seja preciso modificar o código do seu aplicativo ou fazer mudanças em sua infraestrutura de rede.

4. Registre os usuários: Depois de integrar a solução de AVF em seus sistemas, registre os usuários fazendo com que forneçam os fatores de autenticação adicionais exigidos pela solução de AVF.

5. Monitore e faça manutenção da solução de AVF: Monitore regularmente o desempenho e a segurança da solução de AVF, e atualize-a conforme necessário para manter sua efetividade.