MFA: o segundo fator que bloqueia os efeitos do roubo de palavras-passe

A autenticação multifator (MFA) exige um segundo elemento de prova além da sua palavra-passe. Pense nela como uma fechadura dupla: a palavra-passe é algo que sabe, enquanto o segundo fator é algo que possui (como um telemóvel que gera um código ou uma chave física) ou algo que é (como a sua impressão digital). Sem MFA, uma palavra-passe roubada dá ao atacante acesso total; com MFA, este continua a precisar do segundo fator, que é muito mais difícil de roubar. Por exemplo, um código de utilização única gerado por uma aplicação de autenticação é muito mais seguro do que um código enviado por SMS, que pode ser intercetado através da troca fraudulenta do cartão SIM.

Nas perguntas de exame, esteja atento à armadilha que apresenta todos os métodos de MFA como igualmente fortes. Os códigos enviados por SMS são melhores do que nada, mas são vulneráveis a ataques de phishing e de troca fraudulenta do cartão SIM. As chaves físicas (como a YubiKey) ou as verificações biométricas são resistentes ao phishing e consideradas as opções mais fortes. Outro truque: a MFA não impede o roubo da palavra-passe — limita os danos. Se uma pergunta indagar qual é o método mais seguro, escolha aquele que não pode ser comprometido por phishing. Lembre-se também de que a MFA não é o mesmo que a verificação em duas etapas; esta última utiliza frequentemente duas vezes o mesmo tipo de fator (por exemplo, uma palavra-passe e uma pergunta de segurança), o que a torna mais fraca.

Para recordar o ponto essencial, pense no acrónimo PHA: Palavra-passe mais algo que Possui ou que É. O segundo fator deve pertencer a uma categoria diferente da palavra-passe. Um autoteste rápido: se alguém roubar a sua palavra-passe, ainda consegue iniciar sessão? Se sim, não dispõe de MFA. Se precisar de um código do seu telemóvel ou da sua impressão digital, dispõe de MFA. A MFA mais robusta é aquela que resiste ao phishing, pelo que as chaves de hardware ou os dados biométricos são superiores aos códigos de aplicações, que, por sua vez, são superiores aos códigos por SMS.