O que é MFA? Por que é importante?
Mais do que nunca, a segurança das informações que estão associadas às pessoas, às empresas, aos governos, a tudo na vida, tem sido crucial. O volume de dados que o mundo produz e o valor que boa parte dessa informação tem, requer preocupações crescentes quanto à integridade, ao sigilo, à privacidade e inviolabilidade de tais dados.
E apesar disso tudo, quase diariamente temos conhecimentos de problemas relacionados à segurança dos dados, em empresas de todos os portes, dos mais diversos segmentos e em todos os lugares do mundo.
Assim, tecnologias, protocolos, métodos, sistemas e tudo que pode ser feito para tornar a segurança da informação maior, tem sido adotado. Entre tudo que se vê, o MFA ou Multi-Factor Authentication, já é um padrão em muitas áreas.
Entendendo o MFA
Definido da forma mais simples possível, Multi-Factor Authentication ou Autenticação Multi Fator, em sua tradução para o português, é o uso de dois ou mais fatores ou agentes para verificação quanto a autenticidade de algo.
Em termos mais práticos, é a utilização de dois ou mais métodos para atestar a identidade de alguém para concessão de acesso a um sistema, documento ou informação.
Quando você acessa alguma das suas redes sociais ou sua conta de e-mail, se o dispositivo que usa para o acesso não tem seus dados de login gravados, você tem que informar um usuário e uma senha. Isso corresponde a um método de autenticação de um fator.
No entanto, a maior parte das redes sociais, os principais serviços de e-mail, entre outros serviços diferentes na Internet e mesmo no mundo físico, como no caixa eletrônico do seu banco, já utilizam mais do que um meio para certificar-se que o usuário que está utilizando o serviço, de fato é autorizado a fazê-lo.
Assim, nas configurações de segurança do Facebook, é possível selecionar um método de segurança adicional, além dos tradicionais usuário e senha e que no caso pode ser um aplicativo de autenticação (Google Authenticator ou o Duo Mobile) ou o envio de um SMS que contém um código de verificação, para um número telefônico previamente cadastrado.
No caso do Facebook e outros serviços que adotam uma segunda camada de proteção, por meio de outra forma de autenticação, costuma-se chamar como TFA, ou Two-Factor Authentication, ou em sua tradução, Autenticação de Dois Fatores, mas que também pode ser considerada como uma MFA, visto que além do método convencional, há pelo menos mais duas alternativas que podem ser escolhidas.
No caso de um site, adotar MFA ou TFA, significa fortalecer os protocolos de segurança quanto ao acesso ao seu painel de controle ou à área de administração do site.
Por que usar o MFA?
Parece desnecessário responder a essa pergunta, uma vez que é evidente até aqui que a segurança é o cerne da questão.
Todavia, os menos atentos, podem acreditar que usuários e senhas suficientemente fortes, bastam em termos de segurança e por isso, supor que é desnecessário ir além.
Nomes de usuário e senhas tradicionais podem ser roubados e assim independentemente do quão complexos sejam e mesmo que você os altere com frequência, toda a privacidade e inviolabilidade que você imaginaria ter, foi por água abaixo, como foi o caso da Data Deposit Box, ou da Origin, plataforma online da Eletronic Arts, em 2019.
Mesmo nos casos de usuários precavidos, empresas muito seguras, sistemas sólidos, os tradicionais usuário e senha, estão sujeitos a ataques de força bruta ou de dicionário, ou ainda variações de phishing.
Ao implementar um MFA em seus sistemas ou no seu site, você tem a possibilidade de contar com várias camadas de segurança, cada qual com um nível de dificuldade de acordo com os requisitos de segurança que seus dados necessitam.
Mais do que simplesmente incluir um ou mais métodos de autenticação, a variedade de métodos e consequentemente suas características, podem tornar praticamente inacessível os dados guardados sob o MFA, por parte de um cibercriminoso.
Como funciona o MFA?
A implantação de um método de dois ou mais fatores de autenticação, pode variar de acordo com as necessidades e as tecnologias disponíveis. Um exemplo, é a autenticação adaptativa, por meio da qual são incluídos fatores diferentes dependendo da situação – incrementando a segurança e as exigências conforme o risco de violação varia.
Ou seja, o sistema que requer credenciais para conceder acesso, tem condições de verificar se um acesso é potencialmente arriscado, escolhendo os métodos de acordo com o local em que um usuário ou grupo deles realiza o acesso, por exemplo.
Ao ser implantado um modelo de autenticação adaptativa, são definidos perfis para os usuários, contendo particularidades de cada um, como que dispositivos têm acesso (dispositivos registrados), de que locais ele realiza os acessos, dias e horários de acesso, frequência, entre outros aspectos.
Quando um usuário efetua o acesso, é verificado seu endereço IP, o dispositivo utilizado, horário e demais dados, os quais são confrontados com o perfil, determinando assim uma pontuação associada ao risco do acesso e a partir daí o usuário pode ser submetido a fatores de autenticação adicionais e/ou variáveis.
O modelo adaptativo, é o ideal, mas nem sempre pode ser aplicado, porque os recursos e custos de implementação são maiores, já que nos sistemas mais complexos, há inteligência artificial e até mesmo Machine Learning, que neste caso alimenta o perfil de acordo com o comportamento do usuário ao longo do tempo, fortalecendo ainda mais a segurança do ambiente e dos dados nele contidos.
O mais comum, é adotar um modelo preestabelecido ou fixo, em que por padrão sempre haverá pelo menos dois fatores de autenticação já previamente conhecidos para todo e qualquer acesso.
Há ainda modelos intermediários, como o utilizado pela Microsoft em alguns dos seus serviços, como por exemplo, o Outlook. Nele, há a autenticação padrão e o serviço é capaz de identificar os dispositivos cadastrados previamente no seu perfil.
Se um acesso é feito por um dispositivo não cadastrado, um segundo método de autenticação é requerido do usuário, como por exemplo, o envio de um código numérico de verificação ou um SMS para um número já cadastrado.
O acesso ao perfil / conta na Microsoft, é um outro exemplo de autenticação de dois fatores e sempre que o usuário acessa seu perfil para alterar dados relevantes, outro fator é submetido ao usuário para que a atualização seja efetivada.
Eis algumas alternativas que podem ser adotadas em um segundo, terceiro ou enésimo fator de autenticação:
- Respostas a perguntas secretas, as quais são previamente armazenadas no sistema;
- Verificações biométricas diversas, como leitura de digitais, leitura íris ou retina, reconhecimento facial;
- Códigos de verificação enviados para uma conta de e-mail ou SMS;
- Tokens por hardware ou software;
- Aplicativos de geração de códigos;
- Chamadas de voz;
- Senhas temporárias e/ou variáveis, baseadas em padrões e algoritmos;
- Certificados embutidos em smart cards;
- Uso de chaves de segurança fazendo uso de criptografia, de modo similar ao protocolo de internet SSH.
Conclusão
A MFA ou autenticação multi fator, é um método que institui duas ou mais etapas de autenticação, com o objetivo de implementar mais camadas de segurança para o acesso de dados ou sistemas considerados sensíveis ou críticos.