Se este ano fizer apenas uma coisa para proteger as suas contas, faça com que seja a 2FA. A autenticação de dois fatores acrescenta um segundo cadeado aos seus inícios de sessão, de modo que uma palavra-passe roubada - a forma de longe mais comum de as contas serem sequestradas - deixe de ser suficiente para entrar. Este guia explica o que é a 2FA, os tipos ordenados pelo seu nível de segurança e como ativá-la.
Para a maioria, o segundo fator mais fácil é uma aplicação de autenticação, e a 2FA é apenas a forma mais comum da autenticação multifator mais ampla. Prefira-a ao SMS, o fator mais fraco em parte por causa dos ataques de SIM-swap; e para a opção mais sólida e económica, compare Token2 vs YubiKey.
A resposta curta
- 2FA = comprovar a sua identidade com dois fatores diferentes, não apenas uma palavra-passe.
- Os fatores: algo que sabe (palavra-passe) + algo que tem (código de app, chave de hardware, telemóvel) ou algo que é (impressão digital/rosto).
- Significa que uma palavra-passe roubada, por si só, não consegue iniciar sessão - o passo de segurança de maior impacto para a maioria das pessoas.
- Melhores métodos: chave de hardware ou app de autenticação; evite depender do SMS onde puder.
O que "dois fatores" significa realmente
Os fatores de autenticação dividem-se em três categorias, e a 2FA combina duas diferentes:
- Algo que sabe - uma palavra-passe ou um PIN.
- Algo que tem - um código de uma app de autenticação, uma chave de segurança de hardware ou o seu telemóvel.
- Algo que é - uma leitura da impressão digital ou do rosto.
Duas palavras-passe não são 2FA (mesma categoria). Uma palavra-passe mais um código de app são, porque um atacante teria de derrotar duas coisas independentes. É todo o ganho de segurança.
2FA, MFA, verificação em dois passos - a mesma coisa?
Os termos sobrepõem-se, e vale a pena conhecer as distinções:
- 2FA (autenticação de dois fatores) - exatamente dois fatores de duas categorias diferentes.
- MFA (autenticação multifator) - dois ou mais fatores; a 2FA é a forma mais comum de MFA.
- TOTP vs HOTP: como funcionam mesmo as palavras-passe de uso único (e qual usa a sua 2FA)
- Verificação em dois passos - um termo de marketing que os serviços usam; normalmente significa 2FA, embora alguns "passos" usem tecnicamente a mesma categoria (por exemplo, uma palavra-passe e depois um código por email), o que é ligeiramente mais fraco do que dois fatores verdadeiramente independentes.
No uso diário pode tratá-los como o mesmo objetivo: mais do que apenas uma palavra-passe. O que importa muito mais do que o rótulo é qual segundo fator escolhe - é isso que decide quanta proteção real obtém.
Os tipos de 2FA, ordenados por segurança
- Chaves de segurança de hardware (FIDO2 / passkeys) - as mais fortes. Resistentes ao phishing ao nível criptográfico: nem um site falso perfeito consegue capturar um código reutilizável. Veja o que é uma passkey e a nossa comparação das melhores chaves de segurança de hardware.
- Apps de autenticação (TOTP) - um código de 6 dígitos que muda a cada 30 segundos, gerado no seu dispositivo sem necessidade de rede. Muito mais seguro do que o SMS e a melhor opção por defeito para a maioria das contas.
- Notificações push - toque em "aprovar" no seu telemóvel. Cómodo, mas vulnerável ao "MFA fatigue" (os atacantes enviam spam de aprovações na esperança de que toque em sim).
- Códigos SMS - melhor do que nada, mas os mais fracos: vulneráveis ao SIM swapping e à interceção.
Como os atacantes tentam derrotar a 2FA - e como ficar um passo à frente
A 2FA é poderosa, não é mágica. Conhecer os verdadeiros métodos de ataque diz-lhe que fator escolher:
- Ataques de phishing em tempo real (relay). Uma página de início de sessão falsa reencaminha de imediato a sua palavra-passe e o código que digita para o site real. Isto derrota o SMS, os códigos de app e o push - mas não as chaves de hardware/passkeys, que estão associadas ao endereço do site real e simplesmente não se autenticam no falso.
- MFA fatigue. Os atacantes que já têm a sua palavra-passe enviam spam de aprovações push até que toque em "sim" por irritação. Nunca aprove um pedido que não iniciou; mude as contas de alto valor para códigos ou chaves.
- SIM swapping. Um criminoso convence a sua operadora a mover o seu número para o SIM dele e recebe os seus códigos SMS. É a razão central para evitar o SMS no email, na banca e no seu gestor de palavras-passe.
O fio condutor: os fatores resistentes ao phishing (chaves de hardware FIDO2 e passkeys) batem todos os ataques à distância acima referidos. Se uma conta os suportar, use-os; se não, uma app de autenticação é a opção por defeito sólida, e o SMS apenas como último recurso.
Como ativar a 2FA
Demora dois minutos por conta:
- Vá às definições de Segurança / Início de sessão da conta e procure "dois fatores" ou "verificação em dois passos".
- Escolha app de autenticação (ou uma chave de hardware) em vez do SMS, se disponível.
- Digitalize o código QR com a sua app de autenticação e depois introduza o código que ela mostra para confirmar.
- Guarde os códigos de recuperação num local seguro - idealmente no seu gestor de palavras-passe. Onde exatamente merece uma decisão ponderada: ver o que são os códigos de recuperação e onde devem ficar.
Dê prioridade primeiro ao seu email (pode repor tudo o resto), depois ao seu gestor de palavras-passe, à banca e às contas sociais.
Guarde os códigos 2FA e as chaves de recuperação em segurança - BitwardenGestor de palavras-passe open source e auditado, com TOTP integrado e notas seguras para os seus códigos de recuperação→Conclusão
A 2FA significa iniciar sessão com duas provas diferentes em vez de uma, de modo que uma palavra-passe roubada não consiga abrir a sua conta por si só. Ative-a em todo o lado onde for importante, prefira uma app de autenticação ou uma chave de hardware ao SMS e guarde os seus códigos de recuperação antes de precisar deles. É o hábito de segurança com maior retorno que existe - comece hoje pelo seu email. A seguir, compare as melhores apps de autenticação e saiba como as passkeys levam a 2FA mais longe.
Leitura relacionada: A MFA pode ser contornada
Guias relacionados
★ Audit Cure53 2024 · ✓ Plan gratuit · Cross-platform
Um gestor com 2FA e passkeys integrados → NordPassGuarde TOTP e passkeys · XChaCha20 · plano gratuito→Perguntas frequentes
O que é a 2FA em termos simples?
A 2FA (autenticação de dois fatores) significa comprovar quem você é com duas coisas diferentes em vez de apenas uma. O primeiro fator é algo que sabe - a sua palavra-passe. O segundo é algo que tem (um código de uma app, uma chave de hardware, um telemóvel) ou algo que é (uma impressão digital ou o rosto). Como um atacante precisaria de ambos, uma palavra-passe roubada ou adivinhada, por si só, deixa de ser suficiente para iniciar sessão. É o passo isolado mais eficaz que a maioria das pessoas pode dar para proteger as suas contas.
Quais são os tipos de 2FA, do mais ao menos seguro?
Do mais forte ao mais fraco: (1) chaves de segurança de hardware (FIDO2/passkeys) - resistentes ao phishing, o padrão de excelência; (2) apps de autenticação (TOTP) - códigos gerados no seu dispositivo, sem necessidade de rede, muito mais seguros do que o SMS; (3) notificações push - cómodas, mas vulneráveis ao spam de aprovações de 'MFA fatigue'; (4) códigos SMS - melhor do que nada, mas vulneráveis ao SIM swapping e à interceção. Use uma app ou uma chave de hardware onde puder e mantenha o SMS apenas como último recurso.
A 2FA é mesmo necessária se eu tiver uma palavra-passe forte?
Sim. Uma palavra-passe forte e única protege contra adivinhação e força bruta, mas não o protege se essa palavra-passe for exposta numa fuga de dados, capturada por phishing ou roubada por malware - tudo isto é comum. A 2FA acrescenta uma segunda barreira que um atacante normalmente não consegue ultrapassar à distância, por isso, mesmo uma palavra-passe totalmente comprometida não lhe entrega a sua conta. Palavras-passe fortes e a 2FA funcionam em conjunto; nenhuma substitui a outra.
A 2FA por SMS é segura?
É muito melhor do que não ter 2FA, mas é o método comum mais fraco. Os códigos SMS podem ser intercetados, e os atacantes usam o SIM swapping (enganando a sua operadora para mover o seu número para o SIM deles) para receberem os seus códigos. Para contas de alto valor (email, banca, gestor de palavras-passe) prefira uma app de autenticação ou uma chave de segurança de hardware. Mantenha o SMS apenas para serviços que não oferecem mais nada.
O que acontece se eu perder o meu dispositivo de 2FA?
É por isto que a cópia de segurança importa. Quando ativa a 2FA, os serviços dão-lhe códigos de recuperação de utilização única - guarde-os num local seguro (idealmente no seu gestor de palavras-passe). As apps de autenticação oferecem cada vez mais cópia de segurança cifrada ou sincronização multidispositivo, para que um telemóvel perdido não o deixe de fora. Para as chaves de hardware, registe uma segunda chave como reserva. Configure a recuperação antes de precisar dela; sem ela, perder o seu único segundo fator pode significar perder o acesso à conta.
