As diferentes formas de autenticação de dois fatores: SMS, aplicativos de autoria e muito mais

Muitos serviços online  oferecem  autenticação de dois fatores , o que aumenta a segurança, exigindo mais do que apenas sua senha para entrar. Existem muitos tipos diferentes de métodos de autenticação adicionais que você pode usar.

Diferentes serviços oferecem diferentes métodos de autenticação de dois fatores e, em alguns casos, você pode até escolher entre algumas opções diferentes. Veja como eles funcionam e como são diferentes.

Verificação de SMS

Muitos serviços permitem que você se inscreva para receber uma mensagem SMS sempre que fizer login em sua conta. Essa mensagem SMS conterá um código curto de uso único que você terá que inserir. Com este sistema, seu telefone celular é utilizado como segundo método de autenticação. Alguém não pode simplesmente acessar sua conta se tiver sua senha – eles precisam de sua senha e acesso ao seu telefone ou às mensagens SMS.

Isso é conveniente, pois você não precisa fazer nada de especial e a maioria das pessoas possui telefones celulares. Alguns serviços até ligam para um número de telefone e têm um sistema automatizado que fala um código, permitindo que você use isso com um número de telefone fixo que não pode receber mensagens de texto.

No entanto, existem  grandes problemas com a verificação de SMS . Os invasores podem usar ataques de troca de SIM para obter acesso aos seus códigos seguros ou interceptá-los graças a falhas na rede celular. Recomendamos não usar mensagens SMS, se possível. No entanto, as mensagens SMS ainda são muito mais seguras do que não usar nenhuma autenticação de dois fatores!

Códigos gerados por aplicativo (como Google Authenticator e Authy)

Você também pode ter seus códigos gerados por um aplicativo em seu telefone. O aplicativo mais conhecido que faz isso é o Google Authenticator, que o Google oferece para Android e iPhone. No entanto,  preferimos Authy , que faz tudo o que o  Google Authenticator  faz – e muito mais. Apesar do nome, esses aplicativos usam um padrão aberto. Por exemplo, é possível adicionar contas da Microsoft e muitos outros tipos de contas ao aplicativo Google Authenticator.

Instale o aplicativo, leia o código ao configurar uma nova conta, e esse aplicativo irá gerar novos códigos aproximadamente a cada 30 segundos. Você terá que inserir o código atual exibido no aplicativo em seu telefone, bem como sua senha quando você entrar em uma conta.

Isso não requer nenhum sinal de celular, e a “semente” que permite que o aplicativo gere esses códigos de tempo limitado é armazenada apenas no seu dispositivo. Isso significa que é muito mais seguro, pois mesmo quem obtém acesso ao seu número de telefone ou intercepta suas mensagens de texto não saberá seus códigos.

Alguns serviços – por exemplo,  o Autenticador Battle.net da Blizzard – também têm seus próprios aplicativos de geração de código dedicados.

Chaves de autenticação física

As chaves de autenticação física são outra opção que está começando a se tornar mais popular. Grandes empresas dos setores de tecnologia e financeiro estão criando um padrão conhecido como U2F , e já é possível usar um token U2F físico para  proteger suas contas do Google, Dropbox e GitHub . Esta é apenas uma pequena chave USB que você coloca no seu chaveiro. Sempre que quiser fazer login em sua conta de um novo computador, você terá que inserir a chave USB e pressionar um botão nela. É isso – sem códigos de digitação. No futuro, esses dispositivos deverão funcionar com NFC e Bluetooth para comunicação com dispositivos móveis sem portas USB.

Esta solução funciona melhor do que a verificação por SMS e códigos de uso único porque não pode ser interceptada e alterada. Também é mais simples e conveniente de usar. Por exemplo, um site de phishing pode mostrar uma página falsa de login do Google e capturar seu código de uso único quando você tentar fazer login. Eles podem então usar esse código para fazer login no Google. Mas, com uma chave de autenticação física que funciona em conjunto com o seu navegador, o navegador pode garantir que está se comunicando com o site real e que o código não pode ser capturado por um invasor.

Espere ver muito mais deles no futuro.

Autenticação baseada em aplicativo

Alguns aplicativos móveis podem fornecer autenticação de dois fatores usando o próprio aplicativo. Por exemplo, o Google agora oferece uma  autenticação de dois fatores sem código  , desde que você tenha o Google app instalado em seu telefone. Sempre que você tenta fazer login no Google de outro computador ou dispositivo, você só precisa tocar em um botão no telefone, nenhum código é necessário. O Google está verificando se você tem acesso ao seu telefone antes de tentar fazer login.

A verificação em duas etapas da Apple  funciona de maneira semelhante, embora não use um aplicativo – ela usa o próprio sistema operacional iOS. Sempre que você tentar fazer login em um novo dispositivo, poderá receber um código de uso único enviado a um dispositivo registrado, como seu iPhone ou iPad. O aplicativo móvel do Twitter também possui um recurso semelhante chamado  verificação de login  . E o Google e a Microsoft adicionaram esse recurso aos   aplicativos de smartphone Google  e  Microsoft Authenticator .

Sistemas baseados em e-mail

Outros serviços dependem de sua conta de e-mail para autenticá-lo. Por exemplo, se você habilitar o Steam Guard, o Steam solicitará que você insira um código de uso único enviado ao seu e-mail toda vez que você entrar em um novo computador. Isso pelo menos garante que um invasor precise da senha da sua conta do Steam e do acesso à sua conta de e-mail para obter acesso a essa conta.

Isso não é tão seguro quanto outros métodos de verificação em duas etapas, pois pode ser fácil para alguém obter acesso à sua conta de e-mail, especialmente se você não estiver usando a verificação em duas etapas nela! Evite a verificação baseada em e-mail se você puder usar algo mais forte. (Felizmente, o Steam oferece autenticação baseada em aplicativo em seu aplicativo móvel.)

O último recurso: códigos de recuperação

Os códigos de recuperação  fornecem uma rede de segurança no caso de você perder o método de autenticação de dois fatores. Quando você configura a autenticação de dois fatores, geralmente recebe códigos de recuperação que devem ser anotados e armazenados em um local seguro. Você precisará deles se perder seu método de verificação em duas etapas.

Certifique-se de ter uma cópia de seus códigos de recuperação em algum lugar se estiver usando a autenticação em duas etapas.

---

Você não encontrará tantas opções para cada uma de suas contas. No entanto, muitos serviços oferecem vários métodos de verificação em duas etapas à sua escolha.

Também existe a opção de usar vários métodos de autenticação de dois fatores. Por exemplo, se você configurar um aplicativo de geração de código e uma chave de segurança física, poderá obter acesso à sua conta por meio do aplicativo se perder a chave física.