Como implementar Autenticação Multifator (MFA) nas empresas?

MFA é a sigla para Multi-factor Authentication. Em português, autenticação multifator. Você sabe o que é autenticação multifatorial? Mesmo sem saber esse nome, você já deve ter se deparado com tecnologias de segurança da informação semelhantes a ela.

Sabe quando você tenta entrar em um e-mail pelo notebook e recebe um pedido de confirmação pelo smartphone? É uma forma a mais de garantir a segurança do acesso, certo? Essa também é a ideia da autenticação multifator MFA, que é um pouco mais complexa.

Quer saber como funciona o MFA? Vamos lá!

O que é a MFA (autenticação multifator)?

A autenticação multifator (MFA) é um componente central de uma estrutura de gerenciamento de identidade e acesso. Essa tecnologia de segurança requer pelo menos dois métodos de autenticação para que o usuário acesse um site, um app ou outro recurso online.

Esses métodos pertencem a categorias independentes de credenciais e verificam a identidade do usuário em um login ou outra transação. Quer um exemplo simples de MFA authentication?

O usuário entra com sua senha, precisa utilizar um token de segurança e um dos métodos de verificação biométrica. São três credenciais independentes.

Com isso, cria uma defesa em camadas, dificultando o acesso de uma pessoa não autorizada. Se um fator for comprometido ou quebrado, o hacker ainda precisará passar por pelo menos uma barreira antes de invadir seu “alvo” com sucesso.

Perceba que, nem sempre, a autenticação multifator MFA é feita com dois fatores (2FA). Vamos explicar melhor a diferença entre MFA e 2FA.

Autenticação Multifator (MFA) x Autenticação de Dois Fatores (2FA)

Há alguns anos, os sistemas MFA utilizavam a autenticação de dois fatores (2FA). A intenção era reforçar a segurança, mas também mantê-la o mais simples possível.

Por isso, os usuários forneciam somente duas formas de chaves de segurança. As formas comuns de 2FA eram ID de usuário e senha ou cartão bancário e PIN.

Atualmente, a autenticação exige duas ou mais credenciais de identidade para diminuir a possibilidade de um ataque cibernético. Os hackers estão mais eficientes para quebrar senhas e roubar cartões de débito em caixas eletrônicos.

Por isso, foi preciso investir em mais segurança. As empresas buscaram, assim, a autenticação multifator, com fatores adicionais de segurança para verificação.

Entendeu o que é MFA e qual sua utilidade para segurança da informação? Após compreender MFA o que é, que tal saber como funciona o MFA?

Como funciona o MFA?

A MFA authentication funciona a base de múltiplas tecnologias de autenticação da identidade de um usuário. Ela é diferente da autenticação por fator único (uso da senha) ou da 2FA (ID e senha), como demonstramos.

Para passar com sucesso pela autenticação multifator MFA, os usuários devem combinar pelo menos dois fatores de autenticação diferentes. Eles podem ser:

• algo que você sabe: PIN e senha.
• algo que você tem: crachá, token, aplicativo.
• algo que você é: biometria, reconhecimento facial

Usar PIN e senha não é autenticação multifator. Então MFA o que é? Usar dois ou mais fatores de diferentes categorias. PIN e senha pertencem a “algo que você sabe”. Mas PIN e reconhecimento facial (“algo que você é”) é MFA.

Agora você já sabe o que é a autenticação multifator e como ela funciona. Vamos aprofundar nos motivos para utilizar MFA, que é uma tecnologia de segurança essencial.

Por que usar a MFA (autenticação multifator)?

Senhas podem ser facilmente comprometidas e custar milhões de dólares às organizações. Ataques de força bruta são uma ameaça real, já que as ferramentas automatizadas fazem o trabalho da quebra de senha.

Mesmo que exista uma proteção ao bloquear uma conta após um certo número de tentativas de login incorretas, ela não é suficiente. Os cibercriminosos possuem muitos métodos para acesso ao sistema.

Neste contexto, surge a necessidade de utilizarmos a autenticação multifator MFA. Ela contribui diretamente para a redução dos riscos de segurança ao endurecer o acesso a sistemas e aplicativos.

Por que usar a MFA? Veja alguns motivos:

• permite o uso de OTPs (senha de uso único), gerados aleatoriamente em tempo real;
• adiciona camadas de segurança nos níveis de hardware, software e ID pessoal;
• permite que as empresas restrinjam o acesso em determinada hora ou local;
• tem custo escalável, pois há ferramentas MFA para cada tipo de empresa;
• pode reduzir as violações de segurança;
• é facilmente configurado pelos usuários.

Os benefícios de MFA, o que é e como ela auxilia as empresas na segurança virtual não ficaram claros? Confira a seguir como a autenticação multifator MFA ajuda na prevenção a ataques cibernéticos.

Prevenção a ataques cibernéticos

Empresas de qualquer segmento econômico devem ter muito cuidado no tratamento e no uso de dados. Basta um vazamento de informações estratégicas sobre o modelo de negócios para que o negócio perca seu valor.

Soma-se a este incidente o advento da Lei Geral de Proteção de Dados Pessoais (LGPD). Essa lei, que passou a vigorar no final de 2020, trouxe muitas preocupações referentes à segurança da informação. Essa questão se tornou ainda mais sensível no mundo corporativo.

Neste cenário, a autenticação multifator aparece como mecanismo de fundamental importância para a prevenção a ataques cibernéticos. Com mais camadas de segurança da MFA, os criminosos virtuais têm dificuldades em acessar as informações.

A MFA Authentication é uma ótima maneira de prevenir ataques cibernéticos, como

• Keyloggers: tipo de programa de monitoramento ou spyware que são instalados no dispositivo da vítima por meio de um vírus. O programa faz a captura das teclas, e o criminoso passa a ter acesso a nomes de usuário, senhas, respostas de segurança etc.
• Phishing: o invasor cria um e-mail falso com um anexo ou link malicioso que parece vir de uma organização confiável. O objetivo é enganar a vítima para que tome alguma ação que beneficie o criminoso.
• ‎Ataques man-in-the-middle (MITM)‎: observação ou interceptação de comunicações entre duas partes para roubar credenciais ou informações pessoais do usuário.
• Ataques de força bruta:  o cibercriminoso usa um programa para gerar e usar muitas combinações possíveis de nome de usuário/senha.

Todos esses ataques cibernéticos envolvem a obtenção de credenciais de conta. No entanto, o MFA exige que os usuários forneçam informações ou credenciais adicionais para obter acesso a uma conta.

Assim, mesmo que um invasor consiga roubar senhas, é improvável que eles sejam capazes de roubar ou comprometer os fatores adicionais de autenticação necessários no MFA.

Tipos de fatores utilizados na autenticação multifatorial

Como habilitar MFA? Como fazer autenticação Multi-fator? Antes de colocar em prática a autenticação multifator, é preciso conhecer quais são os fatores utilizados. Um fator de autenticação é uma categoria de credencial usada para verificação de identidade.

Como apontamos ao explicar o que é a autenticação multifator, cada fator adicional aumenta a segurança. Ela garante que a pessoa física ou jurídica envolvida na comunicação ou solicitando acesso a um sistema é quem diz que é.

Os três tipos de fatores MFA são

• Fator de conhecimento: algo que você conhece;
• Fator de posse: algo que você tem;
• Fator de herança: algo que você é.

Fator de conhecimento

A autenticação baseada no conhecimento exige que o usuário responda a uma pergunta de segurança pessoal. Ela inclui senhas, PINS (números de identificação pessoal) e senhas únicas (OTPs).

É um tipo de fator utilizado quando você insere o PIN para pagar algo com o cartão de débito ou faz login na VPN.

Fator de posse

Quando explicamos o que é a autenticação multifator e como ela funciona, falamos sobre algo que você tem. É o fator de posse. Veja exemplos de fator de posse:

• Token de segurança (cartão inteligente, tag sem fio ou USB);
• SIM (identidade do assinante de linha telefônica);
• Crachá.

Para autenticação móvel, um smartphone geralmente fornece o fator de posse em conjunto com um aplicativo OTP.

Fator de herança

O fator de herança na autenticação multifator é qualquer característica biológica do usuário que é utilizada para login. São métodos de verificação biométrica, como retina ou varredura de íris, impressão digital, assinatura digital, autenticação de voz, reconhecimento facial, entre outros.

Os componentes do dispositivo biométrico incluem:

• Software que converte os dados biométricos digitalizados em um formato digital padronizado e compara dados observados e dados armazenados;
• Banco de dados;
• Leitor.

Quando você acessa seu smartphone com impressão digital ou reconhecimento facial, por exemplo, está utilizando o fator de herança.

Tecnologias para autenticação multifator

Ao explicar o que é a autenticação multifator, pontuamos que é preciso ter pelo menos dois fatores diferentes de grupos diferentes. No tocante às tecnologias de autenticação, como funciona o MFA? Como habilitar MFA?

Confira 4 tecnologias de autenticação multifator: biométrica, de hardware, móvel e fora da banda.

Biométrica

A tecnologia biométrica faz a autenticação do usuário por meio dos seus dispositivos móveis. As duas formas mais comuns são o reconhecimento facial e a digitalização de impressões digitais.

É possível, porém, ter uma autenticação biométrica comportamental. Ela realiza a autenticação do indivíduo com base em suas interações com o dispositivo, tais como toques no teclado e padrão de deslize.

De Hardwares

Tecnologias de hardware são dispositivos pequenos que seu proprietário carrega para autorizar o acesso. O melhor exemplo são os tokens físicos (fator de posse), que fornecem códigos de acesso únicos (OTPs) para a autenticação multifator MFA.

Móvel

A autenticação móvel é feita por meio do smartphone Android ou iOS do usuário, ou a verificação do próprio dispositivo. Com essa tecnologia, os usuários podem realizar o login em locais seguros e acessar os recursos de qualquer lugar.

Fora da banda

A tecnologia de autenticação fora da banda requer um método de verificação secundário por meio de canal de comunicação separado. Em geral, utiliza-se a conexão de internet e a rede sem fio na qual o smartphone opera. Veja 4 exemplos:

Estes são exemplos de tecnologias fora da banda:

• Notificação Push As: fornecem código de acesso único ou código de autenticação no dispositivo móvel do usuário. Aparece no ecrã de bloqueio do dispositivo, e não como mensagem SMS.
• Mensagem de texto SMS ou mensagem de voz: códigos de acesso são entregues por meio de SMS ou uma mensagem de voz.
• QR Code: autentica ou autoriza uma transação financeira quando decodificado por dispositivo registrado.
• Soft token: são os tokens baseados em aplicativos, que geram um PIN de login único.

3 abordagens práticas para implementar a autenticação MFA

Ter múltiplos fatores de autenticação pode ser trabalhoso. O objetivo do MFA, no entanto, é simplificar suas técnicas e permitir o acesso facilitado dos usuários. Como habilitar MFA de forma simples? Existem 3 abordagens práticas:

Autenticação multifatorial adaptável

Você já acessou a VPN corporativa de casa sem precisar inserir suas credenciais MFA? Esse é um bom exemplo da autenticação multifator adaptável.

Não há problema quando o usuário faz login em casa, pois sua localização é conhecida e determina o risco de uso indevido ou comprometimento. Porém, se tentar acessar a VPN de uma cafeteria, o sistema solicitará a inserção das credenciais.

A autenticação multifator adaptável utiliza fatores baseados no usuário, como dispositivo ou localização, para permitir ou negar o acesso.

Autenticação única (Single sign-on)

É um método de autenticação que permite aos usuários manter uma conta que os registra automaticamente em vários aplicativos ou sites com um único ID e senha.

O SSO funciona estabelecendo a identidade do usuário e, em seguida, compartilhando essas informações com cada aplicativo ou sistema que as exija.

Autenticação por Notificação Push

É uma técnica automatizada de autenticação de dispositivos móveis. Quer acessar um sistema seguro com ID de usuário e senha? O sistema emite automaticamente um terceiro código de identificação de uso único em seu dispositivo móvel, que concederá o acesso.

A autenticação por notificação push simplifica a MFA fornecendo aos usuários um terceiro código, eliminando a necessidade de se lembrar dele.

Precisa fazer uma gestão de acesso ou avaliar sua infraestrutura contra ameaças virtuais? Conheça as ofertas de segurança cibernética da Yssy!

Conclusão

A autenticação multifator ou MFA é uma tecnologia de segurança indispensável para qualquer empresa. Ela pode ser implementada de diversas formas, considerando os fatores e as tecnologias disponíveis.

Seja como for, é uma maneira de fazer a gestão de acesso de modo a prevenir ataques cibernéticos. Veja como planejar e implementar uma gestão de identidade e acesso eficiente!