Jason: Nesta lição, discutiremos
a autenticação multifatorial, também conhecida como MFA.
Agora, quando estiver usando um dispositivo móvel,
você terá que se autenticar nesse dispositivo
para poder desbloqueá-lo e começar a usá-lo.
Se você pensar em seu smartphone, ao deslizar para
cima, inicialmente você usará seu rosto, seu dedo,
um PIN ou uma senha para desbloquear o dispositivo
e começar a usá-lo.
Quando você faz isso, o item que está usando para
desbloquear o dispositivo é conhecido como fator de autenticação.
Agora, no mundo da segurança cibernética,
temos cinco fatores de autenticação diferentes
que podem ser usados.
Esses fatores são conhecidos como fator
de conhecimento, fator de posse, fator de herança,
fator de comportamento e fator de localização.
Agora, quando analisamos um fator de conhecimento,
essa é a forma mais simples de autenticação, e nos referimos
a isso como algo que você sabe.
Se você estiver pensando em algo como seu nome
de usuário, um PIN, uma senha, todos esses são fatores de conhecimento, pois
você está fornecendo uma resposta a um desafio
como "Qual é a sua senha? e ser capaz de autenticar
que você é a pessoa cujo nome de usuário
está associado a essa senha porque
você a conhece.
Agora, o maior problema com os fatores de conhecimento
é que eles são os mais fáceis de quebrar, pois
são apenas palavras ou números inseridos por um
teclado ou pelo usuário final.
Portanto, se você estiver protegendo
seu smartphone com um número PIN de quatro
dígitos, eu posso sentar lá e tentar adivinhá-lo,
e há apenas 10.000 combinações possíveis com um número
de quatro dígitos.
Então, eventualmente, posso adivinhar
o número e entrar em seu dispositivo.
Esse é o ponto fraco de um fator de conhecimento.
O segundo fator que temos é o que é conhecido
como fator de posse.
Isso é algo que você tem.
Se você trabalha em um ambiente corporativo de grande
porte, talvez tenha recebido o que chamamos de chave fob RSA.
Trata-se de um pequeno dispositivo com uma
pequena tela LCD com seis números, que mudam a
cada 30 a 60 segundos.
Agora, se você tentar fazer login em um dispositivo
sincronizado com este, terá que digitar esses seis dígitos.
E esses seis dígitos estão mudando a cada 30 a 60 segundos.
Portanto, ao saber os dígitos corretos,
isso prova que você tem a posse do chaveiro, e é por isso
que chamamos isso de fator de posse.
Outros métodos são quando você usa coisas
como um token físico.
Por exemplo, no governo dos EUA, quando
tentam fazer login em seus computadores,
eles usam seu cartão de identificação que
tem um pequeno microchip embutido.
Quando eles colocam esse cartão em seu computador,
isso mostra que eles têm posse de sua carteira de identidade
e que são quem dizem ser.
Agora, o terceiro fator que temos é o que é
conhecido como fator de inerência.
Agora, um fator de inerência é algo que você é.
Gosto de pensar nisso como peças de seu corpo.
Portanto, quando pensamos em um fator de
herança ou algo do tipo, estamos realmente falando de biometria.
Portanto, se o seu dispositivo móvel usa uma impressão digital para
desbloqueá-lo, isso seria um fator de herança.
Da mesma forma, se você estiver usando algo como o Face ID,
que analisa a estrutura do seu rosto e permite
que você desbloqueie o telefone usando isso,
esse também é um fator biométrico.
Portanto, chamaríamos isso de fator
de inerência, ou algo do gênero.
O quarto fator é o que chamamos de fator comportamental,
e gosto de me referir a ele como algo que você faz.
Agora, quando você está analisando um fator de comportamento,
isso se baseia na maneira como você faz determinadas coisas.
Agora, eles não são muito comuns em dispositivos móveis,
mas são usados em outras áreas.
Por exemplo, em uma instalação em que eu trabalhava,
havia um sistema de câmeras que o detectava
quando você entrava no prédio.
E o motivo pelo qual eles fizeram
isso é que estavam medindo a marcha dos funcionários
quando eles se aproximavam da porta.
E eles estavam usando isso como um dos fatores
para autenticar que a pessoa era quem dizia ser, porque esse
comportamento era exclusivo de cada pessoa.
Outra área em que vemos o comportamento ser
usado é com um sistema de reconhecimento de voz.
Agora, você pode pensar que o reconhecimento
de voz seria um fator de herança, e pode ser, dependendo
de como o sistema de autenticação estiver configurado.
Mas, na verdade, a maioria dos sistemas de reconhecimento
de voz não está analisando o que você
disse, mas sim como você o disse.
Isso ocorre porque cada pessoa diz as coisas de forma diferente.
E a nossa voz e a maneira como dizemos certas
palavras têm timbres únicos.
Portanto, isso também pode ser um fator comportamental.
O quinto fator de autenticação
é conhecido como fator de localização, e
eu gosto de chamá-lo de "onde você está".
Agora, seu dispositivo realmente tem um receptor GPS dentro
dele, de modo que ele sempre sabe onde está
na face da Terra.
Assim, podemos usar essa localização como
parte do seu processo de autenticação e dizer que
você só pode fazer login nesse telefone e
usá-lo quando estiver em determinadas áreas.
Pode ser um país, um estado ou uma cidade,
ou mesmo apenas um quarteirão ao redor
de seu prédio.
Isso dependerá do seu caso de uso,
mas já estive em organizações
em que os dispositivos móveis só podiam operar
e ser usados a uma quadra da sede da empresa.
E se você fosse além disso, esses
dispositivos seriam realmente desligados e bloqueados
até que você voltasse ao perímetro.
E isso é conhecido como fator de localização.
Agora, se usarmos qualquer um desses cinco fatores,
o fator de conhecimento, o fator de posse, o fator de herança, o fator
de comportamento ou o fator de localização, chamamos
isso de autenticação de fator único.
Portanto, se eu pegar meu dispositivo móvel, deslizar para
cima e digitar um PIN de quatro dígitos,
esse é um único fator de conhecimento que está sendo apresentado.
Mas se eu combinar dois ou mais desses fatores, terei
o que é conhecido como autenticação multifatorial.
Se você estiver usando dois
fatores, às vezes chamamos isso de autenticação de dois fatores, ou 2FA.
Se você tiver uma combinação de dois, três, quatro ou cinco
desses fatores, isso também será conhecido
como autenticação multifatorial, porque você tem dois ou mais fatores,
o que torna a autenticação multifatorial.
Agora, quando você tem um dispositivo
emitido pela sua empresa, ela pode usar o MDM ou o software
de gerenciamento de dispositivos móveis para decidir exatamente
quais requisitos você terá para
poder acessar esse dispositivo.
Isso pode ser tão simples quanto configurar
um PIN ou uma senha longa com um determinado
número de caracteres, ou eles podem exigir que
você use um fator de herança ou autenticação biométrica, como uma
impressão digital ou uma leitura facial.
Isso será determinado pela sua política corporativa,
pelo sistema e pelos dispositivos que você está
usando e pelo que eles suportam.
Atualmente, a maioria dos smartphones é
compatível com pelo menos um fator biométrico ou de herança.
E isso seria uma impressão digital ou uma leitura facial, dependendo
do modelo que você estiver usando.
Outro uso para nossos smartphones atualmente é como
parte de nosso sistema de autenticação de dois fatores.
Se você acessar um site, muitas
vezes ele pedirá que você faça login usando seu
nome de usuário e senha, que é um fator
de conhecimento ou algo que você sabe.
Em seguida, eles lhe enviarão uma mensagem de texto
com um código exclusivo para o seu smartphone.
O que eles estão fazendo aqui é, na verdade, criar MFA ou 2FA, porque
agora estão usando dois fatores: o fator
de conhecimento do seu nome de usuário e senha
e o fator de posse do fato de você
ter seu smartphone e receber essa mensagem de texto.
Hoje em dia, vemos muito mais sites usando
autenticação de dois fatores ou multifator, porque
isso proporciona um ambiente muito mais seguro para
os usuários.
Para ajudar com isso, há também um aplicativo que você
pode baixar chamado Authenticator, que funciona como um fator de posse
dentro do seu dispositivo móvel.
O Authenticator permite que você o registre
em seu site compatível com 2FA ou MFA.
E ele será usado para criar esses códigos aleatórios
sem a necessidade de um dispositivo de chaveiro físico,
pois o smartphone funciona como chaveiro e mantém
a sincronia com o site no qual você
está tentando se autenticar.
Portanto, tenha isso em mente quando
pensar em autenticação multifator.
Multifator significa que você precisa ter dois
ou mais desses fatores.
Agora, a última coisa que quero
mencionar quando se trata de autenticação multifatorial,
e isso é algo que muitas vezes atrapalha os alunos, é
que só porque você tem dois fatores, não significa que
você já tenha o multifator.
Se eu pedir que você faça login com um nome de usuário, uma
senha e um PIN, são dois fatores de conhecimento.
Mas não se trata de autenticação de dois fatores
ou de autenticação multifatorial, porque esses dois
fatores pertencem à mesma categoria.
Ambos são algo que você sabe,
o que é um fator de conhecimento.
Para ter uma autenticação de dois fatores
ou uma autenticação multifatorial, você deve ter duas ou
mais categorias representadas pelos cinco fatores
de conhecimento, posse, herança, comportamento e localização.