O que é Autenticação Multifator (MFA)?

A Autenticação Multifator (MFA) é um processo de segurança onde os usuários são obrigados a passar por várias etapas de autenticação para ter acesso a um sistema ou aplicativo ou para concluir uma transação. 

Ao contrário de outras práticas de verificação de identidade, a MFA adiciona uma segunda camada de segurança ao exigir uma informação adicional. 

Isso, é claro, complica o acesso para fraudadores, mesmo que eles tenham a senha.

Empresas SaaS devem considerar seriamente a implementação de MFA ao lidar com informações confidenciais, pois isso aumenta a segurança e a privacidade. 

MFA foca em categorias de dados específicas ao verificar a identidade:

• Fatores de conhecimento: Informações que o usuário sabe, como uma senha ou PIN.

• Fatores de posse: Itens que o usuário possui, como um smartphone, token de hardware ou aplicativo autenticador.

• Fatores de inerência: Características biométricas, incluindo impressões digitais, reconhecimento facial ou padrões de voz.

• Localização ou fatores contextuais: Sinais como localização geográfica, endereço IP ou reputação da rede.

Combinar fatores no processo de verificação aumentará a segurança.

A MFA tem os seguintes benefícios: 

• Maior proteção da conta: Senhas comprometidas sozinhas são insuficientes para acesso.

• Redução do risco de violação: A Microsoft relata que a MFA pode bloquear mais de 99% dos ataques de comprometimento de contas.

• Controle de acesso aprimorado: MFA aplica autenticação consistente e orientada por políticas em todos os usuários e sistemas.

• Menor impacto nos negócios: Previne perdas financeiras, tempo de inatividade e danos à reputação causados por violações.

• Menor dependência de senhas: Limita a exposição à reutilização de senhas e ataques de preenchimento de credenciais.
  

Embora o MFA possa introduzir um pequeno atrito e custos de implementação, essas compensações são geralmente superadas pelos ganhos de segurança para a maioria das organizações.

Senhas ainda são o primeiro passo de autenticação em muitos fluxos de trabalho de MFA. Senhas fracas ou recicladas aumentam o risco de serem hackeadas e de ataques de engenharia social, especialmente no caso de fadiga de MFA, em que os usuários são pressionados a aprovar solicitações de login por cibercriminosos.

Uma senha forte e exclusiva reduz a chance de ser comprometida em primeiro lugar e fortalece a eficácia do MFA. 

Em um ambiente corporativo, a MFA funciona assim:

1. O usuário insere seu nome de usuário e senha.
2. O sistema leva em consideração o contexto em relação ao dispositivo, à localização e ao comportamento.
3. O usuário é solicitado a fornecer um segundo fator de autenticação, como um código de um aplicativo autenticador, uma leitura biométrica ou um token de hardware. 
4. O acesso é concedido somente após a verificação bem-sucedida.

Organizações SaaS também precisam considerar adicionar um método de autenticação adicional à lista, caso o dispositivo principal seja comprometido ou esteja indisponível para uso.

Sistemas MFA frequentemente utilizam vários métodos para identificar dispositivos novos ou desconhecidos, incluindo:

• impressão digital do dispositivo
• análise de IP
• histórico de localização
• monitoramento de atividade. 

São precisamente esses métodos que disparam um alerta quando um novo local ou um dispositivo incomum é usado para a tentativa de login. Tais práticas são úteis para aplicações remotas e em nuvem onde há uma grande diversidade de dispositivos.

A MFA Adaptativa depende de avaliações de risco para estabelecer maiores ou menores autenticação níveis. Há muitos sinais que podem disparar níveis mais altos de verificação, tais como:

• localizações incomuns
• movimentos impossíveis
• comportamento ou redes incomuns
• redes suspeitas. 

Situações de baixo risco podem prosseguir com atrito mínimo, enquanto situações de alto risco exigem mais fatores ou são bloqueadas. Essa prática oferece melhor segurança e elimina solicitações de MFA desnecessárias para usuários normais.

Sim. A força da MFA depende dos critérios utilizados. 

• Códigos baseados em SMS fornecem o nível mais baixo de proteção e são vulneráveis a trocas de SIM.
• aplicativos autenticadores e hardware tokens fornecem níveis mais altos de segurança
• fatores biométricos (utilizados por 3D Secure) fornecem o mais alto nível de segurança, desde que sejam implementados corretamente. 

Organizações SaaS devem considerar a força da MFA de acordo com a sensibilidade dos dados ou do sistema protegido, equilibrando os requisitos de segurança com a experiência do usuário.